(1) Esityksessä ehdotetaan säädettäväksi, että pankki- ja maksutilien valvontajärjestelmän sisälle muodostetaan uusi toiminnallisuus, keskitetty sähköinen saldo- ja tilitapahtumajärjestelmä, jonka kautta viranomaisilla on mahdollisuus tehdä saldo- ja tilitapahtumatietoja sekä arvopapereihin liittyviä tietoja koskevia kyselyjä luotto- ja maksulaitoksille sekä muille ehdotetun 1 a §:n mukaisille toimijoille. Esityksessä ei ehdoteta viranomaisille uusia toimivaltuuksia saldo- ja tilitapahtumatietoihin ja arvopaperitietoihin pääsyn osalta, vaan ne viranomaiset, jotka jo nykyisellään saavat saldo- ja tilitapahtuma- ja arvopaperitietoja tehtäviensä hoitamiseksi omien toimivaltasäännöstensä mukaisesti, voivat käyttää noiden kyselyjen tekemiseen ja vastaanottamiseen pankki- ja maksutilien valvontajärjestelmää. Kyseessä on siis sähköistä tiedonluovutusta ja välittämistä koskeva ehdotus. Esitettävä muutos muuttaa sitä teknistä tiedon luovuttamistapaa, jolla viranomaiset saisivat saldoja tilitapahtumatietoja luotto- ja maksulaitoksilta ja muilta tiedonluovuttajilta.
(2) Ehdotetut saldo- ja tilitapahtumatietojen käsittelyä koskevat säännökset ovat merkityksellisiä perustuslain 10 § :ssä turvatun yksityiselämän ja henkilötietojen suojan näkökulmasta.
(3) Perustuslakivaliokunnan mukaan on lähtökohtaisesti riittävää perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Valiokunnan mukaan henkilötietojen suoja tulee turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja kansallisen yleislainsäädännön nojalla. Kansallisen erityislainsäädännön säätämiseen tulee siten suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (ks. PeVL 14/2018 vp, s. 4—5).
(4) Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp, s. 5).
Arkaluonteiset tiedot
(5) Perustuslakivaliokunta on arvioinut voimassa olevaan sääntelyyn johtanutta hallituksen esitystä eduskunnalle laiksi pankki- ja maksutilien valvontajärjestelmästä ja eräiksi siihen liittyviksi laeiksi (PeVL 48/2018 vp). Valiokunta viittasi tuolloin aiemmin katsoneensa, että pankkisalaisuus ei ole yksityiselämän ydinalueeseen kuuluva seikka (PeVL 14/2002 vp, s. 4/II, PeVL 7/2000 vp, s. 4/I). Valiokunta totesi sittemmin arvioineensa uudelleen yksityiselämän suojan ydinalueen merkitystä. Viitaten myös EU-tuomioistuimen käytäntöön yksityiselämän suojasta valiokunta katsoi, että mitä suuremmassa määrin yksityisten ihmisten maksuliikenne siirtyy käteisen rahan käytöstä pankkitilin välityksellä tapahtuvaan maksuliikenteeseen, sitä yksityiskohtaisemman kuvan henkilön yksityiselämästä voi muodostaa pankkitilin tilitapahtumista. Tilitapahtumista voi ilmetä suoraan jopa arkaluonteisia tietoja, kuten tietoja uskonnollisen yhdyskunnan jäsenyydestä tai terveydenhuoltopalvelujen käytöstä. Valiokunnan mukaan luonnollisen henkilön yksityiskohtaiset tilitiedot rinnastuvat tämän johdosta yksityiselämän suojan ydinalueelle kuuluviin arkaluonteisiin tietoihin (PeVL 48/2018 vp, s. 4).
(6) Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks. PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen ja rikosasioiden tietosuojadirektiivin 37 johdantokappaleen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on rajattava täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään ja sääntelyn on oltava EU:n tietosuojalainsäädännön mahdollistamissa puitteissa yksityiskohtaista ja kattavaa (PeVL 65/2018 vp, s. 45, PeVL 15/2018 vp, s. 40).
(7) Perustuslakivaliokunta kiinnitti arvioidessaan voimassa olevaan sääntelyyn johtanutta esitystä huomiota myös siihen, että salassapitosäännösten edelle menevässä tietojensaantioikeudessa on viime kädessä kysymys siitä, että tietoihin oikeutettu viranomainen omine tarpeineen syrjäyttää ne perusteet ja intressit, joita tiedot omaavaan viranomaiseen kohdistuvan salassapidon avulla suojataan. Mitä yleisluonteisempi tietojensaantiin oikeuttava sääntely on, sitä suurempi on vaara, että tällaiset intressit voivat syrjäytyä hyvin automaattisesti. Mitä täydellisemmin tietojensaantioikeus kytketään säännöksissä asiallisiin edellytyksiin, sitä todennäköisemmin yksittäistä tietojensaantipyyntöä joudutaan käytännössä perustelemaan. Myös tietojen luovuttajan on tällöin mahdollista arvioida pyyntöä luovuttamisen laillisten edellytysten kannalta. Tietojen luovuttaja voi lisäksi kieltäytymällä tosiasiallisesti tietojen antamisesta saada aikaan tilanteen, jossa tietojen luovuttamisvelvollisuus eli säännösten tulkinta saattaa tulla ulkopuolisen viranomaisen tutkittavaksi. Tämä mahdollisuus on tärkeä tiedonsaannin ja salassapitointressin yhteensovittamiseksi. Valiokunnan mukaan tällaisia lähtökohtia voidaan soveltaa myös tietojen saamiseen ja luovuttamiseen pankkisalaisuuden estämättä (PeVL 48/2018 vp, 5). Valiokunnan mukaan tuolloin ehdotetulla sääntelyllä olisi perustettu järjestelmä, jonka puitteissa pankkisalaisuuden alaisia henkilötietoja annettaisiin useiden viranomaisten käyttöön ilman riittävää ennakollista kontrollia (PeVL 48/2018 vp, s. 7—8).
(8) Perustuslakivaliokunta kiinnittää huomiota siihen, että arkaluonteisten tietojen käsittelyä koskevan sääntelyn valtiosääntöisen välttämättömyysedellytyksen tulee olla lakiteknisesti toteutettu asianmukaisesti ja sen tulee myös tarkoittaa henkilötietojen käsittelyn rajoittamista riittävillä kontrolleilla välttämättömään. Hallituksen esityksessä (esim. s. 105 ja 111) ennakollisen kontrollin ajatuksena vaikuttaa olevan ennen kaikkea se, että tietojenkäsittelyn turvallisuus ja asianmukaisuus nojaa virkavastuujärjestelmään. Perustuslakivaliokunta on toistuvasti todennut, että tietojen suojaamista oikeudettomalta käytöltä ei voi perustaa vain rekisterinpitäjää tai tietojen käsittelijää koskevan virkavastuun varaan (PeVL 4/2021 vp, PeVL 65/2018 vp, PeVL 52/2018 vp, PeVL 51/2018 vp).
(9) Hallituksen esityksen perustelujen (s. 49) mukaan viranomaisen on tehdessään kyselyn aina ilmoitettava säännös, jonka perusteella tietoja haetaan. Kun tapauksen yksilöintitiedot ja muut kyselyn välttämättömät taustatiedot on täytetty, koostava sovellus välittää tiedot eteenpäin tiedonluovuttajille sekä edelleen niistä saadut vastaukset toimivaltaisille viranomaisille.
(10) Perustuslakivaliokunta kiinnittää huomiota siihen, että ennakkokontrollin kannalta pyynnön yksilöintitiedot kontrolloivat tietopyyntöjä melko muodollisesti. Yksilöintitiedot eivät sisällä tietoa siitä, miten tiedonsaantioikeuden käyttöä suhteessa välttämättömyysedellytykseen on arvioitu tietoja pyytävässä toimivaltaisessa viranomaisessa. Perustuslakivaliokunnan mielestä olisi perusteltua, että tällainen välttämättömyysarviointi kirjataan joko saldo- ja tilitapahtumajärjestelmään tai toimivaltaisen viranomaisen omaan tietojärjestelmään ennakkokontrollin varmistamiseksi sekä sen todentamiseksi, että kukin tietopyynnön tekijä on arvioinut tietopyynnön laajuutta lakiehdotuksessa ehdotetulla tavalla sekä voimassa olevien tiedonsaantioikeuksien mukaisesti. Hallintovaliokunnan on syytä lisätä ehdotukseen välttämättömyysarvioinnin kirjaamista koskeva sääntely.
Saatavat tilitapahtuma- ja arvopaperitiedot
(11) Esityksen 1. lakiehdotuksen 17 d §:ssä ehdotetaan säädettäväksi keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä saatavista tilitapahtuma- ja arvopaperitiedoista. Pykälän 1 momentin 7 kohdan mukaan keskitetystä sähköisestä saldo- ja tilitapahtumajärjestelmästä on mahdollista pyytää 1—6 kohdissa mainittujen tietojen ohella muut kuin 1—6 kohdassa tarkoitetut tilitapahtumaan liittyvät tiedot.
(12) Hallituksen esityksen (s. 106) mukaan tilitapahtumatietokyselyjen ja niiden vastauksien toimittamisessa noudatetaan suositusta eurooppalaisten lainvalvontaviranomaisten käyttämästä ISO20022 sanomarakenteesta. Esityksen perustelujen mukaan ISO20022-sanomarakenteesta on saatavilla laaja tietosisältö kyselyn kohteena olevan luonnollisen henkilön tai oikeushenkilön tilitapahtumasta, eikä tämän vuoksi sanomarakenteen jokaista kohtaa ole mahdollista määritellä pykälätasolla. Perustelujen mukaan 1. lakiehdotuksen 17 d 1 momentin 7 kohta koskee tämän vuoksi kaikkia muita kuin 1—6 kohdassa määriteltyjä tilitapahtumaan liittyviä tietoja.
(13) Perustuslakivaliokunta kiinnittää huomiota siihen, että 7 kohdan säännös laajentaa pykälän nojalla saatavia tietoja tavalla, joka jättää viranomaisen tiedonsaantioikeuden kohteen varsin epämääräiseksi. Koska 1. lakiehdotuksen 17 d §:n 1—7 kohdassa tarkoitetuissa tiedoissa on merkittäviltä osin kysymys arkaluontoisista henkilötiedoista, ei tällainen epämääräisyys ole ongelmatonta sen valiokunnan esittämän vaatimuksen kannalta, jonka mukaan arkaluonteisten tietojen käsittely on rajattava täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään ja sääntelyn on oltava EU:n tietosuojalainsäädännön mahdollistamissa puitteissa yksityiskohtaista ja kattavaa (PeVL 65/2018 vp, s. 45, PeVL 15/2018 vp, s. 40). Hallintovaliokunnan on syytä selventää ehdotettua sääntelyä rajaamalla tiedot esimerkiksi perusteluissa kuvatulla tavalla edellä viitatusta sanomarakenteesta saatavilla oleviin tietoihin.