Yleistä
Esityksessä on kyse Euroopan unionin tietosuojalainsäädännöstä johtuvista lainmuutoksista oikeusministeriön hallinnonalan lainsäädäntöön.
EU:n tietosuojasääntelyä on uudistettu, ja tämä on edellyttänyt kansallisia täytäntöönpanotoimia. Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus), jäljempänä tietosuoja-asetus, ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta (jäljempänä rikosasioiden tietosuojadirektiivi) ovat tulleet voimaan 5.5.2016. Tietosuoja-asetuksen soveltaminen on alkanut 25.5.2018. Tietosuoja-asetusta täydentävä tietosuojalaki (1050/2018) ja rikosasioiden tietosuojadirektiivin täytäntöönpanemiseksi annettu laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018, jäljempänä rikosasioiden tietosuojalaki) ovat tulleet voimaan 1.1.2019.
Edellä mainittujen yleislakien lisäksi EU:n tietosuojasääntelyn täytäntöönpano edellyttää kansallisen henkilötietojen käsittelyä koskevan erityissääntelyn muuttamista vastaamaan EU:n uutta tietosuojasääntelyä. Oikeusministeriön hallinnonalalla on voimassa runsaasti erityislainsäädäntöä, johon sisältyy henkilötietojen käsittelyä koskevia säännöksiä. Esityksessä ehdotetaan poistettavaksi eräitä tarpeettomia yleislainsäädännön kanssa päällekkäisiä säännöksiä. Samalla tavoitteena on yhdenmukaistaa säilytettäviä henkilötietojen käsittelyyn liittyviä erityissäännöksiä sekä selkiyttää niiden suhdetta sovellettaviin yleissäädöksiin.
Esitys sisältää muutosehdotukset 21 lakiin, joiden osalta on oikeusministeriöltä saadun selvityksen mukaan havaittu välittömiä muutostarpeita. Eniten muutoksia sisältyy ulosottokaaren (705/2007, 11. lakiehdotus) ja turvallisuusselvityslain (726/2014, 18. lakiehdotus) muuttamista koskeviin lakiehdotuksiin.
Ulosottokaaressa sallitaan esityksen mukaan nimenomaisesti eräiden arkaluonteisten henkilötietojen tallentaminen ulosottorekisteriin siltä osin kuin tietoja väistämättä joudutaan jo ulosottokaaren perusteella käsittelemään ja niitä pidetään välttämättöminä ulosottoon liittyvien tehtävien hoitamiseksi (11. lakiehdotus, 1 luku, 26 §). Ehdotetuissa uusissa säännöksissä kuitenkin rajataan käsiteltäviä tietoryhmiä sekä niiden käsittelytarkoituksia siten, että tietojen välttämättömyys ei ole ainoa tallennuskriteeri. Lakiehdotuksessa on esityksen mukaan (HE, s. 34) samalla tarkennettu ulosottokaaren tiedonluovutussäännöksiä sen varmistamiseksi, että ne vastaavat perustuslain tulkintaa koskevia vaatimuksia. Lisäksi esityksessä varmistetaan nimenomaisella säännöksellä tietojen luovuttamisen jatkuminen suojelupoliisille sen toimialaan liittyvien rikosten ennalta estämiseksi, huomioiden, että suojelupoliisi ei ole enää esitutkintaviranomainen (3 luku, 70 §).
Esityksessä myös täsmennetään turvallisuusselvityksiin sovellettava yleislaki, mistä johtuen myös rikosasioiden tietosuojalain soveltamisalasäännöstä tarkistetaan (21. lakiehdotus, 1 §). Turvallisuusselvityslaissa tarkoitetun henkilötietojen käsittelyn katsotaan esityksen mukaan (HE, s. 11—12) sisältyvän kansallisen laajennuksen kautta rikosasioiden tietosuojalain soveltamisalaan siltä osin kuin on kyse rikosasioiden tietosuojalaissa tarkoitetuista toimivaltaisista viranomaisista. Sovellettava yleislaki ei kuitenkaan käy selkeästi ilmi voimassa olevasta laista, minkä vuoksi muutos on tarpeellinen.
Toinen merkittävimmistä muutoksista liittyy ehdotettuun suojelupoliisin ja pääesikunnan yhteisrekisterinpitoa koskevaan pykälään (18. lakiehdotus, 48 a §), jolla kuitenkin on pyritty säilyttämään tosiasiallinen nykytila. Suojelupoliisin ja pääesikunnan turvallisuusselvityksiin liittyvä henkilötietojen käsittelytarkoitus on sama, jolloin yhteisrekisterinpito on valiokunnan saaman selvityksen mukaan mahdollinen ja tarkoituksenmukainen ratkaisu. Suojelupoliisille ehdotettu suurempi vastuu turvallisuusselvitysrekisteriin liittyvästä henkilötietojen käsittelystä vastaa nykytilaa, mutta säännöksiä selkiytetään siten, että laissa käytetään rikosasioiden tietosuojalain terminologiaa ja rekisterinpitäjien tehtävien jakautuminen ilmenee selkeämmin laista (ks. HE, s. 46). Rikosasioiden tietosuojalain mukaisesti yhteisrekisterinpito tarkoittaa kuitenkin sitä, että rekisteröity voi käyttää oikeuksiaan suhteessa kumpaankin rekisterinpitäjään (HE, s. 45).
Esityksen valmistelun yhteydessä on esityksen mukaan (HE, s. 14) kiinnitetty erityistä huomiota erityisiin henkilötietoryhmiin kuuluvien tietojen sekä muiden arkaluonteisiksi katsottavien henkilötietojen käsittelyä koskeviin säännöksiin. Eräisiin esitykseen sisältyviin lakiehdotuksiin (valmiuslaki, laki eräiden luotonantajien ja luotonvälittäjien rekisteröinnistä, ulosottokaari) on sisällytetty tarkennuksia siltä osin kuin voimassa olevaa sääntelyä ei ole pidetty riittävänä.
Hallituksen esityksestä ilmenevistä syistä ja saamansa selvityksen perusteella lakivaliokunta pitää esitystä tarpeellisena ja tarkoituksenmukaisena. Valiokunta puoltaa esityksessä ehdotettuja lakiehdotuksia seuraavin huomioin ja muutosehdotuksin.
Yhdistyslaki
Esityksessä ehdotetaan tarkistuksia yhdistyslakiin (503/1989, 7. lakiehdotus). Yhdistyslain 11 §:n 1 momentin mukaan yhdistyksen jäsenistä on pidettävä luetteloa. Luetteloon on merkittävä kunkin jäsenen täydellinen nimi ja kotipaikka. Pykälän 2 momentin mukaan yhdistyksen jäsenelle on pyydettäessä varattava tilaisuus tutustua 1 momentissa mainittuihin tietoihin. Esityksessä ehdotetaan 2 momenttiin rajoitusta tutustumisoikeuteen muiden kuin 1 momentissa tarkoitettujen tietojen osalta. Ehdotuksen mukaan, jos yhdistys kerää muita kuin 1 momentissa mainittuja tietoja, ne voidaan luovuttaa yhdistyksen jäsenelle vain erityisestä syystä.
Oikeusministeriöltä saadun selvityksen mukaan hallituksen esitykseen sisältyvän yhdistyslain 11 §:n 2 momentin muutosehdotuksen taustalla ovat yhdistyslain esityöt. Yhdistyslain 11 §:n 1 momentin alkuperäisten perustelujen (HE 64/1988 vp) mukaan säännöksessä mainitut tiedot ovat jäsenluettelon vähimmäissisältö. Estettä ei ole esimerkiksi säännöissä määrätä muidenkin tietojen merkitsemisestä luetteloon, kuten tietojen, joilla on merkitystä jäsenen äänioikeuden tai jäsenyyden edellytysten kannalta. Lain säätämisen yhteydessä aiemmasta yhdistyslaista poiketen 11 §:n 2 momenttiin on otettu mukaan säännös jäsenluettelon rajoitetusta julkisuudesta, jonka vertailukohtana on ollut osakeyhtiöitä ja osuuskuntia koskenut sääntely. Yhdistyslain 11 §:n 2 momenttia on perusteltu sillä, että yhdistystoiminnan kansanvaltaisuusperiaate huomioon ottaen ei ole syytä estää aatteellisen yhdistyksen jäsentä saamasta tietoja oman yhdistyksensä jäsenistä. Jäsentietojen täydellinen julkisuus saattaa kuitenkin eräissä tapauksissa loukata jäsenten yksityisyyden suojaa. Tästä syystä jäsenluettelo on säädetty rajoitetusti julkiseksi siten, että yhdistyksen jäsenelle on pyydettäessä varattava tilaisuus tutustua 1 momentissa tarkoitettuihin tietoihin. Yhdistyslain 11 §:n 2 momentin perustelujen mukaan oikeus on tarkoitettu rajoittuvaksi mainittuihin luetteloon merkittäviin vähimmäistietoihin. Muita luetteloon mahdollisesti merkittyjä tietoja, jotka saattavat olla eri tavoin arkaluontoisia, ei siten ole tarpeen esittää jäsenelle. Säännös ei myöskään sen perustelujen mukaan ole velvoittanut yhdistystä antamaan jäsenluettelosta otteita tai jäljennöksiä.
Oikeusministeriöltä saadun selvityksen mukaan hallituksen esityksellä on ehdotettu kirjattavaksi lain tasolle edellä mainituista yhdistyslain 11 §:n 2 momentin perusteluista ilmenevät periaatteet.
Lakivaliokunta pitää esityksessä ehdotettua ja voimassa olevan yhdistyslain lähestymistapaa jäsenluettelon rajoitetusta julkisuudesta perusteltuna erityisesti esityksessä selostetuista (HE, s. 28—29) tietosuojasyistä. Valiokunta yhtyy myös ehdotetun 11 §:n 2 momentin sanamuodon ilmentämään ajatukseen siitä, että erityisestä syystä yhdistyksen jäsenellä voi olla tarve saada myös muita kuin 1 momentissa tarkoitettuja tietoja. Valiokunta kuitenkin katsoo, että 2 momentissa ehdotettu sanamuoto "vain erityisestä syystä" on jossain määrin epämääräinen käytännön soveltamistilanteiden kannalta ja sitä on syytä selkeyttää. Selvää on, että Suomessa toimii suuri määrä yhdistyksiä ja siihen, minkä tyyppisiä muita tietoja kuin nimi ja kotipaikka yhdistyksen jäsenistä kerätään, vaikuttaa yhdistyksen toiminnan tarkoitus ja luonne. Tästä syystä erityisiä syitä, joiden perusteella näitä muita tietoja voidaan luovuttaa, on vaikea määritellä kattavasti. Vertailun vuoksi valiokunta kiinnittää huomiota siihen, että osuuskuntalain (421/2013) 4 luvun 16 §:n 1 momentissa käytetään muotoilua "joka osoittaa etunsa sitä vaativan, on oikeus nähdä myös luetteloihin merkitty muu tieto".
Asiassa saamaansa selvitystä arvioituaan valiokunta katsoo, että tiedon saanti muista kuin 1 momentissa tarkoitetuista tiedoista on syytä rajata osuuskuntalain 4 luvun 16 §:n 1 momentin muotoilun suuntaisesti jäseneen, joka osoittaa etunsa sitä vaativan. Olennaista on, että edulla tarkoitetaan etua nimenomaan yhdistyksen jäsenen roolissa. Valiokunta katsoo, että selkeyden vuoksi säännökseen on syytä sisällyttää myös viimeksi mainittu tarkennus. Valiokunta painottaa, että jäsenen on pystyttävä perustelemaan, miten pyydetyt tiedot liittyvät hänen etuunsa yhdistyksen jäsenenä.
Edellä selostetun perusteella lakivaliokunta ehdottaa yksityiskohtaisissa perusteluissa selostetuin tavoin, että 7. lakiehdotuksen 11 §:n 2 momentin toinen virke muutetaan siten, että sen mukaan jäsenellä, joka osoittaa etunsa yhdistyksen jäsenenä sitä vaativan, on oikeus nähdä myös muu luetteloon merkitty tieto.
Valiokunnan edellä ehdottama muotoilu (oikeus nähdä) vastaa myös tarkemmin yhdistyslain perusteluissa esiin tuotua periaatetta, jonka mukaan yhdistyksellä ei ole velvollisuutta antaa jäsenluettelosta otteita tai jäljennöksiä.
Yhdistyksen jäsenen edun mukaista voi olla saada tutustua erityisesti sellaisiin tietoihin, joilla on merkitystä jäsenen äänioikeuden tai jäsenyyden edellytysten kannalta. Momentissa tarkoitettu muu tieto voi olla esimerkiksi tieto jäsenmaksun tai muun jäsenvelvoitteen suorittamisesta tai laiminlyönnistä yhdistyksessä, jonka sääntöjen mukaan laiminlyönti johtaa äänioikeuden tai toimintaan osallistumisoikeuden menettämiseen tai on jäsenen erottamisperuste. Muiden jäsenten kannalta oikeus tällaisen tiedon saamiseen on tärkeätä sen seuraamiseksi, kohdellaanko yhdistyksen jäseniä yhdenvertaisesti yhdistyksen toiminnassa sekä erottamis- ja toimintaan osallistumisen rajoittamisperusteita sovellettaessa. Tieto voi olla tarpeen myös arvioitaessa yhdistyksen hallituksen toiminnan lain- ja sääntöjenmukaisuutta tai yhdistyksen kokouksen päätöstenmukaisuutta. Muiden jäsenten äänivallan ja toimintaan osallistumismahdollisuuksien kannalta yhdistyksissä voi olla olennaista, että muut jäsenet voivat valvoa sitä, että yhdistyksen kokoukset järjestetään ja että yhdistyksen hallitus ja henkilökunta toimivat näiltä osin sääntöjen mukaisesti.
Lakivaliokunta toteaa lisäksi selvyyden vuoksi, että 11 §:n 2 momentin säännös on erillinen tietosuoja-asetuksen 15 artiklan mukaisesta rekisteröidyn oikeudesta tutustua itseään koskeviin tietoihin. Rekisteröidyn oikeuksiin sovelletaan suoraan tietosuoja-asetuksen säännöksiä.
Ulosottokaaren säännökset tiedon luovuttamisesta
Esityksessä ehdotetaan ulosottokaareen useita muutoksia (11. lakiehdotus). Myös ulosottokaaren henkilötietojen luovuttamista koskeviin säännöksiin on esityksen perustelujen mukaan (HE, s. 54) kiinnitetty lainmuutosten valmistelun yhteydessä huomiota. Ulosottokaaren säännöksiä tarkennetaan siten, että henkilötietojen on oltava välttämättömiä laissa säädettyyn tarkoitukseen. Erityistä huomiota on sen osalta kiinnitetty väljiksi arvioituihin säännöksiin sekä sellaisiin henkilötietojen luovutustilanteisiin, joihin voi liittyä erityisiin henkilötietoryhmiin kuuluvia tai muita arkaluonteisiksi katsottavia henkilötietoja.
Ehdotetut muutokset perustuvat perustuslakivaliokunnan käytäntöön koskien viranomaisten tietojen saamista ja luovuttamista. Esityksen perusteluissa tuodaan esiin (HE, s. 53), että perustuslakivaliokunta on arvioinut viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta ja kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 17/2016 vp, s. 5—6 ja siinä viitatut lausunnot). Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (esim. PeVL 19/2012 vp).
Esityksessä tarkoitettuja tiedon luovuttamista koskevia ulosottokaaren säännöksiä ovat muun muassa 3 luvun 70 ja 71 § sekä oma-aloitteista tiedon luovuttamista koskeva 3 luvun 72 §. Edellä selostetuista syistä ja saamansa selvityksen perusteella lakivaliokunta pitää välttämättömyyttä koskevan kriteerin käyttöä perusteltuna esityksessä ehdotetuin tavoin. Lakivaliokunta korostaa, että sillä, onko tiedonluovutuksen edellytyksenä tietojen tarpeellisuus vai välttämättömyys, ei ole vaikutusta siihen, tuleeko tietoja luovuttavan viranomaisen arvioida tiedon luovuttamisen edellytyksiä. Myös tietojen tarpeellisuus edellyttää tiedon luovuttavan viranomaisen harkintaa siitä, millä tavalla luovutettavat tiedot liittyvät toisen viranomaisen tehtäviin. Toisen viranomaisen esittämien tietopyyntöjen osalta valiokunta painottaa, että viranomaisen tietopyyntöjen tulee yleensäkin olla riittävästi perusteltuja ja yksittäiseen asiaan liittyviä, ja tietojen välttämättömyyttä koskeva edellytys korostaa perusteluvelvollisuutta.
Lakiehdotuksen 3 luvun 70 § sisältää säännökset tietojen luovuttamisesta esitutkinta- ja eräille muille viranomaisille sekä tuomioistuimille. Pykälän 1 momentin 1 kohtaan tehdään tarkistus, jolla huomioidaan se, että siviilitiedustelua koskevan lainsäädännön voimaantulon jälkeen suojelupoliisi ei ole enää esitutkintaviranomainen (ks. HE, s. 37—38 ja 54). Pykälän 1 momentin 1 kohtaa muutetaan esityksen mukaan siten, että ulosottoviranomaisella on oikeus luovuttaa välttämättömiä tietoja suojelupoliisille valtio- ja yhteiskuntajärjestystä tai valtion turvallisuutta uhkaavien rikosten ennalta estämistä varten. Voimassa olevan kohdan mukaan tietoja voidaan luovuttaa syyttäjä- ja esitutkintaviranomaiselle rikosten selvittämistä, esitutkintaa, syyteharkintaa ja tuomioistuinkäsittelyä varten sekä törkeiden rikosten ennalta estämistä varten. Kohta on kattanut myös suojelupoliisin esitutkintaviranomaisena. Edellä todetun mukaisesti siviilitiedustelua koskevan lainsäädännön voimaantulon myötä suojelupoliisi ei ole enää esitutkintaviranomainen. Poliisin hallinnosta annetun lain (110/1992) muutetun 10 §:n mukaan suojelupoliisin tehtävänä on kuitenkin edelleen estää rikoksia, jotka voivat uhata valtio- ja yhteiskuntajärjestystä tai valtakunnan sisäistä tai ulkoista turvallisuutta. Säännöksen tarkistuksella varmistetaan, että ulosottoviranomainen voi edelleen luovuttaa välttämättömiä tietoja suojelupoliisille sen toimivaltuuksien kattamien rikosten ennalta estämiseksi. Esityksestä ilmenevistä syistä ja saamansa selvityksen perusteella lakivaliokunta pitää ehdotettua tarkistusta tarpeellisena.
Esityksen käsittelyn yhteydessä lakivaliokunnassa on noussut esiin myös kysymys siitä, tuleeko suojelupoliisin toimintaedellytysten turvaamiseksi ulosottokaaren 3 luvun 70 §:n 1 momenttia muuttaa esityksessä ehdotettua laajemmin siten, että ulosottoviranomaisten oikeus antaa tietoja suojelupoliisille laajennetaan kattamaan toiminta, joka uhkaa kansallista turvallisuutta.
Valiokunnan oikeusministeriöltä saaman selvityksen mukaan ottaen huomioon se, että nyt käsiteltävänä olevalla hallituksen esityksellä ehdotetaan tehtäväksi EU:n tietosuojalainsäädännöstä johtuvat välttämättömät muutokset ja siihen liittyen eräitä valtiosäännöstä johtuvia tarkistuksia, oikeusministeriö ei ole katsonut tarkoituksenmukaiseksi sisällyttää edellä mainittua aineellista laajennusta ulosottokaaren muuttamista koskevaan lakiehdotukseen. Tällaisella muutoksella on alustavasti arvioitu olevan myös pidemmälle menevää vaikutusta yksityiselämän ja henkilötietojen suojaan, ja muutoksen tekeminen edellyttää perusteellista vaikutusten arviointia. Myös mahdolliset tietojärjestelmävaikutukset on syytä arvioida. Saadun selvityksen mukaan oikeusministeriössä on katsottu, että tällaisen lainmuutoksen tarve on syytä arvioida erikseen, jotta voidaan hankkia muun muassa tarvittava lausuntopalaute.
Asiassa saamansa selvityksen perusteella lakivaliokunta pitää asianmukaisena hallituksen esityksessä omaksuttua ratkaisua ja ehdotusta koskien suojelupoliisille luovutettavaa tietoa. Valiokunta pitää perusteltuna ja tärkeänä, että oikeusministeriö suorittaa erikseen lainmuutoksen tarpeen arvioinnin koskien edellä selostettua laajennusta suojelupoliisille luovutettavan tiedon osalta.
Henkilötietojen käsittelyperuste kriminologian ja oikeuspolitiikan instituutissa
Esityksessä ehdotetaan tarkistuksia kriminologian ja oikeuspolitiikan instituutista annetun lain (1139/2007) 1 §:ään koskien instituutin hallinnollista asemaa ja tehtäviä sekä 4 b §:ään koskien tietojen käsittelyä ja salassapitoa (15. lakiehdotus). Lakivaliokunnalla ei ole huomautettavaa ehdotettujen muutosten sisältöön.
Esityksen perusteluissa (HE, s. 41) tuodaan esiin, että kriminologian ja oikeuspolitiikan instituutista annetun lain mukaisen henkilötietojen käsittelyn oikeusperusta on tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta (yleistä etua koskevan tehtävän suorittaminen). Saamansa selvityksen perusteella lakivaliokunta toteaa selvyyden vuoksi, että henkilötietojen käsittelyn ensisijaisena oikeusperusteena on perusteltua olla esityksen mukaisesti 6 artiklan 1 kohdan e alakohta, jonka mukaan rekisteröidyn oikeudet myös määräytyvät. Tämä ei kuitenkaan ole esteenä sille, että joissakin tilanteissa käsittelyn oikeusperusteena voi kyseisen alakohdan lisäksi olla osin samanaikaisesti erityisesti 6 artiklan 1 kohdan c alakohta (lakisääteisen velvoitteen noudattaminen).