Valiokunnan lausunto
PeVL
29
2016 vp
Perustuslakivaliokunta
Valtioneuvoston kirjelmä eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi (kolmansien maiden kansalaisia koskeva tietojenvaihto ja ECRIS)
Suurelle valiokunnalle
JOHDANTO
Vireilletulo
Valtioneuvoston kirjelmä eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi (kolmansien maiden kansalaisia koskeva tietojenvaihto ja ECRIS) (U 13/2016 vp): Perustuslakivaliokuntaan on saapunut jatkokirjelmä UJ 12/2016 vp — U 13/2016 vp mahdollisia toimenpiteitä varten. 
Asiantuntijat
Valiokunta on kuullut: 
lainsäädäntöneuvos
Tanja
Innanen
oikeusministeriö
tietosuojavaltuutettu
Reijo
Aarnio
tietosuojavaltuutetun toimisto
professori
Juha
Lavapuro
professori
Tuomas
Ojanen
Viitetiedot
Perustuslakivaliokunta on aiemmin antanut asiasta lausunnon PeVL 13/2016 vp
VALTIONEUVOSTON JATKOKIRJELMÄ
Ehdotus
Euroopan komissio on 19 päivänä tammikuuta 2016 tehnyt ehdotuksen (KOM (2016) 7 lopullinen) Euroopan parlamentin ja neuvoston direktiiviksi neuvoston puitepäätöksen 2009/315/YOS muuttamisesta kolmansien maiden kansalaisia koskevan tietojenvaihdon ja eurooppalaisen rikosrekisteritietojärjestelmän (ECRIS) osalta sekä neuvoston päätöksen 2009/316/YOS korvaamisesta.  
Direktiiviehdotusta on kevään aikana käsitelty useissa työryhmäkokouksissa, joista viimeisin on pidetty 30.5.2016. Puheenjohtajan 30.5.2016 toimittaman asiakirjan 9376/16 mukaan kesäkuun oikeus- ja sisäasioiden neuvostossa asiassa otetaan vastaan edistymisraportti. Ennakkotiedoista poiketen puheenjohtaja esittää hyväksyttäväksi myös tekstiä, jonka mukaan jäsenvaltiot hyväksyvät (endorse) lähestymistavan EU-tasoisesta keskitetystä järjestelmästä, johon talletetaan ja jonka avulla vaihdetaan kolmannen maan kansalaisten sormenjälkitietoja ja näitä koskevien tuomioiden tietoja. Keskitetyn järjestelmän tavoitteena on sormenjälkitietojen täysin automaattinen vertailu, mutta jäsenvaltioille jäisi mahdollisuus henkilöiden suorittamaan verifiointiin kansallisella tasolla, jos tämä olisi tarpeen. 
Asiakirjan 9376/16 sanamuodon hyväksyminen saattaa merkitä sormenjälkitietojen käytön periaatteellista hyväksymistä poliittisella tasolla, vaikka asian yksityiskohtainen käsittely on työryhmätasolla kesken. 
U-jatkokirjelmä koskee komission 11.5.2016 esittämiä keskitettyjä teknisiä ratkaisuja. 
Komission alkuperäisessä direktiiviehdotuksessa ehdotettiin, että ECRIS pysyisi eri jäsenvaltioihin hajautettuna IT-järjestelmänä. Kolmannen maan kansalaisten sormenjälkitietojen lisääminen osaksi direktiiviehdotusta aiheutti kuitenkin tarpeen selvittää uudelleen erilaisia teknisiä toteuttamistapoja ja niihin liittyviä kuluja. 
Asiakirjassa WK 314/2016 on muun ohella esitetty ratkaisuksi, että kolmannen maan kansalaisten osalta muodostettaisiin keskitetty EU-tasoinen sormenjälkirekisteri (ratkaisut 3A ja 3B sekä 4A ja 4B). Ratkaisuissa 3A ja 3B kolmannen maan kansalaista koskevat sormenjälkitiedot olisivat keskitetyssä rekisterissä, mutta niin sanonut alfanumeeriset tiedot olisivat hajautettuna jäsenvaltioissa. Alfanumeeriset tiedot koskevat kolmannen maan kansalaisen henkilöllisyyttä määrittäviä tietoja, joiden avulla voitaisiin löytää osumia indeksifiltterin avulla. Ratkaisuissa 4A ja 4B sitä vastoin sormenjälkitietojen lisäksi myös edellä mainitut alfanumeeriset tiedot olisivat EU-tasoisessa keskusrekisterissä. 
Keskitetyn sormenjälkirekisterin perustamiskulut olisivat merkittävästi pienemmät kuin hajautetun järjestelmän, jossa kaikkien jäsenvaltioiden tulisi erikseen perustaa uusi sormenjälkivertailujärjestelmä. Myös ylläpitokulut ovat pienemmät keskitetyssä sormenjälkirekisterissä kuin hajautetussa järjestelmässä. Keskitetyissä vaihtoehdoissa kulut jakaantuvat tasaisemmin jäsenvaltioiden ja EU:n välillä kuin hajautetuissa järjestelmissä. 
Asiaa on käsitelty neuvoston työryhmän kokouksessa 13.5.2016. Tällöin kaikki puheenvuoron käyttäneet jäsenvaltiot kannattivat tai kannattivat alustavasti keskitettyjä ratkaisuja. Laajimman kannatuksen sai vaihtoehto, jossa sekä sormenjälkitiedot että alfanumeeriset tiedot olisivat keskitetyssä EU-tason rekisterissä.  
Puheenjohtaja on 18.5.2016 jakanut asiakirjan 8999/16 COPEN 155, jonka pohjaksi ensimmäisen kerran on otettu keskitetty tekninen ratkaisu 4, jossa kolmannen maan kansalaisen sekä sormenjälkitiedot että henkilöllisyyden määrittämiseen liittyvät alfanumeeriset tiedot olisivat keskitetyssä järjestelmässä. Ratkaisu edellyttää useita muutoksia direktiiviehdotuksen sisältöön ja asiakirjassa 8999/16 esitetty on vasta ensimmäinen versio keskitettyyn järjestelmään perustuvasta sääntelystä. Asiakirja ei vielä sisällä tietosuojaa ja tietoturvaa koskevaa lisäsääntelyä. 
Keskeistä on, että keskitetty ratkaisu edellyttäisi, että säädösinstrumenttina käytetään direktiivin sijasta asetusta ainakin siltä osin kuin kyse on EU-tasoisen järjestelmän perustamisesta. Kysymystä säädösinstrumentin luonteesta tulee huolellisesti arvioida asian jatkokäsittelyssä. 
Esillä on myös ollut ehdotus, jonka mukaan lopullinen tarkistus siitä, vastaavatko sormenjälkitiedot toisiaan (sormenjälkien verifiointi) tulisi tehdä täysin automaattisesti EU-tasolla kuitenkin siten, että jäsenvaltioille jäisi mahdollisuus henkilöiden suorittamaan verifiointiin kansallisella tasolla, jos tämä olisi tarpeen. 
Suureen keskitettyyn rekisteriin, joka sisältää biometrisiä sormenjälkitietoja, saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä riskejä. 
U-jatkokirjelmässä katsotaan, että komission esittämistä teknisistä vaihtoehdoista hyväksyttäviä ovat hajautettujen järjestelmien (1 ja 2) lisäksi myös keskitetyt ratkaisut (3 ja 4). Vaihtoehtoa koskeva valinta tulisi perustaa kokonaisarviointiin. Tämän hetkisten arvioiden mukaan toteutettavuuden ja kokonaiskulujen kannalta tarkoituksenmukaisimpia ovat keskitetyt ratkaisut, joten Suomi kannattaa tällaisen ratkaisun hyväksymistä. 
Lisäksi U-jatkokirjelmässä katsotaan, että myös keskitetyn järjestelmän osalta direktiiviehdotuksen jatkovalmistelussa tulee pyrkiä varmistamaan, että direktiiviehdotuksen tietosuojaa ja tietoturvaa koskevat säännökset ovat asianmukaiset. Keskitettyyn rekisteriin Suomesta toimitettavien tietojen osalta neuvotteluissa tulisi pyrkiä siihen, että noudatettaisiin jäsenvaltion kansallista lainsäädäntöä esimerkiksi sen osalta, minkä ajan kuluessa tiedot on poistettava rekisteristä. Lisäksi katsotaan, että neuvotteluissa tulee pyrkiä siihen, että päätös rikosrekisteritietojen luovuttamisesta tulee tehdä siinä jäsenvaltiossa, jonka rikosrekisteritiedoista on kyse, myös siinä tapauksessa, että sormenjälkien vertailun verifiointi tehtäisiin EU-tasolla. 
Valtioneuvoston kanta
Suomi katsoo, että komission esittämistä teknisistä vaihtoehdoista hyväksyttäviä ovat hajautettujen järjestelmien (1 ja 2) lisäksi myös keskitetyt ratkaisut (3 ja 4), joissa perustettaisiin EU-tasoinen kolmannen maan kansalaisia koskeva sormenjälkirekisteri tai EU-tasoinen rekisteri, jossa ovat sekä sormenjälkitiedot että henkilöllisyyttä määrittävät alfanumeeriset tiedot. Vaihtoehtoa koskeva valinta tulisi perustaa kokonaisarviointiin. Tämän hetkisten arvioiden mukaan toteutettavuuden ja kokonaiskulujen kannalta tarkoituksenmukaisimpia ovat keskitetyt ratkaisut, joten Suomi kannattaa tällaisen ratkaisun hyväksymistä. 
Puheenjohtaja on ilmoittanut, että keskitetty järjestelmä otetaan jatkotyön pohjaksi. Suomi katsoo, että myös keskitetyn järjestelmän osalta direktiiviehdotuksen jatkovalmistelussa tulee pyrkiä varmistamaan, että direktiiviehdotuksen tietosuojaa ja tietoturvaa koskevat säännökset ovat asianmukaiset. Keskitettyyn rekisteriin Suomesta toimitettavien tietojen osalta neuvotteluissa tulisi pyrkiä siihen, että noudatettaisiin jäsenvaltion kansallista lainsäädäntöä esimerkiksi sen osalta, minkä ajan kuluessa tiedot on poistettava rekisteristä. Suomi lisäksi katsoo, että neuvotteluissa tulee pyrkiä siihen, että päätös rikosrekisteritietojen luovuttamisesta tulee tehdä siinä jäsenvaltiossa, jonka rikosrekisteritiedoista on kyse, myös siinä tapauksessa, että sormenjälkien vertailun verifiointi tehtäisiin EU-tasolla. 
VALIOKUNNAN PERUSTELUT
Arvion lähtökohdat
Perustuslakivaliokunta antoi 19.4.2016 lausunnon PeVL 13/2016 vp valtioneuvoston kirjelmästä eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi (kolmansien maiden kansalaisia koskeva tietojenvaihto ja ECRIS). Oikeusministeriö on lähettänyt perustuslain 96 §:n mukaisesti 17.3.2016 annettua valtioneuvoston kirjelmää täydentävän selvityksen asiasta 20.5.2016.  
Ehdotus on mainitun perustuslakivaliokunnan lausunnon jälkeen muuttunut. Alkuperäisessä direktiiviehdotuksessa ehdotettiin, että ECRIS pysyisi eri jäsenvaltioihin hajautettuna järjestelmänä. Kolmannen maan kansalaisten sormenjälkitietojen lisääminen osaksi direktiiviehdotusta on kuitenkin aiheuttanut tarpeen selvittää uudelleen erilaisia teknisiä toteuttamistapoja ja niihin liittyviä kuluja. Jatkovalmistelussa on esitetty yhdeksi ratkaisuksi, että kolmannen maan kansalaisten osalta muodostettaisiin keskitetty EU-tasoinen sormenjälkirekisteri. Jatkovalmistelussa on katsottu, että keskitetystä rekisteristä on syytä antaa direktiivin asemesta asetus. 
Arvioitavana oleva ehdotus merkitsee puuttumista yksityiselämän ja henkilötietojen suojaan. Perustuslakivaliokunta on arvioidessaan tällaista sääntelyä yleensä katsonut, että sääntelyä on tarkasteltava perustuslain 10 §:n kannalta. Sen 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa tämän säännöksen lisäksi myös se, että henkilötietojen suoja osittain sisältyy samassa momentissa turvatun yksityiselämän suojan piiriin. Kysymys on kaiken kaikkiaan siitä, että lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on käytännössään pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista (ks. esim. PeVL 13/2016 vp, s. 3—4).  
Euroopan unionin perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa henkilötietojen suoja. EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä. Samoin Euroopan ihmisoikeussopimuksen yksityiselämän suojaa koskevan 8 artiklan on Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä katsottu kattavan myös henkilötietojen suojan. 
Biometriset tunnisteet
Perustuslakivaliokunta toistaa lausunnossa PeVL 13/2016 vp esitetyn kiinnittäen edelleen huomiota siihen, että yksityiselämän ja henkilötietojen suojan kannalta keskeisimmäksi muodostuu kysymys biometristen tunnisteiden, sormenjälkitietojen, rekisteröimisestä. Esimerkiksi sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (ks. esimerkiksi Euroopan ihmisoikeustuomioistuimen tuomio S. and Marper v. the United Kingdom, 4.12.2008, kohta 84). Perustuslakivaliokunta on arvioinut, että tällaiset biometriset tunnistetiedot ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin. Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I). Tämän johdosta jo sormenjälkitietojen tallentaminen tällaiseen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. myös S. and Marper v. the United Kingdom, kohta 85). Myös EU:n tuomioistuin on katsonut, että sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C- 291/12, tuomion kohta 30). 
Perustuslakivaliokunnan käsityksen mukaan merkityksellistä on, että biometrisiä tunnisteita sisältäviin laajoihin tietokantoihin saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Valiokunta on katsonut, että tällaisten rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden kannalta (PeVL 21/2012 vp, PeVL 47/2010 vp ja PeVL 14/2009 vp). Valiokunnan mielestä keskitettyyn ja automatisoituun järjestelmään siirtyminen merkitsisi aiempaa ehdotusta selvästi syvällekäyvempää puuttumista henkilötietojen suojaan. Valiokunnan mielestä keskitetty järjestelmä merkitsee erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (ks. myös Schrems C-362/14, kohta 91, Digital Rights Ireland C-293/12 ja C-594/12, kohdat 54 ja 55).  
Direktiiviehdotuksessa hajautettua järjestelmää perusteltiin välittömästi tehokkuuden lisäksi oikeasuhtaisuudella. Perustuslakivaliokunnan mielestä direktiiviehdotuksen perustelujen valossa on epäselvää, voidaanko keskitettyä järjestelmää pitää myös nyt esillä olevassa muodossa välttämättömänä. Tällä seikalla on merkitystä arvioitaessa myös, onko nyt esitettävä järjestelmä perusteltavissa yhdenvertaisuuden kannalta siltä osin, kun kyse on kolmannen maan kansalaisten asettamisesta eri asemaan kuin EU-kansalaisten (PeVL 13/2016 vp, s. 5).  
Perustuslakivaliokunta huomauttaa, että jatkokirjelmän valtiosääntöoikeudellista arviointia hankaloittaa huomattavasti se, että siinä käsitellyn ehdotuksen sisältö ja oikeudellinen merkitys on myös jatkokirjelmän antamisen jälkeen muuttunut perustavanlaatuisella tavalla. Lisäksi direktiivin asemesta sääntelyä suunnitellaan ainakin osin toteuttavaksi asetuksella, mikä on muun ohella merkittävää asiakokonaisuuteen liittyvän kansallisen liikkumavaran kannalta. Varsin pikaisella aikataululla pidettävässä OSA-neuvostossa on tarkoituksena hyväksyä lähtökohta keskitetystä järjestelmästä, johon talletetaan ja jonka avulla vaihdetaan kolmannen maan kansalaisten sormenjälkitietoja ja näitä koskevien tuomioiden tietoja. Perustuslakivaliokunnan mielestä tällaisen ratkaisun hyväksyminen on ennenaikaista eikä se ole käsillä olevan aineiston perusteella valtiosääntöoikeudellisista syistä ainakaan valmistelun tässä vaiheessa perusteltua. Saadun selvityksen mukaan myös valtioneuvosto on yrittänyt vaikuttaa neuvotteluissa tällä tavoin. Perustuslakivaliokunnan mielestä Suomen tulee suhtautua torjuvasti keskitetyn järjestelmän hyväksymiseen tässä vaiheessa saatavilla olevan tiedon perusteella.  
Rekisterin tietosisältö
Ehdotetun direktiivin 4 a artiklan 1 kohdan e-alakohdan perusteella jäsenvaltion, jossa annetaan tuomio kolmannen maan kansalaiselle, on tallennettava rekisteriin myös tuomitun vanhempien nimet. Vastaava vaatimus sisältyy myös ECRIS-järjestelmää koskevan puitepäätöksen (2009/315/YOS) perusteella rikosrekisteritietojen säilyttämisestä ja luovuttamisesta Suomen ja muiden Euroopan unionin jäsenvaltioiden välillä annettuun lakiin. Mainittu laki ei ollut eduskuntakäsittelyn aikana perustuslakivaliokunnan arvioitavana. 
Perustuslakivaliokunta on korostanut tarvetta varmistaa käyttötarkoitussidonnaisuuden periaatteen toteutuminen henkilötietojen käsittelyssä (PeVL 20/2016 vp, PeVL 13/2016 vp, PeVL 21/2012 vp, PeVL 47/2010 vp ja PeVL 25/2009 vp). Yksityiselämän ja henkilötietojen suojaan puuttumisen on oltava välttämätöntä hyväksyttävän päämäärän toteuttamiseksi. Vaikka ECRIS-järjestelmällä ja siihen liittyvällä rikosrekisteritietojen käsittelyllä on sinänsä hyväksyttävä tarkoitus, tuomitun vanhempien sisällyttämistä tuomitun rekisteritietojen yhteyteen ei lähtökohtaisesti voida pitää rekisterin käyttötarkoituksen mukaisena. Valiokunnan mielestä niiden rekisteröimisen välttämättömyyden vaatimus ei myöskään täyty, sillä tuomitun vanhempien nimien merkitsemistä rekisteriin ei ole ehdotuksessa perusteltu. Valtioneuvoston on jatkovalmistelussa syytä kiinnittää erityistä huomiota asiaan.  
VALIOKUNNAN LAUSUNTO
Perustuslakivaliokunta ilmoittaa,
että sen mielestä valtioneuvoston on syytä suhtautua torjuvasti ehdotuksiin keskitetyn rekisterin perustamisesta valmistelun tässä vaiheessa saatavilla olevan tiedon perusteella ja 
että se muutoin yhtyy valtioneuvoston kantaan kiinnittäen kuitenkin huomiota edellä esitettyihin valtiosääntöoikeudellisiin seikkoihin. 
Helsingissä 3.6.2016 
Asian ratkaisevaan käsittelyyn valiokunnassa ovat ottaneet osaa
puheenjohtaja
Annika
Lapintie
vas
varapuheenjohtaja
Tapani
Tölli
kesk
jäsen
Simon
Elo
ps
jäsen
Maria
Guzenina
sd
jäsen
Anna-Maja
Henriksson
r
jäsen
Hannu
Hoskonen
kesk
jäsen
Antti
Häkkänen
kok
jäsen
Ilkka
Kantola
sd
jäsen
Kimmo
Kivelä
ps
jäsen
Antti
Kurvinen
kesk
jäsen
Markus
Lohi
kesk
jäsen
Leena
Meri
ps
jäsen
Ville
Niinistö
vihr
jäsen
Ulla
Parviainen
kesk
jäsen
Wille
Rydman
kok
jäsen
Ville
Skinnari
sd
varajäsen
Mats
Löfström
r
Valiokunnan sihteerinä on toiminut
valiokuntaneuvos
Mikael
Koillinen
Viimeksi julkaistu 20.6.2016 16:02