Hallituksen esitys eduskunnalle sosiaaliturva- ja vakuutuslainsäädännön muuttamiseksi EU:n yleisen tietosuoja-asetuksen johdosta

ESITYKSEN PÄÄASIALLINEN SISÄLTÖ

Esityksessä ehdotetaan sosiaaliturva- ja vakuutuslainsäädäntöön muutoksia, jotka johtuvat EU:n yleisestä tietosuoja-asetuksesta. Esityksen tavoitteena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi tietosuoja-asetuksen kanssa. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä ehdotetaan eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista.

Eräistä nykyisin rekisteröidyn suostumukseen perustuvista henkilötietojen luovutuksista ehdotetaan otettavaksi säännökset lakiin.

Vakuutusyhtiöitä koskevaan lainsäädäntöön ehdotetaan lisättäväksi säännökset, jotka mahdollistaisivat rikosepäilyihin ja rikostuomioihin liittyvien henkilötietojen käsittelyn ja luovuttamisen toisille vakuutusyhtiöille niin sanottujen väärinkäytösrekistereiden ylläpidossa. Vastaava säännös ehdotetaan lisättäväksi myös luottolaitoslaitostoiminnasta annettuun lakiin.

Sosiaaliturvalainsäädäntöön ehdotetaan lisättäväksi säännökset, joilla poikettaisiin tietosuoja-asetuksen mukaisesta oikeudesta käsittelyn rajoittamiseen. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, siltä osin kuin kyse on laissa säädetyn tehtävän hoitamisesta, jos rekisteröidyn vaatimus käsittelyn rajoittamisesta on ilmeisen perusteeton.

Sosiaaliturva- ja vakuutuslainsäädäntöön ehdotetaan lisättäväksi myös säännökset automaattisten päätösten antamisesta. Automaattiset päätökset olisivat sallittuja lakisääteisen sosiaaliturvan toimeenpanossa, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Yksityisvakuutusta koskeva automaattinen päätöksenteko olisi sallittua, mutta rekisteröidyllä olisi oikeus vaatia, että luonnollinen henkilö käsittelee asian uudelleen.

Lait ovat tarkoitetut tulemaan voimaan 25 päivänä toukokuuta 2018 eli samana päivänä kun tietosuoja-asetusta aletaan soveltaa.

YLEISPERUSTELUT

1

Johdanto

tietosuoja-asetus Euroopan unionin yleinen tietosuoja-asetus (2016/679 (EU), jäljempänä) on tullut voimaan 24 päivänä toukokuuta 2016 ja sitä aletaan soveltaa jäsenvaltioissa 25 päivänä toukokuuta 2018. Tietosuoja-asetuksella kumotaan Euroopan parlamentin ja neuvoston direktiivi 95/46/EY, joka on Suomessa pantu täytäntöön henkilötietolailla (523/1999).

Tietosuoja-asetus on kansallisesti suoraan sovellettava säännös, mutta se jättää jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallinen liikkumavara antaa jäsenvaltiolle mahdollisuuden antaa tietyissä asioissa tietosuoja-asetusta täydentävää tai täsmentävää kansallista lainsäädäntöä. Lisäksi kansallisella lainsäädännöllä on joissain tilanteissa mahdollista poiketa tietosuoja-asetuksessa säädetyistä velvoitteista.

Eduskunnan käsiteltävänä oleva hallituksen esitys eduskunnalle EU:n yleistä tietosuoja-asetusta täydentäväksi yleiseksi lainsäädännöksi (HE 9/2018 vp) sisältää ehdotuksen uudeksi tietosuoja-asetusta täydentäväksi yleislaiksi, jonka nimi olisi tietosuojalaki. Tietosuojalailla kumottaisiin henkilötietolaki. Tietosuojalaki muodostuisi erinäisistä tietosuoja-asetusta täydentävistä ja täsmentävistä pykälistä.

Tietosuojasääntelyn muutokset edellyttävät myös muun kansallisen lainsäädännön tarkistamista. Henkilötietojen käsittelyä koskevat säännökset on saatettava tietosuoja-asetuksen mukaisiksi. Erityislainsäädännössä on mahdollista myös säätää tietosuoja-asetusta täsmentäviä säännöksiä tai poikkeuksia asetuksessa säädetyistä velvoitteista siltä osin kuin se on kansallisen liikkumavaran puitteissa mahdollista. Tämän hallituksen esityksen tarkoituksena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi tietosuoja-asetuksen kanssa.

2

Nykytila ja nykytilan arviointi

2.1

Henkilötietojen käsittely sosiaaliturvan toimeenpanossa ja vakuutustoiminnassa

Suomessa osa sosiaaliturvasta on järjestetty lakisääteisillä vakuutuksilla, joiden tavoitteena on turvata toimeentuloa erilaisten sosiaalisten riskien, kuten vanhuuden työkyvyttömyyden ja perheenhuoltajan kuoleman varalta. Sosiaalivakuutusjärjestelmä koostuu työeläkkeistä, työttömyysturvasta, sairausvakuutuksesta, työtapaturma- ja ammattitautivakuutuksesta ja kansaneläkkeestä. Myös liikennevakuutuksesta ja potilasvakuutuksesta maksettavat korvaukset ovat osin lakisääteistä sosiaaliturvaa kuuluvia. Sosiaalivakuutuksen käytännön toimeenpanosta huolehtivat julkiset ja yksityiset vakuutuslaitokset kuten Kansaneläkelaitos, työeläkelaitokset, työttömyyskassat ja vahinkovakuutusyhtiöt.

Mitä tässä luvussa todetaan sosiaalivakuutuksista, koskee myös liikennevakuutuslain (460/2016) ja potilasvahinkolain (585/1986) mukaan maksettavia henkilövahinkokorvauksia ja niiden maksamiseen liittyviä tiedonsaantia koskevia säännöksiä.

Sosiaalivakuutuksen toimeenpanossa on välttämätöntä käsitellä etuudenhakijoiden henkilötietoja ja usein myös terveydentilatietoja. Nykyisin henkilötietojen käsittely sosiaalivakuutusasioissa perustuu yleensä henkilötietolain 8 §:n 4 kohtaan, jonka mukaan henkilötietoja saa käsitellä, jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta. Tietosuoja-asetus edellyttää, että henkilötietojen käsittelylle on aina hyväksyttävä peruste, josta säädetään asetuksen 6 artiklassa. Sosiaalivakuutuksen toimeenpanossa henkilötietojen käsittely perustuu yleensä tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, eli käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Tämän perusteen käyttäminen edellyttää, että siitä säädetään asetuksen lisäksi rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Sosiaalivakuutuksen toimeenpano on laissa säädetty eri vakuutuslaitosten tehtäväksi. Laissa on säädetty myös etuuksien hakemisesta, myöntämisedellytyksistä, toimeenpanosta ja muutoksenhausta. Etuuksien myöntäminen perustuu yleensä hakemukseen, jonka tekemisen yhteydessä hakija ilmoittaa etuuden ratkaisemisen kannalta välttämättömät henkilötietonsa vakuutuslaitokselle.

Laissa on säännöksiä, joiden perusteella vakuutuslaitoksella on oikeus saada ilman asianosaisen suostumusta esimerkiksi etuusasioiden käsittelyn kannalta välttämättömiä tietoja myös muilta kuin etuudenhakijalta itseltään. Henkilötietoja voidaan näiden säännösten perusteella saada esimerkiksi muilta vakuutuslaitoksilta ja viranomaisilta. Säännöksissä on määritelty tietojen käyttötarkoitukset ja ne tahot, joilta tietoja voidaan saada.

Useiden sosiaalivakuutusetuuksien myöntämisedellytykset liittyvät hakijan terveydentilaan ja toimintakykyyn. Näissä tilanteissa on välttämätöntä käsitellä terveyttä koskevia tietoja, jotka kuuluvat tietosuoja-asetuksessa tarkoitettuihin erityisiin henkilötietoryhmiin. Nykyisin arkaluonteisten henkilötietojen, kuten terveydentilatietojen, käsittelystä säädetään henkilötietolain 12 §:ssä. Henkilötietolain 12 §:n 11 kohdan nojalla vakuutuslaitokset saavat käsitellä vakuutustoiminnassa saatuja vakuutetun tai korvauksenhakijan terveydentilaa koskevia tietoja. Lisäksi sosiaalivakuutusasioissa arkaluonteisten tietojen käsittely on mahdollista 12 §:n 5 kohdan nojalla, jonka mukaan käsittely on sallittua, jos siitä säädetään laissa tai jos käsittely johtuu välittömästi laissa säädetystä tehtävästä.

Tietosuoja-asetuksessa ns. erityisiin henkilötietoryhmiin kuuluvien tietojen, kuten terveydentilatietojen, käsittelystä säädetään 9 artiklassa. Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja, tulee tietosuoja-asetuksen 6 artiklan mukaisen henkilötietojen käsittelyn oikeusperusteen lisäksi jonkin 9 artiklan 2 kohdan edellytyksistä täyttyä. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on sallittua, jos se on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan jäsenvaltion lainsäädännössä. 9 artiklan 2 kohdan g alakohdan mukaan käsittely on sallittua, jos se on tarpeen tärkeää yleistä etua koskevasta syystä jäsenvaltion lainsäädännön nojalla, edellyttäen että käsittely on oikeasuhteinen tavoitteeseen nähden ja siinä noudatetaan keskeisiltä osin oikeutta henkilötietojen suojaan. Molemmat alakohdat edellyttävät lisäksi asianmukaisista suojatoimista säätämistä.

Hallituksen esityksessä 9/2018 vp on ehdotettu tietosuojalakiin säännöstä, jonka perusteella vakuutuslaitoksilla on oikeus käsitellä vakuutustoiminnassa saatuja vakuutetun ja korvauksenhakijan terveydentilaan liittyviä tietoja, jos ne ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. Säännös vastaa nykyistä henkilötietolain 12 §:n 11 kohtaa. Yksityiskohtaisten perustelujen mukaan säännöstä ehdotetaan tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan perusteella. Tietosuojalakiin ehdotettu säännös mahdollistaa jatkossakin terveydentilatietojen käsittelyn vakuutuslaitoksissa etuuksien ja korvausten käsittelyssä ja toimeenpanossa. Lisäksi tietosuojalaissa säädettäisiin, että erityisiin henkilötietoryhmiin kuuluvia tietoja voisi käsitellä, jos tietojen käsittelystä säädetään laissa tai jos tietojen käsittely johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. Erityislainsäädännössä on lisäksi erinäisiä tarkempia säännöksiä terveydentilatietojen käsittelystä.

Vapaaehtoisten yksityisvakuutusten osalta henkilötietojen käsittely perustuu useimmiten tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohtaan eli sopimukseen. Henkilötietojen käsittely on laillista silloin kun käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena. Lisäksi voidaan toteuttaa rekisteröidyn pyynnöstä tehtäviä sopimusta edeltäviä toimenpiteitä. Vastaava käsittelyperuste sisältyy voimassa olevan henkilötietolain 8 §:n 2 kohtaan. Lisäksi käsittely voi perustua rekisteröidyn antamaan suostumukseen 6 artiklan 1 kohdan a alakohdan mukaisesti. Vakuutettu tai korvauksensaaja voi antaa vakuutusyhtiölle suostumuksen käsitellä henkilötietojaan yhtä tai useampaa tarkoitusta varten. Jotta henkilötietojen käsittely suostumuksen perusteella olisi laillista, suostumuksen on täytettävä tietosuoja-asetuksen 7 artiklassa säädetyt edellytykset. Voimassa olevaan henkilötietolain 8 §:n 1 kohdassa tarkoitettuun suostumukseen verrattuna tietosuoja-asetus tiukentaa suostumuksen edellytyksiä jonkin verran.

Henkilötietojen käsittely voi myös olla tarpeen vakuutusyhtiötä koskevan lakisääteisen velvoitteen noudattamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan mukaisesti. Tällöin käsittelyn perusteesta on säädettävä kansallisessa lainsäädännössä. Esimerkkinä tällaisesta lakisääteisestä velvoitteesta voidaan mainita vakuutusyhtiölain 6 luvun 9 §, jonka mukaan vakuutusyhtiön on ilmoitettava keskeisistä tehtävistä vastaavat henkilöt Finanssivalvonnalle sekä esitettävä selvitys kyseisten henkilöiden sopivuudesta ja luotettavuudesta.

Henkilötietojen käsittely saattaa myös olla tarpeen vakuutusyhtiön oikeutettujen etujen toteuttamiseksi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan mukaan edellyttäen, että rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät muodosta estettä henkilötietojen käsittelylle. Rekisterinpitäjän on intressipunninnassa otettava huomioon rekisteröidyn kohtuulliset odotukset, jotka perustuvat rekisteröidyn ja rekisterinpitäjän väliseen suhteeseen. Tietosuoja-asetuksen johdanto-osassa todetaan, että oikeutetun edun mukaista olisi ainakin ehdottoman välttämätön henkilötietojen käsittely petosten ehkäisemistarkoituksessa. Lisäksi johdanto-osan kappaleen 48 mukaan rekisterinpitäjillä, jotka kuuluvat konserniin tai keskuselimeen kuuluvaan laitokseen, saattaa olla sisäisistä hallinnollisista syistä johtuen oikeutettu etu siirtää konsernin sisällä henkilötietoja, asiakkaiden tai työntekijöiden henkilötietojen käsittely mukaan luettuna. Edellä mainitut käsittelyperusteet ovat 6 artiklan 1 kohdan c alakohtaa lukuun ottamatta yksinomaisia siten, etteivät jäsenvaltiot voi säätää niistä kansallisessa lainsäädännössään.

2.2

Henkilötietojen luovuttaminen ja salassapitosäännökset

Yleinen tietosuoja-asetus mahdollistaa kansallisen asiakirjajulkisuuden sovittamisen yhteen yleisen tietosuoja-asetuksen mukaisen henkilötietojen suojan kanssa. Kansallinen liikkumavara koskee myös yksityisoikeudellisten yhteisöjen asiakirjoja näiden toimiessa yleisen edun vuoksi toteutettavan tehtävän suorittamiseksi.

julkisuuslaki Laki viranomaisten toiminnan julkisuudesta (621/1999; jäljempänä) koskee viranomaisten asiakirjojen julkisuuden määräytymistä, salassapitovelvollisuutta ja asiakirjan julkiseksi tulemista. Julkisuuslakia sovelletaan myös julkista tehtävää hoitaviin yhteisöihin ja laitoksiin niiden käyttäessä julkista valtaa. Erityislainsäädännössä on erinäisiä julkisuuslakia täsmentäviä säännöksiä. Esimerkiksi työntekijän eläkelain 191 §:n nojalla julkisuuslain asiakirjasalaisuutta koskevia säännöksiä sovelletaan työeläkelaitoksiin työntekijän eläkelain toimeenpanossa silloinkin, kun ne eivät käytä julkista valtaa.

Vakuutusyhtiölain 30 luvun 1 §:ssä on säädetty yleissäännös salassapitovelvollisuudesta. Samassa luvussa on säädetty myös erinäisiä poikkeuksia salassapitovelvollisuuteen, jotta tietoja voidaan salassapitosäännösten estämättä luovuttaa tietyissä tilanteissa. Säännökset koskevat myös muita kuin henkilötietoja kuten esimerkiksi liiketoimintaan liittyviä tietoja. Tietosuoja-asetuksen säännökset tietojen luovuttamisesta ja muusta käsittelystä koskevat vain henkilötietoja, joten näiden muiden tietojen osalta tietojen luovuttamisesta ja salassapidosta on välttämätöntä edelleen säätää kansallisessa lainsäädännössä.

Tietojen luovuttamista koskevien säännösten perusteella vakuutuslaitokset voivat salassapitosäännösten estämättä luovuttaa saamiaan tietoja esimerkiksi viranomaisille tai toisille vakuutuslaitoksille. Tietojen luovuttamista koskevissa säännöksissä on määritelty ne tahot, joille tietoja voidaan luovuttaa, ja ne tarkoitukset, joihin tietoja voidaan luovuttaa. Tietojen luovuttamiselle on voitu asettaa myös muita edellytyksiä. Siltä osin kuin säännökset koskevat henkilötietojen luovuttamista, on tietoja luovutettaessa otettava huomioon tietosuoja-asetuksen asettamat vaatimukset henkilötietojen käsittelylle. Käsittelylle on tällöin oltava oikeudellinen peruste. Luovutettaessa tietoja viranomaisille vastaanottajan oikeus tietojen saamiseen perustuu yleensä tietosuoja-asetuksen 6 artiklan c kohtaan eli käsittely on tarpeen lakisääteisen velvoitteen noudattamiseksi.

Tietoja luovutettaessa on otettava huomioon myös käyttötarkoitussidonnaisuuden periaate, josta säädetään tietosuoja-asetuksen 5 artiklassa. Henkilötiedot on kerättävä tiettyä, nimenomaista ja laillista tarkoitusta varten, eikä niitä saa käsitellä myöhemmin näiden tarkoitusten kanssa yhteensopimattomalla tavalla. Myöhempää käsittelyä yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimuksia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ei katsota 89 artiklan 1 kohdan mukaisesti yhteensopimattomaksi alkuperäisen tarkoituksen kanssa.

Tietosuoja-asetuksen 6 artiklan 4 kohdan perusteella henkilötietojen hyödyntäminen muussa tarkoituksessa, kuin mihin ne on alun perin kerätty, on mahdollista rekisteröidyn suostumuksella tai käsittelyn perustuessa sellaiseen unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Muissa tapauksissa rekisterinpitäjän on varmistettava, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin, ottamalla huomioon muun muassa henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet, henkilötietojen luonteen ja aiotun myöhemmän käsittelyt mahdolliset seuraukset rekisteröidylle.

Jos laissa säädetään tietojen luovuttamisesta sellaista tarkoitusta varten, joka ei ole yhteensopiva sen alkuperäisen tarkoituksen kanssa, johon tiedot on kerätty, tulee luovutuksen edellytyksenä olla rekisteröidyn suostumus tai luovutussäännöksen on oltava välttämätön ja oikeasuhtainen toimenpide 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi. Näitä tavoitteita ovat muun muassa jäsenvaltion yleiseen etuun liittyvät tärkeät tavoitteet, kuten kansanterveys ja sosiaaliturva, julkisen vallan käyttöön liittyvä valvonta-, tarkastus- tai sääntelytehtävä sekä rekisteröidyn suojelu tai muille kuuluvat oikeudet ja vapaudet.

2.3

Suostumukseen perustuva henkilötietojen luovuttaminen

Tietosuoja-asetuksen 6 artiklan 1 kohdan a alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten. Suostumuksen edellytyksistä säädetään 7 artiklassa. Tietosuoja-asetuksessa suostumuksen edellytykset määritellään tarkemmin kuin kumotussa henkilötietodirektiivissä, jossa on todettu, että suostumuksella tarkoitetaan kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn. Henkilötietolaissa on henkilötietodirektiiviä vastaava suostumuksen määritelmä.

Tietosuoja-asetuksen 7 artiklan mukaan käsittelyn perustuessa suostumukseen rekisterinpitäjän on pystyttävä osoittamaan, että rekisteröity on antanut suostumuksen henkilötietojen käsittelyyn. Jos suostumus annetaan kirjallisessa ilmoituksessa, joka koskee myös muita asioita, suostumuksen antamista koskeva pyyntö on esitettävä selvästi erillään muista asioista helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä. Rekisteröidyllä on myös oikeus peruuttaa suostumuksensa milloin tahansa, ja suostumuksen peruuttamisen on oltava yhtä helppoa kuin sen antamisen. Jos kyse on tietosuoja-asetuksen 9 artiklan mukaisista erityisistä henkilötietoryhmistä, on suostumuksen oltava nimenomainen.

Asetuksen johdanto-osan mukaan jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa.

Asetuksen johdanto-osassa todetaan lisäksi, että jos suostumus annetaan muuta seikkaa koskevan kirjallisen ilmoituksen yhteydessä, olisi varmistettava, että rekisteröity on tietoinen antamastaan suostumuksesta. Suostumus pitää myös olla mahdollista peruuttaa ilman, että siitä aiheutuu rekisteröidylle haittaa. Tietoisen suostumuksen antamiseksi rekisteröidyn on tiedettävä vähintään rekisterinpitäjän henkilöllisyys ja tarkoitukset, joita varten henkilötietoja on määrä käsitellä. Suostumusta ei pitäisi voida antaa vaikenemalla, valmiiksi rastitetuilla ruuduilla tai jättämällä jokin toimi toteuttamatta. Suostumuksen olisi katettava kaikki käsittelytoimet, jotka toteutetaan samaa tarkoitusta tai samoja tarkoituksia varten. Jos käsittelyllä on useita tarkoituksia, suostumus olisi annettava kaikkia käsittelytarkoituksia varten.

Pääsääntöisesti henkilötietojen käsittely sosiaaliturvan toimeenpanossa perustuu lakiin. Jos henkilötietojen käsittelystä ei ole säädöstä, käsittely voi perustua esimerkiksi suostumukseen. Sosiaaliturvaetuuksien hakemuslomakkeilla saatetaan nykyisin pyytää suostumusta siihen, että etuusasian käsittelyä varten saatuja tietoja voidaan luovuttaa eteenpäin. Näin menetellään esimerkiksi työeläkejärjestelmässä, jossa kuntoutushakemuksessa pyydetään suostumusta tietojen luovuttamiseksi eteenpäin muun muassa kuntoutuksen suunnitteluun tai toteuttamiseen osallistuvalle terveydenhuollon ammattihenkilölle.

Nykyisissä hakemuslomakkeissa pyydettävä suostumus ei täytä tietosuoja-asetuksen vaatimuksia, koska suostumusta ei lähtökohtaisesti voida pitää riittävänä perusteena tietojen luovuttamiselle silloin, kun on kysymys lakisääteisen, julkisen hallintotehtävän hoitamisesta ja kun rekisterinpitäjänä on viranomainen tai muu julkista valtaa käyttävä taho. Etuutta haettaessa ei myöskään välttämättä ole vielä tiedossa mille nimenomaiselle taholle tietoja luovutetaan, joten hakija ei voi saada siitä yksilöityä tietoa. Lisäksi suostumus tulisi voida myös peruuttaa yhtä helposti kuin se on annettu. Sosiaaliturvan toimeenpanossa suostumuksen peruuttaminen voisi johtaa esimerkiksi kuntoutustoimenpiteiden keskeytymiseen. Suostumuksen käyttö henkilötietojen käsittelyn oikeudellisena perusteena voisi osoittautua käytännössä hankalaksi tilanteissa, joissa suostumusta pyydetään suurelta henkilöjoukolta lakisääteisen sosiaaliturvan toimeenpanoa varten.

Nykyistä vastaava tietojen luovuttaminen eri tahoille on monissa tilanteissa tarpeen hakemusten ratkaisemiseksi ja kuntoutuksen toteuttamiseksi. Lisäksi esimerkiksi työkyvyttömyys- ja kuntoutusasioissa mahdollisimman varhainen työkykyongelmiin puuttuminen ja kuntoutusmahdollisuuksien selvittäminen tukevat työssä jatkamista ja kuntoutuksen onnistumista. Näissä tilanteissa yhteistyö ja siihen liittyvä tietojen luovuttaminen on välttämätöntä erityisesti henkilön omien etujen toteuttamiseksi. Tietojen luovuttaminen kuntoutusasian ratkaisemista ja kuntoutuksen toteuttamista varten toteuttaa ns. yhden luukun periaatetta, jossa rekisteröidyn ei tarvitse toimittaa samaa tietoa useille eri tahoille moneen otteeseen, vaan tietoa kysytään vain kerran.

Ottaen huomioon asetuksen edellytykset käyttää suostumusta käsittelyn oikeudellisena perusteena, sitä ei lähtökohtaisesti tulisi käyttää esimerkiksi työkyvyttömyyseläke-, työuraeläke- tai kuntoutushakemuksen ratkaisemisen sekä kuntoutuksen toteuttamisen yhteydessä vaadittavaan tietojen käsittelyyn. Eläke- ja kuntoutusasian käsittelyä koskevien tietojen luovuttamisen tulisi siten perustua ensisijaisesti lakiin.

2.4

Rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely

Vakuutusyhtiöihin kohdistuvat petos- ja talousrikokset aiheuttavat vuosittain merkittäviä menetyksiä vakuutusyhtiöille ja korkeampien vakuutusmaksujen muodossa kaikille vakuutuksenottajille. Yksi tapa ehkäistä vakuutusyhtiöihin kohdistunutta rikollisuutta on tiedon jakaminen vakuutusyhtiöiden välillä yhteisten vahinko- ja väärinkäytösrekisterien kautta. Rekisterien tarkoituksena on jakaa tietoa vakuutusyhtiöiden kesken niille ilmoitetuista vahingoista ja niihin kohdistuneista rikoksista tai rikosepäilyistä. Vastaavia järjestelmiä on myös esimerkiksi luottolaitoksilla.

Vakuutusyhtiölain 30 luvun 3 §:n ja vakuutusyhdistyslain 16 luvun 10 §:n 4 momentin 6 kohdan mukaan vakuutuslaitoksilla on oikeus luovuttaa toisille vakuutuslaitoksille vaitiolovelvollisuuden piiriin kuuluvia tietoja niihin kohdistuneista rikoksista ja niille ilmoitetuista vahingoista vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän yleisen edun vuoksi, jos tietosuojalautakunta on antanut tähän luvan. Ulkomaisista vakuutusyhtiöistä annetun lain mukaan ulkomaisella vakuutusyhtiöllä on oikeus luovuttaa tieto vakuutusyhtiöön kohdistuneista rikoksista sekä sille ilmoitetuista vahingoista toisille vakuutuslaitoksille vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseen liittyvän tärkeän edun vuoksi siten kuin tietosuojalautakunta henkilötietolain 43 §:n 3 momentin nojalla tarkemmin määrää. Tietojen käsittely ja vaihtaminen on siten edellyttänyt tietosuojalautakunnan myöntämää henkilötietolain 43 §:n mukaista erityislupaa. Vakuutusyhtiölain 30 luvun 3 §:ää ei sovelleta työtapaturma- ja ammattitautivakuutukseen, vaan tietojen luovutuksesta säädetään työtapaturma- ja ammattitautilain 255 §:ssä, joka koskee ainoastaan lakisääteistä vakuutusta ja edellyttää tietosuojalautakunnan lupaa.

Vakuutusyhtiöiden väärinkäytösrekisteri on ollut käytössä vuodesta 1996. Viimeisin lupa on myönnetty 21 päivänä syyskuuta 2017 määräajaksi. Lupa on myönnetty 30 vakuutusyhtiölle sekä Liikennevakuutuskeskukselle. Tietosuojalautakunnan myöntämä lupa sisältää yksityiskohtaisia määräyksiä muun muassa henkilötietojen tallentamisesta, tietojen poistamisesta sekä rekisteröidylle toimitettavista tiedoista. Rekisterissä oli 4 päivänä heinäkuuta.2017 rekisteröitynä 273 henkilöä. Väärinkäytösrekisterin teknisenä ylläpitäjänä toimii tällä hetkellä Suomen Asiakastieto Oy.

Merkinnän tekeminen rekisteriin edellyttää, että epäillystä rikollisesta teosta on ilmoitettu poliisille tai syyttäjälle. Merkintä on tehtävä vuoden kuluessa siitä, kun vakuutusyhtiö on saattanut rikosprosessin vireille tai saanut tiedon siitä. Tieto on poistettava rekisteristä, jos rekisteröity henkilö on todettu tuomioistuimessa syyttömäksi tai jos oikeusprosessista on luovuttu. Tiedot on poistettava viimeistään viiden vuoden kuluttua siitä, kuin ne on ensimmäisen kerran rekisteröity. Rekisteröidylle on ilmoitettava ensimmäisen häntä koskevan merkinnän tekemisestä rekisteriin. Rekisteröidylle on myös ilmoitettava rekisteriin merkittyjen tietojen käytöstä päätöksenteossa sekä siitä, minkä vakuutuslaitoksen rekisteristä tiedot ovat peräisin ja milloin ne on hankittu, jos vakuutushakemuksen epääminen tai muu rekisteröidylle kielteinen päätös johtuu rekisterissä olevista tiedoista. Vakuutusyhtiöt voivat käyttää rekisterin tietoja korvauskäsittelyn lisäksi vapaaehtoisia vakuutuksia myönnettäessä ja irtisanottaessa. Lakisääteisiä vakuutuksia koskee sopimuspakko, joten niitä ei voida evätä rekisteriin tehdyn merkinnän perusteella.

Väärinkäytösrekisterin lisäksi vakuutusyhtiöillä on käytössä niin kutsuttu vahinkorekisteri. Vahinkorekisteriin merkitään vakuutusyhtiölle ilmoitettuja vahinkoja koskevat perustiedot. Vahingon perustietoja ovat henkilötunnus tai yritystunnus, vakuutuksen myöntänyt vakuutuslaitos, vahingon tapahtuma-aika, vahinkonumero, ajoneuvon tai veneen rekisteritunnus, vakuutuslaji koodina ja vahinkotyyppi koodina. Vahinkorekisteriin ei merkitä tietoja luotto-, takaus-, oikeusturva- ja sairausvakuutuksista eikä työtapaturma- ja ammattitautilain mukaisista pakollisista vakuutuksista. Vakuutusyhtiö saa pyytää muilta vakuutusyhtiöiltä asianomaisia vahinkoja koskevat tarkemmat tiedot, jos vahinkorekisteriin merkityistä perustiedoista käy ilmi, että useammalle vakuutusyhtiölle on tehty korvaushakemus samasta vahingosta, korvauksenhakija on ilmoittanut lyhyen ajan sisällä useita vahinkoja tai tehnyt useita saman tyyppisiä vahinkoilmoituksia. Tietosuojalautakunnan luvan mukaan vahinkorekisterin perusteella toiselta vakuutusyhtiöltä saatuja tietoja saa käyttää vain vakuutusyhtiöihin kohdistuvan rikollisuuden ehkäisemisessä. Tietoja ei saa käyttää asiakasvalinnassa, markkinoinnissa, vakuutusten hinnoittelussa tai muussa vastaavassa tarkoituksessa.

Nykyisin henkilötietolain 11 §:ssä rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta koskevat tiedot on säädetty arkaluonteisiksi henkilötiedoiksi. Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin tai rikkomuksiin liittyvien henkilötietojen käsittely 6 artiklan 1 kohdan perusteella on mahdollista vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. Nykyisen väärinkäytösrekisterin osalta kyse on rikostietojen käsittelystä, joten käsittelyn jatkuminen ennallaan edellyttää kansallista sääntelyä asiasta.

Tietosuojalautakunta on lupaa myöntäessään katsonut, että vahinkorekisteriin liittyvä tietojen käsittely on tarpeen rekisterinpitäjän eli vakuutusyhtiön oikeutetun edun toteuttamiseksi, eikä tämä peruste käsittelylle muutu asetuksen voimaantullessa. Myös tietosuoja-asetuksen johdanto-osassa todetaan ehdottoman välttämättömän henkilötietojen käsittelyn petosten ehkäisemistarkoituksessa olevan rekisterinpitäjän oikeutetun edun mukaista. Koska vahinkorekisteriin liittyvän tietojen käsittelyn oikeudellinen peruste on jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f-alakohta, ei vahinkorekisteriä koskeva täydentävä kansallinen sääntely enää ole mahdollista.

2.5

Rekisteröidyn oikeus käsittelyn rajoittamiseen

Tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohdan mukaan rekisteröidyllä on oikeus siihen, että rekisterinpitäjä rajoittaa käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden. Tällöin käsittelyä rajoitetaan ajaksi, jonka kuluessa rekisterinpitäjä voi varmistaa niiden paikkansapitävyyden. Jos käsittelyä on tällä perusteella rajoitettu, henkilötietoja saa käsitellä ainoastaan rekisteröidyn suostumuksella, oikeudellisen vaateen laatimiseksi, toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää yleistä etua koskevista syistä.

Tietosuoja-asetuksen 23 artiklan perusteella 18 artiklassa säädettyä rekisteröidyn oikeutta voidaan rajoittaa kansallisella lainsäädännöllä tietyin edellytyksin. 23 artiklan mukaan rekisteröidyn oikeutta voidaan rajoittaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja -vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhtainen toimenpide, jotta voidaan taata jokin kyseisessä lainkohdassa lueteltu tarkoitus. Kohdan perusteella tällainen tarkoitus voi olla muun muassa jäsenvaltion yleiseen etuun liittyvä tärkeä tavoite kuten sosiaaliturva tai siihen liittyvä valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttöön taikka rekisteröidyn suojelu. Kansallisen lainsäädännön, jolla rajoitetaan rekisteröidyn oikeuksia, on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat muun muassa käsittelytarkoitusta ja rajoitusten soveltamisalaa.

Sosiaalivakuutuksen toimeenpanossa etuuden hakija, vakuutuksen ottaja tai muu korvauksensaaja eli rekisteröity voi kiistää häntä koskevan henkilötiedon, esimerkiksi terveydentilaa, työansioita tai vahinkotapahtuman olosuhteita koskevien tietojen oikeellisuuden, ja vaatia 18 artiklan perusteella, että tietoja ei käsitellä. Sosiaaliturvan toimeenpanossa rekisteröidyn oikeus käsittelyn rajoittamiseen voi johtaa siihen, että lakisääteisiä etuuksia ei voida myöntää tai maksaa tai etuuden maksamista ei voida pätevästäkään syystä keskeyttää, lakkauttaa tai maksaa oikean suuruisena. Sosiaalivakuutusjärjestelmän toimeenpanon kannalta on ongelmallista, jos oikeutta voidaan perusteettomasti käyttää lakisääteisen toiminnan viivästyttämiseen tai estämiseen. Vaatimalla perusteettomasti käsittelyn rajoittamista etuudenhakija voisi esimerkiksi lykätä kielteisen päätöksen antamista. Rekisteröidyn oikeutta käsittelyn rajoittamiseen olisi tarpeen rajoittaa tältä osin kansallisella lainsäädännöllä.

2.6

Automaattiset päätökset

Tietosuoja-asetuksen 22 artiklan 1 kohdan perusteella rekisteröidyllä on oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin, ja jolla on häntä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Profilointi on osa automaattista päätöksentekoa. Profiloinnilla tarkoitetaan mitä tahansa henkilötietojen automaattista käsittelyä, jossa henkilötietoja käyttämällä arvioidaan luonnollisen henkilön tiettyjä henkilökohtaisia ominaisuuksia. Säännöstä ei kuitenkaan artiklan 2 kohdan nojalla sovelleta, jos päätös on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä ja täytäntöönpanoa varten, jos automatisoitu yksittäispäätös on hyväksytty jäsenvaltion lainsäädännössä, jossa vahvistetaan myös asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi tai se perustuu rekisteröidyn nimenomaiseen suostumukseen.

Artiklan 4 kohdan mukaan automatisoidut päätökset eivät saa perustua asetuksen 9 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin, kuten terveyttä koskeviin tietoihin, paitsi jos sovelletaan 9 artiklan 2 kohdan a tai g alakohtaa ja asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi on toteutettu. Erityisten henkilötietoryhmien käsittelyä koskeva 9 artiklan 2 kohdan a alakohta koskee tilanteita, joissa rekisteröity on antanut suostumuksensa henkilötietojen käsittelyyn ja g alakohta koskee tilanteita, joissa käsittely on tarpeen tärkeää yleistä etua koskevasta syystä jäsenvaltion lainsäädännön nojalla.

Nykyisen henkilötietolain 31 §:n mukaan automatisoidun päätöksen antaminen on sallittu vain, jos siitä on laissa säädetty, tai jos päätös tehdään sopimuksen tekemisen tai täytäntöönpanon yhteydessä edellytyksellä, että rekisteröidyn oikeuksien suojaaminen varmistetaan tai että päätöksellä täytetään rekisteröidyn sopimuksen tekemistä tai täytäntöönpanoa koskeva pyyntö. Uuteen tietosuojalakiin ei ole ehdotettu vastaavaa säännöstä automaattisista päätöksistä.

Vakuutuslaitokset antavat nykyisin pelkästään automaattiseen käsittelyyn perustuvia päätöksiä tietyissä asiaryhmissä. Jotta vakuutuslaitokset voisivat jatkossakin hyödyntää ja kehittää ratkaisuprosessejaan, tulisi automatisoitujen päätösten antaminen sallia lailla. Lisäksi lainsäädännössä tulisi ottaa huomioon, että tietotekniikan kehittyessä automaattista päätöksentekoa voidaan entistä enemmän hyödyntää vakuutustoiminnassa ja sosiaaliturvan toimeenpanossa. Esimerkiksi tulorekisterin käyttöönotto ja sähköisen tiedonsiirron kehittyminen lisäävät olennaisesti automaattisen käsittelyn mahdollisuuksia. Digitalisaation mahdollisuuksien hyödyntäminen on yksi pääministeri Juha Sipilän hallituksen keskeisistä tavoitteista. Tähän liittyen hallituksen kärkihankkeita ovat julkisten palvelujen digitalisointi ja digitaalisen liiketoiminnan kasvuympäristön rakentaminen.

3

Esityksen tavoitteet ja keskeiset ehdotukset

Esityksen tavoitteena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi tietosuoja-asetuksen kanssa. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä esitetään eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista.

3.1

Henkilötietojen luovuttaminen ja salassapitosäännökset

Esityksessä ehdotetaan täsmennyksiä eräisiin tietojen salassapitoa ja tietojen luovuttamista koskeviin säännöksiin. Vakuutusyhtiölain 30 luvun 3 §:ä, työntekijän eläkelain 203 §:n 2 momenttia ja työtapaturma- ja ammattitautilain 255 §:n 4 momenttia ehdotetaan täsmennettäväksi siten, että säännösten sanamuodosta kävisi ilmi se, että henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälissä säädettäisiin ainoastaan poikkeuksesta kansallisiin salassapitosäännöksiin. Tietojen luovuttamisessa olisi aina varmistettava, että henkilötietojen käsittely ja luovutus ovat tietosuoja-asetuksen mukaisia. Lisäksi eräisiin tietojen luovuttamista koskeviin säännöksiin täsmennettäisiin, mihin käyttötarkoitukseen tietoja luovutetaan.

3.2

Suostumukseen perustuva henkilötietojen luovuttaminen

Esityksessä ehdotetaan, että eräistä nykyisin rekisteröidyn suostumukseen perustuvista henkilötietojen luovutuksista säädettäisiin laissa. Työeläkelakeihin otettaisiin säännökset, joiden perusteella kuntoutusasian ratkaisemisen sekä kuntoutuksen toteuttamisen kannalta välttämättömiä tietoja olisi oikeus luovuttaa niille laissa määritellyille tahoille, jotka ovat eri tavoin mukana hakemuksen ratkaisemisessa, kuntoutusmahdollisuuksien selvittelyssä ja kuntoutuksen toteuttamisessa. Lisäksi työeläkelakeihin lisättäisiin säännökset, joiden perusteella terveydenhuollon toimijoille voitaisiin luovuttaa työkyvyttömyyseläke- tai työuraeläkeasian käsittelyyn liittyviä tietoja, jos tietojen luovuttaminen on välttämätöntä eläkeasian ratkaisemiseksi. Työnantajalle voitaisiin kuitenkin luovuttaa terveydentilaa ja kuntoutuksen ennakkopäätöstä koskevia tietoja nykyiseen tapaan vain suostumuksen perusteella. Tapaturmavakuutuslaeissa ja Kansaneläkelaitoksen toimeenpanemia eläkkeitä ja kuntoutusta koskevissa laeissa olevia säännöksiä tietojen luovuttamisesta täsmennettäisiin siten, että ne vastaisivat edellä mainittuja työeläkelakeihin ehdotettuja säännöksiä. Lisäksi Kansaneläkelaitoksen toimeenpanemista etuuksista muun muassa kansaneläkkeen, työttömyysturvan ja asumistukien osalta säädettäisiin laissa tietojen saamisesta asian ratkaisemiseksi siltä osin kuin tietojen saaminen perustuu nykyisin suostumukseen.

Ehdotuksessa tarkoitettu henkilötietojen käsittely edellä mainituissa tilanteissa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan eli henkilötietojen käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lisäksi kun käsiteltävät henkilötiedot kuuluvat tietosuoja-asetuksen 9 artiklan mukaisiin erityisiin henkilötietoryhmiin käsittely perustuu mainitun artiklan 2 kohdan b alakohtaan, jonka mukaan erityisiä henkilötietoryhmiä koskeva käsittely on mahdollista, jos käsittely on tarpeen rekisterinpitäjän tai rekisteröidyn velvoitteiden ja erityisten oikeuksien noudattamiseksi työoikeuden, sosiaaliturvan ja sosiaalisen suojelun alalla, siltä osin kuin se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä tai jäsenvaltion lainsäädännön mukaisessa työehtosopimuksessa, jossa säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista.

3.3

Rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely

Rikostuomioihin ja rikkomuksiin liittyvää henkilötietojen käsittelyä koskeva säännös ehdotetaan lisättäväksi vakuutusyhtiölakiin ja ulkomaisista vakuutusyhtiöistä annettuun lakiin. Muutoksen tarkoituksena on, että vakuutusalan toimijat voisivat jatkaa väärinkäytösrekisterin käyttöä myös tietosuoja-asetuksen tullessa voimaan. Ehdotus vastaisi pääosin tietosuojalautakunnan myöntämän luvan sisältöä ja ehtoja. Koska asiasta säädettäisiin jatkossa vakuutusyhtiölaissa, myös ne vakuutusyhtiöt, jotka eivät ole hakeneet tietosuojalautakunnan lupaa rekisterin käytölle voisivat käyttää sitä. Väärinkäytösrekisterin käyttö voisi siten laajentua nykyiseen verrattuna. Muille sellaisille toimijoille, jotka eivät ole hakeneet lupaa tietosuojalautakunnalta, ei ehdoteta säädettäväksi oikeutta käyttää väärinkäytösrekisteriä, koska näillä toimijoilla ei arvioida olevan tärkeän yleisen edun mukaista tarvetta rikostietojen käsittelylle. Vakuutusyhdistysten osalta on otettu huomioon, että Suomessa toimii tällä hetkellä vain muutama vakuutusyhdistys, jotka kaikki harjoittavat ainoastaan kalastusvälineiden vakuuttamista.

Tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin liittyvien henkilötietojen käsittelyn salliminen jäsenvaltion lainsäädännössä edellyttää, että myös asianmukaisista suojatoimista rekisteröidyin oikeuksien ja vapauksien suojelemiseksi säädetään kansallisessa lainsäädännössä. Rekisteröidyn oikeusturvan takaamiseksi merkintä väärinkäytösrekisteriin voitaisiin tehdä vasta kun rekisteröitävästä väärinkäytöksestä on ilmoitettu poliisille, muulle esitutkintaviranomaiselle tai syyttäjälle. Rekisteröidyn oikeuksien turvaamiseksi laissa säädettäisiin, että merkintä väärinkäytösrekisteristä olisi poistettava viiden vuoden kuluessa merkinnän tekemisestä. Rekisteröidyn oikeuksia turvaa myös se, että vakuutuslaitoksen palveluksessa oleville on laissa säädetty salassapitovelvollisuus. Vakuutustoiminnan harjoittaminen on luvanvaraista, tarkkaan säädeltyä ja valvottua.

Ehdotettu sääntely täyttäisi siten tietosuoja-asetuksen vaatimuksen asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.

Vastaava säännös ehdotetaan lisättäväksi myös luottolaitostoiminnasta annettuun lakiin.

3.4

Rekisteröidyn oikeus käsittelyn rajoittamiseen

Sosiaalivakuutuslainsäädäntöön ja muihin lakisääteisiä etuuksia koskeviin lakeihin ehdotetaan lisättäväksi säännökset, joilla poikettaisiin tietosuoja-asetuksen 18 artiklan mukaisesta oikeudesta käsittelyn rajoittamiseen. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajoittaminen koskisi tietosuoja-asetuksen 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä. Ilman oikeuden rajaamista rekisteröity voisi viivästyttää lakisääteisen asian käsittelyä tai estää käsittelyn kokonaan kiistämällä toistuvasti henkilötietojen paikkansapitävyys.

Käsittelyn rajoittaminen tarkoittaa sitä, että esimerkiksi etuuksia koskevia päätöksiä ei voida antaa ennen kuin rekisterinpitäjä voi varmistaa tietojen paikkansapitävyyden. Rekisterinpitäjä voi kuitenkin tällaisessa tilanteessa käsitellä henkilötietoja 18 artiklan 2 kohdan nojalla rekisteröidyn suostumuksella. Siten jos etuuspäätöksen antaminen on välttämätöntä esimerkiksi rekisteröidyn toimeentulon turvaamiseksi, on päätös mahdollista tehdä rekisteröidyn suostumuksella. Tietosuoja-asetuksen 18 artiklan 2 kohta mahdollistaa henkilötietojen käsittelyn myös tilanteissa, joissa henkilötietoja käsitellään toisen luonnollisen henkilön tai oikeushenkilön oikeuksien suojaamiseksi tai tärkeää unionin tai jäsenvaltion yleistä etua koskevista syistä.

Oikeus käsittelyn rajoittamiseen voi kuitenkin estää päätösten antamisen, jos rekisteröity ei anna henkilötietojen käsittelyyn suostumusta, eikä päätöksen antaminen olisi välttämätöntä toisen henkilön oikeuksien suojaamiseksi. Käsittelyn rajoittaminen voi tällöin estää kielteisen päätöksen antamisen kuten etuuden lakkauttamisen tai virheellisen päätöksen korjaamisen. Käsittelyn rajoittaminen voi myös haitata etuuksien ensisijaisuusjärjestyksen toteutumista esimerkiksi eri korvausjärjestelmien välisessä suhteessa tai viimesijaisten etuuksien kuten takuueläkkeen tai toimeentulotuen käsittelyssä. Jos rekisteröidyn vaatimus henkilötietojen korjaamisesta on ilmeisen perusteeton, on perusteltua, että henkilötietoja voidaan lakisääteisessä toiminnassa vaatimuksesta huolimatta käsitellä.

Rekisteröidyn oikeusturva on taattu hallintolailla, muutoksenhakuoikeudella ja muilla menettelyä koskevilla säännöksillä. Lakisääteisestä tehtävää hoidettaessa on noudatettava hallintolakia, joka edellyttää, että toimeenpanijan on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Käsiteltävä asia on selvitettävä perusteellisesti ja on noudatettava annettuja säännöksiä ja määräyksiä. Etuudenhakijalla on aina muutoksenhakuoikeus lakisääteistä etuutta koskevasta päätöksestä. Jos etuudenhakija katsoo, että päätös ei ole lainmukainen, voi hän saattaa asian muutoksenhakuelimen tutkittavaksi. Sosiaalivakuutusasioissa on myös mahdollista hakea lainvoimaisen päätöksen poistoa, jos päätös perustuu virheelliseen tai puutteelliseen selvitykseen taikka on ilmeisesti lainvastainen. Lisäksi vakuutuslaitos voi aina oikaista lainvoimaisen päätöksen etuudenhakijan eduksi, jos asiassa ilmenee myöhemmin uutta selvitystä. Rekisteröidyn oikeuden rajoittaminen ei siten vaarantaisi etuudenhakijoiden oikeusturvaa. Oikeuden rajoittamista voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä sosiaaliturvan takaamiseksi tietosuoja-asetuksen 23 artiklan 1 kohdan e kohdassa tarkoitetulla tavalla. Rekisteröidyn oikeuden rajaaminen ei poistaisi rekisterinpitäjän velvollisuutta selvittää rekisteröidyn väitettä henkilötietojen paikkansapitävyydestä. Tietosuoja-asetuksen 16 artiklan perusteella rekisterinpitäjän on oikaistava rekisteröityä koskevat epätarkat ja virheelliset henkilötiedot ilman aiheetonta viivytystä.

3.5

Automaattiset päätökset

Sosiaaliturva- ja vakuutuslainsäädäntöön ehdotetaan lisättäväksi säännökset automaattisten päätösten antamisesta. Tietosuoja-asetuksen 22 artiklan perusteella pelkästään automaattiseen käsittelyyn perustuvien päätösten tekeminen on sallittua vain, jos se on välttämätöntä rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täytäntöönpanoa varten, perustuu rekisteröidyn nimenomaiseen suostumukseen tai jos automaattiset päätökset ovat hyväksytty jäsenvaltion lainsäädännössä. Tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan nojalla automaattisten päätösten antaminen sallittaisiin vakuutustoiminnassa ja lakisääteisten sosiaaliturvan toimeenpanossa. Kansallisella sääntelyllä mahdollistettaisiin se, että vakuutuslaitokset voisivat tehdä automatisoituja päätöksiä muutenkin, kuin rekisteröidyn nimenomaisella suostumuksella tai silloin kun se on välttämätöntä sopimuksen tekemistä tai täytäntöönpanoa varten. Säännökset mahdollistaisivat sen, että tulevaisuudessa tietotekniikkaa ja sähköisiä menettelytapoja olisi mahdollista hyödyntää nykyistä enemmän, siltä osin kuin se on asioiden laatuun ja laajuuteen nähden tarkoituksenmukaista ottaen huomioon hyvän hallinnon vaatimukset ja perusoikeuksien toteutumisen.

Automaattisen päätöksenteon avulla on mahdollista tehostaa ratkaisutoimintaa ja kohdentaa henkilöresursseja rutiinitehtävien tekemisestä harkintaa vaativaan ratkaisutoimintaan ja asiakaspalveluun. Selkeissä ja yksinkertaisissa asioissa automaattinen käsittely voi olla tehokkaampaa ja tarkempaa kuin asioiden käsittely työntekijöiden toimesta. Automaattinen käsittely mahdollistaa asioiden nopean käsittelyn ja automaattisessa käsittelyssä inhimillisen virheen riski poistuu lähes kokonaan. Automaattinen käsittely voidaan toteuttaa siten, että se keskeytyy ja käsittely siirtyy käsittelijälle tiettyjen määriteltyjen seikkojen toteutuessa. Automaattisessa käsittelyssä on esimerkiksi mahdollista määritellä hylkäävien päätösten antaminen vain melko rajoitettuihin tilanteisiin.

Voimassa oleva kansallinen lainsäädäntö on kuitenkin otettava huomioon, kun arvioidaan sitä, kuinka pitkälti ratkaisutoimintaa voidaan automatisoida. Jos käsiteltävässä asiassa on kyse julkisen hallintotehtävän hoitamisesta, on vakuutuslaitoksen otettava huomioon hyvän hallinnon vaatimukset ja erityislainsäädännössä olevat menettelysäännökset. Hallintolaki muun muassa edellyttää, että vakuutuslaitoksen on perusteltava päätöksensä sekä huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Hallintolaissa säädetään myös asianosaisen kuulemisesta. Päätösten perustelemisesta on tarkentavia säännöksiä myös etuuslaeissa. Lakisääteisten vakuutusten toimeenpanossa tulee aina noudattaa hyvän hallinnon vaatimuksia ja toteuttaa hakijoiden oikeusturvaa. Julkista hallintotehtävää hoidettaessa on otettava huomioon myös virkavastuusäännökset, eikä päätösten automatisointi saa muuttaa päätöksenteosta vastuullista tahoa. Asioissa, joissa päätöksen tekeminen edellyttää harkintavallan käyttöä, on vakuutuslaitoksen ratkaisua tehdessään otettava huomioon kaikki asian kannalta merkitykselliset tosiasiat ja näkökohdat. Kokonaisharkintaa käytettäessä ratkaisu ei siten voi perustua täysin kaavamaiseen päätöksentekoon. Automaattinen päätöksenteko olisi mahdollista asioissa, joissa oikeudelliset edellytykset ja tosiseikasto ovat riittävän yksiselitteisiä, eikä asian ratkaiseminen edellytä tapauskohtaista harkintaa.

Lakisääteisessä toiminnassa automaattiset päätökset olisivat siten käytännössä sallittuja siltä osin kuin ne ovat asioiden laatuun ja laajuuteen nähden mahdollisia. Lainsäädännössä on mahdotonta yksityiskohtaisesti säätää niistä asiaryhmistä, joissa päätöksiä voidaan tehdä automaattisesti, sillä tietotekniikan kehitys voi laajentaa automaattisen käsittelyn käyttöalaa. Tulevaisuudessa esimerkiksi tekoälyn avulla voi olla mahdollista tehdä automaattisia päätöksiä oikeusturvan vaarantumatta myös sellaisissa asioissa, joissa päätöksenteko ei vielä nykytekniikalla ole mahdollista.

Yksityisvakuutusta koskeva automaattinen päätöksenteko olisi sallittua. Vakuutusyhtiö voisi lähtökohtaisesti tehdä automaattisia päätöksiä niissä asiaryhmissä, joissa se katsoo automaattisen päätöksenteon tarkoituksenmukaiseksi. Vakuutusyhtiöiden on kuitenkin myös automaattisten päätösten suhteen huomioitava hyvä vakuutustapa sekä vakuutettujen yhdenvertainen kohtelu.

Automaattisten päätösten teko olisi tietyin edellytyksin mahdollista myös silloin, kun päätökset perustuvat tietosuoja-asetuksen 9 artiklan mukaisiin henkilötietoryhmiin kuuluviin tietoihin, kuten terveydentilaa koskeviin tietoihin. Tietosuoja-asetuksen 22 artiklan 4 kohdan mukaan automaattiset päätökset voivat perustua erityisiin henkilötietoryhmiin vain silloin, kun käsittely perustuu 9 artiklan 2 kohdan a alakohtaan eli rekisteröidyn suostumukseen tai g alakohtaan eli käsittely on tarpeen yleistä etua koskevasta syystä. Tietosuoja-asetuksessa yleistä etua koskevina syinä on mainittu 23 artiklassa muun muassa sosiaaliturva sekä siihen liittyvät valvonta-, tarkastus- tai sääntelytehtävät. Tietosuoja-asetuksen johdanto-osan kappaleessa 52 on 9 artiklaan liittyen todettu, että henkilötietojen erityisryhmien käsittelykiellosta on mahdollista poiketa esimerkiksi sosiaalista suojelua koskevan lainsäädännön aloilla eläkkeet mukaan luettuina.

Ratkaisutoiminnan kannalta välttämättömien terveydentilatietojen käsittely vakuutuslaitoksissa on tarpeen tärkeästä yleistä etua koskevasta syystä, ja uuteen tietosuojalakiin on tällä perusteella ehdotettu säännöstä vakuutuslaitosten oikeudesta terveydentilatietojen käsittelyyn. Säännöksen mukaan tietosuoja-asetuksen 9 artiklan 1 kohdan mukaista käsittelykieltoa ei sovelleta vakuutuslaitoksen käsitellessä vakuutustoiminnassa saatuja tietoja vakuutetun ja korvauksenhakijan terveydentilasta, sairaudesta tai vammaisuudesta taikka sellaisista häneen kohdistetuista hoitotoimenpiteistä tai niihin verrattavista toimista, jotka ovat tarpeen vakuutuslaitoksen vastuun selvittämiseksi. Terveydentilaa koskeviin tietoihin perustuvia automaattisia päätöksiä olisi mahdollista tehdä tilanteissa, joissa käsittelyn oikeudellinen peruste on edellä mainittu tietosuojalain säännös, jos päätöksen antaminen on muutoinkin asian laatu ja laajuus huomioon ottaminen mahdollista. Sosiaalivakuutuksen toimeenpanossa vakuutuslaitoksen on otettava huomioon se, että joissain etuuslaeissa on säännökset siitä, että asiantuntijalääkärin on osallistuttava lääketieteellisiä kysymyksiä sisältävien asioiden ratkaisuun. Tällainen säännös on esimerkiksi työntekijän eläkelain 40 §:ssä, jonka mukaan laillistetun lääkärin on osallistuttava työkyvyttömyys- ja kuntoutusasioiden sekä muiden lääketieteellisiä kysymyksiä sisältävien asioiden valmisteluun ja merkittävä perusteltu arvionsa asiakirjoihin. Säännös estää lääketieteellisiä kysymyksiä sisältävien asioiden ratkaisemisen pelkästään automaattisessa käsittelyssä.

Terveydentilatietoja käsiteltäessä ja niihin perustuvia automaattisia päätöksiä tehtäessä rekisterinpitäjän ja henkilötietojen käsittelijän on aina noudatettava asianmukaisia ja erityisiä toimenpiteitä rekisteröidyn oikeuksien suojaamiseksi. Tietosuojalaissa on ehdotettu säädettäväksi lista sellaisista toimenpiteistä, joita asianmukaiset ja erityiset toimenpiteet voisivat sisältää. Laissa mainittuja toimenpiteitä olisivat esimerkiksi tietosuojavastaavan nimittäminen, toimenpiteet, joilla käsittelyjärjestelmien ja henkilötietojen käsittelyyn liittyvien palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisiin taataan, tietosuoja-asetuksen 35 artiklan mukainen tietosuojaa koskevan vaikutustenarvioinnin laatiminen sekä muut menettelylliset ja organisatoriset toimenpiteet.

Tietosuoja-asetuksen 22 artiklan mukaan, jos kansallisessa lainsäädännössä sallitaan automaattiset päätökset, on lainsäädännössä vahvistettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi. Kansallisen lainsäädännön voidaan katsoa sisältävän tällaiset asianmukaiset toimenpiteet, sillä vakuutustoiminta ja sosiaaliturvan toimeenpano on Suomessa valvottua ja yksityiskohtaisesti säänneltyä toimintaa. Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla.

Sosiaalivakuutuksen toimeenpano on lailla annettu itsenäisten julkisoikeudellisten laitosten ja yksityisten vakuutuslaitosten tehtäväksi. Julkista hallintotehtävää hoidettaessa toimeenpanossa on noudatettava hallintolakia, jonka tarkoituksena on toteuttaa ja edistää hyvän hallinnon ja oikeusturvan toteutumista. Oikeussuojan antamiseksi on käytössä kaksiportainen muutoksenhakujärjestelmä. Vakuutuslaitoksen päätöksestä haetaan aluksi muutosta muutoksenhakulautakunnalta, jonka päätökseen voi edelleen hakea muutosta vakuutusoikeudelta. Sosiaalivakuutuksessa on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin päätöksen tehneelle vakuutuslaitokselle. Vakuutuslaitos tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi. Automaattisen päätöksen saaneella on siten aina oikeus saattaa päätöksen lainmukaisuus ihmisen tutkittavaksi. Varsinaisen muutoksenhaun lisäksi sosiaalivakuutuksen toimeenpanossa on käytettävissä myös muita keinoja puuttuja mahdolliseen virheelliseen päätökseen. Laissa on säädetty muun muassa kirjoitus- ja laskuvirheen korjaamisesta sekä etuudenhakijan mahdollisuudesta esittää uutta selvitystä. Lakisääteisten vakuutusten toimeenpanijoiden toiminnan laillisuutta valvovat myös eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri, joille voi tehdä kantelun vakuutuslaitoksen toiminnasta.

Vakuutustoiminnan harjoittaminen on luvanvaraista. Finanssivalvonta myöntää vakuutusyhtiöille toimiluvat ja valvoo vakuutusalan palveluntarjoajia. Valvonta kattaa asiakassuhteissa noudatettavien menettelytapojen valvonnan. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi ratkaisusuosituksia vapaaehtoisia vakuutuksia koskeviin erimielisyyksiin antavat vakuutuslautakunta ja kuluttajariitalautakunta, liikennevahinkoja koskien liikennevahinkolautakunta ja potilasvakuutusta koskien potilasvahinkolautakunta. Lautakuntien käsittely on maksutonta. Rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi yksityisvakuutusta koskevassa lainsäädännössä säädettäisiin rekisteröidyn oikeudesta vaatia, että luonnollinen henkilö käsittelee asian uudelleen.

Tietosuoja-asetuksen 35 artikla edellyttää, että rekisterinpitäjän on tehtävä tietosuojaa koskeva vaikutustenarviointi, jos tietyntyyppinen käsittely etenkin uutta teknologiaa käytettäessä todennäköisesti aiheuttaa luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin. Artiklan 3 kohdan mukaan vaikutuksenarviointi vaaditaan erityisesti, jos kyseessä on luonnollisten henkilöiden henkilökohtaisten ominaisuuksien järjestelmällinen ja kattava arviointi, joka perustuu automaattiseen käsittelyyn, kuten profilointiin, ja johtaa päätöksiin, joilla on luonnollista henkilöä koskevia oikeusvaikutuksia tai jotka vaikuttavat luonnolliseen henkilöön vastaavalla tavalla merkittävästi. Vaikutustenarviointi vaaditaan myös erityisesti tapauksissa, joissa kyseessä on laajamittainen käsittely, joka kohdistuu 9 artiklan 1 kohdassa tarkoitettuihin erityisiin henkilötietoryhmiin tai 10 artiklassa tarkoitettuihin rikostuomioita ja rikkomuksia koskeviin tietoihin.

Erityisten henkilötietoryhmien osalta on vielä syytä todeta, että julkisuuslain 24 §:n 1 momentin 25 kohdan perusteella asiakirjat, jotka sisältävät tietoja henkilön terveydentilasta tai vammaisuudesta taikka hänen saamastaan terveydenhuollon ja kuntoutuksen palvelusta, ovat salassa pidettäviä. Julkisuuslakia sovelletaan julkista tehtävää hoitaviin yhteisöihin niiden käyttäessä julkista valtaa. Yksityisvakuutuksen osalta vakuutusyhtiölain 30 luvun 1 §:ssä on säädetty salassapitovelvollisuudesta, joka koskee muun muassa terveydentilaa koskevia tietoja.

4

Esityksen vaikutukset

Esityksellä ei ole merkittäviä valtiontaloudellisia vaikutuksia tai muita yhteiskunnallisia vaikutuksia. Tietosuojalainsäädännön uudistukseen liittyvät vaikutukset seuraavat suoraan yleisestä tietosuoja-asetuksesta. Esityksellä pyritään saattamaan sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi tietosuoja-asetuksen kanssa.

4.1

Vaikutukset viranomaistoimintaan

Esityksessä ehdotetut muutokset helpottaisivat sosiaaliturvan toimeenpanoa. Tietojen luovuttaminen etuusasioissa olisi yksinkertaisempaa, kun tietyissä tietojenluovutusasioissa luovuttaisiin suostumusten pyytämisestä, ja tietojen käyttö perustuisi jatkossa suoraan lakiin. Suostumuksen käyttö olisi tietosuoja-asetuksen myötä hyvin hankalaa, ja jos suostumustakaan ei voitaisi käyttää, tulisi etuudenhakijan itse toimittaa samoja tietoja eri tahoille useaan kertaan. Automaattisten päätösten hyödyntäminen sosiaaliturvan toimeenpanossa tehostaisi toimeenpanoa ja vapauttaisi työntekijöiden resursseja rutiiniluonteisista tehtävistä vaativampiin työtehtäviin ja esimerkiksi asiakaspalveluun.

Esityksessä on ehdotettu, että sosiaaliturvan toimeenpanossa rekisteröidylle ei tulisi tietosuoja-asetuksen 18 artiklan mukaista oikeutta siihen, että henkilötietojen käsittelyä rajoitetaan, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Säännöksen tarkoituksena olisi estää toiminta, jossa rekisteröity perusteettomasti pyrkisi keskeyttämään lakisääteisen toiminnan vetoamalla oikeuteen rajoittaa käsittelyä.

4.2

Yritysvaikutukset

Mahdollisuus tehdä automaattisia päätöksiä vakuutustoiminnassa mahdollistaa toimintojen tehostamisen ja resurssien siirtämisen esimerkiksi uusien palvelujen ja palvelukanavien kehittämiseen.

Vakuutusalan väärinkäytösrekisteristä säätäminen mahdollistaisi sen, että vakuutusyhtiöt voisivat edelleen jakaa toisille vakuutusyhtiöille tietoa väärinkäytöksistä mahdollisten tulevien väärinkäytösten ehkäisemiseksi ja väärinkäytösten selvittämiseksi. Väärinkäytösrekisterin käyttö voi ehdotuksen myötä laajentua myös niihin vakuutusyhtiöihin, jotka eivät ole hakeneet tietosuojalautakunnan lupaa väärinkäytösrekisterin käytölle. Tällä hetkellä Suomessa toimii 47 vahinkovakuutusyhtiötä ja 15 henkivakuutusyhtiötä. Tietosuojalautakunnan lupa on myönnetty 30 vahinkovakuutusyhtiölle ja Liikennevakuutuskeskukselle. Jos rekisterien käyttäminen ei olisi enää mahdollista tietosuoja-asetuksen myötä, voisi väärinkäytöksistä aiheutuvien taloudellisten vahinkojen määrä vakuutusyhtiöille kasvaa.

4.3

Vaikutukset kansalaisiin

Esityksessä ehdotetaan tietosuoja-asetuksen säännöksistä poikkeamista henkilötietojen käsittelyn rajoittamisen ja automaattisten päätösten osalta. Rekisteröidyllä ei olisi lakisääteisissä sosiaaliturva-asioissa oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus henkilötietojen paikkansapitävyydestä on ilmeisen perusteeton. Rajoitus on katsottu demokraattisessa yhteiskunnassa välttämättömäksi ja oikeasuhtaiseksi toimenpiteeksi. Rekisteröidyllä on lakisääteisessä sosiaaliturvassa turvanaan monenlaisia oikeusturvakeinoja, eikä rekisteröidyn oikeusturva siten vaarannu oikeuden rajaamisen johdosta.

Automaattisten päätösten käyttäminen olisi sallittua sosiaaliturva- ja vakuutustoiminnassa. Kansallinen lainsäädäntö asettaa päätösten automatisoinnille rajat, ja toiminta on säänneltyä ja valvottua, joten rekisteröityjen oikeusturvan ei voida katsoa vaarantuvan automaattisten päätösten johdosta.

Esityksessä ehdotetut muutokset helpottavat vakuutustoimintaa ja sosiaaliturvan toimeenpanoa. Ratkaisutoiminnan tehostuminen on rekisteröityjen eduksi, jos etuuksien ja korvausten käsittelyajat lyhenevät. Toiminnan tehostumisella voi olla myönteinen vaikutus myös vakuutusmaksujen alenemisen kautta.

5

Asian valmistelu

Esitys on valmisteltu virkatyönä sosiaali- ja terveysministeriössä. Sosiaali- ja terveysministeriö lähetti luonnoksen hallituksen esitykseksi lausunnoille 13 päivänä joulukuuta 2017. Lausuntoja tuli yhteensä 24 kappaletta. Lausunnoista on tehty yhteenveto, joka on luettavissa valtioneuvoston hankeikkunassa.

Lausuntokierroksen jälkeen esitystä on täsmennetty saadun lausuntopalautteen johdosta. Jatkovalmistelussa on otettu myös huomioon hallituksen esitys eduskunnalle tietosuojalaiksi HE 9/2018 vp, joka on annettu eduskunnalle 1 päivänä maaliskuuta 2018.

Lähes kaikki lausunnonantajat suhtautuivat yleisellä tasolla myönteisesti esitykseen ja useat esitystä kannattaneet lausunnonantajat pitivät yhtä kokonaisesitystä sosiaaliturva- ja vakuutuslainsäädännön alalla hyvänä. Useissa lausunnoissa muutoksia sosiaaliturva- ja vakuutuslainsäädäntöön johdosta pidettiin välttämättöminä. Monet lausunnonantajat kuitenkin toivat esille vaihtoehtoisia pykäläehdotuksia oman toimialansa sääntelyn osalta tai huomauttivat, että ehdotettujen muutosten lisäksi niiden toimialalla on muita muutosta edellyttäviä säännöksiä, joita ei esityksessä ole otettu huomioon.

Useissa lausunnoissa esitettiin näkemyksiä automaattisia päätöksiä koskevista säännösehdotuksista. Useat vakuutusalan toimijat ja sosiaaliturvan toimeenpanosta vastaavat organisaatiot ilmaisivat kannattavansa ehdotettuja säännöksiä sellaisenaan ja pitävänsä niitä tärkeinä toimeenpanon kannalta. Lausunnoissa myös ehdotettiin, että automaattisia päätöksiä koskeva säännös lisättäisiin eräisiin muihinkin lakeihin kuin mitä luonnoksessa oli ehdotettu. Finanssivalvonta, Oikeusministeriö, palkansaajakeskusjärjestöt ja valtiovarainministeriö kiinnittivät lausunnoissaan huomiota siihen, että sääntelyä tulisi täsmentää ja automaattipäätösten reunaehdot tulisi määritellä tarkemmin laissa. Automaattisia päätöksiä koskevia säännöksiä ja niiden perusteluja on lausuntojen perusteella täsmennetty. Automaattisia päätöksiä koskeva säännös on lisätty liikennevakuutuslakiin, potilasvahinkolakiin, työtapaturma- ja ammattitautilakiin, vakuutuskassalakiin ja opintotukilakiin.

Useat lausunnonantajat pitivät perusteltuna ehdotusta, jonka mukaan rekisteröidyllä ei olisi oikeutta rajoittaa henkilötietojen käsittelyä siltä osin kuin kyse on laissa säädetyn tehtävän hoitamisesta. Oikeusministeriö ja palkansaajakeskusjärjestöt toivat kuitenkin esille, että rajoituksen tarkkarajaisuutta tulisi jatkovalmistelussa vielä arvioida. Jatkovalmistelussa rajoituksen soveltamisalaa on kavennettu koskemaan vain tilanteita, joissa rekisteröidyn vaatimus on ilmeisen perusteeton.

Rikostuomioihin ja rikkomuksiin liittyvän henkilötietojen käsittelyn osalta useat lausunnonantajat kannattivat väärinkäytösrekisteriä koskevan toiminnan mahdollistamista. Rekisteriä koskevaan säännökseen ehdotettiin kuitenkin monenlaisia täsmennyksiä, jotka on mahdollisuuksien mukaan otettu huomioon. Esitystä on täsmennetty muun muassa rekisteriin merkittävien tietojen osalta. Lisäksi monet vakuutusalan toimijat toivat esille tarpeen päästä hyödyntämään väärinkäytösrekisteriä. Jatkovalmistelussa päädyttiin siihen, että rekisterin käyttö sallittaisiin ainoastaan vakuutusyhtiöille ja Liikennevakuutuskeskukselle, joka on saanut tietosuojalautakunnan luvan rikostietojen käsittelylle. Tällä halutaan varmistaa se, että arkaluontoisia rikostietoja käsittelevät vain sellaiset tahot, jotka tosiasiallisesti pystyvät käyttämään tietoja rikosten ehkäisemiseen. Valtiovarainministeriön pyynnöstä esitykseen on lisätty ehdotus luottolaitosten väärinkäytösrekisteriä koskevaksi pykäläksi.

Useissa lausunnoissa todettiin, että on kannatettavaa korvata suostumukseen perustuva henkilötietojen käsittely lakiin perustuvalla oikeudella työkyvyttömyys- ja kuntoutusasioissa. Palkansaajakeskusjärjestöt kuitenkin totesivat, että vakuutuslaitoksista suoraan työnantajalle tapahtuvaa tietojen luovutusta ei tule säätää etuuslaeissa. Säännöksiä on lausuntokierroksen jälkeen muutettu siten, että terveydentilaa koskevia tietoja ei voida antaa työnantajalle ilman suostumusta. Lisäksi säännösten sanamuotoa on lausuntopalautteen johdosta täsmennetty.

Tietosuojavaltuutetun toimisto totesi lausunnossaan vakuutusyhtiölain 30 luvun 3 §:ään ja muihin vastaaviin säännöksiin liittyen, että esityksen yksityiskohtaisissa perusteluissa tulisi kuvata, mitä säännöksen muotoilulla ”jollei yleisestä tietosuoja-asetuksesta muuta johdu” tavoitellaan. Lisäksi tietosuojavaltuutetun toimisto kiinnitti huomiota siihen, että tietojen luovuttaminen mainitun pykälän1 momentin 7 kohdan mukaisiin tarkoituksiin edellyttää myös sen varmistamista, että tiedot saavalla taholla on lainmukainen käsittelyperuste, joka ilmenee lainsäädännöstä kuten tietosuoja-asetuksesta ja tietosuojalaista. Lausunnon mukaan tästä voisi olla hyvä lisätä maininta lainkohdan perusteluihin. Tietosuojavaltuutetun toimisto myös ehdotti, että vakuutusedustuksesta annetun lain 36 §:n perusteluissa kerrottaisiin muun muassa rajoituksen 23 artiklan mukaisuudesta. Edellä mainittujen pykälien perusteluja on lausunnon perusteella täsmennetty.

Opetus- ja kulttuuriministeriö ehdotti lausunnossaan opintotukilain sisällyttämistä hallitukseen esitykseen, minkä vuoksi siihen on lisätty myös esitys opintotukilain muuttamiseksi.

6

Riippuvuus muista esityksistä

Samanaikaisesti tämän esityksen kanssa eduskunnassa on käsiteltävänä hallituksen esitys eduskunnalle EU:n yleistä tietosuoja-asetusta täydentäväksi yleiseksi lainsäädännöksi (HE 9/2018 vp). Esitys sisältää ehdotuksen tietosuojalaiksi, joka olisi kansallinen yleislaki henkilötietojen käsittelystä. Jos ehdotettua tietosuojalakia muutetaan eduskuntakäsittelyn aikana, voi muutoksilla olla heijastusvaikutuksia tässä esityksessä ehdotettuihin lakimuutoksiin.

Samanaikaisesti tämän esityksen kanssa eduskunnassa on käsiteltävänä hallituksen esitys eduskunnalle laiksi vakuutusten tarjoamisesta sekä eräiksi siihen liittyviksi laeiksi (HE 172/2017). Esityksellä kumottaisiin voimassa oleva vakuutusedustuksesta annettu laki ja säädettäisiin uusi laki vakuutusten tarjoamisesta. Lait ovat tarkoitetut tulemaan voimaan 23 päivänä helmikuuta 2018. Lainsäädännön voimaantuloa lienee kuitenkin tarpeen lykätä, koska sitä koskevien komission delegoitujen asetusten antaminen on viivästynyt. Todennäköinen voimaantulopäivä on 23 päivänä lokakuuta 2018. Koska tietosuoja-asetuksen soveltaminen alkaa jo 25 päivänä toukokuuta 2018, tässä yhteydessä on tarpeen muuttaa myös vakuutusten tarjoamista koskevalla lainsäädännöllä korvattavaa vakuutusedustuksesta annettua lakia.

Samanaikaisesti tämän esityksen kanssa eduskunnassa on käsiteltävänä hallituksen esitys eduskunnalle laeiksi Koulutusrahastosta annetun lain kumoamisesta sekä aikuiskoulutustuesta annetun lain ja työttömyysetuuksien rahoituksesta annetun lain muuttamisesta. Esityksellä voi olla vaikutusta tässä esityksessä ehdotettuihin muutoksiin aikuiskoulutustuesta annettuun lakiin, työttömyysetuuksien rahoituksesta annettuun lakiin ja Koulutusrahastosta annettuun lakiin.

YKSITYISKOHTAISET PERUSTELUT

1

Lakiehdotusten perustelut

1.1

Elatustukilaki

38 §Rekisteröidyn oikeuden rajaaminen.. Pykälässä nykyisin oleva säännös Kansaneläkelaitoksen ilmoitusvelvollisuudesta ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava elatustuen hakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten elatustukilaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Näin ollen myös pykälän otsikkoa ehdotetaan muutettavaksi. Pykälässä säädettäisiin jatkossa rekisteröidyn oikeuden rajaamisesta. Uudistettu pykälä vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain kohdalla on todettu.

1.2

Eläkesäätiölaki

70 §. Pykälässä säädetään Finanssivalvonnan ylläpitämästä eläkesäätiörekisteristä, siihen tehtävistä merkinnöistä sekä siitä luovutettavista tiedoista. Rekisteriin merkittävät tiedot ovat henkilötietoja siltä osin kuin ne koskevat eläkesäätiön hallituksen ja hallintoneuvoston jäsentä sekä sellaista henkilöä, jolla on oikeus eläkesäätiön nimen kirjoittamiseen. Edellä mainituista henkilöistä rekisteriin merkitään henkilötietoina täydellinen nimi, henkilötunnus, osoite ja kansalaisuus. Jos henkilöllä ei ole suomalaista henkilötunnusta, merkitään rekisteriin syntymäaika. Rekisterin ylläpitäminen on Finanssivalvonnan lakisääteinen velvoite. Näin ollen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, eli käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.

Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa täsmennettäisiin henkilötietojen luovuttamista rekisteristä. Tietoja voidaan pykälän mukaan luovuttaa julkisuuslain 16 §:n 3 momentin estämättä sähköisessä muodossa myös silloin, kun luovutuksensaajalla ei ole henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Siltä osin kun kyse olisi henkilötunnuksen tunnusosasta ja ulkomailla asuvan luonnollisen henkilön kotiosoitteesta luovutetaan tieto rekisteristä vain, jos luovutuksensaajalla on henkilötietojen suojaa koskevien säännösten mukaan oikeus tallettaa ja käyttää sellaisia henkilötietoja. Muutoin ulkomailla asuvan luonnollisen henkilön kotiosoitteen sijasta luovutetaan tieto henkilön asuinmaasta. Momentti vastaa asiallisesti kaupparekisterilain 1 a §:ää.

71 §. Pykälän 2 momenttia muutettaisiin siten, että jatkossa luonnollisista henkilöistä merkittäisiin kotiosoitteen sijaan kotikunta. Ulkomailla asuvista luonnollisista henkilöistä kotikunnan sijasta rekisteriin merkittäisiin kotiosoite. Ehdotus vastaa kaupparekisteriin luonnollisista henkilöistä merkittäviä tietoja. Kotiosoitteen keräämisestä luopuminen on perusteltua myös tietosuoja-asetuksen tietojen minimointia koskevan periaatteen kannalta.

132 c §. Pykälässä säädettäisiin eläkesäätiön oikeudesta luovuttaa tietoja 132 §:ssä säädetyn salassapitovelvollisuuden estämättä.

Pykälän 1 momentissa säädettäisiin niistä tarkoituksista, joihin tietoja voidaan luovuttaa. Momentin 1 ja 2 kohdat vastaisivat voimassa olevaa lakia.

Voimassa olevan 1 momentin 3 kohdan mukaan eläkesäätiöllä on oikeus luovuttaa vaitiolovelvollisuuden piiriin kuuluvia tietoja eläkesäätiöön kohdistuneista rikoksista sekä siltä haetuista etuuksista toiselle vakuutuslaitokselle, jos tämä on tarpeen vakuutuslaitoksiin kohdistuvan rikollisuuden ehkäisemiseksi ja jos tietosuojalautakunta on antanut tietojenkäsittelyyn henkilötietolaissa tarkoitetun luvan. Eläkesäätiöt eivät ole hakeneet tietosuojalautakunnan lupaa tietojen luovuttamiseen eläkesäätiöltä haetuista etuuksista ja siihen kohdistuneista rikoksista, eikä tietosuojalautakunnan luvan hakeminen jatkossa olisi mahdollista. Koska lupaa ei ole toistaiseksi haettu, ei lainkohtaan perustuvaa henkilötietojen käsittelyä voida pitää eläkesäätiöiden osalta yleisen edun takia tarpeellisena eikä siitä jatkossa ehdoteta säädettävän. Pykälän 1 momentin 3 kohdassa ehdotetaan jatkossa säädettävän eläkesäätiön oikeudesta luovuttaa tietoja vakuutusalan lautakunnalle tai vastaavalle toimielimelle sinne käsiteltäväksi saatetun asian hoitamista varten vastaavasti kuin vakuutuskassalain 165 c §:n 3 kohdassa. Eläkesäätiöllä olisi oikeus luovuttaa tietoja vakuutusalan lautakunnalle tai toimielimelle, joka on kuluttajariitojen vaihtoehtoisesta riidanratkaisusta sekä asetuksen (EY) N:o 2006/2004 ja direktiivin 2009/22/EY muuttamisesta annetun Euroopan parlamentin ja neuvoston direktiivin 2013/11/EU 20 artiklan 2 kohdan mukaisesti ilmoitettu Euroopan komissiolle. Tietoja saa tämän kohdan nojalla luovuttaa lautakuntaan tai toimielimeen saatetun asian käsittelemistä varten. Käytännössä kohta mahdollistaa tietojen luovuttamisen Vakuutus- ja rahoitusneuvonta FINE:lle sekä sen yhteydessä toimivalle vakuutuslautakunnalle, joka antaa ratkaisusuosituksia koskien lisäeläke-etuuksia. Muutoksenhausta lakisääteistä työeläkevakuutusta koskien säädetään työntekijän eläkelaissa.

Pykälän 1 momentin 4 kohdassa säädetään eläkesäätiön oikeudesta sosiaali- ja terveysministeriön luvalla luovuttaa tietoja tieteellistä tai historiallista tutkimusta varten. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan tietojen käyttämistä tieteellisiä ja historiallista tai tilastollisia tarkoituksia varten ei katsota yhtyeensopimattomaksi tietojen alkuperäisen käyttötarkoituksen kanssa. Näin ollen momentista poistettaisiin maininta sosiaali- ja terveysministeriön luvasta. Tietojen luovuttaminen edellyttää, että tietojen vastaanottajalla on lainmukainen käsittelyperuste. Eläkesäätiö voisi siten jatkossa tietosuoja-asetuksen ja muun lainsäädännön perusteella tehdä päätöksen luovutuksesta itse. Pykälän 1 momentin 5 kohta vastaisi voimassa olevaa lakia.

Pykälän 2 momentti vastaisi muuten voimassa olevaa lainsäädäntöä, mutta sitä tarkennettaisiin siten, että eläkesäätiö saisi luovuttaa vain välttämättömiä tietoja. Muutos perustuu perustuslakivaliokunnan ratkaisukäytäntöön. Perustuslakivaliokunta on katsonut, että jos luovutettavia tietosisältöjä ei ole lueteltu tyhjentävästi, sääntelyyn on pitänyt sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta.

Voimassa olevan pykälän 3 momentin asetuksenantovaltuudesta ei ehdoteta jatkossa säädet-tävän. Momentin mukaan sosiaali- ja terveysministeriö voi antaa tarvittaessa säännöksiä tämän pykälän 1 ja 2 momentin soveltamisesta. Henkilötietojen suojasta on säädettävä lain tasolla, eikä täsmentävä sääntely asiassa ole tarpeen.

133 §. Lakiin ehdotetaan lisättäväksi uusi pykälä, jonka perusteella eläkesäätiöllä olisi oikeus tehdä tietosuoja-asetuksessa tarkoitettuja automaattisia päätöksiä. Pykälä olisi tarpeen, jotta lisäeläkesäätiöt voisivat tehdä automaattisia päätöksiä laajemmin, kuin tietosuoja-asetus muutoin sallisi. Lakisääteistä työeläkevakuutusta koskee työntekijän eläkelaki, johon myös ehdotetaan lisättäväksi automaattisten päätökset salliva 105 b §. Pykälän 2 momentin mukaan rekisteröidyllä olisi oikeus vaatia, että automaattinen päätös käsitellään uudelleen luonnollisen henkilön toimesta. Eläkesäätiöitä valvoo Finanssivalvonta. Valvonta kattaa asiakassuhteissa noudatettavien menettelytapojen valvonnan. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi ratkaisusuosituksia lisäeläkkeitä koskeviin erimielisyyksiin antaa vakuutuslautakunta.

1.3

Eläketukilaki

22 §Eläketukea koskevat menettelysäännökset ja muutoksenhaku.. Pykälässä säädetään niistä takuueläkkeestä annetun lain säännöksistä, joita sovelletaan eläketuen toimeenpanossa. Pykälään ehdotetaan lisättäväksi maininta ehdotetusta rekisteröidyn oikeuden rajaamista koskevasta säännöksestä, jota sovellettaisiin myös eläketuen toimeenpanossa.

1.4

Julkisten alojen eläkelaki

3 §Keskeiset määritelmät.. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin on ehdotettu.

113 a §Automaattiset päätökset.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 105 b §:ää. Julkisten alojen eläkelain mukaiset oikeusturvakeinot vastaavat työntekijän eläkelain mukaisia oikeusturvakeinoja. Kevan valvonta eroaa muista työeläkelaitoksista kuitenkin siten, että Keva on itsenäinen julkisoikeudellinen laitos, jonka yleinen valvonta kuuluu valtiovarainministeriölle.

153 §Julkisen työnantajan velvollisuus antaa tietoja.. Pykälän 3 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

153 a §Kevan oikeus tietojen antamiseen eläke- ja kuntoutusasian ratkaisemista sekä kuntoutuksen toteuttamista varten.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

155 §Työntekijän ja eläkkeenhakijan oikeus saada tietoja.. Pykälä ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelakin 193 §.

165 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.5

Kansaneläkelaki

63 a §Automaattiset päätökset.. Pykälä olisi uusi. Pykälä mahdollistaisi tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen Kansaneläkelaitoksen hoitaman lakisääteisen sosiaaliturvan toimeenpanossa. Tietosuoja-asetuksen 22 artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattiseen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Ratkaisutoiminnassa on otettava huomioon myös etuuslakien ja Kansaneläkelaitoksesta annetun lain erityiset menettelysäännökset, kuten Kansaneläkelaitoksesta annetun lain 22 a § etuuspäätösten perustelemisesta. Kansaneläkelaitos voisi antaa myös terveydentilatietoihin perustuvia automaattisia päätöksiä, silloin kun terveydentilatietojen käsittely perustuu tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohtaan, eli käsittely on tarpeen yleistä etua koskevasta syystä.

Kansallinen lainsäädäntö sisältää asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi. Kansaneläkelaitoksen toimeenpanemat etuudet ovat lakisääteisiä sosiaaliturvaetuuksia, joiden myöntämisperusteista säädetään laissa. Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla. Kansaneläkelaitos on itsenäinen julkisoikeudellinen laitos, jonka toimintaan sovelletaan hallintolakia ja julkisuuslakia. Sen toimintaa valvovat eduskunnan valitsemat valtuutetut.

Jos etuuspäätöksen saanut on tyytymätön Kansaneläkelaitoksen antamaan päätökseen, voi päätökseen hakea muutosta etuuslainsäädännössä olevien muutoksenhakusäännösten mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti. Sosiaalivakuutuksessa on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin Kansaneläkelaitokselle. Kansaneläkelaitos tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi.

86 §Tiedot etuuden ratkaisemista varten.. Pykälän 1 momentin 7 kohdasta ehdotetaan poistettavaksi suostumusta koskevat maininnat. Kohdassa tarkoitettu etuuden hakijalta tai saajalta pyydettävä suostumus ei voi täyttää tietosuoja-asetuksen vaatimuksia suostumuksen käyttämisestä henkilötietojen käsittelyn perusteena. Suostumusta pyydettäessä ei esimerkiksi voida varmistua sen vapaaehtoisuudesta varsinkin, kun tiedot voidaan joka tapauksessa saada rahalaitokselta säännöksen nojalla. Suostumusta ei käytännössä myöskään voida peruuttaa, jos saatuja tietoja on esimerkiksi käytetty etuutta koskevan ratkaisun perusteena. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan.

Pykälän 2 momentissa säädetään Kansaneläkelaitoksen ja muutoksenhakuelimen oikeudesta saada sosiaali- ja terveydenhuollosta välttämättömiä tietoja työkyvyttömyyseläkeasian ratkaisemista varten. Momentin viimeisellä virkkeellä oikeus saada tietoja on rajattu koskemaan tilanteita, joissa eläkkeenhakija ei itse toimita kyseisiä tietoja. Tämä rajaus ehdotetaan poistettavaksi. Rajauksella ei käytännössä ole eläkkeenhakijan kannalta merkitystä, koska säännös antaa Kansaneläkelaitokselle ja muutoksenhakuelimelle oikeuden saada tietoja, vaikka eläkkeenhakija ei niitä itse toimittaisi. Eläkkeenhakija ei voi säännöksen nojalla kieltää tietojen luovuttamista. Virkkeen poistamisesta huolimatta pääperiaatteena työkyvyttömyyseläkeasioiden ratkaisemisessa olisi edelleen se, että hakija toimittaa tarvittavat tiedot itse. Kansaneläkelain 57 §:ssä säädetään eläkkeenhakijan velvollisuudesta ilmoittaa eläkeasian käsittelyä varten tietoja hakemusvaiheessa ja sen jälkeen.

Momentissa tarkoitettu henkilötietojen käsittely työkyvyttömyyseläkeasiassa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Momentissa on säädetty, että luovutettavien tietojen tulee olla välttämättömiä työkyvyttömyyseläkesian ratkaisemiseksi. Lisäksi momentissa on määritelty ne tahot, joilta tietoja voidaan saada.

90 §Tietojen luovuttaminen eräissä tapauksissa.. Pykälän 3 kohtaa ehdotetaan täsmennettäväksi siten, että säännöksen perusteella voidaan luovuttaa vain säännöksessä luetellut tiedot, jotka ovat tarpeellisia vireillä olevassa etuusasiassa työkyvyttömyyden selvittämistä varten tehtävän tutkimuksen toteuttamiseksi. Pykälän 3 kohdassa tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 3 kohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla tarpeellisia työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi.

Pykälään ehdotetaan lisättäväksi uusi 5 kohta, jossa säädettäisiin vireillä olevan työkyvyttömyyseläkeasian käsittelyyn liittyvissä asiakirjoissa olevien tietojen luovuttamisesta terveydentilan selvittämiseksi tai työkyvyn arvioimiseksi työterveyshuollolle, lääkärille ja hoito- ja tutkimuslaitokselle, jos tietojen antaminen on välttämätöntä työkyvyttömyyseläkeasian ratkaisemiseksi.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 5 kohdassa on määritelty ne tahot, joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä työkyvyttömyyseläkeasian ratkaisemiseksi.

Pykälän edellä mainittujen säännösten mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa työterveyshuolto, lääkäri sekä hoito- ja tutkimuslaitos saavat työkyvyttömyysetuutta hakenutta henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

96 §Tiedot etuuden hakijalle.. Pykälässä nykyisin oleva säännös ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava eläkkeenhakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten etuuslainsäädännössä ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Kansaneläkelaitos rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on kansaneläkelain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään kansaneläkelain mukaisten tehtävien hoitamisen vetoamalla oikeuteen rajoittaa käsittelyä.

Kansaneläkelaitos on viranomainen, jonka ratkaisutoiminnassa noudatetaan hallintolakia. Hallintolain nojalla Kansaneläkelaitoksen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Kansaneläkelain mukaisissa asioissa rekisteröidyllä on käytettävänään kansaneläkelain 12 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Kansaneläkelaissa on säännökset myös asiavirheen korjaamisesta. Jos Kansaneläkelaitoksen päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, Kansaneläkelaitos voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

1.6

Laki aikuiskoulutustuesta

18 a §Automaattiset päätökset.. Pykälä olisi uusi. Pykälä mahdollistaisi tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen Koulutusrahaston hoitaman aikuiskoulutustuen toimeenpanossa. Tietosuoja-asetuksen 22 artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä tämän lain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista.

Kansallinen lainsäädäntö sisältää asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi. Aikuiskoulutustuen myöntämisperusteista säädetään laissa. Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla. Aikuiskoulutustuen myöntämisestä ja maksamisesta sekä muusta toimeenpanosta vastaa Koulutusrahasto, jonka toimintaa valvoo Finanssivalvonta. Aikuiskoulutustuen saajalle myönnettävän opintolainan valtiontakaukseen liittyvät tehtävät hoitaa Kansaneläkelaitos. Kansaneläkelaitos on itsenäinen julkisoikeudellinen laitos, jonka toimintaan sovelletaan hallintolakia ja julkisuuslakia. Sen toimintaa valvovat eduskunnan valitsemat valtuutetut.

Jos aikuiskoulutustukea koskevan päätöksen saanut on tyytymätön Koulutusrahaston antamaan päätökseen, voi päätökseen hakea muutosta aikuiskoulutustuesta annetussa laissa olevien muutoksenhakusäännösten mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti. Myös aikuiskoulutustuessa on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin Koulutusrahastolle. Koulutusrahasto tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi.

18 b §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Koulutusrahasto rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on aikuiskoulutustuesta annetun lain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään aikuiskoulutuksesta annetun lain toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Aikuiskoulutustuen myöntämisestä ja maksamisesta sekä muusta toimeenpanosta vastaa Koulutusrahastosta annetussa laissa (1306/2002) tarkoitettu Koulutusrahasto, jonka toimintaa valvoo Finanssivalvonta. Koulutusrahasto on työmarkkinaosapuolten hallinnoima rahasto, jonka tarkoituksena on edistää työssä tarvittavia valmiuksia myöntämällä tukea ammatilliseen koulutukseen ja kehittymiseen. Koulutusrahaston myöntämät aikuiskoulutusetuudet ovat aikuiskoulutustuki ja ammattitutkintostipendi.

Koulutusrahasto noudattaa ratkaisutoiminnassa hallintolakia. Hallintolain nojalla sen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Aikuiskoulutustuesta annetun lain mukaisissa asioissa rekisteröidyllä on käytettävänään aikuiskoulutustuesta annetun lain mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Aikuiskoulutustuesta annetussa laissa on säännökset myös virheen korjaamisesta. Jos Koulutusrahaston päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, rahasto voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

29 §Salassapito.. Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että siihen lisätään viittaukset pykäliin, joiden nojalla tiedot saadaan.

Pykälän 3 momentti ehdotetaan kumottavaksi tarpeettomana. Momentissa on nykyään niin sanottu informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja henkilötietolakiin eli säännöksellä ei ole aineellista sisältöä. Jatkossa henkilötietolain korvaavat yleinen tietosuoja-asetus ja tietosuojalaki, jotka tulevat sovellettavaksi niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.7

Laki asumiseen perustuvan sosiaaliturvalainsäädännön soveltamisesta

15 a §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.8

Laki Eläketurvakeskuksesta

2 a §Automaattiset päätökset ja rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi. Pykälän 1 momentissa säädettäisiin rekisteröidyn oikeuden rajaamisesta. Säännös vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää.

Pykälän 2 momentissa säädettäisiin automaattisista päätöksistä. Säännös vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 105 b §:ää. Säännöksen perusteella Eläketurvakeskus voisi tehdä tietosuoja-asetuksen 22 artiklan 1 kohdan mukaisia automaattisia päätöksiä Eläketurvakeskuksesta annetun lain ja työeläkelakien toimeenpanossa. Eläketurvakeskuksesta annetun lain perusteella Eläketurvakeskuksen lakisääteisenä tehtävänä on muun muassa ratkaista, sovelletaanko Suomen sosiaaliturvalainsäädäntöä ulkomailla työskentelevään henkilöön. Eläketurvakeskus ratkaisee asian työnantajan, työntekijän, virkamiehen tai yrittäjän hakemuksesta. Eläketurvakeskus antaa ratkaisusta lähetetyn työntekijän todistuksen (ns. A1-todistus). Automaattisia päätöksiä koskeva säännös on tarpeen, jotta Eläketurvakeskus voi antaa lähetetyn työntekijän todistuksia automaattisessa käsittelyssä. Tietosuoja-asetuksen 22 artiklassa automaattisella päätöksellä tarkoitetaan päätöstä, jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Lähetetyn työntekijän todistus ei ole muutoksenhakukelpoinen päätös, mutta hakija voi erikseen pyytää asiassa muutoksenhakukelpoisen päätöksen. Todistuksen antamiseen liittyy kuitenkin tietosuoja-asetuksen 22 artiklassa tarkoitettuja oikeusvaikutuksia.

Eläketurvakeskuksesta annetun lain 1 §:n mukaan Eläketurvakeskus on työeläketurvan toimeenpanon ja kehittämisen yhteiselin. Eläketurvakeskuksen tehtävät perustuvat lakiin ja niistä säädetään lain 2 §:ssä. Eläketurvakeskuksen antamaan päätökseen voidaan hakea muutosta siten kuin työntekijän eläkelaissa säädetään. Myös päätöksen poistamiseen sovelletaan työntekijän eläkelain säännöksiä.

1.9

Laki eläkkeensaajan asumistuesta

43 §Tiedot asumistuen ratkaisemista varten.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

50 §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.10

Laki Kansaneläkelaitoksen kuntoutusetuuksista ja kuntoutusrahaetuuksista

59 §Tietojen saaminen pyynnöstä.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 2 momenttia. Pykälän 5 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

63 §Tietojen luovuttaminen.. Pykälän 1 momentissa säädetään Kansaneläkelaitoksen oikeudesta luovuttaa tämän lain mukaisten etuuksien hoitamisessa saamiaan tietoja kuntoutuksen toteuttajalle, kuntoutusaloitteen tekijälle ja kuntoutujan hoidosta ja kuntoutuksesta sekä kuntoutussuunnitelman laatimisesta vastaavalle taholle siltä osin kuin tiedot ovat välttämättömiä kuntoutuksen toteuttamiseksi. Momenttia ehdotetaan muutettavaksi siten, että siinä säädettäisiin nykyistä tarkemmin luovutettavien tietojen käyttötarkoituksesta. Nykyinen säännös ei mahdollista tietojen luovuttamista esimerkiksi työnantajalle tai työ- ja elinkeinotoimistoon. Momenttia ehdotetaan muutettavaksi siten, että se antaisi mahdollisuuden luovuttaa nykyistä laajemmin tämän lain mukaisten etuuksien toimeenpanon kannalta välttämättömiä tietoja hakijan kuntoutusmahdollisuuksien selvittämiseen ja kuntoutustoimenpiteiden toteuttamiseen osallistuville tahoille, jos tietojen antaminen on välttämätöntä kuntoutuksen toteuttamiseksi. Tietojen antaminen saattaa olla välttämätöntä kuntoutujan yksilöllisiä tavoitteita vastaavien ja tarkoituksenmukaisten kuntoutustoimenpiteiden suunnittelun ja oikea-aikaisen käynnistymisen kannalta sekä kuntoutuksen toteuttamiseen osallistuvien tahojen välisen yhteistyön varmistamiseksi osana kuntoutumisprosessia. Kansaneläkelaitoksella ei kuitenkaan olisi oikeutta antaa tietoja hakijan terveydentilasta työnantajalle ilman hakijan suostumusta. Pykälän 1 momentti edellyttäisi, että asia on tullut vireille Kansaneläkelaitoksessa eli hakija on hakenut tämän lain mukaista etuutta Kansaneläkelaitoksesta.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Ehdotetussa momentissa on määritelty ne tahot, joille tietoja voidaan luovuttaa, ja ne tarkoitukset, joihin tiedot voidaan luovuttaa. Luovutettavien tietojen on oltava välttämättömiä näitä tarkoituksia varten. Tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty, sillä tietoja voidaan luovuttaa vain etuusasian ratkaisemista ja kuntoutuksen toteuttamista varten. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

64 §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.11

Laki Koulutusrahastosta

10 §Ilmoitusvelvollisuus.. Pykälässä oleva säännös Koulutusrahaston ilmoitusvelvollisuudesta on tarpeeton vastaavin perustein kuin elatustukilain 38 §, ja pykälä ehdotetaan kumottavaksi. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen Koulutusrahaston hoitaessa lakisääteistä tehtävää vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.12

Laki lasten kotihoidon ja yksityisen hoidon tuesta

23 a §Tietojensaantioikeus.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

24 §Tietojen luovuttaminen eräissä tapauksissa.. Pykälän 1 momentin mukaan Kansaneläkelaitos lähettää kunnalle tuen maksamisen yhteydessä tiedot tuen piirissä olevista lapsista sekä tukeen oikeutetuista ja tukea saavista henkilöistä, yhteisöistä ja yhtymistä ja näille maksettavien tukien määrästä. Momenttiin ehdotetaan täydennettäväksi se tarkoitus, johon tiedot luovutetaan. Kansaneläkelaitos ilmoittaa tiedot kunnalle kunnan maksuvelvollisuuden tarkistamiseksi. Lasten kotihoidon ja yksityisen hoidon tuesta annetun lain 9 §:n 1 momentin perusteella kunta korvaa tämän lain nojalla maksetusta tuesta Kansaneläkelaitokselle aiheutuvat kustannukset lukuun ottamatta 3 §:n 2 ja 3 momentin nojalla maksetusta tuesta aiheutuvia kustannuksia, jotka valtio korvaa Kansaneläkelaitokselle. Kunta maksaa Kansaneläkelaitokselle ennen lastenhoidon tukien maksatusta kunnan tukien arvioidun yhteissumman. Kun todellinen tukien määrä selviää Kansaneläkelaitoksen maksaessa etuuden tuensaajille tai hoidon tuottajille, kuntiin lähetetään lista, josta käy ilmi tarkka kyseisen kuukauden etuuksien kokonaissumma. Tämän listan perusteella kunta voi tarkistaa jokaisen lapsen osalta, kenelle mitäkin etuutta on maksettu ja minkä verran.

Momentissa tarkoitettu henkilötietojen käsittely kunnassa perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, sillä kunnalla on lakisääteinen velvollisuus rahoittaa lastenhoidon tuet. Käsittely liittyy lastenhoidon tukien rahoitukseen ja käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, johon tiedot on alun perin kerätty.

24 c §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.13

Laki perustulokokeilusta

13 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

18 §Perustulokokeilurekisteri.. Pykälän 4 momentti ehdotetaan kumottavaksi tarpeettomana. Momentissa on informatiivinen viittaus, jonka mukaan henkilötietojen säilytysaika ja rekisteröityjen oikeusturva määräytyvät henkilötietolain nojalla. Jatkossa henkilötietojen käsittelyn yleissäännöksenä on tietosuoja-asetus, joka on suoraan sovellettava, eikä erillistä viittausta siihen tarvita. Säilytysaikojen osalta tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdassa säädetään säilytyksen rajoittamisen periaatteesta. Säännöksen mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Henkilötietoja voidaan säilyttää pidempiä aikoja, jos henkilötietoja käsitellään ainoastaan yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten 89 artiklan 1 kohdan mukaisesti edellyttäen, että tässä asetuksessa vaaditut asianmukaiset tekniset ja organisatoriset toimenpiteet on pantu täytäntöön rekisteröityjen oikeuksien ja vapauksien turvaamiseksi.

1.14

Laki sairausvakuutuslain mukaisen omavastuuajan korvaamisesta maatalousyrittäjille

7 §. Pykälässä säädetään tämän lain mukaisen päätöksen antamisesta. Pykälän 1 momentissa on nykyisen henkilötietolain 31 §:n edellyttämällä tavalla säädetty Maatalousyrittäjien eläkelaitoksen mahdollisuudesta antaa päätös automaattisessa tietojenkäsittelyssä aikaansaatuna asiakirjana ja että näin annettu päätös voidaan allekirjoittaa koneellisesti. Nykyistä sanamuotoa muutettaisiin vastaamaan tässä esityksessä ehdotettuja säännöksiä vakuutuslaitoksen oikeudesta antaa automaattisia päätöksiä. Säännöksen mukaan Maatalousyrittäjien eläkelaitoksella olisi oikeus tämän lain toimeenpanossa tehdä tietosuoja-asetuksen 22 artiklan 1 kohdan mukaisia automaattisia päätöksiä sekä todettaisiin, että Maatalousyrittäjien eläkelaitoksen tämän lain perusteella antama päätös voidaan allekirjoittaa koneellisesti.

9 a §. Pykälässä säädetään julkisuuslain soveltamisesta Maatalousyrittäjien eläkelaitoksen toiminnassa lain toimeenpanoon liittyvissä asioissa sekä Maatalousyrittäjien eläkelaitoksen ja muutoksenhakuelimen oikeudesta tietojen antamiseen ja saamiseen. Pykälän 3 momentin 3 kohdassa viitataan tietojen antamisen ja saamisen osalta maatalousyrittäjän työtapaturma- ja ammattitautilain 162 §:ään, joka esitetään kumottavaksi tarpeettomana ja pykälä muutettaisiin kokonaan toisen sisältöiseksi. Tästä johtuen myös 9 a §:n 3 momentin 3 kohta kumottaisiin tarpeettomana.

9 b §. Pykälä olisi uusi ja siinä säädettäisiin rekisteröidyn oikeuden rajaamisesta ehdotettua maatalousyrittäjän työtapaturma- ja ammattitautilain 162 a §:ää vastaavasti. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös maatalousyrittäjien eläkelaitoksen hoitaessa sairausvakuutuslain mukaisen omavastuuajan korvaamisesta maatalousyrittäjille annetun lain mukaisia tehtäviä vastaavin perustein kuin mitä työtapaturma- ja ammattitautilain 162 a §:n kohdalla on todettu.

1.15

Laki sosiaaliturvajärjestelmien yhteensovittamista koskevan Euroopan unionin lainsäädännön soveltamisesta

20 §Henkilön tiedonsaantioikeus.. Pykälä ehdotetaan kumottavaksi tarpeettomana. Jatkossa henkilön oikeus saada pääsy tietoihinsa määräytyy yleisen tietosuoja-asetuksen 15 artiklan säännösten mukaisesti. Yleistä tietosuoja-asetusta sovelletaan sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.16

Laki takuueläkkeestä

32 §Takuueläkettä koskevat menettelysäännökset.. Pykälän 1 momenttia ehdotetaan täsmennettäväksi siten, että säännöksen perusteella voidaan luovuttaa vain säännöksessä luetellut tiedot, jotka ovat tarpeellisia työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 1 momentissa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla tarpeellisia työkyvyttömyyden selvittämistä tai uudelleen arvioimista varten tehtävän tutkimuksen toteuttamiseksi. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

Pykälän 2 momenttiin ehdotetaan lisättäväksi viittaus kansaneläkelakiin ehdotettuun automaattisia päätöksiä koskevaan 63 a §:ään kyseistä ehdotusta vastaavin perustein. Lisäksi kansaneläkelakiin ehdotettu 96 § rekisteröidyn oikeuden rajaamisesta tulisi kyseistä ehdotusta vastaavin perustein sovellettavaksi pykälän 2 momentin nykyisen kansaneläkelain 13 lukua koskevan viittauksen perusteella.

1.17

Laki työttömyysetuuksien rahoituksesta

1 a §Määritelmät.. Pykälän 1 momenttiin ehdotetaan lisättäväksi uusi 3 kohta, joka sisältäisi määritelmän tietosuoja-asetuksesta.

26 a §Työttömyysvakuutusrekisteri.. Pykälä ehdotetaan muutettavaksi siten, että siitä poistetaan viimeinen virke, jossa on informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja henkilötietolakiin. Ehdotus vastaa aikuiskoulutustuesta annetun lain 29 §:n 3 momentin kumoamista koskevaa ehdotusta. Jatkossa henkilötietolain korvaavat yleinen tietosuoja-asetus ja tietosuojalaki tulevat sovellettavaksi niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Työttömyysvakuutusrahasto pitää työttömyysvakuutusrekisteriä sille rahoituslaissa säädettyjen työttömyysvakuutusmaksuja koskevien asioiden hoitoa varten. Rahoituslain 22 §, 22 a §, 22 b §, 22 c §, 22 e §, 22 g § ja 22 d § sisältävät säännökset henkilötietojen suojan kannalta tärkeistä sääntelykohteista.

26 f §Automaattiset päätökset.. Pykälä olisi uusi. Pykälä mahdollistaisi tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen Työttömyysvakuutusrahastolle sen työttömyysetuuksien rahoituksesta annetun lain 10 §:n mukaisten tehtävien toimeenpanossa. Artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Kansallinen lainsäädäntö sisältää asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi. Rekisteröidyn oikeuksia turvataan työttömyysetuuksien rahoituksesta annetussa laissa olevien menettely- ja muutoksenhakusäännösten avulla. Finanssivalvonta valvoo Työttömyysvakuutusrahastoa.

Työttömyysvakuutusrahaston antamaan päätökseen tyytymätön voi hakea päätökseen oikaisua ja muutosta työttömyysetuuksien rahoituksesta annetun lain 8 b luvussa säädetyn mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti.

26 g §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Työttömyysvakuutusrahasto rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin silloin kuin Työttömyysvakuutusrahasto hoitaa työttömyysetuuksien rahoituksesta annetun lain mukaista tehtävää. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden.

1.18

Laki ulkomaisista vakuutusyhtiöistä

61 §Automaattiset päätökset.. Lakiin ehdotetaan lisättäväksi uusi automaattisia päätöksiä koskeva pykälä vastaavin perustein kuin vakuutusyhtiölakiin.

Ulkomainen vakuutusyhtiö, jonka kotipaikka on Euroopan talousalueella, ei tarvitse Suomen viranomaiselta lupaa perustaakseen Suomeen sivuliikkeen tai aloittaakseen vakuutustoiminnan harjoittamisen ulkomaisesta toimipaikasta käsin. Vakuutusyhtiön valvonta kuuluu pääsääntöisesti sen kotimaan valvontaviranomaiselle. Finanssivalvonta valvoo ulkomaisen ETA-vakuutusyhtiön toimintaa Suomessa siten kuin tässä laissa ja Finanssivalvonnasta annetussa laissa säädetään. Ulkomaisen ETA-vakuutusyhtiön on noudatettava niitä yleisen edun vaatimia ehtoja, joita on noudatettava harjoitettaessa Suomessa vakuutustoimintaa. Yleisen edun perusteella ulkomaisen ETA-vakuutusyhtiön on noudatettava muun muassa vakuutussopimuslakia, lakisääteisiä vakuutuslajeja koskevaa erityislainsäädäntöä sekä hallinnon yleislakeja siltä osin kuin toiminta Suomessa liittyy lakisääteisiin vakuutuksiin.

Kolmannen maan vakuutusyhtiö ei saa harjoittaa ensivakuutustoimintaa Suomessa ilman Finanssivalvonnan antamaa toimilupaa. Kolmannen maan vakuutusyhtiöiden Suomessa harjoittaman vakuutustoiminnan valvonta ja tarkastus kuuluvat Finanssivalvonnalle.

Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi ratkaisusuosituksia vapaaehtoisia vakuutuksia koskeviin erimielisyyksiin antavat vakuutuslautakunta ja kuluttajariitalautakunta.

79 §Salassapitovelvollisuus.. Pykälän 4—5 ja 7 momenttiin tehtäisiin vastaavat muutokset kuin vakuutusyhtiölain 30 luvun 3 §:ään. Lisäksi pykälän 6 ja 8 momentti ehdotetaan kumottavaksi tarpeettomina.

81 §Vakuutusyhtiön oikeus käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista.. Lakiin ehdotetaan lisättäväksi uusi pykälä ulkomaisen vakuutusyhtiön oikeudesta käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista. Pykälä vastaa vakuutusyhtiölain 30 lukuun ehdotettua 3 a §:ää.

1.19

Laki urheilijan tapaturma- ja eläketurvasta

18 §Tapaturmavakuutuskeskuksen ja vakuutuslaitoksen tehtävät.. Pykälän 3 momenttia ehdotetaan muutettavaksi. Lain (urheilijalaki) 19 §:ssä lajiliitolle tai muulle kilpailutoiminnasta vastaavalle yhteisölle on säädetty velvollisuus huolehtia, että sen piirissä harjoitettavaan kilpailutoimintaan osallistuvat urheiluseurat ja muut urheilutoimintaa harjoittavat yhteisöt järjestävät urheilijalle urheilijalain mukaisen vakuutusturvan. Tehtävän hoitamista varten lajiliitolla ja muulla yhteisöllä on oikeus saada Tapaturmavakuutuskeskuksen tämän pykälän 1 momentin nojalla pitämästä rekisteristä tieto niistä lajiliiton tai muun yhteisön toiminnan piiriin kuuluvista urheilijoista, jotka on vakuutettu urheilijalain mukaisella pakollisella vakuutuksella.

Tehokkaan valvonnan varmistamiseksi tämän pykälän 3 momentissa on lisäksi säädetty, että vakuutuslaitoksen on ilmoitettava vuosittain viimeistään kuukauden kuluttua urheilulajin peli- tai kilpailukauden alkamisesta lajiliitolle 19 §:ssä säädettyä tehtävää varten lajiliittoon kuuluvan urheiluseuran ja muun urheilutoimintaa harjoittavan yhteisön urheilijalain mukaisen vakuutuksen alkamisesta. Ilmoitukseen on liitettävä vakuutukseen kuuluvien urheilijoiden suostumuksella heidän nimensä ja henkilötunnuksensa. Säännöksellä on haluttu varmistaa, että lajiliitto saisi mahdollisimman nopeasti tiedon vakuutusturvan järjestämisen laiminlyönnistä. Jotta urheilijoiden sosiaaliturvan valvonta ei vaarantuisi, momentista ehdotetaan poistettavaksi suostumusta koskeva edellytys urheilijan nimen ja henkilötunnuksen sisällyttämiselle ilmoitukseen, koska ilman riittäviä yksilöintitietoja (nimi ja henkilötunnus), valvontaa on käytännössä hankala toteuttaa. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan.

22 §Ansiotietojen ilmoittaminen ja henkilötietojen käsittely.. Pykälän 2 momentista ehdotetaan poistettavaksi tarpeeton informatiivinen viittaus henkilötietolakiin. Henkilötietojen käsittelystä säädetään jatkossa tietosuoja-asetuksessa.

1.20

Laki vakuutusedustuksesta

36 §Rikkomuksista ilmoittaminen.. Pykälän 1 momentista ehdotetaan poistettavaksi viittaus henkilötietolakiin. Pykälän 3 momentin viittaus muutettaisiin siten, että rekisteröidyllä ei olisi tietosuoja-asetuksen mukaista oikeutta saada pääsyä 1 ja 2 momentissa tarkoitettuihin tietoihin. Rajoitus perustuu yleisen tietosuoja-asetuksen 23 artiklan 1 kohdan d ja g alakohtaan ja se täyttää yleisen tietosuoja-asetuksen 23 artiklan 2 kohdan edellytykset.

1.21

Laki vammaisetuuksista

45 §Tietojen luovuttaminen eräissä tapauksissa.. Pykälän 2 kohdassa säädetään Kansaneläkelaitoksen oikeudesta luovuttaa vammaisetuuksista annetun lain 20 §:n 2 momentissa tarkoitettuihin tutkimuksiin lähetettävän henkilön terveydentilaa koskevia tietoja mainitussa momentissa tarkoitetulle lääkärille tai terveydenhuollon toimintayksikölle tai tutkimuslaitokselle. Pykälän 2 kohtaa ehdotetaan täsmennettäväksi tietojen käyttötarkoituksen osalta siten, että säännöksen perusteella voidaan luovuttaa vain tutkimuksen toteuttamiseksi tarpeelliset tiedot henkilön terveydentilasta, sairaudesta ja hoitotoimenpiteistä.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Lainkohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla tarpeellisia tutkimuksen toteuttamiseksi. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

48 §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.22

Laki yleisestä asumistuesta

42 §Tiedot asumistuen ratkaisemista varten.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

49 §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.23

Lapsilisälaki

16 b §Rekisteröidyn oikeuden rajaaminen.. Pykälä ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.24

Liikennevakuutuslaki

2 §Määritelmät.. Pykälään lisättäisiin uusi 20 kohta, joka sisältäisi tietosuoja-asetuksen määritelmän.

4 §Liikennevakuutuskeskus.. Pykälän 2 momentin viittaussäännöstä muutettaisiin, jotta ehdotettuja 62 a ja 63 a §:ää sovellettaisiin myös Liikennevakuutuskeskukseen.

32 §Korvausvastuu liikennevahingosta.. Pykälän 3 momentin viittaussäännöstä muutettaisiin, jotta ehdotettuja 62 a ja 63 a §:ää sovellettaisiin myös Valtiokonttoriin.

62 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään ehdotettua työtapaturma- ja ammattitautilain 250 §:ää. Rekisteröidyllä ei olisi oikeutta siihen, että vakuutusyhtiö, Liikennevakuutuskeskus tai Valtiokonttori rajoittaisi henkilötietojen käsittelyä silloin, kun ne hoitavat tämän lain mukaista tehtävää.

63 a §Automaattiset päätökset.. Pykälässä säädettäisiin vakuutusyhtiön oikeudesta tehdä tietosuoja-asetuksessa tarkoitettuja automaattisia päätöksiä liikennevakuutuslain mukaista toimintaa harjoittaessaan. Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista.

Liikennevakuutuksen toimeenpano katsotaan julkiseksi hallintotehtäväksi. Vakuutusyhtiöiden toimintaan sovelletaan hallintolain säännöksiä, jollei liikennevakuutusta koskevassa lainsäädännössä toisin säädetä. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi liikennevahinkolautakunta antaa ratkaisusuosituksia liikennevakuutusta koskevissa erimielisyyksissä. Liikennevakuuttamista harjoittavien vakuutusyhtiöiden toimintaa valvovat Finanssivalvonta sekä ylimmät laillisuusvalvojat.

1.25

Laki Liikennevakuutuskeskuksesta

18 §Salassapitovelvollisuus ja oikeus tietojen luovuttamiseen.. Pykälän viittaussäännöstä muutettaisiin siten, että siinä viitattaisiin vakuutusyhtiölain 30 luvun uuteen rikostietojen käsittelyä koskevaan 3 a §:ään. Muutos on tarpeen, jotta Liikennevakuutus voisi jatkaa rikostietojen käsittelyä kuten nykyisin.

1.26

Potilasvahinkolaki

10 c §Automaattiset päätökset.. Pykälässä säädettäisiin Potilasvakuutuskeskuksen oikeudesta tehdä tietosuoja-asetuksessa tarkoitettuja automaattisia päätöksiä potilasvahinkolain mukaista toimintaa harjoittaessaan. Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista.

Potilasvakuutuskeskus on yksityisoikeudellinen vakuutuslaitos, joka hoitaa julkista hallintotehtävää. Potilasvakuutuskeskuksen maksamat korvaukset perustuvat potilasvahinkolakiin. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi potilasvahinkolautakunta antaa ratkaisusuosituksia potilasvakuutusta koskevissa erimielisyyksissä. Potilasvakuutuksen toimintaa valvovat Finanssivalvonta sekä ylimmät laillisuusvalvojat.

13 §Salassapitovelvollisuus ja oikeus tietojen luovuttamiseen.. Potilasvakuutuskeskuksen palveluksessa tai asiantuntijana toimeksiannon perusteella toimivan henkilön salassapitovelvollisuuteen, salassapitovelvollisuuden piiriin kuuluvien tietojen luovuttamiseen ja salassapitovelvollisuuden rikkomiseen sovelletaan, mitä vakuutusyhtiölain 30 luvun 1, 3 ja 4 §:ssä säädetään vakuutusyhtiöistä. Säännöksellä korjataan pykälässä ollut viittausvirhe.

14 §Rekisteröidyn oikeuden rajaaminen.. Pykälässä säädettäisiin rekisteröidyn oikeuden rajaamisesta. Säännös vastaisi työtapaturma- ja ammattitautilakiin ehdotettua uutta 250 §:ää. Rekisteröidyllä ei olisi tietosuoja-asetuksen mukaista oikeutta siihen, että Potilasvakuutuskeskuksen tulee rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin silloin, kun Potilasvakuutuskeskus hoitaa tämän lain mukaista tehtävää. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään potilasvahinkolain toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

1.27

Maatalousyrittäjän eläkelaki

2 §Keskeiset määritelmät.. Pykälän 1 momentin 12 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 12—14 kohdat siirtyisivät kohdiksi 13—15.

90 b §Automaattiset päätökset.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 105 b §:ää. Maatalousyrittäjän eläkelain mukaiset oikeusturvakeinot vastaavat työntekijän eläkelain mukaisia oikeusturvakeinoja.

138 a §Eläkelaitoksen oikeus tietojen antamiseen eläke- ja kuntoutusasian ratkaisemista sekä kuntoutuksen toteuttamista varten.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

140 §Maatalousyrittäjän ja eläkkeenhakijan oikeus saada tietoja.. Pykälä ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin työntekijän eläkelain 193 §.

143 §Eläkelaitoksen ja Eläketurvakeskuksen oikeus saada tietoja tässä laissa säädettyjen tehtävien toimeenpanemiseksi.. Pykälän 1 momentin 1 kohtaa ehdotetaan muutettavaksi siten, että lainkohdassa viitattaisiin maaseutuelinkeinohallinnon tietojärjestelmästä annettuun lakiin (284/2008), jolla on kumottu nykyisessä säännöksessä oleva laki maaseutuelinkeinorekisteristä annetusta laista (1515/1994). Pykälän 1 momentin 2 kohtaa ehdotetaan puolestaan muutettavaksi siten, että siinä viitattaisiin Euroopan unionin yhteisen kalastuspolitiikan kansallisesta täytäntöönpanosta annettuun lakiin (1048/2016), jolla on kumottu nykyisessä säännöksessä mainittu laki Euroopan yhteisön yhteisen kalastuspolitiikan täytäntöönpanosta (1139/1994) sekä vuoden 2016 alusta voimaan tulleeseen kalastuslakiin (379/2015), jossa on tarkemmin säädetty kalataloushallinnon eri tietojärjestelmistä kuten esimerkiksi kaupallisten kalastajien rekisteristä. Edellä mainituissa laeissa on säännökset rekisteriviranomaisista, joilta Maatalousyrittäjien eläkelaitoksella on oikeus saada tietoja maatalousyrittäjän eläkelain toimeenpanossa kuten esimerkiksi vakuutusvalvonnassa.

Pykälän 1 ja 2 momentin sanamuotoa täsmennettäisiin siten, että veroviranomaisen sijaan puhuttaisiin Verohallinnosta.

Pykälään ehdotetaan lisättäväksi uusi 4 momentti, jossa säädettäisiin Maatalousyrittäjien eläkelaitoksen oikeudesta saada valvontatehtävää varten välttämättömät tiedot sekä näiden tietojen yhdistämisestä ja säilyttämisestä. Momentissa tarkoitettu henkilötietojen käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan, sillä käsittely olisi tarpeen maatalousyrittäjän eläkelaitoksen lakisääteisen velvoitteen noudattamiseksi. Maatalousyrittäjien eläkelain 12 ja 12 a §:n mukaan maatalousyrittäjien eläkelaitos valvoo, että maatalousyrittäjät ja apurahansaajat täyttävät laissa säädetyn vakuuttamisvelvollisuutensa.

Valvontatehtävää varten tiedot 1 ja 3 momentissa mainituilta tahoilta voitaisiin saada joukkotietoina, ilman että valvontakäsittelyyn otettavia yrityksiä ja maatalousyrittäjiä olisi yksilöity, koska valvonnan tarkoituksena on löytää henkilöt, jotka ovat jättäneet ottamatta lakisääteisen työeläkevakuutuksen. Säännöstä sovellettaisiin maatalousyrittäjän eläkelain 9 a §:n 1 momentin nojalla myös apurahansaajiin. Tiedot olisi oikeus saada, vaikka valvontakäsittely ei olisi vielä vireillä tai verotusta ei olisi vahvistettu. Valvontatehtävän toimeenpanemiseksi eläkelaitos voisi yhdistää ja käsitellä tietoja eläkelaitoksessa olevien tietojen kanssa. Yhdistettyjä tietoja voitaisiin säilyttää viisi vuotta, mutta kuitenkin enintään valvontakäsittelyn päättymiseen saakka. Yhdistettyjä tietoja ei saisi luovuttaa edelleen. Edellä ehdotettu sääntely vastaa työntekijän eläkelain 199 §:n 2 momentin säännöstä valvontaa varten saatujen joukkotietojen yhdistämisestä ja säilyttämisestä.

144 §Maatalousyrittäjien työterveyshuollon tilakäyntirekisteri.. Pykälän 4 momenttia ehdotetaan muutettavaksi siten, että säännöksestä poistettaisiin viittaus kumottavaan henkilötietolakiin sekä poistettaisiin tarpeettomana nykyisen 4 momentin neljäs virke, joka sisältää suoraan tietosuoja-asetuksesta tulevaa sääntelyä. Pykälän 5 momentti ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia ehdotetaan muutettavaksi sekä sen vuoksi, että momentin sääntely on päällekkäistä viranomaisten toiminnan julkisuudesta annetun ja tietosuoja-asetuksen säännösten kanssa.

146 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.28

Maatalousyrittäjän työtapaturma- ja ammattitautilaki

4 §Muut määritelmät ja viittaussäännökset.. Pykälän 1 momentin 5 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 5—7 kohdat siirtyisivät 6—8 kohdiksi.

77 §Korvausasian vireilletulosta ilmoittaminen vahingoittuneelle.. Pykälän 2 momentti ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin työtapaturma- ja ammattitautilain 115 §:n 2 momentti.

157 §. Maatalousyrittäjien tapaturmavakuutuslaitoksen ja muutoksenhakuelimen oikeus saada tietoja. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

158 §Maatalousyrittäjien tapaturmavakuutuslaitoksen oikeus antaa tietoja.. Pykälän 3 kohdan nykyinen säännös ehdotetaan kumottavaksi. Kumotun kohdan mukaisten vahinkotietojen luovutus perustuisi jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f-alakohtaan, josta ei voida säätää täydentävästi kansallisessa lainsäädännössä. Rikostuomioihin ja rikkomuksiin liittyvien tietojen osalta henkilötietojen käsittely ei enää voi perustua tietosuojalautakunnan erityislupaan, vaan tietojen käsittelystä olisi säädettävä laissa. Maatalousyrittäjien tapaturmavakuutuslaitos ei ole hakenut tietosuojalautakunnan lupaa tietojen luovuttamiseen. Koska lupaa ei ole haettu, ei lainkohtaan perustuvaa henkilötietojen käsittelyä voida pitää yleisen edun takia tarpeellisena eikä siitä jatkossa ehdoteta säädettävän.

Säännöksen tilalle 3 kohtaan lisättäisiin vastaava säännös kuin työtapaturma- ja ammattitautilain 252 §:n 1 momentin 7 kohtaan on ehdotettu.

162 §Vahingoittuneen tai hänen edunsaajansa oikeus saada korvausasiaa koskevia tietoja.. Nykyinen pykälä vahingoittuneen tai hänen edunsaajansa oikeudesta saada korvausasiaa koskevia tietoja kumottaisiin vastaavin perustein kuin työtapaturma- ja ammattitautilain 250 § ja tilalle lisättäisiin uusi säännös automaattisista päätöksistä. Sen mukaan maatalousyrittäjien tapaturmavakuutuslaitoksella on tämän lain toimeenpanossa oikeus tehdä tietosuoja-asetuksen 22 artiklan 1 kohdan mukaisia automaattisia päätöksiä. Vastaava säännös on työtapaturma- ja ammattitautilain mukaisten asioiden toimeenpanoa koskien vakuutusyhtiölain 31 luvun 11 §:ssä. Maatalousyrittäjien työtapaturma- ja ammattitautilain mukaiset oikeusturvakeinot vastaavat työtapaturma- ja ammattitautilain mukaisia oikeusturvakeinoja.

162 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään työtapaturma- ja ammattitautilain ehdotettua uutta 250 §:n säännöstä. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös maatalousyrittäjien eläkelaitoksen hoitaessa maatalousyrittäjän työtapaturma- ja ammattitautilain mukaisia tehtäviä vastaavin perustein kuin mitä työtapaturma- ja ammattitautilain 162 a §:n kohdalla on todettu.

174 a §Päätöksen koneellinen allekirjoittaminen.. Pykälä on uusi ja se vastaisi sisällöllisesti työtapaturma- ja ammattitautilakiin ehdotettua uutta 275 b §:ää.

180 §Siirtymäsäännökset.. Pykälän 2 momenttiin lisättäisiin uusi 5 kohta ehdotettua työtapaturma- ja ammattitautilain 286 §:n 2 momentin muutosta vastaavasti.

1.29

Merimieseläkelaki

2 §Keskeiset määritelmät.. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin.

107 b §Automaattiset päätökset.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 105 b §:ää. Merimieseläkelain mukaiset oikeusturvakeinot vastaavat työntekijän eläkelain mukaisia oikeusturvakeinoja.

217 §Työntekijän ja eläkkeenhakijan oikeus saada tietoja.. Pykälä ehdotetaan kumottavaksi tarpeettomana vastaavin perustein kuin työntekijän eläkelain 193 §.

219 §Työnantajan velvollisuus antaa tietoja.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

219 a §Eläkekassan oikeus tietojen antamiseen eläke- ja kuntoutusasian ratkaisemista sekä kuntoutuksen toteuttamista varten.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 195 a §:ää.

221 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.30

Rintamasotilaseläkelaki

17 §. Pykälän 1 momentissa on luettelo niistä kansaneläkelain ja kansaneläkeindeksistä annetun lain (456/2001) säännöksistä, joita noudatetaan rintamasotilaseläkkeiden toimeenpanossa. Luetteloon lisättäisiin viittaukset kansaneläkelakiin ehdotettuun uuteen 63 §:ään automaattisista päätöksistä ja 96 §:ään rekisteröidyn oikeuden rajaamisesta.

1.31

Sairausvakuutuslaki

15 luku Toimeenpanoa koskevat säännökset

19 luku Tietojen saamista ja luovuttamista koskevat säännökset

1 §Sairausvakuutuskortti.. Pykälän 1 momentissa säädetään sairausvakuutuskortista, ja siihen tehtävistä merkinnöistä. Voimassa olevan pykälän mukaan sairausvakuutuskorttiin merkitään vakuutetun suku- ja etunimet, henkilötunnus ja mahdollinen työpaikkakassan jäsenyys. Sairausvakuutuskorttiin voidaan merkitä myös tieto oikeudesta erityiskorvattaviin lääkkeisiin, rajoitetusti peruskorvattaviin lääkkeisiin ja kliinisiin ravintovalmisteisiin, tieto sairausvakuutuksen voimassaoloajasta ja tieto siitä, ettei vakuutettu ole oikeutettu korvaukseen suorakorvausmenettelyllä. Lisäksi pykälässä säädetään, että korttiin voidaan henkilön suostumuksella merkitä myös muita Kansaneläkelaitoksen hyväksymiä tietoja ja muita sairausvakuutuksen toimeenpanossa välttämättömiä tietoja. Pykälän viimeistä virkettä ehdotetaan muutettavaksi siten, että siinä säädettäisiin, että sairausvakuutuskorttiin voidaan merkitä sairausvakuutuksen toimeenpanossa välttämättömiä tietoja.

6 a §Automaattiset päätökset.. Pykälä on uusi. Säännös vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 63 a §:ää, mutta säännös koskisi myös työpaikkakassoja. Kassa toimii sairausvakuutuslaissa tarkoitettuna työpaikkakassana. Kassan tarkoituksena on myöntää sairausvakuutuslain mukaisia etuuksia ja näiden sääntöjen mukaisia lisäetuuksia. Kassa on oikeutettu saamaan kansaneläkelaitoksen sairausvakuutusrahastosta sairausvakuutuslain mukaisten etuuksien suorittamiseen tarvittavat varat sekä korvausta kassan hallintokuluihin sen mukaan kuin sairausvakuutuslaissa ja sairausvakuutuslain täytäntöönpanosta annetussa valtioneuvoston asetuksessa (1335/2004) säädetään. Kassan toimintaan sovelletaan Vakuutuskassalakia (1164/92) ja sille vahvistettuja sääntöjä. Kassan toiminnan yleisvalvonta kuuluu Finanssivalvonnalle ja kassan sairausvakuutuslain mukaista toimintaa valvoo Kansaneläkelaitos. Sairausvakuutuslain mukaiset etuudet, niiden suuruus ja rajoitukset, vakuutuksen alkaminen ja päättyminen, etuuksien hakeminen ja suorittaminen, muutoksenhaku sekä sairausvakuutuslain mukaiseen toimintaan liittyvät tehtävät määräytyvät sairausvakuutuslain sekä sen nojalla annettujen säännösten ja määräysten mukaisesti. Kassan lisäetuuspäätökseen tyytymätön voi pyytää asiassa ratkaisusuositusta FINE vakuutus- ja rahoitusneuvonnasta ja sen yhteydessä toimivasta vakuutuslautakunnasta.

1 §Oikeus tietojen saamiseen.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 2 momenttia.

5 §Tietojen luovuttaminen eräissä tapauksissa.. Pykälän 2 momentissa säädetään Kansaneläkelaitoksen oikeudesta luovuttaa sairausvakuutuslain 15 luvun 13 §:ssä tarkoitettuihin tutkimuksiin lähetettävän henkilön terveydentilaan ja työhön liittyviä tietoja mainitussa pykälässä tarkoitetulle lääkärille tai terveydenhuollon toimintayksikölle tai tutkimuslaitokselle. Pykälän 2 momenttia ehdotetaan täsmennettäväksi tietojen käyttötarkoituksen osalta siten, että säännöksen perusteella voidaan luovuttaa vain terveydentilan selvittämistä ja työkyvyn arvioimista varten tarpeelliset tiedot.

Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Lainkohdassa on lueteltu luovutettavia tietoja koskevat tietosisällöt ja määritelty ne tahot joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla tarpeellisia terveydentilan selvittämisestä ja työkyvyn arviointia varten. Näin ollen momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa lääkäri, terveydenhuollon toimintayksikkö ja tutkimuslaitos saavat tutkimuksiin lähetettävää henkilöä koskevia tietoja. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

11 §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.32

Sotilasavustuslaki

22 e §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.33

Sotilasvammalaki

44 §. Lakiin ehdotetaan lisättäväksi säännös rekisteröidyn oikeuden rajaamisesta. Pykälä vastaisi työtapaturma- ja ammattitautilain 250 §:ään ehdotettua muutosta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen myös Valtiokonttorin toimeenpannessa sotilasvammalakia vastaavin perustein kuin mitä työtapaturma- ja ammattitautilain 250 §:n kohdalla on todettu.

1.34

Työntekijän eläkelaki

2 §Keskeiset määritelmät.. Pykälän 1 momentin 9 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 9—12 kohdat siirtyisivät 10—13 kohdiksi. Saman momentin 4 kohdan viittaus liikennevakuutuslakiin korjattaisiin koskemaan uutta vuoden 2017 alusta voimaan tullutta liikennevakuutuslakia (460/2016), jolla on kumottu vanha liikennevakuutuslaki (279/1959).

105 b §Automaattiset päätökset.. Pykälä olisi uusi. Pykälä mahdollistaisi tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen lakisääteisen työeläketurvan toimeenpanossa. Artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Työeläkejärjestelmässä on automatisoitu esimerkiksi eräitä vanhuuseläkepäätöksiä.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä työntekijän eläkelain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Ratkaisutoiminnassa on otettava huomioon myös työntekijän eläkelain 40 § eläkelaitoksen asiantuntijalääkäristä ja 105 a § päätöksen perustelemisesta. Työntekijän eläkelain 40 §:n mukaan laillistetun lääkärin on osallistuttava työkyvyttömyys- ja kuntoutusasioiden sekä muiden lääketieteellisiä kysymyksiä sisältävien asioiden valmisteluun ja merkittävä perusteltu arvionsa asiakirjoihin. Työntekijän 105 a §:n mukaan, jos eläkelaitos hylkää etuushakemuksen kokonaan tai osittain ja päätös perustuu keskeisiltä osin lääketieteellisiin seikkoihin, päätöksen perustelujen tulee sisältää arviointiin pääasiallisesti vaikuttaneet seikat ja näiden seikkojen pohjalta tehdyt johtopäätökset.

Kansallinen lainsäädäntö sisältää asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi. Työeläkkeet ovat lakisääteisiä sosiaaliturvaetuuksia, joiden myöntämisperusteista säädetään laissa. Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla. Finanssivalvonta valvoo työeläkevakuutusta hoitavien eläkelaitosten menettelytapojen asianmukaisuutta.

Jos etuuspäätöksen saanut on tyytymätön eläkelaitoksen antamaan päätökseen, voi päätökseen hakea muutosta työeläkelaeissa olevien muutoksenhakusäännösten mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti. Työeläkejärjestelmässä on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin päätöksen tehneelle eläkelaitokselle. Eläkelaitos tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi.

145 §Työsuhteen alkamis- ja päättymisaikaa koskevan tiedon korjaaminen.. Pykälä ehdotetaan kumottavaksi tarpeettomana. Pykälässä velvoitetaan rekisterinpitäjä oikaisemaan virheelliset tiedot siten kuin henkilötietolaissa säädetään. Tietosuoja-asetus edellyttää, että henkilötietojen on oltava täsmällisiä. Rekisterinpitäjän on toteutettava kaikki mahdolliset kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden epätarkat ja virheelliset henkilötiedot poistetaan ja oikaistaan viipymättä. Rekisteröidyllä on oikeus vaatia, että rekisterinpitäjä oikaisee ilman aiheetonta viivytystä rekisteröityä koskevat epätarkat ja virheelliset tiedot. Koska tietosuoja-asetus on suoraan sovellettava, ei erillistä säännöstä virheellisten henkilötietojen oikaisemisesta tarvita työeläkelakeihin.

193 §Työntekijän ja eläkkeenhakijan oikeus saada tietoja.. Pykälä ehdotetaan kumottavaksi tarpeettomana. Pykälän mukaan työntekijälle on pyynnöstä annettava työntekijän eläkeoikeutta koskevat tiedot. Lisäksi työntekijälle on annettava tiedot siitä, mistä hänen tietojaan voidaan hankkia ja mihin niitä voidaan luovuttaa. Tietosuoja-asetuksen mukaan rekisteröidyllä on oikeus saada rekisterinpitäjältä tieto siitä, käsitelläänkö häntä koskevia henkilötietoja vai ei. Jos tietoja käsitellään, rekisteröidyllä on oikeus saada pääsy tietoihinsa ja lisäksi oikeus saada tiedot henkilötietojen käsittelyn tarkoituksesta, henkilötietoryhmistä, tietojen vastaanottajista ja muista asetuksessa määritellyistä tiedoista. Osa tiedoista on sellaisia, jotka on annettava rekisteröidylle ilman erillistä pyyntöä jo siinä vaiheessa, kun rekisteröidyltä kerätään tietoja, esimerkiksi eläkehakemuksen yhteydessä. Tietosuoja-asetus on suoraan sovellettava, joten erillistä säännöstä rekisteröidyn oikeudesta saada itseään koskevia tietoja ei tarvita työeläkelakeihin.

195 §Työnantajan velvollisuus antaa tietoja.. Pykälän 2 momentista ehdotetaan poistettavaksi maininta hakijan suostumuksesta, koska jatkossa hakijalta ei voida pyytää suostumusta laajempaan tietojen antamiseen kuin, mikä on välttämätöntä. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan. Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Pykälän 2 momentissa on määritelty tarkasti ne tahot, joille tietoja voidaan luovuttaa. Lisäksi siinä on säädetty, että luovutettavien tietojen tulee olla välttämättömiä pyydettävien tietojen yksilöimiseksi. Momentin mukaisten tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty, sillä tietoja voidaan luovuttaa vain eläke- ja kuntoutusasian käsittelyä varten tarvittavien tietojen yksilöimiseksi. Tietosuoja-asetuksen 5 artiklan 1 kohdan e alakohdan mukaan henkilötiedot on säilytettävä muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Tämä säännös koskee myös momentin mukaista tilannetta, jossa työnantaja saa tietoja siltä pyydettyjen tietojen yksilöimiseksi. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

195 a §Eläkelaitoksen oikeus tietojen antamiseen eläke- ja kuntoutusasian ratkaisemista sekä kuntoutuksen toteuttamista varten.. Pykälä on uusi ja siinä säädetään eläkelaitoksen oikeudesta antaa eläke- ja kuntoutusasian käsittelyyn ja kuntoutusasian hoitamiseen liittyviä tietoja eri terveydenhuollon toimijoille ja kuntoutuspalveluja tuottaville tahoille. Pykälän tarkoituksena on mahdollistaa tietojen antaminen vastaavassa laajuudessa kuin nykyään, kun tietoja annetaan hakijan suostumuksen perusteella. Pykälässä tarkoitettujen henkilötietojen käsittely perustuu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan.

Eläkelaitoksilla on lain mukaan oikeus hankkia työkyvyttömyys- ja työuraeläkeasian sekä kuntoutusasian käsittelemistä varten tietoja useilta tahoilta. Tietoja on tarpeen myös luovuttaa eläke- ja kuntoutusasian ratkaisemiseksi ja kuntoutuksen toteuttamiseksi. Oikeus tietojen luovuttamiseen on kuitenkin suppeampi kuin oikeus saada tietoja. Tämän vuoksi hakijaa pyydetään työkyvyttömyys- ja työuraeläkehakemuksessa antamaan suostumus tietojen luovuttamiseen muun muassa työterveyshuollolle, hoitavalle lääkärille sekä hoito- ja tutkimuslaitokselle. Lisäksi työeläkekuntoutusta koskevassa asiassa suostumusta pyydetään kuntoutuspäätöksen hoitamiseen liittyvien tietojen luovuttamiseksi esimerkiksi kuntoutusmahdollisuuksien selvittelyyn osallistuvalle kuntoutuslaitokselle tai palveluntuottajalle. Kansaneläkelaitoksen oikeudesta luovuttaa edellä mainittuja tietoja kuntoutusasiassa on säädetty laissa.

Pykälän 1 momentin 1 kohdan mukaan eläkelaitoksella on oikeus salassapitosäännösten ja muiden tiedonsaantia koskevien rajoitusten estämättä antaa työkyvyttömyys- ja työuraeläkeasian käsittelyyn liittyviä tietoja hakijan terveydentilan selvittämiseksi tai työkyvyn arvioimiseksi hakijan työterveyshuollolle, hoitavalle lääkärille tai muulle terveydenhuollon ammattihenkilölle sekä hoito- ja tutkimuslaitokselle, jos tietojen antaminen on välttämätöntä vireillä olevan etuusasian ratkaisemiseksi. Tämä kohta vastaisi käytännössä kaikkia niitä tietojen luovutusta koskevia tilanteita, joihin nykyään pyydetään suostumusta työkyvyttömyys- ja työuraeläkehakemuksissa.

Saman momentin 2 kohdan mukaan eläkelaitoksella on oikeus salassapitosäännösten ja muiden tiedonsaantia koskevien rajoitusten estämättä antaa kuntoutuspäätöksiin ja kuntoutusasian hoitamiseen liittyviä tietoja hakijan terveydentilan selvittämiseksi tai työkyvyn arvioimiseksi hakijan työterveyshuollolle, hoitavalle lääkärille tai muulle terveydenhuollon ammattihenkilölle sekä hoito- ja tutkimuslaitokselle, jos tietojen antaminen on välttämätöntä vireillä olevan etuusasian ratkaisemiseksi tai kuntoutuksen toteuttamiseksi. Tämä kohta vastaisi tietojen luovutusta koskevia tilanteita siltä osin, kun nykyään pyydetään kuntoutushakemuksessa suostumusta siihen, että työeläkelaitos saa luovuttaa hakijaa koskevia kuntoutuspäätöksiä ja muita kuntoutusasian hoitamiseen liittyviä tietoja työpaikan työterveyshuollolle, terveyden- tai sairaudenhoitoon osallistuvalle lääkärille tai muulle terveydenhoidon ammattihenkilölle tai sairaalalle tai terveyskeskukselle.

Saman momentin 3 kohdan mukaan eläkelaitoksella on oikeus salassapitosäännösten ja muiden tiedonsaantia koskevien rajoitusten estämättä antaa kuntoutuspäätöksiin ja kuntoutusasian hoitamiseen liittyviä tietoja hakijan kuntoutusmahdollisuuksien selvittämiseen ja kuntoutustoimenpiteiden toteuttamiseen osallistuville tahoille, jos tietojen antaminen on välttämätöntä kuntoutuksen toteuttamiseksi. Tämä kohta vastaisi tietojen luovutusta koskevia tilanteita siltä osin, kun nykyään kuntoutushakemuksessa pyydetään suostumusta siihen, että työeläkelaitos saa luovuttaa hakijaa koskevia kuntoutuspäätöksiä ja muita kuntoutusasian hoitamiseen liittyviä tietoja kuntoutuslaitokselle tai palveluntuottajalle, jos se osallistuu kuntoutusmahdollisuuksien selvittelyyn; omalle työnantajalle tai työkokeilu- tai työhönvalmennuspaikan tarjoavalle työnantajalle, jolle ei kuitenkaan saa luovuttaa tietoja hakijan terveydentilasta eikä kuntoutuksen ennakkopäätöksestä; työ- tai elinkeinotoimistolle, jos se osallistuu kuntoutusmahdollisuuksien selvittelyyn sekä oppilaitokselle tai oppisopimustoimistolle, jos se on mukana hakijan kuntoutuksessa. Nykykäytäntöä vastaavasti tietoa hakijan terveydentilasta ja kuntoutuksen ennakkopäätöksestä ei siten luovutettaisi työnantajalle jatkossakaan ilman työntekijän suostumusta.

Tietosuoja-asetuksen 9 artiklan 2 kohdan b alakohtaan perustuva henkilötietojen käsittely edellyttää, että kansallisessa lainsäädännössä säädetään rekisteröidyn perusoikeuksia ja etuja koskevista asianmukaisista suojatoimista. Ehdotetussa pykälässä on määritelty tarkasti ne tahot, joille tietoja voidaan luovuttaa ja ne tarkoitukset, joihin tiedot voidaan luovuttaa. Luovutettavien tietojen on oltava välttämättömiä näitä tarkoituksia varten. Tietojen käsittelytarkoitus on yhteensopiva sen tarkoituksen kanssa, jota varten tiedot on kerätty, sillä tietoja voidaan luovuttaa vain eläke- ja kuntoutusasian ratkaisemista ja kuntoutuksen toteuttamista varten. Lainsäädäntö sisältää siten rekisteröidyn perusoikeuksia ja etuja koskevat asianmukaiset suojatoimet.

203 §Tietojen antaminen vakuutusyritysryhmän sisällä.. Pykälän 2 momentissa säädetään työeläkevakuutusyhtiön oikeudesta luovuttaa samaan vakuutusyritysryhmään tai taloudelliseen yhteenliittymään kuuluvalle toiselle yritykselle asiakaspalvelua, asiakassuhteen hoitoa ja muuta asiakashallintaa varten tarpeelliset tiedot. Momentin sanamuotoa täsmennettäisiin siten, että siitä kävisi ilmi, että kyseessä on poikkeus salassapitosäännökseen. Säännös koskee myös henkilötietoja, joiden käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Henkilötietoja käsitellessään työeläkevakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista.

210 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi. Pykälässä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on työntekijän eläkelain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään lakisääteisen työeläketurvan toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Lakisääteisen työeläkevakuutuksen toimeenpano on julkisen hallintotehtävän hoitamista, johon sovelletaan hallintolakia. Hallintolain nojalla eläkelaitoksen on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä.

Työntekijän eläkelain mukaisissa asioissa rekisteröidyllä on käytettävänään työntekijän eläkelain 9 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Työeläkelaeissa on säännökset myös asiavirheen korjaamisesta. Jos eläkelaitoksen päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, eläkelaitos voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä sosiaaliturvan takaamiseksi, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

1.35

Työtapaturma- ja ammattitautilaki

2 §Määritelmät.. Lain 2 §:ssä on määritelty työtapaturma- ja ammattitautilaissa käytettyjä termejä. Pykälän 1 momentin 8 kohtaan ehdotetaan lisättäväksi tietosuoja-asetuksen määritelmä. Nykyiset 8-10 kohdat siirtyisivät 9—11 kohdiksi.

115 §Korvausasian vireilletulosta ilmoittaminen vahingoittuneelle.. Pykälän 1 momentissa säädetään vakuutuslaitoksen velvollisuudesta ilmoittaa vahingoittuneelle häntä koskevan korvausasian vireilletulosta ja siitä mitä tietoja ilmoitukseen on sisällytettävä. Pykälän 2 momentissa säädetään, että ilmoitukseen on sisällytettävä henkilötietolain 24 §:n 1 momentissa tarkoitettu selvitys vahingoittuneen henkilötietojen käsittelystä työtapaturma- ja ammattitautilain mukaisen korvausasian yhteydessä. Pykälän 2 momentti ehdotetaan kumottavaksi tarpeettomana, koska asiasta säädetään tietosuoja-asetuksen 13 ja 14 artiklassa.

250 §Vahingoittuneen tai hänen edunsaajansa oikeus saada korvausasiaa koskevia tietoja.. Pykälässä säädetään vakuutuslaitoksen velvollisuudesta antaa vahingoittuneelle tai hänen edunsaajalleen pyynnöstä hänen korvausasiaansa koskevat tiedot. Pykälässä todetaan, että oikeudesta tarkastaa henkilörekisteristä itseään koskevat tiedot säädetään henkilötietolaissa. Nykyinen säännös ehdotetaan kumottavaksi tarpeettomana, koska asiasta säädetään tietosuoja-asetuksen 15 artiklassa.

Kumotun säännöksen tilalle ehdotetaan uutta säännöstä rekisteröidyn oikeuden rajaamisesta. Säännös olisi poikkeus tietosuoja-asetuksen 18 artiklassa säädetystä rekisteröidyn oikeudesta rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei näin olisi oikeutta siihen, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin siltä osin kuin kyse on työtapaturma- ja ammattitautilain mukaisen tehtävän hoitamisesta. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään lakisääteisen tapaturmavakuutuksen toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Rekisteröidyllä on käytettävänään varsinaiset ja ylimääräiset muutoksenhakukeinot mahdollisesti virheellisten tietojen perusteella annetun päätöksen korjaamiseksi.

252 §Vakuutuslaitoksen ja muutoksenhakuelimen oikeus saada tietoja.. Pykälän 2 momenttia ehdotetaan muutettavaksi vastaavin perustein kuin työntekijän eläkelain 195 §:n 2 momenttia.

255 §Vakuutuslaitoksen oikeus antaa tietoja.. Voimassaolevan pykälän 1 momentin 3 kohdan mukaan vakuutuslaitoksella on oikeus salassapitosäännösten estämättä antaa rikollisuuden ehkäisemiseksi tietoja vain liikennevakuutuslain tai potilasvahinkolain mukaista vakuutusta toimeenpanevalle vakuutuslaitokselle ja edellyttäen, että tietosuojalautakunta on antanut tietojen käsittelyyn henkilötietolain 43 §:ssä tarkoitetun luvan. Yrittäjien ottamien työtapaturma- ja ammattitautilain mukaisten vapaaehtoisten vakuutusten osalta myös vapaaehtoisilla henkilövakuutuksilla voidaan hakea saman tyyppistä vakuutusturvaa, ei ole perusteltua rajata tietojen luovuttamisoikeutta vain toisiin lakisääteisiin vahinkovakuutuksiin. Vakuutusyhtiöiden oikeudesta käsitellä ja luovuttaa työtapaturma- ja ammattitautilain mukaisia tietoja rikollisuuden ehkäisemiseksi toisille vakuutusyhtiöille perustuisi jatkossa vakuutusyhtiölain 30 luvun 3 a §:ään. Tämän vuoksi pykälän 1 momentin 3 kohta ehdotetaan kumottavaksi. Vahinkotietojen luovuttaminen (vahinkorekisteriin) puolestaan perustuisi jatkossa tietosuoja-asetuksen 6 artiklan 1 kohdan f -alakohtaan. Momentin nykyiset 4—7 kohdat siirtyisivät 3—6 kohdiksi.

Pykälän 1 momentin loppuun lisättäisiin uusi 7 kohta, joka mahdollistaisi vahingoittunutta koskevien välttämättömien tietojen antamisen lain 252 §:n 1 momentin 3 kohdassa tarkoitetulle terveydenhuollon toimintayksikölle tai itsenäiselle ammatinharjoittajalle sekä kuntoutuksen palveluntuottajalle ja muulle kuntoutustoimenpiteen toteuttamiseen osallistuvalle taholle työtapaturma- ja ammattitautilain mukaisen kuntoutusasian käsittelemiseksi ja kuntoutuksen toteuttamiseksi. Säännös mahdollistaisi tietojen antamisen esimerkiksi työterveyshuollolle työpaikalla toteutettavien kuntoutustoimenpiteiden toteuttamiseksi. Säännös mahdollistaisi myös sen, että vakuutuslaitos voisi antaa vahingoittunutta koskevia välttämättömiä tietoja myös vakuutuslaitoksen toimeksiannosta toimivalle kuntoutuksen palveluntuottajille. Säännös vastaisi sisällöltään työntekijän eläkelakiin ehdotetun uuden 195 a §:n 2 ja 3 kohtaa. Tietojen käsittely perustuisi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohtaan ja 9 artiklan 2 kohdan b alakohtaan.

Pykälän 4 momentissa säädetään vakuutuslaitoksen oikeudesta luovuttaa samaan konserniin, vakuutusyritysryhmää, taloudelliseen yhteenliittymään tai rahoitus- tai vakuutusryhmittymään kuuluvalle toiselle yritykselle vakuutuksenottajaa koskevia asiakaspalvelua, asiakassuhteen hoitoa ja muuta asiakashallintaa varten tarpeellisia tietoja. Momentin sanamuotoa täsmennettäisiin siten, että siitä kävisi ilmi, että kyseessä on poikkeus salassapitosäännökseen. Säännös koskee myös henkilötietoja, joiden käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Vakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista.

257 §Vakuutuslaitoksen velvollisuus antaa tietoja..Pykälän 4 momentista poistettaisiin viimeinen virke tarpeettomana. Kysymyksessä on niin sanottu informatiivinen viittaus henkilötietolakiin eli säännöksellä ei ole aineellista sisältöä. Jatkossa henkilötietolain korvaa tietosuoja-asetus ja tietosuojalaki, jotka tulevat sovellettavaksi niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

275 a §Automaattiset päätökset.. Pykälä on uusi ja se vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 105 b §:n säännöstä. Pykälä mahdollistaisi vakuutuslaitokselle tietosuoja-asetuksessa tarkoitettujen automaattisten päätösten antamisen, jos se olisi käsiteltävänä olevan vakuutus- tai korvausasian laatu ja laajuus sekä tämän lain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Lähtökohtaisesti automaattisen päätöksen antaminen ei olisi mahdollista asiassa, joka edellyttää tapauskohtaista harkintaa tai esimerkiksi asiassa, jossa vahingoittunutta on kuultava ennen korvauspäätöksen antamista. Myös tämän lain 119 §:ssä säädetty selvittämisvelvollisuus voi käytännössä estää automaattisen päätöksen annon. Niin ikään 121 §:ssä säädetty velvoite lääkäriasiantuntijan osallistumisesta korvausasian käsittelyyn rajaa käytännössä automaattisen päätöksen käyttöä. Tietosuoja-asetuksen tarkoittamia automaattisia päätöksiä voitaisiin sen sijaan antaa esimerkiksi vapaaehtoisten vakuutusten päättämiseen liittyvissä asioissa silloin, kun vakuutus päätetään vakuutusmaksun maksamattomuuden perusteella tai sillä perusteella, että YEL- vakuutus ei ole voimassa. Automaattinen päätös voitaisiin myös antaa myös esimerkiksi silloin, jos maksetaan tämän lain mukaisia kustannuksia annettuun maksusitoumukseen perustuen. Tällöin asia olisi lähinnä täytäntöönpanon luonteista.

Työtapaturma- ja ammattitautilain mukaisten korvausten myöntämisperusteista säädetään laissa. Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla. Finanssivalvonta valvoo työtapaturma- ja ammattitautilain toimeenpanotehtäviä hoitavien vakuutusyhtiöiden menettelytapojen asianmukaisuutta. Myös eduskunnan oikeusasiamies ja valtioneuvoston oikeuskansleri valvovat toimeenpanon lainmukaisuutta. Jälkimmäiset valvovat sitä myös Valtiokonttorin osalta.

Jos korvauspäätöksen saanut on tyytymätön saamansa päätökseen, voi päätökseen hakea muutosta työtapaturma- ja ammattitautilaissa olevien muutoksenhakusäännösten mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti. Työtapaturma- ja ammattitautijärjestelmässä on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin päätöksen tehneelle vakuutuslaitokselle. Vakuutuslaitos tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi.

275 b §Päätöksen koneellinen allekirjoittaminen.. Pykälä on uusi. Siinä säädettäisiin, että vakuutuslaitoksen tämän lain perusteella antama päätös voitaisiin allekirjoittaa koneellisesti. Hallintolaissa ei säädetä päätösten allekirjoittamisesta, mutta hyvään hallintoon on katsottu kuuluvan, että päätökset allekirjoitetaan. Mahdollisesta allekirjoittamatta jättämisestä ja päätöksen koneellisesta allekirjoittamisesta on edellytetty säädettävän erikseen. Työeläkeasioissa eläkelaitoksen ja eläketurvakeskuksen päätös voidaan allekirjoittaa koneellisesti. Tästä on säädetty työeläkelakien täytäntöönpanopanoasetuksissa kuten valtioneuvoston asetuksessa työntekijän eläkelain täytäntöönpanosta (874/2006). Vastaava mahdollisuus olisi tarkoituksenmukaista ulottaa koskemaan myös työtapaturma- ja ammattitautilain mukaisia asioita, jossa päätöstuotanto niin ikään on massaluonteista. Koneellisella allekirjoituksella tarkoitetaan lähtökohtaisesti sitä, että fyysisen allekirjoituksen sijasta asiakirjaan on kirjoitettu asianomaisen henkilön nimi tekstinkäsittelyohjelmalla (HaVM 14/2002 vp).

286 §Siirtymäsäännökset.. Pykälän 2 momenttiin lisättäisiin uusi 5 kohta, jonka myötä myös 35 luvussa olevia tietojen antamista, saamista ja salassapitoa koskevia säännöksiä sekä 275 §:n säännöstä asiakirjojen säilyttämisestä sovellettaisiin työtapaturmiin ja ilmenneisiin ammattitauteihin, jotka ovat sattuneet ennen 1 päivä tammikuuta 2016, jolloin nykyinen työtapaturma- ja ammattitautilaki tuli voimaan. Ehdotetut säännökset voidaan voimaantulon osalta rinnastaa 3 kohdan mukaisiin menettelyllisiin säännöksiin ja on tarkoituksenmukaista, että säännökset koskevat myös vanhojen vahinkojen käsittelyä.

1.36

Työttömyysturvalaki

11 luku Toimeenpanoa koskevat säännökset

13 luku Tietojen saamista ja luovuttamista koskevat säännökset

3 a §Automaattiset päätökset.. Pykälä on uusi. Säännös vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 63 a §:ää, mutta säännös koskisi myös työttömyyskassoja.

Pykälä mahdollistaisi Kansaneläkelaitokselle ja työttömyyskassoille tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen lakisääteisen työttömyysturvan toimeenpanossa. Tietosuoja-asetuksen 22 artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä hyvän hallinnon vaatimukset huomioon ottaen mahdollista.

Kansallinen lainsäädäntö sisältää asianmukaiset toimenpiteet rekisteröityjen oikeuksien ja vapauksien sekä oikeutettujen etujen turvaamiseksi. Työttömyysturvan toimeenpano on jaettu Kansaneläkelaitoksen ja työttömyyskassalaissa tarkoitettujen työttömyyskassojen kesken. Kansaneläkelaitos hoitaa työttömyysturvalain mukaiset toimeenpanotehtävät työmarkkinatuen ja peruspäivärahan osalta ja ansiopäivärahan osalta työttömyyskassat. Kansaneläkelaitos on itsenäinen julkisoikeudellinen laitos, jonka toimintaa valvovat eduskunnan valitsemat valtuutetut.

Työttömyyskassat ovat keskinäisen vastuun perusteella toimivia yhteisöjä, jotka hoitaessaan lakisääteisiä tehtäviään käyttävät julkista valtaa ja hoitavat julkista tehtävää. Työttömyyskassojen osalta julkisen vallan käyttäminen ja julkisen tehtävän hoitaminen perustuvat työttömyyskassalakiin. Työttömyyskassoja valvoo Finanssivalvonta. Kansaneläkelaitoksen ja työttömyyskassojen toimeenpanemat etuudet ovat lakisääteisiä sosiaaliturvaetuuksia, joiden myöntämisperusteista säädetään laissa. Kansaneläkelaitoksen ja työttömyyskassojen toimintaan sovelletaan hallintolakia ja julkisuuslakia.

Rekisteröidyn oikeuksia turvataan laissa olevien menettely- ja muutoksenhakusäännösten avulla. Jos työttömyysetuuspäätöksen saanut on tyytymätön Kansaneläkelaitoksen tai työttömyyskassan antamaan päätökseen, voi päätökseen hakea muutosta työttömyysturvalaissa olevien muutoksenhakusäännösten mukaisesti. Asianosaisella on oikeus saattaa automaattisen päätöksen lainmukaisuus muutoksenhakuelimen arvioitavaksi hakemalla muutosta näiden säännösten mukaisesti. Työttömyysturvassa on käytössä itseoikaisujärjestelmä, jossa valitus toimitetaan ensin päätöksen antaneelle Kansaneläkelaitokselle tai työttömyyskassalle. Kansaneläkelaitos tai työttömyyskassa tutkii tekemänsä päätöksen ja oikaisee päätöksen, jos se hyväksyy kaikilta osin valituksessa esitetyt vaatimukset. Muissa tapauksissa valitus siirtyy muutoksenhakuelimen käsiteltäväksi.

1 §Oikeus tietojen saamiseen.. Pykälän 2 momentin johdantokappaletta ehdotetaan täsmennettäväksi käsittelytarkoituksen osalta siten, että siitä ilmenee, että Kansaneläkelaitoksella ja työttömyyskassalla on oikeus saada pykälässä tarkoitetut tiedot maksutta tässä laissa tai muissa laeissa säädettyjen tehtäviensä hoitamista varten.

Pykälän 3 momenttia ehdotetaan täsmennettäväksi käsittelytarkoituksen osalta siten, että siitä ilmenee, että Kansaneläkelaitoksella ja työttömyyskassalla on oikeus saada pykälässä tarkoitetut tiedot maksutta tässä tai muussa laissa säädettyjen tehtäviensä hoitamista varten.

2 §Tiedot rahalaitoksilta.. Pykälää ehdotetaan muutettavaksi vastaavin perustein kuin kansaneläkelain 86 §:n 1 momentin 7 kohtaa.

7 §Ilmoitusvelvollisuus.. Pykälässä oleva säännös Kansaneläkelaitoksen ja työttömyyskassan ilmoitusvelvollisuudesta on tarpeeton vastaavin perustein kuin elatustukilain 38 §, ja pykälä ehdotetaan kumottavaksi. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen ja työttömyyskassan on annettava etuuden hakijalle etukäteen sopivin tavoin tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, joten säännös tulisi kumota tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten työttömyysturvalaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

9 §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää. Siinä säädettäisiin poikkeus tietosuoja-asetuksen 18 artiklassa säädettyyn rekisteröidyn oikeuteen rajoittaa henkilötietojensa käsittelyä. Rekisteröidyllä ei olisi oikeutta siihen, että Kansaneläkelaitos tai työttömyyskassa rajoittaa henkilötietojen käsittelyä, jos rekisteröidyn vaatimus on ilmeisen perusteeton. Rekisteröidyn oikeuden rajaamista sovellettaisiin silloin kuin Kansaneläkelaitos ja työttömyyskassa hoitavat työttömyysturvalain mukaista tehtävää. Rekisteröidyn oikeuden rajoittaminen koskisi 18 artiklan 1 kohdan a alakohtaa, jonka mukaan käsittelyä rajoitetaan, jos rekisteröity on kiistänyt henkilötietojen paikkansapitävyyden. Rekisteröidyn oikeuden rajaamisen tarkoituksena olisi estää se, että rekisteröity voisi perusteettomasti pyrkiä keskeyttämään työttömyysturvan toimeenpanon vetoamalla oikeuteen rajoittaa käsittelyä.

Kansaneläkelaitoksen ja työttömyyskassan on ratkaisutoiminnassa noudatettava hallintolakia. Hallintolain nojalla niiden on huolehdittava asian riittävästä ja asianmukaisesta selvittämisestä hankkimalla asian ratkaisemiseksi tarpeelliset tiedot sekä selvitykset. Työttömyysturvalain mukaisissa asioissa rekisteröidyllä on käytettävänään työttömyysturvalain 12 luvun mukaiset muutoksenhakukeinot, jotka mahdollistavat sen, että mahdollisesti virheellisten tietojen perusteella annettu päätös korjataan. Muutoksenhakusäännökset toimivat rekisteröidyn oikeusturvan takeina, kun rekisteröidyltä lakiin perustuen evätään mahdollisuus tietojen käsittelyn rajoittamiseen. Työttömyysturvalaissa on säännökset myös asiavirheen korjaamisesta. Jos Kansaneläkelaitoksen tai työttömyyskassan päätös perustuu selvästi virheelliseen tai puutteelliseen selvitykseen tai ilmeisen väärään lain soveltamiseen taikka päätöstä tehtäessä on tapahtunut menettelyvirhe, Kansaneläkelaitos tai työttömyyskassa voi poistaa virheellisen päätöksensä ja ratkaista asian uudelleen. Päätös voidaan korjata asianosaisen eduksi. Päätöksen korjaaminen asianosaisen vahingoksi edellyttää, että asianosainen suostuu päätöksen korjaamiseen. Ehdotettua rajoitusta rekisteröidyn oikeuksiin voidaan pitää välttämättömänä ja oikeasuhteisena toimenpiteenä, eikä rajoitus uhkaa rekisteröidyn perusoikeuksia.

10 §Etuudensaajarekisteri.. Pykälän 3 momentti ehdotetaan kumottavaksi tarpeettomana. Momentissa on nykyään niin sanottu informatiivinen viittaus viranomaisten toiminnan julkisuudesta annettuun lakiin ja henkilötietolakiin eli säännöksellä ei ole aineellista sisältöä. Jatkossa henkilötietolain korvaavat yleinen tietosuoja-asetus ja tietosuojalaki, jotka tulevat sovellettavaksi niiden soveltamisalaa koskevien säännösten mukaisesti ilman viittausta. Myös viranomaisten toiminnan julkisuudesta annettu laki tulee jatkossakin yleislakina sovellettavaksi sen soveltamisalaa koskevien säännösten mukaisesti ilman viittausta.

1.37

Vakuutuskassalaki

165 c §. Pykälässä säädettäisiin vakuutuskassan oikeudesta luovuttaa tietoja 165 §:ssä säädetyn vaitiolovelvollisuuden estämättä. Pykälä vastaisi asiallisesti eläkesäätiölain 132 c §:ää.

166 §. Pykälässä säädettäisiin sairauskassan ja lisäeläketoimintaa harjoittavan kassan oikeudesta tehdä tietosuoja-asetuksessa tarkoitettuja automaattisia päätöksiä. Pykälä vastaisi asiallisesti eläkesäätiölain 133 §:ää. Vakuutuskassoja valvoo Finanssivalvonta. Valvonta kattaa asiakassuhteissa noudatettavien menettelytapojen valvonnan. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi ratkaisusuosituksia lisäeläkkeitä koskeviin erimielisyyksiin antaa vakuutuslautakunta.

1.38

Vakuutusyhdistyslaki

16 luku Erinäisiä säännöksiä

10 §. Pykälän 4 momentin 6 kohta ehdotetaan kumottavaksi, koska vakuutusyhdistyksillä ei ole tietosuojalautakunnan lupaan perustuvaa järjestelmää käytössä tietojen luovuttamiseen vakuutusyhdistyksiin kohdistuneista rikoksista. Momentin nykyiset 7—9 kohdat siirtyisivät kohdiksi 6—8. Muutoin 4 momenttiin tehtäisiin vastaavat muutokset kuin vakuutusyhtiölain 30 luvun 3 §:n 1 momenttiin.

Pykälän 5 ja 7 momenttiin tehtäisiin vastaavat tekniset muutokset kuin vakuutusyhtiölain 30 luvun 3 §:n 1 ja 3 momenttiin. Pykälän 6 momentti ehdotetaan kumottavaksi tarpeettomana.

13§. Vakuutusyhdistyslakiin ehdotetaan lisättäväksi automaattisten päätösten antamisen salliva pykälä vastaavin perustein kuin vakuutusyhtiölakiin. Vakuutusyhdistyksen on noudatettava vakuutussopimuslakia ja hyvää vakuutustapaa riippumatta siitä tehdäänkö päätös tekoälyn avulla vai osallistuuko asian käsittelyyn ihminen. Vakuutusyhdistyksiä valvoo Finanssivalvonta. Valvonta kattaa asiakassuhteissa noudatettavien menettelytapojen valvonnan. Korvausasioissa muutoksenhakueliminä toimivat yleiset tuomioistuimet. Lisäksi ratkaisusuosituksia vapaaehtoisia vakuutuksia koskeviin erimielisyyksiin antavat vakuutuslautakunta ja kuluttajariitalautakunta.

Kaikki Suomessa tällä hetkellä toimivat vakuutusyhdistykset harjoittavat kalastusvakuutusta, johon sovelletaan lisäksi mitä kaupallisen kalastuksen vakuutustuesta annetussa laissa (998/2012) säädetään. Elinkeino-, liikenne- ja ympäristökeskus ohjaa ja valvoo kalastusvakuutuslaitoksia niiden hoitaessa edellä mainitussa laissa säädettyjä tehtäviä. Kalastusvakuutuslaitoksen päätökseen saa vaatia oikaisua Varsinais-Suomen elinkeino-, liikenne- ja ympäristökeskukselta siten kuin hallintolaissa säädetään.

1.39

Vakuutusyhtiölaki

6 luku Vakuutusyhtiön johto, hallintojärjestelmä ja varojen sijoittaminen

31 luku Vakuutusyhtiön toimintaa koskevat muut säännökset

17 a §Rikkomuksista ilmoittaminen.. Pykälästä poistettaisiin viittaukset henkilötietolakiin tarpeettomina. Pykälän 3 momentin viittaus muutettaisiin siten, että rekisteröidyllä ei olisi tietosuoja-asetuksen mukaista oikeutta saada pääsyä 1 ja 2 momentissa tarkoitettuihin tietoihin. Rekisteröidyn oikeuden rajoittaminen on tarpeen rikosten selvittämiseen liittyvän tärkeän yleisen edun vuoksi.

Salassapitovelvollisuus ja oikeus tietojen luovuttamiseen 30 luku

3 §Poikkeukset salassapitovelvollisuuteen.. Pykälässä säädettäisiin poikkeuksista 1 §:n mukaiseen salassapitovelvollisuuteen, jonka mukaan vakuutusyhtiön asiakkaan taloudellinen asema, terveydentila tai muut henkilökohtaisia oloja koskevat seikat ja liike- tai ammattisalaisuudet ovat salassa pidettäviä. Silloin kun kyseiset tiedot koskevat luonnollista henkilöä, ne ovat samalla myös henkilötietoja ja niitä koskee tietosuoja-asetus sekä sitä täydentävä kansallinen tietosuojalaki. Henkilötietojen käsittelyssä tietosuoja-asetus on aina ensisijainen suhteessa kansalliseen lainsäädäntöön. Pykälässä säädettäisiin tältä osin ainoastaan poikkeuksesta kansalliseen salassapitosäännökseen. Vakuutusyhtiön olisi aina varmistettava, että henkilötietojen käsittely ja luovutus olisi tietosuoja-asetuksen mukaista. Pykälän johdantolauseen sanamuodon muuttamisella korostettaisiin tietoja luovuttavan tahon velvollisuutta varmistaa tietosuoja-asetuksen mukaisten edellytysten olemassaolo ennen luovutukseen ryhtymistä.

Pykälän 1 momentti vastaisi voimassa olevaa lainsäädäntöä, mutta siihen tehtäisiin eräitä teknisiä muutoksia ja täsmennyksiä. Momentin 4 kohtaa täsmennettäisiin siten, että tietoja voisi luovuttaa vakuutusalan lautakunnalle tai toimielimelle, joka on kuluttajariitojen vaihtoehtoisesta riidanratkaisusta sekä asetuksen (EY) N:o 2006/2004 ja direktiivin 2009/22/EY muuttamisesta annetun Euroopan parlamentin ja neuvoston direktiivin 2013/11/EU 20 artiklan 2 kohdan mukaisesti ilmoitettu Euroopan komissiolle. Vakuutusalan lautakuntia ovat muun muassa liikennevahinkolautakunta ja potilasvahinkolautakunta. Suomi on ilmoittanut komissiolle kuluttajariitoja ratkaiseviksi toimielimiksi kuluttajariitalautakunnan sekä Vakuutuslautakunnan, Pankkilautakunnan ja Arvopaperilautakunnan. Tietoja saa tämän kohdan nojalla luovuttaa lautakuntaan tai toimielimeen saatetun asian käsittelemistä varten. Momentin 6 kohdasta poistettaisiin viittaus henkilötietolakiin ja lisättäisiin viittaus uuteen 3 a §:ään, joka korvaisi tietosuojalautakunnan luvan. Momentin 7 kohdasta poistettaisiin maininta sosiaali- ja terveysministeriön luvasta. Tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdan mukaan tietojen luovuttaminen tieteellisiä ja historiallisia tutkimustarkoituksia varten ei olisi yhtyeensopimatonta tietojen alkuperäisen tarkoituksen kanssa. Tietojen luovuttaminen edellyttää sen varmistamista, että tietojen vastaanottajalla on lainmukainen käsittelyperuste. Voimassa olevan lain lupamenettely henkilötietojen luovuttamiseksi saattaisi näiltä osin olla tietosuoja-asetuksen vastainen. Lupamenettelyä ei voida pitää tarkoituksenmukaisena myöskään silloin kuin kyse on muista salassa pidettävistä tiedoista kuin henkilötiedoista.

Pykälän 2 momentti vastaisi voimassa olevaa lakia.

Pykälän 3 momentin mukaan vakuutusyhtiö voisi 1 momentissa tarkoitetuissa tilanteissa luovuttaa ainoastaan sellaisia tietoja, jotka ovat välttämättömiä kyseessä olevien tehtävien suorittamiseksi. Muutos perustuu perustuslakivaliokunnan ratkaisukäytäntöön. Perustuslakivaliokunta on katsonut, että jos luovutettavia tietosisältöjä ei ole lueteltu tyhjentävästi, sääntelyyn on pitänyt sisällyttää vaatimus tietojen välttämättömyydestä jonkin tarkoituksen kannalta.

3 a §Vakuutusyhtiön oikeus käsitellä tietoja siihen kohdistuneista rikosepäilyistä ja rikoksista.. Lakiin ehdotetaan lisättäväksi uusi pykälä vakuutusyhtiön oikeudesta käsitellä tietoja siihen kohdistuneista rikoksista ja rikosepäilyistä. Pykälä koskisi vapaaehtoisen vakuutustoiminnan lisäksi myös liikennevakuutuslain ja työtapaturma- ja ammattitautilain mukaista vakuutustoimintaa. Vakuutusyhtiön oikeudesta käsitellä rikostietoja korvausasian ratkaisemiseksi säädetään tietosuojalain 6 §:ssä.

Pykälä olisi tarpeen, koska tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin liittyvä henkilötietojen käsittely olisi mahdollista vain viranomaisen valvonnassa tai kun se sallitaan jäsenvaltion lainsäädännössä. Tärkeä yleinen etu edellyttää, että tällainen henkilötietojen käsittely on mahdollista vakuutusyhtiöihin kohdistuvien rikosten ehkäisemiseksi ja selvittämiseksi. Pykälässä säädetty tietojen käsittely perusituisi tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohtaan, eli olisi tarpeen yleistä etua koskevan tehtävän suorittamiseksi.

Pykälän 1 momentti oikeuttaa vakuutusyhtiöitä käsittelemään tietoja niihin kohdistuneista epäillyistä tai toteutuneista rikoksista.

Pykälän 2 momentissa säädetään rekisteriin merkittävistä tiedoista. Vakuutusyhtiö saa merkitä rekisteriin tiedon vahinkotapahtumasta ja vakuutusyhtiöstä, johon rikos tai sen epäily on kohdistunut. Lisäksi rekisteriin saadaan merkitä tieto tallennusajasta. Tieto on tarpeen, koska tiedon säilyttämisaika lasketaan tallentamisajasta lähtien. Lisäksi rekisteriin saadaan merkitä rekisteröidyn nimi, henkilötunnus, osoite ja ammatti sekä tiedon siitä tuomioistuimesta, jossa asia käsitellään. Rekisteriin saadaan merkitä myös tieto siitä vakuutusyhtiön työntekijästä, joka on ilmoittanut rekisteröitävät tiedot. Rekisteriin merkittävät tiedot vastaavat tietosuojalautakunnan vahvistamia lupaehtoja.

Rekisteröidyn oikeusturvan takaamiseksi pykälän 3 momentissa edellytetään, että rekisteröitävä epäilty tai toteutunut rikos on saatettu toimivaltaisen viranomaisen tutkittavaksi. Ehdotetun lainkohdan mukaan tieto olisi rekisteröitävä vuoden kuluessa siitä, kun rikosprosessi on saatettu vireille tai vakuutusyhtiö on saanut tiedon rikosprosessin vireille saattamisesta. Määräaika on tarpeen, jotta rekisteröinnin viivästyminen ei voi kohtuuttomasti siirtää säilyttämisajan alkua.

Pykälän 4 momentin mukaan tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun rekisteröity on todettu syyttömäksi tai prosessista on muuten luovuttu. Poistaminen on tehtävä välittömästi, koska rekisterimerkinnällä voi olla kielteisiä vaikutuksia rekisteröidylle.

Pykälän 5 momentin mukaan tiedot olisi poistettava viiden vuoden kuluessa rekisterimerkinnän tekemisestä. Säilyttämisaika lasketaan kyseistä tekoa koskevan rekisterimerkinnän tekemisestä ensimmäisen kerran. Tietojen poistaminen ja uudelleen merkitseminen esimerkiksi muuttuneen tuomion vuoksi ei siten vaikuta säilyttämisaikaan. Tietojen säilyttäminen tätä pidempään ei ole perusteltua niiden käyttötarkoituksen kannalta.

Pykälän 6 momentissa säädettäisiin vakuutusyhtiön velvollisuudesta ilmoittaa rekisteröidylle, jos vakuutushakemuksen epääminen tai muu rekisteröidyn kannalta kielteinen päätös johtuu rekisterimerkinnästä.

11 §Automaattiset päätökset.. Vakuutusyhtiölakiin lisättäisiin uusi tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitettujen automaattisten päätösten antamisen salliva pykälä. Artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi. Pykälä olisi tarpeen, jotta vakuutusyhtiöt voisivat jatkaa automaattisten päätösten tekoa tietosuoja-asetuksessa sallittua laajemmin. Päätöksellä tarkoitettaisiin kaikkea sellaista päätöksentekoa vakuutusyhtiössä, jolla on merkittäviä oikeusvaikutuksia rekisteröityyn, esimerkiksi korvauspäätöstä, päätöstä vakuutuksen myöntämisestä ja vakuutuksen hinnoittelusta.

Pykälän 1 momentin mukaan vakuutusyhtiöllä olisi oikeus tehdä tietosuoja-asetuksessa tarkoitettuja automaattisia päätöksiä. Vakuutusalaa koskeva lainsäädäntö on lähtökohtaisesti välineneutraalia. Vakuutusyhtiön on noudatettava esimerkiksi vakuutussopimuslakia ja hyvää vakuutustapaa riippumatta siitä tehdäänkö päätös tekoälyn avulla vai osallistuuko asian käsittelyyn ihminen. Lakisääteisissä vakuutuksissa vakuutusyhtiön päätöksentekotoiminnan on lisäksi täytettävä hyvän hallinnon vaatimukset.

Pykälän 2 momentin mukaan rekisteröidyllä on oikeus vaatia, että automaattinen päätös käsitellään uudelleen luonnollisen henkilön toimesta. Tekniikan kehittyminen tulevaisuudessa mahdollistaa todennäköisesti automaattisten päätösten antamisen yhä monimutkaisemmissa asioissa. Momentin suojatoimenpiteellä halutaan varmistaa, että rekisteröity saa asiansa luonnollisen henkilön käsiteltäväksi myös ilman varsinaista muutoksenhakua käräjäoikeuteen sekä siihen liittyvää kuluriskiä. Käytännössä vakuutusyhtiöt käsittelevät uudelleen tekemänsä päätökset, vaikkei asiasta ole nimenomaista lain säännöstä. Vakuutusyhtiöillä on esimerkiksi asiakasasiamiehiä, jotka käsittelevät asiakkaiden oikaisupyyntöjä.

1.40

Vuorotteluvapaalaki

21 §Työttömyysturva- ja työttömyyskassalain soveltaminen.. Pykälän 1 momenttiin ehdotetaan lisättäväksi, että vuorotteluvapaalain mukaisiin automaattisiin päätöksiin sovellettaisiin, mitä työttömyysturvalaissa säädetään. Automaattisen päätöksen antaminen vuorottelukorvausasiassa olisi vastaavasti kuin työttömyysturvalaissa säädetään mahdollista. Lisäksi pykälän 1 momentista ehdotetaan poistettavaksi viittaus, jonka mukaan työttömyysturvan muutoksenhakulautakunnasta on voimassa, mitä työttömyysturvalaissa säädetään. Viittaus on tarpeeton, koska vuoden 2018 alusta voimaan tulleella lailla työttömyysturvalain 12 a luvun kumoamisesta (795/2017) työttömyysturvalain12 a luku on kumottu eikä työttömyysturvalaki enää sisällä muutoksenhakulautakuntaa koskevia säännöksiä.

1.41

Yrittäjän eläkelaki

2 §Keskeiset määritelmät.. Pykälän 1 momenttiin ehdotetaan tehtäväksi vastaavat muutokset kuin työntekijän eläkelain 2 §:n 1 momenttiin on ehdotettu.

95 b §Automaattiset päätökset.. Pykälä olisi uusi ja se vastaisi sisällöltään esityksessä ehdotettua uutta työntekijän eläkelain 105 b §:ää. Yrittäjän eläkelain mukaiset oikeusturvakeinot vastaavat työntekijän eläkelain mukaisia oikeusturvakeinoja.

146 §Sovellettavat säännökset.. Pykälän 4 momentissa säädetään niistä työntekijän eläkelain säännöksistä, joita sovelletaan yrittäjän eläkelain toimeenpanossa. Momenttiin lisättäisiin uusi 1 kohta, jossa viitattaisiin työntekijän eläkelakiin ehdotettuun uuteen 195 a §:ään. Pykälän nykyiset kohdat 1—9 siirtyisivät kohdiksi 2—10.

148 §Yrittäjän ja eläkkeenhakijan oikeus saada tietoja.. Pykälä ehdotetaan kumottavaksi vastaavin perustein kuin työntekijän eläkelain 193 §.

152 a §Rekisteröidyn oikeuden rajaaminen.. Pykälä olisi uusi ja se vastaisi sisällöltään työntekijän eläkelakiin ehdotettua uutta 210 a §:ää. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien työeläkelakien osalta vastaavin perustein kuin mitä työntekijän eläkelain kohdalla on todettu.

1.42

Äitiysavustuslaki

14 b §Rekisteröidyn oikeuden rajaaminen.. Pykälää ehdotetaan muutettavaksi vastaavasti kuin elatustukilain 38 §:ää. Pykälässä oleva säännös ilmoitusvelvollisuudesta kumottaisiin ja pykälään otettaisiin säännös rekisteröidyn oikeuden rajaamisesta. Rekisteröidyn oikeuksien rajaaminen ehdotetulla tavalla on tarpeen kaikkien Kansaneläkelaitoksen toimeenpanemien lakisääteisten etuuksien osalta vastaavin perustein kuin mitä kansaneläkelain 96 §:n kohdalla on todettu.

1.43

Opintotukilaki

8 §Toimeenpano.. Pykälään ehdotetaan lisättäväksi Kansaneläkelaitokselle tämän lain mukaisessa opintotuen toimeenpanossa oikeus tehdä tietosuoja-asetuksen 22 artiklan 1 kohdan mukaisia automaattisia päätöksiä. Säännös vastaisi muuhun sosiaaliturva- ja vakuutuslainsäädäntöön ehdotettua säännöstä automaattisesta päätöksestä.

Tietosuoja-asetuksen 22 artiklassa automaattisella päätöksellä tarkoitetaan sellaista päätöstä, joka perustuu pelkästään automaattisen käsittelyyn ja jolla on rekisteröityä koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi.

Automaattisten päätösten antaminen olisi sallittua, jos automaattisen päätöksen antaminen on käsiteltävänä olevan asian laatu ja laajuus sekä opintotukilain ja hyvän hallinnon vaatimukset huomioon ottaen mahdollista. Ehdotettu muutos on tarpeellinen, jotta Kansaneläkelaitos voisi tehdä opintotukihakemusten käsittelyssä automaattipäätöksiä. Kansaneläkelaitos hyödyntää automaattipäätöksissä tietoja, joihin sillä on opintotukilain 41 b §:n perusteella oikeus.

Kansaneläkelaitoksen toimeenpanemat etuudet ovat lakisääteisiä sosiaaliturvaetuuksia, joiden myöntämisperusteista säädetään laissa. Jos opintotukipäätöksen saanut on tyytymätön Kansaneläkelaitoksen antamaan päätökseen, voi päätökseen hakea muutosta opintotukilaissa olevien muutoksenhakusäännösten mukaisesti.

43 b §Rekisteröidyn oikeuden rajaaminen.. Voimassa oleva säännös Kansaneläkelaitoksen ilmoitusvelvollisuudesta ehdotetaan kumottavaksi tarpeettomana. Voimassa olevan pykälän mukaan Kansaneläkelaitoksen on annettava opintotuen hakijalle etukäteen tiedot siitä, mistä häntä koskevia tietoja voidaan hankkia ja mihin niitä voidaan säännönmukaisesti luovuttaa. Tietosuoja-asetus sisältää nykyistä sääntelyä yksityiskohtaisempia määräyksiä rekisterinpitäjän informointivelvollisuudesta, minkä vuoksi säännös ehdotetaan kumottavaksi tarpeettomana.

Rekisterinpitäjän informointivelvollisuudesta säädetään tietosuoja-asetuksen 13—15 artiklassa. Asetuksen 13 artiklassa säädetään rekisteröidylle toimitettavista tiedoista, kun henkilötiedot kerätään suoraan rekisteröidyltä ja 14 artiklassa säädetään tilanteista, joissa henkilötiedot kerätään muualta kuin rekisteröidyltä. Artiklojen perusteella rekisterinpitäjän on ilmoitettava rekisteröidylle muun muassa henkilötietojen vastaanottajat ja vastaanottajaryhmät sekä se, mistä henkilötietoja on saatu. Lisäksi 15 artiklan perusteella rekisteröidyllä on oikeus saada pääsy henkilötietoihinsa ja muun muassa tiedot henkilötietojen vastaanottajista ja vastaanottajaryhmistä sekä kaikki tietojen alkuperästä käytettävissä olevat tiedot. Tietosuoja-asetuksen säännökset ovat suoraan sovellettavia, joten opintotukilaissa ei tarvitse erikseen säätää Kansaneläkelaitoksen ilmoitusvelvollisuudesta.

Pykälää ei kokonaan kumottaisi, vaan siihen otettaisiin uudet säännökset rekisteröidyn oikeuden rajaamisesta. Näin ollen myös pykälän otsikkoa ehdotetaan muutettavaksi. Pykälässä säädettäisiin jatkossa rekisteröidyn oikeuden rajaamisesta. Uudistettu pykälä vastaisi sisällöltään kansaneläkelakiin ehdotettua uutta 96 §:ää.

1.44

Laki julkisesta työvoima- ja yrityspalvelusta

9 luku Kulukorvaus

5 §Työttömyysturvalain ja työttömyyskassalain soveltaminen.. Kulukorvauksiin ehdotetaan sovellettavaksi myös työttömyysturvalain automaattisia päätöksiä koskevaa säännöstä ja siten pykälän 1 momentin 2 kohtaan ehdotetaan lisättäväksi viittaus työttömyysturvalain 11 luvun 3 a §:ään (automaattiset päätökset).

1.45

Luottolaitoslaki

15 luku Menettelytavat asiakasliiketoiminnassa

18 a §Väärinkäytöksiin liittyvien henkilötietojen käsittely.. Lakiin lisättäisiin uusi 18 a §. Säännös olisi tarpeen, koska EU:n yleisen tietosuoja-asetuksen 10 artiklan mukaan rikostuomioihin ja rikkomuksiin tai niihin liittyviin turvaamistoimiin liittyvien henkilötietojen käsittely tietosuoja-asetuksen 6 artiklan 1 kohdan perusteella suoritetaan vain viranomaisen valvonnassa tai silloin, kun se sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.

Luottolaitosten nykyisin ylläpitämät väärinkäytösrekisterit, joita nykyisin kutsutaan niin sanotuiksi asiakashäiriörekistereiksi, perustuvat tietosuojalautakunnan päätöksiin (ks. erityisesti Tietosuojalautakunta, 2/4.2.2004 diaarinumero 8/932/2003 ja Helsingin hallinto-oikeus 15.12.2004 04/1066/2, 01641/04/5310). Rekistereiden tarkoituksena on ollut estää luottolaitoksiin kohdistuvia väärinkäytöksiä sekä edistää kiinnijäämisriskiä. Rekisterien teknisestä ylläpidosta vastaa ulkopuolinen palveluntarjoaja. Asiakashäiriörekisterissä oli heinäkuussa 2017 rekisteröitynä 474 henkilöä.

EU:n yleistä tietosuoja-asetusta sovelletaan toukokuusta 2018 alkaen, jonka jälkeen tietosuojalautakunnan lupaan perustuva henkilötietojen käsittely ei ole enää mahdollista, vaan kaikkeen henkilötietojen käsittelyyn sovelletaan EU:n yleistä tietosuoja-asetusta. Tästä seuraa, että asiasta on annettava kansallista täydentävää sääntelyä asetuksen edellyttämien erityisten suojatoimien osalta sekä sääntelyn tarkkarajaisuusvaatimuksen osalta, jotta henkilötietojen käsittelyä voidaan jatkaa. Sinällään itse henkilötietojen käsittelemisen oikeusperusta seuraa EU:n yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan d alakohdasta, mutta koska väärinkäytösrekisterien yhteydessä on voitava käsitellä asetuksen 10 artiklassa tarkoitettuja rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja, on tästä tarpeen säätää erikseen kansallisesti. Käsittely on tarpeen rekisterinpitäjän oikeutetun edun toteuttamiseksi eli siihen kohdistuvien väärinkäytösten ehkäisemiseksi ja selvittämiseksi, eikä tämä tarve tietojen käsittelylle muutu asetuksen voimaantullessa. Niin ikään EU:n yleisen tietosuoja-asetuksen resitaaleissa todetaan välttämättömän henkilötietojen käsittelyn petosten estämistarkoituksissa olevan asianomaisen rekisterinpitäjän oikeutetun edun mukaista. Pykälässä väärinkäytösrekisterille asetettavat edellytykset vastaisivat pääosin tietosuojalautakunnan päätöksissä asetettuja edellytyksiä.

Pykälän 1 momentissa säädettäisiin rekisterin käyttötarkoitussidonnaisuudesta. Momentin mukaan luotto- ja rahoituslaitos voisi käsitellä henkilötietoja niihin kohdistuvista tai epäillyistä rikoksista ja rikkomuksista ja tallentaa niitä väärinkäytösrekisteriin. Rekisteriin, rekisterinpitäjään ja rekisteröityyn sovellettaisiin EU:n yleistä tietosuoja-asetusta ja henkilötietojen suojaan liittyvää kansallista lainsäädäntöä, kuten uutta tietosuojalakia, joka tätä esitystä annettaessa on eduskunnan käsiteltävänä.

Pykälän 2 momentissa säädettäisiin niistä tiedoista, joita tietojen käsittelemisen yhteydessä väärinkäytösrekisteriin voitaisiin tallentaa. Säännöksen sisältämä luetelma sallituista tiedoista olisi tyhjentävä.

Pykälän 3 momentin mukaan EU:n yleisen tietosuoja-asetuksen 10 artiklan edellyttämällä tavalla tietojen käsittelyn edellytyksenä olisi momentista ilmenevät oikeusturvan takeet. Pykälän 4 momentissa säädettäisiin erityisestä määräajasta tietojen poistamiselle ja 5 momentissa absoluuttisesta takarajasta tietojen poistamiselle.

Pykälän 6 momentin mukaan luotto- ja rahoituslaitoksella olisi nimenomainen velvollisuus ilmoittaa rekisteröidylle häntä koskevien henkilötietojen käsittelystä sekä siitä, jos rekisterimerkintää olisi käytetty päätöksessä, joka olisi kielteinen rekisteröidyn kannalta. Momentissa mainittaisiin esimerkkinä luoton epääminen sellaisena kielteisenä päätöksenä, joista olisi annettava tieto rekisteröidylle luottolaitoksen asiakkaalle tai asiakkaaksi aikovalle. Listaus ei kuitenkaan olisi tyhjentävä, vaan säännös voisi soveltua muihinkin tilanteisiin, kuten esimerkiksi kieltäytymiseen tilin avaamisesta. Asiakkaan oikeudesta peruspankkipalveluihin ja luottolaitoksen kieltäytymisperusteista säädetään luottolaitostoiminnasta annetun lain 15 luvun 6 §:ssä.

2

Voimaantulo

Lait ehdotetaan tulemaan voimaan 25 päivänä toukokuuta 2018 eli päivänä, jona tietosuoja-asetusta aletaan soveltaa.

3

Suhde perustuslakiin ja säätämisjärjestys

Ehdotetut lait liittyvät perustuslain 10 §:än, jonka 1 momentin mukaan jokaisen yksityiselämä on suojattu. Momentin mukaan henkilötietojen suojasta säädetään tarkemmin lailla.

Henkilötietojen suoja on myös Euroopan unionin perusoikeuskirjan mukaan perusoikeus. Perusoikeuskirjan 8 artiklan mukaan jokaisella on oikeus henkilötietojensa suojaan. Tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. Jokaisella on oikeus tutustua niihin tietoihin, joita hänestä on kerätty, ja saada ne oikaistuksi. Perusoikeuskirjan 52 artiklassa säädetään perusoikeuksien rajoittamisen edellytyksistä. Artiklan 1 kohdan mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia.

Euroopan ihmisoikeussopimus ei sisällä mainintaa henkilötietojen suojasta, mutta sen 8 artiklassa turvataan yksilöille oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Euroopan ihmisoikeuskomitea on katsonut, että henkilötietojen suoja voi tulla käsitellyksi suoraan osana yksityiselämän suojaa.

Tietosuoja-asetus on kansallisesti suoraan sovellettavaa lainsäädäntöä. Asetus jättää kuitenkin jäsenvaltioille direktiivinomaista kansallista liikkumavaraa. Kansallisella lainsäädännöllä on asetuksessa säädetyin edellytyksin mahdollista tarkentaa ja täsmentää asetuksen säännöksiä. Lisäksi tietyissä tilanteissa asetus antaa mahdollisuuden säätää kansallisella lainsäädännöllä poikkeuksia asetuksessa säädetyistä oikeuksista ja velvollisuuksista. Asetus sisältää säännökset siitä, mistä oikeuksista ja velvollisuuksista on mahdollista poiketa, ja mitkä ovat edellytykset poikkeukselle. Perustuslakivaliokunta on pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (PeVL 1/2018 vp ja PeVL 25/2005 v).

Tämän hallituksen esityksen tavoitteena on saattaa kansallinen sosiaaliturva- ja vakuutuslainsäädäntö yhteensopivaksi tietosuoja-asetuksen kanssa. Tietosuoja-asetuksen kanssa ristiriitaiset tai päällekkäiset säännökset ehdotetaan kumottavaksi, koska asetus on suoraan sovellettavaa oikeutta. Lisäksi esityksessä esitetään eräitä tietosuoja-asetusta tarkentavia säännöksiä ja välttämättömiä poikkeuksia tietosuoja-asetuksen velvoitteista. Yleisperusteluissa ja yksityiskohtaisissa perusteluissa esitetyin perustein nämä tarkennukset ja poikkeukset täyttävät tietosuoja-asetuksessa asetetut edellytykset asetuksen säännöksistä poikkeamiselle.

Automaattisia päätöksiä koskevat säännökset ovat tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan mukaisia kansallisia säännöksiä, joilla poiketaan 22 artiklan 1 kohdan pääsäännöstä. Automaattisten päätösten sallimisen keskeisenä tavoitteena on toimeenpanon tehostaminen. Lakisääteisten etuuksien osalta oikeus saada asiansa käsitellyksi ilman aiheetonta viivytystä on osa perustuslain 21 §:ssä turvattuja hyvän hallinnon takeita. Automaattisten päätösten sallimiselle voidaan katsoa olevan hyväksyttävät ja painavat perusteet. Kansallisessa lainsäädännössä on artiklan edellyttämällä tavalla säädetty asianmukaisista toimenpiteistä rekisteröidyn oikeuksien ja vapauksien suojaamiseksi. Lakisääteisen sosiaaliturvan toimeenpanossa rekisteröidyn oikeuksia turvataan muun muassa hyvän hallinnon vaatimuksilla ja muutoksenhakuoikeudella. Vapaaehtoisen vakuutustoiminnan osalta lakiin otettaisiin säännös siitä, että rekisteröidyllä on oikeus vaatia, että automaattinen päätös käsitellään uudelleen luonnollisen henkilön toimesta, Automaattisten päätösten antaminen on rajattu koskemaan lakisääteisen sosiaaliturvan toimeenpanoa ja vakuutustoimintaa, joiden harjoittaminen on lakisääteistä tai luvanvaraista toimintaa ja joihin liittyvä valvonta perustuu lakiin.

Oikeutta käsittelyn rajoittamiseen esitetään rajoitettavaksi tietosuoja-asetuksen 23 artiklan nojalla. Tarkoitus on, että oikeus käsittelyn rajoittamiseen ei tietosuoja-asetuksen myötä tulisi sovellettavaksi tilanteissa, joissa on kyse lakisääteisen sosiaaliturvan toimeenpanosta ja joissa rekisteröidyn vaatimus on ilmeisen perusteeton. Esitetty muutos ei rajoittaisi rekisteröidyn oikeuksia nykytilaan verrattuna. Rajoitus täyttää tietosuoja-asetuksen 23 artiklassa säädetyt edellytykset rekisteröidyn oikeuksien rajoittamiselle. Rajoitus koskisi vain lakisääteistä sosiaaliturvaa ja vain tilanteita, joissa rekisteröity esittää ilmeisen perusteettoman vaatimuksen. Rajoittaminen on välttämätöntä sosiaaliturvan toteuttamisessa, eikä se vaaranna rekisteröityjen oikeusturvaa ja perusoikeuksien ja -vapauksien toteutumista. Rekisteröidyn oikeuden rajaaminen ei poistaisi rekisterinpitäjän velvollisuutta selvittää rekisteröidyn väitettä henkilötietojen paikkansapitävyydestä. Kansallisessa lainsäädännössä on rekisteröidyn oikeusturvan takaamiseksi säädetty muun muassa muutoksenhakuoikeudesta. Rajoitusta voidaan pitää myös suhteellisuusperiaatteen mukaisena, sillä se on välttämätön toimenpide yleisen edun mukaisen tavoitteen takaamiseksi.

Esitys sisältää myös henkilötietojen luovuttamista koskevia säännöksiä. Perustuslakivaliokunta on lausuntokäytännössään tarkemmin määritellyt niitä vaatimuksia, jotka tulisi ottaa huomioon, kun henkilötietojen käsittelystä säädetään erityislailla. Esimerkiksi liikennekaarta koskevassa lausunnossa (PeVL 46/2016 vp) todetaan, että valiokunta on käytännössään pitänyt henkilötietojen suojan kannalta tärkeinä sääntelykohteina ainakin rekisteröinnin tavoitetta, rekisteröitävien henkilötietojen sisältöä, niiden sallittuja käyttötarkoituksia mukaan luettuna tietojen luovutettavuus sekä tietojen säilytysaikaa henkilörekisterissä ja rekisteröidyn oikeusturvaa. Näiden seikkojen sääntelyn lain tasolla tulee lisäksi olla kattavaa ja yksityiskohtaista.

Lausuntokäytännössään perustuslakivaliokunta on pitänyt myös tärkeänä henkilötietojen suojaa koskevan sääntelyn täsmällisyyttä ja tarkkarajaisuutta. Edellä mainitussa liikennekaarta koskevassa lausunnossa todetaan, että viranomaisen tietojensaantioikeus ja tietojenluovuttamismahdollisuus ovat valiokunnan mukaan voineet liittyä jonkin tarkoituksen kannalta "tarpeellisiin tietoihin", jos tarkoitetut tietosisällöt on pyritty luettelemaan laissa tyhjentävästi. Jos taas tietosisältöjä ei ole samalla tavoin luetteloitu, sääntelyyn on pitänyt sisällyttää vaatimus "tietojen välttämättömyydestä" jonkin tarkoituksen kannalta.

Esityksessä ehdotettujen tietojenluovutussäännösten perusteella vakuutuslaitoksella olisi oi-keus luovuttaa eläke- tai kuntoutusasian käsittelyyn liittyviä tietoja muun muassa terveydenhuollon ammattihenkilölle tai terveydenhuollon organisaatiolle. Säännösten perusteella voitaisiin luovuttaa myös terveydentilatietoja. Terveydentilatietoja ei kuitenkaan luovutettaisi työnantajalle ilman työntekijän suostumusta. Tietojen luovuttaminen on rajattu koskemaan vain tilanteita, joissa tietojen antaminen on välttämätöntä eläke- tai kuntoutusasian ratkaisemiseksi tai kuntoutuksen toteuttamiseksi. Säännösten tarkoituksena on turvata kuntoutusasian asianmukainen käsittely ilman aiheetonta viivytystä. Kuntoutuksen toteuttaminen edellyttää useiden eri toimijoiden yhteistyötä, ja sujuvan kuntoutusprosessin näkökulmasta on tärkeää, että kuntoutusasian hoitamisessa tarvittavat tiedot ovat näiden prosessiin osallistuvien toimijoiden käytettävissä. Henkilötietojen käsittelylle on tietosuoja-asetuksen mukainen oikeudellinen peruste, ja sääntely on täsmällistä ja tarkkarajaista.

Perustuslakivaliokunta on arvioinut esimerkiksi arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä, minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (PeVL 29/2016 vp, PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Perustuslakivaliokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevaa sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (PeVL 38/2016 vp).

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä esimerkiksi arkaluonteisina tietoina pidettävien biometristen tunnisteiden rekisteröinti merkitsee erityistä tarvetta huolehtia järjestelmään talletettavien henkilötietojen suojaamisesta väärinkäytön vaaroilta ja kaikenlaiselta tietojen laittomalta saannilta ja käytöltä (PeVL 13/2017, PeVL 29/2016 vp). Valiokunta on kiinnittänyt erityistä huomiota siihen, että arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään (ks. esim. PeVL 13/2017 vp ja PeVL 3/2017 vp).

Esityksessä ehdotetaan, että vakuutusyhtiöt voisivat pitää yllä niin kutsuttua väärinkäytösrekisteriä. Rekisteriin sisältyy tietoja rekisteröidyn epäillyistä rikoksista, rikostuomioista tai rikkomuksista. Rekisteri on käytännössä muodostunut tärkeäksi työkaluksi vakuutustoimintaan kohdistuvan rikollisuuden ehkäisemiseksi. Laissa säädettäisiin rekisteröinnin tavoitteesta, rekisteriin merkittävistä tiedoista, niiden säilytysajoista sekä tietojen poistamisesta rekisteristä. Rekisteriin merkitseminen edellyttää, että epäillystä teosta on ilmoitettu esitutkintaviranomaisille. Tietosuoja-asetuksessa säädetyn lisäksi rekisteröidyn oikeusturvan takaamiseksi laissa säädettäisiin vakuutusyhtiön ilmoitusvelvollisuudesta sekä rekisteröidyn oikeudesta pyytää tietosuojavaltuutettua tarkistamaan rekisteriin merkittyjen tietojen laillisuuden. Vakuutusyhtiö voisi luovuttaa tietoja toiselle vakuutusyhtiölle, jos se on välttämätöntä vakuutustoimintaan kohdistuvien rikosten ehkäisemiseksi ja selvittämiseksi. Ehdotettua sääntelyä voidaan pitää perusoikeuksien kannalta hyväksyttävänä ja oikeasuhtaisena. Ehdotettu sääntely on tarkkarajaista ja täsmällistä sekä perustuslakivaliokunnan lausuntokäytännössä edellytettyjen vaatimusten mukaista.

Erityisiin henkilötietoihin kuuluvien henkilötietojen käsittelyn osalta esityksessä on tarkoituksena säilyttää nykytila. Esityksessä ei säädetä uusista tai laajennetuista oikeuksista erityisiin henkilötietojen kuuluvien tietojen käsittelyyn. Valmistelun yhteydessä on arvioitu, että säännökset, jotka koskevat erityisiin henkilötietoryhmiin kuuluvien henkilötietojen käsittelyä, täyttävät tietosuoja-asetuksen 9 artiklan 2 kohdan mukaiset edellytykset.

Edellä mainituilla perusteilla lakiehdotukset voidaan käsitellä tavallisessa lainsäätämisjärjestyksessä.

Edellä esitetyn perusteella annetaan eduskunnan hyväksyttäviksi seuraavat lakiehdotukset:

Laki elatustukilain 38 §:n muuttamisesta Laki eläkesäätiölain muuttamisesta Laki eläketukilain 22 §:n muuttamisesta Laki julkisten alojen eläkelain muuttamisesta Laki kansaneläkelain muuttamisesta Laki aikuiskoulutustuesta annetun lain muuttamisesta Laki asumiseen perustuvan sosiaaliturvalainsäädännön soveltamisesta annetun lain 15 a §:n muuttamisesta Laki Eläketurvakeskuksesta annetun lain muuttamisesta Laki eläkkeensaajan asumistuesta annetun lain 43 ja 50 §:n muuttamisesta Laki Kansaneläkelaitoksen kuntoutusetuuksista ja kuntoutusrahaetuuksista annetun lain muuttamisesta Laki Koulutusrahastosta annetun lain 10 §:n kumoamisesta Laki lasten kotihoidon ja yksityisen hoidon tuesta annetun lain muuttamisesta Laki perustulokokeilusta annetun lain muuttamisesta Laki sairausvakuutuslain mukaisen omavastuuajan korvaamisesta maatalousyrittäjille annetun lain muuttamisesta Laki sosiaaliturvajärjestelmien yhteensovittamista koskevan Euroopan unionin lainsäädännön soveltamisesta annetun lain 20 §:n kumoamisesta Laki takuueläkkeestä annetun lain 32 §:n muuttamisesta Laki työttömyysetuuksien rahoituksesta annetun lain muuttamisesta Laki ulkomaisista vakuutusyhtiöistä annetun lain muuttamisesta Laki urheilijan tapaturma- ja eläketurvasta annetun lain 18 ja 22 §:n muuttamisesta Laki vakuutusedustuksesta annetun lain 36 §:n muuttamisesta Laki vammaisetuuksista annetun lain 45 ja 48 §:n muuttamisesta Laki yleisestä asumistuesta annetun lain 42 ja 49 §:n muuttamisesta Laki lapsilisälain 16 b §:n muuttamisesta Laki liikennevakuutuslain muuttamisesta Laki Liikennevakuutuskeskuksesta annetun lain 18 §:n muuttamisesta Laki potilasvahinkolain muuttamisesta Laki maatalousyrittäjän eläkelain muuttamisesta Laki maatalousyrittäjän työtapaturma- ja ammattitautilain muuttamisesta Laki merimieseläkelain muuttamisesta Laki rintamasotilaseläkelain 17 §:n muuttamisesta Laki sairausvakuutuslain muuttamisesta Laki sotilasavustuslain 22 e §:n muuttamisesta Laki sotilasvammalain muuttamisesta Laki työntekijän eläkelain muuttamisesta Laki työtapaturma- ja ammattitautilain muuttamisesta Laki työttömyysturvalain muuttamisesta Laki vakuutuskassalain muuttamisesta Laki vakuutusyhdistyslain muuttamisesta Laki vakuutusyhtiölain muuttamisesta Laki vuorotteluvapaalain 21 §:n muuttamisesta Laki yrittäjän eläkelain muuttamisesta Laki äitiysavustuslain 14 b §:n muuttamisesta Laki opintotukilain 8 ja 43 b §:n muuttamisesta Laki julkisesta työvoima- ja yrityspalvelusta annetun lain 9 luvun 5 §:n muuttamisesta Laki luottolaitostoiminnasta annetun lain 15 luvun muuttamisesta