Finanssiala ry kannattaa esitettyjä pykälämuutoksia, mutta vastustaa perusteluissa esitettyä välimerkkiuudistuksen aikataulutusta
- Finanssiala ry pitää hyvänä esityksessä omaksuttua lähtökohtaa, että henkilötunnuksen muuttaminen perustuu aina henkilön omaan aloitteeseen. Kannatamme myös viranomaiselle asetettavaa velvoitetta informoida hakijaa muutosten vaikutuksista. Esitämme, että tämän lisäksi viranomaisen tulisi antaa hakijalle tietoa myös muista yksityisyyden suojaamisen ja rikoksilta suojautumiseen käytettävissä olevista keinoista.
- Toivomme, että vähintään esityksen perusteluissa vahvistettaisiin oikeus käsitellä myös vanhoja henkilötunnuksia niille tahoille, joilla on Tietosuojalain 29§:n mukainen oikeus henkilötunnuksen käsittelyyn.
- Vastustamme esityksen perusteluihin otettua linjausta tulevan henkilötunnuksen kokonaisuudistuksen aikataulutukseen. Välimerkkien uudistamisen aikataulu tulee määritellä henkilötunnuksen uudistushankkeen yhteydessä normaalin prosessin mukaisesti.
VN/26031/2020-VM-5
1 Esitettyjen muutosten vaikuttavuus
Esityksen mukaan henkilötunnuksen muuttamisen mahdollistamisella nykyistä laajemmin on tarkoitus vähentää henkilötunnuksen avulla tehtävien väärinkäytösten mahdollisuuksia ja vähentää esimerkiksi tietoja viestintärikosten uhreiksi joutuneille aiheutuvaa vahinko vääriin käsiin joutuneista identiteettitiedoista.
Finanssiala ry pitää esityksen tavoitteita kannatettavina. Haluamme kuitenkin tuoda esiin, että henkilötunnuksen vaihtamisen helpottamisella voidaan ainoastaan estää henkilötunnuksen, ei mahdollisten muiden tietomurron tai -vuodon seurauksena
saatujen henkilöä koskevien tietojen hyväksikäyttöä. Tämä käy ilmi myös esityksen perusteluista, esimerkiksi (s. 8): ”Sellaisissa laajamittaisissa tietoturvaloukkauksissa tai tietomurroissa, joissa muita, esimerkiksi erityisiin henkilötietoryhmiin kuuluvia (ns.
arkaluonteisia) henkilötietoja on vuotanut henkilötunnuksen lisäksi, rikoksen uhrien yksityisyyden loukkaus aiheutuu ennen muuta muista sivullisen tietoon joutuneista tiedoista kuin henkilötunnuksesta. Henkilötunnuksen muuttamisella ei kovinkaan kattavasti voida vaikuttaa näiden tietojen lainvastaiseen käsittelyyn.”
Ja edelleen (s. 9): ”Henkilötunnuksen muuttaminen ei myöskään aukottomasti poista petosten tai muiden oikeudenloukkausten tekomahdollisuutta varastetulla identiteetillä. Toimija, joka ei noudata hyviä käytäntöjä ja luottaa vain henkilön itsensä ilmoittamiin tietoihin, ei myöskään todennäköisesti tarkista henkilötunnuksen voimassaoloa väestötietojärjestelmästä. Näin ollen petosten tekeminen myös vanhalla henkilötunnuksella voi jatkua. Identiteettivarkauden tyyppisiä rikoksia ja petoksia voi tehdä sekä aiheuttaa muuta vahinkoa myös muiden henkilötietojen, kuten nimen, osoitteen, sähköpostin tai puhelinnumeron avulla.”
Henkilötunnuksen vaihtaminen ei siis aukottomasti suojaa sen haltijaa jatkorikoksilta, vaan kuten esityksen sivulla 16 todetaan, se voi jossakin määrin ehkäistä jatkorikollisuutta ja vahvistaa osaltaan henkilön yksityisyyden suojaa.
Vastikään julkisuudessa olleen Vastaamo-psykoterapiayrityksen tietomurrossa ensimmäisten jatkorikosten eli kiristysyritysten tekemisessä käytettiin nimenomaan muita henkilöä koskevia tietoja kuin henkilötunnuksia. Esityksessä ei ole tuotu esille, millaisia keinoja (esim. nimenmuutos) rikoksen kohteeksi joutuneilla on käytettävissä tämän tyyppisten rikosten ehkäisemiseen.
Esityksessä on tuotu esille valtion digitaalisen henkilöllisyyden hanke mahdollisena henkilötunnuksen väärinkäyttämisen estämisen välineenä: ”Jo käynnissä olevana toimenpiteenä voidaan jatkaa valtiovarainministeriön Digitaalisen henkilöllisyyden hanketta, jossa kehitetään toimintamalli ja tuotetaan tarvittavat ratkaisut, joiden avulla valtion takaama digitaalinen henkilöllisyys voidaan tarjota digitaalisena henkilöllisyystodistuksena henkilöiden käyttöön. Tämä edistää osaltaan yhä laajemmin ottamaan käyttöön tietoturvallisia tapoja henkilöllisyyden todentamiseen. Digitaalisen henkilöllisyyden hankkeen on tarkoitus päättyä vuonna 2022.” Finanssiala ry:n mielestä tämä on kannatettava hanke.
2 Henkilötunnuksen vaihtamisen edellytykset
Finanssiala ry yhtyy esityksen lähtökohtaan, että tunnuksen muuttamisen väärinkäytösuhkan tilanteessa tulisi aina tapahtua henkilön
omasta hakemuksesta.
Kannatamme myös voimassa olevaan lakiin sisältyvän henkilötunnuksen muuttamista jo tapahtuneen väärinkäytöksen tilanteessa koskevan säännöksen muuttamista siten, ettei kyseisen väärinkäytöksen tarvitse olla toistuva. Ilman tätä muutosta jäisivät lain
12 a §:n mukaiset henkilötunnuksen muuttamisen perustelut yksittäisen ja laajemman rikoksen kohdalla kovin epäyhtenäisiksi, mikä voisi olla ongelmallista rikosten kohteiksi joutuneiden henkilöiden yhdenvertaisuuden kannalta.
Pidämme myös tärkeänä lakitekstissä viranomaiselle asetettavaa velvoitetta antaa hakijalle tarvittavat tiedot henkilötunnuksen muuttamisen vaikutuksista ennen päätöksen tekemistä. Haluamme tuoda esille, että vaikutukset ovat moninaisia ja ne tulisi pyrkiä esittämään mahdollisimman kattavasti ja hakijalle tulisi samassa yhteydessä tarjoa tietoa myös muista käytössä olevista suojakeinoista.
3 Henkilötunnuksen vaihtamisen käytännön vaikutukset
3.1 Tunnusten vaihtamisesta aiheutuvat kustannukset
Henkilötunnusten muuttamista ei ole sen harvojen käyttökertojen vuoksi finanssialan yrityksissä automatisoitu. Käsin tehtynä yhden tunnuksen muuttamisen arvioidaan vaativan 1-20 h verran työtä, arvioiden keskiarvon ollessa 6,5 h muutettavaa henkilötunnusta kohti.
3.2 Henkilötunnuksen muutostiedon päivittyminen
Esityksessä todetaan, että Väestötietojärjestelmästä yksityissektorin rekistereitä päivittävät Digi-ja väestötietoviraston yhteistyökumppanit (Bisnode Finland Oy ja Posti Oyj), jotka välittävät muutokset edelleen niille rekisterinpitäjille, joilla on oikeus käsitellä henkilötunnuksia (esim. pankit, vakuutusyhtiöt, rahoitusala ja perintätoimistot).
Henkilötunnusmuutokset välittyvät näille tahoille eri aikatauluilla. Tietojen päivittämiseen yhteistyökumppanit käyttävät tietoaineistoa, joka päivittyy kerran viikossa.
Tiedon välityksen viiveen takia tulee todennäköisesti eteen tilanteita, joissa henkilöllä on joissakin rekistereissä uusi ja toisissa taas vanha henkilötunnus, mistä voi seurata ongelmia käytännön asioinnissa. Esityksessä ei oteta kantaa siihen, saako henkilö
henkilötunnuksen muuttamisesta jonkinlaisen todistuksen, jota hän voi tarvittaessa käyttää asiointitilanteessa.
3.3 Oikeus säilyttää ja käsitellä vanhaa henkilötunnusta
Pankeilla ja vakuutuslaitoksilla on Tietosuojalain 29§:n mukaisesti rekisterinpitäjinä oikeus käsitellä henkilötunnuksia. Käsillä olevassa esityksessä ei oteta kantaa henkilörekisterin pitäjien oikeuteen säilyttää ja käsitellä vanhoja henkilötunnuksia.
Tarvetta myös vanhojen henkilötunnusten käsittelemiseen voi tulla esimerkiksi siitä syystä, että päättyneiden sopimusten ja niihin liittyvien tapahtumatietojen lakisääteiset säilytysajat ovat varsin pitkiä. Uuden henkilötunnuksen muuttaminen jo
päättyneisiin, arkistoituihin sopimuksiin ei ole aina mahdollista. Tietoja voidaan kuitenkin joutua käsittelemään erilaisten selvityspyyntöjen yhteydessä.
Vanhan henkilötunnuksen käsittelyn lainmukaisuus olisi hyvä todeta vähintään tämän esityksen perusteluissa.
3.4 Esitetyn muutoksen vaikutukset henkilötunnuksen kokonaisuudistuksen aikatauluun
Esitetyillä muutoksilla on yhteys myös vireillä olevaan henkilötunnuksen kokonaisuudistukseen. Esityksessä todetaan seuraavasti: ”Yksittäinen laajamittainenkaan tunnusten muuttamisaalto ei kerralla todennäköisesti aiheuttaisi tunnusten loppumista, mutta se voisi siinä määrin merkittävästi lisätä yksittäiselle päivälle annettavia tunnuksia, että henkilötunnusten riittävyyden varmistamisen ratkaisu tulee olla käyttöönotettavissa jo vuoden 2022 alussa. Lainsäädännössä ei ole varauduttu siihen tilanteeseen, että vapaat henkilötunnukset loppuvat jonkin syntymäpäivämäärän osalta, Myös tätä koskevan sääntelyn aikaansaamista voidaan pitää entistä kriittisempänä asiana, mikäli henkilötunnuksen muuttamisen perusteluja kevennetään. Henkilötunnuksen uudistamista selvittäneen työryhmän jatkotyön virkamiesvalmistelussa on ehdotettu, että henkilötunnusten riittävyyden varmistamiseksi henkilötunnuksessa otettaisiin käyttöön uusia välimerkkejä. Uuden välimerkin käyttöönottaminen organisaatioiden tietojärjestelmissä edellyttää järjestelmämuutoksia, joiden avulla järjestelmät voivat käsitellä uuden välimerkin mukaisia identiteettejä ja niihin liittyviä tietoja. Tämän muutoksen käyttöönottaminen yhteiskunnassa edellyttää arvion mukaan vähintään kahden vuoden siirtymäaikaa. Uuden välimerkin käyttöönottamisen vaikutusten arviointi on käynnistymässä.”
Finanssiala ry pitää erittäin ongelmallisena sitä, että vireillä olevan laajemman henkilötunnuksen uudistamisen hankkeen aikataulua pyritään lukitsemaan esitetyllä tavalla. Esitetty aikataulu uusien välimerkkien käyttöön ottamiselle on teknisen toteutuksen kannalta Finanssialan yrityksille käytännössä mahdoton. Uusien välimerkkien käyttöönotto tarkoittaa laajimmillaan jopa satojen sovellusten muuttamista. Tämän kokoluokan järjestelmämuutosprojektin toteuttaminen vaatii jo pelkästään koodaamiseen ja testaamiseen enemmän aikaa kuin esitetyn vajaan vuoden – koska uusista välimerkeistä ei vielä ole olemassa päätöksiä tai määrittelyjä, jäisi toteutusaika käytännössä vain joihinkin kuukausiin. Työhön tarvittavia resursseja ei myöskään ole vapaana tällaisella aikataululla käytettäviksi.
Esityksen sivulla 19 todetaan erityisesti: ”Psykoterapiakeskus Vastaamon tietomurron johdosta voi seurata ensivaiheessa henkilötunnusten varsin laajamittainen muuttaminen. Tämä voi aiheuttaa ongelman henkilötunnusten riittävyydelle, erityisesti mikäli uhrien joukossa on maahanmuuttajia sellaisista alkuperämaista, joissa syntymäpäiväksi virallisiin rekistereihin ja dokumentteihin merkitään usein 1. tammikuuta henkilön todellisesta syntymäpäivästä riippumatta.”
Finanssiala ry esittääkin, että mikäli henkilötunnuksen muuttamista hakevien joukossa on henkilöitä, joiden todellinen syntymäpäivä ei ole 1.1., tulisi näille henkilöille antaa uusi henkilötunnus joltakin muulta päivältä ainakin siihen saakka, että uudet välimerkit on saatu käyttöön henkilötunnuksen kokonaisuudistuksen myötä. Välimerkkien uudistamisen aikataulu tulee siis määritellä vasta henkilötunnuksen uudistushankkeen yhteydessä.
FINANSSIALA RY
Lea Mäntyniemi