LAUSUNTO Lainvalmisteluosasto 23.11.2015 Eduskunnan hallintovaliokunnalle 24.11.2015 U 66/2010 vp – kolmas jatkokirje Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi matkustajarekisteritietojen käytöstä terrorismirikosten ja vakavan rikollisuuden ehkäisemistä, paljastamista, tutkimista ja syytteeseenpanoa varten (EU-PNR) - trilogivaihe PNR-tietojen käsittelyyn sovellettavat tietosuojasäännöt Ehdotettu PNR-direktiivi on osa EU:n rikosoikeuden alalla tapahtuvaa poliisi- ja oikeudellista yhteistyötä. Henkilötietojen käsittelyä tässä yhteistyössä sääntelee EU:n puitepäätös 2008/977/YOS rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta, ns. tietosuojapuitepäätös. Tietosuojapuitepäätöstä sovelletaan ainoastaan jäsenvaltioiden välillä vaihdettuihin henkilötietoihin, ei yhden jäsenvaltion sisällä käsiteltyihin henkilötietoihin. PNR-direktiivi sen sijaan koskee sekä PNR-tietojen vaihtoa jäsenvaltioiden välillä että PNR-tietojen käsittelyä jäsenvaltioiden sisällä. Tietosuojapuitepäätös kattaa näin ollen vain osittain direktiiviehdotuksen mukaisen PNR-tietojen käsittelyn. Tämän vuoksi komissio on ehdottanut, että PNR-direktiivissä säädettäisiin tietosuojatakeista, jotka olisivat tietosuojapuitepäätöksen mukaiset myös kansallisen henkilötietojen käsittelyn osalta. Eräiltä osin PNR-ehdotuksessa säädetään myös tietosuojapuitepäätöstä tiukemmista tietosuojasäännöistä. Esimerkiksi arkaluonteisten tietojen käsittely on kokonaan kielletty, tietojen siirtämiselle kolmansiin maihin on asetettu lisäedellytyksiä eikä direktiivi mahdollista tietojen siirtoa yksityisille. Samanaikaisesti EU-PNR direktiiviä koskevien kolmikantaneuvottelujen kanssa käydään kolmikantaneuvotteluja myös EU:n uudesta tietosuojadirektiivistä. Tietosuojadirektiivi tulee korvaamaan tietosuojapuitepäätöksen. Molemmat direktiivit on tarkoitus hyväksyä vuoden loppuun mennessä. Keskeinen ero nykyisen tietosuojapuitepäätöksen ja tietosuojadirektiivin välillä on, että tietosuojadirektiivi tulee kattamaan myös puhtaasti kansallisen henkilötietojen käsittelyn. Lentoyhtiöiden suorittamaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY yksilöiden suojelusta henkilötietojen käsittelyssä ja V:\HaV_tietopankki\Asiantuntijalausunnot\U_66_2010vp_UJ_19_2015vp\O M_Rantalankila_24112015_U_66_2010vp_UJ_19_2015vp.docx Käyntiosoite Ritarikatu 4 HELSINKI Postiosoite PL 25 00023 VALTIONEUVOSTO Puhelin 02951 6001 Faksi 09 1606 7730 Sähköpostiosoite oikeusministerio@om.fi 2(4) näiden tietojen vapaasta liikkuvuudesta. Tämän ns. henkilötietodirektiivin tulee korvaamaan EU:n uusi tietosuoja-asetus, joka on myös tarkoitus hyväksyä vuoden loppuun mennessä. Puheenjohtajavaltio katsoo, että on varmistettava, että tulevat tietosuojasäädökset, jotka korvaavat nykyiset, tulevat sovellettaviksi PNR-tietojen käsittelyyn. Puheenjohtaja on ilmaissut EP:lle toiveen, että PNR direktiivissä säilyy viittaus ajankohtaisiin tietosuojasäädöksiin. Puheenjohtajan näkemystä voidaan pitää perusteltuna. Soveltamisalan laajentaminen yleistä turvallisuutta uhkaavan välittömän ja vakavan uhkan torjumiseen Euroopan parlamentti on ehdottanut EU-PNR direktiivin soveltamisalaa laajennettavaksi koskemaan PNR-tietojen käsittelyä myös yleistä turvallisuutta uhkaavan välittömän ja vakavan uhkan torjumiseksi. Neuvoteltavana olevan tietosuojadirektiivin soveltamisalaa on puolestaan laajennettu neuvoston 9.10.2015 hyväksymässä yleisnäkemyksessä koskemaan henkilötietojen käsittelyä yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Parlamentin EU-PNR direktiiviin ehdottama soveltamisalan laajennus on rajoitetumpi kuin neuvoston tietosuojadirektiiviin ehdottama, koska se edellyttää uhkalta välittömyyttä ja vakavuutta. PNR-tietojen säilyttäminen peittämättöminä Neuvoston yleisnäkemyksen mukaan PNR-tiedot tulee peittää sen jälkeen kun kaksi vuotta on kulunut PNR-tietojen siirtämisestä matkustajatietoyksikölle. Tämän jälkeen PNR-tiedot saa paljastaa vain jos tietyt edellytykset täyttyvät. Euroopan parlamentti on ehdottanut, että tiedot tulisi peittää jo 30 päivän kuluttua. Suomi on katsonut, että tietojen peittämättä pitämisen osalta 30 päivää on toiminnallisesta näkökulmasta liian lyhyt aika, ja vastaavasti 2 vuotta saattaa olla tarpeettoman pitkä. Puheenjohtajavaltio tullee ehdottamaan parlamentille kompromissina yhden vuoden aikaa, koska useat jäsenvaltiot ovat pitäneet sitä riittävänä. Pari jäsenvaltiota on ilmoittanut voivansa hyväksyä alle vuodenkin säilytysajan. Sääntelyn oikeasuhtaisuuden kannalta säilytysaika ei saisi olla pidempi kuin on välttämätöntä direktiivin tavoitteiden toteuttamiseksi. Vertailun vuoksi todettakoon, että EU-USA PNR-sopimuksen mukaan tiedot on peitettävä 6 kuukauden kuluttua ja EU-Australia PNR-sopimuksen mukaan 3 vuoden kuluttua. Neuvotellun, mutta vielä tekemättömän, EU-Kanada PNR-sopimuksen mukaan henkilöiden nimet olisi peitettävä 30 päivän kuluttua ja lisää tietoja olisi peitettävä 2 vuoden kuluttua. Tietosuojavastaavan nimittäminen Euroopan parlamentti ehdottaa, että matkustajatietoyksikön tulisi nimittää tietosuojavastaava, jonka velvollisuutena olisi valvoa PNR-tietojen käsittelyä ja siihen liittyvien suojatakeiden noudattamista. 3(4) Vaikka Suomi ei ole yleisen tietosuoja-asetuksen käsittelyssä kannattanut pakollisia tietosuojavastaavia, voidaan tietosuojavastaavaa pitää perusteltuna matkustajatietoyksiköissä. Koska PNR-tietoja kerätään erittäin suuresta joukosta ihmisiä, joiden toiminnan ei voida edes epäsuorasti olettaa olevan yhteydessä terrorismiin tai vakavaan kansainväliseen rikollisuuteen, on erittäin tärkeää, että direktiivin tietosuojamääräyksien noudattamista matkustajatietoyksiköissä valvotaan tehokkaasti. Arkaluonteiset henkilötiedot EU-PNR direktiiviehdotuksen mukaan arkaluonteisten tietojen käsittely on kielletty. Euroopan parlamentti ehdottaa arkaluonteisten tietojen määrittelemistä toisin kuin neuvoston yleisnäkemyksessä ja tietosuojadirektiiviä koskevassa ehdotuksessa. Tietosuojadirektiiviä koskevan yleisnäkemyksen mukaan arkaluonteisiksi tiedoiksi katsottaisiin henkilötiedot, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus, ammattiliiton jäsenyys, sekä geneettiset tiedot tai terveyttä taikka seksuaalista käyttäytymistä koskevat tiedot. PNR-direktiiviä koskevassa yleisnäkemyksessä arkaluonteisiksi tiedoiksi ei lueta geneettisiä tietoja. EP:n ehdotuksessa arkaluonteisiksi tiedoiksi taas katsotaan toiminta ammattiliitossa ja seksuaalinen suuntautuminen tai sukupuoli-identiteetti. Tietosuojadirektiiviä koskevat neuvottelut eivät ole vielä päättyneet, joten tietosuojadirektiivin lopullinen sisältö ei ole selvillä. Joka tapauksessa olisi tietosuojasäännösten yhtenäisyyden vuoksi toivottavaa, että EU-PNR direktiivissä arkaluonteisiksi tiedoiksi luettaisiin samat tiedot kuin tietosuojadirektiivissä. Oikeus tehdä valitus valvontaviranomaiselle PNR-direktiiviä koskevan yleisnäkemyksen mukaan kunkin jäsenvaltion on säädettävä, että tietosuojapuitepäätöksen mukainen kansallinen valvontaviranomainen vastaa myös jäsenvaltioiden PNR-direktiivin nojalla antamien säännösten soveltamisen valvonnasta omalla alueellaan ja tähän liittyvästä neuvonnasta. Euroopan parlamentti katsoo, että rekisteröidyllä tulisi olla oikeus tehdä PNR-tietojensa käsittelyä koskeva valitus mille tahansa EU:n kansalliselle tietosuojan valvontaviranomaiselle. Tietosuojadirektiiviehdotusta koskevissa neuvotteluissa on päädytty siihen, että toimivaltainen tietosuojan valvontaviranomainen käsittelee rekisteröidyn valitukset. Rekisteröity voi kuitenkin jättää valituksen myös muun jäsenvaltion valvontaviranomaiselle, jonka on toimitettava valitus toimivaltaiselle valvontaviranomaiselle. Vastaavanlainen sääntely olisi perusteltua myös PNR-direktiivissä. EU-Kanada PNR-sopimus EU-tuomioistuimelta on tulossa keväällä Euroopan parlamentin pyytämä lausunto komission Kanadan kanssa neuvotteleman PNR-sopimuksen yhdenmukaisuudesta perus- 4(4) sopimusten kanssa. PNR-direktiiviä koskevien neuvottelujen kannalta olisi ollut hyvä, että EUT:n lausunto olisi ollut saatavilla ennen PNR-direktiivin lopullista hyväksymistä.