1.1  Tausta

Apulaistietosuojavaltuutettu on arvioinut Syyttäjälaitosta koskevassa tarkastuskertomuksessaan vuonna 2022, että Syyttäjälaitoksen henkilötietojen käsittelyä koskeva sääntely ei kaikilta osin täytä perustuslaista johtuvia vaatimuksia erityisesti sääntelyn täsmällisyyden, kattavuuden ja tarkkarajaisuuden osalta. Syyttäjien suorittamasta henkilötietojen käsittelystä säädetään pääosin henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetussa laissa (1054/2018, rikosasioiden tietosuojalaki). Tarkastuskertomuksessa puutteiden katsottiin liittyvän erityisesti rekisterinpitoa koskevaan vastuuseen. Myös Syyttäjälaitos on pitänyt puutteena sitä, että rikosasioiden tietosuojalaki ei yleislakina selvennä ja ratkaise Syyttäjälaitoksen henkilötietojen käsittelyyn liittyviä vastuita ja tehtäviä. 

Oikeusministeriö laati esiselvitystyönä arviomuistion, joka oli lausuntokierroksella 26.10.2022–15.12.2022. Arviomuistiossa selvitettiin, miltä osin Syyttäjälaitoksen syytetoimien ja muiden rikosasioihin liittyvien toimien yhteydessä suorittamaa henkilötietojen käsittelyä koskevaa lainsäädäntöä olisi syytä täydentää erityissäännöksillä, ottaen huomioon rikosasioiden tietosuojalain sisältämät säännökset ja perustuslain tulkintakäytännöstä johtuvat vaatimukset (erityisesti PeVL 26/2018 vp ja sitä myöhempi käytäntö). Lisäksi muistiossa arvioidaan, mikä olisi tarkoituksenmukaisin sääntelyratkaisu. Hallituksen esityksessä on huomioitu arviomuistiossa ja sitä koskevassa lausuntopalautteessa esiin nostetut lain täsmennystarpeet. Nämä liittyvät rekisterinpitovastuiden täsmentämisen ohella erityisesti rekisteröityjen suojan vahvistamiseen.  

1.2  Valmistelu

EU-säädöksen valmistelu

Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta annettu, jäljempänä rikosasioiden tietosuojadirektiivi, tuli voimaan 5 päivänä toukokuuta 2016. Jäsenvaltioiden oli pantava rikosasioiden tietosuojadirektiivi täytäntöön 6 päivään toukokuuta 2018 mennessä. Direktiivi kumosi puitepäätöksen kyseisestä päivästä lukein. Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) soveltaminen alkoi 25 päivänä toukokuuta 2018. 

Euroopan komissio antoi ehdotuksensa yleiseksi tietosuoja-asetukseksi ja rikosasioiden tietosuojadirektiiviksi 27 päivänä tammikuuta 2012. Komission aloitteet perustuivat laajoihin, vuosina 2009—2011 järjestettyihin kuulemiskierroksiin sekä vaikutustenarviointiin. Direktiivi- ja asetusehdotuksia käsiteltiin neuvostossa samanaikaisesti.  

Suomessa rikosasioiden tietosuojadirektiivi on pantu pääosin täytäntöön rikosasioiden tietosuojalain säännöksillä, joita täydentävät yksittäisiä viranomaisia koskevat henkilötietojen käsittelyyn sovellettavat erityislait. Tämän esityksen ensimmäisellä lakiehdotuksella pantaisiin direktiivi täytäntöön yleislakia täydentävin osin, kun on kyse rikosasioiden tietosuojalain 1 §:n 1 momentin 2 kohdassa mainittuun syyteharkinnasta ja muusta rikokseen liittyvästä syyttäjän toiminnasta. Lisäksi esityksellä täsmennettäisiin rikosasioiden tietosuojadirektiivin ja yleisen tietosuoja-asetuksen soveltamisalalla toimivien, oikeushallinnon valtakunnallista tietovarantoa käyttävien viranomaisten rekisterinpitovastuita. Viranomaisten henkilötietojen käsittelyyn sovelletaan yleistä tietosuoja-asetusta ja sitä täydentävää tietosuojalakia (1050/2018) siltä osin kuin käsittely ei kuulu rikosasioiden tietosuojalain soveltamisalaan. 

Hallituksen esityksen valmistelu

Oikeusministeriö asetti 8.8.2024 työryhmän valmistelemaan luonnoksen hallituksen esitykseksi Syyttäjälaitoksesta annetun lain sekä eräiden siihen liittyvien lakien muuttamiseksi. Esityksen 2. lakiehdotus on valmisteltu yhteistyössä Oikeusrekisterikeskuksen, Oikeuspalveluviraston ja Tuomioistuinviraston kanssa. Edellä mainittu arviomuistio sekä muut hankkeeseen liittyvät asiakirjat ovat saatavilla oikeusministeriön verkkosivustolta ja valtioneuvoston verkkosivustolta tunnuksella OM029:00/2022. 

2.1  Johdanto

Rikosasioiden tietosuojadirektiivin tarkoituksena on varmistaa henkilötietojen suoja direktiivin soveltamisalalla sekä helpottaa tietojen vapaata liikkuvuutta jäsenvaltioiden poliisi- ja oikeusviranomaisten välillä. Se on osittain luonteeltaan niin sanottu minimidirektiivi, koska sillä ei estetä jäsenvaltioita säätämästä korkeammasta rekisteröidyn oikeuksien suojan tasosta.  

Rikosasioiden tietosuojadirektiivin tarkoituksena on taata luonnollisten henkilöiden korkeatasoinen ja johdonmukainen suoja henkilötietojen käsittelyssä rikosasioissa sekä helpottaa henkilötietojen vaihtoa jäsenvaltioiden toimivaltaisten viranomaisten kesken. Direktiivi koskee sekä siinä tarkoitettujen toimivaltaisten viranomaisten jäsenvaltion sisällä tapahtuvaa henkilötietojen käsittelyä että rajat ylittäviä henkilötietojen käsittelytilanteita. Rikosasioiden tietosuojadirektiivi on yksityiskohtaisempi ja soveltamisalaltaan laajempi kuin sen kumoama puitepäätös, ja sisältää sitä vähemmän poikkeamismahdollisuuksia. Tarkoituksena on ollut, että yleisesti henkilötietojen suojaan sovellettavat vaatimukset ovat pääosin samat kuin yleisessä tietosuoja-asetuksessa. 

2.2  Direktiivin pääasiallinen sisältö

Rikosasioiden tietosuojadirektiivissä on yhdeksän lukua. Luvut käsittelevät yleisiä säännöksiä, periaatteita, rekisterinpitäjää ja henkilötietojen käsittelijää, henkilötietojen siirtoja kolmansiin maihin tai kansainvälisille järjestöille, riippumattomia valvontaviranomaisia, yhteistyötä, oikeussuojakeinoja, vastuuta ja seuraamuksia, direktiivin täytäntöönpanoa sekä direktiivin loppusäännöksiä. Nämä säännökset on pantu täytäntöön rikosasioiden tietosuojalaissa (HE 31/2018 vp) direktiivin edellyttämän tietosuojan tason mukaisesti. 

Direktiivin 8 artiklan 2 kohdan mukaan jäsenvaltion lainsäädännössä, jossa säännellään tämän direktiivin soveltamisalaan kuuluvaa käsittelyä, on täsmennettävä ainakin käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset. Direktiivin johdanto-osan 33 kappaleen mukaisesti tämä ei välttämättä edellytä parlamentissa hyväksyttyä säädöstä, sanotun kuitenkaan rajoittamatta asianomaisen jäsenvaltion perustuslaillisen järjestyksen edellyttämien vaatimusten soveltamista. Kyseisen jäsenvaltion lainsäädännön, oikeusperustan tai lainsäädäntötoimen olisi kuitenkin oltava selkeä ja täsmällinen ja sen soveltamisen olisi oltava asianosaisten kannalta ennakoitavissa unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön mukaisesti. 

Rekisterinpitäjän ja henkilötietojen käsittelijän on ylläpidettävä selostetta vastuulleen kuuluvista käsittelytoimista. Selosteen sisällöstä on otettu tarkemmat säännökset 24 artiklaan. Nämä vaatimukset on pantu täytäntöön rikosasioiden tietosuojalain 18 §:ssä. Sen lisäksi rikosasioiden tietosuojalain 22 §:ssä säädetään tietosuojaselosteesta. Pykälällä on pantu täytäntöön direktiivin 12 ja 13 artiklan vaatimukset rekisteröityjen informoinnista. Syyttäjälaitos on laatinut osaltaan yksityiskohtaiset tietosuojaselosteet, joista ilmenevät tarkemmin muun muassa käsiteltävät henkilötiedot ja rekisteröityjen ryhmät. 

2.3  Yleisen tietosuoja-asetuksen mukainen liikkumavara

Kun on kyse tietosuoja-asetuksen soveltamisalaan kuuluvasta henkilötietojen käsittelystä, tietosuoja-asetusta tarkentava kansallinen lainsäädäntö on mahdollista silloin, kun tietosuoja-asetus nimenomaisesti jättää jäsenvaltioille kansallista sääntelyliikkumavaraa. Kansallista sääntelyliikkumavaraa liittyy useaan tietosuoja-asetuksen artiklaan. 

Yleinen tietosuoja-asetus ei edellytä rekisterinpitäjän täsmentämistä laissa. Rekisterinpitäjästä säätäminen on kuitenkin mahdollista tietosuoja-asetuksen perusteella. Rekisterinpitäjä määritellään tietosuoja-asetuksen 4 artiklan 7 kohdassa, jonka mukaan rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti, jos henkilötietojen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä. 

Rekisterinpitäjän vastuulla on kummankin tietosuojan yleissäädöksen säännösten mukaisesti erityisesti varmistaa, että henkilötietojen käsittelytoimet ovat asianmukaisia ja tehokkaita. Rekisterinpitäjän on voitava osoittaa, että käsittelytoimet ovat tietosuoja-asetuksen tai rikosasioiden tietosuojalain mukaisia. Rekisterinpitäjän on kaikessa henkilötietojen käsittelyssä otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin liittyvät riskit. 

Silloin kun kyse on yhteisrekisterinpidosta, tietosuoja-asetus ja rikosasioiden tietosuojadirektiivi jättävät jäsenvaltioille liikkumavaraa siltä osin, säädetäänkö laissa yhteisrekisterinpitäjien vastuualueista ja millä tavalla niistä olisi säädettävä. Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin. Lailla säätämiseen taas kohdistuu yleinen vaatimus lain täsmällisyydestä ja tarkkuudesta. Toimivaltasääntely on perustuslakivaliokunnan käsityksen mukaan yleensä merkityksellistä myös perustuslaissa turvattujen perusoikeuksien näkökulmasta (PeVL 51/2006 vp, s. 2/I).  

3.1  Yleisesti sovellettava tietosuojalainsäädäntö ja muu yleislainsäädäntö

Rikosasioiden tietosuojalaki on henkilötietojen suojaa koskeva yleislaki, jota sovelletaan lähtökohtaisesti kaikkeen syyttäjien suorittamaan henkilötietojen käsittelyyn syyteharkinnassa ja muussa rikokseen liittyvässä syyttäjän toiminnassa. Laki sisältää laajan henkilötiedon määritelmän, ja myös henkilötietojen käsittely on käsitteenä laaja. Laki kattaa syyttäjien osalta käsittelyn tarkoitukset ja laajalti erilaiset henkilötietojen käsittelytoimenpiteet, kun kyse on henkilötietojen käsittelystä, joka on kokonaan tai osittain automaattista tai jossa käsiteltävät tiedot muodostavat tai niiden on tarkoitus muodostaa rekisteri tai sen osa. 

Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta ja tietosuojalain 4 §:n 2 kohta mahdollistavat lisäksi Syyttäjälaitoksen toimesta tapahtuvan henkilötietojen käsittelyn silloin, kun oikeutta käsittelyyn ei voida suoraan johtaa Syyttäjälaitosta koskevasta tehtävä- ja toimivaltasäännöksestä tai muusta syyttäjiä koskevasta erityissääntelystä. Koska tietosuojalain 4 §:n 2 kohta edellyttää, että käsittely on tarpeen viranomaisen toiminnassa, se mahdollistaa henkilötietojen käsittelyn, joka on asianmukaisesti perusteltua viranomaisen tehtävien ja toimivallan kannalta. Oleellista on, että syyttäjien perustehtävästä, johon käsittely liittyisi, säädetään muualla laissa. Lisäksi käsittelyn tulisi olla oikeasuhtaista syyttäjän tehtävän suorittamiseksi. Tietosuojalain säännös soveltuisi käsittelyn oikeusperusteeksi esimerkiksi erilaisissa syyttäjien toimintaan liittyvässä suunnittelu- ja selvitystehtävissä, joissa ei ole kyse yksittäisen rikosasian käsittelystä. 

Syyttäjien tiedonkäsittelyyn sovelletaan myös yleislakeina lakia viranomaisten toiminnan julkisuudesta (621/1999, julkisuuslaki) ja lakia julkisen hallinnon tiedonhallinnasta (906/2019, tiedonhallintalaki). Julkisuuslaki sisältää muun muassa säännökset salassa pidettävistä tiedoista sekä säännökset tiedon luovuttamisesta viranomaisen henkilörekisteristä ja salassa pidettävien tietojen luovuttamisesta toiselle viranomaiselle, ulkomaan viranomaiselle ja kansainväliselle toimielimelle. Julkisuuslain 29 §:n säännökset kattavat kuitenkin vain tilanteet, joissa salassa pidettävä asiakirja on tarpeen käsiteltäessä ennakkotietoa, ennakkoratkaisua, viranomaisen päätöksestä tehtyä muutoksenhakua taikka toimenpiteestä tehdyn kantelun tai alistusasian taikka kansainväliselle lainkäyttö- tai tutkintaelimelle tehdyn valituksen käsittelemiseksi. Siten syyttäjien osalta 29 §:n säännökset voivat tulla sovellettaviksi vain rajallisissa tapauksissa. Muilta osin salassa pidettävien tietojen luovuttaminen käytännössä edellyttää, että asiasta säädetään erikseen muualla laissa. 

Tiedonhallintalakia sovelletaan syyttäjien tiedonhallintaan ja tietojärjestelmien käyttöön, kun niissä käsitellään tietoaineistoja, jollei muualla laissa toisin säädetä. Laissa säädetään esimerkiksi tiedonsiirtoihin sovellettavista vaatimuksista, kun tietoja luovutetaan tietoverkossa, sekä teknisiä rajapintoja koskevista vaatimuksista. Sen sijaan esimerkiksi kerättävien lokitietojen osalta rikosasioiden tietosuojalaki sisältää yksityiskohtaisemmat vaatimukset. Tiedonhallintalaissa ei säädetä henkilörekistereistä eikä henkilötietojen rekisteröinnistä, mutta lain säännöksillä tietoaineistojen käsittelystä ja asianhallinnasta voi olla vaikutusta myös henkilötietojen käsittelyyn. Tietosuojalainsäädäntö koskee kaikkia rekistereitä, joissa käsitellään henkilötietoja. Rikosasioiden tietosuojalaissa tarkoitettu rekisterinpitäjä on usein sama viranomainen kuin tiedonhallintalaissa tarkoitettu tiedonhallintayksikkö, mutta ei kaikissa tapauksissa. 

3.2  Oikeushallinnon valtakunnallisesta tietovarannosta annettu laki

Oikeushallinnon valtakunnallisesta tietovarannosta annetussa laissa (955/2020, tietovarantolaki) säädetään muun muassa Syyttäjälaitoksen velvollisuudesta liittyä tietovarantoon ja toimittaa siihen tietoja (5 ja 6 §). Lain 6 §:n 2 momentin nojalla Syyttäjälaitoksen on salassapitosäännösten estämättä tallennettava tekemänsä ratkaisu tai sitä koskevat tiedot ratkaisu- ja päätösilmoitusjärjestelmään. Samat velvollisuudet koskevat lain mukaisesti myös tuomioistuimia ja oikeusaputoimistoja. 

Lain 7 §:n 1 momentin mukaan Oikeusrekisterikeskus toimii tietovarannon rekisterinpitäjänä. Muille viranomaisille ei ole säädetty tietovarantoa tai siihen kuuluvia tietojärjestelmiä koskevia rekisterinpitovastuita. Oikeusministeriölle on kuitenkin laissa säädetty tietovarannon kehittämistä ja käyttöpalveluiden järjestämistä koskeva tehtävä (7 §:n 2 momentti), joka ei enää vastaa tosiasiallista tilannetta. Kyseisessä säännöksessä mainittu tehtävä kuuluu pääosin Oikeusrekisterikeskukselle. Oikeusministeriö sen sijaan hakee lain 12 §:n 6 momentin mukaisesti salassapitosäännösten estämättä esiin ja käyttää toimintansa sekä oikeusministeriön hallinnonalan toiminnan suunnittelua ja seurantaa varten raportointi- ja tilastointijärjestelmään tallennettuja tietoja. Oikeusministeriö ei tallenna tietovarantoon tietoja, eikä se osallistu henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen. Tiedonsaantia koskevassa säännöksessä on käytännössä kyse siitä, että oikeusministeriö voi hakea suoraan tilastointi- ja raportointijärjestelmästä tietoja esimerkiksi säädösvalmistelua varten ja yleisemmin kuvan saamiseksi oikeusoloista. Oikeusrekisterikeskus puolestaan tietovarannon rekisterinpitäjänä määrittää, mitä tietoja tilastointi- ja raportointijärjestelmään viedään ja mitä tietoja oikeusministeriö voi hakea järjestelmästä. Oikeusministeriö ei edellä todetun valossa rinnastu rekisterinpitäjään. 

Lain 7 §:n 3 momentin mukaan tietovarantoon tietoja tallentanut viranomainen on velvollinen huolehtimaan siitä, että: 1) sen tallentamat tiedot vastaavat viranomaisen ratkaisuja ja sen omiin rekistereihin tekemiä merkintöjä; 2) tietovarantoon on tehty tarpeelliset merkinnät tietojen oikeaksi välittämiseksi; ja 3) merkinnät on tehty rekisterinpitäjän asettamien teknisten vaatimusten mukaisesti. Lain 11 §:ssä säädetään viranomaisten oikeudesta käyttää tietovarantoon tallentamiaan tietoja ja lain 12 §:ssä niiden oikeudesta käyttää muiden tallentamia tietoja. Oikeusrekisterikeskuksen oikeudesta käyttää ratkaisu- ja päätösilmoitusjärjestelmästä tai diaari- ja asianhallintatietojen valtakunnallisesta käsittelyjärjestelmästä poistettuja ja raportointi- ja tilastointijärjestelmään siirrettyjä tietoja säädetään lain 13 §:ssä. Tietojen käyttöoikeus koskee tietoja, jotka yksittäistapauksessa ovat tarpeen välitettävien tai rekisteröitävien tietojen oikeellisuuden varmistamiseksi tai Oikeusrekisterikeskuksen tehtäväksi säädetyn asian ratkaisemiseksi, jos tällaisten tietojen käyttämisestä ratkaisun perusteena säädetään laissa. Oikeusrekisterikeskukselle ei ole säädetty laajemmin tietojen käyttöoikeutta. Sen sijaan tietojen luovuttamiseen liittyvät ratkaisut on laissa säädetty Oikeusrekisterikeskuksen vastuulle rekisterinpitäjänä (lain 14–17 §). 

Oikeushallinnon valtakunnalliseen tietovarantoon kuuluvat hallituksen esityksessä HE 110/2020 vp mainitut osajärjestelmät, joita ovat ratkaisu- ja päätösilmoitusjärjestelmä, diaari- ja asianhallintatietojen valtakunnallinen käsittelyjärjestelmä sekä raportointi- ja tilastointijärjestelmä. Näiden osajärjestelmien käyttötarkoituksesta säädetään lain 8 §:ssä ja tietosisällöstä lain 9 §:ssä. Se, mitä tietojärjestelmiä tai rekistereitä näihin osajärjestelmiin tarkemmin kuuluu, ei ilmene tarkemmin laista, ja tilanne voi myös muuttua tietojärjestelmien elinkaaren päätyttyä sekä kehittämishankkeiden myötä. Joidenkin järjestelmien osalta on myös vaikea yksiselitteisesti todeta, ovatko niiden tiedot osa tietovarantoa. Tietovarantolain 1 §:n 2 momentin ja 7 §:n 3 momentin lähtökohtana vaikuttaisi kuitenkin olevan, että viranomaisen diaari tai asiarekisteri on katsottu tietovarannosta erilliseksi. Sama tieto voi silti sisältyä samanaikaisesti sekä viranomaisen omaan asiarekisteriin tai diaariin että tietovarantoon. 

Lain 8 §:n 2 momentin mukaan diaari- ja asianhallintatietojen valtakunnallisen käsittelyjärjestelmän käyttötarkoituksena on välittää oikeushallinnon viranomaisille tietoja vireillä olevan asian käsittelyn järjestämiseksi, selvittämiseksi ja ratkaisemiseksi ja valvonta- tai kehittämistehtävän suorittamiseksi sekä välittää yleisölle tietoja tuomioistuinten käsittelyssä olevista ja olleista asioista. Diaari- ja asianhallintatietojen valtakunnalliseen käsittelyjärjestelmään kuuluvia tosiasiallisia tietojärjestelmiä ovat tällä hetkellä ainakin rikosasioiden käsittely- ja asianhallintajärjestelmä Sakari, joka on korvautumassa yleisten tuomioistuinten ja Syyttäjälaitoksen asian- ja dokumentinhallintajärjestelmällä (AIPA), hallinto- ja erityistuomioistuinten toiminnanohjaus- ja dokumentaationhallintajärjestelmä (HAIPA), tuomioistuinten asiankäsittelyjärjestelmä Tuomas, tuomioistuinten kyselykäyttöjärjestelmä Kyösti sekä muutoksenhaku-, hallinto- ja erityistuomioistuinten käytössä oleva Lotus Notes. 

Tietovarantolain 8 §:n 1 momentin mukaan ratkaisu- ja päätösilmoitusjärjestelmän käyttötarkoituksena on välittää tietoja oikeushallinnon viranomaisten ratkaisuista niiden täytäntöön panemiseksi, merkinnän tekemiseksi viranomaisen rekisteriin, oikeusavun piiriin kuuluvien palkkioiden ja korvausten maksamiseksi sekä tietojen käyttämiseksi Syyttäjälaitoksen toiminnassa. Ratkaisu- ja päätösilmoitusjärjestelmään kuuluvia tietojärjestelmiä ovat yleisten tuomioistuinten käytössä oleva Rikostuomiosovellus RITU, oikeusapuasioiden sähköinen asianhallintajärjestelmä Romeo ja Tuomiorekisteri Tuore. AIPA ja HAIPA sekä Tuomas, Sakari ja Lotus Notes kuuluvat myös osaksi ratkaisu- ja päätösilmoitusjärjestelmää. Näistä RITU:n elinkaari on päättymässä. Myös osa muista järjestelmistä on elinkaarensa loppuvaiheessa ja ne tultaneen korvaamaan erillisillä säilytysratkaisuilla Käytännössä oikeushallinnon viranomaiset rekisteröivät käsittelemänsä asiat ja tallettavat niissä tekemänsä ratkaisut omiin rekistereihinsä. Vaikka Syyttäjälaitos ja yleiset tuomioistuimet käyttävät samoja tietojärjestelmiä, käyttövaltuushallinnan ja käyttäjäkohtaisten roolien avulla rajataan pääsy eri rekistereihin. 

Tietovarantolain 8 §:n 3 momentin mukaan raportointi- ja tilastointijärjestelmän käyttötarkoituksena on tuottaa tilastoja ja muita tietoaineistoja oikeusoloista oikeusministeriölle, Tuomioistuinvirastolle ja oikeushallinnon viranomaisille niiden toiminnan suunnittelua ja seurantaa varten sekä hallinnonalalla toimivien tutkimus- ja selvitystehtäviä hoitavien yksiköiden käyttöön. Lain esitöiden valossa järjestelmä on lain valmistelun aikaan muodostunut oikeushallinnon viranomaisten käyttämästä ohjelmistosta, mutta se on kuitenkin ollut tarkoitus korvata kokonaan uudella ratkaisulla. Lain esitöiden mukaan raportointi- ja tilastointijärjestelmän tietosisältö määräytyy suunnittelu-, tutkimus- ja tilastointitarpeiden perusteella. Vaikka Oikeusrekisterikeskus on määritetty koko tietovarannon rekisterinpitäjäksi, kukin viranomainen, joka tallentaa tietoja oikeusministeriön hallinnonalalla yhteisesti käytettävään raportointi- ja tilastointijärjestelmään, on kuitenkin lain esitöiden mukaan itse rekisterinpitäjä sille raportointi- ja tilastointiaineistolle, jota se tuottaa järjestelmään omien suunnittelu- ja seurantatarpeidensa pohjalta. (HE 110/2020 vp) 

Tuomioistuinviraston lakisääteinen tehtävä on ylläpitää ja kehittää tuomioistuinten tietojärjestelmiä (Tuomioistuinlaki (673/2016) 19 a luvun 2 §:n 2 momentti). Tuomioistuimet käsittelevät henkilötietoja tietojärjestelmissään lainkäyttötehtävien toteuttamiseksi, kuten rikosasian käsittelemiseksi tuomioistuimessa (rikosasioiden tietosuojalain 1 §:n 1 momentti) ja riita- ja hakemusasioiden käsittelemiseksi sekä hallintolainkäyttö- ja hallintoriita-asioiden ja muutoksenhakuasioiden käsittelemiseksi (mm. yleisen tietosuoja-asetuksen (679/2016) 6 artiklan 1 kohdan c alakohta). Tuomioistuinten käsittelykokonaisuuteen liittyy myös muu yleisesti viranomaistoimintaa ja hallinnollista toimintaa koskeva henkilötietojen käsittely. Tällaista käsittelyä liittyy muun muassa asian käsittelyn joutuisuuden seurantaan, tietopyyntöjen toteuttamiseen ja rekisteröidyn oikeuksien toteuttamiseen. 

Tuomioistuinvirasto ja tuomioistuimet ovat yhteistyössä määritelleet tietosuojavelvoitteisiin liittyvät vastuualueet tuomioistuinten tietojärjestelmien osalta. Tuomioistuinviraston vastuut keskittyvät tietosuojan huomioimiseen tietojärjestelmän kehittämisessä ja toteuttamisessa, kun taas tuomioistuinten tietosuojavastuut keskittyvät tietojärjestelmään tallennettavien henkilötietojen osalta rekisteröityjen tietosuojaoikeuksien toteuttamiseen sekä tietojärjestelmien käyttäjien kouluttamiseen ja ohjeistamiseen tietosuojasäännösten mukaisesta käsittelystä. 

Oikeuspalveluviraston tehtävänä on muun muassa huolehtia siitä, että oikeusapulaissa (257/2002) ja muualla laissa oikeusaputoimistojen tehtäväksi säädettyjä palveluja on tarjolla tasapuolisesti koko maassa (laki Oikeuspalveluvirastosta 1133/2023, 2§). Oikeusaputoimistot tekevät oikeusapulain mukaisia oikeusapupäätöksiä, antavat oikeusapulain mukaista oikeusapua ja hoitavat asianajajista annetun lain mukaisia asianajotoimeksiantoja. Lisäksi oikeusaputoimistot tarjoavat talous- ja velkaneuvonnasta annetun lain (813/2017) mukaisia talous- ja velkaneuvonnan palveluita. Henkilötietoja käsitellään julkiseen oikeusapuun liittyvien tehtävien hoitamiseksi Romeo-asianhallintajärjestelmässä, jonka käyttöoikeuksia on rajoitettu toimistokohtaisesti. Käsittely perustuu lakiin (yleisen tietosuoja-asetuksen 6 artikla 1 kohta c alakohta). Tietoja käytetään myös tehtävien hoidon valvontaan, kehittämiseen, tilastointiin ja raportointiin. 

Oikeuspalveluviraston aloitettua toimintansa oikeusaputoimistossa käytössä olleiden järjestelmien omistajuus siirtyi virastolle. Järjestelmien käyttöoikeudet eivät ole muuttuneet, kullakin oikeusaputoimistolla on omat käyttöliittymänsä. Oikeuspalveluviraston perustamista koskevan hallituksen esityksen (HE 30/2023 vp) mukaan tietosuojalainsäädännössä tarkoitettuna rekisterinpitäjänä toimisi perustettava virasto valtion oikeusapu- ja edunvalvontapiirien sijasta. Myös tietosuojavastaavan tehtävä on sijoitettu Oikeuspalveluvirastoon.  

Oikeushallinnon viranomaiset käsittelevät henkilötietoja pääosin omissa tai yhteiskäyttöisissä järjestelmissään, mutta myös valtakunnallisessa tietovarannossa joiltakin osin jo ennen asian ratkaisemista. Tämä johtuu edellä kuvatusta järjestelmien samanaikaisesta kuulumisesta myös tietovarantoon. Kaikki järjestelmien sisältämä tieto ei kuitenkaan kuulu Oikeusrekisterikeskuksen rekisterinpidossa olevan oikeushallinnon valtakunnallisen tietovarannon tietosisältöön. Siltä osin kuin on kyse tietovarantoa käyttävien viranomaisten omien lakisääteisten tehtävien hoitamisesta, Oikeusrekisterikeskus ei voi myöskään määrittää henkilötietojen käsittelyn tarkoituksia, jotka tyypillisesti perustuvat laissa säädettyihin viranomaisen tehtäviin. Tietovarantolaissa säädetään käsittelyn keinoista yleisellä tasolla siltä osin kuin on kyse valtakunnalliseen tietovarantoon tallennettavista henkilötiedoista, mutta muuta sääntelyä rekistereistä tai muista henkilötietojen käsittelyn keinoista ei juurikaan ole. Sen sijaan viranomaisten osalta on sääntelyä oikeudesta luovuttaa ja saada tietoja salassapitosäännösten estämättä. Tämä asetelma tekee nykyisestä tietovarannon rekisterinpitoa koskevasta lainsäädäntöratkaisusta ongelmallisen. 

Oikeushallinnon valtakunnalliseen tietovarantoon kuuluviin järjestelmiin liittyvät viranomaisten tehtävät ja vastuut jakautuvat tosiasiallisesti jo nykyisin usean viranomaisen kesken. Oikeusrekisterikeskus käytännössä esimerkiksi määrittää tietovarantoon liittyvän henkilötietojen käsittelyn keinot ja tarkoitukset yhdessä tietovarantoa käyttävien viranomaisten kanssa siltä osin kuin asiasta ei säädetä laissa. Se, millä tavalla käsittelyn keinot ja tarkoitukset määritetään tarkemmin, vaihtelee kuitenkin tietojärjestelmittäin. Esimerkiksi AIPA- ja HAIPA-järjestelmien osalta Tuomioistuinvirastolla on muista tietovarantoon kytkeytyvistä järjestelmistä poiketen kehittämis- ja ylläpitotehtävä, ja Tuomioistuinvirasto on ja tuomioistuimet ovat jakaneet rekisterinpitovastuita keskinäisellä järjestelyllään. Tuomioistuinviraston tehtävä kuitenkin tuomioistuinlain mukaisesti koskee vain tuomioistuinten tietojärjestelmien ylläpitoa ja kehittämistä, ja Syyttäjälaitos on AIPA:ssa käsiteltävien syyttäjän tietojen osalta rekisterinpitäjä. Vaikka rekisterinpitäjät voivat sopia yhteisrekisterinpitoon liittyvistä vastuualueiden jakamisesta suoraan yleisen tietosuoja-asetuksen 26 artiklan ja rikosasioiden tietosuojalain 16 §:n nojalla, tällaiset järjestelyt voisivat olla ristiriidassa tietovarantolain 7 §:n kanssa siltä osin kuin rekisterinpitovastuut liittyvät tietovarantoon kuuluviin järjestelmiin. Toisaalta viranomaisten mahdollisuuksia sopia keskenään rekisterinpitovastuiden jakamisesta voi rajoittaa muu viranomaisten tehtäviä ja toimivaltuuksia koskeva lainsäädäntö. 

Rekisterinpitovastuiden täsmentämistä laissa vaikeuttavat edellä mainitut epäselvyydet siitä, mitä tietojärjestelmiä tietovarantoon tarkalleen ottaen liittyy ja mistä tiedoista tietovaranto muodostuu. Kokonaisuus vaikeuttaa erityisesti rekisterinpitäjälle kuuluvien tehtävien jakamista laissa yksityiskohtaisesti usean viranomaisen kesken. Huomioiden sen, että rekisterinpitäjän tulisi kuitenkin olla sellainen viranomainen, jolla on tosiasiallisesti mahdollisuus vaikuttaa henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen joko yksin tai yhdessä toisen viranomaisen kanssa, voimassa olevan 7 §:n säännöksiä ei voida pitää tarkoituksenmukaisina. 

Oikeusrekisterikeskuksen keinot varmistua erityisesti tietovarantoon tallennettavien henkilötietojen paikkansa pitävyydestä ja täsmällisyydestä ovat rajalliset. Oikeusrekisterikeskuksella ei ole myöskään mahdollisuutta korjata virheelliseksi ilmennyttä tietoa, vaan sen on tarpeen olla yhteydessä tiedot tallentaneeseen viranomaiseen ja pyytää tiedon korjaamista. Jotta Oikeusrekisterikeskus pystyisi huolehtimaan täysimääräisesti näihin vaatimuksiin liittyvistä yleisen tietosuoja-asetuksen ja rikosasioiden tietosuojalain mukaisista rekisterinpitäjän velvoitteistaan oikeushallinnon valtakunnallisen tietovarannon osalta, sen olisi käytännössä voitava antaa määräyksiä tietovarantoa käyttäville viranomaisille. Tämä olisi ongelmallista tuomioistuinten ja muiden viranomaisten erillisyyden ja riippumattomuuden kannalta. 

Tarve varmistaa tietojen paikkansa pitävyys on huomioitu voimassa olevan lain 7 §:n 3 momentissa. Momentin mukaan tietovarantoon tietoja tallentanut viranomainen on velvollinen huolehtimaan siitä, että: 1) sen tallentamat tiedot vastaavat viranomaisen ratkaisuja ja sen omiin rekistereihin tekemiä merkintöjä; 2) tietovarantoon on tehty tarpeelliset merkinnät tietojen oikeaksi välittämiseksi; ja 3) merkinnät on tehty rekisterinpitäjän asettamien teknisten vaatimusten mukaisesti. Apulaisoikeuskansleri on ottanut käräjäoikeuksia koskevassa ratkaisussaan kantaa tuomioiden asianmukaisen merkinnän tärkeyteen tietojen oikean välittämisen kannalta. (OKV/1503/70/2022) Tietovarantolain 7 §:n 3 momentti ei kuitenkaan vapauta rekisterinpitäjää tietosuojalainsäädännön mukaisesta rekisterinpitäjän vastuusta varmistua henkilötietojen täsmällisyydestä ja paikkansa pitävyydestä ja voi myös aiheuttaa epäselvyyttä siitä, kenen vastuulla velvoite on. (Helsingin hallinto-oikeuden päätös 3396/2023, 8.6.2023) Vastaavanlaiset velvoitteet seuraavat tietoja luovuttaville viranomaisille 1 momentin osalta käytännössä myös suoraan tietosuojalainsäädännöstä, jonka perusteella jokaisen rekisterinpitäjän on osaltaan huolehdittava käsittelemiensä henkilötietojen paikkansa pitävyydestä ja tarvittaessa esimerkiksi ilmoitettava kaikille niiden vastaanottajille havaituista virheistä ja niiden oikaisuista (eräänlainen huolellisuusvelvoite). Se huomioiden momentin sisältämät säännökset ovat päällekkäisiä tietosuojalainsäädännön vaatimusten kanssa ja käytännössä tarpeettomat. Momentti olisi tarpeeton myös siinä tapauksessa, että laissa säädettäisiin viranomaisten yhteisrekisterinpidosta. 

3.3  Henkilötietojen käsittelyyn sovellettavat syyttäjiä koskevat erityissäännökset

Syyttäjälaitoksesta annetussa laissa (32/2019) säädetään Syyttäjälaitoksen asemasta, tehtävistä ja hallinnosta sekä syyttäjien tehtävistä. Syyttäjälaitos vastaa itsenäisesti ja riippumattomasti syyttäjäntoimen järjestämisestä. Syyttäjän tehtävänä on huolehtia rikosoikeudellisen vastuun toteuttamisesta hänen käsiteltävänään olevassa asiassa tasapuolisesti, joutuisasti ja taloudellisesti asianosaisten oikeusturvan ja yleisen edun edellyttämällä tavalla. Syyttäjällä on itsenäinen ja riippumaton syyteharkintavalta. Syyttäjä tekee itsenäisesti ja riippumattomasti päätösvaltaansa kuuluvat, rikosoikeudellisen vastuun toteuttamista koskevat ratkaisut käsiteltävänään olevassa rikosasiassa. Syyttäjä on toimivaltainen syyttäjän tehtävissä koko maassa. Syyttäjälaitoksesta annettu laki ei sisällä henkilötietojen käsittelyä koskevaa sääntelyä lukuun ottamatta 22 §:ää, jossa säädetään syyttäjien tiedonsaantioikeudesta. 

Rikosasioiden tietosuojadirektiivin johdanto-osan 20 kappaleen mukaan direktiivi ei estä jäsenvaltioita täsmentämästä kansallisissa rikosprosessisäännöissään tuomioistuinten ja muiden oikeusviranomaisten suorittamaan henkilötietojen käsittelyyn liittyviä käsittelytoimia ja -menettelyitä erityisesti, jos henkilötiedot sisältyvät tuomioistuimen päätökseen tai rikosoikeudelliseen menettelyyn liittyvään merkintään. Rikosprosessiin kuuluu useita toimenpiteitä, joihin liittyy henkilötietojen käsittelytilanteita. Suomessa rikosprosessia koskevassa lainsäädännössä on kuitenkin vain harvoin varsinaisia säännöksiä henkilötietojen käsittelystä.  

Oikeudenkäymiskaaren (45/1734) säännöksistä esimerkiksi haastehakemuksia ja haasteiden tiedoksiantoa koskevien säännösten sekä todistelun vastaanottamiseen liittyvät säännökset tarkoittavat samalla henkilötietojen käsittelyä. Osaan rikosprosessin toimenpiteistä voi liittyä salassa pidettäviä tai arkaluonteisia tietoja, jotka voivat joiltakin osin olla myös rikosasioiden tietosuojalain 11 §:ssä tarkoitettuun erityiseen henkilötietoryhmään kuuluvia henkilötietoja. Esimerkiksi mielentilatutkimusta koskevat esitykset voivat sisältää terveystietoja. 

Oikeudenkäynnistä rikosasioissa annetussa laissa (689/2017) (1 luku) säädetään syyteoikeuden käyttämiseen ja syyteharkintaan liittyvistä toimenpiteistä, joihin liittyy henkilötietojen käsittelyä (syyte, syyttämättä jättämistä koskeva päätös, asianomistajan syyttämispyynnön käsittely, tuomioesitys tunnustamisoikeudenkäynnissä ja menettämisvaatimus). Lain 5 luvussa säädetään syytteen vireillepanoon liittyvistä toimenpiteistä. Haastehakemuksen osalta luvun 3 §:ssä säädetään myös henkilötiedoista ja muista tiedoista, joita haastehakemuksessa on ilmoitettava.  

Esitutkintalain (805/2011) 3 luvussa säädetään rikoksesta tehdyn ilmoituksen kirjaamisesta ja siirtämisestä sekä esitutkinnan rajoittamista koskevista ratkaisuista (1, 2, 10 ja 10 a §). Ilmoituksesta syyttäjälle ja yhteistyövelvollisuudesta säädetään 5 luvussa (1 ja 3 §). Esitutkintalaissa säädetään myös syyttäjän toimivaltuuksista, kun syyttäjä toimii tutkinnanjohtajana. Syyttäjä vastaa tutkinnan johtamisesta, kun kyse on poliisimiehen tekemäksi epäillyn rikoksen tutkinnasta. Esitutkintaviranomainen (poliisi) kuitenkin huolehtii myös silloin rikoksesta tehdyn ilmoituksen kirjaamisesta. Käytännössä esitutkinta-aineisto siirretään lähes aina poliisin tietojärjestelmästä, myös silloin, jos esitutkintaviranomainen on Rajavartiolaitos, Tulli tai Puolustusvoimat. Esitutkinta-aineistosta säädetään esitutkintalain 9 luvussa (esitutkintapöytäkirja, loppulausunnot ym.). Esitutkinta-aineistoa käsitellään syyttäjien käsittelyjärjestelmässä sen jälkeen, kun poliisi on siirtänyt aineiston Syyttäjälaitokselle. Poliisi kirjaa pääsääntöisesti rikosilmoitukset myös epäillyistä poliisirikoksista. Poliisi huolehtii kirjaamisesta myös siinä tapauksessa, että asianomistaja ilmoittaa rikoksen syyttäjälle. Syyttäjät kirjaavat esitutkinnan rajoittamista koskevan päätöksen, syyttämättä jättämistä koskevan päätöksen tai syytteen nostamista koskevan päätöksen. 

Pakkokeinolaissa (806/2011) säädettyihin toimenpiteisiin liittyy erilaisia syyttäjien suorittamia henkilötietojen käsittelytilanteita. Näitä ovat esimerkiksi vangitsemisvaatimuksen, matkustuskiellon ja vakuustakavarikkoa koskevan vaatimuksen käsittely; takavarikoidun tai takavarikoimista varten haltuun otetun suljetun kirjeen tai muun suljetun yksityisen asiakirjan avaaminen ja tutkiminen; ja tutkinta-arestin rikkomista koskevien ilmoitusten käsittely. Syyttäjät käsittelevät pakkokeinolain mukaisin keinoin saatuja henkilötietoja ainoastaan osana esitutkintapöytäkirjaan liitetyn materiaalin käsittelyä ja tallentamista. Syyttäjät eivät myöskään arkistoi esitutkintamateriaalia, vaan arkistoinnista huolehtii poliisi, ja tuomioistuimet huolehtivat arkistoinnista siltä osin kuin asiakirjoihin on vedottu todisteina oikeudenkäynnissä. 

Sakon ja rikesakon määräämisestä annetun lain (754/2010) nojalla sakkovaatimuksen antaa poliisimies (muutettu lailla 421/2025, lainmuutos tulee voimaan 1.1.2026). Mainittu vaatimus voidaan antaa myös syyttäjän pyynnöstä. Rikesakon määrää poliisimies tai syyttäjä, rangaistusmääräyksen antaa syyttäjä, ja sakkomääräyksen antaa poliisimies. Sakkovaatimuksen, sakkomääräyksen ja rikesakkomääräyksen sisällöstä, mukaan lukien henkilötiedot, säädetään lain 8 §:ssä. Rangaistusmääräyksestä ja rikesakkomääräyksestä säädetään tarkemmin lain 4 luvussa, mutta säännökset eivät sisällä erityisiä henkilötietoja koskevia säännöksiä. Virheen korjaamisesta säädetään lain 37 §:ssä. 

Sakon täytäntöönpanosta annetun lain (672/2002) 3 luvussa säädetään muuntorangaistuksesta. Lain 30 §:n 2 momentin nojalla muuntorangaistusvaatimuksen esittää syyttäjä. Henkilötietojen käsittelyä liittyy tilanteisiin, joissa syyttäjä käsittelee käräjäoikeuden toimittamia asiakirjoja ennen istuntoa sekä ulosottomiehen toimittamia selvityksiä. Muuntorangaistuksen määräämisessä tarvittavien tietojen toimittamisesta syyttäjälle ja syyttäjältä edelleen käräjäoikeudelle säädetään tarkemmin valtioneuvoston asetuksella. Jos tuomioistuin harkitsee sen soveliaaksi, asian käsittelyssä voidaan käyttää teknistä tiedonvälitystapaa, jossa käsittelyyn osallistuvilla on puhe- ja näköyhteys kesken. Lain 30 a §:n 1 momentin mukaan syyttäjän on aiheen ilmetessä omasta aloitteestaan tai tuomioistuimen pyynnöstä hankittava ulosottomieheltä selvitys maksuvelvollisen taloudellisesta asemasta. Tähän selvitykseen sisältyy ulosottoasian asianhallintatiedot sekä ne maksuvelvollisen taloudellista asemaa koskevat tiedot, jotka saadaan luovuttaa syyttäjälle sakon muuntorangaistuksen määräämistä varten. 

Yhdyskuntaseuraamusten täytäntöönpanosta annetun lain (400/2015) 10 §:n 1 momentin mukaan syyttäjä tai tuomioistuin pyytää Rikosseuraamuslaitosta laatimaan seuraamusselvityksen, jos rikoksesta epäiltyä syytetään rikoksesta, josta todennäköisesti tuomitaan yhdyskuntapalvelu tai valvontarangaistus taikka rikokseen 21 vuotta täytettyään syyllistyneelle ehdollisen vankeuden tehosteeksi valvonta. Seuraamusselvitykseen voidaan muun muassa syyttäjän pyynnöstä liittää myös rangaistusajan suunnitelma, jonka yksityiskohdat voivat tarkoittaa myös arkaluonteisina pidettävien tietojen käsittelyä. Syyttäjät käsittelevät lain nojalla myös Rikosseuraamuslaitoksen laatimia selvityksiä yhdyskuntapalvelun velvollisuuksien rikkomisesta. Henkilötietojen käsittelyä liittyy lisäksi esimerkiksi tilanteisiin, joissa syyttäjä esittää lain nojalla vaatimuksen yhdyskuntapalvelun muuttamisesta valvontarangaistukseksi tai ehdottomaksi vankeusrangaistukseksi tai valvontarangaistuksen muuttamisesta ehdottomaksi vankeusrangaistukseksi, sekä tilanteisiin, joissa syyttäjä saattaa epäillyn yhdyskuntapalvelun tai valvontarangaistuksen velvollisuuksien rikkomisen käräjäoikeuden käsiteltäväksi. Laki ei sisällä erityisiä tiedonluovutussäännöksiä tai tiedonsaantisäännöksiä, mutta tietojen käsittelystä täytäntöönpanotehtäviä hoidettaessa säädetään henkilötietojen käsittelystä Rikosseuraamuslaitoksessa annetussa laissa. Lain 19 §:n nojalla Rikosseuraamuslaitos saa salassapitosäännösten estämättä pyynnöstä ja myös oma-aloitteisesti luovuttaa 5 §:n 1 ja 2 momentissa, 6 §:ssä, 7 §:n 2 momentissa ja 8 §:n 1 momentissa tarkoitettuja henkilötietoja muun muassa syyttäjälle, siltä osin kuin se on välttämätöntä laissa säädettyä syyttäjän tehtävää varten. 

Syyttäjä tekee seuraamusselvityspyyntöjä Rikosseuraamuslaitokselle myös silloin, kun esitutkintaviranomainen on ilmoittanut syyttäjälle nuoren tekemäksi epäillystä rikoksesta nuoren rikoksesta epäillyn tilanteen selvittämisestä annetun lain (633/2010) nojalla. Rikosseuraamuslaitos laatii tekemänsä arvioinnin perusteella kirjallisen seuraamusselvityksen, joka sisältää myös nuoren rikoksesta epäillyn sosiaalista tilannetta koskevat olennaiset tiedot. Seuraamusselvitykseen sisällytetään myös muu sellainen rikoksen vuoksi tehtävä selvitys tai lausunto, jonka syyttäjä on pyytänyt yhdyskuntaseuraamuksen tuomitsemista varten. Lain 9 §:ssä säädetään Rikosseuraamuslaitoksen ja sosiaaliviranomaisen tiedonsaantioikeudesta, joka kattaa myös terveystietoja ja valtiosääntöisesti arkaluonteisia tietoja. Tiedonsaantisäännökset eivät kata syyttäjiä, mutta myös näihin tilanteisiin sovellettavaksi tulee henkilötietojen käsittelystä Rikosseuraamuslaitoksessa annetun lain 19 §:n tiedonluovutussäännökset. 

Liiketoimintakiellosta annetun lain (1059/1985) mukaan liiketoimintakielto ja väliaikainen liiketoimintakielto määrätään syyttäjän vaatimuksesta. Liiketoimintakieltoa voidaan pidentää syyttäjän vaatimuksesta. Syyttäjää myös kuullaan liiketoimintakiellon kumoamisen yhteydessä. Syyttäjä voi erikseen pyytää liiketoimintakiellon määräämisen edellytysten tutkimista esitutkintaviranomaiselta. Liiketoimintakielto on elinkeino-oikeudellinen turvaamistoimi ja liiketoimintakieltorekisteri kuuluu EU:n yleisen tietosuoja-asetuksen soveltamisalaan, mutta käräjäoikeus määrää liiketoimintakiellon rikosprosessin yhteydessä. Liiketoimintakiellon määräämistä ja pidentämistä koskevan asian käsittelyssä noudatetaan soveltuvin osin, mitä syyttäjän ajaman rikosasian käsittelystä säädetään. Siten syyttäjän henkilötietojen käsittely kuuluu myös tältä osin rikosasioiden tietosuojalain soveltamisalaan. Päättyneitä liiketoimintakieltoja koskevat tiedot on säädetty salassa pidettäviksi, mutta niitä voidaan luovuttaa rekisteristä syyttäjälle syyteharkintaa ja syytteen ajamista varten sekä liiketoimintakiellon määräämisen edellytysten selvittämistä varten. 

Henkilötietojen käsittelyä liittyy myös lähestymiskiellon määräämistä koskeviin pyyntöihin ja niiden käsittelyyn käräjäoikeudessa. Lähestymiskiellosta annetun lain (898/1998) mukaisesti muun muassa syyttäjäviranomainen voi pyytää lähestymiskiellon määräämistä (5 §), ja syyttäjäviranomaisella on oikeus olla läsnä lähestymiskiellon määräämistä koskevassa pääkäsittelyssä käräjäoikeudessa (6 §). Syyttäjien osalta lähestymiskieltoon liittyvään henkilötietojen käsittelyyn sovellettaisiin sellaisenaan rikosasioiden tietosuojalain säännöksiä. 

3.4  EU-lainsäädäntö ja kansainväliset sopimukset

Syyttäjät käsittelevät henkilötietoja kansainvälisessä rikosoikeudellisessa yhteistyössä. Kansainvälinen rikosoikeudellinen yhteistyö kattaa muun ohella kansainvälisen oikeusavun rikosasioissa, rikoksen johdosta tapahtuvan luovuttamisen sekä yhteistyön vapausrangaistuksen ja muiden rikosoikeudellisten seuraamusten täytäntöönpanon siirtämiseksi. Rikosasioiden tietosuojadirektiiviä sovelletaan Euroopan unionista tehdyn sopimuksen mukaisessa rikosasioissa tehtävässä oikeudellisessa yhteistyössä, joista säädetään erikseen annetussa unionin lainsäädännössä. 

Rikosasiaa koskevia tietoja tulee syyttäjille toisista EU:n jäsenvaltioista yksittäiseen asiaan liittyen kansainvälistä rikosoikeudellista yhteistyötä koskevia säädöksiä sovellettaessa. Rikosasioiden tietosuojadirektiivin säännökset tulevat sovellettaviksi siltä osin kuin yhteistyön puitteissa käsitellään automaattisesti toisesta EU:n jäsenvaltioista saatuja henkilötietoja tai nämä tiedot talletetaan syyttäjien diaariin tai muuhun henkilörekisteriin. Jäljempänä mainittujen EU-säädösten ja sopimusten sekä niiden täytäntöönpanolakien soveltamiseen liittyy tiedonvaihtoa tai muuta henkilötietojen käsittelyä, mutta vain osa niistä sisältää erityisesti henkilötietojen suojan kannalta merkityksellisiä säännöksiä. Henkilötietojen suoja varmistetaan myös näitä säädöksiä sovellettaessa pääosin rikosasioiden tietosuojalain säännöksillä. 

Toimivaltaisia viranomaisia rikosoikeusapuasioissa ovat oikeusministeriö, esitutkintaviranomaiset, syyttäjät ja tuomioistuimet. Keskinäiseen oikeusapuun rikosasioissa sisältyy muun muassa asiakirjojen tiedoksianto ja todisteiden hankkiminen rikostutkintaa tai oikeudenkäyntiä varten. Keskeisin kansainvälistä rikosoikeusapua koskeva säädös Euroopan unionin jäsenvaltioiden välillä on rikosasioita koskevasta eurooppalaisesta tutkintamääräyksestä annettu Euroopan parlamentin ja neuvoston direktiivi 2014/41/EU, jäljempänä tutkintamääräystä koskeva direktiivi. Suomessa direktiivi on pantu täytäntöön rikosasioita koskevaa eurooppalaista tutkintamääräystä koskevan direktiivin täytäntöönpanosta annetulla lailla (430/2017), joka tuli voimaan 3 päivänä heinäkuuta 2017. Syyttäjät kuuluvat poliisin ja tuomioistuinten lisäksi lain 5 §:ssä tarkoitettuihin täytäntöönpanoviranomaisiin ja voivat pykälän 3 momentissa säädetyissä tilanteissa päättää tutkintamääräyksen tunnustamisesta ja täytäntöönpanosta. Henkilötietojen suojan kannalta merkityksellisiä ovat erityisesti lain säännökset, jotka koskevat salassapitoa, vaitiolovelvollisuutta ja tietojen käyttöä koskevia rajoituksia. Laki sisältää lisäksi nimenomaisen rekisteröintivelvoitteen, jonka mukaan täytäntöönpanoviranomaisen tulee kirjata tunnustamista ja täytäntöönpanoa koskeva päätös. 

Suhteessa niihin jäsenvaltioihin tai sellaiseen rikosasioissa annettavaan oikeusapuun, joihin ei sovelleta tutkintamääräystä koskevaa direktiiviä, sovelletaan aikaisempaa sääntelyä. Keskeisimpiä kansainvälistä rikosoikeusapua koskevia monenvälisiä sopimuksia ovat Euroopan neuvoston keskinäistä oikeusapua rikosasioissa koskeva eurooppalainen yleissopimus (SopS 30/1981) ja sen toinen lisäpöytäkirja (SopS 34/2014), jäljempänä Euroopan neuvoston rikosoikeusapusopimus, ja keskinäisestä oikeusavusta rikosasioissa Euroopan unionin jäsenvaltioiden välillä vuonna 2000 tehty yleissopimus (SopS 56–57/2004). Kansainvälisestä oikeusavusta rikosasioissa säädetään lisäksi kansainvälisestä oikeusavusta rikosasioissa annetussa laissa (4/1994), jota kuitenkin pääsääntöisesti sovelletaan muihin kuin EU:n jäsenvaltioihin. Henkilötietojen suojan kannalta merkityksellisiä ovat erityisesti lain säännökset salassa pidettävien tietojen luovuttamisesta, asiakirjojen ja muiden tallenteiden salassapidosta, vaitiolovelvollisuudesta sekä tietojen käyttöä koskevista rajoituksista. 

Euroopan unionin jäsenvaltioiden välinen rikoksen johdosta tapahtuva luovuttaminen perustuu eurooppalaisesta pidätysmääräyksestä ja jäsenvaltioiden välisistä luovuttamismenettelyistä tehtyyn puitepäätökseen (2002/584/YOS), joka on pantu Suomessa täytäntöön rikoksen johdosta tapahtuvasta luovuttamisesta Suomen ja muiden Euroopan unionin jäsenvaltioiden välillä annetulla lailla (1286/2003). Laissa säädetään toimivaltaisista syyttäjistä ja eräistä näille kuuluvista tehtävistä. Lain mukaista yhteistyötä tehdään myös Euroopan syyttäjäviraston kanssa. Muiden kuin EU:n jäsenvaltioiden osalta rikoksen johdosta tapahtuva luovuttaminen perustuu kansainvälisiin sopimuksiin. Lisäksi sovellettavia säännöksiä sisältyy rikoksen johdosta tapahtuvasta luovuttamisesta Suomen ja muiden pohjoismaiden välillä annettuun lakiin (1383/2007). 

Rikosasiaa koskevia henkilötietoja saadaan toisista EU:n jäsenvaltioista myös muun muassa omaisuuden tai todistusaineiston jäädyttämistä koskevien päätösten täytäntöönpanon yhteydessä. Euroopan unionin rikosprosessuaalisen yhteistyön alalla on jo nykyään voimassa puitepäätökset vastavuoroisen tunnustamisen periaatteen soveltamisesta jäädyttämistä ja menetetyksi tuomitsemista koskeviin päätöksiin. Puitepäätös omaisuuden tai todistusaineiston jäädyttämistä koskevien päätösten täytäntöönpanosta Euroopan unionissa (2003/577/YOS, jäljempänä jäädyttämispuitepäätös) mahdollistaa osaltaan yhdessä jäsenvaltiossa tehdyn jäädyttämispäätöksen täytäntöönpanon siinä toisessa jäsenvaltiossa, jossa jäädytettävää omaisuutta on. Puitepäätös vastavuoroisen tunnustamisen periaatteen soveltamisesta menetetyksi tuomitsemista koskeviin päätöksiin (2006/783/YOS, jäljempänä konfiskaatiopuitepäätös) puolestaan koskee yhdessä jäsenvaltiossa annetun konfiskaatiotuomion lähettämistä pantavaksi täytäntöön toisessa jäsenvaltiossa, jossa menettämisseuraamuksen kohteena olevaa omaisuutta on.  

Edellä mainitut puitepäätökset on muiden jäsenvaltioiden kuin Irlannin ja Tanskan kanssa tehtävän yhteistyön osalta korvattu 14 päivänä marraskuuta 2018 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2018/1805 jäädyttämistä ja menetetyksi tuomitsemista koskevien päätösten vastavuoroisesta tunnustamisesta, jäljempänä konfiskaatioasetus. Puitepäätökset vastaavat sisällöllisesti pitkälti asetuksen sisältöä. Jäädyttämistä koskevien päätösten osalta asetus kuitenkin koskee vain jäädyttämistä myöhemmin tuomittavan menettämisseuraamuksen täytäntöönpanoa varten, sekä jäädyttämistä ja konfiskaatiota asianomistajan korvausvaatimuksen tueksi. Todistusaineiston jäädyttämistä koskevat säännökset sisältyvät puolestaan tutkintamääräystä koskevaan direktiiviin. 

Jäädyttämispuitepäätös on pantu kansallisesti täytäntöön lailla omaisuuden tai todistusaineiston jäädyttämistä koskevien päätösten täytäntöönpanosta Euroopan unionissa (540/2005, jäljempänä jäädyttämislaki). Konfiskaatioasetusta täydentävät kansalliset säännökset ovat laissa jäädyttämistä ja menetetyksi tuomitsemista koskevien päätösten vastavuoroista tunnustamista Euroopan unionissa koskevan asetuksen soveltamisesta (895/2020, jäljempänä konfiskaatioasetuksen soveltamislaki). Lakien mukaisesti pannaan täytäntöön toisen EU:n jäsenvaltion oikeusviranomaisen tekemä jäädyttämispäätös tai lähetetään Suomen oikeusviranomaisen tekemä jäädyttämispäätös täytäntöönpantavaksi toiseen EU:n jäsenvaltioon. Syyttäjän toimivaltuudet ovat samat riippumatta siitä, toimitaanko asetuksen vai puitepäätöksen nojalla. Jäädyttämislain 5 §:n ja konfiskaatioasetuksen soveltamislain 6 §:n nojalla syyttäjä on toimivaltainen hoitamaan jäädyttämispäätöksen täytäntöönpanoon liittyviä tehtäviä. Päätöksen jäädyttämispäätöksen lähettämisestä toiseen jäsenvaltioon tekee Suomessa syyttäjä tai syyttäjän pyynnöstä tuomioistuin. Konfiskaatioasetuksen soveltamislaissa tietosuojan kannalta merkityksellisiä ovat erityisesti sen säännökset salassapidosta, vaitiolovelvollisuudesta sekä tietojen käyttöä koskevista rajoituksista 

Myös neuvoston puitepäätös 2009/829/YOS vastavuoroisen tunnustamisen periaatteen soveltamisesta valvontatoimia koskeviin päätöksiin Euroopan unionin jäsenvaltioiden välillä tutkintavankeuden vaihtoehtona edellyttää henkilötietojen vaihtoa EU:n jäsenvaltioiden välillä. Kyseinen puitepäätös on pantu kansallisesti täytäntöön lailla tutkintavankeuden vaihtoehtona määrättyjä valvontatoimia koskevan puitepäätöksen lainsäädännön alaan kuuluvien säännösten kansallisesta täytäntöönpanosta ja puitepäätöksen soveltamisesta (620/2012). Lain ja puitepäätöksen mukaisesti Suomessa tunnustetaan ja pannaan täytäntöön toisessa EU:n jäsenvaltiossa tehty valvontatoimia koskeva päätös ja lähetetään toiseen EU:n jäsenvaltioon tunnustettavaksi ja täytäntöönpantavaksi Suomessa tehty valvontatoimia koskeva päätös. Puitepäätöksen tavoitteena on vähentää tilanteita, joissa henkilö joutuu tutkintavankeuteen ainoastaan sen vuoksi, ettei hänellä ole asuinpaikkaa asian käsittelyvaltiossa. Suomessa puitepäätöksen tarkoittama tutkintavankeuden vaihtoehto on matkustuskielto. Valvontatoimia koskevan päätöksen tunnustamisesta päättää laissa tarkoitettu aluesyyttäjä tai erikoissyyttäjä. Pakkokeinolaissa tarkoitettua vangitsemisvaatimusta käsittelevä tuomioistuin on toimivaltainen tekemään valvontatoimia koskevan päätöksen ja lähettämään sen toiseen jäsenvaltioon. Jos henkilöä ei esitetä vangittavaksi, toimivalta on asianomaiseen rikosasiaan määrätyllä syyttäjällä.  

Lisäksi syyttäjällä on eräitä tehtäviä vapausrangaistuksen ja muiden rikosoikeudellisten seuraamusten täytäntöönpanon siirtämistilanteissa. EU:n jäsenvaltioiden väliseen rikosoikeudelliseen yhteistyöhön sovelletaan erityisesti tuomittujen siirtoa koskevaa puitepäätöstä 2008/909/YOS, joka on saatettu voimaan lailla tuomittujen siirtoa Euroopan unionissa koskevan puitepäätöksen lainsäädännön alaan kuuluvien säännösten kansallisesta täytäntöönpanosta ja puitepäätöksen soveltamisesta (1169/2011) sekä valvontatoimenpiteiden ja vaihtoehtoisten seuraamusten siirtoa koskevaa puitepäätöstä 2008/947/YOS, joka on saatettu voimaan lailla valvontatoimenpiteitä ja vaihtoehtoisia seuraamuksia Euroopan unionissa koskevan puitepäätöksen lainsäädännön alaan kuuluvien säännösten kansallisesta täytäntöönpanosta ja puitepäätöksen soveltamisesta (1170/2011). Pohjoismaiden välillä vapausrangaistuksen, yhdyskuntapalvelun, ehdollisesti tuomitun valvonnan ja ehdonalaisen vapauden valvonnan siirtoihin sovelletaan ensisijaisesti edellä mainittujen puitepäätösten sijasta lakia Suomen ja muiden pohjoismaiden välisestä yhteistoiminnasta rikosasioissa annettujen tuomioiden täytäntöönpanossa (326/1963). 

Molemmissa edellä mainituissa rikosoikeudellisen yhteistyön puitepäätöksissä toimivaltainen viranomainen on pääsääntöisesti Rikosseuraamuslaitos, mutta syyttäjillä ja tuomioistuimilla on joitakin tehtäviä. Tuomittujen siirroissa osa syyttäjän tehtävistä voi liittyä suoranaisesti syyttäjän toimintaan rikosasian käsittelyssä, kun taas osa syyttäjän tehtävistä liittyy tuomion mukauttamista koskevan vaatimuksen viemiseen käräjäoikeuteen. Valvontatoimenpiteiden ja vaihtoehtoisten seuraamusten siirroissa toimivalta tehdä mukauttamista koskeva päätös on eräissä tilanteissa Rikosseuraamuslaitoksella ja eräissä tilanteissa käräjäoikeudella. Käräjäoikeuteen vietävissä mukauttamisasioissa syyttäjä tekee vaatimuksen käräjäoikeudelle. Molemmissa instrumenteissa syyttäjä voi myös valittaa käräjäoikeuden ratkaisusta hovioikeuteen.  

Rikosoikeudelliseen yhteistyöhön liittyvää henkilötietojen vaihtoa jäsenvaltioiden välillä tapahtuu myös rikosoikeudellisia menettelyjä koskevien toimivaltaristiriitojen ehkäisemisestä ja ratkaisemisesta tehdyn neuvoston puitepäätöksen (2009/948/YOS) nojalla. Puitepäätös koskee tilanteita, joissa kahdella tai useammalla EU:n jäsenvaltiolla on toimivalta käsitellä oikeudenkäyntiä edeltävässä vaiheessa (esitutkinta, syytetoimet) samaa henkilöä koskevia samoja tosiseikkoja rikosoikeudellisessa menettelyssä. Puitepäätöksen tavoitteena on ehkäistä ja ratkaista toimivaltaristiriitoja ja siten välttää tarpeettomia päällekkäisiä rikosprosesseja. Puitepäätös sisältää säännöksiä tietojenvaihtomenettelyistä sekä siitä, kuinka jäsenvaltioiden tulisi menetellä sopiakseen parhaiten tapaukseen soveltuvasta oikeuspaikasta. Puitepäätös on pantu täytäntöön lailla rikosoikeudellisia menettelyjä koskevien toimivaltaristiriitojen ehkäisemisestä ja ratkaisemisesta sekä esitutkinnan ja syytetoimien siirtämisestä Suomen ja muiden Euroopan unionin jäsenvaltioiden välillä (295/2012). Lain mukaan päätöksen esitutkinnan siirtämisestä toisesta jäsenvaltiosta Suomeen tekee tutkinnanjohtaja saatuaan syyttäjän suostumuksen. Kuitenkin jos rikoksen tutkiminen Suomessa edellyttää valtakunnansyyttäjän syytemääräystä, esitutkinnan siirtämisestä Suomeen päättää syyttäjä. Päätöksen esitutkinnan siirtämisestä Suomesta toiseen jäsenvaltioon tekee puolestaan syyttäjä tutkinnanjohtajan esityksestä. Syytetoimien siirtämisestä päättää syyttäjä. 

Euroopan parlamentin ja neuvoston asetus (EU) 3011/2024 rikosoikeudellisten menettelyjen siirtämisestä hyväksyttiin 5.11.2024. Asetus tuli voimaan 7.1.2025 ja sitä sovelletaan 1.2.2027 lähtien. Asetuksen 1 artiklan 2 kohdan mukaisesti asetusta sovelletaan jatkossa kaikkiin tapauksiin, jotka koskevat jäsenvaltiossa vireillä olevien rikosoikeudellisten menettelyjen siirtämistä. Asetuksen soveltamisalaa ei siten ole rajattu koskemaan vain oikeudenkäyntiä edeltävää vaihetta. Lisäksi asetuksen johdanto-osan 8 kappaleesta ilmenee, että jos toimivaltaiset viranomaiset päättävät puitepäätöksen 2009/948/YOS mukaisten neuvottelujen jälkeen keskittää menettelyt yhteen jäsenvaltioon siirtämällä rikosoikeudellisen menettelyn, myös tällainen siirto olisi toteutettava rikosoikeudellisten menettelyjen siirtämisestä annetun asetuksen mukaisesti. 

Rikosoikeudellisten menettelyiden siirtämistä koskeviin pyyntöihin liittyy henkilötietojen ja muiden tietojen vaihtoa jäsenvaltioiden viranomaisten välillä. Rikosoikeudellisten menettelyjen siirtämisestä annetun asetuksen johdanto-osan 70 kappaleesta ilmenee asetuksen suhde tietosuojalainsäädäntöön. Asetus muodostaa oikeusperustan henkilötietojen vaihdolle rikosasioiden tietosuojadirektiivin 8 artiklan ja 10 artiklan a alakohdan mukaisesti. Kyseisen johdanto-osan kappaleen mukaisesti Syyttäjälaitoksen henkilötietojen käsittelyyn sovellettaisiin myös näissä tilanteissa muilta osin rikosasioiden tietosuojalakia. Muista edellä mainituista säädöksistä poiketen asetuksessa täsmennetään rekisterinpitäjä. Syyttäjälaitosta pidettäisiin rekisterinpitäjänä silloin, kun se on pyynnön esittävä viranomainen. Siinä tapauksessa, että menettelyn siirtämistä koskeva pyyntö tehtäisiin tai vastaanotettaisiin keskusviranomaisen välityksellä, keskusviranomaista pidettäisiin henkilötietojen käsittelijänä. 

Syyttäjälaitoksen henkilötietojen käsittelyyn voi seurata vaikutuksia myös muusta unionin oikeudesta, erityisesti rikostorjuntaa koskevasta lainsäädännöstä, esimerkiksi jos säädöksestä johtuu tarve tarkastella rikosprosessin osapuolten tietosuojaan liittyvien suojatoimien riittävyyttä. Naisiin kohdistuvan väkivallan ja perheväkivallan torjumisesta annettu direktiivi (EU) 2024/1385 tuli voimaan 13.6.2024. Jäsenvaltioiden on saatettava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset voimaan viimeistään 14 päivänä kesäkuuta 2027. Direktiivi sisältää naisiin kohdistuvan väkivallan ja perheväkivallan ehkäisemistä ja torjumista koskevat vähimmäissäännöt EU-tasolla. Säännöt koskevat rikosten ja seuraamusten määrittelyä, uhrien oikeuksia, uhrien suojelua ja tukemista sekä ennaltaehkäisyä ja varhaista tilanteeseen puuttumista. Direktiivi sisältää eräitä säännöksiä, joilla voi olla esitutkintaviranomaisten lisäksi merkitystä myös Syyttäjälaitoksen henkilötietojen käsittelyn kannalta. Henkilötietojen suojan kannalta merkityksellisiä säännöksiä ovat esimerkiksi rikosasian kirjaamiseen ja todistusaineiston säilyttämiseen sekä uhrin suojeluntarpeen arviointiin liittyvät velvoitteet. Direktiivissä tarkoitettu tietojen käsittely koskee arkaluonteisia tietoja. Direktiivissä ei säädetä erityisesti niitä koskevista, syyttäjiin sovellettavista suojatoimista. 

Syyttäjälaitoksen henkilötietojen käsittelyn kannalta merkityksellisiä säännöksiä sisältyy myös rikoksen uhrien oikeuksia, tukea ja suojelua koskevista vähimmäisvaatimuksista annettuun Euroopan parlamentin ja neuvoston direktiiviin (2012/29/EU), jäljempänä uhridirektiivi. Uhridirektiivissä vahvistetaan rikoksen uhrien oikeuksia, tukea ja suojelua koskevat vähimmäisvaatimukset. Voimassa olevassa direktiivissä syyttäjiä koskevat erityisesti syyttämättäjättämispäätösten uudelleen käsittelyyn liittyvät uhrin oikeudet. Direktiivi ei kuitenkaan sisällä varsinaisia henkilötietojen käsittelyn erityissäännöksiä, joita sovellettaisiin Syyttäjälaitoksen henkilötietojen käsittelyyn. Direktiivissä kuitenkin säädetään esimerkiksi uhrin oikeudesta yksityiselämän suojaan sekä erityisten suojelutarpeiden arviointiin, jossa huomioidaan muun muassa alttius toissijaiselle ja toistuvalle uhriksi joutumiselle, pelottelulle ja kostotoimille. Myös uhridirektiiviin perustuva rikoksen uhrien tietojen käsittely koskee arkaluonteisia tietoja. Euroopan komissio antoi heinäkuussa 2023 ehdotuksen uhridirektiivin muuttamisesta (COM/2023/424 final). Ehdotus sisältää säännöksen, jonka mukaan jäsenvaltioiden on varmistettava, että rikoksentekijälle ei suoraan tai välillisesti anneta uhria koskevia henkilötietoja, joiden avulla rikoksentekijä voi määrittää uhrin asuinpaikan tai muutoin ottaa yhteyttä uhriin millään tavalla. Muutosdirektiivin neuvottelut ovat vielä kesken.  

Euroopan neuvoston yleissopimus naisiin kohdistuvan väkivallan ja perheväkivallan ehkäisemisestä ja torjumisesta (Istanbulin sopimus) tuli Suomen osalta voimaan 1.8.2015 (laki naisiin kohdistuvan väkivallan ja perheväkivallan ehkäisemisestä ja torjumisesta tehdyn Euroopan neuvoston yleissopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta (SopS 52/2015) ja asetus naisiin kohdistuvan väkivallan ja perheväkivallan ehkäisemisestä ja torjumisesta tehdyn Euroopan neuvoston yleissopimuksen voimaansaattamisesta sekä yleissopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta annetun lain voimaantulosta (SopS 53/2015)). Sopimus sisältää määräyksiä syytetoimista. Istanbulin sopimus on toiminut viitekehyksenä myös edellä mainitulle naisiin kohdistuvan väkivallan ja perheväkivallan torjumisesta annetulle direktiiville. 

Syyttäjät käsittelevät henkilötietoja myös EU:n virastoja koskevan lainsäädännön mukaisessa yhteistyössä, josta osa tapahtuu Euroopan oikeudellisen verkoston puitteissa. Euroopan rikosoikeudellisen yhteistyön virasto (Eurojust) on EU:n virasto, joka tukee kansallisia tutkinta- ja syyttäjäviranomaisia vakavien rajat ylittävien rikostapausten käsittelyssä. Eurojust huolehtii tutkinta- ja syytetoimiin liittyvästä jäsenvaltioiden toimivaltaisten viranomaisten keskinäisestä tietojenvaihdosta. Eurojustin ja jäsenvaltioiden välinen tietojenvaihto tapahtuu EU:n jäsenvaltioiden kansallisten jäsenten välityksellä. Eurojust voi toimia jäsenvaltion toimivaltaisen viranomaisen tai Euroopan syyttäjänviraston (EPPO) aloitteesta tai omasta aloitteestaan. Eurojust ei kuitenkaan käytä toimivaltaansa sellaisten rikosten osalta, joissa EPPO käyttää omaa toimivaltaansa. EPPO vastaa unionin taloudellisia etuja vahingoittavien rikosten tutkimisesta sekä kyseisten rikosten tekijöiden ja niihin osallisten asettamisesta syytteeseen ja saattamisesta tuomittaviksi. Tätä varten EPPO toteuttaa tutkinta- ja syytetoimia sekä hoitaa syyttäjän tehtäviä jäsenvaltioiden toimivaltaisissa tuomioistuimissa siihen asti, kun asia on lopullisesti ratkaistu. EPPO on toimivaltainen käyttämään EPPO-asetuksessa tarkoitettua tutkinta- ja syytetoimivaltaa Suomessa. Euroopan oikeudellista verkostoa käytetään asioissa, joissa Eurojust ei ole toimivaltainen, eli muissa kuin vakavissa rajat ylittävissä rikosasioissa, esimerkiksi toimivaltaisen viranomaisen tai sovellettavan lainsäädännön selvittämiseen. Syyttäjälaitoksen osalta henkilötietojen käsittelyä voi liittyä esimerkiksi oikeusapupyyntöjen välittämiseen, jos verkostoa hyödynnetään kyseistä tarkoitusta varten. 

Euroopan unionin rikosoikeudellisen yhteistyön virastosta (Eurojust) ja neuvoston päätöksen 2002/187/YOS korvaamisesta ja kumoamisesta annettu Euroopan parlamentin ja neuvoston asetus (EU) 2018/1727 (Eurojust-asetus) sisältää myös Syyttäjälaitokseen sovellettavia säännöksiä, jotka ovat merkityksellisiä henkilötietojen käsittelyn kannalta. Eurojust-asetuksen mukaan kansallisilla jäsenillä tulee olla pääsy rikosasioissa käytettäviin rekistereihin tai vähintään oikeus saada tietoja tällaisista rekistereistä. Rekisterien tulee kattaa ainakin rikosrekisteritiedot, pidätettyjä koskevat tiedot, esitutkintatiedot ja DNA-tiedot, mutta kansallisesta järjestelmästä riippuen myös muita rekistereitä voi tulla kyseeseen. Kansallisilla jäsenillä on velvollisuus asetuksen nojalla vaihtaa laajalti asetuksessa täsmennettyihin törkeisiin rikoksiin liittyviä tietoja, jotka liittyvät Eurojustin tehtävien hoitamiseen. Nämä tiedot voivat sisältää myös erityisiin henkilötietoryhmiin kuuluvia tai muutoin arkaluonteisia tietoja, mukaan lukien ääni- ja videotallenteet. Laki Suomen osallistumisesta Euroopan unionin rikosoikeudellisen yhteistyön viraston (Eurojust) toimintaan (1232/2019) sisältää säännökset (7–9 §) kansallisten toimivaltaisten viranomaisten kanssa tehtävästä yhteistyöstä sekä Eurojustin kansallisen jäsenen tiedonsaantioikeudesta ja oikeudesta käsitellä ja luovuttaa henkilötietoja salassapitosäännösten estämättä Eurojustille, sekä luvan antaminen henkilötietojen siirtämiseen kolmannelle maalle tai kansainväliselle järjestölle. Lain 8 §:n mukaisesti syyttäjän tiedonsaantioikeuteen sovelletaan lisäksi Syyttäjälaitoksesta annetun lain 22 §:n ja rikosrekisterilain (770/1993) säännöksiä, kun kyse on kansallisen jäsenen Eurojust-asetuksen mukaisten tehtävien hoitamisesta. 

Tiiviimmän yhteistyön toteuttamisesta Euroopan syyttäjänviraston (EPPO) perustamisessa annettu neuvoston asetus (EU) 2017/1939 (EPPO-asetus) sisältää EPPOn henkilötietojen käsittelyä koskevat, suoraan sovellettavat säännökset henkilötietojen suojasta. Asetuksessa säädetään myös Euroopan tietosuojavaltuutetun ja kansallisten valvontaviranomaisten välisestä yhteistyöstä. Laki Suomen osallistumisesta Euroopan syyttäjänviraston (EPPO) toimintaan (66/2021) sisältää syyttäjien suorittaman henkilötietojen käsittelyn osalta EPPO-asetusta täydentävät säännökset muun muassa ylimääräisen tiedon ja henkilötuntomerkkien luovuttamisesta, päätöksen tiedoksiannosta sekä Euroopan syyttäjän ja valtuutetun Euroopan syyttäjän tiedonsaantioikeudesta. Lain 14 §:n mukaisesti Syyttäjälaitoksesta annetun lain 22 §:n säännöksiä syyttäjän tiedonsaantioikeudesta sovelletaan myös Euroopan syyttäjään ja valtuutettuun Euroopan syyttäjään näiden hoitaessa EPPO-asetuksen mukaisia tehtäviään. Mitä tietojen luovuttamisesta syyttäjälle säädetään henkilötietojen käsittelystä poliisitoimessa annetussa laissa (616/2019), henkilötietojen käsittelystä Rajavartiolaitoksessa annetussa laissa (639/2019), henkilötietojen käsittelystä Tullissa annetussa laissa (650/2019) ja muussa laissa, sovelletaan myös tietojen luovuttamiseen Euroopan syyttäjälle ja valtuutetulle Euroopan syyttäjälle näiden hoitaessa EPPO-asetuksen mukaisia tehtäviään. Laki sisältää myös säännökset pääsyoikeuden myöntämisestä asiainhallintajärjestelmään ja ennakkoluvan myöntämisestä henkilötietojen edelleen siirtämiseen kolmannelle maalle tai kansainväliselle järjestölle. 

Rikosasioiden tietosuojadirektiivi ei lähtökohtaisesti vaikuta kolmansien valtioiden kanssa tehtyjen, voimassa olevien kahden- tai monenvälisten sopimusten mukaisiin jäsenvaltioiden tai unionin velvoitteisiin ja sitoumuksiin, jollei sopimuksia muuteta. Rikosasioiden tietosuojadirektiivin 61 artiklan mukaan henkilötietojen siirtoa kolmansiin maihin tai kansainvälisille järjestöille edellyttävät kansainväliset sopimukset, joita jäsenvaltiot ovat tehneet ennen 6 päivää toukokuuta 2016 ja jotka ovat unionissa kyseisenä päivänä voimassa olleen oikeuden mukaisia, ovat edelleen voimassa, kunnes niitä muutetaan tai ne korvataan tai kumotaan. Tällaisia sopimuksia ovat esimerkiksi useat EU:n ja Suomen kolmansien maiden kanssa tekemät sopimukset kansainvälisestä oikeusavusta rikosasioissa ja rikoksen johdosta tapahtuvasta luovuttamisesta.  

3.5  Arviointia

Rikosasioiden tietosuojalaki kattaa syyttäjien osalta kaikki henkilötietojen käsittelytarkoitukset, kun kyse on syyteharkinnasta ja muusta rikokseen liittyvästä syyttäjän toiminnasta. Henkilötietojen käyttötarkoituksista ei ole tarpeen säätää kahteen kertaan. Siltä osin kuin henkilötietoja on kuitenkin tarpeen käyttää muuhun kuin niiden alkuperäiseen keräämistarkoitukseen, asiasta olisi tarpeen säätää nimenomaisesti laissa. 

Rikosasioiden tietosuojalaki mahdollistaa sen säännöksistä poikkeamisen erityislaissa, edellyttäen, että direktiivissä säädetty tietosuojan taso säilyy. Rikosasioiden tietosuojalain säännöksistä poikkeavassa erityislainsäädännössä on yleissäädösten asettamien vaatimusten lisäksi otettava huomioon perustuslaista, EU:n perusoikeuskirjasta ja kansainvälisistä ihmisoikeusvelvoitteista johtuvat vaatimukset. Perustuslakivaliokunta on tarkistanut tietosuojauudistusta koskevien hallituksen esitysten käsittelyn yhteydessä tulkintakäytäntöään, joka koskee henkilötietojen käsittelyä koskevalta erityislainsäädännöltä edellytettävää kattavuutta ja yksityiskohtaisuutta. Ehdotettujen säännösten suhdetta perus- ja ihmisoikeusvelvoitteisiin arvioidaan esityksen jaksossa 12. 

Rikosasian osapuolten perusoikeuksien rajoittaminen, mukaan lukien yksityiselämän ja henkilötietojen suoja, tapahtuu jo sillä hetkellä, kun esitutkintaviranomainen rekisteröi asian tai siihen liittyviä henkilötietoja omaan tietojärjestelmäänsä. Esitutkintaan liittyvät tiedot ovat jo sellaisenaan valtiosääntöisesti arkaluonteisia, minkä lisäksi esitutkinta-aineisto voi sisältää yksittäisiä erityiseen henkilötietoryhmään kuuluvia tietoja tai muita arkaluonteisia tietoja. Esitutkinta-aineistoa ei nykyisin rekisteröidä syyttäjien toimesta erikseen, mutta syyttäjä saa tiedon esitutkinnasta ja asia siirretään syyteharkintaan sen mukaisesti, mitä esitutkintalaissa säädetään. Toisaalta syyttäjien osalta prosessin kesto määräytyy sen perusteella, milloin asia saapuu syyteharkintaan.  

Kuten kumottu henkilötietodirektiivi, myös rikosasioiden tietosuojadirektiivi on tarkoitettu sovellettavaksi sekä henkilörekistereihin että kaikkeen automatisoituun henkilötietojen käsittelyyn. Myös henkilötietolakia (523/1999) sovellettiin rikosasioiden tietosuojalakia vastaavasti kaikkeen henkilötietojen automaattiseen käsittelyyn. Muuhun kuin automatisoituun henkilötietojen käsittelyyn on sovellettu jo aiemmin henkilötietolakia silloin, kun henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa. Henkilörekistereistä ja niiden yksityiskohtaisesta tietosisällöstä on perustuslakivaliokunnan tulkintakäytännön huomioimiseksi tyypillisesti säädetty erikseen erityislainsäädännössä silloin, kun yksityiskohtaisempaa sääntelyä on pidetty tarpeellisena. Henkilörekistereistä säätäminen voisi olla läpinäkyvyyden ja rekisteröidyn oikeuksien käyttämisen kannalta perusteltua esimerkiksi siinä tapauksessa, että syyttäjät käsittelisivät rikosasioihin liittyviä henkilötietoja useassa rekisterissä. Tällaista sääntelyä on voimassa muun muassa Rikosseuraamuslaitoksen osalta. 

Syyttäjät sinänsä käsittelevät henkilötietoja lähtökohtaisesti useassa rekisterissä tai tietojärjestelmässä. Rikosasioihin liittyvät henkilötiedot sisältyvät kuitenkin pääosin samaan rikosasioita varten osoitettuun käsittelyjärjestelmään tai tietovarantoon. Lisäksi Syyttäjälaitoksen suorittaman henkilötietojen käsittelyn osalta ei ole mahdollista ennakoida, mitä henkilötietoja syyttäjän käsiteltäväksi tulevaan rikosasiaan tai esitutkinta-aineistoon sisältyy. Siten yksityiskohtaisesta rekisteristä tai rekisterin tietosisällöstä säätäminen ei olisi tarkoituksenmukaista, eikä sillä olisi erityistä henkilötietojen suojaa vahvistavaa vaikutusta siten kuin rikosasioiden tietosuojadirektiivi edellyttää.  

Rikosasioiden tietosuojalaista seuraa myös useita vaatimuksia, jotka liittyvät esimerkiksi tietojärjestelmien, rekisterien tai tietovarantojen tietoturvallisuuteen, ja muita suojatoimia. Nämä suojatoimet ovat pääosin samansisältöisiä kuin yleisessä tietosuoja-asetuksessa. Rikosasioiden tietosuojalaissa on myös eräitä, rikosasian luonteen huomioivia erityisiä vaatimuksia, joita ei sisälly yleiseen tietosuoja-asetukseen. Näitä ovat erityisesti eri rekisteröityjen ryhmiä koskevien henkilötietojen säilyttäminen mahdollisuuksien mukaan toisistaan erillään sekä lokitietoja koskevat yksityiskohtaiset vaatimukset. Erityissääntelystä olisi hallituksen esityksessä muodostetun arvion mukaan syytä pidättäytyä siltä osin kuin sille ei ole osoitettavissa erityisiä tarpeita, esimerkiksi sääntelyn läpinäkyvyyden lisäämiseksi rekisteröidyn oikeuksien käyttämisen kannalta tai tiukemmista käsittelyn edellytyksistä säätämiseksi. 

Huomioiden edellä todetun, Syyttäjälaitoksen osalta ei olisi tarkoituksenmukaista säätää yksityiskohtaisesta rikosasioiden käsittelyjärjestelmän tietosisällöstä. Tietojärjestelmän tai rekisterin yksityiskohtaisesta tietosisällöstä säätäminen voisi lisäksi vaikeuttaa rikosasioiden käsittelyjärjestelmän teknistä toteutusta. Tietosisällön yksityiskohtainen kuvaus lain tasolla tekisi sääntelystä läpinäkyvämpää rekisteröidyn kannalta, mutta kattava ja yksityiskohtainen tietosisällöstä säätäminen ei välttämättä vahvistaisi rekisteröidyn tietosuojaa. Rekisteröidyn informointiin riittäisi tieto siitä, mihin häntä koskevia tietoja rikosasiassa on rekisteröity ja mikä tietojen käyttötarkoitus on, sekä käsiteltävien tietojen sisällön kuvaaminen tietosuojaselosteessa. Syyttäjien tehtäviin ei myöskään liity sellaisia tilanteita, joissa rikokseen liittyvien tietojen käsittely voisi jatkua pitkään ilman, että asianosaiset ja muut rikokseen liittyvät henkilöt saavat tiedon henkilötietojensa rekisteröinnistä. Rekisteröidyn oikeuksien kannalta pitkälle menevinä rajoitustoimina voidaan pitää erityisesti sellaisia tilanteita, joissa rekisteröidyn tarkastusoikeutta on rajoitettu, mutta rekisteröity ei ole tietoinen siitä, että häntä koskeva asia on rekisteröity toimivaltaisen viranomaisen toimesta. Tiedonhallintalaista seuraa yleinen asianhallintaan liittyvä rekisteröintivelvoite. Edellä syyttäjien tehtäviin sovellettavaa lainsäädäntöä, EU-lainsäädäntöä ja kansainvälisiä sopimuksia koskevasta nykytilan kuvauksesta ilmenee, että nimenomainen rekisteröintivelvoite sisältyy vain yksittäiseen säädökseen. Näistä säädöksistä ei myöskään seuraa tarkempirajaista velvoitetta siitä, että rekisterimerkintä tulisi tehdä nimenomaisesti rikosasioita varten osoitettuun rekisteriin tai järjestelmään. 

Erityisiin henkilötietoryhmiin liittyvä henkilötietojen käsittely voisi edellyttää rikosasioiden tietosuojalakia yksityiskohtaisempia ja tarkkarajaisempia säännöksiä. Syyttäjien osalta ei ole edellä mainituista syistä kuitenkaan mahdollista ennakoida myöskään sitä, mitä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja esitutkinta-aineisto voisi sisältää. Esitutkintaviranomaisia koskevassa erityislainsäädännössä on sallittu erityisten henkilötietoryhmien käsittely varsin väljästi. Siten lähtökohtaisesti mitä tahansa niistä voisi olla tarpeen tallentaa rikosasioiden käsittelyjärjestelmään. Erityisiin henkilötietoryhmiin kuuluvia tietoja voisivat olla esimerkiksi rikoksesta epäillyn tai uhrien terveydentilaan liittyvät tiedot. Tällaisten tietojen käsittelytarpeiden huomioimiseksi laissa olisi tarkoituksenmukaisempaa säätää ylimääräisistä suojatoimista erityisiin henkilötietoryhmiin kuuluvien tietojen suojan vahvistamiseksi. Rikosasioiden tietosuojalaissa edellytetään, että tiedot ovat välttämättömiä, mutta se ei sisällä tarkempia säännöksiä sovellettavista suojatoimista. Myöskään tiedonhallintalain säännökset tietoturvallisuutta koskevista velvoitteista eivät liity erityisesti siihen, että kyse olisi erityisiin henkilötietoryhmiin kuuluvista tai muutoin arkaluonteisista henkilötiedoista. Huomioitava on myös se, että rikosasiaa koskevat tiedot ovat jo sellaisenaan arkaluonteisia tietoja sen lisäksi, että ne voivat sisältää erityisiin henkilötietoryhmiin kuuluvia tietoja. Syyttäjälaitoksesta annettu laki sisältää säännökset syyttäjien vaitiolovelvollisuudesta ja vaitiolo-oikeudesta, mutta ei muita soveltuvia suojatoimia. Myöskään oikeushallinnon valtakunnallisesta tietovarannosta annettu laki ei sisällä erityisiä rikosasioiden käsittelyjärjestelmään sovellettavia suojatoimia. 

Esityksen valmistelun aikana on arvioitu lisäksi sitä, mihin muihin tilanteisiin kuin erityisten henkilötietoryhmien käsittelyyn voi liittyä syyttäjien toiminnassa tavanomaista korkeampia riskejä yksityiselämän suojalle. Tällaisia riskejä on tunnistettu liittyvän erityisesti rikosasian todistajien ja poliisin tietolähteiden henkilötietojen käsittelyyn, sekä rikoksen uhrien henkilötietojen käsittelyyn. Syyttäjiä koskeva lainsäädäntö ei sisällä yksityiskohtaisia säännöksiä henkilötietojen tai muiden tietojen luovuttamisesta, eikä niiden luovuttamiseen kohdistuvia erityisiä rajoituksia. Sen sijaan esitutkintaviranomaisten käsittelemien henkilötietojen luovuttamisesta salassapitosäännösten estämättä säädetään yksityiskohtaisesti viranomaisia koskevissa erityislaeissa. Lisäksi yleisöjulkisten rekisterien osalta yhteystietojen luovuttamista on usein laissa rajoitettu. Syyttäjälaitoksesta annettu laki ei sisällä myöskään tällaisten tietojen käsittelyyn sovellettavia erityisiä suojatoimisäännöksiä. Erityisesti rikoksen todistajat ja uhrit, mutta joskus myös rikoksesta epäillyt henkilöt voivat olla alttiita uhkailulle ja erilaisille kostotoimille, joita voi olla vaikea ennakoida. Yhteystietojen päätyminen uhkailua tai väkivaltaa suunnittelevalle rikoksesta epäillylle tai sivulliselle voisi vesittää tavoitteet suojella kyseisiä henkilöitä esimerkiksi rikosprosessuaalisin keinoin. Poliisin toimintaympäristöä koskevasta selvityksestä ilmenee, että rikosprosessin asianomistajiin ja todistajiin kohdistuva uhkailu on lisääntynyt (Poliisi, Toimintaympäristöanalyysi, osa 1/2, ulkoinen toimintaympäristö). Uhkailua voi liittyä esimerkiksi lähisuhdeväkivaltaan ja järjestäytyneeseen rikollisuuteen. 

Naisiin kohdistuvan väkivallan ja perheväkivallan torjumisesta annettu direktiivi ja lähiaikoina annettava muutettu uhridirektiivi sisältävät uusia suojatoimia myös henkilötietojen käsittelyn osalta. Erityisesti uhridirektiivi tulee edellyttämään rikoksen uhrin yhteystietojen luovuttamisen rajoittamista. Direktiivin säännökset eivät kuitenkaan riitä kattamaan muiden rikosprosessin osapuolten tai todistajien yhteystietoja. Vaikka rikosprosessin osapuolella tai todistajalla on mahdollisuus itse pyytää yhteystietojensa salaamista ja tehdä tietojenluovutuskieltoja väestötietojärjestelmään, nämä toimenpiteet eivät takaa aukotonta suojaa. Erityisesti väestötietojärjestelmässä tehdyt kiellot eivät turvakieltoa lukuun ottamatta välity eteenpäin muiden viranomaisten järjestelmiin. 

Rekisteröidyn oikeuksien kannalta tiedonsaanti tai tietoisuus vireillä olevasta asiasta tarkoittaa myös, että rekisteröity voi käyttää oikeuksiaan joko suoraan tai tietosuojavaltuutetun välityksellä siten kuin rikosasioiden tietosuojalaissa säädetään ja varmistua henkilötietojen käsittelyn lainmukaisuudesta. Rekisteröidyn käytettävissä on myös muita oikeussuojakeinoja. Siinä vaiheessa, kun esitutkinta-aineisto valmistuu ja siirretään syyteharkintaan, rikosasian osapuolet ovat tietoisia asiasta eikä syyttäjän toimenpiteistä sellaisenaan seuraa sellaisia perusoikeuksien rajoitustoimenpiteitä, jotka olisivat merkittävämpiä kuin esitutkinnasta tai pakkokeinoista seuraavat rajoitukset. Rekisteröidyn oikeuksia ei ole syyttäjien tehtäviin liittyvän henkilötietojen käsittelyn osalta rajoitettu erikseen sen lisäksi, mitä rikosasioiden tietosuojalaissa säädetään. Esityksen valmistelun aikana ei ole noussut yhteystietojen luovuttamisen rajoittamista lukuun ottamatta esiin tarpeita säätää ylimääräisistä rajoituksista rikosprosessin intressien turvaamiseksi. 

Hallituksen esityksen valmistelua edeltäneessä esiselvitysvaiheessa on käyty läpi kokonaisuudessaan syyttäjien tiedonsaantioikeuksia ja tietojen luovuttamista koskevat säännökset. Tietovarantolain voimassa olevat säännökset voivat aiheuttaa tulkintaepäselvyyttä siitä, kenellä on oikeus luovuttaa tietoja järjestelmästä, koska rikosasioiden käsittelyjärjestelmä kytkeytyy oikeushallinnon valtakunnalliseen tietovarantoon, vaikka Syyttäjälaitoksen käyttämä rikosasioiden käsittelyjärjestelmä on siitä teknisesti erillinen järjestelmä. Nykytilan selkiyttäminen olisi tarpeen. Muilta osin syyttäjien tiedonsaanti- ja tiedonluovutusoikeuksissa ei ole paikannettu selviä puutteita. 

Valmistelun aikana on lisäksi arvioitu syyttäjien oikeutta käsitellä henkilötietoja muihin kuin niiden alkuperäisiin käsittelytarkoituksiin. Rikosasioiden tietosuojalaki luo oikeusperustan syyttäjien oikeudelle käsitellä henkilötietoja syyteharkinnassa ja muussa rikokseen liittyvässä syyttäjän toiminnassa. Lisäksi tietovarantolain 11 §:n mukaisesti oikeushallinnon viranomainen saa salassapitosäännösten estämättä käyttää tietovarantoon tallentamiaan tietoja niiden käyttötarkoituksen mukaisesti lakisääteisten tehtäviensä hoitamisessa. Voimassa olevan tietosuojalain 4 §:n säännökset mahdollistavat henkilötietojen käsittelyn yleistä etua koskevan tehtävän hoitamiseksi silloin, kun kyse on muusta kuin rikosasioiden tietosuojalain soveltamisalaan kuuluvasta henkilötietojen käsittelytarpeesta. Nämä säännökset olisivat lähtökohtaisesti riittävät kattamaan syyttäjien ja myös muiden viranomaisten tarpeet käsitellä henkilötietoja omien tehtäviensä hoitamisessa ainakin siltä osin kuin on kyse henkilötietojen käsittelystä niiden alkuperäisen keräämistarkoituksen kanssa yhteensopivaan tarkoitukseen. Erityisesti rikosasioiden tietosuojalain ja tietovarantolain säännökset, jotka korostavat käyttötarkoitussidonnaisuuden vaatimusta, kuitenkin vaikuttaisivat rajoittavan syyttäjien ja muiden oikeushallinnon viranomaisten oikeutta käsitellä tietovarantoon tallentamiaan henkilötietoja niiden alkuperäisestä keräämistarkoituksesta poikkeaviin tarkoituksiin. Käsittelytarpeita voi liittyä esimerkiksi viranomaisen toiminnan suunnittelu- ja kehittämistehtäviin tai valvontatarkoituksiin. 

4.1  Keskeiset ehdotukset

4.2  Pääasialliset vaikutukset

5.1  Vaihtoehdot ja niiden vaikutukset

Rikosasioiden tietosuojalakia täydentävän sääntelyn vaihtoehtoisina toteutustapoina on arvioitu erillissääntelyä ja voimassa olevan Syyttäjälaitoksesta annetun lain täydentämistä tarvittavilla erityissäännöksillä henkilötietojen käsittelystä. Lisäksi rekisterinpitoa koskevan täsmennystarpeen osalta on arvioitu sitä, riittääkö rekisterinpitovastuun täsmentäminen Syyttäjälaitoksen osalta vai tarvitaanko lisäksi muutoksia oikeushallinnon valtakunnallisesta tietovarannosta annettuun lakiin. 

Uusi henkilötietojen käsittelyä koskeva erillislaki olisi tarkoituksenmukaisin ratkaisu lähinnä siinä tapauksessa, että syyttäjiä koskevaan henkilötietojen käsittelyyn liittyvään sääntelyyn liittyisi runsaasti puutteita. Erillislakia voisi puoltaa tarve säätää rikosasioihin käytettävästä tietojärjestelmästä tai rekisteristä, erityisesti jos sääntelyltä edellytettäisiin runsaasti yksityiskohtia. Erillislaki voisi olla myös tarkoituksenmukainen, jos syyttäjien tehtävien hoitamiseen liittyvä henkilötietojen käsittely sisältäisi merkittäviä riskejä tietosuojan kannalta siinä määrin, että laissa olisi tarpeen säätää esimerkiksi laajalti yksityiskohtaisemmista suojatoimista. Koska rikosasioiden tietosuojalaki tarjoaa sen tietosuojan vähimmäistason, jota direktiivi edellyttää, erillissääntelyn tulisi perustuslain tulkintakäytäntö huomioiden tarjota sitä vahvempi tietosuojan taso. Lisäksi perustuslain tulkintakäytäntö huomioiden, erillissääntely olisi tarkoituksenmukaista rajata riskiperusteisesti niihin tilanteisiin, joissa tietosuojaa on tarpeen vahvistaa. 

Syyttäjälaitoksen henkilötietojen käsittelyä koskevan lainsäädännön esiselvityksessä on arvioitu, että lakiin on syytä lisätä eräitä suojatoimia. Suojatoimia kuitenkin sisältyy rikosasioiden tietosuojalain säännöksiin ja muuhun lainsäädäntöön. Syyttäjien tehtävien hoitamiseen ei liity merkittävässä määrin sellaisia henkilötietojen käsittelyyn liittyviä riskejä, joita rikosasioiden tietosuojalaki ei riittäisi kattamaan. Syyttäjät käsittelevät laajojakin henkilötietoja sisältäviä tietoaineistoja, mutta siihen ei liity esitutkintaviranomaisen toimivaltuuksien käyttöön rinnastettavissa olevaa tiedonkäsittelyä, kuten tuntomerkkien ottaminen ja salaisten tiedonhankintakeinojen käyttäminen. Syyttäjät eivät myöskään käytä automatisoitua päätöksentekoa tai profilointia. Syyttäjien henkilötietojen käsittelyssä on kyse pitkälti tavanomaisesta tiedonhallinnasta. Syyttäjien suorittamaan henkilötietojen käsittelyyn liittyy kuitenkin yksittäisiä tilanteita, joissa rikosasioiden tietosuojalain ja henkilötietojen käsittelyyn sovellettavan lainsäädännön säännökset eivät sellaisenaan tarjoa riittävän vahvaa tietosuojaa. Huomioiden sen, että paikannetut puutteet syyttäjiä koskevassa henkilötietojen käsittelyä koskevassa lainsäädännössä ovat kuitenkin vähäisiä, erillislaki ei olisi tarkoituksenmukainen ratkaisu. Erillislaista voisi myös seurata vastaava ongelma sääntelyn raskaudesta ja monimutkaisuudesta kuin se, jonka perustuslakivaliokunta on toistuvasti todennut useaa rikosasioissa toimivaltaista viranomaisen osalta. Nykyisen lainsäädännön täydentäminen tarvittavilla erityissäännöksillä olisi tarkoituksenmukainen ratkaisu, ottaen huomioon tarvittavien säännösten vähäisen määrän.  

Rekisterinpitoa koskeva täsmennys olisi mahdollista tehdä tietovarantolakia muuttamalla, erityisesti jos samalla huomioidaan muut oikeushallinnon viranomaiset, mutta se olisi Syyttäjälaitoksen osalta mahdollista tehdä myös muutoin. Esityksen valmistelun yhteydessä on selvitetty tarkemmin oikeushallinnon valtakunnalliseen tietovarantoon liittyviä rekisterinpitotilanteita. Ilmeistä on, että siihen kuuluvien tietojärjestelmien osalta voimassa olevan lain mukainen ratkaisu siitä, että Oikeusrekisterikeskus on tietovarannon rekisterinpitäjä kaikilta osin, ei vastaa tosiasiallista rekisterinpitoa. Vaikka Syyttäjälaitoksen osalta voisi riittää sen rekisterinpitovastuun täsmentäminen esimerkiksi Syyttäjälaitoksesta annetussa laissa, siitä voisi seurata ristiriita tietovarantolain säännösten kanssa. Lisäksi tietovarantoon liittyy myös muiden oikeushallinnon viranomaisten tosiasiallisia rekisterinpitovastuita. Tästä syystä esitykseen sisältyy ehdotus tietovarantolain täsmentämisestä. 

Muiden Syyttäjälaitoksen henkilötietojen käsittelyä koskevien erityissäännösten osalta tarkoituksenmukaisinta on sisällyttää tarvittavat säännökset Syyttäjälaitoksesta annettuun lakiin. Laki sisältää tällä hetkellä pelkästään syyttäjien tiedonsaantia koskevat säännökset. Siihen on mahdollista sisällyttää esimerkiksi rikosasioissa tarvittavia erityisiä suojatoimia koskevat säännökset.  

5.2  Muiden jäsenvaltioiden suunnittelemat tai toteuttamat keinot

Hallituksen esityksen valmistelun yhteydessä on vertailtu rikosasioiden tietosuojadirektiivin täytäntöönpanolainsäädäntöä syyttäjien osalta sen selvittämiseksi, minkälaisia lainsäädäntöratkaisuja muissa jäsenvaltioissa on toteutettu syyttäjien osalta. Erityisesti on tarkasteltu sitä, onko henkilötietojen käsittely kokonaan tai pääosin tietosuojan yleislain varassa vai koskeeko syyttäjiä yksinomaan tai lisäksi erityislainsäädäntö. Vertailu on rajattu koskemaan tietosuojaan sovellettavia säännöksiä syyteharkinnan ja muun syyttäjien rikosasioiden käsittelyn yhteydessä. Muuhun syyttäjien suorittamaan henkilötietojen käsittelyyn sovelletaan lähtökohtaisesti EU:n yleistä tietosuoja-asetusta, jota sovelletaan henkilötietojen käsittelyyn kaikissa jäsenvaltioissa silloin, kun kyse ei ole rikosasioiden tietosuojadirektiivin soveltamisalasta tai kokonaan unionin oikeuden ulkopuolella olevasta henkilötietojen käsittelystä. 

Vertailussa on pyritty kattamaan erityyppiset syyttäjien toimintaa koskevat järjestelmät, huomioiden erityisesti pohjoismaat. EU:n ulkopuolisista järjestelmistä vertailussa on huomioitu Norja, joka on Schengen-valtio ja on pannut rikosasioiden tietosuojadirektiivin täytäntöön. Vertailun kohteena olevissa valtioissa ja laajemmin EU:n jäsenvaltioissa on käytössä erilaisia tapoja järjestää syyttäjäviranomaisen toiminta. Tämä järjestelmällinen hajanaisuus heijastuu tarkasteltuihin henkilötietojen käsittelyä koskeviin lainsäädännöllisiin ratkaisuihin, vaikka rikosasioiden tietosuojadirektiivi merkittävästi yhdenmukaistaa jäsenvaltioiden lainsäädäntöä yleisten tietosuojaa koskevien vaatimusten osalta. Myös tiedonsaantioikeuksiin ja -luovutukseen liittyvät sääntelyratkaisut ovat vaihtelevia, eikä kaikissa jäsenvaltioissa viranomaistoimintaa säännellä yhtä yksityiskohtaisesti kuin Suomessa. 

Ruotsi 

Ruotsin syyttäjäviranomaisiin lukeutuvat syyttäjälaitos (Åklagarmyndigheten) ja talousrikosviranomainen (Ekobrottsmyndigheten). Syyttäjäviranomaisia koskevat yleiset säännökset sisältyvät oikeudenkäymiskaaren 7 lukuun (Rättegångsbalk, 1942:740), syyttäjäasetukseen (Åklagarförordning, 2004:1265) ja syyttäjälaitoksen menettelyohjeita koskevaan asetukseen (Förordning med instruktion för åklagarmyndigheten, 2015:743). 

Rikosasioiden tietosuojadirektiivi on pantu täytäntöön rikostietolailla (Brottsdatalagen, 2018:1177), joka on Suomen rikosasioiden tietosuojalakia vastaavasti tietosuojan yleislaki. Syyttäjälaitoksen osalta on voimassa lisäksi laki syyttäjälaitoksen henkilötietojen käsittelystä rikostietolain alalla (Lag om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, 2018:1697). Henkilötietojen suojan kannalta merkityksellistä sääntelyä on myös kahdessa asetuksessa (Brottsdataförordning, 2018:1202 och Förordning om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område, 2018:1738), jotka sisältävät lakia tarkentavia säännöksiä. Asetukset sisältävät kuitenkin myös sellaisia säännöksiä, joiden Suomessa perustuslain vaatimuksista johtuen tulisi olla lain tasolla, esimerkiksi säännös oikeushenkilöitä koskevien tietojen luovuttamisesta veroviranomaiselle, jos se on tarpeen rikollisuuden torjumiseksi. 

Rikostietolaissa säädetään pitkälti direktiivin mukaisesti tietosuojaan yleisesti sovellettavista vaatimuksista. Jos muussa laissa tai asetuksessa on siitä poikkeavia säännöksiä, niitä sovelletaan rikostietolain sijaan vastaavasti kuin Suomen rikosasioiden tietosuojalaissa. Syyttäjiä koskevassa erityislaissa säädetään muun muassa syyttäjälaitoksen rekisterinpitovastuusta, syyttäjälaitoksen tehtäviin sidotuista henkilötietojen käsittelyn oikeusperusteista, erityisten henkilötietoryhmien käsittelyn edellytyksistä, rajat ylittävästä henkilötietojen luovuttamisesta, yhteisesti saataville asetetuista tiedoista ja tietojen säilytysajoista. Lain säännökset ovat pääosin sellaisia, joita ei sisälly rikostietolakiin. Lisäksi esimerkiksi henkilötietojen käsittelystä muuhun kuin alkuperäiseen tarkoitukseen säädetään viittaamalla rikostietolain säännöksiin. Yhteisesti saataville asetetuissa tiedoissa on käytännössä kyse jatkuvasta tietojenluovutuksesta muille rikosprosessiin liittyville viranomaistahoille sähköisen tietojärjestelmän kautta. Myös muilta osin tietojenluovutuksen ja -saannin sääntely on pääasiassa rekisteri- tai järjestelmäkohtaista. Esimerkiksi ”epäiltyjen rekisteriä” (Misstankeregistret) koskee oma lakinsa (Lag om misstankeregister, 1998:621), jonka nojalla syyttäjälaitokselle on annettu suora pääsy kyseiseen rekisteriin. 

Tanska 

Yleiset säännökset Tanskan syyttäjäviranomaisesta (Anklagemyndigheden) sisältyvät oikeudenhoitolain (Bekendtgørelse af lov om rettens pleje, LBK nr 1655 af 25/12/2022) 10 lukuun. Syyttäjäviranomainen on sijoitettu oikeusministeriön alaisuuteen, ja syyttäjinä toimivat valtakunnansyyttäjä (riksadvokaten), valtionsyyttäjät (statsadvokaterne) ja poliisijohtajat (politidirektørerne). Syyttäjien ja poliisin tehtävistä, organisaatiosta ja yhteistyöstä säädetään tarkemmin lain 11 luvussa. Tanska on jaettu 12 poliisipiiriin, joiden yhteydessä useimmat syyttäjät toimivat. Syyttäjien tehtävänä on yhteistyössä poliisin kanssa nostaa ja ajaa syytteitä oikeudenhoitolain säännösten mukaisesti. Poliisipiirin päällikkö on samalla kyseisen syyttäjäyksikön johtaja, ja päättää myös syytteen nostamisesta. Syyttäjillä on Tanskassa myös valvova rooli suhteessa poliisiin. 

Rikosasioiden tietosuojadirektiivi on pantu täytäntöön rikosasioissa toimivaltaisia viranomaisia koskevalla lailla (Lov om retshåndhævende myndigheders behandling af personoplysninger, LOV nr 410 af 27/04/2017, retshåndhævelsesloven). Suomen ja Ruotsin tavoin laki sisältää pääosin direktiivin täytäntöönpanosäännökset. Tanskassa ei ole syyttäjiä koskevaa erityissääntelyä henkilötietojen suojasta tai käsittelystä. 

Tanskassa on kuitenkin erityissääntelyä viranomaisten tietojen luovuttamisesta ja tiedonsaantioikeuksista. Tanskassa syyttäjälaitos voi luovuttaa tietoja, kun se on välttämätöntä sen tehtävien suorittamiseksi. Syyttäjän, kuten muidenkin viranomaisten, erityisistä tiedonsaantioikeuksista on säädetty yleensä järjestelmäkohtaisesti. Esimerkiksi rikosrekisteriin sisällytettäviä ja rekisteristä saatavia henkilötietoja koskee oma määräyksensä (Bekendtgørelse om behandling af personoplysninger i Det Centrale Kriminalregister (Kriminalregisteret), BEK nr 1860 af 23/09/2021), jossa säädetään myös syyttäjän laajasta oikeudesta saada tietoja rikosrekisteristä rikosprosessia varten. 

Norja 

Norjan syyttäjälaitosta koskevat yleiset säännökset ovat rikosprosessilain 7 luvussa (Lov om rettergangsmåten i straffesaker). Järjestelmä muistuttaa erityisesti Tanskan mallia poliisin ja syyttäjien tehtävien ja organisaation osalta. Rikosilmoitus voidaan tehdä poliisille tai syyttäjälle. Syyttäjä toimii tutkinnanjohtajana, mutta poliisi vastaa esitutkinnan suorittamisesta. 

Rikosasioiden tietosuojadirektiivi on pantu täytäntöön poliisin ja syyttäjäviranomaisen tietojenkäsittelystä annetussa laissa, ns. poliisirekisterilaissa (Lov om behandling av opplysninger i politiet og påtalemyndigheten). Vaikka poliisirekisterilaissa säädetään yksityiskohtaisesti eräistä poliisirekistereistä, se sisältää myös henkilötietojen käsittelyn periaatteita ja rekisteröidyn oikeuksia koskevia säännöksiä. Laissa on siten sekä yleislaille että erityislaille tyypillisiä yksityiskohtia. Syyttäjällä on rikosprosessilain ja poliisirekisterilain säännösten mukaisesti oikeus luovuttaa tietoja rikosasioista muille kuin asian osapuolille. Poliisirekisterilaissa säädetään myös poliisi- ja syyttäjäviranomaisen tiedonsaantioikeuksista tehtäviensä hoitamiseksi. 

Viro 

Viron syyttäjälaitoksesta säädetään sitä nimenomaisesti koskevassa laissa (Prokuratuuriseadus, RT I, 02.06.2020, 8). Syyttäjien toimivallasta ja syyttämistä koskevista menettelysäännöistä säädetään kuitenkin rikosprosessilaissa (Kriminaalmenetluse seadustik, RT I, 11.03.2023, 25), joka kattaa rikosprosessin eri vaiheet. Rikosprosessilaki sisältää myös muun muassa säännökset syyttäjälaitoksen tiedonsaantioikeudesta. Lisäksi laki sisältää säännökset tietojen tallentamisesta oikeushallinnon yhteiseen sähköiseen tietojärjestelmään (E-File) ja oikeudenkäyntiä edeltäviin rikosprosessin vaiheisiin liittyvien tietojen luovuttamisesta. 

Rikosasioiden tietosuojadirektiivi on pantu täytäntöön tietosuojalakiin sisältyvällä erillisellä luvulla (Isikuandmete kaitse seadus, RT I, 04.01.2019, 11). Tietosuojalain 4 luku jaksoineen seuraa rikosasioiden tietosuojadirektiivin rakennetta. Muilta osin tietosuojalaki täsmentää ja täydentää yleistä tietosuoja-asetusta. Rikosprosessilaissa on lisäksi tarkentavia säännöksiä henkilötietojen käsittelystä rikosprosessissa, kuten rekisteröidyn oikeuksien rajoittamisesta tietyissä tilanteissa. 

Saksa 

Saksassa rikosprosessia ja syyttäjien toimintaa sääntelee yleislakina rikosprosessilaki (Straffprozessordnung, StPO). Syyttäjälaitokset ovat järjestäytyneet osavaltiotasolla ja kuuluvat osavaltioiden oikeusministeriöiden alaisuuteen. Syyttäjien toimintatavat voivat vaihdella osavaltioittain, koska syyttäjiä koskevat tarkemmat määräykset ja ohjeet ovat osavaltiokohtaisia. Lisäksi liittovaltion tasolla toimii liittovaltion syyttäjävirasto (Bundesanwaltschaft), jonka toimivalta rajoittuu vakaviin valtiota vastaan kohdistuviin rikoksiin, kuten korkean profiilin terrorismitapauksiin. Syyttäjä päättää esitutkinnan käynnistämisestä saatuaan tiedon rikosasiasta, sekä siitä, suorittaako tutkinnan itse vai määrääkö poliisin suorittamaan tutkinnan. Poliisilla on velvollisuus noudattaa syyttäjän määräyksiä tutkinnassa. 

Saksassa rikosasioiden tietosuojadirektiivi on pantu täytäntöön muun muassa päivittämällä Saksan liittovaltion tietosuojalakia (Bundesdatenschutzgesetz, BGBl. I S. 1858; 2022 I S. 1045). Rikosasioiden tietosuojadirektiiviä täytäntöönpanoa koskevat säännöt ovat liittovaltion tietosuojalain 3 osassa, jossa säädetään pitkälti direktiivin mukaisesti tietosuojaan yleisesti sovellettavista vaatimuksista, kuten henkilötietojen käsittelyn yleisistä periaatteista ja rekisteröidyn oikeuksista. Syyttäjien henkilötietojen käsittelyyn sovelletaan kaikilta osin liittovaltion lainsäädäntöä. Siltä osin kuin rikosprosessilaki sisältää erityissäännöksiä, niitä sovelletaan tietosuojalain säännösten sijasta. Liittovaltiotasolla rikosasioiden tietosuojadirektiivin täytäntöönpanoa koskevia säännöksiä on myös laissa liittovaltion rikospoliisin uudelleenjärjestelystä (Gesetz zur Neustrukturierung des Bundeskriminalamtgesetzes, BGBl. I 2017, Nr. 33 vom 08.06.2017, S. 1354). Lisäksi osavaltioilla on omia poliisia ja tietosuojaa koskevia lakejaan, jotka sisältävät säännöksiä rikosasioiden tietosuojadirektiivin täytäntöönpanemiseksi. 

Ranska 

Ranskan syyttäjälaitoksen toimintaa ja tehtäviä koskevat yleiset säännökset ovat erityisesti rikosprosessilaissa (Code de procédure pénale) ja tuomioistuinorganisaatiota koskevassa laissa (Code de l’organisation judiciaire). Ranskassa syyttäjäviranomainen vastaa tutkinnan johtamisesta, ja poliisi toimii syyttäjän valvonnan alaisuudessa tutkinnan aikana. Poliisin on myös toimitettava syyttäjälle kaikki tämän tarpeellisiksi katsomansa tiedot rikosprosessin sujuvuuden varmistamiseksi. 

Rikosasioiden tietosuojadirektiivi on Ranskassa pantu täytäntöön muuttamalla olemassa olevaa lainsäädäntöä. Rikosasioiden tietosuojadirektiivin täytäntöönpanosäännökset sisältyvät pääosin Ranskan tietosuojalain (LOI n° 2018–493 du 20 juin 2018 relative à la protection des données personnelles) III osaan. Tätä lakia täydentää vuonna 1978 säädetty informaatioteknologiaa ja henkilötietojen suojaa koskeva laki (La loi no 78–17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés). Myös rikosprosessilaissa (Code de la procédure pénale) on kuitenkin säännöksiä henkilötietojen käsittelystä rikosasioissa. Rajoituksista rekisteröidyn oikeuteen saada pääsy tietoihin säädetään rikosprosessilaissa ja sisäistä turvallisuutta koskevassa laissa (Code de la sécurité intérieure). Sisäistä turvallisuutta koskeva laki sisältää myös erityissäännöksiä rekisteröidyn oikeudesta saada tietoa henkilötietojen oikaisusta ja poistamisesta. Lisäksi Ranskassa on rikosasioihin liittyvää erityislainsäädäntöä, jossa säädetään henkilötietojen säilyttämisen määräajoista eri henkilötietojen käsittelykategorioiden osalta. 

Alankomaat 

Alankomaiden syyttäjälaitosta koskevat yleiset säännökset sisältyvät oikeudellisista organisaatioista annetun lain 4 lukuun (Wet op de rechterlijke organisatie, Hoofdstuk 4, Artikelen 130–133). Siinä säädetään syyttäjälaitoksen tehtävistä ja organisaatiosta. Rikosasioiden tietosuojadirektiivi on pantu täytäntöön muuttamalla jo ennen direktiivin hyväksymistä voimassa olleita lakeja vastaamaan direktiivin vaatimuksia. Rikosasioiden tietosuojadirektiivin varsinaiset täytäntöönpanolait ovat oikeus- ja rikostietolaki (Wet justitiële en strafvorderlijke gegevens) ja poliisitietolaki (Wet politiegegevens), joita muutettiin vuonna 2018 (Wet van 17 oktober 2018, Staatsblad 401, 12.11.2018). Säännöksiä, jotka ovat merkityksellisiä rikosasioissa tapahtuvan henkilötietojen käsittelyn kannalta, sisältyy lisäksi rikosprosessilakiin (Wetboek van Strafvordering). Rikosasioiden tietosuojalain kaltaista yleislakia Alankomaissa ei ole säädetty. Oikeus- ja rikostietolakia sovelletaan muun muassa syyttäjien henkilötietojen käsittelyyn. Alankomaiden syyttäjälaitosta johtava syyttäjälautakunta (het College van procureurs-generaal) vastaa rikoksia koskevien tietojen käsittelystä rekisterinpitäjänä. Tästä käsittelystä säädetään oikeus- ja rikostietolain 2A luvussa (Titel 2A, Artikelen 39a–39r).  

Esimerkiksi henkilötietojen käsittelyyn sovellettavista periaatteista ja rekisteröidyn oikeuksista säädetään kunkin tietoryhmän kohdalla erikseen edellä mainituissa erityislaeissa. Toisaalta lakeihin sisältyy myös useita keskinäisiä viittaussäännöksiä. Tiedon luovuttamisesta säädetään niin ikään tietoryhmittäin. 

Itävalta 

Itävallan syyttäjälaitosta koskevat yleiset säännökset ovat rikosprosessilaissa (Strafprozeßordnung 1975) ja syyttäjälaitoksesta annetussa laissa (Staatsanwaltschaftsgesetz). Rikosasioiden tietosuojadirektiivi on pantu täytäntöön neljällä säädösmuutoskokonaisuudella, joilla on muutettu useaa lakia (Datenschutz-Anpassungsgesetz, Datenschutz-Deregulierungs-Gesetz, Materien-Datenschutz-Anpassungsgesetz, Strafprozeßordnung 1975 (Stammfassung in der derzeit geltenden Fassung; zuletzt geändert durch das BGBl. I Nr. 70/2018)). Rikosasioissa toimivaltaisten viranomaisten henkilötietojen käsittelyn kannalta keskeinen laki on Datenschutzgesetz (tietosuojalaki), joka täydentää yleistä tietosuoja-asetusta ja sisältää rikosasioiden tietosuojadirektiivin täytäntöönpanosäännöksiä. Tietosuojalain 3 luku vastaa sisällöllisesti pitkälti rikosasioiden tietosuojadirektiiviä. Nimenomaisesti syyttäjälaitoksessa tapahtuvaa henkilötietojen käsittelyä koskevaa erityissäädöstä ei ole annettu, mutta syyttäjälaitosta koskeva laki (Staatsanwaltschaftsgesetz) sisältää joitakin henkilötietojen käsittelyn kannalta merkityksellisiä säännöksiä, kuten tarkempaa sääntelyä tietojen käsittelyn vastuista (34 a §). 

Rikosprosessilain 74 §:n 1 momentissa säädetään, että rikosasioiden yhteydessä poliisi, syyttäjänlaitos ja tuomioistuimet saavat käsitellä tehtäviensä edellyttämiä henkilötietoja. Kyseisessä laissa on syyttäjälaitosta koskevat yleiset säännökset (2 luvun 2 osa). Laissa säädetään myös näiden viranomaisten tehtävistä, niiden välisestä yhteistyöstä ja tietojenvaihdosta rikosprosessissa (7 luku). 

7.1  Laki Syyttäjälaitoksesta

4 luku. Erinäiset säännökset 

22 a §.Rikosasian rekisteröinti. Lakiin ehdotetaan lisättäväksi uusi 22 a §, jossa säädettäisiin rikosasian rekisteröintiä koskevasta velvoitteesta. Pykälä täydentäisi rikosasioiden tietosuojalain säännöksiä siltä osin kuin on kyse henkilötietojen käsittelystä lain 1 §:n 1 momentin 2 kohdassa säädettyyn tarkoitukseen. Rekisteröintivelvoite koskisi kyseisen kohdan mukaisesti vain niitä asioita, joissa on kyse rikokseen liittyvästä syyttäjän toiminnasta. 

Pykälän 1 momentin mukaan, sen lisäksi, mitä julkisen hallinnon tiedonhallinnasta annetun lain (906/2019) 25 ja 26 §:ssä säädetään asian rekisteröinnistä, Syyttäjälaitoksen olisi huolehdittava siitä, että momentissa luetellut asiat rekisteröidään viipymättä rikosasioiden käsittelyjärjestelmään. Momentin mukainen rekisteröintivelvoite koskisi esitutkintaviranomaisen tekemää ilmoitusta tutkittavaksi tulleesta rikoksesta sekä syyteharkintaan saapunutta asiaa (1 kohta); rikosasiaa, jossa Euroopan syyttäjävirasto voi käyttää toimivaltaa (2 kohta); ja muuta kuin 1 ja 2 kohdassa tarkoitettua Syyttäjälaitoksen käsiteltäväsi kuuluvaa rikosasiaa (3 kohta). Momentin 1 kohdan mukainen asiaryhmä sisältää myös esitutkintaviranomaisen ilmoitukset asioista, joissa rikoksesta epäiltynä on poliisimies, ja joissa siitä syystä tutkinnanjohtajana toimii syyttäjä. Momentin 2 kohdassa olisi kyse EPPO-asetuksen 24 artiklassa tarkoitetuista rikosasioista, jotka ilmoitetaan Euroopan syyttäjävirastolle. Ilmoittamisesta sekä ilmoitukseen sisällytettävistä tiedoista säädetään tarkemmin asetuksen 24 artiklassa ja Suomen osallistumisesta Euroopan syyttäjäviraston toimintaan annetun lain 7 §:ssä. Momentin 3 kohta kattaisi muut asiat, joissa on kyse rikosasioiden tietosuojalain 1 §:n 2 kohdassa tarkoitetusta syyttäjän toiminnasta. Toistaiseksi ei ole arvioitu tarkemmin, miltä osin edellä nykytilan kuvauksessa mainitun uuden uhridirektiivin mukaiset velvoitteet koskevat syyttäjiä, mutta jo hyväksytyn naisiin kohdistuvan väkivallan torjunnasta annettu direktiivi sisältää naisiin kohdistuvien väkivaltarikosten rekisteröintivelvoitteita. Momentin 3 kohta voisi kattaa myös nämä velvoitteet siltä osin kuin ne koskisivat syyttäjiä. 

Momentti täydentäisi rikosasioiden osalta tiedonhallintalain mukaista asioiden rekisteröintivelvoitetta, joka koskee yleisesti kaikkia viranomaisen käsiteltäväksi tulevia asioita, sekä tietovarantolain säännöksiä. Momentti ei koskisi muiden kuin rikosasioiden rekisteröintiä. Esitutkintalaissa säädetään rikosilmoituksen rekisteröintivelvoitteesta, joka koskee esitutkintaviranomaista, mutta ei syyttäjiä. Asian rekisteröinnin ajankohta on rikosasiassa ratkaiseva rikosprosessin keston määrittämisen ja rikosprosessuaalisten oikeuksien toteutumisen kannalta. Toisaalta syyteharkinnan keston kannalta ratkaisevaa on se, milloin asia on saapunut syyteharkintaan. Tästä syystä ehdotetun säännöksen mukaan myös siitä tehtäisiin merkintä. Rekisteröidyn kannalta merkityksellistä on ihmis- ja perusoikeuksien tulkintakäytännön valossa esimerkiksi se, missä tilanteessa ja mihin viranomaisen rekisteriin häntä koskevia tietoja voidaan yksittäisessä asiassa tallentaa. Huomioiden rekisteröinnin vaikutukset yksittäisen rikosprosessin osapuolen oikeuksiin, lakiin lisättäisiin yleisesti sovellettavaa rekisteröintivelvoitetta yksityiskohtaisempi velvoite, jossa täsmennetään se, että asia tulee viipymättä rekisteröidä nimenomaisesti rikosasioita varten osoitettuun käsittelyjärjestelmään, joka on koko Syyttäjälaitoksen käytössä. Oleellista on myös rikosasioiden tietosuojadirektiivin 6 artiklan ja rikosasioiden tietosuojalain 8 §:n 1 momentin mukaisesti sekä Euroopan ihmisoikeustuomioistuimen tulkintakäytännön mukaisesti se, että rikosasiaan liittymättömien henkilöiden tietoja ei tallenneta samaan järjestelmään. 

Momentissa tarkoitetaan nykyistä Syyttäjälaitoksen käytössä olevaa asian- ja dokumentinhallintajärjestelmää (AIPA) joka on syksyllä 2024 korvannut osittain aiemmin kyseiseen tarkoitukseen käytetyn rikosasioiden käsittely- ja asianhallintajärjestelmän (Sakari). AIPA otettiin täysimittaisesti käyttöön Syyttäjälaitoksessa syksyllä 2025. Syyttäjälaitoksen tietosuojaselosteessa nimi ”rikosasioiden rekisteri” viittaa samaan järjestelmään. Momentti olisi kuitenkin teknologianeutraali, eikä siinä käytetty ilmaisu edellyttäisi lainmuutosta siinä tapauksessa, että AIPA myöhemmin korvataan muulla järjestelmällä. 

Syyttäjälaitoksen rikosasiat on aiemmin kirjattu ja käsitelty Sakari-järjestelmällä. Kullakin Syyttäjälaitoksen alueella ja valtakunnansyyttäjän toimistolla on ollut oma erillinen Sakari-tietokantansa. Poliisirikosasiat on puolestaan kirjattu omaan Sakari-tietokantaansa. Syyttäjälaitoksessa käsiteltävät summaariset sakkoasiat on jo ennen syksyä 2025 käsitelty AIPA-järjestelmässä. Valtakunnansyyttäjän toimistossa käsiteltävät muutosharkinta-asiat, muutoksenhaku korkeimmasta oikeudesta, syyttäjänmääräysasiat ja sananvapausrikosasiat kirjataan valtakunnansyyttäjän toimiston hallinnolliseen diaariin. 

AIPA on osa oikeushallinnon valtakunnallista tietovarantoa, josta säädetään tietovarantolaissa. Tietovarantolain säännökset tietojärjestelmistä ovat yleisluontoisia, eivätkä sisällä rikosasioiden arkaluontoisuuden kannalta riittävän yksityiskohtaisia säännöksiä esimerkiksi henkilötietojen rekisteröinnistä, säilytysajoista ja käytöstä, joihin Euroopan ihmisoikeustuomioistuin on oikeuskäytännössään viitannut. Tietovarantolaissa säädetään yleisellä tasolla tietovarannon sisältämien tietojen käytöstä ja luovuttamisesta. Tietovarantolaki sisältää myös yleisesti henkilötietoihin sovellettavan säännöksen, jonka mukaan Oikeusrekisterikeskuksen on poistettava henkilötiedot ratkaisu- ja päätösilmoitusjärjestelmästä sekä diaari- ja asianhallintatietojen valtakunnallisesta käsittelyjärjestelmästä kymmenen vuoden kuluessa siitä, kun asia on ratkaistu. Syyttäjälaitoksesta annettu laki ei sisällä rekistereitä tai tietojen rekisteröintiä koskevia säännöksiä. Koska tietosuojaa koskevat vaatimukset rikosasioiden tietosuojalaissa ovat pitkälti saman sisältöisiä kuin tietosuoja-asetuksessa, erityissäännökset henkilötietojen rekisteröinnistä rajattaisiin niihin tilanteisiin, joissa rekisteröidyn suojan tai oikeusturvan vahvistaminen on tarpeen, huomioiden perus- ja ihmisoikeusvelvoitteista johtuvat vaatimukset sekä direktiivin vaatimukset.  

Sen lisäksi, että syyttäjät käsittelevät rikoksiin liittyviä asioita, syyttäjien käsittelemässä esitutkinta-aineistossa voi olla muusta syystä arkaluonteisia tietoja, joita lähtökohtaisesti koskevat edelleen perustuslakivaliokunnan tulkintakäytännöstä ilmenevät laintasoisuutta ja yksityiskohtaisuutta koskevat vaatimukset. Syyttäjät joutuvat kuitenkin käsittelemään poliisin toimittamaa esitutkinta-aineistoa sellaisenaan ja syyttäjiä koskevassa lainsäädännössä olisi mahdotonta rajoittaa sen käsittelyä. Euroopan ihmisoikeustuomioistuimen tarkoittama rekisteröinti, joka puuttuu yksityiselämän suojaan, tapahtuu alun perin joko rikosilmoituksen kirjaamisen myötä tai jo esitutkintaviranomaisen toimenpiteiden varhaisemmassa vaiheessa, niin sanotun esiselvittelyn aikana tai rikostiedustelun muodossa. Vaikka syyttäjät rekisteröivät Syyttäjälaitoksessa vireille tulevat rikosasiat, syyttäjien osalta ei olisi kovin tarkoituksenmukaista säätää yksityiskohtaisesti rekisteröitävistä henkilötiedoista, koska henkilötiedon määritelmä on laaja eikä esitutkinta-aineistoon sisältyviä yksittäisiä henkilötietoja ole mahdollista ennakoida. Yksityiskohtainen henkilötietojen luettelo on tyypillistä rekisterisääntelyä eikä olisi omiaan vahvistamaan rekisteröidyn tietosuojaa ilman, että samalla säädettäisiin rikosasioiden tietosuojalakia vastaavan tasoisista tai tiukemmista rekisteröinnin ja muun käsittelyn edellytyksistä. Tarkoituksenmukaisempaa on syyttäjien osalta säätää rekisteröitävistä tietoryhmistä sekä vahvistaa henkilötietojen suojaa erityisen arkaluontoisten tietojen osalta. 

Pykälän 2 momentin mukaan Syyttäjälaitoksen olisi rekisteröitävä viipymättä myös esitutkinta-aineisto, jonka esitutkintaviranomainen on toimittanut syyteharkintaa taikka sakon ja rikesakon määräämisestä annetussa laissa (754/2010) tarkoitetun määräyksen antamista varten. Säännöksellä ei otettaisi kantaa siihen, mihin esitutkinta-aineiston rekisterimerkinnät olisi tehtävä, eikä myöskään siihen, millä tallennusalustalla esitutkinta-aineistoa teknisesti säilytettäisiin. Rekisterimerkinnöillä varmistettaisiin, että aineisto pystytään yhdistämään siihen rikosasiaan, johon se liittyy. 

Pykälän 3 momentissa huomioitaisiin tarve turvata esitutkinta niissä tilanteissa, joissa rekisteröitävä asia tai esitutkinta-aineisto on salassa pidettävä. Jos 1 ja 2 momentin mukaisesti rekisteröitävä asia tai aineisto on säädetty laissa salassa pidettäväksi, rekisteröinnin yhteydessä on huolehdittava tarvittavista salassapitomerkinnöistä. Säännökset eivät vaikuttaisi siihen, miltä osin asia tai aineisto olisi salassa pidettävä, vaan se määräytyisi julkisuuslain tai muun lain sisältämien salassapitosäännösten perusteella. Säännöksillä korostettaisiin sitä, että salassapitomerkinnät tulee tehdä heti rekisteröinnin yhteydessä. Ehdotettu momentti täydentäisi ylimääräisenä suojatoimena Syyttäjälaitoksesta annetun lain 23 §:n säännöksiä Syyttäjälaitoksen henkilöstöön kuuluvan vaitiolovelvollisuudesta ja vaitiolo-oikeudesta sekä rikosasioiden tietosuojalain 32 §:n säännöksiä henkilötietojen suojaamisesta automatisoidussa käsittelyssä. 

Pykälän 4 momentissa täsmennettäisiin se, että Syyttäjälaitos on 1 ja 2 momentin nojalla rekisteröimiinsä rikosasioihin ja esitutkinta-aineistoihin sisältyvien henkilötietojen rekisterinpitäjä. Täsmennys ei vaikuttaisi esitutkintaviranomaisten rekisterinpitovastuisiin, vaan täsmentäisi ajallisesti sen, milloin Syyttäjälaitos vastaa esimerkiksi esitutkinta-aineistoon sisältyvien henkilötietojen käsittelyn lainmukaisuudesta. Rekisterinpitoon sovellettaisiin momentin mukaan lisäksi, mitä tietovarantolain 7 §:ssä säädetään. Käytännössä kyse olisi Syyttäjälaitoksen hallussa olevasta aineistosta, joka on esimerkiksi siirretty poliisilta tai on muutoin Syyttäjälaitoksen käsiteltävänä automatisoidusti. Momentti sisältäisi myös aineellisen viittaussäännöksen tietovarantolakiin. Säännös on tarpeen sen selventämiseksi, että tietovarantolaki sisältäisi lisäksi Syyttäjälaitoksen ja muiden tietovarantoa käyttävien viranomaisten osalta rekisterinpitovastuuta täydentäviä säännöksiä, jotka koskevat valtakunnallista tietovarantoa. Lisäksi 4 momentti sisältäisi informatiivisen viittaussäännöksen rikosasioiden tietosuojalakiin, jossa säädetään muilta osin rekisterinpitäjää koskevista henkilötietojen käsittelyssä noudatettavista vaatimuksista. Informatiivisella viittaussäännöksellä pantaisiin täytäntöön rikosasioiden tietosuojadirektiivin 8 artiklan vaatimus. 

22 b §.Rekisteröidyn oikeuksia koskevat suojatoimet. Lakiin ehdotetaan lisättäväksi uusi 22 b §, jossa säädettäisiin ylimääräisistä suojatoimista, jotka liittyvät rekisteröidyn oikeuksien turvaamiseen. Pykälän 1 momentin mukaan, sen lisäksi, mitä henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain (1054/2018) 8 §:ssä säädetään, Syyttäjälaitoksen olisi rikosasian asianosaisten henkilötietojen rekisteröinnin yhteydessä huolehdittava siitä, että todistajansuojeluohjelmasta annetussa laissa (88/2015) tarkoitettua suojeltavaa, koskevat tiedot säilytetään erillään muita rekisteröityjen ryhmiä koskevista tiedoista ja suojataan asianmukaisilla teknisillä toimenpiteillä sen varmistamiseksi, että tietoihin on pääsy ainoastaan niillä henkilöillä, joiden on välttämätöntä käsitellä niitä kyseessä olevan rikosasian hoitamiseksi. Säännöksellä ei otettaisi kuitenkaan tarkemmin kantaa siihen, missä ja millä tavalla tietoja tulisi teknisesti säilyttää. Todistajansuojeluohjelmia koskevaan rekisteriin tallennetut tiedot ja muut todistajansuojeluohjelmaa koskevat tiedot on säädetty julkisuuslain 24 §:n 28 kohdassa salassa pidettäviksi. 

Kohdassa poikettaisiin rikosasioiden tietosuojalain 8 §:n 1 momentista, joka edellyttää, että rekisterinpitäjän on erotettava tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat käsiteltävän asian kannalta eri asemassa olevia rekisteröityjä. Pykälässä tarkoitettujen henkilötietojen suojaamiseksi sovellettaisiin muutoin erityisesti rikosasioiden tietosuojalain 19, 31 ja 32 §:n vaatimuksia. Ehdotetulla momentilla pantaisiin täytäntöön rikosasioiden tietosuojadirektiivin 6 artiklan d alakohta säätämällä kyseessä olevien todistajien tietojen osalta direktiivin ja rikosasioiden tietosuojalain vaatimuksia korkeammasta tietosuojan tasosta. 

Pykälän 2 momentti sisältäisi tietolähteiden suojaamiseen liittyvän säännöksen. Poliisilain (872/2011) 5 luvun 40 §:ssä, rikostorjunnasta Rajavartiolaitoksessa annetun lain 36 §:ssä, rikostorjunnasta Tullissa annetun lain 3 luvun 39 §:ssä ja pakkokeinolain (806/2011) 10 luvun 39 §:ssä tarkoitettua henkilöä koskevaa tietoa ei saisi momentin mukaan rekisteröidä tämän lain 22 a §:ssä tarkoitettuun rikosasioiden käsittelyjärjestelmään. Kyseisissä lainkohdissa tarkoitetaan poliisin, Rajavartiolaitoksen tai Tullin tietolähteenä toimivaa, viranomaisen ulkopuolista henkilöä. Tietolähteitä koskevat tiedot sisältyvät julkisuuslain 24 §:n 4 kohdassa tarkoitettuihin esitutkintaviranomaisen ylläpitämiin rekistereihin, jotka ovat salassa pidettäviä. Tietolähteen käyttöön liittyy erityinen tarve varmistua hänen turvallisuudestaan. 

Ehdotetulla momentilla poikettaisiin rikosasioiden tietosuojalain 8 §:n 1 momentista, jonka mukaan rekisterinpitäjän on erotettava tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat käsiteltävän asian kannalta eri asemassa olevia rekisteröityjä. Toisin kuin rikosasioiden tietosuojalain mukainen pääsääntö, erityissäännös ei jättäisi rekisterinpitäjälle harkinnanvaraa, vaan tietolähteiden henkilötietoja olisi aina säilytettävä erillään muista rikosasiaan liittyvistä henkilötiedoista. Ehdotettu momentti vahvistaisi siten tietolähteinä käytettävien henkilöiden tietosuojaa kansallisen liikkumavaran mukaisesti, ja vahvistaisi samalla myös heidän henkilökohtaista turvallisuuttaan. Myös tällä säännöksellä pantaisiin täytäntöön rikosasioiden tietosuojadirektiivin 6 artiklan d alakohta tietolähteinä toimivien rekisteröityjen osalta. Direktiivin edellytyksiä korkeampi tietosuojan taso on tarpeen tietolähteinä toimivien henkilöiden henkilökohtaisen turvallisuuden kannalta. 

Pykälän 3 momentti sisältäisi yleisluontoisen erityisiin henkilötietoryhmiin sovellettavia suojatoimia koskevan säännöksen. Momentissa edellytettäisiin, että jos rikosasian käsittelyn yhteydessä on välttämätöntä käsitellä henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annetun lain 11 §:ssä tarkoitettuja henkilötietoja, käsittelyjärjestelmässä olisi asian rekisteröinnin yhteydessä huolehdittava asianmukaisista teknisistä suojatoimista. 

Lähtökohtaisesti kaikessa rikosasioihin liittyvässä henkilötietojen käsittelyssä on kyse arkaluonteisista henkilötiedoista. Syyttäjät käsittelevät myös rikosasioiden tietosuojalain nojalla erityisiin henkilötietoryhmiin sekä muihin arkaluonteisten tietojen ryhmiin kuuluvia henkilötietoja siinä laajuudessa kuin niitä sisältyy esitutkinta-aineistoon. Syyttäjien käsittelytarpeiden kannalta ei ole mahdollista ennakoida, mitä arkaluonteisia henkilötietoja esitutkinta-aineistoon sisältyisi sen lisäksi, että kyse on rikosasiasta. Syyttäjälaitoksen osalta oikeus käsitellä erityisiin henkilötietoryhmiin kuuluvia henkilötietoja perustuu suoraan rikosasioiden tietosuojalakiin. Erityisten henkilötietoryhmien osalta henkilötietojen käsittelyn perusteena on rikosasioiden tietosuojalain 11 §:n 2 momentin 2 kohta ja käsittelyn edellytyksenä on tietojen välttämättömyys. Kuten perustuslakivaliokunta on todennut, myös rikosasioiden tietosuojadirektiivin soveltamisalalla yleislaki riittää joiltakin osin takaamaan riittävän henkilötietojen suojan. Rikosasioiden tietosuojalain säännös myös lähtökohtaisesti täyttää perustuslain tulkintakäytännöstä johtuvan vaatimuksen siitä, että käsittely rajataan siihen, mikä on välttämätöntä. Rekisteröidyn suojaa vahvistaisi se, jos laissa olisi mahdollista yksilöidä tarkemmin ne erityisten henkilötietoryhmät, joiden käsittely on syyttäjän tehtävien hoitamisen kannalta välttämätöntä. Koska esitutkinta-aineiston sisältämiä tietoja ei ole mahdollista ennakoida, Syyttäjälaitoksesta annetussa laissa ei ole tarpeen säätää erityisten henkilötietoryhmien osalta käsittelyoikeudesta toistamiseen. Sen sijaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely sidottaisiin laissa yksittäiseen rikosasiaan sen lisäksi, että käsittelyn on rikosasioiden tietosuojalain nojalla oltava välttämätöntä ja edellytettäisiin ylimääräisiä suojatoimia. 

Rikosasioiden tietosuojalain 11 §:n 1 momentti edellyttää myös erityisten henkilötietoryhmien osalta rekisteröidyn oikeuksien turvaamisen edellyttävien suojatoimien toteuttamista. Ne voivat osittain myös perustua muihin lain säännöksiin. Tällaisista suojatoimista ei nimenomaisesti säädetä syyttäjien osalta erikseen. Suuri osa suojatoimista seuraa käytännössä jo suoraan rikosasioiden tietosuojalaista. Näitä ovat esimerkiksi lain 15§:n edellyttämät tekniset ja organisatoriset suojatoimenpiteet, 19 §:n edellyttämät lokitiedot, 20 §:n mukainen tietosuojaa koskeva vaikutustenarviointi, 31 ja 32 §:n mukaiset henkilötietojen suojaamista koskevat vaatimukset, sekä 38 §:n edellyttämä tietosuojavastaaman nimeäminen. Lisäksi esimerkiksi Syyttäjälaitoksesta annetun lain 23 §:ssä säädetyt vaitiolovelvollisuus ja vaitiolo-oikeus toimivat henkilötietojen suojaa koskevina ylimääräisinä suojatoimina. Näistä suojatoimista ei olisi siten tarpeen säätää uudelleen. Sen sijaan ehdotetun momentin mukaisilla, käsittelyjärjestelmässä käytettävillä asianmukaisilla teknisillä suojatoimilla olisi konkreettinen tietosuojaa vahvistava lisäarvo. Teknisillä järjestelmän rajauksilla on mahdollista esimerkiksi varmistaa, että tietoja käsittelevät vain ne henkilöt, joille se on välttämätöntä Syyttäjälaitokselle kuuluvan tehtävän hoitamiseksi. Säännöksessä korostettaisiin sitä, että näistä teknisistä suojatoimista, esimerkiksi tietojen näkyvyyden rajaamisesta, olisi huolehdittava heti rikosasian rekisteröinnin yhteydessä. Käytännössä kyse olisi käytössä olevan käsittelyjärjestelmän mahdollistamista suojatoimista. Voimassa olevista yleislain säännöksistä ei seuraa erityisiä salassapitoa koskevia vaatimuksia. 

Erityisiä riskejä rekisteröidyn oikeuksien suojan kannalta rikosasioissa liittyy tietojen arkaluonteisuuden ohella henkilötietojen luovutuksiin muille viranomaisille sekä niiden siirtoihin kolmansiin maihin tai kansainvälisille järjestöille. Rikosasioiden tietosuojalain 10 §:n 1 momentissa säädetään velvollisuudesta ilmoittaa tietojen vastaanottajille, jos käsittelyyn liittyy erityisiä edellytyksiä. Kyseisen momentin mukaisesti henkilötietojen luovutuksen tai siirron yhteydessä Syyttäjälaitoksen on ilmoitettava henkilötietojen vastaanottajalle kyseisistä edellytyksistä sekä velvollisuudesta noudattaa niitä. Lisäksi rikosasioiden tietosuojalain 9 § sisältää säännökset, joiden tarkoituksena on varmistaa, että virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja siirretä eikä aseteta saataville. Pykälä edellyttää tarvittaessa virheellisistä henkilötiedoista ilmoittamista ja niiden oikaisemista tai poistamista tai niiden käsittelyn rajoittamista. Lisäksi rikosasioiden tietosuojalain 19 §:ssä säädetään tietojen luovuttamista koskevista lokitiedoista. Syyttäjälaitoksesta annettuun lakiin ehdotetut rekisteröintiä ja suojatoimia koskevat säännökset ovat merkityksellisiä myös henkilötietojen luovuttamisen kannalta, ja vahvistavat tietosuojaa näissä tilanteissa. 

22 c §.Rikosasiaa koskevien tietojen poistaminen. Lakiin ehdotetaan lisättäväksi uusi 22 c §, jossa säädettäisiin rikosasiaa koskevien tietojen poistamisesta asiainhallinnasta. Pykälän mukaan rikosasiaa koskevat tiedot poistettaisiin rikosasioiden käsittelyjärjestelmästä viimeistään kymmenen vuoden kuluttua siitä, kun asia on ratkaistu. Säilytysajan päättymisen jälkeen tiedot olisi arkistoitava tai tuhottava tietoturvallisella tavalla. 

Ehdotettu säilytysaika olisi samansuuntainen valtakunnallista tietovarantoa koskevan säilytysajan kanssa. Säilytysaikaan ehdotetulla joustolla huomioitaisiin se, että tiedot voi olla tarpeen säilyttää teknisesti muussa järjestelmän osassa tai erillään käsittelyjärjestelmästä. Tämä ei kuitenkaan vaikuttaisi tietojen hakemiseen tietovarannosta. Syyttäjälaitoksen tietojen luovuttaminen tapahtuisi nykytilaa vastaavasti. Ehdotetuilla säännöksillä ei myöskään vaikutettaisi siihen, mihin saakka tuomioita koskevat tiedot ovat luovutettavissa Oikeusrekisterikeskuksen toimesta. 

Esitutkinta-aineiston käsittelyyn tarvittava aika Syyttäjälaitoksessa on lyhyt verrattuna esitutkintaviranomaisia koskeviin tietojen säilytysaikoihin. Tietoja ei kuitenkaan poistettaisi käsittelyjärjestelmästä ennen asian ratkaisemista tai syyteoikeuden vanhenemista. Ehdotetuilla säännöksillä huomioitaisiin henkilötietojen käsittelyä koskevan minimointiperiaatteen mukaisesti se, että rikosasiaan liittyviä tietoja säilytettäisiin käsittelyjärjestelmässä ainoastaan niin kauan kuin tiedot ovat tarpeen tietoaineiston alkuperäiseen käyttötarkoitukseen syyttäjän tehtävien hoitamiseksi sekä ehdotettuihin tietovarantolain 11 §:ssä säädettäviin tarkoituksiin. Tietoja voitaisiin säilyttää teknisesti myös erillään rikosasioiden käsittelyjärjestelmästä. Koska rikosasioihin liittyvät henkilötiedot ovat arkaluonteisia, tietojen poistamista koskeva säännös toimisi samalla suojatoimena rekisteröidyn oikeuksien vahvistamiseksi. Poistosäännöksen noudattaminen varmistettaisiin tarvittavin teknisin toimenpitein kuten arkistoimalla siten, että tiedot eivät ole enää näkyvillä ja käytettävissä rikosasioiden käsittelyjärjestelmässä. Se, että tiedot olisivat kuitenkin haettavissa säilytykseen käytettävästä tietokannasta tai arkistotietokannasta, mahdollistaisi tietojen hakemisen tarvittaessa muuhun kuin alkuperäiseen tarkoitukseen. Tietoja voitaisiin joissakin tapauksissa joutua hakemaan esimerkiksi laillisuusvalvonnan tarkoituksiin tai syyttäjien oikeusturvan varmistamiseen. Ehdotettu säilytysaika olisi riittävän pitkä tällaisten välttämättömien tarpeiden huomioimiseksi. 

Voimassa olevan tietovarantolain 18 §:n mukaisesti Oikeusrekisterikeskuksen on poistettava henkilötiedot ratkaisu- ja päätösilmoitusjärjestelmästä sekä diaari- ja asianhallintatietojen valtakunnallisesta käsittelyjärjestelmästä kymmenen vuoden kuluessa siitä, kun asia on ratkaistu. Rikosasioiden tietosuojalaissa säädetään yleisesti sovellettavasta vaatimuksesta, jonka mukaan henkilötietoja säilytetään vain niin kauan kuin on tarpeen käsittelyn tarkoituksen kannalta. Tarpeellisuutta on arvioitava vähintään viiden vuoden välein, jollei henkilötietojen säilytysajoista muualla toisin säädetä. Tämä koskee lähtökohtaisesti kaikkia tietojärjestelmiä ja rekistereitä, eikä rikosasioiden tietosuojadirektiivi sisällä liikkumavaraa siltä osin kuin on kyse tietosuojan tason laskemisesta. Kansallisesti on mahdollista säätää vain samantasoisesta tai korkeamman tasoisesta tietosuojasta. 

Ehdotetuilla poistoajoilla poikettaisiin rikosasioiden tietosuojalain säännöksistä ja täydennettäisiin tietovarantolain säännöksiä siltä osin kuin on kyse rikosasiaan liittyvistä Syyttäjälaitoksen rekisterinpitovastuulle kuuluvista henkilötiedoista. Rikosasioiden tietosuojalain 1 §:n 1 momentin 2 kohdassa säädetyssä henkilötietojen käyttötarkoituksessa on kyse eri asiasta kuin tietovarantolaissa säädetyissä Oikeusrekisterikeskuksen vastuulla olevissa henkilötietojen käsittelytehtävissä. Apulaistietosuojavaltuutetun tarkastuskertomuksen perusteella nykyinen tekninen järjestelmäratkaisu ja sääntely eivät tue eri rekisterinpitäjien käyttötarkoitukseen perustuvaa tietojen erottelua ja hallintaa (ml. pääsyoikeudet tietoon ja tietojen poisto erillisten elinkaarisääntöjen nojalla). Kymmenen vuoden säilytysaika ilman käyttötarkoituksiin perustuvaa erottelua voisi ainakin joissakin tapauksissa heikentää rikosasioiden direktiivin mukaista tietosuojan tasoa, mahdollistaen jopa merkittävän pitkän tietojen säilyttämisen senkin jälkeen, kun syyttäjän käsiteltävänä oleva asia on ratkaistu eikä tietoja enää tarvita syyttäjän tehtävän hoitamiseen. Ehdotettu säilytysaika kuitenkin varmistaisi sen, että tiedot olisivat riittävän pitkään haettavissa paitsi niiden alkuperäiseen käyttötarkoitukseen, myös tarvittaessa Syyttäjälaitoksen sisäisen laillisuusvalvonnan tarkoituksiin tai syyttäjien oikeusturvan varmistamiseen. Se, että laissa säädettäisiin ajankohdasta, jolloin tiedot olisi viimeistään poistettava käsittelyjärjestelmästä, huomioisi kuitenkin direktiivin edellyttämän tietosuojan tason nykyistä paremmin. Lisäksi ehdotetun säännöksen sanamuoto mahdollistaisi myös sen, että tietojen suoraa näkyvyyttä rikosasioiden käsittelyjärjestelmässä rajataan teknisin keinoin, sen kuitenkaan estämättä tietojen haettavuutta.  

Tiedot eivät kuitenkaan kaikilta osin poistu syyttäjien tietojärjestelmistä sen jälkeen, kun ne on poistettu tietovarannosta. Ehdotetut säännökset eivät vaikuttaisi arkistoitujen tietojen säilyttämiseen. Syyttäjälaitoksen käyttämien asianhallintajärjestelmien ja järjestelmissä pysyvästi säilytettävien asiakirjojen arkiston sisältämien tietojen säilytysaikaa ei ole toistaiseksi rajoitettu. Määräajan säilytettävät asiakirjat kuten esitutkintapöytäkirjat tuhotaan nykyisin määräajan päätyttyä tiedonhallintasuunnitelman mukaisesti. Sakon rangaistusmääräyssovelluksessa tietoja säilytetään kaksi vuotta sakon vahvistamisesta. Kansallisarkisto on määrännyt Syyttäjälaitoksen päätökset pysyvään säilytykseen, lukuun ottamatta haastehakemuksia (Kansallisarkiston määräys KA/194838/07.01.01.03.01/2022, 10.2.2023). Tiedonhallintalaista seuraa kaikkia tiedonhallintayksiköitä koskeva vaatimus joko tuhota tietoaineistot tai arkistoida ne tietoturvallisella tavalla. Ehdotetulla rikosasioiden käsittelyjärjestelmää koskevalla erityissäännöksellä varmistettaisiin, että vaatimuksen soveltamisesta ei synny epäselvyyttä. 

22 d §. Yhteystietojen luovuttaminen. Lakiin ehdotetaan lisättäväksi uusi 22 d §, jossa säädettäisiin rikosasiaan liittyvien henkilöiden yhteystietojen luovuttamista koskevasta rajoituksesta. Rikosasioiden käsittelyjärjestelmään rekisteröidyn luonnollisen henkilön kotiosoitteen ja muun yhteystiedon saisi luovuttaa järjestelmästä ainoastaan viranomaisille syyttäjän tai muun viranomaisen lakisääteisen tehtävän hoitamiseksi.  

Rikollisuus on Suomessa muuttunut viime vuosikymmenten aikana yhä monimuotoisemmaksi ja usein järjestäytyneeksi. Järjestäytyneeseen rikollisuuteen myös liittyy monenlaisia toimijoita, sekä ammattimaisia asiantuntijapalveluita. Rikosprosessin osapuoliin voi kohdistua uhkailua ja väkivaltaa monenlaisissa tilanteissa. Esimerkiksi lähisuhde- tai perheväkivallan uhreilla voi olla tarve yhteystietojen suojaan, vaikka niitä ei koskisi turvakielto. Järjestäytynyt ja ammattimainen rikollisuus puolestaan on usein monimuotoista, ja siihen voi liittyä myös todistajiin tai muihin epäiltyihin kohdistuvaa väkivallan uhkaa. Uhkailua tai muuta toimintaa voi kohdistua kuitenkin muihin prosessin osapuoliin joskus jopa varsin lievistä rikoksista epäiltyjen taholta ilman, että sellaisesta on ollut ennalta havaittavia viitteitä. Rikoksen osapuoliin kohdistuva uhkailu saattaa myös ilmetä vasta sen jälkeen, kun esitutkinta on valmistunut ja aineisto on siirretty syyteharkintaan. 

Voimassa oleva lainsäädäntö mahdollistaa todistajien ja muiden vakavan uhkailun kohteeksi joutuneiden henkilöiden suojelemisen monin tavoin rikosprosessin aikana, mukaan lukien esitutkinta, syyteharkinta ja oikeudenkäynti. Todistajansuojelutoimenpiteet jaetaan vakiintuneesti kolmeen ryhmään: prosessi- ja rikosoikeudellisiin sekä muihin keinoihin. Prosessioikeudelliset suojelukeinot liittyvät todistajansuojeluun, konkreettiseen kuulemis- tai todistelutilanteeseen sekä oikeudenkäynnin julkisuuteen. Esimerkiksi suullisen käsittelyn ja asiakirjojen tai niihin sisältyvien tietojen julkisuutta voidaan tietyin edellytyksin rajoittaa oikeudenkäynnissä. Rikosoikeudellisiin keinoihin lukeutuvat oikeudenkäynnissä kuultavan uhkaamisen kriminalisoiminen rikoslaissa sekä mahdollisuus määrätä uhkaavasti käyttäytyvälle henkilölle lähestymiskielto. Rikosprosessin aikana kuultavia voidaan myös suojata poliisin käytettävissä olevilla keinoilla. Ehdotetut tietojen luovuttamisen rajoittamista koskevat säännökset tukisivat olemassa olevien uhkailun kohteena olevien tai mahdollisesti sen kohteeksi joutuvien suojaamiseen tarkoitettuja keinoja, mutta eivät rajoittaisi niiden soveltamista. Esimerkiksi todistajansuojelua tai muita järeämpiä suojelukeinoja voidaan tarvita sellaisessa tilanteessa, jossa uhatun todistajan asuinpaikka on epäillyn tai muun uhkailijan tiedossa. Ehdotetun säännöksen tarkoituksena on vahvistaa suojaa myös niissä tilanteissa, joissa asuinpaikka ei ole uhkailijan tiedossa entuudestaan. 

Rikosprosessin osapuolten terveyden ja turvallisuuden suojaamisen lisäksi ehdotetuissa säännöksissä huomioitaisiin se, että yhteystietoja voi niiden luovuttamista koskevasta rajoituksesta huolimatta olla ajoittain tarpeen luovuttaa viranomaisille syyttäjien tai muiden viranomaisten lakisääteisten tehtävien suorittamiseksi. Tällaisia tarpeita voisi liittyä esimerkiksi syyttäjän ja poliisin välisiin tiedonluovutuksiin. Yleensä viranomaisten omat tiedonsaantioikeudet kuitenkin ovat riittävät. 

Julkisuuslain 24 §:n 1 momentti sisältää eräitä erityisesti rikosprosessin kannalta merkityksellisiä säännöksiä. Momentin 3 kohdassa on säädetty salassa pidettäviksi asiakirjat, jotka poliisille ja muille esitutkintaviranomaisille ja syyttäjälle sekä tarkastus- ja valvontaviranomaisille tehdyt ilmoitukset rikoksesta, esitutkintaa ja syyteharkintaa varten saadut ja laaditut asiakirjat sekä haastehakemus, haaste ja siihen annettu vastaus rikosasiassa, kunnes asia on ollut esillä tuomioistuimen istunnossa taikka kun syyttäjä on päättänyt jättää syytteen nostamatta tai kun asia on jätetty sikseen, jollei ole ilmeistä, että tiedon antaminen niistä ei vaaranna rikoksen selvittämistä tai tutkinnan tarkoituksen toteutumista tai ilman painavaa syytä aiheuta asiaan osalliselle vahinkoa tai kärsimystä tai estä tuomioistuinta käyttämästä oikeuttaan määrätä asiakirjojen salassapidosta oikeudenkäynnin julkisuudesta yleisissä tuomioistuimissa annetun lain (370/2007) mukaan. Momentin 26 kohdassa on säädetty salassa pidettäviksi asiakirjat, jotka sisältävät tietoja rikoksesta epäillyn, asianomistajan tai muun rikosasiaan liittyvän henkilön yksityiselämään liittyvistä arkaluonteisista seikoista samoin kuin sellaiset asiakirjat, jotka sisältävät tietoja rikoksen uhrista, jos tiedon antaminen loukkaisi rikoksen uhrin oikeuksia tai hänen muistoaan tai läheisiään, jollei tiedon antaminen ole tarpeen viranomaisen tehtävän suorittamiseksi. 

Julkisuuslain 24 §:n 1 momentin 31 kohdassa on säädetty salassa pidettäviksi asiakirjat, jotka sisältävät tiedon henkilön ilmoittamasta salaisesta puhelinnumerosta tai tiedon matkaviestimen sijaintipaikasta, samoin kuin asiakirjat, jotka sisältävät tiedon henkilön kotikunnasta ja hänen siellä olevasta asuinpaikastaan tai tilapäisestä asuinpaikastaan samoin kuin puhelinnumerosta ja muista yhteystiedoista, jos henkilö on pyytänyt tiedon salassapitoa ja hänellä on perusteltu syy epäillä itsensä tai perheensä terveyden tai turvallisuuden tulevan uhatuksi. 

Esitutkintaviranomaisia koskevassa lainsäädännössä säädetään yksityiskohtaisesti siitä, mihin tarkoituksiin näillä viranomaisilla on oikeus luovuttaa henkilötietoja. Sen sijaan Syyttäjälaitoksesta annetussa laissa ei säädetä vastaavasti henkilötietojen tai muiden tietojen luovuttamisesta. Rikosasioiden käsittelyjärjestelmään tallennettujen tietojen luovuttamista ei ole myöskään rajoitettu niissä säännöksissä, joita sovelletaan syyttäjien tietojen luovuttamiseen. Ehdotettu säännös perustuu tarpeeseen suojata rikosprosessin osapuolia erityisesti henkeen ja turvallisuuteen kohdistuvilta riskeiltä, joita ei ole kaikissa tilanteissa mahdollista arvioida ennakkoon. 

Yhteystietojen, mutta myös henkilötunnuksen loppuosan, luovuttamista on rajoitettu useissa tietojärjestelmissä ja rekistereissä, joihin kohdistuu yleinen tai laaja tiedonsaantioikeus, ja luovuttaminen voi tapahtua yleisen tietoverkon välityksellä. Tietojen luovuttamisen rajoittamista koskevat säännökset sisältyvät erityislakeihin. Ehdotetuissa säännöksissä olisi kyse vastaavanlaisesta järjestelmäkohtaisesta rajoitussäännöksestä. Yhteystiedot, jotka on tallennettu rikosasioiden käsittelyjärjestelmään, eivät tulostu rikosasioiden käsittelyjärjestelmässä luoduille asiakirjoille. Siten ehdotus ei vaikuttaisi tällaisten asiakirjojen luovuttamiseen rikosasioiden käsittelyjärjestelmästä.  

Rekisteröidyn tietojen suojalle aiheutuu riskejä siitä, että rikosprosessin osapuolet eivät tietosuojaselosteista huolimatta ole aina riittävän tietoisia tietojen luovuttamisesta viranomaisten järjestelmistä, sekä väestötietojärjestelmän liittyvistä teknisistä näkökohdista. Rikosasioiden käsittelyjärjestelmään rekisteröityjen henkilöiden yhteystietojen päivittäminen tapahtuu automatisoidusti väestötietojärjestelmästä. Jokaisella väestötietojärjestelmään merkityllä henkilöllä on mahdollisuus itse rajoittaa yhteystietojensa luovuttamista väestötietojärjestelmästä tekemällä tietojenluovuttamiskieltoja Suomi.fi -verkkopalvelussa. Se ei kuitenkaan estä yhteystietojen luovuttamista viranomaisille. Tietojenluovutuskiellot eivät myöskään turvakieltoa lukuun ottamatta välity eteenpäin tiedot vastaanottavan viranomaisen järjestelmään. 

Ehdotuksen taustalla on lisäksi uhridirektiivin tuleva muutos. Uhridirektiivin tulevat säännökset eivät kuitenkaan olisi riittävät kaikkien yhteystietojen suojaustarpeiden kannalta. Ehdotetun säännöksen tavoitteena on suojata kattavammin myös muita rikosprosessin osapuolia, joihin voi kohdistua vastaavanlaista uhkailua kuin uhreihin. Erityisesti uhrit, mutta myös muut osapuolet voivat olla rikosprosessissa haavoittuvassa asemassa. Ehdotetulla säännöksellä ei vaikutettaisi muihin viranomaisiin tai tietojärjestelmiin, mutta ne suojaisivat yhteystietoja myös oikeushallinnon valtakunnallisessa tietovarannossa siltä osin kuin on kyse syyttäjien käsittelyjärjestelmän sisältämistä tiedoista. 

Vaikka ehdotuksella ei olisi suoraa vaikutusta muihin rikosprosessiin osallistuviin viranomaisiin, rikosprosessin osapuolten ja todistajien yhteystietoja kuitenkin on mahdollista suojata muiden lain säännösten avulla. Todistajan tai muun kuultavan yhteystiedot voidaan olla luovuttamatta myös esitutkinnassa julkisuuslain 11 §:n 2 momentin 7 kohdan ja 24 §:n 1 momentin 31 kohdan nojalla. Lisäksi todistajan tai muun kuultavan yhteystiedot sisältävä oikeudenkäyntiasiakirja ja tuomion osa voidaan julistaa salaiseksi oikeudenkäynnin julkisuudesta yleisissä tuomioistuimissa annetun lain 9 §:n 1 momentin 5 kohdan ja 24 §:n 1 momentin 1 kohdan nojalla. Nämä säännökset kuitenkin edellyttävät yhteystietojen määrittämistä erikseen salassa pidettäviksi. 

Ehdotetulla säännöksellä yhteystietojen luovuttamisen rajoittamisesta suojattaisiin rikosprosessin osapuolia vahvemmin kuin julkisuuslain 24 §:n 1 momentin 31 kohdan säännöksillä, joissa yhteystietojen luovuttamista koskevat poikkeukset rajoittuvat tilanteisiin, joissa henkilö on pyytänyt niiden salassapitoa terveyteen tai turvallisuuteen perustuvan uhkan vuoksi. Rikosprosessin osapuolet eivät kuitenkaan läheskään aina pysty ennakoimaan häirintää, uhkailua tai väkivaltaa. Julkisuuslain säännökset eivät tällaisissa tapauksissa suojaa aukottomasti rikoksen asianosaisten yhteystietoja, joita voi sisältyä sellaisiin asiakirjoihin, joihin kohdistuu yleinen tiedonsaantioikeus. Ehdotetun säännöksen perusteella yhteystiedot eivät olisi salassa pidettäviä, mutta niiden luovuttamista rajoitettaisiin. Ehdotetut säännökset eivät vaikuttaisi rikosasioita koskevien asiakirjojen tai muiden tietojen julkisuuteen ja salassapitoon, jotka määräytyisivät nykytilaa vastaavasti julkisuuslain mukaisesti, eivätkä siten vaikuttaisi rikosasioiden käsittelyjärjestelmän asiakirjojen luovuttamiseen. Säännökset eivät myöskään rajoittaisi rikoksesta epäillyn oikeutta saada tutustua rikosprosessiin liittyvään aineistoon. 

7.2  Laki oikeushallinnon valtakunnallisesta tietovarannosta

3 §.Määritelmät. Pykälän 2 kohtaa muutettaisiin lisäämällä oikeushallinnon viranomaisen määritelmään Oikeuspalveluvirasto ja Tuomioistuinvirasto. Huomioiden näiden viranomaisten olemassa olevat tietojärjestelmiin liittyvät vastuut ja sen, että niille ehdotetaan lain 7 §:ssä säädettäviä rekisterinpitovastuita, niillä olisi lain 5 §:n mukaisesti velvollisuus liittyä tietovarantoon. Oikeuspalveluvirastolla ja Tuomioistuinvirastolla ei olisi kuitenkaan lain 6 §:n mukaista velvollisuutta luovuttaa tietoja tietovarantoon, vaan tietojen luovuttaisivat nykytilaa vastaavasti tuomioistuimet ja oikeusaputoimistot. 

5 §.Velvollisuus liittyä tietovarantoon. Voimassa olevassa lain 5 §:ssä säädetään oikeushallinnon viranomaisten velvollisuudesta liittyä tietovarantoon sekä välittää sen kautta tietoja ja ilmoituksia muille viranomaisille. Pykälää muutettaisiin siten, että oikeushallinnon viranomaiset, joita velvollisuus koskee, mainittaisiin nimenomaisesti. Kyseessä on teknisluonteinen muutos, jolla huomioitaisiin 3 §:n määritelmän laajennus. Vaikka Oikeuspalveluvirasto ja Tuomioistuinvirasto säädettäisiin rekisterinpitäjiksi, 5 §:n mukaiset velvollisuudet eivät koskisi niitä, vaan nykytilaa vastaavasti tuomioistuimia, Syyttäjälaitosta ja oikeusaputoimistoja. 

7 §.Tietovarannon rekisterinpitäjät. Voimassa olevan lain 7 § ehdotetaan korvattavaksi uudella pykälällä, jossa nykytilasta poiketen säädettäisiin oikeushallinnon viranomaisten välisestä yhteisrekisterinpidosta. Voimassa olevan lain mukaisesti Oikeusrekisterikeskus on tietovarannon ainoa rekisterinpitäjä. Laissa määritellyillä oikeushallinnon viranomaisilla, joita ovat tuomioistuimet, Syyttäjälaitos ja oikeusaputoimistot, on voimassa olevan lain mukaisesti velvollisuus liittyä tietovarantoon sekä välittää sen kautta ilmoituksia ja tietoja muille viranomaisille. Yhteisrekisterinpito olisi perusteltua sen huomioimiseksi, että valtakunnalliseen tietovarantoon kytkeytyy useita nykytilan kuvauksesta ilmeneviä tietojärjestelmiä, joiden tosiasiallinen rekisterinpitäjä on yksi tai useampi muu viranomainen kuin Oikeusrekisterikeskus.  

Pykälän 1 momentin mukaan Oikeusrekisterikeskus, Tuomioistuinvirasto, tuomioistuimet, Syyttäjälaitos ja Oikeuspalveluvirasto olisivat tietovarannon yhteisrekisterinpitäjiä. Oikeusaputoimistojen sijasta rekisterinpitäjäksi ehdotetaan Oikeuspalveluvirastoa. Edellä nykytilan kuvauksesta ilmenee, että Oikeuspalveluviraston perustamisen yhteydessä tarkoituksena on ollut, että rekisterinpitäjänä toimii uusi virasto valtion oikeusapu- ja edunvalvontapiirien sijasta. Rekisterinpito on myös järjestetty tämän mukaisesti viraston aloitettua toimintansa. 

Unionin tuomioistuin on vahvistanut rekisterinpitäjän laajan käsitteen. Viranomaisten osalta rekisterinpidosta Suomessa säädetään usein laissa perustuslaista johtuvista syistä. Silloinkin, kun asiasta ei säädetä laissa, luonnollista henkilöä tai oikeushenkilöä, joka vaikuttaa omia tarkoituksiaan varten henkilötietojen käsittelyyn ja osallistuu tämän vuoksi kyseisen käsittelyn tarkoituksen ja keinojen määrittämiseen, voidaan pitää rekisterinpitäjänä (C 25/17, Jehovan todistajat, tuomio 10.7.2018, 68 kohta). Voimassa olevasta 7 §:stä poiketen tietovarantoon kytkeytyvissä järjestelmissä tapahtuvan henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen osallistuu tosiasiallisesti useampi oikeushallinnon viranomainen. Ehdotetulla yhteisrekisterinpidolla saatettaisiin tietovarantoa koskevat säännökset vastaamaan tosiasiallista rekisterinpitoa.  

Pykälän 2 momentissa täsmennettäisiin se, mihin oikeushallinnon viranomaisten rekisterinpitovastuut perustuisivat. Momentin mukaan 1 momentissa mainitut viranomaiset vastaisivat rekisterinpitäjän velvollisuuksista siltä osin kuin on kyse henkilötietojen käsittelystä, jonka tarkoitusten ja keinojen määrittämiseen ne osallistuvat omien lakisääteisten tehtäviensä hoitamiseksi.  

Henkilötietojen käsittelyn tarkoituksilla on yhteys viranomaisen lakisääteisten tehtävien hoitamiseen. Tämä ilmenee nimenomaisesti rikosasioiden tietosuojalain soveltamisalaa koskevista säännöksistä, joissa säädetään yksityiskohtaisesti toimivaltaisten viranomaisten käsittelyn tarkoituksista. Esimerkiksi rikosasioiden tietosuojalain 1 §:n 1 momentin 2 kohdassa säädetään niistä tarkoituksista, joihin syyttäjät voivat käsitellä henkilötietoja sen soveltamisalalla. Syyttäjälaitoksesta annetussa laissa, jota ehdotetaan muutettavaksi 1. lakiehdotuksella, säädetään yksityiskohtaisemmin syyttäjien tehtävistä, joiden hoitamiseksi käsitellään henkilötietoja rikosasioiden tietosuojalain soveltamisalalla. Käytännössä syyttäjät käsittelevät rikosasioihin liittyviä henkilötietoja esimerkiksi syyteharkinnan yhteydessä Syyttäjälaitoksen omaan käyttöön varatussa tietojärjestelmässä. Tilanteessa, jossa käsittelyn tarkoitukset on laissa sidottu viranomaisen lakisääteisiin tehtäviin, ei ole tarkoituksenmukaista, että rekisterinpitäjänä olisi yksinomaan muu viranomainen. 

Henkilötietojen käsittelyn tarkoitukset määräytyvät viranomaisten osalta pitkälti niiden lakisääteisiä tehtäviä ja toimivaltuuksia koskevien säännösten mukaisesti myös silloin, kun on kyse tietovarantoon liittyvästä henkilötietojen käsittelystä yleisen tietosuoja-asetuksen soveltamisalalla. Viranomaisten henkilötietojen käsittelyn oikeusperuste on useimmiten joko 6 artiklan 1 kohdan c tai e alakohta. Yleisen tietosuoja-asetuksen 6 artiklan 2 ja 3 kohdan mukaisesti näitä käsittelyn oikeusperusteita täydennetään laissa. Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Tietosuojalain 4 §:n 2 kohta lisäksi täydentää henkilötietojen käsittelyn oikeusperustetta siltä osin kuin käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Kyseinen kohta voi muodostaa viranomaisen suorittaman henkilötietojen käsittelyn oikeusperusteen yhdessä 6 artiklan 1 kohdan e alakohdan kanssa edellyttäen, että viranomaisen yleistä etua koskevasta tehtävästä tai julkisen vallan käyttöön liittyvistä toimivaltuuksista säädetään laissa. 

Oikeusrekisterikeskuksen ja Tuomioistuinviraston rekisterinpitoon liittyvät tehtävät poikkeavat muista ehdotetuista tietovarannon yhteisrekisterinpitäjistä siten, että niille on laissa säädetty tietojärjestelmien kehittämiseen liittyvä tehtävä. Oikeusrekisterikeskus toimii Oikeusrekisterikeskuksesta annetun lain (625/2012) mukaisesti useiden oikeusministeriön hallinnonalan tietojärjestelmien ja rekisterien rekisterinpitäjänä, mutta sillä on myös tosiasiallisesti henkilötietojen käsittelijän tehtäviä toisen viranomaisen lukuun joissakin tilanteissa. Lisäksi se huolehtii hallinnonalan tietojärjestelmien ylläpidosta ja kehittämisestä yhteistyössä hallinnonalan virastojen kanssa siten kuin palvelusopimuksissa on sovittu, ja toimii hallinnonalan IT-hankintojen hankintayksikkönä. Tuomioistuinvirastolle on puolestaan säädetty tuomioistuinlaissa tehtävä huolehtia tuomioistuinten tietojärjestelmien ylläpidosta ja kehittämisestä. Tuomioistuinviraston muista rekisterinpitäjistä poikkeava tehtävä olisi tarvittavin osin huomioitava rekisterinpitäjien välisissä tarkentavissa sopimuksissa. 

Koska tietovarantoon liittyvät tosiasialliset rekisterinpitovastuut jakautuvat eri tavoin siihen kuuluvissa järjestelmissä, rekisterinpitovastuiden jakaminen tietojärjestelmittäin tai muutoin yksityiskohtaisesti ja tarkkarajaisesti lain säännöksissä ei olisi toimiva sääntelyratkaisuna. Tästä syystä yhteisrekisterinpidosta ehdotetaan säädettäväksi yleisellä tasolla. Ratkaisevaa olisi se, mikä viranomainen tosiasiallisesti yksittäistapauksessa vastaa kyseessä olevien henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämisestä joko yksin tai yhdessä toisen viranomaisen kanssa. 

Yhteisrekisterinpitoon sovellettaisiin ehdotettujen säännösten lisäksi yleisen tietosuoja-asetuksen 26 artiklaa ja, siltä osin kuin on kyse rikosasioiden tietosuojalain soveltamisalaan kuuluvasta henkilötietojen käsittelystä, rikosasioiden tietosuojalain 16 §:ää. Huomioiden lain säännösten yleisluontoisuuden, rekisterinpitäjien voisi olla yleisen tietosuoja-asetuksen soveltamisalalla tarpeen tapauskohtaisesti määritellä keskinäisellä järjestelyllä läpinäkyvällä tavalla se, miten rekisterinpitäjän vastuualueet tarkemmin jakautuisivat niiden kesken, erityisesti rekisteröityjen oikeuksien toteuttamista ja rekisteröidyn informointia koskevien tehtäviensä osalta. Esimerkiksi Tuomioistuinviraston ja tuomioistuinten keskinäiset tietosuojaan liittyvät rekisterinpitovastuut jakautuvat jo nykyisin tarkemmin sen mukaisesti, mitä niiden välillä on sovittu (ks. edellä nykytilan kuvaus). Rikosasioiden tietosuojalain 16 §:n säännökset ovat velvoittavat ja edellyttävät vastuunjaosta sopimista ja yhteyspisteen nimeämistä. Sen sijaan yleisen tietosuoja-asetuksen 26 artiklan 1 kohta jättää asiassa liikkumavaraa. Huomioiden kuitenkin tietovarannon muodostaman monimutkaisen kokonaisuuden, yhteisrekisterinpitäjien olisi syytä nimetä yhteyspiste myös muiden kuin rikosasioihin liittyvien käsittelytilanteiden osalta. Rekisteröity voi kuitenkin käyttää oikeuksiaan suhteessa kuhunkin yhteisrekisterinpitäjään. 

Pykälän 3 momentissa säädettäisiin eräiden oikeushallinnon viranomaisten tietojen oikeellisuuteen liittyvästä vastuusta silloin, kun ne luovuttavat omista järjestelmistään tai niiden osista tietoja tietovarantoon kuuluviin tietojärjestelmiin. Sen lisäksi, mitä 2 momentissa säädetään, 3 momentin mukaan tuomioistuimet, Syyttäjälaitos ja Oikeuspalveluvirasto vastaisivat rekisterinpitäjinä siitä, että niiden valtakunnalliseen tietovarantoon tallentamat tiedot ovat täsmällisiä ja tarvittaessa päivitettyjä, sekä havaitsemiensa virheiden oikaisusta viipymättä. Oikeusrekisterikeskus vastaisi näiden tietojen edelleen välittämisestä tietovarannosta muihin tietojärjestelmiin tiedot luovuttaneen viranomaisen tekemien merkintöjen mukaisesti sekä muista tietovarantoon liittyvistä rekisterinpitäjän velvollisuuksista, joita ei ole jaettu rekisterinpitäjien kesken. Tällä tarkoitettaisiin sekä ehdotettuihin lain säännöksiin että rekisterinpitäjien välisiin sopimuksiin perustuvaa tehtävien jakautumista niiden kesken. 

Ehdotetussa 3 momentissa huomioitaisiin se, millä oikeushallinnon viranomaisella olisi tosiasiallisesti mahdollisuus huolehtia tarvittaessa tietovarantoon luovutetuissa tiedoissa ilmenneiden virheiden oikaisusta. Tuomioistuinvirasto ei luovuta tietovarantoon henkilötietoja, eikä sillä olisi momentissa tarkoitettuja vastuita. Oikeuspalveluvirasto puolestaan olisi rekisterinpitäjän vastuussa oikeusaputoimistojen luovuttamista henkilötiedoista ja huolehtisi myös siitä, että oikeusaputoimistojen luovuttamat tiedot tulevat oikaistuiksi. Tietojen oikaiseminen voisi edellyttää myös sitä, että tiedot luovuttanut viranomainen ilmoittaa Oikeusrekisterikeskukselle havaituista virheistä, jotta tämä voi tarpeen mukaan ilmoittaa niistä edelleen niille tahoille, joille virheelliset tiedot on välitetty tietovarannosta.  

EU:n tuomioistuimen vakiintuneen oikeuskäytännön mukaan henkilötietojen käsittelyssä on yhtäältä noudatettava yleisen tietosuoja-asetuksen 5 artiklassa mainittuja tietojen käsittelyä koskevia periaatteita ja toisaalta, kun otetaan huomioon erityisesti kyseisen artiklan 1 kohdan a alakohdan mukainen käsittelyn lainmukaisuuden periaate, jonkin saman asetuksen 6 artiklassa luetellun lainmukaisuuden edellytyksen on täytyttävä kyseisen käsittelyn osalta (tuomio 7.12.2023, Schufa Holding, C-634/21, 67 kohta; tuomio 20.10.2022, Digi, C 77/21, 49 kohta oikeuskäytäntöviittauksineen). Rekisterinpitäjän on voitava osoittaa noudattavansa kyseisiä periaatteita tämän asetuksen 5 artiklan 2 kohdassa säädetyn osoitusperiaatteen mukaisesti (ks. tuomio 20.10.2022, Digi, C 77/21, 24 kohta). 

Käytännössä 3 momentin ensimmäisen virkkeen säännöksellä viitattaisiin käsittelytoimiin, jotka toteutetaan esimerkiksi tuomioistuinten henkilökunnan toimesta manuaalisesti tietojärjestelmässä. Tietojen oikeellisuuteen ja ajantasaisuuteen voivat kuitenkin vaikuttaa muutkin tekijät kuin se, mitä tietoja säännöksessä mainitut viranomaiset ovat tallentaneet tietovarantoon, kuten automatisoitu tietojen päivittäminen toisesta järjestelmästä, esimerkiksi väestötietojärjestelmästä. Tällaisessa tilanteessa tietojen oikaisun voisi tiedot tallentaneen viranomaisen sijasta tehdä Oikeusrekisterikeskus tai joissakin tilanteissa tuomioistuinten osalta Tuomioistuinvirasto. Esimerkiksi tämän tyyppisiin tilanteisiin liittyvien vastuiden jakamiseksi voitaisiin soveltaa yleisen tietosuoja-asetuksen ja rikosasioiden tietosuojalain säännöksiä yhteisrekisterinpidosta. Siltä osin kuin on kyse kuitenkin tiedoista, jotka ovat samanaikaisesti osa tietovarantoa ja viranomaisen omaa diaaria tai muuta asiainhallintajärjestelmää, Oikeusrekisterikeskuksen ei ole mahdollista tehdä tietojen oikaisua tietovarannon tietoihin, vaan sen olisi nykyisen käytännön mukaisesti otettava yhteyttä tiedot tallentaneeseen yhteisrekisterinpitäjään ja pyydettävä tältä tietojen oikaisua. 

Ehdotus ei edellä todetun tapaisissa tilanteissa poistaisi kokonaan Oikeusrekisterikeskuksen vastuuta huolehtia osaltaan tietojen paikkansa pitävyyteen ja täsmällisyyteen liittyvistä velvoitteista. Ehdotetulla 3 momentilla kuitenkin jaettaisiin tätä vastuuta tietovarantoa käyttävien viranomaisten kanssa. Tämä parantaisi rekisterinpitäjien edellytyksiä osoittaa noudattavansa tietosuoja-asetusta, ja vastaavasti rikosasioiden tietosuojalakia. Tietosuoja-asetuksen ja rikosasioiden tietosuojalain mukaisen vastuun täsmällisemmällä jakamisella varmistettaisiin paremmin se, että velvoitteista huolehditaan ja mahdolliset virheet tulevat oikaistuiksi tehokkaammin. Oikeusrekisterikeskuksen tietojen edelleen välittämiseen liittyvä vastuu tarkoittaisi muun muassa tietojen eheyden varmistamista. Tietojen edelleen välittämiseen liittyvä rekisterinpitäjän vastuu kattaisi myös sen, että Oikeusrekisterikeskuksen olisi lisäksi tarvittaessa huolehdittava siitä, että tieto henkilötiedoissa havaitusta virheestä ilmoitetaan myös tietojen vastaanottajille siltä osin kuin se on vastannut niiden edelleen välittämisestä tietovarannosta. Henkilötieto voi sisältyä myös viranomaisen asiakirjaan, esimerkiksi tuomioon. Ehdotettu 3 momentti muuttaisi nykytilaa sen osalta, miten rekisterinpitäjien vastuun on voimassa olevan lain nojalla tulkittu jakautuvan. Laista poistettavat tietovarantoa käyttäville viranomaisille säädetyt velvoitteet tietojen paikkansa pitävyyden varmistamisesta korvattaisiin rekisterinpitäjän vastuilla.  

Oikeusrekisterikeskus vastaisi lisäksi tietovarannon osalta rekisterinpitäjälle kuuluvista velvoitteista siltä osin kuin niiden jakamisesta muiden oikeushallinnon viranomaisten kanssa ei ole erityisesti sovittu. Oikeusrekisterikeskus vastaisi esimerkiksi nykytilaa vastaavasti palvelukeskuksena tietojärjestelmien tietoturvallisuuteen liittyvistä tehtävistä tekemiensä palvelusopimusten mukaisesti. Esimerkiksi AIPA-järjestelmän osalta Tuomioistuinvirasto hoitaa jo nykyisin rekisterinpitäjälle kuuluvia tehtäviä tietovarantolain voimassa olevista säännöksistä poiketen. 

Oikeushallinnon valtakunnalliseen tietovarantoon ja siihen kuuluviin tietojärjestelmiin liittyy myös erilaisia teknisiä ylläpito- ja kehittämistehtäviä, joissa ei ole kyse pelkästään henkilötietojen rekisterinpidosta. Tällaisista tehtävistä ei myöskään säädetä sellaisenaan tietosuojalainsäädännössä. Tietojärjestelmien tekniset toiminnallisuudet vaikuttavat siihen, miten rekisterinpitäjä voi huolehtia henkilötietojen tietoturvallisesta käsittelystä. Erilaisia teknisiä tehtäviä ei olisi kuitenkaan tarpeen tietosuojalainsäädännön vaatimusten kannalta kattaa lain säännöksillä. Ne olisi myös käytännön syistä tarkoituksenmukaisempaa jättää tapauskohtaisesti sovittaviksi rekisterinpitäjien välisillä tai rekisterinpitäjän ja henkilötietojen käsittelijän välisillä sopimuksilla ja järjestelyillä yleisen tietosuoja-asetuksen tai rikosasioiden tietosuojalain mukaisesti. Siinä tapauksessa, että rekisterinpitäjät sopisivat joissakin tapauksissa tehtävien jakamisesta kahden tai useamman viranomaisen kesken, oleellista on, että järjestelyt dokumentoitaisiin sen varmistamiseksi, että viranomaisten sisäisen valvonnan ja ulkoisen henkilötietojen käsittelyn valvonnan ja laillisuusvalvonnan yhteydessä pystytään osoittamaan tehtävästä vastuussa olevat rekisterinpitäjät. 

Voimassa olevan lain 7 §:n 2 momenttia vastaavaa säännöstä ei sisällytettäisi uuteen pykälään. Oikeusministeriölle on kyseisessä momentissa säädetty tietovarannon kehittämistä ja käyttöpalveluiden järjestämistä koskeva tehtävä. Kyseisessä säännöksessä mainittu tehtävä kuuluu pääosin Oikeusrekisterikeskukselle, ja joiltakin osin Tuomioistuinvirastolle. Oikeusministeriöllä on kuitenkin lain 12 §:n 6 momentin mukaisesti oikeus salassapitosäännösten estämättä hakea esiin ja käyttää toimintansa sekä oikeusministeriön hallinnonalan toiminnan suunnittelua ja seurantaa varten raportointi- ja tilastointijärjestelmään tallennettuja tietoja. Tämä oikeus on kuitenkin rajallisempi kuin tuomioistuinten, Syyttäjälaitoksen ja oikeusaputoimistojen tiedonhakuoikeus. Vaihtoehtoisesti asiasta voitaisiin säätää oikeusministeriön tiedonsaantioikeutena, tai laissa voitaisiin säätää Oikeusrekisterikeskuksen oikeudesta luovuttaa tietoja ministeriölle salassapitosäännösten estämättä. Oikeusministeriö ei sen sijaan tallenna tietovarantoon tietoja, eikä se osallistu henkilötietojen käsittelyn tarkoitusten ja keinojen määrittämiseen. Koska oikeusministeriön osalta kyse ei ole tietovarannon rekisterinpitäjään rinnastuvista tehtävistä, ja voimassa oleva säännös ei enää vastaa nykytilaa, säännös voidaan poistaa laista tarpeettomana. Muutos ei vaikuttaisi kuitenkaan oikeusministeriön oikeuteen hakea tietoja tietovarannosta lain 12 §:n 6 momentissa säädettyyn tarkoitukseen. Muutos ei myöskään vaikuttaisi siihen, että oikeusministeriö voi olla rekisterinpitäjä silloin, kun tietovarannosta saatuja henkilötietoja käsitellään sellaisella tallennusalustalla, jonka osalta oikeusministeriölle on määritetty rekisterinpitovastuita. 

11 §.Tietoja tallentaneen viranomaisen oikeus käyttää tallentamiaan tietoja. Voimassa olevan 11 §:n mukaan oikeushallinnon viranomainen saa salassapitosäännösten estämättä käyttää tietovarantoon tallentamiaan tietoja niiden käyttötarkoituksen mukaisesti lakisääteisten tehtäviensä hoitamisessa. Yleinen tietosuoja-asetus ja rikosasioiden tietosuojalaki mahdollistavat alkuperäiseen tarkoitukseen kerättyjen henkilötietojen käsittelyn myöhemmin muuhun tarkoitukseen, edellyttäen että käsittely on yhteensopivaa alkuperäisen käsittelytarkoituksen kanssa. Tältä osin merkitystä on muun ohella sillä, mikä alkuperäisen ja myöhemmän aiotun käsittelytarkoituksen yhteys on. Lisäksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta ja tietosuojalain 4 §:n 2 kohta luovat oikeusperustan henkilötietojen käsittelylle yleistä etua koskevan tehtävän hoitamiseksi silloinkin, kun henkilötietojen käsittelystä ei erikseen säädetä muualla laissa, edellyttäen että viranomaisen tehtävän hoitaminen kuitenkin perustuu lakiin. Siltä osin kuin on kyse henkilötietojen käsittelystä yleisen tietosuoja-asetuksen soveltamisalalla, voimassa oleva tietosuojalain 4 §:n 2 kohta mahdollistaa henkilötietojen käsittelyn niiden alkuperäisen keräämistarkoituksen kanssa yhteensopivaan käsittelytarkoitukseen. Tällaisena yhteensopivana käsittelytarkoituksena on pidetty muun muassa viranomaisen suunnittelu- ja selvitystehtäviä. 

Rikosasioiden tietosuojalain 5 §:n 2 momentti sisältää lain soveltamisalaan kuuluvia tarkoituksia varten kerättyjä henkilötietoja koskevan käyttötarkoitussidonnaisuuden vaatimuksen, jonka mukaan 1 §:n 1 tai 2 momentissa säädettyä tarkoitusta varten kerättyjä henkilötietoja saa käsitellä muuhun kuin kyseisessä momentissa säädettyyn tarkoitukseen vain, jos käsittelystä säädetään laissa. Lisäksi tietovarantolain voimassa olevasta 11 §:stä seuraa tietojen käytölle asetetut käyttötarkoitussidonnaisuuden ja lakisääteisyyden vaatimukset. Säännöksen alkuperäisistä perusteluista (HE 102/2009 vp) ilmenee, että käyttöoikeus on sidottu siihen tarkoitukseen, joka tietojen tallettamisella alun perin oli, eikä säännös merkitse poikkeamista henkilötietolaissa säädetystä käyttötarkoitussidonnaisuuden vaatimuksesta. Voimassa oleva lain 12 § mahdollistaa muiden viranomaisten tallentamien tietojen hakemisen ja käyttämisen eräisiin pykälässä säädettyihin tarkoituksiin, mutta ei koske viranomaisen itse tallentamia tietoja. Kyseisellä pykälällä on katettu esimerkiksi syyttäjien tarve käyttää toistensa salassa pidettäviä tietoja samaa henkilöä koskevien asioiden keskittämiseksi, sekä korkeimpien oikeuksien tehtävä valvoa lainkäyttöä toimialallaan. Vaikka vastaavia käyttötarpeita voi liittyä myös viranomaisen itse tallentamiin tietoihin, edellä mainitut rikosasioiden tietosuojalain ja tietovarantolain säännökset eivät vaikuttaisi mahdollistavan niiden käyttöä alkuperäisestä käyttötarkoituksesta poikkeavaan tarkoitukseen. 

Rikosasioissa toimivaltaisten viranomaisten osalta rikosasioiden tietosuojalain 19 §:n 2 momentti mahdollistaa tietovarantoon kuuluvan järjestelmän lokitietojen käytön käsittelyn lainmukaisuuden tarkistamiseen, sisäiseen valvontaan, henkilötietojen eheyden ja turvallisuuden varmistamiseen sekä rikosoikeudellisiin menettelyihin. Lisäksi tiedonhallintalain 17 § mahdollistaa yleisemmin viranomaisten tietojärjestelmien lokitietojen käyttämisen tietojärjestelmissä olevien tietojen käytön ja luovutuksen seurantaan sekä tietojärjestelmän teknisten virheiden selvittämiseen. Sen sijaan lokitietoja koskevat säännökset eivät kata tietojärjestelmissä olevien muiden tietojen hyödyntämistä esimerkiksi hallinnollisissa valvontamenettelyissä tai virkamiesoikeudellisissa menettelyissä tai rekisterinpitäjänä toimivan viranomaisen sisäisissä valvontatarkoituksissa. 

Pykälään ehdotetaan lisättäväksi uusi 2 momentti, jonka mukaan oikeushallinnon viranomainen saisi salassapitosäännösten estämättä käyttää tietovarantoon tallentamiaan tietoja 1 momentissa säädetystä poiketen viranomaisen valvonta-, suunnittelu- tai kehittämistehtävän hoitamiseksi sekä viranhaltijoiden oikeusturvan varmistamiseksi, siltä osin kuin tiedot olisivat tähän tarkoitukseen välttämättömiä. Säännöksellä katettaisiin pääosin vastaavanlaiset tietojen käsittelytarpeet kuin ne, jotka on huomioitu muiden viranomaisten tietoihin kohdistuvan haku- ja käyttöoikeuden osalta lain 12 §:ssä. Ehdotettu 11 §:n 2 momentti olisi rajattu poikkeus käyttötarkoitussidonnaisuuden vaatimukseen, joka koskee erityisesti tietovarantoon tallennettuja henkilötietoja. Erityisesti rikosasioissa toimivaltaisten viranomaisten tarpeiden huomioimiseksi käyttötarkoitussidonnaisuuden vaatimuksesta poikkeamisesta olisi tarpeen säätää. Myös voimassa olevan tietovarantolain 11 § voi aiheuttaa tulkintaepäselvyyttä siltä osin, mitä voitaisiin pitää henkilötietojen alkuperäisen keräämistarkoituksen kanssa yhteensopivana käsittelynä. Huomioiden oikeushallinnon viranomaisten käsittelemien useiden asiaryhmien arkaluonteisuuden, poikkeus rajattaisiin siihen, mikä on välttämätöntä. 

Henkilötietojen käsittelytarpeita muuhun kuin niiden alkuperäiseen keräämistarkoitukseen liittyy tyypillisesti erilaisiin rekisterinpitäjän tehtäviin ja viranomaisen sisäisiin valvontatehtäviin, tai esimerkiksi syyttäjän tai muun viranhaltijan virkavastuun selvittämiseen, mutta ajoittain niitä voi liittyä myös muihin säännöksessä tarkoitettuihin tilanteisiin. Välttämättömyydellä tarkoitettaisiin sitä, että esimerkiksi suunnittelu- tai kehittämistehtävän hoitamiseksi luonnollisen henkilön yksilöiviä tietoja tulisi käsitellä vain, jos tehtävän hoitaminen ei onnistu ilman niitä.  

14 §.Tietojen luovuttamisesta päättäminen. Voimassa olevan 14 §:n 1 momentin mukaisesti Oikeusrekisterikeskus päättää tietojen luovuttamisesta tietovarannosta. Pykälän 2 momentin mukaan Oikeusrekisterikeskus voi siirtää asianomaiselle viranomaiselle käsiteltäväksi tietopyynnön, joka koskee oikeusaputoimistossa, Syyttäjälaitoksessa tai tuomioistuimessa vireillä ollutta tai käsiteltyä asiaa taikka merkintöjä, joita koskevien tietojen antamista tuomioistuin on rajoittanut 16 §:n 2 momentin nojalla.  

Pykälän 1 momenttia ehdotetaan muutettavaksi siten, että se ei rajoittaisi oikeushallinnon viranomaisen oikeutta luovuttaa tietovarantoon tallentamiaan tietoja viranomaisten toiminnan julkisuudesta annetun lain tai oikeudenkäynnin julkisuutta koskevien säännösten nojalla. Muutoksella huomioitaisiin tarkemmin julkisuussääntelyn tarkoitus siitä, että tietopyyntö voidaan osoittaa suoraan sellaiselle viranomaiselle, jonka asiakirjasta on kyse. Viranomaisten toiminnan julkisuudesta annetun lain (julkisuuslaki) sisältämä viranomaisen asiakirjan käsite on kuitenkin laaja ja kattaa myös viranomaiselle toimitetut asiakirjat. Huomioiden tietovarantolain säännökset tietojen hakemisesta, käytännössä kyse olisi kuitenkin viranomaisen itse tietovarantoon tallentamista tiedoista. Ehdotetussa 14 §:n 1 momentin muutoksessa voisi olla kyse samalla sellaisten henkilötietojen luovuttamisesta, jotka olisivat 7 §:n 2 momentin mukaisesti yksittäisen oikeushallinnon viranomaisen omalla rekisterinpitovastuulla. 

Voimassa olevassa momentissa ei ole huomioitu tilanteita, joissa oikeushallinnon viranomaiselle osoitettu viranomaisten toiminnan julkisuudesta annetun lain mukainen tietopyyntö kohdistuu viranomaisen omiin diaaritietoihin, vaikka kyse olisi samalla tietovarantoon tallennetuista tiedoista. Voimassa oleva momentti voi myös olla ristiriidassa sellaisten muun lainsäädännön säännösten kanssa, joissa on kyse viranomaisen oikeudesta luovuttaa tietoja salassapitosäännösten estämättä. Julkisuuslain lähtökohtana kuitenkin on, että viranomainen käsittelee vastaanottamansa tietopyynnön, joka koskee sen hallussa olevaa asiakirjaa tai tietoja. Viranomaisen tulisi myös voida suoraan luovuttaa tiedot julkisilta osin tai salassa pidettävien tietojen osalta siihen oikeuttavan lain säännöksen nojalla.  

Voimassa olevan tietovarantolain säännöksistä ei tarkemmin ilmene, millä tavalla oikeushallinnon viranomaisten omassa käytössä olevat tietojärjestelmät tai niiden osat liittyvät tietovarantoon. Voimassa olevasta 14 §:n 1 momentista ei myöskään ilmene se, että suurin osa näiden viranomaisten tiedoista on samalla osa tietovarantoa. Se, että voimassa olevan lain 16 §:ssä säädetään pelkästään Oikeusrekisterikeskuksen oikeudesta luovuttaa tuomioistuinten diaaritietoja yleisen tiedonsaantioikeuden perusteella, voi aiheuttaa tulkintaepäselvyyttä muiden oikeushallinnon viranomaisten tiedonluovutusoikeuden osalta (Helsingin hallinto-oikeuden päätös 7.5.2024, 2840/2024). 

Pykälän 2 momenttia ehdotetaan muutettavaksi siten, että Oikeusrekisterikeskus voisi siirtää asianomaiselle viranomaiselle käsiteltäväksi myös sellaisen tietopyynnön, joka koskee oikeusaputoimistossa, Syyttäjälaitoksessa tai tuomioistuimessa vireillä olevaa asiaa. Momentin ruotsinkieliseen sanamuotoon tehtäisiin lisäksi kielellinen tarkistus. Voimassa olevan lain 2 momentti on korvannut kumotun oikeushallinnon valtakunnallisesta tietojärjestelmästä annetun lain 14 §:n 2 momentin, jonka tarkoituksena on sen perustelujen valossa ollut kattaa myös keskeneräiset asiat. Voimassa olevan tietovarantolain 14 §:n 2 momentin sanamuoto vastaa aiempaa, mutta ei yksiselitteisesti kata edelleen vireillä olevia asioita. Sanamuotoa ehdotetaan selkeyden vuoksi täsmennettäväksi. Tietopyyntö voitaisiin muutetun momentin perusteella siirtää asiasta vastaavan viranomaisen käsiteltäväksi riippumatta siitä, olisiko kyse vireillä olevasta tai jo käsitellystä asiasta.