Muu päätös 3872/2017

Asia Passiasiaa koskeva valitus

Valittaja A

Päätös, jota valitus koskee

Helsingin hallinto-oikeus 29.10.2015 nro 15/0857/2

Asian aikaisempi käsittely

Suomen suurlähetystö Bernissä on päätöksellään 14.1.2015 passilain 15 §:n viitaten hylännyt A:n passihakemuksen, koska A oli kieltäytynyt antamasta sormenjälkiään tallennettavaksi passirekisteriin.

Suurlähetystö on 16.1.2015 päivätyllä kirjeellään ilmoittanut A:lle, että edellä mainittu päätös on poistettu järjestelmästä, koska se oli tehty virheellisesti. Passihakemusta ei ole voitu ottaa vastaan, koska se ei ole ollut passilain vaatimusten mukainen.

Hallinto-oikeuden ratkaisu

Helsingin hallinto-oikeus on valituksenalaisella päätöksellään hylännyt A:n valituksen Suomen suurlähetystön päätöksestä.

Hallinto-oikeus on perustellut päätöstään seuraavasti:

Perustelut

A:lle ei ole myönnetty passia, koska hän on kieltäytynyt antamasta sormenjälkiään. A:n passihakemus on hylätty 14.1.2015 ja 16.1.2015 hänelle on ilmoitettu hakemuksen raukeamisesta. Sanotut toimenpiteet merkitsevät passihakemuksen hylkäämistä. Valitus on siten tutkittava.

Hallinto-oikeus toteaa, että henkilön sormenjäljet ovat monin tavoin rinnastettavissa arkaluonteisiin tietoihin, joiden suojaaminen oikeudettomalta käytöltä on erittäin tärkeätä. Passinhakijan sormenjälkien tallettamisella passirekisteriin puututaan hakijan Euroopan ihmisoikeussopimuksen 8 artiklassa turvattuun yksityiselämän suojaan. Täyttääkseen laillisuusvaatimuksen tulee puuttumisella eli tallettamisella passirekisteriin ensinnäkin olla perustansa kansallisessa laissa. Lisäksi lain on annettava riittävää suojaa viranomaisten taholta tulevia mielivaltaisia puuttumisia vastaan. Sormenjälkien tallettamisen passirekisteriin on myös palveltava jotakin artiklan 2 kohdassa mainituista tarkoituksista. Käsiteltävänä olevassa asiassa lain laatuvaatimusten täyttyminen liittyy läheisesti sormenjälkien rekisteröimisen välttämättömyyteen demokraattisessa yhteiskunnassa.

Passinhakijan sormenjälkien tallettamisella passirekisteriin on sinänsä perusta passilain 6 a §:n 3 momentissa, jonka mukaan sormenjäljet talletetaan passin tekniseen osaan sekä passirekisteriin. Mainitun lainkohdan mukaan passirekisteriin talletetut sormenjäljet on pidettävä erillään rikoksesta epäiltyjen henkilötuntomerkeistä.

Passirekisteristä säädetään passilain 29 §:ssä. Sen 1 momentin mukaan mainitussa laissa poliisille, ulkoasiainministeriölle ja 10 §:ssä tarkoitetulle Suomen edustustolle säädettyjen tehtävien suorittamiseksi poliisi pitää rekisteriä, johon talletetaan henkilötietojen käsittelystä poliisitoimessa annetun lain (761/2003) 3 §:n 2 momentissa tarkoitetut henkilöllisyyttä koskevat tiedot sekä mainitun lain 3 §:n 3 momentin 2-4 kohdassa tarkoitetut passitiedot, kuvatiedot ja passin sormenjälkitiedot. Pykälän 2 momentin mukaan passirekisterin tietojen käytöstä on voimassa, mitä henkilötietojen käsittelystä poliisitoimessa annetun lain 15, 16 ja 16 a §:ssä säädetään. Passirekisterin tietojen luovuttamisesta ja poistamisesta on voimassa, mitä mainitun lain 19 ja 23 §:ssä säädetään. Henkilön fyysisiin ominaisuuksiin perustuvien tunnistetietojen tietoturvasta on voimassa, mitä mainitun lain 10 a §:ssä säädetään. Pykälän 3 momentin mukaan ulkoasiainministeriöllä ja Suomen edustustolla on oikeus käyttää passin sormenjälkitietoja vain henkilöllisyyden varmistamiseksi ja asiakirjan valmistamiseksi, jollei lailla toisin säädetä. Ulkoasiainministeriöllä ja Suomen edustustolla on oikeus ottaa rekisteröidyltä sormenjäljet ja

verrata niitä rekisteröityihin sormenjälkiin. Vertaamista varten otettuja tietoja voidaan käyttää vain vertaamisen ajan, ja ne on hävitettävä välittömästi sen jälkeen.

Henkilön fyysisiin ominaisuuksiin perustuvien tunnistetietojen tietoturvasta säädetään henkilötietojen käsittelystä poliisitoimessa annetun lain 10 a §:ssä.

Tietojen käyttämisestä tietojen keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen säädetään viimeksi mainitun lain 15 §:ssä. Pykälän 3 momentin mukaan oikeus 3 §:n 3 momentin 4 kohdassa tarkoitettujen passin sormenjälkitietojen käyttöön on vain sillä, jonka työtehtävien hoitaminen tiedon käyttöä välttämättä edellyttää.

Tietojen käyttämisestä muuhun kuin tietojen keräämis- ja tallettamistarkoitukseen säädetään viimeksi mainitun lain 16 §:ssä. Pykälän 4 momentin mukaan passin sormenjälkitietojen käyttämisestä säädetään 16 a §:ssä. Viimeksi mainitun pykälän 1 momentin mukaan poliisi saa käyttää 3 §:n 3 momentin 4 kohdassa tarkoitettuja passin sormenjälkitietoja muuhun kuin niiden keräämis- ja tallettamistarkoitukseen vain, jos se on välttämätöntä luonnononnettomuuden, suuronnettomuuden tai muun katastrofin taikka rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. Oikeus tiedon käyttöön on vain sillä, jonka työtehtävien hoitaminen tiedon käyttöä välttämättä edellyttää. Pykälän 2 momentin mukaan poliisilla on 1 momentissa tarkoitetussa tilanteessa oikeus ottaa sormenjäljet ja verrata niitä rekisteröityihin sormenjälkiin. Vertaamista varten otettuja tietoja voidaan käyttää vain vertaamisen ajan, ja ne on hävitettävä välittömästi sen jälkeen.

Lain 19 §:n 2 momentin mukaan 3 §:n 3 momentin 4 kohdassa tarkoitettuja passin sormenjälkitietoja poliisi saa luovuttaa salassapitosäännösten estämättä ainoastaan 19 §:n 1 momentin 4, 7, 9 ja 10 kohdassa tarkoitetuille viranomaisille henkilöllisyyden varmistamiseksi ja asiakirjan aitouden toteamiseksi silloin, kun se on tarpeen henkilön maahantuloa, maassa oleskelua tai maasta lähtöä koskevien asioiden käsittelyä varten. Tietojen saamiseen oikeutetulla on oikeus ottaa rekisteröidyltä sormenjäljet ja verrata niitä rekisteröityihin sormenjälkiin. Vertaamista varten otettuja tietoja voidaan käyttää vain vertaamisen ajan ja ne on hävitettävä välittömästi sen jälkeen.

Henkilörekisterien ja niihin talletettujen tietojen käsittelyn valvonnasta säädetään lain 19 b §:ssä. Mainitussa laissa tarkoitetun henkilörekisterin ja siihen sisältyvien tietojen salassapito ja muu suoja varmistetaan: 1) antamalla pääsy tietoihin vain niille, jotka tarvitsevat tietoja työtehtäviensä hoitamiseksi; 2) huolehtimalla siitä, että henkilörekisteriin talletettujen tietojen käyttö, luovutus ja muu käsittely sekä luovutuksen perusteet kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, manuaaliseen diaariin tai asiakirjaan; 3) estämällä tietojen luvaton muuttaminen ja muu luvaton tai asiaton käsittely käyttöoikeushallinnan, käytön valvonnan sekä tietoverkkojen, tietojärjestelmien ja tietopalvelujen asianmukaisilla ja riittävillä turvallisuusjärjestelyillä ja muilla toimenpiteillä.

Lain 23 §:ssä säädetään tietojen poistamisesta hallintoasiain tietojärjestelmästä lainkohdasta tarkemmin ilmenevien määräaikojen jälkeen.

Hallinto-oikeus toteaa, että sekä passilaissa että henkilötietojen käsittelystä poliisitoimessa annetussa laissa on tehty selkeä ero toisaalta passin sormenjälkitietojen ja toisaalta rikoksesta epäillyn sormenjälkitietojen käytön ja niitä koskevien menettelyjen suhteen. Molemmista laeista käy hyvin selkeästi ilmi, että passirekisteriin talletetut sormenjäljet on pidettävä erillään rikoksesta epäiltyjen henkilötuntomerkeistä. Hallinto-oikeus katsoo, että edellä ilmenevät säännökset sormenjälkitietojen sallitusta käyttötarkoituksesta, rekisterin käyttöoikeuden rajaamisesta, rekisterinkäyttöä koskevasta valvonnasta, tietosuojasta ja -turvasta sekä sormenjälkitietojen säilytysajoista on muotoiltu sellaisella ennustettavuuden turvaavalla täsmällisyydellä ja tarkkarajaisuudella, joka on suojattavaan etuun suhteutettuna riittävää.

Tallettamisella rekisteriin on passimenettelyyn liittyvät tavoitteet. Hallituksen esityksestä laiksi passilain ja eräiden siihen liittyvien lakien muuttamisesta HE 234/2008 vp annetussa hallintovaliokunnan mietinnössä HaVM 9/2009 vp todetaan, että rekisteröinnillä taataan passinhakuprosessin turvallisuus ja henkilöllisyyden luotettava varmistaminen. Rekisteröinnillä edistetään kansalaisten oikeusturvaa ja suojataan henkilön identiteettiä. Vertaamalla passinhakijan sormenjälkiä tietokannassa oleviin sormenjälkiin voidaan varmistua siitä, ettei henkilö hae passia useammalla henkilöllisyydellä tai että passi myönnetään hakijan tiedoilla vain yhdelle henkilölle. Pelkällä passin siruun talletetulla sormenjäljellä ei kyetä varmistamaan passinhakijan henkilöllisyyden luotettavaa todentamista. Passin siruun talletettu haltijan sormenjälki mahdollistaa ainoastaan vertailun, jossa henkilön sormenjälkeä verrataan siruun talletettuun sormenjälkeen. Tämä vertailu ei myöskään mahdollista kaksois- ja monihenkilöllisyyksien estämistä. Sormenjälkien tallettamisella rekisteriin on myös passimenettelyyn liittymätön tavoite, johon hallintovaliokunnan edellä mainitussa mietinnössäkin todetun mukaisesti on lähtökohtaisesti suhtauduttava hyvin varauksellisesti. Käyttötarkoitussidonnaisuudesta voidaan tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia. Passin sormenjälkitietoja saa käyttää muuhun kuin niiden keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen vain, jos se on välttämätöntä luonnononnettomuuden, suuronnettomuuden tai muun katastrofin taikka rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. Hallintovaliokunnan mietinnössä todetaan, että passirekisterin sormenjälkitietoja tulee voida käyttää poikkeuksellisissa tilanteissa, joissa vaihtoehtoja ei ole juurikaan käytettävissä. Mietinnössä todetaan vielä, että sääntely ei mahdollista passirekisterin sormenjälkitietojen käyttämistä esimerkiksi rikostutkintaan.

Hallinto-oikeus katsoo, että edellä mainittuja tavoitteita on pidettävä hyväksyttävinä. A:n passihakemus on voitu hylätä.

Hallinto-oikeuden soveltamat oikeusohjeet

Perusteluissa mainitut

Perustuslaki 10 §

Passilaki 37 §

Hallintolaki 50 §:n 1 momentti

Asian ovat ratkaisseet hallinto-oikeuden jäsenet Anja Sahla, Monica Gullans ja Eve Saarikoski, joka on myös esitellyt asian.

Käsittely korkeimmassa hallinto-oikeudessa

A on valituksessaan ensisijaisesti vaatinut, että hallinto-oikeuden päätös kumotaan ja passi määrätään myönnettäväsi siten, että valittajan sormenjäljet tallennetaan yksinomaan hänelle myönnettävään Suomen passiin. Toissijaisesti, mikäli asiaa ei ratkaista ensisijaisen vaatimuksen mukaisesti, asiassa on pyydettävä Euroopan unionin tuomioistuimelta SEUT 267 artiklan mukainen ennakkoratkaisu ennen lopullisen päätöksen tekemistä. Suomen valtio on velvoitettava korvaamaan valittajan oikeudenkäyntikulut täysimääräisesti korkolain 4 §:n 1 momentin mukaisine korkoineen kuukauden kuluessa tuomion antamispäivästä lukien.

Valittaja on perustellut vaatimuksiaan muun ohella seuraavasti:

Suomen Bernin suurlähetystö ei ole päätöksellään 14.1.2015 myöntänyt valittajalle Suomen passia passilain 15 §:n nojalla, koska valittaja on kieltäytynyt antamasta sormenjälkiään tallennettavaksi passin ulkopuoliseen rekisteriin (passirekisteri). Suurlähetystö on 16.1.2015 ilmoittanut valittajalle, ettei valittajan passihakemusta voitu ottaa vastaan, koska hakemus ei ole ollut passilain 6 ja 6 a §:n edellytysten mukainen eikä asiassa ilmennyt, että valittajan sormenjälkiä ei olisi mahdollista tallentaa. Hakemus on poistettu järjestelmästä.

Valittaja katsoo, että suurlähetystön päätös loukkaa Euroopan ihmisoikeussopimuksessa ja Suomen perustuslaissa taattua yksityiselämän ja henkilötietojen suojaa. Suomen kansalaisille laissa säädetty oikeus saada passi ja vapaasti poistua maasta ei voi täysimääräisesti toteutua ilman sormenjälkien luovuttamista rekisteröitäväksi.

Valittaja toteaa, että sormenjälkitietojen luovuttaminen yksinomaan passiin on sinänsä laillista, eikä valittaja ole tästä missään vaiheessa kieltäytynyt. Sormenjälkien tallettaminen tämän lisäksi passilain 29 §:n tarkoittamaan passirekisteriin ei täytä perus- ja ihmisoikeuksien rajoittamiselle asetettuja hyväksyttävyys- ja oikeasuhtaisuusvaatimuksia, eikä sormenjälkien rekisteröiminen ole välttämätöntä demokraattisessa yhteiskunnassa. Passirekisteriin tallennettuja tietoja ei tosiasiassa ole riittävällä tavalla suojattu viranomaisten mielivaltaiselta puuttumiselta eikä tietoturvariskejä vastaan. Valittaja on sisäministeriön arviomuistioon 20/2014 viitaten todennut, ettei passirekisteriä ole toistaiseksi edes voitu käyttää alkuperäiseen tarkoitukseensa, eli identiteettivarkauksien ja kaksoishenkilöllisyyksien eliminoimiseen. Passinhakijan perus- ja ihmisoikeuksiin on siis puututtu turhaan. Passisormenjälkiä rekisteröidään vain muutamassa Euroopan valtiossa.

Euroopan ihmisoikeustuomioistuin (EIT) on vastaavan kaltaisen asian kohdalla huomauttanut, että uusien teknologioiden kehittämiseen osallistuva valtio kantaa erityisen vastuun oikean tasapainon saavuttamisessa. Ratkaisussaan M.K v France 18.4.2013 Euroopan ihmisoikeustuomioistuin katsoi, että yksityishenkilön Euroopan ihmisoikeussopimuksen 8 artiklan mukaista yksityiselämän suojaa oli rikottu, kun henkilön sormenjälkitietoja oli säilytetty sormenjälkirekisterissä ja totesi, että kansallisen lainsäädännön on oltava riittävän täsmällisesti määritelty ja ihmisoikeuksiin puuttumisen on oltava välttämätöntä demokraattisessa yhteiskunnassa. EIT totesi myös, että kansallisen viranomaisen harkintamarginaalin ala on tavallista ahtaampi puututtaessa yksilön olemassaolon ja identiteetin kannalta tärkeisiin kysymyksiin.

Valittajan passihakemus on hylätty passilain 15 §:n nojalla, vaikka valittajalla ei kuitenkaan ole ollut passihakemuksen hylkäämiseen oikeuttavaa rikosrekisterimerkintää. Valittajan passihakemus on näin ollen hylätty virheellisin perustein ja täysin perusteettomasti, vertaamalla hänen tietojaan viranomaisten muista tietokannoista saataviin tietoihin. Tällainen menettely osoittaa viranomaisten käyttävän kaikkia saatavilla olevia tietoverkkoja, ilman että passirekisterin tietoja pidettäisiin erillään rikosrekisterin tai muiden viranomaisten tietokantojen tiedoista.

Valittaja on viitannut Euroopan unionin tuomioistuin (EUT) asiaan C-291/12, jossa on muun ohella todettu sormenjälkien tallettamisen passin ulkopuolelle lähtökohtaisesti loukkaavan yksityisyyden ja henkilötietojen suojaa. Asetuksen N:o 2252/2004 1 artiklan 2 kohdan soveltamista koskevan EUT:n kannanoton perusteella voidaan todeta, että passia varten otettuja sormenjälkiä on käsiteltävä suhteellisuusperiaatteen mukaisesti sillä tavoin, että sormenjälkien ottamista koskeva tarkoitus toteutuu. Sormenjälkien tallettaminen passirekisteriin merkitsee valittajan mukaan suhteellisuusperiaatteen vastaista, liian pitkälle menevää puuttumista henkilön yksityisyyden suojan ytimeen. Ennakkoratkaisun pyytäminen SEUT 267 artiklan nojalla on asiassa tarpeen sen arvioimiseksi, onko sormenjälkien tallentaminen kansalliseen passirekisteriin ristiriidassa unionin oikeuden kanssa.

Suomen Bernin suurlähetystö on antanut lausunnon ja toimittanut liitteeksi asiaa koskevan poliisihallituksen lausunnon.

Valittaja ei ole käyttänyt hänelle varattua tilaisuutta vastaselityksen antamiseen.

Korkeimman hallinto-oikeuden ratkaisu

Korkein hallinto-oikeus on tutkinut asian.

1. Vaatimus ennakkoratkaisun pyytämisestä unionin tuomioistuimelta hylätään.

2. Valitus hylätään. Hallinto-oikeuden päätöksen lopputulosta ei muuteta.

3. A:n oikeudenkäyntikulujen korvaamista koskeva vaatimus hylätään.

Perustelut

1. Ennakkoratkaisun pyytäminen

Unionin tuomioistuimen oikeuskäytännöstä ilmenee, että velvollisuutta tehdä Euroopan unionin toiminnasta tehdyn sopimuksen 267 artiklassa tarkoitettu ennakkoratkaisupyyntö ei ole silloin, jos kansallisessa tuomioistuimessa ei esiinny todellista epäilyä unionin tuomioistuimen olemassa olevan oikeuskäytännön soveltamismahdollisuudesta asiaan tai jos on täysin selvää, miten unionin oikeutta on kyseisessä tilanteessa asianmukaisesti sovellettava. Asiassa ei ole tullut esille sellaista kysymystä, jonka johdosta ennakkoratkaisupyynnön esittäminen olisi edellä mainittu huomioon ottaen tarpeen.

2. Sovellettavat oikeusohjeet esitöineen

2.1. Euroopan ihmisoikeussopimus

Ihmisoikeuksien ja perusvapauksien suojaamiseksi laaditun yleissopimuksen (Euroopan ihmisoikeussopimus) 8 artiklan 1 kohdan mukaan jokaisella on oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Artiklan 2 kohdan mukaan viranomaiset eivät saa puuttua tämän oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.

2.2. Unionin oikeus

Euroopan unionin perusoikeuskirjan 7 artiklan mukaan jokaisella on oikeus siihen, että hänen yksityis- ja perhe-elämäänsä, kotiaan sekä viestejään kunnioitetaan. Perusoikeuskirjan 8 artiklan 1 kohdan mukaan jokaisella on oikeus henkilötietojensa suojaan. Artiklan 2 kohdan mukaan tällaisten tietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla.

Euroopan unionin perusoikeuskirjan 52 artiklan 1 kohdan mukaan tässä perusoikeuskirjassa tunnustettujen oikeuksien ja vapauksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten oikeuksien ja vapauksien keskeistä sisältöä kunnioittaen. Suhteellisuusperiaatteen mukaisesti rajoituksia voidaan säätää ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Artiklan 3 kohdan mukaan siltä osin kuin tämän perusoikeuskirjan oikeudet vastaavat ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyssä yleissopimuksessa taattuja oikeuksia, niiden merkitys ja ulottuvuus ovat samat kuin mainitussa yleissopimuksessa. Tämä määräys ei estä unionia myöntämästä tätä laajempaa suojaa.

Jäsenvaltioiden myöntämien passien ja matkustusasiakirjojen turvatekijöitä ja biometriikkaa koskevista vaatimuksista 13.12.2004 annetun neuvoston asetuksen (EY) N:o 2252/2004 (passiasetus) johdanto-osan perustelukappaleen (4) mukaan asetuksella yhdenmukaistetaan vain jäsenvaltioiden myöntämien passien ja matkustusasiakirjojen turvatekijät, biometriset tunnisteet mukaan luettuina. Perustelukappaleen (8) mukaan passeihin ja matkustusasiakirjoihin liittyviä henkilötietoja käsiteltäessä sovelletaan yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annettua Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY, sellaisena kuin se on muutettuna asetuksella (EY) N:o 1882/2003 (tietosuojadirektiivi).

Tietosuojadirektiivin perustelukappaleen 10 mukaan henkilötietojen käsittelyä koskevien kansallisten lainsäädäntöjen tavoitteena on taata perusoikeuksien ja -vapauksien kunnioittaminen, erityisesti yksityisyyttä koskevan oikeuden kunnioittaminen, joka tunnustetaan myös ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan yleissopimuksen 8 artiklassa ja yhteisön oikeuden yleisissä periaatteissa; tämän vuoksi lainsäädäntöjen lähentäminen ei saa johtaa lainsäädännöllä turvattavan tietosuojan heikentymiseen, vaan sillä on päinvastoin varmistettava tietosuojan korkea taso yhteisössä.

Tietosuojadirektiivin perustelukappaleen 45 mukaan milloin tietojenkäsittely on laillista yleisen edun, julkisen vallan käytön tai tietyn luonnollisen tai oikeushenkilön oikeutetun edun perusteella, rekisteröidyllä olisi kuitenkin oltava oikeus, erityiseen tilanteeseensa liittyvien pakottavien ja perusteltujen syiden vuoksi, vastustaa henkilötietojensa käsittelyä; jäsenvaltioilla on kuitenkin mahdollisuus säätää vastakkaisia kansallisia säännöksiä.

Tietosuojadirektiivin 2 artiklan a kohdan mukaan"henkilötiedoilla" tarkoitetaan kaikenlaisia tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä koskevia tietoja;tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa muun ohella hänelle tunnusomaisen fyysisen tai fysiologisen tekijän perusteella. Artiklan b kohdassa tarkoitetaan "henkilötietojen käsittelyllä" kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen sekä suojaaminen, poistaminen tai tuhoaminen.

Direktiivin 7 artiklan mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan käsitellä ainoastaan a) jos rekisteröity on yksiselitteisesti antanut suostumuksensa, tai c) jos käsittely on tarpeen rekisterinpitäjän laillisen velvoitteen noudattamiseksi, tai e) jos käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai sellaisen julkisen vallan käyttämiseksi, joka kuuluu rekisterinpitäjälle tai sivulliselle, jolle tiedot luovutetaan, tai f) jos käsittely on tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutetun intressin toteuttamiseksi, paitsi milloin tämän intressin syrjäyttävät rekisteröidyn 1 artiklan 1 kohdan perusteella suojaa tarvitsevat intressit ja perusoikeudet ja -vapaudet.

Direktiivin 14 artiklan mukaan jäsenvaltioiden on turvattava rekisteröidylle oikeus ainakin 7 artiklan e ja f alakohdassa tarkoitetuissa tapauksissa millä hetkellä tahansa vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi, paitsi milloin kansallisessa lainsäädännössä toisin säädetään. Jos vastustus on perusteltua, rekisterinpitäjä ei enää saa käsitellä kyseisiä tietoja.

Tietosuojadirektiivi on Suomessa saatettu voimaan henkilötietolailla (523/1999).

2.3. Kansallinen lainsäädäntö

Suomen perustuslain 10 §:n mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta säädetään tarkemmin lailla.

Henkilötietolain 1 §:n mukaan lain tarkoituksena on toteuttaa yksityiselämän suojaa ja muita yksityisyyden suojaa turvaavia perusoikeuksia henkilötietoja käsiteltäessä sekä edistää hyvän tietojenkäsittelytavan kehittämistä ja noudattamista.

Henkilötietolain 2 §:n 2 momentin mukaan henkilötietolakia sovelletaan henkilötietojen automaattiseen käsittelyyn. Myös muuhun henkilötietojen käsittelyyn sovelletaan tätä lakia silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

Henkilötietolain 8 §:n 1 momentin mukaan henkilötietoja saa käsitellä ainoastaan:

1) rekisteröidyn yksiselitteisesti antamalla suostumuksella:

---

3) jos käsittely yksittäistapauksessa on tarpeen rekisteröidyn elintärkeän edun suojaamiseksi;

4) jos käsittelystä säädetään laissa tai jos käsittely johtuu rekisterinpitäjälle laissa säädetystä tai sen nojalla määrätystä tehtävästä tai velvoitteesta.

Passilain 5 c §:n 1 momentin mukaan poliisihallitus huolehtii siitä, että passin tekniseen osaan talletetut tiedot suojataan EU:n passiasetuksen ja sen soveltamiseksi annettujen säännösten mukaisesti tehokkaasti tunkeutumista, luvatonta lukemista, muuttamista, käyttöä ja muuta luvatonta käsittelyä vastaan.

Passilain 6 a §:n 1 momentin mukaan passinhakijalta otetaan passia haettaessa sormenjäljet. Pykälän 2 momentin mukaan hakijalta ei oteta sormenjälkiä, jos niitä ei saada iän taikka vamman, sairauden, fyysisen esteen tai muun vastaavan syyn vuoksi. Hakijan on pyydettäessä esitettävä luotettava selvitys syystä, joka estää sormenjälkien ottamisen, sekä arvio syyn kestosta. Pykälän 3 momentin mukaan sormenjäljet talletetaan passin tekniseen osaan sekä passirekisteriin. Passirekisteriin talletetut sormenjäljet on pidettävä erillään rikoksesta epäiltyjen henkilötuntomerkeistä.

Passilain 29 §:n 1 momentin mukaan tässä laissa poliisille, ulkoasiainministeriölle ja 10 §:ssä tarkoitetulle Suomen edustustolle säädettyjen tehtävien suorittamiseksi poliisi pitää rekisteriä, johon talletetaan henkilötietojen käsittelystä poliisitoimessa annetun lain (761/2003) 3 §:n 2 momentissa tarkoitetut henkilöllisyyttä koskevat tiedot sekä mainitun lain 3 §:n 3 momentin 2–4 kohdassa tarkoitetut passitiedot, kuvatiedot ja passin sormenjälkitiedot.

Pykälän 2 momentin mukaan passirekisterin tietojen käytöstä on voimassa, mitä henkilötietojen käsittelystä poliisitoimessa annetun lain 15, 16 ja 16 a §:ssä säädetään. Passirekisterin tietojen luovuttamisesta ja poistamisesta on voimassa, mitä mainitun lain 19 ja 23 §:ssä säädetään. Henkilön fyysisiin ominaisuuksiin perustuvien tunnistetietojen tietoturvasta on voimassa, mitä mainitun lain 10 a §:ssä säädetään.

Henkilötietojen käsittelystä poliisitoimessa annetun lain 3 §:ssä säädetään hallintoasian tietojärjestelmästä. Pykälän 3 momentin 4 kohdan mukaan tietojärjestelmään saadaan tallettaa passilaissa poliisille, ulkoasiainministeriölle ja Suomen edustustoille säädettyjen tehtävien suorittamiseksi mainitun lain 6 a §:ssä tarkoitetut passinhakijalta passin hakutilanteessa otetut sormenjäljet (passin sormenjälkitiedot); sormenjälkitietoihin talletettuja sormenjälkiä saadaan asianomaisen henkilön suostumuksella käyttää myös hänen myöhemmin hakemansa henkilöllisyyttä osoittavan asiakirjan valmistamiseen.

Lain 16 a §:n mukaan poliisi saa käyttää 3 §:n 3 momentin 4 kohdassa tarkoitettuja passin sormenjälkitietoja ja 7 kohdassa tarkoitettuja ulkomaalaisten tunnistamistietoihin kuuluvia sormenjälkitietoja muuhun kuin niiden keräämis- ja tallettamistarkoitukseen vain, jos se on välttämätöntä luonnononnettomuuden, suuronnettomuuden tai muun katastrofin taikka rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamiseksi. Oikeus tiedon käyttöön on vain sillä, jonka työtehtävien hoitaminen tiedon käyttöä välttämättä edellyttää. Pykälän 2 momentin mukaan poliisilla on 1 momentissa tarkoitetussa tilanteessa oikeus ottaa sormenjäljet ja verrata niitä rekisteröityihin sormenjälkiin. Vertaamista varten otettuja tietoja voidaan käyttää vain vertaamisen ajan, ja ne on hävitettävä välittömästi sen jälkeen.

Passilain ja eräiden siihen liittyvien lakien muuttamista koskevassa hallituksen esityksessä 234/2008 em. lain 16 a §:n 1 momentti oli seuraavassa muodossa: "Poliisi saa käyttää 3 §:n 3 momentin 4 kohdassa tarkoitettuja passin sormenjälkitietoja muuhun kuin niiden keräämis- ja tallettamistarkoitusta vastaavaan tarkoitukseen vain, jos tiedot ovat tarpeen henkilöllisyyden selvittämiseksi suoritettaessa sellaista poliisin yksittäistä tehtävää, joka välttämättä edellyttää henkilöllisyyden varmistamista. Oikeus tiedon käyttöön on vain sillä, jonka työtehtävien hoitaminen tiedon käyttöä välttämättä edellyttää."

Passilain ja eräiden siihen liittyvien lakien muuttamista koskevassa hallintovaliokunnan mietinnössä (HaVM 9/2009 vp) todetaan sormenjälkien ehdotetun rekisteröinnin osalta seuraavaa:

"Valiokunta katsoo, että rekisteröinnillä taataan passinhakuprosessin turvallisuus ja henkilöllisyyden luotettava varmistaminen. Valiokunta tähdentää, että ehdotettu menettely edistää kansalaisten oikeusturvaa, koska henkilön tunnistaminen voidaan tehdä luotettavasti ja nopeasti sekä passia haettaessa että muissa tunnistamistilanteissa. Rekisteröinnillä suojataan henkilön identiteettiä. Vertaamalla passinhakijan sormenjälkiä tietokannassa oleviin sormenjälkiin voidaan varmistua siitä, ettei henkilö hae passia useammalla henkilöllisyydellä tai että passi myönnetään hakijan tiedoilla vain yhdelle henkilölle. Tietokantaan talletetuilla sormenjäljillä voidaan varmistua myös henkilön henkilöllisyydestä tilanteessa, jossa hänen esittämänsä passin siru on rikki tai on rikottu. Lisäksi henkilöllisyys kyetään varmistamaan siinäkin tapauksessa, että henkilöllä ei ole asiakirjan katoamisen tai muun syyn vuoksi esittää asiakirjaa todistukseksi henkilöllisyydestään.

Valiokunta korostaa, että pelkällä passin siruun talletetulla sormenjäljellä ei kyetä varmistamaan passinhakijan henkilöllisyyden luotettavaa todentamista. Passin siruun talletettu haltijan sormenjälki mahdollistaa ainoastaan vertailun, jossa henkilön sormenjälkeä verrataan siruun talletettuun sormenjälkeen. Tämä vertailu ei myöskään mahdollista kaksois- ja monihenkilöllisyyksien estämistä. Ainoa keino varmistaa, ettei passia hakevalla henkilöllä ole matkustusasiakirjoja useammalla henkilöllisyydellä, on passinhakijan sormenjälkien vertaaminen tietokantaan talletettuihin sormenjälkiin. Tietokantaan talletetuilla sormenjäljillä kyetään samoin varmistamaan myös se, että passi myönnetään hakijan tiedoilla vain yhdelle henkilölle.

Perustuslakivaliokunnan lausunnon (PeVL 14/2009 vp) perusteella ei ole estettä sormenjälkien merkitsemiseen passirekisteriin. Lausunnon mukaan tietojen käyttämiseen varsinaisen keräämis- ja tallettamistarkoituksen ulkopuolelle jääviin tarkoituksiin on kuitenkin syytä suhtautua hyvin varauksellisesti. Käyttötarkoitussidonnaisuudesta voidaan tällöin tehdä vain täsmällisiä ja vähäisiksi luonnehdittavia poikkeuksia. Sääntely ei valiokunnan mukaan saa johtaa siihen, että muu kuin alkuperäiseen käyttötarkoitukseen liittyvä toiminta muodostuu rekisterin pääasialliseksi tai edes merkittäväksi käyttötavaksi. Tältä osin valiokunta viittaa jäljempänä lausuttuun.

----

Passin sormenjälkitietojen käyttäminen muuhun kuin tietojen varsinaiseen keräämis- ja tallettamistarkoitukseen olisi esityksen mukaan mahdollista vain henkilöllisyyden selvittämiseksi poliisin suorittaessa sellaista yksittäistä tehtävää, joka välttämättä edellyttää henkilöllisyyden varmistamista. Oikeus tiedon käyttöön on vain sillä, jonka työtehtävien hoitaminen tiedonkäyttöä välttämättä edellyttää. Käytännössä kysymys on lain nojalla tapahtuvasta poliisimiehen suorittamasta henkilön tunnistamisesta tilanteessa, jossa henkilöä ei muutoin saada tunnistettua, esimerkiksi vainajan tai tunnistamatta jääneen henkilöllisyyden selvittämisessä. Säännös ei mahdollista rikosten ehkäisyä tai selvittämistä rekisteriin talletettujen sormenjälkien avulla. Tältä osin valiokunta ehdottaa yksityiskohtaisissa perusteluissa lausuttuun viitaten sääntelyn olennaista täsmentämistä. "

Korkein hallinto-oikeus toteaa, että perustuslakivaliokunnan lausunnon ja hallintovaliokunnan mietinnön pohjalta passirekisteriin sisältyvien sormenjälkitietojen käyttöä sääntelevä henkilötietojen käsittelystä poliisitoimessa annetun lain 16 a § muutettiin kuulumaan nyt voimassa olevassa muodossa.

Oikeudellinen arviointi ja lopputulos

Asiassa on arvioitavana, onko valittajan passihakemus voitu hylätä sillä perusteella, ettei hän ole suostunut antamaan sormenjälkiään talletettavaksi passin sirun lisäksi passin ulkopuoliseen poliisin tietojärjestelmään kuuluvaan passirekisteriin.

Sormenjälkien tallettamisessa passin ulkopuoliseen järjestelmään on kysymys tietosuojadirektiivin ja henkilötietolain tarkoittamasta henkilötietojen käsittelystä, joka ei kuitenkaan kuulu yksinomaan fyysisten passiasiakirjojen turvatekijöiden yhdenmukaistamiseen ja parantamiseen tähtäävän passiasetuksen soveltamisalaan. Koska asiassa on kuitenkin kyse henkilötietojen käsittelemisestä tietosuojadirektiivin tarkoittamalla tavalla, sormenjälkien rekisteröinti passirekisteriin kuuluu unionin oikeuden soveltamisalaan.

Asiassa on valituksessa esitetyn vuoksi muun ohella edellä lausuttu huomioon ottaen ratkaistava, ovatko passilain 6 a §:n ja 29 §:n säännökset sormenjälkien rekisteröinnistä sopusoinnussa Euroopan unionin perusoikeuskirjan, Euroopan ihmisoikeussopimuksen ja Suomen perustuslain turvaamien yksityiselämän ja henkilötietojen suojaa koskevien oikeuksien kanssa ja ovatko näiden oikeuksien rajoittamista tarkoittavat edellä mainitut passilain säännökset Euroopan unionin perusoikeuskirjan 52 artiklassa ja Euroopan ihmisoikeussopimuksen 8 artiklassa säädettyjen edellytysten mukaisia ja hyväksyttäviä Suomen perusoikeusjärjestelmässä.

Passin siruun talletettuja sormenjälkiä passin haltijan sormenjälkiin vertaamalla on mahdollista todeta, onko passin esittävä henkilö se, jonka passin hän esittää. Näin voidaan tehokkaasti ehkäistä passien väärinkäyttöä ja laitonta pääsyä unionin alueelle. Sormenjälkien tallettamisella passin ulkopuoliseen tietojärjestelmään turvataan yksityisyyden suojan toteutumista passiasetuksen mukaisia edellytyksiä laajemmin suojaamalla passiasiakirjan lisäksi passin haltijan todellista identiteettiä ja persoonaa.

Yksityisyyden suojaaminen henkilötietojen käsittelyssä edellyttää erityisesti tietojen suojaamista oikeudettomalta tai henkilöä vahingoittavalta käyttämiseltä. Yksittäisvertailuun perustuva henkilöllisyyden todentaminen ei suojaa yksityisyyttä tähän nähden riittävästi tilanteessa, jossa passi katoaa, menee rikki tai joutuu väärinkäytöksen kohteeksi. Sormenjälkien tallettaminen rekisteriin ehkäisee hallintovaliokunnan lausunnossa esitetyn mukaisesti muun ohella monihenkilöllisyyttä ja identiteettivarkauksia.

Passirekisteriin tallennettaviin biometrisiin tunnisteisiin kuuluva kasvokuva ei luotettavuudeltaan yllä sormenjälkien tasolle. Henkilöllisyyden väärinkäytön mahdollistavan teknologian kehittyminen edellyttää matkustusasiakirjojen hakijoiden ja -haltijoiden luotettavampaa tunnistamista ja asiakirjoihin sisältyvien henkilötietojen parempaa suojaamista. Sormenjälkien tallettamiselle passirekisteriin ei siten suojata ainoastaan passinhaltijan, vaan myös muiden henkilöiden oikeutta omiin henkilötietoihinsa ja niiden asianmukaiseen käyttöön. Kyse on sekä yksilöiden että yhteiskunnan turvallisuuden varmistamisesta.

Perusoikeuskirjan 7 ja 8 artiklan tarkoittamat oikeudet eivät ole ehdottomia. Niiden käyttämistä voidaan 52 artiklan 1 kohdan mukaan rajoittaa, mikäli rajoituksista säädetään lailla ja niiden keskeistä sisältöä kunnioitetaan. Rajoitusten on lisäksi oltava oikeassa suhteessa niillä tavoiteltuun, unionin tunnustamaan päämäärään nähden ja niiden on oltava tarpeen muiden henkilöiden oikeuksien ja vapauksien suojelemiseksi. Vastaavasti Euroopan ihmisoikeussopimuksen 8 artiklan 2 kohdan mukaan viranomaiset saavat puuttua yksityiselämän suojaan, kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.

Poliisin oikeus käyttää sormenjälkitietoja muuhun kuin passin myöntämistä ja valmistamista koskeviin tarkoituksiin on täsmällisesti ja tarkkarajaisesti rajattu lailla vain tilanteisiin, joissa on kyse luonnononnettomuuden, suuronnettomuuden tai muun katastrofin taikka rikoksen kohteeksi joutuneen tai muuten tunnistamattomaksi jääneen uhrin tunnistamisesta. Näissä tilanteissa sormenjälkiä voidaan verrata rekisteröityihin sormenjälkiin, mutta vertaamista varten otettuja tietoja voidaan käyttää vain vertaamisen ajan ja ne on hävitettävä välittömästi sen jälkeen. Tämän vuoksi ja edellä muutoin esitetyn perusteella voidaan todeta sormenjälkien tallettamisen passirekisteriin täyttävän 52 artiklan 1 kohdassa ja Euroopan ihmisoikeussopimuksen 8 artiklan 2 kohdassa mainitut edellytykset sekä myös perustuslain suojaamien perusoikeuksien rajoitusedellytykset erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden vaatimusten kannalta.

Tämän vuoksi ja kun muutoin otetaan huomioon edellä ilmenevät hallinto-oikeuden päätöksen perustelut ja siinä mainitut oikeusohjeet sekä korkeimmassa hallinto-oikeudessa esitetyt vaatimukset ja asiassa saatu selvitys, hallinto-oikeuden päätöksen lopputuloksen muuttamiseen ei ole perusteita.

3. Asian näin päättyessä ja kun otetaan huomioon hallintolainkäyttölain 74 §, A:lle ei ole määrättävä maksettavaksi korvausta oikeudenkäyntikuluista korkeimmassa hallinto-oikeudessa.

Asian ovat ratkaisseet oikeusneuvokset Riitta Mutikainen, Hannu Ranta, Mika Seppälä, Kari Tornikoski ja Taina Pyysaari. Asian esittelijä Katariina Flinkman.