Esityksessä ehdotetaan sosiaaliturva- ja vakuutuslainsäädäntöön muutoksia, jotka johtuvat EU:n yleisestä tietosuoja-asetuksesta. Esityksen tavoitteena on saattaa kansallista sosiaaliturva- ja vakuutuslainsäädäntöä yhteensopivaksi tietosuoja-asetuksen kanssa. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä ehdotetaan eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista. Uusi hallituksen esitys vastaisi keskeisiltä osiltaan samannimistä hallituksen esitystä (HE 52/2018 vp), jonka käsittely eduskunnassa raukesi.

Eräistä nykyisin rekisteröidyn suostumukseen perustuvista henkilötietojen luovutuksista ehdotetaan otettavaksi säännökset lakiin.

Vakuutusyhtiöitä koskevaan lainsäädäntöön ehdotetaan lisättäväksi säännökset, jotka mahdollistaisivat rikosepäilyihin ja rikostuomioihin liittyvien henkilötietojen käsittelyn ja luovuttamisen toisille vakuutusyhtiöille niin sanottujen väärinkäytösrekistereiden ylläpidossa.

Sosiaaliturvalainsäädäntöön ehdotetaan lisättäväksi säännökset, joilla poikettaisiin tietosuoja-asetuksen mukaisesta oikeudesta käsittelyn rajoittamiseen. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, siltä osin kuin kyse on laissa säädetyn tehtävän hoitamisesta, jos rekisteröidyn vaatimus käsittelyn rajoittamisesta on ilmeisen perusteeton.

Lait ovat tarkoitetut tulemaan mahdollisimman pian.

Euroopan unionin yleinen tietosuoja-asetus (2016/679 (EU), (jäljempänä tietosuoja-asetus) on tullut voimaan 24 päivänä toukokuuta 2016 ja sitä on alettu soveltaa jäsenvaltioissa 25 päivänä toukokuuta 2018. Tietosuoja-asetuksella on kumottu Euroopan parlamentin ja neuvoston direktiivi 95/46/EY, joka on Suomessa pantu täytäntöön henkilötietolailla (523/1999).

Tietosuoja-asetus on kansallisesti suoraan sovellettava säännös, mutta se jättää jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallinen liikkumavara antaa jäsenvaltiolle mahdollisuuden antaa tietyissä asioissa tietosuoja-asetusta täydentävää tai täsmentävää kansallista lainsäädäntöä. Lisäksi kansallisella lainsäädännöllä on joissain tilanteissa mahdollista poiketa tietosuoja-asetuksessa säädetyistä velvoitteista.

Vuoden 2019 alusta voimaan tulleen tietosuojalain (1050/2018) tarkoituksena on täsmentää ja täydentää tietosuoja-asetusta ja sen kansallista soveltamista. Tietosuojalailla kumottiin henkilötietolaki (523/1999).

Tietosuojasääntelyn muutokset edellyttävät myös muun kansallisen lainsäädännön tarkistamista. Henkilötietojen käsittelyä koskevat säännökset on saatettava tietosuoja-asetuksen mukaisiksi. Erityislainsäädännössä on mahdollista myös säätää tietosuoja-asetusta täsmentäviä säännöksiä tai poikkeuksia asetuksessa säädetyistä velvoitteista siltä osin kuin se on kansallisen liikkumavaran puitteissa mahdollista. Tämän hallituksen esityksen tarkoituksena on saattaa kansallista sosiaaliturva- ja vakuutuslainsäädäntöä yhteensopivaksi tietosuoja-asetuksen kanssa. Pääministeri Sipilän hallitus antoi asiasta eduskunnan käsiteltäväksi hallituksen esityksen sosiaaliturva- ja vakuutuslainsäädännön muuttamiseksi EU:n yleisen tietosuoja-asetuksen johdosta (HE 52/2018 vp), mutta perustuslain 49 §:n 1 momentin nojalla asian käsittely eduskunnassa raukesi. Nyt annettava hallituksen esitys vastaa keskeisiltä osiltaan rauennutta hallituksen esitystä. Koska perustuslakivaliokunta antoi siitä lausuntonsa (PeVL 78/2018 vp), perustuslakivaliokunnan lausunnossa esitetyt kannanotot on otettu huomioon tämän hallituksen esityksen sisällössä.

2.1 Henkilötietojen käsittely sosiaaliturvan toimeenpanossa ja vakuutustoiminnassa

Suomessa osa sosiaaliturvasta on järjestetty lakisääteisillä vakuutuksilla, joiden tavoitteena on turvata toimeentuloa erilaisten sosiaalisten riskien, kuten vanhuuden, työkyvyttömyyden ja perheenhuoltajan kuoleman varalta. Sosiaalivakuutusjärjestelmä koostuu työeläkkeistä, työttömyysturvasta, sairausvakuutuksesta, työtapaturma- ja ammattitautivakuutuksesta ja kansaneläkkeestä. Myös liikennevakuutuksesta ja potilasvakuutuksesta maksettavat korvaukset ovat osin lakisääteiseen sosiaaliturvaan kuuluvia. Sosiaalivakuutuksen käytännön toimeenpanosta huolehtivat julkiset ja yksityiset vakuutuslaitokset kuten Kansaneläkelaitos, työeläkelaitokset, työttömyyskassat ja vahinkovakuutusyhtiöt.

Mitä tässä luvussa todetaan sosiaalivakuutuksista, koskee myös liikennevakuutuslain (460/2016), potilasvahinkolain (585/1986) ja uuden 1.1.2021 voimaantulevan potilasvakuutuslain (948/2019) mukaan maksettavia henkilövahinkokorvauksia ja niiden maksamiseen liittyviä tiedonsaantia koskevia säännöksiä.

Sosiaalivakuutuksen toimeenpanossa on välttämätöntä käsitellä etuudenhakijoiden henkilötietoja ja usein myös terveydentilatietoja. Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa henkilötietojen käsittely sosiaalivakuutusasioissa perustui yleensä henkilötietolain 8 §:n 4 kohtaan, jonka mukaan henkilötietoja saa käsitellä, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelylle on aina hyväksyttävä peruste, josta säädetään asetuksen 6 artiklassa. Sosiaalivakuutuksen toimeenpanossa henkilötietojen käsittely perustuu yleensä tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, eli käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Tämän perusteen käyttäminen edellyttää, että siitä säädetään asetuksen lisäksi rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Sosiaalivakuutuksen toimeenpano on laissa säädetty eri vakuutuslaitosten tehtäväksi. Laissa on säädetty myös etuuksien hakemisesta, myöntämisedellytyksistä, toimeenpanosta ja muutoksenhausta. Etuuksien myöntäminen perustuu yleensä hakemukseen, jonka tekemisen yhteydessä hakija ilmoittaa etuuden ratkaisemisen kannalta välttämättömät henkilötietonsa vakuutuslaitokselle.

Laissa on säännöksiä, joiden perusteella vakuutuslaitoksella on oikeus saada ilman asianosaisen suostumusta esimerkiksi etuusasioiden käsittelyn kannalta välttämättömiä tietoja myös muilta kuin etuudenhakijalta itseltään. Henkilötietoja voidaan näiden säännösten perusteella saada esimerkiksi muilta vakuutuslaitoksilta ja viranomaisilta. Säännöksissä on määritelty tietojen käyttötarkoitukset ja ne tahot, joilta tietoja voidaan saada.

Useiden sosiaalivakuutusetuuksien myöntämisedellytykset liittyvät hakijan terveydentilaan ja toimintakykyyn. Näissä tilanteissa on välttämätöntä käsitellä terveyttä koskevia tietoja, jotka kuuluvat tietosuoja-asetuksessa tarkoitettuihin erityisiin henkilötietoryhmiin. Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa arkaluonteisten henkilötietojen, kuten terveydentilatietojen, käsittelystä säädettiin henkilötietolain 12 §:ssä. Henkilötietolain 12 §:n 11 kohdan nojalla vakuutuslaitokset saivat käsitellä vakuutustoiminnassa saatuja vakuutetun tai korvauksenhakijan terveydentilaa koskevia tietoja. Lisäksi sosiaalivakuutusasioissa arkaluonteisten tietojen käsittely oli mahdollista 12 §:n 5 kohdan nojalla, jonka mukaan käsittely on sallittua, jos siitä säädetään laissa tai jos käsittely johtuu välittömästi laissa säädetystä tehtävästä.

Tietosuoja-asetuksessa ns. erityisiin henkilötietoryhmiin kuuluvien tietojen, kuten terveydentilatietojen, käsittelystä säädetään 9 artiklassa. Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, tulee tietosuoja-asetuksen 6 artiklan mukaisen henkilötietojen käsittelyn oikeusperusteen lisäksi jonkin 9 artiklan 2 kohdan edellytyksistä täyttyä. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on sallittua, jos se on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan jäsenvaltion lainsäädännössä. Lisäksi 9 artiklan 2 kohdan g alakohdan mukaan käsittely on sallittua, jos se on tarpeen tärkeää yleistä etua koskevasta syystä jäsenvaltion lainsäädännön nojalla, edellyttäen että käsittely on oikeasuhteinen tavoitteeseen nähden ja siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan. Molemmat alakohdat edellyttävät lisäksi asianmukaisista suojatoimista säätämistä.

Tietosuojalain 6 §:n 1 momentin 1 kohdan perusteella vakuutuslaitoksilla on oikeus käsitellä vakuutustoiminnassa saatuja vakuutetun ja korvauksenhakijan terveydentilaan liittyviä tietoja, jos ne ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. Säännös vastaa ennen tietosuoja-asetuksen voimaantuloa voimassa olleen henkilötietolain 12 §:n 11 kohtaa. Tietosuojalain 6 §:n 1 momentin 1 kohtaa koskevien yksityiskohtaisten perustelujen mukaan säännöstä on ehdotettu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan perusteella. Mainittu tietosuojalain säännös mahdollistaa jatkossakin terveydentilatietojen käsittelyn vakuutuslaitoksissa etuuksien ja korvausten käsittelyssä ja toimeenpanossa. Lisäksi tietosuojalaissa säädetään, että erityisiin henkilötietoryhmiin kuuluvia tietoja voisi käsitellä, jos tietojen käsittelystä säädetään laissa tai jos tietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Erityislainsäädännössä on lisäksi erinäisiä tarkempia säännöksiä terveydentilatietojen käsittelystä.

Vapaaehtoisten yksityisvakuutusten osalta henkilötietojen käsittely perustuu useimmiten tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaan eli sopimukseen. Henkilötietojen käsittely on laillista silloin kun käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena. Lisäksi voidaan toteuttaa rekisteröidyn pyynnöstä tehtäviä sopimusta edeltäviä toimenpiteitä. Vastaava käsittelyperuste sisältyi ennen tietosuoja-asetuksen ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 8 §:n 2 kohtaan. Lisäksi käsittely voi perustua rekisteröidyn antamaan suostumukseen 6 artiklan 1 kohdan a alakohdan mukaisesti. Vakuutettu tai korvauksensaaja voi antaa vakuutusyhtiölle suostumuksen käsitellä henkilötietojaan yhtä tai useampaa tarkoitusta varten. Jotta henkilötietojen käsittely suostumuksen perusteella olisi laillista, suostumuksen on täytettävä tietosuoja-asetuksen 7 artiklassa säädetyt edellytykset. Verrattuna ennen tietosuoja-asetuksen ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 8 §:n 1 kohdassa tarkoitettuun suostumukseen tietosuoja-asetus tiukentaa suostumuksen edellytyksiä jonkin verran.

Henkilötietojen käsittely voi myös olla tarpeen vakuutusyhtiötä koskevan lakisääteisen velvoitteen noudattamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaisesti. Tällöin käsittelyn perusteesta on säädettävä kansallisessa lainsäädännössä. Esimerkkinä tällaisesta lakisääteisestä velvoitteesta voidaan mainita vakuutusyhtiölain 6 luvun 9 §, jonka mukaan vakuutusyhtiön on ilmoitettava keskeisistä tehtävistä vastaavat henkilöt Finanssivalvonnalle sekä esitettävä selvitys kyseisten henkilöiden sopivuudesta ja luotettavuudesta.

Henkilötietojen käsittely saattaa myös olla tarpeen vakuutusyhtiön oikeutettujen etujen toteuttamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan mukaan edellyttäen, että rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät muodosta estettä henkilötietojen käsittelylle. Rekisterinpitäjän on intressipunninnassa otettava huomioon rekisteröidyn kohtuulliset odotukset, jotka perustuvat rekisteröidyn ja rekisterinpitäjän väliseen suhteeseen. Tietosuoja-asetuksen johdanto-osassa todetaan, että oikeutetun edun mukaista olisi ainakin ehdottoman välttämätön henkilötietojen käsittely petosten ehkäisemistarkoituksessa. Lisäksi johdanto-osan kappaleen 48 mukaan rekisterinpitäjillä, jotka kuuluvat konserniin tai keskuselimeen kuuluvaan laitokseen, saattaa olla sisäisistä hallinnollisista syistä johtuen oikeutettu etu siirtää konsernin sisällä henkilötietoja, asiakkaiden tai työntekijöiden henkilötietojen käsittely mukaan luettuna. Edellä mainitut käsittelyperusteet ovat 6 artiklan 1 kohdan c alakohtaa lukuun ottamatta yksinomaisia siten, etteivät jäsenvaltiot voi säätää niistä kansallisessa lainsäädännössään.

2.2 Henkilötietojen luovuttaminen ja salassapitosäännökset

Yleinen tietosuoja-asetus mahdollistaa kansallisen asiakirjajulkisuuden sovittamisen yhteen yleisen tietosuoja-asetuksen mukaisen henkilötietojen suojan kanssa. Kansallinen liikkumavara koskee myös yksityisoikeudellisten yhteisöjen asiakirjoja näiden toimiessa yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi.

Laki viranomaisten toiminnan julkisuudesta (621/1999; jäljempänä julkisuuslaki) koskee viranomaisten asiakirjojen julkisuuden määräytymistä, salassapitovelvollisuutta ja asiakirjan julkiseksi tulemista. Julkisuuslakia sovelletaan myös julkista tehtävää hoitaviin yhteisöihin ja laitoksiin niiden käyttäessä julkista valtaa. Erityislainsäädännössä on erinäisiä julkisuuslakia täsmentäviä säännöksiä. Esimerkiksi työntekijän eläkelain 191 §:n nojalla julkisuuslain asiakirjasalaisuutta koskevia säännöksiä sovelletaan työeläkelaitoksiin työntekijän eläkelain toimeenpanossa silloinkin, kun ne eivät käytä julkista valtaa. Vastaavanlainen säännös on myös työtapaturma- ja ammattitautilain (459/2015) 248 §:ssä.

Vakuutusyhtiölain (521/2008) 30 luvun 1 §:ssä on säädetty yleissäännös salassapitovelvollisuudesta. Samassa luvussa on säädetty myös erinäisiä poikkeuksia salassapitovelvollisuuteen, jotta tietoja voidaan salassapitosäännösten estämättä luovuttaa tietyissä tilanteissa. Säännökset koskevat myös muita kuin henkilötietoja kuten esimerkiksi liiketoimintaan liittyviä tietoja. Tietosuoja-asetuksen säännökset tietojen luovuttamisesta ja muusta käsittelystä koskevat vain henkilötietoja, joten näiden muiden tietojen osalta tietojen luovuttamisesta ja salassapidosta on välttämätöntä edelleen säätää kansallisessa lainsäädännössä.

Tietojen luovuttamista koskevien säännösten perusteella vakuutuslaitokset voivat salassapitosäännösten estämättä luovuttaa saamiaan tietoja esimerkiksi viranomaisille tai toisille vakuutuslaitoksille. Tietojen luovuttamista koskevissa säännöksissä on määritelty ne tahot, joille tietoja voidaan luovuttaa, ja ne tarkoitukset, joihin tietoja voidaan luovuttaa. Tietojen luovuttamiselle on voitu asettaa myös muita edellytyksiä. Siltä osin kuin säännökset koskevat henkilötietojen luovuttamista, on tietoja luovutettaessa otettava huomioon tietosuoja-asetuksen asettamat vaatimukset henkilötietojen käsittelylle. Käsittelylle on tällöin oltava oikeudellinen peruste. Luovutettaessa tietoja viranomaisille vastaanottajan oikeus tietojen saamiseen perustuu yleensä tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan eli käsittely on tarpeen lakisääteisen velvoitteen noudattamiseksi.

Tietoja luovutettaessa on otettava huomioon myös käyttötarkoitussidonnaisuuden periaate, josta säädetään tietosuoja-asetuksen 5 artiklassa. Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimuksia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisen tarkoituksen kanssa.

Tietosuoja-asetuksen 6 artiklan 4 kohdan perusteella henkilötietojen hyödyntäminen muussa tarkoituksessa, kuin mihin ne on alun perin kerätty, on mahdollista rekisteröidyn suostumuksella tai käsittelyn perustuessa sellaiseen unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Muissa tapauksissa rekisterinpitäjän on varmistettava, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, ottamalla huomioon muun muassa henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet, henkilötietojen luonteen ja aiotun myöhemmän käsittelyt mahdolliset seuraukset rekisteröidylle.

Jos laissa säädetään tietojen luovuttamisesta sellaista tarkoitusta varten, joka ei ole yhteensopiva sen alkuperäisen tarkoituksen kanssa, johon tiedot on kerätty, tulee luovutuksen edellytyksenä olla rekisteröidyn suostumus tai luovutussäännöksen on oltava välttämätön ja oikeasuhtainen toimenpide 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näitä tavoitteita ovat muun muassa jäsenvaltion yleiseen etuun liittyvät tärkeät tavoitteet, kuten kansanterveys ja sosiaaliturva, julkisen vallan käyttöön liittyvä valvonta-, tarkastus- tai sääntelytehtävä sekä rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet.

2.3 Suostumukseen perustuva henkilötietojen luovuttaminen

Tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Suostumuksen edellytyksistä säädetään 7 artiklassa. Tietosuoja-asetuksessa suostumuksen edellytykset määritellään tarkemmin kuin kumotussa henkilötietodirektiivissä, jossa on todettu, että suostumuksella tarkoitetaan kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Henkilötietolaissa on ollut henkilötietodirektiiviä vastaava suostumuksen määritelmä.

Tietosuoja-asetuksen 7 artiklan mukaan käsittelyn perustuessa suostumukseen rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojen käsittelyyn. Jos suostumus annetaan kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään muista asioista helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Rekisteröidyllä on myös oikeus peruuttaa suostumuksensa milloin tahansa, ja suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen. Jos kyse on tietosuoja-asetuksen 9 artiklan mukaisista erityisistä henkilötietoryhmistä, on suostumuksen oltava nimenomainen.

Asetuksen johdanto-osan mukaan, jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa.

Asetuksen johdanto-osassa todetaan lisäksi, että jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava, että rekisteröity on tietoinen antamastaan suostumuksesta. Suostumus pitää myös olla mahdollista peruuttaa ilman, että siitä aiheutuu rekisteröidylle haittaa. Tietoisen suostumuksen antamiseksi rekisteröidyn on tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten.

Pääsääntöisesti henkilötietojen käsittely sosiaaliturvan toimeenpanossa perustuu lakiin. Jos henkilötietojen käsittelystä ei ole säädöstä, käsittely voi perustua esimerkiksi suostumukseen. Sosiaaliturvaetuuksien hakemuslomakkeilla saatetaan nykyisin pyytää suostumusta siihen, että etuusasian käsittelyä varten saatuja tietoja voidaan luovuttaa eteenpäin.

Nykyisissä hakemuslomakkeissa pyydettävä suostumus ei täytä tietosuoja-asetuksen vaatimuksia, koska suostumusta ei lähtökohtaisesti voida pitää riittävänä perusteena tietojen luovuttamiselle silloin, kun on kysymys lakisääteisen, julkisen hallintotehtävän hoitamisesta ja kun rekisterinpitäjänä on viranomainen tai muu julkista valtaa käyttävä taho. Etuutta haettaessa ei myöskään välttämättä ole vielä tiedossa mille nimenomaiselle taholle tietoja luovutetaan, joten hakija ei voi saada siitä yksilöityä tietoa. Lisäksi suostumus tulisi voida myös peruuttaa yhtä helposti kuin se on annettu. Suostumuksen käyttö henkilötietojen käsittelyn oikeudellisena perusteena voisi osoittautua käytännössä hankalaksi tilanteissa, joissa suostumusta pyydetään suurelta henkilöjoukolta lakisääteisen sosiaaliturvan toimeenpanoa varten.

Nykyistä vastaava tietojen luovuttaminen eri tahoille on monissa tilanteissa välttämätöntä hakemusten ratkaisemiseksi Yhteistyö ja siihen liittyvä tietojen luovuttaminen on siten usein välttämätöntä henkilön omien etujen toteuttamiseksi.

Ottaen huomioon asetuksen edellytykset käyttää suostumusta käsittelyn oikeudellisena perusteena, sitä ei lähtökohtaisesti tulisi käyttää esimerkiksi työkyvyttömyyseläke- tai työuraeläkehakemuksen ratkaisemisen yhteydessä vaadittavaan tietojen käsittelyyn. Eläkeasian käsittelyä koskevien tietojen luovuttamisen tulisi siten perustua ensisijaisesti lakiin.

2.4 Rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely

Vakuutusyhtiöihin kohdistuvat petos- ja talousrikokset aiheuttavat vuosittain merkittäviä menetyksiä vakuutusyhtiöille ja korkeampien vakuutusmaksujen muodossa kaikille vakuutuksenottajille. Yksi tapa ehkäistä vakuutusyhtiöihin kohdistunutta rikollisuutta on tiedon jakaminen vakuutusyhtiöiden välillä yhteisten vahinko- ja väärinkäytösrekisterien kautta. Rekisterien tarkoituksena on jakaa tietoa vakuutusyhtiöiden kesken niille ilmoitetuista vahingoista ja niihin kohdistuneista rikoksista tai rikosepäilyistä. Vastaavia järjestelmiä on myös esimerkiksi luottolaitoksilla.

Vakuutusyhtiölain 30 luvun 3 §:n ja vakuutusyhdistyslain 16 luvun 10 §:n 4 momentin 6 kohdan mukaan vakuutuslaitoksilla on oikeus luovuttaa toisille vakuutuslaitoksille vaitiolovelvollisuuden piiriin kuuluvia tietoja niihin kohdistuneista rikoksista ja niille ilmoitetuista vahingoista vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän yleisen edun vuoksi, jos tietosuojalautakunta on antanut tähän luvan. Ulkomaisista vakuutusyhtiöistä annetun lain mukaan ulkomaisella vakuutusyhtiöllä on oikeus luovuttaa tieto vakuutusyhtiöön kohdistuneista rikoksista sekä sille ilmoitetuista vahingoista toisille vakuutuslaitoksille vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän edun vuoksi siten kuin tietosuojalautakunta henkilötietolain 43 §:n 3 momentin nojalla tarkemmin määrää. Tietojen käsittely ja vaihtaminen on siten edellyttänyt tietosuojalautakunnan myöntämää henkilötietolain 43 §:n mukaista erityislupaa. Vakuutusyhtiölain 30 luvun 1 ja 3 §:ää ei sovelleta työtapaturma- ja ammattitautilain mukaisiin vakuutuksiin, vaan työtapaturma- ja ammattitautilain toimeenpanoon perustuvien rikostietojen luovutuksesta säädetään työtapaturma- ja ammattitautilain 255 §:n 1 momentin 3 kohdassa. Rikostietojen käsittely on niin ikään edellyttänyt tietosuojalautakunnan antamaa lupaa.

Vakuutusyhtiöiden väärinkäytösrekisteri on ollut käytössä vuodesta 1996 maaliskuun loppuun 2019. Viimeisin lupa on myönnetty 21 päivänä syyskuuta 2017 määräajaksi. Lupa on myönnetty 30 vakuutusyhtiölle sekä Liikennevakuutuskeskukselle. Tietosuojalautakunnan myöntämä lupa sisältää yksityiskohtaisia määräyksiä muun muassa henkilötietojen tallentamisesta, tietojen poistamisesta sekä rekisteröidylle toimitettavista tiedoista. Rekisterissä oli 4 päivänä heinäkuuta 2017 rekisteröitynä 273 henkilöä. Väärinkäytösrekisterin teknisenä ylläpitäjänä toimii tällä hetkellä Suomen Asiakastieto Oy.

Merkinnän tekeminen rekisteriin edellyttää, että epäillystä rikollisesta teosta on ilmoitettu poliisille tai syyttäjälle. Merkintä on tehtävä vuoden kuluessa siitä, kun vakuutusyhtiö on saattanut rikosprosessin vireille tai saanut tiedon siitä. Tieto on poistettava rekisteristä, jos rekisteröity henkilö on todettu tuomioistuimessa syyttömäksi tai jos oikeusprosessista on luovuttu. Tiedot on poistettava viimeistään viiden vuoden kuluttua siitä, kun ne on ensimmäisen kerran rekisteröity. Rekisteröidylle on ilmoitettava ensimmäisen häntä koskevan merkinnän tekemisestä rekisteriin. Rekisteröidylle on myös ilmoitettava rekisteriin merkittyjen tietojen käytöstä päätöksenteossa sekä siitä, minkä vakuutuslaitoksen rekisteristä tiedot ovat peräisin ja milloin ne on hankittu, jos vakuutushakemuksen epääminen tai muu rekisteröidylle kielteinen päätös johtuu rekisterissä olevista tiedoista. Vakuutusyhtiöt voivat käyttää rekisterin tietoja korvauskäsittelyn lisäksi vapaaehtoisia vakuutuksia myönnettäessä ja irtisanottaessa. Lakisääteisiä vakuutuksia koskee sopimuspakko, joten niitä ei voida evätä rekisteriin tehdyn merkinnän perusteella.

Väärinkäytösrekisterin lisäksi vakuutusyhtiöillä on käytössä niin kutsuttu vahinkorekisteri. Vahinkorekisteriin merkitään vakuutusyhtiölle ilmoitettuja vahinkoja koskevat perustiedot. Vahingon perustietoja ovat henkilötunnus tai yritystunnus, vakuutuksen myöntänyt vakuutuslaitos, vahingon tapahtuma-aika, vahinkonumero, ajoneuvon tai veneen rekisteritunnus, vakuutuslaji koodina ja vahinkotyyppi koodina. Vahinkorekisteriin ei merkitä tietoja luotto-, takaus-, oikeusturva- ja sairausvakuutuksista eikä työtapaturma- ja ammattitautilain mukaisista pakollisista vakuutuksista. Vakuutusyhtiö saa pyytää muilta vakuutusyhtiöiltä asianomaisia vahinkoja koskevat tarkemmat tiedot, jos vahinkorekisteriin merkityistä perustiedoista käy ilmi, että useammalle vakuutusyhtiölle on tehty korvaushakemus samasta vahingosta, korvauksenhakija on ilmoittanut lyhyen ajan sisällä useita vahinkoja tai tehnyt useita saman tyyppisiä vahinkoilmoituksia. Tietosuojalautakunnan luvan mukaan vahinkorekisterin perusteella toiselta vakuutusyhtiöltä saatuja tietoja saa käyttää vain vakuutusyhtiöihin kohdistuvan rikollisuuden ehkäisemisessä. Tietoja ei saa käyttää asiakasvalinnassa, markkinoinnissa, vakuutusten hinnoittelussa tai muussa vastaavassa tarkoituksessa.

Ennen tietosuoja-asetuksen soveltamista ja tietosuojalain voimaantuloa voimassa olleen henkilötietolain 11 §:ssä rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevat tiedot oli säädetty arkaluonteisiksi henkilötiedoiksi. Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin tai rikkomuksiin liittyvien henkilötietojen käsittely 6 artiklan 1 kohdan perusteella on mahdollista vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Nykyisen väärinkäytösrekisterin osalta kyse on rikostietojen käsittelystä, joten käsittelyn jatkuminen edellyttää kansallista sääntelyä asiasta.

Tietosuojalautakunta on lupaa myöntäessään katsonut, että vahinkorekisteriin liittyvä tietojen käsittely on tarpeen rekisterinpitäjän eli vakuutusyhtiön oikeutetun edun toteuttamiseksi, eikä tämä peruste käsittelylle muutu asetuksen voimaantultua. Myös tietosuoja-asetuksen johdanto-osassa todetaan ehdottoman välttämättömän henkilötietojen käsittelyn petosten ehkäisemistarkoituksessa olevan rekisterinpitäjän oikeutetun edun mukaista. Koska vahinkorekisteriin liittyvän tietojen käsittelyn oikeudellinen peruste on jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f-alakohta, ei vahinkorekisteriä koskeva täydentävä kansallinen sääntely enää ole mahdollista.

2.5 Rekisteröidyn oikeus käsittelyn rajoittamiseen

Tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohdan mukaan rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällöin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden. Jos käsittelyä on tällä perusteella rajoitettu, henkilötietoja saa käsitellä ainoastaan rekisteröidyn suostumuksella, oikeudellisen vaateen laatimiseksi, toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää yleistä etua koskevista syistä.

Tietosuoja-asetuksen 23 artiklan perusteella 18 artiklassa säädettyä rekisteröidyn oikeutta voidaan rajoittaa kansallisella lainsäädännöllä tietyin edellytyksin. Tietosuoja-asetuksen 23 artiklan mukaan rekisteröidyn oikeutta voidaan rajoittaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhtainen toimenpide, jotta voidaan taata jokin kyseisessä lainkohdassa lueteltu tarkoitus. Kohdan perusteella tällainen tarkoitus voi olla muun muassa jäsenvaltion yleiseen etuun liittyvä tärkeä tavoite kuten sosiaaliturva tai siihen liittyvä valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön taikka rekisteröidyn suojelu. Kansallisen lainsäädännön, jolla rajoitetaan rekisteröidyn oikeuksia, on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat muun muassa käsittelytarkoitusta ja rajoitusten soveltamisalaa.

Sosiaalivakuutuksen toimeenpanossa etuuden hakija, vakuutuksen ottaja tai muu korvauksensaaja eli rekisteröity voisi kiistää häntä koskevan henkilötiedon, esimerkiksi terveydentilaa, työansioita tai vahinkotapahtuman olosuhteita koskevien tietojen oikeellisuuden, ja vaatia 18 artiklan perusteella, että tietoja ei käsitellä. Sosiaaliturvan toimeenpanossa rekisteröidyn oikeus käsittelyn rajoittamiseen voi johtaa siihen, että lakisääteisiä etuuksia ei voida myöntää tai maksaa tai etuuden maksamista ei voida pätevästäkään syystä keskeyttää, lakkauttaa tai maksaa oikean suuruisena. Sosiaalivakuutusjärjestelmän toimeenpanon kannalta on ongelmallista, jos oikeutta voidaan perusteettomasti käyttää lakisääteisen toiminnan viivästyttämiseen tai estämiseen. Vaatimalla perusteettomasti käsittelyn rajoittamista etuudenhakija voisi esimerkiksi lykätä kielteisen päätöksen antamista. Rekisteröidyn oikeutta käsittelyn rajoittamiseen olisi tarpeen rajoittaa tältä osin kansallisella lainsäädännöllä. Uuteen 1.1.2021 voimaan tulevaan potilasvakuutuslakiin (948/2019) on sisällytetty säännös rekisteröidyn oikeuden rajoittamisesta (59 §).

2.6 Hallituksen esitykset 52/2018 vp ja 100/2018 vp sekä niiden eduskuntakäsittelyn huomioon ottaminen

Kansallista sosiaaliturva- ja vakuutuslainsäädäntöä on tarpeen saattaa yhteensopivaksi tietosuoja-asetuksen kanssa sekä tehdä eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista rauenneessa esityksessä esitetyin tavoittein. Tämä voidaan toteuttaa antamalla asiasta uudelleen hallituksen esitys. Uusi hallituksen esitys perustuisi keskeisiltä osiltaan rauenneeseen hallituksen esitykseen, mutta sen sisällössä otetaan huomioon rauennutta esitystä koskenut perustuslakivaliokunnan lausunto (PeVL 78/2018 vp).

Perustuslakivaliokunta piti lausunnossaan automatisoituja yksittäispäätöksiä koskevan sääntelyn täsmentämistä edellytyksenä sille, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Lisäksi perustuslakivaliokunta kiinnitti huomiota sairausvakuutuslain 19 luvun 1 §:n 2 momenttia ja väärinkäytösrekisteriä koskeneisiin ehdotuksiin sekä kehotti sosiaali- ja terveysvaliokuntaa selvittämään vielä niitä.

Uudelleen annettavaan hallituksen esitykseen ei ole mahdollista vielä sisällyttää automaattista päätöksentekoa koskevia ehdotuksia. Perustuslakivaliokunnan edellyttämä automaattista päätöksentekoa koskevan sääntelyn täsmentäminen edellyttäisi laajaa selvitys- ja valmistelutyötä. Automatisoidun päätöksenteon hyödyntäminen viranomaistoiminnassa edellyttäisi hallinnon yleislainsäädännön päivittämistä ja hallinnonalat ylittäviä linjauksia automatisoidun päätöksenteon yleisperiaatteista. Nämä selvitykset ja niiden pohjalta tehtävä analyysi koskevat myös muiden ministeriöiden hallinnonalaa. Mahdollisuus tehdä automaattisia päätöksiä myös silloin, kun kysymys on julkisen hallintotehtävän hoitamisesta, on hyvin tärkeää digitalisoituvan yhteiskunnan kehityksen kannalta. Oikeusministeriö on aloittamassa automaattisiin päätöksiin liittyvän yleisen selvityshankkeen. Esitykseen ei voida arvioida olevan tarkoituksenmukaista myöskään sisällyttää tässä vaiheessa ehdotusta sairausvakuutuslain 19 §:n luvun 1 §:n muuttamisesta. Perustuslakivaliokunnan mukaan sääntelyssä on syytä pysyttää lähtökohtana, että asianomainen toimittaa tiedot itse.

Sen sijaan hallituksen esitykseen voidaan arvioida olevan mahdollista sisällyttää uudelleen väärinkäytösrekisteriä koskeva ehdotus. Ehdotettua sääntelyä voidaan pitää perusoikeuksien kannalta hyväksyttävänä ja oikeasuhtaisena. Ehdotettu sääntely on tarkkarajaista ja täsmällistä sekä perustuslakivaliokunnan lausuntokäytännössä edellytettyjen vaatimusten mukaista. Talousvaliokunta on pitänyt vastaavaa säännöstä tarkoituksenmukaisena lausunnossaan (TaVM 42/2018 vp — HE 100/2018 vp) hallituksen esityksestä eduskunnalle laiksi luottolaitostoiminnasta annetun lain muuttamisesta ja eräiksi siihen liittyviksi laeiksi. Talousvaliokunta on todennut, että tätä pykälää vastaava säännös on vireillä myös hallituksen esityksessä HE 52/2018 vp, josta perustuslakivaliokunta on antanut lausunnon (PeVL 78/2018 vp — HE 52/2018 vp) sosiaali- ja terveysvaliokunnalle. Talousvaliokunta toteaa lausunnossaan, että ehdotettu luottolaitoksia koskeva pykälä toimii yhtäältä valtuutuksena rekisterinpitäjälle tietojen tallennukseen ja toisaalta rajoituksena sille, mitä tietoja, millä edellytyksillä ja kuinka kauan saadaan tallentaa. Talousvaliokunta pitää ehdotettua säännöstä tarkoituksenmukaisena ottaen huomioon myös, että tämän lainsäädännön soveltamisalaan kuuluvilla tahoilla on asiakkaan tuntemiseen, asiakkaiden toiminnan seuraamiseen ja toimintaympäristön havainnointiin liittyviä velvoitteita säännöksissä, joilla on tarkoitus estää rahoitus-järjestelmän käyttö rahanpesuun ja terrorismin rahoitukseen. Tähän esitykseen sisältyvä vakuutusyhtiöiden väärinkäytösrekisteriä koskeva ehdotus on tavoitteiltaan ja keskeiseltä sisällöltään samanlainen kuin luotto- ja rahoituslaitosten asiakashäiriörekisteriä koskeva sääntely. Uusi hallituksen esitys sisältäisi tämän vuoksi aiemman hallituksen esityksen mukaisesti vakuutusyhtiöiden väärinkäytösrekisteriä koskevan ehdotuksen. Työtapaturma- ja ammattitautilain mukaista vakuutusta toimeenpanevien vakuutusyhtiöiden osalta asiasta säädettäisiin kuitenkin aiemmasta esityksestä poiketen työtapaturma- ja ammattitautilaissa.

Esityksen tavoitteena on saattaa kansallista sosiaaliturva- ja vakuutuslainsäädäntöä yhteensopivaksi tietosuoja-asetuksen kanssa. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä esitetään eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista.

Uusi hallituksen esitys vastaisi keskeisiltä osiltaan rauennutta hallituksen esitystä. Keskeisin muutos aiemmin annettuun esitykseen verrattuna on se, ettei nyt annettava esitys sisältäisi automaattisia päätöksiä koskevaa ehdotusta. Uusi hallituksen esitys sisältäisi rauenneen esityksen mukaisesti ehdotuksen väärinkäytösrekisteristä, joka voidaan arvioida yhteensopivaksi tietosuoja-asetuksen kanssa sekä pitää perusoikeuksien kannalta hyväksyttävänä ja oikeasuhtaisena.

3.1 Henkilötietojen luovuttaminen ja salassapitosäännökset

Esityksessä ehdotetaan täsmennyksiä eräisiin tietojen salassapitoa ja tietojen luovuttamista koskeviin säännöksiin. Vakuutusyhtiölain 30 luvun 3 §:ä, työntekijän eläkelain 203 §:n 2 momenttia ja työtapaturma- ja ammattitautilain 255 §:n 4 momenttia ehdotetaan täsmennettäväksi siten, että säännösten sanamuodosta kävisi ilmi se, että henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälissä säädettäisiin ainoastaan poikkeuksesta kansallisiin salassapitosäännöksiin. Tietojen luovuttamisessa olisi aina varmistettava, että henkilötietojen käsittely ja luovutus ovat tietosuoja-asetuksen mukaisia. Lisäksi eräisiin tietojen luovuttamista koskeviin säännöksiin täsmennettäisiin, mihin käyttötarkoitukseen tietoja luovutetaan.

3.2 Suostumukseen perustuva henkilötietojen luovuttaminen

Esityksessä ehdotetaan, että eräistä nykyisin rekisteröidyn suostumukseen perustuvista henkilötietojen luovutuksista säädettäisiin laissa. Työeläkelakeihin otettaisiin säännökset, joiden perusteella terveydenhuollon toimijoille voitaisiin luovuttaa työkyvyttömyyseläke- tai työuraeläkeasian käsittelyyn liittyviä tietoja, jos tietojen luovuttaminen on välttämätöntä eläkeasian ratkaisemiseksi. Myös kansaneläkelaissa olevia säännöksiä tietojen luovuttamisesta täsmennettäisiin siten, että ne vastaisivat edellä mainittuja työeläkelakeihin ehdotettuja säännöksiä. Lisäksi Kansaneläkelaitoksen toimeenpanemista etuuksista muun muassa kansaneläkkeen, työttömyysturvan ja asumistukien osalta säädettäisiin laissa tietojen saamisesta asian ratkaisemiseksi siltä osin kuin tietojen saaminen perustuu nykyisin suostumukseen.

Ehdotuksessa tarkoitettu henkilötietojen käsittely edellä mainituissa tilanteissa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan eli henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lisäksi, kun käsiteltävät henkilötiedot kuuluvat tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin, käsittely perustuu mainitun artiklan 2 kohdan b alakohtaan, jonka mukaan erityisiä henkilötietoryhmiä koskeva käsittely on mahdollista, jos käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista.

3.3 Rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely

Rikostuomioihin ja rikkomuksiin liittyvää henkilötietojen käsittelyä koskeva säännös ehdotetaan lisättäväksi vakuutusyhtiölakiin ja ulkomaisista vakuutusyhtiöistä annettuun lakiin. Muutoksen tarkoituksena on, että vakuutusalan toimijat voisivat jatkaa väärinkäytösrekisterin käyttöä myös tietosuoja-asetuksen voimassa ollessa. Ehdotus vastaisi pääosin tietosuojalautakunnan myöntämän luvan sisältöä ja ehtoja. Koska asiasta säädettäisiin jatkossa vakuutusyhtiölaissa, myös ne vakuutusyhtiöt, jotka eivät ole hakeneet tietosuojalautakunnan lupaa rekisterin käytölle voisivat käyttää sitä. Koska työtapaturma- ja ammattitautilain toimeenpanoon perustuvien tietojen luovutuksesta säädetään työtapaturma- ja ammattitautilaissa, myös vakuutusyhtiön tämän lain toimeenpanoon perustuvien rikostietojen luovutuksesta ja käsittelystä ehdotetaan säädettäväksi työtapaturma- ja ammattitautilakiin lisättäväksi ehdotetussa uudessa pykälässä. Rikostietojen luovutus ja väärinkäytösrekisterin käyttö voisi ehdotettujen muutosten myötä laajentua nykyiseen verrattuna. Toisaalta sellaisille toimijoille (kuten esimerkiksi Tapaturmavakuutuskeskus, Maatalousyrittäjien tapaturmavakuutuslaitos, Valtiokonttori), jotka eivät ole hakeneet voimassa olevan lainsäädännön edellyttämää lupaa tietosuojalautakunnalta, ei ehdoteta säädettäväksi oikeutta käyttää väärinkäytösrekisteriä. Ehdotettu sääntely vastaisi näin tosiasiallista tilannetta rikostietojen käsittelyn osalta. Vakuutusyhdistysten osalta on otettu huomioon, että Suomessa toimii tällä hetkellä vain muutama vakuutusyhdistys, jotka kaikki harjoittavat ainoastaan kalastusvälineiden vakuuttamista.

Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelyn salliminen jäsenvaltion lainsäädännössä edellyttää, että myös asianmukaisista suojatoimista rekisteröidyin oikeuksien ja vapauksien suojelemiseksi säädetään kansallisessa lainsäädännössä. Rekisteröidyn oikeusturvan takaamiseksi merkintä väärinkäytösrekisteriin voitaisiin tehdä vasta kun rekisteröitävästä väärinkäytöksestä on ilmoitettu poliisille, muulle esitutkintaviranomaiselle tai syyttäjälle. Rekisteröidyn oikeuksien turvaamiseksi laissa säädettäisiin, että merkintä väärinkäytösrekisteristä olisi poistettava viiden vuoden kuluessa merkinnän tekemisestä. Rekisteröidyn oikeuksia turvaa myös se, että vakuutuslaitoksen palveluksessa oleville on laissa säädetty salassapitovelvollisuus. Vakuutustoiminnan harjoittaminen on luvanvaraista, tarkkaan säädeltyä ja valvottua.

Ehdotettu sääntely täyttäisi siten tietosuoja-asetuksen vaatimuksen asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.

3.4 Rekisteröidyn oikeus käsittelyn rajoittamiseen

Sosiaalivakuutuslainsäädäntöön ja muihin lakisääteisiä etuuksia koskeviin lakeihin ehdotetaan lisättäväksi säännökset, joilla poikettaisiin tietosuoja-asetuksen 18 artiklan mukaisesta oikeudesta käsittelyn rajoittamiseen. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajoittaminen koskisi tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä. Ilman oikeuden rajaamista rekisteröity voisi viivästyttää lakisääteisen asian käsittelyä tai estää käsittelyn kokonaan kiistämällä toistuvasti henkilötietojen paikkansapitävyys.

Käsittelyn rajoittaminen tarkoittaa sitä, että esimerkiksi etuuksia koskevia päätöksiä ei voida antaa ennen kuin rekisterinpitäjä voi varmistaa tietojen paikkansapitävyyden. Rekisterinpitäjä voi kuitenkin tällaisessa tilanteessa käsitellä henkilötietoja 18 artiklan 2 kohdan nojalla rekisteröidyn suostumuksella. Siten jos etuuspäätöksen antaminen on välttämätöntä esimerkiksi rekisteröidyn toimeentulon turvaamiseksi, on päätös mahdollista tehdä rekisteröidyn suostumuksella. Tietosuoja-asetuksen 18 artiklan 2 kohta mahdollistaa henkilötietojen käsittelyn myös tilanteissa, joissa henkilötietoja käsitellään toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä.

Oikeus käsittelyn rajoittamiseen voi kuitenkin estää päätösten antamisen, jos rekisteröity ei anna henkilötietojen käsittelyyn suostumusta, eikä päätöksen antaminen olisi välttämätöntä toisen henkilön oikeuksien suojaamiseksi. Käsittelyn rajoittaminen voi tällöin estää kielteisen päätöksen antamisen kuten etuuden lakkauttamisen tai virheellisen päätöksen korjaamisen. Käsittelyn rajoittaminen voi myös haitata etuuksien ensisijaisuusjärjestyksen toteutumista esimerkiksi eri korvausjärjestelmien välisessä suhteessa tai viimesijaisten etuuksien kuten takuueläkkeen tai toimeentulotuen käsittelyssä. Jos rekisteröidyn vaatimus henkilötietojen korjaamisesta on ilmeisen perusteeton, on perusteltua, että henkilötietoja voidaan lakisääteisessä toiminnassa vaatimuksesta huolimatta käsitellä.

Rekisteröidyn oikeusturva on taattu hallintolailla, muutoksenhakuoikeudella ja muilla menettelyä koskevilla säännöksillä. Lakisääteisestä tehtävää hoidettaessa on noudatettava hallintolakia, joka edellyttää, että toimeenpanijan on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Käsiteltävä asia on selvitettävä perusteellisesti ja on noudatettava annettuja säännöksiä ja määräyksiä. Etuudenhakijalla on aina muutoksenhakuoikeus lakisääteistä etuutta koskevasta päätöksestä. Jos etuudenhakija katsoo, että päätös ei ole lainmukainen, voi hän saattaa asian muutoksenhakuelimen tutkittavaksi. Sosiaalivakuutusasioissa on myös mahdollista hakea lainvoimaisen päätöksen poistoa, jos päätös perustuu virheelliseen tai puutteelliseen selvitykseen taikka on ilmeisesti lainvastainen. Lisäksi vakuutuslaitos voi aina oikaista lainvoimaisen päätöksen etuudenhakijan eduksi, jos asiassa ilmenee myöhemmin uutta selvitystä. Rekisteröidyn oikeuden rajoittaminen ei siten vaarantaisi etuudenhakijoiden oikeusturvaa. Oikeuden rajoittamista voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä sosiaaliturvan takaamiseksi tietosuoja-asetuksen 23 artiklan 1 kohdan e kohdassa tarkoitetulla tavalla. Rekisteröidyn oikeuden rajaaminen ei poistaisi rekisterinpitäjän velvollisuutta selvittää rekisteröidyn väitettä henkilötietojen paikkansapitävyydestä. Tietosuoja-asetuksen 16 artiklan perusteella rekisterinpitäjän on oikaistava rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot ilman aiheetonta viivytystä.

Esityksellä ei ole merkittäviä valtiontaloudellisia vaikutuksia tai muita yhteiskunnallisia vaikutuksia. Tietosuojalainsäädännön uudistukseen liittyvät vaikutukset seuraavat suoraan yleisestä tietosuoja-asetuksesta. Esityksellä pyritään saattamaan sosiaaliturva- ja vakuutuslainsäädäntöä yhteensopivaksi tietosuoja-asetuksen kanssa.

4.1 Vaikutukset viranomaistoimintaan

Esityksessä ehdotetut muutokset helpottaisivat sosiaaliturvan toimeenpanoa. Tietojen luovuttaminen etuusasioissa olisi yksinkertaisempaa, kun tietyissä tietojenluovutusasioissa luovuttaisiin suostumusten pyytämisestä, ja tietojen käyttö perustuisi jatkossa suoraan lakiin. Suostumuksen käyttö olisi tietosuoja-asetuksen myötä hyvin hankalaa, ja jos suostumustakaan ei voitaisi käyttää, tulisi etuudenhakijan itse toimittaa samoja tietoja eri tahoille useaan kertaan.

Esityksessä on ehdotettu, että sosiaaliturvan toimeenpanossa rekisteröidylle ei tulisi tietosuoja-asetuksen 18 artiklan mukaista oikeutta siihen, että henkilötietojen käsittelyä rajoitetaan, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä.

Rikostietojen luovutusta koskevan sääntelyn piirissä ovat tällä hetkellä myös Tapaturmavakuutuskeskus, Valtiokonttori ja Maatalousyrittäjien tapaturmavakuutuslaitos. Mainituilla tahoilla ei kuitenkaan ole ollut nykyisen säännöksen edellyttämää tietosuojalautakunnan henkilötietolain 43 §:ssä tarkoitettua lupaa rikostietojen käsittelylle. Esityksessä ehdotettu sääntely mahdollistaa näin tältä osin sen, että rikostietojen käsittelyä voivat jatkaa ne tahot, jotka ovat siihen saaneet tietosuojalautakunnan myöntämän luvan.

4.2 Yritysvaikutukset

Vakuutusalan väärinkäytösrekisteristä säätäminen mahdollistaisi sen, että vakuutusyhtiöt voisivat edelleen jakaa toisille vakuutusyhtiöille tietoa väärinkäytöksistä mahdollisten tulevien väärinkäytösten ehkäisemiseksi ja väärinkäytösten selvittämiseksi. Väärinkäytösrekisterin käyttö voi ehdotuksen myötä laajentua myös niihin vakuutusyhtiöihin, jotka eivät ole hakeneet tietosuojalautakunnan lupaa väärinkäytösrekisterin käytölle. Tällä hetkellä Suomessa toimii 47 vahinkovakuutusyhtiötä ja 15 henkivakuutusyhtiötä. Tietosuojalautakunnan lupa on myönnetty 30 vahinkovakuutusyhtiölle ja Liikennevakuutuskeskukselle. Jos rekisterien käyttäminen ei olisi enää mahdollista tietosuoja-asetuksen myötä, voisi väärinkäytöksistä aiheutuvien taloudellisten vahinkojen määrä vakuutusyhtiöille kasvaa.

4.3 Vaikutukset kansalaisiin

Esityksessä ehdotetaan tietosuoja-asetuksen säännöksistä poikkeamista henkilötietojen käsittelyn rajoittamisen osalta. Rekisteröidyllä ei olisi lakisääteisissä sosiaaliturva-asioissa oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus henkilötietojen paikkansapitävyydestä on ilmeisen perusteeton. Rajoitus on katsottu demokraattisessa yhteiskunnassa välttämättömäksi ja oikeasuhtaiseksi toimenpiteeksi. Rekisteröidyllä on lakisääteisessä sosiaaliturvassa turvanaan monenlaisia oikeusturvakeinoja, eikä rekisteröidyn oikeusturva siten vaarannu oikeuden rajaamisen johdosta.

Esityksessä ehdotetut muutokset helpottavat vakuutustoimintaa ja sosiaaliturvan toimeenpanoa. Ratkaisutoiminnan tehostuminen on rekisteröityjen eduksi, jos etuuksien ja korvausten käsittelyajat lyhenevät. Toiminnan tehostumisella voi olla myönteinen vaikutus myös vakuutusmaksujen alenemisen kautta.

Aiempi hallituksen esitys (HE 52/2018 vp) valmisteltiin virkatyönä sosiaali- ja terveysministeriössä. Sosiaali- ja terveysministeriö lähetti luonnoksen hallituksen esitykseksi lausunnoille 13 päivänä joulukuuta 2017. Lausuntoja tuli yhteensä 24 kappaletta. Lausunnoista tehtiin yhteenveto, joka on luettavissa valtioneuvoston hankeikkunassa internet-osoitteessa http://valtioneuvosto.fi/hankkeet. Lausuntokierroksen jälkeen esitystä täsmennettiin saadun lausuntopalautteen johdosta. Huomioon otettiin myös hallituksen esitys eduskunnalle tietosuojalaiksi (HE 9/2018 vp), joka oli annettu eduskunnalle 1 päivänä maaliskuuta 2018.

Nyt annettava, samanniminen hallituksen esitys on valmisteltu virkatyönä sosiaali- ja terveysministeriössä. Koska uusi esitys vastaa pääosin aiempaa eikä esitykseen enää sisälly laajempaa selvitys- ja valmistelutyötä vaativaa ehdotusta automaattisista päätöksistä, järjestettiin esitysluonnoksesta kuulemistilaisuus.

Kuulemistilaisuuteen lähetettiin kutsu samoille tahoille kuin rauenneesta esityksestä pyydettiin lausuntoa. Kutsussa pyydettiin toimittamaan näkemykset esitysluonnoksesta myös kirjallisesti.

Kuulemistilaisuuteen osallistuivat Akava ry, Eläkesäätiöyhdistys — ESY ry, Eläketurvakeskus, Finanssiala ry, Finanssivalvonta, FINE Vakuutus- ja rahoitusneuvonta, Kansaneläkelaitos, KT Kuntatyönantajat, Kuluttajaliitto — Konsumentförbundet ry, Liikennevakuutuskeskus, Maatalousyrittäjien eläkelaitos, Opetus- ja kulttuuriministeriö, OP Ryhmä, Suomen Ammattiliittojen Keskusjärjestö SAK ry, STTK ry, Tapaturmavakuutuskeskus, Työeläkevakuuttajat TELA ry, Työllisyysrahasto, Työttömyyskassojen Yhteisjärjestö ry ja Valtiokonttori.

Kirjallisen näkemyksen antoivat seuraavat tahot: Elinkeinoelämän keskusliitto ry, Eläketurvakeskus, Finanssiala ry, FINE Vakuutus- ja rahoitusneuvonta, Kansaneläkelaitos, Kuluttajaliitto — Konsumentförbundet ry, Liikennevakuutuskeskus, Tapaturmavakuutuskeskus, Tietosuojavaltuutettu, Työeläkevakuuttajat TELA ry, Työllisyysrahasto, Työttömyyskassojen Yhteisjärjestö ry ja Valtiokonttori.

Yleisesti kirjallisen näkemyksen antaneet tahot pitivät esitysluonnosta kannatettavana ja asianmukaisesti valmisteltuna. Esityksen antamista pidettiin tärkeänä.

Rekisteröidyn oikeuden rajaamista koskevia säännöksiä pidettiin kannatettavina. Osassa rekisteröidyn oikeuden rajoittamista koskevissa kannanotoissa nostettiin esiin, että sääntelyyn pitäisi lisätä määräaikojen laskemista koskevia tarkennuksia ja lisäsääntelyä. Näiden näkemysten mukaan aikaa, jona rekisterinpitäjä varmistaa henkilötietojen paikkansapitävyyttä, ei tulisi ottaa huomioon määräaikoja laskettaessa ja määräaikoja koskeviin sääntöihin ehdotettiin tehtäväksi tähän liittyviä muutoksia. Esille nostettu asia koskee laajasti koko sosiaalivakuutusta. Tämän vuoksi jatkovalmistelussa päädyttiin siihen, että asia selvitetään ja mahdolliset muutokset valmistellaan myöhemmin erikseen koko sosiaalivakuutuksen osalta siten, että sääntely tältä osin olisi eri sosiaalivakuutuslaeissa mahdollisimman yhdenmukainen.

Palkansaajakeskusjärjestöjen mielestä työeläke- ja työtapaturmalainsäädäntöön ja Kansaneläkelaitoksen kuntoutusetuuksista ja kuntoutusrahaetuuksista annettuun lakiin ehdotettavat tietojenluovutussäännökset ovat kuntoutustietojen osalta ongelmallisia siltä osin kuin tietoja voisi suostumuksellakin luovuttaa työnantajalle. Kansaneläkelaitos esitti täsmennyksiä Kansaneläkelaitoksen kuntoutusetuuksista ja kuntoutusrahaetuuksista annetun lain tietojenluovutussäännöksiin. Myös Tapaturmavakuutuskeskus esitti eräitä huomioita säännösten väliseen suhteeseen koskien ehdotettua suostumusmenettelyä ja henkilötietojen käsittelyä toisaalla työtapaturma- ja ammattitautilaissa. Jatkovalmistelussa ehdotukset henkilötietojen käsittelystä kuntoutusasiassa on päätetty jättää esityksestä pois. Kuntoutusprosessia koskevia henkilötietojen käsittelyn kehittämistarpeita on tarkoituksenmukaisinta selvittää erikseen isompana kokonaisuutena ja osana kuntoutusta koskevia uudistuksia.

Tietosuojavaltuutettu viittasi aiemmin rauenneesta esityksestä antamaansa lausuntoon ja totesi siinä esitettyjen näkökulmien olevan edelleen relevantteja henkilötietojen käsittelyn osalta. Lisäksi tietosuojavaltuutettu kiinnitti huomiota vakuutusyhtiön oikeuteen käsitellä tietoja rikoksista ja rikosepäilyistä. Tietosuojavaltuutettu totesi, ettei sillä ole huomautettavaa käsittelyn oikeusperusteeseen liittyen. Henkilötietojen käsittelystä säädettäessä 6 ja 10 artiklan osalta on lailla säätämisen vaatimus ja tietosuojalautankunta on aikaisemmin myöntänyt luvan harkittuaan henkilötietojen käsittelyn tarpeellisuutta. Tietosuojavaltuutettu arvioi asiaa kuitenkin vielä rekisteröidyn oikeusturvan kannalta ja toi esiin, että esityksen mukaan rekisteröidylle on ilmoitettava ainoastaan, jos vakuutushakemuksen epääminen taikka muu rekisteröidylle kielteinen päätös johtuu rekisterissä olevista tiedoista. Rekisteröidyn oikeudesta tulla informoiduksi säädetään tietosuoja-asetuksen 14 artiklassa. Tietosuojavaltuutettu totesi, että esityksen jatkovalmistelun yhteydessä on arvioitava, onko tässä esityksessä esitetty rekisteröidyn informointia koskeva lainkohta liian suppea suhteessa tietosuoja-asetuksen edellä mainittuun artiklaan. Jatkovalmistelussa arvioitiin, että rekisteröidyn informointia koskevaan kohtaan ei ole tarvetta tehdä muutoksia. Arviossa otettiin huomioon se, että väärinkäytösrekisterissä on kyse tietosuoja-asetuksen 14 artiklan 5 kohdan c alakohdan mukaisesta tilanteesta, jolloin artiklan 1—4 kohdat eivät tule sovellettavaksi.

Väärinkäytösrekisterin käytön mahdollistamista jälleen uudella lainsäädännöllä pidettiin tärkeänä. Lainsäädäntöratkaisua pidettiin onnistuneena ja sen voimaantuloa kiirehdittiin. Tapaturmavakuutuskeskus piti ehdotettua rikostietojen käsittelyä koskevaa sääntelyä epäselvänä ja ongelmallisena työtapaturma- ja ammattitautilain toimeenpanijoiden näkökulmasta. Ehdotettu sääntely johtaa sen mukaan vakuutusyhtiölain soveltamisalasta johtuvaan ongelmaan ja muun muassa siihen, että Tapaturmavakuutuskeskus ei olisi enää rikostietojen käsittelyä koskevan sääntelyn piirissä. Tapaturmavakuutuskeskus ei pidä tätä väärinkäytösten ennaltaehkäisyn näkökulmasta tarkoituksenmukaisena ja katsoo, että tärkeä yleinen etu vaatii, että myös Tapaturmavakuutuskeskus yhtenä lain toimeenpanosta vastaavana toimijana voisi luovuttaa sen toiminnassa esiin tulleen rikostiedon vakuutusalan yhteiseen rekisteriin. Jatkovalmistelussa työtapaturma- ja ammattitautilakiin päädyttiin lisäämään erillinen säännös rikostietojen käsittelystä, joka vastaa ehdotettua sääntelyä vakuutusyhtiölaissa. Työtapaturma- ja ammattitautilain ehdotetun säännöksen piirissä ei enää olisi tahoja, joilla ei ole ollut voimassa olevan sääntelyn edellyttämää tietosuojalautakunnan myöntämään lupaa rikostietojen käsittelylle. Näiden tahojen osalta säännös säilyttäisi nykyisen tosiasiallisen tilanteen rikostietojen käsittelyn osalta. Jatkovalmistelussa pidettiin kuitenkin tarkoituksenmukaisena, että myöhemmin selvitetään erikseen, miten sääntelyn ulkopuolelle nyt jääneet tahot kuten Tapaturmavakuutuskeskus ja Valtiokonttori voisivat jatkossa luovuttaa niille työtapaturma- ja ammattitautilaissa säädetyssä toiminnassa esiin tulleita rikostietoja vakuutusalan yhteiseen rekisteriin väärinkäytösten ehkäisemiseksi.

Finanssiala ry piti tärkeänä, että vakuutusyhtiölain 30 luvun 3 a §:ää pykälää täydennettäisiin vielä siten, että väärinkäytösrekisteristä olisi mahdollista antaa salassapitosäännösten estämättä tietoja vakuutusyhtiön kanssa samaan konserniin, rahoitus- tai vakuutusryhmittymään tai samaan taloudelliseen yhteenliittymään kuuluvalle yritykselle rikollisuuden ehkäisemiseksi. Jatkovalmistelussa väärinkäytösrekisterin käyttöalaa ei tältä osin ole laajennettu, koska esityksen yleisenä tavoitteena on säilyttää nykytila ja tehdä lakiin vain tietosuoja-asetuksen vaatimat muutokset. Vakuutusyhtiöiden väärinkäytösrekisteriin merkittyjen tietojen luovuttaminen muille rahoitusalan yrityksille sen sijaan laajentaisi merkittävästi rekisterin käyttöalaa.

Koneellista allekirjoittamista koskevan sääntelyn osalta esitettiin erilaisia näkemyksiä. Eräissä kannanotoissa katsottiin, että koneellista allekirjoittamista koskeva säännösehdotus on tarpeeton, tai ainakin että säännöksen tarpeellisuutta on vielä syytä harkita. Tässä yhteydessä tuotiin esiin, ettei velvollisuudesta allekirjoittaa päätös ole säädetty hallintolaissa (434/2003). Hallintolain 44 §:ssä säädetään päätöksen sisällöstä ja sen 1 momentin 4 kohdan mukaan päätöksestä on käytävä selvästi ilmi sen henkilön nimi ja yhteystiedot, jolta asianosainen voi pyytää tarvittaessa lisätietoja päätöksestä. Hallintolain mukaan on riittävää, että päätöksestä käy ilmi henkilön nimi ja yhteystiedot, jolta asianosainen voi tarvittaessa pyytää lisätietoja päätöksestä. Erään näkemyksen mukaan koneellisestikin allekirjoitetussa päätöksessä pitäisi riittää pelkkä vakuutusyhtiön nimikin. Toisaalta valtiokonttori piti tarpeellisena, että koneellista allekirjoittamista koskeva säännös ulotettaisiin myös niihin tehtäviin, joita Valtiokonttori hoitaa liikennevakuutuslain, sotilastapaturman ja palvelussairauden korvaamisesta annetun lain, sotilasvammalain, työntekijän eläkelain, yrittäjän eläkelain, maatalousyrittäjän eläkelain, merimieseläkelain sekä potilasvakuutuslain nojalla. Jatkovalmistelussa tehtiin muutokset sotilastapaturmasta ja palvelussairaudesta annettuun lakiin sekä tapaturman ja palvelussairauden korvaamisesta kriisinhallintatehtävässä annettuun lakiin siten, että työtapaturma- ja ammattitautilain ehdotettu säännös päätöksen koneellisesta allekirjoittamisesta tulee myös näiden lakien mukaisissa asioissa sovellettavaksi. Myös urheilijan tapaturma- ja eläketurvasta annettuun lakiin tehtiin vastaava muutos. Muilta osin jatkovalmistelussa päädyttiin siihen, että asia selvitetään ja mahdolliset muutokset valmistellaan erikseen ja myöhemmin koko sosiaalivakuutuksen osalta siten, että sääntely tältä osin olisi eri sosiaalivakuutuslaeissa mahdollisimman yhdenmukainen.

Lähes kaikki kannanottonsa antaneet pitivät ongelmallisena, ettei nyt annettava esitys sisällä automaattista päätöksentekoa koskevaa sääntelyä. Asiaa koskevan sääntelyn saamista ja lainvalmistelun jatkamista mahdollisimman nopealla aikataululla pidettiin tärkeänä. Kansallisen sääntelyn puutteesta ja sen mahdollisista vaikutuksista esitettiin huolestuneita kannanottoja. Useissa kannanotoissa todettiin, että automatisointi hyödyttää asiakkaita, koska prosessit ja päätöksenteko nopeutuvat ja inhimillisten virheiden määrä vähenee. Toisaalta esitettiin myös näkemyksiä, että olisi epätarkoituksenmukaista säätää perusteista niin, että ne estäisivät päätöksentekoprosessin kokonaisvaltaisen kehittämisen. Automaattisen päätöksenteon sallivan säännöksen tulisi olla riittävän laaja, jotta se kattaisi myös mahdollisen tulevan kehityksen. Lausunnoissa pidettiin kannatettavana, että oikeusministeriö käynnistää laaja-alaisen automaattista päätöksentekoa koskevan selvitys- ja valmistelutyön. Erään näkemyksen mukaan automaattista päätöksentekoa koskevaan lainvalmisteluun olisi syytä ryhtyä vasta oikeusministeriön selvityshankkeen valmistuttua. Lisäksi kirjallisissa näkemyksissä tuotiin esille toive päästä osallistumaan automaattista päätöksentekoa koskevaan lainvalmisteluun.

Samanaikaisesti tämän esityksen kanssa eduskunnassa on käsiteltävänä hallituksen esitys eduskunnalle työeläkelainsäädännön ja sairausvakuutuslain muuttamiseksi (HE 64/2019 vp.). Esityksessä ehdotetaan muutoksia sellaisiin työeläkelakien lainkohtiin, joita ehdotetaan muutettavaksi myös tässä hallituksen esityksessä.

1.1 Elatustukilaki

38 §. Rekisteröidyn oikeuden rajaaminen. Pykälässä nykyisin oleva säännös Kansaneläkelaitoksen ilmoitusvelvollisuudesta ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava elatustuen hakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten elatustukilaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Näin ollen myös pykälän otsikkoa ehdotetaan muutettavaksi. Pykälässä säädettäisiin jatkossa rekisteröidyn oikeuden rajaamisesta. Uudistettu pykälä vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain kohdalla on todettu.

1.2 Eläkesäätiölaki

70 §. Pykälässä säädetään Finanssivalvonnan ylläpitämästä eläkesäätiörekisteristä, siihen tehtävistä merkinnöistä sekä siitä luovutettavista tiedoista. Rekisteriin merkittävät tiedot ovat henkilötietoja siltä osin kuin ne koskevat eläkesäätiön hallituksen ja hallintoneuvoston jäsentä sekä sellaista henkilöä, jolla on oikeus eläkesäätiön nimen kirjoittamiseen. Edellä mainituista henkilöistä rekisteriin merkitään henkilötietoina täydellinen nimi, henkilötunnus, osoite ja kansalaisuus. Jos henkilöllä ei ole suomalaista henkilötunnusta, merkitään rekisteriin syntymäaika. Rekisterin ylläpitäminen on Finanssivalvonnan lakisääteinen velvoite. Näin ollen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, eli käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.

Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa täsmennettäisiin henkilötietojen luovuttamista rekisteristä. Tietoja voidaan pykälän mukaan luovuttaa julkisuuslain 16 §:n 3 momentin estämättä sähköisessä muodossa myös silloin, kun luovutuksensaajalla ei ole henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Siltä osin kun kyse olisi henkilötunnuksen tunnusosasta ja ulkomailla asuvan luonnollisen henkilön kotiosoitteesta luovutetaan tieto rekisteristä vain, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Muutoin ulkomailla asuvan luonnollisen henkilön kotiosoitteen sijasta luovutetaan tieto henkilön asuinmaasta. Momentti vastaa asiallisesti kaupparekisterilain 1 a §:ää.

71 §. Pykälän 2 momenttia muutettaisiin siten, että jatkossa luonnollisista henkilöistä merkittäisiin kotiosoitteen sijaan kotikunta. Ulkomailla asuvista luonnollisista henkilöistä kotikunnan sijasta rekisteriin merkittäisiin kotiosoite. Ehdotus vastaa kaupparekisteriin luonnollisista henkilöistä merkittäviä tietoja. Kotiosoitteen keräämisestä luopuminen on perusteltua myös tietosuoja-asetuksen tietojen minimointia koskevan periaatteen kannalta.

132 c §. Pykälässä säädettäisiin eläkesäätiön oikeudesta luovuttaa tietoja 132 §:ssä säädetyn salassapitovelvollisuuden estämättä.

Pykälän 1 momentissa säädettäisiin niistä tarkoituksista, joihin tietoja voidaan luovuttaa. Momentin 1 ja 2 kohdat vastaisivat voimassa olevaa lakia.

Voimassa olevan 1 momentin 3 kohdan mukaan eläkesäätiöllä on oikeus luovuttaa vaitiolovelvollisuuden piiriin kuuluvia tietoja eläkesäätiöön kohdistuneista rikoksista sekä siltä haetuista etuuksista toiselle vakuutuslaitokselle, jos tämä on tarpeen vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseksi ja jos tietosuojalautakunta on antanut tietojenkäsittelyyn henkilötietolaissa tarkoitetun luvan. Eläkesäätiöt eivät ole hakeneet tietosuojalautakunnan lupaa tietojen luovuttamiseen eläkesäätiöltä haetuista etuuksista ja siihen kohdistuneista rikoksista, eikä tietosuojalautakunnan luvan hakeminen jatkossa olisi mahdollista. Pykälän 1 momentin 3 kohdassa ehdotetaan jatkossa säädettävän eläkesäätiön oikeudesta luovuttaa tietoja vakuutusalan lautakunnalle tai vastaavalle toimielimelle sinne käsiteltäväksi saatetun asian hoitamista varten vastaavasti kuin vakuutuskassalain 165 c §:n 3 kohdassa. Eläkesäätiöllä olisi oikeus luovuttaa tietoja vakuutusalan lautakunnalle tai toimielimelle, joka on kuluttajariitojen vaihtoehtoisesta riidanratkaisusta sekä asetuksen (EY) N:o 2006/2004 ja direktiivin 2009/22/EY muuttamisesta annetun Euroopan parlamentin ja neuvoston direktiivin 2013/11/EU 20 artiklan 2 kohdan mukaisesti ilmoitettu Euroopan komissiolle. Tietoja saa tämän kohdan nojalla luovuttaa lautakuntaan tai toimielimeen saatetun asian käsittelemistä varten. Käytännössä kohta mahdollistaa tietojen luovuttamisen Vakuutus- ja rahoitusneuvonta FINE:lle sekä sen yhteydessä toimivalle vakuutuslautakunnalle, joka antaa ratkaisusuosituksia koskien lisäeläke-etuuksia. Muutoksenhausta lakisääteistä työeläkevakuutusta koskien säädetään työntekijän eläkelaissa.

Pykälän 1 momentin 4 kohdassa säädetään eläkesäätiön oikeudesta sosiaali- ja terveysministeriön luvalla luovuttaa tietoja tieteellistä tai historiallista tutkimusta varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan tietojen käyttämistä tieteellisiä ja historiallista tai tilastollisia tarkoituksia varten ei katsota yhteensopimattomaksi tietojen alkuperäisen käyttötarkoituksen kanssa. Näin ollen momentista poistettaisiin maininta sosiaali- ja terveysministeriön luvasta. Tietojen luovuttaminen edellyttää, että tietojen vastaanottajalla on lainmukainen käsittelyperuste. Eläkesäätiö voisi siten jatkossa tietosuoja-asetuksen ja muun lainsäädännön perusteella tehdä päätöksen luovutuksesta itse. Pykälän 1 momentin 5 kohta vastaisi voimassa olevaa lakia.

Pykälän 2 momentti vastaisi muuten voimassa olevaa lainsäädäntöä, mutta sitä tarkennettaisiin siten, että eläkesäätiö saisi luovuttaa vain välttämättömiä tietoja. Muutos perustuu perustuslakivaliokunnan ratkaisukäytäntöön. Perustuslakivaliokunta on katsonut, että jos luovutettavia tietosisältöjä ei ole lueteltu tyhjentävästi, sääntelyyn on pitänyt sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta.

Voimassa olevan pykälän 3 momentin asetuksenantovaltuudesta ei ehdoteta jatkossa säädettävän. Momentin mukaan sosiaali- ja terveysministeriö voi antaa tarvittaessa säännöksiä tämän pykälän 1 ja 2 momentin soveltamisesta. Henkilötietojen suojasta on säädettävä lain tasolla, eikä täsmentävä sääntely asiassa ole tarpeen.

1.3 Eläketukilaki

22 §. Eläketukea koskevat menettelysäännökset ja muutoksenhaku. Pykälässä säädetään niistä takuueläkkeestä annetun lain säännöksistä, joita sovelletaan eläketuen toimeenpanossa. Pykälään ehdotetaan lisättäväksi maininta ehdotetusta rekisteröidyn oikeuden rajaamista koskevasta säännöksestä, jota sovellettaisiin myös eläketuen toimeenpanossa.

1.4 Julkisten alojen eläkelaki

3 §. Keskeiset määritelmät. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin on ehdotettu.

153 §. Julkisen työnantajan velvollisuus antaa tietoja. Pykälän 3 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

153 a §. Kevan oikeus tietojen antamiseen eläkeasian ratkaisemista varten. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

155 §. Työntekijän ja eläkkeenhakijan oikeus saada tietoja. Pykälä ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelakin 193 §.

165 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.5 Kansaneläkelaki

86 §. Tiedot etuuden ratkaisemista varten. Pykälän 1 momentin 7 kohdasta ehdotetaan poistettavaksi suostumusta koskevat maininnat. Kohdassa tarkoitettu etuuden hakijalta tai saajalta pyydettävä suostumus ei voi täyttää tietosuoja-asetuksen vaatimuksia suostumuksen käyttämisestä henkilötietojen käsittelyn perusteena. Suostumusta pyydettäessä ei esimerkiksi voida varmistua sen vapaaehtoisuudesta varsinkin, kun tiedot voidaan joka tapauksessa saada rahalaitokselta säännöksen nojalla. Suostumusta ei käytännössä myöskään voida peruuttaa, jos saatuja tietoja on esimerkiksi käytetty etuutta koskevan ratkaisun perusteena. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan.

90 §. Tietojen luovuttaminen eräissä tapauksissa. Pykälän 3 kohtaa ehdotetaan täsmennettäväksi siten, että säännöksen perusteella voidaan luovuttaa vain säännöksessä luetellut tiedot, jotka ovat välttämättömiä vireillä olevassa etuusasiassa työkyvyttömyyden selvittämistä varten tehtävän tutkimuksen toteuttamiseksi. Pykälän 3 kohdassa tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 3 kohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi.

Pykälään ehdotetaan lisättäväksi uusi 5 kohta, jossa säädettäisiin vireillä olevan työkyvyttömyyseläkeasian käsittelyyn liittyvissä asiakirjoissa olevien tietojen luovuttamisesta terveydentilan selvittämiseksi tai työkyvyn arvioimiseksi lääkärille ja hoito- ja tutkimuslaitokselle, jos tietojen antaminen on välttämätöntä työkyvyttömyyseläkeasian ratkaisemiseksi.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 5 kohdassa on määritelty ne tahot, joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä työkyvyttömyyseläkeasian ratkaisemiseksi.

Pykälän edellä mainittujen säännösten mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa työterveyshuolto, lääkäri sekä hoito- ja tutkimuslaitos saavat työkyvyttömyysetuutta hakenutta henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

96 §. Tiedot etuuden hakijalle. Pykälässä nykyisin oleva säännös ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava eläkkeenhakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten etuuslainsäädännössä ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Kansaneläkelaitos rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on kansaneläkelain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään kansaneläkelain mukaisten tehtävien hoitamisen vetoamalla oikeuteen rajoittaa käsittelyä.

Kansaneläkelaitos on viranomainen, jonka ratkaisutoiminnassa noudatetaan hallintolakia. Hallintolain nojalla Kansaneläkelaitoksen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Kansaneläkelain mukaisissa asioissa rekisteröidyllä on käytettävänään kansaneläkelain 12 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Kansaneläkelaissa on säännökset myös asiavirheen korjaamisesta. Jos Kansaneläkelaitoksen päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, Kansaneläkelaitos voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

1.6 Laki aikuiskoulutusetuuksista

18 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Työllisyysrahasto rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on aikuiskoulutusetuuksista annetun lain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään aikuiskoulutuksesta annetun lain toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Aikuiskoulutustuen myöntämisestä ja maksamisesta sekä muusta toimeenpanosta vastaa työttömyysetuuksien rahoituksesta annetussa laissa tarkoitettu Työllisyysrahasto, jonka toimintaa valvoo Finanssivalvonta. Työllisyysrahasto on työmarkkinaosapuolten hallinnoima rahasto, jonka tarkoituksena on edistää työssä tarvittavia valmiuksia myöntämällä tukea ammatilliseen koulutukseen ja kehittymiseen. Työllisyysrahaston myöntämät aikuiskoulutusetuudet ovat aikuiskoulutustuki ja ammattitutkintostipendi.

Työllisyysrahasto noudattaa ratkaisutoiminnassa hallintolakia. Hallintolain nojalla sen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Aikuiskoulutusetuuksista annetun lain mukaisissa asioissa rekisteröidyllä on käytettävänään aikuiskoulutusetuuksista annetun lain mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Aikuiskoulutusetuuksista annetussa laissa on säännökset myös virheen korjaamisesta. Jos Työllisyysrahaston päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, rahasto voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

29 §. Salassapito. Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että siihen lisätään viittaukset pykäliin, joiden nojalla tiedot saadaan.

Pykälän 3 momentti ehdotetaan kumottavaksi tarpeettomana. Momentissa on nykyään niin sanottu informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja kumottuun henkilötietolakiin eli säännöksellä ei ole aineellista sisältöä. Henkilötietolain ovat korvanneet yleinen tietosuoja-asetus ja tietosuojalaki, joita sovelletaan niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.7 Laki asumiseen perustuvan sosiaaliturvalainsäädännön soveltamisesta

15 a §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.8 Laki Eläketurvakeskuksesta

2 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi. Pykälän 1 momentissa säädettäisiin rekisteröidyn oikeuden rajaamisesta. Säännös vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää.

1.9 Laki eläkkeensaajan asumistuesta

43 §. Tiedot asumistuen ratkaisemista varten. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

50 §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.10 Laki Kansaneläkelaitoksen kuntoutusetuuksista ja kuntoutusrahaetuuksista

59 §. Tietojen saaminen pyynnöstä. Pykälän 5 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

64 §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.11 Laki lasten kotihoidon ja yksityisen hoidon tuesta

23 a §. Tietojensaantioikeus. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

24 §. Tietojen luovuttaminen eräissä tapauksissa. Pykälän 1 momentin mukaan Kansaneläkelaitos lähettää kunnalle tuen maksamisen yhteydessä tiedot tuen piirissä olevista lapsista sekä tukeen oikeutetuista ja tukea saavista henkilöistä, yhteisöistä ja yhtymistä ja näille maksettavien tukien määrästä. Momenttiin ehdotetaan täydennettäväksi se tarkoitus, johon tiedot luovutetaan. Kansaneläkelaitos ilmoittaa tiedot kunnalle kunnan maksuvelvollisuuden tarkistamiseksi. Lasten kotihoidon ja yksityisen hoidon tuesta annetun lain 9 §:n 1 momentin perusteella kunta korvaa tämän lain nojalla maksetusta tuesta Kansaneläkelaitokselle aiheutuvat kustannukset lukuun ottamatta 3 §:n 2 ja 3 momentin nojalla maksetusta tuesta aiheutuvia kustannuksia, jotka valtio korvaa Kansaneläkelaitokselle. Kunta maksaa Kansaneläkelaitokselle ennen lastenhoidon tukien maksatusta kunnan tukien arvioidun yhteissumman. Kun todellinen tukien määrä selviää Kansaneläkelaitoksen maksaessa etuuden tuensaajille tai hoidon tuottajille, kuntiin lähetetään lista, josta käy ilmi tarkka kyseisen kuukauden etuuksien kokonaissumma. Tämän listan perusteella kunta voi tarkistaa jokaisen lapsen osalta, kenelle mitäkin etuutta on maksettu ja minkä verran.

Momentissa tarkoitettu henkilötietojen käsittely kunnassa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, sillä kunnalla on lakisääteinen velvollisuus rahoittaa lastenhoidon tuet. Käsittely liittyy lastenhoidon tukien rahoitukseen ja käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, johon tiedot on alun perin kerätty.

24 c §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.12 Laki sairausvakuutuslain mukaisen omavastuuajan korvaamisesta maatalousyrittäjille

9 a §. Pykälässä säädetään julkisuuslain soveltamisesta Maatalousyrittäjien eläkelaitoksen toiminnassa lain toimeenpanoon liittyvissä asioissa sekä Maatalousyrittäjien eläkelaitoksen ja muutoksenhakuelimen oikeudesta tietojen antamiseen ja saamiseen. Pykälän 3 momentin 3 kohdassa viitataan tietojen antamisen ja saamisen osalta maatalousyrittäjän työtapaturma- ja ammattitautilain 162 §:ään, joka esitetään kumottavaksi tarpeettomana ja pykälä muutettaisiin kokonaan toisen sisältöiseksi. Tästä johtuen myös 9 a §:n 3 momentin 3 kohta kumottaisiin tarpeettomana.

9 b §. Pykälä olisi uusi ja siinä säädettäisiin rekisteröidyn oikeuden rajaamisesta ehdotettua maatalousyrittäjän työtapaturma- ja ammattitautilain 162 §:ää vastaavasti. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös maatalousyrittäjien eläkelaitoksen hoitaessa sairausvakuutuslain mukaisen omavastuuajan korvaamisesta maatalousyrittäjille annetun lain mukaisia tehtäviä vastaavin perustein kuin mitä maatalousyrittäjän työtapaturma- ja ammattitautilain 162 §:n kohdalla on todettu.

1.13 Laki sosiaaliturvajärjestelmien yhteensovittamista koskevan Euroopan unionin lainsäädännön soveltamisesta

20 §. Henkilön tiedonsaantioikeus. Pykälä ehdotetaan kumottavaksi tarpeettomana. Jatkossa henkilön oikeus saada pääsy tietoihinsa määräytyy yleisen tietosuoja-asetuksen 15 artiklan säännösten mukaisesti. Yleistä tietosuoja-asetusta sovelletaan sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.14 Laki takuueläkkeestä

32 §. Takuueläkettä koskevat menettelysäännökset. Pykälän 1 momenttia ehdotetaan täsmennettäväksi siten, että säännöksen perusteella voidaan luovuttaa vain säännöksessä luetellut tiedot, jotka ovat välttämättömiä työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 1 momentissa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

Kansaneläkelakiin ehdotettu 96 § rekisteröidyn oikeuden rajaamisesta tulisi kyseistä ehdotusta vastaavin perustein sovellettavaksi pykälän 2 momentin nykyisen kansaneläkelain 13 lukua koskevan viittauksen perusteella.

1.15 Laki tapaturman ja palvelussairauden korvaamisesta kriisinhallintatehtävässä

16 §. Työtapaturma- ja ammattitautilain soveltaminen. Pykälää muutettaisiin siten, että työtapaturma- ja ammattitautilain IX osaan ehdotettua uutta 255 a §:n säännöstä vakuutusyhtiön oikeudesta antaa tietoja vakuutusyhtiöihin ja Liikennevakuutuskeskukseen kohdistuvan rikollisuuden ehkäisemiseen ei sovellettaisi tämän lain mukaiseen asiaan. Voimassa olevan säännöksen nojalla työtapaturma- ja ammattitautilain 255 §:n 1 momentin 3 kohdan säännös rikostietojen luovutuksesta ja käsittelystä on kattanut myös Valtiokonttorin, mutta Valtiokonttorilla ei kuitenkaan ole ollut mainitun lainkohdan edellyttämää tietosuojalautakunnan antamaa henkilötietolain 43 §:ssä tarkoitettua lupaa rikostietojen käsittelylle. Esityksessä on rikostietojen käsittelyn osalta lähdetty siitä, että sääntelyn kautta säilytetään nykyinen tosiasiallinen tilanne. Tästä syystä tämän lain mukaisessa asiassa ei sovellettaisi työtapaturma- ja ammattitautilakiin ehdotettua uutta 255 a §:n säännöstä. Pykälään lisättäisiin sen sijaan mainita päätöksen koneellisesta allekirjoittamisesta, jotta sitä koskeva uusi työtapaturma- ja ammattitautilakiin ehdotettu 275 a §:n säännös tulisi sovellettavaksi myös tämän lain mukaisessa asiassa.

1.16 Laki sotilastapaturman ja palvelussairauden korvaamisesta

16 §. Työtapaturma- ja ammattitautilain soveltaminen. Pykälää muutettaisiin siten, että työtapaturma- ja ammattitautilain IX osaan ehdotettua uutta 255 a §:n säännöstä vakuutusyhtiön oikeudesta antaa tietoja vakuutusyhtiöihin ja Liikennevakuutuskeskukseen kohdistuvan rikollisuuden ehkäisemiseen ei sovellettaisi tämän lain mukaiseen asiaan. Voimassa olevan säännöksen nojalla työtapaturma- ja ammattitautilain 255 §:n 1 momentin 3 kohdan säännös rikostietojen luovutuksesta ja käsittelystä on kattanut myös Valtiokonttorin, mutta Valtiokonttorilla ei kuitenkaan ole ollut mainitun lainkohdan edellyttämää tietosuojalautakunnan antamaa henkilötietolain 43 §:ssä tarkoitettua lupaa rikostietojen käsittelylle. Esityksessä on rikostietojen käsittelyn osalta lähdetty siitä, että sääntelyn kautta säilytetään nykyinen tosiasiallinen tilanne. Tästä syystä tämän lain mukaisessa asiassa ei sovellettaisi työtapaturma- ja ammattitautilakiin ehdotettua uutta 255 a §:n säännöstä. Pykälään lisättäisiin sen sijaan mainita päätöksen koneellisesta allekirjoittamisesta, jotta sitä koskeva uusi työtapaturma- ja ammattitautilakiin ehdotettu 275 a §:n säännös tulisi sovellettavaksi myös tämän lain mukaisessa asiassa.

1.17 Laki työttömyysetuuksien rahoituksesta

1 a §. Määritelmät. Pykälän 1 momenttiin ehdotetaan lisättäväksi uusi 3 kohta, joka sisältäisi määritelmän tietosuoja-asetuksesta.

26 a §. Työttömyysvakuutusrekisteri. Pykälä ehdotetaan muutettavaksi siten, että siitä poistetaan viimeinen virke, jossa on informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja kumottuun henkilötietolakiin. Ehdotus vastaa aikuiskoulutusetuuksista annetun lain 29 §:n 3 momentin kumoamista koskevaa ehdotusta. Henkilötietolain ovat korvanneet yleinen tietosuoja-asetus ja tietosuojalaki, jotka tulevat sovellettavaksi niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Työllisyysrahasto pitää työttömyysvakuutusrekisteriä sille rahoituslaissa säädettyjen työttömyysvakuutusmaksuja koskevien asioiden hoitoa varten. Rahoituslain 22 §, 22 a §, 22 b §, 22 c §, 22 e §, 22 g § ja 22 d § sisältävät säännökset henkilötietojen suojan kannalta tärkeistä sääntelykohteista.

26 f §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Työllisyysrahasto rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin silloin kuin Työllisyysrahasto hoitaa työttömyysetuuksien rahoituksesta annetun lain mukaista tehtävää. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden.

1.18 Laki ulkomaisista vakuutusyhtiöistä

79 §. Salassapitovelvollisuus. Pykälän 4—5 ja 7 momenttiin tehtäisiin vastaavat muutokset kuin vakuutusyhtiölain 30 luvun 3 §:ään. Lisäksi pykälän 6 ja 8 momentti ehdotetaan kumottavaksi tarpeettomina.

81 §. Vakuutusyhtiön oikeus käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista. Lakiin ehdotetaan lisättäväksi uusi pykälä ulkomaisen vakuutusyhtiön oikeudesta käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista. Pykälä vastaa vakuutusyhtiölain 30 lukuun ehdotettua 3 a §:ää.

1.19 Laki urheilijan tapaturma- ja eläketurvasta

16 §. Tapaturmaturvan järjestäminen ja asian käsittely. Pykälän 1 momenttia ehdotetaan muutettavaksi, jotta työtapaturma- ja ammattitautilain IX osaan ehdotettua uutta säännöstä päätöksen koneellista allekirjoittamista noudatettaisiin myös tämän lain tapaturmaturvan toimeenpanossa.

18 §. Tapaturmavakuutuskeskuksen ja vakuutuslaitoksen tehtävät. Pykälän 3 momenttia ehdotetaan muutettavaksi. Lain (urheilijalaki) 19 §:ssä lajiliitolle tai muulle kilpailutoiminnasta vastaavalle yhteisölle on säädetty velvollisuus huolehtia, että sen piirissä harjoitettavaan kilpailutoimintaan osallistuvat urheiluseurat ja muut urheilutoimintaa harjoittavat yhteisöt järjestävät urheilijalle urheilijalain mukaisen vakuutusturvan. Tehtävän hoitamista varten lajiliitolla ja muulla yhteisöllä on oikeus saada Tapaturmavakuutuskeskuksen tämän pykälän 1 momentin nojalla pitämästä rekisteristä tieto niistä lajiliiton tai muun yhteisön toiminnan piiriin kuuluvista urheilijoista, jotka on vakuutettu urheilijalain mukaisella pakollisella vakuutuksella.

Tehokkaan valvonnan varmistamiseksi tämän pykälän 3 momentissa on lisäksi säädetty, että vakuutuslaitoksen on ilmoitettava vuosittain viimeistään kuukauden kuluttua urheilulajin peli- tai kilpailukauden alkamisesta lajiliitolle 19 §:ssä säädettyä tehtävää varten lajiliittoon kuuluvan urheiluseuran ja muun urheilutoimintaa harjoittavan yhteisön urheilijalain mukaisen vakuutuksen alkamisesta. Ilmoitukseen on liitettävä vakuutukseen kuuluvien urheilijoiden suostumuksella heidän nimensä ja henkilötunnuksensa. Säännöksellä on haluttu varmistaa, että lajiliitto saisi mahdollisimman nopeasti tiedon vakuutusturvan järjestämisen laiminlyönnistä. Jotta urheilijoiden sosiaaliturvan valvonta ei vaarantuisi, momentista ehdotetaan poistettavaksi suostumusta koskeva edellytys urheilijan nimen ja henkilötunnuksen sisällyttämiselle ilmoitukseen, koska ilman riittäviä yksilöintitietoja (nimi ja henkilötunnus), valvontaa on käytännössä hankala toteuttaa. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan.

22 §. Ansiotietojen ilmoittaminen ja henkilötietojen käsittely. Pykälän 2 momentista ehdotetaan poistettavaksi informatiivinen viittaus kumottuun henkilötietolakiin. Henkilötietojen käsittelystä säädetään tietosuoja-asetuksessa.

1.20 Laki vammaisetuuksista

45 §. Tietojen luovuttaminen eräissä tapauksissa. Pykälän 2 kohdassa säädetään Kansaneläkelaitoksen oikeudesta luovuttaa vammaisetuuksista annetun lain 20 §:n 2 momentissa tarkoitettuihin tutkimuksiin lähetettävän henkilön terveydentilaa koskevia tietoja mainitussa momentissa tarkoitetulle lääkärille tai terveydenhuollon toimintayksikölle tai tutkimuslaitokselle. Pykälän 2 kohtaa ehdotetaan täsmennettäväksi tietojen käyttötarkoituksen osalta siten, että säännöksen perusteella voidaan luovuttaa vain tutkimuksen toteuttamiseksi välttämättömät tiedot henkilön terveydentilasta, sairaudesta ja hoitotoimenpiteistä.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Lainkohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä tutkimuksen toteuttamiseksi. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

48 §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.21 Laki yleisestä asumistuesta

42 §. Tiedot asumistuen ratkaisemista varten. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

49 §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.22 Lapsilisälaki

16 b §. Rekisteröidyn oikeuden rajaaminen. Pykälä ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.23 Liikennevakuutuslaki

2 §. Määritelmät. Pykälään lisättäisiin uusi 20 kohta, joka sisältäisi tietosuoja-asetuksen määritelmän.

4 §. Liikennevakuutuskeskus. Pykälän 2 momentin viittaussäännöstä muutettaisiin, jotta ehdotettua 62 a §:ää sovellettaisiin myös Liikennevakuutuskeskukseen.

32 §. Korvausvastuu liikennevahingosta. Pykälän 3 momentin viittaussäännöstä muutettaisiin, jotta ehdotettua 62 a §:ää sovellettaisiin myös Valtiokonttoriin.

62 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään ehdotettua työtapaturma- ja ammattitautilain 250 §:ää. Rekisteröidyllä ei olisi oikeutta siihen, että vakuutusyhtiö, Liikennevakuutuskeskus tai Valtiokonttori rajoittaisi henkilötietojen käsittelyä silloin, kun ne hoitavat tämän lain mukaista tehtävää.

1.24 Laki Liikennevakuutuskeskuksesta

18 §. Salassapitovelvollisuus ja oikeus tietojen luovuttamiseen. Pykälän viittaussäännöstä muutettaisiin siten, että siinä viitattaisiin vakuutusyhtiölain 30 luvun uuteen rikostietojen käsittelyä koskevaan 3 a §:ään. Muutos on tarpeen, jotta Liikennevakuutus voisi jatkaa rikostietojen käsittelyä kuten nykyisin.

1.25 Maatalousyrittäjän eläkelaki

2 §. Keskeiset määritelmät. Pykälän 1 momentin 12 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 12—14 kohdat siirtyisivät kohdiksi 13—15.

138 a §. Eläkelaitoksen oikeus tietojen antamiseen eläkeasian ratkaisemista varten. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

140 §. Maatalousyrittäjän ja eläkkeenhakijan oikeus saada tietoja. Pykälä ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin työntekijän eläkelain 193 §.

143 §. Eläkelaitoksen ja Eläketurvakeskuksen oikeus saada tietoja tässä laissa säädettyjen tehtävien toimeenpanemiseksi. Pykälää ehdotetaan muutettavaksi nykyisin voimassa olevasta. Pykälän 1 momentin 1 kohtaa ehdotetaan muutettavaksi siten, että lainkohdassa viitattaisiin maaseutuelinkeinohallinnon tietojärjestelmästä annettuun lakiin (284/2008), jolla on kumottu nykyisessä säännöksessä oleva laki maaseutuelinkeinorekisteristä annetusta laista (1515/1994). Pykälän 1 momentin 2 kohtaa ehdotetaan puolestaan muutettavaksi siten, että siinä viitattaisiin Euroopan unionin yhteisen kalastuspolitiikan kansallisesta täytäntöönpanosta annettuun lakiin (1048/2016), jolla on kumottu nykyisessä säännöksessä mainittu laki Euroopan yhteisön yhteisen kalastuspolitiikan täytäntöönpanosta (1139/1994) sekä vuoden 2016 alusta voimaan tulleeseen kalastuslakiin (379/2015), jossa on tarkemmin säädetty kalataloushallinnon eri tietojärjestelmistä kuten esimerkiksi kaupallisten kalastajien rekisteristä. Edellä mainituissa laeissa on säännökset rekisteriviranomaisista, joilta Maatalousyrittäjien eläkelaitoksella on oikeus saada tietoja maatalousyrittäjän eläkelain toimeenpanossa kuten esimerkiksi vakuutusvalvonnassa.

Pykälän 1 ja 2 momentin sanamuotoa täsmennettäisiin siten, että veroviranomaisen sijaan puhuttaisiin Verohallinnosta.

Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa säädettäisiin Maatalousyrittäjien eläkelaitoksen oikeudesta saada valvontatehtävää varten välttämättömät tiedot sekä näiden tietojen yhdistämisestä ja säilyttämisestä. Momentissa tarkoitettu henkilötietojen käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, sillä käsittely olisi tarpeen maatalousyrittäjän eläkelaitoksen lakisääteisen velvoitteen noudattamiseksi. Maatalousyrittäjien eläkelain 12 ja 12 a §:n mukaan maatalousyrittäjien eläkelaitos valvoo, että maatalousyrittäjät ja apurahansaajat täyttävät laissa säädetyn vakuuttamisvelvollisuutensa.

Valvontatehtävää varten tiedot 1 ja 3 momentissa mainituilta tahoilta voitaisiin saada joukkotietoina, ilman että valvontakäsittelyyn otettavia yrityksiä ja maatalousyrittäjiä olisi yksilöity, koska valvonnan tarkoituksena on löytää henkilöt, jotka ovat jättäneet ottamatta lakisääteisen työeläkevakuutuksen. Säännöstä sovellettaisiin maatalousyrittäjän eläkelain 9 a §:n 1 momentin nojalla myös apurahansaajiin. Tiedot olisi oikeus saada, vaikka valvontakäsittely ei olisi vielä vireillä tai verotusta ei olisi vahvistettu. Valvontatehtävän toimeenpanemiseksi eläkelaitos voisi yhdistää ja käsitellä tietoja eläkelaitoksessa olevien tietojen kanssa. Yhdistettyjä tietoja voitaisiin säilyttää viisi vuotta, mutta kuitenkin enintään valvontakäsittelyn päättymiseen saakka. Yhdistettyjä tietoja ei saisi luovuttaa edelleen. Edellä ehdotettu sääntely vastaa työntekijän eläkelain 199 §:n 2 momentin säännöstä valvontaa varten saatujen joukkotietojen yhdistämisestä ja säilyttämisestä.

144 §. Maatalousyrittäjien työterveyshuollon tilakäyntirekisteri. Pykälän 4 momenttia ehdotetaan muutettavaksi siten, että säännöksestä poistettaisiin viittaus kumottuun henkilötietolakiin sekä poistettaisiin tarpeettomana nykyisen 4 momentin neljäs virke, joka sisältää suoraan tietosuoja-asetuksesta tulevaa sääntelyä. Pykälän 5 momentti ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia ehdotetaan muutettavaksi sekä sen vuoksi, että momentin sääntely on päällekkäistä viranomaisten toiminnan julkisuudesta annetun ja tietosuoja-asetuksen säännösten kanssa.

146 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.26 Maatalousyrittäjän työtapaturma- ja ammattitautilaki

4 §. Muut määritelmät ja viittaussäännökset. Pykälän 1 momentin 5 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 5—7 kohdat siirtyisivät 6—8 kohdiksi.

77 §. Korvausasian vireilletulosta ilmoittaminen vahingoittuneelle. Pykälän 2 momentti ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin on ehdotettu tehtäväksi työtapaturma- ja ammattitautilain 115 §:n 2 momentin osalta.

157 §. Maatalousyrittäjien tapaturmavakuutuslaitoksen ja muutoksenhakuelimen oikeus saada tietoja. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

158 §. Maatalousyrittäjien tapaturmavakuutuslaitoksen oikeus antaa tietoja. Pykälän 3 kohdan nykyinen säännös ehdotetaan kumottavaksi. Kumotun kohdan mukaisten vahinkotietojen luovutus perustuisi jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f-alakohtaan, josta ei voida säätää täydentävästi kansallisessa lainsäädännössä. Rikostuomioihin ja rikkomuksiin liittyvien tietojen osalta henkilötietojen käsittely ei enää voi perustua tietosuojalautakunnan erityislupaan, vaan tietojen käsittelystä olisi säädettävä laissa. Maatalousyrittäjien tapaturmavakuutuslaitoksella ei ole ollut nykyisen säännöksen edellyttämää tietosuojalautakunnan henkilötietolain 43 §:ssä tarkoitettua lupaa rikostietojen käsittelyyn. Esityksessä on rikostietojen käsittelyn osalta lähdetty siitä, että sääntelyn kautta säilytetään nykyinen tosiasiallinen tilanne.

Muutoksen johdosta nykyiset kohdat 4—10 siirtyisivät kohdiksi 3—9.

162 §. Vahingoittuneen tai hänen edunsaajansa oikeus saada korvausasiaa koskevia tietoja. Nykyinen pykälä vahingoittuneen tai hänen edunsaajansa oikeudesta saada korvausasiaa koskevia tietoja kumottaisiin vastaavin perustein kuin työtapaturma- ja ammattitautilain 250 § ja tilalle lisättäisiin uusi säännös rekisteröidyn oikeuden rajaamisesta. Säännös vastaisi sisällöltään työtapaturma- ja ammattitautilakiin ehdotettua uutta 250 §:n säännöstä. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös maatalousyrittäjien eläkelaitoksen hoitaessa maatalousyrittäjän työtapaturma- ja ammattitautilain mukaisia tehtäviä vastaavin perustein kuin mitä työtapaturma- ja ammattitautilakiin ehdotetun 250 §:n kohdalla on todettu.

174 a §. Päätöksen koneellinen allekirjoittaminen. Pykälä on uusi ja se vastaisi sisällöllisesti työtapaturma- ja ammattitautilakiin ehdotettua uutta 275 a §:ää.

180 §. Siirtymäsäännökset. Pykälän 2 momenttiin lisättäisiin uusi 5 kohta ehdotettua työtapaturma- ja ammattitautilain 286 §:n 2 momentin muutosta vastaavasti.

1.27 Merimieseläkelaki

2 §. Keskeiset määritelmät. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin.

217 §. Työntekijän ja eläkkeenhakijan oikeus saada tietoja. Pykälä ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin työntekijän eläkelain 193 §.

219 §. Työnantajan velvollisuus antaa tietoja. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

219 a §. Eläkekassan oikeus tietojen antamiseen eläkeasian ratkaisemista varten. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

221 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.28 Sairausvakuutuslaki

15 luku Toimeenpanoa koskevat säännökset

1 §. Sairausvakuutuskortti. Pykälän 1 momentissa säädetään sairausvakuutuskortista, ja siihen tehtävistä merkinnöistä. Voimassa olevan pykälän mukaan sairausvakuutuskorttiin merkitään vakuutetun suku- ja etunimet, henkilötunnus ja mahdollinen työpaikkakassan jäsenyys. Sairausvakuutuskorttiin voidaan merkitä myös tieto oikeudesta erityiskorvattaviin lääkkeisiin, rajoitetusti peruskorvattaviin lääkkeisiin ja kliinisiin ravintovalmisteisiin, tieto sairausvakuutuksen voimassaoloajasta ja tieto siitä, ettei vakuutettu ole oikeutettu korvaukseen suorakorvausmenettelyllä. Lisäksi pykälässä säädetään, että korttiin voidaan henkilön suostumuksella merkitä myös muita Kansaneläkelaitoksen hyväksymiä tietoja ja muita sairausvakuutuksen toimeenpanossa välttämättömiä tietoja. Pykälän viimeistä virkettä ehdotetaan muutettavaksi siten, että siinä säädettäisiin, että sairausvakuutuskorttiin voidaan merkitä sairausvakuutuksen toimeenpanossa välttämättömiä tietoja.

19 luku Tietojen saamista ja luovuttamista koskevat säännökset

5 §. Tietojen luovuttaminen eräissä tapauksissa. Pykälän 2 momentissa säädetään Kansaneläkelaitoksen oikeudesta luovuttaa sairausvakuutuslain 15 luvun 13 §:ssä tarkoitettuihin tutkimuksiin lähetettävän henkilön terveydentilaan ja työhön liittyviä tietoja mainitussa pykälässä tarkoitetulle lääkärille tai terveydenhuollon toimintayksikölle tai tutkimuslaitokselle. Pykälän 2 momenttia ehdotetaan täsmennettäväksi tietojen käyttötarkoituksen osalta siten, että säännöksen perusteella voidaan luovuttaa vain terveydentilan selvittämistä ja työkyvyn arvioimista varten välttämättömät tiedot.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Lainkohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä terveydentilan selvittämisestä ja työkyvyn arviointia varten. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

11 §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.29 Sotilasavustuslaki

22 e §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.30 Sotilasvammalaki

44 §. Lakiin ehdotetaan lisättäväksi säännös rekisteröidyn oikeuden rajaamisesta. Pykälä vastaisi työtapaturma- ja ammattitautilain 250 §:ään ehdotettua muutosta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös Valtiokonttorin toimeenpannessa sotilasvammalakia vastaavin perustein kuin mitä työtapaturma- ja ammattitautilain 250 §:n kohdalla on todettu.

1.31 Työntekijän eläkelaki

2 §. Keskeiset määritelmät. Pykälän 1 momentin 9 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 9—12 kohdat siirtyisivät 10—13 kohdiksi. Saman momentin 4 kohdan viittaus liikennevakuutuslakiin korjattaisiin koskemaan uutta vuoden 2017 alusta voimaan tullutta liikennevakuutuslakia (460/2016), jolla on kumottu vanha liikennevakuutuslaki (279/1959).

145 §. Työsuhteen alkamis- ja päättymisaikaa koskevan tiedon korjaaminen. Pykälä ehdotetaan kumottavaksi tarpeettomana. Pykälässä velvoitetaan rekisterinpitäjä oikaisemaan virheelliset tiedot siten kuin henkilötietolaissa säädetään. Tietosuoja-asetus edellyttää, että henkilötietojen on oltava täsmällisiä. Rekisterinpitäjän on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan ja oikaistaan viipymättä. Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset tiedot. Koska tietosuoja-asetus on suoraan sovellettava, ei erillistä säännöstä virheellisten henkilötietojen oikaisemisesta tarvita työeläkelakeihin.

193 §. Työntekijän ja eläkkeenhakijan oikeus saada tietoja. Pykälä ehdotetaan kumottavaksi tarpeettomana. Pykälän mukaan työntekijälle on pyynnöstä annettava työntekijän eläkeoikeutta koskevat tiedot. Lisäksi työntekijälle on annettava tiedot siitä, mistä hänen tietojaan voidaan hankkia ja mihin niitä voidaan luovuttaa. Tietosuoja-asetuksen mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä tieto siitä, käsitelläänkö häntä koskevia henkilötietoja vai ei. Jos tietoja käsitellään, rekisteröidyllä on oikeus saada pääsy tietoihinsa ja lisäksi oikeus saada tiedot henkilötietojen käsittelyn tarkoituksesta, henkilötietoryhmistä, tietojen vastaanottajista ja muista asetuksessa määritellyistä tiedoista. Osa tiedoista on sellaisia, jotka on annettava rekisteröidylle ilman erillistä pyyntöä jo siinä vaiheessa, kun rekisteröidyltä kerätään tietoja, esimerkiksi eläkehakemuksen yhteydessä. Tietosuoja-asetus on suoraan sovellettava, joten erillistä säännöstä rekisteröidyn oikeudesta saada itseään koskevia tietoja ei tarvita työeläkelakeihin.

195 §. Työnantajan velvollisuus antaa tietoja. Pykälän 2 momentista ehdotetaan poistettavaksi maininta hakijan suostumuksesta, koska jatkossa hakijalta ei voida pyytää suostumusta laajempaan tietojen antamiseen kuin, mikä on välttämätöntä. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 2 momentissa on määritelty tarkasti ne tahot, joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä pyydettävien tietojen yksilöimiseksi. Momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty, sillä tietoja voidaan luovuttaa vain eläke- ja kuntoutusasian käsittelyä varten tarvittavien tietojen yksilöimiseksi. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa työnantaja saa tietoja siltä pyydettyjen tietojen yksilöimiseksi. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

195 a §. Eläkelaitoksen oikeus tietojen antamiseen eläkeasian ratkaisemista varten. Pykälä on uusi ja siinä säädetään eläkelaitoksen oikeudesta antaa eläkeasian käsittelyyn liittyviä tietoja eri terveydenhuollon toimijoille. Pykälän tarkoituksena on mahdollistaa tietojen antaminen vastaavassa laajuudessa kuin nykyään, kun tietoja annetaan hakijan suostumuksen perusteella. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan.

Eläkelaitoksilla on lain mukaan oikeus hankkia työkyvyttömyys- ja työuraeläkeasian käsittelemistä varten tietoja useilta tahoilta. Tietoja on tarpeen myös luovuttaa eläkeasian ratkaisemiseksi. Oikeus tietojen luovuttamiseen on kuitenkin suppeampi kuin oikeus saada tietoja. Tämän vuoksi hakijaa pyydetään työkyvyttömyys- ja työuraeläkehakemuksessa antamaan suostumus tietojen luovuttamiseen muun muassa työterveyshuollolle, hoitavalle lääkärille sekä hoito- ja tutkimuslaitokselle.

Pykälän 1 momentin 1 kohdan mukaan eläkelaitoksella olisi oikeus salassapitosäännösten ja muiden tiedonsaantia koskevien rajoitusten estämättä antaa työkyvyttömyys- ja työuraeläkeasian käsittelyyn liittyviä tietoja hakijan terveydentilan selvittämiseksi tai työkyvyn arvioimiseksi hoitavalle lääkärille tai muulle terveydenhuollon ammattihenkilölle sekä hoito- ja tutkimuslaitokselle, jos tietojen antaminen on välttämätöntä vireillä olevan etuusasian ratkaisemiseksi. Tämä kohta vastaisi käytännössä kaikkia niitä tietojen luovutusta koskevia tilanteita, joihin nykyään pyydetään suostumusta työkyvyttömyys- ja työuraeläkehakemuksissa.

Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Ehdotetussa pykälässä on määritelty tarkasti ne tahot, joille tietoja voidaan luovuttaa ja ne tarkoitukset, joihin tiedot voidaan luovuttaa. Luovutettavien tietojen on oltava välttämättömiä näitä tarkoituksia varten. Tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty, sillä tietoja voidaan luovuttaa vain eläkeasian ratkaisemista varten. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

203 §. Tietojen antaminen vakuutusyritysryhmän sisällä. Pykälän 2 momentissa säädetään työeläkevakuutusyhtiön oikeudesta luovuttaa samaan vakuutusyritysryhmään tai taloudelliseen yhteenliittymään kuuluvalle toiselle yritykselle asiakaspalvelua, asiakassuhteen hoitoa ja muuta asiakashallintaa varten tarpeelliset tiedot. Momentin sanamuotoa täsmennettäisiin siten, että siitä kävisi ilmi, että kyseessä on poikkeus salassapitosäännökseen. Säännös koskee myös henkilötietoja, joiden käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Henkilötietoja käsitellessään työeläkevakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista.

210 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi. Pykälässä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on työntekijän eläkelain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään lakisääteisen työeläketurvan toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Lakisääteisen työeläkevakuutuksen toimeenpano on julkisen hallintotehtävän hoitamista, johon sovelletaan hallintolakia. Hallintolain nojalla eläkelaitoksen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä.

Työntekijän eläkelain mukaisissa asioissa rekisteröidyllä on käytettävänään työntekijän eläkelain 9 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Työeläkelaeissa on säännökset myös asiavirheen korjaamisesta. Jos eläkelaitoksen päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, eläkelaitos voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä sosiaaliturvan takaamiseksi, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

1.32 Työtapaturma- ja ammattitautilaki

2 §. Määritelmät. Lain 2 §:ssä on määritelty työtapaturma- ja ammattitautilaissa käytettyjä termejä. Pykälän 1 momentin 8 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 8—10 kohdat siirtyisivät 9—11 kohdiksi.

115 §. Korvausasian vireilletulosta ilmoittaminen vahingoittuneelle. Pykälän 1 momentissa säädetään vakuutuslaitoksen velvollisuudesta ilmoittaa vahingoittuneelle häntä koskevan korvausasian vireilletulosta ja siitä mitä tietoja ilmoitukseen on sisällytettävä. Pykälän 2 momentissa säädetään, että ilmoitukseen on sisällytettävä henkilötietolain 24 §:n 1 momentissa tarkoitettu selvitys vahingoittuneen henkilötietojen käsittelystä työtapaturma- ja ammattitautilain mukaisen korvausasian yhteydessä. Pykälän 2 momentti ehdotetaan kumottavaksi tarpeettomana, koska asiasta säädetään tietosuoja-asetuksen 13 ja 14 artiklassa.

250 §. Vahingoittuneen tai hänen edunsaajansa oikeus saada korvausasiaa koskevia tietoja. Pykälässä säädetään vakuutuslaitoksen velvollisuudesta antaa vahingoittuneelle tai hänen edunsaajalleen pyynnöstä hänen korvausasiaansa koskevat tiedot. Pykälässä todetaan, että oikeudesta tarkastaa henkilörekisteristä itseään koskevat tiedot säädetään henkilötietolaissa. Nykyinen säännös ehdotetaan kumottavaksi, koska henkilötietolaki on kumottu ja asiasta säädetään tietosuoja-asetuksen 15 artiklassa.

Kumottavaksi ehdotetun säännöksen tilalle ehdotetaan uutta säännöstä rekisteröidyn oikeuden rajaamisesta. Säännös olisi poikkeus tietosuoja-asetuksen 18 artiklassa säädetystä rekisteröidyn oikeudesta rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei näin olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on työtapaturma- ja ammattitautilain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään lakisääteisen tapaturmavakuutuksen toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Rekisteröidyllä on käytettävänään varsinaiset ja ylimääräiset muutoksenhakukeinot mahdollisesti virheellisten tietojen perusteella annetun päätöksen korjaamiseksi.

252 §. Vakuutuslaitoksen ja muutoksenhakuelimen oikeus saada tietoja. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

255 §. Vakuutuslaitoksen oikeus antaa tietoja. Voimassaolevan pykälän 1 momentin 3 kohdan mukaan vakuutuslaitoksella on oikeus salassapitosäännösten estämättä antaa rikollisuuden ehkäisemiseksi tietoja vain liikennevakuutuslain tai potilasvahinkolain mukaista vakuutusta toimeenpanevalle vakuutuslaitokselle ja edellyttäen, että tietosuojalautakunta on antanut tietojen käsittelyyn henkilötietolain 43 §:ssä tarkoitetun luvan. Vakuutusyhtiöiden oikeudesta käsitellä ja luovuttaa työtapaturma- ja ammattitautilain mukaisia tietoja rikollisuuden ehkäisemiseksi toisille vakuutusyhtiöille ja Liikennevakuutuskeskukselle perustuisi jatkossa ehdotettavaan uuteen 255 a §:n säännökseen. Tämän vuoksi pykälän 1 momentin 3 kohta ehdotetaan kumottavaksi. Vahinkotietojen luovuttaminen (vahinkorekisteriin) puolestaan perustuisi jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f -alakohtaan. Momentin nykyiset 4—7 kohdat siirtyisivät 3—6 kohdiksi.

Pykälän 4 momentissa säädetään vakuutuslaitoksen oikeudesta luovuttaa samaan konserniin, vakuutusyritysryhmää, taloudelliseen yhteenliittymään tai rahoitus- tai vakuutusryhmittymään kuuluvalle toiselle yritykselle vakuutuksenottajaa koskevia asiakaspalvelua, asiakassuhteen hoitoa ja muuta asiakashallintaa varten tarpeellisia tietoja. Momentin sanamuotoa täsmennettäisiin siten, että siitä kävisi ilmi, että kyseessä on poikkeus salassapitosäännökseen. Säännös koskee myös henkilötietoja, joiden käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Vakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista.

255 a §. Vakuutusyhtiön oikeus antaa tietoja vakuutusyhtiöihin ja Liikennevakuutuskeskukseen kohdistuvan rikollisuuden ehkäisemiseen. Pykälä on uusi. Sen 1 momentissa säädettäisiin tämän lain mukaista vakuutusta toimeenpanevan vakuutusyhtiön oikeudesta salassapitosäännösten estämättä antaa tämän lain toimeenpanoon perustuvia vakuutusyhtiölain 30 luvun 3 a §:ssä tarkoitettuja tietoja toiselle vakuutusyhtiölle ja Liikennevakuutuskeskukselle vakuutusyhtiöön tämän lain toimeenpanon yhteydessä kohdistuneista rikoksista vakuutusyhtiöihin ja Liikennevakuutuskeskukseen kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän edun vuoksi. Tietosuoja-asetus on henkilötietojen käsittelyssä aina ensisijainen suhteessa kansalliseen lainsäädäntöön ja tässä säädettäisiin ainoastaan poikkeuksesta kansalliseen salassapitosääntelyyn. Vakuutusyhtiön olisi näin aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista. Säännös koskisi työtapaturma- ja ammattitautilain mukaista vakuutustoimintaa. Vakuutusyhtiön oikeudesta käsitellä rikostietoja korvausasian ratkaisemiseksi säädetään tietosuojalain 7 §:ssä.

Pykälän 2 momentissa säädettäisiin, samoin perustein mitä on esitetty vakuutusyhtiölain 30 luvun 3 §:n 3 momentin muutoksen osalta, että 1 momentissa tarkoitetussa tilanteissa voitaisiin luovuttaa vain tietoja, jotka ovat välttämättömiä kyseessä olevan tehtävän suorittamiseksi.

Pykälän 3 momentissa viitattaisiin edellä 1 ja 2 momentissa tarkoitettujen tietojen käsittelyoikeuden osalta vakuutusyhtiölain 30 luvun 3 a §:n säännökseen, jossa säädetään vakuutusyhtiön oikeudesta käsitellä tietoja rikoksista ja rikosepäilyistä. Mainitun lainkohdan mukainen käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaan, eli olisi tarpeen yleistä etua koskevan tehtävän suorittamiseksi. Tämän lain mukaista vakuutusta toimeenpanevan vakuutusyhtiön oikeus rikostietojen käsittelyyn perustuisi näin vakuutusyhtiölain 30 a luvun 3 a §:ään samoin perustein mitä mainitun säännöksen perusteluissa on esitetty.

Tällä hetkellä rikostietojen luovutuksesta säädetään lain 255 §:n 1 momentin 3 kohdassa. Sen mukaan vakuutuslaitoksella on oikeus salassapitosäännösten estämättä antaa tämän lain toimeenpanoon perustuvia tietoja tämän lain, liikennevakuutuslain ja potilasvahinkolain mukaista vakuutusta toimeenpanevalle vakuutuslaitokselle, Liikennevakuutuskeskukselle, ja Potilasvakuutuskeskukselle niihin kohdistuvan rikollisuuden ehkäisemiseksi tiedot vakuutuslaitokseen tämän lain toimeenpanon yhteydessä kohdistuneista rikoksista ja eräistä muista lainkohdassa mainituista tiedoista. Tietojen käsittely on edellyttänyt lisäksi tietosuojalautakunnan antamaa henkilötietolain 43 §:ssä tarkoitettua lupaa. Kyseinen lainkohta esitetään kumottavaksi ja rikostietojen luovutuksesta ja käsittelystä säädettäisiin jatkossa uudessa 255 a §:ssä. Jatkossa vakuutusyhtiö voisi antaa tietoja myös muulle kuin tämän lain, liikennevakuutuslain tai potilasvahinkolain mukaista vakuutustoimintaa harjoittavalle vakuutusyhtiölle sekä edelleen Liikennevakuutuskeskukselle.

Rikostietojen käsittelyä koskevan sääntelyn piirissä ei enää olisi Valtiokonttoria ja Tapaturmavakuutuskeskusta, joilla ei ole ollut voimassa olevan säännöksen edellyttämää tietosuojalautakunnan antamaa lupaa rikostietojen käsittelylle. Tältä osin ehdotettu sääntely säilyttäisi nykyisen tosiasiallisen tilanteen.

257 §. Vakuutuslaitoksen velvollisuus antaa tietoja Tapaturmavakuutuskeskukselle. Pykälän 4 momentista poistettaisiin viimeinen virke, koska kysymyksessä on niin sanottu informatiivinen viittaus kumottuun henkilötietolakiin. Henkilötietojen käsittelyyn sovelletaan tietosuoja-asetusta ja uutta tietosuojalakia niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittaustakin.

275 a §. Päätöksen koneellinen allekirjoittaminen. Pykälä on uusi. Siinä säädettäisiin, että vakuutuslaitoksen tämän lain perusteella antama päätös voitaisiin allekirjoittaa koneellisesti. Hallintolaissa ei säädetä päätösten allekirjoittamisesta, mutta hyvään hallintoon on katsottu kuuluvan, että päätökset allekirjoitetaan. Mahdollisesta allekirjoittamatta jättämisestä ja päätöksen koneellisesta allekirjoittamisesta on edellytetty säädettävän erikseen. Työeläkeasioissa eläkelaitoksen ja eläketurvakeskuksen päätös voidaan allekirjoittaa koneellisesti. Tästä on säädetty työeläkelakien täytäntöönpanopanoasetuksissa kuten valtioneuvoston asetuksessa työntekijän eläkelain täytäntöönpanosta (874/2006). Vastaava mahdollisuus olisi tarkoituksenmukaista ulottaa koskemaan myös työtapaturma- ja ammattitautilain mukaisia asioita, jossa päätöstuotanto niin ikään on massaluonteista. Koneellisella allekirjoituksella tarkoitetaan lähtökohtaisesti sitä, että fyysisen allekirjoituksen sijasta asiakirjaan on kirjoitettu asianomaisen henkilön nimi tekstinkäsittelyohjelmalla (HaVM 14/2002 vp).

286 §. Siirtymäsäännökset. Pykälän 2 momenttiin lisättäisiin uusi 5 kohta, jonka myötä myös 35 luvussa olevia tietojen antamista, saamista ja salassapitoa koskevia säännöksiä sekä 275 §:n säännöstä asiakirjojen säilyttämisestä ja ehdotettua uutta 275 a §:n säännöstä päätöksen koneellisesta allekirjoittamisesta sovellettaisiin työtapaturmiin ja ilmenneisiin ammattitauteihin, jotka ovat sattuneet ennen 1 päivä tammikuuta 2016, jolloin nykyinen työtapaturma- ja ammattitautilaki tuli voimaan. Ehdotetut säännökset voidaan voimaantulon osalta rinnastaa 3 kohdan mukaisiin menettelyllisiin säännöksiin ja on tarkoituksenmukaista, että säännökset koskevat myös vanhojen vahinkojen käsittelyä.

1.33 Työttömyysturvalaki

13 luku Tietojen saamista ja luovuttamista koskevat säännökset

1 §. Oikeus tietojen saamiseen. Pykälän 2 momentin johdantokappaletta ehdotetaan täsmennettäväksi käsittelytarkoituksen osalta siten, että siitä ilmenee, että Kansaneläkelaitoksella ja työttömyyskassalla on oikeus saada pykälässä tarkoitetut tiedot maksutta tässä laissa tai muissa laeissa säädettyjen tehtäviensä hoitamista varten.

Pykälän 3 momenttia ehdotetaan täsmennettäväksi käsittelytarkoituksen osalta siten, että siitä ilmenee, että Kansaneläkelaitoksella ja työttömyyskassalla on oikeus saada pykälässä tarkoitetut tiedot maksutta tässä tai muussa laissa säädettyjen tehtäviensä hoitamista varten.

2 §. Tiedot rahalaitoksilta. Pykälää ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

7 §. Ilmoitusvelvollisuus. Pykälässä oleva säännös Kansaneläkelaitoksen ja työttömyyskassan ilmoitusvelvollisuudesta on tarpeeton vastaavin perustein kuin elatustukilain 38 §, ja pykälä ehdotetaan kumottavaksi. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen ja työttömyyskassan on annettava etuuden hakijalle etukäteen sopivin tavoin tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten työttömyysturvalaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

9 §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Kansaneläkelaitos tai työttömyyskassa rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin silloin kuin Kansaneläkelaitos ja työttömyyskassa hoitavat työttömyysturvalain mukaista tehtävää. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään työttömyysturvan toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Kansaneläkelaitoksen ja työttömyyskassan on ratkaisutoiminnassa noudatettava hallintolakia. Hallintolain nojalla niiden on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Työttömyysturvalain mukaisissa asioissa rekisteröidyllä on käytettävänään työttömyysturvalain 12 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Työttömyysturvalaissa on säännökset myös asiavirheen korjaamisesta. Jos Kansaneläkelaitoksen tai työttömyyskassan päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, Kansaneläkelaitos tai työttömyyskassa voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

10 §. Etuudensaajarekisteri. Pykälän 3 momentti ehdotetaan kumottavaksi tarpeettomana. Momentissa on nykyään niin sanottu informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja henkilötietolakiin eli säännöksellä ei ole aineellista sisältöä. Kumotun henkilötietolain ovat korvanneet yleinen tietosuoja-asetus ja tietosuojalaki, joita sovelletaan niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.34 Vakuutuskassalaki

165 c §. Pykälässä säädettäisiin vakuutuskassan oikeudesta luovuttaa tietoja 165 §:ssä säädetyn vaitiolovelvollisuuden estämättä. Pykälä vastaisi asiallisesti eläkesäätiölain 132 c §:ää.

1.35 Vakuutusyhdistyslaki

16 luku Erinäisiä säännöksiä

10 §. Pykälän 4 momentin 6 kohta ehdotetaan kumottavaksi, koska vakuutusyhdistyksillä ei ole tietosuojalautakunnan lupaan perustuvaa järjestelmää käytössä tietojen luovuttamiseen vakuutusyhdistyksiin kohdistuneista rikoksista. Momentin nykyiset 7—9 kohdat siirtyisivät kohdiksi 6—8. Muutoin 4 momenttiin tehtäisiin vastaavat muutokset kuin vakuutusyhtiölain 30 luvun 3 §:n 1 momenttiin.

Pykälän 5 ja 7 momenttiin tehtäisiin vastaavat tekniset muutokset kuin vakuutusyhtiölain 30 luvun 3 §:n 1 ja 3 momenttiin. Pykälän 6 momentti ehdotetaan kumottavaksi tarpeettomana.

1.36 Vakuutusyhtiölaki

6 luku Vakuutusyhtiön johto, hallintojärjestelmä ja varojen sijoittaminen

17 a §. Rikkomuksista ilmoittaminen. Pykälästä poistettaisiin viittaukset henkilötietolakiin tarpeettomina. Pykälän 3 momentin viittaus muutettaisiin siten, että rekisteröidyllä ei olisi tietosuoja-asetuksen mukaista oikeutta saada pääsyä 1 ja 2 momentissa tarkoitettuihin tietoihin. Rekisteröidyn oikeuden rajoittaminen on tarpeen rikosten selvittämiseen liittyvän tärkeän yleisen edun vuoksi.

30 luku Salassapitovelvollisuus ja oikeus tietojen luovuttamiseen

3 §. Poikkeukset salassapitovelvollisuuteen. Pykälässä säädettäisiin poikkeuksista 1 §:n mukaiseen salassapitovelvollisuuteen, jonka mukaan vakuutusyhtiön asiakkaan taloudellinen asema, terveydentila tai muut henkilökohtaisia oloja koskevat seikat ja liike- tai ammattisalaisuudet ovat salassa pidettäviä. Silloin kun kyseiset tiedot koskevat luonnollista henkilöä, ne ovat samalla myös henkilötietoja ja niitä koskee tietosuoja-asetus sekä sitä täydentävä kansallinen tietosuojalaki. Henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälässä säädettäisiin tältä osin ainoastaan poikkeuksesta kansalliseen salassapitosäännökseen. Vakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista. Pykälän johdantolauseen sanamuodon muuttamisella korostettaisiin tietoja luovuttavan tahon velvollisuutta varmistaa tietosuoja-asetuksen mukaisten edellytysten olemassaolo ennen luovutukseen ryhtymistä.

Pykälän 1 momentti vastaisi voimassa olevaa lainsäädäntöä, mutta siihen tehtäisiin eräitä teknisiä muutoksia ja täsmennyksiä. Momentin 4 kohtaa täsmennettäisiin siten, että tietoja voisi luovuttaa vakuutusalan lautakunnalle tai toimielimelle, joka on kuluttajariitojen vaihtoehtoisesta riidanratkaisusta sekä asetuksen (EY) N:o 2006/2004 ja direktiivin 2009/22/EY muuttamisesta annetun Euroopan parlamentin ja neuvoston direktiivin 2013/11/EU 20 artiklan 2 kohdan mukaisesti ilmoitettu Euroopan komissiolle. Vakuutusalan lautakuntia ovat muun muassa liikennevahinkolautakunta ja potilasvahinkolautakunta. Vuoden 2021 alusta lautakunnat yhdistyvät liikenne- ja potilasvahinkolautakunnaksi (Laki liikenne- ja potilasvahinkolautakunnasta, 959/2019). Suomi on ilmoittanut komissiolle kuluttajariitoja ratkaiseviksi toimielimiksi kuluttajariitalautakunnan sekä Vakuutuslautakunnan, Pankkilautakunnan ja Arvopaperilautakunnan. Tietoja saa tämän kohdan nojalla luovuttaa lautakuntaan tai toimielimeen saatetun asian käsittelemistä varten. Momentin 6 kohdasta poistettaisiin viittaus henkilötietolakiin ja lisättäisiin viittaus uuteen 3 a §:ään, joka korvaisi tietosuojalautakunnan luvan. Momentin 7 kohdasta poistettaisiin maininta sosiaali- ja terveysministeriön luvasta. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan tietojen luovuttaminen tieteellisiä ja historiallisia tutkimustarkoituksia varten ei olisi yhteensopimatonta tietojen alkuperäisen tarkoituksen kanssa. Tietojen luovuttaminen edellyttää sen varmistamista, että tietojen vastaanottajalla on lainmukainen käsittelyperuste. Voimassa olevan lain lupamenettely henkilötietojen luovuttamiseksi saattaisi näiltä osin olla tietosuoja-asetuksen vastainen. Lupamenettelyä ei voida pitää tarkoituksenmukaisena myöskään silloin kuin kyse on muista salassa pidettävistä tiedoista kuin henkilötiedoista.

Pykälän 2 momentti vastaisi voimassa olevaa lakia.

Pykälän 3 momentin mukaan vakuutusyhtiö voisi 1 momentissa tarkoitetuissa tilanteissa luovuttaa ainoastaan sellaisia tietoja, jotka ovat välttämättömiä kyseessä olevien tehtävien suorittamiseksi. Muutos perustuu perustuslakivaliokunnan ratkaisukäytäntöön. Perustuslakivaliokunta on katsonut, että jos luovutettavia tietosisältöjä ei ole lueteltu tyhjentävästi, sääntelyyn on pitänyt sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta.

3 a §. Vakuutusyhtiön oikeus käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista. Lakiin ehdotetaan lisättäväksi uusi pykälä vakuutusyhtiön oikeudesta käsitellä tietoja siihen kohdistuneista rikoksista ja rikosepäilyistä. Pykälä koskisi vapaaehtoisen vakuutustoiminnan lisäksi myös liikennevakuutuslain ja työtapaturma- ja ammattitautilain mukaista vakuutustoimintaa. Vakuutusyhtiön oikeudesta käsitellä rikostietoja korvausasian ratkaisemiseksi säädetään tietosuojalain 6 §:ssä.

Pykälä olisi tarpeen, koska tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely olisi mahdollista vain viranomaisen valvonnassa tai kun se sallitaan jäsenvaltion lainsäädännössä. Tärkeä yleinen etu edellyttää, että tällainen henkilötietojen käsittely on mahdollista vakuutusyhtiöihin kohdistuvien rikosten ehkäisemiseksi ja selvittämiseksi. Pykälässä säädetty tietojen käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaan, eli olisi tarpeen yleistä etua koskevan tehtävän suorittamiseksi.

Pykälän 1 momentti oikeuttaa vakuutusyhtiöitä käsittelemään tietoja niihin kohdistuneista epäillyistä tai toteutuneista rikoksista.

Pykälän 2 momentissa säädetään rekisteriin merkittävistä tiedoista. Vakuutusyhtiö saa merkitä rekisteriin tiedon vahinkotapahtumasta ja vakuutusyhtiöstä, johon rikos tai sen epäily on kohdistunut. Lisäksi rekisteriin saadaan merkitä tieto tallennusajasta. Tieto on tarpeen, koska tiedon säilyttämisaika lasketaan tallentamisajasta lähtien. Lisäksi rekisteriin saadaan merkitä rekisteröidyn nimi, henkilötunnus, osoite ja ammatti sekä tiedon siitä tuomioistuimesta, jossa asia käsitellään. Rekisteriin saadaan merkitä myös tieto siitä vakuutusyhtiön työntekijästä, joka on ilmoittanut rekisteröitävät tiedot. Rekisteriin merkittävät tiedot vastaavat tietosuojalautakunnan vahvistamia lupaehtoja.

Rekisteröidyn oikeusturvan takaamiseksi pykälän 3 momentissa edellytetään, että rekisteröitävä epäilty tai toteutunut rikos on saatettu toimivaltaisen viranomaisen tutkittavaksi. Ehdotetun lainkohdan mukaan tieto olisi rekisteröitävä vuoden kuluessa siitä, kun rikosprosessi on saatettu vireille tai vakuutusyhtiö on saanut tiedon rikosprosessin vireille saattamisesta. Määräaika on tarpeen, jotta rekisteröinnin viivästyminen ei voi kohtuuttomasti siirtää säilyttämisajan alkua.

Pykälän 4 momentin mukaan tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun rekisteröity on todettu syyttömäksi tai prosessista on muuten luovuttu. Poistaminen on tehtävä välittömästi, koska rekisterimerkinnällä voi olla kielteisiä vaikutuksia rekisteröidylle.

Pykälän 5 momentin mukaan tiedot olisi poistettava viiden vuoden kuluessa rekisterimerkinnän tekemisestä. Säilyttämisaika lasketaan kyseistä tekoa koskevan rekisterimerkinnän tekemisestä ensimmäisen kerran. Tietojen poistaminen ja uudelleen merkitseminen esimerkiksi muuttuneen tuomion vuoksi ei siten vaikuta säilyttämisaikaan. Tietojen säilyttäminen tätä pidempään ei ole perusteltua niiden käyttötarkoituksen kannalta.

Pykälän 6 momentissa säädettäisiin vakuutusyhtiön velvollisuudesta ilmoittaa rekisteröidylle, jos vakuutushakemuksen epääminen tai muu rekisteröidyn kannalta kielteinen päätös johtuu rekisterimerkinnästä.

1.37 Laki vakuutusten tarjoamisesta

72 §. Rikkomuksista ilmoittaminen. Pykälän 1 ja 3 momentista ehdotetaan poistettavaksi viittaukset henkilötietolakiin ja muuhun lakiin. Jatkossa henkilötietojen suojasta säädetään tietosuoja-asetuksessa, johon ei ole tarvetta erikseen viitata.

Pykälän 3 momentissa säädetään siitä, että rekisteröidyllä ei ole tarkastusoikeutta 1 ja 2 momentissa tarkoitettuihin tietoihin, jos tietojen antaminen voisi haitata epäiltyjen rikkomusten selvittämistä. Säännöksellä rajataan tietosuoja-asetuksen 15 artiklan mukaista rekisteröidyn oikeutta saada pääsy tietoihin. Säännöksen sanamuotoa tarkennettaisiin, jotta siitä kävisi ilmi, että kyse on edellä mainitun oikeuden rajoittamisesta. Rajoitukset perustuvat yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d ja g alakohtaan sekä täyttävät yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan edellytykset.

80 §. Poikkeukset vaitiolovelvollisuuteen. Pykälässä säädettään poikkeuksista salassapitovelvollisuuteen. Silloin kun salassa pidettävät tiedot koskevat luonnollista henkilöä, ne ovat samalla myös henkilötietoja ja niitä koskee tietosuoja-asetus sekä sitä täydentävä kansallinen tietosuojalaki. Henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälässä säädettäisiin tältä osin ainoastaan poikkeuksesta kansalliseen salassapitosäännökseen. Tietojen luovuttajan olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista.

Pykälän 1 momentin 4 kohdassa säädetään vakuutusmeklarin ja vakuutusedustajan oikeudesta luovuttaa salassapitovelvollisuuden piiriin kuuluvia tietoja historiallista ja tieteellistä tutkimusta tai tilastointia varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan tietojen käyttämistä tieteellisiä tai historiallisia tai tilastollisia tarkoituksia varten ei katsota yhteen sopiviksi tietojen alkuperäisen käyttötarkoituksen kanssa. Näin ollen momentista poistettaisiin maininta sosiaali- ja terveysministeriön luvasta. Vakuutusmeklari tai vakuutusedustaja voisi siten jatkossa tietosuoja-asetuksen ja muun lainsäädännön perusteella tehdä päätöksen luovutuksesta itse.

1.38 Vuorotteluvapaalaki

21 §. Työttömyysturva- ja työttömyyskassalain soveltaminen. Pykälän 1 momentista ehdotetaan poistettavaksi viittaus, jonka mukaan työttömyysturvan muutoksenhakulautakunnasta on voimassa, mitä työttömyysturvalaissa säädetään. Viittaus on tarpeeton, koska vuoden 2018 alusta voimaan tulleella lailla työttömyysturvalain 12 a luvun kumoamisesta (795/2017) työttömyysturvalain 12 a luku on kumottu eikä työttömyysturvalaki enää sisällä muutoksenhakulautakuntaa koskevia säännöksiä.

1.39 Yrittäjän eläkelaki

2 §. Keskeiset määritelmät. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin on ehdotettu.

146 §. Sovellettavat säännökset. Pykälän 4 momentissa säädetään niistä työntekijän eläkelain säännöksistä, joita sovelletaan yrittäjän eläkelain toimeenpanossa. Momenttiin lisättäisiin uusi 1 kohta, jossa viitattaisiin työntekijän eläkelakiin ehdotettuun uuteen 195 a §:ään. Pykälän nykyiset kohdat 1—9 siirtyisivät kohdiksi 2—10.

148 §. Yrittäjän ja eläkkeenhakijan oikeus saada tietoja. Pykälä ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelain 193 §.

152 a §. Rekisteröidyn oikeuden rajaaminen. Pykälä olisi uusi ja se vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.40 Äitiysavustuslaki

14 b §. Rekisteröidyn oikeuden rajaaminen. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.41 Opintotukilaki

43 b §. Rekisteröidyn oikeuden rajaaminen. Voimassa oleva säännös Kansaneläkelaitoksen ilmoitusvelvollisuudesta ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava opintotuen hakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää nykyistä sääntelyä yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, minkä vuoksi säännös ehdotetaan kumottavaksi tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten opintotukilaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Näin ollen myös pykälän otsikkoa ehdotetaan muutettavaksi. Pykälässä säädettäisiin jatkossa rekisteröidyn oikeuden rajaamisesta. Uudistettu pykälä vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää.

Lait ehdotetaan tulemaan voimaan mahdollisimman pian.

Ehdotus on valtiosääntöoikeudellisesti merkityksellinen perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta.

Henkilötietojen suoja on myös Euroopan unionin perusoikeuskirjan mukaan perusoikeus. Perusoikeuskirjan 8 artiklan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Perusoikeuskirjan 52 artiklassa säädetään perusoikeuksien rajoittamisen edellytyksistä. Artiklan 1 kohdan mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

Euroopan ihmisoikeussopimus ei sisällä mainintaa henkilötietojen suojasta, mutta sen 8 artiklassa turvataan yksilöille oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Euroopan ihmisoikeuskomitea on katsonut, että henkilötietojen suoja voi tulla käsitellyksi suoraan osana yksityiselämän suojaa.

Tietosuoja-asetus on kansallisesti suoraan sovellettavaa lainsäädäntöä. Asetus jättää kuitenkin jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallisella lainsäädännöllä on asetuksessa säädetyin edellytyksin mahdollista tarkentaa ja täsmentää asetuksen säännöksiä. Lisäksi tietyissä tilanteissa asetus antaa mahdollisuuden säätää kansallisella lainsäädännöllä poikkeuksia asetuksessa säädetyistä oikeuksista ja velvollisuuksista. Asetus sisältää säännökset siitä, mistä oikeuksista ja velvollisuuksista on mahdollista poiketa, ja mitkä ovat edellytykset poikkeukselle. Perustuslakivaliokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (PeVL 1/2018 vp ja PeVL 25/2005 v).

Eduskunnan perustuslakivaliokunta antoi rauenneesta hallituksen esityksestä lausunnon (PeVL 78/2018 vp—HE 52/2018 vp). Lausunnon mukaan perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei lähtökohtaisesti kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (esim. PeVL 31/2017 vp, s. 4). Valiokunta korosti kuitenkin edelleen, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. esim. PeVL 1/2018 vp, PeVL 25/2005 vp).

Perustuslakivaliokunta on hiljattain tarkistanut kantaansa henkilötietojen käsittelyä koskevan sääntelyn lakitasoisuuden, kattavuuden ja yksityiskohtaisuuden vaatimuksista. Perustuslakivaliokunta on uudemmassa käytännössään pitänyt lähtökohtaisesti riittävänä perustuslain 10 §:n 1 momentin kannalta, että sääntely täyttää EU:n yleisessä tietosuoja-asetuksessa asetetut vaatimukset. Perustuslakivaliokunnan mukaan henkilötietojen suoja tulee jatkossa turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla. Tähän liittyen kansallisen erityislainsäädännön säätämiseen tulee suhtautua pidättyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa (PeVL 14/2018 vp). Perustuslakivaliokunnan mukaan on kuitenkin selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (ks. PeVL 14/2018 vp).

Perustuslakivaliokunta on lausunnossaan kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks. PeVL 42/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/II), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks. PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3).

Tämän hallituksen esityksen tavoitteena on sopeuttaa kansallista sosiaaliturva- ja vakuutuslainsäädäntöä tietosuoja-asetukseen. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä esitetään eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista. Yleisperusteluissa ja yksityiskohtaisissa perusteluissa esitetyin perustein nämä tarkennukset ja poikkeukset täyttävät tietosuoja-asetuksessa asetetut edellytykset asetuksen säännöksistä poikkeamiselle.

Tämä hallituksen esitys vastaa pääosin rauennutta hallituksen esitystä, mutta perustuslakivaliokunnan rauenneesta hallituksen esityksestä antamassa lausunnossa (PeVL 78/2018 vp—HE 52/2018 vp) esittämät kannanotot ja huomiot on otettu huomioon tämän hallituksen esityksen sisällössä. Lausunnossaan perustuslakivaliokunta piti automatisoituja yksittäispäätöksiä koskevan sääntelyn täsmentämistä edellytyksenä sille, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Lisäksi perustuslakivaliokunta kehotti sosiaali- ja terveysvaliokuntaa kiinnittämään huomiota sairausvakuutuslain 19 luvun 1 §:n 2 momenttia ja väärinkäytösrekisteriä koskeneisiin ehdotuksiin ja selvittämään vielä niitä.

Keskeisin muutos rauenneeseen esitykseen verrattuna on, ettei nyt annettava esitys sisällä automaattisia päätöksiä koskevaa ehdotusta, koska sääntelyn täsmentäminen vaatii tuekseen laajempaa selvitystyötä. Tässä yhteydessä on otettu huomioon se, että perustuslakivaliokunta on lausuntokäytännössään kiinnittänyt myös valtioneuvoston huomiota siihen, että automatisoituun päätöksentekoon vaikuttaa sisältyvän useita hallinnon yleislaeilla nimenomaisesti säätelemättömiä kysymyksiä. Perustuslakivaliokunta on todennut, että asiasta ja oikeusministeriön valmisteluvastuulle kuuluvan hallinnon yleislainsäädännön alan sääntelytarpeesta tulee tehdä selvitys. Selvityksessä on tarkasteltava, millä tavoin automatisoidun hallintomenettelyn ja päätöksenteon sääntely täyttää hallinnon lainalaisuuden, julkisuusperiaatteen ja hyvän hallinnon perusteisiin kuuluvien hallinnon oikeusperiaatteiden asettamia vaatimuksia sekä turvaa oikeusturvan ja virkamiesten virkavastuun asianmukaisen toteutumisen (PeVL 62/2018 vp, PeVL 70/2018 vp).

Tämä hallituksen esitys sisältää rauenneen hallituksen esityksen mukaisen väärinkäytösrekisteriä koskevan ehdotuksen. Ehdotettua sääntelyä voidaan pitää perusoikeuksien kannalta hyväksyttävänä ja oikeasuhtaisena. Ehdotettu sääntely on tarkkarajaista ja täsmällistä sekä perustuslakivaliokunnan lausuntokäytännössä edellytettyjen vaatimusten mukaista. Tähän esitykseen sisältyvä vakuutusyhtiöiden väärinkäytösrekisteriä koskeva ehdotus on tavoitteiltaan ja keskeiseltä sisällöltään samanlainen kuin luotto- ja rahoituslaitosten asiakashäiriörekisteriä koskeva sääntely. Laki luottolaitostoiminnasta annetun lain muuttamiseksi (394/2019) sisältää säännöksen luotto- ja rahoituslaitosten oikeudesta pitää yhteistä asiakashäiriörekisteriä. Lain eduskuntakäsittelyssä talousvaliokunta on ottanut huomioon perustuslakivaliokunnan lausunnon (PeVL 78/2018 vp—HE 52/2018 vp). Talousvaliokunta on lausunnossaan hallituksen esityksestä eduskunnalle laiksi luottolaitostoiminnasta annetun lain muuttamisesta ja eräiksi siihen liittyviksi laeiksi (TaVM 42/2018 vp—HE 100/2018 vp) todennut, että ehdotettu pykälä toimii yhtäältä valtuutuksena rekisterinpitäjälle tietojen tallennukseen ja toisaalta rajoituksena sille, mitä tietoja, millä edellytyksillä ja kuinka kauan saadaan tallentaa. Talousvaliokunta on pitänyt ehdotettua säännöstä tarkoituksenmukaisena ottaen huomioon myös, että tämän lainsäädännön soveltamisalaan kuuluvilla tahoilla on asiakkaan tuntemiseen, asiakkaiden toiminnan seuraamiseen ja toimintaympäristön havainnointiin liittyviä velvoitteita säännöksissä, joilla on tarkoitus estää rahoitusjärjestelmän käyttö rahanpesuun ja terrorismin rahoitukseen.

Oikeutta käsittelyn rajoittamiseen esitetään edelleen rajoitettavaksi tietosuoja-asetuksen 23 artiklan nojalla. Tarkoitus on, että oikeus käsittelyn rajoittamiseen ei tietosuoja-asetuksen myötä tulisi sovellettavaksi tilanteissa, joissa on kyse lakisääteisen sosiaaliturvan toimeenpanosta ja joissa rekisteröidyn vaatimus on ilmeisen perusteeton. Esitetty muutos ei rajoittaisi rekisteröidyn oikeuksia nykytilaan verrattuna. Rajoitus täyttää tietosuoja-asetuksen 23 artiklassa säädetyt edellytykset rekisteröidyn oikeuksien rajoittamiselle. Rajoitus koskisi vain lakisääteistä sosiaaliturvaa ja vain tilanteita, joissa rekisteröity esittää ilmeisen perusteettoman vaatimuksen. Rajoittaminen on välttämätöntä sosiaaliturvan toteuttamisessa, eikä se vaaranna rekisteröityjen oikeusturvaa ja perusoikeuksien ja -vapauksien toteutumista. Rekisteröidyn oikeuden rajaaminen ei poistaisi rekisterinpitäjän velvollisuutta selvittää rekisteröidyn väitettä henkilötietojen paikkansapitävyydestä. Kansallisessa lainsäädännössä on rekisteröidyn oikeusturvan takaamiseksi säädetty muun muassa muutoksenhakuoikeudesta. Rajoitusta voidaan pitää myös suhteellisuus-periaatteen mukaisena, sillä se on välttämätön toimenpide yleisen edun mukaisen tavoitteen takaamiseksi.

Esitys sisältää edelleen myös henkilötietojen luovuttamista koskevia säännöksiä. Esityksessä ehdotettujen tietojenluovutussäännösten perusteella vakuutuslaitoksella olisi oikeus luovuttaa eläkeasian käsittelyyn liittyviä tietoja muun muassa terveydenhuollon ammattihenkilölle tai terveydenhuollon organisaatiolle. Säännösten perusteella voitaisiin luovuttaa myös terveydentilatietoja. Tietojen luovuttaminen on rajattu koskemaan vain tilanteita, joissa tietojen antaminen on välttämätöntä eläkeasian ratkaisemiseksi. Säännösten tarkoituksena on turvata eläkeasian asianmukainen käsittely ilman aiheetonta viivytystä. Henkilötietojen käsittelylle on tietosuoja-asetuksen mukainen oikeudellinen peruste, ja sääntely on täsmällistä ja tarkkarajaista.

Erityisiin henkilötietoihin kuuluvien henkilötietojen käsittelyn osalta esityksessä on tarkoituksena säilyttää nykytila. Esityksessä ei säädetä uusista tai laajennetuista oikeuksista erityisiin henkilötietojen kuuluvien tietojen käsittelyyn. Valmistelun yhteydessä on arvioitu, että säännökset, jotka koskevat erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelyä, täyttävät tietosuoja-asetuksen 9 artiklan 2 kohdan mukaiset edellytykset.

Edellä mainituilla perusteilla lakiehdotukset voidaan käsitellä tavallisessa lainsäätämisjärjestyksessä.