LAUSUNTO HALLINTOVALIOKUNNALLE Asia: HE 59/2016 vp Hallituksen esitys eduskunnalle laeiksi hallinnon yhteisistä sähköisen asioinnin tukipalveluista sekä valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annetun lain muuttamisesta Hallintovaliokunta on pyytänyt minulta asiantuntijalausuntoa hallituksen esityksestä eduskunnalle laeiksi hallinnon yhteisistä sähköisen asioinnin tukipalveluista sekä yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annetun lain muuttamisesta. Esitän hallintovaliokunnalle lausuntonani kunnioittavasti seuraavaa: Yleistä Julkisen hallinnon tietohallinnon ja tietojärjestelmäpalveluiden sääntelyä on kehitetty ja lisätty voimakkaasti tällä vuosikymmenellä. Julkisen hallinnon tietohallinnon ohjauksesta annettu laki (634/2011, tietohallintolaki) tuli voimaan 1.9.2011. Viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista annettu laki (1406/2011) sekä tähän liittyvä tietoturvallisuuden arviointilaitoksista annettu laki (1405/2011) tulivat voimaan 1.6.2012. Valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annettu laki (1226/2013) tuli voimaan 1.1.2014. Julkisen hallinnon turvallisuusverkkotoiminnasta annettu laki (10/2015) tuli voimaan 15.1.2015. Edellä mainitut säädökset vaikuttavat siihen toimintaympäristöön, johon nyt lausuttavana olevassa hallituksen esityksessä on esitetty säädettäväksi laki hallinnon yhteisistä sähköisen asioinnin tukipalveluista. Niin ikään toimintaympäristöön vaikuttavat vanhemmat yleislait: hallintolaki (434/2003), viranomaisten toiminnan julkisuudesta annettu laki (621/1999, julkisuuslaki), sähköisestä asioinnista viranomaistoiminnassa annettu laki (13/2003), vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annettu laki (617/2009), henkilötietolaki (523/1999) ja arkistolaki (831/1994). Toimintaympäristöön vaikuttaa edelleen asetus tietoturvallisuudesta valtionhallinnossa (681/2010) sekä asetus viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta (1030/1999). Sähköisten asiointipalveluiden hankintaan valtionhallinnossa vaikuttavat valtion talousarviosta annetun lain (423/1988) 22 a sekä valtion yhteishankinnoista annetun asetuksen (765/2006) 1.1 :n 5 kohta. Tietohallinnon ja tietojärjestelmäpalveluiden järjestämistä koskeva sääntely onkin pirstoutunut tällä vuosikymmenellä. Tämä on johtanut siihen, että kuhunkin säädökseen on pitänyt luoda oma ohjausjärjestelmä kullekin sääntelykohteena olevalle kokonaisuudelle. Nyt lausuttavana olevassa hallituksen esityksessä (s. 15) viitataan nykytilan kuvauksessa muun muassa julkisen hallinnon palvelujärjestelmän pirstoumiseen ja palvelujärjestelmän hajautumiseen viranomaiskohtaiseksi. Hallituksen esityksen mukaan pirstoutumisen yksi syy on lainsäädäntö, jossa palvelutuotanto sekä tiedonhallinta hajautetaan viranomaisyksiköihin korostaen viranomaisten erillisyysperiaatetta. Nyt lausunnolla oleva hallituksen esitys hajauttaa sähköisen asioinnin tukipalveluiden palvelutuotannon Väestörekisterikeskukselle, Valtion tieto- ja viestintätekniikkakeskus Valtorille sekä Valtiokonttorille. Toisaalta hallituksen esityksen pyrkimyksenä on vähentää eri viranomaisten tarvetta hankkia omiin sähköisen asioinnin toimintaympäristöihin erillisiä tukipalveluita. Vaikka hallituksen esityksessä on kuvattu nykytilan hajautunutta palvelujärjestelmää, ei hallituksen esitys tuo tähän hajautuneeseen palvelujärjestelmään uusia merkittäviä ratkaisuja, vaan kysymys on lähinnä teknisestä sääntelystä ja palveluiden organisointiin liittyvien viranomaisvastuiden järjestämisestä lain tasolla. Hallinnon sähköisen asioinnin tukipalveluista annettavalla lailla ei ole vaikutusta julkisen hallinnon palveluarkkitehtuuriin, mutta se vaikuttaa onnistuessaan merkittävästi alemmalla tasolla paikallisesti tietojärjestelmäarkkitehtuuriin sähköistä asiointia järjestettäessä. Nyt lausuttavana olevassa lakiehdotuksessa hallinnon sähköisen asioinnin tukipalveluista ehdotetaan säädettäväksi sähköisen 1
asioinnin tukipalveluista, joiden tarve ja kehittäminen ovat kestäneet pitkään. Ensimmäiset tarpeet osalle näistä tukipalveluista on esitetty jo 15 vuotta sitten, joten tältä osin ehdotettua sääntelyä voidaan pitää merkittävänä edistysaskeleena sähköisen asioinnin kehittämisessä, kun lain täytäntöönpanoa toteutetaan onnistuneesti. Säädösehdotuksen tarkoituksenmukaisuus Uusi ehdotettu laki hallinnon sähköisen asioinnin tukipalveluista hajauttaa tietohallintoa ja tietojärjestelmäpalveluita koskevaa sääntelyä uuteen lakiin, johon ehdotetaan siirrettäväksi valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annetusta laista sähköisen asioinnin ja hallinnon tukipalveluita koskevat säännökset (13, 14 ja 20.2 ). Aiemmin vastaavanlainen sääntely oli sijoitettu tietohallintolakiin, josta se siirrettiin 1.1.2014 edellä mainittuun valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämistä koskevaan lakiin ja josta sääntely edelleen ehdotetaan siirrettäväksi uuteen lakiin. Niin ikään uusi laki hajauttaa entisestään tiedonhallinnan sääntelyä. Ehdotetulla lailla kootaan hallinnon yhteisten sähköisen asioinnin tukipalvelujen tuottamiseen liittyvä sääntely yhteen lakiin, mutta toisaalta hajautetaan toimintaympäristön sääntelyä entisestään. Hallituksen esityksessä on käsitelty sääntelyn toteuttamisvaihtoehtoja varsin suppeasti, mutta kuitenkin riittävästi. Hallituksen esityksessä (s. 16) erillistä lakia on perusteltu muun muassa henkilötietojen käsittelyä koskevalla sääntelyllä. Niin ikään hallituksen esityksessä todetaan, että erillisellä lailla mahdollistetaan myös tukipalveluja koskevan kokonaisuuden parempi hahmottaminen ja mahdollisuus kehittää tukipalveluja lainsäädännönkin tasolla erillisenä kokonaisuutena suhteessa yhteisiin perustietotekniikka- ja tietojärjestelmäpalveluihin. Uusi laki edellyttää uutta ohjausjärjestelmää koskevaa sääntelyä. Tältä osin voidaankin kysyä, olisiko sittenkin ollut sääntelyn ja ohjausjärjestelmän yhtenäisyyden kannalta tarkoituksenmukaisempaa sisällyttää ohjausta ja järjestämisvastuuta koskevat säännökset yhteisiä tietojärjestelmäpalveluita koskevaan olemassa olevaan lakiin. Toisaalta voimassa oleva sähköisestä asioinnista viranomaistoiminnassa annettu laki olisi voinut toimia pohjana sille sääntelylle, joka koskee palveluiden käyttöä sekä siihen liittyvää henkilötietojen käsittelyä. Tässä mallissa uutta säädöstä ei olisi tarvittu lainkaan ja se olisi edistänyt ainakin joiltain osin myös pääministeri Juha Sipilän hallitusohjelman mukaisia tavoitteita sääntelyn purkamiseksi. Joka tapauksessa säädösehdotukselle on perusteensa, vaikka toteutus ei välttämättä ole optimaalisin säädösrakenteen ja virtaviivaisen toimintaympäristön sääntelyn näkökulmasta katsottuna. Osa ehdotetuista hallinnon sähköisen asioinnin tukipalveluista on ollut käytössä jo pitkään. Näitä ovat tunnistuspalvelu (KATSO-organisaatiotunnistuspalvelu), tunnistamisen kokoamis- ja hallinnointipalvelut (Vetuma- ja Tunnistus.fi-palvelut), verkkomaksamisen kokoamis- ja hallinnointipalvelu (Vetuma-palvelu) sekä osittain viestinvälityspalvelu (Kansalaisen asiointitili). Näistä palveluista ei ole säädetty muuten kuin palveluiden järjestämiseen liittyvistä tehtävistä. Tältä osin sähköisen asioinnin tukipalveluita koskevassa sääntelyssä on ollut puutteita jo pitkään. Säädösehdotusta voidaankin pitää tältä osin tarpeellisena sekä tukipalveluiden järjestämisen että siinä tapahtuvan tietojenkäsittelyn kannalta välttämättömänä. Taloudelliset vaikutukset Hallituksen esityksessä ei ole esitetty selkeitä taloudellisia vaikutuksia. Hallituksen esityksessä todetaan, että "KaPA-ohjelmaan on myönnetty ja osoitettu ohjelmakaudelle 2014 2017 yhteensä 100 milj. euroa momentille 28.70.03 Kansallisen tietoalan ohjaus ja kehittäminen. Vuoden 2014 talousarviossa momentille myönnettiin 13 milj. euroa, vuoden 2015 talousarviossa 32 milj. euroa ja vuoden 2016 talousarviossa 27,5 miljoonaa euroa. Julkisen talouden suunnitelmassa vuosille 2017 2020 momentille on osoitettu 27,5 milj. euroa vuodelle 2017. Määrärahoilla maksetaan menot, jotka aiheutuvat yhteisten sähköisen asioinnin tukipalvelujen ylläpidosta, kehittämisestä ja tuottamisesta sekä käyttöönottojen tuesta vuosien 2014 2017 ajalta". Hallituksen esityksestä saa kuvan, että KAPA-ohjelmaan kuuluvien palveluiden kehittämiskustannuksia maksetaan myös momentilta 28.70.01 "Valtion ICT:n ohjaus ja 2
kehittäminen". Taloudellisista vaikutuksista ei ilmene, miten paljon momentilta 28.70.01 on suunniteltu käytettäväksi määrärahaa KAPA-ohjelmassa aiheutuviin kustannuksiin. Niin ikään taloudellisissa vaikutuksissa ei esitetä arviota siitä, miten paljon on arvioitu maksavan sähköisen asioinnin tukipalveluiden liittäminen olemassa olevaan ja hajautuneeseen järjestelmäinfrastruktuuriin. Tämä on olennainen tieto, koska sääntelyssä ehdotetaan tukipalveluihin käyttövelvollisuutta. Jotta olemassa oleva infrastruktuuri eri rekisterit ja sähköisen asioinnin järjestelmäratkaisut, voidaan integroida tukipalveluihin, edellyttää tämä järjestelmien ja erityisesti niiden rajapintojen kehittämistyötä. Siten hallituksen esityksen taloudellisista vaikutuksista puuttuu olennainen sääntelyn taloudellisia vaikutuksia koskeva kustannuksiin liittyvä tieto. Taloudellisten vaikutusten yhteydessä esitetään, että palvelutietovarannon kuntakäyttöä pilotoidaan ja dokumentoidaan parhaillaan. Hallituksen esityksestä saa kuvan, että myös tätä työtä tuetaan valtiovarainministeriön momentilta 28.70.03. Tällöin olisi mahdollista olettaa, että tuen myöntämisen ja maksamisen yhteydessä tehtyjen kustannuslaskelmien ja raportoinnin perusteella olisi mahdollista arvioida kunnille aiheutuvien kustannusten suuruusluokkaa. Taloudellisissa vaikutuksissa on esitetty myös määrärahojen siirtämistä Väestörekisterikeskukselle palveluiden siirtymisen myötä. Tältä osin suunnitelma on selkeä ja perusteltu. Määrärahojen siirrolla ja tukipalveluiden maksuttomuudella vähennetään hallinnollista taakkaa, joka liittyy tukipalveluiden tuottamisen rahoittamiseen. Määrärahojen siirrolla mahdollistetaan Väestörekisterikeskukselle sen tehtävien hoitaminen tarkoituksenmukaisella ja kestävällä pohjalla ilman erillistä ministeriöstä ohjattua hankerahoitusta. Valtiontukisääntely Hallituksen esityksessä on analysoitu suhteellisen hyvin sääntelyyn liittyviä valtiontukikysymyksiä. Hallituksen esityksessä (s. 29) todetaan, että yhteisten sähköisen asioinnin tukipalvelujen tarjoaminen ehdotetussa laissa tarkoitetulla tavalla voi edellä kuvatulla tavalla olla joltain osin EU-lainsäädännön valtiontukisääntelyn ja kansallisen kilpailuneutraliteettisääntelyn vastaista. Hallituksen esityksestä ei ilmene, onko Suomi konsultoinut asiassa komissiota selvittääkseen, liittyykö tukipalveluiden järjestämiseen sellaisia elementtejä, että tukipalveluiden järjestäminen voitaisiin katsoa SEUT-sopimuksen 107 artiklan vastaiseksi. Jos sääntelyyn sisältyy tällaisia riskejä, tulisi ne selvittää ennalta. Toisaalta Suomi ei voi tieten tahtoa säätää säännöksiä, jotka ovat SEUT-sopimuksen säännösten vastaisia. Valtiontuet on puolestaan pääsääntöisesti notifioitava ennakkoon eikä jälkikäteen komissiossa. Hallituksen esityksessä todetaan, että kuntia tuetaan valtionavustuksin sähköisen asioinnin tukipalveluiden käyttöönotossa. Hallituksen esityksestä ei ilmene, mihin toimintaan valtionavustukset kohdennetaan. Käyttöönottojen tukeminen, jos se kanavoidaan kuntien kautta IT-palveluita tuottaville yrityksille, voi muodostua valtiontueksi, jotka on myös arvioitava SEUT-sopimuksen 107 artiklaan nähden. Tätä ei ole tehty ainakaan hallituksen esityksessä. Aiemmin vastaavissa järjestelyissä on nostettu esiin valtionavustuksen käyttöön liittyen valtiontukikysymykset käyttöönoton tuen yhteydessä (ks. esimerkiksi VTV:n tarkastuskertomus 1/2012, s. 111 112 ja 267 271). Asetuksenantovaltuudet Lakiehdotus pitää sisällään useita asetuksenantovaltuuksia. Perustuslakivaliokunta on kannanotoissaan todennut seuraavia seikkoja asetuksenantovaltuuksia koskevista delegointisäännöksistä: ministeriölle voidaan delegoida säädösvaltaa lähinnä silloin, kun kyse on selvästi teknisluonteisista ja toimeenpanovaltaan soveltuvista säännöksistä (PeVL 46/2010 vp, s. 6, PeVL 34/2009 vp, s. 2); 3
asetuksenantotoimivaltaa koskevat kohdat erotellaan asianmukaisesti säännöksissä (PeVL 46/2010 vp, s. 6); asetuksenantovaltuutta koskevien säännösten tulee täyttää täsmällisyyden ja tarkka-rajaisuuden vaatimukset (PeVL 34/2009 vp, s. 2); Lakiehdotuksen 3.2 :n mukaan valtiovarainministeriön asetuksella voidaan antaa sen hallinnonalalla toimivan viranomaisen tehtäväksi tuottaa ja kehittää myös muuta kuin 1 momentissa tarkoitettua tukipalvelua edellyttäen että palvelun tuottamisessa ei käytetä julkista valtaa. Lakiehdotuksen 3.2 :n asetuksenantovaltuus on jätetty avoimeksi eikä siinä käytännössä rajata riittävästi sitä, minkälaisista tukipalveluista voidaan säätää ministeriön antamalla asetuksella. Kysymys ei ole teknisluonteisesta tai toimeenpanovaltaan kuuluvasta säännöksestä. Uusien tukipalveluiden käyttöönottoon voi liittyä myös markkinoihin liittyviä vaikutuksia. Sillä, että tukipalvelussa ei käytetä julkista valtaa, ei ole merkitystä sillä, miten asetuksenantovaltuutta tulisi arvioida. Viime kädessä uusien tukipalveluiden käyttöönotto on poliittinen päätös. Säännöksen perusteluissa viitataan jo käytössä oleviin tukipalveluihin, joista on säädetty valtioneuvoston asetuksessa (132/2014). Nähdäkseni säännöksen perusteluissa ei ole esitetty syitä, miksi asetuksenantovaltuus voitaisiin siirtää tässä tapauksessa valtioneuvostolta ministeriölle. Tästä syystä uusien vähämerkityksellistenkin tukipalveluiden kehittämisestä ja tuottamisesta tulisi säätää vähintään valtioneuvoston asetuksella. Lakiehdotuksen 3.2 :ssä olevaa asetuksenantovaltuutta tulisikin arvioida uudelleen siten, että asetuksenantovaltuus olisi valtioneuvostolla ja asetuksenantovaltuutta täsmennettäisiin muutenkin sääntelykohteen osalta. Lakiehdotuksen 8.2 :n mukaan valtiovarainministeriön asetuksella voidaan säätää yksityisten yhteisöjen ja elinkeinonharjoittajien oikeudesta käyttää 3 :n 2 momentissa tarkoitettuja tukipalveluja. Jos edellä esitetty 3.2 :n asetuksenantovaltuus annetaan valtioneuvostolle, lienee tarkoituksenmukaista säätää myös samassa yhteydessä tukipalveluiden käytöstä, joten asetuksenantovaltuutta koskeva delegointi olisi tarkoituksenmukaisinta olla valtioneuvoston tasolla. Toisaalta, jos nämä kaksi asetuksenantovaltuutta katsotaan erillisiksi, olisi 8.2 :n valtuus vähämerkityksellinen toimeenpanoon liittyvä säännös, jolloin asetuksenantovaltuus voisi olla myös ministeriöllä. Lakiehdotuksen 16.5 :ssä on ehdotettu asetuksenantovaltuutusta, jonka mukaan valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä tässä pykälässä tarkoitetuista tukipalvelujen laatua ja tietoturvallisuutta koskevista vaatimuksista. Käytännössä asetuksentasoinen sääntely kohdistuisi Väestörekisterikeskukseen, Valtoriin ja Valtiokonttoriin, jotka ovat valtiovarainministeriön hallinnonalan virastoja. Tosin asetustasoinen sääntely voisi ulottua myös Maanmittauslaitokseen. Asetuksenantovaltuutus vaikuttaisi koskevan teknisluonteista seikkoja. Tästä syystä asetuksenantovaltuutus voisi olla valtiovarainministeriölläkin. Säännöksen perusteluista ei ilmene, mistä syystä tältä osin on nähty tarpeelliseksi kohdistaa asetuksenantovaltuutus valtioneuvostolle. Lakiehdotuksen 17.4 :ssä on ehdotettu asetuksenantovaltuutusta, jonka mukaan valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä 1 momentissa tarkoitettujen tietojärjestelmien tietoturvallisuutta koskevista vaatimuksista ja niiden täyttymisen toteamisesta, 2 momentissa tarkoitetusta tietojenkäsittely-ympäristöjen muodostamisesta sekä 3 momentissa tarkoitetusta käyttäjäorganisaation tietojärjestelmän liittämistä koskevista tietoturvallisuustoimenpiteistä. Asetuksenantovaltuutta koskeva säännösehdotus vaikuttaa teknisluonteiselta. Epäselväksi säännöksessä jää, minkälaista sääntelyä asetuksella voidaan kohdistaa käyttäjäorganisaatioihin, jotka ovat valtion ulkopuolisia toimijoita, kuten kuntia. Tietoturvallisuustoimenpiteet voivat olla varsin laajoja ja niihin voi sisältyä myös kunnille tietoturvallisuustoimenpiteisiin liittyviä tehtäviä. Nähdäkseni säännöstä voisi tarkentaa siten, että asetuksenantovaltuutus koskee tarkentavia teknisiä tietoturvallisuustoimenpiteitä. 4
Tukipalveluiden käyttövelvollisuus Hallituksen esityksessä ehdotetaan, että (5 ) valtion hallintoviranomaiset, virastot, laitokset ja liikelaitokset sekä kunnalliset viranomaiset niiden hoitaessa laissa niille säädettyjä tehtäviä sekä tuomioistuimet ja muut lainkäyttöelimet olisivat velvollisia käyttämään tiedonvälityskanavaa, palvelutietovarantoa, palvelunäkymiä, luonnollisen henkilön tunnistuspalvelua, viestinvälityskanavaa ja verkkomaksamisen kokoamis- ja hallinnointipalvelua. Muille viranomaisille ja julkista tehtävää hoitavalle käyttö olisi vapaaehtoista. Ehdotetun lain 29 :n siirtymäsäännöksessä on säädetty päivämääristä, joihin mennessä käyttöön velvoitettu käyttäjäorganisaation on otettava käyttöön tukipalvelut. Tällainen tiettyyn määräpäivään sidottu sääntelymalli pitää sisällään riskejä ja se ei ole osoittautunut onnistuneeksi terveydenhuollon valtakunnallisten tietojärjestelmäpalveluiden käyttöönoton yhteydessä, josta on säädetty sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa (159/2007). Terveydenhuollon valtakunnallisten tietojärjestelmäpalveluiden käyttöönotto oli sidottu laissa tiettyyn päivämäärään, jota jouduttiin muuttamaan eduskunnassa useaan kertaan. Edelleenkin tietojärjestelmäpalveluiden sisällöllinen käyttöönotto on kesken ja sitä on vaiheistettu asetuksen tasoisin säännöksin. Jotta nyt ehdotetussa uudessa laissa ei ajauduttaisi aiempien kokemusten perusteella ongelmalliseen sääntelymalliin ja mahdollisiin aikatauluista johtuviin sääntelymuutoksiin, olisi suositeltavaa, että lain täytäntöönpanoon liittyvistä käyttöönottojen määräajoista säädettäisiin valtioneuvoston asetuksella sen jälkeen, kun palveluiden tuotantokäyttöönoton ajankohta on varmistettu sekä on laadittu suunnitelma siitä, miten eri viranomaisorganisaatiot pystyvät realistisesti ottamaan tukipalvelut käyttöönsä vaiheistetusti. Viestinvälityspalvelun käyttöönotto kokonaisuudessaan kaikissa käyttöön velvoitetuissa käyttäjäorganisaatioissa (vähintään yhteensä yli 400 virastoa, laitosta, kuntaa tai kuntayhtymää) noin vuodessa pitää sisällään riskejä, koska palvelukokonaisuus ei ole kokonaisuudessaan vielä edes valmis ja tuotantokäyttöönottoa varmistettu. Lakiehdotuksen 5 :ssä ehdotetaan säädettäväksi kunnallisten viranomaisten velvollisuudesta käyttää ehdotuksessa esitettyjä tukipalveluja niiden hoitaessa laissa niille säädettyjä tehtäviä. Valtiovarainministeriön vuonna 2012 tekemän kartoituksen mukaan kuntien lakisääteisiä tehtäviä oli tunnistettavissa yli 350 tehtävää. Vuoden 2015 täydennyskartoituksen mukaan uusia tehtäviä oli säädetty vuodesta 2013 eteenpäin lisää lähes 100. Kuntien lakisääteisten tehtävien suuren määrän ja tehtävien erilaisen luonteen vuoksi tukipalvelujen käyttövelvoitteen säätäminen kategorisesti koskemaan lakisääteisiä tehtäviä on ongelmallinen. Osa kuntien tehtävistä koskee muun muassa kuntien ja valtion viranomaisten välistä vuorovaikutusta, jossa lakiehdotuksessa esitettyjen tukipalveluiden käyttäminen ei ole edes tarkoituksenmukaista. Kuntien tukipalveluiden käyttövelvoitetta olisikin syytä rajata koskemaan vain niitä lakisääteisiä tehtäviä, joissa kunnan järjestämisvastuulla on tietyn palvelun järjestäminen. Lakiehdotuksen 6.2 :ssä ehdotetaan säädettäväksi käyttäjäorganisaation velvollisuudesta tarjota rekistereihinsä merkittyjä luonnollista henkilöä tai organisaatiota koskevia tietoja tietojen kohteen tai tämän toimivaltaisen edustajan saataville palvelunäkymässä. Velvollisuus koskee tietoja, joita käyttäjäorganisaatio muutoinkin tarjoaa tietoverkon avulla tietojen kohteille nähtäväksi sekä tietoja, jotka ovat tietojen kohteelle yleisesti hyödyllisiä tämän hoitaessa asioitaan sähköisesti. Sama koskee käyttäjäorganisaatiota, jolla on oikeus käyttää palvelunäkymää, jos se päättää käyttää oikeuttaan. Säännös on varsin epämääräinen. Säännöksessä asetetaan velvollisuus, jonka kohdentuminen valtion ja kuntien viranomaisten rekistereihin jää epäselväksi. Säännöksen osalta on selvää, että tiedot, joita on mahdollista saada muutenkin tietoverkon avulla, voidaan integroida osaksi palvelunäkymää. Sen sijaan palvelunäkymää tuottavan palvelutuottajan (VRK) suunnittelun varaan jää se, mitä muita tietoja palvelunäkymään pystytään kulloinkin tuottamaan ja missä muodossa ja käyttöyhteydessä tiedot esitetään. Lakiehdotuksen 29.1 :n 1 kohdan mukaan käyttöön velvoitetun käyttäjäorganisaation on tuotava 5
rekisteritietojaan palvelunäkymään viimeistään 1 päivänä heinäkuuta 2017. Koska käyttöön velvoitettuja käyttäjäorganisaatioita on satoja, ei asetettua määräaikaa voida pitää realistisena ja toisaalta käyttöönotot riippuvat VRK:n kyvystä kehittää palvelunäkymiään. Esitetyssä muodossa tiettyyn päivämäärään sidottua käyttövelvollisuutta ei kannata asettaa, kuten olen jo edellä esittänyt. Henkilötietojen käsittelyä koskeva sääntely Lakiehdotuksessa ei ole omaksuttu sääntelytapaa, jossa laissa säädetyt rekisterit olisi nimetty selkeästi, vaan rekistereitä koskeva sääntely on sidottu palveluun. Esimerkiksi ehdotetussa 10 :ssä säädetään asiointivaltuuspalvelun tarjoamista varten perustettavasta rekisteristä, kun säännöksessä olisi voitu suoraan säätää asiointivaltuusrekisteristä. Sama koskee tavoitettavuustietorekisteriä. Julkisen hallinnon tietoarkkitehtuurin ja sääntelyn selkeyden näkökulmasta rekisterien erikseen nimeäminen olisi ollut perusteltua, jolloin niihin viittaaminen olisi yksikäsitteistä. Myös rekisterien hallinnointiin liittyvä informointi ja muut velvollisuudet olisivat helpommin toteutettavissa selkeästi nimettyihin rekistereihin. Myös sääntelyn yhdenmukaisuus muuhun rekisterilainsäädäntöön nähden puoltaisi yksikäsitteisiä rekisterien nimeämisiä. Lakiehdotuksen 10 :ssä ei ole ehdotettu säädettäväksi asiointivaltuusrekisterin ja 11 :ssä tavoitettavuustietorekisterin tarkasta tietosisällöstä. Säännöksestä ei ilmene, mistä tiedoista asiointivaltuusrekisteri ja tavoitettavuustietorekisteri koostuvat. Lakiehdotuksen 11 :n perusteluissa on esitetty esimerkinomainen luettelo näistä tiedoista. Perustuslakivaliokunta on vakiintuneesti todennut, että henkilötietojen käsittelyyn liittyviä laintasoisia sääntelykohteita ovat rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, niiden sallitut käyttötarkoitukset, tietojen luovutettavuus ja tietojen säilytysaika sekä rekisteröidyn oikeusturva. Lisäksi perustuslakivaliokunta on edellyttänyt sääntelyn kattavuutta ja yksityiskohtaisuutta lain tasolla (PeVL 25/1998 vp, s. 2). Vaikuttaisi siltä, että asiointivaltuusrekisterin ja tavoitettavuustietorekisterin henkilötietojen sisällöstä pitäisi olla tarkemmin säädetty ehdotetussa 10 ja 11 :ssä. Hallituksen esityksessä ei arvioida ehdotettujen rekisterien julkisuutta. Toisaalta jos rekisterien tietosisältöä ei ole säädetty erikseen salassa pidettäväksi niin tiedot ovat julkisia. Lakiehdotuksessa tietojen luovuttamista henkilörekistereistä on rajoitettu asianmukaisin säännöksin. Rekisterien julkisuudesta todetaan asiointivaltuusrekisterin osalta, että Asiointivaltuuspalvelussa käsiteltävät tiedot olisivat edellä kuvatulla tavalla joko julkisia tai niiden käsittelyn edellytyksenä olisivat edellä tarkoitetuissa laeissa säädetyt vaatimukset. Nähdäkseni asiointivaltuustiedot voivat olla sellaisia tietoja, joiden julkisuusastetta voisi olla tarpeen arvioida. Tämä tosin riippuu siitä, minkälaisiin eri käyttötarkoituksiin asiointivaltuutuksia voidaan tehdä. Valtuutuksiin, jotka eivät perustu erikseen säädettyihin julkisiin rekistereihin, voi sisältyä esimerkiksi liikesalaisuuden piiriin tai yksityiselämän suhteisiin liittyviä tietoja. Hallituksen esityksessä käytettävissä olevien tietojen perusteella ei voida päätellä mahdollisia salassapitoon liittyviä kysymyksiä. Lakiehdotuksen 6 :ssä on säädetty palvelutietovarannosta. Säännösehdotuksesta tai perusteluista ei ilmene, syntyykö käyttäjäorganisaatioiden palvelutietovarantoon tietoja päivittävistä henkilöistä henkilörekisteri ja mitä tietoja tällaiseen palvelutietovarannon päivittäjien käyttäjärekisteriin kerätään. Lakiehdotuksen 20.2 :ssä ehdotetaan, että Väestörekisterikeskuksen on säilytettävä lokirekisteriin tallennetut tiedot vähintään kaksi vuotta niiden tallentamisajankohtaa seuraavan kalenterivuoden alusta lukien. Kun otetaan huomioon, että lokitietoja käytetään muun muassa henkilörekistereihin kohdistuvien rikosten selvittämisessä sekä sääntely-ympäristö viranomaistoiminnassa, tulisi lokitiedot säilyttää vähintään viisi vuotta. Tämä siitä syystä, että virkarikosten vähimmäisvanhentumisaika on viisi vuotta. Jos esimerkiksi henkilörekisteriin kohdistunut tietojen säännösten vastainen käyttö olisi 6
vanhentunut henkilörekisteririkoksena, voidaan asiasta suorittaa esitutkinta ja nostaa syyte kuitenkin esimerkiksi virkavelvollisuuden rikkomisesta, koska siinä vanhentumisaika on henkilörekisteririkoksen kahden vuoden vanhentumisaikaa pitempi. Tällaisten rikosten selvittämisessä lokitiedot ovat merkittävässä osassa. Lakiehdotuksen 17.2 :ssä ehdotetaan säädettäväksi, että Tukipalvelu on tuotettava ja kehitettävä siten, että perustason tai korotetun tason tietoturvallisuusvaatimukset täyttävien tietojen käsittely-ympäristöjen muodostaminen on tarvittaessa mahdollista. Tietoturvallisuusvaatimusten tarve ja toteutustapa tulee arvioida riskienhallintamenetelmien avulla. Lakiehdotuksessa ei määritellä, mitä perustason tai korotetun tason tietoturvallisuusvaatimuksilla tarkoitetaan. Valtionhallinnon tietoturvallisuudesta annetussa asetuksessa on säädetty perustason tietoturvavaatimuksista ja viitattu korotetun tason tietoturvavaatimuksiin. Epäselväksi jää, tarkoitetaanko näillä vaatimuksilla valtion tietoturva-asetuksen vaatimuksia, jotka perustuvat julkisuuslain 18 :n sääntelyyn vai säädetäänkö näistä erikseen ehdotetun 17.4 :n mukaisesti valtioneuvoston asetuksella. Lisäksi ehdotetun 17.3 :n mukaan ennen käyttäjäorganisaation tietojärjestelmän liittämistä tukipalveluun palvelutuottaja voi edellyttää käyttäjäorganisaatiolta tukipalvelun tietoturvallisuuden ja laadun varmistamiseksi tarpeellisten vaatimusten täyttämistä. Jos säännöksellä on tarkoitettu esimerkiksi sitä, että Väestörekisterikeskus voisi asettaa kunnille vaatimuksia, joista on säädetty valtionhallinnon tietoturvallisuudesta annetussa asetuksessa, muodostuisi tässä ongelmallinen sääntelymalli, jossa valtionhallintoa koskeva säädös ulotettaisiin valtion viranomaisen esittämänä vaatimuksena koskemaan myös kuntia tai itsenäisiä julkisoikeudellisia laitoksia. Säännöstä lienee syytä tarkentaa, koska säännösehdotukseen sisältyy asetuksenantovaltuus, joka vaikuttaisi siltä, että siinä on tarkoitus säännellä tietoturvallisuuden varmistamiseksi tarpeellisista vaatimuksista, jolloin ne eivät olisikaan palvelutuottajan asettamia vaatimuksia. Tiedonsaantioikeuksia koskeva sääntely Lakiehdotuksen 23 :ssä ehdotetaan säädettäväksi valtiovarainministeriön tiedonsaantioikeudesta. Ehdotuksen mukaan Valtiovarainministeriöllä on oikeus saada tehtävänsä suorittamiseksi riittävät ja tarvittavat tiedot palvelutuottajilta koskien palvelutuotannon laatua ja kustannustehokkuutta sekä muita tässä laissa tarkoitettuja palvelutuotannolle asetettuja vaatimuksia. Säännösehdotuksesta ei ilmene, kohdistuuko tiedonsaantioikeus salassa pidettäviin tietoihin. Jos tiedonsaantioikeus kohdistuu salassa pidettäviin tietoihin, olisi asianmukaista, että säännöksessä olisi todettu, että tiedonsaantioikeus on salassapitosäännösten estämättä. Toisaalta tulisi myös arvioida lakiehdotuksen 23 :ssä ehdotetun säännöksen sekä sääntelymallin tarpeellisuutta. Lakiehdotuksen 22 :ssä ehdotetaan valtiovarainministeriön tehtäväksi ohjata yhteisten tukipalvelujen järjestämistä, palvelujen laatua sekä palveluiden yhteentoimivuutta ja kokonaisarkkitehtuurinmukaisuutta. Tehtävän suorittamiseksi ministeriöllä olisi oikeus saada Väestörekisterikeskukselta, Valtiokonttorilta, Valtorilta sekä Maanmittauslaitokselta niiden tuottamien tukipalvelujen osalta muun muassa laatu- ja kustannustehokkuustietoja. Edellä mainitut palvelutuottajat, Maanmittauslaitosta lukuun ottamatta, kuuluvat jo tällä hetkellä valtiovarainministeriön toimialaan ja siten ministeriön tulosohjauksen piiriin. Lakiehdotuksen 22 :ssä ehdotetaan valtiovarainministeriön ohjaustehtävän laajentamista koskemaan myös Maanmittauslaitoksen tuottama hallinnon karttapalvelua. Siten lakiehdotuksen 23 :ssä tarkoitetut palveluja kuvaavat tiedot olisi mahdollista tuottaa osana ministeriön ja virastojen välisen tulosohjausprosessin, ilman että niistä tarvitsisi laintasolla erikseen säädellä. Säännösehdotus voi siten olla tarpeeton. 7
Oikeusturva ja hyvä hallinto Ehdotetun lain 24 :ssä on säädetty siitä, että palvelutuottajan tämän lain nojalla tekemään päätökseen saa hakea oikaisua palvelutuottajalta. Lakiehdotuksen 7 :ssä on ehdotettu säädettäväksi valtiovarainministeriölle eräänlaisesta otto-oikeudesta tukipalveluiden käyttövelvollisuudesta päättämisestä. Ehdotetussa 24 :ssä on säädetty oikeudesta hakea oikaisua ainoastaan palvelutuottajan päätökseen, mutta ei valtiovarainministeriön päätökseen, jonka ministeriö tekee 7 :n nojalla. Ehdotuksen 7 lienee tulkittavissa siten, että valtiovarainministeriö tekee palvelutuottajan sijaan palvelun käyttövelvollisuutta koskevan päätöksen, koska säännösehdotuksessa puhutaan valtiovarainministeriön ratkaisusta, jolla ilmeisesti tarkoitetaan käyttövelvoitetta koskevaa päätöstä. Säännöstä lienee syytä täydentää valtiovarainministeriön päätökseen liittyvän oikaisuvaatimusmenettelyn osalta. Lakiehdotuksen 7 :n perusteluista ei ilmene, miksi säännösehdotuksessa on päädytty poikkeukselliseen otto-oikeutta muistuttavaan menettelyyn käyttövelvollisuudesta päätettäessä. Säädösehdotuksesta ei ilmene selkeästi, millaisella järjestelyllä yksityisoikeudelliset yhteisöt voivat käyttää tukipalveluita. Perustuuko käyttöönotto pelkästään palvelutuottajan tekemään päätökseen vai päätökseen sekä tähän liittyvään palvelutuottajan ja yksityisen väliseen sopimukseen vai pelkkään sopimukseen. Tällä on merkitystä yksityisoikeudellisen yhteisön oikeusturvan kannalta muun muassa siten, missä tuomioistuimessa mahdolliset palvelun käyttöä koskevat erimielisyydet ratkaistaan. Hallituksen esityksessä korostetaan vahvasti sähköisten asiointipalveluiden kehittämistä ja käytön ensisijaisuutta. Kuitenkin laillisuusvalvonnassa on toistuvasti korostettu sitä, että hyvä hallinto ja erityisesti hallintolaissa säädetty palveluperiaate edellyttävät, että asiointivaihtoehtoja tarjotaan tasapuolisesti ja vaihtoehdoista tiedotetaan selkeästi (ks. esimerkiksi AOA 1468/4/11, 17.2.2012; AOA 1468/4/11, 17.2.2012; AOA 2954/4/12, 28.5.2013). Lain täytäntöönpano yhteydessä on tärkeää korostaa palveluperiaatteesta lähteviä velvollisuuksia eri asiointivaihtoehtojen selkeästä tiedottamisesta. Tämä on erityisen tärkeää tiedoksiantotavoista tiedottamisessa sekä yleistä suostumusta pyydettäessä sähköisen tiedoksiannon ja muun sähköisen viestinnän käyttöön. Sääntelyrakennetta ja ohjausjärjestelmää koskevia huomioita Kuten edellä olen esittänyt tietohallintoa ja tietojärjestelmäpalveluita koskeva sääntely on varsin hajautunut. Tämä on puolestaan johtanut siihen, että tietojärjestelmäpalveluiden kehittämisen ja tuotannon ohjausjärjestelmään on syntynyt rinnakkaisia ja päällekkäisiä ohjausrakenteita, jotka poikkeavat muun muassa valtion talousarviolain (423/1988) ja -asetuksen (1243/1992) sekä tietohallintolain mukaisesta ohjausrakenteesta. Oikeuspoliittisesti tarkasteltuna säädösmäärän kasvaminen ja ohjausrakenteiden rinnakkaisuus sekä päällekkäisyys eivät liene niitä tavoiteltavia päämääriä, joihin normien purkamisella ja byrokratian vähentämisellä pyritään. Vantaalla 25.5.2016 Tomi Voutilainen julkisoikeuden professori 8