Arvioinnin lähtökohtia
(1) Hallituksen esityksessä ehdotetaan muutettaviksi luottotietolakia, maksupalvelulakia ja rikosrekisterilakia. Esityksen tarkoituksena on tehdä näihin lakeihin Euroopan unionin tietosuojalainsäädännöstä johtuvat välttämättömät muutokset. Lisäksi ehdotetaan lyhennettäviksi eräitä maksuhäiriötietojen säilytysaikoja. Sääntely perustuu tältä osin eduskunnan lausumaan (EV 69/2020 vp), jossa edellytetään, että valtioneuvosto kiirehtii maksuhäiriörekisteriä koskevaa lainsäädäntöä siten, että henkilöt, jotka ovat suorittaneet maksuhäiriömerkinnän perusteena olleet maksut asianmukaisesti, tulee poistaa rekisteristä yhden kuukauden kuluttua maksun suorittamisesta.
(2) Ehdotus on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Ehdotettu sääntely on merkityksellistä myös EU:n perusoikeuskirjan kannalta. EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan.
(3) Perustuslakivaliokunta on aiemmin arvioinut lakiehdotusta työnantajan oikeudesta käsitellä henkilöluottotietoja (PeVL 12/2008 vp). Valiokunta on kuitenkin sittemmin tietosuoja-asetuksen soveltamisen alkamisen johdosta katsonut olevan perusteltua tarkistaa aiempaa kantaansa henkilötietojen suojan kannalta tärkeistä sääntelykohteista (PeVL 14/2018 vp, s. 4).
(4) Perustuslakivaliokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(5) Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
(6) Hallituksen esityksessä ehdotetaan muutettavaksi myös rikosrekisterilakia, joka kuuluu rikosasioiden tietosuojalain soveltamisalaan. Mainitulla lailla on kansallisesti toimeenpantu rikosasioiden tietosuojadirektiivi (ks. PeVL 26/2018 vp). Toisin kuin suoraan sovellettava tietosuoja-asetus, direktiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta (PeVL 14/2018 vp, s. 7, ks. myös PeVL 26/2018 vp, s. 3).
(7) Luottotiedoilla tarkoitetaan luottotietolain 3 §:n 1 kohdan mukaan tietoja, jotka koskevat luonnollisen henkilön tai yrityksen maksukykyä tai maksuhalukkuutta taikka jotka muulla tavalla kuvaavat henkilön tai yrityksen kykyä vastata sitoumuksistaan ja joita käytetään luottoa myönnettäessä tai luottoa valvottaessa. Luottotietoja ei perustuslakivaliokunnan käsityksen mukaan sellaisenaan voida pitää tietosuoja-asetuksen 9 artiklassa tarkoitettuina erityisinä henkilötietoina, joiden käsittely on lähtökohtaisesti kielletty niiden erityisen arkaluonteisuuden vuoksi. Valiokunnan mielestä luottotietoja ei ole syytä pitää lähtökohtaisesti myöskään valtiosääntöisesti arkaluonteisina tietoina. Joihinkin luottotietoihin voi kuitenkin sisältyä arkaluonteisiin tietoihin rinnastuvia, salassa pidettäviä tietoja esimerkiksi henkilön toiminnasta yksityiselämässä ja taloudellisesta asemasta. Luottotietojen käsittelyyn voi siten liittyä erityisiä riskejä. Valiokunnan mielestä luottotietojen käsittelyn laintasoinen yksityiskohtainen sääntely on siten tietosuoja-asetuksen puitteissa välttämätöntä.
(8) Perustuslakivaliokunnan mielestä hallituksen esityksessä on asianmukaisesti kuvattu sääntelyn tarve ja kansallisen liikkumavaran ala, eikä valiokunnalla ole huomauttamista sanottuihin seikkoihin. Hallituksen esitys edustaa hyvää lainvalmistelutapaa. Perustuslakivaliokunnan mielestä lakivaliokunnan on kuitenkin syytä vielä varmistua sääntelyn sisällöllisestä yhteensopivuudesta EU:n yleisen tietosuoja-asetuksen kanssa kiinnittäen erityistä huomiota automatisoidun päätöksenteon sekä rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelyn sääntelyyn. Lakivaliokunnan on myös syytä varmistua ehdotettujen suojatoimien riittävyydestä ja rekisteröidyn oikeuksien rajoitusten perusteltavuudesta.
Julkisen hallintotehtävän antaminen muun kuin viranomaisen hoidettavaksi
(9) Hallituksen esityksen säätämisjärjestysperusteluissa (s. 79—81) on arvioitu luottotietotoimintaa perustuslain 124 §:n kannalta. Julkisen hallintotehtävän antamista muun kuin viranomaisen hoidettavaksi koskevan perustuslain 124 §:n mukaan julkinen hallintotehtävä voidaan antaa muulle kuin viranomaiselle vain lailla tai lain nojalla, jos se on tarpeen tehtävän tarkoituksenmukaiseksi hoitamiseksi eikä vaaranna perusoikeuksia, oikeusturvaa tai muita hyvän hallinnon vaatimuksia. Merkittävää julkisen vallan käyttöä sisältäviä tehtäviä voidaan kuitenkin antaa vain viranomaiselle.
(10) Perustuslain 124 §:n säännöksen tarkoituksena on perustuslain esitöiden mukaan rajoittaa julkisten hallintotehtävien antamista viranomaiskoneiston ulkopuolelle. Säännöksen sanamuodolla korostetaan sitä, että julkisten hallintotehtävien hoitamisen tulee pääsääntöisesti kuulua viranomaisille ja että tällaisia tehtäviä voidaan antaa muille kuin viranomaisille vain rajoitetusti (HE 1/1998 vp, s. 178—179). Julkisella hallintotehtävällä viitataan tässä yhteydessä verraten laajaan hallinnollisten tehtävien kokonaisuuteen, johon kuuluu esimerkiksi lakien toimeenpanoon sekä yksityisten henkilöiden ja yhteisöjen oikeuksia, velvollisuuksia ja etuja koskevaan päätöksentekoon liittyviä tehtäviä. Pykälä kattaa sekä viranomaisille kuuluvien tehtävien siirtämisen että hallintoon luettavien uusien tehtävien antamisen muille kuin viranomaisille (HE 1/1998 vp, s. 179).
(11) Perustuslakivaliokunta on pitänyt esimerkiksi kokonaisuutena tarkastellen meripelastustoimea (PeVL 24/2001 vp, s. 4/I) ja operatiivisten jätehuoltotehtävien muodostamaa kokonaisuutta (PeVL 58/2010 vp, s. 4/II) julkisina hallintotehtävinä. Valtion vientitakuiden myöntäminen on vahvoista yksityisoikeudellisista piirteistään huolimatta julkinen hallintotehtävä (PeVL 2/2001 vp, s. 2/I). Yhteishankintayksikkö Hansel Oy:n osalta valiokunta katsoi, että vaikka hankintojen tekemiseen liittyi myös vahvoja yksityisoikeudellisia piirteitä, painottuivat Hanselin tehtävässä yhteishankintayksikkönä julkisen hallintotehtävän piirteet (PeVL 15/2019 vp, s. 3). Oikeusapu- ja edunvalvontatehtävissä on perustuslakivaliokunnan mukaan niiden järjestämistapa huomioiden kyse julkisen hallintotehtävän piirteitä omaavasta tehtäväkokonaisuudesta, vaikka niissä painottuvat myös yksityiseen etuun ja elinkeinotoimintaan liittyvät näkökohdat. Valiokunta on tällöin antanut merkitystä sille, että kyse on viranomaisen järjestämisvastuulla olevasta lakisääteisestä palvelutehtävästä, jonka toteuttamista voitiin valiokunnan mielestä luonnehtia myös tosiasialliseksi hallintotoiminnaksi (PeVL 16/2016 vp, s. 2). Myös viranomaista avustavia tehtäviä on pidetty julkisina hallintotehtävinä (ks. esim. PeVL 55/2010 vp, s. 2/I).
(12) Julkisesta hallintotehtävästä ei ole ollut kyse sellaisessa puolueettomassa, tekniseen asiantuntemukseen perustuvassa testauksessa ja sertifioinnissa, joka ei vaikuttanut viranomaisen toimivaltaan päättää laitteiden ja rakenteiden määräaikaistarkastuksissa käytettävistä menetelmistä ja henkilöistä (PeVL 4/2012 vp, s. 2/II), eikä varmennetoiminnassa, jonka luonne oli tosiasiassa etääntynyt julkiseen hallintotehtävään liitettävistä ominaispiirteistä (PeVL 16/2009 vp, s. 2—3).
(13) Hallituksen esityksessä arvioidaan, ettei luottotietotoiminnassa ole kyse perustuslain 124 §:n tarkoittamasta julkisesta hallintotehtävästä. Esityksen säätämisjärjestysperusteluissa todetaan, että luottotietotoiminnalla on merkitystä sekä yhteiskunnallisen edun että luonnollisten henkilöiden oikeuksien ja etujen kannalta. Luottotietotoiminnan ensisijainen tarkoitus on taata luottotietojen saatavuus luotonantoa varten. Luottotietotoiminnan harjoittajat eivät kuitenkaan perustelujen mukaan hoida sellaisia lakisääteisiä palvelutehtäviä, jotka ovat viranomaisen järjestämisvastuulla. Kyse on perusteluiden mukaan sellaisesta erityistä asiantuntemusta vaativasta tehtävästä, jota Suomessa hoitavat lain nojalla luottotietotoiminnan harjoittajien lisäksi eräät perintätoimen harjoittajat sekä luotonantajat. Positiivisten tai negatiivisten luottotietojen käsittelyyn liittyvää tehtävää ei ole toistaiseksi Suomessa säädetty laissa viranomaisen tehtäväksi. Lisäksi perusteluissa todetaan, että luottotietotoimintaan ei liity julkisen vallan käyttöä.
(14) Perustuslakivaliokunta toteaa, että perustuslain 124 §:ssä tarkoitettu julkinen hallintotehtävä viittaa julkisen vallan käyttöä laajempaan julkisten hallintotehtävien kokonaisuuteen. Hallituksen esityksen perustelujen mukaan luottotietolaissa tarkoitettu henkilötietojen käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi, johon liittyy erityisiä sääntelytarpeita. Luottotietotoiminnan harjoittaminen on merkittävä erilaisia yhteiskunnan toimijoita palveleva tehtävä, ja luottotietotoiminnalla ja siinä noudatettavilla menettelytavoilla voi olla välitön vaikutus ihmisten ja yritysten toimintamahdollisuuksiin. Siten luottotietotoimintaan liittyy perustelujen (s. 80) mukaan julkiselle tehtävälle ominaisia piirteitä.
(15) Arvioidessaan lakiehdotusta energian alkuperätakuista perustuslakivaliokunta piti lakisääteisiä sähkön, kaasun ja vedyn alkuperätakuurekisterin ylläpitotehtäviä perustuslain 124 §:ssä tarkoitettuna julkisena hallintotehtävänä (PeVL 33/2021 vp, s. 2—4). Luottotietotoiminnan harjoittajat eivät kuitenkaan hoida sellaisia lakisääteisiä palvelutehtäviä, jotka ovat viranomaisten järjestämisvastuulla. Siten kyse ei ole viranomaiselle nykyisin kuuluvan tehtävän siirtämisestä yksityisten toimijoiden tehtäväksi. Voimassa olevan luottotietolain 3 §:n 7 kohdan mukaan luottotietotoiminnan harjoittamisella tarkoitetaan itsenäisenä elinkeinotoimintana tapahtuvaa tietojen keräämistä, tuottamista, tallettamista, luovuttamista ja muuta käsittelyä luottotietoina käytettäviksi. Luottotietolaissa säännelty luottotietotoiminta on luonteeltaan yksityistä elinkeinotoimintaa, jonka harjoittaminen edellyttää lain 38 §:n mukaan ilmoitusta tietosuojavaltuutetulle. Luottotietolaissa määritellään elinkeinon harjoittamisen edellytyksiä.
(16) Perustuslain 124 §:n säännös kattaa sekä viranomaisille nykyisin kuuluvien tehtävien siirtämisen että hallintoon luettavien uusien tehtävien antamisen muille kuin viranomaisille (HE 1/1998 vp, s. 179/I), eikä tehtävän aiempi hoitaminen yksityisen toimesta estä sen arvioimista perustuslain 124 §:n tarkoittamaksi julkiseksi hallintotehtäväksi (ks. esim. PeVL 17/2012 vp ja PeVL 57/2010 vp). Valiokunnan mielestä kokonaan vailla merkitystä ei kuitenkaan ole toiminnan nykyinen sääntelytapa, vaikka tehtävän kaupallinen tai liiketaloudellinen luonne ei välttämättä merkitse ehdotonta estettä perustuslain 124 §:n soveltumiselle. Valiokunta katsoi arvioidessaan vuonna 2017 esitettyä sosiaali- ja terveydenhuollon uudistusta, että yksityisten palveluntuottajien tarjoamia palveluja oli perusteltua arvioida tuolloin arvion kohteena olleen uudistuksen puitteissa perustuslain 124 §:ssä tarkoitettuina julkisina hallintotehtävinä (PeVL 26/2017 vp ja PeVL 15/2018 vp).
(17) Erityistä merkitystä sääntelyn arvioinnissa on sillä, että myös perustelujen (s. 51—52) mukaan erityisesti luonnollisen henkilön maksuhäiriötietojen käsittelyllä laissa säädettyihin tarkoituksiin, mukaan lukien henkilötietojen luovuttaminen, on merkittäviä vaikutuksia yksityiselämän suojaan ja luonnollisen henkilön mahdollisuuksiin toimia yhteiskunnassa, ja käsiteltävien tietojen laajoihin käyttötarkoituksiin liittyy erityisiä riskejä luonnollisen henkilön tietosuojan kannalta. Tällaisia luottotietotoiminnan tosiasiallisia vaikutuksia ei kuitenkaan perustuslakivaliokunnan mielestä voida pitää yksinomaan vain julkiselle hallintotehtävälle luonteenomaisina piirteinä. Sopimusvapauden piirissä voidaan vakiintuneesti tehdä esimerkiksi rahoitukseen, investointeihin ja vapaaehtoisiin vakuutuksiin liittyviä yksityisoikeudellisia oikeustoimia koskevia ratkaisuja, joilla on merkittäviä tosiasiallisia vaikutuksia luonnollisten henkilöiden ja yritysten oikeusasemaan.
(18) Perustuslakivaliokunnan mielestä luottotietotoiminnan harjoittamista nyt arvioitavassa esityksessä tarkoitetulla tavalla ei ole pidettävä julkisena hallintotehtävänä. Valiokunnan mielestä näistä lähtökohdista säädettävä laki ei edellä sanotun valossa merkitse myöskään välitöntä tarvetta arvioida vakiintuneista lähtökohdista poiketen luottotietotoimintaa julkisena tehtävänä. Valiokunnan mielestä luottotietotoiminnan yhteiskunnallisen merkittävyyden, siihen sisältyvien käsittelyn riskien ja sen yksityisten asemaan ulottuvien vaikutusten vuoksi luottotietojen käsittelyä on kuitenkin välttämätöntä säännellä laintasoisesti, kuten nyt ehdotetaankin. Valiokunnan mielestä sanottu korostaa myös jo edellä tarkastellun EU:n tietosuoja-asetuksessa automatisoidusta käsittelystä ja suojatoimista säädetyn merkitystä.
(19) Perustuslakivaliokunta kiinnittää lopuksi huomiota hallituksen esityksestä ilmenevään tarkoitukseen perustaa niin sanottu positiivinen luottotietorekisteri (s. 80) ja korostaa nyt tehdyn valtiosääntöisen arvion koskevan vain nyt esitettyä sääntelyratkaisua.