Sääntelyuudistuksen merkitys. Lainsäädäntö ja hallinto Niina Harjunheimo MUISTIO 1 (6) Eduskunnan hallintovaliokunnalle

Transkriptio

1 Niina Harjunheimo MUISTIO 1 (6) Eduskunnan hallintovaliokunnalle (U 21/2012) VALTIONEUVOSTON JATKOKIRJELMÄ EDUSKUNNALLE EHDOTUKSESTA YLEISEKSI TIETOSUOJA-ASETUKSEKSI Valtioneuvosto on toimittanut eduskunnalle jatkokirjelmän komission tammikuussa 2012 antamasta ehdotuksesta yleiseksi tietosuoja-asetukseksi eli EU:n tietosuojasääntelyn uudistuksesta. Jatkokirjelmässä kuvataan neuvostokäsittelyn aikana tehtyjä muutoksia niihin yleisen tietosuoja-asetuksen lukuihin, joista neuvosto ei vielä ole saavuttanut osittaista yleisnäkemystä: luku I yleiset säännökset luku III rekisteröidyn oikeudet luku VIII oikeussuojakeinot, vastuu ja seuraamukset luku X delegoidut säädökset ja täytäntöönpanosäädökset sekä luku XI loppusäännökset. Kuudesta yleisen tietosuoja-asetuksen luvusta neuvosto on saavuttanut osittaiset yleisnäkemykset jo aikaisemmin (luku II periaatteista, luku IV rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista, luku V henkilötietojen siirrosta kolmansiin maihin, luvut VI ja VII valvontaviranomaisista ja viranomaisten yhteistyöstä sekä luku IX henkilötietojen käsittelyyn liittyvistä erityistilanteista). Jatkokirjelmässä esitetään myös kokonaisarvio Suomen neuvottelutavoitteiden toteutumisesta sääntelyuudistuksesta käydyissä neuvotteluissa. Sääntelyuudistuksen merkitys Sääntelyuudistuksen tavoitteena on korvata EU:n tietosuojadirektiivi (95/46/EY) yleisellä tietosuoja-asetuksella ja uudistaa siten EU:n henkilötietojen suojaa koskeva yleissääntely kokonaisuudessaan. EU:n tietosuojadirektiivi on saatettu kansallisesti täytäntöön henkilötietolailla (523/1999). Sääntelyuudistus on vaikutuksiltaan erittäin laaja, sillä lähes kaikki yksityiset ja julkiset organisaatiot, muun muassa yritykset, kunnat, tutkimuslaitokset ja yhdistykset, käsittelevät henkilötietoja. Yrityksille hyvin suunniteltu ja tehokas tietojen käsittely on keskeinen osa kilpailukykyä. Tehokasta tietojen käsittelyä on mahdollista hyödyntää esimerkiksi prosessien tehostamisessa ja innovaatiotoiminnassa. Ymmärtämällä asiakkaiden mieltymyksiä Elinkeinoelämän keskusliitto EK PL 30 (Eteläranta 10), Helsinki Puhelin (09) Faksi (09) ek@ek.fi Y-tunnus Kotipaikka Helsinki

2 ELINKEINOELÄMÄN KESKUSLIITTO EK MUISTIO 2 (6) ja räätälöimällä palveluita niiden mukaisesti yritysten on myös mahdollista rakentaa laadukasta ja kilpailukykyistä asiakaskokemusta. Lisäksi jokainen työnantajayritys käsittelee välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja. Yleistä tietosuoja-asetusta sovellettaisiin suoraan paitsi yrityksissä lähtökohtaisesti myös esimerkiksi kunnissa, ja uudella asetuksella määritettäisiin koko EU:n alueella muun muassa seuraavat asiat: Mikä tieto on henkilötietoa eli minkä kaiken tiedon käsittelyssä on noudatettava tietosuojasääntelyä Millä perusteilla eri tahot, kuten esimerkiksi yritykset ja yhdistykset, voivat käsitellä henkilötietoja Mitä velvollisuuksia henkilötietojen käsittelyyn liittyy Mitkä ovat rekisteröityjen eli niiden henkilöiden, joiden tietoja käsitellään, oikeudet Millaisia seuraamuksia voi seurata EU-sääntelyn vastaisesta henkilötietojen käsittelystä Yleiset säännökset, rekisteröityjen oikeudet sekä oikeussuojakeinoja, vastuuta ja seuraamuksia koskeva sääntely Jatkokirjelmässä todetaan, että neuvottelut yleisiä säännöksiä, rekisteröityjen oikeuksia sekä oikeussuojakeinoja, vastuuta ja seuraamuksia koskevista luvuista jatkuvat edelleen asiantuntijatasolla. Yleisten säännösten osalta EK pitää tärkeänä, että esimerkiksi henkilötiedon määritelmä säilytetään henkilötietolaissa säädetyn kaltaisena. Ns. konserniyhteyttä koskevan henkilötietolain säännöksen säilymisen kannalta puolestaan on tärkeätä, että yritysryhmän määritelmä kattaa paitsi konsernit myös muut taloudelliset yhteenliittymät. Rekisteröityjen oikeuksia koskevan luvun osalta jatkokirjelmässä nostetaan esiin muutama luvun artikla ja näihin artikloihin tehtyjä muutoksia. EK toteaa, että jatkokirjelmässä esitettyjen tietojen valossa ei ole mahdollista arvioida kattavasti, mitä muutoksia yleisestä tietosuoja-asetuksesta seuraisi henkilötietolaissa säädettyihin rekisteröityjen oikeuksiin ja siten rekisterinpitäjien velvollisuuksiin. EK toteaa lisäksi, että rekisteröityjen oikeuksia koskeva luku sisältää jatkokirjelmässä kuvattujen artiklojen lisäksi myös muita elinkeinoelämälle tärkeitä artikloita, kuten esimerkiksi automatisoituja päätöksiä ja / tai profilointia koskevan artiklan. Koko luvun hyväksyttävyyteen ei siten ole mahdollista ottaa kantaa. Jatkokirjelmässä kuvattu rekisteröidyn henkilötietolakiin nähden uusi oikeus siirtää tiedot järjestelmästä toiseen eli rekisterinpitäjän velvollisuus huolehtia em. oikeuden toteutumisesta vaikuttaa kuitenkin jatkokirjelmän tietojen valossa edelleen ongelmalliselta etenkin, jos säännös pitää sisällään velvollisuuden mahdollistaa sähköisen asioinnin ja käyttää yhteensopivia järjestelmiä. Oikeussuojakeinoja, vastuuta ja seuraamuksia koskevan luvun osalta EK pitää välttämättömänä varmistaa, että vahingonkorvausvastuuta koskeva sääntely on sopusoinnussa kansallisten vahingonkorvausoikeuden periaatteiden kanssa. Esimerkiksi neuvotteluissa esillä ollut sääntely, jonka mukaan sekä rekisterinpitäjä että henkilötietojen käsittelijä olisivat kummatkin vahingonkorvauksen hakijaan nähden täy-

3 ELINKEINOELÄMÄN KESKUSLIITTO EK MUISTIO 3 (6) dessä vastuussa vahingosta riippumatta omasta tuottamuksestaan, ei EK:n näkemyksen mukaan ole hyväksyttävissä. Myös hallinnollisia seuraamuksia koskevan sääntelyn on oltava sopusoinnussa kansallisen seuraamusjärjestelmän kanssa. Hallinnollisten seuraamusten on esimerkiksi oltava oikeassa suhteessa niihin seuraamuksiin, joita Suomessa yleensä voidaan määrätä lainsäädännössä määritettyjen velvollisuuksien laiminlyönnistä tai vaatimusten rikkomisesta. EK:n näkemyksen mukaan esimerkiksi neuvotteluissa esillä ollut hallinnollisen sakon enimmäismäärä kaksi prosenttia yrityksen vuotuisesta maailmanlaajuisesta liikevaihdosta tai jatkokirjelmässä kuvattu miljoonan euron enimmäismäärä ovat suomalaisen seuraamusjärjestelmän näkökulmasta arvioituna erittäin korkeita eivätkä ne siten ole hyväksyttävissä. Jatkokirjelmässä esitettyjen tietojen valossa EK toteaa, että sekä vahingonkorvausvastuuta että hallinnollisia seuraamuksia koskeva sääntely vaikuttaa edelleen ongelmalliselta ja edellyttää jatkotyötä tasapainoisen lopputuloksen saavuttamiseksi. Samalla EK korostaa, että jatkokirjelmän tiedot sekä vahingonkorvausvastuuta että hallinnollisia seuraamuksia koskevasta sääntelystä ovat puutteelliset, eikä niiden valossa ole mahdollista muodostaa kokonaiskuvaa seuraamuksia koskevasta sääntelystä ja arvioida mm. sääntelyn oikeasuhtaisuutta, ml. seuraamusten porrastamista rikkomuksen vakavuuden perusteella, sekä täsmällisyyttä ja tarkkarajaisuutta. Jatkokirjelmästä ei esimerkiksi käy ilmi, mitkä teot olisivat sanktioituja hallinnollisilla seuraamuksilla, mihin sanktioiden luokkiin sanktioitavat teot sijoittuisivat, missä tilanteissa olisi mahdollista antaa huomautus hallinnollisten sakkojen sijaan ja millä kriteereillä arvioitaisiin hallinnollisten sakkojen määräämistä ja määrää. Jatkokirjelmästä ei myöskään käy ilmi, säilyisikö jäsenmailla mahdollisuus määrittää kansallisesti, kenellä olisi toimivalta määrätä hallinnollinen sakko. Kokonaisarvio neuvottelutavoitteiden toteutumisesta Elinkeinoelämän keskusliitto EK on painottanut jo toukokuussa 2013, että yleisen tietosuoja-asetuksen sisältöä on arvioitava kattavasti kokonaisuutena ja suhteessa sääntelyuudistukselle asetettuihin tavoitteisiin. Lisäksi EK on korostanut, että ennen kuin neuvotteluissa tehdään sääntelyuudistuksen hyväksymistä koskevia päätöksiä, on välttämätöntä muodostaa selkeä kokonaiskuva uudistuksen vaikutuksista nykyisin voimassa olevaan kansalliseen sääntelyyn henkilötietojen suojasta. Tämä on tärkeätä esimerkiksi, jotta vuosien saatossa toimiviksi todetuista kansallisista henkilötietolaissa omaksutuista sääntelyratkaisuista voitaisiin pitää kiinni. Riittävää ei ole kuvata, mitä muutoksia neuvottelujen aikana on tehty komission tammikuussa 2012 antamaan ehdotukseen. Sääntelyuudistukselle asetettujen tavoitteiden osalta valtioneuvosto totesi uudistusta koskevassa U-kirjelmässä, että on tärkeää, että EU:n osittain hajanaista ja monimutkaista tietosuojalainsäädäntöä yksinkertaistetaan ja yhdenmukaistetaan siten, että samalla säilytetään tietosuojan korkea taso. Lisäksi on tärkeää, että oikeudellinen kehikko on ymmärrettävä ja että säännöksiä on helppo soveltaa.

4 ELINKEINOELÄMÄN KESKUSLIITTO EK MUISTIO 4 (6) Hallintovaliokunta puolestaan on korostanut, että neuvotteluissa tulisi pyrkiä löytämään tasapaino toisaalta henkilötietojen suojan sekä toisaalta yritysten laadukkaan toimintaympäristön ja tietojen käsittelystä digitaalitaloudessa saatavien hyötyjen välillä ja tulisi pyrkiä ratkaisuihin, jotka vähentävät yritysten ja viranomaisten tarpeetonta hallinnollista taakkaa ja pitävät sääntelyn noudattamisen kokonaiskustannukset kohtuullisina siten, että samalla säilytetään tietosuojan korkea taso. EK:n käytettävissä olevien tietojen valossa vaikuttaa, että neuvotteluissa ei ole saavutettu tavoitteita nykyistä yksinkertaisemmasta sääntelystä tai ymmärrettävästä ja helposti sovellettavasta lainsäädännöstä. Neuvoston hyväksymät osittaiset yleisnäkemykset yleisestä tietosuoja-asetuksesta sisältävät osittain EU:n tietosuojadirektiiviä ja henkilötietolakia yksityiskohtaisempaa sääntelyä esimerkiksi rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksista. Lisäksi kuten valtioneuvosto totesi jo U-kirjelmässä, yleinen tietosuoja-asetus edellyttää erityislainsäädäntöä kansallisella tasolla eli jatkossa etenkin julkisella sektorilla olisi sovellettava rinnakkain EU-asetuksen sisältämää sääntelyä ja kansallista sääntelyä, jossa olisi mahdollista täsmentää EU-asetuksen sääntelyä esimerkiksi tilanteissa, joissa käsittely johtuu rekisterinpitäjälle laissa säädetystä tehtävästä tai velvoitteesta. Neuvoston hyväksymät osittaiset yleisnäkemykset yleisesti tietosuoja-asetuksesta sisältävät myös monin kohdin tulkinnanvaraisia ja / tai vaikeasti ymmärrettäviä säännöksiä, mikä vaikeuttaisi sääntelyn soveltamista esimerkiksi pk-yrityksissä. EK on pitänyt neuvottelujen aikana erittäin tärkeänä esimerkiksi sitä, että henkilötietoja on yksiselitteisesti laillista käsitellä myös jatkossa tilanteissa, joissa rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muuhun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan, ja tilanteissa, joissa on kysymys konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tietoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä (vrt. henkilötietolain 8 ). Neuvoston hyväksymässä osittaisessa yleisnäkemyksessä em. henkilötietolain mukaisista laillisen käsittelyn perusteista on kirjaukset johdantolausekkeissa ja vain muodossa, että em. tilanteissa saattaa olla laillista käsitellä henkilötietoja mikäli rekisteröityjen edut tai perusoikeudet ja -vapaudet eivät syrjäytä rekisterinpitäjän oikeutettuja etuja käsitellä henkilötietoja. Tulkinnanvaraisuutta lisää myös se, että monin osin neuvoston hyväksymien osittaisten yleisnäkemysten johdantolausekkeissa asetetaan artikloista ilmeneville vaatimuksille tai velvollisuuksille lisävaatimuksia tai -velvollisuuksia. EK:n käytettävissä olevien tietojen valossa vaikuttaa, ettei neuvotteluissa myöskään ole saavutettu sääntelytaakkaan liittyviä tavoitteita. Muun muassa neuvostossa jo hyväksytty IV luku rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuuksista sisältää rekisterinpitäjille ja henkilötietojen käsittelijöille henkilötietolakiin nähden uusia velvollisuuksia. Henkilötietolakiin verrattuna lisätaakkaa rekisterinpitäjille aiheuttaisi jo yksin artiklaan 22 sisältyvä, henkilötietolakiin nähden uusi näyttötaakkasäännös, jonka mukaan rekisterinpitäjän, kuten esimerkiksi yrityksen tai kunnan, on kyettävä milloin tahansa osoittamaan, että henkilötietoja käsitellään asetuksen mukaisesti. Säännöksen raskaus korostuisi, jos säännöksen laiminlyönti sanktioitaisiin hallinnollisella sakolla, kuten neuvotteluissa on ollut esillä. Artiklan 22 mukaan ottaen huomioon käsittelyn

5 ELINKEINOELÄMÄN KESKUSLIITTO EK MUISTIO 5 (6) luonteen, laajuuden, kontekstin ja tarkoitukset sekä yksilöiden oikeuksille ja vapauksille aiheutuvan riskin todennäköisyyden ja ankaruuden (severity) rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet ja kyettävä osoittamaan, että henkilötietoja käsitellään asetuksen mukaisesti. EK:n käytettävissä olevien tietojen mukaan henkilötietolakiin nähden uusia velvollisuuksia rekisterinpitäjille aiheutuisi artiklan 22 lisäksi muun muassa seuraavista artikloista ja artikloihin liittyvistä johdantolausekkeista: artikla 23 velvollisuudesta toteuttaa sisäänrakennettu ja oletusarvoinen tietosuoja artikla 26 velvollisuudesta laatia henkilötietojen käsittelijän kanssa asetuksen vaatimukset täyttävä sopimus artikla 31 velvollisuudesta ilmoittaa tietoturvaloukkauksista valvontaviranomaiselle artikla 32 velvollisuudesta ilmoittaa tietoturvaloukkauksista rekisteröidylle artikla 33 velvollisuudesta toteuttaa asetuksessa määritetyissä tilanteissa tietosuojaa koskeva vaikutusarviointi ja pyytää rekisteröityjen tai näiden edustajien näkemys suunnitelluista käsittelytoimista artikla 18 velvollisuudesta huolehtia, että rekisteröity voi vastaanottaa itseään koskevat henkilötiedot jäsennellyssä, yleisesti käytössä olevassa ja koneluettavassa muodossa ja siirtää henkilötiedot toiselle rekisterinpitäjälle. EK toteaa lisäksi, että lisääntyvän sääntelytaakan kohtaisivat sekä kansallisilla markkinoilla että sisämarkkinoilla tai globaalisti toimivat yritykset nykyistä jonkin verran yhdenmukaisemmasta EU-sääntelystä pystyisivät sen sijaan hyötymään vain kansainvälistyneet yritykset. Ns. yhden luukun mekanismin ja yhdenmukaisuusmekanismin osalta EK yhtyy jatkokirjelmässä esitettyyn kantaan, että neuvoston osittaisen yleisnäkemyksen sisältämä mekanismi ei vastaa Suomen neuvottelutavoitteita. EK on esimerkiksi pitänyt yritysten oikeusturvan kannalta olennaisena välttää sääntely, jonka mukaan rekisterinpitäjää tai henkilötietojen käsittelijää velvoittavan päätöksen tekisi usean maan viranomainen sekä Euroopan tietosuojaneuvosto ja yrityksen tulisi hakea päätöksiin muutosta useilta eri valitusviranomaisilta. Työelämän tietosuojaa koskevan sääntelyn osalta EK pitää valtioneuvoston tavoin tärkeänä, että neuvotteluissa turvataan mahdollisuus säilyttää kansallinen työelämän erityissääntely, ml. työnantajien mahdollisuus käsitellä terveyttä koskevia henkilötietoja mm. jos käsittelyä tarvitaan työehtosopimuksesta johtuvien oikeuksien ja velvollisuuksien täytäntöönpanemiseksi. Samoin on varmistettava, ettei yleisellä tietosuojaasetuksella kiristetä tilastointia, ml. palkkatilastointia, koskevaa sääntelyä nykyisestä. Hallintovaliokunta on todennut, että neuvotteluissa tulee varmistaa, ettei ehdotus merkitse sääntelyn kiristymistä niin, että nykyisenkaltainen palkkatilastointi kävisi mahdottomaksi. EK toteaa, että valtioneuvosto ei ole muodostanut kokonaiskuvaa työelämää, ml. palkkatilastointia, koskevasta sääntelystä, eikä EK:n käytettävissä olevien tietojen pohjalta ole mahdollista arvioida työelämää koskevien neuvottelutavoitteiden saavuttamista. EK:n käsityksen mukaan neuvotteluissa on viime viikkojen aikana tehty mm. esityksiä, jotka vaarantaisivat palkkatilastoinnin jatkumisen nykyisenkaltaisena.

6 ELINKEINOELÄMÄN KESKUSLIITTO EK MUISTIO 6 (6) Hallinnollisten seuraamusten osalta EK viittaa edellä esitettyyn. Kokonaisarvion osalta EK toteaa lopuksi, että arvion kannalta keskeisistä luvuista, kuten esimerkiksi hallinnollisia seuraamuksia koskevasta luvusta, neuvotellaan edelleen eikä koko yleisen tietosuoja-asetuksen sisältö näin ollen ole sidosryhmien arvioitavissa. EK:n käytettävissä olevien tietojen valossa sääntelyuudistukselle asetettujen neuvottelutavoitteiden saavuttaminen edellyttää kuitenkin edelleen jatkotyötä. EK korostaa myös, että sääntelyuudistuksen laajojen vaikutusten vuoksi on tärkeätä, että valtioneuvosto muodostaa selkeän kokonaiskuvan uudistuksen vaikutuksista voimassa olevaan kansalliseen sääntelyyn henkilötietojen suojasta ja arvioi uudistuksen hyväksyttävyyttä yhdessä sidosryhmien kanssa, ml. työoikeusjaostossa, ennen kuin neuvotteluissa tehdään päätöksiä sääntelyuudistuksen hyväksymisestä ja yleisvarauman poistamisesta.