Lausunto valtiovarainministeriölle hallinnon yhteisistä sähköisen asioinnin tukipalveluista ja julkisen hallinnon yhteispalvelusta annetun lain muutosesityksestä

Pormestari antoi valtiovarainministeriölle seuraavan
lausunnon:

LAUSUNTO VALTIOVARAINMINISTERIÖLLE HALLINNON YHTEISISTÄ SÄHKÖISEN ASIOINNIN TUKIPALVELUISTA JA JULKISEN HALLINNON YHTEISPALVELUISTA ANNETUN LAIN MUUTOSESITYKSESTÄ

Helsingin kaupunki katsoo, että lain muuttaminen on perusteltua mm. mahdollisten uusien palvelujen toimintavarmuuden ja tietosuojan näkökulmasta mutta muutosehdotuksessa on kohtia joita tulee täsmentää sekä selkeyttää, eikä muutosesitysten kaikkia perusteluita voida pitää kestävinä. Esityksen ongelmakohtia ovat mm. käyttövelvoitettujen palveluiden muuttaminen maksulliseksi ja tietosuojaan liittyvät kohdat.
Ehdotettujen muutosten voidaan olettaa lisäävän palveluiden käyttäjien
velvollisuuksia ja antavan palveluntuottajille enemmän valvontavaltaa
käyttäjiin nähden ilman, että palveluntuottajien vastuuta ja velvoitteita
vastavuoroisesti tarkasteltaisiin ja määriteltäisiin tasapuolisesti. Helsingin kaupunki haluaa kiinnittää huomiota erityisesti seuraaviin esityksen
yksityiskohtiin:

1) Muutosesityksen 25§ mukaan palvelutuottajalle annetaan mahdollisuus periä käyttäjäorganisaatiolta 3 §:n 4,6 ja 8 kohdassa tarkoitettujen tukipalvelujen käytöstä näiden palvelujen omakustannushintaa vastaava maksu. Muutosesityksestä ei käy ilmi mitä omakustannushinnalla tarkoitetaan. Tarkoitetaanko sillä mainituissa palveluissa olevia ns. läpilaskutettavia transaktiokustannuksia esim. per tunnistustapahtuma vai sisältääkö se myös itse palvelutuottajan toiminnasta aiheutuvia kustannuksia?
Mikäli se tarkoittaa jälkimmäistä, maksun kohdistaminen vain tiettyihin palveluihin ei ole perusteltua tai johdonmukaista, koska oletettavasti
kaikista palveluista syntyy kustannuksia palveluntuottajalle. Lisäksi voidaan olettaa, että kustannusrasite käyttäjäorganisaatioille kasvaa merkittävästi, koska käyttäjäorganisaatiot vastaavat jo itse mm. palveluiden liittymiskustannuksista.

2) Käyttövelvoitteisten palvelujen maksullisuus on merkittävä muutos. Alkuperäisessä laissa yleisenä linjauksena oli palvelujen maksuttomuus, koska palvelut on tarkoitus tuottaa keskitetysti käyttäjäorganisaatioille ja pyrkiä välttämään kuormittamasta käyttäjäorganisaatioiden resursseja. Helsingin kaupunki ei kannata käyttövelvoitettujen palvelujen maksullisuutta tai sen laajentamista. Maksullisuuden voidaan olettaa laskevan palvelujen käyttöastetta, koska voimassa oleva lainsäädäntö antaa mahdollisuuden käyttää markkinoilla olemassa olevia palveluita mm. kustannustehokkuussyistä. Palvelun tuottajan täytyy jatkossakin huolehtia palvelujen kustannustehokkuudesta eikä palvelujen heikko kustannustehokkuus ole kestävä perustelu kustannusten vyöryttämiselle asiakkaille.
Nykyinen laki on ollut voimassa 2 vuotta. Lausuntopyynnön liitteenä ei ole toimitettu arvioita nykylainsäädännön toimivuudesta tai vaikutuksista, joten perustelutekstin viittaukset ongelmiin jäävät varsin ylimalkaisiksi ja epämääräisiksi. Helsingin kaupunki katsoo, että olemassa oleva lainsäädäntö ja sen vaikutukset tulisi arvioida huolellisesti ennen lainsäädännön muuttamista.

3) Perustelutekstissä ei mainita onko valmistelussa arvioitu maksujen
käsittelykustannusvaikutuksia käyttövelvoitteen alaisissa julkisen hallinnon organisaatioissa (laskutus- ja maksuprosessit), mikäli palvelut muuttuvat maksullisiksi. Alkuperäisen lain hengestä huomattavasti poikkeavassa muutosesityksessä olisi suotavaa perustella tarve maksullisuuteen tyhjentävästi. Lisäksi, mikäli osa palveluista muutetaan maksullisiksi ja palvelumaksut määritellään erikseen asetuksella myös mainittujen palveluiden palvelutasosta (SLA) tulisi vastaavasti määrätä asetuksella, jotta sitä ei jouduta määrittelemään julkisen hallinnon organisaatioiden välisillä erillisillä ylimääräisillä sopimuksilla ja käyttövelvoitetut organisaatiot voivat luottaa kyseessä olevien palvelujen palvelutasoon.

4) Muutosesityksen 55§ ollaan lisäämässä myös lausetta rekisteröintitehtävän hoitamisesta aiheutuvista kustannuksista. Jää epäselväksi, tarkoittaako tämä asiointivaltuuspalvelun käyttäjäorganisaation palvelupisteessä tapahtuvan valtuutuksen rekisteröintikustannuksia vai esim. suomi.fi –tunnistuksen käyttöönoton yhteydessä tapahtuvaa palveluntuottajan määrittelemää rekisteröintiprosessia ja sen kustannuksia? Mikäli kyseessä on erityisesti jälkimmäinen kustannus, muotoilua tulee selkeyttää. Esityksessä jää myös epäselväksi, mikä organisaatio on vastuussa Asiointivaltuuspalvelun käyttäjäorganisaatioiden toimipisteissä tapahtuvasta eri valtuuksien rekisteröintipalveluiden tiedoista ja kuvauksista.

5) Käyttövelvoitteeseen esitetään sisällytettävän asiointivaltuuspalvelu (5§ tukipalveluiden käyttö julkisessa tehtävässä). Samassa pykälässä todetaan, että tukipalveluun on käyttövelvoite, ”kun tukipalvelu on käytettävissä ja kyseistä tukipalvelua vastaavan itsenäisesti hankitun palvelun palvelusopimus on päättynyt, jollei viranomaisen ole teknisistä tai toiminnallisista tai kustannustehokkuuteen taikka tietoturvallisuuteen liittyvistä syistä välttämätöntä käyttää toiminnassaan tai sen osassa "muuta palvelua”. Mikäli palveluiden käyttö muuttuu maksulliseksi, lainsäädännön tulee mahdollistaa myös käyttövelvoitetun palvelun käytön lopettamisen samoilla kriteereillä, kuin käyttövelvoitteesta kieltäydyttäessä. Käyttövelvoitetuista palveluista irtautumisen tulee olla mahdollista, jotta käyttäjäorganisaatioille ei muodostu kohtuutonta riskiä kalliista, kustannustehottomasta ja toimimattomasta ”toimittajalukosta”, josta ei ole mahdollista irtautua esim. palvelun heikon kustannushyötyperusteen tai teknisen toimimattomuuden takia.

6) 10a § Valtuutusten ja muiden tahdonilmaisujen tarkistaminen ja rekisteröinti toimipisteessä: ”Käyttäjäorganisaation toimipisteessä voidaan tarkistaa ja rekisteröidä 10 §:n 1 momentissa tarkoitettuun rekisteriin kyseisen käyttäjäorganisaation kanssa käytävään asiointiin tarkoitettuja valtuutuksia ja tahdonilmaisuja, jotka voidaan hyväksyä vastaavissa asiointitilanteissa myös muissa käyttäjäorganisaatioissa. Yksityinen käyttäjäorganisaatio voi toisen yksityisen käyttäjäorganisaation toimeksiannosta ja Väestörekisterikeskuksen hyväksynnällä rekisteröidä myös muita valtuutuksia ja tahdonilmaisuja. Muotoilu on ongelmallinen ja vaikeatulkintainen. Voiko esim. julkinen käyttäjäorganisaatio halutessaan tehdä omassa toimipisteessään vain omaan asiointiin tarkoitettuja valtuuksia ja yksityisen sektorin toimija (VRK:n luvalla) sekä omaan että muitakin? Nyt tekstistä saa kuvan, että jälkimmäistä ei saisi tehdä toinen julkinen palvelunkäyttäjä. Menettelyn voidaan katsoa asettavan palvelutuottajat eriarvoiseen asemaan riippuen siitä onko toimija julkinen vai yksityinen.

7) 14. §, palvelutuotannossa käsiteltävien tietojen luovuttaminen: pykälän uusi 3. momentti velvoittaa käyttäjäorganisaation luovuttamaan asiointipalvelun käytöstä tallennettuja tietoja muutosesityksessä mainituissa kolmessa tapauksessa. Kyseisen pykälän ensimmäinen momentti sisältää palveluntuottajalle oikeuden (”voi… luovuttaa”) luovuttaa tietoja käyttäjäorganisaatiolle. Velvoite tulisi olla vastavuoroinen, koska nykymuotoilulla voidaan tulkita, että palveluntuottaja voi vaatia tietoja, mutta voi itse kieltäytymään vastavuoroisesti omien tietojensa luovuttamisesta esim. ongelmatilanteen selvityksessä. Saman 14. pykälän kolmas ehto voidaan katsoa tulkinnanvaraiseksi: ”Käyttäjäorganisaatiolla on salassapitosäännösten estämättä velvollisuus luovuttaa sen asiointipalvelun käytöstä tallennettuja tietoja asioinnin yhteydessä tapahtuneen tietojen käsittelyn oikeellisuuden osoittamiseksi tai muutoin asiointia koskevien ongelmien selvittämistä varten.” Jos tietojen käsittely perustuu tukipalvelun käyttövelvoitteeseen, tämä on ymmärrettävää. Jos tietojen käsittely kuitenkin perustuu siihen, että käyttäjäorganisaatiolla on oikeus käyttää tukipalvelua, tällöin käsittelyn oikeaksi osoittamisen velvollisuutta ei pitäisi käyttäjäorganisaatiolla olla, sillä tietojen
käsittelyä / palvelun käyttöä ei ole rajoitettu palvelun puitteissa.

8) Lakiesityksessä jää epäselväksi milloin valtuutuksen antaja voi tehdä rekisteröinnin toimipisteessä. Perustelutekstit eivät tarjoa selkeää kuvaa siitä, voiko valtuutuksen antaja tehdä valtuutuksen myös toimipisteessä siinäkin tilanteessa, että valtuutuksen sähköinen rekisteröinti olisi hänen kohdallaan mahdollista. Ehdotetussa 10b pykälässä annetaan VRK:lle oikeus määritellä valtuutuksen voimassaoloaika erikseen mainituissa tilanteissa. Herää kysymys, voiko valtuutuksen antaja rekisteröinnin yhteydessä antaa valtuutukselle määräajan? Esitetty lainsäädäntö ei ota tähän mitään kantaa, pitäisikö?

9) Muutosesityksestä tulisi poistaa 12 a §, jonka mukaan tietosuoja-asetuksen 18 artiklaa ei sovellettaisi kyseisen lain nojalla. Pykälän yksityiskohtaisissa perusteluissa on ilmoitettu, että poikkeus perustuisi tietosuoja-asetuksen 23 artiklan 1 kohdan e alakohtaan. Kyseisen kohdan mukaan rekisteröidyn oikeuksien rajoittaminen on mahdollista, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja - vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata muut unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet, erityisesti unionille tai jäsenvaltiolle tärkeä taloudellinen tai rahoituksellinen etu, mukaan lukien rahaan, talousarvioon ja verotukseen liittyvät asiat sekä kansanterveys ja sosiaaliturva. Pykälän yksityiskohtaisissa perusteluissa rajoituksen perusteita ja tavoitetta ei ole selostettu. Yleisperustelujen kohdassa 2.3 asiaa on kuitenkin perusteltu seuraavasti: ”tietojen käytön rajoittaminen mahdollisen virheen selvittämisen ajaksi voisi aikaansaada merkittäviä vaikutuksia, joita henkilö ei itse osaisi ennakoida”. Lisäksi todetaan, että ”Toisaalta voidaan myös ajatella, että rajoitusoikeuden käyttäminen johtaisi käytännössä tilanteeseen, jossa henkilö estäisi itse mahdollisuutensa asioida julkishallinnon ja osin yksityisen sektorin erilaisissa asiointipalveluissa”. Saman kappaleen lopussa on todettu, että
”Rajoitusoikeuden käyttäminen edellyttäisi henkilöltä ymmärrystä sen seurauksista.” Helsingin kaupunki huomauttaa, että rekisteröidyn tietosuoja-asetuksen mukaisten oikeuksien rajoitusperusteena ei voi olla oletus rekisteröidyn kyvyttömyydestä arvioida tietosuoja-asetuksen mukaisten rekisteröidyn oikeuksien käytön seurauksia. Tällaiset holhoavat perusteet eivät ole tietosuoja-asetuksen 23 artiklan 1 kohdassa tarkoitettuja demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhtaisia toimenpiteitä.

Helsingin kaupunki katsoo, että muutosesitys ei ole nykyisellä sisällöllään tarkoituksenmukainen mm. palvelujen maksullisuuden osalta. Käyttövelvoitetut palvelut tulisi säilyttää maksuttomana, jotta niiden leviäminen ja yhteiskäyttö voidaan taata eikä käyttövelvoitettuja organisaatioita kuormiteta ylimääräisillä käyttökustannuksilla.