Hallituksen esitys eduskunnalle laeiksi henkilökorttilain, passilain, henkilötietojen käsittelystä poliisitoimessa annetun lain 15 ja 38 §:n sekä ulkomaalaislain 33 a ja 159 §:n muuttamisesta

HALLITUKSEN ESITYS

Esityksessä ehdotetaan muutettaviksi henkilökorttilakia, passilakia, henkilötietojen käsittelystä poliisitoimessa annettua lakia ja ulkomaalaislakia.

Lait on tarkoitettu tulemaan voimaan 2.8.2021.

Hallituksen esityksen säätämisjärjestysperusteluissa lakiehdotusta tarkastellaan perustuslain 6 §:ssä turvatun yhdenvertaisuuden, 7 §:ssä turvatun oikeuden elämään sekä henkilökohtaiseen vapauteen, koskemattomuuteen ja turvallisuuteen, 10 §:ssä tarkoitetun yksityiselämän suojan ja 80 §:ssä tarkoitetun asetuksen antamisen kannalta.

Hallituksen käsityksen mukaan lakiehdotukset voidaan käsitellä tavallisessa lainsäätämisjärjestyksessä. Asiassa on hallituksen mukaan kuitenkin suotavaa hankkia perustuslakivaliokunnan lausunto.

VALIOKUNNAN PERUSTELUT

Arvion lähtökohdat

Käsittelyn välttämättömyys

(1)Ehdotetut henkilökorttilain ja ulkomaalaislain muutokset täydentävät unionin kansalaisten henkilökortteja sekä oikeuttaan vapaaseen liikkuvuuteen käyttäville unionin kansalaisille ja heidän perheenjäsenilleen myönnettäviä oleskeluasiakirjoja koskevaa Euroopan parlamentin ja neuvoston asetusta (ID-asetus). Henkilökorttilailla säädetään asetusta täydentävästi muun muassa sormenjälkien ottamisesta, henkilökortin teknisestä osasta ja sen tietoturvasta sekä sormenjälkien ja kasvokuvien lukemisesta. Ulkomaalaislakiin ehdotetaan tehtäviksi vähäisiä teknisluonteisia ja selventäviä muutoksia. ID-asetuksessa ei säädetä oikeusperustaa kansallisen tason tietokantojen perustamiselle tai ylläpitämiselle biometristen tietojen tallentamista varten. Käsittelystä on siten säädettävä kansallisesti, mutta sääntelyn on oltava tietosuojaa koskevan unionin oikeuden mukaista (johdanto-osan 21 kohta).

(2)Henkilökorttilakiin ehdotetaan lisättäväksi säännös sormenjälkien tallettamisesta henkilökorttirekisteriin. Passilain ja henkilötietojen käsittelystä poliisitoimessa annetun lain muuttamisella on yhteys sormenjälkien tallettamista henkilökorttirekisteriin koskevaan säännökseen, sillä henkilökorttia varten otetut ja henkilökorttirekisteriin talletetut sormenjäljet olisivat hyödynnettävissä passia haettaessa. Passin hakemisen yhteydessä passirekisteriin talletetut sormenjäljet olisivat puolestaan hyödynnettävissä henkilökortin hakemisen yhteydessä.

(3)Henkilökorttiin on tallennettu jo aiemmin henkilön kasvokuva. Nyt ehdotetun unionin oikeuteen perustuvan ehdotuksen myötä henkilökorttiin tallennetaan myös sormenjälkitiedot ja samalla laajennetaan henkilökorttirekisterin tietosisältöä. Kasvokuva ja sormenjälkitiedot ovat EU:n yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuja biometrisiä tietoja, ja siten ne kuuluvat erityisiin henkilötietoryhmiin. Ehdotettu muutos tarkoittaa sitä, että henkilötodistuksina ja matkustusasiakirjoina käytettävät passi ja henkilökortti sisältäisivät samat biometriset tiedot.

PeVL 14/2018 vpPeVL 14/2018 vp

PeVL 14/2018 vpPeVL 14/2018 vp

(6)Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (, s. 4,, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille.

(7)Perustuslakivaliokunta on arvioinut, että biometriset tunnistetiedot ovat monin tavoin arkaluonteisia tietoja. Sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (, ks. myös Euroopan ihmisoikeustuomioistuimen tuomio S. and Marper v. the United Kingdom, 4.12.2008, kohta 84). Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I). Tämän johdosta jo sormenjälkitietojen tallentaminen tällaiseen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. myös S. and Marper v. the United Kingdom, kohta 85). Myös EU:n tuomioistuin on katsonut, että sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C- 291/12, tuomion kohta 30). Valiokunnalla ei kuitenkaan ole huomauttamista nyt ehdotetun sääntelyn perusteista.

(8)Perustuslakivaliokunta on arvioinut aiemmin sormenjälkitietojen käsittelyedellytyksiä passilain ja ulkomaalaislain lakiehdotusten käsittelyn yhteydessä myös erityisesti käyttötarkoitussidonnaisuuden kannalta (,). Valiokunnan mielestä nyt ehdotettavat käsittelytarkoitukset ja niiden rajoitukset eivät ole valtiosääntöisesti ongelmallisia.

(9)Perustuslakivaliokunta ei ole valtiosääntöisen tehtävänsä puitteissa arvioinut lakiehdotusten suhdetta EU:n yleiseen tietosuoja-asetukseen seikkaperäisesti. Hallintovaliokunnan on siten tarkkaan huolehdittava siitä, että sääntely vastaa tietosuoja-asetuksessa edellytettyä. Erityistä syytä on kiinnittää huomiota rekisterinpitäjyyttä määrittävän sääntelyn kattavuuteen.

(10)Perustuslakivaliokunta kiinnittää huomiota siihen, että voimassa olevan henkilötietojen käsittelystä poliisitoimessa annetun lain 38 §:n mukaan lupahallinto- ja valvontatehtävien suorittamiseksi käsiteltävät henkilötiedot poistetaan viimeistään kahdenkymmenen vuoden kuluttua päätöksestä tai sen raukeamisesta, päätöksessä mainitun voimassaoloajan päättymisestä tai henkilötiedon merkitsemisestä. Mainittuun pykälään ehdotetun 2 momentin 7 kohdan mukaan sormenjälkitiedot poistetaan henkilökorttirekisteristä viimeistään 30 vuorokauden kuluttua ilman matkustusoikeutta olevan henkilökortin myöntämisestä, jos henkilökortin hakijalle ei henkilökorttilain 17 §:ssä tarkoitetuista syistä myönnetä matkustusoikeudellista henkilökorttia. Hallituksen esityksessä todetaan, että muilta osin henkilökorttirekisteriin talletettujen sormenjälkien käsittelyyn sovelletaan voimassa olevaa poliisin henkilötietolain sääntelyä kahdenkymmenen vuoden säilytysajasta. Passirekisterin sormenjälkitietoja vastaava kahdenkymmenen vuoden enimmäissäilytysaika on hallituksen esityksessä (s. 15) arvioitu välttämättömäksi, jotta voidaan varmistaa henkilökortin ja passin hakijoiden luotettava tunnistaminen rekisterivertailujen avulla.

(11)Perustuslakivaliokunnan saaman selvityksen mukaan ID-asetuksen sääntely ei edellytä näin pitkää säilytysaikaa. Mainittu henkilötietojen käsittelystä poliisitoimessa annetun lain 38 §:ssä säädetty säilytysaika on sinänsä säädetty perustuslakivaliokunnan myötävaikutuksella (). Valiokunta on kuitenkin painottanut erityisesti arkaluonteisten tietojen säilytysajan rajaamista siihen, mikä on välttämätöntä sen tavoitteen saavuttamiseksi, jonka vuoksi tiedot on järjestelmään tallennettu (ks. esim., s. 5,, s. 6). Valiokunta on pitänyt viiden vuoden säilytysaikaa arkaluonteisten tietojen osalta pitkänä (, s. 16,, s. 6). Valiokunnan mukaan biometristen tunnisteiden rekisteröinti merkitsee lisäksi erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (, s. 6,, s. 5, ks. myös Schrems C-362/14, kohta 91, Digital Rights Ireland C-293/12 ja C-594/12, kohdat 54 ja 55). Hallintovaliokunnan on syytä tarkastella ehdotettua säilytysaikaa myös ID-asetuksen valossa ja tarvittaessa rajata säilytysaikaa.