Arvion lähtökohdat
Arvioitavan hallituksen esityksen tavoitteena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi EU:n yleisen tietosuoja-asetuksen kanssa. Tietosuoja-asetus on kansallisesti suoraan sovellettavaa lainsäädäntöä. Asetus jättää kuitenkin jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallisella lainsäädännöllä on asetuksessa säädetyin edellytyksin mahdollista tarkentaa ja täsmentää asetuksen säännöksiä. Lisäksi tietyissä tilanteissa asetus antaa mahdollisuuden säätää kansallisella lainsäädännöllä poikkeuksia asetuksessa säädetyistä oikeuksista ja velvollisuuksista. Asetus sisältää säännökset siitä, mistä oikeuksista ja velvollisuuksista on mahdollista poiketa ja mitkä ovat edellytykset poikkeukselle.
Perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei lähtökohtaisesti kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim. PeVL 31/2017 vp, s. 4). Valiokunta korostaa kuitenkin edelleen, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. esim. PeVL 1/2018 vp, PeVL 25/2005 vp).
Ehdotus on merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunta on hiljattain tarkistanut kantaansa henkilötietojen käsittelyä koskevan sääntelyn lakitasoisuuden, kattavuuden ja yksityiskohtaisuuden vaatimuksista. Valiokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee jatkossa turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks. PeVL 42/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/II), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks. PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3).
Useiden sosiaalivakuutusetuuksien myöntämisedellytykset liittyvät hakijan terveydentilaan ja toimintakykyyn. Esimerkiksi näissä tilanteissa on hallituksen esityksen mukaan (s. 7) välttämätöntä käsitellä terveyttä koskevia arkaluonteisia tietoja, jotka kuuluvat tietosuoja-asetuksessa tarkoitettuihin erityisiin henkilötietoryhmiin.
Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks. PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen mukaan asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 3/2017 vp, s. 5).
Perustuslakivaliokunnan tuoreen käytännön mukaan arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on, tietosuoja-asetuksen mahdollistamissa puitteissa, edelleen syytä arvioida sääntelyn laintasoisuuden näkökulmasta. Yleistä tietosuoja-asetusta yksityiskohtaisemman sääntelyn tarve tulee kuitenkin perustella myös tietosuoja-asetuksen puitteissa tapauskohtaisesti. Tällöin on syytä kiinnittää huomiota myös asetuksessa omaksuttuun riskiperusteiseen lähestymistapaan. Valiokunta painottaa, että myös arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön (PeVL 14/2018 vp, s. 6).
Perustuslakivaliokunnan mukaan henkilötietojen suojan valtiosääntöisessä arviossa painopiste on siten henkilötietojen suojan ja käsittelyä määrittävien säännösten sisällöllisessä arvioinnissa. Kansallisen liikkumavaran käyttöön kohdistuvassa valtiosääntöisessä arvioinnissa ovat merkityksellisiä esimerkiksi paitsi yksityiselämän ja henkilötietojen suojan asettamat sisällölliset vaatimukset myös muiden informaatioon liittyvien perusoikeuksien suojan suhde yksityiselämän ja henkilötietojen suojaan. Valtiosääntöisiä kysymyksiä liittyy myös esimerkiksi kansallista sääntelyä edellyttäviin oikeusturvan ja hyvän hallinnon takeisiin (PeVL 14/2018 vp, s. 7, ks. myös PeVL 26/2018 vp, s. 4).
Väärinkäytösrekisteri
Hallituksen esityksen 18. lakiehdotuksen 81 §:ssä ja 39. lakiehdotuksen 30 luvun 3 a §:ssä säädetään vakuutusyhtiön ja ulkomaalaisen vakuutusyhtiön oikeudesta käsitellä tietoja rikoksista ja rikosepäilyistä, sekä 45. lakiehdotuksen 15 luvun 18 a §:ssä luottolaitoksen ja rahoituslaitoksen oikeudesta käsitellä tietoja väärinkäytöksiin liittyvistä henkilötiedoista. Sääntely mahdollistaa ns. väärinkäytösrekisterin ylläpitämisen siinä laajuudessa kuin se on välttämätöntä toimintaan (välittömästi) kohdistuvien rikosten tai rikkomusten estämiseksi ja selvittämiseksi.
Lakiehdotusten tarkoituksena on, että vakuutusalan toimijat voisivat jatkaa väärinkäytösrekisterin käyttöä myös tietosuoja-asetuksen tullessa voimaan. Ehdotus vastaisi pääosin tietosuojalautakunnan myöntämän luvan sisältöä ja ehtoja. Hallituksen esityksen mukaan myös luottolaitosten nykyisin ylläpitämät väärinkäytösrekisterit, joita nykyisin kutsutaan niin sanotuiksi asiakashäiriörekistereiksi, perustuvat tietosuojalautakunnan päätöksiin. Rekisteriin sisältyisi tietoja rekisteröidyn epäillyistä rikoksista, rikostuomioista tai rikkomuksista. Perustuslakivaliokunta pitää sääntelyn tarkoitusta hyväksyttävänä.
Perustuslakivaliokunta kiinnittää kuitenkin huomiota siihen, että yleisen tietosuoja-asetuksen 10 artiklassa säädetään rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä. Artiklan mukaan rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely asetuksen käsittelyn lainmukaisuutta määrittävän 6 artiklan 1 kohdan perusteella suoritetaan vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Lisäksi artiklassa edellytetään, että kattavaa rikosrekisteriä pidetään vain julkisen viranomaisen valvonnassa.
Lakiehdotusten mukaan vakuutusyhtiöt voisivat käsitellä tietoja myös epäillyistä rikoksista. Hallituksen esityksessä viitataan siihen, että henkilötietojen käsittelemisen oikeusperusta seuraa EU:n yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan d alakohdasta, mutta koska väärinkäytösrekisterien yhteydessä on voitava käsitellä asetuksen 10 artiklassa tarkoitettuja rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja, on tästä tarpeen säätää erikseen kansallisesti (s. 12). Sosiaali- ja terveysvaliokunnan on tarkkaan selvitettävä lakiehdotusten yhteensopivuus yleisen tietosuoja-asetuksen kanssa.
Tiedonsaantioikeudet
Hallituksen esityksen 31. lakiehdotuksen 19 luvun 1 §:n säännöksestä ehdotetaan poistettavaksi säännös, jonka mukaan laissa säädetyn tiedonsaantioikeuden käyttämisen edellytyksenä on se, että etuuden hakija ei itse toimita edellä mainittuja tietoja. Perustuslakivaliokunta on katsonut, että sääntelyssä tarkoitetuissa terveystiedoissa pitäisi lähtökohtana olla, että asianomainen itse toimittaa ne tai niiden luovuttaminen riippuu hänen suostumuksestaan (PeVL 14/2002 vp, s. 4). Ehdotettua muutosta perustellaan (s. 26) vain viittaamalla kansaneläkelain 86 § muutosehdotukseen, jossa puolestaan muutosta perustellaan sillä, että rajauksella ei käytännössä ole eläkkeenhakijan kannalta merkitystä, koska säännös antaa Kansaneläkelaitokselle ja muutoksenhakuelimelle oikeuden saada tietoja, vaikka eläkkeenhakija ei niitä itse toimittaisi. Eläkkeenhakija ei voi säännöksen nojalla kieltää tietojen luovuttamista. Virkkeen poistamisesta huolimatta pääperiaatteena työkyvyttömyyseläkeasioiden ratkaisemisessa olisi edelleen se, että hakija toimittaa tarvittavat tiedot itse. Vastaava muutos sisältyy eräisiin muihinkin lakiehdotuksiin.
Hallituksen esityksessä ei perustella, miksi perustuslakivaliokunnan aikanaan nimenomaisesti vaatima lisäys sairausvakuutuslain 19 luvun 1 §:ään olisi nyt korvattavissa vain kansaneläkelain 86 §:n yksityiskohtaisiin perusteluihin liitettävällä lausumalla, jonka mukaan pääperiaatteena olisi edelleen se, että hakija toimittaa tarvittavat tiedot itse. Sosiaali- ja terveysvaliokunnan on syytä pysyttää sääntelyssä lähtökohta, jonka mukaan asianomainen toimittaa ne itse. Valiokunnan on myös syytä tarkastella, onko 86 §:n perusteluissa suostumuksen ongelmallisuudesta yleisen tietosuoja-asetuksen valossa esitetty perustelu asianmukainen, ja tarvittaessa pysytettävä hallituksen esityksessä ehdotetut lakiehdotukset myös suostumuksen ensisijaisuuden varaan rakentuvina.
Automatisoitu päätöksenteko
Sosiaaliturva- ja vakuutuslainsäädäntöön ehdotetaan lisättäväksi myös säännökset automaattisten päätösten antamisesta. Automaattiset päätökset olisivat sallittuja lakisääteisen sosiaaliturvan toimeenpanossa, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Yksityisvakuutusta koskeva automaattinen päätöksenteko olisi sallittua, mutta rekisteröidyllä olisi oikeus vaatia, että luonnollinen henkilö käsittelee asian uudelleen. Automaattista päätöksentekoa koskevat säännökset ovat merkityksellisiä automatisoituja yksittäispäätöksiä koskevan yleisen tietosuoja-asetuksen 22 artiklan kannalta. Sosiaali- ja terveysvaliokunnan on varmistuttava, että säännökset eivät ole ristiriidassa asetuksessa säädetyn kanssa.
Perustuslakivaliokunta kiinnittää huomiota siihen, että lakisääteisen sosiaaliturvan osalta mahdollisuutta automaattisiin päätöksiin on rajattu asian laadun ja laajuuden sekä hyvän hallinnon vaatimusten huomioon ottamisen perusteella. Automaattinen päätöksenteko olisi siten perusteluissa (s. 17) kuvatun mukaisesti mahdollista vain asioissa, joissa oikeudelliset edellytykset ovat riittävän yksiselitteisiä eikä asian ratkaiseminen edellytä tapauskohtaista harkintaa.
Perustuslakivaliokunta on hiljattain arvioinut säännösehdotuksia automatisoiduista yksittäispäätöksistä (PeVL 70/2018 vp, s. 3—5, PeVL 62/2018 vp, s. 6—9) ja katsonut, että automaattisen päätöksenteon sääntely on henkilötietojen suojaan liittyvien kysymysten ohella merkityksellistä erityisesti perustuslain 21 §:ssä turvattujen hyvän hallinnon periaatteiden ja 118 §:ssä säädetyn virkavastuun kannalta. Valiokunnalla ei ole sinänsä huomauttamista hallituksen esityksessä kuvattuihin (s. 17) päätöksenteon automatisoinnin päämääriin. Valiokunta kiinnittää huomiota siihen, että päätöksenteon perustuminen automaattiseen käsittelyyn on ehdotettujen säännösten mukaan mahdollista vain, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä tämän lain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Laissa ei kuitenkaan säädettäisi yksityiskohtaisesti siitä, missä tilanteissa tai mihin asiaryhmiin liittyviä päätöksiä olisi mahdollista käsitellä täysin automaattisesti. Perustuslakivaliokunnan mielestä sääntelyä on välttämätöntä täsmentää. Automaattista päätöksentekoa koskevassa sääntelyssä on säänneltävä ehdotettua täsmällisemmin, millaisin perustein asioita voidaan valikoida automaattisen päätöksenteon piiriin.
Perustuslakivaliokunta painottaa myös sitä, että ehdotetulla säännöksellä ei ole tarkoitettu poikettavan hallintolain säännöksistä esimerkiksi asianosaisen kuulemisen osalta. Perustuslain 21 §:n 2 momentissa turvattuun hyvään hallintoon kuuluu esimerkiksi oikeus tulla kuulluksi. Sosiaali- ja terveysvaliokunnan on tarkasteltava hallintolain suhdetta lakiehdotukseen ja täsmennettävä sääntelyä myös tästä näkökulmasta. Perustuslakivaliokunta on kiinnittänyt perustuslain 21 §:n ja julkisen vallan käytön lakiperustaisuuden näkökulmasta huomiota siihen, ettei automaattisessa päätöksenteossa massaluonteisessakaan toiminnassa saa vaarantaa hyvän hallinnon vaatimuksia tai asianosaisen oikeusturvaa (PeVL 49/2017 vp, s. 5, PeVL 35/2005 vp, s. 2/I). Sosiaali- ja terveysvaliokunnan on siten kiinnitettävä erityistä huomiota myös oikeusturvan merkitykseen asiassa. Automatisoituja yksittäispäätöksiä koskevan sääntelyn täsmentäminen valiokunnan ponnessa luetteloiduissa lakiehdotuksissa on edellytyksenä sille, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä.
Perustuslakivaliokunta on arvioidessaan automaattista päätöksentekoa kiinnittänyt huomiota myös hallinnon lainalaisuuteen ja virkavastuuseen (PeVL 62/2018 vp, s. 8—9). Hallituksen esityksessä viitataan siihen, että julkista hallintotehtävää hoidettaessa on otettava huomioon myös virkavastuusäännökset, eikä päätösten automatisointi saa muuttaa päätöksenteosta vastuullista tahoa (s. 17). Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin, ja kaikessa julkisessa toiminnassa on noudatettava tarkoin lakia. Perustuslain 118 §:ssä säädetään vastuusta virkatoimista. Pykälän 1 momentin mukaan virkamies vastaa virkatoimiensa lainmukaisuudesta. Hän on myös vastuussa sellaisesta monijäsenisen toimielimen päätöksestä, jota hän on toimielimen jäsenenä kannattanut. Pykälän 2 momentin mukaan esittelijä on vastuussa siitä, mitä hänen esittelystään on päätetty, jollei hän ole jättänyt päätökseen eriävää mielipidettään. Pykälän 3 momentin ensimmäisen virkkeen mukaan jokaisella, joka on kärsinyt oikeudenloukkauksen tai vahinkoa virkamiehen tai muun julkista tehtävää hoitavan henkilön lainvastaisen toimenpiteen tai laiminlyönnin vuoksi, on oikeus vaatia tämän tuomitsemista rangaistukseen sekä vahingonkorvausta julkisyhteisöltä taikka virkamieheltä tai muulta julkista tehtävää hoitavalta sen mukaan kuin lailla säädetään.
Perustuslakivaliokunnan mukaan perustuslain säännökset hallinnon lainalaisuusperiaatteesta sekä valtion ja virkamiehen vastuusta ilmentävät virkamieshallinnon periaatetta (PeVL 19/1985 vp, s. 3/II). Valiokunnan käytännössä on lisäksi vakiintuneesti katsottu esimerkiksi, että annettaessa julkinen hallintotehtävä muun kuin viranomaisen tehtäväksi oikeusturvan ja hyvän hallinnon vaatimusten toteutumisen varmistaminen edellyttää muun muassa, että asian käsittelyssä noudatetaan hallinnon yleislakeja ja että asioita käsittelevät toimivat virkavastuulla (PeVL 26/2017 vp, s. 49, PeVL 33/2004 vp, s. 7/II, PeVL 46/2002 vp, s. 10). Sosiaali- ja terveysvaliokunnan on täsmennettävä sääntelyä.
Perustuslakivaliokunta on arvioidessaan ns. perustulokokeilua kiinnittänyt lailla säätämisen vaatimuksen johdosta huomiota tuolloin ehdotettuun otantamenettelyyn ja sen läpinäkyvyyteen. Valiokunnan mielestä laissa oli syytä säätää otantamenettelyyn liittyvän ohjelmistokoodin julkaisemisesta ja julkisuudesta (PeVL 51/2016 vp, s. 5). Lentoliikenteen matkustajarekisteritietojen käyttöä sääntelevän lakiehdotuksen arvioinnin yhteydessä valiokunta katsoi, että mietintövaliokunnan oli perustuslain 12 §:n 2 momentista ja 21 §:stä johtuvista syistä tarkasteltava huolellisesti ehdotettujen kriteerien ja niitä mahdollisesti soveltavien automatisoitujen menettelyjen algoritmien suhdetta viranomaisten toiminnan julkisuudesta annettuun lakiin ja tarvittaessa selkeytettävä sääntelyä (PeVL 29/2018 vp, s. 5). Sosiaali- ja terveysvaliokunnan on myös nyt kiinnitettävä huomiota mainittuihin seikkoihin.