Ahti Saarenpää Eduskunnan hallintovaliokunnalle Pyydettynä lausuntona valmisteilla olevan tietosuoja-asetuksen edistymistä koskevan valtioneuvoston kirjelmän U-jatkokirje - johdosta asiassa esitän kunnioittaen seuraavaa: 1. Taustaa Henkilötietojen suojasta tuli uusi yksilöitä suojaava oikeudellinen instituutio1970- ja 1980- luvuilla. Ruotsissa ensimmäinen yleinen tietosuojalaki datalagen säädettiin jo vuonna 1973. Siitä kerrottaessa unohdetaan usein mainita, että ruotsalainen luottotietolaki säädettiin jokseenkin samanaikaisesti. Jälkimmäisen lain keskeisenä sääntelytausta oli ruotsalaisen julkisuuslainsäädännön tarjoama avoin mahdollisuus ihmisten luottohäiriö- ja muiden taloustietojen käsittelyyn. Yhtä lailla usein unohdetaan usein mainita, että OECD julkisti omat ohjeensa henkilötietojen käsittelystä jo vuonna 1980. Kansainvälisen kaupan toimivuuden katsottiin edellyttävän riittävän yhteisiä näkemyksiä henkilötietojen käsittelystä. Nämä esimerkit kertovat havainnollisesti henkilötietojen suojan yhteiskunnallisista ulottuvuuksista. Euroopan unioni piti aluksi OECDn ohjeita ja niiden kanssa paljolti samanlaista Euroopan neuvoston konventiota riittävinä. Tilanne muuttui 1990-luvun lähestyessä. Eri maiden omaksumat erilaiset ajalliset ja sisällölliset ratkaisumallit johtivat yhdenmukaisemman lähestymistavan etsimiseen nykyisen, vuoden 1995 henkilötietodirektiivin muodossa. Tuota direktiiviä valmisteltaessa tietoverkkojen käyttö oli vielä lähinnä erikoistarkoituksiin rajoittunutta. Avoimet massakäytön tietoverkot olivat vasta tulossa käyttöön. Teknologianeutraalina direktiivi sopeutui kuitenkin verraten hyvin myös henkilötietojen käsittelyyn verkoissa. Ja sitä täydentämään tuli verraten nopeasti sähköisen viestinnän tietosuojadirektiivi. Laadimme nykyisen henkilötietolain henkilötietodirektiivin pohjalta, mutta myös paljossa vuoden 1987 henkilörekisterilakia esikuvana käyttäen. Jo henkilörekisterilaissa oli näet omaksuttu useimmat keskeiset nykyaikaisen tietosuojalainsäädännön perusratkaisut, vaikka se oli vielä nimensä mukaisesti rekisterikeskeinen. 1
2. Kohden tietosuoja-asetusta Valmistelun nyt loppuvaiheessa oleva tietosuoja-asetus on useamman taustatekijän tulos. Keskeisimmät niistä ovat eurooppalaisten perusoikeuksien kehitys, verkkoyhteiskunnan kehitys sekä komission lisääntynyt aktiivisuus sääntelyn modernisoimisessa. Kun henkilötietodirektiivi tuli voimaan, sitä koskevat tiedot sijoitettiin komission internal market eli sisämarkkinoiden sivustolle. Nyt ne ovat justice sivustolla. Syy on yksinkertainen. Oikeus henkilötietojen suojaan on eurooppalainen perusoikeus ja sellaisena myös yksityisyydestä erillinen perusoikeus. Aina henkilötietoja käsiteltäessä on kysymys samalla perusoikeuden toteuttamisesta. Kun valtaosa tietojenkäsittelystä on käytännössä kokonaan tai osittain henkilötietojen käsittelyä, on kysymys aidosti arkipäivän perusoikeudesta uudistuneessa oikeusvaltiossa. Sen asianmukainen toteutuminen edellyttää tietojärjestelmien oikeudellista suunnittelua. Verkkoyhteiskunnan kehitys toisena sääntelyn taustana on sinänsä luonnollinen lähtökohta. Yhteiskunnan tietotekninen muutos on ollut niin merkittävä, että komission oli direktiivin valmisteluajankohta huomioon ottaen oikeastaan pakko selvittää sen uudistamistarve teknologiseen kehitykseen verrattuna. Vaikka lopputulos on sinänsä niukka eli muutostarpeita ei juurikaan ollut, uudistetulla asetuksella voidaan samalla vaimentaa perusteettomia teknologiaan liittyviä vanhentuneisuusväitteitä. Samalla komission korostama digitaalisten sisämarkkinoiden kehittäminen on tietosuojanäkökulmasta helpompaa. Komission toiminta taasen aktivoitui merkittävästi muutaman passiivisen vuoden jälkeen komissaari Viviane Redingin tultua ensin informaatioyhteiskuntakomissaariksi ja jatkaessa sitten varapresidenttinä henkilötietojen suojan kehittämistä. Komissio selvitti uudistustarvetta kyselyin ja neuvotteluin. Näin selkiytyi uudistuksen päälinja; aikaisemmat keskeiset periaatteet osin uudelleen säänneltyinä. Olennaista oli samalla sääntelyn muuttaminen asetustasoiseksi. Direktiiviä säädettäessä useilla mailla oli jo oma aikaisempi sääntelynsä. Direktiivi ei yhdistänyt niitä riittävästi, vaan implementoinnit osin jopa lisäsivät hajanaisuutta. Entistä yhtenäisempi henkilötietojen suoja on yksilöiden liikkuvuuden ja digitaalisten markkinoiden kannalta myönteinen asia. 3. Asetusehdotus 3.1 Yleistä Yhtenä Euroopan unionin keskeistavoitteista on jo pitkään ollut lainsäädännön tason parantaminen. Tämä merkitsee pääsääntöisesti sääntelyn yksinkertaistamista. Komission ehdotuksessa tietosuoja-asetus oli kuitenkin huomattavassa määrin nykyistä direktiiviä laajempi johdanto-osaa myöten. Tästä on asiantuntijoiden toimesta esitetty paljon kritiikkiä. Demokraattisessa oikeusvaltiossa lainsäädännön tulisi olla yksinkertaista. Siksi on myönteistä, että neuvoston käsittelyssä on jossain määrin pyritty yksinkertaistuksiin. 2
Kun kuitenkin asetus on välittömästi sovellettavaa oikeutta, ei kaikkea laveutta voida välttää. Tämän vuoksi kansallinen sääntely nousee kansalaisen oikeuksien näkökulmasta tärkeälle sijalle. Suomen kanta tässä suhteessa on epäilemättä oikea. Kotimaisessa jatkovalmistelussa tulisi kiinnittää erityistä huomiota siihen, että sääntely nykytilasta poiketen ei pirstaloituisi tavoitteeltaan eikä toteutuksiltaan. Komission alkuperäisessä ehdotuksessa Euroopan komissiolle haluttiin antaa pitkälle menevä ohjausvalta asetuksen toteutuksessa ja valvonnassa. Tältä osin ehdotus oli kiistatta ristiriidassa paremman lainsäädännön tavoitteiden kanssa. Se, että ohjausvallan karsiminen lisää jonkin verran yksityiskohtaista sääntelyä, on siten hyväksyttävissä oleva asia. Ruotsin ja Suomen liittyessä Euroopan unioniin henkilötietodirektiivin valmistelu oli niin pitkällä, että jokseenkin ainoaksi pohjoismaiseksi erityisjäljeksi siihen jäi johdanto-osan kohta 72, missä todetaan, että julkisuusperiaate voidaan ottaa huomioon direktiiviä sovellettaessa. Tämä sinänsä epämääräinen lausuma on johtanut usein käytännön ongelmiin, kun tasapainosa henkilötietojen suojan ja julkisuuden välillä ei ole osattu etsiä. Tyyppitilanteessa on usein luultu julkisuusperiaatteen sivuuttavan henkilötietojen suojan ja ääritilanteessa on luultu poliisin hyvän asiakirjahallinnon periaatteiden sivuttavan henkilötietojen suojan. Kun nyt kysymys ei ole yksityisyyden ja julkisuuden välisestä suhteesta, vaan henkilötietojen suojan ja julkisuuden välisestä suhteesta, Suomen ajama lisäys on jo kansallisen oikeuskulttuurimme kannalta välttämätön. Sen toteuttaminen kansallisessa lainsäädännössä tulisi tehdä nykyistä selkeämmin. Asetuksen soveltamisalan määrittelyssä on tärkeää havaita se, että astus sinänsä koskee lähtökohtaisesti elossa olevien henkilöiden tietoja. Resitaaliosassa kuitenkin todetaan WP 29 työryhmän aiemman kannan mukaisesti, että kansallisesti voidaan henkilötietojen suoja ulottaa myös kuolleiden tietoihin. Näin on meillä alusta lähtien myös tehty ja asia on ollut esillä henkilötietolain perusteluissa. Lainsäädännön selkeys edellyttäisi ymmärtääkseni asiasta nimenomaisesti mainittavan sekä tietosuoja-asetuksen soveltamisalan että kansallisen tietosuojalainsäädännön soveltamisalan yhteydessä. Yhtenä komission ehdotuksen keskeisenä tavoitteena on ollut hallintotaakkojen vähentäminen. Tämä on luonnollinen tavoite informaatiohallinnon aikakaudella. On kuitenkin huomattava, että nykyinen direktiivi sinänsä ei juurikaan aiheuta hallintotaakkoja, mikä tietojärjestelmät kehitetään alun perin oikeudellisesti asianmukaisella tavalla ja henkilötietolainsäädännön vaikutusten arvioinnissa siirrytään tapauskohtaisesta hand made arvioinnista ensi sijassa automaattiseen arviointiin. Meillä Suomessa on myöskin hallintotaakkaa vähentäen pääsääntönä ollut se, että rekisteriseloste on vain poikkeustapauksissa toimitettava tietosuojavaltuutetulle. Toisaalta komission ehdotuksen merkittävistä uudistusehdotuksista oli velvollisuus nimetä tietosuojavastaava kaikkiin julkisen sektorin yksiköihin sekä tiettyihin suurempiin yksityisen sektorin organisaatioihin. Ehdotusta täsmennettiin Euroopan parlamentissa tietojenkäsittelyn määrä huomioon ottaen. Ajatus pakollisesta tietosuojavastaavasta liittyy yksiselitteisesti modernin, ihmisen oikeuksia kunnioittavan tietojohtamisen kehitykseen Euroopassa. 3
Meillä vastaava sääntely on jo toteutettu sosiaali- ja terveystoimessa kohtuullisen hyvin tuloksin. Pakollinen tietosuojavastaava on neuvoston käsittelyssä poistettu hallintotaakkoja lisäävänä tekijänä. Tätä ei kuitenkaan tulisi ymmärtää niin, että tietosuojavastaavia ei tarvittaisi. Jo nykyisen direktiivin puitteissa tietosuojavaltuutettu on meillä katsonut hyvän tietojenkäsittelytavan edellyttävän lähtökohtaisesti tietosuojavastaavaa. Valtioneuvoston kirjelmän maininta siitä, että tietosuojavastaavan nimeäminen on yrityksille annettu mahdollisuus, on samansuuntainen. Parhaimmillaan osaava tietosuojavastaava edesauttaa sekä hyvän tietojenkäsittelytavan kehittämistä että hallintotaakkojen vähentämistä. Kuluvan vuoden aikana ollaankin käynnistämässä kaupallista tietosuojavastaavien koulutusohjelmaa. 3.2 Yksityiskohtia Tietoturvaloukkauksista ilmoittaminen on yksi komission ehdotuksen näkyvistä uutuuksista. Avoimessa verkkoyhteiskunnassa olemme erittäin pitkälti riippuvaisia kehittyneestä tietoturvasta verkoissa ja yleisemmin digitaalisessa toimintaympäristössä. Vastaavasti hyvä henkilötietojen suoja edellyttää hyvää tietoturvaa. Kun neuvoston tasolla esitetään vähäisten tietoturvaloukkausten ilmoitusvelvollisuuden poistamista, joudutaan väistämättä kysymään, miten vähäisyys määritellään. Siitä ei saisi tulla eräänlaista hitaan havahtumisen aikapommia, missä aluksi vähäiseltä näyttävä asia osoittautuu myöhemmin erittäin merkitykselliseksi Pyrkimys yhdenmukaiseen eurooppalaiseen henkilötietojen suojaan edellyttää luonnollisesti yhdenmukaisuusmekanismien luomista. Tässä mielessä uusi Euroopan tietosuojaneuvosto on sinänsä tarpeellinen toimielin. On hyvä, että sen valtuuksia on vahvennettu. Toisaalta on huomattava, että henkilötietojen suojan yksilön perusoikeutena tulisi toteutua mahdollisimman aikaisessa vaiheessa tietojen käsittelyä ja siihen liittyvien kansalaisten oikaisuvaatimusten tulisi voida toteutua mahdollisimman nopeasti. Nykytilanne ei tässä suhteessa ole tyydyttävä. Euroopan tietosuojaneuvoston riittävä resurssointi on epäilemättä tarpeen, mutta ennen kaikkea meidän pitäisi eri tavoin yksinkertaistaa ja jouduttaa kansallisen tason menettelyjä. Suomessa esimerkiksi se aika, mikä on mennyt ns. veropörssitapauksen käsittelyyn, on aivan liian pitkä. Myönteistä rekisteröidyn oikeuksien toteuttamisen kannalta on hänen oikeutensa saada itseään koskevia tietoja sähköisesti. Tämä on digitaalisessa toimintaympäristössä sinänsä itsestään selvä lähtökohta. Meillä kuitenkin epäselvässä tulkintatilanteessa tietosuojalautakunta on luottotietoja koskevassa asiassa valitettavasti joutunut päätymään toisenlaiseen ratkaisuun, kun rekisterinpitäjä ei ollut suunnitellut tietojärjestelmäänsä kaikkia tasapuolisesti palvelevaksi. Käytännössä erittäin tärkeä kysymys on ollut ja on kysymys siitä, mikä on sellainen rekisterinpitäjän oikeutettu etu, mikä antaa mahdollisuuden eräissä tapauksissa sivuuttaa henkilötietojen suoja. Olemme tietosuojalautakunnassa antaneet vuosien varrella huomattavan määrän lupia tilanteissa, missä rekisterinpitäjien taloudellinen etu yksin tai yhdessä 4
rekisterien vanhanaikaisuuden kanssa on johtanut lupien antamiseen. Tyyppitilanteessa on annettu perintätoimistolle lupa selata väestötietojärjestelmää oikean velallisen varmistamiseksi. Tämä merkitsee samalla kannanottoa liiketoimintariskeihin. Kaipaisin asetukseen mahdollisimman selkeää kannanottoa tällaisiin tilanteisiin. Vastaavasti rekisteröidyillä tulee olla lähtökohtaisesti oikeus tietää mikä on se etu, jonka perusteella henkilötietojen suoja on murtunut. Suomen kanta tähän on perusteltu. Tässä yhteydessä on myös syytä korostaa käyttötarkoitussidonnaisuuden merkitys keskeisenä henkilötietojen suojan järjestämisperiaatteena. Se on lähtökohtaisesti mukana myös asetusehdotuksessa. Kuitenkin ehdotuksen 6 artiklassa luetellaan koko joukko perusteita, joilla käyttötarkoitussidonnaisuudesta voitaisiin poiketa. Niihin on syytä suhtautua epäillen. Suomen kanta siitä, että kyseinen luettelo on tarpeeton ja mahdollisesti epätietoisuutta aiheuttava, on epäilemättä perusteltu. Pääsääntö ja poikkeussäännöt saattavat vaihtaa käytännössä paikkaa. Komission ehdotuksessa on myös joukko uusia käsitteitä. Pääosin niistä ei juurikaan seuraa muutoksia sääntelyn nykytilaan Suomessa. Esimerkiksi henkilötietojen suojan suunnittelu data protection by design on jo nykyisin rekisterinpitäjän nimenomainen velvollisuus. Vastaavasti oikeus tulla unohdetuksi voidaan sekin johtaa nykyisen lain säännöksistä. Henkilötietolaki on tiedon elinkaaren laki, mikä edellyttää tarpeettomaksi käyneen tietoaineksen hävittämistä tai arkistoimista. Ehdotetussa muodossa oikeus tulla unohdetuksi saa ehkä aikaisempaa aktiivisemman roolin. Erityisen tärkeää on havaita alaikäisten aseman huomioiminen tuossa sääntelyssä. Aikaisemmin se valitettavasti sivuutettiin myös meillä henkilötietolakia direktiivin pohjalta säädettäessä. Suomen aloitteesta asetusluonnoksesta on poistettu kolmannen vastuuta koskeva oikeus tulla unohdetuksi-ulottuvuus. Kun kysymys ei ole tavanomaisesta ulkoistamistilanteesta, missä on aina vastuuvelvollisuus mukana, poisto on hyväksyttävissä. Tässä yhteydessä on syytä erikseen mainita viimevuotinen Euroopan unionin tuomioistuimen ratkaisu ns. Google Spain tapauksessa. Ratkaisu kuvastaa hyvin nykyisen direktiivin soveltuvuutta myös verkkoympäristöön. Google katsottiin rekisterinpitäjäksi ja sillä oli velvollisuus poistaa direktiivin vastaiset tiedot. Kysymys ei ollut, toisin kuin julkisasiamies erehtyi luulemaan, lainkaan sananvapaudesta. Tuomioistuin ei perustellusti edes maininnut sananvapautta. Asetusehdotus ei ymmärtääkseni muuta tätä tulkintatilannetta. Asetusehdotuksen 74 artiklassa tuodaan esille ensi näkemältä erikoiselta tuntuva ajatus siitä, että kansalaisilla tulee olla oikeussuojakeino passiivisena pysyvää tietosuojaviranomaista kohtaan. Aihe on ollut kansainvälisessä keskustelussa aiemminkin esillä. Passiivista tietosuojaviranomaista on jopa luonnehdittu yhdeksi henkilötietojen suojan pahimmista vihollisista. Kun meillä nykyisin eduskunnan oikeusasiamies ja oikeuskansleri lakisääteisesti valvovat ihmis- ja perusoikeuksien toteutumista, valtioneuvoston sinänsä hieman epämääräiseksi jätettyä kantaa voidaan ymmärtääkseni pitää hyväksyttävänä. Meillä on jo toimiva oikeussuojajärjestelmä. Asetusehdotuksen 77 artikla tuo esiin ulkoistukseen liittyvän vastuunjaon. Käytännöstä tiedetään, että huomattava osa tietoon tulleista tietosuojaloukkauksista on aiheutunut ul- 5
koistustilanteista. Asetusehdotuksen alkuperäinen muotoilu olisi saattanut johtaa siihen, että rekisterinpitäjä olisi voinut välttää joissain tapauksissa vastuun vetoamalla ulkoistetun toiminnon suorittajan vastuuseen. Suomen esittämä korjaus selkiyttää vastuutilanteita. Yksi komission ehdotuksen uutuuksista Suomea ajatellen oli määrällisesti korkeiden rahamääräisten hallinnollisten seuraamusten käyttö. Jo nykyisin sellaisia on käytetty eräissä maissa, esimerkiksi Espanjassa. Ehdotettu sääntely on henkilötietojen suojan toimivuuden kannalta kaksijakoinen asia. Korkeat sanktiot saattavat ensinnäkin heikentää koko instituution hyväksyttävyyttä. Tietosuojavaltuutettu Reijo Aarnion usein perustellusti korostama näkemys tietosuojan iloisesta ilmeestä vaarantuu. Toisaalta riittävän nopeasti asetettavien tehokkaiden sanktioiden puute heikentää nykyisin henkilötietojen suojan toimivuutta. Suomen ehdottamaa mahdollisuutta tyytyä huomautuksiin vähäisissä tapauksissa voidaan pitää onnistuneena edellyttäen, että huomautus aidosti ymmärretään sanktioksi. Totean tässä yhteydessä samalla myös että nykyisin tietoturvarikkeen sääntely vain rikkomuksena, on ollut yksi henkilötietolain kiistattomista puutteista. Asetusehdotuksen XI luvun loppusäännöksissä täsmennetään asetuksen ja sähköisen viestinnän tietosuojadirektiivin keskinäistä suhdetta. Tämän täsmentämisen soisi johtavan siihen, että meillä viestintäviraston tietoturvayksikkö saisi siten riippumattoman ja tietosuojavaltuutetun toimistoon liittyvän aseman, että emme joutuisi enää todistamaan erilaisia tietosuojaa koskevia kannanottoja. Niistä valitettavin on ollut se viestintäviraston kanta, minkä mukaan henkilötietolaista huolimatta on katsottu, että operaattorit voivat luovuttaa hallussaan olleita sähköpostiviestejä tilaajan perilisille. Tällöin sivuutettiin se perustavaa laatua oleva seikka, että nykyinen tietosuojalainsäädäntömme koskee myös kuolleiden tietoja. 4. Lopuksi Totean lopuksi, että jatkaessaan itse asiassa varsin vähäisin muutoksin tietosuojalainsäädännön kehitystä tietosuoja-asetus tulee pikaisesti kaipaamaan tuekseen kehittynyttä tietoturvalainsäädäntöä. Tällä hetkellä suhteellisuusperiaatteelle ja sen myötä rekisterinpitäjän harkinnalle rakentuva henkilötietolain tietoturvavelvoite ei ole johtanut riittävään tietoturvaan henkilötietojen käsittelyssä. Yhtä lailla tärkeää on pyrkiä kehittämään sellaista visuaalista sääntelyä ja ohjelmistoja, mitkä liikennemerkkien tavoin ohjaavat henkilötietojen käsittelyä tietojärjestelmiä hyödynnettäessä. Ne edesauttaisivat merkittävällä tavalla henkilötietojen suojan toteutumista käytännössä. Arkipäivän perusoikeutena henkilötietojen suojan tuntemus ei saa jäädä vain asiantuntijoiden tietämyksen varaan. On myös huomattava, että tietosuojavaltuutetun toimiston niukka resursointi voi olla jatkossa entistä suurempi oikeusturvariski kansalaisten oikeuksien asianmukaisen toteutumisennäkökulmasta. Kansalaisilla on oikeus odottaa riippumattomien tietosuojaviranomaisten kykyä toimia ripeasti. 6
Rovaniemellä 03.06.2015 Ahti Saarenpää Yksityisoikeuden professori emeritus Lapin yliopisto Tietosuojalautakunnan varapuheenjohtaja 7