Yleistä

Hallituksen esityksessä on kyse Euroopan unionin rikosasioiden tietosuojadirektiivin (EU 2016/680) kansallisesta täytäntöönpanosta. Direktiivi kokee poliisin, syyttäjien, tuomioistuinten ja muiden toimivaltaisten viranomaisten henkilötietojen käsittelyä rikosasioissa, ja sen tarkoituksena on varmistaa henkilötietojen suoja direktiivin soveltamisalalla sekä helpottaa tietojen vapaata liikkuvuutta jäsenvaltioiden poliisi- ja oikeusviranomaisten välillä. 

Direktiivin täytäntöönpanemiseksi ehdotetaan erillisen rikosasioiden käsittelyssä noudatettavaksi tulevan henkilötietolain säätämistä (1. lakiehdotus). Kyseessä on yleislaki, jota sovelletaan, jollei muualla lainsäädännössä säädetä toisin. Ehdotettua sääntelyä sovelletaan myös Puolustusvoimien, poliisin ja Rajavartiolaitoksen henkilötietojen käsittelyyn kansallisen turvallisuuden ylläpitämisen yhteydessä. Tätä direktiivi ei edellytä, joten kyse on kansallisesta ratkaisusta. 

Hallinnonalakohtaiselle erityissääntelylle on direktiivin soveltamisalalla katsottu olevan tarvetta, ja tällä hetkellä erityissääntelyä on olemassa henkilötietojen käsittelystä poliisin, Rajavartiolaitoksen ja Tullin toimialoilla. Näiden lakien uudistaminen on parhaillaan käynnissä. 

Direktiivi liittyy läheisesti Euroopan unionin yleiseen tietosuoja-asetukseen, koska asetus ja direktiivi muodostavat yhdessä niin sanotun tietosuojapaketin, jonka tarkoituksena on nykyaikaistaa ja yhdenmukaistaa EU:n tietosuojalainsäädäntöä. Asetus koskee lähtökohtaisesti lähes kaikkea henkilötietojen käsittelyä yksityisellä ja julkisella sektorilla, mutta sen soveltamisalan ulkopuolelle on rajattu käsillä olevassa direktiivissä tarkoitettu henkilötietojen käsittely rikosasioissa. Asetusta täydentävästä ja täsmentävästä kansallisesta lainsäädännöstä on annettu erillinen hallituksen esitys (HE 9/2018 vp), josta lakivaliokunta on vastikään antanut lausunnon (LaVL 5/2018 vp). Mietinnön valmistelu hallintovaliokunnassa asiasta on tätä lausuntoa laadittaessa vielä kesken.  

Yleinen tietosuoja-asetus koskee myös kaikkia rikosasioiden tietosuojadirektiiviä toimeenpanevia viranomaisia. Asetus tulee sovellettavaksi silloin, kun kyse on henkilötietojen käsittelystä muulla kuin direktiivin soveltamisalalla. Henkilötietojen käsittelyä koskeva lainsäädäntö hajaantuu toimivaltaisten viranomaisten osalta siten yleiseen tietosuoja-asetukseen ja sen kansalliseen täytäntöönpanosääntelyyn, rikostietosuojadirektiivin täytäntöönpanemiseksi annettuun yleislakiin sekä hallinnonalakohtaisiin erityissäännöksiin. Sääntelykenttä on siten paitsi monimutkainen myös varsin hajanainen. Tämä huomioon ottaen lakivaliokunta pitää perusteltuna, että direktiivin täytäntöönpanossa on pyritty mahdollisimman yhtenäiseen ratkaisuun yleisen tietosuoja-asetuksen kansallisen täytäntöönpanosääntelyn kanssa ja että tästä lähtökohdasta on poikettu, jos toisenlaiselle ratkaisulle on ollut painavat perusteet.  

Ehdotetun yleislain noudattamista valvoo tietosuojavaltuutettu (45 §:n 1 mom). Näin sama viranomainen valvoo sekä yleisen tietosuoja-asetuksen, sitä täydentävän tietosuojalain että direktiiviä täytäntöönpanevan lain noudattamista. Lakivaliokunta pitää ratkaisua perusteltuna.  

Lakivaliokunta keskittyy lausunnossaan tuomioistuinten asemaan sekä oikeusturvaan ja seuraamuksiin. 

Sääntelyn soveltuminen tuomioistuimiin

Ehdotetun yleislain 1 §:n 1 momentin mukaan ehdotettua lakia sovelletaan laissa määriteltyjen toimivaltaisten viranomaisten käsitellessä henkilötietoja, kun kyse on rikosten ennalta estämisestä, paljastamisesta, selvittämisestä tai syyteharkintaan saattamisesta (1 kohta), syyteharkinnasta ja muusta rikokseen liittyvästä syyttäjän toiminnasta (2 kohta), rikosasian käsittelemisestä tuomioistuimessa (3 kohta), rikosoikeudellisen seuraamuksen täytäntöönpanemisesta (4 kohta) taikka yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemisesta tai tällaisten uhkien ehkäisemisestä 1—4 kohdassa tarkoitetun toiminnan yhteydessä (5 kohta). 

Toimivaltaisella viranomaisella tarkoitetaan ehdotetun yleislain 3 §:n 1 momentin 5 kohdan mukaan viranomaisia, joiden toimivalta kattaa rikosten ennalta estämisen, paljastamisen, selvittämisen tai syyteharkintaan saattamisen, syyteharkinnan tai muun rikoksesta syyttämiseen liittyvän toiminnan, rikosoikeudellisiin seuraamuksiin tuomitsemisen tai rikosoikeudellisten seuraamusten täytäntöönpanon. 

Rikosasian käsitteleminen tuomioistuimessa on siten mainittu omana kohtanaan yleislain 1 §:n 1 momentissa (3 kohta). Myös 3 §:n toimivaltaisen viranomaisen määritelmässä on otettu huomioon ”rikosoikeudellisiin seuraamuksiin tuomitseminen”. 

Lakivaliokunnan asiantuntijakuulemisissa direktiivin on kuitenkin tulkittu jättävän tuomioistuinten osalta kansallista harkintamarginaalia, minkä vuoksi on tuotu esiin, että tuomioistuimet olisi tullut jättää esityksessä ehdotetun yleislain soveltamisalan ulkopuolelle. 

Lakivaliokunta toteaa, että direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten (1 artiklan 1 kohta). Direktiivin soveltamisalan ulkopuolelle on jätetty vain henkilötietojen käsittely, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, sekä henkilötietojen käsittely, jota suorittavat unionin toimielimet, elimet ja laitokset (2 artiklan 3 kohta). Se, ettei direktiivin nimessä tai sen kohdetta tai soveltamisalaa koskevissa säännöksissä nimenomaisesti mainita tuomioistuimia tai rikosoikeudellisten seuraamusten tuomitsemista, aiheuttaa epäselvyyttä sääntelyn soveltumisesta rikosasian käsittelyyn tuomioistuimessa. Se, että direktiiviä sovelletaan myös rikosasian käsittelyyn tuomioistuimessa, ilmenee kuitenkin direktiivin 18, 32 ja 45 artiklasta sekä 20, 63 ja 80 johdanto-osan kappaleesta. 

Esimerkiksi direktiivin 32 artiklasta ilmenee, että jäsenvaltiot voivat vapauttaa tuomioistuimet ja muut riippumattomat oikeusviranomaiset velvoitteesta nimittää tietosuojavastaava näiden hoitaessa lainkäyttötehtäviään. Niin ikään direktiivin 45 artiklan 2 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että valvontaviranomaisella ei ole toimivaltaa valvoa sellaisia käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä. Lisäksi direktiivin 80 johdanto-osan kappaleessa todetaan selventävästi seuraavaa: 

Edellä esitetyn valossa lakivaliokunta pitää selvänä, että direktiiviä sovelletaan myös tuomioistuinten toimintaan niiden käsitellessä rikosasioita. Silloin, kun kyse on tuomioistuinten lainkäyttötehtävistä, jäsenvaltioilla on kuitenkin mahdollisuus vapauttaa tuomioistuimet tietosuojavastaavan nimeämisestä. Niin ikään direktiivi edellyttää, että rikosasian käsittelyyn kuuluvat lainkäyttötehtävät tuomioistuimissa jäävät kokonaan valvontaviranomaisen valvonnan ulkopuolelle.  

Direktiivissä ei ole tarkemmin määritelty, mitä tarkoitetaan tuomioistuimen ”lainkäyttötehtävillä”. Suomen oikeusjärjestelmässä tuomioistuinten lainkäytössä on katsottu olevan kyse jälkikäteisestä oikeusturvan antamisesta, jonka tehtävänä on ratkaista oikeusriidat sekä varmistaa, että aineellisen oikeuden normeja sovelletaan oikein, ja sen katsotaan jakautuvan oikeudenalojen välillä oikeudenkäyntimenettelyyn ja hallintolainkäyttöön (ks. HE 72/2002 vp, s. 56). Tuomioistuinten lainkäyttö kytkeytyy siten lakivaliokunnan näkemyksen mukaan tuomiovallan käyttämiseen, johon liittyy vaatimus tuomarin riippumattomuudesta (perustuslain 3 § ja tuomioistuinlain 6 §). Edellä oleva huomioon ottaen tuomioistuinten lainkäyttötehtävillä voidaan nyt puheena olevassa sääntely-yhteydessä katsoa olevan kyse rikosasioiden käsittelystä ja ratkaisemisesta tuomioistuimessa aineellista ja prosessuaalista lainsäädäntöä soveltaen. Sen sijaan esimerkiksi rekisteröidyn tarkastusoikeuspyyntöön vastaaminen ei ole lainkäyttöä. Lisäksi tuomioistuimilla on muuta toimintaa, kuten henkilöstörekistereitä, joiden piirissä tapahtuva henkilötietojen käsittely ei ole lainkäyttöä, vaan hallintotoimintaa, joka kuuluu yleisen tietosuoja-asetuksen piiriin.  

Direktiivin mahdollistamalla tavalla yleislain 40 §:n 2 momentissa ehdotetaan säädettäväksi, että tietosuojavastaavan tehtävät eivät ulotu tuomioistuinten lainkäyttötoimintaan. Lisäksi yleislain 45 §:n 2 momentissa ehdotetaan, että lain säännöksiä valvonnasta ei sovelleta tuomioistuimeen. Viimeksi mainitussa säännösehdotuksessa tuomioistuinten toiminta on jätetty kokonaan valvontaviranomaisten valvonnan ulkopuolelle, mikä menee direktiiviä pitemmälle. Tuomioistuinten rajaaminen kokonaan pois valvontaviranomaisen valvonnan piiristä on lakivaliokunnan mielestä kuitenkin perusteltua tuomioistuinten riippumattomuuden kannalta. Valtioneuvoston oikeuskansleri ja eduskunnan oikeusasiamies valvovat tuomioistuimia osana yleistä laillisuusvalvontaa. 

Vaikka direktiivin sääntely ei ole kaikkein selkeintä tuomioistuinten toiminnan osalta, lakivaliokunnan mielestä siihen sisältyvät ratkaisut ovat tuomioistuinten osalta perusteltuja ja asianmukaisesti täytäntöönpantuja ehdotetussa yleislaissa. Valiokunta pitää lähtökohtaisesti perusteltuna, että kaikkien rikosprosessiketjussa toimivien viranomaisten rikosasian yhteydessä suorittamaan henkilötietojen käsittelyyn sovelletaan yhtenäistä tietosuojasääntelyä.  

Tuomioistuimia koskee myös yleinen tietosuoja-asetus, joka tulee sovellettavaksi esimerkiksi silloin, kun kyse on henkilötietojen käsittelyssä muun asian kuin rikosasian eli esimerkiksi riita- ja hakemusasian yhteydessä. Valvontaviranomaisen valvonta ei kuitenkaan yleisen tietosuoja-asetuksenkaan nojalla ulotu tuomioistuinten lainkäyttötehtäviin (55 artiklan 3 kohta).  

Asiantuntijakuulemisissa on kiinnitetty huomiota siihen, että direktiivin täytäntöönpanemiseksi ehdotettu yleislaki ei anna riittävää ohjeistusta henkilötietojen käsittelyyn tuomioistuimissa. Vaikeasti hahmotettavana on pidetty esimerkiksi yleislain 8 §:ää, jonka 1 momentin mukaan rekisterinpitäjän on erotettava tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat käsiteltävän asian kannalta eri asemassa olevia rekisteröityjä. Lakivaliokunta toteaa perusteluista ilmenevän (s. 40), että momentissa tarkoitettua ”tarvetta” ryhtyä toimenpiteisiin tietojen erottamiseksi ei ole, jos henkilön asema (todistaja, asianomistaja, syytetty) ilmenee yksiselitteisesti asiayhteydestä. Lakivaliokunnan näkemyksen mukaan tilanne on tuomioistuinasioiden osalta yleensä tämä. Lisäksi on huomattava, että erottamisvelvollisuuteen tuo väljyyttä myös ilmaisu ”mahdollisuuksien mukaan”.  

Myös rekisteröidyn tarkastusoikeutta (ehdotetun yleislain 23 §) on pidetty tuomioistuinten kannalta ongelmallisena erityisesti pakkokeinoasioissa. Lakivaliokunta toteaa, että pakkokeinolain (806/2011) 62 §:n nojalla rekisteröidyllä ei ole tarkastusoikeutta. Erityissäännös menee ehdotetun yleislain edelle.  

Yleislain vaikeaselkoisuus eri toimivaltaisten viranomaisten toiminnan kannalta johtuu valiokunnan näkemyksen mukaan siitä, että ehdotettu laki on yleislaki, jota sovelletaan kaikkien toimivaltaisten viranomaisten henkilötietojen käsittelyyn rikosasioissa. Toisaalta sääntelyn soveltamista helpottaa se, että yleislaki on monin paikoin yksityiskohtaisempi kuin nykyinen henkilötietolaki, jota sovelletaan jo nykyisin tuomioistuimissa. On kuitenkin tärkeää, että tuomioistuinten — kuten muiden toimivaltaisten viranomaisten — toiminnan osalta annetaan tarvittaessa asiaa koskevaa erityissääntelyä. Lisäksi on tärkeää, että lain muutoksesta annetaan riittävästi koulutusta toimivaltaisille viranomaisille ja toimeenpanossa kiinnitetään erityistä huomiota tietosuojavaltuutetun ohjaukseen ja neuvontaan. 

Rekisteröidyn oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja muutoksenhaku

Direktiivin 52 artiklan mukaan jokaisella rekisteröidyllä on oltava oikeus tehdä valitus valvontaviranomaiselle, jos hän katsoo häneen liittyvässä henkilötietojen käsittelyssä rikotun direktiivin nojalla annettuja säännöksiä. Valvontaviranomaisen on ilmoitettava rekisteröidylle valituksen etenemisestä ja ratkaisusta. Direktiivin 53 artiklan mukaan luonnollisilla henkilöillä ja oikeushenkilöillä on oltava oikeus käyttää tehokkaita oikeussuojakeinoja valvontaviranomaisen oikeudellisesti sitovia heitä koskevia päätöksiä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja. Jokaisella rekisteröidyllä on oltava oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut sen etenemisestä kolmen kuukauden kuluessa. Jäsenvaltioiden on lisäksi 54 artiklan mukaan säädettävä, että rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo oikeuksiaan rikotun sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu lakia. 

Direktiivin mainittujen säännösten täytäntöönpanemiseksi yleislain 56 §:ssä ehdotetaan, että rekisteröidyllä on oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi (toimenpidepyyntö), jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä tai muuta henkilötietojen käsittelyä koskevaa lakia. Tietosuojavaltuutetun päätökseen saa ehdotetun yleislain 58 §:n mukaan hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa (586/1996) säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan. Myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen.  

Säännösehdotukset vastaavat yleisen tietosuoja-asetuksen täydentämiseksi esitettyjä tietosuojalakiehdotuksen säännöksiä, joita lakivaliokunta on arvioinut antamassaan lausunnossa (LaVL 5/2018 vp, s. 17 ja 18) muun muassa siltä kannalta, onko hyväksyttävää, ettei esityksessä ole ehdotettu oikaisuvaatimusmahdollisuutta. Lisäksi valiokunta on arvioinut valitusluvan edellyttämistä haettaessa muutosta hallinto-oikeuden päätökseen samoin kuin viranomaisen valitusoikeutta. Valiokunta on päätynyt pitämään tietosuojalakiehdotuksessa esitettyä sääntelyä näiltä osin asianmukaisena. Lakivaliokunta katsoo, että mainitussa lausunnossa esitetty pätee myös nyt käsillä olevaan lakiehdotukseen. 

Rekisteröidyn oikeus saattaa asia muun kuin tietosuojavaltuutetun käsiteltäväksi

Direktiivin 54 artiklassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan tämän oikeuden kuitenkaan rajoittamatta muun muassa 52 artiklaan perustuvaa oikeutta tehdä valitus valvontaviranomaiselle. Ehdotettuun yleislakiin ei sisälly erityisiä säännöksiä asiasta. 

Mainittua artiklaa on valiokunnan asiantuntijakuulemisissa tulkittu yhtäältä siten, että se edellyttää nimenomaan tuomioistuimessa toteutettavia oikeussuojakeinoja, ja toisaalta siten, että oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja oikeus hakea muutosta tietosuojavaltuutetun päätöksestä tuomioistuimelta ovat riittäviä. 

Vastaavaa sääntelyä sisältyy myös yleiseen tietosuoja-asetukseen, joten lakivaliokunta on pohtinut niiden tulkintaa tietosuojalakiehdotusta koskevassa lausunnossaan (LaVL 5/2018 vp, s. 18 ja 19). Kuten kyseisessä lausunnossa, lakivaliokunta katsoo myös tässä yhteydessä, että käytännössä rekisteröidylle on luontevampi oikeussuojakeino kääntyä tietosuojavaltuutetun kuin tuomioistuimen puoleen. Tietosuojavaltuutetun päätöksestä saa myös valittaa hallinto-oikeuteen ja edelleen valitusluvalla korkeimpaan hallinto-oikeuteen, joten tuomioistuinkäsittely on tietosuojavaltuutetunkin puoleen käännyttäessä käytettävissä, jos rekisteröity ei tyydy valtuutetun päätökseen. Toisaalta estettä ei ole sille, etteikö rekisteröity voisi valittaa viranomaisen rekisterinpitäjänä tekemästä hallintopäätöksestä hallinto-oikeuteen ilman kääntymistä ensin tietosuojavaltuutetun puoleen. Valiokunnan käsityksen mukaan viranomaisen tekemä hallintopäätös voi koskea myös henkilötietojen käsittelyä, ja tarvittaessa rekisteröity voi pyytää asiasta hallintopäätöksen, josta valituksen voi tehdä. Valiokunnan näkemyksen mukaan direktiivi ei tältä osin edellytä erityisiä kansallisia säännöksiä.  

Rinnakkaiset menettelyt

Ehdotetun yleislain 57 §:n 1 momentin ensimmäisen virkkeen mukaan tietosuojavaltuutettu tutkii toimenpidepyynnössä tarkoitetun asian, jollei asia ole vireillä tuomioistuimessa.  

Valiokunnan oikeusministeriöltä saamien lisätietojen mukaan säännös koskee tilanteita, joissa henkilötietojen käsittelyn rikkominen on samanaikaisesti vireillä valvontaviranomaisella ja tuomioistuimessa. Kyse voi olla esimerkiksi siitä, että rekisteröity vaatii vahingonkorvausta kanteella tuomioistuimessa, koska valvontaviranomaisella ei ole toimivaltuuksia määrätä tällaisia korvauksia. Tällöin kyse olisi samasta rekisteröidystä, samasta rekisterinpitäjästä tai henkilötietojen käsittelijästä ja samasta rikkomuksesta. 

Käsitellessään hallituksen esitystä yleistä tietosuoja-asetusta täydentävästä kansallisesta lainsäädännöstä lakivaliokunta kiinnitti huomiota siihen, että esitykseen ei sisältynyt säännöksiä sellaista tilannetta varten, jossa sama asia on vireillä sekä tietosuojavaltuutetulla että tuomioistuimessa. Lakivaliokunta esitti siksi hallintovaliokunnalle, että tietosuojavaltuutetulle voitaisiin säätää mahdollisuus keskeyttää sillä vireillä olevan asian käsittely, jos se on vireillä tuomioistuimessa (LaVL 5/2018 vp, s. 19). Lakivaliokunnan mukaan asian keskeyttäminen ei merkitse asian käsittelyn lopettamista, vaan tietosuojavaltuutettu voi jatkaa käsittelyä myöhemmin.  

Nyt puheena olevan direktiivin täytäntöönpanemiseksi ehdotetun yleislain säännöksestä saa sellaisen kuvan, että tietosuojavaltuutettu ei ota toimenpidepyyntöä käsiteltäväksi eikä käsittele sitä, jos asia on samanaikaisesti vireillä tuomioistuimessa. Lakivaliokunnan mielestä on perusteltua, että säännös kirjoitetaan yhdenmukaisesti tietosuojalakiehdotuksen kanssa, minkä vuoksi se esittää hallintovaliokunnalle, että 57 §:n 1 momentin ensimmäinen virke muutetaan kuulumaan seuraavasti: 

Asian käsittelyn keskeyttäminen olisi tietosuojavaltuutetun harkinnassa. Säännös on väljä, joten se jättää tietosuojavaltuutetulle harkintavaltaa arvioida, mikä kussakin tilanteessa on perusteltua ja tarkoituksenmukaista. Momentissa käytettyä ilmaisua ”liittyvä asia” arvioitaessa voidaan kiinnittää huomiota siihen, onko kyse samasta rekisteröidystä, samasta rekisterinpitäjästä tai henkilötietojen käsittelijästä ja samasta yleisen tietosuoja-asetuksen tai tietosuojalain väitetystä rikkomisesta. 

Viivästysvalitus

Direktiivin 53 artiklan 2 kohdan mukaan rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa valituksen etenemisestä tai ratkaisusta. Ehdotetun yleislain 57 §:n 1 momentin mukaan tietosuojavaltuutetun on ilmoitettava kohtuullisen ajan kuluessa asian käsittelyn etenemisestä, jos asian käsittely viivästyy. Ehdotettuun yleislakiin ei kuitenkaan sisälly nimenomaisia säännöksiä direktiivin tarkoittamista rekisteröidyn oikeussuojakeinoista.  

Direktiiviä vastaava säännös sisältyy myös yleiseen tietosuoja-asetukseen, mutta myöskään sitä täydentävään tietosuojalakiehdotukseen ei sisälly erityisiä säännöksiä oikeussuojakeinoista. Lakivaliokunta on sitä käsitellessään pohtinut tarvetta antaa erityisiä säännöksiä viivästysvalituksesta. Lakivaliokunta katsoi, ettei asemaltaan itsenäisen valvontaviranomaisen toiminnan valvonta asetuksen tarkoittamalla tavalla kuulu luontevasti tuomioistuimille. Valiokunta ei myöskään pitänyt tarkoituksenmukaisena ottaa käyttöön erityistä viivästysvalitusta pelkästään yleisen tietosuoja-asetuksen tarkoittamia asioita varten. Lisäksi valiokunta katsoi, että jo nykyinen kantelumahdollisuus laillisuusvalvojille on tehokas ja tässä yhteydessä riittävä oikeussuojakeino. Saamansa selvityksen perusteella valiokunta päätyi siten hyväksymään esityksessä ehdotetun ratkaisun olla sisällyttämättä viivästysvalitusta koskevia säännöksiä kansalliseen lainsäädäntöön (LaVL 5/2018 vp, s. 20).  

Lakivaliokunnan mukaan edellä viitatussa lausunnossa esitetty soveltuu myös nyt käsillä olevan direktiivin kansalliseen täytäntöönpanoon.  

Komission päätös tietosuojatason riittävyydestä

Ehdotetun yleislain 57 §:n 2 momentin mukaan, jos tietosuojavaltuutettu katsoo sillä vireillä olevassa asiassa tarpeelliseksi selvittää, onko 41 §:n 1 momentin 3 kohdassa tarkoitettu komission päätös tietosuojan tason riittävyydestä rikosasioiden direktiivin mukainen, valtuutettu voi hakemuksella saattaa asian Helsingin hallinto-oikeuden ratkaistavaksi. Viitatussa pykälässä mahdollistetaan henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö tarjoaa riittävän tietosuojan tason.  

Ehdotetun 57 §:n 2 momentin taustalla on unionin tuomioistuimen ratkaisu asiassa Schrems, (C-362/14), jossa tuomioistuin on katsonut, että kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voivat tarvittaessa pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta komission päätöksen pätevyyden tutkimiseksi, jos ne valvontaviranomaisen tavoin epäilevät komission päätöksen unionin lainsäädännön mukaisuutta. Tavoitteena on siten tässä yhteydessä mahdollistaa se, että kansallinen valvontaviranomainen voi saattaa Helsingin hallinto-oikeuden ratkaistavaksi kysymyksen siitä, onko komission päätöksen direktiivinmukaisuudesta tarpeen pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta. Hakemuksen hyväksyminen tarkoittaa tällöin käytännössä ennakkoratkaisupyynnön tekemistä ja hakemuksen hylkääminen sitä, että ennakkoratkaisua ei pyydetä.  

Vastaava säännös sisältyy yleisen tietosuoja-asetuksen täydentämiseksi esitettyyn tietosuojalakiin (HE 9/2018 vp, 1. lakiehdotuksen 24 §). Kyseistä säännöstä arvioidessaan lakivaliokunta katsoi, että sen sanamuodosta saattoi saada sellaisen käsityksen, että Helsingin hallinto-oikeuden ratkaistavaksi saatetaan Euroopan komission päätöksen asetuksenmukaisuus. Kansallisilla viranomaisilla ei kuitenkaan ole toimivaltaa arvioida komission päätöksen asetuksenmukaisuutta, vaan yksinoikeus tähän on Euroopan unionin tuomioistuimella. Säännöksen tarkoitus on tämän mukaisesti mahdollistaa lähinnä se, että tietosuojavaltuutettu saattaa tuomioistuimen ratkaistavaksi kysymyksen siitä, onko komission päätöksen asetuksenmukaisuutta tarpeen selvittää. Lakivaliokunta esitti tämän vuoksi, että hallintovaliokunta vielä arvioisi, oliko ehdotettua momenttia mahdollista selkeyttää niin, että se vastaisi paremmin tarkoitustaan. Lakivaliokunta esittää nyt puheena olevassa sääntely-yhteydessä vastaavaa.  

Vastaavalla tavalla kuin yleisen tietosuoja-asetusta täydentävän tietosuojalakiehdotuksen kohdalla lakivaliokunta toteaa, että ehdotetun yleislain sääntely ei sisällä erityisiä menettelyä koskevia säännöksiä nyt tarkoitetun hakemusasian käsittelystä hallinto-oikeudessa. Selvyyden vuoksi valiokunta toteaa, että siihen soveltuu hallintolainkäyttölain 72 §, joka koskee ”muuta hallintolainkäytössä käsiteltävää asiaa kuin valitusta, ylimääräistä muutoksenhakua tai hallintoriita-asiaa”. Tällainen asia pannaan kyseisen pykälän mukaan vireille toimittamalla vireillepanoa koskeva asiakirja sille viranomaiselle, jonka toimivaltaan asian ratkaiseminen kuuluu. Lisäksi sovellettavaksi tulee hallintolainkäyttölain 73 §, jonka mukaan menettelystä on muuten soveltuvin osin voimassa, mitä kyseisessä laissa säädetään valituksesta. Valituksen käsittelyä koskevat hallintolainkäyttölain säännökset ovat joustavia, joten valiokunnan näkemyksen mukaan ne mahdollistavat nyt käsiteltävänä olevan hakemusasian erityispiirteiden huomioon ottamisen asian käsittelyssä.  

Ehdotettu yleislain 57 §:n 2 momentti ei sisällä erityissäännöstä muutoksenhausta Helsingin hallinto-oikeuden päätökseen. Tarkoitus lienee, että sovellettavaksi tulee muutoksenhakua koskeva 58 §:n 2 momentti. Lakivaliokunta pitää kuitenkin perusteltuna, että 57 §:n 2 momentissa tarkoitettujen komission päätösten osalta otettaisiin erityissäännös muutoksenhausta Helsingin hallinto-oikeuden päätökseen vastaavalla tavalla kuin on tehty yleistä tietosuoja-asetusta täydentävässä tietosuojalakiehdotuksessa (24 §). Tätä puoltaa se, että valitusoikeus 57 §:n 2 momentissa tarkoitetusta Helsingin hallinto-oikeuden päätöksestä on lähtökohtaisesti viranomaisella eli tietosuojavaltuutetulla, kun taas 58 §:n 2 momentissa se on lähtökohtaisesti rekisteröidyllä, minkä vuoksi 58 §:n 2 momentissa on erikseen säädetty, että ”myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen”.  

Lakivaliokunta on arvioinut valitusoikeuteen liittyviä kysymyksiä yleistä tietosuoja-asetusta täydentävää tietosuojalakiehdotusta arvioidessaan ja katsoo, että kyseisessä lausunnossa esitetyt huomiot pätevät myös nyt puheena olevaan säännösehdotukseen (ks. LaVL 5/2018 vp, s. 21). Esimerkiksi kysymys siitä, onko rekisteröidyllä, jonka asian käsittelyn yhteydessä epäselvyys komission päätöksen direktiivinmukaisuudesta on syntynyt, valitusoikeus Helsingin hallinto-oikeuden päätökseen, edellyttää sen arvioimista, katsotaanko hallinto-oikeuden päätöksen hallintolainkäyttölain 6 §:n 1 momentissa tarkoitetulla tavalla ”välittömästi” vaikuttavan rekisteröidyn oikeuteen, velvollisuuteen tai etuun. Lähtökohtaisesti on valiokunnan näkemyksen mukaan mahdollista katsoa, ettei hallinto-oikeuden ennakkoratkaisun pyytämistä koskeva päätös koske rekisteröityä "välittömästi", jolloin valitusoikeutta ei ole. Toisaalta mahdollista on, että joissakin tapauksissa hallinto-oikeus harkitsee päätöksen vaikuttavan rekisteröidyn oikeuteen hallintolainkäyttölaissa tarkoitetulla tavalla ”välittömästi”, jolloin tällä olisi valitusoikeus. 

Lakivaliokunnan mukaan edellä tarkoitettu muutoksenhakua koskeva erityissäännös, joka on perusteltua erottaa omaksi momentikseen, voisi kuulua esimerkiksi seuraavasti: 

Lisäksi lakivaliokunta pitää lakiteknisesti selkeämpänä erottaa nyt puheena olevat komission päätöstä koskevat säännökset omaksi pykäläkseen vastaavalla tavalla kuin on tehty yleistä tietosuoja-asetusta täydentävässä tietosuojalakiehdotuksessa (24 §). Jos komission päätöstä koskevat säännökset erotetaan yleislakiehdotuksen uudeksi 58 §:ksi, jäljempänä seuraavien pykälien numerointi muuttuu yhtä suuremmaksi.  

Itsekriminointisuoja

Itsekriminointisuojan keskeisenä sisältönä on oikeus olla rikosasiassa todistamatta itseään vastaan ja oikeus olla myötävaikuttamatta oman syyllisyyden toteamiseen. Suoja kuuluu perustuslain 21 §:ssä turvatun oikeudenmukaisen oikeudenkäynnin takeisiin (ks. PeVL 39/2014 vp, s. 4/I ja HE 309/1993 vp, s. 74/II). Myös Euroopan ihmisoikeustuomioistuimen ratkaisukäytännössä itsekriminointisuojan on katsottu kuuluvan EIOS 6 artiklan 1 kohdassa turvatun oikeudenmukaisen oikeudenkäynnin ydinalueelle (esim. Saunders v. Yhdistynyt kuningaskunta, 17.12.1996). Itsekriminointisuojan keskeisimmät soveltamistapaukset ovat oikeuskäytännössä koskeneet rikoksen esitutkintaa ja rikosoikeudenkäyntiä, mutta joissain tilanteissa itsekriminointisuojan on katsottu ulottuvan myös muihin tilanteisiin, joissa kyse ei ole rikosoikeudellisista seuraamuksista. Lakivaliokunta on käsitellyt itsekriminointisuojan merkitystä yleistä tietosuoja-asetusta täydentävää kansallista lainsäädäntöä koskevassa lausunnossaan (LaVL 5/2018 vp).  

Tässä yhteydessä valiokunta kiinnittää huomiota ehdotettuihin yleislain säännöksiin velvollisuudesta ilmoittaa tietoturvaloukkauksesta (33 ja 34 §). Valiokunnan käsityksen mukaan ilmoitusvelvollisuuteen sovellettavia seuraamussäännöksiä on tällöin tulkittava itsekriminointisuojan kanssa yhteensopivasti ottaen huomioon muun muassa Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö. Viime kädessä asian arvioiminen jää tuomioistuimen ratkaistavaksi. 

Niin ikään lakivaliokunta kiinnittää huomiota ehdotetun yleislain 52 §:ään, joka sisältää säännökset uhkasakosta. Pykälän 1 momentin mukaan tietosuojavaltuutettu voi asettaa eräiden päätösten sekä 47 §:ään perustuvan tiedonsaantioikeuden tehosteeksi uhkasakon. Pykälän 2 momentin mukaan uhkasakkoa ei kuitenkaan saa asettaa luonnolliselle henkilölle 1 momentissa tarkoitetun tietojen luovuttamista koskevan määräyksen tehosteeksi silloin, kun henkilöä on syytä epäillä rikoksesta ja tiedot koskevat rikosepäilyn kohteena olevaa asiaa. Jälkimmäisessä momentissa on kyse itsekriminointisuojasta.  

Uhkasakon määräämättä jättämisen kynnys on pykälän 2 momentissa liitetty ilmaisuun ”on syytä epäillä”. Sen sijaan yleistä tietosuoja-asetusta täydentävässä tietosuojalakiehdotuksessa on vastaavassa sääntely-yhteydessä esitetty kynnykseksi ”on aihetta epäillä” (HE 9/2018 vp, 1. lakiehdotuksen 22 §). Lakivaliokunta toteaa, että uhkasakon määräämättä jättämisen kynnyksestä ei ole muodostunut vakiintunutta linjaa, vaan lainsäädäntöratkaisut vaihtelevat. Sanamuodon valinnassa merkitystä voidaan antaa sille, minkä viranomaisen tekemästä arviosta asiassa katsotaan olevan kyse, sekä siihen, kytketäänkö itsekriminointisuoja ainoastaan niihin tilanteisiin, joissa esitutkintaviranomainen on jo tehnyt päätöksen esitutkinnan käynnistämisestä (”on syytä epäillä”), vai tulisiko itsekriminointisuoja ulottaa myös niihin tilanteisiin, joissa valvontaviranomainen arvioi, että tapaus saattaa myöhemmin johtaa rikosoikeudellisiin seuraamuksiin (”on aihetta epäillä”). 

Lakivaliokunta katsoi tietosuojalakiehdotusta koskevassa lausunnossaan (LaVL 5/2018 vp, s. 23), että ilmaisua ”on aihetta epäillä” puoltaa se, että se antaa tietojenantovelvolliselle luonnolliselle henkilölle suojaa laaja-alaisemmin, joten se olisi paremmin sopusoinnussa itsekriminointisuojan kanssa. Itsekriminointisuojan kytkeminen ilmaisuun ”on syytä epäillä” voi sitoa itsekriminointisuojan liian tiukasti muodollisen esitutkinnan aloittamiseen. Lakivaliokunta ei kuitenkaan nähnyt estettä sille, etteikö säännöksessä voitaisi käyttää myös ilmaisua ”on syytä epäillä”. Valiokunta kuitenkin huomautti, että jos näin tehdään, säännös ei kuitenkaan sääntele tyhjentävästi itsekriminointisuojan merkitystä, vaan suojan ala voi tapauskohtaisesti ulottua säännöstä laajemmalle.  

Tässä yhteydessä lakivaliokunta viittaa tietosuojalakiehdotuksesta antamaansa lausuntoon ja esittää, että hallintovaliokunta arvioi, mikä ilmaisu on perustelluin. Lakivaliokunnan mielestä tärkeää kuitenkin olisi, että tietosuojalakiehdotuksessa ja nyt käsillä olevassa yleislakiehdotuksessa käytetyt ilmaisut olisivat yhtenevät.  

Seuraamukset

Direktiivin 57 artiklan mukaan jäsenvaltioiden on vahvistettava säännöt tietosuojasäännösten rikkomisen johdosta määrättävistä tehokkaista, oikeasuhtaisista ja varoittavista seuraamuksista.  

Yleinen tietosuoja-asetus säätää eräistä siinä tarkoitettujen tietosuojasäännösten rikkomisista seuraamukseksi hallinnollisen sakon. Jäsenvaltiot voivat kuitenkin rajata hallinnollisen sakon soveltamisalan ulkopuolelle joko kokonaan tai osittain viranomaiset. Hallituksen esityksessä liittyen yleisen tietosuoja-asetuksen edellyttämään täydentävään lainsäädäntöön on esitetty, että Suomi käyttää kansallisen liikkumavaran täysimääräisesti ja jättää viranomaiset asetuksen tarkoittaman hallinnollisen sakon ulkopuolelle (HE 9/2018 vp, s. 56, 57, 105 ja 106). Lakivaliokunta päätyi esityksestä antamassaan lausunnossa hyväksymään hallituksen esittämän ratkaisun (LaVL 5/2018 vp).  

Direktiivi ei sisällä säännöksiä hallinnollisesta seuraamusmaksusta, vaan seuraamusjärjestelmän osalta se jättää jäsenvaltioille yleistä tietosuoja-asetusta laajemman liikkumavaran. Direktiivin täytäntöönpanemiseksi ei ehdoteta hallinnollisen seuraamusmaksun käyttöönottamista ehdotetun yleislain soveltamisalalla. Lainvastaisen menettelyn osalta valtuutettu voi kuitenkin antaa esimerkiksi huomautuksen tai asettaa väliaikaisen tai pysyvän kiellon tai muun rajoituksen henkilötietojen käsittelylle. Valtuutettu voisi asettaa oikeudellisesti velvoittavan päätöksensä tehosteeksi uhkasakon. Lisäksi esityksessä ehdotetaan tietosuojavaltuutetulle direktiivin minimivaatimusta laajempia toimivaltuuksia, mikä osaltaan mahdollistaa laajan keinovalikoiman puuttua lainvastaiseen henkilötietojen käsittelyyn. Lisäksi rekisterinpitäjää koskee ankara korvausvastuu lain vastaisen henkilötietojen käsittelyn aiheuttamista vahingoista (1. lakiehdotuksen 59 §). Lakivaliokunnalla ei ole huomauttamista esitettyyn sääntelytapaan. 

Ehdotetun yleislain 60 §:ään on sisällytetty viittaussäännökset sääntelykokonaisuuden kannalta merkityksellisiin rikoslain säännöksiin. Viittaussäännöksen mukaan rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Kyseinen rangaistussäännös on uusi, ja sitä koskeva ehdotus sisältyy hallituksen esitykseen yleistä tietosuoja-asetusta täydentäväksi lainsäädännöksi. Kyseisessä hallituksen esityksessä ehdotetaan, että säädetään uusi rangaistussäännös tietosuojarikoksesta, joka korvaa aiemman rikoslain 38 luvun 9 §:ssä säädetyn henkilötietorikoksen. Lakivaliokunta on arvioinut rangaistussääntelyä esityksestä antamassaan lausunnossa (ks. LaVL 5/2018 vp).  

Ehdotetun yleislain 60 §:n kolmannessa virkkeessä viitataan rikoslain säännöksiin ehdotetun lain 61 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta. Lakivaliokunta katsoo, että viittauksen tulee koskea myös 55 §:ssä säädettyä ilmoittajan henkilöllisyyden salassa pitämistä. Edellä esitetyn valossa lakivaliokunta esittää hallintovaliokunnalle, että pykälä muutetaan kuulumaan seuraavasti:  

Lisäksi lakivaliokunta katsoo, että myös 2.—5. lakiehdotukseen on perusteltua sisällyttää informatiivinen viittaus tietosuojarikosta koskevaan rikoslain 38 luvun 9 §:ään. Kyseisissä laeissa on esimerkiksi henkilötietojen käyttötarkoitussidonnaisuutta, luovuttamista, siirtämistä ja käsittelyn turvallisuutta koskevia säännöksiä, joiden rikkominen voi olla rangaistavaa uuden tietosuojarikosta koskevan säännöksen mukaan. Lakivaliokunnan mukaan viittaussäännös voisi kuulua esimerkiksi seuraavasti: 

Edellä tarkoitettu informatiivinen viittaussäännös rikoslain 38 luvun 9 §:ään sisältyy hallituksen esityksen 6. lakiehdotuksen 37 §:n 2 momenttiin. Lakivaliokunta kuitenkin esittää hallintovaliokunnalle, että momentissa käytetty ilmaisu ”tuomitaan” korvataan ilmaisulla ”säädetään” seuraavasti: 

Lakiteknisiä huomioita

Yleistä tietosuoja-asetusta täydentävää kansallista lainsäädäntöä käsitellessään lakivaliokunta kiinnitti huomiota siihen, että tietosuojalakiehdotuksen samoin kuin rikoslain muuttamista koskevan lakiehdotuksen säännöksissä viitattiin henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettuun lakiin eli nyt käsillä olevan rikostietosuojadirektiivin täytäntöönpanemiseksi annettuun hallituksen esitykseen sisältyvään 1. lakiehdotukseen (LaVL 5/2018 vp, s. 23). Jos kyseiseen esitykseen sisältyvät lakiehdotukset hyväksytään ennen nyt käsiteltävänä olevaan hallituksen esitykseen sisältyvää direktiivin täytäntöönpanosääntelyä, tämä tulee lakiteknisesti ottaa huomioon hallituksen esitykseen HE 9/2018 vp sisältyvissä lakiehdotuksissa.