Arvion lähtökohdat
Ehdotuksilla perustetaan yhteinen biometrinen tunnistuspalvelu (BMS), joka luo EU-tason tietojärjestelmiin syötetyistä biometrisistä tunnisteista matemaattisen mallin ja tallentaa sen yhteiseen kantaan. Ehdotuksilla perustetaan myös yhteinen tunnistustietorekisteri (CIR) ja multi-henkilöllisyyden tunnistaja (MID), jotka tarvitsevat toimiakseen edellä mainitun biometrisen tunnistuspalvelun. Ehdotusten mukaan näihin yhteentoimivuuskomponentteihin tallennettuja tietoja ei saa siirtää tai asettaa kolmannen maan, kansainvälisen järjestön tai yksityisten kumppanien saataville. Tähän esitetään kahta poikkeusta, jotka koskevat ETIAS-lupaprosessissa ja rajatarkastuksissa tehtäviä Interpol-kyselyitä.
Ehdotukset merkitsevät siten puuttumista yksityiselämän ja henkilötietojen suojaan. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä yleensä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa (ks. esim. PeVL 13/2016 vp, s. 3—4).
Perustuslakivaliokunta yhtyy valtioneuvoston kantaan siitä, että valmisteilla olevaa hanketta EU-tason tietojärjestelmien yhteentoimivuutta säätelevän kehyksen perustamisesta voidaan pitää pääosin myönteisenä. Perustuslain ja henkilötietojen suojaa koskevien perus- ja ihmisoikeuksien kannalta on perusteltua lisätä eri EU-tason tietojärjestelmien yhteensopivuutta ja -toimivuutta, sillä yhteensopivuudella ja -toimivuudella on mahdollista vähentää eri järjestelmien välisen yhteensopimattomuuden aiheuttamia riskejä oikeusvarmuudelle sekä tietosuojalle ja -turvalle.
Perustuslakivaliokunta painottaa rekisteröidyn oikeutta saada tällaisissa järjestelmissä tietoa siitä, mihin rekistereihin hänen henkilötietojaan on tallennettu, samoin kuin oikeutta saada väärät tiedot korjatuiksi tai poistetuiksi. Valiokunnan mielestä tällaisten oikeuksien merkitys korostuu, kun kehyshankkeen yhtenä keskeisenä tavoitteena on valtioneuvoston kirjelmän mukaan mahdollistaa väärän henkilöllisyyden käyttämisen torjunta.
Ehdotuksissa on kysymys arkaluonteisiin tietoihin rinnastettavissa olevasta henkilötietojen käsittelystä. Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (ks. PeVL 37/2013 vp). Perustuslakivaliokunta on käytännössään rinnastanut biometriset tunnistetiedot arkaluonteisiin tietoihin (ks. esim. PeVL 13/2016 vp, s. 4). EU:n uudistuneen tietosuojalainsäädännön mukaan biometriset tiedot ovat erityisiin henkilötietoryhmiin kuuluvia tietoja (ks. myös PeVL 1/2018 vp).
Perustuslakivaliokunta on painottanut, että tällaisiin arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen johdantokappaleessa 51 painotetaan, että asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. (Ks. PeVL 1/2018 vp, PeVL 14/2009 vp, s. 4/II, ks. myös esim. PeVL 14/2017 vp, s. 5—6). Valiokunnan mielestä asetusehdotusten jatkovalmistelussa on edelleen syytä varmistaa, että arkaluonteisten tietojen käsittely rajataan täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 13/2017 vp, s. 5 ja PeVL 3/2017 vp, s. 5).
Henkilötietojen toissijaiset käyttötarkoitukset
Valtioneuvosto kiinnittää kannassaan huomiota erityisesti siihen, että ehdotuksilla lisättäisiin EU:n rajanylitystietojärjestelmää ja viisumitietojärjestelmää koskeviin asetuksiin uusi toissijainen käyttötarkoitus, jonka mukaan tietojärjestelmien tavoitteena on myös helpottaa ja auttaa järjestelmiin tallennettujen henkilöiden oikeaa tunnistamista tallettamalla identiteetti- ja matkustajatietoja sekä biometrisiä tietoja yhteiseen tunnistustietorekisteriin (CIR). Vastaava uusi käyttötarkoitus tulisi käytännössä lisätä myös valmisteilla oleviin ETIASta, Eurodacia ja ECRIS-TCN:ää koskeviin EU-säädöksiin. Perustuslakivaliokunta on hiljattain arvioinut useita asetus- ja direktiiviehdotuksia, jotka liittyvät henkilötietojen käsittelyyn sanotuissa rekistereissä (ks. esim. PeVL 32/2017 vp, PeVL 21/2017 vp, PeVL 14/2017 vp, PeVL 13/2017 vp, PeVL 3/2017 vp, PeVL 33/2016 vp, PeVL 29/2016 vp, PeVL 13/2016 vp).
Ehdotuksen mukaan kansallisesti voitaisiin säätää siitä, että poliisiviranomaiset ja tuomioistuimet pääsisivät henkilön tunnistamistarkoituksessa tekemään kyselyjä perustettavaan yhteiseen tunnistustietorekisteriin (CIR). Tällaisessa kansallisessa lainsäädännössä tulisi tarkemmin määritellä tunnistustarkastusten tarkoitukset sekä tällaisiin tarkastuksiin liittyvät menettelyt ja ehdot.
Valtioneuvosto suhtautuu alustavasti positiivisesti mahdollisuuteen kansallisen lainsäädännön antamiseen tällaisen käsittelyn mahdollistamiseksi. Valtioneuvosto kuitenkin katsoo, että ehdotetun säännöksen osalta tulee vielä tarkemmin selvittää, kuinka se vaikuttaisi käyttötarkoitussidonnaisuuden periaatteen toteutumiseen henkilötietojen käsittelyssä ottaen huomioon edellä kuvattu käyttötarkoitusten laajentaminen, sekä varmistua siitä, että sääntely muutoinkin tältä osin pysyy hyväksyttävyyden ja oikeasuhtaisuuden rajoissa. Perustuslakivaliokunta yhtyy valtioneuvoston kantaan selvittämis- ja varmistumistarpeen osalta ja muistuttaa, että perustuslain 1 §:n 3 momentti yhdessä perustuslain 22 §:ssä säädetyn perus- ja ihmisoikeuksien turvaamisvelvollisuuden kanssa merkitsee, että valtioneuvoston tulee osallistua EU-säädösehdotusten valmisteluun tavalla, joka turvaa perus- ja ihmisoikeuksia Suomen lisäksi koko Euroopan unionissa (ks. PeVL 20/2017 vp, s. 6, PeVL 53/2017 vp, s. 5).
Ehdotettavassa sääntelyssä on kysymys ainakin osaksi arkaluonteisia tietoja koskevasta sääntelystä. Perustuslakivaliokunta on korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. Tietojen käyttämiseen varsinaisen keräämis- ja tallettamistarkoituksen ulkopuolelle jääviin tarkoituksiin on perustuslakivaliokunnan mukaan ollut syytä suhtautua kielteisesti esimerkiksi laajojen biometrisiä tunnisteita sisältävien rekisterien yhteydessä (PeVL 14/2009 vp, s. 4/II). Tällaisissa tilanteissa käyttötarkoitussidonnaisuudesta on voitu tällöin tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia, eikä sääntely ole saanut johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. myös esim. PeVL 14/2017 vp, s. 5—6).
Toissijaista käyttöä koskeva sääntely jäisi ehdotuksessa valtioneuvoston kannan mukaan kansallisen liikkumavaran piiriin. Perustuslakivaliokunta muistuttaa, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä on otettava huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp, PeVL 1/2018 vp).
Kokonaisarvion tarve
Perustuslakivaliokunnan mielestä valtioneuvoston on osallistuessaan EU-tason tietojärjestelmien yhteentoimivuutta koskevien säädösehdotuksien valmisteluun syytä kiinnittää erityistä huomiota järjestelmien kokonaisvaikutuksiin henkilötietojen suojan ja yksityisyyden suojan perus- ja ihmisoikeuksien kannalta. Valtioneuvoston on syytä pyrkiä vaikuttamaan siten, että tällainen horisontaalinen arviointi perus- ja ihmisoikeusnäkökulmasta suoritetaan myös EU:n toimesta (ks. PeVL 13/2017 vp, s. 7, PeVL 33/2016 vp, s. 6).
Valvontaviranomaisen tehtävien asianmukaisen hoitamisen edellytysten turvaaminen
EU:n perusoikeuskirjan 8 artiklan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Artiklaan on sisällytetty myös nimenomainen määräys siitä, että riippumaton viranomainen valvoo näiden sääntöjen noudattamista.
Ehdotusten mukaan EU:n yleisen tietosuoja-asetuksen nojalla nimetyn valvontaviranomaisen tai nimettyjen valvontaviranomaisten on varmistettava, että kansallisten vastuuviranomaisten suorittamat tietojenkäsittelytapahtumat tarkastetaan asiaankuuluvien kansainvälisten tarkastusstandardien mukaisesti vähintään joka neljäs vuosi. Mainitun perusoikeuskirjan tietosuoja-artiklan kannalta merkityksellinen Euroopan unionin yleinen tietosuoja-asetus tuli voimaan toukokuussa 2016. Sitä aletaan soveltaa 25.5.2018 lähtien. Asetuksessa säädetään kansallisen valvontaviranomaisen tehtävistä ja toimivaltuuksista. Nämä lisääntyvät ja vahvistuvat nykyisestä huomattavasti. Mainitun asetuksen 52 artiklan 4 kohdan mukaan kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät ja valtuudet, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen tietosuojaneuvoston toimintaan.
Perustuslakivaliokunta kiinnittää valtioneuvoston huomiota perusoikeuskirjan 8 artiklan 3 kohdassa tarkoitetun riippumattoman viranomaisen keskeiseen merkitykseen tietosuojaperusoikeuden toteutumisen kannalta ja pitää edelleen tärkeänä, että valvontaviranomaiselle osoitetaan riittävät resurssit tämän tehtävän asianmukaiseen hoitamiseen (ks. myös PeVL 3/2017 vp, s. 7).