1.1  Tietosuojalaki

1 luku Yleiset säännökset

1 §.Lain tarkoitus. Pykälä ilmaisisi lain tarkoituksen. Säännöksen mukaan lain tarkoituksena olisi täsmentää ja täydentää yleistä tietosuoja-asetusta. Koska yleinen tietosuoja-asetus on kansallisesti suoraan sovellettavaa lainsäädäntöä, tietosuojalailla voidaan ainoastaan täsmentää yleisen tietosuoja-asetuksen kansallista soveltamista sen ollessa tarpeellista tai välttämätöntä yleisen tietosuoja-asetuksen täydentämiseksi. Kansallisella lainsäädännöllä voidaan täsmentää asetusta ainoastaan yleisessä tietosuoja-asetuksessa annetun kansallisen liikkumavaran puitteissa.  

Nykyisen henkilötietolain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Henkilötietolailla pantiin täytäntöön henkilötietodirektiivi, jonka tavoitteisiin kuului turvata yksilön perusoikeudet ja -vapaudet, erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä. Tämän ja perusoikeusuudistuksen vuoksi myös henkilötietolain keskeisenä tavoitteena on yksityiselämän suojan ja muiden yksityisyyden suojaa turvaavien perusoikeuksien toteuttaminen henkilötietoja käsiteltäessä.  

Yleisen tietosuoja-asetuksen kohteesta ja tavoitteista säädetään asetuksen 1 artiklassa. Yleisen tietosuoja-asetuksen tavoitteena on suojella perusoikeuksia ja vapauksia yleisemmin, ei ainoastaan turvata yksilöiden oikeutta yksityisyyteen henkilötietojen käsittelyssä. Yleisellä tietosuoja-asetuksella vahvistetaan säännöt luonnollisten henkilöiden suojelulle henkilötietojen käsittelyssä sekä säännöt, jotka koskevat henkilötietojen vapaata liikkuvuutta. Asetuksella suojellaan luonnollisten henkilöiden perusoikeuksia ja -vapauksia, erityisesti heidän oikeuttaan henkilötietojen suojaan. Henkilötietodirektiivin antamisen jälkeen voimaan tullut Euroopan unionin perusoikeuskirja on vahvistanut henkilötietojen suojan asemaa itsenäisenä perusoikeutena. Henkilötietoja ei suojata enää ainoastaan osana yksityisyyden suojaa. Tästä huolimatta henkilötietojen suojaa on yhä edelleen arvioitu usein yhteydessä yksityisyyden suojaan Euroopan unionin tuomioistuimen oikeuskäytännössä (esim. yhdistetyt asiat C-293/12 ja C-594/12).  

Lisäksi asetuksen 1 artiklassa korostetaan, että henkilötietojen vapaata liikkuvuutta ei saa unionin sisällä rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä.  

Täsmennettäessä yleisen tietosuoja-asetuksen kansallista soveltamista tietosuojalailla on yleisen tietosuoja-asetuksen tavoitteilla välitön vaikutus myös tietosuojalain tarkoitukseen. Täsmennettäessä yleisen tietosuoja-asetuksen kansallista soveltamista tulee täsmentämisen tapahtua yleisessä tietosuoja-asetuksessa asetettujen tavoitteiden mukaisesti.  

2 §.Soveltamisala. Pykälän 1 momentissa ilmaistaisiin lain soveltamisala. Soveltamisalaa koskevan pykälän 1 momentissa todettaisiin, että lakia sovelletaan tietosuoja-asetuksen 2 artiklan soveltamisalan mukaisesti. Yleisen tietosuoja-asetuksen 2 artiklan mukaan asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdassa rajataan asetuksen soveltamisalan ulkopuolelle henkilötietojen käsittely, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan ja käsittely, jota suorittavat jäsenvaltiot toteuttaessaan erityismääräyksiä yhteisestä ulko- ja turvallisuuspolitiikasta koskevan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa. Lisäksi rikosasioiden tietosuojadirektiivin soveltamisalaan kuuluva henkilötietojen käsittely on rajattu yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle, samoin henkilötietojen käsittely, jota luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa. Lisäksi yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle on suljettu unionin toimielinten, elinten ja laitosten henkilötietojen käsittely.  

Yleisen tietosuoja-asetuksen 2 artiklan 4 kohdassa myös selvennetään, että asetuksella ei rajoiteta direktiivin 2000/31/EY soveltamista etenkään niiltä osin kuin on kyse tuon direktiivin 12—15 artiklassa säädetyistä välittäjinä toimivien palveluntarjoajien vastuuta koskevista säännöistä. 

Tietosuojalakia sovellettaisiin yleisen tietosuoja-asetukseen nähden täydentävästi. Tietosuojalakia ei siten sovellettaisi henkilötietojen käsittelyyn, jota luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa eikä rikosasioiden tietosuojadirektiivin soveltamisalaan kuuluvaan henkilötietojen käsittelyyn. Lisäksi pykälässä säädettäisiin, että yleisetä tietosuoja-asetusta sovellettaisiin sellaiseen henkilötietojen käsittelyyn, joka ei kuulu unionin lainsäädännön soveltamisalaan sekä henkilötietojen käsittelyyn, joka tapahtuisi SEU V osaston 2 jaksossa tarkoitettuun yhteisen ulko- ja turvallisuuspolitiikkaan liittyen.  

Sovellettaessa yleistä tietosuoja-asetusta lähtökohtaisesti sen soveltamisalan ulkopuolelle jäävään henkilötietojen käsittelyyn, osa yleisessä tietosuoja-asetuksen säännöksistä tulisi sulkea tällaisen soveltamisen ulkopuolelle.  

Soveltamisalan ulkopuolelle tulisi sulkea yleisen tietosuoja-asetuksen VI-VII luku siltä osin kuin kyse on niin sanotusta yhdenluukunmekanismista ja yhdenmukaisuusmekanismista. Esimerkiksi tietosuoja-asetuksen VI luvun 56 artiklassa säädetään johtavan valvontaviranomaisen toimivallasta. Yhdenluukunmekanismia ja yhdenmukaisuusmekanismia koskevat artiklat eivät tulisi sovellettavaksi, sillä ne koskevat tilanteita, joissa rekisterinpitäjä käsittelee henkilötietoja useamman jäsenvaltion alueella ja tavoitteena on yleisen tietosuoja-asetuksen yhdenmukainen soveltaminen EU:n alueella. Toimivaltainen viranomainen on tällöin rekisterinpitäjän päätoimipaikan tietosuojaviranomainen ja päätöksentekoon osallistuvat useamman jäsenvaltion tietosuojaviranomaiset. Järjestelmän puitteissa tehdyt päätökset sitovat kansallista tietosuojaviranomaista. Kyseen ollessa lähtökohtaisesti yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle jäävästä henkilötietojen käsittelystä ei tämänkaltaisia asioita ole tarpeellista arvioida ylikansallisessa päätöksentekomenettelyssä. Tällaiselle arvioinnille ei myöskään olisi edellytyksiä, sillä kyse olisi lähtökohtaisesti vahvoja kansallisia piirteitä sisältävistä kysymyksistä.  

Yleisen tietosuoja-asetuksen soveltamisalan laajentaminen ei koskisi tilanteita, joissa unionin lainsäädännön soveltamisalan ulkopuolelle jäävässä asiassa olisi kansallisella lailla toisin säädetty.  

Pykälä 2 momentissa säädettäisiin vielä 1 momenttia täydentävästi, että tietosuojalakia ei sovellettaisi sellaiseen henkilötietojen käsittelyyn, josta säädetään henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetussa laissa (xx/2018). Kyseisellä lailla on tarkoitus panna täytäntöön Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisen viranomaisen suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimusta, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta. Mainittu laki tulisi sovellettavaksi myös sellaiseen henkilötietojen käsittelyyn, joka ei kuulu edellä mainitun direktiivin soveltamisalaan. Tarkoituksena on, että mainittu laki koskisi myös sellaista henkilötietojen käsittelyä, joka liittyy poliisiin, rajavartiolaitoksen ja puolustusvoimien tehtäviin kansallisen turvallisuuden alalla. Tämän vuoksi 2 momentissa olisi tarpeellista selventää, että tietosuojalakia ei sovelleta sellaiseen henkilötietojen käsittelyyn, josta on säädetty edellä mainitulla lailla. Valvontajärjestelmän organisaation osalta rikosasioiden tietosuojadirektiivin täytäntöönpanoa koskeva esitys nojautuu kuitenkin tietosuojalakiehdotukseen.  

Esimerkiksi kansallinen turvallisuus jää lähtökohtaisesti unionin lainsäädännön soveltamisalan ulkopuolelle. Tarkoituksena on, että henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 1 §:n 2 momentin 2 kohdan mukaan kyseistä lakia sovellettaisiin poliisin suorittamaan henkilötietojen käsittelyyn, kun tietoja käsitellään poliisilain 1 §:n 1 momentissa tarkoitetussa tehtävässä, joka liittyy kansallisen turvallisuuden suojaamiseen. Poliisilain 1 luvun 1 §:n 1 momentin mukaan poliisin tehtävänä on oikeus- ja yhteiskuntajärjestyksen turvaaminen, yleisen järjestyksen ja turvallisuuden ylläpitäminen sekä rikosten ennalta estäminen, paljastaminen, selvittäminen ja syyteharkintaan saattaminen. Poliisi toimii turvallisuuden ylläpitämiseksi yhteistyössä muiden viranomaisten kanssa.  

Suojelupoliisin käsitellessä henkilötietoja tehtävänsä suorittamiseksi eli kansallisen turvallisuuden suojaamiseksi, sen henkilötietojen käsittely ei kuulu unionin lainsäädännön soveltamisalaan. Kansallinen turvallisuus on Euroopan unionista tehdyssä sopimuksessa suljettu EU:n toimivallan ulkopuolelle. Tästä syystä kansallisen turvallisuuden perusteella käsiteltävistä henkilötiedoista on säädettävä kansallisessa lainsäädännössä. Pykälän 2 momentissa tarkoitettua lakia sovellettaisiin myös muun poliisin yksikön suorittamaan henkilötietojen käsittelyyn, kun tietoja käsitellään poliisilain 1 §:n 1 momentissa tarkoitetussa tehtävässä, joka liittyy kansallisen turvallisuuden suojaamiseen. 

Henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 1 §:n 2 momentin 3 kohdan mukaan lakia sovellettaisiin myös Rajavartiolaitoksen suorittamaan henkilötietojen käsittelyyn, kun tietoja käsitellään kansallisen turvallisuuden suojaamisen yhteydessä. Rajavartiolain 3 §:ssä säädetään Rajavartiolaitoksen tehtävistä. Kansallisen turvallisuuden suojaamiseen niistä liittyvät erityisesti eräät valvontatehtävät sekä sotilaallisen maanpuolustuksen tehtävät.  

Lisäksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 1 §:n 2 momentin 1 kohdan mukaan lakia sovellettaisiin sellaiseen Puolustusvoimien suorittamaan ja Puolustusvoimien lukuun suoritettavaan henkilötietojen käsittelyyn, jota suoritetaan puolustusvoimista annetun lain 2 §:n 1 momentin mainituissa kohdissa säädettyjen tehtävien suorittamiseksi.  

3 §.Sovellettava laki. Pykälässä säädettäisiin henkilötietojen käsittelyyn sovellettavasta laista. Tietosuoja-asetuksessa ei ole lainvalintaa koskevaa sääntelyä. Lainvalintasääntely soveltuisi tilanteeseen, jolla on liittymiä kahteen tai useampaan jäsenvaltioon. Näin on esimerkiksi silloin, kun rekisterinpitäjä on sijoittunut yhden jäsenvaltion alueelle ja rekisteröidyt, joiden henkilötietoja käsitellään, asuvat toisessa jäsenvaltiossa. Lainvalintasääntelyllä olisi käytännössä merkitystä ainoastaan siltä osin kuin on kyse yleistä tietosuoja-asetusta täydentävästä, jäsenvaltion harkintamarginaalin puitteissa annetusta lainsäädännöstä. Jos tällaista sääntelyä ei lainvalintasäännön osoittamassa jäsenvaltiossa ole, sovelletaan yksinomaan yleistä tietosuoja-asetusta.  

Sovellettavaksi tulisi pykälän 1 momentin mukaan Suomen laki, jos rekisterinpitäjän toimipaikka sijaitsee Suomessa. Henkilötietojen käsittely, jota suoritetaan toimipaikkaan liittyvän toiminnan yhteydessä, ei edellytä, että asiaomainen toimipaikka suorittaa itse kyseessä olevaa henkilötietojen käsittelyä.  

Pykälän 2 momentissa säädettäisiin sovellettavista suojatoimista tilanteessa, jossa henkilötietojen käsitellään tieteellistä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten. Tietosuojalailla ehdotetaan säädettävän laajoista mahdollisuuksista poiketa rekisteröidyn eräistä oikeuksista, kun henkilötietoja käsitellään tieteellisiä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten.  

Pykälän 2 momentin nojalla rekisteröidyn oikeuksia koskevia suojatoimenpiteitä koskevaa 31 §:ää olisi sovellettava siinäkin tapauksessa, että henkilötietojen käsittelyyn muutoin sovelletaan vieraan valtion lakia. Lain 31 § olisi siten luonteeltaan niin sanotusti kansainvälisesti pakottaa sääntelyä, jota on sovellettava lainvalinnasta riippumatta. Jos rekisteröidyn oikeuksista poikkeaminen olisi sovellettavan lain nojalla mahdollista, niistä voitaisiin poiketa ainoastaan sillä edellytyksellä, että nyt ehdotettavan lain 31 §:ssä säädettyjä suojatoimenpiteitä noudatetaan. 

Lainvalintasääntelyllä ei ole vaikutusta siihen, miten toimivaltainen viranomainen tai toimivaltainen tuomioistuin määräytyy. Viranomaisen toimivallasta ja sen määräytymisestä säädetään yleisessä tietosuoja-asetuksessa.  

2 luku Käsittelyn oikeusperuste eräissä tapauksissa

Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan käsittelyn ollessa tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi ja käsittelyn ollessa tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi on käsittelyn perustasta säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. Erityisten henkilötietoryhmien käsittely edellyttää lisäksi jonkin yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan edellytyksen täyttymistä. Lukuun otettaisiin yleisen tietosuoja-asetuksen kansallista täsmentämistä koskevat säännökset käsittelyn perustasta 6, 9 ja 10 artiklan osalta.  

4 §.Käsittelyn lainmukaisuus. Pykälässä täsmennettäisiin yleisen tietosuoja-asetuksen mahdollistaman kansallisen liikkumavaran puitteissa henkilötietojen käsittelyn lainmukaisuutta 6 artiklan 1 kohdan e alakohdan mukaisissa tilanteissa, joissa henkilötietojen käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Yleisen tietosuoja-asetuksen 6 artiklan mukaan henkilötietojen käsittely on lainmukaista ainoastaan jonkin 6 artiklan 1 kohdan edellytyksen täyttyessä.  

Pykälän 1 kohdassa säädettäisiin henkilötietojen käsittelyn oikeudellisesta perustasta tilanteissa, joissa kysymys on henkilön asemaa, tehtäviä ja niiden hoitamista julkisyhteisöissä, elinkeinoelämässä, järjestötoiminnassa tai muussa vastaavassa toiminnassa kuvaavista tiedoista ja käsittely on yleisen edun mukainen ja käsittely oikeasuhtaista sillä tavoiteltuun oikeutettuun päämäärään nähden yleisen tietosuoja-asetuksen edellyttämällä tavalla. 

Nykyisen henkilötietolain 8 § :n 1 momentin 8 kohdassa säädetään pääosin vastaavasta henkilötietojen käsittelyn yleisestä edellytyksestä. Tämä henkilötietojen käsittelyn peruste on katsottu mahdolliseksi henkilötietodirektiivin rekisterinpitäjän oikeutettua etua koskevan 7 artiklan f alakohdan nojalla. Tietosuojalain käsittelyperuste 1 momentin 1 kohdassa tarkoitetulle henkilötietojen käsittelylle johdettaisiin yleisen tietosuoja-asetuksen kansallisesta liikkumavaran mahdollistamasta 6 artiklan 1 kohdan e alakohdan yleistä etua koskevan tehtävän suorittamista koskevasta käsittelyperusteesta. Henkilön asemaa, tehtävää ja niiden hoitamista koskevaa käsittelyperustetta lavennettaisiin nykymuotoiluun nähden lisäämällä käsittelyperusteeseen ”muu vastaava toiminta” ja poistamalla siitä sanat ”yleisesti saatavilla olevia”.  

Muu vastaava toiminta laajentaisi käsittelyperustan soveltamisalaa henkilötietolain vastaavaan kohtaan nähden muihinkin tahoihin kuin julkisyhteisöihin tai elinkeinoelämään. Nykyisin sovellettavan henkilötietolain henkilön asemaa, tehtäviä tai niiden hoitoa koskeva käsittelyedellytys ei edellytä rekisterinpitäjää arvioimaan henkilötietojen käsittelyn yleisen edun mukaisuutta ja oikeasuhtaisuutta sillä tavoiteltuun päämäärään nähden. On katsottu, etteivät henkilön yksityisyyden suojaa turvaavat edut syrjäytä henkilötietolain 8 §:n 1 momentin 8 kohdassa tarkoitetuissa tilanteissa rekisterinpitäjän tai sivullisen intressejä, koska kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista tiedoista ja tiedot ovat yleisesti saatavilla. Lainkohdassa kuitenkin edellytettäisiin, että käsittely on yleisen edun mukainen ja käsittely oikeasuhtaista sillä tavoiteltuun oikeutettuun päämäärään nähden. Tämä edellytys seuraa yleisen tietosuoja-asetuksen 6 artiklan 3 kohdasta. Käsittelyperuste ei oikeuttaisi siinä tarkoitettujen henkilötietojen käsittelyä mitä hyvänsä tarkoitusta varten. Esimerkiksi julkisuuden henkilöiden henkilötiedoista epäasiallisin perustein kerättyä listaa ei voitaisi oikeuttaa tällä käsittelyn oikeusperusteella.  

Oikeasuhtaisuutta arvioitaisiin kerättyjen henkilötietojen määrän lisäksi myös muun muassa käsittelytoimenpiteiden perusteella. Pykälän 1 momentin 1 kohta ei oikeuttaisi henkilötietojen pitämistä julkisesti saatavilla. Kohdassa tarkoitetun henkilötietojen käsittelyn tulisi myös kaikilta muilta osin vastata yleisessä tietosuoja-asetuksessa rekisterinpitäjälle asetettuja vaatimuksia. Myös yleisen tietosuoja-asetuksen mukaiset rekisteröidyn oikeudet tulisivat täysimääräisesti sovellettavaksi. Rekisteröidyllä olisi oikeus esimerkiksi yleisen tietosuoja-asetuksen 17 artiklan mukaiseen oikeuteen tietojen poistamiseen (oikeus tulla unohdetuksi) ja 21 artiklassa tarkoitettuun vastustamisoikeuteen. 

Pykälän 2 kohdassa säädettäisiin käsittelyn oikeusperusteesta henkilötietojen käsittelemiseksi viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Säännöksessä myös selvennetään, että käsittelyn on oltava tarpeen ja oikeasuhtaista. Säännöksen tarkoituksena on mahdollistaa viranomaisten toimesta tapahtuva henkilötietojen käsittely silloin, kun oikeutta käsittelyyn ei voida suoraan johtaa viranomaista koskevasta tehtävä- ja toimivaltasäännöksestä eikä mahdollisesta yksityiskohtaisemmasta erityissääntelystä. Koska säännös edellyttäisi, että käsittely on tarpeen viranomaisen toiminnassa, säännös mahdollistaisi henkilötietojen käsittelyn, joka olisi asianmukaisesti perusteltua viranomaisen tehtävien ja toimivallan kannalta. Lisäksi käsittelyn tulisi olla oikeasuhtaista viranomaisen tehtävän suorittamiseksi. Tämä selkiyttäisi sitä, että viranomaisen olisi aina tapauskohtaisesti arvioitava, voidaanko kyseessä olevaa henkilötietojen käsittelyä pitää oikeasuhtaisena käsittelyn tarkoitukset huomioon ottaen. Kuten kaikessa henkilötietojen käsittelyssä, tässäkin arvioinnissa olisi otettava huomioon yleisen tietosuoja-asetuksen 5 artiklan henkilötietojen käsittelyä koskevat periaatteet, kuten tietojen minimoinnin periaate, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Rekisterinpitäjän olisi myös arvioitava käsittelyn oikeasuhtaisuutta suhteessa rekisteröidyn etuihin ja perusoikeuksiin. Rekisterinpitäjän käsitellessä henkilötietoja tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan rekisterinpitäjän oikeutetun edun nojalla, rekisterinpitäjän on kiinnitettävä erityistä huomiota siihen, onko rekisteröity lapsi. Vastaavasti rekisterinpitäjän olisi kiinnitettävä huomiota tähän seikkaan käsitellessään henkilötietoja ehdotetun 2 kohdan mukaisesti.  

Kansallisella lailla voidaan määrittää ja täsmentää tehtävät ja tarkoitukset, joita varten henkilötietojen myöhempää käsittelyä on pidettävä yhteensopivana ja laillisena, jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Säännöksen tarkoituksena ei olisi luoda käsittelyn oikeudellista perustaa henkilötietojen myöhemmälle käsittelylle, joka on henkilötietojen alkuperäisten käsittelytarkoituksen kanssa yhteensopimatonta. Jos käsittely sopii yhteen niiden tarkoituksien kanssa, joita varten henkilötiedot on alun perin kerätty, ei henkilötietojen keruun oikeuttaneen käsittelyn oikeusperusteen lisäksi edellytetä muuta erillistä käsittelyn oikeusperustetta. Kyseessä ei siten olisi yleisen tietosuoja-asetuksen johdanto-osan kappaleessa 50 tarkoitettu tilanne, jossa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan määrittää ja täsmentää tehtävät ja tarkoitukset, joiden myöhempää käsittelyä olisi pidettävä yhteensopivana ja laillisena. Säädettäessä tällaisesta käsittelyn oikeusperusteesta on tätä arvioitava yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan mukaan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa asetettujen tavoitteiden turvaamisen kannalta. Säädettäessä muussa laissa henkilötietojen käsittelyn oikeusperusteesta, jonka nojalla henkilötietojen myöhempi yhteensopimaton käsittely olisi mahdollista, olisi tämä aina perusteltava yksityiskohtaisesti ottaen erityisesti yleisen tietosuoja-asetuksen 23 artiklan huomioon.  

Lainkohdassa säädetty käsittelyn oikeudellinen peruste koskisi ainoastaan viranomaisten henkilötietojen käsittelyä. Yksityisoikeudellisten yhteisöjen hoitaessa julkisia hallintotehtäviä, tulisi sovellettavaksi joko yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta tai f alakohta, jonka mukaan henkilötietoja voi käsitellä rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Artiklan f alakohtaa ei kuitenkaan sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä. Ehdotettu 3 §:n 2 kohta olisi siten tarpeellinen, jotta viranomaiset voivat käsitellä henkilötietoja muiden tehtävien kuin lakisääteisten velvoitteiden suorittamiseksi. Tällainen tehtävä voisi olla esimerkiksi viranomaisen suunnittelu- ja selvitystehtävä.  

Kyseisen lainkohdan nojalla henkilötietoja voisi käsitellä myös esimerkiksi viranomaisen suunnittelu- ja selvitystehtäviä varten vastaisuudessakin. Tällä hetkellä henkilötietolain 16 §:ssä säädetään viranomaisen mahdollisuudesta muilla kuin henkilötietolain 8 §:n 1 momentissa säädetyillä perusteilla kerätä ja tallettaa henkilötietoja viranomaisen henkilörekisteriin suunnittelu- ja selvitystehtäviä varten. Henkilötietolain 16 §:ssä tarkoitettua rekisteriä on mahdollista ylläpitää vain määräajan. Henkilötietojen keräämisessä ja tallettamisessa on tällöin noudatettava soveltuvin osin henkilötietolain 14 §:n säännöksiä henkilötietojen käsittelystä historiallista tai tieteellistä tutkimusta varten. Henkilötietolain säännöstä on pidetty tarpeellisena sen vuoksi, että siinä tarkoitettu viranomaisen suunnittelu- ja selvitystehtävä ei yleensä ole sellaista historiallista tai tieteellistä tutkimusta, jota 14 §:ssä tarkoitetaan. Henkilötietolaissa tarkoitettu suunnittelu- tai selvitystehtävä voi liittyä sellaiseen yhteiskunnallisen kehityksen myötä syntyneeseen uuteen ilmiöön, johon liittyvien tehtävien hoito ei vielä selvästi kuulu minkään viranomaisen lakisääteisiin tehtäviin, eikä henkilötietojen käsittely ole siten ollut mahdollista henkilötietolain 8 §:n 1 momentin 4 kohdan nojalla. Tällaista suunnittelutehtävien suorittamista ja selvitysten tekemistä on pidetty yleisen edun vuoksi perusteltuna. Tällöin voi olla tarpeen kerätä ja tallettaa myös henkilötietoja.  

Henkilötietolain 16 §:n on katsottu olevan mahdollinen paitsi henkilötietodirektiivin 7 artiklan f alakohdan, myös artiklan e alakohdan nojalla. Henkilötietodirektiivin 7 artiklan e alakohta sallii henkilötietojen käsittelyn, kun se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle. Kun henkilötietojen keräämisessä ja tallettamisessa henkilötietolain 16 §:n nojalla on noudatettava soveltuvin osin 14 §:ssä henkilötietojen käsittelylle historiallista ja tieteellistä tutkimusta varten asetettuja vaatimuksia, on lain esitöissä katsottu, että rekisteröidyn oikeudet ja vapaudet tulevat kyseisessä pykälässä otetuiksi huomioon siten kuin henkilötietodirektiivi edellyttää. Henkilötietolain viranomaisten selvitystehtäviä koskevalla henkilötietojen käsittelyn oikeudellisella perustalla on lisäksi pantu täytäntöön henkilötietodirektiivin 7 artiklan f alakohtaa. Henkilötietodirektiivin 7 artiklan e alakohta vastaa ehdotettua käsittelyn oikeusperustetta. Käsittelyn oikeusperuste johdettaisiin siten yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdasta. Henkilötietojen käsittely viranomaisen suunnittelu- ja selvitystehtävien toteuttamiseksi olisi tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Käsiteltäessä henkilötietoja yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan nojalla, on rekisteröidyllä oikeus vastustaa henkilötietojensa käsittelyä yleisen tietosuoja-asetuksen 21 artiklan nojalla. Tällä hetkellä henkilötietolakiin ei sisälly vastaavaa mahdollisuutta vastustaa henkilötietojen käsittelyä viranomaisten käsitellessä henkilötietoja suunnittelu- tai selvitystehtäviin.  

Pykälän 3 kohdassa säädettäisiin henkilötietojen käsittelystä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan yleistä etua koskevan tehtävän suorittamiseksi tieteellistä tai historiallista tutkimusta ja tilastointia varten. Säännös perustuisi yleisen tietosuoja-asetuksen 6 artiklan 2 kohdan valtuutukseen, joka mahdollistaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan täsmentämisen erityisesti IX luvun käsittelytilanteiden osalta kansallisella lainsäädännöllä. Osaltaan ehdotetulla säännöksellä myös toteutettaisiin yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaista vaatimusta kansallisesti säätää 6 artiklan 1 kohdan e alakohdan mukaisen käsittelyn perustasta. Säännös on luonteeltaan asetusta täydentävä ja täsmentävä. Sillä täsmennettäisiin 6 artiklan 1 kohdan e alakohdan sisältöä Suomen tutkimusjärjestelmän ja oikeusjärjestelmän olosuhteissa.  

Säännös ei rajoittaisi niiden toimijoiden piiriä, jotka voisivat vedota tähän käsittelyperusteeseen. Henkilötietoja voisi säännöksen perusteella käsitellä luonnolliset henkilöt ja julkiset sekä yksityiset oikeushenkilöt.  

Henkilötietojen käsittely tieteellistä tai historiallista tutkimustarkoituksia tai tilastointia varten edellyttää, että jokin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan mukaisista käsittelyperusteista täyttyy. Ehdotetun lainkohdan lisäksi henkilötietojen käsittely edellä mainituissa tilanteissa on siten myös mahdollista, jos jokin muu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan mukaisista käsittelyperusteista täyttyy. Henkilötietojen käsittely tieteellisessä tutkimustarkoituksessa on siten mahdollista, jos käsittelylle on esimerkiksi rekisteröidyn suostumus tai kyseessä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdassa tarkoitettu rekisterinpitäjän oikeutettu etu.  

Henkilötietoja voitaisiin käsitellä lainkohdan nojalla tieteellistä tai historiallista tutkimusta tai tilastointia varten, jos käsittely on tarpeen ja oikeasuhtaista sillä tavoiteltuun yleisen edun mukaiseen tavoitteeseen nähden. Tarpeellisuutta ja oikeasuhtaisuutta arvioitaessa tulisi kiinnittää aivan erityistä huomiota yleisen tietosuoja-asetuksen 5 artiklan c ja e alakohtiin henkilötietojen käsittelyn periaatteista. Rekisterinpitäjällä on yleisen tietousoja-asetuksen 5 artiklan 1 kohdan f alakohdasta seuraava osoitusvelvollisuus. Rekisterinpitäjän on siten kyettävä osoittamaan käsittelyn tarpeellisuus ja oikeasuhtaisuus. Henkilötietojen myöhempi käsittely ehdotetussa säännöksessä tarkoitettuihin käsittelytarkoituksiin olisi aina erikseen arvioitava. Tätä arvioitaessa olisi otettava huomioon esimerkiksi aineistoon liittyvät tutkimusluvan ehdot ja aineistoon liittyvät aiemmat suostumukset. Yleisen tietosuoja-asetuksen johdanto-osan 33 kappaleen mukaan usein tieteellisiä tutkimustarkoituksia varten tehtävän käsittelyn tarkoitusta ei ole mahdollista täysin määrittää siinä vaiheessa, kun henkilötietoja kerätään. Tästä syystä rekisteröityjen olisi voitava antaa suostumuksensa tietyille tieteellisen tutkimuksen aloille silloin, kun noudatetaan tieteellisen tutkimuksen tunnustettuja eettisiä standardeja. Rekisteröidyillä olisi oltava mahdollisuus antaa suostumuksensa ainoastaan tietyille tutkimusaloille tai tutkimushankkeiden osille siinä määrin kuin tarkoitus sen mahdollistaa.  

Lainkohdassa tarkoitettua henkilötietojen käsittelyä tilastollisia tarkoituksia varten voisi olla esimerkiksi palkkatilastointi. 

Pykälän 4 kohdassa säädettäisiin henkilötietojen käsittelystä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan yleistä etua koskevan tehtävän suorittamiseksi, jos henkilötietoja sisältävien tutkimusaineistojen, kulttuuriperintöaineistojen sekä näiden kuvailutietoihin liittyvien henkilötietojen käsittely arkistointitarkoituksessa on tarpeen ja oikeasuhtaista sillä tavoiteltuun yleisen edun mukaiseen tavoitteeseen ja rekisteröidyn oikeuksiin nähden. 

Säännös perustuisi yleisen tietosuoja-asetuksen 6 artiklan 2 kohdan valtuutukseen, joka mahdollistaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan täsmentämisen erityisesti IX luvun käsittelytilanteisen osalta kansallisella lainsäädännöllä. Osaltaan ehdotetulla säännöksellä myös toteutettaisiin yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaista vaatimusta kansallisesti säätää 6 artiklan 1 kohdan e alakohdan mukaisen käsittelyn perustasta. Säännös on luonteeltaan asetusta täydentävä ja täsmentävä. Sillä täsmennettäisiin 6 artiklan 1 kohdan e alakohdan sisältöä Suomen tutkimusjärjestelmän ja oikeusjärjestelmän olosuhteissa, joissa esimerkiksi kaikkien merkittävien arkistointitoimijoiden asemasta ei ole lainsäädäntöä. Säännöksellä ei kuitenkaan pyrittäisi rajoittamaan henkilötietojen käsittelyn alaa tieteellisissä ja historiallisissa tutkimustarkoituksissa siitä, mitä se on suoraan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan nojalla.  

Säännöksellä ei pyrittäisi määrittelemään yleisen edun mukaisesta arkistointitarkoituksesta seuraavaa käytön laajuutta, joka määräytyy viime kädessä EU-tuomioistuimen tulkintakäytännössä. Sen voidaan joka tapauksessa katsoa kattavan myös muuta aineiston käsittelyä kuin säilyttämistä. Yleisen edun mukaiseen arkistointiin liittyy yleensä ainakin aineistojen järjestämistä, metatietojen määrittelemistä ja tietojen yhdistelyä. 

Henkilötietojen käsittely arkistointitarkoituksia varten edellyttää, että vähintään yksi tietosuoja-asetuksen 6 artiklan 1 kohdan mukaisista käsittelyperusteista täyttyy. Kaikki artiklan mukaiset käsittelyperusteet ovat tasa-arvoisia. Arkistointi on siten mahdollista, jos jokin näistä käsittelyperusteista täyttyy. Sikäli kuin yleisen tietosuoja-asetuksen 5 artiklassa säädetystä henkilötietojen käsittelyä koskevasta käyttötarkoitussidonnaisuutta tai säilytyksen rajoittamista koskevasta periaatteesta kuitenkin poiketaan, edellyttää yleinen tietosuoja-asetus, että kyse on yleisen edun mukaisesta arkistointitarkoituksesta. Henkilötietojen säilyttäminen niiden alkuperäistä käyttötarkoitusta pidempään arkistointitarkoituksessa on siten mahdollista ainoastaan arkistoinnin ollessa yleisen edun mukaista. Sillä, mihin 6 artiklan 1 kohdan käsittelyn oikeusperusteeseen henkilötietojen käsittely perustuu, on myös vaikutusta siihen, mitä oikeuksia rekisteröidyllä on. Ehdotetussa lainkohdassa täsmennettäisiin 6 artiklan 1 kohdan e alakohdan mukaisen käsittelyperusteen täyttymistä yleisen edun mukaisen arkistointitarkoituksen osalta. 

Kulttuuriperintöaineistoja tallennetaan laajasti moninaisissa muistiorganisaatioissa: kirjastoissa, arkistoissa ja museoissa. Nämä toimijat voivat olla sekä viranomaisia että yksityisiä toimijoita. Säännös ei rajoittaisi niiden toimijoiden piiriä, jotka voisivat käsitellä henkilötietoja 4 kohdan käsittelyperusteen nojalla. Henkilötietojen käsittely olisi siten ehdotetun kohdan mukaan mahdollista niin luonnollisille henkilöille kuin julkisille tai yksityisille oikeushenkilöille. Olennaista olisi yleisen edun mukainen toiminta sekä sen suhde rekisteröidyn oikeuksiin. Viranomaisen osalta arkistointitehtävästä säädettäisiin kuitenkin lailla. Tutkimusaineistoja syntyy erityisesti korkeakoulujen ja tutkimuslaitosten toiminnassa. Näiden aineistojen käsittelyedellytykset olisivat samat kuin kulttuuriperintöaineistojen. Niiden arkistointi edellyttäisi siten tarveharkintaa ja suhteellisuusarvioita.  

Henkilötietojen käsittely sisältää ajatuksen henkilötietojen elinkaaresta, jossa henkilörekisterille ja henkilötietojen käsittelylle on määriteltävä alku ja loppu. Elinkaaren loppupuolella aineiston voi hävittää, anonymisoida tai se voidaan arkistoida, jos arkistoinnille on olemassa asialliset perusteet. Lähtökohta kuitenkin on, että henkilötietojen käsittelyn on palveltava ensisijaista käsittelytarkoitusta, ja vain poikkeuksellisesti aineisto voidaan katsoa niin merkittäväksi, että sen säilyttäminen muuta käyttötarkoitusta varten on perusteltua. Rekisterinpitäjän vastuu käsitellä henkilötietoja sisältävää arkistoitua aineistoa yleisen tietosuoja-asetuksen mukaisesti säilyy arkistoinnista huolimatta.  

Lainkohdan vaatimuksella käsittelyn tarpeellisuudesta ja oikeasuhtaisuudesta tarkoitettaisiin, että henkilötietojen säilyttämisen oikeutus tulisi arvioida säännönmukaisesti kunkin säilytettävän henkilötiedon tai henkilötietoryhmän osalta suhteessa yleisen edun mukaiseen arkistointitarpeeseen. Arkistointitarpeeseen vaikuttaisivat erityisesti tiedon mahdollinen tutkimuskäyttö ja muu kulttuuriperintöön liittyvä arvo. Arviossa tulisi kiinnittää aivan erityistä huomiota yleisen tietosuoja-asetuksen 5 artiklan c ja e alakohtiin henkilötietojen käsittelyä koskeviin periaatteisiin. Asetuksen 5 artiklan c alakohta sisältää tietojen minimoinnin periaatteen, henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötietoja on puolestaan säilytettävä muodossa, jossa rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten noudattamista varten. Henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että yleisessä tietosuoja-asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröidyn oikeuksien ja vapauksien turvaamiseksi.  

Sääntely koskisi sekä muun toiminnan yhteydessä syntyviä kulttuuriperintöaineistoja että tutkimuksen puitteissa kertyviä tutkimusaineistoja. Kulttuuriperintöaineistojen kirjo on laaja. Ne voivat sisältää ihmisten toiminnassa kertyvien, toiminnan historiasta ja merkityksestä kertovien aineistojen lisäksi muun muassa tietoa luonnonperinnöstä ja taiteesta. Kulttuuriperintöaineisto voi olla esimerkiksi asiakirjoja, esineitä, painotuotteita, taideteoksia, luonnontieteellisiä aineistoja, kuvia ja audiovisuaalisia aineistoja, sekä dokumenttiaineistoja ja kyselyaineistoja. Yleisen tietosuoja-asetuksen ja ehdotetun tietosuojalain soveltuminen kuitenkin edellyttää, että kulttuuriperintöaineistot tai niiden kuvailuaineistot sisältävät henkilötietoja. Kuvailutiedoilla tarkoitetaan kulttuuriperintöaineistoihin liitettäviä viitetietoja ja muita määreitä, joilla aineisto yhdistetään asioihin ja henkilöihin ja joilla pyritään lisäämään aineiston informatiivisuutta ja saatavuutta.  

Ehdotettu henkilötietojen käsittelyperusta pitää sisällään myös mahdollisuuden käsitellä kulttuuriperintöaineistoja siinä tarkoituksessa, että kyseiset aineistot saatetaan käytettäväksi. Rekisterinpitäjän on tässäkin käsittelytarkoituksessa arvioitava, onko käsittely tarpeellista ja oikeasuhtaista sillä tavoiteltuihin päämääriin nähden. Rekisterinpitäjän on käsittelyn oikeasuhtaisuutta arvioidessaan otettava huomioon rekisteröidyn oikeudet ja henkilötietojen käsittelyn yleiset periaatteet. Jos rekisteröidyn oikeuksista on poikettu ehdotetun lain 33 §:n nojalla, on rekisterinpitäjän kiinnitettävä tähän erityistä huomiota arvioidessaan käsittelyn oikeasuhtaisuutta. Kun saatetaan esimerkiksi laajoja valokuva-aineistoja käytettäväksi, voi rekisterinpitäjä kiinnittää huomiota esimerkiksi aineiston ikään ja siihen, missä laajuudessa aineisto saatettaisiin käytettäväksi. 

5 §.Tietoyhteiskunnan palvelujen tarjoamiseen lapselle sovellettava ikäraja. Pykälässä säädettäisiin, että tarjottaessa tietoyhteiskunnan palveluja suoraan lapselle, lapsen henkilötietojen käsittely olisi lainmukaista vain, jos lapsi on vähintään 13-vuotias. Jos lapsi on alle 13 vuotta, tällainen käsittely olisi lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempainvastuunkantaja on antanut siihen suostumuksen tai valtuutuksen. Lapsen ikärajasta säätäminen on mahdollista yleisen tietosuoja-asetuksen 8 artiklan 1 kohdan nojalla. Jos lapsen ikärajasta ei kansallisesti säädetä, määräytyy se suoraan tietosuoja-asetuksen 8 artiklan perusteella 16 vuodeksi. Pykälässä säädetty ikäraja koskisi ainoastaan henkilötietojen käsittelyä, jossa käsittelyn oikeudellinen käsittelyperuste on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohta eli rekisteröidyn suostumus. 

Vanhempainvastuunkantajalla tarkoitetaan esimerkiksi Bryssel II -asetuksen (neuvoston asetus (EY) N:o 2201/2003, annettu 27 päivänä marraskuuta 2003 tuomioistuimen toimivallasta sekä tuomioiden tunnustamisesta ja täytäntöönpanosta avioliittoa ja vanhempainvastuuta koskevissa asioissa ja asetuksen (EY) N:o 1347/2000 kumoamisesta) mukaan ketä tahansa henkilöä, jolla on vanhempainvastuu lapseen nähden. Vanhempainvastuulla tarkoitetaan Bryssel II –asetuksen mukaan sellaisia oikeuksia ja velvollisuuksia, jotka liittyvät lapsen henkilöön tai omaisuuteen ja jotka jollakin luonnollisella henkilöllä tai oikeushenkilöllä on tuomioistuimen tuomion tai lain taikka voimassa olevan sopimuksen perusteella. Ilmaisu käsittää erityisesti oikeuden lapsen huoltoon ja tapaamisoikeuden. Kansallisesti vanhempainvastuunkantajina on yleensä pidetty lapsen huoltajaa ja edunvalvojaa. 

Tietoyhteiskunnan palvelulla tarkoitettaisiin yleisen tietosuoja-asetuksen 4 artiklan 25 kohdan nojalla Euroopan parlamentin ja neuvoston direktiiviin (EU) 2015/1535 1 artiklan 1 kohdan b alakohdassa tarkoitettuja palveluita. Mainitun säännöksen mukaan tietoyhteiskunnan palvelulla tarkoitetaan kaikkia etäpalveluina sähköisessä muodossa palvelun vastaanottajan henkilökohtaisesta pyynnöstä toimitettavia palveluita, joista tavallisesti maksetaan korvaus. Etäpalvelulla tarkoitettaisiin palvelua, joka toimitetaan siten että osapuolet eivät ole samanaikaisesti läsnä. Sähköisellä muodolla viitattaisiin palveluun, joka lähetetään lähetyspaikasta ja vastaanotetaan määränpäässä tietoja elektronisesti käsittelevien laitteiden tai tietojen säilytyksen avulla ja joka lähetetään, siirretään ja vastaanotetaan kokonaan linjoja, radioyhteyttä, optisia tai muita elektromagneettisia välineitä käyttäen. Palvelun vastaanottajan henkilökohtaisesta pyynnöstä toimitettavalla palvelulla tarkoitettaisiin, että palvelu toimitetaan henkilökohtaisen pyynnön perusteella tapahtuvana tiedonsiirtona.  

Yleisen tietosuoja-asetuksen 8 artiklan 3 kohdan mukaisesti tietoyhteiskunnan palveluihin liittyvään lapsen suostumukseen sovellettavat ehdot eivät vaikuta kansalliseen sopimus- tai velvoiteoikeuteen, kuten lapsen kelpoisuuteen ylipäätään tehdä oikeustoimia. 

6 §.Erityisiä henkilötietoryhmiä koskeva käsittely. Pykälässä säädettäisiin erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelystä. Pykälässä säädetyissä tilanteissa olisi mahdollista käsitellä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja. Henkilötietojen käsittelyyn ei siten sovellettaisi pykälässä tarkoitetuissa tilanteissa yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa, jossa kielletään kyseisten tietojen käsittely.  

Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetään tilanteista, joissa erityisiin henkilötietoryhmiin kuuluvia henkilötietoja voidaan käsitellä. Osa 9 artiklan 2 kohdan luetelmakohdista on suoraan sovellettavia, osa edellyttää jäsenvaltion lainsäädäntöä. Kansallisella lainsäädännöllä ei tällöinkään voida ohittaa yleisestä tietosuoja-asetuksesta johtuvia vaatimuksia ja periaatteita. Ehdotetussa 6 §:ssä säädettäisiin nykyisen henkilötietolain 12 §:n mukaisista tilanteista, joissa arkaluonteisia henkilötietoja saa käsitellä siltä osin kuin kyseinen henkilötietojen käsittely ei ole mahdollista suoraan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan nojalla. Yleinen tietosuoja-asetus edellyttää, että jäsenvaltion lainsäädännössä säädetään tällöin myös asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.  

Eräitä muutoksia henkilötietolain 12 §:ään nähden seuraisi kuitenkin siitä, että erityisiin henkilötietoryhmiin ei kuulu tiedot, jotka on tarkoitettu kuvaamaan rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta. Henkilötietolain mukaan edellä mainitut tiedot ovat arkaluonteisia henkilötietoja. Rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä säädetään yleisen tietosuoja-asetuksen 10 artiklassa. Erityisiin henkilötietoryhmiin ei myöskään kuulu nykyisin henkilötietolaissa arkaluonteiseksi säädetyt tiedot henkilön sosiaalihuollon tarpeesta tai hänen saamistaan sosiaalihuollon palveluista, tukitoimista ja muista sosiaalihuollon etuuksista. Nykyisen henkilötietolain 12 §:n 13 kohdan mukaisesta arkaluonteisten henkilötietojen käsittelystä, joka on mahdollista tietosuojalautakunnan luvalla, ei enää säädettäisi.  

Ehdotetussa 6 §:n 2 momentissa säädettäisiin asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Ehdotetun 6 §:n lisäksi yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa tarkoitetusta henkilötietojen käsittelystä on mahdollista säätää tarkemmin myös erityislainsäädännöllä.  

Pykälän muotoilu poikkeaisi nykyisestä henkilötietolain muotoilusta siten, että ehdotetun pykälän mukaan yleisen tietosuoja-asetuksen 9 artiklan 1 kohtaa ei sovellettaisi 6 §:ssä säädetyissä tilanteissa. Henkilötietolain 12 §:n mukaan arkaluonteisten henkilötietojen käsittelykielto ei estä henkilötietojen käsittelyä lain 12 §:ssä luetelluissa tilanteissa. Muutoksella ei pyrittäisi muuttamaan nykytilaa, vaan kyse olisi yhdenmukaisesta ilmaisutavasta yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan kanssa.  

Pykälän 1 momentin 1 kohdassa täsmennettäisiin erityisten henkilötietoryhmien käsittelyä koskevia käsittelytilanteita vakuutuslaitosten vakuutustoiminnassa saatujen tietojen käsittelyn osalta. Tämä on mahdollista yleisen tietosuoja-asetuksen 9 artiklan g kohdan nojalla. Pykälän 1 kohdan täsmennys olisi tarpeellinen, jotta vakuutuslaitokset voisivat vastaisuudessakin käsitellä vakuutustoiminnassa saatuja tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista tiedoista. Momentin 1 kohta vastaisi nykyisen henkilötietolain 12 §:n 11 kohtaa, jonka mukaan vakuutuslaitokset voivat käsitellä vakuutustoiminnassa saatuja tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista taikka sellaisia tietoja vakuutetun, korvauksenhakijan tai vahingon aiheuttajan rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta, jotka ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. 

Nykyisen henkilötietolain 12 §:n 11 kohdan mukainen käsittelyn oikeusperuste ei nimenomaisesti sisälly henkilötietodirektiivin erityisiä tietoryhmiä koskevaan 8 artiklaan, mutta se on katsottu mahdolliseksi 8 artiklan 4 ja 5 kohdan nojalla. Kyseisen 4 kohdan mukaan jäsenvaltiot voivat, ottaen huomioon tarvittavat suojatoimet, tärkeää yleistä etua koskevasta syystä, toteuttaa muita kuin 8 artiklan 2 kohdassa säädettyjä poikkeuksia joko kansallisella lailla tai valvontaviranomaisen päätöksellä. Yleisen tietosuoja-asetuksen 9 artiklan 2 kohta käsittää vastaavan g alakohdan, jonka mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on mahdollista, jos se on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla, edellyttäen että se on oikeasuhtainen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin henkilötietojen suojaa ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Ehdotettua säännöstä voidaan pitää siten oikeasuhtaisena. Lisäksi vakuutuslaitosten toiminta on yksityiskohtaisesti säänneltyä.  

Momentin 1 kohdan mukaan yleisen tietosuoja-asetuksen 9 artiklan 1 kohta ei estäisi vakuutuslaitosta vastaisuudessakaan käsittelemästä eräitä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja vastuunsa selvittämiseksi. Vakuutuslaitos voisi siten käsitellä tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista. Yleisen tietosuoja-asetuksen 9 artiklan 1 kohta käsittää muun muassa terveyttä koskevat tiedot. Tietosuojalain 6 §:ssä tarkoitetut tiedot ovat terveyttä koskevia tietoja. Erityisiä henkilötietoryhmiä koskeva 9 artikla käsittää henkilötietolaissa arkaluonteisiksi katsottujen tietojen lisäksi muun muassa henkilön geneettisten tai biometristen tietojen käsittelyn henkilön yksiselitteistä tunnistamista varten. Vakuutuslaitoksilla ei ehdotetun pykälän mukaan olisi vastaisuudessakaan oikeutta käsitellä geneettisiä tietoja.  

Koska myös muilla vakuutuslaitoksilla kuin vakuutusyhtiöillä — kuten vakuutusyhdistyksillä ja eläkesäätiöillä ja -kassoilla — on samanlainen tarve käsitellä toiminnassaan henkilöiden terveydentilaa koskevia tietoja kuin vakuutusyhtiöillä, ehdotetaan säädettäväksi vakuutuslaitoksen oikeudesta käsitellä tietoja. Vakuutuslaitokset saisivat 6 §:n nojalla käsitellä vakuutettua koskevien tietojen lisäksi myös korvauksenhakijaa koskevia tietoja. Tämä johtuu siitä, että vakuutuslaitokset joutuvat toiminnassaan käsittelemään myös muita korvauksenhakijoita kuin vakuutettuja koskevia terveydentilatietoja. Esimerkiksi liikenneonnettomuudessa loukkaantunut henkilö ei useinkaan ole vakuutettu, vaan ulkopuolinen henkilö, jolle liikenneonnettomuudessa on aiheutunut henkilövahinko. 

Momentin 1 kohta ei nykyisen henkilötietolain 12 §:n 11 kohdan tavoin sisältäisi käsittelyperustetta henkilötietojen käsittelylle korvauksenhakijan tai vahingon aiheuttajan rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta, sillä rikostuomioihin ja rikkomuksiin koskevasta henkilötietojen käsittelystä säädettäisiin ehdotetun lain 7 §:ssä. 

Vakuutuslaitoksia koskevan yksityiskohtaisen sääntelyn yhdessä vakuutustoiminnan luvanvaraisuuden ja vastuunselvittämiseen rajoitetun käsittelyoikeuden kanssa voidaan katsoa osaltaan muodostavan asianmukaiset ja erityiset toimenpiteet rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.  

Ehdotetun 6 §:n 1 momentin 2 kohdassa säädettäisiin erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelystä, jos käsittelystä on säädetty laissa tai jos käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Kyseinen kohta vastaisi nykyisen henkilötietolain 12 §:n 5 kohtaa. Henkilötietolain säännös on katsottu mahdolliseksi henkilötietodirektiivin 8 artiklan 4 kohdan perusteella. Direktiivin 8 artiklan 4 kohdan mukaan jäsenvaltiot voivat, ottaen huomioon tarvittavat suojatoimet, tärkeää yleistä etua koskevasta syystä, toteuttaa muita kuin direktiivin 2 kohdassa säädettyjä poikkeuksia kansallisella lailla. Myös yleisen tietosuoja-asetuksen 9 artiklan 2 alakohdan g alakohta sisältää mahdollisuuden poiketa erityisiä henkilötietoryhmiä koskevasta käsittelykiellosta jäsenvaltion lainsäädännön nojalla, jos käsittely on tarpeen tärkeää yleistä etua koskevasta syystä. Lisäksi tietosuoja-asetuksessa edellytetään, että kyseinen lainsäädäntö on oikeasuhteinen tavoitteeseensa nähden, siinä noudatetaan keskeiseltä osin henkilötietojen suojaa ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Lainsäätäjän on otettava nämä edellytykset asianmukaisesti huomioon. Vastaavat vaatimukset seuraavat myös lainsäätäjää sitovista perusoikeuksien yleisistä rajoitusedellytyksistä. Ehdotettu lainkohta olisi siten mahdollinen yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla. Asianmukaisista ja erityisistä suojatoimista säädettäisiin ehdotetun pykälän 2 momentissa. 

Momentin 3 kohdassa säädettäisiin ammattiliittoon kuulumista koskeva tiedon käsittelystä tilanteessa, jossa se on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla. Kyseinen kohta vastaisi nykyisen henkilötietolain 12 §:n 9 kohtaa, jonka mukaan ammattiliittoon kuulumista koskevan tiedon käsittely, joka on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla, on mahdollista. Pykälän 3 kohta mahdollistaisi ainoastaan ammattiliittoon kuulumista koskevan tiedon käsittelyn. Siten niillä muutoksilla, joita erityisiin henkilötietoryhmiin katsottavaksi kuuluvien tietojen osalta seuraa yleisestä tietosuoja-asetuksesta, ei olisi vaikutusta kyseiseen lainkohtaan. 

Ehdotettu lainkohta mahdollistaisi nykyiseen tapaan sen, että myös työnantaja voi siinä säädetyillä edellytyksillä käsitellä ammattiliiton jäsenyystietoja. Tällainen tilanne voi olla esimerkiksi silloin, kun ammattiliiton jäsenyystietoa tarvitaan virka- ja työehtosopimuksen sidonnaisuuden selvittämisessä tai työtaistelutilanteessa sen selvittämiseksi, ketkä kuuluvat työtaistelun piiriin. Henkilötietolain säännös on katsottu mahdolliseksi henkilötietodirektiivin 8 artiklan 2 kohdan b alakohdan perusteella, jonka mukaan erityisiin henkilötietoryhmiin kuuluvia henkilötietoja voi käsitellä, jos käsittely on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla, siltä osin kuin se sallitaan kansallisessa lainsäädännössä, jolla säädetään riittävistä suojatoimista. Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohta sisältää vastaavan mahdollisuuden. Kyseisen kohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on mahdollista, jos käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. 

Mahdollisuus käsitellä ammattiliittoon kuulumista koskevaa tietoa olisi rajattu tilanteisiin, joissa kyse on rekisterinpitäjän oikeuksista tai velvoitteista työoikeuden alalla. Ehdotettua säännöstä voidaan siten pitää oikeasuhtaisena. Rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista säädettäisiin pykälän 2 momentissa. 

Momentin 4 kohdassa säädettäisiin terveydenhuollon palveluntarjoajan oikeudesta käsitellä kyseisessä toiminnassa saamiaan tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta taikka muita rekisteröidyn hoidon kannalta välttämättömiä tietoja. Ehdotettu 4 kohta vastaisi eräin muutoksin nykyisen henkilötietolain 12 §:n 10 kohtaa, joka on katsottu mahdolliseksi henkilötietodirektiivin 8 artiklan 3 kohdan nojalla. Ehdotettu 4 kohta olisi mahdollinen yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan h ja i alakohdan nojalla. Artiklan h alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on mahdollista, jos käsittely on tarpeen ennalta ehkäisevää tai työterveydenhuoltoa koskevia tarkoituksia varten, työntekijän työkyvyn arvioimiseksi, lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten unionin oikeuden tai jäsenvaltion lainsäädännön perusteella tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti ja noudattaen 3 kohdassa esitettyjä edellytyksiä ja suojatoimia. Artiklan i alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvia henkilötietoja voi käsitellä, jos käsittely on tarpeen kansaterveyteen liittyvän yleisen edun vuoksi, kuten vakavilta rajatylittäviltä terveysuhkilta suojautumiseksi tai terveydenhuollon, lääkevalmisteiden tai lääkinnällisten laitteiden korkeiden laatu- ja turvallisuusnormien varmistamiseksi sellaisen unionin oikeuden tai jäsenvaltion lainsäädännön perusteella, jossa säädetään asianmukaista ja erityisistä toimenpiteistä rekisteröidyn oikeuksien ja vapauksien, erityisesti salassapitovelvollisuuden, suojaamiseksi. Vastaisuudessa ehdotetun lainkohdan nojalla ei olisi enää mahdollista käsitellä rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevaa tietoa, sillä kyseiset tiedot eivät sisälly erityisiin henkilötietoryhmiin. Tällä muutoksella ei kuitenkaan olisi sanottavaa merkitystä, sillä terveydentilaa, sairautta, vammaisuutta ja hoitotoimenpidettä koskevien tietojen lisäksi lainkohta mahdollistaisi sellaisten henkilötietojen käsittelyn, jotka ovat rekisteröidyn hoidon kannalta välttämättömiä. Tieto rikollisesta teosta, rangaistuksesta tai muu rikoksen seuraamuksesta ei lähtökohtaisesti ole rekisteröidyn hoidon kannalta välttämätön. Asianmukaisista ja erityisistä toimenpiteistä säädettäisiin ehdotetun pykälän 2 momentissa. 

Henkilötietolain 12 §:n mukaan terveydenhuollon toimintayksiköllä tai terveydenhuollon ammattihenkilöllä on oikeus käsitellä edellä mainittuja tietoja. Ehdotetun lainkohdan mukaan vastaava oikeus olisi vastaisuudessa terveydenhuollon palveluntarjoajalla. Palveluntarjoaja on yleiskäsite, joka kattaa palvelunjärjestäjän ja -tuottajan. Näitä ovat terveyden- ja sosiaalihuollon toimintayksiköt ja ammattihenkilöt sekä niiden alaisuudessa toimiva avusta henkilöstö. Rekisteröityyn kohdistettu toimenpide korvattaisiin muotoilulla hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta. Kuntoutusta voi antaa liikuntatoimi, kulttuuri- tai sivistystoimi ja opetustoimi. Ehdotetut muutokset ovat nykyistä muotoilua kattavammat ja yhdenmukaiset julkisuuslain salassapitoperusteissa käytetyn terminologian kanssa. Näiden muutosten lisäksi oikeutta käsitellä tietoja rajattaisiin palvelujen järjestämiseen ja tuottamiseen. Nykyisin oikeus koskee väljemmin ylipäänsä kyseisen toiminnan yhteydessä saatuja tietoja.  

Momentin 5 kohdassa säädettäisiin, että sosiaalihuollon palveluntarjoaja järjestäessään tai tuottaessaan palveluja tai myöntäessään etuuksia saisi käsitellä tässä toiminnassa saamiaan tai tuottamiaan tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta taikka muita rekisteröidyn palvelun tai etuuden myöntämisen kannalta välttämättömiä tietoja. Säännöksessä tarkoitettuja rekisteröidyn huollon kannalta välttämättömiä tietoja voivat olla esimerkiksi vammaishuollossa vammaisuutta koskevat tiedot tai vastaavat huollon tarpeen ja sisällön perustana olevat tiedot. 

Ehdotettu 5 kohta olisi mahdollinen yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan b ja g alakohdan nojalla. Artiklan b alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittely on mahdollista, jos käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista.  

Ehdotettu 5 kohta vastaisi eräin muutoksin nykyisen henkilötietolain 12 §:n 12 kohtaa. Vaikka henkilön sosiaalihuollon tarve tai hänen saamansa sosiaalihuollon palvelut, tukitoimet ja muut sosiaalihuollon etuudet eivät ole yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, on nykyisen kaltainen säännös yhä tarpeellinen, sillä säännöksessä tarkoitetuilla toimijoilla voi olla lainkohdassa tarkoitetussa toiminnassa tarpeellista käsitellä muita erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, esimerkiksi terveyttä koskevia tietoja. Säännöksestä jäisi kuitenkin pois nykyisen henkilötietolain mukainen kohta, joka koskee rekisteröidyn saamia sosiaalihuollon palveluita ja tukitoimia, sillä tältä osin ei yleisen tietosuoja-asetuksen soveltamisen alkaessa ole enää tarpeellista säätää erikseen oikeudesta käsitellä näitä tietoja, jotka eivät kuulu yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan käsittelykiellon piiriin. 

Ehdotetun lainkohdan mukaan erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saisi nykyiseen tapaan käsitellä sosiaalihuollon viranomaisten lisäksi myös muut sosiaalihuollon etuuksia myöntävät viranomaiset ja laitokset. Tätä on pidetty tarpeellisena, sillä myös nämä tahot joutuvat sosiaalihuollon etuuksia myöntäessään ja sosiaalihuollon palveluja antaessaan käsittelemään sosiaalihuollon järjestämiseen liittyviä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja. Säännöksen nojalla siinä tarkoitettuja tietoja saisivat lisäksi käsitellä myös yksityiset sosiaalipalvelujen tuottajat.  

Ehdotettu 5 kohta olisi saman pykälän 4 kohdan kaltainen. Ehdotettu 5 kohta koskisi kuitenkin sosiaalihuollon palveluntarjoajaa ehdotetun 4 kohdan koskiessa terveydenhuollon palvelun tarjoajaa. Ehdotettu lainkohta eroaa 4 kohdassa myös siten, että 5 kohdan nojalla palveluntarjoajalla olisi oikeus käsitellä lainkohdassa tarkoitettuja tietoja myös myöntäessään etuuksia. Lisäksi lainkohtaan sisältyisi oikeus käsitellä palveluntarjoajan saamien tietojen ohella tämän tuottamia tietoja. Pykälän 5 kohta ei nykyisen henkilötietolain 12 §:n 12 kohdan tavoin sisältäisi mahdollisuutta käsitellä tietoja, jotka on tarkoitettu kuvaamaan rikollista tekoa, rangaistusta tai muuta rikoksen seuramausta. Rikostuomioihin ja rikkomuksiin koskevasta henkilötietojen käsittelystä säädettäisiin ehdotetun lain 7 §:ssä.  

Mahdollisuus käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja olisi rajattu tarkasti lainkohdassa tarkoitettuihin toimijoihin ja tilanteisiin. Ehdotettua säännöstä voidaan siten pitää oikeasuhtaisena. Rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista säädettäisiin pykälän 2 momentissa. 

Pykälän 6 kohta olisi uusi. Vastaavaa arkaluonteisten henkilötietojen käsittelyperustetta ei sisälly henkilötietolakiin. Ehdotetun kohdan mukaan geneettisiä ja terveyttä koskevia tietoja olisi mahdollista käsitellä sen ollessa välttämätöntä antidopingytyön tai vammaisten ja pitkäaikaissairaiden urheilun mahdollistamiseksi. Oikeus käsitellä tietoja olisi rajattu geneettisiin ja terveyttä koskeviin tietoihin. Ehdotettu kohta olisi mahdollinen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan nojalla.  

Ehdotetun lainkohdan mukaan tietoja olisi mahdollista käsitellä ensinnäkin antidopingtyön mahdollistamiseksi. Dopingin vastaisen työn tietosuojakysymykset liittyvät erityisesti näytteenottoon ja niin sanottuihin erivapauksiin, joissa urheilijalle myönnetään hänen terveystietojensa perusteella oikeus käyttää muutoin kiellettyjä lääkeaineita tai menetelmiä. Suomessa antidopingtyöstä vastaa Suomen urheilun eettinen keskus SUEK ry yhdessä kansallisten ja kansainvälisten lajiliittojen kanssa. Suomi on sitoutunut dopingin vastaiseen työhön kahdella kansainvälisellä sopimuksella, jotka ovat Strasbourgissa 16 päivänä marraskuuta 1989 tehty Euroopan neuvoston dopingin vastainen yleissopimus sekä Pariisissa 19 päivänä lokakuuta 2005 tehty Yhdistyneiden kansakuntien (YK) dopingin vastainen yleissopimus. Euroopan neuvoston dopingin vastainen yleissopimus on saatettu Suomessa voimaan blankettilailla. YK:n dopingin vastainen yleissopimus on saatettu Suomessa voimaan tasavallan presidentin asetuksella. Ehdotetun kaltaisesta, erityisiin henkilötietoryhmiin kuuluvasta tietojen käsittelystä, joka koskee hyvin kapeaa sektoria, tulee lähtökohtaisesti säätää erityislailla. Ehdotetulle lainkohdalle ei kuitenkaan ole luontevaa paikkaa kansallisessa erityislainsäädännössä, sillä Suomea sitovat kansainväliset velvoitteet on saatettu voimaan blankettilailla ja tasavallan presidentin asetuksella. Tämän vuoksi lähtökohtaisesta erityislainsäädännöllä säädettävästä erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä ehdotetaan säädettävän yleislailla.  

Ehdotetun lainkohdan mukaan geneettisiä ja terveyttä koskevia tietoja olisi mahdollista käsitellä myös vammaisten ja pitkäaikaissairaiden urheilun mahdollistamiseksi. Pitkäaikaissairaiden sisällyttäminen ehdotettuun lainkohtaan olisi tarpeellista, sillä esimerkiksi paraolympialaisiin voi vammaisten lisäksi osallistua pitkäaikaissairaat elinsiirron saaneet ja dialyysihoidettavat. YK:n yleissopimus vammaisten henkilöiden oikeuksista (Convention on the Rights of Persons with Disabilities 13.12.2006, CRPD), jonka Suomi on ratifioinut, turvaa vammaisille yhdenvertaisen oikeuden osallistua urheilutoimintaan kaikilla tasoilla (30 artikla). Vammaisurheilun osalta tietosuojakysymykset liittyvät erityisesti vammaluokituksiin ja niihin tarvittaviin terveystietoihin. Vammaisurheilun keskeiset toimijat Suomessa ovat Suomen Vammaisurheilu ja -liikunta VAU ry ja Suomen paralympiakomitea. Ne ovat Kansainvälisen paralympiakomitean (International Paralympic Committee) jäseniä. Kansainvälinen Paralympiakomitea on vahvistanut tietosuojastandardin (International Standard for Classification Data Protection), jonka noudattamista se edellyttää jäseniltään. Tätä säännöstä voidaan noudattaa myös kansainvälisen paralympiakomitean edustamien vammaryhmien ulkopuolella. Vammaisurheilussa vapaaehtoisen ja nimenomaisen suostumuksen edellytykset voivat täyttyä muuta huippu- ja ammattiurheilua helpommin, minkä vuoksi myös 9 artiklan 2 kohdan a alakohta voi tulla kyseeseen käsittelyn mahdollistavana perusteena. 

Toiminnan kansainvälisen luonteen vuoksi antidopingtoiminnassa ja vammaisurheilussa on kiinnitettävä erityistä huomiota tietojen siirtämiseen kolmansiin maihin ja yleisen tietosuoja-asetuksen tietojen siirtämistä koskevaan V lukuun.  

Ehdotetun 6 §:n 1 momentin 7 kohdassa säädettäisiin erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä tieteellistä tai historiallista tutkimusta taikka tilastointia varten tehtävästä henkilötietojen käsittelystä. Ehdotettu kohta olisi mahdollinen tietosuoja-asetuksen 9 artiklan 2 kohdan j alakohdan nojalla. Yleisen tietosuoja-asetuksen erityisiä tietoryhmiä koskevan 9 artiklan 2 kohdan j alakohdan mukaan 1 kohdassa tarkoitettujen tietojen käsittely on sallittua silloin, kun se on tarpeen tieteellisiä ja historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Tällöin edellytetään, että lainsäädäntö on oikeasuhteinen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. 

Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely olisi mahdollistettava vastaisuudessakin tieteellisiä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten kansallisessa lainsäädännössä. Ehdotetun lainkohdan nojalla erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely olisi mahdollista, jos rekisterinpitäjä ja henkilötietojen käsittelijä toteuttaa pykälän 2 momentin mukaisesti asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi. 

Ehdotettu 2 momentti jättäisi siten rekisterinpitäjän ja henkilötietojen käsittelijän arvioitavaksi ensivaiheessa, millaiset suojatoimenpiteet ovat käsittelytoimiin nähden asianmukaiset. Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan osoitusvelvollisuudesta seuraa, että rekisterinpitäjän ja henkilötietojen käsittelijän on kyettävä osoittamaan valittujen suojatoimien asianmukaisuus ja oikeasuhtaisuus.  

Ehdotetun lainkohdan nojalla ei olisi mahdollista poiketa tietosuoja-asetuksessa säädetyistä rekisteröidyn oikeuksista, ellei se ole mahdollista suoraan tietosuoja-asetuksen nojalla. Rekisteröidyn oikeuksista poikkeamisesta ehdotetaan säädettävän tietosuojalain 31 §:ssä. Ehdotetun 31 §:n lisäksi rekisteröidyn oikeuksia rajoitetaan tietosuoja-asetuksen 14 artiklan 5 kohdan b alakohdassa, 17 artiklan 3 kohdan d alakohdassa ja 21 artiklan 6 kohdassa.  

Rekisterinpitäjä voi käsitellä henkilötietoja ehdotetussa lainkohdassa tarkoitettuihin tarkoituksiin myös jonkin muun yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan alakohdan perusteella, kuten 9 artiklan 2 kohdan a alakohdassa tarkoitetun nimenomaisen suostumuksen. 

Ehdotetun 6 §:n 1 momentin 8 kohdassa säädettäisiin erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä tieteellisten tutkimusaineistojen ja kulttuuriperintöaineistojen käsittelyyn yleishyödyllisessä arkistointitarkoituksessa. Ehdotettu kohta olisi mahdollinen tietosuoja-asetuksen 9 artiklan 2 kohdan j alakohdan nojalla. Yleisen tietosuoja-asetuksen erityisiä tietoryhmiä koskevan 9 artiklan 2 kohdan j alakohdan mukaan 1 kohdassa tarkoitettujen tietojen käsittely on sallittua silloin, kun se on tarpeen yleisen edun mukaisia arkistointitarkoituksia varten 89 artiklan mukaisesti unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Tällöin edellytetään, että lainsäädäntö on oikeasuhtainen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.  

Ehdotettu lainkohta koskisi ainoastaan tutkimus- ja kulttuuriperintöaineistojen käsittelyä yleishyödyllisessä arkistointitarkoituksessa. Kulttuuriperintöaineistoa ei ole määritelty lainsäädännössä. Kulttuuriperintöaineisto voi käsittää esimerkiksi asiakirjoja, esineitä, painotuotteita, taideteoksia, luonnontieteellisiä aineistoja, kuvia ja audiovisuaalista aineistoa, sekä dokumentointiaineistoa ja kyselyaineistoja. Lainkohdan soveltaminen kuitenkin edellyttäisi, että aineisto sisältää henkilötietoja. Lainkohdassa tarkoitettu tutkimusaineiston arkistointi edellyttäisi, ettei aineisto ole aktiivisessa käytössä. Arkistoidusta tutkimusaineistosta voitaisiin myöhemmin esimerkiksi tarkistaa tai varmistaa tutkimusta koskevia seikkoja.  

Arvioitaessa milloin kyse on lainkohdassa tarkoitetusta yleishyödyllisestä arkistointitarkoituksesta, voidaan huomiota kiinnittää esimerkiksi siihen, onko rekisterinpitäjän lakisääteinen tai sääntömääräinen tehtävä tutkimus- tai kulttuuriperintöaineistojen tallentaminen ja saataville saattaminen. Lisäksi huomiota tulisi kiinnittää siihen, perustuuko arkistotoiminta julkisesti saatavilla olevaan suunnitelmaan. Ehdotettu yleishyödyllisen arkistointitarkoituksen käsite ei täysin vastaisi yleisessä tietosuoja-asetuksessa käytettyä ilmaisua ”yleisen edun mukainen arkistointitarkoitus”, vaan olisi tätä kapeampi. 

Ehdotetun lainkohdan nojalla erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely olisi mahdollista yleishyödyllisessä arkistointitarkoituksessa, jos rekisterinpitäjä ja henkilötietojen käsittelijä toteuttaa pykälän 2 momentin mukaisesti asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi. Säännös ei kuitenkaan sallisi geneettisten tietojen käsittelemistä arkistointitarkoituksessa, vaan tästä tulisi säätää erikseen. 

Pykälän 2 momentissa säädettäisiin asianmukaisista ja erityisistä toimenpiteistä, joita rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava käsitellessään henkilötietoja pykälän 1 momentissa tarkoitetuissa tilanteissa. Pykälän 2 momentissa olisi lista toimenpiteistä, joita asianmukaiset ja erityiset toimenpiteet voisivat sisältää. Lista ei siten olisi kattava eikä pakottava. Rekisterinpitäjän harkintaan jäisi ensivaiheessa sen arvioiminen, millaisia suojatoimenpiteitä henkilötietojen käsittelyyn sisältyvät riskit edellyttävät. Ehdotetun 2 momentin mukaan näitä suojatoimenpiteitä voisivat olla toimenpiteet, joilla on jälkeenpäin mahdollista varmistaa ja todentaa kenen toimesta henkilötietoja on tallennettu, muutettu tai siirretty; toimenpiteet, joilla parannetaan henkilötietoja käsittelevän henkilöstön osaamista; tietosuojavastaavan nimittäminen; rekisterinpitäjän ja käsittelijän sisäiset toimenpiteet, joilla estetään pääsy henkilötietoihin; henkilötietojen pseudonymisointi; henkilötietojen salaaminen; toimenpiteet, joilla käsittelyjärjestelmien ja henkilötietojen käsittelyyn liittyvien palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus taataan, mukaan lukien kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa; menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi; erityiset menettelysäännökset, jolla varmistetaan yleisen tietosuoja-asetuksen ja tämän lain mukaisuus siirrettäessä henkilötietoja tai käsiteltäessä henkilötietoja muuhun tarkoitukseen; tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi sekä muut tekniset, menettelylliset ja organisatoriset toimenpiteet. Pykälän 2 momentin suojatoimenpiteet ovat asetuksen mukaisia ja voivat olla esimerkiksi asetuksessa rekisterinpitäjälle säädettyjä velvoitteita, joihin ryhtyminen on rekisterinpitäjän harkinnan varassa. Pykälän 2 momentissa tarkoitettuja erityisten henkilötietojen käsittelyä koskevista suojatoimenpiteistä on säädetty vastaavasti esimerkiksi Saksan kansallisessa yleistä tietosuoja-asetusta täydentävässä henkilötietojen suojaa koskevassa yleislaissa.  

7 §.Rikostuomioihin ja rikkomuksiin liittyvä käsittely. Pykälässä säädettäisiin rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä. Nykyisin henkilötietolain 11 §:ssä rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevat tiedot on säädetty arkaluonteisiksi henkilötiedoiksi. Yleisen tietosuoja-asetuksen mukaan tällaiset tiedot eivät kuulu erityisiin henkilötietoryhmiin, mutta asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely on mahdollista yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan perusteella silloin, kun se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista. Tietosuoja-asetuksen 10 artiklassa tarkoitettuja tietoja on mahdollista käsitellä myös suoraan 10 artiklan edellytysten mukaisesti, jos henkilötietoja käsitellään viranomaisen valvonnassa. Ehdotetun lain 7 §:ssä säädettäisiin neljästä tilanteesta, jossa rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyviä henkilötietoja saisi käsitellä. 

Pykälän 1 momentin 1 kohdassa säädettäisiin oikeudesta käsitellä rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyviä henkilötietoja, jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi. Vastaava arkaluonteisten henkilötietojen käsittelyn oikeusperuste sisältyy henkilötietolain 12 §:ään. Lisäksi tällainen käsittelyn oikeusperuste sisältyy yleisen tietosuoja-asetuksen erityisiä henkilötietoryhmiä koskevan 9 artiklan 2 kohdan f alakohtaan. Jotta myös rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja voidaan vastaisuudessakin käsitellä oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi, on 7 §:n 1 momentin 1 kohdan säännös tarpeellinen ja selventävä. 

Pykälän 1 momentin 2 kohta täydentäisi ehdotetun tietosuojalain 6 §:ää. Pykälän 1 momentin 2 kohdassa säädettäisiin, että tietosuoja-asetuksen 10 artiklassa tarkoitettuja tietoja saa käsitellä tietosuojalain 6 §:n 1, 2 tai 7 kohdassa säädetyssä tarkoituksessa. Tietosuojalain 6 §:n 1 kohdan mukaan vakuutuslaitos saisi käsitellä eräitä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja vakuutuslaitoksen vastuun selvittämiseksi. Tällä hetkellä vakuutuslaitos saa henkilötietolain 12 §:n 11 kohdan mukaan käsitellä tietoja vahingon aiheuttajan rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta vastuunsa selvittämiseksi. Jotta vakuutuslaitoksilla olisi vastaisuudessakin mahdollisuus käsitellä tällaisia tietoja vastuunsa selvittämiseksi, on 7 §:n 1 momentin 2 kohta tarpeellinen. Henkilötietolain 12 §:n 11 kohdasta poiketen tässä tarkoitetuista tiedoista säädettäisiin erikseen, sillä rikostuomioita ja rikkomuksiin liittyvien henkilötietojen käsittelystä ehdotetaan säädettävän omassa pykälässä. Lisäksi ehdotetun pykälän 1 momentin 2 kohdan mukaan tietosuoja-asetuksen 10 artiklassa tarkoitettuja henkilötietoja saisi käsitellä, jos tietojen käsittelystä säädetään laissa tai tietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Nykyisin henkilötietolain 12 §:n 5 kohdan mukaan arkaluonteiseksi katsottuja rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta kuvaavia tietoa on mahdollista käsitellä henkilötietolain 12 §:n 5 kohdan nojalla, jonka mukaan arkaluonteisia henkilötietoja saa käsitellä, jos käsittelystä säädetään laissa tai käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Nykytilan säilyttämiseksi ehdotettu viittaus tietosuojalain 6 §:n 2 kohtaan on tarpeellinen. Lisäksi 1 momentin 2 kohdassa säädettäisiin, että rikostuomioihin ja rikkomuksiin ja niihin liittyviin turvaamistoimiin liittyviä henkilötietoja saisi käsitellä 6 §:n 1 momentin 7 kohdassa säädetyssä tarkoituksessa. Toisin sanoen kyseisiä tietoja saisi käsitellä tieteellistä tai historiallista tutkimusta varten tehtävään tietojen käsittelyyn. Käsiteltäessä henkilötietoja ehdotetun lainkohdan nojalla, tulisivat rekisteröidyn tietosuoja-asetuksen mukaiset oikeudet sovellettavaksi käsittelyyn. 

Pykälän 2 momentissa viitattaisiin suojatoimenpiteiden osalta 6 §:n 2 momenttiin. Ehdotetun 6 §:n 2 momentissa ehdotetaan säädettävän, että rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi silloin kun se käsittelee erityisiin henkilötietoryhmiin kuuluvia tietoja tietosuojalain 6 §:n nojalla. Lisäksi momentissa ehdotetaan säädettävän suojatoimenpiteistä. Myös tietosuoja-asetuksen 10 artiklan mukainen henkilötietojen käsittely kansallisen lainsäädännön perusteella edellyttää, että laissa on säädetty asianmukaisista suojatoimista. Ehdotetun lainkohdan mukaan tietosuoja-asetuksen 10 artiklassa tarkoitettujen henkilötietojen käsittely olisi mahdollista, jos rekisterinpitäjä tai henkilötietojen käsittelijä toteuttaa asianmukaiset suojatoimenpiteet ehdotetun lain 6 §:n 2 momentin mukaisesti. 

3 luku Valvontaviranomainen

8 §.Tietosuojavaltuutettu. Pykälässä säädettäisiin, että yleisessä tietosuoja-asetuksessa tarkoitettuna valvontaviranomaisena toimii tietosuojavaltuutettu. Tietosuojavaltuutettu toimisi oikeusministeriön yhteydessä kuten nykyisinkin. Ahvenanmaan maakunnassa toimisi maakunnan uudistuvaa tietosuojalainsäädäntöä koskevan ehdotuksen mukaan edelleen Ahvenanmaan maakunnan tietosuojavaltuutettu.  

Lisäksi pykälän 2 momentissa säädettäisiin, että tietosuojavaltuutettu on toiminnassaan itsenäinen ja riippumaton. Muiden erityisvaltuutettujen tapaan tietosuojavaltuutetun toimisto olisi ministeriön yhteydessä, mutta toiminnassaan itsenäinen ja riippumaton viranomainen. Valtuutettu olisi ratkaisu- ja muussa toiminnassaan riippumaton muiden tahojen kuten viranomaisten tai eri intressiryhmien samoin kuin ratkaistavana olevan asian osapuolten vaikutuksesta. Valvontaviranomaisen riippumattomuudesta säädetään yleisen tietosuoja-asetuksen 52 artiklassa. Tietosuojavaltuutetun riippumattomuutta koskeva sääntely seuraa siten suoraan asetuksesta tietosuojavaltuutetun hoitaessa asetuksen mukaisia tehtäviä ja käyttäessään asetuksessa säädettyjä toimivaltuuksiaan. Tietosuojavaltuutetulla on muitakin tehtäviä ja toimivaltuuksia kuin asetuksessa säädetyt, joissa hän niin ikään toimii itsenäisesti ja riippumattomasti. Tietosuojavaltuutetun hoitaessa muita, kuin yleisen tietosuoja-asetuksen mukaisia tehtäviä, ei yleisen tietosuoja-asetuksen 52 artikla tule suoraan sovellettavaksi. Tietosuojavaltuutetun tulee kuitenkin kaikessa tehtävän hoidossaan olla itsenäinen ja riippumaton, myös niitä tehtäviä hoitaessaan, jotka eivät seuraa suoraan asetuksesta. Myös tämän vuoksi on tarpeellista säätää tietosuojavaltuutetun riippumattomuudesta kansallisen yleislain valvontaviranomaista koskevassa luvussa.  

Pykälässä toimeenpantaisiin tietosuoja-asetuksen 54 artiklan 1 kohdan a alakohdan mukainen velvoite säätää kunkin valvontaviranomaisen perustamisesta. Yleisperusteluissa esitetyn mukaisesti esityksessä ei ehdoteta perustettavaksi uutta viranomaista, vaan tietosuojavaltuutettu ja hänen toimistonsa jatkaisi tietosuojavalvontaviranomaisena pienin rakenteellisin muutoksin.  

9 §.Tietosuojavaltuutetun toimisto. Pykälässä säädettäisiin tietosuojavaltuutetun toimistosta ja sen henkilöstöstä. Pykälän 1 momentissa säädettäisiin, että tietosuojavaltuutetun toimistossa on yksi tai useampi apulaistietosuojavaltuutettu. Apulaistietosuojavaltuutetun virasta säädettäisiin, jotta tietosuojavaltuutetun ratkaisu- ja puhevaltaa voitaisiin pysyvästi ja päätoimisesti hajauttaa tietosuojavaltuutetun toimiston sisällä useammalle taholle. Tämä olisi tarpeellista käytännön kokemuksen ja valtuutetun lisääntyvien tehtävien perusteella. Henkilötietojensuojan toimintaympäristö on muuttunut merkittävästi ja vaikuttanut pysyvästi valvontaviranomaisessa käsiteltävien asioiden laatuun ja laajuuteen. Tietosuojavaltuutetun toimiston käsittelemien asioiden määrä on nelinkertaistunut vuoden 2000 jälkeen. Myös tietosuoja-asetus lisää valtuutetun tehtäviä. 

Tietosuojavaltuutettu toimisi toimistonsa päällikkönä, joten tämän tehtävänä olisi myös toimiston toiminnan yleinen johtaminen. Tietosuojavaltuutettu vastaisi muun muassa toimiston sisäistä hallintoa koskevista asioista sekä siitä, että valvontaviranomaisen tehtävät hoidetaan tarkoituksenmukaisesti ja tehokkaasti. Tietosuojavaltuutetun tehtävänä olisi yhtenäisen tietosuojapolitiikan koordinointi ja kansallisen näkemyksen edustaminen eurooppalaisessa yhteistyössä. Lähtökohtana olisi, että apulaistietosuojavaltuutettu vastaisi tietosuojavaltuutetun sijaan tietyistä tietosuojavaltuutetun toimistolle kuuluvista henkilötietojen suojaa koskevista tehtävistä. Apulaistietosuojavaltuutettu toimisi myös tietosuojavaltuutetun sijaisena tietosuojavaltuutetun poissaolon aikana. Mahdollisesta apulaistietosuojavaltuutetun sijaisesta voitaisiin tarvittaessa määrätä toimiston työjärjestyksessä. Apulaistietosuojavaltuutetun virkoja voisi olla tietosuojavaltuutetun toimiston tarpeiden ja käytettävissä olevien resurssien puitteissa yksi tai useampi.  

Nykyisin tietosuojavaltuutetun toimistossa ratkaisu- ja puhevalta kuuluu ainoastaan tietosuojavaltuutetulle. Tietosuojavaltuutettua avustaa ja hänen sijaisenaan toimii toimistopäällikkö, joka voi tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 1 §:n 2 momentin mukaan käyttää valtuutetun määräyksestä tämän puhevaltaa. Toimistopäällikön tehtäviin kuuluu muun muassa toimiston yleisten hallinnollisten asioiden hoito. Toimistopäällikön virkaa ei ole sidottu tiettyyn määräaikaan, vaan virka on tietosuojavaltuutetun virasta poiketen vakinainen. Yleisen tietosuoja-asetuksen nojalla valvontaviranomaisessa ratkaisuvaltaa käyttävien jäsenien toimet ja virkasuhteet olisivat määräaikaisia. Toimistopäällikön tehtävien määräaikaistaminen ei olisi tarkoituksenmukaista valvontaviranomaisen hallinnollisten tehtävien hoidon sujuvuuden ja jatkuvuuden varmistamiseksi. Toimistopäällikön hallinnolliset tehtävät säilyisivät tietosuojavaltuutetun toimistossa, vaikka toimistopäällikön virasta ja sen kelpoisuusehdoista ei enää ehdotetussa laissa nimenomaisesti säädettäisi. Hallinnollisten tehtävien määrän voidaan olettaa kasvavan tietosuojavaltuutetun toimistossa, sillä yleisestä tietosuoja-asetuksesta seuraa tietosuojavaltuutetulle uusia tehtäviä ja valtuutetun toimivaltuudet laajenevat. Lisäksi hallinnollisten tehtävien määrään voi vaikuttaa ehdotus tiedusteluvaltuutetun viran sijoittamisesta tietosuojavaltuutetun toimiston yhteyteen, samoin yleisestä tietosuoja-asetuksesta seuraava henkilöresurssien lisäys.  

Pykälän 1 momentissa säädettäisiin lisäksi, että tietosuojavaltuutetun toimistossa on tarpeellinen määrä tietosuojavaltuutetun tehtävänalaan perehtyneitä esittelijöitä ja muuta henkilöstöä. Tietosuojavaltuutetun tehtävän tehokkaaksi hoitamiseksi on viranomaisen asianmukainen resursointi keskeistä. Tähän on myös perustuslakivaliokunta kiinnittänyt huomiota (PeVL 3/2017 vp).  

Pykälän 2 momentissa säädettäisiin tietosuoja-asetuksen 52 artiklan 5 kohdan mukaisesti, että tietosuojavaltuutettu nimittäisi toimiston virkamiehet ja ottaisi palvelukseen muun henkilöstön, jotka toimisivat tietosuojavaltuutetun yksinomaisessa ohjauksessa. Tämä turvaa osaltaan valtuutetun itsenäistä ja riippumatonta asemaa. Apulaistietosuojavaltuutetun nimittäisi valtioneuvosto ehdotetun 11 §:n 1 momentin mukaisesti. 

Pykälän 3 momentin mukaan tietosuojavaltuutettu hyväksyisi toimiston työjärjestyksen. Valtuutetun ja apulaisvaltuutetun tehtävänjaosta määrättäisiin tietosuojavaltuutetun toimiston työjärjestyksessä. Apulaistietosuojavaltuutettu toimisi ehdotetun lain 16 §:ssä tarkoitetuissa tehtävissään samoin toimivaltuuksin kuin tietosuojavaltuutettu ja ratkaisisi tälle kuuluvat asiat itsenäisesti.  

10 §.Kelpoisuusvaatimukset ja nimitysperusteet. Pykälässä säädettäisiin tietosuojavaltuutetun ja apulaisvaltuutetun kelpoisuusvaatimuksista ja nimitysperusteista. Yleisen tietosuoja-asetuksen 54 artiklan mukaan jäsenvaltioilla on velvollisuus säätää näistä asioista. Tietosuojavaltuutetun ja apulaisvaltuutetun nimityksessä olisi otettava huomioon myös se, mitä yleisen tietosuoja-asetuksen 52 artiklan 3 kohdassa on säädetty jäsenten riippumattomuudesta. Yleisen tietosuoja-asetuksen 53 artiklan 2 kohdan mukaan kullakin valvontaviranomaisen jäsenellä on oltava tehtävien hoitamisessa ja valtuuksien käyttämisessä tarvittava pätevyys, kokemus ja ammattitaito erityisesti henkilötietojen suojaamisen alalta.  

Pykälässä esitetty valtuutettujen viran kelpoisuusvaatimukset vastaisivat pääosin nykyisiä tietosuojavaltuutetun viran kelpoisuusvaatimuksia.  

Tietosuojavaltuutetun kelpoisuusvaatimuksena on tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun asetuksen mukaan oikeustieteen kandidaatin tutkinto. Tämä kelpoisuusvaatimus ei muuttuisi, sillä ehdotuksen mukaan tietosuojavaltuutetun kelpoisuusvaatimuksena olisi muu oikeustieteen ylempi korkeakoulututkinto kuin kansainvälisen ja vertailevan oikeustieteen maisterin tutkinto. Valtuutetun tehtävät henkilötietojen käsittelyn valvojana edellyttävät oikeudellista asiantuntemusta.  

Johtuen yleisen tietosuoja-asetuksen yhteiseurooppalaisesta valvontamekanismista, valtuutetuilta edellytetään jatkossa myös kykyä hoitaa kansainvälisiä tehtäviä. Apulaistietosuojavaltuutetun viran kelpoisuusehtojen tulisi vastata tietosuojavaltuutetun kelpoisuusehtoja, koska tämä toimii tietosuojavaltuutetun sijaisena ja käyttää tehtävissään samoja toimivaltuuksia kuin tietosuojavaltuutettu. 

11 §.Nimittäminen ja toimikausi. Pykälässä säädettäisiin tietosuojavaltuutetun ja apulaistietosuojavaltuutetun nimittämisestä ja toimikaudesta. Yleisen tietosuoja-asetuksen 54 artiklan 1 kohdan c alakohdan mukaan jäsenvaltion on säädettävä laissa valvontaviranomaisen jäsenen tai jäsenten nimittämiseen sovellettavista säännöistä ja menettelystä sekä jäsenten toimikauden kestosta, jonka on oltava vähintään neljä vuotta. Yleisen tietosuoja-asetuksen 53 artiklan 3 kohdan mukaan jäsenen tehtävät päättyvät toimikauden päättyessä tai kun hän eroaa tai kun hän jää pakolliselle eläkkeelle asianomaisen jäsenvaltion lainsäädännön mukaisesti. Yleisen tietosuoja-asetuksen 53 artiklan 4 kohdan mukaan jäsen voidaan erottaa ainoastaan vakavan väärinkäytöksen perusteella tai jos hän ei enää täytä tehtävän suorittamiseen tarvittavia edellytyksiä. Yleisen tietosuoja-asetuksen säännökset valvontaviranomaisen jäsenen erottamisesta ja tehtävien päättymisestä vastaavat valtion virkamieslain 25 ja 33 §:ssä säädettyä virkamiehen irtisanomisesta tai virkasuhteen purkamisesta.  

Pykälän 1 momentissa säädettäisiin, että valtioneuvosto nimittäisi tietosuojavaltuutetun ja apulaisvaltuutetun viideksi vuodeksi kerrallaan. Tämä vastaa pitkälti nykytilaa sillä, tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 6 §:n mukaan valtioneuvosto nimittää tietosuojavaltuutetun enintään viideksi vuodeksi. Tietosuojavaltuutettu on siten voitu nimittää viittä vuotta lyhyemmäksikin ajaksi. Yleisen tietosuoja-asetuksen mukaan toimikauden on kuitenkin oltava vähintään neljä vuotta, joten toimikausi säädettäisiin viiden vuoden pituiseksi. Tietosuojavaltuutetun ja apulaistietosuojavaltuutetun virkavapauteen sovellettaisiin yleisiä valtion virkamieslain ja asetuksen virkavapautta koskevia säännöksiä.  

Pykälän 2 momentissa säädettäisiin, että tietosuojavaltuutetuksi tai apulaistietosuojavaltuutetuksi nimitetty vapautuu hoitamasta muuta virkaa tai tointa siksi ajaksi, jonka hän toimii tietosuojavaltuutettuna tai apulaistietosuojavaltuutettuna. Tämä vastaisi voimassa olevaa lainsäädäntöä ja säännös olisi edelleen tarpeellinen tietosuojavaltuutetun ja apulaistietosuojavaltuutetun viran määräaikaisen luonteen vuoksi. Säännöksen taustalla on myös yleisen tietosuoja-asetuksen 52 artiklan 3 kohta, jonka mukaan kunkin valvontaviranomaisen jäsenen tai jäsenten on pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen heidän tehtäviensä hoitamisen kanssa, eivätkä he saa toimikautensa aikana harjoittaa muuta palkallista tai palkatonta yhteensopimatonta ammattitoimintaa. 

Yleisen tietosuoja-asetuksen 54 artiklan 1 kohdan e alakohdan mukaan jäsenvaltion on säädettävä siitä, voidaanko valvontaviranomaisen jäsenet nimittää uudelleen ja, jos näin tehdään, kuinka moneksi toimikaudeksi. Yleisessä tietosuoja-asetuksessa ei ole rajattu toimikausien määrää tai pituutta. Tällä hetkellä tietosuojalautakunnasta ja tietosuojavaltuutetusta annetussa laissa tietosuojalautakunnan jäsenten tai tietosuojavaltuutetun toimikausien määrää ei ole rajoitettu. Tämä lähtökohta tulisi säilyttää myös vastaisuudessa. Asetus jättää jäsenvaltioiden päätettäväksi, kuinka moneksi toimikaudeksi valtuutettu voidaan nimittää. Kansallisesta oikeusjärjestyksestä kuitenkin seuraa, että valtuutetun toimikausien määrää ei ole rajattu, ellei siitä erikseen säädetä. Näin ollen asetuksen edellytykset täyttyvät kansallisen oikeusjärjestyksen yleisten periaatteiden kautta.  

12 §.Asiantuntijalautakunta. Asiantuntijalautakunta olisi tietosuojavaltuutetun toimistoon kuuluva toimiston sisäinen asiantuntijaelin, joka antaisi lausuntoja tietosuojavaltuutetun pyynnöstä henkilötietojen käsittelyä koskevan lainsäädännön soveltamiseen liittyvistä kysymyksistä. Kyse olisi siten uudenlaisesta, nykyisestä tietosuojalautakunnasta poikkeavasta toimielimestä. Asiantuntijalautakunta ei olisi päätoiminen, vaan lautakunta kokoontuisi tarvittaessa puheenjohtajan koolle kutsumana. Asiantuntijalautakunnalla ei olisi muodollista päätösvaltaa.  

Pykälän 1 momentissa säädettäisiin asiantuntijalautakunnan kokoonpanosta. Lautakunnassa olisi viisi jäsentä, jotka olisivat henkilötietojen suojan asiantuntijoita. Kullakin jäsenellä olisi henkilökohtainen varajäsen. Myös nykyisen tietosuojalautakunnan jäsenillä on henkilökohtainen varajäsen. Henkilökohtaisella varajäsenellä on tyypillisesti ollut samantyylistä asiantuntemusta kuin varsinaisella jäsenellä. Puheenjohtajan ollessa estynyt, varapuheenjohtaja toimii lautakunnan puheenjohtajana. Puheenjohtajan varajäsen osallistuu lautakunnan kokoukseen tällaisessa tilanteessa tavallisen jäsenen roolissa.  

Pykälän 2 momentissa säädettäisiin, että valtioneuvosto nimittää asiantuntijalautakunnan kolmen vuoden toimikaudeksi. Koska kyseessä ei olisi muodollisia päätöksiä tekevä elin, vaan tietosuojavaltuutetun toimiston sisäinen asiantuntijaelin, ei kyse ole yleisen tietosuoja-asetuksen 54 artiklassa tarkoitetuista valvontaviranomaisen jäsenistä, joiden toimikauden pituuden on asetuksen mukaan oltava vähintään neljä vuotta. Nykyisin tietosuojalautakunnan toimikausi on kolme vuotta. Nykyistä toimikauden pituutta ei ole pidetty liian lyhyenä, joten lautakunnan toimikausi voi vastaisuudessakin olla kolme vuotta.  

Pykälän 3 momentissa säädettäisiin, että asiantuntijalautakunnan puheenjohtajaksi ja varapuheenjohtajaksi voidaan nimittää oikeustieteen muun ylemmän korkeakoulututkinnon kuin kansainvälisen ja vertailevan oikeustieteen maisterin tutkinnon suorittanut henkilö. Lisäksi puheenjohtajalta ja varapuheenjohtajalta edellytettäisiin hyvää perehtyneisyyttä henkilötietojen suojaa koskeviin asioihin. Lautakunnan muun jäsenen osalta riittäisi perehtyneisyys henkilötietojen suojaa koskeviin asioihin. Lisäksi edellytettäisiin muuta tehtävän hoidon edellyttämää pätevyyttä. Lautakunnan muulta jäseneltä ei edellytettäisi korkeakoulututkintoa. Tehtävän hoidon edellyttämä muu pätevyys voi olla esimerkiksi tietotekniikan asiantuntemusta. Lautakunta voisi myös kuulla ulkopuolisia asiantuntijoita ehdotetun lain 17 §:n mukaan. Tällainen ulkopuolinen asiantuntija voisi olla myös tietotekniikan asiatuntija, jos se asian laadun vuoksi vaikuttaisi tarkoituksenmukaiselta.  

Pykälän 4 momentissa säädettäisiin, että asiantuntijalautakunnan jäsenen rikosoikeudellisesta virkavastuusta hänen suorittaessaan tämän lain mukaisia tehtäviä. Jäsenen henkilökohtaisesta virkavastuusta säätäminen olisi tarpeellista, sillä jäsen ei ole virkasuhteessa tietosuojavaltuutetun toimistoon. Mitä jäsenen rikosoikeudellisesta virkavastuusta on säädetty, koskisi myös lautakunnan jäsenen varajäsentä tämän hoitaessa jäsenen tehtäviä. Asiantuntijalautakunnan jäsenellä olisi myös vahingonkorvauslain mukainen vahingonkorvausvastuu.  

Pykälän 5 momentissa säädettäisiin lautakunnan jäsenille ja varajäsenille maksettavasta palkkiosta. Oikeusministeriö vahvistaisi palkkioiden määrät.  

13 §.Selvitys sidonnaisuuksista.Pykälässä säädettäisiin siitä, että tietosuojavaltuutetun ja apulaistietosuojavaltuutetun on annettava valtion virkamieslain 8 a §: ssä tarkoitettu selvitys sidonnaisuuksistaan. Valtion virkamieslain 8 a §:ssä säädetty velvollisuus sidonnaisuusselvityksen antamiseen koskee vain lain 26 §:n 1—4 kohdassa tarkoitettuja virkoja eikä siten ulotu tietosuojavaltuutettuun ja apulaisvaltuutettuun. Tämän vuoksi asiasta on säädettävä erikseen.  

Valtion virkamieslain 8 a §:n mukaan virkaan nimitettäväksi esitettävän henkilön on ennen nimittämistä annettava selvitys elinkeinotoiminnastaan, omistuksistaan yrityksissä ja muusta varallisuudesta, kyseiseen virkaan kuulumattomista tehtävistään, 18 §:ssä tarkoitetuista sivutoimistaan sekä muista sidonnaisuuksistaan, joilla voi olla merkitystä arvioitaessa hänen edellytyksiään hoitaa täytettävänä olevan viran tehtäviä. Kyseiseen ilmoitukseen tulee valtion virkamieslain mukaan sisällyttää lain 18 §:ssä tarkoitettujen sivutoimien osalta tieto niistä saaduista tuloista. Yleisen tietosuoja-asetuksen 52 artiklassa säädetään valvontaviranomaisten jäsenten riippumattomuudesta ja jäsenvaltion velvollisuudesta säätää valvontaviranomaisen jäsenen toimen kanssa yhteensopimattomasta toiminnasta asetuksen 54 artiklan 1 kohdan f alakohdassa. Myös muutoin tietosuojavaltuutetun toiminnan luotettavuuden kannalta on tärkeää, ettei tietosuojavaltuutetulla tai apulaisvaltuutetulla epäillä olevan sellaisia taloudellisia tai muita sidonnaisuuksia, joilla voisi olla vaikutusta heidän ratkaisuihinsa.  

Tietosuojavaltuutetun ja apulaisvaltuutetun olisi ilmoitettava viipymättä myös myöhemmistä muutoksista sidonnaisuusilmoituksessa annettuihin tietoihin valtion virkamieslain 8 a §:n mukaisesti. Sama koskee mahdollisesti myöhemmin havaittuja puutteita. Lisäksi virka-aseman perusteella tulleet ulkopuoliset tehtävät ja niistä mahdollisesti saatu tulo on ilmoitettava.  

Yleisen tietosuoja-asetuksen 54 artiklan 1 kohdan f alakohdan mukaan jäsenvaltion on säädettävä valvontaviranomaisen jäsenen tai jäsenten ja henkilöstön velvollisuuksia koskevista edellytyksistä ja yhteensopimattomia ammatteja ja etuja koskevista kielloista toimikauden aikana ja sen jälkeen ja tehtävien päättymistä koskevista säännöistä.  

Tietosuojavaltuutetun ja apulaistietosuojavaltuutetun kiellosta harjoittaa yhteensopimatonta toimintaa ei ole tarpeen säätää erikseen, vaan sovellettavaksi tulevat virkamieslain yleiset virkasuhdetta koskevat säännökset, kuten sivutoimia koskevat säännökset. Lisäksi yleisen tietosuoja-asetuksen 52 artiklan 3 kohta on suoraan sovellettava säännös. Artiklan 3 kohdan mukaan kunkin valvontaviranomaisen jäsenen tai jäsenten on pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen heidän hoitamiensa tehtävien kanssa, eivätkä he saa toimikautensa aikana harjoittaa muuta palkallista tai palkatonta yhteensopimatonta toimintaa.  

14 §.Tietosuojavaltuutetun tehtävät ja toimivaltuudet. Pykälän 1 momentissa olisi informatiivinen viittaus valvontaviranomaisen tehtäviä ja toimivaltuuksia koskevaan yleisen tietosuoja-asetuksen 55—59 artiklaan. Tietosuojavaltuutetun tehtävät ja toimivaltuudet seuraavat suoraan yleisestä tietosuoja-asetuksesta. Siltä osin kuin tietosuojavaltuutetun tehtävistä ja toimivaltuuksista on säädetty yleisessä tietosuoja-asetuksessa, ei niistä säädetä erikseen kansallisesti. Valvontaviranomaisella voi olla muitakin tehtäviä kuin yleisessä tietosuoja-asetuksessa säädetyt. Lisäksi yleisen tietosuoja-asetuksen 58 artiklan 6 kohdan mukaan jäsenvaltio voi säätää laissa, että sen valvontaviranomaisella on myös muita kuin asetuksessa säädettyjä valtuuksia. Näiden valtuuksien käyttäminen ei saa haitata yleisen tietosuoja-asetuksen VII luvun tehokasta toimivuutta. Informatiivisen viittauksen lisäksi momentissa todettaisiin, että tietosuojavaltuutetulla on myös muita tehtäviä ja toimivaltuuksia siten kuin niistä erikseen lailla säädetään. Näin otettaisiin huomioon tietosuojavaltuutetun laaja yleistoimivalta ja muusta lainsäädännöstä tulevat tehtävät ja toimivaltuudet. Esimerkiksi luottotietolain (527/2007) yleinen valvonta kuuluu tietosuojavaltuutetulle. Tietosuojavaltuutettu valvoo henkilöluottotietojen käsittelyn lisäksi myös yritysluottotietojen käsittelyä.  

Pykälän 2 momentissa säädettäisiin, että tietosuojavaltuutettu edustaisi Suomea Euroopan tietosuojaneuvostossa. Ahvenanmaan maakuntalakeihin liittyvää henkilötietojen käsittelyä valvoisi maakunnan uudistuvaa tietosuojalainsäädäntöä koskevan ehdotuksen mukaan edelleen Ahvenanmaan maakunnan tietosuojavaltuutettu. Näin ollen Suomessa olisi kaksi tietosuoja-asetuksen tarkoittamaa valvontaviranomaista. Yleisen tietosuoja-asetuksen 51 artiklan 3 kohta edellyttää, että tällöin nimetään valvontaviranomainen, joka edustaa viranomaisia tietosuojaneuvostossa, ja perustetaan mekanismi, jolla varmistetaan, että muut valvontaviranomaiset noudattavat 63 artiklassa tarkoitettuun yhdenmukaisuusmekanismiin liittyviä sääntöjä.  

Pykälän 3 momentissa säädettäisiin sertifiointielimen akkreditoinnista. Yleisen tietosuoja-asetuksen 43 artiklan 1 kohdan mukaan sertifioinnin myöntää ja uusii sertifiointielin, jolla on tietosuojaan liittyvä asianmukaisen tason asiantuntemus sen jälkeen, kun se on tiedottanut valvontaviranomaiselle valvontaviranomaisen 58 artiklan 2 kohdan h alakohdan mukaisten valtuuksien käyttämisen mahdollistamiseksi, sanotun kuitenkaan rajoittamatta toimivaltaisen valvontaviranomaisen 57 ja 58 artiklan mukaisia tehtäviä ja valtuuksia. Jäsenvaltioiden on säädettävä siitä, akkreditoiko nämä sertifiointielimet yksi tai molemmat seuraavista: 55 tai 56 artiklan nojalla toimivaltainen valvontaviranomainen tai Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 765/2008 mukaisesti nimitetty kansallinen akkreditointielin noudattaen EN-ISO/IEC 17065/2012 -standardia ja 55 tai 56 artiklan nojalla toimivaltaisen valvontaviranomaisen vahvistamia lisävaatimuksia.  

Suomessa kansallinen akkreditointielin, mittatekniikan keskuksen akkreditointiyksikkö (FINAS-akkreditointipalvelu) täyttää akkreditointia koskevat kansainväliset ja eurooppalaiset arviointiperusteet. Lisäksi Viestintävirastolla on laissa tietoturvallisuuden arviointilaitoksista (1405/2011) säädetty akkreditointitehtävä. Lain mukaan arviointilaitokset voivat hakea Viestintäviraston hyväksyntää toimintaansa varten.  

Yleisen tietosuoja-asetuksen mukaisen sertifiointielimen akkreditointiperusteista säädetään yleisen tietosuoja-asetuksen 43 artiklan 2 kohdassa. Tietosuojavaltuutetun toimistolla olisi sellainen asiantuntemus, jota yleisen tietosuoja-asetuksessa säädettyjen sertifiointielimien akkreditoinnilta edellytetään. Tämän vuoksi momentissa säädettäisiin, että tietosuojavaltuutetun toimisto akkreditoisi tietosuoja-asetuksen 43 artiklassa tarkoitetun sertifiointielimen. 

Henkilötietolain 40 §:n 1 momentin mukaan tietosuojavaltuutetun on tarvittaessa ilmoitettava asia syytteeseen panoa varten. Tietosuojavaltuutettu voi ilmoittaa asian esitutkintaviranomaiselle ilman nimenomaista säännöstäkin eikä tästä siten säädettäisi uudessa tietosuojalaissa.  

Pykälän 4 momentissa säädettäisiin yleisen tietosuoja-asetuksen 59 artiklassa tarkoitetun toimintakertomuksen toimittamisesta vuosittain eduskunnalle ja valtioneuvostolle tietosuoja-asetuksen vaatimusten mukaisesti.  

15 §.Tietosuojavaltuutetun päätöksenteko. Pykälän 1 momentin mukaan tietosuojavaltuutettu ratkaisisi sille kuuluvat asiat esittelystä. Tietosuojavaltuutettu voi säännöksen nojalla yksittäistapauksessa käsitellä ja ratkaista asiat itse. Oikeusasiamiehellä on eduskunnan oikeusasiamiehestä annetun lain (197/2002) 15 §:n mukaan vastaava mahdollisuus harkintansa mukaan käsitellä ja ratkaista asia ilman esittelyä. Tietosuojavaltuutettu voisi siten säännöksen nojalla yksittäistapausta koskevan harkintansa perusteella ratkaista asian ilman esittelyä. Tietosuojavaltuutettu ei kuitenkaan voisi esimerkiksi työjärjestyksellä määrätä asiasta. Asiat tulisivat vireille tietosuojavaltuutetun toimistossa joko rekisteröidyn, rekisterinpitäjän, henkilötietojen käsittelijän tai muun henkilön toimesta taikka tietosuojavaltuutetun omasta aloitteesta. 

16 §.Apulaistietosuojavaltuutetun tehtävät ja toimivaltuudet. Pykälässä säädettäisiin tietosuojavaltuutetun ja apulaistietosuojavaltuutetun välisestä tehtävien jaosta ja apulaistietosuojavaltuutetun toimivaltuuksista. Tehtävänjaosta määrättäisiin työjärjestyksellä, jonka tietosuojavaltuutettu hyväksyisi 9 §:ssä ehdotetun mukaisesti. Apulaistietosuojavaltuutetulla voisi olla erilaisia tietosuojavaltuutetun toimiston tehtäväkenttään kuuluvia tehtäviä. Apulaistietosuojavaltuutetulla voisi olla myös 14 §:ssä säädettäväksi ehdotettuja tehtäviä, jos siitä työjärjestyksessä on määrätty. Apulaistietosuojavaltuutettu hoitaisi itsenäisesti sille työjärjestyksen mukaan kuuluvat tehtävät.  

Pykälän 2 momentin mukaan apulaistietosuojavaltuutetulla olisi tehtäviensä hoidossa samat toimivaltuudet kuin tietosuojavaltuutetulla. Tietosuojavaltuutetun toimivaltuuksista on säädetty yleisen tietosuoja-asetuksen 58 artiklassa. Apulaistietosuojavaltuutetulla olisi siten 58 artiklassa tarkoitetut toimivaltuudet sen hoitaessa tehtäviä, jotka tietosuojavaltuutetun toimiston työjärjestyksen mukaan kuuluvat sille. Tietosuojavaltuutetun muista kuin asetuksessa tarkoitetuista toimivaltuuksista voidaan säätää kansallisella lailla. Esimerkiksi luottotietolain (197/2002) 33 §:n mukaan lain yleinen valvonta kuuluu tietosuojavaltuutetulle. Kun tietosuojavaltuutetulla on muita kuin yleisessä tietosuoja-asetuksessa tarkoitettuja toimivaltuuksia, on apulaistietosuojavastaavalla myös nämä muut toimivaltuudet sen hoitaessa tehtäviä, joiden hoitamiseksi toimivaltuudet on säädetty.  

17 §.Asiantuntijalautakunnan tehtävät ja asioiden käsittely. Pykälässä säädettäisiin asiantuntijalautakunnan tehtävistä ja asioiden käsittelystä asiantuntijalautakunnassa.  

Pykälän 1 momentin mukaan lautakunnan tehtävänä olisi antaa lausuntoja henkilötietojen käsittelyä koskevan lainsäädännön soveltamiseen liittyvistä merkittävistä kysymyksistä. Lautakunta antaisi lausuntoja tietosuojavaltuutetun pyynnöstä. Olisi siten tietosuojavaltuutetun harkinnassa, mistä asioista hän pyytää asiantuntijalautakunnanlausuntoa. Asian tulisi kuitenkin olla luonteeltaan merkittävä. Asian merkittävyyttä arvioitaessa huomiota voitaisiin kiinnittää ainakin seuraaviin seikkoihin. Jos asia koskee laajaa rekisteröityjen piiriä, voidaan asia yleisesti arvioida merkittäväksi. Samoin henkilötietojen käsittelyn kannalta keskeisiä käsitteitä ja esimerkiksi soveltamisalaa koskevat kysymykset ovat luonteeltaan sellaisia, että ne voitaisiin katsoa merkittäväksi. Myös merkittävät taloudelliset intressit olisi mahdollista ottaa huomioon arvioitaessa asian merkittävyyttä. Edellä mainittujen asioiden käsittelyä lautakunnassa voi kuitenkin rajoittaa asian käsittely yleisen tietosuoja-asetuksen mukaisessa yhdenmukaisuusmekanismissa ja Euroopan tietosuojaneuvostossa. Näille menettelyille säädetyt aikarajat voivat käytännössä merkittävästi hankaloittaa asiantuntijalautakunnan mahdollisuutta lausua käsiteltävästä asiasta. Sitä vastoin asiantuntijalautakunnalla olisi korostunut merkitys tilanteissa, joissa on kyse kansallisesta, asetusta täydentävän lainsäädännön tulkinnasta.  

Pykälän 2 momentissa säädettäisiin asiantuntijalautakunnan mahdollisuudesta kuulla ulkopuolisia asiantuntijoita. Vaikka kyseessä on asiantuntijalautakunta, on mahdollista, että yksittäisestä asiasta lausuminen edellyttää sellaista asiantuntemusta, jota lautakunnassa ei ole edustettuna. Henkilötietojen käsittelyä koskevan asian ratkaiseminen voi edellyttää lisäksi esimerkiksi lääketieteellistä asiantuntemusta tai tietoteknistä asiantuntemusta, jolloin lautakunnan ulkopuolisen asiantuntijan kuuleminen saattaa olla tarpeellista lautakunnan kannan muodostamiseksi asiasta.  

Tietosuojavaltuutetun tulisi kuitenkin pyrkiä valmistelemaan lautakunnalle esittämänsä lausuntopyynnöt siten, että tällainen tiedontarve olisi jo lähtökohtaisesti otettu mahdollisimman kattavasti huomioon lausuntopyyntöä valmisteltaessa valtuutetun omasta aloitteesta.  

Pykälän 3 momentissa säädettäisiin, että lautakunnan sihteerinä toimii tietosuojavaltuutetun toimiston esittelijä. Asetuksessa tietosuojalautakunnasta ja tietosuojavaltuutetusta (432/1994) on säännelty yksityiskohtaisemmin tietosuojalautakunnan sihteerin kelpoisuusvaatimuksista, tehtävistä ja sihteerin ottamisesta tietosuojalautakunnalle. Asiantuntijalautakunta ei kuitenkaan ole itsenäinen viranomainen. Sihteerin tehtävistä ja ottamisesta ei siten ole tarpeen säätää yksityiskohtaisesti. Lautakunnan sihteerin on täytettävä tietosuojavaltuutetun toimiston esittelijälle laissa säädetyt kelpoisuusvaatimukset. Asiantuntijalautakunnan sihteerin tulee siten olla tietosuojavaltuutetun tehtäväalaan perehtynyt henkilö. Asiantuntijalautakunnan sihteerin tehtävänä olisi valmistella ja esitellä lautakunnan käsittelemät asiat. Asiantuntijalautakunnan toimintaan liittyvät hallinnolliset asiat, samoin juoksevien asioiden hoitaminen kuuluisi valtuutetun toimiston henkilöstölle, jonka tehtäviin tällaisten asioiden hoitaminen muutoinkin kuuluu. Tietosuojavaltuutettu voisi olla läsnä asiantuntijalautakunnan kokouksessa, mikäli tämä olisi asian käsittelyn ja asiasta käytävän keskustelun vuoksi tarpeellista. Asiantuntijalautakunta kuitenkin päättäisi lausuntonsa sisällöstä ilman tietosuojavaltuutetun läsnäoloa. 

18 §.Tietosuojavaltuutetun tiedonsaanti ja tarkastusoikeus. Pykälän 1 momentissa viitattaisiin tietosuojavaltuutetun tiedonsaanti- ja tarkastusoikeuden osalta yleisen tietosuoja-asetuksen 58 artiklan 1 kohtaan. Tämän lisäksi momentissa säädettäisiin tietosuovaltuutetun oikeudesta saada salassapitosäännösten estämättä tehtäviensä hoidon kannalta tarpeelliset tiedot. Sama koskisi apulaistietosuojavaltuutettua ehdotetun lain 16 §:n nojalla. Tietosuojavaltuutetun tiedonsaantia ja tarkastusoikeutta koskevat toimivaltuudet seuraavat suoraan asetuksesta. Oikeudesta saada tiedot salassapitosäännösten estämättä on kuitenkin säädettävä erikseen.  

Pykälän 1 momentin mukaan tietosuojavaltuutetulla on oikeus saada tiedot sen lisäksi mitä yleisessä tietosuoja-asetuksessa säädetään. Tämä olisi tarpeellista tietosuojavaltuutetun tiedonsaantioikeuden ulottamiseksi myös muihin tietoihin kuin niihin, jotka yleisen tietosuoja-asetuksen 58 artiklan mukaan kuuluvat tietosuojavaltuutetun tiedonsaantioikeuden piiriin. Tietosuojavaltuutetulla on oikeus saada myös muita tietoja kuin henkilötietoja, jos ne ovat sen tehtävien hoitamisen kannalta tarpeellisia. 

Lisäksi pykälän 1 momentissa säädettäisiin siitä, että tietosuojavaltuutetulla on oikeus saada lainkohdassa tarkoitetut tiedot maksutta.  

Tällä hetkellä tietosuojavaltuutetulla on henkilötietolain 39 §:n mukaan oikeus salassapitosäännösten estämättä saada tiedot käsiteltävistä henkilötiedoista sekä kaikki tiedot, jotka ovat tarpeen henkilötietojen käsittelyn lainmukaisuuden valvonnassa. Pykälän 1 momentissa säädettäisiin myös nykytilaa vastaavalla tavalla, että valvontaviranomaisella on kyseiset valtuudet salassapitosäännösten estämättä. Valvontaviranomaisen valtuudesta määrätä rekisterinpitäjä ja henkilötietojen käsittelijä ja tarvittaessa rekisterinpitäjä ja henkilötietojen käsittelijän edustaja antamaan kaikki valtuutetun tehtävien suorittamiseksi tarvittavat tiedot säädetään yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan a alakohdassa. Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan e alakohdassa säädetään valvontaviranomaisen valtuudesta saada rekisterinpitäjältä ja henkilötietojen käsittelijältä pääsy kaikkiin henkilötietoihin ja kaikkiin tietoihin, jotka ovat tarpeen sen tehtävien suorittamista varten.  

Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan b alakohdan nojalla valvontaviranomaisella on valtuus toteuttaa tutkimuksia tietosuojaa koskevien tarkastusten muodossa. Vastaavasta tarkastusoikeudesta säädetään tällä hetkellä henkilötietolain 39 §:ssä, jossa säädetään myös oikeudesta käyttää tarkastuksessa asiantuntijoita. Vastaavaa säännöstä asiantuntijoiden käytöstä ei sisälly yleiseen tietosuoja-asetukseen, joten asiantuntijoiden käytöstä tarkastusten yhteydessä olisi tarpeellista säätää ehdotetun tietosuojalain 19 §:ssä.  

Muita yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan valvontaviranomaisen toimivaltuuksia ovat c alakohdassa säädetty toimivaltuus toteuttaa 42 artiklan 7 kohdan mukaisesti myönnettyjen sertifiointien uudelleentarkastelu sekä d alakohdan mukainen toimivaltuus ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle asetuksen väitetystä rikkomisesta.  

Pykälän 2 momentissa säädettäisiin tarkastuksen tekemisestä pysyväisluonteiseen asumiseen käytettyyn tilaan. Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan f alakohdassa säädetään valvontaviranomaiselle valtuus saada pääsy kaikkiin rekisterinpitäjän ja henkilötietojen käsittelijän tiloihin, tietojenkäsittelylaitteet ja -keinot mukaan lukien, unionin tai jäsenvaltion prosessioikeuden mukaisesti. 

Henkilötietojen käsittely voi tapahtua sellaisessa paikassa tai tilassa, joka nauttii perustuslain 10 §:ssä tarkoitettua kotirauhan suojaa. Perustuslain 10 §:n 3 momentin mukaan lailla voidaan säätää perusoikeuksien turvaamiseksi tai rikosten selvittämiseksi välttämättömistä kotirauhan piiriin ulottuvista toimenpiteistä.  

Tietosuojavaltuutetun tehtävien tehokkaan toteutumisen varmistamiseksi valvontaviranomaisen on kyettävä valvomaan myös kotirauhan suojaan kuuluvassa tilassa luonnollisten henkilöiden perusoikeuksien toteutumista henkilötietoja käsiteltäessä.  

Voimassa olevan henkilötietolain 39 §:n 2 momentin mukaan kotirauhan piiriin kuuluvassa tilassa tarkastuksen saa toimittaa vain, jos esillä olevassa tapauksessa on olemassa yksilöity syy epäillä henkilötietojen käsittelyä koskevia säännöksiä rikotun tai rikottavan.  

Pykälän 2 momentissa ehdotetaan, että tarkastus voidaan toimittaa pysyväisluonteisiin asumiseen käytetyssä tilassa vain, jos se välttämätöntä tarkastuksen kohteena olevien seikkojen selvittämiseksi ja kyseessä olevassa tapauksessa on olemassa perusteltu ja yksilöity syy epäillä henkilötietojen käsittelyä koskevia säännöksiä rikotun tai rikottavan tavalla, josta voi olla seuraamuksena hallinnollinen seuraamusmaksu tai rikoslaissa säädetty rangaistus. Sääntelyn oikeasuhtaisuuden näkökulmasta perustuslakivaliokunnan lähtökohtana on ollut, ettei kotirauhan suojaan tule puuttua enimmillään sakolla rangaistavien, moitittavuudeltaan vähäisten rikkomusten selvittämiseksi (PeVL 40/2002). Tarkastusoikeus on tavallisella lailla voitu kuitenkin kytkeä myös rangaistusluonteisella maksulla sanktioituun käyttäytymiseen (PeVL 7/2004 vp ja PeVL 39/2005 vp). Yleisen tietosuoja-asetuksen rikkomisesta määrättävät hallinnolliset seuraamusmaksut ovat rangaistusluonteisia, joten ehdotus vastaa perustuslakivaliokunnan käytäntöä.  

Pysyväisluonteiseen asumiseen käytettyyn tilaan tehtävän tarkastuksen olisi oltava välttämätöntä tarkastuksen kohteena olevien seikkojen selvittämiseksi. Tällainen välttämättömyys voisi tulla kyseeseen esimerkiksi silloin, kun henkilötietojen käsittelyssä käytettävät laitteet tai henkilötiedot sijaitsevat pysyväisluonteiseen asumiseen käytetyssä tilassa ja näiden laitteiden fyysinen tarkastaminen olisi välttämätöntä henkilötietojen suojaa koskevien säännösten noudattamisen selvittämiseksi. Välttämättömyyden lisäksi edellytetään, että on olemassa perusteltu ja yksilöity syy epäillä, että henkilötietojen suojaa koskevia säännöksiä on rikottu tai niitä rikotaan. Kyse olisi siten yleisen tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdassa lueteltujen säännösten rikkomisesta sekä yleisen tietosuoja-asetuksen 10 artiklan rikkomisesta. Kyse voisi olla myös erityislainsäädännön säännöksien rikkomisesta. Edellytyksenä kuitenkin olisi, että epäillystä rikkomuksesta voi olla seuraamuksena hallinnollinen seuraamusmaksu tai rikoslaissa säädetty rangaistus.  

Tarkastuksessa noudatettaisiin ilman nimenomaista säännöstäkin hallintolain 39 §:ää, jonka mukaan viranomaisen on muun muassa ilmoitettava tarkastuksen aloittamisajankohdasta asianosaiselle, ellei ilmoittaminen vaaranna tarkastuksen tarkoituksen toteuttamista. Tarkastuksen kuluessa asianosaiselle on myös muun muassa kerrottava tarkastuksen tavoitteista, sen suorittamisesta ja jatkotoimenpiteistä, mikäli tämä on mahdollista. Tarkastus on myös suoritettava aiheuttamatta tarkastuksen kohteelle tai sen haltijalle kohtuutonta haittaa. Myös muutoin hallintolaista ilmenevät hyvän hallinnon periaatteet tulevat sovellettavaksi. Pyydettävien asiakirjojen ja muiden selvitysten tulisi olla tarpeen valvontatehtävän kannalta ja pyynnön laajuuden oikeassa suhteessa tavoiteltavaan päämäärään nähden.  

19 §.Asiantuntijoiden käyttö. Pykälä sisältäisi säännökset tietosuojavaltuutetun oikeudesta käyttää ulkopuolisia asiantuntijoita. Pykälässä säädettäisiin oikeudesta käyttää ulkopuolisia asiantuntijoita erotuksena tietosuojavaltuutetun toimistossa olevaan asiantuntijalautakuntaan. Henkilötietojen suoja koskee laaja-alaisesti yhteiskunnan eri osa-alueista. Erityisasiantuntemus, jota tietosuojavaltuutetun tehtävien hoitaminen edellyttää, voi joissain tapauksissa edellyttää ulkopuolisen asiantuntija-avun käyttämistä. Ulkopuolista asiantuntijaa voitaisiin käyttää esimerkiksi tilanteessa, jossa tarvittaisiin erityistä tietoa jonkin toimialan tai asian erityispiirteistä henkilötietojen käsittelyyn liittyvän riskin arvioimiseksi. Näin voi olla esimerkiksi tehtävien koskiessa genomitietoja tai biopankkeja. Tällöin tietosuojavaltuutetun tehtävien hoitaminen voi edellyttää lääketieteellistä asiantuntemusta. Tällainen ulkopuolinen asiantuntemus voi olla tarpeellista hoidettaessa tietosuojavaltuutetun toimiston yleisiä ohjaus- ja neuvontatehtäviä. Erityisasiantuntemuksen merkitys kuitenkin korostuu tehtävissä, jotka koskevat tiedon korjaamista ja rekisteröidyn oikeutta tutustua hänestä kerättyihin tietoihin (nykyinen tarkastusoikeus) 

Pykälän 1 momentissa säädettäisiin tietosuojavaltuutetun oikeudesta kuulla ulkopuolisia asiantuntijoita sekä pyytää näiltä lausuntoja. Myös tietosuojalautakunnasta ja tietosuojavaltuutusta annetun lain 7 §:ssä säädetään tietosuojavaltuutetun ja tietosuojalautakunnan oikeudesta kuulla asiantuntijoita ja pyytää näiltä lausuntoja. Asiantuntijan nimeäisi tietosuojavaltuutettu tai apulaistietosuojavaltuutettu. Asiantuntijalautakunta voisi käyttää asiantuntijaa omasta aloitteestaan ehdotetun 17 §:n mukaisesti. 

Pykälän 2 momentissa säädettäisiin tietosuojavaltuutetun oikeudesta käyttää apunaan ulkopuolisia asiantuntijoita suorittaessaan toimivaltaansa kuuluvia tarkastuksia. Tietosuojavaltuutetulla on yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan mukaan oikeus tehdä tarkastuksia. Voimassa olevan henkilötietolain 39 §:n mukaan tietosuojavaltuutetulla on oikeus tarkastaa henkilörekistereitä ja käyttää tarkastuksessa asiantuntijoita. Säännös on edelleen tarpeellinen tietosuojavaltuutetun tehtävien tehokkaan toteuttamisen varmistamiseksi.  

Asiantuntija voisi tarpeen mukaan osallistua tietosuojavaltuutetun yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa tarkoitettuun tarkastukseen, jolloin asiantuntijaan sovellettaisiin myös, mitä yleisen tietosuoja-asetuksen 1 kohdassa säädetään tiedonsaantioikeudesta. Asiantuntijan tehtävä olisi tarkastuksessa aina avustava. Pykälän 2 momentissa säädettäisiin lisäksi siitä, että asiantuntijaan sovellettaisiin rikosoikeudellisia virkavastuuta koskevia säännöksiä asiantuntijan avustaessa tietosuojavaltuutettua tarkastuksen suorittamisessa. Lisäksi momentissa olisi viittaus vahingonkorvauslain mukaiseen vahingonkorvausvastuuseen.  

20 §.Virka-apu. Pykälässä säädettäisiin tietosuojavaltuutetun oikeudesta saada tehtäviensä suorittamiseksi pyynnöstä poliisilta virka-apua. Ehdotettu säännös vastaa asiallisesti nykyisin voimassa olevassa tietosuojalautakunnasta ja tietosuojavaltuutetusta annetussa laissa olevaa vastaavaa säännöstä. Virka-apu voisi tulla kyseeseen esimerkiksi tarkastusten toteuttamisen yhteydessä, jolloin tietosuojavaltuutettu voi tarvita poliisilta virka-apua tarkastuskohteeseen pääsemiseksi.  

4 luku Oikeusturva ja seuraamukset

21 §.Oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi. Pykälässä säädettäisiin, että rekisteröidyllä on oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan sitä koskevaa lainsäädäntöä. Tietosuoja-asetuksen 77 artiklassa säädetään rekisteröidyn oikeudesta tehdä valitus valvontaviranomaiselle. Säännös olisi tarpeellinen, sillä rekisteröidyllä on muitakin kuin yleisen tietosuoja-asetuksen soveltamisalaan kuuluvia oikeuksia kansallisen lainsäädännön perusteella.  

Tietosuojavaltuutettu voi esimerkiksi neuvoa tai ohjeistaa sille tutkittavaksi saatetussa asiassa. Asian luonteesta riippuen tietosuojavaltuutettu voi tehdä asiassa myös valituskelpoisen hallintopäätöksen.  

22 §.Uhkasakko. Pykälässä säädettäisiin, että tietosuojavaltuutettu voi asettaa yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c—g ja j alakohdassa tarkoitetun päätöksen tehosteeksi uhkasakon. Pykälässä myös säädettäisiin, että tietosuojavaltuutettu voi asettaa uhkasakon tietosuojalain 18 §:ssä säädetyn tiedonsaantioikeuden tehosteeksi. Uhkasakon asettamisesta ja tuomitsemisesta maksettavaksi säädetään uhkasakkolaissa (1113/1990).  

Pykälän 2 momentin mukaan uhkasakkoa ei saa asettaa luonnolliselle henkilölle tietosuojalaissa säädetyn tietojenantovelvollisuuden tehosteeksi silloin, kun henkilöä on aihetta epäillä rikoksesta ja tiedot koskevat rikosepäilyn kohteena olevaa asiaa.  

23 §.Muutoksenhaku. Pykälän 1 momentissa säädettäisiin muutoksenhausta tietosuojavaltuutetun päätökseen. Tietosuojavaltuutettu käyttäisi päätöstä tehdessään yleisestä tietosuoja-asetuksesta seuraavia toimivaltuuksia. Päätöksen valituskelpoisuus määräytyisi kuitenkin hallintolainkäyttölain mukaan. Lainkohdan mukaan tietosuojavaltuutetun päätökseen saisi hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa säädetään. Momentti vastaisi siten henkilötietolain 45 §:n 1 momenttia, jonka mukaisesti tietosuojavaltuutetun ja tietosuojalautakunnan päätökseen haetaan muutosta valittamalla hallinto-oikeuteen hallintolainkäyttölain mukaisesti. Nykytilaan nähden rekisteröidyn oikeus hakea muutosta tietosuojaviranomaisen päätökseen kuitenkin laajenisi, kun osa tietosuojalautakunnan päätöksistä siirtyy tietosuojavaltuutetun toimivaltaan. Tällä hetkellä rekisteröidyllä ei ole oikeutta hakea muutosta tietosuojalautakunnan päätökseen. Tämä oikeus on ainoastaan tietosuojavaltuutetulla ja rekisterinpitäjällä. Asia on voinut tulla vireille tietosuojavaltuutetun toimistossa rekisteröidyn aloitteesta ja tietosuojavaltuutettu on voinut asian käsittelyn edetessä hakea tietosuojalautakunnalta esimerkiksi määräystä henkilötietojen käsittelyn kieltämiseksi. Tietosuojalautakunnan käsittelemän jutun asianosaisia ovat kuitenkin vain tietosuojavaltuutettu ja rekisterinpitäjä. 

Pykälän 2 momentissa säädettäisiin valitusoikeudesta hallinto-oikeuden päätökseen. Henkilötietolain 45 §:n 2 momenttia vastaavasti hallinto-oikeuden päätökseen saisi säännösehdotuksen mukaan edelleenkin hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan. Momentin toisessa virkkeessä säädettäisiin siitä, että myös tietosuojavaltuutetulla on oikeus hakea muutosta hallinto-oikeuden ehdotetun 22 §:n 1 momentin nojalla tekemään päätökseen. Viranomaisen valitusoikeudella voidaan varmistaa, että korkeimman hallinto-oikeuden ratkaistavaksi tulee asioita paitsi rekisterinpitäjän, myös viranomaisen aloitteesta. Viranomaisen valitusoikeudella korostetaan tietosuojavaltuutetun tehtävää laillisuusvalvojana, jonka tehtävänä on valvoa yleisen tietosuoja-asetuksen noudattamista. Valvontaviranomaisen valitusoikeus on tarpeellinen myös oikeuskäytännön yhtenäisyyden varmistamiseksi. Tietosuojavaltuutettu on yleisellä tietosuoja-asetuksella perustetun Euroopan tietosuojaneuvoston jäsen. Yksi uuden toimielimen keskeisistä tehtävistä on varmistaa yleisen tietosuoja-asetuksen yhdenmukainen soveltaminen jäsenvaltioissa. Näin osaltaan varmistettaisiin tietosuojavaltuutetun tehokas mahdollisuus valvoa yleisen tietosuoja-asetuksen ja kansallisten henkilötietojen suojaa koskevien lakien soveltamista siten kuin yleisessä tietosuoja-asetuksessa edellytetään. 

Pykälän 3 momentissa säädettäisiin, että tietosuojavaltuutetun päätöksessä voitaisiin määrätä, että sen päätöstä on noudatettava muutoksenhausta huolimatta, jollei valitusviranomainen toisin määrää. Näin varmistettaisiin se, että tietosuojavaltuutetulla olisi mahdollisuus puuttua tehokkaasti lainvastaiseen henkilötietojen käsittelyyn. Esimerkiksi henkilötietojen käsittelyn keskeyttämistä tai tietojen siirtoa koskeva päätös olisi käytännössä hyödytön, jos sen noudattamista ei voitaisi edellyttää jo päätöksentekohetkestä lukien. Myös nykyisin henkilötietolain 45 §:n 3 momentin mukaan tietosuojalautakunnan päätöksessä voidaan määrätä vastaavasti velvollisuudesta noudattaa päätöstä muutoksenhausta huolimatta. Momentin mukaan päätöksessä ei kuitenkaan voitaisi määrätä, että sitä on noudatettava muutoksenhausta huolimatta kyseen ollessa hallinnollisesta seuraamusmaksusta. Hallinnollisen seuraamusmaksu on siten täytäntöönpantavissa vasta päätöksen tultua lainvoimaiseksi.  

24 §.Komission päätökset. Pykälässä säädettäisiin komission päätöksen tietosuojan riittävän tason kansallisesta arvioinnista eräissä tilanteissa. Pykälä ei perustuisi suoraan yleiseen tietosuoja-asetukseen, vaan unionin tuomioistuimen ennakkoratkaisuun asiassa Schrems, C-362/14, EU:C:2015:650, tuomio 6.10.2015. Kyseisessä tapauksessa ratkaistavana oli kysymys muun ohella henkilötietodirektiivin 28 artiklassa tarkoitetun kansallisen valvontaviranomaisen toimivallasta, kun kyse on henkilötietodirektiivin 25 artiklan 6 kohtaan perustuvasta päätöksestä, jolla komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason. 

Unionin tuomioistuin katsoi ratkaisussaan, että henkilötietodirektiivin artiklan 6 kohtaa, luettuna perusoikeuskirjan 7, 8 ja 47 artiklan valossa, on tulkittava siten, että kyseiseen säännökseen perustuva päätös, jolla komissio toteaa kolmannen maan takaavan tietosuojan riittävän tason, ei ole esteenä sille, että henkilötietodirektiivin 28 artiklassa tarkoitettu jäsenvaltion valvontaviranomainen tutkii vaatimuksen, jonka henkilö on esittänyt oikeuksiensa ja vapauksiensa suojasta jäsenvaltiosta kyseiseen kolmanteen maahan siirrettyjen henkilötietojensa käsittelyssä, kun henkilön mukaan kyseisessä maassa voimassa olevat oikeussäännöt ja käytännöt eivät takaa tietosuojan riittävää tasoa. 

Lisäksi edellä mainitun ratkaisun 65 kohdassa unionin tuomioistuin toteaa, että kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta päätöksen pätevyyden tutkimiseksi, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä. Näin ollen kansalliseen lainsäädäntöön on tarpeen sisällyttää säännökset tässä tarkoitettujen komission päätösten arvioimiseksi kansallisessa valvontaviranomaisessa ja tuomioistuimessa. Osa jäsenvaltioista on jo muuttanut kansallista lainsäädäntöään vastaamaan näitä vaatimuksia.  

Pykälän 1 momentissa säädettäisiin, että jos tietosuojavaltuutettu katsoo sillä vireillä olevassa asiassa Euroopan komission päätöksen tietosuojan tason riittävyydestä olevan yleisen tietosuoja-asetuksen vastainen, tietosuojavaltuutettuvoi saattaa asia tältä osin hallinto-oikeuden ratkaistavaksi. Tapaukset olisi niiden oletettavasti vähäisen määrän ja asiassa tarvittavan asiantuntemuksen vuoksi syytä keskittää yhteen hallinto-oikeuteen, minkä vuoksi tietosuojavaltuutetun tulisi lainkohdan mukaan saattaa asia Helsingin hallinto-oikeuden käsiteltäväksi.  

Pykälän 2 momentin mukaisesti hallinto-oikeuden tekemään päätökseen voisi hakea muutosta jos korkein hallinto-oikeus myöntää asiassa valitusluvan.  

25 §.Hallinnollinen seuraamusmaksu. Pykälän 1 momentissa säädettäisiin seuraamuksista tilanteissa, joissa yleisen tietosuoja-asetuksen 10 artiklaa on rikottu. Kyseisessä artiklassa säädetään rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä. Lainkohdan mukaan myös tällaisesta rikkomisesta voitaisiin määrätä yleisen tietosuoja-asetuksen ja tietosuojalain mukaisesti hallinnollinen seuraamusmaksu noudattaen, mitä yleisen tietosuoja-asetuksen 83 artiklan 5 kohdassa on säädetty.  

Säännös olisi tarpeellinen ennen kaikkea yleisen tietosuoja-asetuksen 84 artiklan vuoksi. Sen 1 kohdan mukaan jäsenvaltioiden tulee vahvistaa säännöt yleisen tietosuoja-asetuksen rikkomisten vuoksi määrättäviä seuraamuksia varten, erityisesti niiden rikkomisten osalta, joihin ei 83 artiklan nojalla sovelleta hallinnollisia seuraamusmaksuja, sekä toteutettava kaikki tarvittavat toimenpiteet niiden täytäntöönpanon varmistamiseksi. Tällaisten seuraamusten on oltava tehokkaita, oikeasuhteisia ja varoittavia. Yleisen tietosuoja-asetuksen 10 artiklan rikkomiseen ei suoraan 83 artiklan nojalla sovelleta hallinnollisia seuraamusmaksuja. Näin ollen kansallisessa lainsäädännössä on tarpeen säätää seuraamus yleisen tietosuoja-asetuksen 10 artiklan vastaisesta henkilötietojen käsittelystä. Tietosuoja-asetuksen 10 artiklan nojalla rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä on mahdollista säätää myös kansallisella lailla. Ehdotettu lainkohta koskisi myös 10 artiklan nojalla annettujen kansallisten säännöksien rikkomista.  

Pykälän 2 momentissa säädettäisiin hallinnollisen seuraamusmaksun määräämisestä viranomaiselle tai julkishallinnon elimelle. Yleisen tietosuoja-asetuksen 83 artiklan 7 kohdan mukaan kukin jäsenvaltio voi asettaa sääntöjä siitä, voidaanko viranomaiselle tai julkishallinnon elimelle määrätä hallinnollisia sakkoja ja missä määrin. Pykälässä säädettäisiin, että tietosuoja-asetuksen 83 artiklassa tarkoitettua hallinnollista seuraamusmaksua ei voitaisi määrätä valtion viranomaisille, valtion liikelaitokselle, kunnallisille viranomaisille, itsenäiselle julkisoikeudellisille laitoksille, eduskunnan virastoille eikä tasavallan presidentin kanslialle. Toisin sanoen hallinnollista seuraamusmaksua ei voitaisi määrätä hallintolain 2 §:ssä tarkoitetuille viranomaisille eikä valtion liikelaitokselle. Tässä yhteydessä itsenäisen julkisoikeudellisen laitoksen katsotaan käsittävän myös yliopistolaitoksen. Lähtökohtaisesti valtion liikelaitokset eivät enää toimi kilpailluilla markkinoilla, vaan tuottavat palveluita valtionhallinnon sisällä. Ehdotetun lain mukaan rajaus ei koskisi vain niitä yksityisiä tahoja, jotka hoitavat PL 124 §:n tarkoittamia julkisia hallintotehtäviä. Tällaisia toimijoita ei voida rajata hallinnollisen seuraamusmaksun soveltamisen ulkopuolelle tietosuoja-asetuksen 83 artiklan 7 kohdan nojalla, jonka mukaan liikkumavara koskee ainoastaan viranomaisia.  

Valtion liikelaitoksen mainitseminen ehdotetussa lainkohdassa on tarpeellista, sillä valtion viranomainen käsittää ainoastaan viranomaisorganisaatioon kuuluvat laitokset. Kunnallinen viranomainen sisältää puolestaan myös kunnalliset liikelaitokset.  

Viranomaiselle määrättävä hallinnollinen seuraamusmaksu on yleisen oikeusjärjestyksemme kannalta vieras menettely, joten tässä vaiheessa pidetään perusteltuna sulkea tämä seuraamus julkishallinnon osalta pois. Oikeusjärjestys kohdistaa julkishallintoon muita erityisvaatimuksia, jotka osaltaan perustelevat tätä sääntelyratkaisua. Viranomaisia sitoo hallinnon lainmukaisuusperiaate, viranomaisten on myös noudatettava hallinnon yleislakeja. Viranomaisissa tapahtuva lainmukainen henkilötietojen käsittely kuuluu viranomaisissa työskentelevien virkavelvollisuuksiin. Virkamiehen asemaan kuuluu muita laajempi vastuu työssä tehdyistä virheistä. Ensinnäkin virkavastuu voi toteutua rikosoikeudellisena virkavastuuna, kurinpidollisena virkavastuuna sekä vahingonkorvausvastuuna. Viranomaisen toiminnasta voidaan tehdä myös hallintokantelu ylemmälle viranomaiselle. Viranomaisten toiminta on budjettisidonnaista, jolloin rahamääräisen seuraamuksen vaikutus ei ole samanlainen kuin yksityisellä sektorilla. Viranomaisen on kaikissa tilanteissa hoidettava lakisääteiset tehtävänsä. 

Eduskunnan oikeusasiamies ja oikeuskansleri valvovat viranomaisten ja virkamiesten toiminnan lainmukaisuutta ja sitä, että viranomaiset ja virkamiehet täyttävät velvollisuutensa. Laillisuusvalvojat voivat niille tehdyn kantelun seurauksena nostaa syytteen, jos kyse on vakavasta lainvastaisuudesta, antaa viranomaiselle huomautuksen, saattaa viranomaisen tietoon käsityksensä lainmukaisesta menettelystä sekä kiinnittää viranomaisten huomiota hyvän hallinnon vaatimuksiin tai näkökohtiin, jotka edistävät perus- ja ihmisoikeuksien toteutumista, tehdä viranomaiselle esityksen virheen oikaisemiseksi tai epäkohdan korjaamiseksi ja hyvittämiseksi.  

Tietosuojalain säätämisen yhteydessä ehdotetaan säädettävän tietosuojarikoksesta. Tämä osaltaan varmistaisi seuraamusjärjestelmän tehokkuuden. Tietosuojalailla ehdotetaan lisäksi säädettävän mahdollisuudesta asettaa uhkasakko tietosuojavaltuutetun päätöksen tehosteeksi. Uhkasakko on mahdollista asettaa myös viranomaiselle ja julkishallinnon elimelle.  

Tarkoituksena on, että tietosuojalain täytäntöönpanoa seurataan ja hallinnollista seuraamusmaksua koskevaa sääntelyratkaisua arvioidaan tarpeen mukaan uudelleen ottaen myös huomioon mahdolliset EU:n suositukset ja ohjeet asiassa.  

Pykälän 3 momentin mukaan seuraamusmaksua ei saisi määrätä, jos rikkomuksesta tai laiminlyönnistä on kulunut yli 10 vuotta. Kohta olisi mahdollinen yleisen tietosuoja-asetuksen 83 artiklan 8 kohdan nojalla. Artiklan 8 kohdan mukaan valvontaviranomaisen valtuuksien käyttöön sovelletaan unionin oikeuden ja jäsenvaltion lainsäädännön mukaisesti asianmukaisia menettelytakeita, muun muassa tehokkaita oikeussuojakeinoja ja asianmukaista prosessia. Ehdotettu rajaus olisi perusteltu seuraamusten oikeasuhtaisuusvaatimuksen kannalta. Hallinnollisten seuraamusmaksujen määräämisessä olisi otettava huomioon myös rikosoikeudelliseen laillisuusuusperiaatteeseen sisältyvät seikat, kuten muun muassa taannehtivan rikoslain kielto.  

Pykälän 4 momentissa olisi informatiivinen viittaus sakon täytäntöönpanosta annettuun lakiin (672/2002). Yleisen tietosuoja-asetuksen 83 artiklan mukainen hallinnollinen seuraamusmaksu pantaisiin täytäntöön noudattaen, mitä sakon täytäntöönpanosta annetussa laissa säädetään. Yleisen tietosuoja-asetuksen 83 artiklassa tarkoitettu hallinnollinen seuraamusmaksu olisi täytäntöönpanokelpoinen hallinnollista seuraamusmaksua koskevan päätöksen tultua lainvoimaiseksi. Lainvoimainen päätös seuraamusmaksusta olisi täytäntöönpanokelpoinen. Täytäntöönpanoon ryhtymisellä tarkoitetaan Oikeusrekisterikeskuksen maksukehotuksella aloittamaa täytäntöönpanoa. Lähtökohtaisesti rahaseuraamukseen velvoitetulle on aina varattava tilaisuus maksaa seuraamus vapaaehtoisesti ennen Oikeusrekisterikeskuksen suorittamaa ja ulosottotoimin tapahtuvaa perintää. Ennen ulosmittausta rahasuoritukseen velvoitettua vielä pääsääntöisesti kahdesti kehotetaan maksamaan seuraamus. Hallinnollinen seuraamusmaksu maksettaisiin valtiolle. 

26 §.Rangaistussäännökset. Pykälän 1 momentti sisältäisi viittaussäännöksen rikoslain säännöksiin, jotka voivat tulla kyseeseen lain rikkomisten johdosta määrättävinä rikosoikeudellisina seuraamuksina.  

Momentti sisältäisi viittaussäännöksen rikoslain 38 luvun 9 §:ään, jossa säädettäisiin tietosuojarikoksesta. Uutta tietosuojarikosta koskevaa rangaistussäännöstä, jolla kumottaisiin nykyinen henkilörekisteririkosta koskeva rangaistussäännös, ehdotetaan tämän lain säätämisen yhteydessä. Tietosuojarikos ei olisi tunnusmerkistöltään päällekkäinen hallinnollisen seuraamusmaksun kanssa.  

Momentissa viitattaisiin myös henkilötietolain 48 §:ää vastaavalla tavalla rikoslain 38 luvun 3, 4, 8 ja 8 a §:ään, jossa säädetään rangaistus viestintäsalaisuuden loukkauksesta sekä tietomurrosta. Rangaistus 34 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta tuomittaisiin rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava rikoslain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta.  

Pykälän 2 momentti sisältäisi viittaussäännöksen rikoslain 38 luvun 10 §:n 3 momenttiin, jossa säädetään syyttäjän velvollisuudesta kuulla tietosuojavaltuutettua ennen 2 momentissa tarkoitettuja rikoksia koskevan syytteen nostamista. Tietosuojavaltuutetulle tulisi lisäksi varata mahdollisuus tulla kuulluksi 2 momentissa mainittua rikosta tuomioistuimessa käsiteltäessä. 

5 luku Tietojenkäsittelyn erityistilanteet

27 §.Henkilötietojen käsittely journalististen, akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten. Pykälässä säädettäisiin vapautuksista ja poikkeuksista yleiseen tietosuoja-asetukseen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden kanssa.  

Pykälän 1 momentissa säädettäisiin artikloista, joita ei sovellettaisi henkilötietojen käsittelyyn journalistisia tarkoituksia ja akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten. Sovellettavaksi eivät tulisi yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c—e alakohta, 6—7 artikla, 9—10 artikla, 11 artiklan 2 kohta, 12—22 artikla, 34 artiklan 1—3 kohta, 35—36 artikla, 56 artikla, 58 artiklan 2 kohdan f alakohta, 60—63 artikla ja 65—67 artikla. Sitä vastoin henkilötietojen käsittelyyn edellä mainituissa tarkoituksissa sovellettaisiin 5(1)(f), 8, 23, 28—29, 32—33 artiklaa, 34 artiklan 4 kohtaa, 37—38 ja 40—43 artiklaa. Lisäksi sovellettavaksi tulevat yleisen tietosuoja-asetuksen säännökset siltä osin kuin niistä ei ole mahdollista poiketa. 

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdan mukaan henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia (”eheys ja luottamuksellisuus”). Eheyden ja luottamuksellisuuden periaate liittyy rekisterinpitäjälle yleisessä tietosuoja-asetuksessa asetettuihin tietoturvaa ja henkilötietojen suojaamista koskeviin velvoitteisiin, joita sovellettaisiin myös 85 artiklassa tarkoitettuun henkilötietojen käsittelyyn. Täten myös eheyden ja luottamuksellisuuden periaatetta olisi sovellettava 85 artiklassa tarkoitettuun henkilötietojen käsittelyyn.  

Yleisen tietosuoja-asetuksen II luvun säännöksistä sovellettavaksi tulisi 8 artikla, jossa säädetään tietoyhteiskunnan palveluihin liittyvän lapsen suostumukseen sovellettavasti tulevista ehdoista. Jos 85 artiklassa säädettyihin tarkoituksiin liittyy tietoyhteiskunnanpalveluiden tarjoamista, tulee asetuksen 8 artikla sovellettavaksi myös tällaisen henkilötietojen käsittelyn osalta. Artiklan soveltaminen rajoittuu tilanteisiin, joissa tietoyhteiskunnan palveluita tarjotaan suoraan lapselle. Siten toimituksellinen työ, kuten lasten haastattelut, uutisointi lapsiin liittyvistä tapahtumista ja asioista, jää artiklan soveltamisalan ulkopuolelle, ellei kyse ole tietoyhteiskunnan palvelun tarjoamisesta suoraan lapselle.  

Yleisen tietosuoja-asetuksen rekisteröidyn oikeuksia koskevan III luvun säännöksistä tulisi sovellettavaksi 23 artikla, jossa säädetään mahdollisuudesta rajoittaa yleisessä tietosuoja-asetuksessa rekisteröidylle säädettyjä oikeuksia unionin oikeudessa tai jäsenvaltion lainsäädännössä. Artikla ei koske rekisterinpitäjän tai henkilötietojen käsittelijän velvollisuuksia, vaan lainsäätäjälle annettuja toimivaltuuksia. Artiklasta ei ole siten tarpeen poiketa henkilötietojen suojan yhteensovittamiseksi sananvapauden ja tiedonvälityksen vapauden kanssa.  

Yleisen tietosuoja-asetuksen 28 artiklassa säädetään henkilötietojen käsittelijästä. Tällä hetkellä henkilötietojen käsittelijää koskevat henkilötietolain 5 ja 32 §. Henkilötietojen käsittelyyn toimituksellisia tarkoituksia varten sovelletaan 32 §:ää. Henkilötietolain mukaan henkilötietojen käsittelijällä on velvollisuus antaa ennen tietojen käsittelyyn ryhtymistä rekisterinpitäjälle asianmukaiset selvitykset ja sitoumukset sekä muutoin riittävät takeet henkilötietojen suojaamisesta 32 §:n 1 momentissa tarkoitetulla tavalla. Yleisen tietosuoja-asetuksen 28 artikla on henkilötietolain 5 ja 32 §:ää yksityiskohtaisempi. Yleisen tietosuoja-asetuksen 28 artikla sisältää muun muassa pakottavia säännöksiä toimeksiantosopimuksesta. Käsittelijää koskeva sääntely tulisi sovellettavaksi esimerkiksi tilanteissa, jossa lehtitalo ulkoistaisi henkilötietojen säilyttämisen toiselle organisaatiolle, esimerkiksi pilvipalveluna. Yleisen tietosuoja-asetuksen säännösten soveltuminen tällaiseen toimintaan ei muodostaisi estettä sananvapauden ilmaisulle, eikä yleisen tietosuoja-asetuksen 28 artiklasta tulisi siten säätää poikkeusta kyseen ollessa henkilötietojen käsittely yleisen tietosuoja-asetuksen 85 artiklassa tarkoitetuissa tilanteissa.  

Yleisen tietosuoja-asetuksen 29 artiklan mukaan henkilötietojen käsittelijä tai kukaan rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva henkilö ei saa käsitellä henkilötietoja muutoin kuin rekisterinpitäjän ohjeiden mukaisesti. Tietosuojalailla ehdotetaan poikettavan useista rekisteröidyn oikeuksista käsiteltäessä henkilötietoja 85 artiklan tarkoittamissa tilanteissa. Tehtäessä huomattavia poikkeuksia rekisteröidyn oikeuksiin, korostuu tietojen suojaamista koskevien velvoitteiden merkitys. Siten yleisen tietosuoja-asetuksen 29 artiklasta ei tulisi poiketa käsiteltäessä henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa.  

Yleisen tietosuoja-asetuksen 32 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Tällä hetkellä henkilötietolain tietojen suojaamista koskevaa 32 §:ää sovelletaan henkilötietojen käsittelyyn toimituksellisessa tarkoituksessa. Tietoturvaa ja tietojen suojaamista koskeva velvoite on keskeinen vaatimus rekisteröidyn oikeusturvan toteutumisen varmistamiseksi tilanteessa, jossa säädetään useita poikkeuksia yleisen tietosuoja-asetuksen periaatteista, rekisteröidyn oikeuksista ja rekisterinpitäjän velvoitteista yleisen tietosuoja-asetuksen 85 artiklan nojalla. Tämän vuoksi 32 artiklaa tulisi soveltaa henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Henkilötietojen suojaamista koskevan henkilötietolain 32 §:n ja käsittelyn turvallisuutta koskevan yleisen tietosuoja-asetuksen 32 artiklan välillä on kuitenkin eroja.  

Yleisen tietosuoja-asetuksen 33 artiklan mukaan rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta toimivaltaiselle valvontaviranomaiselle. Henkilötietolaissa ei säädetä rekisterinpitäjän tai henkilötietojen käsittelijän velvollisuudesta ilmoittaa tietoturvaloukkauksesta. Tällä hetkellä henkilötietolain tietojen suojaamisvelvoitetta koskeva 32 § tulee kuitenkin sovellettavaksi henkilötietojen käsittelyyn toimituksellisia tarkoituksia varten. Tietosuojavaltuutettu valvoo 32 §:ssä säädettyjen velvoitteiden noudattamista myös rekisterinpitäjän käsitellessä henkilötietoja toimituksellisissa tarkoituksissa. Tietosuojavaltuutetulla on oikeus saada tässä tarkoituksessa tarpeellisia tietoja rekistereiden suojaamisesta. Koska tietojen suojaamista ja tietoturvaa koskevat velvoitteet tulisivat sovellettavaksi 85 artiklassa tarkoitetuissa tilanteissa tapahtuvaan henkilötietojen käsittelyyn, olisi myös yleisen tietosuoja-asetuksen 33 artiklaa sovellettava henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Tällä tavoin valvontaviranomaisella olisi mahdollisuus saada tieto sattuneista tietoturvaloukkauksista. Lisäksi sovellettavaksi tulisi yleisen tietosuoja-asetuksen 34 artiklan 4 kohta, jonka mukaan valvontaviranomainen voi vaatia 34 artiklassa tarkoitetun ilmoituksen tekemistä rekisteröidylle.  

Yleisen tietosuoja-asetuksen tietosuojavastaavan nimeämistä koskeva 37 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn yleisen tietosuoja-asetuksen 85 artiklan tarkoittamissa tilanteissa. Velvollisuus nimetä tietosuojavastaava koskee rajatusti yksityisen sektorin toimijoita. Tietosuojavastaava on nimettävä tilanteissa, joissa rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laatunsa ja/tai tarkoituksensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa sekä tilanteissa, joissa rekisterinpitäjän ja henkilötietojen käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu 9 artiklan mukaisiin erityisiin henkilötietoryhmiin ja 10 artiklassa tarkoitettuihin rikostuomioita tai rikkomuksia koskeviin tietoihin.  

Velvollisuus tietosuojavastaavan nimeämiseen koskisi vain rajatusti henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa käsitteleviä tahoja, eikä tätä velvollisuutta olisi tarpeellista rajata asetuksesta säädetystä. Tietosuojalailla ehdotetaan merkittäviä rajauksia rekisteröidyn oikeuksiin käsiteltäessä henkilötietoja 85 artiklan tarkoittamissa tilanteissa, esimerkiksi rekisteröidyn oikeudesta olla joutumatta automatisoidun päätöksenteon kohteeksi, kuten profiloinnin. Sitä vastoin tietoturvaa koskevista säännöksistä ei ehdoteta poikettavan tietosuojalailla. Tietosuojavastaava on nimettävä tilanteissa, joissa on kyse rekisteröityjen laajamittaisesta, säännöllisestä ja järjestelmällisestä seurannasta, kuten profiloinnista. Ehdotettaessa poikettavan yleisen tietosuoja-asetuksen lähtökohdasta, jonka mukaan rekisteröidyllä on oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi, korostuu muiden rekisteröidyn oikeuksien turvaamiseksi säädettyjen keinojen merkitys. Siten 37 artiklan mukainen velvollisuus tietosuojavastaavan nimeämiseen tulisi sovellettavaksi käsiteltäessä henkilötietotoja 85 artiklassa tarkoitetuissa tilanteissa. Tietosuojavastaavan tehtävänä on antaa rekisterinpitäjälle ja henkilötietojen käsittelijälle tietoja ja neuvoja. Henkilötietojen käsittelyä koskevat päätökset tekee kuitenkin rekisterinpitäjä.  

Yleisen tietosuoja-asetuksen 38 artiklassa säädetään tietosuojavastaavan asemasta. Tietosuojavastaavan asemaa koskevilla säännöksillä pyritään varmistamaan, että tietosuojavastaavalla on asianmukaiset toimintaedellytykset tehtäviensä hoitamiselle. Näin ollen 38 artiklan soveltamista ei rajattaisi tietosuojalailla.  

Yleisen tietosuoja-asetuksen käytännesääntöjä koskeva 40 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Tällä hetkellä henkilötietolain toimialakohtaisia käytännesääntöjä koskevaa 42 §:ää sovelletaan henkilötietojen käsittelyyn toimituksellisessa tarkoituksessa. Henkilötietolain 42 §:n mukaan rekisterinpitäjät tai näitä edustavat yhteisöt voivat laatia toimialakohtaisia käytännesääntöjä henkilötietolain soveltamiseksi ja hyvän tietojenkäsittelytavan edistämiseksi sekä toimittaa laatimansa ehdotukset tietosuojavaltuutetulle. Tietosuojavaltuutettu voi tarkastaa, että käytännesäännöt ovat henkilötietolain ja muiden henkilötietojen käsittelyyn vaikuttavien säännösten mukaisia. Yleisen tietosuoja-asetuksen käytännesääntöjä koskeva 40 artikla on yksityiskohtaisempi. Käytännesäännöt ovat rekisterinpitäjälle mahdollisuus, ei velvollisuus. Tämä mahdollisuus tulisi vastaisuudessakin säilyttää rekisterinpitäjille, jotka käsittelevät henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa.  

Yleisen tietosuoja-asetuksen 41 artikla koskee hyväksyttyjen käytännesääntöjen seurantaa. Sikäli kuin 40 artikla tulee sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa, myös käytännesääntöjen seurantaa koskeva 41 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn.  

Yleisen tietosuoja-asetuksen 42 artikla koskee sertifiointia. Sertifiointia koskeva artikla tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Mahdollisuus käyttää sertifiointia tulisi säilyttää rekisterinpitäjillä ja henkilötietojen käsittelijöillä, jotka käsittelevät henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa.  

Yleisen tietosuoja-asetuksen sertifiointielimiä koskeva 43 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa sikäli kuin 42 artikla sertifioinnista tulisi sovellettavaksi.  

Yleisen tietosuoja-asetuksen IX luvussa säädetään tietojen käsittelyyn liittyvistä erityistilanteista. Ehdotuksessa ei esitetä säädettävän poikkeuksia IX luvun säännöksiin. 

Pykälän 2 momentin mukaan tietosuoja-asetuksen 27 artiklaa ei sovellettaisi sellaiseen henkilötietojen käsittelyyn, joka liittyy sananvapauden käyttämisestä joukkoviestinnässä annetussa laissa säädettyyn toimintaan. Tietosuoja-asetuksen 27 artikla koskee unionin ulkopuolelle sijoittuneiden rekisterinpitäjien ja käsittelijöiden velvollisuutta nimetä edustaja. Kyseinen velvollisuus koskee tilanteita, joissa nämä eivät ole sijoittuneet unioniin ja palveluita tarjotaan unioniin sijoittuneille rekisteröidyille tai kyse on rekisteröityjen käyttäytymisen seurannasta, eli kyse voi olla esimerkiksi profiloinnista. Tietosuoja-asetuksen 27 artiklassa säädetään eräistä poikkeuksista tähän velvollisuuteen. Tietosuojalain 27 §:n nojalla tietosuoja-asetuksen 27 artikla ei tulisi myöskään sovellettavaksi tilanteessa, jossa joukkoviestimen päätoimittajalla olisi sananvapauslaista seuraava vastuu julkaistujen viestien sisällöstä. Lisäksi 2 momentissa säädettäisiin, että yleisen tietosuoja-asetuksen V lukua (44—50 artikla) henkilötietojen siirroista kolmansiin maihin tai kansainvälisille järjestöille ei sovellettaisi, jos soveltaminen loukkaisi oikeutta sananvapauteen tai tiedonvälityksen vapauteen. Sovellettavaksi tulisi siten tiedonsiirtoa kolmansiin maihin koskevat velvoitteet, jotka koskevat henkilötietojen suojaamista ja tietoturvallisuutta. Käsiteltäessä henkilötietoja yleisen tietosuoja-asetuksen 85 artiklassa tarkoitetuissa tilanteissa voitaisiin rekisteröidyn oikeuksista poiketa laajasti. Näin ollen tietojen suojaamista koskevat velvoitteet, erityisesti siirrettäessä tietoja kolmansiin maihin esimerkiksi henkilötietojen säilyttämistarkoituksessa, korostuvat.  

Ehdotetun pykälän 3 momentissa säädettäisiin, että eräät yleisen tietosuoja-asetuksen artiklat tulisivat ainoastaan osittain sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Näissä tilanteissa kyse voi olla joko siitä, että sovellettavaksi tulisi ainoastaan kyseisen artiklan tietty kohta tai siitä, että artikla on luonteeltaan yleinen ja sitä on luettava yhdessä toisen artiklan kanssa. Viimeksi mainitussa tilanteessa artiklan soveltaminen olisi sidoksissa siihen, tulisiko artikla, johon se läheisesti liittyy, sovellettavaksi. Henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa tulisivat sovellettavaksi soveltuvin 5 artiklan 1 kohdan a—b alakohta ja 2 kohta, 24—26 artikla, 31 artikla, 39—40 artikla, 42 artikla, 57—58 artikla, 64 artikla ja 70 artikla. 

Pykälän 3 momentissa säädettäisiin, että 5 artiklan 1 kohdan a ja b alakohdassa sekä 2 kohdassa säädettyjä tietosuojaperiaatteita sovellettaisiin journalistisiin tarkoituksiin taikka akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten tapahtuvaan henkilötietojen käsittelyyn siltä osin kuin yleistä tietosuoja-asetusta 85 artiklan nojalla säädettyjen poikkeusten ja vapautusten nojalla sovellettaisiin tällaiseen käsittelyyn.  

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (”lainmukaisuus, kohtuullisuus ja läpinäkyvyys”). Lainmukaisuuden ja kohtuullisuuden periaatteita sovellettaisiin 85 artiklassa säädetyissä tarkoituksissa tapahtuvaan henkilötietojen käsittelyyn. Läpinäkyvyyden periaatetta ilmentävät yleisen tietosuoja-asetuksen 12—15 artikla ei tulisi sovellettavaksi silloin, kun henkilötietoja käsitellään journalistisiin tarkoituksiin taikka akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten. Näin ollen periaatetta ei sovellettaisi tältä osin. Journalistisen tarkoituksen osalta henkilötietojen käsittely ei voisi olla yleisesti läpinäkyvää, sillä median tehtävä vallankäytön valvojana edellyttää tyypillisesti tietojen keräämistä henkilöistä myös näiden tietämättä. Lähdesuojan piiriin kuuluvat tiedot on suojattava. Näin ollen periaatetta ei sovellettaisi läpinäkyvyyden osalta.  

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kannalta yhteensopimattomalla tavalla. Myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei kuitenkaan katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisten tarkoitusten kanssa (käyttötarkoitussidonnaisuuden periaate). Soveltuvin osin tarkoittaisi käyttötarkoitussidonnaisuuden periaatteen osalta, että journalistisiin tarkoituksiin taikka akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten kerättyjä henkilötietoja voidaan käsitellä vain näihin liittyvissä tarkoituksissa. Näitä henkilötietoja ei sitä vastoin voitaisi käsitellä esimerkiksi erilaisissa hallinto- tai markkinointitehtävissä. Tämä vastaisi henkilötietolain esitöiden perusteella nykyistä sääntelyä ja on edelleen perusteltua siitä syystä, että sananvapauden ilmaisemisen tarkoituksessa ehdotetaan säädettäväksi laajoja poikkeuksia henkilötietojen suojaan.  

Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (”osoitusvelvollisuus”). Osoitusvelvollisuutta sovellettaisiin niiltä osin ja niihin 5 artiklan 1 kohdan periaatteisiin, joita sovelletaan käsiteltäessä henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa. 

Yleisen tietosuoja-asetuksen 24 artiklassa säädetään, että rekisterinpitäjän on toteutettava sellaiset tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että henkilötietojen käsittely on yleisen tietosuoja-asetuksen mukaista. Yleisen tietosuoja-asetuksen 24 artiklaa sovellettaisiin henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa soveltuvin osin. Yleisen tietosuoja-asetuksen 24 artiklaa on luettava yhdessä muiden yleisen tietosuoja-asetuksen rekisterinpitäjän velvoitteita koskevien artiklojen kanssa. Yleisen tietosuoja-asetuksen 24 artiklaa olisi siten sovellettava tilanteissa, joissa jokin muu yleisen tietosuoja-asetuksen mukainen rekisterinpitäjän velvoitetta koskeva artikla tulisi sovellettavaksi.  

Yleisen tietosuoja-asetuksen sisäänrakennettua ja oletusarvoista tietosuojaa koskeva 25 artikla tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa soveltuvin osin. Luonnollisten henkilöiden oikeuksien ja vapauksien suoja henkilötietojen käsittelyssä edellyttää, että toteutetaan asiamukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan että asetuksessa säädetyt vaatimukset täyttyvät. Käsiteltäessä henkilötietoja 85 artiklan tarkoittamissa tilanteissa, olisi sisäänrakennettua ja oletusarvoista tietosuojaa koskeva velvoite otettava huomioon siltä osin kuin yleisen tietosuoja-asetuksen velvoitteet koskevat rekisterinpitäjää sen käsitellessä henkilötietoja kyseisessä tarkoituksessa.  

Yleisen tietosuoja-asetuksen 26 artiklassa asetetaan yhteisrekisterinpitäjille velvollisuus määritellä kunkin vastuualueet asetuksessa vahvistettujen velvoitteiden noudattamiseksi. Yhteisrekisterinpitäjien vastuiden selkeä ja läpinäkyvä määrittely ei muodosta rajoitusta sananvapauden käyttämiselle. Artiklasta ei siten olisi syytä säätää poikkeusta. Yhteisrekisterinpitäjiä koskeva 26 artikla tulisi siten sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa soveltuvin osin, eli siltä osin kuin yleinen tietosuoja-asetus tulisi muutoinkin sovellettavaksi. Ehdotuksen mukaisesti yleisen tietosuoja-asetuksen 13 ja 14 artikla eivät tulisi sovellettavaksi käsiteltäessä henkilötietoja 85 artiklassa tarkoitetuissa tilanteissa. Siten 26 artiklaa ei sovellettaisi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa siltä osin kuin kyse on rekisterinpitäjän vastuualueiden määrittelemisestä 13 ja 14 artiklan mukaisen tietojen toimittamista koskevien tehtävien osalta.  

Yleisen tietosuoja-asetuksen 31 artiklan mukaan rekisterinpitäjän ja henkilötietojen käsittelijän sekä näiden edustajan on pyynnöstä tehtävä yhteistyötä valvontaviranomaisen kanssa. Niiltä osin kuin valvontaviranomaisen tehtäviä ja toimivaltuuksia sovelletaan yleisen tietosuoja-asetuksen 85 artiklassa tarkoitetuissa tilanteissa tapahtuvaan henkilötietojen käsittelyyn, tulisi myös 31 artikla sovellettavaksi. Yleisen tietosuoja-asetuksen 31 artiklaa sovellettaisiin siten soveltuvin osin 85 artiklassa tarkoitettuun henkilötietojen käsittelyyn.  

Yleisen tietosuoja-asetuksen 39 artiklassa säädetään tietosuojavastaavan tehtävistä. Artikla tulisi sovellettavaksi soveltuvin osin. Artiklan 1 kohdan c alakohta, jonka mukaan tietosuojavastaava antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista ja valvoo sen toteutusta 35 artiklan mukaisesti ei tulisi sovellettavaksi, sillä 35 artiklaa ei sovellettaisi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa. Lisäksi 39 artiklan e alakohta rajautuisi soveltamisen ulkopuolelle siltä osin kuin siinä asetetaan tietosuojavastaavalle tehtävä toimia yhteyspisteenä 36 artiklan mukaisessa ennakkokuulemisessa. Tätä kohtaa ei sovellettaisi, sillä 36 artikla ei tulisi sovellettavaksi henkilötietojen käsittelyyn 85 artiklassa tarkoitetuissa tilanteissa.  

Tietosuojavastaavan tehtäviä rajaisivat myös yleisen tietosuoja-asetuksen 85 artiklan nojalla tietosuojalailla säädettäväksi suunnitellut rajaukset. Koska henkilötietojen käsittelyyn 85 artiklassa tarkoitettuihin tilanteisiin ei sovellettaisi yleisen tietosuoja-asetuksen III luvussa säädettyjä rekisteröidyn oikeuksia, eivät tietosuojavastaavan tehtävätkään voisi sisältää rekisterinpitäjän tai käsittelijän neuvontaa siltä osin kuin kyse on rekisteröidyn oikeuksista. Näin ollen tietosuojavastaavan neuvontatehtävät koskisivat lähinnä tietosuojaa ja tietojen turvaamista koskevia rekisterinpitäjän velvollisuuksia. 

Pykälän 3 momentissa säädettäisiin lisäksi, että yleisen tietosuoja-asetuksen valvontaviranomaisten tehtäviä koskevaa 57 artiklaa sekä toimivaltaa koskevaa 58 artiklaa sovellettaisiin soveltuvin osin. Tämä tarkoittaisi, että valvontaviranomaisen tehtäviä koskevia säännöksiä sovelletaan niiltä osin, kuin yleisen tietosuoja-asetuksen säännöksiä sovelletaan 85 artiklassa tarkoitettuihin tilanteisiin.  

Ehdotuksen ensimmäisessä momentissa ehdotettaisiin säädettäväksi poikkeus yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan f alakohtaan. Yleisen tietosuoja-asetuksen 58 artiklan eräitä muita alakohtia ei myöskään sovellettaisi, jos valvontaviranomaisen valtuuden taustalla olevaa artiklaa ei sovellettaisi 85 artiklassa säädetyissä tarkoituksissa tapahtuvaan henkilötietojen käsittelyyn. Esimerkiksi asetuksen 58 artiklan 3 kohdan a alakohta ei tulisi sovellettavaksi, koska edellä esitetyn mukaisesti ehdotetaan säädettäväksi poikkeus 36 artiklan mukaisesta ennakkokuulemismenettelystä. Myöskään rekisteröityjen oikeuksien toteuttamista koskeva 58 artiklan 2 kohdan c alakohdan määräysvaltuus ei tulisi sovellettavaksi, sillä rekisteröityjen oikeuksia koskevaa III lukua ei sovellettaisi 85 artiklassa säädetyissä tarkoituksissa tapahtuvaan henkilötietojen käsittelyyn. Tällä tavalla säilytettäisiin nykytilaa vastaava sääntely. Nykytilaa vastaavalla tavalla tietosuojaviranomaisen toimivaltuudet puuttua 85 artiklassa tarkoitettuun henkilötietojen käsittelyyn koskisivat lähinnä henkilötietojen suojaamista koskevia velvoitteita.  

Yleisen tietosuoja-asetuksen tehtäviä ja toimivaltaa koskevia 64 artiklaa ja 70 artiklaa sovellettaisiin pykälän 3 momentin mukaisesti soveltuvin osin, jotta 85 artiklan tarkoituksissa henkilötietoja käsittelevät toimijat voisivat ottaa käyttöön tietosuojaneuvoston hyväksymiä käytännesääntöjä ja sertifikaatteja.  

28 §.Julkisuusperiaate. Pykälä olisi informatiivinen ja ilmaisisi sen, että henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä säädettäisiin vastaisuudessakin laissa viranomaisten asiakirjojen julkisuudesta. Lakiin viranomaisten asiakirjojen julkisuudesta ei ehdotettaisi muutoksia. Nykytila kuitenkin muuttuisi, sillä ehdotetulla lailla kumottaisiin henkilötietolaki ja sovellettavaksi tulee yleinen tietosuoja-asetus, jota lisäksi täydennettäisiin ehdotetulla tietosuojalailla.  

29 §.Henkilötunnuksen käsittely. Pykälässä säädettäisiin henkilötunnuksen käsittelystä. Yleisen tietosuoja-asetuksen 87 artiklan mukaan jäsenvaltiot voivat määritellä tarkemmin erityiset kansallisen henkilönumeron tai muun yleisen tunnisteen käsittelyn edellytykset. Tässä tapauksessa kansallista henkilönumeroa tai muuta yleistä tunnistetta on käytettävä ainoastaan noudattaen rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia yleisen tietosuoja-asetuksen mukaisesti.  

Tällä hetkellä oikeus henkilötunnuksen käsittelyyn määräytyy henkilötietolain 13 §:n perusteella. Ehdotuksessa pysytettäisiin nykyinen sääntely.  

Säännöksiä henkilötunnuksen käsittelystä sisältyy nykyään esimerkiksi väestötietolakiin (661/2009), lakiin ajoneuvoliikennerekisteristä (541/2003), verotusmenettelystä annettuun lakiin (1558/1995), rikosrekisterilakiin (770/1993) ja kaupparekisterilakiin (129/1979).  

Tietosuojalain 29 §:llä pyrittäisiin säilyttämään nykytila. Ehdotetussa 29 §:ssä käsittelyn erityisiä edellytyksiä määriteltäisiin muun muassa rajaamalla mahdollisuutta käsitellä henkilötunnusta ainoastaan tiettyjen käsittelyn oikeusperusteiden nojalla. Tämä vastaisi nykytilaa. On huomattava, että henkilötunnus on tarkoitettu erottamaan henkilö muista henkilöistä, mutta henkilötunnuksen ilmoittaminen tai esittäminen ei ole välttämättä tae siitä, että kyseessä on henkilötunnuksen tarkoittama henkilö.  

Pykälän 1 momentin mukaan henkilötunnuksen käsittely olisi sallittua yleisessä tietosuoja-asetuksessa henkilötietojen käsittelylle säädettyjen yleisten edellytysten mukaisesti rekisteröidyn suostumuksella. Henkilötietolaissa on edellytetty yksiselitteistä suostumusta. Muutoksella ei pyrittäisi muuttamaan nykytilaa. Suostumuksen määritelmä ja suostumukselle asetettavat edellytykset seuraavat suoraan yleisestä tietosuoja-asetuksesta. Pykälän 1 momentin mukaan henkilötunnuksen käsittely olisi sallittua myös silloin, kun rekisteröidyn yksiselitteinen yksilöiminen on tärkeää 1) laissa säädetyn tehtävän suorittamiseksi, 2) rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi tai 3) historiallista tai tieteellistä tutkimusta taikka tilastointia varten. Näin ollen henkilötunnusta saisi käsitellä yksiselitteisen suostumuksen lisäksi yleisen tietosuoja-asetuksen 6 artiklan c alakohdan nojalla rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lisäedellytyksenä yleisen tietosuoja-asetuksen käsittelyn oikeusperusteeseen nähden edellytettäisiin, että tehtävästä on säädetty laissa.  

Kaikissa tapauksissa henkilötunnuksen käsittelyn perusedellytyksenä on, että rekisteröidyn yksiselitteinen yksilöiminen on tärkeää säännöksessä mainitun tehtävän suorittamiseksi. Tämän vuoksi esimerkiksi pelkkä laissa säädetyn tehtävän helpompi tai nopeampi suorittaminen henkilötunnuksen avulla ei oikeuttaisi henkilötunnuksen käsittelyä, vaan käsittely olisi sallittua ainoastaan silloin, kun rekisteröidyn yksiselitteinen yksilöiminen on tärkeää tehtävästä suoriutumiseksi. Historiallisessa tai tieteellisessä tutkimuksessa pitäisi lähtökohtaisesti pyrkiä saamaan rekisteröidyn suostumus henkilötietojen käsittelyyn. Tämän vuoksi ja myös siksi, että historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa tulisi mahdollisuuksien mukaan pyrkiä käsittelemään tietoja siten, etteivät rekisteröidyt ole niistä tunnistettavissa, ehdotetaan rekisteröidyn yksiselitteisen yksilöimisen tärkeys säädettäväksi henkilötunnuksen käsittelyn edellytykseksi myös historiallisen ja tieteellisen tutkimuksen sekä tilastoinnin osalta. Historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa rekisteröidyn yksiselitteinen yksilöiminen on yleensä välttämätöntä henkilörekistereitä yhdistettäessä. 

Pykälän 2 momentin mukaan henkilötunnusta saisi käsitellä luotonannossa tai saatavan perimisessä, vakuutus-, luottolaitos-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, terveydenhuollossa, sosiaalihuoltoa ja muuta sosiaaliturvaa toteutettaessa tai virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa. Soveltamiskäytännössä henkilötunnuksen käsittely on edellä mainituissa toiminnoissa yleensä katsottu tarpeelliseksi henkilön yksiselitteisen yksilöinnin varmistamiseksi. Näissä tapauksissa henkilön luotettava yksilöinti on usein välttämätöntä jo rekisteröidyn oikeusturvankin kannalta.  

Pykälän 3 momentin mukaan henkilötunnuksen saisi sen lisäksi, mitä käsittelystä muutoin säädetään, luovuttaa osoitetietojen päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi suoritettavaa tietojenkäsittelyä varten, jos henkilötunnus jo on luovutuksensaajan käytettävissä.  

Pykälän 4 momentissa säädettäisiin siitä, että henkilötunnusta ei tule merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin asiakirjoihin, henkilötietoja ei ylipäänsäkään tule merkitä tarpeettomasti asiakirjoihin. Rekisterinpitäjän olisi siten huolehdittava esimerkiksi siitä, että henkilötunnuksia ei merkitä näkyvästi postilähetyksiin. Henkilötunnuksia ei myöskään saisi merkitä esimerkiksi kiertäviin työvuoro- tai lomalistoihin eikä oppilaitoksen ilmoitustaululla nähtävillä oleviin koetuloslistoihin.  

30 §.Käsittely työsuhteen yhteydessä. Pykälä olisi luonteeltaan informatiivinen. Yleisen tietosuoja-asetuksen 88 artiklan mukaan jäsenvaltiot voivat antaa lakisääteisesti tai työehtosopimuksella yksityiskohtaisempia sääntöjä työntekijöiden henkilötietojen käsittelystä työsuhteen yhteydessä. Työelämän tietosuojaa koskevassa laissa säädetään työntekijää koskevien henkilötietojen käsittelystä, työntekijälle tehtävistä testeistä ja tarkastuksista sekä niitä koskevista vaatimuksista, teknisestä valvonnasta työpaikalla sekä työntekijän sähköpostiviestin hakemisesta ja avaamisesta. Voimassaolevia työehtosopimuksia, joissa on henkilötietojen käsittelyä koskevia määräyksiä, ei pykälässä kuitenkaan mainittaisi.  

31 §.Tieteellisiä ja historiallisia tutkimustarkoituksia sekä tilastollisia tarkoituksia varten tapahtuvaa käsittelyä koskevat poikkeukset ja suojatoimet. Pykälän 1 momentissa säädettäisiin poikkeuksista eräisiin rekisteröidyn oikeuksiin sekä tällaisten poikkeusten edellytyksistä ja niihin liittyvistä suojatoimista tieteellisen ja historiallisen tutkimuksen yhteydessä.  

Poikkeuksista ja niitä koskevista suojatoimista säätäminen perustuisi yleisen tietosuoja-asetuksen 89 artiklan 2 kohtaan. Kohdan mukaan kun henkilötietoja käsitellään tieteellisessä tai historiallisessa tutkimustarkoituksessa taikka tilastollisessa tarkoituksessa, voidaan kansallisella lainsäädännöllä poiketa rekisteröidyn 15, 16, 18 ja 21 artiklassa säädetyistä oikeuksista. Yleisen tietosuoja-asetuksen 15 artiklassa säädetään rekisteröidyn oikeudesta saada pääsy tietoihin (tarkastusoikeus), 16 artiklassa oikeudesta tietojen oikaisemiseen, 18 artiklassa oikeudesta käsittelyn rajoittamiseen ja 21 artiklassa oikeudesta vastustaa käsittelyä. Kaikista näistä oikeuksista olisi mahdollisuus poiketa, kun noudatetaan 1 momentissa lueteltuja suojatoimia.  

Poikkeusten tekeminen tietosuojalaissa olisi perusteltua, jotta ei tarpeettomasti vaaranneta tieteellisten ja historiallisten tutkimustarkoitusten toteutumista. Tämä vastaisi pitkälti myös nykytilaa, sillä henkilötietolain 27 §:n nojalla rekisteröidyllä ei ole tarkastusoikeutta, kun henkilötietoja käytetään yksinomaan historiallista tai tieteellistä tutkimusta taikka tilastointia varten. 

Poikkeaminen on kuitenkin sallittua momentin mukaan ainoastaan tarvittaessa. Täten poikkeaminen rekisteröidyn oikeuksista on mahdollista ainoastaan siltä osin kuin tällaiset oikeudet todennäköisesti estävät näiden erityisten tarkoitusten saavuttamisen tai vaikeuttavat sitä suuresti ja tällaiset poikkeukset ovat tarpeen näiden tarkoitusten täyttämiseksi. Esimerkiksi tilanteessa, jossa tutkimusaineisto on täysin pseudonymisoitu eikä rekisterinpitäjällä ole koodiavainta hallussaan, voisi rekisteröidyn tarkastusoikeuden käyttäminen vaikeuttaa tutkimuksen tekemistä suuresti. Rekisterinpitäjän olisi näin tapauskohtaisesti harkittava, onko poikkeaminen tarpeellista ja asianmukaisesti perusteltua. Yksinomaan momentin 1—3 kohdissa lueteltujen suojatoimien toteuttaminen ei siten oikeuttaisi rekisteröidyn oikeuksista poikkeamista. 

Momentissa säädettäisiin yleisen tietosuoja-asetuksen 89 artiklan mukaisesti erityisistä suojatoimista tilanteissa, joissa on tarpeen poiketa rekisteröidyn eräistä oikeuksista. Yleinen tietosuoja-asetus itsessään sisältää merkittäviä suojatoimia. Rekisteröidyn oikeuksia turvaa esimerkiksi se, että hän voi saattaa asian valvontaviranomaisen käsiteltäväksi, jos hän epäilee henkilötietoja käsiteltävän tieteellisessä tutkimustarkoituksessa tietosuoja-asetuksen vastaisesti. 

Momentin 1 kohdassa säädettäisiin, että poikkeaminen on mahdollista, jos käsittely perustuu asianmukaiseen tutkimussuunnitelmaan. Tutkimussuunnitelman avulla voidaan tarvittaessa esimerkiksi valvoa, että käsittely tosiasiassa tapahtuu sellaisen tutkimuksen piirissä, jota voidaan pitää tieteellisenä tai historiallisena tutkimuksena. Julkisuuslain 24 §:n 21 kohdan nojalla tieteellisen tutkimuksen suunnitelmat ja perusaineistot säilyisivät edelleen salassa pidettävinä. Lisäksi tutkimuksen tulisi nykykäytäntöä vastaavasti täyttää myös yleiset tutkimuseettiset periaatteet etenkin silloin, kun käsitellään erityisiin henkilötietoryhmiin kuuluvia tietoja. 

Momentin 2 kohdassa säädettäisiin, että poikkeaminen edellyttäisi, että tutkimuksella on vastuuhenkilö tai siitä vastaava ryhmä. Myöskään tältä osin oikeustila ei muuttuisi nykytilaan nähden. 

Momentin 3 kohdassa säädettäisiin pitkälti nykytilaa vastaavasti, että henkilötietoja tulee käyttää vain historiallista tai tieteellistä tutkimusta taikka muuta yhteensopivaa tarkoitusta varten sekä muutoinkin toimia niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille. Henkilötietolaissa tietojen myöhempi käyttö on sallittua ainoastaan historiallista tai tieteellistä tutkimusta varten. Ehdotuksen mukaisesti tietojen sekundäärinen käyttö laajenisi käsittämään myös muut yhteensopivat käyttötarkoitukset. Näin ollen tutkimuksessa käsiteltyjä henkilötietoja voitaisiin myöhemmin käsitellä esimerkiksi tilastollisia tarkoituksia varten.  

Pykälän 2 momentissa säädettäisiin 1 momenttia vastaavasti poikkeuksista eräisiin rekisteröidyn oikeuksiin sekä tällaisten poikkeusten edellytyksistä tilastoinnin yhteydessä. Poikkeaminen perustuisi niin ikään yleisen tietosuoja-asetuksen 89 artiklan 2 kohtaan.  

Oikeus tarkastaa itseään koskevat tiedot voitaisiin sulkea pois tilastoinnin osalta, kun otetaan huomioon tilastoinnin tarkoitukset ja vähäinen puuttuminen yksityisyyden suojaan sekä ehdotettavat lisäedellytykset, jotka vastaisivat pitkälti henkilötietolain 15 §:n sisältämiä edellytyksiä. Etenkin 16 ja 18 artiklan mukaisten oikeuksien käyttämisen tarkoituksenmukaisuus liittyy olennaisesti siihen, onko rekisteröidyllä ylipäänsä pääsyä tietoihinsa 15 artiklan mukaisesti. Tilastojen käytettävyys ja luotettavuus saattavat lisäksi joissakin tilanteissa edellyttää, että oikeutta käsittelyn vastustamiseen ei ole. Poikkeaminen olisi kuitenkin 1 momenttia vastaavasti mahdollista ainoastaan tarvittaessa. 

Momentissa säädettäisiin niistä suojatoimista, jotka toteuttamalla rekisteröidyn oikeuksista voitaisiin poiketa momentin tarkoittamissa tilanteissa. Momentin 1 kohdassa säädettäisiin henkilötietolain 15 §:n 1 kohtaa mukaillen, että poikkeaminen on sallittua, jos tilastoa ei voida tuottaa tai sen tarkoituksena olevaa tiedontarvetta toteuttaa ilman henkilötietojen käsittelyä. 

Momentin 2 kohdassa edellytettäisiin, että kyseessä olevan tilaston tuottamisella on asiallinen yhteys rekisterinpitäjän toimintaan. Sisällöllisesti kohta vastaisi henkilötietolain 15 §:n 2 kohdassa säädettyä, mutta siihen on tehty lähinnä sanonnallinen muutos selkeyttämään nykyisin tulkinnanvaraiseksi koettua muotoilua. 

Momentin 3 kohdassa edellytettäisiin edelleen nykytilaa ja henkilötietolain 15 §:n 3 kohtaa vastaavasti, että tietoja ei luovuteta tai aseteta saataville siten, että tietty henkilö on niistä tunnistettavissa, ellei tietoja luovuteta julkista tilastoa varten. 

Pykälän 3 momentissa säädettäisiin, että tietosuoja-asetuksen 15, 16, 18 ja 21 artiklassa säädetyistä rekisteröidyn oikeuksista voitaisiin poiketa myös silloin, kun käsitellään erityisiin henkilötietoryhmiin kuuluvia tietoja tieteellistä tai historiallista tutkimusta tai tilastointia varten. Sama koskisi tietosuoja-asetuksen 10 artiklassa mainittuja rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja. Edellytyksenä tällöinkin kuitenkin olisi, että poikkeaminen oikeuksista on tarpeellista. Poikkeaminen voisi olla tarpeellista esimerkiksi siksi, että oikeuksien toteuttaminen tekisi tieteellisen tutkimuksen täysin mahdottomaksi. 

Edellytyksenä 1 ja 2 momentissa säädettyjen toimenpiteiden lisäksi olisi velvollisuus laatia yleisen tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi. Tällä edellytyksellä korostettaisiin rekisterinpitäjän suunnitteluvelvollisuutta. Tietosuojaa koskeva vaikutustenarviointi tulisi lähettää kirjallisesti vähintään 30 päivää ennen käsittelyyn ryhtymistä, jotta tietosuojavaltuutettu ehtisi tarvittaessa puuttua henkilötietojen käsittelyyn. Lainkohdassa ei kuitenkaan aseteta tietosuojavaltuutetulle velvollisuutta ryhtyä toimiin sille toimitetun vaikutustenarvioinnin johdosta.  

On huomattava, että velvollisuudella laatia yleisen tietosuoja-asetuksen 35 artiklan mukainen vaikutustenarviointi sekä lähettää se tiedoksi tietosuojavaltuutetulle ei mitenkään rajoiteta yleisestä tietosuoja-asetuksesta seuraavia velvollisuuksia esimerkiksi 36 artiklan mukaisesti kuulla tietosuojavaltuutettua. 

Lisäksi on huomattava, että pykälässä edellytetyt suojatoimet eivät ole tarpeellisia, jos henkilötietojen käsittelyssä ei poiketa 15, 16 ja 18 artiklassa säädetyistä rekisteröidyn oikeuksista. Rekisteröidyn oikeuksia rajoitetaan tietosuoja-asetuksen 14 artiklan 5 kohdan b alakohdassa, 17 artiklan 3 kohdan d alakohdassa ja 21 artiklan 6 kohdassa. Koska yleinen tietosuoja-asetus on suoraan sovellettavaa lainsäädäntöä, on rekisteröidyn oikeuksista mahdollista poiketa edellä mainittujen asetuksen kohtien mukaisesti suoraan asetuksen nojalla.  

32 §.Yleisen edun mukaisia arkistointitarkoituksia varten tapahtuvaa käsittelyä koskevat poikkeukset ja suojatoimet. Pykälässä säädettäisiin yleisen tietosuoja-asetuksen 89 artiklan 2 ja 3 kohdan mahdollistamista poikkeuksista rekisteröidyn oikeuksiin. Käsiteltäessä henkilötietoja yleisen edun mukaisia arkistointitarkoituksia varten, voitaisiin tietosuoja-asetuksen 15, 16, 18—21 artiklassa tarkoitetuista rekisteröidyn oikeuksista poiketa tietosuoja-asetuksen 89 artiklan 3 kohdan mukaisin edellytyksin. Rekisteröidyn oikeuksista poikkeaminen ehdotetun lainkohdan nojalla edellyttäisi siten, että kyseiset oikeudet joko todennäköisesti estäisivät kyseisten tarkoitusten saavuttamisen tai vaikeuttaisivat sitä suuresti. Lainkohdassa tarkoitetut rekisteröidyn oikeudet ovat luonteeltaan sellaisia, että niiden toteuttaminen arkistoinnin yhteydessä saattaa olla hyvin vaikeaa. Esimerkiksi yleisen tietosuoja-asetuksen 16 artiklan mukainen oikeus tietojen oikaisemiseen olisi vaikeasti toteutettavissa arkistoitujen tietojen osalta. Lisäksi lainkohdassa edellytetään, että arkistointi on yleisen edun mukaista, jotta rekisteröidyn oikeuksista voidaan poiketa. Ehdotetun pykälän nojalla olisi mahdollista poiketa tietosuoja-asetuksen 19 ja 20 artiklassa säädetyistä rekisteröidyn oikeuksista. Vastaavaa oikeutta poiketa rekisteröidyn oikeuksista ei sisältyisi tieteellistä ja historiallista tutkimusta ja tilastollisia tarkoituksia koskevaan 31 pykälään. Tämä johtuu siitä, että tietosuoja-asetuksen 89 artikla ei sisällä vastaavaa kansallista harkintamarginaalia tieteellisen ja historiallisen tutkimustarkoituksen ja tilastoinnin osalta. Rekisterinpitäjän on huolehdittava, että käsittelyssä noudatetaan asetuksen mukaisia suojatoimia. 

Tällä hetkellä henkilötietolaissa ei säädetä poikkeuksista rekisteröidyn oikeuksiin kun henkilötietoja käsitellään arkistointitarkoituksiin. Henkilötietolain 35 §:ssä säädetään henkilötietojen siirrosta arkistoon. Pykälän 1 momentin mukaan arkistolaitokseen tai siihen verrattavaan arkistoon siirrettyjen henkilörekistereiden käytöstä ja suojaamisesta sekä niissä olevien tietojen luovuttamisesta on voimassa, mitä erikseen säädetään. Tällaiseen arkistointiin ei siten ole sovellettu henkilötietolakia. Arkistolaitoksen tai siihen verrattavan arkiston on kuitenkin henkilötietoja yksityisistä henkilörekistereistä luovutettaessa otettava huomioon, mitä henkilötietolaissa säädetään henkilötietojen käsittelystä ja luovuttamisesta, jollei se henkilörekisteriin talletettujen tietojen ikä ja laatu huomioon ottaen ole rekisteröityjen yksityisyyden suojan vuoksi ilmeisen tarpeetonta. 

Arkistolaitoksella tarkoitetaan henkilötietolain 35 §:ssä Kansallisarkistoa, josta säädetään arkistolaissa. Muita siihen verrattavia arkistoja ovat henkilötietolakia koskeneen hallituksen esityksen mukaan muun muassa ulkoasiainministeriön arkisto, sota-arkisto ja Suomalaisen Kirjallisuuden Seuran arkisto sekä ammattiliittojen arkistot (HE 96/1998 vp). Kansallisarkistosta ja sen tehtävistä säädetään Kansallisarkistosta annetussa laissa (1145/2016). 

33 §.Rajoitukset rekisteröidylle toimitettaviin tietoihin. Pykälässä säädettäisiin niistä edellytyksistä, joilla voidaan rajoittaa rekisteröidyn oikeutta saada itseään koskevien henkilötietojen käsittelyyn liittyviä tietoja. Rajoitukset koskisivat yleisen tietosuoja-asetuksen 13 ja 14 artiklassa säädettyjä rekisteröidyn oikeuksia. Asetuksen 13 artiklassa säädetään rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle henkilötietojen käsittelyyn liittyviä tietoja tilanteessa, jossa tietoja kerätään rekisteröidyltä itseltään. Asetuksen 14 artiklassa säädetään vastaavasta velvollisuudesta niissä tilanteissa, joissa henkilötietoja ei ole kerätty rekisteröidyltä itseltään. Nykyisin rekisterinpitäjän mahdollisuudesta poiketa tiedonantovelvollisuudesta säädetään henkilötietolain 24 §:ssä. Rekisteröidyn oikeuksiin 33 ja 34 § :ssä ehdotetuilla rajoituksilla pyritään lähtökohtaisesti nykytilan säilyttämiseen, eikä ehdotetuilla säännöksillä ole siten tarkoitus muuttaa laillisuusvalvonnassa ja muussa hallintoviranomaisten valvonnassa nykyisin noudatettua käytäntöä rekisteröityjen informoinnista. 

Pykälän 1 momentissa säädettäisiin, että yleisen tietosuoja-asetuksen 13 ja 14 artiklasta voidaan poiketa, jos se on välttämätöntä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi, rikosten ehkäisemiseksi tai selvittämiseksi taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi. Ehdotettu säännös vastaisi nykyisen henkilötietolain 2 momentin 2 kohtaa. Kohta olisi mahdollinen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan a—e alakohdan nojalla.  

Pykälän 2 momentissa säädettäisiin, että yleisen tietosuoja-asetuksen 14 artiklan 1—4 kohdasta voidaan poiketa, jos tiedon toimittaminen aiheuttaisi olennaista vahinkoa tai haittaa rekisteröidylle eikä talletettavia tietoja käytetä rekisteröityä koskevaan päätöksentekoon. Vastaava kohta sisältyy henkilötietolain 24 §:n 2 momentin 3 kohtaan. Tietojen antaminen rekisteröidylle voi aiheuttaa tälle olennaista vahinkoa tai haittaa esimerkiksi sellaisessa lääketieteellisessä tutkimuksessa, jossa käsitellään perinnöllisiä sairauksia koskevia tietoja. Edellytyksenä tietojen antamatta jättämiselle olisi tällöin myös, ettei tällaisia tietoja käytetä rekisteröityä koskevaan päätöksentekoon. Haitan olisi oltava olennainen, pelkkä haitan aiheutuminen ei siten riittäisi rajoitukseen. Ehdotettu 2 momentti olisi mahdollinen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan i alakohdan nojalla. Muista henkilötietolaissa säädetyistä rajoituksista rekisteröidyn tiedonsaantioikeuteen ei ole tarpeellista säätää erikseen, sillä yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan mukaan rekisteröidylle voidaan jättää toimittamatta henkilötietojen käsittelyyn liittyviä tietoja, jos tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta haittaa tai jos tietojen hankinnasta tai luovuttamisesta säädetään jäsenvaltion lainsäädännössä. Henkilötietolain 24 §:n ssä säädetyn kaltaisesta rajoitusperusteesta, joka koskee tilanteita, joissa rekisteröity on jo saanut pykälässä tarkoitetut tiedot, ei myöskään ole tarpeellista säätää erikseen. Vastaava kohta sisältyy yleisen tietosuoja-asetuksen 14 artiklan 5 kohtaan ja on siten Suomessakin suoraan sovellettavissa.  

Pykälän 3 momentissa säädettäisiin rekisterinpitäjän velvollisuudesta toteuttaa asianmukaiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi. Yksi näistä toimenpiteistä olisi yleisen tietosuoja-asetuksen 14 artiklassa 1 ja 2 kohdassa tarkoitettujen tietojen pitäminen kaikkien saatavilla. Tätä velvollisuutta ei kuitenkaan olisi, jos tietojen pitäminen kaikkien saatavilla vaarantaisi pykälässä säädetyn rajoituksen tarkoituksen. Nykyisin rekisterinpitäjän on henkilötietolain 10 §:n mukaan pidettävä rekisteriseloste kaikkien saatavilla. Rekisteriseloste sisältää osittain samoja tietoja kuin yleisen tietosuoja-asetuksen 14 artiklan 1 ja 2 edellytetään toimitettavan rekisteröidylle. Nykyisin rekisteröidyn informointia koskevassa henkilötietolain 24 §:ssä ei säädetä rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle tietoa henkilötietojen säilytysajasta tai kyseisen ajan määrittämiskriteereistä. Henkilötietolain 24 § ei myöskään edellytä, että rekisterinpitäjä informoisi rekisteröityä siitä, onko tietojen antaminen lakisääteinen tai sopimukseen perustuva vaatimus taikka sopimuksen tekemisen edellyttämä vaatimus sekä onko rekisteröidyn pakko toimittaa henkilötiedot ja tällaisten tietojen antamatta jättämisen mahdolliset seuraukset. Yleisen tietosuoja-asetuksen 13 ja 14 artikla sisältää velvollisuuden toimittaa edellä mainitut tiedot rekisteröidylle. Myös näistä rekisterinpitäjän velvollisuuksia olisi mahdollista poiketa ehdotetun pykälän nojalla.  

34 §.Rajoitukset rekisteröidyn oikeuteen tutustua hänestä kerättyihin tietoihin. Pykälässä säädettäisiin niistä edellytyksistä, joilla rekisteröidyn oikeutta tutustua hänestä kerättyihin tietoihin voitaisiin rajoittaa. Nykyään rekisteröidyn tarkastusoikeuden rajoituksista säädetään henkilötietolain 27 §:ssä. Yleisen tietosuoja-asetuksen 23 artiklan mukaan jäsenvaltiot voivat lainsäädännöllisillä toimenpiteillä rajoittaa muun muassa 15 artiklassa säädettyä rekisteröidyn oikeutta tutustua tietoihin, joita hänestä on kerätty, jos se on välttämätöntä ja oikeasuhtaista artiklan 1 kohdassa mainittujen seikkojen varmistamiseksi. Tietosuoja-asetuksen 23 artiklan 2 kohdassa säädetään niistä asioista, joista tulisi tarpeen mukaan säätää rekisteröidyn oikeuksia rajoitettaessa. 

Pykälän 1 momentissa säädettäisiin niistä tilanteista, joissa rekisteröidyllä ei olisi 15 artiklassa tarkoitettua oikeutta tutustua tietoihin, joita hänestä on kerätty. Pykälän 2—4 momentissa säädettäisiin erityisistä toimenpiteistä, joita yleisen tietosuoja-asetuksen 23 artiklan 2 kohdassa edellytetään, kun rekisteröidyn oikeuksia rajoitetaan artiklan 1 kohdan tarkoittamissa tilanteissa.  

Pykälän 1 momentin 1 kohdan mukaan rekisteröidyllä ei olisi kyseistä oikeutta, jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä. Nykyisen henkilötietolain 27 §:n 1 momentin 1 kohdassa säädetään pääosin vastaavanlaisista tarkastusoikeuden rajoitusperusteista. Kohta olisi mahdollinen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan a—d alakohdan nojalla.  

Pykälän 1 momentin 2 kohdan mukaan rekisteröidyllä ei olisi 15 artiklassa tarkoitettua oikeutta tutustua tietoihinsa myöskään silloin, jos tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka rekisteröidyn tai jonkun muun oikeuksille. Säännös vastaa pääpiirteissään nykyisen lain 27 §:n 1 momentin 2 kohtaa. Säännökseen ehdotettaisiin lisäystä, jonka mukaan rekisteröidyn oikeutta tutustua tietoihin voitaisiin rajoittaa myös sen vuoksi, että rekisteröidyn oikeuksille aiheutuisi vakavaa vaaraa. Tämä olisi tarpeellista, jotta säännös kattaisi myös tyypillisesti lastensuojeluasioissa esiintyvät tilanteet, jossa lapsi on rekisteröity ja hänen tietojensa antaminen huoltajalle olisi lapsen edun vastaista. Ehdotettu lisäys vastaisi viranomaisen nykyistä tulkintakäytäntöä. Nykyisin tarkastusoikeuden rajoitusta koskevan säännöksen käsitettä hoito on tulkittu laajasti, ja sen on katsottu kattavan edellä mainitut tilanteet. Myös vakavan vaaran aiheutuminen jonkun muun oikeuksille olisi edelleen tarpeellinen peruste rajoittaa rekisteröidyn oikeutta saada tutustua itseään koskeviin tietoihin. Tämä olisi tarpeellinen esimerkiksi whistleblower -tyyppisissä tilanteista esimerkiksi asunto-osakeyhtiöissä tai lastensuojeluilmoituksia tehtäessä. Ehdotettu 2 kohta olisi mahdollinen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan j alakohdan nojalla. Kyseisen kohdan mukaan rekisteröidyn oikeuksia on mahdollista rajoittaa rekisteröidyn suojelun tai muille kuuluvien oikeuksien ja vapauksien varmistamiseksi.  

Pykälän 1 momentin 3 kohdan mukaan rekisteröidyllä ei olisi 15 artiklassa tarkoitettua oikeutta tutustua tietoihinsa myöskään silloin, jos rekisterissä olevia henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai EU:n tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. Säännös vastaa nykyisen henkilötietolain 27 §:n 1 momentin 4 kohtaa. Henkilötietolain säännös on perustunut henkilötietodirektiivin 13 artiklan 1 kohdan e ja f alakohtaan. Yleisen tietosuoja-asetuksen 23 artiklan 1 kohta sisältää direktiivin f kohtaa vastaavan h alakohdan. Nykyisen henkilötietodirektiivin 13 artiklan 1 kohdan e alakohtaa vastaava kohtaa sisältyy puolestaan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan e alakohtaan. Ehdotettu 3 kohta olisi siten edelleen mahdollinen.  

Pykälän 2 momentissa säädettäisiin selkeyden vuoksi rekisteröidyn tiedonsaantioikeudesta silloin, kun vain osa henkilörekisteriin talletetuista tiedoista jää pykälän 1 momentin tarkastusoikeuden ulkopuolelle. Rekisteröidyllä on tällöinkin oikeus saada tietää muut häntä koskevat tiedot. Samanlainen säännös sisältyy nykyisen lain 27 §:n 2 momenttiin.  

Pykälän 3 momentin mukaan rekisteröidylle olisi ilmoitettava rajoituksen syyt, ellei tämä vaaranna rajoituksen tarkoitusta. Tämä vastaisi yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan h alakohtaa. Tällä varmistettaisiin henkilötietojen läpinäkyvä käsittely ja rekisteröidyn oikeus saada yleisellä tasolla tietoa hänestä kerättyihin tietoihin koskevasta rajoituksesta. On kuitenkin mahdollista, että toisinaan jo pelkän yleisemmän tason tiedon antaminen voisi vaarantaa rajoituksen tarkoituksen. Tällaisessa tilanteessa rekisterinpitäjällä ei olisi velvollisuutta kertoa rajoituksen syistä.  

Pykälän 4 momentin mukaan tiedot olisi annettava rekisteröidyn pyynnöstä tietosuojavaltuutetulle. Näin varmistettaisiin, että rekisteröidyn oikeudet tulevat asianmukaisesti suojatuksi, vaikka rekisteröidyllä itsellään ei olekaan tarkastusoikeutta.  

6 luku Erinäiset säännökset

35 §.Vaitiolovelvollisuus. Pykälässä säädettäisiin yleisestä vaitiolovelvollisuudesta. Pykälä vastaisi henkilötietolain 33 §:ssä säädettyä, mutta säännöstä ehdotetaan osin tarkistettavaksi. Henkilötietolaissa asetetaan nykyisin vaitiolovelvollisuus sille, joka henkilötietojen käsittelyyn liittyviä toimenpiteitä suorittaessaan on saanut tietää jotakin toisen henkilön ominaisuuksista, henkilökohtaisista oloista tai taloudellisesta asemasta. Pykälää tarkistettaisiin siten, että vaitiolovelvollisuus koskisi myös, mitä henkilö on saanut tietää jonkin toisen henkilön liike salaisuudesta. Suomessa eri laeissa käytetään liikesalaisuuden osalta eri käsitteitä: liikesalaisuus, liike- ja ammattisalaisuus, ammatti- ja liikesalaisuus, yrityssalaisuus sekä yritys- ja liikesalaisuus. Käytännössä käsitteiden on katsottu tarkoittavan samaa asiaa, ja niitä on myös oikeuskäytännössä tulkittu pitkälti samalla tavalla. Liikesalaisuusdirektiivin kansallisen täytäntöönpanon yhteydessä on tarkoitus yhtenäistää liikesalaisuuskäsitteen käyttö lainsäädännössä.  

Nykyisin henkilötietolain 33 §:ssä mainittuja tietoja ei saa henkilötietolain vastaisesti ilmaista sivulliselle. Sanamuotoa tarkistettaisiin siten, että tietoja ei saisi oikeudettomasti ilmaista sivulliselle. Ilmaisemisen oikeudettomuus voisi siten perustua muunkin lain kuin tietosuojalain vastaisuuteen. Lisäksi säännöstä täydennettäisiin tiedon oikeudettoman käytön kiellolla.  

Pykälässä viitataan kaikkiin henkilötietojen käsittelyyn liittyviin toimenpiteisiin. Vaitiolovelvollisuus koskisi esimerkiksi rekisterinpitäjän tai henkilötietojen käsittelijän palveluksessa olevaa henkilöä sekä tietosuojavastaavaa. 

36 §.Ilmoittajan henkilöllisyyden suojaaminen. Pykälässä säädettäisiin henkilötietojen suojaa koskevien säännöksien rikkomisesta ilmoituksen tehneen luonnollisen henkilön henkilöllisyyden salaamisesta. Vastaavaa säännöstä ei sisälly nykyiseen henkilötietolakiin. Rikkomuksen ilmoittajan henkilöllisyyden suojaamisesta säädetään tällä hetkellä esimerkiksi Finanssivalvonnan muuttamisesta annetun lain (1442/2016) 71 a §:ssä. Lisäksi säädetään ilmoituskanavista, joiden kautta voidaan raportoida lain rikkomisista (engl. whistleblowing) esimerkiksi luottolaitoksille luottolaitostoiminnasta annetun lain (610/2014) 7 luvun 6 §:n nojalla, vakuutusyhtiöille vakuutusyhtiölain (521/2008) 6 luvun 17 a §:n nojalla sekä arvopaperimarkkinalain muuttamisesta annetun lain (519/2016) 3 §:n nojalla.  

Rikkomuksen ilmoittajan henkilöllisyyden salaaminen on luonteeltaan tarkkaan rajattuihin tilanteisiin kohdistuvaa sääntelyä. Kyse ei siten ole yleisesti sovellettavaksi tulevasta salassapitoperusteesta, vaan tiukasti tietosuojavaltuutetun tehtävien hoitamiseen rajoittuvasta salassapitoperusteesta. Kyseisestä salassapitoperusteesta on näin ollen tarkoituksenmukaista säätää tietosuojalain valvontaviranomaista koskevassa luvussa, vaikka salassapitoperusteita koskevan sääntelyn pääsääntönä onkin säännösten keskittäminen julkisuuslakiin. Tämä on myös yhdenmukaista muun niin sanotun whistleblowing -sääntelyn kanssa.  

Ehdotetulla säännöksellä pantaisiin täytäntöön 54 artiklan 2 kohdan jälkimmäinen lause, jossa edellytetään rikkomuksista ilmoittaneiden henkilöiden henkilöllisyyden suojaamista. Ellei jokin julkisuuslain 24 §:ssä säädetyistä salassapitoperusteista tule sovellettavaksi, olisi ehdotetun 1 momentin nojalla pidettävä salassa ainoastaan ilmoittajan henkilöllisyyden suoraan tai välillisesti ilmaisevat tiedot.  

Kyseisen säännöksen tarkoituksena olisi suojella sellaista ilmoittajaa, jonka henkilöllisyyden paljastuminen voisi aiheuttaa haittaa ilmoittajalle. Ilmoittajan tulisi voida saattaa tietosuojavaltuutetun toimiston tietoon henkilötietojen suojaa koskevien säännösten rikkominen ilman pelkoa haitallisista seuraamuksista. Ilmoittajan henkilöllisyyttä koskeva salassapitoperuste ei olisi ehdoton, sillä säännöksen soveltamisen edellytyksenä olisi, että henkilöllisyyden paljastuminen aiheuttaisi haittaa ilmoittajalle. Haitta voisi liittyä esimerkiksi siihen, että ilmoittaja on erityisessä suhteessa ilmoituksen kohteena olevaan rekisterinpitäjään tai henkilötietojen käsittelijään ja ilmoituksen tekeminen voisi aiheuttaa haittaa tälle suhteelle. Säännöksessä tarkoitetut olosuhteet olisivat käsillä esimerkiksi ilmoittajan ollessa työsuhteessa rekisterinpitäjään tai henkilötietojen käsittelijään. Ilmoittajan subjektiivinen käsitys haitan aiheutumisesta ei yksistään riittäisi säännöksessä tarkoitetun salassapitoperusteen soveltamiseen. Säännös ei tulisi sovellettavaksi esimerkiksi silloin, kun ilmoitus koskee ilmoittajan yleisen tietosuoja-asetuksen III luvussa säädettyjen rekisteröityjen oikeuksien toteuttamisesta. Tällöin ilmoittajan henkilöllisyyden ilmaiseminen rekisterinpitäjälle on jopa välttämätöntä asian selvittämiseksi.  

Yleisen tietosuoja-asetuksen 54 artiklan 2 kohdan mukaan kunkin valvontaviranomaisen jäsenen tai jäsenten tai henkilöstön on unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti pidettävä salassa sekä toimikautensa aikana että sen jälkeen kaikki luottamukselliset tiedot, jotka ovat tulleet heidän tietoonsa heidän suorittaessaan tehtäviään tai käyttäessään valtuuksiaan. Tietosuojavaltuutetun toimiston henkilöstön vaitiolovelvollisuudesta ei ole tarpeellista säätää erikseen, sillä Tietosuojavaltuutetun toimisto on julkisuuslaissa tarkoitettu viranomainen, jonka toimintaan sovelletaan julkisuuslakia. Näin ollen myös henkilöstön salassapitovelvollisuutta koskevat säännökset tulevat suoraan julkisuuslain nojalla sovellettavaksi Tietosuojavaltuutetun toimiston henkilöstöön. Tietosuojavaltuutetun toimiston henkilöstön lisäksi sama koskee tietosuojavaltuutettua, apulaisvaltuutettua, asiantuntijalautakuntaa sekä ulkopuolisia asiantuntijoita. Julkisuuslain 23 §:ssä säädetään vaitiolovelvollisuudesta ja hyväksikäyttökiellosta. Pykälän 1 momentin mukaan viranomaisen palveluksessa oleva samoin kuin luottamustehtävää hoitava ei saa paljastaa asiakirjan salassa pidettävää sisältöä tai tietoa, joka asiakirjaan merkittynä olisi salassa pidettävä, eikä muutakaan viranomaisessa toimiessaan tietoonsa saamaa seikkaa, josta lailla on säädetty vaitiolovelvollisuus. Vaitiolovelvollisuuden piiriin kuuluvaa tietoa ei saa paljastaa senkään jälkeen, kun toiminta viranomaisessa tai tehtävän hoitaminen viranomaisen lukuun on päättynyt. Virkamiehen vaitiolovelvollisuus ulottuu näin ollen myös virkasuhteen jälkeiselle ajalle. 

Tietojen hyväksikäyttökiellosta säädetään julkisuuslain 23 §:n 3 momentissa. Vaitiolovelvollinen ei saa käyttää salassa pidettäviä tietoja omaksi tai toisen hyödyksi tai toisen vahingoksi. Rikoslain 40 luvun 5 §:ssä säädetään virkasalaisuuden rikkomisesta ja tuottamuksellisesta virkasalaisuuden rikkomisesta palvelussuhteen aikana ja sen päätyttyä.  

Julkisuuslain 11 §:n mukaan hakijalla, valittajalla sekä muulla, jonka oikeutta, etua tai velvollisuutta asia koskee (asianosainen), on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn. Julkisuuslain 11 § :n 2 momentin 1 kohdan mukaan oikeutta ei kuitenkaan ole, jos tiedon antaminen olisi vastoin erittäin tärkeää yleistä etu tai vastaavasti vastoin erittäin tärkeää yksityistä etua. Tiedon antaminen rikkomusta koskevasta ilmoituksesta ilmoituksen kohteelle voi olla julkisuuslaissa tarkoitettu erittäin tärkeä yleinen etu, jos tiedon antaminen voisi haitata epäiltyjen rikkomusten selvittämistä. Tiedon antaminen ilmoituksen tekijästä voi puolestaan olla vastoin julkisuuslaissa tarkoitettua tärkeää yksityistä etua, jos ilmoittajan henkilöllisyyden paljastaminen vaarantaisi ilmoittajan turvallisuutta, etuja tai oikeuksia. Tällöin asianosaisjulkisuutta olisi rajoitettava, Säännöksen soveltamisen edellytyksenä on, että asiassa ilmi tulleiden seikkojen perusteella tietosuojavaltuutetun toimistolla on perusteltu syy arvioida suojantarpeen olemassaolo.  

37 §.Voimaantulo. Pykälän 1 momentissa säädettäisiin lain voimaantulosta. Laki tulisi voimaan 25 päivänä toukokuuta 2018, jolloin myös yleistä tietosuoja-asetusta aletaan soveltaa. 

Pykälän 2 momentin mukaan lailla kumottaisiin 22 päivänä huhtikuuta 1999 annettu henkilötietolaki ja 27 päivänä toukokuuta 1994 annettu laki tietosuojalautakunnasta ja tietosuojavaltuutetusta. 

38 §.Siirtymäsäännökset. Pykälässä säädettäisiin tarvittavista siirtymäsäännöksistä erityisesti tilanteissa, joissa on otettava huomioon sovellettavan lainsäädännön muuttuminen.  

Pykälän 1 momentin mukaan tietosuojalautakunnan myöntämien lupien voimassaolo päättyisi lain tullessa voimaan. Tietosuojalautakunta on voinut myöntää henkilötietolain 43 §:ssä tarkoitettuja lupia joko toistaiseksi tai määräajaksi. Yleisen tietosuoja-asetuksen tullessa sovellettavaksi, ei henkilötietoja voida käsitellä enää tietosuojalautakunnan luvan perusteella, vaan käsittelylle tulee olla jokin yleisen tietosuoja-asetuksen 6 sekä tarvittaessa 9 artiklan mukainen käsittelyperuste taikka kansallisessa laissa säädetty peruste.  

Momentissa säädettäisiin myös siitä, että tietosuojalautakunnassa ennen ehdotetun lain voimaantuloa vireillä olevat asiat raukeaisivat ehdotetun lain voimaan tullessa. Näin ollen sekä tietosuojalautakunnassa vireillä olleet henkilötietolain 43 §:ssä tarkoitetut lupahakemusasiat että 44 §:n mukaiset määräysasiat raukeaisivat, kun uutta lakia alettaisiin soveltaa. Tietosuojalautakunta tai muukaan tietosuojaviranomainen ei enää yleisen tietosuoja-asetuksen tullessa sovellettavaksi voi myöntää henkilötietojen käsittelyyn henkilötietolain 43 §:ssä tarkoitettua lupaa, joka on voitu myöntää esimerkiksi silloin, kun käsillä on ollut rekisterinpitäjän oikeutettu etu. Oikeutettua etua koskeva käsittelyperuste seuraa vastaisuudessa suoraan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdasta.  

Tietosuojalautakunta lakkautettaisiin ehdotetulla lailla. Näin ollen olisi perusteltua, että myös mahdollisesti vireillä olevat määräysasiat raukeaisivat. Henkilötietolain 44 §:n nojalla ainoastaan tietosuojavaltuutettu on voinut laittaa vireille henkilötietojen käsittelyä koskevan määräysasian tietosuojalautakunnassa. Yleisen tietosuoja-asetuksen tullessa sovellettavaksi valvontaviranomaisella eli tietosuojavaltuutetulla on vastaavan kaltainen mahdollisuus antaa henkilötietojen käsittelyä koskevia määräyksiä. 

Tietosuojavaltuutetun toimistossa ennen ehdotetun lain voimaatuloa vireille tulleisiin asioihin sovellettaisiin ehdotetun lain voimaantulon jälkeen lähtökohtaisesti soveltamishetkellä voimassa olevaa lainsäädäntöä, eli yleistä tietosuoja-asetusta ja ehdotettua tietosuojalakia. Ehdotetun lain voimaan tullessa tietosuojavaltuutetun toimistossa vireillä olleeseen asiaan sovellettaisiin ehdotettua tietosuojalakia ja yleistä tietosuoja-asetusta, jollei lain siirtymäsäännöksissä toisin säädetä. Esimerkiksi henkilötietolain 40 §:n 1 momentissa tarkoitettuihin ohjaus- ja neuvonta-asioihin, 41 §:ssä tarkoitettuihin lausuntoasioihin sekä 42 §:ssä tarkoitettuihin toimialakohtaisten käytännesääntöjen tarkastamista koskeviin asioihin sovellettaisiin yleistä tietosuoja-asetusta ja ehdotettua lakia, vaikka asia olisi tullut vireille tietosuojavaltuutetun toimistossa ennen ehdotetun lain voimaantuloa.  

Kaikilta osin uuden lainsäädännön soveltaminen tietosuojavaltuutetun toimistossa vireillä oleviin asioihin ei kuitenkaan olisi perusteltua esimerkiksi siksi, että uusissa säädöksissä ei säädettäisi mitään tietyistä asia- tai tehtävätyypeistä. Tämän vuoksi pykälän 2 momentin mukaan ehdotetun lain voimaan tullessa vireillä olevaan tietosuojavaltuutetulle tehtävää ilmoitusta koskevaan asiaan sovellettaisiin lain voimaan tullessa voimassa olleen henkilötietolain 36 ja 37 §:n säännöksiä ilmoitusvelvollisuudesta ja ilmoituksen tekemisestä. Yleisessä tietosuoja-asetuksessa tai sitä täydentävällä ehdotetulla tietosuojalailla ei enää säädettäisi vastaavien ilmoitusten tekemisestä, joten uuden lainsäädännön soveltaminen tällaisten ilmoitusten käsittelyyn ei olisi mahdollista. 

Pykälän 3 momentissa säädettäisiin, että ehdotetun lain voimaan tullessa vireillä olleeseen tarkastusoikeuden toteuttamista ja henkilötietojen korjaamista koskevaan asiaan sovellettaisiin lähtökohtaisesti tietosuojalakia ja yleistä tietosuoja-asetusta. Mainittuja säädöksiä ei kuitenkaan sovellettaisi siltä osin, kun kyse on sellaisista asetuksen 12 ja 15—18 artiklan säännöksistä, joissa asetetaan rekisterinpitäjälle laajempia velvollisuuksia henkilötietolain sisältämiin säännöksiin verrattuna ja jos näiden asetuksen säännösten soveltaminen olisi rekisterinpitäjän kannalta kohtuutonta kyseisessä tapauksessa. Lähtökohtaisesti siis myös rekisteröidyn oikeuteen saada pääsy tietoihin ja oikaista tiedot sovellettaisiin uuden lainsäädännön vaatimuksia niissäkin tapauksissa, joissa asia on tullut vireille ennen ehdotetun lain voimaantuloa. Yksittäistapauksessa saattaisi kuitenkin olla kohtuutonta edellyttää rekisterinpitäjän noudattavan sellaisia vaatimuksia, joita ei henkilötietolakiin ole sisältynyt. Tällöin tietosuojavaltuutettu voisi jättää soveltamatta tällaisia asetuksen säännöksiä. Selvää lisäksi on, ettei tietosuojavaltuutettu voi määrätä yleisen tietosuoja-asetuksen 83 artiklassa tarkoitettua hallinnollista seuraamusmaksua teoista, jotka ovat tapahtuneet ennen ehdotetun lain voimaantuloa. 

Pykälän 4 momentissa säädettäisiin, että muutoksenhaussa ennen ehdotetun lain voimaantuloa tehtyyn tietosuojalautakunnan ja tietosuojavaltuutetun päätökseen sovellettaisiin ehdotetun lain voimaan tullessa voimassa olleita säännöksiä. Ylimääräiseen muutoksenhakuun sovellettaisiin säännöksen mukaan ehdotetun lain voimaan tullessa voimassa olleita säännöksiä kuitenkin vain silloin, kun ylimääräistä muutoksenhakua koskeva asia on pantu vireille ennen ehdotetun lain voimaantuloa. 

Pykälän 5 momentin mukaan velvollisuuteen korvata vahinko sovellettaisiin ehdotetun lain voimaan tullessa voimassa olleita säännöksiä, jos vahinkoa aiheuttanut teko olisi tehty ennen tämän lain voimaantuloa. Yleisen tietosuoja-asetuksen 82 artiklassa säädetään vahingonkorvausvelvollisuudesta tavalla, joka poikkeaa henkilötietolain lähtökohdista. Siten myös sopimusperusteinen vastuunjako käytännössä perustuu näiltä osin erilaisille lähtökohdille. Henkilötietolain 47 §:n mukaan vain rekisterinpitäjä on velvollinen korvaamaan vahingon, joka on aiheutunut rekisteröidylle tai muulle henkilölle henkilötietolain vastaisesta henkilötietojen käsittelystä. Yleisen tietosuoja-asetuksen 82 artiklassa sen sijaan säädetään, että myös henkilötietojen käsittelijä voi olla vahingonkorvausvelvollinen asetuksen rikkomisesta aiheutuneista vahingoista. Artikla sisältää myös muutoin merkittäviä säännöksiä koskien esimerkiksi vastuun jakautumista eri osapuolten välillä. Täten ehdotettu säännös olisi tarpeen, jotta vältettäisiin mahdollisesti hyvinkin merkittävä taannehtiva puuttuminen henkilötietolain aikana voimassaolleisiin oikeussuhteisiin ja sopimuksiin.  

1.2  Rikoslaki

38 luku Tieto- ja viestintärikoksista

9 §.Tietosuojarikos. Nykyinen henkilörekisteririkosta koskeva säännös ehdotetaan korvattavaksi uudella tietosuojarikosta koskevalla säännöksellä. 

Voimassa olevan rikoslain 38 luvun 9 §:n mukaan henkilörekisteririkoksesta tuomitaan sakkoon tai vankeuteen enintään vuodeksi se, joka tahallaan tai törkeästä huolimattomuudesta käsittelee henkilötietoja vastoin henkilötietolain käyttötarkoitussidonnaisuutta, käsittelyn yleisiä edellytyksiä, henkilötietojen tarpeellisuutta tai virheettömyyttä, arkaluonteisia tietoja, henkilötunnusta tai henkilötietojen käsittelyä erityisiä tarkoituksia varten koskevia säännöksiä taikka rikkoo henkilötietojen käsittelyä koskevia erityissäännöksiä. Niin ikään henkilörekisteririkoksesta tuomitaan se, joka tahallaan tai törkeästä huolimattomuudesta antamalla rekisteröidylle väärän tai harhaanjohtavan tiedon estää tai yrittää estää rekisteröityä käyttämästä hänelle kuuluvaa tarkastusoikeutta taikka siirtää henkilötietoja Euroopan unionin tai Euroopan talousalueen ulkopuolisiin valtioihin henkilötietolain 5 luvun vastaisesti. Edellytyksenä tunnusmerkistön täyttymiselle kaikissa edellä mainituissa tilanteissa on, että teko loukkaa rekisteröidyn yksityisyyden suojaa tai aiheuttaa hänelle muuta vahinkoa tai olennaista haittaa. 

Rikoslain 38 luvun 9 §:n kaltainen hyvin laaja henkilötietojen käsittelyä koskeva kriminalisointi ei enää ole perusteltu. Yleisen tietosuoja-asetuksen sisältämien hallinnollisten seuraamusmaksujen myötä tietosuojalainsäädäntöä koskeva seuraamusjärjestelmä muuttuu perustavanlaatuisesti. Näin ollen rikosoikeudellinen vastuu tulisi kyseeseen vain tilanteissa, joissa lainvastainen henkilötietojen käsittely ei olisi asetuksen nojalla hallinnollisten seuraamusmaksujen piirissä.  

Pykälän 1 momentissa säädettäisiin, että henkilö, joka muutoin kuin yleisessä tietosuoja-asetuksessa tarkoitettuna rekisterinpitäjänä tai henkilötietojen käsittelijänä tahallaan tai törkeästä huolimattomuudesta hankkii henkilötietoja niiden käyttötarkoituksen kanssa yhteensopimattomalla tavalla, luovuttaa henkilötietoja tai siirtää henkilötietoja vastoin yleisessä tietosuoja-asetuksen, tietosuojalain, henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain tai henkilötietojen käsittelyä koskevan muun lain henkilötietojen käyttötarkoitussidonnaisuutta, luovuttamista tai siirtämistä koskevaa säännöstä ja siten loukkaa rekisteröidyn yksityisyyden suojaa tai aiheuttaa hänelle muuta vahinkoa tai olennaista haittaa, olisi tuomittava tietosuojarikoksesta sakkoon tai vankeuteen enintään yhdeksi vuodeksi. 

Rangaistussäännös tulisi siten sovellettavaksi ainoastaan tilanteessa, jossa henkilön ei voida katsoa toimineen rekisterinpitäjän tai henkilötietojen käsittelijän ominaisuudessa. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan c alakohdan rajoitussäännös ei estä rangaistussäännöksen soveltamista tällaisissa tapauksissa, koska tietojen varsinainen käsittely kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Rangaistussäännökseen ei ehdoteta sovellettavan oikeushenkilön rangaistusvastuuta. 

Esimerkki rangaistavasta toiminnasta olisi uteliaisuudesta tapahtuva henkilötietojen käsittely ilman käsittelyn oikeuttavaa perustetta. Tällaiset niin sanotut urkintatilanteet ovatkin käytännössä osoittautuneet verrattain yleisiksi. Esimerkiksi terveydenhuoltohenkilökuntaan kuuluvalla henkilöllä voi käyttöoikeuksiensa perusteella olla oikeus käsitellä sellaisten henkilöiden henkilötietoja, joiden hoitoon he osallistuvat. Sen sijaan silkasta uteliaisuudesta tapahtuva oikeudeton henkilötietojen hankkiminen potilastietojärjestelmästä olisi lainvastaista. Tarkoituksena on, että säännöstä sovellettaisiin urkintatapauksiin samalla tavoin kuin voimassa olevaa henkilörekisteririkosta koskevaa säännöstä henkilörekisteririkoksesta, jonka nojalla on katsottu edellä kuvatuissa tilanteissa henkilötietojen käsittelyn tapahtuneen vastoin käyttötarkoitussidonnaisuutta koskevia säännöksiä. 

Pykälän 2 momentin mukaan tietosuojarikoksesta voitaisiin tuomita myös 1 momentissa tarkoitettu henkilö, joka toimii vastoin sitä, mitä momentin 1—4 kohdassa tarkoitetussa säännöksessä säädetään henkilötietojen käsittelyn turvallisuudesta. Esimerkiksi yleisen tietosuoja-asetuksen 32 artikla sääntelee henkilötietojen käsittelyn turvallisuutta. Tällainen tilanne voisi olla kyseessä esimerkiksi silloin, kun rekisterinpitäjän palveluksessa hävittää henkilötietoja vastoin tietoturvallisuudesta säädettyä. Rangaistavaa voisi olla muun muassa menettely, jossa henkilö lainvastaisesti heittää pois henkilörekisteristä tulostetut asiakirjat huolehtimatta niiden tietoturvallisesta hävittämisestä. 

10 §.Syyteoikeus. Pykälän 3 momenttiin ehdotetaan tehtäväksi tekninen muutos. Viittaus henkilörekisteririkokseen muutettaisiin viittaukseksi tietosuojarikokseen 9 §:ään ehdotettua muutosta vastaavasti. Lisäksi lainkohtaan lisättäisiin törkeä tekomuoto tietomurrosta.  

1.3  Laki sakon täytäntöönpanosta

1 §.Lain soveltamisala. Pykälän 1 momenttiin ehdotetaan lisättäväksi uusi 12 kohta, jonka mukaan laissa säädetyssä järjestyksessä pannaan täytäntöön myös yleisen tietosuoja-asetuksen 83 artiklassa tarkoitettu hallinnollinen seuraamusmaksu, jonka tietosuojavaltuutettumäärää. Tietosuojalaissa hallinnollisesta seuraamusmaksusta ehdotetaan säädettävän 25 §:ssä. Hallintolainkäyttölain 31 §:n mukaan hallinnollisen seuraamusmaksun määräämistä koskeva päätös ei olisi täytäntöönpanokelpoinen ennen kuin se on saanut lainvoiman. Sakon täytäntöönpanosta annetun lain 3 §:n mukaisesti täytäntöönpanosta huolehtisi Oikeusrekisterikeskus.