9.2
Integritetsskydd
Enligt 10 § 1 mom. i grundlagen utfärdas närmare bestämmelser om skydd för personuppgifter genom lag.
Skyddet för privatlivet enligt 10 § i grundlagen kompletteras av skyddet för privatlivet enligt artikel 8 i konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) samt skyddet för privatlivet som tryggas i artikel 7 och skyddet för personuppgifter som tryggas i artikel 8. Enligt artikel 52.1 i stadgan om de grundläggande rättigheterna ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan vara föreskriven i lag och förenlig med det väsentliga innehållet i dess rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. I artikel 52.3 i stadgan föreskrivs att i den mån som stadgan omfattar rättigheter som motsvarar sådana som garanteras av Europakonventionen ska de ha samma innebörd och räckvidd som i konventionen. EU-domstolens domar bestämmer det centrala innehållet i skyddet för privatlivet och personuppgifter i dessa avseenden. Dessutom har artikel 8 i Europakonventionen i Europadomstolens rättspraxis ansetts täcka även skyddet för personuppgifter.
Karaktären hos de uppgifter som ingår i datasystemet för den byggda miljön
Enligt lagen om datasystemet för den byggda miljön behandlas geografisk information som gäller områdesanvändning och byggande i datasystemet för den byggda miljön.
Till karaktären för geografisk information hör att den också kan utgöras av personuppgifter. Information klassas som personuppgifter om informationen relaterar till en identifierbar fysisk person. Information kan klassas som personuppgifter till exempel om man kan koppla ihop information om en plats som innehas eller används av en fysisk person, såsom ett bostadshus, till information om vem som bor i eller äger byggnaden.
De uppgifter som behandlas i datasystemet för den byggda miljön kan också omfatta sekretessbelagda uppgifter, ifall sådana uppgifter ingår i kommunernas, landskapens och statens myndighetshandlingar som behandlas i datasystemet. Handlingar och uppgifter som behandlas i datasystemet för den byggda miljön är offentliga, såvida inte sekretessgrunden för en handling ger upphov till nödvändighet av sekretess i fråga om uppgifterna.
I datasystemet för den byggda miljön behandlas personuppgifter på bred skala. I det följande redogörs för hur det nationella handlingsutrymmet har använts med hänsyn till grundlagens krav och de allmänna förutsättningarna för att inskränka de grundläggande fri- och rättigheterna vid behandlingen av sådana uppgifter.
Användning och utlämnande av sekretessbelagd information
Finlands miljöcentral ska administrera användarrättigheterna till datasystemet för den byggda miljön och således också besluta vilka aktörer som har rätt att använda uppgifterna direkt med stöd av användarrättigheterna. Ifall det är fråga om någon annan än de gemensamt personuppgiftsansvariga parterna (kommuner, landskapsförbund (4 § i lagen om datasystemet för den byggda miljön)), är det vid beviljandet av användarrättigheter de facto fråga om utlämnande av uppgifter från en offentlig handling enligt offentlighetslagen. Finlands miljöcentral kan också behandla och bland annat lämna ut sekretessbelagda handlingar som andra myndigheter registrerat i datasystemet till tredje part, i vilket fall miljöcentralen ansvarar för att i enlighet med offentlighetslagen och informationshanteringslagen inte vidarebefordra sekretessbelagda uppgifter från systemet till andra personer än de som har rätt till uppgifterna. På motsvarande sätt ska miljöcentralen också säkerställa att mottagaren har rätt att behandla de utlämnade personuppgifterna. Ifall ett landskap eller en kommun själv med stöd av 14 § i offentlighetslagen lämnar ut handlingar som förts in i datasystemet, ska landskapet eller kommunen på samma sätt säkerställa att den som begär uppgifterna har lagstadgad rätt att få de sekretessbelagda uppgifterna i handlingarna och behandla personuppgifter.
Begränsningarna av utlämnande av sekretessbelagda uppgifter innebär att behovet av sekretess alltid separat utreds före uppgifterna utlämnas. Om Finlands miljöcentral vidarebefordrar sekretessbelagda uppgifter, ska den säkerställa att den som begär uppgifterna har lagstadgad rätt att få de sekretessbelagda uppgifterna i fråga. Om Finlands miljöcentral eller någon annan gemensamt personuppgiftsansvarig lämnar ut uppgifter ur datasystemet för den byggda miljön med stöd av offentlighetslagen eller informationshanteringslagen, ska den likaså iaktta bestämmelserna i lagarna i fråga om utlämnande av sekretessbelagda handlingar.
Bestämmelser om rätten att få sekretessbelagda uppgifter finns i huvudsak i offentlighetslagen och annanstans i lagstiftningen. Dessutom föreskrivs det i 10 § i lagen om datasystemet för den byggda miljön om myndigheters rätt att få sekretessbelagda uppgifter. I datasystemet för den byggda miljön kan inte sådan information som ingår i kommuners och landskapsförbunds handlingar och som gäller planering av områdesanvändning och byggande i försvarssyfte föras in, eftersom behandlingen av sådan information har avgränsats från lagens tillämpningsområde i 1 § 2 mom. Känsliga personuppgifter får inte heller behandlas i datasystemet.
Ändamålsbegränsning
I artikel 5.1 b i dataskyddsförordningen föreskrivs om ändamålsbegränsning när det gäller personuppgifter. Enligt den ska de samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.
När behandlingen av personuppgifter baserar sig på artikel 6.1 c eller e i förordningen, kan man inom det nationella handlingsutrymmet i enlighet med artikel 6.3 föreskriva om de parter och ändamål för vilka personuppgifter får lämnas ut. Om det anses att ändamålet för behandlingen av uppgifter ändras till följd av att de lämnas ut, ska förutsättningarna för utlämnandet bedömas utifrån principen om ändamålsbegränsning såsom det föreskrivs i artikel 6.4 i dataskyddsförordningen. Bestämmelsen om utlämnande ska vara nödvändig och i rätt proportion med tanke på tryggandet av de mål som avses i artikel 23.1.
Datasystemet för den byggda miljön tillgodoser informationsbehov som gäller områdesanvändning och byggande. (Lag om datasystemet för den byggda miljön 2 §). Uppgifter samlas in i enlighet med 5 och 7 §. Informationsresurserna kan dessutom innehålla uppgifter som införts med stöd av 9 §.
I lagförslaget föreslås inga nya rättigheter för miljöcentral att få nya uppgifter.
De nya rättigheter at få uppgifter som föreslås i 10 § i lagförslaget gäller sekretessbelagda uppgifter om byggande, där det är fråga om uppgifter om inrättningar som är sekretessbelagda i enlighet med 24 § 1 mom. 7 punkten i offentlighetslagen. De personuppgifter som ska sekretessbelagda i sådana uppgifter är adressuppgifter eller permanenta byggnadsbeteckningar och adressuppgifter. Utlämnandet av uppgifterna utgör därmed inte en avvikelse från ändamålsbegränsningen enligt artikel 5 i den allmänna dataskyddsförordningen.
Brytande av sekretess
Grundlagsutskottet har bedömt bestämmelser om myndigheternas rätt att få och skyldighet att lämna ut uppgifter med avseende på skyddet för privatliv och personuppgifter enligt 10 § 1 mom. i grundlagen trots sekretess och då noterat bland annat vad och vem rätten att få uppgifter gäller och hur rätten är kopplad till nödvändighetskriteriet. Myndigheternas rätt att få uppgifter och möjlighet att lämna ut uppgifter kan till exempel gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om innehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se till exempel GrUU 17/2016 rd, s. 2–3, och de utlåtanden som nämns där). (GrUU 12/2019 rd, s. 3)
Å andra sidan har grundlagsutskottet ansett att grundlagen inte tillåter en generös och ospecificerad rätt att få uppgifter, inte ens om den är förenad med nödvändighetskriteriet (se t.ex. GrUU 71/2014 rd, GrUU 62/2010 rd och GrUU 59/2010 rd, s. 4). (GrUU 17/2021 rd, stycke 188).
Grundlagsutskottet har upprepade gånger understrukit att det vid en särskiljning mellan behövlighet respektive nödvändighet att få eller lämna ut uppgifter är frågan inte bara om omfattningen av innehållet i uppgifterna utan också att den myndighet som är berättigad till uppgifterna i och med sina egna behov åsidosätter de grunder och intressen som är skyddade med hjälp av den sekretess som gäller myndigheten som innehar uppgifterna. Ju mer generella bestämmelserna om rätten att få uppgifter är, desto större är risken att sådana intressen kan åsidosättas per automatik. Ju fullständigare bestämmelserna kopplar rätten att få uppgifter till villkor i sak, desto mer sannolikt är det att en enskild begäran om uppgifter måste motiveras. Då kan också den som lämnar ut uppgifterna bedöma begäran med avseende på de lagliga villkoren för utlämnandet. Genom att de facto vägra att lämna ut uppgifterna kan den som innehar dem göra att det uppstår ett läge där en utomstående myndighet måste undersöka skyldigheten att lämna ut uppgifter, det vill säga tolka bestämmelserna. Denna möjlighet är viktig då det gäller att anpassa tillgången till information och sekretessintressena till varandra (se t.ex. GrUU 48/2017 rd, s. 5 och de utlåtanden som nämns där). Utskottet anser att de omständigheter som talar för särskiljande får särskild vikt när det föreskrivs om en myndighets rätt att trots sekretessbestämmelserna få eller lämna ut uppgifter i en elektronisk verksamhetsmiljö (se GrUU 73/2018 rd, s. 8–10 och GrUU 12/2019 rd, s. 4).
Grundlagsutskottet har tidigare bedömt en bestämmelse enligt vilken Brottspåföljdsmyndigheten trots sekretessbestämmelser har rätt att av betalningsinstitut som beviljar betalkort eller som förmedlar betalningar få de uppgifter som är nödvändiga för att förvalta betalkort godkända av Brottspåföljdsmyndigheten och för den övervakning av betalningstransaktioner med betalkort som avses i 9 kap. 3 a § i fängelselagen och 5 kap. 3 a § i häktningslagen (GrUU 36/2020 rd, s. 5). Enligt grundlagsutskottet var bestämmelserna med beaktande av utskottets praxis i fråga om att få och lämna ut uppgifter trots sekretessbestämmelserna i och för sig korrekt kopplade till nödvändighetskriteriet. Med avseende på bedömningen av nödvändigheten var det emellertid problematiskt att det av lagförslaget inte närmare framgick vad som avses med att förvalta användningen av betalkort. En precisering av bestämmelsen var ett villkor för att lagförslaget skulle kunna behandlas i vanlig lagstiftningsordning (GrUU 36/2020 rd, s. 5, GrUU 27/2021 rd, stycke 21 och 22).
Grundlagsutskottet har bedömt, att den elektroniska förbindelse som föreskrivs i 23 § i informationshanteringslagen. Enligt utskottets uppfattning lämpar sig förbindelsen inte för sådan överlåtelse av information där myndigheten i det enskilda fallet måste bedöma om överföringen är nödvändig (GrUU 11/2024 rd. stycke 13, GrUU 73/2018 rd, s. 10.). Enligt grundlagsutskottet är ett tekniskt gränssnitt i sig ett informationssäkert sätt att överföra digital information. I fråga om personuppgifter och sekretessbelagda uppgifter måste man tekniskt säkerställa informationsmaterialens behövlighet och nödvändighet i det enskilda fallet med tanke på skötseln av den mottagande myndighetens uppgifter.
Enligt den ändring som föreslås i 10 § har flera nya myndigheter trots sekretessbestämmelserna rätt att få nödvändiga uppgifter ur datasystemet för den byggda miljön för skötseln av sina lagstadgade uppgifter. I detaljmotiveringen till 10 § i propositionen utreds närmare vilka lagstadgade uppgifter det kan vara nödvändigt för dessa myndigheter att få denna information för. Uppgifterna ska lämnas ut endast via ett tekniskt gränssnitt, varvid det tekniskt kan säkerställas att de uppgifter som ska överföras behövs i det enskilda fallet eller är nödvändig för att den mottagande myndigheten ska kunna sköta sina uppgifter, ifall överföringen avser personuppgifter eller sekretessbelagd information.
På de grunder som anges ovan kan lagförslaget behandlas i vanlig lagstiftningsordning.