Passirekisterin biometristen tietojen käyttö rikostorjunnassa ja lainsäädännön haasteet
Oikeus-lehdessä 3/2023 julkaistussa väitöskirjatyöhöni liittyvässä tutkimuksessa käsittelin poliisin rekistereissä olevien biometristen ja DNA-tietojen luovuttamista EU-maan viranomaiselle. Tutkimuksessani nostin esille myös ajankohtaisen keskustelun passirekisterin biometristen tietojen mahdollisesta käytöstä rikostorjuntaan. Näkökulmani oli erityisesti käyttötarkoitussidonnaisuuden periaate eli henkilötietoja ei lähtökohtaisesti saa käsitellä muihin kuin niihin tarkoituksiin, joihin ne on alun perin kerätty.
Poliisin tietojenvaihtoon vaikuttaa yhä enemmän EU-oikeuden sääntely. Sen vuoksi on tärkeää, että EU-oikeuden nykyiset ja myös mahdolliset tulevat vaikutukset otetaan huomioon jo siinä vaiheessa, kun valmistellaan kotimaista sääntelyä poliisin oikeuksista käsitellä passirekisterin biometrisia tietoja rikostorjunnassa.
Passirekisterin biometrisiä tietoja ei voimassa olevan lain mukaan voida käyttää rikostorjunnan tarkoituksiin, koska tällaista käyttöä on pidetty merkittävänä poikkeuksena näiden tietojen alkuperäiseen käyttötarkoitukseen. Perustuslakivaliokunta on sittemmin tehnyt merkittävän poikkeuksen käyttötarkoitussidonnaisuutta koskevaan käytäntöönsä. Valiokunta on todennut, että erityisen vakavien rikosten ennalta estämiseen, paljastamiseen tai selvittämiseen voi liittyä sellaisia painavia, perusoikeusjärjestelmäänkin palautuvia yhteiskunnallisia intressejä, jotka perustelevat käyttötarkoitussidonnaisuudesta poikkeamista.
Näiltä osin valtiosääntöisesti on mahdollista tehdä rajattuja poikkeuksia käyttötarkoitussidonnaisuuden periaatteeseen, kun huolellisesti laadittu sääntely kokonaisuutena arvioiden täyttää perus- ja ihmisoikeuksien vaatimukset ja on yhteensopivaa EU-oikeuden asettamien vaatimusten kanssa (PeVL 23/2022 vp). Sen vuoksi on tärkeää, että mustavalkoisen puolesta tai vastaan -keskustelun sijaan kiinnitettäisiin huomiota siihen, miten lainsäädännöllä voitaisiin turvata yksityiselämän ja henkilötietojen suoja mahdollisimman pitkälle.
EU-oikeuden vaikutus asettaa sääntelylle omat haasteensa
Tutkimuksessani esitin, että lailla tulisi säätää muun muassa menettelyllisiä edellytyksiä tilanteeseen, jossa passirekisterin biometrisia tietoja haluttaisiin käyttää rikostorjuntaan. Määrämuotoista menettelyä on pidetty oikeusturvaa suojaavana elementtinä silloinkin, kun aikanaan säädettiin poliisille tuomiovaltaa sakkomenettelyssä (ks. PeVL 7/2010 vp). Kyseinen sääntely oli samankaltainen oikeudellisesti merkittävä poikkeus. Siinä poikettiin vallan kolmijako-opista, jonka mukaan tuomiovalta, toimeenpanovalta ja lainsäädäntövalta kuuluvat eri tahoille. Tässä tilanteessa puolestaan on kysymys merkittävästä poikkeamisesta käyttötarkoitussidonnaisuudesta. Tutkimuksessani korostin kuitenkin erityisesti sitä, että vaikka kotimaisella lailla passirekisterin biometristen tietojen käytöstä voitaisiin säätää perusoikeuksia pitkälle turvaava menettely, mahdollinen EU-oikeuden vaikutus asettaa sääntelylle omat haasteensa.
Ensinnäkin EU-oikeudessa viime vuosina korostettu tietosuojasääntely ei kuitenkaan ole rikostorjunnan alalla EU-tasolla käyttötarkoitussidonnaisuuden osalta kovin vahva. Tämä johtuu siitä, että henkilötietojen käsittelyyn rikostorjunnassa sovelletaan EU:ssa rikosasioiden tietosuojadirektiiviä huolimatta siitä, mihin tarkoituksiin käsiteltävät henkilötiedot on alun perin kerätty. Direktiivi jättää käyttötarkoitussidonnaisuuden tarkemman suojan pääasiassa kansallisen sääntelyn tai toimialakohtaisen EU-säädöksen varaan. Siten toimialakohtaisella EU-säädöksellä voidaan poiketa käyttötarkoitussidonnaisuuden suojasta siitä huolimatta, että se on EU-oikeudellinen periaate ja sääntö. Kotimaisella lailla ei voida sivuuttaa velvoittavaa EU-sääntelyä, ellei se jätä kansallista liikkumavaraa.
Toiseksi tietojenvaihtoon liittyy myös EU-oikeudellisia periaatteita, kuten saatavuusperiaate ja yhdenvertaisen pääsyn periaate. Lähtökohtaisesti tietojen tulisi olla kaikkien EU-maiden lainvalvontaviranomaisten saatavilla samoilla edellytyksillä kuin kotimaan viranomaisen. Periaatteet eivät sellaisenaan mahdollista tietojen luovuttamista, vaan tietojen käsittelyn ehtojen osalta EU-maan viranomaista tulisi kohdella yhdenvertaisesti kotimaan viranomaisen kanssa. Käytännössä jos siis kotimaassa voidaan käyttää tiettyjä tietoja rikostorjunnan tarkoituksiin, myös toisen EU-maan viranomaisen pitäisi voida käyttää niitä samoihin tarkoituksiin samoilla ehdoilla. Tietojenvaihtodirektiivi, jossa näistä periaatteista säädetään, on pantava täytäntöön vuoden 2024 loppuun mennessä. Periaatteet eivät ole uusia, vaan niistä on säädetty direktiiviä edeltäneessä puitepäätöksessäkin, joka on pantu täytäntöön kotimaisessa laissa. Näiden periaatteiden asema muuttunee kuitenkin merkittävämmäksi, koska direktiivi on sääntelyinstrumenttina vahvempi kuin puitepäätös.
Kolmanneksi toimialakohtaisella EU-säädöksellä voidaan mahdollistaa jopa se, että toiselle EU-maalle luovutettuja tietoja voidaan myöhemmin käyttää muihin tarkoituksiin ilman tiedot luovuttaneen maan erillistä lupaa. Tämä on ehkä suurin haaste, jos passeja varten luovutetut biometriset tiedot joutuisivat tällä tavoin kotimaisen valtiosääntöisen suojan ulottumattomiin. Perustuslakivaliokunta on edellyttänyt, että arkaluonteisten tietojen alkuperäiseen käyttötarkoitukseen tehtävät poikkeukset ovat vähäisiä, eli ne eivät saa olla säännöllisiä ja voivat toteutua vain harvoin. Jos tietojen luovuttaminen EU-maahan sallittaisiin, haasteena olisi, säilyisivätkö tilanteet poikkeuksellisina ja harvinaisina.
Sääntely edellyttäisi erityistä tarkkarajaisuutta
Jos passirekisterin biometristen tietojen käyttämisestä rikostorjuntaan säädetään, EU-oikeuden tulevat vaikutukset tulisi huomioida niin pitkälle kuin mahdollista. Sääntelyssä tulisi ensinnäkin korostaa tietojen käyttämisen ja luovuttamisen eroa, joka on Suomen oikeusjärjestyksessä relevantti piirre tietosuojasääntelyn ja julkisuussääntelyn välillä. Toisin sanoen, jos poliisi saisi tarkoin säädetyin edellytyksin ja menettelyin käyttää tietoja poliisin sisäisesti, luovuttaminen poliisin ulkopuolelle tulisi edelleen olla lailla nimenomaisesti kielletty.
Passirekisteri kuuluu poliisin rekisterinpitoon, joten sen tietojen käyttäminen poliisin suorittamaan rikostorjuntaan ei olisi tietojen luovuttamista rekisterinpitäjän ulkopuolelle. Kun tietojen luovuttaminen olisi kielletty kokonaan poliisin ulkopuolelle, saatavuus- ja yhdenvertaisen pääsyn periaatteita ei jatkossakaan voitaisi käyttää perusteena sille, että EU-maan viranomaisen tulisi saada käyttöönsä rikostorjuntatarkoituksessa passirekisterin biometrisia tietoja.
Nähdäkseni passirekisterin tietojen käyttämisestä rikostorjuntaan voidaan säätää siten, että yksityiselämän ja henkilötietojen suoja otetaan riittävällä tarkkuudella huomioon. Sääntely edellyttää kuitenkin erityistä tarkkarajaisuutta ja täsmällisyyttä sekä erityistä säädettyä menettelyä, jolla varmistetaan myös se, että tällainen tietojen käyttö säilyy harvinaisena ja poikkeuksellisena. Lainsäädännöllä on lisäksi tärkeää säilyttää tällainen tietojen käyttö ainoastaan rekisterinpitäjän eli poliisin sisäisenä oikeutena.
Helinä Tiura-Virta
Kirjoittaja on yliopisto-opettaja ja väitöskirjatutkija Itä-Suomen yliopistossa.
Lähteet:
PeVL 7/2010 vp Perustuslakivaliokunnan lausunto hallituksen esityksestä laiksi sakon ja rikesakon määräämisestä sekä eräiksi siihen liittyviksi laeiksi.
PeVL 23/2022 vp Perustuslakivaliokunnan lausunto hallituksen esityksestä eduskunnalle Schengenin tietojärjestelmän käyttöä koskevia asetuksia täydentäväksi lainsäädännöksi.
Tiura-Virta, Helinä, Poliisin rekistereissä olevien biometristen ja DNA-tietojen luovuttaminen EU-maan lainvalvontaviranomaiselle käyttötarkoitussidonnaisuuden kannalta. Oikeus 3/2023, s. 191–213. Luettavissa sähköisesti Edilex-palvelussa.
Kuva: Pixabay
