Viimeksi julkaistu 9.5.2021 19.50

2018 vp Perustuslakivaliokunta Valtioneuvoston kirjelmä eduskunnalle ehdotuksista EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamista

Suurelle valiokunnalle

JOHDANTO

Vireilletulo

Valtioneuvoston kirjelmä eduskunnalle ehdotuksista EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamista (U 7/2018 vp): Asia on saapunut perustuslakivaliokuntaan mahdollisia toimenpiteitä varten.

Asiantuntijat

Valiokunta on saanut kirjallisen lausunnon:

sisäministeriö, poliisiosasto
sisäministeriö, rajavartio-osasto
tietosuojavaltuutettu Reijo Aarnio
tietosuojavaltuutetun toimisto
professori Juha Lavapuro
professori Tuomas Ojanen

VALTIONEUVOSTON KIRJELMÄ

Ehdotus

Komissio on 12.12.2017 antanut kaksi asetusehdotusta kehyksen luomisesta EU:n tietojärjestelmien yhteentoimivuudelle: Euroopan parlamentin ja neuvoston asetus 1) EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamisesta (poliisi- ja oikeudellinen yhteistyö, turvapaikka ja maahanmuutto) sekä 2) EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamisesta (raja- ja viisumiasiat) ja neuvoston päätöksen 2004/512, asetuksen 767/2008, neuvoston päätöksen 2008/633, asetuksen 2016/399 ja asetuksen 2017/2226 muuttamisesta.

Ehdotuksilla luodaan EU-tason tietojärjestelmien yhteentoimivuutta säätelevä kehys. EU-tason tietojärjestelmiä ovat EU:n rajanylitystietojärjestelmä (EES), viisumitietojärjestelmä (VIS), Eurodac, Euroopan matkustajatieto- ja lupajärjestelmä (ETIAS), Schengenin tietojärjestelmä (SIS) sekä eurooppalaiseen rikosrekisterijärjestelmään sisältyvä kolmannen maan kansalaisia koskeva keskitetty rekisteri (ECRIS-TCN).

Ehdotuksilla perustetaan myös viestinvälityksen standardi (UMF) ja raportointia ja tilastoja varten keskusvarasto (CRRS). Ehdotuksilla vapauden, turvallisuuden ja oikeuden alueeseen liittyvien laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavalle eurooppalaiselle virastolle (eu-Lisa) säädetään velvollisuuksia tietojärjestelmien yhteentoimivuuskomponenttien suunnittelua ja toimintaan liittyen. Nämä yhteentoimivuuskomponentit ovat eurooppalainen hakuportaali (ESP), yhteinen biometrinen tunnistuspalvelu (BMS), yhteinen tunnistustietorekisteri (CIR) ja multi-henkilöllisyyden tunnistaja (MID).

Ehdotuksilla myös muutetaan menettelyjä ja ehtoja, joiden mukaan jäsenvaltion lainvalvontaviranomaiset ja Euroopan lainvalvontavirasto (Europol) saavat pääsyn niihin EU-tason tietojärjestelmiin joiden pääasiallinen tarkoitus ei ole rikosten torjuntaan liittyvä.

Valtioneuvoston kanta

Valtioneuvosto pitää tietojenvaihdon tehostamista ja EU:n tason tietojärjestelmien ja niiden käytön kehittämistä tärkeinä sekä kansallisen että EU:n sisäisen turvallisuuden parantamiseksi. Eurooppa-neuvoston vahvistamista sitoumuksista on pidettävä kiinni. Eurooppa-neuvosto on muun muassa kiirehtinyt terrorismin torjuntaan liittyvän tietojenvaihdon tehostamista ja katsonut, että turvatarkastuksissa käytettävien tietokantojen tulee olla yhteentoimivia ja todennut, että tietojärjestelmien ja tietokantojen yhteentoimivuutta tulee parantaa jatkuvasti.

Ehdotusten tavoitteena on parantaa turvallisuutta ja EU-tason tietojärjestelmiin tallennettujen tietojen avulla helpottaa kolmansien maiden kansalaisten henkilöllisyyden tarkistamista ja selvittämistä sekä estää ja paljastaa väärän henkilöllisyyden käyttäminen samoin kuin tehostaa ulkorajavalvontaa. Tällä hetkellä ongelmana on se, etteivät EU-tason tietojärjestelmät keskustele keskenään, minkä seurauksena samaa henkilöä koskevia tietoja voi olla eri tietojärjestelmissä ilman että jäsenvaltioiden viranomaisilla on mahdollisuus saada tätä tietoa tai havaita, jos sama henkilö on rekisteröity useilla henkilöllisyyksillä tai sen selvittäminen on hyvin hidasta. Valtioneuvosto pitää tavoitteita kannatettavina ja suhtautuu asetusehdotuksiin pääosin myönteisesti.

Ehdotuksilla lisättäisiin EU:n rajanylitystietojärjestelmää ja viisumitietojärjestelmää koskeviin asetuksiin uusi toissijainen käyttötarkoitus, jonka mukaan tietojärjestelmien tavoitteena on myös helpottaa ja auttaa järjestelmiin tallennettujen henkilöiden oikeaa tunnistamista tallettamalla identiteetti- ja matkustajatietoja sekä biometrisiä tietoja yhteiseen tunnistustietorekisteriin (CIR). Vastaava uusi käyttötarkoitus tulisi käytännössä lisätä myös valmisteilla oleviin ETIAS:ta, Eurodacia ja ECRIS-TCN:ää koskeviin EU-säädöksiin. Ehdotuksen mukaan kansallisesti voitaisiin säätää siitä, että poliisiviranomaiset (esim. poliisi, tuomioistuimet, syyttäjälaitos) pääsisivät henkilön tunnistamistarkoituksessa tekemään kyselyjä perustettavaan yhteiseen tunnistustietorekisteriin (CIR). Tällaisessa kansallisessa lainsäädännössä tulisi tarkemmin määritellä tunnistustarkastusten tarkoitukset sekä tällaisiin tarkastuksiin liittyvät menettelyt ja ehdot. Poliisiviranomainen saisi pääsyn niihin henkilöä koskeviin tietoihin, jotka on mainittu ehdotetussa 18 artiklassa. Poliisiviranomaisen pääsy CIR:iin olisi uusi työkalu henkilön oikean henkilöllisyyden selvittämisessä, jota voitaisiin hyödyntää esimerkiksi poliisin toiminnassa tilanteissa, joissa henkilön tunnistaminen on tarpeen yksittäisen tehtävän suorittamiseksi ja henkilö kieltäytyy selvittämästä henkilöllisyyttään. Valtioneuvosto suhtautuu alustavasti positiivisesti mahdollisuuteen kansallisen lainsäädännön antamisesta tällaisen käsittelyn mahdollistamiseksi. Valtioneuvosto kuitenkin katsoo, että ehdotetun säännöksen osalta tulee vielä tarkemmin selvittää, kuinka se vaikuttaisi käyttötarkoitussidonnaisuuden periaatteen toteutumiseen henkilötietojen käsittelyssä ottaen huomioon edellä kuvattu käyttötarkoitusten laajentaminen sekä varmistua siitä, että sääntely muutoinkin tältä osin pysyy hyväksyttävyyden ja oikeasuhtaisuuden rajoissa.

Komission ehdotus velvoittaa rajaviranomaiset käyttämään eurooppalaista hakuportaalia sekä muita ehdotuksen komponentteja rajatarkastusten suorittamiseen. Valtioneuvosto katsoo, että ehdotus lisää rajatarkastusten vaikuttavuutta. Valtioneuvosto kuitenkin korostaa, että samalla on tarpeen varmistaa, että valituilla ratkaisuilla tuetaan myös rajatarkastusprosessia, eikä ratkaisuilla haitata merkittävästi rajatarkastusten sujuvuutta. Ehdotus asettaa myös viranomaisille toimintavelvoitteita muun muassa epäselvien henkilöllisyyksien selvittämiseksi. Valtioneuvosto katsoo, että näiden velvoitteiden vaikutuksia muun muassa eri viranomaisten työkuorman osalta on vielä tarpeen selvittää.

Valtioneuvosto pitää lähtökohtaisesti kannatettavana sitä, että ehdotuksilla nopeutettaisiin jäsenvaltioiden nimeämien viranomaisten mahdollisuutta saada terrorismirikosten tai muiden vakavien rikosten ennalta estämiseksi, paljastamiseksi ja tutkimiseksi tietoa siitä, onko tiettyä henkilöä koskevia tietoja EU-tason tietojärjestelmissä, pl. ECRIS-TCN. Valtioneuvoston mielestä on perusteltua, että ehdotuksilla ei suoraan laajenneta viranomaisten pääsyä henkilötietoihin nykyisestä. Tältä osin valtioneuvosto kiinnittää huomiota siihen, että jo tieto siitä, että henkilö on rekisteröity johonkin tietojärjestelmään, on henkilötieto. Valtioneuvoston mielestä asetuksista tulisi selvästi käydä ilmi, että tällaista osuma-tietoa saisi käsitellä ainoastaan tietopyynnön tekemiseen tai pääsyoikeuden hakemiseen kyseistä järjestelmää koskevien ehtojen ja menettelyjen mukaisesti.

Valtioneuvosto pitää tärkeänä ehdotusten säännöksiä siitä, että rekisteröidyllä on oikeus saada tietoa siitä, mihin järjestelmiin/palveluihin hänen tietojaan on tallennettu ja että hänellä on oikeus saada väärät tiedot korjatuksi tai poistetuksi. Valtioneuvosto pitää niin ikään tärkeänä ehdotuksiin sisältyvää nimenomaista kieltoa siirtää yhteentoimivuuskomponentteihin tallennettuja tietoja kolmansille maille, kansainväliselle järjestölle tai yksityiselle taholle ehdotuksiin sisältyviä tarkkaan rajattuja poikkeuksia lukuun ottamatta.

Valtioneuvosto pitää tärkeänä, että asetuksissa säädetään ehdotuksen mukaisesti jokaisen oikeudesta hakea muutosta toimivaltaiselta viranomaiselta ja tuomioistuimelta, jos hänen virheen oikaisua tai tiedon poistamista koskeva pyyntönsä on hylätty.

VALIOKUNNAN PERUSTELUT

Arvion lähtökohdat

Ehdotuksilla perustetaan yhteinen biometrinen tunnistuspalvelu (BMS), joka luo EU-tason tietojärjestelmiin syötetyistä biometrisistä tunnisteista matemaattisen mallin ja tallentaa sen yhteiseen kantaan. Ehdotuksilla perustetaan myös yhteinen tunnistustietorekisteri (CIR) ja multi-henkilöllisyyden tunnistaja (MID), jotka tarvitsevat toimiakseen edellä mainitun biometrisen tunnistuspalvelun. Ehdotusten mukaan näihin yhteentoimivuuskomponentteihin tallennettuja tietoja ei saa siirtää tai asettaa kolmannen maan, kansainvälisen järjestön tai yksityisten kumppanien saataville. Tähän esitetään kahta poikkeusta, jotka koskevat ETIAS-lupaprosessissa ja rajatarkastuksissa tehtäviä Interpol-kyselyitä.

Ehdotukset merkitsevät siten puuttumista yksityiselämän ja henkilötietojen suojaan. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä yleensä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa (ks. esim. PeVL 13/2016 vp, s. 3—4).

Perustuslakivaliokunta yhtyy valtioneuvoston kantaan siitä, että valmisteilla olevaa hanketta EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamisesta voidaan pitää pääosin myönteisenä. Perustuslain ja henkilötietojen suojaa koskevien perus- ja ihmisoikeuksien kannalta on perusteltua lisätä eri EU-tason tietojärjestelmien yhteensopivuutta ja -toimivuutta, sillä yhteensopivuudella ja -toimivuudella on mahdollista vähentää eri järjestelmien välisen yhteensopimattomuuden aiheuttamia riskejä oikeusvarmuudelle sekä tietosuojalle ja -turvalle.

Perustuslakivaliokunta painottaa rekisteröidyn oikeutta saada tällaisissa järjestelmissä tietoa siitä, mihin rekistereihin hänen henkilötietojaan on tallennettu, samoin kuin oikeutta saada väärät tiedot korjatuiksi tai poistetuiksi. Valiokunnan mielestä tällaisten oikeuksien merkitys korostuu, kun kehyshankkeen yhtenä keskeisenä tavoitteena on valtioneuvoston kirjelmän mukaan mahdollistaa väärän henkilöllisyyden käyttämisen torjunta.

Ehdotuksissa on kysymys arkaluonteisiin tietoihin rinnastettavissa olevasta henkilötietojen käsittelystä. Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (ks. PeVL 37/2013 vp). Perustuslakivaliokunta on käytännössään rinnastanut biometriset tunnistetiedot arkaluonteisiin tietoihin (ks. esim. PeVL 13/2016 vp, s. 4). EU:n uudistuneen tietosuojalainsäädännön mukaan biometriset tiedot ovat erityisiin henkilötietoryhmiin kuuluvia tietoja (ks. myös PeVL 1/2018 vp).

Perustuslakivaliokunta on painottanut, että tällaisiin arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen johdantokappaleessa 51 painotetaan, että asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. (Ks. PeVL 1/2018 vp, PeVL 14/2009 vp, s. 4/II, ks. myös esim. PeVL 14/2017 vp, s. 5—6). Valiokunnan mielestä asetusehdotusten jatkovalmistelussa on edelleen syytä varmistaa, että arkaluonteisten tietojen käsittely rajataan täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 13/2017 vp, s. 5 ja PeVL 3/2017 vp, s. 5).

Henkilötietojen toissijaiset käyttötarkoitukset

Valtioneuvosto kiinnittää kannassaan huomiota erityisesti siihen, että ehdotuksilla lisättäisiin EU:n rajanylitystietojärjestelmää ja viisumitietojärjestelmää koskeviin asetuksiin uusi toissijainen käyttötarkoitus, jonka mukaan tietojärjestelmien tavoitteena on myös helpottaa ja auttaa järjestelmiin tallennettujen henkilöiden oikeaa tunnistamista tallettamalla identiteetti- ja matkustajatietoja sekä biometrisiä tietoja yhteiseen tunnistustietorekisteriin (CIR). Vastaava uusi käyttötarkoitus tulisi käytännössä lisätä myös valmisteilla oleviin ETIASta, Eurodacia ja ECRIS-TCN:ää koskeviin EU-säädöksiin. Perustuslakivaliokunta on hiljattain arvioinut useita asetus- ja direktiiviehdotuksia, jotka liittyvät henkilötietojen käsittelyyn sanotuissa rekistereissä (ks. esim. PeVL 32/2017 vp, PeVL 21/2017 vp, PeVL 14/2017 vp, PeVL 13/2017 vp, PeVL 3/2017 vp, PeVL 33/2016 vp, PeVL 29/2016 vp, PeVL 13/2016 vp).

Ehdotuksen mukaan kansallisesti voitaisiin säätää siitä, että poliisiviranomaiset ja tuomioistuimet pääsisivät henkilön tunnistamistarkoituksessa tekemään kyselyjä perustettavaan yhteiseen tunnistustietorekisteriin (CIR). Tällaisessa kansallisessa lainsäädännössä tulisi tarkemmin määritellä tunnistustarkastusten tarkoitukset sekä tällaisiin tarkastuksiin liittyvät menettelyt ja ehdot.

Valtioneuvosto suhtautuu alustavasti positiivisesti mahdollisuuteen kansallisen lainsäädännön antamiseen tällaisen käsittelyn mahdollistamiseksi. Valtioneuvosto kuitenkin katsoo, että ehdotetun säännöksen osalta tulee vielä tarkemmin selvittää, kuinka se vaikuttaisi käyttötarkoitussidonnaisuuden periaatteen toteutumiseen henkilötietojen käsittelyssä ottaen huomioon edellä kuvattu käyttötarkoitusten laajentaminen, sekä varmistua siitä, että sääntely muutoinkin tältä osin pysyy hyväksyttävyyden ja oikeasuhtaisuuden rajoissa. Perustuslakivaliokunta yhtyy valtioneuvoston kantaan selvittämis- ja varmistumistarpeen osalta ja muistuttaa, että perustuslain 1 §:n 3 momentti yhdessä perustuslain 22 §:ssä säädetyn perus- ja ihmisoikeuksien turvaamisvelvollisuuden kanssa merkitsee, että valtioneuvoston tulee osallistua EU-säädösehdotusten valmisteluun tavalla, joka turvaa perus- ja ihmisoikeuksia Suomen lisäksi koko Euroopan unionissa (ks. PeVL 20/2017 vp, s. 6, PeVL 53/2017 vp, s. 5).

Ehdotettavassa sääntelyssä on kysymys ainakin osaksi arkaluonteisia tietoja koskevasta sääntelystä. Perustuslakivaliokunta on korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. Tietojen käyttämiseen varsinaisen keräämis- ja tallettamistarkoituksen ulkopuolelle jääviin tarkoituksiin on perustuslakivaliokunnan mukaan ollut syytä suhtautua kielteisesti esimerkiksi laajojen biometrisiä tunnisteita sisältävien rekisterien yhteydessä (PeVL 14/2009 vp, s. 4/II). Tällaisissa tilanteissa käyttötarkoitussidonnaisuudesta on voitu tällöin tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia, eikä sääntely ole saanut johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. myös esim. PeVL 14/2017 vp, s. 5—6).

Toissijaista käyttöä koskeva sääntely jäisi ehdotuksessa valtioneuvoston kannan mukaan kansallisen liikkumavaran piiriin. Perustuslakivaliokunta muistuttaa, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä on otettava huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp, PeVL 1/2018 vp).

Kokonaisarvion tarve

Perustuslakivaliokunnan mielestä valtioneuvoston on osallistuessaan EU-tason tietojärjestelmien yhteentoimivuutta koskevien säädösehdotuksien valmisteluun syytä kiinnittää erityistä huomiota järjestelmien kokonaisvaikutuksiin henkilötietojen suojan ja yksityisyyden suojan perus- ja ihmisoikeuksien kannalta. Valtioneuvoston on syytä pyrkiä vaikuttamaan siten, että tällainen horisontaalinen arviointi perus- ja ihmisoikeusnäkökulmasta suoritetaan myös EU:n toimesta (ks. PeVL 13/2017 vp, s. 7, PeVL 33/2016 vp, s. 6).

Valvontaviranomaisen tehtävien asianmukaisen hoitamisen edellytysten turvaaminen

EU:n perusoikeuskirjan 8 artiklan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Artiklaan on sisällytetty myös nimenomainen määräys siitä, että riippumaton viranomainen valvoo näiden sääntöjen noudattamista.

Ehdotusten mukaan EU:n yleisen tietosuoja-asetuksen nojalla nimetyn valvontaviranomaisen tai nimettyjen valvontaviranomaisten on varmistettava, että kansallisten vastuuviranomaisten suorittamat tietojenkäsittelytapahtumat tarkastetaan asiaankuuluvien kansainvälisten tarkastusstandardien mukaisesti vähintään joka neljäs vuosi. Mainitun perusoikeuskirjan tietosuoja-artiklan kannalta merkityksellinen Euroopan unionin yleinen tietosuoja-asetus tuli voimaan toukokuussa 2016. Sitä aletaan soveltaa 25.5.2018 lähtien. Asetuksessa säädetään kansallisen valvontaviranomaisen tehtävistä ja toimivaltuuksista. Nämä lisääntyvät ja vahvistuvat nykyisestä huomattavasti. Mainitun asetuksen 52 artiklan 4 kohdan mukaan kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät ja valtuudet, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen tietosuojaneuvoston toimintaan.

Perustuslakivaliokunta kiinnittää valtioneuvoston huomiota perusoikeuskirjan 8 artiklan 3 kohdassa tarkoitetun riippumattoman viranomaisen keskeiseen merkitykseen tietosuojaperusoikeuden toteutumisen kannalta ja pitää edelleen tärkeänä, että valvontaviranomaiselle osoitetaan riittävät resurssit tämän tehtävän asianmukaiseen hoitamiseen (ks. myös PeVL 3/2017 vp, s. 7).