Lausuntopyyntö, yleisen tietosuoja-asetuksen toimivuus ja sen soveltamiseen liittyvät kokemukset, oikeusministeriö

Kaupunginhallitus antoi seuraavan lausunnon:

Mitkä ovat olleet yleisen tietosuoja-asetuksen merkittävimpiä hyötyjä?

Merkittävin hyöty on yleisen tietoisuuden lisääntyminen oikeista toimintatavoista henkilötietojen käsittelyssä ja suojaamisessa. Tietoisuus tietosuojasta on lisääntynyt sekä kaupungin työntekijöiden että rekisteröityjen keskuudessa. Tietosuojatyö on selkeytynyt ja tietosuoja huomioidaan yhä paremmin ja varhaisemmassa vaiheessa kaikessa toiminnassa ja sen kehittämisessä, kuten IT-hankinnoissa.

Mitkä ovat olleet yleisen tietosuoja-asetuksen soveltamisessa ja toimivuudessa suurimpia haasteita?

EU:n yleisen tietosuoja-asetuksen (jäljempänä asetus) johdanto-osan 41 kappaleen mukaan henkilötietojen käsittelyä koskevan lainsäädännön tulee olla selkeää, täsmällistä ja ennakoitavaa. Asetus on kuitenkin monimutkainen ja vaikeaselkoinen. Kansallista henkilötietojen käsittelyä koskevaa sääntelyä sisältyy satoihin eri lakeihin. Tietosuojalainsäädännön pirstaleisuus aiheuttaa suurta epätietoisuutta kulloinkin sovellettavasta lainsäädännöstä ja lakien etusijajärjestyksestä.

Haasteita liittyy sekä julkisen hallinnon yleislakien että erityislainsäädännön sisältämiin henkilötietojen suojaa, viranomaisen toiminnan julkisuutta sekä salassapitoa koskeviin säädöksiin. Julkisuusperiaatteen ja tietosuojalainsäädännön yhteensovittaminen aiheuttaa erittäin vaativia punnintatilanteita. Tietopyyntöjen määrä Helsingissä, erityisesti sosiaali- ja terveystoimialalla on suuri ja pyyntöjen käsittely on jatkuvaa toimintaa. Lisäksi rekisteröityjen ja myös työntekijöiden on hankala hahmottaa erityyppisten tietopyyntöjen eroja. Erityislainsäädännön osalta haasteita liittyy erityisesti sosiaali- ja terveystointa koskevan erityislainsäädännön ja tietosuoja-asetuksen yhteensovittamiseen. Kyseessä on merkittävä sosiaali- ja terveystoimen viranomaisten toimintaedellytyksiin liittyvä kysymys, jonka ratkaisemiseen tarvittavia lainsäädäntötoimia tulisi priorisoida.

Kaikesta tiedottamisesta ja koulutuksesta huolimatta henkilöstön ymmärrys asetuksen määräysten tärkeydestä ja sitovuudesta on paikoittain ollut hidasta. Tietosuojastrategisiin toimenpiteisiin tarvitaan kasvavassa määrin resursseja. Esimerkiksi sisäänrakennetun ja oletusarvoisen tietosuojatyön vieminen toimintaan ja kehittämistyöhön on haasteellista.

Onko yleisen tietosuoja-asetuksen mahdollistamaa sääntelyliikkumavaraa käytetty Suomessa tarkoituksenmukaisella tavalla?

Suomessa on kattavaa ja tarpeellista tietosuojasääntelyä, mutta kansallisen liikkumavaran käytössä olisi tullut kiinnittää enemmän huomiota lainsäädännön selkeyteen ja yhtenäisyyteen.

Tietosuojalaki (1050/2018)

Lakiteksti on vaikealukuista ja sisältää erittäin laajasti viittauksia tietosuoja-asetuksen eri artikloihin. Lain sisällön pystyy ymmärtämään vain lukemalla sitä yhdessä tietosuoja-asetuksen ja lain esitöiden kanssa.

Tietosuojalain 4 §:n 1 momentin 1 kohdan mukaan henkilötietoja saa käsitellä, jos kysymys on henkilön asemaa, tehtäviä ja niiden hoitoa julkisyhteisöissä, elinkeinoelämässä, järjestötoiminnassa tai muussa vastaavassa toiminnassa kuvaavista tiedoista siltä osin kuin käsittelyn peruste on yleisen edun mukainen ja käsittely on oikeasuhtaista sillä tavoiteltuun oikeutettuun päämäärään asti. Tätä säännöstä on pidettävä perusteltuna, koska nämä tiedot eivät ole samanlaisen suojan tarpeessa kuin henkilön yksityiselämään liittyvät tiedot.

Laki ei perustelujen mukaan kuitenkaan oikeuta käsittelemään näitä tietoja siten, että ne pidettäisiin julkisesti saatavilla. Osittain 1 kohdassa mainittujen henkilötietojen pitäminen julkisesti saatavilla olisi yleisen edun mukaista, koska on yleinen tarve tietää, ketkä henkilöt ovat yhteiskunnallisesti merkittävässä asemassa, sekä saada tietoa heidän toiminnastaan. Käytännössä avoimuuden toteuttaminen tehokkaasti edellyttää usein sitä, että tiedot pidetään julkisesti saatavilla yleisessä tietoverkossa. Säännöstä tulisi täsmentää siten, että tietyin edellytyksin näiden tietojen julkisesti saatavilla pitäminen olisi sallittua.

Julkisuus- ja salassapitosäännökset

Suomen ja muiden Pohjoismaiden erityispiirteenä on laaja julkisuusperiaate. Kansallisessa lainsäädännössä ei ole riittävästi otettu huomioon perustuslain julkisuusperiaatteen ja tietosuoja-asetuksen yhteensovittamista, vaikka yleisen tietosuoja-asetuksen 86 artikla antaa tähän kansalliselle lainsäätäjälle mahdollisuuden.

Suomessa on laaja joukko salassapitoa koskevia säännöksiä niin viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999, jäljempänä julkisuuslaki) kuin eri hallinnonalojen lainsäädännössä. Henkilötietojen suojassa ei sinänsä ole kysymys tietojen salassapidosta, vaikka salassapidolla suojattava etu saattaakin yksityisyyden suojan osalta olla päällekkäinen henkilötietojen suojan kanssa. Salassapito voi liittyä henkilötietojen suojaan myös siten, että salassapito voi olla säädetty henkilötietojen käsittelyn mahdollistavaksi yhdeksi suojatakeeksi. Käytännössä tietosuojaa on kunnan toiminnassa mahdoton toteuttaa tuntematta julkisuuslain ja erityislakien useita yksityisyyttä suojaavia salassapitosäännöksiä, joten pykälien sijoittuminen merkittävään määrään eri lakeja vaarantaa yksityisyyden suojan toteutumisen käytännössä.

Julkisuus- ja salassapitolainsäädäntö kaipaisi kokonaisuudistusta, jossa säädöksiä nykyaikaistettaisiin. Tällä hetkellä tietosuojaa, salassapitoa, tietojen luovuttamista ja teknisiä käyttöyhteyksiä koskeva lainsäädäntö on niin pirstaleista ja vaikeaselkoista, että sen hallitsemiseen ei monella organisaatiolla ole resursseja. Tämä näkyy erityisesti tietojärjestelmähankkeissa ja paitsi aiheuttaa kustannuksia ja viivästyksiä myös vaarantaa tietosuojan tosiasiallisen toteutumisen. Liian vaikeaselkoinen lainsäädäntö jää helposti noudattamatta. Myös terminologiaa tulisi yhdenmukaistaa. Pirstaleinen tietosuoja- ja salassapitolainsäädäntö koskee erityisesti arkaluonteisia henkilötietoja, vaikka perustuslakivaliokunnan lausuntojen (PeVL 14/2018 vp s.6 ja PeVL 71/2018 vp s.3) mukaan arkaluonteisten henkilötietojen käsittelyä koskevan sääntelyn kohdalla on syytä pyrkiä selkeään ja ymmärrettävään lainsäädäntöön.

Tietojen luovutusta koskevaa lainsäädäntöä tulisi selkiyttää, erityisesti julkisuuslain 16 §:n 3 momentti joka koskee tietojen luovuttamista viranomaisen henkilörekistereistä aiheuttaa käytännön työssä tulkintaongelmia. Saman pykälän 4 momentti, jonka mukaan tietojen antamisesta teknisen rajapinnan ja katseluyhteyden avulla säädetään julkisen hallinnon tiedonhallinnasta annetussa laissa kuvastaa hyvin säädösten hajaantumista. Tietojen luovuttamista koskevia pykäliä tulisi muuttaa siten, että niissä käytetään yleisen tietosuoja-asetuksen ja tietosuojalain käsitteitä.

Julkisuuslain 12 §:n mukainen oikeus saada tieto itseään koskevasta asiakirjasta kaipaisi selkiyttämistä suhteessa tietosuoja-asetuksen 15 artiklan mukaiseen rekisteröidyn oikeuteen saada pääsy omiin tietoihin. Kummankin säännöksen perusteella voidaan luovuttaa henkilöä itseään koskevia salassa pidettäviä tietoja ja asiakirjoja. Viranomaisen on tarvittaessa selostettava tiedon pyytäjälle eri tiedonsaantioikeuksia koskevat säännökset sen selvittämiseksi, minkä säännöksen perusteella tietoja halutaan pyytää. Viranomaisen neuvontavelvollisuuteen kuuluu erojen selostus ja tiedonpyytäjälle edullisemman tiedonsaantioikeuden tarjoaminen. Asia on kuitenkin asiakkaalle vaikeasti ymmärrettävä eikä aina ole selvää kumpi tiedonsaantisäännös on edullisempi, koska asiakirjoista perittäviä maksuja ja muutoksenhakua koskevat määräykset ovat tapauksissa erilaisia.

Kuntalaki (410/2015)

Kaupungin toiminnassa haasteellisia sovellettavia ovat myös kuntalain 140 §, joka kieltää julkaisemasta pöytäkirjassa muut kuin tiedonsaannin kannalta välttämättömät henkilötiedot ja jonka mukaan pöytäkirjan sisältämät henkilötiedot on poistettava tietoverkosta oikaisuvaatimus- tai valitusajan päättyessä. Välttämättömyyden lisäksi säännös ei ota mitään kantaa henkilötietojen luonteeseen. Pykälää tulisi muuttaa siten, että henkilötietojen suoja kytketään yksityisyyden suojan intressiin. Tällä hetkellä on epäselvyyttä esimerkiksi siitä, saavatko hallintolain edellyttämät lisätiedon antajan ja päätöksentekijän tiedot jäädä yleisessä tietoverkossa julkaistuun pöytäkirjaan kuntalain 140 §:n sanamuodosta huolimatta muutoksenhakuajan jälkeenkin.

Tulkintaepäselvyyksiä on myös tilanteissa, joissa kunnan tiedotusvelvollisuus ja kuntalaisten tiedonsaanti-intressi puoltavat pöytäkirjan pitämistä yleisessä tietoverkossa henkilötietoineen muutoksenhakuaikaa pidempään. Kuntalain sanamuoto ei tunnista tilanteista, joissa kuitenkin avoimuus edellyttää myös henkilötiedon pitämistä saatavilla muutoksenhakuaikaa pidempään. Kuntalain 140 §:ää olisi syytä tarkentaa sen osalta, millaisia kunnan tiedotusvelvollisuuteen liittyviä tilanteita voidaan pitää perusteltuna syynä pitää pöytäkirja ja sen sisältämät henkilötiedot saatavilla yleisessä tietoverkossa myös pöytäkirjamuodossa muutoksenhakuaikaa pidempään. Pykälän nykyinen sanamuoto on omiaan johtamaan julkisuusperiaatetta rajoittaviin tulkintoihin ja vaikeuttamaan kuntalaisten tiedonsaantia.

Kommentit yleisen tietosuoja-asetuksen I lukuun – Yleiset säännökset

Tietosuoja-asetuksen yleiset säännökset ovat pääosin selkeitä ja niitä
on avattu asetuksen johdanto-osiossa. Asetuksen kieliasu ja terminologia ovat paikoittain vaikeasti ymmärrettävissä ja hahmotettavissa. Termit rekisteröity, henkilötietojen käsittelijä ja rekisterinpitäjä ovat vaikeasti ymmärrettävissä.

Kommentit yleisen tietosuoja-asetuksen II lukuun – Periaatteet

Periaatteita koskevat artiklat ovat pääosin onnistuneet. Tietosuoja-asetuksen periaatteet ovat selkeitä ja käsittelyn lainmukaisuus ja erityiset henkilötietoryhmät on määritelty riittävän tarkasti. Artikloiden oikea tulkinta edellyttää kuitenkin tarkkaa tutustumista asetuksen johdanto-osaan, jossa tarkennukset ja esimerkit on sijoitettu useaan eri kohtaan. Johdanto-osaa ei ole jaoteltu artiklojen mukaan, jolloin tietojen löydettävyys kärsii. Sisällön ymmärtämiseksi on luettava asetuksen englannin- tai ranskankielistä versiota, koska suomenkielisestä versiosta ei aina saa selvää.

Artiklassa 7 suostumuksen edellytykset on kirjoitettu selkeästi. Johdanto-osan kohdassa 43 on asetettu viranmaistoimintaa koskeva käyttörajoitus ”Jotta voidaan varmistaa, että suostumus on annettu vapaaehtoisesti, suostumuksen ei pitäisi olla pätevä oikeudellinen peruste henkilötietojen käsittelylle sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta. Tämä koskee erityisesti tilannetta, jossa rekisterinpitäjänä on viranomainen ja jossa on sen vuoksi epätodennäköistä, että suostumus on annettu vapaaehtoisesti kaikissa kyseiseen tilanteeseen liittyvissä olosuhteissa.” Rajoitus on kirjoitettu turhan jyrkästi ja sekoittaa 7 artiklan tulkintatilanteita. Kohta ei sulje pois aidon suostumuksen käyttöä viranomaistoiminnassa, mutta antaa kuvan siitä, ettei se olisi mahdollista. Viranomaistoiminnassa on esimerkiksi salassa pidettävien tietojen osalta kuitenkin varsin tavallista, että niiden luovutus toiselle viranomaiselle ja käsittely muuhun kuin alkuperäiseen käyttötarkoitukseen on mahdollista vain rekisteröidyn suostumuksella.

Kommentit yleisen tietosuoja-asetuksen III lukuun – Rekisteröidyn oikeudet

Asetuksen III luku on pääsääntöisesti hyvä, mutta luku on hyvin raskaslukuinen, erityisesti runsaiden asetuksen sisäisten viittausten vuoksi. Rekisteröidyn informointi on ollut kunnallisessa toiminnassa käytännössä vaikeaa toteuttaa asetuksen vaatimalla tasolla. Asetus vaatii informoinnilta tarkkuutta, mutta monimutkaisen käsittelyn selostaminen sekä tarkasti että ymmärrettävästi on haasteellista. Erityisen haasteellista se on tilanteissa, joissa käsittely on erityisen laajamittaista ja rekisteröidyn kyky annetun tiedon ymmärtämiseen on alentunut, esimerkiksi sosiaali- ja terveystoimialalla. Rekisteröidyn informoimiseksi tarvittavien tietojen saattaminen julkisesti saataville on ollut toteutettavissa, mutta jokaisen henkilökohtainen informointi käsittelystä useissa lakisääteisissä palveluissa olisi käytännössä ollut hyvin vaikeaa.

Kommentit yleisen tietosuoja-asetuksen IV lukuun – Rekisterinpitäjä ja henkilötietojen käsittelijä

Luku on kokonaisuutena selkeä ja perusteellinen.

26 artiklan yhteisrekisterinpitäjyys tulisi olla määritelty selkeämmin. Sisäänrakennetun ja oletusarvoisen tietosuojan toteuttaminen hakee vielä muotoaan ja parhaiden toimintatapojen ohjeistukset helpottaisivat käytännön toteutusta. Tietosuoja-asetuksen 28 artiklassa on hyvä, sopimista helpottava listaus asioista, joista rekisterinpitäjän on sovittava käsittelijän kanssa. Tietosuoja-asetuksen vaatimukset sopimusten osalta ovat parantaneet sopimusten laatua muiltakin osin. Käytännössä on ilmennyt, että artiklan sisällön ymmärtäminen on ollut vaikeaa ja sopimusten saattaminen vaaditulle tasolle on vaatinut lisäresurssointia ja erityisosaamista.

Tietosuoja-asetuksen 33 artiklan asettaman 72 tunnin aikarajan sisällä on käytännössä usein varsin haastavaa saada täysin totuudenmukaisia tietoja tietoturvaloukkauksista. Tiedot ovat usein vajavaiset ja voivat olla jopa täysin vääriä ensimmäisen 72 tunnin aikana. Tästä aiheutuu ylimääräistä työtä kaikille osapuolille. Velvollisuus ilmoittaa tapahtuneesta tietoturvaloukkauksesta valvontaviranomaiselle ja siihen luotu kaupungin sisäinen prosessi ovat tehneet kaupungin tosiasiallisen tietosuojan tilanteen näkyvämmäksi. Tämä helpottaa tietosuojaa parantavien toimenpiteiden suunnittelua.

Kommentit yleisen tietosuoja-asetuksen V lukuun – Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille

V luvun säädökset henkilötietojen siirrosta kolmansiin maihin tai kansainvälisille järjestöille ovat tarpeellisia EU-maiden kansalaisten henkilötietojen suojaamiselle. Säädöksiä tulisi tarkentaa, jotta käytännön lainsoveltamisesta tulisi selkeämpää ja johdonmukaisempaa. Esimerkiksi 49 artiklan käyttötilanteiden selventäminen olisi hyödyllistä.

Ottaen huomioon Safe Harbour –järjestelmän kaatumisen Euroopan Unionin tuomioistuimessa (EUT) ja sitä korvaavan Privacy Shield -järjestelmän ja tietosuojaa koskevien mallilausekkeiden laillisuutta koskevan vireillä olevan oikeudenkäynnin, olisi ollut toivottavaa, että asetuksessa olisi otettu syvemmällä tasolla kantaa niihin konkreettisiin tietosuojan tasoa parantaviin toimenpiteisiin, joita laillinen käsittely ETA -alueen ulkopuolella rekisterinpitäjältä edellyttää. Nyt käsittelyn laillisuus on rakennettu ainoastaan suhteellisen teknisten sopimusmekanismien varaan, joten jos nämä järjestelyt todettaisiin EUT:ssa laittomiksi, olisi rekisterinpitäjä todella vaikeassa tilanteessa.

Kommentit yleisen tietosuoja-asetuksen IV lukuun – Riippumattomat valvontaviranomaiset

Lausuntopyynnössä ilmeisesti tarkoitetaan lukua VI Riippumattomat valvontaviranomaiset.

EU:n yleisen tietosuoja-asetuksen säädökset asetuksen valvontaviranomaisista ovat hyödyllisiä. On huomattava, että valvontaviranomaisen toiminta on taattava riittävin resurssein, jotta se pystyy hoitamaan asetuksen tuoman tehtäväkentän. Käytännössä on havaittu, että tietosuojavaltuutetun toimistosta on vaikea saada neuvontaa vaikeisiin tulkintakysymyksiin.

Kommentit yleisen tietosuoja-asetuksen VII lukuun – Yhteistyö ja yhdenmukaisuus

Yhteistyötä ja yhdenmukaisuutta koskevat määräykset ovat käytännössä johtaneet siihen, että ohjauksen ja neuvonnan saaminen tietosuojavaltuutetun toimistosta vaikeissa tulkintatilanteissa on vaikeutunut. Valvontaviranomainen pidättäytyy antamasta ohjeita tilanteissa, joissa se katsoo tarvittavan unionin tasoisia yhtenäisiä linjauksia. Rekisterinpitäjän näkökulmasta tämä on hyvin ongelmallista, sillä valvontaviranomaisen neuvontaa kaivattaisiin nimenomaan niissä tilanteissa, joissa EU tason kannanottojen ja oikeustapausten saaminen on hyvin hidasta. Rekisterinpitäjät joutuvat tekemään tulkintaa ilman riittävää ohjausta, mikä johtaa tietosuojan toteutumisen kannalta huonoon lopputulokseen.

Kommentit yleisen tietosuoja-asetuksen VIII lukuun – Oikeussuojakeinot, vastuu ja seuraamukset

Rekisteröidyn oikeussuojakeinot ovat tehokkaita.

Kommentit yleisen tietosuoja-asetuksen IX lukuun – Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset

86 artikla, joka mahdollistaa kansallisen lainsäädännön julkisuuperiaatteen toteuttamiseksi on tärkeä ja erittäin selkeä. Sen sijaan 86 artiklan mahdollistama kansallinen sääntely Suomessa ei ole onnistunut optimaalisesti. Ongelmia on kuvattu kansallisen liikkumavaran käyttöä koskevan kysymyksen kolme kohdalla.