Yleisperustelut

Sähköisen tunnistamisen merkityksen arvioidaan palvelujen sähköistymiskehityksen myötä kasvavan huomattavasti tulevaisuudessa. Sähköisten palvelujen käyttöön voi liittyä olennaistakin taloudellista merkitystä, ja monien palvelujen käytössä yksityisyyden suojaan ja henkilötietojen suojaan liittyvillä näkökohdilla on keskeinen merkitys. Tästä syystä sähköisen tunnistamisen palvelujen saatavuudella ja riittävällä luotettavuudella on tärkeä rooli sähköisten palvelujen edistämisen kannalta.

Sähköisen tunnistamisen palvelujen markkinoiden kehittyminen on ollut Suomessa pankkisektoria lukuun ottamatta suhteellisen hidasta. Vahvan sähköisen tunnistamisen palveluja tarjoavat Suomessa tällä hetkellä lähinnä pankit, Väestörekisterikeskus ja teleyritykset. Pankkisektorilla sähköinen tunnistaminen pankkitunnisteiden avulla on kansalaisille jo arkipäivää, mutta muiden vahvojen tunnistamismenetelmien käyttö ei ole yleistynyt toivotulla tavalla. Valiokunnan saaman selvityksen mukaan verkkopankkitunnisteita on tällä hetkellä 5,5 miljoonaa ja niillä tehtiin vuonna 2013 noin 47,1 miljoonaa tunnistamista muissa kuin pankkien omissa palveluissa. Pankkien omissa palveluissa tunnistustapahtumia on arvioitu olevan vuositasolla noin 400—500 miljoonaa. Julkisissa sähköisissä palveluissa eri menetelmin tapahtuneita tunnistustapahtumia taas oli vuonna 2013 yhteensä noin 20,7 miljoonaa. Valiokunta pitää erittäin hyvänä, että esityksellä pyritään poistamaan nykyisiä kehityksen esteitä, edistämään markkinoille tulon edellytyksiä ja muun muassa helpottamaan eri tunnistuspalvelujen hyödyntämistä sähköisissä palveluissa.

Esityksessä ehdotetaan muutettavaksi vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista annettua lakia (617/2009). Ehdotettu sääntely olisi siinä mielessä tunnistuspalvelun tarjoajille vapaaehtoista, että sääntely koskisi ainoastaan Viestintävirastolle ilmoituksen tehneitä vahvan sähköisten tunnistuspalvelujen tarjoajia. Esityksessä olisi tässä vaiheessa kyse vain yksityishenkilöiden sähköisestä tunnistamisesta. Yritysten vahvaan sähköiseen tunnistamiseen tai esimerkiksi yksityishenkilöiden puolesta toimimiseen liittyvää tunnistamista on valiokunnan saaman selvityksen mukaan tarkoitus arvioida erillisessä hankkeessa.

Valiokunnan saaman selvityksen mukaan esityksessä on otettu huomioon Euroopan parlamentin ja neuvoston heinäkuun 2016 alusta sovellettava asetus sähköisestä tunnistamisesta 910/2014 siten, että esitys ei ole ristiriidassa asetuksen kanssa. Kyseinen asetus tulee kuitenkin edellyttämään lakiin mahdollisesti jo varsin pian tehtäviä muutoksia. Valiokunta pitää tärkeänä, että nyt ehdotetun sääntelyn vaikutuksia ja muutostarpeita seurataan ja arvioidaan tiiviisti.

Ensitunnistaminen ja tietojen oikeellisuuden varmistaminen

Ensitunnistamisella tarkoitetaan henkilön henkilöllisyyden todentamista tilanteessa, jossa henkilö hakee ensimmäistä kertaa sähköistä tunnistusvälinettä. Ensitunnistamisen varmuudella on keskeinen merkitys koko tunnistuspalvelun luotettavuuden kannalta, sillä myöhemmin tunnistusvälinettä käytettäessä luotetaan ensitunnistamisen oikeellisuuteen.

Tunnistuspalvelua tai sähköisiä allekirjoituksia tarjoavan toimijan tulisi esityksen mukaan vaatia henkilötunnus henkilön tunnistamiseksi. Käytännössä tämä tarkoittaisi samalla sitä, että esityksen mukaiseen järjestelmään liittyminen olisi tässä vaiheessa mahdollista Suomen kansalaisille ja sellaisille Suomessa oleskeleville ulkomaalaisille, joilla on suomalainen henkilötunnus. Valiokunnan saaman selvityksen mukaan niiden henkilöiden mahdollisuuksiin käyttää järjestelmää, joilla ei ole suomalaista henkilötunnusta, pyritään löytämään ratkaisuja lähiaikoina erikseen käynnistettävässä hankkeessa. Esityksen mukaan henkilöllisyyden todentamisen tulisi lähtökohtaisesti edelleenkin perustua viranomaisen myöntämän henkilöllisyyden osoittavan asiakirjan esittämiseen siten, että henkilö on itse paikan päällä. Jos henkilöllisyys kuitenkin olisi jo aiemmin todennettu jonkin tunnistusvälineen hakemisen yhteydessä, ensitunnistaminen olisi mahdollistaa ketjuttaa siten, että myöhemmän tunnistuspalvelun tarjoajan tunnistusvälinettä haettaessa tunnistaminen voisi jatkossa perustua myös turvallisuudeltaan vastaavan tasoiseen tunnistusvälineeseen.

Esityksen mukaan tunnistuspalvelun tarjoajan tulisi hankkia palvelun tarjoamiseksi tarvitsemansa tiedot väestötietojärjestelmästä ja varmistaa väestötietojärjestelmästä, että sillä olevat henkilötiedot ovat ajan tasalla. Valiokunta toteaa, että tietojen ajan tasalla olemisen varmistamista koskevalla velvoitteella ei tarkoiteta velvoitetta tarkistaa tietoja jokaisen tunnistustapahtuman yhteydessä. Tietojen hankkimista ja tarkistamista koskevilla ehdotuksilla pyritään vahvistamaan tunnistuspalveluiden luotettavuutta. Valiokunnan saaman selvityksen mukaan esityksessä ehdotetussa luottamusverkostossa toimivien tunnistuspalvelun tarjoajien tunnistusvälineiden haltijoita koskevat tiedot perustuisivat keskeisesti väestötietojärjestelmän tietoihin. Valiokunnan saaman selvityksen mukaan ilmoitus henkilön kuolemasta tulee tehdä väestötietojärjestelmään sosiaali- ja terveysministeriön kuolintodistus- ja hautauslupalomakkeilla heti, kun lupa hautaamiseen on saatu, ja tätä ilmoitusta ei myöskään voi tehdä ennen hautausluvan saamista. Valiokunta toteaa, että menettely voi aiheuttaa kuolintiedon viivästyessä yksittäistapauksissa riskin siitä, että kuolleen henkilön identiteettiä käytetään väärin. Valiokunta katsoo, että henkilön kuolemasta ilmoittamista koskevat säännökset ja menettelyt tulisi arvioida ja tarvittaessa muuttaa ennen luottamusverkoston käyttöönottoa siten, että luottamusverkoston käytettävissä olevat väestötietojärjestelmän tiedot olisivat jatkossa mahdollisimman hyvin ajan tasalla.

Luottamusverkosto

Esityksen keskeisenä ehdotuksena on sähköisen luottamusverkoston luominen tunnistuspalvelujen tarjoajien välille. Ilmoittautuessaan vahvan sähköisen tunnistuspalvelun tarjoajaksi Viestintävirastoon tunnistuspalvelun tarjoaja liittyisi osaksi luottamusverkostoa. Ilmoituksen tehneille verkostoon liittyminen olisi siten pakollista, mitä on osin kritisoitu asiantuntijakuulemisissa.

Luottamusverkostossa kaikki tunnistuspalvelujen tarjoajat luottavat muiden tunnistuspalvelun tarjoajien tarjoamiin tunnistusvälineisiin ja ovat velvollisia edelleen välittämään myös muiden luottamusverkostoon kuuluvien myöntämiä tunnisteita sähköisten palvelujen tarjoajille. Valiokunnan saaman selvityksen mukaan jonkin sähköisen palvelun tarjoajan tarvitsisi tehdä sopimus vain yhden luottamusverkostoon kuuluvan tunnistuspalvelun tarjoajan kanssa, jonka myötä hänen palvelussaan voitaisiin käyttää kaikkien luottamusverkostoon kuuluvien tunnistuspalvelun tarjoajien tunnistusvälineitä, ja vastaavasti kaikkien verkostoon kuuluvien tunnistuspalvelujen asiakkaat voisivat käyttää kyseistä sähköistä palvelua. Sähköisen palvelun tarjoaja voisi kuitenkin halutessaan rajata omassa palvelussaan tunnistuspalvelujen käyttämisen vain tiettyihin tunnistuspalveluihin, eli palveluntarjoaja voisi itse vapaasti päättää, mitä tunnistusvälinettä hänen palvelussaan käytetään. Valiokunta katsoo, että edellä kuvattu sopimusten määrän väheneminen esityksen myötä voisi helpottaa olennaisesti sähköisen tunnistamisen käyttöönottoa sähköisissä palveluissa ja laajentaisi tietyn tunnistusvälineen käyttömahdollisuuksia erilaisissa sähköisissä palveluissa. Valiokunta näkee, että luottamusverkosto on omiaan myös vähentämään mahdollisuutta sähköisen tunnistamisen markkinoiden keskittymiseen vain yhdelle toimijalle.

Esityksen 12 §:n 3 momentin mukaan tunnistuspalvelun tarjoajien välillä välitettävästä tunnistetiedosta perittävä korvaus voisi olla enintään 10 senttiä ja korvauksen määrää tultaisiin arvioimaan vuosittain. Asiantuntijakuulemisessa tämän hintakattosääntelyn tarve on osin kyseenalaistettu, ja toisaalta ehdotettua hinnan tasoa on toimijasta riippuen pidetty joko korkeahkona tai liian matalana. Valiokunnan saaman selvityksen mukaan ehdotettu enimmäishinnan taso on kompromissi, jonka arvioidaan tässä vaiheessa mahdollistavan kaikille markkinoiden toimijoille kannattavan liiketoiminnan. Valiokunta korostaa, että hintakaton tason vuosittaisen arvioinnin yhteydessä tulee samalla arvioida säännöllisesti myös hintakattosääntelyn tarpeellisuutta, mikäli markkinoiden toiminta lähtee kunnolla käyntiin. Korvauksen määrää koskevan arvioinnin tulisi perustua mm. arvioon tunnistustapahtumakohtaisista kustannuksista ja tapahtumien kokonaismäärästä, ja lähtökohtaisesti siirtohinnan tulisi perustua toiminnan tuotantokustannuksiin. Valiokunta toteaa, että ehdotetussa sääntelyssä on kyse enimmäishinnasta ja on toivottavaa, että hinta muodostuu markkinoilla asetettavaa hintakattoa alhaisemmaksi. Asiantuntijakuulemisessa on myös tuotu esille huoli siitä, että siirtohinnoittelu siirtyy suoraan kuluttajahintoihin. Valiokunta pitää tärkeänä, että loppukäyttäjiltä perittävät maksut pyritään palvelujen käytön edistämiseksi pitämään kohtuullisella tasolla.

Valiokunta kiinnittää huomiota Viestintäviraston keskeiseen rooliin luottamusverkoston käyttöönoton, sääntelyn noudattamisen valvonnan ja verkoston luottamuksen säilyvyyden kannalta. Viestintävirasto on valtion talousarviossa nettobudjetoitu virasto, joka kattaa pääosan toimintansa kustannuksista tiettyä toimintaa varten keräämillään maksuilla. Virasto voi vain hyvin rajoitetusti käyttää tiettyä tarkoitusta varten perittävän maksun avulla hankittuja resursseja johonkin muuhun toimintaan. Valiokunta pitää erittäin tärkeänä, että esityksen tavoitteiden toteutumisen varmistamiseksi Viestintävirastolle varataan riittävästi lisäresursseja viraston tehtävien lisääntyessä lain toimeenpanon vuoksi. Viraston resurssien riittämättömyys ei saa vaarantaa esityksen tavoitteiden toteutumista.

Identiteettivarkaudet

Arkipäivän toimintojen tapahtuessa yhä enemmän viestintäverkoissa ja sähköisissä palveluissa sähköiseen identiteettiin kohdistuvien väärinkäytösten riski kasvaa. Eduskunnassa on parhaillaan käsittelyssä Euroopan unionin tietoverkkorikosdirektiivin voimaansaattamista koskeva esitys (HE 232/2014 vp), jonka yhteydessä identiteettivarkaus säädettäisiin rangaistavaksi itsenäisenä rikoksena. Suomen lainsäädännössä on jo tietynlaisia sähköisen identiteetin väärinkäytön tilanteita varten rangaistussäännökset mm. kunnianloukkauksesta, yksityiselämää loukkaavan tiedon levittämisestä, petoksesta, väärennyksestä, väärän henkilötiedon antamisesta ja rekisterimerkintärikoksesta. Uuden esityksen mukaan identiteettivarkaudesta tuomittaisiin se, joka erehdyttääkseen kolmatta osapuolta oikeudettomasti käyttää toisen henkilötietoja, tunnistustietoja tai muuta vastaavaa yksilöivää tietoa. Lisäksi teon on tullut aiheuttaa taloudellista vahinkoa tai muuta vähäistä suurempaa haittaa sille, jota tieto koskee. Esityksen mukaan identiteettivarkaus olisi asianomistajarikos, eli syyttäjä nostaisi syytteen identiteettivarkaudesta vain, jos asianomistaja ilmoittaa rikoksen syytteeseen pantavaksi. Enimmäisrangaistus identiteettivarkaudesta olisi sakkoa.

Valiokunta korostaa, että mahdollisten rangaistusten lisäksi identiteettivarkauksien ehkäisemiseksi on nyt käsiteltävän esityksen kannalta olennaista huolehtia luottamusverkoston teknisestä ja muusta tietoturvallisuudesta sekä kansalaisten riskejä ja turvallisia toimintatapoja koskevasta valistamisesta. Valiokunta korostaa, että erityisesti luottamusverkoston toiminnan kannalta on olennaista huolehtia myös mahdollisista ongelmista toipumista koskevista menettelyistä, kuten esimerkiksi sulkulistapalveluiden ja myös kansalaisten toimintaohjeiden kattavuudesta. Ongelmien syntyessä tulee olla selkeät ja tarkkaan suunnitellut toimintamallit, joilla verkoston luottamuksen säilyminen saadaan mahdollisten ongelmien jälkeen palautettua ennalleen.

Lopuksi

Valiokunta pitää esitystä hyvänä ja kannatettavana askeleena sähköisen tunnistamisen edistämiseksi Suomessa. Esitys ei ratkaise kaikkia kehityksen tiellä olevia ongelmia, ja jatkotyölle on siten tarvetta. Sähköisen tunnistamisen sääntelyn tulee mahdollistaa uusien palvelujen kehittäminen, edistää liiketoimintamahdollisuuksia ja palvelujen käyttöä sekä taata kohtuulliset markkinoille tulon edellytykset.

Valiokunta pitää erittäin tärkeänä, että alan toimijoille varataan mm. luottamusverkoston käyttöönoton valmisteluun riittävästi aikaa. Luottamusverkoston toimivuus vaatii mm. teknistä yhteentoimivuutta ja yhteisistä toimintatavoista sopimista. Valiokunta pitää näin ollen luottamusverkoston käyttöönottamiseen ehdotettua 1.5.2017 asti ulottuvaa siirtymäaikaa tarpeellisena. Tämän lisäksi valiokunta kuitenkin myös ehdottaa, että sääntely tulisi muiltakin osin voimaan vasta 1.1.2016, jotta luottamukseen perustuvan sääntelyn toimeenpanoon, asioista sopimiseen ja toiminnan käynnistämiseen jää kaikilta osin riittävästi aikaa.

Valiokunta pitää tärkeänä, että mm. edellä esille tuotuihin erilaisia rooleja ja puolesta toimimista koskeviin kysymyksiin sekä mm. niiden henkilöiden asemaan, joilla ei ole suomalaista henkilötunnusta, pyritään löytämään toimivia ratkaisuja mahdollisimman pian luottamusverkostoa koskevan siirtymäajan aikana. Valiokunta myös peräänkuuluttaa sähköistä tunnistamista koskevan EU-asetuksen toimeenpanossa kansalliset erityispiirteet ja tarpeet huomioon ottavaa tulkintaa siten, että ennen kaikkea kotimaiset sähköisen tunnistamisen markkinat saataisiin toimimaan mahdollisimman hyvin.

Valiokunta kannustaa kunkin palvelun ja käyttötilanteen kannalta riittävän turvallisten tunnistuspalvelujen käyttämiseen. Valiokunta toteaa, että tunnistamisen turvatason tarve riippuu palvelun luonteesta ja kaikissa palveluissa ei välttämättä tarvita turvatasoltaan kaikkein vahvimpia tunnistusmenetelmiä. Valiokunta korostaa, että tunnistamisen luotettavuuden lisäksi sähköisen tunnistamisen palvelujen käytön edistymisen kannalta olisi hyvin tärkeää kiinnittää olennaisesti huomiota myös palvelujen ja menetelmien käytettävyyteen ja helppokäyttöisyyteen.

Valiokunta pitää myös periaatteellisesti tärkeänä esityksessä omaksuttua lähtökohtaa, jonka mukaan sähköisten palvelujen tarjoajan tulee saada ainakin yksityisen sektorin palveluissa itse valita, miten vahvaa tunnistamista ja mitä tunnistusvälineitä se haluaa palvelussaan käytettävän. Valiokunta pitää todennäköisenä, että julkisesta sektorista poiketen yksityisen sektorin palveluissa ja sähköisessä kaupankäynnissä tullaan todennäköisesti jatkossa edelleenkin monilta osin perustamaan asiakkaiden tunnistaminen mm. nykyisin yleisimmin käytössä oleviin käyttäjätunnusta ja salasanaa hyödyntäviin ratkaisuihin. Valiokunta pitää myös hyvin tärkeänä lähtökohtana, että tällä hetkellä käytössä olevien tunnistusvälineiden käytön tulee olla mahdollista myös lain tultua kokonaisuudessaan voimaan.

Eräissä asiantuntijalausunnoissa on tuotu esille tarve säätää kuluttajan oikeudesta tunnistusvälineen saamiseen. Tällä hetkellä vahvan tunnistamisen välineistä myös julkisen hallinnon palveluissa yleisimmässä käytössä olevia pankkitunnisteita ei ole ollut kaikilla kansalaisilla mahdollisuutta saada käyttöönsä esimerkiksi maksuhäiriömerkinnän vuoksi. Asian käsittelyn yhteydessä on kiinnitetty huomiota myös maahanmuuttajien asemaan ja siihen, että sähköisen tunnistamisen ja sähköisten palvelujen käyttömahdollisuus voisi olla yksi sellainen osatekijä, joka voisi olla omiaan edistämään heidän kotouttamistaan suomalaiseen yhteiskuntaan. Valiokunta toteaa, että asia vaatisi selvittämistä. Valiokunnan näkemyksen mukaan esityksen myötä on todennäköistä, että erilaisten tunnistusvälineiden käytön lisääntyminen vähentää kansalaisten epätasa-arvoisuutta sähköisen tunnistamisen käyttömahdollisuuksien osalta. Valiokunta kuitenkin katsoo, että esityksessä säänneltäviä sähköisen tunnistamisen palveluita voidaan nykyään pitää jo eräänlaisina tietoyhteiskunnan peruspalveluina. Valiokunta toteaa, että erityisesti julkisten palvelujen sähköistyessä ja fyysisen palvelutarjonnan todennäköisesti vähentyessä tämänkaltaisen tunnistusvälinettä koskevan oikeuden tarpeellisuutta on syytä arvioida jatkossa mm. palvelujen saatavuuden varmistamiseksi kansalaisten asuinpaikasta riippumatta. Valiokunta kiinnittää huomiota tarpeeseen arvioida jatkossa myös ulkosuomalaisten asemaa ja mahdollisuuksia käyttää luottamusverkostoon kuuluvia tunnistuspalveluja.

Valiokunta pitää tärkeänä tukea tietoyhteiskuntakehitystä ja luoda sähköisten palveluiden kehittymisen edellytyksiä. Vahvaa sähköistä tunnistamista koskeva lainsäädäntö voi omalta osaltaan olla edesauttamassa uudenlaisten kansalaisten kannalta tärkeiden ja yrityksille uusia mahdollisuuksia luovien palveluiden syntymistä. Valiokunta toivoo luottamusverkoston edistävän sähköisen tunnistamisen markkinoiden kehittymistä ja kannustaa myös kaikkia alan toimijoita aktiiviseen ja ennakkoluulottomaan yhteistyöhön luottamusverkoston käytännön toimivuuden varmistamiseksi.

Hallituksen esityksen perusteluista ilmenevistä syistä ja saamansa selvityksen perusteella valiokunta pitää esitystä tarpeellisena ja tarkoituksenmukaisena. Valiokunta puoltaa esityksen hyväksymistä muutettuna.