Yleistä

Hallituksen esityksessä ehdotetaan muutettavaksi tietosuojalakia (1050/2018) ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia (1054/2018, jäljempänä rikosasioiden tietosuojalaki).  

Lakeihin ehdotetaan lisättäväksi säännökset rekisteröidyn uudesta käytettävissä olevasta oikeussuojakeinosta tietosuojavaltuutetun passiivisuustilanteessa. Jos tietosuojavaltuutettu ei ole käsitellyt asiaa kolmen kuukauden kuluessa sen vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle ja valituksen katsotaan tällöin kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen. 

Esityksessä ehdotetaan myös tietosuojalain 15 §:ään lisättäväksi säännökset tietosuojavaltuutetun oikeudesta siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille asioissa, joissa lain soveltamiskäytäntö on vakiintunut, eikä asian oikeudellinen luonne tai sisältö edellytä esittelyä tietosuojavaltuutetulle. 

Lisäksi tietosuojalain 29 §:n ja rikosasioiden tietosuojalain 12 §:n säännöksiä henkilötunnuksen käsittelystä ehdotetaan täsmennettäviksi. Ehdotuksen mukaan rekisteröityä ei saa tunnistaa yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä. 

Passiivisuusvalitus

Hallituksen esityksestä ilmenee, että komissio on antanut Suomelle 6.4.2022 virallisen huomautuksen sekä 27.1.2023 perustellun lausunnon, jossa se katsoo, että Suomen lainsäädäntö ei kaikilta osin ole yleisen tietosuoja-asetuksen (EU) 2016/679 78 artiklan 2 kohdan ja direktiivin (EU) 2016/680 53 artiklan 2 kohdan mukainen. EU:n tietosuojalainsäädäntö edellyttää nimenomaisesti, että tietosuojavaltuutetun passiivisuustilanteessa käytettävissä olevan oikeussuojakeinon tulee olla tuomioistuinmenettely. Suomi on vastannut 23.3.2023 Euroopan komission perusteltuun lausuntoon ja ehdotuksen passiivisuusvalitusta koskevat säännökset liittyvät tähän kokonaisuuteen.  

Yleisen tietosuoja-asetuksen 77 artiklan mukaan rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja. Tietosuojalain 21 §:ään ja rikosasioiden tietosuojalain 57 §:ään ehdotetaan lisättäväksi passiivisuusvalitusta koskevat säännökset, joiden mukaan rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle, jos tietosuojavaltuutettu ei ole käsitellyt edellä todettua kanteluasiaa kolmen kuukauden kuluessa asian vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta.  

Valituksen kohde. Ehdotetun passiivisuusvalituksen katsotaan esityksessä kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen. Hallintovaliokunnan kuulemisessa on tuotu esiin, että hallituksen esityksen ratkaisu, jossa tietosuojavaltuutetun passiivisuus tulkitaan käsittelyn hylkäävänä päätöksenä, on osin epäonnistunut. Tämä johtuu muun muassa siitä, että käsittelyn hylkääminen ei ole oikeudellinen käsite, eikä se ole myöskään yleiskielellisesti helposti ymmärrettävissä. Valiokunnan kuulemisessa on tuotu myös esiin, että aiemmin esityksen lausuntovaiheessa esitetty malli, jossa tietosuojavaltuutetun passiivisuutta pidettiin tutkimatta jättämistä koskevana päätöksenä, on selkeämmin ymmärrettävissä. 

Hallintovaliokunnan saaman selvityksen mukaan ehdotetuissa passiivisuusvalitusta koskevissa säännöksissä on poikettu tarkoituksella muista EU-lainsäädäntöön perustuvista viivästysvalitussäännöksistä, joiden mukaan valitus yleensä kohdistuu viranomaisen kielteiseen asiasisältöiseen päätökseen, kuten hakemuksen hylkäämiseen. Tämä johtuu erityisesti siitä, että tietosuojalainsäädäntö ei aseta asian ratkaisulle ehdotonta määräaikaa, vaan määräajan noudattamisen kannalta riittävää on, että rekisteröidylle vähintään ilmoitetaan hänen asiansa etenemisestä.  

Valiokunta toteaa oleellista olevan, että valitusoikeudella on kuitenkin selkeä kohde. Valiokunnan saaman selvityksen mukaan voimassa olevat sääntelyratkaisut viranomaisen viivästystilanteissa eivät sellaisenaan sovellu tietosuojalainsäädännössä tarkoitettuihin passiivisuustilanteisiin, vaan niissä omaksuttua sääntelyratkaisua on ollut tarpeen mukauttaa. Ehdotetuissa säännöksissä tietosuojavaltuutetun päätöksen tai ilmoituksen puuttuminen on siten rinnastettu tilanteeseen, jossa asian käsittely on päättynyt ja lopputulos on rekisteröidyn kannalta kielteinen. Käytännössä kyse on siitä, että viranomaiselta vähintään edellytettävät käsittelytoimet puuttuvat, toisin sanoen tietosuojavaltuutettu ei ole vähintään ilmoittanut arvioitua päätöksen antamisajankohtaa. Valituksen on siten katsottu esityksessä kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen. 

Lakivaliokunta kiinnittää lausunnossaan (LaVL 15/2023 vp) huomiota siihen hallintovaliokunnan kuulemisessakin esiin tuotuun seikkaan, että oikeussuojakeinon tehokkuuden kannalta on merkitystä sillä, mitkä toimivaltuudet tuomioistuimella on käytettävissään. Hallintovaliokunta tuo esiin, että passiivisuusvalituksen kohteena on ehdotuksen mukaan vain kanteluasian käsittelyä koskeva kielteinen päätös. Hallinto-oikeudella ei näin kohdennetun valituksen perusteella olisi muun muassa perusteita arvioida, millä asiasisältöisillä tai menettelyllisillä perusteilla tietosuojavaltuutettu on tehnyt kielteisen päätöksen tai miten kielteisen päätöksen lainmukaisuutta muuten olisi arvioitava.  

Jotta oikeussuojakeino on käytännössä tehokas, sen tulisi kohdistua koko tietosuojavaltuutetun käsiteltävänä olevaan asiaan, johon passiivisuustilanne kohdistuu. Hallintovaliokunnan saaman selvityksen mukaan hallituksen esityksessä ei ole otettu kantaa siihen, millä tavalla hallinto-oikeuden tulisi ratkaista passiivisuusvalitusasiat, vaikka vaikutusten arvioinnin yhteydessä on arvioitu, että asia voisi monessa tapauksessa raueta tai se voitaisiin esimerkiksi palauttaa tietosuojavaltuutetun käsiteltäväksi. Saadun selvityksen mukaan ehdotetun muotoilun tavoitteena on kuitenkin ollut kattaa tietosuojavaltuutetun käsittelemien kanteluasioiden vaihteleva luonne. 

Lakivaliokunta toteaa lausunnossaan, että sääntelyn tavoitteen ja tarkoituksen kannalta on riittävää, että rinnastus tehdään siihen päätöstyyppiin, joka on lähinnä sitä käytännön tilannetta, josta on kyse. Hallintovaliokunta katsoo lakivaliokunnan tavoin, että passiivisuustilanteen rinnastus "tutkimatta jättämistä koskevaan päätökseen" on tässä tapauksessa toimivampi ratkaisu ja ehdottaa täsmennysten tekemistä kumpaankin lakiehdotukseen jäljempänä esitetyllä tavalla.  

Kiirehtimisvaatimus edellytyksenä tuomioistuinkäsittelylle. Valiokunnan asiantuntijakuulemisessa on esitetty oikeussuojakeinon ensi vaiheeksi säännöstä, jonka mukaan viivästymistapauksessa asianomaisen tulisi ensin tehdä pyyntö tietosuojaviranomaiselle asian ratkaisemisesta tai toimenpiteistä ilmoittamisesta.  

Hallituksen esityksestä (s. 20) ilmenee, että valmistelussa on arvioitu tarpeellisuutta säätää kiirehtimisvaatimuksen tai muun tiedustelun esittäminen tietosuojavaltuutetulle edellytykseksi saattaa kysymys laissa säädetyn määräajan ylittymisestä tuomioistuimen käsiteltäväksi. Esityksen mukaan passiivisuusasian käsittelyn ei kuitenkaan tulisi aiheuttaa rekisteröidylle, tietosuojavaltuutetulle eikä tuomioistuimille tarpeetonta lisätyötä. Koska menettelyn tulisi olla mahdollisimman selkeä kaikille osallisille, tällaista välivaihetta ei esityksen mukaan pidetty tarkoituksenmukaisena. Siihen liittyy esityksen mukaan myös riski, että säännökset eivät olisi EU-oikeuden mukaisia.  

Valiokunta toteaa, että rekisteröidyillä on myös ilman erityistä kiirehtimismenettelyä mahdollisuus esittää asiaansa koskeva tiedustelu voimassa olevien hallintolain (434/2003) säännösten perusteella. Rekisteröidyn yhteydenoton perusteella tietosuojavaltuutettu voi korjata tilanteen ja toimittaa puuttuvan arvion päätöksen antamisajankohdasta, jolloin asiasta ei ole enää tarpeen valittaa hallinto-oikeuteen.  

Edellä todetun ja saamansa selvityksen perusteella hallintovaliokunta ei pidä tarpeellisena asettaa valitusoikeuden edellytykseksi erityistä kiirehtimisvaatimuksen, pyynnön tai tiedustelun esittämistä tietosuojavaltuutetulle.  

Hallinto-oikeuden ratkaisukokoonpano. Asiantuntijakuulemisessa hallintovaliokunnan huomiota on kiinnitetty myös siihen, että passiivisuusvalitustilanteessa valitusasian käsittelyyn sovelletaan samoja säännöksiä kuin muiden valitusasioiden käsittelyyn. Valiokunnan saaman selvityksen mukaan tämä tarkoittaa hallinto-oikeudessa sitä, että asian käsittelyyn osallistuu tuomionvoivana kokoonpanona ns. kolmen tuomarin kokoonpano.  

Valiokunnan saaman selvityksen mukaan hallinto-oikeuksien kokoonpanoa koskevaa kysymystä on arvioitu valmistelun aikana. Hallituksen esityksen mukaisessa sääntelyssä lähtökohtana kuitenkin on, että passiivisuusvalitukseen sovelletaan johdonmukaisuussyistä samoja säännöksiä kuin muihin valitusasioihin, mukaan lukien voimassa olevaan lainsäädäntöön sisältyvät esimerkit viranomaisen viivästystilanteita koskevista oikeussuojakeinoista.  

Saadun selvityksen mukaan hallintotuomioistuimien ratkaisukokoonpanoa koskevia kysymyksiä on tarkoituksenmukaisempaa arvioida erikseen kokonaisuutena. Oikeusministeriössä on käynnissä esiselvitys hallinto-oikeuksien kokoonpanon tarkistustarpeista. Hallintovaliokunta pitää lakivaliokunnan tapaan perusteltuna esityksessä omaksuttua ratkaisua ja sitä, että kokoonpanosäännösten kokonaisarviointi tehdään erikseen. Valiokunta kiirehtii kokonaisarvioinnin valmistumista, jotta jatkossa hallintotuomioistuinten kokoonpano olisi asioiden luonne huomioiden aina tarkoituksenmukainen. 

Oikeudenkäyntimaksu. Hallituksen esityksestä (s. 12) ilmenee, että hallinto-oikeuden oikeudenkäyntimaksu on vuonna 2023 suuruudeltaan 270 euroa. Valiokunnan huomiota on kiinnitetty maksun määräytymiseen siinä tapauksessa, että tietosuojavaltuutettu ehtii korjata laiminlyöntinsä asian ollessa vireillä hallintotuomioistuimessa. Tuomioistuinmaksulain (1455/2015) mukaan asian raukeaminen ei ole sellaisenaan peruste maksuttomuudelle. 

Valiokunnan saaman selvityksen mukaan oikeudenkäynnin maksuttomuutta koskevaa kysymystä on arvioitu hallituksen esityksen valmistelun aikana. Oikeudenkäyntimaksu ei arvioinnin mukaan käytännössä vaikuttaisi juurikaan rajoittavasti oikeussuojakeinon saatavuuteen. Saadun selvityksen mukaan lain tulkinnan avulla on mahdollista välttää maksun periminen asian raukeamistilanteessa sillä perusteella, että se olisi ilmeisen kohtuutonta, vaikkakin kyse olisi yksittäistapauksessa tehtävästä harkinnasta (tuomioistuinmaksulaki 1455/2015, 7 § 2 momentti). Valiokunnan saaman selvityksen mukaan toistaiseksi ei ole katsottu olevan tarpeen säätää oikeudenkäynnin maksuttomuudesta. Valiokunta toteaa, että saamansa selvityksen ja hallituksen esityksestä ilmenevin perustein esityksessä omaksuttua ratkaisua oikeudenkäyntimaksusta voidaan pitää hyväksyttävänä. Samalla valiokunta kuitenkin toteaa, että oikeudenkäyntimaksuun liittyviä soveltamiskäytäntöjä on syytä seurata ja arvioida. 

Tietosuojavaltuutetun ratkaisuvallan siirto

Hallituksen esityksessä ehdotetaan tietosuojavaltuutetun päätöksenteon muuttamista siten, että tietosuojavaltuutettu voi siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille asioissa, joissa lain soveltamiskäytäntö on vakiintunut. Valiokunta on usein mietinnöissään ja lausunnoissaan (mm. HaVM 2/2023 vp ja HaVL 20/2023 vp) pitänyt tärkeänä, että tietosuojavaltuutetun toimiston riittävät resurssit varmistetaan. Valiokunta pitää myönteisenä, että ehdotettu 15 § mahdollistaa oikeudellisesti yksinkertaisten, mutta hallintopäätöstä edellyttävien asioiden ratkaisun nopeammin ja vapauttaa samalla tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen resursseja enemmän oikeudellista harkintaa edellyttävien asioiden ratkaisuun. Ehdotettu muutos myös parantaa edellytyksiä siihen, että rekisteröidyn oikeus asian viivytyksettömään käsittelyyn toteutuu. 

Henkilötunnuksen käyttö

Esityksessä ehdotetaan muutettavaksi henkilötunnuksen käsittelyä koskevaa tietosuojalain 29 §:ää ja rikosasioiden tietosuojalain 12 §:ää siten, että rekisteröityä ei saa tunnistaa yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä. Valiokunnan saaman selvityksen mukaan henkilötunnuksen käytön ongelmaksi on muodostunut, että tunnusta käytetään sen käyttötarkoituksen eli henkilön yksiselitteisen yksilöimisen lisäksi henkilön tunnistamiseen. 

Henkilötunnuksen käsittelyn edellytyksiä koskevat säännökset sisällytettiin aiemmin hallituksen esitykseen HE 132/2022 vp, joka raukesi eduskunnassa, koska esitystä ei ehditty käsittelemään loppuun ennen eduskuntavaaleja. Perustuslakivaliokunnan aiemmasta esityksestä antama lausunto (PeVL 87/2022 vp), jonka mukaan perustuslakivaliokunnan mielestä tunnistaminen ja yksilöinti on syytä määritellä selkeästi laissa, on otettu huomioon tässä esityksessä. Valiokunta pitää perusteltuna, että henkilötunnuksen alkuperäistä käyttötarkoitusta toimia rekisteröityjen yksilöintikeinona täsmennetään ja selkeytetään. 

Yhteenveto

Hallintovaliokunta toteaa, että ehdotettu passiivisuusvalitusta koskeva oikeussuojakeino on Suomen oikeusjärjestelmässä poikkeuksellinen. Valiokunta pitää kuitenkin passiivisuusvalitusta koskevaa sääntelyä perusteltuna siitä näkökulmasta, että uudella oikeussuojakeinolla on tarkoitus korjata komission toteama puute asetuksen ja direktiivin kansallisessa täytäntöönpanossa. Valiokunta myös toteaa, että sääntelyn tosiasiallinen oikeussuojaa lisäävä vaikutus jäänee vähäiseksi. Valiokunta pitää tärkeänä, että ehdotetun sääntelyn toimivuutta seurataan ja arvioidaan myös valiokunnan esiin nostamien kysymysten valossa ja mahdollisiin ongelmiin etsitään ratkaisut.  

Hallituksen esityksessä (s. 13) todetaan, että ehdotettujen uutta oikeussuojakeinoa koskevien säännösten sekä tietosuojalain 15 §:n muutoksen tavoitteena on edistää yleisesti asioiden käsittelyä kohtuullisessa ajassa. Hallintovaliokunta pitää myönteisenä, että ehdotetut määräaikaa koskevat tietosuojalain ja rikosasioiden tietosuojalain säännökset voivat myös edistää tietosuojavaltuutetun asiainhallintaa koskevia käytäntöjä sekä ohjeistusta rekisteröidylle annettavasta vastauksesta. Valiokunta toteaa, että yleisesti ottaen pitkiä käsittelyaikoja ei voida pelkästään ratkaista oikeussuojakeinoilla, vaan myös viranomaisille tehtäviensä laatu huomioon ottaen osoitetuilla riittävillä resursseilla. Valiokunta pitää tärkeänä, että tietosuojavaltuutetun toimiston resursseista huolehditaan.