Tietosuojalain käsittely etenee

EU:n tietosuoja-asetus (2016/679/EU) tuli voimaan toukokuussa. Eduskunnan hallintovaliokunta on vihdoinkin käsitellyt esityksen tietosuojalaiksi (HE 9/2018) eli asetusta täydentäväksi kansalliseksi lainsäädännöksi. Hallintovaliokunta antoi mietintönsä 25.10.2018. Esitys tietosuojalaiksi annettiin eduskunnalle maaliskuussa.

Mietinnössään hallintovaliokunta huomioi muun muassa perustuslakivaliokunnan tekemät huomautukset ja vaatii useita muutoksia esitettyyn lainsäädäntöön, jotta laki voitaisiin hyväksyä. Mikäli muutokset tehdään suhteellisen nopeasti, kansallisen tietosuojalain voidaan odottaa tulevan voimaan vuoden 2019 alkupuolella.

Uudet määräykset seuraamuksista päättävästä viranomaisesta

Kaikkien valiokuntien suurimpana kompastuskivenä on ollut kysymys siitä, kuka saa valtuudet päättää tietosuoja-asetuksen sisältämistä ns. hallinnollisista sanktioista, joita voidaan määrätä asetuksen keskeisimpien säännösten rikkomisesta. Säännöstä hallinnollisista sanktioista ei sovelleta viranomaisiin, seurakuntiin eikä valtion virastoihin.

Tietosuojalainsäädännön tarvetta selvittänyt työryhmä (ns. TATTI-työryhmä) esitti syksyllä 2017, että hallinnollisista sanktioista päättäisi lautakunta. Eduskunnalle keväällä jätetty hallituksen esitys taas sisälsi määräyksen, jonka mukaan tietosuojavaltuutetulla yksin olisi valtuudet päättää seuraamuksista.  Hallintovaliokunta toteaa, että tämä ei ole oikeusturvan ja hyvän hallinnon periaatteiden mukaista, ja esittää, että hallinnollisista sanktioista päättäisi tietosuojavaltuutetusta ja kahdesta apulaistietosuojavaltuutetusta koostuva kollegio.

Keskiössä arkistointi

Kuntien kannalta kiintoisa on hallintovaliokunnan esittämä muutos esityksen pykälään 32, jonka nykyisen sanamuodon mukaan henkilötietoja voi käsitellä arkistointitarkoituksessa sekä asetuksen 6 (1) c että 6 (1) e artiklan mukaan. Artikloja täsmennetään tietosuojalain 4 §:n 1 momentin 4 kohdassa. Arkistoinnissa voi siis olla kyse lakisääteisestä tehtävästä (6 c) tai yleistä etua koskevasta tehtävästä (6 e).

Hallintolautakunta painottaa lausunnossaan sitä, että koska lainsäädäntö tietosuoja-asioissa kytkeytyy perusoikeuksien suojaan, sen tulee erityisesti kyseisissä asioissa olla ymmärrettävää ja selkeää.

Tietosuojalaki täydentää asetusta

Esitys kansalliseksi tietosuojalaiksi sisältää kansallista tietosuoja-asioista päättävää valvontaviranomaista koskevia säännöksiä; tarkempia säännöksiä tiettyjen henkilötietojen käsittelystä; säännöksiä henkilötietojen käsittelyn erityistilanteista, esimerkiksi tieteellisessä tutkimuksessa sekä arkistointia ja journalistisia tarkoituksia varten. Esityksessä on myös säännöksiä muun muassa hallinnollisista sanktioista, ilmiantajan suojasta (ns. whistleblower-suoja) ja omien tietojen saamista koskevista rajoituksista.

Koska tietosuojalaki ei tullut voimaan samaan aikaan kuin tietosuoja-asetus toukokuussa 2018, olemme nyt siirtymävaiheessa, jossa lainsäädäntö on epätavallisen epäselvä. Siirtymävaiheen aikana, kunnes tietosuojalaki tulee voimaan, tietosuoja-asetusta sovelletaan suoraan, mutta meillä ei ole käytettävissämme asetuksen yleisiä säännöksiä täsmentävää kansallista lainsäädäntöä.

Henkilötietolaki (523/1999) on vielä voimassa, mutta se on osin ristiriidassa asetuksen säännösten kanssa. Sama koskee lukuisia erityislakeja, jotka sisältävät henkilötietojen käsittelyä tietyllä toimialalla koskevia säännöksiä. Kuntaliitto antoi toukokuussa ohjeen lainsäädännön tulkitsemisesta siirtymävaiheen aikana.