VASTINE Lainvalmisteluosasto Julkisoikeuden yksikkö 28.5.2018 LsN Anu Talus Hallintovaliokunnalle HALLITUKSEN ESITYS EDUSKUNNALLE EU:N YLEISTÄ TIETOSUOJA-ASETUSTA TÄYDENTÄVÄKSI LAINSÄÄDÄNNÖKSI (HE 9/2018 VP) Hallitus antoi eduskunnalle esityksen EU:n yleistä tietosuoja-asetusta täydentäväksi lainsäädännöksi (tietosuojalaki) 1.3.2018. Esityksen mukaan ehdotetulla tietosuojalailla täydennettäisiin ja täsmennettäisiin Euroopan unionin yleistä tietosuoja-asetusta. Oikeusministeriö on toimittanut 19.4.2018 hallintovaliokunnalle välivastineen hallituksen esityksen valiokuntakuntakuulemisen yhteydessä toimitetuista lausunnoista. Oikeusministeriö täydentää hallintovaliokunnalle toimittamaansa välivastineessa lausumaansa erityisesti niiden seikkojen osalta, joihin perustuslakivaliokunta on 9.5.2018 antamassaan lausunnossa (PeVL 14/2018 vp) kiinnittänyt huomiota. Lisäksi vastineessa on otettu huomioon lakivaliokunnan 24.5.2018 antama lausunto (LaVL 5/2018 vp). Tämän vastineen liitteenä on oikeusministeriön ehdotus eräiden ehdotetun tietosuojalain pykälien tarkistamiseksi sekä taulukko hallinnollisten seuraamusmaksujen määräämisestä viranomaisille eräissä jäsenvaltioissa. Ajantasaista tietoa kaikkien taulukossa esiintyvien jäsenvaltioiden osalta ei ole saatavilla. Sananvapaus V:\HaV_tietopankki\Asiantuntijalausunnot\HE_9_2018vp\OM_Talus_vastine _29052018_HE_9_2018vp.docx Perustuslakivaliokunta on tietosuojalakiehdotuksesta antamassaan lausunnossa katsonut, että sananvapauden ja tiedonvälityksen vapauden Käyntiosoite Postiosoite Puhelin Faksi Sähköpostiosoite Eteläesplanadi 10 PL 25 02951 6001 09 1606 7730 oikeusministerio@om.fi HELSINKI 00023 VALTIONEUVOSTO
2(12) turvaamiseksi säädetyt poikkeukset yleisestä tietosuoja-asetuksesta ovat osin tulkinnanvaraisia. Perustuslakivaliokunta on lausunnossaan todennut, että perusoikeusrajoitusten tulee olla tarkkarajaisia ja riittävän täsmällisesti määriteltyjä, minkä lisäksi rajoitusten olennaisen sisällön tulee ilmetä laista (PeVM 25/1994 vp, s. 5/I). Perustuslakivaliokunta ei lausunnossaan esitä millä tavoin säännöstä tulisi tarkentaa, mutta katsoo, että hallintovaliokunnan on perustuslain 10 ja 12 :stä johtuvista syistä täsmennettävä sääntelyä olennaisesti. Perustuslakivaliokunta on kiinnittänyt huomiota muun muassa siihen, että ehdotetun 27 :n 3 momentin mukaan eräitä yleisen tietosuoja-asetuksen säännöksiä sovellettaisiin ainoastaan soveltuvin osin henkilötietojen käsittelyyn ainoastaan journalistisia tarkoituksia varten tai akateemisen, taiteellisen ja kirjallisen ilmaisun tarkoituksia varten. Momentin mukaan sananvapauden ja tiedonvälityksen vapauden turvaamiseksi henkilötietojen käsittelyyn ainoastaan journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten sovelletaan tietosuoja-asetuksen 5 artiklan 1 kohdan a ja b alakohtaa ja 2 kohtaa, 24 26 artiklaa, 31 artiklaa, 39 ja 40 artiklaa, 42 artiklaa, 57 ja 58 artiklaa, 64 artiklaa ja 70 artiklaa ainoastaan soveltuvin osin. Oikeusministeriö toteaa, että pykälässä on käytetty ilmaisua soveltuvin osin, jota lainkirjoittajan oppaan mukaan tulisi säädöskielessä välttää. Lainkirjoittajan oppaan mukaan viittaus toisen lain soveltamiseen tai noudattamiseen on pyrittävä kirjoittamaan auki muilla keinoin ja täsmällisesti. (s. 222) Ehdotetussa pykälässä on viitattu yleisen tietosuoja-asetuksen tiettyjen artiklojen soveltamiseen. Hallituksen esityksen perustelutekstissä selvennetään yksityiskohtaisesti, miltä osin pykälässä mainittuja artikloja on sovellettava. Esimerkiksi yleisen tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista yleisistä periaatteista. Yleiset periaatteet voivat tulla sovellettavaksi ainoastaan tilanteessa, jossa jokin rekisterinpitäjän varsinainen velvoite tai rekisteröidyn oikeus tulee sovellettavaksi. Yleisiä periaatteita ei voida soveltaa itsenäisesti muista velvoitteita ja oikeuksista irrallisena. Yleisten periaatteiden soveltumista soveltuvin osin on kuvattu ja selvennetty yksityiskohtaisesti hallituksen esityksen perusteluissa. Ehdotuksen mukaan myös esimerkiksi rekisterinpitäjän vastuuta koskevaa 24 artiklaa sovellettaisiin vain soveltuvin osin. Rekisterinpitäjän vastuuta koskevassa 24 artiklassa on säädetty yleisellä tasolla rekisterinpitäjän vastuusta. Rekisterinpitäjän vastuuta koskevaa artiklaa on tulkittava yhdessä muiden rekisterinpitäjän velvollisuuksia koskevien säännöksien kanssa. Yleisen tietosuoja-asetuksen 24 artiklaa ei voida soveltaa itsenäisesti rekisterinpitäjän muista velvoitteista irrallisena velvoitteena. Asetuksen 24 artikla tulee ehdotuksen mukaan sovellettavaksi niissä tilanteissa, joissa
3(12) jokin yleisen tietosuoja-asetuksen mukainen reksiterinpitäjän velvoite tulee sovellettavaksi. Tämä on todettu hallituksen esityksen perusteluissa. Edellä annettujen kahden esimerkin lisäksi vastaava asetelma koskee myös muita 27 :n 3 momentissa lueteltuja yleisen tietosuoja-asetuksen artikloja. Pykälässä mainittuja artikloja ei voida soveltaa itsenäisesti, muista velvoitteista tai oikeuksista irrallisina. Esityksen perusteluissa on kunkin 27 :ssä viitatun artiklan osalta yksityiskohtaisesti selvennetty, millä tavoin kyseinen artikla tulee sovellettavaksi ko. pykälällä tarkoitettuun henkilötietojen käsittelyyn. Oikeusministeriö toteaa, että vaikka ehdotetussa 27 :ssä on käytetty ilmaisua soveltuvin osin, ei lakiehdotus jätä rekisterinpitäjän tai valvontaviranomaisen harkintaan miltä osin 3 momentissa tarkoitetut artiklat tulevat sovellettavaksi. Tämä käy edellä kuvatuin tavoin ilmi hallituksen esityksen perusteluista. Perustuslakivaliokunnan lausunnossa on myös kiinnitetty huomiota ehdotetun pykälän 2 momentin virkkeeseen, jonka mukaan asetuksen 44-50 artiklaa ei sovelleta, jos soveltaminen loukkaisi oikeutta sananvapauteen tai tiedonvälityksen vapauteen. Hallituksen esityksen perusteluissa on selvennetty, että tiedonsiirtoja koskevia 44-50 artiklaa sovelletaan velvoitteiden koskiessa henkilötietojen suojaamista ja tietoturvallisuutta. Ehdotetun momentin ilmaisu loukkaisi oikeutta sananvapauteen tai tiedonvälityksen vapauteen on puolestaan johdettu yleisen tietosuoja-asetuksen 86 artiklasta, jonka mukaan jäsenvaltioiden on säädettävä poikkeuksia eräistä yleisen tietosuoja-asetuksen artikloista, jos ne ovat tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa. Oikeusministeriön näkemyksen mukaan keskeistä on, että sääntelyratkaisu on alaltaan mahdollisimman kattava. Ei ole myöskään mahdollista tyhjentävästi yksilöidä sääntelytasolla erilaisia tilanteita, joissa asetuksen sääntelystä tulisi poiketa tässä tarkoitettujen oikeuksien yhteensovittamiseksi. Tämän vuoksi sääntely on jätettävä yleisten ilmaisujen varaan. Lisäksi oikeusministeriö toteaa, että Euroopan unionin tuomioistuimen oikeuskäytännössä on korostettu, että sananvapautta on tulkittava laajasti (Satamedia, ECLI:EU:C:2008:727). Oikeusministeriö vielä korostaa, että ehdotetun sääntelyn tavoitteena on nykytilan säilyttäminen, joten säännöksen tulkinnassa voidaan nojautua nykykäytäntöön. Säännösehdotuksen yksityiskohtaisissa perusteluissa on myös seikkaperäisesti selvitetty säännösten sisältöä. Oikeusministeriö näkemyksen mukaan tässä sääntely-yhteydessä ei ole nähtävissä edellytyksiä sääntelyn edelleen täsmentämiseen. Lisäksi tässä yhteydessä voidaan myös viitata Ruotsin vastaavaa asiakokonaisuutta koskevaan sääntelyyn, joka on toteutettu alla olevalla tavalla.
4(12) Förhållandet till tryck- och yttrandefriheten 7 EU:s dataskyddsförordning och denna lag ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Artiklarna 5 30 och 35 50 i EU:s dataskyddsförordning samt 2 5 kap. denna lag ska inte tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Suhde tieteen vapauteen Ylimmän laillisuusvalvonnan asema Perustuslakivaliokunta on lausunnossaan edellyttänyt hallintovaliokunnan muuttavan sääntelyä siten, että tieteen vapaus tulee paremmin turvatuksi. Oikeusministeriö on hallintovaliokunnalle aiemmin toimittamassaan lausunnossa katsonut, että pykälää, jonka nojalla rekisteröidyn oikeuksista on mahdollista poiketa, kun henkilötietoja käsitellään tieteellistä tutkimustarkoitusta varten olisi mahdollista muuttaa siten, että suojatoimiin sisällytettäisiin myös yleisen tietosuoja-asetuksen tarkoittamat käytännesäännöt. Käytännesääntöjen sisällyttäminen tieteellistä tutkimusta koskevaan 31 :ään jättää rekisterinpitäjälle enemmän valinnanvapautta toteuttavien suojatoimien osalta. Käytännesäännöt on myös mahdollista laatia siten, että kulloinkin kyseessä olevan toimialan erityistarpeet tulevat asianmukaisesti huomioiduksi. Oikeusministeriö kiinnittää myös erityistä huomiota siihen, että säädettäessä poikkeuksia rekisteröidyn oikeuksista, on sääntelyratkaisua tarkasteltava kokonaisuutena. Suomessa henkilötunnuksen laaja-alainen käyttö mahdollistaa sellaisen rekisteripohjaisen tutkimuksen, joka ei ole mahdollista useassa muussa unionin jäsenvaltiossa. Esimerkiksi Saksassa ei ole käytössä vastaavaa henkilötunnusta, jonka avulla rekisteröityjen tietojen laajamittainen yhdistely eri rekistereistä olisi mahdollista. Juuri rekisteripohjainen tutkimus on tyypillisesti luonteeltaan sellaista, jossa yhteydessä on tarpeellista poiketa rekisteröidyn oikeuksista. Eri jäsenvaltioiden välillä sääntelyratkaisuissa saattaa olla myös muita eroja, jotka eivät ole havaittavissa ainoastaan tarkastelemalla, millä tavoin rekisteröidyn oikeuksista on ehdotettu säädettävän poikkeuksia. On esimerkiksi mahdollista, että yleisen tietosuoja-asetuksen 9 artiklan 4 kohdan nojalla kansallisella lailla on säädetty laajempi henkilötietojen käsittelyä koskeva rajoitus, joka koskee geneettisten tietojen, biometristen tietojen tai terveyttä koskevien tietojen käsittelyä. Perustuslakivaliokunta on lausunnossaan katsonut, että ylimpien laillisuusvalvojien valtiosääntöinen asema ja tehtävät sekä laillisuusvalvonnan valtiosääntöinen kokonaisuus eivät mahdollista asteellisesti alemman tietosuojavaltuutetun ylimpiin laillisuusvalvojiin kohdistuvaa valvontaa ja to-
5(12) dennut, että tällaisen rajauksen on ilmettävä tietosuojalain säännöksistä nimenomaisesti. Perustuslakivaliokunta on katsonut, että lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä ainoastaan, jos sen tekemät valtiosääntöoikeudelliset huomautukset valvontaviranomaisen ylimpiin laillisuusvalvojiin kohdistuvasta valvontavallasta otetaan asianmukaisesti huomioon. Oikeusministeriö ehdottaa, että tietosuojalain 14 :ään lisättäisiin uusi 2 momentti, jonka mukaan tietosuojavaltuutettu ei valvo ylimpien laillisuusvalvojien toimintaa. Hallinnollisen seuraamusmaksun määräämismenettely Perustuslakivaliokunta on lausuntonsa ponnessa esittänyt, että ehdotus tietosuojalaiksi voidaan käsitellä tavallisen lain säätämisjärjestyksessä vain, mikäli hallinnollisten seuraamusten määräämismenettelystä esitetyt valtiosääntöoikeudelliset huomautukset otetaan asianmukaisesti huomioon. Oikeusministeriö katsoo, että perustuslakivaliokunnan edellyttämää hallinnollisten seuraamusten määräämismenettelyä voidaan kehittää luomalla tietosuojavaltuutetun toimistoon monijäseninen kokoonpano, joka muodostuisi tietosuojavaltuutetusta ja apulaistietosuojavaltuutetuista. Apulaistietosuojavaltuutetut ovat samalla tavalla toiminnassaan ja asemaltaan itsenäisiä ja riippumattomia kuin tietosuojavaltuutettu. Apulaistietosuojavaltuutetut eivät siten ole alaissuhteessa tietousojavaltuutettuun. Oikeusministeriö ehdottaa tässä yhteydessä laissa täsmennettävän, että tietosuojavaltuutetun toimistossa olisi vähintään kaksi apulaistietosuojavaltuutettua. Tällä muutoksella voidaan varmistaa, että apulaistietosuojavaltuutettuja on riittävä määrä monijäsenisen kokoonpanon muodostamiseksi. Tilanteessa, jossa monijäsenisen kokoonpanon äänet menisivät tasan, tulisi kokoonpanon kannaksi se kanta, joka on lievempi sille, johon seuraamus kohdistuu. Tietosuojalain 23 :ssä myös tarkennettaisiin muutoksenhakua koskevaa menettelyä siten, että muutosta voidaan hakea tietosuojavaltuutetun tai apulaistietosuojavaltuutetun päätöksestä tai edellä mainittujen muodostaman monijäsenisen kokoonpanon päätöksestä. Hallinnollista seuraamusmaksua koskevassa 25 :ssä säädettäisiin siitä, että tietosuojavaltuutettu ja apulaistietosuojavaltuutetut yhdessä määräisivät hallinnollisen seuraamusmaksun. Lisäksi pykälän 2 momentissa säädettäisiin seuraamusmaksun määräämistä koskevasta menettelystä. Seuraamusmaksua koskeva asia olisi aina ratkaistava esittelystä. Tämä on syy-
6(12) tä tarkentaa, sillä tietosuojavaltuutettu voi päättää asian ratkaisemisesta lakiehdotuksen 15 :n mukaan myös ilman esittelyä. Hallinnollista seuraamusmaksua koskevan asian valmistelisi ja sen esittelisi tietosuojavaltuutetun toimiston esittelijä. Monijäsenisen kokoonpanon varmistamiseksi apulaistietosuojavaltuutetun sijaistamisesta voidaan määrätä tietosuojavaltuutetun toimiston työjärjestyksessä. Näistä asioista ei ole kuitenkaan tarpeellista ottaa nimenomaisia säännöksiä tietosuojalakiin. Eduskunnan asema Perustuslakivaliokunta on todennut lausunnossaan, ettei se näe lähtökohtaisesti estettä sille, että hallintoa koskevat yleislait ulotetaan koskemaan eduskunnan virastoja (PeVL 30/1998 vp, s, 6/II). Valiokunnan mielestä eduskunnan asemasta ylimpänä valtioelimenä ja EU-oikeuden rajatusta soveltamisalasta kuitenkin seuraa, että eduskunnan valtiopäivätoiminta on rajattava pois tietosuojalain soveltamisalasta. Perustuslakivaliokunta on katsonut tämän olevan edellytys sille, että tietosuojalaki voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Henkilötietolain kumoaminen Oikeusministeriö esittää eduskunnan valtiopäivätoiminnan rajaamista tietosuojalain soveltamisalan ulkopuolelle ehdotetun lain 2 :n 2 momentiksi otettavalla lisäyksellä, jonka mukaan tietosuojalakia ei sovelleta eduskunnan valtiopäivätoimintaan. Perustuslakivaliokunta on lausunnossaan kiinnittänyt huomiota siihen, että tietosuojalakia ei sovelleta sellaiseen henkilötietojen käsittelyyn, josta säädetään henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettavassa laissa. Valiokunta on katsonut, että henkilötietolakia ei voida kumota kokonaisuudessaan ennen edellä mainitun lain voimaantuloa, sillä perustuslain 10 :n mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunta on katsonut, että hallintovaliokunnan on siirtymäsäännöksin varmistettava, että henkilötietojen suojaa koskevan yleislainsäädännön soveltamisala on kattava myös ennen edellä mainitun lain voimaantuloa, mikäli tietosuojalakiehdotus hyväksytään ennen sitä ja katsonut tämän olevan edellytys sille, että tietosuojalaki voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Oikeusministeriö ehdottaa 2 :n nykyistä 2 momenttia muutettavan siten, että rikosasioiden tietosuojalain sijaan momentissa soveltamisalasta rajattaisiin puolustusvoimien, poliisin tai rajavartiolaitoksen suorittama tai näiden lukuun suoritettava henkilötietojen käsittely, kun käsittely liittyy kansallisen turvallisuuden ylläpitämiseen. Tarkoitettu momentti palautettai-
7(12) siin hallituksen esityksessä ehdotettuun muotoonsa rikosasioiden tietosuojalain säätämisen yhteydessä. Lisäksi siirtymäsäännöksiin otettaisiin perustuslakivaliokunnan edellyttämä lisäys, jonka mukaan sellaiseen henkilötietojen käsittelyyn, johon ei sovelleta tietosuoja-asetusta eikä tietosuojalakia, sovelletaan henkilötietolakia, lukuun ottamatta henkilötietolain tietosuojalautakuntaa koskevia säännöksiä. Hallintovaliokunnalle 19.4.2018 toimitettu välivastine Rikkomusten selvittäminen Vaikutukset hallintotuomioistuimiin Oikeusministeriö on hallintovaliokunnalle 19.4.2018 toimittamassaan välivastineessa eräiden huomioiden osalta todennut täydentävänsä vastaustaan varsinaisessa vastineessa. Oikeusministeriö täydentää aiemmin välivastineessaan esittämiään huomioita seuraavilta osin: Elinkeinoelämän keskusliitto ja Kaupan liitto olivat hallintovaliokunnalle osoittamissaan lausunnoissa katsoneet, että selkeyden vuoksi ehdotetun 7 :n 1 momentin 1 kohtaa tulisi täydentää siten, että säännöksessä tarkoitettuja tietoja saisi käsitellä myös rikkomusten selvittämiseksi. Ehdotetun lainkohdan mukaan tietosuoja-asetuksen 10 artiklassa tarkoitettuihin rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyviä henkilötietoja saa käsitellä, jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi. Ehdotettu lainkohta vastaa nykyisen henkilötietolain (523/1999) 12 :n 5 kohtaa. Oikeusministeriö tarkistaa asiasta aiemmin lausumaansa siten, että ehdottaa vastineen liitteen mukaisesti 7 :ään muutosta, jonka mukaan pykälässä tarkoitettuja henkilötietoja on mahdollista käsitellä myös oikeusvaateen selvittämiseksi. Tämä pitäisi sisällään mahdollisuuden henkilötietojen käsittelyyn, jonka tarkoituksena on selvittää, onko tapahtunut rikkomus, vaikka selvitys ei oikeusvaateen laatimiseen johtaisikaan. Oikeusministeriö katsoo, että pykälään ei ole tarpeellista tehdä STM:n ehdottamaa lisäystä, jonka mukaan lainkohdassa tarkoitettuja tietoja saisi käsitellä, jos käsittely on tarpeen sosiaali- tai terveydenhuollon tehtävien ja toiminnan tai asiakkaan turvallisuuden kannalta. Korkein hallinto-oikeus on hallintovaliokunnalle toimittamassaan lausunnossa todennut, että tietosuoja-asetuksen ja tietosuojalain tarkkoja vaikutuksia korkeimman hallinto-oikeuden ja hallinto-oikeuksien työmäärään on vaikea arvioida. Korkein hallinto-oikeus kuitenkin katsoo, että on erit-
8(12) Henkilötietojen käsittelyperusteesta täin todennäköistä, että vaikutukset tulevat olemaan hallituksen esityksessä ennakoitua suuremmat. Korkein hallinto-oikeus toteaa, että tämä tulee ottaa tuomioistuinten resursoinnissa huomioon. Oikeusministeriö on 19.4.2018 hallintovaliokunnalle toimittamassaan välivastineessa todennut lausuvansa tästä tarkemmin vastineessaan. Oikeusministeriö toteaa, että yleisen tietosuoja-asetuksen soveltamisen seurauksena hallinto-oikeuksien käsiteltäväksi tulee kokonaan uusia asiaryhmiä, kuten hallinnolliset seuraamusmaksut ja eräät muut valvontaviranomaisen toimivaltuuksien käyttöä koskevat päätökset. On otettava myös huomioon, että kyse on uudesta EU-sääntelystä, josta ei vielä ole oikeuskäytäntöä. Asioiden voidaan siten arvioida olevan keskimääräistä vaikeampia ja on todennäköistä, että niihin liittyy vaikeita tulkintakysymyksiä, kuten KHO on todennut. On myös oletettavaa, että unionin tuomioistuimeen tehdään kansallisista tuomioistuimista ennakkoratkaisupyyntöjä tietosuoja-asetukseen liittyvistä kysymyksistä. Vaikutusten merkittävyys on kuitenkin sidoksissa valitusten lukumäärään. Jos valitusten lukumäärä jää vähäiseksi, vaikeiden juttujen vaikutus jää myös vähäiseksi. Tässä vaiheessa on vaikea arvioida, kuinka paljon hallinto-oikeuksille tulee valituksia tutkittavaksi. Myös mahdollisten ennakkoratkaisupyyntöä edellyttävien asioiden vaikutusta on tässä vaiheessa vaikea arvioida. Taloudellisia vaikutuksia on tässä vaiheessa hyvin vaikea ennakoida. On kuitenkin selvää, että kyseessä on hallinto-oikeuksien kannalta muutos, joka vaatii koulutusta, ja työmäärä tulee jonkin verran lisääntymään. Nykyisin tietosuojaa koskevien asioiden määrä on ollut hallintooikeuksissa vähäinen. Esimerkiksi vuoden 2016 aikana hallinto-oikeuksissa tuli vireille yhteensä 17 tietosuojaa koskevaa asiaa, vuonna 2017 vastaava luku oli 14. Vastaavana aikana korkeimpaan hallinto-oikeuteen ei tullut vireille yhtään tietosuoja-asiaa. Tietosuojavaltuutettu on hallintovaliokunnalle 11.4.2018 toimittamassaan lausunnossa katsonut, että annettaessa kansallista erityissääntelyä, kansallisen liikkumavaran osalta olisi tunnistettava, kumpaan tietosuojaasetuksen 6 artiklan 1 kohdan alakohtaan käsittely perustuisi: onko henkilötietojen käsittely tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Oikeusministeriö huomauttaa, että henkilötietojen käsittely voi perustua useampaan 6 artiklassa tarkoitettuun käsittelyn oikeusperusteeseen. Oikeusministeriö kiinnittää huomiota 6 artiklan 1 kohtaan, jonka mukaan käsittely on lainmukaista, jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy: Oikeusministeriön näkemyksen mukaan edel-
9(12) Erityislainsäädännön tarve lytyksiä artiklan tulkitsemiselle muulla tavoin kuin sen sanamuodon mukaan ei tällä hetkellä ole. Oikeusministeriö myös huomauttaa, että 6 artiklan c ja e alakohta voivat olla osin päällekkäisiäkin. Oikeusministeriö toteaa lisäksi, että useamman kuin yhden henkilötietojen käsittelyn oikeusperustan käyttäminen ei kuitenkaan voi johtaa siihen, että jäisi epäselväksi, mitä oikeuksia rekisteröidyllä sanotun lain mukaan olisi. Tämän tulisi käydä aina selkeästi ilmi ehdotetusta lainsäädännöstä. Oikeuskansleri on hallintovaliokunnalle toimittamassaan lausunnossa katsonut, että eduskuntakäsittelyn aikana voidaan vielä selkeyttää ohjausta tietosuojan yleisistä periaatteista ja niiden toteutumisesta sekä varsinkin siitä, missä asioissa ja milloin tarvitaan kansallista alakohtaista erityislainsäädäntöä tietosuoja-asetuksen mukaisista oikeuksista, välttämättä tarvittavista ja oikeasuhtaisista sekä muuten tietosuoja-asetuksen sallimista poikkeuksista säätämiseen. Perustuslakivaliokunta on lausunnossaan (PeVL 14/2018 vp) ottanut kantaa henkilötietojen käsittelyä koskevan alakohtaisen sääntelyn tarpeellisuuteen. Perustuslakivaliokunta on lausunnossaan todennut muun muassa, että tietosuoja-asetuksen yksityiskohtainen sääntely mahdollistaa myös viranomaistoiminnan sääntelyn osalta nykyistä kansallista sääntelymallia huomattavasti yleisemmän, henkilötietojen suojaa ja käsittelyn perusteita sääntelevän lakitasoisen sääntelyn. Perustuslakivaliokunta totesi lausunnossaan arvioineensa nykyisen henkilötietojen sääntelymallin varsin raskaaksi ja monimutkaiseksi. Perustuslakivaliokunta on myös viitannut siihen, että valiokunnan käytännön mukaan sääntelyn selkeyteen on syytä kiinnittää erityistä huomiota perusoikeuskytkentäisessä sääntelyssä, joka koskee luonnollisia henkilöitä heidän tavanomaiseen elämäänsä kuuluvissa toiminnoissa (ks. PeVL 31/2017 vp, PeVL 45/2016 vp, s. 3 ja PeVL 41/ 2006 vp, s. 4/II). Perustuslakivaliokunta korosti, että myös sääntelyn selkeyden vuoksi kansallisen erityislainsäädännön säätämiseen tulee jatkossa suhtautua pidättyvästi ja rajata sellaisen säätäminen vain välttämättömään tietosuojaasetuksen antaman kansallisen liikkumavaran puitteissa. Perustuslakivaliokunnan mielestä on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn kohdalla. Perustuslakivaliokunta
10(12) Kantelukirjoituksissa mainitut henkilöt on lausunnossaan nimenomaisesti todennut, että arkaluonteisten tietojen käsittelyä on tietosuoja-asetuksen sallimissa puitteissa edelleen syytä arvioida aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta. Oikeuskansleri on lausunnossaan todennut, että tietosuojalaissa ehdotettua 33 :n mukaista poikkeusta, joka koskee velvollisuutta toimittaa rekisteröidylle tietoja, ei ole ulotettu kaikkeen laillisuusvalvontaan ja huomauttaa, että viranomaisen toiminnan laillisuuden valvontaa suorittavien tehtävien hoitamisen tehokkuuden kannalta on tärkeää, että laillisuusvalvonnassa nykyisin noudatettua käytäntöä, jonka mukaan laillisuusvalvojille toimitetuissa kantelukirjoituksissa mainituille henkilöille ei tarvitse ilmoittaa käsittelystä, ei ole tarkoitus muuttaa. Oikeusministeriö toteaa, että ehdotetulla tietosuojalailla ei pyritä muuttamaan nykyistä oikeustilaa oikeuskanslerin tarkoittamissa tilanteissa. Tämä olisi perusteltua todeta hallintovaliokunnan mietinnön perusteluissa. Yleisen tietosuoja-asetuksen käsitteistöä koskevat Kansalliskirjaston huomiot Kansalliskirjasto on hallintovaliokunnalle 26.3.2018 toimittamassaan lausunnossa kiinnittänyt huomiota ehdotetun lain 27 :n muotoiluun, joka koskee henkilötietojen käsittelyä akateemisten, taiteellisen ja kirjallisen ilmaisun tarkoituksia varten. Kansalliskirjasto on huomauttanut, että esitetty muotoilu jättää avoimeksi sen, miltä osin lainkohtaa sovellettaisiin kulttuuriperintöorganisaatioiden eli kirjastojen, arkistojen ja museoiden toimintaan. Myös eräissä muissa lausunnoissa on esitetty huomioita käytettyjen käsitteiden epämääräisyydestä. Edellä tarkoitetut ilmaisut vastaavat yleisessä tietosuoja-asetuksessa käytettyä terminologiaa. Oikeusministeriö muistuttaa unionin oikeuden asettamista reunaehdoista annettaessa tietosuoja-asetusta täydentävää kansallista lainsäädäntöä kansallisen harkintamarginaalin puitteissa. Unionin oikeudesta seuraa, että asetuksen käsitteitä ei voida tulkita kansallisella lailla. Euroopan komissio on 24.1.2018 antamassaan tiedonannossa (COM (2018) 43 final) yleisen tietosuoja-asetuksen suorasta soveltamisesta muistuttanut, että jäsenvaltioiden on kansallista lainsäädäntöä mukauttaessaan otettava huomioon, että kansalliset toimenpiteet, joilla luodaan esteitä asetuksen soveltamiselle sellaisenaan ja vaarannetaan yhtäaikainen ja yhdenmukainen soveltaminen koko EU:ssa, ovat perussopimusten vastaisia. Komissio korosti tiedonannossaan, että asetuksen tekstin saa jäljentää sanatarkasti kansallisessa täsmentävässä säädöksessä vain poikkeuksellisesti ja perustelluissa tapauksissa, eikä jäljentämistä voida käyttää lisäehtojen
11(12) tai -tulkintojen lisäämiseen asetuksen tekstiin. Komissio huomauttaa tiedonannossaan, että jos lainsäätäjät esittäisivät omia tulkintojaan asetuksen tekstistä, toimijat kaikkialla unionissa joutuisivat uudelleen kärsimään säännösten hajanaisuudesta eivätkä tietäisi, mitä sääntöjä niiden on noudatettava. Hallituksen esityksessä on selvennetty kyseisiin käsitteisiin liittyvää unionin olemassa olevaa oikeuskäytäntöä. Henkilötietojen käsittelyn valvonta tuomioistuimissa (johdanto-osan kappale 20) Tilastokeskuksen huomiot Korkein hallinto-oikeus katsoo, että johdanto-osan 20 kappaleen mukaista mahdollisuutta tulisi käyttää. Johdanto-osan 20 kappaleen mukaan tiedonkäsittelytoimien valvonta olisi voitava uskoa jäsenvaltion oikeusjärjestelmään kuuluville erityiselimille, kun kyse on tuomioistuinten oikeudellisiin tehtäviin liittyvästä henkilötietojen käsittelystä. Eduskunnan oikeusasiamies on lausunnossaan katsonut, että se voisi olla yleisen tietosuoja-asetuksen johdanto-osan kappaleessa 20 tarkoitettu oikeuslaitosta valvova erityiselin. Oikeusministeriö kiinnittää tässä yhteydessä huomiota perustuslain 108 ja 109 :ään, joiden mukaan eduskunnan oikeusasiamies ja valtioneuvoston oikeuskanslerin valvovat tuomioistuinten toiminnan lainmukaisuutta. Tilastokeskus on hallintovaliokunnalle toimittamassaan lausunnossa esittänyt eräitä tarkastusoikeuden toteuttamista koskevia huolia. Oikeusministeriö toteaa, että yleisen tietosuoja-asetuksen 11 artiklan mukaan, jos tarkoitukset, joihin rekisterinpitäjä käsittelee henkilötietoja, eivät edellytä tai eivät enää edellytä, että rekisterinpitäjä tunnistaa rekisteröidyn, rekisterinpitäjällä ei ole velvollisuutta säilyttää, hankkia tai käsitellä lisätietoja rekisteröidyn tunnistamista varten, jos tämä olisi tarpeen rekisteröidyn oikeuksien toteuttamiseksi. Tästä seuraa, että sellaisissa tilanteissa, joissa rekisteröidyt eivät ole enää tunnistettavissa, voi Tilastokeskus yleisen tietosuoja-asetuksen 11 artiklan nojalla jättää rekisteröidyn tarkastusoikeuden toteuttamatta. Rikoslain voimaantulosäännöksen muutokset ja suhde rikosasioiden tietosuojalakiin Oikeusministeriö katsoo, että rikoslain voimaantulosäännöstä tulisi muuttaa siten, että siinä säädettäisiin siitä, että ennen yleisen tietosuojaasetuksen soveltamisen alkamista (25.5.2018) tehtyihin tekoihin sovellettaisiin edelleen tällä hetkellä voimassaolevaa rikoslain 38 luvun 9 :ää. Jos kuitenkin tietosuoja-asetuksen tai tietosuojalain soveltaminen johtaisi lievempään lopputulokseen, olisi tämä otettava huomioon rangaistusta määrättäessä.
12(12) Lisäksi oikeusministeriö toteaa tietosuojarikosta koskevan rikoslain 38 luvun 9 :n osalta seuraavaa. Koska rikosasioiden tietosuojalain käsittely on eduskunnassa vielä kesken, ei 9 :n 1 momentin 3 kohdassa voida hallituksen esityksen ehdotuksen mukaisesti viitata rikosasioiden tietosuojalakiin. Oikeusministeriö ehdottaa tämän vuoksi poistettavaksi kyseessä olevan viittauksen liitteessä ilmenevin tavoin. Koska kyseessä on lyhytaikaisesta välivaiheesta, oikeusministeriö katsoo riittäväksi, että kyseinen sääntely katetaan tämänhetkisen ehdotuksen 4 kohdalla, joka koskee henkilötietojen käsittelyä koskevaa muuta lakia. Rikosasioiden tietosuojalain säätämisen yhteydessä edellä mainittu kohta palautettaisiin rikoslain 38 luvun 9 :ään.