I propositionen föreslås det att det stiftas en lag om informationsutbyte mellan de brottsbekämpande myndigheterna i Europeiska unionens medlemsstater samt att lagen om behandling av personuppgifter i polisens verksamhet (616/2019), lagen om behandling av personuppgifter inom Tullen (650/2019) och lagen om behandling av personuppgifter vid Gränsbevakningsväsendet (639/2019) ändras. Genom propositionen genomförs Europaparlamentets och rådets direktiv (EU) 2023/977 (nedan informationsutbytesdirektivet) om utbyte av information mellan medlemsstaternas brottsbekämpande myndigheter och om upphävande av rådets rambeslut 2006/960/RIF (nedan det svenska rambeslutet).
Informationsutbytet mellan de brottsbekämpande myndigheterna i EU-området har tidigare byggt på det svenska rambeslutet, som i Finland genomförts nationelltLagen om det nationella genomförandet av de bestämmelser som hör till området för lagstiftningen i rådets rambeslut om förenklat informations- och underrättelseutbyte mellan de brottsbekämpande myndigheterna i Europeiska unionens medlemsstater och om tillämpning av rambeslutet (26/2009). Enligt en utvärdering som kommissionen låtit utföra har bestämmelserna om informationsutbyte enligt svenska rambeslutet inte varit tillräckligt tydliga och har inte kunnat säkerställa ett tillräckligt och snabbt informationsutbyte mellan medlemsstaterna för att de behöriga brottsbekämpande myndigheterna ska kunna tackla utmaningarna med organiserad, gränsöverskridande brottslighet i och med globaliseringen och digitaliseringen.
Genom informationsutbytesdirektivet och den föreslagna regleringen fastställs nu harmoniserade, tydliga och aktuella regler för informationsutbyte samt en standardkanal för informationsutbyte mellan medlemsstaterna för att förebygga och upptäcka brott. I propositionen föreslås också bestämmelser om ett enda elektroniskt ärendehanteringssystem för informationsutbyte. Den föreslagna regleringen tillämpas på informationsutbyte mellan de behöriga brottsbekämpande myndigheterna i Europeiska unionens medlemsstater i anslutning till såväl förundersökning som brottsbekämpning.
Enligt grundlagsutskottet utlåtande (GrUU 53/2024 rd) om den aktuella propositionen kan lagförslagen behandlas i vanlig lagstiftningsordning.
Sammantaget anser förvaltningsutskottet att propositionen behövs och fyller sitt syfte. Gränsöverskridande brottslighet kan bekämpas effektivare om informationsutbytet mellan de brottsbekämpande myndigheterna i EU:s medlemsstater sker snabbt, effektivt och enligt tydliga regler. Förvaltningsutskottet tillstyrker lagförslaget, men med följande anmärkningar och ändringsförslag.
Behörig brottsbekämpande myndighet
Med myndigheter inom den offentliga förvaltningen avses enligt 2 § 1 mom. 1 punkten i lagförslag 1 polisen, Tullen och Gränsbevakningsväsendet. I sitt utlåtande påpekar grundlagsutskottet att hänvisningen till polisen inte med beaktande av 1 § i polisförvaltningslagen kan anses vara en klar definition av behörig myndighet. Denna oklarhet kan ha särskild betydelse till exempel vid tillämpningen av bestämmelserna om den personuppgiftsansvariges skyldigheter. Grundlagsutskottet menar att regleringen bör preciseras.
Förvaltningsutskottet konstaterar att definitionen av behörig brottsbekämpande myndighet i den föreslagna lagen är densamma som definitionen av behörig myndighet i det svenska rambeslutet (artikel 2) och den nationella genomförandelagen (4 §). Enligt utredning till utskottet har begreppet skapat en fungerande grund för informationsutbyte mellan behöriga brottsbekämpande myndigheter i Finland. I informationsutbytesdirektivet föreslås inte heller några ändringar i begreppet behörig brottsbekämpande myndighet.
Bestämmelser om de föreslagna behöriga myndigheternas uppgifter och befogenheter vid brottsbekämpning finns för polisens del i polislagen (872/2011), för Gränsbevakningsväsendets del i gränsbevakningslagen (578/2005) och lagen om brottsbekämpning inom Gränsbevakningsväsendet (108/2018) och för Tullens del i lagen om brottsbekämpning inom Tullen (623/2015). Förvaltningsutskottet konstaterar att de brottsbekämpande myndigheternas uppgifter och befogenheter följer direkt av den gällande lagstiftningen och att det i propositionen inte föreslås några ändringar i dem. Utskottet tillägger att det i lagen om samarbete mellan polisen, Tullen och Gränsbevakningsväsendet (687/2009) har använts samma lagteknik som i lagförslaget.
Förvaltningsutskottet anser dessutom att det i lagförslaget är motiverat att föreskriva om behöriga myndigheter, eftersom inte alla brottsbekämpande myndigheter som gör förundersökning i Finland är behöriga myndigheter enligt lagförslaget. Den föreslagna regleringen tillämpas till exempel inte på Försvarsmaktens verksamhet. Utskottet föreslår därför ingen ändring i definitionen av behörig brottsbekämpande myndighet som föreslås i propositionen.
När det gäller personuppgiftsansvaret konstaterar förvaltningsutskottet dessutom särskilt att informationsutbytesdirektivet inte förutsätter någon nationell reglering av ansvaret. I 19 § i lagförslag 1, som gäller ett enda elektroniskt ärendehanteringssystem, föreskrivs det mer om personuppgiftsansvar än i direktivet. I paragrafen står det att varje behörig brottsbekämpande myndighet ska vara personuppgiftsansvarig för myndighetens personuppgifter som behandlas i ärendehanteringssystemet. Den föreslagna regleringen innebär ingen ändring i personuppgiftsansvaret.
Utlämnande av personuppgifter
Om den information som lämnas ut i enlighet med 2 eller 3 kap. innehåller personuppgifter, ska personuppgifter som avser enskilda registrerade begränsas till de kategorier som förtecknas i avsnitt B i bilaga II till EuropolförordningenEuropaparlamentets och rådets förordning (EU) 2016/794 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF, Europolförordningen och vara nödvändiga och proportionerliga för ändamålet med framställan.
Med avseende på svårbegriplighet i regleringen av personuppgifter noterar grundlagsutskottet att lagförslaget till vissa delar tämligen ordagrant återger ordalydelsen i direktivets artiklar, som inte till alla delar motsvarar terminologin i den nationella rättsordningen. Denna omständighet kan enligt grundlagsutskottet ha särskild betydelse också vid tillämpningen av regleringen.
Grundlagsutskottet har bedömt bestämmelserna om myndigheternas rätt att få och skyldighet att lämna ut information trots sekretess med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få information gäller och hur rätten är kopplad till nödvändighetskriteriet (GrUU 15/2018 rd). Myndigheternas rätt att få och möjlighet att lämna ut uppgifter kan gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om datainnehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 17/2016 rd, s. 2—3).
Eftersom utlämnandet av personuppgifter enligt 12 § på behörigt sätt är kopplat till nödvändighet, blir proportionalitetskriteriet i detta sammanhang mycket svårt och besvärligt att tillämpa, menar grundlagsutskottet också. Förvaltningsutskottet bör noggrant utreda om det direktiv som ska genomföras gör det möjligt att förtydliga regleringen särskilt i fråga om 12 § också i detta avseende.
Av en utredning som förvaltningsutskottet fått framgår det att kravet på att uppgifterna ska vara nödvändiga i den föreslagna 12 § har tagits direkt ur den finska språkversionen av artikel 10 b i direktivet, men den språkversionen är felaktig. Syftet med informationsutbytesdirektivet har inte varit att ändra bestämmelserna om utlämnande av personuppgifter. Förvaltningsutskottet föreslår därför att kravet på nödvändighet i den föreslagna 12 § ändras till att uppgifterna ska behövas. Utskottet konstaterar att detta inte står i strid med det som sägs ovan i grundlagsutskottets utlåtande om myndighetens rätt att få uppgifter och om myndighetens möjlighet att lämna ut uppgifter, eftersom de personuppgifter som lämnas ut enligt den föreslagna bestämmelsen är bundna till de kategorier som avses i avsnitt B i bilaga II till Europolförordningen och datainnehållet där beskrivs uttömmande. Förordningen är direkt tillämplig rätt.