Propositionens utgångspunkter

Regeringen föreslår att lagen om tjänster inom elektronisk kommunikation (917/2014), 29 § i lagen om behandling av personuppgifter inom Försvarsmakten (332/2019) och 22 § i lagen om behandling av personuppgifter i polisens verksamhet (616/2019) ändras. 

Propositionens målsättning är att förbättra tryggheten i samhället och uppfyllandet av de grundläggande rättigheterna, särskilt skyddet av konfidentiell kommunikation, genom att förbättra myndigheternas verksamhetsförutsättningar vid utredningen av sådana kränkningar av informationssäkerheten vilkas skadliga verkningar i allvarliga situationer i stor utsträckning kan drabba funktioner som är centrala för samhällets verksamhet. En målsättningen med propositionen är också att förbättra myndigheternas samarbete genom att utveckla lagstiftningen om handräckning och informationsutbytet vid utredning av sådana kränkningar av informationssäkerheten som är betydande och har allvarliga konsekvenser och vid hot om sådana kränkningar och vid elimineringen av dessa konsekvenser. 

Propositionen är en del av en större helhet som syftar till att utveckla cybersäkerheten, vars syfte är att avhjälpa sådana direkta brister i lagstiftningen som kan anses nödvändiga för att möjliggöra samarbete mellan myndigheterna för att utreda kränkningar av informationssäkerheten som är betydande med tanke på samhällets verksamhet. Till dataskyddssituationer ansluter sig också mera omfattande frågor som gäller exempelvis myndigheternas uppgiftsfält eller bildandet av omfattande förståelse av en situation. De kräver mera omfattande utredningar och lösningar söks i inrikesministeriets och försvarsministeriets pågående utredningsprojekt om myndigheternas verksamhetsförutsättningar i cybersäkerheten. 

Förvaltningsutskottet välkomnar propositionens syften och anser att det är viktigt att informationsutbytet och handräckningen mellan de aktörer som anges i propositionen fungerar vid observation, bekämpning och utredning av kränkningar av informationssäkerheten. Enligt utredning till utskottet har man dock inte inom den tid som satts ut för beredningen kunnat lösa alla utmaningar i anslutning till informationsutbytet. Utskottet anser dock att det är nödvändigt att fortsätta arbetet för att förbättra samarbetet och informationsutbytet mellan myndigheterna i den förändrade cybersäkerhetspolitiska omgivningen och i den nuvarande säkerhetspolitiska omgivningen. 

Informationsutbyte mellan myndigheter

Det föreslås att det till 309 § om handräckning i lagförslag 1 fogas en rätt för Transport- och kommunikationsverket att som handräckning av polisen, skyddspolisen och Försvarsmakten få experthjälp, utrustning, lokaler och anordningar för att utreda och undanröja verkningarna av betydande kränkningar av informationssäkerheten eller allvarliga hot om betydande kränkningar av informationssäkerheten. På samma sätt kan Transport- och kommunikationsverket på begäran ge andra myndigheter handräckning. Förvaltningsutskottet anser att förslagen om handräckning är motiverade och går i rätt riktning. 

Utskottet konstaterar dock att den föreslagna handräckningen inte ger Transport- och kommunikationsverket rättigheter att till en annan myndighet ge uppgifter om meddelanden, förmedlingsuppgifter eller lokaliseringsuppgifter. Utskottet konstaterar utifrån inkommen utredning att dessa uppgifter uttryckligen behövs vid utredningen av fallen och att det till exempel i samband med experthjälp kan finnas ett uttryckligt behov av ett sådant informationsutbyte. Både i bestämmelsen om handräckning i 309 § och i situationer som avses i 319 a §, som möjliggör informationsutbyte, är det fråga om betydande kränkningar av dataskyddet. 

Det föreslås i lagförslag 1 att 319 § utvidgas i fråga om de aktörer till vilka Transport- och kommunikationsverket trots tystnadsplikten kan lämna ut förmedlingsuppgifter och andra uppgifter som det fått i samband med kränkningar av informationssäkerheten. Uppgifter får lämnas ut till flera aktörer, såsom utländska förvaltningsmyndigheter, Europeiska unionens eller Nordatlantiska fördragsorganisationens institutioner, organ eller verk som utreder kränkningar av dataskyddet. Sakkunniga har framfört att uppgifter i regel inte kan lämnas ut till polismyndigheten och att detta kan anses vara en disproportion i bestämmelserna om utlämnande av uppgifter, med beaktande av polisens roll som ansvarig myndighet för den inre säkerheten vid utredningen och förhindrandet av dessa gärningar. 

Lagförslag 1 innehåller också en ny 319 a §, enligt vilken Transport- och kommunikationsverket, polisen, skyddspolisen och Försvarsmakten trots sekretessbestämmelserna och andra begränsningar som gäller utlämnande av uppgifter har rätt att till varandra lämna ut uppgifter som är nödvändiga för att utreda, förebygga eller undanröja betydande kränkningar av dataskyddet eller hot om sådana. Den nya bestämmelsen möjliggör informationsutbyte när en betydande kränkning av eller ett allvarligt hot om kränkning av informationssäkerheten har eller hotar att ha allvarliga skadliga konsekvenser för sådana funktioner, tjänster eller anknytande informationsmaterial enligt paragrafen som är livsviktiga med tanke på samhällets funktion. 

Förvaltningsutskottet anser att den nya bestämmelsen är ett viktigt steg framåt när det gäller att intensifiera myndighetssamarbetet. Utskottet anser det också motiverat att tröskeln för undantag från sekretessbestämmelserna och andra begränsningar i fråga om utlämnande av uppgifter i samband med omfattande informationsutbyte hålls relativt hög för att bland annat det grundlagsfästa skyddet för privatlivet och skyddet för konfidentiella meddelanden samt principen om att dataskyddslagstiftningen ska vara beroende av användningsändamålet ska tillgodoses på behörigt sätt. Utskottet konstaterar dock att propositionen möjliggör ett omfattande informationsutbyte först när en situation har eskalerat till en mycket betydande omfattning och endast i situationer som är av betydelse med tanke på samhällets vitala funktioner. Enligt utredning till utskottet kan den höga tröskeln för tillämpning av informationsutbyte begränsa möjligheten att utnyttja de nya bestämmelserna och utesluta kränkningar av informationssäkerheten som samhället har ett klart intresse av att utreda och förhindra. 

Förvaltningsutskottet konstaterar att propositionen sammantaget visserligen möjliggör ett mer omfattande informationsutbyte och samarbete mellan myndigheterna vid kränkningar av informationssäkerheten som är betydande med tanke på samhällets vitala funktioner och vid utredning av allvarliga hot. Men utskottet anser ändå med hänvisning till sina anmärkningar om 309, 319 och 319 a § att det är nödvändigt att arbetet för att förbättra informationsutbytet mellan myndigheterna fortsätter. 

Utskottet lyfter fram det som konstateras också i propositionen, nämligen att de myndigheter som regleringen gäller redan har omfattande rätt att få information i sin verksamhet. På grund av uppgifternas natur har myndigheterna dock olika metoder att skaffa information för att fullgöra sina skyldigheter, och inhämtandet av information kan också vara förenat med olika begränsningar och ramvillkor, som i vissa situationer ändå utgör utmaningar för informationsutbytet mellan myndigheterna. 

Förvaltningsutskottet inser att utlämnandet av uppgifter är en mycket krävande helhet med beaktande av myndigheternas olika roller och uppgifter, skyddet för privatlivet och kommunikationens konfidentialitet. Därför betonar förvaltningsutskottet att verksamhetsförutsättningarna och informationsutbytet i stället för enskilda paragrafer bör granskas på ett nytt sätt som en helhet för att myndigheterna ska ha metoder som är effektiva, snabbt tillgängliga och genomförbara för att agera vid allvarliga störningssituationer eller vid uppenbara hot om sådana. 

Vissa påpekanden

I en utredning till förvaltningsutskottet har det fästs uppmärksamhet vid att Transport- och kommunikationsverkets rätt att lämna vidare uppgifter enligt 319 a § 3 mom. i lagförslag 1 bör preciseras så att uppgifter som fåtts av polisen och eventuellt av andra säkerhetsmyndigheter får lämnas vidare endast med samtycke av den aktör som lämnat uppgifterna. Enligt den bedömning som utskottet fått fördröjer ett sådant villkor inte i någon betydande grad processen för utlämnande av uppgifter. Förvaltningsutskottet föreslår att kommunikationsutskottet överväger att precisera bestämmelsen på det sätt som anges ovan. 

Dessutom har sakkunniga påpekat att den registrerades rätt till direkt insyn i egna uppgifter har begränsats i 42 § i lagen om behandling av personuppgifter i polisens verksamhet (616/2019) för att rätten till insyn inte ska äventyra utförandet av polisens lagstadgade uppgifter. Med beaktande av de uppgifter som nu behandlas och de befintliga bestämmelserna om begränsning av säkerhetsmyndigheternas rätt till insyn föreslår förvaltningsutskottet att kommunikationsutskottet bedömer om det är motiverat att till lagen foga en begränsning av rätten till insyn på ovan nämnt sätt så att den registrerades rätt till insyn i sina uppgifter sker via dataombudsmannen och att det inte finns någon direkt rätt till insyn. På detta sätt kan man undvika att polisens lagstadgade uppgifter äventyras av att en person via en annan myndighet får tillgång till uppgifter som polisen lämnat ut och som är föremål för begränsningar i polisens rätt till insyn. 

Genom en ändring av 22 § i lagförslag 3 har polisens rätt att lämna ut uppgifter till Transport- och kommunikationsverket preciserats och uttryckligen konstaterats. I en utredning till förvaltningsutskottet har det framförts att utlämnande av uppgifter på begäran av polisen och på eget initiativ till en annan myndighet grundar sig på 7 kap. 2 § i polislagen. Enligt utredning har det i rättspraxis förekommit åsikter om att det dock inte är möjligt att lämna ut uppgifter på eget initiativ med stöd av bestämmelsen i fråga. Polisen kan lämna ut uppgifter på eget initiativ i situationer som avses i den nya 319 a § i propositionen. I andra situationer än de som avses i 319 a § ska Transport- och kommunikationsverket således alltid uttryckligen först identifiera fallet och därefter begära uppgifterna av polisen innan det blir möjligt att lämna ut dem. Polisen kan i dessa situationer inte lämna ut uppgifterna, om Transport- och kommunikationsverket inte kan begära dem. Förvaltningsutskottet föreslår att kommunikationsutskottet överväger om det i 7 kap. 2 § i polislagen finns skäl att beakta en motsvarande bestämmelse om utlämnande av uppgifter på eget initiativ. 

Skydd för personuppgifter

Förvaltningsutskottet konstaterar att EU:s dataskyddsreglering ger medlemsstaterna nationellt handlingsutrymme att mer exakt än dataskyddsregleringen föreskriva om behandling av personuppgifter och också begränsa vissa rättigheter och friheter som tillkommer den registrerade. Det är dock viktigt att man vid utfärdandet av sådana nationella specialbestämmelser samtidigt beaktar de ramvillkor som EU:s dataskyddslagstiftning ställer. Det säkerställer att den föreslagna regleringen i allt väsentligt respekterar de grundläggande fri- och rättigheterna och att regleringen är nödvändig och proportionell i ett demokratiskt samhälle. Förvaltningsutskottet anser att kommunikationsutskottet med tanke på skyddet för personuppgifter bör försäkra sig om att de ramvillkor som ställts i EU:s dataskyddslagstiftning och grundlagsutskottets utlåtandepraxis har beaktats i den föreslagna regleringen. När det gäller skyddet för personuppgifter fäster utskottet särskild uppmärksamhet vid 316 a och 319 a § i lagförslag 1. 

Nationellt handlingsutrymme. Förvaltningsutskottet betonar i fråga om utnyttjandet av det nationella handlingsutrymmet att behandlingen av personuppgifter delvis hör till tillämpningsområdet för dataskyddsförordningen (EU) 2016/679) och delvis till tillämpningsområdet för lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018, nedan dataskyddslagen avseende brottmål). Av propositionen framgår dock inte klart när informationsutbytet grundar sig på dataskyddsförordningens tillämpningsområde och när dataskyddslagen avseende brottmål ska tillämpas. Till den del det är fråga om att utfärda nationell reglering som preciserar dataskyddsförordningen saknas det i propositionen en redogörelse för de punkter i dataskyddsförordningen som användningen av handlingsutrymme grundar sig på. Förvaltningsutskottet anser att bestämmelserna om behandling av personuppgifter i propositionen ingår eller kan ingå i 316, 316 a, 319 och 319 a § i lagförslag 1, 29 § i lagförslag 2 och 22 § i lagförslag 3. Utskottet konstaterar att till den del det är fråga om behandling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde, används i propositionen således åtminstone det nationella handlingsutrymme som avses i artikel 6.2 och 6.3 i dataskyddsförordningen. 

Förvaltningsutskottet konstaterar att det i propositionen inte tydligt nämns vilket av ändamålen i artikel 23.1 a—j i dataskyddsförordningen bestämmelsen är avsedd att trygga. Enligt motiveringen kan det åtminstone vara fråga om artikel 23.1 a (den nationella säkerheten), men också om artikel 23.1 d (förebyggande av brott). Propositionen lämnar det till vissa delar oklart om det också kan vara fråga om att trygga andra mål (t.ex. den allmänna säkerheten enligt artikel 23.1 c), som det i fråga om dataskyddet vid elektronisk kommunikation hänvisas till i motiveringen till lagstiftningsordningen (s. 68). Propositionen lämnar det också oklart om specialvillkoren i artikel 23.2 i dataskyddsförordningen har beaktats i regleringen. 

Behandling av känsliga uppgifter. Förvaltningsutskottet konstaterar att propositionen lämnar öppet till vilka delar det i 316 a och 319 a § i lagförslag 1 i propositionen utbyts uppgifter som hör till särskilda kategorier av personuppgifter, uppgifter som gäller brott och domar i brottmål samt andra uppgifter som ska anses känsliga. I motiven till lagstiftningsordningen (s. 66) konstateras det till exempel att 319 a § i lagförslag 1 i sig möjliggör utbyte av all nödvändig information, vilket inte kategoriskt utesluter möjligheten att utbyta personuppgifter som hör till särskilda kategorier av personuppgifter. Dataskyddsförordningen och dataskyddslagen avseende brottmål innehåller strikta ramvillkor för behandling av uppgifter som hör till särskilda kategorier av personuppgifter. Dataskyddsförordningen tillåter behandling av uppgifter som hör till särskilda kategorier av personuppgifter endast när det utöver den grund för behandling som anges i artikel 6.1 finns någon av de grunder för behandling som anges i artikel 9.2. Utskottet konstaterar att till exempel enligt artikel 9.2 g i förordningen får särskilda kategorier av personuppgifter behandlas när behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. I underpunkten förutsätts att regleringen ska vara proportionerlig, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.