Arvioinnin lähtökohtia
(1) Hallituksen esityksessä ehdotetaan muutettaviksi pankki- ja maksutilien valvontajärjestelmästä annettua lakia ja rahanpesun selvittelykeskuksesta annettua lakia. Esityksen tarkoituksena on panna täytäntöön ns. rahoitustietodirektiivi (Euroopan parlamentin ja neuvoston direktiivi (EU) 2019/1153 säännöistä, joilla helpotetaan rahoitus- ja muiden tietojen käyttöä tiettyjen rikosten ennalta estämistä, paljastamista, tutkimista tai niihin liittyviä syytetoimia varten ja neuvoston päätöksen 2000/642/YOS kumoamisesta) ja täydentää ns. viidennen rahanpesudirektiivin (rahoitusjärjestelmän käytön estämisestä rahanpesuun tai terrorismin rahoitukseen ja direktiivien 2009/138/EY ja 2013/36/EU muuttamisesta annetun Euroopan parlamentin ja neuvoston direktiiviin (EU) 2018/843) täytäntöönpanoa. Tarkoituksena on lisäksi antaa täydentävää sääntelyä kansallisten muutostarpeiden vuoksi.
(2) Voimassa oleva rahanpesua koskeva lainsäädäntö on säädetty perustuslakivaliokunnan myötävaikutuksella (ks. PeVL 48/2018 vp ja PeVL 2/2017 vp sekä esim. PeVL 15/2008 vp ja PeVL 30/1997 vp.) Lisäksi valiokunta on arvioinut aikaisemmin lakiehdotusta, jolla rahanpesulain soveltamisalaa laajennettiin koskemaan rikoslain 34 luvun 9 b §:ssä tarkoitetun terrorismin rahoittamisen estämistä ja selvittämistä ja siihen lisättiin säännökset ilmoitusvelvollisten tunnistamis-, huolellisuus- ja ilmoitusvelvollisuudesta (PeVL 58/2002 vp).
(3) Hallituksen esityksen ensisijainen tarkoitus on EU:n oikeuden täytäntöönpano. Perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei lähtökohtaisesti kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim. PeVL 13/2019 vp, s. 2, PeVL 31/2017 vp, s. 4). Valiokunnan mukaan on sinänsä selvää, että Euroopan unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin lainsäädäntö on ensisijaista suhteessa kansallisiin säännöksiin oikeuskäytännössä määriteltyjen edellytysten mukaisesti (ks. esim. PeVL 14/2018 vp, s. 13 ja PeVL 20/2017 vp, s. 6) eikä suomalaisessa lainsäädännössä tule pyrkiä EU-oikeuden kanssa ristiriidassa oleviin ratkaisuihin (PeVL 15/2018 vp, s. 49, PeVL 14/2018 vp, s. 13, PeVL 26/2017 vp, s. 42). Hallintovaliokunnan on syytä varmistua sääntelyn asianmukaisuudesta EU-oikeuden kannalta.
(4) Perustuslakivaliokunta korostaa kuitenkin edelleen, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. esim. PeVL 1/2018 vp, PeVL 25/2005 vp). Valiokunta on painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (ks. esim. PeVL 1/2018 vp, s. 3, PeVL 26/2017 vp, s. 42).
(5) Hallituksen esityksessä ehdotetaan myös eräitä yksinomaan kansallisista tarpeista perusteltavia säännöksiä, joita on arvioitava suhteessa perustuslain säännöksiin. Esimerkiksi Verohallinnolla, Tullilla, Ulosottolaitoksella, poliisilla ja Rajavartiolaitoksella, Puolustusvoimilla ja Finanssivalvonnalla olisi esityksen mukaan pääsy pankki- ja maksutilien valvontajärjestelmään muissa kuin direktiivissä edellytetyissä tarkoituksissa.
Pankki- ja maksutilien valvontajärjestelmä
(6) Hallituksen esityksen 1. lakiehdotuksen 3 §:ssä ehdotetaan pääsyä pankki- ja maksutilien valvontajärjestelmään usealle viranomaiselle. Perustuslakivaliokunta on arvioinut tällaista pääsyä valvontajärjestelmään arvioidessaan voimassa olevaan sääntelyyn johtanutta hallituksen esitystä eduskunnalle laiksi pankki- ja maksutilien valvontajärjestelmästä ja eräiksi siihen liittyviksi laeiksi (PeVL 48/2018 vp). Valiokunta viittasi tuolloin aiemmin katsoneensa, että pankkisalaisuus ei ole yksityiselämän ydinalueeseen kuuluva seikka (PeVL 14/2002 vp, s. 4/II, PeVL 7/2000 vp, s. 4/I). Valiokunta totesi sittemmin arvioineensa uudelleen yksityiselämän suojan ydinalueen merkitystä. Viitaten myös EU-tuomioistuimen käytäntöön yksityiselämän suojasta valiokunta katsoi, että mitä suuremmassa määrin yksityisten ihmisten maksuliikenne siirtyy käteisen rahan käytöstä pankkitilin välityksellä tapahtuvaan maksuliikenteeseen, sitä yksityiskohtaisemman kuvan henkilön yksityiselämästä voi muodostaa pankkitilin tilitapahtumista. Tilitapahtumista voi ilmetä suoraan jopa arkaluonteisia tietoja, kuten tietoja uskonnollisen yhdyskunnan jäsenyydestä tai terveydenhuoltopalvelujen käytöstä. Valiokunnan mukaan luonnollisen henkilön yksityiskohtaiset tilitiedot rinnastuvat tämän johdosta yksityiselämän suojan ydinalueelle kuuluviin arkaluonteisiin tietoihin (PeVL 48/2018 vp, s. 4).
(7) Hallituksen esityksessä painotettiin tuolloin lähtökohtaa, jonka mukaan pääosin ehdotetuilla uudistuksilla pantaisiin täytäntöön rahanpesun ja terrorismin rahoittamisen estämistä koskeva Euroopan parlamentin ja neuvoston direktiivi. Perustuslakivaliokunta piti erityisen valitettavana, että hallituksen esityksessä selostettiin kansallisen liikkumavaran alaa puutteellisesti, ja kiinnitti valtioneuvoston vakavaa huomiota tähän seikkaan, josta valiokunta on huomauttanut useasti. Valiokunnan mukaan ehdotetun kaltainen sääntely, jolla olisi mahdollistettu yksityiselämän suojan ydinalueelle ulottuva arkaluonteisten henkilötietojen käsittely salassapitovelvollisuuden estämättä, olisi ollut valmisteltava, perusteltava ja laadittava sisällöltään erityisen huolellisesti perustuslain asettamat vaatimukset huomioiden (PeVL 48/2018 vp, s. 7).
(8) Perustuslakivaliokunnan mukaan hallituksen esitykseen ei tuolloin sisältynyt hyväksyttävästi perusteltua, perustuslain kannalta asianmukaista, täsmällistä ja tarkkarajaista sääntelyä, minkä johdosta lakiehdotuksesta oli poistettava muut kuin direktiivin edellyttämät tiedonsaantioikeudet, mikä oli edellytyksenä lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä (PeVL 48/2018 vp, s. 8).
(9) Myös nyt ehdotetut lainmuutokset ovat merkityksellisiä perustuslain 10 §:n mukaisen yksityiselämän suojan kannalta. Perustuslakivaliokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(10) Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
(11) Perustuslakivaliokunnan mielestä merkityksellistä on, että pankki- ja maksutilien valvontajärjestelmää koskeneesta lakiehdotuksesta poistettiin eduskuntakäsittelyssä tilitapahtumia koskevat tiedot (TaVM 43/2018 vp), eli pankki- ja maksutilien valvontajärjestelmä ei voimassa olevan lain mukaan sisällä tilitapahtumia eikä muitakaan arkaluonteisia tietoja, joiden perusteella voitaisiin muodostaa kattava kuva henkilön yksityiselämästä. Tähän ei esitetä hallituksen esityksessä muutosta, eli mahdollinen tilitapahtumia koskeva tietopyyntö tapahtuisi perustelujen mukaan (s. 103) muuta kautta kuin pankki- ja maksutilien valvontajärjestelmää käyttäen. Esityksen perustelujen (s. 112) mukaan pankki- ja maksutilien valvontajärjestelmään ei siten sisälly arkaluonteisia tietoja, vaan asiakkuutta, kuten tilinhaltijaa tai käyttöoikeuden haltijaa koskevat tiedot, pankkitilin yksilöintitiedot, kuten IBAN-numero, sekä tosiasiallista edunsaajaa koskevat tiedot.
(12) Hallituksen esityksessä ehdotettu sääntely sallii kuitenkin henkilötietojen ja pankkisalaisuuden piiriin kuuluvien varallisuustietojen luovuttamisen sähköisesti luottolaitoksilta laissa määriteltäville viranomaisille näiden lakisääteistä tehtävän hoitamista varten. Tietoja ei ehdotuksen mukaan tallenneta järjestelmään, vaan ne luovutetaan suoraan rekisterinpitäjänä toimivalta luottolaitokselta viranomaiselle. Viranomaisen on aina esitettävä laissa oleva toimivaltaperuste oikeudesta saada tiedot. Perustuslakivaliokunnan mielestä olennaista on, että varsinaiset käyttöoikeudet pankki- ja maksutilien tiedonhakujärjestelmään perustuisivat viranomaisten toimivaltuuksiin ja tiedonsaantioikeuksiin muun voimassa olevan lainsäädännön mukaan.
(13) Perustuslakivaliokunta kiinnitti kuitenkin arvioidessaan voimassa olevaan sääntelyyn johtanutta esitystä huomiota myös siihen, että salassapitosäännösten edelle menevässä tietojensaantioikeudessa on viime kädessä kysymys siitä, että tietoihin oikeutettu viranomainen omine tarpeineen syrjäyttää ne perusteet ja intressit, joita tiedot omaavaan viranomaiseen kohdistuvan salassapidon avulla suojataan. Mitä yleisluonteisempi tietojensaantiin oikeuttava sääntely on, sitä suurempi on vaara, että tällaiset intressit voivat syrjäytyä hyvin automaattisesti. Mitä täydellisemmin tietojensaantioikeus kytketään säännöksissä asiallisiin edellytyksiin, sitä todennäköisemmin yksittäistä tietojensaantipyyntöä joudutaan käytännössä perustelemaan. Myös tietojen luovuttajan on tällöin mahdollista arvioida pyyntöä luovuttamisen laillisten edellytysten kannalta. Tietojen luovuttaja voi lisäksi kieltäytymällä tosiasiallisesti tietojen antamisesta saada aikaan tilanteen, jossa tietojen luovuttamisvelvollisuus eli säännösten tulkinta saattaa tulla ulkopuolisen viranomaisen tutkittavaksi. Tämä mahdollisuus on tärkeä tiedonsaannin ja salassapitointressin yhteensovittamiseksi. Valiokunnan mukaan tällaisia lähtökohtia voidaan soveltaa myös tietojen saamiseen ja luovuttamiseen pankkisalaisuuden estämättä (PeVL 48/2018 vp, 5). Valiokunnan mukaan tuolloin ehdotetulla sääntelyllä olisi perustettu järjestelmä, jonka puitteissa pankkisalaisuuden alaisia henkilötietoja annettaisiin useiden viranomaisten käyttöön ilman riittävää ennakollista kontrollia (PeVL 48/2018 vp, s. 7—8).
(14) Perustuslakivaliokunnan mielestä vastaavia näkökohtia voidaan esittää myös nyt ehdotettavan sääntelyn sisällöstä. Koska ehdotettava sääntely ei kuitenkaan ulotu yksityiselämän suojan ydinalueelle arkaluonteisina tietoina pidettäviin yksittäisiin tilitapahtumatietoihin, ei nyt ehdotettava aiemmin arvioitua täsmällisempi ja tarkkarajaisempi sääntely sille säätämisjärjestysperusteluissa esitetyt viranomaiskohtaiset perustelut huomioiden vaikuta lakiehdotuksen käsittelyjärjestykseen. Hallintovaliokunnan on kuitenkin tarkasteltava ehdotetun järjestelmän suhdetta EU:n tietosuojalainsäädäntöön ja varmistuttava sen yhteensopivuudesta.
Koostava sovellus
(15) Perusteluiden (s. 45—46) mukaan eräiden toimivaltaisten viranomaisten ei ole tarkoituksenmukaista rakentaa rajapintaa pankki- ja maksutilien valvontajärjestelmään kustannussyistä, minkä vuoksi esityksessä ehdotetaan, että nämä viranomaiset voivat saada tiedot Tullilta, joka toimii pankki- ja maksutilirekisterin rekisterinpitäjänä. Esityksessä ehdotetaan rahoitustietodirektiivin 4 artiklan täytäntöönpanemiseksi ja viidennen rahanpesudirektiivin 32 a artiklan täytäntöönpanon täydentämiseksi, että Tulli rakentaa automatisoidun koostavan sovelluksen, jonka avulla se tarjoaa keskitetysti palveluna sekä Tullin ylläpitämän tilirekisterin että rahanpesulain mukaisten ilmoitusvelvollisten ylläpitämien tiedonhakujärjestelmien tiedot niille viranomaisille, jotka eivät rakenna omaa yhteyttä edellä mainittuihin tietojärjestelmiin.
(16) Voimassa olevaan perustuslakivaliokunnan myötävaikutuksella säädettyyn lakiin ei sisälly vastaavaa sääntelyä koostavasta sovelluksesta. Hallituksen esityksen mukaan järjestelyssä on pääosin kysymys EU-oikeuden täytäntöönpanosta. Hallituksen esityksessä pääsyä esitetään kuitenkin muihinkin kuin direktiiveissä säädettyihin käyttötarkoituksiin Verohallinnolle, Tullille, Ulosottolaitokselle, poliisille, Rajavartiolaitokselle ja Puolustusvoimille. Edellä valvontajärjestelmän tietosisällöistä, sääntelyn yksityiskohtaisuudesta ja sääntelylle esitetyistä perusteluista sanottu huomioon ottaen ehdotettu sääntely ei näiltäkään osin vaikuta lakiehdotuksen käsittelyjärjestykseen. Perustuslakivaliokunnan mielestä hallintovaliokunnan on kuitenkin syytä näiltäkin osin varmistua sääntelyn yhteensopivuudesta EU:n tietosuojalainsäädännön kanssa. Valiokunta kiinnittää erityistä huomiota siihen, että Tullin tehtävistä rekisterinpitäjänä on esityksen perusteella vaikea muodostaa selvää käsitystä.