3.1  3.1 Digiomnibus

Data-asetus  

Komissio ehdottaa data-asetukseen yhdistettäväksi kolme kumottavaa säädöstä: asetus muiden tietojen kuin henkilötietojen vapaasta liikkuvuudesta, datanhallinta-asetus ja avoimen datan direktiivi. Lisäksi data-asetukseen ja siihen siirrettäviin säännöksiin tehtäisiin kohdennettuja muutoksia, jotta kokonaisuus olisi yhdenmukainen. 

Lisäyksillä data-asetuksen II luvun artikloihin 4 ja 5 datanhaltijoille tulisi laajempi oikeus kieltäytyä jakamasta liikesalaisuuksia sisältäviä tietoja IoT-laitteiden käyttäjille tai kolmansille osapuolille, jos datanhaltija pystyy osoittamaan suojatoimenpiteistä huolimatta merkittävän riskin liikesalaisuuksien siirtymisestä EU:n ulkopuolelle kolmansiin maihin tai niiden määräysvallassa oleville yrityksille, joissa suojamekanismit ovat EU-sääntelyä heikompia. Datanhaltijan on ilmoitettava kieltäytymisestä perusteluineen asianomaiselle käyttäjälle tai kolmannelle osapuolelle sekä nimetylle toimivaltaiselle kansalliselle viranomaiselle.  

Data-asetuksen V luvun mukaista julkisen sektorin elinten oikeutta saada pääsy yksityisen sektorin hallussa olevaan dataan rajoitettaisiin siten, että perusteltu pyyntö voidaan esittää vain, jos julkisen sektorin elin voi osoittaa tarpeen käyttää tiettyjä yksityisen sektorin tietoja julkiseen hätätilanteeseen vastaamiseksi, sen lieventämiseksi tai siitä palautumiseksi. Tietoja saisi pyytää vain siinä tapauksessa, että tietoja ei ole muutoin mahdollista saada tehokkaalla tavalla vastaavin ehdoin. 

Data-asetuksen VI luvun datankäsittelypalvelujen vaihtamisen säännöksiin lisättäisiin poikkeuksia. Asiakkaalle räätälöityihin datankäsittelypalveluihin sekä pienten ja keskisuurten yritysten tarjoamiin datankäsittelypalveluihin sovellettaisiin kevennettyjä säännöksiä, jos sopimukset on tehty ennen 12.9.2025. Lisäksi selvennettäisiin, että näillä datankäsittelypalvelujentarjoajilla olisi oikeus sisällyttää määräaikaisiin sopimuksiinsa oikeasuhteisia sopimuksen ennenaikaiseen päättämiseen liittyviä sopimussakkoja, kunhan ne eivät muodosta estettä palveluntarjoajan vaihtamiselle. Muutokset eivät vaikuttaisi velvoitteisiin vaihtomaksujen asteittaisesta poistamisesta. 

Data-asetuksen VII luvun soveltamisala laajenisi siten, että laittoman kolmansien maiden viranomaisten pääsyn estämistä muuhun kuin henkilötietoihin ja tällaisten tietojen kansainvälisen siirron rajoittamista koskevat säännöt ulottuisivat datankäsittelypalvelujen lisäksi myös julkisen sektorin elimiin, jotka tekevät suojattuja tietoja saataville uuden VIIc luvun 3 jakson mukaisesti, luonnollisiin ja oikeushenkilöihin, joille on annettu oikeus käyttää näitä tietoja uudelleen saman jakson perusteella, sekä datanvälityspalveluihin ja tunnustettuihin data-altruismiorganisaatioihin. 

Datanhallinta-asetuksen luvut III ja IV sisällytettäisiin data-asetukseen uudeksi luvuksi VIIa. Datanvälityspalvelun määritelmää selkeytettäisiin, ja datanvälityspalvelujärjestelmä muuttuisi vapaaehtoisuuteen perustuvaksi. Velvoite pitää datanvälityspalvelut juridisesti erillisenä muista yhtiön palveluista korvattaisiin velvoitteella pitää ne toiminnallisesti erillisinä. Datan-välityspalveluihin kohdistuvia velvoitteita vähennettäisiin merkittävästi. Data-altruismiorganisaatioiden osalta raportointi- ja läpinäkyvyysvelvoitteet kumottaisiin ja suunnitelmista luoda yksityiskohtaisempi data-altruismisääntökirja luovuttaisiin. Komissio ylläpitäisi julkisia rekisterejä näihin palveluihin liittyen, ja jäsenvaltioiden tulisi nimetä toimivaltainen viranomainen soveltamaan ja valvomaan lukua VIIa omalle alueelleen sijoittautuneiden organisaatioiden osalta. Suomessa datanhallinta-asetuksen tarkoittama toimivaltainen viranomainen on Liikenne- ja viestintävirasto, joka valvoo pääasiallisesti myös data-asetusta. 

Kielto asettaa kansallisesti datan lokalisointivaatimuksia ylläpidettäisiin lisäämällä data-asetukseen uusi luku VII b, samoin velvoite ilmoittaa komissiolle lokalisointivelvoitteista turvallisuussyistä säilytettäisiin. Velvoite ylläpitää kansallisesti keskitettyä infopistettä data-lokalisointivaatimuksista poistettaisiin.  

Keskeiset säännökset avoimen datan direktiivistä ja datanhallinta-asetuksen suojattua dataa koskevasta II luvusta lisättäisiin data-asetuksen uuteen VIIc lukuun. Julkisen sektorin elinten hallussa olevan suojatun datan uudelleenkäytön sääntely säilyy sisällöllisesti ja soveltamisalaltaan samana. Anonymisoidun tiedon uudelleenkäyttöä kuitenkin selkeytettäisiin. Ehdotukseen sisältyisi uusi säännös, jonka mukaan julkisen sektorin elinten hallussa olevan suojatun datan uudelleenkäytöstä voitaisiin periä marginaalikustannusten lisäksi myös kohtuullinen tuotto. Tämä koskisi tilanteita, joissa dataa käyttää uudelleen erittäin suuri yritys, erityisesti sellainen, joka käyttää suurta taloudellista vaikutusvaltaa, kuten digimarkkina-asetuksessa (DMA) tarkoitettu portinvartija. Julkisen sektorin elimillä olisi myös mahdollisuus asettaa tällaisille erittäin suurille yrityksille niiden käyttäessään uudelleen julkisen sektorin dataa erityisiä käyttöehtoja, joiden on kuitenkin oltava perusteltuja ja oikeasuhtaisia. Kansallisten, suojatun datan uudelleenkäyttöä tukevien viranomaisten nimeämiseen sovellettaisiin jatkossa data-asetuksen 37 artiklaa.  

Avoimen datan direktiivi, joka koskee julkisen sektorin elinten ja eräiden yleishyödyllisiä palveluita tuottavien yritysten hallussa olevaa avointa dataa sekä julkisin varoin tuotettua tutkimusdataa, tuotaisiin myös osaksi data-asetuksen uutta VIIc lukua ja muuttuisi sisällöllisesti vastaamaan data-asetuksessa ja datanhallinta-asetuksessa käytettyä datan määritelmää. Asiakirjan määritelmä säilyisi samana eikä soveltamisalan ole tarkoitus muuttua. Maksut asiakirjojen uudelleenkäytöstä olisi voitava maksaa verkossa rajat ylittävän maksupalvelun välityksellä. Lisäksi asiakirjojen uudelleenkäytöstä olisi mahdollista periä marginaalikustannusten lisäksi myös kohtuullinen tuotto, jos dataa käyttää uudelleen erittäin suuri yritys. Julkisen sektorin elinten olisi myös mahdollista asettaa tällaisille erittäin suurille yrityksille erityisiä, mutta perusteltuja ja oikeasuhtaisia, käyttöehtoja dataa uudelleen käytettäessä. 

Data-asetuksen yhteentoimivuutta koskevasta VIII luvusta kumottaisiin artikla 36 eli velvoite noudattaa tiettyjä vaatimuksia datan jakamista koskevien älysopimusten täytäntöönpanosopimuksissa. Velvoite korvattaisiin komission toimivallalla ottaa käyttöön standardeja.  

Data-asetuksen IX luvun täytäntöönpano- ja valvontamekanismeja sovellettaisiin jatkossa myös asetukseen lisättäviin uusiin säännöksiin. Nykyinen 38 artikla, joka koskee oikeutta tehdä valitus toimivaltaiselle viranomaiselle, korvattaisiin uudella säännöksellä, joka huomioisi sen, että datanvälityspalvelujen tai data-altruismiorganisaatioiden rekisteröintimaan viranomainen olisi toimivaltainen käsittelemään näitä toimijoita koskevat valitukset. 

Uusi VIIc luku rajattaisiin kokonaan data-asetuksen seuraamuksia koskevan 40 artiklan soveltamisalan ulkopuolelle. Julkisen sektorin toimijoille asetettaisiin kuitenkin velvollisuus ilmoittaa VIIc luvun perusteella tietoja uudelleenkäyttöä pyytäville, mitä oikeussuojakeinoja heillä on käytettävissään kyseisiin päätöksiin tai menettelyihin liittyen. 

Data-asetukseen lisättäisiin myös uusi IXa luku, joka kokoaisi yhteen datanhallinta asetuksen ja muutettujen säännösten keskeiset määräykset Euroopan datainnovaatiolautakunnasta (EDIB) ja sen tehtävistä. Komissio päättäisi jatkossa EDIB:in kokoonpanosta ja sen alaryhmistä, kun taas nykyinen sääntely edellyttää vähintään kolmea lakisääteistä alaryhmää. Muutosten myötä komissio voisi laajentaa EDIB:in jäsenyyttä toimivaltaisten viranomaisten edustajien lisäksi myös kansallisen datatalouspolitiikan vastuuelinten, kuten ministeriöiden, edustajiin. EDIB:in tehtäviä yksinkertaistettaisiin merkittävästi, minkä myötä sen roolina olisi toimia strategisen tason keskustelufoorumina data-asioissa, tukea komissiota data-asetuksen täytäntöönpanon kehittämisessä, edistää jäsenvaltioiden toimivaltaisten viranomaisten välistä yhteistyötä sekä jakaa parhaita käytäntöjä julkisen datan uudelleenkäytöstä. Muutosehdotus ei sisällä korvaavia yksityiskohtaisia määräyksiä esimerkiksi EDIB:in työjärjestyksestä. 

Pienten ja keskisuurten yritysten velvoitteisiin liittyviä helpotuksia laajennettaisiin myös pie-nempiin mid-cap-yrityksiin (SMC). SMC-luokka määritellään yrityksiksi, joiden työntekijöi-den määrä on yli 250, mutta alle 750, ja joiden liikevaihto on enintään 150 miljoonaa euroa tai taseen loppusumma enintään 129 miljoonaa euroa. 

Yleinen tietosuoja-asetus, toimielinten tietosuoja-asetus ja sähköisen viestinnän tietosuojadirektiivi 

Yleinen tietosuoja-asetus 

Komission ehdotuksessa yleiseen tietosuoja-asetukseen ehdotetaan kohdennettuja muutoksia, joiden tarkoituksena on muun muassa yhdenmukaistaa ja yksinkertaistaa asetuksen tulkintaa sekä keventää rekisterinpitäjien velvollisuuksia liittyen vähäriskiseen henkilötietojen käsittelyyn. Komission tavoitteena on ehdotuksen mukaan varmistaa samalla kuitenkin nykyinen henkilötietojen suojan taso.  

Komissio ehdottaa muutoksia määritelmiä koskevaan 4 artiklaan. Muutosten tarkoituksena on ennen muuta selventää anonymisointiin ja pseudonymisointiin sekä tieteelliseen tutkimukseen liittyviä epävarmuuksia. Anonymisoinnin ja pseudonymisoinnin osalta henkilötiedon määritelmään ehdotetaan lisättäväksi säännös, jossa selvennettäisiin, ettei henkilötiedosta olisi kyse pelkästään siksi, että joku toinen taho voi tietojen avulla tunnistaa rekisteröidyn, vaan ratkaisevaa on, miten rekisterinpitäjä voi itse tunnistaa rekisteröidyn kohtuullisella todennäköisyydellä. Muutos vastaisi unionin tuomioistuimen oikeuskäytäntöä. Asetukseen ehdotetaan lisättäväksi myös tieteellisen tutkimuksen määritelmä sekä ehdotetaan selvennettäväksi käyttötarkoitussidonnaisuuden periaatetta yleisen edun mukaisia arkistointitarkoituksia, tieteellisiä tai historiallisia tutkimustarkoituksia ja tilastollisia tarkoituksia varten.  

Anonymisoinnin ja pseudonymisoinnin osalta komissio ehdottaa lisäksi sääntelyä, jolla tuettaisiin rekisterinpitäjiä anonymisointiin ja pseudonymisointiin liittyvien kriteerien ja keinojen määrittämisessä. Tältä osin ehdotettavassa uudessa 41 a artiklassa annettaisiin komissiolle valta täytäntöönpanosäädösten antamiseen. Komissio voisi artiklan mukaan arvioida käytettävissä olevan tekniikan viimeisintä tasoa ja kehittää kriteeristöjä, joita rekisterinpitäjät voisivat hyödyntää osoittamaan, etteivät tiedot voi enää johtaa rekisteröidyn uudelleentunnistamiseen. 

Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn osalta ehdotettaisiin uutta poikkeusperustetta (uusi 9 artiklan 2 kohdan l alakohta) liittyen biometristen tietojen käsittelyyn silloin, kun se on tarpeen rekisteröidyn henkilöllisyyden todentamiseksi (verification). Esityksessä edellytettäisiin tältä osin, että biometriset tiedot tai todentamiseen tarvittavat keinot olisivat rekisteröidyn yksinomaisessa hallinnassa.  

Myös tietosuoja-asetuksen 12 ja 13 artikloihin ehdotetaan muutoksia, joiden tarkoituksena on keventää rekisterinpitäjien velvollisuutta informoida rekisteröityä henkilötietojensa käsittelystä erityisesti vähäriskisessä käsittelyssä ja rekisteröidyn oikeuksien väärinkäytöstilanteissa. Automatisoituja yksittäispäätöksiä (mukaan lukien profilointi) koskevaa 22 artiklaa selvennettäisiin siten, että artiklasta kävisi selkeästi ilmi, että automaattista päätöksentekoa olisi mahdollista tehdä ainoastaan artiklassa säädetyin reunaehdoin.  

Rekisterinpitäjien velvollisuuksia kevennettäisiin myös henkilötietojen käsittelyyn liittyvien tietoturvaloukkausilmoitusten osalta nostamalla ilmoituskynnystä korkeaan riskiin sekä pidentämällä loukkausilmoitusten tekemistä koskevaa määräaikaa nykyisestä 72 tunnista 96 tuntiin (33 artikla). Ehdotuksen mukaan tietoturvaloukkausilmoitukset tehtäisiin jatkossa uuden keskitetyn ilmoituskanavan (single-entry point) kautta.  

Komissio ehdottaa päätelaitteen yksityisyyttä koskevan eli niin kutsutun evästesääntelyn (henkilötietojen tallentaminen ja käyttö rekisteröidyn päätelaitteella) siirtämistä henkilötietojen käsittelyn osalta sähköisen viestinnän tietosuojadirektiivistä yleiseen tietosuoja-asetukseen. Tältä osin yleisen tietosuoja-asetuksen 4 artiklaan lisättäisiin uusia määritelmiä. Lisäksi ehdotettavassa uudessa 88a artiklassa säädettäisiin henkilötietojen osalta edellytyksistä päätelaitteiden tietoihin, kuten evästeisiin, liittyvälle käsittelylle. Ehdotuksen mukaan henkilötietojen tallentaminen ja käyttö edellyttäisi rekisteröidyn suostumusta, vastaavasti kuin sähköisen viestinnän tietosuojadirektiivissä. Komissio ehdottaa, että rekisteröidyn suostumusta ei kuitenkaan tarvitsisi jo voimassa olevien sähköisen viestinnän tietosuojadirektiivin poikkeusten lisäksi pyytää myöskään tietyt ehdot täyttävän yleisömittauksen suorittamiseksi rekisterinpitäjän omaan käyttöön tai jos se on välttämätöntä rekisterinpitäjän tarjoaman ja rekisteröidyn pyytämän palvelun tai sellaisen palvelun tarjoamiseksi käytetyn päätelaitteen turvallisuuden ylläpitämiseksi tai palauttamiseksi. Lisäksi uudessa 88b artiklassa rekisterinpitäjille säädettäisiin velvollisuus noudattaa rekisteröidyn automaattisesti ja koneluettavassa muodossa antamaa suostumusta esimerkiksi verkkoselainten kautta erikseen laadittavien standardien mukaisesti.  

Tekoälyjärjestelmien kehittämisen ja operoinnin osalta ehdotuksessa selvennettäisiin ennen muuta käsittelyn oikeusperusteita ja erityisiin henkilötietoryhmiin liittyvää käsittelyä (9 artikla ja uusi 88 c artikla). Ehdotuksen mukaan tekoälyjärjestelmien kehittämiseksi ja operoimiseksi olisi mahdollista käsitellä henkilötietoja rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi. Käsittely ei olisi kuitenkaan sallittua, mikäli henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti, jos rekisteröity on lapsi. Henkilötietojen käsittelyltä vaadittaisiin kuitenkin rekisteröidyn suostumus, mikäli tällaisesta vaatimuksesta säädetään unionin oikeudessa tai jäsenvaltion lainsäädännössä. Komissio ehdottaa tekoälyjärjestelmien kehittämiseen ja operointiin liittyen myös uutta poikkeusperustetta erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelykieltoon (uusi 9 artiklan 2 kohdan k alakohta) sekä käsittelyä koskevia erityisiä suojatoimia (uusi 9 artiklan 5 kohta). 

Toimielinten tietosuoja-asetus 

Komissio ehdottaa toimielinten tietosuoja-asetukseen vastaavia muutoksia kuin yleiseen tietosuoja-asetukseen. Ehdotusten tarkoituksena on yhdenmukaistaa ja yksinkertaistaa toimielinten tietosuoja-asetuksen sääntelyä, säilyttämällä samanaikaisesti nykyinen henkilötietojen suojan taso. Muutosehdotukset liittyvät ennen muuta anonymisointiin, pseudonymisointiin, tieteelliseen tutkimukseen, tekoälyjärjestelmien kehittämiseen ja operointiin sekä rekisterinpitäjien velvollisuuksien keventämiseen ja selventämiseen. Muutoksia ehdotetaan toimielinten tietosuoja-asetuksen 3 artiklaan (määritelmät), 4 artiklaan (käsittelyä koskevat periaatteet), 10 artiklaan (erityisiä henkilötietoryhmiä koskeva käsittely), 14 ja 15 artiklaan (rekisteröidyn informointi), 24 artiklaan (automaattinen päätöksenteko), 34 artiklaan (tietoturvaloukkausilmoitukset), 37 artikla (evästesääntely), 39 artikla (vaikutustenarviointi) ja uusi 45 a artikla (pseudonymisointia koskevat kriteerit). Erotuksena yleiseen tietosuoja-asetukseen ehdotettavista muutoksista, henkilötietojen käsittelyä valvoo Euroopan tietosuojavaltuutettu (EDPS), jolle unionin toimielinten, elinten ja laitosten tulee muun muassa ilmoittaa tietoturvaloukkauksista. Tältä osin esimerkiksi 34 artiklassa säädetyt tietoturvaloukkausilmoitukset tehdään EDPS:lle. Toimielinten tietosuoja-asetuksen osalta ei ehdoteta keskitetyn ilmoituskanavan käyttämistä. 

Sähköisen viestinnän tietosuojadirektiivi 

Komissio ehdottaa, että jatkossa nykyiseen sähköisen viestinnän tietosuojadirektiiviin sisältyvää käyttäjän päätelaitteen tietojen sääntelyä uudistettaisiin siten, että yleiseen tietosuoja-asetukseen lisättäisiin uudet 88a ja 88b artiklat.  

Ehdotuksen 5 artiklassa säädettäisiin sähköisen viestinnän tietosuojadirektiiviin kohdistuvista muutoksista. Sähköisen viestinnän tietosuojadirektiivin 4 artikla (käsittelyn turvallisuus) kumottaisiin. Sähköisen viestinnän tietosuojadirektiivin 5 artiklan 3 alakohtaan lisättäisiin uusi lause, jonka mukaan luonnollisen henkilön päätelaitteen henkilötietojen tallentamiseen tai käyttämiseen sovellettaisiin yleistä tietosuoja-asetusta. Jatkossa päätelaitteen henkilötietojen tallentamisesta ja käyttämisestä säädettäisiin yleisen tietosuoja-asetuksen uudessa 88a artiklassa. 

Keskitetty EU-ilmoituskanava poikkeamille 

Komissio ehdottaa erilaisia häiriötilanne- ja poikkeamailmoituksia varten keskitetyn EU-ilmoituskanavan perustamista (Single-Entry Point for Incident Reporting). Lisäksi eräisiin säädöksiin perustuvia poikkeamaraportointivelvoitteita uudistettaisiin siten, että ilmoittamista koskevien velvollisuuksien täyttämiseksi niiden mukaiset ilmoitukset olisi jatkossa tehtävä keskitetyn EU-ilmoituskanavan kautta.  

Komission ehdotuksen mukaan keskitettyä EU-ilmoituskanavaa sovellettaisiin NIS 2-direktiivin, yleisen tietosuoja-asetuksen, DORA-asetuksen, eIDAS-asetuksen ja CER-direktiivin nojalla annettaviin ilmoituksiin. Ehdotuksella muutettaisiin näitä säädöksiä siten, että niissä tarkoitetut ilmoitukset olisi jatkossa annettava keskitetyn EU-ilmoituskanavan kautta. Ehdotukseen ei sisälly muita muutoksia näiden säädöksien mukaiseen ilmoittamiseen, kuten ilmoituskynnyksiin tai ilmoitettaviin tietoihin. Keskitettyä EU-ilmoituskanavaa olisi mahdollista laajentaa myös muiden säädösten mukaisiin ilmoituksiin tulevaisuudessa.  

Keskitetystä EU-ilmoituskanavasta säädettäisiin NIS 2-direktiiviin ehdotettavassa uudessa 23a artiklassa. Ilmoituskanavan perustaisi ja sitä ylläpitäisi Euroopan unionin kyberturvallisuusvirasto ENISA. Velvollisuudesta käyttää keskitettyä EU-ilmoituskanavaa säädettäisiin erikseen ilmoitusvelvollisuuden perustavien säännöksien yhteydessä. 

Ehdotuksen mukaan ENISA:n tulisi ilmoituskanavaa kehittäessään ja ylläpitäessään huolehtia tarpeellisista teknisistä, operatiivisista ja organisatorisista toimenpiteistä, jotka liittyvät ilmoituskanavan turvallisuuteen ja luotettavuuteen (riskienhallinta). ENISA:n tulisi huolehtia siitä, että toimivaltaisilla viranomaisilla on tarvittava pääsy ja mahdollisuus käsitellä ilmoituskanavassa olevaa tietoa, sekä huomioida käsiteltävien tietojen arkaluonteisuus. Keskitetyn ilmoituskanavan toimeenpanoa ja kehittämistä tulisi tehdä yhteistyössä ENISA:n, komission, CSIRT-verkoston ja jäsenvaltioiden toimivaltaisten viranomaisten kanssa. ENISA:lla ei olisi pääsyä keskitetyn ilmoituskanavan kautta tehtyihin ilmoituksiin, ellei toisin ole säädetty EU-oikeudessa. Keskitetyn ilmoituskanavan tulisi täyttää ehdotetun 23a(3) artiklan osa-alueet.  

Ehdotuksen mukaan ENISA:n tulisi pilotoida ja testata keskitettyä ilmoituskanavaa 18 kuukauden kuluttua säädöksen voimaantulosta. Tämän perusteella komissio arvioisi ilmoituskanavan toimivuutta, luotettavuutta, eheyttä sekä luottamuksellisuutta yhteistyössä ENISA:n kanssa. Komission tulisi lisäksi konsultoida CSIRT-verkostoa ja kansallisia toimivaltaisia viranomaisia. Jos komissio toteaisi ilmoituskanavan täyttävän tarvittavat vaatimukset, se julkaisisi ilmoituksen Euroopan unionin virallisessa lehdessä, minkä nojalla ENISA voisi käynnistää ilmoituksien vastaanottamisen keskitetyn EU-ilmoituskanavan kautta. Jos ilmoituskanavan ollessa käytössä komissio toteaisi, että ilmoituskanava ei täytä tarvittavia vaatimuksia, ENISA:n tulisi tehdä yhteistyössä komission kanssa kaikki tarvittavat korjaavat toimenpiteet ilmoituskanavan toimivuuden, luotettavuuden, eheyden ja luottamuksellisuuden turvaamiseksi. Tarvittaessa komission tulisi uudelleenarvioida ilmoituskanavan toimintaa ja päivittää tai julkaista ilmoitus, jonka perusteella ENISA pitää ilmoituskanavaa käynnissä. 

Ehdotuksen myötä NIS 2 -direktiivin 23 artiklan 1 kohtaan lisättäisiin, että poikkeamailmoitus olisi tehtävä 23a artiklan mukaisen keskitetyn ilmoituskanavan kautta. Lisäksi NIS 2 -direktiivin 23 artiklaan lisättäisiin 12 kohta, jonka mukaan asetuksen (EU) 2024/2847 (kyberkestävyyssäädös) 14 artiklan 3 kohdan mukainen ilmoitus digitaalisia elementtejä sisältävän tuotteen tietoturvaan vaikuttavista vakavista poikkeamista katsottaisiin myös NIS 2 -direktiivin mukaiseksi poikkeamailmoitukseksi. Lisäksi NIS 2 -direktiivin 30 artiklaa muutettaisiin siten, että jäsenvaltioiden tulisi varmistaa, että niille voidaan tehdä artiklassa tarkoitettuja vapaaehtoisia ilmoituksia keskitetyn EU-ilmoituskanavan kautta. 

Ehdotuksella muutettaisiin eIDAS-asetuksen 19a, 4 ja 45a artikloita lisäämällä niihin kohdat siitä, että artikloissa tarkoitetut ilmoitukset olisi tehtävä keskitetyn EU-ilmoituskanavan kautta. 

Ehdotuksella muutettaisiin DORA-asetuksen 19 artiklaa siten, että siinä tarkoitetut ilmoitukset olisi tehtävä keskitetyn EU-ilmoituskanavan kautta. Lisäksi keskitetyn EU-ilmoituskanavan kautta olisi mahdollisuus tehdä vapaaehtoisia ilmoituksia.  

Ehdotuksella muutettaisiin CER-direktiivin 15 artiklaa siten, että siinä tarkoitetut ilmoitukset olisi tehtävä keskitetyn EU-ilmoituskanavan kautta. Lisäksi keskitetyn EU-ilmoituskanavan kautta olisi mahdollisuus tehdä vapaaehtoisia ilmoituksia. 

Yleisen tietosuoja-asetuksen 33 artiklaan lisättäisiin viittaus siitä, että henkilötietojen käsittelyä koskevat tietoturvaloukkausilmoitukset olisi tehtävä keskitetyn EU-ilmoituskanavan kautta.  

Ennen keskitetyn EU-ilmoituskanavan käyttöönottoa säädöksien mukaiset ilmoitukset olisi tehtävä säädöksien nykyiseen toimeenpanoon perustuvien toimintamallien mukaisesti kansallisille toimivaltaisille viranomaisille. 

Eräiden säädösten kumoaminen 

Komissio ehdottaa kumottavaksi asetuksen oikeudenmukaisuuden ja avoimuuden edistämisestä verkossa toimivien välityspalvelujen yrityskäyttäjiä varten (P2B-asetus). Komission mukaan asetuksen keskeiset velvoitteet (läpinäkyvyys, reilu kohtelu, riidanratkaisu) sisältyvät vuonna 2022 voimaan tulleisiin digipalveluasetukseen (DSA) ja digimarkkina-asteukseen (DMA), jotka tarjoavat laajemmat ja sitovammat säännöt alustataloudelle. Tietyt P2B-asetuksen artiklat jäisivät voimaan siirtymäkauden ajaksi vuoteen 2032 saakka, jotta varmistetaan oikeusvarmuus säädöksille, jotka viittaavat P2B-asetukseen. Näitä artikloita olisivat osa 2 artiklan määritelmistä ('yrityskäyttäjä', 'verkossa toimivaa välityspalvelu', verkossa toimiva hakukone'), 4 artikla palvelujen rajoittamisesta, keskeyttämisestä ja lopettamisesta, 11 artikla sisäisestä valitustenkäsittelyjärjestelmästä ja 15 artikla täytäntöönpanon valvonnasta. 

3.2  Tekoälyomnibus

Tekoälyasetukseen ehdotetaan muutoksia, joiden tarkoituksena on keventää tekoälyjärjestelmien tarjoajien sekä vaatimustenmukaisuuden arviointilaitosten hallinnollista taakkaa. Lisäksi komissiolle annettaisiin toimivalta valvoa sellaisia yleiskäyttöisiä tekoälyjärjestelmiä, jotka perustuvat saman tarjoajan yleiskäyttöiseen tekoälymalliin, sekä tekoälyjärjestelmiä, jotka sisältyvät erittäin suuriin verkkoalustoihin tai erittäin suuriin hakukoneisiin. 

Komissio ehdottaa, että pieniä ja keskisuuria yrityksiä koskeva erityiskohtelu ulotettaisiin koskemaan myös SMC-yrityksiä: tietyt suuririskisiin tekoälyjärjestelmiin liittyviä velvoitteita koskevat poikkeukset, yritysten tarpeita huomioon ottavien tukitoimenpiteiden osoittaminen ja alemmat hallinnollisten seuraamusmaksujen enimmäismäärät. 

Nykyinen tekoälyjärjestelmien tarjoajille ja käyttöönottajille osoitettu tehtävä edistää tekoälylukutaitoa siirrettäisiin jäsenvaltioiden ja toimivaltaisten viranomaisten tehtäväksi. 

Komissio ehdottaa nykysääntelyyn verrattuna, että suuririskisten tekoälyjärjestelmien tarjoajien lisäksi myös suuririskisten tekoälyjärjestelmien käyttöönottajat sekä muiden tekoälyjärjestelmien tarjoajat ja käyttöönottajat voisivat tietyin edellytyksin käsitellä erityisiä henkilötietoryhmiä, jos se on tarpeellista vinoutumien havaitsemiseksi ja korjaamiseksi. Nykyisen ehdottoman välttämättömyyden vaatimuksen sijaan käsittely olisi perustuisi tarpeellisuuteen. Komission mukaan vinoumien havaitseminen ja korjaaminen on yleisen edun mukaista, sillä se suojaa ihmisiä tekoälyn haitallisilta vaikutuksilta, kuten syrjinnältä. Kyseisessä käsittelyssä tulee noudattaa erityisiä suojatoimia. 

Suuririskiseen käyttötapaukseen tarkoitettuja tekoälyjärjestelmiä, jotka eivät kuitenkaan olisi suuririskisiä tekoälyjärjestelmiä, ei olisi enää tarpeen rekisteröidä komission ylläpitämään tietokantaan. 

Ehdotuksen tarkoituksena olisi myös helpottaa vaatimustenmukaisuuden arviointia sekä arviointilaitosten ilmoittamista koskevaa menettelyä. Vaatimustenmukaisuuden arviointilaitoksia koskevaa sääntelyä muutettaisiin niin, että laitoksen olisi mahdollista hakea samalla hakemuksella ilmoittamista sekä tekoälyasetuksen että muun sektorilainsäädännön mukaisuutta arvioivaksi laitokseksi. Lisäksi vaatimustenmukaisuuden arviointia selkeytettäisiin. 

Komissiolta poistettaisiin valtuutus antaa täytäntöönpanosäädöksiä, jotka koskisivat yleiskäyttöisten tekoälyjärjestelmien käytännesääntöjä ja tiettyjen tekoälyjärjestelmien avoimuutta. Tarkoitus on, että yhdenmukaistettuja sääntöjä toimeenpanolle annetaan vain, mikäli tämä on ehdottoman välttämätöntä. 

Sääntelyn testiympäristöjä koskevaa sääntelyä laajennettaisiin niin, että tosielämän olosuhteissa tehtävä testaaminen olisi mahdollista toteuttaa tiiviimmin testiympäristöjen yhteydessä ja myös niiden ulkopuolella. Testaaminen sallittaisiin aiempaa laajemmin myös liitteen I mukaisilla järjestelmillä, ei vain liitteen III mukaisilla järjestelmillä. Liitteen I osan B mukaisten järjestelmien osalta komission ja jäsenvaltioiden olisi mahdollista tehdä keskenään vapaaehtoisia sopimuksia testaamisen käytännön toteuttamiseksi. Lisäksi komissiolle annettaisiin toimivalta perustaa testiympäristöjä yleiskäyttöisille tekoälyjärjestelmille, jotka perustuvat saman tarjoajan yleiskäyttöiseen tekoälymalliin. Näissä tapauksissa komissiolla olisi kansallisia markkinavalvontaviranomaisia vastaavat toimivaltuudet. Komissiolle annettaisiin toimivalta valvoa tekoälyjärjestelmiä, jotka kuuluvat digipalveluasetuksen piiriin erittäin suurina verkkoalustoina tai hakukoneina, tai jotka ovat niiden osia. 

Mikroyrityksiä koskeva poikkeus suuririskisen tekoälyjärjestelmän laadunvalvontajärjestelmää koskevista vaatimuksista ulotettaisiin myös pk-yrityksiin. 

Tiedelautakuntaa koskevaa sääntelyä tarkennettaisiin siten, että asiantuntijoille maksettavat palkkiot määriteltäisiin selkeämmin silloin, kun ne tukevat jäsenvaltioita asetuksen täytäntöönpanossa. Lisäksi jäsenvaltioille annettaisiin mahdollisuus konsultoida tiedelautakunnan asiantuntijoita suoraan ilman komission osallistumista. 

Jälkimarkkinaseurantaa joustavoitettaisiin poistamalla komissiolta valtuutus antaa täytäntöönpanosäädös, jossa vahvistetaan yksityiskohtaiset säännökset markkinoille saattamisen jälkeistä seurantaa koskevan suunnitelman mallista ja suunnitelmaan sisällytettävistä tiedoista. 

Perusoikeuksien toteutumista valvovien viranomaista oikeutta saada tietoja toimivaltaisilta markkinavalvontaviranomaisilta selkeytettäisiin ja samalla korostettaisiin markkinavalvontaviranomaisten velvollisuutta vastata perusoikeuksia valvovien viranomaisten pyyntöihin. 

Yhdenmukaistetut standardit, jotka tukevat tekoälyasetuksen noudattamista, eivät mitä todennäköisimmin valmistu 2.8.2026 mennessä, jolloin asetusta aletaan soveltaa täysimääräisesti. Tämä koskee myös liitteen III suuririskisiä järjestelmiä, kuten koulutukseen, työllistymiseen ja kriittiseen infrastruktuuriin liittyviä vaatimuksia. Tämän vuoksi ehdotukseen sisältyy useita muutoksia siirtymä- ja voimaantuloaikoihin, jotta standardien valmistelulle ja talouden toimijoiden sopeutumiselle jää enemmän aikaa: 

Keinotekoista sisältöä, kuten kuvia ja ääniä, tuottavia järjestelmiä ja niiden avoimuutta koskevaa sääntelyä sovellettaisiin järjestelmiin, jotka on otettu käyttöön ennen 2.8.2026, vasta kuuden kuukauden siirtymäajan jälkeen eli 2.2.2027 alkaen. Tämä olisi kuusi kuukautta myöhemmin kuin nykyinen soveltamispäivä 2.8.2026. 

Suuririskisiä tekoälyjärjestelmiä koskevien vaatimusten soveltaminen sidottaisiin siihen, että tukevat välineet, kuten yhdenmukaistetut standardit, yhteiset eritelmät tai komission ohjeet, ovat olemassa komission päätöksellä. Komission päätöksen julkaisun jälkeen talouden toimijoilla olisi aikaa tehdä vaaditut muutokset kuusi kuukautta (liite III) tai 12 kuukautta (liite I). Asetukseen sisältyisi varauma, että vaatimuksia sovelletaan viimeistään 2.12.2027 liitteen III järjestelmiin ja viimeistään 2.8.2028 liitteen I järjestelmiin, vaikka standardit eivät olisi valmistuneet. 

Jo markkinoille saatettujen tai käyttöön otettujen tekoälyjärjestelmien vaatimusten soveltaminen vastaisi suuririskisten tekoälyjärjestelmien soveltamisaikataulua. Muutos ei koskisi viranomaiskäyttöön tarkoitettuja järjestelmiä, joiden on edelleen täytettävä asetuksen vaatimukset 2.8.2030 mennessä. 

Lisäksi EU:n siviili-ilmailun turvallisuutta ja Euroopan unionin lentoturvallisuusvirasto EASA:a koskevaa perusasetusta muutettaisiin siten, että tekoälyasetuksen suuririskisiä tekoälyjärjestelmiä koskevat vaatimukset voidaan yhdistää kyseiseen asetukseen. 

4.1  Oikeusperusta

Niin digiomnibus- kuin tekoälyomnibus-asetusehdotuksen oikeusperustana on Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 114 artikla, joka koskee sisämarkkinoiden toteuttamista ja toimintaa koskevia toimenpiteitä ja sen tavoitteena on lähentää jäsenvaltioiden lainsäädäntöä ja varmistaa lainsäädännön yhtenäinen ja syrjimätön soveltaminen Euroopan unionissa. Sen nojalla noudatetaan tavallista lainsäätämisjärjestystä ja neuvosto tekee päätökset määräenemmistöllä. 

EU-tuomioistuin on vakiintuneesti katsonut, että säädös voidaan hyväksyä SEUT 114 artiklan perusteella ainoastaan, mikäli siitä ilmenee objektiivisesti ja tosiasiallisesti, että sen tarkoituksena on sisämarkkinoiden toteuttamista ja toimintaa koskevien edellytysten parantaminen. Mikäli tämä edellytys täyttyy, antaa SEUT 114 artikla unionin lainsäätäjälle laajan harkintavallan kulloinkin tarvittavien lähentämis- ja yhdenmukaistamistoimenpiteiden valinnassa.  

Digiomnibus-ehdotuksen toisena oikeusperustana olisi lisäksi SEUT 16 artikla niiltä osin kuin kyseisellä ehdotuksella muutettaisiin yleistä tietosuoja-asetusta ja toimielinten tietosuoja-asetusta. SEUT 16 artikla koskee henkilötietojen suojaa ja muodostaa oikeusperustan EU:n tietosuojalainsäädännölle. Artiklassa vahvistetaan, että henkilötietojen suoja on perusoikeus EU:ssa. EU:lla on toimivalta säätää lakeja, jotka koskevat henkilötietojen käsittelyä. Myös SEUT 16 artiklan nojalla noudatetaan tavallista lainsäätämisjärjestystä ja neuvosto tekee päätökset määräenemmistöllä. 

Säädöksen oikeusperusta on määriteltävä sen tarkoituksen ja pääasiallisen sisällön perusteella. EU-tuomioistuin on vakiintuneesti katsonut, että unionin lainsäätäjän olisi mahdollisuuksien mukaan pyrittävä aina käyttämään vain yhtä oikeusperustaa. Kahden tai useamman rinnakkaisen oikeusperustan käyttäminen on poikkeuksellinen ratkaisu. Se on EU-tuomioistuimen mukaan mahdollista silloin, kun on kyse toimesta, jolla on useampi samanaikainen tarkoitus tai sillä on useita osatekijöitä, joita ei voida erottaa toisistaan ja joista mikään ei ole toiseen nähden toisarvoinen ja välillinen.  

Valtioneuvoston arvion mukaan useamman oikeusperustan käyttäminen vaikuttaisi digiomnibus-ehdotuksen yhteydessä perustellulta. Ehdotettujen oikeusperustojen yhdistäminen on ongelmatonta myös käsittely- ja päätöksentekomenettelyiden näkökulmista, sillä molempien osalta noudatetaan tavallista lainsäätämisjärjestystä ja neuvosto tekee ratkaisunsa noudattaen samaa äänestysmenettelyä.  

Valtioneuvosto katsoo yhteenvetona, että ehdotusten oikeusperustat ovat pääosin asianmukaiset. Tekoälyasetusta koskevien muutosten osalta tulisi kuitenkin vielä arvioida SEUT 16 artiklan lisäämistä oikeusperustaksi, sillä ehdotetut muutokset koskevat tietyiltä osin myös henkilötietojen suojaa.   

4.2  Toissijaisuus- ja suhteellisuusperiaatteet

Digiomnibus 

Valtioneuvoston alustavan näkemyksen mukaan ehdotus on data-asetuksen, mukaan lukien datanhallinta-asetuksen, avoimen datan direktiivin ja muita kuin henkilötietoja koskevan datan vapaata liikkuvuutta koskevaan asetuksen, osalta toissijaisuus- ja suhteellisuusperiaatteiden mukainen.  

Valtioneuvoston alustavan näkemyksen mukaan ehdotus on yleisen tietosuoja-asetuksen ja toimielinten tietosuoja-asetuksen osalta toissijaisuus- ja suhteellisuusperiaatteiden mukainen, mutta neuvotteluissa on vielä arvioitava, onko ehdotettu sääntely kaikilta osin oikeasuhteista vaarantamatta nykyistä korkeaa tietosuojan tasoa. Komission ehdotukseen ei ole esimerkiksi sisällytetty uuden ehdotettavan sääntelyn (muun muassa anonymisointia ja pseudonymisointia, tekoälyjärjestelmien kehittämistä ja operointia sekä evästeitä koskeva sääntely) osalta ehdotuksia hallinnollisten seuraamusmaksujen tasosta (yleisen tietosuoja-asetuksen 83 artikla). Myöskään toimielinten tietosuoja-asetuksen osalta ehdotuksessa ei ole arvioitu uuden ehdotettavan sääntelyn hallinnollisten seuraamusmaksujen tasoa (toimielinten tietosuoja-asetuksen 66 artikla). Seuraamukset ovat tärkeä osa sääntelyn tehokkuutta, ja sääntelyn oikeasuhteisuuden varmistamiseksi olisi tärkeää varmistaa, ettei ehdotettava sääntely jätä epäselväksi, voidaanko hallinnollisia seuraamusmaksuja määrätä uuden sääntelyn osalta ja mikä olisi määrättävien seuraamusmaksujen taso. Edelleen on syytä varmistaa, että säädös- ja täytäntöönpanovallan delegointi komissiolle on kaikilta osin tarkoituksenmukaista sekä riittävän tarkkarajaista ja täsmällistä (ehdotettu uusi 41 a artikla sekä ehdotetut muutokset 35 artiklaan).  

Sähköisen viestinnän tietosuojadirektiivin osalta komissio ei ole tehnyt arviointia toissijaisuus- ja suhteellisuusperiaatteiden osalta. Tältä osin neuvotteluissa on arvioitava, onko ehdotettu sääntely kaikilta osin kyseisten periaatteiden mukaista. 

Valtioneuvoston näkemyksen mukaan ehdotus on keskitetyn EU-ilmoitusjärjestelmän perustamisen osalta toissijaisuus- ja suhteellisuusperiaatteiden mukainen. Komissio ei kuitenkaan ole arvioinut, onko toissijaisuus- ja suhteellisuusperiaatteiden mukaista se, että sääntelyn kohteet velvoitetaan kaikissa tilanteissa ilmoittamaan ja raportoimaan keskitetyn EU-ilmoitusjärjestelmän kautta. Tältä osin neuvotteluissa on selvennettävä ja arvioitava, onko ehdotus sen velvoittavuutta koskevilta osin toissijaisuus- ja suhteellisuusperiaatteiden mukainen, esimerkiksi tilanteissa, joissa raportoitavat tiedot sisältävät kansallista turvallisuutta koskevia tietoja, tai kyse on vain yhden säädöksen nojalla yhdessä jäsenvaltiossa tapahtuvasta raportoinnista. 

Valtioneuvoston näkemyksen mukaan ehdotus on P2B-asetuksen kumoamisen osalta toissijaisuus- ja suhteellisuusperiaatteiden mukainen. Sääntelyn yksinkertaistamisen ja hallinnollisen taakan vähentäminen puoltavat P2B-asetuksen, digipalveluasetuksen ja digimarkkina-asetuksen päällekkäisyyksien tarkastelua. Kumoamista harkittaessa on huomioitava säädösten erilaiset kohteet ja soveltamisalat: P2B-asetus turvaa sopimussuhteiden läpinäkyvyyden kaikenkokoisten verkossa toimivien välityspalveluiden ja niiden yrityskäyttäjien välillä, kun taas digimarkkina-asetus koskee vain suuria portinvartijayrityksiä ja digipalveluasetus välityspalveluiden vastuuta niiden alustoilla julkaistusta sisällöstä. Keskeistä on varmistaa, miten yritysten oikeusturva sopimussuhteissa alustoihin toteutuisi P2B-asetuksen kumoamisen jälkeen. 

Tekoälyomnibus 

Valtioneuvoston näkemyksen mukaan ehdotus on tekoälyasetuksen osalta pääasiallisesti toissijaisuus- ja suhteellisuusperiaatteiden mukainen. Henkilötietojen suojan näkökulmasta neuvotteluissa on kuitenkin vielä arvioitava, onko ehdotettu sääntely kaikilta osin oikeasuhteista, vaarantamatta nykyistä korkeaa tietosuojan tasoa. Tältä osin tulisi huomioida ennen muuta erityisten henkilötietoryhmien käsittely suuririskisissä tekoälyjärjestelmissä ja käsittelystä aiheutuvat korkeat riskit. 

6.1  Henkilötietojen suoja ja viestinnän luottamuksellisuus

Digiomnibus 

Yleistä tietosuoja-asetusta, toimielinten tietosuoja-asetusta ja sähköisen viestinnän tietosuojadirektiiviä koskevilla muutoksilla arvioidaan olevan vaikutusta perustuslain 10 §:n 1 momentissa turvatun henkilötietojen suojan kannalta. Myös avoimen datan direktiivin ja datanhallinta-asetuksen muutoksilla ja aineellisen sääntelyn siirtämisellä data-asetukseen voi olla vaikutusta henkilötietojen suojan kannalta. Sähköisen viestinnän tietosuojadirektiivin muutoksilla voi olla vaikutusta perustuslain 10 §:n 2 momentissa turvatun viestinnän luottamuksellisuuden kannalta. Henkilötietojen suojaa koskevia unionin- ja kansainvälisiä instrumentteja ovat Euroopan unionin perusoikeuskirja ja Euroopan ihmisoikeussopimus. Euroopan unionin perusoikeuskirjan 8 artiklassa turvataan jokaisen oikeus henkilötietojen suojaan ja 7 artiklassa säädetään yksityis- ja perhe-elämän kunnioittamisesta. Vastaavasti Euroopan ihmisoikeussopimuksen 8 artikla sisältää määräyksiä jokaisen oikeudesta nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. 

Digiomnibus-ehdotuksella ehdotetaan muutoksia liittyvät muun muassa anonymisointia ja pseudonymisointia koskevien henkilötiedon määritelmän tulkintaepävarmuuksien selventämiseen. Komission arvion mukaan henkilötiedon määritelmää koskevan muutoksen tarkoituksena on ainoastaan kodifioida unionin tuomioistuimen pseudonymisointia koskeva oikeuskäytäntö. Unionin tuomioistuin on asiassa C-413/23 P katsonut, ettei pseudonymisoitujen tietojen voida katsoa olevan kaikissa tilanteissa ja kaikkien henkilöiden osalta henkilötietoja, koska pseudonymisointi voi käsiteltävän asian olosuhteiden mukaan tosiasiallisesti estää muita henkilöitä kuin rekisterinpitäjää tunnistamasta rekisteröityä siten, ettei tämä ole enää näiden henkilöiden tunnistettavissa. Henkilötietojen määritelmän muuttamisella voi olla laajoja vaikutuksia henkilötietojen suojan tasoon EU:ssa. Muutoksella voi olla vaikutusta myös Suomea ja muita EU-jäsenmaita sitovien kansainvälisten velvoitteiden, kuten Euroopan neuvoston muutetun yksilöiden suojelua henkilötietojen automaattisessa tietojenkäsittelyssä koskeva yleissopimuksen (SopS 35—36/1992, jäljempänä tietosuojayleissopimus 108), täyttämisessä. 

Komissio ehdottaa, että tekoälyjärjestelmien kehittäminen ja operointi voisi jatkossa perustua pääasiallisesti oikeutettuun etuun, ellei jäsenvaltion tai unionin oikeudessa nimenomaisesti vaadittaisi rekisteröidyn suostumusta. Tekoälyjärjestelmien kehittämiseen ja operointiin voi kuitenkin liittyä henkilötietojen suojan näkökulmasta korkeita riskejä rekisteröidyille, erityisesti suuririskisten tekoälyjärjestelmien ja erityisiin henkilötietoryhmiin kuuluvien tietojen osalta. Erityisesti korkean riskin tilanteissa henkilötietojen suojan taso voisi heikentyä, mikäli henkilötietojen käsittely perustuisi rekisteröidyn suostumuksen sijaan oikeutettuun etuun.  

Perustuslakivaliokunta (PeVL 14/2018 vp) on kiinnittänyt huomiota henkilötietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Tällä seikalla on erityistä merkitystä erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyn kohdalla. Valiokunnan mielestä kyseiseen käsittelyyn liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I) ja kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 3/2017 vp, s. 5). Käsittelyn rajaamista välttämättömään tukee osaltaan myös EU:n perusoikeuskirjan 52 artiklan 1 kohta. Unionin tuomioistuin on tältä osin katsonut, että rajoitukset on toteutettava täysin välttämättömän rajoissa ja säännöstössä, joka merkitsee puuttumista henkilötietojen suojaan, on säädettävä selvistä ja täsmällisistä asianomaisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä (ks. asia 740/22, 52 kohta, asia C-439/19, 105 kohta, asia 172–176 kohta, asia C-13/16, 30 kohta, yhdistetyt asiat C-92/09 ja C-93/09, 86 kohta, asia C-473/12, 39 kohta ja asia C-212/13, 28 kohta). Rajoitusten välttämättömyyttä arvioitaessa unionin tuomioistuin on katsonut, että välttämättömyyttä koskeva vaatimus ei täyty, mikäli tavoite voidaan kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia vähemmän rajoittavilla keinoilla (ks. esim. asia C-548/21, 87 ja 88 kohta oikeuskäytäntöviittauksineen).  

Tekoälyjärjestelmien kehittämisen ja operoinnin osalta säädettäisiin lisäksi poikkeusperusteesta erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelylle koskien biometrisiä tietoja. Komission arvion mukaan biometristen tietojen käsittelyyn henkilöllisyyden todentamiseksi (verification) ei todennäköisesti aiheuta merkittäviä riskejä rekisteröidyn perusoikeuksille ja -vapauksille, sillä rekisterinpitäjä ei saa biometrisistä tiedoista tietoa tai vain hyvin rajoitetun ajan varmennusprosessin aikana ja todentamisprosessi olisi rekisteröidyn yksinomaisessa hallinnassa. Unionin oikeus ja perustuslakivaliokunnan lausuntokäytäntö huomioiden erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely tulisi rajoittaa välttämättömään ja sääntelyn tulisi sisältää asianmukaiset ja riittävät suojatoimet rekisteröidyn oikeuksien suojelemiseksi. 

Digiomnibus keventää rekisterinpitäjän velvollisuuksia rekisteröidyn informoinnin sekä raportointivelvollisuuksien suhteen. Komission arvion mukaan ehdotetuilla hallinnollista taakkaa vähentävillä ja sääntelyä yksinkertaistavilla muutoksilla ei olisi kielteisiä vaikutuksia henkilötietojen suojan tasoon, vaan selkeämmän sääntelyn voidaan joiltain osin katsoa jopa parantavan suojan tasoa. Ehdotetun sääntelyn suhteen on kuitenkin syytä varmistua siitä, että se ei ole liian yleistasoista ja aiheuta näin mahdollisuutta laajempiin poikkeamiin henkilötietojen suojan tasosta (ks. PeVL 14/2018 vp ja EUT asiat 740/22 (52 kohta) ja C-439/19 (105 kohta ja 172–176 kohta). Yleisluonteiset ja laajat poikkeukset rekisteröidyn informointia koskeviin säännöksiin voivat tosiasiallisesti rajoittaa tietosuoja-asetuksessa turvattua oikeutta saada tietoa omien henkilötietojen käsittelystä. Vastaavasti tietoturvaloukkausilmoitusten osalta ilmoituskynnyksen nostaminen korkeaan riskiin ja ilmoitusten tekemisen määräajan pidentäminen voisivat samanaikaisesti tehtynä heikentää nykyistä henkilötietojen suojan tasoa, sillä ajan kuluminen tapahtuneen tietoturvaloukkauksen ja tietosuojaviranomaiselle ilmoittamisen välillä saattaa vaarantaa ilmoittamisen tarkoituksen. Ehdotus voisi välillisesti vaikuttaa myös siihen, miten rekisteröity saa tietoa tapahtuneesta tietoturvaloukkauksesta. 

Komissio arvioi, että evästekyselyiden vähentämiseen pyrkivä ehdotus parantaisi käyttäjien suojan tasoa. Ehdotuksen perusteella käyttäjät voisivat tehdä aitoja valintoja ja hyötyä sääntelyn asettamasta suojasta. Riittävän tiedonsaannin varmistaminen on olennaista sekä suostumuksen että rekisteröidyn vastustamisoikeuden kannalta, jotta rekisteröidyllä on mahdollisuus vaikuttaa henkilötietojensa käsittelyyn. Yhteentoimivuus tietosuoja-asetuksen ja toimielinten tietosuoja-asetuksen nykyisen suostumusta ja vastustamisoikeutta koskevan sääntelyn kanssa sekä sähköisen viestinnän tietosuojadirektiivin kanssa tulee myös varmistaa. 

Tekoälyomnibus 

Huomioiden perusoikeuskirjan 52 artiklan 1 kohta ja sitä koskeva unionin tuomioistuinkäytäntö sekä perustuslakivaliokunnan arkaluonteisten henkilötietojen käsittelyä koskeva lausuntokäytäntö, rajoitukset henkilötietojen suojaan on toteutettava täysin välttämättömän rajoissa ja säännöstössä, joka merkitsee puuttumista henkilötietojen suojaan, on säädettävä selvistä ja täsmällisistä asianomaisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä. Tältä osin tekoälyasetukseen ehdotetun 4 a artiklan ja suuririskisten tekoälyjärjestelmien osalta tulisi arvioida välttämättömyyden vaatimuksen säilyttämistä, jotta voidaan varmistaa, että erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely toteutetaan välttämättömän rajoissa ja että nykyinen korkea henkilötietojen suojan taso säilyy. 

6.2  Julkisuusperiaate, tieteen vapaus ja elinkeinovapaus

Data-asetuksen ja siihen siirrettäväksi ehdotettujen datanhallinta-asetuksen III ja IV lukujen muutoksilla pyritään pääosin helpottamaan toimijoiden hallinnollista taakkaa eikä ehdotus sisällä olennaisia uusia vaatimuksia yrityksille. Ehdotuksessa laajennetaan tiettyjä pienille ja keskisuurille yrityksille annettuja lievennyksiä SMC-yrityksiin. Erottelun voidaan katsoa perustuvan objektiivisiin ja hyväksyttäviin perusteisiin ja olevan oikeasuhtaista. Ehdotus ei siten ole ongelmallinen elinkeinovapauden tai yritysten yhdenvertaisuuden kannalta.  

Avoimen datan direktiivin ja datanhallinta-asetuksen II luvun muutoksilla ja sääntelyn siirtämisellä data-asetukseen voi olla vaikutuksia perustuslain 12 §:n 2 momentissa turvatun julkisuusperiaatteen kannalta siltä osin kuin sääntely vaikuttaa viranomaisten hallussa olevien asiakirjojen luovuttamiseen sekä perustuslain 16 §:n 2 momentissa turvatun tieteen vapauden kannalta siltä osin kuin sääntely vaikuttaa julkisin varoin tuotetun tutkimusdatan saataville asettamiseen.  

Muutoksilla ja sääntelyn siirtämisellä voi myös olla vaikutuksia perustuslain 18 §:n 1 momentissa turvatun elinkeinovapauden kannalta siltä osin kuin sääntelyä sovelletaan julkisin varoin tuotettuun tutkimusdataan ja eräiden julkisessa määräysvallassa olevien yritysten hallussa oleviin asiakirjoihin, sekä siltä osin kuin asiakirjojen ja datan uudelleenkäyttöön voidaan kohdistaa tietyt kriteerit täyttävien yritysten osalta muista poikkeavia ehtoja ja maksuja.  

Ehdotuksilla koskien poikkeamaraportointia ja keskitettyä EU-ilmoituskanavaa ei ehdoteta muutettavaksi nykyisin voimassa olevia säännöksiä ilmoitus- tai raportointivelvollisuuksien alaisista tietosisällöistä taikka ilmoitus- tai raportointikynnyksistä. Ehdotuksella ei näin ollen ole tältä osin vaikutuksia perustuslain 18 §:ssä turvattuun elinkeinovapauteen.  

10.1  Yleinen kanta

Valtioneuvosto kannattaa komission tavoitetta yksinkertaistaa sääntelyä. Toimien tulee olla rohkeita, tavoitteellisia ja aidosti yritysten hallinnollista taakkaa keventäviä. Valtioneuvosto pitää tärkeänä, että EU:n digi- ja kyberlainsäädäntö muodostaa selkeän ja eheän kokonaisuuden, jossa velvoitteet ovat selkeitä ja oikeasuhtaisia. Valtioneuvoston tavoitteena on parempi ja vähäisempi EU-sääntely. Valtioneuvosto korostaa, että toimien tulee konkreettisesti edistää sujuvampaa arkea, kilpailukykyä ja oikeusvarmuutta.  

Valtioneuvoston näkemyksen mukaan komission ehdotukset pääosin voivat yhdenmukaistaa sääntelyä, edistää digitalisaatiota ja keventää hallinnollista EU-sääntelystä koituvaa taakkaa erityisesti yrityksille. Valtioneuvosto pitää välttämättömänä, että seuraavissa vaiheissa edetään kunnianhimoisesti ja toteutetaan merkittäviä sääntelystä koituvaa hallinnollista taakkaa vähentäviä toimia osana laajempaa digitaalialan sääntelyn tarkastelua (Digital Fitness Check). 

Valtioneuvosto katsoo, että jatkoneuvotteluissa olisi huolehdittava siitä, että säädös- ja täytäntöönpanovallan delegointi komissiolle on tarkoituksenmukaista sekä riittävän tarkkarajaista ja täsmällistä. Valtioneuvosto pitää tärkeänä myös riittävää ja ennakoitavaa täytäntöönpano- ja siirtymäaikaa.   

Valtioneuvosto yhtyy komission näkemykseen tekoälyn merkityksestä digitalisaation ja innovaatioiden ajurina. Valtioneuvosto korostaa myös muiden uusien ja kehittyvien teknologioiden merkitystä. 

10.2  Komission ehdotus: digiomnibus

Data-asetus 

Valtioneuvosto kannattaa EU:n laajuista horisontaalia datasääntelyä, jolla yhdenmukaistetaan velvoitteita eri jäsenmaissa ja eri sektoreilla.  

Valtioneuvosto tukee ehdotusta, että pääsy liikesalaisuuksia sisältävään dataan voidaan estää myös EU:n ulkopuolisen oikeusjärjestelmän riittämättömän suojan tason vuoksi. Samanaikaisesti valtioneuvosto pitää tärkeänä edistää digitaalista kauppaa ja kansainvälistä sääntöpohjaista järjestelmää, joilla varmistetaan kansainväliset tietovirrat sekä kansainvälisesti korkea tietosuojan ja tietoturvan taso. 

Valtioneuvosto tukee datan välityspalvelujen määritelmän tarkentamista, vapaaehtoista ilmoittautumismenettelyä ja velvollisuuksien keventämistä. 

Valtioneuvosto pitää tärkeänä, että datasääntelyssä jätetään riittävästi kansallista liikkumavaraa, erityisesti sellaisen sääntelyn osalta, joka on tähän asti ollut vähimmäistason asettavaa luonteeltaan ja joka koskee viranomaisten asiakirjojen luovuttamista. Tämä mahdollistaa esimerkiksi kansallisen julkisuuslainsäädännön huomioimisen sekä kansalliset toimenpiteet, jotka edistävät tiedon yhteentoimivuutta ja hallintaa. 

Valtioneuvosto korostaa, että kansallinen lainsäädäntö ja julkisen sektorin rooli vaihtelevat eri jäsenvaltioissa, ja sääntelykehyksen tulisi mahdollistaa erilaiset tavat järjestää datan välittämiseen liittyvät palvelut ja toimintamallit. Sen tulisi myös mahdollistaa toimintojen uudelleenorganisointi, jotta viranomaisille asetetut velvoitteet ja valvonta voidaan järjestää tarvittaessa. Hallinnollisten rakenteiden ja menettelyiden osalta tulee kiinnittää huomiota toimialakohtaisiin tarpeisiin ja toimivaltaisten elinten väliseen yhteistyöhön.  

Valtioneuvosto katsoo, että julkisen sektorin datan uudelleenkäyttöä koskevat muutokset muodostavat epäselvän kokonaisuuden, minkä vuoksi niiden vaikutuksia tulisi arvioida jatkovalmistelussa tarkemmin. Valtioneuvosto suhtautuu varauksella ehdotukseen soveltaa data-asetuksen IX luvun yleisiä säännöksiä uuteen VIIc lukuun. Yleiset säännökset olisivat aineellisesti uutta, julkiseen hallintoon sekä tutkimusdatan julkaisijoihin kohdistuvaa sääntelyä, jollaista ei kumottavissa säädöksissä ole. 

Jatkovalmistelussa tulisi arvioida tarkemmin ehdotettujen muutosten suhdetta kansalliseen julkisuuslainsäädäntöön, erityisesti siltä osin, kuin ehdotettu muutos voi vaikuttaa perustuslain julkisuusperiaatteeseen ja tieteen vapauteen rajoittamalla viranomaisten asiakirjojen luovutusta sekä julkisin varoin tuotetun tutkimusdatan saatavuutta. 

Valtioneuvosto katsoo, että Euroopan datainnovaatiolautakuntaa koskevat muutosehdotukset vaativat tarkempaa arviointia jatkovalmistelussa. Toimivaltaisten viranomaisten ja komission yhteistyön tarkoituksenmukaiseen järjestämiseen tulisi kiinnittää huomiota. 

Yleinen tietosuoja-asetus, toimielinten tietosuoja-asetus ja sähköisen viestinnän tietosuojadirektiivi 

Valtioneuvosto suhtautuu lähtökohtaisesti myönteisesti komission tavoitteisiin selkeyttää ja yksinkertaistaa yleistä tietosuoja-asetusta ja toimielinten tietosuoja-asetusta hallinnollisen taakan vähentämiseksi, EU:n kilpailukyvyn vahvistamiseksi ja uusien teknologioiden käyttöönoton tukemiseksi. Valtioneuvosto pitää tärkeänä, että ehdotukset tukevat erityisesti pk-yrityksiä ja muita pieniä toimijoita sekä huomioi myös julkisen sektorin. 

Valtioneuvosto suhtautuu lähtökohtaisesti myönteisesti ehdotuksen tavoitteeseen selventää anonymisointiin ja pseudonymisointiin, tieteelliseen tutkimukseen sekä tekoälyjärjestelmien kehittämiseen ja operointiin liittyviä epäselvyyksiä oikeusvarmuuden parantamiseksi, innovaatioiden ja tiedon hyödyntämisen edistämiseksi sekä yhtenäisen tulkinnan varmistamiseksi EU:ssa. Valtioneuvosto pitää kuitenkin tärkeänä, että neuvotteluissa varmistetaan, ettei ehdotuksilla tosiasiallisesti heikennetä nykyistä tietosuojan tasoa ja rekisteröidyn oikeuksia, huomioiden myös Euroopan neuvoston muutetun tietosuojayleissopimuksen 108 määräämä tietosuojan taso. Huomiota tulee tältä osin kiinnittää ennen muuta komission ehdotukseen täydentää henkilötietojen määritelmää ja varmistaa neuvotteluissa, että ehdotettavat muutokset anonymisointiin ja pseudonymisointiin liittyen ovat riittävän selkeitä ja tarkkarajaisia. Neuvotteluissa tulee lisäksi varmistaa, että tieteellistä tutkimusta koskeva määritelmä on riittävän selkeä ja täsmällinen, jotta se ei heikennä nykyistä tietosuojan tasoa, mutta edistää tieteellistä tutkimusta ja innovointia. Oikeusvarmuuden varmistamiseksi ja hallinnollisen taakan keventämiseksi neuvotteluissa tulee kiinnittää yleisesti huomiota myös ehdotetun sääntelyn selkeyteen ja täsmällisyyteen. 

Valtioneuvosto pitää tärkeänä varmistaa neuvotteluissa, että ehdotettava sääntely on kaikilta osin oikeasuhteista ja että yleistä tietosuoja-asetusta koskeva säädös- ja täytäntöönpanovallan delegointi komissiolle on tarkoituksenmukaista sekä riittävän tarkkarajaista ja täsmällistä. Valtioneuvosto katsoo, että jatkovalmistelussa tulisi myös selventää ehdotettavan uuden sääntelyn, kuten evästeisiin ja tekoälyjärjestelmiin liittyvän henkilötietojen käsittelyn, osalta mahdollisten hallinnollisten seuraamusmaksujen taso. 

Erityisten henkilötietoryhmien käsittelyyn liittyen valtioneuvosto pitää tärkeänä, että neuvotteluissa varmistetaan asianmukaiset ja riittävät suojatoimenpiteet sekä rajataan henkilötietojen suojaan puuttuminen välttämättömään. Valtioneuvosto suhtautuu myönteisesti ilmoituskynnyksen nostamiseen koskien henkilötietojen tietoturvaloukkausilmoitusten tekemistä tietosuojaviranomaisille. Koska kyse on kuitenkin käsittelystä, josta aiheutuu korkea riski rekisteröidyn suojalle, valtioneuvosto suhtautuu varauksella ilmoitusten tekemisen määräaikojen pidentämiseen nykyisestä.  

Valtioneuvosto pitää lähtökohtaisesti kannatettavana, että evästeitä koskevaa sääntelyä uudistetaan. Sääntelyn tulee edistää sekä sähköisten palveluiden luotettavuutta että vastuullisen digitaalisen liiketoiminnan ja palvelujen kehittymistä. Joidenkin alojen, kuten median ja julkisen sektorin osalta voi olla tarpeen turvata riittävä liikkumavara osana tasapainoista sääntelykokonaisuutta. Valtioneuvosto kannattaa sellaisia toimia, joilla lisätään palvelun käytettävyyttä. Sääntelyssä tulee kuitenkin varmistaa, että rekisteröidyllä on mahdollisuus vaikuttaa hänestä kerättäviin ja käsiteltäviin henkilötietoihin sekä saada riittävästi tietoa kyseisestä käsittelystä. 

Valtioneuvosto korostaa, että jatkovalmistelussa tulisi varmistaa, että yleiseen tietosuoja-asetukseen ja toimielinten tietosuoja-asetukseen ehdotettava sääntely on kaikilta osin yhteensopivaa ja selkeää suhteessa sähköisen viestinnän tietosuojadirektiiviin. Valtioneuvoston alustavan näkemyksen mukaan ratkaisu, jossa osa päätelaitteen tiedoista (kuten evästeet) jäisi edelleen voimassa olevan sähköisen viestinnän tietosuojadirektiivin piiriin ja henkilötietojen käsittely siirtyisi yleiseen tietosuoja-asetukseen, ei välttämättä ole tarkoituksenmukainen, mikäli se johtaisi siihen, että muiden tietojen suoja olisi henkilötietojen suojaa korkeampi. Valtioneuvosto kiinnittää huomiota siihen, että päätelaitteelle tallennetut henkilötiedot eivät rajoitu evästeisiin, vaan käsittävät muitakin laitteelle tallennettuja tietoja, kuten valokuvat, yhteystiedot ja asiakirjat. Siksi muut kuin suostumukseen perustuvat käsittelyperusteet on määriteltävä tarkkarajaisesti ja oikeasuhtaisesti. 

Keskitetty EU-ilmoituskanava poikkeamille 

Valtioneuvosto kannattaa toimia, joilla vähennetään eri säädösten nojalla tapahtuvasta poikkeamaraportoinnista aiheutuvaa hallinnollista taakkaa ja kustannuksia. Valtioneuvosto pitää tärkeänä, että poikkeamaraportointi järjestetään tarkoituksenmukaisella tavalla. Valtioneuvosto tukee raportoinnin yhtenäistämistä jäsenvaltioiden välillä, ottaen huomioon olemassa olevat kansalliset ratkaisut viranomaistehtävien järjestämisestä ja kansallisesta liikkumavarasta. Valtioneuvosto suhtautuu myönteisesti jäsenvaltioille osoitettavaan velvollisuuteen ottaa vastaan eri säädöksien mukaisia ilmoituksia joko keskitetyn EU-ilmoituskanavan tai muun eri ilmoituksia yhdistävän kanavan välityksellä. 

Valtioneuvosto huomioi, että poikkeamien raportoinnin keskittäminen yhteen EU-tason järjestelmään sisältää tietojen kasautumiseen ja järjestelmän toimivuuteen liittyviä riskejä. Valtioneuvosto pyrkii selvittämään komissiolta tarkempia tietoja järjestelmän tietoturvallisuudesta sekä sen vaikutuksista nykyisiin jo olemassa oleviin järjestelmiin neuvotteluiden yhteydessä. Valtioneuvosto pitää tärkeänä, että keskitetyn EU-ilmoituskanavan tietoturvallisuus, luotettavuus ja toiminnallisuuksien riittävyys varmistetaan. Ennen uusien tehtävien osoittamista Euroopan unionin kyberturvallisuusvirasto ENISA:lle tulee arvioida sen kyky hoitaa sille osoitettavat tehtävät.  

Valtioneuvosto pitää epävarmana tukisiko komission ehdotus, jonka mukaan sääntelyn kohteiden tulisi käyttää kaikissa tilanteissa ilmoittamiseen tai raportointiin keskitettyä EU-ilmoituskanavaa, sääntelyn yksinkertaistamisen tai hallinnollisen taakan ja kustannussäästöjen vähentämisen tavoitetta. Lisäksi tilanteissa, joissa ilmoitettavat tiedot liittyvät kansalliseen turvallisuuteen tai puolustukseen, ilmoitusvelvollisuus olisi voitava täyttää kansallisin järjestelyin. Valtioneuvosto suhtautuu myönteisesti sääntelyn kohteelle jätettävään liikkumavaraan raportoinnin toteuttamisesta siltä osin kuin se edistää sääntelyn tavoitteita. Valtioneuvosto suhtautuu kriittisesti sääntelyn kohteen velvollisuuteen raportoida kaikissa tilanteissa keskitetyn EU-ilmoituskanavan kautta. 

Valtioneuvosto kannattaa toimia, jotka edistävät jäsenmaiden välistä tietojenvaihtoa kyberturvallisuuspoikkeamista luomatta kuitenkaan päällekkäisyyksiä nykyisten toimintojen kanssa. Valtioneuvosto korostaa, että keskitettyyn EU-ilmoituskanavaan siirtyminen ei saa heikentää valvontaviranomaisten oikeuksia ja tosiasiallisia mahdollisuuksia saada niiden tehtävien hoitamisen kannalta tarpeelliset tiedot riittävän nopeasti. EU-sääntelystä ei saa aiheutua estettä tiedon siirtymiseen esimerkiksi tarvittaessa kriisinhallintaan liittyviä tehtäviä varten toiselle viranomaiselle. Edelleen valtioneuvosto katsoo, että ENISA:n tehtävissä tulisi välttää päällekkäisyyksiä sekä keskittyä EU-tasolla erityistä lisäarvoa tuottaviin toimenpiteisiin.  

Valtioneuvosto pitää tärkeänä, että ehdotuksen jatkokäsittelyssä arvioidaan edellä kuvatusti sen suhdetta toissijaisuusperiaatteeseen sekä kansalliseen turvallisuuteen ja puolustukseen.  

Eräiden säädösten kumoaminen 

Valtioneuvosto katsoo, että neuvottelujen kuluessa tulisi saada lisätietoja komission P2B-asetuksen kumoamista koskevan ehdotuksen vaikutuksista eurooppalaisten yritysten kilpailukykyyn. Neuvotteluissa olisi täsmennettävä, miten verkkoalustoja hyödyntävien yritysten oikeusturva sopimussuhteissa verkkoalustayritysten kanssa varmistettaisiin jatkossa. 

10.3  Komission ehdotus: tekoälyomnibus

Valtioneuvosto pitää yleisesti ehdotuksia tekoälyasetuksen yksinkertaistamiseksi ja siitä aiheutuvan hallinnollisen taakan vähentämiseksi kannatettavina. Valtioneuvosto pitää kuitenkin tärkeänä varmistaa, että ehdotettava sääntely on kaikilta osin oikeasuhteista ja katsoo, että neuvotteluissa tulisi vielä arvioida SEUT 16 artiklan lisääminen oikeusperustaksi, sillä ehdotetut muutokset tekoälyasetukseen koskevat tietyiltä osin myös henkilötietojen suojaa. 

Valtioneuvosto suhtautuu lähtökohtaisesti myönteisesti ehdotukseen, jolla mahdollistetaan erityisten henkilötietojen käsittely nykyistä laajemmin kaikkien tekoälyjärjestelmien vinoutumien havaitsemisen ja korjaamisen varmistamiseksi. Neuvotteluissa suuririskisten tekoälyjärjestelmien osalta tulisi kuitenkin varmistaa asianmukaiset ja riittävät suojatoimenpiteet sekä rajata henkilötietojen suojaan puuttuminen välttämättömään huomioiden erityisesti suuririskisiin tekoälyjärjestelmiin liittyvät korkeat riskit. 

Valtioneuvosto pitää ehdotuksia korkeariskisten järjestelmien vaatimusten soveltamisen lykkäämisestä kannatettavina, jotta yhdenmukaistettujen standardien valmistelulle ja asetuksen vaatimuksiin valmistautumiselle on enemmän aikaa. Yrityksillä ja muilla toimijoilla, mukaan lukien julkisella sektorilla, tulee olla tieto vaatimusten voimaanastumisesta tarpeeksi paljon ennen elokuuta 2026, jolloin tekoälyasetuksen velvoitteet tulevat viimeistään noudatettaviksi liitteen III suuririskisten tekoälyjärjestelmien osalta. Tämän vuoksi valtioneuvosto korostaa tekoälyasetusta koskevien muutosten nopean käsittelyn merkitystä. Valtioneuvosto on myös valmis siihen, että soveltamisen lykkäystä koskevat muutokset eriytetään erilliseksi kokonaisuudeksi, jonka käsittelyä priorisoidaan aikataulullisesti suhteessa muuhun tekoälyomnibusiin.  

On tärkeää, että vaatimusten voimaanastumiselle asetetaan selkeä takaraja tavalla, joka selventäisi oikeustilaa ja vähentäisi ennakoimattomuudesta yrityksille aiheutuvaa hallinnollista taakkaa ja kustannuksia. Lisäksi valtioneuvosto kannattaa ehdotettua lykkäystä keinotekoista sisältöä koskeville avoimuusvelvoitteille. 

Valtioneuvosto katsoo, että tekoälyasetusta koskevat ehdotukset vähentäisivät tekoälyä hyödyntävien yritysten ja julkisen hallinnon toimijoiden hallinnollista taakkaa ja kustannuksia vain vähäisissä määrin ja että neuvotteluissa olisi pyrittävä löytämään lisää keinoja näiden vähentämiseksi mahdollisuuksien mukaan. Valtioneuvosto pitää kuitenkin tärkeänä, että tekoälyasetukseen ehdotettavilla muutoksilla, kuten rekisteröintivelvollisuuksien keventämisellä, ei heikennetä nykyistä henkilötietojen suojan tasoa