TIETOSUOJAVALTUUTETUN TOIMISTO Dnro 2025/03/12 LAUSUNTO 21.9.2012 / Puolustusministeriö kirjaamo@defmin.fi Viite: Lausuntopyyntö luonnoksesta hallituksen esitykseksi laiksi sotilaskurinpidosta ja rikostorjunnasta puolustusvoimissa sekä eräiksi siihen liittyviksi laeiksi Asia: Tietosuojavaltuutetun lausunto YLEINEN OSA Yksityiselämän suoja on perusoikeus. Suomen perustuslain 10 :n 1 momentti sisältää lainsäädäntö toimeksiannon, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Eduskunnan perustuslakivaliokunta ja hallintovaliokunta ovat lausunnoissaan ottaneet kantaneet siihen, minkälaisista henkilötietojen käsittelyyn liittyvistä asioista tulee säätää lain tasolla. Eduskunnan perustuslakivaliokunta on lausunnoissaan (mm. PeVL 35/2008 vp), todennut, että henkilötietojen suojaa koskevan perusoikeussäännöksen kannalta tärkeitä sääntelykohteita ovat ainakin: * rekisteröinnin tavoite, * rekisteröitävien henkilötietojen sisältö, * niiden sallitut käyttötarkoitukset mukaan luettuna tietojen luovutettavuus ja tietojen säilytysaika henkilörekisterissä sekä rekisteröidyn oikeusturva samoin kuin näiden seikkojen sääntelemisen kattavuus ja yksityiskohtaisuus lain tasolla. Asetustasolla on hallintovaliokunnan kannan mukaan mahdollista antaa rekisterin tietosisältöä täydentäviä ja tarkentavia säännöksiä, kunhan lakitekstin perusteella voidaan riittävän selkeästi päätellä asetuksen tasoisen sääntelyn sisältö. PL 315 Albertinkatu 25 A 029 56 66700 tietosuoja@om.fi Neuvonta 029 56 16670 ma-to 9:00-11:00 & 13:00-15:00 pe 9:00-12:00
TIETOSUOJAVALTUUTETUN TOIMISTO 2/8 Hallintovaliokunta on pitänyt kuitenkin asianmukaisena lähtökohtana pyrkimystä mahdollisimman yksityiskohtaisesti säätää henkilötietojen suojaan liittyvistä seikoista jo lain tasolla. Perustuslakivaliokunnan ja hallintovaliokunnan edellä mainitut linjanvedot henkilörekistereiden ja henkilötietojen käsittelyn sääntelystä on otettava huomioon myös silloin, kun tällaisia säännöksiä on tarkoitus sisällyttää erityislainsäädäntöön. Lähtökohtana on, että henkilötietojen käsittelyssä noudatetaan yleislakia, henkilötietolakia. Siitä poikkeamisen tai sen täsmentämisen tarve on perusteltava. Nyt lausunnon kohteena oleva esitys on laadittu voimassa olevien lakien pohjalta. Uudistuksen tavoitteena on luoda johdonmukainen ja ajantasainen säännöstö, joka vastaa perustuslain asettamia vaatimuksia. Näin ollen esitys on tarpeellinen. Henkilötietolaki on suhteessa esityksen kohteena olevaan lainsäädäntöehdotukseen yleislaki, jota sovelletaan toissijaisesti. Lausunnon kohteena olevan lain suhde henkilötietolakiin käy ilmi lain 105 :stä, joka sisältyy henkilörekisterejä koskevaan lukuun. Koska sotilaskurinpito- ja rikostorjuntamenettelytoiminta edellyttävät kokonaisvaltaisesti arkaluonteisten henkilötietojen käsittelyä, on lainsäätäjän syytä harkita, tulisiko suhde yleislakiin tuoda esille jo lausunnon kohteena olevan esityksen 2 :ssä, jossa määritellään suhde muuhun lainsäädäntöön. On tärkeää, että tietosuojaperiaatteet huomioidaan kokonaisvaltaisesti kaikessa henkilötietojen käsittelyssä. YKSITYSKOHTAINEN TARKASTELU 24 Alkoholi- ja huumetestaus Lausunnon kohteena olevan ehdotuksen alkoholi ja huumetestausta koskevan 24 :n 3 momenttia lienee syytä täsmentää siten, että alkoholi- ja huumetestauksen yhteydessä tapahtuva henkilötietojen käsittely on määritelty johdonmukaisesti lain tasolla. Olennaista on hahmottaa, mitä eri vaiheita kurinpitomenettelyyn sisältyy sekä minkälaista henkilötietojen käsittelyä kyseiset vaiheet edellyttävät. Nyt lausunnon kohteena olevan esityksen perusteella alkoholi- ja huumetestaukseen liittyvä tapahtumakulku etenee käsitykseni mukaan seuraavalla tavalla: Aluksi ilmenee tapahtuma, joka aiheuttaa epäillyn siitä, että 24 :ssä tarkoitettu henkilön epäillään olevan alkoholin tai huumaisaineen vaikutuksen alainen. Tämän jälkeen tehdään 24 :ssä tarkoitettu alkoholi- ja huumetestaus. Jos testitulos on siten positiivnen, että testituloksen perusteella kuljetustehtävän tai muun pykälässä tarkoitetun tehtävän suorittaminen on keskeytettävä, käynnistyy nyt ehdotetun lain 28 :n tai 36 :n mukainen esitutkinta, jonka toteuttamisen kannalta tarpeelliset tiedot talletetaan
TIETOSUOJAVALTUUTETUN TOIMISTO 3/8 esitutkinnan toteuttamiseksi tarkoitettuun rekisteriin. Esitutkinnan päätyttyä kurinpitoesimies tekee 46 :ssä tarkoitetun päätöksen jatkotoimenpiteistä. Jos kurinpitomenettely jatkuu, tehdään kurinpitoasiassa 52 :n mukainen päätös, joka on syylliseksi toteava tai vapauttava. Tästä 52 :ssä tarkoitetusta päätöksestä laaditaan asiakirja, joka pitää lain 53 :ssä säädetyt tiedot. Mikäli päätös oli syylliseksi toteava, päätös talletetaan lain 117 :ssä tarkoitettuun kurinpitorekisteriin. Käsitykseni mukaan alkoholi ja huumetestauksen tulos on tarpeellista tallettaa silloin, kun se käynnistää esitutkinnan epäillyn kurinpitorikkomuksen osalta ja sellaiseen rekisteriin, johon talletetaan esitutkinnan toimittamiseksi tarpeelliset tiedot. Nyt ehdotettu säännös ei määrittele, mitkä tulokset on tarpeellisia tallettaa rekisteriin. Säännöksen perusteella voi syntyä käsitys, että tieto alkoholi- tai huumetestauksen tuloksesta tulisi tallettavaksi aina rekisteriin, riippumatta siitä onko se negatiivinen vai positiivinen. Nyt ehdotettu säännös voi johtaa tarpeettomien henkilötietojen käsittelyyn ja tämän vuoksi sitä on tarpeen täsmentää. Esitutkinnan voi toimittaa ehdotetun lain 28 :n nojalla joukko-osasto tai lain 36 :n nojalla pääesikunta. Pääesikunnan suorittaman esitutkinnan osalta tiedot talletetaan 106 :ssä määriteltyyn rikostietorekisteriin. Epäselväksi jää, mihin lain nyt 28 :ssä tarkoitetussa joukko-osastossa suoritettavan esitutkintamateriaali on tarkoitus tallentaa? Näiltä osin lainsäädäntöä lienee tarpeen täsmentää. Kyseistä 3 momenttia voitaisiin harkita muotoiltavaksi esimerkiksi seuraavalla tavalla: Mikäli testitulos edellyttää 28 :ssä tai 36 :ssä tarkoitetun esitutkinnan aloittamista, tulee testitulos tallentaa lain X :ssä (joukko-osaston suorittaman esitutkinnan osalta) tai 106 :ssä tarkoitettuun rikostietorekisteriin.. Nyt lausunnon kohteena olevan ehdotuksen mukaan positiivinen testitulos olisi tarkoitus tallentaa rekisteriin kurinpitorangaistusrekisteriin. Todettakoon, että tämä olisi vastoin lain 117 :ssä määriteltyä kurinpitorangaistusrekisterin käyttötarkoitusta sekä 119 :ssä määritettyä kurinpitorangaistusrekisterin tietosisältöä. Näiltä osin perusteluita lienee syytä tarkistaa. Mikäli kyseistä 3 momenttia tarkistettaisiin edellä ehdotetulla tavalla, myös tarve säätää erikseen huume- ja alkoholitestauksen tuloksen säilyttämisajasta poistuisi, koska laissa säädettyjen rekisterien osalta säädetään myös niihin sisältyvien tietojen säilytysajoista (mm. 114, 115, 116 ja 120 ). Jos tiedot talletettaisiin ehdotetulla tavalla esitutkinnan toimitta varten perustettuun rekisteriin, ei tietojen erillään säilyttämisestäkään tarvetta säätää enää tässä yhteydessä. Esitutkinnassa käytettävät tiedot ovat muutoinkin erillään 53 ja 119 :ssä tarkoitetuista tiedoista.
TIETOSUOJAVALTUUTETUN TOIMISTO 4/8 105 Suhde muuhun lainsäädäntöön Näiltä osin viittaan jo edellä esitettyyn siitä, että lainsäätäjän lienee harkittava, tulisiko viittaus yleislakiin sisällyttää nyt lausunnon kohteena olevan lain 2 :ään vai 105 :ään. Sinänsä viittaus yleislakiin on erittäin hyvä, koska se informoi tietojen käsittelyjää käytännön toiminnassa huomioitavasta lainsäädännöstä. Lienee arvioitava myös sitä, onko pykälässä käytetty termi Rekisteritietoihin oikea niiltä osin, kun viitataan sovellettaviin yleislakeihin. Lakia viranomaisten toiminnan julkisuudesta (621/1999) sovelletaan viranomaisten asiakirjoihin sisältyviin tietoihin. Henkilötietolakia puolestaan sovelletaan henkilötietojen käsittelyyn. Tämän vuoksi yleislakien soveltuvuuden rajaaminen rekisteritietoihin saattaa vaikuttaa hiukan rajaavalta. On tärkeä tunnistaa ero viranomaisen asiakirja ja henkilörekisterin välillä. Laissa on syytä täsmällisesti myös määrittää, mitkä tiedot sisältyvät henkilörekisteriin ja mitkä ovat puolestaan asiakirjoja. Henkilörekisterillä tarkoitetaan henkilötietolain 3 :n mukaan käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti tai kohtuuttomitta kustannuksitta. Jos asiakirjojoihin sisältyviä tietoja talletetaan henkilörekisteriin, tulevat tietosuojasäännökset sovellettavaksi näiden henkilörekisteriin talletettujen tietojen osalta. Henkilörekisteriin talletettavien tietojen osalta rekisteröidyllä on muun muassa oikeus tarkastaa itseään koskevat tiedot sekä vaatia tietojen korjaamista, mikäli hän katsoo ne virheellisiksi. 106 Rikostietorekisteri Henkilötietolain määrittämä henkilörekisteri on looginen henkilörekisteri. Samaan loogiseen henkilörekisteriin kuuluvat sekä automaattisen tietojenkäsittelyn avulla ylläpidetyt osat että manuaalisesti pidetyt osat, jos rekisterinpitäjä käyttää tietoja saman tehtävän hoitamisessa. Näin ollen lainsäätäjä voi arvioida, onko erityislaissa tarpeen säätää näiltä osin erikseen? Tämä kommentti on syytä huomioida nyt kysymyksessä olevan pykälän lisäksi 108 :n sekä 110 :n osalta. Pykälässä säädetään erittäin yksityiskohtaisesta rikostietorekisteriin talletettavista tiedoista. Lainsäätäjän on arvioitava, voiko liian yksityiskohtainen säätely johtaa rekisterin tietosisällön joustamattomuuteen siten, että se voi jossain tilanteessa hankaloittaa esitutkinnan toteuttamista rajaamalla jossain esitutkinnassa tarpeelliset tiedot määritellyn tietosisällön ulkopuolelle. Henkilötietojen käsittelyn kannalta
TIETOSUOJAVALTUUTETUN TOIMISTO 5/8 olennaista on selkeästi määritelty käyttötarkoitussidonnaisuus sekä se, että vain määritellyn käyttötarkoituksen kannalta tarpeellisia tai välttämättömiä henkilötietoja käsitellään ja talletetaan henkilörekistereihin. Rekisterin tietosisältöä voidaan siis rajata yksittäisten tietotyyppien lisäksi tarpeellisuus- tai välttämättömyysvaatimuksella. Viittaan tässä yhteydessä myös aiemmin esittämääni argumentointiin lain 24 :n mukaisen huume- ja alkoholitestin tuloksen osalta. Lainsäätäjän on syytä arvioida, tulisiko 106 :n 3 momenttiin lisätä talletettavana tietotyyppinä alkoholi- tai huumetestin positiivinen testitulos, jos tulos on sellainen että se aiheuttaa jatkotoimenpiteitä (esim. esitutkinnan käynnistymisen). 108 Turvallisuustietorekisteri Viittaan edellä 106 :ssä esitettyyn argumentointiin loogisen henkilörekisterin käsitteestä sekä rekisterin tietosisällön yksityiskohtaisesta määrittelystä. 110 Tilapäiset henkilörekisterit Ehdotetusta pykälästä ei käy ilmi perustettavan rekisterin käyttötarkoitus tai henkilötietojen käsittelyperuste. Nyt ehdotetussa säännöksessä määritetään se, kuka voi kyseisen rekisterin perustaa sekä menettelystä, joka on kyseisen rekisterin perustamisedellytys. Olennaista on havaita, ettei 110 sinänsä luo henkilötietojen käsittelyperustetta. Ehdotamme pykälässä tarkoitetun henkilörekisterin käyttötarkoituksen sitomista puolustusvoimille laissa säädettyjen tehtävien toteuttamiseen, jolloin tilapäisen henkilörekisteriin talletettaville tiedoilla luotaisiin myös lainmukainen käsittelyperuste. Tämä ehdotettu muutos täsmentäisi osin myös henkilörekisterin käyttötarkoitusta perustuslakivaliokunnan ja hallintovaliokunnan edellyttämällä tavalla. Henkilötietojen käsittely tilapäisten henkilörekisterien osalta tulisi perustua laissa säädettyjen tehtävien hoitamiseen ja kyseessä olevalle viranomaisella laissa määriteltyyn toimivaltaan. Epäselväksi myös jää, mikä kuka on tilapäisen henkilörekisterin rekisterinpitäjä. Henkilötietolain 3 :n mukaan rekisterinpitäjällä yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty. Rekisterinpitäjä vastaa siitä, että henkilötietojen käsittely tapahtuu lainsäädännön vaatimusten mukaisesti. Nyt ehdotetun säännöksen nojalla syntyy sellainen vaikutelma, että rekisterinpitäjinä toimisivat yksittäiset virkamiehet tai niiden muodostama työryhmä. Lainsäätäjän on arvioitava, kenen käyttöä varten henkilörekisteri tosiasiassa perustetaan ja kenellä oikeus määrätä rekisterin käytöstä?
TIETOSUOJAVALTUUTETUN TOIMISTO 6/8 Rekisterinpitäjä vastaa myös siitä, että käyttöoikeudet henkilörekistereihin jaetaan siten, että vain sellaiset henkilöt, joille henkilötietojen käsittely on välttämätöntä työtehtävien toteuttamiseksi, voivat rekisteriä käyttää. Lainsäätäjän lienee tarpeellista harkita, millä tasolla käyttöoikeuksien rajaaminen laissa on tarpeen? On myös arvioita voiko käyttöoikeuksien yksityiskohtainen määrittely hankaloittaa käytännön toimintaa. Olennaista on, että vain ne henkilöt käsittelevät henkilötietoja, joilla se on välttämätöntä työtehtävien toteuttamiseksi. Viittaan myös 110 :n osalta 106 :ssä esittämiini kommentteihin loogisen henkilörekisterin käsitteestä. Ottaen huomioon tilapäisen henkilörekisterin luonne ja käyttötarkoitus, herää myös kysymys, voiko rekisteriin kirjattu henkilö tarkastaa häntä itseään koskevat tiedot ehdotetun lain 122 :n nojalla? Nyt lausunnon kohteena olevan ehdotuksen mukaan se näyttäisi olevan mahdollista. 115 Tietojen poistaminen turvallisuustietorekisteristä Ehdotetun 115 :n 2 momenttia voitaisiin harkita muotoiltavaksi esimerkiksi seuraavalla tavalla Tietojen perustetta ja käsittelyn tarpeellisuuttaon arvioitava vähintään 5 vuoden välein.. Tietojen säilyttäminen sisältyy henkilötietolain 3 :ssä määriteltyyn henkilötietojen käsittelyn määritelmään. Muilta osin säännös muistuttaa henkilötietolain 12 :n 2 momenttia, jossa vastaava arviointivelvoite on asetettu arkaluonteisten henkilötietojen osalta. 116 Tietojen poistaminen tilapäisestä henkilörekisteristä Tilapäisessä henkilörekisterissä säilytettävien tietojen säilytysaikaa on tarpeen täsmentää. Ottaen huomioon, että kysymyksessä on nimenomaan tilapäinen henkilörekisteri, vaikuttaa nyt ehdotettu säilytysaika suhteellisen pitkältä, etenkin silloin, kun tietoja säilytettäisiin pykälän 6 kohdan mukaisesti. Säännöstä tulisi harkita täydennettäväksi tietyin väliajoin suoritettavalla tietojen perusteen ja käsittelyn tarpeellisuusarvioilla (Vrt. 115 2 mom.). Koska kysymyksessä on nimenomaan tilapäinen henkilörekisteri, tietojen tarpeellisuusarvioita lienee tarvetta suorittaa jopa tiheämmin, kuin edellä 115 :ssä määritetyin väliajoin. Tarpeellisuus arviointi lienee kyseisen rekisterin rekisteripitäjän tehtävä.
TIETOSUOJAVALTUUTETUN TOIMISTO 7/8 117 Kurinpitorangaistusrekisteri Kyseisessä pykälässä määritellään kurinpitorekisterin käyttötarkoitus. Käyttötarkoitukseksi todetaan kurinpitoasioita hoitavien henkilöiden ammattitaidon ja joukko-osaston ja perusyksikön toiminnan kehittämistä varten.. Epäselväksi jää, mitä tällä käytännössä tarkoitettaisiin. Kurinopistoasioita hoitavien henkilöiden ammattitaito tulee turvata ja varmistaa muulla tavoin, esimerkiksi ohjeistuksella tai koulutuksella. Ammattitaidon turvaaminen ei kuitenkaan voi olla rekisterinpidon peruste. Vastaavat kommentit pätevät myös toiminnan kehittämiseen. Näiltä osin säännöksen sisältöä rekisterin käyttötarkoitusta lienee tarvetta arvioida uudelleen sekä täsmentää perusteluita muilta osin siten, että kurinpitorekisterin käyttötarkoitus on asiallisesti perusteltu rekisterinpitäjän toiminnan kannalta. Kurinpitorekisterin osalta tietosisällön osalta syytä tarkistaa suhde asevelvollisrekisteriin. Ei lienee tarkoituksenmukaista tallettaa samoja tietoja useampiin rekistereihin. 118 Kurinpitorangaistusrekisterin pitäjä Ehdotetusta säännöksestä ei käy ilmi, kuka on kurinpitorekisterin rekisterinpitäjä. Kurinpitorangaistusrekisterin rekisterinpitäjä tulee määritellä selkeästi. Herää myös kysymys, onko tarkoitus luoda yksi keskitetty kurinpitorangaistusrekisteri vai pidetäänkö kurinpitorangaistusrekistereitä esimerkiksi joukko-osastokohtaisesti. Nyt ehdotetussa 118 :ssä säädetään siitä, kenestä voidaan tallettaa tietoja kurinpitorangaistusrekisteriin. Sen, kenestä tietoja voidaan tallentaa kurinpitorekisteriin, voitaisiin määritellä ehdotetussa 119 :ssä, jossa säädetään kurinpitorekisterin tietosisällöstä tai tarvittaessa voitaisiin harkita omaa säännöstä, jonka otsikko olisi nyt ehdotettua täsmällisempi. 119 Kurinpitorangaistusrekisterin tietosisältö Kurinpitorangaistusrekisterin osalta tulisi käydä ilmi myös se, kenestä henkilöstä tietoja talletetaan kurinpitorangaistusrekisteriin eli kuka olisi kyseisen rekisterin rekisteröity. Nykyisen säännöksen perusteella jää osin epäselväksi se, kuka kurinpitorangaistusrekisterissä niin kutsuttu rekisteröity eli kenen henkilön henkilötietoja sinne on tarkoitus tallentaa? Lausunnon kohteena olevan lain perusteella vaikuttaisi siltä, että rekisteröity saattaa lain 52 :ssä kurinpitoasian päätöksessä syylliseksi todettu henkilö. Näiltä osin lainsäätäjän lienee syytä täsmentää kyseistä
TIETOSUOJAVALTUUTETUN TOIMISTO 8/8 säännöstä. 121 Arkaluonteisten tietojen käsittely Se, mitä lain 121 3 momentilla tarkoitetaan, jää osin epäselväksi. Todettakoon, yhdenkään laissa tarkoitetun rekisterin käyttötarkoitukseksi ei ole määritelty rekisteröidyn oman turvallisuuden tai työturvallisuuden varmistaminen. Kyseinen käyttötarkoitus poikkeaa huomattavasti siitä, miksi eri rekisterien käyttötarkoitus on määritelty. Mikäli arkaluonteisten tietojen käsittely on tarpeen rekisteröidyn oman turvallisuuden tai työturvallisuuden suoksi tarpeen, tulee tämä tarve perustella ja asiasta tulee säätää siten, että on selvää, mihin rekisteriin tällaiset tiedot talletetaan. Näiltä osin lainsäätäjän lienee täsmennettävä nyt ehdotettua säännöstä. Lainsäätäjän on myös varmistettava, ettei säädettyihin rekistereihin talleteta niiden käyttötarkoituksen kannalta tarpeettomia tai tietosisällön kannalta virheellisiä tietoja (Vrt. muun muassa 106, 108, 110, 117, 118 ). JOHTOPÄÄTÖKSET Kokonaisuudessaan arvioituna luonnos hallituksen esitykseksi laiksi sotilaskurinpidosta ja rikostorjunnasta puolustusvoimissa sekä eräiksi siihen liittyviksi laeiksi täyttää henkilötietojen käsittelyn asianmukaisuuden sekä tarpeellisuuden vaatimuksen. Henkilötietojen käsittelyn asianmukaisuuden turvaamiseksi esityksen perusteluita sekä säännöksiä on kuitenkin eräiltä osin syytä selkeyttää ja täsmentää edellä esitettyjen kommenttien pohjalta. Kiitän mahdollisuudesta lausua nyt kysymyksestä olevasta esitetyksestä ja osallistun mielelläni esityksen jatkovalmisteluun edellä esitettyjen kommenttien pohjalta, mikäli lainsäätäjä näkee sen tarpeelliseksi. Tietosuojavaltuutettu Reijo Aarnio Ylitarkastaja Raisa Leivonen