Lausunto oikeusministeriölle hallituksen esitysluonnoksesta eduskunnalle tietosuojalain, henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 87 §:n ja 59 §:n ja hallinto-oikeuslain 12 b §:n muuttamisesta

Oikeusministeriö on pyytänyt korkeimmalta hallinto-oikeudelta lausunnon otsikossa mainitusta hallituksen esitysluonnoksesta.

Korkein hallinto-oikeus lausuu esitysluonnoksesta erityisesti siltä osin kuin esitysluonnoksessa ehdotetaan säännöksiä rekisteröidyn oikeussuojan täydentämisestä tilanteessa, jossa rekisteröity ei ole saanut ilmoitusta asiansa etenemisestä tai ratkaisusta. Säännökset tästä sisältyvät tietosuojalakiin ja henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettuun lakiin. Jäljempänä lausunnossa käsitellään vain tietosuojalakiin ehdotettuja muutoksia, koska muutokset olisivat samansisältöiset kummassakin laissa.

1 Tietosuojalain muutoksista

Hallituksen esitysluonnoksessa ehdotetaan muutettavaksi muun ohella tietosuojalain 21 §:ää, johon lisättäisiin uusi 3 ja 4 momentti.

Uuden 3 momentin mukaan, jos tietosuojavaltuutettu ei ole ilmoittanut rekisteröidylle kolmen kuukauden kuluessa tietosuoja-asetuksen 77 artiklan nojalla käsiteltäväksi saatetun kanteluasian etenemisestä tai ratkaisusta, rekisteröidyllä on oikeus saattaa ilmoittamista koskeva asia hallinto-oikeuden käsiteltäväksi. Tällainen asia on mainitun momentin mukaan pantava vireille 30 päivän kuluttua tietosuojavaltuutetun laiminlyönnin päättymisestä ja ennen kuin pääasiassa on annettu päätös. Asian vireillepanosta säädetään muutoin oikeudenkäynnistä hallintoasioissa annetun lain 19 §:ssä, mikä tarkoittaa esitysluonnoksen mukaan hakemustyyppistä vireillepanoa.

Uuden 4 momentin mukaan hallinto-oikeus voi asettaa määräajan, jonka kuluessa tietosuojavaltuutetun on ilmoitettava rekisteröidylle asian etenemisestä tai ratkaisusta.

Tietosuojalain 25 §:n uuden 2 momentin mukaan hallinto-oikeuden edellä tarkoitettuun päätökseen ei saa hakea muutosta valittamalla.

Tietosuojalain 21 §:n 3 momentin perusteluissa todetaan muun ohella, että momentilla toteutettaisiin tietosuoja-asetuksen 78 artiklan 2 kohdan edellyttämä oikeussuojakeino. Rekisteröidyllä olisi oikeus saattaa rekisteröidylle ilmoittamista koskeva asia hallinto-oikeuden käsiteltäväksi, jos tietosuojavaltuutettu ei ole ilmoittanut rekisteröidylle kolmen kuukauden kuluessa tietosuoja-asetuksen 77 artiklan nojalla käsiteltäväksi saatetun kanteluasian etenemisestä tai ratkaisusta. Tietosuoja-asetuksen 78 artiklan 2 kohta ei edellytä, että tietosuojavaltuutetun olisi ratkaistava asia kolmen kuukauden kuluessa. Perustelujen mukaan uusi menettely olisi käytettävissä, jos ”tietosuojavaltuutettu ei ole vähintään ilmoittanut rekisteröidylle asian etenemisestä”. Perusteluissa todetaan lisäksi, että ehdotettu menettely ei rajoittaisi rekisteröidyn oikeutta kannella viivästystilanteessa valtioneuvoston oikeuskanslerille tai eduskunnan oikeusasiamiehelle.

2 Tietosuoja-asetuksen säännöksistä

Tietosuoja-asetuksen 78 artiklan 2 kohdan mukaan ”[j]okaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn valituksen etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja”.

Tietosuoja-asetuksen johdanto-osan luetelmakohdassa 141 todetaan oikeussuojakeinoista seuraavaa:

Tietosuoja-asetuksen 78 artiklan 1 kohdan mukaan ”[j]okaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”

Tietosuoja-asetuksen 78 artiklan 1 kohta koskee valvontaviranomaisen päätöstä koskevia oikeussuojakeinoja ja 2 kohta taas viranomaisen passiivisuutta koskevia oikeussuojakeinoja. Esitysluonnoksessa tietosuojalain 21 §:n uusi 3 momentti on siis tarkoitettu kattamaan jälkimmäisen siten, että kysymys on ”ilmoittamista koskevaa asiaa” koskevista oikeussuojakeinoista, eikä hallinto-oikeudella siten olisi näissä viranomaisen passiivisuutta koskevissa tilanteissa muuta toimivaltaa kuin todeta laiminlyönnin tapahtuneen ja toimivalta asettaa määräaika ilmoituksen tekemiselle. Hallinto-oikeudella ei olisi toimivaltaa ratkaista itse pääasiaa.

3 Johtopäätöksiä

Korkein hallinto-oikeus kiinnittää huomiota siihen, että esitysluonnoksessa ei ole esitetty mitään oikeussuojakeinoja viranomaisen ”täydellistä passiivisuutta” vastaan, mikä kuitenkin myös on asetuksen 78 artiklan 2 kohdan tarkoitus. Asetuksen 57 artiklan 1 kohdan f alakohdan mukaan valvontaviranomaisenhan on ”… käsiteltävä rekisteröidyn … tekemiä valituksia ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa …” Tältä osin esitysluonnokseen sisältyvä sääntely ei näyttäisi täyttävän asetuksen mukaisia vaatimuksia tehokkaasta oikeussuojakeinosta kaikissa tilanteissa.

Korkein hallinto-oikeus kiinnittää toiseksi huomiota siihen, että ehdotettu oikeussuojakeino käsittelyn viivästymistä vastaan ei ehdotetun sisältöisenä ole ongelmaton. Hallinto-oikeuslakiin tehtäväksi ehdotetun muutoksen perusteella asia voitaisiin hallinto-oikeudessa käsitellä yhden tuomarin kokoonpanossa. Käytännössä tämäntyyppistä asiaa ei voida ratkaista ikään kuin summaarisesti pelkän hakemuksen perusteella, koska hallinto-oikeudella tulee olla tieto sekä asian laadusta että sen todellisesta käsittelytilanteesta. Tämä tarkoittaa, että asiassa on pyydettävä tietosuojaviranomaisen lausunto ja mahdollisesti vielä varattava hakijalle tilaisuus antaa vastaselitys. Koska hallinto-oikeuden ainoa toimivaltuus on määräyksen antaminen tietosuojaviranomaiselle asian etenemisestä, ilmoittamisesta tai asian ratkaisemisesta, hallinto-oikeus tarvinnee väistämättä tietosuojaviranomaisen arvion asian käsittelyyn mahdollisesti vielä kuluvasta ajasta mahdollista määräaikaa asettaessaan.

Korkein hallinto-oikeus kiinnittää kolmanneksi huomiota siihen, että hallituksen esitysluonnoksessa ei ole selostettu lainsäädäntötilannetta Ruotsissa.

Ruotsin tietosuojalaissa (Lag 2018:218 med kompletterande bestämmelser till EU:s dataskyddsförordning) ei ole nyt ehdotetun kaltaisia säännöksiä. Asiaa koskevassa hallituksen esityksessä (Regeringens proposition 2017:18:105 Ny dataskyddslag) on kohdassa 17.2 (Klagomål till tillsynsmyndigheten s. 152–154) käsitelty kysymystä siitä, tarvitaanko tietosuoja-asetuksen 78 artiklan 2 kohdassa tarkoitetuissa tilanteissa kansallisesti täydentäviä säännöksiä vai ovatko kansalliset oikeussuojakeinot jo sellaisenaan riittäviä. Hallituksen esityksessä on viitattu muun ohella kantelumahdollisuuteen eduskunnan oikeusasiamiehelle, valtion vahingonkorvausvelvollisuutta koskevaan erityissääntelyyn ja hallintolain säännöksiin asioiden viivästyksettömästä käsittelystä ja mahdollisuuteen saattaa viranomaisen passiivisuus hallintolain (Förvaltningslag 2017:900) 11 ja 12 §:n nojalla hallintotuomioistuimen käsiteltäväksi.

Ruotsin hallintolain 11 §:n mukaan viranomaisella on velvollisuus ilmoittaa asian merkittävästä viivästymisestä asianosaiselle ja kerrottava samalla syy viivästykselle. Hallintolain 12 §:n 1 momentin mukaan, jos asianosaisen vireille panemaa asiaa ei ole ratkaistu kuuden kuukauden kuluessa, asianosainen voi kirjallisesti pyytää viranomaista ratkaisemaan asian. Viranomaisen on tästä neljän viikon kuluessa joko ratkaistava asia tai erikseen annettavalla päätöksellä hylättävä ratkaisupyyntö. Pyynnön hylkäävään päätökseen saa hakea muutosta asiassa toimivaltaiselta muutoksenhakuviranomaiselta tai tuomioistuimelta.

Korkein hallinto-oikeus katsoo, että yleisen tietosuoja-asetuksen säännökset eivät ole esteenä sellaiselle kansalliselle lainsäädäntöratkaisulle, jossa viranomaisen viivästymistapauksessa asianosaisen tulisi ensiksi tehdä pyyntö tietosuojaviranomaiselle asian ratkaisemista tai toimenpiteistä ilmoittamisesta. Tietosuojaviranomaisen tulisi vastata pyyntöön lyhyessä laissa määriteltävässä määräajassa ja vasta tämän vastauksen jälkeen asia voitaisiin saattaa hallintotuomioistuimen käsiteltäväksi, mikäli vastaus siihen antaa aihetta.

Tämäntyyppisessä lainsäädäntöratkaisussa hallintotuomioistuimen ja viranomaisen tehtävät vastaisivat selkeämmin perustuslain mukaista toimivallanjakoa, eikä hallintotuomioistuimiin ohjata päätöksentekoa hallintoviranomaisessa kesken olevissa asioissa. Vaikka asiamäärät on arvioitu vähäisiksi, kysymys lainsäädäntöratkaisun sisällöstä on hyvin periaatteellinen. Lisäksi on mahdollista, että nyt omaksuttavaa lainsäädäntöratkaisua ryhdyttäisiin tulevaisuudessa käyttämään esikuvana muissa vastaavissa tilanteissa.

Korkein hallinto-oikeus kannattaa sinänsä sitä, ettei hallinto-oikeuden päätöksiin viivästymisen estämistä koskevissa ratkaisuissa olisi mahdollista hakea muutosta korkeimmalta hallinto-oikeudelta valituslupajärjestelmän puitteissa.

Lausunnon ovat valmistelleet oikeusneuvokset Eija Siitari ja Joni Heliskoski, ja sitä ovat kommentoineet korkeimman hallinto-oikeuden kansliaistunnon jäsenet.

Presidentti Kari Kuusiniemi

Kansliapäällikön sijainen, apulaiskansliapäällikkö Marko Leppänen