Ehdotuksen lähtökohdat

Hallituksen esityksen tarkoituksena on panna kansallisesti täytäntöön Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (jäljempänä rikosasioiden tietosuojadirektiivi, poliisidirektiivi tai direktiivi). 

Direktiivin täytäntöön panemiseksi ehdotetaan lakia henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1. lakiehdotus, jäljempänä myös rikosasioiden tietosuojalaki). Laki on luonteeltaan yleislaki, jota sovelletaan, jollei muualla lainsäädännössä säädetä toisin. Lakia soveltavilla toimivaltaisilla viranomaisilla on myös hallinnonalakohtaista erityissääntelyä. 

Rikosasioiden tietosuojalakia sovelletaan poliisin, syyttäjien, yleisten tuomioistuinten, Rikosseuraamuslaitoksen, Tullin, Rajavartiolaitoksen ja muiden toimivaltaisten viranomaisten käsitellessä henkilötietoja, kun kysymys on rikoksen ennalta estämisestä, paljastamisesta, selvittämisestä tai syyteharkintaan saattamisesta, rikokseen liittyvästä syyttäjän toiminnasta, rikosasian käsittelemisestä tuomioistuimessa, rikosoikeudellisen seuraamuksen täytäntöön panemisesta taikka yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemisesta tai tällaisten uhkien ehkäisemisestä. 

Rikosasioiden tietosuojalakia sovelletaan myös Puolustusvoimien, poliisin ja Rajavartiolaitoksen käsitellessä henkilötietoja kansallisen turvallisuuden ylläpitämisen yhteydessä. Direktiivi ei tätä edellytä, joten tältä osin kyse on kansallisesta ratkaisusta. 

Ehdotettu laki sisältää säännökset henkilötietojen käsittelyn yleisistä periaatteista lain sovelta-misalalla. Näihin periaatteisiin kuuluvat muun muassa lainmukaisuusvaatimus, käyttötarkoitussidonnaisuuden periaate, tarpeellisuusvaatimus ja virheettömyysvaatimus. Laissa on myös erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyä ja henkilötunnuksen käsittelyä koskevia erityissäännöksiä. Lisäksi laissa säädetään rekisterinpitäjän ja henkilötietojen käsittelijän vastuusta, tarkastusoikeudesta ja muista rekisteröidyn oikeuksista, tietoturvallisuusvaatimuksista, tietosuojavastaavan nimeämisestä ja tehtävistä, vaatimuksista siirrettäessä henkilötietoja kolmansiin maihin, lain noudattamisen valvonnasta sekä käytettävissä olevista oikeussuojakeinoista ja seuraamuksista. Lain noudattamista valvovana erityisviranomaisena toimii tietosuojavaltuutettu. 

Samanaikaisesti direktiivin kanssa on annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (jäljempänä tietosuoja-asetus). Säädökset muodostavat keskeisen osan EU:n tietosuojalainsäädännön uudistusta, jolla pyritään nykyaikaistamaan ja yhdenmukaistamaan henkilötietojen suojaa koskeva sääntely unionissa. 

Tietosuoja-asetus koskee lähtökohtaisesti lähes kaikkea henkilötietojen käsittelyä yksityisellä ja julkisella sektorilla, mutta sen soveltamisalan ulkopuolelle on rajattu käsillä olevassa direktiivissä tarkoitettu henkilötietojen käsittely rikosasioissa. Asetusta täydentävästä ja täsmentävästä kansallisesta lainsäädännöstä on annettu hallituksen esitys (HE 9/2018 vp), josta hallintovaliokunta on antanut mietinnön HaVM 13/2018 vp. Rikosasioiden tietosuojalain piiriin kuuluvat viranomaiset soveltavat siten tietosuoja-asetusta ja sitä täydentävää tietosuojalakia silloin, kun kyse on henkilötietojen käsittelystä muulla kuin direktiivin soveltamisalalla. 

Hallintovaliokunnan käsittelyssä on noussut esille useita sellaisia kysymyksiä, jotka ovat tulleet esille myös tietosuojalakia koskevan hallituksen esityksen yhteydessä (HE 9/2018 vp). Näitä ovat esimerkiksi kysymys rekisteröidyn oikeussuojakeinoista, viivästysvalituksesta, komission tietosuojaa koskevan päätöksen lainmukaisuuden selvittämisestä ja seuraamuksista. Hallintovaliokunta pitää lainsäädännön selkeyden ja johdonmukaisuuden vuoksi perusteltuna, että kansalliset lainsäädäntöratkaisut ovat näiden kysymysten osalta mahdollisimman yhtenäisiä. Mainittujen lakien välillä on myös perusteltuja eroavaisuuksia. Merkitystä on muun muassa sillä, että toisin kuin tietosuoja-asetus ja tietosuojalaki, joita sovelletaan sekä julkisella että yksityisellä sektorilla, ehdotettu rikosasioiden tietosuojalaki on lähtökohtaisesti organisatoriselta soveltamisalaltaan viranomaisiin rajautuva. 

Perustuslakivaliokunta on antanut esityksestä lausunnon PeVL 26/2018 vp. Valiokunnalla ei ole ollut huomauttamista hallituksen esitykseen sisältyvien lakiehdotusten perusratkaisuista. Perustuslakivaliokunnan mukaan lain soveltamisalan laajennus kansallisen turvallisuuden ylläpitämiseen täyttää henkilötietojen turvaamista koskevan perustuslaillisen velvoitteen myös tältä osin. Valiokunta on katsonut, että hallituksen esitykseen sisältyvässä lakiehdotuksessa on asianmukaiset ja yksityiskohtaiset säännökset henkilötietojen käsittelyn yleisistä edellytyksistä ja periaatteista, rekisteröidyn oikeuksista, valvonnasta ja esimerkiksi tietoturvasta. Valiokunta on kiinnittänyt kuitenkin huomiota eräisiin säännösehdotuksiin. 

Perustuslakivaliokunnan lausunnon mukaan lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä, 1. lakiehdotus kuitenkin vain, mikäli valiokunnan sen 48 ja 61 §:stä tekemät valtiosääntöoikeudelliset huomautukset otetaan asianmukaisesti huomioon. 

Lakivaliokunnan lausunnossa (LaVL 10/2018 vp) on oikeusturvaan ja seuraamuksiin liittyvien kysymysten lisäksi käsitelty erityisesti sääntelyn soveltumista tuomioistuinten toimintaan. 

Hallituksen esityksen ja saamansa selvityksen perusteella hallintovaliokunta puoltaa hallituksen esitykseen sisältyvien lakiehdotusten hyväksymistä tästä mietinnöstä ilmenevin huomautuksin ja muutosehdotuksin. 

Suhde tietosuojalakiin

Perustuslakivaliokunta on tietosuojalakia koskevassa lausunnossaan PeVL 14/2018 vp kiinnittänyt huomiota siihen, että tietosuojalakia ei sovelleta sellaiseen henkilötietojen käsittelyyn, josta säädetään henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettavassa laissa. Valiokunnan mielestä henkilötietolakia ei voi kumota ennen mainitun lain voimaantuloa kokonaisuudessaan, sillä perustuslain 10 §:n mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Valiokunnan mielestä on selvää, että perustuslain 10 §:n 1 momentin sääntelyvarauksella ilmaistaan lailla säätämisen lisäksi se lähtökohta, että henkilötietojen suojaa koskeva perusoikeus selvästi edellyttää tuekseen tavallista lainsäädäntöä (ks. myös PeVM 25/1994 vp, s. 5/II—6/I). Perustuslakivaliokunta on edellyttänyt, että hallintovaliokunnan on siirtymäsäännöksin varmistettava, että henkilötietojen suojaa koskevan yleislainsäädännön soveltamisala on kattavaa myös ennen poliisidirektiivin toimeenpanoon liittyvän lain voimaantuloa, mikäli tietosuojalakiehdotus hyväksytään ennen sitä. Tällainen muutos on edellytyksenä sille, että ehdotus tietosuojalaiksi voidaan käsitellä tavallisen lain säätämisjärjestyksessä. 

Käsillä olevassa hallituksen esityksessä ehdotetut lait on alun perin tarkoitettu tulemaan voimaan 6.5.2018. Esitykseen sisältyvät lakiehdotukset on kuitenkin laadittu lakiteknisesti siitä näkökulmasta, että ne tulevat voimaan samanaikaisesti tietosuojalakia koskevassa hallituksen esityksessä HE 9/2018 vp ehdotettujen lakien kanssa. Hallintovaliokunta on antanut hallituksen esityksestä HE 9/2018 vp mietinnön HaVM 13/2018 vp. Hallintovaliokunta toteaa, että suunniteltu etenemisjärjestys on käsillä olevassa tilanteessa mahdollinen, jolloin perustuslakivaliokunnan mainitsemaa ongelmaa ei synny. Mietinnössä HaVM 13/2018 vp ei sen vuoksi ole ehdotettu siirtymäsääntelyä. Hallintovaliokunta toteaa, että lait tulee saattaa voimaan samanaikaisesti, jolloin mitään siirtymäsäännöksiä ei tarvita. 

Henkilötietojen suojan kannalta keskeiset sääntelykohteet

Perustuslakivaliokunta on arvioinut EU:n tietosuoja-asetuksen soveltamisen alkamisen merkitystä henkilötietojen suojalle lausunnossaan PeVL 14/2018 vp. Valiokunta katsoi, että tietosuoja-asetuksen soveltamisen alkamisen johdosta on perusteltua tarkistaa aiempaa valiokunnan kantaa henkilötietojen suojan kannalta tärkeistä sääntelykohteista. Valiokunnan mukaan tietosuoja-asetuksen yksityiskohtainen sääntely, jota tulkitaan ja sovelletaan EU:n perusoikeuskirjassa turvattujen oikeuksien mukaisesti, muodostaa yleensä riittävän säännöspohjan myös perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. 

Perustuslakivaliokunnan mielestä oli kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely (PeVL 14/2018 vp, s. 5). Valiokunta viittasi arkaluonteisten tietojen muodostaman riskin lisäksi nimenomaisesti siihen, että valiokunta on pitänyt henkilötietojen käsittelyä koskevassa valtiosääntöisessä arviossa merkityksellisenä myös käsittelyn tarkoitusta yksilöön kohdistuvan julkisen vallan käytön mahdollistajana (ks. PeVL 1/2018 vp). 

Perustuslakivaliokunnan mielestä perustuslain 10 §:ssä turvatut oikeudet saavat erityistä merkitystä korostuneen perusoikeusherkissä sääntelykonteksteissa. Valiokunta on esimerkiksi jo ennen perusoikeusuudistusta esittänyt sittemmin vakiintuneen luonnehdinnan, jonka mukaan "poliisilaki on tyypillisesti sellainen säädös, joka voi herkästi joutua ristiriitaan kansalaisten perusoikeuksien, varsinkin klassisten vapausoikeuksien kanssa" (PeVL 15/1994 vp, PeVL 67/2010 vp). 

Perustuslakivaliokunta katsoi osana perustuslain 10 §:n tulkintakäytäntöön kohdistuvaa tarkistusta, että toisin kuin suoraan sovellettava tietosuoja-asetus, poliisidirektiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta (PeVL 14/2018 vp, s. 7). Merkityksellistä on myös, että nyt arvioitavan hallituksen esityksen mukaan, siltä osin kuin lakia sovelletaan Puolustusvoimien, poliisin ja Rajavartiolaitoksen käsitellessä henkilötietoja kansallisen turvallisuuden ylläpitämisen yhteydessä, on kyse tietosuoja-asetuksen ja mainitun poliisidirektiivin EU-oikeuden soveltamisalaan kiinnittyvän soveltamisalan johdosta osin kansallisesta ratkaisusta eikä ehdotetun sääntelyn taustalle ole siten kaikilta osin osoitettavissa EU-sääntelyä. 

Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on sanotun johdosta tällaisissa perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös PeVL 14/2018 vp, s. 7). Merkityksellistä tässä suhteessa on, että käsillä olevaan esitykseen sisältyvä ehdotus laiksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä olisi soveltamisalallaan yleislakina sovellettavaksi tuleva laki, jota on tarkoitus täydentää eri hallinnonaloja koskevalla erityslainsäädännöllä. 

Perustuslakivaliokunta on kiinnittänyt huomiota myös henkilötietojen käsittelyä koskevan sääntelyn raskauteen ja monimutkaisuuteen (ks. esim. PeVL 31/2017 vp, PeVL 71/2014 vp). Perustuslakivaliokunta muistuttaa tämän johdosta, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden, täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joiltain osin täyttää myös tietosuoja-asetuksen soveltamisalan ulkopuolella kansalliseen oikeuteen sisältyvällä yleislailla (ks. myös PeVL 14/2018 vp, PeVL 31/2017 vp, PeVL 5/2017 vp, PeVL 38/2016 vp). 

Kansallinen liikkumavara ja kotirauhan suoja

Perustuslakivaliokunta on lausunnossaan katsonut, että kansallisen liikkumavaran laajuutta ei ole hallituksen esityksessä selostettu kaikilta osin riittävän seikkaperäisesti. Perustuslakivaliokunta katsoo erityisesti jäävän epäselväksi, edellyttääkö rikosasioiden tietosuojadirektiivin 47 artiklan 1 ja 4 kohdassa säädetty sitä, että ehdotetun lain noudattamista valvovalla viranomaisella tulee olla rajoittamaton kotirauhan piiriin ulottuva tarkastustoimivaltuus. 

Tietosuojavaltuutetun tarkastusoikeudesta säädettäisiin rikosasioiden tietosuojalain 48 §:ssä. Perustuslakivaliokunnan lausunnon mukaan tarkastustoimivaltuus on asianmukaisesti sidottu välttämättömyyteen. Perustuslakivaliokunta on kiinnittänyt kuitenkin huomiota siihen, että lakiehdotuksen 60 §:ssä viitataan myös yksin sakkouhkaisiin rikoksiin. Lausunnon mukaan hallintovaliokunnan on syytä tarkkaan selvittää kotirauhan piiriin ulottuvien toimenpiteiden tarpeellisuus. Mikäli kotirauhan piiriin ulottuva tarkastustoimivaltuus ei ole kaikilta osin direktiivin edellyttämä, on toimivaltuuden käyttö sidottava vain vankeusuhkaisiin rikoslain säännöksiin. Tällaisen muutoksen tekeminen on silloin edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. 

Hallintovaliokunta toteaa, että direktiivin kansallisen implementoinnin periaatteita ja kansallista liikkumavaraa on olennaisilta osiltaan selostettu esityksen perusteluissa yleisellä tasolla. Esityksessä todetaan rikosasioiden tietosuojadirektiivissä säädetyn, ettei sen kansallinen täytäntöönpano saisi johtaa henkilötietojen suojan tason heikentymiseen. Direktiivi ei myöskään estä jäsenvaltioita säätämästä direktiivissä edellytettyä korkeammasta rekisteröidyn oikeuksien suojan tasosta. Käsillä olevassa esityksessä onkin otettu huomioon voimassa olevan henkilötietolain (523/1999) sääntely ja eräiltä osin pyritty turvaamaan rekisteröidyn oikeuksia direktiivin edellyttämää vähimmäistasoa paremmin, muun muassa ottamalla lakiin säännökset henkilötunnuksen käsittelemisestä, vaikka direktiivissä ei kyseisestä asiasta säännöksiä olekaan. 

Yleisten implementointiperiaatteiden mukaisesti direktiivin säännökset on implementoitava tehokkaasti ja vilpittömän yhteistyön periaatteen mukaisesti. Direktiivi velvoittaa saavutettavaan tulokseen nähden jokaista jäsenvaltiota, jolle se on osoitettu, mutta jättää kansallisten viranomaisten valittavaksi muodon ja keinot. 

Direktiivin 47 artiklan 1 kohdan mukaan kunkin jäsenvaltion on säädettävä laissa, että sen valvontaviranomaisella on tehokkaat tutkintavaltuudet. Näihin valtuuksiin on sisällyttävä vähintään valtuudet saada rekisterinpitäjältä ja henkilötietojen käsittelijältä pääsy kaikkiin käsiteltävänä oleviin henkilötietoihin ja kaikkiin tietoihin, jotka ovat tarpeen valvontaviranomaisen tehtävien suorittamisessa. Johdantokappaleessa 82 todetaan, että toimitiloihin pääsyä koskevia tutkintavaltuuksia olisi käytettävä jäsenvaltion lainsäädännön erityisvaatimusten mukaisesti, jollainen voi esimerkiksi olla ennakkoluvan saamista koskeva vaatimus. Vaikka kohta viittaa toimivaltuuksien "käyttämiseen" (engl. "exercise") eikä niistä säätämiseen, voitaneen kohdan viittauksen jäsenvaltion lainsäädäntöön katsoa tarkoittavan, että toimivaltuuksien säätämisessä on ainakin jonkin verran kansallista liikkumavaraa. 

Rikosasioiden tietosuojadirektiivi mahdollistaa sen, että henkilötietojen käsittelijä — ja tietyin edellytyksin jopa rekisterinpitäjä — on yksityinen taho. Tästä syystä hallintovaliokunta pitää perusteltuna, että tietosuojavaltuutetun tarkastusoikeus ulottuu myös kotirauhan suojan piiriin kuuluviin tiloihin. Direktiivi ei sen johdantokappaleessa 82 todettu huomioon ottaen kuitenkaan hallintovaliokunnan käsityksen mukaan ole esteenä sille, että tämän toimivaltuuden käyttö rajataan perustuslakivaliokunnan esittämällä tavalla vain vankeusuhkaisiin rikoslain säännöksiin. Hallintovaliokunta ehdottaa näin ollen mainitun 48 §:n muuttamista yksityiskohtaisissa perusteluissa tarkemmin esitetyllä tavalla. 

Vaitiolovelvollisuus ja suhde julkisuuslakiin

Ehdotetun rikosasioiden tietosuojalain 61 §:n mukaan henkilötietojen käsittelyyn osallistunut henkilö ei saa oikeudettomasti ilmaista sivulliselle näin tietoonsa saamiaan henkilötietoja eikä käyttää niitä omaksi tai toisen hyödyksi tai toisen vahingoksi. Lakiehdotuksen 2 §:n 2 momentin mukaan oikeuteen saada tieto ja muuhun henkilötietojen luovuttamiseen sovelletaan, mitä viranomaisen toiminnan julkisuudesta (621/1999, jäljempänä julkisuuslaki) säädetään. Perustuslakivaliokunta on lausunnossaan todennut, että ehdotetusta 61 §:n sääntelystä johtuen kaikki lain soveltamisalaan kuuluva henkilötietojen käsittely ja siinä käsitellyt tiedot olisivat lakiehdotuksen 2 §:n 2 momentista huolimatta vaitiolovelvollisuuden piirissä. Tämä ei esityksen perusteluiden mukaan ole ollut tarkoitus. 

Perustuslakivaliokunnan mielestä sääntelyä on täsmennettävä sille perusteluissa esitetyn tarkoituksen mukaisesti siten, että siitä käy selkeästi ilmi vaitiolovelvollisuuden suhde lakiehdotuksen 2 §:ssä viitattuun julkisuusperiaatetta toteuttavaan sääntelyyn. Tällaisen täsmennyksen tekeminen on edellytyksenä 1. lakiehdotuksen käsittelemiseksi tavallisen lain säätämisjärjestyksessä. 

Julkisuuslain 23 §:n 1 momentissa säädetyn mukaisesti viranomaisen palveluksessa oleva samoin kuin luottamustehtävää hoitava ei saa paljastaa asiakirjan salassa pidettävää sisältöä tai tietoa, joka asiakirjaan merkittynä olisi salassa pidettävä, eikä muutakaan viranomaisessa toimiessaan tietoonsa saamaa seikkaa, josta lailla on säädetty vaitiolovelvollisuus. Pykälän 2 momentissa vastaava vaitiolovelvollisuus ulotetaan myös viranomaiseen toimeksiantosuhteessa olevaan sekä tämän palveluksessa oleviin. Hallintovaliokunnan näkemyksen mukaan perustuslakivaliokunnan kannanotto huomioon ottaen julkisuuslain vaitiolovelvollisuussääntely on riittävää, eikä muuta aineellista lainsäädäntöä asiassa tarvita. Hallintovaliokunta ehdottaa näin ollen hallituksen esityksessä ehdotetun 61 §:n muuttamista informatiiviseksi viittaukseksi julkisuuslakiin yksityiskohtaisista perusteluista tarkemmin ilmenevin tavoin. Valiokunnan lakiehdotuksessa säännös on lain 62 §. 

Hallintovaliokunta tähdentää tässä yhteydessä vielä myös yleisemmin sitä hallituksen esityksessä todettua seikkaa, että ehdotetulla rikosasioiden tietosuojalailla ei ole tarkoitus muuttaa julkisuuslainsäädännön ja henkilötietojen suojaa koskevan lainsäädännön keskinäissuhdetta nykyisestä. 

Rekisteröidyn oikeudet

Rekisteröidyn oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja muutoksenhaku

Direktiivin 52 artiklan mukaan jokaisella rekisteröidyllä on oltava oikeus tehdä valitus valvontaviranomaiselle, jos hän katsoo häneen liittyvässä henkilötietojen käsittelyssä rikotun direktiivin nojalla annettuja säännöksiä. Valvontaviranomaisen on ilmoitettava rekisteröidylle valituksen etenemisestä ja ratkaisusta. Direktiivin 53 artiklan mukaan luonnollisilla henkilöillä ja oikeushenkilöillä on oltava oikeus käyttää tehokkaita oikeussuojakeinoja valvontaviranomaisen oikeudellisesti sitovia heitä koskevia päätöksiä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja. Jokaisella rekisteröidyllä on oltava oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut sen etenemisestä kolmen kuukauden kuluessa. Jäsenvaltioiden on lisäksi 54 artiklan mukaan säädettävä, että rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo oikeuksiaan rikotun sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu lakia. 

Direktiivin mainittujen säännösten täytäntöön panemiseksi rikosasioiden tietosuojalain 56 §:ssä ehdotetaan, että rekisteröidyllä on oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi (toimenpidepyyntö), jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä tai muuta henkilötietojen käsittelyä koskevaa lakia. Tietosuojavaltuutetun päätökseen saa lain 58 §:n mukaan hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan. Myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen. 

Säännösehdotukset vastaavat ehdotetun tietosuojalain säännöksiä. Lakivaliokunta on viitannut tietosuojalaista antamaansa lausuntoon (LaVL 5/2018 vp), jossa se on arvioinut tietosuojalain sääntelyä muun muassa siltä kannalta, onko hyväksyttävää, ettei esityksessä ole ehdotettu oikaisuvaatimusmahdollisuutta. Lakivaliokunta on myös arvioinut valitusluvan edellyttämistä haettaessa muutosta hallinto-oikeuden päätökseen samoin kuin viranomaisen valitusoikeutta. Lakivaliokunta päätyi pitämään tietosuojalakiehdotuksessa esitettyä sääntelyä näiltä osin asianmukaisena, ja se on katsonut, että sama pätee myös nyt käsillä olevaan lakiehdotukseen. Myöskään hallintovaliokunnalla ei ole ehdotettuun sääntelyyn huomauttamista. 

Rekisteröidyn oikeus saattaa asia muun kuin tietosuojavaltuutetun käsiteltäväksi

Direktiivin 54 artiklassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan tämän oikeuden kuitenkaan rajoittamatta muun muassa 52 artiklaan perustuvaa oikeutta tehdä valitus valvontaviranomaiselle. Ehdotettuun rikosasioiden tietosuojalakiin ei sisälly erityisiä säännöksiä rekisteröidyn oikeudesta valittaa välittömästi tuomioistuimeen tilanteessa, jossa rekisterinpitäjä rajoittaa rekisteröidyn tarkastusoikeutta tai ei hyväksy rekisteröidyn vaatimusta henkilötietojen oikaisemisesta, täydentämisestä, poistamisesta tai niiden käsittelyn rajoittamisesta. Rekisteröity voi saattaa tällaisen asian tietosuojavaltuutetun käsiteltäväksi, mistä päätöksestä voi valittaa hallintotuomioistuimeen. 

Rikosasioiden tietosuojalain 26 §:n mukaan rekisterinpitäjän on edellä mainituissa tilanteissa ilmoitettava rekisteröidylle kirjallisella todistuksella kieltäytymisestä ja sen perusteista. Perustuslakivaliokunta toteaa käsityksenään, että viranomaisen asianosaisen vaatimuksen hylkäämisestä laatima todistus muodostanee hallintolain tarkoittaman hallintopäätöksen. Perustuslakivaliokunta toteaa edelleen, että hallintovaliokunnan on syytä täsmentää sääntelyä, mikäli tarkoituksena on, että asiassa ei tehdä valituskelpoista hallintopäätöstä. 

Lakivaliokunta on käsitellyt olennaisilta osin samaa kysymystä omassa lausunnossaan (LaVL 10/2018 vp). Lakivaliokunta on viitannut tietosuojalaista antamaansa lausuntoon (LaVL 5/2018 vp) ja katsonut myös nyt käsillä olevassa yhteydessä, että käytännössä rekisteröidylle on luontevampi oikeussuojakeino kääntyä tietosuojavaltuutetun kuin tuomioistuimen puoleen. Tietosuojavaltuutetun päätöksestä saa myös valittaa hallinto-oikeuteen ja edelleen valitusluvalla korkeimpaan hallinto-oikeuteen, joten tuomioistuinkäsittely on tietosuojavaltuutetunkin puoleen käännyttäessä käytettävissä, jos rekisteröity ei tyydy valtuutetun päätökseen. Toisaalta lakivaliokunnan mielestä ei ole estettä sille, etteikö rekisteröity voisi valittaa viranomaisen rekisterinpitäjänä tekemästä hallintopäätöksestä hallinto-oikeuteen ilman kääntymistä ensin tietosuojavaltuutetun puoleen. Valiokunnan käsityksen mukaan viranomaisen tekemä hallintopäätös voi koskea myös henkilötietojen käsittelyä, ja tarvittaessa rekisteröity voi pyytää asiasta hallintopäätöksen, josta valituksen voi tehdä. Lakivaliokunnan näkemyksen mukaan direktiivi ei tältä osin edellytä erityisiä kansallisia säännöksiä. 

Voimassa olevan henkilötietolain 28 §:ssä on ehdotettua sääntelyä vastaavat säännökset rekisteröidylle annettavasta todistuksesta tilanteissa, joissa rekisterinpitäjä epää rekisteröidyn tekemän vaatimuksen. Saadun selvityksen mukaan rekisterinpitäjänä toimivat viranomaiset, kuten poliisi, eivät pääsääntöisesti ole pitäneet tällaisen todistuksen antamista valituskelpoisena hallintopäätöksenä. Eräät viranomaiset ovat kuitenkin joskus tehneet epäämispäätöksestä myös valituskelpoisia päätöksiä valitusosoituksineen. 

Selvyyden vuoksi hallintovaliokunta toteaa, että viranomainen voi rekisteröidyn pyynnöstä antaa edellä tarkoitetussa epäämisasiassa hallintopäätöksen. Tällaisen päätöksen valituskelpoisuus määräytyy yleislainsäädännön nojalla, eikä nimenomaista sääntelyä asiasta tarvita. Lakiehdotuksessa tarkoitetun todistuksen tarkoituksena on ennen kaikkea toimia tarpeellisena tieto- ja asiakirjapohjana tietosuojavaltuutetun valvontatoimenpiteiden käynnistämiselle. Hallintovaliokunta katsoo lakivaliokunnan tavoin, että käytännössä rekisteröidyn on kuitenkin luontevampaa kääntyä ensi vaiheessa tietosuojavaltuutetun kuin tuomioistuimen puoleen. 

Toisiinsa liittyvät menettelyt

Rikosasioiden tietosuojalain 57 §:n 1 momentin ensimmäisen virkkeen mukaan tietosuojavaltuutettu tutkii toimenpidepyynnössä tarkoitetun asian, jollei asia ole vireillä tuomioistuimessa. Selvityksen mukaan säännös koskee tilanteita, joissa henkilötietojen käsittelyn rikkominen on samanaikaisesti vireillä valvontaviranomaisella ja tuomioistuimessa. Kyse voi olla esimerkiksi siitä, että rekisteröity vaatii vahingonkorvausta kanteella tuomioistuimessa, koska valvontaviranomaisella ei ole toimivaltuuksia määrätä tällaisia korvauksia. Tällöin kyse olisi samasta rekisteröidystä, samasta rekisterinpitäjästä tai henkilötietojen käsittelijästä ja samasta rikkomuksesta. 

Vastaava tilanne on ollut esillä myös tietosuojalain käsittelyn yhteydessä. Hallintovaliokunta on tietosuojalakia koskevassa mietinnössään ehdottanut lakivaliokunnan lausuntoon LaVL 5/2018 vp viitaten, että tietosuojavaltuutetulle säädetään mahdollisuus keskeyttää sillä vireillä olevan asian käsittely, jos asia on vireillä tuomioistuimessa (HaVM 13/2018 vp). Asian keskeyttäminen ei merkitse asian käsittelyn lopettamista, vaan tietosuojavaltuutettu voi jatkaa käsittelyä myöhemmin. 

Lakivaliokunta on kiinnittänyt rikosasioiden tietosuojalakia koskevassa lausunnossaan huomiota siihen, että mainitusta lain 57 §:n säännöksestä saa sellaisen kuvan, että tietosuojavaltuutettu ei ota toimenpidepyyntöä käsiteltäväksi eikä käsittele sitä, jos asia on samanaikaisesti vireillä tuomioistuimessa. Lakivaliokunnan mielestä on perusteltua, että säännös kirjoitetaan yhdenmukaisesti tietosuojalakiehdotuksen kanssa, minkä vuoksi se on esittänyt hallintovaliokunnalle säännöksen muuttamista. Hallintovaliokunta toteaa, että säännöstä on tarpeen selkeyttää, ja pitää aiheellisena, että sääntely on tältä osin yhdenmukaista tietosuojalain kanssa. Hallintovaliokunta ehdottaa yksityiskohtaisissa perusteluissa säännöksen muuttamista. 

Viivästysvalitus

Direktiivin 53 artiklan 2 kohdan mukaan rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa valituksen etenemisestä tai ratkaisusta. Rikosasioiden tietosuojalain 57 §:n 1 momentin mukaan tietosuojavaltuutetun on ilmoitettava kohtuullisen ajan kuluessa asian käsittelyn etenemisestä, jos asian käsittely viivästyy. Ehdotettuun lakiin ei kuitenkaan sisälly nimenomaisia säännöksiä direktiivin tarkoittamista rekisteröidyn oikeussuojakeinoista. 

Direktiiviä vastaava säännös sisältyy myös tietosuoja-asetukseen, mutta myöskään sitä täydentävään tietosuojalakiehdotukseen ei sisältynyt erityisiä säännöksiä oikeussuojakeinoista (HE 9/2018 vp). Tietosuojalakia koskevaa ehdotusta käsiteltäessä on tarkasteltu tarvetta antaa erityisiä säännöksiä viivästysvalituksesta. Lakivaliokunta tuolloin katsoi, ettei asemaltaan itsenäisen valvontaviranomaisen toiminnan valvonta asetuksen tarkoittamalla tavalla kuulu luontevasti tuomioistuimille. Lakivaliokunta ei myöskään pitänyt tarkoituksenmukaisena ottaa käyttöön eri-tyistä viivästysvalitusta pelkästään tietosuoja-asetuksen tarkoittamia asioita varten. Lisäksi valiokunta katsoi, että jo nykyinen kantelumahdollisuus ylimmille laillisuusvalvojille on tehokas ja tässä yhteydessä riittävä oikeussuojakeino. Saamansa selvityksen perusteella lakivaliokunta päätyi puoltamaan hallituksen esityksessä ehdotettua ratkaisua olla sisällyttämättä viivästysvalitusta koskevia säännöksiä kansalliseen lainsäädäntöön (LaVL 5/2018 vp). Hallintovaliokunta ar--vioi esille tuotuja näkökohtia samoin ja piti hallituksen esityksen mukaista ratkaisua perusteltuna (HaVM 13/2018 vp). 

Hallintovaliokunta katsoo lakivaliokunnan tavoin, että tietosuojalain yhteydessä todettu soveltuu myös rikosasioiden tietosuojadirektiivin kansalliseen täytäntöönpanoon. Hallintovaliokunta ei näin ollen ehdota viivästysvalituksesta säädettävän myöskään tässä yhteydessä. 

Komission päätös tietosuojatason riittävyydestä

Ehdotetun rikosasioiden tietosuojalain 57 §:n 2 momentin mukaan, jos tietosuojavaltuutettu katsoo sillä vireillä olevassa asiassa tarpeelliseksi selvittää, onko 41 §:n 1 momentin 3 kohdassa tarkoitettu komission päätös tietosuojan tason riittävyydestä rikosasioiden direktiivin mukainen, valtuutettu voi hakemuksella saattaa asian Helsingin hallinto-oikeuden ratkaistavaksi. Viitatussa pykälässä mahdollistetaan henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö tarjoaa riittävän tietosuojan tason. 

Ehdotetun 57 §:n 2 momentin taustalla on unionin tuomioistuimen ratkaisu asiassa Schrems (C-362/14), jossa tuomioistuin on katsonut, että kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voivat tarvittaessa pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta komission päätöksen pätevyyden tutkimiseksi, jos ne valvontaviranomaisen tavoin epäilevät komission päätöksen unionin lainsäädännön mukaisuutta. Tavoitteena on siten tässä yhteydessä mahdollistaa se, että kansallinen valvontaviranomainen voi saattaa Helsingin hallinto-oikeuden ratkaistavaksi kysymyksen siitä, onko komission päätöksen direktiivinmukaisuudesta tarpeen pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta. Hakemuksen hyväksyminen tarkoittaa tällöin käytännössä ennakkoratkaisupyynnön tekemistä ja hakemuksen hylkääminen sitä, että ennakkoratkaisua ei pyydetä. 

Vastaava säännös sisältyy myös tietosuoja-asetuksen täydentämiseksi esitettyyn tietosuojalakiin (HE 9/2018 vp). Hallintovaliokunta on ehdottanut esityksestä antamassaan mietinnössä tietosuojalain säännöksen sanamuotoa täsmennettäväksi (HaVM 13/2018 vp). 

Vastaavalla tavalla kuin tietosuojalaki, myöskään ehdotettu rikosasioiden tietosuojalaki ei sisällä erityisiä menettelyä koskevia säännöksiä nyt tarkoitetun hakemusasian käsittelystä hallinto-oikeudessa. Selvyyden vuoksi on syytä todeta, että siihen soveltuu hallintolainkäyttölain 72 §, joka koskee "muuta hallintolainkäytössä käsiteltävää asiaa kuin valitusta, ylimääräistä muutoksenhakua tai hallintoriita-asiaa". Tällainen asia pannaan vireille toimittamalla vireillepanoa koskeva asiakirja sille viranomaiselle, jonka toimivaltaan asian ratkaiseminen kuuluu. Lisäksi sovellettavaksi tulee hallintolainkäyttölain 73 §, jonka mukaan menettelystä on muuten soveltuvin osin voimassa, mitä kyseisessä laissa säädetään valituksesta. Valituksen käsittelyä koskevat hallintolainkäyttölain säännökset ovat joustavia, joten hallintovaliokunta katsoo niiden mahdollistavan nyt käsiteltävänä olevan hakemusasian erityispiirteiden huomioon ottamisen asian käsittelyssä. 

Rikosasioiden tietosuojalain 57 §:n 2 momentti ei sisällä erityissäännöstä muutoksenhausta Helsingin hallinto-oikeuden päätökseen. Selvityksen mukaan tarkoituksena on ollut, että sovellettavaksi tulisi muutoksenhakua koskeva 58 §:n 2 momentti. Lakivaliokunta on kuitenkin esittänyt, että 57 §:n 2 momentissa tarkoitettujen komission päätösten osalta lakiin otettaisiin erityissäännös muutoksenhausta Helsingin hallinto-oikeuden päätökseen vastaavalla tavalla kuin on tehty tietosuojalaissa. Tätä voidaan hallintovaliokunnan mielestä pitää perusteltuna, koska valitusoikeus 57 §:n 2 momentissa tarkoitetusta Helsingin hallinto-oikeuden päätöksestä on lähtökohtaisesti viranomaisella eli tietosuojavaltuutetulla, kun taas 58 §:n 2 momentissa se on lähtökohtaisesti rekisteröidyllä, minkä vuoksi 58 §:n 2 momentissa on erikseen säädetty, että "myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen". Hallintovaliokunta ehdottaa säännöksen muuttamista ja uuden pykälän lisäämistä yksityiskohtaisissa perusteluissa tarkemmin esitetyin tavoin. 

Hallintovaliokunta toteaa, että tietosuojalain yhteydessä esitetyt huomiot valitusoikeuteen liittyvistä kysymyksistä pätevät myös nyt puheena olevaa säännösehdotukseen. Esimerkiksi kysymys siitä, onko rekisteröidyllä, jonka asian käsittelyn yhteydessä epäselvyys komission päätöksen direktiivinmukaisuudesta on syntynyt, valitusoikeus Helsingin hallinto-oikeuden päätökseen, edellyttää sen arvioimista, katsotaanko hallinto-oikeuden päätöksen hallintolainkäyttölain 6 §:n 1 momentissa tarkoitetulla tavalla "välittömästi" vaikuttavan rekisteröidyn oikeuteen, velvollisuuteen tai etuun. Lakivaliokunta on arvioinut tietosuojalakia koskevassa lausunnossaan tähän liittyviä näkökohtia (LaVL 5/2018 vp). Sen mukaan on lähtökohtaisesti mahdollista katsoa, ettei hallinto-oikeuden ennakkoratkaisun pyytämistä koskeva päätös koske rekisteröityä "välittömästi", jolloin valitusoikeutta ei ole. Toisaalta mahdollista on, että joissakin tapauksissa hallinto-oikeus harkitsee päätöksen vaikuttavan rekisteröidyn oikeuteen hallintolainkäyttölaissa tarkoitetulla tavalla "välittömästi", jolloin tällä olisi valitusoikeus. 

Itsekriminointisuoja

Itsekriminointisuojan keskeisenä sisältönä on oikeus olla rikosasiassa todistamatta itseään vastaan ja oikeus olla myötävaikuttamatta oman syyllisyyden toteamiseen. Suoja kuuluu perustuslain 21 §:ssä turvatun oikeudenmukaisen oikeudenkäynnin takeisiin (ks. PeVL 39/2014 vp, s. 4/I ja HE 309/1993 vp, s. 74/II). Myös Euroopan ihmisoikeustuomioistuimen ratkaisukäytännössä itsekriminointisuojan on katsottu kuuluvan Euroopan ihmisoikeussopimuksen 6 artiklan 1 kohdassa turvatun oikeudenmukaisen oikeudenkäynnin ydinalueelle (esim. Saunders v. Yhdistynyt kuningaskunta, 17.12.1996). Itsekriminointisuojan keskeisimmät soveltamistapaukset ovat oikeuskäytännössä koskeneet rikoksen esitutkintaa ja rikosoikeudenkäyntiä, mutta joissain tilanteissa itsekriminointisuojan on katsottu ulottuvan myös muihin tilanteisiin, joissa kyse ei ole rikosoikeudellisista seuraamuksista. Itsekriminointisuojaa on käsitelty myös tietosuojalain yhteydessä (HaVM 13/2018 vp, LaVL 5/2018 vp). 

Lakivaliokunta on kiinnittänyt rikosasioiden tietosuojalakia koskevassa lausunnossaan huomiota ehdotetun lain säännöksiin velvollisuudesta ilmoittaa tietoturvaloukkauksesta (33 ja 34 §). Valiokunnan käsityksen mukaan ilmoitusvelvollisuuteen sovellettavia seuraamussäännöksiä on tällöin tulkittava itsekriminointisuojan kanssa yhteensopivasti ottaen huomioon muun muassa Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö. Viime kädessä asian arvioiminen jää tuomioistuimen ratkaistavaksi. 

Lakivaliokunta on kiinnittänyt huomiota myös ehdotetun lain 52 §:ään, joka sisältää säännökset uhkasakosta. Pykälän 1 momentin mukaan tietosuojavaltuutettu voi asettaa eräiden päätösten sekä 47 §:ään perustuvan tiedonsaantioikeuden tehosteeksi uhkasakon. Pykälän 2 momentin mukaan uhkasakkoa ei kuitenkaan saa asettaa luonnolliselle henkilölle 1 momentissa tarkoitetun tietojen luovuttamista koskevan määräyksen tehosteeksi silloin, kun henkilöä on syytä epäillä rikoksesta ja tiedot koskevat rikosepäilyn kohteena olevaa asiaa. Jälkimmäisessä momentissa on kyse itsekriminointisuojasta. 

Uhkasakon määräämättä jättämisen kynnys on lain 52 §:n 2 momentissa liitetty ilmaisuun "on syytä epäillä". Sen sijaan tietosuojalain osalta on vastaavassa sääntely-yhteydessä esitetty kynnykseksi "on aihetta epäillä" (HE 9/2018 vp, 1. lakiehdotuksen 22 §). Lakivaliokunta lausunnossaan toteaa, että uhkasakon määräämättä jättämisen kynnyksestä ei ole muodostunut vakiintunutta linjaa, vaan lainsäädäntöratkaisut vaihtelevat. Sanamuodon valinnassa merkitystä voidaan antaa sille, minkä viranomaisen tekemästä arviosta asiassa katsotaan olevan kyse, sekä sille, kytketäänkö itsekriminointisuoja ainoastaan niihin tilanteisiin, joissa esitutkintaviranomainen on jo tehnyt päätöksen esitutkinnan käynnistämisestä ("on syytä epäillä"), vai tulisiko itsekriminointisuoja ulottaa myös niihin tilanteisiin, joissa valvontaviranomainen arvioi, että tapaus saattaa myöhemmin johtaa rikosoikeudellisiin seuraamuksiin ("on aihetta epäillä"). 

Lakivaliokunta katsoi tietosuojalakiehdotusta koskevassa lausunnossaan (LaVL 5/2018 vp), että ilmaisua "on aihetta epäillä" puoltaa se, että se antaa tietojenantovelvolliselle luonnolliselle henkilölle suojaa laaja-alaisemmin, joten se olisi paremmin sopusoinnussa itsekriminointisuojan kanssa. Itsekriminointisuojan kytkeminen ilmaisuun "on syytä epäillä" voi sitoa itsekriminointisuojan liian tiukasti muodollisen esitutkinnan aloittamiseen. Lakivaliokunta ei kuitenkaan nähnyt estettä sille, etteikö säännöksessä voitaisi käyttää myös ilmaisua "on syytä epäillä". Valiokunta kuitenkin huomautti, että jos näin tehdään, säännös ei kuitenkaan sääntele tyhjentävästi itsekriminointisuojan merkitystä, vaan suojan ala voi tapauskohtaisesti ulottua säännöstä laajemmalle. 

Lakivaliokunta ei ole ottanut kantaa siihen, kumpi ilmaisu säännöksessä tulisi sen mielestä olla, vaan on jättänyt sen hallintovaliokunnan harkintaan. Lakivaliokunnan mukaan tärkeää kuitenkin olisi, että tietosuojalaissa ja nyt käsillä olevassa lakiehdotuksessa käytetyt ilmaisut olisivat yhtenevät. Hallintovaliokunta on tietosuojalain osalta päätynyt puoltamaan ilmaisua "on aihetta epäillä" (HaVM 13/2018 vp). Hallintovaliokunta toteaa kyseisen ilmaisun olevan paremmin sopusoinnussa itsekriminointisuojan kanssa, minkä vuoksi valiokunta ehdottaa sen käyttämistä myös nyt käsiteltävänä olevan rikosasioiden tietosuojalain 52 §:n 2 momentissa. Näin myös laeissa käytetyt ilmaisut olisivat tältä osin yhtenevät. 

Seuraamukset

Direktiivin 57 artiklan mukaan jäsenvaltioiden on vahvistettava säännöt tietosuojasäännösten rikkomisen johdosta määrättävistä tehokkaista, oikeasuhtaisista ja varoittavista seuraamuksista. 

Direktiivi ei sisällä säännöksiä hallinnollisesta seuraamusmaksusta, vaan seuraamusjärjestelmän osalta se jättää jäsenvaltioille tietosuoja-asetusta laajemman liikkumavaran. Direktiivin täytäntöön panemiseksi ei ehdoteta hallinnollisen seuraamusmaksun käyttöönottamista ehdotetun ri-kosasioiden tietosuojalain soveltamisalalla. Lainvastaisen menettelyn osalta tietosuojavaltuutettu voi kuitenkin antaa esimerkiksi huomautuksen tai asettaa väliaikaisen tai pysyvän kiellon tai muun rajoituksen henkilötietojen käsittelylle. Tietosuojavaltuutettu voisi asettaa oikeudellisesti velvoittavan päätöksensä tehosteeksi uhkasakon. Lisäksi esityksessä ehdotetaan tietosuojavaltuutetulle direktiivin minimivaatimusta laajempia toimivaltuuksia, mikä osaltaan mahdollistaa laajan keinovalikoiman puuttua lainvastaiseen henkilötietojen käsittelyyn. Lisäksi rekisterinpitäjää koskee ankara korvausvastuu lain vastaisen henkilötietojen käsittelyn aiheuttamista vahingoista (1. lakiehdotuksen 59 §). Lakivaliokunnalla ei ole ollut huomauttamista esitettyyn sääntelytapaan (LaVL 10/2018 vp). 

Hallituksen esityksessä ehdotettuun rikosasioiden tietosuojalain 60 §:ään on sisällytetty viittaussäännökset sääntelykokonaisuuden kannalta merkityksellisiin rikoslain säännöksiin. Viittaussäännöksen mukaan rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Kyseinen rangaistussäännös on uusi, ja sitä koskeva ehdotus sisältyy hallituksen esitykseen yleistä tietosuoja-asetusta täydentäväksi lainsäädännöksi (HE 9/2018 vp). Kyseisessä hallituksen esityksessä on ehdotettu, että säädetään uusi rangaistussäännös tietosuojarikoksesta, joka korvaa aiemman rikoslain 38 luvun 9 §:ssä säädetyn henkilötietorikoksen. Rangaistussääntelyä on arvioitu hallintovaliokunnan kyseisestä esityksestä antamassa mietinnössä HaVM 13/2018 vp. 

Mainitun 60 §:n kolmannessa virkkeessä viitataan rikoslain säännöksiin ehdotetun lain 61 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta. Lakivaliokunta on lausunnossaan katsonut, että viittauksen tulee koskea myös 55 §:ssä säädettyä ilmoittajan henkilöllisyyden salassa pitämistä. Lisäksi 2.—5. lakiehdotukseen on perusteltua sisällyttää informatiivinen viittaus tietosuojarikosta koskevaan rikoslain 38 luvun 9 §:ään. Kyseisissä laeissa on esimerkiksi henkilötietojen käyttötarkoitussidonnaisuutta, luovuttamista, siirtämistä ja käsittelyn turvallisuutta koskevia säännöksiä, joiden rikkominen voi olla rangaistavaa uuden tietosuojarikosta koskevan säännöksen mukaan. Tällainen informatiivinen viittaussäännös rikoslain 38 luvun 9 §:ään sisältyy hallituksen esityksen 6. lakiehdotuksen 37 §:n 2 momenttiin. Siltä osin lakivaliokunta on esittänyt säännöksen tarkistamista. Hallintovaliokunta pitää lakivaliokunnan esityksiä aiheellisina ja ehdottaa lakiehdotuksia täsmennettäviksi yksityiskohtaisissa perusteluissa tarkemmin esitetyllä tavalla. Valiokunnan lakiehdotuksessa edellä mainitut 60 ja 61 § ovat lain 61 ja 62 §. 

Henkilötietojen siirrot kolmansiin maihin ja kansainvälisille järjestöille

Ehdotetun rikosasioiden tietosuojalain 7 lukuun otettaisiin säännökset niistä yleisistä edellytyksistä, joiden vallitessa toimivaltainen viranomainen saa siirtää henkilötietoja kolmanteen maahan. Ehdotetut säännökset vastaavat rikosasioiden tietosuojadirektiivin V luvussa säädettyä.  

Siirron olisi ensinnäkin oltava tarpeen ehdotetun lain soveltamisalasäännöksessä lueteltuja tarkoituksia varten, esimerkiksi rikoksen selvittämiseksi tai rangaistuksen täytäntöön panemiseksi. Komission olisi lisäksi tullut todeta kyseisen maan tietosuojan tason olevan riittävä. Jos komissio ei ole tehnyt kyseistä maata koskevaa päätöstä tietosuojan riittävästä tasosta, voidaan henkilötietoja siirtää kyseiseen maahan edellyttäen, että henkilötietojen suojatoimista on muutoin asianmukaisesti huolehdittu. Poikkeuksellisesti henkilötietoja voitaisiin ehdotetun 43 §:n nojalla siirtää kolmanteen maahan, vaikka henkilötietojen suojasta kyseisessä maassa ei ole riittävää varmuutta, jos siirto on välttämätön esimerkiksi yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhkan, kuten terroriteon, estämiseksi. Koska mainittuun pykälään otettavissa edellytyksissä on kyse poikkeuksista henkilötietojen siirtämistä koskeviin edellytyksiin, muistuttaa hallintovaliokunta siitä, että näitä edellytyksiä tulee tulkita supistavasti. Hallintovaliokunta muistuttaa niin ikään siitä lain 41 §:n 1 momenttiinkin kirjatusta lähtökohdasta, että henkilötietoja saa siirtää kolmanteen maahan tai kansainväliselle järjestölle vain, jos kaikkia muitakin ehdotetussa laissa säädettyjä henkilötietojen käsittelyyn sovellettavia säännöksiä noudatetaan. Tällaiset säännökset koskevat muun muassa käyttötarkoitussidonnaisuutta. 

Rikosasioiden tietosuojadirektiivin 61 artiklan mukaan henkilötietojen siirtoa kolmansiin maihin tai kansainvälisille järjestöille edellyttävät kansainväliset sopimukset, joita jäsenvaltiot ovat tehneet ennen direktiivin voimaan tuloa ja jotka ovat unionissa kyseisenä päivänä voimassa olleen oikeuden mukaisia, ovat edelleen voimassa, kunnes niitä muutetaan tai ne korvataan tai kumotaan. Hallintovaliokunnan käsityksen mukaan direktiivin ja sen kansallisen täytäntöönpanolain säännöksiä ei kuitenkaan ole tarkoitus ollut jättää kokonaan huomiotta siirrettäessä henkilötietoja kolmanteen maahan, erityisesti kun otetaan huomioon henkilötietojen suojan merkitys perusoikeutena. Hallintovaliokunnan käsityksen mukaan direktiivin 61 artiklaa on tulkittava niin, että voimassa olevia sopimuksia voidaan edelleen soveltaa, mutta direktiivin täytäntöönpanolain säännöksiä muun muassa henkilötietojen siirrosta kolmansiin maihin on sovellettava samanaikaisesti täydentävästi.