Yleisperustelut
VALIOKUNNAN PERUSTELUT
Yleistä
Sääntelyn soveltuminen tuomioistuimiin
Rekisteröidyn oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja muutoksenhaku
Rekisteröidyn oikeus saattaa asia muun kuin tietosuojavaltuutetun käsiteltäväksi
Rinnakkaiset menettelyt
Viivästysvalitus
Komission päätös tietosuojatason riittävyydestä
Itsekriminointisuoja
Seuraamukset
Lakiteknisiä huomioita
Hallituksen esityksessä on kyse Euroopan unionin rikosasioiden tietosuojadirektiivin (EU 2016/680) kansallisesta täytäntöönpanosta. Direktiivi kokee poliisin, syyttäjien, tuomioistuinten ja muiden toimivaltaisten viranomaisten henkilötietojen käsittelyä rikosasioissa, ja sen tarkoituksena on varmistaa henkilötietojen suoja direktiivin soveltamisalalla sekä helpottaa tietojen vapaata liikkuvuutta jäsenvaltioiden poliisi- ja oikeusviranomaisten välillä.
Direktiivin täytäntöönpanemiseksi ehdotetaan erillisen rikosasioiden käsittelyssä noudatettavaksi tulevan henkilötietolain säätämistä (1. lakiehdotus). Kyseessä on yleislaki, jota sovelletaan, jollei muualla lainsäädännössä säädetä toisin. Ehdotettua sääntelyä sovelletaan myös Puolustusvoimien, poliisin ja Rajavartiolaitoksen henkilötietojen käsittelyyn kansallisen turvallisuuden ylläpitämisen yhteydessä. Tätä direktiivi ei edellytä, joten kyse on kansallisesta ratkaisusta.
Hallinnonalakohtaiselle erityissääntelylle on direktiivin soveltamisalalla katsottu olevan tarvetta, ja tällä hetkellä erityissääntelyä on olemassa henkilötietojen käsittelystä poliisin, Rajavartiolaitoksen ja Tullin toimialoilla. Näiden lakien uudistaminen on parhaillaan käynnissä.
Direktiivi liittyy läheisesti Euroopan unionin yleiseen tietosuoja-asetukseen, koska asetus ja direktiivi muodostavat yhdessä niin sanotun tietosuojapaketin, jonka tarkoituksena on nykyaikaistaa ja yhdenmukaistaa EU:n tietosuojalainsäädäntöä. Asetus koskee lähtökohtaisesti lähes kaikkea henkilötietojen käsittelyä yksityisellä ja julkisella sektorilla, mutta sen soveltamisalan ulkopuolelle on rajattu käsillä olevassa direktiivissä tarkoitettu henkilötietojen käsittely rikosasioissa. Asetusta täydentävästä ja täsmentävästä kansallisesta lainsäädännöstä on annettu erillinen hallituksen esitys (), josta lakivaliokunta on vastikään antanut lausunnon (). Mietinnön valmistelu hallintovaliokunnassa asiasta on tätä lausuntoa laadittaessa vielä kesken.
Yleinen tietosuoja-asetus koskee myös kaikkia rikosasioiden tietosuojadirektiiviä toimeenpanevia viranomaisia. Asetus tulee sovellettavaksi silloin, kun kyse on henkilötietojen käsittelystä muulla kuin direktiivin soveltamisalalla. Henkilötietojen käsittelyä koskeva lainsäädäntö hajaantuu toimivaltaisten viranomaisten osalta siten yleiseen tietosuoja-asetukseen ja sen kansalliseen täytäntöönpanosääntelyyn, rikostietosuojadirektiivin täytäntöönpanemiseksi annettuun yleislakiin sekä hallinnonalakohtaisiin erityissäännöksiin. Sääntelykenttä on siten paitsi monimutkainen myös varsin hajanainen. Tämä huomioon ottaen lakivaliokunta pitää perusteltuna, että direktiivin täytäntöönpanossa on pyritty mahdollisimman yhtenäiseen ratkaisuun yleisen tietosuoja-asetuksen kansallisen täytäntöönpanosääntelyn kanssa ja että tästä lähtökohdasta on poikettu, jos toisenlaiselle ratkaisulle on ollut painavat perusteet.
Ehdotetun yleislain noudattamista valvoo tietosuojavaltuutettu (45 §:n 1 mom). Näin sama viranomainen valvoo sekä yleisen tietosuoja-asetuksen, sitä täydentävän tietosuojalain että direktiiviä täytäntöönpanevan lain noudattamista. Lakivaliokunta pitää ratkaisua perusteltuna.
Lakivaliokunta keskittyy lausunnossaan tuomioistuinten asemaan sekä oikeusturvaan ja seuraamuksiin.
1 momentin
1 kohta
2 kohta
3 kohta
4 kohta
5 kohta
Ehdotetun yleislain 1 §:nmukaan ehdotettua lakia sovelletaan laissa määriteltyjen toimivaltaisten viranomaisten käsitellessä henkilötietoja, kun kyse on rikosten ennalta estämisestä, paljastamisesta, selvittämisestä tai syyteharkintaan saattamisesta (), syyteharkinnasta ja muusta rikokseen liittyvästä syyttäjän toiminnasta (), rikosasian käsittelemisestä tuomioistuimessa (), rikosoikeudellisen seuraamuksen täytäntöönpanemisesta () taikka yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemisesta tai tällaisten uhkien ehkäisemisestä 1—4 kohdassa tarkoitetun toiminnan yhteydessä ().
Toimivaltaisella viranomaisella tarkoitetaan ehdotetun yleislain 3 §:n 1 momentin 5 kohdan mukaan viranomaisia, joiden toimivalta kattaa rikosten ennalta estämisen, paljastamisen, selvittämisen tai syyteharkintaan saattamisen, syyteharkinnan tai muun rikoksesta syyttämiseen liittyvän toiminnan, rikosoikeudellisiin seuraamuksiin tuomitsemisen tai rikosoikeudellisten seuraamusten täytäntöönpanon.
3 kohta Rikosasian käsitteleminen tuomioistuimessa on siten mainittu omana kohtanaan yleislain 1 §:n 1 momentissa (). Myös 3 §:n toimivaltaisen viranomaisen määritelmässä on otettu huomioon ”rikosoikeudellisiin seuraamuksiin tuomitseminen”.
Lakivaliokunnan asiantuntijakuulemisissa direktiivin on kuitenkin tulkittu jättävän tuomioistuinten osalta kansallista harkintamarginaalia, minkä vuoksi on tuotu esiin, että tuomioistuimet olisi tullut jättää esityksessä ehdotetun yleislain soveltamisalan ulkopuolelle.
Lakivaliokunta toteaa, että direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten (1 artiklan 1 kohta). Direktiivin soveltamisalan ulkopuolelle on jätetty vain henkilötietojen käsittely, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, sekä henkilötietojen käsittely, jota suorittavat unionin toimielimet, elimet ja laitokset (2 artiklan 3 kohta). Se, ettei direktiivin nimessä tai sen kohdetta tai soveltamisalaa koskevissa säännöksissä nimenomaisesti mainita tuomioistuimia tai rikosoikeudellisten seuraamusten tuomitsemista, aiheuttaa epäselvyyttä sääntelyn soveltumisesta rikosasian käsittelyyn tuomioistuimessa. Se, että direktiiviä sovelletaan myös rikosasian käsittelyyn tuomioistuimessa, ilmenee kuitenkin direktiivin 18, 32 ja 45 artiklasta sekä 20, 63 ja 80 johdanto-osan kappaleesta.
Esimerkiksi direktiivin 32 artiklasta ilmenee, että jäsenvaltiot voivat vapauttaa tuomioistuimet ja muut riippumattomat oikeusviranomaiset velvoitteesta nimittää tietosuojavastaava näiden hoitaessa lainkäyttötehtäviään. Niin ikään direktiivin 45 artiklan 2 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että valvontaviranomaisella ei ole toimivaltaa valvoa sellaisia käsittelytoimia, joita tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä. Lisäksi direktiivin 80 johdanto-osan kappaleessa todetaan selventävästi seuraavaa:
Edellä esitetyn valossa lakivaliokunta pitää selvänä, että direktiiviä sovelletaan myös tuomioistuinten toimintaan niiden käsitellessä rikosasioita. Silloin, kun kyse on tuomioistuinten lainkäyttötehtävistä, jäsenvaltioilla on kuitenkin mahdollisuus vapauttaa tuomioistuimet tietosuojavastaavan nimeämisestä. Niin ikään direktiivi edellyttää, että rikosasian käsittelyyn kuuluvat lainkäyttötehtävät tuomioistuimissa jäävät kokonaan valvontaviranomaisen valvonnan ulkopuolelle.
Direktiivin mahdollistamalla tavalla yleislain 40 §:n 2 momentissa ehdotetaan säädettäväksi, että tietosuojavastaavan tehtävät eivät ulotu tuomioistuinten lainkäyttötoimintaan. Lisäksi yleislain 45 §:n 2 momentissa ehdotetaan, että lain säännöksiä valvonnasta ei sovelleta tuomioistuimeen. Viimeksi mainitussa säännösehdotuksessa tuomioistuinten toiminta on jätetty kokonaan valvontaviranomaisten valvonnan ulkopuolelle, mikä menee direktiiviä pitemmälle. Tuomioistuinten rajaaminen kokonaan pois valvontaviranomaisen valvonnan piiristä on lakivaliokunnan mielestä kuitenkin perusteltua tuomioistuinten riippumattomuuden kannalta. Valtioneuvoston oikeuskansleri ja eduskunnan oikeusasiamies valvovat tuomioistuimia osana yleistä laillisuusvalvontaa.
Vaikka direktiivin sääntely ei ole kaikkein selkeintä tuomioistuinten toiminnan osalta, lakivaliokunnan mielestä siihen sisältyvät ratkaisut ovat tuomioistuinten osalta perusteltuja ja asianmukaisesti täytäntöönpantuja ehdotetussa yleislaissa. Valiokunta pitää lähtökohtaisesti perusteltuna, että kaikkien rikosprosessiketjussa toimivien viranomaisten rikosasian yhteydessä suorittamaan henkilötietojen käsittelyyn sovelletaan yhtenäistä tietosuojasääntelyä.
Tuomioistuimia koskee myös yleinen tietosuoja-asetus, joka tulee sovellettavaksi esimerkiksi silloin, kun kyse on henkilötietojen käsittelyssä muun asian kuin rikosasian eli esimerkiksi riita- ja hakemusasian yhteydessä. Valvontaviranomaisen valvonta ei kuitenkaan yleisen tietosuoja-asetuksenkaan nojalla ulotu tuomioistuinten lainkäyttötehtäviin (55 artiklan 3 kohta).
Asiantuntijakuulemisissa on kiinnitetty huomiota siihen, että direktiivin täytäntöönpanemiseksi ehdotettu yleislaki ei anna riittävää ohjeistusta henkilötietojen käsittelyyn tuomioistuimissa. Vaikeasti hahmotettavana on pidetty esimerkiksi yleislain 8 §:ää, jonka 1 momentin mukaan rekisterinpitäjän on erotettava tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat käsiteltävän asian kannalta eri asemassa olevia rekisteröityjä. Lakivaliokunta toteaa perusteluista ilmenevän (s. 40), että momentissa tarkoitettua ”tarvetta” ryhtyä toimenpiteisiin tietojen erottamiseksi ei ole, jos henkilön asema (todistaja, asianomistaja, syytetty) ilmenee yksiselitteisesti asiayhteydestä. Lakivaliokunnan näkemyksen mukaan tilanne on tuomioistuinasioiden osalta yleensä tämä. Lisäksi on huomattava, että erottamisvelvollisuuteen tuo väljyyttä myös ilmaisu ”mahdollisuuksien mukaan”.
806/2011 Myös rekisteröidyn tarkastusoikeutta (ehdotetun yleislain 23 §) on pidetty tuomioistuinten kannalta ongelmallisena erityisesti pakkokeinoasioissa. Lakivaliokunta toteaa, että pakkokeinolain () 62 §:n nojalla rekisteröidyllä ei ole tarkastusoikeutta. Erityissäännös menee ehdotetun yleislain edelle.
Yleislain vaikeaselkoisuus eri toimivaltaisten viranomaisten toiminnan kannalta johtuu valiokunnan näkemyksen mukaan siitä, että ehdotettu laki on yleislaki, jota sovelletaan kaikkien toimivaltaisten viranomaisten henkilötietojen käsittelyyn rikosasioissa. Toisaalta sääntelyn soveltamista helpottaa se, että yleislaki on monin paikoin yksityiskohtaisempi kuin nykyinen henkilötietolaki, jota sovelletaan jo nykyisin tuomioistuimissa. On kuitenkin tärkeää, että tuomioistuinten — kuten muiden toimivaltaisten viranomaisten — toiminnan osalta annetaan tarvittaessa asiaa koskevaa erityissääntelyä. Lisäksi on tärkeää, että lain muutoksesta annetaan riittävästi koulutusta toimivaltaisille viranomaisille ja toimeenpanossa kiinnitetään erityistä huomiota tietosuojavaltuutetun ohjaukseen ja neuvontaan.
Direktiivin 52 artiklan mukaan jokaisella rekisteröidyllä on oltava oikeus tehdä valitus valvontaviranomaiselle, jos hän katsoo häneen liittyvässä henkilötietojen käsittelyssä rikotun direktiivin nojalla annettuja säännöksiä. Valvontaviranomaisen on ilmoitettava rekisteröidylle valituksen etenemisestä ja ratkaisusta. Direktiivin 53 artiklan mukaan luonnollisilla henkilöillä ja oikeushenkilöillä on oltava oikeus käyttää tehokkaita oikeussuojakeinoja valvontaviranomaisen oikeudellisesti sitovia heitä koskevia päätöksiä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja. Jokaisella rekisteröidyllä on oltava oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut sen etenemisestä kolmen kuukauden kuluessa. Jäsenvaltioiden on lisäksi 54 artiklan mukaan säädettävä, että rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo oikeuksiaan rikotun sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu lakia.
586/1996 Direktiivin mainittujen säännösten täytäntöönpanemiseksi yleislain 56 §:ssä ehdotetaan, että rekisteröidyllä on oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi (toimenpidepyyntö), jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä tai muuta henkilötietojen käsittelyä koskevaa lakia. Tietosuojavaltuutetun päätökseen saa ehdotetun yleislain 58 §:n mukaan hakea muutosta valittamalla hallinto-oikeuteen siten kuin hallintolainkäyttölaissa () säädetään. Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan. Myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen.
Direktiivin 54 artiklassa säädetään rekisteröidyn oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan tämän oikeuden kuitenkaan rajoittamatta muun muassa 52 artiklaan perustuvaa oikeutta tehdä valitus valvontaviranomaiselle. Ehdotettuun yleislakiin ei sisälly erityisiä säännöksiä asiasta.
Mainittua artiklaa on valiokunnan asiantuntijakuulemisissa tulkittu yhtäältä siten, että se edellyttää nimenomaan tuomioistuimessa toteutettavia oikeussuojakeinoja, ja toisaalta siten, että oikeus saattaa asia tietosuojavaltuutetun käsiteltäväksi ja oikeus hakea muutosta tietosuojavaltuutetun päätöksestä tuomioistuimelta ovat riittäviä.
Ehdotetun yleislain 57 §:n 1 momentin ensimmäisen virkkeen mukaan tietosuojavaltuutettu tutkii toimenpidepyynnössä tarkoitetun asian, jollei asia ole vireillä tuomioistuimessa.
Valiokunnan oikeusministeriöltä saamien lisätietojen mukaan säännös koskee tilanteita, joissa henkilötietojen käsittelyn rikkominen on samanaikaisesti vireillä valvontaviranomaisella ja tuomioistuimessa. Kyse voi olla esimerkiksi siitä, että rekisteröity vaatii vahingonkorvausta kanteella tuomioistuimessa, koska valvontaviranomaisella ei ole toimivaltuuksia määrätä tällaisia korvauksia. Tällöin kyse olisi samasta rekisteröidystä, samasta rekisterinpitäjästä tai henkilötietojen käsittelijästä ja samasta rikkomuksesta.
Nyt puheena olevan direktiivin täytäntöönpanemiseksi ehdotetun yleislain säännöksestä saa sellaisen kuvan, että tietosuojavaltuutettu ei ota toimenpidepyyntöä käsiteltäväksi eikä käsittele sitä, jos asia on samanaikaisesti vireillä tuomioistuimessa. Lakivaliokunnan mielestä on perusteltua, että säännös kirjoitetaan yhdenmukaisesti tietosuojalakiehdotuksen kanssa, minkä vuoksi se esittää hallintovaliokunnalle, että 57 §:n 1 momentin ensimmäinen virke muutetaan kuulumaan seuraavasti:
Asian käsittelyn keskeyttäminen olisi tietosuojavaltuutetun harkinnassa. Säännös on väljä, joten se jättää tietosuojavaltuutetulle harkintavaltaa arvioida, mikä kussakin tilanteessa on perusteltua ja tarkoituksenmukaista. Momentissa käytettyä ilmaisua ”liittyvä asia” arvioitaessa voidaan kiinnittää huomiota siihen, onko kyse samasta rekisteröidystä, samasta rekisterinpitäjästä tai henkilötietojen käsittelijästä ja samasta yleisen tietosuoja-asetuksen tai tietosuojalain väitetystä rikkomisesta.
Direktiivin 53 artiklan 2 kohdan mukaan rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa valituksen etenemisestä tai ratkaisusta. Ehdotetun yleislain 57 §:n 1 momentin mukaan tietosuojavaltuutetun on ilmoitettava kohtuullisen ajan kuluessa asian käsittelyn etenemisestä, jos asian käsittely viivästyy. Ehdotettuun yleislakiin ei kuitenkaan sisälly nimenomaisia säännöksiä direktiivin tarkoittamista rekisteröidyn oikeussuojakeinoista.
Lakivaliokunnan mukaan edellä viitatussa lausunnossa esitetty soveltuu myös nyt käsillä olevan direktiivin kansalliseen täytäntöönpanoon.
2 momentin Ehdotetun yleislain 57 §:nmukaan, jos tietosuojavaltuutettu katsoo sillä vireillä olevassa asiassa tarpeelliseksi selvittää, onko 41 §:n 1 momentin 3 kohdassa tarkoitettu komission päätös tietosuojan tason riittävyydestä rikosasioiden direktiivin mukainen, valtuutettu voi hakemuksella saattaa asian Helsingin hallinto-oikeuden ratkaistavaksi. Viitatussa pykälässä mahdollistetaan henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle, jos komissio on päättänyt, että kyseinen kolmas maa tai kansainvälinen järjestö tarjoaa riittävän tietosuojan tason.
Schrems Ehdotetun 57 §:n 2 momentin taustalla on unionin tuomioistuimen ratkaisu asiassa, (C-362/14), jossa tuomioistuin on katsonut, että kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voivat tarvittaessa pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta komission päätöksen pätevyyden tutkimiseksi, jos ne valvontaviranomaisen tavoin epäilevät komission päätöksen unionin lainsäädännön mukaisuutta. Tavoitteena on siten tässä yhteydessä mahdollistaa se, että kansallinen valvontaviranomainen voi saattaa Helsingin hallinto-oikeuden ratkaistavaksi kysymyksen siitä, onko komission päätöksen direktiivinmukaisuudesta tarpeen pyytää ennakkoratkaisua Euroopan unionin tuomioistuimelta. Hakemuksen hyväksyminen tarkoittaa tällöin käytännössä ennakkoratkaisupyynnön tekemistä ja hakemuksen hylkääminen sitä, että ennakkoratkaisua ei pyydetä.
Vastaavalla tavalla kuin yleisen tietosuoja-asetusta täydentävän tietosuojalakiehdotuksen kohdalla lakivaliokunta toteaa, että ehdotetun yleislain sääntely ei sisällä erityisiä menettelyä koskevia säännöksiä nyt tarkoitetun hakemusasian käsittelystä hallinto-oikeudessa. Selvyyden vuoksi valiokunta toteaa, että siihen soveltuu hallintolainkäyttölain 72 §, joka koskee ”muuta hallintolainkäytössä käsiteltävää asiaa kuin valitusta, ylimääräistä muutoksenhakua tai hallintoriita-asiaa”. Tällainen asia pannaan kyseisen pykälän mukaan vireille toimittamalla vireillepanoa koskeva asiakirja sille viranomaiselle, jonka toimivaltaan asian ratkaiseminen kuuluu. Lisäksi sovellettavaksi tulee hallintolainkäyttölain 73 §, jonka mukaan menettelystä on muuten soveltuvin osin voimassa, mitä kyseisessä laissa säädetään valituksesta. Valituksen käsittelyä koskevat hallintolainkäyttölain säännökset ovat joustavia, joten valiokunnan näkemyksen mukaan ne mahdollistavat nyt käsiteltävänä olevan hakemusasian erityispiirteiden huomioon ottamisen asian käsittelyssä.
Ehdotettu yleislain 57 §:n 2 momentti ei sisällä erityissäännöstä muutoksenhausta Helsingin hallinto-oikeuden päätökseen. Tarkoitus lienee, että sovellettavaksi tulee muutoksenhakua koskeva 58 §:n 2 momentti. Lakivaliokunta pitää kuitenkin perusteltuna, että 57 §:n 2 momentissa tarkoitettujen komission päätösten osalta otettaisiin erityissäännös muutoksenhausta Helsingin hallinto-oikeuden päätökseen vastaavalla tavalla kuin on tehty yleistä tietosuoja-asetusta täydentävässä tietosuojalakiehdotuksessa (24 §). Tätä puoltaa se, että valitusoikeus 57 §:n 2 momentissa tarkoitetusta Helsingin hallinto-oikeuden päätöksestä on lähtökohtaisesti viranomaisella eli tietosuojavaltuutetulla, kun taas 58 §:n 2 momentissa se on lähtökohtaisesti rekisteröidyllä, minkä vuoksi 58 §:n 2 momentissa on erikseen säädetty, että ”myös tietosuojavaltuutettu saa hakea muutosta hallinto-oikeuden päätökseen”.
Lakivaliokunnan mukaan edellä tarkoitettu muutoksenhakua koskeva erityissäännös, joka on perusteltua erottaa omaksi momentikseen, voisi kuulua esimerkiksi seuraavasti:
Lisäksi lakivaliokunta pitää lakiteknisesti selkeämpänä erottaa nyt puheena olevat komission päätöstä koskevat säännökset omaksi pykäläkseen vastaavalla tavalla kuin on tehty yleistä tietosuoja-asetusta täydentävässä tietosuojalakiehdotuksessa (24 §). Jos komission päätöstä koskevat säännökset erotetaan yleislakiehdotuksen uudeksi 58 §:ksi, jäljempänä seuraavien pykälien numerointi muuttuu yhtä suuremmaksi.
Itsekriminointisuojan keskeisenä sisältönä on oikeus olla rikosasiassa todistamatta itseään vastaan ja oikeus olla myötävaikuttamatta oman syyllisyyden toteamiseen. Suoja kuuluu perustuslain 21 §:ssä turvatun oikeudenmukaisen oikeudenkäynnin takeisiin (ks., s. 4/I ja, s. 74/II). Myös Euroopan ihmisoikeustuomioistuimen ratkaisukäytännössä itsekriminointisuojan on katsottu kuuluvan EIOS 6 artiklan 1 kohdassa turvatun oikeudenmukaisen oikeudenkäynnin ydinalueelle (esim. Saunders v. Yhdistynyt kuningaskunta, 17.12.1996). Itsekriminointisuojan keskeisimmät soveltamistapaukset ovat oikeuskäytännössä koskeneet rikoksen esitutkintaa ja rikosoikeudenkäyntiä, mutta joissain tilanteissa itsekriminointisuojan on katsottu ulottuvan myös muihin tilanteisiin, joissa kyse ei ole rikosoikeudellisista seuraamuksista. Lakivaliokunta on käsitellyt itsekriminointisuojan merkitystä yleistä tietosuoja-asetusta täydentävää kansallista lainsäädäntöä koskevassa lausunnossaan ().
Tässä yhteydessä valiokunta kiinnittää huomiota ehdotettuihin yleislain säännöksiin velvollisuudesta ilmoittaa tietoturvaloukkauksesta (33 ja 34 §). Valiokunnan käsityksen mukaan ilmoitusvelvollisuuteen sovellettavia seuraamussäännöksiä on tällöin tulkittava itsekriminointisuojan kanssa yhteensopivasti ottaen huomioon muun muassa Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö. Viime kädessä asian arvioiminen jää tuomioistuimen ratkaistavaksi.
1 momentin
2 momentin
Niin ikään lakivaliokunta kiinnittää huomiota ehdotetun yleislain 52 §:ään, joka sisältää säännökset uhkasakosta. Pykälänmukaan tietosuojavaltuutettu voi asettaa eräiden päätösten sekä 47 §:ään perustuvan tiedonsaantioikeuden tehosteeksi uhkasakon. Pykälänmukaan uhkasakkoa ei kuitenkaan saa asettaa luonnolliselle henkilölle 1 momentissa tarkoitetun tietojen luovuttamista koskevan määräyksen tehosteeksi silloin, kun henkilöä on syytä epäillä rikoksesta ja tiedot koskevat rikosepäilyn kohteena olevaa asiaa. Jälkimmäisessä momentissa on kyse itsekriminointisuojasta.
Tässä yhteydessä lakivaliokunta viittaa tietosuojalakiehdotuksesta antamaansa lausuntoon ja esittää, että hallintovaliokunta arvioi, mikä ilmaisu on perustelluin. Lakivaliokunnan mielestä tärkeää kuitenkin olisi, että tietosuojalakiehdotuksessa ja nyt käsillä olevassa yleislakiehdotuksessa käytetyt ilmaisut olisivat yhtenevät.
Direktiivin 57 artiklan mukaan jäsenvaltioiden on vahvistettava säännöt tietosuojasäännösten rikkomisen johdosta määrättävistä tehokkaista, oikeasuhtaisista ja varoittavista seuraamuksista.
Yleinen tietosuoja-asetus säätää eräistä siinä tarkoitettujen tietosuojasäännösten rikkomisista seuraamukseksi hallinnollisen sakon. Jäsenvaltiot voivat kuitenkin rajata hallinnollisen sakon soveltamisalan ulkopuolelle joko kokonaan tai osittain viranomaiset. Hallituksen esityksessä liittyen yleisen tietosuoja-asetuksen edellyttämään täydentävään lainsäädäntöön on esitetty, että Suomi käyttää kansallisen liikkumavaran täysimääräisesti ja jättää viranomaiset asetuksen tarkoittaman hallinnollisen sakon ulkopuolelle (, s. 56, 57, 105 ja 106). Lakivaliokunta päätyi esityksestä antamassaan lausunnossa hyväksymään hallituksen esittämän ratkaisun ().
Direktiivi ei sisällä säännöksiä hallinnollisesta seuraamusmaksusta, vaan seuraamusjärjestelmän osalta se jättää jäsenvaltioille yleistä tietosuoja-asetusta laajemman liikkumavaran. Direktiivin täytäntöönpanemiseksi ei ehdoteta hallinnollisen seuraamusmaksun käyttöönottamista ehdotetun yleislain soveltamisalalla. Lainvastaisen menettelyn osalta valtuutettu voi kuitenkin antaa esimerkiksi huomautuksen tai asettaa väliaikaisen tai pysyvän kiellon tai muun rajoituksen henkilötietojen käsittelylle. Valtuutettu voisi asettaa oikeudellisesti velvoittavan päätöksensä tehosteeksi uhkasakon. Lisäksi esityksessä ehdotetaan tietosuojavaltuutetulle direktiivin minimivaatimusta laajempia toimivaltuuksia, mikä osaltaan mahdollistaa laajan keinovalikoiman puuttua lainvastaiseen henkilötietojen käsittelyyn. Lisäksi rekisterinpitäjää koskee ankara korvausvastuu lain vastaisen henkilötietojen käsittelyn aiheuttamista vahingoista (1. lakiehdotuksen 59 §). Lakivaliokunnalla ei ole huomauttamista esitettyyn sääntelytapaan.
Ehdotetun yleislain 60 §:n kolmannessa virkkeessä viitataan rikoslain säännöksiin ehdotetun lain 61 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta. Lakivaliokunta katsoo, että viittauksen tulee koskea myös 55 §:ssä säädettyä ilmoittajan henkilöllisyyden salassa pitämistä. Edellä esitetyn valossa lakivaliokunta esittää hallintovaliokunnalle, että pykälä muutetaan kuulumaan seuraavasti:
Lisäksi lakivaliokunta katsoo, että myös 2.—5. lakiehdotukseen on perusteltua sisällyttää informatiivinen viittaus tietosuojarikosta koskevaan rikoslain 38 luvun 9 §:ään. Kyseisissä laeissa on esimerkiksi henkilötietojen käyttötarkoitussidonnaisuutta, luovuttamista, siirtämistä ja käsittelyn turvallisuutta koskevia säännöksiä, joiden rikkominen voi olla rangaistavaa uuden tietosuojarikosta koskevan säännöksen mukaan. Lakivaliokunnan mukaan viittaussäännös voisi kuulua esimerkiksi seuraavasti:
Edellä tarkoitettu informatiivinen viittaussäännös rikoslain 38 luvun 9 §:ään sisältyy hallituksen esityksen 6. lakiehdotuksen 37 §:n 2 momenttiin. Lakivaliokunta kuitenkin esittää hallintovaliokunnalle, että momentissa käytetty ilmaisu ”tuomitaan” korvataan ilmaisulla ”säädetään” seuraavasti:
Yleistä tietosuoja-asetusta täydentävää kansallista lainsäädäntöä käsitellessään lakivaliokunta kiinnitti huomiota siihen, että tietosuojalakiehdotuksen samoin kuin rikoslain muuttamista koskevan lakiehdotuksen säännöksissä viitattiin henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettuun lakiin eli nyt käsillä olevan rikostietosuojadirektiivin täytäntöönpanemiseksi annettuun hallituksen esitykseen sisältyvään 1. lakiehdotukseen (, s. 23). Jos kyseiseen esitykseen sisältyvät lakiehdotukset hyväksytään ennen nyt käsiteltävänä olevaan hallituksen esitykseen sisältyvää direktiivin täytäntöönpanosääntelyä, tämä tulee lakiteknisesti ottaa huomioon hallituksen esitykseensisältyvissä lakiehdotuksissa.
”Vaikka tätä direktiiviä sovelletaan myös kansallisten tuomioistuinten ja muiden oikeusviranomaisten toimintaan, valvontaviranomaisten toimivallan ei pitäisi kattaa henkilötietojen käsittelyä, jota tuomioistuimet suorittavat lainkäyttötehtäviensä yhteydessä, jotta voidaan turvata tuomareiden riippumattomuus heidän hoitaessaan lainkäyttötehtäviään. Tämä poikkeus olisi rajattava koskemaan tuomioistuinten lainkäyttötehtäviä oikeudenkäynneissä, eikä sitä pitäisi soveltaa muuhun toimintaan, johon tuomarit saattavat osallistua jäsenvaltion lainsäädännön mukaisesti.”
voi keskeyttää
käsittelyn, jos siihen liittyvä
on
Tietosuojavaltuutettuasianasiavireillä tuomioistuimessa.
Hallinto-oikeuden päätökseen saa hakea muutosta valittamalla vain, jos korkein hallinto-oikeus myöntää valitusluvan.
55 §
ssä säädetyn salassapitovelvollisuuden ja
Rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Rangaistus viestintäsalaisuuden loukkauksesta säädetään mainitun lain 3 §:ssä ja törkeästä viestintäsalaisuuden loukkauksesta 4 §:ssä sekä tietomurrosta 8 §:ssä ja törkeästä tietomurrosta 8 a §:ssä. Rangaistus tämän lain:61 §:ssä säädetyn vaitiolovelvollisuuden rikkomisesta tuomitaan rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava mainitun lain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta.
X §. Rangaistussäännökset
Rangaistus tietosuojarikoksesta säädetään rikoslain (39/1889) 38 luvun 9 §:ssä.
säädetään
§
ssä
§
ssä
Rangaistus tietosuojarikoksestarikoslain 38 luvun 9:sekä tietomurrosta ja törkeästä tietomurrosta rikoslain 38 luvun 8 ja 8 a:.
Valiokunnan päätösehdotus
VALIOKUNNAN PÄÄTÖSESITYS
Lakivaliokunta esittää,
että hallintovaliokunta ottaa edellä olevan huomioon.