HaVM 9/2023 vp HE 62/2023 vp
Hallituksen esitys eduskunnalle tietosuojalain ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta
JOHDANTO
Vireilletulo
Hallituksen esitys eduskunnalle tietosuojalain ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta ( HE 62/2023 vp ): Asia on saapunut hallintovaliokuntaan mietinnön antamista varten. Asia on lisäksi lähetetty lakivaliokuntaan lausunnon antamista varten.
Lausunto
Asiasta on annettu seuraava lausunto:
lakivaliokunta LaVL 15/2023 vp
Asiantuntijat
Valiokunta on kuullut:
- lainsäädäntöneuvos Virpi Koivu - oikeusministeriö
- hallinto-oikeustuomari Lotta Haverinen - Helsingin hallinto-oikeus
- ylitarkastaja Heikki Huhtiniemi - Tietosuojavaltuutetun toimisto
- professori Olli Mäenpää
Valiokunta on saanut kirjallisen lausunnon:
- eduskunnan oikeusasiamiehen kanslia
- korkein hallinto-oikeus
HALLITUKSEN ESITYS
Esityksessä ehdotetaan muutettavaksi tietosuojalakia ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia. Esityksen tarkoituksena on tehdä lainsäädäntöön Euroopan unionin tietosuojalainsäädännön täytäntöönpanon kannalta välttämättömät muutokset. Lakeihin ehdotetaan lisättäväksi säännökset, joiden mukaan rekisteröidyllä on tietosuojavaltuutetun passiivisuustilanteessa valitusmahdollisuus. Jos tietosuojavaltuutettu ei ole käsitellyt asiaa kolmen kuukauden kuluessa sen vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle ja valituksen katsotaan tällöin kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
Tietosuojalain ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain säännöksiä henkilötunnuksen käsittelystä ehdotetaan täsmennettäviksi. Lakeihin ehdotetaan myös Euroopan unionin tietosuojalainsäädäntöön perustuvia teknisiä täsmennyksiä.
Tietosuojalakiin ehdotetaan lisättäväksi säännökset tietosuojavaltuutetun oikeudesta siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille asioissa, joissa lain soveltamiskäytäntö on vakiintunut. Ehdotettujen säännösten tarkoituksena on parantaa edellytyksiä siihen, että perustuslaissa ja hallintolaissa turvattu rekisteröidyn oikeus asian viivytyksettömään käsittelyyn toteutuu.
Esitys liittyy valtion vuoden 2024 talousarvioesitykseen ja on tarkoitettu käsiteltäväksi sen yhteydessä.
Lait on tarkoitettu tulemaan voimaan 1.1.2024.
VALIOKUNNAN YLEISPERUSTELUT
Yleistä
Hallituksen esityksessä ehdotetaan muutettavaksi tietosuojalakia ( 1050/2018 ) ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia ( 1054/2018 , jäljempänä rikosasioiden tietosuojalaki).
Lakeihin ehdotetaan lisättäväksi säännökset rekisteröidyn uudesta käytettävissä olevasta oikeussuojakeinosta tietosuojavaltuutetun passiivisuustilanteessa. Jos tietosuojavaltuutettu ei ole käsitellyt asiaa kolmen kuukauden kuluessa sen vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle ja valituksen katsotaan tällöin kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
Esityksessä ehdotetaan myös tietosuojalain 15 §:ään lisättäväksi säännökset tietosuojavaltuutetun oikeudesta siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille asioissa, joissa lain soveltamiskäytäntö on vakiintunut, eikä asian oikeudellinen luonne tai sisältö edellytä esittelyä tietosuojavaltuutetulle.
Lisäksi tietosuojalain 29 §:n ja rikosasioiden tietosuojalain 12 §:n säännöksiä henkilötunnuksen käsittelystä ehdotetaan täsmennettäviksi. Ehdotuksen mukaan rekisteröityä ei saa tunnistaa yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä.
Passiivisuusvalitus
Hallituksen esityksestä ilmenee, että komissio on antanut Suomelle 6.4.2022 virallisen huomautuksen sekä 27.1.2023 perustellun lausunnon, jossa se katsoo, että Suomen lainsäädäntö ei kaikilta osin ole yleisen tietosuoja-asetuksen (EU) 2016/679 78 artiklan 2 kohdan ja direktiivin (EU) 2016/680 53 artiklan 2 kohdan mukainen. EU:n tietosuojalainsäädäntö edellyttää nimenomaisesti, että tietosuojavaltuutetun passiivisuustilanteessa käytettävissä olevan oikeussuojakeinon tulee olla tuomioistuinmenettely. Suomi on vastannut 23.3.2023 Euroopan komission perusteltuun lausuntoon ja ehdotuksen passiivisuusvalitusta koskevat säännökset liittyvät tähän kokonaisuuteen.
Yleisen tietosuoja-asetuksen 77 artiklan mukaan rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja. Tietosuojalain 21 §:ään ja rikosasioiden tietosuojalain 57 §:ään ehdotetaan lisättäväksi passiivisuusvalitusta koskevat säännökset, joiden mukaan rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle, jos tietosuojavaltuutettu ei ole käsitellyt edellä todettua kanteluasiaa kolmen kuukauden kuluessa asian vireilletulosta tai ilmoittanut tässä ajassa rekisteröidylle arviota päätöksen antamisajankohdasta.
Valituksen kohde. Ehdotetun passiivisuusvalituksen katsotaan esityksessä kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen. Hallintovaliokunnan kuulemisessa on tuotu esiin, että hallituksen esityksen ratkaisu, jossa tietosuojavaltuutetun passiivisuus tulkitaan käsittelyn hylkäävänä päätöksenä, on osin epäonnistunut. Tämä johtuu muun muassa siitä, että käsittelyn hylkääminen ei ole oikeudellinen käsite, eikä se ole myöskään yleiskielellisesti helposti ymmärrettävissä. Valiokunnan kuulemisessa on tuotu myös esiin, että aiemmin esityksen lausuntovaiheessa esitetty malli, jossa tietosuojavaltuutetun passiivisuutta pidettiin tutkimatta jättämistä koskevana päätöksenä, on selkeämmin ymmärrettävissä.
Hallintovaliokunnan saaman selvityksen mukaan ehdotetuissa passiivisuusvalitusta koskevissa säännöksissä on poikettu tarkoituksella muista EU-lainsäädäntöön perustuvista viivästysvalitussäännöksistä, joiden mukaan valitus yleensä kohdistuu viranomaisen kielteiseen asiasisältöiseen päätökseen, kuten hakemuksen hylkäämiseen. Tämä johtuu erityisesti siitä, että tietosuojalainsäädäntö ei aseta asian ratkaisulle ehdotonta määräaikaa, vaan määräajan noudattamisen kannalta riittävää on, että rekisteröidylle vähintään ilmoitetaan hänen asiansa etenemisestä.
Valiokunta toteaa oleellista olevan, että valitusoikeudella on kuitenkin selkeä kohde. Valiokunnan saaman selvityksen mukaan voimassa olevat sääntelyratkaisut viranomaisen viivästystilanteissa eivät sellaisenaan sovellu tietosuojalainsäädännössä tarkoitettuihin passiivisuustilanteisiin, vaan niissä omaksuttua sääntelyratkaisua on ollut tarpeen mukauttaa. Ehdotetuissa säännöksissä tietosuojavaltuutetun päätöksen tai ilmoituksen puuttuminen on siten rinnastettu tilanteeseen, jossa asian käsittely on päättynyt ja lopputulos on rekisteröidyn kannalta kielteinen. Käytännössä kyse on siitä, että viranomaiselta vähintään edellytettävät käsittelytoimet puuttuvat, toisin sanoen tietosuojavaltuutettu ei ole vähintään ilmoittanut arvioitua päätöksen antamisajankohtaa. Valituksen on siten katsottu esityksessä kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen.
Lakivaliokunta kiinnittää lausunnossaan ( LaVL 15/2023 vp ) huomiota siihen hallintovaliokunnan kuulemisessakin esiin tuotuun seikkaan, että oikeussuojakeinon tehokkuuden kannalta on merkitystä sillä, mitkä toimivaltuudet tuomioistuimella on käytettävissään. Hallintovaliokunta tuo esiin, että passiivisuusvalituksen kohteena on ehdotuksen mukaan vain kanteluasian käsittelyä koskeva kielteinen päätös. Hallinto-oikeudella ei näin kohdennetun valituksen perusteella olisi muun muassa perusteita arvioida, millä asiasisältöisillä tai menettelyllisillä perusteilla tietosuojavaltuutettu on tehnyt kielteisen päätöksen tai miten kielteisen päätöksen lainmukaisuutta muuten olisi arvioitava.
Jotta oikeussuojakeino on käytännössä tehokas, sen tulisi kohdistua koko tietosuojavaltuutetun käsiteltävänä olevaan asiaan, johon passiivisuustilanne kohdistuu. Hallintovaliokunnan saaman selvityksen mukaan hallituksen esityksessä ei ole otettu kantaa siihen, millä tavalla hallinto-oikeuden tulisi ratkaista passiivisuusvalitusasiat, vaikka vaikutusten arvioinnin yhteydessä on arvioitu, että asia voisi monessa tapauksessa raueta tai se voitaisiin esimerkiksi palauttaa tietosuojavaltuutetun käsiteltäväksi. Saadun selvityksen mukaan ehdotetun muotoilun tavoitteena on kuitenkin ollut kattaa tietosuojavaltuutetun käsittelemien kanteluasioiden vaihteleva luonne.
Lakivaliokunta toteaa lausunnossaan, että sääntelyn tavoitteen ja tarkoituksen kannalta on riittävää, että rinnastus tehdään siihen päätöstyyppiin, joka on lähinnä sitä käytännön tilannetta, josta on kyse. Hallintovaliokunta katsoo lakivaliokunnan tavoin, että passiivisuustilanteen rinnastus "tutkimatta jättämistä koskevaan päätökseen" on tässä tapauksessa toimivampi ratkaisu ja ehdottaa täsmennysten tekemistä kumpaankin lakiehdotukseen jäljempänä esitetyllä tavalla.
Kiirehtimisvaatimus edellytyksenä tuomioistuinkäsittelylle. Valiokunnan asiantuntijakuulemisessa on esitetty oikeussuojakeinon ensi vaiheeksi säännöstä, jonka mukaan viivästymistapauksessa asianomaisen tulisi ensin tehdä pyyntö tietosuojaviranomaiselle asian ratkaisemisesta tai toimenpiteistä ilmoittamisesta.
Hallituksen esityksestä (s. 20) ilmenee, että valmistelussa on arvioitu tarpeellisuutta säätää kiirehtimisvaatimuksen tai muun tiedustelun esittäminen tietosuojavaltuutetulle edellytykseksi saattaa kysymys laissa säädetyn määräajan ylittymisestä tuomioistuimen käsiteltäväksi. Esityksen mukaan passiivisuusasian käsittelyn ei kuitenkaan tulisi aiheuttaa rekisteröidylle, tietosuojavaltuutetulle eikä tuomioistuimille tarpeetonta lisätyötä. Koska menettelyn tulisi olla mahdollisimman selkeä kaikille osallisille, tällaista välivaihetta ei esityksen mukaan pidetty tarkoituksenmukaisena. Siihen liittyy esityksen mukaan myös riski, että säännökset eivät olisi EU-oikeuden mukaisia.
Valiokunta toteaa, että rekisteröidyillä on myös ilman erityistä kiirehtimismenettelyä mahdollisuus esittää asiaansa koskeva tiedustelu voimassa olevien hallintolain ( 434/2003 ) säännösten perusteella. Rekisteröidyn yhteydenoton perusteella tietosuojavaltuutettu voi korjata tilanteen ja toimittaa puuttuvan arvion päätöksen antamisajankohdasta, jolloin asiasta ei ole enää tarpeen valittaa hallinto-oikeuteen.
Edellä todetun ja saamansa selvityksen perusteella hallintovaliokunta ei pidä tarpeellisena asettaa valitusoikeuden edellytykseksi erityistä kiirehtimisvaatimuksen, pyynnön tai tiedustelun esittämistä tietosuojavaltuutetulle.
Hallinto-oikeuden ratkaisukokoonpano. Asiantuntijakuulemisessa hallintovaliokunnan huomiota on kiinnitetty myös siihen, että passiivisuusvalitustilanteessa valitusasian käsittelyyn sovelletaan samoja säännöksiä kuin muiden valitusasioiden käsittelyyn. Valiokunnan saaman selvityksen mukaan tämä tarkoittaa hallinto-oikeudessa sitä, että asian käsittelyyn osallistuu tuomionvoivana kokoonpanona ns. kolmen tuomarin kokoonpano.
Valiokunnan saaman selvityksen mukaan hallinto-oikeuksien kokoonpanoa koskevaa kysymystä on arvioitu valmistelun aikana. Hallituksen esityksen mukaisessa sääntelyssä lähtökohtana kuitenkin on, että passiivisuusvalitukseen sovelletaan johdonmukaisuussyistä samoja säännöksiä kuin muihin valitusasioihin, mukaan lukien voimassa olevaan lainsäädäntöön sisältyvät esimerkit viranomaisen viivästystilanteita koskevista oikeussuojakeinoista.
Saadun selvityksen mukaan hallintotuomioistuimien ratkaisukokoonpanoa koskevia kysymyksiä on tarkoituksenmukaisempaa arvioida erikseen kokonaisuutena. Oikeusministeriössä on käynnissä esiselvitys hallinto-oikeuksien kokoonpanon tarkistustarpeista. Hallintovaliokunta pitää lakivaliokunnan tapaan perusteltuna esityksessä omaksuttua ratkaisua ja sitä, että kokoonpanosäännösten kokonaisarviointi tehdään erikseen. Valiokunta kiirehtii kokonaisarvioinnin valmistumista, jotta jatkossa hallintotuomioistuinten kokoonpano olisi asioiden luonne huomioiden aina tarkoituksenmukainen.
Oikeudenkäyntimaksu. Hallituksen esityksestä (s. 12) ilmenee, että hallinto-oikeuden oikeudenkäyntimaksu on vuonna 2023 suuruudeltaan 270 euroa. Valiokunnan huomiota on kiinnitetty maksun määräytymiseen siinä tapauksessa, että tietosuojavaltuutettu ehtii korjata laiminlyöntinsä asian ollessa vireillä hallintotuomioistuimessa. Tuomioistuinmaksulain (1455/2015) mukaan asian raukeaminen ei ole sellaisenaan peruste maksuttomuudelle.
Valiokunnan saaman selvityksen mukaan oikeudenkäynnin maksuttomuutta koskevaa kysymystä on arvioitu hallituksen esityksen valmistelun aikana. Oikeudenkäyntimaksu ei arvioinnin mukaan käytännössä vaikuttaisi juurikaan rajoittavasti oikeussuojakeinon saatavuuteen. Saadun selvityksen mukaan lain tulkinnan avulla on mahdollista välttää maksun periminen asian raukeamistilanteessa sillä perusteella, että se olisi ilmeisen kohtuutonta, vaikkakin kyse olisi yksittäistapauksessa tehtävästä harkinnasta (tuomioistuinmaksulaki 1455/2015 , 7 § 2 momentti). Valiokunnan saaman selvityksen mukaan toistaiseksi ei ole katsottu olevan tarpeen säätää oikeudenkäynnin maksuttomuudesta. Valiokunta toteaa, että saamansa selvityksen ja hallituksen esityksestä ilmenevin perustein esityksessä omaksuttua ratkaisua oikeudenkäyntimaksusta voidaan pitää hyväksyttävänä. Samalla valiokunta kuitenkin toteaa, että oikeudenkäyntimaksuun liittyviä soveltamiskäytäntöjä on syytä seurata ja arvioida.
Tietosuojavaltuutetun ratkaisuvallan siirto
Hallituksen esityksessä ehdotetaan tietosuojavaltuutetun päätöksenteon muuttamista siten, että tietosuojavaltuutettu voi siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille asioissa, joissa lain soveltamiskäytäntö on vakiintunut. Valiokunta on usein mietinnöissään ja lausunnoissaan (mm. HaVM 2/2023 vp ja HaVL 20/2023 vp ) pitänyt tärkeänä, että tietosuojavaltuutetun toimiston riittävät resurssit varmistetaan. Valiokunta pitää myönteisenä, että ehdotettu 15 § mahdollistaa oikeudellisesti yksinkertaisten, mutta hallintopäätöstä edellyttävien asioiden ratkaisun nopeammin ja vapauttaa samalla tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen resursseja enemmän oikeudellista harkintaa edellyttävien asioiden ratkaisuun. Ehdotettu muutos myös parantaa edellytyksiä siihen, että rekisteröidyn oikeus asian viivytyksettömään käsittelyyn toteutuu.
Henkilötunnuksen käyttö
Esityksessä ehdotetaan muutettavaksi henkilötunnuksen käsittelyä koskevaa tietosuojalain 29 §:ää ja rikosasioiden tietosuojalain 12 §:ää siten, että rekisteröityä ei saa tunnistaa yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä. Valiokunnan saaman selvityksen mukaan henkilötunnuksen käytön ongelmaksi on muodostunut, että tunnusta käytetään sen käyttötarkoituksen eli henkilön yksiselitteisen yksilöimisen lisäksi henkilön tunnistamiseen.
Henkilötunnuksen käsittelyn edellytyksiä koskevat säännökset sisällytettiin aiemmin hallituksen esitykseen HE 132/2022 vp , joka raukesi eduskunnassa, koska esitystä ei ehditty käsittelemään loppuun ennen eduskuntavaaleja. Perustuslakivaliokunnan aiemmasta esityksestä antama lausunto ( PeVL 87/2022 vp ), jonka mukaan perustuslakivaliokunnan mielestä tunnistaminen ja yksilöinti on syytä määritellä selkeästi laissa, on otettu huomioon tässä esityksessä. Valiokunta pitää perusteltuna, että henkilötunnuksen alkuperäistä käyttötarkoitusta toimia rekisteröityjen yksilöintikeinona täsmennetään ja selkeytetään.
Yhteenveto
Hallintovaliokunta toteaa, että ehdotettu passiivisuusvalitusta koskeva oikeussuojakeino on Suomen oikeusjärjestelmässä poikkeuksellinen. Valiokunta pitää kuitenkin passiivisuusvalitusta koskevaa sääntelyä perusteltuna siitä näkökulmasta, että uudella oikeussuojakeinolla on tarkoitus korjata komission toteama puute asetuksen ja direktiivin kansallisessa täytäntöönpanossa. Valiokunta myös toteaa, että sääntelyn tosiasiallinen oikeussuojaa lisäävä vaikutus jäänee vähäiseksi. Valiokunta pitää tärkeänä, että ehdotetun sääntelyn toimivuutta seurataan ja arvioidaan myös valiokunnan esiin nostamien kysymysten valossa ja mahdollisiin ongelmiin etsitään ratkaisut.
Hallituksen esityksessä (s. 13) todetaan, että ehdotettujen uutta oikeussuojakeinoa koskevien säännösten sekä tietosuojalain 15 §:n muutoksen tavoitteena on edistää yleisesti asioiden käsittelyä kohtuullisessa ajassa. Hallintovaliokunta pitää myönteisenä, että ehdotetut määräaikaa koskevat tietosuojalain ja rikosasioiden tietosuojalain säännökset voivat myös edistää tietosuojavaltuutetun asiainhallintaa koskevia käytäntöjä sekä ohjeistusta rekisteröidylle annettavasta vastauksesta. Valiokunta toteaa, että yleisesti ottaen pitkiä käsittelyaikoja ei voida pelkästään ratkaista oikeussuojakeinoilla, vaan myös viranomaisille tehtäviensä laatu huomioon ottaen osoitetuilla riittävillä resursseilla. Valiokunta pitää tärkeänä, että tietosuojavaltuutetun toimiston resursseista huolehditaan.
VALIOKUNNAN YKSITYISKOHTAISET PERUSTELUT
1. Laki tietosuojalain muuttamisesta
21 §. Oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja passiivisuusvalitus.
Hallintovaliokunta ehdottaa pykälän 4 momenttia muutettavaksi edellä yleisperusteluissa todetun mukaisesti siten, että muotoilu "valituksen katsotaan tässä tapauksessa kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen" korvataan muotoilulla "valituksen katsotaan tässä tapauksessa kohdistuvan tutkimatta jättämistä koskevaan päätökseen".
2. Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta
57 §. Toimenpidepyynnön käsitteleminen ja passiivisuusvalitus.
Hallintovaliokunta ehdottaa vastaavasti, kuten edellä 1. lakiehdotuksen kohdalla pykälän 4 momenttia muutettavaksi yleisperusteluissa todetun mukaisesti siten, että muotoilu "valituksen katsotaan tässä tapauksessa kohdistuvan asian käsittelyä koskevaan kielteiseen päätökseen" korvataan muotoilulla "valituksen katsotaan tässä tapauksessa kohdistuvan tutkimatta jättämistä koskevaan päätökseen".
VALIOKUNNAN PÄÄTÖSEHDOTUS
Hallintovaliokunnan päätösehdotus:
Eduskunta hyväksyy muutettuna hallituksen esitykseen HE 62/2023 vp sisältyvät 1. ja 2. lakiehdotuksen. (Valiokunnan muutosehdotukset)
Valiokunnan muutosehdotukset
1. Laki tietosuojalain muuttamisesta
Eduskunnan päätöksen mukaisesti
muutetaan tietosuojalain (1050/2018) 7 §, 21 §:n otsikko, 24 §:n 1 momentin suomenkielinen sanamuoto ja 29 § sekä
lisätään 15 §:ään uusi 2 momentti ja 21 §:ään uusi 3 ja 4 momentti seuraavasti:
7 §
Rikostuomioihin ja rikoksiin liittyvä käsittely
Tietosuoja-asetuksen 10 artiklassa tarkoitettuihin rikostuomioihin ja rikoksiin tai niihin liittyviin turvaamistoimiin liittyviä henkilötietoja saa käsitellä, jos:
1) käsittely on tarpeen oikeusvaateen selvittämiseksi, laatimiseksi, esittämiseksi, puolustamiseksi tai ratkaisemiseksi; tai
2) tietoja käsitellään 6 §:n 1 momentin 1, 2 tai 7 kohdassa säädetyssä tarkoituksessa.
Mitä 6 §:n 2 momentissa säädetään toimenpiteistä rekisteröidyn oikeuksien suojaamiseksi, sovelletaan myös käsiteltäessä tämän pykälän 1 momentissa tarkoitettuja henkilötietoja.
15 §
Tietosuojavaltuutetun päätöksenteko
Tietosuojavaltuutettu voi siirtää ratkaisuvaltaa esittelijöinä toimiville virkamiehille työjärjestyksellä tarkemmin määrättävissä asioissa, joissa lain soveltamiskäytäntö on vakiintunut ja joissa asian ratkaiseminen ei asian oikeudellisesta luonteesta tai sisällöstä johtuen edellytä esittelyä tietosuojavaltuutetulle. Tietosuojavaltuutetulla on kuitenkin yksittäistapauksessa oikeus ottaa ratkaistavakseen asia, joka muutoin olisi esittelijän ratkaistava.
21 §
Oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja passiivisuusvalitus
Tietosuojavaltuutetun on käsiteltävä tietosuoja-asetuksen 77 artiklan nojalla vireille tullut kanteluasia kolmen kuukauden kuluessa sen vireilletulosta tai, jos asia ei ole käsiteltävissä tässä ajassa, ilmoitettava rekisteröidylle tässä ajassa arvio päätöksen antamisajankohdasta.
Jos tietosuojavaltuutettu laiminlyö 3 momentissa tarkoitetun kolmen kuukauden määräajan noudattamisen, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle. Valitus on tehtävä ennen kuin tietosuojavaltuutettu on käsitellyt asian tai on antanut arvion päätöksen antamisajankohdasta. Valituksen katsotaan tässä tapauksessa kohdistuvan tutkimatta jättämistä koskevaan päätökseen.
24 §
Hallinnollinen seuraamusmaksu
Tietosuoja-asetuksen 83 artiklassa säädetyn hallinnollisen seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen yhdessä muodostama seuraamuskollegio. Tietosuojavaltuutettu toimii kollegion puheenjohtajana. Apulaistietosuojavaltuutetun ollessa estynyt voi hänen sijaisenaan seuraamuskollegiossa toimia tietosuojavaltuutetun toimiston työjärjestyksessä määrätty esittelijä. Kollegio on päätösvaltainen kolmijäsenisenä.
29 §
Henkilötunnuksen käsittely
Henkilötunnusta saa käsitellä rekisteröidyn suostumuksella tai, jos käsittelystä säädetään laissa. Lisäksi henkilötunnusta saa käsitellä, jos rekisteröidyn ja hänen henkilötietojensa yksiselitteinen erottaminen muista rekisteröidyistä ja heidän henkilötiedoistaan (yksilöiminen) on tärkeää:
1) laissa säädetyn tehtävän suorittamiseksi;
2) rekisteröidyn tai rekisterinpitäjän oikeuksien ja velvollisuuksien toteuttamiseksi; tai
3) historiallista tai tieteellistä tutkimusta taikka tilastointia varten.
Henkilötunnusta saa käsitellä rekisteröidyn yksiselitteiseksi yksilöimiseksi luotonannossa ja saatavan perimisessä, vakuutus-, luottolaitos-, maksupalvelu-, vuokraus- ja lainaustoiminnassa, luottotietotoiminnassa, terveydenhuollossa, sosiaalihuollossa ja muun sosiaaliturvan toteuttamisessa sekä virka-, työ- ja muita palvelussuhteita ja niihin liittyviä etuja koskevissa asioissa.
Sen lisäksi, mitä henkilötunnuksen käsittelystä 1 ja 2 momentissa säädetään, henkilötunnuksen saa luovuttaa osoitetietojen päivittämiseksi tai moninkertaisten postilähetysten välttämiseksi suoritettavaa tietojenkäsittelyä varten, jos henkilötunnus jo on luovutuksensaajan käytettävissä.
Henkilötunnusta ei tule tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.
Rekisteröidyn henkilöllisyyden selvittämiseen hänen ilmoittamiensa tai toimittamiensa tietojen taikka esittämiensä asiakirjojen avulla (tunnistaminen) ei saa käyttää yksinomaan henkilötunnusta tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmää.
Tämä laki tulee voimaan päivänä kuuta 20 .
Tämän lain 21 §:n 3 ja 4 momenttia ei sovelleta lain voimaan tullessa tietosuojavaltuutetun käsiteltävinä oleviin asioihin.
2. Laki henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain muuttamisesta
Eduskunnan päätöksen mukaisesti
muutetaan henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018) 12 §, 13 §:n 1 momentti ja 57 § seuraavasti:
12 §
Henkilötunnuksen käsittely
Henkilötunnusta saa käsitellä, jos rekisteröidyn ja hänen henkilötietojensa yksiselitteinen erottaminen muista rekisteröidyistä ja heidän henkilötiedoistaan (yksilöiminen) on tärkeää:
1) toimivaltaisen viranomaisen laissa säädetyn tehtävän suorittamiseksi;
2) rekisteröidyn tai rekisterinpitäjän oikeuksien tai velvollisuuksien toteuttamiseksi; tai
3) 5 §:n 3 momentin mukaista historiallista tai tieteellistä tutkimusta taikka tilastointia varten.
Henkilötunnusta ei saa tarpeettomasti merkitä rekisterin perusteella tulostettuihin tai laadittuihin asiakirjoihin.
Rekisteröidyn henkilöllisyyden selvittämiseen hänen ilmoittamiensa tai toimittamiensa tietojen taikka esittämiensä asiakirjojen avulla (tunnistaminen) ei saa käyttää yksinomaan henkilötunnusta tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmää.
13 §
Automatisoidut yksittäispäätökset
Jollei laissa toisin säädetä, päätöstä ei saa tehdä pelkästään automatisoidun henkilötietojen käsittelyn, kuten profiloinnin perusteella, jos päätöksellä on rekisteröityä koskevia kielteisiä oikeusvaikutuksia tai se on muutoin hänen kannaltaan merkittävä.
57 §
Toimenpidepyynnön käsitteleminen ja passiivisuusvalitus
Tietosuojavaltuutetun on käsiteltävä 56 §:n nojalla vireille tullut asia kolmen kuukauden kuluessa sen vireilletulosta tai, jos asia ei ole käsiteltävissä tässä ajassa, ilmoitettava tässä ajassa rekisteröidylle arvio päätöksen antamisajankohdasta. Valtuutetun on myös ilmoitettava asian vireillepanijalle,jos asian käsittely viivästyy tarvittavasta lisäselvityksestä tai muusta syystä johtuen.
Tietosuojavaltuutettu voi keskeyttää asian käsittelyn, jos siihen liittyvä asia on vireillä tuomioistuimessa.
Jos tietosuojavaltuutettu laiminlyö 1 momentissa tarkoitetun kolmen kuukauden määräajan noudattamisen, rekisteröidyllä on oikeus tehdä valitus hallinto-oikeudelle. Valitus on tehtävä ennen kuin tietosuojavaltuutettu on käsitellyt asian tai on antanut arvion päätöksen antamisajankohdasta. Valituksen katsotaan tässä tapauksessa kohdistuvan tutkimatta jättämistä koskevaan päätökseen.
Tämä laki tulee voimaan päivänä kuuta 20 .
Tämän lain voimaan tullessa tietosuojavaltuutetun käsiteltävinä oleviin asioihin sovelletaan 57 §:ää sellaisena kuin se oli tämän lain voimaan tullessa.
Helsingissä 29.11.2023
Asian ratkaisevaan käsittelyyn valiokunnassa ovat ottaneet osaa
puheenjohtaja Mauri Peltokangas /ps
jäsen Otto Andersson /r
jäsen Petri Honkonen /kesk
jäsen Juha Hänninen /kok
jäsen Rami Lehtinen /ps
jäsen Mira Nieminen /ps
jäsen Eemeli Peltonen /sd
jäsen Hanna Räsänen /kesk
jäsen Paula Werning /sd
jäsen Joakim Vigelius /ps
jäsen Ben Zyskowicz /kok
varajäsen Timo Vornanen /ps
Valiokunnan sihteerinä on toiminut
istuntoasiainneuvos Sanna Helopuro