Tiivistelmä
HALLITUKSEN ESITYS
Esityksessä ehdotetaan säädettäväksi laki henkilötietojen käsittelystä Puolustusvoimissa. Esitykseen sisältyy lisäksi ehdotukset laeiksi eräiden muiden lakien muuttamisesta.
Lait oli esitystä annettaessa tarkoitettu tulemaan voimaan 6 päivänä toukokuuta 2018.
Esitykseen sisältyvissä säätämisjärjestysperusteluissa lakiehdotuksia tarkastellaan perustuslain 10 §:ssä turvatun henkilötietojen ja yksityisyydensuojan kannalta. Huomiota kiinnitetään myös Euroopan ihmisoikeussopimuksen yksityiselämän suojaa koskevaan 8 artiklaan.
Lakiehdotukset voidaan hallituksen käsityksen mukaan käsitellä tavallisessa lainsäätämisjärjestyksessä. Ehdotettu sääntely on kuitenkin valtiosääntöoikeudellisesti merkityksellistä perustuslain 10 §:ssä säädetyn yksityiselämän suojan ja henkilötietojen suojan kannalta, ja esitys on siksi syytä saattaa eduskunnan perustuslakivaliokunnan käsiteltäväksi.
Yleisperustelut
VALIOKUNNAN PERUSTELUT
Arvion lähtökohdat
Soveltamisala
Julkisuusperiaate
Henkilötietojen käsittelyn periaatteet
Käsittelyn tarkoituksen määrittäminen
Sääntelyn täsmällisyys ja tarkkarajaisuus sekä arkaluonteisten tietojen käsittelyn välttämättömyys
Tietojen luovuttaminen
Säilytysajat
Tietosuojarikos
Hallituksen esityksessä ehdotetaan säädettäväksi uusi laki henkilötietojen käsittelystä puolustusvoimissa (jäljempänä myös lakiehdotus). Perustuslakivaliokunnan myötävaikutuksella on säädetty myös erityislait henkilötietojen käsittelystä rajavartiolaitoksessa (), tullissa () ja rikosseuraamuslaitoksessa (). Valiokunta on lisäksi vastikään arvioinut hallituksen esitystä laiksi henkilötietojen käsittelystä poliisitoimessa ().
Myös nyt arvioitava esitys liittyy Suomen tietosuojalainsäädännön kokonaisuudistukseen, jonka taustalla on Euroopan unionin tietosuojaa koskeva sääntely. Lisäksi esitykseen sisältyy myös ehdotus henkilötietojen käsittelyä sotilastiedustelutehtävien yhteydessä koskevaksi sääntelyksi, minkä vuoksi esityksellä on liittymiä myös tiedustelulainsäädännön säätämiseen.
Ehdotus on merkityksellinen perustuslain 10 §:ssä säädetyn yksityiselämän ja henkilötietojen suojan kannalta. Hallituksen esityksen lakiehdotuksen 2 §:n 1 momentin mukaan, jollei tässä laissa toisin säädetä, laissa tarkoitettuun henkilötietojen käsittelyyn sovelletaan tämän lain lisäksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia (jäljempänä myös rikosasioiden tietosuojalaki) sen 10 §:n 2 momenttia, 54 §:ää ja 7 lukua lukuun ottamatta.
Perustuslakivaliokunta on hiljattain arvioinut () rikosasioiden tietosuojalain säätämiseen tähdännyttä hallituksen esitystä, johon sisältyvän lakiehdotuksen tarkoituksena on muun ohella toimeenpanna ns. poliisidirektiivi (Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta). Rikosasioiden tietosuojalakia sovelletaan kansallisen harkinnan perusteella laaditun sääntelyn johdosta myös Puolustusvoimien, poliisin ja Rajavartiolaitoksen käsitellessä henkilötietoja kansallisen turvallisuuden ylläpitämisen yhteydessä (ks. myös, s. 4).
Perustuslakivaliokunta on EU:n tietosuoja-asetuksen soveltamisalalla tarkistanut kantaansa henkilötietojen suojasta lailla säätämisen vaatimuksen osalta. Valiokunnan mukaan (, s. 3,, s. 7) perustuslain 10 §:ssä turvatut oikeudet saavat kuitenkin erityistä merkitystä korostuneen perusoikeusherkissä sääntelykonteksteissa. Nyt arvioitavan esityksen perusteluissa (s. 20) viitataan siihen, että osa Puolustusvoimien toiminnasta, johon liittyy henkilötietojen käsittelyä, on luonteeltaan erittäin lähellä poliisidirektiivin soveltamisalaan kuuluvia toimintoja. Puolustusvoimat toimii esimerkiksi esitutkintaviranomaisena sotilasrikosasioissa, minkä lisäksi sen tehtäviin kuuluu tiettyjen maanpuolustukseen liittyvien rikosten ennalta estäminen ja paljastaminen. Lakiehdotuksessa säädetään myös henkilötietojen käsittelystä sotilastiedustelutehtävien yhteydessä. Valiokunnan mukaan henkilötietojen käsittelyä koskevaa sääntelyä on tällaisissa suuren riskin perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava valiokunnan aiemman sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös, s. 7).
Merkityksellistä tässä suhteessa oli myös, että tuolloin käsillä olleeseen esitykseen sisältyvä ehdotus laiksi henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä olisi soveltamisalallaan yleislakina sovellettavaksi tuleva laki, jota on tarkoitus täydentää eri hallinnonaloja koskevalla erityislainsäädännöllä (, s. 3—4). Valiokunnan käsityksen mukaan nyt arvioitavan lakiehdotuksen tarkoitus on toimia tällaisena täydentävänä erityislainsäädäntönä. Valiokunnassa on lausuntoasiana vireillä samanaikaisesti tämän esityksen kanssa myös hallituksen esitys eduskunnalle laiksi henkilötietojen käsittelystä Rajavartiolaitoksessa ja eräiksi siihen liittyviksi laeiksi () sekä hallituksen esitys eduskunnalle laiksi henkilötietojen käsittelystä Tullissa ja eräiksi siihen liittyviksi laeiksi ().
Perustuslakivaliokunta on arvioinut arkaluonteisten tietojen käsittelyä pitäen lähtökohtana, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks., s. 2—3 ja siinä viitatut lausunnot). Merkityksellistä on ollut, että valiokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on tämän vuoksi arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (, s. 4—5 ja esimerkiksi,sekä). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim., s. 3).
Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (, s. 4,, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim., s. 5). Tällaista rajausta on valiokunnan uudemmassa käytännössä pidetty säätämisjärjestyskysymyksenä (ks. esim., s. 40).
Puolustusvoimien henkilörekistereihin talletetaan runsaasti sellaisia tietoja, joiden suojaaminen oikeudettomalta käytöltä on erittäin tärkeää. Tällaisessa tilanteessa myös tietojen käytön valvontaan on kiinnitettävä korostettua huomiota (ks. myös, s. 5,, s. 2/II—3/I, ks. myös, s. 34). Valiokunta korostaa, että tietojen suojaamista oikeudettomalta käytöltä ei voi perustaa yksin rekisterinpitäjää tai tietojen käsittelijää koskevan virkavastuun tai muun seuraamusjärjestelmän varaan.
Lakiehdotuksen 2 §:n 4 momentin mukaan muusta kuin 1 §:ssä tarkoitetusta henkilötietojen käsittelystä puolustusvoimissa säädetään EU:n yleisessä tietosuoja-asetuksessa ja tietosuojalaissa. Perusteluissa viitataan siihen, että lain soveltamisala rajautuisi siten sen perusteella, mihin tarkoitukseen henkilötietoja käsitellään. Jos käsittelyn tarkoitus liittyy jonkin pykälässä mainitun puolustusvoimista annetussa laissa säädetyn tehtävän hoitamiseen, käsittelyyn sovellettaisiin tätä lakia. Vastaavasti, jos käsittely ei liittyisi näiden tehtävien hoitamiseen, vaan käsittelyn perusteena olisi esimerkiksi henkilöstöasioiden hoitaminen, käsittelyyn ei sovellettaisi tätä lakia, vaan EU:n tietosuoja-asetusta ja yleistä tietosuojalakia. Perusteluissa katsotaan, että käytännössä tietosuoja-asetusta ja yleistä tietosuojalakia siten sovellettaisiin vain sellaiseen henkilötietojen käsittelyyn, joka ei olisi tarpeellista puolustusvoimista annetussa laissa säädettyjen tehtävien hoitamiseksi. Nyt arvioitavan lakiehdotuksen soveltamisalaan ei ehdotetun soveltamisalasäännöksen perusteella kuuluisi perusteluiden mukaan lainkaan sellaista henkilötietojen käsittelyä, johon sovelletaan EU:n tietosuoja-asetusta.
Perustuslakivaliokunta katsoi arvioidessaan siviilitiedustelulainsäädäntöä, että ottaen huomioon tiedustelutoimintaan liittyvät profiloinnin riskit myös nimenomaisen ja asianmukaisesti laaditun syrjintäkiellon ottaminen lakiin oli välttämätöntä, jotta lakiehdotus voitiin käsitellä tavallisen lain säätämisjärjestyksessä (, s. 15). Valiokunta piti sotilastiedustelulainsäädännön arvion yhteydessä säätämisjärjestyskysymyksenä sitä, että tällaisen kiellon on vastattava perustuslain 6 §:n 2 momentin syrjintäkieltoa myös siten, että siinä lueteltujen kiellettyjen syrjintäperusteiden luettelo ei ole tyhjentävä (, s. 17—18). Valiokunnan mielestä myös nyt arvioitavaa hallituksen esityksen 1. lakiehdotusta on täydennettävä näin muotoillulla yleisellä syrjintäkiellolla. Tällainen täydennys on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.
Lakiehdotuksen 3 §:n 2 momentti sisältää perustuslakivaliokunnan mielestä valtiosääntöisesti asianmukaisen yleissäännöksen, jonka mukaan henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 11 §:ssä tarkoitettujen erityisiin henkilötietoryhmiin kuuluvien tietojen tallettaminen ja muu käsittely on sallittua vain, jos käsittely on rekisterin käyttötarkoituksen kannalta välttämätöntä. Perustuslakivaliokunta painottaa säännöksen merkitystä lain muiden säännösten tulkinnassa.
Euroopan unionin perusoikeuskirjan 8 artikla edellyttää, että henkilötietojen käsittelyn on tapahduttava tiettyä tarkoitusta varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten. Tietosuoja-asetuksen 5 artiklan 2 kohdan mukaan rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu. Tietosuoja-asetusta ei kuitenkaan sovelleta muun ohella sellaiseen henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan tai jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Ensin mainitun poikkeuksen alaan lukeutuu muun ohella lähtökohtaisesti edellä sanotun mukaisesti kansallinen turvallisuus (ks. myös, s. 10—11,, s. 11), jälkimmäisen alaan lähinnä poliisidirektiivi.
Perustuslakivaliokunta on arvioidessaan henkilötietojen käsittelyä koskevaa lainsäädäntöä pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina muun ohella rekisteröinnin tavoitetta, tietosisältöjä ja sallittuja käyttötarkoituksia. (ks., s. 2 ja esimerkiksi, s. 2). Valiokunnan edellä selostetun tarkistetun käytännön mukaan näiden seikkojen sääntelyn lain tasolla tulee nyt arvioitavassa sääntely-yhteydessä olla edelleen kattavaa ja yksityiskohtaista.
Lakiehdotuksen 2 luvussa säädettäisiin rekisteröinnin tavoitteista säätämällä kullekin henkilörekisterille yksityiskohtaisesti sen käyttötarkoitus. Pysyvien henkilörekisterien osalta rekisteröinnin tavoitteen tulisi aina vastata kyseisen henkilörekisterin käyttötarkoitusta. Tilapäisen tai muun henkilörekisterin perustaminen olisi sallittua ainoastaan niihin tarkoituksiin, joista lain 16 §:ssä säädetään.
Lakiehdotuksen 13 ja 15 §:ssä sallittaisiin kuitenkin henkilötietojen tallettaminen rekisteriin enintään kuuden kuukauden ajaksi sen selvittämiseksi, ovatko tiedot merkityksellisiä sotilastiedustelutehtävien tai rikosten ennalta estämis- ja paljastamistehtävien hoitamiseksi. Säätämisjärjestysperusteluissa (s. 60) viitataan siihen, että säännökset mahdollistaisivat siten normaaleista tietojen käsittelykynnyksistä poikkeamisen väliaikaisesti. Sotilastiedustelutehtäviin ja rikosten ennalta estämis- ja paljastamistehtäviin liittyvä tiedonhankinta poikkeaa luonteeltaan tyypillisistä viranomaisten tiedonhankintamenetelmistä, eikä niissä ole perusteluiden mukaan siksi aina mahdollista välittömästi selvittää kaiken tehtävien hoitamisen yhteydessä saadun tiedon merkityksellisyyttä. Ehdotetun kuuden kuukauden enimmäisajan tarkoituksena on perustelujen mukaan varmistaa, että yksityisyyden suojan rajoitus on kokonaisuutena oikeasuhtainen tavoiteltuun päämäärään nähden.
Euroopan unionista tehdyn sopimuksen 4 artiklan 2 kohdan määräyksen mukaan kansallinen turvallisuus säilyy yksinomaan kunkin jäsenvaltion vastuulla. Unionilla ei ole kansallista turvallisuutta koskevaa toimivaltaa. Kansallinen turvallisuus on myös vakiintuneesti hyväksytty EUT:n oikeuskäytännössä oikeutetuksi tavoitteeksi rajoittaa perusoikeuksia (esim. tuomio komissio v. Suomi, C-284/05, 45, 47 ja 49 kohta). Valiokunnan käsityksen mukaan sanottu ei kuitenkaan merkitse kansalliselle lainsäätäjälle rajoituksetonta toimivaltaa. Valiokunnan käsityksen mukaan EU-oikeuden soveltamisala ja siitä seuraava perusoikeuskirjan soveltamisala on EU-oikeudellinen kysymys, eikä jäsenvaltiolla ole siten toimivaltaa EU-oikeuden soveltamisalan määrittelyyn edes kansallisen turvallisuuden perusteella. Kansallista turvallisuutta koskevaan perusteeseen vetoavan jäsenvaltion on siten osoitettava objektiivisin perustein tarve turvautua siihen (ks., s. 10—11,, s. 11). Kuten edellä todettiin, ehdotettu sääntely ei kuitenkaan kokonaisuudessaan rajoittune EU-oikeuden soveltamisalan ulkopuolelle. Lisäksi EU-oikeuden näkökulmasta lienee selvää, että kansallisen turvallisuuden perusteella ei voi käsitellä henkilötietoja kokonaan ilman oikeudellisia rajoituksia (ks., s. 10—11,, s. 11).
Perustuslakivaliokunnan mukaan kansallinen turvallisuus ei oikeuta poikkeamaan perustuslain 10 §:ssä turvatusta henkilötietojen suojan turvaamisvelvoitteesta. Valiokunta on esimerkiksi katsonut, että rikosasioiden tietosuojalain soveltamisalan laajennus kansallisen turvallisuuden ylläpitämiseen täyttää henkilötietojen turvaamista koskevan perustuslaillisen velvoitteen myös tältä osin (, s. 4). Lisäksi valiokunnan mukaan sotilastiedustelutoimivaltuuksien lainmukainen käyttö edellyttää niillä kerättävien henkilötietojen käsittelyn laintasoista sääntelyä (ks., s. 39). Valiokunta on kuitenkin nyt käsillä olevan kanssa samankaltaisessa sääntely-yhteydessä pitänyt rekisterisääntelyn yleisluonteisuutta tavallaan ymmärrettävänä (, s. 2/II).
Perustuslakivaliokunnan käsityksen mukaan ehdotettu säännös merkitsee sitä, että puolustusvoimat voisi tallettaa sähköisiin tietokantoihin suuria määriä henkilötietoja, joiden merkityksellisyys on tietojen tallettamistilanteessa epäselvä. Rekisteröitävien henkilötietojen sallittuja käyttötarkoituksia ei ole laissa määritelty. Rekisteröitäviin henkilötietoihin voi ilmeisesti kuulua myös arkaluonteisia tietoja, sillä perusteluissa viitataan siihen, että merkityksellisyydellä viitattaisiin käsittelykynnysten täyttymiseen, eli erityisiin henkilötietoryhmiin kuuluvien tietojen osalta välttämättömyyteen ja muiden henkilötietojen osalta tarpeellisuuteen (s. 37). Ehdotettua henkilötietojen käsittelyä merkityksellisyyden arviointia varten ei voisi valvoa, koska esitetty säännös mahdollistaisi puolustusvoimille oikeuden rekisteröidä tietojärjestelmään henkilötietoja rajoittamattomasti, ilman niiden käyttötarkoituksen, sisällön tai rekisteröimisedellytysten määrittelemistä.
Perustuslakivaliokunnan käsityksen mukaan ehdotetun sääntelyn perusteella muodostuisi laaja, tietosisällöiltään ja käsittelyn tarkoitukseltaan oikeudellisesti kontrolloimaton rekisteri, joka voisi sisältää laajasti myös arkaluonteisia tietoja. Valiokunnan mukaan on sinänsä selvää, että kerättyjen henkilötietojen käsittely tiettyyn tarkoitukseen edellyttää niiden sisällön arvioimista tarkoituksen kannalta. Valiokunta kiinnittää kuitenkin huomiota siihen, että henkilötietojen suojaa koskevassa sääntelyssä henkilötietojen käsittelyllä tarkoitetaan myös tietojen keräämistä, mikä on mahdollista vain tiettyyn nimenomaiseen tarkoitukseen. Myös perustuslakivaliokunnan käytännössä on edellä selostetun mukaisesti edellytetty laintasoista sääntelyä rekisteröinnin tavoitteista, tietosisällöistä ja sallituista käyttötarkoituksista. Valiokunta on edellyttänyt erityisesti arkaluonteisten tietojen käsittelyn rajoittamista täsmällisillä ja tarkkarajaisilla laintasoisilla säännöksillä vain välttämättömään.
Perustuslakivaliokunta kiinnittää erityistä huomiota siihen, että lakiehdotuksen sotilastiedustelua koskevan 13 §:n perusteluissa (s. 37) viitataan siihen, että sotilastiedustelutehtävien suorittaminen edellyttää laajaa tiedonhankintaa, eikä kaikkien saatavien tietomassojen osalta ole välttämättä mahdollista arvioida välittömästi sitä, onko tieto tehtävän kannalta merkityksellistä vai ei. Momentissa sallittaisiin tietojen tallettaminen väliaikaisesti rekisteriin sen selvittämiseksi, onko tieto merkityksellistä rekisterin käyttötarkoituksen kannalta vai ei. Valiokunta on arvioidessaan sotilastiedustelulakiehdotusta pitänyt säätämisjärjestyskysymyksenä lakiehdotuksen täydentämistä nimenomaisella säännöksellä yleiseen ja kohdentamattomaan tietoliikenteen seurantaan kohdistuvasta kiellosta (, s. 23, ks. myös, s. 20).
Lakiehdotuksen 13 §:n 2 momentin mukaan sotilastiedustelurekisteriin saadaan tallettaa vain 1 momentissa tarkoitettuja tietoja myös sen arvioimiseksi, ovatko tiedot merkityksellisiä rekisterin käyttötarkoituksen kannalta. Sallitut tietosisällöt on määritelty näin myös 15 §:n 2 momentissa. Valiokunnan mielestä sääntely ei tästä täsmentämisestä huolimatta ole sopusoinnussa perustuslain 10 §:n kanssa. Valiokunnan mielestä sotilastiedustelua koskeva 13 §:n 2 momentin tarve vaikuttaisi perustuvan ainakin osin sellaiseen tietoverkkoihin kohdistuvaan yleiseen ja kohdentamattomaan tietoliikenteen seurantaan, jota valiokunta on pitänyt perustuslain 10 §:n 4 momentin vastaisena. Lakiehdotuksen 13 §:n 2 momentin ja 15 §:n 2 momentin säännökset on ehdotetussa muodossa poistettava. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Valiokunta huomauttaa, että henkilötietojen käsittelyn perusteiden arvioinnista voidaan perustuslain estämättä säätää esimerkiksi perustuslakivaliokunnan myötävaikutuksella (, s. 4/II—5/I) säädetyn poliisilain 5 luvun 55 §:n kaltaisella tiedon hävittämistä koskevalla sääntelyllä (ks. myös pakkokeinolain 57 § ja, s. 10 sekä, s. 6—7).
Lakiehdotuksen 2 luvussa säädettäisiin puolustusvoimien pysyvien henkilörekisterien sallitusta tietosisällöstä. Tietosisällöistä ei pääosin säädettäisi yksittäisten henkilötietojen tasolla, vaan laissa säädettäisiin tietoluokista, joihin kuuluvia henkilötietoja rekisteriin saisi tallettaa. Erityisiin henkilötietoryhmiin kuuluvien tietojen tallettamisesta rekistereihin säädettäisiin kuitenkin yksityiskohtaisemmin.
Lakiehdotuksen 12 §:ssä säädetään sotilastiedustelurekisterin käyttötarkoituksesta. Sotilastiedustelurekisteriä käytetään sotilastiedustelutehtävien suorittamiseksi. Lakiehdotuksen 13 §:n 1 momentin 8 kohdan perusteella sotilastiedustelurekisteriin saadaan tallettaa muun ohella matkustamiseen liittyviä tietoja sekä 14 kohdan perusteella tiedustelumenetelmillä hankitut henkilön toimintaa ja käyttäytymistä koskevat tiedot. Säännösten keskinäinen suhde ei ole selvä, vaikka 13 §:n perusteluissa (s. 36) viitataankin siihen, että kaiken rekisteriin talletettavan tiedon tulisi olla rekisterin käyttötarkoituksen kannalta tarpeellista.
Perustuslakivaliokunta on vastaavassa asiayhteydessä pitänyt rekisterisääntelyn yleisluonteisuutta tavallaan ymmärrettävänä (, s. 2/II). Nyt ehdotetun sääntelyn sanamuoto jättää kuitenkin eräiltä osin täysin avoimeksi sen, millaisia tietoja olisi tältä osin mahdollista käsitellä. Matkustamiseen liittyvät tiedot kattaisivat käytännössä kaikki tilanteet, joissa henkilö käyttää perustuslain 9 §:ssä suojattua liikkumisvapauttaan. Erityisen ongelmallisena voidaan pitää 14 kohdan toimintaa ja käyttäytymistä koskevat tiedot sisältävää mainintaa, joka sanamuodon mukaisena kattaa käytännössä koko yksityisen henkilön elinpiirin. Tällaisiin tietoihin voi sisältyä arkaluonteisia tietoja. Sääntelyä on välttämätöntä täsmentää esimerkiksi rajaamalla tietojen käsittely selkeästi ja säädösperustaisesti sellaiseen matkustamiseen, toimintaan ja käyttäytymiseen, jota koskevien tietojen käsittelyä voidaan pitää puolustusvoimien toimivaltuuksien kannalta välttämättömänä (ks. myös). Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.Vastaava säätämisjärjestyskannanotto kohdistuu myös 1. lakiehdotuksen 15 §:n 1 momentin 8 ja 14 kohtaan.
Lakiehdotuksen 16 §:n 1 momentin mukaan puolustusvoimat saisi perustaa tilapäisen tai muun henkilörekisterin, jos se on tarpeen kyseisessä momentissa lueteltujen tehtävien suorittamiseksi. Pykälän 2 momentin mukaan rekisteriin saisi tallettaa tehtävän suorittamisen kannalta tarpeellisia henkilötietoja. Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely olisi kuitenkin sallittua vain, jos se on välttämätöntä rekisterin käyttötarkoituksen kannalta.
Esityksen perusteluiden (s. 39) mukaan tarkoituksena on säilyttää tarpeellisin osin nykyinen oikeustila ja mahdollisuus käsitellä henkilötietoja siltä osin kuin 3—15 § tai muualla laissa olevat säännökset eivät kattaisi kaikkia Puolustusvoimien käsittelytarpeita. Perustuslakivaliokunnan mielestä ehdotettu säännös tekee tyhjäksi lakiehdotuksen 2 luvun sääntelyn sallituista tietosisällöistä. Perustuslakivaliokunnan käytännössä on edellä selostetun mukaisesti edellytetty laintasoista sääntelyä rekisteröinnin tavoitteista, tietosisällöistä ja sallituista käyttötarkoituksista. Hallituksen esityksen 1. lakiehdotuksen 16 §:ää on täsmennettävä olennaisesti esimerkiksi perusteluissa viitattujen rekisterien tietosisällöillä ja käsittelyn tarkoituksilla tai se on poistettava lakiehdotuksesta. Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä.
Lakiehdotuksen 32 §:ssä säädetään tiedustelutiedon luovuttamisesta toiselle valtiolle tai kansainväliselle järjestölle. Päätettäessä tietojen luovuttamisesta on otettava huomioon henkilötietoja vastaanottavan valtion ihmisoikeustilanne, luovutuksen merkitys Suomen kansainvälisille suhteille sekä Suomea sitovat kansainväliset sopimukset ja muut velvoitteet. Lisäksi on otettava huomioon henkilötietoja vastaanottavan valtion tietosuojan taso ja luovutuksen merkitys rekisteröidyn oikeuksille.
Säännöksen perusteluissa (s. 48) viitataan siihen, että ennen tietojen luovuttamista tulisi siten varmistua muun muassa siitä, ettei rekisteröity voi joutua luovutettavien tietojen johdosta kidutuksen tai muun epäinhimillisen kohtelun kohteeksi. Tiedustelutiedon luovuttamisesta päätettäessä tulisi muutenkin erityisesti varmistaa, ettei tiedon luovuttaminen vaaranna suoraan tai välillisesti rekisteröidyn perus- ja ihmisoikeuksia. Perustuslakivaliokunta pitää säännöstä perusteltuna.
Perustuslakivaliokunta on katsonut, että perustuslain 9 §:n 4 momentin kiellosta karkottaa ulkomaalaista, jos häntä tämän vuoksi uhkaa kuolemanrangaistus, kidutus tai muu ihmisarvoa loukkaava kohtelu, seuraa valiokunnan käsityksen mukaan myös sellainen tulkintavaikutus, että tietojen luovuttaminen ei ole sallittua, jos niiden käyttäminen voi johtaa esimerkiksi kuolemanrangaistukseen tuomitsemiseen tai jo tuomitun rangaistuksen täytäntöönpanoon (). Valiokunta on lisäksi tiedustelulakien arvion yhteydessä pitänyt säätämisjärjestyskysymyksenä kansainvälistä tietojen vaihtoa koskevan sääntelyn täydentämistä siten, että siitä ilmenee säädösperustaisesti ja nimenomaisesti kielto luovuttaa tietoja sellaisille valtioille, joiden voidaan katsoa syyllistyvän järjestelmällisiin ihmisoikeusloukkauksiin tai joissa tiedonhankintakeinot eivät noudata kansainvälisissä ihmisoikeussopimuksissa vahvistettuja standardeja. Rajaus voitiin valiokunnan mielestä toteuttaa esimerkiksi säännökseen otettavalla viittauksella siihen, että tietojen luovuttamisessa ja vastaanottamisessa on noudatettava Suomea velvoittavia kansainvälisiä sopimuksia, ja kieltämällä nimenomaisesti kansainvälinen yhteistyö ja tietojen vaihto, jos on perusteltua aihetta epäillä, että jotakin henkilöä tämän yhteistyön tai tietojen luovuttamisen vuoksi uhkaa kuolemanrangaistus, kidutus, muu ihmisarvoa loukkaava kohtelu, vaino, mielivaltainen vapaudenriisto tai epäoikeudenmukainen oikeudenkäynti (, s. 25—26,, s. 28). Valiokunnan mielestä sääntelyä on syytä täydentää tällaisella nimenomaisella kiellolla (ks. myös). Tällainen muutos on edellytyksenä sille, että 1. lakiehdotus voidaan käsitellä tavallisen lain säätämisjärjestyksessä. Vastaava säätämisjärjestykseen vaikuttava huomio koskee myös 31 §:ää.
Henkilötietojen säilytysajoista säädettäisiin 5 luvussa. Lakiehdotuksen 43 §:ssä säädetään henkilötietojen poistamisesta sotilastiedustelurekisteristä. Rekisteröityä koskevat henkilötiedot poistetaan sotilastiedustelurekisteristä viimeistään 50 vuoden kuluttua viimeisen tiedon merkitsemisestä. Lakiehdotuksen 44 §:ssä säädetään henkilötietojen poistamisesta turvallisuustietorekisteristä. Rekisteröityä koskevat henkilötiedot poistetaan turvallisuustietorekisteristä viimeistään 25 vuoden kuluttua viimeisen tiedon merkitsemisestä. Joidenkin henkilöiden kohdalla säilytetyksi voi tulla siis hyvin pitkän aikavälin tietoja, jos uusia tietoja säännöllisesti lisätään.
Perustuslakivaliokunnan mukaan tietojen pysyvä säilyttäminen ei ole henkilötietojen suojan mukaista, ellei siihen ole tietojärjestelmän luonteeseen tai tarkoitukseen liittyviä perusteita (ks.). Valiokunta on pitänyt myös viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (, s. 6) ja korostanut, että mitä pidemmäksi tietojen säilytysaika muodostuu, sitä olennaisempaa on huolehtia tietoturvasta, tietojen käytön valvonnasta ja rekisteröidyn oikeusturvasta (, s. 7). Puolustusvaliokunnan on syytä tarkastella, ovatko näin pitkät säilytysajat tarpeen, ja rajoittaa erityisesti arkaluonteisten henkilötietojen säilytysaikoja välttämättömään säilytyksen tarkoituksen kannalta.
Tietosuojarikosta koskeva säännös on niin sanottu blankorikossäännös. Laillisuusperiaatteeseen liittyvistä syistä blankorangaistussääntelyyn on ollut syytä suhtautua torjuvasti (esim., s. 8,, s. 3,, s. 2/II ja, s. 3/II). Perusoikeusuudistuksen yhteydessä valiokunta korosti, että blankosääntelyn osalta tavoitteena tulee olla, että niiden edellyttämät valtuutusketjut ovat täsmällisiä, rangaistavuuden edellytykset ilmaisevat aineelliset säännökset ovat kirjoitetut rikossäännöksiltä vaaditulla tarkkuudella ja nämä säännökset käsittävästä normistosta käy ilmi myös niiden rikkomisen rangaistavuus sekä kriminalisoinnin sisältävässä säännöksessä on jonkinlainen asiallinen luonnehdinta kriminalisoitavaksi tarkoitetusta teosta (). Tuoreemmassa käytännössään valiokunta on pitänyt blankorikossääntelyn täsmentämistä edellytyksenä lakiehdotuksen käsittelylle tavallisen lain säätämisjärjestyksessä (, s. 8—9). Myös tilanteessa, jossa säännöksessä luetellaan niitä tekotapoja, jotka voivat tulla rangaistaviksi, sääntelyä on perustuslakivaliokunnan käytännön mukaan ollut täsmennettävä viittaussäännöksiä ja rikoksen tunnusmerkistötekijöitä tarkentamalla (, s. 21—22). Valiokunnan käsityksen mukaan henkilötietojen käsittelystä puolustusvoimissa annettava laki on sellainen "henkilötietojen käsittelyä koskeva muu laki", jota tarkoitetaan rikoslain 38 luvun 9 §:n 1 momentin 4 kohdassa. Lakiehdotusta on täydennettävä viittauksella rikoslain tietosuojarikosta koskevaan säännökseen.
Valiokunnan päätösehdotus
VALIOKUNNAN PÄÄTÖSESITYS
Perustuslakivaliokunta esittää,
että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä, 1. lakiehdotus kuitenkin vain, jos valiokunnan syrjintäkiellosta sekä 13, 15, 16, 31 ja 32 §:stä tekemät valtiosääntöoikeudelliset huomautukset otetaan asianmukaisesti huomioon.