Hallituksen esitys eduskunnalle julkisen hallinnon automaattista päätöksentekoa koskevaksi lainsäädännöksi

HE 145/2022

Julkisen hallinnon tietojärjestelmiä koskevia lainmuutoksia ei tule säätää koskemaan yksityisiä vakuutusyhtiöitä

Yhteenveto

• Hallintolakiin esitetyt muutokset valmisteltiin oikeusministeriön asettamassa työryhmässä, jossa oli edustettuna keskeisen viranomaisten ja eri sidosryhmien edustajat. Valmistelun avoimuus mahdollisti perusteellisen vuoropuhelun lakimuutosten tavoitteista. Hallintolakiin ehdotettavat muutokset ovat pääosin sekä EU:n tietosuoja-asetuksen että Suomen perustuslain näkökulmasta tarpeellisia ja hyvin valmisteltuja, eikä Finanssiala ry:llä (FA) ole niihin huomautettavaa.

• Sen sijaan lakiin julkisen hallinnon tiedonhallinnasta (tiedonhallintalaki) ja lakiin digitaalisten palvelujen tarjoamisesta (digipalvelulaki) esitetyt muutokset valmisteltiin yksipuolisesti virkamiesvalmistelussa, eikä aitoa ja riittävää vuoropuhelua yksityisen sektorin kanssa käyty. EU:n tietosuoja-asetus tai Suomen perustuslaki eivät edellyttäne tai tarvitse tuekseen mainittua sääntelyä yksityisellä sektorilla. Vakuutusyhtiöiden (tässä lausunnossa vakuutusyhtiöllä tarkoitetaan vahinkovakuutusyhtiöitä ja työeläkevakuutusyhtiöitä) tiedonhallinnan prosesseja säädellään jo nyt sekä kansallisen että EU:sta tulevan lainsäädännön ja viranomaismääräysten pohjalta. Nyt tehdyt muutosehdotukset ovat siten osin päällekkäisiä ja osin jopa ristiriitaisia EU:n yhteismarkkinasääntelyn kanssa, eikä muutoksia pitäisi ulottaa koskemaan yksityisiä vakuutusyhtiöitä.

• FA katsoo jäljempänä mainituista syistä, ettei tiedonhallintalakiin ja digipalvelulakiin ehdotettua sääntelyä tulisi ulottaa koskemaan vakuutusyhtiöitä, koska muutokset eivät tosiasiallisesti paranna asiakkaiden oikeussuojaa. Jos näin kuitenkin tehdään, virkavastuuta ei tulisi ulottaa vakuutusyhtiöihin siltä osin kuin sääntely on päällekkäistä ja siten jo nyt Finanssivalvonnan valvomaa toimintaa. Erityisesti tiedonhallintalakiin ehdotettu uusi 28 j §, jossa säädetään ulkoistamisesta, on vakuutusyhtiöiden toiminnalle hyvin ongelmallinen ja haitallinen, joten ainakaan sitä ei tulisi säätää koskemaan vakuutusyhtiöitä.

Kaksinkertainen sääntely on haitallista

EU:n tietosuoja-asetus ei edellytä sitä, että tiedonhallintalakiin ja digipalvelulakiin esitetty sääntely ulotetaan koskemaan myös yksityisiä vakuutusyhtiöitä, vaan kysymys on puhtaasti kansallisesta lisäsääntelystä. Muutosten ulottamista vakuutusyhtiöihin perustellaan hallinnon laillisuusperiaatteella ja virkavastuulla sekä erittäin laajalla ja aiemmasta poikkeavalla julkisen hallintotehtävän sisällön oikeudellisella tulkinnalla.

Tiedonhallintalakiin ehdotetaan julkisen hallinnon tarpeista lähtien yksityiskohtaista ja kokonaan uudenlaista sääntelyä tietojärjestelmien kehittämisen prosesseista, jonka tyyppistä sääntelyä ei ole aiemmin ollut, eikä sääntelyä tulisi ulottaa koskemaan yksityisiä vakuutusyhtiöitä.  Tähän mennessä julkisen hallintotehtävän käsitteen kautta tullut julkisoikeudellinen viranomaissääntely ei ole koskenut vakuutusyhtiöiden sisäistä päätöksentekoa, riskienhallintaa ja liiketoiminnan prosesseja, joita koskevasta sääntelystä suuri osa perustuu EU-normistoon.

Hallituksen esityksen yleisperustelujen luvuissa 4.2.1.6. ja 4.2.3.3 on kuvattu vakuutustoimialan nykyistä sääntelyä ja verrattu sitä nyt esitettyihin muutoksiin. Vertailu osoittaa hyvin, miten laajasti sääntelyt ovat päällekkäisiä. FA katsookin, että voimassa oleva sääntely on tavoitteeltaan samanlainen kuin nyt ehdotettu sääntely, eikä tiedonhallintalain ja digipalvelulain uudet vaatimukset tosiasiallisesti paranna asiakkaan oikeussuojaa. Koska vakuutusyhtiöitä valvovilla Finanssivalvonnalla ja tietosuojaviranomaisilla on oikeus määrätä nykyisten säännösten rikkomisesta sanktioita vakuutusyhtiölle, virkavastuun laajentaminen vakuutusyhtiöiden tiedonhallintaan johtaa riskiin kaksinkertaisesta sanktioinnista. Päällekkäisestä sääntelystä seuraa myös, että uuden valvojan (tiedonhallintalautakunta) ja nykyisten valvojien toimivalta on osin päällekkäinen ja siten myös toimivallanjako on epäselvä. Viitaten perustuslakivaliokunnan antamaan lausuntoon 17/2022, FA katsoo, että mikäli edellä mainittu päällekkäinen sääntely ulotetaan koskemaan myös vakuutusyhtiöitä, virkavastuuta ei kuitenkaan tule ulottaa koskemaan ainakaan niitä asioita, joita jo nyt valvotaan Finanssivalvonnan toimesta.

Oikeudellinen arvio on puutteellinen

Tiedonhallintalakiin ja digipalvelulakiinehdotettu pääosin samankaltainen sääntely aiheuttaa oikeudellisesta epävarmuutta ja tarpeetonta hallinnollista taakkaa vakuutusyhtiöille. Kilpailuoikeuden ja liikesalaisuudenpiiriin voidaan katsoa kuuluvan tieto automaattisesti ratkaistavista asioista sekä automatisoidun toimintaprosessin käytön perusteista. Esityksessä julkisuusperiaatetta ja salassapitosäännöksiä on arvioitu puhtaasti julkisen hallinnon näkökulmasta, eikä yksityisten toimeenpanijoiden poikkeavaa toimintaympäristöä ja sääntelyä ole otettu huomioon.

Esitys perustuu Suomessa vakiintuneeseen tulkintaan, että lakisääteinen vakuuttaminen on perustuslain 124 §:n mukaisesti annettu yksityisten vakuutusyhtiöiden hoidettavaksi. Koska ulkomaiset vakuutusyhtiöt voivat harjoittaa ja harjoittavat lakisääteistä vahinkovakuuttamista Suomessa EU:n yhteismarkkinasääntelyn perusteella, päätös julkisen hallintotehtävän hoitamisesta ja sitä kautta myös päätökset siihen liittyvien tietojärjestelmien kehittämisestä, voidaan tehdä Suomen rajojen ulkopuolella. Suomen lainsäädännön mukaisen virkavastuun ja siihen liittyvän rikosvastuun ulottaminen Suomen rajojen ulkopuolelle ei ole oikeudellisesti, eikä käytännöllisesti mahdollista. Sääntely on tältä osin tehoton. Tämä aiheuttaa epäneutraalin kilpailutilanteen vahinkovakuutusyhtiöiden välillä.

Muutoinkaan lainvalmistelun aikana ei ole tehty oikeudellista arviota siitä, onko nyt ehdotettu sääntely ylipäätään mahdollista ottaen huomioon EU:sta tulevan laajan vakuutustoimialaa koskevan sääntelyn. Esitys perustuukin tältä osin puutteelliselle oikeudelliselle arviolle. Kun vahinkovakuutusyhtiöitä koskien on runsaasti EU-tasoista sääntelyä niiden hallintoon, prosesseihin ja myös tiedonhallintaan liittyen, on todennäköisestä, että näin laajana esitys on ristiriidassa EU:n yhteismarkkinasääntelyn kanssa. Ehdotetun sääntelyn valvonta ei ole myöskään käytännössä mahdollista siltä osin kuin tietojärjestelmien kehittäminen tapahtuu ulkomailla.

Tämä on yksi keskeinen syy sille, ettei missään muussa EU:ssa kuin Suomessa ole päädytty ulottamaan viranomaissääntelyä koskemaan yksityisiä vahinkovakuutusyhtiöitä. Toinen luonnollisempi syy on se, ettei mikään yhteisö voi ilman merkittävää normikollisiota olla saman aikaan toisaalta viranomaissääntelyn ja toisaalta liiketoimintaa kilpaillulla markkinalla harjoittavia yksityisiä yrityksiä koskevan sääntelyn kohteena.

Ulkoisten it-palvelujen oston ja neuvonta-automaation sääntely tarpeetonta

Tiedonhallintalakiin lisättäväksi ehdotettu 28 j § (Tehtävien antaminen yksityiselle ja virkavastuu) on erityisen ongelmallinen. Pykälän säädöskohtaisissa perusteluissa sivulla 132 todetaan muun muassa seuraavaa.

Sääntely olisi tarkoitettu sovellettavaksi ja tulkittavaksi vain ehdotetun 6 a luvun soveltamisen yhteydessä. Koska ehdotuksessa tehtävät on säädetty lähtökohtaisesti viranomaisen tehtäviksi, pitäisi tässä sääntely-yhteydessä mahdollistaa erikseen tiettyjen tehtävien antaminen perustuslain 124 §:ssä johtuvista syistä yksityiselle. Siten sääntelyehdotuksessa ei oteta kantaa siihen, miten julkisia hallintotehtäviä arvioidaan muussa tietojärjestelmien tai toimintaprosessien kehittämistyössä sovellettaessa muita tiedonhallintalain tai muun lain säännöksiä.

On hyvä, että esityksessä on tunnistettu, että nyt ehdotettu sääntely voisi vaikuttaa kaikkeen muuhunkin tietojärjestelmien kehittämiseen tulevaisuudessa, mistä esityksen kirjoittajakin näyttää olevan huolissaan. Onkin selvää, että tällainen sinänsä looginen päättelyketju voisi tarpeettomasti hidastaa ja jopa estää tulevaa digitalisaatiokehitystä. Sääntely ei siten toteuta hallituksen tehokkuus- tai digitalisaatiotavoitteita, vaan avaa vaarallisen laintulkinnallisen polun, joka rajoittaa ja osin jopa estää tietojärjestelmien hyödyntämistä suomalaisessa yhteiskunnassa.

Säännöksen ja sen perustelujen valossa on epäselvää, voivatko vakuutusyhtiöt, joiden on tulkittu hoitavan perustuslain 124 §:n nojalla julkista hallintotehtävää, antaa mainittujen tietojärjestelmätehtäviä edelleen toiselle yksityiselle toimijalla. Jos tällainen julkisen hallintotehtävän edelleen ulkoistaminen ei olisi mahdollista, vakuutusyhtiöille asetettaisiin viranomaisiakin tiukempia rajoituksia ulkoistamiselle. On myös tärkeää huomata, että maksimiharmonisointiin perustuvassa ns. Solvenssi II- direktiivissä (ja vakuutusyhtiölaissa) säädetään siitä, millä edellytyksillä vahinkovakuutusyhtiöllä on oikeus ulkoistaa toimintaansa. Kansallinen ulkoistamisoikeuden rajoittaminen ei siten näiltä osin ole mahdollista.

Oikeus ulkoistaa koskisi esityksen mukaan vain vähäisiä avustavia tehtäviä, kuten testaamista ja teknisten virheiden korjaamista. Rikosoikeudellisen virkavastuun ulottaminen tämän tyyppisiin avustaviin tehtäviin olisi tarpeetonta ylisääntelyä. Nykyisin on yleistä, että tietojärjestelmien tai toimintaprosessien kehittämis- ja ylläpitotehtävät on hyvin laajasti ulkoistettu it-toimittajalle. Kuten ehdotuksessa todetaan, rikosoikeudellisella virkavastuulla toimiminen saattaa heikentää IT-toimittajien tehtävissä käyttämän henkilöstön saatavuutta sekä kohottaa henkilöstökustannuksia. Tällä voi olla merkittäviä vaikutuksia it-toimittajien halukkuuteen ottaa tällaisia julkista hallintotehtävää hoitavien tahojen järjestelmähankkeita toteutettavakseen.

Sosiaali- ja terveysministeriö selvittää parhaillaan sitä, miltä osin vakuutusyhtiöllä on oikeus edelleen ulkoistaa julkiseksi hallintotehtäväksi katsottavia toimintoja toisille yksityisille yrityksille. Tämän vuoksikin on tärkeää, ettei lainsäädäntöön tehdä ennen mainittua kokonaisvaltaista selvitystä esitetyn kaltaista hyvin pistemäistä ja tulkinnallisesti epäselvää sääntelyä vakuutusyhtiön oikeudesta edelleen ulkoistaa tehtäviään.

Esitys perustuu monilta osin hyvin laajalle ja aiemmasta tulkinnasta poikkeavalle perustuslain 124 §:n tulkinnalle. Tästä hyvä esimerkki on digipalvelulakiin ehdotettu hyvin yksityiskohtainen säännös neuvonta-automaation (ns. chat-bot-palvelut) käytöstä yksityisissä yrityksissä, jota esityksessä väitetään tarvittavan nimenomaan Suomen perustuslain vaatimusten johdosta.

Lopuksi

FA on huolissaan siitä, että perustuslain 124 §:n jatkuvasti laajeneva tulkinta tulee esityksen tapaisesti jatkuessaan lopulta kaventamaan eron julkisen ja yksityisen toiminnan väliltä ja johtamaan voimakkaaseen normikollisioon ja viimekädessä oikeusprosesseihin EU-tuomioistuimessa. Tämän vuoksi onkin tärkeää, että hallintovaliokunta velvoittaisi mietinnössään hallituksen tekemään perusteelliset selvitykset EU:n sääntelyn perustuslain 124 §:n tulkinnalle asettamista oikeudellisista reunaehdoista sekä siitä, mitä taloudellisia vaikutuksia tämän esityksen kautta mahdollisesti laajentuvalla julkisen hallintotehtävän käsiteellä voisi pidemmällä aikavälillä olla yksityisille vakuutusyhtiöille.

FINANSSIALA RY

Hannu Ijäs

Johtaja, lainsäädäntö