Arvion lähtökohdat
(1) Ehdotetut henkilökorttilain ja ulkomaalaislain muutokset täydentävät unionin kansalaisten henkilökortteja sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettäviä oleskeluasiakirjoja koskevaa Euroopan parlamentin ja neuvoston asetusta (ID-asetus). Henkilökorttilailla säädetään asetusta täydentävästi muun muassa sormenjälkien ottamisesta, henkilökortin teknisestä osasta ja sen tietoturvasta sekä sormenjälkien ja kasvokuvien lukemisesta. Ulkomaalaislakiin ehdotetaan tehtäviksi vähäisiä teknisluonteisia ja selventäviä muutoksia. ID-asetuksessa ei säädetä oikeusperustaa kansallisen tason tietokantojen perustamiselle tai ylläpitämiselle biometristen tietojen tallentamista varten. Käsittelystä on siten säädettävä kansallisesti, mutta sääntelyn on oltava tietosuojaa koskevan unionin oikeuden mukaista (johdanto-osan 21 kohta).
(2) Henkilökorttilakiin ehdotetaan lisättäväksi säännös sormenjälkien tallettamisesta henkilökorttirekisteriin. Passilain ja henkilötietojen käsittelystä poliisitoimessa annetun lain muuttamisella on yhteys sormenjälkien tallettamista henkilökorttirekisteriin koskevaan säännökseen, sillä henkilökorttia varten otetut ja henkilökorttirekisteriin talletetut sormenjäljet olisivat hyödynnettävissä passia haettaessa. Passin hakemisen yhteydessä passirekisteriin talletetut sormenjäljet olisivat puolestaan hyödynnettävissä henkilökortin hakemisen yhteydessä.
(3) Henkilökorttiin on tallennettu jo aiemmin henkilön kasvokuva. Nyt ehdotetun unionin oikeuteen perustuvan ehdotuksen myötä henkilökorttiin tallennetaan myös sormenjälkitiedot ja samalla laajennetaan henkilökorttirekisterin tietosisältöä. Kasvokuva ja sormenjälkitiedot ovat EU:n yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuja biometrisiä tietoja, ja siten ne kuuluvat erityisiin henkilötietoryhmiin. Ehdotettu muutos tarkoittaa sitä, että henkilötodistuksina ja matkustusasiakirjoina käytettävät passi ja henkilökortti sisältäisivät samat biometriset tiedot.
(4) Sääntely on merkityksellistä perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(5) Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
(6) Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille.
(7) Perustuslakivaliokunta on arvioinut, että biometriset tunnistetiedot ovat monin tavoin arkaluonteisia tietoja. Sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (PeVL 29/2016 vp, ks. myös Euroopan ihmisoikeustuomioistuimen tuomio S. and Marper v. the United Kingdom, 4.12.2008, kohta 84). Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I). Tämän johdosta jo sormenjälkitietojen tallentaminen tällaiseen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. myös S. and Marper v. the United Kingdom, kohta 85). Myös EU:n tuomioistuin on katsonut, että sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C- 291/12, tuomion kohta 30). Valiokunnalla ei kuitenkaan ole huomauttamista nyt ehdotetun sääntelyn perusteista.
(8) Perustuslakivaliokunta on arvioinut aiemmin sormenjälkitietojen käsittelyedellytyksiä passilain ja ulkomaalaislain lakiehdotusten käsittelyn yhteydessä myös erityisesti käyttötarkoitussidonnaisuuden kannalta (PeVL 14/2009 vp, PeVL 47/2010 vp). Valiokunnan mielestä nyt ehdotettavat käsittelytarkoitukset ja niiden rajoitukset eivät ole valtiosääntöisesti ongelmallisia.
(9) Perustuslakivaliokunta ei ole valtiosääntöisen tehtävänsä puitteissa arvioinut lakiehdotusten suhdetta EU:n yleiseen tietosuoja-asetukseen seikkaperäisesti. Hallintovaliokunnan on siten tarkkaan huolehdittava siitä, että sääntely vastaa tietosuoja-asetuksessa edellytettyä. Erityistä syytä on kiinnittää huomiota rekisterinpitäjyyttä määrittävän sääntelyn kattavuuteen.
Käsittelyn välttämättömyys
(10) Perustuslakivaliokunta kiinnittää huomiota siihen, että voimassa olevan henkilötietojen käsittelystä poliisitoimessa annetun lain 38 §:n mukaan lupahallinto- ja valvontatehtävien suorittamiseksi käsiteltävät henkilötiedot poistetaan viimeistään kahdenkymmenen vuoden kuluttua päätöksestä tai sen raukeamisesta, päätöksessä mainitun voimassaoloajan päättymisestä tai henkilötiedon merkitsemisestä. Mainittuun pykälään ehdotetun 2 momentin 7 kohdan mukaan sormenjälkitiedot poistetaan henkilökorttirekisteristä viimeistään 30 vuorokauden kuluttua ilman matkustusoikeutta olevan henkilökortin myöntämisestä, jos henkilökortin hakijalle ei henkilökorttilain 17 §:ssä tarkoitetuista syistä myönnetä matkustusoikeudellista henkilökorttia. Hallituksen esityksessä todetaan, että muilta osin henkilökorttirekisteriin talletettujen sormenjälkien käsittelyyn sovelletaan voimassa olevaa poliisin henkilötietolain sääntelyä kahdenkymmenen vuoden säilytysajasta. Passirekisterin sormenjälkitietoja vastaava kahdenkymmenen vuoden enimmäissäilytysaika on hallituksen esityksessä (s. 15) arvioitu välttämättömäksi, jotta voidaan varmistaa henkilökortin ja passin hakijoiden luotettava tunnistaminen rekisterivertailujen avulla.
(11) Perustuslakivaliokunnan saaman selvityksen mukaan ID-asetuksen sääntely ei edellytä näin pitkää säilytysaikaa. Mainittu henkilötietojen käsittelystä poliisitoimessa annetun lain 38 §:ssä säädetty säilytysaika on sinänsä säädetty perustuslakivaliokunnan myötävaikutuksella (PeVL 51/2018 vp). Valiokunta on kuitenkin painottanut erityisesti arkaluonteisten tietojen säilytysajan rajaamista siihen, mikä on välttämätöntä sen tavoitteen saavuttamiseksi, jonka vuoksi tiedot on järjestelmään tallennettu (ks. esim. PeVL 31/2017 vp, s. 5, PeVL 13/2017 vp, s. 6). Valiokunta on pitänyt viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (PeVL 51/2018 vp, s. 16, PeVL 13/2017 vp, s. 6). Valiokunnan mukaan biometristen tunnisteiden rekisteröinti merkitsee lisäksi erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (PeVL 13/2017 vp, s. 6, PeVL 29/2016 vp, s. 5, ks. myös Schrems C-362/14, kohta 91, Digital Rights Ireland C-293/12 ja C-594/12, kohdat 54 ja 55). Hallintovaliokunnan on syytä tarkastella ehdotettua säilytysaikaa myös ID-asetuksen valossa ja tarvittaessa rajata säilytysaikaa.