Arvioinnin lähtökohtia
(1) Esityksessä ehdotetaan säädettäväksi kyberturvallisuuslaki (1. lakiehdotus). Lisäksi esityksessä ehdotetaan muutettavaksi julkisen hallinnon tiedonhallinnasta annettua lakia (2. lakiehdotus, jäljempänä myös tiedonhallintalaki) ja 15 muuta lakia. Ehdotetuilla laeilla pannaan täytäntöön EU:n kyberturvallisuusdirektiivi (Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555 toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi), jäljempänä myös NIS 2 -direktiivi). Direktiivin tavoitteena on vahvistaa EU:n yhteistä ja jäsenvaltioiden kansallista kyberturvallisuuden tasoa yhteiskunnan toiminnan kannalta kriittisiksi katsottujen sektoreiden ja toimijoiden osalta.
(2) Esitykseen sisältyy varsin laaja jakso lakiehdotusten suhteesta perustuslakiin ja säätämisjärjestyksestä.
Viranomaisen tiedonsaantioikeus
(3) Valvovalla viranomaisella on 1. lakiehdotuksen 28 §:n mukaan salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus saada toimijalta välitystieto, sijaintitieto sekä tieto haitallisen tietokoneohjelman tai käskyn sisältävästä viestistä, jos se on välttämätöntä kyberturvallisuutta koskevan riskienhallintavelvoitteen noudattamisen tai merkittävistä poikkeamista ilmoittamisen ja raportoinnin valvomista varten. Vastaavasta viranomaisiin kohdistuvasta tiedonsaantioikeudesta ehdotetaan säädettäväksi 2. lakiehdotuksen 18 i §:ssä.
(4) Ehdotettua sääntelyä tarkastellaan lakiehdotuksen perusteluissa ennen muuta perustuslain 10 §:n mukaisen luottamuksellisen viestin salaisuuden suojan kannalta. Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on perustuslain 10 §:n 2 momentin mukaan loukkaamaton. Lailla voidaan 10 §:n 4 momentin mukaan säätää välttämättömistä rajoituksista viestin salaisuuteen yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa, oikeudenkäynnissä, turvallisuustarkastuksessa ja vapaudenmenetyksen aikana sekä tiedon hankkimiseksi sotilaallisesta toiminnasta taikka sellaisesta muusta toiminnasta, joka vakavasti uhkaa kansallista turvallisuutta.
(5) Luottamuksellisen viestin salaisuutta koskevan perustuslakisääntelyn ensisijaisena tarkoituksena on suojata luottamukselliseksi tarkoitetun viestin sisältö ulkopuolisilta. Perustuslailla turvataan jokaiselle oikeus luottamukselliseen viestintään ilman, että ulkopuoliset saavat oikeudettomasti tietoa hänen lähettämiensä tai hänelle osoitettujen luottamuksellisten viestien sisällöstä. Säännös antaa kuitenkin turvaa muillekin tällaista viestiä koskeville tiedoille, joilla voi olla merkitystä viestin säilymiselle luottamuksellisena. Perusoikeusuudistuksen esitöiden mukaan tyypillisesti tällaisia ovat esimerkiksi puhelujen tunnistamistiedot (HE 309/1993 vp, s. 53—54).
(6) Jokaisella on Euroopan ihmisoikeussopimuksen 8 artiklan mukaan oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Samoin Euroopan unionin perusoikeuskirjan 7 artiklan mukaan jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaan sopimuksen 8 artiklan 1 kohdassa mainitut yksityiselämän ja kirjeenvaihdon käsitteet pitävät sisällään sekä puhelinviestinnän, sähköpostiviestinnän että muun luottamukselliseksi tarkoitetun sähköisen viestinnän (Liberty ja muut v. Yhdistynyt Kuningaskunta 1.10.2008). Kirjeenvaihdon ja yksityiselämän suojan piirissä ovat tämän oikeuskäytännön mukaan viestinnän sisällön lisäksi viestinnän tunnistamistiedot (Malone v. Yhdistynyt Kuningaskunta 2.8.1984). Viranomaisen ei tarvitse tosiasiassa käsitellä tietoja, jotta kyse olisi yksityiselämään puuttumisesta, vaan puuttumiseksi on katsottava jo se, että viranomainen kerää ja tallentaa niitä myöhempää käyttöä varten (S. ja Marper v. Yhdistynyt Kuningaskunta, 4.12.2008, kohta 85). Pelkkä sellaisen lainsäädännön olemassaolo, joka mahdollistaa viestintäyhteyksien salaisen tarkkailun, puuttuu viestinnän osapuolten ja myös potentiaalisten osapuolten ihmisoikeussopimuksen 8 artiklassa taattuihin oikeuksiin (Klass v. Saksa 6.9.1978 sekä Liberty ja muut v. Yhdistynyt Kuningaskunta; ks. myös PeVL 36/2018 vp s. 7—10).
(7) Nyt ehdotettava tiedonsaantioikeus ulottuu välitystietoihin, sijaintitietoihin ja tietoihin haitallisen tietokoneohjelman tai käskyn sisältävästä viestistä. Hallituksen esityksessä (s. 251) on arvioitu, että kyberhyökkäyksen toteuttamiseksi luodussa haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä ei ole kyse perustuslain 10 §:n 2 momentissa tarkoitetusta luottamuksellisesta viestinnästä.
(8) Perustuslakivaliokunta on arvioinut kysymystä luottamuksellisen viestinnän salaisuuden suojan ulottuvuudesta erilaisissa yhteyksissä. Valiokunta on muun muassa todennut, että lähtökohtaisesti tavaraa sisältävää postipakettia ei sinänsä ole pidettävä perustuslaissa tarkoitettuna luottamuksellisena viestinä (PeVL 28/2000 vp, s. 3/II, PeVL 59/2006 vp). Myöskään sääntely suljetun kirjeen avaamisesta vastaanottajan tai lähettäjän selvittämiseksi ei merkinnyt sellaisen rajoituksen säätämistä luottamuksellisen viestin salaisuuteen, jonka ainoat sallitut tavat on nykyisin mainittu perustuslain 10 §:n 4 momentissa (PeVL 30/2001 vp).
(9) Perustuslakivaliokunnan mukaan miehittämättömän ilma-aluksen kauko-ohjauksessa esimerkiksi matkapuhelimen tai tietokoneen avulla ei ole kysymys sellaisesta perustuslain 10 §:n 2 momentin tarkoittamasta luottamuksellisesta viestinnästä, jolle kyseisen perustuslain säännöksen kautta on ylipäänsä tarkoitettu antaa perustuslain suojaa (PeVL 22/2020 vp). Vaikka esimerkiksi kulkuneuvon ohjaajan ja liikenteenohjauksen välisessä viestinnässä voitiin sinänsä välittää myös luottamuksellisia viestejä henkilöiden välillä, ei kysymys poikkeuksellisen toiminnan tutkinnan luonteesta ja henkilöiden viestien taltiointia koskevasta tietoisuudesta johtuen valiokunnan mukaan kuitenkaan ole perustuslain 10 §:ssä tarkoitetun luottamuksellisen viestin salaisuuden suojan piiriin kuuluvasta toiminnasta (PeVL 62/2010 vp, s. 5). Myös Rajavartiolaitoksen harjoittaman radioteknisen valvonnan arvioitiin kohdistuvan osittain sellaiseen viestiliikenteeseen, joka ei kuulu perustuslain 10 §:n 2 momentin mukaisen luottamuksellisen viestin salaisuuden piiriin (PeVL 15/2024 vp, kappale 9).
(10) Hallituksen esityksessä (s. 250) on tehty selkoa siitä, että haitallisen tietokoneohjelman ja käskyn sisältävässä viestissä on usein kyse haitallisen tietokoneohjelman automaattisesti luomasta viestistä, jossa viestin lähettäjänä ei ole luonnollista henkilöä, vaan haittaohjelma tai sen ohjelmoinut taho. Haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä kysymys on usein teknisestä käskystä, ohjelmasta tai komennosta, jolla pyritään aiheuttamaan haittaa viestintäverkon tai tietojärjestelmän toiminnalle. Kysymys voi olla tietokonejärjestelmien välisestä automatisoidusta ja teknisestä toimesta, jonka osapuolina ei ole luonnollisia henkilöitä tai jossa ei ole teknisten ominaisuuksien ohella lainkaan semanttista sisältöä. Haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä ei perustelujen mukaan ole kysymys viestinnän osapuolten välisestä luottamuksellisen viestinnän suojan ydinalaan perinteisesti kuuluvasta viestistä, jolla on yksilöityä semanttista tai kommunikatiivista merkitystä osapuolille.
(11) Hallituksen esityksen perustelujen valossa kyse ei siis ole viestinnästä kahden osapuolen välillä, vaan pikemminkin toiminnasta, joka vakavasti vaarantaa perustuslain 10 §:n 2 momentin suojaamaa luottamuksellista viestintää aiheuttaessaan haittaa viestintäverkon tai tietojärjestelmän toiminnalle. Viestinnän osapuoliksi luettavien luonnollisten henkilöiden välisen sisällön puutteen vuoksi tällainen viestintä jää perustuslain 10 §:n 2 momentin suojan ulkopuolelle.
(12) Perustuslakivaliokunta kiinnittää esityksen säätämisjärjestysperustelujen johdosta vielä huomiota siihen, että edellä esitetyillä perusteluilla lakiehdotusten mukainen haitallisen tietokoneohjelman tai käskyn sisältämä viesti jää kokonaan perustuslain 10 §:n luottamuksellisen viestin salaisuuden soveltamisalan ulkopuolelle. Kyse ei siten ole vain siitä säätämisjärjestysperusteluissa osin viitatusta seikasta, että tällainen viesti jäisi luottamuksellisen viestin ydinalueen ulkopuolelle. Tällainen viesti ei nauti perustuslain 10 §:n 2 momentin mukaista suojaa, eikä sitä koskevaa sääntelyä tarvitse arvioida 10 §:n 4 momentin mukaisten erityisten tai perusoikeuksien yleisten rajoitusedellytysten valossa.
(13) Esityksen 1. lakiehdotuksen 28 §:n ja 2. lakiehdotuksen 18 i §:n mukainen tiedonsaantioikeus koskee kuitenkin myös välitystietoja ja sijaintitietoja. Perustuslakivaliokunta on vakiintuneesti katsonut, että sijaintitiedon käsitteleminen liittyy perustuslain 10 §:ssä turvattuun yksityiselämän suojaan, jonka lähtökohtana on yksilön oikeus elää omaa elämäänsä ilman viranomaisten ja ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista siihen (PeVL 36/2002 vp, s. 5/II, PeVL 9/2004 vp, s. 5/II, PeVL 16/2018 vp, s. 4). Lisäksi sijaintitiedon selvittämistä koskevalla sääntelyllä on liityntä myös perustuslain 9 §:ssä turvattuun liikkumisvapauteen (PeVL 36/2002 vp, s. 5/II, PeVL 9/2004 vp, s. 5/II, PeVL 16/2018 vp, s. 4).
(14) Viestinnän välitystiedot puolestaan kuuluvat perustuslain 10 §:n 2 momentin luottamuksellisen viestin salaisuuden suojan piiriin (HE 309/1993 vp, s. 53). Nyt arvioitavan sääntelyn kannalta on merkityksellistä, että perustuslakivaliokunnan aiemmassa vakiintuneessa käytännössä viestin tunnistamistietojen on katsottu jäävän luottamuksellisen viestin salaisuutta suojaavan perusoikeuden ydinalueen ulkopuolelle (ks. esim. PeVL 33/2013 vp, s. 3, PeVL 6/2012 vp, s. 3—4, PeVL 29/2008 vp, s. 2, PeVL 3/2008 vp, s. 2). Tämä on merkinnyt, ettei nykyisin perustuslain 10 §:n 4 momenttiin sisältyvää erityistä lakivarausta ole sellaisenaan sovellettu tunnistamistietojen salaisuuden rajoittamiseen. Tunnistamistietojen salaisuuden suojaan puuttuvan sääntelyn on kuitenkin valiokunnan käytännön mukaan tullut täyttää perusoikeuksien rajoittamisen yleiset edellytykset (PeVL 62/2010 vp, s. 4/II, PeVL 23/2006 vp, s. 2—3). Siten on ollut esimerkiksi mahdollista säätää televalvontatoimivaltuudesta myös tilanteessa, jossa ei välttämättä ole ollut kyse perustuslain 10 §:n 4 momentissa tarkoitetusta yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavista rikoksista (PeVL 33/2013 vp, s. 3). Tunnistamistietojen saamista on pidetty mahdollisena myös joissakin tilanteissa, joissa ei ole ollut kyse perustuslain 10 §:n 4 momentin mukaisista rajoitusperusteista (PeVL 62/2010 vp, s. 4/II).
(15) Sittemmin perustuslakivaliokunta on tarkistanut käytäntöään, koska sähköisen viestinnän käyttöön liittyvät tunnistamistiedot sekä mahdollisuus niiden kokoamiseen ja yhdistämiseen voivat kuitenkin olla yksityiselämän suojan näkökulmasta siinä määrin ongelmallisia, että kategorinen erottelu suojan reuna- ja ydinalueeseen ei aina ole perusteltua, vaan huomiota on yleisemmin kiinnitettävä myös rajoitusten merkittävyyteen (PeVL 18/2014 vp, s. 6/II). Valiokunta on viimeaikaisessa käytännössä pitänyt Rajavartiolaitoksen radioteknistä valvontaa koskevaa sääntelyä tuolloin ehdotetussa laajuudessa ja ottaen erityisesti huomioon valvonnalle laissa ehdotetut rajoitukset suhteellisen vähäisenä puuttumisena luottamuksellisen viestin salaisuuden suojaan ja arvioinut sääntelyä perusoikeuksien yleisten rajoitusedellytysten kannalta (PeVL 15/2024 vp, kappaleet 12—13).
(16) Nyt ehdotettavassa sääntelyssä välitystietoihin kohdistuva tiedonsaantioikeus on varsin rajattu. Viranomaisella on oikeus saada tieto, jos se on välttämätöntä kyberturvallisuutta koskevan riskienhallintavelvoitteen noudattamisen tai merkittävistä poikkeamista ilmoittamisen ja raportoinnin valvomista varten. Tietojen saannin tarkoitus kytkeytyy viestinnän häiriöttömyyden turvaamiseen ja viestintäverkkojen toimivuudesta ja turvallisuudesta huolehtimiseen (ks. myös PeVL 9/2004 vp, s 4/I). Perustuslakivaliokunnan mielestä sääntely välitystietoihin kohdistuvasta tiedonsaantioikeudesta muodostuu nyt arvioitavassa sääntely-yhteydessä suhteellisen vähäiseksi puuttumiseksi luottamuksellisen viestin salaisuuden suojaan. Nyt ehdotettua sääntelyä välitystietojen käsittelystä on arvioitava perusoikeuksien yleisten rajoitusedellytysten mukaan. Sääntely ei muodostu ongelmalliseksi tältä kannalta.
(17) Perustuslakivaliokunta kiinnittää lisäksi huomiota siihen, että se on perustuslain 10 §:n muuttamisen yhteydessä pitänyt perusteltuna, että hallitus käynnistää selvitystyön, joka kattaisi laajemminkin perustuslain kotirauhan suojaa ja luottamuksellisen viestin salaisuutta koskevien rajoituslausekkeiden muutostarpeen (PeVM 4/2018 vp, s. 6). Valiokunta on sittemmin kiirehtinyt selvitystyön aloittamista (PeVL 6/2019 vp, s. 5, PeVL 12/2019 vp, s. 6). Valiokunta toistaa painokkaasti pitävänsä perustuslain 10 §:n rajoituslausekkeiden muutostarpeiden selvitystyötä välttämättömänä (ks. PeVL 5/2023 vp, kappale 9, PeVL 15/2024 vp, kappale 14, PeVL 47/2024 vp, kappale 13). Muutostarpeita tulee arvioida ottaen huomioon muun muassa vakavan rikollisuuden uudet muodot (PeVL 5/2023 vp, kappale 9) ja tapahtunut teknologinen kehitys (PeVL 30/2010 vp, s. 6/I).
Sääntelyn soveltamisala
(18) Hallituksen esityksen mukaan (s. 269) tiedonhallintalakia koskevan 2. lakiehdotuksen 3 §:n 1 momentin lähtökohdan mukaan lakia, mukaan lukien ehdotettua 4 a luvun NIS 2-direktiiviin perustuvaa sääntelyä, sovelletaan viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslain) 4 §:n 1 momentissa tarkoitettuihin viranomaisiin eli myös eduskunnan virastoihin sekä valtioneuvoston oikeuskanslerin ja eduskunnan oikeusasiamiehen toimintaan. Perustelujen (s. 269) mukaan tiedonhallintalain 4 a lukua sovelletaan eduskunnan virastoihin julkisuuslain 4 §:n 1 momentin 6 kohdasta ja sen perusteluista ilmenevällä tavalla, sillä direktiivin 6 artiklan 35 kohdassa käytetyllä käsitteellä "parlamentti" viitataan kansanedustuslaitoksen toimintaan, eli Suomessa eduskunnan valtiopäivätoimintaan.
(19) Tiedonhallintalain mainitussa luvussa ehdotetaan säädettäväksi kyberturvallisuutta koskevista velvollisuuksista ja niiden noudattamisen valvonnasta. Luvussa tarkoitettu valvova viranomainen on Liikenne- ja viestintävirasto, joka on liikenne- ja viestintäministeriön hallinnonalalla toimiva keskushallinnon virasto, joka hoitaa liikenteen ja sähköisen viestinnän viranomaistehtäviä. Valvovalla viranomaisella on 2. lakiehdotuksen 4 a luvun mukaan verraten pitkälle meneviä toimivaltuuksia, esimerkiksi tiedonsaantioikeus, oikeus tehdä tarkastuksia ja oikeus määrätä seuraamuksia.
(20) Perustuslakivaliokunnan käsityksen mukaan NIS 2 -direktiivissä tarkoitetun julkishallinnon toimijan käsitteen ulkopuolelle jäävät direktiivin nimenomaisen määräyksen perusteella (6 art. 35 kohta) muun muassa parlamentit. Hallituksen esityksessä (s. 211) rajausta on tulkittu suppeasti niin, että se koskee vain eduskunnan valtiopäivätoimintaa, eli lähinnä täysistuntoa ja valiokuntia. Eduskunnan kanslia kuuluu sanotun eduskunnan virastoihin kiinnittyvän soveltamisalan määrittelyn johdosta direktiivin täytäntöönpanemiseksi annettavan lain soveltamisalalle.
(21) Perustuslakivaliokunnan mukaan lähtökohtaista estettä ei sinänsä ole sille, että hallintoa koskevat yleislait ulotetaan koskemaan eduskunnan virastoja (PeVL 14/2018 vp, s. 11, ks. myös PeVL 43/1998 vp, s, 6/II). Eduskunnan virastojen sisällyttäminen nyt arvioitavan 2. lakiehdotuksen 4 a luvun soveltamisalaan merkitsee kuitenkin, että lakiehdotuksessa liikenne- ja viestintäministeriön hallinnonalalla toimivalle hallintoviranomaiselle myönnettävät valvontatoimivaltuudet kohdistuvat laajasti myös eduskuntaan kokonaisuutena.
(22) Eduskunnan työjärjestyksen 74 §:n mukaan eduskunnan kanslian tehtävänä on luoda eduskunnalle edellytykset hoitaa sille valtioelimenä kuuluvat tehtävät. Perustuslakivaliokunnan käsityksen mukaan hallituksen esityksessä on omaksuttu lähtökohta, jonka mukaan eduskunnan valtiopäivätoiminta ja eduskunnan kanslian viranomaistoiminta ovat erotettavissa toisistaan myös tässä sääntely-yhteydessä. Valiokunnan saaman selvityksen mukaan tällainen erottelu ei ole kuitenkaan mahdollista. Eduskunnan kanslian tietojärjestelmissä käsitellään pääosin valtiopäivätoimintaan liittyviä tietoja.
(23) Perustuslakivaliokunnan mielestä erityisesti eduskunnan kanslian sisällyttäminen kokonaisuudessaan lain soveltamisalaan on valtiosääntöoikeudellisesti ongelmallista. Eduskunnan kanslia on kiinteä osa eduskunnan organisaatiota eikä sitä voida erottaa eduskunnan toiminnasta ylimpänä valtioelimenä. Vastaavia eduskunnan toimintaan liittyviä näkökohtia voidaan esittää myös eduskunnan muista virastoista. Esimerkiksi perustuslain 90 §:n 2 momentin mukaan valtion taloudenhoidon ja valtion talousarvion noudattamisen tarkastamista varten eduskunnan yhteydessä on riippumaton valtiontalouden tarkastusvirasto.
(24) Perustuslakivaliokunta on aikaisemmin pitänyt perustuslain 2 §:n kannalta ongelmallisena sääntelyä, jossa eduskunnan virastojen tietohallinta olisi osoitettu valtiovarainministeriön ohjauksen piiriin. Valiokunnan mukaan kysymys oli viime kädessä perustuslain 2 §:ään palautuvasta valtiojärjestyksen perusteisiin kuuluvasta institutionaalisesta ratkaisusta, jossa lainsäädäntövaltaa käyttävä ja valtiontaloudesta päättävä eduskunta on ylimpänä valtioelimenä erotettu hallitusvaltaa käyttävästä valtioneuvostosta. Tämän perusratkaisun vastaista olisi valiokunnan mielestä selvästi ollut sellainen tilanne, jossa valtiovarainministeriö ohjaisi eduskunnan virastojen tietohallintoa. Sen vuoksi tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä oli valiokunnan tuolloin ottaman kannan mukaan, että eduskunnan virastot ja laitokset poistettiin lakiehdotuksen soveltamisalasta (PeVL 46/2010 vp, s. 3).
(25) Perustuslakivaliokunnan mielestä nyt käsiteltävää lakiehdotusta on arvioitava samankaltaisin eduskunnan asemaan ylimpänä valtioelimenä liittyvin perustein. Ehdotus ei ole yhteensopiva suhteessa eduskunnan asemaan ylimpänä valtioelimenä (ks. myös PeVL 14/2018 vp, s. 10—11).
(26) Perustuslakivaliokunnan käsityksen mukaan direktiivissä ei edellytetä nyt ehdotetun kaltaista eduskunnan virastoihin ulottuvaa soveltamisalaa. Valiokunnan mielestä direktiivissä mainitusta parlamentin käsitteestä hallituksen esityksessä omaksuttu suppea tulkinta ei ole yhteensopiva eduskunnan valtiosääntöiseen asemaan kiinnittyvien näkökohtien kanssa. Hallituksen esityksen 2. lakiehdotusta on muutettava siten, että tiedonhallintalain 4 a lukua ei sovelleta eduskunnan virastoihin. Tällainen muutos on edellytyksenä 2. lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä.