Kuntaliitto kiittää mahdollisuudesta lausua Suomen kannasta tietosuoja-asetukseen.
Komissio on 25.1.2012 julkistanut ehdotuksensa EU:n tietosuojalainsäädännön uudistamisesta, johon sisältyy neuvottelujen kohteena oleva yleinen tietosuoja-asetus. Ehdotetulla sääntelyllä pyritään vastaamaan teknologian nopean kehityksen haasteisiin ja vahvistamaan yksilöiden oikeutta valvoa henkilötietojaan.
Kuntaliitto suhtautuu myönteisesti pyrkimykseen tehostaa ja tukea sisämarkkinoita ja edistää sähköistä kaupankäyntiä. Kuntaliitto pitää myönteisenä pyrkimystä parantaa yksilöiden tietosuojaa.
Asetuksen vahvana lähtökohtana on ollut tarve luoda yhteiset pelisäännöt henkilötietoja kaupallisesti hyödyntävien tahojen henkilötietokäsittelylle ja vastata tehokkaasti digitaalisen talouden ja verkossa tapahtuvan liiketoiminnan tietosuojahaasteisiin. Asetuksen soveltamisala on kuitenkin laaja ja säännökset tulevat lähtökohtaisesti suoraan sovellettavaksi sekä yritysten että koko julkissektorin henkilötietotoimintaan.
Kuntaliitto toteaa, että ehdotetulla sääntelyllä on huomattavia vaikutuksia myös kuntasektoriin. Rekisterien ylläpito ja henkilötietojen käsittely ovat keskeisiä tehtäviä kuntien ja koko julkissektorin toiminnassa. Ehdotettu asetus lisää merkittävästi kunnallisten viranomaisten hallinnollista taakkaa ja tämän myötä resurssien tarvetta.
Ehdotetun sääntelyn oikeusperusta on SEUT-sopimuksen 16 artikla 2 kohta, jonka mukaan voidaan antaa sääntöjä, jotka koskevat yksilöiden suojelua henkilötietojen käsittelyssä silloin, kun näitä tietoja käsittelevät jäsenvaltiot suorittaessaan unionin lainsäädännön soveltamisalaan kuuluvia tehtäviä. Lisäksi voidaan antaa sääntöjä, jotka koskevat tietojen vapaata liikkuvuutta, riippumatta siitä, käsittelevätkö henkilötietoja jäsenvaltiot vai yksityiset tahot.
Ehdotetulla sääntelyllä on huomattavia vaikutuksia myös jäsenvaltioiden sisäiseen hallintoon, esimerkiksi kuntien, valtion viranomaisten ja eduskunnan sisäiseen toimintaan. Jäsenvaltioiden sisäisen hallinnon ei voida katsoa poikkeuksetta kuuluvan unionin lainsäädännön soveltamisalaan tai SEUT-sopimuksen 16 artiklan 2 kohtaan. Ehdotetun sääntelyn oikeusperusta suhteessa jäsenvaltioiden sisäiseen hallintoon, mukaan lukien kunnallishallinto, on epäselvä.
Asetuksessa säädetään kansallisesta liikkumavarasta julkishallinnon osalta. Artikla 6 (2) a antaa valtuudet kansallisesti säätää tarkentavasti henkilötietojen käsittelystä viranomaistoiminnassa ja laissa säädettyjen tehtävien hoidossa. Lisäksi kansallisesti voi tarkentavasti säätää henkilötietojen käsittelystä yleisen edun perusteella. Artikla 79 (3) b:ssa taas säädetään kansallisesta liikkumavarasta sanktioiden osalta julkishallinnolle.
Kansallinen liikkumavara on erittäin tärkeä elementti asetuksessa ja sitä tulee käyttää julkishallinnon hallinnollisen ja taloudellisen taakan vähentämiseksi. Kansallisen liikkumavaran käyttöala paikallishallinnon näkökulmasta on kuitenkin rajallinen. Kunnat käsittelevät henkilötietoja sekä viranomaistoimintaansa liittyen lakisääteisten tehtävien hoidossa että vapaaehtoisuuteen perustuvan toiminnan (yleinen toimiala) tukena. Kuntien vapaaehtoisten tehtävien yhteydessä tapahtuva henkilötietojen käsittely olisi asetustekstin perusteella verrattavissa elinkeinoelämän henkilötietokäsittelyyn, johon asetukset säännökset tulevat täysimääräisesti sovellettavaksi. Tästä syystä kunnat joutuvat esimerkiksi järjestelmähankinnoissa useimmiten ottamaan huomioon asetuksen velvoitteet täysimääräisinä, ilman julkissektorin erityistä liikkumavaraa.
Julkishallintoa tulisi asetustekstissä käsitellä kokonaisuutena eikä erotella julkishallinnon toimintoja. Artiklassa 79 viitataan julkissektoriin käsitteellä ”public authorities and bodies established in that Member State”. Kansallisesta liikkumavarasta ja poikkeuksista säädettäessä käytetään kuitenkin erottelevaa termistöä (compliance with legal oblication to which the controller is subject; performance of task carried out in the public interest or in the exercise of official auhtority vested in the controller). Kuntaliitto katsoo, että artiklassa 79 käytettyä käsitettä tulisi käyttää johdonmukaisesti viitattaessa julkissektoriin asetustekstissä. Vaihtoehtoisesti preambulassa tulisi selkeyttää kuntien ja valtion viranomaisten toiminnan kokonaiskäsitettä.
Asetus asettaa uusia tehtäviä ja velvoitteita kuntasektorille. Viranomaistoiminnassa ja lakiin perustuvassa henkilötietojen käsittelyssä on asetuksen mukaan otettava huomioon uusina rekisterinpitäjän tehtävinä ainakin artikla 17 a (restriction); artikla 17 B (communication); artikla 19 (right to object) ja tietosuojavastaavan toimi (artikla 35). Jos kunta suostumuksen perusteella viranomaistoimintansa ulkopuolella käsittelee henkilötietoja, lisävaatimuksia ovat mm. tietojen siirrettävyysvaatimus (artikla 18).
Näiden yksittäisten tehtävien lisäksi asetus tuo uusia velvoitteita liittyen viranomaisrekistereiden oletusarvoiseen tietosuojaan (23), tietosuojatilintekovelvollisuuteen (30) sekä toimintatapoja ongelmatilanteissa (31 ja 32). Asetus myös sitovasti ja uudella tavalla määrittelee rekisterinpitäjän ja henkilötietojen käsittelijän vastuut (22 ja 26), mikä vaikuttaa esimerkiksi ulkoistussopimuksiin ja sopimusneuvotteluihin.
Tietosuojasääntely aiheuttaa kunnille merkittäviä sekä välittömästi aktualisoitavia kustannuksia (administrative burden) että asetuksen mukaisesta toiminnasta aiheutuvia välillisiä kustannuksia (compliance cost).
Kuntaliitto toteaa, että välittömästi aktualisoitavia kustannuksia pelkästään tietosuojavastaavan toimen täyttämisestä kuntasektorilla Suomessa on noin 35 miljoonaa/vuosi. Tähän sisältyy arvio tietosuojavastaavan palkkakustannuksista, toimeen liittyvät tila- ja materiaalikustannukset ottaen huomioon asetukseen otettu mahdollisuus käyttää yhteisiä tietosuojavastaavia esim. kuntakonsernissa. Välittöminä kustannuksia on vielä otettava huomioon mm. järjestelmähankinnat, joiden kustannukset tulevat olemaan mittavia yllä mainituista syistä.
Suurin taloudellinen vaikutus tulee myös paikallisviranomaisten osalta välillisistä kustannuksista. Välillisten kustannusten lopullinen taso riippuu osittain kansalliseen liikkumavaraan liittyvistä ratkaisuista. Julkissektorin välillisiin kustannuksiin on mahdollista merkittävästi vaikuttaa toimeenpanovaiheessa. Toisaalta tilivelvollisuuteen ja sisäänrakennetun tietosuojan vaatimukseen liittyvät välilliset kustannukset, sekä niihin liittyvät transaktiokustannukset, koskevat täysimittaisesti myös julkissektoria.
Kuntaliitto pitää taloudellisia vaikutuksia kuntasektoriin merkittävinä ja kiinnittää huomiota siihen, että kuntien osalta uudistuksista koituva positiivinen hyöty ei realisoidu samalla tavalla kuin elinkeinoelämässä, jossa hyöty henkilötietojen vapaasta liikkuvuudesta näkyy suoraan liiketoiminnallisena intressinä.
Asetus tuo lainsäädännöllisiä muutoksia ainakin julkisuuslakiin, henkilötietolakiin ja erityislainsäädäntöön henkilötietojen käsittelystä. Lisäksi asetuksen vaatimukset on sovittava yhteen meneillä oleviin digitalisaatioon liittyviin hankkeisiin, esimerkiksi kansallisen palveluväylän lainsäädäntöön ja toimintoihin. Asetuksen kaavailtu siirtymäsäännös mahdollistaa kahden vuoden täytäntöönpanoajan.
Kuntaliitto katsoo, että julkissektorin liikkumavaran osalta neuvotteluissa ei ole vielä saavutettu sellaista lopputulosta, joka täyttäisi sääntelyuudistukselle asetetut tavoitteet. Tavoitteiden saavuttaminen edellyttää jatkotyötä.
Kansallinen täytäntöönpano tulisi aloittaa mahdollisimman pian.
Digitalisaatiohankkeiden koordinaatio asetuksen vaatimusten kanssa on välttämätön ja tulisi tehdä etupainotteisesti. Täytäntöönpanotyössä tulisi olla edustettuna laajasti eri asetuksen vaikutuspiirissä olevia tahoja.
SUOMEN KUNTALIITTO
Ida Sulin
lakimies
Webcast-sarjamme tarjoaa kuntajuridiikan näkökulmia ajankohtaisiin teemoihin.