Yleistä
Hallituksen esityksessä ehdotetaan säädettäväksi uusi laki henkilötietojen käsittelystä Rajavartiolaitoksessa (1. lakiehdotus, jäljempänä Rajavartiolaitoksen henkilötietolaki). Samalla voimassa oleva samanniminen laki (579/2005) kumottaisiin.
Tavoitteena on uudistaa henkilötietojen käsittelyä Rajavartiolaitoksessa koskeva lainsäädäntö niin, että se vastaa Euroopan unionin uudistuneen tietosuojalainsäädännön vaatimuksia. Tavoitteena on myös selkeyttää ja yksinkertaistaa voimassa olevaa sääntelyä. Eduskunta edellytti vastauksessaan hallituksen esitykseen HE 66/2012 vp, että hallitus käynnistää mahdollisimman pian poliisin henkilötietolain kokonaisuudistuksen ja että samassa yhteydessä tarkistetaan myös Rajavartiolaitoksen henkilötietolain säännökset (EV 216/2013 vp). Näiden muutosten lisäksi lainsäädäntöön ehdotetaan tehtäväksi eräitä kansallisista tarpeista johtuvia muutoksia. Meripelastuslain (1145/2001) henkilötietojen käsittelyä koskevia säännöksiä tarkistetaan. Lisäksi ehdotetaan muutettavaksi neljäätoista muuta lakia. Muutokset ovat pääosin teknisiä.
Euroopan unionin uusi tietosuojalainsäädäntö on eriyttänyt säädöspohjaa siten, ettei kaikkeen henkilötietojen käsittelyyn ole enää mahdollista soveltaa samaa sääntelyä. EU:n yleistä tietosuoja-asetusta (EU 2016/679) on alettu soveltaa 25.5.2018. Sitä kansallisesti täydentää ja täsmentää 1.1.2019 voimaan tullut tietosuojalaki (1050/2018). Tietosuojalain kanssa samanaikaisesti on tullut voimaan henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettu laki (1054/2018, rikosasioiden tietosuojalaki), jolla on pantu kansallisesti täytäntöön ns. rikosasioiden tietosuojadirektiivi (EU) 2016/680 (jäljempänä myös poliisidirektiivi).
Tietosuoja-asetusta ja sitä täydentävää tietosuojalakia sovelletaan Rajavartiolaitoksessa esimerkiksi rajavalvontaan, useisiin Rajavartiolaitokselle säädettyihin valvontatehtäviin, tullitehtäviin ja pelastustehtäviin liittyvään henkilötietojen käsittelyyn. Tietosuojadirektiivin soveltamisalaan Rajavartiolaitoksessa kuuluvat rikosten ennalta estäminen, paljastaminen, selvittäminen ja syyteharkintaan saattaminen sekä näihin liittyvät toimenpiteet yleisen järjestyksen ja turvallisuuden ylläpitämiseksi. Rajavartiolaitokselle kuuluvat kansallisen turvallisuuden ylläpitämiseen liittyvät tehtävät ja meripelastustoimi eivät kuulu EU-oikeuden alaan. Kansallisena ratkaisuna kansallisen turvallisuuden ylläpitämiseen sovelletaan rikosasioiden tietosuojalakia ja meripelastustoimeen EU:n tietosuoja-asetusta ja sitä täydentävää tietosuojalakia. Ehdotettu Rajavartiolaitoksen henkilötietolaki on edellä kuvattua yleislainsäädäntöä täydentävä erityislaki.
Uuden tietosuojalainsäädännön lisäksi voimassa olevaan henkilötietojen käsittelystä Rajavartiolaitoksessa annettuun lakiin kohdistuu muitakin muutostarpeita. Useiden osittaisuudistusten myötä lain rakenne ja sisältö ovat muodostuneet paikoin vaikeaselkoisiksi. Nykyinen sääntely on hyvin yksityiskohtaista etenkin tietojärjestelmiin talletettavien tietojen osalta. Sääntelytapa on joustamaton, ja säännösten pitäminen ajan tasalla on haastavaa. Esityksessä on pyritty selkeyttämään sääntelyä, ja lain rakenne ehdotetaan uudistettavaksi kokonaisuudessaan. Täysin selkeyttämistavoitteisiin ei ole päästy, mikä pitkälti johtuu EU-oikeuden ja sen tietosuojasääntelyn rajoitetusta ja erityisestä soveltamisalasta. Sääntelyssä on myös noudatettava perustuslain ja ihmisoikeussopimusten tulkintakäytännöstä ilmeneviä vaatimuksia lainsäädännön yksityiskohtaisuudesta ja tarkkarajaisuudesta.
Hallintovaliokunta pitää merkittävänä muutoksena voimassa olevaan lakiin verrattuna sitä, että nykyinen valtakunnallisia tietojärjestelmiä ja muita Rajavartiolaitoksen henkilörekistereitä koskeva sääntely korvataan säännöksillä henkilötietojen käsittelytarkoituksista ja käsiteltävien henkilötietojen sisällöstä. Laissa säädettäisiin käsiteltävistä perustiedoista sekä asiakohtaisista tietoluokista. Rekisterinpitäjyys lain soveltamisalalla keskitetään Rajavartiolaitoksen esikunnalle.
Henkilötietojen käsittelyn tarkoitukset eivät olennaisesti muutu voimassa olevaan lakiin verrattuna. Sääntelyssä otetaan kuitenkin huomioon Rajavartiolaitokselle säädetyt uudet tehtävät etenkin merellisten ympäristöonnettomuuksien torjunnassa.
Kuten voimassa oleva laki, myös ehdotettu Rajavartiolaitoksen henkilötietolaki pohjautuu pitkälti rakenteeltaan ja osin myös sisällöltään henkilötietojen käsittelystä poliisitoimessa ehdotettuun lakiin (HE 242/2018 vp). Ehdotetulla lailla pyritään varmistamaan Rajavartiolaitoksen mahdollisuudet reagoida turvallisuusympäristön muutoksiin oikean ja mahdollisimman reaaliaikaisen tiedon pohjalta ja turvata viranomaistoiminnan kannalta välttämätön tiedonkulku. Rikosten ennalta estämistä ja paljastamista koskevat ehdotukset vastaavat pitkälti poliisin henkilötietolakiin ehdotettua sääntelyä.
Perustuslakivaliokunnan lausunnon mukaan lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä, 1. lakiehdotus kuitenkin vain, jos valiokunnan periaatesäännöksistä sekä 5, 6, 8, 9, 10, 12, 13, 17, 18, 20, 30 ja 31 §:stä tekemät valtiosääntöoikeudelliset huomautukset otetaan asianmukaisesti huomioon.
Hallituksen esityksestä ilmenevistä syistä ja saamansa selvityksen perusteella hallintovaliokunta pitää esitystä tarpeellisena ja tarkoituksenmukaisena. Hallintovaliokunta puoltaa hallituksen esitykseen sisältyvien lakiehdotusten hyväksymistä tästä mietinnöstä ilmenevin huomautuksin ja muutosehdotuksin.
Käsittelytarkoituksiin perustuva sääntely
Euroopan unionin perusoikeuskirjan 8 artiklassa edellytetään, että henkilötietojen käsittelyn on tapahduttava tiettyä tarkoitusta varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan, että 1 kohtaa on noudatettu. Tietosuoja-asetusta ei kuitenkaan sovelleta muun ohella sellaiseen henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan tai jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Ensin mainitun poikkeuksen alaan lukeutuu muun ohella lähtökohtaisesti kansallinen turvallisuus (ks. myös PeVL 35/2018 vp, PeVL 36/2018 vp), jälkimmäisen alaan lähinnä poliisidirektiivi.
Poliisidirektiiviä sovelletaan sen 2 artiklan mukaan toimivaltaisten viranomaisten direktiivin 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten suorittamaan henkilötietojen käsittelyyn. Viitatun artiklan mukaisia tarkoituksia ovat rikosten ennalta estäminen, tutkiminen, paljastaminen tai rikoksiin liittyvien syytetoimien tai rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy. Direktiivin 4 artiklan 1 kohdan b alakohta edellyttää, että henkilötiedot kerätään tiettyjä nimenomaisia ja laillisia tarkoituksia varten. Direktiivin 4 artiklan 4 kohdan mukaan rekisterinpitäjän on kyettävä osoittamaan, että henkilötietoja on käsitelty tämän periaatteen mukaisesti. Direktiivin 8 artiklan 2 kohdan mukaan jäsenvaltion lainsäädännössä, jossa säännellään tämän direktiivin soveltamisalaan kuuluvaa käsittelyä, on täsmennettävä ainakin käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset.
Perustuslakivaliokunta on arvioidessaan henkilötietojen käsittelyä koskevaa lainsäädäntöä pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina muun ohella rekisteröinnin tavoitetta, tietosisältöjä ja sallittuja käyttötarkoituksia (ks. PeVL 14/1998 vp ja esimerkiksi PeVL 14/2018 vp).Valiokunnan mukaan näiden seikkojen sääntelyn lain tasolla tulee nyt arvioitavassa sääntelykontekstissa olla edelleen kattavaa ja yksityiskohtaista.
Hallituksen esitykseen sisältyvillä lakiehdotuksilla voimassa olevan lain sääntely Rajavartiolaitoksen henkilörekistereistä ehdotetaan korvattavaksi säännöksillä Rajavartiolaitokselle säädettyjen tehtävien suorittamiseksi tarpeellisten henkilötietojen käsittelytarkoituksista ja käsiteltävien henkilötietojen sisällöstä. Perustuslakivaliokunnalla ei ole ollut huomauttamista tähän lähtökohtaan.
Esityksen muiden lähtökohtien arviointia
Perustuslakivaliokunta on hiljattain arvioinut (PeVL 26/2018 vp) rikosasioiden tietosuojalain säätämiseen tähdännyttä hallituksen esitystä, johon sisältyvän lakiehdotuksen tarkoituksena on muun ohella toimeenpanna poliisidirektiivi. Valiokunta on EU:n tietosuoja-asetuksen sovelta-misalalla tarkistanut kantaansa henkilötietojen suojasta lailla säätämisen vaatimuksen osalta. Valiokunnan mukaan merkityksellistä on, että toisin kuin suoraan sovellettava tietosuoja-asetus, poliisidirektiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta (ks. myös PeVL 14/2018 vp). Merkityksellistä on lisäksi, että kansallinen turvallisuus on Euroopan unionista tehdyssä sopimuksessa suljettu EU:n toimivallan ulkopuolelle, eikä siten kuulu myöskään lähtökohtaisesti poliisidirektiivin soveltamisalalle. Tästä syystä kansallisen turvallisuuden perusteella käsiteltävistä henkilötiedoista on perustuslain 10 §:n henkilötietojen suojaa koskevan turvaamisvelvoitteen johdosta säädettävä kansallisella lainsäädännöllä (ks. PeVL 26/2018 vp).
Perustuslakivaliokunnan mukaan (PeVL 26/2018 vp, PeVL 14/2018 vp) perustuslain 10 §:ssä turvatut oikeudet saavat erityistä merkitystä korostuneen perusoikeusherkissä sääntelykonteksteissa. Valiokunta on esimerkiksi jo ennen perusoikeusuudistusta esittänyt sittemmin vakiintuneen luonnehdinnan, jonka mukaan "poliisilaki on tyypillisesti sellainen säädös, joka voi herkästi joutua ristiriitaan kansalaisten perusoikeuksien, varsinkin klassisten vapausoikeuksien kanssa" (PeVL 15/1994 vp, PeVL 67/2010 vp). Valiokunnan mukaan henkilötietojen käsittelyä koskevaa sääntelyä on tällaisissa suuren riskin perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös PeVL 14/2018 vp).
Merkityksellistä tässä suhteessa oli myös, että tuolloin käsillä olleeseen esitykseen sisältyvä ehdotus laiksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä olisi soveltamisalallaan yleislakina sovellettavaksi tuleva laki, jota on tarkoitus täydentää eri hallinnonaloja koskevalla erityislainsäädännöllä (PeVL 26/2018 vp). Valiokunnan käsityksen mukaan nyt arvioitavan lakiehdotuksen tarkoitus on toimia tällaisena täydentävänä erityislainsäädäntönä.
Perustuslakivaliokunta on pitänyt henkilötietojen käsittelyä koskevassa valtiosääntöisessä arviossa merkityksellisenä myös käsittelyn tarkoitusta yksilöön kohdistuvan julkisen vallan käytön mahdollistajana (ks. PeVL 1/2018 vp, s. 6). Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin. Lailla säätämiseen taas kohdistuu yleinen vaatimus lain täsmällisyydestä ja tarkkuudesta. Toimivaltuuksien tulee perustuslain 2 §:n 3 momentissa vahvistetun oikeusvaltioperiaatteen vuoksi perustua lakiin (ks. myös PeVL 10/2016 vp, s. 3, PeVL 51/2006 vp, s. 2/I).Toimivaltasääntely on valiokunnan käsityksen mukaan yleensä merkityksellistä myös perustuslaissa turvattujen perusoikeuksien näkökulmasta (PeVL 51/2006 vp, s. 2/I).
Hallituksen esityksen säätämisjärjestysperusteluista ilmenee, että arkaluonteisia henkilötietoja käsitellään Rajavartiolaitoksessa sekä direktiivin että asetuksen soveltamisalaan kuuluvia Rajavartiolaitoksen tehtäviä varten. Rajavartiolaitoksen tarpeet käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja liittyvät lähes jokaiseen 1. lakiehdotuksen mukaiseen käsittelytarkoitukseen. Esimerkiksi perustuslakivaliokunnan käytännössä (ks. esim. PeVL 14/2009 vp, s. 3/I) arkaluonteisiin tietoihin rinnastettuja biometrisiä tietoja käsitellään perustelujen mukaan rajavalvonnassa ja rajaturvallisuuden ylläpitämisessä sekä rikosasioissa.
Perustuslakivaliokunta on arvioinut arkaluonteisten tietojen käsittelyä pitäen lähtökohtana, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks. PeVL 42/2016 vp ja siinä viitatut lausunnot). Merkityksellistä on ollut, että valiokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on tämän vuoksi arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (PeVL 29/2016 vp ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp).
Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, PeVL 14/2009 vp). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 3/2017 vp). Tällaista rajausta on valiokunnan uudemmassa käytännössä pidetty säätämisjärjestyskysymyksenä (ks. esim. PeVL 15/2018 vp).
Perustuslakivaliokunnan mukaan arkaluonteisten tietojen käsittelyä koskevaa sääntelyä on sanotun johdosta, tietosuoja-asetuksen mahdollistamissa puitteissa, edelleen syytä arvioida myös aiemman sääntelyn lakitasoisuutta koskevan käytännön pohjalta. Yleistä tietosuoja-asetusta yksityiskohtaisemman lakitasoisen sääntelyn tarve tulee kuitenkin perustella myös tietosuoja-asetuksen puitteissa tapauskohtaisesti. Sääntelyn tarpeen osalta on syytä kiinnittää huomiota myös asetuksessa omaksuttuun riskiperusteiseen lähestymistapaan. Valiokunta painottaa, että myös arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön (PeVL 14/2018 vp).
Rajavartiolaitoksen henkilörekistereihin talletetaan runsaasti sellaisia tietoja, joiden suojaaminen oikeudettomalta käytöltä on erittäin tärkeää. Tällaisessa tilanteessa myös tietojen käytön valvontaan on kiinnitettävä korostettua huomiota (PeVL 51/2018 vp, PeVL 42/2014 vp, ks. myös PeVL 35/2018 vp). Perustuslakivaliokunta korostaa, että tietojen suojaamista oikeudettomalta käytöltä ei voi perustaa yksin rekisterinpitäjää tai tietojen käsittelijää koskevan virkavastuun tai muun seuraamusjärjestelmän varaan (PeVL 51/2018 vp, PeVL 52/2018 vp).
Perustuslakivaliokunta ei ole valtiosääntöisen tehtävänsä puitteissa arvioinut kattavasti ehdotetun sääntelyn suhdetta EU-oikeuteen. Hallintovaliokunnan on syytä varmistua, että ehdotettu sääntely ei ole ristiriidassa EU-oikeuden asettamien vaatimusten kanssa.
Hallintovaliokunta toteaa, että rikosasioiden tietosuojadirektiivin mukaan jäsenvaltion lainsäädännössä, jossa säännellään direktiivin soveltamisalaan kuuluvaa henkilötietojen käsittelyä, on täsmennettävä ainakin käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset. Direktiivissä asetetaan eräänlainen minimitaso. Perustuslakivaliokunta on tietosuojauudistuksen yhteydessä todennut, että direktiivi ei sisällä sellaista yksityiskohtaista sääntelyä, joka muodostaisi riittävän säännöspohjan perustuslaissa turvatun yksityiselämän ja henkilötietojen suojan kannalta (PeVL 14/2018 vp). Sääntelyä on siten täydennettävä kansallisella lailla.
Tietosuoja-asetus puolestaan on suoraan sovellettavaa oikeutta. Tietosuoja-asetus sisältää kuitenkin tietyiltä osin kansallista liikkumavaraa. Kansallisella lailla voidaan täsmentää henkilötietojen käsittelyn oikeusperustaa ja käsittelyn sisältöä sekä esimerkiksi tiettyjen edellytysten vallitessa poiketa rekisteröidyn oikeuksista. Henkilötietojen käsittelyn lainmukaisuudesta säädetään tarkemmin 6 artiklassa. Asetuksen 9 artiklan nojalla voidaan antaa tarkempia säännöksiä myös erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelystä. Perustuslakivaliokunta on korostanut, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (PeVL 14/2018 vp).
Hallituksen esityksen perusteluissa on tehty selkoa esitykseen sisältyvien ehdotusten suhteesta rikosasioiden tietosuojalakiin sekä tietosuoja-asetukseen. Hallintovaliokunta ehdottaa jäljempänä lakiehdotukseen muutoksia, joilla on merkitystä myös EU-oikeuden kannalta. EU:n tietosuojalainsäädännöstä ei seuraa rajoitteita sen suhteen, valitaanko sääntelyratkaisuksi nykyinen rekisteripohjainen tai esityksessä ehdotettu käyttötarkoituksiin perustuva sääntelyratkaisu.
Lisäksi hallintovaliokunta toteaa, että tietosuoja-asetus, tietosuojalaki ja rikosasioiden tietosuojalaki sisältävät yksityiskohtaiset säännökset muun muassa henkilötietojen käsittelyn yleisistä periaatteista, rekisterinpitäjän velvollisuuksista ja rekisteröidyn oikeuksista, tietoturvallisuudesta ja henkilötietojen käsittelyn valvonnasta sekä lainvastaisen henkilötietojen käsittelyn seuraamuksista.
Hallintovaliokunnan näkemyksen mukaan ehdotuksessa on otettu asianmukaisesti huomioon EU-oikeudesta johtuvat vaatimukset. Toimivalta arvioida sääntelyn EU-oikeuden mukaisuutta on kuitenkin Euroopan unionin tuomioistuimella.
Lain soveltamisala
Perustuslakivaliokunta on katsonut, että sovellettavan lainsäädännön kokonaisuutta ei voi luonnehtia selkeäksi ja ymmärrettäväksi, vaikka sääntelyn rakenteessa onkin pyritty selkeyteen ja yksinkertaisuuteen. Sovellettavana olevien EU- ja kansallisten säädösten väliset suhteet muodostuvat osittain päällekkäisiksi ja osittain toisistaan erotettaviksi. Ehdotetun sääntelyn täsmällistä soveltamisalaa on hankalaa ja vaivalloista selvittää lakiehdotuksen sisältämän sääntelyn perusteella. Lakiehdotuksen soveltamisalaa ja suhdetta muuhun lainsäädäntöön määrittelevä 2 § ei tältä osin ole erityisen informatiivinen. Vaikka perustuslakivaliokunnan mielestä on selvää, että varsin merkittävä osa sääntelyn monimutkaisuudesta palautuu EU-oikeuden ja sen tietosuojasääntelyn rajoitettuun ja eriytettyyn soveltamisalaan, on hallintovaliokunnan syytä selvittää keinoja sääntelyn soveltamisalan selkeyttämiseen.
Hallintovaliokunta katsoo, että säännöstasolla ehdotetun lain soveltamisalaa ei EU-sääntelystä tulevista reunaehdoista johtuen ole juurikaan edellytyksiä täsmentää. Ehdotetun sääntelyn jakautuminen eri yleislakien soveltamisalaan on kuvattu lakiehdotuksen 2 §:ssä tietosuojan yleislainsäädännön mahdollistamalla tarkkuudella. Valiokunta toteaa selventävästi seuraavaa.
Rajavartiolaitoksen henkilötietolain soveltamisen ala määrittyy soveltamisalaa koskevan 1 §:n ja suhdetta muuhun lainsäädäntöön sääntelevän 2 §:n muodostamasta kokonaisuudesta. Lakiehdotuksen 1 §:n mukaan Rajavartiolaitoksen henkilötietolakia sovelletaan ainoastaan henkilötietojen käsittelyyn Rajavartiolaitokselle laissa säädettyjen tehtävien suorittamiseksi. Lakia ei siten sovelleta esimerkiksi henkilöstö- ja taloushallintoon liittyvään henkilötietojen käsittelyyn. Lakiehdotuksen 1 §:n mukaan Rajavartiolaitoksen henkilötietolakia sovelletaan, jollei muualla laissa säädetä toisin. Erityissääntelyä sisältyy muun muassa meripelastuslakiin ja ulkomaalaisrekisteristä annettuun lakiin (1270/1997).
Mainitussa 2 §:ssä säädettäisiin siitä, milloin Rajavartiolaitoksen tehtävien suorittamiseksi tapahtuvaan henkilötietojen käsittelyyn sovellettaisiin yleislakina rikosasioiden tietosuojalakia (2 momentti). Rikosasioiden tietosuojalain soveltamisalaan kuuluisi kyseisen lain 1 §:n mukaisesti henkilötietojen käsittely rikosten ennalta estämiseksi, paljastamiseksi, selvittämiseksi tai syyteharkintaan saattamiseksi sekä yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemiseksi ja tällaisten uhkien ehkäisemiseksi, kansallisen turvallisuuden suojaamiseksi sekä sotilasoikeudenhoidossa. Kansallisen turvallisuuden ja sotilasoikeudenhoidon kuuluminen rikosasioiden tietosuojalain soveltamisalaan perustuu mainitun rikosasioiden tietosuojalain 1 §:n 2 momentin 3 kohtaan.
Yleinen tietosuoja-asetus on suoraan sovellettavaa oikeutta, eikä sen soveltamisalaa voida rajoittaa tai selittää kansallisella sääntelyllä. Tästä syystä 2 §:ään sisältyy vain informatiivinen viittaus tietosuoja-asetukseen (1 momentti). Tietosuoja-asetusta ja sitä täydentävää tietosuojalakia sovelletaan Rajavartiolaitoksessa esimerkiksi rajavalvontaan, useisiin Rajavartiolaitokselle säädettyihin valvontatehtäviin, tullitehtäviin ja pelastustehtäviin liittyvään henkilötietojen käsittelyyn.
EU:n tietosuojauudistuksessa on huomioitu asiakirjojen julkisuusperiaate. Tietosuoja-asetuksen 86 artiklassa säädetään tietosuojalainsäädännön ja asiakirjojen julkisuusperiaatteen yhteensovittamisesta. Tietosuojadirektiivin johdanto-osan 16 kappaleen mukaan direktiivi ei rajoita virallisten asiakirjojen julkisuusperiaatetta. Kuten hallituksen esityksen perusteluissa todetaan, luovutettaessa tietoja viranomaisten henkilörekistereistä on otettava huomioon julkisuusperiaate ja salassapitosäännökset siten kuin julkisuuslaissa, etenkin sen 16 §:n 3 momentissa, säädetään. Rikosasioiden tietosuojalakia säädettäessä on lisäksi erikseen tähdennetty, että rikosasioiden tietosuojalailla ei ole tarkoitus muuttaa julkisuuslainsäädännön ja henkilötietojen suojaa koskevan lainsäädännön keskinäissuhdetta (HaVM 14/2018 vp). Perustuslakivaliokunnan lausuntoon viitaten hallintovaliokunta ehdottaa jäljempänä, että lakiehdotuksen 2 §:n viittauksia julkisuuslakiin täsmennetään yksityiskohtaisista perusteluista ilmenevin tavoin.
Kansallisen turvallisuuden ylläpitämiseen liittyvät tehtävät ja meripelastustoimi eivät kuulu EU:n oikeuden soveltamisalaan, eivätkä siten myöskään tietosuoja-asetuksen tai tietosuojadirektiivin soveltamisalaan. Näissä tehtävissä käsiteltävien henkilötietojen osalta kyse on kansallisesta ratkaisusta. Rikosasioiden tietosuojalakia sovelletaan sen 1 §:n 2 momentin 3 kohdan mukaan Rajavartiolaitoksen suorittamaan henkilötietojen käsittelyyn, kun tietoja käsitellään sellaisessa rajavartiolain (578/2005) 3 §:n 2 ja 3 momentissa tarkoitetussa tehtävässä, joka liittyy kansallisen turvallisuuden suojaamiseen. Käsittelyyn ei kuitenkaan sovelleta rikosasioiden tietosuojalain 10 §:n 2 momenttia, 54 §:ää ja 7 lukua. Kansallisen turvallisuuden käsitteen alle voidaan Rajavartiolaitoksessa katsoa kuuluvan etenkin aluevalvonta ja sotilaallinen maanpuolustus, mutta myös Rajavartiolaitoksen muussa toiminnassa voidaan käsitellä kansallisen turvallisuuden ylläpitämiseen liittyviä henkilötietoja (hallituksen esityksessä ehdotetussa 11 §:ssä ja osittain 13 §:ssä säädetyt käsittelytarkoitukset).
Tietosuojalain 2 §:n 1 momentin mukaan tietosuojalakia ja tietosuoja-asetusta sovelletaan, lukuun ottamatta asetuksen 56 artiklaa ja VII lukua, myös sellaiseen henkilötietojen käsittelyyn, jota suoritetaan toiminnassa, joka ei kuulu EU:n toimivaltaan, jollei muualla laissa toisin säädetä. Siten ne tulevat sovellettaviksi myös meripelastustoimen henkilötietojen käsittelyyn. Hallintovaliokunta pitää tätä tarkoituksenmukaisena, jotta tietosuojasäännökset ovat mahdollisimman yhteneväisiä muun pelastustoiminnan sääntelyn kanssa. Valiokunta ehdottaa yksityiskohtaisissa perusteluissa perustuslakivaliokunnan lausuntoon viitaten, että 2. lakiehdotuksen 20 §:ään sisältyvä viittaus muutetaan tältä osin informatiiviseksi viittaukseksi tietosuojalakiin. Lisäksi henkilötietojen käsittelyyn meripelastustoimessa sovellettaisiin täydentävästi Rajavartiolaitoksen henkilötietolakia.
Rajavartiolaitoksen toimivaltuuksista hankkia rikosten estämiseksi ja paljastamiseksi sekä vaaran torjumiseksi tarvittavaa tietoa luottamuksellisen viestin suojan estämättä säädetään rikostorjunnasta Rajavartiolaitoksessa annetussa laissa (108/2018) ja toimivaltuuksista hankkia vastaavaa tietoa rikosten selvittämiseksi pakkokeinolaissa (806/2011) ja esitutkintalaissa (805/2011). Rajavartiolaitoksen toimivaltuuksilla saatujen henkilötietojen käsittelyssä noudatettaisiin tietosuojan yleislainsäädännön sekä ehdotetun Rajavartiolaitoksen henkilötietolain säännöksiä. Silloin, kun toimivaltuussääntelyyn sisältyy henkilötietojen käsittelyä koskevia tiukempia edellytyksiä, näitä tiukempia edellytyksiä on noudatettava Rajavartiolaitoksen henkilötietolain sääntelyn sijasta.
Yleis- ja erityislainsäädännöstä muodostuu joka tapauksessa monitahoinen kokonaisuus. Erityisesti käytännön toiminnassa sovellettavan ja noudatettavan säännöksen identifiointi voi olla vaikeaa. Myös uusi käyttötarkoitusperusteinen sääntely edellyttää uudenlaista ajattelutapaa. Hallintovaliokunta korostaa, että tämä kaikki aiheuttaa merkittävää tarvetta ohjeistaa toimintaa uudella tavalla ja kouluttaa henkilöstöä entistä syvemmin. Valiokunta tähdentää, että viranomaisten henkilörekisterien ja henkilötietojen käsittelyn tulee olla joka suhteessa asianmukaisessa kunnossa ja täyttää lainsäädännössä asetetut vaatimukset. Henkilötietojen käsittelyn kokonaisuuteen kuuluu myös hyvän tiedonhallintatavan ja hyvien käytänteiden noudattaminen.
Henkilötietojen käsittely rikosten ennalta estämiseksi tai paljastamiseksi
Voimassa olevan Rajavartiolaitoksen henkilötietolain 1 §:n mukaan henkilötietoja Rajavartiolaitoksessa käsiteltäessä on noudatettava, mitä henkilötietolaissa tai muualla laissa säädetään, jollei mainitussa laissa toisin säädetä. Henkilötietolakia ja sen korvannutta tietosuojalakia sovelletaan henkilötietojen automaattiseen käsittelyyn ja muuhun henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Voimassa olevan Rajavartiolaitoksen henkilötietolain lähtökohtana on kuitenkin Rajavartiolaitoksen valtakunnallisiin tietojärjestelmiin ja muihin laissa tarkoitettuihin henkilörekistereihin talletettavien tietojen sääntely. Säännökset eivät siten kata henkilötietojen käsittelyä ennen kuin tiedot talletetaan tiettyyn nimettyyn henkilörekisteriin tai tietojärjestelmään.
Käsittelytarkoitusperusteisen sääntelyn yhtenä tavoitteena on kattaa kaikki Rajavartiolaitoksen tehtävien suorittamiseksi tarpeellinen henkilötietojen käsittely. Uusi käsittelytarkoituksiin perustuva sääntely koskee voimassa olevasta laista poiketen myös sellaista yleislainsäädännön määritelmien mukaisen henkilörekisterin muodostavaa tai automaattista käsittelyä, josta voimassa olevassa Rajavartiolaitoksen henkilötietolaissa ei ole säännöksiä.
Näin myös henkilötietojen käsittelyä rikosten ennalta estämiseksi tai paljastamiseksi sääntelevät hallituksen esitykseen sisältyvän 1. lakiehdotuksen 8 ja 9 § koskevat kaikkea Rajavartiolaitoksen ennalta estävän ja paljastavan toiminnan kannalta tarpeellista henkilötietojen kirjaamista ja muuta käsittelyä. Pykälillä korvataan rikosten ennalta estämiseen ja paljastamiseen liittyvä tietojen käsittely voimassa olevan lain 7 §:ssä tarkoitetussa tutkinta- ja virka-apurekisterissä, 11 §:ssä tarkoitetussa rikoksesta epäiltyjen Rajavartiolaitoksen rekisterissä sekä 4 §:ssä tarkoitetuissa Rajavartiolaitoksen muissa henkilörekistereissä.
Lisäksi mainittujen 8 ja 9 §:n tarkoituksena on kattaa käsittelytarkoitusperusteisen sääntelyratkaisun mukaisesti myös sellainen Rajavartiolaitoksen ennalta estävään toimintaan liittyvä tietojen käsittely, josta ei säädetä nykyisessä laissa. Rajavartiolaitos saa esimerkiksi rikostorjunnasta Rajavartiolaitoksessa annetun lain 3 luvun mukaisilla tiedonhankintakeinoilla tietoja henkilöistä, joiden voidaan perustellusti olettaa syyllistyvän rikokseen. Näiden tietojen alkuvaiheen käsittelystä ei säädetä voimassa olevassa laissa, vaikka tietoja on käsiteltävä automaattisesti muun muassa sen selvittämiseksi, täyttyykö rikoksesta epäiltyjen Rajavartiolaitoksen rekisterin tallettamiskynnys. Voimassa olevassa Rajavartiolaitoksen henkilötietolaissa ei toisin sanoen huomioida rikostorjunnasta Rajavartiolaitoksessa annetun lain 3 luvun mukaisilla salaisilla tiedonhankintakeinoilla saatujen tietojen käsittelyä ennen tietojen tallettamista laissa nimettyihin rekistereihin. Ehdotettu 8 §:n 2 momentin 1 kohdan käsittelykynnys ("voidaan perustellusti olettaa") kattaisi rikostorjunnasta Rajavartiolaitoksessa annetun lain 3 luvun mukaisilla tiedonhankintakeinoilla rikoksen estämiseksi saadun tiedon käsittelyn toisin kuin voimassa olevan lain mukainen "syytä epäillä" -kynnys.
Perustuslakivaliokunta on kiinnittänyt huomiota siihen, että esityksen säätämisjärjestysperustelujen mukaan ehdotetut 8 ja 9 § merkitsisivät valtakunnallisesti käsiteltävän tietosisällön laajenemista voimassaolevaan lakiin verrattuna sekä tietosisällön että rekisteröitävien henkilöryhmien osalta. Voimassa olevassa laissa rekisteriin merkitseminen on sidottu epäillyn rikoksen rangaistuksen vakavuuteen siten, että rikokseen syyllistyvän tai siihen syyllistyneen tietoja saadaan käsitellä, jos epäillystä rikoksesta saattaa seurata vankeutta. Rikokseen myötävaikuttaneen tai myötävaikuttavan henkilön tietoja taas saadaan voimassa olevan sääntelyn mukaan käsitellä, jos epäillystä rikoksesta saattaa seurata enemmän kuin kuusi kuukautta vankeutta tai jos epäilty rikos on huumausaineen käyttörikos. Perustuslakivaliokunta toteaa, että 8 §:ssä epäilyn kohteena olevalle rikokselle ei asetettaisi lainkaan sen vakavuuteen kohdistuvaa kynnystä, vaan pykälän mukaan siinä tarkoitettujen tietojen olisi liityttävä henkilöihin, joiden "voidaan perustellusti olettaa syyllistyneen tai syyllistyvän rikokseen". Voimassa olevan lain 11 §:n 1 momentin mukaan tietojen käsittelyn edellytyksenä on, että henkilön on "syytä epäillä" syyllistyvän tai syyllistyneen rikokseen. Valiokunta huomauttaa, että viranomaisepäily rikoksesta muodostaa tietosuoja-asetuksen 10 artiklassa erityisesti säännellyn valtiosääntöisesti arkaluonteisen henkilötiedon. Hallintovaliokunnan on täydennettävä sääntelyä sitomalla käsittely epäillyn rikoksen vakavuuteen. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Lisäksi perustuslakivaliokunnan lausunnon mukaan hallintovaliokunnan on syytä korottaa perustellun olettamuksen vaatimusta esimerkiksi voimassa olevan lain mukaiseen "syytä epäillä" -vaatimukseen.
Seuraavassa tarkastellaan lähemmin hallituksen esityksessä ehdotettuja muutoksia suhteessa voimassa olevaan lakiin. Selvyyden vuoksi hallintovaliokunta toteaa, että Rajavartiolaitoksella ei ole vastaavaa sääntelyä tilapäisistä rikosanalyysirekistereistä kuin poliisilla.
Rikoksesta epäiltyjen Rajavartiolaitoksen rekisteri
Rikoksesta epäiltyjen Rajavartiolaitoksen rekisteristä säädetään voimassa olevan lain 11 §:ssä. Rekisteri voi sisältää poliisilain 1 luvun 1 §:n 1 momentissa tarkoitettujen Rajavartiolaitokselle rajavartiolaissa, rikostorjunnasta Rajavartiolaitoksessa annetussa laissa tai muualla laissa säädettyjen tehtävien suorittamiseksi hankittuja rikostiedustelu-, tarkkailu- ja havaintotietoja henkilöistä, joiden on syytä epäillä syyllistyvän tai syyllistyneen Rajavartiolaitoksen tutkittavaksi kuuluvaan rikokseen, josta saattaa seurata vankeutta, taikka myötävaikuttavan tai myötävaikuttaneen Rajavartiolaitoksen tutkittavaksi kuuluvaan rikokseen, josta saattaa seurata enemmän kuin kuusi kuukautta vankeutta, tai huumausaineen käyttörikokseen.
Hallintovaliokunta on kiinnittänyt huomiota puutteisiin, joita vastaavansisältöiseen poliisin epäiltyjen tietojärjestelmän henkilötietojen käsittelyyn liittyy (HaVL 40/2014 vp). Henkilöitä voidaan rekisteröidä vain epäiltyinä ja myötävaikuttajina. Hallintovaliokunta on todennut mietinnössään (HaVM 16/2014 vp), että kun henkilöstä syötetään tietoja epäiltyjen rekisteriin, tulee hänen osaltaan täyttyä perusteet, joiden nojalla henkilön voidaan epäillä syyllistyvän tai syyllistyneen rikokseen taikka myötävaikuttavan tai myötävaikuttaneen rikokseen. Kynnys "syytä epäillä" on sama kuin esitutkintalaissa säädetyn rikoksen johdosta esitutkinnan toimittamisen kynnys.
Sääntelyn soveltamisen vaativuutta kuvaa hallintovaliokunnan näkemyksen mukaan se, että kysymys ei ole pelkästään epäillystä henkilön jo tapahtuneesta syyllistymisestä tai myötävaikuttamisesta, vaan epäillystä tulevaisuudessa tapahtuvasta syyllistymisestä tai myötävaikuttamisesta lainkohdassa tarkoitettuun rikokseen. Valiokunta on pitänyt selvänä, että epäilyn tulee tällöinkin perustua konkreettisiin havaintoihin, joista voidaan päätellä henkilön tuleva käyttäytyminen niin, että "syytä epäillä" -edellytys täyttyy hyväksyttävästi. Arvion tekeminen henkilön tulevasta käyttäytymisestä on sellaisen epävarman päättelyketjun varassa, että virhearvioinnin riski on varsin suuri.
Rikoksesta epäiltyjen Rajavartiolaitoksen rekisteriä koskevaa sääntelyä on pidetty myös Rajavartiolaitoksen toiminnan kannalta epätarkoituksenmukaisena ja puutteellisena. Rikoksesta epäiltyjen Rajavartiolaitoksen rekisteriä koskeva säännös ei nykymuodossaan palvele kokonaisvaltaisesti Rajavartiolaitoksen ennalta estävää toimintaa, ennakointia ja systemaattisesti kerätyn ja käsitellyn tiedon hyödyntämistä. Säännöstä koskevien hallituksen esityksen (HE 6/2005 vp) perusteluiden mukaan rikoksesta epäiltyjen Rajavartiolaitoksen rekisterin käyttötarkoituksesta johtuen rikoksen yksilöinnillä ei voitaisi edellyttää kovin suurta täsmällisyyttä. Tämä koskisi esimerkiksi tunnetun rikollisryhmän jäsenten toimintaa. Pykälän sanamuodon perustana on kuitenkin henkilölähtöinen rikostiedustelu siten, että Rajavartiolaitoksella olisi oltava tiedossa konkreettinen yksittäiseen henkilöön kohdistuva rikosepäily, eikä sääntelyllä kateta laajemmin esimerkiksi järjestäytyneeseen rikollisuuteen tai rikollisryhmiin kohdistuvaa tehtävälähtöistä rikosanalyysiä.
Rikosten ennalta estämiseksi ja paljastamiseksi suoritettavaa henkilötietojen käsittelyä koskevien 8 ja 9 §:n muotoilussa on kiinnitetty huomiota edellä kuvattuihin hallintovaliokunnan poliisin epäiltyjen tietojärjestelmää koskeviin huomautuksiin (HaVL 40/2014 vp ja HaVM 16/2014 vp). Ehdotetun 8 §:n mukaan Rajavartiolaitos voisi käsitellä henkilötietoja tehtävälähtöisesti rikosten ennalta estämiseen ja paljastamiseen liittyvän tehtävän suorittamiseksi. Käsiteltävät henkilöryhmät lueteltaisiin pykälässä tyhjentävästi.
Hallituksen esityksen mukaan tietoja voitaisiin 8 §:n 2 momentin 1 kohdan nojalla käsitellä sellaisista henkilöistä, joiden voidaan perustellusti olettaa syyllistyneen tai syyllistyvän rikokseen. Perustuslakivaliokunnan lausunnon johdosta hallintovaliokunta ehdottaa jäljempänä yksityiskohtaisissa perusteluissa tarkemmin esitetyin tavoin käsittelykynnystä korotettavaksi siten, että tietoja voitaisiin käsitellä ainoastaan sellaisista henkilöistä joiden voidaan perustellusti olettaa syyllistyneen tai syyllistyvän rikokseen, josta laissa säädetty ankarin rangaistus on vankeutta. Voimassa olevan lain 11 §:n "syytä epäillä" -kynnys kytkeytyy käsitteenä esitutkinnan käynnistämiskynnykseen ja on vaikeasti sovellettavissa ennalta estävään ja paljastavaan toimintaan. Rajavartiolaitoksen ennalta estävä toiminta kohdistuu tyypillisesti henkilöihin, joiden osalta ei vielä ole syntynyt velvoitetta esitutkinnan käynnistämiseen. "Syytä epäillä" -käsittelykynnystä ei ennalta estävässä ja paljastavassa toiminnassa voida tulkita samoin kuin rikosten selvittämisen yhteydessä. Käsittelykynnys on siten tarkoituksenmukaista muotoilla tavalla, joka kytkeytyy nimenomaisesti rikosten ennalta estämiseen ja paljastamiseen sekä niihin liittyviin tiedonhankintatoimivaltuuksiin. Ehdotettu uusi käsittelykynnys ("voidaan perustellusti olettaa") on siten perusteltu myös siitä syystä, että se kytkeytyy "syytä epäillä" -kynnystä selkeämmin rikoksen ennalta estämiseksi ja paljastamiseksi tapahtuvaa tiedonhankintaa sääntelevään rikostorjunnasta Rajavartiolaitoksessa annetun lain 3 lukuun.
Hallituksen esityksessä ehdotetun 8 §:n 2 momentin 2 kohdan perusteella voisi käsitellä tietoja henkilöistä, jotka ovat yhteydessä 1 kohdassa tarkoitettuun henkilöön tai jotka tavataan tämän seurassa, ja yhteydenpidolla tai tapaamisella voidaan toistuvuuden, olosuhteiden tai henkilön käyttäytymisen vuoksi olettaa olevan yhteys rikokseen. Henkilöryhmä on voimassa olevaan lakiin verrattuna uusi. Tarve käsitellä kontaktien ja kumppanien tietoja on huomioitu myös rikosasioiden tietosuojadirektiivissä, jonka 6 artiklassa säädetään eri ryhmiin kuuluvien rekisteröityjen erottamisesta. Artiklan d kohdassa mainitaan kontaktit ja kumppanit. Näiden henkilöiden tulee liittyä henkilöihin, joiden voidaan vakavin perustein uskoa syyllistyneen tai olevan syyllistymässä rikokseen, tai rikoksesta tuomittuihin henkilöihin.
Perustuslakivaliokunnan edellyttämä käsittelyn sitominen rikoksen vakavuusasteeseen rajaa myös mainitussa 2 kohdassa tarkoitettua henkilöryhmää hallituksen esityksessä ehdotettua suppeammaksi. Kyseisen kohdan nojalla voidaan käsitellä tietoja ainoastaan sellaisista henkilöistä, jotka ovat yhteydessä vankeusuhkaisiin rikoksiin rajatussa 1 kohdassa tarkoitettuihin henkilöihin. Rekisterinpitäjän olisi erotettava rikosasioiden tietosuojalain vaatimusten mukaisesti tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat käsiteltävän asian kannalta eri asemassa olevia rekisteröityjä.
Mainitun 8 §:n 2 momentin 3 kohdan perusteella Rajavartiolaitos voisi käsitellä tietoja henkilöistä, jotka ovat rikostorjunnasta Rajavartiolaitoksessa annetun lain 21 §:ssä tarkoitetun tarkkailun kohteena. Tarkkailulla tarkoitetaan rikostorjunnasta Rajavartiolaitoksessa annetun lain 21 §:n 1 momentin mukaan tiettyyn henkilöön salaa kohdistettavaa havaintojen tekemistä tiedonhankintatarkoituksessa. Kohdassa tarkoitettuihin henkilöihin kuuluisivat sellaiset tarkkailun kohteena olevat henkilöt, joiden tietojen käsittely ei ole mahdollista momentin 1 ja 2 kohdan nojalla. Asian käsittelyn yhteydessä on ilmennyt tarve lisätä kohtaan myös muiden Rajavartiolaitoksen toimenpiteiden kohteena olevien henkilöiden tietojen kirjaaminen, jota käsitellään tarkemmin jäljempänä tutkinta- ja virka-apurekisterin kohdalla.
Hallintovaliokunta on kiinnittänyt huomiota rikoksesta epäiltyjen Rajavartiolaitoksen rekisteriä vastaavan poliisin epäiltyjen tietojärjestelmän osalta siihen, että täydentävään "selostusosaan" on lisäksi saattanut olla merkittynä esimerkiksi henkilö, johon epäillyn väkivallan uhka kohdistuu tai voi kohdistua (HaVL 40/2014 vp). Myös perustuslakivaliokunta on jo aiemmin kiinnittänyt poliisin epäiltyjen tietojärjestelmän osalta huomiota siihen, että rekisteriin saadaan perustelujen mukaan tallettaa tekoon liittyvinä tietoina myös tietoja rikosten potentiaalisista tai todellisista uhreista. Lain sisältö ei kuitenkaan ulotu tähän tarkoitukseen asti (PeVL 51/2002 vp). Sitä, että uhrien tietojen tallettaminen rekisteriin ilmenee vain säännöksen perusteluista, ei voida pitää perustuslakivaliokunnan tulkintakäytännössä edellytettynä tarkkarajaisena sääntelynä.
Rajavartiolaitoksen on tietyissä tilanteissa välttämätöntä käsitellä myös muiden kuin rikostiedustelun ensisijaisten kohdehenkilöiden tietoja. Näiden henkilöiden tietojen käsittelylle asetettaisiin hallituksen esityksessä ehdotetun 8 §:n 3 momentissa korkeampi kynnys. Rikoksen uhrien, asianomistajina esiintyvien henkilöiden, ilmoittajien ja todistajien tietojen käsittely voi olla välttämätöntä esimerkiksi silloin, kun pyritään estämään ennalta jo tapahtuneen rikoksen todistajaan tai asianomistajaan kohdistuva uusi rikos. Sääntely selventää nykytilaa ja mahdollistaa nimenomaisesti esimerkiksi uhrien tietojen käsittelyn, joka rikoksesta epäiltyjen Rajavartiolaitoksen rekisterin osalta on ilmennyt vain säännöksen perusteluista.
Hallintoyksikkökohtaiset rekisterit
Voimassa olevan lain 4 §:n mukaan Rajavartiolaitoksessa voidaan perustaa tarpeellinen henkilörekisteri Rajavartiolaitoksen valtakunnalliseen käyttöön, hallintoyksikön tai hallintoyksiköiden käyttöön taikka Rajavartiolaitoksessa muodostetun työryhmän käyttöön. Saadun selvityksen mukaan säännöksen nojalla on perustettu esimerkiksi hallintoyksikkökohtaisia rekistereitä rikosten ennalta estämiseksi tai paljastamiseksi. Tällaisten rekisterien ongelmana toiminnalliselta kannalta on se, että niihin sisältyvät tiedot eivät ole käytettävissä valtakunnallisesti. Tietojen hajanainen tallentaminen on ongelmallista myös valvonnan kannalta.
Hallituksen esityksessä ehdotetussa 8 §:ssä käsittelykynnys olisi eräiden henkilöryhmien osalta nykyistä korkeampi. Voimassa olevassa laissa ei säädetä lainkaan 4 §:n mukaisesti perustettuihin rekistereihin talletettavista henkilöryhmistä, joten sääntely täsmentyisi huomattavasti nykytilaan verrattuna. Tietoja voitaisiin kuitenkin jatkossa käsitellä valtakunnallisesti rikosten ennalta estämiseen tai paljastamiseen liittyvän tehtävän suorittamiseksi. Näin ollen tietoja käsiteltäisiin Rajavartiolaitoksen esikunnan rekisterinpidossa yhtenäisten valtakunnallisten prosessien mukaisesti, mikä helpottaisi käsittelyn ohjausta ja valvontaa sekä tietojen suojaamista.
Tutkinta- ja virka-apurekisteri
Rajavartiolaitoksen tutkinta- ja virka-apurekisterin havaintotietoja koskeva sääntely (voimassa olevan lain 7 §:n 3 momentin 3 kohta) on hallituksen esityksessä sisällytetty rikosten ennalta estämistä ja paljastamista koskevien säännösten yhteyteen 8 §:n 5 momenttiin. Havaintotietojen osalta sääntelyyn ei ehdoteta sisällöllisiä muutoksia, vaan käsittelykynnys säilyisi nykyistä vastaavana.
Havaintotietojen lisäksi Rajavartiolaitos tallettaa tutkinta- ja virka-apurekisteriin rikosten ennalta estämiseksi myös voimassa olevan lain 7 §:n 2 momentissa tarkoitettujen todistajien, ilmoittajien ja muuten asiaan liittyvien henkilöiden tietoja. Näistä henkilöistä järjestelmään talletetaan 7 §:n 3 momentin 1 kohdan c alakohdassa tarkoitettuja tietoja muista Rajavartiolaitoksen tehtävään, toimenpiteeseen ja tapahtumaan liittyvistä tarpeellisista kuvauksista, olosuhteista ja yksilöinneistä. Tutkinta- ja virka-apurekisteriin talletetaan tällä perusteella tietoja esimerkiksi henkilöistä, joiden käytös, puheet, toiminta tai kirjoittelu on ollut Rajavartiolaitokselle peruste toimintaan puuttumiselle. Kyse on toimenpiteen yhteydessä suoritettavasta tiedonhankinnasta, jossa tiedot kerätään pääosin suoraan toiminnan kohteelta. Toiminta eroaa tarkkailusta siten, että kyse on usein vuorovaikutuksessa, ei salaa, tehdystä tiedonkeruusta. Lisäksi toimenpiteet pitävät sisällään esimerkiksi erilaisia lisäselvityksiä (kuten rekisterikyselyitä), joiden pohjalta Rajavartiolaitos arvioi jatkotoimenpiteiden tarpeellisuutta. Esimerkiksi asiakirjatutkinnassa selvitetään haltuun otettujen asiakirjojen alkuperää. Tällainen paljastava toiminta ei välttämättä johda rikoksen selvittämiseen. Tietojen kirjaaminen ja tallettaminen on tärkeää myös osapuolten oikeusturvan kannalta. Rajavartiolaitos kirjaa näitä ilmoituksia tutkinta- ja virka-apurekisteriin vuosittain noin 200.
Hallituksen esityksessä ehdotetun 8 §:n 2 momenttiin ehdotetut henkilöryhmät eivät kata esimerkiksi edellä kuvattua kohdehenkilöiden tietojen käsittelyä, vaikka tiedonhankinnalla onkin yhtäläisyyksiä tarkkailutoiminnan kanssa. Rajavartiolaitoksen toimenpiteen kohteena on ennalta estävässä toiminnassa usein myös sellaisia henkilöitä, joiden ei voida perustellusti olettaa syyllistyvän vankeusuhkaiseen rikokseen tavalla, jota valiokunnan 2 momentin 1 kohtaan ehdottama käsittelykynnys edellyttää. Rajavartiolaitokselle voi syntyä selonottovelvoite tai velvoite ryhtyä toimenpiteisiin myös tilanteissa, joissa henkilön ei vielä voida perustellusti olettaa syyllistyvän rikokseen. Lisäksi toimenpiteen kohteena voi olla myös henkilöitä, joiden voidaan perustellusti olettaa syyllistyvän rikokseen (tai olevan 8 §:n 2 momentin 2 kohdassa tarkoitetulla tavalla yhteydessä rikolliseen toimintaan), mutta rikoksen vakavuusaste ei ole selvillä. Pykälissä tarkoitetun käsittelyn ulkopuolelle jäisi siten myös osa sellaisista henkilötiedoista, joita voidaan käsitellä voimassa olevan lain mukaisessa tutkinta- ja virka-apurekisterissä ilman, että käsittely on sidottu rikoksen vakavuusasteeseen. Näin ollen muutos heikentäisi Rajavartiolaitoksen mahdollisuuksia ennalta estävän toiminnan tietojen kirjaamiseen joiltain osin nykytilaan verrattuna.
Rajavartiolaitoksen ennalta estävään ja paljastavaan toimintaan liittyvän toimenpiteen kohteiden käsittelyn kattamiseksi on hallituksen esityksessä ehdotettuun 8 §:n 2 momentin 3 kohtaan hallintovaliokunnan näkemyksen mukaan tarve lisätä uusi henkilöryhmä, Rajavartiolaitoksen toimenpiteen kohteena olevat henkilöt. Rajavartiolaitoksen olisi voitava käsitellä myös näiden toimenpiteen kohteena olevien henkilöiden tietoja rikosten ennalta estämiseen ja paljastamiseen liittyvien tehtävien suorittamiseksi, kunnes selviää, täyttyykö 8 §:n 2 momentin 1 tai 2 kohdan mukainen käsittelykynnys. Rajavartiolaitoksen toimenpiteet luonnollisten henkilöiden osalta liittyvät aina yksittäiseen tehtävään, ja niihin voi liittyä eriasteista julkisen vallan käyttöä.
Ennalta estävän toiminnan kirjaamista ei ole nimenomaisesti huomioitu Rajavartiolaitoksen tutkinta- ja virka-apurekisteriä koskevissa säännöksissä lukuun ottamatta 7 §:n 1 momentissa määriteltyä käsittelytarkoitusta, joka kattaa kaikki poliisilain 1 luvun 1 §:n 1 momentissa tarkoitetut rajavartiolaissa, rikostorjunnasta Rajavartiolaitoksessa annetussa laissa tai muualla laissa Rajavartiolaitokselle säädetyt tehtävät. Ehdotetut 8 ja 9 § selventäisivät tältä osin Rajavartiolaitoksen mahdollisuuksia toimenpiteen kohteena olevien henkilöiden tietojen käsittelyyn voimassa olevaan lakiin verrattuna. Valiokunta huomauttaa, että voimassa oleva 7 § mahdollistaa tietojen käsittelyn myös tarkemmin määrittelemättömistä "muista asiaan liittyvistä henkilöistä", joten käsiteltävät henkilöryhmät rajautuisivat valiokunnan ehdottamassa muotoilussa huomattavasti voimassa olevaa lakia tiukemmin. Valiokunta viittaa yksityiskohtaisissa perusteluissa esitettyyn.
Yhteenveto
Hallintovaliokunta ehdottaa yksityiskohtaisissa perusteluissa perustuslakivaliokunnan valtiosääntöisen huomautuksen huomioon ottamiseksi, että henkilötietojen käsittely sidotaan epäillyn rikoksen vakavuuteen. Henkilötietojen käsittelykynnystä korotettaisiin siten, että tietoja voitaisiin käsitellä ainoastaan sellaisista henkilöistä, joiden voidaan perustellusti olettaa syyllistyneen tai syyllistyvän rikokseen, josta laissa säädetty ankarin rangaistus on vankeutta.
Hallintovaliokunta toteaa, että mikäli käsittelykynnys nostettaisiin "syytä epäillä" -tasolle, korostuisi tarve toimenpiteen kohteena olevien henkilöiden tietojen käsittelyyn entisestään. Toimenpiteen kohteiden tietoja olisi tässä tilanteessa käsiteltävä 8 §:n 2 momentin 3 kohdan nojalla, kunnes käy ilmi, onko henkilön syytä epäillä syyllistyneen tai syyllistyvän vankeusuhkaiseen rikokseen. Edellä rikosten ennalta estämistä ja paljastamista koskevien säännösten ja niitä koskevan rekisterivertailun yhteydessä esitetyin perustein valiokunta toteaa, että se pitää hallituksen esityksessä ehdotettua käsittelykynnystä "voidaan perustellusti olettaa" perusteltuna eikä ehdota sen muuttamista.
Hallintovaliokunta korostaa, että Rajavartiolaitoksen toimintaan johtavan päätöksenteon tulee pohjautua asianmukaiseen, oikeaan ja ajantasaiseen tietoon. Tietojen käsittelyllä varmistetaan tehtävien ja toimenpiteiden oikeasuhtainen kohdentuminen eli tietojohtoinen toiminta. Tietojen käsittely ja dokumentointi on myös oikeussuojakeino, jolla varmistetaan sekä toimenpiteen kohteiden sekä toimenpiteitä suorittavien henkilöiden oikeusturva. Toiminnan jälkikäteinen arviointi voi lähtökohtaisesti perustua vain dokumentoituun tietoon.
Tietojen luovuttaminen ja vastaanottaminen
Rajavartiolaitoksen henkilötietolaista antamassaan lausunnossa perustuslakivaliokunta viittaa hallituksen esityksessä ehdotettuun lain 17 §:ään, jossa säädetään Rajavartiolaitoksen oikeudesta saada tietoja viranomaiselta (PeVL 58/2018 vp). Lausunnossa viitataan siihen, että perustuslakivaliokunta on arvioinut viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta ja kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 17/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Valiokunta on antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan täsmällisyyttä ja sisältöä. Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (ks. esim. PeVL 15/2018 vp, s. 39). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 14/2018 vp, s. 5). Valiokunnan mukaan samanlaisia lähtökohtia voidaan soveltaa myös tietojen saamiseen ja luovuttamiseen yksityiseltä esimerkiksi pankkisalaisuuden estämättä. (ks. PeVL 48/2018 vp, s. 5).
Perustuslakivaliokunta katsoo, että Rajavartiolaitoksen henkilötietolakiin ehdotettua 17 §:n sääntelyä on täsmennettävä ja muutettava perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan johdosta valiokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Vastaava säätämisjärjestyskannanotto kohdistuu lakiehdotuksen 18 §:n sääntelyyn tietojen saannista yksityiseltä yhteisöltä ja henkilöltä, 20 §:n sääntelyyn tietojen saannista eräistä rekistereistä ja tietojärjestelmistä, 30 §:n sääntelyyn henkilötietojen luovuttamisesta toiselle rikosasioiden tietosuojalaissa tarkoitetulle toimivaltaiselle viranomaiselle sekä 31 §:n sääntelyyn henkilötietojen muusta luovuttamisesta viranomaiselle.
Hallituksen esitykseen HE 259/2018 vp sisältyvästä Tullin henkilötietolaista annetun perustuslakivaliokunnan lausunnon (PeVL 60/2018 vp) mukaan lakiehdotuksen 14 §:n sääntelyä Tullin oikeudesta saada tietoja eräistä rekistereistä ja tietojärjestelmistä on täsmennettävä ja muutettava perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan johdosta valiokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Vastaava säätämisjärjestyskannanotto kohdistuu 15 §:n lakiehdotuksen sääntelyyn muiden viranomaisten tietojen luovuttamiseen Tullille suorakäyttöisesti tallettamalla tai tietojoukkona tallettamista varten, 18 §:n sääntelyyn henkilötietojen luovuttamisesta toiselle rikosasioiden tietosuojalaissa tarkoitetulle toimivaltaiselle viranomaiselle ja 19 §:n sääntelyyn muusta henkilötietojen luovuttamisesta viranomaisille.
Vastaavat säännökset tietojen luovuttamisesta ja saamisesta sisältyvät myös poliisin henkilötietolakiin (HE 242/2018 vp). Perustuslakivaliokunnan lausuntoon sisältyy valtiosääntöinen huomautus vain suojelupoliisia koskevaan lakiehdotuksen 51 §:ään (PeVL 51/2018 vp). Hallintovaliokunta katsoo, että sääntelyn tulisi olla mahdollisimman yhdenmukaista ottaen huomioon poliisin, Tullin ja Rajavartiolaitoksen PTR-yhteistyö ja muu viranomaisten välinen yhteistyö. Sääntely ei myöskään saisi johtaa siihen, että tietoja voi luovuttaa muihin EU-/ETA-maihin tai kolmansiin maihin väljemmin kriteerein kuin kansallisesti.
Lisäksi on huomioitava se, että yleisen käytännön mukaan tietojen luovuttamista ja tiedonsaantioikeutta koskevat säännökset on sisällytetty sekä luovuttavan että vastaanottavan viranomaisen lainsäädäntöön. Tällainen sääntelytapa ei kuitenkaan ole ollut kattavaa. Hallintovaliokunta on kiinnittänyt huomiota kaksinkertaiseen sääntelyyn muun muassa mietinnössään HaVM 36/2014 vp.
Kaksinkertaisen sääntelyn lisäksi tiedonvaihtoa on säännelty erityislainsäädännössä myös siten, että tiedonsaantioikeudesta säädetään vain tiedon luovuttajaa koskevissa säädöksissä sekä siten, että tiedonsaantioikeudet sisältyvät vain vastaanottajaa koskevaan lainsäädäntöön. Rajavartiolaitoksen henkilötietolaissa olisi tarkoitus luopua mahdollisuuksien mukaan kaksinkertaisesta sääntelystä siten, että Rajavartiolaitoksen tiedonsaantioikeutta koskevat säännökset olisivat vain tiedon luovuttajaa koskevissa säädöksissä. Kaikilta osin voimassa olevan Rajavartiolaitoksen henkilötietolain mukaista tiedonsaantioikeutta vastaavaa luovutussäännöstä ei olisi kuitenkaan mahdollista sijoittaa mihinkään voimassa olevaan erityislakiin.
Hallintovaliokunta toteaa, että ehdotettu sääntely olisi nyt muodostumassa erilaiseksi yhtäältä poliisin ja Rajavartiolaitoksen/Tullin välillä, toisaalta eräiltä osin myös Tullin ja Rajavartiolaitoksen välillä. Edellytetyt muutokset johtaisivat myös siihen, että tietoja voisi luovuttaa muihin EU-/ETA-maihin tai kolmansiin maihin väljemmin kriteerein kuin kansallisesti.
Perustuslakivaliokunta on lausunnoissaan antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan täsmällisyyttä ja sisältöä. Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (ks. esim. PeVL 15/2018 vp, s. 39).
Hallintovaliokunta toteaa, että arkaluonteisia henkilötietoja käsitellään Rajavartiolaitoksessa sekä poliisidirektiivin että tietosuoja-asetuksen soveltamisalaan kuuluvia Rajavartiolaitoksen tehtäviä varten. Lisäksi Rajavartiolaitoksen tarpeet käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja liittyvät lähes jokaiseen lakiehdotuksen mukaiseen käsittelytarkoitukseen.
Tietosuojasääntely on EU:n tietosuojauudistuksen myötä tiukentunut. Tietosuoja-asetuksen 5 artiklassa säädetään henkilötietojen käsittelyssä noudatettavista periaatteista ja 6 artiklassa käsittelyn lainmukaisuudesta. Henkilötietojen käsittely on lainmukaista muun muassa silloin, jos käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.
Tietosuoja-asetuksen 9 artiklan 1 kohdan mukaan erityisiä henkilötietoryhmiä koskevien henkilötietojen käsittely on lähtökohtaisesti kielletty. Erityisiä henkilötietoryhmiä ovat henkilötiedot, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys. Erityisten henkilötietoryhmien käsittelyä on myös geneettisten tietojen käsittely, biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely. Artiklan 2 kohdan mukaan kyseisiä tietoja voidaan kuitenkin käsitellä, jos joku 2 kohdan alakohdissa säädetyistä edellytyksistä täyttyy. Osa näistä alakohdista on suoraan sovellettavaa oikeutta, osa edellyttää kansallista lainsäädäntöä.
Tietosuoja-asetusta täydentävän kansallisen tietosuojalain 6 §:ssä säädetään tilanteista, joissa arkaluonteisia henkilötietoja saa käsitellä siltä osin kuin kyseinen henkilötietojen käsittely ei ole mahdollista suoraan tietosuoja-asetuksen 9 artiklan 2 kohdan nojalla. Tässä yhteydessä on kuitenkin tärkeää huomata, että erityisten henkilötietoryhmien käsite ei ole täysin sama kuin aiemmin voimassa olleen henkilötietolain 12 §:ssä tarkoitetut henkilötiedot. Tietosuoja-asetus edellyttää lisäksi, että jäsenvaltion lainsäädännössä säädetään tällöin myös asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn perusoikeuksien ja etujen suojaamiseksi.
Rikosasioiden tietosuojalain 6 §:n mukaan käsiteltävien henkilötietojen on oltava käsittelyn tarkoituksen kannalta asianmukaisia ja tarpeellisia, eivätkä ne saa olla liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään. Erityiset henkilötietoryhmät ovat rikosasioiden tietosuojalain 11 §:n mukaan vastaavat kuin tietosuoja-asetuksessa. Erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittely on sallittu vain, jos se on välttämätöntä ja rekisteröidyn oikeuksien turvaamisen edellyttämät suojatoimet on toteutettu ja käsittelylle on osoitettavissa 11 §:ssä mainittu oikeusperuste, esimerkiksi erityislaki.
Käsittelyllä tarkoitetaan tietosuoja-asetuksessa toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojen käsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista (4 artiklan 2 kohta). Rikosasioiden tietosuojalain 3 §:ssä käsittely määritellään vastaavalla tavalla.
Perustuslakivaliokunta on lausunnossaan pitänyt säätämisjärjestyskysymyksenä sitä, että erityisen perusoikeusherkkään lakiehdotukseen tulee lisätä yleissäännös arkaluonteisten tietojen käsittelyyn kohdistuvasta välttämättömyysvaatimuksesta. Vaihtoehtoisesti sääntelyä on täydennettävä pykäläkohtaisesti arkaluonteisten tietojen käsittelyn välttämättömyyteen sitovilla säännöksillä. Hallintovaliokunta ehdottaa perustuslakivaliokunnan lausunnon johdosta tällaisen yleissäännöksen ottamista uuteen 4 §:ään yksityiskohtaisista perusteluista tarkemmin ilmenevin tavoin.
Kun tietojen luovuttaminen ja vastaanottaminen ovat edellä todetulla tavalla kummankin tietosuojasäädöksen soveltamisalalla tietojen käsittelyä, koskee hallintovaliokunnan ehdottama uusi säännös erityisiä henkilötietoryhmiä koskevien tietojen käsittelyn välttämättömyys-kriteeristä myös tietojen luovuttamista ja saamista, minkä johdosta säännös täyttää myös perustuslakivaliokunnan käytännössä arkaluonteisten tietojen käsittelyä viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevalta sääntelyltä edellytetyn.
Muiden kuin erityisiä henkilötietoryhmiä koskevien tietojen osalta tulee sovellettavaksi yleislainsäädäntö, toisin sanoen tietosuoja-asetus ja tietosuojalaki sekä rikosasioiden tietosuojalaki, joiden mukaan henkilötietoja saa käsitellä vain, jos se on tarpeen viranomaiselle säädetyn tehtävän suorittamiseksi.
Hallintovaliokunta katsoo, että sääntely hallintovaliokunnan ehdottamassa muodossa täyttää EU-oikeudessa ja perustuslakivaliokunnan vakiintuneessa tulkintakäytännössä henkilötietojen käsittelylle asetetut edellytykset ja ottaa huomioon hallituksen esitykseen sisältyvän 1. lakiehdotuksen 17, 18, 20, 30 ja 31 §:stä tehdyt valtiosääntöoikeudelliset huomautukset.
Tietojen säilytysajat
Henkilötietojen säilytysajoista säädetään ehdotetun lain 5 luvussa. Asiantuntijakuulemisessa hallintovaliokunnan huomiota on kiinnitetty siihen, että joidenkin tietojen säilytysaika on ilmaistu absoluuttisena ("viiden vuoden kuluttua"), joidenkin enimmäisaikana ("viimeistään kymmenen vuoden kuluttua"). Absoluuttista enimmäisaikaa tulisi käyttää vain silloin, kun etukäteen voidaan tietää säilytystarpeen pituus. Säännösten soveltamisessa tulisi kuitenkin ottaa huomioon, että tiedot tulee poistaa, kun niiden säilyttämiseen ei ole enää perustetta. Suhteellisuusperiaatteen toteuttamiseksi tietojen säilytysaikaa voi lisäksi olla myös tarpeen porrastaa tiedon tarpeellisuuden mukaan. Lisäksi on katsottu, että esimerkiksi hallituksen esityksessä ehdotetun 44 §:n 4 momentin 6 kohdassa ja 45 §:n 2 momentin 1 kohdassa sallitaan tietojen säilytyksen toistuva jatkaminen varsin väljillä perusteilla.
Hallintovaliokunta toteaa, että 5 luvun poistoaikoja noudatetaan, ellei jokin muu säännös edellytä tietojen poistamista jo aiemmin. Valiokunta pitää kuitenkin perusteltuna, että säilytysajat ilmaistaan joiltain osin absoluuttisessa muodossa. Esimerkiksi hallituksen esityksessä ehdotetun 42 §:n 1 momentin mukaisella viiden vuoden säilytysajalla varmistetaan, että tiedot säilytetään vähintään sen ajan kuin asian käsittely ja lainvoimaisen ratkaisun saaminen oikeuslaitoksessa kestää. Toisaalta esimerkiksi 44 §:n 1 momentin, 45 §:n, 46 §:n 4 momentin 6 kohdan ja 47 §:n 2 momentin 1 kohdan osalta on tarkoituksenmukaista korostaa sitä, että tiedot on poistettava jo ennen säännösten mukaisen 10 tai 5 vuoden säilytysajan päättymistä, mikäli ne käyvät käsittelytarkoituksen kannalta tarpeettomiksi.
Hallintovaliokunnan mielestä on tarkoituksenmukaista myös varmistaa, että 5 luvussa tarkoitetut säilytysajat eivät estä tietojen säilyttämistä tilanteissa, joissa tietojen voidaan edelleen perustellusti katsoa olevan tarpeellisia (hallituksen esityksen 42 §:n 7 momentti, 43 §:n 3 momentti ja 44 §:n 2 momentti). Tietojen edelleen säilyttämisen tarpeellisuutta tulee näissä tilanteissa arvioida vähintään viiden vuoden välein. Tältä osin sääntely vastaisi rikosasioiden tietosuojalain 6 §:n 3 momenttia, jonka mukaan henkilötietojen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein, jollei henkilötietojen säilytysajoista muualla toisin säädetä. Tietojen porrastamiseen liittyen valiokunta katsoo, että muita tietoja lyhyemmän säilytysajan asettaminen esimerkiksi arkaluonteisina pidettäville tiedoille johtaisi tilanteisiin, joissa osa samaan tehtävään liittyvistä tiedoista olisi poistettava eri aikaan kuin muut. Tämä olisi ongelmallista etenkin tietojen eheyden kannalta.
Edellä mainitussa 44 §:n 4 momentin 6 kohdassa (kymmenen vuoden kuluttua viimeisen tiedon merkitsemisestä) kyseessä ovat esitutkintaa koskevat sotilasoikeudenhoidossa käsiteltävät henkilötiedot. Ehdotetut poistosäännökset vastaavat sitä, mitä henkilötietojen käsittelystä Puolustusvoimissa annettavassa laissa (PuVM 3/2018 vp) on ehdotettu vastaavien henkilötietojen poistamisesta (42 §). Valiokunnan mielestä on tärkeää, että henkilötietoja käsitellään yhdenmukaisin menettelyin samanlaisissa käsittelytarkoituksissa. Myös poistosääntöjen on perusteltua olla yhdenmukaisia.
Edellä mainitussa 45 §:n 2 momentin 1 kohdassa (säilöön otettujen ulkomaalaisten tiedot viiden vuoden kuluttua henkilöä koskevan viimeisen tiedon merkitsemisestä) on pyritty varmistamaan se, että säilöön otettujen ulkomaalaisten tiedot ovat käytettävissä niin kauan kuin se on käsittelytarkoituksen kannalta tarpeellista. Tiedot voivat olla tarpeen esimerkiksi toimenpiteiden jälkikäteistä selvittelyä varten.
Edellä todetun perusteella hallintovaliokunta pitää ehdotettuja säilytysaikoja asianmukaisina. Perustuslakivaliokunnan lausunnossa ei ole esitetty huomautuksia säilytysajoista.
Valvonta
Perustuslakivaliokunta on todennut, että Rajavartiolaitoksen henkilörekistereihin talletetaan runsaasti sellaisia tietoja, joiden suojaaminen oikeudettomalta käytöltä on erittäin tärkeää. Tällaisessa tilanteessa tietojen käytön valvontaan on kiinnitettävä korostettua huomiota (PeVL 51/2018 vp, PeVL 42/2014 vp). Hallituksen esityksen perusteluissa tehdään selkoa Rajavartiolaitoksen henkilötietojen käsittelyn sisäisestä ja ulkoisesta laillisuusvalvonnasta.
Rajavartiolaitoksesta annetun valtioneuvoston asetuksen (651/2005) 3 §:n 3 momentin 2 kohdan mukaan Rajavartiolaitoksen esikunta valvoo Rajavartiolaitoksen tehtävien asianmukaista suorittamista, ohjaa ja tarkastaa alaistensa hallintoyksiköiden toimintaa sekä suunnittelee ja kehittää Rajavartiolaitoksen toimintaa. Rajavartiolaitoksen hallinnosta annetun lain 5 §:n 3 momentin mukaan Rajavartiolaitoksen esikunta on samalla sisäministeriön rajavartio-osasto. Sisäministeriön työjärjestyksestä annetun sisäministeriön asetuksen (1078/2013) 16 §:n 2 momentin mukaan ministeriön rajavartio-osasto käsittelee Rajavartiolaitoksen laillisuusvalvontaan kuuluvat asiat. Rajavartio-osasto toteuttaa laillisuusvalvontaansa sisäministeriön ja sen hallinnonalan laillisuusvalvontaohjeen (SMDno-2016-329) sekä Rajavartiolaitoksen sisäisestä laillisuusvalvonnasta annetun määräyksen (RVLPAK A.22) mukaisesti. Laillisuusvalvonta tarkoittaa esimerkiksi hallintokantelujen ja kansalaispalautteen käsittelyä, henkilötietojen käsittelyn valvontaa, tarkastustoimintaa sekä lausuntojen antamista erityisesti ylimmille laillisuusvalvojille. Rajavartiolaitoksen laillisuusvalvontamääräyksen mukaan laillisuusvalvonnassa tulee kiinnittää erityistä huomiota muun muassa henkilörekisterien käyttöön ja henkilörekisteröinnin toteuttamiseen.
Sisäministeriön hallinnonalan virastojen ja laitosten johto on vastuussa siitä, että henkilötietojen käsittely ja henkilörekisterien käytön valvonta on järjestetty lainmukaisesti ja tarkoituksenmukaisella ja tehokkaalla tavalla. Rajavartiolaitoksen hallintoyksikön päällikkö vastaa laillisuusvalvonnan järjestämisestä ja sen resursoinnista yksikössään.
Rajavartiolaitoksen sisäisessä laillisuusvalvonnassa korostuvat hallintoyksiköiden päälliköiden ja lähiesimiesten toiminta sekä henkilötietojen käsittelyä koskevan ohjeistuksen merkitys. Henkilötietojen käsittelyn valvonta perustuu päivittäisen esimiesvalvonnan lisäksi käyttöoikeuskäytäntöihin ja lokiseurantaan sekä erilaisiin tarkastuksiin. Käyttöoikeuksien myöntämiskäytännöillä voidaan vaikuttaa siihen, että henkilötietoja käsittelevät ainoastaan sellaiset henkilöt, joiden työtehtäviin henkilötietojen käsittely kuuluu ja jotka täyttävät lakisääteiset edellytykset käyttöoikeuksien saamiselle. Rajavartiolaitoksen esikunta antaa vuosittain henkilörekistereiden käytön valvontaa koskevan käskyn, jonka perusteella Rajavartiolaitoksen esikunta ja hallintoyksiköt valvovat sekä suunnitelmallisesti että pistokoeluontoisesti Rajavartiolaitoksen ylläpitämien ja käyttämien rekistereiden henkilötietojen käyttöä.
Rajavartiolaitoksen esikunnan osastot ja yksiköt sekä hallintoyksiköt toimivat Rajavartiolaitoksen esikuntaan sijoitetun tietosuojavastaavan tukena oman toimialansa osalta. Rajavartiolaitoksen tietohallintomääräyksen (RVLPAK D.50) mukaan hallintoyksiköt ja Rajavartiolaitoksen esikunnan osastot toimittavat vuosittain Rajavartiolaitoksen oikeudelliselle osastolle tietotilinpäätöksen rekisterinpidostaan.
Rajavartiolaitoksen esikunnan oikeudellinen osasto laatii vuosittain raportin edellisen vuoden aikana suorittamastaan valvonta- ja tarkastustoiminnasta sekä sen yhteydessä tekemistään havainnoista kehittämis- tai toimenpide-ehdotuksineen. Raporttiin sisällytetään hallintoyksiköiden kertomukset sekä yhteenveto niiden johdosta tehdyistä havainnoista. Raportissa käsitellään muun muassa lokitarkastuksia, niiden tuloksia ja tarkastuksen johdosta vaadittuja ja suoritettuja toimenpiteitä sekä muita henkilötietojen käsittelyn valvontaan liittyviä toimenpiteitä. Raportti toimitetaan tiedoksi sisäministeriölle, valtioneuvoston oikeuskanslerille ja eduskunnan oikeusasiamiehelle.
Poliisin, Tullin ja Rajavartiolaitoksen yhteistoiminnasta annetun lain (687/2009, PTR-laki) nojalla annetun valtioneuvoston asetuksen (1126/2009) 7 §:n mukaan PTR-rikostiedusteluyksikön henkilötietojen käsittelyn valvonnasta vastaa asianomaisen henkilörekisterin perustanut PTR-viranomainen. Saman pykälän mukaan PTR-viranomaiset järjestävät henkilötietojen valvontaan liittyen yhteisiä tarkastuksia ja muuta valvontaa sen mukaan kuin PTR-viranomaisten valtakunnallisessa yhteistoimintasopimuksessa tarkemmin sovitaan.
Henkilötietojen käsittelyn valvonnan kannalta merkittävä lainsäädäntömuutos on ollut EU:n tietosuojauudistus. Uudessa tietosuojalainsäädännössä korostuu henkilötietojen käsittelyn lainmukaisuuden varmistaminen ja valvonta. Tietosuoja-asetuksessa säädetään valvontaviranomaisesta ja valvontaviranomaisen toimivaltuuksista. Tietosuojalain mukaan tietosuoja-asetuksessa tarkoitettuna kansallisena valvontaviranomaisena oikeusministeriön yhteydessä on tietosuojavaltuutettu.
Tietosuojavaltuutettu toimii myös rikosasioiden tietosuojalain noudattamista valvovana erityisviranomaisena. Tietosuojavaltuutettu valvoo lain noudattamista sekä omatoimisesti että sille tehtyjen toimenpidepyyntöjen perusteella. Se voi tehdä selvityksiä lain noudattamisesta ja käsitellä sille tehtyjä toimenpidepyyntöjä. Valtuutettu voi lainvastaisen menettelyn tapauksessa esimerkiksi antaa rekisterinpitäjälle huomautuksen tai asettaa väliaikaisen tai pysyvän kiellon tai muun rajoituksen henkilötietojen käsittelylle. Valtuutettu voi asettaa oikeudellisesti velvoittavan päätöksensä tehosteeksi uhkasakon.
Eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri valvovat ylimpinä laillisuusvalvojina henkilötietojen käsittelyä koskevan lainsäädännön noudattamista osana yleistä viranomaisten ja virkamiesten toiminnan laillisuusvalvontaa. Molemmat tekevät myös säännönmukaisia tarkastuksia toiminnan laillisuuden ja henkilötietojen käsittelyn tarkastamiseksi. Eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri valvovat myös tietosuojavaltuutetun toiminnan lainmukaisuutta.
Esitys Rajavartiolaitoksen henkilötietolainsäädännön uudistamiseksi sisältää ehdotuksia, jotka ovat omiaan lisäämään valvonnan tarvetta. Samalla sääntelyä pyritään kuitenkin kehittämään niin, että se helpottaisi henkilötietojen käsittelyn ohjausta ja valvontaa sekä tietojen suojaamista. Hallintovaliokunnan näkemyksen mukaan uuden valvontaa sääntelevän lainsäädännön, valvontaa koskevan muun normipohjan ja käytännön tehostamistoimien voidaan arvioida antavan aikaisempaa paremmat edellytykset henkilötietojen käsittelyn valvontaan. Henkilötietojen suojan toteutuminen ja valvonnan tehokkuus edellyttävät kuitenkin myös riittävien resurssien varmistamista.
Uusi tietosuojalainsäädäntö sisältää yksityiskohtaiset säännökset paitsi henkilötietojen käsittelyn valvonnasta ja lainvastaisen henkilötietojen käsittelyn seuraamuksista, myös muun muassa rekisterinpitäjän vastuusta ja velvollisuuksista, rekisteröidyn oikeuksista ja tietoturvallisuudesta. EU:n tietosuojauudistus on terävöittänyt rekisterinpitäjän vastuuta. Rekisterinpitäjä vastaa siitä, että henkilötietoja käsitellään lainmukaisesti. Rekisterinpitäjän on lisäksi kyettävä osoittamaan, että henkilötietojen käsittely on tietosuojalainsäädännön mukaista myös käytännössä. Myös tällä on merkitystä valvonnan kannalta.