Bakgrund

Propositionen går ut på att ändra den lagstiftning inom justitieministeriets förvaltningsområde som hänför sig till totalreformen av dataskyddslagstiftningen. I propositionen föreslås det att dataskyddslagen (1050/2018) ändras och dessutom föreslås huvudsakligen tekniska ändringar i tio andra lagar inom justitieministeriets förvaltningsområde.  

Ändringar föreslås i dataskyddslagens bestämmelser om laglig behandling av personuppgifter, behandling av särskilda kategorier av personuppgifter och behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott. Samtidigt föreslås det att också bestämmelserna om behandling av personuppgifter vid försäkringsanstalter förtydligas. Det föreslås dessutom att dataskyddslagen ändras så att den ackreditering av ett certifieringsorgan som avses i den allmänna dataskyddsförordningen Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (den allmänna dataskyddsförordningen). överförs från dataombudsmannen till det nationella ackrediteringsorganet, det vill säga ackrediteringstjänsten FINAS.  

De ändringar som föreslås genomför regeringsprogrammets mål att främja lagstiftning som främjar informationsflödet eller en ändamålsenlig organisering av den offentliga servicen samt att vid behov i större utsträckning än för närvarande utnyttja det nationella handlingsutrymme som EU:s allmänna dataskyddsförordning medger. Genom förslaget säkerställs också att lagstiftningen inom justitieministeriets förvaltningsområde är aktuell och tydlig samt motsvarar kraven i unionsrätten och de förutsättningar för begränsning av de grundläggande fri- och rättigheterna som följer av grundlagstolkningspraxis.  

Förvaltningsutskottet anser att de här målen är viktiga. Sammantaget anser utskottet att propositionen behövs och fyller sitt syfte och att den beretts väl. Utskottet tillstyrker lagförslagen, men med vissa mindre ändringar. 

Myndigheternas behandling av personuppgifter

Det föreslås i propositionen att 4 § 2 punkten i dataskyddslagen preciseras och utvidgas så att det i bestämmelsen skapas en rättslig grund för en myndighet att behandla personuppgifter inte bara för utförandet av en uppgift av allmänt intresse, utan också när behandlingen behövs och är proportionell och utgör ett led i myndighetens utövning av offentlig makt. Förvaltningsutskottet välkomnar den föreslagna ändringen som förtydligar lagstiftningen. 

Vid utfrågningen i förvaltningsutskottet framgick det att det har medfört rättslig osäkerhet för vissa aktörer var gränsen går mellan dels uppgifter av allmänt intresse och behandlingsgrunder som gäller utövning av offentlig makt, dels andra behandlingsgrunder enligt artikel 6 i dataskyddsförordningen (särskilt rättsliga förpliktelser och berättigade intressen). I fråga om den personuppgiftsansvariges rättsliga förpliktelser (artikel 6.1 c i dataskyddsförordningen) påpekar utskottet att regeringen i propositionens avsnitt 2.4.2 om bedömning av nuläget ingående redogör för skillnaderna mellan behandlingsgrunderna enligt artikel 6.1 c och e i dataskyddsförordningen (s. 9—11). 

Sakkunniga har också väckt frågan om frivilliga uppgifter som hör till kommunernas allmänna kompetens kan anses höra till tillämpningsområdet för den föreslagna 4 § 1 mom. 2 punkten. Enligt utredning till utskottet har 4 § 2 punkten i den gällande dataskyddslagen avsiktligt lämnats öppen för att möjliggöra att det finns en rättslig grund för myndigheternas behandling av personuppgifter i sådana situationer där behandlingen inte uttryckligen omfattas av bestämmelser om myndigheternas uppgifter och befogenheter eller andra bestämmelser i speciallagstiftningen (RP 9/2018 rd, s. 81). Syftet med den nu aktuella propositionen är inte att ändra denna utgångspunkt.  

Utskottet noterar också att det i propositionen (s. 33) står att vid sådan behandling av personuppgifter som avses i bestämmelsen och som baserar sig på utförandet av en uppgift av allmänt intresse eller utövning av offentlig makt är det vanligen fråga om situationer där myndigheten ålagts en uppgift som gäller offentlig makt eller allmänt intresse, men där det inte föreskrivits om en uttrycklig lagstadgad skyldighet för myndigheten att behandla personuppgifter för detta ändamål. Förvaltningsutskottet konstaterar utifrån inkommen utredning att frivilliga uppgifter som hör till kommunernas allmänna kompetens kan höra till tillämpningsområdet för 4 § 1 mom. 2 punkten i den föreslagna dataskyddslagen till den del de gäller utförande av en myndighetsuppgift av allmänt intresse som avses i bestämmelsen i fråga eller utövande av offentlig makt som hör till en myndighet. 

Förvaltningsutskottet konstaterar dessutom utifrån inkommen utredning att den behandling av särskilda kategorier av personuppgifter som föreslås i 6 § 1 mom. 2 punkten i dataskyddslagen kan vara möjlig också i fråga om sådana uppgifter inom kommunens allmänna kompetens som är lagstadgade, men frivilliga för kommunerna till den del det är fråga om utförande av en i bestämmelsen avsedd uppgift av allmänt intresse som ålagts den personuppgiftsansvarige i lag. Den föreslagna punkten förutsätter dock inte nödvändigtvis att de uppgifter som gäller allmänt intresse i lagstiftningen uttryckligen har formulerats så att de är förpliktande för den personuppgiftsansvarige, såsom kommunerna. Bestämmelsen gör det möjligt att behandla uppgifter som hör till särskilda kategorier av personuppgifter, om behandlingen är nödvändig för att utföra en för den personuppgiftsansvarige lagstadgad uppgift av allmänt intresse. 

Försäkringsanstalters behandling av personuppgifter

Det föreslås preciseringar i bestämmelserna om försäkringsanstalter i 6 och 7 § i dataskyddslagen för att förtydliga försäkringsanstalternas rätt att behandla uppgifter som avses i artiklarna 9.1 och 10 i dataskyddsförordningen både innan och efter det att försäkringar beviljas för att bedöma eller utreda försäkringsanstalternas ansvar. I propositionen föreslås det också att behandlingen av känsliga personuppgifter som avses i 6 och 7 § i dataskyddslagen begränsas till vad som är absolut nödvändigt och att det i de paragraferna föreskrivs om de lämpliga och tillräckliga skyddsåtgärder som dataskyddsförordningen förutsätter.  

Enligt utredning till utskottet behövs de föreslagna ändringarna därför att det har varit oklart hur ordalydelsen i de gällande bestämmelserna ska tolkas till den del det har varit möjligt att behandla uppgifterna innan försäkringsavtal ingås. Förvaltningsutskottet anser att det är viktigt att frågan klarläggs. 

Vid utskottets utfrågning har det framförts att förhållandet mellan det föreslagna 6 § 3 mom. och speciallagstiftningen om försäkringsanstalter dock inte är tydligt i den föreslagna formen. Enligt utredning till utskottet är propositionens förslag om försäkringsanstalter inte avsett att påverka den övriga försäkringslagstiftningen. För att säkerställa att regleringen är tydlig föreslår förvaltningsutskottet på det sätt som framgår av detaljmotiveringen nedan att den föreslagna bestämmelsen ändras så att det framgår att speciallagarna har företräde framför dataskyddslagen. 

Utlämnande av sekretessbelagda uppgifter ur registret över djurhållningsförbud

I propositionen föreslås ändringar i flera lagars föråldrade bestämmelser om elektroniska sätt att lämna ut uppgifter. Bestämmelserna föreslås bli harmoniserade med begreppen i lagen om informationshantering inom den offentliga förvaltningen (906/2019).  

Enligt utredning till utskottet har syftet med ändringarna i 4 § 1 mom. 1 och 4 punkten i lagen om registret över djurhållningsförbud (21/2011, lagförslag 4) varit att uppdatera endast föråldrade författningsnummer. Det har till denna del varit fråga om en teknisk ändring. Men förvaltningsutskottet påpekar att bestämmelserna om utlämnande av sekretessbelagda uppgifter i det föreslagna 4 § 1 mom. inte motsvarar grundlagsutskottets vedertagna utlåtandepraxis. Utskottet anser att lagstiftningen måste vara uppdaterad och motsvara grundlagsutskottets vedertagna utlåtandepraxis i fråga om utlämnande av sekretessbelagda uppgifter. I 38 § 2 mom. i riksdagens arbetsordning (40/2000) föreskrivs det att om det i fråga om ett lagförslag som ett utskott bereder råder oklarhet om lagförslagets grundlagsenlighet eller förhållande till fördrag om de mänskliga rättigheterna, ska utskottet begära utlåtande om saken av grundlagsutskottet.  

Grundlagsutskottet har bedömt bestämmelser om myndigheternas rätt att få och lämna ut uppgifter med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få uppgifter gäller och hur rätten är kopplad till nödvändighetskriteriet. Myndigheternas rätt att få och möjlighet att lämna ut information kan gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om datainnehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 12/2026 rd, stycke 3).  

Följaktligen anser förvaltningsutskottet att en precisering av det föreslagna 4 § 1 mom. i enlighet med grundlagsutskottets klart uttalade praxis kan göras vid behandlingen i förvaltningsutskottet utan utlåtande av grundlagsutskottet. På det sätt som framgår av detaljmotiveringen nedan föreslår förvaltningsutskottet att den föreslagna bestämmelsen harmoniseras med grundlagsutskottets vedertagna utlåtandepraxis.