7.1
Laki pankki- ja maksutilien valvontajärjestelmästä
1 luku
Yleiset säännökset
Lakiehdotuksen 1 luku sisältäisi yleiset säännökset, ja se sisältäisi 1–1 e §:n.
1 §
.
Pankki- ja maksutilien valvontajärjestelmä ja lain tarkoitus.
Pykälä sisältäisi pankki- ja maksutilien valvontajärjestelmän tarkoitusta ja sen yleistä rakennetta ja toimintaa kuvaavat säännökset. Voimassaolevaa pykälää ehdotetaan muutettavaksi siten, että pykälän otsikkoon lisättäisiin lain tarkoitus, pykälän 1 ja 2 momenttien sisältöä muutettaisiin, 3 momentti siirrettäisiin uuteen 1 a §: ään ja 4 momentti 1 b §: ään. Ehdotetuilla muutoksilla kuvattaisiin pankki- ja maksutilien valvontajärjestelmän sisältöä ehdotuksen mukaisen pankki- ja maksutilien valvontajärjestelmän kahden eri toiminnallisuuden kautta.
Pykälän 1 momentin mukaisesti pankki- ja maksutilien valvontajärjestelmä muodostuisi keskitetystä automatisoidusta tilitietojärjestelmästä sekä keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä. Ensimmäisessä momentissa eroteltaisiin pankki- ja maksutilien valvontajärjestelmän kaksi eri toiminnallisuutta, jotka eroaisivat toisistaan tiedon käsittelytavan sekä oikeusperustan osalta. Keskitetty automatisoitu tilitietojärjestelmä perustuisi voimassaolevan pankki- ja maksutilien valvontajärjestelmästä annetun lain mukaiseen automaattiseen ja välittömään tilin omistajatietoja sisältävään järjestelmään, joka perustuu viidennestä rahanpesudirektiivistä jäsenvaltioille tulevaan vaatimukseen ottaa käyttöön keskitettyjä automatisoituja mekanismeja, kuten keskitettyjä rekistereitä tai keskitettyjä sähköisiä tietojenhakujärjestelmiä, joiden avulla voidaan ajallaan tunnistaa mikä tahansa luonnollinen henkilö tai oikeushenkilö, joka on niiden alueella toimivassa luottolaitoksessa olevan IBAN-tunnisteisen maksutilin ja pankkitilin sekä tallelokeron haltija tai jolla on määräysvalta tällaiseen tiliin tai tallelokeroon. Toisin sanoen voimassaolevan pankki- ja maksutilien valvontajärjestelmästä annetun lain mukainen järjestelmä ja tiedonkäsittely vastaisi ehdotetun mukaista keskitettyä automatisoitua tilitietojärjestelmää.
Keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä taas perustuisi viranomaisten kansalliseen tarpeeseen saada saldo- ja tilitapahtumatietoja yhden keskitetyn järjestelmän avulla. Keskitetyn saldo- ja tilitapahtumajärjestelmän toiminnallisuus perustuisi yhtäältä sähköiseen tiedonkäsittelyyn, mutta poikkeaisi automatisoidun järjestelmän välittömyydestä siten, että tietopyyntöjen käsittelylle luotto- ja maksulaitoksessa tai muussa tiedonluovuttajassa annettaisiin kohtuullinen määräaika. Tiedon luovuttajalla olisi siten mahdollisuus arvioida tiedon luovutuksen perusteita saamansa pyynnön perusteella ja myös mahdollisuus kieltäytyä tiedon luovutuksesta, mikäli tietopyyntö ei sen mukaan olisi lainmukainen. Lailla ei säädettäisi niistä tiedonkäsittelyn periaatteista tai teknisistä tavoista, joita tiedonluovuttajan tulee noudattaa omassa järjestelmässään, mutta lailla mahdollistetaan se, että tiedon luovuttajalla on tosiasiallinen mahdollisuus esimerkiksi tarkistaa tietopyynnön sisältöä sen tehneeltä viranomaiselta.
Pykälän 2 momentin mukaan lain tarkoituksena olisi edistää viranomaisten automaattista tiedonsaantia pankki- ja maksutileistä ja tallelokeroista ja sähköistä tiedonsaantia saldo- ja tilitapahtumista sekä arvopapereihin liittyvistä tiedoista. Keskitetyn järjestelmän tarkoituksena olisi luoda tietoturvallinen kanava luovutettavien henkilötietojen käsittelylle. Lain tarkoituksena on lisäksi parantaa viranomaisten pankkitilejä koskevien tiedustelujen oikeaa kohdentumista, joka vähentäisi sekä viranomaisten että ilmoitusvelvollisten työmäärää. Esitys tukee hallitusohjelman tavoitteita parantaa digitalisaation kustannusvaikuttavuutta hyödyntämällä olemassa olevia kansallisia tietojärjestelmiä tietoturvallisesti nykyistä laajemmin ja muun muassa vahvistaa digitalisaatiota sekä rikostutkinnassa että –torjunnassa.
Pykälän 3 momentin mukaan pankki- ja maksutilien valvontajärjestelmän henkilötietoja käsiteltäisiin pankki- ja maksutilien tiedonhakujärjestelmällä, pankki- ja maksutilirekisterillä, tiedonluovutusjärjestelmällä sekä edellä mainittuja tietoja välittävällä koostavasta sovelluksella. Voimassaolevan lain 1 §:n 1 momentissa on säädetty, että pankki- ja maksutilien valvontajärjestelmä muodostuu pankki- ja maksutilien tiedonhakujärjestelmästä, pankki- ja maksutilirekisteristä sekä koostavasta sovelluksesta. Ehdotuksen mukaisesti tarkennetaan, että pankki- ja maksutilien valvontajärjestelmä jaetaan kahteen toiminnallisuuteen, joita koskevassa tiedonkäsittelyssä hyödynnetään samoja järjestelmän osia, pankki- ja maksutilien tiedonhakujärjestelmää, pankki- ja maksutilirekisteriä ja koostavaa sovellusta. Koska ehdotetulla lailla säädetään kaikille tiedonluovuttajille velvoite luovuttaa saldo- ja tilitapahtumatiedot pankki- ja maksutilien valvontajärjestelmän kautta, muiden kuin tiedonhakujärjestelmän luoneiden luotto- ja maksulaitosten tiedonluovutus tapahtuisi ehdotetun tiedonluovutusjärjestelmän avulla. Keskitetyn järjestelmän tiedonkäsittelyn oikeusperusteesta säätäminen perustuu tietosuoja-asetuksen 6 artiklan 3 kohtaan, jonka mukaisesti pankki- ja maksutilien valvontajärjestelmän mukaisesta tiedon käsittelyn oikeusperustasta on säädettävä joko a) unionin oikeudessa; tai b) rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. Toimivaltaisten viranomaisten saldo- ja tilitapahtumatietoja koskevan tiedonsaannin oikeusperustasta säädetään erillislaeissa. Ehdotetulla lailla ei ole tarkoitus muuttaa toimivaltaisten viranomaisten tiedonsaannin oikeusperustaa vaan luoda sähköinen kanava pankkitilitiedon ja saldo- ja tilitapahtumatiedon saamiseen luotto- ja maksulaitoksilta viranomaisille.
1 a §.Soveltamisala.
Lakiin ehdotetaan lisättäväksi uusi 1 a §, jossa säädettäisiin lain soveltamisalasta. Pykälän 1 momentin mukaisesti lakia sovellettaisiin pankki- ja maksutilitietojen, tallelokerotietojen sekä saldo- ja tilitapahtumatietojen sekä arvopapereihin liittyvien tietojen saamiseen ja välittämiseen maksulaitoksilta, sähkörahayhteisöiltä, luottolaitoksilta ja kryptovarapalvelun tarjoajilta toimivaltaisille viranomaisille silloin kun edellä mainittuja tietoja käsitellään pankki- ja maksutilien valvontajärjestelmän avulla.
Pykälän 2 momentissa säädettäisiin lain soveltamisesta ulkomaisten maksulaitosten, sähkörahayhteisöjen, luottolaitosten ja kryptovarapalvelun tarjoajien Suomessa sijaitseviin sivuliikkeisiin. Momentti siirrettäisiin 1 a §: ään voimassaolevan lain 1 §:n 3 momentista.
1 b §.Suhde muuhun lainsäädäntöön ja tietojen salassapito
. Lakiin ehdotetaan lisättäväksi uusi 1 b §, jossa säädettäisiin pankki- ja maksutilien valvontajärjestelmässä käsiteltävien tietojen julkisuudesta. Pykäläehdotuksen mukaisesti keskitetyssä pankki- ja maksutilien valvontajärjestelmässä käsiteltävät tiedot eli tietopyyntö ja siihen annetun vastauksen sisältö, olisivat salassa pidettäviä tietoja. Ehdotettu sääntely vastaa voimassaolevan lain salassapitoa koskevaa sääntelyä. Pankki- ja maksutilien valvontajärjestelmässä käsiteltävät tiedot muodostuvat viranomaisten kohdennetuista tietopyynnöistä sekä niiden perusteella luotto- ja maksulaitosten, sähkörahayhteisöjen ja kryptovarapalvelun tarjoajien toimittamista asiakkaitaan koskevista tunnistamistiedoista, erilaisista tilitapahtumista; maksuista ja ostoista ja niihin liittyvistä tunnistetiedoista sekä arvopaperitietoihin liittyvistä ehdotetussa 1 a §:ssa tarkoitettujen tiedonluovuttajien rekistereissä olevista tiedoista. Osa pankki- ja maksutilien valvontajärjestelmän tiedoista on lisäksi pankki- ja maksutilirekisterissä. Salassapito koskee pankki- ja maksutilien valvontajärjestelmää kokonaisuudessaan eli sen molempia toiminnallisuuksia, keskitettyä automatisoitua tilitietojärjestelmää, mukaan lukien pankki- ja maksutilirekisteriä ja keskitettyä sähköistä saldo- ja tilitapahtumajärjestelmää.
Yleisesti viranomaisen asiakirjan salassapidosta säädetään laissa viranomaisen toiminnan julkisuudesta (621/1999)( jäljempänä
julkisuuslaki)
. Julkisuuslain 24 §:n 1 momentin 23 kohdan mukaisesti salassa pidettäviä viranomaisen asiakirjoja ovat, jollei erikseen toisin säädetä, asiakirjat, jotka sisältävät tietoja henkilön vuosituloista tai kokonaisvarallisuudesta taikka tuen tai etuuden perusteena olevista tuloista ja varallisuudesta taikka jotka muutoin kuvaavat hänen taloudellista asemaansa, sekä ulosottoviranomaisen asiakirjat siltä osin kuin ne sisältävät sellaisia tietoja, jotka ulosottorekisteriin merkittyinä olisivat ulosottokaaren mukaan salaisia, sekä tiedot luonnollisesta henkilöstä ulosottovelallisena ja ulosottoselvitys. Tietoja luovuttavien luotto- ja maksulaitosten ja muiden1 a §:ssä tarkoitettujen toimijoiden samoin kuin tiedon hyödyntäjien eli viranomaisten rekistereissä tietoja koskevat erilaiset tietojen julkisuutta ja salassapitoa koskevat säännökset. Luotto- ja maksulaitokset sekä sähkörahayhteisöt ja kryptovarapalvelun tarjoajat luovuttavat pankkitilejä ja niiden tapahtumia koskevia tietoja erilaisille viranomaisille, hyvin erilaisten viranomaistehtävien hoitamiseksi. Koska rahan käyttötapa ja maksuliikenne on muuttunut mitä suurimmassa määrin käteisen rahan käytöstä pankkitilin välityksellä tapahtuvaan maksuliikenteeseen, pankkitilin tilitapahtumatiedoista voi saada hyvin yksityiskohtaisen kuvan henkilön yksityiselämästä. Tilitapahtumista voi ilmetä suoraan jopa arkaluonteisia tietoja, kuten tietoja uskonnollisen yhdyskunnan jäsenyydestä tai terveydenhuoltopalvelujen käytöstä. Luonnollisen henkilön yksityiskohtaisten tilitietojen voi katsoa rinnastuvan siten yksityiselämän suojan ydinalueelle kuuluviin arkaluonteisiin tietoihin, joiden vuoksi ehdotettua erityissääntelyä tietojen salassapidosta pankki- ja maksutilien valvontajärjestelmässä voidaan pitää yksityiselämän ja henkilötietojen suojan näkökulmasta perusteltuna. Ehdotetulla säännöksellä suojattaisiin siten erityisesti arkaluonteisiksi säädettyjä tietoja ja se olisi niiden käsittelylle säädetty rekisteröidyn oikeuksia ja vapauksia suojaava erityinen suojatoimi.
Pankki- ja maksutilien valvontajärjestelmässä käsiteltävien tietojen salassapito tulisi ulottaa tietoja luovuttaviin yksityisiin toimijoihin eli kaikkiin ehdotetun 1 a §:n mukaisiin tiedonluovuttajiin. Toisin kuin voimassaolevan lain mukaisessa tiedonkäsittelyssä, Tullin koostavan sovelluksen kautta esityksen mukaisesti tehdyn saldo- ja tilitapahtumatietopyynnön osalta tiedonhakujärjestelmää ylläpitävä luottolaitos tai muu tiedot luovuttava toimija saisi tiedon siitä, mikä viranomainen on pyytänyt tietoa sekä sen mihin käyttötarkoitukseen tietoa on pyydetty. Välittyvissä tiedoissa olisi viranomaisen nimen lisäksi 17 a ja c §:n mukainen toimivaltapykälä, viranomaistehtävä ja kyseisen tapauksen viite- tai diaaritieto. Tiedonluovuttaja saisi kyselyä vastaanottaessaan luonnollisesti myös tiedon siitä, mistä asiakkaasta tietoa on kysytty ja miltä ajalta. Tiedonluovuttajan vastaanottaessa tietopyynnön, käyttötarkoitussidonnaisuuden periaate rajaa tietojen käyttöä siihen tarkoitukseen, mitä tietopyynnön käsittely edellyttää. Tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään tietojen käsittelystä alkuperäisten käyttötarkoitusten kanssa yhteensopiviin käyttötarkoituksiin. Salassapidosta tulisi kuitenkin säätää, sillä tietosuoja-asetuksen 6 artiklan 3 kohdan nojalla kansallisella lainsäädännöllä on mahdollista mukauttaa asetuksen sääntöjen soveltamista muun muassa käyttötarkoitussidonnaisuuden osalta. Salassapitosäännöksessä olisi siten kyse tietosuoja-asetuksen liikkumavaran nojalla annettavasta suojatoimisääntelystä, joilla mukautetaan tietosuoja-asetuksen yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta Salassapitosäännös poistaisi luotto- ja maksulaitoksen mahdollisuuden hyödyntää tietoja muuhun tarkoitukseen kuin tietopyynnön toteuttamiseksi. Lisäksi salassapidosta säätämällä turvattaisiin viranomaisen toimintaa. Keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä merkitsee rekisteröidyn oikeuksiin kajoamista ja jotta tietojen käsittely olisi oikeasuhtaista ja minimoisi rekisteröidyn oikeuksiin kohdistuvaa korkeaa riskiä, tulisi sekä tietopyyntöjen, kuin myös luovutettujen tietojen olla salassa pidettäviä.
Pykälän 2 momentissa säädettäisiin, että luotto- ja maksulaitokset ja muut 1 a §:ssa tarkoitetut toimijat eivät saisi käsitellä viranomaisten pankki- ja maksutilien valvontajärjestelmään tekemiä tietopyyntöjä muuhun tarkoitukseen kuin pyynnön vastaamiseksi. Tiedonluovuttajalla ei olisi siten oikeutta tehdä tietopyynnön takia esimerkiksi merkintöjä kyselyjen kohteena olevien luonnollisten henkilöiden tai oikeushenkilöiden asiakastietoihin eikä tietopyynnön tietoa saisi hyödyntää esimerkiksi asiakkuuden riskienhallintaan tai muuhun asiakkuuden monitorointiin. Tiedonluovuttaja ei myöskään saisi ilmaista tiedustelun kohteelle tätä koskevan viranomaisen tietopyynnön ja siihen annetun vastauksen olemassaoloa ja sen sisältöä. Lähtökohtaisesti tällaisen pyynnön käyttäminen muuhun käyttötarkoitukseen luo korkean riskin rekisteröidyn oikeuksille. Viranomaisen tekemä tietopyyntö voi johtua esimerkiksi viranomaisessa vireillä olevasta rikostutkinnasta, jonka kohde voi osoittautua syyttömäksi, mutta kyse voi olla myös rikoksen uhrista tai sivullisesta eikä tietopyynnöllä tulisi myöskään tästä syystä olla vaikutuksia tietopyynnön kohteena olevan asiakkuuteen. Toisaalta taas tietopyynnön paljastaminen voisi vaarantaa viranomaisen lakisääteisen tehtävän kuten vireillä olevan rikostutkinnan ja esimerkiksi varojen takaisinsaannin. Kyse olisi tietosuoja-asetuksen liikkumavaran nojalla annettavasta suojatoimisääntelystä. Tiedon käyttäminen muuhun kuin laissa säädettyyn tarkoitukseen on säädetty rangaistavaksi tietosuoja-asetuksen 83 artiklan mukaisesti.
Pykälän 3 momentissa säädettäisiin, että kyselyn tehnyt toimivaltainen viranomainen ei saisi käsitellä 1 a:ssa tarkoitetusta tiedonluovuttajasta saamaansa tietoa muuhun käyttötarkoitukseen kuin mitä se on tietopyyntöä tehdessä määritellyt. Tietosuoja-asetuksen 5 artiklan käyttötarkoitussidonnaisuuden periaatteen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Viranomaiselle kohdistuva kielto hyödyntää tietoa alkuperäisen käyttötarkoituksen kanssa yhteensopimattomiin käyttötarkoituksiin tulisi kuitenkin säätää rekisteröidyn oikeuksien turvaamiseksi. Siten kyse olisi tietosuoja-asetuksen liikkumavaran nojalla annettavasta suojatoimisääntelystä, jolla mukautetaan käyttötarkoitussidonnaisuutta. Viranomainen ei saisi luovuttaa pankki- ja maksutilien valvontajärjestelmästä vastaanottamaansa tietoa suoraan sellaisenaan eteenpäin esimerkiksi käyttötarkoitukseltaan toiseen viranomaistehtäväänsä tai toiselle viranomaiselle vaan kukin viranomainen tekisi kyselyn omien tiedonsaantioikeuksiensa nojalla. Tämä ei kuitenkaan tarkoittaisi, etteikö viranomainen saisi luovuttaa omien tiedonluovutussäädöstensä mukaisesti esimerkiksi toiselle viranomaiselle sellaista tietoa, mihin pankki- ja maksutilien valvontajärjestelmästä saatua tietoa on hyödynnetty. Tämä tarkoittaisi esimerkiksi poliisin oikeutta välittää rikostutkinnan aineistona olevia tilitapahtumatietoja syyttäjälle tai Verohallinnon mahdollisuutta hyödyntää tilitapahtumatietoa verotarkastuskertomukseen ja edelleen tämän verotarkastuskertomuksen välittämistä poliisille tutkintapyynnön aineistona.
Tietosuoja-asetuksen 5 artiklan mukaan henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Rekisterinpitäjän on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Koska kyselyillä saatavat tiedot ja niiden käyttötarkoitukset riippuisivat viranomaisesta, tulisi jokaisen viranomaisen arvioida itse järjestelmästä saadun tiedon tarpeellinen säilytysaika. Esimerkiksi poliisilla voi talousrikostutkinnassa olla tapauksia, jossa tiedot ovat tarpeellisia hyvin pitkiä aikoja. Toisaalta taas viranomaisen tiedon tarve voi olla hyvin lyhytkestoinen. Tiedot olisi kuitenkin aina poistettava välittömästi sen jälkeen, kun viranomaisen tarve niiden säilyttämiselle lakkaisi. Mikäli viranomainen havaitsisi välittömästi tiedon saatuaan, ettei sen pyytämä tieto ole sille relevanttia tai se olisi saanut jopa väärää tietoa, tulisi viranomaisen poistaa saamansa tiedot välittömästi tietosuoja-asetuksen mukaisesti. Mikäli kyseessä olisi mahdollinen tiedon eheyteen liittyvä epäily, viranomaisen tulisi käsitellä asia omien tiedonhallintaprosessiensa mukaisesti ja mahdollisesti viedä asia edelleen tiedoksi tietosuojavaltuutetulle.
1 c §
.
Koostava sovellus.
Lakiin ehdotetaan lisättäväksi uusi 1 c §, jossa säädettäisiin Tullin ylläpitämästä koostavasta sovelluksesta. Pykälä vastaisi pääosin voimassaolevan lain 7 a §:n 1,3 ja 4 momentin sisältöä, mutta koska koostavaa sovellusta käytetään ehdotetun lain mukaisesti sekä automatisoidun tilitietojärjestelmän mukaisten tietojen, että keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän mukaisten tietojen välittämiseen, mainitut lain kohdat ehdotetaan lisättäväksi yleisiä säännöksiä koskevaan lukuun.
Pykälän 1 momentti vastaisi voimassaolevan lain 7 a §:n 1 momentin sisältöä, jota ehdotetaan tarkennettavaksi ja täydennettäväksi. Ehdotuksen mukaan toimivaltaiset viranomaiset voisivat toimivaltansa puitteissa tehdä 2 ja 3 luvun mukaisia tietopyyntöjä pankki- ja maksutilien valvontajärjestelmän avulla. Tulli vastaisi koostavalla sovelluksella viranomaiselta tulevan tietopyynnön välittämisestä 2 ja 3 luvussa säädettyihin käyttötarkoituksiin 1 a §:n mukaisille toimijoille sekä tietopyyntöön saadun vastauksen välittämisestä toimivaltaiselle viranomaiselle. Luotto- ja maksulaitosten sekä muiden 1 a §:n mukaisten toimijoiden velvollisuus luovuttaa tiedot pankki- ja maksutilien valvontajärjestelmän koostavan sovelluksen avulla perustuisi ehdotettavan lain 4, 6 ja 17 f §:iin.
Pykälän 1 momentissa säädettäisiin voimassaolevan lain mukaisesti Tullin roolista koostavan sovelluksen rekisterinpitäjänä. Tulliin sovellettaisiin rekisterinpitäjänä koostavan sovelluksen osalta tietosuoja-asetuksessa määriteltyjä rekisterinpitäjän vastuita ja velvollisuuksia. Rekisterinpitäjällä asetuksessa tarkoitetaan 4 artiklan 7 kohdan mukaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Samaisen artiklan 2 kohdan mukaan käsittelyllä tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.
Pykälän 2 momentin mukaisesti koostavan sovelluksen välityksellä tapahtuva tiedonkäsittely olisi automaattista. Pykälä vastaisi voimassaolevan lain 7 a §:n 3 momenttia. Tullilla ei olisi koostavaa sovellusta ylläpitävänä viranomaisena sen enempää pääsyä koostavalla sovelluksella tehtyihin pyyntöihin, vaan kyselyt olisivat suoria ja sisäänrakennettu teknisesti siten, ettei Tulli voisi puuttua siihen, millä perusteella ja ketä koskevia tietoja viranomainen kysyy ja mitä tietoja sille luovutetaan. Koostava sovellus tarkistaa ainoastaan sen, että viranomainen täyttää kaikki kyselysanoman pakolliset kohdat, esimerkiksi tietopyynnön lakiperustan ja kyselyä koskevan tapauksen viitenumeron, jotta kysely välittyy eteenpäin tiedon luovuttajalle. Valvonta, jota järjestelmän kautta tehtävien tiedonluovutusten osalta voitaisiin tehdä lokitietojen perusteella, olisi jälkikäteistä. Jälkikäteinen valvonta tapahtuu viranomaisessa, joka tietoja on pyytänyt. Koostavan sovelluksen lokitiedot on tarkoitettu toimivaltaisten viranomaisten laillisuusvalvontaa varten. Momentissa säädettäisiin lisäksi siitä, että sovelluksen kautta luovutetut tiedot poistetaan sovelluksesta välittömästi tietojen luovuttamisen jälkeen.
Pykälän 3 momentissa säädettäisiin rajoituksesta rekisteröidyn oikeudesta saada pääsyä hänestä kerättyihin tietoihin. Pykälä vastaisi osittain voimassaolevan lain 7 a §:n 4 momenttia ja siihen tehtäisiin lisäksi kielellinen tarkennus lisäämällä yleisen tietosuoja-asetuksen koko nimi. Pykälässä säädettäisiin, että poiketen siitä, mitä säädetään yleisen tietosuoja-asetuksen 15 artiklassa rekisteröidyn oikeudesta saada pääsy hänestä kerättyihin tietoihin, oikeutta tietoihin ei ole, kun tietoja käsitellään koostavalla sovelluksella. Mikäli rekisteröidyn oikeuksia ei rajoitettaisi, kuuluisi tälle oikeus saada rekisterinpitäjältä tietoja esimerkiksi siitä, onko viranomainen tehnyt hakuja häntä koskeviin tilitapahtumatietoihin ja mitä tarkoitusta varten. Jos rekisteröidyn oikeuksia ei rajoitettaisi, olisi arvio tehtävä joka kerta erikseen viranomaisen toimesta. Rekisteröidyn tulee tehdä pyyntönsä rekisterinpitäjälle ja rekisterinpitäjä on velvollinen vastaamaan pyyntöön. Tullin osalta tämä tarkoittaisi käytännössä sitä, että koostavan sovelluksen rekisterinpitäjänä Tullilla tulisi olla pääsy tietoihin, joihin Tullilla ei toimivaltansa puitteissa muuten olisi, kyetäkseen vastaamaan näihin rekisteröidyn esittämiin käsittelyä koskeviin pyyntöihin.
Voimassaolevan lain 7 a §:n 4 momentin mukainen rajoitus perustuu rahoitustietodirektiivin 18 artiklan täytäntöönpanoon, jonka mukaisesti jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla kokonaan tai osittain rajoitetaan rekisteröityjen oikeutta päästä rahoitustietodirektiivin nojalla käsiteltyihin heitä koskeviin henkilötietoihin, tietosuoja-asetuksen 23 artiklan 1 kohdan tai, tapauksen mukaan, rikosasioiden tietosuojadirektiivin 15 artiklan 1 kohdan mukaisesti. Voimassa olevassa laissa on siis säädetty rajoitus myös rikosasioiden tietosuojadirektiivin perusteella. Tiedon luovutukseen liittyvän käsittelytoimen on kuitenkin katsottu olevan tietosuoja-asetuksen soveltamisalalla, kun kyse on henkilötietojen luovuttamisesta tietosuoja-asetuksen soveltamisalalta rikosasioiden tietosuojadirektiivin soveltamisalalle. Siten Tulli koostavan sovelluksen rekisterinpitäjän roolissa voi soveltaa ainoastaan tietosuoja-asetusta. Tämän mukaisesti ehdotetaan, että viittaus rikosasioiden tietosuojalakiin poistetaan siirrettävästä 7 a §:n 4 momentista. Sovellettava tietosuojalainsäädäntö kyselyä tehtäessä sen sijaan riippuu henkilötietojen käyttötarkoituksesta. Viranomaiset soveltavat omassa tiedonkäsittelyssään joko rikosasioiden tietosuojadirektiiviä ja rikosasioiden tietosuojalakia tai tietosuoja-asetusta ja tietosuojalakia riippuen kunkin viranomaisen tiedonsaannin käyttötarkoituksesta. Viranomaisilla on lisäksi omia henkilötietojen käsittelyä koskevia erityislakeja.
Tietosuoja-asetuksen 23 artiklassa säädetään, että rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa. Artiklassa on asetettu edellytykseksi, että kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja että se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide artiklan 1 kohdassa mainittujen seikkojen varmistamiseksi. Ehdotettu rajoitus perustuu 23 artiklan 1 kohdan a-e sekä h alakohtaan eli oikeutta ei olisi jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta, yleistä turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä. Artiklan mukaan rajoitus olisi perusteltua myös jos muu unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva tai edellä mainittuihin tehtäviin liittyvä valvonta-, tarkastus- tai sääntelytehtävä voisi vahingoittua. Koska pankki- ja maksutilien valvontajärjestelmän toimivaltaisten viranomaisten tehtävät koskevat edellä mainittuja tehtäviä, ehdotettua rajoitusta voidaan pitää välttämättömänä ja oikeasuhtaisena toimenpiteenä.
Tietosuoja-asetuksen 15 artiklan 2 kohdan mukaan rekisteröidyllä tulisi olla oikeus saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen. Koska tässä tapauksessa jo pelkkä tieto viranomaisen tekemästä kyselystä voisi vaarantaa esimerkiksi varojen takaisinsaannin ja keskeneräisen tutkinnan, Tullilla koostavan sovelluksen ylläpitäjänä ei olisi velvollisuutta kertoa rajoituksen syytä. Suojatoimena rekisteröidyn oikeuksien rajoittamiseen nähden säädettäisiin kuitenkin välillisen tarkastusoikeuden hyödyntämisestä. Välillisestä tarkastusoikeudesta säädetään tietosuojalain 34 §:ssä.
Tietosuojalain 34 §:n 4 momentin mukaisesti tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut tiedot on kuitenkin annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä. Oikeuksien käyttämistä koskeva pyyntö olisikin esitettävä tietosuojavaltuutetulle taikka Tullille sen mukaisesti, kuin laissa henkilötietojen käsittelystä Tullissa 35 §:n 2 momentissa säädetään. Tullille esitetty pyyntö on toimitettava viipymättä tietosuojavaltuutetulle.
1 d §
.
Tiedonhakujärjestelmät.
Lakiin ehdotetaan lisättäväksi uusi 1 d §, jossa säädettäisiin pankki- ja maksutilien valvontajärjestelmään kuuluvista tiedonhakujärjestelmistä, joiden avulla sekä luovutetaan että vastaanotetaan pankki- ja maksutilin ja tallelokeroiden asiakkuustietoja ja tilin saldo- ja tilitapahtumatietoja. Pykälän 1 momentti vastaisi sisällöltään voimassaolevan lain 4 §:n 1 momenttia eli siinä säädettäisiin luottolaitoksille velvollisuus ylläpitää sähköistä pankki- ja maksutilien tiedonhakujärjestelmää, jonka avulla niiden tulee luovuttaa ehdotetun lain 2 ja 3 luvussa tarkoitettuja tietoja asiakkaidensa pankki- ja maksutileistä ja niiden saldo- ja tilitapahtumista toimivaltaiselle viranomaiselle. Koska yhtä ja samaa pankki- ja maksutilien tiedonhakujärjestelmää käytettäisiin myös ehdotuksen mukaisesti saldo- ja tilitapahtumatietojen luovuttamiseen voimassaolevassa laissa säädetyn pankkitilitietojen luovuttamisen lisäksi, on tarkoituksenmukaisempaa siirtää säädös pankki- ja maksutilien tiedonhakujärjestelmän ylläpitovelvoitteesta yleisiin säädöksiin. Siirrettävä momentti pitää sisällään myös mahdollisuuden poiketa tiedonhakujärjestelmän ylläpitovelvoitteesta, jos se on luottolaitoksen koko sekä toiminnan luonne ja laajuus huomioon ottaen perusteltua ja jos Finanssivalvonta myöntää sille luvan. Jos kyseessä on kooltaan esimerkiksi pieneen maksulaitokseen rinnastettava luottolaitos, se saisi valita 2 luvun mukaisten tilitietojen toimittamisen tiedonhakujärjestelmän tai tilirekisterin kautta. Ehdotuksen mukaisesti ne toimijat, jotka toimittaisivat 2 luvun mukaiset tilitiedot tilirekisteriin, luovuttaisivat 3 luvun mukaiset saldo- ja tilitapahtumatiedot sekä arvopapereihin liittyvät tiedot siinä tapauksessa Tullin rakentaman tiedonluovutusjärjestelmän avulla.
Pykälän 2 momentti vastaisi sisällöltään voimassaolevan lain 6 §:n 1 momentin toista säädöstä teknisiä viittaussäädöksiä lukuun ottamatta. Sen mukaisesti maksulaitokset, sähkörahayhteisöt ja kryptovarapalvelujen tarjoajat voivat myös halutessaan ylläpitää tiedonhakujärjestelmää 2 luvun mukaisten tilitietojen toimittamiseksi tilirekisteriin toimittamiensa tietojen sijaan. Mikäli edellä mainitut finanssitoimijat olisivat oma-aloitteisesti perustaneet tiedonhakujärjestelmän, niillä olisi ehdotuksen mukaisesti jäljempänäpä 4.1.2 luvussa kuvatulla tavalla velvollisuus toimittaa toimivaltaisille viranomaisille tiedonhakujärjestelmää hyödyntäen myös 3 luvun mukaiset tilin saldo- ja tilitapahtumatiedot sekä arvopapereihin liittyvät tiedot 2 luvun mukaisten tilitietojen lisäksi.
Pykälän 3 momentissa säädettäisiin rajoituksista rekisteröidyn oikeuksiin. Ehdotuksen mukaisesti myös tiedonluovuttajien tulisi pitää 17 h §:n mukaista lokirekisteriä keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmään kuuluvista tietopyynnöistä. Pykälässä säädettäisiin, että poiketen siitä, mitä säädetään yleisen tietosuoja-asetuksen 15 artiklassa rekisteröidyn oikeudesta saada pääsy hänestä kerättyihin tietoihin, oikeutta lokirekisterin tietoihin ei ole, kun tietoja käsitellään sähköisellä pankki- ja maksutilien tiedonhakujärjestelmällä. Momentissa säädettäisiin, että tietosuojalain 34 §:n mukaisesti tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut tiedot on kuitenkin annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä.
Tietosuoja-asetuksen 23 artiklassa säädetään, että rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa. Artiklassa on asetettu edellytykseksi, että kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja että se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide artiklan 1 kohdassa mainittujen seikkojen varmistamiseksi. Ehdotettu rajoitus perustuu 23 artiklan 1 kohdan a-e sekä h alakohtaan eli oikeutta ei olisi jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta, yleistä turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä. Artiklan mukaan rajoitus olisi perustelua myös jos muu unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva tai edellä mainittuihin tehtäviin liittyvä valvonta-, tarkastus- tai sääntelytehtävä voisi vahingoittua. Koska pankki- ja maksutilien valvontajärjestelmän toimivaltaisten viranomaisten tehtävät koskevat edellä mainittuja tehtäviä, ehdotettua rajoitusta voidaan pitää välttämättömänä ja oikeasuhtaisena toimenpiteenä.
Mikäli rekisteröidyn oikeuksia ei lokirekisterin osalta rajoitettaisi, kuuluisi tälle oikeus saada rekisterinpitäjältä tietoja esimerkiksi siitä, onko viranomainen tehnyt hakuja häntä koskeviin tilitapahtumatietoihin ja mitä tarkoitusta varten. Tämä voisi vahingoittaa keskeneräisen tutkinnan tai vaarantaa esimerkiksi varojen takaisinsaamista. Tietosuoja-asetuksen 15 artiklan 2 kohdan mukaan rekisteröidyllä tulisi olla oikeus saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen. Koska tässä tapauksessa jo pelkkä tieto viranomaisen tekemästä kyselystä voisi vaarantaa esimerkiksi varojen takaisinsaannin ja keskeneräisen tutkinnan, tiedonluovuttajalla ei olisi oikeutta kertoa rajoituksen syytä. Suojatoimena rekisteröidyn oikeuksien rajoittamiseen nähden säädettäisiin kuitenkin välillisen tarkastusoikeuden hyödyntämisestä. Välillisestä tarkastusoikeudesta säädetään tietosuojalain 34 §:ssä. Tietosuojavaltuutetulla olisi tietosuojaa koskevan sääntelyn nojalla kuitenkin oikeus rekisteröidyn pyynnöstä tarkistaa henkilötietojen käsittelyn lainmukaisuus. Tietosuojalain 34 §:n mukaan, jos rekisteröidyllä ei ole oikeutta tutustua hänestä kerättyihin tietoihin, tietosuoja-asetuksen 15 artiklan 1 kohdassa tarkoitetut tiedot on annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä.
Pykälän 4 momentissa säädettäisiin viranomaisen velvollisuudesta ylläpitää omaa sähköistä tiedonhakujärjestelmää, jonka kautta se voi pyytää ja vastaanottaa ehdotetun lain mukaisia tilin omistaja-, saldo- ja tilitapahtumatietoja. Pankki- ja maksutilien valvontajärjestelmä perustuu viranomaisten oikeuteen saada pankkitietoja tiettyä, yksittäistä valvonta-, tutkinta- tai muuta viranomaistehtävää varten. Viranomaisen järjestelmä on siten koko tiedonkäsittelyn alkupiste. Viranomaisen tekemä kysely käynnistää tiedonkäsittelyn pankki- ja maksutilien valvontajärjestelmässä eikä tiedonkäsittelyä siten olisi ilman viranomaisen tekemää kyselyä. Viranomainen myös hakee itse saamansa tiedon koostavasta sovelluksesta oman tiedonhakujärjestelmänsä avulla eli koostavalla sovelluksella ei ole pääsyä viranomaisen tiedonhakujärjestelmään. Vaikka tiedonvälitys tapahtuu hyvin nopeasti ja erityisesti 2 luvun mukaisen automaattisen tilitietojärjestelmän käytön osalta jopa lähes reaaliaikaisesti, viranomainen vastaa itse pyydetyn tiedon lopullisesta saamisesta. Viranomaisen tiedonhakujärjestelmällä tarkoitetaan käytännössä tiedonhakua mahdollistavaa kyselypohjaista rajapintaa eikä kyseessä ole siten varsinainen tietojärjestelmä. Viranomaiset rakentavat rajapinnan koostavaan sovelluksen. Jokainen viranomainen voi toteuttaa omanlaisensa rajapinnan, joka sopii Tullin antamaan määräykseen ja sen omiin järjestelmiin ja arkkitehtuuriin. Tiedonhakujärjestelmä voi myös liittyä viranomaisen olemassa olevaan tieto- tai arkistointijärjestelmään.
Pykälän 4 momentissa säädettäisiin lisäksi viranomaisen velvollisuudesta määritellä tietopyynnössään, kohdentuuko sen tekemä tietopyyntö 2 luvun mukaisiin keskitetyn automatisoidun tilitietojärjestelmän tietoihin vai 3 luvun mukaisiin keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän tietoihin. Velvoittamalla viranomainen kohdentamaan tietopyyntönsä siihen pankki- ja maksutilien valvontajärjestelmän toiminnallisuuteen, johon pyyntö kohdistuu, varmistetaan että tietopyynnön käsittely toteutuu säädetyllä tavalla. Keskitetty automatisoitu tilitietojärjestelmä ja keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä eroavat tiedon käsittelytavaltaan toisistaan edellä 4.1 kappaleessa kerrotun mukaisesti. Siinä missä automatisoidun tilitietojärjestelmän tiedon käsittely on välitöntä ja automaattista, keskitetyn saldo- ja tilitapahtumajärjestelmän toiminnallisuus poikkeaisi automatisoidun järjestelmän välittömyydestä siten, että tietopyyntöjen käsittelylle tiedonluovuttajassa annettaisiin kohtuullinen määräaika. Tiedon luovuttajalla olisi siten mahdollisuus arvioida tiedon luovutuksen perusteita saamansa pyynnön perusteella ja myös mahdollisuus kieltäytyä tiedon luovutuksesta. Velvoite pyynnön kohdistamisesta vahvistaa rekisteröidyn oikeusturvaa erityisesti arkaluonteisia tietoja sisältävien tilitapahtumatietojen käsittelyssä. Se, että pyyntö kohdennetaan vain siihen tiedonluovuttajaan, josta viranomainen tarvitsee tietoa, minimoi henkilötietojen suojalle aiheutuvia riskejä. Velvoitteella luotaisiin osaltaan sisäänrakennettua ja oletusarvoista tietosuojaa, jota täydennettäisiin 17 e §:n mukaisilla vaatimuksilla tietopyynnön sisällöstä. Tietosuoja-asetuksen 25 artiklan mukaisesti rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Tämä velvollisuus koskee kerättyjen henkilötietojen määriä, käsittelyn laajuutta, säilytysaikaa ja saatavilla oloa. Näiden toimenpiteiden avulla on varmistettava etenkin se, että henkilötietoja oletusarvoisesti ei saateta rajoittamattoman henkilömäärän saataville ilman luonnollisen henkilön myötävaikutusta.
Pykälän 5 momentin mukaan Tulli valvoisi 1 momentissa ja 4 §:n 2 momentissa tarkoitettujen velvoitteiden noudattamista sekä antaisi määräyksen tiedonhakujärjestelmien teknisistä vaatimuksista. Ehdotettu momentti vastaisi sisällöltään nykyisen lain 4 §:n 5 momenttia, mutta siitä poistettaisiin määritelmä pankki- ja maksutilien tiedonhakujärjestelmästä, jolloin myös viranomaisen tiedonhakujärjestelmää koskevien teknisten vaatimusten antaminen lisättäisiin Tullin tehtäväksi. Tulli on 26.10.2022 antanut määräyksen tiedonhakujärjestelmien kyselyrajapinnasta sekä ohjeistuksen sen toteuttamiseen liittyen. Kukin tiedonhakujärjestelmän toteuttava luottolaitos tai muu tiedonluovuttaja toteuttaa määräyksen mukaisen tiedonhakujärjestelmän, joka sopii sen omiin järjestelmiin ja arkkitehtuuriin, ja jolla tietoa pystyy välittämään järjestelmästä Tullin koostavan sovelluksen määräyksen mukaisesti. Tullilla on voimassaolevan lain 4 §:n 5 momentin mukaan valvontavastuu siitä, että luottolaitokset rakentavat ja ylläpitävät sähköistä pankki- ja maksutilien tiedonhakujärjestelmää, jonka avulla ne voivat toimittaa viranomaisille tietoa asiakkaidensa pankki- ja maksutileistä. Kyseinen momentti nähdään tarkoituksenmukaisemmaksi siirtää uuteen tiedonhakujärjestelmiä kuvaavaan pykälään, sillä pankki- ja maksutilien tiedonhakujärjestelmän käyttöä ehdotetaan laajennettavaksi tilin omistajatietojen luovuttamisesta myös saldo- ja tilitapahtumatietojen luovuttamiseen. Pykälän siirtämisen vuoksi viittaukset korjataan vastaamaan ehdotetun lain mukaista järjestystä. Sisällöllisesti voimassaolevaa valvontavastuuta koskevaa säännöstä ei ehdoteta muutettavaksi.
1 e §. Tiedonluovutusjärjestelmä.
Lakiin ehdotetaan lisättäväksi uusi 1 e §, jossa säädettäisiin Tullin ylläpitämästä tiedonluovutusjärjestelmästä. Kyseessä olisi tiedonluovutustapa, jonka avulla ne 1 a §:ssä tarkoitetut toimijat, jotka eivät ole rakentaneet pankki- ja maksutilien tiedonhakujärjestelmää, luovuttaisivat saldo- ja tilitapahtumatietoja sekä arvopapereihin liittyviä tietoja toimivaltaisille viranomaisille. Koska pankki- ja maksutilien tilirekisteri, jonne edellä mainitut toimijat toimittavat asiakkaidensa tilin asiakkuuteen liittyviä tietoja säännöllisin väliajoin, on yhdensuuntainen rekisteri, sieltä ei ole rajapintaa sinne tietoa toimittaviin toimijoihin. Siten Tulli ei voi välittää saldo- ja tilitapahtumakyselyjä suoraan noille toimijoille eikä vastaanottaa tietoa suoraan noilta toimijoilta vaan Tulli toteuttaisi tietoturvallisen ratkaisun, tiedonluovutusjärjestelmän, jolla tilirekisteriin 2 luvun mukaisia tilitietoja toimittavat toimijat luovuttaisivat 3 luvun mukaiset tiedot Tullin koostavan sovelluksen avulla viranomaisille.
Pykälän toisessa momentissa säädettäisiin Tullille velvollisuus antaa teknisiä määräyksiä siitä, millä tavoin tiedot tulee toimittaa tiedonluovutusjärjestelmään. Voimassaolevassa laissa säädetään sekä tiedonhakujärjestelmän että tilirekisteriin tallennettavien tietojen osalta teknisten määräysten antamisesta, joten myös ehdotetun uuden tiedonluovutusjärjestelmän osalta nähdään tarpeellisena lisätä kyseinen määräys. Vaatimuksia asetettaessa tulisi ottaa huomioon muun muassa ISO 20022 - standardiin perustuvat rakenteelliset ja sisällölliset ratkaisut sekä osapuolten olemassa olevat erilaiset tekniset ratkaisut.
1 f §. Tietojen maksuttomuus.
Lakiin ehdotetaan lisättäväksi uusi 1 f §, joka korvaisi voimassaolevan lain kumottavaksi ehdotetun 8 §:n sisällön siten, että ehdotettuun pykälään lisättäisiin Tullin oikeus saada maksutta tiedot pankki- ja maksutilirekisteriin tallennettavien tietojen lisäksi myös tiedot pankki- ja maksutilien tiedonhakujärjestelmistä.
Voimassaolevassa laissa säädetään pankki- ja maksutilirekisteritietojen luovutuksen maksuttomuudesta -Tullin luovuttamista tiedoista ei peritä maksuja. Säädöksen sisältö ehdotetaan muutettavaksi tiedonsaannin maksuttomuudeksi. Pykälän toisessa momentissa säädettäisiin toimivaltaisten viranomaisten oikeus saada maksutta tietoja pankki- ja maksutilirekisterin lisäksi myös pankki- ja maksutilien tiedonhakujärjestelmistä. Koska pankki- ja maksutilien valvontajärjestelmä pitää sisällään sekä tilirekisteristä että pankki- ja maksutilien tiedonhakujärjestelmästä saatavat tiedot, on tarkoituksenmukaisempaa säätää viranomaisen oikeudesta saada maksutta tietoa kokonaisuudessaan pankki- ja maksutilien valvontajärjestelmästä.
2 §.Määritelmät
. Pykälän kohtaa 1 muutettaisiin niin, että korvattaisiin kohdassa olevan viittauspykälä 4 §:n 1 momentista 1 d §:ksi, johon ehdotetun mukainen poikkeuslupasäännös lisätään.
Pykälän kohtaa 2 täydennettäisiin siten, että lisättäisiin määritykseen luottolaitosten lisäksi mahdolliset muut pankki- ja maksutilien tiedonhakujärjestelmän luoneet toimijat. Lisäksi tarkennettaisiin voimassa olevan lain sanamuotoa lisäämällä määritykseen ehdotetun lain 3 luvun mukaiset saldo- ja tilitapahtumatiedot ja arvopaperitiedot ja tehtäisiin yksi kielellinen tarkennus.
Pykälän kohtaan 3 lisättäisiin ehdotetun saldo- ja tilitapahtumajärjestelmän käyttöön oikeutetut viranomaiset, jotka on määritelty 17 a ja 17 c §: ssä.
Lisäksi pykälän kohtaa 11 ehdotetaan muutettavaksi siten, että lisätään siihen tarkennus välitettävien tietojen sisällöstä. Koska koostava sovellus on osa pankki- ja maksutilien valvontajärjestelmää, on lisäksi tarpeen korjata voimassa olevan lain määritelmän sanamuotoa. Koostava sovellus välittäisi siten pankki- ja maksutilitietoja, tallelokerotietoja, saldo- ja tilitapahtumatietoja sekä arvopaperitietoja pankki- ja maksutilien valvontajärjestelmän avulla. Ehdotuksen mukaisesti saldo- ja tilitapahtumatiedot välitetään samalla koostavalla sovelluksella kuin voimassaolevan lain mukaiset pankki- ja maksutilien omistajatiedotkin. Tietojen välittämistapa eroaa kuitenkin toisistaan siinä missä tilin omistajatietoja koskevan kyselyn osalta Tullin koostava sovellus ei välitä viranomaisen kyselyä sellaisenaan eteenpäin vaan pseudonymisoi osan kyselyn tiedoista niin, ettei tiedonluovuttajalle välitetä kaikkia kyselyn taustatietoja. Saldo- ja tilitapahtumatietoja koskevissa kyselyissä sen sijaan koostava sovellus välittää tietoja enemmän, jotta luotto- ja maksulaitoksella olisi mahdollisuus tosiasiallisesti arvioida kyselyn oikeasuhtaisuutta ja tarpeen tullen kysyä lisätietoa kyselyn tehneeltä viranomaiselta. Tarkemmin kyselyiden eroja on avattu pykälän 1 §:n perusteluissa.
Lisäksi ehdotetaan lisättäväksi uusi kohta 12
keskitetty automatisoitu tilitietojärjestelmä,
jolla tarkoitetaan viidennen rahanpesudirektiivin - ja voimassaolevan lain mukaista tilin omistajatietoja koskevaa tiedonkäsittelyä. Uudella määritelmällä halutaan selkeyttää lain sisältöä ja havainnollistaa paremmin ehdotetun lain kahta erilaista tiedonkäsittelytapaa. Keskitetty automatisoitu tilitietojärjestelmä pitäisi sisällään voimassaolevan lain mukaisen tiedonkäsittelyn eli välittömän tilin omistajatietojen saamisen. Viidennen rahanpesudirektiivin 32 a artiklassa on edellytetty, että jäsenvaltioiden on otettava käyttöön keskitettyjä automatisoituja mekanismeja, kuten keskitettyjä rekistereitä tai keskitettyjä sähköisiä tietojenhakujärjestelmiä, joiden avulla voidaan ajallaan tunnistaa mikä tahansa luonnollinen henkilö tai oikeushenkilö, joka on niiden alueella toimivassa luottolaitoksessa olevan IBAN-tunnisteisen maksutilin ja pankkitilin, sekä tallelokeron haltija tai jolla on määräysvalta tällaiseen tiliin tai tallelokeroon.
Pykälään ehdotetaan lisättäväksi uusi kohta 13
keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä
, jolla kuvataan pankki- ja maksutilien valvontajärjestelmään lisättäviksi ehdotettujen saldo- ja tilitapahtumatiedustelujen käsittelytapaa. Uudella määritelmällä selvennettäisiin saldo- ja tilitapahtumatietoja koskevien tiedustelujen käsittelyeroa voimassaolevan lain mukaisesta välittömästä tilin omistajatietoja koskevien tiedustelujen käsittelytavasta. Pankki- ja maksutilien valvontajärjestelmä on ehdotetun lain mukaisesti kattojärjestelmä, jonka alla on kaksi eri oikeusperustaan ja erilaiseen tiedonkäsittelytapaan nojaavaa toiminnallisuutta. Ne välittävät eri tietosisältöä, mutta tiedon käsittely toteutetaan molemmissa toiminnallisuuksissa samojen tiedonhakujärjestelmien ja koostavan sovelluksen avulla.
Pykälään ehdotetaan lisättäväksi uusi kohta 14, jolla selvennetään mitä ehdotetussa laissa tarkoitetaan
saldo
lla. Saldolla tarkoitettaisiin pankki- ja maksutilillä saldotietoa koskevan kyselyn vastaushetkellä olevaa rahamäärää, jota viranomaisella olisi mahdollisuus kysyä tarvitsemansa yksittäisen viranomaistehtävänsä hoitamiseksi pankki- ja maksutilien valvontajärjestelmän avulla. Tilin saldosta tulisi olla vähennetty mahdollinen katevaraus. Koska tiedonluovuttajan tulisi vastata saldotietoa koskevaan kyselyyn viipymättä, mutta viimeistään seuraavan pankkipäivän kuluessa, tilin saldo voi vaihdella viranomaisen tekemän kyselyn ja tiedonluovuttajan antaman vastausajankohdan välissä. Tiedonluovuttajan tulisi antaa tilin saldo aina vastausajankohdan mukaisesti.
Pykälään ehdotetaan lisättäväksi uusi 15 kohta
tilitapahtumatiedot
, jolla tarkoitetaan rahoitustietodirektiivin 2024/1654 1 artiklan 2 b kohdan 7 a alakohdassa tarkoitettuja yksityiskohtaisia tietoja toimista, jotka on suoritettu tiettynä ajanjaksona tietyn maksutilin tai IBAN-tilinumerolla yksilöidyn pankkitilin kautta, tai yksityiskohtaisia tietoja kryptovarojen siirroista
.
Rahoitustietodirektiivissä säädetään, että luotto- ja maksulaitokset velvoitetaan EU-tasolla toimittamaan tilitapahtumatiedot komission määräämässä sähköisessä jäsennellyssä muodossa toimivaltaisille lainvalvontaviranomaisille. Käytännössä sähköisen jäsennellyn muodon mallina on pidetty ISO20022-sanomaa. Keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän tilitapahtumatietokyselyn sisältö noudattaisi samaa ISO20022-sanomarakennetta, joten tilitapahtumatiedoiksi katsotaan kaikki sanomarakenteen mukaiset tunnistetiedot; esimerkiksi tapahtuman tunnistenumero, sen päivämäärä ja aika, maksun vastaanottajan tai suorituksen lähettäjän nimi ja tilinumero sekä kaikki maksuun liittyvät viite- tai viestitiedot. Hyödyntämällä kansallisesti samaa teknistä muotoa tilitapahtumatietokyselyissä kuin mitä rahoitustietodirektiivin mukaisesti viranomaisten tulee noudattaa rajat ylittävissä tietopyynnöissä, edesautetaan rahoitustietodirektiivin kansallista implementointia.
Pykälään ehdotetaan lisättäväksi uusi 16 kohta
arvopaperitiedot
, jolla tarkoitetaan arvo-osuustililain (827/1991) 2 §n mukaisia tietoja arvo-osuustilille kirjatuista arvo-osuuksien lajista ja lukumäärästä ja mahdollisia niihin kohdistuvista oikeuksista ja rajoitteista. Arvo-osuus tarkoittaa arvo-osuusjärjestelmästä ja selvitystoiminnasta annetun lain (348/2017) 3 §:n 1 kohdan mukaisesti sellaista arvopaperimarkkinalain (746/2012) 2 luvun 1 §:ssä mainittua osaketta, osuutta tai muuta oikeutta, sijoituspalvelulain (747/2012) 1 luvun 14 §:ssä tarkoitettua muuta rahoitusvälinettä tai siihen rinnastettavaa oikeutta taikka muuta arvopaperia, joka on liitetty arvo-osuusjärjestelmään. Arvo-osuustili on siten arvopapereiden säilyttämiseen tarkoitettu tili, jossa säilytetään erilaisia sähköisiä arvopapereita. Kuudennessa rahanpesudirektiivissä asetetaan jäsenmaille velvoite saattaa arvopaperitilin tunniste ja tilin avaamis- ja lopetuspäivä keskitetyn automatisoidun mekanismin kautta saataville. Kuudennessa rahanpesudirektiivissä arvopaperitilillä tarkoitetaan 2 artiklan 10 kohdan mukaisesti arvopaperitoimituksen parantamisesta Euroopan unionissa sekä arvopaperikeskuksista ja direktiivien 98/26/EY ja 2014/65/EU sekä asetuksen (EU) N:o 236/2012 muuttamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 909/2014 2 artiklan 1 kohdan 28 alakohdassa määriteltyä arvopaperitiliä. Mainitussa asetuksessa arvopaperitilillä tarkoitetaan tiliä, jolle arvopapereita koskevat hyvitys- ja veloitusmerkinnät tehdään. Kansallisesti tällä tarkoitetaan arvo-osuustililaissa (827/1991) tarkoitettua arvo-osuustiliä. Kuudennen rahanpesudirektiivin velvoite arvopaperitilin tunnistetietojen välittämisestä keskitetyn automatisoidun mekanismin kautta tulee kansallisesti implementoida 10.7.2027 mennessä. Koska tietopyyntöä arvo-osuustileillä olevista arvo-osuuksista ei voida kohdentaa oikealle arvo-osuustilille ennen kuin arvo-osuustilin tunnistetiedot on saatavilla keskitetyn automatisoidun mekanismin eli pankki- ja maksutilien keskitetyn automatisoidun tilitietojärjestelmän kautta, ehdotettua 17 d §:n 2 momenttia sovellettaisiin vasta 10.7.2027 alkaen.
2 luku
Keskitetty automatisoitu tilitietojärjestelmä
Lakiehdotuksen 2 luku pitäisi sisällään pitkälti voimassaolevan lain sisällön eli se koskisi viidennen rahanpesudirektiivin mukaista tilin omistajuustietoja koskevaa automatisoitua ratkaisua tilin omistajatietojen käsittelyyn. Koska ehdotetulla sääntelyllä pankki- ja maksutilien valvontajärjestelmään muodostettaisiin kokonaan uusi 3 luvun mukainen käyttötapa, keskitetty saldo- ja tilitapahtumatietojen kyselyjärjestelmä, voimassa olevan lain mukaisesta sääntelystä muodostettaisiin ehdotetun lain 2 luvun mukainen tilin omistajatietojen käsittelyä kuvaava toiminnallisuus. Tämä toiminnallisuus nimettäisiin keskitetyksi automatisoiduksi tilitietojärjestelmäksi. Siten ehdotuksen 2 luku käsittää sisällöllisesti voimassaolevan lain mukaista sääntelyä kuvaavat 3–17 §:t.
3 §. Keskitettyä automatisoitua tilitietojärjestelmää käyttävät viranomaiset.
Pykälään otsikko muutettaisiin kuvaamaan 2 luvun mukaisesti automatisoidun tilitietojärjestelmän käyttäjiä. Koska pankki- ja maksutilien valvontajärjestelmä muodostuisi ehdotuksen mukaisesti kahdesta toiminnallisuudesta, joiden oikeusperusta ja tiedon käyttötarkoitus eroavat toisistaan, niitä käyttävät viranomaiset tulisi säätää erikseen. Kun voimassaolevan lain mukaisesta sääntelystä muodostettaisiin ehdotetun lain 2 luvun mukainen keskitetty automatisoitu tilitietojärjestelmä, lisättäisiin pykälän otsikkoon tarkennus mitä pankki- ja maksutilien valvontajärjestelmän osaa pykälän mukaiset viranomaiset ovat oikeutettuja käyttämään. Ehdotetulla lailla ei muutettaisi voimassaolevan lain toimivaltapykäliä.
Lisäksi eriytettäisiin Rajavartiolaitoksen toimivaltapykälä omaksi 10 kohdakseen pois voimassaolevan lain mukaisesta 7 pykälästä, jossa Rajavartiolaitoksen toimivaltuudet on yhdistetty poliisin toimivaltapykälien kanssa. Ehdotetulla muutoksella omaksi toimivaltapykäläksi korjattaisiin Rajavartiolaitoksen toimivaltapykälät vastaamaan sen tehtäviä. Voimassaolevan lain mukaan, jossa poliisin ja rajavartiolaitoksen tehtävät on ryhmitelty saman 7 kohdan alle, rajavartiolaitoksella on kansallisen turvallisuuden ylläpitämistä koskeva tehtävä. Kyseinen tehtävä ei kuulu rajavartiolaitokselle, vaan rajavartiolaitoksen toimivaltuus koskee rikosten ennalta estämistä, paljastamista ja selvittämistä sekä syyteharkintaan saattamista rikostorjunnasta Rajavartiolaitoksessa annetun lain (108/2018) mukaisesti. Rajavartiolaitoksen uudesta toimivaltapykälästä johtuen tehtäisiin lisäksi tekninen muutos myös Finanssivalvonnan tiedonsaantipykälän merkintään.
Lisäksi Puolustusvoimien toimivaltapykälää koskevaa 8 kohtaa ehdotetaan muutettavaksi siten, että sotilaskurinpidosta ja rikostorjunnasta puolustusvoimissa annettu laki (255/2014) korvattaisiin 1.12.2025 voimaantulevalla uudella sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetulla lailla (89/2025). Pykälän 8 kohdan mukaan Puolustusvoimilla olisi oikeus päästä pankki- ja maksutilien valvontajärjestelmään 4 §:n mukaisesti luovutettaviin ja 6 §:n mukaisesti tallennettuihin tietoihin, jos se on välttämätöntä seuraavien tehtävien suorittamiseksi ja viranomaisella on muualla laissa säädetty oikeus saada edellä mainitut tiedot. Puolustusvoimien oikeus tietoihin perustuisi sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetussa laissa (89/2025) tarkoitettuun rikosten estämiseen, paljastamiseen ja selvittämiseen sekä sotilastiedustelusta annetun lain 104 §:ssä säädetyn mukaisesti.
3 a §. Toimivaltaisten viranomaisten pääsy keskitetyn automatisoidun tilitietojärjestelmän tietoihin ja niitä koskevien hakujen tekemistä koskevat edellytykset.
Pykälään otsikkoon lisättäisiin tarkennus keskitetystä automatisoidusta tilitietojärjestelmästä. Ehdotetulla muutoksella selkeytettäisiin pankki- ja maksutilien valvontajärjestelmän toimivaltasäännöksiä sen sisältäessä ehdotuksen mukaisesti kaksi erillistä ja eri toimivaltasäännöksiin perustuvaa toiminnallisuutta.
4 §. Pankki- ja maksutilien tiedonhakujärjestelmästä luovutettavat pankki- ja maksutilitiedot.
Voimassaolevaa pykälää ehdotetaan muutettavaksi siten, että lisätään otsikkoon tarkennus luovutettavista pankki- ja maksutilitiedoista. Koska ehdotetun lain mukaisesti pankki- ja maksutilien tiedonhakujärjestelmän kautta luovutetaan myös muita kuin voimassaolevassa pykälässä mainittuja tietoja, on tarkoituksenmukaista kertoa, että kyseinen pykälä sisältää säännöksen nimenomaan viidennen rahanpesudirektiivin mukaisista pankki- ja maksutilitiedoista. Lisäksi tehtäisiin kielellinen korjaus luovuttamiseen liittyvän sanan muotoiluun.
Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että voimassaolevan pykälän 1 momentin mukainen velvoite ylläpitää sähköistä pankki- ja maksutilien tiedonhakujärjestelmää sekä velvoitteen poikkeusperuste ehdotetaan poistettavaksi ja lisättäväksi 1 d §: ään. Pykälän 1 momentti sisältäisi siten pelkästään voimassaolevan lain 1 momentista velvoitteen toimittaa 2 momentissa eritellyt tiedot asiakkaidensa pankki- ja maksutileistä toimivaltaiselle viranomaiselle. Tietojen toimittaminen tulee olla voimassaolevan lain mukaisesti välitöntä ja tiedot tulee toimittaa salassapitosäännösten estämättä. Edellytys tiedon luovuttamisesta välittömästi tarkoittaisi sitä, että tiedot pystyttäisiin luovuttamaan teknisen yhteyden kautta heti, kun tietopyyntö on tullut ja tiedot on sähköisesti kerätty.
Pykälän 2 momentin 1 kohtaa ehdotetaan muutettavaksi liittyen tilinhaltijaan ja käyttöoikeuden haltijaan niin, että myös edellä mainittujen osalta tulisi luovuttaa asiakkuuden ja käyttöoikeuden alkamis- ja päättymispäivä, sillä asiasta on voimassaolevassa laissa säädetty ainoastaan oikeushenkilöiden osalta. Asiakkuuden alkamis- ja päättymispäivä ovat tarpeellisia tietoja myös muiden kuin oikeushenkilöiden osalta. Pankki- ja maksutilirekisterin osalta on säädetty velvollisuus luovuttaa asiakkaasta asiakkuuden alkamis- ja päättymispäivää koskevat tiedot. Siten velvollisuudesta luovuttaa tiedot tulisi säätää tiedonhakujärjestelmän osalta tilirekisteriä vastaavalla tavalla. Tilin käyttöoikeudenhaltijaa koskevat tiedot ovat kuudennen rahanpesudirektiivin 16 artiklan 3 kohdassa tarkoitettuja tietoja, joiden on oltava saatavilla jäsenvaltioiden keskitettyjen pankkitilirekisterien kautta siten, että niihin voidaan tehdä hakuja. Tilin käyttöoikeudenhaltija on asiakas, joka toimii omaksi hyödykseen, mutta tilinhaltijan lukuun. Käyttöoikeudenhaltija ei aina kuitenkaan ole luotto- tai maksulaitoksen asiakas. Tämän vuoksi käyttöoikeudenhaltijan osalta merkityksellinen tieto ei ole asiakkuuden alkamis- ja päättymispäivä, vaan tilin käyttöoikeuden alkamis- ja päättymispäivä. Kuudennen rahanpesudirektiivin 16 artiklan 3 kohdan mukaan myös tilin käyttöoikeuden alkamis ja mahdollinen päättymispäivä tulee olla välittömästi ja suodattamattomina saatavilla keskitettyjen pankkitilirekisterien kautta.
Lisäksi 2 momentin 1 kohtaa ehdotetaan muutettavaksi siten, että viittaus käyttöoikeudenhaltijaan koskisi tiliä eikä tilihaltijaa kuten voimassa olevassa laissa on säädetty. Voimassaolevan lain sanamuoto on aiheuttanut tulkintaepäselvyyksiä, jonka takia se tulisi korjata vastaamaan rahanpesudirektiivin mukaista tilin käyttöoikeudenhaltijaa. Samantapainen muutos ehdotetaan tehtäväksi 2 momentin 4 kohtaan, jossa korjataan viittaus käyttöoikeutettuun koskemaan tallelokeroa eikä tallelokeron vuokraajaan.
6 §. Pankki- ja maksutilirekisteriin tallennettavat tiedot.
Pykälää ehdotetaan muutettavaksi 1 momentin osalta siten, että siihen tehtäisiin tekninen muutos. Koska voimassaolevan lain 4 §:n 1 momentti luottolaitoksen velvoitteesta ylläpitää pankki- ja maksutilien tiedonhakujärjestelmää ehdotetaan siirrettäväksi uuteen 1 d §:ään, muutetaan 1 momentissa oleva viittaus pankki- ja maksutilien tiedonhakujärjestelmään vastaamaan ehdotettua momenttia. Lisäksi 1 momentin osalta tehtäisiin kielellinen muutos luovutusta koskevan sanamuodon osalta.
Lisäksi pykälän 2 momentin 1 kohtaa ehdotetaan muutettavaksi vastaavalla tavalla kuin 4 §:n 2 momentin 1 kohtaa eli viittaus käyttöoikeudenhaltijaan koskisi tiliä eikä tilihaltijaa kuten voimassa olevassa laissa on säädetty. Sama korjaus tehtäisiin myös 3 momentin 1 kohtaan ja 4 kohtaan, jossa korjataan viittaus käyttöoikeutettuun koskemaan tallelokeroa eikä tallelokeron vuokraajaa.
Lisäksi 2 momentin 2 kohtaan ehdotetaan lisättäväksi tilin käyttöoikeuden alkamis- ja päättymispäivä. Voimassa olevan lain 6 §:ssä on säädetty tilirekisteriin tietoja tallentavien tiedonluovuttajien velvoitteesta luovuttaa asiakkaasta asiakkuuden alkamis- ja päättymispäivää koskevat tiedot. Koska tilin käyttöoikeudenhaltija ei aina kuitenkaan ole asiakassuhteessa kyseiseen tiedonluovuttajaan, käyttöoikeudenhaltijan osalta merkityksellinen tieto ei ole asiakkuuden alkamis- ja päättymispäivä, vaan tilin käyttöoikeuden alkamis- ja päättymispäivä. Kuudennen rahanpesudirektiivin 16 artiklan 3 kohdan mukaan myös tilin käyttöoikeuden alkamis ja mahdollinen päättymispäivä tulee olla välittömästi ja suodattamattomina saatavilla keskitettyjen pankkitilirekisterien kautta.
7 §.Tietojen antaminen pankki- ja maksutilirekisteristä
. Pykälän 2 momenttiin tehtäisiin kielellinen korjaus poistamalla asetuksen koko nimi ja korvaamalla se edellä 1 c §:n mainitulla asetuksen lyhytnimikkeellä.
8 §. Keskitettyä automatisoitua tilitietojärjestelmää koskevien tietojen luovuttaminen toimivaltaisille viranomaisille.
Voimassa oleva pykälä ehdotetaan muutettavaksi koskemaan tiedon luovuttamisen perusteita. Ehdotettu pykälä vastaisi sisällöltään voimassaolevan lain 7 a §:n 2 momenttia ja 3 momentin toista virkettä. Voimassaolevan lain 7 a § ehdotetaan kumottavaksi ja sen 1 ja 4 momentti sekä 3 momentin ensimmäinen virke siirretään ehdotuksen mukaisesti 1 c §:ään muun pykälän sisällön siirtyessä 8 §:ään. Lisäksi siirrettävän 7 a §:n 2 momenttiin tehtäisiin kielellinen korjaus viranomaisen käsitteeseen liittyen.
9 §. Tietojen poistaminen pankki- ja maksutilirekisteristä.
Voimassaolevan pykälän otsikkoon lisättäisiin pankki- ja maksutilirekisteri. Ehdotetulla muutoksella tarkennettaisiin pykälän sisältöä.
10 §. Lokitiedot.
Voimassaolevaa pykälän 1 momenttia ehdotetaan muutettavaksi siten, että korvataan Tullin velvoite ylläpitää lokirekisteriä pankki- ja maksutilien tiedonhakujärjestelmän käytöstä velvoitteella ylläpitää lokirekisteriä keskitetyn automatisoidun tilitietojärjestelmän käytöstä. Pankki- ja maksutilirekisterin käytöstä ylläpidettävän lokirekisterin velvoitetta ei muutettaisi. Lisäksi 1 momenttiin tehtäisiin kielellisiä korjauksia viranomaisen käsitteeseen ja 2 kohdan muotoiluun liittyen.
Pykälän 2 ja 3 momentin sisältö yhdistettäisiin yhdeksi momentiksi siten, että korvattaisiin toimivaltaisten viranomaisten pankki- ja maksutilien tiedonhakujärjestelmän käyttöä koskeva rekisterinpitovelvoite ulottumaan koko automatisoidun tilitietojärjestelmän käyttöön. Hallituksen esityksen 163/2021 vp myötä säädetyn koostavan sovelluksen myötä kaikki viranomaisen tietopyynnöt kulkevat koostavan sovelluksen kautta riippumatta siitä kysyykö viranomainen tietoa pankki- ja maksutilirekisteristä vai pankki- ja maksutilien tiedonhakujärjestelmästä. Siten olisi perusteltua, että viranomainen pitäisi rekisteriä kokonaisuudessaan automatisoidun tilitietojärjestelmän käytöstä. Ehdotetulla muutoksella selkeytettäisiin voimassa olevan lain muotoilua, jossa on ensin 2 momentin mukaisesti säädetty tiedoista, joita lokirekisterissä tulee olla ja vasta sen jälkeen velvollisuudesta pitää lokirekisteriä.
12 §. Rikemaksu.
Pykälää ehdotetaan muutettavaksi vain 1 momentin osalta, johon tehtäisiin tekninen muutos. Koska voimassa olevan lain 4 §:n 1 momentti luottolaitoksen velvoitteesta ylläpitää pankki- ja maksutilien tiedonhakujärjestelmää ehdotetaan siirrettäväksi uuteen 1 d §:n 1 momenttiin, muutetaan 1 momentissa oleva viittaus pankki- ja maksutilien tiedonhakujärjestelmään vastaamaan ehdotettua momenttia.
3 luku
Keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä
Lakiehdotuksen 3 luku sisältäisi saldo- ja tilitapahtumatietojen käsittelyä koskevan toiminnallisuuden, ja se sisältäisi uudet 17 a-17 h §:t.
17 a §.
Saldotietojen luovuttaminen teknisen rajapinnan avulla toimivaltaisille viranomaisille.
Pykälässä säädettäisiin saldotiedon välittämisestä ja luovuttamisesta teknisen rajapinnan avulla saldo- ja tilitapahtumajärjestelmästä toimivaltaisille viranomaisille. Viranomaisten oikeus saada saldotietoja järjestelmän avulla perustuu muussa lainsäädännössä oleviin tiedonsaantioikeuksiin, eikä kyseessä ole siten tiedonsaantioikeutta koskeva säännös. Tiedon luovutuksesta teknisen rajapinnan avulla sähköisestä saldo- ja tilitapahtumajärjestelmästä olisi tarpeen säätää, koska sähköinen tietojen luovuttaminen tapahtuisi yksityiseltä toimijalta viranomaiselle eikä julkisen hallinnon tiedonhallinnasta annetun lain (906/2019) 22 tai 24 § tule siten sovellettavaksi. Jotta myös EU-oikeuden liikkumavaraan liittyvät kysymykset tulisivat huomioiduksi, olisi tietojen luovutustapa sidottava tiettyihin käyttötarkoituksiin, joihin viranomainen voi hyödyntää saldo- ja tilitapahtumajärjestelmää.
Vaikka oikeus saada tietoa rajapinnan avulla määräytyy voimassa olevien tiedonsaantioikeuksien perusteella, sähköistä tiedon luovutustapaa koskeva erityissääntely mahdollistaisi teknisesti uuden tavan käsitellä arkaluonteisia tietoja. Koska kyse on salassa pidettävistä ja arkaluonteisista tiedoista, oikeus tietojen saamiseen keskitetyn järjestelmän avulla sidottaisiin viranomaisen tiedonsaantioikeussäännökseen. Jokaisella viranomaisella on omassa tiedonsaantipykälässään sidottu tiedon saanti joko tarpeellisuusvaatimukseen tai välttämättömyysvaatimukseen. Niilläkin viranomaisilla, joilla tiedonsaantipykälä on sidottu tarpeellisuusvaatimukseen, on erillisessä henkilötietolaissa säädetty, että viranomainen voi käsitellä erityisiä henkilötietoja vain, kun se on välttämätöntä. Sähköiseen saldo- ja tilitapahtumajärjestelmään lisätty välttämättömyyden vaatimus on siten suojatoimi, jolla turvattaisiin arkaluonteisten tietojen käsittelyä. Viranomainen voisi pyytää saldotietoja teknisen rajapinnan avulla, jos saldotiedot olisivat viranomaiselle välttämättömiä yksittäisen, käsiteltävänä olevan viranomaistehtävän ratkaisemista varten. Välttämättömyyden edellytyksiä on käsitelty viranomaiskohtaisesti esityksen 4 luvussa.
Tietosuoja-asetuksen 5 artiklan 1 c kohdan mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Tiedon minimoinniksi kutsutun periaatteen vuoksi ehdotetaan, että saldo- ja tilitapahtumajärjestelmään säädetään kaksi käyttöoikeustasoa. Pääsy keskitettyyn saldo- ja tilitapahtumajärjestelmään ei olisi automaattisesti kaikille yhtä laaja, vaan ne viranomaiset, jotka tarvitsevat esimerkiksi pelkkiä saldotietoja tehtäviensä hoitamiseen, olisivat oikeutettuja vain näihin tietoihin, tai että ne viranomaiset, joiden tiedonsaantioikeudet eivät kata arkaluonteisia henkilötietoja, voisivat kuitenkin hyödyntää saldo- ja tilitapahtumajärjestelmää saldotietojen kysymiseen. Tämän vuoksi sähköisestä saldo- ja tilitapahtumajärjestelmästä olisi mahdollista saada kahdenlaisia tietoja; pelkästään tilin saldoa koskevia tietoja ja laajemman tietosisällön kattavia tilitapahtumatietoja. Vaikka viranomaisella olisi oikeus saada laajemman tietosisällön mukaisia tilitapahtumatietoja, sen tulisi aina tehdä välttämättömyysarviointi ennen kyselyn tekemistä. Myös laajempaan tietosisältöön oikeutettu viranomainen voisi siten hakea keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä esimerkiksi pelkästään tilin saldotietoa, mikäli viranomainen yksittäisessä tehtävässään ei tarvitsisi muita tarkempia tilitapahtumatietoja.
Pykälän 1
kohdan
mukaan poliisilla olisi oikeus saada teknisen rajapinnan avulla saldotietoja keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Poliisin oikeus saada keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä saldotietoja perustuisi poliisilain 4 luvun 3 §:ään ja 5 a luvun 50 §:ään. Poliisin hallinnosta annetun lain (110/1992) 1 §:n säädöskohtaisissa perusteluissa todetaan, että sisäministeriön, Poliisihallituksen, suojelupoliisin ja muiden poliisiyksiköiden toimivaltasuhteet on säädetty täsmällisesti. Tästä huolimatta perustuslakivaliokunta on ottanut lausunnossaan PeVL 53/2024 vp kantaa, että hallituksen esityksessä eduskunnalle laiksi Euroopan unionin jäsenvaltioiden lainvalvontaviranomaisten välisestä tietojenvaihdosta ja eräiksi siihen liittyviksi laeiksi 1. lakiehdotuksen 2 §:n 1 kohdan sääntelyä koskien toimivaltaisista lainvalvontaviranomaisista on syytä täsmentää. Valiokunta huomautti, että säännöksessä viitattua poliisia ei voi poliisin hallinnosta annetun lain 1 §:ssä säädetty huomioon ottaen pitää selkeänä määrittelynä toimivaltaisesta viranomaisesta. Sanotulla epäselvyydellä voi olla erityistä merkitystä sovellettaessa esimerkiksi rekisterinpitäjän velvollisuuksia koskevia säännöksiä. Hallintovaliokunta on mietinnössään (HaVM 25/2024) tehnyt selkoa, että sen saaman selvityksen perusteella käsite on luonut toimivan tietojenvaihdon perustan Suomen toimivaltaisille lainvalvontaviranomaisille. Tietojenvaihtodirektiivissä ei myöskään esitetä muutoksia toimivaltaisen lainvalvontaviranomaisen käsitteeseen. Edellä toteamansa perusteella hallintovaliokunta ei ehdottanut muutosta hallituksen esityksessä ehdotetun toimivaltaisen lainvalvontaviranomaisen määritelmään. Poliisilla tarkoitetaan ehdotuksessa siis sekä Poliisihallituksen alaisia yksiköitä että suojelupoliisia. Poliisin hallinnosta annetun lain 1 §:n 5 momentissa poliisitoimesta Ahvenanmaan maakunnassa säädetään erikseen. On kuitenkin huomioitava, että Ahvenanmaan poliisiin sovelletaan poliisilain pankkitilitietoja koskevia toimivaltuussäännöksiä.
Poliisin tiedonsaantioikeudet on rajattu rikoksen estämiseen tai selvittämiseen tai tärkeään yleiseen tai yksityiseen etuun. Poliisilain 4 luvun 3 §:n mukaan poliisilla on päällystöön kuuluvan poliisimiehen pyynnöstä oikeus saada rikoksen estämiseksi tai selvittämiseksi tarvittavia tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä. Poliisilla on sama oikeus saada poliisilain 6 luvussa tarkoitetussa poliisitutkinnassa tarvittavia tietoja, jos tärkeä yleinen tai yksityinen etu sitä vaatii. Saldotapahtumien saaminen valvontajärjestelmän kautta nykyisen hajanaisen ja osin manuaalisen menettelyn sijaan mahdollistaisi poliisin edellä mainittujen tehtävien suorittamisen tehokkaalla tavalla. Käytännössä poliisissa päätöksen kyseisten tietojen hankkimisesta tekee päällystöön kuuluva poliisimies kussakin yksittäistapauksessa erikseen, jolloin myös päätöksentekotaso on riittävän korkealla. Tietojen hankinnasta tehdään erillinen päätös ja pyyntö.
Kansallisen turvallisuuden ylläpitämistä koskevat pääsyoikeudet tehdä saldotietoja koskevia kyselyjä pankki- ja maksutilien valvontajärjestelmän kautta liittyisivät suojelupoliisin tehtäviin kansallisen turvallisuuden suojaamiseksi, eli siviilitiedustelun suorittamiseksi. Suojelupoliisilla on tiedonsaantioikeudet saldotapahtumiin poliisilain 4 luvun 3 §:n 1 momentin ja 5 a luvun 50 §:n nojalla. Siviilitiedustelun kohteina voi olla muun muassa terrorismi, ulkomainen tiedustelutoiminta, joukkotuhoaseet, yhteiskunnan elintärkeitä toimintoja uhkaava toiminta ja sellainen vieraan valtion toiminta, joka voi aiheuttaa vahinkoa Suomen tärkeille eduille. On huomioitava, että terrorismin rahoittamista koskeva tiedonhankinta kuuluu näin ollen suojelupoliisin tehtäviin myös sen suorittaessa siviilitiedustelua. Pankkitiedustelut liittyvät aina yksittäisen virkatehtävän suorittamiseen ja jokainen pyyntö perustellaan kirjallisesti. Päätöksen tiedustelun tekemisestä tekee päällystöön kuuluva poliisimies, vastaavasti kun silloin kun pyyntö tehdään rikosten estämiseksi. Saldotietoon liittyvän käyttöoikeuden antamisessa suojelupoliisille ei näin ollen ole kyse siitä, että sille perustettaisiin täysin uusi tiedonsaantioikeus, vaan siitä, että muun lain nojalla jo olemassa olevan tiedonsaantioikeuden käyttöä sujuvoitettaisiin. Valvontajärjestelmän käyttöä suojelupoliisin toiminnassa rajaisi se, mitä suojelupoliisin tiedonsaantioikeuksista muualla on säädetty. Poliisilain 5 a luvun 50 § esimerkiksi edellyttää, että pyyntö on tarpeen sellaisen siviilitiedustelun kohteena olevan toiminnan selvittämisessä, joka vakavasti uhkaa kansallisista turvallisuutta. Pyynnön pitää myös voida olettaa olevan merkityksellinen siviilitiedustelun kohteena olevan henkilön tai oikeushenkilön tunnistamiseksi tai tavoittamiseksi tai kyseisen henkilön yhteystietojen tai liikkumisen selvittämiseksi, tiedustelumenetelmän käytön kohdentamiseksi tiettyyn siviilitiedustelun kohteena olevaan henkilöön, tai siviilitiedustelun kohteena olevan henkilön tai oikeushenkilön 3 §:ssä tarkoitettuun toimintaan oletettavasti kytkeytyvän taloudellisen toiminnan selvittämiseksi. Suojelupoliisin toiminnassa tapahtuvan henkilötietojen käsittelyn lain- ja asianmukaisuuden valvonta on erittäin tarkkaa. Sisäisen laillisuusvalvonnan resursseja lisättiin tiedustelulakien voimaantulon yhteydessä voimakkaasti. Lisäksi henkilötietojen käsittelyä valvoo ulkoisena laillisuusvalvojana tietosuojavaltuutettu ja erityisvaltuutettuna toimiva tiedusteluvalvontavaltuutettu sekä ylimmät laillisuusvalvojat.
Pykälän
2 kohdan
mukaan oikeus saldotietoon teknisen rajapinnan avulla keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi myös rahanpesun selvittelykeskuksella. Rahanpesun selvittelykeskuksella olisi oikeus saada tiedot rahanpesun selvittelykeskuksesta annetun lain 4 §:n mukaisesti. Rahanpesun selvittelykeskuksella on oikeus saada viranomaiselta ja julkista tehtävää hoitamaan asetetulta yhteisöltä sekä ilmoitusvelvollisilta rahanpesun ja terrorismin rahoittamisen estämisen ja selvittämisen kannalta välttämättömät tiedot ja asiakirjat maksutta sen estämättä, mitä liikesalaisuutta tai yksilön, yhteisön tai säätiön taloudellisia olosuhteita, taloudellista asemaa tai verotustietoja koskevien tietojen salassapidosta säädetään. Päätöksen salassa pidettävien tietojen hankkimisesta tekee selvittelykeskuksessa työskentelevä päällystöön kuuluva poliisimies. Selvittelykeskuksella on lisäksi oikeus saada maksutta yksityiseltä yhteisöltä, säätiöltä ja henkilöltä selvittelykeskuksessa työskentelevän päällystöön kuuluvan poliisimiehen kirjallisesta pyynnöstä rahanpesun ja terrorismin rahoittamisen estämisen ja selvittämisen kannalta välttämättömät tiedot yhteisön jäsentä, tilintarkastajaa, toiminnantarkastajaa, hallituksen jäsentä tai työntekijää velvoittavan salassapitovelvollisuuden estämättä.
Saldotiedon käyttäminen on välttämätöntä, jotta rahanpesun selvittelykeskus voi suorittaa laissa säädetyt tehtävänsä. Erityisesti ilmoitusten analysointi edellyttää saldo- ja tilitapahtumatietojen yksityiskohtaista tarkastelua. Rahanpesun selvittelykeskus on vastaanottanut aikaisemmin vuositasolla useita kymmeniä tuhansia rahanpesuilmoituksia, mutta määrä on viime aikoina noussut merkittävästi. Esimerkiksi vuonna 2022 ilmoituksia vastaanotettiin jo yli 200.000. Osa näistä ilmoituksista valitaan esikäsittelyn jälkeen jatkoselvittelyn kohteeksi ja vuodessa avataan noin 1500 selvittelykokonaisuutta. Yhdessä selvittelykokonaisuudessa voi olla osallisena useampia henkilöitä ja yhtiöitä ja niihin liittyy tyypillisesti 1–5 eri rahanpesuilmoitusta. Käytännössä lähes kaikissa näissä selvittelykokonaisuuksissa tehtäisiin useita kyselyitä sekä pankki- ja maksutilien valvontajärjestelmän voimassaolevan lain mukaisiin pankkitilitietoihin, että saldo- ja tilitapahtumiin. Lisäksi sekä tili- että tilitapahtumatietoja tarvitaan välttämättä myös ilmoitusten esikäsittelyn yhteydessä, jotta ilmoituksista saadaan analyysin keinoin valittua jatkokäsittelyyn ne, joissa rahanpesun tai terrorismin rahoittamisen riski on suurin.
Pykälän
3 kohta
koskisi Tullin oikeutta saada saldotietoja teknisen rajapinnan avulla saldo- ja tilitapahtumajärjestelmästä. Tullilla olisi oikeus saada saldotiedot Tullilain 102 §:n 2 momentin ja rikostorjunnasta Tullissa annetun lain 2 luvun 14 §:n 1 momentin mukaisesti. Tullilla on verotus- ja verovalvontatehtävissä oikeus pyytää tilitapahtumatietoja suoraan pankeilta ja muilta vastaavilta luottolaitoksilta tullilain 102 §:n 2 momentin nojalla, jonka mukaan henkilön, jolla on hallussaan toisen tulliverotusta tai siitä johtuvaa muutoksenhakua koskevaa asiaa varten tarpeellisia tietoja, on annettava ne Tullille sen kehotuksesta määräajassa. Tullilla on lisäksi oikeus saada yksityiseltä tai julkiselta yhteisöltä tai henkilöltä yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen tai hallintoneuvoston jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä tarvittavat tiedot tullirikoksen estämiseksi, paljastamiseksi tai selvittämiseksi. Tullin pääsy pankki- ja maksutilien valvontajärjestelmässä oleviin saldotapahtumatietoihin liittyisi siten Tullin suorittamaan verotukseen ja verovalvontaan, tullirikoksen estämiseen, paljastamiseen tai selvittämiseen.
Edellytyksenä tietoihin pääsyyn olisi se, että ne ovat välttämättömiä edellä mainittujen tehtävien suorittamiseksi. Tullin verotustoiminnoilla on merkittävä rooli varojen takaisin hankkimisessa erityisesti EU:n perinteisten omien varojen osalta. Tullin verotustoiminnot myös turvaavat unionin taloudellisia etuja. Rikostorjunnan osalta Tulli on esitutkintalaissa tarkoitettu esitutkintaviranomainen ja Tulli vastaa tullirikostorjunnasta siten kuin siitä rikostorjunnasta Tullissa annetussa laissa sekä muualla lainsäädännössä säädetään. Tietojen saanti on erittäin tärkeä verotarkastuksissa. Myös rikostorjunnan osalta tilitapahtumilla on keskeinen merkitys. Tullirikoksien motiivi on lähes poikkeuksetta taloudellisen hyödyn saaminen. Tilitapahtumakyselyt ovat olennainen osa rikoksen selvittämistä ja kyselyitä tehdään lähes joka kerta. Tilitapahtumilla pyritään kohdentamaan rikosvastuuta, etsimään osalliset epäiltyyn rikokseen, sekä myös selvittämään rikoshyötyä ja henkilöiden (myös oikeushenkilöt) varallisuutta. Rikoshyödyn jäljittämistä tehdään esitutkintaan liittyen myös mm. vahingonkorvauksen turvaamiseksi. Tilitapatumatietoja pyydetään Tullin rikostutkinnassa usein esimerkiksi talousrikosten ja huumausainerikosten tutkinnassa sekä rikoshyödyn jäljittämisessä. Tullin tutkinnan toimintayksikkö tutkii muun muassa huumausainerikoksia, lääkerikoksia, veropetoksia, salakuljetusrikoksia sekä muita maahantuonnin yhteydessä tehtyjä rikoksia. Veropetosrikokset liittyvät usein EU:n taloudellisia intressejä vahingoittaviin tekoihin, kuten esimerkiksi tullien tai polkumyyntitullien välttämiseen, mutta Tulli tutkii myös valmisteverotukseen kohdistuvat rikokset. Tilitapahtumatietoja tullirikosten tutkinnassa pyydetään yleensä vakiomuotoisella lomakkeella, johon merkitään kaikki tarpeelliset tiedot pyydettävistä tiedoista ja tutkittavasta rikoksesta. Tulli on tehnyt luotto- ja maksulaitoksiin tullirikosten tutkinnan yhteydessä vuosina 2017 ja 2018 noin 24 000 tilitietokyselyä vuodessa. Kyselymäärät ovat säilyneet ennallaan. Tulli esitutkintaviranomaisena on myös velvoitettu selvittämään esitutkintalain (805/2011) 1 luvun 2 §:n mukaisesti rikoksella aiheutetun vahingon ja rikoksella saadun hyödyn sekä asianosaiset (kohta 1) ja (kohta 2) mahdollisuudet rikoksella saadun omaisuuden palauttamiseksi ja rikoksen johdosta tuomittavan menettämisseuraamuksen tai asianomistajalle tulevan vahingonkorvauksen täytäntöönpanemiseksi. Rikoshyödyn löytäminen edellyttää aika ajoin pankkitiedustelujen tekemistä ja kohdentamista tekijän lähipiiriin (laajennettu hyöty RL 10:3) sekä myös ulkopuolisiin henkilöihin (RL 10:2.4). Kyselyt voivat täten kohdistua rikoshyödyn jäljittämisessä myös henkilöihin, jotka eivät ole rikoksesta epäiltyjä, mutta sen sijaan hyödyn saajia. Rikoshyödyn jäljittäminen voi edellyttää myös pankkitiedustelun kyselyajalta pidempää kyselyväliä, kuin rikoksen tekoaika on, esimerkiksi laajennetun hyödyn selvittämistä koskevissa tilanteissa, joissa on tarpeellista selvittää henkilön lailliset tulot ja menot mahdollisimman tarkasti, että voidaan tarvittaessa pois sulkea vastaajan antaman selityksen todenperäisyys.
Pykälän
4 kohdan
mukaan Rajavartiolaitoksella olisi oikeus saada saldotietoja teknisen rajapinnan avulla keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Rajavartiolaitoksella on oikeus saada saldotietojahenkilötietolain 3 luvun 20 §:n mukaisesti. Rajavartiolaitokselle säädettäisiin siten oikeus kysyä saldotapahtumia valvontajärjestelmän kautta liittyen rikosten ennalta estämiseen, paljastamiseen ja selvittämiseen. Saldo- ja tilitapahtumien saaminen valvontajärjestelmän kautta nykyisen hajanaisen ja osin manuaalisen menettelyn sijaan mahdollistaisi Rajavartiolaitoksen edellä mainittujen tehtävien suorittamisen tehokkaalla tavalla. Rajavartiolaitoksella on oman toimivaltapykälänsä nojalla oikeus saada pidättämiseen oikeutetun virkamiehen pyynnöstä Rajavartiolaitoksen tutkittavan rikoksen ennalta estämiseksi, paljastamiseksi tai selvittämiseksi tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä. Rajavartiolaitoksella on sama oikeus saada rajavartiolain 27 §:ssä tarkoitettua tutkintaa varten tietoja, jos tärkeä yleinen tai yksityinen etu sitä vaatii.
Pykälän
5 kohta
koskisi Verohallinnon oikeutta saada saldotietoja teknisen rajapinnan avulla saldo- ja tilitapahtumajärjestelmästä. Verohallinnolla olisi oikeus saada saldotiedot ehdotetun verotusmenettelystä annetun lain 18 a §:n perusteella. Ehdotetun pykälän mukaisesti pankki- ja maksutilien valvontajärjestelmästä annetun lain 1 a §:ssä mukaisten toimijoiden on luovutettava pankki- ja maksutilien valvontajärjestelmän avulla Verohallinnolle lain 17 a §:ssä ja 17 c §:ssä tarkoitetut tiedot silloin, kun nämä tiedot ovat välttämättömiä verotuksessa ja tämän lain 19 §:n mukaiset edellytykset tietojen antamiselle täyttyvät. Verohallinnon on 1 momentin mukaisessa tilanteessa huolehdittava siitä, että tietojen käsittely kohdistuu Verohallinnossa vain verotuksessa välttämättömiin tietoihin. Tiedot tulee antaa lain 22 §:n 4 momentin mukaisesti salassapitosäännösten ja muiden tietojen saantia koskevien rajoitusten estämättä.
Käytännössä tämä tarkoittaisi, että Verohallinto arvioi saldotiedon tarpeellisuuden verotusmenettelystä annetun lain 19 §:n mukaisella perusteella, mutta pankki- ja maksutilien valvontajärjestelmän käytön tulee olla välttämätöntä tiedonhankinnan toteuttamiseksi. Verohallinnon virkailija arvioisi pankki- ja maksutilien valvontajärjestelmän käytön välttämättömyyttä ottaen huomioon sen, mikä merkitys saldotiedolla on valvottavassa veroasiassa ja onko asiassa tarvittavat tiedot saatavissa muulla tavoin. Harkintaa ohjaavat lisäksi yleisten hallintomenettelyä koskevat periaatteet ja verotuksessa noudatettavat periaatteet. Tämä harkinta on kuitenkin sidottu aina yksittäisen tapauksen tosiseikkoihin, joka määrittää sen ovatko tiedot välttämättömiä kyseisessä asiassa. Saldotietoja pyydettäisiin niissä tilanteissa, joissa ei olisi välttämätöntä pyytää tilitapahtumatietoja.
Pykälän
6 kohdan
mukaan ulosottolaitoksella olisi oikeus saldotietoon teknisen rajapinnan avulla keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Ulosottolaitoksen tiedonsaantioikeus perustuu Ulosottokaaren 3 luvun 64 ja 66 §: iin. Ulosottoviranomaiselle esitettäisiin pääsyä saldotapahtumiin ulosottokaaressa tarkoitettua täytäntöönpanoa varten. Ulosottomiehen tulee olosuhteiden edellyttämässä laajuudessa etsiä velalliselle kuuluvaa omaisuutta suorituksen saamiseksi hakijalle (UK 3:48.1). Ulosottomiehen tiedonsaantioikeus on ulosottokaaressa sidottu tietojen välttämättömyyteen yksittäisessä ulosottoasiassa. Välttämättömyyden arvioi ulosottomies. Sivullisen tietojenantovelvollisuudesta säädetään ulosottokaaren 3 luvun 66 §:ssä. Sivullisen on kysyttäessä ilmoitettava ulosottomiehelle muun muassa saatavia koskevien tilien maksuliike ja velallisella olevat tilin käyttöoikeudet. Ulosottokaaren sääntelyn voidaan katsoa tukevan oikeutta antaa ulosottomiehille oikeuden kysyä saldotapahtumia pankki- ja maksutilien valvontajärjestelmän kautta.
Pykälän
7 kohdan
mukaan Finanssivalvonnalla olisi oikeus hyödyntää teknisen rajapinnan avulla saldo- ja tilitapahtumajärjestelmästä saatavia saldotietoja sen tehtävien hoitamiseen Finanssivalvonnasta annetun lain 18 §:n mukaisesti. Finanssivalvonnan osalta valvottavien on finanssivalvonnasta annetun lain nojalla toimitettava salassapitosäännösten estämättä Finanssivalvonnalle sen pyytämät tiedot ja selvitykset, jotka ovat tarpeen Finanssivalvonnalle laissa säädetyn tehtävän hoitamiseksi. Vastaava velvollisuus on sillä, jolla on kirjanpitolaissa tarkoitettu määräysvalta valvottavassa tai muussa finanssimarkkinoilla toimivassa tai joka on valvottavan tai muun finanssimarkkinoilla toimivan määräysvallassa.
Pykälän
8 kohdan
mukaan Puolustusvoimilla olisi oikeus saada saldotietoja teknisen rajapinnan avulla keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Puolustusvoimilla on oikeus saldotietoihin sotilastiedustelulain 104 §:n ja sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetun lain (89/2025) 112 §:n mukaisesti. Sotilastiedustelulain mukaan sotilastiedusteluviranomaisella on tehtävään määrätyn tiedustelumenetelmien käyttöön erityisesti perehtyneen sotilaslakimiehen tai muun virkamiehen pyynnöstä oikeus saada yksityiseltä yhteisöltä yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä sellaisia tietoja, joiden yksittäistapauksessa voidaan olettaa olevan tarpeen 4 §:ssä tarkoitetun toiminnan selvittämisessä ja joilla voidaan olettaa olevan merkitystä: sotilastiedustelun kohteena olevan henkilön tai oikeushenkilön tunnistamiseksi, tavoittamiseksi tai yhteystietojen selvittämiseksi taikka henkilön liikkumisen selvittämiseksi; tiedustelumenetelmän käytön kohdentamiseksi tiettyyn henkilöön; tai henkilön tai oikeushenkilön taloudellisen toiminnan selvittämiseksi. Rikostorjunnallisissa tehtävissä puolustusvoimien pääesikunnalla on sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetun lain (89/2025) 112 §:n mukaisesti oikeus saada yksityiseltä tai julkiselta yhteisöltä tai henkilöltä rikoksen estämiseksi ja selvittämiseksi välttämättömiä tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä.
17 b §.Keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä saatavat saldotiedot.
Pykälässä säädettäisiin keskitetystä saldo- ja tilitapahtumajärjestelmästä saatavien saldotietojen sisällöstä. Järjestelmästä olisi mahdollista pyytää kyselyn kohteena olevan tilin saldotieto eli tilinumeron lisäksi tilillä oleva rahamäärä vastausta koskevalla kyselyhetkellä. Koska saldotiedon luovuttaminen ei ole välttämättä reaaliaikaista, tilin saldo voi erota viranomaisen kyselyajankohdan ja tiedon luovuttajan vastausajankohdan välillä, annetun saldotiedon tulee koskea vastausajankohdan saldoa. Saldotietoa koskevassa vastauksessa tulisi olla aikaleima, joka tarkentaa saldon ajankohdan. Tilin saldossa tulee olla huomioitu myös mahdolliset tiliä koskevat katevaraukset. Ulosottokaaren mukaan sivulliselle kuuluvaa omaisuutta ei saa ulosmitata, joten katevaraukset tulee vähentää tilin saldotiedosta.
Pykälän 2 momentissa säädettäisiin asianajajan asiakasvaratilejä koskevasta poikkeuksesta, joka perustuisi asianajajan salassapitovelvollisuuteen. Säännöksen mukaan asianajajan asiakasvaratilejä koskevia saldotietoja ei saa luovuttaa keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Asiakasvaratilillä tarkoitetaan asianajajan tai hänen toimistonsa hallussa olevia muille kuin asianajajalle tai hänen toimistolleen kuuluvien raha- ja muiden varojen tilejä. Säännöksen tarkoituksena on ennalta estää tilanne, jossa asianajajan asiakasvaratilistä luovutettaisiin saldotietoa sähköisen saldo- ja tilitapahtumajärjestelmän kautta ilman oikeusperustaa. Viranomaisten tulisi tietoa tarvitessaan kääntyä tilin haltijana toimivan asianajajan puoleen asiakasvaratilin saldotapahtumien selvittämiseksi.
17 c §.Tilitapahtuma- ja arvopaperitietojen luovuttaminen teknisen rajapinnan avulla toimivaltaisille viranomaisille.
Pykälässä säädettäisiin tilitapahtumatiedon ja arvopapereita koskevan tiedon välittämisestä ja luovuttamisesta teknisen rajapinnan avulla saldo- ja tilitapahtumajärjestelmästä toimivaltaisille viranomaisille. Viranomaisten oikeus saada tilitapahtuma- ja arvopapereita koskevia tietoja järjestelmän avulla perustuu muussa lainsäädännössä oleviin tiedonsaantioikeuksiin, eikä kyseessä ole siten tiedonsaantioikeutta koskeva säännös. Tiedon luovutuksesta teknisen rajapinnan avulla sähköisestä saldo- ja tilitapahtumajärjestelmästä olisi tarpeen säätää, koska sähköinen tietojen luovuttaminen tapahtuisi yksityiseltä toimijalta viranomaiselle eikä julkisen hallinnon tiedonhallinnasta annetun lain (906/2019) 22 tai 24 § tule siten sovellettavaksi. Jotta myös EU-oikeuden liikkumavaraan liittyvät kysymykset tulisivat huomioiduksi, olisi tietojen luovutustapa sidottava tiettyihin käyttötarkoituksiin, joihin viranomainen voi hyödyntää saldo- ja tilitapahtumajärjestelmää.
Vaikka oikeus saada tietoa rajapinnan avulla määräytyy voimassa olevien tiedonsaantioikeuksien perusteella, sähköistä tiedon luovutustapaa koskeva erityissääntely mahdollistaisi teknisesti uuden tavan käsitellä arkaluonteisia tietoja. Koska kyse on salassa pidettävistä ja arkaluonteisista tiedoista, oikeus tietojen saamiseen keskitetyn järjestelmän avulla sidottaisiin viranomaisen tiedonsaantioikeussäännökseen. Jokaisella viranomaisella on omassa tiedonsaantipykälässään sidottu tiedon saanti joko tarpeellisuusvaatimukseen tai välttämättömyysvaatimukseen. Niilläkin viranomaisilla, joilla tiedonsaantipykälä on sidottu tarpeellisuusvaatimukseen, on erillisessä henkilötietolaissa säädetty, että viranomainen voi käsitellä erityisiä henkilötietoja vain, kun se on välttämätöntä. Sähköiseen saldo- ja tilitapahtumajärjestelmään lisätty välttämättömyyden vaatimus on siten suojatoimi, jolla turvattaisiin arkaluonteisten tietojen käsittelyä. Viranomainen voisi pyytää tilitapahtuma- ja arvopapereita koskevia tietoja teknisen rajapinnan avulla, jos kyseiset tiedot olisivat viranomaiselle välttämättömiä yksittäisen, käsiteltävänä olevan viranomaistehtävän ratkaisemista varten.
Välttämättömyyden edellytyksiä on käsitelty jokaisen viranomaisen kohdalta erikseen esityksen 4 luvussa.
Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaisen käyttötarkoitussidonnaisuuden periaatteen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Koska esityksen mukaisessa käsittelyssä on tarkoitus hyödyntää luotto- ja maksulaitosten tilitapahtumatietoja, esitetty käyttötapa perustuu käyttötarkoitussidonnaisuudesta poikkeamisen osalta tietosuoja-asetuksen 6 artiklan 4 kohdan johdannossa tarkoitettuihin jäsenvaltion lain säännöksiin viranomaisten tiedonsaantioikeuksista.
Ehdotettava säännös olisi mahdollista yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla. Artiklan g alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on mahdollista, jos käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla, edellyttäen että se on oikeasuhteinen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Tilitapahtumatiedot voivat sisältää mahdollisia arkaluonteisia tietoja, joiden takia luonnollisen henkilön yksityiskohtaiset tilitiedot rinnastuvat perustuslakivaliokunnan käytännön mukaisesti yksityiselämän suojan ydinalueelle kuuluviin arkaluonteisiin tietoihin (PeVL 48/2018 vp). Perustuslakivaliokunnan vakiintuneen käytännön mukaisesti oikeus tilitapahtumatietojen käsittelyyn olisi siten rajattu välttämättömään (esim. PeVL 58/2018 vp ja PeVL 15/2018 vp).
Pykälän
1 kohdan
mukaan oikeus saada teknisen rajapinnan avulla tilitapahtumatietoja keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi poliisilla. Poliisin oikeus saada keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä tilitapahtumatietoja perustuisi poliisilain 4 luvun 3 §:n ja ja 5 a luvun 50 §:ään. Poliisilla tarkoitetaan sekä Poliisihallituksen alaisia yksiköitä että suojelupoliisia ja Ahvenanmaan poliisia, joista jälkimmäiseen sovelletaan poliisilain pankkitilitietoja koskevia toimivaltuussäännöksiä. Poliisisin toimivaltaisen viranomaisen määritelmästä on tehty tarkempaa selkoa edellä 17 a §:n perusteluissa s. 91. Poliisin tiedonsaantioikeudet on rajattu rikoksen estämiseen tai selvittämiseen tai tärkeään yleiseen tai yksityiseen etuun. Poliisilain 4 luvun 3 §:n mukaan poliisilla on päällystöön kuuluvan poliisimiehen pyynnöstä oikeus saada rikoksen estämiseksi tai selvittämiseksi tarvittavia tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä. Poliisilla on sama oikeus saada poliisilain 6 luvussa tarkoitetussa poliisitutkinnassa tarvittavia tietoja, jos tärkeä yleinen tai yksityinen etu sitä vaatii. Poliisin henkilötietolain 15 §:n mukaan poliisi saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja vain, jos käsittely on käsittelytarkoituksen kannalta välttämätöntä. Tilitapahtumatietojen saaminen keskitetyn valvontajärjestelmän kautta nykyisen hajanaisen ja osin manuaalisen menettelyn sijaan mahdollistaisi poliisin edellä mainittujen tehtävien suorittamisen tehokkaalla tavalla. Käytännössä poliisissa päätöksen kyseisten tietojen hankkimisesta tekee päällystöön kuuluva poliisimies kussakin yksittäistapauksessa erikseen, jolloin myös päätöksentekotaso on riittävän korkealla. Tietojen hankinnasta tehdään erillinen päätös ja pyyntö.
Kansallisen turvallisuuden ylläpitämistä koskevat pääsyoikeudet tehdä tilitapahtumatietoja koskevia kyselyjä teknisen rajapinnan avulla pankki- ja maksutilien valvontajärjestelmän kautta liittyisivät suojelupoliisin tehtäviin kansallisen turvallisuuden suojaamiseksi, eli siviilitiedustelun suorittamiseksi. Suojelupoliisilla on tiedonsaantioikeudet tilitapahtumiin poliisilain 4 luvun 3 §:n 1 momentin ja 5 a luvun 50 §:n nojalla. Siviilitiedustelun kohteina voi olla muun muassa terrorismi, ulkomainen tiedustelutoiminta, joukkotuhoaseet, yhteiskunnan elintärkeitä toimintoja uhkaava toiminta ja sellainen vieraan valtion toiminta, joka voi aiheuttaa vahinkoa Suomen tärkeille eduille. On huomioitava, että terrorismin rahoittamista koskeva tiedonhankinta kuuluu näin ollen suojelupoliisin tehtäviin myös sen suorittaessa siviilitiedustelua. Pankkitiedustelut liittyvät aina yksittäisen virkatehtävän suorittamiseen ja jokainen pyyntö perustellaan kirjallisesti. Päätöksen tiedustelun tekemisestä tekee päällystöön kuuluva poliisimies, vastaavasti kun silloin kun pyyntö tehdään rikosten estämiseksi. Tilitapahtumatietoon liittyvän käyttöoikeuden antamisessa suojelupoliisille ei näin ollen ole kyse siitä, että sille perustettaisiin täysin uusi tiedonsaantioikeus, vaan siitä, että muun lain nojalla jo olemassa olevan tiedonsaantioikeuden käyttöä sujuvoitettaisiin. Valvontajärjestelmän käyttöä suojelupoliisin toiminnassa rajaisi se, mitä suojelupoliisin tiedonsaantioikeuksista muualla on säädetty. Poliisilain 5 a luvun 50 § esimerkiksi edellyttää, että pyyntö on tarpeen sellaisen siviilitiedustelun kohteena olevan toiminnan selvittämisessä, joka vakavasti uhkaa kansallisista turvallisuutta. Pyynnön pitää myös voida olettaa olevan merkityksellinen siviilitiedustelun kohteena olevan henkilön tai oikeushenkilön tunnistamiseksi tai tavoittamiseksi tai kyseisen henkilön yhteystietojen tai liikkumisen selvittämiseksi, tiedustelumenetelmän käytön kohdentamiseksi tiettyyn siviilitiedustelun kohteena olevaan henkilöön, tai siviilitiedustelun kohteena olevan henkilön tai oikeushenkilön 3 §:ssä tarkoitettuun toimintaan oletettavasti kytkeytyvän taloudellisen toiminnan selvittämiseksi. Suojelupoliisin toiminnassa tapahtuvan henkilötietojen käsittelyn lain- ja asianmukaisuuden valvonta on erittäin tarkkaa. Sisäisen laillisuusvalvonnan resursseja lisättiin tiedustelulakien voimaantulon yhteydessä voimakkaasti. Lisäksi henkilötietojen käsittelyä valvoo ulkoisena laillisuusvalvojana tietosuojavaltuutettu ja erityisvaltuutettuna toimiva tiedusteluvalvontavaltuutettu sekä ylimmät laillisuusvalvojat.
Pykälän
2 kohdan
mukaan oikeus teknisen rajapinnan avulla tilitapahtumatietoon keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi rahanpesun selvittelykeskuksella. Rahanpesun selvittelykeskuksella on oikeus saada tilitapahtumatiedot rahanpesun selvittelykeskuksesta annetun lain 4 §:n mukaisesti. Rahanpesun selvittelykeskuksella on oikeus saada viranomaiselta ja julkista tehtävää hoitamaan asetetulta yhteisöltä sekä ilmoitusvelvollisilta rahanpesun ja terrorismin rahoittamisen estämisen ja selvittämisen kannalta välttämättömät tiedot ja asiakirjat maksutta sen estämättä, mitä liikesalaisuutta tai yksilön, yhteisön tai säätiön taloudellisia olosuhteita, taloudellista asemaa tai verotustietoja koskevien tietojen salassapidosta säädetään. Päätöksen salassa pidettävien tietojen hankkimisesta tekee selvittelykeskuksessa työskentelevä päällystöön kuuluva poliisimies. Selvittelykeskuksella on lisäksi oikeus saada maksutta yksityiseltä yhteisöltä, säätiöltä ja henkilöltä selvittelykeskuksessa työskentelevän päällystöön kuuluvan poliisimiehen kirjallisesta pyynnöstä rahanpesun ja terrorismin rahoittamisen estämisen ja selvittämisen kannalta välttämättömät tiedot yhteisön jäsentä, tilintarkastajaa, toiminnantarkastajaa, hallituksen jäsentä tai työntekijää velvoittavan salassapitovelvollisuuden estämättä.
Tilitapahtumatiedon käyttäminen on välttämätöntä, jotta rahanpesun selvittelykeskus voi suorittaa laissa säädetyt tehtävänsä. Erityisesti ilmoitusten analysointi edellyttää tilitapahtumatietojen yksityiskohtaista tarkastelua. Rahanpesun selvittelykeskus on vastaanottanut aikaisemmin vuositasolla useita kymmeniä tuhansia rahanpesuilmoituksia, mutta määrä on viime aikoina noussut merkittävästi. Esimerkiksi vuonna 2022 ilmoituksia vastaanotettiin jo yli 200.000. Osa näistä ilmoituksista valitaan esikäsittelyn jälkeen jatkoselvittelyn kohteeksi ja vuodessa avataan noin 1500 selvittelykokonaisuutta. Yhdessä selvittelykokonaisuudessa voi olla osallisena useampia henkilöitä ja yhtiöitä ja niihin liittyy tyypillisesti 1–5 eri rahanpesuilmoitusta. Käytännössä lähes kaikissa näissä selvittelykokonaisuuksissa tehtäisiin useita kyselyitä sekä pankki- ja maksutilien valvontajärjestelmän voimassaolevan lain mukaisiin pankkitilitietoihin että tilitapahtumiin. Lisäksi sekä tili- että tilitapahtumatietoja tarvitaan välttämättä myös ilmoitusten esikäsittelyn yhteydessä, jotta ilmoituksista saadaan analyysin keinoin valittua jatkokäsittelyyn ne, joissa rahanpesun tai terrorismin rahoittamisen riski on suurin.
Pykälän
3 kohta
koskisi Tullin oikeutta saada teknisen rajapinnan avulla tilitapahtumatietoja saldo- ja tilitapahtumajärjestelmästä. Tullilla on oikeus saada tilitapahtumatiedot Tullilain 102 §:n 2 momentin ja rikostorjunnasta Tullissa annetun lain 2 luvun 14 §:n mukaisesti. Tullilla on verotus- ja verovalvontatehtävissä oikeus pyytää tilitapahtumatietoja suoraan pankeilta ja muilta vastaavilta luottolaitoksilta tullilain 102 §:n 2 momentin nojalla, jonka mukaan henkilön, jolla on hallussaan toisen tulliverotusta tai siitä johtuvaa muutoksenhakua koskevaa asiaa varten tarpeellisia tietoja, on annettava ne Tullille sen kehotuksesta määräajassa. Tullilla on lisäksi oikeus saada yksityiseltä tai julkiselta yhteisöltä tai henkilöltä yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen tai hallintoneuvoston jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä tarvittavat tiedot tullirikoksen estämiseksi, paljastamiseksi tai selvittämiseksi. Tullin pääsy pankki- ja maksutilien valvontajärjestelmässä oleviin tilitapahtumatietoihin liittyisi siten Tullin suorittamaan verotukseen ja verovalvontaan, tullirikoksen estämiseen, paljastamiseen tai selvittämiseen.
Edellytyksenä tietoihin pääsyyn olisi se, että ne ovat välttämättömiä edellä mainittujen tehtävien suorittamiseksi. Tullin verotustoiminnoilla on merkittävä rooli varojen takaisin hankkimisessa erityisesti EU:n perinteisten omien varojen osalta. Tullin verotustoiminnot myös turvaavat unionin taloudellisia etuja. Rikostorjunnan osalta Tulli on esitutkintalaissa tarkoitettu esitutkintaviranomainen ja Tulli vastaa tullirikostorjunnasta siten kuin siitä rikostorjunnasta Tullissa annetussa laissa sekä muualla lainsäädännössä säädetään. Tietojen saanti on erittäin tärkeä verotarkastuksissa. Myös rikostorjunnan osalta tilitapahtumilla on keskeinen merkitys. Tullirikoksien motiivi on lähes poikkeuksetta taloudellisen hyödyn saaminen. Tilitapahtumakyselyt ovat olennainen osa rikoksen selvittämistä ja kyselyitä tehdään lähes joka kerta. Tilitapahtumilla pyritään kohdentamaan rikosvastuuta, etsimään osalliset epäiltyyn rikokseen, sekä myös selvittämään rikoshyötyä ja henkilöiden (myös oikeushenkilöt) varallisuutta. Rikoshyödyn jäljittämistä tehdään esitutkintaan liittyen myös mm. vahingonkorvauksen turvaamiseksi. Tilitapatumatietoja pyydetään Tullin rikostutkinnassa usein esimerkiksi talousrikosten ja huumausainerikosten tutkinnassa sekä rikoshyödyn jäljittämisessä. Tullin tutkinnan toimintayksikkö tutkii muun muassa huumausainerikoksia, lääkerikoksia, veropetoksia, salakuljetusrikoksia sekä muita maahantuonnin yhteydessä tehtyjä rikoksia. Veropetosrikokset voivat liittyä valmisteverotukseen, arvonlisäverotukseen tai EU:n taloudellisia intressejä vahingoittaviin rikoksiin kuten esimerkiksi tullien tai polkumyyntitullien välttämiseen. Tilitapahtumatietoja tullirikosten tutkinnassa pyydetään yleensä vakiomuotoisella lomakkeella, johon merkitään kaikki tarpeelliset tiedot pyydettävistä tiedoista ja tutkittavasta rikoksesta. Tulli on tehnyt luotto- ja maksulaitoksiin tullirikosten tutkinnan yhteydessä vuosina 2017 ja 2018 noin 24 000 tilitietokyselyä vuodessa. Kyselymäärät ovat säilyneet ennallaan. Tulli esitutkintaviranomaisena on myös velvoitettu selvittämään esitutkintalain (805/2011) 1 luvun 2 §:n mukaisesti rikoksella aiheutetun vahingon ja rikoksella saadun hyödyn sekä asianosaiset (kohta 1) ja (kohta 2) mahdollisuudet rikoksella saadun omaisuuden palauttamiseksi ja rikoksen johdosta tuomittavan menettämisseuraamuksen tai asianomistajalle tulevan vahingonkorvauksen täytäntöönpanemiseksi. Rikoshyödyn löytäminen edellyttää aika ajoin pankkitiedustelujen tekemistä ja kohdentamista tekijän lähipiiriin (laajennettu hyöty RL 10:3) sekä myös ulkopuolisiin henkilöihin (RL 10:2.4). Kyselyt voivat täten kohdistua rikoshyödyn jäljittämisessä myös henkilöihin, jotka eivät ole rikoksesta epäiltyjä, mutta sen sijaan hyödyn saajia. Rikoshyödyn jäljittäminen voi edellyttää myös pankkitiedustelun kyselyajalta pidempää kyselyväliä, kuin rikoksen tekoaika on, esimerkiksi laajennetun hyödyn selvittämistä koskevissa tilanteissa, joissa on tarpeellista selvittää henkilön lailliset tulot ja menot mahdollisimman tarkasti, että voidaan tarvittaessa pois sulkea vastaajan antaman selityksen todenperäisyys.
Pykälän
4 kohdan
mukaan oikeus teknisen rajapinnan avulla tilitapahtumatietoon keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi rajavartiolaitoksella. Rajavartiolaitoksella on oikeus saada tilitapahtumatietoja rajavartiolaitoksen henkilötietolain 3 luvun 20 §:n mukaisesti. Rajavartiolaitokselle säädettäisiin siten oikeus kysyä tilitapahtumia valvontajärjestelmän kautta liittyen rikosten ennalta estämiseen, paljastamiseen ja selvittämiseen. Tilitapahtumien saaminen valvontajärjestelmän kautta nykyisen hajanaisen ja osin manuaalisen menettelyn sijaan mahdollistaisi Rajavartiolaitoksen edellä mainittujen tehtävien suorittamisen tehokkaalla tavalla. Rajavartiolaitoksella on oman toimivaltapykälänsä nojalla oikeus saada pidättämiseen oikeutetun virkamiehen pyynnöstä Rajavartiolaitoksen tutkittavan rikoksen ennalta estämiseksi, paljastamiseksi tai selvittämiseksi tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä. Rajavartiolaitoksella on sama oikeus saada rajavartiolain 27 §:ssä tarkoitettua tutkintaa varten tietoja, jos tärkeä yleinen tai yksityinen etu sitä vaatii.
Pykälän
5 kohta
koskisi Verohallinnon oikeutta saada teknisen rajapinnan avulla tilitapahtumatietoja saldo- ja tilitapahtumajärjestelmästä. Verohallinnolla olisi oikeus saada tilitapahtumatiedot ehdotetun verotusmenettelystä annetun lain 18 a §:n perusteella. Ehdotetun pykälän mukaisesti pankki- ja maksutilien valvontajärjestelmästä annetun lain 1 a §:ssä mukaisten toimijoiden on luovutettava pankki- ja maksutilien valvontajärjestelmän avulla Verohallinnolle lain 17 a §:ssä ja 17 c §:ssä tarkoitetut tiedot silloin, kun nämä tiedot ovat välttämättömiä verotuksessa ja tämän lain 19 §:n mukaiset edellytykset tietojen antamiselle täyttyvät. Verohallinnon on 1 momentin mukaisessa tilanteessa huolehdittava siitä, että tietojen käsittely kohdistuu Verohallinnossa vain verotuksessa välttämättömiin tietoihin. Tiedot tulee antaa lain 22 §:n 4 momentin mukaisesti salassapitosäännösten ja muiden tietojen saantia koskevien rajoitusten estämättä.
Käytännössä tämä tarkoittaisi, että Verohallinto arvioi tilitapahtumatiedon tarpeellisuuden verotusmenettelystä annetun lain 19 §:n mukaisella perusteella, mutta pankki- ja maksutilien valvontajärjestelmän käytön tulee olla välttämätöntä tiedonhankinnan toteuttamiseksi. Verohallinnon virkailija arvioisi pankki- ja maksutilien valvontajärjestelmän käytön välttämättömyyttä ottaen huomioon sen, mikä merkitys tilitapahtumatiedoilla on valvottavassa veroasiassa ja onko asiassa tarvittavat tiedot saatavissa muulla tavoin. Harkintaa ohjaavat lisäksi yleisten hallintomenettelyä koskevat periaatteet ja verotuksessa noudatettavat periaatteet. Tämä harkinta on kuitenkin sidottu aina yksittäisen tapauksen tosiseikkoihin, joka määrittää sen ovatko tiedot välttämättömiä kyseisessä asiassa.
Tilitapahtumatiedot varmentavat verovelvollisen rahavirtoja ja sitä kautta taloudellista asemaa, johon verotus perustuu. Tilitapahtumatietoja ei kysyttäisi ilman, että niiden tarve arvioidaan ensin yksittäisen tapauksen tosiseikkojen perusteella ja ne katsotaan verovalvonnan näkökulmasta välttämättömiksi. Välttämättömyys tarkoittaa, että verovalvonnassa on verotuksellinen syy selvittää tai varmentaa verotuksen oikeellisuus, eikä Verohallinnolla ole muuta ilmoitus-, sivullis- tai vertailutietolähdettä käytettävissä verovelvollisen verotukseen vaikuttavien tulojen tai varojen selvittämiseksi. Kyse voi olla esimerkiksi tilanteesta, jossa alustalouden yritys on ilmoittanut Verohallinnolle henkilön saaneen alustatalouden tuloja ja tulotieto on ristiriidassa verovelvollisen antamien ilmoitusten kanssa. Valvonnassa selvitetään verovelvollisen tulonmuodostusta ja veroilmoitustietojen oikeellisuutta tilitapahtumatiedoista, joista selviää, onko tulot tosiasiallisesti saatu. Valvonnassa voi olla tarpeen selvittää verovelvollisen tulonmuodostusta myös esimerkiksi tilanteessa, jossa verovelvollisen kiinteisvarallisuus on lisääntynyt, mutta Verohallinnon tiedoista ei selviä, millä tuloilla kiinteistöhankinta on rahoitettu. Tilitapahtumatiedon käsittelyn edellytyksenä ei ole verojen välttämistä koskevan asian selvittäminen, vaikkakin erityisesti harmaan talouden torjunnassa tilitapahtumatiedoilla on suuri merkitys selvitettäessä veropetoksia, jotka usein ovat nivoutuneet muihin talousrikoksiin.
Pykälän
6 kohdan
mukaan oikeus teknisen rajapinnan avulla tilitapahtumatietoon keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi ulosottolaitoksella. Ulosottolaitoksen tiedonsaantioikeus perustuu Ulosottokaaren 3 luvun 64 ja 66 §: iin. Ulosottoviranomaiselle esitettäisiin pääsyä tilitapahtumatietoihin ulosottokaaressa tarkoitettua täytäntöönpanoa varten. Ulosottomiehen tulee olosuhteiden edellyttämässä laajuudessa etsiä velalliselle kuuluvaa omaisuutta suorituksen saamiseksi hakijalle (UK 3:48.1). Ulosottomiehen tiedonsaantioikeus on ulosottokaaressa sidottu tietojen välttämättömyyteen yksittäisessä ulosottoasiassa. Välttämättömyyden arvioi ulosottomies. Sivullisen tietojenantovelvollisuudesta säädetään ulosottokaaren 3 luvun 66 §:ssä. Sivullisen on kysyttäessä ilmoitettava ulosottomiehelle muun muassa saatavia koskevien tilien maksuliike ja velallisella olevat tilin käyttöoikeudet. Ulosottokaaren sääntelyn voidaan katsoa tukevan mahdollisuutta antaa ulosottomiehille mahdollisuus tilitapahtumatietokyselyihin pankki- ja maksutilien valvontajärjestelmän kautta.
Pykälän
7 kohdan
mukaan oikeus teknisen rajapinnan avulla tilitapahtumatietoon keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi Finanssivalvonnalla. Finanssivalvonta voisi hyödyntää saldo- ja tilitapahtumajärjestelmästä saatavia tilitapahtumatietoja sille asetettujen viranomaistehtävien hoitamiseen Finanssivalvonnasta annetun lain 18 §:n mukaisesti. Finanssivalvonnalla on oikeus saada salassapitosäännösten estämättä viranomaiselta ja julkista tehtävää hoitavalta tietoja valvottavan, muun finanssimarkkinoilla toimivan ja muun henkilön, jota Finanssivalvonta 3 §:n mukaisten tehtäviensä nojalla valvoo, tiedot ja selvitykset, jotka ovat tarpeen Finanssivalvonnalle laissa säädetyn tehtävän hoitamiseksi. Finanssivalvonnalla on jo nyt oikeus saada tilin omistajaa koskevat tiedot pankki- ja maksutilijärjestelmästä. Tarkempien tietojen saaminen tilitapahtumista ja niiden tunnistetiedoista on välttämätöntä tilanteissa, joissa Finanssivalvonta valvontatehtävässään toteaa merkittävän poikkeaman tai riskin rahanpesun tai terrorismin rahoittamiselle tai talouspakotteiden kiertämiselle. Koska pankki- ja maksutilijärjestelmän sisältämät tiedot ovat arkaluonteisia, on tietojen saamisen kynnystä nostettava siten, että tietojen saamisen tulee olla välttämätöntä valvontatehtävän suorittamiseksi.
Pykälän
8 kohdan
mukaan oikeus teknisen rajapinnan avulla tilitapahtumatietoon keskitetyn saldo- ja tilitapahtumajärjestelmän kautta olisi myös puolustusvoimilla. Puolustusvoimilla on oikeus saada tilitapahtumatietoja sotilastiedustelulain 104 §:n ja sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetun lain (89/2025) 112 §:n mukaisesti. Sotilastiedustelulain mukaan sotilastiedusteluviranomaisella on tehtävään määrätyn tiedustelumenetelmien käyttöön erityisesti perehtyneen sotilaslakimiehen tai muun virkamiehen pyynnöstä oikeus saada yksityiseltä yhteisöltä yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä sellaisia tietoja, joiden yksittäistapauksessa voidaan olettaa olevan tarpeen 4 §:ssä tarkoitetun toiminnan selvittämisessä ja joilla voidaan olettaa olevan merkitystä: sotilastiedustelun kohteena olevan henkilön tai oikeushenkilön tunnistamiseksi, tavoittamiseksi tai yhteystietojen selvittämiseksi taikka henkilön liikkumisen selvittämiseksi; tiedustelumenetelmän käytön kohdentamiseksi tiettyyn henkilöön; tai henkilön tai oikeushenkilön taloudellisen toiminnan selvittämiseksi. Rikostorjunnallisissa tehtävissä puolustusvoimien pääesikunnalla on sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetun lain (89/2025) 112 §:n mukaisesti oikeus saada yksityiseltä tai julkiselta yhteisöltä tai henkilöltä rikoksen estämiseksi ja selvittämiseksi välttämättömiä tietoja yhteisön jäsentä, tilintarkastajaa, toimitusjohtajaa, hallituksen jäsentä tai työntekijää velvoittavan yritys-, pankki- tai vakuutussalaisuuden estämättä.
17 d §.Keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä saatavat tilitapahtuma- ja arvopaperitiedot
. Pykälässä säädettäisiin sähköisestä saldo- ja tilitapahtumajärjestelmästä saatavien tilitapahtuma- ja arvopaperitietojen sisällöstä. Pykälän 1 momentin mukaan keskitetystä saldo- ja tilitapahtumajärjestelmästä olisi mahdollista pyytää pankki- ja maksutilejä koskevat tilitapahtumatiedot. Tilitapahtumatiedoilla tarkoitetaan rahoitustietodirektiivin 2024/1654 mukaisesti kaikkia yksityiskohtaisia tietoja toimista, jotka on suoritettu tiettynä ajanjaksona tietyn pankki- tai maksutilin kautta tai yksityiskohtaisia tietoja kryptovarojen siirrosta. Rahoitustietodirektiivissä ei ole eritelty tarkemmin mitä kyseiset tiedot pitävät sisällään, mutta rahoitustietodirektiivin mukaan jäsenvaltioiden tulee rajat ylittävän yhteistyön mahdollistamiseksi varmistaa, että tilitapahtumatiedot toimitetaan komission määräämässä sähköisessä muodossa. Direktiiviä koskevien neuvottelujen yhteydessä on käytännössä todettu tilitapahtumatietojen välittämisen toteutettavan ISO20022 (International Organization for Standardization) sanomarakenteella.
Tilitapahtumatietokyselyjen ja niiden vastauksien toimittamisessa noudatettaisiin siten suositusta eurooppalaisten lainvalvontaviranomaisten käyttämästä ISO20022 sanomarakenteesta (Camt.052/Camt.053), joten kyselyn tietosisältö määrittyisi sanomarakenteen mukaisesti. ISO20022 sanomarakenteen käyttö tilitapahtumatietojen kysely- ja vastausrakenteissa mahdollistaisi lähitulevaisuudessa implementoitavan rahoitustietodirektiivin velvoitteen sujuvan täytäntöönpanon. Kun jäsenvaltioiden toimivaltaisille viranomaisille toimitettavat tilitapahtumatiedot olisivat jo valmiiksi rahoitustietodirektiivin vaatimassa harmonisoidussa muodossa, jota toteutetaan ISO20022 sanomarakenteella, kansallisen tiedon välittäjän eli keskusrikospoliisin kansainvälisen yksikön olisi sujuvaa hakea pyydetyt tiedot keskitetystä saldo- ja tilitapahtumajärjestelmästä ja välittää ne tiedon pyytäjälle oikeassa sanomamuodossa.
ISO20022-sanomarakenteesta on saatavilla laaja tietosisältö kyselyn kohteena olevan luonnollisen henkilön tai oikeushenkilön tilitapahtumasta, eikä tämän vuoksi sanomarakenteen jokaista kohtaa ole mahdollista määritellä pykälätasolla. Pykälän 1 momentin 1–6 kohdassa olisi eritelty keskeisimmät tilitapahtumatietoon liittyvät tunnistetiedot. Keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä olisi saatavilla esimerkiksi tilitapahtuman tapahtumatyyppi, tapahtumanpäivä ja kellonaika, tapahtuman summa, tapahtumaan liittyvää tilinumero, vastaanottajan tai maksajatahon nimi, tapahtuman viitenumero ja viestikentässä oleva tieto. Kohdassa 1–6 eritelty sisältö ei olisi siten tyhjentävä lista järjestelmästä saatavista tilitapahtumatiedoista. Kohta 7 koskisikin siten kaikkia muita kuin 1–6 kohdassa määriteltyjä tilitapahtumaan liittyviä tietoja.
Edellä 17 c §:n mukaisesti järjestelmää käyttävien toimivaltaisten viranomaisten osalta pankki- ja maksutilien valvontajärjestelmästä pyydettävän tiedon tulisi olla välttämätön viranomaiselle laissa säädetyn tehtävän suorittamiseksi eli viranomaisen tulisi tehdä välttämättömyysedellytyksen täyttymistä koskeva harkinta ennen tietopyynnön tekemistä. Koska viranomaisella voi olla tarve rajata pyyntö vain sille välttämättömiin tietoihin, tulisi viranomaisen omassa järjestelmässään kyselyä tehdessään rajata (sekä pyynnön että vastauksen osalta), mitä tietoa viranomainen tarvitsee kyselykohtaisesti, mikäli sen ei olisi välttämätöntä saada kaikkia tietoja. Siten tiedon mahdolliset tekniset rajaukset tiedon välttämättömyyden osalta tulisi tehdä vastaanottavan viranomaisen omasta toimesta sen omassa järjestelmässä. Tulli välittäisi tiedonluovuttajalle tilitapahtumakyselyiden mukana kaikki kyselyyn määritellyt perustiedot sekä ne kyselyssä määritellyt sanomarakenteen mukaiset lisätiedot, jotka ovat toimivaltaiselle viranomaiselle välttämättömiä. Tiedonluovuttaja luovuttaisi vastauksen pyydetyn sisällön mukaisesti viranomaiselle.
Pykälän 2 momentissa
säädettäisiin, että keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän kautta olisi mahdollista pyytää myös luonnollisen henkilön tai oikeushenkilön arvopapereihin liittyviä tietoja, jotka 17 c §:n mukaisella toimivaltaisella viranomaisella on oikeus voimassa olevan lainsäädännön nojalla saada. Arvopaperitiedoilla tarkoitetaan arvo-osuustililain (872/1991) 2 §n mukaisia tietoja arvo-osuustilille kirjatuista arvo-osuuksien lajista ja lukumäärästä ja mahdollisia niihin kohdistuvista oikeuksista ja rajoitteista. Arvo-osuus tarkoittaa arvo-osuusjärjestelmästä ja selvitystoiminnasta annetun lain (348/2017) 3 §:n 1 kohdan mukaisesti sellaista arvopaperimarkkinalain (746/2012) 2 luvun 1 §:ssä mainittua osaketta, osuutta tai muuta oikeutta, sijoituspalvelulain (747/2012) 1 luvun 14 §:ssä tarkoitettua muuta rahoitusvälinettä tai siihen rinnastettavaa oikeutta taikka muuta arvopaperia, joka on liitetty arvo-osuusjärjestelmään. Arvopaperitiedoilla tarkoitetaan siis tietoa asiakkaan arvopapereista.
Toimivaltaiset viranomaiset tekevät tiedonsaantioikeuksiensa nojalla pankkeihin muitakin kuin tili- ja tilitapahtumatiedusteluja, esimerkiksi kyselyjä asiakkaan arvopaperiomaisuudesta. Nämä tiedot voivat olla ratkaisevan tärkeitä yksittäisessä viranomaistehtävässä. Siten myös näiden kyselyiden saamiseksi keskitetyn, tietoturvallisen ja laillisuusvalvonnan alla olevan menettelyn piiriin, ehdotetaan, että järjestelmän kautta voisi kysyä myös pankkisalaisuuden alaisia arvopaperitietoja. Näidenkin tietojen välittämisessä käytetään globaaleja sanomarakenteita, johon liittyy kussakin sanomarakenteessa määritelty määrä tietoa, joten kyselyn tarkka tietosisältö määrittyy sanomarakenteen mukaisesti. Kyse olisi arvopaperitietojenkin osalta sellaisista tiedoista, joiden saamiseen toimivaltainen viranomainen on jo nykyisellään oikeutettu ehdotetun 17 c §:n perusteluissa määriteltyjen tiedonsaantisäännösten mukaisesti ja jotka muutoin toimitetaan muuta kanavaa pitkin, kuten esimerkiksi sähköpostitse. Kyseisten 2 momentin mukaisten tietojen tulisi olla toimivaltaisille viranomaisille samalla tavalla välttämättömiä kuin 1 momentin tiedotkin. Viranomaisten tulisi siten täyttää kaikki 17 g §:n 2 momentin mukaiset tietopyynnön tekemiseen liittyvät edellytykset myös 2 momentin mukaisten arvopaperitietoja koskevien tietopyyntöjen osalta. Arvopaperitietojen toimittaminen pankki- ja maksutilien valvontajärjestelmän kautta olisi luotto- ja maksulaitoksille vapaaehtoista ja mahdollista myös muulla tietoturvallisella tavalla 17 f §:n 3 momentin mukaisesti.
Pykälän 3 momentissa säädettäisiin asianajajan asiakasvaratilejä koskevasta poikkeuksesta, joka perustuisi asianajajan salassapitovelvollisuuteen. Säännöksen mukaan asianajajan asiakasvaratilejä koskevia tilitapahtuma- ja muita asiakkuuteen liittyviä tietoja ei saa luovuttaa keskitetyn saldo- ja tilitapahtumajärjestelmän kautta. Asiakasvaratilillä tarkoitetaan asianajajan tai hänen toimistonsa hallussa olevia muille kuin asianajajalle tai hänen toimistolleen kuuluvien raha- ja muiden varojen tilejä. Asiakasvaroja ovat esimerkiksi ne varat, jotka asianajaja on saanut tietyssä tehtävässä asiakkaansa puolesta joko kolmannelle suoritettavaksi tai muulla tavoin käytettäväksi. Asiakasvaroja ovat niin ikään rahavarat, arvopaperit ja -osuudet sekä varallisuusarvoiset esineet, jotka asianajaja on vastaanottanut kolmannelta asiakkaansa lukuun ja asiakkaalle tilitettäväksi taikka asiakkaan lukuun säilytettäväksi samoin kuin asianajajan määräyksenvaraista tehtävää hoitaessaan saamat varat. Säännöksen tarkoituksena on ennalta estää tilanne, jossa asianajajan asiakasvaratilistä luovutettaisiin tilitapahtuma- tai arvopaperitietoa sähköisen saldo- ja tilitapahtumajärjestelmän kautta ilman oikeusperustaa. Viranomaisten tulisi edellä mainittua tietoa tarvitessaan kääntyä tilin haltijana toimivan asianajajan puoleen asiakasvaratilin tilitapahtumatietojen selvittämiseksi.
17 e §.Toimivaltaisten viranomaisten pääsy keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän tietoihin ja niitä koskevien tietopyyntöjen tekemistä koskevat edellytykset.
Pykälässä säädettäisiin toimivaltaisten viranomaisten tietoihin pääsylle ja hakujen tekemisille eräitä edellytyksiä. Pykälän 1 momentin mukaan pääsy edotetun lain 17 b ja 17 d §:ssä tarkoitettuiin tietoihin ja mahdollisuus tehdä niitä koskevia hakuja olisi ainoastaan sellaisella ehdotetun lain 17 a ja 17 c §:ssä tarkoitetun viranomaisen henkilöstön jäsenellä, joka on nimetty ja valtuutettu suorittamaan näitä tehtäviä. Tiedonhallintalaissa säädetään muun muassa tietoturvallisuudesta, mukaan lukien luotettavuutta edellyttävien tehtävien tunnistaminen, käyttöoikeuksien antaminen ja luotettavuudesta varmistuminen sekä tietoaineistojen ja tietojärjestelmien tietoturvallisuus. Tietoa hyödyntävän organisaation tulee huolehtia, että käyttöoikeuksia myönnetään vain henkilöille, joilla on valtuudet tehdä kyselyitä. Lisäksi viranomaisessa tulee noudattaa muita sisäisiä menettelyitä tietojen pyytämiseen liittyen mikä voi olla kaksitasoinen tai muu prosessi, jossa voidaan osoittaa virkavastuun kohdentaminen siihen henkilöön, joka on ratkaissut saldo- ja tilitapahtumatietojen pyytämisen. Viranomaisen tulisi lisäksi varmistaa, että sen tiedonhakujärjestelmässä on riittävät suojatoimet, joilla varmistetaan, että tietopyyntö kohdistuu oikeaan tiedonsaantipykälään tai riittävään ajanjaksoon.
Pykälän 2 momentin mukaisesti viranomaisen olisi annettava tietopyyntöä tehdessään tiedot kyselyn oikeusperustasta, käyttötarkoituksesta sekä tietopyyntöön liittyvästä tapaus- eli viitenumerosta sekä pyyntöä koskevan pankki- ja maksutilin IBAN-numero tai muu yksilöintitunnus. Viitenumerolla tarkoitetaan esimerkiksi esitutkintaviranomaisen r-numeroa tai viraston sisäistä diaarinumeroa, jonka nojalla viranomainen tekee kyselyn saldo- ja tilitapahtumajärjestelmään. Pyyntö ei välittyisi viranomaisen järjestelmästä Tullin koostavaan sovellukseen, mikäli viranomainen ei olisi täyttänyt kaikkia pyynnön tekemiseksi välttämättömiä kohtia. Saldo- ja tilitapahtumakyselyn tekeminen olisi mahdollista vasta kun viranomainen olisi yksilöinyt sen pankki- ja maksutilin, jonka tietoja se hakee ja sen yksittäisen tietotarpeen, minkä takia kysely tehdään. Mikäli viranomaisella ei olisi sen pyyntöä koskevan tilin IBAN-tietoa ja sillä olisi 3 a §:ssä tarkoitettu oikeus käyttää voimassaolevan lain mukaista pankki- ja maksutilien valvontajärjestelmää, sen tulisi ensin tehdä tilin omistajatietokysely pankki- ja maksutilien valvontajärjestelmän automatisoituun tilitietojärjestelmään. Mikäli taas viranomaisella ei olisi 3 a §:ssä säädettyä oikeutta 4 ja 6 §:n tietoihin, tulisi tilin IBAN-numero tai muu yksilöintitunnus selvittää muulla tapaa ennen tietopyynnön tekemistä.
17 f §. Keskitettyä sähköistä saldo- ja tilitapahtumajärjestelmää koskevien tietojen käsittely.
Pykälässä säädettäisiin keskitettyä sähköistä saldo- ja tilitapahtumajärjestelmää koskevien tietojen luovutuksesta ja välittämisestä eli pykälä sisältäisi tiedonkäsittelyä koskevan sääntelyn niin tiedonluovuttajien kuin Tullin koostavan sovelluksen osalta.
Pykälän 1 momentissa säädettäisiin kaikille pankki- ja maksutilien valvontajärjestelmästä annetun lain 1 a §:n mukaisille toimijoille velvoite luovuttaa 17 b ja 17 d §:n 1 momentissa tarkoitetut tiedot keskitettyyn sähköiseen saldo- ja tilitapahtumajärjestelmään. Velvollisuus luovuttaa edellä mainitut tiedot viranomaisille seuraa jo 17 a ja 17 c §:n mukaisten viranomaisten voimassa olevista tiedonsaantioikeuksista. Ehdotetulla säännöksellä on tarkoitus säätää tiedonluovutuksen käytänteistä sähköisen rajapinnan avulla. Mikäli 1 a §:n mukainen toimija ylläpitää pankki- ja maksutilien tiedonhakujärjestelmää, 17 b ja 17 d §:n 1 momentissa tarkoitetut tiedot olisi luovutettava tiedonhakujärjestelmää hyödyntäen. Esimerkiksi luottolaitokset toimittaisivat saldo- ja tilitapahtumatiedot lähtökohtaisesti pankki- ja maksutilien tiedonhakujärjestelmän avulla. Maksulaitokset, sähkörahayhteisöt ja kryptovarapalvelun tarjoajat voivat myös halutessaan ylläpitää pankki- ja maksutilien tiedonhakujärjestelmää (tilirekisteriin toimittamiensa tietojen sijaan). Mikäli edellä mainittu toimija olisi perustanut pankki- ja maksutilien tiedonhakujärjestelmän, saldo- ja tilitapahtumatietojen luovutus noilta toimijoilta tapahtuisi myös kyseisen tiedonhakujärjestelmän avulla. Tilitapahtumia ei ehdoteta lisättäväksi voimassa olevan lain 5 §:ssä säädettyyn pankki- ja maksutilirekisteriin, joten tilirekisteriin tiedot toimittavat finanssitoimijat, eli käytännössä muut kuin tiedonhakujärjestelmän rakentaneet 1 a §:n mukaiset toimijat, luovuttaisivat saldo- ja tilitapahtumatiedot Tullin määrittelemien käsittelysääntöjen mukaisesti Tullin rakentaman tiedonluovutusjärjestelmän avulla.
Pykälän 1 momentissa säädettäisiin lisäksi määräaika saldo- ja tilitapahtumia koskevien tietojen luovuttamiselle. Saldo- ja tilitapahtumatiedot olisi toimitettava viipymättä, mutta viimeistään seuraavan pankkipäivän kuluessa. Lisäksi tiedot tulisi toimittaa salassapitosäännösten estämättä. Ehdotetun lain 2 luvun mukainen tiedon käsittely on automaattista ja tilin omistajatiedot tulee toimittaa viranomaiselle välittömästi. Toisin kuin 2 luvun viidennen rahanpesudirektiivin täytäntöönpanemiseksi säädetyssä automaattisessa ja välittömässä tiedonkäsittelyssä, 3 luvun tiedonkäsittely ei ole automaattista ja välitöntä. Koska tilitapahtumatiedot eivät kuulu direktiivin mukaisiin tietoihin vaan sääntely on kansallisista perusteista lähtevää, tulee sääntelyssä noudattaa valtiosääntöoikeudellisia edellytyksiä erityisten henkilötietojen luovutukseen liittyen. Mahdollisesti arkaluonteisiakin henkilötietoja sisältävien tilitapahtumatietojen käsittelyyn liittyy riskejä, joten tilitapahtumatiedot vaativat erilaisen tiedon käsittelytavan muun muussa erilaisten suojaustoimien takia. Tilitapahtumatietojen käsittelyssä tulee siten noudattaa erityistä huolellisuutta. Tämä tarkoittaa muun muassa sitä, että tiedot luovuttavalla luotto- tai maksulaitoksella tulee olla mahdollisuus tosiasiallisesti arvioida tiedon luovutuksen edellytyksiä. Mikäli kyse on pelkästään saldotiedoista, tulee luotto- tai maksulaitoksen pyrkiä toimittamaan tieto viipymättä, mutta kun kyse on kattavammista arkaluonteisiakin tietoja mahdollisesti sisältävistä tilitapahtumatiedoista, tulee luotto- tai maksulaitokselle antaa tarpeellinen aika mahdolliseen arviointiin ja tiedon keräämiseen. Koska kyse on kuitenkin tiedosta, jota viranomainen yleensä tarvitsee kiireellisesti esimerkiksi esitutkinnassa, tulisi tieto luovuttaa viranomaiselle viimeistään kyselyä seuraavana pankkipäivänä virka-ajan päättymiseen eli kello 16.15 mennessä. Mikäli kysely ei tulisi virka-ajan puitteissa eli kello 8.00–16.15 välillä, alkaisi määräajan laskenta seuraavasta pankkipäivästä. Toisin sanoen, jos viranomainen lähettää kyselyn perjantaina kello 18.00, määräaika vastauksen toimittamiselle olisi seuraavana tiistaina kello 16.15 mennessä. Määräaikoihin sovellettaisiin Suomen aikavyöhykettä.
Tietojen toimittamisen määräaika alkaisi aina kyselyajankohdasta. Koska määräaika saldo- ja tilitapahtumatietoja koskevan vastauksen toimittamiselle pankki- ja maksutilien valvontajärjestelmän kautta on seuraavan pankkipäivän kuluessa, tulee Tulli teknisesti määrittämään sanoman sulkemisen tähän kyseiseen ajankohtaan. Mikäli tiedonluovuttaja pyytää lisätietoa kyselyyn liittyen, tulee vastaus pystyä toimittamaan kyselyn määräajan puitteissa tai sitten toimivaltaisen viranomaisen tulee tehdä uusi kysely lisätietojen toimittamisen jälkeen. Tiedonluovuttajan tekemää lisätietopyyntöä ei ole mahdollista välittää koostavan sovelluksen avulla vaan pyyntö ja siihen liittyvä viestinvaihto olisi tehtävä järjestelmästä erillään esimerkiksi sähköpostin avulla. Tällaisia tapauksia varten tietopyynnön mukana välitetään kysyvän viranomaisen tarkemmat yhteystiedot. Saldo- ja tilitapahtumajärjestelmän avulla pyydettävien 17 d §:n 2 momentin mukaisten arvopaperitietojen toimittamiseen ei säädettäisi määräaikaa vaan tiedot olisi toimitettava kuten kunkin tietoja pyytävän viranomaisen tiedonsaantisääntelyssä on säädetty.
Toisessa momentissa
säädettäisiin toimitettavien tietojen ajallisesta kestosta. Edellä 17 d §:n 1 momentissa tarkoitetut tilitapahtumatiedot tulisi toimittaa pyydettäessä edeltävältä viideltä vuodelta. Tämä ei tarkoittaisi sitä, että tiedot tulisi toimittaa jokaisen tietopyynnön kohdalla edellä mainitulta ajanjaksolta, vaan ajanjaksoa, jolta toimivaltaisella viranomaisella olisi oikeus saada tilitapahtumatiedot niin pyytäessään. Viranomaisen tulisi kuitenkin tietopyyntöä tehdessään aina arvioitava mikä olisi yksittäisessä käsittelyssä ja tietopyynnössä se määräaika miltä ajanjaksolta tiedot olisivat välttämättömiä ja siten tiedon yhtenä käsittelijänä varmistaa tiedon minimoinnin periaate. Lain voimaantulon osalta koskien tietojen luovuttamista saldo- ja tilitapahtumista säädettäisiin kolmen vuoden siirtymäajasta, jonka mukaisesti aluksi, säännöksen soveltamisen alkaessa järjestelmän kautta tulisi luovuttaa tiedot pyydettäessä kahden edeltävän vuoden ajalta, seuraavana vuonna pyydettäessä edeltävältä kolmelta vuodelta, sitä seuraavana vuonna pyydettäessä neljältä edeltävältä vuodelta ja kolme vuotta säännöksen soveltamisen alkamisen jälkeen tietojen luovuttamisvelvoite koskisi tietoja pyydettäessä viiden vuodelta ajalta. Tiedonluovuttajalla olisi kuitenkin mahdollisuus luovuttaa saldo- ja tilitapahtumatietoja heti lain voimaantulon jälkeen myös pidemmältä ajalta kuin kahdelta edeltävältä vuodelta eikä säännös rajoittaisi miltään osin viranomaisten lakisääteistä tiedonsaantioikeutta tätä vanhemmista tiedoista. Yli viisi vuotta vanhojen tietojen toimittamiseen ei kuitenkaan sovellettaisi edellisen momentin mukaista määräaikaa vaan tiedot olisi toimitettava siinä määräajassa kuin kunkin tietoja pyytävän viranomaisen tiedonsaantisääntelyssä on säädetty.
Vaikka rekisterinpitäjän, tässä tapauksessa tietopyyntöä tekevän viranomaisen, tulee noudattaa tietojenkäsittelyssään jo lähtökohtaisesti yleisen tietosuoja-asetuksen 5 artiklasta tulevia velvoitteita, kuten tietojen minimointia ja säilytyksen rajoittamista koskevia periaatteita ja siten yleisen tietosuoja-asetuksen kanssa päällekkäistä sääntelyä olisi vältettävä, katsotaan välitettävien tietojen luonteen vuoksi täsmentävän sääntelyn olevan tarpeellista. Tilitapahtumatietoihin voi liittyä erityisiä henkilötietoja, arkaluonteisia tietoja sekä muita tietoja, jotka menevät syvälle rekisteröidyn yksityisyyden piiriin. Lisäksi tilitapahtumatietojen käsittelyssä voidaan käsitellä myös tietopyyntöön nähden ulkopuolisten henkilöiden henkilötietoja. Jotta säädös olisi täsmällinen ja tarkkarajainen sekä ohjaisi ennakoitavaan soveltamiseen, säädettäisiin pykälän 2 momentissa tietopyynnön tapauskohtaisesta arvioinnista ja ajallisesta rajauksesta. Tilitapahtumatiedoissa viranomaiselle luovutetaan väistämättä myös sellaista tietoa, joka ei liity tietopyynnön perusteena olevaan asiaan. Vaikka muun muassa henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018) 6 §:n 1 momentissa on säädetty tarpeettomien henkilötietojen poistosta ilman aiheetonta viivytystä, viranomaisella tulisi myös tämän lain henkilötietojen käsittelyn osalta olla velvollisuus analysoida luovutettuja tilitapahtumatietoja ja poistaa tarpeettomat tiedot ilman aiheetonta viivytystä. Näin vahvistettaisiin rekisteröityjen henkilötietojen- ja yksityisyyden suojaa ja sekä henkilötietojen käsittelyn minimoinnin periaate että henkilötietojen käsittelyn välttämättömyys toteutuisivat varmemmin.
Pykälän 3 momentissa säädettäisiin 1 a §:n mukaisten toimijoiden mahdollisuudesta luovuttaa perustellusta syystä viranomaisen pyytämät 17 d §:n 2 momentissa tarkoitetut arvopaperitiedot muuten kuin saldo- ja tilitapahtumajärjestelmän teknisen rajapinnan avulla. Mikäli arvopaperitietoja ei esimerkiksi tietosisällön luonteesta johtuen olisi mahdollista toimittaa ISO20022 sanomarakenteen muodossa, mikä olisi vaatimuksena saldo- ja tilitapahtumajärjestelmän tiedonkäsittelylle, tiedot luovuttava taho voisi toimittaa kyseiset tiedot muulla tietoturvallisella tavalla, esimerkiksi suojatun sähköpostiyhteyden avulla. Ehdotetulla säännöksellä ei olisi vaikutusta viranomaisten voimassa oleviin tiedonsaantioikeuksiin vaan sillä on tarkoitus selkeyttää keskitetyn järjestelmän käyttöön liittyviä velvoitteita tiedonluovuttajille. Lain tavoitteena on saada sekä viranomaisen kyselyt että niihin saadut vastaukset saman tietoturvallisen järjestelmän piiriin, mutta riippuen tiedonluovuttajien teknisistä järjestelmistä ja niiden sisäisistä tiedonkäsittelytavoista esitetään, että vastauksen toimittaminen olisi mahdollista myös pankki- ja maksutilien valvontajärjestelmän ulkopuolella. Tiedonluovutus tulisi kuitenkin olla toteutettu tietoturvallisella tavalla. Ehdotettu sääntely parantaisi siten kyseisten tietojen luovutusten tietoturvallisuutta nykytilanteeseen verrattuna.
Pykälän 4 momentissa säädettäisiin Tullin velvollisuudesta poistaa tiedot koostavasta sovelluksesta välittömästi, kun tiedot on luovutettu pyynnön tehneelle viranomaiselle. Tietoja ei varastoitaisi koostavaan sovellukseen, kun ainoastaan sen ajan, että viranomainen on hakenut tiedot sovelluksesta. Tulli ei välittäisi luottolaitokselta tai muulta tiedonluovuttajalta saamiaan tietoja automaattisesti viranomaisen järjestelmään, vaan viranomainen hakisi itse tiedot omaan tiedonhakujärjestelmäänsä. Mikäli viranomainen ei kävisi hakemassa Tullin koostavassa sovelluksessa väliaikaisesti säilytettäviä tietoja Tullin määräämän ajan puitteissa, tiedot poistuisivat automaattisesti koostavasta sovelluksesta. Tulli huomioisi tietojen poistamisen määräajan määrittelyssä vastauksen saapumisajankohdan, jotta viranomaisella olisi mahdollisuus noutaa tieto riittävän ajan kuluessa virka-aikana.
17 g §.Rekisterinpitäjä ja keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän tiedonkäsittelyyn liittyvät vastuut.
Pykälässä säädettäisiin ehdotetun mukaisen saldo- ja tilitapahtumajärjestelmän rekisterinpidosta ja tiedonkäsittelyyn liittyvistä vastuista toimijakohtaisesti.
Pankki- ja maksutilien valvontajärjestelmä muodostaa yhden rekisterikokonaisuuden. Pykälän 1 momentin mukaisesti jokainen rekisterikokonaisuuden tiedonkäsittelijä vastaa osaltaan ja itsenäisesti keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmään kuuluvien henkilötietojen käsittelyn lainmukaisuudesta tietosuoja-asetuksen mukaisesti. Järjestelmässä käsiteltävän tiedon osalta rekisterinpitäjiä ovat siten tietopyyntöjä tekevät toimivaltaiset viranomaiset, koostavan sovelluksen ylläpitäjä Tulli ja tietoja luovuttavat luotto- ja maksulaitokset, sähkörahayhteisöt ja kryptovarapalvelun tarjoajat. Ehdotettu saldo- ja tilitapahtumajärjestelmä on keskitetty järjestelmä, jossa toimivaltaisella viranomaisella on kyselypohjainen yksi rajapinta eli tiedonhakujärjestelmä, jonka avulla sen on mahdollista saada tiedot tiedonluovuttajilta. Toimivaltainen viranomainen on oikeutettu tekemään saldo- ja tilitapahtumatietoja koskevan kyselyn keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän avulla kohdennetusti yksittäistä, käsittelyssä, tutkinnassa tai selvityksessä olevaa asiaa varten ja vain siihen luottolaitokseen tai muuhun 1 a §:n mukaiseen toimijaan, josta se tietoa tarvitsee. Viranomainen tekee kyselyn oman tiedonhakujärjestelmänsä kautta Tullin koostavan sovellukseen, joka välittää kyselyn edelleen tiedon luovuttajalle. Viranomaisella ei siis ole suoraa pääsyä esimerkiksi luotto- ja maksulaitosten tiedonhakujärjestelmiin eivätkä tiedonluovuttajat myöskään toimita saldo- ja tilitapahtumia valmiiksi mihinkään uuteen rekisteriin. Ehdotetulla sääntelyllä ei siis olla muodostamassa uutta henkilörekisteriä. Keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä mahdollistaa ainoastaan sen, että tiedonluovuttajat luovuttavat yksittäistä kyselyä varten kokoamansa saldo- ja tilitapahtumatiedot Tullin koostavaan sovellukseen, josta Tulli välittää ne pyynnön tehneelle viranomaiselle. Henkilötietojen käsittelyn kokonaisuudessa rekisterinpitäjyys vaihtuu katkeamattomasti siirryttäessä viranomaisen tiedonhakujärjestelmän rajapinnasta koostavaan sovellukseen. Yhtäältä rekisterinpitäjyys vaihtuu, kun Tulli välittää tietopyynnön koostavasta sovelluksesta tiedonluovuttajan järjestelmään ja edelleen vastauksen tiedonluovuttajalta takaisin koostavaan sovellukseen. Koostavasta sovelluksen rekisterinpitäjyys siirtyy taas viranomaiselle, kun viranomainen hakee tiedon koostavasta sovelluksesta oman tiedonhakujärjestelmänsä avulla.
Tietosuoja-asetuksen 4 artiklassa on määritelty, se, mitä asetuksessa tarkoitetaan henkilötietojen käsittelyllä. Määritelmän mukaan käsittely kattaa toiminnon tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista. Rekisterinpitäjällä asetuksessa tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.
Keskitetyssä sähköisessä saldo- ja tilitapahtumajärjestelmässä sovelletaan käsittelylähtöistä ajattelua suhteessa tiedonkäsittelyyn liittyviin vastuisiin. Tietosuoja-asetuksen mukaisesti rekisterillä tarkoitetaan mitä tahansa jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu. Koska pankki- ja maksutilien valvontajärjestelmä muodostaa yhden rekisterikokonaisuuden, jokainen rekisterikokonaisuuden tiedonkäsittelijä vastaa kukin osaltaan ja itsenäisesti keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmään kuuluvien henkilötietojen käsittelyn lainmukaisuudesta. Toimijat eivät olisi kuitenkaan yhteisrekisterinpitäjiä, koska ne käsittelevät henkilötietoja eri tarkoituksiin, eivätkä ne määrittele yhdessä henkilötietojen käsittelytarkoitusta. Ehdotetulla säännöksellä useasta erillisestä rekisterinpitäjästä täydennetään rekisterinpitäjää koskevaa sääntelyä tietosuoja-asetuksen 4 artiklan 7 kohdan mukaisesti. Ehdotus vastaa voimassa ollutta tilannetta, mutta uuden keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän käyttöönoton myötä ehdotettu sääntely täsmentäisi jokaisen tiedonkäsittelijän vastuita, joihin on voimassa olevassa laissa katsottu liittyvän epäselvyyttä.
Pykälän 2 momentin mukaan toimivaltainen viranomainen vastaa tekemänsä kyselyn välttämättömyydestä ja oikeasuhtaisuudesta. Viranomaisen on ennen kyselyn tekemistä arvioitava 17 b ja 17 d §:n perusteluissa esitellyllä tavalla, mitä tietoja ja kuinka pitkältä ajalta sen on välttämätöntä saada kyseisen tehtävänsä hoitamiseksi. Viranomaisen tulee tietopyyntöä tehdessään antaa tieto muun muassa tietopyynnön oikeusperustasta ja käyttötarkoituksesta sekä tietopyyntöön liittyvästä tapaus- eli viitenumerosta. Toimivaltaiset viranomaiset toimivat rekisterinpitäjinä koostavan sovelluksen kautta välitettyjen tekemiensä tietopyyntöjen ja niihin vastaanottamiensa henkilötietojen osalta ja niitä koskevat yhtäläisesti tietosuoja-asetuksen ja sitä täydentävän kansallisen sääntelyn mukaiset sekä viranomaisia koskevissa erityislaeissa säädetyt rekisterinpitäjää ja henkilötietojen käsittelyä koskevat velvoitteet. Saldo- ja tilitapahtumatietoja koskevaa kyselyä eikä koko tiedonkäsittelyä muodostuisi ilman viranomaisen tekemää kyselyä, joten viranomaisen vastuu ja rooli järjestelmän osana on keskeinen. Muilla järjestelmän tiedonkäsittelijöillä; Tullin koostavalla sovelluksella tai pankki- ja maksutilien tiedonhakujärjestelmää ylläpitävällä luottolaitoksella tai muulla 1 a §:n mukaisella tiedon luovuttajalla ei ole samanlaisia mahdollisuuksia täysimääräisesti täyttää kaikkia tietosuoja-asetuksen 5 artiklan mukaisia velvoitteita kuin viranomaisella on. Siitä johtuen viranomaisen vastuuta tietopyynnön oikeasuhtaisuudesta voidaan pitää korostettuna, vaikka kenenkään tiedonkäsittelijän tietosuoja-asetuksen mukaista vastuuta ei voidakaan poistaa ehdotetulla sääntelyllä. Viranomaiset toimivat virkavastuulla ja saldo- ja tilitapahtumia koskevan tiedonhaun sähköistämisen seurauksena laillisuusvalvonta niiden osalta paranisi toimivaltaisessa viranomaisessa entisestään.
Pykälän 3 momentin mukaan Tulli vastaisi koostavalla sovelluksella viranomaiselta tulevan kyselyn välittämisestä 1 a §:n mukaiselle tiedon luovuttajalle sekä siihen saatavan vastauksen välittämisestä tiedon luovuttajalta toimivaltaiselle viranomaiselle. Tullilla ei ole oikeutta pyydettyyn tietoon eikä sillä ole mahdollisuutta arvioida viranomaisen pyynnön oikeasuhtaisuutta esimerkiksi kysytyn ajanjakson suhteen. Koostavan sovelluksen automaatio tarkastaa ainoastaan sen, että toimivaltainen viranomainen on pyyntöä tehdessään antanut kaikki kyselyn välittämiseen tarvittavat tiedot. Tulli välittäisi kyselyn mukana tietopyynnön tiedot kyselyn oikeusperustasta ja käyttötarkoituksesta sekä tietopyyntöön liittyvästä tapaus- eli viitetiedosta. Viitetiedolla tarkoitetaan esimerkiksi esitutkintaviranomaisen r-numeroa tai viraston sisäistä diaarinumeroa, jonka nojalla viranomainen on tehnyt kyselyn saldo- ja tilitapahtumajärjestelmään. Kyseessä ei siis ole pankki- ja maksutilien valvontajärjestelmän itse luoma viitenumero. Lisäksi Tulli välittäisi kyselyn tehneen viranomaisen yhteystiedot eli esimerkiksi sähköpostiosoitteen ja puhelinnumeron.
Tullin rekisterinpitäjän tehtävät liittyvät tietosuojasta ja tietoturvallisuudesta huolehtimiseen, rekisteröityjen oikeuksista informoimiseen ja muihin vastaaviin rekisterinpitäjän tehtäviin. Tullilla olisi lisäksi rekisterinpitäjän rooli koostavan sovelluksen tallennettavien lokitietojen osalta. Tulli välittäisi tarvittaessa lokitietoja toimivaltaisille viranomaisille niiden omaa laillisuusvalvontaan varten.
Pykälän 4 momentin mukaan 1 a §:n mukainen tiedonluovuttaja vastaa luovutettavien tietojen oikeellisuudesta. Luottolaitokset toimivat kukin oman pankki- ja maksutilien tiedonhakujärjestelmän osalta rekisterinpitäjinä ja niillä olisi velvollisuus toteuttaa tietosuoja-asetuksen 5 artiklan 2 kohdan edellyttämää osoitusvelvollisuus henkilötietojen käsittelyn lainmukaisuudesta. Sama vaatimus koskee muitakin 1 a §:n mukaisia tiedonluovuttajia kunkin tietoteknisestä järjestelmästä riippumatta. Eräs tärkeimmistä periaatteista on kyseisen artiklan 1 d kohdan mukainen täsmällisyyden periaate: henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Tämä tarkoittaa, että tiedonluovuttajan tulee varmistua, että se luovuttaa kaikki viranomaisen pyytämät tiedot eli tietosisältö on eheä. Periaatteen mukaisesti viranomaisen tulee pystyä luottamaan, että sen saamat tiedot ovat täsmällisiä ja päivitettyjä ja kattavat kaikki sen pyytämät tiedot.
Koska tiedon oikeellisuus ja eheys ovat ensisijaisen tärkeitä järjestelmän luotettavuuden kannalta ja tietojen virheettömyys voi puuttuessaan aiheuttaa merkittävää haittaa rekisteröidyn oikeuksille ja vapauksille, ehdotuksessa hyödynnetään tietosuoja-asetuksen 6 artiklan 3 kohdan mukaista liikkumavaraa ja 5 momentin mukaisesti ehdotetaan, että viranomaisen tulisi ilmoittaa Tullille havaitsemistaan tietojen puutteellisuudesta tai mahdollisista virheellisyyksistä. Tullilla olisi siten mahdollisuus selvittää onko kysymys järjestelmävirheestä. Kyseinen menettely olisi virheettömyyden varmistamiseksi sovellettava suojatoimi. Lähtökohtaisesti viranomaisen henkilöstöllä, joka käsittelee järjestelmästä saatuja henkilötietoja, olisi velvollisuus ilmoittaa havaitsemistaan tiedon puuttumiseen liittyvistä epäilyistä tai mahdollisista tietoturvapoikkeamista oman organisaationsa ohjeiden mukaisesti. Mikäli kyse ei olisi pankki- ja maksutilien valvontajärjestelmän teknisestä järjestelmävirheestä, viranomaisen tulisi olla yhteydessä suoraan tiedonluovuttajaan, joka ehdotetun 17 g §:n 3 momentin mukaan vastaa luovuttamiensa saldo- ja tilitapahtumatietojen oikeellisuudesta sekä tietojen oikaisemisesta ilman aiheetonta viivytystä. Mikäli häiriötilanne organisaation sisäisen arvioinnin mukaan täyttäisi tietoturvaloukkauksen määritelmän, tulisi siitä ilmoittaa valvontaviranomaiselle tietosuojasääntelyn mukaisesti. Tietosuojavaltuutettu toimii tietosuojalain 8 §:n mukaan tietosuoja-asetuksessa tarkoitettuna kansallisena valvontaviranomaisena. Tietosuojavaltuutettu valvoo siten saldo- ja tilitapahtumajärjestelmässä tapahtuvaan henkilötietojen käsittelyyn liittyvien velvoitteiden noudattamista.
17 h §. Keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän lokitiedot.
Voimassa olevassa pankki- ja maksutilien valvontajärjestelmää koskevassa laissa säädetään lokitietoja koskevia velvoitteita tilirekisteriä ja koostavaa sovellusta ylläpitävälle Tullille sekä tiedonhakujärjestelmästä tietoja saaville lain 3 §:n mukaisille toimivaltaisille viranomaisille. Velvoite lokitietojen keräämisestä tulisi säätää myös keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän käytöstä samoille tahoille. Lisäksi säädettäisiin, että myös tiedonluovuttavat pitäisivät lokirekisteriä keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän kautta tehdyistä tietopyynnöistä.
Pykälän ensimmäisessä momentissa Tullille säädettäisiin velvoite pitää lokirekisteriä koostavan sovelluksen kautta keskitettyyn sähköiseen saldo- ja tilitapahtumajärjestelmään tehtävistä kyselyistä. Tulli ylläpitää koostavaa sovellusta ja lokitietojen käsittelyllä rekisterinpitäjä voi osoittaa noudattavansa tietosuoja-asetuksen 5 artiklan 2 kohdan mukaista osoitusvelvollisuutta. Lokirekisterinpitovelvoite on siten yksi tietosuoja-asetuksen mukainen suojatoimi, joka on rekisterinpitäjän vastuulla.
Lisäksi Tullille säädettäisiin velvoite luovuttaa keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmään tehtyjä hakuja koskevat lokitiedot 17 a ja 17 c §:ssä tarkoitetuille viranomaisille niiden pyynnöstä. Lokitietojen avulla toimivaltaiset viranomaiset voisivat täydentää omaa laillisuusvalvontaansa. Lokitiedoiksi säädettäisiin asian viitetiedot eli asian käsittelynumero tai muu tunnistetieto, tietopyynnön oikeusperusta, tiedustelun tai haun päivämäärä ja kellonaika, tiedustelussa käytettyjen tietojen tyyppi, tiedustelun tuloksen tunnistetiedot ja järjestelmää käyttäneen toimivaltaisen viranomaisen nimi.
Pykälän 2 momentissa säädettäisiin toimivaltaisille viranomaisille sekä tietoa luovuttaville 1 a §:n mukaisille toimijoille velvollisuus pitää lokirekisteriä. Rekisterinpitämisellä tiedonluovuttaja voi osoittaa noudattaneensa tietosuoja-asetuksen mukaisia periaatteita eli vaatimus tukee sen osoitusvelvollisuutta.
Pykälän 3 momentissa säädettäisiin, että toimivaltaistenviranomaisten lokirekisteristä olisi käytävä myös ilmi keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä tiedustelun tai haun suorittaneen henkilön ja sen määränneen henkilön tunnistetiedot sekä tiedustelun tai haun tulosten vastaanottajan tunnistetiedot, mikäli ne on mahdollista saada. Säännöksen mukaan toimivaltaisen viranomaisen olisi nimettävä henkilö, joka valvoo keskitetyn sähköisen saldo- ja tilitapahtumajärjestelmän käyttöä. Valvonta pitää sisällään sen, että lokirekisterin tietoja on käytävä läpi säännöllisesti poikkeamien havaitsemiseksi. Lokirekisterin tarkastelun tulee olla aktiivista, jotta mahdolliset väärinkäytökset havaitaan nopeasti.
Pykälän 4 momentin mukaan lokitiedot tulisi säilyttää viisi vuotta, ellei niitä tarvita kesken olevassa valvonta-asiassa. Säädetty määräaika vastaisi voimassa olevassa laissa säädetyn Tullin lokirekisterin muotoilua, joten voidaan pitää tarkoituksenmukaisena, että säilytysaika on yhteneväinen keskitetyn automatisoidun tilitietojärjestelmän ja keskitetyn sähköisen saldo- ja tilitapahtumatietojärjestelmän osalta. Mikäli jollain viranomaisella on tarpeen säilyttää lokitiedot yli 5 vuotta, on sen ilmoitettava asiasta Tullille, jotta koostavan sovelluksen lokitietojen säilytysaikaa voidaan noiden tietojen osalta myös pidentää.