Lausuntopyyntö, henkilötunnuksen uudistaminen, työryhmän loppuraportti, valtiovarainministeriö

Pormestari päätti antaa valtiovarainministeriölle seuraavan lausunnon henkilötunnuksen uudistamista pohtineen työryhmän loppuraportista.

Henkilötunnuksen uudistamista käsittelevä työryhmä on toimikautensa aikana selvittänyt Helsingin kaupungin näkemyksiä henkilötunnuksen uudistamisen vaihtoehtojen kustannuksista ja hyödyistä. Helsingin kaupunki on osallistunut työryhmän selvitykseen vastaamalla Väestörekisterikeskuksen kyselyyn syksyllä 2019. Lisäksi kaupungin sosiaali- ja terveystoimialan edustajaa on haastateltu 12.6.2019 osana pilottivaiheen tiedonkeruuta. Tällä lausunnolla Helsingin kaupunki täydentää aiemmin esiin tuomiaan näkemyksiä. Ehdotettu uudistus on sinänsä kannatettava, mutta siitä mahdollisesti kaupungille aiheutuvat kustannukset on jatkovalmistelussa arvioitava tarkemmin, ja ne tulee korvata täysimääräisesti.

Ehdotuksen edellyttämät tietojärjestelmämuutokset ja kustannusvaikutukset

Loppuraportissa ehdotetaan, että Digi- ja väestötietovirasto loisi väestötietojärjestelmään rekisteröidyille henkilöille uuden henkilötunnuksen vuoden 2023 aikana, jolloin siirtymäkausi uuden tunnusjärjestelmän käyttöön ottamiseksi alkaisi. Siirtymäkauden ehdotetaan päättyvän vuonna 2027.

Helsingin kaupunki toteaa, että siirtymäaika tietojärjestelmämuutoksille on riittävä, mikäli väestötietojärjestelmän sisäiset muutokset ja muutosmääritykset valmistuvat ajoissa. Siirtymäkauden riittävyyteen vaikuttaa myös Helsingin sidosorganisaatioiden, kuten Verohallinnon ja Kansaneläkelaitoksen, onnistuminen muutosten toteuttamisessa tietojärjestelmissään. Henkilötunnusta käsittelevien organisaatioiden tulee saada riittävästi tukea ja ohjeistusta muutoksen täytäntöönpanosta vastaavalta taholta, jotta vaadittavat tietojärjestelmämuutokset pystytään toteuttamaan mahdollisimman koordinoidusti ja kustannustehokkaasti. Myös muutoksen edellyttämiin lisäkoulutustarpeisiin organisaatioissa olisi tärkeää kiinnittää huomiota valtakunnallisesti.

Helsingin kaupunki toteaa, että järjestelmämuutosten kustannusarvio vastaa tämänhetkisten tietojen valossa edelleen Väestörekisterikeskuksen kyselyssä syksyllä 2019 annettuja tietoja. Alustava arvio ehdotuksesta seuraavien tietojärjestelmien muutostarpeiden kertaluonteisista kustannuksista kaupungille on noin 6,9 miljoonaa euroa. Kustannusarvioon vaikuttaa se, kuinka hyvin väestötietojärjestelmän tietopalvelu tukee muutosten toimeenpanoa. Esimerkiksi tietyissä kaupungin palveluissa tarvitaan tieto henkilön iästä tai sukupuolesta, eikä se enää ehdotetun muutoksen jälkeen ilmenisi henkilötunnuksesta. Kaupungin tietojärjestelmien rakenteisiin ei kuitenkaan tarvitsisi tehdä tältä osin muutoksia, jos tieto iästä ja sukupuolesta voidaan kysyä väestötietojärjestelmän rajapintapalveluiden kautta. Helsingin kaupunki korostaa, että uudistuksen edellyttämistä järjestelmämuutoksista kunnille aiheutuvat kustannukset on jatkovalmistelussa arvioitava tarkemmin, ja ne tulee korvata täysimääräisesti.

Muutostarve kohdistuu Helsingissä noin 150–200 tietojärjestelmään, joissa käsitellään yhteensä noin 700 000 henkilötunnusta. Arviossa ei ole mukana niitä tietojärjestelmiä, jotka korvautuvat Apotti-tietojärjestelmällä. Siirtymäkauden aikana osa nykyisistä tietojärjestelmistä poistettaneen käytöstä.

Ehdotuksen vaikutukset tietosuojanäkökulmasta

Helsingin kaupunki toteaa, että tietosuojan kannalta uudistus on hyödyllinen. Se toteuttaa EU:n yleisen tietosuoja-asetuksen edellyttämää tietojen minimointia, kun henkilötunnukseen liittyen ei enää kerättäisi tietoa henkilön syntymäajasta ja sukupuolesta. Ehdotuksen mukaan henkilön yksilöivästä tunnisteesta ei voi päätellä henkilötietoja. Käytännön kannalta on etua siitä, että uuden henkilötunnuksen pituus ja rakenne vastaisivat nykyistä. Tämä helpottaa uusien tunnusten viemistä järjestelmiin.

Kuten loppuraportissa todetaan, henkilön yksilöinnin prosessin tulee olla riittävän yksiselitteinen ja ainutkertainen. Sen avulla henkilö voidaan identifioida riittävän luotettavasti ja yhdenmukaisesti yhdeksi henkilöksi kaikissa yhteiskunnan palveluissa heti ensimmäisestä asiointihetkestä alkaen. Ongelmallista tietosuojan kannalta kuitenkin on, että väestötietojärjestelmään voitaisiin myös vuodesta 2023 alkaen tallentaa tietoja, jotka eivät perustu luotettavaan asiakirjaselvitykseen tai joiden luotettavuudesta ei ole varmistuttu suomalaisessa tuomioistuin- tai hallintomenettelyssä. Loppuraportin mukaan Suomessa syntyvien lasten yksilöintiprosessi säilyisi täysin samanlaisena kuin nykyisin, eli syntyvä lapsi saa henkilötunnuksen sairaalan henkilökunnan toimesta. Tämä on tietosuojan kannalta selkeä menettely. Myöhemmin tapahtuva henkilötunnuksen luominen edellyttää riittävän luotettavaa todennustapahtumaa. Tähän tarkoitukseen tulee luoda selkeä, tietosuojan huomioiva prosessi. Työryhmän mukaan tunnistus tapahtuu henkilökohtaisen asioinnin yhteydessä, jolloin henkilö tavataan ja ydinhenkilötiedot tarkistetaan matkustusasiakirjasta. Jos tunnistuksen yhteydessä ei voida tarkistaa henkilötietoja, voidaan biometriset tunnisteet keräämällä ja tallentamalla varmistua tietyn fyysisen henkilön ja hänestä rekisteröityjen tietojen yhteydestä. Loppuraportin liitteen 9 esimerkit tunnistamisvaihtoehdoista ovat selkeitä.

Kuten loppuraportissa todetaan, sitä, millaisia tietoja tunnistamisen tavasta tai tietojen lähteestä väestötietojärjestelmässä jatkossa olisi saatavissa, ei ole vielä tarkemmin selvitetty. Myöskään näiden tietojen ylläpitoprosesseja väestötietojärjestelmässä ei ole tarkemmin määritelty, kuten ei tietojen ylläpitoon liittyviä toimivaltojakaan. Nämä kokonaisuudet tulee loppuraportin mukaisesti arvioida ja määritellä jatkotyössä. Tärkeää on myös arvioida muutosehdotuksen tietosuojavaikutukset ja mahdollisuudet täydentää väestötietojärjestelmään ennen uudistuksen voimaantuloa tallennettuja tietoja tunnistamisen tapa- ja tietojen lähdetiedoilla.

Työryhmän kanta siitä, että se ei pidä järkevänä eikä realistisena mahdollisuutta kerätä ja tallentaa biometrisiä tunnisteita väestötietojärjestelmään, on tietosuojan näkökulmasta perusteltu. Biometristen tunnisteiden käsittely on jatkossakin hyvä rajata poliisille ja Maahanmuuttovirastolle. Lisäksi kuten loppuraportissa todetaan, siitä, missä tarkoituksessa ja kenen toimesta näitä lisätietoja saadaan käsitellä sekä näiden tietojen luovuttamisesta tulisi säätää lailla.

Organisaatioissa tapahtuu runsaasti tietoturvaloukkauksia, joissa henkilötunnus päätyy vääriin käsiin ja tällöin vaarana on identiteettivarkaus. Loppuraportin mukaan yksinomaan henkilötunnuksella ei tulisi olla mahdollista tunnistaa eli varmentaa sitä, onko fyysisesti asioiva henkilö todella se henkilö, joka väittää olevansa. Tämä vähentäisi identiteettivarkauksien riskiä. Identiteettivarkauksien riskin vähentämiseen on jatkovalmistelussa muutoinkin hyvä kiinnittää huomiota.

Helsingin kaupunki kannattaa, että tieto jo myönnetyistä nykyisistä henkilötunnuksista säilytettäisiin pysyvästi väestötietojärjestelmässä. Tämä tarkoittaisi kaksinkertaisia henkilötunnuksia niille henkilöille, joilla henkilötunnus jo nykyään on, eikä sinänsä siis toteuttaisi tietosuoja-asetuksen mukaista tietojen minimointia. Tästä huolimatta säilyttäminen olisi tietosuojan kannalta perusteltavissa, sillä se tuo lisävarmuutta oikean henkilön tunnistamiseen.

Henkilötunnuksen myöntäminen nykyistä laajemmalle henkilöryhmälle

Loppuraportin mukaan henkilöille, joille henkilötunnusta ei voida myöntää, luodaan tällä hetkellä eri organisaatioissa keinotekoisia henkilötunnuksen kaltaisia tunnuksia organisaatioiden sisäisiin tarpeisiin. Tämä käytäntö on johtanut siihen, että henkilöllä voi olla useita henkilöllisyyksiä eri järjestelmissä eri palvelutuottajilla ja viranomaisilla.

Helsingin kaupunki toteaa, että keinotekoisten henkilötunnusten käytöstä luopuminen on toivottava muutos, koska niiden käyttöön liittyy haasteita. Keinotekoinen henkilötunnus on vaikea muistaa ja siksi on tavallista, että samalle henkilölle luodaan useita keinotekoisia henkilötunnuksia. Keinotekoinen henkilötunnus mahdollistaa muun muassa päällekkäisen asioinnin sosiaali- ja terveydenhuollon palveluissa. Päällekkäinen asiointi voi olla tahallista tai tahatonta, mutta se saattaa johtaa potilasturvallisuuden vaarantumiseen, kun henkilön hoidon kannalta olennaisia tietoja on kirjattu usean keinotekoisen henkilötunnuksen alle. Lisäksi keinotekoisten henkilötunnusten järjestelmä lisää vilpillisen menettelyn riskiä esimerkiksi palveluita tai etuuksia hakiessa.

Helsingin kaupungin sosiaali- ja terveystoimialalla on lukuisia asiakastietojärjestelmiä, joissa käsitellään henkilötunnuksia. Järjestelmät eivät kuitenkaan lähtökohtaisesti keskustele keskenään, minkä vuoksi henkilön yksilöiminen tietojärjestelmien välillä tehdään manuaalisesti. Jo kaupungin sosiaali- ja terveystoimialan sisällä paperittomalla voi näin ollen olla useita keinotekoisia henkilötunnuksia. Kaupungin keinotekoisen henkilötunnuksen lisäksi paperittomalla henkilöllä voi olla muun muassa seuraavia keinotekoisia tunnuksia: maahanmuuttoviraston asiakasnumero, perusterveydenhuollon tunnus, HUS:n erikoissairaanhoidon tunnus sekä mahdollisesti Kelassa luotu keinotekoinen tunniste. Yhteistyö sosiaalihuollon, perus- ja erikoissairaanhoidon sekä Kansaneläkelaitoksen välillä on tästä syystä haasteellista.

Loppuraportin mukaan henkilötunnus voitaisiin antaa nykyistä laajemmalle henkilöryhmälle vuodesta 2023 alkaen. Henkilötunnusten antamispiiriin kuuluvat henkilöryhmät on loppuraportin mukaan päätettävä jatkovalmistelussa siten, että laajentaminen vaiheistetaan usean vuoden ajalle varmistaen nykyisten henkilötunnusten riittävyys. Helsingin kaupunki toteaa, että jatkovalmistelussa henkilötunnusten antamispiiriin tulisi harkita sisällytettäväksi kaikki henkilöt, jotka ovat saapuneet maahan hakemaan oleskelulupaa, myös kansainvälistä suojelua hakevat. Osa kansainvälistä suojelua hakevista henkilöistä hakee useamman kerran turvapaikkaa, ja voi asioida muun muassa Maahanmuuttoviraston, kunnan, Kansaneläkelaitoksen, yksityisten lääkäriasemien, verotoimiston ja vastaanottokeskusten välillä.

Ehdotuksen vaikutukset työperäiseen maahanmuuttoon

Tällä hetkellä ilman henkilötunnusta ei voi saada pankkitunnisteita, mobiilivarmennetta tai henkilökorttiin sisältyvää kansalaisvarmennetta, mikä estää myös sähköisten viranomaispalveluiden käytön. Helsingin kaupunki toteaa, että työperäisen maahanmuuton edistämisen näkökulmasta asioinnin mahdollistaminen sähköisissä viranomaispalveluissa ja pankkiasioissa jo ennen maahantuloa tai oleskelulupaprosessin päättymistä olisi hyödyllinen uudistus. Erityisesti pankkitilin avaamisen mahdollistaminen nykyistä laajemmalle asiakasryhmälle on uudistuksen seurannaisvaikutuksena merkittävä työllistämistä helpottava toimenpide.

Kaupungin työllisyyspalveluiden piirissä olevat henkilöt ovat tyypillisesti oleskelleet Suomessa jo usean vuoden ajan, jolloin valtaosalla on henkilötunnus. Henkilötunnuksen puuttuminen tai mahdolliset useammat tunnukset erilaisissa rekistereissä eivät ole asiakastyössä nousseet esiin ongelmana. Sukupuolta tai syntymäaikaa yksilöivien tietojen poistuminen henkilötunnuksesta ei aiheuta haittaa työllisyyspalveluissa asioimisen näkökulmasta. Kaupungin työllisyyspalveluiden näkökulmasta ehdotettu uudistus on kannatettava.

Ehdotuksen vaikutukset yksityisille organisaatioille ja henkilöille

Helsingin kaupunki korostaa, että uudistuksen vaikutukset yksityisille organisaatioille sekä henkilöille on loppuraportin mukaisesti arvioitava jatkotyössä. Loppuraportin mukaan henkilön ei käytännössä tarvitse muistaa aktiivisesti omaa tunnustaan, koska sitä ei pitäisi tarvita missään henkilökohtaisessa asioinnissa. Henkilön tunnistamiseen liittyvät tapahtumat eivät perustuisi yksilöivän tunnisteen muistamiseen, vaan tunnistaminen tulee toteuttaa erilaisiin tunnistamistapoihin ja -välineisiin perustuen.

Helsingin kaupunki katsoo, että jatkotyössä on syytä arvioida, millä tavalla henkilötunnusta tosiasiallisesti tällä hetkellä käytetään tunnistamisen apuna henkilökohtaisessa, esimerkiksi puhelimitse tapahtuvassa asioinnissa ja mitä erilaisia tunnistamistapoja tilalle olisi käyttöönotettavissa. On syytä lisäksi kiinnittää huomiota siihen, että henkilöllä on riittävät mahdollisuudet valvoa henkilötunnuksensa käsittelyä.