Yleistä

Ehdotus yleiseksi tietosuoja-asetukseksi on osa EU:n tietosuojasääntelyn uudistamista. Uudistamisen taustalla ovat erityisesti vuoden 2009 Tukholman ohjelma ja EU:n perusoikeuskirjan säännökset. Yleisen tietosuoja-asetuksen tarkoituksena on varmistaa yhtenäinen tietosuojan taso unionin alueella sekä yksityisellä että julkisella sektorilla. Yleisen tietosuoja-asetuksen soveltamis-alan ulkopuolelle jää henkilötietojen käsittely poliisi- ja oikeudellisessa yhteistyössä, josta säädetään erikseen direktiivillä. Mainitun direktiivin valmistelu unionissa on myös käynnissä. Lisäksi esimerkiksi sähköisen viestinnän tietosuojaa koskeva direktiivi (2002/58/EY) on tarkoitus ottaa kokonaistarkasteluun tietosuoja-asetuksen hyväksymisen jälkeen. Lissabonin sopimuksen myötä perustamissopimuksissa on oma erillinen oikeusperustansa henkilötietojen suojalle (SEUT 16 art.), jonka mukaan jokaisella on oikeus henkilötietojensa suojaan. 

Tietosuoja-asetus korvaisi nykyisen henkilötietodirektiivin (95/46/EY). Teknologian nopean kehityksen ja globalisaation myötä henkilötietoja kerätään nykyisin huomattavasti enemmän ja erilaisin tekniikoin kuin unionin voimassa olevan tietosuojasääntelyn antamisen aikaan. Valiokunta pitää EU:n tietosuojasääntelyn ajanmukaistamista ja yhdenmukaistamista tarpeellisena. Erityisen tärkeä eurooppalainen lainsäädäntö on niille, jotka toimivat useamman jäsenvaltion alueella. Tietosuoja-asetus on myös osa digitaalisten sisämarkkinoiden kehittämistä. Valiokunta pitää tärkeänä tietosuoja-asetuksen tavoitetta parantaa digitaalisten sisämarkkinoiden toimintaedellytyksiä ja vahvistaa EU:n kansalaisten luottamusta sähköisiin palveluihin ja viranomaisten toimintaan. Valiokunta tukee tavoitetta tietosuoja-asetuksen aikaansaamiseksi vuoden 2015 kuluessa. 

Asetusehdotuksen luvut I, III, VIII, X ja XI

Tietosuoja-asetus on laaja säädöshanke, minkä vuoksi oikeus- ja sisäasioiden neuvosto on valmistellut asetusehdotusta hyväksymällä ns. osittaisia yleisnäkemyksiä asetusehdotuksen luvuista kesäkuusta 2014 alkaen. Luvuista I, III, VIII, X ja XI osittaista yleisnäkemystä ei ole vielä hyväksytty. Luvuissa säädetään muun muassa tietosuoja-asetuksen soveltamisalasta, rekisteröidyn oikeuksista, oikeussuojakeinoista ja seuraamuksista sekä komission toimivallasta antaa delegoituja säädöksiä ja täydennetään kansallista liikkumavaraa koskevaa sääntelyä. 

Suomen keskeisimmät neuvottelutavoitteet näissä luvuissa ovat koskeneet oikeutta tulla unohdetuksi, ts. rekisteröidyn oikeutta saada itseään koskevat tiedot poistetuksi, tietojen siirrettävyyttä, ts. rekisteröidyn mahdollisuutta saada itseään koskevat tiedot koneluettavassa muodossa ja siirtää kyseiset tiedot esimerkiksi toiselle palveluntarjoajalle, hallinnollisia sanktioita sekä komission valtuuksia antaa delegoituja ja täytäntöönpanosäädöksiä. 

Saadun selvityksen mukaan asetustekstiä on muokattu keskeisten tavoitteiden osalta Suomen toivomaan suuntaan. Artiklatekstissä mm. tarkennetaan, että rekisteröidyn oikeus saada itseään koskevat tiedot poistettavaksi ei koske tilanteita, joissa rekisterinpitäjällä on lakiin perustuva velvoite käsitellä tietoja. Tiedon siirrettävyyttä koskevan artiklan soveltamisalaa on Suomen tavoitteiden mukaisesti neuvottelujen kuluessa kavennettu komission ehdotukseen nähden. Julkinen sektori on jätetty sen soveltamisalan ulkopuolelle. Lisäksi kyseinen artikla tulee sovellettavaksi ainoastaan tilanteissa, joissa henkilötietojen käsittely perustuu suostumukseen tai sopimukseen. Valiokunnalle toimitetun selvityksen mukaan puheenjohtajan 3.6.2015 päivättyyn kompromissiehdotukseen on vielä lisätty Suomen ehdotuksesta johdanto-osan lauseke, jossa tarkennetaan, että oikeudesta siirtää tiedot ei ole johdettavissa rekisterinpitäjälle velvoitetta yhteensopivien järjestelmien käyttämiselle. 

Valiokunta toteaa, että myös sanktioita koskeviin artikloihin on otettu mukaan useita Suomen muotoiluehdotuksia. Tekstissä otetaan mm. huomioon mahdollisuus antaa huomautuksia hallinnollisten sanktioiden sijaan. Asetusehdotuksessa luetellaan kriteerit, joiden pohjalta tulee arvioida, määrätäänkö hallinnollisia sanktioita ja minkä suuruisena sanktio tulisi määrätä. Selvityksen mukaan Suomi on neuvotteluissa mm. korostanut sitä, että kriteereissä ei saisi korostua teon ennalta arvaamattoman seurauksen merkitys. Asetusehdotukseen on tehty muutoksia näiden kommenttien pohjalta. Lisäksi asetuksen johdanto-osaan on otettu mukaan Suomen ehdottama tekstimuotoilu, joka korostaa huomautusten käyttömahdollisuutta tilanteissa, joissa kyse on vähäisistä rikkomuksista tai sakko olisi luonnolliselle henkilölle kohtuuton seuraamus. Valiokunta tähdentää, että asetuksella säädettäisiin ainoastaan sakkojen enimmäismäärästä. Jäsenvaltioiden viranomaisille jää siten tältä osin harkinnanvaraa sakon suuruuden suhteen. Seuraamuksia määrättäessä on otettava huomioon yleiset oikeasuhtaisuuden vaatimukset. 

Asetusehdotuksen keskeisimpien käsitteiden määritelmät vastaavat pitkälti voimassa olevaa henkilötietodirektiiviä. Henkilötiedon määritelmään on tehty tarkennuksia, jotka valiokunnan käsityksen mukaan vastaavat nykytulkintaa. Valiokunta pitää myös tarpeellisena asetusehdotuksen johdanto-osaan tehtyä lisäystä, että myös osuuskuntia voidaan kohdella yritysryhmänä. 

Asetusehdotus sisältää myös uusia käsitteitä. Pääosin niistä ei arvioida seuraavan juurikaan muutoksia sääntelyn nykytilaan Suomessa. Esimerkiksi henkilötietojen suojan suunnittelu on jo nykyisin rekisterinpitäjän nimenomainen velvollisuus. Vastaavasti oikeus tulla unohdetuksi voidaan sekin johtaa nykyisen lain säännöksistä. Tärkeä muutos nykytilaan on alaikäisten aseman huomioiminen sääntelyssä, esimerkkinä lapsen suostumusta koskeva 8 artikla. 

Kansallinen liikkumavara liittyy siihen, miten jäsenvaltioille annetaan mahdollisuus säilyttää tai antaa täsmentävää kansallista lainsäädäntöä asetuksen soveltamisesta. Kysymys on vahvasti sidoksissa asetuksen oikeudelliseen luonteeseen lainsäädäntöinstrumenttina. Valiokunta on lausunut kansallisesta liikkumavarasta erityisesti lausunnoissaan HaVL 22/2014 vp ja HaVL 30/2014 vp. Selvityksen mukaan asetuksen kohdetta ja tavoitetta koskevaan 1 artiklaan on lisätty uusi kohta, jolla annetaan kansallista liikkumavaraa tarkentavan kansallisen lainsäädännön antamiseksi. Säännös mahdollistaa mainitussa valiokunnan lausunnossa tähdennetyn kansallisen liikkumavaran liittyen esimerkiksi työelämän erityissääntelyyn ja palkkatilastointiin. Lisäksi asetuksen johdanto-osaan on lisätty uusi 6 a kohta, joka selkeyttää asetuksen soveltamista kansallisella tasolla. 

Delegoiduilla säädöksillä viitataan komissiolle säädettävään toimivaltaan antaa muita kuin lainsäätämisjärjestyksessä hyväksyttäviä, soveltamisalaltaan yleisiä säädöksiä, joilla täydennetään tai muutetaan lainsäätämisjärjestyksessä hyväksytyn säädöksen muita kuin sen keskeisiä osia. Suomi on pitänyt komissiolle alun perin ehdotettua valtaa antaa delegoituja säädöksiä laajana ja yksityiskohtaisena. Suomi on kuitenkin kannattanut delegoitujen säädösten käyttöä silloin, kun se on perusteltua ja perussopimusten mukaista. Selvityksen perusteella voidaan todeta, että asetustekstistä on Suomen kannan mukaisesti poistettu valtuutuksia antaa delegoituja säädöksiä ja täytäntöönpanosäädöksiä useista artikloista. Hallinnollisten sanktioiden osalta komissiolle ehdotettua delegointivaltaa on kavennettu siten, ettei komissiolla olisi harkintavaltaa hallinnollisten sanktioiden määrien uudelleen arvioimiseen, vaan ainoastaan rahapolitiikan kehitykseen sidottu mahdollisuus mukauttaa sanktioiden enimmäisrajoja. 

Tietosuoja-asetuksen kokonaisarviointia

Sääntelyn yhdenmukaistaminen ja yksinkertaistaminen

Valiokunta on pitänyt tärkeänä, että henkilötietojen suojaa koskevaa EU-sääntelyä yhdenmukaistetaan ja yksinkertaistetaan siten, että samalla säilytetään tietosuojan korkea taso. Henkilötietodirektiiviä säädettäessä useilla jäsenmailla oli asiasta jo omaa lainsäädäntöä, eikä direktiivillä ole saatu aikaan riittävää yhdenmukaisuutta. Valiokunnan mielestä asetustasoista sääntelyä voidaan tässä pitää perusteltuna ratkaisuna. Tärkeää samalla on, että asetuksessa kuitenkin annetaan kansallista liikkumavaraa, joka mahdollistaa jäsenvaltiolle säilyttää tai antaa tarkentavaa kansallista sääntelyä, esimerkiksi julkisen sektorin erityispiirteisiin tai työelämän erityissääntelyyn liittyen. 

Valiokunta toteaa, että ehdotus tietosuoja-asetukseksi on huomattavasti yksityiskohtaisempi kuin nykyinen henkilötietodirektiivi. Osaksi se johtuu siitä, että asetus on suoraan sovellettavaa oikeutta, jolloin yksityiskohtaisempaa sääntelyä ei voida jättää samalla tavoin kansallisesti säädettäväksi kuin direktiivin implementoinnissa. Osaksi asetustekstin yksityiskohtaisuus on seurausta siitä, että komissiolle ehdotettua ohjausvaltaa on — Suomenkin tavoitteiden mukaisesti — haluttu karsia. Vaikka asetustekstiä on selkeytetty ja yksinkertaistettu verrattuna komission antamaan asetusehdotukseen, tekstin selkeydessä on edelleen toivomisen varaa. Tähän vaikuttaa osaltaan sekin, että asetusehdotukseen on tehty neuvottelujen kuluessa useita muutosehdotuksia eri jäsenmaiden taholta ja käsillä oleva asetusteksti on monelta osin kompromissi. 

Henkilötietojen suojan ja asiakirjajulkisuuden yhteensovittaminen

Suomessa viranomaisten toiminnan julkisuudesta annettu laki (621/1999, jäljempänä julkisuuslaki) ja henkilötietolaki (523/1999) muodostavat kokonaisuuden, joka sääntelee viranomaisten ylläpitämien henkilörekistereiden ja muiden asiakirjojen sekä niihin sisältyvien tietojen julkisuutta ja salassapitoa sekä henkilötietojen käsittelyssä noudatettavia vaatimuksia. Komission asetusehdotus ei sisältänyt säännöstä tietosuojalainsäädännön ja asiakirjojen julkisuusperiaatteen yhteensovittamisesta. Yksi Suomen keskeisistä neuvottelutavoitteista onkin ollut se, että asetukseen otettaisiin säännös, joka oikeuttaa huomioimaan asiakirjajulkisuuden tietosuoja-asetusta sovellettaessa. Valiokunta toteaa tyydytyksellä, että asetusehdotukseen on saatu neuvoteltua artikla, joka mahdollistaa kansallisen julkisuuslain yhteensovittamisen tietosuoja-asetuksen kanssa. 

Hallinnollinen taakka

Suomi on pitänyt keskeisenä myös sitä, ettei asetuksesta seuraisi rekisterinpitäjälle kohtuutonta hallinnollista taakkaa. Valiokunta on todennut, että tulisi pyrkiä ratkaisuihin, jotka vähentävät yritysten ja viranomaisten tarpeetonta hallinnollista taakkaa ja pitävät sääntelyn noudattamisen kokonaiskustannukset kohtuullisina siten, että samalla säilytetään tietosuojan korkea taso (mm. HaVL 6/2013 vp ja HaVL 22/2014 vp). Kokonaisarviota tehtäessä on huomioitava myös se, että henkilödirektiivin säätämisen jälkeen henkilötietojen suojasta on tullut EU:n perusoikeuskirjassa vahvistettu perusoikeus. 

Asetusehdotuksesta seuraa joitain uusia velvoitteita rekisterinpitäjälle, esimerkiksi vaikutusten arviointi 33 artiklassa. Neuvottelujen kuluessa artikloihin, joista olisi seurannut rekisterinpitäjälle huomattavaa hallinnollista taakkaa, on tehty merkittäviäkin muutoksia. Esimerkiksi velvollisuus nimetä tietosuojavastaava, johon valiokunta on kiinnittänyt huomiota, on asetusehdotuksen mukaan vapaaehtoista. Jotkut nykyisin kansallisessa lainsäädännössä olevat rekisterinpitäjän velvoitteet, joista seuraa hallinnollista taakkaa, kevenevät uudistuksen myötä. Esimerkiksi osa rekisterinpitäjistä on vapautumassa velvoitteesta laatia rekisteriseloste. Myös rekisterinpitäjän velvollisuus hakea eräissä tilanteissa tietosuojalautakunnalta lupa henkilötietojen käsittelyyn on kapenemassa tai poistumassa kokonaan. 

Asetusehdotuksessa pyritään vähentämään hallinnollista taakkaa myös riskipohjaisella lähestymistavalla. Tarkoituksena on ottaa sääntelyssä huomioon henkilötietojen käsittelyyn kulloinkin liittyvät riskit ja yhtäältä välttää vähäriskisen toiminnan ylisääntelyä ja toisaalta varmistaa rekisteröidyn suoja korkean riskin toiminnassa. Esimerkiksi velvollisuus arvioida henkilötietojen käsittelyn vaikutuksia koskee vain korkean riskin toimintaa. Korkean riskin kriteereistä on annettu suuntaviivoja johdanto-osan lausekkeessa (mm. HaVL 22/2014 vp). Myös velvollisuutta ilmoittaa tietoturvaloukkauksista on rajattu. 

Asetusehdotuksessa säädetään myös ns. sisäänrakennetusta ja oletusarvoisesta tietosuojasta, joka koskee rekisterinpitäjän suunnitteluvelvollisuutta. Järjestelmät, joissa henkilötietoja käsitellään, tulisi jo lähtökohtaisesti rakentaa siten, että henkilötietojen käsittely ei vaaranna rekisteröityjen yksityisyyden suojaa. Valiokunnan näkemyksen mukaan tämä on myös voimassa olevan henkilötietolain lähtökohta. Lisäksi henkilötietolain mukaisesta henkilötietojen käytön suunnitteluvelvollisuudesta, käyttötarkoitussidonnaisuudesta ja tarpeellisuusvaatimuksesta seuraa rekisterinpitäjälle velvoitteita, jotka on huomioitava verrattaessa tietosuoja-asetuksesta johtuvaa hallinnollista taakkaa nykytilanteeseen. 

Asiassa saadun selvityksen perusteella on asetusehdotuksessa saavutettu rekisteröityjen ihmisten henkilötietojen suojan ja rekisterinpitäjille tästä johtuvien velvollisuuksien kesken valiokunnan näkemyksen mukaan kohtuullinen tasapaino. 

Yhden luukun mekanismi

Ns. yhden luukun mekanismin tarkoituksena on se, että esimerkiksi yritys, joka toimii useammassa jäsenvaltiossa, voisi asioida vain yhden tietosuojaviranomaisen kanssa. Yhdenmukaisuusmekanismilla puolestaan pyritään yhdenmukaistamaan asetuksen soveltamista unionin alueella. Yksi Suomen keskeinen tavoite on ollut se, että mekanismien muodostamasta kokonaisuudesta tulee tehokas ja toimiva. Samalla on ollut tärkeää, että rekisteröidyn oikeudet ja aidosti käytettävissä olevat mahdollisuudet valittaa tietosuojaviranomaisen päätöksestä turvataan. Puheenjohtajan ehdotukseen sisältyy rekisteröidyn mahdollisuus valittaa tietosuojaviranomaisen päätöksestä. Lisäksi Euroopan tietosuojaneuvoston toimivaltuuksia on laajennettu antamalle sille oikeus tehdä sitovia päätöksiä, minkä toivotaan tehostavan mekanismin toimintaa. 

Yhden luukun mekanismin rakentamisessa hankaluutena on ollut erityisesti se, miten yhteen sovitetaan yhtäältä läheisyysperiaatteen, toisaalta rekisterinpitäjän tarpeet. Valiokunta suhtautui puheenjohtajan kompromissiehdotukseen varsin kriittisesti, mutta ei vastustanut sen hyväksymistä osana osittaista yleisnäkemystä ottaen huomioon, että osittaisessa yleisnäkemyksessä hyväksyttyihin lukuihin oli saatu neuvoteltua useita Suomelle tärkeitä muutoksia (HaVL 36/2014 vp). Valtioneuvoston selvityksestä ilmenee, että asetustekstiin on sittemmin lisätty Suomen ja eräiden muiden jäsenvaltioiden toivoma lauseke komission velvollisuudesta arvioida yhden luukun mekanismin toimivuutta, mitä valiokunta pitää erittäin tärkeänä. 

Työelämän tietosuoja ja palkkatilastointi

Valiokunta on myös kiinnittänyt huomiota siihen, miten Suomen työelämän tietosuojasääntely istuu ehdotettuun kokonaisuuteen ja miten työelämän erityispiirteet tulevat asetusehdotuksessa huomioon otetuiksi (HaVL 22/2014 vp, HaVL 30/2014 vp). Yksi tällainen kysymys liittyy palkkatilastoihin, joita Suomessa tuottavat työnantajajärjestöt. Elinkeinoelämän keskusliiton tuottaman palkkatilastoinnin pohjalta laaditaan selvityksiä ja laskelmia, joita hyödynnetään työmarkkinajärjestöjen välisissä työehtosopimusneuvotteluissa sekä ansiokehityksen seurannassa eri aloilla ja henkilöstöryhmissä. Elinkeinoelämän keskusliitto luovuttaa keräämänsä palkkatilastoaineiston myös Tilastokeskukselle, joka käyttää aineistoa sen julkaiseman virallisen palkkatilaston osana. Valiokunta on korostanut sen varmistamista, ettei asetusehdotus merkitse sääntelyn kiristymistä niin, että nykyisenkaltainen palkkatilastointi kävisi mahdottomaksi. 

Saadun selvityksen mukaan työelämän tietosuojaa koskevien neuvotteluiden seurauksena mahdollisuus antaa henkilötietolain yleisten periaatteiden mukaisia erityissäännöksiä työelämän tietosuojasta on säilynyt asetustekstissä ja työelämän tietosuojaa koskevien artiklojen muotoilussa on otettu huomioon Suomen erityistarpeet. Valiokunta pitää ensiarvoisen tärkeänä, että asetusehdotuksessa mahdollistettu kansallinen liikkumavara kansallisten erityispiirteiden huomioimiseksi säilyy. 

Johtopäätökset

Valiokunta toteaa, että nyt hyväksyttävänä oleviin asetuksen lukuihin on tehty useita Suomelle tärkeitä muutoksia, viimeisimmät käsiteltävänä olevan E-jatkokirjelmän antamisen jälkeen. Valiokunnan arvion mukaan osittainen yleisnäkemys jäljellä olevista luvuista olisi saadun selvityksen perusteella hyväksyttävissä. 

Arvioitaessa nyt hyväksyttävänä olevaa puheenjohtajan kompromissiehdotusta tietosuoja-asetukseksi kokonaisuutena valiokunta katsoo, että ehdotus olisi hyväksyttävissä edellyttäen kuitenkin, ettei Suomelle keskeisiin asioihin tule muutoksia. 

Kun asetusehdotuksen eri osat ovat nyt tarkentuneet ja asetuksen sisällöstä on muodostunut kokonaiskuva, on asetuksen taloudellisia vaikutuksia mahdollista arvioida tarkemmin, vaikkakin asetuksen sisältöön voi parlamentin kanssa käytävissä neuvotteluissa tulla muutoksia. Valiokunta pitää välttämättömänä, että asetuksen hyväksymisestä johtuvia taloudellisia vaikutuksia arvioidaan asetuksen soveltamisalaan kuuluvien sekä yksityisten että julkisten organisaatioiden osalta, mukaan lukien kuntasektori. Myös tietosuojavaltuutetun toimiston riittävään resursointiin on kiinnitettävä huomiota. 

Lopuksi valiokunta toteaa, että EU:n tasolla on useita tietosuojaan ja tietoturvaan liittyviä strategioita ja säädöshankkeita. Näiden eri asiakirjojen ja hankkeiden yhteensovittamiseen tulee kiinnittää erityistä huomiota päällekkäisyyksien ja hallinnollisen taakan kasvun välttämiseksi. Tärkeää myös on, että valmistelua koordinoidaan riittävästi sekä EU- että kansallisella tasolla.