Hallituksen esitys eduskunnalle sosiaaliturva- ja vakuutuslainsäädännön muuttamiseksi EU:n yleisen tietosuoja-asetuksen johdosta

HALLITUKSEN ESITYS

Esityksessä ehdotetaan sosiaaliturva- ja vakuutuslainsäädäntöön muutoksia, jotka johtuvat EU:n yleisestä tietosuoja-asetuksesta.

Lait olivat esitystä annettaessa tarkoitetut tulemaan voimaan 25 päivänä toukokuuta 2018 eli samana päivänä, kun tietosuoja-asetusta aletaan soveltaa.

Hallituksen esitykseen sisältyvissä säätämisjärjestysperusteluissa lakiehdotuksia tarkastellaan yksityiselämän ja henkilötietojen suojaa koskevan perustuslain 10 §:n kannalta.

Lakiehdotukset voidaan hallituksen käsityksen mukaan hyväksyä tavallisen lain säätämisjärjestyksessä.

VALIOKUNNAN PERUSTELUT

Arvion lähtökohdat

Väärinkäytösrekisteri

Tiedonsaantioikeudet

Automatisoitu päätöksenteko

Arvioitavan hallituksen esityksen tavoitteena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi EU:n yleisen tietosuoja-asetuksen kanssa. Tietosuoja-asetus on kansallisesti suoraan sovellettavaa lainsäädäntöä. Asetus jättää kuitenkin jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallisella lainsäädännöllä on asetuksessa säädetyin edellytyksin mahdollista tarkentaa ja täsmentää asetuksen säännöksiä. Lisäksi tietyissä tilanteissa asetus antaa mahdollisuuden säätää kansallisella lainsäädännöllä poikkeuksia asetuksessa säädetyistä oikeuksista ja velvollisuuksista. Asetus sisältää säännökset siitä, mistä oikeuksista ja velvollisuuksista on mahdollista poiketa ja mitkä ovat edellytykset poikkeukselle.

Perustuslakivaliokunnan valtiosääntöisiin tehtäviin ei lähtökohtaisesti kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim., s. 4). Valiokunta korostaa kuitenkin edelleen, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. esim.,).

PeVL 14/2018 vp

PeVL 14/2018 vp

Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (ks., s. 2—3 ja siinä viitatut lausunnot). Lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/II), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (ks., s. 4—5 ja esimerkiksi,sekä). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim., s. 3).

Useiden sosiaalivakuutusetuuksien myöntämisedellytykset liittyvät hakijan terveydentilaan ja toimintakykyyn. Esimerkiksi näissä tilanteissa on hallituksen esityksen mukaan (s. 7) välttämätöntä käsitellä terveyttä koskevia arkaluonteisia tietoja, jotka kuuluvat tietosuoja-asetuksessa tarkoitettuihin erityisiin henkilötietoryhmiin.

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (ks., s. 4,, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen 51 johdantokappaleen mukaan asetuksen 9 artiklassa tarkoitettuja erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille. Valiokunta on tämän johdosta kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim., s. 5).

PeVL 14/2018 vp

Perustuslakivaliokunnan mukaan henkilötietojen suojan valtiosääntöisessä arviossa painopiste on siten henkilötietojen suojan ja käsittelyä määrittävien säännösten sisällöllisessä arvioinnissa. Kansallisen liikkumavaran käyttöön kohdistuvassa valtiosääntöisessä arvioinnissa ovat merkityksellisiä esimerkiksi paitsi yksityiselämän ja henkilötietojen suojan asettamat sisällölliset vaatimukset myös muiden informaatioon liittyvien perusoikeuksien suojan suhde yksityiselämän ja henkilötietojen suojaan. Valtiosääntöisiä kysymyksiä liittyy myös esimerkiksi kansallista sääntelyä edellyttäviin oikeusturvan ja hyvän hallinnon takeisiin (, s. 7, ks. myös, s. 4).

Hallituksen esityksen 18. lakiehdotuksen 81 §:ssä ja 39. lakiehdotuksen 30 luvun 3 a §:ssä säädetään vakuutusyhtiön ja ulkomaalaisen vakuutusyhtiön oikeudesta käsitellä tietoja rikoksista ja rikosepäilyistä, sekä 45. lakiehdotuksen 15 luvun 18 a §:ssä luottolaitoksen ja rahoituslaitoksen oikeudesta käsitellä tietoja väärinkäytöksiin liittyvistä henkilötiedoista. Sääntely mahdollistaa ns. väärinkäytösrekisterin ylläpitämisen siinä laajuudessa kuin se on välttämätöntä toimintaan (välittömästi) kohdistuvien rikosten tai rikkomusten estämiseksi ja selvittämiseksi.

Lakiehdotusten tarkoituksena on, että vakuutusalan toimijat voisivat jatkaa väärinkäytösrekisterin käyttöä myös tietosuoja-asetuksen tullessa voimaan. Ehdotus vastaisi pääosin tietosuojalautakunnan myöntämän luvan sisältöä ja ehtoja. Hallituksen esityksen mukaan myös luottolaitosten nykyisin ylläpitämät väärinkäytösrekisterit, joita nykyisin kutsutaan niin sanotuiksi asiakashäiriörekistereiksi, perustuvat tietosuojalautakunnan päätöksiin. Rekisteriin sisältyisi tietoja rekisteröidyn epäillyistä rikoksista, rikostuomioista tai rikkomuksista. Perustuslakivaliokunta pitää sääntelyn tarkoitusta hyväksyttävänä.

Perustuslakivaliokunta kiinnittää kuitenkin huomiota siihen, että yleisen tietosuoja-asetuksen 10 artiklassa säädetään rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelystä. Artiklan mukaan rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely asetuksen käsittelyn lainmukaisuutta määrittävän 6 artiklan 1 kohdan perusteella suoritetaan vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Lisäksi artiklassa edellytetään, että kattavaa rikosrekisteriä pidetään vain julkisen viranomaisen valvonnassa.

Lakiehdotusten mukaan vakuutusyhtiöt voisivat käsitellä tietoja myös epäillyistä rikoksista. Hallituksen esityksessä viitataan siihen, että henkilötietojen käsittelemisen oikeusperusta seuraa EU:n yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan d alakohdasta, mutta koska väärinkäytösrekisterien yhteydessä on voitava käsitellä asetuksen 10 artiklassa tarkoitettuja rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja, on tästä tarpeen säätää erikseen kansallisesti (s. 12). Sosiaali- ja terveysvaliokunnan on tarkkaan selvitettävä lakiehdotusten yhteensopivuus yleisen tietosuoja-asetuksen kanssa.

PeVL 14/2002 vp

Hallituksen esityksessä ei perustella, miksi perustuslakivaliokunnan aikanaan nimenomaisesti vaatima lisäys sairausvakuutuslain 19 luvun 1 §:ään olisi nyt korvattavissa vain kansaneläkelain 86 §:n yksityiskohtaisiin perusteluihin liitettävällä lausumalla, jonka mukaan pääperiaatteena olisi edelleen se, että hakija toimittaa tarvittavat tiedot itse. Sosiaali- ja terveysvaliokunnan on syytä pysyttää sääntelyssä lähtökohta, jonka mukaan asianomainen toimittaa ne itse. Valiokunnan on myös syytä tarkastella, onko 86 §:n perusteluissa suostumuksen ongelmallisuudesta yleisen tietosuoja-asetuksen valossa esitetty perustelu asianmukainen, ja tarvittaessa pysytettävä hallituksen esityksessä ehdotetut lakiehdotukset myös suostumuksen ensisijaisuuden varaan rakentuvina.

Sosiaaliturva- ja vakuutuslainsäädäntöön ehdotetaan lisättäväksi myös säännökset automaattisten päätösten antamisesta. Automaattiset päätökset olisivat sallittuja lakisääteisen sosiaaliturvan toimeenpanossa, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Yksityisvakuutusta koskeva automaattinen päätöksenteko olisi sallittua, mutta rekisteröidyllä olisi oikeus vaatia, että luonnollinen henkilö käsittelee asian uudelleen. Automaattista päätöksentekoa koskevat säännökset ovat merkityksellisiä automatisoituja yksittäispäätöksiä koskevan yleisen tietosuoja-asetuksen 22 artiklan kannalta. Sosiaali- ja terveysvaliokunnan on varmistuttava, että säännökset eivät ole ristiriidassa asetuksessa säädetyn kanssa.

Perustuslakivaliokunta kiinnittää huomiota siihen, että lakisääteisen sosiaaliturvan osalta mahdollisuutta automaattisiin päätöksiin on rajattu asian laadun ja laajuuden sekä hyvän hallinnon vaatimusten huomioon ottamisen perusteella. Automaattinen päätöksenteko olisi siten perusteluissa (s. 17) kuvatun mukaisesti mahdollista vain asioissa, joissa oikeudelliset edellytykset ovat riittävän yksiselitteisiä eikä asian ratkaiseminen edellytä tapauskohtaista harkintaa.

Perustuslakivaliokunta on hiljattain arvioinut säännösehdotuksia automatisoiduista yksittäispäätöksistä (, s. 3—5,, s. 6—9) ja katsonut, että automaattisen päätöksenteon sääntely on henkilötietojen suojaan liittyvien kysymysten ohella merkityksellistä erityisesti perustuslain 21 §:ssä turvattujen hyvän hallinnon periaatteiden ja 118 §:ssä säädetyn virkavastuun kannalta. Valiokunnalla ei ole sinänsä huomauttamista hallituksen esityksessä kuvattuihin (s. 17) päätöksenteon automatisoinnin päämääriin. Valiokunta kiinnittää huomiota siihen, että päätöksenteon perustuminen automaattiseen käsittelyyn on ehdotettujen säännösten mukaan mahdollista vain, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä tämän lain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Laissa ei kuitenkaan säädettäisi yksityiskohtaisesti siitä, missä tilanteissa tai mihin asiaryhmiin liittyviä päätöksiä olisi mahdollista käsitellä täysin automaattisesti. Perustuslakivaliokunnan mielestä sääntelyä on välttämätöntä täsmentää. Automaattista päätöksentekoa koskevassa sääntelyssä on säänneltävä ehdotettua täsmällisemmin, millaisin perustein asioita voidaan valikoida automaattisen päätöksenteon piiriin.

Perustuslakivaliokunta painottaa myös sitä, että ehdotetulla säännöksellä ei ole tarkoitettu poikettavan hallintolain säännöksistä esimerkiksi asianosaisen kuulemisen osalta. Perustuslain 21 §:n 2 momentissa turvattuun hyvään hallintoon kuuluu esimerkiksi oikeus tulla kuulluksi. Sosiaali- ja terveysvaliokunnan on tarkasteltava hallintolain suhdetta lakiehdotukseen ja täsmennettävä sääntelyä myös tästä näkökulmasta. Perustuslakivaliokunta on kiinnittänyt perustuslain 21 §:n ja julkisen vallan käytön lakiperustaisuuden näkökulmasta huomiota siihen, ettei automaattisessa päätöksenteossa massaluonteisessakaan toiminnassa saa vaarantaa hyvän hallinnon vaatimuksia tai asianosaisen oikeusturvaa (, s. 5,, s. 2/I). Sosiaali- ja terveysvaliokunnan on siten kiinnitettävä erityistä huomiota myös oikeusturvan merkitykseen asiassa. Automatisoituja yksittäispäätöksiä koskevan sääntelyn täsmentäminen valiokunnan ponnessa luetteloiduissa lakiehdotuksissa on edellytyksenä sille, että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä.

PeVL 62/2018 vp

Perustuslakivaliokunnan mukaan perustuslain säännökset hallinnon lainalaisuusperiaatteesta sekä valtion ja virkamiehen vastuusta ilmentävät virkamieshallinnon periaatetta (, s. 3/II). Valiokunnan käytännössä on lisäksi vakiintuneesti katsottu esimerkiksi, että annettaessa julkinen hallintotehtävä muun kuin viranomaisen tehtäväksi oikeusturvan ja hyvän hallinnon vaatimusten toteutumisen varmistaminen edellyttää muun muassa, että asian käsittelyssä noudatetaan hallinnon yleislakeja ja että asioita käsittelevät toimivat virkavastuulla (, s. 49,, s. 7/II,, s. 10). Sosiaali- ja terveysvaliokunnan on täsmennettävä sääntelyä.

Perustuslakivaliokunta on arvioidessaan ns. perustulokokeilua kiinnittänyt lailla säätämisen vaatimuksen johdosta huomiota tuolloin ehdotettuun otantamenettelyyn ja sen läpinäkyvyyteen. Valiokunnan mielestä laissa oli syytä säätää otantamenettelyyn liittyvän ohjelmistokoodin julkaisemisesta ja julkisuudesta (, s. 5). Lentoliikenteen matkustajarekisteritietojen käyttöä sääntelevän lakiehdotuksen arvioinnin yhteydessä valiokunta katsoi, että mietintövaliokunnan oli perustuslain 12 §:n 2 momentista ja 21 §:stä johtuvista syistä tarkasteltava huolellisesti ehdotettujen kriteerien ja niitä mahdollisesti soveltavien automatisoitujen menettelyjen algoritmien suhdetta viranomaisten toiminnan julkisuudesta annettuun lakiin ja tarvittaessa selkeytettävä sääntelyä (, s. 5). Sosiaali- ja terveysvaliokunnan on myös nyt kiinnitettävä huomiota mainittuihin seikkoihin.