Yleistä
Hallituksen esityksellä ehdotetaan muutettavaksi tietosuojalakia (1050/2018) ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia (1054/2018, rikosasioiden tietosuojalaki). Esityksen tarkoituksena on tehdä lakeihin Euroopan unionin tietosuojalainsäädännön täytäntöönpanon kannalta välttämättömät muutokset.
Lakeihin ehdotetaan lisättäväksi uudet passiivisuusvalitusta koskevat säännökset, joiden mukaan rekisteröidyllä on tietosuojavaltuutetun passiivisuustilanteessa valitusmahdollisuus. Jos tietosuojavaltuutettu ei ole käsitellyt asiaa kolmen kuukauden kuluessa sen vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle ja valituksen katsotaan tällöin kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
Esitys sisältää myös muita säännösehdotuksia, joilla muun muassa täsmennetään henkilötunnuksen käsittelyä sekä oikeutetaan tietosuojavaltuutettu siirtämään ratkaisuvaltaa esittelijöinä toimiville virkamiehille tietyissä asioissa. Omaan toimialaansa liittyen lakivaliokunta keskittyy lausunnossaan arvioimaan ehdotettuja passiivisuusvalitusta koskevia säännöksiä.
Passiivisuusvalitus
Edellä todetun mukaisesti esityksessä ehdotetaan tietosuojalakiin ja rikosasioiden tietosuojalakiin lisättäväksi passiivisuusvalitusta koskevat uudet säännökset (1. lakiehdotuksen 21 § ja 2. lakiehdotuksen 57 §). EU:n tietosuojalainsäädäntö edellyttää nimenomaisesti, että tietosuojavaltuutetun passiivisuustilanteessa käytettävissä olevan oikeussuojakeinon tulee olla tuomioistuinmenettely. Tähän liittyvää EU-sääntelyä on selostettu tarkemmin hallituksen esityksessä (s. 4—5).
Hallituksen esityksestä ilmenevin tavoin (s. 3) komissio antoi Suomelle 6.4.2022 virallisen huomautuksen sekä 27.1.2023 perustellun lausunnon, jossa se katsoo, että Suomen lainsäädäntö ei ole kaikilta osin asetuksen (EU) 2016/679 78 artiklan 2 kohdan ja direktiivin (EU) 2016/680 53 artiklan 2 kohdan mukainen. Erityisesti komissio katsoo, että Suomessa käytettävissä olevien oikeussuojakeinojen ei voida katsoa täyttävän vaatimusta tehokkaasta oikeussuojasta tuomioistuimessa EU-oikeuden edellyttämällä tavalla. Suomi on vastannut 23.3.2023 Euroopan komission perusteltuun lausuntoon ja ilmoittanut aloittaneensa lainsäädäntömuutosten valmistelun, johon nyt käsiteltävä hallituksen esitys liittyy.
Esityksen mukaan tietosuojavaltuutetun passiivisuustilanteessa valitus hallinto-oikeuteen on jatkossa ensisijainen oikeussuojakeino tällaisessa tilanteessa, josta nykyisin on mahdollisuus kannella eduskunnan oikeusasiamiehelle tai valtioneuvoston oikeuskanslerille. Laillisuusvalvojalle tehtävä kantelu on kuitenkin edelleen käytettävissä niissä tilanteissa, joita ehdotetut säännökset eivät koske. Esityksessä passiivisuustilanteella tarkoitetaan sitä, että tietosuojavaltuutetulta vähintään edellytettävät asian käsittelytoimenpiteet puuttuvat. Jos tietosuojavaltuutettu ei ole käsitellyt asiaa kolmen kuukauden kuluessa sen vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta, rekisteröidyllä on ehdotettujen säännösten mukaisesti oikeus tehdä valitus hallinto-oikeudelle. Valituksen katsotaan tällöin kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
Passiivisuusvalitusta koskevat ehdotukset pohjautuvat perusteelliseen lainvalmisteluun, jota on tarkemmin selostettu hallituksen esityksessä (mm. s. 18—23, 27—30 ja 31—33).
Ehdotettu oikeussuojakeino on Suomen oikeusjärjestelmässä poikkeuksellinen. Voimassa olevaan lainsäädäntöön sisältyy eräitä esimerkkejä viranomaisen viivästystilanteita koskevista oikeussuojakeinoista. Ne kuitenkin liittyvät tilanteisiin, joissa viranomaiselle on säädetty asian ratkaisua koskeva määräaika. EU:n tietosuojalainsäädäntö sen sijaan ei edellytä asian ratkaisua tietyssä määräajassa, vaan että rekisteröidylle ilmoitetaan kolmen kuukauden määräajassa vähintään hänen asiansa etenemisestä. Oikeussuojakeinon tulee poikkeuksellisesti olla käytettävissä tuomioistuimessa tilanteessa, jossa rekisteröidylle ei ole vähintään tehty tällaista ilmoitusta. Valiokunnan saaman selvityksen mukaan ehdotettujen passiivisuusvalitusta koskevien säännösten mallina on käytetty Suomen lainsäädännön olemassa olevia esimerkkejä viivästysvalituksesta, kuitenkin siten, että mainitut tietosuojalainsäädännön erityispiirteet on huomioitu. Sen lisäksi, että käsittelytoimenpiteiden puuttuminen rinnastetaan kielteiseen päätökseen, tietosuojavaltuutetulle ehdotetaan määräaikaa, jossa on ilmoitettava vähintään arvio päätöksen antamisajankohdasta. Tällä tarkennetaan sitä, mitä tietosuojalainsäädännössä tarkoitetaan asian etenemistä koskevalla ilmoituksella. Oma-aloitteinen päätöksen arvioitua antamisajankohtaa koskeva ilmoitus merkitsee tiukennusta suhteessa hallintolain (434/2003) vaatimukseen, joka edellyttää arvion ilmoittamista pyynnöstä.
Ehdotetuilla passiivisuusvalitusta koskevilla säännöksillä on vaikutuksia tietosuojavaltuutetun lisäksi hallintotuomioistuimille. Passiivisuusvalituksen käsittelyyn hallintotuomioistuimissa sovelletaan oikeudenkäynnistä hallintoasioissa annetun lain (808/2019) säännöksiä valitusasioiden käsittelystä sellaisenaan. Esityksellä on myös välillisiä vaikutuksia ylimmille laillisuusvalvojille, joiden käsittelemistä kanteluasioista osa jäisi pois.
Hallituksen esityksen ja saamansa selvityksen perusteella lakivaliokunta pitää esitystä tarpeellisena ja puoltaa sen sisältämien passiivisuusvalitukseen liittyvien säännösten hyväksymistä seuraavin huomioin ja muutosesityksin. On selvää, että esityksessä ehdotettu oikeussuojakeino on Suomen järjestelmässä poikkeuksellinen ja puhtaasti kansallisessa harkinnassa olevissa tilanteissa ehdotettuihin lainsäädäntöratkaisuihin ei välttämättä päädyttäisi. Ehdotettu sääntely on kuitenkin edellä todetuin tavoin tarpeen EU-lainsäädännöstä johtuvien velvoitteiden täyttämiseksi.
Valituksen kohde
Hallituksen esityksessä ehdotetuissa passiivisuusvalitusta koskevissa säännöksissä (1. lakiehdotuksen 21 § ja 2. lakiehdotuksen 57 §) tietosuojavaltuutetun viivästystapauksissa valituksen katsotaan kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen. Edellä todetun mukaisesti tältäkin eli valituksen kohteen osalta ehdotettu muotoilu pohjautuu perusteelliseen lainvalmisteluun, jota on selostettu hallituksen esityksessä.
Valiokunnan asiantuntijakuulemisessa on kuitenkin noussut esiin myös nyt ehdotetun muotoilun selkeys. Kuulemisessa on tuotu esiin mm. se, että tietosuojavaltuutetun passiivisuuden tulkitseminen käsittelyn hylkäävänä päätöksenä on osin epäonnistunut. Tämä liittyy muun muassa siihen, että käsittelyn hylkääminen ei ole oikeudellinen käsite eikä se ole myöskään yleiskielellisesti helposti ymmärrettävissä. Kuulemisessa on noussut esiin, että valmistelun aiemmassa vaiheessa ehdotettu vaihtoehto, jossa passiivisuus tulkittiin tutkimatta jättämistä koskevaksi päätökseksi, on selkeämmin ymmärrettävissä.
Oikeussuojakeinon tulee olla saatavissa silloinkin, kun viranomaisen päätös puuttuu. Oikeusministeriöltä saadun selvityksen mukaan, jotta valitusoikeus voitaisiin kohdistaa puuttuvaan päätökseen tai ilmoitukseen, ehdotetuissa säännöksissä päätöksen tai ilmoituksen puuttuminen on rinnastettu tilanteeseen, jossa asian käsittely on päättynyt ja lopputulos on rekisteröidyn kannalta kielteinen. Käytännössä kyse on silti siitä, että viranomaiselta vähintään edellytettävät käsittelytoimet puuttuvat, toisin sanoen tietosuojavaltuutettu ei ole vähintään ilmoittanut arvioitua päätöksen antamisajankohtaa.
Lakivaliokunta toteaa, että oikeussuojakeinon tehokkuuden kannalta on merkitystä sillä, mitkä toimivaltuudet tuomioistuimella on käytettävissään. Oikeusministeriöltä saadun selvityksen mukaan hallituksen esityksessä ei ole kuitenkaan otettu kantaa siihen, millä tavalla hallinto-oikeuden tulisi ratkaista passiivisuusvalitusasiat tai tulisiko sen käsitellä myös asiasisältöä, vaikka vaikutusten arvioinnin yhteydessä on arvioitu, että asia voisi monessa tapauksessa raueta tai se voitaisiin esimerkiksi palauttaa tietosuojavaltuutetun käsiteltäväksi. Jotta oikeussuojakeino on käytännössä tehokas, sen tulee kohdistua koko tietosuojavaltuutetun käsiteltävänä olevaan asiaan, johon passiivisuustilanne kohdistuu. Oikeusministeriöltä saadun selvityksen mukaan hallituksen esityksessä ehdotetun muotoilun tavoitteena on ollut kattaa tietosuojavaltuutetun käsittelemien kanteluasioiden vaihteleva luonne, mutta muotoilu on jossain määrin epämääräinen.
Edellä todetun valossa, sekä saamansa selvityksen perusteella lakivaliokunta katsoo, että sääntelyn tavoitteen ja tarkoituksen kannalta on riittävää, että rinnastus tehdään siihen päätöstyyppiin, joka on lähinnä sitä käytännön tilannetta, josta on kyse. Näin ollen lakivaliokunta katsoo, että passiivisuustilanteen rinnastus "tutkimatta jättämistä koskevaan päätökseen" on tässä tapauksessa toimivampi ratkaisu.
Edellä todettuun viitaten lakivaliokunta esittää, että hallintovaliokunta tarkistaa 1. lakiehdotuksen 21 §:n 4 momenttia ja 2. lakiehdotuksen 57 §:n 3 momenttia siten, että muotoilu "valituksen katsotaan tässä tapauksessa kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen" korvataan muotoilulla "valituksen katsotaan tässä tapauksessa kohdistuvan tutkimatta jättämistä koskevaan päätökseen".
Hallituksen esityksessä on kuvattu tuomioistuimen mahdollisia ratkaisuja viivästys- ja passiivisuustilanteissa (HE, s. 21). Hallituksen esityksen ja saamansa selvityksen perusteella lakivaliokunta toteaa selvyyden vuoksi, että passiivisuusvalituksen todennäköinen lopputulos hallinto-oikeudessa on tarkoituksenmukaista jättää oikeudenkäynnistä hallintoasioissa annetun lain soveltamisen ja tulkinnan varaan. Valiokunnan edellä esittämän valituksen kohteen määrittelyä koskevan tarkistuksen voi kuitenkin arvioida selkeyttävän sitä, mitä hallintotuomioistuin tutkii ja minkälaisen ratkaisun se voisi tehdä oikeudenkäynnistä hallintoasioissa annetun lain nojalla.
Kiirehtimispyyntö valituksen tekemisen edellytyksenä
Valiokunnan kuulemisessa on noussut esiin myös kysymys siitä, tulisiko esityksessä tarkoitetun tuomioistuimelle tehtävän passiivisuusvalituksen edellytyksenä olla tietosuojavaltuutetulle tehtävä kiirehtimispyyntö tai muu tiedustelu.
Valiokunnan saaman selvityksen mukaan sekä hallituksen esityksestä (HE s. 20) ilmi käyvin tavoin esityksen valmistelussa on arvioitu tarpeellisuutta säätää kiirehtimisvaatimuksen tai muun tiedustelun esittäminen tietosuojavaltuutetulle edellytykseksi saattaa kysymys laissa säädetyn määräajan ylittymisestä tuomioistuimen käsiteltäväksi. Esityksen mukaan passiivisuusasian käsittelyn ei kuitenkaan tulisi aiheuttaa rekisteröidylle, tietosuojavaltuutetulle eikä tuomioistuimille tarpeetonta lisätyötä. Koska menettelyn tulisi olla mahdollisimman selkeä kaikille osallisille, tällaista välivaihetta ei ole esityksen mukaan pidetty tarkoituksenmukaisena. Siihen liittyisi esityksen mukaan myös riski, että säännökset eivät ole EU-oikeuden mukaisia (ks. HE, s. 20). Oikeusministeriöltä saadun selvityksen mukaan esityksen perusteluissa vertailluista EU:n jäsenvaltioista Ruotsissa on voimassa olevassa lainsäädännössä säädetty kiirehtimisvaatimuksen tyyppisestä menettelystä, joka koskee yleisesti kaikkia hallintoviranomaisia. Euroopan komissio on kuitenkin katsonut, että Suomen tavoin myöskään Ruotsin lainsäädäntö ei täytä tietosuoja-asetuksen 78 artiklan 2 kohdan ja rikosasioiden tietosuojadirektiivin 53 artiklan 2 kohdan vaatimuksia.
Hallituksen esityksestä (s. 20) ilmi käyvin tavoin rekisteröity voi lähestyä tietosuojavaltuutettua tiedustellakseen asiansa käsittelyn vaihetta ilman laissa säädettyä velvoitettakin ennen kuin hän ottaa yhteyttä tuomioistuimeen. Todennäköistä on, että mahdollinen asian käsittelyssä tapahtunut laiminlyönti taikka muu erehdys tai laiminlyönti ratkeaa jo tällaisen vapaamuotoisen yhteydenoton perusteella, eikä oikeusturvan tarvetta panna asiaa vireille tuomioistuimessa tässä tapauksessa ole lainkaan. Valiokunnan oikeusministeriöltä saaman selvityksen mukaan niissä tilanteissa, joissa rekisteröity ei ole saanut tietosuojavaltuutetulta vastausta yhteydenottoonsa, on tyypillisesti ollut kyse inhimillisestä erehdyksestä.
Edellä todetun sekä saamansa selvityksen valossa lakivaliokunta pitää hallituksen esityksessä omaksuttua ratkaisua perusteltuna, eikä pidä tässä vaiheessa perusteltuna sisällyttää passiivisuusvalituksen edellytykseksi kiirehtimispyyntöä tai muuta yhteydenottoa. Ehdotetun uuden sääntelyn toimivuutta on syytä kuitenkin seurata.
Valitusta koskeva määräaika
Määräaika ehdotetun passiivisuusvalituksen tekemiselle on ilmaistu ehdotetuissa säännöksissä siten, että valitus on tehtävä ennen kuin tietosuojavaltuutettu on käsitellyt asian tai on antanut arvion päätöksen antamisajankohdasta (1. lakiehdotuksen 21 § 4 mom. ja 2. lakiehdotuksen 57 § 3 mom.)
Lakivaliokunta on arvioinut ehdotettua sääntelyä myös tältä osin. Ehdotettu määräaikaa koskeva sääntely poikkeaa tavanomaisesta. Määräaika valituksen tekemiselle voi teoriassa jäädä auki pidemmäksi aikaa. Saamansa selvityksen perusteella valiokunta pitää muotoilua kuitenkin perusteltuna. Ehdotetussa passiivisuusvalituksessa valitukselle asetettavaa määräaikaa ei ole mahdollista sitoa täsmälliseen ajanjaksoon, toisin kuin viranomaisen päätöstä koskevan muutoksenhaun osalta. Määräajan väljyys on perusteltua passiivisuustilanteen erityispiirteistä johtuen. Ehdotetussa sääntelyssä tarkoitettu oikeussuojan tarve jatkuu niin kauan kuin tietosuojavaltuutettu ei ole vähintään ilmoittanut rekisteröidylle arviota päätöksen antamisajankohdasta. Toiseksi on tarkoituksenmukaista, että valitusaika päättyy, kun vähintään tällainen arvio on annettu. Tämä rajaa valiokunnan käsityksen mukaan riittävästi valitusoikeutta.
Oikeusministeröltä saadun selvityksen mukaan valmistelun aikana arvioitiin myös mahdollisuutta käyttää määräaikaa koskevissa säännöksissä muotoilua "päätös" tai "ratkaisu" asian käsittelyn sijasta. Tietosuojavaltuutettu ei kuitenkaan anna kaikissa tapauksissa konkreettista hallintopäätöstä, vaikka se onkin useissa asioissa käsittelyn päättävä toimenpide. Myös tietosuoja-asetuksen 78 artiklan 2 kohdan tekstissä tarkoitettu määräaika on sidottu väljemmin asian käsittelyyn.
Edellä todetun valossa lakivaliokunta pitää passiivisuusvalituksen määräaikaan liittyviä säännösmuotoiluja asianmukaisina.
Hallinto-oikeuden ratkaisukokoonpano
Hallituksen esityksessä tarkoitetun passiivisuutta koskevan valitusasian käsittelyyn sovelletaan samoja säännöksiä kuin muiden valitusasioiden käsittelyyn. Käytännössä tämä tarkoittaa, että hallinto-oikeudessa asian käsittelyyn osallistuu ns. kolmen tuomarin kokoonpano (Hallinto-oikeuslaki (430/1999) 12 § 1 mom.). Valiokunnan asiantuntijakuulemisessa on noussut esiin myös kysymys tarkoituksenmukaisesta kokoonpanosta passiivisuusvalitusta koskevassa asiassa, sekä tulisiko kokoonpanosäännöksiä tältä osin muuttaa.
Oikeusministeriöltä saadun selvityksen mukaan hallinto-oikeuksien kokoonpanoa koskevaa kysymystä on arvioitu valmistelun aikana. Hallituksen esityksen mukaisessa sääntelyssä lähtökohtana kuitenkin on, että passiivisuusvalitukseen sovelletaan johdonmukaisuussyistä samoja säännöksiä kuin muihin valitusasioihin, mukaan lukien voimassa olevaan lainsäädäntöön sisältyvät nykyiset viranomaisen viivästystilanteita koskevat oikeussuojakeinot. Saadun selvityksen mukaan hallintotuomioistuimien ratkaisukokoonpanoa koskevia kysymyksiä on tarkoituksenmukaisempaa arvioida erikseen kokonaisuutena. Oikeusministeriössä on ollut vireillä esiselvitys hallinto-oikeuksien kokoonpanon tarkistustarpeista. Asian jatkovalmistelusta päätetään ministeriössä lausuntokierroksella saatu palaute huomioon ottaen. Jotta kokoonpanokysymyksissä voidaan eri asiaryhmissä tehdä keskenään johdonmukaisia ratkaisuja, ei kokoonpanoa koskevia ratkaisuja ole siten tarkoituksenmukaista tehdä tämän yksittäisen passiivisuusvalitusta koskevan lainsäädäntöhankkeen yhteydessä.
Saamansa selvityksen perusteella lakivaliokunta pitää esityksessä omaksuttua ratkaisua sekä kokoonpanosäännösten myöhemmin tapahtuvaa kokonaisvaltaista arviointia perusteltuna. Näin ollen toistaiseksi asian käsittely kolmen tuomarin kokoonpanossa on siten pääsääntö myös esityksessä tarkoitetun passiivisuusvalituksen osalta. Valiokunta kiinnittää kuitenkin huomiota siihen, että hallinto-oikeuslain 12 §:n 3 momentin mukaan yksi lainoppinut tuomioistuimen jäsen voi voimassa olevan lain mukaisesti tehdä ratkaisun asiassa, jossa valitus tai muussa hallintolainkäyttöasiassa esitetyt vaatimukset on peruutettu kokonaan tai jossa on kysymys siitä, onko valitus tai muu hallintolainkäyttöasia pantu vireille määräajassa. Yksi lainoppinut jäsen voi myös päättää siitä, onko hallinto-oikeus toimivaltainen käsittelemään siellä vireille pannun asian.
Oikeudenkäyntimaksu
Valitusasian käsittelystä hallintotuomioistuimessa peritään oikeudenkäyntimaksu, joka nykyisin on 270 euroa. Valiokunnan asiantuntijakuulemisessa on noussut esiin kysymys hallituksen esityksessäkin (HE, s. 12) kuvatusta tilanteesta, jossa tietosuojavaltuutettu ehtii korjaamaan laiminlyöntinsä asian ollessa vireillä hallintotuomioistuimessa.
Oikeusministeriöltä saadun selvityksen mukaan oikeudenkäynnin mahdollista maksuttomuutta koskevaa kysymystä on arvioitu esityksen valmistelun aikana. Hallituksen esityksestä ilmenevistä syistä (s. 12) valmistelun aikana on kuitenkin katsottu, että lain tulkinnan avulla on mahdollista välttää maksun periminen asian raukeamistilanteessa sillä perusteella, että se olisi ilmeisen kohtuutonta, vaikkakin kyse on yksittäistapauksessa tehtävästä harkinnasta (tuomiostuinlaki 1455/2015, 7 § 2 mom.). Saadun selvityksen mukaan toistaiseksi ei siten katsottu olevan tarpeen säätää oikeudenkäynnin maksuttomuudesta.
Hallituksen esityksen (HE, s. 12) ja saamansa selvityksen perusteella lakivaliokunta pitää hallituksen esityksessä omaksuttua ratkaisua oikeudenkäyntimaksun osalta hyväksyttävänä. Valiokunta pitää kuitenkin tärkeänä, että soveltamiskäytäntöä tältäkin osin seurataan ja tarvittaessa ryhdytään toimenpiteisiin kohtuuttomien tilanteiden välttämiseksi, mikäli sellaisia seurannan perusteella ilmenee.
Muita huomioita
Ehdotettu passiivisuusvalitus täyttää EU:n tietosuojalainsäädännön muodolliset vaatimukset siitä, että rekisteröidyn käytettävissä tulee olla tietosuojavaltuutetun passiivisuustilanteessa oikeussuojakeino tuomioistuimessa. Valiokunnan saaman selvityksen mukaan passiivisuusvalituksella ei ole myöskään tarkoitettu korjata mahdollisia rakenteellisia ongelmia, joita voi liittyä käsittelyn viivästystilanteisiin. Lakivaliokunta korostaakin, että lainmuutosten ohella on syytä varmistua siitä, että tietosuojavaltuutetulla on riittävät resurssit tehtäviensä hoitamiseksi.
Ehdotettu sääntely on uutta tietosuoja-asioissa. Valiokunta pitää myönteisenä ja erittäin tärkeänä, että hallituksen esityksessä (HE, s. 43) todetuin tavoin sen toimivuutta on tarkoitus seurata lainmuutosten tultua voimaan ensimmäisten viiden vuoden aikana. Valiokunta pitää tarkoituksenmukaisena nyt käsiteltävässä esityksessä omaksuttua ratkaisua pitäytyä tässä vaiheessa vähimmäissääntelyssä siten, että passiivisuusvalituksen käsittelyssä nojaudutaan mahdollisimman pitkälti voimassa olevaan oikeudenkäynnistä hallintoasioissa annetun lain säännöksiin. Sääntelyn täydennystarpeita on perusteltua ja mahdollista arvioida, kun sen soveltamisesta on kokemusta.