Arvion lähtökohtia

(1) Hallituksen esityksessä ehdotetaan muutettaviksi henkilötietojen käsittelystä poliisitoimessa annettua lakia, henkilötietojen käsittelystä Rajavartiolaitoksessa annettua lakia sekä henkilötietojen käsittelystä Tullissa annettua lakia, joihin lisättäisiin Schengenin tietojärjestelmän käyttöä koskevien Euroopan parlamentin ja neuvoston asetusten täydentämiseksi poliisin, Rajavartiolaitoksen ja Tullin toimialoilla tarpeellinen kansallinen sääntely. Lisäksi ehdotetaan muutettaviksi eräitä muita kansainväliseen tiedonvaihtoon liittyviä säännöksiä, joissa säädetään tietojen saamisesta Euroopan unionin yhteisistä tietojärjestelmistä terrorismirikosten ja vakavien rikosten ennalta estämiseksi, paljastamiseksi ja selvittämiseksi sekä henkilötietojen luovuttamisesta Euroopan unionin yhteisiin tietojärjestelmiin. 

(2) Kansallisesti täydennettävät Schengenin tietojärjestelmän käyttöä koskevien Euroopan parlamentin ja neuvoston asetukset (jäljempänä myös SIS-asetukset) on valmisteltu kansallisesti EU-asiana perustuslakivaliokunnan myötävaikutuksella (PeVL 13/2017 vp). Myös ehdotetulla sääntelyllä muutettavat lait (PeVL 60/2018 vp, PeVL 58/2018 vp, PeVL 51/2018 vp) on säädetty perustuslakivaliokunnan myötävaikutuksella. Perustuslakivaliokunnan myötävaikutuksella on myös kansallisesti täydennetty ja täsmennetty yleistä tietosuoja-asetusta (PeVL 14/2018 vp) ja toimeenpantu rikosasioiden tietosuojadirektiivi (jäljempänä myös poliisidirektiivi, PeVL 26/2018 vp). 

(3) Täydennettävät SIS-asetukset ovat suoraan sovellettavaa oikeutta. Asetuksia täydentävän kansallisen sääntelyn tarve liittyy pääosin tarpeeseen nimetä tietyt asetuksissa tarkoitetut viranomaiset vastuunjaon selkeyttämiseksi sekä tarpeeseen säätää henkilötietojen luovuttamisesta tietosuojalainsäädännön ja julkisuuslain vaatimusten mukaisesti. 

(4) Arvioitavana oleva ehdotus merkitsee puuttumista yksityiselämän ja henkilötietojen suojaan. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä yleensä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Valiokunta on aiemmin arvioinut EU:n yleisen tietosuoja-asetuksen soveltamisen alkamisen merkitystä henkilötietojen suojalle. Valiokunnan mukaan tietosuoja-asetuksen yksityiskohtainen sääntely, jota tulkitaan ja sovelletaan EU:n perusoikeuskirjassa turvattujen oikeuksien mukaisesti, muodostaa yleensä riittävän säännöspohjan myös perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta (PeVL 14/2018 vp, s. 4).  

(5) Euroopan unionin perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa henkilötietojen suoja. EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä (ks. esim. PeVL 14/2018 vp, s. 3—4). Samoin Euroopan ihmisoikeussopimuksen yksityiselämän suojaa koskevan 8 artiklan on Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä katsottu kattavan myös henkilötietojen suojan. 

(6) Nyt täydennettävistä EU-asetuksista SIS-poliisiyhteistyöasetuksessa tarkoitetussa henkilötietojen käsittelyssä on kyse poliisidirektiivin ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetussa laissa (rikosasioiden tietosuojalaki) tarkoitetusta henkilötietojen käsittelystä. SIS-rajatarkastusasetuksessa ja SIS-palauttamisasetuksessa tarkoitettu henkilötietojen käsittely puolestaan kuuluu yleisen tietosuoja-asetuksen soveltamisalaan lukuun ottamatta SIS-rajatarkastusasetuksen 33 artiklassa tarkoitettuja lainvalvontatarkoituksessa suoritettavia tiedonhakuja. Viisumitietojärjestelmän ja Eurodac-järjestelmän tietoja käsitellään yleisen tietosuoja-asetuksen soveltamisalalla lukuun ottamatta lainvalvontatarkoituksessa tapahtuvia tiedonhakuja. 

(7) Toisin kuin suoraan sovellettava tietosuoja-asetus, nyt sovellettavan sääntelyn kannalta pääasiallisesti merkityksellinen poliisidirektiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta (PeVL 14/2018 vp, s. 7, ks. myös PeVL 26/2018 vp, s. 3).  

(8) Yksityiselämän ja henkilötietojen suojan kannalta keskeisimmäksi esityksessä muodostuu kysymys biometristen tunnisteiden rekisteröimisestä (ks. myös PeVL 33/2016 vp, s. 4, PeVL 29/2016 vp, s. 4—5). Esimerkiksi sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (ks. esimerkiksi Euroopan ihmisoikeustuomioistuimen tuomio S. and Marper v. the United Kingdom, 4.12.2008, kohta 84). Perustuslakivaliokunnan mukaan tällaiset biometriset tunnistetiedot ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin. Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I). Tämän johdosta jo sormenjälkitietojen tallentaminen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. myös S. and Marper v. the United Kingdom, kohta 85). Myös EU:n tuomioistuin on katsonut, että sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C-291/12, tuomion kohta 30). 

(9) Merkityksellistä on, että biometrisiä tunnisteita sisältäviin laajoihin tietokantoihin saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Perustuslakivaliokunta on katsonut, että tällaisten rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (PeVL 21/2012 vp, PeVL 47/2010 vp ja PeVL 14/2009 vp). Perustuslakivaliokunnan vakiintuneen käytännön mukaan kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata oikeus yksityiselämän suojaan tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa (ks. esim. PeVL 13/2016 vp, s. 3—4). 

(10) Perustuslakivaliokunnan mielestä biometristen tunnisteiden rekisteröinti merkitsee lisäksi erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (PeVL 29/2016 vp, s. 5, ks. myös Schrems C-362/14, kohta 91, Digital Rights Ireland C-293/12 ja C-594/12, kohdat 54 ja 55). Valiokunta kiinnitti tämän johdosta arvioidessaan nyt kansallisesti täydennettävää EU-sääntelyä erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain SIS-järjestelmän kannalta välttämättömään (PeVL 13/2017 vp, ks. myös PeVL 3/2017 vp, s. 5). Erityisesti lasten tietojen käsittelyn osalta valiokunta muistutti, että lapsilta otettujen biometristen tunnisteiden käsittelyn tulee olla välttämätöntä hyväksyttävän tarkoituksen kannalta (ks. myös PeVL 33/2016 vp, s. 5 ja PeVL 29/2016 vp, s. 6). 

(11) Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on sanotun johdosta tällaisissa perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös PeVL 14/2018 vp, s. 7). Valiokunnan mukaan on ollut selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely (PeVL 14/2018 vp, s. 5). 

(12) Perustuslakivaliokunta on kuitenkin kiinnittänyt huomiota myös henkilötietojen käsittelyä koskevan sääntelyn raskauteen ja monimutkaisuuteen (ks. esim. PeVL 31/2017 vp, s. 4 ja PeVL 71/2014 vp, s. 3). Valiokunta on muistuttanut tämän johdosta myös poliisidirektiivin toimeenpanon yhteydessä, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden, täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joiltain osin täyttää myös tietosuoja-asetuksen soveltamisalan ulkopuolella kansalliseen oikeuteen sisältyvällä yleislailla (PeVL 26/2018 vp, s. 4, ks. myös PeVL 14/2018 vp, s. 7, PeVL 31/2017 vp, s. 3—4, PeVL 5/2017 vp, s. 9, PeVL 38/2016 vp, s. 4). 

(13) Perustuslakivaliokunnan mielestä hallituksen esitys edustaa yleisesti ottaen hyvää lainvalmistelutyötä. Sovellettavan lainsäädännön kokonaisuutta ei kuitenkaan voi luonnehtia selkeäksi ja ymmärrettäväksi. Sovellettavien EU- ja kansallisten säädösten väliset suhteet muodostuvat osittain päällekkäisiksi ja osittain toisistaan erotettaviksi. Vaikka valiokunnan mielestä on selvää, että varsin merkittävä osa sääntelyn monimutkaisuudesta palautuu sovellettavan EU-oikeuden vaikeaselkoisuuteen ja myös sen tietosuojasääntelyn rajoitettuun ja eriytettyyn soveltamisalaan, on hallintovaliokunnan syytä selvittää keinoja selkeyttää sääntelyä. 

(14) Sääntely on merkityksellistä myös lapsen oikeuksien yleissopimuksen kannalta siltä osin kuin kysymys on lasten biometristen ja muiden henkilötietojen käsittelystä (ks. myös Lapsen oikeuksien komitean antama yleiskommentti lasten oikeuksista digitaalisessa ympäristössä; General Comment No 25 (2021) Children's rights in relation to the digital environment, CRC/CGC/25 ja kansainvälisen siirtolaisuuden yhteydessä Joint General Comment No. 4 of the CMW and No. 23 of the CRC in the context of International Migration: States parties' obligations in particular with respect to countries of transit and destination). 

Biometristen tietojen käsittely

(15) Perustuslakivaliokunta on korostanut arkaluonteisten tietojen käsittelyn välttämättömyyden vaatimuksen ohella erityisesti käyttötarkoitussidonnaisuuden vaatimusta. Valiokunta on pitänyt mahdollisena tehdä käyttötarkoitussidonnaisuudesta vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia. Tällainen sääntely ei myöskään saa johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. PeVL 15/2018 vp, s. 45, PeVL 1/2018 vp, s. 4, PeVL 14/2017 vp, s. 5—6). Valiokunta on ulkomaalaislain muuttamista koskevassa lausunnossa (PeVL 47/2010 vp, s. 4) pitänyt säätämisjärjestyskysymyksenä, että ulkomaalaislain 131 §:n perusteella kerättyjen sormenjälkien käyttäminen rajoitetaan vain niiden keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen. Tällainen tarkoitus voi valiokunnan mukaan sinänsä liittyä myös tarkasti määriteltyjen rikosten estämiseen ja selvittämiseen, mutta ainoastaan siinä laajuudessa kuin tällä toiminnalla on kiinteä yhteys alkuperäiseen keräämis- ja tallettamistarkoitukseen. 

(16) Perustuslakivaliokunta on myös hiljattain kiinnittänyt erityistä huomiota sormenjälkitietojen käyttötarkoituksen laajentamiseen arvioidessaan sääntelyä henkilötietojen käsittelystä poliisitoimessa annetussa laissa (PeVL 51/2018 vp, s. 14). Valiokunta katsoi, että käyttötarkoitussidonnaisuudesta voitiin tavallisen lain säätämisjärjestyksessä poiketa sääntelyä olennaisesti alkuperäiseen keräämis- ja tallettamistarkoitukseen rajaamatta vain, mikäli sormenjälkitietojen käyttö eräiden Eurodac-asetuksessa tarkoitettujen rikosten ennalta estämiseksi, paljastamiseksi tai selvittämiseksi oli EU:n Eurodac-asetuksessa edellytettyä. 

(17) Perustuslakivaliokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp). Valiokunnan mielestä nyt ehdotettava sääntely vastaa tältä osin valiokunnan käytäntöä biometristen tunnisteiden käsittelystä. Valiokunta kiinnittää kuitenkin erityistä huomiota siihen, että hallituksen esityksessä (s. 14) viitataan erityisesti EU-asetuksen ennakollista kuulutusta koskevaan sääntelyyn, jonka mukaan SIS-järjestelmään voidaan tallentaa kuulutus, jos on olemassa konkreettinen ja ilmeinen vaara siitä, että lapsi saatetaan viedä jäsenvaltiosta laittomasti. Ennakolliset kuulutukset koskevat paitsi vanhemman, perheenjäsenen tai huoltajan tekemiä lapsikaappaustilanteita myös tilanteita, joissa lapseen kohdistuu ihmiskaupan, pakkoavioliiton, sukuelinten silpomisen tai muuntyyppisen sukupuoleen perustuvan väkivallan uhka, vaara joutua terrorismirikosten uhriksi tai osalliseksi näihin rikoksiin, vaara tulla värvätyksi tai kutsutuksi aseelliseen ryhmään tai vaara tulla pakotetuksi osallistumaan aktiivisesti sotatoimiin.  

(18) Perustuslakivaliokunnan mielestä tällaiselle sääntelylle on osoitettavissa erittäin painavat, perusoikeusjärjestelmään välittömästi kytkeytyvät perusteet. Hallituksen esityksen säätämisjärjestysperusteluissa (s. 49) viitataan kuitenkin siihen, että käyttötarkoitussidonnaisuuden johdosta ulkomaalaislain nojalla kansalliseen rekisteriin tallennettujen biometristen tietojen ei arvioida olevan SIS-poliisiyhteistyöasetuksen 22 artiklassa tarkoitetulla tavalla saatavilla kadonneita tai haavoittuvassa asemassa olevia henkilöitä koskevien kuulutusten tekemiseksi. Valiokunnan käsityksen mukaan nyt ehdotettu sääntely rajaa biometristen tunnisteiden käyttöä sanotuissa tarkoituksissa siten, että sääntelyn tavoite vaarantuu. 

(19) Perustuslakivaliokunta on arvioinut aiemmin lasten sormenjälkitietojen käsittelyä Eurodac-asetuksen valmistelun yhteydessä (PeVL 33/2016 vp). Arvion kohteena oli tuolloin ehdotus sormenjälkien ottamisen ikärajan laskemisesta 14 vuodesta 6 vuoteen. Valiokunnan mukaan ikärajan laskemiselle oli esitetty perustuslain ja lasten oikeuksien sopimuksen kannalta hyväksyttävät perusteet siltä osin kuin perusteluna on edellytysten luominen perheestään eroon joutuneiden lasten tunnistamiselle. Valiokunnan mukaan oli kuitenkin mahdollista, että rekisteröinnin taustalla on myös muita julkilausumattomia tarkoituksia, minkä johdosta valiokunta korosti tarvetta varmistaa käyttötarkoitussidonnaisuuden periaatteen toteutuminen henkilötietojen käsittelyssä (PeVL 20/2016 vp, PeVL 13/2016 vp, PeVL 21/2012 vp, PeVL 47/2010 vp ja PeVL 25/2009 vp). Erityisesti lasten biometristen tietojen käsittelyn on oltava välttämätöntä hyväksyttävän tarkoituksen kannalta (ks. myös PeVL 29/2016 vp, s. 6). 

(20) Perustuslakivaliokunta kiinnittää sanotun lisäksi huomiota saamaansa selvitykseen, jonka mukaan nyt kansallisesti täydennettävät SIS-asetukset tai niiden tavoitteet saattavat edellyttää nyt ehdotettua laajempaa biometristen tunnisteiden käsittelyä paitsi edellä kosketellussa lasten oikeuksia turvaavassa sääntelyssä myös eräissä muissa tapauksissa, jotka liittyvät esimerkiksi lainvalvontaan liittyviin kuulutuksiin. Biometrisilla tiedoilla tarkoitetaan SIS-poliisiyhteistyöasetuksen 3 artiklan 12 kohdan määritelmän mukaan valokuvien, kasvokuvien ja sormenjälkitietojen lisäksi myös DNA-tunnisteita.  

(21) Perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei kuitenkaan kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim. PeVL 12/2019 vp, PeVL 31/2017 vp). Valiokunnan mukaan on kuitenkin ollut selvää, että Euroopan unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin lainsäädäntö on ensisijaista suhteessa kansallisiin säännöksiin oikeuskäytännössä määriteltyjen edellytysten mukaisesti (ks. esim. PeVL 14/2018 vp, s. 13 ja PeVL 20/2017 vp, s. 6), eikä suomalaisessa lainsäädännössä tule pyrkiä EU-oikeuden kanssa ristiriidassa oleviin ratkaisuihin (PeVL 15/2018 vp, s. 49, PeVL 14/2018 vp, s. 13, PeVL 26/2017 vp, s. 42). 

(22) Perustuslakivaliokunnan mielestä valtiosääntöistä estettä ei ole nyt ehdotettua sääntelyä laajemmalle biometristen tunnisteiden käytölle haavoittuvassa asemassa olemassa henkilöiden, kuten lapsien, oikeuksien turvaamiseksi edellä kuvatulla tavalla tai muussa nyt täydennettävien SIS-asetusten EU-oikeudellisen etusijan edellyttämässä tilanteessa tai tarkoituksessa. Hallintovaliokunnan on tarkkaan selvitettävä voimassa olevan EU-oikeuden sisältö ja varmistuttava, että sääntely on yhteensopivaa EU-oikeuden kanssa. Sääntelyä on syytä tarvittaessa täydentää.  

(23) Perustuslakivaliokunnan käsityksen mukaan lakiehdotuksen muuttaminen tällä tavoin koskisi kuitenkin lakiehdotuksen perusratkaisuja. Valiokunta on pitänyt välttämättömänä ja hyvään lainsäädäntötapaan kuuluvana, että etenkin silloin, kun laajakantoiseen hallituksen esitykseen esitetään tehtäviksi hyvin merkittäviä ja esityksen perusratkaisuihin olennaisesti vaikuttavia muutoksia, asian valmistelu osoitetaan valtioneuvoston tehtäväksi (PeVL 9/2020 vp, s. 3, PeVL 26/2017 vp, s. 76, ks. myös PeVL 75/2014 vp, s. 8/II).  

(24) Perustuslakivaliokunnan mielestä nyt arvioitavan lakiehdotuksen sääntely ei ole kuitenkaan mitaltaan erityisen laajaa (ks. myös PeVL 12/2021 vp, kappale 76). Sääntelyn merkittävyys perusoikeusnäkökulmasta kuitenkin puoltaisi valmistelun osoittamista valtioneuvostolle. Valiokunnan mielestä hallintovaliokunnan on pitäessään lakiehdotusten täydentämistä edellä kuvatulla tavalla perusteltuna tarkkaan harkittava, onko lakiehdotuksen muuttaminen mahdollista eduskunnassa. Perustuslakivaliokunta on perusoikeusherkissä sääntelykonteksteissa edellyttänyt perusratkaisuihin olennaisesti vaikuttavien ja merkittävien muutosten saattamista uudestaan perustuslakivaliokunnan arvioitaviksi (ks. esim. PeVL 4/2021 vp, kappale 41). Mikäli hallintovaliokunta laajentaa mahdollisuutta biometristen tunnisteiden käsittelyyn edellä mahdollistetulla tavalla yksityiselämän suojan ydinalueeseen kajoavalla sääntelyllä, jota ei ole vielä säännöskohtaisesti arvioitu perustuslain 74 §:n edellyttämällä tavalla, on hallintovaliokunnan mietintöluonnos saatettava perustuslakivaliokunnan käsiteltäväksi. Tämä on tällöin edellytyksenä hallituksen esityksen lakiehdotusten käsittelemiselle tavallisen lain säätämisjärjestyksessä. 

Kansallisten viranomaisten tiedonsaantioikeudet

(25) Voimassa olevassa laissa säädetään poliisin oikeudesta luovuttaa Schengenin tietojärjestelmän tietoja toimivaltaisille Schengen-viranomaisille. Sääntelyä ehdotetaan muutettavaksi siten, että toimivaltaisilla kansallisilla viranomaisilla olisi oikeus saada pääsy Schengenin tietojärjestelmään salassapitosäännösten estämättä. Perustuslakivaliokunnan käsityksen mukaan kansallisten viranomaisten tiedonsaantioikeus sinänsä seuraa osin suoraan SIS-asetuksista, joissa säädetään siitä, että kansallisilla toimivaltaisilla viranomaisilla on oltava pääsy SIS-järjestelmään tallennettuihin tietoihin tiettyihin asetuksessa määriteltyihin tarkoituksiin.  

(26) Nyt muutettavan sääntelyn perusteluiden mukaan toimivaltaisille viranomaisille annetaan SIS-asetusten mukaisesti pääsy tietoihin ainoastaan niiden toimivallan rajoissa ja ainoastaan asianmukaisesti valtuutetulle henkilöstölle. Asetuksesta seuraa näin ollen tiettyjä rajoituksia tiedonsaantioikeudelle. Perustuslakivaliokunta kiinnittää kuitenkin huomiota siihen, että lakiehdotuksissa säädetään toimivaltaisten viranomaisten pääsyoikeudesta tietojärjestelmän tietoihin sen sijaan, että säänneltäisiin kansallisesti siitä, että poliisi luovuttaa toimivaltaisille viranomaisille tietoja noudattaen, mitä SIS-asetuksissa säädetään. Perustuslakivaliokunnan mielestä valittu sääntelytapa ei ole vailla merkitystä yksityiselämän ja henkilötietojen suojan kannalta.  

(27) Perustuslakivaliokunta on arvioinut salassapitosäännökset syrjäyttävää tietojensaantioikeutta kiinnittäen huomiota siihen, että oikeudessa on viime kädessä kysymys siitä, että tietoihin oikeutettu viranomainen omine tarpeineen syrjäyttää ne perusteet ja intressit, joita tiedot omaavaan viranomaiseen kohdistuvan salassapidon avulla suojataan. Mitä yleisluonteisempi tietojensaantiin oikeuttava sääntely on, sitä suurempi on vaara, että tällaiset intressit voivat syrjäytyä hyvin automaattisesti. Mitä täydellisemmin tietojensaantioikeus kytketään säännöksissä asiallisiin edellytyksiin, sitä todennäköisemmin yksittäistä tietojensaantipyyntöä joudutaan käytännössä perustelemaan. Merkitystä on annettu myös sille, että myös tietojen luovuttajan on tällöin mahdollista arvioida pyyntöä luovuttamisen laillisten edellytysten kannalta (ks. esim. PeVL 48/2018 vp). Tietojen luovuttaja voi lisäksi kieltäytymällä tosiasiallisesti tietojen antamisesta saada aikaan tilanteen, jossa tietojen luovuttamisvelvollisuus eli säännösten tulkinta saattaa tulla ulkopuolisen viranomaisen tutkittavaksi. Tämä mahdollisuus on tärkeä tiedonsaannin ja salassapitointressin yhteensovittamiseksi (ks. esim. PeVL 17/2016 vp, s. 6 ja siinä viitatut lausunnot).  

(28) Hallintovaliokunnan on syytä tarkoin selvittää, edellyttääkö SIS-asetuksen sääntely tällaista muutosta. Perustuslakivaliokunnan mielestä voimassa oleva sääntely turvaa yksityiselämän ja henkilötietojen suojaa ehdotettua sääntelyä paremmin. 

Henkilötietojen luovuttaminen kolmansiin maihin

(29) Perustuslain 9 §:n 4 momentin mukaan ulkomaalaista ei saa karkottaa, luovuttaa tai palauttaa, jos häntä tämän vuoksi uhkaa kuolemanrangaistus, kidutus tai muu ihmisarvoa loukkaava kohtelu. Tästä perusoikeussäännöksestä seuraa valiokunnan käsityksen mukaan sellainen tulkintavaikutus, että tietojen luovuttaminen ei ole sallittua, jos niiden käyttäminen voi johtaa esimerkiksi kuolemanrangaistukseen tuomitsemiseen tai jo tuomitun rangaistuksen täytäntöönpanoon (PeVL 51/2002 vp, s. 3).  

(30) Perustuslakivaliokunta on ns. tiedustelulakien säätämisen yhteydessä pitänyt säätämisjärjestyskysymyksenä sääntelyn täydentämistä siten, ettei tietoja saa luovuttaa sellaisille valtioille, joiden voidaan katsoa syyllistyvän järjestelmällisiin ihmisoikeusloukkauksiin tai joissa tiedonhankintakeinot eivät noudata kansainvälisissä ihmisoikeussopimuksissa vahvistettuja standardeja. Rajaus voitiin valiokunnan mukaan toteuttaa esimerkiksi säännökseen otettavalla viittauksella siihen, että tietojen luovuttamisessa ja vastaanottamisessa on noudatettava Suomea velvoittavia kansainvälisiä sopimuksia, ja kieltämällä nimenomaisesti kansainvälinen yhteistyö ja tietojen vaihto, jos on perusteltua aihetta epäillä, että jotakin henkilöä tämän yhteistyön tai tietojen luovuttamisen vuoksi uhkaa kuolemanrangaistus, kidutus, muu ihmisarvoa loukkaava kohtelu, vaino, mielivaltainen vapaudenriisto tai epäoikeudenmukainen oikeudenkäynti (PeVL 35/2018 vp, s. 25—26, PeVL 36/2018 vp, s. 28, ks. myös PeVL 5/2007 vp, s. 10/II, PeVL 51/2002 vp, s. 3/II).  

(31) Nyt kansallisesti täydennettävä SIS-palauttamisasetus mahdollistaa sinänsä sen, että kuulutuksen tehnyt valtio kieltäytyy luovuttamasta tietoja. Luovuttamisesta on kieltäydyttävä, jos tietojen luovuttaminen voisi johtaa palautuskiellon rikkomiseen. Perustuslakivaliokunta painottaa tarvetta soveltaa SIS-palauttamisasetuksen 15 artiklaa siten, että henkilötietojen siirtämisessä kolmansiin maihin henkilön palauttamista varten otetaan systemaattisesti huomioon Suomea velvoittavien kansainvälisten ihmisoikeussopimusten määräykset siten, ettei tietoja luovuteta sellaisille valtioille, joiden voidaan katsoa syyllistyvän järjestelmällisiin ihmisoikeusloukkauksiin tai joissa tiedonhankintakeinot eivät noudata kansainvälisissä ihmisoikeussopimuksissa vahvistettuja standardeja. Henkilötietoja ei saa siirtää kolmansiin maihin henkilön palauttamista varten, jos on perusteltua aihetta epäillä, että jotakin henkilöä tämän yhteistyön tai tietojen luovuttamisen vuoksi uhkaa kuolemanrangaistus, kidutus, muu ihmisarvoa loukkaava kohtelu, vaino, mielivaltainen vapaudenriisto tai epäoikeudenmukainen oikeudenkäynti. 

(32) Perustuslakivaliokunta kiinnitti arvioidessaan nyt kansallisesti täydennettävää asetusta erityistä huomiota muun ohella siihen, että SIS-palautusasetuksen nojalla tallennettuja tietoja voidaan tietyin edellytyksin antaa kolmannelle valtiolle, kun on kyse laittomasti maassa olevan kolmannen maan kansalaisen, jota ollaan palauttamassa, tunnistamisesta henkilöllisyys- tai matkustusasiakirjan myöntämistä varten (PeVL 13/2017 vp). Valiokunta totesi, että se on vakiintuneessa käytännössään suhtautunut torjuvasti tällaisten tietojen luovuttamiseen kolmansille maille (ks. myös esim. PeVL 28/2016 vp, s. 7 ja siinä viitatut lausunnot). Valiokunnan mielestä asetusehdotuksessa esitettävälle verraten rajatulle mahdollisuudelle luovutukselle kolmansiin maihin oli kuitenkin esitetty hyväksyttävät perusteet. Valiokunta kiinnitti tästä huolimatta huomiota siihen, että tietojen luovutuksen edellytyksiä koskeva asetuksen sääntely sisältää lähinnä viittauksen EU:n yleisen tietosuoja-asetuksen 5 lukuun, joka koskee yleisesti henkilötietojen siirtoa EU:n ulkopuolisiin maihin. Ottaen huomioon SIS-järjestelmään rekisteröitävien tietojen sisältö valiokunta kehotti valtioneuvostoa varmistumaan jatkovalmistelussa siitä, että tietosuoja-asetuksen yleinen sääntely turvaa tietosuojan tason riittävästi myös nyt arvioitavien tietojen ja niiden luovutuksen osalta.  

(33) SIS-rajatarkastusasetuksen 50 artikla käsittelee henkilötietojen siirtämistä kolmansille osapuolille. Sen mukaan asetuksen mukaisesti vaihdettuja SIS-järjestelmän tietoja tai niihin liittyviä lisätietoja ei saa siirtää kolmansille maille tai kansainvälisille järjestöille eikä antaa niiden saataville. SIS-palauttamisasetuksen 15 artikla muodostaa kuitenkin poikkeuksen tästä pääsäännöstä ja mahdollistaa henkilötietojen siirtämisen kolmansiin maihin henkilön palauttamista varten. Tietoja voidaan siirtää kolmanteen maahan tai asettaa kolmannen maan saataville kuulutuksen tehneen jäsenvaltion suostumuksella. 

(34) Perustuslakivaliokunnan käsityksen mukaan tietojen luovutuksessa kolmansiin maihin ei kuitenkaan sovelleta EU:n tietosuoja-asetuksen mukaista pääsääntöä, jonka mukaan henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa vain, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kyseinen kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Myöskään tietosuoja-asetuksen 46 artiklan mukaisia asianmukaisia suojatoimia henkilötietojen siirtämiseksi kolmansiin maihin sisältäviä takaisinottosopimuksia ei ole voimassa suurimman osan kolmansista maista kanssa. Valiokunnan käsityksen mukaan sääntely johtaa tilanteeseen, jossa henkilötietojen luovuttaminen on mahdollista myös sellaisiin kolmansiin maihin, joiden tietosuojan tasosta ei ole varmuutta. Hallintovaliokunnan on syytä tarkastella sääntelyn kokonaisuutta. 

Julkisuus ja salassapito

(35) Hallituksen esityksen perusteluissa (s. 43) viitataan siihen, että SIS-asetusten mukaan kunkin jäsenvaltion on sovellettava omia vaitiolovelvollisuutta koskevia sääntöjään tai muuta vastaavaa salassapitovelvollisuutta kaikkiin SIS-tietoja ja lisätietoja käsitteleviin henkilöihin ja elimiin kansallisen lainsäädäntönsä mukaisesti. Suomessa sovellettaviksi tulevat tältä osin tietosuojalainsäädännön ja julkisuuslain lisäksi viranomaiskohtaisten erityislakien vaitiolovelvollisuutta ja salassapitoa koskevat säännökset, joihin ei perusteluissa arvioida tarvittavan muutoksia. 

(36) Perustuslain 12 §:n 2 momentin mukaan viranomaisen hallussa olevat asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Jokaisella on oikeus saada tieto julkisesta asiakirjasta ja tallenteesta.  

(37) Perustuslakivaliokunta kiinnittää huomiota siihen, että biometrisiä tietoja ei ole säädetty kattavasti ja nimenomaisesti salassa pidettäviksi. Valiokunnan mielestä arkaluonteisiin tietoihin lukeutuviin biometristen tietojen antamiseen kohdistuvalle rajoitukselle voitaisiin sinänsä katsoa tässä yhteydessä olevan perustuslain 12 §:n 2 momentissa tarkoitettuja välttämättömiä syitä. Hallintovaliokunnan on syytä tarkastella, onko sääntelyä syytä täydentää.  

(38) Perustuslakivaliokunta muistuttaa, että eduskunta on julkisuuslainsäädännön kokonaisuudistuksen yhteydessä korostanut pidättyvää suhtautumista viranomaisten tietojen salassapitoa koskevien säännösten sijoittamiseen erityislainsäädäntöön (EV 303/1998 vp, HaVM 31/1998 vp, s. 7/II, ks. myös PeVL 62/2018 vp, s. 9, PeVL 2/2008 vp, s. 2).  

Muita seikkoja

(39) Perustuslakivaliokunta kiinnittää huomiota lakiehdotuksessa tietosuojavaltuutetulle osoitettaviin tehtäviin. Valiokunta on kiinnittänyt jo aiemmin valtioneuvoston huomiota perusoikeuskirjan 8 artiklan 3 kohdassa tarkoitetun riippumattoman viranomaisen keskeiseen merkitykseen tietosuojaperusoikeuden toteutumisen kannalta ja pitää edelleen tärkeänä, että valvontaviranomaiselle osoitetaan riittävät resurssit tehtävien asianmukaiseen hoitamiseen (ks. myös PeVL 4/2021 vp, kappale 52, PeVL 11/2018 vp, s. 6, PeVL 3/2017 vp, s. 7).