Tiivistelmä
HALLITUKSEN ESITYS
Esityksessä ehdotetaan muutettavaksi vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annettua lakia. Esityksellä selkeytettäisiin vahvan sähköisen tunnistamisen palveluntarjoajien muodostaman luottamusverkoston toimintaa. Luottamusverkostoon kuuluvien palveluntarjoajien sopimuksentekovelvoitetta selkeytettäisiin. Esityksellä säädettäisiin lisäksi nykyistä alemmasta tunnistustapahtuman välittämisen enimmäishinnasta. Niin kutsutun ensitunnistamisen ketjuttamisen enimmäishintasääntely muutettaisiin kahden vuoden määräajaksi vastaamaan tunnistustapahtuman hinnoittelua luottamusverkostossa ja sitä koskevaa vastuusääntelyä selkeytettäisiin.
Luottamusverkoston toiminta perustuu palveluntarjoajien kahdenvälisiin sopimuksiin. Luottamusverkostoa koskeva sääntely on ollut voimassa toukokuusta 2017 lähtien, mutta verkoston toiminta ja sopimusneuvottelut ovat lähteneet hitaasti käyntiin. Esityksen tavoitteena on edistää digitaalisen liiketoiminnan kasvuympäristön luomista pääministeri Juha Sipilän hallituksen kärkihankkeen mukaisesti ja edistää sähköisen tunnistamisen markkinoiden kehittymistä. Turvallisen sähköisen asioinnin edistäminen on keskeisessä asemassa sähköisten palveluiden lisääntyessä yhteiskunnan kaikilla osa-alueilla.
Laki on tarkoitettu tulemaan voimaan mahdollisimman pian.
Yleisperustelut
VALIOKUNNAN YLEISPERUSTELUT
Yleistä Hintasääntely ja sopimuksentekovelvollisuus Tunnistusvälineiden saatavuus Jatkotoimista
Liikenne- ja viestintävaliokunta pitää vahvaa sähköistä tunnistamista yhtenä keskeisenä digitaalisen yhteiskunnan ja digitaalisten palvelujen kehittymisen edellytyksenä. Digitaalisen liiketoiminnan kasvuympäristön luominen, julkishallinnon palvelujen kehittäminen ja kansalaisten osallistumismahdollisuuksien turvaaminen vaativat toimivia ja turvallisia sähköisiä tunnistusvälineitä ja niihin liittyviä palveluita.
Valiokunta pitää sähköisen tunnistamisen luottamusverkoston toimintaa ensiarvoisen tärkeänä ja pitää hyvin valitettavana, että luottamusverkoston toiminta ei ole lähtenyt voimassa olevan sääntelyn ja sen tavoitteiden mukaisesti käyntiin.
Nyt käsittelyssä olevassa esityksessä on ehdotettu varsin voimakkaita keinoja sähköisen tunnistamisen markkinoiden toimivuuden ja kilpailun edistämiseksi, luottamusverkoston liikkeelle saamiseksi ja lain tavoitteiden toteutumisen varmistamiseksi.
Saadun selvityksen mukaan luottamusverkostoa koskevat sopimusneuvottelut ovat osoittautuneet osin varsin haastaviksi. Valiokunta pitää näin ollen erityisen tärkeänä esityksen sopimuksentekovelvoitteeseen tehtyjä muutoksia, kuten siihen nimenomaisesti säädettyä määräaikaa ja sopimusehtojen kohtuullisuuden ja syrjimättömyyden vaatimuksia.
Valiokunta pitää hallituksen esityksen ehdotuksia perusteltuina nykyisessä tilanteessa, jossa erilaisin neuvotteluin ja jo aiemmin useammassa vaiheessa tehdyin lakimuutoksin on pyritty tuloksetta pääsemään lain tarkoituksen mukaiseen lopputulokseen.
Valiokunta on jo aiemmin (—,—) pitänyt sähköisen tunnistamisen palveluita eräänlaisina tietoyhteiskunnan peruspalveluina ja kantanut huolta kansalaisten epätasa-arvoisesta asemasta sähköisten tunnistusvälineiden saamisen kannalta. Valiokunta katsoo, että asia on edelleen ajankohtainen ja siihen tulee etsiä ratkaisut ensitilassa kansalaisten yhdenvertaisuuden turvaamiseksi ja yhteiskunnasta syrjäytymisvaaran vähentämiseksi.
Kansalaisilla ja yrityksillä tulee olla käytettävissä tasapuolisesti luotettavia sähköisiä tunnistusvälineitä joko markkinaehtoisesti tai, mikäli tämä ei toteudu markkinaehtoisesti, julkisen hallinnon nykyistä vahvemman roolin kautta.
Valiokunta kiinnittää lisäksi huomiota tarpeeseen selvittää mahdollisuuksia pohjoismaisen sähköisen tunnistamisen yhteentoimivuuden kehittämiseen.
Valiokunta painottaa, että sähköisen tunnistamisen markkinoiden kehittyminen tulee saada viimein etenemään. Toimialan ja eri vastuuministeriöiden välisellä yhteistyöllä on tarpeen varmistaa, että luottamusverkosto saadaan toimimaan myös käytännön tasolla tehokkaasti. Valiokunta painottaa myös lain noudattamista valvovan viranomaisen roolia sääntelyn ja sen tavoitteiden toteutumisen varmistamisessa. Valiokunta kiinnittää huomiota myöskin siihen, että Liikenne- ja viestintäviraston resurssien riittävyydestä nyt käsittelyssä olevaan asiaan liittyen on tärkeää huolehtia lain noudattamisen varmistamiseksi.
Hallituksen esityksen perusteluista ilmenevistä syistä ja saamansa selvityksen perusteella valiokunta pitää esitystä tarpeellisena ja tarkoituksenmukaisena. Valiokunta puoltaa esityksen hyväksymistä sellaisenaan, vähäisin lakiteknisin korjauksin.
Yksityiskohtaiset perustelut
VALIOKUNNAN YKSITYISKOHTAISET PERUSTELUT
Johtolause.
Valiokunta on korjannut lain johtolausetta lakiteknisesti siten, että niin sanotun virastouudistuksen (——) yhteydessä tehdyt lakimuutokset otetaan huomioon.
Lainsäädäntömuutos
Valiokunnan muutosehdotukset
Laki
vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain muuttamisesta ja väliaikaisesta muuttamisesta
Eduskunnan päätöksen mukaisesti
kumotaan
617/2009
1009/2018
vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain () 17 §:n 5—7 momentti, sellaisina kuin ne ovat laissa,
muutetaan
ja 16 § ja 17 §:n 4 momentti laissa 1009/2018
12 a ja 16 §, 17 §:n 4 momentti ja 18 §, sellaisina kuin niistä ovat 12 a, sekä
lisätään
laissa 1009/2018
3 §:ään uusi 2 momentti, lakiin uusi 12 b—12 d § ja 17 §:ään, sellaisena kuin se on, siitä tällä lailla kumotun 5—7 momentin tilalle uusi 5 ja 6 momentti ja väliaikaisesti uusi 7 momentti seuraavasti:
3 §
Pakottavuus
Tunnistuspalvelun tarjoajien välinen sopimusehto, joka poikkeaa tämän lain säännöksistä, on mitätön.
12 a §
Tunnistuspalvelun tarjoajien luottamusverkosto
Tunnistuspalvelun tarjoaja liittyy osaksi luottamusverkostoa tehdessään 10 §:n mukaisen ilmoituksen Liikenne- ja viestintävirastolle.
Tunnistusvälineen tarjoajan on tarjottava tunnistuspalvelunsa käyttöoikeutta tunnistusvälityspalvelun tarjoajille siten, että ne voivat välittää tunnistustapahtumia sähköiseen tunnistukseen luottavalle osapuolelle. Tunnistusvälineen tarjoajan on laadittava tunnistuspalvelunsa käyttöoikeuden toimitusehdot ja käytettävä niitä tehdessään sopimuksia tunnistusvälityspalveluiden tarjoajien kanssa. Käyttöoikeuden ehtojen on oltava tämän lain mukaisia sekä kohtuullisia ja syrjimättömiä. Tunnistusvälineen tarjoajan on hyväksyttävä tunnistusvälityspalvelun tarjoajan pyyntö toimitusehtojen mukaisen sopimuksen tekemisestä sekä annettava käyttöoikeus tunnistuspalveluun viipymättä ja viimeistään kuukauden kuluessa pyynnön tekemisestä. Tunnistusvälineen tarjoaja voi kieltäytyä sopimuksen tekemisestä ainoastaan, jos tunnistusvälityspalvelun tarjoaja toimii vastoin tätä lakia tai sen nojalla annettuja säännöksiä tai määräyksiä taikka kieltäytymiselle on muu painava peruste.
Tunnistuspalvelun tarjoajien on tehtävä yhteistyötä sen varmistamiseksi, että luottamusverkoston jäsenten väliset tekniset rajapinnat ovat yhteen toimivia ja että ne mahdollistavat yleisesti tunnettujen standardien mukaisten rajapintojen tarjoamisen luottaville osapuolille.
Tunnistuspalvelun tarjoajan on toteutettava ylläpito-, muutos- ja tietoturvatoimenpiteet muille tunnistuspalvelun tarjoajille, käyttäjille ja luottaville osapuolille mahdollisimman vähän haittaa aiheuttavalla tavalla. Sen lisäksi, mitä 25 ja 26 §:ssä säädetään, tunnistuspalvelun tarjoaja saa tilapäisesti ilman toisen tunnistuspalvelun tarjoajan suostumusta keskeyttää tunnistuspalvelun tarjonnan tai rajoittaa sen käyttöä, jos se on välttämätöntä edellä tarkoitetun toimenpiteen onnistumiseksi. Keskeytyksestä ja muutoksesta on tiedotettava tehokkaasti niille muille tunnistuspalvelun tarjoajille, joiden palveluihin se voi vaikuttaa.
Tunnistuspalvelun tarjoaja saa käyttää käyttöoikeuden luovutuksen tai 16 §:n nojalla saatuja toista tunnistuspalvelun tarjoajaa koskevia tietoja vain siihen tarkoitukseen, jota varten ne on tunnistuspalvelun tarjoajalle annettu. Tietoja saavat tunnistuspalvelun tarjoajan palveluksessa tai sen lukuun käsitellä ainoastaan ne, jotka tarvitsevat tietoja välttämättä työssään. Tietoja on muutoinkin käsiteltävä siten, ettei toisen tunnistuspalvelun tarjoajan liikesalaisuuksia vaaranneta. Tunnistuspalvelun tarjoaja, joka aiheuttaa tämän momentin vastaisella menettelyllä vahinkoa toiselle tunnistuspalvelun tarjoajalle, on velvollinen korvaamaan menettelystään aiheutuvan vahingon.
Luottamusverkoston hallinnollisista käytännöistä, teknisistä rajapinnoista ja hallinnollisista vastuista annetaan tarkempia säännöksiä valtioneuvoston asetuksella.
12 b §
Tunnistuspalvelun käyttöoikeuden toimitusehdot ja tunnistusvälineen tarjoajan tiedonantovelvollisuus
Tunnistusvälineen tarjoajan on julkaistava tunnistuspalvelunsa käyttöoikeuden toimitusehdot sekä muut käyttöoikeuden luovuttamisen ja tunnistuspalveluiden yhteentoimivuuden kannalta merkitykselliset tiedot verkkosivuillaan. Tunnistusvälineen tarjoajan on julkaistava vähintään seuraavat tiedot:
1) kuvaus tunnistusvälineestä mukaan lukien tieto saatavilla olevista yhteentoimivuusjärjestelmän vahvistamisesta sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 12 artiklan 8 kohdan mukaisesti annetun komission täytäntöönpanoasetuksen (EU) 2015/1501 liitteen mukaisista henkilön tunnistetiedoista;
2) tunnistusvälineeseen liittyvät mahdolliset 18 §:ssä tarkoitetut estot ja rajoitukset sekä tieto siitä, miten ne ovat luottavien osapuolten tiedossa tai havaittavissa, taikka tiedot käyttörajoituksen teknisestä toteuttamisesta;
3) kuvaus tunnistustapahtumien välityksen teknisistä rajapinnoista ja testausjärjestelystä siltä osin kuin ne eivät sisällä liikesalaisuuksia tai tietoturvaa vaarantavia tietoja;
4) tunnistustapahtuman hinta;
5) tarjottu palvelutaso;
6) tieto siitä, miten huolto- ja muutostöistä ilmoitetaan;
7) kuvaus laskutusmenettelystä;
8) vahingonkorvausvastuuta koskevat ehdot;
9) tavaramerkkien ja muiden immateriaalioikeuksien käytön ehdot;
10) henkilötietojen käsittelyn periaatteet luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetukseen (EU) 2016/679 (yleinen tietosuoja-asetus) mukaisena rekisterinpitäjänä;
11) mahdolliset perusteet, joilla toimitusehtoja voidaan yksipuolisesti muuttaa;
12) riidanratkaisun menetelmä;
13) mahdolliset muut luottamusverkoston toiminnan kannalta välttämättömät ehdot.
12 c §
Korvaus tunnistuspalvelun käyttöoikeudesta
Tunnistusvälityspalvelun tarjoajan on suoritettava tunnistuspalvelun käyttöoikeudesta korvaus, joka on enintään 3 senttiä edelleen välitettävältä tunnistustapahtumalta. Korvaus kattaa kaikki sähköiseen tunnistusvälineeseen liittyvät henkilön tunnistetiedot. Liikenne- ja viestintävirasto arvioi korvauksen tasoa vuosittain.
Tunnistuspalvelun käyttöoikeudesta ei saa periä muuta korvausta. Laskutuksen sekä kaikkien sellaisten tunnistusvälineen tarjoajan rajapintojen, toimintojen, palvelujen, ohjelmistojen ja tietojärjestelmien käyttöoikeudet, joita tarvitaan tunnistuksen välittämiseen luottavalle osapuolelle, tulee sisältyä 1 momentissa säädettyyn korvaukseen.
12 d §
Luottamusverkoston jäsenten välinen vahingonkorvausvelvollisuus
Tunnistuspalvelun tarjoaja, joka tahallaan tai huolimattomuudesta toimii 12 a §:n 2—3 momentissa tai 6 momentin nojalla annetuissa säännöksissä, 12 b § tai 12 c §:ssä taikka 17 §:n 4 momentissa säädettyjen velvollisuuksien vastaisesti, on velvollinen korvaamaan toiselle tunnistuspalvelun tarjoajalle aiheuttamansa vahingon.
Vahingonkorvaus käsittää korvauksen kuluista, hinnanerosta sekä muusta välittömästä taloudellisesta vahingosta, joka tunnistuspalvelun tarjoajan 1 momentissa tarkoitetusta toiminnasta on aiheutunut.
Korvausta voidaan sovitella, jos täysi korvausvelvollisuus harkitaan kohtuuttoman raskaaksi rikkomuksen laatu, vahingon laajuus, osapuolten olosuhteet ja muut seikat huomioon ottaen.
Oikeus korvaukseen vanhenee, jollei korvauskannetta ole pantu vireille kolmen vuoden kuluessa siitä, kun tunnistuspalvelun tarjoaja sai tiedon tai sen olisi pitänyt saada tieto vahingon ilmenemisestä.
Käsitellessään 1 momentissa tarkoitettua korvauskannetta tuomioistuin voi pyytää Liikenne- ja viestintäviraston lausuntoa asiassa.
16 §
Tunnistuspalvelun tarjoajan ilmoitukset toimintaan ja tietojen suojaamiseen kohdistuvista uhkista tai häiriöistä
Tunnistuspalvelun tarjoajan on salassapitosäännösten estämättä ilmoitettava ilman aiheetonta viivästystä tunnistuspalveluunsa luottaville osapuolille, tunnistusvälineiden haltijoille, muille luottamusverkostossa toimiville sopimuspuolilleen sekä Liikenne- ja viestintävirastolle palvelun toimivuuteen, tietoturvaan tai sähköisen henkilöllisyyden käyttöön kohdistuvista merkittävistä uhkista tai häiriöistä. Ilmoituksessa on kerrottava niistä toimista, joita eri tahoilla on käytettävissään uhkien tai häiriöiden torjumiseksi sekä näistä toimenpiteistä aiheutuvista arvioiduista kustannuksista.
Tunnistuspalvelun tarjoaja voi salassapitosäännösten estämättä ilmoittaa kaikille luottamusverkoston jäsenille 1 momentissa tarkoitetuista uhkista ja häiriöistä sekä palvelun tarjoajista, joiden on syytä epäillä tavoittelevan oikeudetonta taloudellista hyötyä, antavan merkityksellisiä totuudenvastaisia tai harhaanjohtavia tietoja tai käsittelevän henkilötietoja lainvastaisesti.
621/1999 Liikenne- ja viestintävirasto voi teknisesti välittää tietoja luottamusverkostossa osapuolten välillä ilmoittajan lukuun sen estämättä, mitä viranomaisten toiminnan julkisuudesta annetussa laissa () säädetään.
17 §
Tunnistusvälineen hakijana olevan luonnollisen henkilön tunnistaminen
Tunnistusvälineen tarjoajan on mahdollistettava se, että toinen tunnistusvälineen tarjoaja voi käyttää sen myöntämää vahvaa sähköistä tunnistusvälinettä ensitunnistamiseen haettaessa vastaavan tai alemman varmuustason vahvaa sähköistä tunnistusvälinettä. Mitä 12 a ja 12 b §:ssä säädetään tunnistuspalvelun käyttöoikeuden luovutuksesta ja toimitusehtojen julkaisemisesta, sovelletaan myös tässä momentissa tarkoitettuun tunnistusvälineen käyttämiseen ensitunnistamisessa.
Aiempaan ensitunnistamiseen luottava tunnistusvälineen tarjoaja vastaa mahdollisesta aiemman ensitunnistamisen virheellisyydestä aiheutuvasta vahingosta suhteessa vahinkoa kärsineeseen.
Jos aiempaan ensitunnistamiseen luottava tunnistusvälineen tarjoaja joutuu vastuuseen vahingosta 5 momentin nojalla, sillä on oikeus saada korvaus vahingostaan ensitunnistamisessa virheen tehneeltä tunnistusvälineen tarjoajalta, ellei tämä osoita, että vahinko ei ole aiheutunut sen tahallisuudesta tai törkeästä huolimattomuudesta.
Mitä 12 c §:ssä säädetään tunnistustapahtuman välittämisestä suoritettavasta korvauksesta, sovelletaan myös 4 momentissa tarkoitettuun tunnistusvälineen käyttämiseen ensitunnistamisessa.
18 §
Oikeustoimen tekemiseen kohdistuvat estot ja rajoitukset
Tunnistuspalvelun tarjoajan, tunnistuspalvelua käyttävän palveluntarjoajan sekä tunnistusvälineen haltijan välisillä sopimuksilla voidaan tunnistusvälineen käyttäminen oikeustoimien tekemiseen estää. Lisäksi oikeustoimien tekemiselle voidaan asettaa sekä käyttötarkoitukseen että tapahtumien rahamääräiseen arvoon liittyviä rajoituksia. Estot tai rajoitukset eivät saa kohdistua yksittäisiin palveluntarjoajiin, eivätkä ne saa riippua siitä, mikä tunnistusvälityspalvelun tarjoaja välittää tunnistustapahtuman.
Tunnistuspalvelun tarjoajan on huolehdittava siitä, että estot tai rajoitukset ovat kaikkien osapuolten tiedossa tai havaittavissa helpolla sekä selvällä ja ymmärrettävällä tavalla. Tunnistusvälineen tarjoaja voi myös toteuttaa estot tai rajoitukset teknisin keinoin. Tunnistuspalvelun tarjoaja ei vastaa niistä toimista, jotka on tehty estojen tai rajoitusten vastaisesti siitä huolimatta, että tunnistuspalvelun tarjoaja on toiminut huolellisesti.
Tunnistusvälineen tarjoajan on järjestettävä tunnistuspalvelua käyttävälle palveluntarjoajalle mahdollisuus tarkastaa tunnistusvälineeseen liittyvät estot tai rajoitukset ympäri vuorokauden. Velvollisuutta ei kuitenkaan ole, jos tunnistusvälineen estojen tai rajoitusten vastainen käyttö on teknisin keinoin estetty.
Tunnistuspalvelua käyttävän palveluntarjoajan on tarkastettava tunnistuspalvelun tarjoajan ylläpitämistä järjestelmistä ja rekistereistä mahdolliset estot tai rajoitukset tunnistusvälineen käytön yhteydessä. Tarkastaminen ei kuitenkaan ole tarpeen, jos tunnistusvälineen estojen tai rajoitusten vastainen käyttö on teknisin keinoin estetty.
Tämä laki tulee voimaanpäivänäkuuta 20. Sen 17 §:n 7 momentti on voimassa kaksi vuotta lain voimaantulosta.
Tunnistusvälineen tarjoajan on laadittava ja julkaistava tunnistuspalvelunsa käyttöoikeuden toimitusehdot kahden kuukauden kuluessa tämän lain voimaantulosta.
Tämän lain voimaan tullessa voimassa olleet tunnistuspalvelun tarjoajien väliset sopimukset on saatettava lain mukaisiksi kolmen kuukauden kuluessa tämän lain voimaantulosta.
Tämän lain voimaan tullessa voimassa olleen 12 a §:n 5 momentin nojalla annettu valtioneuvoston asetus jää voimaan.
Valiokunnan päätösehdotus
VALIOKUNNAN PÄÄTÖSEHDOTUS
Liikenne- ja viestintävaliokunnan päätösehdotus:
Eduskunta hyväksyy muutettuna hallituksen esitykseen HE 264/2018 vp sisältyvän lakiehdotuksen.
(Valiokunnan muutosehdotukset)