EDUSKUNTA VALIOKUNNAT ASIAKIRJAVIHKO o &/Abc*&*r
VK-FAKTA PERUSTUSLAKIVALIOKUNTA DIAARIOTE 21.09.2006 DIAARIOTE PERUSTUSLAKIVALIOKUNTA U 48/2005 vp eduskunnalle ehdotuksesta neuvoston puitepäätökseksi (III-pilarin tietosuoja) Saapunut: Lausuntoa varten Mietintövk: SuV Ministeriö: OM Lähettäjä: Puhemies Lähetyspvm: 16.12.2005 Saapumispvm: 19.12.2005 Tilakoodi: Käsittely päättynyt Lopputoimi: PeVL 27/2006 vp Lopputoim.pvm: 21.09.2006 KOM-nro: KOM(2005) 184 lopullinen KOM(2005) 475 lopullinen KOM(2005) 490 lopullinen 1. 21..0 200 Lausunto lähetetty PeVL 27/2006 vp 9. 6 SuV 1. 21..0 200 Valmistunut PeVL 27/2006 vp 9. 6 Yksityiskohtainen käsittely 1. 21..0 200 Käsittely Yleiskeskustelu lausuntoluonnos 9. 6 Valmistava keskustelu Käsittely Asiantuntijakuuiemisen 1. 21..0 200 päättäminen 9. 6 Käsittely Asiantuntijoiden kuuleminen 1. 07..0 200 -hallitussihteeri Leena Rantalankila 3 6 oikeusministeriö (K). -poliisiylitarkastaja Marja Kartila 1. 07..0 200 sisäasiainministeriö (K) 3. 6 -professori Olli Mäenpää (K) 1. 28..0 200 -professori Teuvo Pohjolainen (K) 2. 6 20.12.2005 Ilm. vkaan saapuneeksi (lausunto) 19.12.2005 Kirjaus Saap. lausuntoa varten Wj^m OIKEUSMINISTERIÖ LeenaRantalankila LAUSUNTO 28.2.2006 U 'Vf/^öf^- ^ ^ ^J^^r/A U 48/2005 vp Eduskunta Perustuslakivaliokunta
III-PILARIN TIETOSUOJAA KOSKEVA PUITEPÄÄTÖSEHDOTUS 1. Yleistä Euroopan yhteisöjen komissio on 4 päivänä lokakuuta 2005 tehnyt ehdotuksen neuvoston puitepäätökseksi rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (KOM (2005) 475 lopullinen). Ehdotus perustuu Eurooppa neuvoston 4 marraskuuta 2004 hyväksymään Haagin ohjelmaan ja liittyy kiinteästi lainvalvonnassa tärkeiden tietojen saatavuusperiaatteen toteuttamiseen. Haagin ohjelmassa komissiota kehotetaan tekemään vuoden 2005 loppuun mennessä jäsenvaltioiden välisen lainvalvontatiedon vaihdon helpottamiseksi ehdotukset tietojen saatavuusperiaatteen täytäntöönpanemiseksi. Haagin ohjelma painottaa, että ehdotuksissa on tarkoin otettava huomioon tietosuojaa koskevat keskeiset periaatteet. Komissio on 12 päivänä lokakuuta 2005 tehnyt ehdotuksen tietojen saatavuusperiaatetta koskevaksi puitepäätökseksi (COM(2005) 490 final). 2. EU:n III-pilarin tietosuojasäännökset EU:n IH-pilarissa ei ole voimassa yhtenäisiä tietosuojasäännöksiä. Tietosuojasäännöksiä sisältyy kuitenkin useisiin eri instrumentteihin, erityisesti instrumentteihin, jotka koskevat euroopanlaajuisia tietojärjestelmiä (Schengen, Europol, Eurojust, tullitietojärjestelmä). Tietosuojaa koskevaa sääntelyä sisältyy myös vuoden 2000 yleissopimukseen keskinäisestä oikeusavusta rikosasioissa Euroopan unionin jäsenvaltioiden välillä, erityisesti sen 23 artiklaan, sekä tullihallintojen keskinäisestä avunannosta ja yhteistyöstä tehdyn vuoden 1997 yleissopimuksen (Napoli II) 25 artiklaan. Käyntiosoite Postiosoite Puhelin Telekopio Sähköpostiosoite Eteiäespianadi 10 PL 25 (09)160 03 (09) 1606 7735 kirjaamo.om@orn.fi 00023 VALTIONEUVOSTO III-pilarissa on otettava huomioon myös Euroopan neuvoston Ihmisoikeussopimuksen 8 artikla sekä Euroopan neuvoston tietosuojasopimus No. 108 ja sen valvontaviranomaisia ja tietojen siirtoa kolmansiin maihin koskeva lisäpöytäkirja vuodelta 2001. Käytännössä suuri merkitys on myös Euroopan neuvoston poliisitoimen tietosuojaa koskevalla suosituksella Rec n:o R(87) 15/17.9.1987, vaikka se ei olekaan oikeudellisesti sitova. Tietosuojasäännöksiä sisältyy myös seitsemän jäsenvaltion (Saksa, Itävalta, Belgia, Alankomaat, Luxemburg, Ranska ja Espanja) 27 toukokuuta 2005 Priimissä allekirjoittamaan yhteistyösopimukseen. Sopimus sallii, tarkoin määriteltyjen edellytysten vallitessa, sopimusosapuolen lainvalvontaviranomaiselle suorakäyttöoikeuden toisella sopimusosapuolella oleviin henkilötietoihin. Yhteistyö käynnistyy kuitenkin vasta kun sopimuksen tietosuojasäännöt on pantu kansallisesti täytäntöön sopij av aitioissa. Kyseiset jäsenvaltiot ovat suositelleet sopimusta yleiseksi, EU:ssa tietojen vaihdossa käytettäväksi malliksi. Useimmat jäsenvaltiot ovat tähän asti noudattaneet I-pilarin tietosuojadirektiivin periaatteita myös puitepäätöksen soveltamisalalla tapahtuvassa henkilötietojen käsittelyssä, soveltaen kuitenkin tietosuojadirektiivin mahdollistamia poikkeuksia. Poikkeukset ovat vaihdelleet jäsenvaltioittain. Suomi soveltaa lähtökohtaisesti tietosuojadirektiivin periaatteita kaikkeen henkilötietojen käsittelyyn, mutta puitepäätöksen soveltamisalalla direktiivin säännöksistä on mahdollista poiketa.
4(7) 3. Ehdotuksen pääasiallinen sisältö Ehdotuksessa määritellään yhteiset standardit henkilötietojen käsittelylle poliisiyhteistyössä ja oikeudellisessa yhteistyössä rikosasioissa. Tarkoituksena on varmistaa, etteivät erot jäsenvaltioiden tietosuojan tasossa haittaa tietojen vaihtoa jäsenvaltioiden välillä ja että perusoikeuksia, etenkin oikeutta yksityisyyteen ja tietosuojaan kunnioitetaan, erityisesti toteutettaessa tietojen saatavuusperiaatetta. Puitepäätösehdotuksessa on pyritty noudattamaan I-pilarin tietosuojadirektiivin henkeä ja rakennetta niin pitkälle kuin mahdollista ottaen huomioon poliisiyhteistyöhön ja oikeudelliseen yhteistyöhön rikosasioissa liittyvät erityistarpeet sekä suhteellisuusperiaate. Poliisitoimen tietosuojaa koskevat Euroopan neuvoston suosituksen n:o R(87)15 pääperiaatteet on myös otettu huomioon tarkoituksena muuttaa suosituksen pääperiaatteet EU:n tasolla oikeudellisesti velvoittaviksi. Puitepäätöksen I luku sisältää tavoitetta, määritelmiä ja soveltamisalaa koskevat säännökset. II luku sisältää yleiset säännöt henkilötietojen käsittelyn laillisuudesta. Luvun säännökset on ulotettu koskemaan myös pelkästään kansallisessa tarkoituksessa tapahtuvaa henkilötietojen käsittelyä. III luvussa säädetään henkilötietojen siirrosta ja asettamisesta muiden jäsenvaltioiden toimivaltaisten viranomaisten saataville. Lisäksi luvussa säädetään muiden jäsenvaltioiden toimivaltaisilta viranomaisilta saatujen tietojen edelleenkäsittelystä ja niiden siirtämisestä paitsi jäsenvaltion toimivaltaisille viranomaisille, myös jäsenvaltion viranomaisille, jotka eivät ole toimivaltaisia sekä yksityisille tahoille, kolmansien maiden toimivaltaisille viranomaisille ja kansainvälisille elimille. IV luvussa säädetään rekisteröidyn oikeuksista. Ehdotukseen sisältyy säännökset rekisterinpitäjän velvollisuudesta informoida rekisteröityä tietojen käsittelystä ja säännökset jäsenvaltioiden velvollisuudesta säätää rekisteröidyn tiedonsaantioikeudesta ja oikeudesta saada sellaiset tiedot korjatuiksi, poistetuiksi tai suojatuiksi, joiden käsittely ei ole puitepäätöksen mukaista, erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi. V luvussa käsittelyn luottamuksellisuudesta ja turvallisuudesta, VI luvussa oikeussuojakeinoista ja vastuusta ja VII luvussa valvontaviranomaisesta ja tietosuojaryhmästä. VIII luvussa säädetään muun muassa Schengenin yleissopimuksen tietosuojasäännösten korvaamisesta puitepäätöksellä ja puitepäätöksen suhteesta muihin henkilötietojen käsittelyä ja tietosuojaa koskeviin säännöksiin. Puitepäätöksen 16 artiklassa ehdotetaan perustettavaksi komissiota avustava jäsenvaltioiden edustajista koostuva komitea, jonka puheenjohtajana toimisi komission edustaja. Komitean tehtävänä olisi antaa komissiolle lausuntoja kolmannessa maassa tai kansainvälisessä elimessä taattavan tietosuojan riittävyydestä. Komitea muistuttaa tietosuojadirektiivin artiklan 31 nojalla perustettua hallintokomiteaa, joka avustaa komissiota vastaavissa asioissa I-pilarissa. Puitepäätöksen 30 artiklan mukaan kunkin jäsenvaltion on säädettävä siitä, että jäsenvaltioiden puitepäätöksen mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen. Näiden viranomaisten on hoidettava tehtäviään itsenäisesti. Valvontaviranomaista koskevat säännökset ovat lähes samansisältöiset tietosuojadirektiivin vastaavien säännösten kanssa. Suomessa tietosuojadirektiivin mukaisia valvontaviranomaisia ovat tietosuojavaltuutettuja tietosuojalautakunta (Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta 389/1994).
5(7) Puitepäätöksen 31 artiklan mukaisesti perustettaisiin luonteeltaan neuvoa-antava ja toiminnassaan itsenäinen tietosuojatyöryhmä, jonka tehtävät vastaavat tietosuojadirektiivin artiklan 29 tietosuojatyöryhmän tehtäviä I-pilarissa. Työryhmä koostuu kunkin jäsenvaltion nimeämästä valvontaviranomaisesta ja Euroopan tietosuojavaltuutetun sekä komission edustajasta. Unionisopimuksen VI osaston alaisten yhteisten valvontaviranomaisten puheenjohtajilla on oikeus osallistua työryhmän kokouksiin. Islannin, Norjan ja Sveitsin valvontaviranomaisilla on oikeus olla edustettuina kokouksissa, silloin kuin niissä käsitellään Schengenin järjestelmään liittyviä asioita. Päätökset tehdään jäsenvaltioiden valvontaviranomaisten yksinkertaisella enemmistöllä. Työryhmän tehtävänä on mm. tutkia puitepäätöksen mukaisesti toteutettujen kansallisten toimenpiteiden soveltamista koskevat kysymykset toimenpiteiden yhdenmukaiseksi soveltamiseksi ja antaa lausuntoja tietosuojan tasosta jäsenvaltioissa, kolmansissa maissa ja kansainvälisissä elimissä. 4. Kansalliset säännökset ja ehdotuksen vaikutukset niihin Suomen perustuslain (731/1999) 10 :n 1 momentin mukaan jokaisen yksityiselämä on turvattu. Lainkohdan mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunta on katsonut, että henkilötietojen suojan kannalta tärkeitä sääntelykohteita rekisteröinnissä ovat ainakin rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, tietojen sallitut käyttötarkoitukset mukaan luettuna tietojen luovutettavuus, tietojen säilytysaika henkilörekisterissä ja rekisteröidyn oikeusturva. Edellä mainittujen seikkojen sääntelyn lain tasolla tulee olla kattavaa ja yksityiskohtaista. Perustuslakivaliokunnan mukaan lailla säätämisen vaatimus ulottuu myös mahdollisuuteen luovuttaa henkilötietoja teknisen käyttöyhteyden avulla, (mm. Pe VL 51/2002 vp). Yleiset säännökset henkilötietojen käsittelystä sisältyvät henkilötietolakiin (523/1999), jolla on saatettu kansallisesti voimaan edellä mainittu I-pilarin tietosuojadirektiivi. Yleiset säännökset henkilötietojen luovuttamisesta viranomaisten henkilörekistereistä sisältyvät viranomaisten toiminnan julkisuudesta annettuun lakiin (621/1999, jälj. julkisuuslaki). Lailla henkilötietolain muuttamisesta 986/2000 on täsmennetty henkilötietolain säännöksiä niistä perusteista, joilla henkilötietojen siirto kolmansiin maihin on tietosuojadirektiivin mukaan sallittu. Henkilötietolaki on soveltamisalaltaan laajempi kuin tietosuojadirektiivi ja sitä sovelletaan kaikessa toiminnassa tapahtuvaan henkilötietojen käsittelyyn, jollei muualla laissa toisin säädetä. Lähtökohtaisesti henkilötietolakia ja julkisuuslakia sovelletaankin myös puitepäätösehdotuksen tarkoittamassa toiminnassa tapahtuvaan henkilötietojen käsittelyyn. Henkilötietolakia ja julkisuuslakia sovelletaan myös täydentävästi silloin kun henkilötietojen käsittelystä tai tietojen luovuttamisesta viranomaisen henkilörekisteristä on säädetty erityislaissa. Puitepäätöksen alaan kuuluvaa henkilötietojen käsittelyä koskevaa erityissääntelyä sisältyy lakiin henkilötietojen käsittelystä poliisitoimessa (761/2003), lakiin henkilötietojen käsittelystä rajavartiolaitoksessa (579/2005) ja tullilakiin (1466/1994). Puitepäätös näyttäisi, ottaen huomioon sen yksityiskohtaisuus ja sen sisältämät lukuisat lainsäädäntö velvoitteet, edellyttävän useita muutoksia ja täydennyksiä edellä mainittuun erityissääntelyyn. Muutostarpeita näyttäisi aiheutuvan myös ainakin kansainvälisestä oikeusavusta rikosasioissa annettuun lakiin (4/1994). Puitepäätöstä sovelletaan, paitsi siltä osin kuin kysymys on Europolin, Eurojustin ja tullitietojärjestelmän suorittamasta henkilötietojen käsittelystä, myös aikaisempien poliisi- ja tulliyhteistyötä sekä oikeudellista yhteistyötä rikosasioissa koskevien EU-instrumenttien määräyksiin. Kansainvälisten velvoitteiden voimaansaattaminen on Suomessa tyypillisesti toteutettu ns. blancosäännöksin, jolloin uusia säännöksiä ei ole yleensä nimenomaisesti kirjattu lakeihin vaan instrumentti on saatettu lailla voimaan ja voimassaolevat säännökset selviävät
kyseisistä sopimuksista. Ehdotuksen vaikutuksia aikaisempiin instrumentteihin on selvitettävä huolella ja eri instrumentteja vertaillen. Instrumentit muodostavat verkoston ja niiden soveltaminen saattaa riippua toinen toisistaan, joten yhden instrumentin määräysten muuttamisella voi olla vaikutusta toisen tehokkuuteen. Puitepäätösehdotuksen artikloiden 11-14 säännökset, jotka koskevat toiselta jäsenvaltiolta saatujen tietojen edelleen käsittelyä ja siirtämistä jäsenvaltioiden sisällä ovat tyypillisesti sellaisia Jotka nykyisin sisältyvät erilaisiin yhteistyöinstrumentteihin eikä niitä ole kirjattu nimenomaisesti kansallisiin säännöksiin. Puitepäätösehdotus ei tältä osin välttämättä sisällä merkittäviä muutoksia nykytilaan, mutta asia vaati tarkempaa selvittelyä. Puitepäätöksen vaikutuksia kansalliseen lainsäädäntöön voidaan arvioida luotettavasti vasta sen jälkeen kun puitepäätöksen soveltamisala on tarkentunut. Soveltamisalaa koskevat keskustelut ovat vielä kesken neuvoston työryhmässä. Arviointi vaatii myös puitepäätöksen soveltamisalalla voimassa olevien säännösten ja kansainvälisten instrumenttien huolellista kartoittamista ja esityksen vaikutusten tarkempaa selvittelyä. Alustavan arvion mukaan puitepäätösehdotus ei edellyttäisi henkilötietolain ja julkisuuslain tarkistamista, vaan puitepäätöksen implementointi voitaisiin hoitaa muulla lainsäädännöllä. Tarkoituksenmukainen implementointitapa selviää kuitenkin vasta jatkotyöskentelyssä. 6(7) 5. Valtioneuvoston kannat Valtioneuvosto pitää kannatettavana puitepäätösehdotuksen tavoitetta parantaa poliisiyhteistyötä ja oikeudellista yhteistyötä rikosasioissa, erityisesti liittyen terrorismin estämiseen ja vastustamiseen. Samalla valtioneuvosto pitää tärkeänä yhteisten standardien määrittelemistä henkilöiden suojan varmistamiseksi yhteistyöhön liittyvässä tietojen vaihdossa. Henkilötietojen suojan tarve tulee korostumaan tietojen vaihdon lisääntyessä kun tietojen saatavuusperiaate pannaan täytäntöön. Tämän vuoksi valtioneuvosto suhtautuu lähtökohtaisesti myönteisesti komission ehdotukseen. Valtioneuvosto katsoo, että III-pilarissa pitäisi pyrkiä yhtenäisyyteen henkilötietojen käsittelyssä. Puitepäätösehdotus on askel oikeaan suuntaan, koska se auttaa omalta osaltaan harmonisoimaan henkilötietojen käsittelyä III-pilarissa. Valtioneuvosto pitää tavoiteltavana päämääränä III-pilarin tietosuojasääntöjen harmonisointia tulevaisuudessa yhdellä instrumentilla, joka sisältäisi yleiset, myös Europolia, Eurojustia ja tullitietojärjestelmää (TTJ) koskevat säännökset henkilötietojen käsittelystä. Yleinen instrumentti ei estäisi mainittuja euroopanlaajuisia tietojärjestelmiä koskevaa erityissääntelyä. Valtioneuvosto kuitenkin katsoo, että tässä vaiheessa Europol ja Eurojust, ja tullitietojärjestelmä, joita koskevat omat tietosuojamääräykset voidaan jättää puitepäätöksen ulkopuolelle. Europolin, Eurojustin ja tullitietojärjestelmän mukaan ottaminen viivästyttäisi todennäköisesti huomattavasti puitepäätöksen valmistumista ja samalla myös saatavuusperiaatteen täytäntöönpanoa. Valtioneuvosto katsoo, että puitepäätösehdotuksen soveltamisalaa tulee selventää. Ehdotuksen 1 artiklan mukaan ehdotuksen tavoitteena on määritellä yhteiset standardit henkilöiden suojan varmistamiseksi henkilötietojen käsittelyssä unionisopimuksen VI osaston mukaisessa poliisiyhteistyössä ja oikeudellisessa yhteistyössä rikosasioissa. Viittaus unionisopimuksen VI osastoon tulisi ottaa myös ehdotuksen soveltamisalaa koskevaan 3 artiklaan. Puitepäätösehdotuksen soveltamisalaa koskevasta 3 artiklasta ei käy ilmi, mitä siinä tarkoitetaan sanalla "prosecution". Riippuen siitä, mitä sanalla tarkoitetaan, puitepäätös voi tulla sovellettavaksi vain siltä osin kuin kyse on syytteen nostamisesta tai se voi tulla sovellettavaksi laajemminkin syytteen ajamiseen tuomioistuimessa.
Ehdotuksesta ei myöskään käy yksiselitteisesti ilmi, minkälaisten henkilötietojen käsittelyyn sitä on tarkoitus soveltaa. Puitepäätöksen tekstin perusteella ei ole täysin selvää, onko puitepäätöstä tarkoitus joiltakin osin soveltaa myös pelkästään kansalliseen henkilötietojen käsittelyyn. Komissio on vahvistanut, että puitepäätösehdotuksen II luvun yleiset säännöt henkilötietojen käsittelyn laillisuudesta koskisivat myös puhtaasti kansallista henkilötietojen käsittelyä. Valtioneuvosto katsoo, että tältä osin ehdotuksen oikeusperustan riittävyyttä voidaan epäillä. Puitepäätösehdotuksen 2 artiklan j kohdan mukaan toimivaltaisella viranomaisella tarkoitetaan poliisivoimia, tullia, oikeusviranomaisia ja muita Unionisopimuksen 29 artiklan tarkoittamia jäsenvaltioiden toimivaltaisia viranomaisia. Koska toimivaltaiset viranomaiset vaihtelevat eri jäsenvaltioissa, saattaa puitepäätöksen käytännön toimeenpanossa ilmetä epäselvyyttä siitä, mitkä ovat sen tarkoittamia toimivaltaisia viranomaisia kussakin jäsenvaltiossa. Esimerkiksi Suomessa rajavartiolaitos on puitepäätöksen tarkoittama toimivaltainen viranomainen. Puitepäätöksen 15 artiklan sääntely muiden jäsenvaltioiden toimivaltaisilta viranomaisilta saatujen henkilötietojen siirrosta kolmansiin maihin vaikuttaa tiukemmalta kuin nykyinen henkilötietojen siirtoa kolmansiin maihin koskeva sääntely. Suomen solmimat kahdenväliset rikostorjuntasopimukset ja kahdenväliset tullisopimukset perustuvat kuitenkin siihen, että tietoja luovutetaan kansallisen lainsäädännön puitteissa. Nämä sopimukset eivät näyttäisi tämän vuoksi olevan ongelmallisia Suomelle. Puitepäätöksen myötä kansallista lainsäädäntöä jouduttaneen muuttamaan ja tästä johtuen myös kolmansien maiden kanssa solmittujen sopimusten soveltaminen muuttuisi. Henkilötietojen käsittely olisi kuitenkin edelleen sopimusten mukaista. Jatkossa on kuitenkin vielä selvitettävä 15 artiklan vaikutukset Suomen solmimiin keskinäistä oikeusapua rikosasioissa koskeviin kahdenvälisiin sopimuksiin. Valtioneuvosto suhtautuu myönteisesti puitepäätösehdotuksen 16 artiklassa tarkoitetun komitean ja 31 artiklassa tarkoitetun työryhmän perustamiseen. Vastaavanlainen järjestely I-pilarissa on osoittautunut toimivaksi ja tarpeelliseksi. Oikeudellisia esteitä komiteamenettelyn käyttöönottamiseen III-pilarissa ei ole. Valtioneuvoston käsityksen mukaan puitepäätöksen täytäntöönpanolle varattu aika (31.12.2006 mennessä) on epärealistinen ottaen huomioon, että yksityiskohtaisuudessaan puitepäätös näyttää edellyttävän merkittäviä lainsäädäntötoimenpiteitä jäsenvaltioissa. 7(7) 9. Instituutioiden ja muut kannat Neuvostoja Euroopan parlamentti eivät ole käsitelleet ehdotusta. Euroopan parlamentti on suositellut III-pilarin tietosuojasäännösten harmonisointia yhdellä instrumentilla, joka takaisi saman tietosuojan tason kuin I-pilarissa. EU:n tietosuojan valvontaviranomaiset esittivät kevätkokouksessaan Krakovassa 25.-26.5. 2005 tukensa uudelle III-pilarin tietosuojaa koskevalle oikeudelliselle instrumentille. Valvontaviranomaiset antoivat kokouksessaan 24.1.2006 puitepäätösehdotuksesta lausunnon. Valvontaviranomaiset pitävät ehdotusta erittäin tervetulleena ja katsovat, että olemme merkittävällä kynnyksellä perusoikeuksien ja -vapauksien kehityksessä. Uudet, systemaattiset ja tasapainoiset suojatoimet edistävät valvontaviranomaisten mielestä tehokkaasti rikollisuuden ehkäisemistä ja sen vastaista taistelua. Valvontaviranomaiset ehdottavat kuitenkin eräiden säännösten selventämistä, täydentämistä ja muuttamista. Merkittävä muutosehdotus on, että valvontaviranomaiset katsovat, että suojatoimet olisi ulotettava kaikkeen lainvalvontaviranomaisten suorittamaan henkilötietojen käsittelyyn, riippumatta siitä, vaihdetaanko tietoja poliisi-ja rikosoikeudellisen yhteistyön puitteissa. Valvontaviranomaiset myös korostavat, että säännösten lopullisten sanamuotojen tulee
8(7) olla mahdollisimman selviä ja täsmällisiä, jotta vältetään tulkintariidat ja säännösten liian epäyhtenäinen soveltaminen. Euroopan tietosuojavaltuutettu on antanut 19.12.2005 lausunnon puitepäätösehdotuksesta. Lausunnon mukaan ehdotuksen hyväksyminen olisi tietosuojaa koskeva huomattava edistysaskel tärkeällä alalla, joka erityisesti edellyttää yhtenäistä ja tehokasta mekanismia henkilötietojen suojaamisessa Euroopan unionin tasolla. Euroopan tietosuojavaltuutettu katsoo, että ehdotuksen periaatteita voidaan yleisesti ottaen pitää tyydyttävinä riittävän tietosuojan takaamiseksi IIIpilarissa, mutta esittää kuitenkin ehdotukseen eräitä muutoksia. Tietosuojan valvontaviranomaisten tavoin Euroopan tietosuojavaltuutettu muun muassa katsoo, että ehdotuksen tulisi koskea myös puhtaasti kansallista henkilötietojen käsittelyä. 10. Käsittelyn nykytila Puitepäätösehdotuksen käsittelyä on jatkettu neuvoston monialaisen järjestäytyneen rikollisuuden vastaisen työryhmän sekakomiteassa. Ehdotuksen käsittely ei ole edennyt pitkälle, esimerkiksi puitepäätöksen soveltamisala ei ole vielä selkiintynyt.
B 2B SISÄASIAINMINISTERIÖ Poliisiosasto Marja Kartila 28.2.2005 U 48/2005 vp Eduskunnan perustuslakivaliokunnalle EHDOTUS NEUVOSTON PUITEPÄÄTÖKSEKSI KOLMANNEN PILARIN TIETOSUOJASTA Sisäasiainministeriön Poliisiosasto katsoo, että yhtenäistämällä EU:n jäsenvaltioiden tietosuojasäännöksiä voidaan edesauttaa tietojen saatavuusperiaatteen toteutumista (U 50/2005 vp), josta komissio teki ehdotuksen vuoden 2005 loppupuolella. EU:n valtioiden yhdenmukaiset tietosuojasäännöt lisäävät valtioiden keskinäistä luottamusta ja ovat omiaan tiivistämään rajat ylittävää viranomaisyhteistyötä. Perusajatuksena on se, että yhteiset tietosuojasäännöt tulee olla vahvistettu ennen kuin tietojen saatavuusperiaatetta ryhdytään soveltamaan. Lainvalvontaviranomaisten välinen yhteistyö EU:ssa perustuu nykyisin useisiin eri instrumentteihin, joihin jokaiseen on sisällytetty omat tietosuojaa koskevat asiasisältöiset säännökset, minkä lisäksi niissä on yleensä viitattu myös kansallisiin tietosuojaa koskeviin säännöksiin. Tällaisia instrumentteja ovat muun muassa Schengenin yleissopimus, Napoli II yleissopimus sekä poliittisesti hyväksytty Ruotsin aloite tietojen ja tiedustelutietojen vaihdon tehostamiseksi. Käytännön toimijoiden kannalta instrumenttien muodostama säännösverkosto on hyvin laaja ja haasteellinen. Tämä korostuu niissä tilanteissa, joissa yhdessä jutussa joudutaan soveltamaan useaa instrumenttia. Ehdotettu puitepäätös selkiyttää tilannetta tietosuojasäännösten osalta. Sisäasiainministeriö Poliisiosasto toteaa, ettei puitepäätöstä ole tarkoitus soveltaa tietojen käsittelyyn Europolissa, vaan jatkossakin sovelletaan Europol-yleissopimuksen tietosuojamääräyksiä. Poliisiosasto katsoo myös, ettei puitepäätös tule aiheuttamaan ristiriitaisuuksia Suomea sitovien kahdenvälisten velvoitteiden soveltamiseen kolmansien maiden kanssa. Poliisitoimen osalta näitä velvoitteita ovat kahdenväliset rikostorjuntasopimukset, joissa tietosuojan kohdalla viitataan kansalliseen ^ lainsäädäntöön. Puitepäätös aiheuttanee tiettyjä muutoksia lainsäädäntöömme, jolloin ne tulevat automaattisesti sovellettaviksi myös kahdenvälisissä m:\tietojen saatavuus\tietosuoja\pevktietosuoja022006.doc Postiosoite PL 26 00023 VALTIONEUVOSTO Käyntiosoite Kirkkokatu 12 00170 HELSINKI Puhelin Vaihde (09) 16001 Sähköposti: etunimi.sukunimi@poliisi.fi Telefax (09) 160 42210
SISÄASIAINMINISTERIÖ 2 Vaikuttaa siltä, että puitepäätös tulee aiheuttamaan lukuisia muutoksia ja tarkennuksia henkilötietojen käsittelystä poliisitoimessa annettuun lakiin. Poliisiylitarkastaja Marja Kartila JAKELU TIEDOKSI Eduskunnan perustuslakivaliokunta Kari Rajamäki Ritva Viljanen Kari Salmi Kari Rantama Jouko Huhtamäki Esikunta/PO
m:\tietojen saatavuus\tietosuoja\pevktietosuoja022006.doc Olli Mäenpää 28.2.2006 Perustuslakivaliokunnalle Valtioneuvoston kirjelmä ehdotuksesta neuvoston puitepäätökseksi (III-pilarin tietosuoja) (U 48/2005) Puitepäätösehdotuksen kohteena on henkilötietojen suojaaminen lii pilarin poliisi- ja oikeudellisessa yhteistyössä. Ehdotusta on sen kohteen vuoksi ensisijaisesti arvioitava perustuslain 10 :n 1 momentissa turvatun henkilötietojen suojan kannalta. Merkitystä on myös Euroopan neuvoston puitteissa vuonna 1981 tehdyllä yleissopimuksella yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä sekä Euroopan neuvoston tietosuojasopimuksella No. 108. Arvioinnissa voidaan verrata puitepäätöksen sisältöä myös EU:n perusoikeuskirjan henkilötietojen suojaa koskevan 8 artiklan vaatimuksiin. Vaikka perusoikeuskirja ei olekaan oikeudellisesti sitova, se ilmentää niitä laadullisia perusvaatimuksia, joita EU:ssa yleensä asetetaan henkilötietojen suojalle. Perustuslakivaliokunta on vakiintuneesti pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista (PeVL 14/2002 vp, s. 2). Sääntelyn sisältöä määriteltäessä on otettava huomioon, että henkilötietojen suojasta säädetään yksityiselämän suojaa koskevassa perustuslain 10 :ssä. Henkilötietojen suojan on siten osaltaan toteutettava yksityiselämän suojaa. Sääntelyn sisällölle asetettavia vaatimuksia luonnehditaan myös EU:n perusoikeuskirjan 8(2) artiklassa. Tietojen käsittelyn on oltava asianmukaista, sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Erityisesti oikeusturvan kannalta on merkityksellistä, että jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Riippumaton viranomaisvalvonta on myös välttämätön henkilötietojen suojan toimivuuden varmistamiseksi. Sääntelyn asianmukaisuus ja täsmällisyys Puitepäätösehdotuksen tarkoituksena on toteuttaa henkilötietojen suojaa samalla, kun laajennetaan ja edistetään rikosasioissa tehtävää yhteistyötä. Ehdotuksella on yleisesti ottaen asianmukaiset perusteet ja tavoitteet. Siihen sisältyy yleisesti arvioiden riittävän täsmälliset säännökset henkilötietojen käsittelystä. Henkilötietojen käsittelyn tavoitetta ja henkilötietojen sisältöä määritellään lähinnä II luvussa. Käsittelyn sallittuja käyttötarkoituksia koskee etenkin 4-6 artikla. Etenkin 4 artiklan 3 ja 4 kohdat vielä olennaisesti rajoittavat puitepäätöksen mukaan käsiteltävien henkilötietojen alaa. Henkilötietojen käsittelyn asianmukaisuusedellytyksen kannalta on arvioitava myös 4 artiklaan sisältyvää mahdollisuutta säätää siitä, että käsiteltävien henkilötietojen virheettömyys- ja luotettavuusaste voi vaihdella, jolloin tiedot on erotettava toisistaan virheettömyys- j a luotettavuusasteen mukaan. Erityisesti d kohdan mukaan on erotettava tosiasioihin perustuvat tiedot tiedoista, jotka perustuvat mielipiteisiin tai henkilökohtaisiin arvioihin. Sääntely mahdollistaisi periaatteessa myös henkilökohtaisten olettamusten ja jopa lähes virheellisiksi tiedettyjen tietojen käsittelyn. Ehdotus on henkilötietojen suojan vuoksi ongelmallinen, koska käytettävissä olevista asiakirjoista ei myöskään selviä, miten virheellisten tai paikkansapitämättömien henkilötietojen käsittelyllä toteutettaisiin asianmukaista poliisi-ja oikeudellista yhteistyötä III pilarin puitteissa.
Arkaluontoisten tietojen käsittely olisi sallittua 6 artiklan mukaisissa tilanteissa. Käsittely olisi mahdollista vain, kun se on ehdottoman välttämätöntä. Yhteistyön luonne huomioon ottaen tällaisten tietojen käsittely saattaa mainitulla tavalla ja mainituin edellytyksin olla välttämätöntä ja perusteltua. Henkilötietojen luovuttaminen Puitepäätöksen perustarkoitus on määritellä henkilötietojen luovutettavuutta, ja luovuttamisen perusteita säännellään III luvussa. Toimivaltaisten viranomaisten välistä siirtoa koskevia säännöksiä voidaan pitää riittävän täsmällisinä. Ehdotuksen 1 3 artikla määrittelee henkilötietojen luovuttamista ei-toimivaltaisille viranomaisille ja 14 artikla siirtoa yksityisille tahoille. Vaikka näiden luovutusten edellytykset on määritelty melko tiukoiksi, ainakaan saatavilla olevan perusteluaineiston perusteella ei käy ilmi, miksi tällaiset luovutukset toimivaltaisten viranomaisten ulkopuolelle olisivat tarpeellisia. Lähtökohtana on, että puitepäätöksen tarkoituksena on määritellä tietojen vaihtoa II! pilarin puitteissa. Tosin valtioneuvoston kirjelmässä (s. 4) viitataan näiltä osin jäsenvaltioiden elintärkeiden etujen suojaamiseen sekä tarkoitukseen estää yleiseen turvallisuuteen tai henkilöihin kohdistuvia uhkia, mutta artiklaehdotusten tekstissä nämä erityisedellytykset eivät tule esiin. Myöskään arkaluonteisia tietoja ei ole rajoitettu näiden luovutusten ulkopuolelle. Sääntelyä olisi näistä syistä paikallaan täsmentää ja rajata. Valtioneuvoston kirjelmässä (s. 9) todetaan lisäksi tältä osin, että tällaiset henkilötietojen edelleen käsittelyä ja siirtämistä koskevat toimet ovat "tyypillisesti sellaisia, jotka nykyisin sisältyvät erilaisiin yhteistyöinstrumentteihin eikä niitä ole kirjattu nimenomaisesti kansallisiin säännöksiin. Puitepäätösehdotus ei tältä osin välttämättä sisällä merkittäviä muutoksia nykytilaan, mutta asia vaati tarkempaa selvittelyä." Koska henkilötietojen suojasta säädetään perustuslain 10 :n mukaan tarkemmin lailla, on tarkemmassa selvittelyssä välttämätöntä ottaa huomioon, että vastaavia henkilötietojen siirtoja ja luovutuksia ei voida toteuttaa pelkästään "yhteistyöinstrumenttien" nojalla, elleivät ne perustu lakiin. Henkilötietojen säilytysaika Perustuslakivaliokunnan käytännössä henkilötietojen säilytysaikaa on vakiintuneesti pidetty yhtenä perustuslain 10 :n 1 momentissa turvatun henkilötietojen suojan kannalta tärkeänä sääntelykohteena (ks. esim. PeVL 51/2002 vp, PeVL 6/2003 vp). Tältä kannalta on huomionarvoista, että puitepäätökseen ei sisälly täsmällisiä käsittelyaikaa koskevia säännöksiä. Vaikka 7 artikla koskeekin otsikkonsa mukaan säilyttämisen aikarajoituksia, säännös on erittäin ylimalkainen ja täysin harkinnanvarainen. Sen mukaan tietoja voidaan säilyttää niin kauan kuin niiden säilyttämistä pidetään tarpeellisena. Näin väljää sääntelyä voidaan pitää ongelmallisena henkilötietojen suojan kannalta, arvioitiinpa asiaa perustuslain tai eurooppalaisen henkilötietojen suojan tason ja laadun kannalta. Vaikka sääntelyn avoimuudelle voi olla hyväksyttäviä perusteluja puitepäätöksen kohteena olevien tietojen erityislaadun vuoksi, sääntelyä olisi paikallaan täsmentää jatkovalmistelussa ainakin siten, että otetaan huomioon säilyttämisen välttämättömyys ko. tarkoitusta varten. Myöskään täsmällisten aikarajojen määrittelyn mahdollisuutta ei pitäisi kokonaan sulkea pois, eikä ainakaan kaikkien tietojen osalta. Rekisteröidyn oikeudet Puitepäätösehdotuksen IV luku määrittelee rekisteröidyn oikeuksia yleensä asianmukaisesti. Tietojen oikaisua koskevaan 2 1 artiklan 2 kohtaan sisältyy kuitenkin erittäin laaja ja käytännössä täysin harkinnanvarainen rekisterinpitäjän oikeus kieltäytyä "kaikista toimista", joihin rekisteröidyllä on puitepäätöksen mukaan oikeus. Ehdotuksesta välittyy melko ristiriitainen vaikutelma ja rekisterinpitäjällä näyttäisi olevan säännöksen perusteella mahdollisuus jättää harkintansa mukaan rekisteröidyn oikeudet toteuttamatta. Korostetun erikoisena voidaan pitää 21 artiklan 2 kohdan sallimaa harkinnanvaraista
Oikeusturva mahdollisuutta olla korjaamatta puitepäätöksen vastaiset tiedot, jotka ovat puutteellisia tai luonteeltaan virheellisiä. Tällaisten tietojen käsittely on tuskin sääntelyn tarkoituksen kannalta perusteltua. Oikeussuojakeinoja koskeva puitepäätösehdotuksen VI luku täyttää sinänsä perustuslain 10 :ään perustuvat yleiset oikeusturvavaatimukset. Sääntelyä on lisäksi arvioitava perustuslain 21 :ssä säädettyjen oikeusturvatakeiden kannalta. Oikeusturvaan kuuluu perustuslain 21 :n 1 momentin mukaan myös oikeus saada oikeuksiaan ja velvollisuuksiaan koskeva päätös tuomioistuimen tai muun riippumattoman lainkäyttöelimen käsiteltäväksi. Kun on kysymys puitepäätösehdotuksen alaan kuuluvasta henkilötietojen käsittelystä, oikeusturvan takeisiin kohdistuu erityisiä vaatimuksia, koska kysymys on perusoikeutena suojatuista oikeuksista. Oikeusturvan perusoikeustakeiden kannalta on siksi aiheellista kiinnittää huomiota puitepäätösluonnoksen suomenkielisen käännöksen epätarkkuuteen. Englanninkielisen tekstin mukaan puitepäätöksen VI luku on nimeltään Judial remedies and liability. Tämä viittaa nimenomaisesti tuomioistuinmenettelyssä toteutettavaan oikeusturvaan, kun sen sijaan suomenkielinen teksti viittaa ainoastaan yleisesti oikeussuojakeinoihin. Suomenkielisen 27 artiklan mukaan "kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoa", jos hänen oikeuksiaan loukataan. Sen sijaan englannin- ja ranskankielinen teksti, joita voitaneen pitää täsmällisimpinä, edellyttää, että jokaisella on oikeus tuomioistuinmenettelyssä toteutettavaan oikaisu- tai muutoksenhakukeinoon (judicial remedy, recours juridictionnel). On ilmeistä, että sanamuotojen erolta ei ole pelkästään lingvististä merkitystä arvioitaessa puitepäätöstä koskevaa ehdotusta perustuslain 21 :n 1 momentin oikeusturvata-keiden kannalta. Suomenkielinen teksti ei asianmukaisesti vastaa näitä oikeusturvata-keita, mutta englannin- ja ranskankielinen teksti sen sijaan sopeutuvat myös perustuslain 21 :n 1 momentin sisältämiin vaatimuksiin, koska ne takaavat oikeuden tuomioistuinkäsittelyyn. Käännösten erolla on merkitystä myös mahdollisen puitepäätöksen voimaansaattamisessa. Esimerkiksi pelkästään hallinnollisten valvontaviranomaisten toteuttama tai hallinnonsisäinen, lautakuntamenettelyyn perustuva oikeusturvamenet-tely ei ole puitepäätöksen toteuttamisessa riittävä. Samat johtopäätökset ovat aiheellisia myös Euroopan ihmisoikeussopimuksen 6(1) artiklaan nojautuvan arvioinnin perusteella.
Te l/p 'ts/zötä V Teuvo Pohjolainen 28.2.2006 Lausunto Eduskunnan perustuslakivaliokunnalle Valtioneuvoston kirjelmästä Eduskunnalle ehdotuksesta neuvoston puitepäätökseksi (III pilarin tietosuoja) U 48/2005 vp Perustuslakivaliokunnan pyytämänä lausuntona otsikossa mainitusta asiasta esitän kunnioittavasti seuraavan: 1. Yleistä Euroopan neuvoston 4 marraskuuta 2004 hyväksymässä Haagin ohjelmassa on kehotettu komissiota tekemään ehdotukset tietojen saatavuusperiaatteen täytäntöönpanemiseksi. Siihen liittyen Haagin ohjelma painottaa, että ehdotuksissa on tarkoin otettava huomioon tietosuojaa koskevat keskeiset periaatteet. Eduskunnan käsittelyssä onkin nyt sekä komission ehdotus puitepäätökseksi rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (III pilarin tietosuoja, U 48/2005 vp) että ehdotus tietojen saatavuuspe-riaatetta koskevasta
15 puitepäätöksestä (U 50/2005 vp). Näitä ehdotuksia olisikin tarpeen tarkastella samanaikaisesti, sillä Ui pilarin tietosuojaa koskevalla sääntelyllä on tarkoitus suojata yksilöiden oikeuksia erityisesti tietojen vaihdon yhteydessä. Euroopan unionin oikeudellisiin instrumentteihin on jo vanhastaan kuulunut I pilarin tietosuojadirektiivi, joten täysin uudenlaisesta sääntelystä ei nyt ole kysymys. Euroopan unionin I pilarin tietosuojadirektiivi on huomattavasti kehittyneempi instrumentti, kuin tähänastiset III pilarin tietosuojaa koskevat järjestelyt (esimerkiksi poliisitoimen tietosuojaa koskeva suositus ja Prumin yhteistyösopimus). Useimmat jäsenvaltiot ovatkin pääosin noudattaneet I pilarin tietosuojaperiaatteita myös UI pilarin puitepäätöksen soveltamisalalla tapahtuvassa henkilötietojen käsittelyssä. Lähtökohtaisesti puitepäätösehdotus selkeyttää ja yhtenäistää tietosuojaa III pilarin alueen tietojenkäsittelyssä ja -vaihdossa. Puitepäätösehdotusta voi sen vuoksi pitää tervetulleena. Sisällöltään puitepäätösehdotus noudattaa suuressa määrin I pilarin tietosuojadirektiiviin henkeä ja rakennetta, mitä voi pitää myönteisenä seikkana. Viimeksi mainittu on saatettu kansallisesti voimaan henkilötietolailla (523/1999), jonka suhde perustuslain perusoikeussääntelyyn on aikanaan arvioitu perustuslakivaliokunnassa (PeVL 25/1998 vp). 2. Valtiosääntöoikeudeliisia näkökohtia Ehdotettua sääntelyä on arvioitava ennen muuta perustuslain 10 :n 1 momentissa turvatun henkilötietojen suojan kannalta. Henkilötietojen suojasta säädetään perustuslain 10 :n 1 momentin mukaan tarkemmin lailla. Perustuslain laki viittaus edellyttää lainsäätäjän säätävän tästä oikeudesta (PeVM 25/1994 vp, s. 6/1), mutta jättää sääntelyn yksityiskohdat lainsäätäjän harkintaan. Tällaisen perusoikeussäännöksen on katsottu sitovan lainsäätäjän sisällöllistä harkintaa vähemmän kuin sen tapainen säänte-lyvarauksen sisältävä säännös, jossa perusoikeuden todetaan olevan olemassa sen mukaan kuin lailla säädetään (esim. PeVL 51/2002 vp, s. 2/1). Perustuslakivaliokunnan käytännön (esim. PeVL 14/2002 vp, s. 2) mukaan lainsäätäjän liikkuma-alaa rajoittaa kuitenkin se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän
kokonaisuudessa. Lainsäätäjän harkintaa sitoo se, että henkilötietojen suojan kannalta tärkeitä sääntelykohteita rekisteröinnissä ovat ainakin rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, niiden sallitut käyttötarkoitukset - tietojen luovutettavuus mukaan luettuna - sekä tietojen säilytysaika henkilörekisterissä ja rekisteröidyn oikeusturva, minkä lisäksi näiden seikkojen sääntelyn lain tasolla tulee olla kattavaa ja yksityiskohtaista (esim. PeVL 51/2002 vp, s. 2/1 ja PeVL 35/2004 vp). Henkilötietojen suojaa käsitellään myös Euroopan unionin perusoikeuskirjan 8 artiklassa. Euroopan neuvoston ihmisoikeussopimuksen 8 artikla sisältää niin ikään määräyksiä jokaisen oikeudesta nauttia yksityiselämäänsä ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Merkitystä on myös Euroopan neuvoston tietosuojasopimuksella (No. 108) ja sen valvontaviranomaisia ja tietojen siirtoa kolmansiin maihin koskevalla lisäpöytäkirjalla (2001). Suomi on allekirjoittanut viimeksi mainitun, mutta ei ole ratifioinut sitä. Näillä säännöksillä ei kuitenkaan ole - verrattuna Suomen perusoikeus-sääntelyyn - tiukentavaa vaikutusta vaadittavaan sääntelyyn. Puitepäätöksen tarkoituksena on helpottaa oikeudellista yhteistyötä rikosasioissa yhtenäistämällä jäsenvaltioiden lainsäädäntöä henkilöiden suojan varmistamiseksi parannettaessa jäsenvaltioiden poliisiyhteistyötä ja oikeudellista yhteistyötä rikosasioissa, erityisesti terrorismin estämiseksi ja vastustamiseksi. Sääntelyn esitetty tarkoitus on perusoikeussääntelyn näkökulmasta hyväksyttävä (PeVL 35/2004 vp). Puitepäätösehdotuksen valtiosääntöoikeudellista arviointia kuitenkin vaikeuttaa se, että valtioneuvoston kirjelmänkin mukaan ehdotuksen käsittely unionin piirissä on kesken. Valtioneuvoston käsityksen mukaan komission ehdotus ei sisällä merkittäviä muutoksia nykytilaan, eikä edellyttäisi muutoksia henkilötietolakiin tai julkisuuslakiin. Ensin sanottua voi pitää valtiosääntöoikeudellisesta näkökulmasta tietyllä tavoin heikkoutena, sillä ehdotuksen olisi suonut nykyistä paremmin suojaavan yksityisyyttä ja siihen liittyen henkilötietoja. Toisaalta henkilötietolain ja julkisuuslain muuttamat-tomuuden tarve merkitsee sitä, ettei sääntelyllä myöskään heikennetä näiden lakien perustuslakivaliokunnassakin perusteellisesti punnittua perustuslainmukaisuutta. Erityisesti huomiota puitepäätösehdotuksessa on tarpeen kiinnittää ehdotuksen oikeusperustaan suhteessa ehdotettujen säännösten sisältöön ja soveltamisalaan. Tämä ei ole kaikilta osiltaan selvä. Erityisesti eräät sääntelyn soveltamisalaa koskevat ehdotukset siinä puitepäätösehdotuksen versiossa, joka on valtioneuvoston kirjelmän perustana, ovat hyvin tulkinnanvaraisia tai epäselviä. Puitepäätösehdotuksesta ei esimerkiksi selvästi käy ilmi, onko puitepäätöstä tarkoitettu sovellettavaksi sellaiseenkin tietojen käsittelyyn, joka on luonteeltaan kansallista, siis tietoihin,
17 joita ei ole vaihdettu. III pilarin mukaisella puitepäätöksellä ei nähdäkseni voida asettaa tällaisia kansallisia velvoitteita. Ongelmallisena tietosuojan ja perustuslain turvaaman yksityisyyden suojan kannalta voidaan pitää myös puitepäätökseen sisältyvää ehdotusta (15 artikla 6 kohta), jonka mukaan "toisen jäsenvaltion toimivaltaiselta viranomaiselta saadut tiedot voidaan poikkeuksellisesti siirtää edelleen kolmansien maiden toimivaltaisille viranomaisille, vaikka näissä maissa ei voitaisi taata tietosuojan riittävää tasoa, jos se on ehdottoman välttämätöntä jäsenvaltion keskeisten etujen turvaamiseksi taikka yleistä turvallisuutta tai henkilöä tai henkilöitä uhkaavan välittömän vakavan vaaran torjumiseksi". Ehdotuksessa tällaisen poikkeuksellisen siirron perusteiksi on esitetty epätäsmällisiä ja tulkinnanvaraisia syitä, jotka soveltuvat huonosti suomalaiseen perusoikeusajatteluun, jonka mukaan poikkeusten tulisi olla täsmällisiä ja tarkkarajaisia. Erityisesti jäsenvaltion keskeisten etujen turvaaminen muodostaa varsin väljän ja tulkinnanvaraisen perustan tietojen luovuttamiselle maahan, jossa tietosuojaa ei ole turvattu. Tietojen säilytysaika, josta on katsottu tarpeen aina säätää lailla, on ehdotuksessa määritelty siten (7 artikla), että tietoja saa säilyttää ainoastaan niin kauan, kuin niitä tarvitaan sitä tarkoitusta varten, jonka vuoksi ne kerättiin ellei kansallisessa lainsäädännössä toisin säädetä. Ehdotus ei siten puuttuisi siten niihin periaatteisiin, joiden mukaan henkilötietojen säilytysaika on kansallisessa lainsäädännössä määritelty (mistä on Suomen osalta myös PeV:n selkeä tulkintalinja). Luovutettujen tietojen osalta ehdotusta lienee tulkittava niin, että (luovutetut) tiedot saaneen viranomaisen tulee hävittää tiedot heti, kun niitä ei tarvita tarkoitukseensa. Luöt^^ö^ Z/.ö. 2LO04 PeVL /2006 vp U 48/2005 vp PERUSTUSLAKIVALIOKUNNAN LAUSUNTO /2006 vp Valtioneuvoston kirjelmä eduskunnalle ehdotuksesta neuvoston puitepäätökseksi (Hl-pila-rin tietosuoja) Suurelle valiokunnalle
JOHDANTO Vireilletulo Eduskunnan puhemies on 16 päivänä joulukuuta 2005 lähettänyt valtioneuvoston kirjelmän ehdotuksesta neuvoston puitepäätökseksi (III-pilarin tietosuoja) (U 48/2005vp) käsiteltäväksi suureen valiokuntaan ja samalla määrännyt, että perustuslakivaliokunnan on annettava asiasta lausuntonsa suurelle valiokunnalle. Asiantuntijat Valiokunnassa ovat olleet kuultavina - hallitussihteeri Leena Rantalankila, oikeusministeriö - poliisiylitarkastaja Marja Kartila, sisäasiainministeriö - professori Olli Mäenpää - professori Teuvo Pohjolainen. U 48/2005 vp Versio 0.1 VALTIONEUVOSTON KIRJELMÄ Ehdotus Komissio on 4.10.2005 tehnyt ehdotuksen neuvoston puitepäätökseksi rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta. Tarkoitus on määrittää yhteiset vaatimukset yksilön suojan varmistamiseksi henkilötietojen käsittelyssä III pilarin alalla vastaavalla tavalla kuin tietosuojadirektiivi määrittää vaatimukset I pilarin alalla. Ehdotuksessa pyritään ottamaan huomioon poliisiyhteistyöhön ja oikeudelliseen yhteistyöhön rikosasioissa liittyvät erityiskysymykset. Tavoitteena on parantaa jäsenvaltioiden yhteistyötä
19 PeVL /2006 vp U 48/2005 vp erityisesti terrorismin torjunnassa noudattaen samalla tietosuojaan liittyviä edellytyksiä ja kunnioittaen yksityisyyden ja henkilötietojen suojaa turvaavia perusoikeuksia. Ehdotus sisältää muun ohella säännöksiä puitepäätöksen tavoitteesta ja soveltamisalasta, henkilötietojen käsittelyn laillisuudesta, tietojen säilyttämisestä, tietojen siirtämisestä muiden jäsenvaltioiden toimivaltaisille viranomaisille ja muille tahoille sekä rekisteröidyn oikeuksista. Valtioneuvoston kanta Valtioneuvosto suhtautuu ehdotukseen myönteisesti. Ehdotus on askel oikeaan suuntaan, koska se auttaa harmonisoimaan henkilötietojen käsittelyä III pilarin alalla. Puitepäätöksen soveltamisalaa olisi valtioneuvoston mielestä kuitenkin eräiltä osin syytä selventää. VALIOKUNNAN KANNANOTOT Perustelut Yleistä Komission puitepäätösehdotuksen kohteena on henkilötietojen suojaaminen III pilarin poliisi- ja oikeudellisen yhteistyön alalla. Ehdotusta on arvioitava ennen muuta perustuslain 10 :n 1 momentissa turvatun henkilötietojen suojan kannalta. Sen mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslain lakiviittaus edellyttää lainsäätäjän säätävän tästä oikeudesta (PeVM 25/1994 vp, s. 6/1), mutta jättää sääntelyn yksityiskohdat lainsäätäjän harkintaan. Tällainen perusoikeussäännös sitoo lainsäätäjän sisällöllistä harkintaa vähemmän kuin sen tapainen sääntelyvarauksen sisältävä säännös, jossa perusoikeuden todetaan olevan olemassa sen mukaan kuin lailla säädetään (esim. PeVL 51/2002 vp, s. 2/1 ja PeVL 35/2004 vp, s. 2/1). Perustuslakivaliokunnan käytännön (esim. PeVL 14/2002 vp, s. 2) mukaan lainsäätäjän liikkuma-alaa rajoittaa kuitenkin se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Lainsäätäjän harkintaa sitoo se, että henkilötietojen suojan kannalta tärkeitä sääntelykohteita rekisteröinnissä ovat ainakin rekisteröinnin tavoite, rekisteröitävien henkilötietojen sisältö, niiden sallitut käyttötarkoitukset tietojen luovutettavuus mukaan luettuna sekä tietojen säilytysaika henkilörekisterissä ja rekisteröidyn oikeusturva, minkä lisäksi näiden
20 PeVL /2006 vp U 48/2005 vp seikkojen sääntelyn lain tasolla tulee olla kattavaa ja yksityiskohtaista (esim. PeVL 51/2002 vp, s. 2/1 ja PeVL 35/2004 vp, s. 2/II). Henkilötietojen suojaa käsitellään myös Euroopan unionin perusoikeuskirjan 8 ar-tiklassa. Niin ikään Euroopan ihmisoikeussopimuksen 8 artikla sisältää määräyksiä jokaisen oikeudesta nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. Lisäksi on huomioitava Euroopan neuvoston puitteissa vuonna 1981 tehty yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. Tietojen virheettömyys ja luotettavuus Jäsenvaltiot voivat 4 artiklan 1 kohdan d alakohdan nojalla säätää tietojenkäsittelyn virheettömyyden ja luotettavuuden asteista. Tällöin on erityisesti erotettava toisistaan tosiasioihin perustuvat tiedot ja lausuntoihin tai henkilökohtaisiin arvioihin perustuvat tiedot. Säännös näyttäisi antavan jäsenvaltioille mahdollisuuden säätää myös sellaisten tietojen rekisteröinnistä, jotka perustuvat muihin kuin todennettaviin tosiasioihin ja joihin sisältyy siten korostunut virheellisyyden riski. Valiokunta pitää tällaista sääntelyä rekisteröidyn yksityisyyden suojan ja oikeusturvan kannalta ongelmallisena kun otetaan huomioon, että poliisi-ja oikeusviranomaisten tiedot ovat usein arkaluonteisia. Näin on erityisesti silloin, kun viranomaiset ovat saaneet niitä tietoonsa henkilöön kohdistuneen tutkinnan yhteydessä. Tietojen edelleen siirtämisen seurauksena tietoja voidaan käsitellä kaukana alkuperäisestä lähteestään. Tällaisten tietojen virheettömyydelle ja luotettavuudelle on syytä asettaa erityisen painavia vaatimuksia. Säännöksestä on valiokunnan mielestä käytävä ehdotettua selkeämmin ilmi henkilökohtaisten arvioiden rekisteröinnin poikkeuksellisuus sekä se, että näillä on perustavanlaatuinen ero tosiasiatietoihin verrattuna. Tietojen säilytysaika Jäsenvaltioiden on 7 artiklan mukaan säädettävä, että henkilötietoja ei säilytetä pidempään kuin on tarpeen sitä tarkoitusta varten, jonka vuoksi ne kerättiin, ellei kansallisessa lainsäädännössä toisin säädetä. Säännös on sinänsä hyvin väljä. Se ei kuitenkaan muo-
PeVL/2006vp U 48/2005 vp dostu valtiosääntöoikeudellisesti ongelmalliseksi jättäessään jäsenvaltiolle mahdollisuuden ottaa perusoikeusnäkökohdat huomioon puitepäätöstä täytäntöönpantaessa. Rekisteröidyn oikeudet Jäsenvaltioiden on 21 artiklan 1 kohdan nojalla taattava rekisteröidylle oikeus saada rekisterinpitäjältä tietoja siitä, käsitelläänkö häntä koskevia tietoja sekä mahdollisuus saada tiedot oikaistuiksi, poistetuiksi tai suojatuiksi erityisesti tietojen puutteellisen tai virheellisen luonteen vuoksi. Rekisterinpitäjä voi kuitenkin 2 kohdan mukaan kieltäytyä kaikista näistä toimista, jos se on tarpeen esimerkiksi rekisterinpitäjän lakisääteisten tehtävien asianmukaisen suorittamisen kannalta tai yleisen turvallisuuden ja yleisen järjestyksen turvaamiseksi jäsenvaltiossa. Rekisterinpitäjällä näyttäisi olevan artiklan 2 kohdan perusteella hyvin laaja harkintavalta jättää rekisteröidyn oikeudet toteuttamatta. Erityisen ongelmallisena rekisteröidyn yksityisyyden suojan ja oikeusturvan kannalta voidaan pitää sitä, että poikkeussäännöksen sanamuoto näyttäisi sallivan rekisterinpitäjän kieltäytyä korjaamasta puitepäätöksen vastaiset sellaiset tiedot, jotka ovat puutteellisia tai luonteeltaan virheellisiä. Artiklan sanamuotoa on muutettava tämän mahdollisuuden estämiseksi. Sääntelyä on lisäksi syytä täsmentää siltä osin kuin kysymys on rekisterinpitäjän erittäin laajan harkintavallan mahdollistavasta oikeudesta kieltäytyä kaikista rekisteröidyn oikeuksia toteuttavista toimista, "jotta rekisterinpitäjä voi suorittaa lakisääteiset tehtävänsä asianmukaisesti". Tämä huomio koskee myös 19 artiklan 2 kohtaa ja 20 artiklan 2 kohtaa. Artiklojen poikkeussäännöksiä on syytä täydentää myös viittauksella jäsenvaltion mahdollisuuteen säätää rekisterinpitäjän kieltäytymisoikeudesta, jolloin rekisteröidyn oikeuksia koskevien rajoitusten täytäntöönpanoja niiden laajuus jäävät yksiselitteisesti jäsenvaltion kansallisessa lainsäädännössä säänneltäviksi. Tietojen edelleen siirtäminen
Puitepäätösehdotuksen 15 artiklassa säädetään henkilötietojen suojan kannalta pääosin asianmukaisesti edellytyksistä tietojen siirtämiseksi kolmansien maiden toimivaltaisille viranomaisille tai kansainvälisille elimille. Valiokunta kiinnittää kuitenkin huomiota 15 artiklan 6 kohtaan, jonka mukaan toisen jäsenvaltion viranomaiselta saatuja tietoja voidaan poikkeuksellisesti siirtää edelleen myös sellaisille kolmansien maiden viranomaisille tai kansainvälisille elimille, joiden osalta tietosuojan riittävää tasoa ei voida turvata. Poikkeuksellisen siirron edellytyksenä on, että siirto on ehdottoman välttämätön jäsenvaltion keskeisten etujen turvaamiseksi taikka yleistä turvallisuutta tai henkilöä tai henkilöitä uhkaavan välittömän vakavan vaaran turvaamiseksi. Tällaisen tiedonsiirron mahdollistavaa sääntelyä on syytä täsmentää vaatimuksella, että siirron on täytettävä saman artiklan ensimmäisen kohdan a-c alakohdassa säädetyt edellytykset. Lausunto Lausuntonaan perustuslakivaliokunta ilmoittaa, että valiokunta yhtyy asiassa lausunnosta ilmenevin vähäisin täsmennyksin valtioneuvoston kantaan. Helsingissä päivänä syyskuuta 2006 Asian ratkaisevaan käsittelyyn valiokunnassa ovat ottaneet osaa pj. Kimmo Sasi /kok vpj. Arja Alho/sd jäs. Heidi Hautala /vihr Hannu Hoskonen /kesk Roger Jansson Ix Johannes Koskinen /sd Annika Lapintie /vas Outi Ojala /vas Reino Ojala /sd Klaus Pentti /kesk Markku Rossi /kesk Simo Rundgren /kesk Arto Satonen /kok Seppo Särkiniemi /kesk Ilkka Taipale /sd Astrid Thors /r Jan Vapaavuori /kok. v Valiokunnan sihteerinä on toiminut valiokuntaneuvos Petri Helander.