2.1.1  Yleinen tietosuoja-asetus ja tietosuojalaki

EU:n yleistä tietosuoja-asetusta Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus). alettiin soveltaa 25.5.2018. Asetusta täydentää kansallisesti 1.1.2019 voimaan tullut tietosuojalaki (1050/2018). Tietosuoja-asetus sisältää säännökset muun muassa henkilötietojen käsittelyn yleisistä periaatteista, käsittelyn oikeusperusteista, rekisterinpitäjän ja henkilötietojen käsittelijän vastuista sekä rekisteröidyn oikeuksista. Tietosuojalaissa on tietosuoja-asetusta täydentäviä yleisesti sovellettavia säännöksiä muun muassa käsittelyn lainmukaisuudesta, erityisiä henkilötietoryhmiä koskevasta käsittelystä, valvontaviranomaisesta ja tämän tehtävistä ja toimivaltuuksista sekä oikeusturvasta ja seuraamuksista.  

Tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyä koskevista periaatteista. Niitä ovat henkilötietojen käsittelyn lainmukaisuus-, kohtuullisuus- ja läpinäkyvyysvaatimus, käyttötarkoitussidonnaisuus, tietojen minimointi, henkilötietojen täsmällisyys ja henkilötietojen säilytyksen rajoittaminen. Käyttötarkoitussidonnaisuuden periaate pohjautuu EU:n perusoikeuskirjan 8 artiklaan. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa vahvistetun käyttötarkoitussidonnaisuuden periaatteen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla.  

Henkilötietojen käsittelyn lainmukaisuudesta säädetään tarkemmin tietosuoja-asetuksen 6 artiklassa. Henkilötietojen käsittely poliisin passilain (671/2006) ja henkilökorttilain (663/2016) mukaisissa tehtävissä perustuu 6 artiklan 1 kohdan c alakohtaan, jonka mukaan käsittely on lainmukaista, kun se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Henkilökorttirekisterin ja passirekisterin tietojen käyttöä koskevan kansallisen sääntelyn on arvioitu olevan tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdan mukaisen liikkumavaran puitteissa annettavaa kansallista lainsäädäntöä. Mainitun 6 artiklan 3 kohdassa tarkoitetun jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.  

Mikäli henkilötietoja käsitellään muuhun kuin niiden alkuperäiseen keräämistarkoitukseen, on sääntelyä arvioitava käyttötarkoitussidonnaisuuden periaatetta vasten siten kuin tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään. Sääntelyn on oltava välttämätön ja oikeasuhtainen toimenpide yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näihin tavoitteisiin kuuluvat muun muassa kansallinen turvallisuus, yleinen turvallisuus sekä rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy.  

Tietosuoja-asetuksen 4 artiklan 14 kohdan määritelmän mukaan biometrisillä tiedoilla tarkoitetaan asetuksessa kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön tunnistaminen voidaan varmistaa. Asetuksen johdanto-osan 51 kappaleen mukaan valokuvien käsittelyä ei olisi automaattisesti katsottava henkilötietojen erityisryhmien käsittelyksi, koska valokuvat kuuluvat biometristen tietojen määritelmän piiriin ainoastaan siinä tapauksessa, että niitä käsitellään erityisin teknisin menetelmin, jotka mahdollistavat luonnollisen henkilön yksilöllisen tunnistamisen tai todentamisen. 

Tietosuoja-asetuksen 9 artiklassa säädetään erityisiä henkilötietoryhmiä koskevasta käsittelystä. Artiklan 1 kohdan mukaan erityisiin henkilötietoryhmiin kuuluvien biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten on kiellettyä. Poikkeamisperusteista säädetään asetuksen 9 artiklan 2 kohdassa. Erityisten henkilötietoryhmien käsittely poliisin lupahallinnollisissa tehtävissä perustuu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohtaan, jonka mukaan erityisiä henkilötietoryhmiä voidaan käsitellä, kun käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Sääntelyn on myös oltava oikeasuhtaista tavoitteeseen nähden, siinä on noudatettava keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä on säädettävä asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. 

Tietosuoja-asetuksen III luvussa säädetään rekisteröidyn oikeuksista. Henkilötietojen käsittelyyn sovellettavat rekisteröidyn oikeudet määräytyvät osittain käsittelyn oikeusperustan mukaan. Asetuksen 17 artiklan mukaista oikeutta tietojen poistamiseen ei sovelleta, kun henkilötietoja käsitellään rekisterinpitäjään sovellettavaan unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan, käsittelyä edellyttävän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely tapahtuu yleistä etua koskevan tehtävän suorittamista tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämistä varten. Asetuksen 20 artiklassa säädettyä oikeutta siirtää tiedot järjestelmästä toiseen puolestaan sovelletaan vain käsittelyyn, joka perustuu suostumukseen tai sopimukseen. Lisäksi 21 artiklan mukainen oikeus vastustaa tietojen käsittelyä kattaa ainoastaan käsittelyn, joka perustuu yleistä etua koskevan tehtävän suorittamiseen, rekisterinpitäjälle kuuluvan julkisen vallan käyttöön tai rekisterinpitäjän tai kolmannen oikeutetun edun toteuttamiseen. Poliisi käsittelee henkilötietoja lakisääteisten tehtäviensä suorittamiseksi, joten käsittelyyn ei sovelleta asetuksen 17 artiklaa, 20 artiklaa tai 21 artiklaa. Poliisin henkilötietolaissa on lisäksi suljettu pois asetuksen 18 artiklan soveltaminen (ks. jakso 2.4.6). Rekisteröity voi siten tietosuoja-asetuksen soveltamisalaan kuuluvien käsittelytarkoitusten osalta käyttää oikeuttaan saada pääsy tietoihin (15 artikla) ja oikeuttaan tietojen oikaisemiseen (16 artikla). Rekisterinpitäjän velvollisuutena on toteuttaa läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten (12 artikla). Rekisteröidyn oikeuksia koskevassa III luvussa säädetään lisäksi myös tiedoista, jotka rekisteröidylle on toimitettava, kun henkilötietoja kerätään rekisteröidyltä (13 artikla), tiedoista, jotka rekisteröidylle on toimitettava, kun tietoja ei ole saatu rekisteröidyltä (14 artikla), henkilötietojen oikaisua tai poistoa tai käsittelyn rajoitusta koskevasta ilmoitusvelvollisuudesta (19 artikla) sekä automatisoiduista yksittäispäätöksistä, profilointi mukaan luettuna (22 artikla). Esityksessä on kyse poliisin henkilötietolain 2 luvussa tarkoitettujen tietojen käsittelystä. Näiden tietojen rekisterinpitäjänä toimii Poliisihallitus, joka vastaa myös rekisterinpitäjän velvollisuuksien ja rekisteröidyn oikeuksien toteuttamisesta yleisen tietosuoja-asetuksen ja tietosuojalain mukaisesti (ks. myös jakso 2.4.6.). 

Tietosuojalaissa on tietosuoja-asetusta täydentäviä säännöksiä myös rekisteröidyn oikeuksista, oikeusturvasta ja seuraamuksista. Tietosuojalaissa säädetään muun muassa rajoituksista rekisterinpitäjän velvollisuuteen toimittaa tietoja rekisteröidylle (33 §) sekä rajoituksista rekisteröidyn oikeuteen tutustua hänestä kerättyihin tietoihin (34 §). Laissa säädetään myös rekisteröidyn oikeudesta saattaa asia tietosuojavaltuutetun käsiteltäväksi, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan sitä koskevaa lainsäädäntöä (21 §). Lisäksi lakiin sisältyy säännökset tietosuojavaltuutetun oikeudesta asettaa uhkasakko tiettyjen päätösten ja tiedonsaantioikeuksien tehosteeksi (22 §). Laissa säädetään myös muutoksenhausta tietosuojavaltuutetun päätökseen (25 §). 

Passirekisterin ja henkilökorttirekisterin biometriset tiedot kerätään passilaissa ja henkilökorttilaissa poliisille, ulkoministeriölle Suomen edustustolle säädettyjen tehtävien suorittamiseksi. Esityksessä ehdotetussa sääntelyssä olisi siten pääosin kyse tietojen käyttämisestä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen. Vastaavasti myös poliisin ja Maahanmuuttoviraston rekistereihin talletettujen ulkomaalaisten biometristen tietojen ehdotetut käyttötarkoitukset poikkeaisivat monelta osin tietojen alkuperäisistä käsittelytarkoituksista, joista säädetään ulkomaalaislaissa ja maahanmuuttohallinnon henkilötietolaissa.  

Tietosuoja-asetuksen näkökulmasta käyttötarkoituksen muutosta on arvioitava erityisesti käyttötarkoitussidonnaisuuden periaatteen valossa. Esityksessä on kyse biometrisista tiedoista, jotka kerätään alun perin tietosuoja-asetuksen soveltamisalaan kuuluviin käsittelytarkoituksiin. Kun tietoja käsitellään lupahallinnossa hakijan tunnistamiseksi, hänen henkilöllisyytensä todentamiseksi tai uuden asiakirjan valmistamiseksi, käsittelyn on arvioitu olevan yhteensopivaa tietojen alkuperäisen käyttötarkoituksen kanssa. Muiden käsittelytarkoitusten osalta käyttötarkoitussidonnaisuudesta poikkeamista koskevan kansallisen sääntelyn olisi oltava välttämätön ja oikeasuhtainen toimenpide yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Esityksessä ei ole arvioitu tarpeelliseksi ehdottaa uusia rajoituksia yleisen tietosuoja-asetuksen 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaan lukuun ottamatta rajoitusta tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa vahvistettuun käyttötarkoitussidonnaisuuden periaatteeseen. 

2.1.2  Rikosasioiden tietosuojadirektiivi ja rikosasioiden tietosuojalaki

Henkilötietojen käsittelyyn sovellettava yleislainsäädäntö määräytyy tietojen käyttötarkoituksen mukaan. Tietosuoja-asetusta ja tietosuojalakia ei sovelleta henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Henkilötietojen käsittelyyn mainittuihin tarkoituksiin sovelletaan ns. rikosasioiden tietosuojadirektiiviä (EU) 2016/680 Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta. .  

Yleistä tietosuoja-asetusta täydentävän tietosuojalain kanssa samanaikaisesti 1.1.2019 tuli voimaan laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018, rikosasioiden tietosuojalaki ), jolla rikosasioiden tietosuojadirektiivi on pantu kansallisesti täytäntöön. Rikosasioiden tietosuojalakia sovelletaan lain 1 §:n 1 momentin mukaan toimivaltaisten viranomaisten käsitellessä henkilötietoja, kun kyse on: 1) rikosten ennalta estämisestä, paljastamisesta, selvittämisestä tai syyteharkintaan saattamisesta; 2) syyteharkinnasta ja muusta rikokseen liittyvästä syyttäjän toiminnasta; 3) rikosasian käsittelemisestä tuomioistuimessa; 4) rikosoikeudellisen seuraamuksen täytäntöönpanemisesta; tai 5) yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemisesta tai tällaisten uhkien ehkäisemisestä 1–4 kohdassa tarkoitetun toiminnan yhteydessä. Lisäksi 1 §:n 2 momentissa säädetään kansallisena laajennuksena rikosasioiden tietosuojalain soveltamisesta myös Puolustusvoimien, poliisin ja Rajavartiolaitoksen henkilötietojen käsittelyyn tehtävissä, jotka liittyvät kansallisen turvallisuuden suojaamiseen.  

Rikosasioiden tietosuojalaki sisältää säännökset muun muassa henkilötietojen käsittelyä koskevista periaatteista, rekisterinpitäjästä ja henkilötietojen käsittelijästä, rekisteröidyn oikeuksista, tietoturvallisuudesta, tietosuojavastaavasta, henkilötietojen siirroista kolmansiin maihin ja kansainvälisille järjestöille, valvontaviranomaisesta ja oikeusturvasta, vahingonkorvauksesta, rangaistuksista ja vaitiolovelvollisuudesta. Lakia on täydennetty eri hallinnonalojen erityislainsäädännöllä, jossa säädetään tarvittavilta osin esimerkiksi rekisteröitävistä henkilötiedoista, niiden käyttötarkoituksista, henkilötietojen luovuttamisesta ja tietojen säilytysajoista. 

Rikosasioiden tietosuojalain 2 luvussa säädetyt henkilötietojen käsittelyä koskevat periaatteet vastaavat pitkälti tietosuoja-asetuksen mukaisia periaatteita. Esimerkiksi käyttötarkoitussidonnaisuutta koskevan 5 §:n 1 momentin mukaan rekisterinpitäjä saa kerätä henkilötietoja vain tiettyjä nimenomaisia ja oikeutettuja tarkoituksia varten, eikä se saa käsitellä niitä kyseisten tarkoitusten kanssa yhteensopimattomalla tavalla. Mainitun 5 §:n 2 momentin mukaan rikosasioiden tietosuojalain 1 §:n 1 tai 2 momentissa säädettyä tarkoitusta varten kerättyjä henkilötietoja saa käsitellä muuhun kuin kyseisessä momentissa säädettyyn tarkoitukseen vain, jos käsittelystä säädetään laissa. 

Biometriset tiedot määritellään rikosasioiden tietosuojalain 3 §:n 1 momentin 13 kohdassa. Biometrisillä tiedoilla tarkoitetaan yleistä tietosuoja-asetusta vastaavasti luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä teknisellä käsittelyllä saatuja henkilötietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön tunnistaminen voidaan varmistaa. Erityisiä henkilötietoryhmiä koskevasta käsittelystä säädetään lain 11 §:ssä, jonka 2 momentin mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on sallittu vain, jos se on välttämätöntä. Lisäksi edellytetään, että rekisteröidyn oikeuksien turvaamisen edellyttämät suojatoimet on toteutettu ja 1) käsittelystä säädetään laissa; 2) kyse on rikosasian käsittelystä syyttäjäntoimessa tai tuomioistuimessa; 3) rekisteröidyn tai toisen luonnollisen henkilön elintärkeän edun suojaaminen edellyttää sitä; tai 4) käsittely koskee tietoja, jotka rekisteröity on nimenomaisesti saattanut julkisiksi. 

Rekisteröidyn oikeuksista säädetään rikosasioiden tietosuojalain 4 luvussa. Luku sisältää säännökset tietosuojaselosteesta ja ilmoitusvelvollisuudesta (22 §), rekisteröidyn tarkastusoikeudesta (23 §), tarkastusoikeuden rajoituksista (24 §), henkilötietojen oikaisemisesta, poistamisesta ja käsittelyn rajoittamisesta (25 §), rekisteröidyn vaatimuksen epäämisestä (26 §), rekisterinpitäjän velvollisuudesta ilmoittaa oikaisemisesta, poistamisesta tai käsittelyn rajoittamisesta (27 §), rekisteröidyn oikeuksien rajoittamisesta (28 §), oikeuksien käyttämisestä tietosuojavaltuutetun välityksellä (29 §) sekä rekisteröidyn oikeuksien käytön edistämisestä ja toimenpiteiden maksuttomuudesta (30 §). Esityksessä on kyse poliisin henkilötietolain 2 luvussa tarkoitettujen tietojen käsittelystä. Näiden tietojen rekisterinpitäjänä toimii Poliisihallitus, joka vastaa myös rekisteröidyn oikeuksien toteuttamisesta rikosasioiden tietosuojalain mukaisesti (ks. myös jakso 2.4.6.). 

Rikosasioiden tietosuojalaissa on säännöksiä myös rekisteröidyn oikeusturvasta ja seuraamuksista. Laissa säädetään muun muassa rekisteröidyn oikeudesta saattaa asia tietosuojavaltuutetun käsiteltäväksi, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan sitä koskevaa lainsäädäntöä (56 §). Lisäksi lakiin sisältyy säännökset tietosuojavaltuutetun oikeudesta asettaa uhkasakko tiettyjen päätösten ja tiedonsaantioikeuksien tehosteeksi (52 §). Laissa säädetään myös muutoksenhausta tietosuojavaltuutetun päätökseen (59 §). 

Suurin osa esityksessä ehdotetusta henkilötietojen käsittelyä koskevasta sääntelystä kuuluu rikosasioiden tietosuojalain soveltamisalaan. Ehdotetussa henkilötietojen käsittelyssä on noudatettava rikosasioiden tietosuojalaissa biometristen tietojen käsittelylle asetettuja edellytyksiä. 

2.1.3  EU:n tekoälyasetus

Euroopan parlamentin ja neuvoston asetus (EU) 2024/1689 tekoälyä koskevista yhdenmukaistetuista säännöistä ja eräiden unionin säädösten muuttamisesta ( tekoälyasetus ) Euroopan parlamentin ja neuvoston asetus (EU) 2024/1689, annettu 13 päivänä kesäkuuta 2024, tekoälyä koskevista yhdenmukaistetuista säännöistä ja asetusten (EY) N:o 300/2008, (EU) N:o 167/2013, (EU) N:o 168/2013, (EU) 2018/858, (EU) 2018/1139 ja (EU) 2019/2144 sekä direktiivien 2014/90/EU, (EU) 2016/797 ja (EU) 2020/1828 muuttamisesta (tekoälysäädös) annettiin 13.6.2024. Asetus tuli voimaan 1.8.2024 ja sen soveltaminen alkaa vaiheittain. Asetus on suoraan sovellettava, mutta se vaatii tietyiltä osin myös täydentävää kansallista lainsäädäntöä. Asetuksessa säädetään muun muassa siitä, millä edellytyksillä lainvalvontaviranomaiset voivat käyttää biometristä etätunnistamista.  

Tekoälyasetuksen 3 artiklan 35 kohdan määritelmän mukaan biometrisellä tunnistuksella tarkoitetaan ihmisen fyysisten, fysiologisten, käyttäytymiseen liittyvien tai psykologisten ominaisuuksien automaattista tunnistamista luonnollisen henkilön henkilöllisyyden toteamiseksi vertaamalla kyseisen henkilön biometrisiä tietoja tietokantaan tallennettuihin toisten yksilöiden biometrisiin tietoihin. Artiklan 36 kohdan mukaan biometrisellä todennuksella tarkoitetaan luonnollisten henkilöiden henkilöllisyyden automaattista yksi yhteen -todentamista, tunnistautuminen mukaan lukien, vertaamalla näiden biometrisiä tietoja aiemmin annettuihin biometrisiin tietoihin. 

Biometrisella etätunnistusjärjestelmällä tarkoitetaan tekoälyasetuksessa tekoälyjärjestelmää, jonka avulla luonnolliset henkilöt voidaan tunnistaa ilman heidän aktiivista osallistumistaan – tyypillisesti etäältä – vertaamalla henkilön biometrisiä tietoja viitetietokantaan sisältyviin biometrisiin tietoihin (3 artiklan 41 kohta). Reaaliaikaisissa järjestelmissä biometristen tietojen kerääminen, vertailu ja tunnistaminen tapahtuvat välittömästi, lähes välittömästi tai joka tapauksessa ilman merkittävää viivettä. Reaaliaikaisissa järjestelmissä käytetään kameran tai muun toiminnoltaan samankaltaisen laitteen tuottamaa suoraa tai lähes suoraa materiaalia, kuten videokuvaa. Jälkikäteisissä järjestelmissä biometriset tiedot on sitä vastoin jo kerätty, ja vertailu ja tunnistaminen tapahtuvat vasta merkittävän viiveen jälkeen. Kyse on kameravalvontajärjestelmien tai yksityisten laitteiden tuottamien kuvien tai videokuvan kaltaisesta materiaalista, joka on luotu ennen kuin järjestelmää käytetään asianomaisiin luonnollisiin henkilöihin (ks. tekoälyasetuksen johdanto-osan 17 kohta ja 3 artikla). 

Tekoälyasetuksen johdanto-osan 32 ja 33 kappaleen mukaan tekoälyjärjestelmien käyttäminen luonnollisten henkilöiden reaaliaikaiseen biometriseen etätunnistukseen julkisissa tiloissa lainvalvontatarkoituksessa puuttuu erityisen pitkälle menevällä tavalla asianomaisten henkilöiden oikeuksiin ja vapauksiin, sillä tämä voi vaikuttaa suuren väestönosan yksityiselämään, synnyttää tunteen jatkuvasta valvonnasta ja estää välillisesti kokoontumisvapauden ja muiden perusoikeuksien käyttämisen. Tekoälyjärjestelmien tekniset epätarkkuudet voivat myös johtaa vinoutuneisiin tuloksiin ja aiheuttaa syrjiviä vaikutuksia. Lisäksi reaaliaikaisten järjestelmien käyttöön liittyvien vaikutusten välittömyys ja rajalliset mahdollisuudet lisätarkastuksiin tai korjauksiin lisäävät henkilöiden oikeuksiin ja vapauksiin kohdistuvia riskejä. Järjestelmien käyttö lainvalvontatarkoituksiin on sen vuoksi kielletty lukuun ottamatta tyhjentävästi lueteltuja ja kapeasti määriteltyjä tilanteita, joissa käyttö on ehdottoman välttämätöntä sellaisen tärkeän yleisen edun saavuttamiseksi, jonka merkitys on riskejä suurempi. 

Jäsenvaltioilla on kansallinen liikkumavara sallia reaaliaikaisten biometristen etätunnistusjärjestelmien käyttäminen julkisissa tiloissa lainvalvontatarkoituksessa tekoälyasetuksen edellytysten täyttyessä. Reaaliaikaisten biometristen etätunnistusjärjestelmien käyttö julkisissa tiloissa lainvalvontatarkoituksessa on asetuksen 5 artiklan mukaan kiellettyä, paitsi jos se on ehdottoman välttämätöntä jonkin seuraavista tavoitteista saavuttamiseksi: 1) kaappauksen, ihmiskaupan ja seksuaalisen hyväksikäytön uhrien kohdennettu etsintä sekä kadonneiden henkilöiden etsiminen; 2) luonnollisten henkilöiden henkeen tai fyysiseen turvallisuuteen kohdistuvan erityisen, merkittävän ja välittömän uhan taikka aidon ja välittömän tai aidon ja ennakoitavissa olevan terrori-iskun uhan ehkäiseminen; 3) rikoksesta epäillyn henkilön paikantaminen tai tunnistaminen asetuksen liitteessä II tarkoitettujen rikosten tutkintaa, syytteeseenpanoa tai rikosoikeudellisen seuraamuksen täytäntöönpanoa varten ja joista voi asianomaisessa jäsenvaltiossa seurata vapaudenmenetyksen käsittävä rangaistus tai turvaamistoimenpide, jonka enimmäisaika on vähintään neljä vuotta. 

Kun reaaliaikaisia biometrisiä etätunnistusjärjestelmiä käytetään julkisissa tiloissa lainvalvontatarkoituksessa, on otettava huomioon muun muassa tilanteen luonne ja järjestelmän käytön seuraukset kaikkien asianomaisten henkilöiden oikeuksille ja vapauksille. Lisäksi on noudatettava käyttöön liittyviä välttämättömiä ja oikeasuhteisia suojatoimia ja edellytyksiä kansallisen lainsäädännön mukaisesti, erityisesti ajallisia, maantieteellisiä ja henkilötason rajoituksia. Päätöstä, jolla on henkilöön kohdistuvia kielteisiä oikeusvaikutuksia, ei saa tehdä pelkästään reaaliaikaisen biometrisen etätunnistusjärjestelmän tuotosten perusteella. 

Pääsääntöisesti reaaliaikaisen etätunnistusjärjestelmän käyttö sallitaan vain, jos lainvalvontaviranomainen on tehnyt perusoikeuksia koskevan vaikutustenarvioinnin ja rekisteröinyt järjestelmän EU:n tietokantaan. Käyttö edellyttää lisäksi ennakkolupaa oikeusviranomaiselta tai riippumattomalta hallintoviranomaiselta, jonka päätös on sitova. Kiireellisissä tapauksissa käyttö voidaan kuitenkin aloittaa ilman rekisteröintiä EU:n tietokantaan tai ilman ennakkolupaa.  

Jälkikäteiselle etätunnistamiselle ei ole tekoälyasetuksessa asetettu yhtä tiukkoja edellytyksiä kuin reaaliaikaiselle etätunnistamiselle. Myös jälkikäteiseen biometriseen tunnistamiseen käytettävät järjestelmät luokitellaan kuitenkin tekoälyasetuksessa niin sanotuiksi suuririskisiksi tekoälyjärjestelmiksi, joiden käyttöönottajien velvollisuuksista säädetään asetuksen 26 artiklassa. Jälkikäteiseen etätunnistamiseen tarkoitetun järjestelmän käyttöönottoon on muun muassa pyydettävä lupa oikeusviranomaiselta tai hallintoviranomaiselta, jonka päätös on sitova ja johon sovelletaan tuomioistuinvalvontaa. Järjestelmää voidaan kuitenkin käyttää ilman lupaa mahdollisen epäillyn alustavaan tunnistamiseen rikokseen suoraan liittyvien objektiivisten ja todennettavissa olevien tosiseikkojen perusteella. Käyttö on rajoitettava siihen, mikä on ehdottoman välttämätöntä kyseessä olevan rikoksen tutkintaa varten. 

Suomessa voimassa oleva kansallinen lainsäädäntö ei tällä hetkellä mahdollista reaaliaikaista biometrista etätunnistamista poliisin lainvalvontatehtävissä. Poliisi käyttää kuitenkin jälkikäteistä biometrista etätunnistamista nykyisen kansallisen toimivaltuussääntelyn puitteissa. Esityksessä ei ehdoteta muutoksia poliisin oikeuteen käyttää biometrista etätunnistamista tehtäviensä suorittamiseksi. Ehdotetut muutokset koskevat ainoastaan poliisin oikeutta käsitellä passirekisterissä ja henkilökorttirekisterissä olevia biometrisia tietoja sekä ulkomaalaislain nojalla kerättyjä biometrisia tietoja. Tietoja voitaisiin jatkossa käyttää esimerkiksi vertailuaineistona biometrisessa etätunnistamisessa tekoälyasetuksen ja sitä täydentävän kansallisen sääntelyn mukaisin reunaehdoin. Biometrisessa etätunnistamisessa on noudatettava tekoälyasetuksen ja sitä jatkossa täydentävän kansallisen sääntelyn vaatimuksia. Poliisin olisi siten esimerkiksi pyydettävä tekoälyasetuksen mukaisesti lupaa jälkikäteiseen etätunnistamiseen tarkoitetun järjestelmän käyttöönottoon. Lainvalvontaviranomaisten jälkikäteiseen biometriseen etätunnistamiseen liittyviä kansallisen lainsäädännön muutostarpeita arvioidaan parhaillaan työ- ja elinkeinoministeriön asettamassa EU:n tekoälyasetuksen kansallisen toimeenpanon työryhmässä ( TEM044:00/2024 ).  

2.1.4  Julkisuuslaki ja tiedonhallintalaki

Tietosuojan yleislainsäädännön lisäksi poliisin henkilötietojen käsittelyyn vaikuttavat keskeisesti myös muun muassa viranomaisten toiminnan julkisuudesta annettu laki (621/1999, julkisuuslaki ) sekä laki julkisen hallinnon tiedonhallinnasta (906/2019, tiedonhallintalaki ). Julkisuuslaissa säädetään oikeudesta saada tieto viranomaisten julkisista asiakirjoista, asiakirjojen salassapidosta ja muista tietojen saantia koskevista yleisten ja yksityisten etujen suojaamiseksi välttämättömistä rajoituksista. Henkilötietojen käsittelyssä merkityksellisiä ovat erityisesti julkisuuslain tietojen salassapitoa koskevat säännökset. Julkisuuslain 24 §:n 1 momentin 4 kohdan mukaan salassa pidettäviä ovat muun muassa henkilöllisyyden tai matkustusoikeuden todentamista tai varmentamista koskevan hallintoasian käsittelyssä saamat ja ottamat henkilön valokuvat ja muut henkilötuntomerkkitiedot sekä henkilölle tai henkilökortille tai matkustusasiakirjalle annetut erityiset tunnisteet. Mainitun 4 kohdan perusteluiden mukaan kohta on sovellettavissa poliisin lisäksi myös muun viranomaisen henkilöllisyyden tai matkustusoikeuden todentamista ja varmentamista koskevassa hallintoasiassa saamiin henkilötuntomerkki- ja erityisiin henkilön tai asiakirjan tunnistetietoihin, kuten ulkoasiainhallinnon passiasioiden käsittelyssä saatuihin henkilötuntomerkkeihin (HE 30/1998 vp, s. 91). Julkisuuslain 24 §:n 1 momentin 24 kohdassa puolestaan säädetään salassa pidettäväksi asiakirjat, jotka koskevat kansainvälisen suojelun tarvetta, ulkomaalaisen maahantulon edellytyksiä ja maassa oleskeluoikeutta tai niiden perustetta taikka Suomen kansalaisuuden saamista tai menettämistä taikka kansalaisuusaseman määrittämistä, jos ei ole ilmeistä, että tiedon antaminen niistä ei vaaranna asianosaisen tai hänen läheisensä turvallisuutta.  

Luovutettaessa tietoja viranomaisten henkilörekistereistä on otettava huomioon julkisuusperiaate ja salassapitosäännökset siten kuin julkisuuslaissa säädetään. Julkisuuslain nojalla määräytyy myös asianosaisen oikeus tiedonsaantiin, joka koskee usein samoja tietoja kuin henkilötietolainsäädännön takaama rekisteröidyn tarkastusoikeus.  

Tiedonhallintalaki on yleislaki, joka koskee laajasti viranomaistoiminnassa tapahtuvaa tiedonhallintaa. Laki tuli voimaan 1.1.2020 ja sillä kumottiin eräiden julkisuuslain ja muiden lakien yksittäisten säännösten lisäksi julkisen hallinnon tietohallinnon ohjauksesta annettu laki (634/2011) kokonaisuudessaan. Laissa säädetään julkisuusperiaatteen ja hyvän hallinnon vaatimusten toteuttamisesta viranomaisten tiedonhallinnassa. Laissa säädetään myös tietojärjestelmien yhteentoimivuuden toteuttamisesta. Yleislakina tiedonhallintalaki sisältää koko julkista hallintoa koskevat säännökset tiedonhallinnan järjestämisestä ja kuvaamisesta, tietovarantojen yhteentoimivuudesta, teknisten rajapintojen ja katseluyhteyksien toteuttamisesta sekä tietoturvallisuuden toteuttamisesta. Lain tarkoituksena on edistää viranomaisten tiedonhallinnan laatua, tietoturvallisuutta sekä viranomaisten tietoaineistojen tietoturvallista ja vastuullista hyödyntämistä. Tiedonhallintalain säännökset on huomioitava myös esityksessä ehdotetussa biometristen tietojen käsittelyssä. 

2.2.1  EU:n passiasetus

Neuvoston asetuksessa (EY) 2252/2004 jäsenvaltioiden myöntämien passien ja matkustusasiakirjojen turvatekijöitä ja biometriikkaa koskevista vaatimuksista ( EU:n passiasetus ) säännellään biometristen tunnisteiden käyttöönottamista passeissa ja muissa matkustusasiakirjoissa. EU:n passiasetusta on muutettu Euroopan parlamentin ja neuvoston asetuksella (EY) N.o 444/2009. EU:n passiasetuksen tarkoituksena on lisätä EU-passin turvallisuutta antamalla oikeudellisesti sitova säädös yhdenmukaistettuja turvatekijöitä koskevista vähimmäisvaatimuksista ja luoda samalla luotettava yhteys matkustusasiakirjan ja sen oikean haltijan välille liittämällä asiakirjaan biometrisia tunnisteita.  

EU:n passiasetuksessa edellytetään biometristen tietojen ottamista passin hakijalta ja tietojen tallettamista asiakirjan tekniseen osaan eli sirulle. Asetuksen 1 artiklan 2 kohdan mukaan passeissa ja matkustusasiakirjoissa on oltava erittäin turvallinen tallennusväline, johon on tallennettu kasvokuva. Jäsenvaltioiden on tallennettava niihin myös kaksi sormenjälkeä, jotka otetaan alas painetuista sormista yhteentoimivassa muodossa. Sormenjälkien antamista koskevaa vaatimusta ei asetuksen 1 artiklan 2 a kohdan mukaan sovelleta alle 12-vuotiaisiin lapsiin eikä henkilöihin, jotka eivät fyysisten rajoitteiden vuoksi pysty antamaan sormenjälkiä. 

Asetuksen 4 artiklan 3 kohdan mukaan passien ja matkustusasiakirjojen sisältämiä biometrisiä tunnisteita saa käyttää passiasetuksen soveltamiseksi ainoastaan passin tai matkustusasiakirjan aitouden toteamiseksi sekä haltijan henkilöllisyyden varmistamiseksi vertaamalla biometrisiä tunnisteita suoraan saatavilla oleviin tunnisteisiin tilanteessa, jossa passi tai matkustusasiakirja on lain mukaan esitettävä.  

Passiasetuksen johdanto-osan 8 kappaleen mukaan passeihin ja matkustusasiakirjoihin liittyviä henkilötietoja käsiteltäessä sovelletaan yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettua Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY, joka on kumottu EU:n yleisellä tietosuoja-asetuksella. Tietosuoja-asetuksen 94 artiklan 2 kohdan mukaan viittauksia kumottuun direktiiviin pidetään viittauksina tietosuoja-asetukseen. Henkilötietojen käsittely passiasetuksen ja kansallisen passilain mukaisissa poliisin tehtävissä kuuluu EU:n yleisen tietosuoja-asetuksen soveltamisalaan.  

EU:n passiasetuksessa ei säädetä biometristen tietojen tallettamisesta kansalliseen rekisteriin tai niiden muusta käsittelystä jäsenvaltioiden kansallisen lainsäädännön mukaisesti. Asetus ei sanamuotonsa mukaan rajoita passinhakijalta kerättyjen biometristen tietojen tallentamista kansallisiin tietokantoihin eikä kansallisiin tietokantoihin tallennettujen biometristen tietojen käsittelyä muihin kuin passiasetuksen mukaisiin tarkoituksiin. EU:n passiasetuksen muuttamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N.o 444/2009 johdanto-osan 5 kappaleen mukaan EU:n passiasetuksella ei rajoiteta passien ja matkustusasiakirjojen tallennusvälineeseen kerättävien biometristen tietojen muuta käyttöä tai tallentamista jäsenvaltioiden kansallisen lainsäädännön mukaisesti. Asetus ei muodosta oikeusperustaa näiden tietojen tallentamiseen käytettävien tietokantojen perustamiselle tai ylläpitämiselle jäsenvaltioissa, mikä on yksinomaan kansallisen lainsäädännön piiriin kuuluva asia. Kansallisen tason tietokantojen perustamista ja käyttöä koskevan kansallisen lainsäädännön on noudatettava tietosuojalainsäädännön vaatimuksia. 

Euroopan unionin tuomioistuin (EUT) on käsitellyt passisormenjälkien ottamista asiassa C-291/12 ( Schwarz vs. Stadt Bochum ), jossa oli kyse EU:n passiasetuksen 1 artiklan 2 kohdan pätevyydestä. Saksalainen Schwarz oli kieltäytynyt passin myöntämisen yhteydessä antamasta sormenjälkiään. Koska Bochumin kaupunki hylkäsi Schwarzin pyynnön, tämä nosti kanteen ennakkoratkaisua pyytävässä tuomioistuimessa vaatien, että kyseinen kaupunki velvoitettaisiin antamaan hänelle passi ilman, että häneltä otettaisiin sormenjäljet. EUT huomauttaa ratkaisussaan, että perusoikeuskirjan 7 ja 8 artiklassa suodut oikeudet eivät ole ehdottomia, vaan ne on suhteutettava siihen tehtävään, joka niillä on yhteiskunnassa. Tuomioistuin vahvistaa, että perusoikeuskirjan oikeuksien rajoittaminen sallitaan 52 artiklassa, kunhan näistä rajoituksista säädetään lailla kyseisten oikeuksien keskeistä sisältöä kunnioittaen ja kunhan ne suhteellisuusperiaatteen mukaisesti ovat tarpeellisia ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. EU:n passiasetuksen 1 artiklan 2 kohdan säännöksellä on erityisesti kaksi tavoitetta, joista ensimmäisenä on passien väärentämisen ehkäiseminen ja toisena niiden väärinkäytön estäminen. Tällä pyritään unionin hyväksymään yleisen edun mukaiseen tavoitteeseen. Tuomioistuimen mukaan passiasetuksen 1 artiklan 2 kohdasta aiheutuva yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeva loukkaaminen on perusteltavissa tavoitteella, joka on passien suojaaminen väärinkäyttöä vastaan.  

Ennakkoratkaisupyynnön esittänyt tuomioistuin kysyi asiassa myös, onko EU:n passiasetuksen 1 artiklan 2 kohta oikeassa suhteessa siihen riskiin, että sormenjäljet tallennetaan mahdollisesti keskitetysti ja että niitä käytetään muihin tarkoituksiin kuin asetuksessa säädetään. Tältä osin EUT toteaa, että EU:n passiasetusta ei voida tulkita siten, että se yksin muodostaisi oikeusperustan sen perusteella kerättyjen tietojen keskittämiselle tai käyttämiselle muihin tarkoituksiin kuin estämään henkilöiden laiton pääsy unionin alueelle. Keskittämismahdollisuuteen liittyvät riskit eivät siten vaikuta EU:n passiasetuksen pätevyyteen, vaan ne pitäisi tarvittaessa tutkia sormenjälkien keskitetystä tietokannasta annettua lainsäädäntöä koskevan kanteen yhteydessä. 

2.2.2  Passilaki

Kansallisesti passien hakemisesta, myöntämisestä ja peruuttamisesta säädetään passilaissa. Ensimmäinen passiin liitetty biometrinen tunniste, kasvokuva, otettiin Suomessa käyttöön elokuussa 2006 voimaan tulleella uudella passilailla. Vuodesta 2006 lähtien passeissa on vastaavasti ollut koneellisesti luettava tekninen osa eli siru. Kesäkuussa 2009 voimaan tulleella passilain muutoksella (456/2009) passeihin lisättiin toinen biometrinen tunniste, sormenjäljet. Tavallisen passin lisäksi sormenjäljet otetaan myös väliaikaisen passin ja merimiespassin hakijalta. Näissä asiakirjoissa ei ole sormenjäljet sisältävää sirua, vaan tiedot talletetaan ainoastaan passirekisteriin. Passirekisteriin talletetaan myös diplomaattipassin ja virkapassin hakijan biometriset tiedot.  

Sormenjälkien lukemisesta säädetään passilain 5 b §:ssä, jonka mukaan passin siruun talletettuja sormenjälkiä saa lukea vain EU:n passiasetuksessa säädetyllä tavalla. Sormenjälkiä saavat lukea lain 10 §:ssä tarkoitettu passiviranomainen sekä poliisi- tai rajatarkastusviranomainen. Sormenjälkiä luettaessa passinhaltijalta saa ottaa sormenjäljet ja verrata niitä passin tekniseen osaan talletettuihin sormenjälkiin passin aitouden toteamiseksi ja passinhaltijan henkilöllisyyden varmistamiseksi. Lainkohdan perusteluiden (HE 234/2008 vp, s. 44) mukaan poliisi voi lukea siruun talletettuja sormenjälkiä henkilöllisyyden varmistamiseksi myös esitutkintaan ja muuhun poliisitutkintaan liittyvien toimivaltuuksiensa nojalla. Poliisin oikeus lukea siruun talletetut sormenjäljet rajoittuu EU:n passiasetuksen mukaisesti vain asiakirjan aitouden toteamiseen ja henkilöllisyyden varmistamiseen. Säännös ei mahdollista esimerkiksi rikosten selvittämistä siruun talletettujen sormenjälkien avulla. Passilaki ei sisällä erityisiä säännöksiä kasvokuvien lukemisesta. 

Vuoden 2009 lainmuutoksella säädettiin kansallisesti myös sormenjälkien lisäämisestä poliisin rekisteriin. Sormenjäljet talletetaan passilain 6 a §:n 3 momentin mukaan passin tekniseen osaan sekä passirekisteriin. Passirekisteriin talletetut sormenjäljet on pidettävä erillään rikoksesta epäiltyjen henkilötuntomerkeistä. Passirekisteristä säädetään passilain 29 §:ssä, jonka 1 momentin mukaan poliisi pitää passirekisteriä passilaissa poliisille, ulkoministeriölle ja lain 10 §:ssä tarkoitetulle Suomen edustustolle säädettyjen tehtävien suorittamiseksi. Rekisteriin talletetaan muiden 29 §:n 1 momentissa lueteltujen tietojen ohella passinhakijalta passin hakutilanteessa otetut sormenjäljet sekä henkilön valokuva ja nimikirjoitusnäyte, jotka hän on luovuttanut poliisille, ulkoministeriölle tai ulkoasiainhallinnon viranomaiselle passia hakiessaan.  

Biometristen tietojen tallettamisen pääasiallisena tavoitteena on taata asiakirjan hakuprosessin turvallisuus ja henkilöllisyyden luotettava varmistaminen. Passirekisterin tietojen käytöstä säädetään 29 §:n 2 momentin mukaan poliisin henkilötietolain 11–15 §:ssä. Passirekisterin tietojen luovuttamisesta ja poistamisesta säädetään mainitun lain 4 luvussa ja 38 §:ssä. Passirekisteriin talletettujen biometristen tietojen käyttöedellytysten muuttamisesta ei arvioida seuraavan muutostarpeita passilakiin. 

2.2.3  EU:n ID-asetus

Unionin kansalaisten henkilökorttien sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettävien oleskeluasiakirjojen turvallisuuden lisäämisestä annettu Euroopan parlamentin ja neuvoston asetus (EU) 2019/1157 ( EU:n ID-asetus ) tuli voimaan elokuun alussa 2019. Asetusta alettiin soveltaa 2.8.2021. EU:n ID-asetuksen tavoitteena oli parantaa EU-kansalaisille myönnettävien henkilökorttien sekä EU:n kansalaisille ja heidän perheenjäsenilleen myönnettävien oleskeluasiakirjojen luotettavuutta ja turvallisuutta. Lisäämällä henkilökorttien ja oleskeluasiakirjojen luotettavuutta edistetään vapaata liikkuvuutta koskevien oikeuksien käyttöä turvallisessa ympäristössä.  

EU:n ID-asetusta sovelletaan matkustusoikeudelliseen henkilökorttiin. Vastaavasti kuin EU:n passiasetuksessa, myös EU:n ID-asetuksessa edellytetään biometristen tietojen ottamista asiakirjan hakijalta ja tietojen tallettamista asiakirjan tekniseen osaan eli sirulle. Henkilökortteihin on asetuksen 3 artiklan 5 kohdan mukaan sisällyttävä erittäin turvallinen tallennusväline, jonka on sisällettävä biometrisiä tietoja, jotka ovat kortin haltijan kasvokuva ja kaksi sormenjälkeä yhteentoimivassa digitaalisessa muodossa. Asetuksen 3 artiklan 7 kohdan mukaan sormenjälkien antamista koskevaa vaatimusta ei tarvitse soveltaa alle 12-vuotiaisiin lapsiin. Vaatimusta ei sovelleta alle 6-vuotiaisiin lapsiin eikä henkilöihin, jotka eivät fyysisten rajoitteiden vuoksi pysty antamaan sormenjälkiä. 

Asetuksen 10 artiklassa säädetään biometristen tunnisteiden keräämisestä. Artiklan 3 kohdan mukaan lukuun ottamatta unionin oikeudessa ja kansallisessa lainsäädännössä vaadittua käsittelyä, henkilökorttien tai oleskeluasiakirjojen yksilöintiä varten tallennetut biometriset tunnisteet on säilytettävä erittäin turvallisesti ja ainoastaan asiakirjan noutopäivään asti ja joka tapauksessa enintään 90 päivää kyseisen asiakirjan myöntämispäivästä. 

Asetuksen 11 artiklassa säädetään henkilötietojen suojasta sekä vastuusta. Artiklan 6 kohdan mukaan henkilökorttien tallennusvälineeseen tallennettuja biometrisiä tietoja saa käyttää ainoastaan toimivaltaisten kansallisten viranomaisten ja unionin virastojen asianmukaisesti valtuutettu henkilöstö unionin oikeuden ja kansallisen lainsäädännön mukaisesti a) henkilökortin aitouden todentamiseen; b) asiakirjan haltijan henkilöllisyyden todentamiseen vertaamalla biometrisiä tunnisteita suoraan saatavilla ja verrattavissa oleviin tunnisteisiin tilanteessa, jossa henkilökortti on lain mukaan esitettävä. 

EU:n ID-asetusehdotusta käsittelevässä lausunnossaan Euroopan tietosuojavaltuutettu ehdotti, että asetuksessa säädettäisiin nimenomaisesti suojatoimista, joilla estetään jäsenvaltioita perustamasta kansallisia sormenjälkitietokantoja asetuksen täytäntöönpanon yhteydessä. Lausunnon mukaan asetukseen olisi tullut lisätä säännös, jossa todetaan nimenomaisesti, että asianmukaisessa yhteydessä käsiteltävät biometriset tiedot on poistettava heti mikrosiruun sisällyttämisen jälkeen eikä niitä saa myöhemmin käsitellä muihin kuin ehdotuksessa nimenomaisesti säädettyihin tarkoituksiin. Tällaista säännöstä ei kuitenkaan otettu lopulliseen asetukseen. EU:n ID-asetus ei asetuksen johdanto-osan 21 kappaleen mukaan anna oikeusperustaa kansallisen tason tietokantojen perustamiselle tai ylläpitämiselle biometristen tietojen tallentamista varten jäsenvaltioissa, mikä kuuluu kansallisen lainsäädännön piiriin, jonka on oltava tietosuojaa koskevan unionin oikeuden mukainen. Sanamuotonsa mukaisesti ID-asetus säätelee vain henkilökorttien ja oleskeluasiakirjojen tallennusvälineeseen eli asiakirjan sirulle tallennettujen biometristen tietojen sallittuja käyttötarkoituksia (11 artikla). Vastaavasti esimerkiksi tietojen säilytysajan osalta asetuksessa todetaan, että biometriset tunnisteet on säilytettävä ainoastaan asiakirjan noutopäivään asti ja joka tapauksessa enintään 90 päivää kyseisen asiakirjan myöntämispäivästä lukuun ottamatta unionin oikeudessa ja kansallisessa lainsäädännössä vaadittua käsittelyä (10 artikla).  

Euroopan unionin tuomioistuin antoi 21.3.2024 ratkaisun asiassa C-61/22 ( RL vs. Landeshauptstadt Wiesbaden ). EUT vahvistaa ratkaisussaan, että asiakirjapetosten torjuminen, joka kattaa muun muassa väärien henkilökorttien valmistuksen ja identiteettipetosten torjumisen, on unionin tunnustama yleisen edun mukainen tavoite (ks. myös C-291/12, Schwarz vs. Stadt Bochum ). Perusoikeuskirjan 7 ja 8 artiklassa taattujen perusoikeuksien rajoitukset, jotka johtuvat velvollisuudesta sisällyttää tallennusvälineeseen kaksi täydellistä sormenjälkeä, tapahtuvat EUT:n mukaan täysin välttämättömän rajoissa. EUT toteaa kuitenkin EU:n ID-asetuksen pätemättömäksi, koska se on annettu virheellisesti SEUT-sopimuksen 21 artiklan 2 kohdan nojalla ja tavallista lainsäätämisjärjestystä noudattaen. EUT:n mukaan EU:n ID-asetus on toimi, joka kuuluu SEUT-sopimuksen 77 artiklan 3 kohdan erityiseen soveltamisalaan. Siinä määrätään erityisestä lainsäätämisjärjestyksestä ja ennen kaikkea neuvoston yksimielisyydestä. Asetuksen vaikutukset on pysytettävä siihen saakka, kunnes sen korvaava SEUT 77 artiklan 3 kohtaan perustuva uusi asetus tulee voimaan kohtuullisessa ajassa, joka ei voi olla pidempi kuin kaksi vuotta tämän tuomion julistamispäivää seuraavan vuoden tammikuun ensimmäisestä päivästä. Uuden asetuksen on siten tultava voimaan viimeistään 1.1.2027.  

Julkisasiamies viittaa asiassa C-61/22 antamassaan ratkaisuehdotuksessa (29.6.2023) EU:n ID-asetuksen 10 artiklan 3 kohdan alussa esitettyyn varaumaan. Mainitussa kohdassa säädetään, että viranomaiset säilyttävät sormenjälkiä väliaikaisesti ja että ne ovat velvollisia säilyttämään nämä biometriset tunnisteet erittäin turvallisesti ”lukuun ottamatta unionin oikeudessa ja kansallisessa lainsäädännössä vaadittua käsittelyä”. Julkisasiamiehen mukaan kyseinen varauma ei muodosta oikeusperustaa muuhun kuin kyseisessä asetuksessa nimenomaisesti säädettyyn tarkoitukseen. Kyseisellä varaumalla viitataan nimenomaisesti joko unionin tai sen jäsenvaltioiden antamaan lisälainsäädäntöön, mikä tarkoittaa, että perusoikeuskirjan 7 ja 8 artiklassa taattuja oikeuksia koskevaa rajoitusta on tutkittava vain suhteessa kyseiseen muuhun lainsäädäntöön.  

EUT ei käsittele ratkaisussaan asetuksen 10 artiklan 3 kohdan varaumaa, joka koskee unionin oikeudessa ja kansallisessa lainsäädännössä vaadittua käsittelyä. EUT ei viittaa varaumaan lainkaan asetuksen 10 artiklan 3 kohtaa koskevassa ratkaisun kohdassa 112, vaan toteaa seuraavasti: Toisaalta mainitun asetuksen 10 artiklan 3 kohdassa säädetään, että ”biometriset tunnisteet on säilytettävä – – ainoastaan asiakirjan noutopäivään asti ja joka tapauksessa enintään 90 päivää kyseisen asiakirjan myöntämispäivästä”, ja siinä täsmennetään, että ”tämän jälkeen biometriset tunnisteet on välittömästi poistettava tai hävitettävä”. EUT:n mukaan tästä seuraa erityisesti, että asetuksen 10 artiklan 3 kohdassa ei sallita jäsenvaltioiden käsittelevän biometrisiä tietoja muihin kuin tässä asetuksessa säädettyihin tarkoituksiin. Lisäksi säännös on esteenä sormenjälkien keskitetylle säilyttämiselle, joka ylittää näiden sormenjälkien väliaikaisen tallentamisen henkilökorttien yksilöintiä varten (ks. ratkaisun kohta 113). EUT:n ratkaisussa käsitellään siten biometristen tietojen säilyttämistä ainoastaan EU:n ID-asetuksessa säädetyn oikeusperustan kannalta. Kansallisessa lainsäädännössä vaadittua käsittelyä koskevan kansallisen lainsäädännön asetuksen johdanto-osan 21 kappaleessa todetusti oltava tietosuojaa koskevan unionin oikeuden mukainen. 

Euroopan komissio antoi 23.7.2024 ehdotuksen kumotun ID-asetuksen korvaavaksi neuvoston asetukseksi unionin kansalaisten henkilökorttien sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettävien oleskeluasiakirjojen turvallisuuden lisäämisestä (COM(2024) 316 final). Asetusehdotuksen tarkoituksena oli käynnistää menettely unionin kansalaisten henkilökorttien sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettävien oleskeluasiakirjojen turvallisuuden lisäämistä koskevan uuden asetuksen antamiseksi asianmukaista oikeusperustaa eli SEUT-sopimuksen 77 artiklan 3 kohtaa käyttäen. Neuvoston asetus (EU) 2025/1208 annettiin 12.6.2025 ja sitä sovelletaan 10.7.2025 alkaen. Kansallisten biometristen tietokantojen perustaminen jätetään asetuksessa edelleen kansallisen sääntelyn piiriin. Asetuksen johdanto-osan 20 kappaleen mukaan asetus ei anna oikeusperustaa kansallisen tason tietokantojen perustamiselle tai ylläpitämiselle biometristen tietojen tallentamista varten jäsenvaltioissa, mikä kuuluu kansallisen lainsäädännön piiriin, jonka on oltava tietosuojaa koskevan unionin oikeuden mukainen, mukaan lukien sen välttämättömyys- ja oikeasuhteisuusvaatimukset. Asetus ei myöskään anna oikeusperustaa unionin tason keskitetyn tietokannan perustamiselle tai ylläpitämiselle. Asetuksen 10 artiklan 3 kohdan mukaan henkilökorttien tai oleskeluasiakirjojen yksilöintiä varten tallennetut biometriset tunnisteet on säilytettävä erittäin turvallisesti ja enintään 90 päivää kyseisen asiakirjan myöntämispäivästä. Tämän jälkeen kyseiset biometriset tunnisteet on välittömästi poistettava tai hävitettävä. Tämä ei rajoita niiden säilyttämistä, jos sitä edellytetään unionin oikeudessa tai kansallisessa lainsäädännössä unionin tietosuojalainsäädännön mukaisesti. Johdanto-osan 23 kappaleen mukaan asetusta ei olisi ymmärrettävä niin, että siinä kielletään kyseisten tietojen käsittely unionin tietosuojalainsäädännön mukaisesti, jos unionin oikeudessa tai kansallisessa lainsäädännössä niin edellytetään. 

Kuten EU:n passiasetuksesta, myöskään EU:n ID-asetuksesta ei arvioida seuraavan esteitä biometristen tietojen tallentamiselle kansallisiin tietokantoihin tai tallennettujen tietojen käyttämiselle muihin kuin ID-asetuksen mukaisiin tarkoituksiin. Kansallisen tason tietokantojen perustamista ja käyttöä koskevan kansallisen lainsäädännön on noudatettava tietosuojalainsäädännön vaatimuksia. Esimerkiksi tietojen käsittelyä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen on siten arvioitava käyttötarkoitussidonnaisuuden periaatetta vasten noudattaen edellä jaksossa 2.1.1 kuvattuja yleisen tietosuoja-asetuksen edellytyksiä. 

2.2.4  Henkilökorttilaki

Kansallisesti henkilökorttien hakemisesta, myöntämisestä ja peruuttamisesta säädetään henkilö-korttilaissa. Henkilökorttilailla säädetään EU:n ID-asetusta täydentävästi muun muassa sormenjälkien ottamisesta, henkilökortin teknisestä osasta ja sen tietoturvasta sekä sormenjälkien ja kasvokuvien lukemisesta. ID-asetusta täydentävä sääntely annettiin 2.8.2021 voimaan tulleella henkilökorttilain muutoksella (694/2021). Henkilökorttilain 5 a §:n mukaan henkilökortin tekniseen osaan talletetut sormenjäljet ja kasvokuvan saa lukea vain EU:n ID-asetuksessa säädetyllä tavalla. Sormenjälkiä saavat lukea 18 §:ssä tarkoitettu henkilökorttiviranomainen, poliisi ja Rajavartiolaitos. Lisäksi sormenjälkiä saa lukea Tulli silloin, kun se toimii esitutkintaviranomaisena tai hoitaa rajatarkastusviranomaisen tehtäviä. Poliisi voi lukea siruun talletettuja sormenjälkiä henkilöllisyyden varmistamiseksi myös esitutkintaan ja muuhun poliisitutkintaan liittyvien toimivaltuuksiensa nojalla vastaavasti kuin passin siruun talletettuja sormenjälkiä. Säännöksessä on huomioitu myös esitutkintaviranomaisiin kuuluvien Rajavartiolaitoksen ja Tullin tarve lukea henkilökortin siruun talletettuja sormenjälkiä henkilöllisyyden varmistamiseksi omien toimivaltuuksiensa puitteissa. 

Henkilökortti voidaan myöntää huoltajien suostumuksella myös alaikäiselle hakijalle (16 §). Alle 12-vuotiaalta hakijalta ei oteta sormenjälkiä (9 a §). Alaikäiselle hakijalle voidaan myös ilman huoltajien suostumusta myöntää erityinen alaikäisen henkilökortti. Alaikäisen henkilökortissa ja väliaikaisessa henkilökortissa ei ole lainkaan teknistä osaa eli sirua, joten niihin ei myöskään talleteta sormenjälkiä ja biometrisia kasvokuvia. 

Henkilökortti voidaan myöntää Suomen kansalaisen lisäksi myös Suomessa oleskelevalle ulkomaalaiselle. Edellytyksenä on henkilökorttilain 14 §:n mukaan, että 1) hakijalla on voimassa oleva oleskelulupa tai oleskelukortti taikka hakijan oleskeluoikeus on rekisteröity; 2) hakijalla on kotikuntalain (201/1994) mukainen kotikunta Suomessa; ja 3) hakijan tiedot on talletettu väestötietojärjestelmään. 

Henkilötietojen käsittely henkilökorttilain mukaisissa tehtävissä kuuluu EU:n yleisen tietosuoja-asetuksen soveltamisalaan. Kansallisesta henkilökorttirekisteristä säädetään henkilökorttilain 31 §:ssä. Poliisi pitää henkilökorttirekisteriä henkilökorttilaissa poliisille ja Suomen edustustolle säädettyjen tehtävien suorittamiseksi. Henkilökorttirekisteriin talletetaan vastaavat tiedot kuin passirekisteriin, josta säädetään passilain 29 §:ssä. Rekisteriin talletetaan siten muiden tietojen ohella henkilökortin hakijan henkilökortin hakutilanteessa otetut sormenjäljet sekä henkilön valokuva ja nimikirjoitusnäyte, jotka hän on luovuttanut poliisille, ulkoministeriölle tai ulkoasiainhallinnon viranomaiselle henkilökorttia hakiessaan. Kansallisista syistä ehdotettu säännös sormenjälkien tallettamisesta rekisteriin lisättiin henkilökorttilakiin EU:n ID-asetusta täydentävän sääntelyn yhteydessä. Sormenjälkitietojen tallettamista koskevan säännöksen on hallituksen esityksessä todettu olevan yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan ja 9 artiklan 2 kohdan g alakohdan mukaisen liikkumavaran puitteissa annettavaa lainsäädäntöä (HE 206/2020 p, s. 14).  

Henkilökorttilain 31 §:n 2 momentin mukaan henkilökorttirekisterin tietojen käytöstä säädetään poliisin henkilötietolain 11–15 §:ssä. Tietojen luovuttamisesta ja poistamisesta säädetään mainitun lain 4 luvussa ja 38 §:ssä. Sääntely vastaa siten myös tältä osin passilakia eikä henkilökorttilakiin ole arvioitu tarpeelliseksi esittää muutoksia. 

2.3.1  Poliisin rekisteriin tallennettavat tiedot

Ulkomaalaislain 131 §:n 1 momentin mukaan poliisi tai rajatarkastusviranomainen saa ottaa sormenjäljet, valokuvan ja muut henkilötuntomerkit ulkomaalaisesta, 1) joka on hakenut turvapaikkaa tai oleskelulupaa toissijaisen suojelun tai tilapäisen suojelun perusteella; 2) joka on hakenut oleskelulupaa perhesiteen perusteella; 3) joka on saanut oleskeluluvan pakolaiskiintiössä Suomeen otettuna ulkomaalaisena; 4) joka on päätetty käännyttää tai maasta karkottaa; tai 5) jonka henkilöllisyys on epäselvä. Henkilötuntomerkit voidaan ottaa henkilöllisyyden todentamiseksi, ulkomaalaisten maahantuloa ja maastalähtöä sekä oleskelua ja työntekoa koskevien asioiden käsittelyä, päätöksentekoa ja valvontaa varten sekä valtion turvallisuuden suojaamiseksi.  

Edellä tarkoitetut henkilötuntomerkit tallennetaan 131 §:n 2 momentin mukaan poliisin ylläpitämään rekisteriin. Tiedot on pidettävä erillään rikoksesta epäiltyjen henkilötuntomerkeistä ja maahanmuuttohallinnon henkilötietolain 10 §:n mukaisesti tallennettavista oleskelulupahakemusta, oleskelulupakorttihakemusta tai unionin kansalaisen perheenjäsenen oleskelukorttihakemusta varten otetuista sormenjäljistä. Pykälän 3 momentissa säädetään henkilötuntomerkkeihin sisältyvien sormenjälkitietojen vertailusta muihin rekistereihin. Sormenjälkitietoja saa vertailla poliisin tutkinta- ja valvontatehtäviä varten käsiteltäviin sormenjälkitietoihin sekä Maahanmuuttoviraston rekistereissä oleviin muukalaispassi- ja pakolaisen matkustusasiakirjahakemusta varten tallennettuihin sormenjälkitietoihin sekä oleskelulupahakemusta, oleskelulupakorttihakemusta tai unionin kansalaisen perheenjäsenen oleskelukorttihakemusta varten tallennettuihin sormenjälkitietoihin. Lisäksi sormenjälkitietoja saa maahantulon edellytysten selvittämiseksi verrata poliisin rekisterissä oleviin pakkokeinolain (806/2011) mukaisiin henkilötuntomerkkeihin kuuluviin sormenjälkiin, kun rekisteröidyt sormenjälkitiedot liittyvät rikokseen, josta ankarin säädetty rangaistus on vähintään vuosi vankeutta. 

Ulkomaalaislain 131 §:ssä on myös säännökset poliisin rekisteriin tallennettujen henkilötuntomerkkien luovuttamisesta ulkomaille. Tiedot voidaan salassapitosäännösten estämättä luovuttaa ulkomaan viranomaiselle ja Euroopan raja- ja merivartiovirastolle ulkomaalaisen tunnistamista varten ottaen huomioon, mitä yleisessä tietosuoja-asetuksessa, rikosasioiden tietosuojalaissa ja poliisin henkilötietolaissa säädetään. Lisäksi tiedot voidaan salassapitosäännösten ja poliisin henkilötietolain 15 §:n 4 momentin estämättä luovuttaa Schengenin tietojärjestelmän (SIS) perustamisesta, toiminnasta ja käytöstä poliisiyhteistyössä ja rikosasioissa tehtävässä oikeudellisessa yhteistyössä, neuvoston päätöksen 2007/533/YOS muuttamisesta ja kumoamisesta sekä Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1986/2006 ja komission päätöksen 2010/261/EU kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2018/1862 tarkoitettuun SIS-järjestelmään seuraavien kuulutusten tekemiseksi: 1) Schengenin tietojärjestelmän käytöstä laittomasti oleskelevien kolmansien maiden kansalaisten palauttamiseksi annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1860 3 artiklassa tarkoitetut palauttamista koskevat kuulutukset; 2) SIS-rajatarkastusasetuksen 24 artiklassa tarkoitetun maahantulon ja maassa oleskelun epäämistä koskevat kuulutukset; 3) SIS-poliisiyhteistyöasetuksen 32 artiklassa tarkoitetut kuulutukset.  

Hallituksen esityksessä eduskunnalle SIS-järjestelmän käyttöä koskevia asetuksia täydentäväksi lainsäädännöksi (HE 35/2021 vp) ei ehdotettu biometristen tietojen luovuttamista SIS- järjestelmään tallennettaviin kuulutuksiin lukuun ottamatta rikosperusteisesti kerättäviä tuntomerkkitietoja. Muihin käsittelytarkoituksiin kerättyjen biometristen tietojen käyttämisen SIS-kuulutuksissa katsottiin valmistelussa rikkovan tietosuojasääntelyyn ja perustuslakivaliokunnan vakiintuneeseen käytäntöön perustuvaa käyttötarkoitussidonnaisuuden periaatetta. SIS-palauttamisasetuksen (EU) 2018/1860 4 artiklan sekä SIS-rajatarkastusasetuksen (EU) 2018/1861 ja SIS-poliisiyhteistyöasetuksen (EU) 2018/1862 20 ja 22 artiklan mukaan tiedot on tallennettava SIS-järjestelmään, jos ne ovat saatavilla. Asetuksissa ei ole määritelty, mitä tietojen saatavilla oleminen tarkoittaa tässä yhteydessä. Kansallisissa henkilötietolaeissa on asetettu kuulutusten tallentamisen kannalta merkityksellisiä rajoituksia erityisesti biometrisiin tietoihin kuuluvien tietojen käsittelylle ja luovuttamiselle. Esityksessä katsottiin, etteivät kansallisesti kerätyt biometriset tiedot olleet saatavilla SIS-asetusten tarkoittamalla tavalla.  

Esityksen eduskuntakäsittelyn aikana ulkomaalaislain 131 §:ään lisättiin kuitenkin uusi 5 momentti tietojen luovuttamisesta SIS-poliisiyhteistyöasetuksen 32 artiklassa tarkoitettuihin kuulutuksiin kadonneista tai haavoittuvassa asemassa olevista henkilöistä, joiden matka olisi estettävä. Eduskunta edellytti lisäksi esityksestä antamassaan vastauksessa (EV 92/2022 vp), että hallitus selvittää ja arvioi tarkkaan ulkomaalaisten biometristen tietojen käsittelyä koskevaa kansallista ja EU-sääntelyä, mukaan lukien edellytyksiä kansallisiin tietojärjestelmiin tallennettujen biometristen tietojen käyttämiselle SIS-asetusten mukaisissa kuulutuksissa, ja ryhtyy tarvittaessa asianmukaisiin toimiin kansallisen lainsäädännön muuttamiseksi. Myös komissio kiinnitti huomiota kansallisesti kerättyjen biometristen tietojen luovuttamiseen SIS-järjestelmään Suomen Schengen-arvioinnin yhteydessä kesällä 2023. Neuvoston asetuksen (EU) 2022/922 mukaisen arviointikertomuksen mukaan Suomen käytäntö olla luovuttamatta biometrisiä tietoja palauttamista sekä maahantulon ja maassa oleskelun epäämistä koskeviin SIS-kuulutuksiin ei ole SIS-palauttamisasetuksen ja SIS-rajatarkastusasetuksen oikeudellisesti sitovan sääntelyn mukainen. Komissio on painottanut täytäntöönpanopäätöksellä C(2024) 1960 final 23.7.2024 hyväksytyissä suosituksissaan, että Suomen tulisi mahdollistaa kansallisessa lainsäädännössään biometristen tietojen luovuttaminen palauttamista sekä maahantulon ja maassa oleskelun epäämistä koskeviin SIS-kuulutuksiin (liite 2, suositus nro 13).  

Ulkomaalaislain 131 §:n 5 momenttia muutettiin 1.9.2024 voimaan tulleella lailla (472/2024), siten, että momenttiin lisättiin säännös oikeudesta luovuttaa poliisin rekisteriin ulkomaalaislain nojalla tallennetut biometriset tiedot SIS-järjestelmään tallennettaviin palauttamista sekä maahantulon ja maassa oleskelun epäämistä koskeviin kuulutuksiin. Voimassa olevassa 131 §:ssä ei kuitenkaan säädetä mahdollisuudesta luovuttaa ulkomaalaisten henkilötuntomerkkejä muihin SIS-poliisiyhteistyöasetuksen mukaisiin kuulutuksiin kuin asetuksen 32 artiklassa tarkoitettuihin kadonneita tai haavoittuvassa asemassa olevia henkilöitä koskeviin kuulutuksiin. Ulkomaalaislain 131 §:n nojalla kerättävien biometristen tietojen avulla arvioidaan voitavan merkittävästi parantaa mahdollisuuksia tallentaa henkilöiden luotettavan tunnistamisen kannalta olennaiset biometriset tiedot myös eräisiin muihin SIS-poliisiyhteistyöasetuksen mukaisiin kuulutuksiin, joihin tarvittavia biometrisia tietoja ei useissa tapauksissa ole saatavissa muista käytettävissä olevista rekistereistä. Muutostarpeita on arvioitu liittyvän erityisesti SIS-poliisiyhteistyöasetuksen 26 artiklassa tarkoitettuihin kiinniottoa ja eurooppalaisen pidätysmääräyksen tai luovutussopimuksen perusteella tapahtuvaa luovuttamista varten tehtäviin kuulutuksiin sekä 36 artiklan 3 ja 4 kohdan mukaisiin salaista tarkkailua, tiedustelutarkastuksia ja erityistarkastuksia koskeviin kuulutuksiin. SIS-asetusten mukaisia kuulutuksia ja niiden tallentamisen edellytyksiä on kuvattu laajemmin hallituksen esityksessä Schengenin tietojärjestelmän käyttöä koskevia asetuksia täydentäväksi lainsäädännöksi (HE 35/2021 vp). 

Muilta osin ulkomaalaislain 131 §:ssä tarkoitettujen henkilötuntomerkkien käyttämisestä, poistamisesta ja luovuttamisesta säädetään poliisin henkilötietolaissa, jota käsitellään esityksen jaksossa 2.4. Poliisin henkilötietolakia koskevassa hallituksen esityksessä (HE 242/2018 vp) on arvioitu, että ulkomaalaislain 131 §:ssä tarkoitetut sormenjäljet, valokuva sekä muut henkilötuntomerkit kuuluvat poliisin henkilötietolain 5 ja 6 §:ssä tarkoitettuihin tutkinta- ja valvontatehtävissä käsiteltäviin henkilötietoihin.  

2.3.2  Maahanmuuttoviraston rekisteriin tallennettavat tiedot

Ulkomaalaislain 8 luvussa säädetään ulkomaalaisille Suomessa myönnettävistä matkustusasiakirjoista; muukalaispassista ja pakolaisen matkustusasiakirjasta. Lain 133 a § sisältää viittauksen passilain säännöksiin sormenjälkien ottamisesta. Muukalaispassi- ja pakolaisen matkustusasiakirjahakemusta varten otettujen sormenjälkitietojen käsittelystä säädetään maahanmuuttohallinnon henkilötietolain 9 §:ssä. Ulkomaalaisasioiden asiankäsittelyjärjestelmään tallennettavien sormenjälkien alkuperäisiä käsittelytarkoituksia ovat henkilöllisyyden varmistaminen ja muukalaispassin tai pakolaisen matkustusasiakirjan valmistaminen. Poliisi voi käsitellä tietoja muuhun kuin alkuperäiseen käsittelytarkoitukseen samoin edellytyksin kuin passin ja henkilökortin biometrisia tietoja eli tunnistamattomaksi jääneen uhrin tunnistamiseksi. 

Ulkomaalaislain 60 d §:ssä säädetään oleskelulupakorttia varten kerättävistä biometrisistä tunnisteista, sormenjäljistä ja kasvokuvasta. Ulkomaalaislain 161 §:n mukaan 60 d §:ää sovelletaan myös unionin kansalaisen perheenjäsenen oleskelukorttiin. Oleskelulupahakemusta, oleskelulupakorttihakemusta ja unionin kansalaisen perheenjäsenen oleskelukorttihakemusta varten otettujen sormenjälkitietojen käsittelystä säädetään maahanmuuttohallinnon henkilötietolain 10 §:ssä. Ulkomaalaisasioiden asiankäsittelyjärjestelmään tallennettavien sormenjälkien alkuperäisiä käsittelytarkoituksia ovat oleskelulupakortin aitouden toteaminen ja oleskeluluvan haltijan henkilöllisyyden todentaminen, ulkomaalaisten maahantuloa ja maastalähtöä sekä oleskelua ja työntekoa koskevien asioiden käsittely ja niitä koskeva päätöksenteko ja valvonta sekä kansallisen turvallisuuden suojaaminen. Lisäksi säännöksessä edellytetään, että sormenjälkiä saa käyttää ainoastaan 1 §:n 1 momentin 1 kohdassa säädettyyn tarkoitukseen liittyvien sekä turvallisuusselvityslaissa (726/2014) tarkoitetun turvallisuusselvityksen tekemiseksi säädettyyn tarkoitukseen liittyvien toimivaltuuksien rajoissa. Maahanmuuttohallinnon henkilötietolain 1 §:n 1 momentin 1 kohdan mukaisia käsittelytarkoituksia ovat ulkomaalaisen maahantuloa ja maastalähtöä sekä oleskelua koskevien asioiden käsittely sekä niitä koskeva päätöksenteko ja valvonta. Poliisi voi käsitellä myös ulkomaalaislain 60 d §:n nojalla kerättyjä sormenjälkitietoja muuhun kuin alkuperäiseen käsittelytarkoitukseen samoin edellytyksin kuin passin ja henkilökortin biometrisia tietoja eli tunnistamattomaksi jääneen uhrin tunnistamiseksi.  

Maahanmuuttohallinnon henkilötietolain 10 §:n nojalla ulkomaalaisasioiden asiankäsittelyjärjestelmään tallennetaan sormenjäljet laajemmasta joukosta ulkomaalaisia kuin poliisin rekisteriin ulkomaalaislain 131 §:n nojalla. Osin kyse on kuitenkin samoista ihmisistä, joiden tiedot on joko jo tallennettu kansainvälisen suojelun tarpeen, tilapäisen suojelun tai perhesiteen perusteella, tai joiden tiedot voidaan myöhemmin tallentaa henkilön henkilöllisyyden selvittämiseksi tai käännyttämis- tai karkottamispäätöksen eli palauttamispäätöksen nojalla ulkomaalaislain 131 §:n mukaisesti poliisin rekisteriin. 

Maahanmuuttohallinnon henkilötietolain 8 §:n mukaan rekisterinpitäjä saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja vain, jos käsittely on käsittelytarkoituksen kannalta välttämätöntä. Lakiin ei sisälly erityisiä säännöksiä ulkomaalaisasioiden asiankäsittelyjärjestelmään tallennettavien valokuvien käsittelyedellytyksistä.  

Maahanmuuttohallinnon henkilötietolain 14 §:n mukaan Maahanmuuttovirasto, ulkoministeriö, edustusto, poliisi, Rajavartiolaitos ja Tulli saavat salassapitosäännösten estämättä luovuttaa Euroopan unionin toiminnasta tehdyn sopimuksen V osaston 2 luvun nojalla annetuilla asetuksilla perustettuihin Euroopan unionin yhteisiin tietojärjestelmiin henkilötietoja sen mukaan kuin mainituissa asetuksissa säädetään. Hallintovaliokunnan mietinnön mukaan maahantulokieltokuulutuksiin ja palauttamiskuulutuksiin sisällytettävät tiedot ovat Maahanmuuttoviraston, poliisin ja Rajavartiolaitoksen maahanmuuttohallinnon henkilötietolain 3 §:n mukaisesti 1 §:n 1 momentin 1 kohdan käsittelytarkoituksessa käsittelemiä ulkomaalaislain 9 luvun mukaisten tehtävien hoitamiseksi tarvittavia tietoja (HaVM 10/2020 vp, s. 45).  

Maahanmuuttohallinnon henkilötietolain 9 §:ssä tarkoitettujen muukalaispassien ja pakolaisen matkustusasiakirjan biometristen tietojen käsittelyedellytyksissä ei ole havaittu poliisin tehtäviin liittyviä muutostarpeita. Tietoja olisi jatkossakin tarkoituksenmukaista voida käsitellä nykyistä vastaavasti tunnistamattoman uhrin tunnistamiseksi.  

Maahanmuuttohallinnon henkilötietolain osalta merkittävimmät muutostarpeet liittyvät lain 10 §:ssä tarkoitettuihin oleskelulupahakemusta, oleskelulupakorttihakemusta ja unionin kansalaisen perheenjäsenen oleskelukorttihakemusta varten kerättyihin biometrisiin tietoihin. Tietoja ei voimassa olevan sääntelyn mukaan voida käsitellä rikosten estämiseksi, paljastamiseksi tai selvittämiseksi eikä käyttää Schengenin tietojärjestelmään (SIS) tehtävissä kuulutuksissa. Valtion turvallisuuteen liittyvien ja muiden vakavien rikosten estämiseksi, paljastamiseksi tai selvittämiseksi välttämättömiä biometrisia tietoja tai SIS-kuulutuksiin liitettäviä biometrisia tietoja ei kaikissa tapauksissa ole saatavissa poliisin rekistereistä, vaan tiedot on joiltain osin talletettu ainoastaan ulkomaalaisasioiden asiankäsittelyjärjestelmään. 

2.4.1  Henkilötietojen käsittely passilain ja henkilökorttilain mukaisissa tehtävissä

Passirekisterin ja henkilökorttirekisterin tiedot kuuluvat tietoihin, joita poliisi saa poliisin henkilötietolain 11 §:n mukaan käsitellä lupahallintoon liittyvien tehtävien ja tietosuoja-asetuksen soveltamisalaan kuuluvien valvontatehtävien suorittamiseksi. Käsiteltävien tietojen sisältö on täsmennetty 12 §:ssä, jonka 1 momentin 5 kohdan mukaan poliisi saa käsitellä henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi henkilökortin tai passin hakijalta hakutilanteessa otettuja biometrisia sormenjälkitietoja ja kasvokuvaa. Lisäksi 1 momentin 4 kohdassa säädetään valokuvan käsittelystä muussa kuin biometrisessa muodossa. Mainitun 4 kohdan mukaan poliisi saa käsitellä 11 §:n mukaisiin tarkoituksiin henkilön valokuvaa ja nimikirjoitusnäytettä, jotka hän on luovuttanut poliisille, ulkoministeriölle tai ulkoasiainhallinnon viranomaiselle hakiessaan sellaista lupaa tai päätöstä, jonka valmistamiseen henkilön valokuva ja nimikirjoitusnäyte ovat tarpeen. 

Henkilötietojen käsittely poliisin passilain ja henkilökorttilain mukaisissa tehtävissä perustuu edellä jaksossa 2.1.1 kuvatusti EU:n yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, jonka mukaan käsittely on lainmukaista, kun se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Henkilökorttirekisterin ja passirekisterin tietojen käyttöä koskevan kansallisen sääntelyn on arvioitu olevan tietosuoja-asetuksen 6 artiklan 3 ja 4 kohdan mukaisen liikkumavaran puitteissa annettavaa kansallista lainsäädäntöä. Mainitun 6 artiklan 3 kohdassa tarkoitetun jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.  

Erityisten henkilötietoryhmien käsittely passilain ja henkilökorttilain mukaisissa poliisin tehtävissä perustuu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohtaan, jonka mukaan erityisiä henkilötietoryhmiä voidaan käsitellä, kun käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Sääntelyn on myös oltava oikeasuhtaista tavoitteeseen nähden, siinä on noudatettava keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä on säädettävä asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Poliisi voi käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja tehtäviensä suorittamiseksi poliisin henkilötietolaissa säädetyin edellytyksin. Näihin tietoihin kuuluvat esimerkiksi poliisin henkilötietolain 12 §:n 1 momentin 5 kohdassa tarkoitetut henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi henkilökortin tai passin hakijalta hakutilanteessa otetut biometriset sormenjälkitiedot ja kasvokuva. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn on poliisin henkilötietolain 15 §:n 1 momentin mukaan oltava käsittelytarkoituksen kannalta välttämätöntä.  

Sormenjälkien rekisteröinnin sekä passirekisterin ja henkilökorttirekisterin biometristen tietojen avulla tapahtuvan hakijan tunnistamisen on arvioitu suojaavan henkilöiden oikeutta omiin henkilötietoihinsa ja niiden asianmukaiseen käyttöön. Esimerkiksi vertaamalla passinhakijan sormenjälkiä tietokannassa oleviin sormenjälkiin voidaan varmistua siitä, ettei henkilö hae passia tai henkilökorttia useammalla henkilöllisyydellä ja että asiakirja myönnetään hakijan tiedoilla vain yhdelle henkilölle. Tietokantaan talletetuilla sormenjäljillä voidaan varmistaa myös henkilöllisyys esimerkiksi tilanteessa, jossa henkilön esittämänsä asiakirjan siru on rikki tai rikottu. Lisäksi henkilöllisyys kyetään varmistamaan siinä tapauksessa, että henkilöllä ei ole asiakirjan katoamisen tai muun syyn vuoksi esittää asiakirjaa todistukseksi henkilöllisyydestään. Luotettavilla ja turvallisilla matkustusasiakirjoilla ehkäistään myös sisäiseen turvallisuuteen kohdistuvia uhkia, jotka liittyvät erityisesti rajat ylittävään rikollisuuteen. Sormenjälkien rekisteröinnillä ja biometristen tietojen käsittelyllä on siten arvioitu lisättävän sekä yksilöiden että yhteiskunnan turvallisuutta (ks. esim. HE 234/2008 vp ja HE 206/2020 vp). Passirekisterin ja henkilökorttirekisterin biometristen tietojen käsittelyyn niiden alkuperäisessä käsittelytarkoituksessa ei ole arvioitu tarpeelliseksi esittää muutoksia. 

2.4.2  Henkilötietojen käsittely tutkinta- ja valvontatehtävissä sekä rikosten ennalta estämiseksi ja paljastamiseksi

Poliisin henkilötietolain 5 ja 6 §:ssä säädetään henkilötietojen käsittelystä esitutkinnan, poliisitutkinnan tai muun rikoksen selvittämiseen tai syyteharkintaan saattamiseen liittyvän tehtävän, yleisen järjestyksen ja turvallisuuden ylläpitämiseen liittyvän tehtävän ja muun poliisille säädetyn valvontatehtävän suorittamiseksi. Lain 7 ja 8 §:ssä säädetään henkilötietojen käsittelystä rikosten ennalta estämiseen tai paljastamiseen liittyvän tehtävän suorittamiseksi. Säännöksissä tarkoitettu henkilötietojen käsittely kuuluu rikosasioiden tietosuojalain soveltamisalaan.  

Lain 5 ja 7 §:ssä säädetään henkilöryhmistä, joiden tietoja poliisi saa käsitellä tutkinta- ja valvontatehtävien sekä rikosten ennalta estämiseen tai paljastamiseen liittyvien tehtävien suorittamiseksi. Käsiteltävien henkilötietojen sisältö on täsmennetty 6 ja 8 §:ssä. Poliisi saa sekä 6 että 8 §:n mukaan käsitellä muiden tietojen ohella tuntomerkkitietoja henkilöllisyyden toteamiseksi, mukaan lukien biometrisia tietoja. Biometristen tietojen ja muiden erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn on lain 15 §:n 1 momentin mukaan oltava käsittelytarkoituksen kannalta välttämätöntä. Esityksessä ei ole arvioitu tarpeelliseksi ehdottaa muutoksia henkilötietojen käsittelyyn tutkinta- ja valvontatehtävissä sekä rikosten ennalta estämiseksi ja paljastamiseksi, koska säännökset mahdollistavat jo nykyisellään biometristen tietojen käsittelyn. 

2.4.3  Henkilötietojen käsittely muuhun kuin alkuperäiseen käsittelytarkoitukseen

Poliisin henkilötietolain 13 §:ssä säädetään henkilötietojen käsittelystä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen. Poliisi saa 13 §:n 1 momentin mukaan käyttää lain 5–9, 11 ja 12 §:ssä tarkoitettuja tietoja seuraaviin tarkoituksiin: 1) rikoksen ennalta estämiseksi tai paljastamiseksi; 2) sellaisen rikoksen selvittämiseksi, josta laissa säädetty ankarin rangaistus on vankeutta; 3) etsintäkuulutetun tavoittamiseksi; 4) syyttömyyttä tukevana selvityksenä; 5) hengelle, terveydelle tai vapaudelle aiheutuvan merkittävän vaaran taikka huomattavan ympäristö-, omaisuus- tai varallisuusvahingon estämiseksi; 6) kansallisen turvallisuuden suojaamiseksi; 7) henkilöllisyyden selvittämiseksi suoritettaessa sellaista poliisin toimenpidettä, joka välttämättä edellyttää henkilöllisyyden varmistamista; sekä 8) poliisin toiminnan suuntaamiseksi. Tietoja saa lisäksi käsitellä laillisuusvalvonta-, analyysi-, suunnittelu- ja kehittämistoiminnassa, koulutustoiminnassa sekä hallintoluvan tai päätöksen valmistamisessa pykälän 2 ja 3 momentin mukaisin edellytyksin. Lain 14 §:ssä säädetään henkilötietojen käsittelystä muuhun kuin alkuperäiseen käsittelytarkoitukseen lupaharkinnassa ja -valvonnassa. 

Esimerkiksi passirekisterin ja henkilökorttirekisterien valokuvia sekä ulkomaalaislain 131 §:n nojalla poliisin rekisteriin tallennettuja valokuvia voidaan käsitellä 13 §:ssä säädettyihin tarkoituksiin, kun kyse on tietojen käsittelystä muussa kuin biometrisessa muodossa. Säännös mahdollistaa siten valokuvien silmämääräisen vertailun rikosten ennalta estämiseksi tai vankeusuhkaisen rikoksen selvittämiseksi. Säännös ei kuitenkaan kata esimerkiksi rikosten selvittämistä automaattisen kasvokuvavertailun avulla biometrisia passi- ja henkilökorttivalokuvia tai ulkomaalaisten henkilötuntomerkkeihin kuuluvia valokuvia hyödyntäen, koska biometristen tietojen käsittelyyn sovelletaan 15 §:ssä säädettyjä tiukempia rajoituksia. Sormenjälkitietojen käsittely puolestaan katsotaan tietosuojan yleislainsäädännön mukaisesti aina biometristen tietojen käsittelyksi, joten 13 §:n säännökset eivät sovellu sormenjälkivertailuun. 

Biometristen tietojen käsittelyyn sovelletaan poliisin henkilötietolain 15 §:n säännöksiä erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä. Pykälän 1 momentin mukaan poliisi saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja vain, jos se on käsittelytarkoituksen kannalta välttämätöntä. Rikosperusteisesti poliisin tuntomerkkirekisteriin talletettujen biometristen tietojen käsittelylle muuhun kuin alkuperäiseen käyttötarkoitukseen ei ole asetettu käsittelyn välttämättömyyden lisäksi muita erityisedellytyksiä. 

Pykälän 2 momentissa säädetään tarkemmasta rajoituksesta, joka koskee henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi käsiteltävien biometristen tietojen käyttöä. Tietoja saa käyttää muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen vain, jos se on välttämätöntä luonnononnettomuuden, suuronnettomuuden, muun katastrofin tai rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. EU:n ID-asetusta täydentävän sääntelyn yhteydessä täsmennetyn 3 momentin mukaan henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi käsiteltäviä biometrisiä tietoja saadaan lisäksi käyttää, jos se on välttämätöntä henkilökortin tai passin hakijan tunnistamiseksi hänen myöhemmin hakiessaan henkilöllisyyttä osoittavaa asiakirjaa, ja asianomaisen henkilön suostumuksella myös tällaisen asiakirjan valmistamiseen. Hakijan tunnistamiseksi biometrisia tietoja voidaan esimerkiksi verrata automaattisesti passirekisterissä ja henkilökorttirekisterissä oleviin tietoihin. Vertaamisella pyritään estämään muun muassa oikeudeton esiintyminen toisena henkilönä sekä henkilökortin hakeminen usealla eri henkilöllisyydellä. 

Passilain valmistelun yhteydessä vuonna 2009 oli esityksen lausuntokierrokseen saakka esillä mahdollisuus käyttää passin sormenjälkitietoja myös vakavimpien rikosten selvittämiseksi. Ehdotusta perusteltiin sillä, että erityisen törkeiden ja yhteiskunnallisesti vakavien rikosten ehkäisemistä ja selvittämistä tehostettaisiin mahdollistamalla passinhakijoiden rekisteröityjen sormenjälkitietojen käyttö. Poliisi olisi ehdotetun mukaan voinut käyttää hakijalta rekisteröityjä sormenjälkitietoja voimassa olleen pakkokeinolain 5 a §:n luvun 3 §:ssä tarkoitettujen rikosten ennalta estämiseksi tai selvittämiseksi. Säännöksessä olisi edellytetty, että tiedolla voitiin olettaa olevan erittäin tärkeä merkitys rikoksen selvittämiselle. Kyseeseen olisivat tulleet muun muassa rikokset, joista säädetty ankarin rangaistus on vähintään neljä vuotta vankeutta. Mainittu ehdotus poistettiin hallituksen esityksestä ennen sen antamista. Hallituksen esitys passilain uudistamiseksi (HE 234/2008 vp) ei siten sisältänyt ehdotusta passien sormenjälkien käyttämisestä vakavimpien rikosten torjunnassa. Sen sijaan esitys sisälsi ehdotuksen siitä, että poliisi olisi saanut käyttää passin sormenjälkitietoja henkilöllisyyden selvittämiseksi suoritettaessa sellaista poliisin yksittäistä tehtävää, joka välttämättä edellyttää henkilöllisyyden varmistamista. 

Perustuslakivaliokunta ei pitänyt poliisin henkilötietolakiin ehdotettua säännöstä asianmukaisena etenkään käyttötarkoituksen määrittelyltä edellytettävän täsmällisyys- ja tarkkarajaisuusvaatimuksen kannalta (PeVL 14/2009 vp). Perustuslakivaliokunnan lausunnon johdosta säännös hyväksyttiin eduskuntakäsittelyssä muutettuna (HaVM 9/2009 vp). Muutetun säännöksen mukaan poliisi sai käyttää passin sormenjälkitietoja muuhun kuin niiden keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen vain, jos se on välttämätöntä luonnononnettomuuden, suuronnettomuuden tai muun katastrofin taikka rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. Vuonna 2019 voimaan tulleen uuden poliisin henkilötietolain 15 §:n 2 momenttiin otettiin sisällöltään vastaava säännös, joka laajennettiin koskemaan passin sormenjälkitietojen lisäksi kaikkia passirekisterin ja henkilökorttirekisterin biometrisiä tietoja. 

Pykälän 3 momentissa säädetään asiakirjan hakemisen ja valmistamisen yhteydessä välttämättömästä henkilökorttirekisterin ja passirekisterin biometristen tietojen käyttämisestä muuhun kuin alkuperäiseen käsittelytarkoitukseen. Lailla 696/2021 muutetun momentin mukaan henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi käsiteltäviä biometrisiä tietoja saadaan käyttää, jos se on välttämätöntä henkilökortin tai passin hakijan tunnistamiseksi hänen myöhemmin hakiessaan henkilöllisyyttä osoittavaa asiakirjaa. Säännöksellä on mahdollistettu henkilökortin hakutilanteessa otettujen biometristen tietojen hyödyntäminen passia haettaessa ja passirekisteriin talletettujen biometristen tietojen hyödyntäminen henkilökortin hakemisen yhteydessä (ks. HE 206/2020 vp, s. 35–36).  

Ulkomaalaislain 131 §:ssä tarkoitettuja henkilötuntomerkkejä voidaan poliisin henkilötietolain 15 §:n 4 momentin mukaan käsitellä muuhun kuin alkuperäiseen käsittelytarkoitukseen 2 momentissa tarkoitetuissa tilanteissa eli tunnistamattomaksi jääneen uhrin tunnistamiseksi. Lisäksi tietoja voidaan käyttää, jos se on välttämätöntä rikoslain 11–14 luvussa, 17 luvun 2–4, 7, 7 c tai 8 a §:ssä, 34 luvun 3 tai 5 §:ssä, 34 a luvussa taikka 46 luvun 1 tai 2 §:ssä tarkoitetun rikoksen ennalta estämiseksi, paljastamiseksi tai selvittämiseksi. Näiden rikosten on katsottu olevan kiinteässä yhteydessä tietojen alkuperäisiin käsittelytarkoituksiin kuuluvaan valtion turvallisuuden suojaamiseen (ks. HaVM 39/2018 vp, s. 40). Tietojen käsittely lainvalvonnallisissa tarkoituksissa on siten rajoitetusti sallittua toisin kuin passirekisterin ja henkilökorttirekisterin biometristen tietojen. 

Esityksen tavoitteiden kannalta merkittävimmät muutostarpeet kohdistuvat poliisin henkilötietolain voimassa olevan 15 §:n 2 ja 4 momenttiin. Pykälän 2 momentissa säädetyt rajoitukset passirekisterin ja henkilökorttirekisterin biometristen tietojen käyttämiselle estävät kokonaisuudessaan näiden tietojen käsittelyn vakavimpienkin rikosten estämiseksi, paljastamiseksi ja selvittämiseksi. Pykälän 4 momentissa puolestaan rajoitetaan ulkomaalaislain 131 §:n nojalla rekisteröityjen biometristen tietojen käyttötarkoitusten ulkopuolelle kaikki sellaiset vakavimmatkin rikokset, joilla ei ole katsottu olevan kiinteää yhteyttä valtion turvallisuuden suojaamiseen. Lisäksi voimassa olevan 15 §:n 3 momenttia arvioidaan tarpeelliseksi täsmentää siten, että laissa säädettäisiin nimenomaisesti poliisin oikeudesta verrata henkilökortin tai passin hakijalta otettuja biometrisia tietoja passirekisterin ja henkilökorttirekisterin sisältämiin biometrisiin tietoihin. 

2.4.4  Henkilötietojen luovuttaminen

Poliisin henkilötietolain 4 luvussa säädetään henkilötietojen luovuttamisesta. Henkilötietojen muuta luovuttamista viranomaisille koskevassa 22 §:n 2 momentissa on passirekisterin ja henkilökorttirekisterin biometrisia tietoja koskeva erityissäännös, jonka mukaan mainittuja tietoja saa luovuttaa salassapitosäännösten estämättä ainoastaan Rajavartiolaitokselle, Tullille, ulkoministeriölle ja Maahanmuuttovirastolle henkilöllisyyden varmistamiseksi ja asiakirjan aitouden toteamiseksi silloin, kun se on tarpeen henkilön maahantuloa, maassa oleskelua tai maasta lähtöä koskevien asioiden käsittelyä varten. Lisäksi henkilötietojen muuta luovuttamista ulkomaille koskevan 31 §:n 3 momentissa on säännös, jonka mukaan henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi käsiteltäviä biometrisiä tietoja saa luovuttaa vain 15 §:n 2 momentin mukaisiin tarkoituksiin eli luonnononnettomuuden, suuronnettomuuden, muun katastrofin tai rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. Ulkomaalaislain 131 §:ssä on edellä kuvatusti säännökset poliisin rekisteriin tallennettujen henkilötuntomerkkien luovuttamisesta ulkomaille (ks. jakso 2.3.1). Poliisin henkilötietolaissa ei ole erityissäännöksiä ulkomaalaislain nojalla talletettujen biometristen tietojen luovuttamisesta.  

Tietojen luovutusedellytyksiä arvioitaessa on huomioitava 15 §:n säännökset passirekisterin ja henkilökorttirekisterin biometristen tietojen sekä ulkomaalaislain 131 §:ssä säädettyjen tehtävien suorittamiseksi käsiteltävien biometristen tietojen sallituista käsittelytarkoituksista. Biometrisia tietoja ei siten nykyisen sääntelyn perusteella voida luovuttaa esimerkiksi 21 ja 25 §:n mukaisesti muille rikosasioiden tietosuojalaissa tarkoitetuille toimivaltaisille viranomaisille tai Euroopan unionin jäsenvaltion tai Euroopan talousalueen jäsenvaltion lainvalvontaviranomaisille. On kuitenkin huomioitava, että 15 §:n 2–4 momentissa käsittelytarkoituksille asetetut rajoitukset eivät koske kasvokuvien käsittelyä muussa kuin biometrisessa muodossa eivätkä biometristen tietojen luovuttamista niiden alkuperäiseen käsittelytarkoitukseen. Lisäksi ulkomaalaisten henkilötuntomerkkien osalta valtion turvallisuuden suojaaminen on yksi tietojen alkuperäisistä ulkomaalaislain 131 §:n mukaisista käsittelytarkoituksista, eivätkä 15 §:n rajoitukset siten estä tietojen luovuttamista esimerkiksi suojelupoliisille, kun se on välttämätöntä valtion turvallisuuden suojaamiseksi. 

Poliisin rekistereissä olevien tietojen luovuttamisesta Euroopan unionin yhteisiin tietojärjestelmiin, kuten Schengenin tietojärjestelmään, säädetään lain 27 §:ssä. Pykälässä ei ole nimenomaisia säännöksiä biometristen tietojen luovuttamisesta. Poliisin rekisteriin rikosperusteisesti talletettuja tuntomerkkitietoja voidaan käyttää Schengenin tietojärjestelmään tehtävissä kuulutuksissa SIS-asetuksia noudattaen, kun se on 15 §:n 1 momentissa edellytetyllä tavalla välttämätöntä. Sen sijaan poliisin henkilötietolain 15 §:n 2 ja 4 momentin rajoitusten on arvioitu estävän passirekisterin ja henkilökorttirekisterin biometristen tietojen sekä ulkomaalaislain 131 §:n nojalla rekisteröityjen biometristen tietojen käyttämisen SIS-kuulutuksissa (ks. HE 35/2021 vp, s. 22) lukuun ottamatta ulkomaalaisten tietojen käyttämistä tietyissä kuulutusluokissa, joihin tietoja voidaan ulkomaalaislain 131 §:n mukaan luovuttaa poliisin henkilötietolain 15 §:n estämättä. Poliisin ja Maahanmuuttoviraston rekistereissä olevien biometristen tietojen käyttämistä Schengenin tietojärjestelmään tehtävissä kuulutuksissa on arvioitu laajasti hallintovaliokunnan mietinnössä Schengenin tietojärjestelmää koskevasta kansallisesta sääntelystä (HaVM 14/2022 vp). 

Suojelupoliisia koskeva sääntely on keskitetty lain 7 lukuun, eikä suojelupoliisi sovella toiminnassaan lain muita lukuja. Suojelupoliisi soveltaa muuta poliisin henkilötietolakia vain, kun 7 luvussa on viitattu lain muihin säännöksiin. Tällainen viittaus löytyy esimerkiksi lain 52 §:n 1 momentista, jonka mukaan suojelupoliisilla on oikeus saada 2 luvun perusteella käsiteltävät tehtäviensä suorittamiseksi tarpeelliset tiedot. 

Esityksessä on arvioitu tarpeelliseksi ehdottaa poliisin henkilötietolain 15 §:n 2 ja 4 momenttiin muutoksia, joilla mahdollistetaan passirekisterin ja henkilökorttirekisterin biometristen tietojen sekä ulkomaalaislain 131 §:ssä tarkoitettujen tuntomerkkitietojen käyttäminen eräiden vakavien rikosten estämiseksi, paljastamiseksi ja selvittämiseksi. Esitettyjen muutosten takia myös edellytykset tietojen luovuttamiselle muuttuvat. Esityksen tavoitteiden kannalta on arvioitu tarkoituksenmukaiseksi varmistaa, että tietoja voitaisiin jatkossa luovuttaa uusien käsittelytarkoitusten puitteissa myös muille toimivaltaisille kansallisille viranomaisille sekä Schengenin tietojärjestelmään. Muutokset tarkoittaisivat, että tietoja voitaisiin lisäksi saatavuusperiaatteen mukaisesti luovuttaa myös muun Euroopan unionin jäsenvaltion tai Euroopan talousalueen jäsenvaltion lainvalvontaviranomaisille. 

2.4.5  Henkilötietojen poistaminen

Henkilökorttirekisterin ja passirekisterin tietojen poistamisesta säädetään poliisin henkilötietolain 38 §:ssä. Tietojen sallittua säilytysaikaa pidennettiin lain kokonaisuudistuksen yhteydessä. Lupahallinto- ja valvontatehtävien suorittamiseksi käsiteltävät henkilötiedot on poistettava viimeistään kahdenkymmenen vuoden kuluttua päätöksestä tai sen raukeamisesta, päätöksessä mainitun voimassaoloajan päättymisestä tai henkilötiedon merkitsemisestä. Kyse on enimmäissäilytysajasta. Tiedot poistetaan kuitenkin viimeistään vuoden kuluttua rekisteröidyn kuolemasta, jollei ole erityistä syytä tietojen edelleen säilyttämiseen. Henkilötietojen edelleen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein. 

Hallintovaliokunta on mietinnössään HaVM 8/2021 vp pitänyt kahdenkymmenen vuoden enimmäissäilytysaikaa välttämättömänä myös biometristen tunnisteiden osalta, jotta henkilökortin ja passin hakijoiden luotettava tunnistaminen voidaan varmistaa. Henkilökorttilain 17 §:n 3 momentissa tarkoitetun ilman matkustusoikeutta myönnetyn henkilökortin sormenjälkitiedot poistetaan kuitenkin viimeistään 30 vuorokauden kuluttua henkilökortin myöntämisestä.  

Ulkomaalaislain 131 §:ssä säädettyjen tehtävien suorittamiseksi käsiteltävien henkilötuntomerkkien poistamisesta säädetään poliisin henkilötietolain 34 §:ssä. Tiedot poistetaan pääsääntöisesti kymmenen vuoden kuluttua viimeisen rekisteröityä koskevan merkinnän tekemisestä. Jos rekisteröity on saanut Suomen kansalaisuuden, tiedot poistetaan kuitenkin yhden vuoden kuluttua siitä, kun rekisterinpitäjä on saanut tiedon kyseisestä kansalaisuuden saamisesta. Lisäksi tiedot poistetaan kuitenkin viimeistään yhden vuoden kuluttua rekisteröidyn kuolemasta. Tiedot saadaan säilyttää edelleen, jos ne ovat tarpeen tutkinnallisen, valvonnallisen tai muun perustellun syyn vuoksi tai rekisteröidyn, muun asianosaisen tai poliisin henkilöstöön kuuluvan oikeuksien turvaamiseksi. Henkilötietojen edelleen säilyttämisen tarpeellisuutta on tällöin arvioitava vähintään viiden vuoden välein. 

Biometristen tietojen nykyinen säilytysaika on arvioitu edelleen välttämättömäksi erityisesti henkilöiden luotettavan tunnistamisen varmistamiseksi tietojen alkuperäisessä käsittelytarkoituksessa. Tietojen käyttöä rikostorjunnallisessa tarkoituksessa katsotaan kuitenkin tarpeelliseksi rajoittaa tiukemmin kuin niiden käyttöä muihin käsittelytarkoituksiin. Lyhyempi käyttöaika toimisi osaltaan tietojen asianmukaista käsittelyä varmistavana suojatoimena. 

2.4.6  Rekisteröidyn oikeudet

Poliisin henkilötietolain 45 §:n mukaan tietosuoja-asetuksen 18 artiklaa rekisteröidyn oikeudesta käsittelyn rajoittamiseen ei sovelleta poliisin henkilötietolaissa tarkoitettuun henkilötietojen käsittelyyn. Muilta osin poliisin henkilötietolaissa ei ole erityissääntelyä rekisteröidyn oikeuksien rajoittamisesta yleisen tietosuoja-asetuksen soveltamisalalla, vaan oikeuksia voidaan rajoittaa ainoastaan yksittäistapauksissa yleisen tietosuoja-asetuksen ja tietosuojalain puitteissa (ks. jakso 2.1.1). Esimerkiksi rekisteröidyn oikeutta tutustua hänestä kerättyihin tietoihin voidaan rajoittaa, jos tiedon antaminen saattaisi vahingoittaa kansallista turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä (tietosuojalain 34 §). Jos vain osa rekisteröityä koskevista tiedoista on sellaisia, että ne jäävät tietosuoja-asetuksen 15 artiklassa tarkoitetun oikeuden ulkopuolelle, rekisteröidyllä on tällöinkin oikeus saada tietää muut häntä koskevat tiedot. Rekisteröidylle on myös ilmoitettava rajoituksen syyt, ellei tämä vaaranna rajoituksen tarkoitusta. Jos rekisteröidyllä ei ole oikeutta tutustua hänestä kerättyihin tietoihin, tiedot on annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä. Tietosuoja-asetuksen 13 ja 14 artiklan mukaisesta velvollisuudesta toimittaa tiedot rekisteröidylle taas voidaan poiketa tietosuojalain 33 §:n mukaisin edellytyksin esimerkiksi silloin, jos se on välttämätöntä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi, rikosten ehkäisemiseksi tai selvittämiseksi taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi. 

Rikosasioiden tietosuojadirektiivin soveltamisalalla rekisteröidyn oikeuksista säädetään kansallisesti rikosasioiden tietosuojalaissa. Rekisteröidyn tarkastusoikeuden rajoittamisesta rikosasioiden tietosuojalain soveltamisalalla säädetään lisäksi poliisin henkilötietolain 42 §:ssä. Poiketen siitä, mitä rikosasioiden tietosuojalain 23 §:ssä säädetään, rekisteröidyllä ei ole tarkastusoikeutta 1) lain 9 §:ssä tarkoitettuihin tietolähdetietoihin, 2) Schengenin tietojärjestelmän kansallisen järjestelmän salaista tarkkailua, tiedustelutarkastuksia ja erityistarkastuksia koskeviin henkilötietoihin, 3) lain 5–8 §:ssä tarkoitettuihin henkilötietoihin sisältyviin poliisin taktisia ja teknisiä menetelmiä koskeviin tietoihin, havainto- tai tietolähdetietoihin tai tekniseen tutkintaan käytettäviin tietoihin eikä 4) henkilötietoihin, jotka on saatu poliisilain 5 luvun ja pakkokeinolain 10 luvun mukaisia tiedonhankintamenetelmiä käyttäen sekä sähköisen viestinnän palveluista annetun lain 157 §:n nojalla. Rekisteröity voi kuitenkin myös näiden tietojen osalta käyttää tarkastusoikeuttaan välillisesti tietosuojavaltuutetun kautta. Laissa on lisäksi erityissäännös rekisteröidyn tarkastusoikeuden toteuttamisesta (41 §). Muilta osin rekisteröidyn oikeuksien rajoittamiseen poliisin tehtävissä sovelletaan rikosasioiden tietosuojalakia (ks. jakso 2.1.2). Luovutettaessa tietoja Schengenin tietojärjestelmään on noudatettava myös suoraan sovellettavien SIS-asetusten säännöksiä tietojen luovuttamisen edellytyksistä ja henkilötietojen suojasta. 

Esityksessä tarkoitettujen poliisin tietojen rekisterinpitäjänä toimii Poliisihallitus, joka vastaa myös rekisterinpitäjän velvollisuuksien ja rekisteröidyn oikeuksien toteuttamisesta. Poliisihallitus on antanut rekisteröidyn oikeuksista ja tietosuojan toteuttamisesta poliisissa ohjeen (POL-2022-144428), joka täydentää poliisin tiedonhallinnasta annettua poliisihallituksen määräystä (POL-2022-59874). https://poliisi.fi/ohjeet-ja-maaraykset Ohjeessa kuvataan poliisin henkilötietojen käsittelyn kokonaisuutta ja periaatteita sekä sitä, kuinka poliisissa noudatetaan tietosuojaan liittyviä periaatteita ja velvoitteita rekisteröidyn oikeuksien toteuttamisen osalta. Ohjeen mukaan poliisissa mahdollistetaan rekisteröidyn lainsäädännön mukaisten oikeuksien toteuttaminen. Poliisin rekistereistä, poliisin eri käyttötarkoituksissa käsittelemistä henkilötiedoista ja rekisteröidyn oikeuksista informoidaan kattavasti. Rekisteröidylle tarjotaan mahdollisuus käyttää tarkastusoikeuttaan ja vaatia tietoja korjattavaksi, poistettavaksi ja käsittelyä rajoitettavaksi lainsäädännön oikeuttamalla tavalla. Samalla huolehditaan myös muiden rekisteröityjen oikeuksien toteuttamisesta. Poliisihallitus vastaa siitä, että poliisissa on määritelty rekisteröidyn oikeuksiin liittyvät vastuut, velvoitteet, prosessit ja toteuttamistavat. Lisäksi Poliisihallituksen vastuulle kuuluu, että rekisteröidyn oikeuksien toteuttamisesta poliisissa on annettu ajantasaiset ja sisällöllisesti asianmukaiset valtakunnalliset ohjeet, rekisteröidylle on asetettu saataville kattava ja ajantasainen yleinen informaatioaineisto poliisin valtakunnallisesta henkilötietojen käsittelystä, henkilöstölle on järjestetty tehtävien edellyttämällä tavalla koulutusta ja että rekisteröidyn oikeuksiin liittyviä tehtäviä varten on luotu riittävät toimintaedellytykset. Poliisiyksiköt vastaavat siitä, että rekisteröidyn oikeuksien toteuttamiseen liittyviin tehtäviin on riittävät resurssit, osaaminen ja ohjaus yksikössä ja että tehtävien organisointi, hoito, vastuut ja valvonta toteutuvat tietosuojalainsäädännön ja Poliisihallituksen ohjauksen mukaisesti.  

4.2.1  Taloudelliset vaikutukset

Muuttuvan sääntelyn täysimääräinen käyttöön ottaminen edellyttää muutoksia poliisin ja Maahanmuuttoviraston käytössä oleviin tietojärjestelmiin. Esityksessä ei kuitenkaan edellytetä tietojärjestelmämuutosten toteuttamista välittömästi sääntelyn tullessa voimaan, vaan muutoksia voidaan toteuttaa käytettävissä olevien resurssien puitteissa esimerkiksi muiden tietojärjestelmähankkeiden yhteydessä. Kertaluonteisia tietojärjestelmäkustannuksia ja tietojärjestelmien ylläpidosta aiheutuvia vuosittaisia lisäkustannuksia tarkastellaan tarvittaessa jatkossa erikseen talousarvioprosessin yhteydessä. 

4.2.2  Vaikutukset viranomaisten toimintaan

4.2.3  Vaikutukset tiedonhallintaan

Tiedonhallintalaissa säädetään muun muassa tiedonhallinnan järjestämisestä ja kuvaamisesta, tietovarantojen yhteentoimivuudesta, teknisten rajapintojen ja katseluyhteyksien toteuttamisesta sekä tietoturvallisuuden toteuttamisesta. Tiedonhallintalailla varmistetaan viranomaisten tietoaineistojen yhdenmukainen hallinta ja tietoturvallinen käsittely julkisuusperiaatteen toteuttamiseksi. 

Ehdotetusta sääntelystä ei aiheudu merkittäviä muutoksia tiedonhallintalain ja muun yleislainsäädännön mukaisten tietoturvallisuutta koskevien vaatimusten toteutumiseen. Muutoksista ei myöskään arvioida aiheutuvan tarvetta säätää tietoturvallisuustoimenpiteistä nykyistä laajemmin henkilötietojen käsittelyä koskevassa sektorikohtaisessa erityislainsäädännössä. Esityksen tietoturvaan liittyviä riskejä arvioitaessa on huomioitava, että poliisin ja Maahanmuuttoviraston rekistereihin ei ehdoteta kerättäväksi nykytilaan nähden uusia tietoja. Ehdotukset koskevat jo voimassa olevan sääntelyn perusteella rekisteriin talletettavien tietojen käyttämistä uusiin käsittelytarkoituksiin ja luovuttamista muille viranomaisille sekä SIS-järjestelmään. Poliisi ja muut turvallisuusviranomaiset käsittelevät biometrisia tietoja rikosten estämiseksi, paljastamiseksi ja selvittämiseksi myös nykyisen sääntelyn puitteissa. Poliisin, ja Maahanmuuttoviraston sekä poliisilta tietoja vastaanottavien viranomaisten on jatkossakin noudatettava biometristen tietojen käsittelyssä samoja tiukkoja vaatimuksia, joita jo nykyään edellytetään erityisiin henkilötietoryhmiin kuuluvien ja arkaluonteisten tietojen käsittelyltä.  

Sääntelyllä ei arvioida olevan merkittäviä vaikutuksia myöskään tietojen luovuttamisen toteutustapaan nykytilaan verrattuna. Tietojen luovuttamisessa noudatettaisiin viranomaiskohtaisten henkilötietolakien lisäksi tietosuojan yleislainsäädännössä, julkisuuslaissa ja tiedonhallintalaissa asetettuja vaatimuksia. SIS-järjestelmän osalta tietojen luovuttamisessa ja muussa käsittelyssä on lisäksi noudatettava suoraan sovellettavissa SIS-asetuksissa säädettyjä edellytyksiä. 

Esityksessä ei ehdoteta muutoksia tietojärjestelmien ylläpitoa ja rekisterinpitoa koskevaan vastuunjakoon. Poliisin, muiden tiedonhallintalaissa tarkoitettuina tiedonhallintayksiköinä toimivien toimivaltaisten viranomaisten ja Maahanmuuttoviraston on arvioitava tiedonhallinnan muutosvaikutukset tiedonhallintalain 5 §:n 3 momentin mukaisesti ja päivitettävä tarvittaessa tiedonhallintamallinsa, asiakirjajulkisuuskuvaus sekä muu tarvittava dokumentaatio vastaamaan uuden sääntelyn mukaisia toimintamalleja. Esityksessä ei ehdoteta muutoksia myöskään voimassa olevaan asiakirjojen julkisuutta ja salassapitoa koskevaan sääntelyyn. 

4.2.4  Vaikutukset yksityiselämän ja henkilötietojen suojaan

Esityksessä ehdotetaan sääntelyä, jonka nojalla poliisin ja Maahanmuuttoviraston rekistereihin kerättyjä biometrisia tietoja voitaisiin käsitellä nykyistä laajemmin muuhun tarkoitukseen kuin siihen, johon tiedot on alun perin kerätty. Biometriset tiedot kuuluvat yleisessä tietosuoja-asetuksessa ja rikosasioiden tietosuojalaissa tarkoitettuihin erityisiin henkilötietoryhmiin, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta. Erityisten henkilötietoryhmien käsittelyyn liittyviä tietosuojalainsäädännön vaatimuksia ja perustuslakivaliokunnan lausuntokäytäntöä käsitellään tarkemmin nykytilan arvioinnin yhteydessä (jakso 2.1.1 ja 2.1.2) sekä jäljempänä esityksen suhdetta perustuslakiin koskevassa osiossa (jakso 11).  

Esitetyt säännökset mahdollistaisivat lähes kaikkien Suomen kansalaisten ja Suomessa ulkomaalaislain nojalla rekisteröityjen ulkomaalaisten biometristen tietojen käyttämisen vertailuaineistona tilanteissa, joissa uusien säännösten edellytykset täyttyisivät. Ehdotetut muutokset koskevat ensinnäkin Suomen kansalaisia, joille on myönnetty passi tai henkilökortti. Henkilökortteja myönnetään myös ulkomaalaiselle, jolla on voimassa oleva oleskelulupa tai oleskelukortti taikka rekisteröity oleskeluoikeus. Esitys koskee myös ulkomaalaisia, joiden biometriset tiedot kerätään ulkomaalaislain nojalla Maahanmuuttoviraston tai poliisin rekisteriin. Tämä tarkoittaa oleskeluluvan ja oleskelulupakortin hakijoita sekä unionin kansalaisen perheenjäsenen oleskelukortin hakijoita sekä ulkomaalaislain 131 §:ssä tarkoitettuja henkilöryhmiä kuten turvapaikanhakijoita sekä ulkomaalaisia, jotka on päätetty käännyttää tai maasta karkottaa ja ulkomaalaisia, joiden henkilöllisyys on epäselvä.  

Passirekisterissä ja henkilökorttirekisterissä on yhteensä noin neljän miljoonan henkilön sormenjäljet ja lähes viiden miljoonan henkilön kasvokuva. Ulkomaalaislain 131 §:n nojalla rekisteröityjä henkilöitä on poliisilta saadun tiedon mukaan noin 79 000 (Poliisin tulostietojärjestelmä Polstat). Maahanmuuttovirastolta saadun tiedon mukaan ulkomaalaislain 60 d §:n voimaantulosta huhtikuusta 2018 lähtien pykälän nojalla on kerätty biometriset tunnisteet noin 260 000 henkilöltä. Vuodesta 2012 lähtien, josta asti biometrisiä tietoja on kerätty oleskelulupakortteja varten, biometriset tiedot on kerätty yhteensä noin 457 000 henkilöltä. Vuonna 2024 biometriset tunnisteet kerättiin yli 50 000 henkilöltä. Luvut sisältävät henkilöt, joilta oleskelulupaa tai unionin kansalaisen perheenjäsenen oleskelukorttia varten on kerätty jokin biometrinen tunniste, joka voi olla mikä tahansa yhdistelmä kasvokuvasta, allekirjoituksesta ja sormenjäljistä. Kaikille, joilta biometriset tiedot on kerätty, ei lopulta ole myönnetty oleskelulupaa, jolloin tiedot eivät ole päätyneet oleskelulupa- tai oleskelukortille. 

Esityksen mukaan passirekisteriin ja henkilökorttirekisteriin sekä poliisin ja Maahanmuuttoviraston rekistereihin talletettuihin biometrisiin tietoihin voitaisiin tehdä vertailuja muun muassa eräiden vakavien rikosten estämiseksi, paljastamiseksi ja selvittämiseksi sekä merkittävän vaaran estämiseksi. Rekisterien nykyistä tietosisältöä ei ehdoteta laajennettavaksi. Erityisesti sormenjälkitietojen osalta on myös huomattava, että vertailut tulisivat käytännössä kyseeseen erittäin harvoissa tapauksissa. Poliisihallitus on vuonna 2024 selvittänyt eräiden rikosnimikkeiden osalta, miten monissa selvittämättömissä tapauksissa olisi käytettävissä tunnistamattomia sormenjälkiä (liikennetuhotyö, murha, murhan yritys, raiskaus, tapon yritys, tappo, terveyden vaarantaminen, tuhotyö, törkeä huumausainerikos, törkeä kiristys, törkeä pahoinpitely, törkeä ryöstö, törkeä vapaudenriisto). Näihin rikosnimikkeisiin liittyvistä yhteensä 8118 rikosilmoituksesta ainoastaan 70 ilmoituksen yhteydessä on taltioitu sellaisia tunnistamattomia sormenjälkiä, jotka voisivat olla tunnistettavissa. Tämä tarkoittaa, että vertailuja passirekisterin ja henkilökorttirekisterin sormenjälkiin olisi ehdotetun sääntelyn nojalla voitu esimerkiksi vuonna 2024 selvittämättä olleissa rikoksissa näiden rikosnimikkeiden osalta tehdä ainoastaan 70 kertaa.  

Esityksen piiriin kuuluvien ja lukumäärällisesti yleisimpien rikosten ilmoitettuja määriä voidaan tarkastella poliisin tilastoista. Alla olevaan tilastoon on sisällytetty 25 yleisimmän hankkeen piiriin kuuluvan rikoksen ilmoitusmäärät vuosilta 2020–2025. Tilastojen mukaan suurimmat lukumäärät liittyvät törkeisiin huumausainerikoksiin, raiskauksiin ja törkeisiin pahoinpitelyihin. (Lähde: Polstat 03/2025.) 

Esityksessä ehdotettu biometristen tietojen käsittely rikosten selvittämiseksi tulisi näidenkin rikosten osalta kyseeseen lähinnä tapauksissa, joissa lakiehdotuksen piiriin kuuluvan rikoksen tutkinta on jouduttu keskeyttämään. Tutkinta saatetaan joutua keskeyttämään, mikäli käytössä olevien tutkintatoimenpiteiden avulla ei ole saatavilla lisätietoa. Poliisin lausunnossa esitetyn selvityksen mukaan lakiesityksen piiriin kuuluvia rikostutkintoja oli helmikuussa 2025 keskeytettynä ilman tietoa rikoksesta epäillystä 7372 kpl. Suurimmat tapausmäärät liittyvät raiskausten (2499 kpl), törkeiden huumausainerikosten (1705 kpl) ja törkeiden pahoinpitelyjen (1624 kpl) tutkintoihin. Näiden kolmen rikosnimikkeen osuus kokonaismäärästä on siis lähes 80 %. Neljänneksi eniten keskeytettyinä oli törkeitä ryöstöjä (552 kpl). Tappoja tai murhia oli keskeytettynä tarkasteluhetkellä 136 kpl, tappojen tai murhien yrityksiä 267 kpl. Tilastojen perusteella pimeäksi jäävien rikosten määrät ja kyseisten rikosten ilmoitusmäärät korreloivat keskenään.  

Edellytyksenä vertailulle olisi myös kaikissa näissä tapauksissa se, että käytettävissä olisi vertailuun soveltuvaa, tunnistamatonta kuvamateriaalia tai sormenjälkiä. Tämän lisäksi kuvien tai sormenjälkien tulisi olla laadultaan vertailuun kelpaavia. Keskusrikospoliisin alustavan arvion mukaan sormenjälkiä voitaisiin vertailla noin 250 tapauksessa vuositasolla. Kasvokuvien osalta vastaavia tilastoja ei ole saatavissa, mutta kasvokuvavertailuiden arvioidaan olevan käyttökelpoisia useammissa tapauksissa kuin sormenjälkivertailuiden.  

Lupahallinnossa passirekisterin ja henkilökorttirekisterin biometrisia tietoja käsitellään jokaisen asiakirjahakemuksen yhteydessä. Myönnettyjen passien ja henkilökorttien määrät ovat vuosien 2020–2024 välillä vaihdelleet vuosittain noin 700 000 asiakirjasta noin 1 400 000 asiakirjaan. Hakemusten käsittelyn yhteydessä asiakirjan hakijan biometrisia tunnisteita verrataan hakijan aiemmin talletettuihin kasvokuviin ja sormenjälkitietoihin. Teknisen toteutuksen valmistuttua sekä hakijan kasvokuvaa että sormenjälkiä on tarkoitus verrata jo nykyisen lainsäädännön mahdollistamalla tavalla myös laajemmin kaikkiin passirekisteriin ja henkilökorttirekisteriin aiemmin talletettuihin tietoihin asiakirjan hakijan tunnistamiseksi. Kaikkia passirekisterin ja henkilökorttirekisterin kasvokuvia ja sormenjälkitietoja käytetään siten vertailujen tekemiseksi lupahallinnollisessa tarkoituksessa noin 700 000–1 400 000 kertaa vuodessa. Ehdotettu tietojen käsittely rikosten estämiseksi, paljastamiseksi tai selvittämiseksi olisi huomattavasti vähäisempää kuin tietojen käyttö lupahallinnossa. Rikosten selvittämiseksi tehtävien vertailujen ei näin ollen voida katsoa johtavan siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuisi rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. esim. PeVL 15/2018 vp).  

Tutkimuksissa on havaittu, että sormenjälkitunnistamiseen kehitetty teknologia on varsin kehittynyttä ja johtaa tulosten korkeaan tarkkuuteen. Hyväksymisaste, joka kuvaa sitä, kuinka usein järjestelmä tunnistaa henkilön oikein, on sormenjälkien osalta erään tutkimuksen mukaan ollut 99,4 % ja kasvokuvien osalta 96–99 %. Tuloksiin vaikuttavat kuitenkin esimerkiksi sormenpäiden ihon kunto ja kasvokuvien osalta mm. valaistus. Jain, Anil K. – Nandakumar, Karthik – Ross, Arun, 50 years of biometric research: Accomplishments, challenges, and opportunities. Pattern Recognition Letters, Volume 79, 2016, s. 80–105. Tutkimuksissa on myös nostettu esiin, että useiden kasvontunnistusjärjestelmien luotettavuus on edelleen melko alhaisella tasolla. Regulating facial recognition in the EU. European Parliamentary Research Service (https://www.europarl.europa.eu/RegData/etudes/IDAN/2021/698021/EPRS_IDA(2021)698021_EN.pdf). Myös sisäministeriön vuonna 2022 hallintovaliokunnalle antamassa selvityksessä (O 42/2022 vp) nostettiin esiin, että kasvojen automaattiseen tunnistamiseen käytetyn teknologian avulla ei päästä samaan tunnistustarkkuuteen kuin sormenjälkitietojen avulla. Teknologian käyttöedellytyksien arvioinnin kannalta merkittävää on myös se, että kasvojentunnistusjärjestelmien käyttöön on tunnistettu liittyvän perusoikeuksia mahdollisesti heikentäviä riskejä sekä yksityisyyden että syrjimättömyyden näkökulmasta. Kasvojentunnistusalgoritmit voivat esimerkiksi tuottaa systemaattisesti epätarkempia ennusteita tietyille väestöryhmille. Toisaalta parhaat kasvontunnistusalgoritmit ovat erittäin luotettavia ja tuottavat lähes identtisiä tuloksia eri väestöryhmien osalta. National Institute of Standards and Technology, Face Recognition Vendor Test (FRVT) Part 3: Demographic Effects (https://nvlpubs.nist.gov/nistpubs/ir/2019/NIST.IR.8280.pdf) 

Poliisi käyttää jo nykyisin koneellista kasvokuvien vertailua, jossa voidaan käyttää vertailuaineistona rikosperusteisesti rekisteröityjä kasvokuvia sekä poliisin henkilötietolain 15 §:n sallimissa rajoissa myös ulkomaalaislain 131 §:ssä tarkoitettuja tietoja. Koneellinen kasvontunnistus perustuu ihmisen kasvokuvasta järjestelmän avulla luotuun biometriseen malliin, jolle etsitään vastaavuuksia viranomaisten käytössä olevalta kasvokuvavertailupalvelimelta. Poliisin järjestelmän käytössä on huomioitu, että järjestelmästä saadut tulokset eli kuvan avulla esiin seulotetut ehdokkaat ovat aina suuntaa antavia, eikä vertailutulosta sellaisenaan voida pitää henkilöllisyyden täydellä varmuudella osoittavana tunnistuksena. Ihmisen kasvonpiirteet muuttuvat vuosien aikana huomattavasti esimerkiksi ikääntymisen, painon vaihtelun, kirurgisten toimenpiteiden tai hiustyylin muuttumisen takia, mikä on huomioitava tunnistusta tehtäessä. 

Algoritmi tunnistaa parhaiten kuvassa kameraa kohtisuoraan olevan henkilön kasvot, jonka perusteella järjestelmä hakee vastaavuuksia kasvokuvavertailupalvelimelta. Vastauksena poliisin käytössä oleva kasvontunnistusjärjestelmä tuo kasvojentunnistusta tekevälle virkamiehelle listauksen matemaattisesti eniten vertailukuvan kanssa yhdennäköisistä henkilöistä. Suuntaa antavien vastausten avulla henkilöiden määrää pystytään rajaamaan. Tämän jälkeen tunnistuksen suorittava henkilö vertaa jäljelle jääneitä kuvia lähdekuvaan ja mahdollisesti muihin tunnistettavasta henkilöstä saatavilla oleviin kuviin aiheeseen saamansa koulutuksen mukaisesti. Vastaavaa menettelyä sovellettaisiin myös esityksessä ehdotettuun biometristen tietojen käsittelyyn.  

Uusista käsittelytarkoituksista henkilötietojen suojalle aiheutuvia riskejä vähennettäisiin säätämällä täsmällisesti ja yksityiskohtaisesti käsittelyn edellytyksistä ja käsittelyyn sovellettavasta menettelystä. Ehdotetut vertailut hengelle, terveydelle tai vapaudelle aiheutuvan merkittävän vaaran estämiseksi sekä rikoksen estämiseksi, paljastamiseksi ja selvittämiseksi edellyttäisivät pidättämiseen oikeutetun virkamiehen päätöstä. Mahdollisuus tietojen käyttöön rikostorjunnassa rajattaisiin sellaisiin säännöksissä yksilöityihin rikoksiin, joiden tehokkaan estämisen, paljastamisen ja selvittämisen voidaan arvioida olevan erityisen tärkeää sekä yksilöiden että yhteiskunnan turvallisuuden kannalta. Ennen vertailun suorittamista tulisi säännösten mukaan myös aina varmistaa, ettei henkilöä ole mahdollista tunnistaa poliisin tutkinta- ja valvontatehtäviä varten tai rikosten ennalta estämistä ja paljastamista varten käsiteltävien tietojen, kuten ns. rikosperusteisten tuntomerkkitietojen avulla. Vertailuja saisi suorittaa vain erikseen nimetty, asianmukaisen koulutuksen saanut keskusrikospoliisin palveluksessa oleva virkamies. Muilla poliisin yksiköillä ja tietojen saantiin oikeutetuilla viranomaisilla ei olisi oikeutta saada pääsyä passirekisteriin, henkilökorttirekisteriin tai ulkomaalaislain nojalla kerättyihin biometrisiin tietoihin automatisoitujen vertailujen tekemiseksi lukuun ottamatta tunnistamattomaksi jääneen uhrin tunnistusta ja kasvokuvien vertailua henkilön alustavaksi tunnistamiseksi. Laissa säädettäisiin lisäksi edellytyksistä, joilla poliisi saisi käsitellä vertailun tuloksia sekä tarkoituksista, joihin vertailujen tuloksia voitaisiin luovuttaa muille turvallisuusviranomaisille.  

Ulkomaalaislain 131 §:n nojalla poliisin rekisteriin talletettujen biometristen tietojen käyttäminen ja luovuttaminen eräiden valtion turvallisuuteen kiinteästi kytkeytyvien rikosten ennalta estämiseksi, paljastamiseksi ja selvittämiseksi olisi edelleen mahdollista nykyistä sääntelyä vastaavin edellytyksin. Myöskään ulkomaalaislain nojalla poliisin ja Maahanmuuttoviraston rekistereihin kerättyjen biometristen tietojen käyttöön valtion turvallisuuden suojaamiseksi ei ehdoteta muutoksia. Esityksessä mahdollistettaisiin sen sijaan vertailujen tekeminen myös passirekisteriin ja henkilökorttirekisteriin kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta sekä maanpuolustuksen suojaamiseksi. Näiden käyttötarkoitusten osalta vertailuja voisivat suorittaa suojelupoliisi ja sotilastiedusteluviranomainen, jotta voitaisiin varmistaa vertailuaineistona käytettyjen biometristen tietojen käsittely niiden korkean tietoturvallisuusluokituksen edellyttämällä tavalla. 

Yleisen tietosuoja-asetuksen 35 artiklassa ja rikosasioiden tietosuojalain 20 §:ssä säädetään rekisterinpitäjälle velvoite tehdä tietosuojaa koskeva vaikutustenarviointi silloin, kun henkilötietojen käsittely aiheuttaa todennäköisesti korkean, tai rikosasioiden tietosuojalain osalta merkittävän, riskin ihmisten oikeuksille ja vapauksille. Poliisin olisi toteutettava ennen käsittelyn aloittamista vaikutustenarviointi tietosuojan yleislainsäädännön edellytysten mukaisesti. Yleisessä tietosuoja-asetuksessa ja tietosuojalaissa on lisäksi yksityiskohtaiset säännökset myös muista rekisterinpitäjän velvollisuuksista sekä rekisteröidyn oikeuksista, tietoturvallisuudesta, henkilötietojen käsittelyn valvonnasta ja lainvastaisen henkilötietojen käsittelyn seuraamuksista. Vastaavasti rikosasioiden tietosuojalaissa säädetään muun muassa rekisteröidyn oikeuksista, tietoturvallisuudesta, valvontaviranomaisesta ja oikeusturvasta, vahingonkorvauksesta, rangaistuksista ja vaitiolovelvollisuudesta. Esityksessä ei ehdoteta muutoksia voimassa olevaan jaksossa 2 kuvattuun rekisteröidyn oikeuksia ja oikeussuojakeinoja koskevaan sääntelyyn, joka turvaa henkilötietojen suojan toteutumista. Luovutettaessa tietoja Schengenin tietojärjestelmään on noudatettava myös suoraan sovellettavien SIS-asetusten säännöksiä tietojen luovuttamisen edellytyksistä ja henkilötietojen suojasta.  

Automaattinen kasvokuvavertailu ja sormenjälkien vertailu ovat edellä todetusti aina suuntaa antavia, eikä yksinomaan automaattisen vertailun perusteella voida toteuttaa henkilön perusoikeuksiin vaikuttavia toimenpiteitä. Automaattisen vertailun tulokset on pyrittävä varmistamaan myös muilla käytettävissä olevilla keinoilla. Lopullisen päätöksen henkilön tunnistamisesta tekee aina luonnollinen henkilö eli virkamies, joka päättää myös asiasta seuraavat jatkotoimenpiteet. Esityksessä ei ehdoteta sääntelyä, joka mahdollistaisi yleisen tietosuoja-asetuksen 22 artiklassa ja rikosasioiden tietosuojalain 13 §:ssä tarkoitettujen automatisoitujen yksittäispäätösten tekemisen. 

Poliisi voisi käyttää esityksessä tarkoitettuja biometrisia tietoja vertailuaineistona EU:n tekoälyasetuksessa tarkoitetussa jälkikäteisessä biometrisessa etätunnistamisessa (ks. jakso 2.1.3). Tässä esityksessä ehdotetaan muutoksia ainoastaan poliisin ja Maahanmuuttoviraston rekisterissä olevien biometristen tietojen käsittelytarkoituksiin. Biometrisessa etätunnistamisessa olisi aina noudatettava suoraan sovellettavassa tekoälyasetuksessa tunnistamiselle asetettuja reunaehtoja sekä tekoälyasetusta jatkossa täydentävää kansallista sääntelyä, jota valmistellaan erillisessä hankkeessa.  

4.2.5  Muut yhteiskunnalliset vaikutukset

5.1.1  Biometristen tietojen käsittely EU:n yhteisiä tietojärjestelmiä vastaavassa laajuudessa

Esityksen valmistelussa on arvioitu mahdollisuutta säätää lainvalvontaviranomaisille oikeus käsitellä passirekisterin ja henkilökorttirekisterin biometrisia tietoja sekä ulkomaalaislain nojalla poliisin ja Maahanmuuttoviraston rekisteriin kerättäviä biometrisia tietoja ehdotettua laajemmin vakavien rikosten estämiseksi, paljastamiseksi tai selvittämiseksi. Useissa Euroopan unionin yhteisiä tietojärjestelmiä koskevissa säädöksissä sallitaan järjestelmiin lainvalvontatarkoituksessa tehtävät haut terrorismirikosten ja muiden vakavien rikosten torjumiseksi, havaitsemiseksi ja tutkimiseksi. Esimerkiksi EES-asetuksen (EU) 2017/2226 Euroopan parlamentin ja neuvoston asetus (EU) 2017/2226, annettu 30 päivänä marraskuuta 2017, rajanylitystietojärjestelmän (EES) perustamisesta jäsenvaltioiden ulkorajat ylittävien kolmansien maiden kansalaisten maahantuloa, maastalähtöä ja pääsyn epäämistä koskevien tietojen rekisteröimiseksi ja edellytysten määrittämisestä pääsylle EES:n tietoihin lainvalvontatarkoituksissa sekä Schengenin sopimuksen soveltamisesta tehdyn yleissopimuksen ja asetusten (EY) N:o 767/2008 ja (EU) N:o 1077/2011 muuttamisesta. 3 artiklan 1 kohdan 24 alakohdan mukaan terrorismirikoksella tarkoitetaan rikosta, joka kansallisessa oikeudessa määritellään rikokseksi ja joka on jokin terrorismin torjumisesta sekä neuvoston puitepäätöksen 2002/475/YOS korvaamisesta sekä neuvoston päätöksen 2005/671/YOS muuttamisesta annetussa Euroopan parlamentin ja neuvoston direktiivissä (EU) 2017/541 tarkoitetuista rikoksista tai niitä vastaava rikos. Vakavalla rikoksella tarkoitetaan EES-asetuksen 3 artiklan 1 kohdan 25 alakohdan mukaan rikosta, joka on jokin eurooppalaisesta pidätysmääräyksestä ja jäsenvaltioiden välisistä luovuttamismenettelyistä tehdyn neuvoston puitepäätöksen 2002/584/YOS 2 artiklan 2 kohdassa tarkoitetuista rikoksista tai niitä vastaava rikos, jos siitä voi seurata kansallisen oikeuden mukaan vapaudenmenetyksen käsittävä rangaistus tai turvaamistoimenpide, jonka enimmäiskesto on vähintään kolme vuotta.  

Viranomaiset voivat tietyin EES-asetuksessa säädetyin edellytyksin päästä katsomaan EES-järjestelmän tietoja, jos se on tarpeen ja oikeasuhtaista tietyssä yksittäistapauksessa ja jos on todisteita tai perusteltu syy katsoa, että EES-järjestelmän tietojen katsominen voi myötävaikuttaa jonkin terrorismirikoksen tai vakavan rikoksen torjumiseen, havaitsemiseen tai tutkimiseen. EES-asetusta täydentävässä poliisin henkilötietolain sääntelyssä viitataan vakavien rikosten osalta sellaisiin rikoksen johdosta tapahtuvasta luovuttamisesta Suomen ja muiden Euroopan unionin jäsenvaltioiden välillä annetun lain (1286/2003, EU-luovuttamislaki ) 3 §:n 2 momentissa tarkoitettuihin rikoksiin, joista säädetty ankarin rangaistus on vähintään kolme vuotta vankeutta.  

Muun muassa sisäministeriön hallintovaliokunnalle vuonna 2022 antamaa selvitystä (O 42/2022 vp) varten kerätyssä lausuntopalautteessa tuotiin yhtenä vaihtoehtona esiin, että biometristen tietojen käyttö rikostorjuntatarkoituksissa voisi olla perusteltua rajata terrorismirikoksiin ja vakaviin rikoksiin vastaavasti kuin EU:n yhteisissä tietojärjestelmissä. Ehdotusta voitaisiin pitää perusteltuna erityisesti ulkomaalaislain 131 §:n nojalla kerättävien biometristen tietojen osalta, koska tiedot vastaavat pitkälti Eurodac-järjestelmään kerättäviä tietoja. EES-asetusta vastaavat terrorismirikosten ja vakavien rikosten määritelmät on otettu myös uuteen Eurodac-asetukseen (EU) 2024/1358. Euroopan parlamentin ja neuvoston asetus (EU) 2024/1358, annettu 14 päivänä toukokuuta 2024, Eurodac-järjestelmän perustamisesta biometristen tietojen vertailua varten Euroopan parlamentin ja neuvoston asetusten (EU) 2024/1351 ja (EU) 2024/1350 ja neuvoston direktiivin 2001/55/EY tehokkaaksi soveltamiseksi ja laittomasti oleskelevien kolmansien maiden kansalaisten ja kansalaisuudettomien henkilöiden tunnistamiseksi sekä jäsenvaltioiden lainvalvontaviranomaisten ja Europolin esittämistä, Eurodac-tietoihin lainvalvontatarkoituksia varten tehtäviä vertailuja koskevista pyynnöistä ja Euroopan parlamentin ja neuvoston asetusten (EU) 2018/1240 ja (EU) 2019/818 muuttamisesta ja Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 603/2013 kumoamisesta. Esityksessä tarkoitettujen biometristen tietojen käyttämistä kaikkien sellaisten EU-luovuttamislaissa tarkoitettujen rikosten torjunnassa, joista voi seurata kolmen vuoden vankeusrangaistus, ei kuitenkaan valmistelussa tehdyn arvion mukaan voida pitää välttämättömänä ja oikeasuhtaisena (ks. myös PeVL 51/2018 vp). Tietojen käyttö rikostorjuntatarkoituksessa ehdotetaan sen sijaan rajattavaksi säännöskohtaisissa perusteluissa tarkemmin kuvatusti rikoksiin, joista laissa säädetty ankarin rangaistus on vähintään 6 vuotta vankeutta. Lisäksi käyttö sallittaisiin eräisiin säännöksissä yksilöityihin lievempiin rikoksiin, joiden estämiseen, paljastamiseen ja selvittämiseen arvioidaan liittyvän painava yhteiskunnallinen intressi.  

Ehdotetulla rajauksella ei ole vaikutusta edellytyksiin, joilla EU:n yhteisten tietojärjestelmien tietoja voidaan käyttää lainvalvontatarkoituksessa. Tältä osin kyse on suoraan sovellettavasta EU-oikeudesta, jota ei voida EU:n yhteisiä tietojärjestelmiä koskevan kansallisen liikkumavaran puitteissa rajoittaa kansallisella lainsäädännöllä.  

5.1.2  Päätöksentekomenettely

Sisäministeriön selvityksessä (O 42/2022 vp) arvioitiin mahdollisia päätöksentekotasoon ja menettelyyn liittyviä rajauksia, joiden avulla voitaisiin vähentää biometristen tietojen rikostorjuntakäyttöön liittyviä riskejä. Yhtenä vaihtoehtona selvitystä varten kerätyssä lausuntopalautteessa nostettiin esiin tuomioistuimessa tapahtuva päätöksenteko. Selvityksessä todettiin, että päätöksentekoa rekisteritietojen käyttämisestä rikostorjunnassa voisi olla perusteltua tarkastella suhteessa päätöksentekoon salaisten pakkokeinojen ja salaisten tiedonhankintakeinojen käytöstä. Esityksen valmistelussa on käsitelty myös mahdollisuutta osoittaa tietojen rikostorjuntakäytöstä päättäminen rekisterinpitäjän vastuulle, koska kyse on nimenomaan henkilötietojen käsittelyyn liittyvästä päätöksenteosta. 

Valmistelussa on päädytty esittämään kaksivaiheista menettelyä, jossa vertailujen tekeminen uhrin tunnistamiseksi, vaaran estämiseksi sekä rikoksen estämiseksi, paljastamiseksi ja selvittämiseksi edellyttäisi pidättämiseen oikeutetun poliisimiehen kirjallista päätöstä. Vertailut toteutettaisi aina erikseen nimetty, asianmukaisen koulutuksen saanut keskusrikospoliisin palveluksessa oleva virkamies lukuun ottamatta uhrin tunnistamista ja kasvokuvien vertailua henkilön alustavaksi tunnistamiseksi. Tietojen luovuttaminen muille lainvalvontaviranomaisille edellyttäisi Rajavartiolaitoksen tai Tullin palveluksessa olevan pidättämiseen oikeutetun virkamiehen ja Puolustusvoimien osalta pidättämiseen oikeutetulle virkamiehelle säädettyjä toimivaltuuksia käyttävän Puolustusvoimien Pääesikunnan rikostorjuntatehtävään määrätyn virkamiehen taikka Pääesikunnan sotilaallisen maanpuolustuksen alalla Suomeen kohdistuvaan tiedustelutoimintaan ja sotilaallisen maanpuolustuksen tarkoitusta vaarantavaan toimintaan liittyvien rikosten rikostorjuntatehtävään määrätyn salaisten tiedonhankintakeinojen käyttöön erityisesti perehtyneen sotilaslakimiehen tai muu virkamiehen kirjallisesti tekemää päätöstä tietojen pyytämisestä. Tietojen käyttämisestä kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta tai maanpuolustuksen suojaamiseksi päättäisi suojelupoliisin päällystöön kuuluva poliisimies taikka tiedustelumenetelmien käyttöön erityisesti perehtynyt sotilaslakimies tai muu virkamies. Suojelupoliisi ja sotilasviranomainen vastaisivat näissä tapauksissa myös vertailujen toteuttamisesta tietojen korkean tietoturvallisuusluokituksen edellyttämällä tavalla.  

Valitulla menettelyllä vastuu päätöksenteosta voidaan osoittaa taholle, joka voi tosiasiassa parhaiten varmistaa rikostorjuntatarkoituksessa tehtävän vertailun välttämättömyyden. Rekisterinpitäjä vastaa lisäksi kaikesta henkilötietojen käsittelystä tietosuojan yleislainsäädännön mukaisesti. Vaikka vastaavien tietojen käyttö rikostorjunnassa edellyttää monissa valtioissa tuomioistuimen tai syyttäjän päätöstä, esimerkiksi Ruotsin kesäkuussa 2023 valmistuneessa mietinnössä ( SOU 2023:32 , Biometri – för en effektivare brottsbekämpning ) on arvioitu, ettei passirekisterin tietojen vertailulta olisi perusteltua edellyttää tuomioistuimessa tapahtuvaa päätöksentekoa. Rekisterivertailussa ei mietinnön mukaan ole kyse salaisesta pakkokeinosta, joissa päätöksenteko usein on katsottu asianmukaisesti asettaa tuomioistuimelle.  

Myös Suomessa pakkokeinoja koskeva päätöksenteko on suurelta osin säädetty tuomioistuinten tehtäväksi, joskin pidättämisen lisäksi myös eräitä muita pakkokeinoja voidaan käyttää pidättämiseen oikeutetun virkamiehen päätöksellä ja joistain pakkokeinoista päättää keskusrikospoliisin tai poliisilaitoksen päällikkö taikka tehtävään määrätty salaiseen tiedonhankintaan erityisesti koulutettu pidättämiseen oikeutettu virkamies. Esityksessä ei kuitenkaan ole kyse pakkokeinoja koskevasta sääntelystä lukuun ottamatta ehdotettua poliisilain 2 luvun 1 §:n muutosta, vaan ehdotetut säännökset koskevat viranomaisen rekisteriin talletettujen henkilötietojen käsittelyedellytyksiä. Henkilötietojen käsittelyä koskevassa lainsäädännössä on omat, pakkokeinolain systematiikasta poikkeavat oikeusturvakeinonsa, joita on kuvattu edellä jaksossa 2 (Nykytila ja sen arviointi) sekä jäljempänä jaksossa 11.5 (Oikeusturva). Valmistelussa ei ole tunnistettu tilanteita, joissa voimassa olevassa kansallisessa lainsäädännössä edellytettäisiin tuomioistuimen ennakollista tai jälkikäteistä lupaa viranomaisen rekisterissä olevien henkilötietojen käsittelylle. Esityksessä ei ole arvioitu tarkoituksenmukaiseksi poiketa henkilötietojen käsittelyä koskevan lainsäädännön yleisestä systematiikasta ja esittää oikeusturvakeinoja, jotka poikkeaisivat muusta kansallisesta henkilötietojen käsittelyä koskevasta lainsäädännöstä. Myöskään EU-oikeuden ei ole arvioitu edellyttävän tuomioistuimen lupaa ehdotetussa biometristen tietojen käsittelyssä henkilön tunnistamiseksi tai henkilöllisyyden todentamiseksi, koska kyseisten tietojen avulla ei voida tehdä yksityiskohtaisia päätelmiä henkilön yksityiselämästä.  

Sekä tuomioistuinten että toimivaltaisten viranomaisten resurssien kannalta merkittävää on myös, että päätöksenteon osoittaminen tuomioistuimille tarkoittaisi EU:n tekoälyasetuksen mukaisen biometrisen etätunnistamisen osalta usein kaksinkertaista ennakkolupamenettelyä. Jälkikäteiseen biometriseen etätunnistamiseen tarkoitetun järjestelmän käyttöönottoon on tekoälyasetuksen mukaan pyydettävä eräitä poikkeuksia lukuun ottamatta lupa oikeusviranomaiselta tai hallintoviranomaiselta, jonka päätös on sitova ja johon sovelletaan tuomioistuinvalvontaa. Lupaa olisi siten pyydettävä samassa asiassa erikseen sekä rekisteritiedon käyttöön että jälkikäteisen etätunnistusjärjestelmän käyttöönottoon (ks. myös jakso 11.5 Oikeusturva). 

5.2.1  Passin ja henkilökortin biometristen tietojen tallentaminen ja käyttö rikostorjunnassa

Sisäministeriön vuonna 2022 eduskunnan hallintovaliokunnalle antamaa selvitystä varten toteutettiin Poliisihallituksen avulla kysely passin ja henkilökortin biometristen tietojen tallentamisesta ja käyttämisestä rikostorjuntaan EU-jäsenvaltioissa ja eräissä muissa Euroopan valtioissa. Vertailukelpoinen vastaus saatiin sormenjälkien osalta 25 valtiolta ja valokuvien osalta 23 valtiolta. Passin ja henkilökortin biometristen tietojen käyttöedellytykset vaihtelevat selvityksen mukaan eri valtioissa sekä tietojen kansallisen tallentamisen että rikostorjuntakäytön mahdollisuuksien osalta. Eräissä valtioissa kaikki biometriset tiedot tallennetaan tietokantaan ja ne ovat käytettävissä ilman erityisiä rajoituksia, kun taas osassa valtioista tietoja ei tallenneta lainkaan muualle kuin asiakirjan tekniseen osaan tai niiden rikostorjuntakäyttö on kielletty kaikissa tapauksissa.  

Rekisteriin tallennettujen passin tai henkilökortin kasvokuvien käyttö on eräin edellytyksin sallittua Bulgariassa, Irlannissa, Italiassa, Itävallassa, Kroatiassa, Latviassa, Liettuassa, Norjassa, Ranskassa, Romaniassa, Saksassa ja Unkarissa. Rekisteriin tallennettujen passin tai henkilökortin sormenjälkitietojen käyttö rikostorjunnassa on eräin edellytyksin sallittua Itävallassa, Kroatiassa, Latviassa, Liettuassa, Ranskassa, Unkarissa ja Virossa. Kyselyyn vastanneista valtioista Latvia, Liettua ja Kroatia eivät vastauksissaan tuoneet esiin tietojen rikostorjuntakäyttöön liittyviä rajoituksia. Muissa valtioissa biometristen tietojen käyttöä on vastausten perusteella rajoitettu esimerkiksi rajaamalla käyttöä rikoksen vakavuusasteen perusteella tai edellyttämällä tuomioistuimen tai syyttäjän päätöstä. Sormenjälkien käyttöä on useissa valtioissa rajoitettu tiukemmin kuin kasvokuvien käyttöä.  

Kyselyssä ei selvitetty, tallennetaanko biometriset tiedot kansalliseen rekisteriin ns. hakukelpoisessa muodossa, joka mahdollistaa automaattisen vertailun tietokantaan tallennettuihin sormenjälkiin tai kasvokuviin. Esimerkiksi hakujen tekeminen rikospaikalta löytyneillä sormenjälkitiedoilla tai automaattinen kasvokuvavertailu passi- tai henkilökorttivalokuviin ei ole mahdollista kaikissa niissä valtioissa, joissa kansallinen lainsäädäntö sallii sormenjälkien tai kasvokuvien käyttämisen rikostorjuntatarkoituksissa. Selvitys on saatavissa hankkeen verkkosivulta tunnuksella SM005:00/2022 .  

Viron lainsäädäntöä on muutettu sisäministeriön vuoden 2022 selvityksen jälkeen siten, että sormenjälkitietojen lisäksi myös passia ja henkilökorttia varten otettuja kasvokuvia voidaan tietyin edellytyksin käyttää rikosten selvittämiseksi. Tietojen käyttämisestä säädetään rikosprosessilaissa ( kriminaalmenetluse seadustik ). Viron henkilöllisyystodistuslaissa ( isikut tõendavate dokumentide seadus ) säädetään muun muassa passeista ja henkilökorteista. Lain 15–4 ja 15–5 pykälissä säädetään ABIS-tietokantaan sisältyvien henkilötietojen käsittelystä. ABIS-tietokantaan tallennetaan biometrisia tietoja, muun muassa passien ja henkilökorttien biometriset tiedot. Tietojen käyttäminen on sallittua henkilön tunnistamiseksi ja henkilöllisyyden varmistamiseksi, jos siitä säädetään laissa. Vuoden 2023 lopussa voimaan tulleen lakiuudistuksen mukaan rikosprosessilain ( kriminaalmenetluse seadustik ) 99–2 §:n perusteella rikosoikeudellisessa menettelyssä määrätyn rikosteknisen tutkimuksen varmistamiseksi saadaan käyttää muun muassa sormenjälkitietoja ja kasvokuvia, jotka on kerätty ABIS-tietokantaan muussa kuin rikosoikeudellisessa tarkoituksessa. Edellytyksenä tietojen käyttämiselle on, että todisteita ei ole mahdollista kerätä muilla keinoilla tai se on huomattavan vaikeaa tai että se todennäköisesti vahingoittaa rikosprosessin etuja. Edellytyksenä on lisäksi, että kysymys on ensimmäisen asteen rikoksesta tai toisen asteen tahallisesta rikoksesta, josta säädetty ankarin rangaistus on vähintään kolme vuotta vankeutta. Tietojen käyttäminen edellyttää tuomioistuimen lupaa.  

Pohjoismaista Norjassa passin ja henkilökortin sormenjälkitietoja ei tallenneta rekisteriin. Passeihin ja henkilökortteihin tulevat kasvokuvat sen sijaan rekisteröidään. Tietojen käytöstä muuhun kuin alkuperäiseen käsittelytarkoitukseen säädetään passilaissa ( lov om pass ) ja henkilökorttilaissa ( lov om nasjonalt identitetskort ). Kasvokuvien käyttö rikostorjunnassa on sallittua passilain ( lov om pass ) 11 §:n ja henkilökorttilain ( lov om nasjonalt identitetskort) 12 §:n mukaan esimerkiksi pidätettyjen henkilöiden tunnistamiseksi sekä vakavien rikosten ennalta estämiseksi, paljastamiseksi ja selvittämiseksi tapauksissa, joissa rikoksesta voi seurata yli 6 kuukauden vankeusrangaistus. Tanskassa henkilökortin ja passin biometrisia tietoja ei sisäministeriön vuoden 2022 selvityksen mukaan tallenneta kansalliseen rekisteriin. Islannissa passivalokuvat ja passin sormenjälkitiedot rekisteröidään, mutta niitä ei saa käyttää rikostorjunnassa. Tietoja saa kuitenkin käyttää tunnistamattoman uhrin tunnistamiseksi. Islannissa ei rekisteröidä henkilökortin biometrisia tietoja.  

Ruotsissa sormenjälkitietoja ja biometrisia kasvokuvia ei voimassa olevan lainsäädännön mukaan tallenneta passirekisteriin tai henkilökorttirekisteriin. Kasvokuvat voidaan kuitenkin tallentaa rekisteriin ilman biometrisia tietoja. Ruotsin hallitus on 10.10.2024 antanut valtiopäiville esityksen biometriikan käytöstä rikostorjunnassa (Prop. 2024/25:37 , Biometri i brottsbekämpningen ). Esitys pohjautuu kesäkuussa 2023 valmistuneeseen mietintöön ( SOU 2023:32 ). Lakimuutokset on hyväksytty ja ne tulivat voimaan 1.7.2025.  

Ruotsin vuoden 2023 mietinnössä ei ehdotettu muutoksia henkilökorttirekisterin biometristen tietojen käyttöedellytyksiin, koska henkilökortteihin liittyvää lainsäädäntöä ollaan arviomassa erikseen (ks. SOU 2019:14 , Ett säkert statligt ID-kort –med e-legitimation ). Sen sijaan mietinnössä ehdotettiin passikuvien biometristen tietojen tallentamista passirekisteriin ja poliisille rajattua mahdollisuutta vertailla kasvokuvia automaattisesti tunnistamattomien epäiltyjen tietoihin. Vertailujen tekemiselle olisi mietinnön mukaan asetettava tiukat edellytykset ja mahdollisuus olisi rajoitettava ainoastaan eräiden vakavien rikosten tutkintaan. Vertailussa ei olisi sallittua käyttää alle 15-vuotiaiden rekisteröityjen tietoja. Valtiopäiville 10.10.2024 annettuun esitykseen ei kuitenkaan otettu ehdotusta passirekisterin biometristen tietojen käyttämisestä rikostorjunnassa. Hallitus jatkaa erikseen passirekisteriä koskevan ehdotuksen valmistelua (ks. Prop. 2024/25:37, s. 44).  

Ranskan asetuksessa passien ja henkilökorttien henkilötietojen käsittelystä ( décret no 2016-1460 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ) säädetään henkilötietojen käsittelyjärjestelmästä ( titres électroniques sécurisés ), johon passien ja henkilökorttien tiedot tallennetaan, sekä tietojen käsittelystä. Järjestelmään tallennetaan muun muassa kasvokuva ja sormenjälkien kuva. Laissa määritellyt poliisin ja santarmin virkamiehet voivat 4 artiklan mukaan käyttää tehtävissään kyseisiä muita tietoja paitsi sormenjälkien digitaalista kuvaa sisäisestä turvallisuudesta annetun lain ( code de la sécurité intèrieure ) L222-1 artiklan edellytyksin. Kyseisessä artiklassa säädetään poliisin ja santarmin tiedonsaannista kansakunnan perustavanlaatuisiin etuihin kohdistuvien hyökkäysten ja terroritekojen estämiseksi ja paljastamiseksi. Vuoden 2022 selvityksen perusteella tietoja ei käytännössä teknisistä syistä ole mahdollista käyttää henkilön tunnistamiseen.  

5.2.2  Ulkomaalaisten biometristen tietojen käyttäminen rikostorjunnassa ja SIS-kuulutuksissa

Euroopan muuttoliikeverkosto (EMN) toteutti vuonna 2024 biometristen tietojen käsittelyä koskevan kyselyn, jonka tuloksista julkaistiin 19.12.2024 tietokatsaus EMN inform: Processing the biometric data of third-country nationals (https://home-affairs.ec.europa.eu/system/files/2024-12/EMN_INFORM_Biometric-data.pdf) . Kyselyssä selvitettiin muun muassa, talletetaanko maahanmuuttohallinnon prosessien yhteydessä kerättäviä biometrisia tietoja EMN:n jäsenvaltioissa ja tarkkailijavaltioissa kansallisiin tietokantoihin ja saako kansallisiin tietokantoihin tallennettuja tietoja käyttää rikostorjunnassa tai kansallisen turvallisuuden suojaamiseksi. Vastaukset saatiin 27 valtiolta. Suurimmassa osassa vastanneista valtioista maahanmuuttohallinnon biometrisia tietoja saa määrätyin edellytyksin käyttää lainvalvontatarkoituksessa ja/tai kansallisen turvallisuuden suojaamiseksi (22 valtiota).  

Esimerkiksi Virossa maahanmuuttohallinnon prosessien yhteydessä kerättyjä ja kansalliseen rekisteriin tallennettuja biometrisia tietoja voidaan käyttää rikosten selvittämiseksi samoin kuin passin ja henkilökortin tietoja. Norjan ulkomaalaislain ( utlendingsloven ) mukaan maahanmuuttohallinnon rekisteriin tallennettuja kasvokuvia voidaan luovuttaa poliisille rajoitetusti esimerkiksi pidätettävien henkilöiden tunnistamiseksi, ulkomaalaislaissa säädettyjen rikkomusten estämiseksi sekä vakavien rikosten ennalta estämiseksi ja paljastamiseksi tapauksissa, joissa rikoksesta voi seurata yli 6 kuukauden vankeusrangaistus.  

Ruotsin hallituksen edellä mainitussa esityksessä biometriikan käytöstä rikostorjunnassa (Prop. 2024/25:37) ehdotetaan lainvalvontaviranomaisille oikeutta tehdä automaattista kasvokuva- ja sormenjälkivertailuja Ruotsin maahanmuuttoviraston ( Migrationsverket ) rekistereihin eräiden vakavien rikosten tutkinnassa. Ehdotus koskee sekä rekisteriin tallennettuja kasvokuvia että sormenjälkitietoja. Esitystä edeltäneen mietinnön (SOU 2023:32) mukaan automaattisia vertailuja tehdään jo nykyisin maahanmuuttoviraston yksittäistapauksissa tekeminen päätösten pohjalta. Hallitus näkee kuitenkin tarpeelliseksi täsmentää automaattivertailuja koskevia edellytyksiä lainsäädännön tasolla. Lakimuutokset on hyväksytty ja ne tulivat voimaan 1.7.2025.  

Ranskassa poliisi ja santarmi voivat käyttää sisäisestä turvallisuudesta annetun lain L222-1 artiklan perusteella kansakunnan perustavanlaatuisiin etuihin kohdistuvien hyökkäysten ja terroritekojen estämiseksi ja paljastamiseksi tietyin perustein maahan tulleista ulkomaalaisista tallennettuja sormenjälkiä ja kasvokuvia. Tarkemmat edellytykset käsiteltävistä tiedoista ja ulkomaalaisista henkilöistä, joita käsittely koskee, säädetään ulkomaalaislain ( code de l'entrée et du séjour des étrangers et du droit d'asile ) L142-1 ja -2 artikloissa.  

Euroopan muuttoliikeverkoston kyselyssä selvitettiin myös, luovuttavatko jäsenvaltiot biometrisiä tietoja SIS-järjestelmään tallennettaviin kuulutuksiin. Käytännöt vaihtelevat maittain ja kuulutustyypeittäin. Kyselyyn vastanneista 27 valtiosta 14 sallii kansalliseen rekisteriin tallennettujen maahanmuuttohallinnon biometristen tietojen käyttämisen SIS-maahantulokieltokuulutuksissa ja 15 valtiota sallii tietojen käyttämisen SIS-palauttamiskuulutuksissa. Eräissä valtioissa tietoja voidaan lisäksi käyttää myös SIS-poliisiyhteistyöasetuksessa tarkoitettuihin kuulutuksiin. Esimerkiksi Virossa tietojen käyttäminen on sallittua kaikissa SIS-kuulutuksissa. Norjan osalta kyselyn tuloksiin sisältyy vastaus SIS-maahantulokieltokuulutuksista ja SIS-palauttamiskuulutuksista, joihin voidaan käyttää maahanmuuttohallinnon biometrisia tietoja. Ruotsissa tulkinta biometristen tietojen käytettävyydestä SIS-maahantulokieltokuulutuksiin ja SIS-palauttamiskuulutuksiin eroaa Ruotsin maahanmuuttoviraston ja poliisiviranomaisen välillä. Niissä tapauksissa, joissa kuulutuksen on tehnyt ja tallentanut Ruotsin poliisiviranomainen, kansalliseen sormenjälkitietokantaan tallennettuja sormenjälkiä käytetään kuulutuksiin. Jos sormenjäljet on kerätty Eurodac-asetuksen nojalla, niitä ei voida puuttuvan kansallisen sääntelyn vuoksi käyttää kuulutuksissa. Ruotsissa maahanmuuttohallinnon biometrisia tietoja voidaan EMN:n kyselyn mukaan käyttää myös SIS-poliisiyhteistyöasetuksen mukaisissa kuulutuksissa. 

6.2.1  Henkilöllisyyden selvittäminen

Oikeusministeriö katsoo, että säännöksen varsinainen tarkoitus ja esitettyjen muutosten vaikutukset suhteessa nykytilaan jäävät epäselviksi. Esityksessä tulisi myös esittää sisällölliset perusteet sille, että poliisilain henkilöllisyyden selvittämistä koskevaa sääntelyä muutetaan vastaamaan rajavartiolain sääntelyä. Luonnoksesta ei suoraan ilmene, muodostaisiko säännös toimivaltaperusteen henkilötuntomerkin ottamiseen vertaamista varten. Säännöksestä ei myöskään ilmene, mitä vertaamista varten otetuille biometrisille tiedoille tehtäisiin vertaamisen jälkeen. Lisäksi säännöksen suhde pakkokeinolain 9 luvun 3 §:ssä säädettyyn henkilötuntomerkkien ottamista koskevaan sääntelyyn jää epäselväksi. 

Liikenne- ja viestintäministeriö toteaa, että esityksen mukaan tietojen käyttäminen henkilöllisyyden selvittämisessä olisi rajattu täsmällisesti ainoastaan yksittäisiin hakuihin henkilöllisyyden todentamiseksi, eikä säännös mahdollistaisi laajempia muiden rekisteröityjen tietoihin kohdistuvia vertailuja. Ministeriön käsityksen mukaan vertailuaineistona olisi kuitenkin kaikki poliisin ja Maahanmuuttoviraston rekistereihin tallennetut biometriset tiedot. Siten nyt esitetyn toimenpiteen rikosoikeudellinen hyöty vaikuttaa varsin vähäiseltä suhteessa siihen henkilötietojen massaan, jota esitetty käsittely tosiasiassa tarkoittaisi. 

Poliisihallitus kannattaa muutosta ja toteaa, että poliisitoimintaan liittyvän kohdehenkilön henkilöllisyyden luotettava varmistaminen heti toimenpiteitä aloitettaessa on ensiarvoisen tärkeää. Asian merkityksellisyys on huomioitu myös nykyisessä lainsäädännössä, ja poliisimiehellä on tietyissä tilanteissa oikeus selvittää kohdehenkilön henkilöllisyys jopa pakkokeinoin kuljettamalla henkilö poliisin tiloihin henkilötuntomerkkien ottamiseksi. Toimintamallia ei kuitenkaan voida pitää järkevänä tai vähimmän haitan mukaisena tilanteissa, joissa kohdehenkilön henkilöllisyys olisi selvitettävissä jo paikan päällä esimerkiksi sormenjälkilukijan avulla.  

Säännöksen perusteluita on täsmennetty muun muassa lisäämällä maininta siitä, että säännös ei muodostaisi uutta toimivaltaperustetta henkilötuntomerkkien ottamiseen. Tietojen käyttäminen olisi rajoitettu tilanteisiin, joissa poliisimiehellä on poliisilain mukaan oikeus selvittää henkilöllisyys henkilötuntomerkkien perusteella. Perusteluissa on myös täsmennetty, että tiedot olisi hävitettävä henkilöllisyyden selvittämisen jälkeen, ellei niiden käsittely olisi välttämätöntä tutkinta- ja valvontatehtäviä varten 5–6 §:n mukaisin edellytyksin taikka rikosten ennalta estämiseksi tai paljastamiseksi 7–8 §:n mukaisin edellytyksin. Poliisilain 2 luvun 1 §:n perusteluissa on täsmennetty, että virkatehtävän kohteena olevan henkilön henkilöllisyyden varmistaminen on välttämätöntä myös poliisin tehtävissä vastaavasti kuin Rajavartiolaitoksen tehtävissä. Säännöksellä mahdollistettaisiin ainoastaan henkilöllisyyden todentaminen, jolla tarkoitettaisiin henkilöllisyyden automaattista yksi yhteen -todentamista vertaamalla henkilön biometrisia tietoja yksittäisiin aiemmin annettuihin biometrisiin tietoihin. Säännös ei siten mahdollistaisi henkilön tunnistamista vertaamalla hänen tietojaan koko passirekisteriin ja henkilökorttirekisteriin tai kaikkiin ulkomaalaislain 131 §:n nojalla rekisteröityihin tietoihin, vaan ainoastaan huomattavasti rajatumman henkilöllisyyden todentamisen yksi yhteen -vertailun avulla. 

6.2.2  Uhrin tunnistaminen

Tuomioistuinvirasto toteaa esityksessä jäävän epäselväksi, minkälaista dokumentaatiota biometristen tietojen vertailusta muodostuisi, kun vertaamista varten otetut tiedot on hävitettävä välittömästi vertailun jälkeen ja minkälaisen aineiston pohjalta tuomioistuin voisi arvioida esimerkiksi vertailun oikeellisuutta ja virheettömyyttä, jos se kyseenalaistettaisiin jälkikäteen. Tuomioistuinvirasto nostaa myös esiin mahdollisen tarpeen säätää tuomioistuimelle erillinen käsittelyoikeus kysymyksessä olevien biometristen tietojen osalta. 

Poliisihallitus pitää ehdotusta kannatettavana eikä tunnista tilanteita, joissa uhrin henkilöllisyyden selvittämisen tehokkuutta olisi syytä rajoittaa lainsäädännöllisesti. Biometrisellä tunnistamisella uhrin henkilöllisyys kyetään usein selvittämään nopeasti, ja näin poliisi pystyy myös ilmoittamaan kuolemasta oikeille henkilöille sekä jatkamaan tarvittavaa rikostutkintaa tai kuolemansyyntutkintaa. 

Jatkovalmistelussa lainkohdan perusteluissa on täsmennetty, että säännös ei estäisi tietojen säilyttämistä ja käsittelyä muussa käsittelytarkoituksessa silloin, kun tietojen käsittelylle laissa säädetyt edellytykset täyttyvät. Tuomioistuimille ei ole arvioitu tarpeelliseksi ehdottaa erillistä käsittelyoikeutta tietoihin, koska tuomioistuimia koskevan sääntelyn arvioidaan jo nykyisellään kattavan tarvittavan käsittelyoikeuden. Jatkovalmistelussa lainkohdan säännös oikeudesta tiedon käyttöön on lisäksi siirretty uuteen 15 g ja 15 h §:ään, joissa säädettäisiin tietojen käsittelyä koskevasta päätöksenteosta ja vertailuun sovellettavasta menettelystä. 

6.2.3  Merkittävän vaaran estäminen

Muun muassa oikeusministeriö, eduskunnan oikeusasiamies ja tietosuojavaltuutetun toimisto esittivät lausunnoissaan huomioita säännöksestä. Lausunnoissa nostettiin esiin, että ehdotettu säännös ei olisi täsmällinen ja tarkkarajainen. Perusteluissa ei ole riittävästi kuvattu, mitä hengelle, terveydelle tai vapaudelle aiheutuvalla merkittävällä vaaralla tarkoitettaisiin. Sääntely jättäisi siten keskusrikospoliisille merkittävää harkintavaltaa sen arvioimisessa, milloin biometristen tietojen käsittely olisi välttämätöntä ja näin ollen laillista. Lisäksi perusteluissa viitataan ainoastaan kasvokuvavertailuun, mutta pykälä ei kuitenkaan sulkisi pois sormenjälkitietojen käyttämistä. Oikeusministeriö nostaa myös esiin, että pykälässä ei ehdoteta säädettäväksi tietojen käsittelystä tunnistamiseksi tai henkilöllisyyden todentamiseksi, vaan vertailu olisi mahdollista laajemmin ja väljemmin kriteerein. 

Jatkovalmistelussa ehdotettua säännöstä on täsmennetty siten, että se mahdollistaisi tietojen käsittelyn nimenomaan henkilön tunnistamiseksi tai henkilöllisyyden todentamiseksi. Lisäksi lainkohdan perusteluita sekä esityksen suhdetta perustuslakiin ja säätämisjärjestystä koskevaa osiota on täydennetty. Esityksessä on muun muassa täsmennetty, että tietojen käsittelyä koskeva välttämättömyysvaatimus sekä sovellettavaksi tulevat henkilötietojen käsittelyperiaatteet ja poliisilain 1 luvussa säädetyt periaatteet rajoittavat kasvokuvien ja sormenjälkien käyttöedellytyksiä. 

6.2.4  Rikosten ennalta estäminen, paljastaminen ja selvittäminen

Lausunnoissa nostettiin esiin useita huomioita muun muassa säännösehdotusten täsmällisyydestä ja tarkkarajaisuudesta sekä tarpeesta täsmentää perusteluita. Esimerkiksi oikeusministeriö toteaa, että pykälästä ja perusteluista ei ilmene, mitä lainkohdassa tarkoitettaisiin yksittäisen tehtävän suorittamisen yhteydessä saatavilla tiedoilla. Pykälästä ei ilmene, missä määrin pykälän on tarkoitus mahdollistaa ja antaa itsenäinen ja uusi toimivaltuus kerätä biometrisiä tietoja yksittäisen tehtävän suorittamisen yhteydessä. Perustelut eivät myöskään anna riittävän kattavaa kuvaa siitä, mitkä rikokset todella tulisivat säännöksen soveltamisalaan ja mahdollistaisivat biometristen tietojen vertailun. Rikostorjuntatarkoituksessa tapahtuvaa uhrin tunnistamista tai henkilöllisyyden todentamista koskevan säännöksen suhde edellä ehdotettuun muuhun uhrin tunnistamiseen jää epäselväksi. Perusteluista ei ilmene selkeästi, miksi sormenjälki- ja kasvokuvatietoja olisi tarpeen käyttää henkilön löytämiseksi. Säännöksestä seuraavien perusoikeusrajoitusten oikeasuhtaisuuden osalta oikeusministeriö kiinnittää huomiota myös siihen, että perusteluiden mukaan sormenjälkien ja kasvokuvien hyödynnettävyys vaihtelee rikoslajeittain. Sääntelyä ei kuitenkaan ole eriytetty sen mukaan, mitkä rikokset oikeuttaisivat kasvokuvien käsittelyyn, mitkä sormenjälkien ja mitkä mahdollisesti molempien. 

Ulkomaalaisten biometristen tietojen käsittelyä koskevan pykäläluonnoksen osalta oikeusministeriö kiinnittää huomiota muun muassa sääntelyn vaikutuksiin yhdenvertaisuudelle. Oikeusministeriö nostaa myös esiin, että rikosten estämisen tavoitetta käytetään esityksessä perusteluna henkilöiden biometristen tietojen potentiaalisesti laajalle käytölle. Tiedusteluvalvontavaltuutetun mukaan ehdotettu säännös ulkomaalaisten tietojen käsittelystä niiden alkuperäiseen käyttötarkoitukseen kiinteässä yhteydessä oleviin rikoksiin jää epäselväksi. 

Suomen Asianajajat katsoo, että lakiehdotuksen perustelut vertailumenettelyn piirissä olevien rikosnimikkeiden osalta ovat suppeat. Perusteluissa pitäisi arvioida tarkemmin perusteita, joiden nojalla voidaan katsoa käsillä olevan riittävän painavat yhteiskunnalliset syyt poiketa käyttötarkoitussidonnaisuuden pääperiaatteesta. Lisäksi lakiehdotuksessa ei ole riittävällä tavalla arvioitu sitä, millä mekanismeilla varmistettaisiin, että ehdotetun sääntelyn soveltamisalaan kuuluvien rikosten estämiseen tai selvittämiseen liittyvän tietojen vertailun yhteydessä mahdollisesti havaittuja, lievempiin rikosepäilyihin liittyviä tietoja ei hyödynnettäisi perusteettomasti esimerkiksi poliisin tai tiedon saaneen ulkomaisen viranomaisen toiminnassa. Myös tietosuojavaltuutetun toimisto katsoo, että perustelut eri rikosnimikkeille ja rangaistusmaksimeille ovat suppeita. 

Poliisihallitus pitää tärkeänä, että ehdotuksessa on huomioitu rikosten tutkinnan ohella myös rikosten estäminen, paljastaminen ja vaaran estäminen. Tiettyjen nimikkeiden, kuten tappojen ja murhien, kohdalla rikoksen estämisen tehostuminen on jopa varsinaista rikostutkintakäyttöä tärkeämpi tavoite. Poliisihallitus nostaa lausunnossaan esiin, että ehdotettu rikostorjuntakäyttö rajoittuisi vain ylitörkeisiin vähintään 6 vuoden maksimirangaistuksen omaaviin ja tiettyihin muihin vakaviin rikoksiin. Rajaus jättää ulkopuolelle suuren määrän Suomen rikoslaissa määritellyistä törkeistä rikoksista, joiden maksimirangaistus on yleisesti 4 vuotta vankeutta. Poliisihallitus toteaa myös, että lapsia seksuaalisesti esittävien kuvien hallussapito ja erityisesti levittäminen ovat maailmanlaajuisesti tunnistettuja haitallisia rikosilmiöitä ja tietojen käyttö olisi syytä sallia myös näiden rikosten torjunnassa. Lisäksi Poliisihallitus pitää ongelmallisena, että Suomen kansalaisten tietoja sisältävien passi- ja henkilökorttirekisterien sekä ulkomaalaisten tietoja sisältävien poliisin ja Maahanmuuttoviraston rekisterien tietojen rikostorjunnalliset käyttöedellytykset olisivat pitkälti yhteneväisiä. Erityisesti ulkomaalaislain 131 §:n mukaisen tuntomerkkirekisterin sisältämien tietojen rikostorjuntakäytön edellytyksiä tarkastellessa tulisi huomioida yleiseurooppalainen lainsäädäntökehitys ja se, että muun muassa Eurodac-järjestelmän sisältämien biometristen tietojen rikostorjuntakäyttö on jo nyt sallittua jopa ehdotusta laajemmin.  

Keskusrikospoliisi näkee lausunnossaan ongelmallisena varsinkin poliisin toiminnalle EU-yhteistyössä, että EU:n lainsäädännössä on mahdollistettu biometristen tunnistetietojen käyttäminen rikostorjuntaan alkuperäisestä käyttötarkoituksesta poiketen vakavien rikosten ja terrorismirikosten selvittämiseksi alemmalla kynnyksellä kuin kansallisesti ehdotetaan. Keskusrikospoliisin näkemyksen mukaan säännöksissä ei myöskään ole huomioitu tarpeeksi kattavasti lasten seksuaalisen hyväksikäytön torjunnassa tarvittavien biometristen tietojen vertailun tarvetta. 

Jatkovalmistelussa esityksen perusteluita on täsmennetty lausunnoissa esitettyjen huomioiden perusteella. Muun muassa sääntelyn piiriin kuuluvia rikosnimikkeitä sekä sormenjälkien ja kasvokuvien käsittelyedellytyksiä on selvennetty perusteluissa. Esityksessä ei rajoitusten hyväksyttävyyteen ja oikeasuhtaisuuteen liittyvistä syistä ole päädytty ehdottamaan tietojen käyttöä kaikkien sellaisten rikosten estämiseksi, paljastamiseksi ja selvittämiseksi, joiden rangaistusmaksimi olisi 3 tai 4 vuotta. Ehdotettuihin säännöksiin on kuitenkin lisätty eräitä maanpuolustusrikoksia ja valtiopetosrikoksia sekä lasta seksuaalisesti esittävän kuvan ja lasta seksuaalisesti esittävän kuvan hallussapito.  

6.2.5  Kansallisen turvallisuuden suojaaminen ja maanpuolustus

Oikeusministeriö toteaa, että esitysluonnoksessa mahdollistettaisiin biometristen tietojen vertaaminen, jos se on välttämätöntä kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta. Kyseinen kriteeri jää hyvin väljäksi, eikä esimerkiksi rekisteröity voisi muodostaa sen perusteella selvää kuvaa siitä, missä tilanteissa hänen arkaluonteisia henkilötietojaan käsiteltäisiin. Valtioneuvoston oikeuskansleri nostaa esiin, että esitysluonnoksen perustelut vaikuttavat osin kohdistuvan enemmän rikostorjuntaan kuin kansalliseen turvallisuuteen ja tiedusteluviranomaisten toimintaan. Kansallisen turvallisuuden suojaminen on eri asia kuin vakavien rikosten estäminen ja tutkiminen. Niissä sääntely on erilaista, niissä toimivat osin eri viranomaiset ja valvonta on myös järjestetty eri tavoin. Eduskunnan oikeusasiamies toteaa, että viittaaminen perustuslain muutoksen säätämisen yhteydessä esitettyihin perustuslakivaliokunnan lausumiin kansallisen turvallisuuden suojaamisesta sitä vakavasti uhkaavalta toiminnalta ei riitä perusoikeusrajoitukselta edellytetyksi täsmälliseksi sääntelyksi, vaan täsmällisyysvaatimus edellyttää tarkempaa sääntelyä laissa. 

Suojelupoliisi pitää poliisin henkilötietolain nykyisen logiikan kannalta selkeämpänä vaihtoehtona, että suojelupoliisia koskevat säännökset erotettaisiin muun poliisin sääntelystä ja tietojen käsittelystä suojelupoliisissa säädettäisiin poliisin henkilötietolain 7 luvussa. Suojelupoliisi pitää välttämättömänä, että sille mahdollistetaan omaan toimialaansa liittyvien vertailujen tekeminen myös itse. Puolustusvoimien lausunnossa nostetaan esiin tarve huomioida kansallisen turvallisuuden varmistamiseen liittyvän sotilastiedustelutiedon käsittelyyn liittyvät erityispiirteet. 

Jatkovalmistelussa suojelupoliisia koskeva sääntely on siirretty poliisin henkilötietolain 7 lukuun, jossa säädetään myös muusta henkilötietojen käsittelystä suojelupoliisin tehtävissä. Puolustusministeriön lausunnon sekä Puolustusvoimien ja puolustusministeriön kanssa jatkovalmistelussa käytyjen keskusteluiden pohjalta poliisin henkilötietolakiin ehdotetaan myös otettavaksi erillinen säännös henkilökorttilaissa ja passilaissa säädettyjen tehtävien suorittamiseksi käsitettävien biometristen tietojen luovuttamisesta sotilastiedusteluviranomaiselle. Sekä suojelupoliisille että sotilastiedusteluviranomaiselle mahdollistettaisiin vertailujen tekeminen itse vertailutietojen korkean tietoturvallisuusluokan edellyttämällä tavalla. Lisäksi esityksen perusteluita on täydennetty muun muassa tarkemmalla kuvauksella kansallisen turvallisuuden ja maanpuolustuksen suojaamiseen liittyvistä yhteiskunnallisista intresseistä. 

6.2.6  Vertailujen toteuttaminen, päätöksenteko ja oikeusturva

Muun muassa sosiaali- ja terveysministeriö, valtioneuvoston oikeuskansleri, eduskunnan oikeusasiamies ja tuomioistuinvirasto kiinnittävät lausunnoissaan huomiota puutteellisiin oikeusturvakeinoihin. Lausunnoissa nostetaan esiin, että EUT:n että EIT:n käytännössä ehdotetun kaltainen käyttötarkoitussidonnaisuudesta poikkeaminen edellyttää lähtökohtaisesti tuomioistuimen tai muun vastaavan riippumattoman toimielimen lupaa. Esitykseen tulee lisätä selostus siitä, mitkä olisivat yksilön oikeudet ja oikeusturva nyt ehdotettavan sääntelyn yhteydessä.  

Valtioneuvoston oikeuskansleri nostaa esiin, että esitykseen ei sisälly menettelyä, jossa vertailupyyntö ja sen perusteella luovutettavat tiedot tulisi tehdä kirjallisena tai vertailusta laadittaisiin pöytäkirjaa, jolloin pyynnön perusteet ja sen toteuttaminen olisi jälkikäteenkin ulkopuolisen arvioitavissa. Ehdotukseen ei sisälly menettelyä, jossa vertailupyyntö olisi ennakollisesti ulkopuolisen viranomaisen, kuten esimerkiksi tiedusteluvalvontavaltuutetun tai tietosuojavaltuutetun, arvioitavana. Siihen ei sisälly myöskään menettelyä, että ulkopuoliselle viranomaiselle tai tuomioistuimelle tulisi jälkikäteenkään tehdä ilmoitusta vertailusta. Siihen ei sisälly menettelyä, jossa vertailun kohteena olleelle henkilölle jälkikäteen ilmoitettaisiin vertailusta. Esityksessä tulisi arvioida laajemmin sitä, miten ehdotettua menettelyä sisäisesti ja ulkoisesti valvotaan, ja miten siitä raportoidaan. Esityksessä tulee seikkaperäisesti selostaa niitä rekisteröidyn oikeuksia turvaavia suojatoimia, jotka koskevat ehdotettua henkilötietojen käsittelyä. 

Poliisihallitus ja keskusrikospoliisi kiinnittävät lausunnoissaan huomiota siihen, että lakiesityksen mukaan rikostorjuntatarkoituksessa tehtävät vertailut toteutettaisiin aina keskusrikospoliisissa. Ehdotus on toiminnallisesti perusteltu erityisesti sormenjälkien kohdalla, sillä manuaalinen sormenjälkivertailujen tekeminen vaatii erityisosaamista, joka on Suomessa keskitetty keskusrikospoliisin rikostekniseen laboratorioon. Kasvokuvien osalta alustavaa tunnistamista ei kuitenkaan ole tarkoituksenmukaista rajoittaa vain keskusrikospoliisiin, sillä valtaosa vakavistakin rikoksista tutkitaan paikallispoliisissa. Kuvien vertailu esimerkiksi tutkinnan suuntaamiseksi voisi ehdotuksesta poiketen olla mahdollista myös muissa poliisiyksiköissä. Varsinaiset vertailulausunnot tulisi yhä pyytää keskusrikospoliisin rikostekniseltä laboratoriolta. 

Tulli ehdottaa lausunnossaan, että säännöstä poliisin oikeudesta käsitellä vertailun tuloksia Tullin pyytämien vertailujen osalta tarkennettaisiin niin, että se edellyttää Tullin ennakollista lupaa. Ehdotusten perusteella jää myös jossakin määrin epäselväksi, miten toissijaisuus muiden tietojen avulla tunnistamiseen toteutuu kun vertailua pyytää muu viranomainen kuin poliisi. 

Puolustusministeriö pitää kannatettavana, että vertailu toteutettaisiin aina keskusrikospoliisissa, joka tarkistaisi ennen vertailun suorittamista pyynnön lainmukaisuuden ja vertailulle säädettyjen edellytysten täyttymisen. Esityksessä valitulla menettelyllä vastuu päätöksenteosta voidaan osoittaa taholle, joka voi tosiasiassa parhaiten varmistaa tehtävän vertailun välttämättömyyden. Esityksessä on kuitenkin huomioitava kansallisen turvallisuuden varmistamiseen liittyvän sotilastiedustelutiedon käsittelyyn liittyvät erityispiirteet. 

Jatkovalmistelussa esitystä on muutettu siten, että biometristen tietojen vertailuun sovellettavasta menettelystä ja päätöksenteosta ehdotetaan säädettäväksi erillisissä poliisin henkilötietolain pykälissä. Säännöksissä edellytettäisiin muun muassa vertailua koskevan päätöksen tekemistä kirjallisessa muodossa ja säädettäisiin päätöksen sisällöstä. Vertailujen toteuttamiseen liittyviä säännöksiä on muokattu siten, että keskusrikospoliisin henkilöstön lisäksi myös muu asianmukaisen koulutuksen saanut poliisin palveluksessa oleva virkamies saisi suorittaa kasvokuvavertailuja henkilön alustavaksi tunnistamiseksi. Lakiin ehdotetaan myös säännöstä Poliisihallituksen velvoitteesta tilastoida esityksessä tarkoitettua biometristen tietojen käsittelyä ja toimittaa käsittelystä vuosittain selvitys tietosuojavaltuutetulle. Esityksen perusteluihin on otettu kattavampi kuvaus käsittelyyn soveltuvista rekisteröidyn oikeuksista ja henkilötietojen käsittelyn valvonnasta. Esityksen suhdetta perustuslakiin ja säätämisjärjestystä koskevaan osioon on täydennetty uudella oikeusturvaa koskevalla jaksolla ja perusteluihin on lisätty täsmällisempi kuvaus muun muassa siitä, miksi EUT:n oikeuskäytännön ei ole valmistelussa arvioitu edellyttävän tuomioistuimen ennakkolupaa tietojen vertailulle. 

6.2.7  Tietojen luovuttaminen

Oikeusministeriön mukaan esitysluonnoksessa jää jossain määrin epäselväksi, mitä tietoja ja missä laajuudessa olisi mahdollisuus luovuttaa. Pykälästä ei myöskään nimenomaisesti ilmene, että luovuttamiseen oikeutettu viranomainen olisi poliisi, mikä kuitenkin ilmenee perusteluista. Sääntely jää tulkinnanvaraiseksi myös siksi, että siitä ei selvästi ilmene, että tiedot voitaisiin luovuttaa vain, kun tiedot saava viranomainen olisi itse pyytänyt vertailua. Perusteluista ei myöskään selvästi ilmene, saisiko tietoja luovuttaa vain sille viranomaiselle, joka tietojen vertailua on pyytänyt, vai voisiko tietoja luovuttaa esimerkiksi Rajavartiolaitoksen tekemän pyynnön perusteella suojelupoliisille.  

Tietosuojavaltuutetun toimisto nostaa esiin, että säännös tietojen luovuttamisesta laajentaisi edelleen biometristen henkilötietojen käsittelyä merkittävästi, koska poliisin ohella käsittelijöiksi tulisi vielä neljä muuta viranomaista. Tiedusteluvalvontavaltuutettu toteaa, että rikoksiin liittyvien tietojen osalta suojelupoliisille ja sotilastiedusteluviranomaisille luovuttamisen olisi perusteltua rajautua näiden tehtäväpiiriin kuuluvia kansallista turvallisuutta uhkaavia rikoksia koskeviin tietoihin. 

Jatkovalmistelussa tulisi Maahanmuuttoviraston mielestä tarkentaa, onko tarkoituksenmukaista rajata maahanmuuttohallinnon henkilötietolaissa oikeus unionin kansalaisen perheenjäsenen tietojen luovuttamiseen SIS-kuulutuksiin ainoastaan Maahanmuuttovirastolle. Tulli esittää, että poliisilla tulisi olla mahdollisuus luovuttaa tietoja Tullille henkilöllisyyden selvittämiseksi myös tietosuoja-asetuksen soveltamisalaan kuuluvissa tehtävissä. 

Puolustusministeriö toteaa, että Puolustusvoimilla on toimivalta tutkia hyvin vakavanakin pidettyjä rikoksia. Esitysluonnoksessa Puolustusvoimien oikeudesta saada tietoa on kuitenkin esitetty säädetty suppeammin kuin poliisin, Tullin ja Rajavartiolaitoksen oikeudesta. Puolustusministeriö toteaa myös, että uudessa sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetussa laissa (89/2025) säädetään poliisin, Tullin ja Rajavartiolaitoksen oikeutta vastaavasta Pääesikunnan oikeudesta henkilöllisyyden selvittämiseen. 

Jatkovalmistelussa on täydennetty ja tarkennettu säännösehdotuksia, jotka koskevat tietojen luovuttamista muille kansallisille viranomaisille sekä luovutusten edellyttämää päätöksentekoa, luovutukseen sovellettavaa menettelyä ja tietojen käsittelyn valvontaa. Lisäksi Rajavartiolaitokselle ja Tullille ehdotetaan oikeutta saada yksittäisiä tietoja henkilöllisyyden selvittämiseksi rikosasioiden lisäksi myös yleisen tietosuoja-asetuksen soveltamisalaan kuuluvissa tehtävissä ja Puolustusvoimille ehdotetaan oikeutta saada yksittäisiä tietoja henkilöllisyyden selvittämiseksi rikosasioiden tietosuojalain soveltamisalalla. Maahanmuuttoviraston, Poliisihallituksen ja Rajavartiolaitoksen esikunnan kanssa käydyn keskustelun perusteella myös poliisille ja Rajavartiolaitokselle ehdotetaan maahanmuuttohallinnon henkilötietolakiin oikeutta luovuttaa unionin kansalaisen perheenjäsenen tietoja SIS-kuulutuksiin. Myös esityksen perusteluita on täsmennetty. 

6.2.8  Tietojen poistaminen

Oikeusministeriö katsoo, että jatkovalmistelussa tulee arvioida kattavasti ja säännöskohtaisesti biometristen tietojen säilyttämistä uusiin käyttötarkoituksiin ja varmistaa, että arkaluonteisten henkilötietojen käsittely rajataan välttämättömään. Oikeusministeriö toteaa, että biometrisia henkilötietoja säilytetään poliisin henkilötietolain mukaan erittäin pitkiä aikoja. Oikeusministeriö suhtautuu varauksella siihen, että nyt arkaluonteisia biometrisia tietoja voisi käsitellä myös uusiin käyttötarkoituksiin yhtä pitkään, ilman että asiaa on kaikilta osin arvioitu ja perusteltu säätämisjärjestysperusteluissa.  

Tietojen poistamista koskevia perusteluita on täydennetty jatkovalmistelussa lausunnon perusteella. Oikeutta käyttää passirekisterin ja henkilökorttirekisterin tietoja ehdotetaan suojatoimena rajattavaksi kymmeneen vuoteen tiedon merkitsemisestä vastaavasti kuin lausunnolla olleessa esitysluonnoksessa. 

11.2.1  Henkilötietojen käsittelyä koskevan erityissääntelyn välttämättömyys

Perustuslakivaliokunta on EU:n tietosuoja-asetuksen soveltamisalalla tarkistanut kantaansa henkilötietojen suojasta lailla säätämisen vaatimuksen osalta. Tietosuoja-asetuksen sääntely henkilötietojen suojasta on olennaisesti yksityiskohtaisempaa kuin henkilötietodirektiivin (95/46/EY) ja sen toimeenpanemiseksi annetun henkilötietolain sääntely (PeVL 14/2018 vp). Valiokunnan mielestä henkilötietojen suoja tulee jatkossa turvata ensisijaisesti yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Myös sääntelyn selkeyden vuoksi kansallisen erityislainsäädännön säätämiseen tulee jatkossa suhtautua pidättyvästi ja rajata sellaisen säätäminen vain välttämättömään tietosuoja-asetuksen antaman kansallisen liikkumavaran puitteissa. Perustuslakivaliokunnan mielestä on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksen edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn kohdalla (ks. esim. PeVL 51/2018 vp ja PeVL 14/2018 vp).  

Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (esim. PeVL 26/2018 vp ja PeVL 14/2018 vp). Perustuslakivaliokunta on kiinnittänyt myös erityistä huomiota sääntelytarpeeseen silloin, kun henkilötietoja käsittelee viranomainen (PeVL 14/2018 vp). 

Perustuslakivaliokunta katsoi osana perustuslain 10 §:n tulkintakäytäntöön kohdistuvaa tarkistusta, että toisin kuin suoraan sovellettava tietosuoja-asetus, rikosasioiden tietosuojadirektiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on tällaisissa perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta. Merkityksellistä tässä suhteessa on, että rikosasioiden tietosuojalaki on soveltamisalallaan yleislakina sovellettavaksi tuleva laki, jota on tarkoitus täydentää eri hallinnonaloja koskevalla erityislainsäädännöllä. Henkilötietojen suojaan liittyvät sääntelyn kattavuuden, täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan kuitenkin joiltain osin täyttää myös tietosuoja-asetuksen soveltamisalan ulkopuolella kansalliseen oikeuteen sisältyvällä yleislailla (ks. PeVL 26/2018 vp, PeVL 14/2018 vp, PeVL 51/2018 vp).  

Perustuslakivaliokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp). Valiokunta on tämän johdosta painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (PeVL 26/2017 vp, PeVL 2/2017 vp, PeVL 44/2016 vp). 

Esityksessä on kyse osin yleisen tietosuoja-asetuksen soveltamisalaan ja osin rikosasioiden tietosuojalain soveltamisalaan kuuluvasta henkilötietojen käsittelystä. Henkilötietojen käsittelyssä noudatettava yleislainsäädäntö määrittyy tietojen käsittelytarkoituksen mukaisesti. Henkilötietojen käsittelyyn sovelletaan joko yleistä tietosuoja-asetusta ja sitä täydentävää kansallista tietosuojalakia tai rikosasioiden tietosuojalakia näiden yleissäädösten soveltamisalaa koskevien säännösten mukaisesti.  

Henkilötietojen käsittely passilain ja henkilökorttilain mukaisissa tehtävissä sekä maahanmuuttohallintoon liittyvissä tehtävissä perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, jonka mukaan käsittely on lainmukaista, kun se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi (1. lakiehdotuksen 15 a §). Samoin SIS-rajatarkastusasetuksen ja SIS-palauttamisasetuksen mukaisten kuulutusten alkuperäinen käsittelytarkoitus kuuluu yleisen tietosuoja-asetuksen soveltamisalaan (2. lakiehdotuksen 14 §:n uusi 2 ja 3 momentti). Ehdotettu passirekisterin ja henkilökorttirekisterin biometristen tietojen sekä poliisin ja Maahanmuuttoviraston rekistereihin talletettujen ulkomaalaisten biometristen tietojen käyttäminen uhrin tunnistamiseksi, vaaran estämiseksi ja eräiden vakavien rikosten estämiseksi, paljastamiseksi ja selvittämiseksi kuuluisivat rikosasioiden tietosuojalain soveltamisalaan (1. lakiehdotuksen 15 c, 15 d, 15 e ja 15 f § sekä 2. lakiehdotuksen 9 ja 10 §) samoin kuin passirekisterin ja henkilökorttirekisterin biometristen tietojen käyttäminen maanpuolustuksen suojaamiseksi ja kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta (1. lakiehdotuksen 21 a § ja 52 a §) puolestaan kuuluisivat rikosasioiden tietosuojalain soveltamisalaan. Myös SIS-poliisiyhteistyöasetuksen mukaisten kuulutusten tallentamisessa SIS-järjestelmään on kyse rikosasioiden tietosuojalaissa tarkoitetusta henkilötietojen käsittelystä (1. lakiehdotuksen 27 §:n 4 momentti, 2. lakiehdotuksen 14 §:n uusi 4 ja 5 momentti sekä 3. lakiehdotuksen 131 §:n 5 momentin uusi 4–6 kohta). Poliisilain 2 luvun 1 §:ssä ja 1. lakiehdotuksen 15 b § :ssä tarkoitettu henkilöllisyyden selvittäminen voi kuulua joko yleisen tietosuoja-asetuksen tai rikosasioiden tietosuojalain soveltamisalaan riippuen siitä, mikä poliisin tehtävä edellyttää henkilöllisyyden selvittämistä. 

Ehdotettu yleisestä tietosuoja-asetusta täydentävä sääntely perustuu asetuksen 6 ja 9 artiklan mukaiseen kansalliseen liikkumavaraan. Kansallisessa lainsäädännössä voidaan 6 artiklan 3 kohdan mukaan antaa säännöksiä, joilla mukautetaan yleisen tietosuoja-asetuksen sääntöjen soveltamista. Säännökset voivat koskea esimerkiksi käsittelyn lainmukaisuutta koskevia edellytyksiä, käsiteltävien henkilötietojen tyyppiä, käyttötarkoitusta ja säilytysaikoja sekä yhteisöitä, joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa. Jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden. Mikäli tietoja käsitellään muuhun kuin niiden alkuperäiseen keräämistarkoitukseen, on sääntelyä arvioitava käyttötarkoitussidonnaisuuden periaatetta vasten siten kuten tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään (ks. jakso 11.2.3). Biometristen tietojen käsittelyssä on lisäksi noudatettava jäljempänä tarkemmin kuvattavia yleisen tietosuoja-asetuksen 9 artiklan säännöksiä erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä (ks. jakso 11.2.2). 

Esityksessä on arvioitu välttämättömäksi ehdottaa yleisen tietosuoja-asetuksen kansallisen liikkumavaran puitteissa annettavaa ja rikosasioiden tietosuojadirektiivin kansallista täytäntöönpanolainsäädäntöä täydentävää erityissääntelyä. Esityksessä ehdotetaan tietosuoja-asetusta täydentävää sääntelyä kaikista edellä mainituista asetuksen 6 artiklan 3 kohdan mukaisista seikoista. Sääntely koskisi henkilötietojen käsittelyä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen, käsittelyyn sovellettavaa menettelyä sekä henkilötietojen luovuttamista muille viranomaisille. Esityksessä ehdotetaan myös EU:n SIS-asetuksia täydentävää sääntelyä biometristen tietojen luovuttamisesta SIS-kuulutuksiin. Esitetyissä muutoksissa on kyse erityisen arkaluonteisina pidettävistä biometrisista tiedoista, joiden käsittely edellyttää siitä aiheutuvien riskien vuoksi täsmällistä ja tarkkarajaista sääntelyä. Ehdotetut säännökset on arvioitu välttämättömiksi myös jäljempänä tarkemmin käsiteltävien salassa pidettävien tietojen luovuttamista koskevalle sääntelylle asetettujen edellytysten vuoksi (ks. jakso 11.2.4). 

11.2.2  Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely

Perustuslakivaliokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä, minkä vuoksi esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks. esim. PeVL 48/2018 vp ja siinä viitatut lausunnot). 

Perustuslakivaliokunnan mielestä arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on edelleen syytä arvioida aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta. Perustuslakivaliokunta on arvioinut, että biometriset tunnistetiedot ovat monin tavoin arkaluonteisia tietoja. Sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (PeVL 29/2016 vp, ks. myös Euroopan ihmisoikeustuomioistuimen tuomio S. and Marper v. Yhdistynyt Kuningaskunta , 4.12.2008).  

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, PeVL 14/2009 vp). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille (ks. PeVL 3/2021 vp). 

Schengenin tietojärjestelmän (SIS) käyttöä koskevia asetusehdotuksia ja SIS-asetuksia täydentävää sääntelyä käsitellessään perustuslakivaliokunta katsoi, että asetusehdotuksissa yksityiselämän ja henkilötietojen suojan kannalta keskeisimmäksi muodostui kysymys biometristen tunnisteiden rekisteröimisestä. Merkityksellistä on, että biometrisiä tunnisteita sisältäviin laajoihin tietokantoihin saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille. Perustuslakivaliokunta on katsonut, että tällaisten rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden kannalta. Valiokunnan mielestä biometristen tunnisteiden rekisteröinti merkitsee lisäksi erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä. Valiokunta kiinnitti tämän johdosta erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään. Erityisesti lasten tietojen käsittelyn osalta valiokunta muistutti, että lapsilta otettujen biometristen tunnisteiden käsittelyn tulee olla välttämätöntä hyväksyttävän tarkoituksen kannalta. (ks. PeVL 40/2021 vp sekä PeVL 13/2017 vp ja siinä viitatut lausunnot.) 

Valiokunta on myös painottanut erityisesti arkaluonteisten tietojen säilytysajan rajaamista siihen, mikä on välttämätöntä sen tavoitteen saavuttamiseksi, jonka vuoksi tiedot on järjestelmään tallennettu (ks. esim. PeVL 3/2021 vp ja siinä viitatut lausunnot PeVL 31/2017 vp ja PeVL 13/2017 vp). Valiokunta on pitänyt viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (PeVL 51/ 2018 vp, PeVL 13/2017 vp). Valiokunta on myös säilytysaikoja arvioidessaan nostanut esiin, että biometristen tunnisteiden rekisteröinti merkitsee lisäksi erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (PeVL 13/2017 vp, PeVL 29/2016 vp, ks. myös EUT:n ratkaisut C-362/14, Schrems sekä C-293/12 ja C-594/12, Digital Rights Ireland ).  

Sormenjälkien tallentamista ja käyttöä on arvioitu myös Euroopan ihmisoikeustuomioistuimen (EIT) tuomioissa. EIT on todennut, että henkilötietojen tallettaminen viranomaisen rekisteriin merkitsee yksityisyyden suojan rajoittamista. Lisäksi sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä. Jo sormenjälkitietojen tallentaminen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. esim. S. ja Marper v. Yhdistynyt Kuningaskunta , 4.12.2008 ja Leander v. Ruotsi , 26.3.1987).  

Tapauksen S. ja Marper v. Yhdistynyt Kuningaskunta yhteydessä EIT tarkastelee laajamittaista sormenjälkien ja DNA-tunnisteiden keräämistä keskitettyyn poliisin rekisteriin. Tapauksessa molemmat kantajat oli pidätetty ja asetettu syytteeseen rikoksista. Poliisi otti heidän sormenjälkensä ja dna-tunnisteensa kansallisen sääntelyn mukaisesti, mutta kantajia ei koskaan tuomittu rikoksista. Kansallisen säädöksen nojalla biometrisia tietoja voitiin kuitenkin säilyttää rajattomasti. EIT toteaa muun muassa, että yksityiselämän suojaan puuttumista voidaan pitää välttämättömänä demokraattisessa yhteiskunnassa oikeutetun tavoitteen saavuttamiseksi, jos sillä vastataan pakottavaan yhteiskunnalliseen tarpeeseen ja varsinkin jos se on järkevässä suhteessa tähän oikeutettuun tavoitteeseen, sekä jos kansallisten viranomaisten esiintuomat perusteet ovat relevantit ja riittävät. EIT toteaa myös, että rikostorjunnan oikeutettu intressi saattaa olla suurempi kuin henkilötietojen kohteiden edut ja yhteiskunnan kokonaisetu henkilötietojen, mukaan lukien sormenjälkien ja DNA-tunnisteiden, suojaamisessa. EIT katsoo olevan kaiken väittelyn yläpuolella, että rikosten, varsinkin organisoidun rikollisuuden ja terrorismin, vastainen taistelu, joka on yksi tämän päivän eurooppalaisten yhteiskuntien haasteista, riippuu suuressa määrin modernien tieteellisten tutkinta- ja tunnistusmenetelmien käytöstä. EIT toteaa kuitenkin, että keskitetyn rekisterin eduista huolimatta lähtökohdaksi tulee ottaa tasapainon löytäminen yleisen turvallisuuden ja yksityiselämän suojan välille. Tuomioistuimen mukaan yksityiselämän suoja heikkenee kohtuuttomasti, jos modernien tieteellisten rikostutkintakeinojen käytön hyväksytään hinnalla millä hyvänsä menevän yksityiselämän suojan edelle. EIT toteaa muun muassa, että henkilötietojen säilyttämisen on oltava oikeassa suhteessa keräämisen tarkoitukseen ja että säilytysaikoja on rajoitettava. Yleinen ja valikoimaton henkilötietojen säilyttäminen ilman mitään aikarajaa siten, että syyttömiksi todetuilla henkilöillä oli vain rajoitettu mahdollisuus pyytää henkilötietojensa poistamista, muodosti tapauksessa suhteettoman puuttumisen kantajien oikeuteen nauttia yksityiselämän kunnioitusta eikä sitä voitu katsoa välttämättömäksi demokraattisessa yhteiskunnassa. Tuomioistuin totesi, että ihmisoikeussopimuksen 8 artiklaa oli rikottu.  

EIT on todennut sormenjälkitietojen säilyttämiseen liittyvän ihmisoikeussopimuksen 8 artiklan rikkomuksen myös asiassa M.K. v. Ranska , 18.4.2013. Tapauksessa EIT toteaa muun muassa, että kansallisessa sääntelyssä ei eroteltu henkilötietojen säilyttämistä rikosten vakavuusasteen mukaan tai sen mukaan, oliko kyseessä oleva henkilö tuomittu rikoksesta vai ei. Laissa ei myöskään säädetty riittävistä suojatoimista. Vastaavasti asiassa Gaughran v. Yhdistynyt Kuningaskunta , 13.2.2020, EIT totesi ihmisoikeussopimuksen 8 artiklan rikkomuksen tapauksessa, jossa kantajan DNA-profiili, valokuva ja sormenjäljet säilytettiin määrittelemättömän ajan huomioimatta rikoksen vakavuutta tai tarvetta tietojen määrittelemättömälle säilyttämiselle ja ilman todellista mahdollisuutta nostaa asia arvioitavaksi. EIT toteaa ratkaisussa, että biometristen tietojen ja valokuvien säilyttämisellä tavoitellaan rikosten tutkintaa ja siten myös rikollisuuden ehkäisemistä, joka on hyväksyttävä päämäärä. Arvioidessaan Euroopan ihmisoikeussopimuksen 2 artiklassa suojattua oikeutta elämään ja siitä seuraavia positiivisia toimintavelvoitteita EIT on katsonut, että henkirikosten tutkintaan ja syyttämiseen ja niiden tekijöiden tuomitsemiseen myös vuosia tapahtumien jälkeen liittyy vahva julkinen intressi. Myös niin sanottujen pimeiden rikosten tutkimiseen liittyy julkinen rikostorjunnallinen intressi. Poliisin on kuitenkin hoidettava tehtävänsä tavalla, joka on yhteensopiva muiden yksilöiden oikeuksien ja vapauksien kanssa (ks. mm. Osman v. Yhdistynyt Kuningaskunta , 28.10.1998). Hyväksyttävän päämäärän lisäksi arvioinnissa on huomioitava myös oikeasuhtaisuuden vaatimus.  

EIT on tarkastellut biometristen tietojen käsittelyä myös muun muassa ratkaisussa Glukhin v. Venäjä , 4.7.2023. Tapauksessa viranomainen hyödynsi julkisten tilojen valvontakameroita ja reaaliaikaista kasvojentunnistusjärjestelmää tunnistaakseen, löytääkseen ja ottaakseen kiinni etsimänsä mielenosoittajan, jonka epäiltiin syyllistyneen ainoastaan hallinnolliseen rikkomukseen. EIT toteaa, että hakijan henkilötietojen käsittely kasvojentunnistusteknologian avulla hallinnollista rikkomusta koskevassa asiassa merkitsee yksityisyyden suojan rajoittamista. Yksityisyyden suojan rajoitus voi olla oikeutettu vain, kun laki sen sallii ja se on välttämätön demokraattisessa yhteiskunnassa Euroopan ihmisoikeustuomioistuimen 8 artiklan 2 kohdassa tarkoitettujen päämäärien saavuttamiseksi. EIT viittaa muun muassa asioissa S. ja Marper v. Yhdistynyt Kuningaskunta ja Gaughran v. Yhdistynyt Kuningaskunta antamiinsa ratkaisuihin ja toteaa, että henkilötietojen kerääminen ja käsittely edellyttää selviä ja täsmällisiä sääntöjä, joiden on tarjottava riittävät takeet tietojen väärinkäyttöä ja mielivaltaista käsittelyä vastaan. EIT katsoo myös tässä yhteydessä olevan kaiken väittelyn yläpuolella, että rikosten, varsinkin organisoidun rikollisuuden ja terrorismin, vastainen taistelu, joka on yksi tämän päivän eurooppalaisten yhteiskuntien haasteista, riippuu suuressa määrin modernien tieteellisten tutkinta- ja tunnistusmenetelmien käytöstä. Tapauksessa ei EIT:n mukaan ole kysymys siitä, voidaanko biometristen tietojen käsittelyä kasvojentunnistusteknologialla yleisesti pitää Euroopan ihmisoikeussopimuksen mukaan oikeutettuna. Tuomiossa tarkasteltavana olleessa tapauksessa EIT katsoo, että kasvojentunnistusteknologian käyttöä rauhanomaisen mielenosoittajan tunnistamiseksi, paikantamiseksi ja kiinniottamiseksi hallinnollista rikkomusta koskevaa menettelyä varten ei voida pitää demokraattisessa yhteiskunnassa välttämättömänä. Tuomioistuin totesi, että ihmisoikeussopimuksen 8 artiklaa oli rikottu.  

EUT on käsitellyt sormenjälkien merkitystä muun muassa ID-asetuksen pätevyyttä koskevassa ratkaisussa C-61/22 ( RL vs. Landeshauptstadt Wiesbaden ). Biometriset tiedot mahdollistavat asianomaisten luonnollisten henkilöiden täsmällisen tunnistamisen, ja ne ovat erityisen arkaluonteisia, koska niiden käytöstä voi aiheutua huomattavia riskejä perusvapauksille ja -oikeuksille. Vaikka sormenjäljet mahdollistavat henkilön tarkan tunnistamisen, sormenjälkien antamat tiedot eivät kuitenkaan ratkaisun mukaan yksinään mahdollista kuvan saamista asianomaisten henkilöiden yksityis- ja perhe-elämästä. Näin ollen rajoitus, joka aiheutuu velvollisuudesta sisällyttää kaksi sormenjälkeä henkilökorttien tallennusvälineeseen, ei EUT:n mukaan loukkaa perusoikeuskirjan 7 ja 8 artiklassa vahvistettujen perusoikeuksien keskeistä sisältöä. EUT on myös arvioinut passiasetuksen sormenjälkiä koskevia velvoitteita ja todennut, että niihin liittyvä yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeva loukkaaminen on perusteltavissa tavoitteella, joka on passien suojaaminen väärinkäyttöä vastaan (ks. jaksossa 2.2.1 tarkemmin käsitelty ratkaisu C-291/12, Schwarz vs. Stadt Bochum ).  

EUT on asiassa C-205/21 ( Ministerstvo na vatreshnite raboti - Biometristen ja geneettisten tietojen rekisteröinti I ) viitannut rikosasioiden tietosuojadirektiivin 4 artiklassa säädettyyn tietojen minimonnin periaatteeseen, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään. EUT on viitannut myös 8 artiklaan, jonka mukaan käsittely on lainmukaista ainoastaan, jos ja vain siltä osin kuin se on tarpeen toimivaltaisen viranomaisen tehtävän suorittamiseksi tämän direktiivissä mainittuja tarkoituksia varten. Kyseisessä artiklassa vaaditaan lisäksi, että jäsenvaltion lainsäädännössä on täsmennettävä käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset. Tältä osin EUT on todennut, että biometristen ja geneettisten tietojen käsittelyn tarkoituksia ei voida kuvata liian yleisluonteisin sanamuodoin, vaan ne on määritettävä riittävän täsmällisesti ja konkreettisesti, jotta kyseisen käsittelyn ”ehdotonta välttämättömyyttä” direktiivin 10 artiklan edellyttämällä tavalla voidaan arvioida. EUT katsoi asiassa, että poliisiviranomaisten rikollisuuden torjuntaa ja yleisen järjestyksen ylläpitämistä varten harjoittamassaan tutkimustoiminnassa suorittama biometristen ja geneettisten tietojen käsittely on sallittua vain, jos jäsenvaltion lainsäädännössä on riittävän selkeä ja täsmällinen oikeusperusta kyseisen käsittelyn sallimiselle. Direktiivin vaatimus, jonka mukaan arkaluonteisten tietojen käsittelyn on oltava ”ehdottoman välttämätöntä”, merkitsee EUT:n mukaan myös erityisen tiukkaa tietojen minimointiperiaatteen noudattamisen valvontaa. EUT toteaa myös, että rikosasioiden tietosuojadirektiivi ja perusoikeuskirjan 47 ja 48 artikla eivät ole esteenä lainsäädännölle, jonka perusteella rikostuomioistuin vahvistaa biometristen ja geneettisten tietojen keräämisen pakkotäytäntöönpanon ennen pääasiaa. Lisäksi EUT katsoo, että rikosasioiden tietosuojadirektiivi on esteenä kansalliselle lainsäädännölle, jossa toimivaltaiselle viranomaiselle säädetään oikeus kerätä biometrisiä ja geneettisiä tietoja tarkastamatta, onko tietojen kerääminen ehdottoman välttämätöntä tavoiteltujen konkreettisten tavoitteiden saavuttamiseksi ja voitaisiinko nämä tavoitteet saavuttaa toimenpiteillä, joilla puututaan vähemmän kyseisen henkilön oikeuksiin ja vapauksiin. EUT katsoo myös, että kansallinen lainsäädäntö, jossa säädetään kaikkien henkilöiden, joiden osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, biometristen ja geneettisten tietojen systemaattisesta keräämisestä, on lähtökohtaisesti ristiriidassa rikosasioiden tietosuojadirektiivin 10 artiklan kanssa.  

Ennakkoratkaisua asiassa C-205/21 pyytänyt tuomioistuin esitti asiassa jatkokysymyksiä, joita EUT käsittelee asiassa C-80/23 ( Ministerstvo na vatreshnite raboti - Biometristen ja geneettisten tietojen rekisteröinti II ). Ennakkoratkaisua pyytänyt tuomioistuin pyrki kysymyksillään saamaan EUT:lta tarkennuksia vaatimukseen, joka koskee biometristen ja geneettisten tietojen keräämisen rikosasioiden tietosuojadirektiivin 10 artiklassa tarkoitetun ”ehdottoman välttämättömyyden” tuomioistuinvalvontaa. EUT toteaa asiassa muun muassa, että arkaluonteisten tietojen käsittelyä koskevaa ehdottoman välttämättömyyden vaatimusta on 10 artiklan sanamuodonkin mukaisesti tulkittava siten, että arkaluonteisten tietojen käsittelyn lainmukaisuuden edellytykset ovat tiukemmat kuin edellytykset, joista säädetään direktiivin 4 artiklan 1 kohdan b ja c alakohdassa ja 8 artiklan 1 kohdassa, joissa viitataan ainoastaan direktiivin soveltamisalaan yleisesti kuuluvien tietojen käsittelyn ”tarpeellisuuteen”.  

EUT huomauttaa todenneensa tuomiossa C-205/21, että kansallinen lainsäädäntö, jossa säädetään kaikkien henkilöiden, joiden osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, biometristen ja geneettisten tietojen järjestelmällisestä keräämisestä, mutta jossa ei säädetä toimivaltaisen viranomaisen velvollisuudesta tarkastaa sille direktiivin 2016/680 10 artiklan mukaan kuuluvan velvollisuuden mukaisesti, onko tämä tietojen kerääminen ”ehdottoman välttämätöntä”, ja osoittaa tätä, on lähtökohtaisesti kyseisen 10 artiklan vastainen. Tällainen lainsäädäntö voi johtaa erottelematta ja yleisesti useimpien henkilöiden, joiden osalta on aloitettu esitutkinta, biometristen ja geneettisten tietojen keräämiseen. EUT huomauttaa todenneensa asiassa C-205/21, että ennakkoratkaisua pyytäneen tuomioistuimen on tarkastettava muun muassa, onko rikosasioiden tietosuojadirektiivin 10 artiklan tehokkuuden varmistamiseksi mahdollista tulkita kansallista lainsäädäntöä unionin oikeuden mukaisesti. Näin tehdessään EUT kehotti kyseistä tuomioistuinta selvittämään, mahdollistaako kansallinen lainsäädäntö sen, että rikosasioiden tietosuojadirektiivin 3 artiklan 7 alakohdassa tarkoitetut toimivaltaiset viranomaiset arvioivat, onko kyseisen henkilön biometristen ja geneettisten tietojen kerääminen niiden rekisteröintiä varten ”ehdottoman välttämätöntä”. EUT:n tarkoituksena oli siis muistuttaa ennakkoratkaisua pyytänyttä tuomioistuinta siitä, että ensisijaisuusperiaate edellyttää erityisesti, että se tulkitsee kansallista oikeuttaan mahdollisimman pitkälle unionin oikeuden mukaisesti. EUT:n mukaan asiassa C-205/21 kiinnitetään tältä osin kyseisen tuomioistuimen huomio siihen, että sen on tarkastettava, voidaanko kansallista lainsäädäntöä tulkita siten, että tämän tietojenkäsittelyn osalta toimivaltaiset viranomaiset voivat suorittaa niiden tehtäväksi kyseisen 10 artiklan mukaan kuuluvan arvioinnin. Jos toimivaltainen viranomainen ei ole kansallisen lainsäädännön mukaan velvollinen arvioimaan käsittelyn ”ehdotonta välttämättömyyttä”, tuomioistuin ei voi varmistaa toimivaltaisen viranomaisen sijasta tälle viranomaiselle kyseisen 10 artiklan nojalla kuuluvan velvollisuuden noudattamista. Juuri toimivaltaisen viranomaisen tehtävänä on suorittaa kyseisen 10 artiklan nojalla vaadittu arviointi. 

EUT on arvioinut muun muassa tietojen säilytysaikoja asiassa C-118/22 ( NG vs. Direktor na Glavna direktsia ”Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia ). Tapauksessa arvioitavana olleen kansallisen sääntelyn mukaan poliisiviranomaisten on säilytettävä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten muun muassa biometrisiä ja geneettisiä tietoja sellaisista henkilöistä, joiden osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta. Tiedot on säilytettävä asianomaisen henkilön kuolemaan saakka. Lainsäädännössä ei myöskään ole asetettu rekisterinpitäjälle velvollisuutta tarkistaa säännöllisesti, onko tietojen säilyttäminen edelleen tarpeen eikä annettu henkilölle rikosasioiden tietosuojadirektiivin mukaista oikeutta tietojen poistamiseen tai tietojen käsittelyn rajoittamiseen.  

EUT korostaa ratkaisussa, että rikoksesta lainvoimaisesti tuomittuja henkilöitä koskevien tietojen säilyttäminen poliisin rekisterissä voi osoittautua tarpeelliseksi operatiivista tutkintaa varten ja erityisesti tietojen vertaamiseksi muita rikoksia koskevissa tutkinnoissa kerättyihin tietoihin myös sen jälkeen, kun tuomio on poistettu rikosrekisteristä. EUT katsoo, että sellaisten henkilöiden biometristen ja geneettisten tietojen säilyttäminen, joiden osalta on jo annettu lainvoimainen rikostuomio, näiden henkilöiden kuolemaankin saakka, voi olla ehdottoman välttämätöntä rikosasioiden tietosuojadirektiivin 10 artiklan merkityksessä, jotta voidaan etenkin tarkistaa, ovatko nämä henkilöt mahdollisesti osallisina muissa rikoksissa, ja jotta näiden rikosten tekijät voidaan siis panna syytteeseen ja tuomita. On otettava huomioon se, miten tärkeitä tämäntyyppiset tiedot ovat rikostutkinnoissa useita vuosia tekojen jälkeenkin erityisesti silloin, kun nämä rikokset ovat vakavia rikoksia. Biometristen ja geneettisten tietojen säilyttämisen voidaan kuitenkin katsoa täyttävän rikosasioiden tietosuojadirektiivin 10 artiklassa tarkoitetun ehdottoman välttämättömyyden vaatimuksen ainoastaan, jos siinä otetaan huomioon lainvoimaiseen rikostuomioon johtaneen rikoksen luonne ja vakavuus tai muut olosuhteet, kuten erityinen asiayhteys, jossa tämä rikos on tehty, sen mahdollinen yhteys muihin vireillä oleviin menettelyihin taikka tuomitun henkilön tausta tai profiili. Kansallisessa lainsäädännössä säädetty velvoite säilyttää poliisin rekisteriin merkityt biometriset ja geneettiset tiedot rekisteröityjen kuolemaan asti silloin, kun heidän osaltaan on annettu lainvoimainen rikostuomio, on liian laaja niihin tarkoituksiin nähden, joita varten näitä tietoja käsitellään. EUT katsoi kansallisen sääntelyn olevan EU-oikeuden vastaista. Ratkaisun mukaan rikosasioiden tietosuojadirektiivi on esteenä kansalliselle lainsäädännölle, jonka mukaan poliisiviranomaisten on säilytettävä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten henkilötietoja ja etenkin biometrisiä ja geneettisiä tietoja henkilöistä, joiden osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta, asianomaisen henkilön kuolemaan saakka, myös silloin, kun hänet on rehabilitoitu, asettamatta rekisterinpitäjälle velvollisuutta tarkistaa säännöllisesti, onko tämä säilyttäminen edelleen tarpeen, tai antamatta mainitulle henkilölle oikeutta näiden tietojen poistamiseen, jos niiden säilyttäminen ei ole enää tarpeen niihin tarkoituksiin, joita varten niitä on käsitelty, tai tarvittaessa oikeutta näiden tietojen käsittelyn rajoittamiseen. 

Yleisen tietosuoja-asetuksen johdanto-osan 51 kappaleen mukaan henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Biometriset tiedot ovat yleisen tietosuoja-asetuksen 9 artiklassa ja rikosasioiden tietosuojalain 11 §:ssä tarkoitettuja erityisiin henkilötietoryhmiin kuuluvia tietoja, kun niitä käsitellään luonnollisen henkilön yksiselitteiseksi tunnistamiseksi. Tietosuoja-asetuksen 9 artiklassa säädetään erityisiä henkilötietoryhmiä koskevasta käsittelystä. Artiklan 1 kohdan mukaan erityisiin henkilötietoryhmiin kuuluvien biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten on kiellettyä. Poikkeamisperusteista säädetään artiklan 2 kohdassa. Tietosuoja-asetuksen soveltamisalaan kuuluvien käsittelytarkoitusten osalta esityksessä ehdotettu sääntely perustuu asetuksen 9 artiklan 2 kohdan g alakohtaan (1. lakiehdotuksen 15 a §, 2. lakiehdotuksen 14 §:n uusi 2 ja 3 momentti sekä 1. lakiehdotuksen 15 b § silloin, kun on kyse henkilöllisyyden selvittämisestä yleisen tietosuoja-asetuksen soveltamisalaan kuuluvissa poliisin tehtävissä). Mainitun alakohdan mukaan erityisiä henkilötietoryhmiä voidaan käsitellä, kun käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla, edellyttäen että se on oikeasuhteinen tavoitteeseen nähden, siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.  

Edellä kuvatuista EIT:n ja EUT:n ratkaisuista ei arvioida seuraavan estettä esityksessä ehdotetulle henkilötietojen käsittelylle. Ehdotetun sääntelyn nojalla ei perustettaisi uusia arkaluonteisia tietoja sisältäviä tietokantoja, vaan sääntely koskisi voimassa olevan lainsäädännön nojalla poliisin ja Maahanmuuttoviraston rekistereihin kerättävien tietojen käsittelyedellytyksiä. Esityksessä ei myöskään ehdoteta muutoksia edellytyksiin, joilla poliisi voi kerätä biometrisia tietoja rekisteröintiä varten. Ehdotettu tietojen käsittely olisi kaikilta osin sidottu välttämättömyysedellytykseen, jonka toteutuminen toimivaltaisen viranomaisen olisi varmistettava ennen käsittelyä. Esityksessä ei myöskään ehdoteta muutoksia poliisin mahdollisuuksiin käyttää kasvojentunnistusteknologiaa eikä ehdotetulla sääntelyllä mahdollistettaisi esimerkiksi biometristen tietojen käsittelyä rauhanomaisten mielenosoittajien tunnistamiseksi. 

Esityksessä ehdotetussa biometristen tietojen säilyttämisessä on noudatettava tiedoille kansallisessa lainsäädännössä asetettuja säilytysaikoja. Esityksessä ei ehdoteta muutoksia poliisin oikeuteen säilyttää biometrisia tietoja rikosasioiden yhteydessä. Passirekisterin ja henkilökorttirekisterin biometristen tietojen käyttöä rikostorjuntaan liittyvissä tarkoituksissa ehdotetaan lisäksi suojatoimena rajattavaksi kymmeneen vuoteen tiedon merkitsemisestä (1. lakiehdotuksen 38 §). Rikosasiaan liittyvien biometristen tietojen poistamiseen sovelletaan poliisin henkilötietolain 33 §:n säännöksiä henkilöllisyyden toteamiseksi käsiteltävien tuntomerkkitietojen poistamisesta. Tuntomerkkitiedoille on säännöksissä asetettu enimmäissäilytysaika, joka määräytyy rikoksen vakavuusasteen ja rikoksesta epäillyn henkilön iän perusteella. Tiedot poistetaan lisäksi aiemmin, jos tutkinnassa on selvinnyt, ettei rikosta ole tehty tai henkilöä ei enää ole syytä epäillä rikoksesta. Mikäli tietoja säilytetään enimmäissäilytysaikaa pidempään tutkinnallisen, valvonnallisen tai muun perustellun syyn vuoksi tai rekisteröidyn, muun asianosaisen tai poliisin henkilöstöön kuuluvan oikeuksien turvaamiseksi, edelleen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein. Esityksessä ei ehdoteta mahdollisuutta yleiseen ja valikoimattomaan henkilötietojen säilyttämiseen ilman aikarajaa. Sääntely ei mahdollistaisi tietojen säilyttämistä ja käsittelyä määrittelemättömän ajan huomioimatta rikoksen vakavuutta tai tarvetta tietojen määrittelemättömälle säilyttämiselle ja ilman todellista mahdollisuutta nostaa asia arvioitavaksi. Esityksessä ei myöskään ehdoteta rajoituksia rikosasioiden tietosuojalain 25 §:ssä säädettyyn rekisteröidyn oikeuteen vaatia henkilötietojen oikaisemista, täydentämistä, poistamista tai käsittelyn rajoittamista. 

Esityksessä ei ehdoteta erityissääntelyä sellaisista asiakokonaisuuksista, joista jo säädetään kattavasti ja täsmällisesti tietosuojan yleislainsäädännössä. Tietosuojalain 6 §:ssä säädetään erityisten henkilötietoryhmien käsittelyssä edellytetyistä asianmukaisista ja erityisistä suojatoimenpiteistä, jotka rekisterinpitäjän on toteutettava, kun erityisiin henkilötietoryhmiin kuuluvasta käsittelystä säädetään laissa tai käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Yleinen tietosuoja-asetus ja tietosuojalaki sisältävät yksityiskohtaiset säännökset myös muun muassa rekisterinpitäjän velvollisuuksista ja rekisteröidyn oikeuksista, tietoturvallisuudesta ja henkilötietojen käsittelyn valvonnasta sekä lainvastaisen henkilötietojen käsittelyn seuraamuksista. Vastaavasti rikosasioiden tietosuojalaissa säädetään muun muassa rekisteröidyn oikeuksista, tietoturvallisuudesta, valvontaviranomaisesta ja oikeusturvasta, vahingonkorvauksesta, rangaistuksista ja vaitiolovelvollisuudesta. SIS-järjestelmään tallennettujen henkilötietojen käsittelystä, rekisteröidyn oikeuksista ja oikeussuojakeinoista sekä valvontaviranomaisista säädetään lisäksi suoraan sovellettavissa EU:n SIS-asetuksissa.  

Esitys koskee henkilöiden automaattista tunnistamista ja löytämistä sekä henkilöllisyyden automaattista todentamista biometristen tietojen avulla. Esityksessä on kyse arkaluonteisten tietojen käsittelystä, joka koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä. Esityksessä ehdotetaan täsmällistä ja tarkkarajaista sääntelyä poliisin passirekisteriin ja henkilökorttirekisteriin talletettujen biometristen tietojen sekä poliisin ja Maahanmuuttoviraston rekistereihin talletettujen ulkomaalaisten biometristen tietojen käsittelystä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen. Laeissa säädettäisiin tarkoituksista, joihin tietoja saa käsitellä, käsittelyyn sovellettavasta menettelystä sekä edellytyksistä, joilla tietoja voi luovuttaa. Vaikka esityksessä tarkoitetut vertailut toteutettaisiin automaation avulla, lopullisen päätöksen henkilön tunnistamisesta tekisi aina luonnollinen henkilö eli virkamies. Esityksessä ei ehdoteta sääntelyä, joka mahdollistaisi yleisen tietosuoja-asetuksen 22 artiklassa ja rikosasioiden tietosuojalain 13 §:ssä tarkoitettujen automatisoitujen yksittäispäätösten tekemisen. 

Edellytykset tietojen käsittelylle olisivat samat sekä sormenjälkien että kasvokuvien osalta. Vertailua olisi kuitenkin vain harvoin välttämätöntä tehdä molempiin tietoryhmiin. Käsittely olisi rajoitettu vain tilanteisiin, joissa se on välttämätöntä. Mikäli henkilö on mahdollista tunnistaa vain sormenjälkien tai vain kasvokuvien avulla, ei molempien tietojen käyttö olisi välttämätöntä eikä siten myöskään sallittua. Kaikessa poliisin henkilötietolaissa tarkoitetussa henkilötietojen käsittelyssä on lisäksi lain 2 §:n mukaisesti noudatettava poliisilain 1 luvussa säädettyjä perusoikeuksien ja ihmisoikeuksien kunnioittamisen vaatimusta, suhteellisuusperiaatetta, vähimmän haitan periaatetta ja tarkoitussidonnaisuuden periaatetta. Käsittelyssä olisi noudatettava myös tietosuojan yleislainsäädännön edellytyksiä, kuten rikosasioiden tietosuojalain 2 luvussa säädettyjä henkilötietojen käsittelyä koskevia periaatteita. Näihin periaatteisiin kuuluu muun muassa tarpeellisuusvaatimus (rikosasioiden tietosuojalain 6 §). Käsiteltävien henkilötietojen on oltava käsittelyn tarkoituksen kannalta asianmukaisia ja tarpeellisia, eivätkä ne saa olla liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään. Sääntely ei mahdollistaisi tietojen käsittelyä laajemmin kuin mitä rikostorjunnan intressi kaikissa tilanteissa edellyttäisi.  

Käsittelyssä tulee myös muilta osin sovellettavaksi yleinen tietosuojalainsäädäntö. Esityksessä ei ole arvioitu tarpeelliseksi ehdottaa uusia yleisen tietosuoja-asetuksen 23 artiklassa tarkoitettuja rajoituksia asetuksen 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaan lukuun ottamatta rajoitusta tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa vahvistettuun käyttötarkoitussidonnaisuuden periaatteeseen. Sääntelyn arvioidaan olevan välttämätöntä ja oikeasuhtaista perusteilla, joita on kuvattu tarkemmin muun muassa seuraavassa jaksossa 11.2.3 (Henkilötietojen käsittely muuhun kuin alkuperäiseen tarkoitukseen). Sääntelyn arvioidaan vastaavan arkaluonteisten tietojen käsittelylle perustuslakivaliokunnan lausuntokäytännössä asetettuja edellytyksiä ja täyttävän perus- ja ihmisoikeuksista seuraavat vaatimukset. 

11.2.3  Henkilötietojen käsittely muuhun kuin alkuperäiseen käsittelytarkoitukseen

Perustuslakivaliokunta on korostanut erityisesti arkaluonteisten tietojen käsittelyn käyttötarkoitussidonnaisuuden vaatimusta. Tietojen käyttämiseen varsinaisen keräämis- ja tallettamistarkoituksen ulkopuolelle jääviin tarkoituksiin on perustuslakivaliokunnan mielestä laajojen biometrisiä tunnisteita sisältävien rekisterien yhteydessä ollut syytä suhtautua kielteisesti. Käyttötarkoitussidonnaisuudesta voidaan tällöin tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia. Sääntely ei saa johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi (ks. mm. PeVL 15/2018 vp, PeVL 1/2018 vp, PeVL 14/2017 vp sekä passilain muuttamista koskeva PeVL 14/2009 vp). 

Perustuslakivaliokunta on käsitellyt passirekisteriin talletettujen biometristen tietojen käsittelytarkoituksia passilain uudistusta koskevan esityksen HE 234/2008 vp yhteydessä. Esityksessä ehdotettiin, että poliisi olisi saanut käyttää passin sormenjälkitietoja henkilöllisyyden selvittämiseksi suoritettaessa sellaista poliisin yksittäistä tehtävää, joka välttämättä edellyttää henkilöllisyyden varmistamista. Perustuslakivaliokunta ei pitänyt poliisin henkilötietolakiin ehdotettua säännöstä asianmukaisena etenkään käyttötarkoituksen määrittelyltä edellytettävän täsmällisyys- ja tarkkarajaisuusvaatimuksen kannalta (PeVL 14/2009 vp). 

Ulkomaalaislain muuttamista koskevassa lausunnossaan PeVL 47/2010 vp perustuslakivaliokunta on pitänyt säätämisjärjestyskysymyksenä, että ulkomaalaislain 131 §:n perusteella kerättyjen sormenjälkien käyttäminen rajoitetaan vain niiden keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen. Tällainen tarkoitus voi valiokunnan mukaan sinänsä liittyä myös tarkasti määriteltyjen rikosten estämiseen ja selvittämiseen, mutta ainoastaan siinä laajuudessa kuin tällä toiminnalla on kiinteä yhteys alkuperäiseen keräämis- ja tallettamistarkoitukseen. Lisäksi valiokunta piti ehdotettua sääntelyä perustuslain 6 §:n kannalta arveluttavana sen vuoksi, että se kohdistui vain tiettyihin ulkomaalaisryhmiin. 

Edellistä Eurodac-asetusehdotusta käsittelevässä lausunnossaan perustuslakivaliokunta arvioi, että sormenjälkitietojen käytön laajentamista Eurodac-asetusehdotuksessa tarkoitettujen terrorismirikosten tai muiden vakavien rikosten torjuntaa, havaitsemista tai tutkimista varten ei voida pitää vähäisenä poikkeuksena. Vakavilla rikoksilla tarkoitetaan tässä yhteydessä sellaisia rikoksia, joista seurauksena määrättävän rangaistuksen enimmäisaika kansallisen lainsäädännön mukaan on vähintään kolme vuotta. Tämänkaltainen käyttötarkoituksen laajentaminen sormenjälkitietojen ollessa kyseessä ei perustuslakivaliokunnan näkemyksen mukaan olisi ollut ainakaan kansallisen lainsäädännön yhteydessä valtiosäännön kannalta hyväksyttävää (PeVL 21/2012 vp).  

Perustuslakivaliokunta on myös kiinnittänyt erityistä huomiota sormenjälkitietojen käyttötarkoituksen laajentamiseen arvioidessaan poliisin henkilötietolakia (PeVL 51/2018 vp). Valiokunta katsoi, että käyttötarkoitussidonnaisuudesta voitiin tavallisen lain säätämisjärjestyksessä poiketa sääntelyä olennaisesti alkuperäiseen keräämis- ja tallettamistarkoitukseen rajaamatta vain, mikäli sormenjälkitietojen käyttö eräiden EU:n Eurodac-asetuksessa tarkoitettujen rikosten ennalta estämiseksi, paljastamiseksi tai selvittämiseksi oli Eurodac-asetuksessa edellytettyä. Perustuslakivaliokunta arvioi, että ehdotuksesta seurannut tietojen käyttö rikosten estämiseksi, paljastamiseksi ja selvittämiseksi olisi laajentunut rikoksiin, jotka törkeässäkään tekomuodossaan eivät kohdistu valtion turvallisuuteen tai muuhun ulkomaalaislain 131 §:ssä lueteltuun tarkoitukseen. Näiden rikosten torjunnalla ei siten katsottu olevan perustuslakivaliokunnan edellyttämää kiinteää yhteyttä alkuperäiseen keräämis- ja tallettamistarkoitukseen. Valiokunta katsoi, että mikäli lakiehdotuksen sääntely ei tältä osin ollut Eurodac-asetuksen edellyttämää, oli sitä täsmennettävä olennaisesti siten, että käsittelyllä on kiinteä yhteys alkuperäiseen keräämis- ja tallettamistarkoitukseen. 

Perustuslakivaliokunta on hiljattain arvioinut käyttötarkoitussidonnaisuudesta poikkeamista Schengenin tietojärjestelmän käyttöä koskevia asetuksia täydentävän lainsäädännön yhteydessä (PeVL 40/2021 vp ja PeVL 23/2022 vp, ks. myös PeVL 18/2024 vp). Perustuslakivaliokunnan mielestä erityisen vakavien rikosten ennalta estämiseen, paljastamiseen tai selvittämiseen voi liittyä sellaisia painavia, perusoikeusjärjestelmäänkin palautuvia yhteiskunnallisia intressejä, jotka riittävästi perustelevat käyttötarkoitussidonnaisuudesta poikkeamista. Näiltä osin on valtiosääntöisesti mahdollista tehdä rajattuja poikkeuksia käyttötarkoitussidonnaisuuden periaatteeseen, mikäli huolellisesti laadittu sääntely kokonaisuutena arvioiden täyttää perus- ja ihmisoikeuksien vaatimukset ja on yhteensopivaa EU-oikeuden asettamien vaatimusten kanssa. Perustuslakivaliokunnan mielestä sanottu on syytä ottaa huomioon valtioneuvoston piirissä tehtävässä lainvalmistelussa ja selvitystyössä. Valiokunta nostaa tässä yhteydessä esiin myös selvityksen passirekisteriin tai henkilökorttirekisteriin talletettujen sormenjälkien käyttämisestä rikostorjunnassa. Perustuslakivaliokunnan mielestä varsin vakiintuneesta käyttötarkoitussidonnaisuutta koskevasta tulkintakäytännöstä ei kuitenkaan ole syytä irtaantua etenkään sääntelyn perusteiden osalta ilman riittäviä perusteluita ja huolellista harkintaa. Mahdollinen käyttötarkoitussidonnaisuutta rajaava sääntely olisi hyväksyttävien perusteluiden vallitessa perusteltava ja laadittava huolellisesti asianmukaisin vaikutusarvioin ja arvioin yhteensopivuudesta sekä perus- että ihmisoikeuksiin ottaen huomioon myös EU:n tietosuojasääntelyn vaikutukset. 

EUT ottanut kantaa kansalliseen passirekisteriin tallennettujen biometristen tietojen käsittelyyn yhdistetyssä asiassa C-446/12-C449/12 ( Willems) antamassaan ratkaisussa. Tapauksessa kantajat kieltäytyivät toimittamasta biometrisia tietoja siitä syystä, että niiden ottaminen ja säilyttäminen merkitsee heidän ruumiillisen koskemattomuutensa ja yksityiselämän suojaa koskevan oikeutensa vakavaa loukkausta. Kantajien mukaan loukkaus aiheutuu erityisesti siitä, että tiedot tallennetaan passin tai henkilökortin lisäksi myös hajautettuun tietokantaan. Lisäksi tietojen turvallisuutta koskevat riskit lisääntyvät, koska hajautetut kunnalliset tietokannat yhdistetään lopuksi keskitetyksi tietokannaksi. Kantajat väittivät myös, että viranomaiset voivat tulevaisuudessa käyttää biometrisiä tietoja muihin tarkoituksiin, kuin mihin ne on niille toimitettu.  

Tuomioistuimen mukaan EU:n passiasetusta on tulkittava siten, että siinä ei velvoiteta jäsenvaltioita takaamaan lainsäädännössään, että mainitun asetuksen perusteella kerättyjä ja tallennettuja biometrisiä tietoja ei kerätä, käsitellä ja käytetä muihin tarkoituksiin kuin passin tai matkustusasiakirjan myöntämistä varten, koska tämä näkökohta ei kuulu mainitun asetuksen soveltamisalaan. Passiasetusta sovelletaan sen johdanto-osan mukaisesti rajoittamatta tietojen muuta käyttöä tai tallentamista jäsenvaltioiden kansallisen lainsäädännön mukaisesti eikä asetus muodosta oikeusperustaa tietojen tallentamiseen käytettävien tietokantojen perustamiselle tai ylläpitämiselle jäsenvaltioissa, mikä on yksinomaan kansallisen lainsäädännön piiriin kuuluva asia. Kun kansallinen lainsäädäntö kuuluu unionin oikeuden soveltamisalaan, sen on oltava perusoikeuskirjan 7 ja 8 artiklassa asetettujen vaatimusten mukaista. Passiasetus eroaa siten esimerkiksi ratkaisussa C-817/19 ( Ligue des droits humains ) käsitellystä PNR-direktiivistä, jossa säädetään tyhjentävästi direktiivin mukaan kerättyjen PNR-tietojen käsittelytarkoituksista. EU:n passiasetuksesta ei valmistelussa ole katsottu seuraavan estettä kansalliseen passirekisteriin talletettujen biometristen tietojen käsittelylle muuhun kuin niiden alkuperäiseen käyttötarkoitukseen, kun sääntelyssä noudatetaan perusoikeuksien rajoitusedellytyksiä. Kansallisten tietokantojen perustaminen on jätetty kansallisen lainsäädännön piiriin myös ratkaisun C-61/22 ( RL vs. Landeshauptstadt Wiesbaden ) johdosta annetussa uudessa ID-asetuksessa (EU) 2025/1208 (ks. jakso 2.2.3).  

EUT on viime vuosien aikana antanut myös useita sähköisen viestinnän tietosuojadirektiivin tulkintaan liittyviä ratkaisuja, joilla on merkitystä myös nyt ehdotetun sääntelyn kannalta. Ratkaisuissa on arvioitu muun muassa liikenne- ja paikkatietoja koskevan säilytysvelvollisuuden asettamista sähköisten viestintäpalvelujen tarjoajille rikollisuuden torjumiseksi sekä yleisen ja kansallisen turvallisuuden varmistamiseksi (esim. C-140/20 G. D. vastaan Commissioner of An Garda Síochána ym. , yhdistetyt asiat C-511/18, C-512/18 ja C-520/18 La Quadrature du Net ym. vastaan Premier ministre ym., C-746/18 Prokuratuur sekä yhdistetyt asiat C-793/19 ja C-794/19 Saksan liittotasavalta vastaan SpaceNet AG ja Telekom Deutschland GmbH ).  

Edellä mainituissa ratkaisuissa EUT vahvistaa, että vain vakavan rikollisuuden torjuminen ja yleiseen turvallisuuteen kohdistuvien vakavien uhkien ehkäiseminen sekä kansallisen turvallisuuden takaaminen voivat suhteellisuusperiaatteen mukaisesti oikeuttaa liikenne- ja paikkatietojen säilyttämisestä johtuvan kaltaiset vakavat puuttumiset perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin. Kansallisen turvallisuuden takaamista koskeva tavoite on tärkeämpi kuin vakavan rikollisuuden torjumista ja yleisen turvallisuuden suojaamista koskevat tavoitteet ja sillä voidaan näin ollen perustella toimenpiteitä, joilla puututaan perusoikeuksiin vakavammin kuin toimenpiteillä, jotka voitaisiin muilla tavoitteilla. Ainoastaan sellaiset puuttumiset mainittuihin perusoikeuksiin, jotka eivät ole vakavia, voidaan oikeuttaa rikosten ehkäisemistä, tutkintaa, selvittämistä ja syyteharkintaa yleisesti koskevalla tavoitteella.  

Sormenjälkien antamat tiedot eivät EUT:n mukaan yksinään mahdollista kuvan saamista asianomaisten henkilöiden yksityis- ja perhe-elämästä (ks. asia C-61/22, RL vs. Landeshauptstadt Wiesbaden ) toisin kuin sähköisten viestintäpalvelujen tarjoajien säilyttämät liikenne- ja paikkatiedot (esim. C-140/20, G. D. vastaan Commissioner of An Garda Síochána ym. ), tuomiossa C-817/19 ( Ligue des droits humains ) käsitellyt matkustajarekisteritiedot (PNR-tiedot) tai matkapuhelimen sisältämät tiedot (ks. jaksossa 11.5 käsitelty asia C548/21, CG v. Bezirkshauptmannschaft Landeck ). Tältä osin henkilön tunnistamiseksi käsiteltävien biometristen tietojen voidaan katsoa rinnastuvan henkilöllisyyttä koskeviin tietoihin, joiden säilyttämiselle on sähköisen viestinnän tietosuojadirektiiviä koskevassa EUT:n oikeuskäytännössä asetettu liikenne- ja paikkatietoja matalampi kynnys (ks. C-140/20, G. D. vastaan Commissioner of An Garda Síochána ym. ). Biometristen tietojen käsittelyn henkilön tunnistamiseksi tai hänen henkilöllisyytensä todentamiseksi ei EUT:n oikeuskäytännön valossa voida arvioida muodostavan yhtä vakavaa puuttumista perusoikeuksiin kuin liikenne- ja paikkatietojen säilyttämisen, eikä biometristen tietojen käsittelyä ole EUT:n oikeuskäytännössä kytketty kaikilta osin vastaaviin edellytyksiin kuin esimerkiksi liikenne- ja paikkatietojen käsittelyä (ks. myös oikeusturvaa koskeva jakso 11.5). Biometriset tiedot ovat kuitenkin luonteeltaan erityisen arkaluonteisia ja tuomioistuin katsoo ratkaisussa C-61/22, että niiden käsittely on omiaan antamaan lisätietoja rekisteröityjen yksityiselämästä. ID-asetuksessa tarkoitettuun henkilökorttiin ja oleskelulupa-asiakirjaan tallennettuja biometrisia tietoja voidaan siten tuomioistuimen mukaan käsitellä ainoastaan tiukasti rekisteröidyn tunnistamiseen liittyvissä tarkoituksissa ja laissa täsmällisesti määritellyissä olosuhteissa, joissa edellytetään henkilökortin tai oleskeluasiakirjan esittämistä. Ratkaisu ei nimenomaisesti koske kansalliseen tietokantaan tallennettuja biometrisia tietoja, mutta myös kansallisessa rekisterissä olevien tietojen käsittely on rajattava rikosasioiden tietosuojadirektiivin vaatimusten mukaisesti vain ehdottoman välttämättömään ja sääntelyssä on noudatettava erityisten henkilötietoryhmien käsittelyä koskevia edellytyksiä.  

Esityksessä ehdotetaan poliisin henkilötietolakiin ja maahanmuuttohallinnon henkilötietolakiin säännöksiä, joilla laajennettaisiin biometristen tietojen sallittuja käyttötarkoituksia. Sääntelyssä olisi kyse tietojen käyttämisestä muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen lukuun ottamatta Maahanmuuttoviraston rekisterissä olevien biometristen tietojen luovuttamista Schengenin tietojärjestelmään tehtäviin SIS-rajatarkastusasetuksen ja SIS-palauttamisasetuksen mukaisiin kuulutuksiin. Tietoja voitaisiin ehdotuksen mukaan käsitellä esimerkiksi silloin, kun se olisi välttämätöntä eräiden vakavien rikosten estämiseksi, paljastamiseksi ja selvittämiseksi. Rikostorjunnan osalta mahdollisuus tietojen käyttöön rajattaisiin sellaisiin säännöksissä täsmällisesti yksilöityihin rikoksiin, joiden estämisen, paljastamisen ja selvittämisen arvioidaan olevan erityisen tärkeää yksilöiden ja yhteiskunnan turvallisuuden kannalta.  

Ehdotetussa rajatussa poikkeuksessa käyttötarkoitussidonnaisuuden periaatteeseen olisi kyse 15 e §:n säännöskohtaisissa perusteluissa tarkemmin kuvatuista vakavalaatuisista maanpetos- ja vakoilurikoksista sekä valtiopetosrikoksista ja terrorismirikoksista, yleisvaarallisista rikoksista, järjestäytyneeseen rikollisuuteen tyypillisesti kytkeytyvistä rikoksista, lasten seksuaaliseen hyväksikäyttöön liittyvistä rikoksista sekä rikoksista, joista laissa säädetty ankarin rangaistus on vähintään 6 vuotta vankeutta. Valmistelussa on arvioitu, että mainittujen rikosten ennalta estämiseen, paljastamiseen tai selvittämiseen liittyy sellaisia painavia, perusoikeusjärjestelmäänkin palautuvia yhteiskunnallisia intressejä, jotka voivat perustuslakivaliokunnan mukaan riittävästi perustelevat käyttötarkoitussidonnaisuudesta poikkeamista. Erityisesti lasten seksuaaliseen hyväksikäyttöön liittyvien rikosten osalta ehdotettu sääntely on yhteydessä myös lasten oikeuksien turvaamiseen (ks. PeVL 40/2021 vp ja PeVL 23/2022 vp). Ulkomaalaisten osalta tietojen käsittely rikostorjunnassa olisi lisäksi sallittua sellaisten rikosten ennalta estämiseksi, paljastamiseksi ja selvittämiseksi, joilla arvioidaan olevan kiinteä yhteys tietojen alkuperäisiin käsittelytarkoituksiin kuuluvaan valtion turvallisuuden suojaamiseen. Tietoja voitaisiin käsitellä myös merkittävän vaaran estämiseksi. Käsillä olevan merkittävän hengelle, terveydelle tai vapaudelle aiheutuvan vaaran estämiseen liittyy siinä määrin painavia henkilökohtaisen turvallisuuden suojaamiseen kytkeytyviä intressejä, että ehdotettu yksityisyyden suojan rajoitus on arvioitu välttämättömäksi.  

Rikoksen estämistä, paljastamista ja selvittämistä koskevissa säännöksissä erotettaisiin henkilöryhmät, joiden tunnistamiseksi tai henkilöllisyyden todentamiseksi tietoja voitaisiin käsitellä kunkin käsittelytarkoituksen mukaisesti. Valmistelussa ei kuitenkaan ole arvioitu välttämättömäksi eriyttää rikosnimikkeitä, joiden osalta tietoja olisi sallittua käyttää rikoksen estämiseksi ja paljastamiseksi tai rikoksen selvittämiseksi. Rikoksen estämisellä tarkoitettaisiin poliisilain 5 luvun 1 §:n määritelmän mukaisesti toimenpiteitä, joiden tavoitteena on estää rikos, sen yritys tai valmistelu, kun henkilön toiminnasta tehtyjen havaintojen tai siitä muuten saatujen tietojen vuoksi voidaan perustellusti olettaa hänen syyllistyvän rikokseen, taikka keskeyttää jo aloitetun rikoksen tekeminen tai rajoittaa siitä välittömästi aiheutuvaa vahinkoa tai vaaraa. Rikoksen paljastamisella vastaavasti viitattaisiin poliisilain 5 luvun 1 §:n 3 momentin mukaisesti toimenpiteisiin, joiden tavoitteena on selvittää, onko esitutkinnan aloittamiselle esitutkintalain 3 luvun 3 §:n 1 momentissa tarkoitettua perustetta, kun henkilön toiminnasta tehtyjen havaintojen tai siitä muuten saatujen tietojen vuoksi voidaan olettaa, että rikos on tehty. Kyse olisi siten aina konkreettisen ja yksilöidyn teon estämisestä tai paljastamisesta, eikä tietojen käsittely olisi sallittua laajemmin rikosten ennalta ehkäisyn ja poliisin ennalta estävän toiminnan yhteydessä.  

Esimerkiksi poliisilain 5 luvun mukaiset salaiset tiedonhankintakeinot ja pakkokeinolain 10 luvun mukaiset salaiset pakkokeinot eroavat toisistaan sen suhteen, minkä rikosnimikkeiden estämiseksi, paljastamiseksi ja selvittämiseen keinoja on sallittua käyttää. Yleisessä tietosuojalainsäädännössä vastaavaa erottelua ei ole tehty. Yleisen tietosuoja-asetuksen 23 artiklan mukaan rikosten ennalta estäminen, tutkinta ja paljastaminen ovat painoarvoltaan toisiaan vastaavia tavoitteita, joiden takaamiseksi lainsäädäntötoimenpiteellä voidaan rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa 23 artiklan mukaisten edellytysten täyttyessä. Rikosasioiden tietosuojadirektiivissä puolestaan vahvistetaan direktiivin 1 artiklan mukaan säännöt muun muassa luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista varten. Direktiivissä ei säädetä erilaisista käsittelyedellytyksistä riippuen siitä, käsitteleekö toimivaltainen viranomainen henkilötietoja rikoksen paljastamiseksi, estämiseksi vai tutkimiseksi.  

Perustuslakivaliokunnan myötävaikutuksella säädetyn poliisin henkilötietolain 13 §:ssä on tehty erottelu vankeusuhkaisten ja muiden rikosten välillä siten, että poliisi saa käsitellä lain 5–9, 11 ja 12 §:ssä tarkoitettuja henkilötietoja muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen rikoksen ennalta estämiseksi tai paljastamiseksi rikoksen vakavuusasteesta riippumatta sekä sellaisen rikoksen selvittämiseksi, josta laissa säädetty ankarin rangaistus on vankeutta. Vastaavaa erottelua ei kuitenkaan ole tarpeen tehdä esityksessä ehdotettujen rikosnimikkeiden osalta, koska esityksessä on kyse yksinomaan vankeusuhkaisista rikoksista. Sekä esityksessä tarkoitettujen rikosten estämiseen ja paljastamiseen että selvittämiseen arvioidaan liittyvän painava yhteiskunnallinen intressi.  

Yksittäisiä rekisteritietoja voisi käsitellä myös henkilöllisyyden selvittämiseksi tilanteissa, joissa viranomaisten voimassa oleva toimivaltuussääntely mahdollistaa henkilöllisyyden selvittämisen henkilötuntomerkkien avulla. Tietojen käyttäminen henkilöllisyyden selvittämisessä olisi rajattu täsmällisesti ainoastaan yksittäisiin tietoihin kohdistuviin hakuihin henkilöllisyyden todentamiseksi, eikä säännös mahdollistaisi laajempia muiden rekisteröityjen tietoihin kohdistuvia vertailuja henkilön tunnistamiseksi. Esityksessä tarkoitetut biometriset tiedot eivät siten olisi yleisesti käytettävissä poliisin operatiivisissa tehtävissä (ks. PeVL 47/2010 vp, PeVL 14/2009 vp). Turvallisuusviranomaisten toimien kohteen henkilöllisyyden luotettavaa varmentamista voidaan pitää myös henkilön oikeusturvan kannalta merkittävänä. Oikeudella yksittäisten rekisteritietojen käyttämiseen henkilöllisyyden todentamisessa vähennettäisiin tarvetta käyttää henkilön oikeuksiin enemmän puuttuvia keinoja kuten kiinniottamista (ks. myös jakso 11.1 Oikeus elämään sekä henkilökohtaiseen vapauteen ja koskemattomuuteen). 

Poliisin henkilötietolakia ehdotetaan lisäksi muutettavaksi siten, että kansallisen turvallisuuden suojaamisesta vastaavat viranomaiset eli suojelupoliisi ja sotilastiedusteluviranomainen voisivat saada passirekisterin ja henkilökorttirekisterin biometrisia tietoja, kun se olisi välttämätöntä kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta. Sotilastiedusteluviranomainen voisi saada tietoja myös maanpuolustuksen suojaamiseksi. Valtioilla voidaan katsoa olevan laaja harkintamarginaali sen suhteen, millaisen toiminnan ne katsovat uhkaavan kansallista turvallisuuttaan ja siten voivan oikeuttaa Euroopan ihmisoikeussopimuksen 8 artiklan takaamiin oikeuksiin puuttumisen. Kansallinen turvallisuus kuuluu perinteisesti valtiosuvereenisuuden piiriin (ks. Bucur ja Toma v. Romania , 8.1.2013). Tuomioistuimen ratkaisukäytännön perusteella on selvää, että ainakin sotilaallinen maanpuolustus, terrorismin torjunta ja laittoman tiedustelutoiminnan torjunta kuuluvat kansallisen turvallisuuden piiriin (mm. Klass ja muut v. Saksa , 6.9.1978 ja Weber ja Saravia v. Saksa, 29.6.2006). Kansallista turvallisuutta vakavasti uhkaavalla toiminnalla viitataan kansanvaltaista valtio- ja yhteiskuntajärjestystä, yhteiskunnan perustoimintoja, suuren ihmismäärän henkeä tai terveyttä tai kansainvälistä rauhaa ja turvallisuutta uhkaavaan toimintaan. Kyse voi olla esimerkiksi Suomen kansallista turvallisuutta vakavasti uhkaavasta terrorismiin liittyvästä toiminnasta, väkivaltaisesta radikalisoitumisesta tai ulkomaisten tiedustelupalvelujen toiminnasta taikka Suomen turvallisuuden kannalta keskeisen valtion levottomuuksista (ks. PeVM 4/2018 vp). Perustuslakivaliokunta on myös todennut, että valtion tulee pyrkiä takaamaan kansallinen turvallisuus sekä yleinen järjestys kaikissa olosuhteissa (PeVL 26/2024 vp, PeVL 16/2022 vp).  

Esityksessä ehdotetun henkilötietojen käytön arvioidaan turvaavan sellaisia painavia yhteiskunnallisia intressejä, joiden nojalla rajoituksia henkilötietojen suojaan ja käyttötarkoitussidonnaisuuden periaatteeseen voidaan tehdä, kun rajoitukset ovat demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia ja niissä noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia. Rajoituksissa on noudatettava tietosuojalainsäädännön, perustuslain ja perusoikeuskirjan 52 artiklan mukaisia edellytyksiä. Ehdotetun sääntelyn arvioidaan olevan painavan yhteiskunnallisen tarpeen vaatimaa muun muassa rikollisuuden kehitykseen liittyvistä syistä (ks. myös jakso 4.2.5.3 Vaikutukset turvallisuuteen sekä 1. lakiehdotuksen säännöskohtaiset perustelut). Biometriset tiedot ovat usein ainoa luotettava tapa henkilön tunnistamiseen, eikä tunnistettavana olevia henkilöitä usein ole rekisteröity voimassa olevan sääntelyn mukaisesti käytettävissä oleviin rikosperusteisiin tuntomerkkitietoihin. 

Ehdotettu sääntely perustuisi yleisen tietosuoja-asetuksen kansalliseen liikkumavaraan. Kyse on tiedoista, jotka on alun perin kerätty yleisen tietosuoja-asetuksen soveltamisalaan kuuluviin tarkoituksiin. Mikäli tietoja käsitellään muuhun kuin niiden alkuperäiseen keräämistarkoitukseen, on sääntelyä arvioitava käyttötarkoitussidonnaisuuden periaatetta vasten siten kuten tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään. Kohdan mukaan jäsenvaltion lainsäädännön on muodostettava demokraattisessa yhteiskunnassa välttämätön ja oikeasuhtainen toimenpide yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näihin tavoitteisiin kuuluvat muun muassa kansallinen turvallisuus, yleinen turvallisuus sekä rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy. Esitetyissä muutoksissa on kyse henkilötietojen käsittelystä kansallisen turvallisuuden ja yleisen turvallisuuden suojaamiseksi sekä rikosten ennalta estämiseksi, tutkimiseksi ja paljastamiseksi. 

Ehdotetun sääntelyn arvioidaan täyttävän EU-oikeuden vaatimukset ja perustuslakivaliokunnan lausuntokäytännössä käyttötarkoitussidonnaisuudesta poikkeamiselle asetetut edellytykset. Sääntely on arvioitu välttämättömäksi ja oikeasuhtaiseksi toimenpiteeksi yllä mainittujen yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa mainittujen tavoitteiden turvaamiseksi. Mahdollisuus tietojen käyttöön rikostorjunnassa rajattaisiin sellaisiin säännöksissä yksilöityihin rikoksiin, joiden tehokasta estämistä, paljastamista ja selvittämistä voidaan pitää erityisen tärkeänä sekä yksilöiden että yhteiskunnan turvallisuuden kannalta. Digitaalisen materiaalin rikostorjunnallinen merkitys kasvaa jatkuvasti. Kaupankäynnin ja viestinnän digitalisoituminen ovat vauhdittaneet järjestäytyneen rikollisuuden verkostoitumista ja suurin osa rikollisuudesta toimii ainakin osittain tietoverkossa ja sosiaalisen median kanavissa. Erityisesti vakavilla ja suunnitelmallisilla rikoksilla on yhteiskunnan yleisen teknologisen kehityksen myötä lähes poikkeuksetta kosketuspinta myös verkkoympäristöön ja digitaaliseen materiaaliin. Vaikka esityksen suurimmat hyödyt liittyisivät teknologisen kehityksen myötä lisääntyneeseen biometristen kasvokuvien merkitykseen, yksittäistapauksissa myös sormenjälkien käsittelyllä voitaisiin saavuttaa turvallisuuden näkökulmasta merkittäviä hyötyjä. Vakavien rikosten kohdalla yksittäisenkin rikoksen selvittämis- ja estämisintressi sekä yhteiskunnallinen merkitys on lähtökohtaisesti suuri. Poliisin tilastojen mukaan esityksessä tarkoitettujen rikosten osalta suurimmat lukumäärät ovat viimeisten vuosien aikana liittyneet törkeisiin huumausainerikoksiin, raiskauksiin ja törkeisiin pahoinpitelyihin. Sormenjälkitietojen hyödyt korostuisivat erityisesti tapauksissa, joissa rikoksen tutkinta on jouduttu keskeyttämään, koska käytössä olevien tutkintatoimenpiteiden avulla ei ole saatavilla lisätietoa.  

Muutoksilla parannettaisiin lisäksi toimivaltaisten viranomaisten mahdollisuuksia suojata maanpuolustusta ja suojata kansallista turvallisuutta sitä vakavasti uhkaavalta toiminnalta. Tavoitteena on varmistaa suojelupoliisin ja sotilastiedusteluviranomaisen kyky vastata turvallisuusympäristön nopeaan muutokseen ja heikkenemiseen. Suojelupoliisin osalta keskeisiä siviililuontoisia valtioon kohdistuvia vakavia turvallisuusuhkia ovat terrorismi, ulkovaltojen Suomeen ja sen etuihin kohdistama vakoilu tai tiedustelu, joukkotuhoaseiden ja kaksikäyttötuotteiden levittämispyrkimykset sekä sellainen kansainvälinen järjestäytynyt rikollisuus, joka pyrkii vaikuttamaan yhteiskunnalliseen päätöksentekoon tai soluttautumaan valtiorakenteisiin. Sotilastiedustelu hankkii ja käsittelee tietoa Suomeen kohdistuvasta tai Suomen turvallisuusympäristön kannalta merkityksellisestä sotilaallisesta toiminnasta taikka vieraan valtion toiminnasta tai muusta sellaisesta toiminnasta, joka vakavasti uhkaa Suomen maanpuolustusta tai vaarantaa yhteiskunnan elintärkeitä toimintoja. 

Sääntelyllä turvattaisiin painavia yhteiskunnallisia intressejä. Tietojen käsittely ehdotetuissa uusissa käsittelytarkoituksissa olisi kuitenkin tiukasti rajattua, eikä muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta siten muodostuisi rekisterin pääasialliseksi tai lupahallinnolliseen käyttöön verrattuna merkittäväksi käyttötavaksi. Uusia käsittelytarkoituksia koskevat säännökset mahdollistaisivat biometristen tietojen käyttämisen ainoastaan viimesijaisena tunnistuskeinona tilanteissa, joissa se on käsittelytarkoituksen kannalta välttämätöntä eikä henkilöä voida luotettavasti tunnistaa muiden tietojen avulla.  

Käytettävissä olevien tilastotietojen valossa valmistelussa on arvioitu, että ehdotettu tietojen käsittely rikostorjunnassa olisi lupahallinnolliseen käyttöön verrattuna varsin vähäistä (ks. jakso 4.2.4 Vaikutukset yksityiselämän ja henkilötietojen suojaan). Myös tiedusteluviranomaisten osalta säädettäisiin vertailun viimesijaisuudesta muihin tunnistamiskeinoihin nähden ja vertailun edellytyksenä olisi välttämättömyyden lisäksi muun muassa se, ettei henkilöä ole tunnistettu tai hänen henkilöllisyyttään saatu todennettua muiden suojelupoliisilla tai sotilastiedusteluviranomaisella olevien tietojen avulla. Käytön arvioidaan siten jäävän tältäkin osin vähäiseksi verrattuna lupahallinnolliseen käyttöön. Lupahallinnossa passirekisterin ja henkilökorttirekisterin biometrisia tietoja käsitellään jokaisen asiakirjahakemuksen yhteydessä. Myönnettyjen passien ja henkilökorttien määrät ovat vuosien 2020–2024 välillä vaihdelleet vuosittain noin 700 000 asiakirjasta noin 1 400 000 asiakirjaan. Kaikkia passirekisterin ja henkilökorttirekisterin kasvokuvia ja sormenjälkitietoja on siten tarkoitus käyttää vertailujen tekemiseksi lupahallinnollisessa tarkoituksessa noin 700 000–1 400 000 kertaa vuodessa. Muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta ei muodostuisi rekisterin pääasialliseksi tai edes määrällisesti merkittäväksi käyttötavaksi verrattuna tietojen käsittelyyn lupahallinnossa. Valmistelussa on arvioitu, että ehdotettu sääntely yhdessä voimassa olevan tietosuojan yleislainsäädännön ja viranomaiskohtaisten henkilötietolakien muun sääntelyn kanssa sisältää tietosuoja-asetuksen 23 artiklan 2 kohdassa edellytetyt erityiset säännökset muun muassa suojatoimista ja rekisteröidyn oikeuksista. Poliisin henkilötietojen käsittelyyn sovellettavat rekisteröidyn oikeudet ja niiden rajoitukset on kuvattu edellä jaksossa 2 (Nykytila ja sen arviointi). 

Tietojen käsittelytarkoituksia laajentaa osaltaan myös SIS-asetusten sääntely, jota sovelletaan SIS-järjestelmään luovutettuihin biometrisiin tietoihin (ks. 11.2.4). SIS-poliisiyhteistyöasetuksen mukaisissa kuulutuksissa on jo lähtökohtaisesti kyse tietojen käyttämisestä rikoksen ennalta estämiseksi, paljastamiseksi ja selvittämiseksi. SIS-rajatarkastusasetuksen ja SIS-palauttamisasetuksen mukaisissa kuulutuksissa tietojen alkuperäinen käyttötarkoitus vastaa ulkomaalaislain nojalla kerättyjen tietojen alkuperäisiä käsittelytarkoituksia, mutta SIS-järjestelmään luovutettuja biometrisia tietoja on mahdollista luovutuksen jälkeen käyttää SIS-rajatarkastusasetuksen 33 artiklan 3 kohdan nojalla terrorismirikosten ja vakavien rikosten selvittämiseksi laajemmin kuin esityksessä ehdotetaan sallittavaksi kansallisten rekisterien osalta. Tältä osin kyse on kuitenkin suoraan sovellettavasta EU-oikeudesta, jota ei voida SIS-asetusten kansallisen liikkumavaran puitteissa rajoittaa kansallisella lainsäädännöllä.  

11.2.4  Henkilötietojen luovuttaminen

Perustuslakivaliokunta on lausuntokäytännössään kiinnittänyt huomiota siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta tarpeellisiin tietoihin, jos tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on valiokunnan mukaan pitänyt sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta (ks. esim. PeVL 31/2017 vp sekä PeVL 17/2016 vp ja siinä viitatut lausunnot). Valiokunta ei toisaalta ole pitänyt hyvin väljiä ja yksilöimättömiä tietojensaantioikeuksia perustuslain kannalta mahdollisina edes silloin, kun ne on sidottu välttämättömyyskriteeriin (ks. esim. PeVL 71/2014 vp, PeVL 62/2010 vp ja PeVL 59/2010 vp). Valiokunta on käytännössään arvioinut myös arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (esimerkiksi PeVL 38/2016 vp).  

Perustuslakivaliokunta on Schengenin tietojärjestelmää koskevaa täydentävää kansallista sääntelyä arvioidessaan ottanut kantaa myös biometristen tietojen luovuttamiseen eräisiin SIS-poliisiyhteistyöasetuksen mukaisiin kuulutuksiin. Hallintovaliokunta ehdotti mietintöluonnoksessaan sääntelyn täydentämistä säännöksellä, joka olisi mahdollistanut käyttötarkoitussidonnaisuudesta poikkeamisen siten, että biometrisiä tunnisteita olisi voitu käsitellä muussa kuin alkuperäisessä käyttötarkoituksessa muun muassa SIS-poliisiyhteistyöasetuksen 26 artiklassa tarkoitetun kuulutuksen tekemiseksi, kun kuulutettava henkilö on syyllistynyt tai hänen epäillään syyllistyneen sellaiseen rikoslain 25 luvussa tarkoitettuun vapauteen kohdistuvaan rikokseen, jonka uhrista on tehty edellä 1 kohdassa tarkoitettu kuulutus (ks. HaVM 14/2022 vp). Hallintovaliokunnan ehdottama säännös biometristen tunnisteiden käsittelystä SIS-poliisiyhteistyöasetuksen 26 artiklassa tarkoitetun kuulutuksen tekemiseksi ei ollut hallintovaliokunnan mietintöluonnoksessa esitetyn eikä perustuslakivaliokunnan saaman selvityksen mukaan EU-oikeuden etusijan edellyttämä. Perustuslakivaliokunta kiinnitti erityistä huomiota siihen, että valiokunnan saaman selvityksen mukaan SIS-poliisiyhteistyöasetuksen 26 artiklan tarkoitus on sen sanamuodonkin mukaisesti ensisijaisesti lainvalvonnallinen ja rikosvastuun toteuttamiseen liittyvä. Perustuslakivaliokunnan mukaan hallintovaliokunnan mietintöluonnoksen SIS-poliisiyhteistyöasetuksen 26 artiklaan liittyvä tiedonluovutusoikeus olisi vaatinut merkittävää jatkotyöstämistä, jotta lakiehdotus olisi voitu käsitellä tavallisen lain säätämisjärjestyksessä (PeVL 18/2024 vp, PeVL 23/2022 vp).  

Esityksessä ehdotettu tietojen luovuttamista koskeva sääntely perustuisi edellä tarkemmin kuvattuun yleisen tietosuoja-asetuksen 6 ja 9 artiklan mukaiseen kansalliseen liikkumavaraan. Kansallisessa lainsäädännössä voidaan 6 artiklan 3 kohdan mukaan antaa säännöksiä muun muassa yhteisöistä, joille ja tarkoituksista, joihin henkilötietoja voidaan luovuttaa. Koska tietoja luovutettaisiin esityksen mukaan muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen, on luovutuksen edellytyksiä arvioitava käyttötarkoitussidonnaisuuden periaatetta vasten siten kuin tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään. Luovutussäännöksen on oltava välttämätön ja oikeasuhtainen toimenpide 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Tällaisia tavoitteita ovat muun muassa kansallinen turvallisuus, yleinen turvallisuus sekä rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy. Tietojen ehdotettuja käsittelytarkoituksia on arvioitu edellä jaksossa 11.2.3 (Henkilötietojen käsittely muuhun kuin alkuperäiseen käsittelytarkoitukseen). Lisäksi esityksessä ehdotetaan suoraan sovellettavia SIS-asetuksia täydentävää sääntelyä tietojen luovuttamisesta SIS-kuulutuksiin.  

Poliisin henkilötietolain 21 ja 21 a §:ään otettaisiin säännökset edellytyksistä, joilla poliisi voi luovuttaa passirekisterin ja henkilökorttirekisterin biometrisia tietoja sekä ulkomaalaislain 131 §:ssä tarkoitettuja biometrisia tietoja eräille muille rikosasioiden tietosuojalaissa tarkoitetuille toimivaltaisille viranomaisille. Tietoja olisi nykyisestä poiketen mahdollista luovuttaa Rajavartiolaitokselle, Tullille ja Puolustusvoimille ehdotetun 15 b–15 f §:n mukaisiin käsittelytarkoituksiin. Tietoja voitaisiin siten luovuttaa esimerkiksi rikosten estämiseksi, paljastamiseksi ja selvittämiseksi ainoastaan sellaisten rikosten osalta, joiden estäminen, paljastaminen tai selvittäminen kuuluu Rajavartiolaitoksen, Tullin tai Puolustusvoimien tehtäviin. Rajavartiolaitos voisi pyytää vertailua esimerkiksi silloin, kun se on välttämätöntä törkeän ihmiskaupan (rikoslain 25 luvun 3 a §) tai muun Rajavartiolaitoksen tutkittavaksi rikostorjunnasta Rajavartiolaitoksessa annetun lain 4 §:n mukaan kuuluvan rikoksen estämiseksi, paljastamiseksi tai selvittämiseksi. Tulli voisi pyytää vertailua esimerkiksi törkeän huumausainerikoksen (rikoslain 50 luvun 2 §) tai muiden rikostorjunnasta Tullissa annetun lain 2 §:n 1 kohdassa määriteltyjen tullirikosten estämiseksi, paljastamiseksi tai selvittämiseksi. Pääesikunnan tehtävänä on uuden sotilaskurinpidosta ja rikostorjunnasta Puolustusvoimissa annetun lain 89 §:n mukaan estää, paljastaa ja selvittää muun muassa rikoksia, jotka käsitellään sotilasoikeudenkäyntiasiana tai sotilaskurinpitomenettelyssä. Näihin rikoksiin kuuluu sotilasoikeudenkäyntilain 2 §:n mukaan muun muassa vakavia henkeen ja terveyteen kohdistuvia rikoksia, kuten tappo, murha ja surma. Tietoja voitaisiin luovuttaa Puolustusvoimien pääesikunnalle myös tällaisten rikosten estämiseksi, paljastamiseksi ja selvittämiseksi. Tietojen luovuttamisen muille viranomaisille on valmistelussa arvioitu olevan välttämätöntä, koska esityksessä tarkoitettujen rikosten torjuntaan liittyy painava yhteiskunnallinen intressi riippumatta siitä, mikä viranomainen on asiassa toimivaltainen. Vastaavasti myös uhrin tunnistamista ja merkittävän vaaran estämistä sekä kohdehenkilön henkilöllisyyden todentamista ja henkilön löytämistä yksittäisvertailujen avulla voidaan pitää yhtä lailla välttämättömänä kaikkien lainkohdassa tarkoitettujen viranomaisten osalta silloin, kun kyse on viranomaisen lakisääteisestä tehtävästä. 

Tietojen luovuttaminen olisi kytketty vastaaviin menettelyä koskeviin edellytyksiin kuin niiden käyttäminen poliisin tehtävissä. Siten esimerkiksi tietojen luovuttaminen vaaran estämiseksi taikka rikoksen estämiseksi, paljastamiseksi tai selvittämiseksi edellyttäisi aina pidättämiseen oikeutetun virkamiehen tai vastaavia toimivaltuuksia Puolustusvoimissa käyttävän virkamiehen pyyntöä. Tietoja saisi myös luovuttaa näissä käsittelytarkoituksissa ainoastaan osana poliisin suorittaman vertailun tuloksia lukuun ottamatta yksittäisten rekisteritietojen luovuttamista henkilöllisyyden selvittämiseksi toimivaltuussääntelyn mukaisin edellytyksin tai säännöksissä täsmennettyjen henkilöiden löytämiseksi.  

Poliisin henkilötietolakia ehdotetaan lisäksi muutettavaksi siten, että kansallisen turvallisuuden suojaamisesta vastaavat viranomaiset eli suojelupoliisi ja sotilastiedusteluviranomainen voisivat saada passirekisterin ja henkilökorttirekisterin biometrisia tietoja kansallisen turvallisuuden suojaamiseksi sitä vakavasti uhkaavalta toiminnalta (21 b ja 52 a §). Sotilastiedusteluviranomainen voisi saada tietoja myös maanpuolustuksen suojaamiseksi. Suojelupoliisi ja sotilasviranomainen vastaisivat näissä tapauksissa myös vertailujen toteuttamisesta tietojen korkean tietoturvallisuusluokituksen edellyttämällä tavalla. Kansallisen turvallisuuden ja maanpuolustuksen suojaamiseen liittyvää yhteiskunnallista intressiä ja sääntelyn välttämättömyyttä on arvioitu edellä jaksossa 11.2.3. 

Poliisin henkilötietolakiin ei ehdoteta nimenomaista sääntelyä poliisin rekisteriin ulkomaalaislain nojalla talletettujen biometristen tietojen luovuttamisesta suojelupoliisille ja sotilastiedusteluviranomaiselle. Tietoja voidaan jo nykyisen sääntelyn mukaan luovuttaa näille viranomaisille tietojen alkuperäiseen käsittelytarkoitukseen, kuten valtion turvallisuuden suojaamiseksi. Poliisin henkilötietolain 15 §:ään on perustuslakivaliokunnan lausunnon (PeVL 51/2018 vp) johdosta otettu yleissäännös, jossa säädetään erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn välttämättömyysedellytyksestä. Erityisiin henkilötietoryhmiin kuuluvia poliisin rekisterissä olevia tietoja voidaan siten myös luovuttaa vain, kun se on välttämätöntä. Vastaavasti myös maahanmuuttohallinnon henkilötietolain mukaan rekisterinpitäjä saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja vain, jos käsittely on käsittelytarkoituksen kannalta välttämätöntä. 

Esityksessä ei myöskään ehdoteta muutoksia säännöksiin, jotka koskevat poliisin henkilötietolaissa tarkoitettujen henkilötietojen luovuttamista muille Euroopan unionin ja Euroopan talousalueen jäsenvaltion lainvalvontaviranomaisille. Esityksessä tarkoitettuja biometrisia tietoja voitaisiin kuitenkin luovuttaa saatavuusperiaatteen mukaisesti myös näille viranomaisille nykyistä laajemmin voimassa olevan sääntelyn nojalla. Passirekisterin ja henkilökorttirekisterin tietoja sekä ulkomaalaislain nojalla poliisin rekisteriin tallennettuja tietoja saa voimassa olevan poliisin henkilötietolain 25 §:n mukaan luovuttaa toisen Euroopan unionin jäsenvaltion ja Euroopan talousalueeseen kuuluvan valtion toimivaltaiselle viranomaiselle rikosasioiden tietosuojadirektiivin 1 artiklan 1 kohdassa säädettyyn tarkoitukseen samoilla edellytyksillä kuin poliisi saa itse käsitellä kyseessä olevia henkilötietoja. 

Esityksessä ehdotetaan lisäksi SIS-asetuksia täydentävää sääntelyä tietojen luovuttamisesta Schengenin tietojärjestelmään. Poliisin henkilötietolain 27 §:ssä ja maahanmuuttohallinnon henkilötietolain 14 §:ssä säädettäisiin passirekisterin ja henkilökorttirekisterin biometristen tietojen sekä Maahanmuuttoviraston rekisteriin talletettujen biometristen tietojen käyttämisestä eräissä SIS-järjestelmään tehtävissä kuulutuksissa, jotka on kuvattu tarkemmin säännöskohtaisissa perusteluissa. Ulkomaalaislain 131 §:n säännöstä tietojen luovuttamisesta SIS-järjestelmään täydennettäisiin siten, että tietoja voitaisiin käyttää nykyistä laajemmin SIS-poliisiyhteistyöasetuksessa tarkoitetuissa kuulutuksissa. SIS-asetukset ovat suoraan sovellettavia, mutta kansallinen sääntely on arvioitu tarpeelliseksi salassapidon murtavalle sääntelylle asetettujen edellytysten vuoksi. Tiedot luovutettaisiin SIS-asetuksissa säädettyjä tarkoituksia varten SIS-järjestelmään, jossa ne ovat muiden jäsenvaltioiden toimivaltaisten viranomaisten ja tiettyjen unionin virastojen henkilöstön käytettävissä asetuksissa säädetyin edellytyksin.  

SIS-poliisiyhteistyöasetuksen ja SIS-rajatarkastusasetuksen 22 artiklan mukaan valokuvat, kasvokuvat ja sormenjälkitiedot kuuluvat tietoihin, jotka on tallennettava SIS-järjestelmään, jos ne ovat saatavilla. SIS-järjestelmässä olisi SIS-rajatarkastusasetuksen ja SIS-poliisiyhteistyöasetuksen johdanto-osan 20 kappaleen mukaan voitava käsitellä biometrisiä tietoja, joiden avulla kyseessä olevat henkilöt voidaan tunnistaa luotettavasti. SIS-palauttamisasetuksen johdanto-osan 11 kappaleen mukaan sormenjälkien ja valokuvien tai kasvokuvien käyttäminen on luotettava menetelmä henkilöiden tunnistamisessa, joten ne olisi aina sisällytettävä palauttamista koskeviin kuulutuksiin. Valokuvien, kasvokuvien tai sormenjälkitietojen tallentaminen ja tällaisten tietojen käyttö olisi rajoitettava siihen, mikä on tarpeen asetettuihin tavoitteisiin nähden, niiden olisi oltava sallittuja unionin lainsäädännössä, kunnioitettava perusoikeuksia, myös lapsen etua, ja oltava unionin tietosuojalainsäädännön, myös SIS-asetuksissa vahvistettujen tietosuojasäännösten, mukaisia.  

Schengenin tietojärjestelmää koskevan täydentävän sääntelyn yhteydessä (HE 35/2021 vp) arvioitiin, että kansallisissa henkilötietolaeissa biometrisiin tietojen käsittelylle ja luovuttamiselle asetetut rajoitukset estävät tietojen luovuttamisen lainvalvonnallisessa tarkoituksessa tehtäviin kuulutuksiin. Esityksessä katsottiin, etteivät kansallisesti kerätyt biometriset tiedot mainittujen käsittelyrajoitusten takia olleet saatavilla SIS-asetusten tarkoittamalla tavalla. Tietojen sallittuja käsittelytarkoituksia ehdotetaan esityksessä muutettavaksi, joten myös edellytykset tietojen luovuttamiselle SIS-järjestelmään muuttuisivat vastaavasti. Biometristen tietojen luovuttamisen arvioidaan olevan EU-oikeuden etusijan edellyttämää, koska tiedot olisivat käytössä vastaavien rikosten estämisessä, paljastamisessa ja selvittämisessä myös kansallisesti.  

SIS-poliisiyhteistyöasetuksen 43 artiklan 1 ja 2 kohdan mukaan SIS-järjestelmässä olevia valokuvia, kasvokuvia ja sormenjälkitietoja saadaan käyttää sellaisen henkilön henkilöllisyyden vahvistamiseksi, joka on löydetty järjestelmään tehdyn aakkosnumeerisen haun tuloksena. Sormenjälkitietoihin voidaan kaikissa tapauksissa tehdä hakuja henkilön tunnistamiseksi, jos henkilöllisyyttä ei voida kuitenkaan varmistaa millään muulla tavalla. Artiklan 3 kohdan mukaan SIS-järjestelmään 26, 32, 36, 37 a ja 40 artiklan mukaisesti tallennettujen kuulutusten yhteydessä tallennettuihin sormenjälkitietoihin voidaan tehdä hakuja myös tutkittavana olevien vakavien rikosten tai terrorismirikosten tekopaikoilta löydettyjen täydellisten tai epätäydellisten sormenjälkien tai kämmenenjälkien perusteella, jos voidaan osoittaa, että ne hyvin todennäköisesti kuuluvat rikoksentekijälle, edellyttäen, että haku tehdään samanaikaisesti jäsenvaltion asiaan kuuluvissa kansallisissa sormenjälkitietokannoissa. Myös Suomen SIS-kuulutuksiin luovutettuihin biometrisiin tietoihin voitaisiin tehdä hakuja 43 artiklan mukaisin edellytyksin silloinkin, kun kyseessä ei ole poliisin henkilötietolain 15 e tai 15 f §:ssä tarkoitettu rikos. Tältä osin kyse on kuitenkin suoraan sovellettavasta EU-oikeudesta, jota ei voida SIS-asetusten kansallisen liikkumavaran puitteissa rajoittaa kansallisella lainsäädännöllä.  

Vastaavasti SIS-rajatarkastusasetuksen 33 artiklan 1 ja 2 kohdan mukaan, kun SIS-järjestelmässä olevassa kuulutuksessa on käytettävissä valokuvia, kasvokuvia ja sormenjälkitietoja, tällaisia valokuvia, kasvokuvia ja sormenjälkitietoja saadaan käyttää sellaisen henkilön henkilöllisyyden vahvistamiseksi, joka on löydetty järjestelmään tehdyn aakkosnumeerisen haun tuloksena. Sormenjälkitietoihin voidaan kaikissa tapauksissa tehdä hakuja henkilön tunnistamiseksi. Jos henkilöllisyyttä ei voida kuitenkaan varmistaa millään muulla tavalla, henkilön tunnistamiseksi tehdään hakuja sormenjälkitietoihin. SIS-palauttamisasetuksen 19 artiklan mukaan SIS-rajatarkastusasetuksen 33 artiklaa sovelletaan SIS-järjestelmään SIS-palauttamisasetuksen mukaisesti tallennettuihin ja siinä käsiteltäviin tietoihin. SIS-rajatarkastusasetuksen 33 artiklan 3 kohdan mukaan Schengen-sääntelyä soveltavien jäsenvaltioiden toimivaltaiset kansalliset viranomaiset voivat tehdä hakuja SIS-järjestelmään kuulutusten yhteydessä tallennettuihin sormenjälkitietoihin vakavien rikosten tai terrorismirikosten tekopaikoilta löydettyjen täydellisten tai epätäydellisten sormenjälkien tai kämmenenjälkien perusteella. Myös tältä osin kyse on kuitenkin suoraan sovellettavasta EU-oikeudesta, jota ei voida SIS-asetusten kansallisen liikkumavaran puitteissa rajoittaa.  

Kasvokuvien ja sormenjälkien käyttämisen välttämättömyys on arvioitava aina kuulutuksen tallentamisen yhteydessä. SIS-poliisiyhteistyöasetuksen ja SIS-rajatarkastusasetuksen mukaisten kuulutusten tallentaminen on mahdollista vain, jos se on oikeasuhteista. Oikeasuhtaisuuden vaatimuksesta säädetään SIS-poliisiyhteistyöasetuksen ja SIS-rajatarkastusasetuksen 21 artiklassa. Artiklan 1 kohdan mukaan ennen kuulutuksen tallentamista ja kuulutuksen voimassaoloa jatkaessaan jäsenvaltioiden on määritettävä, onko tapaus niin vakava, merkityksellinen ja tärkeä, että siitä tarvitaan kuulutus. SIS-asetusten sääntelyn oikeasuhtaisuus on arvioitu asetusten valmistelun yhteydessä.