TIETOSUOJAVALTUUTETUN TOIMISTO

Transkriptio

1 TIETOSUOJAVALTUUTETUN TOIMISTO Dnro 3498/03/2015 LAUSUNTO Liikenne- ja viestintäministeriö Viite: Hallituksen esitys eduskunnalle ajoneuvoliikennerekisterilain muuttamisesta LVM/2092/03/2015 Asia: Tietosuojavaltuutetun lausunto YLEINEN OSA Yksityiselämän suoja on perusoikeus. Suomen perustuslain 10 :n 1 momentti sisältää lainsäädäntö toimeksiannon, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Eduskunnan perustuslakivaliokunta ja hallintovaliokunta ovat lausunnoissaan ottaneet kantaneet siihen, minkälaisista henkilötietojen käsittelyyn liittyvistä asioista tulee säätää lain tasolla. Eduskunnan perustuslakivaliokunta on lausunnoissaan (mm. PeVL 35/2008 vp), todennut, että henkilötietojen suojaa koskevan perusoikeussäännöksen kannalta tärkeitä sääntelykohteita ovat ainakin: rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, niiden sallitut käyttötarkoitukset mukaan luettuna tietojen luovutettavuus ja tietojen säilytysaika henkilörekisterissä sekä rekisteröidyn oikeusturva samoin kuin näiden seikkojen sääntelemisen kattavuus ja yksityiskohtaisuus lain tasolla. Hallintovaliokunnan, jonka toimialaan henkilötietokysymykset kuuluvat, linjanvedot henkilötietojen käsittelyn sääntelystä vastaavat perustuslakivaliokunnan edellä mainittua kantaa. Tämä käy ilmi muun muassa hallintovaliokunnan lausunnoista HaVL 16 ja 19/1998 vp sekä hallintovaliokunnan mietinnöistä HaVM 25 ja 26/1998 vp. Hallintovaliokunnan mukaan lain tasolla on ilmettävä ainakin perustuslakivaliokunnan edellä mainitussa lausunnossa mainitut asiat. Asetustasolla on hallintovaliokunnan kannan mukaan mahdollista antaa rekisterin tietosisältöä täydentäviä ja tarkentavia säännöksiä, kunhan lakitekstin perusteella voidaan riittävän selkeästi päätellä asetuksen tasoisen sääntelyn sisältö. Hallintovaliokunta on pitänyt kuitenkin asianmukaisena lähtökohtana pyrkimystä mahdollisimman yksityiskohtaisesti säätää henkilötietojen suojaan liittyvistä seikoista jo lain tasolla. Perustuslakivaliokunnan ja hallintovaliokunnan edellä mainitut linjanvedot henkilörekistereiden ja henkilötietojen käsittelyn sääntelystä on otettava huomioon myös silloin, kun tällaisia säännöksiä on tarkoitus sisällyttää erityislainsäädäntöön. Lähtökohtana on, että henkilötietojen käsittelyssä noudatetaan yleislakia, henkilötietolakia. Siitä poikkeamisen tai sen täsmentämisen tarve on perusteltava.

2 TIETOSUOJAVALTUUTETUN TOIMISTO 2/5 Liikenne- ja viestintäministeriö on pyytänyt tietosuojavaltuutetulta lausuntoa hallituksen esityksestä eduskunnalle ajoneuvoliikennerekisterilain muuttamisesta. Lakimuutoksen tarkoituksena on ottaa huomioon ajoneuvojen rekisteröintitoiminnasta annetun lain (175/2015) tuomat muutokset ja tukea digitaalisten palveluiden täysimääräistä käyttöönottoa. Lakia on ehdotettu muutettavaksi siten, että ajoneuvoliikennerekisterin rekisterinpitäjällä olisi lupatehtäviä hoitaessaan oikeus saada rekisteröidyn suostumuksella poliisin passi- ja henkilökorttirekisteristä passivalokuva ja nimikirjoitusnäyte ajokortissa tai luvassa käytettäväksi. Lakimuutoksella annettaisiin Liikenteen turvallisuusvirastolle valtuudet ylläpitää rekisteriä erikoiskuljetusten liikenteenohjaajista. Lisäksi ehdotetaan, että väestötietojärjestelmään talletettu turvakielto päivittyisi ohjelmallisesti ajoneuvoliikennerekisteriin. Turvakielto kattaa ajoneuvoliikennerekisterissä edelleen myös henkilöiden nimitiedot. YKSITYISKOHTAINEN TARKASTELU 3 Rekisteröidyt Lausunnon kohteena olevan ehdotuksen 3 :n yksityiskohtaisissa perusteluissa todetaan seuraavaa: Tiehallinnossa alun perin laadittu, sittemmin Liikenneviraston päivittämä ja nykyisin Liikenteen turvallisuusvirastossa sovellettu ohje erikoiskuljetusten liikenteenohjaajakoulutuksesta (Liikenneviraston ohjeita 5/2010) sisältää ohjeistuksen rekisterinpitoon. Ohjeen mukaan rekisterinpitäjä on taho, joka Liikenneviraston kanssa tehdyn sopimuksen perusteella ylläpitää rekistereitä. Nämä rekisterit sisältävät tiedot erikoiskuljetusten liikenteenohjaajakursseista ja liikenteenohjaajaoikeuden saaneista henkilöistä sekä erikoiskuljetusten kouluttajakoulutuksesta ja kouluttajaoikeuden saaneista henkilöistä. Lakiehdotuksessa on viitattu myös 17 avustavien rekisteröintitehtävien tekijöiden eli sopimusrekisteröijien tiedonsaanti- ja toimivaltuuksiin. Ehdotuksen s. 9 saatavan tiedon perusteella, Liikenteen turvallisuusvirasto tekee sopimusrekisteröijien kanssa aina hallintosopimuksen, jolla sopimusrekisteröijän rekisteröintitehtävien asianmukainen hoitaminen varmistetaan. Kiinnitän huomiotanne siihen, että henkilötietolain 3 1 mom. 4 kohdan mukaan rekisterinpitäjällä tarkoitetaan yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty. Jos rekisterinpitäjää ei ole laissa määritelty, määritetään rekisterinpitäjä tosiasiallisten olosuhteiden perusteella. Esimerkiksi ohjeen tasoisesti ei voitaisi sitovasti määrittää sitä, että jokin taho on rekisterinpitäjän asemassa, jos tosiasiallisen analyysin perusteella rekisterinpitäjä on jokin muu taho. Koska rekisterinpitäjä vastaa henkilötietojen käsittelyn lainmukaisuudesta, on vastuukysymysten kohdentamiseksi keskeistä se, että rekisterinpitäjä on tunnistettu oikein. Kiinnitän huomiotanne myös siihen, että henkilötietolain 8 1 mom. 7 kohdan nojalla rekisterinpitäjä voi antaa henkilötietojen käsittelyä koskevan toimeksiannon toiselle organisaatiolle. Tällöin toimeksiannonsaaja käsittelee henkilötietoja toimeksiantosopimuksen perusteella. Rekisterinpitäjä vastaa tällöin tietojenkäsittelyn lainmukaisuudesta. Rekisterinpitäjä ei voi ulkoistaa vastuuta henki-

3 TIETOSUOJAVALTUUTETUN TOIMISTO 3/5 lötietojen käsittelyn lainmukaisuudesta. Niiltä osin, kun on kysymys henkilötietojen käsittelyyn liittyvistä tehtävistä, joita toinen organisaatio tekisi Liikenteen turvallisuusviraston lukuun, Liikenteen turvallisuusvirasto on yhä se taho, joka rekisterinpitäjän roolissa vastaa henkilötietojen käsittelyn lainmukaisuudesta. Toimeksiannonsaaja vastaa käsittelystä osapuolten välillä tehtävän toimeksiantosopimuksen mukaisesti. Toimeksiannonsaajan tulee käsitellä henkilötietoja laillisesti, noudattaa huolellisuutta ja hyvää tietojenkäsittelytapaa sekä toimia muutoinkin niin, ettei rekisteröidyn yksityiselämän suojaa ja muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta (HetiL 5 ). Toimeksiannonsaajan on ennen tietojen käsittelyyn ryhtymistä annettava rekisterinpitäjälle asianmukaiset selvitykset ja sitoumukset sekä muutoin riittävät takeet henkilötietojen suojaamisesta henkilötietolain 32 1 mom. tarkoitetulla tavalla (HetiL 32 2 mom.). Toimeksiantajan lukuun sopimuksen perusteella tapahtuva henkilötietojen käsittely on rekisterin käyttöä. Henkilötietojen antaminen toimeksisaajalle tietojenkäsittelyä varten ei siten ole henkilötietojen luovuttamista. Toimeksisaajalla ei ole toisaalta oikeutta käyttää toimeksiantosuhteessa saamiaan henkilötietoja omassa toiminnassaan, eikä käsitellä niitä vastoin sopimusta, eikä yhdistää tietoja muuhun hallussaan olevaan aineistoon. On huomattava, että toimeksiantaja ei voi ulkoistaa sellaista henkilötietojen käsittelyä, johon sillä itsellään ei ole oikeutta. 20 Tietojen luovuttamisen muut rajoitukset Nyt lausunnon kohteena olevan ehdotuksen 20 2 momentti ehdotetaan muutettavaksi niin, ettei Liikenteen turvallisuusviraston kautta olisi enää mahdollista pyytää turvakieltoa ajoneuvoliikennerekisteriin vaan turvakielto toteutettaisiin ns. yhden luukun periaatteen mukaisesti väestötietojärjestelmään tehtävän turvakiellon kautta. Lausunnon kohteena olevan ehdotuksen 20 3 momentissa todetaan, että Luovutettaessa 2 momentissa tarkoitettu luovutusrajoituksen alainen tieto on luovutuksensaajalle samalla ilmoitettava luovutusrajoituksesta samoin kuin tietojen käyttöä ja suojasta koskevat rajoitukset. Rekisterinpitäjä voi erityisestä syystä päättää luovutusrajoituksesta ilmoittamatta jättämisestä, jos luovutettava tieto ja sen käyttötarkoitus on sellainen, että ilmoittamatta jättämisen ei arvioida vaarantavan luovutusrajoituksen käyttötarkoitusta. Kyseistä ilmoitusmenettelyn rajoitusta tiedon turvakiellon alaisuudesta on perusteltu hallituksen esityksessä HE 267/2004 ajoneuvoliikennerekisterilain 20 :ää koskevissa yksityiskohtaisissa perusteluissa. Kyseisen esityksen mukaan: -- Tällaisena syynä voitaisiin pitää esimerkiksi Suomea velvoittavan kansainvälisen sopimuksen määräyksiä tai yhteisön lainsäädännön säännöksiä toimivaltaisten viranomaisten tietojen vaihdosta. Tällaisissa tilanteissa tietojen luovuttamisen viranomaiskäyttöön ilman samanaikaista tietoa luovutusrajoituksesta ei arvioida vaarantavan luovutusrajoituksen alkuperäistä tarkoitusta, mutta tietojenvaihtovelvollisuuden tarkoituksen täyttämiseksi luovutusrajoitusten alaiset henkilötiedot tulisi voida välittää vastaavalla tavalla kuin muut henkilötiedot.--

4 TIETOSUOJAVALTUUTETUN TOIMISTO 4/5 On kiinnitettävä huomiota siihen, mitä laissa väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista (661/2009) 37 :ssä säädetään turvakiellon kohteena olevien tietojen käsittelystä ja turvakiellosta ilmoittamisesta: Viranomainen, jolle väestötietojärjestelmästä on luovutettu turvakiellon kohteena olevia tietoja, ei saa luovuttaa tietoja edelleen eikä antaa niitä sivullisen nähtäväksi tai käsiteltäväksi, jollei laissa toisin säädetä. Viranomaisen on myös huolehdittava siitä, että tietoja saavat käsitellä vain sellaiset henkilöt, joiden tehtäviin kyseisten tietojen käsittely välittömästi kuuluu. Kun rekisterihallinnon viranomainen luovuttaa toiselle viranomaiselle turvakiellon kohteena olevia tietoja, sen on samalla ilmoitettava viranomaiselle myös turvakiellosta, jollei kysymys ole tiedon luovuttamisesta postilähetystä tai muuta vastaavaa kertakäyttöä varten. Väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetun lain hallituksen esityksen HE 89/ :ää koskevassa yksityiskohtaisissa perusteluissa todetaan, että Tällä ilmoitusmenettelyllä halutaan varmistaa, että tiedot saava viranomainen on tietoinen luovutettujen tietojen erityisluonteesta ja että tämä viranomainen voi suunnitella oman tietojen käyttöä ja suojausta koskevan prosessinsa nämä näkökohdat huomioon ottaen. Postilähetyksiä ja muita tiedon käytön kertatarpeita koskeva poikkeussaannos on katsottu tarpeelliseksi, koska näissä tapauksissa turvakiellosta ilmoittaminen saattaisi itse asiassa aiheuttaa suuremman vaaran turvakiellon alaisten tietojen paljastumiseen ulkopuolisille kuin sen ilmoittamatta jättäminen. Ajoneuvoliikennerekisterilain harkinnanvarainen ilmoittamatta jättämistä koskeva säännös vaikuttaa olevan laajempi suhteessa väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetun lain 37 :ään. Turvakielto annetaan silloin, kun rekisteröidyllä on perusteltu syy epäillä hänen turvallisuutensa olevan vaarassa, tästä syystä turvakiellonalaisia tietoja ei tulisi missään yhteyksissä luovuttaa ilman tietoa luovutusrajoituksista, jollei tiedon ilmoittamisesta aiheutuisi suurempaa vaaraa turvakiellon alaisten tietojen paljastumiselle kuin sen ilmoittamatta jättämisestä. Esimerkiksi pelkästään se seikka, että tiedot luovutetaan ulkomaalaiselle viranomaiselle, ei oikeuttaisi poikkeamaan ilmoitusvelvollisuudesta. Tällainen menettely saattaisi johtaa tilanteeseen, jossa muun muassa turvakiellon alaisia osoitteita voitaisiin luovuttaa ulkomaille ilman tietoa luovutusrajoituksesta. Turvakiellon alainen osoite saattaisi siten olla vapaasti saatavissa ulkomaisen viranomaisen kautta. Lakiesityksen jatkovalmistelussa olisikin tarpeen selvittää, onko tarkoituksenmukaista, että ajoneuvoliikennerekisterilain nojalla tietojen turvakiellon ilmoittamisjättämistä koskeva säännös on laajempi kuin Väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista annetussa laissa säädetty. JOHTOPÄÄTÖS Kokonaisuudessaan arvioituna hallituksen esitys näkemykseni mukaan täyttää henkilötietojen

5 TIETOSUOJAVALTUUTETUN TOIMISTO 5/5 käsittelyn asianmukaisuuden sekä tarpeellisuuden vaatimuksen, joskin muutamat edellä esitetyt seikat on syytä ottaa huomioon. Tietosuojavaltuutetun sijaisena, toimistopäällikkö Heljä-Tuulia Pihamaa Ylitarkastaja Anna Hänninen