Hallituksen esitys

Suomessa osa sosiaaliturvasta on järjestetty lakisääteisillä vakuutuksilla, joiden tavoitteena on turvata toimeentuloa erilaisten sosiaalisten riskien, kuten vanhuuden, työkyvyttömyyden ja perheenhuoltajan kuoleman varalta. Sosiaalivakuutusjärjestelmä koostuu työeläkkeistä, työttömyysturvasta, sairausvakuutuksesta, työtapaturma- ja ammattitautivakuutuksesta ja kansaneläkkeestä. Myös liikennevakuutuksesta ja potilasvakuutuksesta maksettavat korvaukset ovat osin lakisääteiseen sosiaaliturvaan kuuluvia. Sosiaalivakuutuksen käytännön toimeenpanosta huolehtivat julkiset ja yksityiset vakuutuslaitokset kuten Kansaneläkelaitos, työeläkelaitokset, työttömyyskassat ja vahinkovakuutusyhtiöt. 

Mitä tässä luvussa todetaan sosiaalivakuutuksista, koskee myös liikennevakuutuslain (460/2016), potilasvahinkolain (585/1986) ja uuden 1.1.2021 voimaantulevan potilasvakuutuslain (948/2019) mukaan maksettavia henkilövahinkokorvauksia ja niiden maksamiseen liittyviä tiedonsaantia koskevia säännöksiä. 

Sosiaalivakuutuksen toimeenpanossa on välttämätöntä käsitellä etuudenhakijoiden henkilötietoja ja usein myös terveydentilatietoja. Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa henkilötietojen käsittely sosiaalivakuutusasioissa perustui yleensä henkilötietolain 8 §:n 4 kohtaan, jonka mukaan henkilötietoja saa käsitellä, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelylle on aina hyväksyttävä peruste, josta säädetään asetuksen 6 artiklassa. Sosiaalivakuutuksen toimeenpanossa henkilötietojen käsittely perustuu yleensä tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, eli käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Tämän perusteen käyttäminen edellyttää, että siitä säädetään asetuksen lisäksi rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. 

Sosiaalivakuutuksen toimeenpano on laissa säädetty eri vakuutuslaitosten tehtäväksi. Laissa on säädetty myös etuuksien hakemisesta, myöntämisedellytyksistä, toimeenpanosta ja muutoksenhausta. Etuuksien myöntäminen perustuu yleensä hakemukseen, jonka tekemisen yhteydessä hakija ilmoittaa etuuden ratkaisemisen kannalta välttämättömät henkilötietonsa vakuutuslaitokselle. 

Laissa on säännöksiä, joiden perusteella vakuutuslaitoksella on oikeus saada ilman asianosaisen suostumusta esimerkiksi etuusasioiden käsittelyn kannalta välttämättömiä tietoja myös muilta kuin etuudenhakijalta itseltään. Henkilötietoja voidaan näiden säännösten perusteella saada esimerkiksi muilta vakuutuslaitoksilta ja viranomaisilta. Säännöksissä on määritelty tietojen käyttötarkoitukset ja ne tahot, joilta tietoja voidaan saada. 

Useiden sosiaalivakuutusetuuksien myöntämisedellytykset liittyvät hakijan terveydentilaan ja toimintakykyyn. Näissä tilanteissa on välttämätöntä käsitellä terveyttä koskevia tietoja, jotka kuuluvat tietosuoja-asetuksessa tarkoitettuihin erityisiin henkilötietoryhmiin. Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa arkaluonteisten henkilötietojen, kuten terveydentilatietojen, käsittelystä säädettiin henkilötietolain 12 §:ssä. Henkilötietolain 12 §:n 11 kohdan nojalla vakuutuslaitokset saivat käsitellä vakuutustoiminnassa saatuja vakuutetun tai korvauksenhakijan terveydentilaa koskevia tietoja. Lisäksi sosiaalivakuutusasioissa arkaluonteisten tietojen käsittely oli mahdollista 12 §:n 5 kohdan nojalla, jonka mukaan käsittely on sallittua, jos siitä säädetään laissa tai jos käsittely johtuu välittömästi laissa säädetystä tehtävästä. 

Tietosuoja-asetuksessa ns. erityisiin henkilötietoryhmiin kuuluvien tietojen, kuten terveydentilatietojen, käsittelystä säädetään 9 artiklassa. Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, tulee tietosuoja-asetuksen 6 artiklan mukaisen henkilötietojen käsittelyn oikeusperusteen lisäksi jonkin 9 artiklan 2 kohdan edellytyksistä täyttyä. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on sallittua, jos se on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan jäsenvaltion lainsäädännössä. Lisäksi 9 artiklan 2 kohdan g alakohdan mukaan käsittely on sallittua, jos se on tarpeen tärkeää yleistä etua koskevasta syystä jäsenvaltion lainsäädännön nojalla, edellyttäen että käsittely on oikeasuhteinen tavoitteeseen nähden ja siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan. Molemmat alakohdat edellyttävät lisäksi asianmukaisista suojatoimista säätämistä. 

Tietosuojalain 6 §:n 1 momentin 1 kohdan perusteella vakuutuslaitoksilla on oikeus käsitellä vakuutustoiminnassa saatuja vakuutetun ja korvauksenhakijan terveydentilaan liittyviä tietoja, jos ne ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. Säännös vastaa ennen tietosuoja-asetuksen voimaantuloa voimassa olleen henkilötietolain 12 §:n 11 kohtaa. Tietosuojalain 6 §:n 1 momentin 1 kohtaa koskevien yksityiskohtaisten perustelujen mukaan säännöstä on ehdotettu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan perusteella. Mainittu tietosuojalain säännös mahdollistaa jatkossakin terveydentilatietojen käsittelyn vakuutuslaitoksissa etuuksien ja korvausten käsittelyssä ja toimeenpanossa. Lisäksi tietosuojalaissa säädetään, että erityisiin henkilötietoryhmiin kuuluvia tietoja voisi käsitellä, jos tietojen käsittelystä säädetään laissa tai jos tietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Erityislainsäädännössä on lisäksi erinäisiä tarkempia säännöksiä terveydentilatietojen käsittelystä. 

Vapaaehtoisten yksityisvakuutusten osalta henkilötietojen käsittely perustuu useimmiten tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaan eli sopimukseen. Henkilötietojen käsittely on laillista silloin kun käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena. Lisäksi voidaan toteuttaa rekisteröidyn pyynnöstä tehtäviä sopimusta edeltäviä toimenpiteitä. Vastaava käsittelyperuste sisältyi ennen tietosuoja-asetuksen ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 8 §:n 2 kohtaan. Lisäksi käsittely voi perustua rekisteröidyn antamaan suostumukseen 6 artiklan 1 kohdan a alakohdan mukaisesti. Vakuutettu tai korvauksensaaja voi antaa vakuutusyhtiölle suostumuksen käsitellä henkilötietojaan yhtä tai useampaa tarkoitusta varten. Jotta henkilötietojen käsittely suostumuksen perusteella olisi laillista, suostumuksen on täytettävä tietosuoja-asetuksen 7 artiklassa säädetyt edellytykset. Verrattuna ennen tietosuoja-asetuksen ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 8 §:n 1 kohdassa tarkoitettuun suostumukseen tietosuoja-asetus tiukentaa suostumuksen edellytyksiä jonkin verran. 

Henkilötietojen käsittely voi myös olla tarpeen vakuutusyhtiötä koskevan lakisääteisen velvoitteen noudattamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaisesti. Tällöin käsittelyn perusteesta on säädettävä kansallisessa lainsäädännössä. Esimerkkinä tällaisesta lakisääteisestä velvoitteesta voidaan mainita vakuutusyhtiölain 6 luvun 9 §, jonka mukaan vakuutusyhtiön on ilmoitettava keskeisistä tehtävistä vastaavat henkilöt Finanssivalvonnalle sekä esitettävä selvitys kyseisten henkilöiden sopivuudesta ja luotettavuudesta. 

Henkilötietojen käsittely saattaa myös olla tarpeen vakuutusyhtiön oikeutettujen etujen toteuttamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan mukaan edellyttäen, että rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät muodosta estettä henkilötietojen käsittelylle. Rekisterinpitäjän on intressipunninnassa otettava huomioon rekisteröidyn kohtuulliset odotukset, jotka perustuvat rekisteröidyn ja rekisterinpitäjän väliseen suhteeseen. Tietosuoja-asetuksen johdanto-osassa todetaan, että oikeutetun edun mukaista olisi ainakin ehdottoman välttämätön henkilötietojen käsittely petosten ehkäisemistarkoituksessa. Lisäksi johdanto-osan kappaleen 48 mukaan rekisterinpitäjillä, jotka kuuluvat konserniin tai keskuselimeen kuuluvaan laitokseen, saattaa olla sisäisistä hallinnollisista syistä johtuen oikeutettu etu siirtää konsernin sisällä henkilötietoja, asiakkaiden tai työntekijöiden henkilötietojen käsittely mukaan luettuna. Edellä mainitut käsittelyperusteet ovat 6 artiklan 1 kohdan c alakohtaa lukuun ottamatta yksinomaisia siten, etteivät jäsenvaltiot voi säätää niistä kansallisessa lainsäädännössään. 

Yleinen tietosuoja-asetus mahdollistaa kansallisen asiakirjajulkisuuden sovittamisen yhteen yleisen tietosuoja-asetuksen mukaisen henkilötietojen suojan kanssa. Kansallinen liikkumavara koskee myös yksityisoikeudellisten yhteisöjen asiakirjoja näiden toimiessa yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi. 

Laki viranomaisten toiminnan julkisuudesta (621/1999; jäljempänä julkisuuslaki) koskee viranomaisten asiakirjojen julkisuuden määräytymistä, salassapitovelvollisuutta ja asiakirjan julkiseksi tulemista. Julkisuuslakia sovelletaan myös julkista tehtävää hoitaviin yhteisöihin ja laitoksiin niiden käyttäessä julkista valtaa. Erityislainsäädännössä on erinäisiä julkisuuslakia täsmentäviä säännöksiä. Esimerkiksi työntekijän eläkelain 191 §:n nojalla julkisuuslain asiakirjasalaisuutta koskevia säännöksiä sovelletaan työeläkelaitoksiin työntekijän eläkelain toimeenpanossa silloinkin, kun ne eivät käytä julkista valtaa. Vastaavanlainen säännös on myös työtapaturma- ja ammattitautilain (459/2015) 248 §:ssä.  

Vakuutusyhtiölain (521/2008) 30 luvun 1 §:ssä on säädetty yleissäännös salassapitovelvollisuudesta. Samassa luvussa on säädetty myös erinäisiä poikkeuksia salassapitovelvollisuuteen, jotta tietoja voidaan salassapitosäännösten estämättä luovuttaa tietyissä tilanteissa. Säännökset koskevat myös muita kuin henkilötietoja kuten esimerkiksi liiketoimintaan liittyviä tietoja. Tietosuoja-asetuksen säännökset tietojen luovuttamisesta ja muusta käsittelystä koskevat vain henkilötietoja, joten näiden muiden tietojen osalta tietojen luovuttamisesta ja salassapidosta on välttämätöntä edelleen säätää kansallisessa lainsäädännössä. 

Tietojen luovuttamista koskevien säännösten perusteella vakuutuslaitokset voivat salassapitosäännösten estämättä luovuttaa saamiaan tietoja esimerkiksi viranomaisille tai toisille vakuutuslaitoksille. Tietojen luovuttamista koskevissa säännöksissä on määritelty ne tahot, joille tietoja voidaan luovuttaa, ja ne tarkoitukset, joihin tietoja voidaan luovuttaa. Tietojen luovuttamiselle on voitu asettaa myös muita edellytyksiä. Siltä osin kuin säännökset koskevat henkilötietojen luovuttamista, on tietoja luovutettaessa otettava huomioon tietosuoja-asetuksen asettamat vaatimukset henkilötietojen käsittelylle. Käsittelylle on tällöin oltava oikeudellinen peruste. Luovutettaessa tietoja viranomaisille vastaanottajan oikeus tietojen saamiseen perustuu yleensä tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan eli käsittely on tarpeen lakisääteisen velvoitteen noudattamiseksi. 

Tietoja luovutettaessa on otettava huomioon myös käyttötarkoitussidonnaisuuden periaate, josta säädetään tietosuoja-asetuksen 5 artiklassa. Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimuksia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisen tarkoituksen kanssa. 

Tietosuoja-asetuksen 6 artiklan 4 kohdan perusteella henkilötietojen hyödyntäminen muussa tarkoituksessa, kuin mihin ne on alun perin kerätty, on mahdollista rekisteröidyn suostumuksella tai käsittelyn perustuessa sellaiseen unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Muissa tapauksissa rekisterinpitäjän on varmistettava, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, ottamalla huomioon muun muassa henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet, henkilötietojen luonteen ja aiotun myöhemmän käsittelyt mahdolliset seuraukset rekisteröidylle. 

Jos laissa säädetään tietojen luovuttamisesta sellaista tarkoitusta varten, joka ei ole yhteensopiva sen alkuperäisen tarkoituksen kanssa, johon tiedot on kerätty, tulee luovutuksen edellytyksenä olla rekisteröidyn suostumus tai luovutussäännöksen on oltava välttämätön ja oikeasuhtainen toimenpide 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näitä tavoitteita ovat muun muassa jäsenvaltion yleiseen etuun liittyvät tärkeät tavoitteet, kuten kansanterveys ja sosiaaliturva, julkisen vallan käyttöön liittyvä valvonta-, tarkastus- tai sääntelytehtävä sekä rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet. 

Tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Suostumuksen edellytyksistä säädetään 7 artiklassa. Tietosuoja-asetuksessa suostumuksen edellytykset määritellään tarkemmin kuin kumotussa henkilötietodirektiivissä, jossa on todettu, että suostumuksella tarkoitetaan kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Henkilötietolaissa on ollut henkilötietodirektiiviä vastaava suostumuksen määritelmä. 

Tietosuoja-asetuksen 7 artiklan mukaan käsittelyn perustuessa suostumukseen rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojen käsittelyyn. Jos suostumus annetaan kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään muista asioista helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Rekisteröidyllä on myös oikeus peruuttaa suostumuksensa milloin tahansa, ja suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen. Jos kyse on tietosuoja-asetuksen 9 artiklan mukaisista erityisistä henkilötietoryhmistä, on suostumuksen oltava nimenomainen. 

Asetuksen johdanto-osan mukaan, jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa. 

Asetuksen johdanto-osassa todetaan lisäksi, että jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava, että rekisteröity on tietoinen antamastaan suostumuksesta. Suostumus pitää myös olla mahdollista peruuttaa ilman, että siitä aiheutuu rekisteröidylle haittaa. Tietoisen suostumuksen antamiseksi rekisteröidyn on tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten. 

Pääsääntöisesti henkilötietojen käsittely sosiaaliturvan toimeenpanossa perustuu lakiin. Jos henkilötietojen käsittelystä ei ole säädöstä, käsittely voi perustua esimerkiksi suostumukseen. Sosiaaliturvaetuuksien hakemuslomakkeilla saatetaan nykyisin pyytää suostumusta siihen, että etuusasian käsittelyä varten saatuja tietoja voidaan luovuttaa eteenpäin.  

Nykyisissä hakemuslomakkeissa pyydettävä suostumus ei täytä tietosuoja-asetuksen vaatimuksia, koska suostumusta ei lähtökohtaisesti voida pitää riittävänä perusteena tietojen luovuttamiselle silloin, kun on kysymys lakisääteisen, julkisen hallintotehtävän hoitamisesta ja kun rekisterinpitäjänä on viranomainen tai muu julkista valtaa käyttävä taho. Etuutta haettaessa ei myöskään välttämättä ole vielä tiedossa mille nimenomaiselle taholle tietoja luovutetaan, joten hakija ei voi saada siitä yksilöityä tietoa. Lisäksi suostumus tulisi voida myös peruuttaa yhtä helposti kuin se on annettu. Suostumuksen käyttö henkilötietojen käsittelyn oikeudellisena perusteena voisi osoittautua käytännössä hankalaksi tilanteissa, joissa suostumusta pyydetään suurelta henkilöjoukolta lakisääteisen sosiaaliturvan toimeenpanoa varten. 

Nykyistä vastaava tietojen luovuttaminen eri tahoille on monissa tilanteissa välttämätöntä hakemusten ratkaisemiseksi Yhteistyö ja siihen liittyvä tietojen luovuttaminen on siten usein välttämätöntä henkilön omien etujen toteuttamiseksi.  

Ottaen huomioon asetuksen edellytykset käyttää suostumusta käsittelyn oikeudellisena perusteena, sitä ei lähtökohtaisesti tulisi käyttää esimerkiksi työkyvyttömyyseläke- tai työuraeläkehakemuksen ratkaisemisen yhteydessä vaadittavaan tietojen käsittelyyn. Eläkeasian käsittelyä koskevien tietojen luovuttamisen tulisi siten perustua ensisijaisesti lakiin. 

Vakuutusyhtiöihin kohdistuvat petos- ja talousrikokset aiheuttavat vuosittain merkittäviä menetyksiä vakuutusyhtiöille ja korkeampien vakuutusmaksujen muodossa kaikille vakuutuksenottajille. Yksi tapa ehkäistä vakuutusyhtiöihin kohdistunutta rikollisuutta on tiedon jakaminen vakuutusyhtiöiden välillä yhteisten vahinko- ja väärinkäytösrekisterien kautta. Rekisterien tarkoituksena on jakaa tietoa vakuutusyhtiöiden kesken niille ilmoitetuista vahingoista ja niihin kohdistuneista rikoksista tai rikosepäilyistä. Vastaavia järjestelmiä on myös esimerkiksi luottolaitoksilla. 

Vakuutusyhtiölain 30 luvun 3 §:n ja vakuutusyhdistyslain 16 luvun 10 §:n 4 momentin 6 kohdan mukaan vakuutuslaitoksilla on oikeus luovuttaa toisille vakuutuslaitoksille vaitiolovelvollisuuden piiriin kuuluvia tietoja niihin kohdistuneista rikoksista ja niille ilmoitetuista vahingoista vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän yleisen edun vuoksi, jos tietosuojalautakunta on antanut tähän luvan. Ulkomaisista vakuutusyhtiöistä annetun lain mukaan ulkomaisella vakuutusyhtiöllä on oikeus luovuttaa tieto vakuutusyhtiöön kohdistuneista rikoksista sekä sille ilmoitetuista vahingoista toisille vakuutuslaitoksille vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän edun vuoksi siten kuin tietosuojalautakunta henkilötietolain 43 §:n 3 momentin nojalla tarkemmin määrää. Tietojen käsittely ja vaihtaminen on siten edellyttänyt tietosuojalautakunnan myöntämää henkilötietolain 43 §:n mukaista erityislupaa. Vakuutusyhtiölain 30 luvun 1 ja 3 §:ää ei sovelleta työtapaturma- ja ammattitautilain mukaisiin vakuutuksiin, vaan työtapaturma- ja ammattitautilain toimeenpanoon perustuvien rikostietojen luovutuksesta säädetään työtapaturma- ja ammattitautilain 255 §:n 1 momentin 3 kohdassa. Rikostietojen käsittely on niin ikään edellyttänyt tietosuojalautakunnan antamaa lupaa. 

Vakuutusyhtiöiden väärinkäytösrekisteri on ollut käytössä vuodesta 1996 maaliskuun loppuun 2019. Viimeisin lupa on myönnetty 21 päivänä syyskuuta 2017 määräajaksi. Lupa on myönnetty 30 vakuutusyhtiölle sekä Liikennevakuutuskeskukselle. Tietosuojalautakunnan myöntämä lupa sisältää yksityiskohtaisia määräyksiä muun muassa henkilötietojen tallentamisesta, tietojen poistamisesta sekä rekisteröidylle toimitettavista tiedoista. Rekisterissä oli 4 päivänä heinäkuuta 2017 rekisteröitynä 273 henkilöä. Väärinkäytösrekisterin teknisenä ylläpitäjänä toimii tällä hetkellä Suomen Asiakastieto Oy. 

Merkinnän tekeminen rekisteriin edellyttää, että epäillystä rikollisesta teosta on ilmoitettu poliisille tai syyttäjälle. Merkintä on tehtävä vuoden kuluessa siitä, kun vakuutusyhtiö on saattanut rikosprosessin vireille tai saanut tiedon siitä. Tieto on poistettava rekisteristä, jos rekisteröity henkilö on todettu tuomioistuimessa syyttömäksi tai jos oikeusprosessista on luovuttu. Tiedot on poistettava viimeistään viiden vuoden kuluttua siitä, kun ne on ensimmäisen kerran rekisteröity. Rekisteröidylle on ilmoitettava ensimmäisen häntä koskevan merkinnän tekemisestä rekisteriin. Rekisteröidylle on myös ilmoitettava rekisteriin merkittyjen tietojen käytöstä päätöksenteossa sekä siitä, minkä vakuutuslaitoksen rekisteristä tiedot ovat peräisin ja milloin ne on hankittu, jos vakuutushakemuksen epääminen tai muu rekisteröidylle kielteinen päätös johtuu rekisterissä olevista tiedoista. Vakuutusyhtiöt voivat käyttää rekisterin tietoja korvauskäsittelyn lisäksi vapaaehtoisia vakuutuksia myönnettäessä ja irtisanottaessa. Lakisääteisiä vakuutuksia koskee sopimuspakko, joten niitä ei voida evätä rekisteriin tehdyn merkinnän perusteella. 

Väärinkäytösrekisterin lisäksi vakuutusyhtiöillä on käytössä niin kutsuttu vahinkorekisteri. Vahinkorekisteriin merkitään vakuutusyhtiölle ilmoitettuja vahinkoja koskevat perustiedot. Vahingon perustietoja ovat henkilötunnus tai yritystunnus, vakuutuksen myöntänyt vakuutuslaitos, vahingon tapahtuma-aika, vahinkonumero, ajoneuvon tai veneen rekisteritunnus, vakuutuslaji koodina ja vahinkotyyppi koodina. Vahinkorekisteriin ei merkitä tietoja luotto-, takaus-, oikeusturva- ja sairausvakuutuksista eikä työtapaturma- ja ammattitautilain mukaisista pakollisista vakuutuksista. Vakuutusyhtiö saa pyytää muilta vakuutusyhtiöiltä asianomaisia vahinkoja koskevat tarkemmat tiedot, jos vahinkorekisteriin merkityistä perustiedoista käy ilmi, että useammalle vakuutusyhtiölle on tehty korvaushakemus samasta vahingosta, korvauksenhakija on ilmoittanut lyhyen ajan sisällä useita vahinkoja tai tehnyt useita saman tyyppisiä vahinkoilmoituksia. Tietosuojalautakunnan luvan mukaan vahinkorekisterin perusteella toiselta vakuutusyhtiöltä saatuja tietoja saa käyttää vain vakuutusyhtiöihin kohdistuvan rikollisuuden ehkäisemisessä. Tietoja ei saa käyttää asiakasvalinnassa, markkinoinnissa, vakuutusten hinnoittelussa tai muussa vastaavassa tarkoituksessa. 

Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 11 §:ssä rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevat tiedot oli säädetty arkaluonteisiksi henkilötiedoiksi. Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin tai rikkomuksiin liittyvien henkilötietojen käsittely 6 artiklan 1 kohdan perusteella on mahdollista vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Nykyisen väärinkäytösrekisterin osalta kyse on rikostietojen käsittelystä, joten käsittelyn jatkuminen edellyttää kansallista sääntelyä asiasta.  

Tietosuojalautakunta on lupaa myöntäessään katsonut, että vahinkorekisteriin liittyvä tietojen käsittely on tarpeen rekisterinpitäjän eli vakuutusyhtiön oikeutetun edun toteuttamiseksi, eikä tämä peruste käsittelylle muutu asetuksen voimaantultua. Myös tietosuoja-asetuksen johdanto-osassa todetaan ehdottoman välttämättömän henkilötietojen käsittelyn petosten ehkäisemistarkoituksessa olevan rekisterinpitäjän oikeutetun edun mukaista. Koska vahinkorekisteriin liittyvän tietojen käsittelyn oikeudellinen peruste on jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f-alakohta, ei vahinkorekisteriä koskeva täydentävä kansallinen sääntely enää ole mahdollista. 

Tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohdan mukaan rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällöin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden. Jos käsittelyä on tällä perusteella rajoitettu, henkilötietoja saa käsitellä ainoastaan rekisteröidyn suostumuksella, oikeudellisen vaateen laatimiseksi, toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää yleistä etua koskevista syistä. 

Tietosuoja-asetuksen 23 artiklan perusteella 18 artiklassa säädettyä rekisteröidyn oikeutta voidaan rajoittaa kansallisella lainsäädännöllä tietyin edellytyksin. Tietosuoja-asetuksen 23 artiklan mukaan rekisteröidyn oikeutta voidaan rajoittaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhtainen toimenpide, jotta voidaan taata jokin kyseisessä lainkohdassa lueteltu tarkoitus. Kohdan perusteella tällainen tarkoitus voi olla muun muassa jäsenvaltion yleiseen etuun liittyvä tärkeä tavoite kuten sosiaaliturva tai siihen liittyvä valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön taikka rekisteröidyn suojelu. Kansallisen lainsäädännön, jolla rajoitetaan rekisteröidyn oikeuksia, on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat muun muassa käsittelytarkoitusta ja rajoitusten soveltamisalaa. 

Sosiaalivakuutuksen toimeenpanossa etuuden hakija, vakuutuksen ottaja tai muu korvauksensaaja eli rekisteröity voisi kiistää häntä koskevan henkilötiedon, esimerkiksi terveydentilaa, työansioita tai vahinkotapahtuman olosuhteita koskevien tietojen oikeellisuuden, ja vaatia 18 artiklan perusteella, että tietoja ei käsitellä. Sosiaaliturvan toimeenpanossa rekisteröidyn oikeus käsittelyn rajoittamiseen voi johtaa siihen, että lakisääteisiä etuuksia ei voida myöntää tai maksaa tai etuuden maksamista ei voida pätevästäkään syystä keskeyttää, lakkauttaa tai maksaa oikean suuruisena. Sosiaalivakuutusjärjestelmän toimeenpanon kannalta on ongelmallista, jos oikeutta voidaan perusteettomasti käyttää lakisääteisen toiminnan viivästyttämiseen tai estämiseen. Vaatimalla perusteettomasti käsittelyn rajoittamista etuudenhakija voisi esimerkiksi lykätä kielteisen päätöksen antamista. Rekisteröidyn oikeutta käsittelyn rajoittamiseen olisi tarpeen rajoittaa tältä osin kansallisella lainsäädännöllä. Uuteen 1.1.2021 voimaan tulevaan potilasvakuutuslakiin (948/2019) on sisällytetty säännös rekisteröidyn oikeuden rajoittamisesta (59 §). 

Kansallista sosiaaliturva- ja vakuutuslainsäädäntöä on tarpeen saattaa yhteensopivaksi tietosuoja-asetuksen kanssa sekä tehdä eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista rauenneessa esityksessä esitetyin tavoittein. Tämä voidaan toteuttaa antamalla asiasta uudelleen hallituksen esitys. Uusi hallituksen esitys perustuisi keskeisiltä osiltaan rauenneeseen hallituksen esitykseen, mutta sen sisällössä otetaan huomioon rauennutta esitystä koskenut perustuslakivaliokunnan lausunto (PeVL 78/2018 vp).  

Perustuslakivaliokunta piti lausunnossaan automatisoituja yksittäispäätöksiä koskevan sääntelyn täsmentämistä edellytyksenä sille, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Lisäksi perustuslakivaliokunta kiinnitti huomiota sairausvakuutuslain 19 luvun 1 §:n 2 momenttia ja väärinkäytösrekisteriä koskeneisiin ehdotuksiin sekä kehotti sosiaali- ja terveysvaliokuntaa selvittämään vielä niitä. 

Uudelleen annettavaan hallituksen esitykseen ei ole mahdollista vielä sisällyttää automaattista päätöksentekoa koskevia ehdotuksia. Perustuslakivaliokunnan edellyttämä automaattista päätöksentekoa koskevan sääntelyn täsmentäminen edellyttäisi laajaa selvitys- ja valmistelutyötä. Automatisoidun päätöksenteon hyödyntäminen viranomaistoiminnassa edellyttäisi hallinnon yleislainsäädännön päivittämistä ja hallinnonalat ylittäviä linjauksia automatisoidun päätöksenteon yleisperiaatteista. Nämä selvitykset ja niiden pohjalta tehtävä analyysi koskevat myös muiden ministeriöiden hallinnonalaa. Mahdollisuus tehdä automaattisia päätöksiä myös silloin, kun kysymys on julkisen hallintotehtävän hoitamisesta, on hyvin tärkeää digitalisoituvan yhteiskunnan kehityksen kannalta. Oikeusministeriö on aloittamassa automaattisiin päätöksiin liittyvän yleisen selvityshankkeen. Esitykseen ei voida arvioida olevan tarkoituksenmukaista myöskään sisällyttää tässä vaiheessa ehdotusta sairausvakuutuslain 19 §:n luvun 1 §:n muuttamisesta. Perustuslakivaliokunnan mukaan sääntelyssä on syytä pysyttää lähtökohtana, että asianomainen toimittaa tiedot itse. 

Sen sijaan hallituksen esitykseen voidaan arvioida olevan mahdollista sisällyttää uudelleen väärinkäytösrekisteriä koskeva ehdotus. Ehdotettua sääntelyä voidaan pitää perusoikeuksien kannalta hyväksyttävänä ja oikeasuhtaisena. Ehdotettu sääntely on tarkkarajaista ja täsmällistä sekä perustuslakivaliokunnan lausuntokäytännössä edellytettyjen vaatimusten mukaista. Talousvaliokunta on pitänyt vastaavaa säännöstä tarkoituksenmukaisena lausunnossaan (TaVM 42/2018 vp — HE 100/2018 vp) hallituksen esityksestä eduskunnalle laiksi luottolaitostoiminnasta annetun lain muuttamisesta ja eräiksi siihen liittyviksi laeiksi. Talousvaliokunta on todennut, että tätä pykälää vastaava säännös on vireillä myös hallituksen esityksessä HE 52/2018 vp, josta perustuslakivaliokunta on antanut lausunnon (PeVL 78/2018 vp — HE 52/2018 vp) sosiaali- ja terveysvaliokunnalle. Talousvaliokunta toteaa lausunnossaan, että ehdotettu luottolaitoksia koskeva pykälä toimii yhtäältä valtuutuksena rekisterinpitäjälle tietojen tallennukseen ja toisaalta rajoituksena sille, mitä tietoja, millä edellytyksillä ja kuinka kauan saadaan tallentaa. Talousvaliokunta pitää ehdotettua säännöstä tarkoituksenmukaisena ottaen huomioon myös, että tämän lainsäädännön soveltamisalaan kuuluvilla tahoilla on asiakkaan tuntemiseen, asiakkaiden toiminnan seuraamiseen ja toimintaympäristön havainnointiin liittyviä velvoitteita säännöksissä, joilla on tarkoitus estää rahoitus-järjestelmän käyttö rahanpesuun ja terrorismin rahoitukseen. Tähän esitykseen sisältyvä vakuutusyhtiöiden väärinkäytösrekisteriä koskeva ehdotus on tavoitteiltaan ja keskeiseltä sisällöltään samanlainen kuin luotto- ja rahoituslaitosten asiakashäiriörekisteriä koskeva sääntely. Uusi hallituksen esitys sisältäisi tämän vuoksi aiemman hallituksen esityksen mukaisesti vakuutusyhtiöiden väärinkäytösrekisteriä koskevan ehdotuksen. Työtapaturma- ja ammattitautilain mukaista vakuutusta toimeenpanevien vakuutusyhtiöiden osalta asiasta säädettäisiin kuitenkin aiemmasta esityksestä poiketen työtapaturma- ja ammattitautilaissa.  

Esityksessä ehdotetaan täsmennyksiä eräisiin tietojen salassapitoa ja tietojen luovuttamista koskeviin säännöksiin. Vakuutusyhtiölain 30 luvun 3 §:ä, työntekijän eläkelain 203 §:n 2 momenttia ja työtapaturma- ja ammattitautilain 255 §:n 4 momenttia ehdotetaan täsmennettäväksi siten, että säännösten sanamuodosta kävisi ilmi se, että henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälissä säädettäisiin ainoastaan poikkeuksesta kansallisiin salassapitosäännöksiin. Tietojen luovuttamisessa olisi aina varmistettava, että henkilötietojen käsittely ja luovutus ovat tietosuoja-asetuksen mukaisia. Lisäksi eräisiin tietojen luovuttamista koskeviin säännöksiin täsmennettäisiin, mihin käyttötarkoitukseen tietoja luovutetaan. 

Esityksessä ehdotetaan, että eräistä nykyisin rekisteröidyn suostumukseen perustuvista henkilötietojen luovutuksista säädettäisiin laissa. Työeläkelakeihin otettaisiin säännökset, joiden perusteella terveydenhuollon toimijoille voitaisiin luovuttaa työkyvyttömyyseläke- tai työuraeläkeasian käsittelyyn liittyviä tietoja, jos tietojen luovuttaminen on välttämätöntä eläkeasian ratkaisemiseksi. Myös kansaneläkelaissa olevia säännöksiä tietojen luovuttamisesta täsmennettäisiin siten, että ne vastaisivat edellä mainittuja työeläkelakeihin ehdotettuja säännöksiä. Lisäksi Kansaneläkelaitoksen toimeenpanemista etuuksista muun muassa kansaneläkkeen, työttömyysturvan ja asumistukien osalta säädettäisiin laissa tietojen saamisesta asian ratkaisemiseksi siltä osin kuin tietojen saaminen perustuu nykyisin suostumukseen. 

Ehdotuksessa tarkoitettu henkilötietojen käsittely edellä mainituissa tilanteissa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan eli henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lisäksi, kun käsiteltävät henkilötiedot kuuluvat tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin, käsittely perustuu mainitun artiklan 2 kohdan b alakohtaan, jonka mukaan erityisiä henkilötietoryhmiä koskeva käsittely on mahdollista, jos käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. 

Rikostuomioihin ja rikkomuksiin liittyvää henkilötietojen käsittelyä koskeva säännös ehdotetaan lisättäväksi vakuutusyhtiölakiin ja ulkomaisista vakuutusyhtiöistä annettuun lakiin. Muutoksen tarkoituksena on, että vakuutusalan toimijat voisivat jatkaa väärinkäytösrekisterin käyttöä myös tietosuoja-asetuksen voimassa ollessa. Ehdotus vastaisi pääosin tietosuojalautakunnan myöntämän luvan sisältöä ja ehtoja. Koska asiasta säädettäisiin jatkossa vakuutusyhtiölaissa, myös ne vakuutusyhtiöt, jotka eivät ole hakeneet tietosuojalautakunnan lupaa rekisterin käytölle voisivat käyttää sitä. Koska työtapaturma- ja ammattitautilain toimeenpanoon perustuvien tietojen luovutuksesta säädetään työtapaturma- ja ammattitautilaissa, myös vakuutusyhtiön tämän lain toimeenpanoon perustuvien rikostietojen luovutuksesta ja käsittelystä ehdotetaan säädettäväksi työtapaturma- ja ammattitautilakiin lisättäväksi ehdotetussa uudessa pykälässä. Rikostietojen luovutus ja väärinkäytösrekisterin käyttö voisi ehdotettujen muutosten myötä laajentua nykyiseen verrattuna. Toisaalta sellaisille toimijoille (kuten esimerkiksi Tapaturmavakuutuskeskus, Maatalousyrittäjien tapaturmavakuutuslaitos, Valtiokonttori), jotka eivät ole hakeneet voimassa olevan lainsäädännön edellyttämää lupaa tietosuojalautakunnalta, ei ehdoteta säädettäväksi oikeutta käyttää väärinkäytösrekisteriä. Ehdotettu sääntely vastaisi näin tosiasiallista tilannetta rikostietojen käsittelyn osalta. Vakuutusyhdistysten osalta on otettu huomioon, että Suomessa toimii tällä hetkellä vain muutama vakuutusyhdistys, jotka kaikki harjoittavat ainoastaan kalastusvälineiden vakuuttamista.  

Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelyn salliminen jäsenvaltion lainsäädännössä edellyttää, että myös asianmukaisista suojatoimista rekisteröidyin oikeuksien ja vapauksien suojelemiseksi säädetään kansallisessa lainsäädännössä. Rekisteröidyn oikeusturvan takaamiseksi merkintä väärinkäytösrekisteriin voitaisiin tehdä vasta kun rekisteröitävästä väärinkäytöksestä on ilmoitettu poliisille, muulle esitutkintaviranomaiselle tai syyttäjälle. Rekisteröidyn oikeuksien turvaamiseksi laissa säädettäisiin, että merkintä väärinkäytösrekisteristä olisi poistettava viiden vuoden kuluessa merkinnän tekemisestä. Rekisteröidyn oikeuksia turvaa myös se, että vakuutuslaitoksen palveluksessa oleville on laissa säädetty salassapitovelvollisuus. Vakuutustoiminnan harjoittaminen on luvanvaraista, tarkkaan säädeltyä ja valvottua. 

Ehdotettu sääntely täyttäisi siten tietosuoja-asetuksen vaatimuksen asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. 

Sosiaalivakuutuslainsäädäntöön ja muihin lakisääteisiä etuuksia koskeviin lakeihin ehdotetaan lisättäväksi säännökset, joilla poikettaisiin tietosuoja-asetuksen 18 artiklan mukaisesta oikeudesta käsittelyn rajoittamiseen. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajoittaminen koskisi tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä. Ilman oikeuden rajaamista rekisteröity voisi viivästyttää lakisääteisen asian käsittelyä tai estää käsittelyn kokonaan kiistämällä toistuvasti henkilötietojen paikkansapitävyys. 

Käsittelyn rajoittaminen tarkoittaa sitä, että esimerkiksi etuuksia koskevia päätöksiä ei voida antaa ennen kuin rekisterinpitäjä voi varmistaa tietojen paikkansapitävyyden. Rekisterinpitäjä voi kuitenkin tällaisessa tilanteessa käsitellä henkilötietoja 18 artiklan 2 kohdan nojalla rekisteröidyn suostumuksella. Siten jos etuuspäätöksen antaminen on välttämätöntä esimerkiksi rekisteröidyn toimeentulon turvaamiseksi, on päätös mahdollista tehdä rekisteröidyn suostumuksella. Tietosuoja-asetuksen 18 artiklan 2 kohta mahdollistaa henkilötietojen käsittelyn myös tilanteissa, joissa henkilötietoja käsitellään toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä. 

Oikeus käsittelyn rajoittamiseen voi kuitenkin estää päätösten antamisen, jos rekisteröity ei anna henkilötietojen käsittelyyn suostumusta, eikä päätöksen antaminen olisi välttämätöntä toisen henkilön oikeuksien suojaamiseksi. Käsittelyn rajoittaminen voi tällöin estää kielteisen päätöksen antamisen kuten etuuden lakkauttamisen tai virheellisen päätöksen korjaamisen. Käsittelyn rajoittaminen voi myös haitata etuuksien ensisijaisuusjärjestyksen toteutumista esimerkiksi eri korvausjärjestelmien välisessä suhteessa tai viimesijaisten etuuksien kuten takuueläkkeen tai toimeentulotuen käsittelyssä. Jos rekisteröidyn vaatimus henkilötietojen korjaamisesta on ilmeisen perusteeton, on perusteltua, että henkilötietoja voidaan lakisääteisessä toiminnassa vaatimuksesta huolimatta käsitellä. 

Rekisteröidyn oikeusturva on taattu hallintolailla, muutoksenhakuoikeudella ja muilla menettelyä koskevilla säännöksillä. Lakisääteisestä tehtävää hoidettaessa on noudatettava hallintolakia, joka edellyttää, että toimeenpanijan on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Käsiteltävä asia on selvitettävä perusteellisesti ja on noudatettava annettuja säännöksiä ja määräyksiä. Etuudenhakijalla on aina muutoksenhakuoikeus lakisääteistä etuutta koskevasta päätöksestä. Jos etuudenhakija katsoo, että päätös ei ole lainmukainen, voi hän saattaa asian muutoksenhakuelimen tutkittavaksi. Sosiaalivakuutusasioissa on myös mahdollista hakea lainvoimaisen päätöksen poistoa, jos päätös perustuu virheelliseen tai puutteelliseen selvitykseen taikka on ilmeisesti lainvastainen. Lisäksi vakuutuslaitos voi aina oikaista lainvoimaisen päätöksen etuudenhakijan eduksi, jos asiassa ilmenee myöhemmin uutta selvitystä. Rekisteröidyn oikeuden rajoittaminen ei siten vaarantaisi etuudenhakijoiden oikeusturvaa. Oikeuden rajoittamista voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä sosiaaliturvan takaamiseksi tietosuoja-asetuksen 23 artiklan 1 kohdan e kohdassa tarkoitetulla tavalla. Rekisteröidyn oikeuden rajaaminen ei poistaisi rekisterinpitäjän velvollisuutta selvittää rekisteröidyn väitettä henkilötietojen paikkansapitävyydestä. Tietosuoja-asetuksen 16 artiklan perusteella rekisterinpitäjän on oikaistava rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot ilman aiheetonta viivytystä. 

Esityksessä ehdotetut muutokset helpottaisivat sosiaaliturvan toimeenpanoa. Tietojen luovuttaminen etuusasioissa olisi yksinkertaisempaa, kun tietyissä tietojenluovutusasioissa luovuttaisiin suostumusten pyytämisestä, ja tietojen käyttö perustuisi jatkossa suoraan lakiin. Suostumuksen käyttö olisi tietosuoja-asetuksen myötä hyvin hankalaa, ja jos suostumustakaan ei voitaisi käyttää, tulisi etuudenhakijan itse toimittaa samoja tietoja eri tahoille useaan kertaan.  

Esityksessä on ehdotettu, että sosiaaliturvan toimeenpanossa rekisteröidylle ei tulisi tietosuoja-asetuksen 18 artiklan mukaista oikeutta siihen, että henkilötietojen käsittelyä rajoitetaan, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä. 

Rikostietojen luovutusta koskevan sääntelyn piirissä ovat tällä hetkellä myös Tapaturmavakuutuskeskus, Valtiokonttori ja Maatalousyrittäjien tapaturmavakuutuslaitos. Mainituilla tahoilla ei kuitenkaan ole ollut nykyisen säännöksen edellyttämää tietosuojalautakunnan henkilötietolain 43 §:ssä tarkoitettua lupaa rikostietojen käsittelylle. Esityksessä ehdotettu sääntely mahdollistaa näin tältä osin sen, että rikostietojen käsittelyä voivat jatkaa ne tahot, jotka ovat siihen saaneet tietosuojalautakunnan myöntämän luvan. 

Vakuutusalan väärinkäytösrekisteristä säätäminen mahdollistaisi sen, että vakuutusyhtiöt voisivat edelleen jakaa toisille vakuutusyhtiöille tietoa väärinkäytöksistä mahdollisten tulevien väärinkäytösten ehkäisemiseksi ja väärinkäytösten selvittämiseksi. Väärinkäytösrekisterin käyttö voi ehdotuksen myötä laajentua myös niihin vakuutusyhtiöihin, jotka eivät ole hakeneet tietosuojalautakunnan lupaa väärinkäytösrekisterin käytölle. Tällä hetkellä Suomessa toimii 47 vahinkovakuutusyhtiötä ja 15 henkivakuutusyhtiötä. Tietosuojalautakunnan lupa on myönnetty 30 vahinkovakuutusyhtiölle ja Liikennevakuutuskeskukselle. Jos rekisterien käyttäminen ei olisi enää mahdollista tietosuoja-asetuksen myötä, voisi väärinkäytöksistä aiheutuvien taloudellisten vahinkojen määrä vakuutusyhtiöille kasvaa. 

Esityksessä ehdotetaan tietosuoja-asetuksen säännöksistä poikkeamista henkilötietojen käsittelyn rajoittamisen osalta. Rekisteröidyllä ei olisi lakisääteisissä sosiaaliturva-asioissa oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus henkilötietojen paikkansapitävyydestä on ilmeisen perusteeton. Rajoitus on katsottu demokraattisessa yhteiskunnassa välttämättömäksi ja oikeasuhtaiseksi toimenpiteeksi. Rekisteröidyllä on lakisääteisessä sosiaaliturvassa turvanaan monenlaisia oikeusturvakeinoja, eikä rekisteröidyn oikeusturva siten vaarannu oikeuden rajaamisen johdosta. 

Esityksessä ehdotetut muutokset helpottavat vakuutustoimintaa ja sosiaaliturvan toimeenpanoa. Ratkaisutoiminnan tehostuminen on rekisteröityjen eduksi, jos etuuksien ja korvausten käsittelyajat lyhenevät. Toiminnan tehostumisella voi olla myönteinen vaikutus myös vakuutusmaksujen alenemisen kautta.