Arvioinnin lähtökohdat
(1) Hallituksen esityksen tavoitteena on uudistaa henkilötunnusjärjestelmää mahdollistamalla henkilötunnuksen myöntäminen ulkomaalaisille nykyistä laajemmin, mahdollistamalla sähköinen etärekisteröityminen väestötietojärjestelmään, kehittämällä väestötietojärjestelmän identiteetinhallintaa, vähentämällä organisaatiokohtaisten yksilöivien tunnusten tarvetta, luomalla edellytykset kokonaan uuden yksilöintitunnuksen käyttöönotolle sekä täsmentämällä henkilötunnuksen käsittelyä koskevia säännöksiä. Henkilötunnuksen rakennetta ehdotetaan muutettavaksi poistamalla siitä tieto henkilön sukupuolesta.
(2) Lakiehdotuksia tarkastellaan hallituksen esityksen säätämisjärjestysperusteluissa. Perustuslakivaliokunta voi pääpiirteissään yhtyä säätämisjärjestysperusteluissa tehtyihin johtopäätöksiin. Valiokunnalla ei ole huomauttamista sääntelyn tavoitteista tai perusratkaisuista.
Henkilö- ja yksilöintitunnuksen määrittely
(3) Henkilön yksilöinnin ja tunnistamisen muodollisilla edellytyksillä on keskeinen merkitys henkilön toimimiselle erilaisissa yhteiskunnallisissa tilanteissa, ja luotettava yksilöinti on usein välttämätöntä erilaisissa asiointitilanteissa. Yksilöintiä ja tunnistamista käytetään vakiintuneesti erilaisten oikeuksien ja velvollisuuksien kohdentamisen perusteena, ja niillä on käytännössä merkitystä myös perusoikeuksien toteuttamisessa.
(4) Perustuslakivaliokunnan mielestä sääntely on pääosin asianmukaista. Lakiehdotuksiin ei kuitenkaan sisälly henkilön yksilöinnin ja tunnistamisen määritelmiä, vaikka esimerkiksi tietosuojalain 29 §:ään ehdotetaan lisättäväksi säännös henkilötunnuksen käsittelystä rekisteröidyn yksiselitteiseksi yksilöimiseksi eräissä tilanteissa. Lisäksi tietosuojalain 29 §:ään ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 12 §:ään ehdotetaan lisättäviksi säännökset kiellosta tunnistaa rekisteröity yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä. Perustuslakivaliokunnan mielestä tunnistaminen ja yksilöinti on syytä määritellä selkeästi laissa.
Automaattinen päätöksenteko
(5) Lakiehdotuksen perustelujen mukaan ehdotettu etärekisteröintimenettely on tarkoitus toteuttaa pääsääntöisesti automatisoituna menettelynä, jossa rekisteröinti tapahtuu ilman luonnollisen henkilön käsittelyä. Nyt arvioitava hallituksen esitys on esityksen perustelujen mukaan (s. 133) valmisteltu sillä oletuksella, että automaattisen päätöksenteon käyttöalasta ja muista siihen liittyvistä seikoista säädetään hallintolaissa hallituksen esitykseen eduskunnalle julkisen hallinnon automaattista päätöksentekoa koskevaksi lainsäädännöksi (HE 145/2022 vp) sisältyvän lakiehdotuksen mukaisesti. Nyt arvioitavan hallituksen esityksen perusteluissa (s. 126) viitataan myös siihen, että mikäli mainitussa hallituksen esityksessä esitetty automaattisen päätöksenteon yleislainsäädäntö ei tule voimaan suunnitellusti vuoden 2023 alkupuolella, on myös etärekisteröintimenettelyn säädösehdotusten voimaantuloa lykättävä joko automaattisen päätöksenteon yleislainsäädännön voimaantuloon saakka tai kunnes menettely voidaan toteuttaa erillisratkaisuin ilman automaatiota. Perustuslakivaliokunta on vasta hiljattain antanut mainitusta esityksestä lausunnon (PeVL 81/2022 vp).
(6) Perustuslakivaliokunta kiinnittää hallintovaliokunnan huomiota esitysten keskinäisen suhteen asianmukaiseen huomioimiseen myös perustuslakivaliokunnan lausunnossa PeVL 81/2022 vp automaattisesta päätöksenteosta sanottu huomioiden. Valiokunta kiinnittää lisäksi perustuslain 21 §:ssä turvatun oikeusturvan ja hyvän hallinnon näkökulmasta huomiota hallintolakiin ehdotetun automaattista päätöksentekoa koskevan sääntelyn asianmukaiseen soveltamiseen.
Henkilötietojen suoja
(7) Väestötietojärjestelmä on yhteiskunnan toiminnan kannalta keskeinen tietovaranto ja yksi maan keskeisimmistä perusrekistereistä. Tietojärjestelmään sisältyy runsaasti henkilötietoja, ja osa henkilötiedoista on arkaluonteisia (ks. myös PeVL 3/2009 vp, s. 2/I). Esitykseen sisältyy säännöksiä henkilötietojen käsittelystä väestötietojärjestelmässä. Sääntely on siten merkityksellistä perustuslain 10 §:ssä turvatun yksityiselämän suojan ja henkilötietojen suojan kannalta.
(8) Perustuslakivaliokunnan mukaan yleisen tietosuoja-asetuksen yksityiskohtainen sääntely, jota tulkitaan ja sovelletaan EU:n perusoikeuskirjassa turvattujen oikeuksien mukaisesti, muodostaa yleensä riittävän säännöspohjan myös perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(9) Väestötietojärjestelmässä tapahtuvan henkilötietojen käsittelyn oikeusperustana pidetään esityksen perusteluissa (s. 130) yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa tarkoitettua rekisterinpitäjän lakisääteistä velvoitetta. Esityksen perusteluissa arvioidaan edelleen, että väestötietojärjestelmän täsmällistä ja kattavaa laintasoista erityissääntelyä on edelleen pidettävä tarpeellisena, koska kyseessä on yhteiskunnan perusrekisteri, jonka sisältämiä tietoja hyödynnetään erittäin laajasti yhteiskunnan toiminnoissa ja johon voidaan siten arvioida liittyvän erityisen suuria henkilötietojen suojaan liittyviä riskejä. Perustuslakivaliokunta yhtyy arvioon.
(10) Hallituksen esityksen 1. lakiehdotuksen 9 a §:n 2 momentissa ehdotetaan säädettäväksi, että rekisteröintiä pyytävän henkilön henkilöllisyys varmistetaan vertaamalla hänen rekisteröintimenettelyssä kasvoistaan ottamiaan kuvia ja videoita hänen matkustusasiakirjansa tekniseltä osalta luettavaan kasvokuvaan. Esityksen perustelujen (s. 99) mukaan käsittelyä suoritetaan siten, että rekisteröintiä pyytävä henkilö ottaa menettelyssä itsestään kasvokuvan ja videon sekä esittää ne Digi- ja väestötietovirastolle sähköistä tunnistusmenetelmää hyödyntäen.
(11) Perustuslakivaliokunnan mukaan tällaiset biometriset tunnistetiedot ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin (ks. myös PeVL 40/2021 vp, kappale 8). Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I). Myös EU:n tuomioistuin on katsonut, että esimerkiksi sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C-291/12, tuomion kohta 30).
(12) Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on sanotun johdosta tällaisissa perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös PeVL 14/2018 vp, s. 7). Valiokunnan mukaan on ollut selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely (PeVL 14/2018 vp, s. 5).
(13) Perustuslakivaliokunta pitää nyt ehdotettua sääntelyä tästä näkökulmasta asianmukaisena. Hallintovaliokunnan on kuitenkin syytä varmistua ehdotetun sääntelyn yhteensopivuudesta EU:n tietosuoja-asetuksen kanssa kiinnittäen huomiota erityisesti etärekisteröintimenettelyn suhteeseen asetuksen 22 artiklassa automatisoiduista yksittäispäätöksistä säädettyyn.