Yleistä
Käsiteltävänä olevan asetusehdotuksen (COM(2022) 209 final) tavoitteena on muodostaa selkeä ja sitova oikeudellinen kehys, jonka avulla voidaan torjua ja ennaltaehkäistä lapsiin kohdistuvaa seksuaaliväkivaltaa. Asetusehdotuksella pyritään tehostamaan verkkovälitteisen lapsiin kohdistuvan seksuaalisen hyväksikäytön havaitsemista, siitä ilmoittamista ja sen poistamista kaikkialla EU:ssa. Hallintovaliokunta pitää asetusehdotuksen tavoitteita erittäin tärkeinä. Valiokunta korostaa ilmiön tehokkaan ennaltaehkäisyn ja torjunnan keskeistä merkitystä sekä painottaa erityisesti lapsen edun toteutumista sääntelykokonaisuudessa.
Lapsiin kohdistuvaa seksuaaliväkivaltaa esittävän materiaalin (CSAM, child sexual abuse material) torjunta perustuu nykyisin sähköisten viestintäpalvelujen tarjoajien vapaaehtoisiin tunnistamis- ja ilmoittamiskäytänteisiin. Vapaaehtoisuuteen perustuva väliaikainen sääntely on ollut tarkoitus korvata kohdistamalla palveluntarjoajille velvoitteita tiedossa olevan tai uuden lapsiin kohdistuvaa seksuaaliväkivaltaa todistavan kuvamateriaalin tai lasten seksuaaliseen tarkoituksiin houkuttelun (grooming) tunnistamiseksi ja sen poistamiseksi alustoilta. Tämän väliaikaisen sääntelyn on alun perin ollut tarkoitus olla voimassa elokuuhun 2024, mutta sen soveltamista on jatkettu 3.4.2026 astiEuroopan parlamentin ja neuvoston asetus (EU) 2021/1232 tilapäisestä poikkeuksesta direktiivin 2002/58/EY tiettyihin säännöksiin siltä osin kuin on kyse teknologioista, joita numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajat käyttävät henkilötietojen ja muiden tietojen käsittelyyn verkossa tapahtuvan lasten seksuaalisen hyväksikäytön torjumiseksi. Komission mukaan palveluntarjoajien vapaaehtoisuuteen perustuva toimintamalli ei ole osoittautunut toimivaksi, sillä vaikka osa palveluntarjoajista on ilmoittanut materiaalista aktiivisesti ja poistanut sitä alustoiltaan, osa ei ole ryhtynyt lainkaan toimenpiteisiin.
Hallintovaliokunta on antanut asiassa aiemmin kaksi lausuntoa (HaVL 27/2022 vp ja HaVL 8/2023 vp). Valiokunta on lausunnoissaan kiinnittänyt huomiota muun ohella tarpeeseen selkeyttää ehdotetun sääntelyn suhdetta muuhun EU:n lainsäädäntöön, kuten yleiseen tietosuoja-asetukseen. Hallintovaliokunta on pitänyt tärkeänä, että ehdotettu sääntely on mahdollisimman selkeää, ennakoitavaa ja kohdennettua. Valiokunta on todennut, että neuvotteluissa on vielä syytä arvioida huolellisesti etenkin neuvoston oikeuspalvelun sekä Euroopan tietosuojaneuvoston ja Euroopan tietosuojavaltuutetun lausunnoissa esitettyjä näkökohtia sääntelyn täsmentämiseksi. Valiokunta on kuitenkin samalla tähdentänyt asetusehdotuksen tavoitetta selkeän ja sitovan oikeudellisen kehyksen muodostamisesta lapsiin kohdistuvan seksuaaliväkivallan torjumiseksi ja ennalta ehkäisemiseksi. Asetuksessa säädettävien toimenpiteiden tulee olla riittävän tehokkaita tämän tavoitteen toteutumiseksi.
Asetusehdotuksen käsittely on edennyt neuvostossa hitaasti paitsi sen teknisen luonteen vuoksi myös siksi, että ehdotukseen liittyy edelleen avoimia tietosuojaa ja luottamuksellisen viestin suojaa koskevia EU-tason oikeudellisia kysymyksiä. Suomi on pyrkinyt neuvotteluissa vaikuttamaan siihen, että ehdotettu sääntely on EU:n tietosuojalainsäädännön mukaista ja tuonut esiin luottamuksellisen viestin suojaan liittyviä kysymyksiä.
Keskeisimmät haasteet neuvotteluissa ovat liittyneet asetusehdotuksen 7 artiklan mukaiseen tunnistamismääräykseen, erityisesti sen suhteeseen luottamuksellisen viestin suojaan. Asetusehdotuksen mukaan verkkopalveluntarjoajat voidaan tietyin edellytyksin tunnistamismääräyksellä velvoittaa tunnistamaan ja torjumaan CSA-materiaalia alustoillaan.
Valiokunta toteaa selvyyden vuoksi, että asetusehdotus sisältää runsaasti muutakin sääntelyä kuin mahdollisuuden tunnistamismääräyksen antamiseen. Viranomaiset voivat antaa palveluntarjoajille esimerkiksi poistamis- ja estomääräyksiä. Lisäksi palveluntarjoajat velvoitetaan arvioimaan palveluihinsa liittyviä riskejä ja toteuttamaan riskejä lieventäviä toimenpiteitä sekä raportoimaan havaitsemistaan riskeistä. Asetusehdotuksen teksteihin on kahden vuoden neuvottelujen aikana tehty merkittävä määrä muutoksia. Valiokunnan käsityksen mukaan tähän asetusehdotuksen muuhun sääntelyyn ei ole neuvotteluissa liittynyt suurempia erimielisyyksiä.
Neuvoston yleisnäkemystä asetusehdotukseen on haettu jo aiemmin Espanjan ja Belgian puheenjohtajuuskausilla. Tämänhetkisen puheenjohtajavaltio Unkarin tavoitteena on, että neuvoston osittainen yleisnäkemys hyväksytään sen puheenjohtajuuskauden aikana. Osittaisen yleisnäkemyksen on saadun selvityksen mukaan määrä kattaa asetuksella perustettavan EU-keskuksen sijaintipaikkaa lukuun ottamatta lähes koko ehdotettu sääntely. Puheenjohtajavaltion kompromissiehdotuksesta on informoitu eduskuntaa perusmuistiolla (EUN 78/2024 vp) lokakuun 2024 oikeus- ja sisäasioiden neuvostoon liittyen. Perusmuistiosta ilmenevän valtioneuvoston kannan mukaan Suomi voi tukea tämänhetkistä puheenjohtajavaltion kompromissiehdotusta. Siinä vastataan perusmuistion mukaan riittävällä tavalla valtioneuvoston kannassa ja suuren valiokunnan lausunnossa (SuVL 7/2023 vp) esiin nostettuihin huomioihin ja reunaehtoihin.
Hallintovaliokunta tarkastelee tässä lausunnossa asetusehdotuksen tunnistamismääräystä koskevaan sääntelyyn tehtyjä muutoksia oman toimialansa näkökulmasta. Keskeistä on, voidaanko asetusehdotuksen erittäin tärkeät tavoitteet lasten suojelemisesta lisääntyvältä verkkovälitteiseltä seksuaaliväkivallalta toteuttaa asetusehdotuksen mukaisilla keinoilla riittävän tehokkaasti ja oikeasuhtaisesti.
Tunnistamismääräyksen antamisen edellytyksiin ja soveltamisalaan tehdyt rajaukset
Valiokunnan saaman selvityksen mukaan tunnistamismääräyksen soveltamisalaan on tehty asetusehdotuksen käsittelyn kuluessa useita rajauksia, joilla on pyritty lisäämään sääntelyn hyväksyttävyyttä. Tunnistamismääräyksellä palveluntarjoaja velvoitetaan toteuttamaan palvelussaan asetuksen mukaisia toimenpiteitä verkkovälitteisen lapsiin kohdistuvan seksuaaliväkivallan tunnistamiseksi. Tunnistamismääräyksen antaisi kansallinen tuomioistuin tai riippumaton hallintoviranomainen toimivaltaisen koordinoivan viranomaisen pyynnöstä. Valiokunta pitää tärkeänä, että tunnistamismääräyksen antamisen edellytyksistä säädetään mahdollisimman tarkkarajaisesti.
Tunnistamismääräyksen antaminen olisi kompromissiehdotuksen mukaan viimesijainen keino, sillä palveluntarjoajille annettaisiin mahdollisuus torjua CSA-materiaalia alustoillaan ennen tunnistamismääräyksen antamista. Asetusehdotuksessa korostetaan ensisijaisina keinoina palveluntarjoajien velvoitteita arvioida palveluihinsa liittyviä riskejä ja toteuttaa riskejä lieventäviä toimenpiteitä. Näillä toimenpiteillä pyritään siihen, että palveluntarjoajat ennakollisesti muokkaavat palvelujaan sellaisiksi, ettei niitä käytettäisi asetusehdotuksessa tarkoitetun materiaalin levittämiseen. Valiokunta korostaa näiden palveluntarjoajien omien toimenpiteiden merkitystä.
Valiokunta toteaa, että asetusehdotuksen mukaisen tunnistamismääräyksen mahdollinen antaminen on monivaiheinen prosessi, jonka aikana palveluntarjoajalla on muun ohella mahdollisuus esittää huomioita määräyksen antamisesta ja johon esimerkiksi sisältyy EU-keskuksen ja tarvittaessa myös tietosuojaviranomaisen antama lausunto. Lisäksi tunnistamismääräyksen saaneella palveluntarjoajalla on mahdollisuus riitauttaa määräys jäsenvaltion tuomioistuimessa. Yhtenä edellytyksenä tunnistamismääräyksen antamiselle on se, että sen antamisen hyödyt ovat suurempia kuin siitä aiheutuvat haitat. Valiokunta tähdentää, että tunnistamismääräystä ei saa kohdentaa kansallista turvallisuutta, lainvalvontaa tai sotilaallista toimintaa koskevaan viestintään.
Tunnistamismääräys voidaan ehdotuksen mukaan kohdentaa vain sellaisiin palveluntarjoajiin tai niiden osiin, joissa on todettu korkea riski CSA-materiaalin levittämiselle. Asetusehdotusta on tältä osin merkittävästi täsmennetty. Valiokunnan asiantuntijakuulemisessa on yhtäältä todettu, että palvelun luokitteleminen korkeariskiseksi on monivaiheinen prosessi ja kynnys määritellä palvelu sellaiseksi on melko korkea, mikä voi vaikeuttaa asetusehdotuksen alkuperäisen tavoitteen saavuttamista. Toisaalta on pidetty mahdollisena, että lähes kaikki viestintäpalvelut voidaan luokitella korkean riskin kohteiksi. Perusmuistiossa korostetaan yhtenä rajoittavana tekijänä sitä, että tunnistamismääräys voitaisiin asetusehdotuksen mukaan antaa vain rajatuksi ajaksi. Tunnistamismääräyksen soveltaminen voi alkaa 3—12 kuukautta tunnistamismääräyksen vastaanottamisesta ja sitä voidaan soveltaa enintään 24 kuukautta.
Kompromissiehdotuksen mukaan tunnistamismääräys voidaan kohdentaa vain jo kertaalleen lainvastaisiksi todettuihin kuviin ja videoihin sekä URL-osoitteisiin, eikä asetuksen perusteella voitaisi tunnistaa uutta CSA-materiaalia tai groomingia, kuten komission alkuperäisessä ehdotuksessa. Myös teksti- ja ääniviestien tunnistaminen on rajattu soveltamisalan ulkopuolelle. Tähän on päädytty sen vuoksi, että aiemmin tunnistetun kuva- ja videomateriaalin tunnistamista pidetään teknologisesti luotettavana, kun taas uuden materiaalin ja groomingin tunnistamiseen liittyy vielä nykyisin epävarmuuksia.
Ehdotettu rajaus tarkoittaa sitä, että toimilla voidaan puuttua vain jälkikäteisesti jo tunnistettuun materiaaliin ja mahdollisuudet puuttua käynnissä oleviin tekoihin heikkenevät. Tämän vuoksi on valiokunnan mielestä välttämätöntä, että vuonna 2021 voimaan tullutta sääntelyä tilapäisistä poikkeuksista eräisiin sähköisen viestinnän tietosuojadirektiivinEuroopan parlamentin ja neuvoston direktiivi 2002/58/EY henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla säännöksiin jatketaan edelleen, jotta palveluntarjoajat voivat jatkaa CSA-materiaalin vapaaehtoista tunnistamista ja siitä raportointia. Lisäksi valiokunta pitää tärkeänä, että mahdollisuuksia velvoittaa palveluntarjoajat tunnistamaan myös uutta CSA-materiaalia ja groomingia selvitetään, kun teknologinen kehitys mahdollistaa riittävän tehokkaat ja perusoikeuksia kunnioittavat tunnistamismenetelmät myös niiden osalta.
Valiokunnan asiantuntijakuulemisessa on kiinnitetty ehdotetun sääntelyn oikeasuhtaisuuden arvioinnin kannalta huomiota siihen, että tunnistamismääräyksen soveltamisalaa ei ole rajattu tiettyihin henkilöihin, vaan luottamuksellisen viestin salaisuuden rajoitus kohdistuisi kaikkiin viestintäpalveluiden käyttäjiin riippumatta siitä, onko heillä mitään yhteyttä rikolliseen tekoon. Sääntelyn soveltaminen saattaa näin ollen muodostua varsin laajaksi ja yksilöimättömäksi. Ehdotettu sääntely on tältä osin uudenlaista EU-sääntelyä.
Valiokunta kiinnittää huomiota siihen, että viestintäpalveluissa (esim. WhatsApp, iMessage, Microsoft Teams, Discord ja Telegram) viestejä välitetään nykyisin valtava määrä. Asiantuntijakuulemisessa esitetyn arvion mukaan päivittäin välitetään yhteensä vähintään 260 miljardia viestiä. Vaikka tunnistaminen rajattaisiin kompromissiehdotuksen mukaisiin tapauksiin, tunnistamismääräys kohdistuisi erittäin suureen määrään viestejä. Valiokunta pitää tärkeänä, että luottamuksellisen viestin salaisuuden suojaan puuttuminen on mahdollisimman kohdennettua.
Käyttäjän suostumus
Kompromissiehdotuksen mukaan tunnistamismääräyksen toteuttaminen olisi mahdollista vain sillä edellytyksellä, että jokainen käyttäjä antaa palveluntarjoajan ehtojen mukaisesti nimenomaisen suostumuksensa siihen, että tunnistamistoimintoa voidaan palvelussa käyttää. Jos palvelun käyttäjä ei anna suostumusta, hän ei voisi lähettää kyseisellä sovelluksella kuvamuotoista aineistoa.
Asetusehdotuksessa ei tarkemmin määritellä suostumusta. Valiokunta toteaa saamansa selvityksen perusteella, että sähköisen viestinnän luottamus kuuluu yksityisyyden suojan ydinalueeseen ja tämän vuoksi rajoituksen tulisi lähtökohtaisesti perustua lakiin eikä käyttäjän suostumukseen. Mahdolliset tunnistamismääräykset tulevat kohdistumaan valiokunnan käsityksen mukaan suurimpiin viestintäpalveluihin, joilla on tärkeä merkitys ihmisten keskinäisessä viestinnässä. Valiokunnan asiantuntijakuulemisen mukaan on kyseenalaista, voiko suostumus tällaisessa tapauksessa olla yksilöity, aidosti vapaaehtoinen ja yksiselitteinen tahdonilmaisu, mitä yleisessä tietosuoja-asetuksessa edellytetään pätevältä suostumukselta henkilötietojen käsittelyperusteena.
Valiokunnan käytössä olevasta aineistosta ei käy ilmi, mikä on kompromissiehdotuksen mukaisen suostumuksen suhde yleisen tietosuoja-asetuksen mukaiseen suostumukseen. Asetusehdotuksen suhdetta yleiseen tietosuoja-asetukseen on tältä osin vielä selvennettävä.
Teknologiset ratkaisut
Hallintovaliokunta pitää perusteltuna, että asetusehdotuksen sääntely on teknologianeutraalia. Lapsiin kohdistuvaa seksuaaliväkivaltaa sisältävien kuvien ja videoiden tunnistaminen ei perusmuistion mukaan vaatisi salausteknologian purkamista eikä heikentäisi ns. päästä päähän -salauksessa käytettävää teknologiaa. Tunnistamismääräyksen toteuttamisessa käytettävää teknologista ratkaisua ei kuvata kompromissiehdotuksessa tarkemmin. Tunnistamismääräyksen täytäntöönpanossa käytettävän teknologian tulee kuitenkin olla komission hyväksymää.
Asetusehdotuksen mukaiset tunnistamismääräykseen liittyvät toimenpiteet kohdennettaisiin valiokunnan saaman selvityksen mukaan päästä päähän salatuissa palveluissa palvelujen jo nyt tekemään riskiperustaiseen työhön. Suurimmat palveluntarjoajat sulkevat jo nykyisin kuukausittain satojatuhansia käyttäjätilejä epäillyn CSA-materiaalin jakamisen vuoksi. Käyttäjät pyytävät tällaisissa tilanteissa vain harvoin palauttamaan tilinsä.
Vaikka käytettävää teknologiaa ei asetusehdotuksessa määritelläkään, lainvastaisen materiaalin tunnistamiseen on tämän hetken tiedon mukaan tarkoitus käyttää ns. hashing-teknologiaa, jossa kullekin kuva- tai videotiedostolle lasketaan kiinteän pituinen merkkijono, joka muodostaa tiedostolle yksilöllisen tunnisteen. Yksi mahdollinen tapa toteuttaa tunnistamismääräys teknisesti päästä päähän salattua viestintää käyttävissä palveluissa on se, että esimerkiksi käytettävässä pikaviestinohjelmassa on tunnistamismääräyksen antamisen jälkeen toteutettu toiminto, joka tarkastaa välitettävän kuva-aineiston ns. hash-lukuarvon, jota verrataan listaan, johon on kerätty hash-arvoja tunnistetuista lapsiin kohdistuvan seksuaalisen väkivallan aineistoista. Mikäli verrattu arvo lähetettävän tiedoston ja tunnetun aineiston osalta on sama, tästä lähetettäisiin ilmoitus palveluntarjoajalle. Tarkoituksena on, että hash-lukuja vertaavia teknologioita käytetään siinä vaiheessa, kun kuvia tai videoita ladataan laitteelta palveluun lähetettäväksi eli ennen kuin viestin sisältö salautuu.
Valiokunnan saaman selvityksen mukaan mainitun teknologian käyttöön liittyy merkittäviä haasteita, sillä tiedoston muokkaus muuttaa sen tunnistetta ja heikentää näin ollen tekniikan luotettavuutta. Vähäinenkin tiedoston muokkaaminen muuttaa tiedoston tunnistetta niin, että tunnistus voidaan kiertää. Käytettävä teknologia saattaa aiheuttaa runsaasti virheosumia, mikä voi johtaa siihen, että vilpittömässä mielessä toimiviin käyttäjiin kohdistuu perusteettomia epäilyjä lainvastaisen materiaalin levittämisestä. Valiokunnan käsityksen mukaan riskinä myös on, että mainittua teknologiaa käytetään viranomaisten maalittamiseen. Valiokunta katsoo, että uusien ja turvallisten teknologioiden käyttöä tunnistamismääräyksissä tulee vielä selvittää ja että niitä voidaan ottaa käyttöön vasta palveluntarjoajien, komission, EU-keskuksen sekä tietosuojaviranomaisten tekemien huolellisten arvioiden jälkeen.
Johtopäätökset
Valiokunta on edellä todennut, että palveluntarjoajien mahdollisuus jatkaa CSA-materiaalin vapaaehtoista tunnistamista ja siitä raportointia on ehdotetusta sääntelystä riippumatta turvattava. Valiokunnan asiantuntijakuulemisessa on tuotu esiin myös muita keinoja, joilla voidaan torjua ehdotetussa sääntelyssä tarkoitettua rikollisuutta ja suojella lapsia tällaisten rikosten uhriksi joutumiselta. Nämä liittyvät esimerkiksi erilaisiin ilmoitusmenettelyihin, teknologioiden kehittämiseen, käyttäjäpohjaiseen turvallisuusraportointiin, vanhempien rooliin, lapsille ja nuorille suunnattuun opetukseen, viranomaisten kansainvälisen yhteistyön tehostamiseen sekä turvallisten palvelujen suunnitteluperiaatteiden noudattamiseen. Valiokunta korostaa, että rikostutkinnan kannalta tehokkaita ja luotettavia keinoja puuttua asetusehdotuksessa tarkoitettuun rikollisuuteen ja sen ehkäisemiseen tulee edelleen kehittää.
Valiokunta toteaa, että rajaamalla tunnistamismääräyksen antamisen edellytyksiä ja soveltamisalaa on pyritty varmistamaan, että asetusehdotuksessa säädettävät toimenpiteet ovat eduskunnan aiemmin edellyttämin tavoin riittävän tehokkaita, mutta samalla ennakoitavia sekä oikeassa suhteessa ja välttämättömiä ehdotuksen tavoitteen toteuttamiseksi. Saadun selvityksen mukaan rajaukset lisäävät merkittävästi asetusehdotuksen hyväksyttävyyttä.
Vaikka uuden materiaalin ja groomingin tunnistamisen rajaaminen sääntelyn ulkopuolelle heikentääkin mahdollisuuksia puuttua ilmiöön rikostorjunnan näkökulmasta, ehdotettu sääntely parantaa rajattunakin nykytilaan verrattuna mahdollisuuksia estää lapsiin kohdistuvaa seksuaaliväkivaltaa esittävän materiaalin levittämistä. Sääntely tehostaa jo tunnistetun materiaalin levittämisen estämistä, lisää palveluntarjoajien vastuuta arvioida palveluihin liittyviä riskejä ja palvelujen turvallisuutta sekä tiivistää viranomaisyhteistyötä EU-keskuksen perustamisen ja viranomaisyhteistyön muun kehittämisen myötä. Vaikeuttamalla asetuksen mukaisilla toimenpiteillä rikoksentekijöiden toimintaedellytyksiä voidaan osaltaan vähentää laitonta toimintaa verkossa.
Valiokunnan asiantuntijakuulemisessa on korostettu, ettei ehdotettu sääntely johda päästä päähän salauksen tai muiden tietoturvatoimenpiteiden yleiseen heikentämiseen taikka niiden purkamiseen tai rajoittamiseen. Asiantuntijakuulemisessa on kuitenkin todettu myös, että asetusehdotuksen tunnistamismääräystä koskevaan sääntelyyn sisältyy edelleen riskejä siitä, että se johtaa tosiasiassa salauksen kiertämiseen ja siitä, että tunnistamismääräysten antaminen voisi johtaa käytännössä varsin kattavaan ja pysyvään viestinnän luottamuksen suojan ja tietoturvan heikentämiseen. Valiokunta ei voi tämän vuoksi varauksetta kannattaa nyt käsittelyssä olevaa tunnistamismääräystä koskevaa kompromissiehdotusta ja katsoo, ettei Suomen tule hyväksyä asetusehdotuksen tunnistamismääräystä koskevaa sääntelyä nykyisessä muodossaan. Tunnistamismääräys on kuitenkin olennainen osa ehdotettua sääntelyä ja neuvotteluissa on edelleen pyrittävä löytämään myös tältä osin toimiva ja riittävän tehokas ratkaisu. Samalla valiokunta toteaa, että puheenjohtajavaltion kompromissiehdotus kattaa koko asetusehdotuksen. Valiokunta pitää asetusehdotusta muilta osin kannatettavana.
Hallintovaliokunta pitää tärkeänä, ettei ehdotetulla sääntelyllä vaaranneta kyberturvallisuutta tai viestintä- ja tietojärjestelmien turvallisuutta. Valiokunta korostaa EU-keskuksen, koordinoivan viranomaisen, Europolin ja jäsenvaltioiden lainvalvontaviranomaisten yhteistyön ja tiedonkulun sekä viranomaisten riittävien resurssien merkitystä.