Utgångspunkter för bedömningen
(1) Regeringen föreslår ändringar i lagen om förhindrande av penningtvätt och av finansiering av terrorism, lagen om centralen för utredning av penningtvätt, lagen om offentlighet och sekretess i fråga om beskattningsuppgifter, lagen om Finansinspektionen, lagen om Enheten för utredning av grå ekonomi, lagen om olycksfall i arbetet och om yrkessjukdomar, lagen om pension för arbetstagare samt lagen om finansiering av arbetslöshetsförmåner.
(2) Syftet med propositionen är att effektivisera informationsutbytet i Finland när det gäller att förhindra penningtvätt och finansiering av terrorism. Ett annat syfte är att säkerställa att skyddspolisen får tillräckligt med information för skyddande av den nationella säkerheten mot verksamhet som utgör ett hot mot den.
(3) De föreslagna bestämmelserna är relevanta framför allt med avseende på skyddet för privatlivet och för personuppgifter enligt 10 § i grundlagen.
Registret för förhindrande, avslöjande och utredning av penningtvätt och av finansiering av terrorism
(4) Det föreslås att 3 § 3 mom. 17 punkten i lagen om centralen för utredning av penningtvätt kompletteras så att det i penningtvättsregistret utöver ett fotografi också får registreras en ansiktsbild för identifiering av en person och att fotografiet eller ansiktsbilden får behandlas med hjälp av särskilda tekniska identifieringsmetoder, om detta är nödvändigt med tanke på behandlingen av ärendet. I 3 mom. föreslås en ny 18 punkt enligt vilken en persons politiska åsikter eller religiösa övertygelse får registreras i penningtvättsregistret, om registreringen är nödvändig med tanke på behandlingen av ärendet. Dessutom föreslås i 3 mom. en ny 19 punkt enligt vilken en persons etniska ursprung får registreras i penningtvättsregistret om registreringen är nödvändig med tanke på behandlingen av ärendet.
(5) Ansiktsbilder som lagrats i penningtvättsregistret hör till de särskilda kategorier av personuppgifter där det för behandlingen gäller högre krav på dataskydd än för andra personuppgifter utifrån vilka en fysisk person kan identifieras eller identifieringen av personen i fråga kan säkerställas. Också uppgifterna om politisk åsikt, religiös övertygelse och etniskt ursprung enligt den föreslagna 18 och 19 punkten hör till de särskilda kategorierna av personuppgifter. För att särskilt skydda dem är det viktigt att behandlingen är betydligt mer begränsad än behandlingen av andra personuppgifter. Sådana uppgifter är känsliga i konstitutionellt hänseende.
(6) Grundlagsutskottet har lyft fram de hot som behandlingen av känsliga uppgifter orsakar. Utskottet anser att omfattande databaser med känsliga uppgifter är förknippade med allvarliga risker som gäller informationssäkerhet och missbruk av uppgifter. I sista hand kan det vara en persons identitet som är hotad. (GrUU 13/2016 rd och GrUU 14/2009 rd, s. 3/I). Även i skäl 51 i EU:s allmänna dataskyddsförordning och i skäl 37 i dataskyddsdirektivet för brottsbekämpning framhålls det att särskilda personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Utskottet har därför särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt. Bestämmelser om behandling av känsliga uppgifter måste vara detaljerade och omfattande, inom de ramar som EU:s dataskyddslagstiftning tillåter (se t.ex. GrUU 65/2018 rd, s. 45, och GrUU 15/2018 rd, s. 40).
(7) Grundlagsutskottet har i ljuset av inkommen utredning ingenting att anmärka mot den föreslagna regleringen om behandling av känsliga uppgifter. Utskottet påpekar dock att, såsom det framgår av utredningen till utskottet, ordalydelsen i den föreslagna regleringen inte anger att behandlingen av de uppgifter som avses i 18 och 19 punkten gäller enskilda fall. Förvaltningsutskottet bör ännu överväga en precisering av bestämmelserna. Grundlagsutskottet påpekar dessutom med tanke på god lagberedning att motiveringen till att den föreslagna regleringen, och i synnerhet till att behandlingen av uppgifterna är nödvändig, i propositionen är beklagligt allmän hållen med hänsyn till regleringens betydelse.
Bestämmelser om utlämnande av uppgifter
(8) Propositionen innehåller ett flertal från varandra avvikande bestämmelser om rätten att få information, att lämna ut information och att lämna ut information på eget initiativ.
(9) Grundlagsutskottet har bedömt bestämmelserna om myndigheternas rätt att få och skyldighet att lämna ut information trots sekretess med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få information gäller och hur rätten är kopplad till nödvändighetskriteriet (GrUU 15/2018 rd). Myndigheternas rätt att få och möjlighet att lämna ut information kan gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om datainnehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 17/2016 rd, s. 2—3).
(10) Grundlagsutskottet noterar att de bestämmelser om utlämnande av uppgifter som föreslås i 18 och 19 § i lagförslag 3 (lagen om offentlighet och sekretess i fråga om beskattningsuppgifter), 71 § i lagförslag 4 (lagen om Finansinspektionen) och 22 b § i lagförslag 8 (lagen om finansiering av arbetslöshetsförmåner) inte är bundna till behövlighets- eller nödvändighetskriteriet på det sätt som grundlagsutskottets ovan beskrivna etablerade tolkningspraxis förutsätter. I motiveringen till dessa bestämmelser hänvisas det dock i varierande grad till behövligheten eller nödvändigheten av att lämna ut eller få uppgifter för ett visst syfte, även om detta inte direkt framgår av de föreslagna bestämmelserna. Enligt propositionsmotiven (s. 78) är vissa av de föreslagna bestämmelserna knutna till nödvändighetskriteriet, vissa till kriterier som omfattas av logiken i lagen om offentlighet och sekretess i fråga om beskattningsuppgifter och vissa är inte knutna till några kriterier alls.
(11) Grundlagsutskottet anser att de grunder för avvikelsen från utskottets etablerade tolkningspraxis som anges i propositionen, och som främst anknyter till regleringssätten i gällande lagstiftning, inte övertygar i den konstitutionella bedömningen. Enligt utskottet är det också problematiskt att en del av de föreslagna formuleringarna i sig förefaller att stå i strid med de kriterier som enligt propositionsmotiven ska tillämpas på dem. Utskottet riktar statsrådets uppmärksamhet mot de anvisningar om utarbetande av regeringspropositioner som utarbetats av statsrådet. Enligt anvisningarna ska lagförslag beredas så att de överensstämmer med grundlagen och i förslagen ska det också anges på vilka grunder bestämmelserna anses vara förenliga med grundlagen.
(12) Bestämmelserna i 18 och 19 § i lagförslag 3, 71 § i lagförslag 4 och 22 b § i lagförslag 8 måste ändras så att myndigheternas rätt att få uppgifter och möjligheter att lämna ut uppgifter kopplas antingen till "behövliga uppgifter" för ett visst syfte, om avsikten är att på ett uttömmande sätt i lagen räkna upp de uppgifter som avses eller, om datainnehållet inte anges i form av en förteckning, till ett krav på att ”uppgifterna är nödvändiga" för ett visst syfte. Utan dessa ändringar kan lagförslag 3, 4 och 8 enligt grundlagsutskottet inte behandlas i vanlig lagstiftningsordning.
Lagringstider
(13) Det föreslås att bestämmelsen i 3 § 7 mom. i lagförslag 2 ändras så att uppgifter registrerade i penningtvättsregistret stryks ur registret senast vid utgången av det kalenderår då tio år har förflutit från det att anteckningen gjordes, dock så att om de mottagna uppgifterna tagits med i en samlad utredning stryks uppgifterna senast vid utgången av det kalenderår då tio år har förflutit från det att den samlade utredningen inleddes.
(14) Enligt grundlagsutskottet är varaktig lagring av uppgifter inte förenlig med skyddet för personuppgifter om det inte är befogat av skäl som är kopplade till informationssystemets art eller syfte (GrUU 31/2017 rd). Utskottet har understrukit att framför allt lagringstiden för känsliga uppgifter ska vara begränsad på så sätt att uppgifterna bara får finnas lagrade så länge det är nödvändigt för att fullfölja det syfte för vilket uppgifterna har registrerats (se t.ex. GrUU 31/2017 rd, s. 5, GrUU 13/2017 rd). Utskottet har till exempel ansett att en lagringstid på fem år för känsliga uppgifter är lång (GrUU 51/2018 rd, s. 16, GrUU 13/2017 rd). Försvarsutskottet bör överväga om så långa lagringstider behövs och begränsa lagringstiden särskilt för känsliga personuppgifter, om den 10-åriga lagringstiden inte är nödvändig med avseende på syftet med lagringen.