Perustelut

Yleistä

Komission ehdottama lainsäädäntöuudistus sisältää ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (jäljempänä tietosuoja-asetus) sekä ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi yksilöiden suojelusta toimivaltaisten viranomaisten henkilötietojen käsittelyssä rikosten torjumiseksi, tutkimiseksi, selvittämiseksi tai niistä syyttämiseksi tai rikosoikeudellisten seuraamusten täytäntöön panemiseksi ja näiden tietojen vapaasta liikkuvuudesta (jäljempänä tietosuojadirektiivi). Säädösehdotuksilla kumotaan EY:n henkilötietodirektiivi 95/46/EY ja neuvoston puitepäätös 2008/977/YOS rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta. Uudistuksen taustalla ovat erityisesti vuonna 2009 hyväksytty Tukholman ohjelma sekä EU:n perusoikeuskirjan säännökset.

Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen käsittelyyn uusia haasteita. Henkilötietoja kerätään nykyisin huomattavasti enemmän ja erilaisin tekniikoin kuin unionin voimassa olevan tietosuojasääntelyn antamisen aikaan. Valiokunta kannattaa uudistuksen tavoitteita ajanmukaistaa ja yhdenmukaistaa EU:n osittain hajanaista ja monimutkaista tietosuojasääntelyä, parantaa digitaalisten sisämarkkinoiden toimintaedellytyksiä sekä vahvistaa EU:n kansalaisten luottamusta sähköisiin palveluihin ja viranomaisten toimintaan. Kaiken kaikkiaan säädösehdotuksissa on kysymys mittavasta lainsäädäntöuudistuksesta, joka on merkittävä niin henkilötietojen suojan kuin eri viranomaisten ja yksityisen sektorin toimintaedellytysten kannalta. Valiokunnan näkemyksen mukaan komission ehdotukset eivät kuitenkaan kaikilta osin tue uudistukselle asetettuja tavoitteita esimerkiksi lainsäädännön yksinkertaistamisesta, hallinnollisen taakan vähentämisestä tai digitaalitalouden mahdollisuuksien hyödyntämisestä.

Tässä yhteydessä valiokunta kiinnittää huomiota erityisesti seuraaviin näkökohtiin. Valiokunta varaa mahdollisuuden lausua komission säädösehdotuksista tarkemmin ja laajemmin asian jatkovalmistelun yhteydessä.

Tietosuojasääntelyn yhdenmukaistaminen ja yksinkertaistaminen

Valiokunta toteaa, että ehdotus tietosuoja-asetukseksi sisältää varsin yksityiskohtaista ja pitkälle menevää sääntelyä verrattuna voimassa olevaan tietosuojadirektiiviin. Myös sääntelyn määrän voidaan arvioida lisääntyvän. Lisäksi ehdotuksen mukaan komissiolla olisi laaja toimivalta antaa delegoituja säännöksiä. Käytännössä tietosuoja-asetuksen ohella sovellettaisiin myös kansallisia tietosuojaa koskevia säännöksiä. Selvityksen mukaan tietosuoja-asetus ei välttämättä vähentäisi kansallisen erityislainsäädännön määrää, vaan päinvastoin se saattaa jopa lisätä sitä. Säännösten määrän kasvun lisäksi asetusehdotuksen vaikeaselkoisuutta lisäävät erilaiset ristiinviittaukset sekä viittaukset kansalliseen lainsäädäntöön.

Valiokunta korostaa paremman sääntelyn periaatteiden huomioon ottamista EU:n tietosuojalainsäädäntöä uudistettaessa. Asetusehdotuksen johdannossa mainitut pyrkimykset varmistaa yksilöiden yhdenmukainen ja korkeatasoinen suoja ja poistaa henkilötietojen liikkuvuuden esteet ovat sinänsä kannatettavia. Komission ehdottama sääntelykokonaisuus saattaa kuitenkin johtaa päinvastaiseen lopputulokseen. Valiokunnan käsityksen mukaan tietosuojan toteutuminen riippuu käytännössä pitkälti siitä, että rekisterinpitäjät ja henkilötietojen käsittelijät osaavat soveltaa säännöksiä. Jatkovalmistelussa on syytä arvioida, kuinka yksityiskohtaista sääntelyä lainsäädännön yhdenmukaistamistavoitteen saavuttamiseksi tarvitaan. Kuten valtioneuvoston kannassa todetaan, tavoitteena tulisi olla kattavat ja helposti sovellettavat yleissäännökset.

Valiokunta kiinnittää tässä yhteydessä huomiota vielä siihen, että lainvalvontaviranomaisten — poliisi, tulli, rajavartiolaitos — kohdalla sääntelyyn liittyy haasteita myös siitä syystä, että mainitut viranomaiset soveltavat joko tietosuoja-asetusta tai tietosuojadirektiiviä tehtävästä riippuen. Esimerkiksi poliisin lupahallintotehtäviin sovellettaisiin tietosuoja-asetusta, kun taas tietosuojadirektiiviä sovellettaisiin rikostutkintaan ja rikostorjuntaan liittyvään henkilötietojen käsittelyyn. Mainittujen säädösten soveltamisalan ulkopuolelle jäisi sellainen henkilötietojen käsittely, joka liittyy unionin oikeuden ulkopuolella olevaan toimintaan, erityisesti kansalliseen turvallisuuteen. Säädösehdotuksiin sisältyy lukuisia toisiaan vastaavia säännöksiä, esimerkiksi yleiset määritelmät ja periaatteet sekä tietosuojaviranomaisia koskevat säännökset. Lainsäädännön ja käytännön toiminnan selkeyden kannalta olisi perusteltua, että keskeiset henkilötietojen käsittelyä koskevat säännökset ja periaatteet olisivat yhteneväiset toiminnan luonteesta riippumatta.

Valiokuntakuulemisen yhteydessä on noussut esiin huoli muun muassa siitä, jääkö kansalliselle sääntelylle ja eri toimijoiden erityispiirteiden huomioon ottamiselle riittävästi liikkumavaraa. Direktiivi voisi tältä kannalta tarjota joustavan vaihtoehdon. Valiokunta kuitenkin toteaa, että myös asetuksella toteutettava sääntely voi jättää jäsenvaltioille kansallista liikkumavaraa. EU:n tietosuojalainsäädännön harmonisointitavoitteen kannalta asetus olisi direktiiviä tehokkaampi sääntelyinstrumentti. Säädösinstrumenttikysymystä on mahdollista arvioida tarkemmin jatkovalmistelun yhteydessä, kun tietosuojasääntelyä koskevat ehdotukset täsmentyvät.

Hallinnollisen taakan vähentäminen

Asetusehdotuksen yhtenä tavoitteena on ollut hallinnollisen taakan vähentäminen. Tavoite ei kuitenkaan näytä toteutuvan muun muassa siksi, että rekisterinpitäjille ehdotetaan useita uusia velvoitteita ja tehtäviä. Tämä koskee sekä viranomaisia että yksityistä sektoria. Yritysten osalta tämä on huomionarvoista erityisesti tietointensiivisillä toimialoilla, joilla toiminta perustuu oleellisilta osin henkilötietojen käsittelyyn. Hallinnollinen taakka on ongelmallinen myös pienten ja keskisuurten yritysten näkökulmasta, vaikka asetusehdotus mahdollistaakin niille eräitä poikkeuksia. Lisäksi yksityiskohtainen ja moniin eri säädöksiin jakautuva lainsäädäntö on jo sinänsä omiaan lisäämään hallinnollista taakkaa. Asetusehdotus näyttäisi merkitsevän rekisterinpitäjille myös lisäkustannuksia muun muassa tietojärjestelmiin tarvittavien muutosten takia.

Valiokunta korostaa, että jatkovalmistelussa tulee tarkkaan arvioida, onko kaikki ehdotettu sääntely henkilötietojen suojan toteuttamisen kannalta välttämätöntä. Valiokunnan mielestä tulisi pyrkiä löytämään tasapaino toisaalta henkilötietojen suojan sekä toisaalta yritysten laadukkaan toimintaympäristön ja tietojen käsittelystä digitaalitaloudessa saatavien hyötyjen välillä.

Sääntelyn soveltamisala

Uudistuksen ulkopuolelle jää useita sektorikohtaisia säädöksiä, kuten tietoyhteiskunnan palveluja, erityisesti sähköistä kaupankäyntiä, sisämarkkinoilla koskevista tietyistä oikeudellisista näkökohdista annettu direktiivi (2000/31/EY) sekä kaikki rikosasioissa suoritettavan poliisi- ja oikeudellisen yhteistyön alalla annetut säädökset. Voimaan jäisi myös henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annettu direktiivi (2002/58/EY). Komission ehdotukset jättävät myös runsaasti asioita kansallisesti säänneltäväksi. Käytännön soveltamiseen liittyvien epäselvyyksien välttämiseksi tulisi tarkasti määritellä tietosuoja-asetuksen suhde muuhun sääntelyyn. Lisäksi komissiolle ehdotettuun laajaan toimivaltaan antaa yksityiskohtaisempaa sääntelyä on valtioneuvoston kannan mukaisesti syytä suhtautua kriittisesti.

Valiokunta kiinnittää huomiota siihen, että yleistä tietosuoja-asetusta ei ole tarkoitus soveltaa lainkaan unionin omissa toimielimissä ja laitoksissa. Valiokunnan näkemyksen mukaan tämä rajaus on omiaan heikentämään sääntelyn uskottavuutta. EU:n omien toimielinten suorittamaa henkilötietojen käsittelyä sääntelee erillinen asetus. Mikäli tietosuoja-asetuksen soveltamisalaa ei tässä yhteydessä ole mahdollista laajentaa, tulisi valtioneuvoston pyrkiä vaikuttamaan siihen, että vastaavasta tietosuojan korkeasta tasosta huolehditaan myös unionin toimielinten toiminnassa.

Julkisuusperiaate

Suomessa viranomaisten toiminnan julkisuudesta annettu laki (621/1999) ja henkilötietolaki (523/1999) muodostavat kokonaisuuden, joka sääntelee viranomaisten ylläpitämien henkilörekistereiden ja muiden asiakirjojen sekä niihin sisältyvien tietojen julkisuutta ja salassapitoa sekä henkilötietojen käsittelyssä noudatettavia vaatimuksia. Tietosuoja-asetuksen suhde viranomaisten asiakirjojen julkisuuteen jää komission ehdottamassa sääntelyssä avoimeksi. Asetuksen johdannon mukaan viranomaisten asiakirjojen julkisuusperiaate voidaan ottaa huomioon ehdotettuja säännöksiä sovellettaessa. Valiokunnan näkemyksen mukaan sääntelyn selkeyttämiseksi ja asiakirjajulkisuuden turvaamiseksi asetukseen tulisi sisällyttää säännös asiakirjajulkisuuden huomioonottamisesta tietosuoja-asetusta sovellettaessa.

Hallinnolliset seuraamukset

Ehdotetun tietosuoja-asetuksen mukaan jäsenvaltioiden on vahvistettava säännöt asetuksen rikkomisesta määrättäviä seuraamuksia varten ja varmistettava näiden sääntöjen täytäntöönpano. Valvontaviranomaisella olisi valtuudet määrätä hallinnollisia seuraamuksia asetuksessa luetelluista teoista. Valvontaviranomainen voisi määrätä hallinnollisen sakon tiettyyn enimmäismäärään asti kuhunkin tapaukseen liittyvät olosuhteet asianmukaisesti huomioon ottaen. Komissiolle ehdotetaan asetuksessa toimivalta antaa delegoituja säädöksiä hallinnollisten sakkojen määrän päivittämisestä.

Valtioneuvoston kantaan viitaten valiokunta pitää aiheellisena, että komission ehdotuksia arvioidaan tarkemmin ne bis in idem -periaatteen tarkoittaman kaksoisrangaistavuuden kiellon kannalta. Lisäksi jatkovalmistelussa on syytä arvioida, ovatko kaikki sanktioitaviksi tarkoitetut teot ja laiminlyönnit niin vakavia, että niihin on perusteltua liittää hallinnollinen seuraamus ja ovatko ehdotetut hallinnolliset sanktiot oikeassa suhteessa tekoihin nähden. Rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuudet tulee myös määritellä asetuksessa riittävän selkeästi.

Tietosuojadirektiivi

Uutta tietosuojadirektiiviä sovellettaisiin, kun kyse on henkilötietojen käsittelystä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Direktiiviehdotuksen tuoma keskeinen muutos voimassa olevaan tietosuojapuitepäätökseen verrattuna on, että direktiivi koskisi kansainvälisen yhteistyön lisäksi myös kansallisella tasolla tapahtuvaa henkilötietojen käsittelyä.

Hallintovaliokunta on katsonut tietosuojapuitepäätöksen käsittelyn yhteydessä, että puitepäätöksen säännöksiä olisi perusteltua soveltaa myös kansalliseen henkilötietojen käsittelyyn (HaVL 54/2006 vp). Valiokunta toteaa, että nyt käsiteltävänä oleva direktiiviehdotus on huomattavasti yksityiskohtaisempi kuin puitepäätös ja sisältää uudenlaista sääntelyä. Sen vuoksi lopullisen kannan muodostaminen siitä, tulisiko direktiivin kattaa myös puhtaasti kansallinen henkilötietojen käsittely, edellyttää vielä ehdotettujen uusien säännösten tarkempaa arviointia.

Valiokunta katsoo valtioneuvoston tavoin, että direktiiviehdotuksen käsittelyssä tulee ottaa huomioon sekä tietosuojan riittävä taso että poliisi- ja rikosoikeudellisen yhteistyön erityistarpeet. Myös säännöksiä henkilötietojen siirrosta kolmansiin maihin tai kansainvälisille järjestöille tulee tässä suhteessa vielä selventää. Lisäksi valiokunta kiinnittää huomiota direktiiviehdotukseen sisältyvään velvoitteeseen tarkastella voimassa olevia kansainvälisiä sopimuksia uudelleen. Suomalaisilla lainvalvontaviranomaisilla on toimialoillaan lukuisia kansainvälisiä sopimuksia, jotka toimivat perustana vakiintuneelle viranomaisyhteistyölle. Selvityksen mukaan ehdotuksen jatkokäsittelyssä tullaan muodostamaan valtioneuvoston yhteinen kanta tarpeeseen muuttaa voimassa olevia kansainvälisiä sopimuksia. Valiokunta tähdentää, että sopimusten uudelleen avaamisen tarvetta tulee harkita huolella.

Selvityksen mukaan tietosuojadirektiivin soveltamisalalla voitaisiin edelleen soveltaa henkilötietolain säännöksiä ja nykyistä erityissääntelyä siltä osin kuin ne eivät ole ristiriidassa direktiivin kanssa. Valiokunnan mielestä on kuitenkin selvää, että kun EU:n tietosuojapaketti on valmistunut, on tarpeen arvioida sekä henkilötietolain että henkilötietojen käsittelyä koskevan erityislainsäädännön tarkistustarpeet, kuten myös tapa, jolla direktiivi pannaan täytäntöön.

Vaikutukset kansalliseen lainsäädäntöön

Komission ehdotusten soveltamisalaan kuuluvan kansallisen lainsäädännön läpikäyminen tulee olemaan laaja hanke. Tarkemman arvion esittäminen ehdotusten vaikutuksista on ymmärrettävästikin mahdollista vasta myöhemmässä vaiheessa. Valiokunta pitää tärkeänä, että mittavan uudistuksen toteuttamiseen on käytettävissä riittävät resurssit ja riittävästi aikaa.