Valtioneuvoston kirjelmä eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi (kolmansien maiden kansalaisia koskeva tietojenvaihto ja ECRIS)

VALTIONEUVOSTON JATKOKIRJELMÄ

Ehdotus Valtioneuvoston kanta

Euroopan komissio on 19 päivänä tammikuuta 2016 tehnyt ehdotuksen (KOM (2016) 7 lopullinen) Euroopan parlamentin ja neuvoston direktiiviksi neuvoston puitepäätöksen 2009/315/YOS muuttamisesta kolmansien maiden kansalaisia koskevan tietojenvaihdon ja eurooppalaisen rikosrekisteritietojärjestelmän (ECRIS) osalta sekä neuvoston päätöksen 2009/316/YOS korvaamisesta.

Direktiiviehdotusta on kevään aikana käsitelty useissa työryhmäkokouksissa, joista viimeisin on pidetty 30.5.2016. Puheenjohtajan 30.5.2016 toimittaman asiakirjan 9376/16 mukaan kesäkuun oikeus- ja sisäasioiden neuvostossa asiassa otetaan vastaan edistymisraportti. Ennakkotiedoista poiketen puheenjohtaja esittää hyväksyttäväksi myös tekstiä, jonka mukaan jäsenvaltiot hyväksyvät (endorse) lähestymistavan EU-tasoisesta keskitetystä järjestelmästä, johon talletetaan ja jonka avulla vaihdetaan kolmannen maan kansalaisten sormenjälkitietoja ja näitä koskevien tuomioiden tietoja. Keskitetyn järjestelmän tavoitteena on sormenjälkitietojen täysin automaattinen vertailu, mutta jäsenvaltioille jäisi mahdollisuus henkilöiden suorittamaan verifiointiin kansallisella tasolla, jos tämä olisi tarpeen.

Asiakirjan 9376/16 sanamuodon hyväksyminen saattaa merkitä sormenjälkitietojen käytön periaatteellista hyväksymistä poliittisella tasolla, vaikka asian yksityiskohtainen käsittely on työryhmätasolla kesken.

U-jatkokirjelmä koskee komission 11.5.2016 esittämiä keskitettyjä teknisiä ratkaisuja.

Komission alkuperäisessä direktiiviehdotuksessa ehdotettiin, että ECRIS pysyisi eri jäsenvaltioihin hajautettuna IT-järjestelmänä. Kolmannen maan kansalaisten sormenjälkitietojen lisääminen osaksi direktiiviehdotusta aiheutti kuitenkin tarpeen selvittää uudelleen erilaisia teknisiä toteuttamistapoja ja niihin liittyviä kuluja.

Asiakirjassa WK 314/2016 on muun ohella esitetty ratkaisuksi, että kolmannen maan kansalaisten osalta muodostettaisiin keskitetty EU-tasoinen sormenjälkirekisteri (ratkaisut 3A ja 3B sekä 4A ja 4B). Ratkaisuissa 3A ja 3B kolmannen maan kansalaista koskevat sormenjälkitiedot olisivat keskitetyssä rekisterissä, mutta niin sanonut alfanumeeriset tiedot olisivat hajautettuna jäsenvaltioissa. Alfanumeeriset tiedot koskevat kolmannen maan kansalaisen henkilöllisyyttä määrittäviä tietoja, joiden avulla voitaisiin löytää osumia indeksifiltterin avulla. Ratkaisuissa 4A ja 4B sitä vastoin sormenjälkitietojen lisäksi myös edellä mainitut alfanumeeriset tiedot olisivat EU-tasoisessa keskusrekisterissä.

Keskitetyn sormenjälkirekisterin perustamiskulut olisivat merkittävästi pienemmät kuin hajautetun järjestelmän, jossa kaikkien jäsenvaltioiden tulisi erikseen perustaa uusi sormenjälkivertailujärjestelmä. Myös ylläpitokulut ovat pienemmät keskitetyssä sormenjälkirekisterissä kuin hajautetussa järjestelmässä. Keskitetyissä vaihtoehdoissa kulut jakaantuvat tasaisemmin jäsenvaltioiden ja EU:n välillä kuin hajautetuissa järjestelmissä.

Asiaa on käsitelty neuvoston työryhmän kokouksessa 13.5.2016. Tällöin kaikki puheenvuoron käyttäneet jäsenvaltiot kannattivat tai kannattivat alustavasti keskitettyjä ratkaisuja. Laajimman kannatuksen sai vaihtoehto, jossa sekä sormenjälkitiedot että alfanumeeriset tiedot olisivat keskitetyssä EU-tason rekisterissä.

Puheenjohtaja on 18.5.2016 jakanut asiakirjan 8999/16 COPEN 155, jonka pohjaksi ensimmäisen kerran on otettu keskitetty tekninen ratkaisu 4, jossa kolmannen maan kansalaisen sekä sormenjälkitiedot että henkilöllisyyden määrittämiseen liittyvät alfanumeeriset tiedot olisivat keskitetyssä järjestelmässä. Ratkaisu edellyttää useita muutoksia direktiiviehdotuksen sisältöön ja asiakirjassa 8999/16 esitetty on vasta ensimmäinen versio keskitettyyn järjestelmään perustuvasta sääntelystä. Asiakirja ei vielä sisällä tietosuojaa ja tietoturvaa koskevaa lisäsääntelyä.

Keskeistä on, että keskitetty ratkaisu edellyttäisi, että säädösinstrumenttina käytetään direktiivin sijasta asetusta ainakin siltä osin kuin kyse on EU-tasoisen järjestelmän perustamisesta. Kysymystä säädösinstrumentin luonteesta tulee huolellisesti arvioida asian jatkokäsittelyssä.

Esillä on myös ollut ehdotus, jonka mukaan lopullinen tarkistus siitä, vastaavatko sormenjälkitiedot toisiaan (sormenjälkien verifiointi) tulisi tehdä täysin automaattisesti EU-tasolla kuitenkin siten, että jäsenvaltioille jäisi mahdollisuus henkilöiden suorittamaan verifiointiin kansallisella tasolla, jos tämä olisi tarpeen.

Suureen keskitettyyn rekisteriin, joka sisältää biometrisiä sormenjälkitietoja, saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä riskejä.

U-jatkokirjelmässä katsotaan, että komission esittämistä teknisistä vaihtoehdoista hyväksyttäviä ovat hajautettujen järjestelmien (1 ja 2) lisäksi myös keskitetyt ratkaisut (3 ja 4). Vaihtoehtoa koskeva valinta tulisi perustaa kokonaisarviointiin. Tämän hetkisten arvioiden mukaan toteutettavuuden ja kokonaiskulujen kannalta tarkoituksenmukaisimpia ovat keskitetyt ratkaisut, joten Suomi kannattaa tällaisen ratkaisun hyväksymistä.

Lisäksi U-jatkokirjelmässä katsotaan, että myös keskitetyn järjestelmän osalta direktiiviehdotuksen jatkovalmistelussa tulee pyrkiä varmistamaan, että direktiiviehdotuksen tietosuojaa ja tietoturvaa koskevat säännökset ovat asianmukaiset. Keskitettyyn rekisteriin Suomesta toimitettavien tietojen osalta neuvotteluissa tulisi pyrkiä siihen, että noudatettaisiin jäsenvaltion kansallista lainsäädäntöä esimerkiksi sen osalta, minkä ajan kuluessa tiedot on poistettava rekisteristä. Lisäksi katsotaan, että neuvotteluissa tulee pyrkiä siihen, että päätös rikosrekisteritietojen luovuttamisesta tulee tehdä siinä jäsenvaltiossa, jonka rikosrekisteritiedoista on kyse, myös siinä tapauksessa, että sormenjälkien vertailun verifiointi tehtäisiin EU-tasolla.

Suomi katsoo, että komission esittämistä teknisistä vaihtoehdoista hyväksyttäviä ovat hajautettujen järjestelmien (1 ja 2) lisäksi myös keskitetyt ratkaisut (3 ja 4), joissa perustettaisiin EU-tasoinen kolmannen maan kansalaisia koskeva sormenjälkirekisteri tai EU-tasoinen rekisteri, jossa ovat sekä sormenjälkitiedot että henkilöllisyyttä määrittävät alfanumeeriset tiedot. Vaihtoehtoa koskeva valinta tulisi perustaa kokonaisarviointiin. Tämän hetkisten arvioiden mukaan toteutettavuuden ja kokonaiskulujen kannalta tarkoituksenmukaisimpia ovat keskitetyt ratkaisut, joten Suomi kannattaa tällaisen ratkaisun hyväksymistä.

Puheenjohtaja on ilmoittanut, että keskitetty järjestelmä otetaan jatkotyön pohjaksi. Suomi katsoo, että myös keskitetyn järjestelmän osalta direktiiviehdotuksen jatkovalmistelussa tulee pyrkiä varmistamaan, että direktiiviehdotuksen tietosuojaa ja tietoturvaa koskevat säännökset ovat asianmukaiset. Keskitettyyn rekisteriin Suomesta toimitettavien tietojen osalta neuvotteluissa tulisi pyrkiä siihen, että noudatettaisiin jäsenvaltion kansallista lainsäädäntöä esimerkiksi sen osalta, minkä ajan kuluessa tiedot on poistettava rekisteristä. Suomi lisäksi katsoo, että neuvotteluissa tulee pyrkiä siihen, että päätös rikosrekisteritietojen luovuttamisesta tulee tehdä siinä jäsenvaltiossa, jonka rikosrekisteritiedoista on kyse, myös siinä tapauksessa, että sormenjälkien vertailun verifiointi tehtäisiin EU-tasolla.

VALIOKUNNAN PERUSTELUT

Arvion lähtökohdat

Biometriset tunnisteet

Rekisterin tietosisältö

Perustuslakivaliokunta antoi 19.4.2016 lausunnon PeVL 13/2016 vp valtioneuvoston kirjelmästä eduskunnalle ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi (kolmansien maiden kansalaisia koskeva tietojenvaihto ja ECRIS). Oikeusministeriö on lähettänyt perustuslain 96 §:n mukaisesti 17.3.2016 annettua valtioneuvoston kirjelmää täydentävän selvityksen asiasta 20.5.2016.

Ehdotus on mainitun perustuslakivaliokunnan lausunnon jälkeen muuttunut. Alkuperäisessä direktiiviehdotuksessa ehdotettiin, että ECRIS pysyisi eri jäsenvaltioihin hajautettuna järjestelmänä. Kolmannen maan kansalaisten sormenjälkitietojen lisääminen osaksi direktiiviehdotusta on kuitenkin aiheuttanut tarpeen selvittää uudelleen erilaisia teknisiä toteuttamistapoja ja niihin liittyviä kuluja. Jatkovalmistelussa on esitetty yhdeksi ratkaisuksi, että kolmannen maan kansalaisten osalta muodostettaisiin keskitetty EU-tasoinen sormenjälkirekisteri. Jatkovalmistelussa on katsottu, että keskitetystä rekisteristä on syytä antaa direktiivin asemesta asetus.

PeVL 13/2016 vp

Euroopan unionin perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa henkilötietojen suoja. EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä. Samoin Euroopan ihmisoikeussopimuksen yksityiselämän suojaa koskevan 8 artiklan on Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä katsottu kattavan myös henkilötietojen suojan.

S. and Marper v. the United Kingdom

S. and Marper v. the United Kingdom

Schwarz vastaan Stadt Bochum

Perustuslakivaliokunta toistaa lausunnossaesitetyn kiinnittäen edelleen huomiota siihen, että yksityiselämän ja henkilötietojen suojan kannalta keskeisimmäksi muodostuu kysymys biometristen tunnisteiden, sormenjälkitietojen, rekisteröimisestä. Esimerkiksi sormenjäljet sisältävät yksilöstä sellaista informaatiota, joka mahdollistaa hänen tarkan tunnistamisensa hyvin erilaisissa yhteyksissä (ks. esimerkiksi Euroopan ihmisoikeustuomioistuimen tuomio, 4.12.2008, kohta 84). Perustuslakivaliokunta on arvioinut, että tällaiset biometriset tunnistetiedot ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin. Arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä (, s. 2/I). Tämän johdosta jo sormenjälkitietojen tallentaminen tällaiseen rekisteriin voi antaa aihetta huoleen yksityiselämän suojan kannalta (ks. myös, kohta 85). Myös EU:n tuomioistuin on katsonut, että sormenjälkien ottaminen ja tallentaminen puuttuu perusoikeuskirjan 7 ja 8 artiklassa tarkoitettuun yksityiselämän ja henkilötietojen suojaan (C- 291/12, tuomion kohta 30).

Schrems

Digital Rights Ireland

Perustuslakivaliokunnan käsityksen mukaan merkityksellistä on, että biometrisiä tunnisteita sisältäviin laajoihin tietokantoihin saattaa liittyä tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (, s. 4,, s. 3/I). Valiokunta on katsonut, että tällaisten rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden kannalta (,ja). Valiokunnan mielestä keskitettyyn ja automatisoituun järjestelmään siirtyminen merkitsisi aiempaa ehdotusta selvästi syvällekäyvempää puuttumista henkilötietojen suojaan. Valiokunnan mielestä keskitetty järjestelmä merkitsee erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (ks. myösC-362/14, kohta 91,C-293/12 ja C-594/12, kohdat 54 ja 55).

PeVL 13/2016 vp

Perustuslakivaliokunta huomauttaa, että jatkokirjelmän valtiosääntöoikeudellista arviointia hankaloittaa huomattavasti se, että siinä käsitellyn ehdotuksen sisältö ja oikeudellinen merkitys on myös jatkokirjelmän antamisen jälkeen muuttunut perustavanlaatuisella tavalla. Lisäksi direktiivin asemesta sääntelyä suunnitellaan ainakin osin toteuttavaksi asetuksella, mikä on muun ohella merkittävää asiakokonaisuuteen liittyvän kansallisen liikkumavaran kannalta. Varsin pikaisella aikataululla pidettävässä OSA-neuvostossa on tarkoituksena hyväksyä lähtökohta keskitetystä järjestelmästä, johon talletetaan ja jonka avulla vaihdetaan kolmannen maan kansalaisten sormenjälkitietoja ja näitä koskevien tuomioiden tietoja. Perustuslakivaliokunnan mielestä tällaisen ratkaisun hyväksyminen on ennenaikaista eikä se ole käsillä olevan aineiston perusteella valtiosääntöoikeudellisista syistä ainakaan valmistelun tässä vaiheessa perusteltua. Saadun selvityksen mukaan myös valtioneuvosto on yrittänyt vaikuttaa neuvotteluissa tällä tavoin. Perustuslakivaliokunnan mielestä Suomen tulee suhtautua torjuvasti keskitetyn järjestelmän hyväksymiseen tässä vaiheessa saatavilla olevan tiedon perusteella.

Ehdotetun direktiivin 4 a artiklan 1 kohdan e-alakohdan perusteella jäsenvaltion, jossa annetaan tuomio kolmannen maan kansalaiselle, on tallennettava rekisteriin myös tuomitun vanhempien nimet. Vastaava vaatimus sisältyy myös ECRIS-järjestelmää koskevan puitepäätöksen (2009/315/YOS) perusteella rikosrekisteritietojen säilyttämisestä ja luovuttamisesta Suomen ja muiden Euroopan unionin jäsenvaltioiden välillä annettuun lakiin. Mainittu laki ei ollut eduskuntakäsittelyn aikana perustuslakivaliokunnan arvioitavana.

Perustuslakivaliokunta on korostanut tarvetta varmistaa käyttötarkoitussidonnaisuuden periaatteen toteutuminen henkilötietojen käsittelyssä (,,,ja). Yksityiselämän ja henkilötietojen suojaan puuttumisen on oltava välttämätöntä hyväksyttävän päämäärän toteuttamiseksi. Vaikka ECRIS-järjestelmällä ja siihen liittyvällä rikosrekisteritietojen käsittelyllä on sinänsä hyväksyttävä tarkoitus, tuomitun vanhempien sisällyttämistä tuomitun rekisteritietojen yhteyteen ei lähtökohtaisesti voida pitää rekisterin käyttötarkoituksen mukaisena. Valiokunnan mielestä niiden rekisteröimisen välttämättömyyden vaatimus ei myöskään täyty, sillä tuomitun vanhempien nimien merkitsemistä rekisteriin ei ole ehdotuksessa perusteltu. Valtioneuvoston on jatkovalmistelussa syytä kiinnittää erityistä huomiota asiaan.