Tiivistelmä
HALLITUKSEN ESITYS
Esityksessä ehdotetaan säädettäväksi kyberturvallisuuslaki. Lisäksi esityksessä ehdotetaan muutettavaksi julkisen hallinnon tiedonhallinnasta annettua lakia ja 15:tä muuta lakia.
Lait oli tarkoitettu tulemaan voimaan 18.10.2024.
Esitykseen sisältyy lakiehdotusten suhdetta perustuslakiin ja säätämisjärjestystä koskeva jakso. Lakiehdotukset voidaan hallituksen käsityksen mukaan käsitellä tavallisessa lainsäätämisjärjestyksessä. Hallitus pitää kuitenkin suotavana, että perustuslakivaliokunta antaisi asiasta lausunnon.
Yleisperustelut
VALIOKUNNAN PERUSTELUT
Arvioinnin lähtökohtia
Viranomaisen tiedonsaantioikeus
Sääntelyn soveltamisala
(1)Esityksessä ehdotetaan säädettäväksi kyberturvallisuuslaki (1. lakiehdotus). Lisäksi esityksessä ehdotetaan muutettavaksi julkisen hallinnon tiedonhallinnasta annettua lakia (2. lakiehdotus, jäljempänä myös tiedonhallintalaki) ja 15:tä muuta lakia. Ehdotetuilla laeilla pannaan täytäntöön EU:n kyberturvallisuusdirektiivi (Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555 toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi), jäljempänä myös NIS 2 -direktiivi). Direktiivin tavoitteena on vahvistaa EU:n yhteistä ja jäsenvaltioiden kansallista kyberturvallisuuden tasoa yhteiskunnan toiminnan kannalta kriittisiksi katsottujen sektoreiden ja toimijoiden osalta.
(2)Esitykseen sisältyy varsin laaja jakso lakiehdotusten suhteesta perustuslakiin ja säätämisjärjestyksestä.
(3)Valvovalla viranomaisella on 1. lakiehdotuksen 28 §:n mukaan salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus saada toimijalta välitystieto, sijaintitieto sekä tieto haitallisen tietokoneohjelman tai käskyn sisältävästä viestistä, jos se on välttämätöntä kyberturvallisuutta koskevan riskienhallintavelvoitteen noudattamisen tai merkittävistä poikkeamista ilmoittamisen ja raportoinnin valvomista varten. Vastaavasta viranomaisiin kohdistuvasta tiedonsaantioikeudesta ehdotetaan säädettäväksi 2. lakiehdotuksen 18 i §:ssä.
(4)Ehdotettua sääntelyä tarkastellaan lakiehdotuksen perusteluissa ennen muuta perustuslain 10 §:n mukaisen luottamuksellisen viestin salaisuuden suojan kannalta. Kirjeen, puhelun ja muun luottamuksellisen viestin salaisuus on perustuslain 10 §:n 2 momentin mukaan loukkaamaton. Lailla voidaan 10 §:n 4 momentin mukaan säätää välttämättömistä rajoituksista viestin salaisuuteen yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavien rikosten tutkinnassa, oikeudenkäynnissä, turvallisuustarkastuksessa ja vapaudenmenetyksen aikana sekä tiedon hankkimiseksi sotilaallisesta toiminnasta taikka sellaisesta muusta toiminnasta, joka vakavasti uhkaa kansallista turvallisuutta.
PeVL 36/2018 vpPeVL 36/2018 vp
(7)Nyt ehdotettava tiedonsaantioikeus ulottuu välitystietoihin, sijaintitietoihin ja tietoihin haitallisen tietokoneohjelman tai käskyn sisältävästä viestistä. Hallituksen esityksessä (s. 251) on arvioitu, että kyberhyökkäyksen toteuttamiseksi luodussa haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä ei ole kyse perustuslain 10 §:n 2 momentissa tarkoitetusta luottamuksellisesta viestinnästä.
(8)Perustuslakivaliokunta on arvioinut kysymystä luottamuksellisen viestinnän salaisuuden suojan ulottuvuudesta erilaisissa yhteyksissä. Valiokunta on muun muassa todennut, että lähtökohtaisesti tavaraa sisältävää postipakettia ei sinänsä ole pidettävä perustuslaissa tarkoitettuna luottamuksellisena viestinä (, s. 3/II,). Myöskään sääntely suljetun kirjeen avaamisesta vastaanottajan tai lähettäjän selvittämiseksi ei merkinnyt sellaisen rajoituksen säätämistä luottamuksellisen viestin salaisuuteen, jonka ainoat sallitut tavat on nykyisin mainittu perustuslain 10 §:n 4 momentissa ().
(9)Perustuslakivaliokunnan mukaan miehittämättömän ilma-aluksen kauko-ohjauksessa esimerkiksi matkapuhelimen tai tietokoneen avulla ei ole kysymys sellaisesta perustuslain 10 §:n 2 momentin tarkoittamasta luottamuksellisesta viestinnästä, jolle kyseisen perustuslain säännöksen kautta on ylipäänsä tarkoitettu antaa perustuslain suojaa (). Vaikka esimerkiksi kulkuneuvon ohjaajan ja liikenteenohjauksen välisessä viestinnässä voitiin sinänsä välittää myös luottamuksellisia viestejä henkilöiden välillä, ei kysymys poikkeuksellisen toiminnan tutkinnan luonteesta ja henkilöiden viestien taltiointia koskevasta tietoisuudesta johtuen valiokunnan mukaan kuitenkaan ole perustuslain 10 §:ssä tarkoitetun luottamuksellisen viestin salaisuuden suojan piiriin kuuluvasta toiminnasta (, s. 5). Myös Rajavartiolaitoksen harjoittaman radioteknisen valvonnan arvioitiin kohdistuvan osittain sellaiseen viestiliikenteeseen, joka ei kuulu perustuslain 10 §:n 2 momentin mukaisen luottamuksellisen viestin salaisuuden piiriin (, kappale 9).
(10)Hallituksen esityksessä (s. 250) on tehty selkoa siitä, että haitallisen tietokoneohjelman ja käskyn sisältävässä viestissä on usein kyse haitallisen tietokoneohjelman automaattisesti luomasta viestistä, jossa viestin lähettäjänä ei ole luonnollista henkilöä, vaan haittaohjelma tai sen ohjelmoinut taho. Haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä kysymys on usein teknisestä käskystä, ohjelmasta tai komennosta, jolla pyritään aiheuttamaan haittaa viestintäverkon tai tietojärjestelmän toiminnalle. Kysymys voi olla tietokonejärjestelmien välisestä automatisoidusta ja teknisestä toimesta, jonka osapuolina ei ole luonnollisia henkilöitä tai jossa ei ole teknisten ominaisuuksien ohella lainkaan semanttista sisältöä. Haitallisen tietokoneohjelman tai käskyn sisältävässä viestissä ei perustelujen mukaan ole kysymys viestinnän osapuolten välisestä luottamuksellisen viestinnän suojan ydinalaan perinteisesti kuuluvasta viestistä, jolla on yksilöityä semanttista tai kommunikatiivista merkitystä osapuolille.
(11)Hallituksen esityksen perustelujen valossa kyse ei siis ole viestinnästä kahden osapuolen välillä, vaan pikemminkin toiminnasta, joka vakavasti vaarantaa perustuslain 10 §:n 2 momentin suojaamaa luottamuksellista viestintää aiheuttaessaan haittaa viestintäverkon tai tietojärjestelmän toiminnalle. Viestinnän osapuoliksi luettavien luonnollisten henkilöiden välisen sisällön puutteen vuoksi tällainen viestintä jää perustuslain 10 §:n 2 momentin suojan ulkopuolelle.
(12)Perustuslakivaliokunta kiinnittää esityksen säätämisjärjestysperustelujen johdosta vielä huomiota siihen, että edellä esitetyillä perusteluilla lakiehdotusten mukainen haitallisen tietokoneohjelman tai käskyn sisältämä viesti jää kokonaan perustuslain 10 §:n luottamuksellisen viestin salaisuuden soveltamisalan ulkopuolelle. Kyse ei siten ole vain siitä säätämisjärjestysperusteluissa osin viitatusta seikasta, että tällainen viesti jäisi luottamuksellisen viestin ydinalueen ulkopuolelle. Tällainen viesti ei nauti perustuslain 10 §:n 2 momentin mukaista suojaa, eikä sitä koskevaa sääntelyä tarvitse arvioida 10 §:n 4 momentin mukaisten erityisten tai perusoikeuksien yleisten rajoitusedellytysten valossa.
(13)Esityksen 1. lakiehdotuksen 28 §:n ja 2. lakiehdotuksen 18 i §:n mukainen tiedonsaantioikeus koskee kuitenkin myös välitystietoja ja sijaintitietoja. Perustuslakivaliokunta on vakiintuneesti katsonut, että sijaintitiedon käsitteleminen liittyy perustuslain 10 §:ssä turvattuun yksityiselämän suojaan, jonka lähtökohtana on yksilön oikeus elää omaa elämäänsä ilman viranomaisten ja ulkopuolisten tahojen mielivaltaista tai aiheetonta puuttumista siihen (, s. 5/II,, s. 5/II,, s. 4). Lisäksi sijaintitiedon selvittämistä koskevalla sääntelyllä on liityntä myös perustuslain 9 §:ssä turvattuun liikkumisvapauteen (, s. 5/II,, s. 5/II,, s. 4).
(14)Viestinnän välitystiedot puolestaan kuuluvat perustuslain 10 §:n 2 momentin luottamuksellisen viestin salaisuuden suojan piiriin (, s. 53). Nyt arvioitavan sääntelyn kannalta on merkityksellistä, että perustuslakivaliokunnan aiemmassa vakiintuneessa käytännössä viestin tunnistamistietojen on katsottu jäävän luottamuksellisen viestin salaisuutta suojaavan perusoikeuden ydinalueen ulkopuolelle (ks. esim., s. 3,, s. 3—4,, s. 2,, s. 2). Tämä on merkinnyt, ettei nykyisin perustuslain 10 §:n 4 momenttiin sisältyvää erityistä lakivarausta ole sellaisenaan sovellettu tunnistamistietojen salaisuuden rajoittamiseen. Tunnistamistietojen salaisuuden suojaan puuttuvan sääntelyn on kuitenkin valiokunnan käytännön mukaan tullut täyttää perusoikeuksien rajoittamisen yleiset edellytykset (, s. 4/II,, s. 2—3). Siten on ollut esimerkiksi mahdollista säätää televalvontatoimivaltuudesta myös tilanteessa, jossa ei välttämättä ole ollut kyse perustuslain 10 §:n 4 momentissa tarkoitetusta yksilön tai yhteiskunnan turvallisuutta taikka kotirauhaa vaarantavista rikoksista (, s. 3). Tunnistamistietojen saamista on pidetty mahdollisena myös joissakin tilanteissa, joissa ei ole ollut kyse perustuslain 10 §:n 4 momentin mukaisista rajoitusperusteista (, s. 4/II).
(15)Sittemmin perustuslakivaliokunta on tarkistanut käytäntöään, koska sähköisen viestinnän käyttöön liittyvät tunnistamistiedot sekä mahdollisuus niiden kokoamiseen ja yhdistämiseen voivat kuitenkin olla yksityiselämän suojan näkökulmasta siinä määrin ongelmallisia, että kategorinen erottelu suojan reuna- ja ydinalueeseen ei aina ole perusteltua, vaan huomiota on yleisemmin kiinnitettävä myös rajoitusten merkittävyyteen (, s. 6/II). Valiokunta on viimeaikaisessa käytännössä pitänyt Rajavartiolaitoksen radioteknistä valvontaa koskevaa sääntelyä tuolloin ehdotetussa laajuudessa ja ottaen erityisesti huomioon valvonnalle laissa ehdotetut rajoitukset suhteellisen vähäisenä puuttumisena luottamuksellisen viestin salaisuuden suojaan ja arvioinut sääntelyä perusoikeuksien yleisten rajoitusedellytysten kannalta (, kappaleet 12—13).
(17)Perustuslakivaliokunta kiinnittää lisäksi huomiota siihen, että se on perustuslain 10 §:n muuttamisen yhteydessä pitänyt perusteltuna, että hallitus käynnistää selvitystyön, joka kattaisi laajemminkin perustuslain kotirauhan suojaa ja luottamuksellisen viestin salaisuutta koskevien rajoituslausekkeiden muutostarpeen (, s. 6). Valiokunta on sittemmin kiirehtinyt selvitystyön aloittamista (, s. 5,, s. 6). Valiokunta toistaa painokkaasti pitävänsä perustuslain 10 §:n rajoituslausekkeiden muutostarpeiden selvitystyötä välttämättömänä (ks., kappale 9,, kappale 14,, kappale 13). Muutostarpeita tulee arvioida ottaen huomioon muun muassa vakavan rikollisuuden uudet muodot (, kappale 9) ja tapahtunut teknologinen kehitys (, s. 6/I).
(18)Hallituksen esityksen mukaan (s. 269) tiedonhallintalakia koskevan 2. lakiehdotuksen 3 §:n 1 momentin lähtökohdan mukaan lakia, mukaan lukien ehdotettua 4 a luvun NIS 2 -direktiiviin perustuvaa sääntelyä, sovelletaan viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslain) 4 §:n 1 momentissa tarkoitettuihin viranomaisiin eli myös eduskunnan virastoihin sekä valtioneuvoston oikeuskanslerin ja eduskunnan oikeusasiamiehen toimintaan. Perustelujen (s. 269) mukaan tiedonhallintalain 4 a lukua sovelletaan eduskunnan virastoihin julkisuuslain 4 §:n 1 momentin 6 kohdasta ja sen perusteluista ilmenevällä tavalla, sillä direktiivin 6 artiklan 35 kohdassa käytetyllä käsitteellä "parlamentti" viitataan kansanedustuslaitoksen toimintaan, eli Suomessa eduskunnan valtiopäivätoimintaan.
(19)Tiedonhallintalain mainitussa luvussa ehdotetaan säädettäväksi kyberturvallisuutta koskevista velvollisuuksista ja niiden noudattamisen valvonnasta. Luvussa tarkoitettu valvova viranomainen on Liikenne- ja viestintävirasto, joka on liikenne- ja viestintäministeriön hallinnonalalla toimiva keskushallinnon virasto, joka hoitaa liikenteen ja sähköisen viestinnän viranomaistehtäviä. Valvovalla viranomaisella on 2. lakiehdotuksen 4 a luvun mukaan verraten pitkälle meneviä toimivaltuuksia, esimerkiksi tiedonsaantioikeus, oikeus tehdä tarkastuksia ja oikeus määrätä seuraamuksia.
(20)Perustuslakivaliokunnan käsityksen mukaan NIS 2 -direktiivissä tarkoitetun julkishallinnon toimijan käsitteen ulkopuolelle jäävät direktiivin nimenomaisen määräyksen perusteella (6 art. 35 kohta) muun muassa parlamentit. Hallituksen esityksessä (s. 211) rajausta on tulkittu suppeasti niin, että se koskee vain eduskunnan valtiopäivätoimintaa, eli lähinnä täysistuntoa ja valiokuntia. Eduskunnan kanslia kuuluu sanotun eduskunnan virastoihin kiinnittyvän soveltamisalan määrittelyn johdosta direktiivin täytäntöönpanemiseksi annettavan lain soveltamisalalle.
(21)Perustuslakivaliokunnan mukaan lähtökohtaista estettä ei sinänsä ole sille, että hallintoa koskevat yleislait ulotetaan koskemaan eduskunnan virastoja (, s. 11, ks. myös, s, 6/II). Eduskunnan virastojen sisällyttäminen nyt arvioitavan 2. lakiehdotuksen 4 a luvun soveltamisalaan merkitsee kuitenkin, että lakiehdotuksessa liikenne- ja viestintäministeriön hallinnonalalla toimivalle hallintoviranomaiselle myönnettävät valvontatoimivaltuudet kohdistuvat laajasti myös eduskuntaan kokonaisuutena.
(22)Eduskunnan työjärjestyksen 74 §:n mukaan eduskunnan kanslian tehtävänä on luoda eduskunnalle edellytykset hoitaa sille valtioelimenä kuuluvat tehtävät. Perustuslakivaliokunnan käsityksen mukaan hallituksen esityksessä on omaksuttu lähtökohta, jonka mukaan eduskunnan valtiopäivätoiminta ja eduskunnan kanslian viranomaistoiminta ovat erotettavissa toisistaan myös tässä sääntely-yhteydessä. Valiokunnan saaman selvityksen mukaan tällainen erottelu ei ole kuitenkaan mahdollista. Eduskunnan kanslian tietojärjestelmissä käsitellään pääosin valtiopäivätoimintaan liittyviä tietoja.
(23)Perustuslakivaliokunnan mielestä erityisesti eduskunnan kanslian sisällyttäminen kokonaisuudessaan lain soveltamisalaan on valtiosääntöoikeudellisesti ongelmallista. Eduskunnan kanslia on kiinteä osa eduskunnan organisaatiota eikä sitä voida erottaa eduskunnan toiminnasta ylimpänä valtioelimenä. Vastaavia eduskunnan toimintaan liittyviä näkökohtia voidaan esittää myös eduskunnan muista virastoista. Esimerkiksi perustuslain 90 §:n 2 momentin mukaan valtion taloudenhoidon ja valtion talousarvion noudattamisen tarkastamista varten eduskunnan yhteydessä on riippumaton valtiontalouden tarkastusvirasto.
PeVL 46/2010 vpPeVL 46/2010 vp
PeVL 14/2018 vpPeVL 14/2018 vp
(26)Perustuslakivaliokunnan käsityksen mukaan direktiivissä ei edellytetä nyt ehdotetun kaltaista eduskunnan virastoihin ulottuvaa soveltamisalaa. Valiokunnan mielestä direktiivissä mainitusta parlamentin käsitteestä hallituksen esityksessä omaksuttu suppea tulkinta ei ole yhteensopiva eduskunnan valtiosääntöiseen asemaan kiinnittyvien näkökohtien kanssa. Hallituksen esityksen 2. lakiehdotusta on muutettava siten, että tiedonhallintalain 4 a lukua ei sovelleta eduskunnan virastoihin. Tällainen muutos on edellytyksenä 2. lakiehdotuksen käsittelemiselle tavallisen lain säätämisjärjestyksessä.
Valiokunnan päätösehdotus
VALIOKUNNAN PÄÄTÖSESITYS
Perustuslakivaliokunta esittää,
että lakiehdotukset voidaan käsitellä tavallisen lain säätämisjärjestyksessä, 2. lakiehdotus kuitenkin vain, jos valiokunnan sen 4 a luvun soveltamisalasta tekemä valtiosääntöoikeudellinen huomautus otetaan asianmukaisesti huomioon.