Yleistä

Hallituksen esityksessä ehdotetaan muutettaviksi valtiokonttorista (305/1991) ja Valtion talous- ja henkilöstöhallinnon palvelukeskuksesta (179/2019) annettuja lakeja. Mainituille virastoille säädetään uudeksi tehtäväksi analysointi- ja raportointipalvelujen tuottaminen. Valtiokonttori tuottaa näitä palveluja valmistelun ja päätöksenteon tueksi valtioneuvostolle ja Valtion talous- ja henkilöstöhallinnon palvelukeskus omalla toimialallaan palvelukeskuksen asiakkaille.  

Valtiokonttorille ja palvelukeskukselle ehdotetaan säädettäväksi oikeus saada tehtävän hoitamiseksi välttämättömät valtionhallinnon toimintaa ja taloutta koskevat tiedot maksutta ja salassapitosäännösten estämättä lakiehdotuksissa mainittujen yhteisten palveluntuottajien rekistereistä. Valtiokonttori ja palvelukeskus toimivat rekisterinpitäjinä niiden tietojen osalta, jotka ne ehdotetun uuden tehtävän hoitamiseksi saavat. Hallituksen esityksessä ehdotetaan myös, että palvelukeskus on jatkossa yhteisrekisterinpitäjä eräiden asiakkaidensa kanssa. Viimeksi mainitulla ehdotuksella on tarkoitus selkeyttää vallinnutta epäselvää oikeustilaa valtion talous- ja henkilöstöhallinnon rekisterinpidossa. 

Lakiehdotusten tavoitteena on edistää osaltaan tietopohjaista valmistelua ja päätöksentekoa. Tavoitteena on saada käyttöön yhteisten palveluntuottajien rekistereissä olevat valtion virastojen ja laitosten toimintaa ja taloutta koskevat tiedot, jotta niitä voidaan hyödyntää toiminnan kehittämisessä, ohjauksessa ja johtamisessa. Valiokunta pitää näitä tavoitteita kannatettavina. 

Hallituksen esityksestä ilmenevistä syistä ja saamansa selvityksen perusteella hallintovaliokunta pitää lakiehdotuksia tarpeellisina ja tarkoituksenmukaisina. Valiokunta puoltaa lakiehdotusten hyväksymistä muutettuina tästä mietinnöstä ilmenevin huomautuksin ja muutosehdotuksin.  

Valtionhallinnon yhteiset palvelutoiminnot

Palvelutoimintoja on valtiohallinnossa keskitetty yhteisten palveluntuottajien hoidettaviksi. Tällaisia yhteisiä palveluntuottajia ovat Valtiokonttori (rahoitus ja taloushallinto), Valtion talous- ja henkilöstöhallinnon palvelukeskus (talous- ja henkilöstöhallinto), Hansel Oy (hankinnat), Haus kehittämiskeskus Oy (koulutus), Senaatti-kiinteistöt (toimitilat), Valtion tietotekniikkakeskus Valtori (tietohallinto) sekä Digi- ja väestötietovirasto (hankehallinto). 

Yhteisillä palveluilla on ollut tarkoitus varmistaa valtion virastoille ja laitoksille laadukkaat, kehittyvät ja kustannustehokkaat tukipalvelut, jotta virastot voivat keskittyä ydintoimintaansa. Palvelujen keskittämisellä on myös ollut määrä varmistaa palvelutuotannossa tarvittava erityisosaaminen ja palvelujen kehittäminen erityisesti teknologian vaikutuksesta nopeasti muuttuvilla toimialoilla.  

Valiokunta on useissa eri yhteyksissä todennut, että nämä tavoitteet eivät ole kaikilta osin toteutuneet. Erityistä huomiota valiokunta on kiinnittänyt viranomaisten kasvaviin ICT- ja toimitilakustannuksiin. Eduskunnan käsiteltävänä on parhaillaan toimitilahallintaan liittyvä hallituksen esitys laiksi Senaatti-kiinteistöistä ja Puolustuskiinteistöistä sekä eräiksi siihen liittyviksi laeiksi (HE 31/2020 vp). Asia on lähetetty puolustusvaliokuntaan, jolle hallintovaliokunnan on annettava lausunto.  

Valtion talous- ja henkilöstöhallinnon palvelukeskuksen palvelut ovat sen asiakkaina oleville virastoille maksullisia. Valiokunta pitää tärkeänä, että palvelukeskukselle säädettävillä uusilla tehtävillä ei ole vaikutusta muiden palvelujen laatuun eikä virastojen palvelumaksujen suuruuteen. 

Analysointi- ja raportointipalveluissa käsiteltävät tiedot

EU:n yleinen tietosuoja-asetus (EU) 2016/679) on suoraan jäsenvaltioissa sovellettavaa oikeutta. Tietosuoja-asetus sisältää kuitenkin tietyiltä osin kansallista liikkumavaraa. Kansallisesti tietosuoja-asetusta täsmentää ja täydentää 1.1.2019 voimaan tullut tietosuojalaki (1050/2018).  

Valtiokonttorista ja palvelukeskuksesta annetuissa laeissa ei nykyisin säädetä yhteisten palveluntuottajien tietojärjestelmiin kerättyjen valtionhallinnon toiminnan ja talouden tietojen käytöstä toiminnan kehittämisessä, ohjauksessa ja johtamisessa. Hallituksen esityksen perustelujen mukaan valtionhallinnon toimintojen kehittäminen edellyttää, että toiminnassa syntyneitä tietoja voidaan hyödyntää nykyistä paremmin osana tilannekuva-analyysejä ja tarvittavien toimenpiteiden suunnittelua, toteutusta ja vaikutusten arviointia.  

Analysointi- ja raportointipalveluissa käsitellään yhteisten palveluntuottajien rekistereissä olevia valtionhallinnon toiminnan suunnittelua ja seurantaa, talous- ja henkilöstöhallintoa (ml. matkahallinto), yhteistä perustietotekniikkaa, hankintojen hallintaa, toimitilahallintaa, keskitettyjä koulutuspalveluja, hanke- ja projektihallintaa sekä organisaatiorakennetta koskevia tietoja. Analysointi- ja raportointipalveluissa tarkastelun kohteena ovat niiden valtion virastojen ja laitosten tiedot, jotka on velvoitettu käyttämään yhteisiä palveluja. Palvelussa ei näin ollen tarkastella eduskuntaa eikä sen yhteydessä toimivia virastoja koskevia tietoja.  

Valtiokonttorilla ja palvelukeskuksella ei ole suoraa pääsyä palveluntuottajien rekistereihin, vaan niille ehdotetaan säädettäväksi tiedonsaantioikeus näissä rekistereissä oleviin tietoihin. Analysointi- ja raportointipalveluissa käsitellään myös henkilötietoja. Valiokunta pitää tärkeänä kiinnittää huomiota tietosuojalainsäädännön mukaiseen tietojen minimointiperiaatteeseen ja henkilötietojen käsittelyn oikeasuhtaisuuden vaatimukseen.  

Valiokunta pitää perusteltuna, että viranomaisten toiminnan julkisuudesta annetun lain (621/1999, julkisuuslaki) 24 §:n 1 momentin 2, 5 ja 7—11 kohdassa tarkoitettuja tietoja ei luovuteta käytettäväksi analysointi- ja raportointipalveluissa. Mainituissa lainkohdissa säädetään esimerkiksi Suomen kansainvälisiä suhteita, rikostutkintaa, yleistä turvallisuutta, poikkeusoloihin varautumista, valtion turvallisuutta, tiedustelua ja maanpuolustusta koskevien asiakirjojen salassapidosta.  

Valiokunta tähdentää, että tietoja tulee analysointi- ja raportointipalveluissa käsitellä niin, ettei tietojen käsittelystä aiheudu turvallisuusriskejä. Erityistä huomiota on etenkin turvallisuusviranomaisten näkökulmasta kiinnitettävä salassa pidettävien tietojen kasaantumisen vaikutukseen yhdisteltäessä tietoja eri lähteistä. Tietojen kasaantumisesta aiheutuvat riskit on arvioitava huolellisesti yhteistyössä tiedot luovuttavan toimivaltaisen viranomaisen kanssa.  

Tiedonsaantioikeuden ulkopuolelle jäävät ehdotuksen mukaan myös yleisen tietosuoja-asetuksen 9 artiklassa tarkoitetut erityiset henkilötietoryhmät, jotka sisältävät yksityiselämän suojaan kuuluvia arkaluonteisia tietoja. Luovutuksen kohteena voivat kuitenkin olla sellaisen poissaolon kestoa koskevat tiedot, joka on aiheutunut sairaudesta, ammattitaudista tai työtapaturmasta. Ehdotuksen mukaan tällaisia tietoja käsiteltäessä on noudatettava asianmukaisia suojatoimia, joilla tarkoitetaan hallituksen esityksen perustelujen mukaan niitä toimenpiteitä, joilla varmistetaan henkilötietojen käsittelyn lainmukaisuus. Tietoja on käsiteltävä niin, että henkilötietoja ei voida enää yhdistää tiettyyn henkilöön ilman lisätietoja (pseudonymisointi). Lisäksi henkilötietoja sisältävä tietoaineisto käsitellään siten, että yksittäistä henkilöä ei voida enää siitä tunnistaa ja henkilötietojen tunnistaminen estyy peruuttamattomasti (anonymisointi). Tiedot voidaan myös summata laajempien havaintoyksikköjen tasolle (aggregointi). Näillä suojatoimilla varmistetaan, että tiedot ovat sellaisessa muodossa, että yksittäistä henkilöä ei voida tunnistaa eikä salassa pidettäviä tietoja julkaista. 

Valiokunta pitää oikeutta näin rajoitettujen tietojen saamiseen Valtiokonttorin ja palvelukeskuksen tehtävien kannalta perusteltuna. Valiokunta ehdottaa kuitenkin säännösten sanamuotoon valiokunnan yksityiskohtaisista perusteluista ilmenevää täsmennystä. 

Rekisterinpitäjyys

Valtiokonttori ja palvelukeskus ovat ehdotettujen säännösten mukaan rekisterinpitäjiä niiden tietojen osalta, jotka ne analysointi- ja raportointipalvelutehtävänsä hoitamiseksi saavat. Palvelukeskus on lisäksi 2. lakiehdotuksen 1 a §:n 1 momentin mukaan yhteisrekisterinpitäjä kunkin säännöksessä luetellun asiakkaansa kanssa erikseen. Yhteisrekisterinpitäjyys koskee palvelukeskuksen omistamissa tietojärjestelmissä olevia tietoja eikä sinänsä liity säädettävään analysointi- ja raportointipalvelujen tuottamistehtävään. 

Valiokunta toteaa, että henkilötietojen käsittelyn tarkoitukset ja keinot määritellään lainsäädännössä, kun on kyse viranomaisista. Viranomainen ei näin ollen voi määritellä henkilötietojen käsittelyn tarkoituksia. Ehdotetuissa laeissa säädetään käsittelyn tarkoituksesta ja osin myös keinoista. Käsittelykeinoista säädetään myös esimerkiksi tiedonhallintalaissa (906/2019). Valiokunta katsoo saamansa selvityksen perusteella, että ehdotetut rekisterinpitäjän määräytymiseen liittyvät säännökset ovat tietosuoja-asetuksen mukaisia ja tarpeellisia. 

Tietosuoja-asetus edellyttää, että yhteisrekisterinpitäjät määrittelevät kullekin rekisterinpitäjälle kuuluvan vastuualueen keskinäisellä läpinäkyvällä järjestelyllä tietosuoja-asetuksessa vahvistettujen velvoitteiden noudattamiseksi, erityisesti rekisteröityjen oikeuksien käytön ja 13 ja 14 artiklan mukaisten tietojen toimittamista koskevien tehtäviensä osalta. Järjestelyn toteuttamistapaa ei asetuksessa määritellä. Hallituksen esityksessä ehdotetaan, että yhteisrekisterinpitäjien vastuista säädetään lain tasolla (2. lakiehdotuksen 1 a §:n 2 mom.). Tätä voidaan pitää tietosuojan ja oikeusturvan kannalta selkeänä ratkaisuna.  

Valiokunta pitää kuitenkin tietosuoja-asetuksen ja rekisteröidyn oikeuksien kannalta välttämättömänä, että palvelukeskus ja sen kanssa yhteisrekisterinpitäjinä toimivat viranomaiset kuvaavat selkeästi rekisterinpitäjyyden tietosuoja-asetuksen mukaisesti rekisteröidylle toimitettaviin tietoihin ja käsittelytoimia koskevaan selosteeseen. Rekisteröity voi järjestelyn ehdoista riippumatta käyttää tietosuoja-asetuksen mukaisia oikeuksiaan suhteessa kuhunkin rekisterinpitäjään. Viranomaisten välisten suhteiden on oltava henkilötietojen käsittelyn ja tiedonhallinnan vastuiden osalta selviä.  

Tietojen luovuttaminen

Valtiokonttorilla ja palvelukeskuksella on ehdotettujen säännösten mukaan oikeus saada analysointi- ja raportointipalvelutehtävänsä hoitamiseksi välttämättömät tiedot niistä edellä mainittujen yhteisten palveluntuottajien rekistereistä, joissa on näissä säännöksissä määriteltyjä valtion virastoja ja laitoksia koskevia toiminnan ja talouden tietoja. Hallituksen esityksen perustelujen mukaan teknisen rajapinnan avulla luovutettavien tietosisältöjen tarkempi määrittely tehdään yhteistyössä Valtiokonttorin, palvelukeskuksen ja muiden yhteisten palveluntuottajien sekä etenkin turvallisuusviranomaisten ja muiden asiakasvirastojen kesken. 

Valiokunta toteaa julkisuuslain lähtökohtana olevan, että jokainen viranomainen on toimivaltainen päättämään hallussaan olevista asiakirjoista. Julkisuuslain sääntely salassapidosta ja tietojen luovuttamisesta salassapidon estämättä perustuu viranomaisten erillisyyden periaatteelle. Viranomaiset ovat lakia sovellettaessa toisiinsa nähden itsenäisiä (PeVL 62/2018 vp). Hallituksen esityksessä tarkoitetuissa eri palveluntuottajien rekistereissä olevat tiedot on tallennettu tietojärjestelmiin ja muodostavat siten käyttötarkoituksensa perusteella tiedonhallintalaissa tarkoitettuja tietoaineistoja. Tietojärjestelmissä olevat tiedot ovat perustuslain 12 §:n 2 momentissa tarkoitettuja tallenteita (PeVL 3/2009 vp). Palvelukeskukset ja muut palvelujen tuottajat toimivat asiakkaidensa lukuun, joten ne eivät ole lähtökohtaisesti toimivaltaisia päättämään tietojärjestelmissä olevien tallenteiden antamisesta, koska ne ovat asiakasvirastojen ja -laitosten asiakirjoja. Näihin vastuukysymyksiin on saadun selvityksen mukaan kiinnitetty huomiota myös laillisuusvalvonnassa. 

Valiokunta ehdottaa säännösten (1. lakiehdotuksen 2 c §:n 1 momentti ja 2. lakiehdotuksen 1 b §:n 1 momentti) täsmentämistä niin, että niistä käy ehdotettua selkeämmin ilmi, että tietojen luovuttamisesta analysointi- ja raportointipalveluissa käytettäväksi päättää se viranomainen, joka on siihen julkisuuslain mukaan toimivaltainen. Lisäksi valiokunta ehdottaa mainittuihin lainkohtiin nimenomaista säännöstä siitä, että Valtiokonttori tai palvelukeskus, yhteinen palveluntuottaja ja tiedot luovuttava viranomainen määrittävät yhteistyössä analysointi- ja raportointipalveluja varten luovutettavat tiedot. Vain se viranomainen, jolla on julkisuuslain mukaan oikeus tietojen luovuttamiseen, voi tehdä arvion, mitä välttämättömiä tietoja voidaan toiselle viranomaiselle antaa. Tästäkin syystä on tärkeää, että mainitut tahot määrittävät yhdessä ne tiedot, jotka palveluun luovutetaan.