Hallituksen esitys
HE
12
2020 vp
Hallituksen esitys eduskunnalle laeiksi julkisesta työvoima- ja yrityspalvelusta annetun lain ja työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n muuttamisesta
ESITYKSEN PÄÄASIALLINEN SISÄLTÖ
Esityksessä ehdotetaan muutettavaksi julkisesta työvoima- ja yrityspalvelusta annettua lakia ja työllistymistä edistävästä monialaisesta yhteispalvelusta annettua lakia. 
Lakeihin tehtäisiin Euroopan unionin yleisestä tietosuoja-asetuksesta johtuvat muutokset. Keskeisimmät muutostarpeet liittyvät työ- ja elinkeinotoimiston asiakastietojärjestelmän rekisterinpitäjien ja niiden keskinäisen vastuunjaon määrittelemiseen sekä henkilötietojen käsittelytarkoitusten nykyistä tarkempaan määrittelemiseen. 
Lait on tarkoitettu tulemaan voimaan mahdollisimman pian. 
YLEISPERUSTELUT
1
Johdanto
Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettiin huhtikuussa 2016 ja sen soveltaminen alkoi 25.5.2018, johon mennessä henkilötietojen käsittelyyn liittyvän kansallisen lainsäädännön piti olla yhteensopivaa yleisen tietosuoja-asetuksen kanssa. 
Julkisesta työvoima- ja yrityspalvelusta annetussa laissa (916/2012) säädetään asiakkaille tarjolla olevista julkisista työvoima- ja yrityspalveluista, joiden järjestämistä varten ylläpidetään työ- ja elinkeinotoimiston (TE-toimiston) asiakastietojärjestelmää. Nykyiset asiakastietojärjestelmää koskevat säännökset eivät kaikilta osin ole yleisen tietosuoja-asetuksen mukaisia. 
2
Nykytila
2.1.1
EU:n yleinen tietosuoja-asetus
Yleistä tietosuoja-asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. Yleinen tietosuoja-asetus on EU:n jäsenmaissa suoraan sovellettavaa lainsäädäntöä. Asetus jättää kuitenkin joiltakin osin kansallista liikkumavaraa. Kansallisella liikkumavaralla tarkoitetaan sitä, että yleistä tietosuoja-asetusta täydentävä tai täsmentävä kansallinen lainsäädäntö on mahdollista, mutta vain siltä osin kuin se yleisessä tietosuoja-asetuksessa nimenomaisesti sallitaan. Toisaalta yleisessä tietosuoja-asetuksessa kansalliselle lainsäätäjälle asetetaan myös velvoite säätää tietyistä seikoista. 
Henkilötiedoilla tarkoitetaan yleisessä tietosuoja-asetuksessa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, eli rekisteröityyn, liittyviä tietoja. Henkilötietojen käsittelyllä tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista. 
Yleisessä tietosuoja-asetuksessa rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat tietosuoja-asetuksen mukaan yhteisrekisterinpitäjiä. Yhteisrekisterinpitäjien vastuualueet voidaan määritellä yhteisrekisterinpitäjien keskinäisellä järjestelyllä tai osittain tai kokonaan jäsenvaltion lainsäädännössä. Järjestelystä tai lainsäädännöstä on käytävä asianmukaisesti ilmi yhteisten rekisterinpitäjien todelliset roolit ja suhteet rekisteröityihin nähden. Rekisteröity voi käyttää asetuksen mukaisia oikeuksia suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan riippumatta yhteisrekisterinpitäjien vastuunjaosta. 
Yleisessä tietosuoja-asetuksessa henkilötietojen käsittelijällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. 
Yleisen tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. Rekisterinpitäjä vastaa siitä, että periaatteita on noudatettu. Sen on myös pystyttävä osoittamaan, että niitä on noudatettu. 
Henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Tätä periaatetta kutsutaan yleisessä tietosuoja-asetuksessa lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteeksi. Käyttötarkoitussidonnaisuuden periaate tarkoittaa, että henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteen sopimattomalla tavalla. Toinen keskeinen periaate on tietojen minimointi, joka tarkoittaa, että henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Täsmällisyysperiaatteen mukaan henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Säilytyksen rajoittamisperiaatteen mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Eheyden ja luottamuksellisuuden periaate tarkoittaa, että henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia. 
2.1.2
Kansallinen henkilötietojen käsittelyä ja tiedonhallintaa koskeva yleislainsäädäntö
Tietosuojalaki (1050/2018) tuli voimaan vuoden 2019 alussa ja korvasi henkilötietolain (523/1999). Tietosuojalailla täsmennetään ja täydennetään EU:n yleistä tietosuoja-asetusta. Laki on henkilötietojen käsittelyyn sovellettava yleislaki. Yleistä tietosuoja-asetusta täydentävänä ja täsmentävänä tietosuojalaki ei muodosta itsenäistä ja kattavaa sääntelykokonaisuutta, vaan sitä sovelletaan rinnakkain yleisen tietosuoja-asetuksen kanssa. Tietosuojalain säännöksistä voidaan erityislainsäädännössä poiketa, jos poikkeaminen olisi mahdollista yleisen tietosuoja-asetuksen kansalliselle lainsäätäjälle antaman harkintamarginaalin puitteissa. Tietosuojalaissa säädetään henkilötietojen käsittelyn oikeusperusteesta ja erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä eräissä tilanteissa, tietoyhteiskunnan palvelujen tarjoamiseen lapselle sovellettavasta ikärajasta, valvontaviranomaisesta, oikeusturvasta sekä eräistä tietojenkäsittelyn erityistilanteista. Tietosuojalaissa ei säädetä tyhjentävästi henkilötietojen käsittelyn oikeusperusteesta, vaan erityislainsäädännöllä on vastaisuudessakin mahdollista säätää käsittelyn oikeusperusteesta yleisestä tietosuoja-asetuksesta ilmenevin reunaehdoin. 
Tietosuojalain esitöissä todetaan kansallisen harkintamarginaalin perustan olevan yleisen tietosuoja-asetuksen 6 artiklassa, jolla annetaan jäsenvaltioille mahdollisuus säätää kansallisesti henkilötietojen käsittelyn oikeusperusteesta. Henkilötietojen käsittelyn oikeusperusteesta voidaan säätää jäsenvaltion lainsäädännössä tilanteissa, joissa henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi tai käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi (6 artiklan 1 kohdan c ja e alakohta). Julkisen sektorin henkilötietojen käsittelyn tulisi tietosuojalakia koskevan hallituksen esityksen mukaan lähtökohtaisesti perustua näihin henkilötietojen käsittelyn oikeusperusteisiin. (HE 9/2018 vp, s. 34) 
Yleisen tietosuoja-asetuksen 9.1 artiklassa säädetään erityisiä henkilötietoryhmiä koskevasta tietojen käsittelykiellosta. Näiden niin sanottujen arkaluonteisten henkilötietojen käsittely ei ole kuitenkaan kiellettyä, jos käsittelyperusteena sovelletaan jotakin 9.2 artiklassa mainituista perusteista tai jos 9.3 artiklan edellytykset täyttyvät. Kansallista liikkumavaraa on käytetty tietosuojalain 6 §:n 1 momentissa, jossa säädetään poikkeuksista yleisen tietosuoja-asetuksen 9.1 artiklassa säädettyyn käsittelykieltoon 9 artiklan 2 ja 3 kohdan mahdollistamalla tavalla. Tietosuojalain 6 §:n 1 momentin perusteella erityisiin henkilötietoryhmiin kuuluvia henkilötietoja saa käsitellä muun muassa, jos käsittelystä säädetään laissa tai jos käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Tietosuojalain kyseistä säännöstä koskevissa perusteluissa on katsottu, että yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta mahdollistaa tällaisen kansallisen sääntelyn (HE 9/2018 vp, s. 86). 
Käsiteltäessä henkilötietoja tietosuojalain 6 §:n 1 momentissa tarkoitetussa tilanteessa rekisterinpitäjän ja henkilötietojen käsittelijän on 6 §:n 2 momentin mukaan toteutettava asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi. Näitä toimenpiteitä ovat: 
1) toimenpiteet, joilla on jälkeenpäin mahdollista varmistaa ja todentaa kenen toimesta henkilötietoja on tallennettu, muutettu tai siirretty; 
2) toimenpiteet, joilla parannetaan henkilötietoja käsittelevän henkilöstön osaamista; 
3) tietosuojavastaavan nimittäminen; 
4) rekisterinpitäjän ja käsittelijän sisäiset toimenpiteet, joilla estetään pääsy henkilötietoihin; 
5) henkilötietojen pseudonymisointi; 
6) henkilötietojen salaaminen; 
7) toimenpiteet, joilla käsittelyjärjestelmien ja henkilötietojen käsittelyyn liittyvien palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus taataan, mukaan lukien kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa; 
8) menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi; 
9) erityiset menettelysäännöt, joilla varmistetaan tietosuoja-asetuksen ja tämän lain noudattaminen siirrettäessä henkilötietoja tai käsiteltäessä henkilötietoja muuhun tarkoitukseen; 
10) tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskevan vaikutustenarvioinnin laatiminen; 
11) muut tekniset, menettelylliset ja organisatoriset toimenpiteet. 
Tietosuojalaissa säädetään kaikkiin henkilötietojen käsittelyyn liittyviin toimenpiteisiin sovellettavasta vaitiolovelvollisuudesta. Vaitiolovelvollisuutta koskevan 35 §:n mukaan joka henkilötietojen käsittelyyn liittyviä toimenpiteitä suorittaessaan on saanut tietää jotakin toisen henkilön ominaisuuksista, henkilökohtaisista oloista, taloudellisesta asemasta taikka toisen liikesalaisuudesta, ei saa oikeudettomasti ilmaista sivulliselle näin saamiaan tietoja eikä käyttää niitä omaksi tai toisen hyödyksi tai toisen vahingoksi. Säännöksen yksityiskohtaisten perustelujen mukaan vaitiolovelvollisuus koskee esimerkiksi rekisterinpitäjän tai henkilötietojen käsittelijän palveluksessa olevaa henkilöä. 
Vaitiolovelvollisuuden rikkominen on erikseen sanktioitu tietosuojalain 26 §:n 1 momentissa. Kyseisessä pykälässä säädetään rangaistussäännöksistä viittaamalla rikoslain (39/1889) asianomaisiin kohtiin. Rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Rangaistus viestintäsalaisuuden loukkauksesta ja törkeästä viestintäsalaisuuden loukkauksesta säädetään rikoslain 38 luvun 3 ja 4 §:ssä sekä rangaistus tietomurrosta ja törkeästä tietomurrosta 38 luvun 8 ja 8 a §:ssä. Rangaistus tietosuojalain 35 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta tuomitaan rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava rikoslain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta. Rikoslain 38 luvun 10 §:n 3 momentissa säädetään syyttäjän velvollisuudesta kuulla tietosuojavaltuutettua ennen edellä mainittuja rikoksia koskevan syytteen nostamista samoin kuin tuomioistuimen velvollisuudesta varata tällaista asiaa käsitellessään tietosuojavaltuutetulle tilaisuus tulla kuulluksi. 
Laki julkisen hallinnon tiedonhallinnasta (906/2019, jäljempänä tiedonhallintalaki) tuli voimaan 1.1.2020 ja sillä kumottiin julkisen hallinnon tietohallinnon ohjauksesta annettu laki (634/2011) sekä korvattiin viranomaisten toiminnan julkisuudesta annetun lain (621/1999) hyvää tiedonhallintatapaa koskevat säännökset. Tiedonhallintalaki on viranomaisten tiedonhallintaa koskeva yleislaki. Lailla halutaan varmistaa viranomaisten tietoaineistojen yhdenmukainen ja laadukas hallinta sekä tietoturvallinen käsittely. Lain tarkoituksena on myös mahdollistaa viranomaisten tietoaineistojen turvallinen ja tehokas hyödyntäminen, jotta viranomaiset voivat hoitaa tehtävänsä ja tarjota palvelujaan hyvää hallintoa noudattaen tuloksellisesti. Lisäksi lailla halutaan edistää tietojärjestelmien ja tietovarantojen yhteentoimivuutta. 
Tiedonhallintalain 16 §:n mukaan tietojärjestelmästä vastuussa olevan viranomaisen on määriteltävä tietojärjestelmän käyttöoikeudet. Käyttöoikeudet on määriteltävä käyttäjän tehtäviin liittyvien käyttötarpeiden mukaan, ja ne on pidettävä ajantasaisina. Lain 17 §:ssä säädetään lokitietojen keräämisestä. Viranomaisen on huolehdittava, että sen tietojärjestelmien käytöstä ja niistä tehtävistä tietojen luovutuksista kerätään tarpeelliset lokitiedot, jos tietojärjestelmän käyttö edellyttää tunnistautumista tai muuta kirjautumista. Lokitietojen käyttötarkoituksena on tietojärjestelmissä olevien tietojen käytön ja luovutuksen seuranta sekä tietojärjestelmän teknisten virheiden selvittäminen. 
2.1.3
Henkilötietojen käsittely julkisissa työvoima- ja yrityspalveluissa
Elinkeino-, liikenne- ja ympäristökeskuksista annetussa laissa (897/2009) säädetään elinkeino-, liikenne- ja ympäristökeskuksista (jäljempänä ELY-keskus) ja työ- ja elinkeinotoimistoista (jäljempänä TE-toimisto). TE-toimistot toimivat ELY-keskusten alaisina paikallishallinnon viranomaisina. TE-toimistojen tehtävänä on edistää työvoiman saatavuuden turvaamista ja työllisyyden parantamista, toimeenpanna julkinen työvoimapalvelu, edistää maahanmuuttajien kotoutumista ja tarjota yrityspalveluihin liittyvää neuvontaa. ELY-keskusten tehtävänä on muun muassa TE-toimistojen ohjaaminen ja valvonta. ELY-keskuksilla ja TE-toimistoilla on yhteinen valtakunnallinen työ- ja elinkeinohallinnon asiakaspalvelukeskus (jäljempänä TE-hallinnon asiakaspalvelukeskus), josta säädetään elinkeino-, liikenne- ja ympäristökeskuksista annetussa valtioneuvoston asetuksessa (1373/2018). TE-hallinnon asiakaspalvelukeskus tuottaa työ- ja elinkeinoministeriön hallinnonalan palveluja henkilö- ja yritysasiakkaille. TE-hallinnon asiakaspalvelukeskuksesta saa tietoa, neuvontaa ja ohjausta julkisista työvoima- ja yrityspalveluista puhelimitse, sähköpostitse tai muiden sähköisten kanavien kautta. Hallinnollisesti TE-hallinnon asiakaspalvelukeskus on Etelä-Savon ELY-keskuksen erillisyksikkö, mutta pääosa valtakunnallisen puhelinpalvelun asiakasneuvojista toimii TE-toimistojen yhteydessä. 
Julkisesta työvoima- ja yrityspalvelusta annetussa laissa säädetään työnhakijan palveluprosessista ja asiakkaille tarjolla olevista julkisista työvoima- ja yrityspalveluista. Asiakkaalla tarkoitetaan julkisesta työvoima- ja yrityspalvelusta annetun lain mukaisia palveluita, tukia tai korvauksia hakevaa tai saavaa yksityistä henkilöä (henkilöasiakas), työnantajaa tai yritystä. Julkisen työvoima- ja yrityspalvelun järjestämistä varten pidetään yllä TE-toimiston asiakastietojärjestelmää. 
TE-toimiston asiakastietojärjestelmästä ja siihen talletettavien henkilötietojen käsittelystä säädetään julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvussa. TE-toimiston asiakastietojärjestelmä (URA-tietojärjestelmä) muodostuu henkilöasiakasrekisteristä, työnantajarekisteristä ja palveluntuottajarekisteristä. Voimassa olevassa julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 pykälän 1 momentissa säädetään, että asiakastietojärjestelmää ylläpidetään julkisen työvoima- ja yrityspalvelun järjestämistä varten. Asiakastietojärjestelmää käytetään nykyisin kuitenkin myös työttömyysturvaan liittyviin viranomaistehtäviin, ammatillisesta koulutuksesta annetussa laissa (531/2017) tarkoitettuun työvoimakoulutukseen liittyviin viranomaistehtäviin sekä kuntouttavasta työtoiminnasta annetussa laissa (189/2001), vuorotteluvapaalaissa (1305/2002), sosiaalisista yrityksistä annetussa laissa (1351/2003) ja kotoutumisen edistämisestä annetussa laissa (1386/2010) säädettyjen tehtävien hoitamiseen. Työllistymistä edistävässä monialaisessa yhteispalvelussa (TYP) käytössä oleva monialaisen yhteispalvelun asiakasrekisteri on TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri. Monialaisen yhteispalvelun asiakasrekisteristä säädetään työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa (1369/2014). Henkilötietojen käsittely perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaisesti rekisterinpitäjän lakisääteiseen tehtävään. Asiakastietojärjestelmän käyttötarkoitusta koskevaa säännöstä on selkeyden vuoksi tarpeen täydentää. 
Voimassa olevan julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 2 §:n mukaan asiakastietojärjestelmän rekisterinpitäjän tehtävät on jaettu työ- ja elinkeinoministeriön ja TE-toimistojen kesken. Säännöksen mukaan työ- ja elinkeinoministeriö vastaa rekisterinpitäjänä TE-toimiston asiakastietojärjestelmän yleisestä toimivuudesta ja rekisteritoimintojen yhtenäisyydestä. TE-toimistot hoitavat muut rekisterinpitäjälle säädetyt tehtävät, jollei työ- ja elinkeinoministeriö toisin määrää. Julkisesta työvoima- ja yrityspalvelusta annetussa laissa ei ole säädetty mahdollisuudesta delegoida rekisterinpitäjän tehtäviä tai sitä koskevasta asetuksenantovaltuudesta. Voimassa oleva 13 luvun 2 §:n säännös ei vastaa tosiasiallista tilannetta. Työ- ja elinkeinoministeriö huolehtii nykyään ainoastaan TE-toimiston asiakastietojärjestelmän strategisen tason ohjauksesta ja seurannasta. Käytännössä työ- ja elinkeinoministeriölle säädetyistä rekisterinpitäjän tehtävistä vastaa nykyisin elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus (jäljempänä KEHA-keskus). KEHA-keskus aloitti toimintansa 1.1.2015, jolloin työ- ja elinkeinoministeriö siirsi toimeenpano- ja kehittämistehtäviä uudelle organisaatiolle ja osa ministeriön henkilöstöstä siirtyi KEHA-keskuksen palvelukseen. KEHA-keskuksesta ja sen tehtävistä säädetään elinkeino-, liikenne- ja ympäristökeskuksista annetussa laissa ja elinkeino-, liikenne- ja ympäristökeskuksista annetussa valtioneuvoston asetuksessa. KEHA-keskus hoitaa ELY-keskusten ja TE-toimistojen yhteisiä kehittämis- ja palvelutehtäviä sekä muita yleishallinnollisia tehtäviä. KEHA-keskuksen tehtäviin kuuluu muun muassa ELY-keskusten ja TE-toimistojen tietohallinnon ohjaustehtävät, palvelut ja palveluhankinnat. Tietohallintopalveluina KEHA-keskus kehittää, tuottaa ja hankkii sähköisiä palveluja ja tietojärjestelmiä. 
Käytännössä KEHA-keskus on hoitanut rekisterinpitäjän tehtäviä jo pitkään ja tehnyt vuoden 2018 aikana TE-toimiston asiakastietojärjestelmään yleisen tietosuoja-asetuksen soveltamisen edellyttämät muutokset. TE-palveluiden Oma asiointi -palvelussa otettiin käyttöön palvelu, jonka kautta henkilöasiakas voi milloin tahansa tarkistaa TE-toimiston asiakastietojärjestelmässä olevat tietonsa ja halutessaan tulostaa ne paperille tai tallentaa pdf-muodossa omalle laitteelleen. Palvelu on käytössä niin sanotulla vahvalla tunnisteella. Ne, joilla ei ole mahdollisuutta käyttää vahvaa tunnistetta, voivat pyytää asiakastietojärjestelmään talletettuja tietojaan kirjallisesti TE-toimistolta. Oma asiointi -palvelussa otettiin käyttöön yleisen tietosuoja-asetuksen johdosta käyttäjän ikään liittyvä rajoite (16 v). TE-palveluiden asiointipalvelujen käyttöehtojen sanamuotoja täsmennettiin. Henkilöasiakasrekisterin lokitusta laajennettiin muun muassa katselulokien avulla esimerkiksi henkilötietojen hakuun liittyen. Myös terveystietojen käsittelyyn liittyviä lokituksia parannettiin. Yleisestä tietosuoja-asetuksesta johtuen Kansallisarkistoon siirrettävien vanhojen asiakastietojen arkistointiin liittyviä prosesseja kehitettiin niin, että viiden vuoden kuluttua asiakkuuden päättymisestä asiakkaan tiedot automaattisesti siirtyvät arkistoajolla välivaraston kautta Kansallisarkistoon säilytettäväksi (Kansallisarkiston säilytyspäätös). 
Tietosuojavaltuutetun toimiston lainsäädäntölausuntoja varten antamassa ohjeessa (16.10.2017, s. 9) korostetaan, että rekisterinpitäjän vastuun on oltava osa toiminnallista vastuuta. Kun rekisterinpitäjästä säädetään laissa, määrittelyyn tulee suhtautua erityisen tarkkaavaisesti ja varmistua siitä, että vastuu kohdentuu oikealle taholle. Ohjeen mukaan rekisterinpitäjän määrittelyn riskinä on, että rekisterinpitäjä on määritelty vain muodollisesti ja ilman, että toimijan tosiasiallista roolia henkilötietojen käsittelyssä käytännön tasolla on tunnistettu. Ohjeen mukaan rekisterinpitäjäksi tulee osoittaa sellainen taho, joka tosiasiallisesti käyttää rekisterinpitäjälle kuuluvaa määräysvaltaa ja voi toteuttaa rekisterinpitäjälle kuuluvat velvoitteet. Koska julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 2 §:n säännökset rekisterinpitäjistä eivät enää vastaa tosiasiallista tilaa, säännöstä on tarpeen muuttaa. Samalla tosiasiallisten rekisterinpitäjien – KEHA-keskuksen ja TE-toimistojen – keskinäistä vastuunjakoa on täsmennettävä. 
Julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 5 §:ssä säädetään käyttöoikeuden myöntämisestä TE-toimiston asiakastietojärjestelmään. Asiakastietojärjestelmän käyttö edellyttää henkilölle myönnettyä käyttöoikeutta. Asiakastietojärjestelmän käyttöoikeus voidaan 5 §:n 1 momentin mukaan myöntää TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen, KEHA-keskuksen tai työ- ja elinkeinoministeriön virkamiehelle. Mainitussa lainkohdassa ei säädetä, mikä taho käyttöoikeuden myöntää, joten säännöstä on tarpeen täsmentää. 
Käytännössä käyttöoikeudet asiakastietojärjestelmään on myöntänyt kukin organisaatio – 15 TE-toimistoa, TE-hallinnon asiakaspalvelukeskus, 15 ELY-keskusta, KEHA-keskus ja työ- ja elinkeinoministeriö – niiden palveluksessa oleville omille virkamiehilleen ja vastannut siitä, että käyttöoikeus on myönnetty vain niille virkamiehille, jotka työssään tarvitsevat asiakastietojärjestelmää. Kun käyttöoikeus on myönnetty, organisaatio lähettää tiedon tästä Valtion tieto- ja viestintätekniikkakeskus Valtoriin, joka KEHA-keskuksen toimeksiannosta toimii teknisenä käyttöyhteyden avaajana. KEHA-keskuksella ja Valtorilla on keskenään palvelusopimus edellä mainitun tehtävän hoitamisesta. Valtori ylläpitää myös luetteloa henkilöistä, joilla on asiakastietojärjestelmän käyttöoikeus. 
Käyttöoikeuden TE-toimiston asiakastietojärjestelmään työ- ja elinkeinohallinnon ulkopuoliselle taholle voi voimassa olevan julkisesta työvoima ja yrityspalvelusta annetun lain 13 luvun 5 §:n 2 momentin mukaan myöntää työ- ja elinkeinoministeriö tai ELY-keskus. Käyttöoikeus voidaan myöntää taholle, joka ministeriön tai ELY-keskuksen toimeksiannosta tekee erillistä arviointia, tarkastusta tai selvitystä taikka suorittaa erikseen määriteltyä palvelutehtävää. ELY-keskus on velvollinen ilmoittamaan työ- ja elinkeinoministeriölle ulkopuoliselle taholle myöntämästään käyttöoikeudesta. Säännöstä on tarpeen muuttaa, koska käyttöoikeuden asiakastietojärjestelmään voi myöntää vain rekisterinpitäjä. 
Julkisesta työvoima- ja yrityspalvelusta annetussa laissa ei säädetä siitä, kuka tai mikä taho voi tallettaa asiakastietojärjestelmään tietoja. Käytännössä tietoja tallettavat TE-toimistojen, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskusten ja KEHA-keskuksen virkamiehet. Muilla käyttöoikeuden saaneilla tahoilla on pääsääntöisesti vain katseluoikeus tietojärjestelmään. Säännöksiä on syytä näiltä osin täsmentää. 
Rekistereihin talletettavista tiedoista säädetään julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 3 §:ssä. Julkisuuslain 24 §:n 1 momentin nojalla tiedot työhallinnon henkilöasiakkaasta ovat salassa pidettäviä. Näin ollen kaikki henkilöasiakasrekisteriin talletettavat tiedot ovat salassa pidettäviä. Työnantaja- ja palveluntuottajarekisterien tiedot ovat sen sijaan pääosin julkisia, mutta osa niistäkin voi julkisuuslain 24 §:n 1 momentissa säädetyllä perusteella olla salassa pidettäviä. 
Nykyiset julkisesta työvoima- ja yrityspalvelusta annetun lain asiakastietojärjestelmää koskevat säännökset eivät kaikilta osin ole yleisen tietosuoja-asetuksen mukaisia. Säännökset eivät myöskään ole ajantasaisia sikäli, että eräistä laissa säädetyistä tehtävistä huolehtii käytännössä muu kuin se taho, jolle tehtävä on laissa säädetty. Voimassaolevan kansallisen lainsäädännön olisi pitänyt olla yhteensopivaa yleisen tietosuoja-asetuksen kanssa asetuksen soveltamisen alkamisesta lähtien. Julkisesta työvoima- ja yrityspalvelusta annettuun lakiin oli tarkoitus tehdä yleisestä tietosuoja-asetuksesta johtuvat muutokset muiden muutosten yhteydessä hallituksen esityksellä eduskunnalle julkisten työvoima- ja yrityspalveluiden järjestämistä koskevaksi lainsäädännöksi (HE 62/2018 vp). Hallituksen esitys kuitenkin raukesi eduskunnassa keväällä 2019 vaalikauden päättyessä. Yleisen tietosuoja-asetuksen vuoksi tarpeelliset muutokset on nyt valmisteltu uudelleen tähän esitykseen. Ehdotettujen säännösten suhdetta yleiseen tietosuoja-asetukseen käsitellään kunkin säännöksen perusteluissa. 
2.1.4
Henkilötietojen käsittely työllistymistä edistävässä monialaisessa yhteispalvelussa
Työllistymistä edistävällä monialaisella yhteispalvelulla (TYP) tarkoitetaan yhteistoimintamallia, jossa TE-toimisto, kunta ja Kansaneläkelaitos yhdessä arvioivat työttömien palvelutarpeet, suunnittelevat työttömien työllistymisen kannalta tarkoituksenmukaiset palvelukokonaisuudet ja vastaavat työttömien työllistymisprosessin etenemisestä ja seurannasta. Monialaisen yhteispalvelun tavoitteena on edistää työttömien työllistymistä tarjoamalla heille heidän palvelutarpeensa mukaisia julkisia työvoimapalveluja sekä sosiaali-, terveys- ja kuntoutuspalveluja niin sanotun yhden luukun periaatteella. Palvelu on tarjolla jokaisen TE-toimiston alueella. 
Työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n 1 momentin mukaan TE-toimisto ylläpitää monialaisen yhteispalvelun asiakasrekisteriä, joka on julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä tarkoitetun TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri. Koska monialaisen yhteispalvelun asiakasrekisteriä, TYPPI-rekisteriä, ylläpitää käytännössä TE-toimiston sijasta KEHA-keskus, säännöstä tulee muuttaa vastaamaan tosiasiallista tilaa. Lain esitöiden (HE 183/2014 vp) mukaan TYPPI-rekisteriin sovelletaan julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun säännöksiä rekisterinpitäjästä, tietojen tallettamisesta, poistamisesta ja arkistoinnista sekä käyttöoikeuden myöntämisestä. Selkeyden vuoksi työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:ää on syytä täsmentää tältäkin osin. 
Käyttöoikeus monialaisen yhteispalvelun asiakasrekisteriin voidaan 9 §:n 3 momentin mukaan antaa TE-toimiston, kunnan tai Kansaneläkelaitoksen palveluksessa olevalle, joka hoitaa työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa tarkoitettuja tehtäviä. Siitä ei ole säädetty, mikä taho käyttöoikeuden myöntää. Lain esitöissä todetaan, että käytännössä ELY-keskus myöntäisi käyttöoikeuden. Koska ELY-keskus ei ole julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvussa tarkoitettu rekisterinpitäjä, se ei voi myöntää käyttöoikeutta TYPPI-rekisteriin. Työllistymistä edistävästä monialaisesta annetun lain säännöstä on tarpeen muuttaa myös tältä osin. 
3
Esityksen tavoitteet ja keskeiset ehdotukset
Esityksen tarkoitus on saattaa julkisesta työvoima- ja yrityspalvelusta annetun lain säännökset yhteensopiviksi yleisen tietosuoja-asetuksen kanssa. 
Esityksen tavoitteena on turvata henkilötietojen asianmukainen käsittely julkisissa työvoima- ja yrityspalveluissa ja työllistymistä edistävässä monialaisessa yhteispalvelussa. EU:n yleisen tietosuoja-asetuksen tultua voimaan syntyi tarve täsmentää TE-toimiston asiakastietojärjestelmää koskevia säännöksiä. Vastaavasti työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa tarkoitetun monialaisen yhteispalvelun asiakasrekisteriä, joka on TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri, koskevia säännöksiä täsmennettäisiin. 
Voimassa olevan julkisesta työvoima- ja yrityspalvelusta annetun lain mukaan TE-toimiston asiakastietojärjestelmän rekisterinpitäjiä ovat työ- ja elinkeinoministeriö ja TE-toimistot. Nykyiset asiakastietojärjestelmän rekisterinpitäjiä koskevat säännökset eivät enää vastaa käytännössä olevaa tosiasiallista tilaa, koska työ- ja elinkeinoministeriön sijasta KEHA-keskus on jo vuosia hoitanut rekisterinpitäjälle kuuluvia tehtäviä ministeriön sijasta. Esityksessä ehdotetaan, että KEHA-keskus ja TE-toimistot olisivat jatkossa TE-toimiston asiakastietojärjestelmän yhteisrekisterinpitäjiä. TE-hallinnon asiakaspalvelukeskus olisi yleisessä tietosuoja-asetuksessa tarkoitettu henkilötietojen käsittelijä. Työ- ja elinkeinoministeriön ja ELY-keskusten, jotka tarvitsevat asiakastietojärjestelmän tietoja säännöksissä asetettujen tehtäviensä hoitamiseen, tiedonsaanti turvattaisiin siten, että KEHA-keskuksella olisi velvollisuus salassapitosäännösten estämättä ja maksutta luovuttaa työ- ja elinkeinoministeriölle ja ELY-keskuksille niiden tarvitsemat välttämättömät tiedot. Esimerkiksi työnvälitystilaston laatiminen sekä muu työllisyyteen liittyvä tilastointi, analysointi ja ennakointi kuuluvat työ- ja elinkeinoministeriön tehtäviin. ELY-keskusten tehtäviin kuuluu muun muassa TE-toimistojen valvonta. 
Esityksessä ehdotetaan tarkennettavaksi rekisterinpitäjien keskinäistä vastuunjakoa. KEHA-keskus vastaisi muun muassa yleisessä tietosuoja-asetuksessa tarkoitetusta sisäänrakennetusta ja oletusarvoisesta tietosuojasta, henkilötietojen käsittelyn turvallisuudesta ja tietojärjestelmän tietoturvallisuudesta. 
Esityksessä ehdotetaan lisäksi henkilötietojen käsittelytarkoituksia ja asiakastietojärjestelmän käyttöoikeuksia määriteltäväksi nykyistä tarkemmin. KEHA-keskus myöntäisi käyttöoikeuden TE-toimiston asiakastietojärjestelmään. 
4
Esityksen vaikutukset
Esityksellä ei arvioida olevan taloudellisia vaikutuksia. KEHA-keskus on jo vuoden 2018 aikana tehnyt TE-toimiston asiakastietojärjestelmään yleisen tietosuoja-asetuksen soveltamisen edellyttämät muutokset, jotka ovat kuuluneet rekisterinpitäjän vastuulle. 
Esityksellä ei ole käytännössä vaikutuksia viranomaisten toimintaan, sillä KEHA-keskus on hoitanut työ- ja elinkeinoministeriön sijaan esityksessä sille ehdotettuja rekisterinpitäjän tehtäviä jo pitkään. Rekisterinpitäjien määrittely laissa tosiasiallista tilannetta vastaavaksi edistää hallinnon läpinäkyvyyttä ja keskinäisen tehtävänjaon selkeyttä. Se on oleellista myös, jotta rekisteröidyt tietävät, mille taholle niiden on osoitettava oikeuksiinsa liittyvät vaatimukset, ja jotta henkilötietojen suojaa valvova tietosuojavaltuutetun toimisto tietää, minkä tahon puoleen tarvittaessa kääntyä. 
Esityksen säännökset käyttöoikeuksista ja rekisterien käyttötarkoituksista edistävät osaltaan asiakastietojärjestelmän tietoturvallisuutta. Käyttöoikeuden myöntämistä, muuttamista ja perumista koskevat säännökset selkeyttävät nykytilaa ja KEHA-keskuksen toimivaltaa, ja voivat siten edistää asiakastietojärjestelmän tietoturvallisuutta. Säännös käyttöoikeuden saaneen henkilön oikeudesta käsitellä tietoja ainoastaan välttämättömiin tarkoituksiin korostaa tietosuojan merkitystä myös kunkin käyttäjän osalta. 
KEHA-keskuksen työmäärä lisääntyisi jonkin verran, koska KEHA-keskus myöntäisi käyttöoikeuden TE-toimiston asiakastietojärjestelmään ja ylläpitäisi ajantasaista luetteloa henkilöistä, joille käyttöoikeus on myönnetty. Jatkossakin käyttöoikeutta hakeva työ- ja elinkeinohallinnon viranomainen vastaisi siitä, että käyttöoikeutta haetaan vain sellaiselle henkilölle, joka työtehtäviensä hoitamiseksi tarvitsee asiakastietojärjestelmän tietoja, ja että käyttöoikeutta haetaan vain siksi ajaksi ja siinä laajuudessa kuin työtehtävien hoitaminen edellyttää. KEHA-keskuksen tehtävänä olisi tarkistaa, että käyttöoikeushakemus on asianmukainen ja perusteltu. Vaikka KEHA-keskuksen rooli olisi käyttöoikeuden myöntämisessä näissä tilanteissa osin muodollinen, siitä aiheutuisi KEHA-keskukselle hieman lisätyötä. Niissä tilanteissa, joissa asiakastietojärjestelmän käyttöoikeutta haetaan työ- ja elinkeinohallinnon ulkopuoliselle taholle, KEHA-keskukselle aiheutuva työmäärä olisi edellä todettua suurempi, sillä käyttöoikeuden myöntämisestä päättäminen edellyttäisi todennäköisesti selvitystyötä ja harkintaa. 
Esityksessä ehdotetaan, että työ- ja elinkeinoministeriön sijasta KEHA-keskus päättäisi viranomaisten toiminnan julkisuudesta annetun lain 28 §:ssä tarkoitetun luvan antamisesta TE-toimiston asiakastietojärjestelmään sisältyvien, salassa pidettävien tietojen luovuttamiseen tilastointia, tieteellistä tutkimusta ja viranomaisten suunnittelu- tai selvitystyötä varten. Tutkimuslupahakemusten käsitteleminen ja arviointi tietojen luovuttamisesta lisäisi jonkin verran KEHA-keskuksen työmäärää. Tutkimuslupahakemusten määrä vaihtelee jonkin verran, mutta keskimäärin niitä on tullut työ- ja elinkeinoministeriölle 20—30 kappaletta vuodessa. 
5
Asian valmistelu
Esitys on valmisteltu työ- ja elinkeinoministeriössä yhteistyössä KEHA-keskuksen kanssa. 
Esitysluonnoksesta järjestettiin lausuntokierros ajalla 6.9.-26.9.2019. Lausuntoaika oli normaalia lyhyempi, koska asiallisesti tähän esitykseen valmistellut ehdotukset ovat olleet lausunnolla jo aiemmin toisen hallituksen esityksen yhteydessä. Julkisesta työvoima- ja yrityspalvelusta annettuun lakiin oli tarkoitus tehdä yleisestä tietosuoja-asetuksesta johtuvat muutokset muiden muutosten yhteydessä hallituksen esityksellä julkisten työvoima- ja yrityspalveluiden järjestämistä koskevaksi lainsäädännöksi (HE 62/2018 vp). Hallituksen esitys raukesi eduskunnassa keväällä 2019 perustuslain 49 §:n nojalla, koska asian käsittely jäi kesken vaalikauden päättyessä. Yleisen tietosuoja-asetuksen vuoksi tarpeelliset muutokset on nyt valmisteltu uudelleen tähän esitykseen. 
Lausuntoa pyydettiin KEHA-keskukselta, TE-toimistoilta, ELY-keskuksilta, TE-hallinnon asiakaspalvelukeskukselta, Suomen Kuntaliitolta, Kansaneläkelaitokselta, oikeusministeriöltä ja tietosuojavaltuutetun toimistolta. 
Esitysluonnoksesta saatiin yhteensä 17 lausuntoa. Lausunnon antoivat oikeusministeriö, oikeuskanslerinvirasto, tietosuojavaltuutetun toimisto, KEHA-keskus, Hämeen ELY-keskus ja TE-toimisto, Keski-Suomen TE-toimisto, Lapin TE-toimisto, Pirkanmaan TE-toimisto, Pohjanmaan ELY-keskus ja TE-toimisto, Pohjois-Karjalan ELY-keskus, Pohjois-Karjalan TE-toimisto, Pohjois-Pohjanmaan ELY-keskus, Pohjois-Pohjanmaan TE-toimisto, Uudenmaan TE-toimisto, TE-hallinnon asiakaspalvelukeskus, Suomen Kuntaliitto ja Kansaneläkelaitos. Varsinais-Suomen ELY-keskus ja TE-toimisto ilmoittivat, ettei niillä ole asiasta lausuttavaa. 
Lausuntopyyntö ja saadut lausunnot on julkaistu työ- ja elinkeinoministeriön internet-sivuilla (). 
Yleisesti lausunnoissa esitysluonnosta pidettiin perusteltuna ja tarkoituksenmukaisena. Esitettyjen muutosten katsottiin selkeyttävän TE-toimiston asiakastietojärjestelmän rekisterinpitäjiä koskevaa nykytilaa, kun lainsäädäntö saatetaan vastaamaan tosiasiallista tilannetta. Suomen Kuntaliitto kiinnitti kuitenkin huomiota sääntelyn yksityiskohtaisuuteen ja esitti harkittavaksi, onko näin yksityiskohtainen sääntely tarpeellista ja linjassa EU:n yleisen tietosuoja-asetuksen kanssa. 
Oikeusministeriö piti asianmukaisena, että rekisterinpitäjät määriteltäisiin tosiasiallista tilannetta vastaavasti, mutta kyseenalaisti esityksessä ehdotettujen henkilötietojen käsittelijöiden (TE-asiakaspalvelukeskus, ELY-keskukset, työ- ja elinkeinoministeriö) roolit. Se, että ne käyttävät asiakastietojärjestelmän tietoja ja, työ- ja elinkeinoministeriötä lukuun ottamatta, tallettavat asiakastietojärjestelmään tietoja, ei oikeusministeriön käsityksen mukaan riitä, jotta nämä tahot voitaisiin katsoa tietosuoja-asetuksen tarkoittamiksi henkilötietojen käsittelijöiksi. Oikeusministeriö totesi myös, ettei henkilötietojen käsittelijän rooli istuisi kovin hyvin esityksessä käsittelijöiksi määritellyille viranomaistahoille. Esitysluonnoksen yksityiskohtaisten perustelujen valossa oikeusministeriö katsoi, että sääntelyratkaisu, jossa asiakastietojärjestelmää käyttävät muut kuin rekisterinpidosta vastaavat viranomaistahot on määritelty henkilötietojen käsittelijöiksi sen sijaan, että niiden tarpeellinen tiedonsaanti olisi varmistettu esimerkiksi tiedon luovutusta ja saamisoikeuksia koskevalla sääntelyllä, ei vaikuttanut asianmukaiselta. Oikeusministeriö katsoi, että esitysluonnoksessa ehdotettua sääntelyä on välttämätöntä tarkistaa esityksen jatkovalmistelussa. Tämä koski myös työllistymistä edistävästä monialaisesta yhteispalvelusta annettuun lakiin ehdotettua muutosta. TE-toimiston asiakastietojärjestelmän roolitusta on oikeusministeriön edellyttämällä tavalla arvioitu uudelleen. Esitystä on muutettu siten, että TE-hallinnon asiakaspalvelukeskus olisi yleisessä tietosuoja-asetuksessa tarkoitettu henkilötietojen käsittelijä. Työ- ja elinkeinoministeriön ja ELY-keskusten tiedonsaanti turvattaisiin siten, että KEHA-keskuksen olisi luovutettava näille viranomaisille asiakastietojärjestelmästä välttämättömät tiedot, joita työ- ja elinkeinoministeriö ja ELY-keskukset tarvitsevat niille säännöksissä asetettujen tehtävien hoitamiseksi. Työllistymistä edistävässä monialaisessa yhteispalvelussa (TYP) käytössä oleva monialaisen yhteispalvelun asiakasrekisteri (TYPPI-rekisteri) on TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri. Koska TE-toimiston asiakastietojärjestelmän rekisterinpitäjiä olisivat esityksen mukaan KEHA-keskus ja TE-toimistot, ne olisivat myös monialaisen yhteispalvelun asiakasrekisterin rekisterinpitäjiä, mutta kunnalle ja Kansaneläkelaitokselle voitaisiin myöntää käyttöoikeus asiakasrekisteriin työllistymistä edistävän monialaisen yhteispalvelun järjestämiseksi. 
Tietosuojavaltuutetulla ei ollut huomauttamista esitysluonnoksessa ehdotetun rekisterinpitäjien välisen vastuunjaon tarkkarajaisuuden osalta. Myöskään oikeusministeriöllä ei ollut huomauttamista rekisterinpitäjien tehtäväjaosta. Oikeusministeriö kiinnitti kuitenkin huomiota siihen, että esitysluonnoksessa säilytettäisiin voimassa olevan säännöksen mukainen mahdollisuus siirtää rekisterinpitäjän tehtäviä TE-toimistoilta KEHA-keskukselle työ- ja elinkeinoministeriön määräyksellä siltä varalta, että tehtävien tarkoituksenmukainen hoitaminen edellyttäisi jonkin tehtävän keskittämistä. Koska työ- ja elinkeinoministeriö ei enää toimisi rekisterinpitäjänä, se olisi suhteessa esitysluonnoksessa määriteltyihin rekisterinpitäjiin ulkopuolinen taho. Mikäli työ- ja elinkeinoministeriölle säilytettäisiin määräyksenantovaltuus, oikeusministeriön arvion mukaan viranomaisen tehtävät eivät ilmenisi riittävästi laista. Oikeusministeriö katsoi, että työ- ja elinkeinoministeriön määräyksenantovaltuutta koskevaa säännöstä tulisi esitysluonnoksen jatkovalmistelussa tarkistaa tietosuoja-asetuksen 26 artiklan ja perustuslain 10.1 §:n valossa. Esitystä on oikeusministeriön lausunnon johdosta muutettu siten, että rekisterinpitäjien keskinäistä vastuunjakoa koskevasta säännöksestä on poistettu ilmaisu ”jollei työ- ja elinkeinoministeriö toisin määrää”. Ehdotetussa säännöksessä lueteltaisiin ne tehtävät, joista KEHA-keskus vastaisi. Työ- ja elinkeinotoimistot vastaisivat muista yleisessä tietosuoja-asetuksessa tarkoitetuista rekisterinpitäjän velvollisuuksista. 
Kansaneläkelaitos piti myös kannatettavana sitä, että tosiasiallisten rekisterinpitäjien keskinäistä vastuunjakoa täsmennettäisiin. Hallinnon läpinäkyvyys ja viranomaisten keskinäisen tehtävänjaon selkeys edesauttavat rekisteröityjen oikeuksien toteutumista. 
Tietosuojavaltuutetulla ja oikeusministeriöllä ei ollut huomautettavaa asiakastietojärjestelmään talletettavista rekisterikohtaisista tiedoista. Molemmat lausunnonantajat kuitenkin kiinnittivät huomiota siihen, että tietosuoja-asetuksen mukaan tietojen oikeellisuudesta vastaa aina rekisterinpitäjä. Lausunnon johdosta esitysluonnoksesta on poistettu säännös, jonka mukaan asiakastietojärjestelmään tietoja tallettanut taho vastaa tallettamiensa tietojen oikeellisuudesta ja ajantasaisuudesta. Tietosuojavaltuutetulla ja oikeusministeriöllä ei ollut huomautettavaa myöskään henkilötietojen käsittelyn rajoittamista koskevan esityksen osalta. Oikeusministeriö totesi, ettei esitysluonnoksesta ilmene taho, jonka vastuulla tietojen poistaminen asiakastietojärjestelmästä olisi. Esitystä on täsmennetty siten, että tietojen poistaminen olisi KEHA-keskuksen tehtävä. 
KEHA-keskus totesi, että asiakastietojärjestelmään talletettujen tietojen säilytysaikoja (neljä vuotta) koskeva säännös on erinomainen ja säilytysaikojen yhtenäistäminen on tarpeellista. Tietosuojavaltuutettu piti tietojen tallennusaikaa perusteltuna. Keski-Suomen TE-toimisto ja Lapin TE-toimisto pitivät neljän vuoden säilytysaikaa liian lyhyenä, jos esimerkiksi asiakkuuden päättymisen jälkeen alkaa kanteluprosessi. Esitysluonnoksessa ehdotetaan, että tietoja ei tarvitsisi poistaa määräajan päätyttyä, jos se on tarpeen säännöksiin perustuvan tehtävän hoitamiseksi tai vireillä olevan asian johdosta. KEHA-keskus ja Pohjois-Pohjanmaan TE-toimisto ehdottivat, että selvyyden vuoksi säännökseen tai perusteluihin lisätään maininta siitä, että vireillä olevalla asialla tarkoitetaan esimerkiksi keskeneräistä muutoksenhakuprosessia. Esitystä on täsmennetty tältä osin. 
Oikeusministeriö katsoi, että käyttöoikeuksista säätäminen voi sinänsä olla perusteltua, kuten julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 4 a §:ssä olisi tarkoitus säätää, mutta käyttötarkoituksia koskevia säännöksiä tulisi tarkistaa asiakastietojärjestelmää käyttävien tahojen rooleja koskevien huomioiden valossa. Käyttöoikeuksista säätämistä voidaan pitää joissakin tilanteissa perusteltuna silloin kun rekisterinpitäjän hallussa olevia tietoja on tarkoitus luovuttaa ulkopuolisille tahoille, jos tilanne ei tule katetuksi yleislaeilla. 
Kuntaliitto, Kansaneläkelaitos ja Lapin TE-toimisto pitivät hyvänä sitä, että TE-toimiston asiakastietojärjestelmän käyttötarkoitusta ja käyttöoikeuksien myöntämistä koskevaa säännöstä täydennetään. Kuntaliitto katsoi kuitenkin, että sääntelyn tarkkuus saattaa käytännössä aiheuttaa ongelmia rekisterinpitäjille näiden tehdessä käsittelyyn liittyvää riskiarviota ja suunnitellessa käsittelyn tietoturvaa. 
KEHA-keskus huomautti lausunnossaan, ettei esityksessä ole mainintaa työ- ja elinkeinoministeriön omistamasta työnvälitystilastosta. Työ- ja elinkeinoministeriön tulee ottaa huomioon, ettei työnvälitystilaston osalta ole mahdollista siirtää rekisterinpitäjän tehtäviä KEHA-keskukselle. Työ- ja elinkeinoministeriön on varmistettava tämän arkaluonteisia henkilötietoja sisältävän kokonaisuuden osalta riittävästä sääntelystä. Esitystä on täydennetty tältä osin. 
Esitysluonnoksessa ehdotettiin, että TE-toimiston henkilöasiakkaan palvelutarve voitaisiin arvioida ja työllistymissuunnitelmaehdotus laatia myös digitaalisesti. Oikeuskanslerinvirasto totesi, että mikäli digitaalisesti tehdyllä palvelutarpeen arvioinnilla tai digitaalisesti laaditulla työllistymissuunnitelmaehdotuksella on kohteen kannalta merkittäviä vaikutuksia, toimenpiteitä voi pitää yleisen tietosuoja-asetuksen 22 artiklan tarkoittamana automatisoituna päätöksentekona. Oikeuskansleri ei pitänyt esitysluonnoksen sanamuotoja digitaalisesta palvelutarvearvion tekemisestä ja digitaalisesta työllistymissuunnitelmaehdotuksen laatimisesta onnistuneina. Termi ”digitaalinen” tulisi muuttaa muotoon, josta käy selkeästi ilmi, että lainkohdissa tarkoitetaan automatisoitua toimintaa. Oikeusministeriö ei myöskään suoraan ottanut kantaa siihen, onko kyseessä automatisoitu päätöksenteko, mutta ei pitänyt poissuljettuna sitä, että kyseessä olisi yleisessä tietosuoja-asetuksessa tarkoitettu automatisoitu päätöksenteko. Esitysluonnosta korjattiin lausunnon johdosta ja ”digitaalinen” muutettiin muotoon ”automaattisen tietojenkäsittelyn avulla”. Oikeuskanslerinvirasto, oikeusministeriö ja tietosuojavaltuutetun toimisto kiinnittivät huomiota myös siihen, että digitaalisessa palvelutarpeen arvioinnissa henkilöasiakkaalta tiedustellaan, vaikuttaako terveydentila hänen hakemaansa työhön. Esitysluonnoksessa katsottiin, ettei kyse ole terveystietojen käsittelystä, koska asiakas voi vastata kysymykseen ainoastaan myöntävästi tai kieltävästi. Oikeuskansleri totesi, että pelkkää tietoa siitä, vaikuttaako terveydentila asiakkaan hakemaan työhön tai koulutukseen, voi pitää yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuna terveyttä koskevana tietona riippumatta siitä, että asiakas ei voi antaa terveydentilasta tarkempaa selvitystä.  
Lausuntoajan jälkeen, 14.11.2019 perustuslakivaliokunta on lausunnossaan PeVL 7/2019 vp arvioinut mahdollisuutta säätää automatisoidusta päätöksenteosta tavallisessa lainsäätämisjärjestyksessä ja päätynyt tulkintaan, jonka mukaan esityksestä olisi pyydettävä perustuslakivaliokunnan lausunto. Perustuslakivaliokunta totesi myös, että valiokunnan mielestä automatisoituja yksittäispäätöksiä koskevaa hallinnollista päätöksentekoa ei tulisi pyrkiä sääntelemään yksittäisillä pistemäisillä lakiehdotuksilla. Valiokunta edellytti myös, että valtioneuvosto selvittää huolellisesti ja hyvää lainvalmistelumenettelyä noudattaen automatisoitua päätöksentekoa sääntelevän yleislainsäädännön muutostarpeet ja valmistelee tarvittaessa automatisoitua päätöksentekoa koskevan yleisen lainsäädännön, jota voidaan mahdollisesti täsmentää hallinnonalan erityispiirteet huomioonottavilla erityislaeilla. Perustuslakivaliokunnan kannanoton johdosta esityksestä on poistettu säännökset palvelutarpeen arvioimisesta ja työllistymissuunnitelmaehdotuksen laatimisesta automaattisen tietojenkäsittelyn avulla.  
Tietosuojavaltuutettu piti esitysluonnoksen muutosehdotuksia työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:ään perusteltuina. Oikeusministeriö piti sinänsä asianmukaisena, että pykälää täsmennettäisiin tosiasiallista tilannetta vastaavaksi, mutta kiinnitti kuitenkin huomiota siihen, että oikeusministeriön lausunnossa esitysluonnoksen julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvusta esittämä tulisi ottaa huomioon esitysluonnoksen jatkovalmistelussa. 
Pirkanmaan TE-toimisto ja Pohjois-Karjalan TE-toimisto esittivät lausunnossaan, että monialaisessa yhteispalvelussa ensiarviointi- tai ehdokastilassa olevan asiakkaan tietojen luovutusta ja käsittelyä sekä tietojen näkyvyyttä TYPPI-asiakasrekisterissä tulisi selkeyttää. Esitystä on lausunnon johdosta täsmennetty siten, että TYP:n asiakkaaksi siirtyvän työttömän tietoja saa tallettaa monialaisen yhteispalvelun asiakasrekisteriin vasta siinä vaiheessa, kun päätös asiakkuuden siirtymisestä on tehty ja kartoitusjakso alkanut. 
Lausunnoissa esitettiin myös eräitä yksityiskohtaisia huomioita esitysluonnoksesta, minkä johdosta esitystä on joiltakin osin täsmennetty. Eräissä lausunnoissa tuotiin esille tarve viranomaisten välisen tiedonsaannin laajentamiseen ja palkkatukeen liittyviin säännösmuutoksiin. KEHA-keskus katsoi, että esitysluonnoksen rajaaminen tällä hetkellä käytössä olevaan asiakastietojärjestelmään ja eritteleminen yksityiskohtaisesti käytössä oleviin rekistereihin ei olisi riittävää, vaan asiakastietojärjestelmästä tulisi käyttää termiä asiakkuudenhallintajärjestelmä ja se tulisi säännöksissä pyrkiä kuvaamaan loogisella tasolla, koska URA-järjestelmä tullaan korvaamaan uudella järjestelmällä. Koska tämän hallituksen esityksen tarkoituksena on täsmentää julkisesta työvoima- ja yrityspalvelusta annetun lain säännöksiä tällä hetkellä käytössä olevasta TE-toimiston asiakastietojärjestelmästä ja saattaa säännökset yhteensopiviksi EU:n yleisen tietosuoja-asetuksen kanssa, ehdotuksia ei otettu huomioon esityksen jatkovalmistelussa. 
YKSITYISKOHTAISET PERUSTELUT
1
Lakiehdotusten perustelut
1.1
Laki julkisesta työvoima- ja yrityspalvelusta
13 luku Työ- ja elinkeinotoimiston asiakastietojärjestelmä
1 §.Työ- ja elinkeinotoimiston asiakastietojärjestelmä. Pykälän 1 momentissa täsmennettäisiin asiakastietojärjestelmän käyttötarkoituskuvauksia, jotta ne vastaisivat tosiasiallisia asiakastietojärjestelmän käyttötarkoituksia. Yleisen tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. Rekisterinpitäjä vastaa, että 5 artiklassa säädettyjä periaatteita on noudatettu. Sen on myös pystyttävä osoittamaan, että niitä on noudatettu. Asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaate). Asetuksen 5 artiklan l kohdan b alakohdassa tarkoitettu käyttötarkoitussidonnaisuuden periaate puolestaan tarkoittaa, että henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Näihin periaatteisiin liittyy yleisen tietosuoja-asetuksen 6 artiklan sääntely henkilötietojen käsittelyn edellytyksistä. 
Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetään edellytyksistä, joiden vallitessa henkilötietojen käsittely on lainmukaista. Oikeusministeriön asettama yleisen tietosuoja-asetuksen edellyttämien kansallisten lainsäädäntötoimenpiteiden tarvetta selvittänyt työryhmä on lähtenyt siitä, että viranomaisten henkilötietojen käsittelyn tulisi ensi sijassa perustua asetuksen 6 artiklan 1 kohdan c alakohtaan eli rekisterinpitäjän lakisääteiseen velvoitteeseen. Tämä tarkoittaa, että viranomaisen tehtävä ja toimivaltuudet tulee kuvata lainsäädännössä niin, että henkilötietojen käsittelyn oikeusperusta ja tarkoitus voidaan siitä johtaa toiminnan tavoite huomioon ottaen (EU:n yleisen tietosuoja-asetuksen täytäntöönpanotyöryhmän (TATTI) loppumietintö, Oikeusministeriön mietintöjä ja lausuntoja 8/2018, s. 33). 
Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan henkilötietojen käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä, jos käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen 3 kohta sisältää velvoitteen säätää kansallisessa lainsäädännössä käsittelyn perustasta ja käsittelyn tarkoituksesta. 
Voimassa olevan pykälän 1 momentissa säädetään, että TE-toimiston asiakastietojärjestelmää ylläpidetään julkisen työvoima- ja yrityspalvelun järjestämistä varten. Asiakastietojärjestelmää käytetään nykyisin kuitenkin myös muun muassa työttömyysturva- ja vuorotteluvapaajärjestelmien toimeenpanoon liittyviin tehtäviin, ammatillisesta koulutuksesta annetussa laissa tarkoitettuun työvoimakoulutukseen liittyviin viranomaistehtäviin, kuntouttavasta työtoiminnasta annetussa laissa säädettyihin tehtäviin ja eräisiin kotoutumisen edistämisestä annetussa laissa säädettyihin tehtäviin. Työ- ja elinkeinoministeriö käyttää asiakastietojärjestelmää sosiaalisista yrityksistä annetussa laissa säädettyjen tehtävien hoitamiseen. Sosiaalisista yrityksistä annetun lain 6 §:n mukaan sosiaalisten yritysten rekisteri on julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:n 1 momentissa tarkoitettu TE-toimiston asiakastietojärjestelmän työnantajarekisteri. Ehdotetussa 1 momentissa täsmennettäisiin, mihin lakeihin asiakastietojärjestelmän käyttötarkoitukset perustuvat. Henkilötietojen käsittely perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaisesti rekisterinpitäjän lakisääteiseen tehtävään. 
Voimassa olevan 1 §:n 2 momentin mukaan tietojen luovuttamiseen TE-toimiston asiakastietojärjestelmästä ja siihen talletettujen tietojen julkisuuteen sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa säädetään. Esityksessä ehdotetaan tämän säännöksen siirtämistä uuteen 7 §:ään, jossa säädettäisiin tietojen luovuttamisesta asiakastietojärjestelmästä. 
Ehdotetussa 2 momentissa säädettäisiin asiakastietojärjestelmän rakenteesta. Voimassa olevan pykälän 1 momentin mukaan asiakastietojärjestelmä muodostuu henkilöasiakasrekisteristä, työnantajarekisteristä ja palveluntuottajarekisteristä. Ehdotetussa 2 momentissa täsmennettäisiin, että asiakastietojärjestelmään kuuluu myös monialaisen yhteispalvelun asiakasrekisteri, joka on TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterinosarekisteri. Monialaisen yhteispalvelun asiakasrekisteriä (TYPPI-rekisteri) käytetään työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa TE-toimistolle, kunnalle ja Kansaneläkelaitokselle säädettyjen tehtävien toteuttamiseen. Voimassa olevassa työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:ssä säädetään siitä, että monialaisen yhteispalvelun asiakasrekisteri on julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä tarkoitetun TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri. Selvyyden vuoksi myös julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä olisi perusteltua säätää siitä, että monialaisen yhteispalvelun asiakasrekisteri on TE-toimiston henkilöasiakasrekisterin osarekisteri. 
Työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain perustelujen (HE 183/2014 vp) mukaan TYPPI-rekisteriin sovelletaan julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun säännöksiä rekisterinpitäjästä, tietojen tallettamisesta, poistamisesta ja arkistoinnista sekä käyttöoikeuden myöntämisestä, mutta voimassa olevaan lakiin ei ole otettu säännöstä julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun soveltamisesta. Selkeyden vuoksi ehdotetussa 2 momentissa täsmennettäisiin, että julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun säännöksiä sovellettaisiin monialaisen yhteispalvelun asiakasrekisteriin vain, ellei työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa toisin säädetä. Tämä tarkoittaisi, että TYPPI-rekisteriin sovellettaisiin ehdotettuja 13 luvun säännöksiä rekisterinpitäjistä, tietojen poistamisesta ja arkistoinnista, rekisteröidyn oikeudesta tietojen käsittelyn rajoittamiseen, 4 a §:n käyttöoikeuksista, 5 a §:n käyttöoikeuden muuttamisesta ja poistamisesta sekä tietojen luovuttamisesta asiakastietojärjestelmästä. Työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa säädettäisiin toisin asiakasrekisterin käyttötarkoituksesta, tietojen tallettamisesta, rekisterikohtaisista tiedoista ja käyttöoikeuksien myöntämisestä. 
Pykälän 3 momentissa olisi informatiivinen viittaus siihen, että henkilötietojen käsittelystä säädetään luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus) ja tietosuojalaissa (1050/2018). Yleinen tietosuoja-asetus on annettu 27.4.2016 ja julkaistu Euroopan unionin virallisessa lehdessä 4.5.2016 (EUVL L 119). Yleinen tietosuoja-asetus on suoraan sovellettavaa lainsäädäntöä ja tietosuojalakia yleislakina sovelletaan henkilötietojen käsittelyyn. Viittaus edellä mainittuihin säädöksiin otettaisiin ehdotettuun 3 momenttiin selvyyden vuoksi ja sen korostamiseksi, että käsiteltäessä henkilötietoja TE-toimiston asiakastietojärjestelmässä on sen lisäksi, mitä tässä laissa säädetään, otettava huomioon myös yleisen tietosuoja-asetuksen ja tietosuojalain säännökset. Voimassa olevassa 1 §:n 2 momentissa oleva viittaus kumottuun henkilötietolakiin poistettaisiin. 
Pykälän 4 momentissa viitattaisiin yrityspalvelujen asiakastietojärjestelmästä annettuun lakiin. Nykyisen 1 §:n 1 momentissa oleva viittaus päivitettäisiin koskemaan voimassa olevaa yrityspalvelujen asiakastietojärjestelmästä annettua lakia (293/2017). 
2 §.Rekisterinpitäjät. Pykälää ehdotetaan muutettavaksi siten, että sen otsikko muutetaan monikkoon ja rekisterinpitäjät määritellään tosiasiallista tilannetta vastaavasti yleisen tietosuoja-asetuksen edellyttämällä tavalla. Yleisessä tietosuoja-asetuksessa säädetään rekisterinpitäjän velvollisuuksista ja vastuista. Asetuksessa mahdollistetaan useamman tahon yhteisrekisterinpitäjyys, kunhan lainsäädännössä tai rekisterinpitäjien keskinäisellä järjestelyllä määritellään rekisterinpitäjien vastuualueet. Pykälään tehtäisiin muutokset, jotka johtuvat työ- ja elinkeinoministeriön ja KEHA-keskuksen tehtävänjaossa tapahtuneista muutoksista. Lisäksi rekisterinpitäjien välistä tehtävänjakoa täsmennettäisiin ja lisättäisiin säännös TE-hallinnon asiakaspalvelukeskuksen roolista henkilötietojen käsittelijänä. 
Yleisessä tietosuoja-asetuksessa rekisterinpitäjällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. 
Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yleisen tietosuoja-asetuksen 26 artiklan mukaan yhteisrekisterinpitäjiä. Yhteisrekisterinpitäjien vastuualueet voidaan määritellä yhteisrekisterinpitäjien keskinäisellä järjestelyllä tai osittain tai kokonaan jäsenvaltion lainsäädännössä. Järjestelystä tai lainsäädännöstä on käytävä asianmukaisesti ilmi yhteisten rekisterinpitäjien todelliset roolit ja suhteet rekisteröityihin nähden. Rekisteröity voi käyttää yleisen tietosuoja-asetuksen mukaisia oikeuksia suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan riippumatta yhteisrekisterinpitäjien vastuunjaosta. 
Nykyisessä 2 §:ssä säädetään työ- ja elinkeinoministeriön ja TE-toimistojen kesken jaetuista rekisterinpitäjän tehtävistä. Rekisterinpitoon liittyvät tehtävät on kuitenkin jo aiemmin siirretty työ- ja elinkeinoministeriöstä KEHA-keskukselle. Koska työ- ja elinkeinoministeriö ei enää käytännössä toteuta TE-toimiston asiakastietojärjestelmään liittyviä toimia eikä sillä ole tosiasiallista roolia asiakastietojen käsittelyssä, sitä ei voida enää määritellä rekisterinpitäjäksi. Työ- ja elinkeinoministeriön tehtäviin kuuluu perustuslain nojalla toimialansa hallinnon asianmukaisesta toiminnasta vastaaminen ja ministeriölle kuuluu elinkeino-, liikenne- ja ympäristökeskuksista annetun lain mukaan ELY-keskusten ja KEHA-keskuksen yleishallinnollinen ohjaaminen. Rekisterinpitäjän määrittely ei muuta tätä työ- ja elinkeinoministeriön roolia. 
Pykälän 1 momentissa ehdotetaan säädettäväksi, että KEHA-keskus ja TE-toimistot ovat työ- ja elinkeinotoimiston asiakastietojärjestelmän yhteisrekisterinpitäjiä. Momentissa todettaisiin selvyyden vuoksi myös, että TE-hallinnon asiakaspalvelukeskus on yleisessä tietosuoja-asetuksessa tarkoitettu henkilötietojen käsittelijä. Yleisessä tietosuoja-asetuksessa henkilötietojen käsittelijällä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun. TE-hallinnon asiakaspalvelukeskus hoitaa useita TE-toimistolle kuuluvia julkiseen työvoima- ja yrityspalveluun liittyviä tehtäviä, kuten antaa neuvontaa, ohjausta ja tietoa TE-toimiston tarjoamista palveluista, ja vastaanottaa henkilöasiakkaiden ilmoituksia muun muassa työnhakuun liittyvistä muutoksista. Erona TE-toimiston tarjoamiin palveluihin on se, että kaikki palvelu annetaan puhelinpalveluna ja sähköpostitse tai muiden sähköisten kanavien kautta. Näin ollen on perusteltua katsoa, että TE-hallinnon asiakaspalvelukeskus käsittelee TE-toimiston asiakkaiden henkilötietoja rekisterinpitäjän (TE-toimiston) puolesta. 
Pykälän 2 momentissa lueteltaisiin ne yleisessä tietosuoja-asetuksessa säädetyt rekisterinpitäjän tehtävät, joista KEHA-keskus vastaisi. Niitä olisivat: 
- 25 artiklassa tarkoitettu sisäänrakennettu ja oletusarvoinen tietosuoja; 
- 32 artiklassa tarkoitettu käsittelyn turvallisuus; 
- 35 artiklassa tarkoitettu tietosuojaa koskeva vaikutustenarviointi ja 36 artiklassa tarkoitettu ennakkokuuleminen; 
- 12 artiklan 1 ja 2 kohdassa tarkoitetut rekisterinpitäjän velvollisuudet; 
- muut sellaiset yleisessä tietosuoja-asetuksessa säädetyt rekisterinpitäjän velvollisuudet, jotka koskevat käytettävän tietojärjestelmän tietoturvallisuutta. 
Pykälän 3 momentissa säädettäisiin TE-toimistojen rekisterinpitäjän tehtävistä. Ehdotetun säännöksen mukaan TE-toimistot vastaisivat muista kuin 2 momentin mukaisista yleisessä tietosuoja-asetuksessa tarkoitetuista rekisterinpitäjän velvollisuuksista. TE-toimistot ovat asiakastietojärjestelmän pääasiallisia käyttäjiä ja tiedontuottajia. Näin ollen on perusteltua, että ne vastaisivat yleisessä tietosuoja-asetuksessa säädetyistä muista kuin tietojärjestelmään suoraan liittyvistä rekisterinpitäjän tehtävistä. Pykälän 3 momentissa säädettäisiin myös TE-toimistojen keskinäisestä vastuunjaosta. Sen perusteena olisi rekisteröidyn asiakkuus. Voimassa olevassa 2 §:ssä on säädetty työ- ja elinkeinoministeriön mahdollisuudesta määrätä toisin TE-toimistojen rekisterinpitäjän tehtävistä. Yleisen tietosuoja-asetuksen 26 artiklan mukaan yhteisrekisterinpitäjien tulee määrittää keskinäisellä järjestelyllä kunkin vastuualue tietosuoja-asetuksessa vahvistettujen velvoitteiden noudattamiseksi. Koska esityksen mukaan työ- ja elinkeinoministeriö ei enää toimisi rekisterinpitäjänä, se olisi suhteessa ehdotettuihin rekisterinpitäjiin ulkopuolinen taho. Esityksessä ei tästä syystä ehdoteta työ- ja elinkeinoministeriölle mahdollisuutta määrätä TE-toimistojen rekisterinpitäjän tehtävistä toisin. 
Yleisessä tietosuoja-asetuksessa säädettyjä rekisterinpitäjän tehtäviä, joista TE-toimistot vastaisivat, olisivat esimerkiksi 28 artiklan 1 kohdassa säädetty velvollisuus käyttää vain sellaisia henkilötietojen käsittelijöitä, jotka toteuttavat riittävät suojatoimet asianmukaisten teknisten ja organisatoristen toimien täytäntöönpanemiseksi niin, että asetuksen vaatimukset täyttyvät. Myös rekisteröidyn oikeuksien toteuttamiseen liittyvät rekisterinpitäjän tehtävät, lukuun ottamatta 2 momentissa KEHA-keskukselle ehdotettuja tehtäviä, kuuluisivat TE-toimistoille. 
Yleisen tietosuoja-asetuksen 26 artiklan 3 kohdan mukaan rekisteröity voi käyttää asetuksen mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään ja kutakin rekisterinpitäjää vastaan riippumatta yhteisrekisterinpitäjien keskinäisestä vastuunjaosta. Tällä tarkoitetaan sitä, että rekisteröity saa asian vireille riippumatta siitä, mille rekisterinpitäjistä hän pyyntönsä esittää. Rekisteröidyn oikeuksien toteuttaminen edellyttää, että jollekin rekisterinpitäjistä esitetty pyyntö tai tiedustelu välitetään tarvittaessa sille rekisterinpitäjälle, joka rekisterinpitäjien keskinäisen vastuualuejaon mukaan vastaa asiasta. Jos rekisteröity esimerkiksi esittäisi KEHA-keskukselle vaatimuksen tietojensa oikaisemisesta, virasto voisi hallintolain (434/2003) mukaisesti siirtää asian sille TE-toimistolle, jonka asiakkaana rekisteröity on. 
3 §. Rekisterikohtaiset tiedot. Pykälän sääntelyä täsmennettäisiin, jotta se olisi paremmin yhteensopivaa yleisen tietosuoja-asetuksen kanssa. Vastaavasti kuin nykyisin, pykälän 1—3 momentissa säädettäisiin asiakastietojärjestelmän eri rekisterien tietosisällöistä. 
Yleisen tietosuoja-asetuksen 5 artiklassa ilmaistu tietojen minimoinnin periaate tarkoittaa, että käsiteltävien henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa sallitaan kansallisessa lainsäädännössä erityisiä säännöksiä, joilla mukautetaan asetuksen sääntöjen soveltamista. Tällaiset erityiset säännökset voivat koskea muun muassa käsiteltävien tietojen tyyppiä ja asianomaisia rekisteröityjä. Kansallinen lainsäädäntö rekisterien tietosisällöstä ja rekisteröidyistä on näin ollen yleisen tietosuoja-asetuksen näkökulmasta mahdollista. Tietosisältö on määriteltävä tietojen minimoinnin periaatteen mukaisesti. 
Pykälän 1 momentissa säädettäisiin nykyiseen tapaan asiakastietojärjestelmän henkilöasiakasrekisterin tietosisällöstä. Tiedot voisivat koskea henkilöasiakasta, eli julkisesta työvoima- ja yrityspalvelusta annetun lain mukaisia palveluita, tukia tai korvauksia hakevaa tai saavaa yksityistä henkilöä. 
Pykälän 1 momentin 1—9 kohdassa luetellaan nykyisin, mitä tietoja henkilöasiakkaasta voidaan tallettaa. Kohdat vastaisivat muutoin nykytilaa, mutta 1, 2, 5, 7 ja 8 kohtaan ehdotetaan tehtäväksi täsmennyksiä. 
Momentin 1 kohdassa säädetään nykyisin tunnistetietojen, mukaan lukien henkilötunnuksen, tallettamisesta. Nykyisen 1 kohdan perustelujen mukaan tunnistetiedoilla tarkoitettaisiin henkilön nimeä, henkilötunnusta ja osoite- sekä muita yhteystietoja. Kohtaa täsmennettäisiin siten, että siinä todettaisiin suoraan talletettavat tunnistetiedot, eli nimi ja henkilötunnus. Lisäksi kohdassa mainittaisiin yhteystiedot. Tiedot ovat tarpeen palvelujen järjestämiseksi henkilölle ja yhteydenpitoa varten. Henkilötunnuksen käsittely on tietosuojalain 29 §:n nojalla sallittu muun muassa, jos käsittelystä säädetään laissa. Ehdotettu 1 kohta täyttäisi tämän edellytyksen. 
Momentin 2 kohtaan tehtäisiin kielellinen tarkennus. Momentin 5 kohtaa täsmennettäisiin siten, että henkilöasiakasrekisteriin voitaisiin tallettaa työtarjousten lisäksi myös tiedot koulutustarjouksista. Ehdotus vastaisi nykyistä käytäntöä. 
Momentin 7 kohdassa säädetään nykyisin julkisen työvoima- ja yrityspalvelun tarjoamisen edellyttämien terveydentila- ja muiden tietojen tallettamisesta. Ehdotetussa 7 kohdassa asiaa täsmennettäisiin siten, että henkilöasiakkaasta voitaisiin tallettaa sellaiset terveydentilaa ja työ- ja toimintakykyä koskevat tiedot, joilla on vaikutusta henkilön työllistymiseen ja jotka ovat välttämättömiä palvelujen tarjoamiseksi hänelle. Kohta vastaisi työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n 2 momentin 5 kohtaa. Henkilöasiakasrekisteriin merkittäisiin vain sellaiset henkilöasiakkaan terveydentilaa ja työ- ja toimintakykyä koskevat tiedot, joilla olisi vaikutusta työllistymiseen ja jotka olisivat välttämättömiä julkisten rekrytointipalvelujen ja osaamisen kehittämispalvelujen tarjoamiseksi. Esimerkiksi työnvälityksen kannalta voi olla tarpeen merkitä henkilön terveydentilaan liittyvä rajoite, joka estää työskentelyn tietyissä tehtävissä. Lähtökohtana on, että rekisteriin merkityt terveydentilaa ja työkykyä koskevat tiedot perustuvat terveydenhuollon ammattihenkilön tekemään arvioon. Työkykyä koskeva tieto voisi perustua myös esimerkiksi kuntoutuspalvelun tuottajalta saatuun palautteeseen. 
Yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa kielletään erityisten henkilötietojen käsittely. Tällaisia tietoja ovat muun muassa terveystiedot sekä rotu ja etninen alkuperä. Poikkeuksista käsittelykieltoon säädetään artiklan 2 kohdassa. 
Erityisiä henkilötietoja saa 9 artiklan 2 kohdan b alakohdan mukaan käsitellä muun muassa, jos käsittely on tarpeen rekisterinpitäjän velvoitteiden noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Tämän kohdan antamaa kansallista liikkumavaraa on käytetty tietosuojalain 6 §:n 1 momentin 3 ja 5 kohdassa. 
Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan mukaan erityisten henkilötietojen käsittely on sallittua muun muassa myös, jos käsittely on tarpeen ennalta ehkäiseviä tarkoituksia varten, työntekijän työkyvyn arvioimiseksi, lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten jäsenvaltion lainsäädännön perusteella tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti ja noudattaen 3 kohdassa esitettyjä edellytyksiä ja suojatoimia. Kyseisen 3 kohdan mukaan henkilötietoja voidaan käsitellä muun muassa, jos tietoja käsittelee tai niiden käsittelystä vastaa ammattilainen, jolla on lakisääteinen salassapitovelvollisuus jäsenvaltion lainsäädännön perusteella tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella, taikka toinen henkilö, jota niin ikään sitoo lakisääteinen salassapitovelvollisuus jäsenvaltion lainsäädännön tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella. 
Ehdotetun 7 kohdan säännöksen osalta tiedon käsittelyperusteita olisivat 9.2 artiklan b ja h alakohta. On tulkinnanvaraista, kumpi näistä käsittelyperusteista tulisi kyseeseen. Ehdotetun sääntelyn katsotaan kuitenkin täyttävän molempia näitä käsittelyperusteita koskevat vaatimukset. Käsittelystä säädettäisiin laissa. Lainsäädännössä olisi myös säännökset rekisteröidyn perusoikeuksia ja etuja koskevista suojatoimista, kuten b alakohdassa edellytetään. Suojatoimiksi katsottavaa sääntelyä sisältyisi paitsi tietosuojalakiin, tiedonhallintalakiin, rikoslakiin, julkisuuslakiin ja muihin hallinnon yleislakeihin, myös ehdotettuun lakiin. Ehdotetussa laissa suojatoimiksi olisi katsottavissa ainakin säännökset käyttöoikeuden myöntämisestä, poistamisesta ja säilytysajoista. Tietoja käsittelevään henkilöön sovellettaisiin julkisuuslakia, joten häntä sitoisi lakisääteinen salassapitovelvollisuus, kuten h alakohdassa edellytetään. 
Momentin 8 kohtaa täsmennettäisiin selvyyden vuoksi siten, että henkilöasiakasrekisteriin voitaisiin tallettaa työttömyysturvaan liittyvien selvitysten ja työvoimapoliittisten lausuntojen lisäksi myös vuorotteluvapaaseen liittyvät vastaavat selvitykset ja lausunnot. TE-toimiston asiakastietojärjestelmää käytetään myös vuorotteluvapaalaissa säädettyjen tehtävien hoitamiseen, joten ehdotus vastaisi voimassa olevaa käytäntöä. 
Pykälän 2 momentin johdantokappaleessa täsmennettäisiin nykyiseen nähden, että rekisterin tiedot voivat koskea julkisia työvoima- ja yrityspalveluja hakevaa tai saavaa työnantajaa. Työnantaja voi olla myös luonnollinen henkilö, joten rekisteriin talletettavat tiedot voivat koskea myös luonnollista henkilöä. Rekisterin tietosisältöä koskeviin 1—6 kohtaan ei ehdoteta muutoksia lukuun ottamatta nykyisen 2 kohdan virheellisen kirjoitusasun korjaamista ja kielellistä tarkennusta. Momentin 7 kohtaa täsmennettäisiin kielellisesti. 
Pykälän 3 momentissa säädettäisiin nykyiseen tapaan asiakastietojärjestelmän palveluntuottajarekisterin tietosisällöstä. Pykälän 3 momentissa on nykyisin 7 kohtaa. Näistä 1—3 ja 6 kohtaan tehtäisiin kielellisiä tarkistuksia. 
Pykälän 4 momenttiin tehtäisiin ainoastaan kielellisiä tarkistuksia. Asiakastietojärjestelmästä erillään pidettävät asiakirjat voivat olla paitsi paperimuotoisia, myös sähköisessä muodossa. 
4 §. Tietojen tallettaminen, poistaminen ja arkistointi. Pykälän 1 momentista poistettaisiin säännös, jonka mukaan tietojen tallettamisesta järjestelmään on kerrottava henkilöasiakkaalle. Yleisen tietosuoja-asetuksen 13 artiklassa säädetään rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle tietoja hänen henkilötietojensa käsittelystä silloin kun tietoja kerätään rekisteröidyltä. Yleisen tietosuoja-asetuksen 14 artiklassa säädetään rekisterinpitäjän velvollisuudesta toimittaa rekisteröidylle tietoja hänen henkilötietojensa käsittelystä silloin kun tiedot saadaan jostain muualta. Pykälän 1 momentin säännös siitä, että tietojen tallettamisesta on kerrottava henkilöasiakkaalle, on päällekkäinen näiden asetuksen säännösten kanssa, joten se on poistettava. 
Lisäksi 1 momenttia muutettaisiin siten, että siihen lisättäisiin säännös tahoista, joiden on talletettava asiakastietoja järjestelmään. Laissa ei nykyisin ole säännöstä siitä, millä tahoilla on oikeus tai velvollisuus tallettaa tietoja TE-toimiston asiakastietojärjestelmään. Säännös ehdotetaan otettavaksi lakiin asian selventämiseksi. TE-toimistolla, TE-hallinnon asiakaspalvelukeskuksella ja KEHA-keskuksella olisi velvollisuus tallettaa asiakastiedot tietojärjestelmään. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan d alakohdassa säädetyn täsmällisyysperiaatteen mukaan henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, että 1 kohtaa on noudatettu. 
Pykälän 2 momentissa säädettäisiin siitä, ettei rekisteröidyllä ole yleisen tietosuoja-asetuksen 18 artiklassa säädettyä oikeutta henkilöasiakasrekisterissä olevien tietojen käsittelyn rajoittamiseen. 
Yleisen tietosuoja-asetuksen 18 artiklassa säädetään rekisteröidyn oikeudesta käsittelyn rajoittamiseen. Artiklan 1 kohdan mukaan rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos yksi artiklassa luetelluista tilanteista on kyseessä. Esimerkiksi 1 kohdan a alakohdan perusteella käsittelyä olisi rajoitettava, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällaisessa tilanteessa käsittelyä olisi rajoitettava ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden. Jos käsittelyä päätetään rajoittaa 1 kohdan perusteella, henkilötietoja saa artiklan 2 kohdan mukaan säilyttämistä lukuun ottamatta käsitellä ainoastaan rekisteröidyn suostumuksella taikka oikeudellisen vaateen laatimiseksi, esittämiseksi tai puolustamiseksi tahi toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä. Tätä rekisteröidyn oikeutta voidaan 23 artiklan nojalla rajoittaa rajoittamisen edellytysten täyttyessä. 
Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa annetaan jäsenvaltioille mahdollisuus lainsäädännöllä rajoittaa muun muassa 18 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja rajoitus on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata esimerkiksi jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva. Artiklan 2 kohdassa säädetään asioista, joita koskevia säännöksiä tällaisen lainsäädännön on tarpeen mukaan sisällettävä. Kansallisessa lainsäädännössä olisi 2 kohdan mukaan säädettävä käsittelytarkoituksesta, henkilötietoryhmistä, rajoitusten soveltamisalasta, suojatoimista, joilla estetään väärinkäyttö tai lainvastainen päästy tietoihin tai niiden siirtäminen, rekisterinpitäjien määrittämisestä ja tietojen säilytysajoista. 
Julkiseen työvoimapalveluun, työttömyysturvaan tai vuorotteluvapaaseen liittyvän tehtävän hoitaminen ei voi sen tavoitteet huomioon ottaen olla riippuvainen rekisteröidyn päätöksestä rajoittaa tietojensa käsittelyä. Asiakastietojärjestelmän ylläpidon sekä työttömyysturvan ja vuorottelukorvauksen maksamisen kannalta ei ole mahdollista, että henkilö voisi rajoittaa tietojensa käsittelyä esimerkiksi rekisterinpitäjän tietojenkäsittelyn oikeusperusteen selvittämisen taikka tietojen tai niiden käsittelyn virheellisyyttä koskevan väitteen käsittelyn ajan. Tämä voisi vaarantaa etuusasian käsittelyn ja tietojen oikeellisuuden. Ylläpidettävien tietojen tulee olla paikkansa pitäviä ja täydellisiä, eivätkä ne voi olla riippuvaisia henkilötietojen suojaa koskevien väitteiden käsittelystä ennen kuin päätös edellä tarkoitetun väitteen johdosta on tehty. Jos henkilön tietoja ei voitaisi käsitellä, hänelle ei voitaisi myöskään järjestää palveluita eikä maksaa etuuksia. Näin ollen ehdotetaan säädettäväksi, ettei rekisteröidyllä ole yleisen tietosuoja-asetuksen 18 artiklassa tarkoitettua oikeutta henkilöasiakasrekisterissä olevien tietojen käsittelyn rajoittamiseen. Muita yleisessä tietosuoja-asetuksessa säädettyjä oikeuksia, joita asetuksen nojalla sovelletaan käsittelyyn, joka on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi, ei rajoitettaisi. 
Yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa säädetyt edellytykset rekisteröidyn oikeuden rajoittamiselle täyttyvät, koska rajoitus on välttämätön ja oikeasuhtainen, jotta työllisyyden edistämiseen, työttömyysturvaan ja vuorotteluvapaaseen liittyvät jäsenvaltion tavoitteet voidaan täyttää. Rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja vapauksia, sillä käsittelystä säädetään laissa, ja rekisteröidyllä on oikeus hakea muutosta päätöksiin. Myös muut hyvän hallinnon takeet on lainsäädännössä turvattu. Lisäksi asetuksen 23 artiklan 2 kohdassa säädetyt edellytykset rajoitukselle täyttyvät. Käsittelytarkoituksesta säädettäisiin 13 luvun ehdotetussa 1 §:ssä, käsiteltävistä henkilötietoryhmistä ehdotetussa 3 §:ssä ja rajoituksen soveltamisalaksi olisi ehdotetussa 4 §:ssä määritelty henkilöasiakasrekisterin tiedot. Suojatoimista säädettäisiin puolestaan ehdotetussa 4 a, 5 ja 5 a §:ssä. Lisäksi julkisuuslain sisältämä salassapitoa ja tietosuojalain sisältämä vaitiolovelvollisuutta ja sen sanktiointia koskeva sääntely sekä tiedonhallintalain tietoturvallisuuden varmistamista koskeva sääntely, samoin kuin hallinnon yleislakien soveltaminen, on katsottava suojatoimiksi, joilla estetään väärinkäyttö ja lainvastainen pääsy tietoihin tai niiden siirtäminen. Rekisterinpitäjät määriteltäisiin 13 luvun 2 §:ssä ja säilytysajat 4 §:ssä. Rekisteröity saisi tiedon rajoituksesta lainsäädännöstä. Velvollisuus antaa rekisteröidylle tietoja käsittelystä perustuu lisäksi yleisen tietosuoja-asetuksen 13 ja 14 artiklaan. 
Pykälän 3 momentissa säädettäisiin työ- ja elinkeinotoimiston asiakastietojärjestelmään talletettujen tietojen säilytysajoista. Momentissa ehdotetaan asiakastietojen säilytysaikojen yhtenäistämistä ja kokonaissäilytysajan lyhentämistä. Lisäksi täsmennettäisiin, minkä tahon tehtävänä tietojen poistaminen olisi. Momenttiin tehtäisiin myös kielellisiä tarkistuksia. 
Yleisen tietosuoja-asetuksen 5 artiklassa säädetyn säilytyksen rajoittamisperiaatteen mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan kansallinen lainsäädäntö voi sisältää erityisiä säännöksiä, joilla mukautetaan asetuksen sääntöjen soveltamista. Tällaiset erityiset säännökset voivat koskea muun muassa säilytysaikoja. 
Voimassaolevan 13 luvun 4 §:n 2 momentin mukaan henkilöasiakasta koskevat 3 §:n 1 momentin 2, 4 ja 5 kohdassa tarkoitetut tiedot poistetaan tietojärjestelmästä kahden vuoden kuluttua tietoa koskevan merkinnän tekemisestä. Kaikki asiakasta tai palveluntuottajaa koskevat tiedot poistetaan, kun asiakkuuden tai sopimussuhteen päättymisestä on kulunut viisi vuotta. Tietoa ei kuitenkaan poisteta, jos se on tarpeen säännöksiin perustuvan tehtävän hoitamiseksi tai vireillä olevan asian johdosta. Momentissa ehdotetaan säilytysaikojen yhtenäistämistä ja kokonaissäilytysajan lyhentämistä nykyisestä viidestä vuodesta neljään vuoteen. 
Ehdotetun muutoksen perusteena on 13 luvun 3 §:n 1 momentin 2 kohdan tarkoittaman tietosisällön muutos. Nykyisin TE-toimiston asiakastietojärjestelmässä asiakkaan on mahdollista hoitaa laajasti omaan asiointiinsa liittyviä asioita sähköistä asiointipalvelua hyödyntäen. Käytännössä henkilöasiakkaan tallettamat asiointitiedot kertyvät 13 luvun 3 §:n 1 momentin 2 kohdan tarkoittamaan tietosisältöön. Kyseinen tietosisältö on laajentunut aiempaan käyttötarkoitukseen nähden ja voi sisältää asiakkaan ilmoittamana myös sellaisia tietoja, joiden säilyttämisaika on voimassa olevan lainsäädännön mukaan viisi vuotta asiakkuuden päättymisestä. Näin ollen kyseisen tietosisällön säilytysajan tulisi olla yhteneväinen muun tietosisällön kanssa. Asiakastiedon eheyden kannalta olisi olennaista, että asiakastiedoista ei tehtäisi osittaisia poistoja ennen lopullista säilyttämisajan päättymistä. Asiakkaan prosessien turvaamiseksi keskeiset tiedot tulisi olla saatavilla yhtenäisessä muodossa ja poistot tulisi tehdä kokonaisuutena säädetyn ajan puitteissa. Työ- ja elinkeinohallinnon palveluiden turvaamiseksi olisi olennaisen tärkeää, ettei asiakastiedoista poistettaisi tietoja ennen kuin asiakkuuden jälkeiset mahdolliset prosessit olisi ratkaistu ja saatu päätökseen. Koska asiakkaan tiedot jatkossa ehdotetaan säilytettävän kokonaisuutena nykyään tehtävien jaksotettujen poistojen sijaan, voidaan yleisen tietosuoja-asetuksen mukaista rekisteröidyn oikeutta säilytyksen rajoittamiseen toteuttaa kokonaissäilytysajan lyhentämisen kautta viidestä vuodesta neljään vuoteen asiakkuuden päättymisestä, mitä voidaan pitää asiakkaan prosesseihin kohdistuvien toimien kannalta pääsääntöisesti riittävänä. 
Ehdotettuun 3 momenttiin sisältyisi myös nykyisen pykälän 2 momentin säännöstä vastaava säännös siitä, ettei asiakastietojärjestelmässä olevaa tietoa tarvitse kuitenkaan poistaa, jos se on tarpeen säännöksiin perustuvan tehtävän hoitamiseksi tai vireillä olevan asian johdosta. Esimerkiksi ESR-rahoituksella järjestettyä palvelua koskevaa tietoa ja muita tähän liittyviä asiakkaan tietoja ei poistettaisi, koska säännökset edellyttävät tietojen säilyttämistä 10 vuoden ajan rahoituspäätöksessä vahvistetusta hankkeen päättymispäivästä (valtioneuvoston asetus rakennerahastoista osarahoitettavien kustannusten tukikelpoisuudesta (358/2014), 30 §). Myös EGR-rahoituksella järjestetyn palvelun tositteet ja tiedot on säilytettävä kolme vuotta sen jälkeen, kun EGR:ltä saadun rahoitustuen tilit on päätetty (Euroopan globalisaatiorahastosta (2014—2020) ja asetuksen (EY) N:o 1927/2006 kumoamisesta annetun Euroopan parlamentin ja neuvoston asetus (EU) N:o 1309/2013, 21 artikla 5 kohta). Käytännössä EGR-hankkeen aineisto on säilytettävä keskimäärin seitsemän vuoden ajan, joten neljän vuoden määräaika ei olisi riittävä tietojen poistamiseen TE-toimiston asiakastietojärjestelmästä. Asiakkaan tietoja ei tarvitsisi poistaa myöskään, jos vireillä on esimerkiksi työttömyysturvaan tai julkiseen työvoima- ja yrityspalveluun liittyvä keskeneräinen muutoksenhakuprosessi. 
Voimassa olevassa 4 §:ssä ei ole säädetty, minkä tahon tehtävänä on poistaa tiedot asiakastietojärjestelmästä. Ehdotetun 3 momentin mukaan KEHA-keskuksen tehtävänä olisi poistaa asiakastiedot, koska teknisesti asiakastietojärjestelmää ylläpitävänä KEHA-keskus on ainoa taho, joka voi sen käytännössä tehdä. 
Pykälän 4 momentissa olisi informatiivinen viittaus siihen, että tietojen arkistoinnista säädetään arkistolaissa (831/1994). Vastaava säännös on nykyisen pykälän 3 momentissa. 
4 a §. Käyttöoikeudet. Pykälä olisi uusi. Ehdotetun pykälän 1 momentissa säädettäisiin TE-toimiston asiakastietojärjestelmän käytön edellyttävän henkilökohtaista käyttöoikeutta. Nykyisin asiasta ei säädetä, vaikka käyttö edellyttääkin käyttöoikeutta. Käyttöoikeudet ovat yksi keino turvata järjestelmän tietoturvallisuus. Ehdotettu 1 momentin säännös liittyisi tiedonhallintalain 16 ja 17 §:ään, joissa säädetään tietojärjestelmien käyttöoikeuksien hallinnasta ja lokitietojen keräämisestä. Ehdotetussa momentissa säädettäisiin lisäksi, että asiakastietojärjestelmän osalta kyseisistä tehtävistä vastaisi KEHA-keskus. 
Tiedonhallintalain 16 §:ssä säädetään velvollisuudesta määritellä tietojärjestelmän käyttöoikeudet ja pitää ne ajan tasalla. Yleislain sääntelyä sovelletaan myös TE-toimiston asiakastietojärjestelmään ja käyttöoikeuksien myöntämiseen. Käyttöoikeuden määrittelyä koskee myös suoraan sovellettavan yleisen tietosuoja-asetuksen periaate tietojen minimoinnista. Pykälässä KEHA-keskukselle ehdotetut tehtävät liittyisivät sille 2 §:ssä ehdotettuihin rekisterinpitäjän tehtäviin. Käyttöoikeuksien myöntämisellä ja lokitietojen keräämisellä on läheinen yhteys järjestelmän tietoturvallisuuden takaamiseen, joten on perusteltua, että järjestelmän tietoturvallisuudesta vastaava rekisterinpitäjä vastaa niihin liittyvistä tehtävistä. 
Pykälän 2 momentissa säädettäisiin käyttöoikeuden määrittelemistä koskevasta vaatimuksesta. Ehdotetun säännöksen mukaan käyttöoikeus olisi rajattava sisällöltään, laajuudeltaan, valtuuksiltaan ja kestoltaan siihen, mikä on henkilön tehtävien hoitamisen kannalta välttämätöntä. Sisällöllä viitattaisiin niihin tietosisältöihin, joihin pääsyn käyttöoikeus mahdollistaisi, laajuudella niihin rekisteröityihin, joita koskevien tietojen käsittelyn käyttöoikeus mahdollistaisi, ja valtuuksilla niihin käsittelytoimiin, jotka käsittelyoikeus mahdollistaisi, eli olisiko henkilöllä ainoastaan tietojen katseluoikeus vai voisiko hän myös tallettaa tietoja. Kestolla viitattaisiin käyttöoikeuden voimassaoloaikaan. Säännös konkretisoisi yleisessä tietosuoja-asetuksessa tarkoitettua tietojen minimoinnin periaatetta ja turvaisi osaltaan myös käyttötarkoitussidonnaisuuden toteutumista. Käyttöoikeuden määrittelyn lähtökohtana olisi aina henkilön tehtävä ja tehtävään liittyvät muualla lainsäädännössä säädetyt tiedonsaantioikeudet. 
Pykälän 3 momenttiin otettavaksi ehdotetun säännöksen tarkoitus olisi täydentää käyttöoikeussääntelyä. Käyttöoikeuksien räätälöinti täydellisesti kaikkia mahdollisia tilanteita varten on käytännössä mahdotonta. Tästä syystä olisi tarpeen säätää myös käyttöoikeuden saanutta henkilöä koskevasta käytön rajoituksesta. Ehdotetun säännöksen mukaan henkilö, jolle on myönnetty käyttöoikeus, saisi käsitellä vain niitä asiakastietojärjestelmään talletettuja tietoja ja vain siten kuin hänen tehtäviensä hoitamiseksi on välttämätöntä. Säännös jakaisi vastuuta tietojen minimoinnin periaatteen mukaisesta henkilötietojen käsittelystä myös tietoja käsittelevälle henkilölle itselleen. 
Pykälän ehdotettu sääntely edistäisi osaltaan yleisen tietosuoja-asetuksen 5 artiklassa säädetyn eheyden ja luottamuksellisuuden periaatteen toteutumista. Tämä periaate tarkoittaa, että henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen turvallisuus, mukaan lukien suojaaminen luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta käyttäen asianmukaisia teknisiä tai organisatorisia toimia. Käyttöoikeudet ja niiden perusteella suoritettava käytönvalvonta ovat myös yleisessä tietosuoja-asetuksessa tarkoitettuja suojatoimia. 
5 §. Käyttöoikeuden myöntäminen. Pykälän otsikko muutettaisiin, sillä pykälässä säädettäisiin nykyisestä poiketen vain käyttöoikeuden myöntämisestä. Salassa pidettävien henkilötietojen luovuttamista koskeva säännös siirrettäisiin uuteen 7 §:ään, jossa säädettäisiin tietojen luovuttamisesta asiakastietojärjestelmästä. Pykälässä ehdotetaan säädettäväksi käyttöoikeuden myöntävästä tahosta, käyttöoikeuden myöntämismenettelystä ja käyttöoikeuden myöntämisedellytyksistä. Tässä laissa ei kuitenkaan säädetä tyhjentävästi henkilötietoja käsittelevien tahojen velvollisuuksista, koska niistä säädetään yleisessä tietosuoja-asetuksessa.  
Ehdotetun 1 momentin mukaan käyttöoikeuden TE-toimiston asiakastietojärjestelmään myöntäisi KEHA-keskus TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen tai työ- ja elinkeinoministeriön hakemuksesta. Käyttöoikeuden myöntävästä tahosta ei ole nykyisin säädetty, mutta sitä pidetään perusteltuna selkeyden vuoksi. Käytännössä käyttöoikeuden myöntää nykyisin kukin viranomaistaho palveluksessaan oleville henkilöille ja ilmoittaa Valtion tieto- ja viestintätekniikkakeskus Valtorille tarvittavista käyttöoikeuksista. Valtori toimii teknisenä käyttöyhteyden avaajana sen ja KEHA-keskuksen välisen palvelusopimuksen perusteella. Ehdotuksen mukaan KEHA-keskus päättäisi käyttöoikeuden myöntämisestä, mutta nykyistä vastaavasti käyttöoikeutta hakeva viranomainen vastaisi käyttöoikeuden myöntämiseen liittyvästä harkinnasta hakemusta tehdessään. Käyttöoikeutta hakeva taho vastaisi siitä, että käyttöoikeutta haetaan vain sellaiselle henkilölle, jonka tehtävien suorittamiseksi asiakastietojärjestelmän käyttö on välttämätöntä, ja vain siinä laajuudessa kuin asiakastietojärjestelmän käyttö on välttämätöntä. KEHA-keskus rekisterinpitäjänä vastaisi yleisen tietosuoja-asetuksen nojalla siitä, että vain sellaiset KEHA-keskuksen palveluksessa olevat henkilöt, jotka tarvitsevat asiakastietojärjestelmän tietoja työtehtäviensä hoitamiseksi, saavat pääsyn tietoihin vain siinä laajuudessa kuin se on työtehtävien hoitamisen kannalta välttämätöntä. 
TE-toimiston asiakaspalvelutietojärjestelmä on valtakunnallisesti yksi yhtenäinen järjestelmä, joka on käytössä kaikissa TE-toimistoissa. Tietojärjestelmää käytetään myös TE-hallinnon asiakaspalvelukeskuksessa, ELY-keskuksissa, KEHA-keskuksessa ja työ- ja elinkeinoministeriössä. ELY-keskusten ja työ- ja elinkeinoministeriön virkamiehillä on pääsääntöisesti vain katseluoikeudet tietojärjestelmään. Tietoja asiakastietojärjestelmään tallettavat pääsääntöisesti TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen ja KEHA-keskuksen palveluksessa olevat virkamiehet. Käyttöoikeus tietojärjestelmään on vain niillä virkamiehillä, joiden virkatehtävien hoitaminen sitä edellyttää. Ehdotetun 1 momentin mukaan nykyistä vastaavasti TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen, KEHA-keskuksen tai työ- ja elinkeinoministeriön virkamies, jolle on myönnetty käyttöoikeus TE-toimiston asiakastietojärjestelmään, voisi salassapitosäännösten estämättä hakea ja käyttää asiakastietojärjestelmään talletettuja tietoja riippumatta siitä, mikä TE-toimisto on merkinnyt tiedot tietojärjestelmään. Säännös ei kuitenkaan oikeuttaisi vapaaseen tietojen hakemiseen tai käyttämiseen, vaan siihen tulisi aina olla laista johtuva peruste. Työ- ja elinkeinoviranomaisella olisi ehdotetun 1 momentin nojalla oikeus hakea ja käyttää tietoja asiakastietojärjestelmästä, jos se on tarpeen asiakaspalvelun järjestämiseksi, vireillä olevan asian selvittämiseksi tai ratkaisemiseksi taikka valvonta-, seuranta-, kehittämis-, tilastointi-, ennakointi- tai ohjaustehtävän suorittamiseksi. Voimassa olevaa säännöstä on täsmennetty siten, että tehtävä voi liittyä myös tilastointiin tai ennakointiin. 
Pykälän 2 momentissa säädettäisiin, kenelle käyttöoikeus voitaisiin myöntää. Käyttöoikeus voitaisiin myöntää sellaiselle TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen, KEHA-keskuksen tai työ- ja elinkeinoministeriön virkamiehelle, joka hoitaa julkisesta työvoima- ja yrityspalvelusta annetussa laissa säädettyjä tehtäviä, kotoutumisen edistämisestä annetussa laissa (1386/2010) säädettyjä julkiseen työvoima- ja yrityspalveluun liittyviä tehtäviä, ammatillisesta koulutuksesta annetussa laissa (537/2017) tarkoitettuun työvoimakoulutukseen liittyviä tehtäviä, sosiaalisista yrityksistä annetussa laissa (1351/2003) säädettyjä tehtäviä taikka työttömyysturvalaissa (1290/2002) tai vuorotteluvapaalaissa (1305/2002) säädettyjä tehtäviä tai näihin palveluihin, tukiin tai asiakasprosesseihin taikka työttömyysturva- ja vuorotteluvapaajärjestelmiin liittyviä tilastointi-, valvonta-, seuranta-, kehittämis-, ennakointi- tai ohjaustehtäviä. Käyttöoikeus voitaisiin myöntää myös sillä perusteella, että henkilö hoitaa 2 §:ssä tarkoitettuja rekisterinpitäjän tehtäviä, 4 a §:n 1 momentissa, 5 §:ssä tai 5 a §:ssä tarkoitettuja käyttöoikeuksien hallintaan ja lokitietojen keräämiseen liittyviä tehtäviä. TE-toimiston, ELY-keskuksen, KEHA-keskuksen ja työ- ja elinkeinoministeriön tehtävät ovat keskenään erilaisia, eivätkä kaikki perusteet siksi tule välttämättä kyseeseen kaikkien mainittujen viranomaisten virkamiehelle. 
Pykälän 3 momentin perusteella käyttöoikeus voitaisiin myöntää sellaiselle henkilölle, joka on työ- ja elinkeinoministeriön, ELY-keskuksen tai KEHA-keskuksen toimeksiannosta erillistä arviointia, tarkastusta tai selvitystä tekevän tahon palveluksessa tai KEHA-keskuksen toimeksiannosta asiakastietojärjestelmän kehittämis- tai ylläpitotehtäviä tekevän tahon palveluksessa ja joka hoitaa kyseistä tehtävää. 
Käyttöoikeuden myöntäminen edellyttäisi, että käyttöoikeuden saajalla on laissa säädetty oikeus salassapitosäännösten estämättä saada salassa pidettäviä tietoja. Jos salassapidon syrjäyttävästä tiedonsaantioikeudesta ei ole säädetty, käyttöoikeus voitaisiin myöntää ainoastaan siten rajattuna, ettei se mahdollistaisi salassa pidettävien tietojen katselua tai muuta käsittelyä. 
Julkisesta työvoima- ja yrityspalvelusta annetun lain 12 luvun 6 §:n 1 momentin mukaan TE-toimistolla, TE-hallinnon asiakaspalvelukeskuksella, ELY-keskuksella ja KEHA-keskuksella on oikeus saada salassapitosäännösten ja muiden tiedon saantia koskevien rajoitusten estämättä maksutta julkisen työvoima- ja yrityspalvelun toimeenpanossa välttämättömät tiedot muulta valtion viranomaiselta, kunnan viranomaiselta, Kansaneläkelaitokselta, työttömyyskassalta, Eläketurvakeskukselta, Työttömyysvakuutusrahastolta, julkisten työvoima- ja yrityspalvelujen palveluntuottajalta sekä 4 luvun 5 §:ssä tarkoitetun työkokeilun järjestäjältä. Lisäksi työttömyysturvatehtäviin liittyvästä TE-toimiston tiedonsaantioikeudesta säädetään työttömyysturvalain 13 luvun 1 §:n 1 momentissa, kotoutumisen edistämisestä annetun lain 2, 5 ja 6 luvuissa tarkoitettuihin tehtäviin liittyvästä työ- ja elinkeinoministeriön, ELY-keskuksen, KEHA-keskuksen ja TE-toimiston tiedonsaantioikeudesta kotoutumisen edistämisestä annetun lain 87 §:ssä ja työvoimakoulutukseen liittyvästä TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen ja KEHA-keskuksen tiedonsaantioikeudesta ammatillisesta koulutuksesta annetun lain 109 §:ssä. Vuorotteluvapaalain 21 §:n mukaan TE-toimiston tiedonsaantioikeuteen sovelletaan työttömyysturvalakia. 
Julkisuuslain 26 §:n 3 momentissa säädetään salassa pidettävän tiedon antamisesta toimeksiantotilanteissa. Säännöksen mukaan viranomainen voi antaa salassa pidettävästä asiakirjasta tiedon toimeksiannostaan tai muuten lukuunsa suoritettavaa tehtävää varten, jos se on välttämätöntä tehtävän suorittamiseksi. Salassa pidettäviä tietoja voi kuitenkin luovuttaa mainittuja tehtäviä varten myös silloin, kun salassa pidettävien tietojen poistaminen niiden suuren määrän tai muun niihin verrattavan syyn vuoksi ei ilmeisesti ole tarkoituksenmukaista. Viranomaisen on ennakolta varmistuttava siitä, että tietojen salassapidosta ja suojaamisesta huolehditaan asianmukaisesti. 
5 a §.Käyttöoikeuden muuttaminen ja poistaminen. Pykälä olisi uusi. Pykälän 1 momentissa säädettäisiin KEHA-keskuksen velvollisuudesta poistaa TE-toimiston asiakastietojärjestelmään myönnetty käyttöoikeus. KEHA-keskuksen olisi poistettava käyttöoikeus ensinnäkin, jos kävisi ilmi, etteivät käyttöoikeuden myöntämiselle 5 §:ssä säädetyt edellytykset enää täyty. Tällainen tilanne voisi syntyä esimerkiksi, jos henkilö, jolle käyttöoikeus on myönnetty, olisi siirtynyt muihin tehtäviin. KEHA-keskuksen olisi poistettava käyttöoikeus myös, jos käyttöoikeutta olisi käytetty 4 a §:n 3 momentin, yleisen tietosuoja-asetuksen tai tietosuojalain vastaisesti. Lisäksi KEHA-keskuksen olisi poistettava käyttöoikeus, jos poistaminen olisi välttämätöntä muusta henkilötietojen suojaan tai asiakastietojärjestelmän tietoturvaan liittyvästä painavasta syystä. Tämä kolmas peruste olisi avoin ja mahdollistaisi väärinkäytöksiin puuttumisen. 
Pykälän 2 momentissa säädettäisiin KEHA-keskuksen velvollisuudesta muuttaa käyttöoikeutta, jos käy ilmi, että haettu tai jo myönnetty käyttöoikeus ei vastaa sitä tarkoitusta, johon sitä on haettu tai johon se on aiemmin myönnetty. Momentti mahdollistaisi sen, että käyttöoikeuden poistamisen tai käyttöoikeushakemuksen hylkäämisen sijaan KEHA-keskus voisi muuttaa käyttöoikeutta. KEHA-keskus voisi muuttaa käyttöoikeuden sisältöä, laajuutta, valtuuksia tai kestoa. Näillä tarkoitetaan vastaavaa kuin 4 a §:n 2 momentin kohdalla on edellä esitetty. 
Pykälän 3 momentissa säädettäisiin TE-toimiston, TE-hallinnon asiakaspalvelukeskuksen, ELY-keskuksen ja työ- ja elinkeinoministeriön velvollisuudesta ilmoittaa viipymättä KEHA-keskukselle seikoista, jotka voisivat olla syy käyttöoikeuden poistamiseen tai muuttamiseen. Säännöksellä korostettaisiin sitä, että käyttöoikeutta hakeneilla tahoilla on vastuu käyttöoikeuksien pitämisestä ajan tasalla ja väärinkäytöksiin puuttumisesta. Niillä on paremmat mahdollisuudet kuin KEHA-keskuksella havaita käyttöoikeuksien tarpeessa tapahtuneet muutokset tai käyttöoikeuksien väärinkäyttö. Säännös ei kuitenkaan rajoittaisi KEHA-keskuksen toimivaltaa oma-aloitteisesti muuttaa tai poistaa käyttöoikeus, jos 1 tai 2 momentissa säädetyt edellytykset täyttyvät. Koska esityksessä ei ehdotettaisi siirtymäsäännöstä tällä hetkellä voimassa olevista käyttöoikeuksista, KEHA-keskuksen on ehdotetun lain voimaan tultua tarkistettava, ovatko tiedot käyttöoikeuksista ajan tasalla ja ovatko ne sisällöltään, laajuudeltaan, valtuuksiltaan ja kestoltaan sellaisia, että ne täyttävät 13 luvussa säädetyt edellytykset. Käytännössä tämä tarkoittaisi sitä, että kunkin viranomaistahon tai muun ulkopuolisen tahon olisi ilmoitettava KEHA-keskukselle, kenellä käyttöoikeus on ja mihin se perustuu. Jos KEHA-keskus toteaisi, että käyttöoikeudelle ei ole lainmukaista perustetta, käyttöoikeus olisi poistettava. 
6 §.Suostumus tietojen luovuttamiseen työnantajalle. Pykälän 1 ja 3 momenttiin tehtäisiin kielellisiä tarkistuksia. Pykälän 1 momentin muutoksilla korostettaisiin työnhakijan suostumuksen aitoutta. Nykyisen sanamuodon mukaan työnhakijalta on pyydettävä kirjallinen suostumus tietojen luovuttamiseen työnantajalle. Pyytämiseen velvoittamisen sijaan oleellista on säätää, että tiedot voidaan luovuttaa ainoastaan työnhakijan kirjallisella suostumuksella. 
Pykälän 3 momentin sanamuotoa ’nimenomainen kirjallinen suostumus’ muutettaisiin selkeämpään ja julkisesta työvoima- ja yrityspalvelusta annettua lakia koskevassa soveltamisohjeessakin ohjeistettuun muotoon, ’yksilöity kirjallinen suostumus’. Tästä sanamuodosta käy nykyistä paremmin ilmi sen ero 1 momentissa tarkoitettuun suostumukseen. Terveydentilaa koskevien tietojen luovuttaminen työnantajalle edellyttäisi edelleen, että työnhakija antaa erikseen luvan kutakin luovutusta varten. Kirjallinen suostumus viittaa siihen, että suullinen suostumus ei ole riittävä. Esimerkiksi sähköisesti annettu suostumus olisi tässä edellytetyllä tavalla kirjallinen. 
Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan kansallinen lainsäädäntö voi sisältää erityisiä säännöksiä, joilla mukautetaan asetuksen sääntöjen soveltamista. Tällaiset erityiset säännökset voivat koskea muun muassa yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa. Perusvaatimuksena tällaiselle lainsäädännölle on, että sen on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhtainen sillä tavoiteltuun oikeutettuun päämäärään nähden. 
7 §.Tietojen luovuttaminen asiakastietojärjestelmästä. Pykälä olisi uusi. Pykälässä säädettäisiin tietojen luovuttamisesta asiakastietojärjestelmästä. 
Pykälän 1 momentti vastaisi voimassa olevan 13 luvun 1 §:n 2 momentin ensimmäistä virkettä. Tietojen luovuttamiseen TE-toimiston asiakastietojärjestelmästä ja siihen talletettujen tietojen julkisuuteen sovellettaisiin, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) säädetään. 
Pykälän ehdotettu 2 momentti olisi uusi. Perustuslain 68 §:n mukaan kukin ministeriö vastaa toimialallaan valtioneuvostolle kuuluvien asioiden valmistelusta ja hallinnon asianmukaisesta toiminnasta. Valtioneuvoston ohjesäännön (262/2003) 11 §:n mukaan kukin ministeriö käsittelee muun muassa oman toimialansa hallintoasiat. Ohjesäännön 21 §:n mukaan työ- ja elinkeinoministeriön toimialaan kuuluvat muun muassa työllisyys, työttömyys ja julkinen työvoimapalvelu sekä maahanmuuttajien kotouttaminen. Työ- ja elinkeinoministeriöstä annetun valtioneuvoston asetuksen (1024/2007) 1 §:n mukaan työ- ja elinkeinoministeriön tehtäviin kuuluu muun muassa julkisen työvoima- ja yrityspalvelun suunnittelu ja toimeenpano, työ- ja elinkeinopolitiikan strategia, ohjaus ja toimeenpano, maahanmuuttajien kotouttaminen ja kotoutumisen edistämisestä annetun lain toimeenpano sekä työ-, elinkeino- ja innovaatiopolitiikan ennakointi ja tutkimus. Työ- ja elinkeinoministeriön työjärjestyksestä annetussa työ- ja elinkeinoministeriön asetuksessa (1012/2017) säädetään yksityiskohtaisesti ministeriön tehtävistä. Toimialan ylimpänä viranomaisena työ- ja elinkeinoministeriö ratkaisee myös kanteluasioita. Käytännössä ministeriössä käytetään TE-toimiston asiakastietojärjestelmää muun muassa työnvälitystilaston laatimiseen, määrärahaseurantaan, ESR- ja EGR-hankkeiden seurantaan ja valvontaan, sosiaalisten yritysten rekisterin hoitamiseen, kanteluasioiden selvittämiseen sekä tietokanta- ja tilastoajoihin, joita käytetään analyysityössä, ennakoinnissa, suunnittelu- ja kehittämistehtävissä sekä vaikutusarviointien tekemiseen lainsäädännön valmistelutyössä. Koska työ- ja elinkeinoministeriö ei enää olisi rekisterinpitäjä, tulisi ministeriön tiedonsaanti turvata säätämällä KEHA-keskuksen velvollisuudesta luovuttaa asiakastietojärjestelmästä sen tarvitsemat tiedot, jotta ministeriö voisi hoitaa sille laissa ja asetuksissa säädetyt tehtävät. Tiedot työnvälitystilaston laatimista varten tulisi luovuttaa oma-aloitteisesti. 
Elinkeino-, liikenne- ja ympäristökeskuksista annetun lain (897/2009) mukaan ELY-keskukset hoitavat niille säädettyjä tehtäviä muun muassa toimialoilla, jotka koskevat työmarkkinoiden toimivuutta, työvoiman saatavuutta ja työllisyyttä, koulutusta ja osaamista sekä maahanmuuttoa ja kotouttamista. ELY-keskusten tehtävänä on myös ohjata ja valvoa TE-toimistoja. ELY-keskuksissa TE-toimiston asiakastietojärjestelmää käytetään esimerkiksi määrärahojen käytön seurannassa, tilastoinnissa ja tilastojen seurantaan analysointi- ja ennakointityössä, ESR- ja EGR-hankkeiden hallinnoinnissa, julkisten työvoima- ja yrityspalvelujen hankinnoissa ja niiden seurannassa, takaisinperintä-asioissa, TE-palvelujen suunnitteluun, toteutukseen ja seurantaan liittyvissä asioissa, TE-toimistojen toiminnan valvonnassa sekä kanteluasioiden ratkaisemisessa. Esityksessä ehdotetaan, että KEHA-keskuksen olisi luovutettava asiakastietojärjestelmästä ELY-keskukselle sen tarvitsemat tiedot, jotta se voisi hoitaa sille laissa ja asetuksessa säädetyt tehtävät. 
KEHA-keskuksen olisi luovutettava tiedot sekä työ- ja elinkeinoministeriölle että ELY-keskukselle maksutta. Työnvälitystilaston laatimista varten tiedot olisi luovutettava työ- ja elinkeinoministeriölle oma-aloitteisesti. 
Pykälän 3 momentissa säädettäisiin julkisuuslain 28 §:ssä tarkoitetun luvan myöntämisestä. Nykyisin vastaava säännös sisältyy 13 luvun 5 §:n 3 momenttiin. Julkisuuslain 28 §:ssä säädetään viranomaisen mahdollisuudesta antaa lupa tiedon saamiseen salassa pidettävästä asiakirjastaan tieteellistä tutkimusta, tilastointia taikka viranomaisen suunnittelu- tai selvitystyötä varten. Nykyisen 5 §:n 3 momentin mukaan työ- ja elinkeinoministeriö päättää julkisuuslain 28 §:ssä tarkoitetun luvan antamisesta työ- ja elinkeinotoimiston asiakastietojärjestelmään sisältyvien salassa pidettävien tietojen luovuttamiseen tilastointia, tieteellistä tutkimusta taikka viranomaisten suunnittelu- ja selvitystyötä varten. Koska ministeriö ei ehdotetun pykälän mukaan enää olisi rekisterinpitäjä, ehdotetaan säädettäväksi, että luvan myöntäisi KEHA-keskus. Näin ollen TE-toimistot eivät voisi myöntää julkisuuslain 28 §:ssä tarkoitettua lupaa asiakastietojärjestelmään sisältyviin tietoihin, kuten eivät nykyisinkään. Työnvälitystilaston rekisterinpitäjänä työ- ja elinkeinoministeriö myöntäisi jatkossakin tutkimusluvan, jos tutkimuspyyntö kohdistuu nimenomaan työnvälitystilastoon. 
Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa säädetään käyttötarkoitussidonnaisuuden periaatteesta, jonka mukaan henkilötietoja ei saa käsitellä myöhemmin alkuperäisten käsittelytarkoitusten kanssa yhteensopimattomalla tavalla. Kohdassa säädetään myös tätä koskevasta poikkeuksesta. Yleisen edun mukainen arkistointi taikka tieteellinen tai historiallinen tutkimus tai tilastointi ei kohdan mukaan ole yhteensopimattomia alkuperäisen käyttötarkoituksen kanssa. 
Ehdotettu 4 momentti olisi uusi. Esityksen mukaan KEHA-keskus voisi luovuttaa tiedot asiakastietojärjestelmästä työ- ja elinkeinoministeriölle ja ELY-keskuksille teknisen käyttöyhteyden avulla. Tämä vastaisi nykyistä käytäntöä. Selvyyden vuoksi asiasta säädettäisiin laissa. 
1.2
Laki työllistymistä edistävästä monialaisesta yhteispalvelusta
9 §. Monialaisen yhteispalvelun asiakasrekisteri. Pykälän otsikko muutettaisiin. Pykälässä säädettäisiin monialaisen yhteispalvelun asiakasrekisterin ylläpitäjästä, rekisterin käyttötarkoituksesta ja rekisterin käyttöoikeuden myöntämisestä. Lisäksi pykälässä täsmennettäisiin, mitä tietoja työttömästä asiakasrekisteriin voidaan tallettaa. 
Voimassa olevan työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n mukaan monialaisen yhteispalvelun asiakasrekisteri on julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä tarkoitetun TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri. Julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä, jossa kuvataan asiakastietojärjestelmän rakennetta, ei kuitenkaan tällä hetkellä mainita monialaisen yhteispalvelun asiakasrekisteriä. Esityksessä ehdotetaankin selkeyden vuoksi, että julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä täsmennettäisiin TE-toimiston asiakastietojärjestelmän kuvausta siten, että asiakastietojärjestelmään kuuluu myös henkilöasiakasrekisterin osarekisterinä toimiva monialaisen yhteispalvelun osarekisteri. Ehdotus selkeyttäisi nykytilannetta monialaisen yhteispalvelun asiakasrekisteriin sovellettavasta lainsäädännöstä. TE-toimiston asiakastietojärjestelmää koskevia 13 luvun säännöksiä sovellettaisiin monialaisen yhteispalvelun asiakasrekisteriin kuitenkin vain, jos työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa ei toisin säädetä. Ehdotus vastaisi pääsääntöisesti nykyistä käytäntöä, sillä monialaisen yhteispalvelun asiakasrekisteriin on tähänkin saakka sovellettu julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun säännöksiä muun muassa rekisterinpitäjästä sekä tietojen tallettamisesta, poistamisesta ja arkistoinnista, vaikka siitä ei ole säädetty laissa. Monialaisen yhteispalvelun asiakasrekisteriin, TYPPI-rekisteriin, sovellettaisiin ehdotettuja julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun säännöksiä rekisterinpitäjistä, tietojen poistamisesta ja arkistoinnista, rekisteröidyn oikeudesta tietojen käsittelyn rajoittamiseen, 4 a §:n käyttöoikeuksista, 5 a §:n käyttöoikeuden muuttamisesta ja poistamisesta sekä tietojen luovuttamisesta asiakastietojärjestelmästä. Työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa säädettäisiin toisin asiakasrekisterin käyttötarkoituksesta, tietojen tallettamisesta, rekisterikohtaisista tiedoista ja käyttöoikeuksien myöntämisestä. 
Voimassa olevan työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n 1 momentin mukaan TE-toimisto ylläpitää monialaisen yhteispalvelun asiakasrekisteriä. Monialaisen yhteispalvelun asiakasrekisterin, TYPPI-rekisterin, ylläpidosta vastaa kuitenkin käytännössä KEHA-keskus. 
Pykälän 1 momentissa säädettäisiin siitä, että KEHA-keskus ylläpitää monialaisen yhteispalvelun toteuttamiseksi julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä tarkoitettua monialaisen yhteispalvelun asiakasrekisteriä. Ehdotus vastaisi nykyistä käytäntöä. Esityksessä ehdotetaan julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 2 §:ää muutettavaksi siten, että KEHA-keskus ja TE-toimistot olisivat TE-toimiston asiakastietojärjestelmän yhteisrekisterinpitäjiä. Koska monialaisen yhteispalvelun asiakasrekisteri, TYPPI-rekisteri, on TE-toimiston asiakastietojärjestelmän henkilöasiakasrekisterin osarekisteri, KEHA-keskus ja TE-toimisto olisivat myös TYPPI-rekisterin yhteisrekisterinpitäjiä. Momentissa säädettäisiin lisäksi monialaisen yhteispalvelun asiakasrekisterin käyttötarkoituksesta. Asiakasrekisteriä käytettäisiin TE-toimistolle, kunnalle ja Kansaneläkelaitokselle tässä laissa säädettyjen tehtävien hoitamiseen. 
Pykälän 2 momentissa säädettäisiin nykyistä vastaavasti monialaisen yhteispalvelun asiakasrekisterin tietosisällöstä. Voimassa olevan pykälän 2 momentin 1—7 kohdassa luetellaan, mitä tietoja työttömästä talletetaan asiakasrekisteriin. Momentin johdantokappaletta täsmennettäisiin siten, että nykyinen sanamuoto ”talletetaan” muutettaisiin muotoon ”voidaan tallettaa”. Kohdat vastaisivat muutoin nykytilaa, mutta 1 kohtaa ehdotetaan täsmennettäväksi sekä 2 ja 5 kohtaan tehtäisiin kielellisiä tarkennuksia. Nykyisen 2 momentin 1 kohdassa säädetään työttömän yksilöinti- ja yhteystietojen tallettamisesta asiakasrekisteriin. Säännöksen perustelujen mukaan yksilöintitiedoilla tarkoitetaan henkilön nimeä ja henkilötunnusta, ja yhteystiedoilla osoite- sekä muita yhteystietoja. Ehdotetun 2 momentin 1 kohtaa täsmennettäisiin siten, että asiakasrekisteriin voitaisiin tallettaa työttömän nimi, henkilötunnus ja yhteystiedot. Tiedot ovat tarpeen palvelujen järjestämiseksi henkilölle ja yhteydenpitoa varten. Henkilötunnuksen käsittely on tietosuojalain 29 §:n nojalla sallittu muun muassa, jos käsittelystä säädetään laissa. Ehdotettu 1 kohta täyttäisi tämän edellytyksen. 
Voimassa olevassa 2 momentin 5 kohdassa säädetään terveydentilaa ja työ- ja toimintakykyä koskevien tietojen tallettamisesta. Asiakasrekisteriin talletetaan sellaiset terveydentilaa ja työ- ja toimintakykyä koskevat tiedot, joilla on vaikutusta henkilön työllistymiseen ja jotka ovat välttämättömiä palvelujen tarjoamiseksi hänelle. Vaikka 5 kohtaa ei esitetä muutettavaksi lukuun ottamatta siihen tehtävää kielellistä tarkennusta, henkilötietojen käsittelyä koskevan lainsäädännön muututtua on syytä perustella, mihin tarve henkilön terveydentilaa koskevien tietojen tallettamisesta asiakastietojärjestelmään perustuu. Esimerkiksi työnvälityksen kannalta voi olla tarpeen merkitä henkilön terveydentilaan liittyvä rajoite, joka estää työskentelyn tietyissä tehtävissä. Lähtökohtana on, että rekisteriin merkityt terveydentilaa ja työkykyä koskevat tiedot perustuvat terveydenhuollon ammattihenkilön tekemään arvioon. Työkykyä koskeva tieto voisi perustua myös esimerkiksi kuntoutuspalvelun tuottajalta saatuun palautteeseen. 
Yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa kielletään erityisten henkilötietojen käsittely. Tällaisia tietoja ovat muun muassa terveystiedot sekä rotu ja etninen alkuperä. Poikkeuksista käsittelykieltoon säädetään artiklan 2 kohdassa. 
Erityisiä henkilötietoja saa 9 artiklan 2 kohdan b alakohdan mukaan käsitellä muun muassa, jos käsittely on tarpeen rekisterinpitäjän velvoitteiden noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Tämän kohdan antamaa kansallista liikkumavaraa on käytetty tietosuojalain 6 §:n 1 momentin 3 ja 5 kohdassa. 
Yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan h alakohdan mukaan erityisten henkilötietojen käsittely on sallittua muun muassa myös, jos käsittely on tarpeen ennalta ehkäiseviä tarkoituksia varten, työntekijän työkyvyn arvioimiseksi, lääketieteellisiä diagnooseja varten, terveys- tai sosiaalihuollollisen hoidon tai käsittelyn suorittamiseksi taikka terveys- tai sosiaalihuollon palvelujen ja järjestelmien hallintoa varten jäsenvaltion lainsäädännön perusteella tai terveydenhuollon ammattilaisen kanssa tehdyn sopimuksen mukaisesti ja noudattaen 3 kohdassa esitettyjä edellytyksiä ja suojatoimia. Kyseisen 3 kohdan mukaan henkilötietoja voidaan käsitellä muun muassa, jos tietoja käsittelee tai niiden käsittelystä vastaa ammattilainen, jolla on lakisääteinen salassapitovelvollisuus jäsenvaltion lainsäädännön perusteella tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella, taikka toinen henkilö, jota niin ikään sitoo lakisääteinen salassapitovelvollisuus jäsenvaltion lainsäädännön tai kansallisten toimivaltaisten elinten vahvistamien sääntöjen perusteella. 
Ehdotetun 5 kohdan säännöksen osalta tiedon käsittelyperusteita olisivat 9.2 artiklan b ja h alakohta. On tulkinnanvaraista, kumpi näistä käsittelyperusteista tulisi kyseeseen. Ehdotetun sääntelyn katsotaan kuitenkin täyttävän molempia näitä käsittelyperusteita koskevat vaatimukset. Käsittelystä säädettäisiin laissa. Lainsäädännössä olisi myös säännökset rekisteröidyn perusoikeuksia ja etuja koskevista suojatoimista, kuten b alakohdassa edellytetään. Suojatoimiksi katsottavaa sääntelyä sisältyisi paitsi tietosuojalakiin, tiedonhallintalakiin, rikoslakiin, julkisuuslakiin ja muihin hallinnon yleislakeihin, myös tässä esityksessä ehdotettuun julkisesta työvoima- ja yrityspalvelusta lakiin. Ehdotetussa laissa suojatoimiksi olisi katsottavissa ainakin säännökset käyttöoikeuden myöntämisestä, poistamisesta ja säilytysajoista. Tietoja käsittelevään henkilöön sovellettaisiin julkisuuslakia, joten häntä sitoisi lakisääteinen salassapitovelvollisuus, kuten h alakohdassa edellytetään. 
Pykälän 3 momentti olisi uusi. Nykyisessä 9 §:ssä ei säädetä siitä, mikä taho voi tallettaa tietoja monialaisen yhteispalvelun asiakasrekisteriin. Ehdotuksen mukaan TE-toimiston, kunnan ja Kansaneläkelaitoksen olisi talletettava työtöntä koskevat asiakastiedot rekisteriin. Säännös otettaisiin pykälään selvyyden vuoksi. Ehdotettu sanamuoto tarkoittaisi, että TE-toimistolla, kunnalla ja Kansaneläkelaitoksella on velvollisuus tallettaa kaikki monialaisen yhteispalvelun asiakasta koskevat tiedot monialaisen yhteispalvelun rekisteriin. Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan d alakohdassa säädetyn täsmällisyysperiaatteen mukaan henkilötietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä; on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä. Yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, että 1 kohtaa on noudatettu. 
Ehdotettuun 3 momenttiin otettaisiin lisäksi säännös siitä, mistä alkaen työttömän tietoja saa monialaisen yhteispalvelun asiakasrekisteriin tallettaa. Työttömän tiedot haetaan TYPPI-rekisteriin TE-toimiston asiakastietojärjestelmästä. Käytännössä on syntynyt epätietoisuutta siitä, missä vaiheessa työtöntä koskevat tiedot voidaan siirtää TYPPI-rekisteriin. Säännöksen lisäämiselle on perusteltu tarve selkeyttää käytännössä vallitsevaa tilannetta. Työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 2 §:n mukaan TE-toimisto, kunta tai Kansaneläkelaitos ohjaa monialaiseen yhteispalveluun työttömän, joka täyttää laissa säädetyt edellytykset ja jolla on monialaisen yhteispalvelun tarve. Lain esitöissä (HE 183/2014) todetaan, että lähettävänä tahona toimiva TE-toimisto, kunta tai Kansaneläkelaitos tekisi monialaista yhteispalvelua varten lyhyen kirjallisen perustelun siitä, mihin seikkoihin se on perustanut arvionsa monialaisen yhteispalvelun tarpeesta. Lain esitöistä ei käy ilmi, missä vaiheessa TE-toimiston asiakastietojärjestelmässä olevia työtöntä koskevia tietoja voidaan antaa monialaisen yhteispalvelun käyttöön. On kuitenkin ilmeistä, ettei tarkoitus ole ollut mahdollistaa työttömän tietojen siirtämistä TE-toimiston asiakastietojärjestelmästä TYPPI-rekisteriin vielä siinä vaiheessa, kun TE-toimisto lähettävänä tahona arvioi työttömän tarvitsevan monialaista yhteispalvelua, koska tietojen luovuttamisesta ei ole säädetty. Lain perusteluissa mainittu lähettävän tahon kirjallinen perustelu olisi myös tarpeeton, jos työtöntä koskevat tiedot voisivat olla muutoinkin TYP:n käytössä. Esityksessä ehdotetaan, että työttömän tietoja saisi tallettaa TYPPI-rekisteriin sen jälkeen, kun monialainen yhteispalvelu on alkanut. Monialaisen yhteispalvelun katsottaisiin alkaneen, kun TE-toimisto, kunta ja Kansaneläkelaitos ovat päättäneet, että työttömällä on monialaisen yhteispalvelun tarve, ja työttömän asiakassuhde monialaiseen yhteispalveluun on alkanut kartoitusjaksolla. Käytännössä tämä tarkoittaisi sitä, että työttömän tiedot saisi hakea TE-toimiston asiakastietojärjestelmästä kartoitusjakson alkaessa. 
Ehdotetun pykälän 4 momentissa säädettäisiin siitä, että KEHA-keskus voisi myöntää käyttöoikeuden monialaisen yhteispalvelun asiakasrekisteriin TE-toimiston, kunnan tai Kansaneläkelaitoksen hakemuksesta. Hakemuksessa olisi annettava käyttöoikeuden myöntämisen ja voimassaolon määrittelemiseksi tarpeelliset tiedot. Käyttöoikeus voitaisiin myöntää sellaiselle TE-toimiston, kunnan tai Kansaneläkelaitoksen palveluksessa olevalle virkamiehelle, joka hoitaa työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa tarkoitettuja tehtäviä. 
2
Voimaantulo
Yleistä tietosuoja-asetusta on sovellettu 25 päivästä toukokuuta 2018. Kansallisen lainsäädännön olisi kyseisestä päivästä lähtien pitänyt olla yhteensopivaa asetuksen kanssa. Muutosten ehdotetaan siksi tulevan voimaan mahdollisimman pian. 
3
Suhde perustuslakiin ja säätämisjärjestys
Esityksessä ehdotetaan muutoksia säännöksiin, jotka koskevat perustuslain 10 §:n 1 momentissa turvatun yksityiselämän suojan piiriin kuuluvien henkilötietojen käsittelyä. Esitystä on siten arvioitava yksityiselämän suojan kannalta. 
Perustuslain 10 §:n 1 momentin mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Saman lainkohdan mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Henkilötietojen suojan osalta säännös viittaa tarpeeseen lainsäädännöllisesti turvata yksilön oikeusturva ja yksityisyyden suoja henkilötietojen käsittelyssä, rekisteröinnissä ja käyttämisessä. (HE 309/1993 vp, s. 52/II—53/II) 
Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkuma-alaa rajoittaa henkilötietojen suojaa koskevan säännöksen lisäksi myös se, että henkilötietojen suoja sisältyy osittain samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee näin ollen turvata oikeus henkilötietojen suojaan tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuuden kannalta. Säännös viittaa tarpeeseen lainsäädännöllisesti turvata yksilön oikeusturva ja yksityisyyden suoja henkilötietojen käsittelyssä. Valiokunta on käytännössään pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla on käytännön mukaan tullut lisäksi olla kattavaa ja yksityiskohtaista. (Ks. esim. PeVL 31/2017 vp, s. 2, PeVL 42/2016 vp, s. 2, PeVL 38/2016 vp, s. 2, PeVL 29/2016 vp, s. 4, PeVL 13/2016 vp, s. 3—4 ja PeVL 18/2012 vp, s. 2/I-II.) 
Siltä osin kuin kysymys on edes osittain niin sanotuista arkaluonteisista tiedoista, valiokunta on edellyttänyt, että sallitut tietosisällöt ilmenevät säännöksestä mahdollisimman tyhjentävästi (mm. PeVL 71/2014 vp s. 2/II, PeVL 18/2012 vp, s. 3 ja PeVL 51/2002 vp, s. 2). Valiokunta on kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 13/2017 vp, s. 5 ja PeVL 3/2017 vp, s. 5). Lisäksi valiokunta on painottanut erityisesti arkaluonteisten tietojen säilytysajan rajaamista siihen, mikä on välttämätöntä sen tavoitteen saavuttamiseksi, jonka vuoksi tiedot on järjestelmään tallennettu (ks. esim. PeVL 13/2017 vp, s. 6). 
Perustuslakivaliokunta totesi pelastuslakia ja hätäkeskustoiminnasta annetun lain muuttamista koskevasta lakiehdotuksesta (HE 100/2016 vp) antamassaan lausunnossa (PeVL 38/2016 vp), että näiden seikkojen lisäksi on syytä kiinnittää huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava perusoikeuksien yleisten rajoitusedellytysten valossa. Valiokunta on tämän vuoksi aikaisemmin arvioinut esimerkiksi arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden kannalta (PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp ja sittemmin PeVL 42/2016 vp, s. 2—3 ja PeVL 49/2017 vp, s. 3). Valiokunta kiinnitti huomiota siihen, että tällainen arvio on mahdollinen vain, jos hallituksen esityksessä eritellään riittävällä seikkaperäisyydellä ne syyt, joiden johdosta henkilötietojen käsittely katsotaan lakiehdotuksessa välttämättömäksi. (PeVL 38/2016 vp, s. 2—3) 
Perustuslakivaliokunta on uudemmassa käytännössään katsonut, ettei estettä ole sille, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden, täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joiltain osin täyttää myös yleisellä Euroopan unionin asetuksella tai kansalliseen oikeuteen sisältyvällä yleislailla (ks. myös PeVL 2/2018 vp, s. 4—8, PeVL 31/2017 vp, s. 3—4, PeVL 5/2017 vp, s. 9 ja PeVL 38/2016 vp, s. 4). 
Perustuslakivaliokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp). Valiokunta on tämän johdosta painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (mm. PeVL 26/2017 vp, s. 42, PeVL 2/2017 vp, s. 2 ja PeVL 44/2016 vp, s. 4). 
Perustuslakivaliokunnan käsityksen mukaan tietosuoja-asetuksen yksityiskohtainen sääntely mahdollistaa myös viranomaistoiminnan sääntelyn osalta nykyistä kansallista sääntelymallia huomattavasti yleisemmän, henkilötietojen suojaa ja käsittelyn perusteita sääntelevän lakita-soisen sääntelyn. Perustuslakivaliokunnan mielestä on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn kohdalla. (PeVL 14/2018 vp, s. 4—5) 
Perustuslakivaliokunnan mielestä arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on tietosuoja-asetuksen mahdollistamissa puitteissa edelleen syytä arvioida myös aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta. Yleistä tietosuoja-asetusta yksityiskohtaisemman lakitasoisen sääntelyn tarve tulee kuitenkin perustella myös tietosuoja-asetuksen puitteissa tapauskohtaisesti. Sääntelyn tarpeen osalta on syytä kiinnittää huomiota myös asetuksessa omaksuttuun riskiperusteiseen lähestymistapaan. Valiokunta painottaa, että myös arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön. (PeVL 14/2018 vp, s. 6) 
Tietosuoja-asetus mahdollistaa myös erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelystä säätämisen kansallisessa laissa edellyttäen, että asetuksessa säädetyt erityiset edellytykset täyttyvät. (PeVL 15/2018 vp. s. 38) 
Perustuslakivaliokunta on kiinnittänyt huomiota siihen, että henkilötietolain 11 §:ssä tarkoitettuja arkaluonteisia tietoja ei voida suoraan rinnastaa yleisen tietosuoja-asetuksen 9 artiklassa määriteltyihin erityisiin henkilötietoryhmiin. Esimerkiksi henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia kuvaavia tietoja ei yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellä erityisiksi henkilötietoryhmiksi. Poissuljettua ei kuitenkaan ole, etteikö näihin tietoihin voisi sisältyä tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin kuuluvia tietoja, kuten esimerkiksi tietoja sosiaalihuollon asiakkaan terveydentilasta. Sosiaalihuollon palveluita koskevat tiedot eivät sisälly myöskään henkilötietolailla implementoidun henkilötietodirektiivin 8 artiklan 1 kohdassa lueteltuihin tietoihin. Kyseisten tietojen rekisteröinnin on kuitenkin kansallisesti katsottu sisältävän tavanomaista suuremman riskin kansalaisten yksityisyydelle ja oikeusturvalle, minkä vuoksi tietoja on perusteltua pitää arkaluonteisina (ks. myös HE 96/1998 vp, s. 4/I). (PeVL 15/2018 vp. s. 38) 
Perustuslain säädöshierarkkisen aseman vuoksi on selvää, että valiokunnan käytännössä arkaluonteisiksi esimerkiksi käsittelyn aiheuttamien riskien ja uhkien perusteella arvioidut tiedot eivät alaltaan tyhjentävästi samaistu henkilötietolain sääntelyyn. Perustuslakivaliokunta on johdonmukaisesti katsonut, että esimerkiksi biometriset tunnistetiedot rinnastuvat arkaluonteisiin tietoihin (ks. esim. PeVL 13/2016 vp, s. 4). Vaikka EU:n tietosuoja-asetuksen soveltamisen alkamisen johdosta kansallisessa lainsäädännössä tulee tietosuoja-asetuksen 9 artiklaan valitun erityisten henkilötietoryhmien käsitteen vuoksi välttää arkaluonteisten tietojen käsitteen käyttämistä sääntelyn selvyyden vuoksi (ks. myös PeVL 14/2018 vp, s. 9), pitää valiokunta edelleen perusteltuna kuvata valtiosääntöisesti tiettyjä henkilötietoryhmiä nimenomaan arkaluonteisiksi. Myös tietosuoja-asetuksen johdantokappaleessa 51 painotetaan erityisten henkilötietoryhmien erityistä arkaluonteisuutta. (PeVL 15/2018 vp. s. 38) 
Perustuslakivaliokunnan käsityksen mukaan tietosuoja-asetuksen riskiperustaisesta lähestymistavasta seuraa, että kansallista yksityiskohtaista ja täsmällistä lainsäädäntöä voidaan säätää myös silloin, kun tietojen käsittely muodostaa erityisen riskin muulla kuin asetuksen 9 tai 10 artiklassa säädetyllä perusteella. Kansallisen sääntelyn tulee tällöinkin olla yhteensopivaa asetuksen 6 artiklan kanssa. Valiokunnan käsityksen mukaan valtiosääntöisesti arkaluonteisiksi arvioitavien henkilötietojen käsittelystä voidaan myös tietosuoja-asetuksen puitteissa säätää yksityiskohtaisesti. (PeVL 15/2018 vp. s. 38) 
Perustuslakivaliokunta on kiinnittänyt erityistä huomiota sääntelytarpeeseen silloin, kun henkilötietoja käsittelee viranomainen. Tietosuoja-asetuksen 6 artiklan c alakohdan mukaan käsittely on lainmukaista, jos käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Artiklan e alakohdan mukaan käsittely on lainmukaista, jos se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi (ks. PeVL 14/2018 vp, s. 4). Vaikka valiokunnan käsityksen mukaan sanotut artiklan alakohdat eivät yleensä edellytä tai edes mahdollista sitä, että kaikkia yksittäisiä tiedonkäsittelytilanteita varten olisi olemassa erityislaki, muodostaa henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia kuvaavien ja niihin rinnastuvien tietojen käsittely sellaisia riskejä ja uhkia yksityisen perusoikeuksille, että mainittujen tietojen käsittelystä on tietosuoja-asetuksen mahdollistamissa puitteissa säädettävä samanlaisella täsmällisyydellä ja tarkkuudella kuin muidenkin arkaluonteisten tietojen käsittelystä. (PeVL 15/2018 vp. s. 38—39) 
Työnhakijaa koskevat tiedot ovat perustuslain 10 §:n 1 momentissa turvatun yksityiselämän suojan piiriin kuuluvia henkilötietoja. Tämä ilmenee myös siten, että ne ovat viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 24 §:n 1 momentin 25 kohdan nojalla salassa pidettäviä (PeVL 43/1998 vp s. 3). Voidaan katsoa, että julkisuuslaissa salassa pidettäviksi säädetyt työhallinnon henkilöasiakasta koskevat tiedot ovat valtiosääntöoikeudellisesti arkaluonteisia henkilötietoja. Niiden käsittelyä koskevien säännösten olisi siten edelleen täytettävä perustuslakivaliokunnan yleisen tietosuoja-asetuksen soveltamista edeltävässä käytännössä muodostuneet edellytykset. 
Esityksessä ehdotetaan, että julkisesta työvoima- ja yrityspalvelusta annetun lain sisältämää henkilötietojen käsittelyä koskevaa sääntelyä täsmennettäisiin. Työ- ja elinkeinotoimiston asiakastietojärjestelmän sisältämien rekistereiden käyttötarkoituksista säädettäisiin nykyistä täsmällisemmin ja kattavammin, ja rekisterien tietosisältöä täsmennettäisiin tarpeellisilta osin. Lisäksi käyttöoikeuksien myöntämisestä, muuttamisesta, perumisesta ja käyttöoikeuden mahdollistamasta tietojen käsittelystä säädettäisiin monelta kohdin nykyistä tarkemmin. Esityksessä ehdotetuilla muutoksilla toteutettaisiin siten perustuslakivaliokunnan lausuntokäytännössään henkilötietojen käsittelyä koskevalle sääntelylle asettamia vaatimuksia. Esitys ei sisällä ehdotuksia uusista tiedonsaantioikeuksista tai uusista käsiteltävistä henkilötiedoista. Esityksen katsotaan olevan sopusoinnussa perustuslain kanssa. 
Hallitus katsoo, että lakiehdotukset voidaan käsitellä tavallisessa lainsäätämisjärjestyksessä. 
Edellä esitetyn perusteella annetaan eduskunnan hyväksyttäviksi seuraavat lakiehdotukset: 
Lakiehdotukset
1. 
Laki 
julkisesta työvoima- ja yrityspalvelusta annetun lain muuttamisesta 
Eduskunnan päätöksen mukaisesti 
muutetaan julkisesta työvoima- ja yrityspalvelusta annetun lain (916/2012) 13 luvun 1—5 § ja 6 §:n 1 ja 3 momentti, sellaisina kuin niistä ovat 13 luvun 3 § osaksi laissa 548/2017 ja 5 § laissa 1456/2016, sekä 
lisätään 13 lukuun uusi 4 a, 5 a ja 7 §, seuraavasti: 
13 luku 
Työ- ja elinkeinotoimiston asiakastietojärjestelmä 
1 § 
Työ- ja elinkeinotoimiston asiakastietojärjestelmä 
Työ- ja elinkeinotoimiston asiakastietojärjestelmää käytetään julkisen työvoima- ja yrityspalvelun järjestämiseen ja tuottamiseen sekä kotoutumisen edistämisestä annetussa laissa, työttömyysturvalaissa, vuorotteluvapaalaissa, kuntouttavasta työtoiminnasta annetussa laissa ja ammatillisesta koulutuksesta annetussa laissa työ- ja elinkeinotoimistolle tai työ- ja elinkeinohallinnon asiakaspalvelukeskukselle säädettyjen tehtävien hoitamiseen ja sosiaalisista yrityksistä annetussa laissa työ- ja elinkeinoministeriölle säädettyjen tehtävien hoitamiseen. 
Asiakastietojärjestelmä muodostuu henkilöasiakasrekisteristä, työnantajarekisteristä ja palveluntuottajarekisteristä sekä henkilöasiakasrekisterin osarekisterinä toimivasta monialaisen yhteispalvelun asiakasrekisteristä. Mitä tässä luvussa säädetään työ- ja elinkeinotoimiston asiakastietojärjestelmästä, sovelletaan monialaisen yhteispalvelun asiakasrekisteriin kuitenkin vain, jos työllistymistä edistävästä monialaisesta yhteispalvelusta annetussa laissa ei toisin säädetä. 
Henkilötietojen käsittelystä säädetään luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 (yleinen tietosuoja-asetus) ja tietosuojalaissa (1050/2018). 
Yrityspalvelujen asiakastietojärjestelmästä säädetään yrityspalvelujen asiakastietojärjestelmästä annetussa laissa (293/2017). 
2 § 
Rekisterinpitäjät 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus ja työ- ja elinkeinotoimistot ovat työ- ja elinkeinotoimiston asiakastietojärjestelmän yhteisrekisterinpitäjiä. Työ- ja elinkeinohallinnon asiakaspalvelukeskus on yleisessä tietosuoja-asetuksessa tarkoitettu henkilötietojen käsittelijä. 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus vastaa työ- ja elinkeinotoimiston asiakastietojärjestelmän yleisen tietosuoja-asetuksen:  
1) 25 artiklassa tarkoitetusta sisäänrakennetusta ja oletusarvoisesta tietosuojasta; 
2) 32 artiklassa tarkoitetusta käsittelyn turvallisuudesta; 
3) 35 artiklassa tarkoitetusta tietosuojaa koskevasta vaikutustenarvioinnista; 
4) 36 artiklassa tarkoitetusta ennakkokuulemisesta; 
5) 12 artiklan 1 ja 2 kohdassa tarkoitetuista rekisterinpitäjän velvollisuuksista ja muista sellaisista yleisessä tietosuoja-asetuksessa säädetyistä rekisterinpitäjän velvollisuuksista, jotka koskevat käytettävän tietojärjestelmän tietoturvallisuutta.  
Työ- ja elinkeinotoimistot vastaavat muista kuin 2 momentin mukaisista yleisessä tietosuoja-asetuksessa tarkoitetuista rekisterinpitäjän velvollisuuksista. Kukin työ- ja elinkeinotoimisto vastaa rekisterinpitäjän tehtävistä asiakkaidensa osalta. 
3 § 
Rekisterikohtaiset tiedot 
Henkilöasiakasrekisteriin voidaan tallettaa henkilöasiakkaasta: 
1) nimi, henkilötunnus ja yhteystiedot; 
2) työ- ja elinkeinotoimiston asiakkuuteen ja työ- ja elinkeinotoimiston kanssa asiointiin sekä asioinnin mahdollisesti edellyttämiin erityisjärjestelyihin liittyvät tiedot; 
3) koulutusta, työhistoriaa ja ammatillista osaamista koskevat tiedot; 
4) palvelutarvetta ja suunnitelmia koskevat tiedot; 
5) tiedot työ- ja koulutustarjouksista ja esittelyistä työnantajalle; 
6) tiedot julkisista työvoima- ja yrityspalveluista ja muista työllistymistä edistävistä palveluista sekä asiantuntija-arvioinneista; 
7) sellaiset terveydentilaa ja työ- ja toimintakykyä koskevat tiedot, joilla on vaikutusta henkilön työllistymiseen ja jotka ovat välttämättömiä palvelujen tarjoamiseksi hänelle; 
8) työttömyysturvaan ja vuorotteluvapaaseen liittyvät selvitykset ja työvoimapoliittiset lausunnot; 
9) tiedot julkiseen työvoima- ja yrityspalveluun kuuluvista etuuksista. 
Työnantajarekisteriin voidaan tallettaa julkisia työvoima- ja yrityspalveluja hakevasta tai saavasta työnantajasta: 
1) yksilöintitiedot; 
2) työ- ja elinkeinotoimiston asiakkuuteen ja työ- ja elinkeinotoimiston kanssa asiointiin liittyvät tiedot; 
3) toimintaa ja palvelutarvetta koskevat tiedot; 
4) työpaikat ja niiden täyttymistä koskevat tiedot; 
5) palkkatukea koskevat päätökset ja siihen liittyvät seuranta- ja maksatustiedot; 
6) työkokeilua koskevat sopimukset; 
7) muut kuin 1—6 kohdassa tarkoitetut, julkisten työvoima- ja yrityspalvelujen suunnitteluun ja toimeenpanoon liittyvät tiedot. 
Palveluntuottajarekisteriin voidaan tallettaa asiakaspalvelua varten: 
1) palveluntuottajan yksilöintitiedot; 
2) työ- ja elinkeinotoimiston kanssa asiointiin liittyvät tiedot; 
3) palveluntuottajan kanssa tehdyt hankintasopimukset sekä niihin liittyvät maksatustiedot; 
4) hankittua palvelua koskevat tiedot; 
5) palvelun haku-, valinta- ja seurantatiedot; 
6) muut kuin 1—5 kohdassa tarkoitetut, julkisen työvoima- ja yrityspalvelun suunnittelun ja järjestämisen kannalta tarpeelliset palveluntuottajaa koskevat tiedot; 
7) ammatillisesta koulutuksesta annetussa laissa tarkoitettua työvoimakoulutusta ja sen järjestäjää koskevat tiedot sekä koulutukseen liittyvät haku-, valinta- ja seurantatiedot. 
Rekistereihin saa tallettaa myös muita kuin tässä pykälässä tarkoitettuja, julkisen työvoima- ja yrityspalvelun suunnittelun, järjestämisen ja seurannan kannalta tarpeellisia tietoja, jotka eivät ole henkilötietoja. Rekistereihin voi kuulua myös asiakirjoja, joita ei talleteta asiakastietojärjestelmään. 
4 § 
Tietojen tallettaminen, poistaminen ja arkistointi 
Työ- ja elinkeinotoimiston, työ- ja elinkeinohallinnon asiakaspalvelukeskuksen ja elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen on talletettava asiakastiedot työ- ja elinkeinotoimiston asiakastietojärjestelmään. Jos rekisteriin talletettava henkilötieto on saatu muualta kuin rekisteröidyltä itseltään, rekisteriin tulee merkitä, mistä tieto on saatu ja kuka tiedon on merkinnyt. 
Rekisteröidyllä ei ole yleisen tietosuoja-asetuksen 18 artiklassa säädettyä oikeutta henkilöasiakasrekisterissä olevien tietojen käsittelyn rajoittamiseen. 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen on poistettava kaikki asiakasta tai palveluntuottajaa koskevat tiedot, kun asiakkuuden tai sopimussuhteen päättymisestä on kulunut neljä vuotta. Tietoa ei kuitenkaan tarvitse poistaa, jos se on tarpeen säännöksiin perustuvan tehtävän hoitamiseksi tai vireillä olevan asian johdosta. 
Tietojen arkistoinnista säädetään arkistolaissa (831/1994). 
4 a § 
Käyttöoikeudet 
Työ- ja elinkeinotoimiston asiakastietojärjestelmän käyttö edellyttää henkilökohtaista käyttöoikeutta. Asiakastietojärjestelmän käyttöoikeuksien hallintaan ja lokitietojen keräämiseen liittyvistä tehtävistä vastaa elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus. Tiedot voimassa olevista käyttöoikeuksista on pidettävä ajan tasalla. 
Käyttöoikeus on rajattava sisällöltään, laajuudeltaan, valtuuksiltaan ja kestoltaan siihen, mikä on henkilön tehtävien hoitamisen kannalta välttämätöntä. 
Henkilö, jolle on myönnetty käyttöoikeus, saa käsitellä vain sellaisia asiakastietojärjestelmään talletettuja tietoja, jotka ovat välttämättömiä hänen tehtäviensä hoitamiseksi, ja vain siten kuin hänen tehtäviensä hoitamiseksi on välttämätöntä. 
5 § 
Käyttöoikeuden myöntäminen 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus myöntää käyttöoikeuden työ- ja elinkeinotoimiston asiakastietojärjestelmään työ- ja elinkeinotoimiston, työ- ja elinkeinohallinnon asiakaspalvelukeskuksen, elinkeino-, liikenne- ja ympäristökeskuksen tai työ- ja elinkeinoministeriön hakemuksesta. Hakemuksessa on annettava käyttöoikeuden myöntämisen ja voimassaolon määrittelemiseksi tarpeelliset tiedot. Virkamies, jolle on myönnetty käyttöoikeus työ- ja elinkeinotoimiston asiakastietojärjestelmään, saa salassapitosäännösten estämättä hakea ja käyttää asiakastietojärjestelmään talletettuja tietoja, jos se on tarpeen asiakaspalvelun järjestämiseksi, vireillä olevan asian selvittämiseksi tai ratkaisemiseksi taikka valvonta-, kehittämis-, seuranta-, tilastointi-, ennakointi- tai ohjaustehtävän suorittamiseksi. 
Käyttöoikeus voidaan myöntää sellaiselle 1 momentissa mainitun viranomaisen palveluksessa olevalle virkamiehelle, joka hoitaa: 
1) tässä laissa säädettyjä tehtäviä; 
2) kotoutumisen edistämisestä annetussa laissa säädettyjä julkiseen työvoima- ja yrityspalveluun liittyviä tehtäviä; 
3) ammatillisesta koulutuksesta annetussa laissa tarkoitettuun työvoimakoulutukseen liittyviä tehtäviä; 
4) sosiaalisista yrityksistä annetussa laissa säädettyjä tehtäviä; 
5) työttömyysturvalaissa säädettyjä tehtäviä; 
6) vuorotteluvapaalaissa säädettyjä tehtäviä;  
7) 1—4 kohdassa tarkoitettuihin palveluihin, tukiin tai asiakasprosesseihin taikka työttömyysturva- tai vuorotteluvapaajärjestelmään liittyviä valvonta-, kehittämis-, seuranta-, tilastointi-, ennakointi- tai ohjaustehtäviä; 
8) rekisterinpitäjän tehtäviä taikka käyttöoikeuksien hallintaan ja lokitietojen keräämiseen liittyviä tehtäviä. 
Käyttöoikeus työ- ja elinkeinotoimiston asiakastietojärjestelmään voidaan myöntää lisäksi sellaiselle henkilölle, joka on työ- ja elinkeinoministeriön, elinkeino-, liikenne- ja ympäristökeskuksen tai elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen toimeksiannosta erillistä arviointia, tarkastusta tai selvitystä tekevän tahon palveluksessa tai elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen toimeksiannosta asiakastietojärjestelmän kehittämis- tai ylläpitotehtäviä tekevän tahon palveluksessa ja joka hoitaa kyseistä tehtävää. 
5 a § 
Käyttöoikeuden muuttaminen ja poistaminen 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen on poistettava käyttöoikeus, jos: 
1) käyttöoikeuden myöntämiselle 5 §:ssä säädetyt edellytykset eivät enää täyty;  
2) asiakastietojärjestelmään talletettuja tietoja on käsitelty 4 a §:n 3 momentin, yleisen tietosuoja-asetuksen tai tietosuojalain vastaisesti;  
3) käyttöoikeuden poistaminen on välttämätöntä muusta henkilötietojen suojaan tai asiakastietojärjestelmän tietoturvaan liittyvästä painavasta syystä. 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskuksen on muutettava käyttöoikeutta, jos haettu tai myönnetty käyttöoikeus ei enää vastaa sisällöltään, laajuudeltaan, valtuuksiltaan tai kestoltaan sitä tarkoitusta, johon sitä on haettu tai johon se on myönnetty.  
Työ- ja elinkeinotoimiston, työ- ja elinkeinohallinnon asiakaspalvelukeskuksen, elinkeino-, liikenne- ja ympäristökeskuksen ja työ- ja elinkeinoministeriön sekä 5 §:n 3 momentissa tarkoitetun työ- ja elinkeinohallinnon ulkopuolisen tahon on viipymättä ilmoitettava elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskukselle käyttöoikeuden poistamisen tai muuttamisen perusteista. 
6 § 
Suostumus tietojen luovuttamiseen työnantajalle 
Työnantajalle voidaan luovuttaa työpaikan täyttämistä varten tarpeellisia tietoja työnhakijasta vain työnhakijan kirjallisella suostumuksella. Henkilöasiakasrekisteriin on merkittävä tieto suostumuksesta tai siitä kieltäytymisestä. 
Työnantajalle voidaan luovuttaa työnhakijan terveydentilaa koskevia tietoja vain, jos työnhakija antaa siihen yksilöidyn kirjallisen suostumuksen ja jos tiedot ovat välttämättömiä avoimen työpaikan tai kyseisen ammattialan erityisten terveydentilavaatimusten täyttämiseksi taikka sellaisen työnhakijan työllistymisen edistämiseksi, jonka vamma tai sairaus vaikeuttaa työllistymistä. 
7 § 
Tietojen luovuttaminen asiakastietojärjestelmästä 
Jollei laissa toisin säädetä, tietojen luovuttamiseen työ- ja elinkeinotoimiston asiakastietojärjestelmästä ja siihen talletettujen tietojen julkisuuteen sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) säädetään. 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus on velvollinen salassapitosäännösten ja muiden tiedon saantia koskevien rajoitusten estämättä pyynnöstä maksutta luovuttamaan työ- ja elinkeinotoimiston asiakastietojärjestelmästä työ- ja elinkeinoministeriölle ja elinkeino-, liikenne- ja ympäristökeskukselle niille säädettyjen tehtävien hoitamiseksi välttämättömät tiedot. Työnvälitystilaston laatimista varten tiedot on kuitenkin luovutettava työ- ja elinkeinoministeriölle oma-aloitteisesti.  
Viranomaisten toiminnan julkisuudesta annetun lain 28 §:ssä tarkoitetun luvan antamisesta työ- ja elinkeinotoimiston asiakastietojärjestelmään sisältyvien, salassa pidettävien tietojen luovuttamiseen tilastointia, tieteellistä tutkimusta taikka viranomaisten suunnittelu- tai selvitystyötä varten päättää elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus. 
Tiedot voidaan luovuttaa teknisen käyttöyhteyden avulla. 
Tämä laki tulee voimaan päivänä kuuta 20 . 
2. 
Laki 
työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain 9 §:n muuttamisesta 
Eduskunnan päätöksen mukaisesti 
muutetaan työllistymistä edistävästä monialaisesta yhteispalvelusta annetun lain(1369/2014) 9 § seuraavasti: 
9 § 
Monialaisen yhteispalvelun asiakasrekisteri 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus ylläpitää monialaisen yhteispalvelun toteuttamiseksi julkisesta työvoima- ja yrityspalvelusta annetun lain 13 luvun 1 §:ssä tarkoitettua monialaisen yhteispalvelun asiakasrekisteriä. Monialaisen yhteispalvelun asiakasrekisteriä käytetään tässä laissa työ- ja elinkeinotoimistolle, kunnalle ja Kansaneläkelaitokselle säädettyjen tehtävien hoitamiseen. 
Monialaisen yhteispalvelun asiakasrekisteriin voidaan tallettaa: 
1) työttömän nimi, henkilötunnus ja yhteystiedot; 
2) monialaisen yhteispalvelun asiakkuuteen ja monialaisessa yhteispalvelussa asiointiin sekä asioinnin mahdollisesti edellyttämiin erityisjärjestelyihin liittyvät tiedot; 
3) työttömän ammatillista osaamista koskevat tiedot; 
4) sellaiset työttömän sosiaalista tilannetta koskevat tiedot, joilla on vaikutusta hänen työllistymiseensä; 
5) sellaiset työttömän terveydentilaa ja työ- ja toimintakykyä koskevat tiedot, joilla on vaikutusta hänen työllistymiseensä ja jotka ovat välttämättömiä palvelujen tarjoamiseksi hänelle; 
6) työttömän palvelutarvetta koskevat tiedot; 
7) monialainen työllistymissuunnitelma ja sen toteutumista, seurantaa ja tarkistamista koskevat tiedot. 
Työ- ja elinkeinotoimiston, kunnan ja Kansaneläkelaitoksen on talletettava työtöntä koskevat asiakastiedot monialaisen yhteispalvelun asiakasrekisteriin. Työttömän tietoja saa tallettaa asiakasrekisteriin sen jälkeen, kun monialainen yhteispalvelu on alkanut. 
Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus voi myöntää käyttöoikeuden monialaisen yhteispalvelun asiakasrekisteriin työ- ja elinkeinotoimiston, kunnan tai Kansaneläkelaitoksen hakemuksesta. Käyttöoikeus voidaan myöntää työ- ja elinkeinotoimiston, kunnan tai Kansaneläkelaitoksen palveluksessa olevalle virkamiehelle, joka hoitaa tässä laissa tarkoitettuja tehtäviä. Virkamies, jolle on myönnetty käyttöoikeus, saa salassapitosäännösten estämättä hakea ja käyttää asiakasrekisteriin talletettuja tietoja, jos se on tarpeen asiakaspalvelun järjestämiseksi. 
Tämä laki tulee voimaan päivänä kuuta 20 . 
Helsingissä 20.2.2020 
Pääministeri
Sanna
Marin
Työministeri
Tuula
Haatainen
Viimeksi julkaistu 20.2.2020 13.49