Perustelut

Yleistä

Hallituksen esityksessä on kysymys toimijalle, joka on yleensä työnantajan asemassa, annettavasta oikeudesta käsitellä tietyin edellytyksin tunnistamistietoja työntekijän ja kolmannen tahon välisestä sähköisestä viestinnästä. Yhteisötilaajalla on 1. lakiehdotuksen perusteella oikeus käsitellä sähköisen viestinnän tunnistamistietoja viestintäverkkonsa sekä maksullisten tietoyhteiskunnan palvelujen luvattoman käytön ja viestintäpalvelujen ohjeen vastaisen käytön selvittämiseksi. Yhteisötilaajalla tarkoitetaan sähköisen viestinnän tietosuojalain (516/2004) 2 §:n mukaan viestintäpalvelun tai lisäarvopalvelun tilaajana olevaa yritystä tai yhteisöä. Ehdotetut tunnistamistietojen käsittelyoikeudet eivät oikeuta yhteisötilaajia saamaan tietoa viestien sisällöstä.

Tunnistamistietojen käsittely edellyttää, että yhteisötilaaja on täyttänyt laissa määritellyt velvoitteet ennakollisen tietoturvallisuuden korkean tason turvaamiseksi ja yrityssalaisuuksiensa suojaamiseksi. Työnantaja-asemassa olevan yhteisötilaajan on lisäksi otettava tunnistamistietojen käsittelyyn liittyvät asiat käsiteltäviksi yhteistoimintamenettelyssä ja tiedotettava niistä työntekijöille. Ehdotettujen muutosten mahdollistamaa yhteisötilaajien tunnistamistietojen käsittelyä valvoo tietosuojavaltuutettu.

Mikäli edellytykset tunnistamistietojen käsittelylle ovat olemassa, yhteisötilaaja saa käsitellä tunnistamistietoja automaattisen hakutoiminnon avulla ja tietyin edellytyksin myös manuaalisesti (13 d §). Automaattisen haun tarkoituksena on erottaa manuaalisesti käsiteltäviksi väärinkäytöksiin liittyvien viestien tunnistamistiedot. Näitä voivat käsitellä vain yhteisötilaajan viestintäverkon ja viestintäpalvelun ylläpidosta ja tietoturvasta sekä turvallisuudesta huolehtivat henkilöt. Väärinkäytöksiin liittyvien viestien osalta tietoon tulevat hallituksen esityksen mukaan ainoastaan viestien osapuolia koskevat tiedot. Viestien sisällöstä yhteisötilaaja ei tällöinkään ole oikeutettu saamaan tietoa. Lakiehdotuksen 42 § sisältää rangaistussäännökset lain vastaisen toiminnan varalta.

Hallituksen esityksen tarvetta on perusteltu sillä, että voimassa olevan lain ei ole katsottu sallivan yhteisötilaajan kerätä väärinkäytöksistä itse näyttöä. Sähköisen viestinnän avulla toteutettujen väärinkäytösten selvittämisessä ja esitutkintaan saamisessa on myös ilmennyt ongelmia, joita ei ole lakia säädettäessä osattu ennakoida. Toisaalta tietoturvauhat ovat lain säätämisen jälkeen olennaisesti muuttuneet ja laaja-alaistuneet.

Poliisin toimivaltuudet

Esitystä valmisteltaessa on arvioitu mahdollisuutta antaa väärinkäytösten selvittäminen yksin poliisin tehtäväksi. Yhteisötilaajien määrän, vikatilanteiden ja väärinkäytösten moninaisuuden, järjestelmien erilaisuuden ja tehtävien vaatimien resurssien laajuuden vuoksi tätä vaihtoehtoa ei kuitenkaan ole pidetty toteuttamiskelpoisena. Esityksen kohteena ovat yhteisötilaajien omien viestintäjärjestelmien päivittäiseen ylläpitoon liittyvät tehtävät, joista kukin yhteisötilaaja huolehtii itse.

Yrityssalaisuuksiin kohdistuvat rikokset ja luvaton käyttö ovat pääsääntöisesti asianomistajarikoksia. Tämä tarkoittaa sitä, että asianomistajan on ilmoitettava rikos syytteeseen pantavaksi. Esitutkintalain (449/1987) 2 §:n mukaan poliisin tai muun esitutkintaviranomaisen toimittaman esitutkinnan edellytyksenä on, että sille tehdyn ilmoituksen perusteella tai muutoin on syytä epäillä, että rikos on tehty. Voimassa olevan sähköisen viestinnän tietosuojalain ei ole katsottu kuitenkaan sallivan, että yhteisötilaaja kerää väärinkäytöksistä itse näyttöä. Asianomistajan tekemän rikosilmoituksen jälkeen esitutkinnan suorittaa poliisi. Hallintovaliokunta korostaa, että yhteisötilaajan suorittama tunnistamistietojen käsittely pitää olla sallittua ainoastaan siinä laajuudessa, että yhteistötilaaja pystyy riittävällä tavalla yksilöimään poliisille osoitettavan rikosilmoituksen tai tutkintapyynnön.

Yhteisötilaajan asema ja velvollisuudet

Yritysten ja muiden yhteisötilaajien tulee ensisijaisesti pyrkiä suojaamaan viestintäverkkonsa ja -palvelunsa sekä yrityssalaisuutensa käyttäjähallinto- ja tietoturvatoimenpitein. Palveluiden käyttäjille on tämän lisäksi annettava selkeät ohjeet, joissa määritellään yrityssalaisuuksien sallitut ja kielletyt käsittelytavat. Tunnistamistietojen käsittely on vasta viimesijainen keino. Yhteisötilaajan velvollisuus on avoimesti selvittää myös tunnistamistietojen käsittelyn perusteet ja tiedottaa niistä käyttäjille. Yhteistötilaajan tiedottamisvastuu sekä toimenpiteiden painottuminen tietoturvasta huolehtimiseen ja yrityssalaisuuksien suojaamiseen ovat välttämätön edellytys sille, että työnantajalle nyt säädettävällä lailla sähköisen viestinnän tietosuojalain muuttamisesta annettavat valtuudet nauttivat myös työntekijöiden luottamusta.

Jos tunnistamistietojen käsittelyyn on väärinkäytöstapauksissa kuitenkin ryhdyttävä, käsittely pitäisi hallintovaliokunnan mielestä kuitenkin aina pyrkiä tekemään ensimmäisessä vaiheessa automaattisen hakutoiminnon avulla. Se voi perustua viestien kokoon, yhteenlaskettuun kokoon, tyyppiin, määrään, yhteystapaan tai kohdeosoitteisiin. Manuaalisesti yhteisötilaajan tulisi käsitellä tunnistamistietoja vasta, jos automaattisen hakutoiminnon avulla on havaittu viestinnässä poikkeama.

Jos yhteistötilaaja ryhtyy tunnistamistietojen manuaaliseen käsittelyyn väärinkäytöstapauksissa, sillä on velvollisuus tiedottaa asiasta. Työpaikalla asia käsitellään yhteistoimintamenettelyssä (13 g §). Käyttäjälle, jonka tietoja on manuaalisesti käsitelty, ilmoitetaan kirjallisesti käsittelystä sekä siitä, millä perusteella käsittelyyn on ryhdytty (13 e §). Käsittelyoikeuksia valvoo tietosuojavaltuutettu, jolle annetaan etu- ja jälkikäteiset selvitykset tunnistamistietojen käsittelystä (13 h §). Valiokunta pitää työnantajan tiedotus- ja ilmoitusvelvollisuutta sekä velvollisuutta antaa tietosuojavaltuutelle etu- ja jälkikäteisiä selvityksiä nyt käsiteltävän hallituksen esityksen kokonaisuuden kannalta olennaisina velvoitteina. Tiedon saaminen tunnistamistietojen manuaalisen käsittelyn kohteeksi joutumisesta on puolestaan viestintäverkon tai viestintäpalvelun käyttäjän kannalta keskeinen oikeusturvakysymys.

Yhteisötilaajaan kohdistuvat oikeudet ja velvoitteet kohdistuvat myös viranomaisiin, koska myös valtio ja kunnat voivat olla lakiehdotuksen tarkoittamia yhteisötilaajia. Sääntely on muotoiltu sillä tavoin neutraalisti, että se valiokunnan mielestä soveltuu tarvittaessa myös viranomaisten toimintaan. Säännökset yrityssalaisuuksien luvattomasta paljastamisesta eivät kuitenkaan pääsäännön mukaan voine tulla viranomaisissa sovellettaviksi.

Tietosuojavaltuutettu

Ehdotuksessa muutetaan Viestintäviraston ja tietosuojavaltuutetun tehtävänjakoa silloin, kun kyse on yhteisötilaajien tunnistamistietojen käsittelystä väärinkäytöstilanteissa. Valiokunta toteaa, että tietosuojavaltuutetun tehtävänä on valvoa henkilötietolain (523/1999) mukaisesti henkilötietojen käsittelyä ja että yksityisyyden suojasta työelämässä annetun lain (759/2004) mukaan sen noudattamista valvovat työsuojeluviranomaiset yhdessä tietosuojavaltuutetun kanssa. Koska yksi suurimmista yhteisötilaajan ryhmistä ovat yritykset työnantajina, on valiokunnan mielestä johdonmukaista, että tietosuojavaltuutettu valvoo osin myös nyt käsiteltävän 1. lakiehdotuksen noudattamista.

Tietosuojavaltuutettu on valiokunnalle antamassaan lausunnossa todennut, että "lainvalvonta on sinällään selkeää, mutta erittäin työlästä". Hallintovaliokunta katsoo, että ehdotuksen mukaisen valvonnan toteuttaminen edellyttää lisäresurssien osoittamista tietosuojavaltuutetun toimistolle, jolla ei pienenä yksikkönä ole mahdollisuuksia sisäisin järjestelyin kohdentaa resursseja uuteen valvontatehtävään. Valiokunta pitää myös tärkeänä, että ensi tilassa selvitetään mahdollisuus apulaistietosuojavaltuutetun viran perustamiseen, jotta tietosuojaa koskevat asiat saadaan hoidetuksi hyvän hallinnon edellyttämällä tavalla.