Muistio SM1622242 1 (5) 00.00.01.00.01 4.5.2017 SMDno-2016-1328 SM036:00/2016 Pelastusylitarkastaja Veli-Pekka Hautamäki Neuvotteleva virkamies Johanna Kari EU:n yleisestä tietosuoja-asetuksesta johtuvat säädösmuutostarpeet pelastustoimen ja hätäkeskustoimen lainsäädäntöön Muistion tarkoitus Sisäministeriö asetti 31.8.2016 esiselvityshankkeen, jonka tarkoituksena oli arvioida Euroopan unionin yleisestä tietosuoja-asetuksesta (Euroopan parlamentin ja neuvoston asetus (EU) 2016/679) johtuvat pelastustoimen ja hätäkeskustoimen lainsäädäntöön kohdistuvat säädösmuutostarpeet. Tässä muistiossa suoritetaan edellä mainittu arviointi, kuitenkin niillä varauksilla jotka jäljempänä mainitaan. On syytä tähdentää, että muistion tarkoituksena on kartoittaa nimenomaisesti mahdollisia säädösmuutostarpeita, muttei sinänsä ottaa muutoin kantaa siihen miten EU:n tietosuoja-asetusta tulisi soveltaa. Tietosuoja-asetuksen soveltamiseen liittyviä kysymyksiä tulisi kuitenkin pyrkiä käsittelemään jo mahdollisimman varhaisessa vaiheessa sekä pelastustoimen että hätäkeskustoimen organisaatioissa, ennen kuin asetusta aletaan soveltaa 25.5.2018 lukien. Tietosuoja-asetuksen soveltamisen kannalta tarvitaan käytännön ohjeistusta ja eri tietojärjestelmien asetuksenmukaisuuden tarkastelua. TATTI-työryhmä ja tutkimusraportti Oikeusministeriössä on tämän muistion laatimisen aikana ollut käynnissä henkilötietolain tarkistamistyöryhmä (ns. TATTI-työryhmä), joka selvittää EU:n tietosuojaasetuksesta johtuvia muutostarpeita henkilötietojen käsittelyä koskevaan yleislainsäädäntöön. Tämän työryhmän mietinnön lainsäädännön uudistamistarpeista sisältäen luonnoksen uudeksi tietosuojaa koskevaksi yleislaiksi on suunniteltu valmistuvan toukokuussa 2017, joten siinä esitettyjä näkökohtia tässä muistiossa esiin tuotuun ei ole voitu lopullisella tavalla arvioida. Saadun tiedon mukaan TATTI-työryhmä ryhtyisi koordinoimaan erityislainsäädännön valmistelua juhannuksen jälkeen 2017. Käyttöön on kuitenkin saatu em. työryhmän työhön liittyvä tutkimusraportti, jossa on arvioitu kansallisen lainsäädännön suhdetta EU:n tietosuoja-asetukseen. Raportti tullaan julkaisemaan valtioneuvoston kanslian selvitys- ja tutkimustoiminnan julkaisuna. Tietosuoja-asetukseen liittyvänä muuna taustamateriaalina voidaan mainita valtiovarainministeriön julkaisu EU-tietosuojan kokonaisuudistuksesta (VAHTI-raportti 1/2016) sekä oikeusministeriön ja tietosuojavaltuutetun toimiston yhdessä julkaisema ohje Miten valmistautua EU:n tietosuoja-asetukseen? (24.1.2017). Tutkimusraportissa on arvioitu seuraavat pelastusosaston valmisteluvastuuseen kuuluvat lait ja asetukset: pelastuslaki (379/2011), laki pelastustoimen laitteista (10/2007), laki Pelastusopistosta (607/2006), laki hätäkeskustoiminnasta (692/2010), valtioneuvoston asetus hätäkeskustoiminnasta (877/2010), sisäasiainministeriön asetus käsisammuttimien tarkastuksesta ja huollosta (917/2005), sekä sisäasiainministeriön asetus pelastustoimen virkapuvusta sekä pelastusviranomaisen henkilökortista (507/2011). Raportissa ei mainita kaikkia pelastustoimen säädöksiä, joka johtuu siitä, että esimerkiksi laissa vaaratiedotteesta (466/2012) ja Palosuojelurahastolaissa (306/2003) ei ole henkilötietojen käsittelyä sisältävää sääntelyä. Postiosoite: Käyntiosoitteet: Puhelin: Virkasähköpostiosoite: Sisäministeriö Erottajankatu 2 Vaihde kirjaamo@intermin.fi PL 26 Helsinki 0295 480 171 www.intermin.fi 00023 Valtioneuvosto Faksi: 09 1604 4635
Sisäministeriö 2 (5) Tutkimusraportista ei käy ilmi onko pelastuslain ja hätäkeskustoiminnasta annetun lain 1.1.2017 voimaan tulleet muutokset 1171/2016 ja 1172/2016 siinä huomioitu. Muutokset on kuitenkin eduskuntakäsittelyn (HE 100/2016 vp) aikana käsitelty laajasti hallinto- ja perustuslakivaliokunnissa (PeVL 38/2016 vp ja HaVM 15/2016 vp), joten rekisterikysymyksiin on kiinnitetty tältä osin erityistä huomiota. Muutosten eduskuntakäsittelyyn onkin viitattu eri yhteyksissä EU:n tietosuojauudistuksesta puhuttaessa. On huomionarvoista, että perustuslakivaliokunta toteaa em. lausunnossaan seuraavaa: "Valiokunnan käsityksen mukaan estettä ei ole sille, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden sekä täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joltain osin täyttää myös asianmukaisesti laaditulla yleisellä Euroopan unionin asetuksella tai kansalliseen oikeuteen sisältyvällä yleislailla." Tutkimusraportin perusteella pelastustoimen ja hätäkeskustoiminnan edellä mainitun lainsäädännön henkilötietojen käsittelyn oikeudellinen peruste on sopusoinnussa EU:n tietosuoja-asetuksen kanssa. Tutkimusraportissa ei ole nostettu hätäkeskustoiminnasta annetun lain (692/2010) 16 17 :ien ja 19 23 :ien tai hätäkeskustoiminnasta annetun asetuksen (877/2010) 3 :n osalta esille muutostarpeita. Mainituissa säädetään hätäkeskustietojärjestelmästä, siihen talletettavista tiedoista, tietojen luovuttamisesta sekä tiedonsaantioikeuksista. Raportissa kiinnitetään pelastustoimenkin osalta erikseen huomiota ainoastaan pelastuslain 92 :ään (varautumistehtävien rekisteri; ovatko kaikki tiedot tarpeellisia varautumistehtävien kannalta), sekä Pelastusopistosta annetun lain 25 :ään (viittaus EU:n tietosuoja-asetuksen 9 artiklan 2. g) -kohtaan). Yleistä EU:n tietosuoja-asetuksesta Tietosuoja-asetusta sovelletaan 25.5.2018 lukien ja se on jäsenvaltioissa suoraan sovellettavaa oikeutta. EU-asetus on normihierarkkisesti korkeampi säädös kuin kansallinen laki eli kansallisen lain säännökset syrjäytyvät mahdollisissa normiristiriitatilanteissa. Kansallisen lainsäädännön tulee olla sopusoinnussa tietosuoja-asetuksen kanssa mainittuun 25.5.2018 mennessä. Tietosuoja-asetuksen soveltamisalasta säädetään asetuksen 2 artiklassa. Asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Asetusta ei sovelleta henkilötietojen käsittelyyn, a) jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan; b) jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa; c) jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa; d) jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Asetuksessa ei yksiselitteisesti todeta sitä sovellettavan pelastustoimessa ja hätäkeskustoimessa tapahtuviin henkilötietojen käsittelyyn. Pelastustoimeen ja hätäkeskustoimeen ei kuitenkaan sovelleta tietosuojadirektiiviä, koska sen soveltamisala komission näkemyksen mukaan edellyttää liittymäkohtaa rikosten ennalta estämiseen, paljastamiseen ja selvittämiseen silloinkin, kun kyse on yleisen järjestyksen ja turvallisuuden ylläpitämisestä. Tietosuoja-asetuksen valmisteluun liittyneissä vuosia kestäneissä neuvotteluissa pelastustoiminta ja hätäkeskustoiminta ajateltiin kuuluvaksi asetuksen soveltamisalaan, mm. mietittäessä kysymystä siitä millaista kansallista liikkumavaraa tietosuoja-asetuksessa on poiketa asetuksessa säädetyistä rekisteröidyn oikeuksista. Tietosuoja-asetus sisältää kaikkiaan 99 artiklaa ja se on jaettu yhteentoista lukuun. Asetuksessa on paljon institutionaalista sääntelyä, kuten esimerkiksi tietosuojavas-
Sisäministeriö 3 (5) taavasta annetut säännökset tietosuoja-asetuksen 37 39 artikloissa tai säännökset riippumattomista valvontaviranomaisista (asetuksen VI luku). Tällaisten säännösten osalta on nopeasti todettavissa, etteivät ne aiheuta muutostarpeita pelastustoimen tai hätäkeskustoimen lainsäädäntöön. Koska tietosuoja-asetus on sisällöltään laaja, tässä muistiossa ei ole tarkoituksenmukaista käsitellä sen jokaista artiklaa erikseen ja edellä mainittu huomio tiettyjen artiklojen selkeästä poissuljettavuudesta huomioon ottaen muistiossa keskitytään suoraan niihin artikloihin tai em. tutkimusraportissa tehtyihin havaintoihin, joiden kohdalla on tarkemmin syytä tutkia, aiheuttavatko ne muutostarpeita pelastustoimen tai hätäkeskustoimen lainsäädäntöön. Säädösmuutostarpeiden arviointi Tutkimusraportissa esiin nostetut säännökset Pelastuslain 92 Pelastuslain 92 :n 2 momentin mukaan varautumistehtävien rekisteriin saadaan tallentaa pykälän 1 momentissa tarkoitetun henkilön nimi, syntymäaika, henkilötunnus, siviilisääty, ammatti, koulutus, osoite, muut yhteystiedot, tiedot ajokortista sekä tieto henkilön huollettavina olevien lasten lukumäärästä. Tutkimusraportissa kysytään, ovatko kaikki tiedot tarpeellisia varautumistehtävien kannalta ja viitataan erikseen siviilisäätyyn. Arvio lainsäädäntötoimenpiteen tarpeesta: Pelastuslain 92 :n 2 momentissa säädetyt henkilötiedot ovat perusteltuja varautumistehtävien hoitamisen kannalta. Siviilisäädystä voidaan päätellä esimerkiksi, onko huollettavilla lapsilla mahdollisesti samassa taloudessa joku toinen huoltaja. Pelastuslakia ei ole tarpeen muuttaa. Pelastusopistosta annetun lain 25 Pelastusopistosta annetun lain 25 :ssä säädetään opiskelijan ja hakijan terveydentilaa koskevien tietojen käsittelystä. Opiskelijaksi hakeneen ja opiskelijan terveydentilaa koskevaa tietoa saavat Pelastusopistossa käsitellä vain ne henkilöt, jotka valmistelevat taikka tekevät päätöksen opiskelijavalinnasta, opiskeluoikeuden keskeyttämisestä tai menettämisestä taikka kurinpidosta. Opiston on säilytettävä terveydentilaa koskevat tiedot erillään muista henkilötiedoista. Terveydentilaa koskevat tiedot tulee poistaa rekisteristä välittömästi, kun niiden säilyttämiselle ei ole enää lakisääteisten tehtävien edellyttämää perustetta, kuitenkin viimeistään vuoden kuluttua tietojen merkitsemisestä rekisteriin. Pykälän 2 momentti on kumottu lailla 1173/2016. Kumotun 2 momentin nojalla Pelastusopisto sai luovuttaa hallussaan olevat pelastustoimen päällystökoulutuksen ammattikorkeakouluopiskelijan terveydentilaa koskevat tiedot Savonia-ammattikorkeakoululle. Tutkimusraportissa viitataan EU:n tietosuoja-asetuksen 9 artiklan 2. g) -kohtaan, jossa säädetään erityisiä henkilöryhmiä koskevien tietojen käsittelystä yleistä etua koskevasta syystä. Sääntelyn tulee olla oikeasuhtaista tavoitteeseen nähden, siinä noudatetaan oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Arvio lainsäädäntötoimenpiteen tarpeesta: Pelastusopistolain 25 :n 1 momentissa säädettyjä henkilötietojen käsittelyä koskevia säännöksiä voidaan pitää EU:n tietosuoja-asetuksen 9 artiklan 2. g) -kohdan mukaisina, ts. ne täyttävät perusteet oikeasuhtaisuudesta, tietojen käsittelyn rajaamisesta, tietojen suojaamisesta, sekä tietojen poistamisesta. Pelastusopistosta annettua lakia ei ole tarpeen muuttaa. Sisäasiainministeriön asetus käsisammuttimien tarkastuksesta ja huollosta 7 Tutkimusraportissa mainitaan sisäasiainministeriön asetus käsisammuttimien tarkastuksesta ja huollosta (917/2005) henkilötietojen käsittelyä sisältävänä säädöksenä, mutta ei toisaalta pidetä asetusta ongelmallisena EU:n tietosuoja-asetuksen suhteen.
Sisäministeriö 4 (5) Sisäasiainministeriön asetuksen 7 :ssä säädetään käsisammutinliikkeen velvoitteesta pitää luetteloa tarkastetuista ja huolletuista käsisammuttimista. Luetteloon merkittäviä tietoja ovat 1) käsisammuttimen omistajan tai haltijan nimi ja osoite; 2) käsisammuttimen malli; 3) käsisammuttimen ja ponneainepullon valmistus- tai sarjanumero; 4) tarkastus- ja huoltopäivämäärä; 5) käsisammuttimelle tehdyt toimenpiteet; 6) tarkastuksen ja huollon tehneen nimi; sekä 7) paineellisten käsisammuttimien ja ponneainepullojen viimeksi suoritetun painekokeen päivämäärä. Arvio lainsäädäntötoimenpiteen tarpeesta: Luettelo muodostaa henkilörekisterin. Sääntely pitäisi olla laintasoista ja siinä tulisi huomioida henkilötietojen sääntelylle asetetut vaatimukset. Sääntelyä on tältä osin välttämätöntä tarkistaa. EU:n tietosuoja-asetuksen 28 artikla Henkilötietojen käsittelijä Tietosuoja-asetuksen 28 artiklassa määritellään vaatimuksia henkilötietojen käsittelijää koskien. Artiklan 3. kohdan b) alakohdan mukaan henkilötietojen käsittelijän tulee varmistaa, että henkilöt joilla sopimuksen mukaan on oikeus käsitellä henkilötietoja, ovat sitoutuneet noudattamaan salassapitovelvollisuutta tai heitä koskee asianmukainen lakisääteinen salassapitovelvollisuus. Pelastuslain (379/2011) 86 :ssä säädetään vaitiolovelvollisuudesta. Siinä ei kuitenkaan erikseen mainita salassapitovelvollisuudesta tilanteessa, jossa esimerkiksi pelastustoimen henkilörekisterien tietoja käsitellään pelastuslaitoksen kanssa tehtävän sopimuksen perusteella. Tällainen voi tulla kyseeseen esimerkiksi luovutettaessa 91 :ssä tarkoitetun toimenpiderekisterin tietoja tieteelliseen tutkimukseen. Hätäkeskustoiminnasta annetun lain (692/2010) 19 :ssä säädetään tiedonsaantioikeudesta rekistereistä salassapitosäännösten estämättä sekä hätäkeskustoiminnasta annetun lain 20 :ssä tietojen luovuttamisesta viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) säädetyn salassapitovelvollisuuden estämättä. Myöskään hätäkeskustoiminnasta annetussa laissa ei erikseen mainita salassapitovelvollisuudesta tilanteessa, jossa hätäkeskustoimintaa koskevien henkilörekistereiden tietoja käsitellään Hätäkeskuslaitoksen kanssa tehtävän sopimuksen perusteella. Lisäksi hätäkeskustoiminnasta annetun lain 21 :ssä säädetään luovutettujen tietojen käyttötarkoitussidonnaisuudesta. Henkilötietolain (523/1999) käyttötarkoitussidonnaisuutta koskevan 7 :n mukaan henkilötietoja saa käyttää tai muutoin käsitellä vain tavalla, joka ei ole yhteensopimaton 6 :ssä tarkoitettujen käsittelyn tarkoitusten kanssa. Arvio lainsäädäntötoimenpiteen tarpeesta: EU:n tietosuoja-asetus on suoraan sovellettavaa oikeutta. Asetuksen 28 artiklan perusteella henkilön sitoumus noudattaa salassapitovelvollisuutta silloin, kun hän sopimuksen perusteella käsittelee henkilötietoja, on vaihtoehtoinen sille, että häntä koskee lakisääteinen salassapitovelvollisuus. Pelastuslain 86 :n tai hätäkeskustoiminnasta annetun lain 19 ja 20 :ien muuttamista siten, että niistä ilmenisi tietosuoja-asetuksen 28 artiklan em. vaatimus lakisääteisyydestä, ei voida pitää välttämättömänä. Sikäli kuin pelastustoimen tai hätäkeskustoimintaa koskevien henkilörekisterien tietoja luovutettaisiin sopimuksen perusteella esimerkiksi tutkimuskäyttöön, EU:n tietosuoja-asetuksen nojalla hyväksyttävä menettelytapa on pyytää henkilötietojen käsittelijältä sitoumus, jossa hän sitoutuu noudattamaan salassapitovelvollisuutta. Johtopäätökset Kokonaisuutena arvioiden tietosuoja-asetus ei vaikuttaisi aiheuttavan merkittäviä muutostarpeita pelastustoimea tai hätäkeskustoimintaa koskevaan lainsäädäntöön. Sisäasiainministeriön asetuksessa käsisammuttimien tarkastuksesta ja huollosta (917/2005) oleva henkilötietojen käsittelyä koskeva sääntely on kuitenkin tarkistettava vastaamaan henkilötietojen käsittelylle asetettuja sääntelyvaatimuksia. On myös mahdollista, että lisää tarpeita lainsäädäntötoimenpiteille havaitaan joko oikeusminis-
Sisäministeriö 5 (5) teriön johtamassa erityislainsäädännön koordinoinnissa tai sitä myöhemmin asetusta sovellettaessa. EU:n tietosuoja-asetuksen 23 artiklan soveltamiseen lainsäädäntötoimenpitein on syytä varautua, jos tietosuoja-asetuksen soveltamiskysymyksiin liittyen ilmenee jotain sellaista, että kansallisen liikkumavaran käyttö on perusteltua. Tässä yhteydessä tulee huomioida, että em. TATTI-työryhmä tullee mietintönsä antamisen jälkeen jatkamaan toimeksiantonsa mukaisia tehtäviä ja erityisesti kehittämään liikkumavaran käyttöä linjaavaa työtä sekä koordinoimaan ja avustamaan erityislainsäädännön tarkistamista koskevassa työssä.