2.1  EU- ja kansallinen lainsäädäntö

EU:n yleinen tietosuoja-asetus ja tietosuojalaki

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus), jäljempänä tietosuoja-asetus, astui voimaan 5 päivänä toukokuuta 2016. Tietosuoja-asetus on EU:n jäsenvaltioissa suoraan sovellettava säädös. Tietosuoja-asetuksen soveltaminen alkoi 25 päivänä toukokuuta 2018. Tietosuoja-asetusta täydentää ja täsmentää kansallinen tietosuojalaki (1050/2018), joka sisältää asetusta täydentäviä yleisesti sovellettavia säännöksiä muun muassa kansallisen valvontaviranomaisen eli tietosuojavaltuutetun osalta. Tietosuojalakia sovelletaan rinnakkain tietosuoja-asetuksen kanssa. Tietosuojalaki tuli voimaan 1 päivänä tammikuuta 2019. 

Vaikka tietosuoja-asetus on suoraan sovellettavaa oikeutta, asetuksen eräät säännökset sisältävät kansallista liikkumavaraa, jonka puitteissa jäsenvaltiot voivat antaa kansallisessa laissa täydentäviä tai tarkempia säännöksiä. Asetuksen sallima kansallinen liikkumavara koskee erityisesti julkisen sektorin henkilötietojen käsittelyä, mutta jossain määrin myös yksityisen sektorin henkilötietojen käsittelyä. Kansallinen liikkumavara ei eräitä poikkeuksia lukuun ottamatta velvoita jäsenvaltioita säätämään tietosuoja-asetusta täydentävää tai täsmentävää kansallista lainsäädäntöä, vaan asiasta päättäminen on jätetty kansallisen lainsäätäjän harkintaan. Ottaen huomioon, että tietosuoja-asetus on suoraan sovellettava säädös, kansallista liikkumavaraa olisi käytettävä rajoitetusti. Perustuslakivaliokunta on ottanut asiaan nimenomaisesti kantaa käsitellessään tietosuoja-asetusta täydentävää tietosuojalakia ja rikosasioiden tietosuojalakia, ja on todennut, että henkilötietojen suoja tulee jatkossa turvata ensisijaisesti tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla, ja että erityislainsäädännön säätämiseen tulee jatkossa suhtautua pidättyvästi. (Ks. tarkemmin kappaleesta 3.2 sekä PeVL 14/2018 vp, s. 4—5 ja PeVL 26/2018 vp, s. 2—3.) Lainsäädännön on myös täytettävä tietosuoja-asetuksen mukaisesti yleisen edun mukainen tavoite ja on oltava oikeassa suhteessa tavoiteltuun oikeutettuun päämäärään nähden. 

Tietosuoja-asetuksen ja tietosuojalain lisäksi oikeusministeriön hallinnonalalla on voimassa useita kymmeniä säädöksiä, joissa säädettyihin tehtäviin tai toimintaan liittyy henkilötietojen käsittelyä. Näistä ainoastaan osaan sisältyy varsinaisia henkilötietojen käsittelyä koskevia säännöksiä. 

Tiedonhallintalaki

Viranomaistoiminnassa tapahtuvasta tiedonhallinnasta säädetään 1 päivänä tammikuuta 2020 voimaan tulleessa julkisen hallinnon tiedonhallinnasta annetussa laissa (906/2019, jäljempänä tiedonhallintalaki). Tiedonhallintalaki on yleislaki, joka koskee laajasti viranomaistoiminnassa tapahtuvaa tiedonhallintaa. Lailla varmistetaan viranomaisten tietoaineistojen yhdenmukainen hallinta ja tietoturvallinen käsittely julkisuusperiaatteen toteuttamiseksi. Tiedonhallintalain 5 luvussa säädetään lisäksi viranomaisten tietojärjestelmien välillä tapahtuvasta tietojen luovuttamisesta sähköisesti muun muassa teknisten rajapintojen ja katseluyhteyden avulla. Lain tarkoituksena on ollut vähentää tarvetta säätää erityislainsäädännössä teknisluonteisesta tietojen luovutustavasta. 

Vaikka tiedonhallintalaki on tullut voimaan jo vuonna 2020, oikeusministeriön hallinnonalan lainsäädännössä on edelleen vanhentuneita säännöksiä teknisten rajapintojen ja katseluyhteyden avulla tapahtuvasta tietojen luovuttamisesta, mikä voi aiheuttaa epäselvyyttä suhteessa muuhun viranomaisen tiedon luovuttamiseen sovellettavaan lainsäädäntöön ja siten vaikuttaa myös julkisen palvelun tarjoamiseen. 

2.2  Ahvenanmaan maakuntalainsäädäntö

Ahvenanmaan maakunnan lainsäädäntövallasta säädetään Ahvenanmaan itsehallintolain (1144/1991) 18 §:ssä. Valtakunnan lainsäädäntövallasta säädetään lain 27 §:ssä. Hallituksen esityksen valmistelun yhteydessä arvioinnin kohteena olleesta lainsäädännöstä osa kuuluu valtakunnan lainsäädäntövaltaan. 

Ahvenanmaalla on lainsäädäntövaltaa erityisesti siltä osin kuin on kyse elinkeinotoiminnasta ottaen huomioon, mitä on säädetty lain 11 §:ssä, 27 §:n 2, 4, 9, 12–15, 17–19, 26, 27, 29–34, 37 ja 40 kohdassa sekä 29 §:n 1 momentin 3–5 kohdassa, kuitenkin niin, että myös maakuntapäivillä on toimivalta ryhtyä toimenpiteisiin näissä kohdissa tarkoitetun elinkeinotoiminnan edistämiseksi, teon rangaistavaksi säätämisestä ja rangaistuksen määrästä, kun on kysymys maakunnan lainsäädäntövaltaan kuuluvasta oikeudenalasta, sekä uhkasakon asettamisesta ja tuomitsemisesta sekä muiden pakkokeinojen käytöstä, kun on kysymys maakunnan lainsäädäntövaltaan kuuluvasta oikeudenalasta. 

Ahvenanmaan maakunnan ja kuntien viranomaisten hallussa olevien henkilötietojen suoja on Ahvenanmaan itsehallintolain 19 §:ssä tarkoitetussa maakuntalakien lainsäädäntövalvonnassa katsottu itsehallintolain 18 §:n 1 ja 4 kohdan nojalla kuuluvan maakunnan lainsäädäntövaltaan. Ehdotettu sääntely ei tule koskemaan Ahvenanmaata siltä osin kuin asia kuuluu maakunnan lainsäädäntövaltaan. 

Ahvenanmaan maakuntalain 2019:74 mukaan Ahvenanmaalla sovelletaan tietosuojalakia, maakuntalaissa säädetyin poikkeuksin. Maakuntalain mukaan tietosuojalain 3 luvun valvontaviranomaista koskevia säännöksiä ei sovelleta suhteessa Ahvenanmaan valvontaviranomaiseen (Datainspektion). Datainspektion toimii maakuntalakia sovellettaessa tietosuoja-asetuksen tarkoittamana valvontaviranomaisena. Maakuntalain mukaan se huolehtii tietosuoja-asetuksessa säädetyistä tehtävistä, mukaan lukien tietosuoja-asetuksen 43 artiklan tarkoittamassa sertifiointielimen akkreditoinnista. Näin ollen tietosuojalakiin ehdotetut sertifiointielimen akkreditointia koskevat muutokset eivät koskisi Ahvenanmaata. 

Tämän esityksen julkisen hallinnon tiedonhallintaa ja teknisiä käyttöyhteyksiä koskevat lakiehdotukset kuuluvat valtakunnan toimivaltaan ja tulevat sellaisinaan sovellettaviksi Ahvenanmaalla, lukuun ottamatta eläintenpitokieltorekisteristä annetun lain (21/2011) muuttamista koskevaa lakiehdotusta. 

2.3  Kansainväliset velvoitteet

Henkilötietojen suojaa koskevaan lainsäädäntöön Euroopassa on merkittävällä tavalla vaikuttanut Euroopan neuvoston piirissä laadittu yksilöiden suojelua henkilötietojen automaattisessa tietojenkäsittelyssä koskeva yleissopimus (SopS 35—36/1992, jäljempänä tietosuojayleissopimus). Tietosuojayleissopimusta täydennettiin vuonna 2001 valvontaviranomaisia ja tietojen siirtoa rajojen yli koskevalla lisäpöytäkirjalla (ETS nro 181). Lisäpöytäkirja tuli Suomen osalta voimaan vuonna 2012. Euroopan neuvostossa on laadittu tietosuojayleissopimuksen muuttamista koskeva pöytäkirja (ETS nro 223). Suomi on ratifioinut pöytäkirjan, mutta se ei ole vielä tullut kansainvälisesti voimaan. Tietosuojayleissopimuksen muutokset saattavat sen sisällöllisesti lähemmäksi EU:n tietosuojalainsäädäntöä, mutta sen soveltamisala on laajempi ja kattaa myös unionin oikeuden ulkopuolelle jäävän henkilötietojen käsittelyn, erityisesti kansallisen turvallisuuden ylläpitämiseen ja puolustukseen liittyvään henkilötietojen käsittelyyn.  

2.4  Nykytilan arviointi

4.1  Keskeiset ehdotukset

Tietosuojalaki

Esityksessä ehdotetaan muutettavaksi tietosuojalain käsittelyn lainmukaisuutta (4 §), erityisiä henkilötietoryhmiä koskevaa käsittelyä (6 §) sekä rikostuomioihin ja rikoksiin liittyvää käsittelyä koskevia säännöksiä (7 §). Tietosuojalain 4 §:ää ehdotetaan täsmennettäväksi ja laajennettavaksi siten, että pykälä loisi viranomaiselle jatkossa henkilötietojen käsittelyn oikeusperusteen yleistä etua koskevan tehtävän suorittamisen lisäksi myös silloin kun, käsittely tarpeen ja oikeasuhtaista viranomaiselle kuuluvan julkisen vallan käyttämiseksi. Esityksessä ehdotetaan lisäksi, että pykälässä luotaisiin vastaava käsittelyn oikeusperuste myös yksityisille tahoille niiden hoitaessa lailla tai lain nojalla annettua julkista hallintotehtävää. Ehdotetut muutokset olisivat tarpeen, jotta tietosuojalain 4 §:n soveltamisalasta ei jäisi epäselvyyttä ja pykälän nojalla voitaisiin käsitellä henkilötietoja myös julkisen vallan käyttämiseksi. Muutoksilla edistettäisiin osaltaan kokonaisuudistuksen tavoitteiden mukaisesti myös julkisten palveluiden tarkoituksenmukaista järjestämistä. 

Tietosuojalain 6 ja 7 §:n vakuutuslaitoksia koskeviin säännöksiin ehdotetaan täsmennyksiä siten, että kyseisissä pykälissä luodaan vakuutuslaitoksille oikeus käsitellä tietosuoja-asetuksen 9 artiklan 1 kohdan ja 10 artiklan tarkoittamia tietoja myös ennen vakuutusten myöntämistä vakuutuslaitosten vastuun arvioimiseksi tai selvittämiseksi. Ehdotetut muutokset olisivat tarpeen, sillä voimassa olevien säännösten sanamuotojen tulkinnasta on ollut epäselvyyttä ennen vakuutussopimusten tekemistä, vaikka kyseinen käsittely on tarpeen vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Tietosuojalain 6 ja 7 §:ään ehdotetaan lisäksi perustuslaista ja tietosuoja-asetuksesta johtuvat välttämättömät täsmennykset erityisiä henkilötietoryhmiä koskevien tietojen sekä rikostuomioihin ja rikoksiin liittyvien tietojen käsittelyä koskeviin säännöksiin. Muutosten tarkoituksena on varmistaa, että tietosuojalain säännökset vastaavat unionin oikeuden vaatimuksia ja perustuslain tulkintakäytännöstä johtuvia edellytyksiä perusoikeuksien rajoittamiselle. Esityksessä ehdotetaan, että arkaluonteisten henkilötietojen käsittely rajataan välttämättömään ja että tietosuojalaissa säädetään asianmukaisista ja riittävistä suojatoimista. 

Esityksessä ehdotetaan muutettavaksi tietosuojalakiin sisältyvää sertifiointielimen akkreditointia koskevia säännöksiä. Tietosuoja-asetuksen 43 artiklassa tarkoitetun sertifiointielimen akkreditointi ehdotetaan siirrettäväksi tietosuojavaltuutetulta kansallisen akkreditointielimen eli FINAS-akkreditointipalvelun tehtäväksi. Ehdotuksen mukaan tietosuojavaltuutettu tai kansallisen akkreditointielimen nimeämä asiantuntija toimisi akkreditoinnissa teknisenä asiantuntijana. Ehdotuksen tavoitteena on varmistaa akkreditoinnin tarkoituksenmukainen järjestäminen, viranomaisten resurssien tehokas kohdentaminen sekä akkreditointia hakevien sertifiointielinten yhdenvertainen kohtelu. Esityksessä ehdotetaan tältä osin, että nykyinen tietosuojalain 14 §:n 4 momentti kumottaisiin ja akkreditoinnista säädettäisiin jatkossa uudessa 36 a §:ssä. 

Teknisiä rajapintoja ja teknistä käyttöyhteyttä koskevien säännösten päivittäminen

Esityksessä ehdotetaan muutettavaksi vanhentuneita teknisiä käyttöyhteyksiä koskevia säännöksiä asunto-osakeyhtiölakiin, haastemieslakiin, eläintenpitokieltorekisteristä annettuun lakiin, konkurssi- ja yrityssaneerausrekisteristä annettuun lakiin, liiketoimintakiellosta annettuun lakiin, velkajärjestelyrekisteristä annettuun lakiin, rikosrekisterilakiin, säätiölakiin sekä yhdistyslakiin. Muutoksilla edistettäisiin kokonaisuudistuksen tavoitteiden mukaisesti viranomaisten välisen tiedon liikkuvuutta ja varmistettaisiin, ettei vanhentunut sääntely aiheuta epäselvyyksiä suhteessa tiedonhallintalakiin. Samalla ehdotetut muutokset vaikuttavat myös julkisten palveluiden tarjoamiseen. 

Tiedonluovutustapojen päivityksen yhteydessä esityksessä ehdotetaan tehtäväksi myös muita välttämättömiä teknisiä muutoksia eläintenpitokieltorekisteristä annettuun lakiin sekä rikosrekisterilakiin. Muutosten tarkoituksena on päivittää vanhentuneet säädösviittaukset. 

Yrityskiinnityslaki

Esityksessä ehdotetaan päivitettäväksi myös eräitä yrityskiinnityslain henkilötietojen käsittelyä koskevia säännöksiä. Muutosten tarkoituksena on varmistaa, että yrityskiinnityslain säännökset ovat yhdenmukaisia tietosuoja-asetuksen ja hallinnon yleislakien, kuten julkisuuslain, kanssa. 

4.2  Pääasialliset vaikutukset

Taloudelliset ja yritysvaikutukset

Esityksessä ehdotetuilla viranomaisia koskevilla lainmuutoksilla ei pääsääntöisesti olisi itsenäisiä tietosuojavaatimuksista aiheutuvia taloudellisia vaikutuksia, joita ei ole jo syntynyt yleisen henkilötietojen käsittelyä koskevan sääntelyn voimaantulosta. Ehdotetut muutokset koskisivat pääasiallisesti viranomaisia, mutta osittain vaikutuksia olisi myös yksityisen puolen toimijoille. 

Tietosuojalain 6 §:n erityisiin henkilötietoryhmiin kuuluvien tietojen sekä 7 §:n rikoksiin ja rikostuomioihin liittyvien henkilötietojen käsittelyä koskevien säännösten täsmentämisellä voisi olla vaikutuksia myös yksityisiin toimijoihin. Vaikutuksia voisi aiheutua erityisesti vakuutuslaitosten henkilötietojen käsittelyä koskevista muutoksista. Esimerkiksi välttämättömyyteen sitominen ja muut ehdotettavat lisäsuojatoimet saattaisivat edellyttää sisäisiä toimenpiteitä. Näillä toimenpiteillä estettäisiin henkilötietojen käsittely muihin kuin alkuperäisiin käyttötarkoituksiin ja varmistettaisiin, ettei henkilötietoja säilytetä pidempään kuin on välttämätöntä tai laadittaisiin erityiset menettelysäännöt, joilla varmistetaan tietosuoja-asetuksen ja tämän lain noudattaminen siirrettäessä henkilötietoja tai käsiteltäessä henkilötietoja muuhun tarkoitukseen. Ehdotetuista muutoksista voisi tältä osin aiheutua myös jonkin verran kustannusvaikutuksia ja hallinnollista työtä, esimerkiksi mahdollisesti lisääntyvien tietopyyntöjen vuoksi. Kyseiset vaikutukset arvioidaan kuitenkin verrattain vähäisiksi, sillä vakuutuslaitokset tekevät jo nykyisin vastaavia tietopyyntöjä olemassa olevaan sääntelyyn ja rekisteröidyn suostumukseen perustuen. Mahdollisia kustannus- ja muita vaikutuksia vähentävät osaltaan myös ehdotettavat suojatoimisäännökset siitä, että tietoja tulisi pyytää ensi sijassa vakuutetulta, korvauksenhakijalta, vakuutuksenhakijalta tai siltä henkilöltä, jolle vakuutussuojaa haetaan. Myös muilla erityisiin henkilötietoryhmiin kuuluvien tietojen sekä rikoksiin ja rikostuomioihin liittyvien henkilötietojen käsittelyä koskevien säännösten täsmentämisellä voisi olla vastaavia taloudellisia vaikutuksia myös yksityiselle puolelle ja aiheuttaa sisäisiä toimenpiteitä, joilla rekisterinpitäjät varmistaisivat käsittelyn rajaamisen välttämättömään. 

Ehdotetulla sertifiointielinten akkreditointia koskevalla sääntelyllä ei olisi vaikutuksia julkiseen talouteen. FINASille ja tietosuojavaltuutetulle akkreditointimenettelystä aiheutuneet kustannukset laskutettaisiin akkreditointia hakeneelta toimijalta. Valmistelussa on arvioitu, että akkreditointimenettelyn edellyttämä henkilötyö voidaan sekä FINASin että tietosuojavaltuutetun osalta hoitaa nykyisillä henkilöresursseilla. 

Ehdotetun lainmuutoksen myötä Suomeen saataisiin mekanismit tietosuoja-asetuksessa tarkoitetun akkreditointi- ja sertifiointitoiminnan toteuttamiseksi. Akkreditoinnin siirtäminen ehdotuksen mukaisesti tietosuojavaltuutetulta FINASille merkitsisi sitä, että organisaatiot voisivat jatkossa hakea tietosuoja-asetuksen mukaisen sertifiointitoiminnan edellyttämää akkreditointia samalta taholta, jolta ne hakevat toiminnalleen muitakin akkreditointeja ja siihen rinnastettavia pätevyyden arviointeja. Useampi sertifiointielin onkin jo ilmaissut kiinnostuksensa tietosuojaa koskevaa akkreditointia kohtaan. FINASin myöntämä akkreditointi osoittaisi, että sertifiointielimellä on pätevyys ja kyky toteuttaa tietosuoja-asetuksen mukainen sertifiointi vaatimusten mukaisesti. Akkreditoidut sertifiointielimet voisivat tarjota tietosuojasertifiointia organisaatioille, jotka haluavat osoittaa esimerkiksi markkinoinnissaan vaatimustenmukaisuutta tietosuojan osalta. Koska tietosuoja-asetuksen mukainen sertifiointi on vapaaehtoinen, sen voidaan arvioida tuovan sertifioiduille rekisterinpitäjille ja henkilötietojen käsittelijöille kilpailuetua muiden vastaavien sertifiointien tapaan. 

Esityksessä ehdotettavien teknistä käyttöyhteyttä koskevien säännösten päivittäminen on luonteeltaan pääosin teknistä, eikä ehdotuksilla arvioida olevan merkittäviä taloudellisia tai muita yhteiskunnallisia vaikutuksia. Myöskään niillä ehdotuksilla, joilla päivitetään sääntelyä perustuslain ja EU:n tietosuojalainsäädännön vaatimusten mukaisiksi, ei ole arvioitu olevan merkittäviä taloudellisia tai muita yhteiskunnallisia vaikutuksia. 

Vaikutukset viranomaistoimintaan

Tietosuojalain ja muun oikeusministeriön hallinnonalan lainsäädännön päivittämisestä saattaa seurata hallinnonalan viranomaisille ja julkisia hallintotehtäviä hoitaville organisaatioille vähäisiä hallinnollisia kuluja. 

Tietosuojalain 4 §:ään ehdotettavien muutosten arvioidaan edistävän julkisten palveluiden tarkoituksenmukaista järjestämistä. Ehdotettavilla muutoksilla esimerkiksi varmistetaan sitä, että viranomaisten henkilötietojen käsittelystä ei ole välttämätöntä säätää kunkin yleistä etua koskevan tehtävän lisäksi myöskään julkisen vallan käytön osalta, vaan käsittely voidaan perustaa suoraan tietosuojan yleissääntelyyn. Tämä edistäisi välillisesti julkisten palveluiden tarkoituksenmukaista järjestämistä. Tietosuojalain 4 §:ään ehdotettavien muutosten arvioidaan lisäksi parantavan myös viranomaisten ja julkista hallintotehtäviä hoitavien yksityisten tahojen oikeusvarmuutta, mikä tukee myös välillisesti kokonaisuudistuksen tavoitteita. Vastaavasti tietosuojalain 6 ja 7 §:n yleistä etua koskevaa tehtävää koskevien täsmennys- ja selvennysehdotusten arvioidaan parantavan viranomaisten oikeusvarmuutta. Sääntelyn sitomisella välttämättömyyteen voi olla myös vähäisiä kustannusvaikutuksia sekä vaikutuksia sisäisiin menettelyihin, vaikkakin tietosuojalain 6 ja 7 §:ään ehdotettujen muutosten tarkoituksena on ainoastaan saattaa sääntely vastaamaan vakiintunutta oikeustilaa, jonka mukaan pykälissä tarkoitettujen henkilötietojen käsittely on jo nykyisellään tullut rajata käsittelytarkoituksen kannalta välttämättömään.  

Vakuutuslaitosten käsittelyä koskevien muutosten ei arvioida aiheuttavan juurikaan kustannusvaikutuksia viranomaisille, sillä esimerkiksi tietopyyntöjen osalta vakuutuslaitokset ovat jo nykyisin voineet tehdä pyyntöjä terveydenhuollon viranomaisille nykyisen sääntelyn ja rekisteröidyn suostumuksen nojalla. Mahdollisia kustannus- tai muita vaikutuksia vähentävät osaltaan myös esityksessä ehdotettavat suojatoimisäännökset siitä, että tietoja tulisi pyytää ensi sijassa vakuutetulta, korvauksenhakijalta, vakuutuksenhakijalta tai siltä henkilöltä, jolle vakuutussuojaa haetaan. 

Sertifiointielinten akkreditointia koskevien ehdotusten arvioidaan parantavan viranomaisten resurssien tehokasta kohdentumista. FINASille tulisi uutena tehtävänä tietosuoja-asetuksessa tarkoitettu sertifiointielimen akkreditointi, johon tietosuojavaltuutettu osallistuisi teknisenä asiantuntijana tai lausunnonantajana. FINASilla on välitön valmius ryhtyä akkreditoimaan sertifiointielimiä, kun tietosuojavaltuutettu julkaisee akkreditoinnin lisäkriteerit. Muutoksen myötä tietosuojavaltuutetun toimisto voisi keskittyä akkreditoinnin osalta tietosuojaa koskevaan arviointiin, kun akkreditointi siirrettäisiin muutoin FINASille, jolla on asiantuntemus ja toimivalta myöntää muita akkreditointeja ja siihen rinnastettavia pätevyyden arviointeja. 

Teknisiä käyttöyhteyksiä koskevien säännösten päivittämisestä yhdenmukaiseksi tiedonhallintalain kanssa saattaa aiheutua viranomaisille vähäisiä hallinnollisia kuluja. Mahdollisia vaikutuksia kuitenkin vähentää se, että tiedonhallintalaki on tullut voimaan vuonna 2020, joten viranomaiset ovat ehtineet jo toteuttamaan tiedonhallintalaista johtuneita muutoksia. Yrityskiinnityslain päivittämisestä yhdenmukaiseksi tietosuoja-asetuksen kanssa ei arvioida aiheutuvan vaikutuksia. 

Yhteiskunnalliset vaikutukset

Esityksen sisältämillä lakiehdotuksilla ei olisi yleisestä tietosuojalainsäädännöstä riippumattomia itsenäisiä yhteiskunnallisia vaikutuksia. Esityksen tavoitteena on ennen muuta selkiyttää ja päivittää lainsäädäntöä vastaamaan perustuslakia, tietosuojasääntelyä ja tiedonhallintalakia. Näiden muutosten arvioidaan parantavan rekisteröidyn oikeusturvaa ja yksityisten organisaatioiden oikeusvarmuutta. Lisäksi niiden arvioidaan edistävän julkisten palveluiden tarkoituksenmukaista järjestämistä ja viranomaisten välistä tiedonvaihtoa. Sertifiointielinten akkreditointia koskevien muutosten arvioidaan lisäksi edistävän akkreditointia hakevien yhdenvertaista kohtelua. 

Vaikutukset perus- ja ihmisoikeuksiin

Esityksen tavoitteena on selkiyttää ja päivittää tietosuojalakia vastaamaan perustuslain ja EU:n tietosuojasääntelyn vaatimuksia. Esimerkiksi käsittelyn oikeusperusteiden sekä rekisterinpitosäännösten selkeyttämisen ja päivittämisen arvioidaan parantavan rekisteröidyn mahdollisuuksia käyttää tietosuoja-asetuksen mukaisia oikeuksiaan rekisterinpitäjää kohtaan. 

Huomioiden erityisiin henkilötietoryhmiin kuuluvien tietojen sekä rikostuomioihin ja rikoksiin liittyvien henkilötietojen arkaluonteisuus ja käsittelystä aiheutuvat riskit ja uhat, tietosuojalain 6 ja 7 §:ää koskevien säännösten täsmentämisen arvioidaan vahvistavan rekisteröityjen henkilötietojen suojan lisäksi myös yksityiselämän suojaa. Esityksessä ehdotetaan ennen muuta, että arkaluonteisten tietojen käsittely rajataan perustuslakivaliokunnan ja unionin oikeuden edellyttämällä tavalla välttämättömään vastaamaan nykyistä oikeuskäytäntöä. Lisäksi vakuutuslaitosten terveydentilatietojen ja rikostietojen käsittelyä koskevia säännöksiä täsmennettäisiin ja kyseinen käsittely sidottaisiin aiempaa tiukempiin suojatoimenpiteisiin. Rekisteröidyn näkökulmasta arvioidaan myös selkeämmäksi, että terveydentilatietojen ja rikostietojen käsittely olisi sidottu vastaaviin käsittelyä koskeviin reunaehtoihin ja suojatoimenpiteisiin sekä ennen vakuutuksen myöntämistä että vakuutuksen myöntämisen jälkeen. Ehdotettavalla sääntelyllä varmistettaisiin muun muassa se, että vakuutuslaitokset keräisivät terveydentilatietoja ja rikostietoja ensisijaisesti suoraan vakuutetulta tai vakuutussuojaa hakevalta itseltään ja arvioisivat tapauskohtaisesti tietojen keräämisen välttämättömyyttä muualta. Ehdotettujen muutosten arvioidaan tältä osin vaikuttavan rekisteröityjen henkilötietojen suojaan vahvistavasti. 

Esityksessä ehdotetulla sertifiointielinten akkreditointia koskevalla lainmuutoksella voisi osaltaan olla myönteisiä vaikutuksia henkilötietojen suojaan. Kun FINASin akkreditoimat sertifiointielimet voisivat ryhtyä tarjoamaan tietosuoja-asetuksen mukaista sertifiointia, kuluttajille ja organisaatioille tarjoutuisi uusia mahdollisuuksia valita palveluntarjoaja, jolla on tietosuojasertifikaatti. Sertifikaatti olisi virallinen osoitus haltijansa vakavasta suhtautumisesta henkilötietojen suojaan, koska sertifikaatin olisi myöntänyt viranomaisen päteväksi toteama sertifiointielin. Sertifiointi voisi parantaa henkilötietojen suojan toteutumista sertifiointia hakevien yritysten toiminnassa, koska sertifikaatin saaminen ja voimassa pysyminen edellyttää, että yritys osoittaa vaatimustenmukaisuutensa tietosuojan osalta ja toteuttaa myös tarvittavat korjaavat toimenpiteet. 

Esityksessä ehdotettavien muutosten vaikutuksia henkilötietojen suojaan arvioidaan myös säätämisjärjestysperusteluissa (ks. kappale 9 Suhde perustuslakiin ja säätämisjärjestys). 

5.1  Vaihtoehdot ja niiden vaikutukset

Esityksessä ehdotettavat lakimuutokset perustuvat tietosuojalainsäädännön kokonaisuudistuksen väliraportissa ja siitä saadussa palautteessa tunnistettuihin tarpeisiin. Ehdotetuilla muutoksilla pyritään edistämään kokonaisuudistuksen mukaisesti viranomaisten tiedon liikkuvuutta ja palveluiden tarkoituksenmukaista järjestämistä sekä osaltaan varmistamaan, että sääntely vastaa perustuslakia, EU:n tietosuojasääntelyä sekä hallinnon yleislakeja, kuten tiedonhallintalakia ja julkisuuslakia. Esityksessä ehdotettavat muutokset tietosuojalakiin (pois lukien sertifiointielinten akkreditointia koskevat muutokset), velkajärjestelyrekisteristä annettuun lakiin, konkurssi- ja yrityssaneerausrekisteristä annettuun lakiin, eläintenpitokieltorekisteristä annettuun lakiin, asunto-osakeyhtiölakiin, liiketoimintakiellosta annettuun lakiin, haastemieslakiin, säätiölakiin, yhdistyslakiin, rikosrekisterilakiin sekä yrityskiinnityslakiin ovat tältä osin välttämättömiä, eikä valmistelussa ole todettu muita toteuttamisvaihtoehtoja. 

Sertifiointielimien akkreditointiin liittyvien ehdotusten osalta tietosuoja-asetuksen 43 artiklan 1 kohta edellyttää, että sertifiointielimet akkreditoi joko tietosuojan kansallinen valvontaviranomainen, kansallinen akkreditointielin tai molemmat näistä. Valmistelussa on arvioitu vaihtoehtona ensinnäkin nykytilan säilyttämistä. Olisi kuitenkin tarkoituksenmukaisempaa, että kansallinen akkreditointielin FINAS huolehtisi sertifiointielimen akkreditoinnista ja tietosuojavaltuutetulla olisi akkreditoinnissa rooli teknisenä tietosuoja-asiantuntijana. Nykytilan säilyttämiseen liittyviä ongelmakohtia on käsitelty ehdotetun 36 a §:n säännöskohtaisissa perusteluissa (ks. kappale 7.1). Akkreditoinnin järjestäminen esitetyllä tavalla mahdollistaisi viranomaisten erityisosaamisen ja resurssien nykyistä tehokkaamman ja tarkoituksenmukaisemman kohdentamisen. 

Toiseksi valmistelussa on arvioitu vaihtoehtoa, jossa kansallinen akkreditointielin huolehtisi kokonaan yksin akkreditoinnin myöntämisestä. Valmistelussa tehdyn arvioinnin perusteella myöskään tähän vaihtoehtoon ei kuitenkaan päädytty. Valitun etenemistavan mukaan tietosuojavaltuutetun olisi erityisasiantuntemuksensa ja muiden akkreditointia ja sertifiointia koskevien tehtäviensä vuoksi tarkoituksenmukaisempaa toimia akkreditointimenettelyssä lähtökohtaisesti teknisenä tietosuoja-asiantuntijana tai vähintään lausunnonantajana. Siten tietosuojavaltuutettu voisi aina arvioida tietosuoja-asetuksen vaatimusten ja laatimiensa akkreditoinnin lisäkriteerien täyttymistä akkreditointia hakeneen tahon toiminnassa, mikä turvaisi myös hakijoiden yhdenvertaista kohtelua. 

5.2  Ulkomaiden lainsäädäntö ja muut ulkomailla käytetyt keinot

Esityksessä ehdotettavissa muutoksissa on kyse välttämättömistä muutoksista, joilla varmistetaan, että oikeusministeriön hallinnonalan sääntely vastaa perustuslakia, EU:n tietosuojasääntelyä sekä hallinnon yleislakeja, kuten tiedonhallintalakia ja julkisuuslakia. Tältä osin sertifiointielimien akkreditointia lukuun ottamatta ei ole selvitetty erikseen ulkomaista lainsäädäntöä tai muita ulkomailla käytettyjä keinoja. 

Sertifiointielimien akkreditointi

Ruotsissa ei ole annettu tietosuoja-asetuksen 43 artiklan perusteella erillistä lainsäädäntöä sertifiointielimen akkreditoinnista vastaavasta tahosta. Akkreditoinnin myöntää Swedac (Styrelsen för ackreditering och teknisk kontroll). Norjassa on katsottu, että tietosuojan valvontaviranomainen Datatilsynet ja kansallinen akkreditointielin Norsk akkreditering ovat lailla voimaan saatetun tietosuoja-asetuksen 43 artiklan 1 kohdan a ja b alakohdan nojalla toimivaltaiset akkreditoimaan sertifiointielimiä. Lähtökohtaisesti akkreditoinnista vastaa Norsk akkreditering, mutta mainitut viranomaiset ovat solmineet yhteistyösopimuksen, jonka puitteissa myös Datatilsynet voi päättää käyttää toimivaltuuttaan myöntää akkreditointi. Tanskan tietosuojalain (databeskyttelsesloven, Vsk. LBK nr 289 af 08/03/2024) mukaan Tanskan tietosuojaviranomainen Datatilsynet ja kansallinen akkreditointielin DANAK ovat toimivaltaiset akkreditoimaan sertifiointielimiä. Akkreditointihakemus tehdään DANAKille, mutta akkreditointi edellyttää myös Datatilsynetin hyväksyntää. Viron tietosuojalaissa (Isikuandmete kaitse seadus, RT I, 04.01.2019, 11) sertifiointielimen akkreditointi on säädetty kansallisen tietosuojan valvontaviranomaisen, Andmekaitse Inspektsioonin tehtäväksi. Saksassa sertifiointielimen akkreditoinnista säädetään liittovaltion tietosuojalain (BDSG) 39 §:ssä. Akkreditoinnin myöntää sertifiointielimen tietosuojavalvonnasta vastaava liittovaltion tai osavaltion valvontaviranomainen Saksan akkreditointielimen akkreditoinnin perusteella. Ranskassa sertifiointielimen akkreditoinnista on säädetty tietotekniikasta, tiedostoista ja vapauksista annetussa laissa (Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés). Akkreditoinnin voivat myöntää tietosuojan valvontaviranomainen CNIL ja kansallinen akkreditointielin Cofrac. CNILin ja Cofracin välisessä yhteistyösopimuksessa määritellään osapuolten vastuut ja menettelyt akkreditointiprosessissa. Akkreditointihakemus toimitetaan Cofracille. 

7.1  Tietosuojalaki

4 §. Käsittelyn lainmukaisuus. Pykälän rakennetta ehdotetaan muutettavaksi siten, että pykälässä olisi jatkossa kaksi momenttia. Nykyisestä pykälästä tulisi uusi 1 momentti ja pykälän 1–4 kohdasta tulisi 1 momentin 1–4 kohta. Pykälään lisättäisiin myös uusi 2 momentti. Esityksessä ehdotetun pykälän 1 momentin 1, 3 ja 4 kohtaan ei ehdoteta sisällöllisiä muutoksia. Tältä osin kyse olisi teknisestä muutoksesta. 

Voimassa olevan pykälän 2 kohtaa ehdotetaan täsmennettäväksi siten, että uudesta 1 momentin 2 kohdasta kävisi selkeästi ilmi, minkälaiseen viranomaisen henkilötietojen käsittelyyn kohta luo oikeudellisen perustan. Voimassa olevan lain mukaan kyseinen lainkohta luo viranomaiselle tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittaman oikeusperusteen käsitellä henkilötietoja silloin, kun käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Lainkohdan tarkoituksena on ollut varmistaa, että viranomaiset voivat käsitellä henkilötietoja myös muiden tehtävien kuin lakisääteisten velvoitteiden suorittamiseksi. Kyse on siten sellaisesta viranomaistoiminnasta, jossa oikeutta henkilötietojen käsittelyyn ei voida suoraan johtaa viranomaista koskevasta tehtävä- ja toimivaltasäännöksestä eikä mahdollisesta yksityiskohtaisemmasta erityissääntelystä. Lainkohdan soveltamisala on kuitenkin jäänyt tietyiltä osin epäselväksi.  

Tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaan henkilötietoja on lainmukaista käsitellä, mikäli se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Vaikka kyseisessä alakohdassa erotellaan yleistä etua koskevan tehtävän suorittaminen ja julkisen vallan käyttäminen toisistaan, julkisen vallan käyttö ja yleistä etua koskevan tehtävän suorittaminen ei ole viranomaistoiminnassa useinkaan tosiasiallisesti eroteltavissa toisistaan. Julkishallinnon toiminnan yleinen päämäärä on yleisen edun toteuttaminen, mikä ulottuu myös toimintaan, jossa viranomaiset käyttävät julkista valtaa. Julkisen vallan käytössä voidaan siten tosiasiallisesti katsoa olevan kyse myös yleistä etua koskevan tehtävän suorittamisesta. Sen sijaan yleistä etua koskevan tehtävän suorittaminen ei sisällä aina julkisen vallan käyttöä, vaan on sisällöltään laajempi. Vaikka julkisen vallan käyttöä ei voida viranomaistoiminnassa kategorisesti erotella yleistä etua koskevan tehtävän suorittamisesta, nykyisen lainkohdan sanamuodon perusteella ei ole selvää, luoko lainkohta käsittelyn oikeusperusteen viranomaiselle myös silloin, kun kyse on julkisen vallan käytöstä. 

Voimassa olevan pykälän 2 kohtaa ehdotetaan tältä osin täsmennettäväksi ja laajennettavaksi siten, että ehdotetussa uudessa 1 momentin 2 kohdassa säädettäisiin viranomaisen oikeudesta käsitellä henkilötietoja sekä yleistä etua koskevan tehtävän suorittamiseksi että julkisen vallan käyttämiseksi, siltä osin kuin se on tarpeen ja oikeasuhteista. Yleistä etua koskevan tehtävän suorittamiseen ja julkisen vallan käyttöön perustuvassa henkilötietojen käsittelyssä on kyse tyypillisesti tilanteista, joissa viranomaiselle on säädetty julkista valtaa tai yleistä etua koskeva tehtävä, mutta viranomaiselle ei ole säädetty nimenomaista lakisääteistä velvoitetta käsitellä henkilötietoja tätä tarkoitusta varten. Yleistä etua koskevassa tehtävässä tai julkisen vallan käytössä voi olla kyse esimerkiksi kunnan tehtävistä huolehtia koulutuksesta tai kirjasto- ja liikuntapalveluiden järjestämisestä (ks. tältä osin oikeuskäytäntöä ja esimerkkejä myös kappaleesta 2.4.2). Kuten tietosuojalain esitöissä (HE 9/2018 vp, s. 80) todetaan, lainkohdan tarkoittama tehtävä voi olla myös viranomaisen suunnittelu- ja selvitystehtävä. Vastaavasti myös viranomaisen palveluiden kehittäminen voi olla yleistä etua koskeva tehtävä. 

Voimassa oleva lainkohta edellyttää, että viranomaisen henkilötietojen käsittely on tarpeen ja oikeasuhteista eikä lainkohdan sisältöä ehdoteta tältä osin muutettavaksi. Tarpeellisuuden ja oikeasuhteisuuden arviointi edellyttää aina viranomaisen tapauskohtaista harkintaa. Vaatimus tapauskohtaisesta arvioinnista koskisi sekä yleistä etua koskevan tehtävän suorittamista että julkisen vallan käyttöä koskevaa henkilötietojen käsittelyä. Viranomaisen henkilötietojen käsittelyn tarpeellisuutta ja oikeasuhteisuutta sekä tapauskohtaista arviointia on käsitelty tarkemmin tietosuojalakia koskevissa esitöissä (HE 9/2018 vp, s. 79–80). 

Lainkohta ei luo oikeutta käsitellä henkilötietoja niin sanottuun toisiokäyttöön, eli sellaiseen myöhempään käsittelyyn, joka on henkilötietojen alkuperäisten käsittelytarkoituksen kanssa yhteensopimatonta. Tämä tarkoitus ilmenee tietosuojalain esitöistä, ja sitä selostetaan tarkemmin tämän esityksen nykytilan arviointia koskevassa kappaleessa (ks. kappale 2.4.2 ja HE 9/2018 vp, s. 80). Lainkohta ei muodosta myöskään oikeudellista perustaa käsitellä tietosuoja-asetuksen 9 (erityisiin henkilötietoryhmiin kuuluvat tiedot) ja 10 artiklassa (rikostuomioihin ja rikoksiin liittyvät henkilötiedot) tarkoitettuja henkilötietoja. Kyseisten tietojen käsittelystä säädetään erikseen tietosuojalain 6 ja 7 §:ssä sekä muualla kansallisessa erityislainsäädännössä. Lainkohta ei muodosta oikeudellista perustaa käsitellä myöskään muita valtiosääntöisesti arkaluonteisia henkilötietoja, joiden käsittelystä tulee perustuslakivaliokunnan lausuntokäytännön mukaisesti säätää nimenomaisesti ja tarkkarajaisesti ja rajata käsittely välttämättömään (ks. PeVL 14/2018 vp, s. 4–5). Valtiosääntöisesti arkaluonteisilla henkilötiedoilla tarkoitetaan tietosuoja-asetuksen 9 ja 10 artiklassa tarkoitettujen tietojen lisäksi esimerkiksi maksukorttitietoja, tilitietoja sekä sosiaalihuollon asiakastietoja. Esityksessä ei ehdoteta muutoksia edellä mainituin osin. 

Lainkohta perustuu tietosuoja-asetuksen 6 artiklan 2 ja 3 kohdan sisältämään sääntelyliikkumavaraan (ks. HE 9/2018 vp). Lainkohtaan ehdotettavat täsmennykset ja laajennukset tarkoittaisivat niin ikään asetuksen 6 artiklan 2 ja 3 kohdan sisältämän liikkumavaran käyttöä. Ehdotettujen muutosten arvioidaan selkeyttävän ja täsmentävän lainkohdan soveltamisalaa ja sen suhdetta tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan. Ehdotettujen muutosten arvioidaan täyttävän asetuksen 6 artiklan 3 kohdan edellytykset sääntelyn yleisen edun mukaisuudesta ja oikeasuhteisuudesta, sillä ehdotettu sääntely mahdollistaa käsittelyn viranomaisten yleistä etua koskevan tehtävän suorittamiseksi ja julkisen vallan käyttämiseksi, sitoo henkilötietojen käsittelyn tarpeellisuuteen ja oikeasuhteisuuteen sekä edellyttää tältä osin viranomaisen tapauskohtaista arviointia. 

Pykälään ehdotetaan lisättäväksi uusi 2 momentti, jossa säädettäisiin muiden kuin viranomaisten oikeudesta käsitellä henkilötietoja silloin, kun ne hoitavat lailla tai lain nojalla annettua julkista hallintotehtävää. Momentissa olisi kyse tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittamasta käsittelystä. Ehdotetun momentin mukaan, mitä ehdotetun uuden 1 momentin 2 kohdassa säädetään, koskisi myös yhteisöjä, säätiöitä ja yksityisiä henkilöitä niiden hoitaessa lailla tai lain nojalla annettua julkista hallintotehtävää, jossa on kyse yleistä etua koskevan tehtävän suorittamisesta tai julkisen vallan käyttämisestä. 

Henkilötietojen käsittely olisi sidottu vastaaviin edellytyksiin kuin viranomaisia koskeva ehdotetun uuden 1 momentin 2 kohta. Kyseisen lainkohdan mukaan viranomaisen henkilötietojen käsittelyn on oltava tarpeen ja oikeasuhteista ja tämä edellyttää aina tapauskohtaista harkintaa. Uuden 2 momentin mukaan nämä vastaavat edellytykset koskisivat myös muita kuin viranomaisia silloin, kun ne hoitavat julkista hallintotehtävää. Vaatimus tapauskohtaisesta arvioinnista koskisi sekä yleistä etua koskevan tehtävän suorittamista että julkisen vallan käyttöä koskevaa henkilötietojen käsittelyä. Viranomaisen henkilötietojen käsittelyn tarpeellisuutta ja oikeasuhteisuutta sekä tapauskohtaista arviointia on käsitelty tarkemmin tietosuojalakia koskevissa esitöissä (HE 9/2018 vp, s. 79–80). 

Voimassa olevan pykälän 2 kohdan tarkoittama käsittelyn oikeusperuste koskee ainoastaan viranomaisten henkilötietojen käsittelyä. Tietosuojalain esitöissä (HE 9/2018 vp, s. 80) todetaan, että yksityisoikeudellisten yhteisöjen hoitaessa julkisia hallintotehtäviä, tulisi sovellettavaksi joko tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta (henkilötietoja voi käsitellä rekisterinpitäjän lakisääteisen velvollisuuden noudattamiseksi) tai f alakohta (henkilötietoja voi käsitellä rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi). Vastaavasti kuin viranomaisten toiminnassa – ja huomioiden myös julkisen hallintotehtävän käsitteen verraten laaja sisältö – julkisen hallintotehtävän hoitamisessa voi olla kyse myös tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittamasta yleistä etua koskevan tehtävän suorittamisesta tai julkisen vallan käyttämisestä. Laissa olisi siten tarpeellista säätää muille kuin viranomaisille oikeudellinen peruste käsitellä henkilötietoja myös sellaisten hallintotehtävien hoitamiseen, joissa on kyse tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittamasta käsittelystä. 

Julkiselle hallintotehtävälle ei ole olemassa yksiselitteistä vakiintunutta määritelmää, vaan sen sisältö määrittyy niiden lain säännösten perusteella, joissa kyseessä olevasta tehtävästä säädetään. Julkisella hallintotehtävällä tarkoitetaan verraten laajaa hallinnollisten tehtävien kokonaisuutta, joka viittaa toimintaan, johon liittyy yleisen edun toteuttamista tai muutoin julkisten palvelujen järjestämiselle luonteenomaisia piirteitä. Julkisen hallintotehtävän osalta keskeistä on, että tehtävä perustuu lailla tai lain nojalla annettuun julkiseen toimeksiantoon. Julkiseen hallintotehtävään voi sisältyä myös julkisen vallan käyttöä. Joidenkin tehtävien osalta julkinen hallintotehtävä voi myös kokonaisuudessaan olla julkisen vallan käyttöä. (Ks. tarkemmin kappaleesta 2.4 Nykytilan arviointi). 

Tietosuoja-asetus ei edellytä, että henkilötietojen käsittelystä yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi säädettäisiin jokaista käsittelytilannetta varten erikseen. Jäsenvaltioiden tulee kuitenkin huolehtia siitä, että käsittelystä säädetään tietosuoja-asetuksen mukaisesti ja sen sisältämän liikkumavaran puitteissa. Tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan liittyvää liikkumavaraa sisältyy asetuksen 6 artiklan 2 ja 3 kohtaan, jotka mahdollistavat tietosuoja-asetusta täsmentävän sääntelyn. Asetuksen 6 artiklan 3 kohta edellyttää nimenomaisesti, että 6 artiklan 1 kohdan e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä, jossa varmistetaan, että käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Asetuksen johdanto-osan 45 kappaleessa täsmennetään, että jäsenvaltion lainsäädännössä olisi määritettävä, olisiko yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi rekisterinpitäjän oltava julkinen viranomainen tai muu julkis- tai yksityisoikeudellinen luonnollinen henkilö tai oikeushenkilö, kun se on perusteltua yleistä etua koskevien syiden vuoksi. 

Perustuslakivaliokunnan mielestä henkilötietojen suoja tulee turvata ensisijaisesti tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla. (PeVL 14/2018 vp, s. 4–5). Vastaavalla tavalla kuin viranomaistoiminnan osalta, kansallinen yleissääntely arvioidaan riittäväksi myös tilanteissa, joissa yleistä etua koskevaa tehtävää suorittaa tai julkista valtaa käyttää muu kuin viranomainen. 

Ehdotetussa uudessa momentissa säädettävää käsittelyn perustaa ei ulotettaisi kyseisten yksityisten tahojen muuhun toimintaan, vaan soveltamisala rajautuisi vain sellaiseen julkiseen hallintotehtävään, joka liittyy yleisen edun mukaisen tehtävän suorittamiseen tai julkisen vallan käyttämiseen. Ehdotetun lainkohdan tarkoituksena ei ole siten muodostaa oikeusperustaa sellaiselle käsittelylle, jossa on kyse yhteisölle, säätiölle tai yksityiselle henkilölle säädetyn lakisääteisen velvollisuuden noudattamisesta (eli asetuksen 6 artiklan 1 kohdan c alakohtaan perustuvasta käsittelystä). Momentissa tarkoitettu henkilötietojen käsittely koskisi muun muassa sellaista käsittelyä, joka liittyy momentissa tarkoitetulle yksityiselle taholle lailla tai lain nojalla annettuihin kehittämis-, suunnittelu- ja selvitystehtäviin. 

Koska säännös edellyttäisi, että käsittely on tarpeen yksityisen tahon hoitaessa julkista hallintotehtävää, säännös mahdollistaisi ainoastaan sellaisen henkilötietojen käsittelyn, joka olisi asianmukaisesti perusteltua lailla tai lain nojalla annettujen julkisten hallintotehtävien kannalta. Edellytys vastaisi, mitä myös viranomaiselta edellytetään, silloin, kun kyse on henkilötietojen käsittelystä yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Lainkohdassa edellytettäisiin lisäksi, että yksityisen tahon suorittaman käsittelyn tulisi olla oikeasuhtaista julkisen hallintotehtävän hoitamiseksi. Tämä selkiyttäisi sitä, että yksityisen tahon olisi aina tapauskohtaisesti arvioitava, voidaanko kyseessä olevaa henkilötietojen käsittelyä pitää oikeasuhtaisena käsittelyn tarkoitukset huomioon ottaen. Kuten kaikessa henkilötietojen käsittelyssä, tässäkin arvioinnissa olisi otettava huomioon tietosuoja-asetuksen 5 artiklan henkilötietojen käsittelyä koskevat periaatteet, kuten tietojen minimoinnin periaate, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään. Rekisterinpitäjän olisi myös arvioitava käsittelyn oikeasuhtaisuutta suhteessa rekisteröidyn etuihin ja perusoikeuksiin. 

Vastaavasti kuin ehdotetun uuden 1 momentin 2 kohdassa, ehdotettu uusi 2 momentti ei loisi yksityiselle taholle oikeutta käsitellä henkilötietoja toisiokäyttöön. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. 

Ehdotettu uusi 2 momentti ei loisi myöskään oikeudellista perustaa käsitellä tietosuoja-asetuksen 9 (erityisiin henkilötietoryhmiin kuuluvat tiedot), 10 artiklassa (rikostuomioihin ja rikoksiin liittyvät henkilötiedot) tarkoitettuja henkilötietoja tai muita valtiosääntöisesti arkaluonteisia henkilötietoja, joiden käsittelystä tulee perustuslakivaliokunnan lausuntokäytännön mukaisesti säätää nimenomaisesti ja tarkkarajaisesti ja rajata käsittely välttämättömään (ks. PeVL 14/2018 vp, s. 4–5). 

Ehdotettu uusi 2 momentti perustuisi tietosuoja-asetuksen 6 artiklan 2 ja 3 kohdan sisältämään sääntelyliikkumavaraan. Huomioiden, että ehdotettu henkilötietojen käsittelyn oikeusperusta julkista hallintotehtävää hoitavalle olisi rajattu nimenomaisesti sellaiseen yleistä etua koskevan tehtävän hoitamiseen ja julkisen vallan käyttöön, joka on tarpeen ja oikeasuhteista, ehdotettu sääntely arvioidaan asetuksen 6 artiklan 3 kohdan edellyttämällä tavalla oikeasuhteiseksi ja yleisen edun mukaisuudeksi. Oikeasuhteisuutta ja yleisen edun mukaisuutta korostaa edelleen myös se, että julkinen hallintotehtävä tulisi antaa yksityiselle taholle lailla tai lain nojalla (ks. tältä osin nykytilan arviointia koskeva kappale 2.4.2). 

6 §. Erityisiä henkilötietoryhmiä koskeva käsittely. Pykälässä säädetään tietosuoja-asetuksen 9 artiklan 1 kohdan tarkoittamien erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä. Kyseisten henkilötietojen käsittely on asetuksen mukaan lähtökohtaisesti kiellettyä. Käsittely on kuitenkin sallittua, jos jokin tietosuoja-asetuksen 6 artiklan mukaisista käsittelyn edellytyksistä täyttyy ja jos sen lisäksi myös jokin 9 artiklan 2 kohdassa mainituista erityisistä käsittelyn perusteista täyttyy. 

Pykälän 1 momentin1 kohtaa ehdotetaan täsmennettäväksi siten, että kohdasta kävisi selkeästi ilmi, että vakuutuslaitoksella olisi oikeus käsitellä vakuutetun ja korvauksenhakijan ohella myös vakuutuksenhakijan sekä sen henkilön, jolle vakuutussuojaa haetaan, terveydentilaa koskevia tietoja. Ehdotettavan lainkohdan mukaan tietosuoja-asetuksen 9 artiklan 1 kohtaa ei sovellettaisi vakuutuslaitoksen käsitellessä vakuutustoiminnassa saatuja tietoja vakuutetun, korvauksenhakijan, vakuutuksenhakijan sekä sen henkilön, jolle vakuutussuojaa haetaan, terveydentilasta, sairaudesta tai vammaisuudesta taikka sellaista häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista, jotka ovat välttämättömiä vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Vakuutuksenhakijalla tarkoitettaisiin henkilöä, joka hakee vakuutusta itselleen, mutta henkilöä ei vielä pidetä vakuutettuna ennen vakuutussopimuksen tekemistä. Henkilöä, jolle vakuutussuojaa haetaan, tarkoitettaisiin henkilöä, jonka varalta tai jonka hyväksi vakuutus on tarkoitettu otettavaksi eikä henkilöä vielä pidetä vakuutettuna ennen vakuutussopimuksen tekemistä. Tällaisissa tilanteissa kyseinen henkilö ei itse hae vakuutusta, mutta vakuutusta kuitenkin haetaan kyseisen henkilön sairauden, tapaturman, kuoleman tai muun vahingon varalta. Tällainen tilanne voi olla esimerkiksi, kun vanhemmat hakevat tapaturmavakuutusta lapselleen mahdollisen tapaturmaisen loukkaantumisen tai kuoleman varalta. Esityksellä ei luotaisi laajemmin oikeutta käsitellä muiden henkilöiden terveydentilatietoja, vaan vakuutuslaitoksen oikeus käsitellä terveydentilatietoja rajautuisi ennen vakuutuksen myöntämistä vakuutuksenhakijan tai sen henkilön, jolle vakuutussuojaa haetaan, terveydentilatietoja. Vakuutuslaitoksella ei olisi näin ollen jatkossakaan oikeutta käsitellä muiden henkilöiden, kuten esimerkiksi tapaturmavakuutusta hakevan ja edunsaajana (eli vakuutuskorvauksen saajana) olevan vanhemman, terveydentilatietoja, mikäli kyse on lapsen tapaturman varalta haettavasta vakuutuksesta. Vakuutuslaitoksen tulisi arvioida terveydentilatietojen käsittelyä myös vakuutuslajeittain, huomioiden ettei tiettyjen vakuutusten osalta ole tarve käsitellä lainkaan terveydentilatietoja. 

Momentin 1 kohtaa ehdotetaan täsmennettäväksi lisäksi siten, että oikeus käsitellä terveydentilaa koskevia tietoja rajattaisiin välttämättömään vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Tällä hetkellä oikeus käsitellä kohdassa tarkoitettuja tietoja on rajattu tarpeellisuusvaatimukseen. Ehdotettu muutos vastaisi perustuslakivaliokunnan (PeVL 14/2018 vp) lausuntokäytäntöä, jonka mukaan arkaluonteisten henkilötietojen käsittely tulee rajata käyttötarkoituksen kannalta välttämättömään, ja varmistaisi osaltaan myös sen, että rajoitukset henkilötietojen suojaan olisivat perusoikeuskirjan 52 artiklan 1 kohdan edellyttämällä tavalla välttämättömiä ja oikeasuhteisia. Ehdotettu muutos ei lähtökohtaisesti muuttaisi terveydentilaa koskevien tietojen käsittelyä, sillä arkaluonteisina pidettävien terveydentilatietojen käsittely on jo nykyisellään tullut rajata uninoin oikeuden ja valtiosääntöisten reunaehtojen valossa välttämättömään. 

Huomioiden tulkintaepäselvyydet siitä, luoko lainkohta oikeudellisen perustan käsitellä terveydentilaa koskevia tietoja myös ennen vakuutuksen myöntämistä ja vakuutuslaitoksen vastuun arviointia varten, ehdotetaan täsmennystä myös lainkohdan käyttötarkoitukseen. Esityksessä ehdotetaan tältä osin, että 1 momentin 1 kohtaatäsmennettäisiin siten, että lainkohdassa mainittaisiin vakuutuslaitoksen vastuun selvittämisen ohella myös vastuun arviointi. Vakuutuslaitoksella on tosiasiallisesti välttämätön tarve käsitellä kohdassa tarkoitettuja terveydentilaa koskevia tietoja vastuunsa arvioimiseksi jo ennen vakuutuksen myöntämistä. Vakuutuslaitoksen olisi välttämätöntä arvioida vastuutaan myös vakuutuksen tekemisen jälkeen korvausasiaa ratkaistaessa. Vakuutuslaitoksen tulisi käsittelyn välttämättömyyttä arvioidessaan huomioida sekä vakuutussopimuslain kokonaisuus että tietosuoja-asetuksen reunaehdot. 

Vakuutussopimuslain 22 §:n mukaan vakuutuksenhakijan tiedonantovelvollisuus on rajattu tietoihin, joilla voi olla merkitystä vakuutuksenantajan vastuun arvioimisen kannalta. Vakuutuksenottajan ja vakuutetun tulee lisäksi vakuutuskauden aikana ilman aiheetonta viivytystä oikaista vakuutuksenantajalle antamansa, vääriksi tai puutteellisiksi havaitsemansa tiedot. Vakuutussopimuslain esitöissä on täsmennetty, että vakuutuksenottajan tiedonantovelvollisuus koskee ainoastaan seikkoja, joilla voi olla merkitystä vakuutuksenantajan vastuun arvioimisen kannalta. Oikeuskirjallisuudessa on todettu, että vakuutusyhtiön tiedustelemien seikkojen tulee kokemusperäisesti liittyä kiinteästi vakuutuksenantajan riskinarviointiin. Samassa yhteydessä on todettu, että sellaiset tiedot, jotka eivät erillisinä ole merkityksellisiä, voivat yhdessä muodostaa riskin arvioinnin kannalta merkityksellisen kokonaisuuden. Näin ollen esimerkiksi vähäisistä sairauksista on kysyttäessä kerrottava, vaikka tiedonantovelvollinen pitäisi tietoja vakuutuksenantajan vastuun kannalta merkityksettöminä. Vastaavasti myös korvauksen hakemisen yhteydessä vakuutuksenantajalle on vakuutussopimuslain 69 §:n mukaisesti annettava tiedot, jotka ovat tarpeen vakuutuksenantajan vastuun selvittämiseksi. Korvauksen hakemisen osalta vakuutussopimuslain esitöissä on täsmennetty, että vastuun selvittämiseksi tarpeellisia asiakirjoja ja tietoja ovat esimerkiksi ne, joiden avulla voidaan todeta, onko vakuutustapahtuma sattunut ja kuinka suuri vahinko on syntynyt. Korvauksenhakijan selvitysvelvollisuus koskee myös hänelle epäedullisia seikkoja. Korvauksenhakija ei esimerkiksi henkilövakuutuksessa saa jättää tarpeellista lääkärintodistusta toimittamatta, vaikka siitä ilmenisi tiedonantovelvollisuuden laiminlyönti. 

Tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdan mukaan käsiteltävien henkilötietojen on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (tietojen minimoinnin periaate). Rekisterinpitäjän tulee näin ollen osoittaa käsiteltävien tietojen olennaisuus sekä tarpeellisuus kunkin henkilötietoryhmän osalta. Edelleen kyseisen kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaate). Asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä ja sen on pystyttävä osoittamaan, että 5 artiklan 1 kohdan tarkoittamia yleisiä käsittelyperiaatteita noudatetaan. Rekisterinpitäjän on lisäksi 25 artiklan 2 kohdan mukaan toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla varmistetaan, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja. Rekisterinpitäjän tulee lisäksi huolehtia kaikista tietosuoja-asetuksessa säädetyistä rekisteröidyn oikeuksista. Tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle käsittelyä koskevat tiedot tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Rekisterinpitäjän tulee toimittaa rekisteröidylle käsittelyä koskevia tietoja muun muassa, kun tietoja henkilötietoja kerätään suoraan rekisteröidyltä (13 artikla) ja kun ne on saatu muualta kuin rekisteröidyltä itseltään (14 artikla). 

Ehdotettu 1 momentin 1 kohdan välttämättömyysedellytys olisi samalla myös tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan edellyttämä suojatoimi. Vakuutuslaitosten tulee nykyisen pykälän 2 momentin mukaan huolehtia 2 momentissa säädetyistä asianmukaisista ja riittävistä toimenpiteistä rekisteröidyn oikeuksien suojaamiseksi. Huomioiden käsittelystä aiheutuvat riskit, esityksessä ehdotetaan myös muita täydentäviä suojatoimia, joista säädettäisiin uudessa 3 momentissa. 

Nykyisen pykälän 1 momentin 1 kohdan sääntely (HE 9/2018 vp, s. 85) ja kohtaan nyt ehdotettavat muutokset perustuvat tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sisältämään sääntelyliikkumavaraan. Esityksessä ehdotettavilla täsmennyksillä varmistettaisiin, että kohdan sääntely täyttää tietosuoja-asetuksen edellytykset sääntelyn yleisen edun mukaisuudesta ja oikeasuhteisuudesta sekä sisältää asianmukaiset ja erityiset toimenpiteet rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. 

Pykälän 1 momentin 2 kohtaa ehdotetaan muutettavaksi siten, että lainkohdan muotoilu vastaisi tietosuoja-asetuksessa käytettyjä sanamuotoja. Lainkohta perustuu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohtaan, jonka mukaan 9 artiklan 1 kohdan kieltoa ei sovelleta, mikäli käsittely on tarpeen tärkeää yleistä etua koskevasta syystä unionin oikeuden tai jäsenvaltion lainsäädännön nojalla. Lainkohta soveltuu niin viranomaisten kuin yksityisten tahojen henkilötietojen käsittelyyn, sikäli kun käsittelystä säädetään laissa tai käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Pykälän 1 momentin 2 kohtaa ehdotetaan täsmennettäväksi siten, että kohdan mukaan tietosuoja-asetuksen 9 artiklan 1 kohdan käsittelykieltoa ei sovelleta, jos erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä on säädetty laissa tai jos kyseisten tietojen käsittely on välttämätöntä välittömästi rekisterinpitäjälle laissa säädetyn yleistä etua koskevan tehtävän suorittamiseksi. 

Voimassa olevassa lainkohdassa säädetään erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä kahdessa tilanteessa. Lainkohdan mukaan erityisiin henkilötietoryhmiin kuuluvia tietoja saa käsitellä ensinnäkin tilanteessa, jossa kyseisestä henkilötietojen käsittelystä on säädetty nimenomaisesti laissa. Sääntelyä ei ehdoteta tältä osin muutettavaksi. Voimassa oleva lainkohta mahdollistaa lisäksi henkilötietojen käsittelyn, joka johtuu rekisterinpitäjälle välittömästi laissa säädetystä tehtävästä. Kyseisissä tilanteissa erityisten henkilötietojen käsittelystä ei ole säädetty nimenomaisesti ja tarkkarajaisesti rekisterinpitäjää velvoittavassa lainsäädännössä, mutta kyseiset lakisääteiset velvollisuudet voivat kuitenkin välttämättä edellyttää erityisten henkilötietojen käsittelyä. Ehdotettujen muutosten tarkoituksena on varmistaa, että rekisterinpitäjä voisi jatkossakin käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja lainkohdan nojalla silloin, kun käsittely johtuu rekisterinpitäjälle välittömästi säädetyn velvollisuuden noudattamisesta. Huomioiden nykyiseen muotoiluun ja käsitteisiin liittyvät tulkintaepäselvyydet sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sanamuoto, lainkohdassa olisi tarpeen selventää, että rekisterinpitäjälle säädetyn velvollisuuden noudattamisessa olisi kyse rekisterinpitäjälle laissa säädetyn yleistä etua koskevan tehtävän suorittamisesta. Tietosuojalain 6 §:n 1 momentin 2 kohdassa säädettäisiin näin ollen jatkossa rekisterinpitäjälle laissa säädetystä yleistä etua koskevan tehtävän suorittamisesta. Yleistä etua koskevia tehtäviä on avattu tarkemmin kappaleessa 2.4.2. 

Pykälän 1 momentin 2 kohtaa ehdotetaan täsmennettäväksi lisäksi siten, että kohdassa tarkoitettu käsittely rajattaisiin välttämättömään. Voimassa olevaa lainkohtaa ei ole sidottu tarpeellisuuteen eikä välttämättömyyteen. Lainkohta jättää näin ollen rekisterinpitäjälle suhteellisen paljon harkintamarginaalia arvioida sitä, kuinka laajasti ja mitä erityisiin henkilötietoryhmiin kuuluvia tietoja rekisterinpitäjä voi käsitellä. Ehdotuksen tarkoituksena on ei ole lähtökohtaisesti muuttaa nykytilaa, vaan selventää säännöksessä perustuslakivaliokunnan lausuntokäytännöstä ja unionin oikeudesta aiheutuvat reunaehdot, joiden mukaan pykälässä tarkoitettujen tietojen käsittely tulisi rajata välttämättömään. 

Tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta edellyttää, että alakohdassa tarkoitettu käsittely on tarpeen tärkeää etua koskevan tehtävän suorittamiseksi ja että jäsenvaltion lainsäädäntö on oikeasuhteinen tavoitteeseen nähden. Alakohta edellyttää edelleen, että lainsäädännössä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan ja siinä säädetään asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. Perustuslakivaliokunnan lausuntokäytännön (PeVL 14/2018 vp) mukaan arkaluonteisten henkilötietojen käsittely on rajattava välttämättömään. Myös unionin tuomioistuin on tarpeellisuutta koskevan velvollisuuden osalta edellyttänyt, että henkilötietojen suojaa koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa (ks. asia C-13/16, 30 kohta oikeuskäytäntöviittauksineen ja aiemmin kappaleesta 2.4.2). 

Käsittelyn sitominen välttämättömyyteen on perusteltua myös sen vuoksi, että sääntely jättäisi rekisterinpitäjille edelleen harkintamarginaalia arvioida, mitä erityisiä henkilötietoryhmiä ja kuinka laajasti sen olisi välttämätöntä käsitellä yleistä etua koskevan tehtävän suorittamiseksi. Välttämättömyyteen sitominen olisi samalla myös tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan edellyttämä suojatoimi. Koska säännöksen nojalla käsiteltäviä tietoja ei ole mahdollista yksilöidä tyhjentävästi, on ehdotetun sääntelyn oikeasuhteisuuden ja välttämättömyyden varmistamiseksi säädettävä välttämättömyyttä koskevasta vaatimuksesta. Edellytys varmistaa osaltaan myös sen, että ehdotusta voidaan pitää EU:n perusoikeuskirjan 52 artiklan 1 kohdan mukaisena. Rekisterinpitäjän tulisi välttämättömyyttä koskevan suojatoimen ohella noudattaa edelleen myös, mitä pykälän 2 momentissa säädetään asetuksen edellyttämistä asianmukaisista ja erityisistä suojatoimista (HE 9/2018 vp). 

Lainkohdan sääntely ja siihen nyt ehdotettavat muutokset perustuvat tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sisältämään sääntelyliikkumavaraan. Lainkohtaan ehdotettavilla täsmennyksillä varmistettaisiin, että kohdan sääntely täyttää tietosuoja-asetuksen edellytykset sääntelyn yleisen edun mukaisuudesta ja oikeasuhteisuudesta ja sisältää asianmukaiset ja erityiset toimenpiteet rekisteröidyn perusoikeuksien ja etujen suojaamiseksi. 

Edellä esiin tuotu vakuutussopimuslain ja tietosuoja-asetuksen sääntely sekä käsiteltävien tietojen arkaluonteisuus huomioiden vakuutuslaitoksen tulisi käsitellä kohdassa tarkoitettuja terveydentilatietoja vain siltä osin ja siinä laajuudessa, kuin se on välttämätöntä vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Pykälään ehdotetaan tältä osin lisättäväksi uusi 3 momentti, jossa säädettäisiin 1 momentin 1 kohdassa tarkoitettuun vakuutuslaitosten terveydentilatietojen käsittelyyn sovellettavista täydentävistä asianmukaisista ja erityisistä suojatoimista. Ehdotettu uusi momentti perustuisi tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohtaan, jossa edellytetään jäsenvaltioiden säätävän asianmukaisista ja riittävistä suojatoimista. Uudessa 3 momentissa ehdotettavat suojatoimet täydentäisivät, mitä voimassa olevan pykälän 2 momentissa säädetään asianmukaisista ja erityisistä suojatoimenpiteistä, joita rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava käsitellessään henkilötietoja pykälän 1 momentissa tarkoitetuissa tilanteissa. Vakuutuslaitoksen tulisi siten jatkossakin huolehtia myös pykälän 2 momentissa säädetyistä suojatoimista. 

Ehdotettavan uuden 3 momentinensimmäisen virkkeen mukaan, vakuutuslaitoksen tulisi kerätä 1 momentin 1 kohdassa tarkoitetut tiedot ensi sijassa kohdassa tarkoitetulta henkilöltä itseltään ja tapauskohtaisesti arvioitava, mikäli tietojen kerääminen muualta kuin kohdassa tarkoitetulta henkilöltä olisi välttämätöntä. Ehdotettu säännös ei siten estäisi vakuutuslaitoksia keräämästä tietoja muualta kuin kohdassa tarkoitetulta henkilöltä itseltään, mutta edellyttäisi tältä osin tapauskohtaista harkintaa ja välttämättömyyttä. Säännöksellä ei olisi vaikutusta muuhun lainsäädäntöön, esimerkiksi mitä säädetään vakuutuslaitosten oikeudesta saada tietoja, vaan kyse on erillisestä suojatoimesta, jolla varmistetaan tietosuoja-asetuksen yleisten käsittelyperiaatteiden toteutumista. Tietojen minimoinnin, läpinäkyvyyden ja kohtuullisuuden periaatteen toteutumiseksi olisi kuitenkin välttämätöntä varmistaa, että vakuutuslaitos arvioi kussakin yksittäistapauksessa erikseen, olisiko terveydentilaa koskevia tietoja välttämätöntä kerätä 1 momentin 1 kohdassa tarkoitetun henkilön lisäksi myös muualta vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Kyseinen välttämättömyysarviointi tulisi tehdä erikseen ennen vakuutuksen myöntämistä ja vakuutuksen myöntämisen jälkeen. 

Tietojen kerääminen ensi sijassa henkilöltä itseltään vastaisi vakuutuslaitosten nykyisiä käytäntöjä, sillä vakiintuneena käytäntönä on esimerkiksi vakuutuksen hakemisvaiheessa pyytää terveydentilaa koskevia tietoja suoraan henkilöltä itseltään terveysselvityksellä. Terveysselvityksessä kysytään muun muassa vakuutuksenhakijan tai sen henkilön, jolle vakuutussuojaa haetaan, sairauksista, oireista, lääkityksistä, vammoista ja elintavoista. Selvityksessä määritellään usein myös ajanjakso, jolta tietoja kysytään. Vakuutuslaitos voi terveysselvityksen avulla arvioida, mikäli sillä olisi välttämätön tarve saada terveydentilatietoja laajemmin vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Tältä osin sen tulisi esimerkiksi arvioida, voidaanko tiedot saada suoraan vakuutussuojaa hakevalta laajemmalla terveysselvityksellä tai muulla selvityksellä vai olisiko tietoja välttämätöntä kerätä myös muualta. Vastaava arviointi tulisi tehdä myös vakuutuksen myöntämisen jälkeen, esimerkiksi yksittäisen korvausasian ratkaisemisen yhteydessä. Myös tältä osin käytäntönä on, että vakuutettu tai korvauksenhakija toimittaa ilmoituksen ja selvityksen vakuutustapahtumasta sekä sitä koskevista terveydentilaa koskevista tiedoista. Vakuutuslaitoksen tulisi tämän selvityksen perusteella arvioida, mikäli terveydentilatietojen kerääminen muualta kuin korvauksenhakijalta tai vakuutetulta itseltään on välttämätöntä. Tietojen kerääminen tulisi toteuttaa siten, että niissä yksilöidään ja rajataan pyynnöt koskemaan vain käsillä olevaa asiaa ja vain siltä osin kuin tiedoilla on tosiasiallista merkitystä vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. 

Ehdotettu vastaisi myös tietosuojavaltuutetun sekä hallinto-oikeuden ja korkeimman hallinto-oikeuden ratkaisukäytäntöä. Tietosuojavaltuutettu on ratkaisukäytännössään (TSV 8.6.2022, diaarinumero 7285/183/18) kiinnittänyt huomiota siihen, miten rekisterinpitäjän tulisi yksilöidä ja rajata terveydentietoja koskevia pyyntöjään silloin, kun tietoja kerätään muualta kuin rekisteröidyltä itseltään. Silloin kun terveydentilatietojen kerääminen muualta kuin rekisteröidyltä arvioidaan välttämättömäksi, vakuutuslaitoksen tulisi yksilöidä ja rajata kyseiset tietopyynnöt koskemaan tiettyä asiaa, tapausta, sairautta tai oiretta, jolla on tosiasiallista merkitystä rekisterinpitäjän vastuun arvioimisessa. Vakuutuslaitoksen tulisi myös arvioida, miltä ajanjaksolta rekisteröidyn terveydentilatietojen pyytäminen terveydenhuollon yksiköstä olisi välttämätöntä rekisterinpitäjän vastuun arvioimiseksi tai selvittämiseksi sekä tämän perusteella rajata, miltä ajanjaksolta rekisteröidyn terveydentilatietoja pyydetään terveydenhuollon yksiköstä. Vakuutuslaitoksen tulee pystyä osoittamaan, että se pyytää terveydenhuollon yksiköstä vain sellaisia rekisteröidyn terveydentilatietoja, jotka ovat välttämättömiä sen vastuun arvioimiseksi tai selvittämiseksi. Käsiteltäessä henkilötietoja ehdotetun lainkohdan nojalla, tulisivat myös rekisteröidyn tietosuoja-asetuksen mukaiset oikeudet sovellettavaksi käsittelyyn. Helsingin hallinto-oikeus (päätös 117/2024, diaarinumero 3457/03.04.04.04.01/2022 sekä päätös 116/2024, diaarinumero 3463/03.04.04.04.01/2022) on katsonut tietosuojavaltuutetun tavoin, että rekisterinpitäjän on vakuutussopimuslain ja tietosuoja-asetuksen säännösten nojalla tehtävä ajanjaksoa koskeva arviointi sen lisäksi, että rekisterinpitäjä yksilöi terveydenhuollon yksikölle esitettävän pyynnön koskemaan tiettyä asiaa, tapausta, sairautta tai oiretta, jolla on tosiasiallista merkitystä rekisterinpitäjän vastuun arvioimisessa. 

Myös korkein hallinto-oikeus on arvioinut tietopyyntöjen välttämättömyyttä ja tarvetta kyseisten pyyntöjen yksilöintiin liikennevakuutuksia koskevan korvausasian ratkaisemista varten (KHO:2025:23). Tapauksessa arvioitiin liikennevakuutuslain (460/2016) 82 §:ssä vakuutusyhtiölle säädettyä tiedonsaantioikeutta, huomioiden myös tietosuoja-asetuksen yleisiä käsittelyperiaatteita. Korkeimman hallinto-oikeuden mukaan sekä potilastietoja pyydettäessä että niitä luovutettaessa on noudatettava tietosuoja-asetuksen henkilötietojen käsittelyä koskevia periaatteita ja liikennevakuutuslain tietojen välttämättömyyttä koskevaa vaatimusta. Tämä edellyttää liikennevakuutuslain esitöiden sekä unionin tuomioistuimen oikeuskäytännön ja perustuslakivaliokunnan lausuntokäytännön mukaan sitä, että tietopyyntö on perusteltava ja sen on oltava mahdollisimman yksilöity ja selvä, jotta myös tietoja luovuttava taho voi arvioida, täyttyvätkö tietojen luovuttamisen tietosuoja-asetuksessa ja liikennevakuutuslaissa säädetyt edellytykset. 

Ehdotetun uuden 3 momentin toisessa virkkeessä säädettäisiin 1 momentin 1 kohdassa tarkoitettujen tietojen poistamisesta. Kyseiset tiedot tulisi poistaa välittömästi sen jälkeen, kun tietoja ei tarvita vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa säädetään säilytyksen rajoittamisen periaatteesta, jonka mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Perustuslakivaliokunnan mielestä arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on edelleen syytä arvioida myös aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta (PeVL 14/2018 vp ja PeVL 15/2018 vp). Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (PeVL 15/2018 vp). Perustuslakivaliokunta on varhaiskasvatusta koskevien tietovarantojen osalta lausunnossaan PeVL 17/2018 vp edellyttänyt, että terveydentilatietojen ja muiden arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn on oltava tietosuoja-asetuksen mahdollistamisissa puitteissa yksityiskohtaista ja kattavaa. Huomioiden vakuutustoiminnan luonne, ei vakuutuslaitoksen vastuun arvioinnin ja selvittämisen kannalta ole mahdollista säätää nimenomaisesta säilytys- tai poistoajasta. Huomioiden tietosuoja-asetuksen säilytyksen rajoittamisen periaate ja perustuslakivaliokunnan lausuntokäytäntö, tietojen poistamisesta olisi kuitenkin tarpeellista säätää nimenomaisesti ja rajata säilyttäminen välttämättömään. 

Ehdotettavanuuden 3 momentinkolmannen virkkeen mukaan 1 momentin 1 kohdassa tarkoitettuja terveydentilatietoja ei saisi käsitellä muuhun kuin kohdassa säädettyyn tarkoitukseen, jollei muualla toisin säädetä. Säännöksen tarkoituksena olisi varmistaa, että 1 momentin 1 kohdassa tarkoitettu käsittely rajataan koskemaan ainoastaan vakuutuslaitoksen vastuun arviointia tai selvittämistä. Näin ollen, mikäli vakuutuslaitos käsittelisi 1 momentin 1 kohdassa tarkoitettuja terveydentilatietoja muihin tarkoituksiin, kyseinen käsittely olisi mahdollista ainoastaan, jos siitä olisi säädetty muualla lainsäädännössä. 

Ehdotettu säännös olisi tarpeellinen, jotta varmistetaan, että tietosuojalain vakuutuslaitoksia koskeva sääntely olisi tietosuoja-asetuksen mukaista – huomioiden tietosuoja-asetuksen 9 artiklan reunaehtojen ohella erityisesti asetuksen 5 artiklan 1 kohdan b alakohdan käyttötarkoitussidonnaisuuden periaate. Kyseisen periaatteen mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Ehdotettu sääntely ei kuitenkaan estäisi sitä, että vakuutuslaitokset voisivat käsitellä kohdassa tietosuoja-asetuksen 9 artiklan 1 kohdan tarkoittamia terveydentilaa koskevia tietoja myös muihin tarkoituksiin, mikäli tällaisesta käsittelystä on säädetty muualla lainsäädännössä tietosuoja-asetuksessa säädettyjen reunaehtojen mukaisesti. 

Ehdotettavan uuden 3 momentin neljännen virkkeen mukaan vakuutuslaitoksen olisi lisäksi ilmoitettava vakuutetulle, korvauksenhakijalle, vakuutuksenhakijalle sekä sille henkilölle, jolle vakuutussuojaa haetaan, tietojen käytöstä, jos vakuutushakemuksen epääminen, vakuutuskorvauksen epääminen taikka muu kielteinen päätös johtuu asetuksen 9 artiklassa tarkoitettujen tietojen käsittelystä. Säännöksen tarkoituksena olisi varmistaa, että rekisteröity on tietoinen siitä, mikäli 1 momentin 1 kohdassa tarkoitetulla käsittelyllä voi olla kielteisiä vaikutuksia vakuutetulle, korvauksenhakijalle, vakuutuksenhakijalle sekä sille henkilölle, jolle vakuutussuojaa haetaan. 

Rekisteröidyn informointiin sovelletaan lisäksi, mitä tietosuoja-asetuksen 13 ja 14 artiklassa säädetään. Rekisterinpitäjän on muun muassa ilmoitettava tietosuoja-asetuksen 14 artiklan 2 kohdan f alakohdan mukaisesti rekisteröidylle, mistä rekisteröidyn henkilötiedot on saatu. Esimerkiksi kerätessä tietoja muualta kuin 6 §:n 1 momentin 1 kohdassa tarkoitetulta henkilöltä vakuutuslaitoksen tulee ilmoittaa henkilölle, mistä terveydenhuollon yksiköistä vakuutuslaitos on saanut tiedot kussakin yksittäistapauksessa. 

Pykälän 1 momentin 1 kohtaan ehdotetun välttämättömyysedellytyksen, olemassa olevan pykälän 2 momentin sekä uuteen 3 momenttiin ehdotettujen suojatoimien arvioidaan yhdessä muun vakuutuslainsäädännön kanssa muodostavan tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdassa edellyttämät asianmukaiset ja riittävät suojatoimet. Välttämättömyyttä, tietojen keräämistä, tietojen poistamista, henkilön informointia sekä käyttötarkoitusta koskevien erityisten suojatoimien arvioidaan varmistavan myös sen, että puuttuminen henkilötietojen suojaan toteutetaan täysin välttämättömän rajoissa ja että tietosuojalaissa säädetään unionin tuomioistuimen edellyttämällä tavalla riittävän täsmällisesti rajoituksista henkilötietojen suojaan (ks. esimerkiksi C-439/19, 110 kohta oikeuskäytäntöviittauksineen). Ehdotuksen arvioidaan tältä osin täyttävän tietosuoja-asetuksen edellytykset sääntelyn yleisen edun mukaisuudesta sekä oikeasuhteisuudesta sekä EU:n perusoikeuskirjan 52 artiklan 1 kohdan edellytykset rajoitusten oikeasuhteisuudesta ja välttämättömyydestä. 

7 §. Rikostuomioihin ja rikoksiin liittyvä käsittely. Pykälässä säädetään rikostuomioihin ja rikoksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittelystä. Pykälän sääntely perustuu tietosuoja-asetuksen 10 artiklan sisältämään kansalliseen liikkumavaraan. Kyseisen artiklan tarkoittamien tietojen käsittely voidaan sallia unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Tällaiselle käsittelylle tulee olla 6 artiklan 1 kohdassa tarkoitettu käsittelyn oikeusperuste. 

Voimassa olevassa pykälässä säädetään oikeudesta käsitellä 10 artiklassa tarkoitettuja tietoja, jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi. Pykälässä säädetään niin ikään oikeudesta käsitellä pykälän tarkoittamia tietoja tietosuojalain 6 §:n 1 momentin 1, 2 ja 7 kohdassa säädetyssä tarkoituksessa. 

Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että pykälän viittaussäännöksistä lain 6 §:n 1 momentin 1, 2 ja 7 kohtiin luovuttaisiin ja pykälän 1 momenttiin lisättäisiin omat, erilliset kohdat kunkin käsittelytilanteen osalta. Kyse olisi tältä osin teknisestä muutoksesta. 

Pykälän 1 momentin 2 kohtaa ehdotetaan muutettavaksi siten, että 2 kohdassa säädettäisiin vakuutuslaitoksen oikeudesta käsitellä asetuksen 10 artiklassa tarkoitettuja tietoja, jos käsittely on välttämätöntä vakuutuslaitoksen käsitellessä vakuutustoiminnassa saatuja tietoja vakuutetusta, korvauksenhakijasta, vakuutuksenhakijasta sekä siitä henkilöstä, jolle vakuutussuojaa haetaan vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Lainkohtaan ehdotettaisiin näin ollen tehtäväksi vastaavat muutokset kuin lain 6 §:n 1 momentin 1 kohtaan. Esityksessä laajennettaisiin vakuutuslaitoksen oikeutta käsitellä vakuutetun ja korvauksenhakijan ohella myös vakuutuksenhakijan sekä sen henkilön, jolle vakuutussuojaa haetaan, rikostuomioihin ja rikoksiin liittyviä henkilötietoja. 

Vastaavalla tavalla kuin terveydentilatietojen osalta, vakuutuslaitoksilla on tarve käsitellä tietosuoja-asetuksen 10 artiklan tarkoittamia tietoja ennen ja jälkeen vakuutussopimuksen tekemisen vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Tarve koskee sekä lakisääteisiä että vapaaehtoisia vakuutuksia. Lakisääteisten vakuutusten osalta tarve koskee muun muassa liikennevakuutuksia ja työtapaturma- ja ammattivakuutuksia. Esimerkiksi liikennevahinkojen korvauskäsittelyn yhteydessä vakuutusyhtiön on liikennevakuutuslakiin perustuen ratkaistava yhteenajovahingossa, minkä ajoneuvon vakuutuksesta vahingot maksetaan eli kumman kuljettajan tuottamuksesta vahinko on aiheutunut. Liikennevahinkojen korvauskäsittelyn yhteydessä vakuutusyhtiöön kertyy tämän vuoksi tietoja liikennerikoksista. Vastaavasti rikostietoja saadaan korvauskäsittelyn yhteydessä muissakin vakuutuslajeissa. Vapaaehtoisten vakuutusten osalta vakuutuslaitoksilla voi olla tarve käsitellä kyseisiä tietoja muun muassa palo-, koti-, yritys-, kiinteistö-, maatila-, rikos- ja oikeusturvavakuutusten myöntämistä tai niitä koskevien korvausasioiden selvittämistä varten. Vapaaehtoisten vakuutusten osalta tarve käsitellä 10 artiklan tietoja tarve liittyy tyypillisesti korvausten hakemiseen, mutta tarve käsitellä kyseisiä tietoja voi olla tapauskohtaisesti kuitenkin jo vakuutusta/vakuutusturvaa haettaessa. Esimerkiksi rikosvakuutukset on otettu nimenomaan rikoksen varalle. Tällaisissa tapauksissa, mikäli vahinko aiheutuu rikoksesta, jonka varalle vakuutus on otettu, pykälässä tarkoitettua tietoa olisi välttämätön käsitellä vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Vastuuvakuutusvahinkojen osalta, tarve käsitellä asetuksen 10 artiklan tietoja liittyy muun muassa työsuojelumääräysten laiminlyöntitapauksiin. Kaikissa näissä tilanteissa rikostuomioihin ja rikoksiin liittyviä tietoja käsitellään tavanomaisena osana vakuutusyhtiöiden korvaustoimintaa. Rikostiedot kertyvät osaksi kunkin vahinkotapahtuman tausta-aineistoa eli osaksi korvaustoiminnan rekisteriä. 

Lainkohdassa täsmennettäisiin, että käsittely tulisi rajata vakuutuslaitoksen vastuun arvioimisen tai selvittämisen kannalta välttämättömään. Välttämättömyyteen sitominen perustuisi perustuslakivaliokunnan lausuntokäytäntöön (PeVL 14/2018 vp) ja unionin tuomioistuimen oikeuskäytäntöön (ks. tarkemmin kappaleesta 4.2.4). Välttämättömyyteen sitominen olisi edelleen myös tietosuoja-asetuksen 10 artiklan edellyttämä suojatoimi. Välttämättömyyteen sitomisella varmistettaisiin lisäksi, että kansallinen sääntely on tietosuoja-asetuksen edellyttämällä tavalla oikeasuhteista tavoitteeseen nähden. Vakuutuslaitosten tulee nykyisen pykälän 2 momentin mukaan huolehtia 2 momentissa säädetyistä asianmukaisista ja riittävistä toimenpiteistä rekisteröidyn oikeuksien suojaamiseksi. Kyseisessä momentissa on viittaussäännös tietosuojalain 6 §:n 2 momenttiin. Huomioiden rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittelystä aiheutuvat riskit, esityksessä ehdotetaan myös muita täydentäviä suojatoimia, joista ehdotetaan säädettävän uudessa 3 momentissa. 

Pykälän 1 momenttiin lisättäisiin uusi 3 kohta, jonka mukaan pykälässä tarkoitettuja tietoja voitaisiin käsitellä, jos käsittelystä säädetään laissa tai käsittely on välttämätöntä rekisterinpitäjälle laissa säädetyn yleistä etua koskevan tehtävän suorittamiseksi. Lainkohta vastaisi pitkälti voimassa olevaa 1 momentin 2 kohtaa, jossa on viittaus lain 6 §:n 1 momentin 2 kohtaan. 

Vastaavasti kuin 6 §:n 1 momentin 2 kohta, voimassa oleva 7 §:n 1 momentin 2 kohta sallii rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittelyn silloin, kun rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittelystä säädetään erikseen laissa. Esityksellä ei ehdoteta tältä osin muutoksia. Voimassa oleva lainkohta sallii käsittelyn lisäksi tilanteessa, jossa rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Voimassa olevaa sääntelyä ehdotetaan täsmennettävän vastaavasti kuin edellä 6 §:n 1 momentin 2 kohtaa, huomioiden nykyiseen muotoiluun ja käsitteisiin liittyvät tulkintaepäselvyydet sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sanamuoto. Ehdotetun uuden 3 kohdan mukaan rikostuomioihin ja rikoksiin liittyviä henkilötietoja voitaisiin jatkossa käsitellä, jos kyseisestä käsittelystä olisi säädetty nimenomaisesti laissa tai jos kyseinen käsittely olisi välttämätöntä rekisterinpitäjälle laissa säädetyn yleistä etua koskevan tehtävän suorittamiseksi. Yleistä etua koskevia tehtäviä on avattu tarkemmin kappaleessa 2.4.2. 

Vastaavasti kuin edellä 6 §:n 1 momentin 2 kohta, myös rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely ehdotetaan sidottavaksi uudessa 3 kohdassa välttämättömyyteen. Välttämättömyyteen sitominen olisi perusteltua ennen muuta siitä syystä, että nykyinen lainkohdassa tarkoitettu käsittely jättää rekisterinpitäjälle kohtuullisen paljon harkintamarginaalia arvioida sitä, mitä (ja kuinka laajasti) pykälässä tarkoitettuja tietoja voitaisiin käsitellä rekisterinpitäjälle välittömästi laissa säädetyn tehtävän suorittamiseksi. Perustuslakivaliokunnan lausuntokäytännön mukaan pykälässä tarkoitetut tiedot ovat luonteeltaan myös arkaluonteisia. Ehdotettu rajaus välttämättömyyteen perustuisi siten myös edellä viitattuun perustuslakivaliokunnan arkaluonteisten henkilötietojen käsittelyä koskevaan lausuntokäytäntöön (PeVL 14/2018 vp) ja unionin tuomioistuimen oikeuskäytäntöön (ks. tarkemmin kappaleesta 4.2.4). Välttämättömyyden arviointi edellyttäisi rekisterinpitäjältä tapauskohtaista arviointia sen varmistamiseksi, että pykälässä tarkoitettuja tietoja käsiteltäisiin vain siltä osin ja siinä laajuudessa kuin se on välttämätöntä kussakin yksittäisessä käsittelytilanteessa. 

Välttämättömyysedellytys olisi samalla myös tietosuoja-asetuksen 10 artiklan edellyttämä suojatoimi ja varmistaisi osaltaan myös sen, että tietosuojalain sääntely on asetuksen edellyttämällä tavalla oikeasuhteista. Rekisterinpitäjän tulisi jatkossa noudattaa lainkohtaan ehdotettavan välttämättömyysedellytyksen lisäksi myös pykälän 2 momentissa säädettyjä suojatoimia. Käsiteltäessä henkilötietoja ehdotetun lainkohdan nojalla tulisivat myös tietosuoja-asetuksen mukaiset rekisteröidyn oikeudet sovellettavaksi käsittelyyn. 

Pykälän 1 momenttiinehdotetaan lisättäväksi uusi 4 kohta, jonka mukaan pykälässä tarkoitettuja tietoja saisi käsitellä, jos käsittely on tarpeen tieteellistä tai historiallista tutkimusta taikka tilastointia varten tehtävään tietojen käsittelyyn. Lainkohdan sääntely vastaisi voimassa olevan pykälän 1 momentin 2 kohdan viittausta tietosuojalain 6 §:n 1 momentin 7 kohtaan. Lainkohdassa kuitenkin täsmennettäisiin, että käsittelyn tulee olla tarpeen tieteellistä tai historiallista tutkimusta tai tilastointia varten. Ehdotettu täsmennys olisi tarpeen, jotta varmistetaan, että lainkohdan sääntely on tietosuoja-asetuksen 5 artiklan 1 kohdassa säädettyjä käsittelyn yleisiä periaatteita. Lainkohdan mukaisessa henkilötietojen käsittelyssä tulisi noudattaa pykälän 2 momentissa tarkoitettuja asianmukaisia ja riittäviä suojatoimenpiteitä. 

Pykälään ehdotetaan lisäksi uusi 3 momentti, jossa viitattaisiin lain 6 §:n 3 momenttiin. Ehdotetussa uudessa 6 §:n 3 momentissa säädettäisiin vakuutuslaitosten henkilötietojen käsittelyä koskevista täydentävistä suojatoimenpiteistä. Pykälään ehdotettavan uuden 3 momentin mukaan, mitä 6 §:n 3 momentissa ehdotetaan säädettävän toimenpiteistä vakuutetun, korvauksenhakijan, vakuutuksenhakijan sekä sen henkilön, jolle vakuutussuojaa haetaan, oikeuksien suojaamiseksi, sovellettaisiin myös käsiteltäessä tämän pykälän 1 momentin 2 kohdassa tarkoitettuja henkilötietoja. Vakuutuslaitoksen tulisi siten kerätä tämän pykälän 1 momentin 2 kohdassa tarkoitetut tiedot ensi sijassa kohdassa tarkoitetulta henkilöltä itseltään sekä arvioitava tapauskohtaisesti välttämättömyyttä kerätä tietoja muualta kuin kohdassa tarkoitetulta henkilöltä. Tapauskohtainen välttämättömyysarviointi tulee tehdä erikseen sekä ennen vakuutuksen myöntämistä ja vakuutuksen myöntämisen jälkeen. Tietojen keräämisessä muualta kuin henkilöltä itseltään tulee huomioida ennen muuta edellä esiin tuotu tietosuojavaltuutetun ja hallintotuomioistuinten ratkaisukäytäntö (ks. edeltä tietosuojalain 6 §:n 3 momenttia koskevat yksityiskohtaiset perustelut). 

Vakuutuslaitoksen tulisi poistaa tietosuoja-asetuksen 10 artiklan tarkoittamat tiedot välittömästi sen jälkeen, kun tietoja ei tarvita vakuutuslaitoksen vastuun arvioimiseksi tai selvittämiseksi. Vakuutuslaitos ei saisi myöskään käsitellä kohdassa tarkoitettuja tietoja muuhun kuin kohdassa säädettyyn tarkoitukseen, jollei muualla toisin säädetä. Ehdotettu säännös ei estäisi tietosuoja-asetuksen 10 artiklan tietojen käsittelyä muuhun tarkoitukseen, mutta edellyttäisi, että kyseisestä käsittelystä on säädetty muualla lainsäädännössä. Tietosuoja-asetuksen 10 artiklan mukaan artiklan tarkoittamia tietoja voidaan käsitellä asetuksen 6 artiklan 1 kohdan perusteella viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Esimerkiksi vakuutusyhtiölain (521/2008) 30 luvun 3 a §:ssä (257/2020) säädetään vakuutusyhtiön oikeudesta käsitellä tietoja rikoksista ja rikosepäilyistä ja rekisteröidä tiedot sen harjoittamaan vakuutustoimintaan kohdistuneista rikoksista ja niiden epäilystä ylläpitämäänsä väärinkäytösrekisteriin (ks. HE 87/2019 vp). Esityksessä ehdotettavalla sääntelyllä ei olisi vaikutusta edellä mainittuun vakuutusyhtiölain sääntelyyn. 

Vakuutuslaitoksen olisi lisäksi ilmoitettava vakuutetulle, korvauksenhakijalle, vakuutuksenhakijalle sekä sille henkilölle, jolle vakuutussuojaa haetaan, tietojen käytöstä, jos vakuutushakemuksen epääminen, vakuutuskorvauksen epääminen taikka muu kielteinen päätös johtuu asetuksen 10 artiklassa tarkoitettujen tietojen käsittelystä. Rekisteröidyn informointiin sovelletaan lisäksi, mitä tietosuoja-asetuksen 13 ja 14 artiklassa säädetään. Tietosuoja-asetus muun muassa edellyttää, että rekisterinpitäjä ilmoittaa rekisteröidylle, mistä rekisteröidyn tiedot on saatu (14 artiklan 2 kohdan f alakohta). 

Uudessa 3 momentissa ehdotettavat suojatoimet täydentäisivät, mitä voimassa olevan pykälän 2 momentissa säädetään asianmukaisista ja erityisistä suojatoimenpiteistä, joita rekisterinpitäjän tai henkilötietojen käsittelijän on toteutettava. Vakuutuslaitoksen tulisi siten jatkossa huolehtia sekä pykälän 2 momentissa ja 3 momentissa säädetyistä suojatoimista. 

Pykälän sääntely ja siihen nyt ehdotettavat muutokset perustuvat tietosuoja-asetuksen 10 artiklan sisältämään sääntelyliikkumavaraan. Pykälään ehdotettavilla muutoksilla varmistettaisiin, että sen sääntely täyttää tietosuoja-asetuksen edellytykset sääntelyn yleisen edun mukaisuudesta ja oikeasuhteisuudesta ja sisältää asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Vakuutuslaitosten osalta pykälän 1 momentin 2 kohtaan ehdotetun välttämättömyysedellytyksen, olemassa olevan pykälän 2 momentin sekä uuteen 3 momenttiin ehdotettujen suojatoimien arvioidaan yhdessä muun vakuutuslainsäädännön kanssa muodostavan tietosuoja-asetuksen 10 artiklan edellyttämät asianmukaiset ja riittävät suojatoimet. Ehdotuksen arvioidaan muiltakin osin täyttävän tietosuoja-asetuksen edellytykset yleisen edun mukaisuudesta sekä oikeasuhteisuudesta sekä varmistavan, että puuttuminen henkilötietojen suojaan toteutetaan EU:n perusoikeuskirjan 52 artiklan 1 kohdan edellyttämällä tavalla täysin välttämättömän rajoissa. 

14 §. Tietosuojavaltuutetun tehtävät ja toimivaltuudet. Pykälässä säädetään tietosuojavaltuutetun tehtävistä ja toimivaltuuksista. Pykälän 4 momentin mukaan tietosuojavaltuutettu akkreditoi tietosuoja-asetuksen 43 artiklassa tarkoitetun sertifiointielimen. Esityksessä ehdotetaan, että sertifiointielimen akkreditoinnin myöntäisi jatkossa kansallinen akkreditointielin. Näin ollen pykälän 4 momentti ehdotetaan kumottavaksi. Sertifiointielimen akkreditoinnista ehdotetaan säädettäväksi uudessa 36 a §:ssä. 

36 a §. Sertifiointielimen akkreditointi. Tietosuojalakiin ehdotetaan uutta pykälää, jossa säädettäisiin kansallisen akkreditointielimen suorittamasta akkreditoinnista. Jäsenvaltiot voivat tietosuoja-asetuksen 43 artiklan 1 kohdan mukaan säätää siitä, että akkreditointiasetuksessa tarkoitettu kansallinen akkreditointielin akkreditoi sertifiointielimen noudattaen EN-ISO/IEC 17065/2012-standardia ja toimivaltaisen valvontaviranomaisen vahvistamia lisävaatimuksia. 

Ehdotetun uuden pykälän 1momentin mukaan akkreditoinnin myöntäisi jatkossa kansallinen akkreditointielin. Turvallisuus- ja kemikaalivirastosta annetun lain (1261/2010) 2 a §:n 1 momentin mukaan akkreditointijärjestelmään liittyvistä tehtävistä huolehtii kansallisena akkreditointielimenä Turvallisuus- ja kemikaaliviraston akkreditointiyksikkö (FINAS-akkreditointipalvelu). FINAS-akkreditointipalvelu on akkreditointiasetuksen mukaisesti nimetty kansallinen akkreditointielin, joten momentissa tarkoitettu kansallinen akkreditointielin viittaisi yksiselitteisesti FINAS-akkreditointipalveluun (jäljempänä FINAS). Uuden ehdotetun tietosuojalain 36 a §:n myötä nykyinen 14 §:n 4 momentti kumottaisiin. 

Ehdotetun pykälän 2 momentin ensimmäisen virkkeen mukaan akkreditoinnissa teknisenä asiantuntijana toimisi ensisijaisesti tietosuojavaltuutettu ja toissijaisesti kansallisen akkreditointielimen nimeämä asiantuntija. Teknisellä asiantuntijalla tarkoitetaan akkreditointimenettelyyn osallistuvaa arvioijaa, jolla on erityistä asiantuntemusta liittyen arvioinnin kohteena olevaan pätevyysalueeseen, tässä tapauksessa tietosuojaa koskeviin vaatimuksiin. Tietosuojavaltuutetun roolina olisi arvioida tietosuojaa koskevien vaatimusten täyttymistä akkreditointia hakeneen toiminnassa. Ehdotuksen mukainen tehtävänjako tietosuojavaltuutetun ja FINASin välillä olisi tarkoituksenmukainen. Akkreditoinnissa voitaisiin hyödyntää FINASin vakiintuneita menettelytapoja, kokemusta ja asiantuntemusta kansallisena akkreditointielimenä. Tällöin tietosuojavaltuutetun toimistoon ei tarvitsisi perustaa omaa akkreditointiyksikköä eikä ylläpitää kokonaisvaltaista akkreditointimenettelyyn liittyvää erityisosaamista. Tietosuojavaltuutettu voisi keskittyä akkreditoinnissa tietosuojaa koskevan teknisen asiantuntijan rooliin. FINAS ja tietosuojavaltuutettu sopivat kirjallisesti tarkemmin käytännön menettelytavoista ja yhteistyöstä. Yhdessä sovitaan esimerkiksi teknisen asiantuntijan nimeämiselle varattavasta ajasta. 

Tietosuojavaltuutettu osallistuisi akkreditointimenettelyyn puolueettomana teknisenä asiantuntijana ja osoittaisi tähän tarvittavat henkilöresurssit. Tietosuojavaltuutetulla olisi edelleen rooli tietosuojan valvontaviranomaisena, eikä ehdotettu uusi 36 a § rajoittaisi tietosuojavaltuutetun tietosuoja-asetuksessa, tietosuojalaissa eikä henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetussa laissa (1054/2018) säädettyjä toimivaltuuksia. 

Pykälän 2 momentin toisessa virkkeessä ehdotetaan säädettäväksi lausuntomenettelystä, jota noudatettaisiin, jos tietosuojavaltuutetun sijasta akkreditointimenettelyssä toimisi teknisenä asiantuntijana FINASin nimeämä asiantuntija. Tällöin FINASin tulisi ennen akkreditoinnin myöntämistä varata tietosuojavaltuutetulle tilaisuus lausua tietosuoja-asetuksen 43 artiklan 2 ja 3 kohdassa tarkoitettujen, tietosuojaa koskevien edellytysten täyttymisestä. Olisi tarkoituksenmukaista, että tietosuojavaltuutettu lausuisi tällöin tietosuoja-asetuksessa säädettyjen edellytysten täyttymisestä vain tietosuojaa koskevilta osin. FINAS arvioisi puolestaan yleisempien, esimerkiksi johtamisjärjestelmää koskevien vaatimusten täyttymisen. Sääntelyn tarkoituksena olisi varmistaa akkreditointia hakeneiden yhdenvertainen kohtelu myös tilanteissa, joissa tietosuojavaltuutetulla ei olisi resurssisyistä mahdollisuutta toimia akkreditointimenettelyssä teknisenä asiantuntijana. Teknisenä arvioijana toimisi kuitenkin 2 momentin 1 virkkeen mukaisesti ensisijaisesti tietosuojavaltuutetun edustaja. 

Akkreditointielimien vaatimusstandardi ISO/IEC 17011:2017 edellyttää akkreditointielimen nimeävän akkreditointimenettelyä varten arviointiryhmän, jossa on pääarvioija ja tarvittava määrä teknisiä arvioijia tai teknisiä asiantuntijoita taikka molempia. FINASilla on standardin edellyttämällä tavalla dokumentoidut menettelyt arviointi- ja akkreditointitoimintaan osallistuvien henkilöiden pätevyysvaatimusten ja suoritusarvioinnin dokumentoimiseksi. FINASin pääarvioijat ovat virkamiehiä ja toimivat virkavastuulla. ISO/IEC 17011:2017-standardi ei kuitenkaan edellytä, että teknisten arvioijien ja teknisten asiantuntijoiden tulisi olla kansallisen akkreditointielimen palveluksessa olevia henkilöitä. FINAS voi siis käyttää tietosuoja-asetuksessa tarkoitetun akkreditoinnin edellytysten arvioinnissa myös ulkopuolisia asiantuntijoita, jotka ovat esteettömiä, ja joilla on tehtävää varten riittävä pätevyys sekä riittävät tiedot ja taidot. FINAS tekee päätöksen asiantuntijoiden soveltuvuudesta, ja asiantuntijat sitoutuvat lisäksi sopimusteitse noudattamaan hallintolain (434/2003) vaatimuksia sekä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) säädettyä salassapito- ja vaitiolovelvollisuutta sekä hyödyntämiskieltoa. 

Muilta osin akkreditointimenettelyssä sovellettaisiin, mitä tietosuoja-asetuksessa, akkreditointiasetuksessa ja -laissa sekä hallintolaissa säädetään hallintomenettelystä, akkreditoinnin edellytyksistä sekä akkreditointiin liittyvästä seurannasta, seuraamuksista ja muutoksenhausta. 

Ehdotetun 3 momentin mukaan kansallinen akkreditointielin määräisi ja perisi valtiolle maksun akkreditoinnista aiheutuneista kustannuksista. Kansallisen akkreditointielimen tulee akkreditointiasetuksen ja ISO/IEC 17011 -standardin mukaisesti olla emo-organisaatiostaan itsenäinen ja riippumaton yksikkö, mikä koskee myös maksujen määräämistä. Akkreditointihakemuksen käsittelyn edellyttämän asiantuntijatyön hinta määräytyisi kulloinkin voimassa olevien Turvallisuus- ja kemikaaliviraston ja tietosuojavaltuutetun toimiston maksullisia suoritteita koskevien asetusten perusteella. FINAS tilittäisi tietosuojavaltuutetulle korvauksen akkreditointimenettelyyn osallistuneiden teknisten asiantuntijoiden työn kustannuksista ja mahdollisista matka- tai muista kustannuksista, kuten päivärahoista. 

7.2  Asunto-osakeyhtiölaki

2 lukuOsakkeet 

15 §. Osakeluettelon julkisuus. Pykälässä säädetään jokaisen oikeudesta tutustua osakeluetteloon ja saada jäljennös osakeluettelosta tai sen osasta. Pykälän 4 momentin mukaan Maanmittauslaitos saa luovuttaa osakeluetteloon merkityt tiedot teknisen käyttöyhteyden avulla osakkeenomistajalle. Pykälän 4 momenttia ehdotetaan muutettavaksi siten, että teknisen käyttöyhteyden käsite korvattaisiin tiedonhallintalain mukaisella käsitteellä katseluyhteys. Ehdotuksen tarkoituksena on varmistaa, että osakeluettelon tiedot voitaisiin luovuttaa jatkossakin osakkeenomistajalle katseluyhteyden avulla. 

7.3  Haastemieslaki

4 a §. Yhteydenottotietojen saaminen. Pykälässä säädetään haastemiehen ja tiedoksiannon suorittamiseen oikeutetun oikeudesta saada maksutta ja salassapitosäännösten estämättä yhteydenottotietoja. Pykälän 2 momentissa säädetään tiedonluovutustavoista. Pykälän 2 momentin ensimmäistä virkettä ehdotetaan muutettavaksi siten, että korvattaisiin teknisen käyttöyhteyden ja tietojoukon käsite. Sen sijaan viitattaisiin rajapinnan ja katseluyhteyksien avulla tapahtuvaan tietojen luovuttamiseen. Pykälän 2 momentin ensimmäinen virke olisi tarpeen säilyttää sääntelyn selkeyden vuoksi, huomioiden erityisesti 2 momentin toinen virke, jossa säädetään valtion maksamasta korvauksesta teknisen rajapinnan tai katseluyhteyden perustamisesta ja ylläpidosta aiheutuviin kustannuksiin. Pykälän 2 momentin toista virkettä muutettaisiin siten, että viitattaisiin käyttöyhteyden sijaan tekniseen rajapintaan ja katseluyhteyteen. Pykälän 2 momentin kolmatta virkettä ehdotetaan muutettavaksi siten, että poistetaan maininta tietojoukosta ja teknisestä käyttöyhteydestä. 

7.4  Laki eläintenpitokieltorekisteristä

4 §.Tietojen luovuttaminen rekisteristä teknisen käyttöyhteyden avulla. Pykälässä säädetään eläintenpitorekisteriin tallennettujen tietojen luovuttamisesta. Pykälän 1 momentin 1 ja 4 kohdasta ehdotetaan päivitettäväksi vanhentuneet säädösviittaukset. Eläinsuojelulaki (247/1996) on kumottu, ja tältä osin sovelletaan nykyään lakia eläinten hyvinvoinnista (693/2023). Vastaavasti säädösviittaus maaseutuelinkeinonhallinnon tietojärjestelmästä annettuun lakiin (284/2008) on päivitettävä, sillä nykyään sovelletaan ruokahallinnon tietojärjestelmästä annettua lakia (560/2021). Pykälän 2 momenttia ehdotetaan muutettavaksi siten, että teknisen käyttöyhteyden käsite korvattaisiin tiedonhallintalain mukaisilla käsitteillä tekninen rajapinta ja katseluyhteys. Samalla pykälän otsikkoa ehdotetaan muutettavaksi siten, että poistetaan vanhentunut viittaus tekniseen käyttöyhteyteen. 

7.5  Laki konkurssi- ja yrityssaneerausrekisteristä

9 §.Tietojen julkisuus ja luovuttaminen. Pykälässä säädetään konkurssi- ja yrityssaneerausrekisteriin merkittyjen tietojen julkisuudesta ja tiedonluovutustavoista. Pykälän 2 momenttia ehdotetaan muutettavaksi siten, ettäkorvattaisiin teknisen käyttöyhteyden käsite. Sen sijaan viitattaisiin rajapinnan ja katseluyhteyksien avulla tapahtuvaan tietojen luovuttamiseen. Momentissa mainitussa "muussa massaluovutuksessa" ei ole kyse sellaisesta yleisessä sähköisessä tietoverkossa tehtävästä massahausta, johon perustuslakivaliokunta on lausuntokäytännössään suhtautunut kielteisesti (ks. esimerkiksi PeVL 82/2022 vp, PeVL 2/2018 vp, PeVL 17/2018 vp, PeVL 17/2019 vp). 

10 §. Maksut. Pykälässä säädetään, että rekisterin käyttö yleisessä tietoverkossa ja tietojen toimittaminen viranomaiselle on maksutonta, mutta teknisen käyttöyhteyden tai massaluovutuksen kautta annettavista tiedoista peritään maksu. Pykälän 2momenttia ehdotetaan muutettavaksi siten, että korvattaisiin teknisen käyttöyhteyden käsite. Sen sijaan viitattaisiin rajapinnan ja katseluyhteyksien avulla tapahtuvaan tietojen luovuttamiseen. 

7.6  Laki liiketoimintakiellosta

21 §.Rekisteri. Pykälässä säädetään oikeusrekisterikeskuksen velvollisuudesta pitää yleiseen käyttöön tarkoitettua rekisteriä liiketoimintakiellon julkisuuden toteuttamiseksi sekä kiellon noudattamiseksi ja valvomiseksi. Pykälän 2 momentissa säädetään tiedonluovutustavoista. Momentintoista ja kolmatta virkettä ehdotetaan muutettavaksi siten, että maininnat teknisestä käyttöyhteydestä korvattaisiin tiedonhallintalain mukaisilla teknisen rajapinnan ja katseluyhteyden käsitteillä. 

7.7  Laki velkajärjestelyrekisteristä

8 §.Tietojen julkisuus ja luovuttaminen. Pykälässä säädetään velkajärjestelyrekisterin tietojen julkisuudesta sekä jokaisen oikeudesta saada tietoja ja otteita rekisteristä. Pykälän 3 momentissa säädetään tiedonluovutustavoista. Pykälän 3 momentin ensimmäistä virkettä ehdotetaan muutettavaksi siten, ettäkorvattaisiin teknisen käyttöyhteyden käsite. Sen sijaan viitattaisiin rajapinnan ja katseluyhteyksien avulla tapahtuvaan tietojen luovuttamiseen. Momentissa mainitussa "muussa massaluovutuksessa" ei ole kyse sellaisesta yleisessä sähköisessä tietoverkossa tehtävästä massahausta, johon perustuslakivaliokunta on lausuntokäytännössään suhtautunut kielteisesti (ks. esimerkiksi PeVL 82/2022 vp, PeVL 2/2018 vp, PeVL 17/2018 vp, PeVL 17/2019 vp). Momentin toista virkettä ehdotetaan muutettavaksi siten, että korvattaisiin vanhentunut teknisen käyttöyhteyden käsite teknisen rajapinnan ja katseluyhteyden käsitteillä. 

9 §.Maksut. Pykälässä säädetään velkajärjestelyrekisterin otteiden ja yleisen tietoverkon kautta tapahtuvan velkajärjestelyrekisterin tietojen käytön maksuttomuudesta. Pykälän 2 momenttia ehdotetaan muutettavaksi siten, että korvattaisiin teknisen käyttöyhteyden käsite. Sen sijaan viitattaisiin rajapinnan ja katseluyhteyden avulla tapahtuvaan tietojen luovuttamiseen. 

7.8  Rikosrekisterilaki

4 a §. Pykälässä säädetään asioista, joissa rikosrekisteristä voidaan luovuttaa henkilöä koskevaa tietoa Suomen viranomaiselle. Pykälän 1 momentin 1 kohdasta ehdotetaan päivitettäväksi vanhentunut säädösviittaus. Viittaus kumottuun ulkomaalaislakiin (378/1991) päivitettäisiin vastaamaan nykyisin sovellettavaa ulkomaalaislakia (301/2004). 

5 §. Pykälässä säädetään rikosrekisterin tietojen luovutuksesta rikosrekisterin otteella. Pykälän 2 momenttia ehdotetaan muutettavaksi siten, että korvattaisiin teknisen käyttöyhteyden ja konekielisen muodon käsite. Sen sijaan viitattaisiin teknisen rajapinnan ja katseluyhteyksien avulla tapahtuvaan tietojen luovuttamiseen. 

7.9  Säätiölaki

14 lukuSäätiön valvonta 

8 §.Tietojen saaminen muilta viranomaisilta. Pykälässä säädetään rekisteriviranomaisen oikeudesta pyytää viranomaiselta sekä muulta julkista tehtävää hoitavalta säätiövalvontaa varten välttämättömiä tietoja. Pykälästä poistettaisiin sen viimeinen virke, jossa on erillinen säännös tietojen luovuttamisesta teknisen käyttöyhteyden avulla. Yleiset säännökset tietojen luovuttamisen tavoista sisältyvät tiedonhallintalakiin. 

7.10  Yhdistyslaki

47 §.Yhdistysrekisteri ja rekisterinpitäjä. Pykälässä säädetään rekisterinpitäjästä sekä jokaisen oikeudesta saada tietoja, otteita ja todistuksia yhdistysrekisteristä ja siihen kuuluvista asiakirjoista. Pykälän 2 momenttia ehdotetaan päivitettäväksi vastaamaan julkisuus- ja tiedonhallintalainsäädäntöä. Momenttia ehdotetaan muutettavaksi siten, että sen toisesta virkkeestä poistettaisiin viittaus tulosteeseen, tekniseen käyttöyhteyteen ja muuhun sähköiseen luovuttamiseen luovutustapana, joihin sovelletaan, mitä julkisuuslain 16 §:n 3 momentissa säädetään henkilötietojen luovuttamisesta rekisteristä sekä mitä tiedonhallintalaissa säädetään sähköisistä tiedonluovutustavoista. Momentti olisi kuitenkin tarpeen säilyttää, sillä tiedonhallintalain 24 §:n 2 momentti edellyttää, että tiedon antamisesta muille kuin viranomaisille muussa sähköisessä muodossa ja yleisölle katseluyhteytenä toteutettuna tietopalveluna säädetään erikseen. Muilta osin sähköisistä luovuttamistavoista viranomaisten välillä ja muille kuin viranomaisille säädetään tiedonhallintalain 22–24 §:ssä. Momentti mahdollistaa henkilötietojen hakemisen yleisen sähköisen tietoverkon kautta ainoastaan yksittäisinä hakuina, perustuslakivaliokunnan edellyttämällä tavalla (ks. esimerkiksi PeVL 82/2022 vp, PeVL 2/2018 vp, PeVL 17/2018 vp, PeVL 17/2019 vp). 

7.11  Yrityskiinnityslaki

16 §. Yrityskiinnitysasioiden käsittely ja yrityskiinnitysrekisterin rekisterinpitäjä. Pykälän 1 momenttiin ehdotettaisiin tehtäväksi tekninen muutos, jolla Patentti- ja rekisterihallituksen nimi korjattaisiin alkamaan isolla kirjaimella. Momentin sisältöön ei ehdoteta muutoksia. 

Pykälän 2 momenttiin tehtäisiin tekninen muutos, jotta se vastaisi tietosuoja-asetuksen 4 artiklan 7 kohdan mukaista määritelmää ”rekisterinpitäjä”. Ehdotetun momentin mukaan yrityskiinnitysrekisterin rekisterinpitäjä on Patentti- ja rekisterihallitus. Lisäksi pykälän otsikko muutettaisiin vastaamaan pykälän sisältöä. Rekisterinpitäjästä säätäminen on mahdollista tietosuoja-asetuksen 4 artiklan 7 kohdan sisältämän liikkumavaran mukaisesti. Ehdotettu tekninen muutos olisi sääntelyn selkeyden ja rekisteröidyn oikeusturvan kannalta tarpeen. 

25 §. Yrityskiinnitysrekisteriin tehtävät merkinnät. Pykälässä säädetään yrityskiinnitysrekisterin tietosisällöstä sekä asetuksenantovaltuudesta. Pykälän 1 momentissa säädetään tiedoista, joita yrityskiinnitysrekisteriin merkitään. Pykälän 2 momentin mukaan rekisteriin voidaan merkitä muita tietoja sen mukaan kuin asetuksella säädetään. Pykälän 1 ja 2 momenttiin ei ehdoteta muutoksia. 

Pykälään ehdotetaan lisättäväksi uusi 3 momentti, jossa säädettäisiin yrityskiinnitysrekisteriin merkittävistä henkilötiedoista. Yrityskiinnitysrekisteriin merkittävät tiedot koskevat pääasiallisesti elinkeinonharjoittajia. Rekisterin tiedot voivat kuitenkin sisältää myös henkilötietoja – erityisesti silloin, kun kyse on yksityisestä elinkeinonharjoittajasta, joka on elinkeinotoimintaa harjoittava luonnollinen henkilö. Ehdotetun uuden 3 momentin mukaan rekisteriin merkittäisiin henkilötietoina luonnollisen henkilön nimi, henkilötunnus, kotikunta ja kansalaisuus. Jos henkilöllä ei ole suomalaista henkilötunnusta, merkittäisiin rekisteriin syntymäaika. Ulkomailla asuvista rekisteriin merkittäisiin kotikunnan sijasta kotiosoite. 

Ehdotetun uuden 3 momentin henkilötietojen käsittelyn oikeusperusteena olisi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta (rekisterinpitäjän lakisääteinen velvollisuus). Yrityskiinnityslain 16 §:n mukaan Patentti- ja rekisterihallituksen tehtävänä on pitää yrityskiinnitysrekisteriä ja tehtävä sinne merkintöjä lain 25 §:n mukaisesti. Ehdotettu sääntely perustuisi tietosuoja-asetuksen 6 artiklan 2 ja 3 kohdan sisältämään kansalliseen sääntelyliikkumavaraan. Perustuslain 10 §:n 1 momentin mukaan henkilötietojen suojasta säädetään lailla. Perustuslain 80 §:n 2 momentin mukaan lailla on säädettävä yksilön oikeuksien ja velvollisuuksien perusteista sekä asioista, jotka perustuslain mukaan muuten kuuluvat lain alaan. Edellä mainittu huomioiden katsotaan tarpeelliseksi, että yrityskiinnityslaissa säädetään, mitä henkilötietoja yrityskiinnitysrekisteriin merkitään. Yrityskiinnityslakiin ei merkittäisi tietosuoja-asetuksen 9 tai 10 artiklan tarkoittamia tai muitakaan valtiosääntöisesti arkaluonteisia henkilötietoja. 

26 §. Virheellisen ratkaisun ja rekisterimerkinnän korjaaminen. Pykälässä säädetään yrityskiinnitysasiassa tehdyn virheellisen ratkaisun sekä yrityskiinnitysrekisterissä olevan virheellisen tiedon korjaamisesta hallintolain (434/2003) säännösten mukaisesti. Pykälässä ei suljeta pois henkilötietojen korjaamista hallintolain nojalla. Pykälää ehdotetaan tältä osin täydennettäväksi, jotta siitä kävisi selkeästi ilmi, että virheellisen ja epätarkan henkilötiedon oikaisemisesta ja poistamisesta säädetään tietosuoja-asetuksessa. Ehdotettava informatiivinen viittaus tietosuoja-asetukseen olisi tarpeen sen selventämiseksi, että henkilötietojen korjaamiseen sovellettaisiin aina suoraan tietosuoja-asetusta. Hallintolakia sovellettaisiin muun virheen korjaamiseen. 

35 §. Yrityskiinnitysrekisterin nojalla annettavat tiedot ja todistukset. Pykälässä säädetään yrityskiinnitysrekisterin nojalla annettavista tiedoista ja todistuksista. Yrityskiinnitysrekisteri on julkinen ja voimassa olevan 1 momentin mukaan jokaisella on oikeus saada tietoa rekisteriin tehdyistä merkinnöistä ja siihen liittyvistä asiakirjoista. 

Yrityskiinnityslain sääntely on annettu ennen julkisuuslain voimaantuloa, eikä laissa ole näin ollen huomioitu julkisuuslain sääntelyä henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä. Yrityskiinnitysrekisteriin sovelletaan kuitenkin julkisuuslakia. Kyseisen lain 16 §:n 3 momentin mukaan viranomaisen henkilörekisteristä saa antaa henkilötietoja sisältävän kopion tai tulosteen tai sen tiedot sähköisessä muodossa, jollei laissa ole toisin erikseen säädetty, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Henkilötietoja saa kuitenkin luovuttaa suoramarkkinointia ja mielipide- tai markkinatutkimusta varten vain, jos niin erikseen säädetään tai jos rekisteröity on antanut siihen suostumuksensa. Esityksellä ehdotettavien muutosten tarkoituksena olisi varmistaa, että yrityskiinnitysrekisterin tiedot olisivat jatkossakin pääsääntöisesti julkisia, lukuun ottamatta luonnollisen henkilön henkilötunnuksen loppuosaa ja ulkomailla asuvan kotiosoitetta. 

Pykälän 1 momenttiin ehdotetaan lisättäväksi toinen virke, jonka mukaan Patentti- ja rekisterihallitus saisi julkisuuslain 16 §:n 3 momentin estämättä luovuttaa yrityskiinnitysrekisteristä luovuttaa tiedon luonnollisen henkilön nimestä, syntymäajasta, kansalaisuudesta, kotikunnasta ja ulkomailla asuvan asuinmaasta tulosteena, teknisen rajapinnan tai katseluyhteyden avulla taikka muutoin luovuttaa tai saattaa tiedot yleisesti saataville sähköisen tietoverkon kautta. 

Pykälän rakennetta ehdotetaan muutettavaksi siten, että nykyinen 2 momentti sijoitettaisiin pykälän loppuun uudeksi 3 momentiksi. Momentin sisältöön ei ehdoteta muutoksia. Kyse olisi tältä osin teknisestä muutoksesta. 

Pykälän 2 momentti täsmentäisi ehdotettua pykälän 1 momenttia yrityskiinnitysrekisterin tietojen luovuttamisesta. Ehdotetun 2 momentin ensimmäisen virkkeen mukaan Patentti- ja rekisterihallitus saisi luovuttaa tiedot yrityskiinnitysrekisteriin tallennetusta henkilötunnuksen tunnusosasta ja ulkomailla asuvan luonnollisen henkilön kotiosoitteesta vain, jos luovutuksensaajalla on tietosuojalain (1050/2018) 29 §:n mukainen peruste tietojen käsittelylle. Ehdotetun momentin toisen virkkeen mukaan tällaiset tiedot saadaan luovuttaa myös sähköisesti 1 momentissa säädetyllä tavalla suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämällä. Ehdotetun momentinviimeisessä virkkeessä säädettäisiin lisäedellytyksestä, jonka mukaan tietopyynnön tekijän tulisi antaa Patentti- ja rekisterihallitukselle selvitys tietojen asianmukaisesta suojaamisesta. 

Ehdotetut muutokset pykälään vastaisivat uudistettua kaupparekisterilakia (564/2023), jonka 2 §:ssä säädetään kaupparekisterin tietojen julkisuudesta ja tietojen luovuttamisesta (ks. HE 244/2022 vp). 

Siltä osin kuin ehdotuksessa on kyse henkilötietojen luovuttamisesta ja luovuttamistavoista, ehdotetuissa muutoksissa olisi kyse tietosuoja-asetuksen 6 artiklan 2 ja 3 kohdan sisältämän kansallisen liikkumavaran käytöstä. Käsittelyn oikeusperusteena on tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta. Ehdotettujen muutosten tavoitteena on selventää, miten henkilötietoja voidaan luovuttaa yrityskiinnitysrekisteristä ja selventää yrityskiinnityslain suhdetta julkisuuslakiin. Ehdotusten arvioidaan olevan tietosuoja-asetuksen 6 artiklan 3 kohdan edellyttämällä tavalla oikeasuhteisia ja yleisen edun mukaisia, sillä muutoksilla varmistettaisiin, että tiedot vastaanottavalla taholla olisi oikeus käsitellä tiettyjä henkilötietoja sekä asetettaisiin myös lisäedellytyksiä tietojen asianmukainen suojaamisen varmistamiseksi.