3.2.1
Viranomaistehtävät
SDG-asetuksessa säädetään uusista tehtävistä sekä EU- että kansallisille toimivaltaisille viranomaisille ja kansallisille koordinaattoreille. Asetuksessa ei nimetä eri jäsenvaltioiden kansallisia toimivaltaisia viranomaisia, mutta ne määrittyvät asetuksen 3 artiklan 4 kohdan nojalla asetuksessa mainittujen palvelujen ja toimintojen kautta. Uusi sääntely asettaa velvoitteita toimivaltaisille viranomaisille kansalaisten ja yritysten pääsystä tietoon, ongelmanratkaisupalveluihin ja menettelyihin sekä tiedonvaihdosta teknisessä järjestelmässä, sen mukaan mitä asetuksen eri artikloissa ja liitteissä säädetään. Asetus vaikuttaa käytännössä kymmeniin kansallisiin viranomaisiin eri ministeriöiden hallinnonalalta. KEHA-keskuksen ylläpitämän tiedon mukaan näitä olisivat tässä vaiheessa:
Aluehallintovirastot, Digi- ja väestötietovirasto, ELY-keskukset, Eläketurvakeskus, Energiavirasto, Fimea, Fine, Finnvera, Hätäkeskuslaitos, Kela, Kilpailu- ja kuluttajavirasto, kunnat, Liikennevakuutuskeskus, Maahanmuuttovirasto (Migri), Maanmittauslaitos, Opetushallitus, Poliisi, Patentti- ja rekisterihallitus, Ruokavirasto, Säteilyturvakeskus, TE-palvelut, Tietosuojavaltuutettu, Traficom, Tukes, Tulli, Valvira, Vero, Väylävirasto, liikenne- ja viestintäministeriö, oikeusministeriö, opetus- ja kulttuuriministeriö, sisäministeriö, sosiaali- ja terveysministeriö, ulkoministeriö, valtiovarainministeriö ja ympäristöministeriö. Vaikutuksia Business Finland Oy:n ja puolustusministeriön osalta selvitetään yhä.
Liitteen II velvoittamia tahoja eli toimivaltaisia viranomaisia, joita koskee velvollisuus sähköisten menettelyiden tarjoamiseen ja todistusmateriaalin vaihtoon, ovat mm. Digi- ja väestötietovirasto, Kela, Vero ja Opetushallitus. Ammattipätevyyksien ja yrityslupien myötä liite II voi asettaa velvoitteita myös esim. Tukesille ja Valviralle. On huomioitavaa, että SDG-asetuksen soveltamisalaa on jo laajennettu uuden EU-sääntelyn myötä asetuksen voimaantulon jälkeen ja sen on tarkoitus laajentua ja muuttua ajan myötä, jolloin asetuksen velvoittamia toimivaltaisia viranomaisia on mahdotonta luetella ns. staattisesti ja pysyvästi. KEHA-keskuksen sdgfinland.fi-verkkosivuilta löytyy luettelot viranomaisista ja palveluista, joiden on tunnistettu kuuluvan SDG-asetuksen liitteen II soveltamisalaan.
Tällä hetkellä OOTS-järjestelmässä vaihdettaviksi todistusmateriaaleiksi on tunnistettu muun muassa todistus vastaanotetusta opiskelupaikasta, todistus suoritetusta korkeakoulututkinnosta, ylioppilastodistus, tutkintotodistus aiemmasta tutkinnosta eri tutkintotasolla ja verotustiedot ulkomailla. Lisäksi yritystoiminnan aloittamiseen ja harjoittamiseen voi liittyä lukuisia erilaisia todistusmateriaaleja liittyen muun muassa erilaisiin yrityksen tai palveluntarjoajan pätevyys-, rekisteröinti- ja lupatietoihin. SDG-asetuksen soveltamisalan laajentuessa OOTS-järjestelmässä voidaan tulevaisuudessa vaihtaa myös muita todistusmateriaaleja. Ainakaan ensi vaiheessa OOTS-järjestelmässä ei vaihdeta salassa pidettäviä tai erityisiin henkilötietoryhmiin kuuluvia tietoja lukuun ottamatta mahdollisesti tulorekisteritietoja, jotka ovat viranomaisten toiminnan julkisuudesta annetun lain (621/1999) (jäljempänä
julkisuuslaki
) 24 §:n 1 momentin 23 kohdan nojalla salassa pidettäviä, ja eräitä terveys- ja muita vastaavia tietoja, jotka ovat julkisuuslain 24 §:n 1 momentin 25 kohdan nojalla salassa pidettäviä ja lukeutuvat tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin. Tilanteisiin soveltuu kuitenkin mainittujen säädösten poikkeukset kieltoihin luovuttaa tai käsitellä tietoja, minkä johdosta julkisuuslaista tai tietosuojalainsäädännöstä ei muodostu estettä todistusmateriaalin vaihdolle suoraan sovellettavan asetuksen nojalla.
Kuntien vastuulla on SDG-asetuksen liitteen II menettelyistä vain elinkeinotoimintaan liittyviä lupia ja ilmoituksia. Niissä ei ole OOTS-järjestelmään liitettäviä asiointipalveluja, sillä tällä hetkellä kuntien yritysluvissa ei ole OOTS-järjestelmässä vaihdettavia todistusmateriaaleja.
Suomessa palveluväylään koottava tietosisältö (liite I) on ollut saatavilla viranomaisten verkkosivuilla ja liitettynä digitaaliseen palveluväylään asetuksen mukaisesti 12.12.2020. Edelleen moni liitteen II mukaisista menettelyistä on sähköisesti käytettävissä tai kehitteillä, mutta ei rajat ylittävästi käytettävissä. Tiedon on arvioitu liikkuvan yhden kerran periaatteen näkökulmasta rajoitetusti ja se on perustunut viranomaisten välisiin sopimuksiin. Rajat ylittävä, viranomaisten välinen tiedonvaihto on SDG-asetuksen soveltamisalalla ollut vähäistä. Asetuksen liitteen III mukaiset neuvonta- ja ongelmanratkaisupalvelut ovat olleet toiminnassa olevia palveluita ja pääsy niihin on mahdollistettu eri viranomaisten verkkopalveluiden kautta ja ne ovat liitettyinä digitaaliseen palveluväylään.
3.2.3
Tietojen vaihto ja henkilötietojen suoja
Yleistä tietojenvaihdosta OOTS-järjestelmässä
Yhteisen digitaalisen palveluväylän kautta tietyt komission ja jäsenmaiden sisämarkkinoiden toimintaan liittyvät kansalaisten ja yritysten oikeudet ja velvollisuudet, niitä koskevat menettelyt sekä neuvonta- ja ongelmanratkaisupalvelut ovat saatavilla kootusti yhdestä paikasta. Lisäksi kansalaisten ja yritysten tulisi pystyä hoitamaan sähköiset menettelyt yhden kerran -periaatteen mukaisesti. Kansalaisen tai yrityksen yhdelle jäsenmaalle toimittama tieto tulisi pyynnöstä toimittaa muiden jäsenmaiden viranomaisille ja sen tulisi kelvata myös muiden jäsenmaiden viranomaisten päätösten pohjaksi.
Todistusmateriaalin vaihtoa koskeva täytäntöönpanoasetus antaa jäsenmaille liikkumavaraa OOTS-järjestelmän järjestelmäosien toteutuksessa. Täytäntöönpanoasetuksen johdanto-osan 9 kappaleen mukaan jäsenvaltioiden olisi voitava päättää, haluavatko ne joko yhden tai useampia eDelivery-liityntäpisteitä osana OOTS-järjestelmää. Jäsenvaltion olisi näin ollen voitava ottaa käyttöön keskitetty liityntäpiste, joka hoitaa kaiken OOTS-järjestelmään liittyvän eDelivery-viestinnän todistusmateriaalin pyytäjille ja todistusmateriaalin antajille välitysalustan kautta, tapauksen mukaan, tai vaihtoehtoisesti ottaa käyttöön useita liityntäpisteitä millä tahansa hierarkian tasolla tai sen julkishallinnon tiettyjä osa-alueita tai sektoreita tai maantieteellisiä tasoja varten. Täytäntöönpanoasetuksen 1 artiklan 6 kohdan mukaan
välitysalustalla
tarkoitetaan teknistä ratkaisua, joka toimii omissa nimissään tai muiden yksikköjen kuten todistusmateriaalin antajien tai todistusmateriaalin pyytäjien puolesta, riippuen niiden jäsenvaltioiden hallinnollisesta organisaatiosta, joissa kyseinen välitysalusta toimii, ja jonka kautta todistusmateriaalin antajat tai todistusmateriaalin pyytäjät ottavat yhteyden 4 artiklan 1 kohdassa tarkoitettuihin yhteisiin palveluihin tai todistusmateriaalin antajiin tai todistusmateriaalin pyytäjiin muissa jäsenvaltioissa.
Suomessa suunnittelun lähtökohtina ovat olleet kustannustehokkuus, käyttäjälähtöisyys, käytettävyys ja tietoturvallisuus. KEHA-keskus on vastannut järjestelmän suunnittelusta ja toteutuksesta yhteistyössä kansallisen SDG-hankkeen ohjausryhmän kanssa. Sen sijaan, että jokaisella toimivaltaisella viranomaisella olisi oma eDelivery-liityntäpiste ja esikatselutila käytössä, toteutetaan todistusmateriaalin siirto keskitetyn järjestelmän avulla, josta KEHA-keskuksella on vastuu ja omistajuus, ja se vastaa todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen mukaisesta välitysalustasta. Järjestelmän, jonka on tarkoitus tulla toimintaan vuoden 2024 lopussa (todennäköisesti vasta vuoden 2025 aikana), on suunniteltu toimivan seuraavasti:
Tilanteessa, jossa toisen EU- tai ETA-jäsenmaan kansalainen tai yritys haluaa hyödyntää OOTS-järjestelmää asioidessaan suomalaisessa asiointipalvelussa, hän aloittaa asiointiprosessin suomalaisessa asiointipalvelussa ja tunnistautuu eIDAS-tunnistusvälineellä. Kun asiointiprosessissa pyydetään todistusmateriaaleja, käyttäjällä on mahdollisuus lisätä ne suoraan asiointiprosessiin, mikäli ne ovat jo hänen hallussaan, tai käyttäjä hyödyntää OOTS-järjestelmää. Käyttäjä valitsee kansallisen OOTS-järjestelmän ”todisteen pyyntö” -toiminnon avulla mistä jäsenmaasta ja minkä todistusmateriaalin käyttäjä haluaa hakea ja esikatsella. Tällä käyttäjän nimenomaisella pyynnöllä käynnistyy viranomaisen todistusmateriaalipyyntö toisen jäsenmaan perustietovaranannosta ja käyttäjä ohjataan toisen jäsenmaan OOTS-järjestelmän esikatselutilaan tarkastamaan todistusmateriaalin tiedot. Jos käyttäjä hyväksyy todistusmateriaalin käytön esikatselutilassa, todistusmateriaali toimitetaan sitä pyytävälle viranomaiselle Suomessa KEHA-keskuksen hallinnoiman järjestelmän kautta.
Tilanteessa, jossa vuorostaan Suomen kansalainen tai yritys haluaa asioida toisen jäsenvaltion asiointipalvelussa, hän tekee todistusmateriaalin pyyntöön liittyvät toimet toisen EU- tai ETA-jäsenmaan asiointipalvelussa, jolloin toisen jäsenmaan viranomaisen todistusmateriaalipyyntö saapuu Suomessa toteutettavaan esikatselutilaan. Käyttäjän tunnistauduttua uudelleen ja siten identiteetin varmistuttua, esikatselutila noutaa todistusmateriaalin suomalaisesta perustietovarannosta ja luo käyttäjälle esikatseltavan version todistusmateriaalista. Käyttäjän hyväksyttyä todistusmateriaalin käytön, se toimitetaan tiedonvaihtoväyliä pitkin pyytävään jäsenmaahan ja pyytävälle viranomaiselle. Käytännössä KEHA-keskus hallinnoi esikatselutilaa ja sen jälkeistä tiedonsiirtoa, kunnes todistusmateriaali on siirtynyt toisen jäsenvaltion järjestelmän piiriin.
Todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen 28 artiklan 5 kohdassa on todettu vaihdon turvallisuudesta muun muassa, että saman artiklan 4 kohdan mukaisesti todistusmateriaalin antajan jäsenvaltio on todistusmateriaalin vaihdossa vastuussa pyydetyn todistusmateriaalin laadusta, luottamuksellisuudesta, eheydestä ja käytettävyydestä, kunnes materiaali saapuu todistusmateriaalin pyytäjän eDelivery-liityntäpisteeseen tai tapauksen mukaan välitysalustalle. Todistusmateriaalin pyytäjän jäsenvaltio on todistusmateriaalin vaihdon yhteydessä vastuussa pyydetyn todistusmateriaalin luottamuksellisuudesta ja eheydestä siitä hetkestä alkaen, kun se saapuu eDelivery-liityntäpisteeseen.
Yllä mainituissa menettelyissä KEHA-keskuksen velvoitteet rekisterinpitäjänä rajoittuvat kansalliseen OOTS-järjestelmään ja tiedonsiirron vaiheeseen, jossa pyydetty todistusmateriaali liikkuu lähettävältä viranomaiselta (todistusmateriaalin antaja) vastaanottavalle viranomaiselle (todistusmateriaalin pyytäjä).
Rekisterinpitäjyyden velvoitteet todistusmateriaalin pyyntöprosessissa kohdistuvat hetkeen, jossa todistusmateriaali saapuu toisesta EU-maasta kansalliseen OOTS-järjestelmään. Todistusmateriaali säilytetään hetken ajan, kunnes pyytävä viranomainen noutaa todistusmateriaalin tai se toimitetaan pyytävälle viranomaiselle. Kun todistusmateriaali on toimitettu sitä pyytävälle viranomaiselle, KEHA-keskukselle ei jää siitä versiota vaan se tuhotaan/poistetaan järjestelmästä.
Niissä tapauksissa, joissa pyyntö saapuu toisesta EU-maasta, rekisterinpitäjyys kohdistuu hetkeen, jolloin kansallisen OOTS-järjestelmän esikatselutila noutaa todistusmateriaalin kansallisesta tietovarannosta ja tietoja pyytävä käyttäjä esikatselee todistusmateriaalin ja joko hyväksyy tai hylkää todistusmateriaalin käytön. Kun todistusmateriaali on toimitettu sitä pyytävälle viranomaiselle (tai käyttäjä on päättänyt olla käyttämättä todistusmateriaalia), KEHA-keskukselle ei jää siitä versiota vaan se tuhotaan/poistetaan järjestelmästä.
Käytännössä KEHA-keskuksella on todistusmateriaali hallussaan muutamasta minuutista enintään noin viikkoon. Sillä on pääsy todistusmateriaaliin välitysprosessin aikana, ja se voi tilanteen mukaan muuntaa materiaalia rakenteisesta muodosta ihmisluettavaan muotoon taikka poikkeuksellisesti suodattaa tietoja SDG-asetuksen vaatimuksia vastaavaksi. Toimivaltaisilla viranomaisilla olisi kuitenkin vastuu todistusmateriaalin materiaalisesta sisällöstä ja tietojen oikeellisuudesta. Lähinnä kyseeseen tulee mahdollisten turhien tietojen suodattaminen todistusmateriaalia toimitettaessa toisen jäsenvaltion toimivaltaiselle viranomaiselle ja ennen kuin käyttäjä on hyväksynyt sen käytön esikatselutilassa, ja todistusmateriaalin rakenteisen muodon muuntaminen ihmisluettavaan muotoon ennen ulkomaisen todistusmateriaalin toimittamista kansalliselle toimivaltaiselle viranomaiselle, jotta varmistetaan viranomaisen pääsy todistusmateriaaliin ja että se pystyy sitä käsittelemään. Rakenteisen muodon muuntaminen ihmisluettavaan muotoon voi tulla kyseeseen myös todistusmateriaalia toimitettaessa toisen jäsenvaltion toimivaltaiselle viranomaiselle, mutta muuntaminen tehdään ennen käyttäjän tarkistettua ja hyväksyttyä todistusmateriaalin käytön esikatselutilassa. Täytäntöönpanoasetuksen johdanto-osan 17 kappaleen mukaan jäsennellyn todistusmateriaalin tapauksessa, jos todistusmateriaalipyynnössä pyydetään ainoastaan tietojen osajoukkoa, todistusmateriaalin antaja tai tapauksen mukaan välitysalusta voisi mahdollistaa tietojen automaattisen suodatuksen.
Todistusmateriaalipyyntöjen tiedot lokitetaan kansalliseen lokituspalveluun todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen mukaisesti.
OOTS-järjestelmän käyttöön ja todistusmateriaalin vaihtoon EU:n eri jäsenvaltioiden toimivaltaisten viranomaisten kesken liittyy tietosuojaoikeudellisia kysymyksiä. OOTS-järjestelmässä siirretään mm. hallintoasian hakijan henkilötietoja. Tietojen vaihto tapahtuu teknisiä rajapintoja käyttäen, mutta se ei ole automaattista siinä mielessä, että se tapahtuisi täysin ilman hakijan myötävaikutusta. Käyttäjällä on oltava mahdollisuus tarkastella todistusmateriaalia etukäteen esikatselutilassa ja oikeus päättää olla vaihtamatta todistusmateriaalia tapauksissa, joissa käyttäjä vaihdettavaan todistusmateriaaliin tutustuttuaan toteaa tiedot virheellisiksi, vanhentuneiksi tai kyseisen menettelyn kannalta tarpeettomiksi.
KEHA-keskuksen tiedonhallintalain mukaisen vaikutusarvion mukaan salassa pidettäviä tai tietosuoja-asetuksen tarkoittamia erityisiin henkilötietoryhmiin kuuluvia tietoja ei käsitellä. Myöhemmin on selvinnyt, että julkisuuslain 24 §:n 1 momentin 23 kohdan nojalla salassa pidettäviä tulorekisteritietoja saattaa liikkua todistusmateriaalina, ja etuuksiin liittyen muut jäsenvaltiot voivat pyytää myös asiakirjoja, jotka sisältävät tietoja sosiaalihuollon asiakkaasta tai työhallinnon henkilöasiakkaasta sekä tämän saamasta etuudesta tai tukitoimesta taikka sosiaalihuollon palvelusta tai työhallinnon henkilöasiakkaan palvelusta taikka tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta (julkisuuslain 24 §:n 1 momentin 25 kohta ja tietosuoja-asetuksen 9 artiklan tarkoittama erityinen henkilötietoryhmä). Toimivaltaiset viranomaiset voivat käsitellä seuraavia henkilötietoja todistusmateriaalin vaihdossa: kirjautumistiedot; käyttäjän tunnistetiedot; käyttäjää koskevat todistusmateriaalit. Lapsiin ja vajaavaltaisiin henkilöihin tai muihin luonnollisiin henkilöihin liittyviä todistusmateriaaleja voidaan siirtää vain, jos käyttäjällä on kansallisen lainsäädännön mukaan oikeus esittää pyyntöjä näistä. Kukin toimivaltainen viranomainen päättää viime kädessä itse, mitä todistusmateriaaleja OOTS:ssa voidaan vaihtaa. Todistusmateriaalit siirretään OOTS:n kautta vain käyttäjän pyynnöstä ja hyväksynnällä erillisen esikatselutilan kautta. Tiedonvaihdon aikana muilla osapuolilla kuin OOTS:ssa oikeudellisesti toimivilla, kustakin menettelystä vastaavilla viranomaisilla, ei ole pääsyä käyttäjän henkilötietoihin. Tiedonsiirrossa välttämättömät eDelivery Access Pointit käsittelevät henkilötietoja vain todisteiden vaihdon mahdollistamiseksi.
Julkisuuslain 29 §:n mukaan viranomainen voi antaa toiselle viranomaiselle tiedon salassa pidettävästä asiakirjasta muun muassa silloin, kun tiedon antamisesta tai oikeudesta tiedon saamiseen on laissa erikseen nimenomaisesti säädetty. Julkisuuslain 30 §:ssä puolestaan säädetään salassa pidettävien tietojen antamisesta ulkomaan viranomaiselle ja kansainväliselle toimielimelle. Viimeksi mainitun lainkohdan mukaan sen lisäksi, mitä laissa erikseen säädetään, viranomainen voi antaa salassa pidettävästä asiakirjasta tiedon ulkomaan viranomaiselle tai kansainväliselle toimielimelle, jos ulkomaan ja Suomen viranomaisen välisestä yhteistyöstä määrätään Suomea sitovassa kansainvälisessä sopimuksessa tai säädetään Suomea velvoittavassa säädöksessä ja tieto asiakirjasta voitaisiin tämän lain mukaan antaa yhteistyötä Suomessa hoitavalle viranomaiselle. Merkitystä on myös sillä, että todistusmateriaalin vaihto edellyttää aina käyttäjän eli julkisuuslain näkökulmasta suojattavan tahon nimenomaista pyyntöä, mikä julkisuuslain nojalla tyypillisesti kumoaa salassapidon tarpeen. Julkisuuslaista ei siten muodostu estettä sille, että todistusmateriaaliin sisältyisi julkisuuslain nojalla lähtökohtaisesti salassa pidettäviä tietoja.
Mikäli todistusmateriaaliin sisältyisi tietosuoja-asetuksen 9 artiklan tarkoittamaa arkaluonteisiin henkilötietoryhmiin kuuluvaa tietoa, kuten yllä on esitetty mahdollisena määrättyihin etuuksiin liittyen tai mikäli sisältyisi muuta vastaavanlaista tulevaisuudessa, sen luovuttaminen olisi mahdollista tietosuojalain (5.12.2018/1050) 6 §:n 1 momentin 2 kohdan nojalla. Mainitun lainkohdan mukaan tietosuoja-asetuksen 9 artiklan 1 kohdan erityisiä henkilötietoryhmiä koskevaa käsittelykieltoa ei sovelleta tietojen käsittelyyn, josta säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. SDG-asetuksessa ei ole säädetty poikkeuksista salassa pidettävien tai muiden arkaluonteisten henkilötietojen osalta, vaan siinä säädetyt menettelyt on oltava mahdollisia sähköisesti, sisältäen mahdollisen merkityksellisen todistusmateriaalin vaihdon riippumatta tiedon luonteesta.
Näytössä voi mahdollisesti olla myös kolmansia henkilöitä koskevia tietoja ilman, että he myötävaikuttaisivat tietojen siirtymiseen tai olisivat välttämättä edes tietoisia siitä. Eri maiden lainsäädännön eroista johtuen samankaltaiseen asiakirjaan saatetaan eri maissa kirjata eri tietoja. Mikä yhdessä jäsenvaltiossa on tarpeellinen tieto esim. väestörekisteriotteessa, ei ole sitä välttämättä toisessa, ja näin ollen hakijan toimittamaan ulkomaiseen näyttöön saattaa sisältyä ns. turhia henkilötietoja kansallisessa menettelyssä. SDG-asetukseen ja sen täytäntöönpanoasetukseen todistusmateriaalin vaihdosta sisältyy kuitenkin säännökset tarpeellisten tietojen antamisesta järjestelmän käyttäjälle, OOTS-järjestelmän toiminnasta ja mahdollisuudesta esikatseluun. Niin ikään SDG-asetukseen sisältyy säännös siitä, että viranomainen saa käyttää näyttöä vain sitä menettelyä varten, jonka osana todistusmateriaali vaihdettiin (14 artiklan 8 kohta).
SDG-asetus yhdessä todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen kanssa sääntelee toimivaltaisten viranomaisten roolia todistusmateriaalin pyytäjinä tai antajina, sekä palvelun käyttäjän oikeuksia. Täytäntöönpanoasetuksessa on myös säännelty teknisen järjestelmän ominaisuuksista ja siihen liittyvistä vastuista, sekä toimivallanjaosta rajatylittävissä tilanteissa. Henkilötietojen käsittelyn osalta tulee noudattaa SDG-asetuksessa säädetyn ohella tietosuoja-asetusta sekä asetusta täydentävää ja täsmentävää kansallista tietosuojalakia. Kysymys koskee lähinnä sitä, ovatko edellä mainitun sääntelyn asettaman raamit riittävät henkilötietojen suojan kannalta, kun otetaan huomioon sekä perustuslain että tietosuojasääntelyn vaatimukset, ja erityisesti huomioiden kansallinen täytäntöönpanotapa, jossa KEHA-keskuksella on keskeinen rooli todistusmateriaalia vaihdettaessa OOTS-järjestelmässä.
Yleiset edellytykset henkilötietojen käsittelylle
EU:n yleinen tietosuoja-asetus edellyttää, että henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Henkilötietojen käsittely, mihin lukeutuu muun muassa henkilötietojen kerääminen, säilyttäminen ja luovuttaminen, on lainmukaista ainoastaan silloin, kun käsittelylle on jokin asetuksen 6 artiklan 1 kohdassa mainituista käsittelyperusteista (a–f alakohdat). Tietosuoja-asetuksen 6 artiklan 1 kohdan c (lakisääteinen velvoite) ja e (yleinen etu) alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä (6 artiklan 3 kohta). Alakohtien c ja e osalta jäsenvaltioille on annettu kansallista liikkumavaraa antaa asetusta täsmentävää, yksityiskohtaisempaa sääntelyä. Tällaisen sääntelyn tulee olla yleisen edun tavoitteen mukaista ja oikeasuhteista.
Henkilötietoja tulee käsitellä tietosuoja-asetuksen 5 artiklan 1 kohdan a–f alakohdissa säädettyjen yleisten käsittelyperiaatteiden (muun muassa käyttötarkoitussidonnaisuus, tietojen minimointi ja täsmällisyys) mukaisesti. Muun muassa käyttötarkoitussidonnaisuuden periaatteesta johtuu, että henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa lähtökohtaisesti käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Käyttötarkoitussidonnaisuuden periaatteesta on mahdollista poiketa joko rekisteröidyn suostumuksella tai tietosuoja-asetuksen 23 artiklassa säädetyin reunaehdoin. Keskeistä sääntelyn kannalta on tunnistaa taho, joka toimii tietojen rekisterinpitäjänä, eli tietosuoja-asetuksen 4 artiklan 7 kohdan nojalla tässä tapauksessa viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit, rekisterinpitäjän velvollisuutena on toteuttaa tarvittavat tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan tietosuoja-asetusta (tietosuoja-asetuksen 24 artiklan 1 kohta).
Jos vähintään kaksi rekisterinpitäjää määrittää yhdessä edellä mainitut käsittelyn tarkoitukset ja keinot, kyse on tietosuoja-asetuksen tarkoittamista yhteisrekisterinpitäjistä, josta säädetään tarkemmin asetuksen 26 artiklassa.
SDG-asetuksen ja todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen mukainen tietosuojasääntely
SDG-asetuksen 33 artiklan mukaan toimivaltaisten viranomaisten asetuksen puitteissa suorittamassa henkilötietojen käsittelyssä on noudatettava tietosuoja-asetusta. Edelleen asetuksen johdanto-osassa (kohta 42) on selostettu, että jotta voidaan mahdollistaa todistusmateriaalin ja tietojen laillinen rajatylittävä vaihto soveltamalla unionin laajuisesti yhden kerran periaatetta, asetusta ja yhden kerran periaatetta olisi sovellettava kaikkien sovellettavien tietosuojaa koskevien sääntöjen mukaisesti, joita ovat muun muassa tietojen minimoinnin, paikkansapitävyyden, säilytyksen rajoittamisen, eheyden sekä luottamuksellisuuden, tarpeellisuuden, oikeasuhteisuuden ja käyttötarkoituksen rajaamisen periaatteet. Sen täytäntöönpanossa olisi myös noudatettava täysimääräisesti sisäänrakennetun turvallisuuden (security by design) ja sisäänrakennetun yksityisyyden (privacy by design) periaatteita ja kunnioitettava yksilön perusoikeuksia, myös oikeudenmukaisuuteen ja avoimuuteen liittyviä perusoikeuksia.
Suojatun teknisen järjestelmän, joka on perustettava tämän asetuksen mukaisen todistusmateriaalin vaihdon mahdollistamiseksi, on myös annettava pyytävälle toimivaltaiselle viranomaiselle varmuus siitä, että todistusmateriaalin on toimittanut oikea myöntävä viranomainen. Ennen kuin toimivaltainen viranomainen hyväksyy käyttäjän menettelyn yhteydessä toimittamat tiedot, sen on voitava todentaa tiedot epäselvissä tapauksissa ja todeta, että ne ovat paikkansapitäviä.
Todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen 33 artiklassa
henkilötietojen käsittelystä
todetaan, että kun on kyse sellaisten henkilötietojen käsittelystä, jotka sisältyvät OOTS-järjestelmän kautta vaihdettavaan todistusmateriaaliin ja jotka esiintyvät jäsenvaltion täytäntöönpanoasetuksen 25 artiklan mukaisesti omistamissa OOTS-järjestelmän komponenteissa, kyseisen jäsenvaltion toimivaltaisten viranomaisten on todistusmateriaalin pyytäjinä tai todistusmateriaalin antajina toimittava tietosuoja-asetuksen 4 artiklan 7 kohdassa määriteltyinä ja täytäntöönpanoasetuksen 34 ja 35 artiklassa täsmennettyinä rekisterinpitäjinä.
Täytäntöönpanoasetuksen 34 artiklassa on todettu
todistusmateriaalin pyytäjän tehtävistä rekisterinpitäjänä
, että kunkin OOTS-järjestelmän kautta tapahtuvan todistusmateriaalin vaihdon osalta kyseessä oleva todistusmateriaalin pyytäjä tai tapauksen mukaan välitysalusta on yksin vastuussa todistusmateriaalipyynnön täydellisyydestä ja laillisuudesta, ja edelleen todistusmateriaalin pyytäjän on erityisesti varmistettava, että kyseistä todistusmateriaalia edellytetään siinä menettelyssä, jota varten käyttäjä sitä pyytää (1 kohta). Kun OOTS-järjestelmän kautta vaihdettava todistusmateriaali tulee todistusmateriaalin pyytäjän tai tapauksen mukaan välitysalustan saataville joko käyttäjän päätettyä SDG-asetuksen 14 artiklan 3 kohdan f alakohdan mukaisesti todistusmateriaalin vaihdosta tai SDG-asetuksen 14 artiklan 5 kohdassa tarkoitettujen menettelyjen tapauksessa, todistusmateriaalin pyytäjän tai tapauksen mukaan välitysalustan on varmistettava samantasoinen tietosuoja-asetuksen mukainen henkilötietojen suoja kuin tilanteessa, jossa käyttäjä toimittaa tai lataa todistusmateriaalin käyttämättä OOTS-järjestelmää (2 kohta).
Todistusmateriaalin antajan tehtäviä rekisterinpitäjänä
koskevan 35 artiklan 1 kohdan mukaan asiaankuuluva todistusmateriaalin antaja tai tapauksen mukaan välitysalusta vastaa yksin kunkin OOTS-järjestelmän kautta tapahtuvan todistusmateriaalin vaihdon osalta seuraavien seikkojen todentamisesta, sanotun kuitenkaan rajoittamatta niiden tietosuoja-asetuksessa säädettyjä velvollisuuksia:
a) sen hallussa olevan pyydetyn todistusmateriaalin ja käyttäjän vastaavuus voidaan verrata 16 artiklan mukaisesti;
b) käyttäjällä on oikeus käyttää pyydettyä todistusmateriaalia.
Edelleen samaisen artiklan 2 kohdan mukaan, kun välitysalusta tarjoaa esikatselutilan täytäntöönpanoasetuksen 15 artiklan 1 kohdan b alakohdan ii alakohdan mukaisesti, sitä on pidettävä EU:n tietosuoja-asetuksen 4 artiklan 8 kohdan mukaisena todistusmateriaalin antajan puolesta toimivana henkilötietojen käsittelijänä.
KEHA-keskuksen SDG-asetuksen neuvottelujen yhteydessä saaman käsityksen mukaan ko. kohta perustuu käsitykseen, että toimivaltaisilla viranomaisilla olisi omat esikatselujärjestelmät eikä käytettäisi ns. keskitettyä ratkaisua mikä on Suomen ja monen muun jäsenvaltion valitsema malli.
Käyttäjän oikeutta esikatsella vaihdettavaa todistusmateriaalia ja vastaavasti muiden toimijoiden velvollisuutta huolehtia sen järjestämisestä säännellään muun muassa täytäntöönpanoasetuksen 1 artiklan 14 kohdassa, 9 artiklan 1 kohdan b alakohdassa, 14 artiklan 1 kohdassa ja 15 artiklan 1 kohdan b alakohdan ii alakohdassa.
Tiedonvaihdon tietosuojaoikeudellinen oikeusperusta
Tiedon jakaminen tai siirtäminen palveluketjussa on henkilötietojen käsittelyä, joka kuuluu tietosuoja-asetuksen soveltamisalaan, ja edellyttää tietosuoja-asetuksen 6 artiklan 1 kohdan mukaista käsittelyn oikeusperustetta. SDG-asetuksessa ja todistusmateriaalin vaihtoa koskevassa täytäntöönpanoasetuksessa ei ole ratkaistu kysymystä tietojenkäsittelyn tietosuojaoikeudellisesta oikeusperustasta, mutta asiasta on päätetty komission johtaman koordinaatioryhmän alatyöryhmässä, jossa kaikki jäsenvaltiot ovat edustettuna. Alatyöryhmän mukaan käsittelyn perusteena toimii EU:n tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa tarkoitettu ” rekisterinpitäjän lakisääteinen velvoite”. Alatyöryhmän päätös ei ole oikeudellisesti sitova lainsäädännön tapaan, mutta koska oikeusperusta on mahdollista juontaa myös tulkinnallisesti, voidaan alatyöryhmän päätöstä pitää oikeustilaa selventävänä ja riittävänä. Todistusmateriaalin vaihto on luonteeltaan rajatylittävää, jolloin on keskeistä, että eri jäsenvaltiot soveltavat samaa oikeusperustaa. Voidaan katsoa, että kansallisesta sääntelystä on myös tästä syystä perusteltua pidättäytyä.
14 artiklan 7 kohdan mukaan sähköisistä menettelyistä vastaavien toimivaltaisten viranomaisten on kyseisen käyttäjän nimenomaisesta, vapaaehtoisesta, yksilöidystä, tietoisesta ja yksiselitteisestä pyynnöstä pyydettävä todistusmateriaali suoraan todistusmateriaalin antavilta muiden jäsenvaltioiden toimivaltaisilta viranomaisilta teknisen järjestelmän kautta. Todistusmateriaalin antavien toimivaltaisten viranomaisten on asetettava tällainen todistusmateriaali saataville saman järjestelmän kautta. 14 artiklan 3 kohdassa on asetettu erinäisiä kriteereitä teknisen järjestelmän ominaisuuksille, ja komissio on antanut todistusmateriaalin vaihtoa koskevan täytäntöönpanoasetuksen teknisen järjestelmän teknisten ja toiminnallisten eritelmien vahvistamiseksi. Ensi sijassa artiklasta 14 juontuu toimivaltaisten viranomaisten lakisääteinen velvoite todistusmateriaalin vaihtoon, ja tätä velvoitetta täydennetään ja täsmennetään muualla SDG-asetuksessa sekä todistusmateriaalin vaihtoa koskevassa täytäntöönpanoasetuksessa. Edellä mainituissa on myös säännelty järjestelmän käyttäjän oikeuksia todistusmateriaalin vaihdossa. Käyttäjän oikeuksia sääntelee myös tietosuoja-asetus.
Koska tietojen siirtäminen edellyttää hakijalta aktiivista toimenpidettä, eli asetuksessa käytetyin termein pyyntöä, voidaan sen tulkita tarkoittavan valtiosääntöoikeudellista suostumusta tietojen luovuttamiseen tai vastaanottamiseen, vaikka tietojen liikkuvuuden tietosuojaoikeudellinen käsittelyperuste onkin lakisääteinen velvoite. Suostumusta ei kuitenkaan asian valmistelun yhteydessä laadituissa selvityksissä ole pidetty tarkoituksenmukaisena käsittely- ja oikeusperusteena tietosuojaoikeudellisesti, sillä i) tietosuoja-asetuksen johdanto-osan mukaan viranomaisille annettavaa suostumusta ei lähtökohtaisesti voida pitää pätevänä, ii) siirrettävässä näytössä saattaa olla myös muita kuin hakijaa koskevia henkilötietoja, ja iii) vastaanottava viranomainen ei käsittelisi saamaansa näyttöä suostumuksen perusteella, ja käsittelyperusteen vaihtamiseen on yleensä suhtauduttu varauksellisesti tietosuojaviranomaisten toimesta.
Tietosuojaan liittyvä oikeustila suhteessa viranomaisiin ja palvelun käyttäjiin
Tietosuojaoikeudellisesti on myös oltava selvyys siitä, kuka on luovutettavien tietojen rekisterinpitäjä ja siten luovuttaja, ja kuka vastaanottaja. Rekisterinpitäjän määritelmä juontuu tietosuoja-asetuksen 4 artiklan 7 kohdasta, ja kyseessä on ennen kaikkea toiminnallinen käsite. Tietosuoja-asetus mahdollistaa, että rekisterinpitäjästä voidaan säätää erikseen kansallisessa erityislainsäädännössä, mutta se ei ole välttämätöntä. Säätämisen tarvetta puoltavat muun muassa, jos rekisterinpitäjästä voisi muutoin jäädä epäselvyys ja/tai rekisterinpitäjänä toimii viranomainen. Jos rekisterinpitäjyys perustuu oikeudelliseen sääntelyyn, rekisterinpitäjäksi katsotaan yleensä taho, joka on laissa nimetty tähän tarkoitukseen eli julkiseen tehtävään. Lakisääteinen velvoite kohdistuu tässä tapauksessa lähtökohtaisesti SDG-asetuksen tarkoittamaan toimivaltaiseen viranomaiseen, joita ei kuitenkaan nimetä erikseen asetuksessa vaan ne määrittyvät liitteissä I-III lueteltujen alojen ja toimintojen kautta. SDG-asetuksessa on tietoisesti valittu dynaaminen näkökulma toimivaltaisiin viranomaisiin, koska on haluttu, että soveltamisalan laajentuessa muuttuu myös vastaavasti toimivaltaisten viranomaisten joukko.
Laillisesti vastuullinen rekisterinpitäjä on yksilöitävissä suoraan tietosuoja-asetuksen nojalla, ja etenkin toimivaltaisten viranomaisten osalta SDG-asetus ja todistusmateriaalin vaihtoa koskeva täytäntöönpanoasetus luovat perustan rekisterinpitäjyydelle. KEHA-keskuksen rooli olisi kuitenkin tulkinnanvaraisempi ilman täydentävää kansallista sääntelyä, ja voisi myös luoda olettaman yhteisrekisterinpitäjyydestä KEHA-keskuksen ja toimivaltaisten viranomaisten välille, mikä vuorostaan edellyttäisi tarkkaa sopimista vastuunjaosta. Edellä mainitut seikat puoltavat KEHA-keskuksen tietosuojaa koskevan roolin selkeyttämistä lainsäädännöllä.
Rajatylittävä sähköinen tunnistautuminen
Jotta OOTS-järjestelmän käyttö olisi täysimääräisesti mahdollista Suomen kansalaisille ja yrityksille, tulisi Suomessa olla käytössä eIDAS-notifioitu tunnistusväline. Suomen kansalaisen tulisi pystyä tunnistautumaan eIDAS-tunnistautumisvälineellä toisen jäsenmaan asiointipalveluun. Lisäksi toisen EU- tai ETA-jäsenmaan kansalaisen tunnistautuminen eIDAS-tunnistautumisvälineellä suomalaisiin asiointipalveluihin edellyttäisi parannuksia henkilön identiteetin todentamiseksi. Suomella ei vielä ole käytössä asetuksen (EU) N:o 910/2014 sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta (jäljempänä
eIDAS-asetus
) mukaista notifioitua tunnistusvälinettä. Digitaalisen henkilöllisyyden kehittämistyötä jatketaan Suomessa osana eurooppalaisen digitaalisen identiteetin kehyksen vahvistamisesta annetun asetuksen (EU) 2024/1183 kansallista täytäntöönpanoa, ja notifioidun tunnistusvälineen on tarkoitus olla käytössä keväällä 2025.