Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2023/2854 om harmoniserade regler för skälig åtkomst till och användning av data och om ändring av förordning (EU) 2017/2394 och direktiv (EU) 2020/1828 (dataförordningen), nedan dataförordningen, och Europaparlamentets och rådets förordning (EU) 2022/868 om europeisk dataförvaltning och om ändring av förordning (EU) 2018/1724 (dataförvaltningsakten), nedan dataförvaltningsakten. 

Denna lag tillämpas i enlighet med tillämpningsområdet enligt artikel 1 i dataförordningen och artikel 1 i dataförvaltningsakten, med undantag för kapitel II i dataförvaltningsakten och myndighetsuppgifterna i anslutning till det. Denna lag tillämpas inte på riksdagsarbetet och riksdagens ämbetsverk. Lagen tillämpas inte på riksdagens justitieombudsman och inte heller på justitiekanslern i statsrådet. 

Bestämmelser om skyddet för företagshemligheter och tekniska anvisningar i samband med näringsverksamhet finns i lagen om företagshemligheter (595/2018). 

Bestämmelser om säkerställande av bevisning i mål som gäller ersättande av skada som baserar sig på att en sådan företagshemlighet eller teknisk anvisning som avses i lagen om företagshemligheter obehörigen har utnyttjats eller röjts eller meddelande av ett sådant förbud som avses i 8 § i lagen om företagshemligheter finns i lagen om säkerställande av bevisning i tvistemål som gäller immateriella rättigheter (344/2000). 

Datasamordnare enligt artikel 37 i dataförordningen är i Finland Transport- och kommunikationsverket. 

Transport- och kommunikationsverket är den behöriga myndighet enligt artikel 37 i dataförordningen som ansvarar för tillsynen, om inte något annat följer av 3 §. Andra behöriga myndigheter i fråga om tillsynen över efterlevnaden av dataförordningen är konsumentombudsmannen och Konkurrens- och konsumentverket. 

Transport- och kommunikationsverket ska öka datakompetensen bland företag och enheter i enlighet med artikel 37.5 a i dataförordningen och övervaka utvecklingen i anslutning till tillgängliggörande och användning av data i enlighet med artikel 37.5 e i den förordningen. 

Transport- och kommunikationsverket ska i enlighet med artikel 10.5 i dataförordningen certifiera de organ för tvistlösning utanför domstol som är etablerade i Finland. 

Transport- och kommunikationsverket är behörig myndighet enligt artiklarna 13 och 23 i dataförvaltningsakten. 

Den behöriga myndighet enligt artikel 37 i dataförordningen som ansvarar för tillsynen är konsumentombudsmannen i fråga om artikel 3.2 och 3.3 i dataförordningen, om det gäller lämnande av information från näringsidkare till konsumenter. 

Konkurrens- och konsumentverket ska öka datakompetensen bland konsumenter i enlighet med artikel 37.5 a i dataförordningen. 

Bestämmelser om vissa befogenheter för konsumentombudsmannen finns i lagen om vissa befogenheter för konsumentskyddsmyndigheterna (566/2020). Bestämmelser om konsumentombudsmannens uppgifters prioritetsordning finns i lagen om Konkurrens- och konsumentverket (661/2012). 

Transport- och kommunikationsverket, konsumentombudsmannen och Konkurrens- och konsumentverket ska vid skötseln av uppgifter enligt dataförordningen och denna lag samarbeta med dataombudsmannen och andra relevanta myndigheter. 

Konsumentombudsmannen ska underrätta Transport- och kommunikationsverket, om konsumentombudsmannen tar emot en anmälan som gäller överträdelser av skyldigheter som föreskrivs i dataförordningen och anser det vara behövligt att ta upp ärendet till prövning. 

Bestämmelser om Transport- och kommunikationsverkets rätt att få information för att kontrollera efterlevnaden av dataförordningen, dataförvaltningsakten och denna lag finns i artikel 37.14 i dataförordningen och i artiklarna 14.2 och 24.2 i dataförvaltningsakten. De som är föremål för begäran om information ska lämna ut informationen oberoende av sekretessbestämmelserna, utan obefogat dröjsmål, i den form som myndigheten begär och avgiftsfritt. 

Transport- och kommunikationsverket har den rätt att få information som avses i denna paragraf om verket med stöd av en begäran som en behörig myndighet i en annan medlemsstat lämnat i enlighet med artikel 37.15 i dataförordningen begär information för att uppfylla de behöriga myndigheternas skyldighet att samarbeta i enlighet med artiklarna 37.2 och 38.3 i den förordningen. 

Transport- och kommunikationsverket och konsumentombudsmannen har trots sekretessbestämmelserna rätt att till varandra lämna ut information som de fått eller handlingar som de upprättat i samband med skötseln av sina uppgifter enligt dataförordningen, dataförvaltningsakten och denna lag, om det är nödvändigt för skötseln av deras uppgifter enligt dataförordningen, dataförvaltningsakten eller denna lag. 

Transport- och kommunikationsverket och konsumentombudsmannen kan av andra myndigheter begära yttranden i det ärende som behandlas och trots sekretessbestämmelserna och andra begränsningar som gäller utlämnande av information till dem lämna ut de handlingar och den information som är nödvändiga för att de ska kunna lämna yttranden, om det är nödvändigt för skötseln av deras uppgifter enligt dataförordningen, dataförvaltningsakten eller denna lag. 

Transport- och kommunikationsverket ska underrätta de myndigheter som nämns i 25 § 1 mom., om det finns skäl att misstänka att ett ärende som kommit in till verket för behandling och som gäller åtkomsten till eller överföringen av data har samband med den nationella säkerheten eller försvaret. 

Transport- och kommunikationsverket har trots sekretessbestämmelserna och andra begränsningar som gäller utlämnande av information rätt att till inrikesministeriet och Huvudstaben lämna ut en handling som verket fått eller upprättat i samband med skötseln av sina uppgifter enligt denna lag samt att för inrikesministeriet och dess underlydande ämbetsverk och för Huvudstaben röja sekretessbelagd information, om det är nödvändigt för ett remissförfarande enligt 25 § 1 mom. 

Transport- och kommunikationsverket har för tillsynen över misstänkta överträdelser av skyldigheterna enligt dataförordningen och denna lag rätt att få tillträde till lokaler som en användare, datahållare eller datamottagare enligt dataförordningen använder för ändamål som rör deras närings- eller yrkesverksamhet och att utföra de inspektioner som behövs för tillsynsärendet. Rätten att få tillträde till och utföra inspektioner i lokaler gäller inte utrymmen som används för boende av permanent natur. 

Transport- och kommunikationsverket har vid inspektionerna trots sekretessbestämmelserna och oberoende av lagringsmediet rätt att få för granskning, kopiera och för kopiering omhänderta affärskorrespondens, bokföring, andra handlingar och information, i vilken form som helst, som behövs för en tillsynsuppgift i samband med en misstänkt överträdelse. De tjänstemän som förrättar inspektionen har rätt att av rättsliga företrädare för eller anställda hos föremålet för inspektionen få redogörelser för fakta och handlingar som har samband med föremålet för och ändamålet med inspektionen och protokollföra de svar som har erhållits. 

På inspektioner tillämpas dessutom 39 § i förvaltningslagen (434/2003). 

Transport- och kommunikationsverket har de inspektionsrättigheter som anges i denna paragraf om verket med stöd av en begäran som en behörig myndighet i en annan medlemsstat lämnat i enlighet med artikel 37.15 i dataförordningen förrättar inspektion i Finland för att uppfylla de behöriga myndigheternas skyldighet att samarbeta i enlighet med artiklarna 37.2 och 38.3 i den förordningen. 

Med avvikelse från vad som föreskrivs ovan i detta kapitel har Transport- och kommunikationsverket när verket utövar de undersökningsbefogenheter som föreskrivs i 5 och 7 § inte rätt att få eller granska handlingar som innehåller konfidentiell korrespondens mellan en klient och en i lagen om advokater (496/1958) avsedd advokat, ett utomstående i lagen om rättegångsbiträden med tillstånd (715/2011) avsett rättegångsombud eller rättegångsbiträde eller ett i rättshjälpslagen (257/2002) avsett offentligt rättsbiträde. 

Undantaget tillämpas på Transport- och kommunikationsverkets undersökningsbefogenheter enligt 5 och 7 § i denna lag oberoende av om de utövas vid utförandet av Transport- och kommunikationsverkets egna tillsynsuppgifter eller på begäran av en behörig myndighet i en annan medlemsstat. 

Transport- och kommunikationsverket har rätt att på begäran få handräckning av polisen för att utföra sina uppgifter enligt dataförordningen och denna lag. 

Om Transport- och kommunikationsverket konstaterar en överträdelse av skyldigheterna eller förbuden enligt dataförordningen eller dataförvaltningsakten, kan verket meddela en anmärkning eller utfärda en varning samt ålägga den som bryter mot dataförordningen eller dataförvaltningsakten att upphöra med överträdelsen eller att avhjälpa sitt fel eller sin försummelse, eller också kan verket förbjuda den åtgärd som står i strid med dataförordningen eller dataförvaltningsakten. 

Myndigheten kan sätta ut en skälig tidsfrist inom vilken överträdelsen eller försummelsen ska upphöra. 

Transport- och kommunikationsverket kan förena ett tillsynsbeslut enligt 10 § eller något annat föreläggande som det meddelat med stöd av denna lag med ett vitesföreläggande eller ett hot om avbrytande. 

En skyldighet enligt 5 § att lämna information får inte förenas med ett vitesföreläggande riktat till en fysisk person, om det finns anledning att misstänka personen för brott och informationen har samband med det ärende som brottsmisstanken hänför sig till. 

Transport- och kommunikationsverket kan ställa sina tillsynsuppgifter enligt denna lag i prioritetsordning. 

Transport- och kommunikationsverket får lämna ett ärende utan prövning, om ärendet trots en misstanke om fel eller försummelser endast har en ringa betydelse med tanke på fullgörandet av skyldigheterna enligt dataförordningen eller dataförvaltningsakten. Transport- och kommunikationsverket ska genast när det är möjligt fatta beslut om att inte ta upp ett ärende till prövning. 

Påföljdsavgift kan av Transport- och kommunikationsverket påföras en tillverkare eller tjänsteleverantör som uppsåtligen eller av oaktsamhet bryter mot eller försummar skyldigheten att utforma, tillverka och tillhandahålla uppkopplade produkter och tillhörande tjänster i enlighet med artikel 3.1 i dataförordningen. 

Påföljdsavgift kan av Transport- och kommunikationsverket påföras en försäljare, uthyrare eller leasegivare som uppsåtligen eller av oaktsamhet bryter mot eller försummar skyldigheten att innan ett avtal ingås lämna den information som avses i artikel 3.2 i dataförordningen till andra användare än konsumenter. 

Påföljdsavgift kan av Transport- och kommunikationsverket påföras en sådan leverantör av en tillhörande tjänst som uppsåtligen eller av oaktsamhet bryter mot eller försummar skyldigheten att innan ett avtal ingås lämna den information som avses i artikel 3.3 i dataförordningen till andra användare än konsumenter. 

Påföljdsavgift kan av Transport- och kommunikationsverket påföras ett sådant i artikel 3 i Europaparlamentets och rådets förordning (EU) 2022/1925 om öppna och rättvisa marknader inom den digitala sektorn och om ändring av direktiv (EU) 2019/1937 och (EU) 2020/1828 (Förordningen om digitala marknader), nedan förordningen om digitala marknader, avsett grindvaktsföretag som uppsåtligen eller av oaktsamhet bryter mot eller försummar ett förbud enligt artikel 5.3 i dataförordningen mot att begära och ta emot data. 

Om en påföljdsavgift som gäller dataförordningen påförs en näringsidkare, får påföljdsavgiften uppgå till högst 2 procent av omsättningen under den räkenskapsperiod som föregår beslutet om påföljdsavgift. Om påföljdsavgift påförs en fysisk person som inte är näringsidkare, får påföljdsavgiften uppgå till högst 2 procent av det sammanlagda beloppet av den fysiska personens beskattningsbara förvärvsinkomst och kapitalinkomst vid statsbeskattningen enligt den senast verkställda beskattningen, dock till högst 2 000 euro. 

Med avvikelse från vad som föreskrivs i 1 mom. får påföljdsavgiften för överträdelser och försummelser enligt 13 § 1 mom., 14 § 1 och 7 punkten, 15 och 16 § samt 17 § 1, 5 och 6 punkten uppgå till högst 4 procent av näringsidkarens omsättning under den räkenskapsperiod som föregår beslutet om påföljdsavgift. Om en påföljdsavgift enligt detta moment påförs en fysisk person som inte är näringsidkare, får påföljdsavgiften uppgå till högst 4 procent av det sammanlagda beloppet av den fysiska personens beskattningsbara förvärvsinkomst och kapitalinkomst vid statsbeskattningen enligt den senast verkställda beskattningen, dock till högst 4 000 euro. 

Om konsumentombudsmannen gör en framställning om påförande av påföljdsavgift till marknadsdomstolen i enlighet med lagen om vissa befogenheter för konsumentskyddsmyndigheterna, beaktas i framställningen omsättningen under den räkenskapsperiod som föregår framställningen om påföljdsavgift. 

Med omsättning avses i denna paragraf omsättning enligt 4 kap. 1 § i bokföringslagen (1336/1997) eller motsvarande omsättning. Om bokslutet ännu inte har färdigställts när påföljdsavgiften påförs eller om affärsverksamheten nyligen har inletts och något bokslut inte finns tillgängligt, kan omsättningen uppskattas utifrån någon annan tillgänglig utredning. 

Påföljdsavgiftens storlek ska basera sig på en helhetsbedömning. Bestämmelser om de kriterier som ska följas när påföljdsavgifter påförs finns i artikel 40.3 i dataförordningen. 

En påföljdsavgift som gäller dataförvaltningsakten ska uppgå till minst 1 000 euro och högst 100 000 euro. 

Påföljdsavgiftens storlek ska basera sig på en helhetsbedömning. När påföljdsavgiften fastställs ska bestämmelserna i artikel 34.2 i dataförvaltningsakten tillämpas. 

Påföljdsavgift påförs inte, om överträdelsen av en skyldighet ska anses vara ringa eller påförande av påföljdsavgift ska anses vara uppenbart oskäligt. 

Påföljdsavgift får inte påföras den som misstänks för samma gärning i en förundersökning, en åtalsprövning eller ett brottmål som är anhängigt vid domstol. Påföljdsavgift får inte heller påföras den som genom en lagakraftvunnen dom har dömts till straff för samma gärning. 

Statliga myndigheter, statliga affärsverk, kommunala myndigheter, samkommuner, välfärdsområden, välfärdssammanslutningar, självständiga offentligrättsliga inrättningar, riksdagens ämbetsverk, republikens presidents kansli, evangelisk-lutherska kyrkan i Finland, ortodoxa kyrkan i Finland och de två sistnämndas församlingar, kyrkliga samfälligheter och övriga organ får inte påföras påföljdsavgift. 

Påföljdsavgift får inte påföras, om det har förflutit mer än fem år sedan överträdelsen eller försummelsen har skett. Om överträdelsen eller försummelsen har varit av fortlöpande karaktär, räknas tidsfristen på fem år från det att överträdelsen eller försummelsen har upphört. 

Påföljdsavgift får påföras också en sådan näringsidkare som till följd av ett företagsförvärv eller något annat företagsarrangemang har övertagit den näringsverksamhet inom vilken försummelsen eller överträdelsen skett. 

Bestämmelser om verkställighet av påföljdsavgifter som påförts med stöd av denna lag finns i lagen om verkställighet av böter (672/2002). 

Transport- och kommunikationsverket samarbetar med datasamordnare och behöriga myndigheter i de andra medlemsstaterna, Europeiska kommissionen och Europeiska datainnovationsstyrelsen. 

Transport- och kommunikationsverket har rätt att lämna ut sekretessbelagda handlingar till och röja sekretessbelagd information för Europeiska kommissionen och en behörig myndighet i en annan stat inom Europeiska unionen eller Europeiska ekonomiska samarbetsområdet, om det är nödvändigt för tillsynen över efterlevnaden av dataförordningen eller dataförvaltningsakten. 

Ett yttrande enligt artikel 32.3 i dataförordningen ska begäras av inrikesministeriet om det handlar om nationella säkerhetsintressen och av Huvudstaben om det handlar om försvarsintressen. Inrikesministeriet eller Huvudstaben ska begära yttrande av utrikesministeriet, om de nationella säkerhetsintressena eller försvarsintressena även berör utrikes- och säkerhetspolitiken. 

En i artikel 32 i dataförordningen avsedd adressat för ett beslut kan begära yttrande av den behöriga myndigheten för att avgöra om de villkor som anges i artikel 32.3 första stycket i den förordningen är uppfyllda, om adressaten anser att beslutet kan avse företagshemligheter och andra kommersiellt känsliga data samt innehåll som skyddas av immateriella rättigheter eller att överföringen kan leda till återidentifiering. Den behöriga myndigheten kan begära yttrande av den myndighet eller det organ till vars verksamhetsområde det hör att skydda de intressen enligt dataförordningen som beslutet berör. Myndigheten ska kontakta inrikesministeriet eller Huvudstaben, om det finns skäl att misstänka att åtkomsten till eller överföringen av data har samband med den nationella säkerheten eller försvaret. 

Närmare bestämmelser om remissförfarandet får utfärdas genom förordning av statsrådet. 

Bestämmelser om datahållares rätt till skälig ersättning för data som tillgängliggjorts med stöd av artikel 15.1 i dataförordningen och om beräkningen av ersättningsbeloppet finns i artikel 20 i den förordningen. 

Datahållaren ska skriftligen för den myndighet på vars begäran data har tillgängliggjorts ange beloppet av den begärda ersättningen och den information som behövs för betalningen av ersättningen. 

Den myndighet som avses i 2 mom. ska betala ersättning till datahållaren inom två månader från det att begäran om ersättning togs emot. Om myndigheten med stöd av artikel 20.2 i dataförordningen ber datahållaren tillhandahålla ytterligare information om underlaget till ersättningsberäkningen, skjuts tidsfristen för betalningen framåt med lika många dagar som det tar för datahållaren att tillhandahålla den begärda informationen. Myndigheten ska föra ett sådant eventuellt ärende som gäller ersättningens storlek som grundar sig på artikel 20.5 i dataförordningen till Transport- och kommunikationsverket innan tidsfristen för betalning av ersättningen löper ut. Ersättningen ska då betalas till datahållaren när Transport- och kommunikationsverkets beslut om det skäliga ersättningsbeloppet har vunnit laga kraft. Transport- och kommunikationsverket kan i sitt beslut fastställa ersättningsbeloppet i enlighet med begäran eller sänka beloppet av den ersättning som ska anses skälig. Vid avgörandet av ärendet ska bestämmelserna i artikel 20.2 i dataförordningen om beräkning av det skäliga ersättningsbeloppet tillämpas och datahållarens utredning över underlaget till ersättningsbeloppet beaktas. 

I fråga om Transport- och kommunikationsverkets beslut som gäller registrering enligt artikel 19.5 i dataförvaltningsakten får omprövning begäras. 

Bestämmelser om begäran om omprövning finns i förvaltningslagen. 

Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019). 

Vid sökande av ändring i beslut som gäller föreläggande och utdömande av vite tillämpas dock viteslagen (1113/1990). 

I beslut av den behöriga myndigheten, med undantag av beslut som gäller påförande av påföljdsavgift, får det bestämmas att beslutet ska iakttas trots ändringssökande, om inte besvärsmyndigheten bestämmer något annat. 

Denna lag träder i kraft den 20.