Esityksessä ehdotetaan säädettäväksi henkilötietolaki, joka korvaisi vuoden 1987 henkilörekisterilain. Esityksellä saatetaan voimassa oleva henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista koskeva yleislainsäädäntö vastaamaan yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettua Euroopan parlamentin ja neuvoston direktiiviä, jäljempänä tietosuojadirektiivi, ja muita kansainvälisiä velvoitteita. Esitystä valmisteltaessa on otettu huomioon myös vuonna 1995 voimaan tullut hallitusmuodon perusoikeussäännöksiä koskeva uudistus, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla.

Tietosuojadirektiivin vuoksi rekisteröityjen tiedonsaantioikeuksia lisättäisiin. Rekisterinpitäjien olisi aikaisempaa laajemmin oma-aloitteisesti annettava rekisteröidylle tietoja muun muassa siitä, mihin tarkoituksiin häntä koskevia tietoja käsitellään.

Tietosuojadirektiivin tarkoituksena on pait-si turvata yksilön perusoikeudet ja -vapaudet tietojenkäsittelyssä, myös lainsäädäntöä harmonisoimalla turvata henkilötietojen vapaa liikkuvuus Euroopan unionin jäsenvaltioiden välillä. Tästä syystä lakiin ehdotetaan otettavaksi Suomen lain alueellista soveltamisalaa ja kansainvälistä henkilötietojen siirtoa koskevat säännökset. Tietosuojadirektiivi edellyttää myös henkilötunnuksen käsittelyn sääntelyä.

Edellä mainittujen seikkojen lisäksi tarkistamistarvetta aiheuttaa muun muassa se, että direktiivi määrittelee arkaluonteiseksi tiedoksi myös ammattiliittoon kuulumista koskevan tiedon.

Lisäksi ehdotetaan muutettavaksi tietosuojalautakunnasta ja tietosuojavaltuutetusta annettua lakia ja rikoslakia.

Ehdotetut lait ovat tarkoitetut tulemaan voimaan mahdollisimman pian sen jälkeen kun ne on hyväksytty ja vahvistettu. Tietosuojadirektiivi edellyttää, että jäsenvaltiot saattavat voimaan direktiivin edellyttämän kansallisen lainsäädäntönsä viimeistään 24 päivänä lokakuuta 1998.

Yksilön oikeutta omiin tietoihinsa on Suomessa suojattu perinteisesti ensisijaisesti rikosoikeudellisin keinoin. Jälkikäteisesti on puututtu toimiin, joista on aiheutunut yksilölle haittaa. Tästä esimerkkinä ovat kotirauhaa, salakuuntelua ja -katselua sekä intimiteettisuojaa joukkotiedotusvälineissä koskevat säännökset. Henkilörekisterilainsäädännön voimaantulo vuonna 1988 muutti aikaisempaa tilannetta merkittävästi, koska tämä lainsäädäntö rakentuu tavoitteelle ennakolta estää henkilötietojen käytöstä johtuvat yksityisyyden suojan loukkaukset. Yksilöllä on lähtökohtaisesti päätösvalta siihen, miten häntä koskevia tietoja saa käyttää, jollei lainsäädännössä ole toisin osoitettu.

Yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY, jäljempänä tietosuojadirektiivi, tavoitteena on turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti oikeus yksityisyyteen henkilötietojen automaattisessa tietojenkäsittelyssä sekä manuaalisissa henkilörekisteritoiminnoissa samoin kuin taata henkilötietojen vapaa liikkuminen Euroopan unionin (EU) jäsenvaltioiden välillä. Jäsenvaltioiden on toteutettava direktiivin edellyttämät lainsäädännölliset toimenpiteet kolmen vuoden määräajassa direktiivin antamisesta eli viimeistään 24 päivänä lokakuuta 1998.

Voimassa olevat henkilötietojen rekisteröintiä, käyttöä ja luovuttamista koskevat yleissäännökset valmisteltiin ottamalla huomioon Euroopan neuvoston jäsenvaltioiden vuonna 1981 tekemä yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (SopS 36/1992, jäljempänä tietosuojasopimus), minkä vuoksi voimassa oleva lainsäädäntö varsin hyvin edelleenkin vastaa eurooppalaista tietosuojan tasoa. Tietosuojadirektiivi sisältää kuitenkin osin yksityiskohtaisempia säännöksiä kuin tietosuojasopimus, minkä lisäksi sen vaatimukset tietyiltä yksityiskohdiltaan poikkeavat Suomen voimassa olevasta oikeudesta. Direktiivi edellyttää esimerkiksi säädettäväksi rekisteröidylle osin laajemmat tietojensaantioikeudet kuin Suomen voimassa oleva lainsäädäntö. Direktiivin voimaan saattaminen edellyttää siten henkilörekisterilainsäädännön tarkistamista. Tässä tarkistustyössä on otettava huomioon myös, että yksityiselämän suoja on perusoikeusuudistuksen myötä tullut perusoikeudeksi ja että henkilötietojen suojasta on säädettävä tarkemmin lailla.

2.1. Lainsäädäntö

Hallitusmuoto

Hallitusmuoto on suojannut yksityiselämää erityisesti kotirauhaa sekä kirje- ja puhelinsalaisuutta koskevin säännöksin. Yksityiselämän perusoikeudellinen suoja laajeni vuonna 1995 voimaan tulleella perusoikeussäännöksiä koskevalla hallitusmuodon muutoksella (969/1995). Hallitusmuodon 8 §:n 1 momentin mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Momentti sisältää lainsäädäntötoimeksiannon, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla.

Oikeus yksityiselämään merkitsee oikeutta elää yksityiselämäänsä ilman ulkopuolisten puuttumista. Yksilöiden perhe-elämään, vapaa-aikaan ja ystävyyssuhteisiin ei saa puuttua. Jokaisella on oikeus yksityiselämässään toimimiseen julkisista rooleistaan vapaana. Suojaan kuuluu myös rajoitettu ja suojattu kommunikointi yksityiselämään kuuluvissa asioissa, kuten mahdollisuus vaihtaa arkaluonteisia tietoja sekä tällaisten tietojen luottamuksellisuus.

Yksilön suojaa ja oikeuksia tietojenkäsittelyssä kuvataan tavallisesti käsitteellä yksityisyyden suoja. Sitä käytetään toisinaan samassa merkityksessä kuin käsitettä yksityiselämän suoja. Hallitusmuodossa omaksutussa perusoikeuksien järjestelmässä yksityisyyden suojaan liittyy yksityiselämän suojan lisäksi muitakin hallitusmuodossa säädettyjä perusoikeuksia, kuten oikeus henkilökohtaiseen vapauteen, kunniaan ja yhdenvertaiseen kohteluun.

Hallitusmuodon 1 §:stä ilmenevän peruslähtökohdan mukaan valtiosääntö turvaa ihmisarvon loukkaamattomuuden ja yksilön vapaudet ja oikeudet sekä edistää oikeudenmukaisuutta yhteiskunnassa. Yksilön oikeudet ja vapaudet merkitsevät tässä yhteydessä muun muassa yksilön itsemääräämisoikeutta. Itsemääräämisoikeus on muiden perusoikeuksien edellytys ja se ilmenee myös hallitusmuodon 6 §:ssä säädetystä oikeudesta henkilökohtaiseen vapauteen, joka suojaa muun muassa yksilön tahdonmuodostusta. Jokaisella on oikeus päättää omista asioistaan ja tehdä itseään koskevat henkilökohtaiseen elämään liittyvät valinnat vapaasti ilman ulkopuolisten puuttumista. Tietojenkäsittelyssä yksilöllä tulisi olla mahdollisuus vaikuttaa omien tietojensa käyttöön. Yksilöä koskevien tietojen laajamittainen tallettaminen yksilön personallisuutta kuvaavalla tavalla voi rajoittaa henkilökohtaista vapautta.

Perusoikeudet eivät ole toisistaan selkeästi erotettavissa, vaan ne ovat päällekkäisiä ja muullakin tavalla toisiinsa kietoutuneita. Yksityisyyden suoja henkilötietoja käsiteltäessä muodostuu edellä selostetun lisäksi muista perusoikeuksista, joita ovat oikeus kunniaan, oikeus yhdenvertaiseen kohteluun, oikeus henkilökohtaiseen koskemattomuuteen, oikeus ihmisarvoiseen kohteluun, oikeus turvallisuuteen sekä yhdenvertaisuus ja syrjinnän kielto ja oikeus vaikuttaa itseään koskeviin asioihin.

Oikeus yksityiselämän suojaan samoin kuin muut yksityisyyden suojaan tietojenkäsittelyssä vaikuttavat perusoikeudet eivät ole ehdottomia. Yksityisyyden suojan sisältö on riippuvainen muun muassa siitä, minkälaisesta henkilötietojen käyttöyhteydestä on kysymys ja minkälainen on tietoja tallettavan ja käyttävän sekä rekisteröidyn välinen suhde. Keskeistä on, minkälaisessa roolissa eri osapuolet esiintyvät ja minkälainen alistumisvelvollisuus asemansa vuoksi voidaan tuossa tilanteessa katsoa olevan sillä, jonka henkilötietoja halutaan käyttää. Tietojenkäsittelyn laillisuutta koskevat normit voidaankin nähdä säännöstasoisina määrittelyinä niistä tilanteista, joissa toisen yksityisen oikeus tai yleiset edut muodostavat rekisteröidyn tahdosta riippumattoman perusteen tietojenkäsittelylle, toisin sanoen norminantajan sitovan tulkinnan rekisteröidyn alistumisvelvollisuudesta.

Hallitusmuodon 8 §:n 1 momentin mukainen henkilötietojen suoja viittaa tarpeeseen lainsäädännöllisesti turvata yksilön oikeusturva ja yksityisyyden suoja henkilötietojen käsittelyssä. Tämä tarve ei viittaa pelkästään henkilörekisterilakiin, vaan edellyttää ylipäätänsä lainsäädännöllisiä järjestelyjä henkilötietojen suojasta. Tietyn tasovaatimuksen henkilötietojen suojalle on asettanut tietosuojasopimus.

Yksityiselämän suojaa koskeva hallitusmuodon 8 §:n 1 momentti merkitsee yksilölle oikeutta siihen, että valtio turvaa yksilönsuojan lailla ja että valtio huolehtii organisatorisista ja muista toimenpiteistä, jotka ovat tarpeen yksilönsuojan toteuttamiseksi, kuten valvontakoneistosta. Tämä perusoikeuden ulottuvuus merkitsee oikeutta lakisääteiseen yksilönsuojaan tietojenkäsittelyssä: jokaisella on siten oikeus saada henkilötiedoilleen riittävä suoja. Tämän suojan toteutuminen ei ole riippuvainen yksinomaan siitä, miten yksilö käyttää oikeuksiaan valvoa ja vaikuttaa itseään koskevien tietojen käsittelyyn.

Henkilörekisterilaki

Tarkoitus ja soveltamisala. Henkilötietojen keräämistä, tallettamista, käyttämistä ja luovuttamista koskevat yleiset säännökset sisältyvät henkilörekisterilakiin (471/1987) ja henkilörekisteriasetukseen (476/1987). Ne tulivat voimaan vaiheittain vuoden 1988 alusta ja kaikilta osin vuoden 1989 alusta. Henkilötietojen rekisteröintiä koskevia säännöksiä on lisäksi runsaasti eri alojen erityislainsäädännössä.

Henkilörekisterilakiin tehtiin osittaistarkistus vuonna 1994 (387/1994). Henkilömatrikkeleita ja sukututkimusta varten pidettävien henkilörekisterien poikkeusluvan tarve poistettiin antamalla niitä koskevat erityissäännökset. Tiedotusvälineiden toimitukselliset rekisterit jätettiin pääosin henkilörekisterilain soveltamisalan ulkopuolelle. Lain soveltamisalan ulkopuolelle rajattiin myös sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan.

Henkilörekisterilaki määrittelee henkilötietojen keräämiseen, tallettamiseen, käyttöön ja luovuttamiseen liittyvät oikeudet ja velvollisuudet. Sen takaaman tietosuojan tarkoituksena on tiedon kohteena olevan henkilön yksityisyyden sekä hänen etujensa ja oikeuksiensa turvaaminen.

Henkilörekisterilaki on tietosuojan yleislaki. Laki on toissijainen: muussa laissa olevat erityissäännökset syrjäyttävät henkilörekisterilain vastaavat säännökset. Lakia sovelletaan sekä yksityisten että viranomaisten pitämiin henkilörekistereihin. Sääntely koskee sekä automaattisen tietojenkäsittelyn avulla että manuaalisesti ylläpidettäviä henkilörekistereitä.

Henkilörekisterillä tarkoitetaan laissa loogista, ei fyysistä rekisteriä. Samaan henkilörekisteriin luetaan siten kuuluviksi kaikki ne tiedot, joita käytetään samassa käyttöyhteydessä riippumatta siitä, miten ja mihin ne on talletettu. Looginen rekisterikäsite merkitsee myös sitä, että tietojenkäsittelyssä syntyviä lyhytaikaisia tiedostoja ja tallenteiden eri sukupolvia ei pidetä eri henkilörekistereinä silloin, kun ne ovat rekisterinpitäjän hallussa ja niitä käytetään rekisterille määriteltyihin käyttötarkoituksiin.

Henkilörekisterilain 2 §:n 1 kohtaan sisältyvästä henkilötiedon määritelmästä johtuu, että lakia sovelletaan vain yksityisiin luonnollisiin henkilöihin. Esimerkiksi ammatin- ja elinkeinonharjoittajia koskevat luettelot samoin kuin sellaiset henkilön nimen, aseman ja työosoitteen sisältävät luettelot, joissa henkilö on asemansa vuoksi ja joita käytetään elinkeinonharjoittajien väliseen asiointiin, jäävät siten lain soveltamisalan ulkopuolelle. Lakia ei myöskään sovelleta yksinomaan henkilökohtaisiin tarkoituksiin käytettäviin henkilörekistereihin.

Lain sääntelyjärjestelmän pääpiirteet. Laki valmisteltiin ottamalla huomioon tietosuojasopimus. Siksi onkin luonnollista, että laki vastaa tietosuojan yleisiä perusperiaatteita, joita ovat muun muassa tietojen keräämisen asianmukaisuutta ja laillisuutta sekä tietojen laatua koskevat vaatimukset, arkaluonteisen tiedon rekisteröintikiellon ja käyttötarkoitussidonnaisuuden periaate samoin kuin rekisterinpidon avoimuutta ja rekisteröidyn osallistumisoikeuksia koskevat periaatteet.

Henkilörekisterilaki määrittelee rekisterinpidon yleiset edellytykset (suunnittelu- ja asianmukaisuusvaatimus) ja velvoitteet (yleinen huolellisuusvelvoite, rekisterin ja sen tietojen suojaamisvelvoite), rekisterin perustamisedellytykset (yhteys- ja tarpeellisuusvaatimus) ja tietojen laatua koskevat vaatimukset (tietojen käyttötarkoitussidonnaisuus ja virheettömyysvaatimus, arkaluonteisia tietoja koskevat rajoitukset). Rekisteröidyn oikeuksiin kuuluvat rekisteritietojen tarkastusoikeus, oikeus saada virheellinen tieto korjatuksi sekä kielto-oikeus.

Ennakkovalvonta rakennettiin verrattain suppean ilmoitusmenettelyn varaan. Valvontaviranomaisena toimivan tietosuojavaltuutetun tehtäväksi annettiin tarkastustoiminnan lisäksi rekisterikohtainen ohjaus sekä yleisten ohjeiden antaminen muun muassa tietojen suojauksesta. Merkittävin päätöksentekovalta annettiin tietosuojalautakunnalle, jonka toimivaltaan kuuluu antaa määräyksiä lainvastaisen toiminnan oikaisemisesta ja luvan antaminen yksityisten henkilörekisterien arkistointiin sekä poikkeuslupahakemusten käsittely ja ratkaiseminen. Poikkeuslupajärjestelmä säädettiin antamaan tarpeellista liikkuma-alaa aikaisemmin sääntelemättömän elämänalueen monimuotoisuuden sekä tietojensiirtoa koskevan lainsäädännön kehittymättömyyden vuoksi.

Rekisteröidyn oikeudet. Rekisteröidyllä on oikeus valvoa itseään koskevien tietojen käsittelyä ja tietojen laatua sekä tietyissä tapauksissa oikeus määrätä itseään koskevista tiedoista. Rekisteröidyn oikeus saada tietoja on keskeisin itsemääräämisoikeuden ja henkilötietojen suojan toteutumisen edellytys. Henkilörekisterilain 11 §:n pääsäännön mukaan rekisteröidyllä on salassapitosäännösten estämättä oikeus saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai ettei rekisterissä ole häntä koskevia tietoja (rekisteröidyn tarkastusoikeus). Rekisterinpitäjä on velvollinen myös ilmoittamaan rekisterin käyttötarkoituksen sekä säännönmukaiset tiedonsiirrot. Tarkastusoikeus on maksuton kerran vuodessa. Rekisterinpitäjä voi keskittää tarkastusoikeuden käytön lähettämällä itse rekisteröidylle tätä koskevat tiedot. Jos tiedot lähetetään joka toinen vuosi, rekisteröidyllä ei ole erillistä maksutonta tarkastusoikeutta.

Yksilön oikeutta valvoa itseään koskevien tietojen laatua turvaavat oikeus saada virheelliset rekisteritiedot korjatuiksi sekä oikeus saattaa asia tietosuojaviranomaisten käsiteltäväksi, jos rekisterinpitäjä ei suostu oikaisemaan tietoja rekisteröidyn pyytämällä tavalla.

Yksilön päätösvalta itseään koskevista tiedoista on osa itsemääräämisoikeutta. Tilanteet, joissa henkilötietojen kerääminen, tallettaminen, käyttö ja luovuttaminen ilman rekisteröidyn suostumusta on sallittua, on määritelty henkilörekisterilaissa, minkä lisäksi julkisuuslainsäädännön tietojen julkisuutta koskevat säännökset sekä erityislainsäädäntö asettavat määräämisvallalle rajoituksia. Määräämisvalta voi ilmetä suostumuksen lisäksi rekisteröidyn kielto-oikeutena: tietojen käsittely on sallittua, mutta rekisteröity voi kieltää käsittelyn. Voimassa olevan lainsäädännön mukaan rekisteröidyllä on oikeus kieltää tietojensa tallettaminen ja käyttö suoramarkkinointiin ja osoitepalveluun, mielipide- ja markkinatutkimukseen, sukututkimukseen sekä henkilömatrikkelien laadintaan.

Rekisterinpitoa koskevat yleiset velvoitteet. Henkilörekisterilain 3 §:ssä on säädetty yleinen huolellisuusvelvoite, joka koskee sekä rekisterinpitäjää että hänen toimeksiannostaan toimivia ja henkilötietoja rekisterinpitäjältä saaneita. Säännös korostaa rekisterinpidon itseohjautuvuutta: rekisterinpitäjän on oma-aloitteisesti toimittava tietosuojan parantamiseksi.

Rekisterinpitäjän on lain 26 §:n mukaan huolehdittava siitä, että henkilörekisteri ja sen tiedot ovat asianmukaisesti suojattu luvatonta käsittelyä, käyttöä, tuhoamista ja muuttamista sekä anastusta vastaan (suojaamisvelvoite).

Rekisterinpitäjän on hävitettävä tarpeettomaksi käynyt henkilörekisteri tai siirrettävä se arkistoitavaksi. Viranomaisten toimintaan liittyvän rekisterin säilyttämiseen sovelletaan arkistolakia (831/1994). Tietosuojalautakunta voi antaa luvan arkistoida tieteellisen tutkimuksen kannalta tai muutoin merkityksellinen yksityinen rekisteri.

Henkilötietojen kerääminen ja tallettaminen. Rekisterinpidon asianmukaisuusvaatimus edellyttää, että henkilörekisterin käyttö on asiallisesti perusteltu rekisterinpitäjän toiminnan ja hallinnon kannalta. Vaatimus kohdistuu sekä rekisterinpidon tarpeellisuuteen yleensä että rekisterin käyttötarkoitukseen. Henkilörekisteriä saa pitää ja käyttää vain sellaisessa tarkoituksessa ja siten, että toiminta täyttää asiallisuuden ja yleisen mittapuun mukaan arvioituna myös hyväksyttävyyden kriteerit.

Rekisteritoiminnan ennakoitavuuden varmistamiseksi laissa on rekisteritoiminnan suunnitteluvelvollisuutta koskevat säännökset. Henkilörekisterin tietosisältö ja käyttötarkoitus sekä se, mistä talletettavat henkilötiedot säännönmukaisesti hankitaan ja mihin talletettuja henkilötietoja säännönmukaisesti luovutetaan, on määriteltävä ennen rekisteriin talletettavaksi aiottujen henkilötietojen keräämistä (4 ja 10 §).

Rekisterin suunnittelun ja rekisteritoimintojen kuvauksen yhteydessä laaditaan automaattisen tietojenkäsittelyn avulla ylläpidetyistä henkilörekistereistä rekisteriseloste, joka on pidettävä jokaisen nähtävillä rekisterinpitäjän toimipaikassa (10 §). Rekisteriselosteeseen merkitään rekisteritoimintaa koskevat perustiedot ja sen nähtävillä pidon avulla toteutetaan rekisterinpidon avoimuutta. Rekisteriselosteen nähtävilläpidon rajoitteista voidaan säätää, jos nähtävilläpito saattaa vaarantaa valtion turvallisuutta taikka suhteita toiseen valtioon tai kansainväliseen järjestöön taikka haitata rikosten ehkäisemistä tai selvittämistä. Tällä perusteella nähtävilläpitovelvoitteen piiristä on suljettu muun muassa suojelupoliisin toiminnallista tietojärjestelmää koskeva rekisteriseloste.

Henkilörekisterin tietosisältöä säännellään yhteysvaatimuksen, tarpeellisuusvaatimuksen sekä arkaluonteisten tietojen rekisteröintikiellon ja siitä tehtävien poikkeusten avulla. Henkilörekisterin laajuus eli se, kenestä saa tallettaa henkilötietoja henkilörekisteriin, määräytyy pääsääntöisesti lain 5 §:n 1 momentin yhteysvaatimuksen perusteella. Henkilörekisteriin merkittäväksi saa ilman rekisteröidyn suostumusta kerätä ja rekisteriin tallettaa tietoja sellaisista henkilöistä, joilla asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi on asiallinen yhteys rekisterinpitäjän toimintaan, jollei tietosuojalautakunta ole antanut rekisterinpitoon lupaa tai jollei rekisterin pitäminen johdu laissa säädetystä tehtävästä. Henkilörekisterilaissa ja -asetuksessa on erityissäännökset tieteellistä tutkimusta, tilastointia, mielipide- ja markkinatutkimusta, suoramainontaa, puhelinmyyntiä ja muuta suoramarkkinointia, osoitepalvelua, henkilömatrikkeleita ja sukututkimusta sekä luottotietotoimintaa varten pidettävistä rekistereistä.

Henkilörekistereiden tietosisältöä säännellään lain 5 §:n 2 momentin mukaisen tarpeellisuusvaatimuksen avulla. Henkilörekisteriin saa sen mukaisesti tallettaa vain sellaisia henkilötietoja, jotka rekisterin käyttötarkoituksen kannalta ovat tarpeellisia.

Henkilörekisterilain 6 § sisältää arkaluonteisten tietojen rekisteröintikiellon. Henkilörekisterilain mukaisena pääsääntönä on, ettei henkilörekisteriin merkittäviksi saa kerätä eikä rekisteriin tallettaa arkaluonteisia henkilötietoja. Tällaisia ovat tiedot, jotka on tarkoitettu kuvaamaan henkilön rotua tai etnistä alkuperää, henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta, henkilön rikollista tekoa tai siihen liittyvää rangaistusta tai muuta seuraamusta, henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettua hoitotoimenpidettä tai niihin verrattavissa olevia toimia, henkilön seksuaalista käyttäytymistä sekä henkilön saamia sosiaalihuollon palveluja, toimeentulotukea, sosiaaliavustuksia ja niihin liittyviä palveluja. Lain 7 § sisältää poikkeukset tästä kiellosta.

Rekisterinpitäjän on lain 9 §:n mukaan käyttämällä luotettavia tietolähteitä sekä muutoinkin huolehdittava siitä, ettei henkilörekisteriin merkitä virheellisiä, epätäydellisiä tai vanhentuneita tietoja (tietojen virheettömyysvaatimus). Velvoitteen merkitystä arvioitaessa on otettava huomioon rekisterin käyttötarkoitus ja rekisterin merkitys rekisteröidyn yksityisyydelle ja oikeusturvalle.

Henkilötietojen käyttö ja luovutus. Henkilörekisterilaissa on omaksuttu käyttötarkoitussidonnaisuuden periaate. Henkilörekisteriä varten kerättyjä ja siihen merkittyjä tietoja saa rekisteritoiminnassa käyttää vain ennakolta määriteltyjen käyttötarkoitusten mukaisesti. Tämä pääsääntö ilmenee lain 16 §:stä. Käyttötarkoitussidonnaisuuden vaatimus ei kuitenkaan ole ehdoton. Henkilörekisterin käyttötarkoitus voidaan laissa säädetyin edellytyksin määritellä myöhemmin uudelleen. Lisäksi rekisterinpitäjällä on lain 16 §:n mukaan, riippumatta siitä, miten henkilörekisterin käyttötarkoitus on määritelty, lupa käyttää rekisterissä olevia tietoja tilastollisesti omaan tutkimus- ja suunnittelutoimintaansa.

Henkilörekisterilaissa olevat tietojen luovutusta koskevat säännökset on laadittu porrastetusti siten, että ensin säädetään tietojen luovuttamisen yleisistä edellytyksistä (18 §) ja sen jälkeen massaluovutusta ja arkaluonteista otantaa koskevat erityisedellytykset (19 §).

Henkilörekisterilain 18 §:ssä on tyhjentävästi lueteltu ne tilanteet, joissa henkilötietojen luovuttaminen ilman rekisteröidyn suostumusta tai toimeksiantoa taikka tietosuojalautakunnan lupaa on mahdollista. Muun lainsäädännön tai niin sanotun tavanomaisuusolettaman perusteella (18 §:n 1 momentin 3 kohta) tapahtuvan luovutuksen lisäksi yleislaissa on säädetty edellytykset henkilötietojen luovuttamiselle tieteellistä tutkimusta ja tilastointia, suoramarkkinointia ja osoitepalvelua, luottotietotoimintaa sekä henkilömatrikkelien ja sukututkimuksen laatimista varten.

Henkilötietojen massaluovutusta ja arkaluonteista otantaa koskevilla säännöksillä on ollut tarkoitus rajoittaa sellaista henkilötietojen luovutusta, johon saattaa sisältyä tavanomaista suurempia tietosuojariskejä. Massaluovutuksena tai arkaluonteisena otantana tapahtuvan henkilötietojen luovutuksen perusteet ilmenevät lain 19 §:stä.

Henkilötietojen luovuttamisesta viranomaisten rekistereistä säädetään yleisten asiakirjain julkisuudesta annetussa laissa (83/1951) sekä erityislainsäädännössä. Henkilötietojen massaluovutuksesta ja arkaluonteisesta otannasta viranomaisen rekisteristä säädetään yleisten asiakirjain julkisuudesta annetun lain 18 a §:ssä (472/1987). Näiden säännösten avulla sovitetaan yhteen julkisuusperiaatteen mukaiset tiedonsaantioikeudet sekä yksilön oikeudet omiin tietoihinsa. Julkishallinnossa henkilötietojen luovuttaminen on usein rajoitettua jo salassapitosäännösten perusteella.

Henkilötietojen luovuttamisesta ulkomaille säädetään henkilörekisterilain 22 §:ssä. Henkilötietoja saa massaluovutuksena tai arkaluonteisena otantana luovuttaa ilman tietosuojalautakunnan lupaa taikka rekisteröidyn suostumusta tai toimeksiantoa vain sellaiseen maahan, jonka lainsäädäntö vastaa henkilörekisterilain säännöksiä. Henkilörekisteriasetuksen 13 §:ssä (431/1994) tällaisiksi maiksi katsotaan maat, jotka ovat liittyneet tietosuojasopimukseen.

Tietosuojaviranomaiset. Tietosuojavaltuutettu valvoo henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista henkilörekisterilain tavoitteiden toteuttamiseksi. Tietosuojavaltuutetulla on toimivaltaa myös silloin, kun henkilörekisterin pitämiseen sovelletaan henkilörekisterilain ohella tai sijasta muun lain säännöksiä. Toimituksellisten rekistereiden osalta tietosuojavaltuutettu valvoo vain rekistereiden suojaamisvelvollisuuden noudattamista.

Ennakkovalvonta toteutetaan ilmoitusmenettelyn avulla. Ilmoitusmenettely koskee erityisesti sellaisia henkilörekistereitä ja niihin liittyviä toimintoja, joiden on arvioitu sisältävän tavallista merkittävämpiä tietosuojariskejä. Tietosuojavaltuutetulla on lisäksi valvonnan toteuttamiseksi oikeus saada rekisterinpitäjiltä valvontaa varten tarvittavia tietoja henkilörekisteristä ja sen käytöstä. Tietosuojavaltuutetulla on oikeus tarkastaa henkilörekistereitä ja tätä tehtävää varten päästä sellaisiin huoneistoihin, joissa henkilötietoja käsitellään tai henkilörekistereitä pidetään. Tietosuojavaltuutettu voi myös antaa yleisiä ohjeita siitä, milloin henkilötietoja voidaan luovuttaa lain 19 §:n perusteella massaluovutuksena ja milloin henkilörekistereitä voidaan 20 §:n nojalla yhdistää samoin kuin henkilörekisterien suojaamisesta.

Havaitessaan puutteita tai lainvastaisuuksia rekisterinpidossa tietosuojavaltuutetun tulee pyrkiä saamaan asianomainen vapaaehtoisesti muuttamaan menettelyään. Rekisteröidyn tarkastusoikeutta ja virheen oikaisemista koskevissa asioissa tietosuojavaltuutettu voi antaa myös määräyksiä, jotka kuitenkin raukeavat, jos rekisterinpitäjä vastustaa määräyksen antamista.

Rekisterinpitäjää velvoittava päätöksenteko kuuluu tietosuojalautakunnalle. Jos rekisterinpitäjä ei tietosuojavaltuutetun kehotuksesta ole muuttanut lainvastaista menettelyään, tietosuojavaltuutettu voi viedä asian tietosuojalautakunnan ratkaistavaksi. Tietosuojalautakunta käsittelee myös henkilörekisterilain 35 §:n mukaiset muut asiat. Lisäksi tietosuojalautakunta voi henkilörekisterilain 37 §:n mukaan antaa 5, 7, 19 ja 20 §:ssä taikka yleisten asiakirjain julkisuudesta annetun lain 18 a §:ssä tarkoitetun luvan taikka luvan poiketa henkilörekisterilain tai sen nojalla annetun asetuksen säännöksistä. Poikkeusluvan myöntämisen edellytyksenä on painava syy ja se, että rekisteröidyn yksityisyyden sekä hänen etujensa ja oikeuksiensa ja valtion turvallisuuden vaarantuminen voidaan estää.

Tietosuojalautakunnan päätökseen haetaan muutosta valituksella korkeimmalta hallinto-oikeudelta. Tietosuojavaltuutettu voi hakea muutosta tietosuojalautakunnan henkilörekisterilain 22 ja 37 §:n nojalla tekemään päätökseen.

Erityislainsäädäntö

Henkilörekisterilain yleisenä piirteenä voidaan sanoa olevan, että sen säännösten konkreettinen sisältö ja tulkinta usein määräytyy muun lainsäädännön mukaan. Se, mitä rekisterinpitäjän ja rekisteröidyn välisestä oikeussuhteesta muutoin säädetään ja mitkä rekisterinpitäjän tästä oikeussuhteesta johtuvat velvollisuudet ja rekisteröidyn oikeudet kulloinkin ovat, vaikuttaa henkilörekisterilain säännösten sisältöön konkreettisissa tulkintatilanteissa. Esimerkiksi työnantajan eri lainsäädäntöihin sisältyvät velvoitteet määrittävät pitkälti sen, minkälaisia tietoja henkilöstöhallinnon rekistereihin voidaan tallettaa.

Erityissäännökset voidaan luokitella kahteen eri pääryhmään: henkilörekisterilakia täsmentäviin säännöksiin sekä säännöksiin, joissa poiketaan henkilörekisterilain säännöksistä. Täsmentäville säännöksille on tyypillistä, että niissä osoitetaan tarkemmin, minkälainen rekisteritoiminto on sallittu jättämättä asiaa yksinomaan henkilörekisterilain usein yleislausekkeina ilmaistujen säännösten varaan.

Poikkeusta yleislain vaatimuksista merkitsevissä erityissäännöksissä kysymys on siitä, että rekisterinpitäjälle tai muulle tietojenkäsittelyn osapuolelle, tavallisimmin henkilötietoja tarvitsevalle, sallitaan sellaista, joka henkilörekisterilain yleisten sääntöjen mukaan olisi muutoin kielletty.

Erityislainsäädäntöä oli jo ennen henkilörekisterilain säätämistä, ja lain voimaantulon jälkeen monista etenkin julkishallinnon keskeisistä tietojärjestelmistä on annettu eri rekisterinpidon vaiheita kattavia erityissäädöksiä. Henkilörekisteritoimintaa koskevaa erityissääntelyä sisältyy nykyisin lähes sataan säädökseen. Tähän lukuun eivät sisälly kattavasti esimerkiksi henkilötietojen salassapitoa tai salassa pidettävien tietojen luovuttamista koskevat säännökset. Erityissäädöksistä voidaan esimerkkeinä mainita muun muassa väestötietolaki (507/1993), laki tieliikenteen tietojärjestelmästä (819/1989), rikosrekisterilaki (770/1993), nimikirjalaki (1010/1989), laki terveydenhuollon valtakunnallisista henkilörekistereistä (556/1989), laki poliisin henkilörekistereistä (509/1995) sekä asevelvollisuus- ja siviilipalvelusrekistereitä ja työvoimahallinnon rekistereitä koskevat erityissäännökset.

2.2. Hallinto- ja oikeuskäytäntö

Yleistä

Tietosuojavaltuutetun toimistoon on vuosittain tullut vireille noin 600 ― 800 asiaa. Valvontaviranomaisen resurssit ovat työmäärään nähden olleet pitkään suhteellisen vähäiset, mutta viime vuosina henkilökuntaa on jonkin verran saatu lisää. Vuonna 1996 henkilöstön määrä vastasi 16 henkilötyövuotta.

Tietosuojavaltuutetun toiminnassa painottui alkuvuosina koulutus, neuvonta ja ohjaus. Ilmoitusmenettely yritettiin lakia säädettäessä pitää varsin suppeana. Rekisterinpitäjien yksittäistapauksia koskevia ohjauspyyntöjä tuli alkuvuosina enemmän kuin varsinaisia ilmoituksia. Viime vuosina enemmistö valtuutetun toimistossa vireille tulleista asioista on yksittäisten kansalaisten toimenpidepyyntöjä. Nämä ovat jakautuneet siten, että suurin osa toimenpidepyynnöistä on liittynyt henkilötunnukseen, terveydenhuoltoon, suoramarkkinointiin ja työelämään. Vireille tulleista tarkastusoikeusasioista yli puolet koskee terveydenhuoltoa, ja virheiden oikaisu-asioista valtaosa liittyy luottotietorekistereihin.

Henkilörekisterilainsäädännön yleisohjausta on toteutettu koulutustoiminnan sekä tiedotuksen ja julkaisutoiminnan avulla. Toimialakohtaisten hyvän rekisteritavan mallien luomiseksi tietosuojavaltuutettu on käynnistänyt selvityshankkeita muun muassa terveydenhuollon, kunnallisen rekisterinpidon, kouluhallinnon ja työelämän tietosuojakysymyksistä, minkä lisäksi muun muassa Suomen Suoramarkkinointiliitto on kehittänyt omia hyvän rekisteritavan sääntöjä.

Tietosuojavaltuutetun on lain mukaan ensisijaisesti ohjein ja neuvoin pyrittävä saamaan rekisterinpitäjä muuttamaan lainvastainen toimintansa. Rekisterinpitäjät ovat yleensä noudattaneet tietosuojavaltuutetun ohjausta ja kehotuksia rekisteritoiminnan oikaisemisesta vapaaehtoisesti. Tietosuojavaltuutettu on vuosina 1988―1996 tehnyt rekisterinpitäjän kieltäydyttyä noudattamasta kehotusta 20 hakemusta tietosuojalautakunnalle määräysten antamista varten. Syytteeseen panoa varten valtuutettu on itse ilmoittanut vain muutamia asioita, minkä lisäksi valtuutettu on antanut lausuntoja epäillyistä henkilörekisteririkoksista tai -rikkomuksista poliisille ja viralliselle syyttäjälle.

Tietosuojavaltuutetulla on yleisen edun valvomiseksi tietosuoja-asioissa oikeus hakea muutosta tietosuojalautakunnan päätökseen. Lisäksi tietosuojavaltuutettu antaa lausuntoja lainsäädäntöhankkeista.

Tietosuojalautakunta on kokoontunut vuosittain keskimäärin 20 kertaa ja tehnyt vuodessa keskimäärin 30 päätöstä. Valtaosa lautakunnan käsittelemistä asioista on ollut poikkeuslupia, joissa hakijana on rekisterinpitäjä. Tietosuojavaltuutetun vireille saattamia kieltämis- tai velvoittamisasioita lautakunta on käsitellyt vuosittain muutamia. Lautakunnan käsiteltäväksi tulleiden rekisteröityjen tarkastusoikeutta ja virheen oikaisemista koskevien asioiden määrä on vuodesta 1995 alkaen hieman lisääntynyt.

Poikkeuslupamenettelyyn turvauduttiin etenkin lain voimaantuloa seuranneina vuosina erityisesti viranomaistoiminnassa tietojärjestelmien sekä niitä koskevan lainsäädännön kehittymättömyyden vuoksi. Viranomaiset eivät voineet teknisten syiden vuoksi saada väestötietoja suoraan väestörekisteristä, vaan väestötietoja luovutettiin antamalla koko väestörekisterin mikrofilmattu kopio eri viranomaisille ja jopa yksityisille vakuutusyhtiöille, mikä on vastoin keskeisiä henkilörekisterilain yhteys- ja tarpeellisuusvaatimuksia ja johti poikkeusluvan tarpeeseen.

Henkilörekisterilain voimaan tullessa ilmeni, että erilaisia henkilömatrikkeleita ja sukututkimuksia varten kerättiin ja luovutettiin tietoja ilman asianomaisten suostumusta laajemmin kuin henkilörekisterilakia valmisteltaessa oli ennakoitu. Tietosuojavaltuutettu ja tietosuojalautakunta tekivät vuonna 1989 aloitteet oikeusministeriölle säännösten muuttamisesta. Vuonna 1994 säädetyt erityissäännökset ovat poistaneet nyttemmin henkilömatrikkeli- ja sukututkimusrekistereitä koskevien poikkeuslupien tarpeen. Ennen vuoden 1994 osittaisuudistusta henkilömatrikkeli- ja sukututkimusasiat muodostivat suuren osan lautakunnan käsittelemistä asioista.

Suhde painovapauteen

Henkilörekisterilain 1 §:n 4 momentin mukaan oikeudesta julkaista painokirjoituksia säädetään erikseen. Säännös viittaa ennen vuoden 1995 hallitusmuodon muutosta voimassa olleeseen hallitusmuodon 10 §:ään, jossa painovapaus turvattiin kansalaisten perusoikeudeksi, sekä painovapauslakiin (1/1919), jossa säädetään tarkemmin painovapaudesta. Ennen vuoden 1994 henkilörekisterilain osittaisuudistusta tämän säännöksen tulkinta aiheutti ongelmia erityisesti tiedotusvälineiden rekistereiden osalta. Henkilörekisterilakia muutettiin vuonna 1994 siten, että tiedotusvälineiden toimitukselliset rekisterit rajattiin suurelta osin lain soveltamisalan ulkopuolelle, koska tietosuojaviranomaisten mahdollisuuden valvoa ja puuttua tiedotusvälineiden henkilörekistereihin katsottiin olevan ristiriidassa sananvapauden ja painovapauden kanssa.

Uudistuksen jälkeenkin tietosuojaviranomaiset ovat joutuneet ottamaan kantaa säännöksen sisältöön. Tietosuojalautakunta on lupapäätöksessään (n:o 2/10.1.1995) katsonut, ettei CD-levykkeelle tallennettua puhelinluetteloa voida pitää painovapauslaissa tarkoitettuna painokirjoituksena. Näin ollen CD-levykkeellä olevan puhelinluettelon jakelua on arvioitava henkilörekisterilain säännösten nojalla. Päätös ei ollut tältä osin yksimielinen. Tietosuojavaltuutetun valitettua asiasta korkeimpaan hallinto-oikeuteen lähinnä lupaehtojen osalta, korkein hallinto-oikeus totesi päätöksessään (KHO 4093/31.12.1996), että hallitusmuodon 10 §:ssä säädetyn perusoikeuden on yleisesti tulkittu ulottuvan myös muuhun kuin perinteisessä paperimuodossa tapahtuvaan kirjoituksen julkaisemiseen. Korkein hallinto-oikeus katsoi, että CD-levykettä voidaan pitää painovapauslain 2 §:ssä tarkoitetulla tavalla tuotettuna kirjoituksena.

Arkaluonteisten tietojen käsittely

Tietosuojalautakunnan käsittelemistä arkaluonteisten tietojen tallettamista ja muuta käsittelyä koskevista poikkeusluvista valtaosa on liittynyt rikollista tekoa koskevien tietojen käyttöön. Esimerkkeinä voidaan mainita tietosuojalautakunnan vuonna 1995 Suomen Vakuutusyhtiöiden Keskusliiton jäsenyhtiöille antama määräaikainen poikkeuslupa kerätä, tallettaa ja käyttää tietoja sellaisista vakuutusyhtiöihin kohdistuneista väärinkäytöksistä, joista on tehty rikosilmoitus. Hakijat saivat myös luvan luovuttaa tietoja toisille vakuutusyhtiöille. Myös luottolaitoksille on annettu poikkeuslupia väärinkäytöstietojen tallettamiseen asiakashäiriörekistereihin ja näiden tietojen luovuttamiseen muille luottolaitoksille.

Tietosuojavaltuutetun toiminnassa esillä ovat terveydenhuollon tietojen lisäksi olleet poliisin henkilörekistereihin ja rikostietojen käyttöön liittyvät kysymykset, kuten poliisirekisterien tietojen laatu ja suojelupoliisin tietojen luovuttaminen ulkomaan kunniakonsulille viisumin myöntämistä varten.

Henkilötunnuksen käyttö

Henkilörekisterilakia säädettäessä eduskunnan II lakivaliokunta edellytti, että tietosuojaviranomaiset seuraavat tehokkaasti erityisesti henkilötunnuksen käyttöä rekistereissä (II LaVM 10/1986 vp).

Henkilötunnuksen tallettamisesta ei ole henkilörekisterilaissa erityissäännöksiä. Sen saa lain 5 §:n 2 momentin mukaan tallettaa henkilörekisteriin, jos se on rekisterin käyttötarkoituksen kannalta tarpeellinen. Henkilötunnus on käytännössä katsottu tarpeelliseksi muun muassa erilaisten viranomaisten rekistereissä, vakuutuslaitoksen tai pankin asiakasrekisterissä ja luottosuhteessa. Henkilötunnuksen merkitsemistä erilaisiin tulosteisiin ja asiakirjoihin on tietosuojavaltuutetun ratkaisukäytännössä arvioitu lähinnä henkilörekisterilain 3 §:n mukaisen huolellisuusvelvoitteen perusteella. Tietosuojavaltuutettu on katsonut muun muassa, että henkilötunnusta ei tulisi käyttää asiakasnumerona ja että sitä ei pitäisi merkitä kirjastokorttiin tai opiskelijakorttiin.

Tietosuojavaltuutettu on ratkaisukäytännössään lähtenyt siitä, että henkilötunnusta voidaan pitää henkilötietona sellaisenaan riippumatta siitä, missä tilanteissa sitä käytetään. Tietosuojavaltuutettu katsoi, että henkilörekisterilain 19 §:n 2 momenttia voidaan soveltaa henkilötunnusten luovuttamiseen kaupparekisteristä. Koska asiasta oli erilaisia tulkintoja, tietosuojavaltuutettu saattoi asian tietosuojalautakunnan käsiteltäväksi. Tietosuojalautakunta katsoi päätöksessään (n:o 3/23.1.1995), että henkilötunnus ja kotiosoite merkitään kaupparekisteriin henkilön yksilöimiseksi elinkeinonharjoittajana ja ettei kaupparekisteriä ole miltään osin pidettävä henkilörekisterilaissa tarkoitettuna henkilörekisterinä. Tietosuojavaltuutettu haki muutosta lautakunnan päätökseen. Korkein hallinto-oikeus ei muuttanut lautakunnan päätöstä (KHO 2371/11.7.1995).

Tietosuojavaltuutettu on tehnyt useita hakemuksia tietosuojalautakunnalle määräyksen antamiseksi henkilötunnuksen tallettamisen ja käytön kieltämiseksi. Tietosuojalautakunta on tietosuojavaltuutetun kannasta poiketen katsonut, että henkilötunnuksen saa tallettaa muun muassa kirjastojen lainausjärjestelmiin perintää varten. Sen sijaan henkilötunnusta ei saa tietosuojalautakunnan päätöksen mukaan merkitä näkyville kirjastokorttiin.

Luottotietotoiminta

Valtakunnallisesti merkittävää henkilöluottotoimintaa harjoittavia rekisterinpitäjiä on vain yksi, Suomen Asiakastieto Oy. Tähän rekisteriin on tietosuojalautakunnan luvalla talletettu henkilörekisteriasetuksen 5 §:ssä säädettyjen tietojen lisäksi tiedot henkilön asettamisesta holhoukseen ja rekisteröidyn itse ilmoittamasta luottokiellosta. Tietosuojalautakunta on myöntänyt yhtiölle myös luvan kerätä ja tallettaa sekä luottotietotoiminnassa edelleen luovuttaa tietoja sellaisesta maksun tai suorituksen laiminlyönnistä, jonka johdosta osamaksukaupassa myyjällä on lain mukaan oikeus ottaa takaisin myyty esine tai luotonantajalla lain mukaan oikeus purkaa muu kulutusluottosopimus. Lupaan on liitetty ehtoja, joiden tarkoituksena on varmistaa muun muassa tietojen virheettömyys ja se, että henkilö on tietoinen maksuhäiriötietojen rekisteröintimahdollisuudesta ja tietojen tallettamisesta luottotietorekisteriin.

Henkilörekisterilain soveltamiseen luottotietotoimintaan vaikuttaa henkilöluottotiedon käsite. Henkilörekisterilaki ei koske yritysluottotietoja. Yritysluottotietoihin kuuluvat paitsi yhteisöä ja säätiötä, myös liike- tai ammattitoiminnan harjoittajaa tai sellaista henkilöä koskevat luottotiedot, jolla omistuksen tai aseman perusteella on huomattava merkitys yrityksen toiminnan tai taloudellisen aseman kannalta. Ratkaisukäytännössään tietosuojavaltuutettu on katsonut henkilöluottotiedoksi sellaisen luottotiedon, joka koski takaajaa, jolla ei ollut minkäänlaista asemaa yrityksessä, jonka velan hän oli taannut. Takaaja ei myöskään osallistunut muutoin yrityksen toimintaan. Yritysluottotiedoksi sen sijaan on katsottu luottotieto, joka koskee esimerkiksi yritysvelan takaajaa silloin, kun takaaja on ollut asianomaisen yhtiön hallituksessa.

Luottotietorekistereitä koskevat toimenpidepyynnöt tietosuojavaltuutetulle ovat yleensä olleet virheen oikaisemista koskevia asioita. Se, mitä tietoja luottotietorekisteriin saa tallettaa, määräytyy henkilörekisteriasetuksen 5 §:n perusteella. Tietosuojavaltuutetun ratkaisukäytännössä on rekisterinpitäjää kehotettu poistamaan henkilörekisteriasetuksen 5 §:ssä tarkoitettu maksuhäiriömerkintä luottotietorekisteristä silloin, kun merkintä ei ole antanut oikeata kuvaa henkilön maksukyvystä tai -halusta. Tällöin on esimerkiksi ollut kysymys tilanteesta, jossa viranomaisen maksuhäiriömerkinnän aiheuttama päätös on hankittu takausvelasta saamisen vanhentumisen estämiseksi ja jossa takaaja on aktiivisesti pyrkinyt hoitamaan asiaansa esimerkiksi sopimalla maksujärjestelyistä.

Sähköposti ja Internet

Tietosuojavaltuutettu on viime vuosina ottanut kantaa muun muassa sähköpostin ja Internetin käyttöön liittyviin tietoturvariskeihin. Tietosuojavaltuutettu kehotti keväällä 1995 Yleisradio Oy:n Tampereen ohjelmayksikköä välittömästi siirtämään Poliisi-TV:n Internet-tietoverkkoon liitetyn vihjetietopalvelun ja rikosjuttujen yleisölle tarjolla olleen arkiston Tampereen yliopiston tietokoneesta omaan hallintaansa ja suojaamaan kaikilta toimitustyön ulkopuolisilta Poliisi-TV:n arkiston erilaisine henkilötietoineen. Tietosuojavaltuutettu on ottanut kantaa myös tietojen keräämiseen sähköisen sanomalehden rekisteröintilomakkeella.

Viranomaisten tietojärjestelmät

Tietosuojavaltuutetun antamat lausunnot erilaisista lainsäädäntöhankkeista koskevat usein eri viranomaisten tietojen rekisteröintiä ja luovuttamista sekä muuta käsittelyä. Viranomaisten tietojärjestelmiä koskevista säädöksistä voidaan mainita esimerkiksi vuoden 1995 lokakuussa voimaan tullut laki poliisin henkilörekistereistä, jonka valmisteluun tietosuojavaltuutettu pyrki aktiivisesti vaikuttamaan niin lausunnoin kuin suorin neuvotteluinkin.

Tietosuojalautakunta on toimintansa aikana käsitellyt parisenkymmentä hakemusta, jotka ovat koskeneet viranomaisten välistä tietojen vaihtoa. Poikkeuslupa on kaikissa tapauksissa myönnetty. Poikkeusluvan myöntämisen edellytyksenä olevan painavan syyn olemassaoloa on valtaosassa tapauksia perusteltu sillä, että luovutettavat tiedot ovat olleet tarpeellisia viranomaisten lakisääteisten tehtävien suorittamista varten. Tämän lisäksi painavana syynä poikkeusluvan myöntämiselle viranomaisten väliseen tietojen vaihtoon on pidetty yhteiskunnan tarjoamien etujen väärinkäytösten selvittämistä.

Tilasto- ja tutkimustoiminta

Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus (STAKES) pyysi tietosuojalautakunnalta periaatteellista vastausta siihen, millä edellytyksillä sillä on mahdollisuus ilman tietosuojalautakunnan poikkeuslupaa yhdistää pitämiensä lakiin perustuvien rekistereiden tietoja erityisesti tutkimustoiminnassa. STAKES tiedusteli samalla edellyttikö "Raskaus, syntymä ja terveys kouluiässä ― seurantajärjestelmän kehittäminen" -projekti poikkeusluvan hakemista ja mikäli edellytti, STAKES pyysi lautakuntaa myöntämään mainitun luvan. Tietosuojavaltuutettu oli hakijalle sosiaali- ja terveydenhuollon tutkimus ja kehittämiskeskuksesta annetun lain (1073/1992) 6 §:n 2 momentin nojalla antamassaan lausunnossa edellyttänyt poikkeusluvan hakemista.

Tietosuojalautakunta totesi, ettei se anna ennakkotietoja lain soveltamiseen liittyvissä yksittäistapauksissa. Haetun poikkeusluvan osalta tietosuojalautakunta katsoi, että hakemuksessa tarkoitetun tutkimusrekisterin pitäminen johtui STAKESille säädetystä tehtävästä, eikä hakija näin ollen tarvitse poikkeuslupaa yhteysvaatimuksesta. Tietosuojalautakunta katsoi edelleen, että hakemuksessa tarkoitettujen rekisterien yhdistäminen tutkimustarkoituksessa johtui hakijalle välittömästi laissa säädetystä tehtävästä ja hakijalla on tätä tarkoitusta varten oikeus käyttää hakemuksessa tarkoitettuja yhdisteltäviä tietoja. Tietosuojalautakunta katsoi, että hakija ei tarvitse poikkeuslupaa hakemuksessa tarkoitettujen rekistereiden yhdistämiseen.

Tietosuojavaltuutettu haki lautakunnan päätökseen muutosta korkeimmalta hallinto-oikeudelta. Tietosuojavaltuutettu vaati, että tietosuojalautakunnan päätös kumotaan ja poikkeuslupa todetaan tarpeelliseksi. Korkein hallinto-oikeus totesi päätöksessään, että tietosuojalautakunta on voinut päätyä siihen, ettei poikkeuslupa ole tarpeen. Näin ollen korkein hallinto-oikeus hylkäsi tietosuojavaltuutetun valituksen.

2.3. Kansainvälinen kehitys

OECD:n tietosuojasuositus

Tietosuojalainsäädäntö vaikuttaa merkittävästi siihen, miten henkilötietoja voidaan siirtää maasta toiseen. Valtioiden kiinnostus edistää tietotekniikan ja sen sovellutusten kehittämistyötä sekä markkinoiden kansainvälistyminen ovat johtaneet pyrkimyksiin tietosuojaa koskevan lainsäädännön harmonisointiin sekä luomaan siten edellytyksiä henkilötietojen vapaalle liikkuvuudelle maasta toiseen.

Taloudellisen kehityksen ja yhteistyön järjestö (OECD) hyväksyi vuonna 1980 yksityisyyden suojaa ja kansainvälistä henkilötietojen siirtoa koskevan suosituksen (Recommendation of the Council concerning Guidelines governing the Protection of Privacy and Transborder Flows of the Personal Data 23.8.1980, jäljempänä OECD:n tietosuojasuositus). Suositus sisältää muun muassa henkilötietojen keräämistä ja laatua, rekisteröidyn tarkastusoikeutta, tietoturvaa ja kansainvälistä tiedonsiirtoa koskevia yleisperiaatteita, jotka valtioiden tulisi järjestää lainsäädännössään. OECD:n tietosuojasuositus valmisteltiin samanaikaisesti ja yhteistyössä tietosuojasopimusta valmistelleen komitean kanssa.

Euroopan neuvoston tietosuojasopimus ja suositukset

Tietosuojasopimuksen tarkoituksena on turvata jokaiselle yksilölle sopimuspuolten alueella hänen oikeutensa ja perusvapautensa ja erityisesti hänen oikeutensa yksityisyyteen henkilötietojen automaattisessa tietojenkäsittelyssä. Tietosuojasopimuksessa määritellään ne tietosuojan perusperiaatteet, jotka sopimuksen osapuolet sitoutuvat toteuttamaan lainsäädännössään yksityisyyden suojaamiseksi henkilötietojen automaattisessa tietojenkäsittelyssä. Sopimuksessa ei kuitenkaan ole määräyksiä tietojen luovuttamisesta.

Sopimusvaltio voi sopimukseen liittyessään tai myöhemminkin tehdä Euroopan neuvostolle ilmoituksen siitä, ettei se sovella sopimuksen määräyksiä tiettyihin henkilörekistereihin tai että se soveltaa määräyksiä laajemmin (esim. manuaalirekisteihin) kuin sopimus edellyttää. Sopimus tuli Suomen osalta voimaan huhtikuussa 1992. Suomi on toteuttanut tietosuojasopimuksen edellyttämän sääntelyn henkilörekisterilaissa.

Tietosuojasopimuksen ratifiointi ei ole edennyt aivan siinä tahdissa kuin sopimusta laadittaessa toivottiin. Nykyisin sopimusjärjestelmässä on mukana 20 maata (Alankomaat, Belgia, Espanja, Irlanti, Islanti, Iso-Britannia, Italia, Itävalta, Kreikka, Luxemburg, Norja, Portugali, Ranska, Ruotsi, Saksa, Slovenia, Suomi, Sveitsi, Tanska ja Unkari).

OECD:n tietosuojasuositus sekä tietosuojasopimus sisältävät hyvin samansisältöiset henkilörekistereiden käyttöä koskevat perusperiaatteet. Nämä periaatteet toistuvat myös eri maiden lainsäädännössä.

Euroopan neuvosto on edistänyt tietosuojan harmonisointikehitystä myös antamalla eri toimialoja koskevia suosituksia. Tällaisia suosituksia on nykyisin kymmenen.

Tutkimuksen ja tilastoinnin tietosuojaa koskeva suositus R(83) 10/23.9.1983 soveltuu käytettäessä henkilötietoja tieteelliseen tutkimukseen ja tilastojen tekoon sekä julkisella että yksityisellä sektorilla riippumatta siitä, käsitelläänkö tietoja automaattisesti vai manuaalisesti. Suositus sisältää periaatteita muun muassa rekisteröidyn suostumuksen merkityksestä, tietojen käytöstä, otosten keräämisestä, tarkastusoikeudesta ja tietojen säilyttämisestä.

Suoramarkkinointia koskevaa suositusta R(85) 20/25.10.1985 sovelletaan henkilötietoihin, joita käytetään suoramarkkinoinnissa automaattisen tietojenkäsittelyn avulla. Suositus käsittelee muun muassa tietojen keräämistä, tietojen luovuttamista, rekisteröityjen oikeuksia ja henkilörekisterien suojaamista.

Sosiaaliturvan tietosuojaa koskevaa suositusta R(86) 1/23.1.1986 sovelletaan automaattisen tietojenkäsittelyn avulla tapahtuvaan henkilötietojen käsittelyyn suosituksen 1.2. kohdassa tarkoitettuihin sosiaaliturvan käyttötarkoituksiin sekä julkisella että yksityisellä sektorilla. Suositus sisältää periaatteita muun muassa tietojen keräämisestä, tallettamisesta ja käytöstä, asianosaisen tietojensaantioikeudesta sekä kansainvälisestä siirrosta.

Poliisitoimen tietosuojaa koskevan suosituksen R(87) 15/17.9.1987 periaatteita sovelletaan poliisin käyttöön tarkoitettujen, automaattisesti käsiteltyjen henkilötietojen keräämiseen, tallettamiseen, käyttöön ja luovuttamiseen.

Työelämää koskeva suositus R(89) 2/18.1.1989 sisältää periaatteet henkilötietojen keräämiseen ja käyttöön työsuhteessa sekä julkisella että yksityisellä sektorilla. Periaatteita sovelletaan automaattisen tietojenkäsittelyn avulla käsiteltyihin tietoihin samoin kuin muihin työnantajilla oleviin tietoihin siinä määrin kuin nämä tiedot ovat edellytyksenä automaattisesti käsiteltyjen tietojen ymmärtämiselle. Tietojen keräämisen ja sisäisen käytön lisäksi suositus sisältää muun muassa tietojen luovuttamista ja tarkastusoikeutta ja virheen oikaisua koskevia periaatteita.

Henkilötietojen suojaamisesta maksutapahtumissa annettuun suositukseen R(90) 19/13.9.1990 sisältyviä periaatteita sovelletaan automaattisen tietojenkäsittelyn avulla käsiteltäviin henkilörekistereihin, jotka liittyvät maksuvälineisiin ja niiden käyttöön maksutapahtumissa tai muissa samankaltaisissa toimissa. Sen lisäksi suosituksen periaatteita sovelletaan kaikkiin osapuoliin, jotka ovat mukana näissä toimissa (edunsaajat, maksuvälineitä tarjoavat yhteisöt ja tietoliikenneverkko-operaattorit). Suositus sisältää periaatteita muun muassa tietojen keräämisestä, tallettamisesta, käytöstä ja luovuttamisesta sekä oikeudesta saada tietoja ja saada tiedot oikaistuksi.

Viranomaisten henkilötietojen luovuttamista koskeva suositus R(91) 10/9.9.1991 sisältää ohjeet sellaisten henkilötietojen automaattisesta tietojenkäsittelystä, joita viranomaiset keräävät ja joita voidaan luovuttaa ulkopuolisille. Suosituksen periaatteet koskevat muun muassa arkaluonteisia tietoja, rekistereiden yhdistämistä ja kansainvälistä tietojen siirtoa.

Teletoimintaa koskevan suosituksen R(95) 4/7.2.1995 periaatteita sovelletaan verkko-operaattoreihin ja palvelun tuottajiin, jotka käsittelevät henkilötietoja automaattisen tietojenkäsittelyn avulla. Suositukseen sisältyy periaatteet muun muassa tietojen keräämisestä ja käsittelystä sekä luovuttamisesta, tarkastusoikeudesta, virheen oikaisusta ja tietoturvasta.

Lääketieteellisten tietojen suojaa koskevaa suositusta R(97) 5/13.2.1997 sovelletaan lääketieteellisten tietojen keräämiseen ja automaattiseen käsittelyyn sekä terveydenhuollon alalla että sen ulkopuolella erityisissä tilanteissa, jollei kansallinen lainsäädäntö viimeksi mainituissa tilanteissa säädä muista riittävistä turvatakeista. Suositus sisältää periaatteet muun muassa syntymättömien lasten asemasta ja geneettisten tietojen keräämisestä ja käsittelystä sekä rekisteröidyn informoimisesta ja virheen oikaisusta. Suositus korvaa lääketieteellisiä tietoja sisältäviä automaattisen tietojenkäsittelyn avulla ylläpidettäviä tietopankkeja koskevan aikaisemman suosituksen R(81) 1/23.1.1981.

Euroopan neuvoston uusin suositus R(97) 18/30.9.1997 koskee tietosuojaa henkilötietojen käsittelyssä tilastotarkoituksia varten. Suositusta sovelletaan henkilötietojen keräämiseen ja automaattiseen käsittelyyn tilastotarkoituksia varten. Suositus sisältää muun muassa yleiset periaatteet henkilötietojen käsittelystä tilastotarkoituksiin, rekisteröidyn informoimisesta ja muista oikeuksista sekä tilastotarkoituksiin käsiteltävien tietojen luovuttamisesta ja arkistoinnista. Suositus korvaa vuonna 1983 annetun tutkimuksen ja tilastoinnin tietosuojaa koskevan suosituksen henkilötietojen keräämistä ja käsittelyä tilastotarkoituksiin koskevilta osin.

Tietosuojadirektiivi

Direktiivin tavoitteet ja soveltamisala. Tietosuojadirektiivi on annettu Euroopan yhteisön perustamissopimuksen 100 a artiklan nojalla ja se liittyy siten sisämarkkinoiden kehittämiseen. Direktiivin tavoitteena on turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti oikeus yksityisyyteen henkilötietojen käsittelyssä sekä henkilötietojen vapaa liikkuminen EU:n jäsenvaltioiden välillä. Jäsenvaltio ei saa estää henkilötietojen siirtämistä toiseen jäsenvaltioon yksityisyyden suojaan liittyvistä syistä. Jäsenvaltioiden on myös huolehdittava siitä, että sen lainsäädäntöä sovelletaan direktiivin osoittamalla tavalla jäsenvaltiossa tapahtuvaan tai jäsenvaltioon muutoin liittyvään henkilötietojen käsittelyyn sekä valvottava henkilötietojen siirtoa kolmansiin maihin. T¡etosuojadirektiivin pohjana on tietosuojasopimus, jota sen on tarkoitus täsmentää.

Lähtökohtana tietosuojadirektiivissä on henkilötietojen käsittely laajassa merkityksessä niin, että se sisältää myös tietojen luovuttamisen. Direktiiviä sovelletaan sekä automaattisen tietojenkäsittelyn avulla että manuaalisesti toteutettavaan henkilötietojen käsittelyyn. Soveltamisalan ulkopuolelle jää yhteisöoikeuden ulkopuolelle jäävä henkilötietojen käsittely, kuten ulko- ja turvallisuuspolitiikkaan ja oikeudelliseen yhteistyöhön sekä poliisi- ja pakolaisasioihin ja valtion turvallisuuteen liittyvä henkilötietojen käsittely samoin kuin yksinomaan henkilökohtaista tarkoitusta varten tapahtuva henkilötietojen käsittely.

Tietosuojadirektiivi jakaantuu seitsemään eri lukuun (I Yleiset säännökset, II Yleiset säännöt henkilötietojen käsittelyn laillisuudesta, III Oikeuskeinot, vastuu ja sanktiot, IV Henkilötietojen siirto kolmansiin maihin, V Käytännesäännöt, VI Valvontaviranomainen ja tietosuojatyöryhmä sekä VII Yhteisön täytäntöönpanotoimenpiteet). Lisäksi direktiivi sisältää loppusäännökset sen täytäntöönpanosta sekä 72-kohtaisen johdanto-osan.

Tietosuojadirektiivi on sääntelyjärjestelmä, joka määrittelee, minkälaisia vaatimuksia yksilön suojan toteuttamiseksi on asetettava kansallisessa lainsäädännössä, ja kieltää estämästä henkilötietojen vapaata liikkumista EU:n sisällä yksilön oikeuksien suojan perusteella. Tietosuojadirektiivi on henkilötietojen käsittelyn sääntelyn yleispuitteet asettava direktiivi. Henkilötietojen käsittelystä ja yksityisyyden suojasta televiestinnän alalla on lisäksi annettu 15 päivänä joulukuuta 1997 Euroopan parlamentin ja neuvoston direktiivi 97/66/EY.

Henkilötietojen käsittelyn laillisuuden sääntely. Tietosuojadirektiivin II luku on laajin ja kansallisen lainsäädännön valmistelussa keskeisin. Luku sisältää säännökset tietojen laatua koskevista periaatteista, käsittelyn laillisista edellytyksistä, arkaluonteisten tietojen sääntelystä, rekisteröidyn oikeuksista, käsittelyn luottamuksellisuudesta ja tietoturvasta samoin kuin niistä poikkeuksista ja rajoituksista, joita kansallisella lainsäädännöllä voidaan yksilönsuojaa koskeviin vaatimuksiin tehdä. Luvussa on myös säännökset tietojenkäsittelyn avoimuudesta sekä valvontakeinoista.

Rekisteröidyn oikeudet. Rekisteröidyn oikeuksiin kuuluu oikeus paitsi tarkastaa itsestään talletetut tiedot, myös oikeus saada ilman pyyntöä rekisterinpitäjältä tiedot muun muassa tietojenkäsittelyn tarkoituksesta sekä käsiteltävistä tiedoista. Tämä rekisterinpitäjän aktiivinen rekisteröidyn informointivelvoite on laajempi kuin henkilörekisterilaissa. Rekisteröidyn aseman turvaamiseen tähtää myös direktiivin pääsääntöinen kielto perustaa yksilöä koskeva päätös yksinomaan automaattisen tietojenkäsittelyn avulla tuotettuun päätökseen. Tälle kiellolle ei ole vastinetta Suomen voimassa olevassa laissa.

Kansainväliset tiedonsiirrot. Tietosuojadirektiivi luo EU:n sisälle vapaan henkilötietojen siirron alueen. Direktiivi sisältää myös säännöksiä henkilötietojen siirrosta kolmansiin maihin eikä se estä henkilötietojen siirtoa sellaisiin kolmansiin maihin, joissa tietosuoja on riittävästi turvattu.

Valvontaa koskevat velvoitteet. Tietosuojadirektiivin mukaisena valvontamekanismina kansallisella tasolla on ilmoitusmenettely rekisteröidylle ja kansalliselle tietosuojaviranomaiselle. Direktiivin pääsäännön mukaan jäsenvaltioiden on säädettävä verrattain laajasta velvollisuudesta ilmoittaa tietojenkäsittelystä tietosuojan valvontaviranomaiselle. Velvollisuudesta on kuitenkin mahdollisuus poiketa. Direktiivi sisältää myös säännökset seurantamekanismista, jolla EU:n puitteissa seurataan direktiivin täytäntöönpanoa ja toteutumista jäsenvaltioissa.

Voimaantulo. Tietosuojadirektiivin edellyttämät kansalliset lainsäädäntö- ja muut toimet on toteutettava viimeistään kolmen vuoden kuluttua direktiivin hyväksymisestä, toisin sanoen viimeistään 24 päivänä lokakuuta 1998.

Kansallinen toimenpidemarginaali. Tietosuojadirektiivi on lainvalmisteluohje ja jäsenvaltioiden velvoitteet tulevat täytetyiksi, jos jäsenvaltion lainsäädäntö täyttää ne vaatimukset, joita direktiivi edellyttää. Direktiivissä on ilmaistu eri asteisesti ja eri tavoin se, minkälaisia kansallisia säännöksiä direktiivin mukaan on annettava tai voidaan antaa. Niistä muodostuu toimenpidemarginaali, jonka puitteissa jäsenvaltiot voivat vahvistaa tietojenkäsittelyn lailliset edellytykset. Tämän toimenpidemarginaalin rajoissa ja yhteisön oikeuden mukaisesti jäsenvaltioiden tietosuojadirektiivin täytäntöönpanoon liittyvän kansallisen lainsäädännön yksityiskohdissa voi siten olla hyväksyttäviä eroavuuksia eri jäsenvaltioiden välillä. Tämä todetaan muun muassa tietosuojadirektiivin johdanto-osan 9 kohdassa. Direktiivin johdanto-osan 10 kohdassa todetaan muun ohella, ettei jäsenvaltioiden kansallisten lainsäädäntöjen lähentäminen saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen. Tämä tarkoittaa, että jäsenvaltioiden on tietosuojadirektiivin edellyttämää kansallisen lainsäädännön harmonisointia toteuttaessaan pyrittävä pitämään se tietosuojan kokonaistaso, mikä niiden voimassa olevassa lainsäädännössä on nykyisin turvattu.

Tietosuojadirektiivin sallima jäsenvaltioiden kansallinen liikkumavara muodostuu kahdesta periaatteessa toisistaan poikkeavasta muodosta: yleisistä yksilönsuojan rajoitusperusteista, joista on säännökset direktiivin 13 artiklassa sekä eri artikloissa osoitetuista mahdollisuuksista säätää pääsäännöstä poikkeavasti. Direktiiviä lienee oikeata monilta keskeisiltä osin luonnehtia yksilönsuojan perustasoa määritteleväksi. Tämän mukaisesti jäsenvaltiolla on mahdollisuus antaa kansallisia säännöksiä, jotka mahtuvat luvussa olevien säännösten alaan. Siten esimerkiksi keskeinen 7 artikla ei edellytä, että kaikki siinä mainitut käsittelyn perusteet tulisi sellaisenaan ottaa kansalliseen lainsäädäntöön vaan että ne ovat luvallisia.

Tietosuojadirektiivin yleisiä rajoitusperusteita koskeva 13 artiklan 1 kohta mahdollistaa rajoitusten tekemisen vain tiettyihin artikloihin. Artiklasta seuraa muun muassa, että jäsenvaltiot voivat sallia vain sellaisen henkilötietojen käsittelyn, josta säädetään 7 artiklassa ja että arkaluonteisten tietojen käsittely voidaan sallia vain 8 artiklan osoittamissa rajoissa.

Erityiset artiklakohtaiset rajoituslausekkeet sallivat poikkeuksen pääsäännöstä useimmiten vain tietyin edellytyksin. Pääsääntöjen mukaiseen suojaan voidaan tehdä poikkeuksia esimerkiksi kysymyksen ollessa tietojenkäsittelystä historiallisia, tieteellisiä ja tilastollisia tarkoituksia varten (6 artiklan 1 kohdan b ja e alakohta ja 11 artiklan 2 kohta). Poikkeusten edellytyksenä voi olla, että kansallisessa lainsäädännössä säädetään tarpeellisista suojatoimista.

Direktiivin vaikutusten arviointia. Tietosuojadirektiivin II lukuun sijoitetut yleiset säännökset henkilötietojen käsittelyn laillisuudesta on ilmaistu käyttämällä henkilötietojen käsittelyn käsitettä. Henkilörekisterilain systematiikka ja sääntely sen sijaan rakentuu tiedon elinkaari -ajatukselle (henkilötietojen kerääminen, tallettaminen, käyttö ja luovutus).

Tietosuojadirektiivin 2 ja 3 artiklassa on käytetty osin sanamuodoltaan erilaisia määritelmiä kuin henkilörekisterilaissa. Sanonnallisilla eroavuuksilla ei kuitenkaan ole katsottava olevan lopputuloksen kannalta merkitystä. Tietosuojadirektiivistä sen enempää kuin sen johdanto-osastakaan ei voida päätellä, että tarkoituksena olisi yhtenäistää kansallisessa lainsäädännössä käytettäviä käsitteitä.

Tietosuojadirektiiviä sovelletaan henkilörekisterilain tapaan osittain tai kokonaan automatisoituun tietojenkäsittelyyn sekä sellaisten henkilötietojen manuaaliseen käsittelyyn, jotka muodostavat rekisterin tai rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

Tietosuojadirektiivin 7 artikla määrittelee tietojenkäsittelyn laillisuutta koskevat periaatteet. Sen mukaan jäsenvaltioiden on säädettävä, että henkilötietoja saa käsitellä ainoastaan artiklassa mainituista syistä. Henkilötietoja saa käsitellä ilman rekisteröidyn suostumusta, jos käsittely on tarpeen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä (b alakohta), rekisterinpitäjän laillisen velvoitteen noudattamiseksi (c alakohta), rekisteröidyn elintärkeän edun suojaamiseksi (d alakohta), yleistä etua koskevan tehtävän suorittamiseksi, julkisen vallan käyttämiseksi (e alakohta) tai toisen oikeutetun intressin toteuttamiseksi, jolleivat rekisteröidyn suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet ole tätä tärkeämpiä (f alakohta). Henkilörekisterilaissa henkilötietojen keräämisen ja tallettamisen sallitut perusteet ovat rekisteröidyn suostumuksen lisäksi laissa säädetty tehtävä, asiallinen yhteys (sopimus, molemminpuolinen suhde) ja tietosuojalautakunnan poikkeuslupa. Näiden lisäksi tiettyjä rekisteritoimintoja varten (luottotietotoiminta, suoramarkkinointi ja osoitepalvelu, mielipide- ja markkinatutkimus, tieteellinen tutkimus ja tilastointi sekä sukututkimus ja henkilömatrikkelien laatiminen) saa henkilötietoja kerätä ja tallettaa noudattamalla henkilörekisteriasetuksessa olevia tarkempia säännöksiä.

Rekisteröidyn suostumuksesta poikkeavan tietojenkäsittelyn perusteissa ei tietosuojadirektiivin ja henkilörekisterilain välillä asiallisesti ole ratkaisevia eroja lukuun ottamatta direktiivin 7 artiklan f alakohdan sääntelyä ja henkilörekisterilakiin sisältyvää tietosuojalautakunnan poikkeuslupamenettelyä. Henkilörekisterilakiin sisältyvä tietosuojalautakunnan yleinen poikkeuslupamenettely ei ole tietosuojadirektiivin huomioon ottaen mahdollinen.

Henkilötietojen keräämisen, tallettamisen, luovuttamisen ja muun käsittelyn perussäännöt eivät direktiivissä merkittävästi poikkea henkilörekisterilaissa jo omaksutuista. Sama pätee direktiivin tietojen laatua koskeviin periaatteisiin, joihin kuuluvat käyttötarkoitussidonnaisuuden periaate, tietojen virheettömyysvaatimus ja käsiteltävien henkilötietojen tarpeellisuuden vaatimus käsittelyn tarkoituksen kannalta. Arkaluonteisten henkilötietojen käsittelykielto koskee, toisin kuin henkilörekisterilaissa, myös tietoa henkilön kuulumisesta ammattiyhdistykseen.

Tietosuojadirektiivissä on pääsääntönä rekisterinpitäjän velvollisuus ilmoittaa henkilötietojen käsittelystä rekisteröidylle sekä silloin kun henkilötietoja kerätään rekisteröidyltä itseltään että kerättäessä tietoja muista lähteistä. Tämä on yksi tietosuojadirektiivissä omaksutuista keinoista turvata henkilötietojen käsittelyn avoimuus ja valvoa kansallisella tasolla yksityisyyden suojan toteutumista henkilötietojen käsittelyssä. Henkilörekisterilaissa säädetään velvollisuudesta ilmoittaa rekisteröidylle henkilörekisterin käytöstä tietyissä tapauksissa. Lisäksi henkilörekisterilakiin sisältyvä hyvän rekisteritavan vaatimus voi edellyttää, että henkilötietojen käsittelystä ilmoitetaan rekisteröidylle. Tietosuojadirektiivin edellyttämä rekisteröidyn tiedonsaantioikeus on lähtökohtaisesti laajempi kuin henkilörekisterilaissa.

Tietosuojadirektiivin säännökset rekisteröidyn kielto-oikeudesta oikeuttavat henkilörekisterilakia vastaavalla tavalla rekisteröidyn kieltämään tietojensa käytön suoramarkkinointiin. Lisäksi jäsenvaltioiden on tietosuojadirektiivin mukaan turvattava rekisteröidylle oikeus ainakin 7 artiklan e ja f alakohdassa tarkoitetuissa tapauksissa vastustaa itseään koskevien tietojen käsittelyä. Tämä merkitsisi kielto-oikeuden antamista tilanteissa, joissa käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi tai joissa käsittely on tarpeen rekisterinpitäjän (tai luovutuksensaajan) oikeutetun intressin toteuttamiseksi. Oikeus ei kuitenkaan ole ehdoton. Edellytyksenä on, että vastustus tapahtuu rekisteröidyn tilanteeseen liittyvien huomattavien tärkeiden ja perusteltujen syiden vuoksi. Tästäkin voidaan säätää toisin kansallisessa lainsäädännössä.

Tietosuojadirektiivin ja henkilörekisterilain välillä ei ole merkittäviä eroja rekisteröidyn tarkastusoikeutta koskevissa säännöksissä eikä tietojenkäsittelyä koskevissa yleisissä tiedonsaantioikeuksissa.

Tietosuojadirektiivissä henkilötietojen käsittelyn käyttötarkoitussidonnaisuus koskee myös tietojen luovutusta. Henkilörekisterilaissa rekisterin käyttöä ja henkilötietojen luovutusta on säännelty erikseen. Henkilötietojen luovutusta koskevista erityissäännöksistä voi johtua myös henkilötietojen käyttötarkoituksen muutos. Henkilötietojen luovutusperusteina luovutusta koskevissa henkilörekisterilain säännöksissä ovat suostumuksen lisäksi rekisteröidyn toimeksianto, luovutuksen perustuminen lakiin, tavanomaisuus ja rekisteröidyn tietoisuusolettama (henkilörekisterilain 18 §:n 2 momentti) sekä luovutus tieteellistä tutkimusta, tilastointia, suoramarkkinointia, luottotietotoimintaa, henkilömatrikkelia ja sukututkimusta varten. Luovutussäännöksiä on direktiivin johdosta täsmennettävä.

Tietosuojadirektiivi sisältää myös säännökset siitä, millä edellytyksillä henkilötietoja voidaan siirtää EU:n ulkopuolisiin maihin. Tästä on otettava säännökset kansalliseen lainsäädäntöön.

Tietosuojadirektiivi edellyttää myös, että jäsenvaltiot nimeävät kansallisen valvontaviranomaisen, jonka tehtävänä on itsenäisesti valvoa jäsenvaltioiden direktiivin mukaisesti toteuttamien toimenpiteiden soveltamista. Direktiivin mukaisena valvontamekanismina kansallisella tasolla on muun ohella ilmoitusmenettely kansalliselle tietosuojaviranomaiselle. Henkilörekisterilaissa tarkoitettuja tietosuojaviranomaisia ovat tietosuojavaltuutettu ja tietosuojalautakunta. Tietosuojavaltuutettu valvoo henkilötietojen keräämistä, tallettamista, käyttöä ja luovuttamista lain tavoitteiden toteuttamiseksi. Tietosuojalautakunta käyttää päätösvaltaa tietosuoja-asioissa. Tietosuojavaltuutettua ja tietosuojalautakuntaa sekä niiden tehtäviä koskevia säännöksiä on jossain määrin tarkistettava. Henkilörekisterilain mukainen rekisterinpitäjän ilmoitusvelvollisuus tietosuojavaltuutetulle koskee määrätynlaisia henkilörekistereitä ja tietynlaisia toimintoja. Tietosuojadirektiivin edellyttämä ilmoitusvelvollisuus valvontaviranomaiselle on lähtökohdiltaan henkilörekisterilain ilmoitusvelvollisuutta laajempi, minkä vuoksi ilmoitusvelvollisuutta on tarpeen tarkistaa. Ilmoitusvelvollisuuden sääntelyssä voidaan kuitenkin ottaa huomioon direktiivin sallima liikkumavara.

Tietosuojadirektiivi velvoittaa jäsenvaltiot myös turvaamaan kansallisessa lainsäädännössä jokaiselle oikeuskeinot, jos hänelle kuuluvia oikeuksia loukataan henkilötietojen käsittelyssä. Samoin jäsenvaltioiden on säädettävä vastuusta silloin, kun henkilötietojen laittomasta käsittelystä aiheutuu henkilölle vahinkoa ja henkilötietojen säännöstenvastaisesta käsittelystä seuraavista sanktioista. Direktiivin ja henkilörekisterilain näiden säännösten välillä ei ole merkittäviä eroja.

Tietosuojadirektiivi mahdollistaa julkisuusperiaatteen huomioon ottamisen kansallisessa lainsäädännössä. Tämä todetaan nimenomaisesti direktiivin johdanto-osan 72 kohdassa. Yksityisyyden suoja henkilötietojen käsittelyssä ja julkisuusperiaate on siten lain tasolla sopeutettava toisiinsa.

Lainsäädäntö EU:n jäsenvaltioissa

Kaikki EU:n jäsenvaltiot ovat liittyneet tietosuojasopimukseen. EU:n piirissä selvitellään mahdollisuuksia EU:n liittymisestä tietosuojasopimukseen. EU:n jäsenmaiden on saatettava tietosuojadirektiivin soveltamiseksi tarvittavat säännökset voimaan viimeistään 24 päivänä lokakuuta 1998. Koska kaikissa EU:n jäsenvaltioissa ollaan valmistelemassa tietosuojadirektiivin edellyttämää lainsäädäntöä, ei jäsenmaiden voimassa olevan lainsäädännön laajempi kuvaus ole tarkoituksenmukaista. Komissio tulee vastaisuudessa direktiivin 33 artiklan mukaisesti antamaan säännöllisesti kertomuksensa direktiivin soveltamisesta jäsenmaissa. Ensimmäinen kertomus annetaan viimeistään 24 päivänä lokakuuta 2001.

EU:n jäsenmaista Ruotsin, Italian ja Kreikan parlamentit ovat jo hyväksyneet uuden henkilötietojen suojaa koskevan lain. Lakiehdotus on annettu parlamenttien käsiteltäväksi Tanskassa, Alankomaissa ja Iso-Britanniassa. Espanjassa, Luxemburgissa, Irlannissa, Belgiassa, Ranskassa, Itävallassa, Saksassa sekä Portugalissa tietosuojadirektiivin edellyttämä lainvalmistelu on vireillä.

Ruotsin valtiopäivät hyväksyivät huhtikuussa 1998 esityksen uudeksi henkilötietolaiksi (204/1998), personuppgiftlag. Laki tulee voimaan 24 päivänä lokakuuta 1998. Laki perustuu vuonna 1995 asetetun Datalagskommitt‚n'n ehdotukseen (Integritet ― Offentlighet ― Informationsteknik; SOU 1997/39) ja sen pohjalta valmisteltuun hallituksen esitykseen (Prop. 1997/98:44). Lailla kumotaan voimassa oleva datalag (1973:289).

Laki seuraa varsin tarkasti tietosuojadirektiivin periaatteita, jaottelua sekä käsitteistöä. Koska laki on yleislaki, erityissäännöksiä noudatetaan niiden poiketessa henkilötietolaista. Lain tarkoituksena on henkilöiden yksityisyyden suojaaminen henkilötietojen käsittelystä aiheutuvilta loukkauksilta. Lain suhteesta paino- ja ilmaisuvapauteen sekä julkisuusperiaatteeseen säädetään laissa nimenomaisesti. Esimerkiksi säännöksiä, jotka ovat painovapauslain taikka ilmaisuvapautta koskevan perusoikeuden kanssa ristiriidassa, ei sovelleta. Samoin eräät viranomaista velvoittavat julkisuussäännökset syrjäyttävät henkilötietolain säännökset.

Ruotsin laissa sääntelyn kohteena on henkilötietojen käsittely. Henkilötietojen käsittelyn perusvaatimukset määritellään laissa direktiivin tietojen laatua koskevia periaatteita vastaavalla tavalla. Lisäksi lakiin sisältyvät säännökset velvollisuudesta käsitellä henkilötietoja hyvän tavan mukaisesti. Henkilötietojen käsittely on Ruotsin lain mukaan sallittua direktiivin tietojen käsittelyn laillisuutta koskevien säännösten mukaisin edellytyksin. Laissa ei ole säännöksiä henkilötietojen käsittelystä erityisiin tarkoituksiin. Sen sijaan kunkin arkaluonteiseksi määritellyn tietotyypin osalta säädetään erikseen käsittelyn edellytyksistä. Laissa säädetään myös henkilötunnuksen käsittelystä.

Lain säännökset velvollisuudesta informoida rekisteröityä häntä koskevien tietojen käsittelystä vastaavat direktiivin vaatimuksia. Tiedonantovelvollisuus ei koske rekisterinpitäjällä olevia tietoja, joita ei ole vielä muotoiltu rekisteriä varten ja siitä voidaan poiketa salassa pidettävien tietojen osalta.

Henkilötietojen automaattiseen käsittelyyn ryhtyvän tulee tehdä valvontaviranomaiselle kirjallinen ilmoitus ennen toiminnan aloittamista. Hallitus tai sen osoittama viranomainen voi määrätä poikettavaksi ilmoitusvelvollisuudesta sellaisten tietotyyppien osalta, joiden käsittely ei todennäköisesti tule asiaankuulumattomalla tavalla loukkaamaan henkilön yksityisyyttä. Ilmoitusvelvollisuutta ei ole silloinkaan, jos rekisterinpitäjä on asettanut henkilötietoasiamiehen (personuppgiftsombud), josta on tehty ilmoitus valvontaviranomaiselle. Henkilötietoasiamiehen tulee pyrkiä edistämään henkilötietojen käsittelyä lain ja hyvän tavan mukaisesti. Hallitus oikeutetaan laissa antamaan määräyksiä tietojenkäsittelyn ennakollisesta tarkastuksesta. Ennakollisen tarkastuksen piiriin voidaan velvoittaa sellainen automaattinen henkilötietojen käsittely, josta saattaa aiheutua erityistä vaaraa henkilön yksityisyydelle.

Tanskassa ehdotus henkilötietojen käsittelyä koskevaksi laiksi, forslag til lov om behandling af personoplysninger (L 82), on annettu parlamentille 30 päivänä huhtikuuta 1998. Tavoitteena on saattaa laki voimaan 24 päivään lokakuuta 1998 mennessä. Toisin kuin voimassa olevaa lakia, uutta lakia sovellettaisiin sekä yksityisen että viranomaisen rekisterinpitoon. Lain soveltamisalaa on rajoitettu tuomioistuinten rikosasioita koskevan rekisterinpidon osalta sekä tietojen käsittelyssä journalistisia tarkoituksia varten. Lakia ei sovellettaisi parlamenttiin eikä sen yhteyteen kuuluvien laitosten toimintaan. Myös tiedotusvälineiden tietokannat sekä poliisin ja maanpuolustuksen tiedustelutoimintaan liittyvä rekisterinpito on rajattu lain soveltamisalan ulkopuolelle. Taiteellisiin ja kirjallisiin tarkoituksiin pidettäviin henkilörekistereihin lakia sovellettaisiin rajoitetusti.

Henkilötietojen käsittely on määritelty lakiehdotuksessa direktiivin mukaisesti. Tietojen käsittelyssä tulisi direktiivin tietojen laatua vastaavien määräysten lisäksi noudattaa hyvää tietojenkäsittelytapaa. Henkilötietojen käsittelyn sekä arkaluonteisten tietojen käsittelyn edellytykset vastaavat direktiivin periaatteita. Käsittely tärkeän yleisen edun perusteella vaatisi valvontaviranomaisen luvan. Henkilötunnuksen käsittelyn edellytyksistä säädettäisiin erikseen viranomaisen ja yksityisen rekisterinpidon osalta. Luottotietotoiminnasta olisi laissa erikseen säännökset.

Velvollisuudesta informoida henkilöä ryhdyttäessä häntä koskevien tietojen käsittelyyn ehdotetaan säädettäväksi poikkeuksia direktiivin 13 artiklan mukaisesti. Rekisteröidyn tarkastusoikeutta rajoitettaisiin vastaavasti, minkä lisäksi tarkastusoikeutta ei olisi eräisiin tuomioistuimen käsittelemiin tietoihin eikä tieteellistä ja tilastollista tarkoitusta varten käsiteltäviin tietoihin.

Laissa ehdotetaan säädettäväksi erikseen yksityisen ja viranomaisen velvollisuudesta tehdä ilmoitus valvontaviranomaiselle ennen henkilötietojen käsittelyyn ryhtymistä sekä tästä velvollisuudesta tehtävistä poikkeuksista. Viranomaisen harjoittama henkilötietojen käsittely edellyttäisi eräissä tapauksissa valvontaviranomaisen lausunnon hankkimista etukäteen, ja yksityisen henkilörekisterin pitoa varten tulisi määrätyissä tapauksissa hankkia valvontaviranomaisen lupa. Henkilötietolainsäädännön noudattamista valvoo Tanskassa Datatilsynet.

Italian tietosuojalaki, Legge 31 dicembre 1996, n. 675 ― Tutela delle persone e di altri soggetti rispetto al trattamanto dei dati personal, tuli voimaan vuoden 1998 toukokuussa. Italiassa ei ollut aikaisemmin henkilötietojen käsittelyä koskevaa yleislakia. Lailla pyritään takaamaan, että luonnollisten henkilöiden yksityisyyteen liittyvät oikeudet sekä muutkin oikeudet ja vapaudet turvataan henkilötietojen käsittelyssä. Tavoitteena on myös varmistaa, että juridisten henkilöiden sekä muiden yhteisöjen oikeuksia kunnioitetaan henkilötietojen käsittelyssä. Lain soveltamisalaa on rajoitettu erikseen lueteltujen erityislakien ja säädösten mukaisen rekisterinpidon osalta, kuten maanpuolustukseen, kansalliseen turvallisuuteen sekä rikosten estämistoimiin ja esitutkintaan liittyen. Rekisterinpidon lainmukaisuutta ja rekisteröityjen oikeuksia valvoo tehtävää varten perustettava valvontaviranomainen.

Lain mukaan henkilötietojen käsittelyyn ryhtyvän tulee tehdä ilmoitus valvontaviranomaiselle. Menettelystä henkilötietoja kerättäessä sekä tietojen laatua koskevista periaatteista säädetään direktiivin mukaisesti. Samoin velvollisuus antaa tietoja rekisteröidylle sekä sen poikkeukset vastaavat direktiivin periaatteita. Rekisteröity voi oikeutetulla perusteella vastustaa häntä koskevien tietojen käsittelyä, vaikka käsittely vastaisikin rekisterin käyttötarkoitusta.

Henkilötietojen käsittelyn määrittely vastaa direktiiviä. Tietojen luovuttamisesta on laissa silti omat säännökset. Henkilötietojen käsittelystä ja luovuttamisesta säädetään laissa erikseen yksityisen henkilön ja valtionyhtiön sekä toisaalta viranomaisen osalta. Ensiksi mainittujen osalta säädetään direktiivin mukaisten käyttötarkoitusten lisäksi käsittelystä tieteelliseen ja tilastolliseen tarkoitukseen edellyttäen, että tietoja käsitellään tunnistamattomassa muodossa. Lisäksi on mainittu julkisten rekisterien ja tiedostojen pitäminen sekä liiketoiminnan harjoittamiseen liittyvä tietojenkäsittely. Tietojen luovutusperusteet ovat pääosin samat, lisäksi viitataan eräisiin erityissäännöksiin. Viranomaisella on oikeus käsitellä ja luovuttaa henkilörekisteritietoja sille säädettyjen tehtävien suorittamiseksi. Tietojen luovutus edellyttää ilmoituksen tekemistä valvontaviranomaiselle. Muille kuin viranomaisille henkilötietoja voidaan luovuttaa, jos siitä on erikseen säädetty.

Laissa on erikseen luku tietojen käsittelemisestä erityisiin tarkoituksiin. Siihen sisältyvät säännökset arkaluonteisten tietojen käsittelyn edellytyksistä sekä esimerkiksi säännökset ammattimaisiin journalistisiin tarkoituksiin liittyvien tietojen käsittelystä. Arkaluonteisten tietojen käsittely edellyttää rekisteröidyn kirjallista suostumusta sekä valvontaviranomaisen lupaa. Henkilötunnuksen käsittelystä ei ole säännöksiä.

Kreikan parlamentti hyväksyi uuden henkilötietojen suojaa koskevan lain, jonka englanninkielisenä nimikkeenä on Law on the Protection of Individuals with regard to the Processing of Personal Data; no 2472/1997, huhtikuussa 1997. Lain tavoitteena on vakiinnuttaa henkilötietojen käsittely ja turvata erityisesti ihmis- ja perusoikeudet sekä yksityiselämän suoja. Henkilötietojen suojaa koskevien säännösten toimeenpanoa valvoo itsenäinen valvontaviranomainen.

Henkilötietojen käsittelyn määrittely sekä henkilötietojen laatua koskevat periaatteet vastaavat laissa direktiivin vaatimuksia. Myös henkilötietojen käsittelylle säädetyt edellytykset vastaavat direktiivin periaatteita. Laissa ei ole säännöksiä henkilötietojen käsittelystä erityisiä tarkoituksia varten; sen sijaan valvontaviranomainen on valtuutettu laissa antamaan määräyksiä muista tietojenkäsittelyyn oikeuttavista tilanteista edellyttäen, ettei rekisteröityjen oikeuksia loukata. Henkilötietojen käsittelystä tulee tehdä aina valvontaviranomaiselle kirjallinen ilmoitus. Valvontaviranomainen voi myöntää laissa säädettyjen edellytysten täyttyessä arkaluonteisten tietojen käsittelyyn määräaikaisen luvan.

Rekisteröidyn tarkastusoikeus voidaan evätä valvontaviranomaisen päätöksen perusteella, jos tiedot liittyvät kansalliseen turvallisuuteen taikka erityisen vakavan rikoksen tutkintaan. Rekisteröidyn tiedonsaantioikeuksia on rajoitettu myös julkisessa asemassa olevia henkilöitä koskevien tietojen osalta pidettäessä rekisteriä journalistisiin tarkoituksiin. Henkilötunnuksen käsittelystä ei ole säännöksiä. Tiedostojen yhdistämisestä säädetään laissa erikseen.

Alankomaissa on annettu henkilötietojen suojaa koskeva lakiehdotus parlamentille. Henkilötietojen suojaa koskevan lain säännöksiä ei sovellettaisi eräiden erityislakien täytäntöönpanoon liittyvään henkilötietojen käsittelyyn, kuten esimerkiksi poliisilain ja vaalilain täytäntöönpanoon. Lakia sovelletaan rajoitetusti journalistisiin, taiteellisiin tai kirjallisiin tarkoituksiin pidettäviin rekistereihin. Lain toimeenpanoa valvovana viranomaisena toimisi tehtävää varten asetettava lautakunta. Rekisterinpitäjä tai rekisterinpitäjien organisaatio voisivat myös asettaa oman tietosuojahenkilönsä, jonka tehtävänä olisi lain mukaan valvoa ja edistää rekisterinpitäjän rekisterinpidon lainmukaisuutta.

Henkilötietojen käsittely sekä käsittelyssä noudatettavia periaatteita koskevat säännökset vastaavat direktiivin tietojen laatua koskevia vaatimuksia. Tietojen käsittelyn yhteensopivuuden arvioimiseksi rekisterin käyttötarkoitukseen nähden on laissa luettelo huomioon otettavista seikoista. Laissa säädettäisiin direktiivin mukaisista käyttötarkoituksista. Rekisterinpitäjän tulisi tehdä ennen toiminnan aloittamista ilmoitus valvontaviranomaiselle, jos tietoja käsitellään automaattisen tietojenkäsittelyn avulla. Määrätyissä tapauksissa toimintaa edeltää ennakkotarkastus, kuten esimerkiksi eräissä tapauksissa käsiteltäessä henkilötunnusta tai käsiteltäessä rikolliseen menettelyyn liittyviä tietoja. Laissa esitetään säädettäväksi omassa luvussaan erityisten henkilötietojen käsittelystä. Luvun pykälissä säädettäisiin erikseen kunkin arkaluonteisena pidettävän tietotyypin käsittelyn edellytyksistä. Luvussa olisi lisäksi säännökset henkilötunnuksen käsittelystä.

Rekisteröidyn tarkastusoikeuteen kuuluisi tiedon saaminen siitä, onko häntä koskevia henkilötietoja käsitelty neljän viikon aikana. Tarkastusoikeutta on lakiehdotuksessa rajoitettu yleistä etua koskevista syistä sekä rekisteröidyn itsensä tai jonkun muun etujen suojaamiseksi.

Iso-Britanniassa annettiin hallituksen esitys uudeksi henkilötietolaiksi, Data Protection Bill, parlamentille tammikuussa 1998. Lailla kumottaisiin vuodelta 1984 oleva Data Protection Act. Voimassa olevalla lailla perustettu valvontaviranomainen, the office of Data Protection Registrar, jatkaisi edelleen tehtävissään, uudella nimellä the office of Data Protection Commissioner.

Henkilötietojen käsittely on määritelty lakiehdotuksessa direktiivin mukaisesti. Henkilötietojen käsittelyssä noudatettavat periaatteet luetellaan tarkemmin lakiehdotuksen liitteenä olevassa luettelossa (Schedule 1). Periaatteet vastaavat direktiivin tietojen laatua koskevia säännöksiä, minkä lisäksi niihin kuuluisivat eräät lain mukaiset velvoitteet, kuten niiden määräysten noudattaminen, jotka koskevat tietojen siirtoa kolmansiin maihin. Myös henkilötietojen käsittelyn edellytykset luetelleen direktiivin liiteosassa (Schedule 2).

Henkilötietojen automaattisesta käsittelystä tulisi tehdä laissa määritelty ilmoitus valvontaviranomaiselle ennen toiminnan aloittamista. Julkinen rekisterinpito ei edellytä vastaavaa ilmoitusta. Eräin edellytyksin ministeri voisi päätöksellään vapauttaa määrätynlaisen toiminnan ilmoitusvelvollisuuden piiristä. Eräissä tapauksissa ministeri voisi määrätä tehtäväksi etukäteisilmoituksen tietojen käsittelystä.

Lain osassa IV säädettäisiin eräiden eri tarkoituksia varten pidettävien rekistereiden osalta, miltä osin rekisterinpidossa voidaan poiketa tietosuojaa koskevista säännöksistä. Poikkeuksiin oikeuttaisi esimerkiksi kansallista turvallisuutta, rikosten ehkäisemistä ja selvittämistä koskeva rekisterinpito samoin kuin henkilötietojen käsittely journalistisia, taiteellisia ja kirjallisia tarkoituksia taikka tutkimustoimintaa varten. Ministeri valtuutettaisiin laissa määräämään tarvittaessa poikkeuksista eräistä lain säännöksistä rekisteröidyn suojaamiseksi tai yksilön oikeuksien ja vapauksien turvaamiseksi.

Espanjan henkilötietojen suojaa koskeva laki, La Ley Org nica de regulaci¢n del tratamiento automatizado de los datos de car cter personal (5/1992) , on tullut voimaan vuoden 1993 alussa. Henkilötietojen suojaa koskevien säännösten noudattamista valvoo itsenäinen viranomainen, Agencia de Proteccion de Datos. Lain on katsottu vastaavan pitkälti tietosuojadirektiivin vaatimuksia. Direktiivin implementoiminen edellyttää kuitenkin eräitä muutoksia, joita koskeva lakiesitys pyritään antamaan lähiaikoina parlamentille.

Luxemburgissa valmistellaan parhaillaan lakiehdotusta.

Hallituksen esitys uudeksi henkilötietojen suojaa koskevaksi laiksi pyritään saamaan valmiiksi heinäkuun loppuun mennessä. Samoin Irlannissa on direktiivin edellyttämä lainvalmistelu vireillä. Irlannin nykyinen laki, Data Protection Act, on tullut voimaan vuonna 1989. Laki koskee vain automaattisen tietojenkäsittelyn avulla pidettäviä rekistereitä ja sen noudattamista valvoo The Data Protection Commissioner.

Myös Belgian henkilötietolainsäädäntöä valmistellaan parhaillaan ja lakiesitys pyritään antamaan ennen lokakuuta 1998. Voimassa oleva laki, Loi … la protection de la vie priv‚e … l'‚gard des traitements de donn‚es … caractŠre personnel, on vuodelta 1992. Laki vastaa pitkälti direktiivin vaatimuksia niin käsitteistöltään kuin sisällöltäänkin, mutta edellyttää kuitenkin eräitä tarkistuksia. Yksityisyyden suojan toteutumista valvoo itsenäinen viranomainen, La Commission de la protection de la vie priv‚e.

Samoin Ranskassa, Itävallassa, Saksassa ja Portugalissa on direktiivin edellyttämä säädösvalmistelu vireillä. Ranskassa on voimassa henkilötietojen rekisteröintiä koskeva laki vuodelta 1978, Loi N° 78―17 relative à l'informatique, aux fichiers et aux libertés. Lain noudattamista valvoo La Commission nationale de l'informatique et des libertés. Uusi laki pyritään saamaan voimaan vuoden 1999 alussa. Itävallan nykyinen henkilötietojen suojaa koskeva laki, Bundesgesetz óber den Schutz personenbezogener Daten (Datenschutzgesetz), on tullut voimaan vuonna 1980. Laissa säädetään tietosuojatoimikunnasta (Datenschutzkommission) sekä tietosuojaneuvostosta (Datenschutzrat).

Norja ja Islanti

Myös EU:iin kuulumattomat pohjoismaat, Norja ja Islanti, ovat Euroopan talousalueeseen (ETA) kuuluvina maina velvolliset tekemään EU:n direktiivin edellyttämät muutokset omaan tietosuojalainsäädäntöönsä. Näissäkin maissa valmistellaan tietosuojadirektiivin edellyttämää lainsäädäntöä.

Norjassa uutta lakia valmistellaan keväällä 1997 valmistuneen toimikunnan mietinnön pohjalta (NOU 1997:19). Voimassa oleva laki, Lov om personregister, on vuodelta 1978. Toimikunnan ehdotuksen mukaan henkilötiedon määritelmä ulotettaisiin koskemaan eräin edellytyksin myös kuolleita henkilöitä. Rekisteröidyn oikeuksista säädettäisiin direktiivin periaatteiden mukaisesti. Toimikunta ehdotti nykyiseen lakiin sisältyvän lupakäytännön jatkamista, mutta menettelyn korvaamista osittain ilmoitusvelvollisuudella ja ohjauksella. Laissa ehdotetaan säädettäväksi erikseen henkilötunnuksen käsittelyn edellytyksistä. Lisäksi toimikunta ehdotti luovuttavaksi voimassa olevan lain tavasta säätää erikseen eri rekisteröintitarkoitusten osalta. Nykyisellä lailla perustetun valvontaviranomaisen (Datatillsynet) itsenäistä asemaa ja toimivaltuuksia vahvistettaisiin. Ehdotuksen mukaiset valvontaviranomaisen päätöksistä tehtävät valitukset käsittelisi erityinen muutoksenhakuelin, Personvernnemnda.

Lainsäädäntö eräissä muissa maissa

Yhdysvalloissa ei ole yleistä tietosuojalainsäädäntöä eikä yleistä tietosuojaviranomaista. Henkilötietojen käsittelyä koskevaa lainsäädäntöä samoin kuin tuomioistuinkäytäntöä on kuitenkin sekä liittovaltio- että osavaltiotasolla. Yhdysvalloissa henkilötietojen suojan katsotaan sisältyvän yksityisyyden ("privacy") käsitteen piiriin. Eräiden osavaltioiden perustuslaeissa oikeus yksityisyyteen on nimenomaan turvattu.

Lainsäädäntö sekä liittovaltio- että osavaltiotasolla koskee yleensä yksilön suojelua sellaisilla alueilla, joilla tietosuojariskejä pidetään erityisen suurina. Yleensä sääntely koskee vain julkista sektoria. Vuoden 1974 Privacy Act koskee suurinta osaa liittovaltion viranomaisten pitämistä henkilörekistereistä. Lain tarkoituksena on suojella luonnollisia henkilöitä koskevia tietoja ja turvata rekisteröidylle tarkastusoikeus. Henkilötietoja saa periaatteessa luovuttaa vain rekisteröidyn suostumuksella. Viranomaisten on vuosittain julkaistava kuvaus ylläpitämistään henkilörekistereistä. Liittovaltiotasolla on Privacy Actin lisäksi eri hallinnonaloilla lukuisia erityislakeja, ja eri osavaltioissa on lainsäädäntöä, jossa säädetään henkilötietojen käsittelystä tietyillä hallinnonaloilla. Yhdysvalloissa on kuluvalla vuosikymmenellä pyritty lainmuutoksin parantamaan rekisteröityjen mahdollisuuksia tietojen saamiseen itseään koskevien henkilötietojen käsittelemisestä.

Kanadassa on sekä liittovaltiotasoista tietosuojalainsäädäntöä että lainsäädäntöä, jota sovelletaan ainoastaan eräissä liittovaltion provinsseissa. Liittovaltion tasolla henkilötietojen luovutusta ja käyttöä sääntelevät vuodesta 1983 lukien The Access to Information Act ja The Privacy Act. Vuosittain julkaistaan luettelo viranomaisista, jotka kuuluvat lainsäädännön piiriin sekä niistä, jotka käsittelevät henkilötietoja. The Privacy Act sääntelee henkilötietojen keräämistä liittovaltion viranomaisten rekistereihin sekä näiden tietojen käyttöä, säilyttämistä ja luovuttamista. Rekisteröidyllä on yleensä oikeus tarkastaa liittovaltion viranomaisten rekistereissä olevat itseään koskevat tiedot. Lain noudattamista valvoo erityinen asiamies, Privacy Commissioner of Canada. Kanadassa on ollut esillä tarve uudistaa kansallinen henkilötietojen suojaa koskeva lainsäädäntö vastaamaan tietosuojadirektiivin edellyttämää tietosuojan tasoa. Direktiivin vaatimukset tietojensiirron edellytyksistä kolmansiin maihin vaativat yksityisyyden suojan nostamista riittävälle tasolle.

Australian tietosuojalaki The Commonwealth Privacy Act on vuodelta 1988. Laki koskee sekä liittovaltion lainsäädäntövallan piiriin kuuluvaa julkista sektoria (Commonwealth Agencies) että pääkaupunkialueen (Australian Capital Territory) hallintoa. Laki sisältää yksitoista tietosuojaperiaatetta, joita viranomaisten on noudatettava. Periaatteet rakentuvat OECD:n tietosuojasuosituksen pohjalle. Laissa on henkilöluottotietoja ja veroviranomaisten henkilötunnisteen käyttöä koskevia säännöksiä, joilta osin laki koskee myös yksityistä sektoria. Lain noudattamista valvoo tietosuoja-asiamies, the Privacy Commissioner.

Uudessa Seelannissa on voimassa Privacy Act vuodelta 1993. Lain tarkoituksena on edistää ja suojella henkilöiden yksityisyyttä ja se noudattelee OECD:n tietosuojasuosituksen periaatteita. Lakiin sisältyy kaksitoista tietosuojaperiaatetta, jotka koskevat henkilötietojen käsittelyä. Laki koskee sekä julkista että yksityistä sektoria, ja lain säännöksistä voidaan poiketa erityislainsäädännöllä. Lain noudattamista valvoo Privacy Commissioner. Kaikkien henkilötietoja käsittelevien virastojen tulee nimittää tietosuojavirkamies (Privacy Officer), jonka velvollisuuksiin kuuluu edistää lain tietosuojaperiaatteiden noudattamista.

Japanin vuodelta 1988 oleva tietosuojalaki (Act for Protection of Computer-Processed Personal Data held by Administrative Organs) koskee vain julkista sektoria ja automaattista tietojenkäsittelyä. Myös valtionyhtiöiden on pyrittävä noudattamaan lain säännöksiä. Laki mukailee OECD:n tietosuojasuosituksen periaatteita. Lain mukaan rekisterien perustaminen on sallittua vain viranomaisten laissa säädettyjen tehtävien suorittamiseksi. Eräissä tapauksissa ennen atk-rekisterin perustamista tulee tehdä ilmoitus lain valvonnasta vastaavalle toimielimelle, Management and Coordination Agencylle (MCA) . Ilmoitukset julkaistaan hallituksen virallisessa lehdessä. Japanissa on myös paikallista tietosuojalainsäädäntöä, joka noudattelee kansallista tietosuojalakia.

2.4. Nykytilan arviointi

Henkilörekisterilain voimaantulosta on kulunut kymmenen vuotta. Tässä ajassa niin yhteiskunnallinen kuin tekninenkin kehitys on edennyt, minkä vuoksi henkilörekisterilainsäädäntö kaipaa ajanmukaistamista ja selkeyttämistä. Eduskunta on vastauksessaan hallituksen esitykseen laeiksi henkilörekisterilain ja yleisten asiakirjain julkisuudesta annetun lain 18 a §:n muuttamisesta sekä laiksi tietosuojalautakunnasta ja tietosuojavaltuutetusta (HE 311/1993 vp) edellyttänyt, että mahdollisimman pian selvitetään henkilörekisterilainsäädännön kokonaistarkistuksen tarve. Lainsäädännön uudistamistyössä on otettu huomioon tämä lausuma. Vaikkei laajempaa kartoitusta nykylainsäädännön soveltamisessa ilmenneistä ongelmista olekaan voitu käytettävissä olleen ajan puitteissa tehdä, näyttää siltä, ettei tässä vaiheessa olisi tarvetta henkilörekisterilain perusteelliseen kokonaisuudistukseen. Käytännön kokemuksista ja myös henkilötietotoimikunnan kuulemistilaisuuksissa esiin tulleiden kommenttien vuoksi eräät yksityiskohdat vaativat kuitenkin täsmentämistä ja myös asiallisia muutoksia. Esimerkiksi henkilötunnuksen käytön perusteiden määrittelylle on direktiivin asettaman lainsäädäntötoimeksiannon lisäksi myös selvä kansallinen tarve.

Henkilötietojen suojasta säädetään hallitusmuodon 8 §:n 1 momentin mukaan tarkemmin lailla. Nykyisessä henkilörekisteriasetuksessa on joitakin sellaisia säännöksiä, jotka perusoikeusuudistuksen myötä kuuluvat laintasolla säädettäviin asioihin.

Hallitusmuodon 10 §:n 2 momentissa säädetään julkisuusperiaatteesta. Tämän säännöksen mukaan viranomaisen hallussa olevat asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Jokaisella on oikeus saada tieto julkisesta asiakirjasta ja tallenteesta. Tietosuojadirektiivin johdanto-osan 72 kohdan mukaan julkisuusperiaate voidaan ottaa huomioon direktiivin säännöksiä täytäntöön pantaessa. Yksityisyyden suoja ja julkisuusperiaate on siten lain tasolla sopeutettava toisiinsa. Henkilöluottotietojen rekisteröintiin liittyviä muutostarpeita ovat esittäneet muun muassa tietosuojavaltuutettu oikeusministeriölle tekemissään aloitteissa (28.10.1993 dnro 543/44/93 ja 10.10.1994 dnro 325/44/94) ja Suomen Kuluttajaliitto oikeusministeriölle 24 päivänä toukokuuta 1994 tekemässään aloitteessa.

Henkilörekisterilainsäädännön tarvittavat tarkistukset voitaisiin toteuttaa osittaisuudistuksella. Koska havaittujen niin sanonnallisten kuin asiallistenkin tarkistusten ja täsmennysten sisällyttäminen nykyiseen lakiin olisi vaikeaa, on laki selvyyden vuoksi perusteltua kirjoittaa kokonaan uudelleen.

Henkilötietojen käsittelyn tekniikat ovat kehittyneet henkilörekisterilain voimassaoloaikana nopeasti ja on nähtävissä, että tällainen kehitys tulee jatkumaan. Kuten nykyisessä laissa myös ehdotuksessa on pyritty välineneutraaliin sääntelyyn. Säännökset on tämän vuoksi kirjoitettu siten, ettei sanamuotoja ole sidottu tietynlaiseen tekniikkaan.

3.1. Tavoitteet ja keinot niiden saavuttamiseksi

Uudistuksen pääasiallisena tavoitteena on saattaa kansallinen lainsäädäntö vastaamaan tietosuojadirektiiviä ottaen kuitenkin huomioon direktiivin mahdollistama kansallinen liikkumavara. Henkilötietojen käsittelyä koskeviin säännöksiin ehdotetaan tehtäväksi myös perusoikeusuudistuksesta johtuvat tarkistukset.

Sekä tietosuojadirektiivi että perusoikeusuudistus merkitsevät yksilöiden perusoikeuksien ja -vapauksien korostumista entisestään myös henkilötietojen käsittelyssä. Siten uudistuksen tavoitteena on myös lisätä yksilöiden itsemääräämisoikeuden edellyttämiä tietojensaantioikeuksia ja siten parantaa ihmisten mahdollisuuksia valvoa itseään koskevien tietojen käyttöä.

Suomen henkilörekisterilain katsotaan kuuluvan toisen sukupolven tietosuojalakeihin, joissa on omaksuttu rekisteritoimintojen ohjaus yleisvelvoitteiden avulla sekä tunnustettu rekisterinpitäjien ja heitä edustavien järjestöjen itsesääntely hyvän rekisteritavan kehittämisessä. Tämä henkilörekisterilain toiminnallinen tavoite korostuu direktiivin johdosta entisestään.

Tavoitteiden toteuttamiseksi ehdotettavat toimenpiteet käyvät ilmi seuraavasta.

3.2. Keskeiset ehdotukset ja valmistelun periaatteet

Yleistä

Ehdotettavat muutokset johtuvat pääosin tietosuojadirektiivistä sekä perusoikeusuudistuksesta. Lisäksi voimassa olevaan henkilörekisterilakiin kohdistuu myös eräitä yksityiskohtaisia muutostarpeita.

Esitystä laadittaessa on pidetty tavoiteltavana, että direktiivi voitaisiin saattaa voimaan mahdollisimman selkeällä ja kansalliseen lainsäädäntöön sopeutuvalla tavalla. Tästä syystä on päädytty ehdottamaan nykyisen henkilörekisterilain korvaamista uudella henkilötietolailla. Uusi laki rakentuisi kuitenkin monilta osin nykyisen henkilörekisterilain pohjalle.

Henkilötietojen käsittelyn sääntelyn tavoitteiden selkeyttäminen

Tietosuojadirektiivin tavoitteisiin kuuluu turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti oikeus yksityisyyteen henkilötietojen käsittelyssä. Tämä samoin kuin toteutettu perusoikeusuudistus edellyttävät, että henkilötietojen käsittelyn sääntelyn tavoitteita selkeytetään.

Yksilön oikeus itseään koskeviin tietoihin ilmentää länsimaisen demokratian keskeisiä arvoja, kuten oikeutta ihmisarvoiseen kohteluun, itsemääräämisoikeuteen, henkilökohtaiseen vapauteen ja yksityiselämän suojaan. Henkilötietojen sääntelyjärjestelmien toimivuus ja yleinen hyväksyntä on riippuvainen paitsi siitä, kuinka hyvin lainsäädännössä onnistutaan tasapainottamaan erilaiset tietoon ja sen saatavuuteen liittyvät arvot, myös siitä, kuinka hyvin rekisterinpitäjät ja muut henkilötietojen käsittelyyn osallistuvat ymmärtävät lainsäädännön tavoitteet ja sääntelyn taustalla olevat ihmisten perusoikeudet. Lainsäädännön tavoitteiden ymmärrettävyyden lisäämiseksi ehdotetaan, että lakiin otetaan erillinen lain tarkoitusta määrittelevä säännös, jossa lain liittyminen perusoikeuksiin ilmenee selvästi ja että perusoikeudet mainitaan myös rekisterinpitäjän huolellisuusvelvoitetta koskevassa säännöksessä.

Käsitteet

Ehdotetussa laissa määritellään lain keskeiset käsitteet, kuten henkilötieto, henkilörekisteri, rekisterinpitäjä ja rekisteröity. Suurin osa määritellyistä käsitteistä sisältyy myös nykyiseen lakiin. Uusina käsitteinä ehdotetussa laissa määritellään tietosuojadirektiivistä johtuva henkilötietojen käsittely, sivullinen ja suostumus. Ehdotuksessa ei ole pidetty tarpeellisena määritellä kaikkia tietosuojadirektiivissä käytettyjä käsitteitä. Vaikka lakiehdotukseen sisältyvät käsitemäärittelyt, kuten rekisterinpitäjä, poikkeavat jossain määrin sanonnallisesti tietosuojadirektiivin vastaavista määritelmistä, käsitteet vastaavat asiallisesti toisiaan.

Nykyisen henkilörekisterilain sääntelyssä edetään henkilötietojen elinkaariajattelun pohjalta siten, että laissa säädetään erikseen henkilötietojen keräämisestä, tallettamisesta, käytöstä, luovuttamisesta ja hävittämisestä. Direktiivissä sen sijaan säädetään henkilötietojen käsittelystä, joka sisältää kaikki ne toiminnot, joita henkilötietoihin voi kohdistua.

Säädöstasoa koskevat muutokset

Hallitusmuodon uudet perusoikeussäännökset merkitsevät sekä aineellista että muodollista perusoikeuksien suojaa. Jälkimmäiseen kuuluu se, ettei perusoikeuksia voida rajoittaa muutoin kuin lailla. Myös hallitusmuodossa säädetyt lainsäädäntötoimeksiannot edellyttävät, että perusoikeuden suojasta säädetään tarkemmin lailla. Viimeksi mainittuihin kuuluu hallitusmuodon 8 §:n 1 momentin säännös, jonka mukaan henkilötietojen suojasta säädetään lailla.

Voimassa olevaan henkilörekisterilainsäädäntöön sisältyy myös monia, osin keskeisiäkin säännöstöjä, jotka on säädetty asetuksella. Tärkeimpinä näistä voidaan pitää henkilörekisteriasetuksen säännöksiä erityisrekistereistä, joita ovat tutkimustoimintaan, tilastotoimintaan, mielipide- ja markkinatutkimukseen, suoramarkkinointiin ja osoitepalveluun, luottotietotoimintaan sekä sukututkimukseen ja henkilömatrikkelien laadintaan käytettävät rekisterit. Nämä säännökset ehdotetaan siirrettäviksi osin tarkistettuina lakiin.

Arkaluonteisten tietojen käsittely

Arkaluonteisten henkilötietojen käsittelykielto koskee tietosuojadirektiivin mukaan, toisin kuin henkilörekisterilaissa, myös henkilön kuulumista ammattiyhdistykseen. Tämän vuoksi lakiin ehdotetaan otettavaksi tätä koskeva täydennys. Lakiin ehdotetaan nykyiseen tapaan otettavaksi säännökset niistä tilanteista, joissa arkaluonteisia tietoja voidaan käsitellä. Tietosuojalautakunta on voinut voimassa olevan lainsäädännön nojalla antaa poikkeusluvan arkaluonteisten tietojen käsittelyyn. Ehdotuksen mukaan tietosuojalautakunta voisi antaa luvan arkaluonteisten tietojen käsittelyyn direktiivissä tällaisten tietojen käsittelylle säädettyjen edellytysten täyttyessä.

Henkilötunnuksen käsittelyn perusteiden määrittely

Henkilötunnuksen tallettamista ja käyttöä arvioidaan nykyisin henkilörekisterilain yleisten säännösten mukaisesti. Tietosuojadirektiivi edellyttää, että jäsenvaltiot määrittelevät ne olosuhteet, joissa henkilötunnusta ja muuta yleisesti käytössä olevaa tunnistetta saa käsitellä. Tietosuojadirektiivin ja myös kansallisten tarpeiden vuoksi esityksessä ehdotetaan, että henkilötunnuksen käsittelystä säädettäisiin laissa nimenomaisesti.

Henkilöluottotietojen käsittely

Rekisteröidyn aseman parantamiseksi henkilöluottotietojen käsittelyssä ehdotetaan, että luottotietorekisteriin saisi maksuhäiriö- ja muiden tietojen lisäksi rekisteröidyn pyynnöstä tallettaa myös tiedon maksuhäiriömerkinnän aiheuttaneen maksun suorittamisesta sekä tiedon rekisteröidyn itsensä ilmoittamasta luottokiellosta. Tiedolla maksun suorittamisesta on merkitystä, kun luotonantaja arvioi rekisteröidyn sitoumusten hoitokykyä ja maksuhalukkuutta. Tiedon tallettaminen rekisteröidyn itsensä ilmoittamasta luottokiellosta vastaisi tietosuojalautakunnan poikkeuslupapäätökseen perustuvaa käytäntöä. Henkilötietolaissa ehdotetaan myös säädettäväksi luottotietorekisterissä olevien tietojen säilytysajoista.

Henkilötietojen siirto EU:n ulkopuolelle

Tietosuojadirektiivin keskeinen tavoite on turvata henkilötietojen vapaa liikkuvuus EU:n sisällä. Jäsenvaltio ei saa estää henkilötiedon siirtämistä toiseen jäsenvaltioon yksityisyyden suojaan liittyvistä syistä. Tietosuoja ei myöskään saa estää henkilötietojen siirtoa sellaisiin kolmansiin maihin, jotka voivat turvata tietosuojan riittävän tason. Jos tietosuojan taso kolmannessa maassa ei ole riittävä, henkilötietojen siirto kyseiseen maahan on pääsääntöisesti kiellettävä.

Lakiin ehdotetaan otettavaksi säännökset siitä, milloin henkilötietojen siirto kolmanteen maahan on sallittua.

Rekisteröidyn oikeuksien laajentaminen

Rekisteröidyn oikeuksiin kuuluu oikeus vaikuttaa häntä koskevien tietojen käsittelyyn sekä oikeus päättää itseään koskevien tietojen käytöstä, jollei laissa toisin säädetä. Rekisteröidyn oikeudesta tarkastaa itseään koskevat tiedot on säädetty jo nykyisin henkilörekisterilaissa. Sen sijaan rekisterinpitäjän velvollisuus toimittaa rekisteröidylle oma-aloitteisesti tietoa henkilötietojen käsittelystä koskee voimassa olevan lain mukaan vain tiettyjä tilanteita. Tietosuojadirektiivin 10 ja 11 artiklan pääsäännön mukaan rekisterinpitäjän tiedonantovelvollisuuden tulisi koskea kaikkea henkilötietojen käsittelyä. Myös perusoikeussäännöksistä seuraa, että yksilön itsemääräämisoikeutta ja vaikutusmahdollisuuksia on lisättävä. Mainituista syistä lakiin ehdotetaan otettaviksi uudet rekisteröidyn tiedonsaantioikeuksia koskevat säännökset. Niiden mukaan rekisterinpitäjä on velvollinen pyytämättä antamaan rekisteröidylle tietoja henkilötietojen käsittelystä.

Rekisteröidyn aseman turvaamiseen tähtää myös lakiehdotukseen sisältyvä direktiivin edellyttämä niin sanottuja automatisoituja päätöksiä koskeva pääsääntöinen kielto.

Rekisterinpitäjien itseohjauksen korostaminen

Jo henkilörekisterilakia säädettäessä korostettiin rekisterinpitäjien ja heitä edustavien järjestöjen osuutta toimialakohtaisen hyvän rekisteritavan luomisessa, mitä ilmentävät muun muassa henkilörekisterilain 3 §:n säännökset yleisestä huolellisuusvelvoitteesta ja hyvän rekisteritavan toteuttamisesta.

Tietosuojadirektiivin 27 artikla edellyttää, että jäsenvaltiot edistävät sellaisten käytännesääntöjen laatimista, joiden tarkoituksena on kansallisten säännösten moitteeton soveltaminen eri alojen erityispiirteet huomioon ottaen. Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjiä edustavat järjestöt, jotka ovat laatineet käytännesääntöjä, voivat saattaa luonnoksensa valvontaviranomaisen tutkittavaksi sen varmistamiseksi, että suunnitellut säännöt vastaavat kansallisia säännöksiä. Edellä mainittujen velvoitteiden täyttämiseksi ehdotetaan, että lakiin otetaan säännökset toimialakohtaisista käytännesäännöistä.

Tietojen käsittelyn valvonta

Tietosuojadirektiivin 18 artikla sisältää säännökset ilmoitusvelvollisuudesta tietosuojaviranomaiselle. Artikla velvoittaa jäsenvaltiot säätämään siitä, että rekisterinpitäjän tai tarvittaessa tämän edustajan on ilmoitettava henkilötietojen automaattisesta käsittelystä valvontaviranomaiselle. Ilmoitusvelvollisuus on artiklassa pääsääntönä. Siitä voidaan poiketa artiklassa mainituilla perusteilla.

Rekisterinpitäjän velvoitteet yksityisyyden suojaamiseksi ja rekisteröidyn oikeuksien turvaamiseksi rekisterinpidossa ja henkilötietojen käsittelyssä on nykyisessä laissa pyritty perustamaan lain säännöksille sellaisenaan ja rajoittamaan hallinnolliset ilmoitusmenettelyt vain sellaisiin tilanteisiin, joissa ilmoitusvelvollisuutta on pidetty yksityisyyden suojan turvaamiseksi erityisen perusteltuna. Ehdotetussa laissa on pyritty säilyttämään nykyinen oikeustila siinä määrin kuin se on direktiivin puitteissa mahdollista. Rekisteröidyn yksityisyyden suoja perustuisi siten edelleen lain säännöksille sellaisenaan ja hallinnolliset ilmoitusmenettelyt rajattaisiin vain välttämättömimpiin tilanteisiin. Tällöin ilmoitusmenettely ei viranomaisessa ole pelkästään saapuneiden ilmoitusten toteamista, vaan lähtökohtana on ilmoituksen tarkoittaman tietojen käsittelyn yksityiskohtaisempi tarkastelu ja mahdollinen enempiin toimenpiteisiin ryhtyminen.

Tietosuojadirektiivin 20 artikla sisältää säännökset ennakkotarkastuksesta. Artiklassa jäsenvaltiot velvoitetaan määrittelemään sellaiset henkilötietojen käsittelyt, joista saattaa aiheutua erityisiä riskejä rekisteröityjen oikeuksille ja vapauksille. Tietosuojaviranomaisen olisi tarkastettava tällaiset käsittelyt ennen niiden toteuttamista. Artiklan 3 kohdan nojalla jäsenvaltiot voivat toteuttaa tällaisen tarkastustoimenpiteen myös kansallisen lainsäädännön säätämisen yhteydessä. Ehdotettu laki sisältäisi nykyisen henkilörekisterilain tavoin tietosuojavaltuutetulle hyvin kattavan tiedonsaanti- ja tarkastusoikeuden sekä muut toimivaltasäännökset. Osaltaan henkilötietojen käsittelyn ennakollinen tarkastus toteutuu myös tietosuojalautakunnan lupamenettelyllä. Ottaen huomioon myös sen, että ehdotettu ilmoitus tietosuojavaltuutetulle on tehtävä ennen siinä tarkoitettuun toimenpiteeseen ryhtymistä, ei lakiehdotusta laadittaessa ole nähty sijaa ja perusteita tietosuojadirektiivin 20 artiklan mahdollistamalle erityiselle ennakkotarkastusmenettelylle. On lisäksi huomattava, että erityisesti julkishallinnossa useiden suurien rekisterien pito perustuu erityislainsäädäntöön. Yksityisyyden suoja ja rekisteröidyn oikeuksien ja vapauksien turvaaminen voidaan tällöin ottaa huomioon lainvalmistelussa. Tällaiseen lainsäädäntöön saattaa olla tarpeen sisällyttää myös tietosuojaviranomaisten myötävaikutusta edellyttäviä erityissäännöksiä.

Tietosuojaviranomaisten tehtävät

Nykyisen lain mukaan tietosuojavaltuutettu ei ole voinut tehdä rekisterinpitäjää sitovia päätöksiä. Tietosuojavaltuutetun toimivaltuuksia ehdotetaan tarkistettavaksi siten, että tietosuojavaltuutetun virheen oikaisua ja tarkastusoikeuden toteuttamista koskevat päätökset tulisivat asianosaisia velvoittaviksi. Ehdotuksen mukaan nämä päätökset olisivat valituskelpoisia.

Sekä perusoikeusuudistuksen että tietosuojadirektiivin vuoksi on tietosuojalautakunnan yleisestä poikkeuslupatoimivallasta luovuttava. Henkilötietojen käsittelyn monialaisuuden vuoksi lainsäädännössä ei kuitenkaan ole mahdollista ennakoida kaikkia niitä tilanteita, joissa henkilötietojen käsittely voitaisiin sallia muissakin kuin laissa säännellyissä tyyppitilanteissa. Tämän vuoksi ehdotetaan, että tietosuojalautakunta voisi myöntää luvan henkilötietojen käsittelyyn. Luvan myöntämistä koskevien säännösten avulla varmistettaisiin, että tämä menettely täyttää tietosuojadirektiivin ja hallitusmuodon asettamat vaatimukset.

Suhde julkisuuslainsäädäntöön

Direktiivi mahdollistaa julkisuusperiaatteen huomioon ottamisen kansallisessa lainsäädännössä. Tämä todetaan nimenomaisesti direktiivin johdanto-osan 72 kohdassa. Luovutettaessa tietoja viranomaisten henkilörekistereistä on huomioon otettava julkisuusperiaate ja salassapitosäännökset. Julkisuusperiaatteen toteuttamistavoista ja yleisimmistä salassapitoperusteista on tarkoitus säätää ehdotetussa laissa viranomaisten toiminnan julkisuudesta. Hallituksen esitys laiksi viranomaisten toiminnan julkisuudesta ja siihen liittyviksi laeiksi (HE 30/1998 vp) on eduskunnan käsiteltävänä. Yhdenmukaisuuden vuoksi on tarkoituksenmukaista, että tietojen luovuttamisesta viranomaisten tiedostoista säädettäisiin laissa viranomaisten toiminnan julkisuudesta.

4.1. Vaikutukset kansalaisiin ja rekisterinpitäjiin

Ehdotetun lain keskeisenä tavoitteena on hallitusmuodon 8 §:n ja tietosuojadirektiivin säännöksistä johtuen yksityisyyden suojan toteuttaminen henkilötietojen käsittelyssä. Tämä ilmenee lain tavoitesäännöksen lisäksi muun muassa rekisteröidyn oikeuksien, kuten tiedonsaantioikeuden ja vaikutusmahdollisuuksien parantamisessa ja henkilötunnuksen käytön sääntelyssä.

Tietosuojadirektiivin tavoitteena on turvata henkilötietojen vapaa liikkuvuus EU:n jäsenvaltioiden välillä ja tähän liittyen yhtenäistää tietosuojan sääntelyn tasoa EU:n jäsenvaltioissa. Samalla kun tietosuojaa EU:n jäsenvaltioissa yhtenäistetään riittävän korkealle tasolle, voidaan yksityisyyden suojaa vaarantamatta toteuttaa henkilötietojen vapaa liikkuvuus EU:n jäsenvaltioiden välillä. Ehdotetulla lailla toteutetaan myös tietosuojadirektiivin tätä tavoitetta.

4.2. Taloudelliset vaikutukset

Ehdotettuun lakiin ei nykyiseen henkilörekisterilakiin verrattuna sisälly sellaisia uudistuksia, joilla olisi merkittäviä taloudellisia vaikutuksia. Riippuen siitä, millä tavoin rekisterinpitäjä hankkii käsittelemiään henkilötietoja ja jo nykyään informoi rekisteröityjä henkilötietojen käsittelystä, rekisterinpitäjille voi aiheutua jonkin verran kustannuksia ehdotetusta velvollisuudesta huolehtia rekisteröidyn informoimisesta henkilötietojen käsittelystä, lähinnä tämän velvollisuuden teknisestä toteuttamisesta. Lisäksi on huomattava, että rekisterinpitäjällä olisi kolmen vuoden siirtymäaika saattaa ennen ehdotetun lain voimaantuloa käynnistetty henkilötietojen käsittely henkilötietolain säännösten mukaiseksi. Rekisterinpitäjän ilmoitusvelvollisuus tietosuojavaltuutetulle johtuu tietosuojadirektiivistä. Ilmoitusvelvollisuus on pyritty muotoilemaan ehdotuksessa niin suppeaksi kuin se direktiivi huomioon ottaen on mahdollista, jotta se ei aiheuttaisi byrokratiaa eikä suuria taloudellisia kustannuksia. Rekisterinpitäjille aiheutuu jossain määrin kustannuksia myös uuden lain voimaantuloon liittyvistä koulutustarpeista.

Rekisterinpitäjälle ehdotetulla velvollisuudella laatia rekisteriseloste myös manuaalisesta henkilörekisteristä ei ole mainittavia taloudellisia vaikutuksia. Jo nykyisen lain perusteella rekisterinpitäjä on pyydettäessä velvollinen antamaan samat tiedot manuaalirekisteristä.

Ehdotus sisältää eräitä tietosuojaviranomaisten toimivaltaa koskevia tarkistuksia. Näillä ei sellaisenaan ole kustannusvaikutuksia. Direktiivin täytäntöönpano ja tietosuojan yhtenäistäminen EU:n puitteissa aiheuttaa kuitenkin yhteistyön tarvetta, joka voi lisätä kustannuksia.

4.3. Vaikutukset hallintoon ja hallintolainkäyttöön

Tietosuojan viranomaisorganisaatio säilyisi vähäisin toimivallan tarkistuksin nykyisellään. Muutoksenhaun ohjaamisella tietosuojavaltuutetun ja tietosuojalautakunnan päätöksistä lääninoikeuteen ja edelleen korkeimpaan hallinto-oikeuteen ei ole vaikutusta näiden tuomioistuinten toimintaan kyseisten päätösten suhteellisen vähäisen määrän vuoksi. Muutoksenhaun uudistaminen olisi hallintolainkäyttölain (586/1996) periaatteiden ja hallintotuomioistuintoimikunnan (komiteanmietintö 1997:4) ehdotusten mukaista.

5.1. Valmisteluvaiheet ja -aineisto

Eduskunnan lausuma

Eduskunnan vastauksessa hallituksen esitykseen laeiksi henkilörekisterilain ja yleisten asiakirjain julkisuudesta annetun lain 18 a §:n muuttamisesta sekä laiksi tietosuojalautakunnasta ja tietosuojavaltuutetusta edellytettiin, että mahdollisimman pian selvitetään henkilörekisterilainsäädännön kokonaisuudistuksen tarve ottaen tässä yhteydessä huomioon muun ohella ne näkökohdat, jotka puoltavat julkisten verotustietojen massaluovutuksen sallimista ilman tietosuojalautakunnan lupaa yleisesti julkaistavaksi ja että tämän selvitystyön pohjalta valmistellaan tarvittavat lainsäädännölliset ehdotukset eduskunnalle.

Henkilötietotoimikunnan mietintö

Oikeusministeriö asetti 5 päivänä lokakuuta 1995 henkilötietotoimikunnan, jonka tehtävänä oli valmistella ehdotus henkilörekisterilain tarkistamisesta. Ehdotus oli laadittava hallituksen esityksen muotoon. Lain tarkistuksessa oli otettava huomioon perusoikeusuudistus, nykyisen henkilörekisterilain soveltamisessa havaitut ongelmat ja saadut kokemukset, yhteiskunnan tietotekninen ke-hitys, Euroopan unionin tietosuojadirektiivi sekä Euroopan neuvoston tietosuojasopimus ja siihen liittyvät tietosuojasuositukset. Toimikunnan oli ehdotusta valmistellessaan otettava huomioon myös oikeusministeriössä vireillä oleva julkisuuslainsäädännön kokonaisuudistus. Toimikunta luovutti mietintönsä (KM 1997:9) oikeusministeriölle 16 päivänä toukokuuta 1997.

5.2. Lausunnot

Oikeusministeriö pyysi henkilötietotoimikunnan mietinnöstä lausunnon 64 eri viranomaiselta ja yhteisöltä. Lisäksi korkeimmalle hallinto-oikeudelle varattiin tilaisuus lausua ehdotuksesta. Lausuntopyynnön saaneista 55 antoi lausuntonsa. Pyydettyjen lausuntojen lisäksi 12 eri yhteisöä antoi lausunnon toimikunnan ehdotuksesta. Lausunnonantajien yleisarvio toimikunnan ehdotuksesta oli myönteinen. Toimikunnan ehdotusta kirjoittaa laki voimassa olevan lain rakenteen ja sisällön pohjalta kokonaan uudelleen pidettiin yleisesti perusteltuna. Saaduista lausunnoista on laadittu oikeusministeriössä tiivistelmä.

Hallituksen esitys on valmisteltu oikeusministeriössä virkatyönä henkilötietotoimikunnan mietinnön ja siitä saatujen lausuntojen pohjalta. Lakiluonnoksesta on jatkovalmistelun aikana saatu vielä kommentteja toimikunnan työhön osallistuneilta ja muilta tahoilta. Nämä kommentit on pyritty ottamaan huomioon esityksen valmistelussa.

6.1. Riippuvuus muista esityksistä

Ehdotettu laki antaa mahdollisuuden kehittää yhtenäiseltä pohjalta henkilötietojen käsittelyä koskevaa erityislainsäädäntöä. Nämä erityissäännökset on niin ikään saatettava tietosuojadirektiivin mukaisiksi viimeistään 24 päivänä lokakuuta 1998. Erityissäännöksiä tarkistettaessa on otettava huomioon myös tietosuojasopimus ja sen nojalla annetut alakohtaiset suositukset tarvittavilta osin.

Henkilötietojen luovuttamisesta viranomaisen rekistereistä säädettäisiin eduskunnan käsiteltävänä olevassa laissa viranomaisten toiminnan julkisuudesta.

6.2. Riippuvuus kansainvälisistä sopimuksista ja velvoitteista

Esitys toteuttaa tietosuojadirektiivin Suomen lainsäädännölle asettamat vaatimukset. Direktiivi on saatettava kansallisesti voimaan viimeistään 24 päivänä lokakuuta 1998. Ehdotuksessa on otettu huomioon myös tietosuojasopimus.

1.1. Henkilötietolaki

Lain nimike

Ehdotetun lain nimikkeenä olisi henkilötietolaki. Henkilötietotoimikunta ehdotti lain nimikkeeksi lakia yksityisyyden suojasta henkilötietojen käsittelyssä (henkilötietolaki). Toimikunnan pyrkimyksenä oli, että lain keskeinen tavoite ja sääntelyn kohde, yksityisyyden suojaaminen ja henkilötietojen käsittely, ilmenisivät jo itse lain nimikkeestä. Eräät lausunnonantajat pitivät kuitenkin toimikunnan ehdotusta pitkänä ja hankalasti omaksuttavana ja katsoivat, että henkilötietolaki olisi lyhyytensä vuoksi selkeämpi ja helpompi omaksua.

Sääntelyn systematiikka ja lain rakenne

Nykyisen henkilörekisterilain sääntelyssä edetään henkilötietojen elinkaariajattelun pohjalta siten, että laissa säädetään erikseen henkilötietojen keräämisestä, tallettamisesta, käytöstä ja luovuttamisesta. Tietosuojadirektiivissä sääntelyn kohteena on henkilötietojen käsittely, joka sisältää kaikki ne toiminnot, joita henkilötietoihin voi kohdistua. Direktiivin tavoin myös ehdotetussa laissa säädettäisiin henkilötietojen käsittelystä.

Ehdotetun lain 1 luku sisältää yleiset säännökset lain tarkoituksesta ja soveltamisalasta sekä keskeisten käsitteiden määritelmät ja säännökset Suomen lain soveltamisesta. Lain 2 luvussa säädettäisiin henkilötietojen käsittelyä koskevista yleisistä periaatteista ja lain 3 luvussa arkaluonteisten tietojen ja henkilötunnuksen käsittelystä. Lain 4 luvussa säädettäisiin henkilötietojen käsittelystä erityisiä tarkoituksia, kuten tutkimusta, tilastoa, suoramarkkinointia, henkilömatrikkelia ja sukututkimusta varten sekä henkilöluottotietojen käsittelystä. Lain 5 luvussa säädettäisiin henkilötietojen siirrosta EU:n ulkopuolelle. Lain 6 lukuun sisältyvät säännökset rekisteröidyn oikeuksista ja 7 lukuun tietoturvallisuutta ja tietojen säilytystä koskevat säännökset. Lain 8 luvussa säädettäisiin tietosuojavaltuutetulle tehtävästä ilmoituksesta ja 9 luvussa henkilötietojen käsittelyn ohjauksesta ja valvonnasta. Lain 10 luku sisältää erinäiset säännökset ja 11 luku voimaantulo- ja siirtymäsäännökset.

1 luku. Yleiset säännökset

1 §. Lain tarkoitus. Pykälä ilmaisee lain tarkoituksen. Säännöksen mukaan lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Lailla pyritään turvaamaan, ettei yksityiselämän suojaa tai muita yksityisyyden suojaa turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa tai muutoin käsiteltäessä.

Tietosuojadirektiivin tavoitteisiin kuuluu turvata yksilöiden perusoikeudet ja -vapaudet, erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä (1 artikla). Tämän samoin kuin perusoikeusuudistuksen vuoksi myös henkilötietolain keskeisenä tavoitteena olisi yksityiselämän suojan ja muiden yksityisyyden suojaa turvaavien perusoikeuksien toteuttaminen henkilötietoja käsiteltäessä.

Yksityisyyden suojaan kuuluu yksityiselämän suoja, josta säädetään hallitusmuodon 8 §:ssä. Pykälän 1 momentin mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Säännöksen perustelujen mukaan (HE 309/1993 vp, s. 52) yksityiselämän suojan lähtökohtana on, että yksilöllä on oikeus elää omaa elämäänsä ilman viranomaisten tai muiden ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista hänen yksityiselämäänsä.

Yksityisyyden suojaan kuuluu myös oikeus tietää ja päättää itseään koskevien tietojen käytöstä. Yksilön oikeuksiin itseään koskeviin tietoihin vaikuttavat yksityiselämän suojan lisäksi muutkin perusoikeudet. Useiden perusoikeuksien perustana on henkilön itsemääräämisoikeus. Itsemääräämisoikeus henkilötietojen käsittelyssä merkitsee, että tietojen käsittelytoimien on ensisijaisesti perustuttava rekisteröidyn suostumukseen. Henkilötietolainsäädännön keskeisiä tehtäviä on osoittaa, missä tapauksissa tietojen käsittely on mahdollista ilman rekisteröidyn myötävaikutusta.

Pykälässä mainittaisiin yksityiselämän suoja osana yksityisyyden suojaa. Lakiin ei ehdoteta otettavaksi erillistä yksityisyyden suojan määritelmää. Pykälästä ilmenee kuitenkin, että oikeus yksityisyyden suojaan muodostuu yksityiselämän suojan lisäksi muistakin henkilötietojen käsittelyssä merkityksellisistä perusoikeuksista. Näitä ovat itsemääräämisoikeuden ja sitä ilmentävän henkilökohtaisen vapauden lisäksi esimerkiksi oikeus kunniaan. Jokaisella on oikeus tulla arvostetuksi oikeiden ja oleellisten tietojen perusteella. Yksilön tiedonsaantioikeuksien ja vaikutusmahdollisuuksien ulottumattomissa tapahtuva tietojen käsittely voi vaarantaa yksilön turvallisuutta ja saattaa hänet ihmisarvoa loukkaavan menettelyn kohteeksi. Arkaluonteisten tietojen käsittelykiellolla taas on selkeä yhteys oikeuteen yhdenvertaiseen kohteluun ja syrjintäkieltoihin.

Laki toteuttaisi osaltaan hallitusmuodon 8 §:n 1 momentin toimeksiantoa säätää henkilötietojen suojasta lailla. Koska yksityiselämän suoja ja muut yksityisyyden suojaa määrittelevät perusoikeudet eivät ole ehdottomia, laki osoittaa sääntelemiltään osin yksityisyyden suojan ulottuvuutta. Yksityisyyden suojan sisältöön ja ulottuvuuteen vaikuttaa muun muassa se, mikä on rekisterinpitäjän ja rekisteröidyn välinen suhde, missä roolissa henkilö kulloinkin esiintyy ja onko hän itse antanut tietojaan julkisuuteen tai sallinut niiden julkistamisen. Esimerkiksi tiedot henkilön tehtävistä ja menettelystä yhteiskunnallisessa tai poliittisessa toiminnassa eivät siten välttämättä kuulu yhtä laajan yksityisyyden suojan piiriin kuin tiedot, jotka liittyvät luonnolliseen henkilöön yksityishenkilönä.

Tietosuojadirektiivin 1 artikla velvoittaa jäsenvaltiot turvaamaan direktiivissä säädetyllä tavalla yksilöille heidän perusoikeutensa ja -vapautensa ja erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä. Kun EU:n jäsenvaltiot harmonisoivat kansallista tietosuojalainsäädäntöään tietosuojadirektiivin edellyttämällä tavalla, kaikissa jäsenvaltioissa saavutetaan tietosuojan vastaava taso eivätkä jäsenvaltiot voi enää yksityisyyden suojaan vedoten estää henkilötietojen vapaata liikkuvuutta EU:n jäsenvaltioiden sisällä.

Vaikka ehdotetun lain keskeisenä tavoitteena on yksityisyyden suojaaminen, sen säännöksissä on pyritty yhteensovittamaan myös yhteiskunnan tietotarpeet. Säätämällä yksityisyyden suojasta henkilötietojen käsittelyssä luodaan mahdollisuudet yhteiskunnan tietohuollon järjestämiselle ja henkilötietojen vapaalle liikkuvuudelle tietosuojadirektiivin 1 artiklan edellyttämällä tavalla.

Myös tietosuojasopimus, johon Suomi on liittynyt, edellyttää, että henkilötietojen automaattisessa tietojenkäsittelyssä sopimuspuolen alueella jokaiselle yksilölle riippumatta hänen kansalaisuudestaan tai asuinpaikastaan turvataan hänen oikeutensa ja perusvapautensa ja erityisesti hänen oikeutensa yksityisyyteen (1 artikla). Ehdotettu laki sisältää ne yleiset säännökset yksityisyyden suojasta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa ja muutoin käsiteltäessä, joita hallitusmuoto, tietosuojadirektiivi ja tietosuojasopimus edellyttävät.

Lain toiminnallisena tavoitteena on edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista henkilötietojen käsittelyssä ja toteuttaa siinä hyvään tietojenkäsittelytapaan perustuva yhtenäinen käytäntö. Nykyisen lain tavoitteena on muun ohella hyvän rekisteritavan toteuttaminen. Tämän velvoitteen muotoilua ehdotetaan sanonnallisesti tarkistettavaksi niin, että se ilmentäisi paremmin ehdotetun lain keskeistä sääntelyn kohdetta, henkilötietojen käsittelyä. Hyvän tietojenkäsittelytavan turvaaminen koostuu käytännössä pitkälti samoista keinoista, joilla pyritään hyvän rekisteritavan toteuttamiseen. Hyvän tietojenkäsittelytavan kehittämiseen ja edistämiseen kuuluu siten muun ohella se, että henkilötietoja käsiteltäessä varmistetaan, että käsittelyn tekninen toteuttaminen on asianmukaista ja että henkilötietoja käsittelevät perehdytetään henkilötietojen käsittelyyn sekä niihin säännöksiin ja velvoitteisiin, jotka on siinä otettava huomioon.

Nykyisen henkilörekisterilain tarkoituksena mainitaan 1 §:n 1 momentissa myös valtion turvallisuuden varmistaminen. Tämä maininta on jätetty pois ehdotetusta säännöksestä. Näin halutaan korostaa yksityisyyden suojaa lain keskeisenä tavoitteena. Myös nykyisen lain soveltamiskäytännössä yksityisyyden suojan turvaaminen ja henkilön oikeusturvan toteuttaminen henkilötietoja kerättäessä, talletettaessa, käytettäessä ja luovutettaessa ovat osoittautuneet lain keskeisiksi tavoitteiksi. Valtion turvallisuus on sen sijaan muiden suojattavien etujen rinnalla otettu huomioon lakiehdotuksen yksittäisissä säännöksissä. Valtion turvallisuus ei sisälly myöskään tietosuojadirektiivin 1 artiklaan, jossa ilmaistaan direktiivin tavoitteet.

2 §. Soveltamisala. Pykälän 1 momentissa ilmaistaan lain soveltamisala sekä lain toissijaisuus. Ehdotettu laki olisi nykyisen lain tavoin toissijainen laki, joka sisältäisi yleiset säännökset henkilötietojen keräämisestä, tallettamisesta, käytöstä, luovuttamisesta, siirrosta ja muusta käsittelystä. Henkilötietojen käsittely määritellään lain 3 §:ssä. Sillä tarkoitetaan kaikenlaisia henkilötietoihin kohdistuvia toimintoja. Lakia sovellettaisiin täydentävästi myös silloin, kun henkilötietojen käsittelystä säädetään erityislainsäädännössä.

Pykälän 2 momentissa säädettäisiin siitä, minkälainen henkilötietojen käsittely kuuluu lain soveltamisalaan. Lakia sovellettaisiin ensinnäkin henkilötietojen automaattiseen käsittelyyn. Säännöksen sanamuoto ei edellytä, että kuuluakseen lain soveltamisalaan automaattisen tietojenkäsittelyn avulla käsiteltävien henkilötietojen tulisi muodostaa henkilörekisteri. Kun henkilörekisterillä 3 §:n 3 kohdan mukaan tarkoitetaan muun ohella sellaista käyttötarkoituksensa vuoksi yhteen kuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla, henkilötietojen automaattisessa käsittelyssä yleensä muodostuu myös henkilörekisteri. Nykyisessä laissa (2 §:n 2 kohta) sellaista henkilötietoja sisältävää tietojoukkoa, jota käsitellään automaattisen tietojenkäsittelyn avulla, pidetään aina laissa tarkoitettuna henkilörekisterinä.

Lakia sovellettaisiin myös henkilötietojen käsittelyyn muulla tavoin kuin automaattisen tietojenkäsittelyn avulla silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Lain soveltamisalaan kuuluisivat siten manuaaliset henkilörekisterit. Myös henkilötietojen käsittely muilla sellaisilla keinoilla, joita ei voida pitää automaattisena tietojenkäsittelynä, esimerkiksi optisin menetelmin (mikrofilmaus), kuuluisi lain soveltamisalaan, jos käsiteltävät henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

Myös nykyistä lakia sovelletaan manuaalisiin henkilörekistereihin. Ehdotuksessa ei ole tarkoitus tältä osin muuttaa nykyistä oikeustilaa. Henkilörekisterilain soveltamisalan piiriin kuuluvat manuaaliset henkilörekisterit määritellään lain 2 §:n 2 kohdassa. Manuaalisella henkilörekisterillä tarkoitetaan nykyisessä laissa sellaista luetteloa, kortistoa tai muuta näihin verrattavalla tavalla järjestettyä henkilötietoja sisältävää tietojoukkoa, josta tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. Manuaalinen rekisteri määritellään nykyistä määritelmää asiallisesti vastaavalla tavalla ehdotetun lain 3 §:n 3 kohdassa.

Momentissa ilmaistu lain soveltamisalan määrittely vastaa tietosuojadirektiivin 3 artiklan 1 kohdasta ilmenevää direktiivin soveltamisalaa. Artiklan mukaan direktiiviä sovelletaan osittain tai kokonaan automatisoituun henkilötietojen käsittelyyn sekä muulla tavoin toteutettavaan henkilötietojen käsittelyyn, jos henkilötiedot muodostavat rekisterin osan tai niiden on tarkoitus muodostaa rekisterin osa.

Lain soveltamisalan ulkopuolelle jäisi pykälän 3 momentin nojalla sellainen henkilötietojen käsittely, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa. Myös tietosuojadirektiivi rajaa direktiivin soveltamisalan ulkopuolelle luonnollisen henkilön yksinomaan henkilökohtaisessa tai kotitalouteensa liittyvässä toiminnassa suorittaman henkilötietojen käsittelyn (3 artiklan 2 kohta). Henkilökohtaisiin tai niihin verrattaviin tarkoituksiin käsiteltäviä henkilötietoja ovat esimerkiksi henkilökohtaiseen kirjeenvaihtoon liittyvät tiedot sekä henkilökohtaiseen käyttöön tarkoitetut nimi-, osoite- ja puhelinnumerotiedot ja tiedot tuttavien merkkipäivistä. Nykyisen lain soveltamisalan ulkopuolelle jää henkilötietojen kerääminen, tallettaminen ja käyttö yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin.

Pykälän 4 momentissa rajataan lain soveltamisalan ulkopuolelle sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan. Vastaava säännös sisältyy nykyisen lain 1 §:n 4 momenttiin (387/1994).

Lisättäessä mainittu säännös henkilörekisterilakiin vuonna 1994 ehdotusta perusteltiin sillä, että yksityisyyden suojaa joukkotiedotusvälineiden toiminnassa on perinteisesti pyritty turvaamaan erityisin sääntelyin, muun muassa rikoslain (39/1889), painovapauslain ja radiovastuulain (219/1971) säännöksin. Rikoslain 27 luvun 3 a §:ssä (908/1974) säädetään rangaistus yksityiselämän loukkaamisesta sille, joka ilman laillista oikeutta joukkotiedotusvälinettä käyttäen tai muulla sen kaltaisella tavalla julkisesti levittää toisen yksityiselämästä tiedon, vihjauksen tai kuvan, joka on omiaan aiheuttamaan hänelle vahinkoa tai kärsimystä. Edellä mainitun erityissääntelyn on katsottava turvaavan henkilön yksityiselämän ja yksityisyyden suojan ehdotetun lain tavoitteiden edellyttämällä tavalla. Ehdotetun lain 2 §:n 4 momentissa on tarkoituksena säilyttää nykyinen oikeustila.

Kuten nykyäänkin, myös ehdotetun 2 §:n 4 momentissa tarkoitetut rekisterit voivat olla sekä paperipohjaisia manuaalisia tekstiarkistoja, niin sanottuja leikearkistoja, että automaattisen tietojenkäsittelyn avulla pidettäviä tekstiarkistoja. Myös sellaiset kuva-arkistot, jotka sisältävät vain julkaistuja kuvia, jäisivät ehdotetun säännöksen nojalla lain soveltamisalan ulkopuolelle.

Nykyisen säännöksen tavoin ehdotettu säännös rajaisi lain soveltamisalan ulkopuolelle myös muiden kuin tiedotusvälineiden pitämät sellaiset henkilörekisterit, jotka sisältävät vain tiedotusvälineessä julkaistua aineistoa sellaisenaan.

Nykyisen lain 1 §:n 4 momenttiin sisältyy myös säännös, jonka mukaan oikeudesta julkaista painokirjoituksia säädetään erikseen. Säännös viittaa ennen perusoikeusuudistusta voimassa olleen hallitusmuodon 10 §:ään, jossa painovapaus turvattiin kansalaisten perusoikeudeksi, sekä painovapauslakiin, jossa säädetään tarkemmin painovapaudesta. Vastaavan viittauksen ottamista ehdotettuun lakiin ei ole pidetty tarpeellisena muun muassa sen vuoksi, että perusoikeusuudistuksen yhteydessä uudistetussa hallitusmuodon 10 §:ssä (969/1995) turvataan jokaiselle sananvapaus. Sananvapautta ei ole säännöksessä sidottu mihinkään tiettyyn viestinnän muotoon, esimerkiksi painokirjoitusten julkaisemiseen, vaan se turvataan riippumatta ilmaisemiseen tai julkistamiseen käytettävästä menetelmästä. Sananvapaustoimikunta ehdotti mietinnössään (komiteanmietintö 1997:3), että hallitusmuodon 10 §:ssä turvatun sananvapauden käyttämisestä joukkoviestinnässä säädettäisiin yhdessä laissa, jota sovellettaisiin kaikkeen kotimaiseen julkaisu- ja ohjelmatoimintaan tallennus-, julkaisu- tai jakelutekniikasta riippumatta. Tämä laki korvaisi myös painovapauslain.

Pykälän 5 momentissa ehdotetaan säädettäväksi, että ainoastaan toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettavaan henkilötietojen käsittelyyn sovellettaisiin vain tiettyjä ehdotetun lain säännöksiä soveltuvin osin. Tällaisia säännöksiä olisivat lain 1 luvun yleisten säännösten lisäksi lain 32 §, jossa säädettäisiin rekisterinpitäjän ja tämän lukuun toimivan velvollisuudesta huolehtia tietojen asianmukaisesta suojaamisesta sekä 39 §:n 3 momentti, jossa tietosuojavaltuutetun tehtäväksi säädettäisiin valvoa 32 §:ssä tarkoitetun tietojen suojaamisvelvollisuuden noudattamista. Tietosuojavaltuutetulla olisi oikeus tässä tarkoituksessa saada rekisterinpitäjältä tarpeellisia tietoja. Lain 2 §:n 5 momentissa tarkoitettuun henkilötietojen käsittelyyn sovellettaisiin myös 40 §:n 1 momentin säännöksiä tietosuojavaltuutetun ohjauksesta ja neuvonnasta ja 40 §:n 3 momenttia, jonka nojalla tietosuojavaltuutettu voisi antaa tarkempia ohjeita siitä, miten henkilötiedot on suojattava henkilötietojen laittomalta käsittelyltä. Ehdotetun lain 2 §:n 5 momentissa tarkoitettua henkilötietojen käsittelyä koskisivat soveltuvin osin lisäksi lain 42 §:n säännös toimialakohtaisista käytännesäännöistä, 44 §:n 2 kohta, jonka nojalla tietosuojalautakunta voisi tietosuojavaltuutetun hakemuksesta muissa kuin 40 §:n 2 momentissa tarkoitetuissa tietosuojavaltuutetun ratkaistavissa asioissa velvoittaa määräajassa oikaisemaan sen, mitä oikeudettomasti on laiminlyöty, 45 §, jossa säädettäisiin muutoksenhausta tietosuojavaltuutetun ja tietosuojalautakunnan päätökseen, 46 §, joka oikeuttaisi tietosuojavaltuutetun asettamaan uhkasakon muun muassa 39 §:n 3 momentin mukaisen tietojenantovelvollisuuden tehosteeksi ja tietosuojalautakunnan asettamaan uhkasakon muun muassa 44 §:n 2 kohdan nojalla tekemänsä päätöksen tehosteeksi, 47 §:n vahingonkorvaussäännös, 48 §:n 2 momentin rangaistussäännös henkilörekisteririkkomuksesta sekä 50 §:n voimaantulosäännös ja 51 §:n siirtymäsäännös.

Nykyisen henkilörekisterilain 1 §:n 3 momentissa on rajoitettu lain soveltamista tiedotusvälineiden toimituksellisiin rekistereihin. Toimituksellisia rekistereitä ovat lain 2 §:n 2 a kohdan määritelmän mukaan sellaiset henkilörekisterit, jotka on tarkoitettu käytettäväksi yksinomaan tiedotusvälineen toimitustyössä ja jotka eivät ole muiden käytettävissä. Tiedotusvälineillä ymmärretään säännöksessä joukkotiedotukseen tarkoitettuja viestintävälineitä. Myös uutis- ja kuvatoimistot rinnastetaan säännöksessä tiedotusvälineisiin silloin, kun niillä on henkilörekistereitä, jotka palvelevat tiedotusvälineen julkaisutoimintaa tai uutistoimiston omaa julkaisutoimintaa. Tällaiset henkilörekisterit ovat säännöksessä tarkoitettuja toimituksellisia rekistereitä edellyttäen, että ne muutoin täyttävät säännöksessä toimitukselliselle rekisterille asetetut vaatimukset. Toimituksellisen rekisterin tietoja voidaan käyttää vain toimitustyöhön liittyvissä tehtävissä. Näitä tietoja ei voida käyttää esimerkiksi tiedotusvälineen hallinto- tai markkinointitehtävissä. Tiedotusvälineen toimitukselliselta rekisteriltä edellytetään myös, että sen käyttäjäpiiri on rajattu niin, ettei rekisteri ole muiden kuin toimitustyöhön osallistuvien käytettävissä. Toimituksellinen rekisteri voi olla esimerkiksi sanomalehden julkaisijan pitämä rekisteri tai yksittäisen toimittajan taikka free lance -toimittajan pitämä rekisteri. Pyrkimyksenä ehdotuksessa on säilyttää tiedotusvälineiden toimituksellisia rekistereitä koskevan sääntelyn nykytila tietosuojadirektiivin sallimissa puitteissa.

Tietosuojadirektiivin 9 artikla sallii jäsenvaltioiden säätää ainoastaan journalistisia tarkoituksia tai taiteellisen tai kirjallisen ilmaisun tarkoituksia varten toteutettua henkilötietojen käsittelyä koskevista välttämättömistä poikkeuksista ja vapautuksista direktiivin II luvusta, joka sisältää yleiset säännökset henkilötietojen käsittelyn laillisuudesta, IV luvusta, jossa säädetään henkilötietojen siirrosta kolmansiin maihin, sekä VI luvusta, jossa säädetään valvontaviranomaisesta ja tietosuojatyöryhmästä. Direktiivin 9 artikla ei salli poikkeuksia ja vapautuksia direktiivin I luvun yleisistä säännöksistä, III luvun oikeuskeinoja, vastuuta ja sanktioita koskevista säännöksistä, V luvun käytännesääntöjä koskevista säännöksistä eikä VII luvusta, joka koskee yhteisön täytäntöönpanotoimenpiteitä.

Nykyistä henkilörekisterilakia sovelletaan rajoitetusti tiedotusvälineiden toimituksellisiin rekistereihin. Tietosuojadirektiivin 9 artiklan perusteella 2 §:n 5 momentti ehdotetaan yhdenmukaisuuden vuoksi ulotettavaksi myös henkilötietojen käsittelyyn taiteellisen tai kirjallisen ilmaisun tarkoituksia varten. Henkilötietojen käsittelyä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten voisi olla esimerkiksi henkilötietojen kerääminen, tallettaminen ja käyttö tausta-aineistona elokuvan tai näytelmän käsikirjoituksen taikka kirjan kirjoittamista varten.

Myös henkilötietojen käsittelyä henkilömatrikkelia varten voidaan yleensä pitää momentissa tarkoitettuna henkilötietojen käsittelynä kirjallisen ilmaisun tarkoituksia varten. Kaikki kirjallisen ilmaisun tarkoituksiin käytettävät henkilöluettelot, kuten muistelmateoksiin liittyvät henkilöhakemistot, eivät kuitenkaan ole henkilömatrikkeleita. Henkilömatrikkelilla tarkoitetaan tässä julkaisua, jossa rekisteröityjä yhdistävänä tekijänä on tietty ammatti tai koulutus, työ- tai muun yhteisön jäsenyys taikka asema tai saavutukset kulttuurin, urheilun, talouselämän tai muulla yhteiskuntaelämän alalla tai muu näihin rinnastettava seikka. Henkilötietojen käsittelystä henkilömatrikkelia varten ehdotetaan säädettäväksi erikseen lain 17 §:ssä sen vuoksi, että henkilötietojen käsittelyyn tähän tarkoitukseen liittyy rekisteröidyn kielto-oikeus. Rekisteröidyllä olisi 30 §:n nojalla oikeus kieltää rekisterinpitäjää käsittelemästä häntä itseään koskevia tietoja muun muassa henkilömatrikkelia varten. Ehdotettu henkilömatrikkeleita koskeva sääntely vastaa nykyistä sääntelyä.

3 §. Määritelmät. Pykälässä määritellään ehdotetun lain keskeiset käsitteet. Suurin osa määritellyistä käsitteistä sisältyy myös nykyiseen lakiin. Määritelmiin on tehty tietosuojadirektiivistä tai ehdotetusta laista johtuvat tarkistukset. Tietosuojadirektiivistä johtuvana uutena käsitteenä pykälässä määritellään muun muassa henkilötietojen käsittely.

Pykälän 1 kohdassa määritellään henkilötieto. Henkilötietoja ovat ehdotuksen mukaan kaikenlaiset henkilöä taikka tämän ominaisuuksia tai elinolosuhteita kuvaavat merkinnät, jotka voidaan tunnistaa tiettyä luonnollista henkilöä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Säännös poikkeaa nykyisestä henkilötiedon määritelmästä siten, että siinä henkilötiedolla tarkoitetaan kaikkia luonnollisia henkilöitä koskevia tietoja. Nykyisessä laissa henkilötiedolla tarkoitetaan tiettyä luonnollista yksityistä henkilöä koskevaa tietoa. Lakia on tulkittu niin, että henkilötiedon määritelmän vuoksi sellaiset tiedot, jotka liittyvät luonnolliseen henkilöön muussa ominaisuudessa kuin yksityishenkilönä, kuten esimerkiksi ammatin- tai elinkeinonharjoittajana tai julkisessa tehtävässä, on rajattu lain soveltamisalan ulkopuolelle. Muutos henkilötiedon määrittelyssä johtuu tietosuojadirektiivistä, jossa henkilötieto määritellään vastaavalla tavalla luonnollista henkilöä koskevaksi tiedoksi (2 artiklan a alakohta).

Henkilötiedon määritteleminen ehdotetulla tavalla merkitsee lähtökohtaisesti kaikkien luonnolliseen henkilöön liittyvien tietojen kuulumista lain soveltamisalan piiriin. Ottaen huomioon, että lain 1 §:ssä ilmaistuna tavoitteena on yksityiselämän suojan ja muiden yksityisyyden suojaa turvaavien perusoikeuksien toteuttaminen henkilötietojen käsittelyssä, se, missä yhteydessä luonnolliseen henkilöön liittyviä tietoja kulloinkin käsitellään, voi vaikuttaa ehdotetun lain säännösten soveltamiseen eri tilanteissa. Vaikutusta voi olla myös sillä, missä roolissa henkilö, jonka tietoja käsitellään, on ja onko hän itse myötävaikuttanut henkilötietojen käsittelyyn. Esimerkiksi 12 §:n 2 kohdassa sallittaisiin sellaisen henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista koskevan tiedon käsittely, jonka rekisteröity on itse saattanut julkiseksi.

Nykyisessä laissa henkilötieto määritellään henkilön taikka henkilön ominaisuuksien tai elinolosuhteiden kuvaukseksi. Ehdotuksessa käytetyllä muotoilulla "... henkilön ominaisuuksia tai elinolosuhteita kuvaavia merkintöjä" halutaan ilmaista se, että ehdotetussa laissa tarkoitettuja henkilötietoja ovat jollekin alustalle talletetut tiedot. Sillä, millä keinoin (käsin, koneellisesti, optisesti, sähköisesti, magnetoimalla) tai mille alustalle tieto on talletettu, ei henkilötiedon käsitteen kannalta ole merkitystä. Ehdotetun lain 33 §:n vaitiolosäännöstä sovellettaisiin myös silloin, kun pykälässä tarkoitettuja tietoja ilmaistaan suullisesti.

Ehdotuksessa ei nimenomaisesti säädettäisi syntymättömän lapsen tai kuolleen henkilön yksityisyyden suojasta. Syntymättömän lapsen yksityisyyden suoja voidaan ottaa huomioon siten, että hänen tietojaan pidetään äidin tietojen liitännäistietoina. Lapsen synnyttyä nämä tiedot ovat lapsen henkilötietoja. Nykyisessä henkilörekisterilaissakaan ei suoranaisesti säädetä kuolleiden tietosuojasta. Lain soveltamiskäytännössä on katsottu, että laki koskee myös kuolleita henkilöitä. Samalla on kuitenkin kiinnitetty huomiota siihen, että yksityisyyden suojaamiseksi on lainsäädännössämme henkilörekisterilain säännösten lisäksi lukuisa joukko salassapitosäännöksiä. Ottaen huomioon, että yksityisyyden suojaksi säädetty salassapitovelvollisuuskin päättyy määrätyn ajan kuluttua, on katsottu, että myös henkilörekisterilain turvaaman yksityisyyden suojan tarve vähenee, kun tietoja kerätään kauan sitten kuolleista. Arvioitaessa yksityisyyden suojan ajallista ulottuvuutta kuolleisiin voivat salassapitosäännökset olla suuntaa-antavina. Samoin voidaan yksityisyyden suojan tarvetta ja siten ehdotetun lain ajallista ulottuvuutta arvioitaessa ottaa huomioon käsiteltävien tietojen laatu. Henkilörekisteriin talletettujen tietojen ikä ja laatu on otettu huomioon arvioitaessa rekisteröidyn yksityisyyden suojan tarvetta esimerkiksi lain 14 §:n 2 momentissa ja 35 §:n 1 momentissa.

Pykälän 2 kohta sisältää uutena käsitteenä henkilötietojen käsittelyn määritelmän. Henkilötietojen käsittely määritellään tietosuojadirektiivin 2 artiklan b alakohdan määritelmää vastaavalla tavalla laajasti niin, että sillä tarkoitetaan henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä.

Pykälän 3 kohta sisältää henkilörekisterin määritelmän. Henkilörekisterillä tarkoitetaan ehdotuksessa käyttötarkoituksensa vuoksi yhteen kuuluviksi tarkoitetuista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta.

Automaattisen tietojenkäsittelyn avulla pidettävän henkilörekisterin määrittely ehdotetulla tavalla niin, että tällaisena henkilörekisterinä pidettäisiin käyttötarkoituksensa vuoksi yhteen kuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, sisältää loogisen rekisterikäsitteen, joka nykyisin ilmenee henkilörekisterilain 4 §:n 2 momentista ja 20 §:n 2 momentista. Loogisen rekisterikäsitteen keskeisyyden vuoksi on perusteltua, että henkilörekisterin käsitteen eri puolet ilmenevät jo määritelmäsäännöksestä. Looginen rekisterikäsite merkitsee, että samaan henkilörekisteriin luetaan kuuluviksi kaikki ne tiedot, joita käytetään samassa käyttöyhteydessä riippumatta siitä, miten ja mihin ne on talletettu. Looginen rekisterikäsite merkitsee myös sitä, että tietojenkäsittelyssä syntyviä lyhytaikaisia tiedostoja ja tallenteiden eri sukupolvia ei pidetä eri henkilörekistereinä silloin, kun ne ovat rekisterinpitäjän hallussa ja niitä käytetään määriteltyihin henkilötietojen käsittelyn tarkoituksiin.

Automaattisen tietojenkäsittelyn avulla toteutettava tekstinkäsittely, kuten päätöksen, muistion, luettelon, kirjeen tai muun vastaavan asiakirjan laatiminen, ei vielä sellaisenaan muodostaisi ehdotetussa laissa tarkoitettua henkilörekisteriä, vaikka siinä käsiteltäisiin henkilötietoja. Edellytyksenä on, että tekstinkäsittelyllä yksinomaan tuotetaan asiakirja ilman, että asiakirja pysyvämmin säilytetään sähköisessä muodossa osana tietojenkäsittelyjärjestelmää. Myös tietosuojalautakunta on päätöksessään (n:o 7/26.3.1990) katsonut, ettei pelkästään se, että jokin henkilötietoja sisältävä luettelo laaditaan automaattisen tekstinkäsittelyn avulla, tee siitä henkilörekisterilaissa tarkoitettua automaattisen tietojenkäsittelyn avulla ylläpidettävää henkilörekisteriä.

Henkilörekisteri olisi myös sellainen 3 kohdassa tarkoitettu tietojoukko, joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta. Tämä määrittely sisältää nykyiseen lakiin sisältyvän manuaalisen rekisterin. Määritelmässä tarkoitettu rekisteri voisi olla myös esimerkiksi optisin keinoin järjestetty mikrofilmi.

Pykälän 4 kohdassa määritellään rekisterinpitäjä. Määritelmää on nykyiseen lakiin sisältyvään rekisterinpitäjän määritelmään verrattuna tarkistettu niin, että rekisterinpitäjänä voisi olla myös useampi henkilö, yhteisö, laitos tai säätiö. Myös nykyisen lain soveltamiskäytännössä on katsottu, että henkilörekisterillä voi olla useampikin rekisterinpitäjä. Rekisterinpitäjänä voisi ehdotuksen mukaan olla myös se, jonka tehtäväksi rekisterinpito on lailla säädetty. Rekisterinpidon säätäminen lailla jonkun tehtäväksi tulisi kysymykseen lähinnä viranomaisten henkilörekistereiden osalta.

Pykälän 5 kohdassa määritellään rekisteröity. Rekisteröidyllä tarkoitetaan henkilöä, jota henkilötieto koskee. Määritelmä on sama kuin nykyiseen lakiin sisältyvä rekisteröidyn määritelmä.

Pykälän 6 kohdassa määritellään uutena käsitteenä sivullinen. Sivullisella tarkoitetaan ehdotuksessa tietosuojadirektiivin 2 artiklan f alakohdan tavoin muuta henkilöä, yhteisöä, laitosta tai säätiötä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevää. Henkilötietojen käsittelijällä tarkoitetaan rekisterinpitäjän palveluksessa olevaa. Henkilötietoja rekisterinpitäjän tai henkilötietojen käsittelijän lukuun käsittelevä puolestaan olisi se, joka edellä mainittujen toimeksiannosta suorittaa henkilötietojen käsittelyyn liittyviä tehtäviä.

Pykälän 7 kohdassa määritellään, mitä suostumuksella lähtökohtaisesti tarkoitetaan ehdotetussa laissa. Suostumus tarkoittaa kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Määritelmä vastaa tietosuojadirektiivin 2 artiklan h alakohtaan sisältyvää suostumuksen määritelmää. Suostumuksen ei välttämättä tarvitse olla kirjallinen ollakseen määritelmässä tarkoitettu suostumus. Suostumus voi olla myös suullinen, kunhan se täyttää määritelmässä mainitut edellytykset. Suostumuksen tulee olla rekisteröidyn tietoinen tahdonilmaisu. Rekisteröidyn on siten suostumusta antaessaan pitänyt olla tietoinen siitä, mihin hän suostumuksensa antaa. Suostumuksen on myös aina oltava vapaaehtoinen. Myös konkludenttinen suostumus voi joissakin tapauksissa täyttää määritelmässä tarkoitetun suostumuksen vaatimukset. Suostumukselle asetettujen edellytysten täyttyminen määräytyy viimekädessä tapauskohtaisesti. Tällöin merkitystä on annettava muun muassa kerättävien tietojen laadulle. Jos suostumuksen olemassaolosta syntyisi kiistaa, todistustaakka suostumuksen olemassaolosta on rekisterinpitäjällä. Suostumus olisi voimassa toistaiseksi, jollei suostumuksesta muuta ilmene. Rekisteröidyllä olisi oikeus milloin tahansa peruuttaa suostumuksensa.

Ehdotetun lain eräissä pykälissä suostumukseen on direktiivin mukaisesti liitetty ilmaisuja, jotka täsmentävät suostumuksen tarkkarajaisuutta. Lain 8, 13 ja 23 §:ssä edellytetään, että rekisteröity on antanut suostumuksensa yksiselitteisesti. Yksiselitteisen suostumuksen vaatimus korostaa rekisteröidyn tahdonilmaisun selkeyttä. Arkaluonteisten tietojen käsittelyä koskevassa 12 §:ssä edellytetään, että rekisteröidyn suostumus on nimenomainen. Tällä korostetaan sitä, että rekisteröidyn suostumuksen tulee olla tarkasti ilmaistu. Nimenomainen suostumus edellyttää yleensä kirjallista suostumusta, josta ilmenee, minkälaiseen henkilötietojen käsittelyyn lupa on annettu.

Pykälän 8 kohdassa määritellään henkilöluottotieto ja 9 kohdassa luottotietorekisteri. Henkilöluottotiedoilla tarkoitetaan yksityisen luonnollisen henkilön taloudellisen aseman, sitoumusten hoitokyvyn tai luotettavuuden arvioimisessa käytettäviksi tarkoitettuja henkilötietoja. Ehdotettu määrittely tarkoittaa asiallisesti samaa kuin nykyisen lain soveltamisalaan kuuluvat henkilöluottotiedot eli käytännössä kuluttajien luottotietoja. Luottotietorekisterillä tarkoitetaan rekisteriä, joka sisältää henkilöluottotietoja.

4 §. Suomen lain soveltaminen. Pykälä sisältäisi säännökset siitä, milloin henkilötietojen käsittelyyn sovelletaan Suomen lainsäädäntöä. Pykälän taustalla on tietosuojadirektiivin 4 artikla, jossa määritellään, milloin henkilötietojen käsittelyyn sovelletaan EU:n jäsenvaltion tietosuojadirektiivin mukaisesti annettuja kansallisia säännöksiä.

Ehdotettua lakia sovellettaisiin pykälän 1 momentin mukaan sellaiseen henkilötietojen käsittelyyn, jossa rekisterinpitäjän toimipaikka on Suomen alueella tai muutoin Suomen oikeudenkäytön piirissä. Suomen lainkäyttövallan piiriin kuuluvia toimipaikkoja ovat esimerkiksi Suomen edustustot. Toimipaikalla tarkoitetaan sellaista jäsenvaltion alueella olevaa toimipistettä, josta toimintaa tosiasiallisesti harjoitetaan.

Pykälän 2 momentissa säädettäisiin Suomen lain soveltamisesta henkilötietojen käsittelyyn tietosuojadirektiivin 4 artiklan 1 kohdan c alakohdassa tarkoitetuissa tilanteissa. Tällöin on kysymys tilanteista, joissa rekisterinpitäjällä ei ole toimipaikkaa EU:n jäsenvaltioiden alueella, mutta rekisterinpitäjä käyttää henkilötietojen käsittelyssä Suomessa sijaitsevia laitteita muuhunkin tarkoitukseen kuin vain tietojen siirtoon Suomen alueen kautta. Rekisterinpitäjän olisi tällöin nimettävä Suomessa oleva edustaja. Tämä tarkoittaisi henkilöä, joka vastaisi rekisterinpitäjälle kuuluvista velvollisuuksista Suomessa.

Lain soveltamisalan ulkopuolelle rajattaisiin 2 momentissa sellainen henkilötietojen käsittely, jossa momentissa tarkoitettuja laitteita käytetään vain tiedon siirtoon Suomen tai muun sen oikeudenkäytön piirin kuuluvan alueen kautta. Tietojen siirto tarkoittaa tällöin tilanteita, joissa tiedot pelkästään siirtyvät Suomessa tai sen oikeudenkäytön piiriin kuuluvalla alueella sijaitsevien erilaisten "solmukoneiden" läpi eikä tietoja oteta täällä käsiteltäväksi siirron aikana.

2 luku. Henkilötietojen käsittelyä koskevat yleiset periaatteet

5 §. Huolellisuusvelvoite. Pykälässä säädettäisiin huolellisuusvelvoite rekisterinpitäjälle ja sille, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun. Säännös vastaa pääpiirteissään nykyisen lain 3 §:ää. Se ilmentää jo nykyisessä laissa omaksuttua rekisterinpidon itseohjautuvuuden ajatusta, mikä tarkoittaa, että rekisterinpitäjät pyrkivät oma-aloitteisesti huolehtimaan siitä, että henkilötietojen käsittely toteutetaan ottaen huomioon yksityisyyden suojaa turvaavat säännökset ja periaatteet.

Huolellisuusvelvoite koskee ehdotuksessa henkilötietojen käsittelyä. Henkilötietojen käsittely määritellään lain 3 §:n 2 kohdassa niin, että sillä tarkoitetaan kaikenlaisia henkilötietoihin kohdistuvia toimintoja. Hyvään tietojenkäsittelytapaan sisältyvät muun muassa yksityisyyttä tukevat menettelytavat henkilötietoja käsiteltäessä. Tämä tarkoittaa muun ohella sitä, että käsiteltävien tietojen suojaamisesta huolehditaan asianmukaisella tavalla. Nykyisen henkilörekisterilain 40 §:ssä säädetään, ettei rekisterinpitäjä saa postilähetyksessä näkyvästi käyttää henkilön henkilötunnusta taikka vastaanottajan henkilökohtaisia oloja koskevia tietoja. Vaikka lakiin ei ehdoteta otettavaksi nimenomaista säännöstä rekisterinpitäjän velvollisuudesta huolehtia tietosuojasta postilähetyksissä, tämä velvollisuus voidaan johtaa rekisterinpitäjän huolellisuusvelvollisuudesta.

Rekisterinpitäjän ja henkilötietoja tämän lukuun käsittelevän olisi otettava huomioon 1 §:n tarkoitussäännöksessä ilmaistut lain tavoitteet ja toimittava niitä edistävästi. Ehdotetussa säännöksessä korostetaan myös 1 §:ssä määriteltyyn lain tarkoitukseen liittyen sitä, ettei henkilön yksityiselämän suojaa ja muita yksityisyyttä turvaavia perusoikeuksia saa rajoittaa ilman laissa säädettyä perustetta.

6 §. Henkilötietojen käsittelyn suunnittelu. Pykälä sisältää säännökset henkilötietojen käsittelyn asiallisuuden vaatimuksesta ja henkilötietojen käsittelyn tarkoitusten määrittelystä. Henkilötietojen käsittelyn tarkoitukset sekä se, mistä henkilötiedot säännönmukaisesti hankitaan ja mihin niitä säännönmukaisesti luovutetaan, on ehdotetun säännöksen mukaan määriteltävä ennen henkilötietojen keräämistä tai muodostamista henkilörekisteriksi. Nykyisin henkilörekisterin käytön määrittelystä säädetään henkilörekisterilain 4 §:n 1 ja 2 momentissa. Säännöksiä ehdotetaan tarkistettavaksi sanonnallisesti.

Nykyisen henkilörekisterilain 4 §:n 3 momentin mukaan henkilörekisterin käyttötarkoitus sekä säännönmukaiset tietojensiirrot voidaan myöhemmin määritellä uudelleen, jos se on muuttuneiden olosuhteiden vuoksi tarpeen eikä näin määritelty käyttötarkoitus olennaisesti poikkea alkuperäisestä käyttötarkoituksesta. Vaikka lakiin ei ehdoteta vastaavaa säännöstä, henkilötietojen käsittelyn tarkoitus sekä säännönmukaiset tietojensiirrot voitaisiin myöhemmin määritellä uudelleen, jos se on muuttuneiden olosuhteiden vuoksi tarpeen. Tietosuojadirektiivin 6 artiklan 1 kohdan b alakohdan huomioon ottaen näin määritelty tarkoitus ei kuitenkaan saa olla yhteensopimaton henkilötietojen alkuperäisen käsittelyn tarkoituksen kanssa.

Tietosuojadirektiivin 6 artiklan 1 kohdan a alakohdassa edellytetään, että jäsenvaltiot säätävät siitä, että henkilötietoja käsitellään asianmukaisesti ja laillisesti. Henkilötietojen laillisen käsittelyn vaatimus sisältyy lakiehdotuksen 5 §:ään ja henkilötietojen käsittelyn asiallisuudesta säädettäisiin 5 §:n lisäksi tässä pykälässä.

7 §. Käyttötarkoitussidonnaisuus. Pykälässä säädettäisiin tietosuojadirektiivin 6 artiklan 1 kohdan b alakohdan edellyttämällä tavalla henkilötietojen käyttötarkoitussidonnaisuudesta. Direktiivin 6 artiklan 1 kohdan b alakohdassa velvoitetaan jäsenvaltiot säätämään siitä, että henkilötiedot kerätään tiettyjä määriteltyjä ja laillisia tarkoituksia varten, eikä niitä saa myöhemmin käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla.

Nykyisin henkilörekisterissä olevien henkilötietojen käyttötarkoitussidonnaisuudesta säädetään henkilörekisterilain 16 §:ssä. Tähän säännökseen on ehdotetussa 7 §:ssä tehty direktiivistä johtuvat tarkistukset. Henkilötietoja saisi ehdotetun säännöksen mukaan käyttää tai muutoin käsitellä vain tavalla, joka ei ole yhteensopimaton 6 §:ssä tarkoitettujen käsittelyn tarkoitusten kanssa. Myöhempää käsittelyä historiallista tutkimusta taikka tieteellistä tai tilastotarkoitusta varten ei pidettäisi yhteensopimattomana alkuperäisen käsittelyn tarkoituksen kanssa. Tietosuojadirekiivi edellyttää, että tällöin huolehditaan riittävistä suojatoimista. Niiden voidaan katsoa toteutuvan lain 4 lukuun ehdotetuilla säännöksillä.

Ehdotettuun lakiin ei sisälly nykyisen lain 20 §:ää vastaavaa säännöstä henkilörekistereiden yhdistämisestä, koska yhdistäminen on osa 3 §:n 2 momentissa määriteltyä henkilötietojen käsittelyä ja se määräytyy siten henkilötietojen käsittelyä koskevien yleisten säännösten mukaan. Esimerkiksi henkilörekistereiden yhdistämistä osoitetietojen tavanomaiseksi päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi voidaan pitää sellaisena henkilötietojen käsittelyn tarkoituksena, joka ei ole yhteensopimaton henkilötietojen käsittelyn alkuperäisten tarkoitusten kanssa.

8 §. Käsittelyn yleiset edellytykset. Lakiehdotuksen 8 §:stä ilmenevät henkilötietojen käsittelyn edellytykset. Ehdotettu pykälä perustuu tietosuojadirektiivin 7 artiklaan sisältyvään lainsäädäntötoimeksiantoon. Artiklassa määritellään jäsenvaltioita velvoittavalla tavalla tietojenkäsittelyn laillisuutta koskevat periaatteet.

Pykälää laadittaessa on otettu huomioon se, että henkilötietojen käsittelystä voidaan erityislainsäädännöllä säätää ehdotetusta laista poikkeavasti tai sitä täydentävästi. Sääntely on tällöinkin toteutettava tietosuojadirektiivin 7 artiklan asettamissa puitteissa edellyttäen, että kyse on oikeudenalasta, joka kuuluu direktiivin soveltamisalaan.

Pykälän 1 momentissa säädetyt henkilötietojen käsittelyn yleiset edellytykset koskisivat lainsäädäntötoimeksiannon mukaisesti lähtökohtaisesti kaikenlaista henkilötietojen lakiehdotuksen 3 §:n 2 kohdassa määriteltyä käsittelyä, kuten esimerkiksi henkilötietojen keräämistä, tallettamista, käyttöä, yhdistämistä ja luovuttamista. Henkilötietojen käsittely olisi sallittua vain silloin, kun jokin momentissa mainittu edellytys täyttyy.

Pykälän 1 momentin 1 kohdan mukaan henkilötietojen käsittely olisi sallittua rekisteröidyn yksiselitteisesti antamalla suostumuksella. Tämä vastaa asiallisesti nykyistä sääntelyä ja direktiivin 7 artiklan a alakohtaa. Henkilötietojen käsittelyn tulisi lähtökohtaisesti perustua rekisteröidyn suostumukseen, koska suostumukseen perustuvassa käsittelyssä toteutuu parhaiten henkilön tiedollinen itsemääräämisoikeus ja rekisterinpidon avoimuus.

Suostumuksen olisi ehdotuksen mukaan oltava rekisteröidyn yksiselitteisesti antama. Yksiselitteisen suostumuksen vaatimus ei täyty esimerkiksi, jos rekisteröidyltä pyydetään hänen sairaalaan saapuessaan yleinen suostumus hänen terveyttään tai hoitoaan koskevien tietojen luovuttamiseen. Tällaisessa tapauksessa rekisteröity ei suostumusta antaessaan ole vielä voinut tietää, minkälaisten tietojen luovuttamista suostumus koskee.

Suostumukselle asetettavat vaatimukset määräytyvät viimekädessä tapauskohtaisesti. Tällöin merkitystä on annettava muun muassa kerättävien tietojen laadulle. Jos suostumuksen olemassaolosta syntyisi kiistaa, todistustaakka suostumuksen olemassaolosta on rekisterinpitäjällä.

Pykälän 1 momentin 2 kohdassa sallittaisiin direktiivin 7 artiklan b alakohdan mukaisesti henkilötietojen käsittely rekisteröidyn toimeksiannosta. Toimeksiantoon perustuva käsittely on mahdollista nykyisenkin lainsäädännön mukaan.

Henkilötietojen käsittely olisi momentin 2 kohdan nojalla ja direktiivin 7 artiklan b alakohdan mukaisesti sallittua myös sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osallisena taikka sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.

Pykälän 1 momentin 3 kohdassa henkilötietojen käsittely sallittaisiin direktiivin 7 artiklan d alakohdan mukaisesti, jos se on yksittäistapauksessa tarpeen rekisteröidyn elintärkeän edun suojaamiseksi. Vastaavaa sääntelyä ei sisälly nykyiseen lainsäädäntöön. Ehdotettu lainkohta voisi tulla sovellettavaksi esimerkiksi silloin, kun rekisteröidyn hengen tai terveyden pelastaminen edellyttää häntä koskevien tietojen käsittelyä eikä hänen suostumustaan käsittelyyn ole saatavissa. Lainkohta ei soveltuisi silloin, kun henkilötietojen käsittely olisi tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa. Tällöin sovellettavaksi tulisi momentin 9 kohta ja käsittelyyn tarvittaisiin lakiehdotuksen 43 §:n 1 momentissa tarkoitettu tietosuojalautakunnan lupa.

Pykälän 1 momentin 4 kohdan mukaan henkilötietojen käsittely olisi sallittua, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Henkilötietojen käsittely ei enää voisi perustua asetukseen tai asetuksen nojalla määrättyyn tehtävään tai velvoitteeseen. Muutos johtuu hallitusmuodon 8 §:n 1 momentista, jonka mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Ehdotus vastaa direktiivin 7 artiklan c alakohtaa, jonka mukaan henkilötietojen käsittely on sallittua, jos se on tarpeen rekisterinpitäjälle lain mukaan kuuluvan velvoitteen täyttämiseksi.

Laissa säädetyllä käsittelyllä tarkoitetaan 1 momentin 4 kohdassa käsittelyä, josta säädetään muussa laissa. Myös muussa laissa säännellyn henkilötietojen käsittelyn on täytettävä direktiivin 7 artiklassa henkilötietojen käsittelylle säädetyt edellytykset siltä osin kuin käsittely kuuluu direktiivin soveltamisalaan.

Pykälän 1 momentin 5 kohdassa sallittaisiin henkilötietojen käsittely tapauksissa, joissa rekisteröidyllä on asiallinen yhteys rekisterinpitäjän toimintaan. Henkilötietojen käsittely olisi sallittua, jos rekisteröidyllä on asiakas- tai palvelussuhteen, jäsenyyden tai muun niihin verrattavan suhteen vuoksi asiallinen yhteys rekisterinpitäjän toimintaan. Vastaava säännös yhteysvaatimuksesta henkilötietojen keräämisen ja tallettamisen osalta sisältyy nykyään henkilörekisterilain 5 §:n 1 momenttiin. Direktiivin 7 artiklan f alakohdan on katsottava sallivan ehdotetun sääntelyn. Kohta sallii henkilötietojen käsittelyn, jos se on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet.

Pykälän 1 momentin 6 kohdan mukaan henkilötietoja saisi käsitellä, jos kysymys on konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä. Ehdotettu säännös kattaisi kaikenlaisen 6 kohdassa tarkoitettujen tietojen käsittelyn yhteenliittymän sisällä, paitsi henkilötietojen siirtämisen EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle, jolloin tulisivat sovellettaviksi lakiehdotuksen 22 ja 23 §:n säännökset henkilötietojen siirrosta EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle.

Nykyisen henkilörekisterilain 5 §:n 3 momentin mukaan konserni ja muu taloudellinen yhteenliittymä saa kerätä ja tallettaa yhteiseen henkilörekisteriin henkilötietoja yhteenliittymään kuuluvien yksiköiden asiakkaista tai työntekijöistä, jollei salassapitosäännöksistä muuta johdu. Henkilörekisterilain 18 §:n 5 momentin mukaan henkilötietojen luovuttamisena ei pidetä henkilötietojen siirtämistä lain 5 §:n 3 momentissa tarkoitettuun yhteiseen rekisteriin.

Henkilörekisterilain 5 §:n 3 momentin säännös otettiin aikanaan henkilörekisterilakiin, koska lain edellyttämä yhteysvaatimus ei välttämättä toteutunut konsernien ja muiden taloudellisten yhteenliittymien henkilöstö- ja asiakasrekistereissä ja koska ei katsottu tarkoituksenmukaiseksi säätää tällaisten henkilörekistereiden pitämistä luvanvaraiseksi. Säännös on osoittautunut käytännössä tarpeelliseksi. Monet suuret rekisterinpitäjät pitävät nykyisin yhteistä konsernirekisteriä. Rekisterin hajauttaminen kunkin oikeushenkilön yksin pidettäväksi merkitsisi rekisterinpitäjille suuria kustannuksia. Edellä mainitun sääntelyn säilyttäminen ja periaatteen ulottaminen muuhunkin lakiehdotuksen 8 §:ssä säänneltyyn henkilötietojen käsittelyyn on mahdollista direktiivin 7 artiklan f alakohdan nojalla.

Yhteisen rekisterin pitämisen konsernin tai muun taloudellisen yhteenliittymän työntekijöistä ei voida katsoa vaarantavan rekisteröidyn yksityisyyden suojaa. Sama koskee yhteistä asiakasrekisteriä ja siihen sisältyvien tietojen käsittelyä yhteenliittymän sisällä edellyttäen, että käsittelyssä noudatetaan ehdotetun lain 2 lukuun sisältyviä muita henkilötietojen käsittelyä koskevia yleisiä periaatteita. Asiakastietojen käsittelyssä on kiinnitettävä erityistä huomiota lakiehdotuksen 5 §:n huolellisuusvelvoitteeseen ja 7 §:ssä säädettyyn käyttötarkoitussidonnaisuuden periaatteeseen.

Pykälän 1 momentin 7 kohdan mukaan henkilötietoja saisi käsitellä, jos käsittely on tarpeen rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä, tai muita niihin verrattavia tehtäviä varten. Toimeksiannon saajalla ei olisi itsenäistä oikeutta käsitellä tietoja, vaan hänen oikeutensa perustuisi aina rekisterinpitäjällä olevaan oikeuteen. Toimeksiannon saajalla olisi oikeus käsitellä henkilötietoja toimeksiannosta ilman erityistä sääntelyäkin. Kohta ehdotetaan otettavaksi lakiin selvyyden vuoksi. Lainkohta korvaisi nykyisen henkilörekisterilain 18 §:n 5 momenttiin sisältyvän sääntelyn, jonka mukaan henkilötietojen luovuttamisena ei pidetä henkilötietojen antamista rekisterinpitäjän toimeksiannosta tapahtuvaa maksupalvelua, tietojenkäsittelyä tai muita niihin verrattavia tehtäviä varten. Ehdotetussa kohdassa tarkoitettu muu niihin verrattava tehtävä voisi olla esimerkiksi henkilötietojen yhdistäminen osoitetietojen tavanomaiseksi päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi esimerkiksi suoramarkkinoinnissa tai yhdistyksen toiminnassa.

Pykälän 1 momentin 8 kohdan nojalla saisi käsitellä sellaisia henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavia tietoja, jotka ovat yleisesti saatavilla ja joita käsitellään rekisterinpitäjän tai tiedot saavan sivullisen oikeuksien ja etujen turvaamiseksi. Säännös mahdollistaisi esimerkiksi ammatin- ja elinkeinonharjoittajien luottotietojen käsittelyn. Siinä tarkoitettuja yleisesti saatavilla olevia tietoja ovat muun ohella oikeusrekisterikeskuksen pitämään liiketoimintakieltorekisteriin sekä konkurssi- ja yrityssaneerausrekisteriin ja kaupparekisteriin sisältyvät tiedot, jotka ovat julkisia. Tämä henkilötietojen käsittelyn peruste on katsottu mahdolliseksi tietosuojadirektiivin 7 artiklan f alakohdan nojalla. Se mahdollistaa henkilötietojen käsittelyn, jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi edellyttäen, etteivät 1 artiklan 1 kohdassa tarkoitetut henkilön yksityisyyden suojaa turvaavat edut syrjäytä näitä rekisterinpitäjän tai sivullisen intressejä. Voidaan katsoa, etteivät henkilön yksityisyyden suojaa turvaavat edut 8 kohdassa tarkoitetuissa tilanteissa syrjäytä rekisterinpitäjän tai sivullisen intressejä, koska kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisössä tai elinkeinoelämässä kuvaavista tiedoista, jotka ovat yleisesti saatavilla.

Pykälän 1 momentin 9 kohdan mukaan henkilötietojen käsittely olisi sallittua myös, jos tietosuojalautakunta on antanut käsittelyyn 43 §:n 1 momentissa tarkoitetun luvan. Lupa voitaisiin 43 §:n 1 momentin nojalla myöntää silloin, kun direktiivin 7 artiklan d ― f alakohdan mukaiset edellytykset henkilötietojen käsittelylle täyttyisivät. Lupa voitaisiin siten myöntää, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa (7 artiklan d alakohta) tai jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan (7 artiklan e alakohta). Lupa voitaisiin myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi edellyttäen, ettei tietojen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia (7 artiklan f alakohta). Lakiehdotuksen 43 §:n 1 momentissa tarkoitetussa luvassa ei enää olisi kysymyksessä nykyisen henkilörekisterilain 37 §:ssä säädetyn kaltainen lain tai asetuksen säännöksistä myönnettävä poikkeus, vaan lupa voitaisiin myöntää vain silloin, kun direktiivin 7 artiklan d, e tai f alakohdan mukaiset edellytykset henkilötietojen käsittelylle täyttyisivät. Lupamenettely on katsottu tarpeelliseksi, jotta näiden edellytysten täyttyminen ei jäisi rekisterinpitäjän yksipuolisesti arvioitavaksi tapauksissa, joissa direktiivin 7 artiklan d ― f alakohdan mukaisesta henkilötietojen käsittelystä ei ole erikseen säädetty. Koska lupa voidaan myöntää vain 43 §:ssä säädetyin edellytyksin, on lupamenettelyn katsottava täyttävän hallitusmuodon perusoikeuksien poikkeuksilta edellyttämän täsmällisyysvaatimuksen ja vaatimuksen siitä, että henkilötietojen suojasta säädetään lailla.

Pykälän 1 momentissa säädettyjä henkilötietojen käsittelyn edellytyksiä sovellettaisiin myös henkilötietojen luovuttamiseen muun kuin viranomaisen henkilörekisteristä. Henkilötietojen luovuttamisesta viranomaisen henkilörekisteristä säädettäisiin laissa viranomaisten toiminnan julkisuudesta. Säännös siitä sisältyy pykälän 3 momenttiin.

Pykälän 2 momentissa täsmennettäisiin, millä edellytyksillä henkilötietoja voidaan luovuttaa yksityisen rekisteristä pykälän 1 momentin 5 kohdan nojalla. Vastaavan tyyppinen säännös sisältyy nykyisen henkilörekisterilain 18 §:n 1 momentin 3 kohtaan. Ehdotetussa säännöksessä on otettu huomioon tietosuojadirektiivin 6 artiklan 1 kohdan b alakohdan vaatimus siitä, ettei tarkoitus, johon henkilötietoja luovutetaan, saa olla yhteensopimaton niiden käsittelyn tarkoituksen kanssa. Tämä luovutusperuste on katsottu mahdolliseksi säilyttää tietosuojadirektiivin 7 artiklan f alakohdan perusteella. Henkilötiedon luovuttaminen voi täyttää tämän kohdan mukaisen tavanomaisuusvaatimuksen esimerkiksi järjestötyössä ja muussa vapaa-ajan harrastustoiminnassa sekä työelämässä.

Pykälän 3 momentti sisältäisi tietojen luovuttamista viranomaisen henkilörekisteristä koskevan viittaussäännöksen viranomaisten asiakirjojen julkisuutta koskeviin säännöksiin. Luovutettaessa tietoja viranomaisten henkilörekistereistä on huomioon otettava julkisuusperiaate ja salassapitosäännökset. Henkilötietojen luovuttamisesta viranomaisten rekistereistä säädetään nykyisin yleisten asiakirjain julkisuudesta annetussa laissa. Yksittäisen julkisen tiedon luovuttamista viranomaisen rekisteristä ei ole rajoitettu, eikä myöskään julkisten tietojen massaluovutusta viranomaisen manuaalirekisteristä. Mainitun lain 18 a §:ssä on kuitenkin rajoitettu tietojen luovuttamista henkilörekisterilaissa tarkoitettuna massaluovutuksena tai arkaluonteisena otantana viranomaisen teknisenä tallenteena olevasta henkilörekisteristä. Tällainen luovutus on mahdollinen vain rekisteröidyn suostumuksella tai tietosuojalautakunnan luvalla tai jos tietoja luovutetaan lain tai asetuksen nojalla taikka tieteellistä tutkimusta tai tilastointia varten. Massaluovutuksena saa tietoja luovuttaa lisäksi henkilömatrikkelia ja sukututkimusta varten, jollei rekisteröity ole kieltänyt tietojen tällaista luovuttamista. Tietojen luovuttamisesta viranomaisten rekistereistä on lisäksi lukuisia erityissäännöksiä.

Julkisuusperiaatteen toteuttamistavoista ja yleisimmistä salassapitoperusteista ehdotetaan säädettäväksi eduskunnan käsiteltävänä olevassa laissa viranomaisten toiminnan julkisuudesta. Yhdenmukaisuuden vuoksi on tarkoituksenmukaista, että henkilötietojen luovuttamisesta viranomaisen tiedostoista säädettäisiin tuossa laissa. Tietosuojadirektiivi mahdollistaa julkisuusperiaatteen huomioon ottamisen kansallisessa lainsäädännössä. Tämä todetaan nimenomaisesti direktiivin johdanto-osan 72 kohdassa.

Ehdotettuun lakiin viranomaisten toiminnan julkisuudesta on sisällytetty yksityisyyden suojan kannalta tarpeelliset henkilötietojen luovuttamisen rajoitukset. Lähtökohtana on, ettei laissa edelleenkään rajoitettaisi yksittäisen tiedon luovuttamista viranomaisen henkilörekisteristä, jollei salassapitosäännöksistä muuta johdu. Laissa viranomaisten toiminnan julkisuudesta säädettäisiin myös, millä edellytyksillä henkilötietojen laajamittainen luovuttaminen esimerkiksi sähköisessä muodossa on sallittua.

Ehdotettuun henkilötietolakiin ei sisältyisi henkilötietojen massaluovutuksen ja arkaluonteisen otannan käsitteitä. Arkaluonteisten tietojen luovuttaminen olisi sallittua vain ehdotetun lain 12 §:ssä säädettävillä perusteilla.

Pykälän 4 momentti sisältää viittaussäännöksen siitä, että arkaluonteisten henkilötietojen ja henkilötunnuksen käsittelystä säädetään 3 luvussa ja henkilötietojen käsittelystä erityisiä tarkoituksia varten 4 luvussa.

9 §. Tietojen laatua koskevat periaatteet. Pykälässä säädettäisiin käsiteltävien henkilötietojen tarpeellisuusvaatimuksesta ja virheettömyysvaatimuksesta. Tietosuojadirektiivin 6 artiklan 1 kohdan d alakohdassa jäsenvaltiot velvoitetaan säätämään siitä, että henkilötiedot ovat täsmällisiä ja tarvittaessa päivitettyjä. Rekisterinpitäjän on artiklan 2 kohdan mukaan huolehdittava käsiteltävien tietojen tarpeellisuus- ja virheettömyysvaatimuksen noudattamisesta.

Pykälän 1 momentissa säädettäisiin, että käsiteltävien henkilötietojen tulee olla määritellyn henkilötietojen käsittelyn tarkoituksen kannalta tarpeellisia. Nykyisin tarpeellisuusvaatimuksesta säädetään henkilörekisterilain 5 §:n 2 momentissa. Säännöstä on tietosuojadirektiivistä johtuen tarkistettu sanonnallisesti. Henkilötietoja voidaan pitää käsittelyn tarkoituksen kannalta tarpeellisina silloin, kun ne ovat asianmukaisia ja olennaisia eivätkä liian laajoja siihen tarkoitukseen, mihin ne on kerätty ja missä niitä myöhemmin käsitellään.

Pykälän 2 momentti velvoittaisi rekisterinpitäjän huolehtimaan siitä, ettei virheellisiä, epätäydellisiä tai vanhentuneita tietoja käsitellä. Nykyisin henkilörekisterin tietojen paikkansapitävyyden varmistamisesta säädetään henkilörekisterilain 9 §:ssä. Säännöstä on ehdotuksessa tarkistettu tietosuojadirektiivistä johtuen sanonnallisesti.

Rekisterinpitäjän säännöksessä tarkoitettua velvollisuutta arvioitaessa olisi otettava huomioon henkilötietojen käsittelyn tarkoitus sekä käsittelyn merkitys rekisteröidyn yksityisyyden suojalle. Tämä tarkoittaa muun ohella sitä, että esimerkiksi käsiteltäessä henkilötietoja tutkimus- tai tilastotarkoituksiin velvoite ei edellyttäisi yhtä laajoja toimia kuin jos kysymys on sellaisesta henkilötietojen käsittelystä, jossa tietoja käytetään yksityistä henkilöä koskevassa päätöksenteossa.

Henkilötietojen käsittelyn tarkoituksen kannalta virheellisen, tarpeettoman, puutteellisen tai vanhentuneen henkilötiedon oikaisemisesta, poistamisesta tai täydentämisestä säädettäisiin 29 §:ssä.

10 §. Rekisteriseloste. Pykälässä säädettäisiin tietojenkäsittelyn avoimuudesta. Pykälä velvoittaa rekisterinpitäjän laatimaan henkilörekisteristä rekisteriselosteen ja pitämään sen jokaisen saatavilla. Rekisteriselosteen laatiminen on osa lain 6 §:ssä tarkoitettua henkilötietojen käsittelyn suunnittelua. Nykyisen henkilörekisterilain 10 §:n 1 momentin mukaan rekisteriseloste on laadittava automaattisen tietojenkäsittelyn avulla ylläpidettävästä henkilörekisteristä. Ehdotettu säännös velvoittaisi rekisterinpitäjän laatimaan rekisteriselosteen myös manuaalisesta rekisteristä. Tämä on perusteltua avoimuuden toteuttamiseksi henkilötietojen käsittelyssä. Tietotekniikan kehityttyä ja automaattisen tietojenkäsittelyn yleistyttyä ei enää ole nähty syytä eron tekemiseen automaattisen ja muunlaisen tietojenkäsittelyn välillä. Myös nykyisen henkilörekisterilain 10 §:n 3 momentti velvoittaa rekisterinpitäjän pyynnöstä antamaan tiedon sellaisenkin henkilörekisterin käyttötarkoituksesta ja tietojen laadusta, josta ei ole laadittava rekisteriselostetta.

Tietosuojadirektiivin 21 artiklan 3 kohdassa edellytetään jäsenvaltioiden säätävän siitä, että rekisterinpitäjän tai muun sen nimeämän on annettava kenelle tahansa tietoja pyytävälle direktiivin 19 artiklan 1 kohdassa mainitut tiedot sellaisesta henkilötietojen käsittelystä, josta ei tarvitse ilmoittaa tietosuojaviranomaiselle. Tällaisia tietoja ovat rekisterinpitäjän nimi ja osoite ja tarvittaessa hänen edustajansa nimi ja osoite, tietojen käsittelyn tarkoitus tai tarkoitukset, kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä, tietojen vastaanottajat tai vastaanottajaryhmät, joille tietoja mahdollisesti luovutetaan, sekä suunnitellut tietojen siirrot EU:n ulkopuolisiin maihin.

Pykälän 1 momentissa säädettäisiin rekisterinpitäjälle velvollisuus laatia henkilörekisteristä rekisteriseloste, josta ilmenee rekisterinpitäjän ja tarvittaessa tämän edustajan nimi ja yhteystiedot, henkilötietojen käsittelyn tarkoitus, kuvaus rekisteröityjen ryhmästä tai ryhmistä ja näihin liittyvistä tiedoista tai tietoryhmistä ja tieto siitä, mihin rekisterissä olevia tietoja säännönmukaisesti luovutetaan ja siirretäänkö tietoja EU:n jäsenvaltioiden tai ETAn ulkopuolelle. Näiden tietojen lisäksi rekisteriselosteessa voi toisinaan olla hyvä kertoa muitakin informaation kannalta tärkeitä asioita, kuten rekisterin tietolähteet.

Rekisterinpitäjän edustaja voi tarkoittaa esimerkiksi sellaista edustajaa, joka rekisterinpitäjän olisi nimettävä 4 §:n 2 momentissa tarkoitetuissa tilanteissa.

Rekisteriseloste olisi pykälän 2 momentin mukaan pidettävä jokaisen saatavilla. Nykyisen henkilörekisterilain 10 §:n 1 momentin mukaan rekisteriseloste on pidettävä jokaisen nähtävänä rekisterinpitäjän toimipaikassa. Ehdotetussa säännöksessä ei ole mainintaa siitä, missä rekisteriselosteen olisi oltava saatavilla. Vaikka rekisteriselosteen saatavillapidon paikasta ei olisi nimenomaista säännöstä, lähtökohtana olisi edelleenkin, että rekisteriseloste on saatavilla rekisterinpitäjän toimipaikassa. Sääntelyn tarkoituksena on mahdollistaa rekisterinpitäjän ja tiedonhakijan kannalta riittävä joustavuus. Esimerkiksi silloin, kun rekisteri on tietoverkossa, myös rekisteriselosteen olisi oltava saatavilla verkossa.

Pykälän 2 momentissa säädettäisiin myös poikkeuksista rekisteriselosteen saatavillapidosta. Poikkeaminen olisi mahdollista, jos se on välttämätöntä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi tai rikosten ehkäisemiseksi tai selvittämiseksi taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi. Tietosuojadirektiivin 13 artikla sallii poikkeamisen 21 artiklan 3 kohdassa säädetystä tietojenantovelvollisuudesta muun ohella silloin, kun se on välttämätöntä valtion turvallisuuden tai yleisen turvallisuuden vuoksi, rikosten ehkäisemiseksi tai selvittämiseksi taikka jäsenvaltion tärkeän julkiseen talouteen tai verotukseen liittyvän valvontatehtävän varmistamiseksi. Valtion turvallisuus ja rikosten ehkäiseminen ovat rekisteriselosteen nähtävillä pidon poikkeusperusteina myös nykyisen henkilörekisteriasetuksen 7 §:ssä. Erityislainsäädännöllä voidaan tarvittaessa toteuttaa myös muita poikkeuksia rekisteriselosteen saatavillapidosta. Jos kysymys on tietosuojadirektiivin soveltamisalaan kuuluvasta henkilötietojen käsittelystä, poikkeuksia voidaan tehdä tietosuojadirektiivin 13 artiklassa säädetyillä perusteilla.

3 luku. Arkaluonteiset tiedot ja henkilötunnus

11 §. Arkaluonteisten tietojen käsittelykielto. Pykälässä ehdotetaan säädettäväksi arkaluonteisten henkilötietojen käsittelykiellosta ja määritellään arkaluonteisina pidettävät tiedot.

Pykälän mukaan arkaluonteisten henkilötietojen käsittely on kielletty. Arkaluonteisina tietoina pidettäisiin henkilötietoja, jotka kuvaavat tai on tarkoitettu kuvaamaan 1) rotua tai etnistä alkuperää, 2) henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista, 3) rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta, 4) henkilön terveydentilaa, sairautta tai vammaisuutta taikka häneen kohdistettuja hoitotoimenpiteitä tai niihin verrattavia toimia, 5) henkilön seksuaalista suuntautumista tai käyttäytymistä tai 6) henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia. Pykälä vastaa pitkälti nykyistä henkilörekisterilain 6 §:ää ja täyttää direktiivin 8 artiklan 1 kohdan vaatimukset niistä henkilötiedoista, joiden käsittely jäsenvaltioiden on kiellettävä.

Uutuutena nykyiseen henkilörekisterilain 6 §:ään verrattuna on, että myös tieto, joka kuvaa tai on tarkoitettu kuvaamaan ammattiliittoon kuulumista, säädettäisiin tietosuojadirektiivin 8 artiklan 1 kohdan velvoitteen mukaisesti pykälän 2 kohdassa arkaluonteiseksi. Pohjoismaissa, joissa työntekijöiden järjestäytymisaste on perinteisesti ollut korkea, ei tietoa ammattiliittoon kuulumisesta ole pidetty arkaluonteisena tietona. Käytännössä mainitun tiedon säätäminen arkaluonteiseksi ei kuitenkaan aiheuttane ongelmia, koska ammattiliittoon kuulumista koskevan tiedon käsittely olisi sallittua 12 §:n nojalla muun muassa ammattiyhdistyksen ja niiden muodostaman liiton toiminnassa ja työnantajien erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla. Ammattiliittoon kuulumista koskevan tiedon käsittely olisi 12 §:n 1 kohdan mukaan sallittua myös rekisteröidyn kirjallisella suostumuksella. Muun muassa työnantajan toteuttama ammattiliiton jäsenmaksujen perintä olisi näin edelleen mahdollista.

Pykälän 5 kohdassa ehdotetaan arkaluonteiseksi tiedoksi säädettäväksi aikaisemmasta poiketen henkilön seksuaalista käyttäytymistä kuvaavan tiedon lisäksi myös henkilön seksuaalista suuntautumista kuvaava tieto. Nykyisessä henkilörekisterilain 6 §:ssä henkilön seksuaalista käyttäytymistä koskevilla tiedoilla on lain esitöiden mukaan tarkoitettu myös tietoja henkilön seksuaalisesta suuntautumisesta. Lisäys ehdotetaan otettavaksi lainkohtaan selvyyden vuoksi. Ehdotetun sääntelyn voidaan katsoa sisältyvän direktiivin 8 artiklan 1 kohtaan, jonka mukaan jäsenvaltioiden on kiellettävä seksuaaliseen käyttäytymiseen liittyvien tietojen käsittely.

Pykälän 6 kohdan mukaan arkaluonteisia tietoja olisivat henkilötiedot, jotka kuvaavat tai on tarkoitettu kuvaamaan henkilön sosiaalihuollon tarvetta tai hänen saamiaan sosiaalihuollon palveluja, tukitoimia ja muita sosiaalihuollon etuuksia. Sosiaalihuollolla ja sosiaalihuollon palveluilla, tukitoimilla ja etuuksilla tarkoitetaan ehdotuksessa samaa kuin sosiaalihuoltolaissa (710/1982) ja sosiaalihuollon tarpeella näihin liittyviä tarpeita. Henkilörekisterilain 6 §:n 6 kohdassa arkaluonteisina tietoina pidetään henkilön saamia sosiaalipalveluja, toimeentulotukea, sosiaaliavustuksia ja niihin liittyviä sosiaalihuollon palveluja. Ehdotetussa säännöksessä arkaluonteisia olisivat näiden tietojen lisäksi myös henkilön sosiaalihuollon tarvetta kuvaavat tiedot. Tällaista lisäystä on pidetty perusteltuna sen vuoksi, että sosiaalihuollon asiakkaan näkökulmasta jo sosiaalihuollon etuuden hakemista tai esimerkiksi lastensuojeluilmoituksen kohteeksi joutumista koskevaa tietoa voidaan pitää arkaluonteisena tietona. Sosiaalihuollon palveluita koskevat tiedot eivät sisälly direktiivin 8 artiklan 1 kohdassa lueteltuihin tietoihin. Koska kyseisten tietojen rekisteröinnin on kuitenkin meillä perinteisesti katsottu sisältävän tavanomaista suuremman riskin kansalaisten yksityisyydelle ja oikeusturvalle, on tiedot haluttu säätää arkaluonteisiksi. Sosiaalihuollon palveluita koskevien tietojen säilyttämistä arkaluonteisina puoltaa myös direktiivin johdanto-osan 10 kohdassa ilmaistu periaate, jonka mukaan jäsenvaltioiden lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen.

12 §. Poikkeukset arkaluonteisten tietojen käsittelykiellosta. Pykälässä säädettäisiin arkaluonteisten henkilötietojen käsittelykiellon poikkeuksista. Poikkeukset koskevat myös viranomaisten henkilörekistereissä olevien arkaluonteisten henkilötietojen käsittelyä ja siten myös arkaluonteisten tietojen luovuttamista viranomaisten rekistereistä. Koska viranomaisten rekistereissä olevat arkaluonteiset henkilötiedot ovat usein myös salassapidettäviä, näiden tietojen luovuttamisessa on otettava lisäksi huomioon lainsäädäntöön sisältyvät salassapitoa ja salassapidon poikkeuksia koskevat säännökset.

Pykälän poikkeusperusteet vastaavat pitkälti nykyisessä henkilörekisterilain 7 §:ssä säädettyjä poikkeuksia arkaluonteisten tietojen rekisteröintikiellosta täydennettynä direktiivin 8 artiklan mukaisilla poikkeusperusteilla.

Pykälän 1 kohdan mukaan 11 §:ssä säädetty arkaluonteisten tietojen käsittelykielto ei estäisi tietojen käsittelyä, johon rekisteröity on antanut nimenomaisen suostumuksensa. Ehdotus vastaa direktiivin 8 artiklan 2 kohdan a alakohtaa, jonka mukaan 8 artiklan 1 kohdassa tarkoitettuja henkilötietoja saa käsitellä rekisteröidyn nimenomaisella (explicit) suostumuksella. Arkaluonteisten henkilötietojen kerääminen, tallettaminen, luovuttaminen sekä yhdistäminen on sallittua rekisteröidyn suostumuksella myös henkilörekisterilain 7 sekä 18―20 §:n nojalla. Henkilörekisteriasetuksen 18 §:n mukaan suostumuksen on oltava kirjallinen. Myös ehdotettu nimenomainen suostumus edellyttää yleensä kirjallista suostumusta, josta ilmenee, minkälaiseen henkilötietojen käsittelyyn lupa on annettu.

Pykälän 2 kohdan nojalla saisi käsitellä sellaisia henkilön yhteiskunnallista, poliittista tai uskonnollista vakaumusta tai ammattiliittoon kuulumista koskevia tietoja, jotka rekisteröity on itse saattanut julkisiksi. Säännös mahdollistaisi sen, että esimerkiksi poliitikkojen ja yhteiskunnallisessa luottamustehtävässä toimivien puoluekantaa koskevia tietoja voitaisiin käsitellä, koska poliittisella vakaumuksella on usein merkitystä tämän tyyppisessä toiminnassa ja sen ilmaiseminen on henkilön omankin edun mukaista. Ehdotettu poikkeaminen arkaluonteisten tietojen käsittelykiellosta on mahdollista tietosuojadirektiivin 8 artiklan 2 kohdan e alakohdan nojalla.

Pykälän 3 kohtaan sisältyvän poikkeusperusteen mukaan arkaluonteisten tietojen käsittelykielto ei estä tietojen käsittelyä, joka on tarpeen rekisteröidyn tai jonkun toisen henkilön elintärkeän edun suojaamiseksi, jos rekisteröity on estynyt antamasta suostumustaan. Ehdotus perustuu direktiivin 8 artiklan 2 kohdan c alakohtaan. Vastaavaa sääntelyä ei sisälly nykyiseen lakiin.

Pykälän 4 kohdan mukaan arkaluonteisten tietojen käsittely olisi sallittua, jos tietojen käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi. Vastaavaa sääntelyä ei sisälly nykyiseen lakiin. Ehdotus perustuu direktiivin 8 artiklan 2 kohdan e alakohtaan. Nimenomaisen säännöksen puuttuessa tietosuojalautakunta on muun muassa oikeudenkäymiskaaren (OK) 17 luvun 1 §:ään vedoten katsonut, että rekisterinpitäjällä on ollut oikeus kerätä ja tallettaa arkaluonteisia tietoja mainittuja tarkoituksia varten ilman poikkeuslupaa. Ottaen huomioon lain tarkoituksen ja asianomistajalle lain mukaan kuuluvat oikeudet, tietosuojalautakunta on katsonut, että rekisterin perustaminen ja pitäminen on johtunut välittömästi asianomistajalle kantajana säädetystä tehtävästä näyttää toteen ne seikat, jotka tukevat kannetta ja joihin kantajan vaatimus nojautuu. Nimenomaisen säännöksen puuttuminen on kuitenkin ilmeinen epäkohta. Säännöksen ottaminen lakiin selventäisi esimerkiksi asianajajien ja yleisten oikeusaputoimistojen oikeutta käsitellä vastapuolta koskevia rikostietoja ja muita asian ajamisessa mahdollisesti tarvittavia arkaluonteisia tietoja.

Pykälän 5 kohdan nojalla arkaluonteisten henkilötietojen käsittely olisi sallittua, jos käsittelystä on säädetty laissa tai jos käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Ehdotettu sääntely perustuu direktiivin 8 artiklan 4 kohtaan, jonka mukaan jäsenvaltiot voivat, ottaen huomioon tarvittavat suojatoimet, tärkeää yleistä etua koskevasta syystä, toteuttaa muita kuin artiklan 2 kohdassa säädettyjä poikkeuksia kansallisella lailla.

Ehdotettu lainkohta vastaa arkaluonteisten henkilötietojen keräämisen ja tallettamisen osalta muutoin henkilörekisterilain 7 §:n 1 kohtaa, mutta tietojen kerääminen ja tallettaminen ei enää olisi mahdollista, jos henkilörekisteristä on säädetty vain asetuksessa. Arkaluonteisia tietoja sisältävän henkilörekisterin perustaminen ei myöskään enää voisi perustua rekisterinpitäjälle lain tai asetuksen nojalla määrättyyn tehtävään. Muutokset johtuvat direktiivin 8 artiklan 4 kohdan vaatimuksista ja siitä, että hallitusmuodon 8 §:n 1 momentin mukaan henkilötietojen suojasta on säädettävä lailla.

Ehdotetun lainkohdan nojalla voidaan kansallisessa lainsäädännössä toteuttaa muitakin kuin ehdotetussa 12 §:ssä tarkoitettuja poikkeuksia arkaluonteisten tietojen käsittelykiellosta. Sääntelyn on kuitenkin täytettävä direktiivin 8 artiklan 4 kohdan edellytykset. Poikkeusten tulee siten olla tärkeän yleisen edun vaatimia ja sääntelyssä on otettava huomioon direktiivin vaatimus tarvittavista suojatoimista. Direktiivin 8 artiklan 4 kohdan mukaisista poikkeuksista on artiklan 6 kohdan mukaan lisäksi ilmoitettava komissiolle.

Pykälän 6 kohdan mukaan arkaluonteisten henkilötietojen käsittely olisi sallittua, jos tietoja käsitellään historiallista tai tieteellistä tutkimusta tai tilastointia varten.

Nykyisen henkilörekisterilain 7 §:n 7 kohdan mukaan arkaluonteisten tietojen kerääminen ja tallettaminen on sallittua, jos kysymys on sellaisesta yksilöityä tieteellistä tutkimusta varten tarkoitetusta henkilörekisteristä kuin asetuksella tarkemmin säädetään. Ehdotuksessa ei enää vaadita, että kysymyksessä olisi yksilöity tieteellinen tutkimus. Tämä johtuu siitä, että määrättyä tutkimushanketta varten kerättyjä ja talletettuja tietoja voidaan myöhemmin lakiehdotuksen 7 §:n perusteella käyttää muussakin tutkimushankkeessa. Myös viittaus asetuksessa säädettyyn tutkimusrekisteriin on poistettu, koska tutkimusrekistereitä koskevat säännökset on lakiehdotuksessa nostettu asetuksesta lain 14 §:ään ja koska tutkimustoiminnassa on oltava mahdollisuus käsitellä arkaluonteisia tietoja riippumatta siitä, onko kysymys 14 §:ssä tarkoitetusta tai muusta tutkimustoiminnasta.

Henkilörekisterilaissa ei ole nimenomaista säännöstä oikeudesta kerätä ja tallettaa arkaluonteisia tietoja tilastointia varten. Toisaalta henkilörekisterilain 18 §:ssä ja yleisten asiakirjain julkisuudesta annetun lain 18 a §:ssä on sallittu henkilötietojen luovuttaminen tilastointia varten eikä tilastorekistereitä koskevassa henkilörekisteriasetuksen 2 §:ssä ole kielletty arkaluonteisten henkilötietojen keräämistä ja tallettamista tilastorekistereihin. Käytännössä arkaluonteisten henkilötietojen kerääminen ja tallettaminen on katsottu sallituksi viranomaisten tilastorekistereitä varten. Ehdotettu sääntely sallisi arkaluonteisten henkilötietojen käsittelyn sekä viranomaisten että muiden suorittamaa tilastointia varten.

Direktiivin 8 artiklaan ei sisälly historiallista tai tieteellistä tutkimusta tai tilastointia koskevaa poikkeusperustetta. Artiklan 4 kohdan nojalla kansallisella lailla voidaan kuitenkin tarpeelliset suojatoimet huomioon ottaen toteuttaa tärkeää yleistä etua koskevasta syystä myös muita kuin artiklassa mainittuja poikkeuksia arkaluonteisten tietojen käsittelykiellosta. Vaatimuksen tarpeellisista suojatoimista voidaan katsoa täyttyvän sillä, että lakiehdotuksen 14 ja 15 §:ssä on säädelty tarkasti tilanteet, joissa henkilötietojen kerääminen ja tallettaminen historiallista tai tieteellistä tutkimusta ja tilastointia varten ylipäänsä on sallittu. Jos muussa laissa säädetään tutkimus- ja tilastorekistereistä, on sääntelyssä otettava huomioon direktiivin 8 artiklan 4 kohdan vaatimukset.

Pykälän 7 kohdan mukaan arkaluonteisten henkilötietojen käsittelykielto ei estäisi uskonnollista, poliittista tai yhteiskunnallista vakaumusta koskevien tietojen käsittelyä tällaista vakaumusta edustavien yhdistysten ja muiden yhteisöjen toiminnassa, jos tiedot koskevat näiden yhdistysten tai yhteisöjen jäseniä taikka henkilöitä, joilla on niihin säännölliset, yhdistysten ja yhteisöjen tarkoituksiin liittyvät yhteydet eikä tietoja luovuteta sivullisille ilman rekisteröidyn suostumusta. Vastaavaa sääntelyä ei sisälly henkilörekisterilakiin. Yhdistyslain (503/1989) 11 §:n 1 momentissa (1614/1992) säädetään yhdistyksen jäsenistä pidettävästä jäsenluettelosta ja 2 momentissa (503/1989) jäsenluettelossa olevien tietojen luovuttamisesta. Yhdistyksen jäsenelle on varattava tilaisuus tutustua jäsenluettelon tietoihin. Luovuttamisesta on muutoin voimassa, mitä henkilörekisterilaissa säädetään.

Pykälän 7 kohdan mukainen sääntely on katsottu mahdolliseksi direktiivin 8 artiklan 2 kohdan d alakohdan perusteella. Sen mukaan arkaluonteisten tietojen käsittely 7 kohdassa mainituissa tapauksissa on sallittua, jos se suoritetaan asianmukaisin suojatoimin eikä tietoja luovuteta sivullisille ilman rekisteröityjen suostumusta.

Pykälän 8 kohdassa säädetään tilanteista, joissa henkilön ammattiliittoon kuulumista koskevan tiedon käsittely olisi sallittua ammattiyhdistysten ja niiden muodostaman liiton toiminnassa. Ehdotuksen mukaan ammattiliittoon kuulumista koskevan tiedon käsittely olisi sallittua ammattiyhdistysten ja niiden muodostaman liiton toiminnassa, jos tiedot koskevat näiden järjestöjen jäseniä tai henkilöitä, joilla on järjestöihin säännölliset, järjestöjen tarkoituksiin liittyvät yhteydet, eikä tietoja luovuteta sivullisille ilman rekisteröidyn suostumusta. Vastaavaa sääntelyä ei sisälly nykyiseen lakiin. Ehdotettu sääntely perustuu direktiivin 8 artiklan 2 kohdan d alakohtaan, joka sallii ehdotetun käsittelyn, jos se suoritetaan asianmukaisin suojatoimin eikä tietoja luovuteta sivullisille ilman rekisteröityjen suostumusta. Direktiivi ei edellytä, että tämä suostumus olisi annettava nimenomaisesti. Suostumukselle asetettavat vaatimukset määräytyvät viime kädessä tapauskohtaisesti. Myös konkludenttinen, olosuhteista pääteltävissä oleva suostumus voisi joissakin tapauksissa täyttää suostumuksen vaatimuksen. Tällainen tilanne voisi olla esimerkiksi silloin, kun ammattiliitot tarjoavat toiminnassaan jäsenetuja sivullisen kanssa tekemänsä sopimuksen perusteella ja luovuttavat edun saamiseksi välttämättömän ammattiliiton jäsenyystiedon sivullisena olevalle edun tarjoajalle. Suostumus voitaisiin päätellä olosuhteista esimerkiksi silloin, kun ammattiliitto tai ammattiliiton jäsen on tehnyt jäsenetuna sopimuksen vakuutusyhtiön kanssa vastuuvakuutuksesta tai oikeusturvavakuutuksesta. Rekisteröidyn voidaan tällöin katsoa suostuneen siihen, että hänen edun myöntämisen ehtona oleva jäsenyystietonsa ja tätä tietoa koskevat muutokset toimitetaan asianomaiselle jäsenedut tarjoavalle vakuutusyhtiölle.

Jos suostumuksen olemassaolosta syntyisi kiistaa, todistustaakka suostumuksen olemassaolosta on rekisterinpitäjällä.

Pykälän 9 kohta sallisi ammattiliittoon kuulumista koskevan tiedon käsittelyn, jos se on tarpeen rekisterinpitäjän erityisten oikeuksien ja velvoitteiden noudattamiseksi työoikeuden alalla. Säännös mahdollistaisi sen, että myös työnantaja voisi siinä säädetyillä edellytyksillä käsitellä ammattiliiton jäsenyystietoja. Tällainen tilanne voi olla esimerkiksi silloin, kun ammattiliiton jäsenyystietoa tarvitaan virka- ja työehtosopimuksen sidonnaisuuden selvittämisessä tai työtaistelutilanteessa sen selvittämiseksi, ketkä kuuluvat työtaistelun piiriin. Säännös perustuu tietosuojadirektiivin 8 artiklan 2 kohdan b alakohtaan.

Pykälän 10 kohdan mukaan arkaluonteisten henkilötietojen käsittelykielto ei estäisi terveydenhuollon toimintayksikköä tai terveydenhuollon ammattihenkilöä käsittelemästä näiden tässä toiminnassa saamia tietoja rekisteröidyn terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä taikka muita rekisteröidyn hoidon kannalta välttämättömiä tietoja. Ehdotus vastaa direktiivin 8 artiklan 3 kohtaa. Sama poikkeusperuste sisältyy nykyään myös henkilörekisterilain 7 §:n 3 ja 4 kohtaan. Ehdotuksessa henkilörekisterilain 7 §:n 3 kohdan maininta terveydenhuollon viranomaisesta tai laitoksesta on korvattu terveydenhuollon toimintayksiköllä ja henkilörekisterilain 7 §:n 4 kohdassa mainittu terveydenhuollon ammattikoulutuksen saanut henkilö terveydenhuollon ammattihenkilöllä, jonka määritelmä sisältyy terveydenhuollon ammattihenkilöistä annetun lain (559/1994) 2 §:ään.

Pykälän 11 kohdan mukaan arkaluonteisten tietojen käsittelykielto ei estäisi vakuutuslaitosta käsittelemästä vakuutustoiminnassa saatuja tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista. Lähes saman sisältöinen poikkeusperuste sisältyy nykyään henkilörekisterilain 7 §:n 6 kohtaan. Nykyisessä säännöksessä mainitaan vakuutuslaitoksista kuitenkin vain vakuutusyhtiöt ja tietoja saa kerätä vain vakuutetusta. Koska myös muilla vakuutuslaitoksilla kuten vakuutusyhdistyksillä ja eläkesäätiöillä ja -kassoilla on samanlainen tarve käsitellä toiminnassaan henkilöiden terveydentilaa koskevia tietoja kuin vakuutusyhtiöillä, ehdotetaan vakuutusyhtiön sijasta säädettäväksi vakuutuslaitoksen oikeudesta käsitellä tietoja. Lisäyksenä nykyiseen sääntelyyn ehdotetaan myös, että vakuutuslaitokset saisivat 11 kohdan nojalla käsitellä vakuutettua koskevien tietojen lisäksi myös korvauksenhakijaa koskevia tietoja. Tämä johtuu siitä, että vakuutuslaitokset joutuvat toiminnassaan käsittelemään myös muita korvauksenhakijoita kuin vakuutettuja koskevia terveydentilatietoja. Esimerkiksi liikenneonnettomuudessa loukkaantunut henkilö ei useinkaan ole vakuutettu, vaan ulkopuolinen henkilö, jolle liikenneonnettomuudessa on aiheutunut henkilövahinko.

Lisäyksenä nykyiseen sääntelyyn ehdotetaan myös, että vakuutuslaitokset saisivat käsitellä sellaisia tietoja vakuutetun, korvauksenhakijan tai vahingon aiheuttajan rikollisesta teosta, rangaistuksesta tai muusta rikoksen seuraamuksesta, jotka ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. Esimerkiksi liikennevahinkojen korvauskäsittelyn yhteydessä vakuutusyhtiön on liikennevakuutuslain (279/1959) 8 §:ään perustuen ratkaistava yhteenajovahingossa se, minkä ajoneuvon vakuutuksesta vahingot maksetaan eli kumman kuljettajan tuottamuksesta vahinko on aiheutunut. Liikennevahinkojen korvauskäsittelyn yhteydessä vakuutusyhtiöön kertyy tämän vuoksi tietoja liikennerikoksista. Vastaavasti rikostietoja saadaan korvauskäsittelyn yhteydessä muissakin vakuutuslajeissa, esimerkiksi vastuuvakuutusvahingoissa, joissa kysymykseen tulevat työsuojelumääräysten laiminlyöntitapaukset. Kaikissa näissä tilanteissa rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevia tietoja käsitellään tavanomaisena osana vakuutusyhtiöiden korvaustoimintaa. Rikostiedot kertyvät osaksi kunkin vahinkotapahtuman tausta-aineistoa eli osaksi korvaustoiminnan rekisteriä.

Pykälän 11 kohdassa ehdotettua arkaluonteisten tietojen käsittelyn poikkeusperustetta ei nimenomaisesti sisälly direktiivin 8 artiklaan. Ehdotetun sääntelyn on kuitenkin katsottu olevan mahdollista artiklan 4 ja 5 kohdan nojalla.

Pykälän 12 kohdan mukaan arkaluonteisten henkilötietojen käsittelykielto ei estä sosiaalihuollon viranomaista tai muuta sosiaalihuollon etuuksia myöntävää viranomaista, laitosta tai yksityisten sosiaalipalvelujen tuottajaa käsittelemästä kyseisen viranomaisen, laitoksen tai palvelujen tuottajan toiminnassaan saamia tietoja rekisteröidyn sosiaalihuollon tarpeesta tai hänen saamistaan sosiaalihuollon palveluista, tukitoimista tai hänelle myönnetyistä muista sosiaalihuollon etuuksista taikka muita rekisteröidyn huollon kannalta välttämättömiä tietoja. Nykyisen lain 7 §:n 2 kohdan nojalla sosiaalihuollon arkaluonteisia tietoja saavat käsitellä sosiaalihuollon viranomaiset. Ehdotuksessa näiden arkaluonteisten tietojen käsittelyyn oikeutettuja olisivat myös muut sosiaalihuollon etuuksia myöntävät viranomaiset ja laitokset. Lisäys on katsottu tarpeelliseksi, koska myös nämä tahot joutuvat sosiaalihuollon etuuksia myöntäessään ja sosiaalihuollon palveluja antaessaan käsittelemään sosiaalihuollon järjestämiseen liittyviä arkaluonteisia tietoja. Säännöksen nojalla siinä tarkoitettuja arkaluonteisia tietoja saisivat lisäksi käsitellä myös yksityiset sosiaalipalvelujen tuottajat. Tätä on pidetty tarpeellisena sen vuoksi, että sosiaalihuollon palveluita järjestävät enenevässä määrin myös yksityiset palvelujen tuottajat. Tämän toiminnan tulee täyttää yksityisten sosiaalipalvelujen valvonnasta annetun lain (603/1996) mukaiset muun muassa henkilöstön kelpoisuutta koskevat vaatimukset, ja toiminta on kunnan tai lääninhallituksen valvomaa. Sosiaalihuoltolain salassapitovelvollisuus koskee myös yksityisiä palvelujen tuottajia. Säännöksessä tarkoitettuja rekisteröidyn huollon kannalta välttämättömiä tietoja voivat olla esimerkiksi vammaishuollossa vammaisuutta koskevat tiedot tai vastaavat huollon tarpeen ja sisällön perustana olevat tiedot.

Arkaluonteisten henkilötietojen käsittely olisi sallittua pykälän 13 kohdan mukaan myös, jos tietosuojalautakunta on antanut tietojen käsittelyyn lain 43 §:n 2 momentissa tarkoitetun luvan. Lupa voitaisiin lain 43 §:n 2 momentin mukaan myöntää tärkeää yleistä etua koskevasta syystä. Tietosuojalautakunnan lupatoimivallan sääntely perustuu direktiivin 8 artiklan 4 kohtaan, jossa sallitaan poikkeaminen arkaluonteisten tietojen käsittelykiellosta tärkeää yleistä etua koskevasta syystä myös valvontaviranomaisen päätöksellä. Ehdotettua lupatoimivaltaa on pidetty tarpeellisena, koska direktiivi ei enää salli nykyisen henkilörekisterilain 37 §:ssä tietosuojalautakunnalle säädettyä yleistä toimivaltaa myöntää poikkeuksia henkilörekisterilain ja -asetuksen säännöksistä. Ilman ehdotettua lupamahdollisuutta saattaisivat jotkut yhteiskunnan kannalta tärkeiksi koetut toiminnat, joihin liittyviä tietosuojariskejä voidaan tapauskohtaisin määräyksin pienentää, estyä. Esimerkiksi pankkien ja vakuutusyhtiöiden nykyiset asiakashäiriörekisterit ovat perustuneet tietosuojalautakunnan myöntämiin poikkeuslupiin.

Edellä mainituista pykälän 11 ja 13 kohdan mukaisista direktiivin 8 artiklan 4 ja 5 kohtaan perustuvista poikkeuksista on artiklan 6 kohdan mukaisesti ilmoitettava komissiolle.

13 §. Henkilötunnuksen käsittely. Direktiivin 8 artiklan 7 kohdassa jäsenmaille asetetun velvoitteen mukaisesti ehdotetussa pykälässä määritellään olosuhteet, joiden vallitessa henkilötunnuksen käsittely on sallittua. Määrittelyllä pyritään estämään henkilötunnuksen tarpeetonta käsittelyä.

Nykyisen lain mukaan oikeus henkilötunnuksen keräämiseen ja tallettamiseen määräytyy henkilörekisterilain 5 §:n 2 momentin tarpeellisuusvaatimuksen perusteella. Henkilötunnuksen luovutuksesta on säännöksiä henkilörekisterilain massaluovutusta koskevassa 19 §:ssä ja henkilörekisteriasetuksen 12 §:ssä. Lisäksi henkilörekisterilain 40 §:ssä säädetään, että henkilön henkilötunnusta ei saa näkyvästi käyttää postilähetyksissä.

Tietosuojavaltuutettu ja tietosuojalautakunta ovat joutuneet useissa tapauksissa vetämään rajaa sallitun ja kielletyn henkilötunnuksen keräämisen ja tallettamisen välille. Käytännössä rajan määrittely on osoittautunut vaikeaksi. Myös korkein hallinto-oikeus on joutunut käsittelemään asioita, jotka ovat koskeneet rekisterinpitäjän oikeutta kerätä ja tallettaa henkilötunnuksia. Ehdotetulla sääntelyllä pyritään ehdotetun lain 9 §:n 1 momentissa ja direktiivin 6 artiklan 1 kohdan c alakohdassa säädetty tarpeellisuusvaatimus ja nykyisen lain soveltamiskäytännössä saadut kokemukset huomioon ottaen asettamaan täsmällisemmät rajat sallitulle henkilötunnuksen keräämiselle ja tallettamiselle ja muulle käsittelylle.

Pykälän 1 momentin mukaan henkilötunnuksen käsittely olisi sallittua lakiehdotuksessa henkilötietojen käsittelylle säädettyjen yleisten edellytysten mukaisesti rekisteröidyn yksiselitteisesti antamalla suostumuksella. Käsittely olisi sallittua myös, jos siitä on säädetty laissa. Säännöksiä henkilötunnuksen käsittelystä sisältyy nykyään esimerkiksi väestötietolakiin, lakiin tieliikenteen tietojärjestelmästä, verotusmenettelystä annettuun lakiin (1558/1995), rikosrekisterilakiin ja kaupparekisterilakiin (129/1979). Lisäksi henkilötunnuksen käsittelystä säädetään lukuisissa asetuksissa kuten nimikirja-asetuksessa (1322/1989), lainhuuto- ja kiinnitysrekisteristä annetussa asetuksessa (960/1996), yksityishenkilön velkajärjestelystä annetussa asetuksessa (58/1993) ja kiinteistörekisteriasetuksessa (970/1996). Hallitusmuodon 8 §:n lainsäädäntötoimeksiannosta johtuu, että henkilötietojen käsittelyn tulee perustua laintasoiseen sääntelyyn. Tämän vuoksi myöskään henkilötunnuksen käsittely ei voi enää perustua pelkästään asetuksen tasoiseen sääntelyyn.

Pykälän 1 momentin mukaan henkilötunnuksen käsittely olisi sallittua myös silloin, kun rekisteröidyn yksiselitteinen yksilöiminen on tärkeää 1) laissa säädetyn tehtävän suorittamiseksi, 2) rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi tai 3) historiallista tai tieteellistä tutkimusta taikka tilastointia varten. Kaikissa mainituissa tapauksissa henkilötunnuksen käsittelyn perusedellytyksenä on, että rekisteröidyn yksiselitteinen yksilöiminen on tärkeää säännöksessä mainitun tehtävän suorittamiseksi. Tämän vuoksi esimerkiksi pelkkä laissa säädetyn tehtävän helpompi tai nopeampi suorittaminen henkilötunnuksen avulla ei oikeuttaisi henkilötunnuksen käsittelyä, vaan käsittely olisi sallittua ainoastaan silloin, kun rekisteröidyn yksiselitteinen yksilöiminen on tärkeää tehtävästä suoriutumiseksi. Historiallisessa tai tieteellisessä tutkimuksessa pitäisi lähtökohtaisesti pyrkiä saamaan rekisteröidyn suostumus henkilötietojen käsittelyyn. Tämän vuoksi ja myös siksi, että historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa tulisi mahdollisuuksien mukaan pyrkiä käsittelemään tietoja siten, etteivät rekisteröidyt ole niistä tunnistettavissa, ehdotetaan rekisteröidyn yksiselitteisen yksilöimisen tärkeys säädettäväksi henkilötunnuksen käsittelyn edellytykseksi myös historiallisen ja tieteellisen tutkimuksen sekä tilastoinnin osalta. Historiallisessa ja tieteellisessä tutkimuksessa sekä tilastoinnissa rekisteröidyn yksiselitteinen yksilöiminen on yleensä välttämätöntä henkilörekistereitä yhdistettäessä.

Pykälän 2 momentin mukaan henkilötunnusta saisi käsitellä luotonannossa tai saatavan perimisessä, vakuutus-, luottolaitos-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, terveydenhuollossa, sosiaalihuoltoa ja muuta sosiaaliturvaa toteutettaessa tai virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa. Nykyisen lain soveltamiskäytännössä henkilötunnuksen käsittely on edellä mainituissa toiminnoissa yleensä katsottu tarpeelliseksi henkilön yksiselitteisen yksilöinnin varmistamiseksi. Näissä tapauksissa henkilön luotettava yksilöinti on usein välttämätöntä jo rekisteröidyn oikeusturvankin kannalta. Ehdotettu sääntely oikeuttaisi esimerkiksi videovuokrausliikkeet ja kirjastot keräämään ja tallettamaan asiakkaidensa henkilötunnuksia.

Pykälän 3 momentin mukaan henkilötunnuksen saisi sen lisäksi, mitä käsittelystä muutoin säädetään, luovuttaa osoitetietojen päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi suoritettavaa tietojenkäsittelyä varten, jos henkilötunnus jo on luovutuksensaajan käytettävissä. Nykyään henkilötunnuksen luovuttaminen edellä mainittuihin tarkoituksiin on sallittu henkilörekisteriasetuksen 12 §:ssä.

Pykälän 4 momentissa säädettäisiin rekisterinpitäjälle velvollisuus huolehtia siitä, että henkilötunnusta ei merkitä tarpeettomasti henkilörekisterin perusteella tulostettuihin asiakirjoihin. Rekisterinpitäjän olisi siten huolehdittava esimerkiksi siitä, että henkilötunnuksia ei merkitä postilähetyksiin. Henkilötunnuksia ei myöskään saisi merkitä esimerkiksi kiertäviin työvuoro- tai lomalistoihin eikä oppilaitoksen ilmoitustaululla nähtävillä oleviin koetuloslistoihin. Ehdotettu sääntely on katsottu selvyyden vuoksi tarpeelliseksi, vaikka jo lakiehdotuksen 5 §:ssä säädetty huolellisuusvelvoite edellyttää, että rekisterinpitäjä aina käsittelee henkilötunnuksia siten, etteivät ne tule asiattomien saataville.

4 luku. Henkilötietojen käsittely erityisiä tarkoituksia varten

Tähän lukuun ehdotetaan otettaviksi säännökset henkilötietojen käsittelystä tutkimusta, tilastointia, viranomaisen suunnittelu- ja selvitystehtäviä, henkilömatrikkelia ja sukututkimusta sekä suoramarkkinointia varten samoin kuin säännökset henkilöluottotietojen käsittelystä. Tässä luvussa tarkoitettu henkilötietojen käsittely on mahdollista tietosuojadirektiivin 7 artiklan f alakohdan nojalla. Mainitun alakohdan mukaan henkilötietoja voidaan käsitellä, jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn suojaa tarvitsevat intressit ja perusoikeudet ja vapaudet. Tämän luvun mukaisissa tapauksissa tietojen käsittelyn on katsottu olevan tarpeen rekisterinpitäjän tai sivullisen intressin toteuttamiseksi. Rekisteröidyn intressit on otettu huomioon säätämällä rekisterinpidolle sellaiset puitteet, että rekisteröidyn oikeudet ja vapaudet voidaan niiden avulla turvata.

Lukuun sisältyvät 14 ja 15 sekä 17―20 § vastaavat pitkälti nykyisen henkilörekisteriasetuksen 1―5 §:ää. Säännökset on hallitusmuodon 8 §:n vuoksi otettu lakiin. Samalla säännöksiä on myös täsmennetty. Luvun 16 §, jossa säädettäisiin henkilötietojen keräämisestä ja tallettamisesta viranomaisen suunnittelu- ja selvitystehtäviin, on uusi samoin kuin 21 §, jossa säädettäisiin tietojen poistamisesta luottotietorekisteristä.

14 §. Tutkimus. Pykälässä säädettäisiin edellytyksistä, joiden vallitessa henkilötietojen käsittely historiallista ja tieteellistä tutkimusta varten olisi sallittua. Tähän pykälään siirrettäisiin voimassa olevan henkilörekisteriasetuksen 1 §:ään sisältyvät säännökset, joihin ehdotetaan lisäksi eräitä sisällöllisiä ja sanonnallisia tarkistuksia.

Pykälän 1 momentissa säädettäisiin niistä edellytyksistä, joilla henkilötietoja saisi käsitellä historiallista tai tieteellistä tutkimusta varten silloin, kun tietojen käsittely näihin tarkoituksiin ei perustu 8 §:n 1 momentin säännöksiin. Henkilötietojen käsittely historiallista tai tieteellistä tutkimusta varten voi perustua esimerkiksi 8 §:n 1 kohtaan (rekisteröidyn yksiselitteinen suostumus), 4 kohtaan (lakiin perustuva tutkimus), 5 kohtaan (yhteysvaatimus) tai 9 kohtaan (tietosuojalautakunnan lupa). Pykälän 1 momentissa säädettyjä henkilötietojen käsittelyn edellytyksiä voitaisiin soveltaa täydentävästi myös silloin, kun henkilötietoja käsitellään historiallista tai tieteellistä tutkimusta varten 8 §:n 1 momentin nojalla. Tästä säädettäisiin pykälän 3 momentissa.

Lakiin ei ehdoteta otettavaksi historiallisen ja tieteellisen tutkimuksen määritelmää. Niiden sisältö määräytyisi ehdotetussa laissa samalla tavoin kuin ne yleensä ymmärretään. Historiallinen tutkimus voi olla esimerkiksi tieteellistä tutkimusta edeltävää tutkimusta tai itsenäistä tutkimusta, joka ei täytä tieteellisen tutkimuksen kriteereitä. Pykälässä tarkoitetun tieteellisen tutkimuksen on täytettävä yleisesti hyväksytyt tieteellisen tutkimuksen kriteerit.

Erityisesti arkaluonteisia tietoja sisältävän tutkimuksen on täytettävä myös yleisesti hyväksytyt tutkimuseettiset periaatteet.

Kaikkien pykälän 1 momentin edellytysten olisi täytyttävä yhtäaikaa, jotta henkilötietoja voitaisiin tämän pykälän nojalla käsitellä historiallista tai tieteellistä tutkimusta varten. Pykälän 1 momentin 1 kohdan mukaan henkilötietoja saisi käsitellä historiallista tai tieteellistä tutkimusta varten, jos tutkimusta ei voi suorittaa ilman henkilön yksilöintiä koskevia tietoja ja rekisteröityjen suostumusta ei tietojen suuren määrän, tietojen iän tai muun sellaisen syyn vuoksi ole mahdollista hankkia. Henkilötietoja ei siten saisi käsitellä tutkimusta varten, jos tutkimuksen suorittaminen on mahdollista ilman yksilötasoisia tietoja. Jos tutkimuksen suorittaminen edellyttää henkilötietojen käsittelyä, tulisi tämän ensisijaisesti perustua rekisteröidyn suostumukseen. Suostumuksen hankkiminen ei kuitenkaan kaikissa tilanteissa ole mahdollista. Näin on esimerkiksi silloin, kun tietoja kerätään suuria määriä tai tiedot ovat niin vanhoja, että rekisteröityjen tavoittaminen suostumuksen saamiseksi olisi vaikeaa.

Rekisterin käytön tulisi pykälän 1 momentin 2 kohdan mukaan perustua asianmukaiseen tutkimussuunnitelmaan ja tutkimuksella tulisi olla vastuullinen johtaja tai tutkimuksesta vastaava ryhmä. Tutkimussuunnitelma edellyttää rekisterin tietojen sitomista tiettyyn hankkeeseen. Käsite asianmukainen tutkimussuunnitelma sisältää myös vaatimuksen tutkimustehtävän, aineiston sekä menetelmien määrittelemisestä mahdollisimman yksilöidysti. Suunnitelmasta tulee käydä ilmi muun muassa se, mitä tietoja tutkimuksen suorittamiseen tarvitaan ja miten nämä tiedot ovat tarpeellisia tutkimuksen suorittamiseen. Asianmukaista tutkimussuunnitelmaa edellytetään myös voimassa olevassa henkilörekisteriasetuksen 1 §:n 1 kohdassa.

Tutkimuksella on lisäksi oltava vastuullinen johtaja tai tutkimuksesta vastaava ryhmä. Tutkimuksen vastuullisella johtajalla tarkoitetaan henkilöä, joka on vastuussa yksittäisen tutkimuksen toteuttamisesta, ei sen sijaan korkeakoulun, viranomaisen tai laitoksen yleisestä tutkimushallinnosta vastaavaa henkilöä. Tutkimuksesta vastaava ryhmä on aiheellinen esimerkiksi silloin, kun tutkimus tehdään useamman laitoksen tai yhteisön osavastuilla tai kun tutkimuksen eri osa-alueille on aiheellista nimetä oma toteutuksesta vastaava henkilö samassakin laitoksessa. Poiketen nykyisen henkilörekisteriasetuksen 1 §:n 4 momentista myös korkeakoulun tai laitoksen tutkimuksena suoritetulla tutkimuksella tulisi ehdotuksen mukaan olla vastuullinen johtaja tai tutkimuksesta vastaava ryhmä.

Pykälän 1 momentin 3 kohdan mukaan edellytyksenä olisi, että rekisteriä käytetään ja siitä luovutetaan henkilötietoja vain historiallista tai tieteellistä tutkimusta varten sekä muutoinkin toimitaan niin, että tiettyä henkilöä koskevat tiedot eivät paljastu ulkopuolisille. Tutkimusrekisterin käyttöä on vastaavalla tavalla rajoitettu nykyisen henkilörekisteriasetuksen 1 §:n 1 momentin 3 kohdassa.

Rekisteri olisi pykälän 1 momentin 4 kohdan mukaan hävitettävä tai siirrettävä arkistoitavaksi tai sen tiedot olisi muutettava sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi. Voimassa olevan henkilörekisteriasetuksen 1 §:n 1 momentin 4 kohdassa olevasta viiden vuoden määräajasta samoin kuin 1 §:n 3 momentin säilytysajasta seuranta- ja jatkotutkimuksen osalta on luovuttu. Käytännössä säilytysajan asettaminen on aiheuttanut ongelmia esimerkiksi lääketutkimuksessa. Aina ei myöskään voi ennakolta tietää, johtavatko tutkimukset seuranta- tai jatkotutkimuksiin. Tästä syystä säädettäisiin, että tietoja saa säilyttää niin kauan kuin ne ovat tarpeen tutkimuksen suorittamiseksi tai sen tulosten asianmukaisuuden varmistamiseksi. Myöskään arkaluonteisten tietojen säilyttämiselle tutkimuskäytössä ei enää ole asetettu erityistä säilytysaikaa. On tavallista, että tutkimusrekisteri sisältää arkaluonteisia tietoja. Näiden tietojen säilyttämistarve on yleensä samanlainen kuin muidenkin tutkimukseen tarvittavien tietojen. Säilyttämisen tulee olla tarpeellista siihen tutkimukseen, jota varten tiedot on kerätty tai siihen liittyvään seuranta- tai jatkotutkimukseen. Tiedot voivat olla tarpeen säilyttää myös tulosten asianmukaisuuden varmistamiseksi. Tutkimuksen tilaajalla tai ohjaajalla ja tarkastajalla tulee tarvittaessa olla oikeus varmistaa työn oikeellisuus myös henkilötietotasoisesta aineistosta. Tietojen säilytysajan pituus riippuu tutkimuksesta. Tutkimusrekisteri hävitetään tai arkistoidaan 34 ja 35 §:n mukaisesti, kun henkilötiedot eivät enää ole tarpeen tutkimuksen suorittamiseksi tai sen asianmukaisuuden varmistamiseksi. Pykälään on lisätty tietojen hävittämisen ja arkistoinnin rinnalle kolmanneksi vaihtoehdoksi tietojen muuttaminen sellaiseen muotoon, ettei tiedon kohde ole niistä tunnistettavissa.

Pykälän 2 momentin mukaan 1 momentin 3 kohtaa ei sovellettaisi, jos siinä tarkoitettu menettely henkilörekisteriin talletettujen tietojen ikä ja laatu huomioon ottaen on rekisteröityjen yksityisyyden suojan vuoksi ilmeisen tarpeetonta. Vastaava säännös sisältyy nykyisen henkilörekisteriasetuksen 1 §:n 1 momentin 3 kohtaan. Yksityisyyden suojan tarpeen voidaan katsoa vähenevän, kun tietoja kerätään esimerkiksi kauan sitten kuolleista henkilöistä. Arvioitaessa yksityisyyden suojan ajallista ulottuvuutta voivat salassapitosäännökset olla suuntaa-antavina. Pykälässä tarkoitettujen henkilötietojen käyttö ja luovutus muuhun kuin 1 momentin 3 kohdassa mainittuun tarkoitukseen olisi mahdollista myös 8 §:n 1 momentin 1 kohdan nojalla rekisteröidyn yksiselitteisesti antamalla suostumuksella.

Pykälän 3 momentin perusteella 1 momentissa henkilötietojen käsittelylle historiallista tai tieteellistä tutkimusta varten säädettyjä edellytyksiä sovellettaisiin täydentävästi silloin, kun henkilötietojen käsittely perustuu 8 §:n 1 momenttiin. Näin toteutuisivat tarpeelliset suojatoimet kaikessa henkilötietojen käsittelyssä historiallista tai tieteellistä tutkimusta varten siten kuin tietosuojadirektiivin 6 artiklan 1 kohdan b alakohta edellyttää. Tutkimusrekistereiden pidosta voidaan säätää myös erityislailla, jolloin ehdotetun pykälän säännökset syrjäytyvät. Myös erityissäännöksissä on otettava huomioon tietosuojadirektiivin asettamat vaatimukset.

15 §. Tilasto. Pykälässä säädettäisiin edellytyksistä, joiden vallitessa henkilötietoja saa käsitellä tilastotarkoituksia varten silloin, kun tietojen käsittely ei perustu 8 §:n 1 momenttiin. Kysymyksessä voivat olla tilanteet, jolloin henkilötietojen käsittelyyn tilastotarkoituksia varten ei ole rekisteröidyn suostumusta, kysymys ei ole lakiin perustuvasta tilaston tuottamisesta, rekisteröidyn ja rekisterinpitäjän välillä ei ole asiallista yhteyttä eikä kysymys ole konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista, joita käsitellään kyseisen yhteenliittymän sisällä. Pykälä sisältää nykyisen henkilörekisteriasetuksen 2 §:ään sisältyvät säännökset osin täsmennettyinä ja sanonnallisesti tarkistettuina. Pykälää sovellettaisiin sellaiseen henkilötietojen käsittelyyn tilastotarkoituksia varten, josta ei ole toisin säädetty. Esimerkiksi valtion tilastotoimesta on säädetty erikseen tilastolaissa (62/1994).

Kaikkien pykälässä mainittujen edellytysten olisi täytyttävä yhtäaikaa, jotta henkilötietoja voitaisiin sen nojalla käsitellä tilastotarkoituksia varten. Pykälän 1 kohdan mukaan edellytyksenä henkilötietojen käsittelylle tilastotarkoituksia varten olisi, ettei tilastoa voida tuottaa tai sen tarkoituksena olevaa tiedontarvetta toteuttaa ilman henkilötiedon käsittelyä. Henkilötietoja ei siis tulisi käsitellä, jos tilaston laatiminen on muutoinkin mahdollista. Vastaava säännös puuttuu voimassa olevasta henkilörekisteriasetuksesta.

Edellytyksenä henkilötietojen käsittelylle tilastoa varten olisi pykälän 2 kohdan mukaan, että tilaston tuottaminen kuuluu rekisterinpitäjän toimialaan. Tämä edellytys sisältyy nykyisen henkilörekisteriasetuksen 2 §:n 1 kohtaan. Siihen sisältyvää edellytystä tilastorekisterin välttämättömyydestä ei ehdotukseen ole otettu. Tilastorekisteri ei useinkaan ole välttämätön, vaan tarpeellinen ja hyödyllinen.

Pykälän 3 kohta edellyttää, että tilastorekisteriä käytetään vain tilastollisiin tarkoituksiin eikä siitä luovuteta tietoja siten, että tietty henkilö on niistä tunnistettavissa, ellei tietoja luovuteta julkista tilastoa varten. Tämä kohta vastaa nykyisen henkilörekisteriasetuksen 2 §:n 3 kohtaa. Siihen on tehty lähinnä sanonnallinen muutos selkeyttämään nykyisin tulkinnanvaraiseksi koettua muotoilua.

16 §. Viranomaisen suunnittelu- ja selvitystehtävät. Pykälässä säädettäisiin viranomaiselle mahdollisuus muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla kerätä ja tallettaa henkilötietoja määräajan ylläpidettävään viranomaisen henkilörekisteriin suunnittelu- ja selvitystehtäviä varten. Henkilötietojen keräämisessä ja tallettamisessa olisi tällöin noudatettava soveltuvin osin 14 §:n säännöksiä henkilötietojen käsittelystä historiallista tai tieteellistä tutkimusta varten. Säännöstä on pidetty tarpeellisena sen vuoksi, että siinä tarkoitettu viranomaisen suunnittelu- ja selvitystehtävä ei yleensä ole sellaista historiallista tai tieteellistä tutkimusta, jota 14 §:ssä tarkoitetaan. Pykälässä tarkoitettu suunnittelu- tai selvitystehtävä voi liittyä sellaiseen yhteiskunnallisen kehityksen myötä syntyneeseen uuteen ilmiöön, johon liittyvien tehtävien hoito ei vielä selvästi kuulu minkään viranomaisen lakisääteisiin tehtäviin, eikä henkilötietojen käsittely näin ollen ole mahdollista 8 §:n 1 momentin 4 kohdan nojalla. Tällaisten suunnittelutehtävien suorittaminen ja selvitysten tekeminen on yleisen edun vuoksi perusteltua. Tällöin voi olla tarpeen kerätä ja tallettaa myös henkilötietoja. Säännös on mahdollinen paitsi tietosuojadirektiivin 7 artiklan f alakohdan, myös artiklan e alakohdan nojalla. Se sallii henkilötietojen käsittelyn, kun se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle. Kun henkilötietojen keräämisessä ja tallettamisessa tämän pykälän nojalla olisi noudatettava soveltuvin osin 14 §:ssä henkilötietojen käsittelylle historiallista ja tieteellistä tutkimusta varten asetettuja vaatimuksia, voidaan katsoa, että rekisteröidyn oikeudet ja vapaudet tulevat myös ehdotetussa pykälässä otetuiksi huomioon siten kuin tietosuojadirektiivi edellyttää.

Ehdotetun viranomaisten toiminnan julkisuutta koskevan lain 28 §:n mukaan viranomainen voisi antaa pykälässä mainituilla edellytyksillä yksittäistapauksessa luvan tietojen saamiseen salassa pidettävästä asiakirjasta muun ohella viranomaisen suunnittelu- tai selvitystyötä varten. Henkilötietolakiin ehdotettu 16 § mahdollistaisi tietojen keräämisen ja tallettamisen näihin tarkoituksiin myös silloin, kun kysymys on henkilötiedoista.

17 §. Henkilömatrikkeli. Pykälän mukaan määräytyisi se, millaisia tietoja saa kerätä ja tallettaa henkilömatrikkelia varten pidettävään henkilörekisteriin muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla eli lähinnä ilman rekisteröidyn suostumusta tai silloin kun rekisteröidyn ja rekisterinpitäjän välillä ei ole asiallista yhteyttä. Edellytyksenä on kuitenkin myös se, ettei rekisteröity ole lain 30 §:n nojalla kieltänyt itseään koskevien tietojen tällaista keräämistä ja tallettamista. Hyvä tietojenkäsittelytapa edellyttää, että tiedot pyritään keräämään ensisijaisesti rekisteröidyltä itseltään. Jos rekisteröidyn suostumuksen hankkiminen ei jostain syystä ole mahdollista, saisi henkilömatrikkelia varten kerätä ja tallettaa henkilötietoja suoraan tämän pykälän nojalla. Rekisteröidyn suostumuksella matrikkelirekisteriin voisi tallettaa tässä pykälässä mainittua laajemmatkin tiedot. Usein henkilömatrikkelitietojen rekisteröinti aloitetaan tietyillä perustiedoilla, jotka toimitetaan rekisteröidyn tarkistettavaksi ja joita rekisteröity voi täydentää lisätiedoilla.

Pykälän 1 momentin mukaan henkilömatrikkelia varten pidettävään henkilörekisteriin saisi muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla kerätä ja tallettaa rekisteröidystä ja tämän aviopuolisosta sekä rekisteröidyn lapsista ja vanhemmista rekisterin tarkoituksen kannalta tarpeelliset yksilöintitiedot. Vaikka pykälässä ei ole nykyisen henkilörekisteriasetuksen 2 b §:n tavoin lueteltu yksilöintitietoja tarkemmin, ei vallitsevaa tilannetta ole tarkoitus muuttaa. Tarpeellisia yksilöintitietoja olisivat siten lähinnä nimi, syntymäaika ja -paikka, vihkimisaika, kuolinaika ja -paikka, arvo sekä ammatti. Lisäksi henkilömatrikkelia varten saisi kerätä ja tallettaa tiedon henkilömatrikkelin perusteena olevasta rekisteröityjä yhdistävästä tekijästä ja tähän liittyvät tiedot sekä yhteystiedot yhteydenottoa varten. Yhdistäviä tekijöitä voivat olla pykälän 2 momentin määritelmästä ilmenevät tietty ammatti tai koulutus, työ- tai muun yhteisön jäsenyys taikka asema tai saavutukset kulttuurin, urheilun, talouselämän tai muulla yhteiskuntaelämän alalla tai muu näihin rinnastettava seikka. Yhdistävään tekijään liittyvät tiedot voivat puolestaan olla esimerkiksi ammattimatrikkelissa tieto siitä, milloin rekisteröity valmistui kyseiseen ammattiin tai opiskelijamatrikkelissa tieto siitä, koska rekisteröity opiskeli tietyssä oppilaitoksessa. Yhteystietoja voivat postiosoitteen lisäksi olla puhelin- tai faksinumero taikka sähköpostiosoite. Arkaluonteisia tietoja saisi henkilömatrikkelia varten käsitellä vain, jos jokin 12 §:ssä säädetyistä edellytyksistä täyttyy eikä rekisteröity ole kieltänyt itseään koskevien tietojen käsittelyä henkilömatrikkelia varten.

Pykälän 2 momentissa määriteltäisiin henkilömatrikkeli. Sillä tarkoitetaan julkaisua, jossa rekisteröityjä yhdistävänä tekijänä on tietty ammatti tai koulutus, työ- tai muun yhteisön jäsenyys taikka asema tai saavutukset kulttuurin, urheilun, talouselämän tai muulla yhteiskuntaelämän alalla tai muu näihin rinnastettava seikka. Määritelmä sisältyy samansisältöisenä nykyiseen lakiin.

Henkilömatrikkelia varten pidettävään rekisteriin saisi pykälän 3 momentin nojalla luovuttaa ne tiedot, jotka rekisterinpitäjällä on 1 momentin mukaan oikeus kerätä ja tallettaa tällaiseen rekisteriin. Edellytyksenä on, ettei rekisteröity ole lain 30 §:n mukaisesti kieltänyt tietojen tällaista luovuttamista. Säännös vastaa nykyisen henkilörekisterilain 18 §:n 4 momenttia ja on mahdollinen tietosuojadirektiivin 7 artiklan f alakohdan nojalla.

Pykälästä on jätetty pois nykyisen henkilörekisteriasetuksen 2 b §:ään sisältyvä maininta siitä, että tietoja kerättäessä ja talletettaessa on huolehdittava siitä, ettei rekisteri tietosisältönsä vuoksi vaaranna rekisteröidyn yksityisyyden suojaa. Maininta on katsottu tarpeettomaksi, koska lain yleiset edellytykset, kuten huolellisuusvelvoite ja tarpeellisuusvaatimus koskevat myös henkilötietojen käsittelyä henkilömatrikkelia varten.

18 §. Sukututkimus. Pykälän mukaan määräytyisi se, millaisia tietoja sukututkimusta varten pidettävään henkilörekisteriin saa kerätä ja tallettaa muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla eli lähinnä ilman rekisteröidyn suostumusta tai silloin kun rekisteröidyn ja rekisterinpitäjän välillä ei ole asiallista yhteyttä. Edellytyksenä on kuitenkin myös se, ettei rekisteröity ole 30 §:n nojalla kieltänyt tietojen tällaista keräämistä ja tallettamista. Myös sukututkimusta varten pidettävään rekisteriin tulisi tiedot hyvän tietojenkäsittelytavan mukaisesti pyrkiä keräämään ensisijaisesti rekisteröidyltä itseltään. Rekisteröidyn suostumuksella sukututkimusta varten voi kerätä muitakin kuin tässä pykälässä määriteltyjä tietoja.

Sukututkimusta varten saisi pykälän 1 momentin nojalla kerätä ja tallettaa sukuun kuuluvasta henkilöstä ja tämän aviopuolisosta rekisterin tarkoituksen kannalta tarpeelliset yksilöintitiedot samoin kuin muut sukututkimuksen kannalta tarpeelliset henkilötiedot sekä yhteystiedot yhteydenottoa varten. Yksilöintitiedoilla tarkoitetaan tässä lähinnä nykyisen henkilörekisteriasetuksen 2 a §:ssä lueteltuja tietoja. Näitä ovat nimi, syntymäaika ja -paikka, vihkimisaika, kuolinaika ja -paikka, arvo ja ammatti. Sen arvioiminen, mitkä muut henkilötiedot ovat sukututkimuksen kannalta tarpeellisia, edellyttää tapauskohtaista harkintaa. Yhteystietoja voivat postiosoitteen lisäksi olla puhelin- tai faksinumero taikka sähköpostiosoite. Arkaluonteisia tietoja saisi sukututkimukseen kerätä ja tallettaa vain 12 §:ssä säädetyillä perusteilla ja edellyttäen, ettei rekisteröity ole kieltänyt itseään koskevien tietojen keräämistä ja tallettamista sukututkimusta varten.

Pykälästä on jätetty pois nykyisen henkilörekisteriasetuksen 2 a §:ssä oleva maininta siitä, että tietoja kerättäessä ja talletettaessa on huolehdittava siitä, ettei rekisteri tietosisältönsä vuoksi vaaranna rekisteröidyn yksityisyyden suojaa. Maininta on katsottu tarpeettomaksi, koska lain yleiset edellytykset, kuten huolellisuusvelvoite ja tarpeellisuusvaatimus koskevat myös henkilötietojen käsittelyä sukututkimusta varten.

Pykälän 2 momentin nojalla 1 momentissa tarkoitettua sukututkimusrekisteriä varten saisi luovuttaa ne tiedot, jotka rekisterinpitäjällä on 1 momentin nojalla oikeus kerätä ja tallettaa tällaiseen rekisteriin. Edellytyksenä on, ettei rekisteröity ole kieltänyt tietojen tällaista luovuttamista. Säännös vastaa nykyisen henkilörekisterilain 18 §:n 4 momenttia ja on mahdollinen tietosuojadirektiivin 7 artiklan f alakohdan nojalla. Arkaluonteisia tietoja saisi sukututkimukseen luovuttaa vain 12 §:ssä säädetyillä perusteilla ja edellyttäen, ettei rekisteröity ole kieltänyt itseään koskevien tietojen käsittelyä sukututkimusta varten.

19 §. Suoramarkkinointi ja muut osoitteelliset lähetykset. Pykälässä säädettäisiin henkilötietojen keräämisestä, tallettamisesta ja luovuttamisesta suoramainontaan, etämyyntiin tai muuhun suoramarkkinointiin, mielipide- tai markkinatutkimukseen taikka muihin näihin rinnastettaviin osoitteellisiin lähetyksiin käytettävään henkilörekisteriin. Etämyyntiä voi puhelinmyynnin lisäksi olla palvelujen tai tuotteiden myynti esimerkiksi faksin tai sähköpostin välityksellä. Suoramarkkinointiin ja muihin säännöksessä mainittuihin tarkoituksiin rinnastettavia osoitteellisia lähetyksiä voivat olla esimerkiksi valtuustossa tai muissa kunnallisissa luottamustehtävissä oleville suunnatut kunnallisiin asioihin liittyvät kunnan asukasyhdistysten kirjeet.

Pykälän 1 momentissa säädettäisiin henkilötietojen keräämisestä ja tallettamisesta edellä mainittuja tarkoituksia varten muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla. Nämä olisivat lähinnä tilanteita, jolloin henkilötietoja kerätään ja talletetaan ilman rekisteröidyn suostumusta, rekisteröidyn ja rekisterinpitäjän välillä ei ole asiallista yhteyttä eikä kysymys ole konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista, joita käsitellään kyseisen yhteenliittymän sisällä. Edellytyksenä tietojen keräämiselle ja tallettamiselle olisi myös, ettei rekisteröity ole lain 30 §:n nojalla kieltänyt tietojen tällaista keräämistä ja tallettamista.

Pykälän 1 momentin 1 kohdan mukaan kerääminen ja tallettaminen olisi sallittua, jos henkilörekisteriä käytetään ennakolta yksilöityyn ja kestoltaan lyhytaikaiseen markkinointitoimeen tai muuhun tässä momentissa tarkoitettuun toimeen eikä se tietosisältönsä vuoksi vaaranna rekisteröidyn yksityisyyden suojaa. Henkilörekisteriasetuksen 3 §:ssä säädetään kahden vuoden määräaika mielipide- ja markkinatutkimukseen kerättyjen ja talletettujen henkilötietojen säilyttämiselle ja 4 §:ssä kuuden kuukauden määräaika suoramarkkinointiin käytettävän kampanjarekisterin käytölle. Nimenomaisista aikarajoista ehdotetaan luovuttavaksi. Etenkin kampanjarekisterin käytölle asetettu määräaika on käytännössä osoittautunut liian lyhyeksi esimerkiksi silloin, kun suuri markkinointikampanja toteutetaan useammassa osassa mutta koko kampanjarekisteri on tarkoituksenmukaista ottaa käyttöön samalla kertaa. Pykälän 1 momentin 1 kohdassa tarkoitettu rekisteri ei kuitenkaan saisi muodostua pysyväksi, vaan se voisi olla käytössä vain sen ajan kuin tietty yksilöity markkinointitoimi tai muu 1 momentissa tarkoitettu toimi sitä edellyttää.

Pykälän 1 momentin 2 kohdan nojalla suoramarkkinointia ja muuta momentissa mainittua tarkoitusta varten saisi muilla kuin 8 §:n 1 momentissa säädetyillä perusteilla ja edellyttäen, ettei rekisteröity ole sitä kieltänyt, kerätä ja tallettaa henkilötietoja, jos henkilörekisteri sisältää tiedot vain rekisteröidyn nimestä, arvosta tai ammatista, iästä, sukupuolesta ja äidinkielestä, yhden häneen liitettävän tunnistetiedon sekä yhteystiedot yhteydenottoa varten. Vastaavan tyyppinen säännös sisältyy nykyisin henkilörekisteriasetuksen 4 §:n 2 kohtaan. Ehdotetun säännöksen nojalla suoramarkkinointiin, mielipide- tai markkinatutkimukseen taikka muihin näihin rinnastettaviin osoitteellisiin lähetyksiin käytettävään henkilörekisteriin saisi muiden säännöksessä mainittujen tietojen lisäksi tallettaa myös yhden henkilöön liitettävän tunnistetiedon. Koska tällaisen tiedon saa pykälän 2 momentin nojalla luovuttaa suoramarkkinointia tai muuta 1 momentissa mainittua tarkoitusta varten, on perusteltua, että sen voi myös tallettaa mainittua tarkoitusta varten pidettävään henkilörekisteriin. Nykyisen henkilörekisteriasetuksen 4 §:n 2 kohdassa mainittu rekisteröidyn osoite ja puhelinnumerotieto on ehdotuksessa korvattu nykyiseen käytäntöön paremmin sopivalla ilmaisulla yhteystiedot. Yhteystietoja voivat puhelinnumeron ja osoitteen lisäksi olla esimerkiksi telefaksinumero ja sähköpostiosoite. Nykyiseen säännökseen sisältyvä edellytys siitä, ettei rekisteri kattavuutensa ja käyttötapansa vuoksi saa vaarantaa valtion turvallisuutta on poistettu. Tämä johtuu siitä, että lain tarkoituksena ei enää nimenomaisesti mainita valtion turvallisuuden varmistamista.

Henkilötietojen kerääminen ja tallettaminen pykälässä mainittuihin tarkoituksiin olisi pykälän 1 momentin 3 kohdan nojalla sallittua, jos henkilörekisteri sisältää rekisteröidyn tehtäviä ja asemaa elinkeinoelämässä tai julkisessa tehtävässä koskevia tietoja ja sitä käytetään hänen työtehtäviinsä liittyvän informaation lähettämiseen. Tällaista informaatiota voi olla esimerkiksi elinkeinoelämässä toteutettava business to business -markkinointi sekä virkamiehille ja luottamustehtävissä toimiville lähetettävä näihin tehtäviin liittyvä informaatio.

Pykälän 2 momentissa säädettäisiin henkilötietojen luovuttamisesta suoramainontaa, etämyyntiä tai muuta suoramarkkinointia, mielipide- tai markkinatutkimusta taikka muuta näihin rinnastettavaa osoitteellista lähetystä varten. Näihin tarkoituksiin voisi tämän säännöksen nojalla luovuttaa tai luovutuksessa otantaperusteena käyttää 1 momentin 2 kohdassa mainittuja tietoja eli yhden henkilöön liitettävän tunnistetiedon lisäksi tiedon henkilön nimestä, arvosta tai ammatista, iästä, sukupuolesta ja äidinkielestä sekä yhteystiedot yhteydenottoa varten. Edellytyksenä luovuttamiselle olisi lisäksi, ettei rekisteröity ole lain 30 §:n nojalla kieltänyt tietojensa luovuttamista tällaisiin tarkoituksiin ja että on ilmeistä, että rekisteröity tietää tietojen tällaisesta luovuttamisesta. Säännös vastaa nykyisen henkilörekisterilain 18 §:n 2 momenttia ja henkilörekisteriasetuksen 12 §:ää ja on mahdollinen direktiivin 7 artiklan f alakohdan nojalla.

Arkaluonteisia tietoja saisi luovuttaa suoramarkkinointiin ja muihin pykälässä säädettyihin tarkoituksiin vain 12 §:n nojalla. Henkilötunnuksen luovuttamisesta osoitetietojen päivittämiseksi ja moninkertaisten postilähetysten välttämiseksi säädettäisiin erikseen ehdotuksen 13 §:ssä.

20 §. Henkilöluottotietojen käsittely. Ehdotetussa pykälässä säädettäisiin henkilöluottotietojen käsittelystä ja luottotietorekisteristä. Ehdotetun lain 4 luvun muista säännöksistä poiketen tässä pykälässä säädettäisiin tyhjentävästi siitä, mitä tietoja luottotietorekisteriin saa tallettaa ja mihin henkilöluottotietoja saa luovuttaa. Henkilöluottotiedoilla tarkoitetaan 3 §:n 7 kohdan määritelmän mukaan henkilötietoja, jotka on tarkoitettu käytettäviksi yksityisen luonnollisen henkilön taloudellisen aseman, sitoumusten hoitokyvyn tai luotettavuuden arvioinnissa. Ehdotettu määrittely tarkoittaa asiallisesti samaa kuin nykyisen lain soveltamisalaan kuuluvat henkilöluottotiedot eli käytännössä kuluttajien luottotietoja. Luottotietorekisteri määritellään 3 §:n 8 kohdassa henkilöluottotietoja sisältäväksi rekisteriksi. Nykyään säännökset luottotietorekistereistä sisältyvät henkilörekisteriasetuksen 5 §:ään. Säännökset ehdotetaan perusoikeusuudistuksen vuoksi siirrettäviksi lakiin. Säännöksiin ehdotetaan lisäksi tehtäväksi eräitä tarkistuksia.

Pykälän 1 momentissa säädettäisiin niistä maksuhäiriötiedoista, joita luottotietotoiminnan harjoittaja saa rekisteröidyn yhteystietojen ohella tallettaa luottotietorekisteriin. Nykyään rekisteröidyn yhteystietojen tallettamisesta luottotietorekisteriin säädetään henkilörekisteriasetuksen 5 §:n 1 momentissa ja maksuhäiriötietojen tallettamisesta 5 §:n 2 momentissa. Nykyistä 5 §:n 1 momenttia on ehdotuksessa tarkistettu niin, että siinä puhutaan rekisteröidyn yhteystiedoista luettelematta niitä tarkemmin. Ehdotuksessa tarkoitetut yhteystiedot ovat pääosin samoja tietoja kuin nykyisen henkilörekisteriasetuksen 5 §:n 1 momentissa luetellut tiedot. Lisäksi yhteystietona voitaisiin tallettaa esimerkiksi rekisteröidyn puhelin- ja faksinumero tai sähköpostiosoite.

Luottotietorekisteriin saisi pykälän 1 momentin 1 kohdan nojalla tallettaa tiedon sellaisesta maksun tai suorituksen laiminlyönnistä, joka on todettu lainvoimaisella tuomiolla, yksipuolisella tuomiolla, ulosottoviranomaisen toimituksella tai rekisteröidyn hyväksymän vekselin protestilla taikka jonka johdosta rekisteröity on ulosmittauksessa todettu varattomaksi. Ehdotetussa kohdassa luetellut tiedot sisältyvät suurelta osin myös nykyisen henkilörekisteriasetuksen 5 §:n 2 momentin 1 kohtaan. Säännöstä on nykyiseen verrattuna tarkistettu niin, että sen nojalla luottotietorekisteriin saisi tallettaa myös tiedon sellaisesta maksuhäiriöstä, joka on todettu yksipuolisella tuomiolla. OK 5 luvun 13 §:n (1052/1991) mukaan asia, jossa sovinto on sallittu, ratkaistaan yksipuolisella tuomiolla, jos vastaaja ei kehotuksesta huolimatta ole antanut pyydettyä vastausta määräajassa tai ei ole esittänyt vastauksessaan perustetta kiistämiselleen tai vetoaa ainoastaan sellaiseen perusteeseen, jolla selvästi ei ole vaikutusta asian ratkaisemiseen.

Tiedon toimittaminen vastapuolelle yksipuolisesta tuomiosta on pääsääntöisesti sen asianosaisen asiana, jonka vaatimuksesta yksipuolinen tuomio on annettu (OK 12 luvun 14 §, 1052/1991). Yksipuoliseen tuomioon voidaan hakea muutosta takaisinsaannilla 30 päivän määräajassa siitä, kun vastaaja on hänen läsnäollessaan toimitetussa ulosmittauksessa taikka muulla tavoin todisteellisesti saanut tiedon yksipuolisesta tuomiosta (OK 12 luvun 15 §, 1052/1991). Tämän määräajan alkamista ja päättymistä ja siten yksipuolisen tuomion lainvoimaisuutta on käytännössä hankala varmistaa. Jollei tuomiota saateta ulosottoon tai muuten todisteellisesti vastaajan tietoon, se ei tule välttämättä koskaan lainvoimaiseksi. Koska yksipuolisten tuomioiden lainvoimaisuuden selvittäminen on luottotietorekisterin pitäjälle usein vaikeaa, ehdotetaan, että yksipuoliseen tuomioon perustuvan maksuhäiriötiedon rekisteröiminen ei edellyttäisi tuomion lainvoimaisuutta.

Ehdotettu sääntely vastaa asiallisesti henkilörekisteriasetuksen 5 §:n alkuperäisen sanamuodon mukaista tilannetta, jossa suorituksen laiminlyönti, joka oli todettu tuomarin maksamismääräyksellä, voitiin merkitä luottotietorekisteriin. Maksamismääräysmenettely kumottiin edellä kuvatun summaarisen menettelyn säätämisen yhteydessä. Tietosuojalautakunnan poikkeusluvalla on jo omaksuttu ehdotetun sääntelyn mukainen käytäntö.

Pykälän 1 momentin 2 kohdan nojalla luottotietorekisteriin saisi tallettaa tiedon sellaisesta maksun tai suorituksen laiminlyönnistä, joka on johtanut konkurssihakemuksen jättämiseen ja 1 momentin 3 kohdan nojalla sellaisesta maksun tai suorituksen laiminlyönnistä, jonka rekisteröity on velkojalle antamallaan kirjallisella ilmoituksella tunnustanut tapahtuneeksi. Samat säännökset sisältyvät henkilörekisteriasetuksen 5 §:n 2 momentin 2 ja 3 kohtaan.

Pykälän 1 momentin 4 kohdan nojalla luottotietorekisteriin saisi tallettaa myös sellaisen maksuhäiriötiedon, jonka johdosta osamaksukaupassa myyjällä on osamaksukaupasta annetun lain (91/1966) mukaan oikeus ottaa takaisin myyty esine tai luotonantajalla kuluttajansuojalain (38/1978) mukaan oikeus purkaa muu kulutusluottosopimus.

Myyjän oikeudesta ottaa takaisin myyty esine säädetään osamaksukaupasta annetun lain 2 §:ssä. Pykälän 1 momentissa säädetään maksun viivästymisen määräajasta ja muista edellytyksistä, joiden täyttyessä myyjällä on oikeus ottaa takaisin myyty esine. Pykälän 2 momentissa rajoitetaan myyjän oikeutta ottaa takaisin myyty esine silloin, kun osamaksun viivästyminen on johtunut maksuvaikeuksista, joihin ostaja on joutunut sairauden, työttömyyden tai muun erityisen seikan vuoksi pääasiassa omatta syyttään ja edellyttäen, että ostaja suorittaa maksamatta olevan määrän korkoineen ja kuluineen ennen kuin esine otetaan takaisin.

Kuluttajansuojalain 7 luvun 16 §:ssä (541/1994) säädetään siitä, milloin luotonantajalla on oikeus kuluttajan maksuviivästyksen tai muun sopimusrikkomuksen johdosta vaatia maksuerää, joka muuten ei ole erääntynyt, ottaa myyty tavara takaisin tai saattaa voimaan muu erityinen seuraamus. Luotonantaja saa käyttää tätä oikeuttaan vain pykälän 1 momentin 1 tai 2 kohdan edellytysten täyttyessä. Pykälän 1 momentin 1 kohdassa säädetään maksun viivästymisen määräajasta ja viivästyneen maksun määrästä. Pykälän 1 momentin 2 kohdassa edellytyksenä on, että kuluttajan muu sopimusrikkomus on olennainen. Pykälän 2 momentissa rajoitetaan luotonantajan oikeutta saattaa voimaan 1 momentissa säädetty seuraamus, jos maksun viivästyminen johtuu kuluttajan sairaudesta, työttömyydestä tai muusta siihen verrattavasta hänestä riippumattomasta seikasta, paitsi milloin tämä viivästyksen kesto ja muut olosuhteet huomioon ottaen olisi luotonantajalle ilmeisen kohtuutonta.

Ehdotetun 20 §:n 1 momentin 4 kohdassa tarkoitetun tiedon tallettaminen on nykyään mahdollista tietosuojalautakunnan luvalla. Tietosuojalautakunta on toistuvasti myöntänyt luvan tällaisten maksuhäiriötietojen tallettamiseen. Näiden maksuhäiriötietojen tallettamisessa luottotietorekisteriin on tietosuojalautakunnan myöntämien lupien perusteella muodostunut vakiintunut käytäntö. Tämän vuoksi ehdotetaan, että tietojen rekisteröinti olisi sallittua suoraan säännöksen nojalla. Lautakunta on asettanut lupapäätöksiinsä määräyksiä, joita rekisterinpitäjän on noudatettava näiden tietojen rekisteröinnissä. Pykälän 2 momentissa säädettäisiin, millä edellytyksillä tällaisen maksuhäiriötiedon saisi tallettaa luottotietorekisteriin. Nämä edellytykset vastaavat keskeisiä tietosuojalautakunnan myöntämiin lupiin liittyviä määräyksiä.

Pykälän 3 momentissa säädettäisiin luottotietorekisteriin talletettavista muista kuin maksuhäiriötiedoista. Tällaisia tietoja ovat ensinnäkin tieto yksityishenkilön velkajärjestelystä annetun lain (57/1993) 87 §:ssä tarkoitetussa velkajärjestelyrekisterissä olevista merkinnöistä sekä tieto henkilön julistamisesta holhottavaksi tai uskotun miehen nimeämisestä henkilölle hänen taloudellisten asioidensa hoitoa varten. Säännös vastaa tältä osin nykyisen henkilörekisteriasetuksen 5 §:n 3 ja 4 momenttia siten tarkistettuna, että luottotietorekisteriin saisi tallettaa myös tiedon uskotun miehen nimeämisestä henkilölle hänen taloudellisten asioidensa hoitoa varten. Lisäys johtuu lähinnä siitä, että henkilölle, joka ei pysty itse huolehtimaan taloudellisista asioistaan, nimetään nykyään usein holhoojan asemesta uskottu mies tällaisten asioiden hoitamista varten. Luottotietorekisteriin saisi 3 momentin nojalla tallettaa rekisteröidyn pyynnöstä myös tiedon pykälän 1 momentissa tarkoitetun maksun suorittamisesta. Nykyisen lain mukaan tietoa maksun suorittamisesta ei ole voinut tallettaa luottotietorekisteriin, mitä on pidetty epäkohtana. Tiedolla maksun suorittamisesta on merkitystä kun luotonantaja arvioi rekisteröidyn sitoumusten hoitokykyä ja maksuhalukkuutta. Uutena tietona nykyiseen verrattuna luottotietorekisteriin saisi 3 momentin nojalla tallettaa myös tiedon rekisteröidyn itsensä ilmoittamasta luottokiellosta. Tämä vastaisi tietosuojalautakunnan poikkeuslupapäätöksiin perustuvaa käytäntöä.

Pykälän 4 momentissa määritellään edellytykset henkilöluottotietojen luovuttamiselle. Henkilöluottotiedon saisi luovuttaa ainoastaan luottotietotoimintaa harjoittavalle rekisterinpitäjälle sekä sille, joka tarvitsee tietoa luoton myöntämistä tai luoton valvontaa varten taikka muuhun tähän verrattavaan tarkoitukseen. Luotonmyöntäjän intressissä on saada tietoja luotonsaajan maksukykyyn vaikuttavista seikoista. Rekisteröidyn oikeudet on pyritty turvaamaan rajoittamalla luovutuksensaajien joukko mahdollisimman suppeaksi ja säätämällä 21 §:ssä luottotietorekisterissä olevien tietojen poistamisajoista. Nykyisen henkilörekisterilain 18 §:n 3 momentissa on vastaavanlainen säännös.

Momentissa mainittu luoton myöntämiseen tai luoton valvontaan verrattava muu tarkoitus on kysymyksessä esimerkiksi silloin, kun työnantaja haluaa saada luottotiedot sellaisesta henkilöstä, jonka hän aikoo ottaa palvelukseensa sellaiseen tehtävään, jossa työntekijä on välittömästi taloudellisessa vastuussa työnantajan omaisuudesta tai kun työsuhde muutoin vaatii erityistä luottamusta. Ellei työsuhde edellytä vastuuta työnantajan omaisuudesta tai erityistä luottamusta, tietoja ei saisi luovuttaa. Näin ollen esimerkiksi se, että työnantaja tarkistaisi aina kaikkien työnhakijoiden luottotiedot, ei olisi tällä perusteella mahdollista.

21 §. Tietojen poistaminen luottotietorekisteristä. Pykälässä säädettäisiin luottotietorekisteriin 20 §:n 1 momentin 1 ― 4 kohdan nojalla talletettujen maksuhäiriötietojen säilytysajoista. Nykyään luottotietorekisteriin talletettujen maksuhäiriötietojen säilytysajoista ei ole nimenomaisia säännöksiä, vaan rekisterinpitäjä on määritellyt ne henkilörekisterilain yleisten säännösten nojalla. Käytännössä näiden tietojen säilytysajat vaihtelevat tietotyypeittäin kahdesta kymmeneen vuoteen. Ehdotetun 20 §:n 1 momentin 1 kohdan nojalla talletetut tiedot olisi 21 §:n 1 kohdan mukaan poistettava luottotietorekisteristä neljän vuoden kuluttua siitä, kun maksuhäiriö on todettu 20 §:n 1 momentin 1 kohdan mukaisesti. Ehdotetun 20 §:n 1 momentin 2 kohdassa tarkoitetut tiedot olisi 21 §:n 2 kohdan mukaan poistettava luottotietorekisteristä viiden vuoden kuluttua konkurssihakemuksen jättämisestä. Ehdotetun 20 §:n 1 momentin 3 kohdassa tarkoitetut tiedot olisi 21 §:n 3 kohdan mukaan poistettava rekisteristä viimeistään kahden vuoden kuluttua maksuhäiriön tunnustamisesta ja 20 §:n 1 momentin 4 kohdassa tarkoitetut tiedot 21 §:n 4 kohdan mukaan viimeistään kahden vuoden kuluttua maksuhäiriön rekisteröimisestä.

Pykälään ei ehdoteta nimenomaisia säännöksiä 20 §:n 3 momentin nojalla talletettujen tietojen säilytysajoista. Näiden tietojen säilytysaika luottotietorekisterissä määräytyisi asiayhteyden ja yleisten säännösten nojalla. Ehdotetun 29 §:n 1 momentin mukaan rekisterinpitäjän on oma-aloitteisesti tai rekisteröidyn vaatimuksesta muun muassa poistettava rekisterissä oleva käsittelyn tarkoituksen kannalta vanhentunut henkilötieto. Luottotietorekisterissä olevat 20 §:n 3 momentin nojalla talletetut tiedot olisi poistettava rekisteristä, kun niiden tallettamiseen ei ole enää perustetta. Siten esimerkiksi tieto velkajärjestelyrekisterissä olevista merkinnöistä olisi poistettava luottotietorekisteristä, kun nämä tiedot on velkajärjestelyrekisteriä koskevien säännösten mukaisesti poistettu velkajärjestelyrekisteristä, ja tieto holhottavaksi julistamisesta, kun holhous on päättynyt.

5 luku. Henkilötietojen siirto Euroopan unionin ulkopuolelle

Luvussa säädettäisiin henkilötietojen siirrosta EU:n jäsenvaltioiden alueen ja ETAn ulkopuolisiin maihin. Siirrolla tarkoitetaan tietojen tosiasiallista siirtämistä EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle. Siirto on osittain eri asia kuin luovuttaminen. Siirrolla tarkoitetaan tässä luovuttamisen lisäksi muutakin tietojen fyysistä siirtämistä, esimerkiksi henkilötietojen siirtämistä konsernin tai muun taloudellisen yhteenliittymän EU:n tai ETAn ulkopuolella sijaitsevaan yhteiseen rekisteriin. Päinvastoin kuin henkilötietojen luovuttamisessa, siirtämisessä rekisterinpitäjä ei siten välttämättä vaihdu.

Luvun säännöksiä sovelletaan sekä yksittäisten tietojen siirtämiseen että suuremman tietomäärän siirtämiseen samalla kertaa. Luvun säännöksillä toteutetaan direktiivin 25 ja 26 artiklan mukainen lainsäädäntötoimeksianto. Voimassa olevan henkilörekisterilain mukaan henkilötietojen luovutus massaluovutuksena tai arkaluonteisena otantana sellaiseen maahan, joka ei ole liittynyt tietosuojasopimukseen, on mahdollista vain rekisteröidyn suostumuksella tai toimeksiannosta taikka tietosuojalautakunnan luvalla. Nyt siirtoedellytykset määriteltäisiin tyhjentävästi tässä luvussa. Tietosuojalautakunnan lupatoimivalta supistuisi siten tältä osin.

22 §. Yleiset edellytykset. Pykälässä säädettäisiin yleisistä edellytyksistä, joilla henkilötietoja voitaisiin siirtää EU:n jäsenvaltioiden alueen ja ETAn ulkopuolelle. Tietosuojadirektiivin 25 artiklan 1 kohdassa säädetään, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä maassa taataan tietosuojan riittävä taso. Tästä säädettäisiin pykälän 1 momentissa. Säännöksessä mainitaan myös ETA, koska siihen kuuluvat maat, Islanti, Norja ja Liechtenstein ovat sitoutuneet saattamaan kansalliset lainsäädäntönsä vastaamaan tietosuojadirektiivin vaatimuksia.

Pykälän 2 momentissa säädettäisiin tietosuojan tason riittävyyden arvioimisesta. Tietosuojan tason riittävyyttä olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Tietosuojan taso olisi säilytettävä riittävänä kaikissa siirtoa tai siirtojen sarjaa koskevissa olosuhteissa.

Tietosuojadirektiivin 25 artiklan 2 kohta sisältää säännökset kolmannen maan takaaman tietosuojan riittävän tason arvioinnista. Nämä edellytykset sisältyisivät pykälän 2 momenttiin, jonka mukaan tietosuojan tason riittävyys olisi arvioitava ottaen huomioon tietojen luonne, suunnitellun käsittelyn tarkoitus ja kestoaika, alkuperämaa ja lopullinen kohde, asianomaisessa maassa voimassa olevat yleiset ja alakohtaiset oikeussäännöt sekä käytännesäännöt samoin kuin noudatettavat turvatoimet. Tietosuojavaltuutettu valvoisi siirtoja 36 §:n mukaisten ilmoitusten avulla ja olisi asiantuntijaviranomainen tietosuojan riittävän tason arvioinnissa.

Direktiivin 25 artiklan 3 kohdan mukaan jäsenvaltioiden ja komission on informoitava toisiaan, jos ne arvioivat, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa. Komissio voi direktiivin 31 artiklan mukaisen komiteamenettelyn avulla todeta, että tietyssä kolmannessa maassa ei taata tietosuojan riittävää tasoa. Mainittu komitea muodostuu jäsenvaltioiden edustajista puheenjohtajanaan komission edustaja. Komission edustaja tekee komitealle ehdotuksen tarvittavista toimenpiteistä ja komitea antaa ehdotuksesta lausuntonsa. Lausunnon saatuaan komissio päättää toimenpiteistä. Jos toimenpiteet eivät vastaa komitean lausuntoa, komissio ilmoittaa niistä neuvostolle, joka voi päättää asiasta toisin. Komission ja sitä 31 artiklan mukaisesti avustavan komitean käytännön kautta tulee muotoutumaan tieto niistä maista, joissa taataan tietosuojan riittävä taso kyseisen maan sisäisestä lainsäädännöstä tai kansainvälisistä sitoumuksista johtuen.

Tietojen siirrosta EU:n jäsenvaltioiden alueen ja ETAn ulkopuolelle tulisi tehdä ilmoitus tietosuojavaltuutetulle siten kuin 36 §:ssä säädetään.

23 §. Poikkeusperusteet. Direktiivin 25 artiklan mukaiseen kieltoon siirtää tietoja sellaiseen kolmanteen maahan, jossa tietosuojan taso ei ole riittävä, voitaisiin tehdä poikkeuksia. Direktiivin 26 artiklan mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietojen siirto tai siirtojen sarja sellaiseen kolmanteen maahan jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa, voidaan suorittaa 26 artiklassa määritellyillä edellytyksillä. Tästä säädettäisiin 23 §:ssä.

Henkilötietoja voitaisiin pykälän 1 kohdan mukaan siirtää rekisteröidyn yksiselitteisellä suostumuksella. Direktiivin 26 artiklan 1 kohdan a alakohta edellyttää, että suostumus on yksiselitteinen.

Pykälän 2 kohdan mukaan henkilötietojen siirto olisi mahdollista, jos siirto on tarpeen rekisteröidyn toimeksiannosta tai rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.

Pykälän 3 kohdan mukaan siirto olisi sallittu, jos siirto on tarpeen rekisterinpitäjän ja sivullisen välisen rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi. Sopimuksen tekemisen tai täytäntöönpanemisen tulee siis olla rekisteröidyn intressissä esimerkiksi siten, että rekisteröity on edunsaajana. Sivullisella tarkoitetaan 3 §:n 6 kohdan mukaan muuta henkilöä, yhteisöä, laitosta tai säätiötä kuin rekisteröityä, rekisterinpitäjää, henkilötietojen käsittelijää tai henkilötietoja kahden viimeksi mainitun lukuun käsittelevää. Tietojen siirto tämän kohdan perusteella voisi tulla kysymykseen esimerkiksi tehtäessä sopimusta ulkomailla työskentelevän työntekijän vakuutuksista tai terveyspalveluista.

Siirto olisi sallittu myös, jos se on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi (4 kohta). Henkilötietoja voitaisiin siirtää EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle myös, jos siirto on tarpeen tai lain vaatima tärkeän yleisen edun turvaamiseksi tai oikeusvaateen laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi (5 kohta). Siirto yleisen edun turvaamiseksi voisi tulla kyseeseen esimerkiksi eri maiden viranomaisten välisessä tietojenvaihdossa. Yleisellä edulla ei tässä kuitenkaan tarkoiteta pelkästään julkista etua. Siirto tällä perusteella voisi olla mahdollinen esimerkiksi tieteellisen tutkimuksen toteuttamiseksi tai, jos tarkoitus on toimittaa tietoja viranomaiselle, viranomaisen luvan saamiseksi tai valvonnan toteuttamiseksi (esimerkiksi lääkkeen myyntilupa).

Pykälän 6 kohdan nojalla siirto olisi sallittu, jos siirto tehdään rekisteristä, josta yleinen tai erityisin perustein tapahtuva tiedonsaanti on nimenomaisesti säädetty. Tällä tarkoitetaan direktiivin mukaan siirtoa julkisesta rekisteristä, joka on yleisön käytettävissä tai kenen tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, siltä osin kuin rekisterin käytettävissä olemisen lailliset edellytykset täyttyvät kussakin yksittäisessä tapauksessa. Kyseeseen tulisivat siis julkisia tietoja sisältävät viranomaisten rekisterit, kuten kiinteistörekisteri ja kaupparekisteri. Direktiivin johdanto-osan 58 kohdan mukaan siirto ei saisi tällaisessa tapauksessa käsittää rekisterin tietoja kokonaisuudessaan tai rekisterin sisältämää kokonaista tietoryhmää. Kohdassa todetaan myös, että silloin, kun rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joilla on siihen oikeutettu intressi, siirto olisi tehtävä ainoastaan näiden henkilöiden pyynnöstä tai, jos he ovat henkilötietojen vastaanottajia.

Siirto olisi pykälän 7 kohdan mukaan sallittu, jos rekisterinpitäjä antaa sopimuslausekkein tai muulla tavoin riittävät takeet henkilöiden yksityisyyden ja oikeuksien suojasta.

Tarkoitus on, että komission ja jäsenmaiden yhteistyön tuloksena laaditaan EU:n jäsenvaltioiden alueen ulkopuolisiin valtioihin tapahtuvan tietojen siirron pelisäännöt sellaisiksi, että rekisteröidyn yksityisyyden suoja tulee riittävässä määrin turvatuksi. Direktiivin mukaan kunkin jäsenvaltion on ilmoitettava komissiolle ja muille jäsenvaltioille hyväksymistään tietojen siirroista kolmanteen maahan rekisterinpitäjän antamien takeiden perusteella. Jos toinen jäsenvaltio tai komissio ilmaisee asianmukaisesti perustellun vastalauseensa henkilöiden yksityisyyteen ja perusoikeuksiin ja -vapauksiin viitaten, komission on toteutettava 22 §:n 2 momentin yhteydessä selostettu direktiivin 31 artiklan mukainen komiteamenettely.

6 luku. Rekisteröidyn oikeudet

24 §. Informointi tietojen käsittelystä. Pykälä sisältää säännökset rekisterinpitäjän velvollisuudesta huolehtia henkilötietoja kerätessään siitä, että rekisteröity voi saada tiedon henkilötietojen käsittelystä ja siitä, millä edellytyksillä rekisteröidyn informoimisesta tietojen käsittelystä voidaan poiketa. Nykyisen henkilörekisterilain 24 §:ssä säädetään velvollisuudesta ilmoittaa rekisteröidylle henkilörekisterin käytöstä tietyissä tapauksissa. Myös henkilörekisterilain 3 §:n hyvän rekisteritavan vaatimus voi edellyttää, että rekisteröityä informoidaan henkilötietojen käsittelystä. Lisäksi rekisteröity voi nykyisen lain 10 §:ssä säädetyn rekisteriselosteen avulla saada tietoa häntä koskevasta henkilötietojen käsittelystä.

Rekisterinpitäjän informointivelvollisuuden avulla pyritään turvaamaan, että rekisteröity on tietoinen itseään koskevien henkilötietojen käsittelystä. Rekisteröidyn oikeus tietää henkilötietojensa käsittelystä parantaa hänen mahdollisuuksiaan toteuttaa oikeuksiaan henkilötietojen käsittelyssä sekä arvioida henkilötietojen käsittelyn laillisuutta ja asianmukaisuutta. Rekisterinpitäjän informointivelvollisuudesta voidaan huolehtia esimerkiksi käyttämällä hyväksi rekisteriselostetta, joka sisältää samoja tietoja, joista rekisterinpitäjä on 24 §:n nojalla velvollinen informoimaan rekisteröityä.

Pykälän 1 momentissa säädettäisiin rekisterinpitäjälle velvollisuus huolehtia siitä, että rekisteröity voi saada tiedon rekisterinpitäjästä ja tarvittaessa tämän edustajasta, henkilötietojen käsittelyn tarkoituksesta sekä siitä, mihin tietoja säännönmukaisesti luovutetaan, samoin kuin ne tiedot, jotka ovat tarpeen rekisteröidyn oikeuksien käyttämiseksi asianomaisessa henkilötietojen käsittelyssä. Tiedot olisi annettava henkilötietoja kerättäessä ja talletettaessa tai, jos tiedot hankitaan muualta kuin rekisteröidyltä itseltään ja tietoja on tarkoitus luovuttaa, viimeistään silloin kun tietoja ensi kerran luovutetaan.

Tietosuojadirektiivin 10 artikla edellyttää, että jäsenvaltiot säätävät rekisterinpitäjän velvollisuudesta antaa rekisteröidylle, jolta tietoja kerätään, artiklassa mainitut tiedot, jollei rekisteröidyllä jo ole niitä. Tietosuojadirektiivin 11 artiklan 1 kohta puolestaan edellyttää jäsenvaltioiden säätävän siitä, että kun tiedot kerätään muualta kuin rekisteröidyltä itseltään, rekisterinpitäjän on annettava rekisteröidylle artiklassa tarkoitetut tiedot silloin, kun tiedot rekisteröidään tai viimeistään silloin, kun niitä ensi kerran luovutetaan, jollei rekisteröidyllä jo ole niitä.

Pykälän 1 momentissa säädetystä informointivelvollisuudesta voitaisiin poiketa 2 momentissa mainituilla perusteilla. Poikkeaminen olisi momentin 1 kohdan nojalla mahdollista, jos rekisteröity on jo saanut 1 momentissa tarkoitetut tiedot. Rekisteröidyn voitaisiin katsoa saaneen säännöksessä tarkoitetut tiedot esimerkiksi silloin, kun henkilötietojen kerääminen liittyy sellaisen sopimuksen täytäntöönpanoon, jossa rekisteröity on osallisena.

Pykälän 2 momentin 2 kohdan nojalla informointivelvollisuudesta voitaisiin poiketa silloin, kun poikkeaminen on välttämätöntä valtion turvallisuuden, puolustuksen tai yleisen järjestyksen ja turvallisuuden vuoksi, rikosten ehkäisemiseksi tai selvittämiseksi taikka verotukseen tai julkiseen talouteen liittyvän valvontatehtävän vuoksi.

Rekisteröidyn tiedonsaantioikeutta voidaan rajoittaa tietosuojadirektiivin 13 artiklan 1 kohdan nojalla. Artiklan mukaan jäsenvaltiot voivat lainsäädännöllisin toimenpitein rajoittaa muun muassa 10 ja 11 artiklassa säädettyä rekisteröidyn tiedonsaantioikeutta, jos se on välttämätöntä artiklassa lueteltujen tarkoitusten varmistamiseksi. Tällaisia tarkoituksia ovat muun muassa valtion turvallisuus ja yleinen turvallisuus sekä rikosten ehkäiseminen ja selvittäminen ja valvontatehtävä, joka liittyy verotukseen tai muuhun julkiseen talouteen.

Kerättäessä tietoja muualta kuin rekisteröidyltä itseltään, informointivelvollisuudesta voitaisiin 2 momentin 3 kohdan nojalla poiketa myös, jos tietojen antaminen rekisteröidylle on mahdotonta tai vaatii kohtuutonta vaivaa taikka aiheuttaa rekisteröidylle tai tietojenkäsittelyn tarkoitukselle olennaista vahinkoa tai haittaa eikä talletettavia tietoja käytetä rekisteröityä koskevaan päätöksentekoon. Tietojen antaminen rekisteröidylle voi olla mahdotonta tai vaatia kohtuutonta vaivaa esimerkiksi silloin, kun henkilötietoja käsitellään historiallista, tieteellistä tai tilastollista tarkoitusta varten. Arvioitaessa sitä, onko rekisteröidyn informoiminen mahdotonta tai aiheuttaisiko se kohtuutonta vaivaa, voidaan ottaa huomioon muun muassa rekisteröityjen määrä ja käsiteltävien tietojen ikä. Tietojen antaminen rekisteröidylle voi aiheuttaa tälle tai tietojenkäsittelyn tarkoitukselle olennaista vahinkoa tai haittaa esimerkiksi sellaisessa lääketieteellisessä tutkimuksessa, jossa käsitellään perinnöllisiä sairauksia koskevia tietoja. Edellytyksenä tietojen antamatta jättämiselle olisi tällöin myös, ettei tällaisia tietoja käytetä rekisteröityä koskevaan päätöksentekoon.

Informointivelvollisuutta ei 2 momentin 3 kohdan mukaan olisi myöskään silloin, kun henkilötietojen keräämisestä, tallettamisesta tai luovuttamisesta on nimenomaisesti säädetty.

Pykälän 2 momentin 3 kohdassa mainitut poikkeukset informointivelvollisuudesta ovat mahdollisia tietosuojadirektiivin 11 artiklan 2 kohdan ja 13 artiklan 1 kohdan g alakohdan nojalla. Tietosuojadirektiivin 11 artiklan 2 kohdan mukaan ilmoitusvelvollisuudesta voidaan poiketa, jos, erityisesti käsiteltäessä henkilötietoja tilastollisia tarkoituksia tai historiallista tai tieteellistä tutkimusta varten, tietojen toimittaminen rekisteröidylle osoittautuu mahdottomaksi tai vaatii kohtuutonta vaivaa tai jos lainsäädännössä nimenomaisesti säädetään tietojen tallettamisesta tai luovuttamisesta. Vaikka informointivelvollisuudesta poikkeaminen sillä perusteella, että se on mahdotonta tai vaatii kohtuutonta vaivaa, on ehdotuksessa muotoiltu mainitsematta nimenomaan historiallista tai tieteellistä tutkimusta ja tilastointia, säännöksessä tarkoitettu tilanne tullee useimmiten kysymykseen, kun henkilötietoja käsitellään näihin tarkoituksiin. Tietosuojadirektiivin 11 artiklan 2 kohta edellyttää myös, että poikettaessa 1 kohdassa säädetystä ilmoitusvelvollisuudesta jäsenvaltioiden on säädettävä tarpeellisista suojatoimista. Kun poikkeaminen liittyisi sellaisiin tilanteisiin, joissa henkilötietoja käsitellään historiallista tai tieteellistä tutkimusta tai tilastointia varten, tarpeellisina suojatoimina voidaan pitää ehdotetun lain 4 luvun säännöksiä siitä, millä edellytyksillä henkilötietoja voidaan käsitellä näihin tarkoituksiin. Direktiivin edellyttämät suojatoimet on otettava huomioon myös, kun henkilötietojen käsittelystä säädetään erityislainsäädännössä. Tietosuojadirektiivin 13 artiklan 1 kohdan g alakohta sallii poikkeamisen muun muassa 11 artiklan 1 kohdassa säädetystä informointivelvollisuudesta, jos poikkeaminen on välttämätöntä rekisteröidyn suojelun tai muiden oikeuksien ja vapauksien varmistamiseksi.

25 §. Informointi tietojen käsittelystä tietyissä tapauksissa. Pykälä sisältää säännökset velvollisuudesta informoida rekisteröityä tietojen tallettamisesta luottotietorekisteriin ja henkilöluottotietojen käyttämisestä rekisteröityä koskevassa päätöksenteossa sekä henkilötietojen käsittelystä suoramarkkinoinnissa, markkina- ja mielipidetutkimuksessa ja muussa näihin rinnastettavassa osoitteellisessa lähetyksessä. Säännös täsmentää 24 §:ssä tarkoitettua informointivelvollisuutta.

Pykälän 1 momentti sisältää säännöksen rekisterinpitäjän velvollisuudesta ilmoittaa rekisteröidylle henkilöluottotietojen tallettamisesta luottotietorekisteriin. Rekisteröidylle olisi ilmoitettava luottotietorekisteriin talletetut rekisteröityä sekä 24 §:ssä tarkoitetut rekisterinpitäjää ja tietojenkäsittelyä koskevat tiedot siinä vaiheessa, kun rekisteröityä koskeva ensimmäinen 20 §:n mukainen merkintä on tehty luottotietorekisteriin. Nykyisen henkilörekisterilain 13 §:n 1 momentissa säädetään luottotietotoimintaa harjoittavalle rekisterinpitäjälle vastaava velvollisuus ilmoittaa rekisteröidylle tätä koskevan ensimmäisen merkinnän tekemisestä luottotietorekisteriin. Rekisteröidyllä olisi lisäksi 26 §:n 2 momentin nojalla oikeus pyynnöstä saada tietää, kenelle tai mihin häntä koskevia henkilöluottotietoja on kuuden viimeisen kuukauden aikana luovutettu sekä keneltä tai mistä nämä tiedot ovat peräisin.

Pykälän 2 momentissa säädettäisiin ilmoitusvelvollisuus sille, joka on hankkinut rekisteröidyn henkilöluottotietoja käytettäviksi rekisteröityä koskevaa päätöksentekoa varten. Rekisteröidylle olisi ilmoitettava henkilöluottotietojen käytöstä päätöksenteossa sekä siitä, mistä rekisteristä luottotiedot ovat peräisin ja milloin ne on hankittu, jos luoton epääminen tai muu rekisteröidylle kielteinen päätös johtuu saaduista henkilöluottotiedoista.

Nykyisen lain 24 §:n 1 momentissa säädetään vastaava ilmoitusvelvollisuus sille, joka on hankkinut ja käyttänyt rekisteröidyn henkilöluottotietoja tätä koskevassa päätöksenteossa, jos luoton epääminen tai muu rekisteröidylle kielteinen päätös johtuu pääasiallisesti saaduista luottotiedoista. Säännöstä on menettelyn selkeyden vuoksi ja rekisteröidyn oikeusturvan parantamiseksi tarkistettu niin, että rekisteröidylle olisi ilmoitettava myös siitä, milloin häntä koskevat luottotiedot on hankittu, ja ilmoitusvelvollisuus olisi aina, jos luoton epääminen tai muu rekisteröidylle kielteinen päätös johtuu saaduista luottotiedoista.

Pykälän 3 momentti sisältää nykyisen lain 24 §:n 2 momenttia vastaavan säännöksen tietolähteenä olevan henkilörekisterin ja rekisterinpitäjän ilmoittamisesta suoramainoksessa, etämyynnissä ja muussa suoramarkkinoinnissa, markkina- ja mielipidetutkimuksen kyselyssä ja muussa näihin rinnastettavassa osoitteellisessa lähetyksessä. Säännökseen on tehty ehdotetusta laista johtuvat sanonnalliset tarkistukset ja sitä on käytännön syistä tarkistettu myös niin, että puhelinmyynnissä momentissa tarkoitetut tiedot olisi annettava, jos henkilö pyytää niitä.

26 §. Tarkastusoikeus. Pykälä sisältää säännökset rekisteröidyn tarkastusoikeudesta. Tietosuojadirektiivin 12 artikla velvoittaa jäsenvaltiot takaamaan rekisteröidylle oikeuden saada rekisterinpitäjältä vapaasti, kohtuullisin väliajoin ja ilman aiheetonta viivytystä tai aiheettomia kustannuksia vahvistuksen siitä, käsitelläänkö häntä koskevia tietoja vai ei, sekä vähintään tiedot käsittelyn tarkoituksista, käsiteltävistä tietoryhmistä ja tietojen luovutuksensaajista tai luovutuksensaajaryhmistä. Rekisteröidyllä on oikeus saada käsiteltävät tiedot itselleen ymmärrettävässä muodossa ja kaikki tietojen alkuperästä käytettävissä olevat tiedot. Lisäksi rekisteröidylle on turvattava oikeus saada rekisterinpitäjältä tiedot häntä koskevien henkilötietojen automaattiseen tietojenkäsittelyyn liittyvästä logiikasta ainakin silloin, kun kysymys on niin sanotuista automatisoiduista yksittäispäätöksistä.

Pykälän 1 momentissa säädettäisiin rekisteröidyn oikeudesta saada tietää, mitä häntä koskevia tietoja henkilörekisteriin on talletettu tai, ettei rekisterissä ole häntä koskevia tietoja. Rekisterinpitäjän olisi samalla ilmoitettava rekisteröidylle rekisterin säännönmukaiset tietolähteet sekä, mihin rekisterin tietoja käytetään ja säännönmukaisesti luovutetaan. Silloin kun kysymys on 31 §:ssä tarkoitetusta automatisoidusta päätöksestä, rekisteröidyllä olisi oikeus saada tieto myös tietojen automaattiseen käsittelyyn liittyvistä toimintaperiaatteista. Ehdotettu momentti vastaa nykyisen henkilörekisterilain 11 §:n 1 momenttiin sisältyvää rekisteröidyn tarkastusoikeuden sääntelyä täydennettynä automatisoituun päätökseen liittyvän tietojen käsittelyn toimintaperiaatteita koskevalla tiedonsaantioikeudella.

Pykälän 2 momentissa säädettäisiin luottotietotoimintaa harjoittavan rekisterinpitäjän velvollisuudesta antaa pyynnöstä rekisteröidylle tieto luottotietorekisteriin talletettujen henkilöluottotietojen tietolähteistä ja siitä, mihin näitä tietoja on kuuden viimeisen kuukauden aikana luovutettu. Vastaava säännös sisältyy nykyisen lain 13 §:n 2 momenttiin.

Pykälän 3 momentti sisältää säännöksen siitä, milloin rekisterinpitäjä voi periä korvauksen tarkastusoikeuden toteuttamiseen liittyvästä tietojen antamisesta. Rekisterinpitäjä saisi periä tietojen antamisesta korvauksen vain, jos siitä, kun asianomainen edellisen kerran käytti tarkastusoikeuttaan, on kulunut vähemmän kuin yksi vuosi. Perittävän korvauksen tulee olla kohtuullinen eikä se saa ylittää tiedon antamisesta aiheutuvia välittömiä kustannuksia. Vastaava säännös sisältyy nykyisen henkilörekisterilain 11 §:n 1 momenttiin.

27 §. Tarkastusoikeuden rajoitukset. Pykälässä säädettäisiin niistä perusteista, joilla rekisteröidyn tarkastusoikeutta voitaisiin rajoittaa. Nykyään tarkastusoikeuden rajoituksista säädetään henkilörekisterilain 12 §:ssä.

Tietosuojadirektiivin 13 artiklan mukaan jäsenvaltiot voivat lainsäädännöllisillä toimenpiteillä rajoittaa muun muassa 12 artiklassa säädettyä rekisteröidyn tarkastusoikeutta, jos se on välttämätöntä artiklan 1 kohdassa mainittujen seikkojen varmistamiseksi. Tällaisia ovat esimerkiksi valtion turvallisuus, yleinen turvallisuus, rikosten ehkäiseminen ja selvittäminen, jäsenvaltiolle tai EU:lle tärkeä taloudellinen tai rahoituksellinen etu ja näihin liittyvä valvonta- tai tarkastustehtävä sekä rekisteröidyn suojelu tai muiden oikeudet ja vapaudet. Direktiivin 13 artiklan 2 kohdan nojalla tarkastusoikeutta voidaan rajoittaa silloin, kun henkilötietoja käsitellään ainoastaan tieteellisessä tarkoituksessa tai tilastojen laatimista varten.

Rekisteröidyllä ei olisi tarkastusoikeutta pykälän 1 momentissa mainituissa tilanteissa. Tarkastusoikeutta ei olisi momentin 1 kohdan mukaan, jos tiedon antaminen saattaisi vahingoittaa valtion turvallisuutta, puolustusta tai yleistä järjestystä ja turvallisuutta taikka haitata rikosten ehkäisemistä tai selvittämistä. Nykyisen lain 12 §:n 1 momentin 1 kohdassa säädetään pääosin vastaavanlaisista tarkastusoikeuden rajoitusperusteista. Nykyisen säännöksen mukaan tarkastusoikeutta voidaan rajoittaa myös erittäin tärkeän yleisen edun vuoksi. Yleinen etu ei sisälly rajoitusperusteena ehdotettuun kohtaan sen vuoksi, ettei yleistä etua sellaisenaan mainita direktiivin 13 artiklassa perusteena poiketa direktiivin säännöksistä.

Pykälän 1 momentin 2 kohdan mukaan rekisteröidyllä ei olisi tarkastusoikeutta myöskään silloin, jos tiedon antamisesta saattaisi aiheutua vakavaa vaaraa rekisteröidyn terveydelle tai hoidolle taikka jonkun muun oikeuksille. Säännös vastaa osittain nykyisen lain 12 §:n 1 momentin 2 kohtaa. Nykyistä säännöstä on tarkistettu niin, että erittäin tärkeän yksityisen edun sijaan rajoitusperusteena on jonkun muun oikeudet. Mahdollisuus säätää pykälän 1 momentin 2 kohdassa tarkoitetusta rajoituksesta voidaan johtaa tietosuojadirektiivin 13 artiklan 1 kohdan g alakohdasta, joka sallii jäsenvaltion säätää poikkeuksia muun muassa tarkastusoikeudesta rekisteröidyn suojelun tai muiden oikeuksien ja vapauksien varmistamiseksi.

Pykälän 1 momentin 3 kohdan nojalla tarkastusoikeuden ulkopuolelle jäisivät sellaiset rekisterit, joiden tietoja käytetään yksinomaan historiallista tai tieteellistä tutkimusta tai tilastointia varten. Rekisteröidyn tarkastusoikeuden rajoittamista ehdotetulla tavalla silloin, kun henkilötietoja käsitellään ainoastaan historiallista tai tieteellistä tutkimusta tai tilastojen laatimista varten, on pidetty mahdollisena tietosuojadirektiivin 13 artiklan 2 kohdan nojalla.

Pykälän 1 momentin 4 kohdan mukaan tarkastusoikeutta ei olisi, jos rekisterissä olevia henkilötietoja käytetään valvonta- ja tarkastustehtävissä ja tiedon antamatta jättäminen on välttämätöntä Suomen tai EU:n tärkeän taloudellisen tai rahoituksellisen edun turvaamiseksi. Säännös perustuu tietosuojadirektiivin 13 artiklan 1 kohdan e ja f alakohtaan.

Tarkastusoikeuteen voidaan erityislainsäädännössä säätää rajoituksia muillakin kuin pykälän 1 momentissa säädetyillä perusteilla. Rajoittamiseen on tällöinkin oltava direktiivin 13 artiklan mukainen peruste, jos säänneltävä henkilötietojen käsittely kuuluu tietosuojadirektiivin soveltamisalaan.

Pykälän 2 momentissa säädettäisiin rekisteröidyn tiedonsaantioikeudesta silloin, kun vain osa henkilörekisteriin talletetuista tiedoista jää pykälän 1 momentin nojalla tarkastusoikeuden ulkopuolelle. Rekisteröidyllä olisi tällöinkin oikeus saada tietää muut hänestä talletetut tiedot. Samanlainen säännös sisältyy nykyisen lain 12 §:n 2 momenttiin.

28 §. Tarkastusoikeuden toteuttaminen. Pykälässä säädettäisiin tarkastusoikeuden toteuttamisesta. Pykälän 1 momentissa säädettäisiin menettelystä, jonka mukaan tarkastusoikeuden käyttämistä pyydetään. Nykyisin tästä menettelystä säädetään henkilörekisterilain 11 §:n 2 momentissa. Nykyisen sääntelyn tavoin pyyntö tarkastusoikeudesta voitaisiin esittää omakätisesti allekirjoitetussa asiakirjassa tai henkilökohtaisesti rekisterinpitäjän luona. Pyyntö voitaisiin lisäksi esittää muulla allekirjoitusta vastaavalla tavalla, esimerkiksi luotettavalla sähköisellä allekirjoituksella tai muulla luotettavalla tavalla varmennetussa asiakirjassa. Terveydenhuollon rekistereiden tarkastusoikeuden toteuttamisesta säädettäisiin pykälän 3 momentissa. Tämän vuoksi ehdotettuun 1 momenttiin ei sisälly nykyisen lain 11 §:n 2 momentin viittausta tällaisen tarkastusoikeuden toteuttamisen sääntelyyn asetuksella.

Pykälän 2 momentissa säädettäisiin tarkastusoikeuden piiriin kuuluvien tietojen antamisesta rekisteröidylle. Nykyään tarkastusoikeuden toteuttamisesta säädetään lain 14 §:n 1 momentissa. Säännöstä on tarkistettu siten, että tiedot, jotka rekisteröidyllä on 26 §:n nojalla oikeus saada, on annettava ymmärrettävässä muodossa. Tietosuojadirektiivin 12 artiklan a alakohdassa edellytetään muun ohella, että rekisteröity saa käsiteltävät tiedot itselleen ymmärrettävässä muodossa. Rekisterinpitäjän olisi varattava rekisteröidylle tilaisuus tutustua 26 §:ssä tarkoitettuihin tietoihin tai annettava tiedot pyydettäessä kirjallisesti. Jos rekisterinpitäjä kieltäytyy antamasta tietoja, hänen olisi annettava tästä rekisteröidylle kirjallinen todistus. Nykyisen säännöksen mukaan kirjallinen todistus kieltäytymisestä on annettava vain pyynnöstä. Säännöksessä ehdotetaan, että kirjallinen todistus kieltäytymisestä olisi annettava aina, jotta tietoja pyytävän olisi helpompi tarvittaessa saattaa asiansa edelleen tietosuojavaltuutetun käsiteltäväksi.

Pykälän 3 momentissa säädettäisiin siitä, miten rekisteröidyn tarkastusoikeus terveydenhuollon rekistereihin toteutetaan. Tiedon terveydenhuollon viranomaisen tai laitoksen, lääkärin tai hammaslääkärin taikka muun terveydenhuollon ammattihenkilön pitämässä, terveydentilaa tai sairautta koskevia henkilötietoja sisältävässä rekisterissä olevista rekisteröityä koskevista merkinnöistä antaisi rekisteröidyn pyynnöstä lääkäri tai muu terveydenhuollon ammattihenkilö. Tarkastusoikeuden toteuttamisesta terveydenhuollon rekisteriin säädetään nykyisin henkilörekisteriasetuksen 9 §:ssä. Säännöstä ehdotetaan tarkistettavaksi niin, että se koskisi terveydenhuollon viranomaisen tai laitoksen sekä lääkärin tai hammaslääkärin pitämien rekistereiden lisäksi muidenkin terveydenhuollon ammattihenkilöiden pitämiä terveydentilaa ja sairautta koskevia tietoja sisältäviä rekistereitä. Pyyntö tarkastusoikeuden käyttämisestä tehtäisiin lääkärille tai muulle terveydenhuollon ammattihenkilölle, joka voisi myös antaa nämä tiedot. Terveydenhuollon ammattihenkilöllä tarkoitetaan ehdotuksessa terveydenhuollon ammattihenkilöistä annetussa laissa määriteltyä terveydenhuollon ammattihenkilöä. Nykyisin muu terveydenhuollon koulutuksen saanut henkilö voi antaa tiedot lääkärin ohjauksen mukaan. Säännös mahdollistaisi muun muassa sen, että itsenäisenä ammatinharjoittajana toimivat terveydenhuollon ammattihenkilöt, esimerkiksi psykologit, voisivat itse antaa rekisteröidylle tämän pyytämät tiedot pitämästään rekisteristä.

Tarkastusoikeuden toteuttaminen terveydenhuollon henkilörekistereihin ehdotetulla tavalla on myös tietosuojadirektiivin mukaista. Tämä käy ilmi direktiivin johdanto-osan 42 kohdasta, jossa todetaan, että jäsenvaltiot voivat rekisteröidyn edun vuoksi tai muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi muun ohella tarkentaa, että lääketieteellisiä tietoja voidaan hankkia ainoastaan terveysalan ammattihenkilöstön välityksellä.

29 §. Tiedon korjaaminen. Lain 29 §:ssä säädettäisiin rekisterinpitäjän velvollisuudesta korjata henkilörekisterissä oleva virheellinen tieto ja velvollisuudesta estää tällaisen tiedon leviäminen. Pykälä vastaa sisällöltään direktiivin 12 artiklan b ja c alakohtaa sekä pääpiirteissään myös nykyisen lain 15 §:ää.

Pykälän 1 momentin mukaan rekisterinpitäjän olisi ilman aiheetonta viivytystä oma-aloitteisesti tai rekisteröidyn vaatimuksesta oikaistava, poistettava tai täydennettävä rekisterissä oleva, käsittelyn tarkoituksen kannalta virheellinen, tarpeeton, puutteellinen tai vanhentunut henkilötieto. Rekisterinpitäjän olisi myös estettävä tällaisen tiedon leviäminen, jos tieto voi vaarantaa rekisteröidyn yksityisyyden suojaa tai hänen oikeuksiaan. Vastaavaa säännöstä ei sisälly nykyiseen lakiin.

Henkilörekisterilain 15 §:n mukaan rekisterinpitäjän on oma-aloitteisesti oikaistava virhe vain silloin, kun on ilmeistä, että virheellinen tieto saattaa vaarantaa rekisteröidyn yksityisyyden suojaa taikka hänen etujaan tai oikeuksiaan. Koska direktiivin 12 artiklan vuoksi ei enää ole mahdollista vaatia edellä mainittua edellytystä virheen oikaisemiselle, ehdotetaan, että tieto olisi aina korjattava. Nykyisen lain mukaan rekisterissä oleva virhe on aina oikaistava myös rekisteröidyn perustellusta vaatimuksesta, vaikkei virheellinen tieto vaarantaisikaan rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan. Ehdotetun 29 §:n 1 momentin mukaan rekisteröidyn ei enää tarvitsisi erikseen perustella pyyntöään.

Pykälän 2 momentissa ehdotetaan säädettäväksi, että jollei rekisterinpitäjä hyväksyisi rekisteröidyn vaatimusta tiedon korjaamisesta, hänen olisi annettava asiasta kirjallinen todistus. Todistuksessa olisi mainittava myös ne syyt, joiden vuoksi vaatimusta ei ole hyväksytty. Vastaava sääntely sisältyy nykyään henkilörekisterilain 15 §:n 2 momenttiin, jonka mukaan kieltäytymistodistus on kuitenkin annettava vain pyynnöstä. Ehdotuksen mukaan todistusta ei enää tarvitsisi erikseen pyytää, vaan se olisi annettava aina kun korjausvaatimusta ei hyväksytä. Sääntely ja sen perusteet olisivat tältä osin samat kuin kieltäydyttäessä toteuttamasta rekisteröidyn tarkastusoikeutta.

Jotta rekisteröity voisi myöhemmin käyttää hyväkseen todistusta saattaessaan mahdollisesti asian tietosuojavaltuutetun ratkaistavaksi 40 §:n 2 momentin mukaisesti, tulisi todistuksesta käytännössä ilmetä myös rekisterinpitäjän nimi ja osoite, henkilötietojen käsittelyn tarkoitus, rekisteröidyn nimi ja tämän vaatima muutos rekisterissä oleviin tietoihin sekä vaatimuksen perusteet.

Pykälän 3 momentissa säädettäisiin rekisterinpitäjän velvollisuudesta ilmoittaa tiedon korjaamisesta sille, jolle rekisterinpitäjä on luovuttanut tai jolta rekisterinpitäjä on saanut virheellisen henkilötiedon. Ehdotetulla sääntelyllä yksinkertaistettaisiin nykyiseen lakiin sisältyviä ilmoitusvelvollisuutta koskevia säännöksiä. Ilmoitusta ei enää tarvitsisi tehdä sille, jolle rekisterinpitäjä tietää todennäköisesti luovuttaneensa tai jolta tämä tietää todennäköisesti saaneensa virheellisen henkilötiedon eikä myöskään rekisteröidyn ilmoittamalle tiedon antajalle tai luovutuksensaajalle. Rekisteröidyn yksityisyyden suojan kannalta saattaisi joissakin tapauksissa olla jopa arveluttavaa tehdä ilmoitus sille, jolle rekisterinpitäjä ei varmuudella tiedä luovuttaneensa tietoa tai jolta tämä ei varmuudella tiedä sitä saaneensa. Koska rekisterinpitäjän tulee lähtökohtaisesti tietää, keneltä tämä on tiedon saanut tai kenelle sen luovuttanut, ei ole katsottu tarpeelliseksi ottaa ehdotukseen säännöstä ilmoituksen tekemisestä rekisteröidyn ilmoittamalle tiedon antajalle tai saajalle.

Rekisterinpitäjän olisi direktiivin 12 artiklan c alakohdan mukaisesti aina ilmoitettava virheen oikaisusta kaikille, joille tämä on virheellisen tiedon luovuttanut. Henkilörekisterilain 15 §:n 3 momentin mukaan ilmoitus on tehtävä vain säännönmukaisessa tiedonsiirrossa tiedon saaneelle silloin kun virheellinen tieto saattaa loukata rekisteröidyn etuja tai oikeuksia.

Ehdotuksessa on säilytetty nykyiseen lakiin sisältyvä velvollisuus ilmoittaa virheen oikaisusta myös sille, jolta virheellinen tieto on saatu. Direktiivi ei edellytä ilmoituksen tekemistä tiedon antajalle.

Pykälän 3 momentissa tarkoitettua ilmoitusvelvollisuutta ei olisi, jos ilmoittaminen on mahdotonta tai vaatii kohtuutonta vaivaa. Ehdotettu poikkeaminen ilmoitusvelvollisuudesta on mahdollinen direktiivin 12 artiklan c alakohdan nojalla.

30 §. Kielto-oikeus. Pykälä sisältäisi säännöksen rekisteröidyn oikeudesta kieltää häntä itseään koskevien henkilötietojen käsittely suoramainontaa, etämyyntiä ja muuta suoramarkkinointia sekä markkina- ja mielipidetutkimusta samoin kuin henkilömatrikkelia tai sukututkimusta varten. Nykyisin rekisteröidyn kielto-oikeudesta säädetään henkilörekisterilain 23 §:ssä. Ehdotettu säännös vastaa nykyistä sääntelyä niin tarkistettuna, ettei siinä mainita osoitepalvelua, koska osoitepalvelua ei erikseen mainittaisi myöskään lain 19 §:ssä, jossa säädettäisiin suoramarkkinointiin käytettävistä henkilörekistereistä. Kun nykyisen lain ilmaisu puhelinmyynti on ehdotetun lain 19 §:ssä korvattu nykyisiin oloihin paremmin sopivalla etämyynnillä, vastaava tarkistus on tehty myös rekisteröidyn kielto-oikeutta koskevaan säännökseen.

Ehdotettu suoramarkkinointia koskeva kielto-oikeus perustuu direktiivin 14 artiklan ensimmäisen kohdan b alakohtaan, jossa jäsenvaltiolle säädetään velvollisuus turvata rekisteröidylle oikeus kieltää henkilötietojensa käsittely suoramarkkinointitarkoituksiin. Direktiivin 14 artiklan ensimmäisen kohdan b alakohdasta ja johdanto-osan 30 kohdasta johtuu, että suoramarkkinoija ei saa periä rekisteröidyltä maksua kielto-oikeuden käytöstä eikä kielto-oikeuden käyttämiselle tarvitse esittää perusteluja.

Direktiivin 14 artiklan ensimmäisen kohdan a alakohdan mukaan rekisteröidylle on turvattava oikeus ainakin 7 artiklan e ja f alakohdassa tarkoitetuissa tapauksissa millä hetkellä tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi, paitsi milloin kansallisessa lainsäädännössä toisin säädetään. Ehdotettuun lakiin ei sisälly yleistä säännöstä rekisteröidyn oikeudesta vastustaa sellaista henkilötietojensa käsittelyä, joka perustuu direktiivin 7 artiklan e ja f alakohtaan, koska henkilötietojen käsittely näiden kohtien nojalla ja rekisteröidyn oikeudet siinä ovat tulleet arvioiduiksi jo asianomaisissa 8 §:n ja 4 luvun säännöksissä.

31 §. Automatisoitu päätös. Pykälässä ehdotetaan säänneltäväksi tyhjentävästi tilanteet, joissa automatisoitujen päätösten tekeminen on sallittua. Automatisoidulla päätöksellä tarkoitetaan pykälässä sellaista, rekisteröidyn tiettyjen ominaisuuksien arviointiin tarkoitettua päätöstä, joka tehdään ainoastaan automatisoidun tietojenkäsittelyn perusteella ja josta aiheutuu rekisteröidylle oikeudellisia vaikutuksia tai joka muuten vaikuttaa häneen merkittävällä tavalla. Direktiivin lähtökohtana on, että tällaiset automatisoidut päätökset ovat kiellettyjä. Direktiivin 15 artiklan 2 kohtaan sisältyvän lainsäädäntötoimeksiannon mukaisesti jäsenvaltioiden on kuitenkin säädettävä, että tällaisten päätösten tekeminen on sallittua artiklan 2 kohdan a ja b alakohdassa tarkoitetuissa tapauksissa.

Pykälässä tarkoitettu automatisoitu päätös olisi kysymyksessä siis vain silloin, kun päätöksen sisältö ei perustu minkäänlaiseen inhimilliseen myötävaikutukseen. Päätöksen tarkoituksena on oltava rekisteröidyn ominaisuuksien, kuten esimerkiksi ammatillisen suorituskyvyn, luottokelpoisuuden, luotettavuuden tai käyttäytymisen arvioiminen. Koska päätöksestä on aiheuduttava rekisteröidylle oikeudellisia vaikutuksia tai sen on vaikutettava häneen merkittävällä tavalla, ei esimerkiksi suoramarkkinointikirjeen lähettäminen rekisteröidylle tietokoneen laatiman postituslistan perusteella ole pykälässä tarkoitettu päätös.

Direktiiviin sisältyvän lainsäädäntötoimeksiannon mukaisesti ehdotetaan 31 §:ssä säädettäväksi, että rekisteröityä koskevan automatisoidun päätöksen tekeminen on sallittu vain, jos siitä on laissa säädetty tai jos päätös tehdään sopimuksen tekemisen tai täytäntöönpanon yhteydessä, edellytyksellä, että rekisteröidyn oikeuksien suojaaminen varmistetaan tai päätöksellä täytetään rekisteröidyn sopimuksen tekemistä tai täytäntöönpanoa koskeva pyyntö.

Pykälän perusteella luotonannossa olisi mahdollista käyttää niin sanottua credit scoaringia, jossa henkilön luottokelpoisuus määritellään erityisen pisteytyssysteemin mukaan, jos pisteytyssysteemin käyttäminen johtaisi rekisteröidyn kannalta myönteiseen luottopäätökseen. Jos tuloksena olisi kielteinen luottopäätös, olisi rekisteröidyn oikeuksien suojaaminen varmistettava esimerkiksi siirtämällä lopullisen päätöksen teko siksi, kunnes luotonantajalla on ollut mahdollisuus suorittaa asiaa koskeva arviointi. Rekisteröidyn oikeuksien suojaaminen voitaisiin varmistaa myös esimerkiksi antamalla hänelle mahdollisuus tutustua käsittelyn perusteena oleviin ja käsittelyn perusteella saatuihin tietoihin sekä antamalla hänelle mahdollisuus lausua käsityksensä niistä.

Lakiehdotuksen 36 §:n mukaan rekisterinpitäjällä olisi velvollisuus ilmoittaa tietosuojavaltuutetulle automatisoidun päätöksentekojärjestelmän käyttöönotosta. Tämä on katsottu tarpeelliseksi rekisteröidyn oikeusturvan toteutumiseksi tällaisissa järjestelmissä.

7 luku. Tietoturvallisuus ja tietojen säilytys

32 §. Tietojen suojaaminen. Pykälässä säädettäisiin rekisterinpitäjän ja tämän lukuun itsenäisenä elinkeinonharjoittajana toimivan velvollisuudesta huolehtia henkilötietojen suojaamisesta. Nykyisen henkilörekisterilain 26 §:ssä säädetään henkilörekisterin ja sen tietojen suojaamisvelvollisuus rekisterinpitäjälle ja sille, joka itsenäisenä elinkeinon- tai toiminnanharjoittajana toimii rekisterinpitäjän lukuun tai jolle rekisterinpitäjä on luovuttanut henkilötietoja massaluovutuksena tai arkaluonteisena otantana.

Tietosuojadirektiivin 17 artiklan 1 kohdassa jäsenvaltiot velvoitetaan säätämään siitä, että rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi vahingossa tapahtuvalta tai laittomalta tuhoamiselta, vahingossa tapahtuvalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietojen antamiselta, erityisesti, jos käsittely muodostuu tietojen siirtämisestä verkossa, sekä kaikelta muulta laittomalta käsittelyltä. Artiklan 2 kohta edellyttää jäsenvaltioiden säätävän myös siitä, että jos henkilötietoja käsitellään rekisterinpitäjän lukuun, tämän on valittava sellainen henkilötietojen käsittelijä, joka antaa riittävät takeet käsittelyyn liittyvistä teknisistä ja organisatorisista turvatoimista.

Rekisterinpitäjän olisi pykälän 1 momentin mukaan toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. Toimenpiteiden toteuttamisessa olisi otettava huomioon käytettävissä olevat tekniset mahdollisuudet, toimenpiteiden aiheuttamat kustannukset, käsiteltävien tietojen laatu, määrä ja ikä sekä käsittelyn merkitys yksityisyyden suojan kannalta.

Suojauksen vaatimustasoa arvioitaessa voidaan siten ottaa huomioon toisaalta suojaukseen käytettävissä olevat tekniset keinot ja niiden aiheuttamat kustannukset. Toisaalta vaadittavaan suojan tasoon vaikuttaa myös se, minkälaisia henkilötietoja käsitellään. Esimerkiksi arkaluonteisia tietoja sisältävän rekisterin suojaamiseen olisi kiinnitettävä erityisen paljon huomiota. Toimenpiteiden tarvetta arvioitaessa olisi tietojen laadun lisäksi otettava huomioon myös tietojen määrä ja ikä. Rekisterinpitäjän on määriteltävä tietojen käyttöoikeudet ja käsittelyyn oikeuttavat tavat, kuten esimerkiksi tallennus, muuttaminen, haku ja tuhoaminen. Salasanajärjestelmän avulla tai vastaavin turvajärjestelyin on varmistettava, että tietoja pääsevät käsittelemään vain ne henkilöt, joilla on siihen oikeus. Tarpeen mukaan on myös luotava menettelytavat, joiden avulla voidaan seurata tietojen käsittelyä, kuten esimerkiksi sitä, kuka on käsitellyt tietoja ja mitä toimenpiteitä hän on suorittanut. Rekisteri on suojattava niin, että laittomat yritykset päästä jo siihen laitteistoon, jossa henkilötietoja talletetaan, ja erityisesti yritykset päästä käsittelemään rekisterin tietoja, aiheuttavat ilman viiveitä hälytyksen rekisterinpitäjälle. Suojaus on tehtävä niin, että se antaa mahdollisuuksien mukaan tietoa laittoman yrityksen alkuperästä. Tietojen siirto on varmistettava erityisin toimenpitein, esimerkiksi siten, että siirto ei aiheuta muutoksia tietojen sisällössä ja että tietoja ei häviä siirron yhteydessä.

Pykälän 2 momentissa säädettäisiin sille, joka toimii itsenäisenä elinkeinonharjoittajana rekisterinpitäjän lukuun, velvollisuus antaa rekisterinpitäjälle ennen tietojen käsittelyyn ryhtymistä asianmukaiset sitoumukset ja muutoin riittävät takeet henkilötietojen suojaamisesta 1 momentissa tarkoitetulla tavalla. Tietosuojadirektiivin 17 artiklan 3 kohta edellyttää, että käsiteltäessä henkilötietoja rekisterinpitäjän lukuun, henkilötietojen käsittely on järjestettävä sopimuksella tai muulla oikeudellisella asiakirjalla, jossa määritellään käsittelijän ja rekisterinpitäjän suhde sitovasti. Sopimuksessa on muun ohella todettava, että henkilötietojen käsittelijä toimii ainoastaan rekisterinpitäjän ohjeiden mukaisesti ja on lisäksi velvollinen noudattamaan rekisterinpitäjälle säädettyjä rekisterin ja sen tietojen suojaamisvelvoitteita. Tällaiseen rekisterinpitäjän ja henkilötietojen käsittelijän väliseen sopimukseen voitaisiin sisällyttää myös tässä momentissa tarkoitetut asianmukaiset sitoumukset ja takeet henkilötietojen suojaamisesta siten kuin pykälän 1 momentissa edellytetään.

33 §. Vaitiolovelvollisuus. Pykälässä säädettäisiin vaitiolovelvollisuus sille, joka henkilötietojen käsittelyyn liittyviä toimenpiteitä suorittaessaan on saanut tietää jotakin toisen henkilön ominaisuuksista, henkilökohtaisista oloista tai taloudellisesta asemasta. Nykyisen henkilörekisterilain 41 §:ssä vaitiolovelvollisuus on säädetty sille, joka henkilötietoja kerättäessä, talletettaessa, käytettäessä tai luovutettaessa on saanut tietää jotakin toisen henkilökohtaisista oloista tai taloudellisesta asemasta. Säännöstä ehdotetaan tarkistettavaksi niin, että vaitiolovelvollisuuden piiriin kuuluisivat myös toisen henkilön ominaisuuksia koskevat tiedot, sekä siten, että keräämisen, tallettamisen, käytön ja luovuttamisen sijasta siinä viitataan kaikkiin henkilötietojen käsittelyyn liittyviin toimenpiteisiin.

34 §. Henkilörekisterin hävittäminen. Pykälä sisältää säännöksen siitä, miten on meneteltävä aktiivikäytöstä poistetun rekisterin suhteen. Henkilörekisteri, joka ei ole enää rekisterinpitäjän toiminnan kannalta tarpeellinen, olisi hävitettävä, jollei siihen talletettuja tietoja ole erikseen säädetty tai määrätty säilytettäviksi tai jollei rekisteriä siirretä 35 §:ssä tarkoitetulla tavalla arkistoitavaksi. Ehdotettu säännös vastaa nykyisen henkilörekisterilain 27 §:ää muuten paitsi, että ehdotuksesta on jätetty pois viittaus asetuksessa säädettyyn arkistointiin. Tämä johtuu siitä, että nykyisin henkilörekisteriasetuksen 14 §:ään sisältyvät säännökset yksityisten henkilörekistereiden arkistoinnista ehdotetaan otettavaksi tarkistettuina lain 35 §:ään.

35 §. Henkilötietojen arkistointi. Pykälässä säädettäisiin henkilötietojen arkistoinnista. Pykälän 1 momentti a vastaava säännös sisältyy nykyisen henkilörekisterilain 28 §:ään. Nykyistä säännöstä ehdotetaan tarkistettavaksi niin, että arkistoviranomainen korvattaisiin ilmaisulla arkistolaitos ja siihen verrattava arkisto, ja näiden tulisi henkilötietoja yksityisistä henkilörekistereistä luovuttaessaan ottaa huomioon, mitä tässä laissa on säädetty henkilötietojen käsittelystä ja luovuttamisesta. Arkistolaitoksella tarkoitetaan säännöksessä kansallisarkistoa, josta säädetään arkistolaissa. Muita siihen verrattavia arkistoja ovat muun muassa ulkoasiainministeriön arkisto, sota-arkisto ja Suomalaisen Kirjallisuuden Seuran arkisto sekä ammattiliittojen arkistot.

Pykälän 2 momentissa säädettäisiin yksityisten rekistereiden arkistoinnista. Nykyään yksityisten rekistereiden arkistoinnista säädetään henkilörekisteriasetuksen 14 §:ssä. Sen mukaan tietosuojalautakunta voi antaa luvan siirtää tieteellisen tutkimuksen kannalta tai muusta syystä merkityksellisen henkilörekisterin arkistoitavaksi korkeakouluun tai tutkimustyötä lakisääteisenä tehtävänä suorittavaan laitokseen tai viranomaiseen. Tietosuojalautakunta voi myös antaa yhteisölle, säätiölle ja laitokselle luvan arkistoida sen omassa toiminnassa syntyneitä henkilörekistereitä, jotka täyttävät edellä mainitut vaatimukset. Tietosuojalautakunnan on ennen luvan myöntämistä varattava kansallisarkistolle, entiselle valtionarkistolle, tilaisuus lausunnon antamiseen. Tietosuojalautakunta on säännöllisesti myöntänyt tällaisia lupia.

Koska rekistereiden arkistointiin liittyvien kysymysten arvioiminen ja arkistointiluvan myöntäminen sopii luontevammin arkistoviranomaiselle kuin tietosuojalautakunnalle, momentissa ehdotetaan, että luvan yksityisten rekisterien arkistointiin myöntäisi tietosuojalautakunnan sijasta kansallisarkisto. Lupa voitaisiin myöntää samoilla edellytyksillä kuin nykyisen henkilörekisteriasetuksen 14 §:ssä.

Kansallisarkiston olisi liitettävä myöntämäänsä lupaan määräykset siitä, miten rekistereiden suojaus on järjestettävä ja miten henkilötietojen käyttöä on valvottava. Vastaavat määräykset on nykyään liitettävä henkilörekisteriasetuksen 14 §:n 2 momentin nojalla tietosuojalautakunnan myöntämään lupaan.

Tietosuojaviranomaisten myötävaikutus henkilörekistereiden arkistoinnissa turvattaisiin pykälän 3 momentissa siten, että kansallisarkiston olisi varattava tietosuojavaltuutetulle tilaisuus lausunnon antamiseen ennen 2 momentissa tarkoitetun luvan myöntämistä.

8 luku. Ilmoitus tietosuojavaltuutetulle

Tietosuojadirektiivin 18 artikla sisältää säännökset ilmoitusvelvollisuudesta tietosuojaviranomaiselle. Artiklan 1 kohta velvoittaa jäsenvaltiot säätämään siitä, että rekisterinpitäjän tai tarvittaessa tämän edustajan on ilmoitettava henkilötietojen automaattisesta käsittelystä valvontaviranomaiselle. Ilmoitusvelvollisuus on pääsääntönä artiklan 1 kohdassa. Siitä voidaan säätää poikkeuksia artiklan 2 ― 4 kohdassa mainituilla perusteilla.

Henkilörekisterilain taustalla on ajatus rekisterinpidon itseohjautuvuudesta. Pyrkimyksenä on, että rekisterinpitäjä ottaa oma-aloitteisesti huomioon ne rekisterinpidossa ja henkilötietojen käsittelyssä yksityisyyden suojaamiseksi ja rekisteröidyn oikeuksien turvaamiseksi tarpeelliset velvoitteet ja periaatteet, jotka ilmenevät suoraan lain säännöksistä. Rekisteröidyn yksityisyyden suoja on nykyisessä laissa pyritty perustamaan lain säännöksille sellaisenaan ja rajoittamaan hallinnolliset ilmoitusmenettelyt vain sellaisiin tilanteisiin, joissa ilmoitusvelvollisuutta on pidetty yksityisyyden suojan turvaamiseksi erityisen perusteltuna. Ehdotetussa laissa on pyritty säilyttämään nykyinen oikeustila siinä määrin kuin se on direktiivin puitteissa mahdollista. Nykyisen henkilörekisterilain tavoin myös ehdotetussa laissa on siten pyritty perustamaan rekisteröidyn yksityisyyden suoja lain säännöksille sellaisenaan ja rajoittamaan hallinnolliset ilmoitusmenettelyt vain välttämättömimpiin tilanteisiin. Tällöin ilmoitusmenettely ei viranomaisessa ole pelkästään saapuneiden ilmoitusten toteamista, vaan lähtökohtana on ilmoituksen tarkoittaman tietojen käsittelyn yksityiskohtaisempi tarkastelu ja mahdollinen enempiin toimenpiteisiin ryhtyminen.

Tietosuojadirektiivin 20 artikla sisältää säännökset ennakkotarkastuksesta. Artiklassa jäsenvaltiot velvoitetaan määrittelemään sellaiset henkilötietojen käsittelyt, joista saattaa aiheutua erityisiä riskejä rekisteröityjen oikeuksille ja vapauksille. Tietosuojaviranomaisen olisi tarkastettava tällaiset käsittelyt ennen niiden toteuttamista. Artiklan 3 kohdan nojalla jäsenvaltiot voivat toteuttaa tällaisen tarkastustoimenpiteen myös kansallisen lainsäädännön säätämisen yhteydessä. Ehdotettu laki sisältää nykyisen henkilörekisterilain tavoin tietosuojavaltuutetulle hyvin kattavan tiedonsaanti- ja tarkastusoikeuden ja muut toimivaltasäännökset. Osaltaan henkilötietojen käsittelyn ennakkotarkastus toteutuu myös tietosuojalautakunnan lupamenettelyllä. Ottaen huomioon myös sen, että 36 §:ssä säädetty ilmoitus tietosuojavaltuutetulle on tehtävä ennen siinä tarkoitettuun toimenpiteeseen ryhtymistä, ei lakiehdotusta laadittaessa ole nähty sijaa ja perusteita tietosuojadirektiivin 20 artiklan mahdollistamalle erityiselle ennakkotarkastusmenettelylle. On lisäksi huomattava, että erityisesti julkishallinnossa useiden suurien rekisterien pito perustuu erityislainsäädäntöön. Yksityisyyden suojan ja rekisteröidyn oikeuksien ja vapauksien turvaaminen voidaan tällöin ottaa huomioon lainvalmistelussa. Tällaiseen lainsäädäntöön saattaa olla tarpeen sisällyttää myös tietosuojaviranomaisten myötävaikutusta edellyttäviä erityissäännöksiä.

36 §. Ilmoitusvelvollisuus. Pykälässä säädettäisiin rekisterinpitäjän ilmoitusvelvollisuudesta tietosuojavaltuutetulle. Säännöksillä toteutettaisiin tietosuojadirektiivin 18 artiklaan sisältyvä lainsäädäntötoimeksianto. Direktiivin 18 artiklassa on lähtökohtana yleinen ilmoitusvelvollisuus automaattisen tietojenkäsittelyn avulla tapahtuvasta henkilötietojen käsittelystä tietosuojaviranomaisille. Tästä ilmoitusvelvollisuudesta voidaan kuitenkin tehdä poikkeuksia tai sitä voidaan yksinkertaistaa 18 artiklan 2 ― 4 kohdassa mainituilla perusteilla.

Direktiivin 18 artiklan 2 kohdan mukaan ilmoitusvelvollisuudesta voidaan poiketa, jos henkilötietojen käsittely, ottaen huomioon käsiteltävät tiedot, ei todennäköisesti loukkaa rekisteröidyn oikeuksia ja vapauksia ja jäsenvaltiot määrittelevät käsittelyn tarkoituksen, käsiteltävät tiedot tai tietoryhmät, rekisteröityjen ryhmän tai ryhmät, tietojen vastaanottajan tai vastaanottajaryhmät ja tietojen säilytysajan. Myös erityislainsäädäntöön perustuva rekisterinpito voidaan rajata tällä perusteella ilmoitusvelvollisuuden ulkopuolelle.

Nykyisin ilmoitusvelvollisuudesta tietosuojavaltuutetulle säädetään henkilörekisterilain 30 §:ssä. Ilmoitusvelvollisuutta koskeviin säännöksiin ehdotetaan tehtäviksi direktiivistä johtuvat ja nykyisestä ilmoitusmenettelystä saatujen kokemusten perusteella tarpeelliset tarkistukset. Kuten edellä on todettu, ehdotetussa laissa on pyritty säilyttämään nykyinen oikeustila siinä määrin kuin se on direktiivin puitteissa mahdollista. Ilmoitusvelvollisuus kohdistuisi sellaisiin henkilötietojen käsittelyn tilanteisiin, jotka erityisesti edellyttävät rekisteröidyn yksityisyyden suojan ja riittävän oikeusturvan arviointia.

Pykälän 1 momenti ssa säädettäisiin rekisterinpitäjälle velvollisuus ilmoittaa henkilötietojen automaattisesta käsittelystä tietosuojavaltuutetulle. Säännöksellä toteutettaisiin direktiivin 18 artiklan 1 kohtaan sisältyvä lainsäädäntötoimeksianto. Ilmoitus tehtäisiin lähettämällä rekisteriseloste tietosuojavaltuutetulle. Rekisteriseloste, jonka laatimisesta säädettäisiin 10 §:ssä, sisältää samat tiedot, joiden direktiivin 19 artikla edellyttää sisältyvän tietosuojaviranomaiselle annettavaan ilmoitukseen.

Pykälän 2 momentin 1 kohdassa velvoitettaisiin rekisterinpitäjä ilmoittamaan tietosuojavaltuutetulle henkilötietojen siirrosta EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle silloin, kun siirto perustuu 22 §:ään tai 23 §:n 7 kohtaan eikä siirrosta ole laissa säädetty. Ilmoitus olisi siten tehtävä ensinnäkin silloin, kun henkilötietoja siirretään sellaiseen EU:n tai ETAn ulkopuoliseen maahan, jossa katsotaan taattavan tietosuojan riittävä taso. Tietosuojavaltuutetulle olisi ilmoitettava myös, kun siirto perustuu rekisterinpitäjän sopimuslausekkein tai muulla tavoin antamiin takeisiin henkilöiden yksityisyyden ja oikeuksien suojasta. Ilmoitusvelvollisuutta ei olisi, jos tietojen siirrosta on säädetty laissa. Ilmoituksen saatuaan tietosuojavaltuutettu arvioisi, tuleeko yksityisyyden suoja riittävästi turvatuksi ilmoitetussa henkilötietojen siirrossa.

Rekisterinpitäjän olisi 2 momentin 2 kohdan mukaan ilmoitettava tietosuojavaltuutetulle myös 31 §:ssä tarkoitetun automatisoidun päätöksentekojärjestelmän käyttöönotosta. Ilmoitusvelvollisuus on katsottu tarpeelliseksi, koska tällaisten päätöksentekojärjestelmien käytöstä on toistaiseksi vähän kokemuksia. Ilmoitusten perusteella tietosuojavaltuutettu voi valvoa automatisoidun päätöksentekojärjestelmän käytön lainmukaisuutta ja sitä, että rekisteröidyn oikeudet tulevat riittävästi turvatuiksi tällaisia järjestelmiä käytettäessä.

Pykälän 3 momentissa säädettäisiin ilmoitusvelvollisuus sille, joka harjoittaa luottotietotoimintaa taikka elinkeinona harjoittaa perimistoimintaa, markkina- tai mielipidetutkimusta taikka hoitaa toisen lukuun henkilöstön valintaan ja soveltuvuuden arviointiin liittyviä tehtäviä tai tietojenkäsittelytehtäviä ja tässä toiminnassa käyttää tai käsittelee henkilörekistereitä ja niissä olevia tietoja. Säännös vastaa nykyisen henkilörekisterilain 30 §:n 2 momenttia. Kyseessä on niin sanottu toimintailmoitus, joka tietynlaista toimintaa harjoittavan rekisterinpitäjän on tehtävä sellaisesta toiminnasta, jossa usein käsitellään suuria tietomääriä ja jossa voi olla riski rekisteröidyn yksityisyyden tai oikeuksien vaarantumiselle.

Pykälän 4 momentissa säädettäisiin siitä, milloin pykälän 1 momentissa säädetystä ilmoitusvelvollisuudesta voitaisiin poiketa. Poikkeaminen olisi mahdollista ensinnäkin silloin, kun tietoja käsitellään 8 §:n 1 momentin 1 ― 3 kohdan nojalla. Ilmoitusvelvollisuutta ei siten olisi, jos henkilötietoja käsitellään rekisteröidyn yksiselitteisesti antamalla suostumuksella, rekisteröidyn toimeksiannosta tai sellaisen sopimuksen täytäntöönpanemiseksi, jossa rekisteröity on osallisena, taikka sopimusta edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä. Ilmoitusvelvollisuutta ei myöskään olisi, jos käsittely on yksittäistapauksessa tarpeen rekisteröidyn elintärkeän edun suojaamiseksi. Tällaisissa tilanteissa tietojenkäsittelystä ilmoittaminen 37 §:n 4 momentissa säädetyllä tavalla ennakolta olisi mahdotontakin esimerkiksi silloin, kun tietojen käsittely on tarpeen äkillisessä tilanteessa rekisteröidyn hengen tai terveyden pelastamiseksi. Ilmoitusvelvollisuutta ei 36 §:n 4 momentin mukaan olisi myöskään silloin, kun henkilötietoja käsitellään 8 §:n 1 momentin 4 kohdan nojalla ja käsittelystä säädetään laissa. Sen sijaan henkilötietojen käsittelystä, joka perustuu 8 §:n 1 momentin 4 kohtaan siten, että käsittely johtuu rekisterinpitäjälle laissa säädetystä tai lain nojalla määrätystä tehtävästä tai velvoitteesta, olisi ilmoitettava tietosuojavaltuutetulle. Kun henkilötietojen käsittelystä ei tällöin ole nimenomaisia säännöksiä, tietosuojavaltuutettu voisi ilmoituksen perusteella valvoa sekä ohjein ja neuvoin varmistaa, että tällainen henkilötietojen käsittely on yksityisyyden suojaa koskevien säännösten mukaista. Ehdotettujen poikkeusten on katsottu olevan mahdollisia direktiivin 18 artiklan 2 kohdan nojalla.

Ilmoitusvelvollisuutta ei pykälän 4 momentin mukaan olisi myöskään silloin, kun tietojen käsittely perustuu 8 §:n 1 momentin 5 kohdassa tarkoitettuun asiakas- tai palvelussuhteeseen tai jäsenyyteen. Jos 8 §:n 1 momentin 5 kohdan nojalla käsitellään sellaisen rekisteröidyn tietoja, jolla on rekisterinpitäjän toimintaan muu asiakas- tai palvelussuhteeseen tai jäsenyyteen verrattava suhde, käsittelystä olisi ilmoitettava tietosuojavaltuutetulle. Ilmoitusvelvollisuutta ei 4 momentin mukaan olisi myöskään 8 §:n 1 momentin 6 kohdan nojalla toteutettavasta henkilötietojen käsittelystä. Tällöin on kysymys konsernin tai muun taloudellisen yhteenliittymän asiakkaita tai työntekijöitä koskevista tiedoista ja näitä tietoja käsitellään kyseisen yhteenliittymän sisällä. Myös 8 §:n 1 momentin 9 kohtaan perustuva henkilötietojen käsittely eli käsittely, johon tietosuojalautakunta on antanut luvan, jäisi ilmoitusvelvollisuuden ulkopuolelle. Tällöin yksityisyyden turvaaminen henkilötietojen käsittelyssä tulisi arvioiduksi tietosuojalautakunnan luvan myöntämisen yhteydessä. Myös näiden poikkeusten voidaan katsoa olevan mahdollisia direktiivin 18 artiklan 2 kohdan nojalla.

Ilmoitusvelvollisuuden ulkopuolelle jäisi myös arkaluonteisten tietojen käsittely silloin, kun se perustuu 12 §:n 1 ― 4 kohtaan, 5 kohtaan, jos käsittelystä säädetään laissa, tai 7 ― 10, 12 tai 13 kohtaan. Poikkeukset arkaluonteisten tietojen käsittelystä ilmoittamisesta on katsottu mahdollisiksi direktiivin 18 artiklan 2 ja 4 kohdan nojalla. Direktiivin 18 artiklan 2 kohdan nojalla ehdotetaan myös, että 13 §:ssä säännelty henkilötunnuksen käsittely ja lakiehdotuksen 4 luvussa säännelty henkilötietojen käsittely jäisivät 36 §:n 4 momentin nojalla ilmoitusvelvollisuuden ulkopuolelle lukuun ottamatta 19 §:ssä säädettyä henkilötietojen käsittelyä suoramarkkinointia varten. Henkilötietojen käsittely näihin ilmoitusvelvollisuuden ulkopuolelle rajattuihin tarkoituksiin ehdotetaan säänneltäväksi ehdotetussa laissa siten, että käsittelyssä voidaan turvata myös rekisteröidyn oikeudet ja vapaudet. Suoramarkkinointiin sekä mielipide- ja markkinatutkimukseen käytettävästä henkilörekisteristä on nykyäänkin ilmoitettava lain 30 §:n 1 momentin 1 kohdan nojalla tietosuojavaltuutetulle.

Ilmoitusvelvollisuudesta voitaisiin pykälän 4 momentin mukaan lisäksi poiketa asetuksella, jos on ilmeistä, ettei henkilötietojen käsittely loukkaa rekisteröidyn yksityisyyden suojaa taikka hänen oikeuksiaan tai vapauksiaan. Tällainen menettely on katsottu mahdolliseksi direktiivin 18 artiklan 2 kohdan nojalla.

Direktiivin 21 artiklan 2 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että valvontaviranomainen pitää rekisteriä 18 artiklan mukaisesti ilmoitetuista käsittelyistä. Tietosuojavaltuutettu pitää diaaria käsiteltävistä asioista. Diaarista voidaan saada listaus myös tietosuojavaltuutetulle tehdyistä ilmoituksista. Eduskunnan käsiteltävänä olevassa ehdotuksessa laiksi viranomaisten toiminnan julkisuudesta on säännös, jossa viranomainen velvoitettaisiin pitämään luetteloa käsittelemistään asioista. Direktiivi 21 artiklan 2 kohdan lainsäädäntötoimeksianto tulee näin ollen täytetyksi viranomaisten toiminnan julkisuutta koskevan lain säännöksillä.

37 §. Ilmoituksen tekeminen. Pykälässä säädettäisiin siitä, mitä tietoja tietosuojavaltuutetulle tehtävään ilmoitukseen olisi rekisteriselosteesta ilmenevien tietojen lisäksi sisällytettävä silloin, kun ilmoitus tehdään 36 §:n 2 momentin 1 ― 3 kohdan nojalla, ja siitä, milloin ilmoitus on tehtävä.

Pykälän 1 momentissa luetellaan ne tiedot, joiden tulee rekisteriselosteesta ilmenevien tietojen lisäksi käydä ilmi 36 §:n 2 momentin 1 kohdan nojalla tehtävästä ilmoituksesta henkilötietojen siirrosta EU:n jäsenvaltioiden alueen tai ETAn ulkopuolelle. Tällaisia tietoja ovat tieto siitä, mitä tietotyyppejä siirretään ja miten siirto tapahtuu.

Lain 31 §:ssä säädetyn automatisoidun päätöksentekojärjestelmän käyttöönotosta tehtävästä ilmoituksesta olisi rekisteriselosteessa mainittujen tietojen lisäksi käytävä ilmi järjestelmässä käytetty logiikka. Tästä säädettäisiin pykälän 2 momentissa.

Pykälän 3 momentissa säädettäisiin niistä tiedoista, joiden tulisi käydä ilmi 36 §:n 3 momentin mukaisesta toimintailmoituksesta. Tällaisen ilmoituksen tulee säännöksen mukaan sisältää elinkeinonharjoittajan nimi, toimiala, kotipaikka ja yhteystiedot, toiminnassa käytettävät henkilörekisterit ja niiden sisältämät tietotyypit, tietojen mahdollinen luovuttaminen rekisteristä ja talletettujen tietojen säilytysaika, miten henkilörekistereiden suojaus on järjestetty ja miten niiden käyttöä valvotaan.

Ilmoitus tietosuojavaltuutetulle olisi 4 momentin mukaan tehtävä viimeistään 30 päivää ennen henkilörekisteriin talletettaviksi aiottujen henkilötietojen keräämistä ja tallettamista tai muuhun ilmoitusvelvollisuuden piiriin kuuluvaan toimenpiteeseen ryhtymistä. Määräaika on samanpituinen kuin nykyisen henkilörekisterilain 19 §:n 3 momentissa ilmoituksen tekemiselle säädetty määräaika.

9 luku. Henkilötietojen käsittelyn ohjaus ja valvonta

Direktiivin 28 artiklan mukaan jäsenvaltioiden on säädettävä siitä, että jäsenvaltioiden tietosuojadirektiivin mukaisesti toteuttamien toimenpiteiden soveltamista sen alueella valvoo yksi tai useampi julkinen viranomainen. Itsenäisesti toimivien valvontaviranomaisten perustaminen on direktiivin mukaan keskeinen tekijä yksilöiden suojelussa henkilötietojen käsittelyssä. Tästä syystä kyseisillä viranomaisilla on oltava myös tarvittavat keinot tehtäviensä suorittamiseksi. Mainittu artikla määrittelee sen, millaisia valtuuksia valvontaviranomaisilla tulee olla. Tässä luvussa säädettäisiin tietosuojaviranomaisista ja niiden toimivaltuuksista.

Ehdotettu sääntely perustuisi pitkälti nykyiseen sääntelyyn. Tietosuojaviranomaisia olisivat edelleen tietosuojavaltuutettu ja tietosuojalautakunta. Nykyiseen henkilörekisterilakiin verrattuna on tehty joukko hienosäädön luonteisia tarkistuksia, jotka johtuvat tietosuojadirektiivistä taikka kansallisen lainsäädännön kehityksestä tai käytännön kokemuksista.

Tietosuojadirektiivin 28 artiklan 5 kohta velvoittaa valvontaviranomaisen laatimaan kertomuksen toiminnastaan säännöllisin väliajoin. Tietosuojavaltuutetun ja tietosuojalautakunnan on jo nykyään annettava tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun asetuksen (432/1994) 10 §:n nojalla vuosittain kertomus toiminnastaan. Säännös on tarkoitus säilyttää mainitussa asetuksessa.

38 §. Tietosuojaviranomaiset. Pykälässä säädettäisiin tietosuojaviranomaisten tehtävistä. Tietosuojaviranomaisia ovat tietosuojavaltuutettu ja tietosuojalautakunta. Pykälän 1 momentti koskee tietosuojavaltuutettua ja 2 momentti tietosuojalautakuntaa. Tietosuojavaltuutettu antaisi ennakollista ohjausta ja neuvontaa sekä toimisi valvontaviranomaisena, joka voisi puuttua lainvastaiseksi havaitsemaansa tietojenkäsittelyyn toimivaltuuksiensa puitteissa. Tietosuojavaltuutettu olisi toimivaltainen silloinkin, kun henkilötietojen käsittelyyn sovelletaan tämän lain ohella tai sijasta muun lain säännöksiä. Tietosuojalautakunta toimisi edelleen lupaviranomaisena, minkä lisäksi sillä olisi päätösvaltaa eräissä tietosuojavaltuutetun vireille saattamissa asioissa.

Pykälän 1 momentti vastaisi pitkälti nykyistä henkilörekisterilain 29 §:n 1 momenttia. Siihen on kuitenkin lisätty maininta tietosuojavaltuutetun tehtävästä antaa henkilötietojen käsittelyä koskevaa ohjausta ja neuvontaa ja käyttää päätösvaltaa. Ohjauksen ja neuvonnan nimenomaisella mainitsemisella tässä on haluttu korostaa sitä, että tietosuojavaltuutetun ensisijainen tehtävä on vaikuttaa ennakollisilla toimenpiteillä rekisterinpidon lainmukaisuuteen. Tehtäviään hoitaessaan tietosuojavaltuutetun on otettava huomioon lain tarkoitus toteuttaa yksityiselämän suojaa sekä muita perusoikeuksia samoin kuin edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Tietosuojavaltuutetun on rekisteröidyn etujen lisäksi otettava huomioon myös rekisterinpitäjän ja sivullisen intressit. Pykälässä tietosuojavaltuutetun ohjaus ja valvonta on ulotettu direktiivissä noudatetun sääntelytavan mukaisesti koskemaan kaikkea henkilötietojen käsittelyä. Toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten tapahtuvan käsittelyn osalta tietosuojavaltuutetun toimivalta olisi suppeampi, koska lakia sovellettaisiin mainittuihin käsittelyihin vain osittain.

Lisäys päätösvallan käyttämisestä johtuu ehdotuksen 40 §:n 2 momentista, jonka mukaan tietosuojavaltuutettu voi antaa rekisterinpitäjää velvoittavan määräyksen tarkastusoikeutta ja virheen oikaisua koskevassa asiassa. Nykyisin vain tietosuojalautakunta voi antaa rekisterinpitäjää velvoittavan päätöksen.

Pykälän 2 momentin mukaan tietosuojalautakunta käsittelisi henkilötietojen käsittelyyn liittyviä lain soveltamisalan kannalta periaatteellisesti tärkeitä kysymyksiä ja käyttäisi päätösvaltaa tietosuoja-asioissa siten kuin tässä laissa säädetään. Säännös päätösvallan käyttämisestä sisältyy nykyään henkilörekisterilain 29 §:n 3 momenttiin ja säännös periaatteellisesti tärkeiden kysymysten käsittelystä tietosuojalautakunnasta ja tietosuojavaltuutetusta annetun lain 2 §:n 2 kohtaan.

Tietosuojaviranomaiset voivat pykälän 3 momentin mukaan käyttää tässä luvussa tarkoitettuja toimivaltuuksia silloinkin, kun henkilötietojen käsittelyyn ei 4 §:n mukaisesti sovelleta tätä lakia. Säännös johtuu direktiivin 28 artiklan 6 kohdasta, jonka mukaan kansallinen valvontaviranomainen on toimivaltainen käyttämään jäsenvaltionsa alueella valtuuksia, jotka sille kuuluvat riippumatta kyseessä olevaan käsittelyyn sovellettavasta kansallisesta oikeudesta. Toisen jäsenvaltion viranomainen voi pyytää valvontaviranomaista käyttämään valtuuksiaan.

Tietosuojavaltuutettu voisi momentin nojalla käyttää tässä luvussa säädettyjä toimivaltuuksiaan, esimerkiksi oikeutta saada tietoja henkilötietojen käsittelystä, omasta aloitteestaan tai jäsenvaltion viranomaisen pyynnöstä.

39 §. Tietosuojaviranomaisten tiedonsaanti- ja tarkastusoikeus. Pykälä sisältää säännökset tietosuojaviranomaisten oikeudesta saada tietoja tehtäviensä suorittamiseksi sekä tietosuojavaltuutetun oikeudesta tarkastaa rekistereitä.

Pykälän 1 momentin mukaan tietosuojavaltuutetulla olisi oikeus salassapitosäännösten estämättä saada tiedot käsiteltävistä henkilötiedoista sekä kaikki tiedot, jotka ovat tarpeen henkilötietojen käsittelyn lainmukaisuuden valvonnassa. Tietosuojalautakunnalla on vastaava oikeus sen käsiteltävissä asioissa. Tiedonsaantioikeus olisi nykyistä laajempi. Pykälässä tietojenantovelvollisuus on direktiivin 28 artiklan 3 kohdan mukaisesti ulotettu koskemaan myös muita kuin rekisterinpitäjiä. Tiedonsaanti on samoin ulotettu koskemaan kaikkia henkilötietojen käsittelyn lainmukaisuuden valvonnassa tarvittavia tietoja. Nykyisen henkilörekisterilain 31 §:n 1 momentin mukaan tietojenantovelvollisuus on vain rekisterinpitäjällä ja tietoja on annettava vain henkilörekisteristä ja sen käytöstä.

Uudistuksen myötä tietojenantovelvollisuus koskisi esimerkiksi henkilötietoja rekisterinpitäjän lukuun käsitteleviä ja pankkeja tietosuojavaltuutetun tarvitessa tietoja luottotietorekisterissä olevien maksuhäiriömerkintöjen lainmukaisuuden selvittämisessä.

Pykälään ei ehdoteta nykyisen henkilörekisterilain 31 §:n 2 momentin mukaista säännöstä rekisterinpitäjän velvollisuudesta antaa tietosuojavaltuutetulle henkilörekistereitä koskevia selvityksiä siten kuin asetuksella tarkemmin säädetään. Mainittua lainkohtaa ei ole käytännössä sovellettu, koska asetukseen ei ole otettu tässä lainkohdassa tarkoitettuja tarkempia säännöksiä.

Pykälän 2 momentin mukaan tietosuojavaltuutetulla olisi oikeus tarkastaa henkilörekistereitä ja käyttää tarkastuksessa asiantuntijoita. Säännös olisi samansisältöinen kuin henkilörekisterilain 32 §. Tietosuojavaltuutetun asiantuntijoita ei kuitenkaan enää tarvitsisi hyväksyttää tietosuojalautakunnassa.

Pykälän 3 momentissa rajattaisiin tietosuojavaltuutetun toimivaltaa silloin, kun henkilötietoja käsitellään 2 §:n 5 momentissa mainittuja toimituksellisia sekä taiteellisen tai kirjallisen ilmaisun tarkoituksia varten. Tietosuojavaltuutetulla olisi tällöin oikeus saada vain 32 §:ssä tarkoitetun suojaamisvelvollisuuden valvonnan kannalta tarpeellisia tietoja. Rajaus on tarpeen, koska ehdotettua lakia sovellettaisiin henkilötietojen käsittelyyn näihin tarkoituksiin vain osittain. Toimituksellisten rekistereiden osalta vastaavanlainen tietosuojavaltuutetun toimivallan rajaus on säädetty nykyisen henkilörekisterilain 29 §:n 2 momentissa. Tietosuojadirektiivin 9 artiklassa henkilötietojen käsittely taiteellisen tai kirjallisen ilmaisun tarkoituksia varten rinnastetaan toimituksellisiin tarkoituksiin. Momentissa säädetty tietojenantovelvollisuus olisi muillakin kuin rekisterinpitäjillä.

40 §. Tietosuojavaltuutetun toimenpiteet. Pykälässä määritellään ne toimintatavat, joita tietosuojavaltuutettu voi käyttää pyrkiessään vaikuttamaan siihen, ettei henkilötietoja käsitellä laittomasti ja saadakseen havaitsemansa lainvastaisen menettelyn oikaistua.

Pykälän 1 momentin mukaan tietosuojavaltuutetun olisi edistettävä hyvää tietojenkäsittelytapaa ja ensisijaisesti ohjein ja neuvoin pyrittävä siihen, että lainvastaista menettelyä ei jatketa tai uusita. Tarvittaessa tietosuojavaltuutetun olisi saatettava asia tietosuojalautakunnan käsiteltäväksi taikka ilmoitettava se syytteeseen panoa varten. Vastaava sääntely sisältyy pääosin samansisältöisenä nykyiseen henkilörekisterilain 34 §:ään.

Koska direktiivin 28 artiklan 3 kohta edellyttää, että tietosuojavaltuutetun on voitava saattaa kaikki direktiivin mukaisesti toteutettujen kansallisten toimenpiteiden rikkomiset lainkäyttöviranomaisten tietoon, ehdotetaan, että pykälä koskisi kaikkea henkilötietojen käsittelyn lainvastaisuutta eikä, kuten nykyisin, vain sellaista lainvastaisuutta, joka liittyy henkilötietojen keräämiseen tai tallettamiseen taikka henkilörekisterissä olevien tietojen käyttöön ja luovuttamiseen.

Pykälän 2 momentin mukaan tietosuojavaltuutetun on ratkaistava hänen käsiteltäväkseen saatettu tarkastusoikeuden toteuttamista tai tiedon korjaamista koskeva asia. Tietosuojavaltuutettu voi antaa rekisterinpitäjälle määräyksen rekisteröidyn tarkastusoikeuden toteuttamisesta tai tiedon korjaamisesta. Tietosuojavaltuutetun päätös olisi valituskelpoinen. Siihen voisi hakea muutosta lakiehdotuksen 45 §:n mukaan noudattaen, mitä hallintolainkäyttölaissa säädetään. Hallintolainkäyttölain 7 §:n mukaan valitus tehdään lääninoikeudelle.

Nykyisen henkilörekisterilain 35 §:n 1 momentin mukaan tietosuojavaltuutetun antama määräys on rauennut, jos rekisterinpitäjä on vastustanut määräystä. Näissä tapauksissa asia on pitänyt saattaa tietosuojalautakunnan käsiteltäväksi rekisterinpitäjää velvoittavan päätöksen aikaansaamiseksi. Ehdotetun muutoksen tarkoitus on tehostaa tietosuojavaltuutetun toimivaltuuksia ja osaltaan taata rekisteröidylle direktiivin 22 artiklan edellyttämät oikeussuojatakeet sekä selkeyttää tietosuojavaltuutetun ja tietosuojalautakunnan tehtäväjakoa.

Pykälän 3 momentin mukaan tietosuojavaltuutettu voisi antaa tarkempia ohjeita siitä, miten henkilötiedot on suojattava laittomalta käsittelyltä. Tämä on tarpeen, koska lain 32 §:ssä ei yksityiskohtaisesti määritellä niitä teknisiä ja muita toimia, jotka henkilötietojen käsittelyn suojaamiseksi on suoritettava. Tietosuojavaltuutettu voi nykyisinkin antaa vastaavanlaisia ohjeita siitä, miten henkilörekisterit on suojattava ulkopuoliselta käytöltä.

41 §. Tietosuojavaltuutetun kuuleminen. Pykälä sisältää säännökset siitä, millaisissa tilanteissa muiden viranomaisten on kuultava tietosuojavaltuutettua.

Pykälän 1 momentin mukaan asianomaisen viranomaisen olisi varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi valmisteltaessa lainsäädännöllisiä tai hallinnollisia uudistuksia, jotka koskevat henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä. Hallinnollisilla uudistuksilla tarkoitetaan esimerkiksi sellaisia viranomaisten organisaatiorakenteisiin liittyviä uudelleenjärjestelyjä, joilla on vaikutusta henkilörekisterien pitoon.

Ehdotuksen tarkoitus on antaa tietosuojavaltuutetulle mahdollisuus vaikuttaa henkilötietojen käsittelyyn liittyviin lainsäädännöllisiin ja hallinnollisiin uudistuksiin jo valmisteluvaiheessa. Myös näin korostetaan sitä, että tietosuojavaltuutetun ensisijainen tehtävä on vaikuttaa ennakollisilla toimenpiteillä henkilötietojen käsittelyn lainmukaisuuteen. Vastaavanlaista kuulemisvaatimusta ei sisälly nykyiseen lainsäädäntöön. Käytännössä tietosuojavaltuutettua on kuitenkin yleensä kuultu henkilötietojen käsittelyyn liittyvää lainsäädäntöä valmisteltaessa. Ehdotus perustuu direktiivin 28 artiklan 2 kohtaan sisältyvään lainsäädäntötoimeksiantoon, jonka mukaan kunkin jäsenvaltion on säädettävä siitä, että valvontaviranomaisia kuullaan suunniteltaessa henkilöiden oikeuksien ja vapauksien suojaamista henkilötietojen käsittelyssä koskevia lainsäädännöllisiä ja hallinnollisia toimenpiteitä.

Pykälän 2 momentin mukaan virallisen syyttäjän olisi ennen ehdotetun lain vastaista menettelyä koskevan syytteen nostamista kuultava tietosuojavaltuutettua. Tuomioistuimen olisi tällaista asiaa käsiteltäessä varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi. Vastaavanlainen säännös sisältyy nykyisen lain 47 §:ään.

Lisäksi rikoslain 38 luvun 10 §:n 3 momentissa (578/1995) säädetään tietosuojavaltuutetun kuulemisesta. Tämän lainkohdan mukaan virallisen syyttäjän on ennen henkilörekisteriin kohdistuvaa salassapitorikosta, salassapitorikkomusta, viestintäsalaisuuden loukkausta, törkeää viestintäsalaisuuden loukkausta tai tietomurtoa taikka henkilörekisteririkosta koskevan syytteen nostamista kuultava tietosuojavaltuutettua. Tuomioistuimen on tällaista rikosta koskevaa asiaa käsiteltäessä varattava tietosuojavaltuutetulle tilaisuus tulla kuulluksi.

42 §. Toimialakohtaiset käytännesäännöt. Pykälässä säädettäisiin rekisterinpitäjien tai näitä edustavien yhteisöjen mahdollisuudesta laatia toimialakohtaisia käytännesääntöjä. Vastaavanlaista sääntelyä ei sisälly nykyiseen lakiin. Käytännössä tällaisia toimialakohtaisia ohjeita on jo nykyisin laadittu hyvän rekisteritavan kehittämiseksi esimerkiksi suoramarkkinoinnin alalla.

Direktiivin 27 artiklan 1 kohdan mukaan jäsenvaltioiden on edistettävä sellaisten käytännesääntöjen laatimista, joiden tarkoituksena on jäsenvaltioiden direktiivin mukaisesti säätämien kansallisten säännösten moitteeton soveltaminen ottaen huomioon eri alojen erityiset piirteet. Mainitun artiklan 2 kohtaan sisältyvän lainsäädäntötoimeksiannon mukaisesti ehdotetaan säädettäväksi, että rekisterinpitäjät tai näitä edustavat yhteisöt voivat laatia toimialakohtaisia käytännesääntöjä tämän lain soveltamiseksi ja hyvän tietojenkäsittelytavan edistämiseksi sekä toimittaa laatimansa ehdotukset tietosuojavaltuutetulle. Kun käytännesäännöt toimitetaan tietosuojavaltuutetulle, tämä voi tarkastaa, että ne ovat ehdotetun lain ja muiden henkilötietojen käsittelyyn vaikuttavien säännösten mukaisia.

Käytännesääntöjen laatiminen olisi vapaaehtoista. Pykälän nojalla laaditut ehdotukset käytännesäännöiksi voitaisiin toimittaa tietosuojavaltuutetulle tarkastettavaksi. Tietosuojavaltuutetulla ei olisi varsinaista päätäntävaltaa käytännesääntöjen suhteen, mutta tietosuojavaltuutettu voisi varmistaa sen, että käytännesäännöt ovat lain mukaiset ja tarvittaessa antaa neuvontaa ja ohjausta lain soveltamisessa ja hyvän tietojenkäsittelytavan määrittelyssä. Tietosuojavaltuutettu voisi käytännesääntöjä tarkastaessaan kuulla rekisterinpitäjän lisäksi muitakin tahoja, kuten esimerkiksi rekisteröityjä edustavia järjestöjä.

43 §. Tietosuojalautakunnan lupatoimivalta. Pykälään ehdotetaan otettavaksi säännökset tietosuojalautakunnan lupatoimivallasta.

Pykälän 1 momentin mukaan tietosuojalautakunta voisi antaa lain 8 §:n 1 momentin 9 kohdassa tarkoitetun luvan henkilötietojen käsittelyyn, jos käsittely on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi muussa kuin yksittäistapauksessa taikka yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan. Lupa voitaisiin myöntää myös rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun edun toteuttamiseksi edellyttäen, ettei tietojen tällainen käsittely vaaranna henkilön yksityisyyden suojaa ja oikeuksia.

Luvan myöntämisen edellytykset ovat samat kuin direktiivin 7 artiklan d ― f alakohdassa henkilötietojen käsittelylle säädetyt edellytykset. Lupamenettely on katsottu tarpeelliseksi, jotta näiden edellytysten täyttyminen ei jäisi rekisterinpitäjän yksipuolisesti arvioitavaksi ja jotta saataisiin aikaan yhdenmukainen soveltamiskäytäntö.

Pykälän 2 momentin mukaan tietosuojalautakunta voisi antaa lain 12 §:n 13 kohdassa tarkoitetun luvan arkaluonteisten henkilötietojen käsittelyyn. Lupa voitaisiin myöntää vain tärkeää yleistä etua koskevasta syystä. Ehdotettu sääntely perustuu direktiivin 8 artiklan 4 kohtaan, joka sallii poikkeusten tekemisen arkaluonteisten tietojen käsittelykiellosta valvontaviranomaisen päätöksellä tärkeää yleistä etua koskevasta syystä. Ehdotettu lupatoimivalta on katsottu tarpeelliseksi lainsäädännön riittävän joustavuuden vuoksi ja koska henkilörekisterilain mukaisten poikkeuslupien myöntäminen nykyisessä laajuudessa ei enää ole direktiivin vuoksi mahdollista. Koska arkaluonteisten tietojen käsittelyyn myönnetty lupa perustuisi direktiivin 8 artiklan 4 kohtaan, olisi luvasta artiklan 6 kohdan mukaisesti ilmoitettava komissiolle.

Tietosuojalautakunnan lupa voitaisiin pykälän 3 momentin mukaan antaa määräajaksi tai toistaiseksi ja siihen olisi liitettävä rekisteröidyn yksityisyyden suojaamiseksi tarpeelliset määräykset. Määräyksiä voitaisiin tietosuojavaltuutetun tai luvan saajan hakemuksesta muuttaa tai täydentää, jos se muuttuneiden olosuhteiden vuoksi on tarpeen. Vastaava sääntely poikkeuslupien osalta sisältyy nykyään henkilörekisterilain 37 §:n 2 ja 3 momenttiin.

44 §. Tietosuojalautakunnan määräykset. Pykälässä säädettäisiin tietosuojalautakunnan oikeudesta antaa rekisterinpitäjää sitovia määräyksiä tietosuojavaltuutetun hakemuksesta.

Pykäläehdotus vastaa sisällöllisesti pääosiltaan nykyisen lain 35 §:n 2 ja 3 momenttiin sisältyvää sääntelyä, jota ehdotuksessa on pyritty selkeyttämään. Pykälässä ehdotetaan säädettäväksi, että siinä tarkoitetut asiat voivat tulla tietosuojalautakunnan käsittelyyn ainoastaan tietosuojavaltuutetun hakemuksesta. Käytännössä asia on ollut näin nytkin, mutta asiasta on syytä ottaa nimenomainen säännös lakiin.

Pykälän mukaan tietosuojalautakunta voisi tietosuojavaltuutetun hakemuksesta:

1) kieltää ehdotetun lain tai sen nojalla annettujen säännösten ja määräysten vastaisen henkilötietojen käsittelyn, 2) velvoittaa muissa kuin 40 §:n 2 momentissa tarkoitetuissa asioissa asianomaisen määräajassa oikaisemaan sen, mitä on oikeudettomasti tehty tai laiminlyöty, 3) määrätä rekisteritoiminnan lopetettavaksi, jos lainvastaiset toimet tai laiminlyönnit huomattavasti vaarantavat rekisteröidyn yksityisyyden suojaa tai hänen etujaan tai oikeuksiaan, jollei rekisteristä ole laissa säädetty, sekä 4) peruuttaa 43 §:ssä tarkoitetun luvan, kun edellytyksiä luvan myöntämiselle ei enää ole tai rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti.

Pykälän 1―3 kohtaan sisältyvä sääntely vastaa nykyiseen henkilörekisterilain 35 §:n 2 ja 3 momenttiin sisältyvää sääntelyä sillä poikkeuksella, että rekisteröidyn tarkastusoikeuden toteuttamista ja tiedon korjaamista koskevat asiat eivät enää tulisi tietosuojalautakunnan käsiteltäviksi. Tietosuojavaltuutetun näissä asioissa lain 40 §:n 2 momentin nojalla tekemiin päätöksiin haettaisiin lakiehdotuksen 45 §:n 1 momentin nojalla muutosta valittamalla noudattaen, mitä hallintolainkäyttölaissa säädetään. Päätöksistä valitettaisiin siten lääninoikeuteen. Tästä seuraa, että tietosuojalautakuntaan ei enää tulisi lainkaan asioita käsiteltäväksi suoraan rekisteröidyn aloitteesta, vaan asian saattaminen tietosuojalautakunnan käsiteltäväksi kanavoituisi aina tietosuojavaltuutetun kautta.

Henkilörekisterilain 37 §:n 3 momentin mukaan tietosuojalautakunnan henkilörekisterilain 37 §:n nojalla myöntämä lupa voidaan peruuttaa, milloin syytä siihen harkitaan olevan. Myös 44 §:n 4 kohtaan ehdotetaan otettavaksi säännös siitä, että tietosuojalautakunnan myöntämä lupa voitaisiin peruuttaa. Lupa voidaan peruuttaa vain silloin, kun edellytyksiä luvan myöntämiselle ei enää ole tai kun rekisterinpitäjä toimii luvan tai siihen liitettyjen määräysten vastaisesti.

45 §. Muutoksenhaku. Pykälän 1 momentin mukaan tietosuojavaltuutetun 40 §:n 2 momentin nojalla tekemään tiedon korjaamista ja rekisteröidyn tarkastusoikeuden toteuttamista koskevaan päätökseen haettaisiin muutosta valittamalla noudattaen, mitä hallintolainkäyttölaissa säädetään. Valitusoikeus on myös silloin, kun tietosuojavaltuutettu kieltäytyy antamasta 40 §:n 2 momentissa tarkoitettua määräystä. Valitus tehtäisiin Uudenmaan lääninoikeudelle. Lääninoikeuden päätöksestä voisi valittaa korkeimpaan hallinto-oikeuteen.

Nykyään tietosuojavaltuutetun edellä mainituissa asioissa antamat ratkaisut eivät ole valituskelpoisia, mutta rekisteröity voi saattaa hänelle kielteisen ratkaisun tietosuojalautakunnan käsiteltäväksi. Direktiivin 22 artiklan mukaan jäsenvaltioiden on säädettävä siitä, että kenellä tahansa henkilöllä on mahdollisuus käyttää oikeussuojakeinoja, jos kyseessä olevaan käsittelyyn sovellettavien kansallisten säännösten mukaisesti hänelle kuuluvia oikeuksia loukataan. Ehdotetun muutoksen on tarkoitus osaltaan taata rekisteröidylle mainitun artiklan edellyttämät oikeussuojakeinot hänelle kuuluvien oikeuksien toteuttamiseksi.

Myös tietosuojalautakunnan 43 ja 44 §:n nojalla tekemään päätökseen haettaisiin pykälän 1 momentin mukaan muutosta hallintolainkäyttölain mukaisesti. Lautakunnan päätöksestä valitettaisiin siten Uudenmaan lääninoikeuteen ja lääninoikeuden päätöksestä korkeimpaan hallinto-oikeuteen. Nykyisen henkilörekisterilain 38 §:n nojalla tietosuojalautakunnan päätöksiin haetaan muutosta suoraan korkeimmalta hallinto-oikeudelta. Muutos on 1 päivänä joulukuuta 1996 voimaan tulleen hallintolainkäyttölain periaatteiden mukainen.

Myös tietosuojavaltuutettu voisi 1 momentin nojalla hakea muutosta tietosuojalautakunnan 43 §:n nojalla tekemään lupapäätökseen. Myös nykyisen henkilörekisterilain 38 §:n mukaan tietosuojavaltuutetulla on oikeus hakea muutosta tietosuojalautakunnan poikkeuslupapäätökseen.

Pykälän 2 momentin mukaan tietosuojalautakunnan päätöksessä voidaan määrätä, että päätöstä on noudatettava muutoksenhausta huolimatta, jollei valitusviranomainen toisin määrää. Vastaava säännös sisältyy nykyisen henkilörekisterilain 39 §:ään.

46 §. Uhkasakko. Pykälässä säädettäisiin tietosuojavaltuutetun ja tietosuojalautakunnan oikeudesta asettaa uhkasakko päätöstensä tehosteeksi. Uhkasakon asettaminen on mahdollista myös nykyään henkilörekisterilain 36 §:n nojalla.

Tietosuojavaltuutettu voisi pykälän mukaan asettaa uhkasakon paitsi 39 §:n 1 ja 3 momentissa säädetyn tietojenantovelvollisuuden, myös 40 §:n 2 momentin nojalla tekemänsä päätöksen tehosteeksi.

Uutta nykyiseen sääntelyyn verrattuna olisi se, että tietosuojavaltuutettu määräisi uhkasakkolain (1113/1990) mukaisesti itse asettamansa uhkasakon maksettavaksi. Nykyisen henkilörekisterilain mukaan uhkasakon määrää maksettavaksi tietosuojalautakunta. Muutoksella on tarkoitus tehostaa tietosuojavaltuutetun toimivaltuuksia direktiivin 28 artiklan edellyttämällä tavalla.

Tietosuojalautakunta voisi pykälän mukaan asettaa uhkasakon 39 §:n 1 momentin mukaisen tietojenantovelvollisuuden ja 44 §:n nojalla tekemänsä päätöksen tehosteeksi.

10 luku. Erinäiset säännökset

47 §. Vahingonkorvausvelvollisuus. Pykälässä säädettäisiin rekisterinpitäjän velvollisuudesta korvata henkilötietojen lainvastaisesta käsittelystä rekisteröidylle tai muulle henkilölle aiheutunut taloudellinen ja muu vahinko. Tietosuojadirektiivin 23 artikla velvoittaa jäsenvaltiot säätämään rekisteröidyn tai muun henkilön oikeudesta saada rekisterinpitäjältä korvaus henkilötietojen tämän lain vastaisesta käsittelystä aiheutuneesta vahingosta.

Ehdotetussa säännöksessä on säilytetty nykyiseen henkilörekisterilain 42 §:ään sisältyvä rekisterinpitäjän tuottamuksesta riippumaton vahingonkorvausvastuu. Pykälän perusteella olisi korvattava, kuten nykyäänkin, muun muassa sellainen taloudellinen vahinko, joka rekisteröidylle on aiheutunut virheellisen tiedon käytöstä tai luovutuksesta taikka siitä, että henkilötietojen käyttö tai luovutus on ollut lainvastaista. Direktiivin 23 artiklaan sisältyvän lainsäädäntötoimeksiannon mukaisesti vastuu on ehdotuksessa ulotettu koskemaan myös kaikesta muusta laittomasta henkilötietojen käsittelystä aiheutuvaa taloudellista ja muuta vahinkoa. Vastuu kattaisi tällöin myös henkilölle laittomasta käsittelystä aiheutuneen kärsimyksen.

Direktiivin 23 artiklan toimeksiannon mukaisesti korvausvastuuta on laajennettu koskemaan myös muulle henkilölle kuin rekisteröidylle aiheutuneen vahingon korvaamista.

48 §. Rangaistussäännökset. Pykälä sisältäisi rangaistussäännökset. Pykälän 1 momentti sisältää viittaussäännöksen rikoslain 38 ja 40 luvun säännöksiin, joissa säädetään rangaistus henkilörekisteririkoksesta, henkilörekisteriin kohdistuvasta tietomurrosta ja 33 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta. Pykälän 1 momentti vastaa nykyisen henkilörekisterilain 43, 45 ja 46 §:ää (630/1995).

Pykälän 2 momentissa säädettäisiin henkilörekisteririkkomuksesta. Momentti vastaa nykyisen henkilörekisterilain 44 §:n 1 momenttia siten tarkistettuna, että tietosuojalautakunnan ehdotetun lain 43 §:n 3 momentin nojalla antamaan lupaan liitetyn lainvoimaisen määräyksen rikkominen tahallaan tai törkeästä huolimattomuudesta olisi säännöksessä mainituilla edellytyksillä rangaistavaa henkilörekisteririkkomuksena. Ehdotettu säännös poikkeaa nykyisestä myös siten, että henkilörekisteririkkomuksesta ei enää tuomittaisi sitä, joka laiminlyö tietolähteen tai tietojen luovuttamista koskevan kirjaamisvelvollisuuden. Tämä johtuu siitä, että lakiin ei ehdoteta otettavaksi säännöstä kirjaamisvelvollisuudesta. Myös rekisteröidyn kielto-oikeuden noudattamatta jättäminen tahallaan tai törkeästä huolimattomuudesta olisi säännöksessä mainituilla edellytyksillä rangaistavaa henkilörekisteririkkomuksena. Säännökseen on lisäksi tehty ehdotetun lain muista säännöksistä johtuvia sanonnallisia tarkistuksia.

Pykälä täyttää osaltaan direktiivin 24 artiklassa jäsenmaille asetettua velvollisuutta määritellä sanktiot, joita sovelletaan direktiivin mukaisesti säädettyjen säännösten rikkomistapauksissa.

Ehdotettuun pykälään ei sisälly nykyisen lain 44 §:n 2 momenttia vastaavaa säännöstä, jonka mukaan henkilörekisteririkkomuksesta on tuomittava myös se, joka törkeästä huolimattomuudesta syyllistyy tekoon, joka tahallisesti tehtynä olisi henkilörekisteririkos. Sääntelyn selkeyttämiseksi ehdotetaan, että henkilörekisteririkos tulisi rangaistavaksi paitsi tahallisena, myös törkeästä tuottamuksesta tehtynä rikoslain 38 luvun 9 §:n mukaan. Näin rikostyyppi ei vaihtuisi pelkästään syyksiluettavuuden asteen perusteella.

49 §. Tarkemmat säännökset. Tarkemmat säännökset lain täytäntöönpanosta annettaisiin asetuksella.

11 luku. Voimaantulo- ja siirtymäsäännökset

50 §. Voimaantulo. Pykälän 1 momentissa säädettäisiin lain voimaantulosta. Tarkoitus on, että laki tulisi voimaan mahdollisimman pian sen jälkeen kun se on hyväksytty ja vahvistettu.

Pykälän 2 momentin mukaan lailla kumottaisiin 30 päivänä huhtikuuta 1987 annettu henkilörekisterilaki siihen myöhemmin tehtyine muutoksineen. Henkilörekisterilain massaluovutusta ja arkaluonteista otantaa koskevat määritelmät olisivat kuitenkin voimassa siltä osin kuin muussa lainsäädännössä viitataan niihin, 24 päivään lokakuuta 2001. Säännös on katsottu tarpeelliseksi sen vuoksi, että ehdotettuun lakiin ei enää sisälly massaluovutuksen ja arkaluonteisen otannan määritelmää. Henkilötietojen käsittelyä koskevassa erityislainsäädännössä, esimerkiksi väestötietolaissa, on säännöksiä henkilötietojen luovuttamisesta henkilörekisterilaissa tarkoitettuna massaluovutuksena ja arkaluonteisena otantana. Kaikkia tällaisia erityissäännöksiä ei ole mahdollista saada tarkistettua ennen henkilötietolain voimaantuloa. Tämän vuoksi ehdotettua siirtymäaikaa voidaan pitää tarpeellisena. Myös tietosuojadirektiivi sallii ehdotetun järjestelyn. Direktiivin 32 artiklan 2 kohdassa jäsenvaltioille annetaan kolmen vuoden määräaika saattaa ennen direktiivin täytäntöönpanemiseksi annettujen kansallisten säännösten voimaantuloa aloitettu henkilötietojen käsittely näiden kansallisten säännösten mukaiseksi.

Pykälän 3 momentin mukaan ennen lain voimaantuloa voitaisiin ryhtyä sen täytäntöönpanon edellyttämiin toimiin.

51 §. Siirtymäsäännökset. Pykälän 1 momentin mukaan henkilötietojen käsittely, johon on ryhdytty ennen tämän lain voimaantuloa, on saatettava tämän lain vaatimuksia vastaavaksi viimeistään 24 päivänä lokakuuta 2001.

Rekisterinpitäjien olisi mahdollisuuksien mukaan mukautettava rekisterinpitonsa uuden lain mukaiseksi heti lain voimaan tultua. Koska rekisterinpitoa ei kuitenkaan kaikissa tapauksissa voida saattaa uuden lain mukaiseksi ilman erityisiä toimenpiteitä tai kustannuksia, on rekisterinpitäjälle varattu ehdotetussa pykälässä direktiivin 32 artiklan 2 kohdan sallima siirtymäaika rekisterinpitonsa kuntoon saattamiseksi. Esimerkiksi manuaalisista henkilörekistereistä olisi laadittava lakiehdotuksen 10 §:ssä tarkoitettu rekisteriseloste pykälän 1 momentissa säädetyn siirtymäajan kuluessa.

Lakiehdotuksen 24 §:n 1 momentin mukainen velvollisuus ilmoittaa tietojenkäsittelystä rekisteröidylle koskee kaikkea lain voimaantulon jälkeen tapahtuvaa henkilötietojen keräämistä. Jos tietoja kerätään rekisteröidyltä itseltään, tiedonantovelvollisuus tulee voimaan heti lain voimaan tultua. Jos tietoja sen sijaan kerätään muualta kuin rekisteröidyltä itseltään ja rekisterinpitoa on muutettava, jotta tiedonantovelvollisuus voitaisiin toteuttaa, rekisterinpitäjä voi täyttää mainitun velvollisuutensa siirtymäajan puitteissa.

Henkilötietolaki korvaisi nykyisen henkilörekisterilain. Henkilörekistereitä ja henkilötietojen käsittelyä koskevassa erityislainsäädännössä viitataan usein henkilörekisterilakiin tai sen säännöksiin. Koska kaikkia näitä viittaussäännöksiä ei ole mahdollista tarkistaa tässä yhteydessä, pykälän 2 momentissa ehdotetaan säädettäväksi, että muualla lainsäädännössä olevien viittausten henkilörekisterilakiin tai sen säännöksiin on henkilötietolain voimaantultua katsottava tarkoittavan henkilötietolakia ja sen vastaavia säännöksiä. Vastaavilla säännöksillä tarkoitetaan ehdotuksessa sellaisia henkilötietolain säännöksiä, jotka asiallisesti vastaavat nykyisen lain säännöksiä.

1.2. Laki tietosuojalautakunnasta ja tietosuojavaltuutetusta

Lakiin tietosuojalautakunnasta ja tietosuojavaltuutetusta ehdotetaan tehtäväksi henkilötietolaista johtuvat muutokset. Nämä ovat pääasiassa henkilötietolaissa käytetyistä käsitteistä johtuvia sanonnallisia tarkistuksia.

1 §. Pykälän 1 momentin viittaus henkilörekisterilakiin ehdotetaan muutettavaksi viittaukseksi henkilötietolakiin.

2 §. Pykälässä säädetään tietosuojalautakunnan tehtävistä. Pykälän 2 kohta, jossa tietosuojalautakunnan tehtäväksi säädetään käsitellä henkilörekistereihin liittyviä, lain soveltamisalan kannalta periaatteellisesti tärkeitä kysymyksiä, ehdotetaan poistettavaksi tästä pykälästä. Vastaava säännös sisältyisi henkilötietolain 38 §:n 2 momenttiin. Pykälään ehdotetaan lisäksi tehtäväksi henkilötietolaista johtuvia sanonnallisia tarkistuksia.

5 §. Tietosuojavaltuutetun tehtäviä koskevaan pykälään ehdotetaan tehtäväksi henkilötietolaista johtuvat sanonnalliset tarkistukset.

1.3. Rikoslaki

38 luku. Tieto- ja viestintärikoksista

9 §. Henkilörekisteririkos. Pykälä sisältää säännökset henkilörekisteririkoksesta. Henkilörekisteririkoksen tunnusmerkistöön ehdotetaan tehtäväksi henkilötietolain edellyttämät rakenteelliset ja tekniset muutokset. Samalla selkeytettäisiin nykyistä henkilörekisteririkoksen ja -rikkomuksen välistä rajaa ja laajennettaisiin rangaistavuuden alaa jossain määrin.

Nykyisessä henkilörekisteririkoksessa rangaistavuus peittää henkilötietojen käyttöä, luovuttamista ja yhdistämistä koskevien säännösten vastaisuuden. Sen sijaan tietojen keräämistä ja tallettamista henkilörekisteriin on suojattu rajoitetummin rangaistussäännöksellä. Ehdotuksessa ulotettaisiin rangaistavuus nykyistä kattavammin mainittuun rekisterinpidon varhaiseen vaiheeseen. Yksityisyyden suojan kannalta on perusteltua kohdistaa rangaistusuhka henkilötietojen epäasiallista käsittelyä vastaan kattavammin jo henkilötietojen käsittelyn alkuvaiheessa. Näin saatetaan ehkäistä vahinkojen syntyminen henkilötietojen käsittelyn myöhäisemmissä vaiheissa.

Ehdotukset poistaisivat lainsäädännöstä erikoisuuden, jossa vakavampi, tahallisuutta edellyttävä rikostyyppi muuttuisi törkeästä tuottamuksesta tehtynä lievemmän lajiseksi. Nyt tehtyjen ehdotusten toteutuessa henkilörekisteririkos olisi henkilörekisteririkkomuksen tavoin rangaistava sekä tahallisesti että törkeästä tuottamuksesta tehtynä. Henkilörekisteririkos ja -rikkomus eroaisivat toisistaan nykyistä selkeämmin tekomuotojensa perusteella. Syyksiluettavuuden asteella ei olisi enää merkitystä rikoslajin valinnassa, vaan ainoastaan rangaistuksen mittaamisessa ja sitä mahdollisesti edeltävässä rangaistuslajin valinnassa.

Henkilörekisteririkoksen syyksiluettavuuden laajentaminen törkeään tuottamukseen ei kuitenkaan välttämättä käytännössä merkitse ankaroitumista, vaikka sakon lisäksi olisi nyt mahdollista tuomita myös vankeutta törkeänkin tuottamuksen tapauksissa. Henkilörekisteririkos ja -rikkomus eroavat toisistaan myös yksityisyyden suojaan liittyvän rangaistavuuden lisäkriteerin suhteen. Jotta henkilörekisteririkos toteutuisi, teon seurauksena tulisi olla rekisteröidyn yksityisyyden suojan loukkaaminen tai hänelle aiheutunut muu vahinko tai olennainen haitta. Henkilörekisteririkkomuksen toteutumiseen sen sijaan riittää, että teko vaarantaa rekisteröidyn yksityisyyden suojaa tai hänen oikeuksiaan. Mainittuihin rangaistavuuden lisäedellytyksiin ei ehdoteta muutoksia muun muassa sen vuoksi, että soveltamiskäytäntöä on melko vähän.

Mahdollisuus rangaista tietyt teot henkilörekisterikoksena myös silloin, kun niihin on syyllistytty törkeästä tuottamuksesta, nostaisi mainittua rangaistavuuden lisäkriteerikynnystä yksityisyyden vaarantamisesta sen loukkaamista edellyttäväksi. Tämä puolestaan merkitsisi päin vastoin rangaistavuuden lievenemistä. Kun ei muutenkaan ole todennäköistä, että vankeutta tultaisiin laajalti käyttämään sakon sijasta tuottamuksellisissa teoissa, ehdotetulla törkeän tuottamuksen rinnastamisella tahallisuuteen ei olisi mainittavaa vaikutusta rangaistavuuteen. Rangaistusasteikkoihin ei ehdoteta muutoksia. Rangaistuksena pykälässä mainitusta teosta voitaisiin tuomita sakkoon tai enintään yhdeksi vuodeksi vakeuteen.

Henkilörekisteririkoksen tekijä ilmaistaisiin tavanomaisella neutraalilla ilmaisulla "joka". Ilmaisu ei siten rajoita rangaistusvastuuta tiettyyn henkilöön kuten rekisterinpitäjään tai hänen edustajaansa. Henkilörekisteririkokseen voisivat siten syyllistyä esimerkiksi rekisterinpitäjän palveluksessa olevat sekä toimeksisaaja ja toimeksisaajan palveluksessa olevat henkilöt.

Pykälän 1 kohdan nojalla rangaistavaa olisi henkilötietojen käsittely vastoin henkilötietolain käyttötarkoitussidonnaisuutta, käsittelyn yleisiä edellytyksiä, henkilötietojen tarpeellisuutta tai virheettömyyttä, arkaluonteisia tietoja, henkilötunnusta tai henkilötietojen käsittelyä erityisiä tarkoituksia varten koskevia säännöksiä. Rangaistavaa olisi siten henkilötietojen käsittely vastoin sitä, mitä henkilötietolain 7―9 §:ssä tai 3 ja 4 luvussa säädetään. Henkilötietolain ehdotetun 8 §:n 1 momentin 4 kohdan ja henkilötietolain 12 §:n 1 momentin 5 kohdan mukaan henkilötietoja saa käsitellä muun muassa silloin, jos käsittelystä säädetään laissa. Myös erityislain säännösten noudattamatta jättäminen olisi siten vastoin sitä, mitä mainituissa henkilötietolain säännöksissä henkilötietojen käsittelystä säädetään.

Pykälän 2 kohdan nojalla rangaistavaa olisi menettely, jolla rekisteröityä estetään tai yritetään estää käyttämästä hänelle kuuluvaa tarkastusoikeutta antamalla hänelle väärä tai harhaanjohtava tieto. Vastaava säännös sisältyy nykyisen rikoslain 38 luvun 9 §:n 3 kohtaan.

Pykälän 3 kohdan nojalla rangaistaistavaa olisi henkilötietojen siirto Euroopan unionin tai Euroopan talousalueen ulkopuolisiin valtioihin vastoin sitä, mitä siirrosta näihin valtioihin henkilötietolain 5 luvussa säädetään.

Tarkempia säännöksia henkilötietolain täytäntöönpanosta voidaan lain 49 §:n nojalla antaa asetuksella.

Lait ehdotetaan tuleviksi voimaan mahdollisimman pian sen jälkeen kun ne on hyväksytty ja vahvistettu. Tietosuojadirektiivi edellyttää, että jäsenvaltiot saattavat voimaan direktiivin edellyttämän kansallisen lainsäädäntönsä viimeistään 24 päivänä lokakuuta 1998.

Hallitusmuodon 8 §:n 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Säännös viittaa tarpeeseen lainsäädännöllisesti turvata yksilön oikeusturva ja yksityisyyden suoja henkilötietojen käsittelyssä, rekisteröinnissä ja käyttämisessä (HE 309/1993 vp, s. 53).

Henkilötietolain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista. Lailla pyritään turvaamaan, ettei yksityiselämän suojaa tai muita yksityisyyden suojan turvaavia perusoikeuksia rajoiteta ilman laissa säädettyä perustetta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa tai muutoin käsiteltäessä. Henkilötietolaissa ilmaistaisiin ne yleiset periaatteet, joilla henkilötietojen käsittely on mahdollista ilman rekisteröidyn myötävaikutusta.

Hallitusmuodon 8 §:n vuoksi nykyään henkilörekisteriasetukseen sisältyvät säännökset henkilötietojen käsittelystä erityisiin tarkoituksiin sekä muut yksityisyyden suojaa turvaavat säännökset ehdotetaan sisällytettäviksi tarkistettuina henkilötietolakiin.

Ehdotettu henkilötietolaki sisältää ne ylei-set säännökset yksityisyyden suojasta henkilötietoja kerättäessä, talletettaessa, käytettäessä, siirrettäessä, luovutettaessa ja muutoin käsiteltäessä, joita hallitusmuodon 8 §, tietosuojadirektiivi ja tietosuojasopimus edellyttävät. Lakiehdotukset ovat muutenkin sopusoinnussa perustuslakien kanssa, minkä vuoksi hallitus katsoo, että esitykseen sisältyvät lait voidaan säätää tavallisessa lainsäätämisjärjestyksessä.

Edellä esitetyn perusteella annetaan Eduskunnan hyväksyttäviksi seuraavat lakiehdotukset: