Hallituksen esitys eduskunnalle laiksi väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetun lain muuttamisesta sekä siihen liittyviksi laeiksi

HALLITUKSEN ESITYS

Esityksessä ehdotetaan muutettaviksi väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annettua lakia, tietosuojalakia, henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia, henkilötietojen käsittelystä maahanmuuttohallinnossa annettua lakia, henkilötietojen käsittelystä Rikosseuraamuslaitoksessa annettua lakia, osakeyhtiölakia, osuuskuntalakia, henkilötietojen käsittelystä Rajavartiolaitoksessa annettua lakia, meripelastuslakia, henkilötietojen käsittelystä poliisitoimessa annettua lakia ja henkilötietojen käsittelystä Tullissa annettua lakia.

Ehdotetut lait on pääasiassa tarkoitettu tulemaan voimaan 1.9.2023. Ehdotettu lainmuutos sukupuolitiedon poistamiseksi henkilötunnuksesta on tarkoitettu tulemaan voimaan 1.1.2027.

Esitykseen sisältyvissä säätämisjärjestysperusteluissa lakiehdotusta tarkastellaan perustuslain 6 §:ssä turvatun yhdenvertaisuuden, 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan, 21 §:ssä turvatun oikeusturvan ja 124 §:ssä julkisen hallintotehtävän antamisesta muun kuin viranomaisen hoidettavaksi säädetyn kannalta.

Hallituksen käsityksen mukaan esitys voidaan hyväksyä tavallisessa lainsäätämisjärjestyksessä.

VALIOKUNNAN PERUSTELUT

Arvioinnin lähtökohdat

Henkilö- ja yksilöintitunnuksen määrittely

Automaattinen päätöksenteko

Henkilötietojen suoja

(1)Hallituksen esityksen tavoitteena on uudistaa henkilötunnusjärjestelmää mahdollistamalla henkilötunnuksen myöntäminen ulkomaalaisille nykyistä laajemmin, mahdollistamalla sähköinen etärekisteröityminen väestötietojärjestelmään, kehittämällä väestötietojärjestelmän identiteetinhallintaa, vähentämällä organisaatiokohtaisten yksilöivien tunnusten tarvetta, luomalla edellytykset kokonaan uuden yksilöintitunnuksen käyttöönotolle sekä täsmentämällä henkilötunnuksen käsittelyä koskevia säännöksiä. Henkilötunnuksen rakennetta ehdotetaan muutettavaksi poistamalla siitä tieto henkilön sukupuolesta.

(2)Lakiehdotuksia tarkastellaan hallituksen esityksen säätämisjärjestysperusteluissa. Perustuslakivaliokunta voi pääpiirteissään yhtyä säätämisjärjestysperusteluissa tehtyihin johtopäätöksiin. Valiokunnalla ei ole huomauttamista sääntelyn tavoitteista tai perusratkaisuista.

(3)Henkilön yksilöinnin ja tunnistamisen muodollisilla edellytyksillä on keskeinen merkitys henkilön toimimiselle erilaisissa yhteiskunnallisissa tilanteissa, ja luotettava yksilöinti on usein välttämätöntä erilaisissa asiointitilanteissa. Yksilöintiä ja tunnistamista käytetään vakiintuneesti erilaisten oikeuksien ja velvollisuuksien kohdentamisen perusteena, ja niillä on käytännössä merkitystä myös perusoikeuksien toteuttamisessa.

(4)Perustuslakivaliokunnan mielestä sääntely on pääosin asianmukaista. Lakiehdotuksiin ei kuitenkaan sisälly henkilön yksilöinnin ja tunnistamisen määritelmiä, vaikka esimerkiksi tietosuojalain 29 §:ään ehdotetaan lisättäväksi säännös henkilötunnuksen käsittelystä rekisteröidyn yksiselitteiseksi yksilöimiseksi eräissä tilanteissa. Lisäksi tietosuojalain 29 §:ään ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 12 §:ään ehdotetaan lisättäviksi säännökset kiellosta tunnistaa rekisteröity yksinomaan henkilötunnuksella tai henkilötunnuksen ja rekisteröidyn nimen yhdistelmällä. Perustuslakivaliokunnan mielestä tunnistaminen ja yksilöinti on syytä määritellä selkeästi laissa.

PeVL 81/2022 vpPeVL 81/2022 vp

PeVL 81/2022 vpPeVL 81/2022 vp

PeVL 3/2009 vpPeVL 3/2009 vp

PeVL 14/2018 vpPeVL 14/2018 vp

(9)Väestötietojärjestelmässä tapahtuvan henkilötietojen käsittelyn oikeusperustana pidetään esityksen perusteluissa (s. 130) yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa tarkoitettua rekisterinpitäjän lakisääteistä velvoitetta. Esityksen perusteluissa arvioidaan edelleen, että väestötietojärjestelmän täsmällistä ja kattavaa laintasoista erityissääntelyä on edelleen pidettävä tarpeellisena, koska kyseessä on yhteiskunnan perusrekisteri, jonka sisältämiä tietoja hyödynnetään erittäin laajasti yhteiskunnan toiminnoissa ja johon voidaan siten arvioida liittyvän erityisen suuria henkilötietojen suojaan liittyviä riskejä. Perustuslakivaliokunta yhtyy arvioon.

(10)Hallituksen esityksen 1. lakiehdotuksen 9 a §:n 2 momentissa ehdotetaan säädettäväksi, että rekisteröintiä pyytävän henkilön henkilöllisyys varmistetaan vertaamalla hänen rekisteröintimenettelyssä kasvoistaan ottamiaan kuvia ja videoita hänen matkustusasiakirjansa tekniseltä osalta luettavaan kasvokuvaan. Esityksen perustelujen (s. 99) mukaan käsittelyä suoritetaan siten, että rekisteröintiä pyytävä henkilö ottaa menettelyssä itsestään kasvokuvan ja videon sekä esittää ne Digi- ja väestötietovirastolle sähköistä tunnistusmenetelmää hyödyntäen.

(11)Perustuslakivaliokunnan mukaan tällaiset biometriset tunnistetiedot ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin (ks. myös, kappale 8). Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I). Myös EU:n tuomioistuin on katsonut, että esimerkiksi sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (Schwarz vastaan Stadt Bochum C-291/12, tuomion kohta 30).

(12)Perustuslakivaliokunnan mielestä henkilötietojen käsittelyä koskevaa sääntelyä on sanotun johdosta tällaisissa perusoikeusherkissä sääntelykonteksteissa edelleen arvioitava sääntelyn lakitasoisuutta, täsmällisyyttä ja kattavuutta korostaneen käytännön pohjalta (ks. myös, s. 7). Valiokunnan mukaan on ollut selvää, että erityislainsäädännön tarpeellisuutta on arvioitava myös tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely (, s. 5).

(13)Perustuslakivaliokunta pitää nyt ehdotettua sääntelyä tästä näkökulmasta asianmukaisena. Hallintovaliokunnan on kuitenkin syytä varmistua ehdotetun sääntelyn yhteensopivuudesta EU:n tietosuoja-asetuksen kanssa kiinnittäen huomiota erityisesti etärekisteröintimenettelyn suhteeseen asetuksen 22 artiklassa automatisoiduista yksittäispäätöksistä säädettyyn.