Yleistä
Ehdotusta tietosuojadirektiiviksi on käsitelty vuodesta 2012 asti rinnakkain yleistä tietosuoja-asetusta koskevan ehdotuksen kanssa. Hallintovaliokunta on viimeksi käsitellyt tietosuojadirektiiviä lausunnossaan HaVL 11/2012 vp (s. 6—7). Suomi on direktiiviehdotuksen EU-käsittelyn yhteydessä tuonut esiin, että yleisen tietosuoja-asetuksen lopullisen sisällön pitäisi olla selvillä ennen direktiivin säännösten hyväksymistä, jotta voitaisiin arvioida, miltä osin direktiivissä on tarpeen poiketa yleisen tietosuoja-asetuksen sääntelystä poliisi- ja rikosoikeudellisen alan erityistarpeiden vuoksi, ja jotta direktiivin teksti voitaisiin muilta osin linjata mahdollisimman pitkälti tietosuoja-asetuksen tekstin kanssa.
Selvityksen mukaan komission direktiiviehdotukseen on tehty valmistelun eri vaiheissa useita muutoksia. Direktiivin yksityiskohtaisuutta on pyritty vähentämään ja lisäämään siten jäsenvaltioiden liikkumavaraa. Direktiivin tekstiä on pyritty mahdollisuuksien mukaan linjaamaan asetuksen tekstin mukaiseksi siinä muodossa kuin asetus on hyväksytty kesäkuussa 2015 pidetyssä oikeus- ja sisäasiain neuvostossa. Direktiivin soveltamisalaan on tehty useita tarkennuksia. Direktiiviin on myös lisätty säännös, joka oikeuttaa jäsenvaltiot säätämään korkeammasta tietosuojan tasosta.
Tietojen siirtoa kolmansille maille ja kansainvälisille järjestöille koskevia säännöksiä on täsmennetty muun muassa lisäämällä direktiiviin kansainvälisen järjestön määritelmä. Määritelmässä on nimenomainen maininta Interpolista, mikä on poliisin kannalta olennaisen tärkeää. Valiokunta toteaa myönteisenä myös sen, että direktiiviehdotus ei enää velvoita muuttamaan kansainvälisiä sopimuksia, joihin poliisin ja myös esimerkiksi Tullin kansainvälinen yhteistoiminta valtaosin perustuu. Valiokunta katsoo, että neuvotteluissa tulee hallinnollisen taakan välttämiseksi jatkossakin varmistaa olemassa olevien yhteistyömuotojen säilyminen eli se, ettei direktiivi luo velvoitetta purkaa tai neuvotella niitä uudelleen.
Direktiivin soveltamisala
Direktiiviehdotuksen keskeinen ero voimassa olevaan tietosuojapuitepäätökseen on, että direktiivi koskisi jäsenvaltioiden rajat ylittävän yhteistyön lisäksi myös puhtaasti kansallisella tasolla tapahtuvaa henkilötietojen käsittelyä. Valiokunta pitää tätä valtioneuvoston kannassa mainituista syistä kannatettavana. Mikäli direktiivi koskisi vain rajat ylittävässä yhteistyössä tapahtuvaa henkilötietojen käsittelyä, saattaisi samassa asiassa esimerkiksi rikostutkinnassa tulla sovellettavaksi kaksi eri tietosuojajärjestelmää. Tärkeää on, että jatkovalmistelussa kiinnitetään huomiota säännöksen muotoiluihin siten, että kansallinen soveltaminen on myös käytännössä mahdollista.
Direktiiviehdotuksen soveltamisalaa on kesäkuussa 2015 pidetyssä OSA-neuvostossa laajennettu kattamaan toimivaltaisten viranomaisten suorittama henkilötietojen käsittely myös yleistä turvallisuutta koskevien uhkien estämiseksi ja niiltä suojautumiseksi. Sisäministeriön hallinnonalan osalta soveltamisalan rajaus tarkoittaa selvityksen mukaan käytännössä sitä, että samaa säädöstä sovellettaisiin kaikkeen henkilötietojen käsittelyyn, joka liittyy poliisilain (872/2011) 1 §:n mukaisiin poliisin tehtäviin. Näitä ovat oikeus- ja yhteiskuntajärjestyksen turvaaminen, yleisen järjestyksen ja turvallisuuden ylläpitäminen sekä rikosten ennalta estäminen, selvittäminen ja syyteharkintaan saattaminen. Tämä soveltamisalan laajennus helpottaa direktiivin täytäntöönpanoa poliisin suorittaman henkilötietojen käsittelyä koskevan lainsäädännön osalta. Esimerkiksi rajanveto yleiseen järjestykseen ja turvallisuuteen ja rikostorjuntaan liittyvien tehtävien osalta voi joissakin tilanteissa olla vaikeaa. Euroopan unionin toiminnasta tehdyn sopimuksen mukaiseen poliisiyhteistyöhön sovellettaviin EU:n säädöksiin sisältyy myös yleisen järjestyksen ja turvallisuuden ylläpitämiseen liittyvää rajat ylittävää yhteistyötä koskevia säännöksiä, jolloin on tärkeää, että tietosuojan taso on sama kaikissa jäsenvaltioissa myös näihin tehtäviin liittyvässä henkilötietojen käsittelyssä.
Selvityksen mukaan soveltamisalan ulkopuolelle jäisivät poliisin hallinnolliset asiat, kuten lupa-asiat. Näihin tulisi sovellettavaksi yleinen tietosuoja-asetus. Valiokunta kiinnittää huomiota siihen, että poliisi käyttää jo nyt eräissä hallinnollisissa asioissa, esimerkiksi turvallisuusselvitysten laatimisessa, direktiivin soveltamisalaan kuuluvia rekistereitä. Jatkovalmistelussa tulisi selkeyttää tämäntyyppisiä soveltamistilanteita. Valiokunta toteaa, että poliisin ohella myös rajavartiolaitoksella on sekä direktiivin että tietosuoja-asetuksen soveltamisalaan liittyvää henkilötietojen käsittelyä. Kesäkuun alusta 2015 tuli voimaan laki henkilötietojen käsittelystä Tullissa (639/2015), jossa säädetään erityisesti Tullin rikostorjunta- ja valvontatehtävien kannalta tarpeellisesta henkilötietojen käsittelystä.
Valiokunta korostaa, että direktiiviehdotuksen vaikutuksia kansalliseen lainsäädäntöön tulee arvioida yksityiskohtaisesti direktiivin kansallista täytäntöönpanoa valmisteltaessa. Siinä yhteydessä tulee arvioida sääntelyn soveltuminen myös esimerkiksi kadonneiden etsintään tai suunnitteilla oleviin uusiin viranomaisten yhteisiin tietojärjestelmiin. Todettakoon vielä, että eduskunta on edellyttänyt, että poliisin henkilötietolain kokonaisuudistus käynnistetään mahdollisimman pian, kun EU:n tietosuojapaketin lopullinen sisältö on selvillä. Samassa yhteydessä tulee tarkistaa myös rajavartiolaitoksen henkilötietolain säännökset (EV 216/2013 vp — HE 66/2012 vp).
Sekä direktiivin että yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle jäävät kansalliseen turvallisuuteen liittyvät asiat, koska ne eivät kuulu EU:n toimivaltaan. Valiokunnan saaman selvityksen mukaan tämä tarkoittaisi poliisin osalta erityisesti suojelupoliisin toiminnallista tietojärjestelmää, johon liittyvästä henkilötietojen käsittelystä säädettäisiin kansallisessa lainsäädännössä.
Henkilötietojen siirto kolmansissa maissa oleville yksityisille
Direktiiviehdotukseen on lisätty säännös, joka oikeuttaisi toimivaltaisen viranomaisen tietyissä tapauksissa siirtämään henkilötietoja suoraan kolmansissa maissa oleville yksityisille. Valiokunnalle toimitetun, 16.9.2015 päivätyn puheenjohtajan ehdotuksen mukaan säännös on laajennettu koskemaan henkilötietojen siirtoa paitsi yksityisille, myös sellaisille julkisille viranomaisille, jotka eivät ole direktiivin tarkoittamia toimivaltaisia viranomaisia, sekä virastoille ja muille elimille. EU:n työryhmäkäsittelyssä on katsottu, että jos tietoja voidaan siirtää yksityisille, tulee niitä voida siirtää myös edellä mainituille julkisille viranomaisille. Mainitussa muotoiluehdotuksessa ei myöskään enää edellytetä esimerkiksi tietojen siirron poikkeuksellisuutta ja kiireellisyyttä. Pääsääntö direktiiviehdotuksessa kuitenkin edelleen on, että tietoja saa luovuttaa kolmansiin maihin vain viranomaisille, jotka ovat toimivaltaisia hoitamaan direktiivin mukaisia tehtäviä.
Valiokunta katsoo valtioneuvoston tavoin, että toimivaltaisten viranomaisten direktiivin mukaisten tehtävien suorittamiseksi välttämättömät henkilötietojen vaihdot kolmansien maiden kanssa tulee ensisijaisesti hoitaa soveltaen kansainvälisiä rikostorjunta- ja rikosoikeusapusopimuksia, joihin pohjautuvia oikeusapumenettelyjä tulisi parantaa ja nopeuttaa. Esimerkiksi Euroopan neuvoston tietoverkkorikollisuutta koskeva vuoden 2001 yleissopimus mahdollistaa jo nykyään direktiivin mukaisten tehtävien suorittamiseksi välttämättömien tietojen saamisen osapuolten sopimassa nopeutetussa menettelyssä. Sopimukseen on liittynyt myös lukuisa joukko Euroopan neuvoston ulkopuolisia valtioita.
Valiokunta kuitenkin korostaa sen tärkeyttä, että direktiivi mahdollistaa tehokkaan ja joustavan toiminnan myös EU:n ulkopuolisten tahojen kanssa rikosten estämisessä ja selvittämisen varmistamisessa. Yksityisten toimijoiden kanssa tehtävän rikostorjuntayhteistyön merkitys on jatkuvasti kasvussa. Yhteistyö perustuu yksityisen toimijan osalta vapaaehtoisuuteen ja yhteiskuntavastuun toteuttamiseen. Yksityisten tahojen kanssa tehtävä yhteistyö on olennaisen tärkeää monenlaisten rikosten estämiseksi ja selvittämiseksi, esimerkkinä maksuvälinerikokset, lentoliikenteen turvallisuus ja kyberympäristössä toteutetut teot. Erityisen tärkeää välittömien yhteyksien olemassaolo on silloin, kun jonkun henki tai terveys on välittömässä vaarassa.
Valiokunnan saaman selvityksen mukaan poliisin näkökulmasta direktiivin tarkoittamissa tilanteissa ei varsinaisesti ole tarkoituksena poliisin tietojen luovuttaminen tai siirto, sillä yleensä esimerkiksi internet-palveluntarjoajalle lähetetään minimitieto, kuten nimi tai IP-osoite, ja palveluntarjoajaa pyydetään esimerkiksi olemaan poistamatta tilaaja- tai sisältötietoja, joita sen jälkeen tullaan pyytämään oikeusapupyynnöllä. Näin voidaan nykyisten voimassa olevien sopimusten nojalla menetellä, kun suoraan yhteydenottoon on palveluntarjoajan sijaintivaltion hyväksyntä.
Valiokunta pitää tärkeänä, että direktiivin yhteydessä varmistetaan sekä korkea tietosuojan taso että lainvalvontaviranomaisten välinen tehokas tiedonvaihto, huomioiden poliisi- ja rikosoikeudellisen yhteistyön erityispiirteet. Jos jäsenvaltioiden enemmistö katsoo, että artiklan sisällyttäminen direktiiviin on välttämätöntä, suorat henkilötietojen siirrot kiireellisissä tai ei-kiireellisissä tapauksissa tulisi sallia vain valtioneuvoston kannassa esitetyin edellytyksin.
Taloudelliset ja muut vaikutukset
Direktiivi täsmentää rekisterinpitäjän velvollisuuksia monilta osin, lisää tietojenkäsittelyn läpinäkyvyyttä ja luo rekisteröidyille tehokkaammat keinot huolehtia oikeuksistaan. Sääntely ei valiokunnalle esitetyn arvion mukaan olisi tuomassa sellaisia keskeisiä velvollisuuksia rekisterinpitäjälle, joita ei jo voimassa olevan lainsäädännön mukaan olisi noudatettava tai parhaiden tietosuojakäytäntöjen mukaisesti olisi tarkoituksenmukaista jatkossa noudattaa.
Selvityksen mukaan rekisterinpitäjien tietojärjestelmien mukauttamisesta vastaamaan direktiivin vaatimuksia saattaa aiheutua huomattaviakin kustannuksia. Vastaavat vaatimukset sisältyvät kuitenkin jo pääosin nykyiseen tietosuojapuitepäätökseen. U-jatkokirjelmässä todetaan, että yksityiskohtaisia taloudellisia vaikutuksia eri viranomaisille ja budjettimomenteille ei ole mahdollista esittää ja että kustannuksia arvioidaan tarkemmin direktiivin täytäntöönpanon yhteydessä.
Valiokunta pitää kuitenkin tärkeänä, että jo nyt direktiivin valmisteluvaiheessa kiinnitetään huomiota sääntelyn mahdollisiin kustannusvaikutuksiin esimerkiksi tietojärjestelmien kehittämisessä sekä muihin vaikutuksiin, kuten esimerkiksi tietojen saamisen nopeuteen hälytystehtävissä.