Tietosuojalainsäädännön kokonaisuudistus
Annoimme lausunnon oikeusministeriölle koskien luonnosta hallituksen esitykseksi tietosuojalainsäädännön kokonaisuudistukseen liittyvistä muutoksista. Uudistuksen taustalla on pääministeri Orpon hallituksen hallitusohjelma, johon sisältyy useita toimenpiteitä, joiden tavoitteena on tukea digitalisaation hyödyntämistä. Osana näitä toimenpiteitä hallitus toteuttaa kansallisen tietosuojalainsäädännön kokonaisuudistuksen.
Kerroimme lausunnossamme pääosin kannattavamme esitettyjä muutoksia, mutta toivoimme muutamaa tarkennusta esitysluonnokseen.
Tietosuojalain 4 §:n ehdotettavat muutokset (henkilötietojen käsittely yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi)
Kannatamme tietosuojalain 4 §:ään (käsittelyn lain mukaisuus) ehdotettua uutta 2 momenttia, mikä oikeuttaa myös julkista hallintotehtävää hoitavien yksityisten toimijoiden käsittelemään henkilötietoja silloin, kun kyse on tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan tarkoittamasta yleistä etua koskevan tehtävän suorittamisesta. Tämä mahdollistaa henkilötietojen käsittelyn myös lailla tai lain nojalla annetuissa kehittämis-, suunnittelu- ja selvitystehtävissä. Työeläkealalla on tarve julkista hallintotehtävää hoitavalle yksityiselle toimijalle henkilötietojen käytön alkuperäisen käsittelyperusteen kanssa yhteensopivaan suunnittelu-, selvitys- ja kehittämistehtävään oikeuttavaan oikeusperusteeseen.
Julkisen vallan käyttö on käsitteenä kuitenkin suppeampi kuin julkisen hallintotehtävän hoitaminen. Katsomme, että mahdollisten tulkintaristiriitojen välttämiseksi käsitteitä olisi hyvä selventää vähintään lakiesityksen pykäläperusteluissa.
Lisäksi hallituksen esityksen luonnoksen perusteella jää epäselväksi, millaisissa kehittämis-, suunnittelu- ja selvitystehtävissä henkilötietojen käsittely olisi jatkossa mahdollista. HE-luonnoksessa (s. 27) todetaan, ettei ole tarkoitus säätää oikeusperustasta lakisääteisen velvoitteen noudattamisessa, mutta myöhemmin (samassa kappaleessa) kuitenkin todetaan, että henkilötietojen käsittely koskisi mm. käsittelyä, joka liittyy lailla tai lain nojalla annettuihin kehittämis-, suunnittelu- ja selvitystehtäviin.
Tietosuojalain 4 §:n 1 momentin 2 kohdan perustelujen mukaan säännös ei itsessään mahdollista TSA 9 artiklan mukaisten erityisten henkilötietoryhmien käyttöä. Työeläkeala käsittelee työntekijöiden terveydentilatietoja sekä työkyvyttömyys- että kuntoutusetuuksiin liittyvän päätöksenteon yhteydessä. Työeläketurvan toimeenpano edellyttää erilaisia kehittämis-, suunnittelu- ja selvitystehtäviä, eikä työ ole mahdollista ilman terveydentilaa koskevien tietojen käsittelyä. Nyt ehdotettavan tietosuojalain 6 §:n 1 momentin 2 kohta oikeuttaa myös TSA 9 artiklan mukaisten tietojen käyttöön. Katsomme, että TSA 9 artiklan mukaisten tietojen käyttö tulee olla mahdollista 6 §:n 1 momentin 2 kohdan nojalla myös työeläkealan tietosuojalain 4 §:n 1 momentin 2 kohdan mukaisissa kehittämis-, suunnittelu- ja selvitystehtävissä.
Tietosuojalain 6 §:n ehdotettavat muutokset (erityisiin henkilötietoryhmiin ja rikostuomioihin ja rikoksiin liittyvä käsittely)
Nostamme tässä esille luonnoksen 6 §:n 3 momentin rajoitukset (tietojen välitön poistaminen), jotka eivät mielestämme ole kuitenkaan tarpeen. Tietosuoja-asetuksen tietosuojaperiaatteissa säädetään jo esimerkiksi informointi- ja minimointivelvollisuuksista.
Yleiset kommentit
Lisäksi nostamme esille, että nyt lausuttavana oleva HE-luonnos ei ota kantaa seuraavaan tutkimuksen määritelmän eroihin. Tietosuoja-asetuksessa on määritelmä tutkimuksesta (Artikla 5(1)(b)) artikloissa sekä johdantokappaleessa 159. Asetuksessa todetaan, että ”Tätä asetusta olisi myös sovellettava, jos henkilötietoja käsitellään tieteellisiä tutkimustarkoituksia varten. Henkilötietojen käsittelyä tieteellisiä tutkimustarkoituksia varten olisi tämän asetuksen soveltamista varten tulkittava laajasti niin, että se tarkoittaa myös teknologian kehittämistä ja esittelyä, perustutkimusta, soveltavaa tutkimusta ja yksityisin varoin rahoitettua tutkimusta. ”
Kansallisen tietosuojalain tutkimusta koskevissa pykälissä (esim. TSL 4.3, TSL 6.1(7)) on sen sijaan määritelmänä tieteellinen tutkimus. Tieteellisellä tutkimuksella on kansallisesti yleinen määritelmä. Kansallinen tutkimuksen määritelmä on hieman rajatumpi kuin mitä tietosuoja-asetuksessa on esitetty. Tämä tuottaa ongelmia ja tulkinnallisuutta rekisterinpitäjän määritellessä käsittelyn oikeusperustaa. Käsittelyn oikeusperusta on yksi laillisuusperiaatteen peruskivistä, joten epävarmuus tässä suhteessa ei ole suotavaa. Toivomme, että tilannetta selvennetään hallituksen esityksen perusteluosiossa.
Haluamme lisäksi todeta, että toimeenpanon sujuvuutta tulisi edistää säännöksellä, jonka mukaisesti tietoja luovuttava rekisterinpitäjä on velvollinen luovuttamaan tiedot ilman erillistä harkintaa, jos tiedonsaantiin oikeutetun rekisterinpitäjän lainsäädännössä on säädetty tarpeellisista tiedoista riittävän tarkasti (esim. TyEL 198 §).