Esityksessä ehdotetaan, että eduskunta hyväksyisi yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen muuttamisesta tehdyn pöytäkirjan siltä osin kuin se kuuluu Suomen toimivaltaan. Pöytäkirjalla muutetaan yleissopimuksen määräyksiä merkittäviltä osin siten, että se vastaa paremmin sisällöllisesti Euroopan unionin tietosuojalainsäädäntöä. Esityksessä ehdotetaan myös, että eduskunta hyväksyisi pöytäkirjan ratifioinnin yhteydessä annettavan selityksen muutetun yleissopimuksen 3 artiklan 1 kohdan sisältämän julkisen sektorin käsitteen tulkinnasta.

Esitykseen sisältyy lakiehdotus yleissopimuksen muuttamisesta tehdystä pöytäkirjasta. Lisäksi esityksessä ehdotetaan muutettaviksi tietosuojalakia ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia.

Pöytäkirja tulee voimaan seuraavan kuukauden ensimmäisenä päivänä, kun on kulunut kolme kuukautta siitä, kun kaikki yleissopimuksen osapuolet ovat ilmaisseet suostumuksensa tulla pöytäkirjan sitomiksi. Jos pöytäkirja ei ole tullut voimaan viiden vuoden kuluttua siitä, kun se avattiin allekirjoitettavaksi, pöytäkirjan voimaantulon edellytyksenä on, että vähintään 38 osapuolta on ratifioinut tai hyväksynyt sen. Pöytäkirjan voimaansaattamista koskeva lakiehdotus on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana. Muut lakiehdotukset on tarkoitettu tulemaan voimaan viimeistään samaan aikaan, kun Suomi tallettaa ratifioimiskirjansa Euroopan neuvoston pääsihteerin huostaan.

1.1 Tausta

Strasbourgissa 28 päivänä tammikuuta 1981 tehty yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (SopS 35—36/1992, jäljempänä tietosuojayleissopimus) tuli kansainvälisesti voimaan 1.10.1985 ja Suomen osalta 1.4.1992. Tietosuojayleissopimusta on täydennetty 8 päivänä marraskuuta 2001 tehdyllä valvontaviranomaisia ja maan rajan yli tapahtuvaa tietojen siirtoa koskevalla lisäpöytäkirjalla (ETS nro 181, SopS 78/2012, jäljempänä lisäpöytäkirja). Eduskunta on hyväksynyt lisäpöytäkirjan lailla 408/2012 ja se tuli Suomen osalta voimaan 1.11.2012 (valtioneuvoston asetus 535/2012).

Euroopan neuvoston puitteissa laadittu tietosuojayleissopimus oli ensimmäinen kansainvälinen juridisesti sitova sopimus henkilötietojen suojasta, ja se on vaikuttanut henkilötietojen suojaa koskevaan lainsäädäntöön Euroopassa merkittävällä tavalla, mukaan lukien Euroopan parlamentin ja neuvoston direktiivi 95/46/EY yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (jäljempänä henkilötietodirektiivi). Tietosuojayleissopimus mahdollistaa Euroopan neuvoston ulkopuolisten valtioiden liittymisen siihen. Sen määräykset tarjoavat minimisuojan henkilötietojen käsittelyssä kaikille sen ratifioineiden valtioiden alueilla oleskeleville henkilöille sekä rajat ylittävissä henkilötietojen siirroissa. Tietosuojayleissopimuksen osapuolilla on velvollisuus sisällyttää kansalliseen lainsäädäntöönsä toimenpiteet, joilla varmistetaan tietosuojaa koskevien perusperiaatteiden noudattaminen. Se koskee kaikkea automaattista henkilötietojen käsittelyä, mukaan lukien henkilötietojen käsittely poliisiyhteistyön ja rikosoikeudellisen yhteistyön alalla. Yleissopimuksen lisäksi Euroopan neuvostossa on annettu myös lukuisia henkilötietojen käsittelyä koskevia suosituksia.

Sopimuksen on ratifioinut 47 Euroopan neuvoston jäsenvaltiota ja kahdeksan Euroopan neuvoston ulkopuolista valtiota on liittynyt siihen (tilanne 13.3.2020). Kaikki Euroopan unionin (EU) jäsenvaltiot ovat yleissopimuksen osapuolia. Lisäpöytäkirjan on ratifioinut tai siihen on liittynyt yhteensä 43 valtiota, mukaan lukien Suomi (tilanne 13.3.2020).

Yleissopimuksen muuttamista koskeva pöytäkirja avattiin allekirjoittamista varten 10 päivänä lokakuuta 2018, jolloin myös Suomi allekirjoitti sen. Pöytäkirjan (ETS nro 223, jäljempänä muutospöytäkirja) on allekirjoittanut 35 valtiota, joista kolme on Euroopan neuvoston ulkopuolisia valtioita (tilanne 13.3.2020). Kolme valtiota on ratifioinut muutospöytäkirjan. Yhdistyneiden Kansakuntien (YK) erityisraportoija yksityisyyden suojaan liittyvissä asioissa on YK:n yleiskokoukselle marraskuussa 2018 antamassaan vuosiraportissa kehottanut kaikkia YK:n jäsenvaltioita liittymään yleissopimukseen. YK:n erityisraportoija on toistanut kehotuksensa YK:n ihmisoikeusneuvostolle maaliskuussa 2019 antamassaan vuosiraportissa, huomioiden yleissopimuksen merkityksen erityisesti kansallisen turvallisuuden alalla. Myös Euroopan neuvosto on pyrkinyt edistämään yleissopimuksen muutospöytäkirjan allekirjoittamista ja ratifioimista. Muutospöytäkirja mahdollistaa EU:n ja muiden kansainvälisten järjestöjen liittymisen yleissopimukseen sen jälkeen, kun pöytäkirja on tullut voimaan. EU ei voi allekirjoittaa eikä ratifioida muutospöytäkirjaa, koska voimassa olevassa tietosuojayleissopimuksessa määrätään, että ainoastaan valtiot ovat sen osapuolia. Yleissopimukseen hyväksyttiin kuitenkin 15 päivänä kesäkuuta 1999 muutos, jonka perusteella Euroopan yhteisöt olisivat voineet liittyä yleissopimukseen sen jälkeen, kun kaikki osapuolet ovat hyväksyneet muutoksen. Tämä muutos ei ole tullut voimaan ja menettää merkityksensä sen jälkeen, kun muutospöytäkirja on tullut voimaan.

1.2 Valmistelu

Pöytäkirjan valmistelu

Tietosuojayleissopimuksen uudistustyö oli osa laajempaa kokonaisuutta, johon kuuluu useita samanaikaisia kansainvälisten tietosuojasäädösten uudistamishankkeita. Uudistustyössä otettiin huomioon OECD:n vuonna 2013 uudistetut ohjeet yksityiselämän suojasta ja rajat ylittävistä henkilötietojen siirroista, Yhdistyneiden Kansakuntien vuoden 1990 ohjeet automaattisen henkilötietojen käsittelyn sääntelystä, EU:n sääntely vuodesta 1995 lähtien, Aasian ja Tyynenmeren alueen taloudelliseen yhteistyöhön liittyvä yksityiselämän suojan sääntely, sekä vuoden 2009 kansainväliset standardit henkilötietojen käsittelyyn liittyvästä yksityiselämän suojasta.

EU:n tietosuojalainsäädännön uudistaminen tapahtui samanaikaisesti tietosuojayleissopimuksen uudistamistyön kanssa. Tietosuojayleissopimuksen ja EU:n tietosuojalainsäädännön välillä on pyritty varmistamaan mahdollisimman pitkälle menevä yhdenmukaisuus. EU:n tietosuojalainsäädäntöä on myös hyödynnetty uudistetun tietosuojayleissopimuksen sisällössä.

Tietosuojayleissopimuksen uudistamisen osalta vallitsi laaja yhteisymmärrys seuraavista näkökohdista: yleissopimuksen määräysten tulisi jatkossakin olla yleisesti sovellettavia ja teknologianeutraaleja; yleissopimuksen johdonmukaisuus ja yhteensopivuus muiden oikeudellisten sääntelykehysten kanssa olisi säilytettävä; ja yleissopimuksen tulisi olla edelleen avoinna liittymistä varten Euroopan neuvoston ulkopuolisille valtioille.

Tietosuojayleissopimuksen 18 artiklalla perustettu neuvoa-antava komitea valmisteli luonnokset yleissopimuksen muutosehdotuksiksi, jotka hyväksyttiin komitean täysistunnossa 27.-30.11.2012 ja toimitettiin Euroopan neuvoston ministerikomitealle. Ministerikomitea asetti ad hoc –tietosuojakomitean (CAHDATA), jolle annettiin tehtäväksi viimeistellä muutosehdotukset. Tämä työ saatiin päätökseen CAHDATA:n kolmannessa kokouksessa 1.-3.12.2014. Avointen kysymysten käsittelemiseksi perustettiin vielä toinen ad hoc –komitea (CAHDATA), joka aloitti työnsä sen jälkeen, kun EU:n tietosuojalainsäädännön uudistaminen oli saatu päätökseen. Viimeinen CAHDATA-kokous pidettiin 15.-16.6.2016, jolloin ehdotukset viimeisteltiin ja annettiin ministerikomitealle käsiteltäväksi ja hyväksyttäväksi.

Ministerikomitea hyväksyi muutospöytäkirjan tekstin 18.5.2018. Muutospöytäkirjan liite on erottamaton osa pöytäkirjaa ja sillä on sama oikeusvaikutus kuin muilla pöytäkirjan määräyksillä.

Kansallinen valmistelu

Yleissopimus ja sen pöytäkirjat kuuluvat EU:n ja jäsenvaltioiden jaettuun toimivaltaan. Toimivalta henkilötietojen käsittelyä koskevan lainsäädännön osalta kuuluu EU:n jäsenvaltioille siltä osin kuin kyse on unionin oikeuden ulkopuolelle jäävään toimintaan liittyvästä henkilötietojen käsittelystä, kuten kansalliseen turvallisuuteen ja puolustukseen liittyvä henkilötietojen käsittely. Toimivallan jakautumista unionin ja jäsenvaltioiden kesken selostetaan tarkemmin jäljempänä kappaleessa 12.1.

Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus, jäljempänä tietosuoja-asetus) ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta (jäljempänä rikosasioiden tietosuojadirektiivi) tulivat voimaan 5.5.2016. Tämä unionin yleisesti sovellettava tietosuojalainsäädäntö sekä sitä täydentävä kansallinen lainsäädäntö ja täytäntöönpanosäädökset muodostaisivat samalla yleissopimuksen muutospöytäkirjan täytäntöönpanolainsäädännön EU:n jäsenvaltioissa, lukuun ottamatta sellaisia oikeudenaloja, joihin liittyvä henkilötietojen käsittely ei kuulu unionin oikeuden soveltamisalaan.

Tietosuoja-asetusta alettiin soveltaa 25.5.2018. Tietosuoja-asetusta täydentävä tietosuojalaki (1050/2018) ja laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä (1054/2018, jäljempänä rikosasioiden tietosuojalaki), jolla pannaan täytäntöön rikosasioiden tietosuojadirektiivi, tulivat voimaan 1.1.2019.

Komissio antoi 19.11.2012 Euroopan unionin neuvostolle suosituksen päätökseksi, jolla valtuutettaisiin komissio käynnistämään neuvottelut yleissopimuksen uudistamisesta. Euroopan unionin neuvosto valtuutti komission 6.6.2013 osallistumaan unionin puolesta neuvotteluihin. Komissio kävi neuvottelut unionin puolesta neuvoston antamien ohjeiden mukaisesti niiden aiheiden osalta, jotka perussopimusten mukaan kuuluvat unionin toimivaltaan. Komissio raportoi neuvottelujen edistymisestä jäsenvaltioille neuvoston tietojenvaihto- ja tietosuojatyöryhmän kautta. Kansallinen EU:n jäsenvaltioiden näkemysten koordinointiin liittyvä valmistelu on suoritettu oikeusministeriössä.

Muutospöytäkirjan tavoitteena on ollut vastata aiempaa paremmin yksityisyyden suojan haasteisiin, jotka aiheutuvat uudenlaisesta informaatio- ja viestintäteknologiasta ja sen lisääntyvästä käytöstä, valtioiden rajat ylittävästä henkilötietojen käsittelystä ja yhä laajamittaisemmista henkilötietojen siirroista. Vahvistetun yleissopimuksen arviointi- ja seurantamekanismin avulla pyritään varmistamaan, että osapuolet noudattavat tietosuojayleissopimuksen vaatimuksia. Samalla muutospöytäkirjassa on pyritty varmistamaan mahdollisimman pitkälti vastaavuus EU:n uudistetun tietosuojalainsäädännön kanssa. Tämä vastasi myös EU:n jäsenvaltioiden pääasiallista neuvottelutavoitetta.

Uudistetun tietosuojayleissopimuksen tarkoituksena on suojata jokaista yksilöä kansalaisuudesta tai asuinpaikasta riippumatta, kun on kyse henkilötietojen käsittelystä, ja siten edistää ihmisoikeuksien ja perusvapauksien ja erityisesti yksityiselämän suojan kunnioittamista.

3.1 Laki yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen muuttamisesta tehdystä pöytäkirjasta

Pöytäkirjan lainsäädännön alaan kuuluvat määräykset ehdotetaan saatettavaksi voimaan sellaisina kuin Suomi on niihin sitoutunut. Voimaansaattamislaissa täsmennettäisiin kuitenkin yleissopimuksen noudattamista valvovat viranomaiset, jotka ovat tietosuojalain mukaisesti tietosuojavaltuutettu ja Ahvenanmaan maakuntalainsäädännön mukaisesti Datainspektionen. Yleissopimuksen mukaista valvontatehtävää ei ole nimenomaisesti säädetty laissa näille viranomaisille.

3.2 Tietosuojalaki

Tietosuojalakiin ehdotetaan lisättäväksi säännökset, joiden nojalla tietosuojavaltuutetun olisi mahdollista ryhtyä tarvittaviin toimenpiteisiin tehokkaan yhteistyön varmistamiseksi yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen määräysten noudattamista valvovien viranomaisten kanssa. Valvontaviranomaisilla olisi erityisesti oikeus vaihtaa tietoja valvontaan liittyen sekä toteuttaa yhteisiä operaatioita. Tietosuojalakia täydennettäisiin henkilötietojen ja muiden tietojen luovuttamisen osalta. Tietosuojalain säännökset eivät sellaisenaan varmuudella riitä kattamaan kaikkia EU:n ulkopuolisten valtioiden viranomaisten kanssa tehtävän yhteistyön muotoja.

3.3 Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä

Muutetun tietosuojayleissopimuksen soveltamisala on laajempi kuin EU-oikeuden soveltamisala, eikä sen soveltamisalaan voi 3 artiklan mukaan tehdä poikkeuksia. Muutetun yleissopimuksen vaatimukset eivät kaikilta osin täyty voimassa olevassa lainsäädännössä. Tämä koskee erityisesti kansalliseen turvallisuuteen ja puolustukseen liittyvää henkilötietojen käsittelyä, joka ei kuulu unionin oikeuden soveltamisalaan. Tietosuojalain soveltamisala on laajennettu koskemaan eräin rajauksin myös sellaista henkilötietojen käsittelyä, joka ei kuulu EU:n tietosuojalainsäädännön soveltamisalaan, ja sellaista käsittelyä, jota jäsenvaltiot suorittavat toteuttaessaan Euroopan unionista tehdyn sopimuksen V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa. Rikosasioiden tietosuojalaki on puolestaan laajennettu koskemaan myös kansalliseen turvallisuuteen ja puolustukseen (kansallisen turvallisuuden ylläpitämiseen) liittyvää henkilötietojen käsittelyä, lukuun ottamatta säännöksiä, joita sovelletaan henkilötietojen siirtoihin kolmansiin maihin ja kansainvälisille järjestöille, sekä eräitä muita säännöksiä, jotka liittyvät EU-oikeuden täytäntöönpanoon.

Muutettu tietosuojayleissopimus ei salli henkilötietojen siirtojen osalta täydellisiä poikkeuksia sääntelystä. Erityisesti riittävää tietosuojan tasoa koskevat vaatimukset koskevat kaikkia henkilötietojen siirtoja yleissopimuksen ulkopuolisiin valtioihin ja kansainvälisille järjestöille, myös silloin, kun henkilötietoja siirretään erityislainsäädännön nojalla. Muutettu tietosuojayleissopimus myös nimenomaisesti edellyttää sen määräysten täytäntöönpanoa lainsäädännössä siinä sallittuja poikkeuksia lukuun ottamatta. Toisaalta yleissopimus sallii EU:n jäsenvaltioiden edelleen soveltavan EU:n tietosuojalainsäädännössä asetettua vaatimusta edellyttää riittävää tietosuojan tasoa kaikkien EU:n ulkopuolisten maiden ja kansainvälisten järjestöjen osalta.

Tässä esityksessä ehdotetaan rikosasioiden tietosuojalain muuttamista siten, että sen 7 lukua sovellettaisiin lähtökohtaisesti kaikkiin henkilötietojen siirtoihin kolmansiin maihin ja kansainvälisille järjestöille, jollei muussa laissa toisin säädetä. Henkilötietojen käsittelystä poliisitoimessa annetun lain (616/2019, jäljempänä poliisin henkilötietolaki) ja henkilötietojen käsittelystä Puolustusvoimissa annetun lain (332/2019, jäljempänä Puolustusvoimien henkilötietolaki) säännökset säilytettäisiin toistaiseksi ennallaan. Näissä laeissa tarkoitettuihin suojelupoliisin ja Puolustusvoimien henkilötietojen luovutuksiin sovellettaisiin siten ehdotettavan voimaansaattamislain myötä sellaisenaan muutetun tietosuojayleissopimuksen määräyksiä, lukuun ottamatta riittävää tietosuojan tasoa koskevia poikkeuksia, joista olisi tarvittaessa säädettävä erikseen. Siihen saakka, kunnes voimaansaattamislaki tulee voimaan, suojelupoliisia ja Puolustusvoimia koskisivat voimassa olevat tietosuojayleissopimuksen määräykset.

Rikosasioiden tietosuojalakiin tehtäisiin lisäksi tietosuojalain muutosta vastaava muutos, jolla huomioitaisiin tietosuojayleissopimuksen edellyttämä valvontaviranomaisten välinen yhteistyö. Ehdotetut säännökset olisivat tarpeen, koska rikosasioiden tietosuojalain 54 §:n säännökset keskinäisestä avunannosta koskevat pelkästään EU:n jäsenvaltioiden valvontaviranomaisia.

3.4 Tulkintaselitys

Esityksellä ehdotetaan hyväksyttäväksi yleissopimuksen 3 artiklan 1 kohtaa koskeva tulkintaselitys, jossa tarkennettaisiin, millä tavalla käsitettä julkinen sektori tulkitaan Suomessa yleissopimusta sovellettaessa. Yleissopimuksen tekstin perustelujen mukaisesti käsitteen merkitys voi vaihdella yleissopimuksen osapuolten oikeusjärjestelmissä. Yleissopimuksen soveltamisesta voisi aiheutua epäselvyyttä erityisesti siltä osin kuin on kyse eduskunnan toimintaan liittyvästä henkilötietojen käsittelystä. Tietosuojayleissopimusta sovellettaisiin esityksen mukaan eduskunnan virastojen suorittamaan henkilötietojen käsittelyyn vastaavasti kuin tietosuoja-asetusta ja tietosuojalakia. Tulkintaselitykseen ehdotettu julkisen sektorin selitys vastaisi tietosuojalain 24 §:n 4 momentin luetteloa viranomaisista ja julkisyhteisöistä, joille ei voida määrätä hallinnollista seuraamusmaksua.

4.1 Vaikutukset viranomaisiin ja yritysvaikutukset

Tietosuojalainsäädännön uudistamisesta on seurannut huomattavia taloudellisia vaikutuksia rekisterinpitäjille sekä julkisella sektorilla että yksityissektorilla. Nämä vaikutukset seuraavat suoraan tietosuoja-asetuksesta, minkä lisäksi vaikutuksia on seurannut EU:n tietosuojalainsäädäntöä täydentävistä yleislaeista, tietosuojalaista ja rikosasioiden tietosuojalaista. Tietosuojayleissopimuksen muutospöytäkirja ei tuo mukanaan uusia velvoitteita rekisterinpitäjille ja henkilötietojen käsittelijöille suhteessa siihen, mitä tietosuoja-asetuksessa, tietosuojalaissa ja rikosasioiden tietosuojalaissa säädetään.

Jossain määrin vaikutusta viranomaisten ja yritysten toimintaan voi kuitenkin syntyä lisääntyvän rajat ylittävän yhteistyön muodossa. Muutospöytäkirjan yhtenä tavoitteena on ollut tietosuojayleissopimuksen sisällöllinen lähentäminen EU:n tietosuojalainsäädännön kanssa. EU:n yleisen tietosuoja-asetuksen V luvussa ja rikosasioiden tietosuojadirektiivin V luvussa säädetään henkilötietojen siirroista kolmansiin maihin tai kansainvälisille järjestöille. EU:n tietosuojalainsäädäntö ja sen täytäntöönpanolainsäädäntö edellyttävät henkilötietojen siirroilta kolmansiin maihin, että vastaanottavassa maassa on joko komission antaman päätöksen mukaisesti todettu riittävä tietosuojan taso, tai henkilötietojen suojaa koskevat muut asianmukaiset oikeudelliset takeet. Pöytäkirjan ratifioiva valtio sitoutuu saattamaan kansallisen lainsäädäntönsä uudistetun yleissopimuksen edellyttämälle tasolle, joka olisi aiempaa lähempänä EU:n tietosuojan tasoa. Muutetun yleissopimuksen myönteistä vaikutusta siirrettävien henkilötietojen suojaan lisännee voimassa olevasta yleissopimuksesta poiketen nimenomainen velvoite sisällyttää siirtoja koskevat vaatimukset lainsäädäntöön. Tällä voidaan arvioida olevan kansainvälistä yhteistyötä edistävää vaikutusta sekä julkisella sektorilla että yksityissektorilla. Toisaalta rekisterinpitäjille voi myös aiheutua hallinnollista taakkaa lisääntyvän yhteistyön myötä, kun tietosuojalainsäädännön vaatimukset on huomioitava kaikissa henkilötietojen siirroissa.

Viranomaisten ja yritysten toimintaan kohdistuviin vaikutuksiin liittyy kuitenkin vielä epävarmuutta niin kauan, kun muutospöytäkirja ei ole tullut voimaan eikä muutetun yleissopimuksen soveltamisesta ole kokemusta. Epävarmuustekijöitä voi liittyä erityisesti siihen, että muutetun yleissopimuksen määräyksiä voidaan joissakin tilanteissa soveltaa EU-oikeuden ja sen kansallisen täytäntöönpanolainsäädännön soveltamisalaan kuuluvien toimien yhteydessä. Muutetun yleissopimuksen määräyksillä voisi olla myös vaikutuksia yhteisesti sovellettavien sääntöjen ulottuvuuteen ja tulkintaan.

Kansallisen turvallisuuden ylläpitämisestä vastaavat viranomaiset

Rikosasioiden tietosuojalaki on Suomessa laajentanut rikosasioiden tietosuojadirektiivin sisältämät säännökset myös osittain koskemaan kansalliseen turvallisuuteen ja puolustukseen liittyvää henkilötietojen käsittelyä.

Rikosasioiden tietosuojalain 1 §:n 2 momentissa tarkoitetut kansallisen turvallisuuden ylläpitämisestä vastaavat viranomaiset ovat poliisi, Rajavartiolaitos ja Puolustusvoimat. Näistä ainoastaan suojelupoliisilla ja Puolustusvoimilla on voimassa olevan erityislainsäädännön mukaan toimivaltuudet luovuttaa henkilötietoja tehtävissä, jotka liittyvät kansallisen turvallisuuden suojaamiseen. Koska suojelupoliisia ja Puolustusvoimia koskevissa erityislaeissa olevat poikkeukset rikosasioiden tietosuojalain 7 luvun ja 10 §:n 2 momentin soveltamiseen säilyisivät ennallaan, esityksellä ei olisi välittömiä vaikutuksia näiden viranomaisten toimintaan.

Tietosuojavaltuutettu

Uudesta EU:n tietosuojalainsäädännöstä ja sitä täydentävästä kansallisesta lainsäädännöstä on aiheutunut taloudellisia ja muita vaikutuksia myös lainsäädännön valvonnasta vastaaville tietosuojavaltuutetulle ja Ahvenanmaan maakuntalainsäädännössä tarkoitetulle valvontaviranomaiselle (Datainspektionen). Ratifioidessaan tietosuojayleissopimuksen muutospöytäkirjan Suomi sitoutuu varmistamaan, että kansalliset viranomaiset valvovat uudistetun tietosuojayleissopimuksen määräysten noudattamista. Suomessa yleissopimuksessa tarkoitettu valvontaviranomainen olisi tietosuojavaltuutettu lukuun ottamatta Ahvenanmaan valvontaviranomaisen toimivaltaan kuuluvia tehtäviä. Ahvenanmaan valvontaviranomaisen osalta on alustavasti arvioitu, että esityksellä ei ole merkittäviä viranomaisen toimintaan kohdistuvia vaikutuksia.

Tietosuojavaltuutetulle arvioidaan aiheutuvan jossain määrin vaikutuksia, koska tietosuojavaltuutettu käytännössä vastaisi suurimmasta osasta kansainvälistä valvontayhteistyötä. Tehtävä ei olisi uusi, vaan tietosuojavaltuutettu on vastannut siitä kumotun henkilötietolain ja yleissopimuksen ja sen lisäpöytäkirjan voimaansaattamislakien nojalla, ja voi jo nykyisellään hoitaa suuren osan valvontatehtävistään tietosuoja-asetuksen ja tietosuojalain nojalla. Kolmansien maiden valvontaviranomaisten kanssa tehtävä yhteistyö edellyttäisi kuitenkin eräiltä osin lainmuutoksia. Tietosuojavaltuutetulle aiheutuisi vaikutuksia erityisesti tarpeista tarkistaa valvontakäytäntöä ja ohjeistusta sekä henkilökunnan perehdytystä yleissopimuksen muutosten ja lainmuutosten huomioimiseksi. Lisäksi tietosuojavaltuutetun toimistolle voisi jossain määrin aiheutua lisätyötä, jos rajat ylittävät henkilötietojen siirrot kolmansiin maihin lisääntyvät muutospöytäkirjan voimaantulon myötä. Tietosuojavaltuutettu valvoo kuitenkin tällaisia siirtoja jo nykyisellään, mukaan lukien kansallisen turvallisuuden ylläpitämiseen ja puolustukseen liittyvät henkilötietojen siirrot kolmansiin maihin ja kansainvälisille järjestöille.

Voimassa olevan lisäpöytäkirjan määräykset valvontaviranomaisten välisestä yhteistyöstä korvataan uudella artiklalla. Yhteistyön muodoista määrätään yksityiskohtaisemmin, ja erityisesti keskinäistä avunantoa ja toimenpiteiden koordinointia tai yhteisiä toimenpiteitä koskevat määräykset voivat lisätä vaiheittain tietosuojavaltuutetun kansainvälistä yhteistyötä sitä mukaa, kun muutospöytäkirja tulee voimaan ja sen osapuoliksi tulee uusia valtioita. Tietosuojavaltuutettu tekee nykyisellään lisäpöytäkirjan nojalla yhteistyötä muiden osapuolten valvontaviranomaisten kanssa, mutta muutettu yleissopimus sisältää määräyksen erityisen valvontaviranomaisten verkoston luomisesta. Muutospöytäkirjan ratifioinnilla ei olisi välittömiä taloudellisia vaikutuksia tietosuojavaltuutetulle, mutta vaikutuksia olisi seurattava pöytäkirjan voimaantuloa seuraavina vuosina.

Tietosuojavaltuutetun tehtävien lisäykset hajautetusti usean säädöshankkeen myötä voisivat myös johtaa kokonaisuutena lisäresurssitarpeisiin, joita on vaikeaa arvioida yksittäisen hankkeen yhteydessä. Tästä ja vaikutuksiin liittyvistä epävarmuustekijöistä johtuen mahdolliset menot olisi katettava valtiontalouden kehyspäätösten ja valtion talousarvioiden mukaisten määrärahojen ja henkilötyövuosimäärien puitteissa.

4.2 Vaikutukset kansalaisten asemaan yhteiskunnassa

Suomi sitoutuu myös siihen, että henkilötietoja ei siirretä Suomesta sellaisten valtioiden tai järjestöjen lainkäyttövaltaan kuuluville alueille, jotka eivät takaa henkilötiedoille riittävää tietosuojaa. Suomella on vastaavat velvoitteet EU:n tietosuojalainsäädännön nojalla. Ottaen huomioon, että Euroopan neuvoston tietosuojayleissopimukseen voivat liittyä Euroopan neuvoston jäsenvaltioiden lisäksi myös sen ulkopuoliset valtiot, muutospöytäkirjan ratifioinneilla on rekisteröityjen yksityishenkilöiden tietosuojaa ja perusoikeuksien suojaa entisestään vahvistavaa vaikutusta.

Aiempaa yhdenmukaisemmat tietosuojaa koskevat vaatimukset eri maiden lainsäädännössä vahvistaisivat myös rekisteröityjen suojaa laajalti, edellyttäen, että osapuolet panevat tarkistetun yleissopimuksen vaatimukset asianmukaisesti täytäntöön. Tarkistetut valvontaviranomaisten toimivaltuudet parantavat rekisteröityjen mahdollisuuksia käyttää oikeuksiaan kolmansissa maissa. Yleissopimuksen komitealle annettavat uudet toimivaltuudet arvioida yleissopimukseen liittyvien valtioiden tietosuojan tasoa ja osapuolten lainsäädäntötoimien tehokkuutta tukevat tavoitetta varmistaa, että osapuolet noudattavat yleissopimuksen vaatimuksia. Pöytäkirjan osapuolena myös Suomi sitoutuu kansainvälisesti siihen, että se pitää lainsäädäntönsä pöytäkirjan määräysten mukaisena.

Riittävää tietosuojan tasoa koskevat vaatimukset ovat luonteeltaan ensisijaisesti yleislakeihin kuuluvaa sääntelyä ja ne sisältyvät tietosuoja-asetuksen V lukuun ja rikosasioiden tietosuojalain 7 lukuun. Rikosasioiden tietosuojalain 7 luvun säännökset eivät koske henkilötietojen siirtoja kolmansiin maihin ja kansainvälisille järjestöille, kun kyse on kansallisen turvallisuuden ylläpitämiseen liittyvästä henkilötietojen käsittelystä. Tällainen yleislaissa tehty poikkeus ei vastaa muutetun tietosuojayleissopimuksen vaatimuksia. Muutospöytäkirjan määräysten riittävän täytäntöönpanon varmistamiseksi on tarkasteltu kolmea vaihtoehtoista sääntelyratkaisua rikosasioiden tietosuojalaissa.

Yhtenä vaihtoehtona on tarkasteltu rikosasioiden tietosuojalain 7 luvun soveltamista koskevan poikkeuksen poistamista mainitusta laista ja samalla erityislakien sisältämien poikkeusten kaventamista. Nykytilasta poiketen rikosasioiden tietosuojalaki olisi tavanomaisen yleislakeja koskevan käytännön mukaisesti saman sisältöinen kaikille sen soveltajille. Rikosasioiden tietosuojalain 7 luvun säännöksiä sovelletaan jo rikosten ennalta estämiseen viranomaisesta riippumatta, samoin rikosten selvittämiseen siltä osin kuin viranomaisilla on näitä koskevia toimivaltuuksia. Rikosasioiden tietosuojalain 2 §:ssä sallittaisiin kuitenkin edelleen lain säännöksistä poikkeaminen muussa laissa. Lain 7 lukua koskevia poikkeuksia on sisällytetty poliisin henkilötietolakiin ja Puolustusvoimien henkilötietolakiin. Näitä poikkeuksia koskevia viittaussäännöksiä olisi mahdollista muuttaa siten, että rikosasioiden tietosuojalaista poiketen sovellettaisiin yksittäisiä 7 luvun säännöksiä tai poikettaisiin sen yksittäisistä säännöksistä. Samalla tarpeettoman päällekkäisen sääntelyn, joka liittyy tietosuojan tason huomioimiseen, voisi poistaa näistä erityislaeista. Vaihtoehto olisi lainsäädäntöteknisesti selkein sääntelyratkaisu.

Toisena vaihtoehtona on tarkasteltu nykytilan säilyttämistä siten, että rikosasioiden tietosuojalain 7 luvun soveltamista koskeva poikkeus poistettaisiin laista, mutta poliisin henkilötietolain ja Puolustusvoimien henkilötietolain vastaavat poikkeukset säilyisivät ennallaan. Yleislakiin sisältyvä poikkeus on tarpeeton, koska vastaava poikkeus sisältyy kyseisiin erityislakeihin. Kun otetaan huomioon, että muutetun yleissopimuksen riittävän tietosuojan tason vaatimukset koskevat kaikkia henkilötietojen siirtoja yleissopimuksen ulkopuolisiin kolmansiin maihin ja kansainvälisille järjestöille, eikä tästä sallita poikkeuksia, erityislakeihin sisältyvän Suomea sitovien kansainvälisten sopimusten huomioon ottamista koskevan vaatimuksen on katsottava tarkoittavan myös tältä osin, että muutetun yleissopimuksen määräykset sitoisivat lainsoveltajia sellaisenaan voimaansaattamislain kautta. Erityislakien säännöksiin liittyy kuitenkin epävarmuutta siitä, riittävätkö ne täyttämään yleissopimuksen vaatimukset, koska riittävän tietosuojan tason osalta erityislakien säännökset eivät vastaa yksityiskohtaisuudeltaan ja tarkkarajaisuudeltaan rikosasioiden tietosuojalain 7 lukua. Sääntelyratkaisu tarkoittaisi myös, että yleissopimuksen sallimat poikkeukset riittävästä tietosuojan tasosta eivät tulisi kansallisen turvallisuuden ylläpitämiseen liittyvän henkilötietojen käsittelyn osalta sovellettavaksi, koska yleissopimus edellyttää, että niistä säädetään nimenomaisesti laissa. Näistä poikkeuksista ei tosin säädetä myöskään tällä hetkellä kansallisen turvallisuuden ylläpitämisen osalta laissa, joten sääntelyratkaisu ei toisi muutosta lainsoveltajille suhteessa nykytilaan.

Kolmantena vaihtoehtona on tarkasteltu rikosasioiden tietosuojalain muuttamista sisällyttämällä siihen 7 luvusta poiketen nimenomaiset kansallisen turvallisuuden ylläpitämiseen sovellettavat säännökset riittävän tietosuojan tason vaatimuksista. Erilliset säännökset voisivat helpottaa lain soveltamista. Tämän sääntelyratkaisun haittana kuitenkin on, että se olisi tavanomaisesta lainkirjoitustavasta poikkeava ja aiheuttaisi epäselvyyttä sekä lain sisäisesti että suhteessa erityislakeihin. Asiasta säädetään jo 7 luvussa, jolloin uudet sisällöltään vastaavat säännökset olisivat lähtökohtaisesti tarpeettomia.

Hallituksen esitys on valmisteltu oikeusministeriössä. Esityksestä on pyydetty lausunnot ulkoministeriöltä, valtiovarainministeriöltä, sisäministeriöltä, puolustusministeriöltä, suojelupoliisilta, Poliisihallitukselta, Rajavartiolaitokselta, Puolustusvoimien pääesikunnalta, tietosuojavaltuutetulta, tiedusteluvalvontavaltuutetulta, eduskunnan oikeusasiamieheltä ja oikeuskanslerilta sekä Ahvenanmaan maakunnan hallitukselta ja Ahvenanmaan tietosuojaviranomaiselta (Datainspektionen). Lausunnot ovat saatavilla valtioneuvoston hankerekisterissä tunnuksella OM018:00/2019.

Lausuntopalautteessa on kiinnitetty erityisesti huomiota esitysluonnoksessa ehdotettuun rikosasioiden tietosuojalain 44 a §:ään sekä ehdotetun pykälän ja erityislainsäädännön suhteeseen. Puolustusministeriöllä ei ollut huomautettavaa pykälän luonnokseen, mutta sisäministeriö ja Suojelupoliisi ehdottivat siihen sisällöllistä muutosta. Puolustusministeriön, sisäministeriön, Suojelupoliisin, oikeuskanslerinviraston, Eduskunnan oikeusasiamiehen kanslian, ja Tiedusteluvalvontavaltuutetun lausuntojen valossa on jatkovalmistelun aikana arvioitu, että sääntelyratkaisua on syytä muuttaa. Valvontaviranomaiset pitivät yleislain ja erityislain suhdetta epäselvänä. Puolustusministeriö piti lausunnossaan tärkeänä, että ehdotetun rikosasioiden tietosuojalain pykälän ja erityislainsäädännön säännösten suhde käy selkeämmin ilmi laista. Esityksessä ehdotetaan, että rikosasioiden tietosuojalain 7 luvun soveltamista koskeva poikkeus poistetaan kyseisestä laista. Erityislainsäädäntö ehdotetaan jätettäväksi toistaiseksi ennalleen. Yleissopimuksen muutokset tulisivat sovellettavaksi suojelupoliisin ja Puolustusvoimien osalta voimaansaattamislain kautta, kun laki tulee voimaan. Vaikka poliisin henkilötietolain ja Puolustusvoimien henkilötietolain säännökset eivät ole yhtä yksityiskohtaisia ja tarkkarajaisia kuin rikosasioiden tietosuojalain 7 luku, sisäministeriö ja puolustusministeriö eivät pitäneet lainsäädäntöään ratifioinnin esteenä.

Ahvenanmaan maakunnan hallituksen näkemyksen mukaan muutospöytäkirjaan sisältyy useilta osin määräyksiä, jotka kuuluvat Ahvenanmaan lainsäädäntövaltaan Ahvenanmaan itsehallintolain (1144/1991) mukaisesti. Muutospöytäkirjan voimaansaattaminen ei kuitenkaan lausunnon mukaan aiheuta muutostarpeita maakunnan lainsäädäntöön. Sen sijaan voimaansaattamislaissa olisi syytä huomioida myös Ahvenanmaan maakuntalainsäädännössä tarkoitettu valvontaviranomainen. Ahvenanmaan maakunnan hallituksen ja Datainspektionen-viranomaisen lausuntojen perusteella esityksen 1. lakiehdotusta on tarkistettu siten, että siitä käy ilmi toimivallan jako kahden valvontaviranomaisen kesken. Lisäksi oikeuskanslerinviraston lausunnon huomioimiseksi lakiehdotukseen on lisätty informatiivinen säännös, jotta lakiehdotus ei anna vaikutelmaa, että tietosuojavaltuutetun toimivaltuudet laajenisivat suhteessa ylimpiin laillisuusvalvojiin.

Tietosuojavaltuutetun lausunnon perusteella esitykseen on lisätty lakiehdotus tietosuojalain muuttamiseksi ja täydennetty rikosasioiden tietosuojalain muuttamista koskevaa lakiehdotusta. Kumpaankin lakiin lisättäisiin säännökset, joiden perusteella tietosuojavaltuutettu voisi toteuttaa tarvittavia toimenpiteitä tehokaan yhteistyön varmistamiseksi yleissopimuksen noudattamista valvovien kolmansien maiden viranomaisten kanssa ja luovuttaa salassa pidettäviä tietoja ehdotettujen säännösten mukaisin edellytyksin.

Esityksen 1. lakiehdotusta on tarkistettu jatkovalmistelun aikana ulkoministeriön näkemyksen huomioimiseksi, mukaan lukien lakiehdotusten voimaantuloa koskevat muutokset ja lainsäädäntötekniset muutokset. Lisäksi esityksen perusteluja on tarkistettu eräiltä osin teknisesti ulkoministeriön lausunnon perusteella.

Euroopan unioni on käyttänyt lainsäädäntövaltaansa jäsenvaltioiden suorittaman henkilötietojen käsittelyn osalta antamalla henkilötietojen käsittelystä säännökset, jotka sisältyvät yleiseen tietosuoja-asetukseen ja rikosasioiden tietosuojadirektiiviin. Henkilötietojen käsittelyä koskevia säännöksiä sisältyy myös muuhun Euroopan unionin lainsäädäntöön, josta osa koskee henkilötietojen käsittelyä jäsenvaltioissa. Euroopan unionin perussopimusten mukaisesti toimivalta Euroopan unionin ja sen jäsenvaltioiden välillä on tietosuojayleissopimuksen ja sen pöytäkirjojen soveltamisalalla luonteeltaan jaettua. Toimivallan jakautumista unionin ja jäsenvaltioiden kesken selostetaan tarkemmin jäljempänä kappaleessa 12.1.

Tietosuojayleissopimuksen määräykset on pantu Suomessa alun perin täytäntöön henkilörekisterilailla (471/1987) ja myöhemmin henkilötietolailla (523/1999), jonka säännökset perustuivat suurimmaksi osaksi henkilötietodirektiiviin. Kumotun henkilötietolain korvaavat yleissopimuksen täytäntöönpanosäädöksinä yleinen tietosuoja-asetus, tietosuojalaki ja rikosasioiden tietosuojalaki. Lisäksi henkilötietojen käsittelyä koskevia säännöksiä sisältyy runsaasti erityislainsäädäntöön, joka sisältää esimerkiksi rekisterisääntelyä, tarkempia erityisten henkilötietoryhmien käsittelyä koskevia säännöksiä ja poikkeuksia rekisteröidyn oikeuksiin. Yleissopimus sisältää henkilötietojen käsittelyä koskevat yleisesti sovellettavat vaatimukset ja perusperiaatteet, jotka on kaikilta osin pantu täytäntöön Suomessa yleislainsäädännöllä. Erityislainsäädännön sisältämien perusperiaatteita koskevien poikkeusten olisi kuitenkin täytettävä yleissopimuksen vaatimukset.

1 artikla. Yleissopimuksen johdanto-osaan tehdään muutokset, joissa korostetaan tarvetta turvata jokaisen ihmisarvo, ihmisoikeuksien ja perusvapauksien suoja ja yksilön oikeus määrätä henkilötiedoistaan ja niiden käsittelystä. Muutetussa johdanto-osassa myös korostetaan tietosuojan yhteiskunnallista ja maailmanlaajuista merkitystä sekä tarvetta sovittaa oikeus henkilötietojen suojaan yhteen muiden ihmisoikeuksien ja perusvapauksien kanssa, mukaan lukien sananvapaus. Lisäksi johdanto-osassa huomioidaan, että yleissopimus mahdollistaa viranomaisen asiakirjojen julkisuusperiaatteen huomioon ottamisen, ja tunnistetaan tarve edistää yksityisyyden kunnioittamista ja henkilötietojen suojaa maailmanlaajuisesti sekä vahvistaa kansainvälistä yhteistyötä osapuolten välillä. Johdanto-osan sanamuotoa myös muutetaan sen mukaisesti, että jatkossa yleissopimukseen voisivat liittyä osapuoliksi valtioiden lisäksi kansainväliset järjestöt.

2 artikla. Yleissopimuksen 1 artiklan sanamuotoa muutetaan siten, että yleissopimuksen tarkoituksena on suojata jokaista yksilöä hänen kansalaisuudestaan tai asuinpaikastaan riippumatta, kun on kyse hänen henkilötietojensa käsittelystä, ja siten edistää hänen ihmisoikeuksiensa ja perusvapauksiensa kunnioittamista ja erityisesti hänen yksityisyyden suojansa kunnioittamista.

3 artikla. Yleissopimuksen 2 artiklan määritelmiä muutetaan. Automaattisesti käsiteltävän rekisterin määritelmä (b alakohta) poistetaan. Automaattisen tietojenkäsittelyn käsite korvataan tietojen käsittelyn käsitteellä, joka tarkoittaa toimintoa tai toimintoja, jotka kohdistetaan henkilötietoihin, kuten tällaisten tietojen keräämistä, tallentamista, säilyttämistä, muuttamista, hakua, luovuttamista, saataville asettamista, poistamista tai hävittämistä tai loogisten ja/tai aritmeettisten toimintojen suorittamista tällaisilla tiedoilla (uusi b alakohta). Lisäksi uuden c alakohdan mukaan, kun tietoja ei käsitellä automaattisesti, “tietojen käsittely” tarkoittaa toimintoa tai toimintoja, jotka kohdistetaan henkilötietoihin osana jäsenneltyä henkilötietoja sisältävää tietojoukkoa, josta tiedot ovat saatavilla tai haettavissa tietyillä perusteilla. Määritelmä poikkeaa vain hieman vastaavasta tietosuoja-asetuksen 4 artiklan 2 kohdan ja rikosasioiden tietosuojalain 3 §:n 1 momentin 2 kohdan määritelmästä, ja määritelmissä luetellut käsittelytoimet ovat esimerkkejä. Myös rekisterinpitäjän määritelmää muutetaan (d alakohta). Uuden määritelmän mukaan rekisterinpitäjä tarkoittaa luonnollista henkilöä tai oikeushenkilöä, viranomaista, laitosta, virastoa tai muuta elintä, jolla on yksin tai yhdessä toisten kanssa toimivalta päättää tietojen käsittelystä. Yleissopimukseen lisätään vastaanottajan (e alakohta) ja henkilötietojen käsittelijän (f alakohta) määritelmät. Rekisterinpitäjän, vastaanottajan ja henkilötietojen käsittelijän käsitteiden määritelmät sisältyvät myös tietosuoja-asetuksen 4 artiklan 7-9 kohtaan ja rikosasioiden tietosuojalain 3 §:n 1 momentin 6-8 kohtaan.

4 artikla. Yleissopimuksen soveltamisalaa koskevaa 3 artiklaa muutetaan. Artiklan 1 kohdan mukaan soveltamisala kattaisi voimassa olevan kohdan tavoin henkilötietojen käsittelyn julkisella ja yksityisellä sektorilla. Soveltamisalaan kuuluu voimassa olevan kohdan mukaan automaattisesti käsiteltävät henkilörekisterit ja henkilötietojen automaattinen käsittely, mutta muutosten myötä yleissopimus kattaisi henkilötietojen käsittelyn laajemmin. Määritelmät sisältävän 2 artiklan b alakohdassa tarkoitettu henkilötietojen käsittely kattaa eräin edellytyksin myös muut henkilörekisterit kuin automaattisin tietojen käsittelykeinoin ylläpidettävät rekisterit. Muutetun 3 artiklan uudessa 2 kohdassa määrätään, että yleissopimusta ei sovelleta sellaiseen tietojen käsittelyyn, jota yksilö suorittaa puhtaasti henkilökohtaisessa tai kotitalouteen liittyvässä toiminnassa. Rajaus vastaa tietosuoja-asetuksen 2 artiklan 2 kohdan c alakohdan rajausta. Yleissopimuksen 3 artiklasta poistetaan 2¬¬6 kohdan määräykset, joiden mukaisesti sopimuspuolet voivat selityksellä laajentaa tai rajoittaa omalta osaltaan yleissopimuksen soveltamisalaa.

Tietosuoja-asetus ja rikosasioiden tietosuojadirektiivi kattavat yleissopimuksen soveltamisalan lukuun ottamatta henkilötietojen käsittelyä, jota sovelletaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan, tai jota suorittavat jäsenvaltiot toteuttaessaan Euroopan unionista tehdyn sopimuksen V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa. Suomessa kuitenkin tietosuojalain ja rikosasioiden tietosuojalain soveltamisalaa on laajennettu siten, että rikosasioiden tietosuojalakia sovelletaan eräin poikkeuksin myös kansallisen turvallisuuden ylläpitämiseen ja puolustukseen liittyvään henkilötietojen käsittelyyn ja tietosuojalain soveltamisalan laajennuksen myötä tietosuoja-asetusta ja tietosuojalakia sovelletaan Suomessa muuhun EU:n tietosuojalainsäädännön ulkopuolelle jäävään henkilötietojen käsittelyyn, lukuun ottamatta tietosuojalain 2 §:n 2 momentissa tarkoitettua eduskunnan valtiopäivätoimintaa.

Eduskunnan valtiopäivätoiminta rajattiin tietosuojalain soveltamisalan ulkopuolelle lain eduskuntakäsittelyn yhteydessä (HaVM 13/2018 vp, s. 7). Perustuslakivaliokunta kiinnitti lausunnossaan (PeVL 14/2018 vp) huomiota siihen, että Suomen valtiojärjestyksen perusteisiin kuuluu Suomen valtiojärjestyksen rakentuminen edustuksellisen demokratian varaan ja eduskunnan asema ylimpänä valtioelimenä. Nämä periaatteet on johdettu perustuslain 2 §:n 1 momentin säännöksestä, jonka mukaan valtiovalta Suomessa kuuluu kansalle, jota edustaa valtiopäiville kokoontunut eduskunta. Tämä ilmenee nimenomaisesti myös perustuslakiuudistuksen perusteluista (HE 1/1998 vp, s. 73). Eduskunnan toiminta voidaan jakaa perustuslaissa ja eduskunnan työjärjestyksessä säänneltyyn valtiopäivätoimintaan ja eduskunnan virastojen suorittamaan hallintotoimintaan. Perustuslakivaliokunnan lausunnon mukaan eduskunnan valtiosääntöinen asema merkitsee myös sitä, ettei eduskunnan valtiopäivätoiminta voi olla ulkopuolisen valvonnan kohteena, vaan eduskunnan toiminnan laillisuusvalvonta on säädetty perustuslaissa tyhjentävästi eduskunnan omien elinten, eduskunnan puhemiehen ja perustuslakivaliokunnan, tehtäväksi. (PeVL 14/2018 vp, s.10-11) Perustuslakivaliokunnan mielestä lähtökohtaista estettä ei ollut sille, että hallintoa koskevat yleislait ulotetaan koskemaan eduskunnan virastoja (PeVL 14/2018 vp, s. 11; PeVL 30/1998 vp, s. 6/II). Valiokunnan mielestä eduskunnan asemesta ylimpänä valtioelimenä ja EU-oikeuden rajatusta soveltamisalasta seurasi kuitenkin, että hallituksen esityksen 1. lakiehdotusta oli muutettava siten, että eduskunnan valtiopäivätoiminta rajataan pois tietosuojalain soveltamisalalta. Tällainen muutos oli edellytyksenä sille, että 1. lakiehdotus voitiin käsitellä tavallisen lain säätämisjärjestyksessä. (PeVL 14/2018 vp, s.11)

Voimassa olevan tietosuojayleissopimuksen perusteluissa (Explanatory Report/ ETS 108) on kiinnitetty huomiota siihen, että yleissopimuksella on merkitystä myös julkisella sektorilla, vaikka suurin osa rajat ylittävistä tiedonsiirroista tapahtuukin yksityissektorilla. Erottelua julkisen sektorin ja yksityissektorin välillä ei käytetä muissa yleissopimuksen määräyksissä siitä syystä, että näillä termeillä voi olla erilainen merkitys eri valtioissa. Perustelujen mukaan erottelulla voi kuitenkin olla merkitystä osapuolten antamien yleissopimuksen soveltamisalaa koskevien selitysten osalta. (Perustelujen kohta 33) Tietosuojayleissopimuksen 3 artiklan perustelut jättävät siten todistusvoimaisten tekstien englanninkielisen termin ”public sector” ja ranskankielisen termin ”secteur public” merkityksen kunkin osapuolen oikeusjärjestelmän varaan. Julkisen sektorin elinten katsotaan esimerkiksi EU-oikeudessa tarkoittavan valtion, alueellisia ja paikallisia viranomaisia sekä muita julkisoikeudella säänneltyjä yhteisöjä. Se, mitä lainsäädäntöä sovelletaan valtiopäivätoimintaan, voi vaihdella osapuolten oikeusjärjestelmissä. Voimassa olevan yleissopimuksen osalta kuitenkin vain kaksi valtiota (Liechtenstein, Sveitsi) on nimenomaisesti selityksellä sulkenut valtiopäivätoiminnan sen soveltamisalan ulkopuolelle. Suomi ei ole voimassa olevan tietosuojayleissopimuksen osalta antanut valtiopäivätoiminnan osalta selitystä. Yleissopimus on sellaisenaan voimassa olevaa oikeutta, eikä myöskään sen täytäntöönpanosäädöksenä kumottu henkilötietolaki sisältänyt tietosuojalain 2 §:n 2 momenttia vastaavaa valtiopäivätoimintaa koskevaa poikkeusta.

Yleissopimuksen soveltamisalaa olisi arvioitava edellä mainitun perustuslakivaliokunnan linjauksen valossa. Tietosuojalain soveltamisalan rajaus tarkoittaa pelkästään valtiopäivätoimintaan eikä eduskunnan virastojen toimintaan liittyvän henkilötietojen rajaamista sen soveltamisalan ulkopuolelle, jolloin tietosuojalain soveltamisalan ulkopuolisten henkilötietojen käsittelytilanteiden voidaan arvioida olevan rajallisia. Myös perustuslakivaliokunnan linjaukselle sovellettavasta lainsäädännöstä olisi annettava merkitystä. Valtiopäivätoimintaan ei sen näkemyksen mukaan voida soveltaa hallintoa koskevia yleislakeja, toisin kuin eduskunnan virastojen hallintoimintaan. Eduskunnan virastoja ovat eduskunnan virkamiehistä annetun lain (1197/2003) 2 §:n 2 momentin mukaan eduskunnan kanslia ja eduskunnan oikeusasiamiehen kanslia sekä eduskunnan yhteydessä olevat valtiontalouden tarkastusvirasto ja kansainvälisten suhteiden ja Euroopan unionin asioiden tutkimuslaitos. Tästä johtuen myös mahdollisen yleissopimuksen soveltamisalaan liittyvän poikkeuksen ala jää kapeaksi siinä tapauksessa, että valtiopäivätoiminnan katsottaisiin kuuluvan julkiseen sektoriin. Yleissopimuksen uudelleen numeroitu 11 artikla sallii poikkeamisen sen määräyksistä muun muassa merkittävän yleisen edun perusteella, mutta poikkeukset voivat kohdistua vain tiettyihin yleissopimuksen määräyksiin, joihin soveltamisalaa koskeva 3 artiklan 1 kohta ei sisälly. Käsitettä ”public sector” voitaneen kuitenkin Suomessa tulkita edellä mainitun yleishallintolakien soveltuvuutta koskevan linjauksen valossa. Ottaen huomioon, että yleissopimuksen sisältö ehdotetaan pantavaksi täytäntöön sekamuotoiseen voimaansaattamislakiin sisältyvällä blankettisäännöksellä, epäselvyyksien välttämiseksi samalla ehdotetaan hyväksyttäväksi yleissopimuksen 3 artiklan 1 kohtaa koskeva tulkintaselitys, jossa täsmennettäisiin, miten käsitettä julkinen sektori tulkitaan Suomessa yleissopimusta sovellettaessa.

Yleissopimuksen sallimien poikkeusten suhdetta lainsäädäntöön selostetaan muilta osin pöytäkirjan 14 artiklan yhteydessä.

5 artikla. Yleissopimuksen II luvun otsikoksi muutetaan ”Henkilötietojen suojaamisen perusperiaatteet”.

6 artikla. Yleissopimuksen 4 artiklan 1 ja 2 kohdan määräyksiä osapuolten lainsäädäntövelvoitteista muutetaan. Muutetun 1 kohdan mukaan osapuolen olisi toteutettava tarvittavat lainsäädäntötoimet kaikkien yleissopimuksen määräysten täytäntöönpanon ja tosiasiallisen soveltamisen varmistamiseksi. Voimassa oleva kohta edellyttää ainoastaan yleissopimuksen sisältämien tietosuojaa koskevien perusperiaatteiden täytäntöönpanoa. Käytännössä muutos laajentaa lainsäädäntövelvoitteita sisällöllisesti siten, että esimerkiksi rajat ylittäviä tiedonsiirtoja koskevat määräykset sisältyvät nimenomaisen täytäntöönpanovelvoitteen piiriin. Yleissopimuksen täytäntöönpanon edellyttämän lainsäädännön on voimassa olevan 2 kohdan mukaan tultava voimaan viimeistään, kun yleissopimus tulee voimaan kyseessä olevan osapuolen osalta. Muutetun 2 kohdan mukaan osapuolten on toteutettava lainsäädäntötoimet siihen mennessä, kun ne ratifioivat yleissopimuksen tai liittyvät siihen. Tällä olisi merkitystä erityisesti asiasisältöisten täytäntöönpanosäännösten soveltamisen kannalta. Artiklaan lisätään uusi 3 kohta, jonka mukaan osapuolet sitoutuvat sallimaan sen, että VI luvussa tarkoitettu yleissopimuksen komitea arvioi niiden lainsäädäntötoimien tehokkuuden, jotka osapuoli on toteuttanut saattaakseen yleissopimuksen määräykset voimaan (a alakohta). Osapuolet myös sitoutuvat myötävaikuttamaan aktiivisesti arviointiprosessiin (b alakohta). Myötävaikuttamisella tarkoitettaisiin esimerkiksi yleissopimuksen soveltamista koskevien raporttien antamista tai tarvittavien tietojen antamista muussa muodossa arviointiprosessia varten. Yleissopimuksen uuden 11 artiklan 3 kohdasta seuraa kuitenkin, että osapuolen ei edellytettäisi antavan salassa pidettäviä tietoja yleissopimuksen komitealle.

7 artikla. Yleissopimuksen 5 artiklan määräyksiä henkilötietojen käsittelyn oikeutuksesta täydennetään ja artiklan otsikko muutetaan muotoon ”Tietojen käsittelyn oikeutus ja tietojen laatu”.

Artiklaan lisätään uusi 1 kohta, jonka mukaan tietojen käsittelyn on oltava oikeasuhteista tavoiteltavaan oikeutettuun päämäärään nähden, ja sen on kaikissa vaiheissaan oltava oikeudenmukaisessa tasapainossa toisaalta kaikkien asiaan liittyvien julkisten tai yksityisten etujen ja toisaalta suojattavien oikeuksien ja vapauksien välillä. Artiklan 1 kohta on osittain päällekkäinen uuden 4 kohdan c alakohdan siten, että kumpikin koskee käsittelyn oikeasuhteisuuden periaatetta. Vastaavat käsittelyn oikeasuhteisuutta koskevat vaatimukset sisältyvät tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohtaan ja 6 artiklan 3 ja 4 kohtaan sekä rikosasioiden tietosuojalain 6 §:n 1 momenttiin.

Artiklaan lisätään uusi 2 kohta, jonka mukaan osapuolet varmistavat, että tietoja voidaan käsitellä rekisteröidyn vapaan, nimenomaisen, tietoon perustuvan ja yksiselitteisen suostumuksen perusteella tai jollakin muulla oikeutetulla, lailla säädetyllä perusteella. Tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetään henkilötietojen käsittelyn perusteista, joista yksi on rekisteröidyn antama suostumus. Suostumuksen edellytyksistä säädetään tietosuoja-asetuksen 7 artiklassa. Rikosasioiden tietosuojalaissa ei säädetä suostumuksesta henkilötietojen käsittelyn edellytyksenä, vaan käsittelyn edellytyksenä on lain 4 §:n mukaisesti kaikissa tilanteissa se, että käsittely on tarpeen laissa toimivaltaiselle viranomaiselle säädetyn, lain soveltamisalaan kuuluvan tehtävän suorittamiseksi.

Artiklaan lisätään uudet 3 ja 4 kohta, jotka tarkentavat voimassa olevan artiklan a ja b alakohdan määräyksiä henkilötietojen käsittelyn laillisuusvaatimuksesta ja käyttötarkoitussidonnaisuudesta. Artiklan 3 kohdan mukaan käsiteltäviä henkilötietoja on käsiteltävä lain mukaisesti.

Artiklan 4 kohdan a alakohdassa määrätään henkilötietojen käsittelyn oikeudenmukaisuuden ja läpinäkyvyyden periaatteesta. Kohdan b alakohdan mukaan henkilötietoja kerätään tiettyihin, nimenomaisiin ja laillisiin tarkoituksiin, eikä niitä saa käsitellä näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä yleisen edun mukaista arkistointia, tieteen tai historian tutkimusta tai tilastointia varten pidetään alkuperäisten tarkoitusten kanssa yhteensopivana, jos asianmukaisia takeita noudatetaan. Määräykset vastaavat tietosuoja-asetuksen 5 artiklan 1 kohdan a ja b alakohtaa ja rikosasioiden tietosuojalain 5 §:n säännöksiä. Tietosuoja-asetuksen 6 artiklan 4 kohdassa säädetään tarkemmin myöhemmän yhteensopivan käsittelyn kriteereistä. Uuden 4 kohdan c-e alakohta vastaavat asiasisällön osalta voimassa olevan artiklan c-e alakohtaa.

8 artikla. Yleissopimuksen 6 artiklan määräyksiä erityisistä tietoryhmistä muutetaan. Muutetun1 kohdan mukaisesti siinä lueteltujen henkilötietojen käsittely on sallittua vain, jos lailla on säädetty asianmukaisista suojatoimista, jotka täydentävät yleissopimuksen mukaisia suojatoimia. Suojatoimista säätämistä koskeva vaatimus sisältyy jo voimassa olevaan artiklaan, mutta erityisiä tietoryhmiä täydennetään siten, että rikosoikeudellisiin tuomioihin rinnastetaan rikoksiin ja rikosoikeudenkäynteihin sekä turvaamistoimiin liittyvät tiedot, ja artiklaan lisätään biometriset tiedot, joiden avulla henkilö on yksiselitteisesti tunnistettavissa, geneettiset tiedot ja ammattiyhdistyksen jäsenyyden ilmaisevat henkilötiedot. Uuden 2 kohdan mukaan artiklassa tarkoitettujen suojatoimien on suojattava niiltä riskeiltä, joita arkaluonteisten tietojen käsittely voi aiheuttaa rekisteröidyn eduille, oikeuksille ja perusvapauksille, erityisesti syrjinnän riskiltä. Muutettua yleissopimuksen 6 artiklaa vastaavat säännökset sisältyvät tietosuoja-asetuksen 9 ja 10 artiklaan sekä rikosasioiden tietosuojalain 11 §:ään. Rikosasioiden tietosuojalain soveltamisalasta johtuen siinä ei kuitenkaan rinnasteta tietosuoja-asetuksen 10 artiklassa tarkoitettuja tietoja erityisiin henkilötietoryhmiin.

9 artikla. Yleissopimuksen 7 artiklaa muutetaan. Muutetun 1 kohdan sisältö vastaa pääosin voimassa olevaa artiklaa, jossa määrätään tietoturvallisuuteen liittyvistä turvatoimia koskevista vaatimuksista. Muutetun kohdan mukaan vaatimukset koskevat rekisterinpitäjän lisäksi tapauksen mukaan myös henkilötietojen käsittelijää. Vastaavat vaatimukset sisältyvät tietosuoja-asetuksen 32 artiklaan ja rikosasioiden tietosuojalain 31 §:ään.

Artiklaan lisätään uusi 2 kohta, jonka mukaan osapuolet varmistavat, että rekisterinpitäjä ilmoittaa viipymättä ainakin yleissopimuksen 15 artiklassa tarkoitetulle toimivaltaiselle valvontaviranomaiselle sellaisista tietoturvaloukkauksista, jotka voivat vakavasti loukata rekisteröityjen oikeuksia ja perusvapauksia. Vastaava vaatimus sisältyy tietosuoja-asetuksen 33 artiklaan ja rikosasioiden tietosuojalain 34 §:ään.

10 artikla. Yleissopimukseen lisätään uusi 8 artikla, joka koskee tietojen käsittelyn läpinäkyvyyttä. Artikla sisältää rekisteröityjen informointiin liittyvät velvoitteet. Artiklan 1 kohta sisältää pääsäännön, jonka mukaan sopimusosapuolten tulee varmistaa, että rekisterinpitäjillä on velvollisuus ilmoittaa rekisteröidyille kyseisessä kohdassa luetellut tiedot sekä tarvittavat lisätiedot oikeudenmukaisen ja läpinäkyvän käsittelyn varmistamiseksi. Vaatimusta ei sovelleta, jos rekisteröidyllä on jo kyseiset tiedot (2 kohta). Artiklan 3 kohta sallii rekisterinpitäjän vaatimukseen poikkeuksen silloin, kun henkilötietoja ei kerätä suoraan rekisteröidyiltä, jos tietojen käsittelystä säädetään nimenomaisesti lailla tai ilmoittaminen osoittautuu mahdottomaksi tai edellyttää kohtuutonta vaivaa. Artiklaa vastaava sääntely sisältyy suureksi osaksi tietosuoja-asetuksen 12-14 artiklaan ja rikosasioiden tietosuojalain 22 §:ään, mutta erityisesti tietosuoja-asetuksen sääntely on yksityiskohtaisempaa ja sisältää rakenteellisia eroja verrattuna yleissopimuksen artiklaan. Yleissopimuksen 11 artiklan 1 kohta sallii poikkeuksen 8 artiklan 1 kohdasta rekisterinpitäjän hallinnollisen taakan keventämiseksi, edellyttäen, että poikkeuksella ei puututa rekisteröidyn perustavaa laatua olevaan oikeuteen saada pääsy itseään koskeviin tietoihin ja poikkeuksesta säädetään laissa, siinä huomioidaan oleellisin osin perusoikeuksien suoja ja se on välttämätön ja oikeasuhteinen.

11 artikla. Nykyinen 8 artikla numeroidaan uudelleen 9 artiklaksi ja sen otsikoksi muutetaan ”Rekisteröidyn oikeudet”. Artiklan sisältö korvataan uudella tekstillä.

Artiklan 1 kohdan a alakohta korvataan uudella alakohdalla, jonka mukaan jokaisella yksilöllä on oikeus joutumatta sellaisen päätöksen kohteeksi, joka vaikuttaa häneen merkittävästi ja joka perustuu yksinomaan automaattiseen tietojenkäsittelyyn hänen näkemyksiään huomioon ottamatta. Artiklan 2 kohdan mukaan 1 kohdan a alakohtaa ei sovelleta, jos päätös on rekisterinpitäjään sovellettavan lainsäädännön mukaan sallittu ja jos tässä lainsäädännössä myös säädetään sopivista toimista rekisteröidyn oikeuksien, vapauksien ja oikeutettujen etujen turvaamiseksi. Uutta artiklaa vastaavat säännökset sisältyvät tietosuoja-asetuksen 22 artiklaan ja rikosasioiden tietosuojalain 13 §:ään. Tietosuoja-asetuksen 22 artikla kuitenkin mahdollistaa poikkeamisen myös muilla perusteilla, joita ovat välttämättömyys rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemiseksi ja rekisteröidyn nimenomainen suostumus. Rikosasioiden tietosuojalain 13 §:ään sisältyy mahdollisuus poiketa kiellosta lailla säätämällä.

Artiklan 1 kohdan b alakohdassa määrätään yksilön oikeudesta saada pyynnöstä kohtuullisin väliajoin ja ilman kohtuuttomia viivästyksiä ja kuluja vahvistus henkilötietojensa käsittelystä, ilmoitus käsitellyistä henkilötiedoista ymmärrettävässä muodossa, kaikki käytettävissä olevat tiedot kyseisten henkilötietojen sisällöstä, alkuperästä ja säilytysajasta sekä muut tiedot, jotka rekisterinpitäjän on annettava varmistaakseen tietojen käsittelyn läpinäkyvyyden 8 artiklan 1 kohdan mukaisesti. Uuden alakohdan sisältämät määräykset vastaavat pääsääntöjen osalta voimassa olevaa b alakohtaa, mutta ne ovat yksityiskohtaisemmat.

Uuden 1 kohdan c alakohdan mukaan yksilöllä on oikeus saada pyynnöstä tietää henkilötietojen käsittelyn perusteet, jos käsittelyn tuloksia sovelletaan häneen. Vastaava vaatimus sisältyy tietosuoja-asetuksen 13–15 artiklaan ja rikosasioiden tietosuojalain 22 ja 23 §:ään.

Uuden 1 kohdan d alakohdan mukaan yksilöllä on oikeus vastustaa henkilökohtaiseen tilanteeseensa liittyvillä perusteilla milloin tahansa henkilötietojensa käsittelyä, jollei rekisterinpitäjä osoita henkilötietojen käsittelylle oikeutettuja perusteita, jotka syrjäyttävät kyseisen yksilön edun tai oikeudet ja perusvapaudet. Tietosuoja-asetuksen 21 artiklaan sisältyy vastaava säännös, jonka nojalla rekisteröidyllä on pääsääntöisesti oikeus erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa käsittelyä, joka perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan e tai f alakohtaan. Yleissopimuksen mukaisen poikkeuksen lisäksi tietosuoja-asetuksen nojalla oikeudesta voi poiketa myös silloin, kun käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Vastustamisoikeutta ei tietosuoja-asetuksen mukaisesti kuitenkaan ole esimerkiksi silloin, käsittely on 6 artiklan 1 kohdan c alakohdan tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Toisaalta tietosuoja-asetuksen 22 artiklan nojalla rekisteröidyllä on aina oikeus vastustaa käsittelyä suoramarkkinointia ja siihen liittyvää profilointia varten.

Soveltamisalansa vuoksi rikosasioiden tietosuojalakiin ei sisälly oikeutta vastustaa henkilötietojen käsittelyä. Yleissopimuksen 11 artiklan 1 kohdan a alakohdan nojalla rekisteröidyn vastustamisoikeudesta voidaan poiketa muun muassa silloin, kun oikeutta on tarpeen rajoittaa kansalliseen turvallisuuteen, puolustukseen, yleiseen turvallisuuteen tai rikoksen ennalta estämiseen tai selvittämiseen taikka syytetoimiin ja rangaistusten täytäntöönpanoon liittyvistä syistä edellyttäen, että poikkeuksesta säädetään lailla, siinä kunnioitetaan perusoikeuksia ja vapauksia olennaisilta osin, ja poikkeus on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimi. Rikosasioiden tietosuojalain nojalla rekisteröidyllä on kuitenkin käytettävissään muita oikeuksia, mukaan lukien oikeus virheellisten henkilötietojen oikaisemiseen tai lainvastaisesti käsiteltyjen henkilötietojen poistamiseen, sekä lain 9 luvussa säädetyt oikeusturvakeinot. Vastustamisoikeuden puuttumista rikosasioiden tietosuojalaissa voidaan pitää yleissopimuksen 11 artiklan 1 kohdan a alakohdan mukaisena poikkeuksena.

Voimassa olevan artiklan c ja d alakohta korvataan uusilla e ja f alakohdalla, jotka pääsäännön osalta vastaavat voimassa olevia kohtia. Uuden 1 kohdan e alakohdan mukaan yksilöllä on oikeus saada pyynnöstä maksutta ja ilman kohtuutonta viivästystä henkilötietonsa tapauksen mukaan oikaistuiksi tai poistetuiksi, jos niitä käsitellään tai on käsitelty yleissopimuksen määräysten vastaisesti. Vastaava vaatimus tietojen oikaisusta tai poistamisesta sisältyy tietosuoja-asetuksen 16 ja 17 artiklaan ja rikosasioiden tietosuojalain 25 §:ään. Tietosuoja-asetuksen 12 artiklan 5 kohdassa säädetään muun muassa 16 ja 17 artiklan mukaisten toimenpiteiden maksuttomuudesta. Myös rikosasioiden tietosuojalain 30 §:n 2 momentissa säädetään rekisteröidyn pyyntöjen käsittelyn maksuttomuudesta, joka ei rajoitu pelkästään henkilötietojen oikaisua ja poistamista koskeviin pyyntöihin. Sekä tietosuoja-asetuksen että rikosasioiden tietosuojalain nojalla voidaan periä maksu, jos pyynnöt ovat toistuvia tai muusta syystä ilmeisen kohtuuttomia tai perusteettomia. Yleissopimuksen 11 artiklan 1 kohta sallii oikeasuhteisen poikkeuksen maksuttomuutta koskevaan vaatimukseen.

Uuden 1 kohdan f alakohdan mukaan jokaisella yksilöllä on oikeus käyttää 12 artiklassa tarkoitettua oikeussuojakeinoa, jos hänen yleissopimuksella määrättyjä oikeuksiaan on loukattu. Tietosuoja-asetuksen VIII luvussa säädetään oikeudenloukkauksiin sovellettavista oikeussuojakeinoista, joita täydentävät tietosuojalain 4 luvussa säädetyt oikeusturvaa ja seuraamuksia koskevat säännökset. Rikosasioiden tietosuojalain 9 luvussa säädetään oikeusturvasta ja 60 §:ssä vahingonkorvauksesta.

Artiklan 1 kohdan g alakohdan mukaan jokaisella yksilöllä on oikeus saada kansalaisuudestaan ja asuinpaikastaan riippumatta 15 artiklassa tarkoitetulta valvontaviranomaiselta apua yleissopimuksen mukaisten oikeuksiensa käyttämisessä. Tietosuoja-asetuksen 57 artiklan 1 kohdan e alakohdan mukaan kansallisella valvontaviranomaisella on velvollisuus pyynnöstä antaa rekisteröidyille tietoa heille kuuluvien oikeuksien käytöstä. Vastaava säännös sisältyy rikosasioiden tietosuojalain 46 §:n 1 momentin 3 kohtaan. Tietosuoja-asetuksen 58 artiklan 2 kohdan c alakohdan ja rikosasioiden tietosuojalain 51 §:n 5 kohdan nojalla tietosuojavaltuutettu voi määrätä rekisterinpitäjän tai henkilötietojen käsittelijän noudattamaan rekisteröidyn pyyntöjä, jotka koskevat tämän oikeuksien käyttöä. Jos rekisteröidyn tietosuoja-asetuksen 15 artiklan mukaista oikeutta tutustua hänestä kerättyihin tietoihin on rajoitettu tietosuojalain 34 §:n nojalla, tiedot on annettava tietosuojavaltuutetulle rekisteröidyn pyynnöstä pykälän 4 momentin mukaisesti. Rikosasioiden tietosuojalain 29 §:ssä säädetään oikeuksien käyttämisestä tietosuojavaltuutetun välityksellä. Tietosuojavaltuutetun toimivaltuuksia ei ole sidottu rekisteröidyn asuinpaikkaan. Euroopan unionin perusoikeuskirjan 21 artiklan 2 kohta ja perustuslain 6 §:n 2 momentti kieltävät kansalaisuuteen perustuvan syrjinnän.

12 artikla. Yleissopimukseen lisätään uusi 10 artikla, joka koskee osapuolten muita velvoitteita.

Artiklan 1 kohta koskee rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuutta toteuttaa kaikki asianmukaiset toimet noudattaakseen yleissopimuksen velvoitteita ja pystyäkseen osoittamaan, että velvoitteita on noudatettu. Kohdan määräykset vastaavat tietosuoja-asetuksen 24 artiklan 1 ja 2 kohtaa ja 28 artiklan 1 kohtaa sekä rikosasioiden tietosuojalain 14 §:ää ja 17 §:n 1 momenttia.

Artiklan 2 kohdassa asetetaan osapuolille velvollisuus varmistaa, että rekisterinpitäjät ja tapauksen mukaan henkilötietojen käsittelijät selvittävät aiotun henkilötietojen käsittelyn todennäköisen vaikutuksen rekisteröityjen oikeuksiin ja perusvapauksiin ennen kuin käsittely aloitetaan, ja suunnittelevat henkilötietojen käsittelyn siten, että näiden oikeuksien ja perusvapauksien loukkaamisen riski estetään tai minimoidaan. Vaikutustenarviointia koskevat vaatimukset sisältyvät tietosuoja-asetuksen 35 artiklaan ja rikosasioiden tietosuojalain 20 §:ään.

Artiklan 3 kohdan mukaan osapuolet varmistavat, että rekisterinpitäjät ja tapauksen mukaan henkilötietojen käsittelijät toteuttavat tekniset ja organisatoriset toimet, joissa otetaan huomioon se, miten oikeus henkilötietojen suojaan vaikuttaa kaikissa tietojen käsittelyn vaiheissa. Pöytäkirjan perustelujen mukaan sisäänrakennetun tietosuojan periaate olisi otettava huomioon mahdollisimman varhaisessa henkilötietojen käsittelyn vaiheessa eli mahdollisuuksien mukaan jo suunniteltaessa käsittelyn teknisiä ja organisatorisia ratkaisuja. Henkilötietojen käsittelyn suunnittelussa pitäisi pyrkiä helppokäyttöisiin ratkaisuihin, jotka edistävät lainsäädännön noudattamista. Säännökset sisäänrakennetusta ja oletusarvoisesta tietosuojasta sisältyvät tietosuoja-asetuksen 25 artiklaan ja rikosasioiden tietosuojalain 15 §:ään.

Artiklan 4 kohdan mukaan osapuolet voivat lainsäädännössään mukauttaa 1–3 kohdan määräyksiä vastaamaan käsiteltävien tietojen luonnetta ja määrää ja tietojen käsittelyn luonnetta, laajuutta ja tarkoitusta sekä tapauksen mukaan rekisterinpitäjän tai henkilötietojen käsittelijän kokoa. Tietosuoja-asetuksen 25 artiklan 1 kohta ja rikosasioiden tietosuojalain 15 §:n 1 momentti sisältävät rekisterinpitäjälle asetetun velvollisuuden huomioida käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä riskit rekisteröidyn oikeuksille suojatoimenpiteitä toteuttaessaan, mutta ne eivät sisällä joustoa rekisterinpitäjän tai henkilötietojen käsittelyn osalta.

13 artikla. Yleissopimuksen 9–12 artikla numeroidaan uudelleen 11–14 artiklaksi.

14 artikla. Artiklan mukaan yleissopimuksen uudelleen numeroidun 11 artiklan määräykset korvataan uusilla. Artikla koskee sallittuja poikkeuksia yleissopimuksen soveltamisalaan.

Artiklan 1 kohdan mukaan poikkeukset ovat sallittuja yleissopimuksen 5 artiklan 4 kohtaan (henkilötietojen käsittelyn läpinäkyvyys ja periaatteet), 7 artiklan 2 kohtaan (tietoturvaloukkauksista ilmoittaminen valvontaviranomaiselle), 8 artiklan 1 kohtaan (rekisteröidyn informointivelvollisuus) ja 9 artiklaan (rekisteröidyn oikeudet), kun on kyse kansallisen turvallisuuden, puolustuksen, yleisen turvallisuuden, merkittävien valtion taloudellisten intressien, tuomioistuinten riippumattomuuden ja puolueettomuuden tai rikoksen ennalta estämisen tai selvittämisen, syytetoimien tai rikosoikeudellisten seuraamusten täytäntöönpanon taikka muiden yleisen edun mukaisten oleellisten tavoitteiden turvaamisesta (a alakohta). Poikkeukset ovat sallittuja myös silloin, kun on kyse rekisteröidyn tai muiden perusoikeuksien suojaamisesta, erityisesti sananvapauden suojaamisesta (b alakohta). Poikkeuksen muodostavilta toimenpiteiltä edellytetään, että niistä säädetään laissa ja että ne ovat demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia. Välttämättömyydellä tarkoitetaan, että poikkeuksella on oikeutettu päämäärä, jota ei voida saavuttaa keinoilla, jotka puuttuvat yksityiselämän suojaan vähemmän. Muutetun yleissopimuksen 11 artiklan mukaisten poikkeusten välttämättömyyttä olisi arvioitava tapauskohtaisesti ja yleiseen etuun liittyvien oleellisten tavoitteiden mukaisesti. (Perusteluosan 91 ja 93 kohta)

Kansallisen turvallisuuden käsitettä olisi tulkittava asiaan liittyvän Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti (perusteluosan 94 kohta). Asian kannalta merkityksellinen oikeuskäytäntö liittyy erityisesti valtion turvallisuuden ja demokratian suojaamiseen vakoilulta, terrorismilta sekä terrorismin ja separatismin tukemiselta. Kun kyse on kansalliseen turvallisuuteen liittyvistä poikkeuksista, vallan väärinkäyttöä vastaan on varmistettava suojatoimet.

Euroopan unionin tietosuojalainsäädäntöä ei sovelleta kansalliseen turvallisuuteen ja puolustukseen liittyvään henkilötietojen käsittelyyn. Euroopan neuvoston tietosuojayleissopimuksen soveltamisala on laajempi ja kattaa myös tällaisen henkilötietojen käsittelyn. Myös mahdollisten poikkeusten olisi pysyttävä yleissopimuksen sallimissa rajoissa.

Tietosuoja-asetuksessa ja rikosasioiden tietosuojalaissa ei poiketa henkilötietojen käsittelyä koskevista periaatteista. Henkilötietojen alkuperäisen käyttötarkoituksen kanssa yhteensopivasta henkilötietojen käsittelystä säädetään tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa ja 6 artiklan 4 kohdassa sekä rikosasioiden tietosuojalain 5 §:ssä. Poikkeuksista alkuperäiseen käyttötarkoitukseen säädetään tarkemmin erityislainsäädännössä. Tietoturvaloukkauksista ilmoittamista valvontaviranomaiselle koskeva ehdoton velvollisuus on rajattu tietosuoja-asetuksen 33 artiklassa ja rikosasioiden tietosuojalain 34 §:ssä koskemaan yleissopimuksen 7 artiklan 2 kohdan tavoin tilanteita, joista aiheutuisi vaaraa rekisteröidyn oikeuksille. Tietosuoja-asetuksen 23 artiklaan sisältyvät perusteet, joilla rekisteröidyn oikeuksia voidaan rajoittaa lainsäädäntötoimenpiteellä. Rajoitusperusteet vastaavat pitkälti yleissopimuksen mukaisia poikkeusperusteita. Lisäksi tietosuoja-asetuksen 23 artiklassa säädetään lainsäädäntötoimenpiteitä koskevista edellytyksistä. Tietosuojalain 33 §:ssä säädetään poikkeuksista tietosuoja-asetuksen 13 ja 14 artiklan mukaiseen velvollisuuteen toimittaa tietoja rekisteröidylle. Tietosuojalain 34 §:ssä säädetään rajoituksista tietosuoja-asetuksen 15 artiklan mukaiseen rekisteröidyn oikeuteen tutustua hänestä kerättyihin tietoihin. Rikosasioiden tietosuojalain 24 §:ssä säädetään rekisteröidyn tarkastusoikeuden rajoituksista, minkä lisäksi 28 §:ssä säädetään yleisemmin perusteista, joilla rekisteröidyn oikeuksia voidaan rajoittaa. Erityislainsäädäntöön sisältyy myös rajoituksia ja poikkeuksia rekisteröidyn oikeuksiin.

Yleissopimuksen uudelleen numeroidun 11 artiklan 2 kohta mahdollistaa soveltamisen rajoitukset yleisen edun mukaista arkistointia, tieteen tai historian tutkimusta tai tilastointia varten, jollei ole tunnistettavissa rekisteröidyn oikeuksien ja perusvapauksien loukkaamisen riskiä. Tällaisiin tarkoituksiin suoritettavaa henkilötietojen käsittelyä pidetään tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaisesti alkuperäisen henkilötietojen käsittelyn kanssa yhteensopivana käsittelynä. Tietosuoja-asetuksen 89 artiklassa säädetään tällaista käsittelyä koskevista suojatoimista sekä sallituista poikkeuksista, joista voidaan säätää kansallisessa laissa. Poikkeuksista ja suojatoimista säädetään tarkemmin tietosuojalain 31 ja 32 §:ssä. Rikosasioiden tietosuojalain 5 §:n 3 momentissa sallitaan lain soveltamisalalla yleisen edun mukaista arkistointia taikka tieteellistä, tilastollista tai historiallista tarkoitusta varten suoritettava henkilötietojen käsittely edellyttäen, että rekisteröidyn oikeuksia koskevat asianmukaiset suojatoimenpiteet on toteutettu.

Artiklan 3 kohdan mukaan, kun kyse on kansallisen turvallisuuden ja puolustuksen tarkoituksiin liittyvästä henkilötietojen käsittelystä, yleissopimuksen osapuolet voivat säätää lailla poikkeuksia myös 4 artiklan 3 kohdasta (velvollisuus sallia sopimusta koskevien lainsäädäntötoimien tehokkuuden arviointi ja velvollisuus myötävaikuttaa aktiivisesti arviointiin), 14 artiklan 5 ja 6 kohdasta (valvontaviranomaisen tiedonsaantioikeus rajat ylittävistä henkilötietojen siirroista) sekä 15 artiklan 2 kohdan a, b, c ja d alakohdasta (eräät valvontaviranomaisen toimivaltuudet). Poikkeus on sallittu kuitenkin ainoastaan siltä osin kuin tämä on välttämätön ja oikeasuhteinen toimi tämän päämäärän saavuttamiseksi demokraattisessa yhteiskunnassa. Kunkin osapuolen on joka tapauksessa varmistettava, että kansalliseen turvallisuuteen ja puolustustarkoituksiin liittyvää tietojenkäsittelytoimintaa arvioidaan ja valvotaan riippumattomasti ja tehokkaasti osapuolen kansallisen lainsäädännön mukaisesti. Rikosasioiden tietosuojalain 45 §:n mukaisesti tietosuojavaltuutettu valvoo kaikkea henkilötietojen käsittelyä kansallisen turvallisuuden ylläpitämisen yhteydessä.

Tietosuoja-asetuksessa, tietosuojalaissa ja rikosasioiden tietosuojalaissa ei ole säädetty kansallisen valvontaviranomaisen tiedonsaantioikeuksia ja toimivaltuuksia koskevista rajoituksista, joita tarkoitetaan 14 artiklan 5 ja 6 kohdassa. Yleissopimuksen 15 artiklan 2 kohdan c alakohdan mukaista valvontaviranomaisen toimivaltuutta määrätä hallinnollisia seuraamuksia on eräiltä osin rajoitettu tietosuojalaissa. Rajoitus on sallittu kyseiseen alakohtaan ja muutettu yleissopimus myös sallii vaihtoehtoisesti muunlaisen seuraamusjärjestelmän. Näiden rajoitusten suhdetta yleissopimuksen määräyksiin selostetaan jäljempänä pöytäkirjan 15 artiklan yhteydessä.

15 artikla. Yleissopimuksen 10 artiklaa (uusi 12 artikla) täsmennetään siten, että osapuolten velvollisuus ottaa käyttöön asianmukaiset seuraamukset ja oikeussuojakeinot koskee sekä lainkäyttöelimissä että muissa elimissä määrättäviä seuraamuksia ja niissä käytettäviä oikeussuojakeinoja. Uuden 12 artiklan perustelujen mukaan osapuoli voi itse määritellä sovellettavien seuraamusten luonteen. Seuraamukset voivat olla yksityisoikeudellisia, hallinnollisia tai rikosoikeudellisia. Seuraamusten olisi kuitenkin oltava tehokkaita, oikeasuhteisia ja ennalta estäviä. Osapuoli voi myös määritellä sovellettavat oikeussuojakeinot edellyttäen, että rekisteröidyllä on tosiasiallinen mahdollisuus käyttää oikeussuojakeinoja päätöksen tai käytännön riitauttamiseksi.

Yleisen tietosuoja-asetuksen 83 artiklassa säädetään hallinnollisesta sakosta (jäljempänä hallinnollinen seuraamusmaksu), jota sovelletaan yleisen tietosuoja-asetuksen ja tietosuojalain soveltamisalalla. Hallinnollista seuraamusmaksua ei kuitenkaan tietosuojalain 24 §:n 4 momentin mukaan voida määrätä valtion viranomaisille, valtion liikelaitoksille, kunnallisille viranomaisille, itsenäisille julkisoikeudellisille laitoksille, eduskunnan virastoille, tasavallan presidentin kanslialle eikä Suomen evankelis-luterilaiselle kirkolle ja Suomen ortodoksiselle kirkolle eikä niiden seurakunnille, seurakuntayhtymille ja muille elimille. Hallinnollista seuraamusmaksua ei myöskään voida määrätä rikosasioiden tietosuojalain soveltamisalalla, joka koskee pelkästään viranomaisten toimintaa. Näissä tilanteissa, joissa seuraamusmaksua ei voida määrätä, sovellettavaksi tulevat rikoslain, virkamieslain ja vahingonkorvauslain mukaiset seuraamukset ja oikeussuojakeinot. Tietosuojavaltuutetulla on lisäksi tietosuojalain 22 §:n ja rikosasioiden tietosuojalain 52 §:n nojalla oikeus asettaa uhkasakko kyseisissä säännöksissä tarkoitettujen määräystensä tehosteeksi. Tietosuojalain 21 §:ssä säädetään oikeudesta saattaa henkilötietojen käsittelyä koskevan lainsäädännön rikkomista koskeva asia tietosuojavaltuutetun käsiteltäväksi ja 25 §:ssä säädetään oikeudesta hakea muutosta tietosuojavaltuutetun ja apulaistietosuojavaltuutetun päätökseen. Vastaavat säännökset sisältyvät rikosasioiden tietosuojalain 56 §:ään ja 59 §:ään. Tietosuojalain ja rikosasioiden tietosuojalain sääntely vastaa muutetun 12 artiklan vaatimuksia.

16 artikla. Yleissopimuksen III luvun otsikoksi muutetaan ”Rajat ylittävät henkilötietojen siirrot”.

17 artikla. Yleissopimuksen 12 artiklan (uusi 14 artikla) otsikoksi muutetaan ”Rajat ylittävät henkilötietojen siirrot”. Artiklan teksti korvataan uudella tekstillä.

Uudelleen numeroidun 14 artiklan 1 kohdan mukaan osapuoli ei saa yksinomaan henkilötietoja suojatakseen kieltää tällaisten tietojen siirtämistä vastaanottajalle, joka kuuluu yleissopimuksen toisen osapuolen lainkäyttövaltaan, tai edellyttää erillistä lupaa tällaiseen siirtoon. Tämä sopimusmääräys vastaa voimassa olevaa yleissopimuksen 12 artiklan 2 kohtaa. Muutoksena aiempaan verrattuna osapuoli voi kuitenkin toimia siten, jos on olemassa tosiasiallinen ja vakava riski, että siirto toisen osapuolen alueelle tai kyseisen toisen osapuolen alueelta muu kuin jonkin osapuolen alueelle johtaisi yleissopimuksen määräysten kiertämiseen. Osapuoli voi toimia siten myös, jos sitä sitovat alueelliseen kansainväliseen järjestöön kuuluvien valtioiden yhteiset, yhdenmukaistetut tietosuojaa koskevat säännöt. Artiklan 1 kohta siten sallii EU:n jäsenvaltioiden soveltavan yleissopimuksen vaatimusten sijasta EU-oikeuden ja sen täytäntöönpanolainsäädännön säännöksiä.

Artiklan 2 kohdan mukaan, jos henkilötietojen vastaanottaja kuuluu sellaisen valtion tai kansainvälisen järjestön lainkäyttövaltaan, joka ei ole yleissopimuksen osapuoli, henkilötietoja saisi siirtää vain, jos varmistetaan yleissopimuksen määräyksiin perustuva asianmukainen tietosuojan taso. Kohta vastaa voimassa olevaa lisäpöytäkirjan 2 artiklan 1 kohtaa. Artiklan 3 kohdan mukaisesti asianmukainen tietosuojan taso voisi perustua kansalliseen tai kansainväliseen lainsäädäntöön, mukaan lukien sovellettavat kansainväliset sopimukset (a alakohta), taikka erityistilannetta koskeviin tai hyväksyttyihin vakiomuotoisiin suojatoimiin, joista määrätään oikeudellisesti sitovassa ja täytäntöönpanokelpoisessa asiakirjassa, jonka henkilötietojen siirtoon ja jatkokäsittelyyn osallistuvat henkilöt hyväksyvät ja panevat täytäntöön (b alakohta). Kohta on uusi verrattuna lisäpöytäkirjaan. Kohtaa vastaavat säännökset sisältyvät tietosuoja-asetuksen 44–47 artiklaan ja rikosasioiden tietosuojalain 41–42 §:ään.

Artiklan 4 kohdan mukaisesti osapuoli voi kuitenkin tietosuojan tasoa koskevien määräysten estämättä säätää, että henkilötietoja saa siirtää rekisteröidyn suostumuksella, rekisteröidyn erityisten etujen sitä edellyttäessä yksittäistapauksessa, laissa säädetyn oikeutetun edun tai merkittävän yleisen edun perusteella tai sananvapauden turvaamiseksi. Kohta vastaa osittain voimassa olevaa lisäpöytäkirjan 2 artiklan 2 kohtaa, mutta sopimuslausekkeet (contractual clauses) on poistettu poikkeusperusteena. Lisäksi oikeutettua etua tai merkittävää yleistä etua koskevaa perustetta on tiukennettu. Tältä osin edellytetään edelleen nimenomaisesti laissa säätämistä, mutta sen lisäksi lain säännösten osalta olisi varmistettava välttämättömyys ja oikeasuhteisuus. Tietosuoja-asetuksen 49 artiklaan ja rikosasioiden tietosuojalain 43 §:ään sisältyy sääntelyä yksityiseen tai yleiseen etuun perustuvista tietojen siirroista. Rikosasioiden tietosuojalain pykälä ei koske kansallisen turvallisuuden ylläpitämiseen liittyvää henkilötietojen käsittelyä.

Artiklan 2 ja 3 kohta eivät salli poikkeuksia, vaan niiden vaatimuksia olisi sovellettava kaikkeen henkilötietojen käsittelyyn. EU:n tietosuojalainsäädäntöä ei sovelleta sellaisenaan muun muassa henkilötietojen käsittelyyn, joka liittyy EU-oikeuden ulkopuolelle jäävään toimintaan. Tällaista henkilötietojen käsittelyä on erityisesti kansalliseen turvallisuuteen ja puolustukseen liittyvä henkilötietojen käsittely, joka on Suomessa saatettu suureksi osaksi rikosasioiden tietosuojalain soveltamisalaan, mutta lain 7 luku henkilötietojen siirroista kolmansiin maihin ja kansainvälisille järjestöille ei koske tällaista henkilötietojen käsittelyä. Poliisin henkilötietolain 51 §:n 4 momentissa säädetään velvollisuudesta ottaa huomioon muun muassa Suomea sitovat kansainväliset sopimukset ja henkilötietoja vastaan ottavan valtion tietosuojan taso. Vastaavasti tietosuojan tason huomioimista koskeva vaatimus sisältyy puolustusvoimien henkilötietolain 31 §:n 2 momenttiin ja 32 §:n 1 momenttiin. Viimeksi mainittu momentti edellyttää myös kansainvälisten sopimusten huomioon ottamista. Lisäksi artiklan 2 kohdan mukainen pääsääntö koskee jo tällä hetkellä näitä viranomaisia lisäpöytäkirjan voimaansaattamislain kautta. Muutospöytäkirjan voimaansaattamislaki saattaisi voimaan lisäksi artiklan 3 kohdan määräykset siitä, mihin tietosuojan tason riittävyyttä koskeva arviointi voi perustua. Artiklan 4 kohdan täytäntöönpano edellyttäisi aineellisia säännöksiä, mutta kyseessä on yleissopimuksen osapuolille annettu mahdollisuus eikä kohtaa ole välttämätöntä panna täytäntöön voimassa olevia rikosasioiden tietosuojalain säännöksiä laajemmin. Kohtien suhdetta rikosasioiden tietosuojalakiin arvioidaan tarkemmin 3. lakiehdotuksen yksityiskohtaisissa perusteluissa.

Artiklan 5 kohdan mukaan osapuolten tulee säätää velvollisuudesta ilmoittaa toimivaltaiselle valvontaviranomaiselle erityistilannetta koskeviin tai hyväksyttyihin vakiomuotoisiin suojatoimiin perustuvista siirroista sekä pyynnöstä erityiseen etuun, oikeutettuun etuun tai merkittävään yleiseen etuun perustuvista siirroista. Vastaavat vaatimukset sisältyvät tietosuoja-asetuksen 30 artiklaan ja rikosasioiden tietosuojalain 42–44 §:ään. Kohta mahdollistaisi poikkeamisen muun muassa kansalliseen turvallisuuteen ja puolustukseen liittyvän henkilötietojen käsittelyn osalta, mutta kyseessä olevat henkilötietojen siirtojen perusteet eivät koske voimassa olevan lainsäädännön mukaan kansallisen turvallisuuden ylläpitämiseen liittyvää henkilötietojen käsittelyä. Poliisin henkilötietolain 51 §:n ja puolustusvoimien henkilötietolain 31 ja 32 §:n mukaiset henkilötietojen siirrot kolmansiin maihin ja kansainvälisille järjestöille on kuitenkin ilmoitettava valvontaviranomaiselle rikosasioiden tietosuojalain 18 §:n ja 47 §:n edellyttämässä laajuudessa.

Artiklan 6 kohdan mukaan osapuolten tulee säätää valvontaviranomaiselle oikeus pyytää tiedot siirtävää henkilöä osoittamaan suojatoimien tehokkuus tai pakottavien oikeutettujen etujen olemassaolo ja että valvontaviranomainen voi kieltää siirrot, keskeyttää ne tai määrätä niille ehtoja. Pääperiaatteiltaan vastaava sääntely sisältyy tietosuoja-asetuksen 44–49 ja 58 artiklaan ja rikosasioiden tietosuojalain 41–44 ja 51 §:ään. Kohta mahdollistaisi poikkeamisen muun muassa kansalliseen turvallisuuteen ja puolustukseen liittyvän henkilötietojen käsittelyn osalta, mutta tietosuoja-asetuksen 58 artiklan ja rikosasioiden tietosuojalain 51 §:n mukaiset valvontaviranomaisen toimivaltuudet koskevat kaikkea henkilötietojen käsittelyä poikkeuksetta.

Muutospöytäkirjan artiklan 3 kohdan mukaan artiklaan sisältyvät määräykset, jotka tällä hetkellä sisältyvät lisäpöytäkirjan 2 artiklaan. Muutospöytäkirjan 37 artiklan 4 kohdan mukaisesti lisäpöytäkirja kumotaan muutospöytäkirjan voimaantulopäivästä lukien.

18 artikla. Yleissopimuksen III luvun jälkeen lisätään uusi IV luku, jonka otsikko on ”Valvontaviranomaiset”.

19 artikla. Uuteen 15 artiklaan sisällytetään määräykset, jotka sisältyvät voimassa olevan lisäpöytäkirjan 1 artiklaan.

Valvontaviranomaisia koskevia määräyksiä laajennetaan. Yleissopimuksen 15 artiklan 1 kohdan mukaan osapuolet varmistavat, että yhden tai useamman viranomaisen tehtävänä on valvoa yleissopimuksen määräysten noudattamista. Tietosuojalain 8 §:n ja rikosasioiden tietosuojalain 45 §:n mukaisesti näiden säädösten ja tietosuoja-asetuksen noudattamista valvovana viranomaisena toimii tietosuojavaltuutettu. Tietosuojalaki ja rikosasioiden tietosuojalaki eivät sisällä viittausta tietosuojayleissopimukseen. Myöskään kumottu laki tietosuojalautakunnasta ja tietosuojavaltuutetusta (389/1994) ei sisältänyt nimenomaista viittausta. Käytännössä tietosuojavaltuutettu on kuitenkin hoitanut yleissopimuksen mukaista valvontatehtävää kumotun henkilötietolain 38 §:n nojalla, joka sisälsi yleisluontoisen viittauksen myös muun lainsäädännön nojalla tapahtuvaan henkilötietojen käsittelyyn. Tietosuojavaltuutettu valvoo suoraan tietosuoja-asetuksen, tietosuojalain ja rikosasioiden tietosuojalain nojalla henkilötietojen siirtoja EU:n ulkopuolisiin maihin, joita ovat muun muassa muut tietosuojayleissopimuksen osapuolet, vaikka sille ei ole nimenomaisesti säädetty vastaavaa tehtävää yleissopimuksen osalta. Tietosuojavaltuutettu olisi selkeyden vuoksi erikseen nimettävä myös yleissopimuksessa tarkoitetuksi valvontaviranomaiseksi.

Artiklan 2 kohdan mukaan viranomaisilla on toimivalta tutkia määräysten noudattamista ja määrätä korjaavia toimenpiteitä (a alakohta), rajat ylittäviin henkilötietoihin siirtoihin liittyvät tehtävät, erityisesti vakiomuotoisten suojatoimien hyväksyminen (b alakohta), ja toimivalta tehdä päätöksiä, jotka koskevat yleissopimuksen määräysten rikkomista (c alakohta). Tähän toimivaltaan voi c alakohdan mukaan sisältyä erityisesti toimivalta määrätä hallinnollisia seuraamuksia. Yleissopimuksen perustelujen mukaan 2 kohdan määräyksiä voidaan soveltaa myös siten, että seuraamuksen määrää toimivaltainen tuomioistuin, jos osapuolen oikeusjärjestelmä ei mahdollista hallinnollisia seuraamuksia (perustelujen 119 kohta). Artiklan 2 kohdan mukaan valvontaviranomaisella on myös toimivalta osallistua oikeudenkäynteihin tai saattaa yleissopimuksen määräysten rikkomiset toimivaltaisten lainkäyttöviranomaisten käsiteltäväksi (d alakohta), sekä tehtävä edistää yleistä tietoisuutta valvontaviranomaisen tehtävistä, toimivallasta ja toiminnasta, rekisteröityjen oikeuksista ja rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksista (e alakohta).

Yleissopimus sallii osapuolille liikkumavaraa sen osalta, miten nämä järjestävät valvontaviranomaisen tehtävät ja toimivaltuudet. Valvontaviranomaisen toimivalta määrätä rekisterinpitäjä toteuttamaan korjaavia toimenpiteitä voi esimerkiksi kattaa erilaisia toimenpiteitä kuten virheellisten tai lainvastaisesti käsiteltyjen henkilötietojen oikaiseminen, poistaminen tai hävittäminen. Valvontaviranomainen voi käyttää toimivaltuuksiaan oma-aloitteisesti tai rekisteröidyn pyynnöstä, jos tämä ei itse voi käyttää oikeuksiaan. (Perustelujen 119 ja 121 kohta) Yleissopimuksen 2 kohdassa tarkoitettuja tehtäviä ja toimivaltuuksia vastaavat säännökset sisältyvät tietosuoja-asetuksen 57 ja 58 artiklaan, tietosuojalain 15, 18, 22 ja 24 §:ään ja rikosasioiden tietosuojalain 46-48 §:ään sekä 51 ja 52 §:ään.

Artiklan 3 kohdan mukaan toimivaltaisia valvontaviranomaisia on kuultava ehdotuksista lainsäädäntö- ja hallintotoimiksi, jotka mahdollistavat henkilötietojen käsittelyä. Vastaavat säännökset sisältyvät tietosuoja-asetuksen 52 artiklan 3 kohdan b alakohtaan ja rikosasioiden tietosuojalain 53 §:n 2 momenttiin.

Artiklan 4 kohdan mukaan kukin toimivaltainen valvontaviranomainen käsittelee rekisteröityjen tietosuojaa koskevia pyyntöjä ja valituksia sekä tiedottaa rekisteröidyille käsittelyn etenemisestä. Vastaavat säännökset sisältyvät tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohtaan ja rikosasioiden tietosuojalain 29 §:n 2 momenttiin ja 46 §:n 1 momentin 7 kohtaan.

Artiklan 5 kohdan mukaan valvontaviranomaiset toimivat täysin riippumattomasti ja puolueettomasti hoitaessaan tehtäviään ja käyttäessään toimivaltaansa, eivätkä ne saa pyytää tai ottaa vastaan ohjeita. Vastaavat vaatimukset sisältyvät tietosuoja-asetuksen 52 artiklan 1-3 kohtaan ja tietosuojalain 8 §:n 2 momenttiin.

Artiklan 6 kohdan mukaan osapuolet varmistavat, että valvontaviranomaisille annetaan tarvittavat resurssit tehtäviensä tehokasta hoitamista ja toimivaltuuksiensa tehokasta käyttöä varten. Vastaava vaatimus sisältyy tietosuoja-asetuksen 52 artiklan 4 kohtaan. Tietosuojavaltuutetun toimiston henkilökunnasta säädetään tietosuojalain 9 §:n 1 momentissa ja asiantuntijalautakunnasta 12 §:n 1 momentissa.

Artiklan 7 kohdan mukaan kukin valvontaviranomainen laatii ja julkaisee määräajoin kertomuksen toiminnastaan. Vastaava vaatimus sisältyy tietosuoja-asetuksen 59 artiklaan ja tietosuojalain 14 §:n 4 momenttiin.

Artiklan 8 kohdan mukaan valvontaviranomaisten jäsenten ja henkilöstön on pidettävä salassa sellainen tieto, johon niillä on pääsy tai on ollut pääsy hoitaessaan tehtäviään ja käyttäessään toimivaltuuksiaan. Tietosuojavaltuutetun, apulaistietosuojavaltuutetun ja tietosuojavaltuutetun toimiston henkilökunnan salassapitovelvollisuudesta säädetään valtion virkamieslain (750/1994) 17 §:ssä ja viranomaisten toiminnan julkisuudesta annetun lain (621/1999, julkisuuslaki) 23 §:ssä.

Artiklan 9 kohdan mukaan valvontaviranomaisten päätöksiin on voitava hakea muutosta tuomioistuimissa. Muutoksenhausta säädetään tietosuoja-asetuksen 78 artiklassa ja tietosuojalain 25 §:ssä sekä rikosasioiden tietosuojalain 59 §:ssä.

Artiklan 10 kohdan mukaan valvontaviranomaisilla ei ole toimivaltaa eri elinten lainkäyttötoiminnassa tapahtuvaan tietojen käsittelyyn nähden. Tietosuoja-asetuksen 55 artiklan 3 kohdan mukaan valvontaviranomaisilla ei ole toimivaltaa valvoa käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä. Rikosasioiden tietosuojalain 45 §:n mukaan lain säännöksiä valvonnasta ei sovelleta tuomioistuimeen, valtioneuvoston oikeuskansleriin eikä eduskunnan oikeusasiamieheen.

Voimassa oleva lisäpöytäkirjan 5 kohta poistetaan. Kohta sisältää valvontaviranomaisten yhteistyötä koskevat määräykset, jotka sisällytetään uuteen 17 artiklaan.

20 artikla. Yleissopimuksen IV–VII luku numeroidaan uudelleen V–VIII luvuksi (1 kohta). Yleissopimuksen V luvun otsikko korvataan otsikolla ”Yhteistyö ja keskinäinen avunanto” (2 kohta). Yleissopimukseen lisätään uusi 17 artikla ja 13–27 artikla numeroidaan uudelleen 16–31 artiklaksi (3 kohta).

21 artikla. Yleissopimuksen 13 artiklan (uusi 16 artikla) otsikko korvataan otsikolla ”Valvontaviranomaisten nimeäminen”. Uudelleen numeroidun 16 artiklan 1 kohta vastaa sisällöllisesti voimassa olevaa osapuolten keskinäistä avunantovelvoitetta yleissopimuksen täytäntöönpanossa, mutta siihen lisätään myös nimenomainen yhteistyövelvoite. Artiklan 2 kohtaa vastaavat viranomaisen nimeämistä ja ilmoittamista koskevat osapuolten velvollisuudet sisältyvät voimassa olevaan yleissopimukseen eikä 16 artikla sisällä uusia velvollisuuksia. Tarve nimetä viranomainen kansallisessa lainsäädännössä selostetaan tarkemmin edellä 15 artiklan yhteydessä sekä 1. lakiehdotuksen perusteluissa.

22 artikla. Yleissopimukseen lisätään uusi 17 artikla, joka koskee valvontaviranomaisten yhteistyön muotoja. Artikla korvaa lisäpöytäkirjan 1 artiklan 5 kohdan, mutta uuden artiklan määräykset ovat yksityiskohtaisemmat. Artiklan 1 kohdan mukaan valvontaviranomaiset tekevät keskenään yhteistyötä siltä osin kuin on tarpeen niiden tehtävien hoitamiseksi ja toimivaltuuksien käyttämiseksi erityisesti avustamalla toisiaan vaihtamalla tietoja (a alakohta), sovittamalla yhteen tutkintansa tai toimenpiteensä tai toteuttamalla yhteisiä operaatioita (b alakohta) ja luovuttamalla tietoja ja asiakirjoja tietosuojaa koskevasta lainsäädännöstään ja hallinnollisesta käytännöstään (c alakohta). Luovutettavat tiedot eivät artiklan 2 kohdan mukaan saa sisältää käsiteltävänä olevia henkilötietoja, jos henkilötiedot eivät ole yhteistyön kannalta olennaisia tai jos kyseinen rekisteröity ei ole antanut suostumustaan henkilötietojen luovuttamiseen. Suostumuksen on oltava nimenomainen, yksilöity, vapaa ja tietoon perustuva. Artiklan 3 kohdan mukaan valvontaviranomaiset muodostavat keskenään verkoston artiklan mukaisen yhteistyönsä ja tehtäviensä hoitamista varten.

Artiklan määräykset eivät vaikuta EU:n tietosuojaviranomaisten väliseen yhteistyöhön, joka tapahtuu tietosuoja-asetuksen mukaisesti Euroopan tietosuojaneuvoston puitteissa. Tietosuoja-asetuksessa ja rikosasioiden tietosuojalaissa tarkoitettu valvontaviranomaisten yhteistyö käsittää vain EU:n jäsenvaltioiden viranomaisten kanssa tehtävän yhteistyön. Tietosuojavaltuutetun toimivaltuudet tietosuojayleissopimuksessa tarkoitetun valvontayhteistyön osalta eivät siten yksiselitteisesti ilmene laista. Valvontaviranomaisten yhteistyötä koskevat yleissopimuksen määräykset olisivat kuitenkin sellaisenaan voimassa 1. lakiehdotuksen 1 §:n nojalla, ja niitä sovellettaisiin yhteistyöhön silloin, kun yhteistyötä tehtäisiin muiden kuin EU:n jäsenvaltioiden viranomaisten kanssa. Tietosuojavaltuutetun oikeuteen luovuttaa salassa pidettävä tieto ulkomaan viranomaiselle sovelletaan, mitä julkisuuslain 30 §:ssä säädetään. Tieto voitaisiin luovuttaa samoin edellytyksin kuin tieto voidaan luovuttaa lain 29 §:n nojalla Suomen viranomaiselle. Lainmuutosten tarvetta arvioidaan tarkemmin jäljempänä 2. ja 3. lakiehdotuksen perusteluissa.

Tietosuojavaltuutetun toimivaltuuksia on rajoitettu valtiopäivätoiminnan lisäksi siltä osin kuin on kyse tuomioistuinten, valtioneuvoston oikeuskanslerin ja eduskunnan oikeusasiamiehen suorittamasta henkilötietojen käsittelystä. Lisäksi rikosasioiden tietosuojalaissa on rajoitettu tietosuojavaltuutetun ylikansallisia toimivaltuuksia siltä osin kuin on kyse kansallisen turvallisuuden ylläpitämiseen liittyvästä henkilötietojen käsittelystä. Rikosasioiden tietosuojalain 54 §:ää ei sovelleta lain 1 §:n 2 momentissa tarkoitetussa henkilötietojen käsittelyssä. Valvontaa koskevilla rajoituksilla voi olla vaikutusta valvontaviranomaisten yhteistyöhön siltä osin kuin rajoitusten kattamaan henkilötietojen käsittelyyn liittyy rajat ylittäviä henkilötietojen siirtoja. Kansallisen turvallisuuden ylläpitämiseen liittyvät rajoitukset ovat kuitenkin tältä osin yleissopimuksen mukaisia, huomioiden sovellettavat rikosasioiden tietosuojalain 18 §:n ja 47 §:n säännökset.

23 artikla. Yleissopimuksen 14 artiklan (uusi 18 artikla) otsikko korvataan otsikolla ”Rekisteröityjen avustaminen” ja artiklan 1 kohtaa muutetaan siten, että osapuolten on avustettava rekisteröityä hänen kansalaisuudestaan tai asuinpaikastaan riippumatta käyttämään yleissopimuksen mukaisia oikeuksiaan. Vaikka kyseessä on osapuolille asetettu velvoite, käytännössä avustamisesta vastaisivat valvontaviranomaiset. Kumottu henkilötietolaki ei rajannut tietosuojavaltuutetun toimivaltuuksia rekisteröidyn asuinpaikan tai kansallisuuden perusteella, vaan koski sellaista henkilötietojen käsittelyä, jossa rekisterinpitäjän toimipaikka oli Suomen alueella tai muutoin Suomen oikeudenkäytön piirissä. Myöskään tietosuojalaki ei rajaa tietosuojavaltuutetun toimivaltuuksia rekisteröidyn asuinpaikan tai kansallisuuden perusteella. Voimassa oleva tietosuojayleissopimus jo edellyttää ulkomailla asuvien rekisteröityjen avustamista. Näin ollen artiklan 1 kohdan muutokset eivät merkitse sisällöllisiä laajennuksia Suomen lainsäädäntöön. Artiklan muihin kohtiin tehdään muutettuja määritelmiä vastaavat tekniset muutokset, mutta kohdat säilyvät muutoin sisällöllisesti ennallaan. Rekisteröity voisi perustelujen mukaan käyttää oikeuksiaan joko suoraan tai välillisesti valvontaviranomaisen kautta. Ulkomailla olevilla rekisteröidyillä voisi olla myös mahdollisuus käyttää oikeuksiaan diplomaattisen edustuston tai konsulaatin välityksellä. (Perustelujen kohdat 145 ja 146)

24 artikla. Yleissopimuksen 15 artiklan (uusi 19 artikla) otsikko korvataan otsikolla ”Suojatoimet”. Artiklassa rajoitetaan valvontaviranomaisen vastaanottamien tietojen hyödyntäminen koskemaan pyynnössä mainittuja tietoja (1 kohta) sekä valvontaviranomaisen avustamista koskeva pyyntö rekisteröidyn puolesta koskemaan tilanteita, joissa rekisteröity on antanut siihen suostumuksensa (uudelleen numeroitu 2 kohta). Artiklan 1 kohdan ja 3 kohdan (uuden 2 kohdan) sanamuotoa yksinkertaistetaan, mutta ne säilyvät sisällöllisesti ennallaan. Artiklasta poistetaan voimassa oleva 2 kohta, joka koskee valvontaviranomaisen henkilökunnan salassapitovelvollisuutta. Vastaava määräys on sisällytetty 15 artiklan 8 kohtaan.

25 artikla. Yleissopimuksen 16 artiklan (uusi 20 artikla) otsikkoon ja a alakohtaan tehdään teknisiä tarkistuksia. Artiklan b alakohta säilyy ennallaan. Lisäksi c alakohtaan tehdään käsitteellinen täsmennys, jonka mukaan valvontaviranomainen voi kieltäytyä noudattamasta 17 artiklan mukaista yhteistyöpyyntöä, jos se olisi ristiriidassa valvontaviranomaisen nimenneen osapuolen kansallisen turvallisuuden kanssa. Yleissopimuksen voimassa olevassa alakohdassa käytetty käsite on turvallisuus.

26 artikla. Yleissopimuksen 17 artiklan (uusi 21 artikla) otsikkoon sekä 1 ja 3 kohtaan tehdään teknisiä muutoksia. Artikla ei muutu sisällöllisesti, mutta keskinäisen avunannon lisäksi valvontaviranomaisten välinen yhteistyö mainitaan nimenomaisesti sanamuodossa.

27 artikla. Yleissopimuksen V luvun (uusi VI luku) otsikoksi muutetaan ”Yleissopimuksen komitea”.

28 artikla. Yleissopimuksen 18 artiklan (uusi 22 artikla) 1 kohdassa mainittu neuvoa-antava komitea korvataan termillä ”yleissopimuksen komitea”. Vastaava muutos tehdään artiklan 3 kohtaan. Artiklan 3 kohtaa muutetaan lisäksi siten, että yleissopimuksen komitea voi osapuolten edustajien kahden kolmasosan enemmistöllä tehdyllä päätöksellä pyytää tarkkailijaa lähettämään edustajansa komitean kokouksiin. Voimassa olevan kohdan mukaan tarkkailijan pyytäminen edellyttää yksimielistä päätöstä.

Artiklaan lisätään uusi 4 kohta, jonka mukaan osapuoli, joka ei ole Euroopan neuvoston jäsen, osallistuu yleissopimuksen komitean toiminnan rahoittamiseen sellaisten yksityiskohtaisten sääntöjen mukaisesti, jotka ministerikomitea vahvistaa kyseisen osapuolen kanssa sopien.

29 artikla. Yleissopimuksen 19 artiklan (uusi 23 artikla) johdantokappaleessa neuvoa-antava komitea korvataan termillä ”yleissopimuksen komitea”. Artiklan a-d alakohta säilyvät pääosin sisällöllisesti ennallaan. Artiklan a alakohdassa komitean oikeus antaa ehdotuksia korvataan oikeudella antaa suosituksia yleissopimuksen soveltamisen helpottamiseksi. Lisäksi d alakohdan mukaan komitealla on oikeus antaa oma-aloitteisesti lausuntoja yleissopimuksen tulkinnasta tai soveltamisesta. Voimassa olevan alakohdan mukaan lausunnon antaminen tapahtuu osapuolen pyynnöstä, ja koskee vain yleissopimuksen soveltamista. Perustelujen mukaan muutoksella on huomioitu se, että yleissopimus koskee jatkuvasti kehittyvää henkilötietojen käsittelyä, jolloin on mahdollista, että kysymyksiä nousee myös yleissopimuksen merkityksestä sen käytännön soveltamista koskevien kysymysten lisäksi (kohta 157).

Artiklaan lisätään uudet alakohdat (e–i), joilla yleissopimuksen komitealle annetaan uusia tehtäviä. Artiklan uuden e alakohdan mukaan komitea laatii ennen kutakin uutta yleissopimukseen liittymistä ministerikomitealle lausunnon liittyjäehdokkaan henkilötietojen suojan tasosta ja suosittelee tarvittaessa toimia yleissopimuksen määräysten mukaisuuden saavuttamiseksi. Voimassa olevan yleissopimuksen osalta on noudatettu käytäntöä, jossa Euroopan neuvoston ministerikomitea päättää Euroopan neuvoston ulkopuolisen valtion kutsumisesta liittymään yleissopimukseen ja hankkii sitä ennen neuvoa-antavan komitean lausunnon. Lausunnon antamista varten jokaiselta komiteassa edustetulta valtiolta on pyydetty erikseen näkemys siitä, onko liittymistä haluava valtio toteuttanut tarvittavat lainsäädäntötoimet yleissopimuksen noudattamiseksi. Käytäntö vastaa muita Euroopan neuvoston yleissopimusten mukaisia menettelyitä, kun yleissopimus mahdollistaa Euroopan neuvoston ulkopuolisen valtion liittymisen, mutta nykyisen komitean rooli ei ole yhtä merkittävä kuin se on tietosuojayleissopimuksen muutosten voimaantulon myötä. Voimassa olevasta käytännöstä poiketen komitealla on uusien toimivaltuuksien myötä avainrooli sen arvioimisessa, täyttääkö liittymistä hakeva valtio riittävän tietosuojan tason.

Artiklan uuden f alakohdan mukaan komitea voi valtion tai kansainvälisen järjestön pyynnöstä arvioida, onko niiden antaman henkilötietojen suojan taso yleissopimuksen määräysten mukainen, ja voi tarvittaessa suositella toimia yleissopimuksen määräysten mukaisuuden saavuttamiseksi.

Artiklan uuden g alakohdan mukaan komitea voi kehittää tai hyväksyä 14 artiklassa tarkoitettujen vakiomuotoisten suojatoimien malleja.

Artiklan uuden h alakohdan mukaan komitea arvioi sitä, miten osapuolet ovat panneet yleissopimuksen täytäntöön, ja suosittelee toimia niissä tapauksissa, joissa osapuoli ei noudata yleissopimusta. Menettelyä selostetaan tarkemmin pöytäkirjan 30 artiklan yhteydessä.

Artiklan uuden i alakohdan mukaan komitea helpottaa tarvittaessa kaikkien yleissopimuksen soveltamiseen liittyvien ongelmien ratkaisemista sovintoteitse. Perustelujen mukaan riitatilanteessa yleissopimuksen komitea hakisi ratkaisua neuvottelujen tai muiden sovinnollisten menettelyjen avulla (kohta 165).

30 artikla. Yleissopimuksen 20 artiklan (uusi 24 artikla) teksti korvataan uudella. Artiklan 1 kohtaa muutetaan siten, että yleissopimuksen komitea kokoontuu vähintään kerran vuodessa. Voimassa olevan kohdan mukaan komitea kokoontuu vähintään kerran kahdessa vuodessa. Muutettu kohta ei kuitenkaan käytännössä merkinne juurikaan muutoksia komitean nykykäytäntöön, jossa se on kokoontunut viime aikoina kaksi kertaa vuodessa. Artiklan voimassa oleva 2 kohta poistetaan. Voimassa oleva 3 kohta numeroidaan uudelleen 2 kohdaksi, eikä siihen tehdä sisällöllisiä muutoksia, vaan ainoastaan tarkistetaan komitean nimi.

Artiklaan lisätään uusi 3 kohta, jonka mukaan yleissopimuksen komitean äänestysjärjestelyistä määrätään lisäpöytäkirjan liitteenä olevissa työjärjestyksen perusteissa. Tullessaan yleissopimuksen osapuoleksi EU antaa ilmoituksen, jossa se täsmentää toimivaltansa jakautumisen unionin ja jäsenvaltioiden kesken siltä osin kuin on kyse yleissopimuksen soveltamisalaan kuuluvasta henkilötietojen käsittelystä. EU:n olisi myös ilmoitettava toimivallan jakautumista koskevista muutoksista Euroopan neuvoston pääsihteerille. (Perustelujen kohta 160)

Artiklaan lisätään uusi 4 kohta, jonka mukaan yleissopimuksen komitea laatii muut työjärjestyksensä perusteet ja vahvistaa erityisesti 4 artiklan 3 kohdassa ja 23 artiklan e, f ja h alakohdassa tarkoitetut arviointimenettelyt puolueettomilla perusteilla. Nämä menettelyt koskevat liittyvien valtioiden tai kansainvälisten järjestöjen tietosuojan tason riittävyyden sekä yleissopimuksen osapuolten täytäntöönpanolainsäädännön tehokkuuden arviointia.

Komitean uudet toimivaltuudet arvioida osapuolina olevien valtioiden ja kansainvälisten järjestöjen osalta lainsäädäntötoimien tehokkuutta merkitsee uudenlaista arviointimenettelyä sen takaamiseksi, että yleissopimuksessa määrätyt tietosuojaa koskevat periaatteet toteutuvat ja että osapuolet noudattavat sen vaatimuksia (perustelujen kohta 162). Seurantamenettely samalla vahvistaa komitean toimivaltuuksia. Osapuolilla puolestaan on tarkistetun yleissopimuksen 4 artiklan 3 kohdan mukaisesti velvollisuus aktiivisesti myötävaikuttaa arviointimenettelyyn. Euroopan unionin jäsenvaltioiden osalta arviointimenettely käytännössä kohdistuisi sekä EU:n tietosuojalainsäädäntöön että sitä täydentävään ja täytäntöönpanevaan kansalliseen lainsäädäntöön. Arviointi voisi myös kohdistua erityislainsäädännön arviointiin esimerkiksi siltä osin kuin erityislainsäädännössä poiketaan rekisteröidyn oikeuksista. Tällä on erityistä merkitystä kansallisen turvallisuuden ylläpitämiseen liittyvän henkilötietojen käsittelyä koskevan lainsäädännön osalta huomioiden, että se ei kuulu EU:n tietosuojalainsäädännön soveltamisalaan eikä Euroopan komissiolla ole toimivaltuuksia arvioida sitä osana EU-oikeuden täytäntöönpanolainsäädännön sisällöllistä arviointia.

Yleissopimuksen arviointi- ja seurantamenettelyä koskevista yksityiskohdista ei ole vielä päätetty. Yleissopimuksen komitealla on toimivaltuudet päättää niistä, kun muutospöytäkirja on tullut voimaan. Suoraan pöytäkirjan määräysten nojalla komitea kuitenkin antaisi suosituksia mahdollisten yleissopimuksen vastaisten säännösten tai menettelyjen korjaamiseksi. Saatavilla olevien tietojen valossa komitea kiinnittänee huomiota sekä lainsäädäntöön että sen soveltamista koskevaan käytäntöön. Vaikka kyseessä ovat suositukset eivätkä juridisesti sitovat määräykset, niillä voidaan olettaa olevan erityisesti julkisuusvaikutuksen kautta myönteistä vaikutusta tietosuojaa koskevien vaatimusten noudattamiseen ja siten arviointi- ja seurantamenettely vaikuttanee yleissopimuksen yleiseen tavoitteeseen varmistaa yhdenmukainen tietosuojan taso osapuolten keskuudessa.

31 artikla. Yleissopimuksen 21 artiklan (uusi 25 artikla) 1, 3 ja 4 kohdassa tarkistetaan komitean nimi. Lisäksi artiklan 2 kohtaa muutetaan sen huomioimiseksi, että yleissopimuksen osapuoliksi voivat valtioiden lisäksi tulla myös kansainväliset järjestöt.

Artiklaan lisätään uusi 7 kohta, jonka mukaan ministerikomitea voi yleissopimuksen komiteaa kuultuaan päättää yksimielisesti, että yleissopimukseen tehty yksittäinen muutos tulee voimaan kolmen vuoden kuluttua päivästä, jona muutos on avattu hyväksyttäväksi, jollei jokin osapuoli ilmoita Euroopan neuvoston pääsihteerille vastustavansa muutoksen voimaantuloa. Siinä tapauksessa muutos tulisi voimaan seuraavan kuukauden ensimmäisenä päivänä, kun vastustuksesta ilmoittanut osapuoli on tallettanut hyväksymiskirjansa.

32 artikla. Yleissopimuksen 22 artiklan (uusi 26 artikla) 1 kohtaa muutetaan sen huomioimiseksi, että yleissopimuksen on avoinna allekirjoittamista sekä ratifiointia tai hyväksymistä varten Euroopan neuvoston jäsenvaltioiden lisäksi myös Euroopan unionille. Artiklan 3 kohdassa termi ”jäsenvaltio” korvataan vastaavasti termillä ”osapuoli”.

Euroopan unionin ja sen jäsenvaltioiden toimivallan jakautumista selostetaan tarkemmin kappaleessa 10.1.

33 artikla. Yleissopimuksen 23 artiklan (uusi 27 artikla) otsikkoa ja tekstiä muutetaan sen huomioimiseksi, että yleissopimukseen voivat liittyä Euroopan neuvoston ulkopuolisten valtioiden lisäksi myös kansainväliset järjestöt. Lisäksi artiklan 1 kohtaa muutetaan siten, että yleissopimuksen osapuolten ja yleissopimuksen komitean roolia vahvistetaan menettelyssä, jossa ministerikomitea voi kutsua valtion tai kansainvälisen järjestön liittymään yleissopimukseen. Euroopan neuvoston ministerikomitea voi yleissopimuksen osapuolia kuultuaan ja niiden yksimielisen suostumuksen saatuaan sekä yleissopimuksen komitean 23 artiklan e alakohdan mukaisesti laatiman lausunnon huomioiden kutsua valtion, joka ei ole Euroopan neuvoston jäsen, tai kansainvälisen järjestön liittymään yleissopimukseen, päättämällä asiasta Euroopan neuvoston perussäännön 20 artiklan d kappaleessa määrätyllä enemmistöllä ja niiden sopimusvaltioiden edustajien yksimielisellä äänestyspäätöksellä, joilla on oikeus osallistua ministerikomitean istuntoihin.

34 artikla. Yleissopimuksen 24 artikla (uusi 28 artikla) koskee yleissopimuksen alueellista soveltamista koskevien selitysten antamista. Artiklan 1 ja 2 kohtaa muutetaan sen huomioimiseksi, että tarkistetun yleissopimuksen osapuolena voi olla myös Euroopan unioni tai muu kansainvälinen järjestö.

35 artikla. Yleissopimuksen 27 artiklan (uusi 31 artikla) johdantokappaleessa termi ”valtio” korvataan termillä ”osapuoli”. Lisäksi artiklan c alakohdassa viittaus ”22, 23 ja 24 artiklaan” korvataan viittauksella ”26, 27 ja 28 artiklaan”.

36 artikla. Allekirjoittaminen, ratifiointi ja liittyminen. Artiklan mukaan pöytäkirja on avoinna allekirjoittamista varten yleissopimuksen sopimusvaltioille. Se ratifioidaan tai hyväksytään. Ratifioimis- ja hyväksymiskirjat talletetaan Euroopan neuvoston pääsihteerin huostaan. Sen jälkeen, kun pöytäkirja on avattu allekirjoittamista varten, ja ennen sen voimaantuloa muu valtio ilmaisee suostumuksensa tulla pöytäkirjan sitomaksi liittymällä siihen. Valtio ei voi tulla yleissopimuksen osapuoleksi liittymättä samanaikaisesti sen muutospöytäkirjaan.

37 artikla. Voimaantulo. Artiklan 1 kohdan mukaan pöytäkirja tulee voimaan seuraavan kuukauden ensimmäisenä päivänä sen jälkeen, kun on kulunut kolme kuukautta päivästä, jona kaikki yleissopimuksen osapuolet ovat ilmaisseet suostumuksensa tulla pöytäkirjan sitomiksi 36 artiklan 1 kohdan määräysten mukaisesti.

Artiklan 2 kohdan mukaan, jollei pöytäkirja ole tullut voimaan 1 kohdan mukaisesti, se tulee voimaan niiden valtioiden osalta, jotka ovat ilmaisseet suostumuksensa tulla pöytäkirjan sitomiksi 1 kohdan mukaisesti, viiden vuoden kuluttua sen avaamisesta allekirjoittamista varten, edellyttäen, että pöytäkirjassa on vähintään kolmekymmentäkahdeksan osapuolta. Kaikki muutetun yleissopimuksen määräykset tulevat voimaan pöytäkirjan osapuolten välillä välittömästi pöytäkirjan tullessa voimaan.

Artiklan 3 kohdan mukaan ennen pöytäkirjan voimaantuloa yleissopimuksen osapuoli voi tämän pöytäkirjan allekirjoittaessaan tai milloin tahansa myöhemmin antaa selityksen, jonka mukaan se soveltaa pöytäkirjan määräyksiä väliaikaisesti, sanotun vaikuttamatta voimaantuloa ja Euroopan neuvoston ulkopuolisten valtioiden ja kansainvälisten järjestöjen liittymistä koskeviin määräyksiin. Tällaisissa tapauksissa pöytäkirjan määräyksiä sovelletaan ainoastaan suhteessa muihin sellaisiin yleissopimuksen osapuoliin, jotka ovat antaneet saman sisältöisen selityksen. Tällainen selitys tulee voimaan kolmannen kuukauden ensimmäisenä päivänä sen jälkeen, kun Euroopan neuvoston pääsihteeri on vastaanottanut selityksen.

Artiklan 4 kohdan mukaan lisäpöytäkirja muutospöytäkirjan tullessa voimaan. Lisäpöytäkirjan määräykset sisältyvät muutetun yleissopimuksen 14 ja 15 artiklaan.

Artiklan 5 kohdan mukaan tietosuojayleissopimuksen muutokset, jotka ministerikomitea hyväksyi Strasbourgissa 15 päivänä kesäkuuta 1999, menettävät merkityksensä muutospöytäkirjan tullessa voimaan.

38 artikla. Yleissopimukseen liittyvät selitykset. Artiklan mukaan osapuolten antamat voimassa olevan yleissopimuksen 3 artiklan mukaiset soveltamisalaa koskevat selitykset raukeavat muutospöytäkirjan tullessa voimaan.

Suomi on lisäpöytäkirjan ratifioimiskirjan tallettamisen yhteydessä antanut selityksen, jonka mukaan Suomi ei sovella yleissopimusta sellaiseen henkilötietojen käsittelyyn, jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiinsa. Suomi on lisäksi antanut selityksen, jonka mukaan Suomi soveltaa yleissopimusta henkilötietojen automaattisen käsittelyn ohella myös muuhun henkilötietojen käsittelyyn silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Näiden selitysten raukeamisella ei olisi oikeusvaikutuksia, koska yleissopimuksen soveltamisalaa koskevat määräykset vastaavat muutospöytäkirjan voimaan tullessa Suomen selitysten sisältöä.

Muutettu yleissopimus ei sisällä selityksiä koskevia määräyksiä lukuun ottamatta 28 artiklan mukaisia alueellisia selityksiä koskevat määräykset. Jos osapuoli tallettaisi allekirjoittamisen, ratifioinnin tai hyväksynnän yhteydessä selityksen, kyseessä olisi siten sopimusmääräyksiin perustumaton tulkintaselitys. Tulkintaselitys ei saisi muodostaa varaumaa.

39 artikla. Varaumat. Artiklan mukaan pöytäkirjan määräyksiin ei voida tehdä varaumia. Myöskään voimassa oleva yleissopimus ja tarkistettu yleissopimus eivät salli varaumia.

40 artikla. Ilmoitukset. Artiklan mukaan Euroopan neuvoston pääsihteeri ilmoittaa Euroopan neuvoston jäsenvaltioille ja muille yleissopimuksen osapuolille allekirjoittamisista (a alakohta), ratifioimis-, hyväksymis- ja liittymiskirjojen tallettamisista (b alakohta), pöytäkirjan 37 artiklan mukaisesta voimaantulopäivästä (c alakohta) ja muista pöytäkirjaan liittyvistä toimista, ilmoituksista ja tiedonannoista (d alakohta).

Pöytäkirjan liite. Yleissopimuksen komitean työjärjestyksen perusteet. Muutospöytäkirjaan sisältyy liite. Liitteen oikeudellinen asema ei ilmene nimenomaisesti pöytäkirjan tekstistä, mutta pöytäkirjan 30 artiklan 3 ja 4 kohta viittaisivat siihen, että liite on erottamaton osa pöytäkirjaa, koska 3 kohdan mukaan äänestysjärjestelyistä määrätään liitteenä olevissa työjärjestyksen perusteissa ja 4 kohdan mukaan yleissopimuksen komitea laatii muut työjärjestyksensä perusteet. Liitteellä olisi siten sama oikeusvaikutus kuin muilla pöytäkirjan määräyksillä. Liite sisältää äänestystä koskevat yksityiskohtaiset säännöt. Näihin sisältyvät myös säännöt tilanteissa, joissa alueellisen yhdentymisen järjestöt kuten Euroopan unioni käyttävät toimivaltaansa kuuluvissa asioissa äänioikeutta. Euroopan unioni voisi käyttää äänioikeuttaan siinä tapauksessa, että sen jäsenvaltiot eivät käytä omaa äänioikeuttaan.

8.1 Laki yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen muuttamisesta tehdystä pöytäkirjasta

1 §. Pykälä sisältäisi tavanomaisen blankettilain säännöksen, jonka mukaan muutospöytäkirjan lainsäädännön alaan kuuluvat määräykset ovat lakina voimassa sellaisina kuin Suomi on niihin sitoutunut. Muutospöytäkirjan määräykset vastaavat suurimmaksi osaksi henkilötietojen käsittelyyn sovellettavan lainsäädännön sisältöä siten kuin pöytäkirjan artiklakohtaisissa perusteluissa tarkemmin selostetaan. Muutospöytäkirjan suhdetta perustuslakiin selostetaan jäljempänä eduskunnan suostumuksen tarpeellisuutta ja käsittelyjärjestystä koskevassa jaksossa.

2 §. Pykälään ehdotetaan sisällytettäväksi säännös, jossa tietosuojavaltuutettu ja Ahvenanmaan maakuntalainsäädännössä tarkoitettu Datainspektionen nimettäisiin yleissopimuksen 15 artiklan 1 kohdassa tarkoitetuiksi sen määräysten noudattamista valvoviksi viranomaisiksi. Nimenomainen säännös olisi uusi, mutta vastaisi nykyistä käytäntöä. Säännös on tarpeen, koska tietosuojalain 8 §:llä perustettu tietosuojavaltuutettu on 8 §:n 1 momentin mukaan toimivaltainen valvomaan yleisen tietosuoja-asetuksen noudattamista. Tietosuojalain 14 §:n 1 momentin mukaan tietosuojavaltuutetulla on kuitenkin myös muissa laissa säädettyjä tehtäviä ja toimivaltuuksia. Yleissopimuksen mukaisesta valvontatehtävästä ei säädetä voimassa olevassa lainsäädännössä. Kumotun henkilötietolain 38 §:n 3 momentti sisälsi yleisluontoisen säännöksen, jonka nojalla tietosuojalautakunta ja tietosuojavaltuutettu ovat voineet harjoittaa valvontaa myös silloin, kun henkilötietojen käsittelyyn ei ole sovellettu henkilötietolakia. Huomioiden lainsäädännön muutokset, yleissopimukseen perustuvasta valvontatehtävästä olisi säädettävä nimenomaisesti. Myös Ahvenanmaan maakunnan viranomaisen tehtävän olisi syytä ilmetä laista vastaavasti, huomioiden Ahvenanmaan itsehallintolain mukaisen lainsäädäntövallan jakautumisen.

Lisäksi pykälään sisällytettäisiin säännös, jonka mukaan yleissopimuksen noudattamista valvovien viranomaisten tehtäviin ja toimivaltuuksiin sovelletaan, mitä niistä erikseen säädetään. Tämä tarkoittaisi sitä, että yleissopimuksen mukaiseen valvontaan sovellettaisiin toimivaltuuksia sellaisina kuin niistä säädetään jo tietosuojalaissa ja Ahvenanmaan maakuntalainsäädännössä, eikä yleissopimuksesta seuraisi laajempaa toimivaltaa. Tällä olisi merkitystä muun muassa sen varmistamiseksi, että tietosuojavaltuutetulla ei olisi myöskään yleissopimuksen nojalla toimivaltuuksia kohdistaa valvontaa valtiopäivätoimintaan, tuomioistuimiin, Eduskunnan oikeusasiamieheen ja Oikeuskansleriin.

3 §. Pykälän mukaan annettavalla lailla kumottaisiin yksilöiden suojelusta henkilötietojen automaattisessa tietojen käsittelyssä tehtyyn Euroopan neuvoston yleissopimukseen tehdyn lisäpöytäkirjan lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta annettu laki (408/2012). Lisäpöytäkirjan määräykset on sisällytetty yleissopimuksen muutospöytäkirjaan, jonka mukaisesti lisäpöytäkirja kumoutuu, kun muutospöytäkirja tulee voimaan.

4 §. Pykälä sisältäisi säännöksen, jonka mukaan pöytäkirjan muiden kuin lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta säädetään valtioneuvoston asetuksella. Voimaantulon ajankohta poikkeaisi 2. ja 3. lakiehdotuksen voimaantulosta, jonka olisi muutospöytäkirjan mukaan ajoituttava viimeistään samaan ajankohtaan kuin pöytäkirjan hyväksynnän tai ratifioinnin.

5 §. Pykälä sisältäisi tavanomaisen voimaansaattamissäännöksen, jonka mukaan lain voimaantulosta säädettäisiin valtioneuvoston asetuksella. Laki on tarkoitettu tulemaan voimaan viimeistään samaan aikaan, kun pöytäkirja tulee Suomen osalta voimaan.

8.2 Tietosuojalaki

18 a §. Yhteistyö kolmansien maiden valvontaviranomaisten kanssa. Tietosuojalakiin ehdotetaan lisättäväksi uusi pykälä, joka koskisi tietosuojayleissopimuksessa tarkoitettujen valvontaviranomaisten kanssa tehtävää yhteistyötä siltä osin kuin on kyse EU:n ulkopuolisista maista. EU:n jäsenvaltioiden tietosuojaviranomaisten väliseen yhteistyöhön sovelletaan suoraan tietosuoja-asetuksen säännöksiä. Sen lisäksi, mitä tietosuoja-asetuksen 61 artiklassa säädetään EU:n jäsenvaltioiden valvontaviranomaisten keskinäisestä avunannosta, tietosuojavaltuutetulla olisi oikeus ryhtyä tarvittaviin toimenpiteisiin tehokkaan yhteistyön varmistamiseksi yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen määräysten noudattamista valvovien viranomaisten kanssa. Tietosuojavaltuutetulla olisi oikeus luovuttaa salassapitosäännösten estämättä kyseisille valvontaviranomaisille henkilötietoja tai muita tietoja valvontatehtävän suorittamiseksi, jos ne ovat välttämättömiä rekisteröidyn oikeuksien turvaamiseksi tai jos rekisteröity on antanut henkilötietojen luovuttamiseen nimenomaisen suostumuksen.

Muutospöytäkirjan 22 artiklalla muutetun yleissopimuksen 17 artiklan säännökset ovat kumoutuvan lisäpöytäkirjan 1 artiklan 5 kohtaa yksityiskohtaisemmat. Valvontaviranomaisilla olisi erityisesti oikeus vaihtaa tietoja valvontaan liittyen sekä toteuttaa yhteisiä operaatioita. Luovutettavat tiedot eivät välttämättä kaikissa tilanteissa sisältäisi henkilötietoja, mutta valvontaviranomaisilla voisi olla tarve luovuttaa niitä, jos henkilötiedot ovat yhteistyön kannalta olennaisia tai jos kyseinen rekisteröity on antanut suostumuksensa henkilötietojen luovuttamiseen. Tietosuoja-asetuksen, tietosuojalain ja rikosasioiden tietosuojalain säännösten sekä julkisuuslain säännösten valossa jää jossain määrin epäselväksi, olisiko tietosuojavaltuutetulla oikeus aukottomasti luovuttaa kolmansien maiden valvontaviranomaisten kanssa tehtävää yhteistyötä varten tietoja erityisesti, jos niitä koskee jokin salassapitoperuste. Valvontaviranomaiset muodostaisivat myös keskenään verkoston muutetun yleissopimuksen 17 artiklan mukaisen yhteistyönsä ja tehtäviensä hoitamista varten. Tietosuoja-asetuksessa ja rikosasioiden tietosuojalaissa säädetään nimenomaisesti vain EU:n jäsenvaltioiden valvontaviranomaisten välisestä yhteistyöstä. Perustuslain vaatimusten huomioimiseksi tietosuojalain tarkentaminen näiltä osin olisi tarpeen. Lainmuutos olisi myös tarpeen sen varmistamiseksi, että kolmansien maiden valvontaviranomaiset saisivat yleissopimuksen soveltamisalaan kuuluvien tehtäviensä hoitamiseksi ja toimivaltuuksiensa käyttämiseksi tarvittavat tiedot, sekä sen varmistamiseksi, että tietosuojavaltuutettu pystyy tekemään tehokkaasti yhteistyötä myös näiden valvontaviranomaisten kanssa sen mukaisesti, mitä tietosuojayleissopimus edellyttää.

Tietosuojavaltuutetun oikeuteen luovuttaa salassa pidettävä tieto ulkomaan viranomaiselle sovellettaisiin muutoin, mitä julkisuuslain 30 §:ssä säädetään. Tieto voitaisiin luovuttaa samoin edellytyksin kuin tieto voidaan luovuttaa lain 29 §:n nojalla Suomen viranomaiselle. Julkisuuslain säännökset tulisivat sovellettavaksi ilman eri viittausta. Lisäksi henkilötietojen luovuttamiseen kolmansiin maihin olisi sovellettava tietosuoja-asetuksen V luvun säännöksiä sekä noudatettava muita tietosuoja-asetuksen vaatimuksia.

8.3 Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä

1 §. Soveltamisala. Pykälän 3 momenttia ehdotetaan muutettavaksi siten, että lain 10 §:n 2 momenttia ja 7 lukua sovellettaisiin pykälän 2 momentissa tarkoitettuun henkilötietojen käsittelyyn.

Ehdotetulla lainmuutoksella pantaisiin täytäntöön kansallisen turvallisuuden ja puolustuksen (kansallisen turvallisuuden ylläpitämisen) yhteydessä suoritettavan henkilötietojen käsittelyn osalta tietosuojayleissopimuksen uudelleen numeroidun 14 artiklan 2-4 kohta, joista ei voida poiketa uudelleen numeroidun 11 artiklan nojalla. Sen sijaan artiklan 5 ja 6 kohtaan on mahdollista säätää poikkeuksia muun muassa kansallisen turvallisuuden ja puolustuksen perusteella. Rikosasioiden tietosuojalaissa ei ole kuitenkaan rajoitettu tietosuojavaltuutetun toimivaltuuksia siltä osin kuin on kyse 5 ja 6 kohdassa tarkoitetuista toimivaltuuksista.

Artiklan 2-4 kohta koskevat henkilötietojen siirtoja yleissopimuksen ulkopuolisiin maihin. Yleissopimuksesta poiketen vaatimukset koskisivat edelleen kaikkia Euroopan unionin ulkopuolisia kolmansia maita sekä kansainvälisiä järjestöjä. Artiklan 1 kohta mahdollistaa tällaisen ratkaisun. Kyseisen kohdan perusteella Euroopan unionin jäsenvaltioissa sovelletaan 1 artiklan sijasta jäsenvaltioita sitovia harmonisoituja säännöksiä, joiden perusteella EU:n ulkopuolisia valtioita ei voi tietosuojan riittävän tason osalta rinnastaa jäsenvaltioihin. Kumotun henkilötietolain säännökset, jotka koskivat henkilötietojen siirtoja Euroopan unionin ja Euroopan talousalueen ulkopuolelle, oli myös laajennettu henkilötietodirektiivin soveltamisalasta poiketen koskemaan Suomessa kaikkia rekisterinpitäjiä ja henkilötietojen käsittelijöitä, ja ovat siten koskeneet myös kansallisen turvallisuuden ylläpitämisestä vastaavia viranomaisia. Yleissopimuksen muutospöytäkirjan vaatimukset eivät kuitenkaan ole yhtä yksityiskohtaisia kuin rikosasioiden henkilötietolain voimassa olevat säännökset, joilla pannaan täytäntöön rikosasioiden tietosuojadirektiivin vaatimukset.

Voimassa olevien säännösten laajentamista puoltaa se, että myös kumotun henkilötietodirektiivin vaatimukset koskivat Suomessa kaikkea henkilötietojen käsittelyä. Säännösten osittainen laajentaminen olisi lainsäädäntöteknisesti hankalaa, mistä syystä mahdolliset poikkeukset ehdotetaan edelleen tehtäväksi erityislainsäädännössä. Lisäksi yleislaissa tehtävä poikkeus on tarpeeton, koska rikosasioiden tietosuojalain voimaantulon jälkeen säädetyn poliisin henkilötietolain 46 §:n 2 momenttiin ja puolustusvoimien henkilötietolain 2 §:ään on sisällytetty 7 luvun soveltamista koskevat saman sisältöiset poikkeukset. Erityislainsäädäntöön olisi edelleen mahdollista rikosasioiden tietosuojalain 2 §:n mukaisesti sisällyttää ehdotetusta pykälästä poikkeavia säännöksiä, edellyttäen, että ne täyttävät muutospöytäkirjassa määrätyt vaatimukset.

Samalla 3 momentista poistettaisiin poliisin henkilötietolain 46 §:n 2 momentin ja Puolustusvoimien henkilötietolain 2 §:n kanssa päällekkäinen viittaus rikosasioiden tietosuojalain 10 §:n 2 momenttiin. Sen sijaan viittaus 54 §:ään säilytettäisiin. Kyseinen pykälä liittyy tietosuojavaltuutetun toimivaltuuksiin, joista säädetään ensisijaisesti yleislaeissa. Lainsäädäntöteknisesti on selkeämpää, että valvojan toimivaltuuksia koskeva poikkeus sisältyy myös samaan lakiin kuin pykälä, jonka nojalla keskinäiseen avunantoon liittyviä toimivaltuuksia käytetään.

54 §. Keskinäinen avunanto. Pykälään ehdotetaan lisättäväksi uusi 3 momentti, joka vastaisi sisällöltään tietosuojalakiin lisättävää uutta 18 a §:ää. Momentin mukaan tietosuojavaltuutetulla olisi oikeus ryhtyä tarvittaviin toimenpiteisiin tehokkaan yhteistyön varmistamiseksi yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen määräysten noudattamista valvovien viranomaisten kanssa. Tietosuojavaltuutetulla olisi oikeus luovuttaa salassapitosäännösten estämättä kyseisille valvontaviranomaisille henkilötietoja tai muita tietoja valvontatehtävän suorittamiseksi, jos ne ovat välttämättömiä rekisteröidyn oikeuksien turvaamiseksi tai jos rekisteröity on antanut henkilötietojen luovuttamiseen nimenomaisen suostumuksen. Ehdotetut säännökset olisivat tarpeen myös rikosasioiden tietosuojalaissa, koska sen säännökset keskinäisestä avunannosta koskevat pelkästään EU:n jäsenvaltioiden valvontaviranomaisia.

Rikosasioiden tietosuojalain nojalla tapahtuvaa yhteistyötä varten voitaisiin luovuttaa henkilötietoja samoin edellytyksin kuin tietosuojalain mukaista yhteistyötä varten. Lisäksi sovellettaisiin julkisuuslakia sekä tietosuojalain vaatimuksia henkilötietojen siirroista kolmansiin maihin ja kansainvälisille järjestöille.

Muutospöytäkirja on avoinna yleissopimuksen sopimusvaltioiden allekirjoittamista varten, ja edellyttää lisäksi ratifiointia tai hyväksyntää. Sen jälkeen, kun pöytäkirja on avattu allekirjoittamista varten ja ennen sen voimaantuloa, yleissopimuksen ulkopuoliset valtiot voivat tulla pöytäkirjan osapuoliksi liittymällä siihen. Yleissopimuksen ulkopuolinen valtio ei voi tulla yleissopimuksen osapuoleksi liittymättä samalla pöytäkirjaan.

Muutospöytäkirja tulee kansainvälisesti voimaan sitä seuraavan kuukauden ensimmäisenä päivänä, kun on kulunut kolme kuukautta siitä, kun kaikki yleissopimuksen osapuolet ovat ilmaisseet suostumuksensa tulla pöytäkirjan sitomiksi joko ratifioimalla tai hyväksymällä sen. Jos pöytäkirja ei ole tullut voimaan, kun on kulunut viisi vuotta siitä päivästä, jona se avattiin allekirjoittamista varten, pöytäkirja tulee voimaan, kun vähintään 38 osapuolta on ilmaissut suostumuksensa tulla sen sitomaksi. Pöytäkirjan osapuolten välillä muutetun yleissopimuksen määräyksillä on voimaantulosta lähtien välitön oikeusvaikutus.

Muutospöytäkirja mahdollistaa sen, että Euroopan unionista tulee muutetun tietosuojayleissopimuksen osapuoli sen jälkeen, kun pöytäkirja on tullut voimaan. Euroopan unionin ja sen jäsenvaltioiden jaetusta toimivallasta johtuen (ks. tarkemmin jäljempänä kappale 13.1) Euroopan unionin neuvosto valtuutti päätöksellään 9 päivänä huhtikuuta 2019 jäsenvaltiot ratifioimaan muutospöytäkirjan unionin edun mukaisesti siltä osin kuin sen määräykset kuuluvat unionin yksinomaiseen toimivaltaan. Hallituksen tavoitteena on mahdollisimman pikainen ratifiointi vuoden 2020 aikana sen jälkeen, kun eduskunta on hyväksynyt muutospöytäkirjan siltä osin kuin se kuuluu Suomen toimivaltaan sekä esitykseen sisältyvät lakiehdotukset. Esityksen 2. ja 3. lakiehdotus on tarkoitettu tulemaan voimaan viimeistään samanaikaisesti, kun Suomi tallettaa ratifioimiskirjansa Euroopan neuvoston pääsihteerin huostaan. Esityksen 1. lakiehdotus on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana samaan aikaan, kun pöytäkirja tulee Suomen osalta voimaan.

Ahvenanmaan maakunnan lainsäädäntövallasta säädetään Ahvenanmaan itsehallintolain 18 §:ssä. Valtakunnan lainsäädäntövallasta säädetään lain 27 §:ssä. Hallituksen esityksen valmistelun yhteydessä arvioinnin kohteena olleesta lainsäädännöstä suurin osa kuuluu valtakunnan lainsäädäntövaltaan ja sitä sovelletaan sellaisenaan Ahvenanmaalla. Ahvenanmaalla on kuitenkin lainsäädäntövaltaa erityisesti siltä osin kuin on kyse elinkeinotoiminnasta ottaen huomioon, mitä on säädetty lain 11 §:ssä, 27 §:n 2, 4, 9, 12–15, 17–19, 26, 27, 29–34, 37 ja 40 kohdassa sekä 29 §:n 1 momentin 3–5 kohdassa, kuitenkin niin, että myös maakuntapäivillä on toimivalta ryhtyä toimenpiteisiin näissä kohdissa tarkoitetun elinkeinotoiminnan edistämiseksi, teon rangaistavaksi säätämisestä ja rangaistuksen määrästä, kun on kysymys maakunnan lainsäädäntövaltaan kuuluvasta oikeudenalasta, sekä uhkasakon asettamisesta ja tuomitsemisesta sekä muiden pakkokeinojen käytöstä, kun on kysymys maakunnan lainsäädäntövaltaan kuuluvasta oikeudenalasta.

Ahvenanmaan maakunnan ja kuntien viranomaisten hallussa olevien henkilötietojen suoja on Ahvenanmaan itsehallintolain 19 §:ssä tarkoitetussa maakuntalakien lainsäädäntövalvonnassa katsottu itsehallintolain 18 §:n 1 ja 4 kohdan nojalla kuuluvan maakunnan lainsäädäntövaltaan. Yleinen tietosuoja-asetus koskee Ahvenanmaan maakunnan lainsäädäntövaltaan kuuluvia asioita siltä osin kuin asetuksessa tarkoitettu henkilötietojen suoja liittyy itsehallintolain 18 §:n 1 ja 4 kohdassa mainittuihin asioihin ja toimialoihin. Vastaavasti henkilötietojen käsittelystä Ahvenanmaan poliisiviranomaisen toimesta on katsottu, että lainsäädäntövalta on jaettu siten, että Ahvenanmaalla on lainsäädäntövaltaa yleisen järjestyksen ja turvallisuuden ylläpidon osalta.

Maakuntapäivät on 21.11.2018 hyväksynyt uudet maakuntalait, joilla täydennetään maakunnassa EU:n yleistä tietosuoja-asetusta. Tasavallan presidentti vahvisti maakuntalait 15.3.2019, mukaan lukien uuden lain tietosuojasta Ahvenanmaan maakunta- ja kunnallishallinnossa (Landskapslag om dataskydd inom landskaps och kommunalförvaltningen), lukuun ottamatta eräitä säännöksiä. Ahvenanmaan maakuntapäivät on hyväksynyt 10.4.2019 uudet maakuntalait, joilla kumotaan poliisia koskevat maakuntalait (landskapslagen (1999:50) om tillämpning i landskapet Åland av riksförfattningar om personuppgifter; landskapslagen (1999:49) om polisens grundregister) ja saatettaisiin voimaan Ahvenanmaalla rikosasioiden tietosuojalaki ja poliisin henkilötietolaki. Tasavallan presidentti vahvisti maakuntalait 9.8.2019. Maakuntapäivät on aiemmin antanut hyväksyntänsä yleissopimuksen ja lisäpöytäkirjan voimaantulolle maakunnassa siltä osin kuin ne sisältävät maakunnan lainsäädäntövaltaan kuuluvia määräyksiä.

Muutospöytäkirja sisältää useilta osin määräyksiä, jotka kuuluvat Ahvenanmaan maakunnan lainsäädännön alaan ja siten maakunnan toimivaltaan. Kyseessä olevat määräykset tulevat itsehallintolain 59 §:n 1 momentin mukaan voimaan maakunnassa vain, jos maakuntapäivät hyväksyy pöytäkirjan voimaansaattamissäädöksen.

Muutospöytäkirjan voimaantulon myötä yleissopimuksen osapuolten lainsäädäntötoimien tehokkuutta tullaan arvioimaan yleissopimuksen komitean erikseen vahvistaman menettelyn mukaisesti. Tämän kansainvälisen arvioinnin on tarkoitus kattaa sekä EU:n tietosuojalainsäädäntö että kansallinen henkilötietojen käsittelyä koskeva lainsäädäntö, mukaan lukien erityislainsäädäntö. Suomella on osapuolena velvollisuus aktiivisesti myötävaikuttaa arviointimenettelyyn. Tämä tarkoittaa käytännössä ainakin lainsäädäntöä ja sen soveltamiskäytäntöä koskevien tietojen toimittamista komitealle tai sen alaiselle työryhmälle arviointia varten. Ensimmäisen Suomen lainsäädännön arvioinnin todennäköinen ajankohta ei ole vielä tiedossa. Komitealla on muutospöytäkirjan voimaantulon jälkeen toimivaltuudet antaa suosituksia toimenpiteiksi, jos se katsoo, että osapuolen lainsäädäntö ei vastaa yleissopimuksen vaatimuksia.

Sen jälkeen, kun muutospöytäkirja on tullut voimaan, kansallisesti on tarkoitus seurata sen vaikutuksia erityisesti tietosuojavaltuutetun toimintaan ja resursseihin.

12.1 Eduskunnan suostumuksen tarpeellisuus

Sekasopimuksilla tarkoitetaan sopimuksia, joissa osapuolena on sekä Euroopan unioni että yksi tai useampi unionin jäsenvaltio. Sekasopimuksiin rinnastetaan myös ne sopimukset, joissa unioni ei voi olla osapuolena, mutta joissa osapuolena olevat jäsenvaltiot käyttävät unionin puolesta sen toimivaltaa (PeVL 16/2004 vp). Eduskunta hyväksyy vakiintuneen käytännön mukaan tällaisen sekasopimuksen vain siltä osin kuin se kuuluu Suomen toimivaltaan (PeVL 16/2004 vp, PeVL 6/2005 vp, PeVL 56/2010 vp ja PeVL 62/2010 vp).

Perustuslakivaliokunta on pitänyt tärkeänä, että toimivallan jakautumiseen kiinnitetään riittävästi huomiota laadittaessa hallituksen esityksiä sopimuksista, joiden määräysten osalta sekä unionilla että jäsenvaltioilla on toimivaltaa. Esityksistä tulee ilmetä, miltä osin sopimukset kuuluvat Suomen toimivaltaan (PeVL 6/2001 vp, PeVL 6/2005 vp ja PeVL 62/2010 vp).

Unionin toimivallasta henkilötietojen suojaa koskevissa asioissa määrätään Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä SEUT, 16 artiklassa. Artiklan 2 kohdan mukaan Euroopan parlamentti ja neuvosto antavat tavallista lainsäätämisjärjestystä noudattaen luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, silloin kun viimeksi mainitut toteuttavat unionin oikeuden soveltamisalaan kuuluvaa toimintaa, suorittamaa henkilötietojen käsittelyä, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

Euroopan unionista tehdyn sopimuksen, jäljempänä SEU, V osaston 2 luvun 39 artikla koskee henkilötietojen suojaa yhteisen ulko- ja turvallisuuspolitiikan alalla. Artikla sisältää oikeusperustan neuvoston päätökselle, jolla vahvistetaan SEUT 16 artiklan mukaisesti ja sen 2 kohdasta poiketen luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat henkilötietojen käsittelyä jäsenvaltioiden viranomaisissa yhteisen ulko- ja turvallisuuspolitiikan alalla, sekä säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.

SEUT 4 artiklan 1 kohdan mukaan EU:n toimivalta on jäsenvaltioiden kanssa jaettua silloin, kun toimivalta ei koske SEUT 3 artiklassa tarkoitettuja EU:n yksinomaisen toimivallan aloja tai SEUT 6 artiklassa tarkoitettuja aloja, joilla EU:lla on toimivalta toteuttaa tuki-, yhteensovittamis- tai täydennystoimia. Edellä esitetyistä perussopimusten määräyksistä seuraa, että toimivalta Euroopan unionin ja sen jäsenvaltioiden välillä on muutospöytäkirjan kattamalla alalla luonteeltaan jaettua.

Unioni on käyttänyt sisäistä toimivaltaansa SEUT 16 artiklan nojalla unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden suorittaman henkilötietojen osalta. Yleinen tietosuoja-asetus ja rikosasioiden tietosuojadirektiivi tulivat voimaan 5 päivänä toukokuuta 2016. Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725 luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta tuli voimaan 11 päivänä joulukuuta 2018. Henkilötietojen käsittelyä koskevia säännöksiä sisältyy myös EU:n virastoja ja tietojärjestelmiä koskevaan erityislainsäädäntöön.

Yleistä tietosuoja asetusta ei sovelleta sen 2 artiklan mukaan henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan, jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaan, tai jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa. Yleistä tietosuoja-asetusta ei sovelleta myöskään henkilötietojen käsittelyyn siltä osin kuin se kuuluu rikosasioiden tietosuojadirektiivin soveltamisalaan, tai lainsäädäntöön, jota sovelletaan unionin toimielinten, elinten ja laitosten suorittamaan henkilötietojen käsittelyyn.

Rikosasioiden tietosuojadirektiiviä ei myöskään sovelleta henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, tai jota suorittavat unionin toimielimet, elimet ja laitokset.

Neuvosto ei ole toistaiseksi tehnyt SEU V osaston 2 luvun 39 artiklassa tarkoitettuja henkilötietojen suojaa yhteisen ulko- ja turvallisuuspolitiikan alalla koskevia päätöksiä.

Unionilla on edellä selostetun perusteella toimivalta hyväksyä ne muutospöytäkirjan määräykset, joissa tarkoitetuissa asioissa se on käyttänyt sisäistä toimivaltaansa. Muilta osin muutospöytäkirjan määräykset kuuluvat Suomen toimivaltaan.

Unioni ei voi allekirjoittaa eikä ratifioida muutospöytäkirjaa, koska tietosuojayleissopimuksessa määrätään, että ainoastaan valtiot ovat sen osapuolia. Euroopan unionin neuvosto on 9 päivänä huhtikuuta 2019 valtuuttanut jäsenvaltiot ratifioimaan muutospöytäkirjan toimien yhdessä unionin edun mukaisesti, siltä osin kuin sen määräykset kuuluvat unionin yksinomaiseen toimivaltaan.

Eduskunta hyväksyy perustuslain 94 §:n 1 momentin mukaan sellaiset valtiosopimukset ja muut kansainväliset velvoitteet, jotka sisältävät lainsäädännön alaan kuuluvia määräyksiä tai ovat muutoin merkitykseltään huomattavia taikka vaativat perustuslain mukaan muusta syystä eduskunnan hyväksymisen. Perustuslain 95 §:n 1 momentin mukaan valtiosopimuksen ja muun kansainvälisen velvoitteen lainsäädännön alaan kuuluvat määräykset saatetaan voimaan lailla. Muilta osin kansainväliset velvoitteet saatetaan voimaan asetuksella.

Valtiosopimuksen tai muun kansainvälisen velvoitteen määräykset on luettava lainsäädännön alaan, jos määräys koskee jonkin perustuslaissa turvatun perusoikeuden käyttämistä tai rajoittamista, jos määräys muutoin koskee yksilön oikeuksien tai velvollisuuksien perusteita, jos määräyksen tarkoittamasta asiasta on perustuslain mukaan säädettävä lailla taikka jos määräyksen tarkoittamasta asiasta on voimassa lain säännöksiä tai jos siitä on Suomessa vallitsevan käsityksen mukaan säädettävä lailla. Kysymykseen ei vaikuta se, onko jokin määräys ristiriidassa vai sopusoinnussa Suomessa lailla annetun säännöksen kanssa (PeVL 11/2000 vp, PeVL 12/2000 vp ja PeVL 19/2010 vp).

Tietosuojayleissopimuksen muutospöytäkirjan määräykset koskevat henkilötietojen suojaa, josta perustuslain 10 §:n 1 momentin mukaan säädetään tarkemmin lailla. Perustuslakivaliokunta on pitänyt henkilötietojen käsittelyä koskevassa valtiosääntöisessä arviossa merkityksellisenä myös käsittelyn tarkoitusta yksilöön kohdistuvan julkisen vallan käytön mahdollistajana (ks. PeVL 1/2018 vp, s. 6). Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin. Pöytäkirjalla muutetaan laajalti voimassa olevan tietosuojayleissopimuksen määräyksiä. Muutokset kohdistuvat määräyksiin, jotka koskevat yleissopimuksen tarkoitusta (1 artikla), määritelmiä (2 artikla), soveltamisalaa (3 artikla), henkilötietojen käsittelyä koskevia periaatteita (II luku) mukaan lukien rekisteröidyn oikeudet, rajat ylittäviä henkilötietojen siirtoja (III luku) ja valvontaviranomaisia (IV luku), sopimuspuolten välistä yhteistyötä (V luku) ja yleissopimuksen komiteaa (VI luku), minkä lisäksi muutoksia on tehty yleissopimuksen muuttamista koskeviin määräyksiin (VII luku) ja loppumääräyksiin (VIII luku). Pöytäkirjalla muutetun 1-3 artiklan sekä I-IV luvun tarkoittamista asioista on voimassa lain säännöksiä, jotka koskevat henkilötietojen suojaa tai viranomaisen toimivaltuuksia. Nämä kaikki kuuluvat jo asian luonteen puolesta lainsäädännön alaan. Lisäksi lainsäädännön alaan kuuluvat eräät pöytäkirjalla muutetut V luvun määräykset, jotka liittyvät viranomaisen valtion rajat ylittävien toimivaltuuksien käyttämiseen. Muilta osin määräykset koskevat sopimusvaltiolle asetettuja velvoitteita, mukaan lukien komiteassa tehtävä kansainvälinen yhteistyö.

Perustuslakivaliokunnan käytännössä on myös lähdetty siitä, että eduskunta antaa nimenomaisella päätöksellä suostumuksen sellaisten lainsäädännön alaan kuuluvia sopimusmääräyksiä koskevien varaumien, selitysten ja julistusten antamiseen, jotka vaikuttavat Suomen kansainvälisten velvoitteiden sisältöön tai laajuuteen itse sopimuksiin verrattuna (PeVL 16/2005 vp, PeVM 2/2008 vp, PeVL 19/2010 vp ja PeVL 29/2010 vp).

Muutettu yleissopimus ei salli varaumia. Sen sijaan yleissopimuksen 28 artiklan nojalla valtio, Euroopan unioni tai muu kansainvälinen järjestö voi yleissopimuksen allekirjoittaessaan tai ratifioimis-, hyväksymis- tai liittymiskirjansa tallettaessaan antaa selityksen, jossa täsmennetään alue tai alueet, joihin tätä yleissopimusta sovelletaan.

Muutospöytäkirja ei sisällä muita selityksiä koskevia sopimusmääräyksiä. Pöytäkirjan ratifioinnin yhteydessä olisi yleisen valtiosopimusoikeuden mukaisesti kuitenkin mahdollista antaa sopimusmääräyksiin perustumaton tulkintaselitys, edellyttäen, että selitys ei muodosta yleissopimuksessa kiellettyä varaumaa eikä poista tai muuta yleissopimuksen oikeusvaikutuksia. Muutospöytäkirjan ratifioinnin yhteydessä ehdotetaan annettavaksi yleissopimuksen 3 artiklan 1 kohtaa koskeva selitys, jossa täsmennettäisiin, millä tavalla julkisen sektorin käsitettä tulkitaan Suomessa yleissopimusta sovellettaessa.

12.2 Käsittelyjärjestys

Ehdotetut lainmuutokset ovat merkityksellisiä perustuslain 10 §:ssä turvatun yksityiselämän suojan kannalta. Perustuslain 10 §:n 1 momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla. Perustuslakivaliokunta on vakiintuneesti pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista. (PeVL 14/2018 vp, s. 2-3, PeVL 1/2018 vp, s. 2 ja PeVL 14/1998 vp, s. 2).

Perustuslain 10 §:n mukaista suojaa täydentävät ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (Euroopan ihmisoikeussopimus) 8 artiklan mukainen yksityiselämän suoja sekä Euroopan unionin perusoikeuskirjan 7 artiklassa turvattu yksityiselämän suoja ja 8 artiklassa turvattu henkilötietojen suoja. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Perusoikeuskirjan 52 artiklan 3 kohdan mukaan, siltä osin kuin perusoikeuskirjan oikeudet vastaavat Euroopan ihmisoikeussopimuksessa taattuja oikeuksia, niiden merkitys ja ulottuvuus ovat samat. EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä. Samoin Euroopan ihmisoikeussopimuksen 8 artiklan on Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä katsottu kattavan myös henkilötietojen suojan.

Perustuslakivaliokunnan mukaan henkilötietojen suojan valtiosääntöisessä arviossa painopiste on henkilötietojen suojan ja käsittelyä määrittävien säännösten sisällöllisessä arvioinnissa. Kansallisen liikkumavaran käyttöön kohdistuvassa valtiosääntöisessä arvioinnissa ovat merkityksellisiä esimerkiksi paitsi yksityiselämän ja henkilötietojen suojan asettamat sisällölliset vaatimukset myös muiden informaatioon liittyvien perusoikeuksien suojan suhde yksityiselämän ja henkilötietojen suojaan. Valtiosääntöisiä kysymyksiä liittyy myös esimerkiksi kansallista sääntelyä edellyttäviin oikeusturvan ja hyvän hallinnon takeisiin (ks. PeVL 14/2018 vp, s. 7). Perustuslakivaliokunta painottaa edelleen, että yksityiselämän ja henkilötietojen suojalla ei ole etusijaa muihin perusoikeuksiin nähden (ks. PeVL 14/2018 vp, s. 8). Arvioinnissa on kyse kahden tai useamman perusoikeussäännöksen yhteensovittamisesta ja punninnasta (ks. esim. PeVL 54/2014 vp, s. 2/II, PeVL 10/2014 vp, s. 4/II).

Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on erityisesti arkaluonteisten henkilötietojen käsittelyn osalta ja perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta. Valiokunta on toisaalta kiinnittänyt huomiota myös henkilötietojen käsittelyä koskevan sääntelyn raskauteen ja monimutkaisuuteen (ks. PeVL 14/2018 vp, s. 6-7 sekä esim. PeVL 31/2017 vp, s. 4 ja PeVL 71/2014 vp, s. 3). Valiokunta on muistuttanut tämän johdosta, että henkilötietojen suojaan liittyvät sääntelyn kattavuuden, täsmällisyyden ja tarkkarajaisuuden vaatimukset voidaan joiltain osin täyttää tietosuoja-asetuksen soveltamisalan ulkopuolella kansalliseen oikeuteen sisältyvällä yleislailla (PeVL 14/2018 vp, s. 6-7; ks. myös PeVL 31/2017 vp, s. 3—4, PeVL 5/2017 vp, s. 9, PeVL 38/2016 vp, s. 4). Valiokunnan mielestä henkilötietoja koskevan lainsäädännön selvyys edellyttää, että erityislainsäädäntöön ei myöskään sisällytetä sellaisia sääntelykokonaisuuksia, joista säädetään riittävällä täsmällisyydellä ja tarkkuudella henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettavassa laissa. (PeVL 14/2018 vp, s. 6-7)

Muutetun yleissopimuksen määräykset vastaavat sisällöllisesti pääosin yleisen tietosuoja-asetuksen säännöksiä sekä perustuslakivaliokunnan myötävaikutuksella hyväksyttyjä tieto-suojalain ja rikosasioiden tietosuojalain säännöksiä. Muutetun yleissopimuksen määräykset pantaisiin edelleen ensisijaisesti täytäntöön yleissäädöksillä, vaikka esimerkiksi siinä tarkoitetuista rekisteröidyn oikeuksien rajoituksista on mahdollista säätää myös erityislainsäädännössä.

Voimassa olevat rikosasioiden tietosuojalain säännökset, jotka koskevat henkilötietojen siirtoa kolmansiin maihin ja kansainvälisille järjestöille, eivät kuitenkaan riittävää tietosuojan tasoa koskevien edellytysten osalta täytä yleissopimuksen vaatimuksia siltä osin kuin on kyse kansallisen turvallisuuden ylläpitämiseen liittyvästä henkilötietojen käsittelystä. Rikosasioiden tietosuojalakiin ehdotetaan muutosta, jolla rikosasioiden tietosuojalain 7 luku laajennettaisiin koskemaan kaikkea lain soveltamisalaan kuuluvaa henkilötietojen käsittelyä. Uuden rikosasioiden tietosuojalain pykälän lisäksi ei ehdoteta säädettäväksi erityislainsäädännön muutoksia. Poliisin henkilötietolain ja Puolustusvoimien henkilötietolain säännökset, joiden nojalla suojelupoliisi ja Puolustusvoimat voivat luovuttaa henkilötietoja kolmansiin maihin ja kansainvälisille järjestöille, tulisivat edelleen sovellettaviksi rikosasioiden tietosuojalain 7 luvun sijasta. Nämä erityislakien säännökset tarkoittaisivat, että riittävää tietosuojan tasoa koskevien vaatimusten osalta suojelupoliisia ja Puolustusvoimia koskisivat sellaisenaan muutetun tietosuojayleissopimuksen mukaiset riittävää tietosuojan tasoa koskevat pääsäännöt. Ne eivät siten voisi soveltaa uuden 14 artiklan 4 kohdan mukaisia perusteita riittävästä tietosuojan tasosta poikkeamiselle. Tämä kuitenkin vastaa voimassa olevia henkilötietojen luovuttamista koskevia erityissäännöksiä, jotka on hyväksytty perustuslakivaliokunnan myötävaikutuksella. Tietojen luovuttaminen olisi lisäksi edelleen poliisin henkilötietolain ja Puolustusvoimien henkilötietolain erityissäännösten nojalla kiellettyä, jos rekisteröityä voisi uhata henkilötietojen luovutuksen seurauksena kuolemanrangaistus, kidutus, muu ihmisarvoa loukkaava kohtelu, vaino, mielivaltainen vapaudenriisto tai epäoikeudenmukainen oikeudenkäynti. Perustuslakivaliokunta on pitänyt tällaista nimenomaista kieltoa edellytyksenä sille, että la-kiehdotus on voitu käsitellä tavallisen lain säätämisjärjestyksessä (PeVL 51/2018 vp, s. 15; PeVL 52/2018 vp, s. 10).

Perustuslakivaliokunta on arvioinut viranomaisten tietojen saamista ja luovuttamista salassa-pitovelvollisuuden estämättä koskevaa sääntelyä perustuslain 10 §:n 1 momentissa säädetyn yksityiselämän ja henkilötietojen suojan kannalta ja kiinnittänyt huomiota muun muassa siihen, mihin ja ketä koskeviin tietoihin tiedonsaantioikeus ulottuu ja miten tiedonsaantioikeus sidotaan tietojen välttämättömyyteen. Viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta (ks. esim. PeVL 58/2018 vp, s. 12, sekä PeVL 17/2016 vp, s. 2—3 ja siinä viitatut lausunnot). Valiokunta on antanut erityistä merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan täsmällisyyttä ja sisältöä. Mikäli ehdotetut säännökset tietojen luovutuksesta ovat kohdistuneet myös arkaluonteisiin tietoihin, on tavallisen lain säätämisjärjestyksen käyttämisen edellytyksenä ollut sääntelyn täsmentäminen selostetun perustuslakivaliokunnan viranomaisten tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyä koskevan käytännön mukaiseksi (ks. esim. PeVL 58/2018 vp, s. 2, ja PeVL 15/2018 vp, s. 39). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 14/2018 vp, s. 5).

Perustuslakivaliokunta on pitänyt henkilötietojen käsittelyä koskevassa valtiosääntöisessä arviossa merkityksellisenä myös käsittelyn tarkoitusta yksilöön kohdistuvan julkisen vallan käytön mahdollistajana (ks. PeVL 1/2018 vp, s. 6). Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin. Lailla säätämiseen taas kohdistuu yleinen vaatimus lain täsmällisyydestä ja tarkkuudesta. Toimivaltasääntely on valiokunnan käsityksen mukaan yleensä merkityksellistä myös perustuslaissa turvattujen perusoikeuksien näkökulmasta (PeVL 51/2006 vp, s. 2/I). Muutospöytäkirja laajentaisi sen voimaantulon myötä yleissopimuksessa tarkoitettujen valvontaviranomaisten toimivaltuuksia, millä voidaan arvioida olevan merkitystä rekisteröityjen perusoikeuksien suojan kannalta. Erityisen merkityksellisinä sopimusmääräyksinä voidaan pitää tältä osin tarkistetun yleissopimuksen 17 artiklan määräyksiä valvontaviranomaisten tietojenvaihdosta ja yhteisistä valvontatoimenpiteistä. Artiklan mukaan vaihdettavat tiedot voisivat sisältää henkilötietoja, jos ne ovat olennaisia yhteistyön kannalta tai jos rekisteröity on antanut niiden luovuttamiselle nimenomaisen suostumuksensa. Laajennetuista rajat ylittävään yhteistyöhön liittyvistä toimivaltuuksista johtuen esityksen 1. lakiehdotuksessa ehdotetaan täsmennettäväksi yleissopimuksessa tarkoitetusta valvonnasta vastaavat viranomaiset. Lisäksi tietosuojalakia ja rikosasioiden tietosuojalakia ehdotetaan täydennettäväksi nimenomaisilla säännöksillä, joiden nojalla tietosuojavaltuutettu voisi luovuttaa henkilötietoja ja muita tietoja salassapitosäännösten estämättä vastaaville viranomaisille yksittäistä valvontatehtävää varten, jos tiedot olisivat välttämättömiä rekisteröidyn oikeuksien turvaamiseksi tai jos rekisteröity antaa tietojen luovuttamiselle nimenomaisen suostumuksen. Säännöksen rajauksessa huomioitaisiin perustuslain tulkintakäytännön mukaisesti tarve varmistaa henkilötietojen luovuttaminen vain siinä laajuudessa, mikä on välttämätöntä yleissopimuksen mukaisen valvontayhteistyön varmistamiseksi. Säännöksessä kiinnitettäisiin erityistä huomiota siihen, että valvonnan tarkoituksena on turvata rekisteröidyn oikeuksien toteutuminen.

Perustuslakivaliokunta on katsonut, että eduskunnan valtiosääntöinen asema merkitsee muun muassa sitä, ettei eduskunnan valtiopäivätoiminta voi olla ulkopuolisen valvonnan kohteena, vaan eduskunnan toiminnan laillisuusvalvonta on säädetty perustuslaissa tyhjentävästi eduskunnan omien elinten, eduskunnan puhemiehen ja perustuslakivaliokunnan, tehtäväksi. (PeVL 14/2018 vp, s.10-11) Perustuslakivaliokunnan mielestä lähtökohtaista estettä ei kuitenkaan ole sille, että hallintoa koskevat yleislait ulotetaan koskemaan eduskunnan virastoja (PeVL 14/2018 vp, s. 11; PeVL 30/1998 vp, s. 6/II). Valiokunta katsoi tietosuojalakia koskevan hallituksen esityksen käsittelyn yhteydessä, että eduskunnan valtiopäivätoiminta oli rajattava pois tietosuojalain soveltamisalalta, jotta lakiehdotus voitiin käsitellä tavallisen lain säätämisjärjestyksessä. (PeVL 14/2018 vp, s.11) Esityksessä ei ehdoteta aineellisia lainmuutoksia, jotka poikkeaisivat tästä linjauksesta. Tietosuojayleissopimuksen soveltamisalaa koskevaa sopimusmääräystä ehdotetaan tulkittavaksi siten, että julkinen sektori ei kata eduskunnan valtiopäivätoimintaa.

Perustuslakivaliokunta katsoi tietosuojalakiehdotuksen käsittelyn yhteydessä, että ylimpien laillisuusvalvojien valtiosääntöinen asema ja tehtävät sekä laillisuusvalvonnan valtiosääntöinen kokonaisuus eivät mahdollista asteellisesti alemman tietosuojavaltuutetun ylimpiin laillisuusvalvojiin kohdistuvaa valvontaa. Tällaisen rajauksen oli ilmettävä myös tietosuojalain säännöksistä nimenomaisesti. (PeVL 14/2018 vp, s. 13) Tietosuojalakiehdotusta oli tämän johdosta muutettava siten, että ylimpien laillisuusvalvojien harjoittamaan laillisuusvalvontaan ei kohdistu tietosuojalaissa tarkoitetun valvontaviranomaisen valvontatoimivaltaa. Tällainen muutos oli edellytyksenä sille, että lakiehdotus voitiin käsitellä tavallisen lain säätämisjärjestyksessä. (PeVL 14/2018 vp, s. 15) Vastaava rajaus on tehty rikosasioiden tietosuojalain 45 §:n 2 momentissa, jonka mukaan lain säännöksiä valvonnasta ei sovelleta tuomioistuimeen, valtioneuvoston oikeuskansleriin eikä eduskunnan oikeusasiamieheen. Perustuslain 108 ja 109 §:ssä säädetyn mukaisesti oikeuskansleri ja oikeusasiamies valvovat tuomioistuinten toiminnan lainmukaisuutta. Ne valvovat siten myös sitä, että tuomioistuimet noudattavat kaikessa toiminnassaan henkilötietojen suojaa koskevaa lainsäädäntöä. Ylimpien laillisuusvalvojien valtiosääntöisen aseman huomioimiseksi 1. lakiehdotuksessa varmistettaisiin, että näihin ei kohdistuisi myöskään tietosuojayleissopimuksessa tarkoitettua valvontaa.

Muutospöytäkirja ja siihen ehdotettu selitys eivät sisällä velvoitteita, jotka koskisivat perustuslakia sen 94 §:n 2 momentissa tai 95 §:n 2 momentissa tarkoitetulla tavalla. Muutospöytäkirja ja selitys voidaan hallituksen käsityksen mukaan hyväksyä äänten enemmistöllä ja ehdotus muutospöytäkirjan voimaansaattamislaiksi voidaan hyväksyä tavallisen lain säätämisjärjestyksessä.

Sopimusteksti