Luonnos hallituksen esitykseksi eduskunnalle laiksi järjestäytyneen rikollisuuden hallinnollisesta torjunnasta sekä eräiksi siihen liittyviksi laeiksi

2.1       Lakiehdotusten suhdetta yleisen tietosuoja-asetuksen mukaisiin velvollisuuksiin tulisi tarkentaa

Kuten esitysluonnoksessa todetaan, käytettäisiin ehdotetun sääntelyn nojalla kerättyjä tietoja paljolti muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen. Esitysluonnoksen tietosuojasääntelyä käsittelevissä osioissa (erityisesti 2.6.1 ja 11.2.2) käsitellään ehdotettujen säännösten suhdetta EU:n yleisen tietosuoja-asetuksen (GDPR) 23 artiklaan, jossa säädetään edellytyksistä rekisteröityjen oikeuksista poikkeamiselle. Ehdotuksessa mainitaan ne artiklan mukaiset perusteet, joilla lakiehdotukset voitaisiin hyväksyä GDPR:n mukaisina. Siinä ei kuitenkaan kuvata erityisen tarkasti, millä tavoin ehdotetut säännökset ovat nimenomaan GDPR:ssä edellytetyllä tavalla välttämättömiä ja oikeasuhtaisia, vaikka esimerkiksi perustuslakivaliokunnan kannanottoja eritelläänkin. Jatkovalmistelussa olisikin täsmennettävä ehdotetun sääntelyn EU-oikeuden mukaista välttämättömyyden ja oikeasuhtaisuuden arviointia. Rekisteröityjen ja tietoja luovuttavien ja saavien toimijoiden oikeussuojan kannalta on tärkeää koettaa ehkäistä ristiriitoja EU-oikeuden kanssa, jotta vältyttäisiin muuttamasta EU-oikeuden vastaiseksi mahdollisesti osoittautuvaa sääntelyä myöhemmin sen joutuessa väistymään EU-oikeuden tieltä etusijaperiaatteen vuoksi.

GDPR:n johdanto-osan 73 kohdan mukaan GDPR:n 23 artiklan mukaisten rajoitusten on oltava perusoikeuskirjassa ja ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä eurooppalaisessa yleissopimuksessa vahvistettujen vaatimusten mukaisia. Myös Euroopan tietosuojaneuvosto on ottanut kantaa 23 artiklan mukaisten rajoitusten soveltamiseen (”Ohjeet 10/2020 yleisen tietosuoja-asetuksen 23 artiklan mukaisista rajoituksista”). Ohjeen mukaan henkilötietojen ja yksityiselämän suojaa koskevien oikeuksien käyttöön henkilötietojen käsittelyssä on ensin arvioitava poikkeuksen tai rajoituksen ehdoton välttämättömyys. Vasta jos ehdotettu toimenpide katsotaan ehdottoman välttämättömäksi, voidaan arvioida ehdotuksen oikeasuhtaisuus. Näiden ehtojen täyttyminen olisikin kuvailtava lopullisessa hallituksen esityksessä vielä tarkemmin Euroopan tietosuojaneuvoston ohjeistuksen mukaisesti.

Esitysluonnoksessa ei ole huomioitu, että esimerkiksi taloudellista asemaa kuvaavat tiedot voivat olla GDPR 9 artiklan mukaisia erityisiin henkilötietoryhmiin kuuluvia arkaluontoisia henkilötietoja. Perustuslakivaliokunta on pitänyt esimerkiksi tilitapahtumatietoja tällaisina, koska niistä voi ilmetä suoraan tietoja esimerkiksi terveydenhuollon palveluiden käytöstä tai uskonnollisen yhdyskunnan jäsenyydestä (PeVL 48/2018 s. 4). Henkilötietojen luovuttaminen viranomaiselle on henkilötietojen käsittelyä, jolla on oltava käsittelyperuste. Tietojen luovuttamisen viranomaiselle on tapahduttava niin, että tiedot kansallisen lain edellyttämällä tavalla luovuttava rekisterinpitäjä voi noudattaa GDPR:n 5 artiklan mukaisia velvollisuuksiaan muun muassa luovutuksen lainmukaisuudesta, kohtuullisuudesta ja käyttötarkoitussidonnaisuudesta. Finanssialan toimija on rekisterinpitäjänä aina vastuussa henkilötietojen käsittelyn lainmukaisuudesta. GDPR:n vastaiseksi osoittautuva toiminta voi johtaa hallinnollisiin seuraamuksiin ja vahingonkorvausvastuuseen, vaikka tietojen luovuttaja ei ole voinut tosiasiallisesti vaikuttaa henkilötietojen käsittelyyn tietoja pyytäneessä viranomaisessa.

2.2       Analyysikeskuksen tiedonsaantioikeuksia koskevia tarkennustarpeita

Analyysikeskuslakia koskevan ehdotuksen 5 §:n mukaan”[k]eskuksella on keskuksessa työskentelevän päällystöön kuuluvan poliisimiehen pyynnöstä oikeus saada viranomaiselta, julkista tehtävää hoitamaan asetetulta yhteisöltä ja yksityiseltä yhteisöltä muut 3 §:ssä tarkoitettujen tehtävien hoitamiseksi välttämättömät tiedot maksutta ja salassapitosäännösten estämättä”. Sanamuoto on yleisluontoisempi kuin keskuksen tiedonsaantioikeutta toimivaltaisilta viranomaisilta koskevassa ehdotuksen 4 §:ssä. Ehdotetun 5 §:n sanamuodosta ei ilmene, onko kyse mahdollisuudesta vai velvollisuudesta luovuttaa tietoja, minkälaisia tietoja keskuksen tiedonsaantioikeus koskee, kuinka paljon ja miltä ajalta tietoja voidaan pyytää, millaiseen riskiarvioon viranomaisen tietopyyntö tulee perustaa, eikä henkilöryhmiä, joita tietopyynnöt voivat koskea. Sanamuotoa olisikin täsmennettävä jatkovalmistelussa.

Hallituksen esityksen perusteluissa olisi ilmaistava selkeästi, onko tarkoituksena mahdollistaa tietojen luovuttaminen luottolaitostoiminnasta annetun lain 15 luvun ja vakuutusyhtiölain 30 luvun mukaisesta salassapitovelvollisuudesta huolimatta. Lisäksi olisi arvioitava, tarvitaanko näihin erityislakeihin nimenomainen täsmennys tietojen luovuttamisesta analyysikeskukselle.

Ainakin henkilöryhmien osalta viranomaisella ilmeisesti olisi laajahko harkintavalta päättää myös yksityisiltä yhteisöiltä kerättävistä tiedoista, koska analyysikeskuslakiehdotuksen 8 §:n mukaan keskuksen rekisteriin voitaisiin tallentaa tietoja kohtuullisen laajasti. Rikostorjunnan kannalta tämä on varmasti tarpeellista, mutta GDPR:n mukaisten poikkeusedellytysten täyttyminen ei näissä tapauksissa ole aina itsestään selvää. Tämä voi aiheuttaa tulkintaongelmia, jotka heikentävät järjestäytyneen rikollisuuden torjuntaedellytyksiä.

Säännöksen perustelujen mukaan analyysikeskus voisi saada yksittäisten tietojen lisäksi myös ”välttämättömiä tietojoukkoja”. Käsitettä ei kuitenkaan määritellä tarkemmin. Kun sekä luovutettavien tietojen laajuus että tietojoukkojen luovutuksen mahdollistavat tilanteet jäävät epäselviksi, on vaikeaa arvioida, olisiko tietojen tai tietojoukkojen luovuttaminen GDPR:n edellyttämällä tavalla välttämätöntä ja oikeasuhtaista sekä täsmällistä ja tarkkarajaista. Jotta ehdotettu sääntely nykyasuaan todennäköisemmin täyttäisi GDPR:n vaatimukset, tulisi tietopyyntöjen osalta täsmentää ainakin, kuinka kyselyiden jatkuva seuranta varmistetaan niin, että niiden laillisuus ja asianmukaisuus voidaan osoittaa.

2.3       Analyysikeskuksen tehtävien suhdetta muiden viranomaisten tehtäviin olisi tarkennettava

Analyysikeskuslakiehdotuksen mukaan keskus voisi saada tietoja sekä Rahanpesun selvittelykeskuksen välityksellä että suoraan finanssialan toimijoilta. Näiden tiedonsaantikanavien suhde tulisi määritellä selkeästi, jotta tiedonluovutuksiin kuuluvat vastuut ja oikeusturvamekanismit eivät vaarannu. Esimerkkinä voidaan mainita analyysikeskuslakiehdotuksen suhde rahanpesulaissa ja rahanpesuasetuksessa säädettyyn epäilyttävien liiketoimien ilmoitusvelvollisuuteen. Ilmoitusvelvollisen on raportoitava Rahanpesun selvittelykeskukselle viipymättä havaitsemistaan epätavanomaisista tai epäilyttävistä liiketoimista. Kyse on hallinnollisesta ilmoitusvelvollisuudesta, ei rikosilmoituksesta, ja siihen liittyy ehdoton salassapitovelvollisuus: ilmoitusvelvollinen ei saa missään tilanteessa paljastaa ilmoituksen tekemistä sen kohteelle tai muille ulkopuolisille tahoille. Jatkovalmistelussa tulisi arvioida, miten rahanpesusääntelyn edellyttämä ilmoituksen paljastamiskielto suhteutuu JR-analyysikeskuksen tietopyyntöihin ja miten varmistetaan, että tietojenluovutukset kaikissa olosuhteissa ovat rahanpesulainsäädännön mukaisia.

Rahanpesuasetuksen 75 artiklassa säädetään tiedonjakokumppanuuksista, joissa ilmoitusvelvolliset, rahanpesun selvittelykeskukset ja toimivaltaiset viranomaiset voivat artiklassa säädetyin edellytyksin jakaa tietoa rahanpesusta, terrorismin rahoituksesta ja niiden alkurikoksista. On tärkeää, että analyysikeskusta koskeva sääntely kaikilta osin on yhteensopivaa rahanpesuasetuksen kanssa.

Lisäksi on huomattava, että analyysikeskuslakiehdotuksen 1 §:n 2 momentissa luetelluista viranomaisista vain poliisilla, Tullilla ja Rajavartiolaitoksella rikosten ennalta estäminen, paljastaminen ja selvittäminen ovat nimenomaisia lakisääteisiä tehtäviä. Jatkovalmistelussa tulisikin arvioida, edellyttäisikö analyysikeskuksen toimintaan ja tiedonvaihtoon osallistuminen muidenkin viranomaisten kohdalla myös niiden lakisääteisten tehtävien laajentamista. Samalla tulisi arvioida, ovatko analyysikeskuksen tehtävät virkasuhdetta edellyttävää merkittävää julkisen vallan käyttöä. Asialla on merkitystä erityisesti Kansaneläkelaitoksen osalta, koska sen henkilöstö on pääsääntöisesti työsuhteessa, ei virkasuhteessa, toisin kuin valtion virastojen henkilöstö.

2.4       Tietojen saamiseen oikeutettujen piiriä olisi laajennettava kattavammin finanssialan toimijoihin

Analyysikeskuslakiehdotuksen 13 ja 14 §:ssä säädettäisiin ilmiötiedon ja muun tiedon luovuttamisesta tietyille toimijoille. Ilmiötason tiedon luovuttamisen mahdollistaminen on tervetullut uudistus. Ehdotetussa 13 §:ssä on ilmeisesti tarkoituksella jätetty luettelematta, mille toimijoille ilmiötietoja voidaan luovuttaa. Tällaisenaan säännös soveltuisikin joustavasti erilaisiin tilanteisiin, mutta oikeusvarmuuden ja sääntelyn ennakoitavuuden kannalta voitaisiin perusteluissa mainita finanssialan toimijat, kuten pankit ja vakuutusyhtiöt esimerkkeinä tahoista, joille ilmiötason tietoja voidaan luovuttaa. Analyysikeskuslakiehdotuksen 14 §:n mukaan keskus voisi luovuttaa henkilötietoja tietyin edellytyksin yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta annetussa laissa (”CER-laki”) tarkoitetulle kriittiselle toimijalle tai kyberturvallisuuslain 3 §:ssä tarkoitetulle toimijalle. Ehdotettu soveltamisala rajaisi säännöksessä tarkoitetun vastaanottajajoukon vain ensin mainitun lain mukaisiin finanssialan toimijoihin. Ellei finanssialan toimijaa ole määritelty CER-lain mukaiseksi kriittiseksi toimijaksi, ei tietojen luovuttaminen sille ole ehdotetun 14 §:n mukaan mahdollista lainkaan.  Kyberturvallisuuslakia ei sovelleta finanssialaan, koska finanssialaa koskevat finanssialan digitaalista häiriönsietokykyä koskevan asetuksen (DORA) mukaiset velvollisuudet, jotka ovat kyberturvallisuuslain pohjana olevaa NIS2-direktiiviä kattavampia. Niinpä finanssialan toimija ei voi olla kyberturvallisuuslain 3 §:ssä tarkoitettu toimija.

Järjestäytyneen rikollisuuden tehokkaan torjunnan kannalta voi olla välttämätöntä jakaa tietoa myös muille kuin kriittisille toimijoille. Esimerkiksi henkilötietojen luovuttamisella vakuutusyhtiöille voitaisiin ehkäistä vakuutusalan hyödyntämistä järjestäytyneessä rikollisuudessa muun muassa estämällä lakisääteisten vakuutusten myöntäminen yrityksille, joita hyödynnetään järjestäytyneessä rikollisuudessa. Ehdotetun 14 §:n soveltamisala olisikin ulotettava kattamaan finanssialan toimijat CER-lakia laajemmin. Tietojen saamiseen voisivat olla oikeutettuja ainakin DORA-asetuksessa tarkoitetut toimijat ja työeläkevakuutusyhtiöistä annetun lain mukaiset työeläkeyhtiöt.

2.5       Oma-aloitteinen tietojen ilmoittaminen voidaan mahdollistaa myös yksityisille toimijoille

Analyysikeskuslakiehdotuksen mukaan keskuksella on oikeus luovuttaa 13 ja 14 §:ssä tarkoitettuja tietoja oma-aloitteisesti. Ehdotuksessa ei kuitenkaan säädetä siitä, olisiko tietojen saamiseen oikeutetuilla tahoilla luovuttaa tietoja keskukselle vastaavasti omasta aloitteestaan. FA katsoo, että tietojen oma-aloitteinen luovuttaminen tulisi tietosuojasääntelyn asettamin reunaehdoin mahdollistaa myös yksityisille toimijoille, vaikka niitä ei tulisikaan velvoittaa siihen.

Ehdotetun 14 §:n soveltamisalassa olevien toimijoiden lisäksi vakuutusyhtiöillä on merkittävä asema petosten, harmaan talouden ja järjestäytyneen rikollisuuden havaitsemisessa. Vakuutusyhtiöiden hallussa oleva tieto on osin erityyppistä kuin pankeissa. Niille kertyy tietoa esimerkiksi perhe- ja lähipiirisuhteista, omistussuhteista, omaisuuden tosiasiallisesta käytöstä, työsuhteista ja työn tekemisen olosuhteista. Näin syntyvä olosuhdekuva voi poiketa viranomaisrekisterien perusteella syntyvästä kuvasta. Viranomaisten ja yksityisten toimijoiden molemminpuolinen tiedonvaihto voisi tehostaa ennaltaehkäisyä, parantaa analyysin laatua ja tukea lain keskeistä tavoitetta järjestäytyneen rikollisuuden torjunnassa, jos huolehditaan tietosuojasääntelyn asettamien ehtojen täyttymisestä.

2.6       Tietoja vastaan ottavan toimijan oikeuksia ja velvollisuuksia olisi pohdittava tarkemmin

Analyysikeskuslakiehdotuksessa ei säädettäisi erikseen tietoja vastaan ottavan toimijan oikeuksista tai velvollisuuksista tietojen käyttämiseen. Tietoja vastaanottava toimija voi saada tietoonsa seikkoja, joilla voisi olla merkitystä esimerkiksi siihen sovellettavan erityissääntelyn kannalta, mutta on epäselvää, olisiko sillä oikeus tai velvollisuus hyödyntää näitä tietoja. FA kiinnittää huomiota siihen, ettei ehdotuksessa oteta kantaa siihen, vaikuttaisivatko vastaanotetut tiedot luottolaitostoiminnasta annetun lain (LLL) mukaiseen peruspankkipalveluiden tarjoamisvelvollisuuteen (LLL 15:6.2) tai lakisääteisten vakuutusten myöntämiseen. Selkeyden ja oikeusvarmuuden näkökulmasta on tärkeää, että laissa säädetään nimenomaisesti myös tietoja vastaanottavan toimijan oikeudesta hyödyntää saamiaan tietoja järjestäytyneen rikollisuuden torjunnassa. Tämä tukisi sääntelyn ennakoitavuutta ja varmistaisi tietojen tehokkaan ja lainmukaisen hyödyntämisen siihen tarkoitukseen, johon tietojen luovuttaminen on alun perin mahdollistettu.

Jos GDPR:n mukaisena rekisterinpitäjänä toimiva yksityinen taho saa keskukselta henkilötietoja, sillä kuitenkin tulisi olla GDPR:n mukainen käsittelyperuste. Ehdotuksessa tulisi tähän liittyen mainita, kuinka kauan saatuja tietoja voisi säilyttää, sillä tietojen poistamista koskeva analyysikeskuslakiehdotuksen 17 § soveltuisi vain keskukselle luovutettuihin tietoihin. Lisäksi on epäselvää, voidaanko lain nojalla luovutettuihin tietoihin soveltaa esimerkiksi kansallisen tietosuojalain 34 §:n mukaista rajoitusta rekisteröidyn tarkastusoikeuteen. On tärkeää, että lainsäätäjän odotukset asiassa ovat selviä.

3       Ehdotusten vaikutukset yksityisiin toimijoihin olisi arvioitava

Esitysluonnoksen vaikutusarviossa ei ole toistaiseksi erikseen arvioitu ehdotusten vaikutuksia yksityisiin toimijoihin. Analyysikeskukselle ehdotettuihin tehtäviin lukeutuvat järjestäytyneen rikollisuuden ilmiöiden tunnistaminen ja tilannekuvan ylläpitäminen saattavat johtaa siihen, että laajojenkin aineistojen luovuttamista pidettäisiin lain tarkoittamalla tavalla välttämättömänä. Tällaisia aineistoja voisivat olla esimerkiksi tilitapahtumatiedot.

Esityksessä ei täsmennetä, kuinka tällaiset tiedot olisi toimitettava, eikä laissa olekaan välttämätöntä asettaa tälle yksityiskohtaisia teknisiä vaatimuksia. Vaikutusarviossa olisi kuitenkin huomioitava, että laajoja aineistoja voi olla tietopyynnön sisällön ja tietosuojasääntelyn asettamien reunaehtojen vuoksi tarpeen käsitellä manuaalisesti erityisesti, jos tietoja ei voida toimittaa olemassa olevien rajapintojen välityksellä. Tästä voi aiheutua huomattavia kustannuksia yksityisille toimijoille.