VALTIONEUVOSTON KIRJELMÄ JA VALTIONEUVOSTON SELVITYS
Ehdotus
Kirjelmässä on kysymys komission ehdotuksista neuvoston päätöksiksi EU:n ja Yhdysvaltojen välisen tietosuojasopimuksen tekemisestä ja allekirjoittamisesta. Sopimus on puitesopimus, jossa vahvistettuja suojatoimenpiteitä ja takeita sovelletaan horisontaalisesti kaikkeen rikosasioissa tehtävän transatlanttisen lainvalvontayhteistyön puitteissa tapahtuvaan tietojenvaihtoon. Sopimuksella on takautuva vaikutus siinä mielessä, että se täydentää voimassa olevien sopimusten tietosuojatakeita siltä osin kuin ne eivät takaa riittävää suojan tasoa.
Sopimuksessa määrätään siitä, mihin tarkoituksiin siirrettyjä henkilötietoja saa käyttää ja missä tapauksissa niitä saa siirtää edelleen. Se sisältää määräykset henkilötietojen säilytysaikojen asettamisesta, arkaluonteisten henkilötietojen käsittelystä ja yksilön oikeudesta pyytää tarkastaa omat henkilötietonsa ja saada virheelliset tietonsa oikaistuiksi sekä näitä oikeuksia koskevista rajoituksista.
Sopimusluonnoksessa määrätään hallinnollisista ja oikeudellisista muutoksenhakukeinoista, joista hallinnolliset muutoksenhakukeinot ovat kaikkien käytettävissä, mutta oikeudelliset muutoksenhakukeinot ovat vain sopimuspuolten kansalaisten käytettävissä.
Sopimus sisältää myös määräykset mm. tietojen käsittelyn läpinäkyvyydestä, valvonnasta ja valvontaviranomaisten yhteistyöstä.
Sopimus sitoo yhdysvaltalaisia viranomaisia vain liittovaltiotasolla. Sopimusneuvotteluissa on velvoitettu liittovaltion viranomaiset sitoutumaan sopimusvelvoitteisiin myös siirtäessään tietoa edelleen osavaltiotasolle.
Valtioneuvoston kanta
U 20/2016 vp
EU:n, sen jäsenvaltioiden ja Yhdysvaltojen kyky reagoida tehokkaasti yhteisiin turvallisuusuhkiin ja -haasteisiin on suuresti riippuvainen henkilötietojen vaihdosta rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä. Tietojen vaihto edellyttää henkilötietojen suojan riittävää tasoa.
Valtioneuvosto pitää saavutettua neuvottelutulosta merkittävänä saavutuksena EU:lle. EU-USA tietosuojapuitesopimuksessa vahvistetaan ensimmäistä kertaa yhdenmukaiset ja kattavat tietosuojaa koskevat takeet, joita sovelletaan kaikkeen poliisi- ja rikosoikeudellisen yhteistyön alalla tapahtuvaan transatlanttiseen tietojenvaihtoon asianomaisten viranomaisten välillä (pl. rangaistusten täytäntöönpano). Sopimus tuo merkittävän parannuksen nykytilanteeseen, jossa epäyhdenmukaiset ja usein heikot tietosuojasäännöt ovat hajallaan lukuisissa monenvälisissä, kahdenvälisissä, kansallisissa ja alakohtaisissa välineissä. Sopimus myös antaa ensimmäistä kertaa EU:n kansalaisille oikeudellisia muutoksenhakuoikeuksia Yhdysvalloissa sopimuksen soveltamisalalla.
Valtioneuvosto pitää hyvänä sitä, että
– sopimus olisi puitesopimus, jossa vahvistettuja tietosuojatakeita sovellettaisiin horisontaalisesti kaikissa Yhdysvaltoihin lainvalvontatarkoituksissa tapahtuvissa henkilötietojen siirroissa,
– sopimus ei muodostaisi oikeusperustaa lainvalvontatarkoituksissa tapahtuville siirroille,
– sopimuksella olisi takautuva vaikutus siinä mielessä, että se täydentäisi voimassa olevien sopimusten tietosuojatakeita,
– sopimus antaisi EU:n kansalaisille oikeudellisia muutoksenhakukeinoja Yhdysvalloissa tapauksissa, jotka koskevat tietoihin tutustumisen epäämistä, oikaisumahdollisuuden epäämistä ja tietojen laitonta luovuttamista,
– sopimuksen määräykset kattavat kaikki EU:n keskeiset tietosuojasäännöt, jotka koskevat henkilötietojen käsittelyä koskevia vaatimuksia (esim. tietojen laatu ja eheys, tietoturva, vastuuvelvollisuus ja valvonta), suojatoimia ja rajoituksia (esim. käyttötarkoituksen rajoitukset, tietojen säilyttäminen, tietojen edelleensiirrot, arkaluonteisten tietojen käsittely) sekä yksilön oikeuksia (tietojen saanti, oikaisu, hallinnollinen ja oikeudellinen muutoksenhaku),
– sopimuksen täytäntöönpanoa arvioidaan määräajoin tehtävien yhteisten tarkastelujen avulla
– sopimuksen soveltaminen voidaan keskeyttää, jos sopimuksen määräyksiä rikotaan ja kumpikin sopimuspuoli voi päättää sopimuksen voimassaolon milloin tahansa.
On kuitenkin esitetty varteenotettavia epäilyjä siitä, onko sopimus EU:n perusoikeuskirjan mukainen, koska se ei takaa perusoikeuskirjan 47 artiklan mukaista oikeutta tehokkaisiin oikeussuojakeinoihin tuomioistuimessa jokaiselle, vaan ainoastaan sopimuspuolten kansalaisille. Valtioneuvosto suhtautuu näihin epäilyihin vakavasti. On kuitenkin huomattava, että EU ja sen jäsenvaltiot ovat jo ennen Judicial Redress Act -säädöksen ja sen antamien oikeussuojakeinojen voimaantuloa tehneet Yhdysvaltojen kanssa useita tietosuojasopimuksen soveltamisalaan kuuluvia sopimuksia, eivätkä ne kaikki ole taanneet tehokkaita oikeussuojakeinoja. EU-USA tietosuojasopimuksen yhdenmukaisuuden perusoikeuskirjan kanssa ratkaisee viimekädessä EU:n tuomioistuin.
Valtioneuvosto katsoo, että se voi kokonaisharkinnan perusteella hyväksyä sopimuksen allekirjoittamista ja hyväksymistä koskevat neuvoston päätösehdotukset. Lopullinen päätös sopimuksen tekemisestä voidaan kuitenkin tehdä vasta kun neuvosto on saanut Euroopan parlamentin hyväksynnän sopimuksen tekemiseen.
Suomella on varauma sopimusluonnokseen kansallisen kannanmuodostuksen ollessa kesken.
E 35/2016 vp
Sopimusta koskevista neuvotteluvaltuuksista päätettäessä Suomi piti erittäin tärkeänä, että sopimuksen tulisi olla puitesopimus, joka määrittelisi tietosuojan yleiset periaatteet, joita tulisi aina noudattaa. Yleinen tietosuojasopimus ei voisi muodostaa oikeusperustaa lainvalvontatarkoituksessa tapahtuville tietojen siirroille. Tietojen siirrosta tulisi aina määrätä erityissopimuksissa, joihin tulisi sisällyttää tarvittavat tietosuojan lisätakeet.
Suomi katsoi, että sopimusta tulisi soveltaa paitsi poliisiyhteistyön alalla myös silloin kun tietoja siirretään rikosoikeudellisen yhteistyön puitteissa.
Lisäksi Suomi piti erittäin tärkeänä sitä, että rekisteröidyillä tulee olla käytettävissään tehokkaat ja riittävät hallinnolliset ja oikeudelliset oikeussuojakeinot, jos he katsovat, että heidän henkilötietojaan on käsitelty sopimuksen vastaisesti. Ketään ei tule tässä suhteessa syrjiä kansallisuuden tai asuinmaan perusteella.
VALIOKUNNAN PERUSTELUT
EU:n ja Yhdysvaltojen välistä tietosuojasopimusta on tarkoitus soveltaa EU:n jäsenvaltioiden ja Yhdysvaltojen lainvalvontaviranomaisten yhteistyön puitteissa tehtäviin henkilötietojen siirtoihin, jotka liittyvät rikosten ennalta estämiseen, selvittämiseen ja paljastamiseen sekä syytetoimiin. Tietojen vaihto edellyttää henkilötietojen suojan riittävää tasoa. Sopimus ei itsessään muodosta oikeusperustaa henkilötietojen siirroille, vaan niille on oltava oikeusperusta unionin oikeudessa, kansallisessa lainsäädännössä tai kansainvälisessä sopimuksessa.
Lainvalvonnan alalla Yhdysvaltoihin tapahtuvien henkilötietojen siirtojen oikeusperusta on erityisesti Suomen ja Yhdysvaltojen välinen sopimus yhteistyön tehostamisesta rikollisuuden estämiseksi ja torjumiseksi (SoPS 63/2012, jäljempänä rikoksentorjuntasopimus), minkä lisäksi voidaan käyttää esimerkiksi oikeusapumenettelyä. Rikoksentorjuntasopimus sisältää myös henkilötietojen käsittelyä koskevia määräyksiä, joita nyt tehtävä tietosuojasopimus tulisi täydentämään. Rikoksentorjuntasopimuksessa tarkoitettuja henkilötietoja voidaan käyttää myös rikostutkinnassa, yleistä turvallisuutta koskevan vakavan uhkan estämiseksi ja muissa kuin rikosoikeudellisissa ja hallinnollisissa menettelyissä, jotka liittyvät suoraan rikostutkintaan. Tämä käyttötarkoitussidonnaisuus vaikuttaisi asiassa saadun selvityksen perusteella olevan yhdenmukainen tietosuojasopimuksen 6 artiklassa tarkoitettujen käyttötarkoituksen rajoitusten kanssa.
Rikoksentorjuntasopimukseen verrattuna tietosuojasopimus sisältää yksityiskohtaisempia säännöksiä erityisesti tietojen siirtämisestä edelleen, tietoturvallisuudesta ja rekisteröidyn oikeuksista. Lisäksi tietosuojasopimuksessa määrätään nimenomaisesti arkaluonteisten henkilötietojen käsittelystä. Tietosuojasopimuksen määräykset sisältävät myös muut EU:n keskeisimmät tietosuojaa koskevat vaatimukset, joita ovat esimerkiksi tietojen laatu ja eheys, tietoturva, vastuuvelvollisuus ja valvonta. Rikoksentorjuntasopimukseen verrattuna rekisteröidyn oikeuksia koskevat määräykset ovat yksityiskohtaisempia myös muutoksenhakukeinojen osalta. Valiokunta pitää tietosuojasopimuksen sisältämiä rikoksentorjuntasopimukseen nähden täydentäviä määräyksiä tervetulleina.
Tietosuojasopimuksen tarkoituksena on turvata korkea henkilötietojen suoja lainvalvonnan alalla tapahtuvissa henkilötietojen siirroissa ja näin helpottaa EU:n ja Yhdysvaltojen välistä lainvalvonnan alan yhteistyötä. Tavoitteena on, että tietosuojasopimus tuo merkittävän parannuksen nykytilaan, jossa tietosuojasäännöt ovat hajallaan lukuisissa monenvälisissä, kahdenvälisissä, kansallisissa ja alakohtaisissa instrumenteissa ja voivat olla keskenään hyvinkin epäyhdenmukaisia. Suomen ja Yhdysvaltojen välillä tehdyn rikoksentorjuntasopimuksen soveltamisalalla tietosuojasopimuksen voidaan todeta parantavan entisestään tietosuojan tasoa. Tietosuojasopimuksen ulkopuolelle jäisi rikoksentorjuntasopimuksen tavoin toimivaltaisten viranomaisten suorittama henkilötietojen käsittely siltä osin kuin se liittyy kansalliseen turvallisuuteen.
Valiokunta kiinnittää valtioneuvoston tavoin huomiota eräisiin sopimuksen oikeussuojakeinoja koskeviin määräyksiin. Sopimusluonnoksessa määrätään hallinnollisista ja oikeudellisista muutoksenhakukeinoista, joista hallinnolliset muutoksenhakukeinot olisivat sopimuksen mukaan kaikkien käytettävissä, mutta oikeudelliset muutoksenhakukeinot olisivat vain sopimuspuolten kansalaisten käytettävissä. Perimmältään kysymys on siitä, kuinka tehokkaita oikeussuojakeinot ovat ja onko sopimusluonnos EU:n perusoikeuskirjan mukainen. Sitä, miten sopimuksen määräykset käytännössä toimivat ja millä tavalla oikeussuojakeinot ovat tosiasiallisesti käytettävissä, on hankalaa arvioida ennen kuin on tiedossa konkreettisia esimerkkejä soveltamiskäytännöstä. Valiokunta pitää joka tapauksessa myönteisenä sitä, että sopimukseen sisältyy myös määräykset valvontaviranomaisten yhteistyöstä sekä sopimuspuolten välisistä määräaikaisarvioinneista muutoksenhakukeinojen tehokkaan täytäntöönpanon osalta. Sopimuksen toimivuutta tarkastellaan siten säännöllisesti sopimuspuolten välillä. Viime kädessä EU:n ja Yhdysvaltojen tietosuojasopimuksen yhdenmukaisuuden perusoikeuskirjan kanssa ratkaisee EU:n tuomioistuin.
Valiokunta haluaa kiinnittää vakavaa huomiota perustuslakivaliokunnan lausunnossa (PeVL 20/2016 vp) esille nostettuihin huomautuksiin liittyen muun muassa siihen, voidaanko henkilötietojen luovutukselta edellyttää lisätakeita. Vaikka sinänsä on selvää, että sopimus ei voi syrjäyttää EU:n primaarioikeuteen sisältyviä määräyksiä tietosuojasta, valiokunnan mukaan valtioneuvoston olisi syytä pyrkiä siihen, että sopimus ei tietosuojan parantamisen tasoon pyrkivänä sopimuksena johda siihen, ettei lisätakeita voitaisi edellyttää.
Lisäksi valiokunta kiinnittää huomiota siihen, että Yhdysvaltojen voimassa oleva sääntely kytkee oikeudelliset muutoksenhakukeinot siihen, että asianomainen maa luovuttaa Yhdysvalloille henkilötietoja kaupallisissa tarkoituksissa. Valiokunnan käsityksen mukaan valtioneuvoston on syytä varmistua rajauksen merkityksestä suhteessa sopimuksen päämääriin. Valiokunta toteaa, että myös tietosuojavaltuutettu on kiinnittänyt huomiota tehokkaisiin oikeussuojakeinoihin ja oikeudellisiin muutoksenhakukeinoihin. Tässä yhteydessä hallintovaliokunta vielä tähdentää, että tämän tietosuojasopimuksen nojalla henkilötietoja voidaan luovuttaa vain rikoksentorjunta-alalla.
Valiokunta varaa tilaisuuden kantansa tarkistamiseen mahdollisen täydentävän selvityksen perusteella.
Valtioneuvoston kirjelmän mukaan tietosuojasopimuksella ei olisi taloudellisia vaikutuksia. Valiokunnan saaman selvityksen perusteella voidaan arvioida, että suurin osa tietosuojasopimuksen soveltamistilanteista todennäköisesti koskisi poliisin tehtävien hoitamiseen tarvittavien henkilötietojen siirtoja, joihin jo sovelletaan edellä mainittua rikoksentorjuntasopimusta. Rikoksentorjuntasopimuksen sisältämiin määräyksiin verrattuna tietosuojasopimuksen ei arvioida tuovan poliisille siinä määrin uusia velvoitteita, että sillä olisi huomattavia taloudellisia vaikutuksia. Myöskään tietojärjestelmiin kohdistuvat vaatimukset eivät sinänsä olisi uusia verrattuna voimassa oleviin sopimuksiin tai lainsäädäntöön. Hallinnollisia kustannuksia voisi kuitenkin aiheutua siinä tapauksessa, että toimivaltaisten viranomaisten välinen yhteistyö lisääntyisi merkittävästi tai rekisteröityjen aktiivisuus oikeuksien käyttämisessä lisääntyisi.