StVM 42/2020 vp HE 225/2020 vp

Esityksessä ehdotetaan muutettavaksi tartuntatautilain väliaikaisesta muuttamisesta annettua lakia.

Esityksen tarkoituksena on mahdollistaa tartuntaketjujen katkaisua tehostavan mobiilisovelluksen eli Koronavilkun rajat ylittävä yhteentoimivuus muiden vastaavien sovellusten kanssa.

Esityksessä säädettäisiin covid-19-epidemian aiheuttaneen koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän rajat ylittävän käytön yhteydessä tapahtuvasta henkilötietojen käsittelystä.

Lakiin lisättäisiin uudet säännökset tietojärjestelmän rajat ylittävän käytön yhteydessä tapahtuvasta henkilötietojen luovuttamisesta toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle koronavirukselle mahdollisesti altistuneiden henkilöiden tavoittamiseksi sekä mobiilisovelluksen käyttäjän suostumuksesta tietojen luovutukseen sekä tietojen käyttötarkoituksesta ja muusta käsittelystä.

Esityksessä ehdotetaan lisäksi lain voimassaolosäännöstä muutettavaksi siten, että laki olisi voimassa 31.12.2021 saakka.

Laki on tarkoitettu tulemaan voimaan 30.11.2020.

Covid-19-epidemian tartuntaketjujen katkaisua tehostavasta tietojärjestelmästä koronavirukselle mahdollisesti altistuneiden tavoittamiseksi on säädetty tartuntatautilain 1227/2016) 4 a luvussa. Kyseistä lukua koskeva hallituksen esitys (HE 101/2020) laadittiin keväällä 2020 ja lainmuutos (582/2020) tuli väliaikaisesti voimaan ajalle 31.8.2020-31.3.2021. Luvussa säädetään Terveyden ja hyvinvoinnin tilapäiseksi tehtäväksi mobiiliteknologiaa hyödyntävän tietojärjestelmän tarjoaminen. Tietojärjestelmä koostuu mobiilisovelluksesta ja taustajärjestelmästä. Kansaneläkelaitos pitää taustajärjestelmää yllä Terveyden ja hyvinvoinnin laitoksen lukuun. Luvussa säädetään myös tietojärjestelmän käytön yhteydessä tapahtuvasta henkilötietojen käsittelystä ja niiden suojasta.

Lainmuutoksen yhteydessä tiedostettiin tarve säätää myös siitä, että Suomessa kehitetty ja käyttöönotettu mobiilisovellus toimisi yhteen muissa Euroopan unionin (EU) ja Euroopan talousalueen (Eta) maissa kehitettyjen mobiilisovellusten kanssa. Yhteentoimivuudella tarkoitetaan sitä, että tieto mahdollisesta altistumisesta voitaisiin lähettää myös esimerkiksi Virossa asuvan henkilön virolaiseen mobiilisovellukseen ja toisin päin, jos henkilöt ovat kohdanneet ja mahdollinen altistuminen on tapahtunut. Yhteentoimivuutta koskevaa ehdotusta ei kuitenkaan ollut mahdollista ottaa mukaan keväällä valmisteltuun hallituksen esitykseen, koska ei ollut selvää, miten yhteentoimivuus toteutettaisiin EU-tasolla.

Euroopan komissio valmisteli ehdotuksen komission täytäntöönpanopäätöksen 2019/1765/EU muuttamisesta siltä osin kuin on kyse rajat ylittävästä tietojenvaihdosta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä COVID-19-pandemian torjumiseksi. Ehdotus perustui Euroopan parlamentin ja neuvoston direktiiviin 2011/24/EU potilaiden oikeuksien soveltamisesta rajat ylittävässä terveydenhuollossa (potilasdirektiivi)https://eur-lex.europa.eu/legal-content/FI/TXT/?uri=CELEX%3A32011L0024. Täytäntöönpanopäätöksen muutoksen tarkoituksena oli mahdollistaa covid-19-tartuntaketjujen jäljittämistä tukevien kansallisten mobiilisovellusten yhteentoimivuus. Täytäntöönpanopäätösluonnos toimitettiin 7.7.2020 rajat ylittävän terveydenhuollon komitealle (komission puheenjohtama komitologiakomitea). Täytäntöönpanopäätöksestä äänestettiin ja se hyväksyttiin rajat ylittävän terveydenhuollon komitean kokouksessa 13.7.2020, ja komissio hyväksyi päätöksen 15.7.2020 (Komission täytäntöönpanopäätös (EU) 2020/1023, annettu 15 päivänä heinäkuuta 2020, täytäntöönpanopäätöksen (EU) 2019/1765 muuttamisesta siltä osin kuin on kyse rajat ylittävästä tietojenvaihdosta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä COVID-19-pandemian torjumiseksi, jäljempänä täytäntöönpanopäätös)https://eur-lex.europa.eu/legal-content/FI/TXT/HTML/?uri=CELEX:32020D1023&from=EN. Komissio oli myös pyytänyt täytäntöönpanopäätösluonnoksesta lausunnon Euroopan tietosuojavaltuutetulta (EDPS), jonka johdosta täytäntöönpanopäätökseen tehtiin joitain muutoksia. Rajat ylittävään yhteistyöhön osallistuminen on jäsenvaltioille vapaaehtoista ja jokainen jäsenvaltio arvioi itsenäisesti, miten täytäntöönpanopäätös toimeenpannaan kansallisesti. Euroopan tietosuojaneuvosto (EDPB) on 21.4.2020https://edpb.europa.eu/our-work-tools/our-documents/linee-guida/guidelines-042020-use-location-data-and-contact-tracing_en ja 16.6.2020https://edpb.europa.eu/our-work-tools/our-documents/jine/statement-data-protection-impact-interoperability-contact-tracing_en antanut ohjeistusta sovelluksiin liittyvistä tietosuojanäkökulmista.

Täytäntöönpanopäätöksen muutosehdotuksesta informoitiin eduskuntaa E-kirjeellä (E 88/2020 vp). E-kirjeen mukaan Suomi voi hyväksyä täytäntöönpanopäätöksen ja pitää tarpeellisena, että jäsenvaltioiden toimenpiteitä covid-19-kriisiin vastaamiseksi ja siitä ulospääsemiseksi pyritään yhteensovittamaan. Täytäntöönpanopäätöksessä tarkoitettuun yhteistyöhön osallistumista ennen olisi kuitenkin arvioitava vielä tarkemmin sen hyötyjä suhteessa perusoikeusvaikutuksiin ja muihin vaikutuksiin, ottaen huomioon käytettävissä olevat tiedot ja kokemukset teknologian toimivuudesta ja tietoturvallisuudesta.

Covid-19-epidemian kehittymistä tulevina kuukausina ei voida tarkasti ennustaa, ja on mahdollista, että pandemia kestää maailmanlaajuisesti useita kuukausia, mahdollisesti välillä kiihtyen ja välillä laantuen. Vallitsevassa tilanteessa on tarpeen säätää velvoitteista ja rajoitteista varsin nopealla aikataululla, jotta viranomaisten käytössä olisi tarvittavia työkaluja epidemian leviämisen estämiseksi. Muun muassa valmisteluaikataulun tiukkuudesta johtuen erityisesti perusoikeuksia kaikkein eniten rajoittavien velvoitteiden ja rajoitusten osalta on perusteltua säätää määräaikaista lainsäädäntöä, joka on valmisteltu erityisesti covid-19-epidemian hallintaa varten.

Sosiaali- ja terveysministeriö on asettanut 14.5.2020 covid-19-epidemiaan liittyvän kontaktien jäljityssovelluksen käyttöönottoa valmistelevan hankkeen. Hankkeelle asetettiin ohjausryhmä, työryhmä valmistelemaan hallituksen esityksen lainsäädännön muuttamisesta sekä työryhmä koordinoimaan kansallisia näkemyksiä Euroopan komission 8.4.2020 antamaa suositusta koskevassa kansainvälisessä ja kansallisessa yhteistyössä. Asettamispäätöksen mukainen toimikausi päättyy 31.12.2020. Lainsäädännön muutoksia valmistelevan työryhmän tehtävänä on laatia hallituksen esitys, joka mahdollistaisi eri EU-maissa kehitettyjen kansallisten mobiilisovellusten yhteentoimivuuden Suomessa käyttöön otetun mobiilisovelluksen kanssa.

Esitys on valmisteltu edellä mainitussa hallituksen esitystä valmistelevassa työryhmässä, jossa olivat edustettuina sosiaali- ja terveysministeriö, oikeusministeriö, valtiovarainministeriö, liikenne- ja viestintäministeriö sekä Terveyden ja hyvinvoinnin laitos. Työryhmä on työn kuluessa kuullut asiantuntijaa Kansaneläkelaitoksesta. Valmistelun aikana on lisäksi kuultu tietosuojavaltuutettua.

Esitystä on käsitelty myös hankkeen ohjausryhmässä, jossa olivat edellä mainittujen ministeriöiden lisäksi edustettuina Terveyden ja hyvinvoinnin laitos, Vaasan sairaanhoitopiiri, Päijät-Hämeen hyvinvointikuntayhtymä, Helsingin ja Uudenmaan sairaanhoitopiiri, Helsingin kaupunki sekä Suomen Kuntaliitto.

Luonnos hallituksen esitykseksi julkaistiin 13.10.2020 sähköisessä lausuntopalvelussa. Lausuntoajan loppuun mennessä annettiin 21 lausuntoa. Lausunnon antoivat muun muassa eduskunnan oikeusasiamiehen kanslia, Elinkeinoelämän keskusliitto, Kansaneläkelaitos, Terveyden ja hyvinvoinnin laitos, oikeusministeriö, liikenne- ja viestintäministeriö, valtiovarainministeriö, kolme sairaanhoitopiiriä sekä Helsingin kaupunki. Lausunnot ovat saatavilla osoitteessa https://stm.fi/hanke?tunnus=STM130:00/2020.

Hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta on esitelty covid-19-epidemian tartuntaketjujen jäljitystyötä sekä tartuntatautilain mukaista vastuunjakoa tartuntatautien leviämisen ehkäisemisessä (ks. HE 101/2020 vp. s. 5-7).

Uusi koronavirusinfektio on 13.2.2020 luokiteltu yleisvaaralliseksi tartuntataudiksi valtioneuvoston asetuksella (69/2020). Taudin tarttuvuus on suuri, tauti on vaarallinen ja taudin leviäminen voidaan estää tautiin sairastuneeseen, taudinaiheuttajalle altistuneeseen tai tällaisiksi perustellusti epäiltyyn henkilöön kohdistettavilla toimenpiteillä. Näin ollen uusien koronavirusinfektioiden yhteydessä joudutaan käyttämään yksilön liikkumavapautta rajoittavaa sairastuneiden eristämistä sekä altistuneiden karanteenia taudin leviämisen estämiseksi.

Uusi koronavirusinfektio voi olla vakava, jopa henkeä uhkaava, erityisesti iäkkäillä ja henkilöillä, joilla on pitkäaikaissairauksia. Virukseen ei ole toistaiseksi tehoavaa lääkehoitoa eikä rokotetta. Koska virus on uusi, väestöllä ei ole siltä suojaavia vasta-aineita, mikä edesauttaa viruksen leviämistä. Maailman terveysjärjestö WHO julisti Kiinan Wuhanista löytyneen uuden koronaviruksen kansainväliseksi kansanterveysuhaksi (Public Health Emergency of International Concern PHEIC) 30.1.2020. Tämä edellyttää kaikilta mailta uuden koronaviruksen aiheuttamien infektioiden aktiivista seurantaa, tautitapausten varhaista tunnistamista ja tapausten eristämistä sekä altistuneiden jäljittämistä jatkotartuntojen estämiseksi.

Uusi koronavirus tarttuu henkilöstä toiseen ensisijaisesti pisaratartuntana, kun sairastunut henkilö yskii, aivastaa, puhuu tai vaikka laulaa. Osa tartunnan saaneista henkilöistä ei saa lainkaan oireita tai oireet ovat hyvin vähäisiä, ja tästä syystä henkilö ei ole tietoinen tartunnastaan. Myös oireeton voi tartuttaa muita. Tutkimuksissa on kuvattu tilanteita, joissa oireeton henkilö on tartuttanut muita ahtaissa sisätiloissa. Virus voi tarttua myös jo muutama päivä ennen oireiden alkua. Nykytiedon mukaan koronavirustautiin sairastunut henkilö on tartuttavimmillaan oireisen taudin alussa. Tartuttava aika kestää arviolta 7-12 päivää lieväoireisessa koronavirustaudissa ja jopa kaksi viikkoa vakavimmissa tautimuodoissa. 

Valtioneuvoston 6.5.2020 hyväksymän koronakriisin hallinnan hybridistrategian mukaan hallituksen toimilla pyritään estämään viruksen leviämistä yhteiskunnassa, turvaamaan terveydenhuollon kantokyky ja suojelemaan erityisesti riskiryhmiin kuuluvia ihmisiä. Koska epidemian etenemisen hillitsemisessä on Suomessa onnistuttu toistaiseksi hyvin, on Suomessa mahdollista siirtyä asteittain epidemian hillinnän seuraavaan vaiheeseen. Hybridistrategiassa laajamittaisista rajoitustoimista siirrytään hallitusti aiempaa kohdennetumpiin toimenpiteisiin ja säädösten mukaiseen tehostettuun epidemian hallintaan. Tavoitteena on, että hybridistrategian avulla epidemiaa onnistutaan tehokkaasti hillitsemään mahdollisimman vähän ihmisiä, yrityksiä, yhteiskuntaa ja perusoikeuksien toteutumista haittaavasti. Hybridistrategia perustuu jatkuvaan seurantaan ja kertyvän tutkimustiedon hyödyntämiseen. Tutkimustietoa koronaviruksesta, epidemian etenemisestä ja rajoitustoimien vaikutuksista kertyy koko ajan lisää. Uuden tiedon myötä epidemiatilanteen muuttuessa päätöksiä ja suosituksia tulee päivittää tarvittaessa nopeasti, jotta epidemia saadaan pidetyksi hallinnassa yhteiskunnan kokonaishyvinvoinnin näkökulmasta tehokkaimmilla keinoilla. Epidemian hallinnassa on otettava huomioon käytettyjen rajoitustoimien oikeudelliset puitteet, viranomaisten normaalit toimivaltuudet ja mahdollisuudet säätää tarvittavista uusista toimivaltuuksista tai valtuuksien tarkistuksista.

Valtioneuvoston 3.9.2020 hyväksymässä sosiaali- ja terveysministeriön toimintasuunnitelmassa (Sosiaali- ja terveysministeriön julkaisuja 2020:26https://julkaisut.valtioneuvosto.fi/handle/10024/162421) kuvataan ja ohjataan hybridistrategian mukaisten suositusten ja rajoitusten toteuttamista covid-19-epidemian ensimmäisen vaiheen jälkeen. Toimintasuunnitelmassa todetaan, että sosiaali- ja terveysministeriön asettama covid-19-epidemian tilannekuva- ja mallinnusryhmä on jakanut epidemian tilannekuvan kolmeen vaiheeseen: perustasoon, kiihtymisvaiheeseen ja leviämisvaiheeseen. Perustaso vastaa Suomen tilannetta keskikesällä 2020, jossa tartuntojen ilmaantuvuus on alhainen ja kotoperäisten tartuntojen osuus on pieni. Kiihtymisvaiheessa tartuntojen alueellinen ilmaantuvuus on noussut (7 vrk tapaussumma on suuruusluokkaa > 6-15/100 000 asukasta ja 14 vrk tapaussumma on suuruusluokkaa > 10-25/100000 asukasta); positiivisten näytteiden osuus on > 1%; ajoittain esiintyy paikallisia ja alueellisia tartuntaketjuja; tartunnanlähteet ovat kuitenkin pääsääntöisesti jäljitettävissä; sairaalahoidon tarpeeseen pystytään vastaamaan ilman erityistoimia. Leviämisvaiheessa tartunnat leviävät väestössä alueellisesti tai laajemmin (7 vrk tapaussumma on suuruusluokkaa > 12-25/100 000 asukasta ja 14 vrk tapaussumma on suuruusluokkaa > 18-50 /100000 asukasta); tapausten päivittäinen kasvunopeus on > 10%; positiivisten näytteiden osuus on > 2%; alle puolet tartunnanlähteistä on jäljitettävissä; sairaalahoidon ja tehohoidon tarve kasvaa voimakkaasti. Terveyden ja hyvinvoinnin laitos seuraa epidemiatilanteen kehittymistä tiiviisti.https://thl.fi/fi/web/infektiotaudit-ja-rokotukset/ajankohtaista/ajankohtaista-koronaviruksesta-covid-19/tilannekatsaus-koronaviruksesta

Toimintasuunnitelman mukaan suositukset, rajoitukset ja muut toimenpiteet tulee kohdentaa epidemiologisen ja lääketieteellisen tarkoituksenmukaisuuden perusteella. Epidemian perustasolla korostuvat koko väestön hygieniasuositukset, paikalliset ja alueelliset viranomaistoimet (tartuntojen juurisyiden tunnistaminen, testaus ja tartuntaketjujen katkaisu) sekä materiaalinen varautuminen epidemian mahdolliseen kasvuun. Kiihtymisvaiheen uhatessa tulee edellä mainittujen toimien lisäksi entisestään tehostaa tartuntatautilainsäädännön mukaisia toimenpiteitä, tartunnan saaneiden tunnistamista, tartuntaketjujen jäljitystä ja katkaisua sekä ottaa käyttöön uusia yksilötason keinoja tartuntojen ehkäisemiseksi. Jos kaikista varotoimista huolimatta merkit leviämisvaiheen uhasta yleistyvät, välttämättömiä lisätoimenpiteitä ovat laajemmat ja tiukemmat alueelliset ja valtakunnalliset suositukset ja rajoitukset sekä varautuminen hoitokapasiteetin lisäykseen.

Hallituksen matkustusrajoitusten tavoitteena on hidastaa ja estää covid-19-tartuntatautiepidemian leviämistä Suomessa, turvata terveydenhuollon kapasiteetti ja kantokyky kaikkialla maassa sekä suojella erityisesti riskiryhmiin kuuluvia ihmisiä. Hallitus on seurannut epidemiatilannetta ja sen 11.9.2020 tekemän periaatepäätöksen - Valtioneuvoston periaatepäätös hybridistrategian toteuttamisesta rajat ylittävässä liikenteessä ja matkustamisessa (VNK /2020/114) – mukaan ”ulkorajaliikenne olisi sallittua Schengen-maihin kuulumattomista EU-maista sekä Euroopan unionin vihreän listan maiden asukkaille ((EU) 2020/912, 30.6.2020), kun uusien tautitapausten ilmaantuvuus on enintään 25/100.000 asukasta kohti edellisen 14 vuorokauden aikana.” Sisärajavalvonnan korvaamiseksi ja terveysturvallisuuden varmistamiseksi ulkorajoilla hallitus pitää tarpeellisena kansalliseen hybridistrategiaan perustuvan testaukselle rakentuvan mallin käyttöönottoa rajaliikenteessä. Jos epidemiatilanne olennaisesti muuttuu, hallitus arvioi periaatepäätöstä uudelleen. Rajat ylittävää henkilöliikennettä koskien on erittäin tärkeää, että koronavirustartunnat voidaan tunnistaa tehokkaasti ennen kuin syntyy jatkotartuntoja tai tartuntaketjuja, joiden hallinta on vaikeaa. Sosiaali- ja terveysministeriö on todennut edellä mainittuun valtioneuvoston periaatepäätökseen liittyvässä taustamuistiossa, että matkustusrajoituksista luopuminen lisää taudin leviämisen riskiä ja edellyttää matkustajien testaamisen lisäämistä.Sisäministeriön muistio 9.9.2020: Hybridistrategian toteuttaminen rajat ylittävässä liikenteessä ja matkustamisessa

Valtioneuvoston 6.5.2020 päättämässä periaatepäätöksessä todetaan, että mobiilisovellus voisi osaltaan tuoda apua tartuntaketjujen jäljittämisessä. Mobiilisovellukseen liittyvä lainmuutos laadittiin kiireellisesti ja sovellus otettiin käyttöön 31.8.2020. Myös Euroopan komissio on 8.4.2020 antanut suosituksen mobiiliteknologian käytöstä covid-19-kriisissä (C(2020) 2296 final), ja toteaa, että tartuntaketjujen jäljittämiseen tarkoitetulla mobiilisovelluksella on oletettavasti saavutettavissa hyötyjä kriisin hallinnassa. Komissio on tämän jälkeen toteuttanut toimenpiteitä, joiden tarkoituksena on parantaa kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta sähköisten terveyspalvelujen verkostossa ottamalla käyttöön digitaalinen infrastruktuuri, joka mahdollistaa yhteentoimivuuden kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä.

Koronaviruksen tartuntaketjujen katkaisua tehostava tietojärjestelmä otettiin käyttöön 31.8.2020, jolloin lainmuutos tuli voimaan. Ennen käyttöönottoa Liikenne- ja viestintäviraston Kyberturvallisuuskeskus arvioi tietojärjestelmän tietoturvallisuuden. Kyberturvallisuuskeskus ei havainnut tietojärjestelmässä puutteita, jotka aiheuttaisivat olennaisia tietoturvallisuuteen tai käyttäjän seurantaan liittyviä riskejä. Kyberturvallisuuskeskus esitti kuitenkin joitain havaintoja ja kehityskohteita, joiden huomioimisen se piti tärkeänä mobiilisovelluksen jatkokehityksessä.https://thl.fi/documents/533963/5860112/Johdon_tiivistelm%C3%A4-Koronavilkku-arviointi_25.08.2020.pdf/221c17db-05dd-4222-c001-2124ec9cbbd8?t=1598597462979 Tämän lisäksi Terveyden ja hyvinvoinnin laitos on teettänyt tietosuojan vaikutustenarvioinnin. Sekä tietoturvallisuuden arvion että tietosuojan vaikutustenarvioinnin perusteella tietoturvan taso on hyvä. Myös uhkamallinnusta ja riskien hallintaa on tehty. Sovelluksen ylläpitoa seurataan ja rekisterinpitäjänä Terveyden ja hyvinvoinnin laitos saa tilanneraportteja. Jos tietoturvaan tai tietosuojaan kohdistuu konkreettisia uhkia, niistä raportoidaan ja niihin puututaan. Sovelluksen jatkokehitystä varten Terveyden ja hyvinvoinnin laitos tulee myös tilaamaan uuden tietoturvaselvityksen kaupalliselta toimijalta. Tämä käynnistetään heti, kun sovelluksen jatkokehitys on aloitettu. Terveyden ja hyvinvoinnin laitos tavoittelee myös kansallista tietoturvamerkkiä mobiilisovelluksesta, millä varmistetaan sovelluksen elinkaaren ylläpito. Liikenne- ja viestintävirasto Traficomin myöntämä Tietoturvamerkki kertoo siitä, mettä merkillä varustettu tuote tai palvelu on suunniteltu tietoturvalliseksi.https://tietoturvamerkki.fi/

Mobiilisovellus eli Koronavilkku on 7.10.2020 mennessä otettu käyttöön noin 2,3 miljoonassa puhelimessa. Tämä vastaa 38 % väestöstä ja noin 48 % älypuhelinkäyttäjistä. Mobiilisovelluksen kautta on tartunnasta ilmoitettu 314 kertaa. Tämä vastaa 38 % tartuntatautirekisteriin ilmoitetuista tartunnoista syyskuussa. Terveyden ja hyvinvoinnin laitoksen arvion mukaan mobiilisovellus toimii odotetusti. Tartuntataudeista vastaavien lääkäreiden esiintuoma näkemys on, että Koronavilkun toiminnan kannalta tärkeintä on se, että tiedon mahdollisesta altistumisesta saanut hakeutuu entistä herkemmin testiin, jos oireita ilmaantuu. Sovelluksen vaikutuksia epidemian hallitsemisen kokonaisuudessa voidaan arvioida paremmin pidemmän käytön jälkeen.

Komissio antoi 8.4.2020 suosituksen unionin sekä suosituksen toimeenpanoa tukevasta välineistöstä (työkalupakki, toolbox) Covid-19-kriisin torjumiseksi ja siitä ulospääsemiksi erityisesti mobiilisovellusten ja anonymisoidun liikkuvuusdatan käytön osalta (C(2020) 2296 final)https://ec.europa.eu/info/sites/info/files/recommendation_on_apps_for_contact_tracing_4.pdf. EU:n näkökulmasta sovelluksilla on merkitystä paitsi viruksen torjunnan ja kriisistä ulospääsyn, myös sisämarkkinoiden kannalta. Suosituksen antamisen jälkeen komissio on tuottanut hajautetun ja keskitetyn lähestymistavan malleista mobiilisovellusratkaisuja varten sekä hajautetun mallin mukaisten sovellusten rajat ylittävän yhteentoimivuuteen tarkennukset jäsenmaiden kanssahttps://ec.europa.eu/health/sites/health/files/ehealth/docs/mobileapps_interoperabilityspecs_en.pdf. Teknisen yhteentoimivuuden ratkaiseminen ollut keskeistä EU-yhteistoiminnassa. Lähtökohtana yhteentoimivuudelle on, että kunkin maan kansalainen käyttää omassa maassaan kehitettyä sovellusta, josta vastaa maan terveysviranomainen.

Komission täytäntöönpanopäätöksen (EU) 2020/1023 tavoitteena on mahdollistaa kansallisten mobiilisovellusten yhteentoimivuus, jotta näiden sovellusten tukemaa covid-19-epidemian tartuntaketjujen jäljittämistä ja altistuksesta varoittamista voidaan jatkaa myös silloin, kun kansalaiset siirtyvät toiseen jäsenvaltioon.

Komission täytäntöönpanopäätös mahdollistaa tietojenvaihdon kansallisten viranomaisten välillä covid-19-epidemian hallinnassa. Täytäntöönpanopäätöksessä kuvataan tietojenvaihdon

kokonaisuutta ja luodaan säännöt tietojenvaihtoon eli yhteentoimivuuteen osallistuville viranomaisille sekä tietojenvaihdolle. Täytäntöönpanopäätöksessä vahvistetaan sähköisistä terveyspalveluista vastaavien kansallisten viranomaisten verkoston perustamista, hallinnointia ja toimintaa koskevat säännöt. Sähköisten terveyspalvelujen verkoston tehtävänä on edistää kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta ja sähköisten terveystietojen siirrettävyyttä rajojen yli rajat ylittävässä terveydenhuollossa. Täytäntöönpanopäätöksessä todetaan, että koska jäsenvaltioiden välistä matkustamista koskevia rajoituksia on poistettu kesäkuusta 2020 alkaen, jäsenvaltioiden välillä olisi parannettava kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta sähköisten terveyspalvelujen verkostossa ottamalla käyttöön digitaalinen infrastruktuuri, joka mahdollistaa yhteentoimivuuden kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä. Täytäntöönpanopäätöksen 7 a artiklassa täsmennetään tyhjentävästi ne tiedot, joita yhdyskäytäväpalvelun kautta voidaan välittää rajat ylittävässä tietojen vaihdossa kansallisten mobiililaitteessa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä. Kaikkien yhdyskäytäväpalvelun kautta siirrettävien tunnistetietojen on täytäntöönpanopäätöksen mukaan oltava pseudonymisoituja. Täytäntöönpanopäätöksessä on kaksi liitettä, joista toinen määrittelee säännöt käsiteltävien tietojen yhteisrekisterinpitäjyydelle ja toinen säännöt tietojen käsittelijälle. Yhteistyöhön osallistuvat jäsenvaltiot, joita edustavat nimetyt kansalliset viranomaiset tai viralliset elimet, määrittelevät yhdessä yhdyskäytäväpalvelun kautta tapahtuvan henkilötietojen käsittelyn tarkoitukset ja keinot, joten ne ovat yhteisrekisterinpitäjiä. Komissio, joka tarjoaa yhdyskäytäväpalvelun tekniset ja organisatoriset ratkaisut, käsittelee pseudonymisoituja henkilötietoja yhdyskäytäväpalvelussa osallistuvien jäsenvaltioiden, jotka ovat yhteisrekisterinpitäjiä, puolesta ja on näin ollen henkilötietojen käsittelijä.

Hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta on kuvattu koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän tavoitteet (ks. HE 101/2020 vp s. 7-8). Tietojärjestelmän tavoitteena on, että väestölle tarjotun ilmaisen ja vapaaehtoisen mobiilisovelluksen avulla henkilö voi itse osallistua koronaviruksen leviämisen estämiseen.

Hallituksen esityksen tavoitteena on kansallisesti toimeenpanna komission täytäntöönpanopäätös (EU) 2020/1023. Täytäntöönpanopäätöksen tarkoituksena on mahdollistaa eri EU- ja Eta-maissa sekä Sveitsissä kehitettyjen mobiilisovellusten yhteentoimivuus, mutta kansallisesti voidaan päättää ne toimenpiteet, joita yhteentoimivuus edellyttää. Yhteentoimivuudella voitaisiin saavuttaa hyötyjä koronaviruksen tartuntaketjujen katkaisemisessa myös rajat ylittävissä tilanteissa. Mobiilisovellusten yhteentoimivuuden avulla voitaisiin tavoittaa myös muiden maiden sovellusten käyttäjiä ja varoittaa heitä mahdollisesta altistumisesta. Samoin Suomessa kehitettyä sovellusta eli Koronavilkkua käyttävät henkilöt voisivat saada tiedon mahdollisesta altistumisestaan, jos he ovat olleet riittävässä kontaktissa toisen maan sovellusta käyttäneen henkilön kanssa. Yhteentoimivuudella voisi siten olla vaikutusta myös matkustusrajoitusten purkamiseen, kun tartuntaketjujen katkaisu voisi tehostua myös rajat ylittävissä tilanteissa.

Hallituksen esityksen tavoitteena on mahdollistaa EU- ja Eta-maissa sekä Sveitsissä kehitettyjen mobiilisovellusten yhteentoimivuus siten, että näiden maiden sovellusten käyttäjät voisivat saada tiedon mahdollisesta altistumisestaan omaan sovellukseensa, kun he ovat kohdanneet henkilön, jolla on käytössään toisessa EU- tai Eta-maassa tai Sveitsissä kehitetty sovellus. Komissio toteaa 8.4.2020 antamassaan suosituksessa, että tartuntaketjujen jäljittämiseen tarkoitetulla mobiilisovelluksella on oletettavasti saavutettavissa hyötyjä kriisin hallinnassa. Komission täytäntöönpanopäätöksessä (EU) 2020/1023 todetaan, että koska jäsenvaltioiden välisiä matkustamista koskevia rajoituksia on poistettu kesäkuusta 2020 alkaen, jäsenvaltioiden välillä olisi parannettava kansallisten tieto- ja viestintäteknisten järjestelmien yhteentoimivuutta sähköisten terveyspalvelujen verkostossa ottamalla käyttöön digitaalinen infrastruktuuri, joka mahdollistaa yhteentoimivuuden kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä. Täytäntöönpanopäätöksen tavoitteena onkin mahdollistaa kansallisten mobiilisovellusten yhteentoimivuus, jotta näiden sovellusten tukemana voidaan mahdollisesta altistumisesta varoittamista jatkaa myös silloin, kun kansalaiset matkustavat jäsenvaltioiden välillä.

Tartuntatautilain 4 a luvussa on säädetty tietojärjestelmän käytön yhteydessä tapahtuvasta henkilötietojen käsittelystä. Koska yhteentoimivuuden toteuttaminen edellyttää eräiltä osin uudenlaista henkilötietojen käsittelyä, on mainittua sääntelyä muutettava. Esityksen tavoitteena on säätää henkilötietojen käsittelystä yhteentoimivuuden mahdollistamiseksi. Esityksessä säädettäisiin siksi tietojärjestelmän yhteydessä tapahtuvasta henkilötietojen käsittelystä sekä tietojen luovuttamisesta toisen maan sovelluksesta vastaavalle viranomaiselle tai viralliselle elimelle. Mobiilisovelluksen käyttäminen on vapaaehtoista. Myös tietojen käsittely rajat ylittävissä tilanteissa olisi käyttäjälle vapaaehtoista ja esityksessä säädettäisiinkin mobiilisovelluksen käyttäjän antamasta suostumuksesta tietojen käyttöön ja luovuttamiseen.

Hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta on kuvattu koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän yleistä toiminnallisuutta ja toimintaperiaatetta (ks. HE 101/2020 vp. s. 8-10).

Tietojärjestelmän toiminnallisuus pysyy rajat ylittävän yhteentoimivuuden yhteydessä pääperiaatteiltaan samana, mutta jatkossa mobiilisovellus tunnistaisi kohtaamisen myös toisessa EU- tai Eta-maassa tai Sveitsissä kehitetyn sovelluksen kanssa, jos kyseinen maa osallistuu rajat ylittävään tietojenvaihtoon. Sovelluksen käyttöönoton tai päivityksen yhteydessä henkilöä informoitaisiin tietojärjestelmän avulla tapahtuvasta henkilötietojen käsittelystä rajat ylittävässä käytössä EU- ja Eta-maiden sekä Sveitsin välillä. Sovellusten kohtaamisessa tapahtuva pseudotunnisteiden tallentaminen pysyy pääperiaatteiltaan samana. Sovelluksen käyttäjä ei saa tietoonsa sovelluksen tallentamia pseudotunnisteita. Sovellus ei myöskään kerää tietoa siitä, minkä maan sovelluksen kanssa kohtaaminen on tapahtunut.

Jos Suomen sovelluksen, Koronavilkun, käyttäjällä todetaan covid-19-tartunta ja hän syöttäisi terveydenhuollosta saamansa avauskoodin Koronavilkkuun, pseudonyymiset tunnisteet lähetettäisiin Suomen taustajärjestelmään. Suomen taustajärjestelmä tallentaisi tartunnan saaneen henkilön pseudonyymiset tunnisteet ja ylläpitäisi listaa kaikkien tartunnastaan ilmoittaneiden henkilöiden pseudonyymisistä tunnisteista. Kun muiden henkilöiden mobiilisovellukset ottavat yhteyttä taustajärjestelmään, se lähettäisi tartunnastaan ilmoittaneiden henkilöiden pseudonyymiset tunnisteet kunkin käyttäjän puhelimessa olevalle sovellukselle. Puhelimen sovellus vertaisi tartunnastaan ilmoittaneiden pseudonyymisiä tunnisteita puhelimessa oleviin, mobiilisovellusten kohtaamisissa tallennettuihin pseudonyymisiin tunnisteisiin ja päättelisi vertaamisen perusteella, onko altistuminen mahdollisesti tapahtunut. Jos mahdollinen altistuminen on tapahtunut, sovellus ilmoittaisi tästä kyseiselle henkilölle ja antaisi hänelle toimintaohjeet.

Rajat ylittävässä yhteentoimvuudessa tartunnastaan ilmoittava henkilö ilmoittaisi tiedot maista, joissa hän on vieraillut ja antaisi suostumuksensa pseudotunnisteidensa luovuttamiseen toisen EU- ja Eta-maan sekä Sveitsin viranomaisille. Tietojärjestelmän toiminnallisuus pysyy rajat ylittävän käytön yhteydessä pääperiaatteiltaan samana, mutta jatkossa toisessa maassa kehitetyn sovelluksen käyttäjä saisi puhelimensa sovellukseen ilmoituksen mahdollisesta altistumisesta ja toimintaohjeet siten, kuin toisen maan terveysviranomainen on asian määritellyt. Jos tartunnastaan ilmoittava henkilö puolestaan olisi toisen EU- tai Eta-maan tai Sveitsin sovelluksen käyttäjä, niin vastaavasti Suomen sovelluksen, Koronavilkun, käyttäjä saisi jatkossa puhelimensa Koronavilkkuun ilmoituksen mahdollisesta altistumisesta ja toimintaohjeet. Sovelluksen käyttäjä ei saa tietää minkä maan sovelluksen kanssa ilmoituksen aiheuttama kohtaaminen on tapahtunut.

Rajat ylittävä yhteentoimivuus

Koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän tarkoituksena on tavoittaa virusta tartuttavan henkilön kanssa lähikontaktissa olleet mahdollisesti altistuneet ja nopeuttaa heidän tiedonsaantiaan mahdollisesta altistumisesta. Tietojärjestelmän tavoitteita on kuvattu tarkemmin hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta (ks. HE 101/2020 vp. s. 10-11).

Tietojärjestelmän rajat ylittävä yhteentoimivuus ja sen edellyttämä henkilötietojen käsittely voisi mahdollistaa koronaviruksen tartuntaketjujen tehokkaamman katkaisun ja estää epidemiaa leviämästä myös silloin, kun ihmiset liikkuvat yhteentoimivuuteen osallistuvien maiden välillä. Esityksessä ehdotetaankin, että henkilötietoja saataisiin käsitellä myös tietojärjestelmän rajat ylittävän käytön yhteydessä. Henkilötietojen käsittely rajat ylittävän käytön yhteydessä tarkoittaisi sitä, että mobiilisovelluksen eli Koronavilkun käyttäjän henkilötietoja voitaisiin käsitellä myös tässä käyttötarkoituksessa. Henkilötietoja käsiteltäisiin rajat ylittävään tietojen vaihtoon komission täytäntöönpanopäätöksessä 2020/1023/EU tarkoitetun yhdyskäytäväpalvelun kautta. Henkilötietoja käsiteltäisiin nimenomaan siinä tarkoituksessa, että toisessa maassa kehitetyn mobiilisovelluksen käyttäjää voitaisiin varoittaa mahdollisesta altistumisesta, jos hän on tavannut Koronavilkun käyttäjän ja sovellukset ovat olleet riittävän pitkään lähietäisyydellä toisiinsa. Toisaalta Koronavilkun käyttäjä voisi saada rajat ylittävän käytön aloittamisen jälkeen tiedon mahdollisesta altistumisesta toisen maan sovellusta käyttävältä henkilöltä. Tietojärjestelmän rajat ylittävän käytön yhteydessä ei käsiteltäisi sijaintitietoja. Sijaintitietojen käyttäminen on myös matkapuhelimen käyttöjärjestelmätasolla kielletty. Kielto perustuu matkapuhelinvalmistajien käyttöehtoihin, jotka jokaisen yhteentoimivuuteen liittyvän valtion on hyväksyttävähttps://developer.apple.com/contact/request/download/Exposure_Notification_Addendum.pdf; https://blog.google/documents/72/Exposure_Notifications_Service_Additional_Terms.pdf. Tietojärjestelmä ei siis tietäisi, missä maissa Koronavilkun käyttäjä liikkuu. Tietojärjestelmä ei myöskään tietäisi, minkä maan sovelluksen käyttäjiä Koronavilkun käyttäjä kohtaa. Esityksessä ehdotetaan, että pseudonyymisiä tunnisteita voitaisiin luovuttaa komission yhdyskäytäväpalvelun kautta EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle. Pseudonyymiset tunnisteet luovutettaisiin Terveyden ja hyvinvoinnin laitoksen vastuulla olevasta taustajärjestelmästä ja rekisterinpitäjänä Terveyden ja hyvinvoinnin laitos siis vastaisi tietojen luovuttamisesta. Tietojen luovutuksen tarkoituksena on antaa yhteentoimivuuteen osallistuvan maan mobiilisovelluksen käyttäjälle tieto mahdollisesta altistumisesta koronavirukselle. Yhteentoimivuuteen osallistuvat maat säilyttävät pseudonyymisiä tunnisteita taustajärjestelmissään korkeintaan 14 vuorokautta. Tämän jälkeen tietoa tunnisteiden kohtaamisesta ei enää ole.

Yhteentoimivuuteen osallistuvat maat ovat velvollisia noudattamaan komission täytäntöönpanopäätöstä. Tämän lisäksi yhteentoimivuuteen osallistuvan maan on täytettävä tietyt edellytykset ja maiden on haettava osallistumista yhteentoimivuuteen. Liittymisprosessin tavoitteena on varmistaa, että jäsenmaa on saavuttanut tietyn kypsyysasteen omassa valmistelussaan: kansallisen lainsäädännön ja EU-tason säädösten asettamat reunaehdot on huomioitu, sovelluksessa on noudatettu terveyspalveluiden verkoston ohjeita ja tekninen valmius on kunnossa. Sähköisten terveyspalvelun verkoston kansallinen jäsen toimittaa hakemuksen terveyspalveluiden verkoston sihteeristölle. Hakemus käsitellään sähköisten terveyspalvelujen verkoston alatyöryhmässä, joka käytännössä edustaa yhteisrekisterinpitäjiä eli yhteentoimivuuteen osallistuvia maita. Hakemuksen käsittelyyn osallistuu myös tekninen alatyöryhmä, joka arvioi hakemuksen yhteydessä kerrotut yhteentoimivuuteen liittyvät tekniset elementit. Yhteisrekisterinpitäjiä edustavalla alatyöryhmällä on kaksi päivää aikaa arvioida hakemusta ja esittää vastalauseita. Jos vastalauseita ei esitetä, hakemus katsotaan hyväksytyksi. Hyväksymisprosessin jälkeen suoritetaan käyttöönotto. Myös käytön lopettamisesta informoidaan terveyspalveluiden verkoston sihteeristöä.

Esityksessä ehdotetaan, että mobiilisovelluksen käyttäjä voisi antaa suostumuksensa tietojen luovuttamiseen taustajärjestelmästä komission yhdyskäytävänpalvelun kautta EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle. Suostumus annettaisiin sovelluksessa. Käytännössä suostumus kysyttäisiin ja annettaisiin siinä vaiheessa, kun käyttäjä vapaaehtoisesti ilmoittaisi tartunnastaan sovellukselle terveydenhuollosta saamallaan avauskoodilla. Suostumuksen kysymisen yhteydessä käyttäjälle kerrottaisiin, mihin ja mitä tarkoitusta varten tiedot luovutettaisiin. Jos käyttäjä antaisi suostumuksensa tietojen luovuttamiseen tässä tarkoituksessa, välittäisi taustajärjestelmä tiedot yhdyskäytäväpalveluun ja yhdyskäytäväpalvelu toisen yhteentoimivuuteen osallistuvan maan viranomaiselle. Jos käyttäjä ei antaisi suostumusta, tietoja ei välitettäisi tässä tarkoituksessa vaan ainoastaan toisille Koronavilkun käyttäjille. Suostumuksen antaminen tietojen luovuttamiseen olisi siis täysin vapaaehtoista. Käyttäjän annettua suostumuksensa, tiedot eli pseudonyymiset tunnisteet luovutettaisiin taustajärjestelmästä yhdyskäytäväpalvelun kautta EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle. Tietojen luovuttamisen tarkoituksena olisi tavoittaa koronavirukselle mahdollisesti altistunut henkilö. Tiedot luovutettaisiin komission täytäntöönpanopäätöksen 2020/1023/EU mukaisesti enintään 14 päivän ajalta ennen tunnisteiden lataamista. Tietojen luovuttamisen jälkeen Koronavilkku lakkaisi toimimasta, koska käyttäjällä on todettu tartunta.

Esityksessä ehdotetaan myös, että tartuntatautilain 43 c §:ään lisättäisiin uusi 6 kohta, jonka perusteella tietojärjestelmän käytön yhteydessä saadaan käsitellä myös tietoa tietojärjestelmän rajat ylittävään käyttöön liittyvistä maita ja pseudonyymisten tunnisteiden alkuperämaasta. Käytännössä tieto tietojärjestelmän rajat ylittävään käyttöön liittyvistä maista kysytään mobiilisovelluksen käyttäjältä siinä yhteydessä, kun hän ilmoittaisi tartunnastaan sovellukselle. Maiden ilmoittamisen vaatimus perustuu komission laatimiin tietosuojaperiaatteisiin. Käyttäjän pseudonyymisiin tunnisteisiin lisättäisiin tällöin maakoodi, jonka perusteella yhteentoimivuuteen osallistuvien maiden taustajärjestelmät voisivat päätellä, minkä maiden tunnisteista on kysymys.

Yleinen tietosuoja-asetus ja sen sääntelyliikkumavara

Henkilötietojen käsittelystä säädetään suoraan sovellettavassa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679 luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (jäljempänä yleinen tietosuoja-asetus) sekä sitä täydentävässä kansallisessa yleislaissa eli tietosuojalaissa (1050/2018).  

Henkilötiedoilla tarkoitetaan yleisen tietosuoja-asetuksen mukaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Kuten hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta (HE 101/2020 vp, s. 12) on kuvattu, myös pseudonymisoidut tai muutoin pseudonyymiset tiedot ovat kuitenkin henkilötietoja ja niihin tulee soveltaa tietosuojalainsäädäntöä. 

Henkilötietojen käsittelylle on oltava yleisen tietosuoja-asetuksen 6 artiklassa tarkoitettu käsittelyn yleinen oikeusperuste. Vastaavasti kuten tietojärjestelmän yhteydessä tapahtuvan muuhunkin henkilötietojen käsittelyyn, nyt ehdotettuun henkilötietojen käsittelyyn parhaiten soveltuva oikeusperuste on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohta, jonka mukaan käsittely on sallittua, kun se on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Käsittely ei voi kuitenkaan suoraan perustua mainittuun yleisen tietosuoja-asetuksen kohtaan, vaan artiklan 3 kohdan mukaisesti käsittelyn perustasta on säädettävä joko unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä. Koska nykyinen tartuntatautilain 4 a luku ei kaikilta osin kata henkilötietojen käsittelyä sovellukset rajat ylittävän käytön mahdollistamiseksi, on tässä tarkoituksessa tapahtuvasta henkilötietojen käsittelystä säädettävä.  

Silloin kun käsittely perustuu edellä kuvattuun yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan, tulee jäsenvaltion lainsäädännön täyttää yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden, kuten 6 artiklan 3 kohdassa säädetään. Sovelluksen rajat ylittävän yhteentoimivuuden voidaan katsoa täyttävän yleisen edun mukaisen tavoitteen ja sitä voidaan pitää oikeasuhteisena sillä tavoiteltuun päämäärään nähden ottaen huomioon sillä saavutettavat ja esityksessä tarkemmin kuvatut hyödyt. Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdan mukaan käsittelyn oikeusperusteessa voidaan säätää esimerkiksi yleisistä edellytyksistä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta, käsiteltävien tietojen tyypistä, asianomaisista rekisteröidyistä, tarkoituksista joihin henkilötietoja voidaan luovuttaa, säilytysajoista sekä käsittelytoimista ja -menettelyistä. 

Tietojärjestelmän yhteentoimivuus muiden maiden vastaavien järjestelmien kanssa edellyttäisi myös terveyttä koskevien tietojen käsittelyä. Niitä pidetään yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuina erityisiin henkilötietoryhmiin kuuluvina tietoina, joiden käsittely on lähtökohtaisesti kielletty. Tällaisten tietojen käsittely on sallittua vain, jos käsittelylle on asetuksen 6 artiklan 1 kohdan mukaisen yleisen käsittelyperusteen lisäksi jokin 9 artiklan 2 kohdassa tarkoitettu erityinen käsittelyperuste.  

Mainitun kohdan mukaisesti terveystietojen käsittely on sallittua sen i alakohdan mukaan, kun se on tarpeen kansanterveyteen liittyvän yleisen edun vuoksi, kuten vakavilta rajat ylittäviltä terveysuhkilta suojautumiseksi. Tietojärjestelmä yhteydessä tapahtuva terveystietojen käsittely voidaan perustaa tähän yleisen tietosuoja-asetuksen kohtaan. Tällöinkin edellytyksenä on kuitenkin asiaa koskeva lainsäädäntö, jossa tulee lisäksi säätää asianmukaisista ja erityisistä toimenpiteistä rekisteröidyn oikeuksien ja vapauksien suojaamiseksi. Yleisen tietosuoja-asetuksen johdanto-osan 52 perustelukappaleessa mainitaan yhtenä perusteena terveystietojen käsittelylle tartuntatautien ja muiden vakavien terveysuhkien estäminen tai hallitseminen. 

Eduskunnan perustuslakivaliokunta on korostanut tarvetta varata henkilötietojen suojaa koskevan erityislainsäädännön säätäminen vain tilanteisiin, joissa se on yhtäältä sallittua yleisen tietosuoja-asetuksen kannalta ja toisaalta välttämätöntä henkilötietojen suojan toteuttamiseksi. Erityislainsäädännön tarpeellisuutta ja yksityiskohtaisuutta arvioitaessa on myös tietosuoja-asetuksen edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnitettävä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä suurempi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpana voidaan yksityiskohtaista sääntelyä pitää. Erityisesti arkaluonteisten tietojen käsittelyn salliminen koskee yksityiselämään kuuluvan henkilötietojen suojan ydintä, minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta. Arkaluonteisten tietojen käsittely on syytä rajata täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään. 

Ottaen huomioon erityisiin henkilötietoryhmiin kuuluvien terveystietojen käsittely sekä käsittelyyn muutoinkin kohdistuvat riskit, on tietojärjestelmää ja sen yhteydessä tapahtuvaa henkilötietojen käsittelyä koskevassa sääntelyssä syytä säätää henkilötietojen käsittelystä riittävän yksityiskohtaisesti ja tarkkarajaisesti yleisen tietosuoja-asetuksen mahdollistaman sääntelyliikkumavaran puitteissa. Lisäksi on huomioitava vaatimus asianmukaisista suojatoimista yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohdan mukaisesti. Suojatoimena toimisi muiden tartuntatautilain 4 a luvussa säädettyjen suojatoimien lisäksi suostumus, joka olisi edellytyksenä tietojen luovuttamiselle toisen maan viranomaiselle.

Hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta on kuvattu koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän vaikutuksia eri näkökulmista (ks. HE 101/2020 vp. s.14-21).

Ehdotettu tietojärjestelmän rajat ylittävä yhteentoimivuus aiheuttaisi joitain lisäyksiä aiemmin esitettyihin vaikutuksiin. Mobiilisovellus toimisi yhteentoimivuuden aloittamisen jälkeen kuten ennenkin ja käyttäjää informoitaisiin uudesta toiminnallisuudesta. Mobiilisovelluksen käyttäjä voisi rajat ylittävän yhteentoimivuuden myötä osallistua koronaviruksen leviämisen estämiseen entistä laajemmin, koska hän voisi ilmoittaa tartunnastaan vapaaehtoisesti ja anonyymisti myös eri maissa kehitettyjen mobiilisovellusten käyttäjille ja he saisivat siis tiedon mahdollisesta altistumisestaan omaan sovellukseensa. Toisissa maissa kehitettyjen sovellusten käyttäjät olisivat yhteydessä oman maansa terveydenhuoltoon saatuaan tiedon mahdollisesta altistumisesta. Tartunnasta ilmoittaminen toisessa maassa kehitetyn sovelluksen käyttäjälle olisi siis täysin vapaaehtoista eikä mitään tietoja luovutettaisi, jos käyttäjä ei antaisi tähän suostumustaan.

Yhteentoimivuuden toteuttamisella olisi taloudellisia vaikutuksia. Tietojärjestelmän ja sen sisältämän mobiilisovelluksen kehittämisestä yhteentoimivuuden vaatimalla tavalla aiheutuu kustannuksia. Vuoden kolmanteen lisätalousarvioon myönnettiin kuuden miljoonan euron määräraha kokonaisuuden toteutusta varten. Yhteentoimivuuden toteuttamisen kustannukset katettaisiin tällä määrärahalla. Esitys ei sisällä kunnille tai sairaanhoitopiirien kuntayhtymille uusia tehtäviä tai velvoitteita. Terveyden ja hyvinvoinnin laitos vastaisi edelleen tietojärjestelmään ja mobiilisovellukseen liittyvästä viestinnästä ja neuvonnasta.

Ehdotuksen tavoitteena on vaikuttaa osaltaan siihen, että EU:n perussopimusten mukaista tavaroiden, palveluiden ja henkilöiden vapaata liikkuvuutta ei ole tarpeen rajoittaa yhtä pitkälle menevin keinoin kuin koronaviruksen torjumiseksi on tähän saakka tehty. Tällä tavoitellaan osaltaan myönteisiä vaikutuksia sisämarkkinoiden ja yhteiskunnan toimintaan. Lisäksi täytäntöönpanopäätöksen mukaisella toiminnalla pyritään parantamaan kansalaisten mahdollisuuksia osallistua itse viruksen torjuntaan, kun he liikkuvat EU:n alueella matkustusrajoitusten sallimissa puitteissa.

Terveyden ja hyvinvoinnin laitos toimii tietojärjestelmän yhteydessä tapahtuvan käsittelyn osalta rekisterinpitäjänä ja siten jo lähtökohtaisesti vastaa yleisen tietosuoja-asetuksen mukaisesti tietojärjestelmän tietoturvallisuuden toteutumisesta. Osana tietoturvallisuuden varmistamista Terveyden ja hyvinvoinnin laitos voi arviointilain mukaisesti hyödyntää mainitussa laissa säädettävää menettelyä tietoturvallisuuden arvioinnista. Arviointilain 3 §:n perusteella valtionhallinnon viranomaiset saavat käyttää tietojärjestelmiensä ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnissa vain mainitussa laissa tarkoitettua menettelyä taikka sellaista arviointilaitosta, joka on saanut Liikenne- ja viestintäviraston hyväksynnän tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) mukaan. Toisin sanoen tietojärjestelmän tietoturvallisuuden arvioinnin voi toteuttaa Liikenne- ja viestintäviraston Kyberturvallisuuskeskus tai tietoturvallisuuden arviointilaitoksista annetun lain mukainen hyväksytty arviointilaitos. Tarkoitus on, että Kyberturvallisuuskeskus arvioisi tietojärjestelmän rajat ylittävän käytön tietoturvallisuuden. Alustavan arvion mukaan tietojärjestelmän tietoturvan arviointi kestäisi noin 4 viikkoa ja sen kustannukset olisivat karkeasti arvioiden 50 000 euroa. Yleisen tietosuoja-asetuksen 35 artiklassa säädetään velvollisuudesta toteuttaa tietosuojaa koskeva vaikutustenarviointi. Terveyden ja hyvinvoinnin laitos toteutti vaikutustenarvioinnin ennen tietojärjestelmän käyttöönottoa ja tätä arviointia tullaan päivittämään ennen tietojärjestelmän rajat ylittävän yhteentoimivuuden aloittamista.

Terveydenhuollon ja hyvinvoinnin laitoksessa tietojärjestelmään liittyvät vaikutukset ovat olleet teknisen ja hallinnollisen ylläpidon, riskienhallinnan ja valvonnan työmäärän merkittävä lisääntyminen. Tietoturva ja tietosuoja on ollut keskeisessä asemassa Koronavilkun käyttöönoton onnistumisessa, eikä näitä voida jatkossakaan jättää huomioimatta. Esimerkiksi sovelluksen ja taustajärjestelmän tekninen ylläpito edellyttää säännöllisiä kokouksia, vikaselvityksiä sekä sovellukseen ja järjestelmään tehtäviä muutoksia. Muutostarpeet johtuvat erityisesti Google/Apple Exposure Notification -rajapinnan muutoksista, Android/Apple OS -käyttöjärjestelmän päivityksistä, mobiililaitteiden toiminnassa havaituista virheistä sekä muutoksista sovelluksen toiminnan tehostamiseksi. Tietojärjestelmän rajat ylittävä yhteentoimivuus tietojenvaihdon mahdollistamiseksi tulee edelleen lisäämään Terveyden ja hyvinvoinnin laitoksen työmäärää. Osallistuminen yhteistyöhön edellyttää Terveyden ja hyvinvoinnin laitokselta mittavaa osallistumista jäsenvaltioiden väliseen oikeudelliseen ja tekniseen yhteistyöhön, määrittelyn, suunnittelun, riskienhallinnan ja käyttöönoton osalta.

Tietojärjestelmän rajat ylittävällä yhteentoimivuudella on vaikutus mobiilisovelluksen ja taustajärjestelmän välillä vaihdettavaan tiedon määrään. Riippuen pandemiatilanteesta sekä eri maiden julkaisemien sovellusten käyttäjien määrästä voidaan arvioida, että sovelluksen ja taustajärjestelmän välillä siirretään jatkossa sadoista kilotavuista kymmeniin megatavuihin tunnistedataa päivässä. Nykyisin (syyskuussa 2020) mobiilisovelluksen käyttämä tietoliikenteen määrä on kymmeniä kilotavuja päivässä. Suomalaisiin puhelinliittymiin sisältyy yleensä rajaton datapaketti Suomessa, osassa liittymiä datapaketti on kuitenkin rajallinen. OECD:n tilastojenhttp://www.oecd.org/sti/broadband/broadband-statistics/ ^{mukaan suomalaisissa mobiililaajakaistaliittymissä siirretään keskimäärin 23,48 Gt kuukaudessa eli noin 771 Mt päivässä. Liittymissä on yleensä rajallinen EU-datapaketti, jonka koko vaihtelee liittymätyypeittäin. EU-datapaketteihin sisältyvän tietoliikenteen määrät liikkuvat gigatavuissa. Tietoliikenteen määrän kasvun vaikutus voidaan näin ollen arvioida maltilliseksi, ja se voi aiheuttaa kansalaisille pienehköjä lisäkustannuksia vain joissakin tapauksissa. Lisäkustannusten syntyminen on todennäköisintä silloin kun henkilö matkustaa ulkomaille, jolloin sovelluksen yhteentoimivuudesta on myös eniten hyötyä. Käyttäjä voi vaikuttaa mobiilidatan käyttöön myös hyödyntämällä vaihtoehtoisia yhteyksiä, kuten Wi-Fi-verkkoa. Tietoliikenteen määrän kasvulla on lisäksi vaikutusta muiden sovellusten käyttöön jäävään verkkokaistaan, puhelimen kuormitukseen ja sitä kautta myös akun käyttöön tiedonsiirron aikana. Hitaillakin liittymillä (esim. 1 Mbit/s) tunnisteiden lataaminen kestää korkeintaan joitakin minuutteja päivässä. Kasvavan tietoliikennemäärän vaikutus akun kulutukseen tai muiden puhelimessa olevien sovellusten käyttöön jää näin ollen varsin pieneksi}

Esityksessä ehdotetaan säädettäväksi covid-19-epidemian aiheuttaneen koronaviruksen tartuntaketjujen katkaisua tehostavan tietojärjestelmän rajat ylittävän käytön yhteydessä tapahtuvasta henkilötietojen käsittelystä, ja esityksellä olisi siten henkilötietojen suojaan liittyviä vaikutuksia. Tietojärjestelmän tietosuojavaikutuksia yleisemmin on kuvattu sitä koskeneessa hallituksen esityksessä eduskunnalle laiksi tartuntatautilain väliaikaisesta muuttamisesta (HE 101/2020 vp, s. 19–20).

Lakiehdotuksessa tarkoitetuissa yhteentoimivuustilanteissa tietojärjestelmän käytön yhteydessä olisi välttämätöntä käsitellä tietoa tietojärjestelmän rajat ylittävään käyttöön liittyvistä maista ja pseudonyymisten tunnisteiden alkuperämaista. Lisäksi olisi välttämätöntä voida luovuttaa tartunnastaan ilmoittaneiden henkilöiden pseudonyymiset tunnisteet toisen yhteentoimivuuteen osallistuvan maan viranomaiselle. Kyseessä olisi nykysääntelyyn nähden uudenlaisesta käsittelystä, joka koskisi osittain myös erityisiin henkilötietoryhmiin kuuluvia terveyteen liittyviä tietoja (tieto tartunnasta).

Tietosuojaan kohdistuvien vaikutusten ja riskin vuoksi niihin puututtaisiin esityksessä useiden toimenpiteiden avulla. Tartuntatautilain 4 a luvussa säädetään jo sovelluksen käytön yhteydessä tapahtuvasta henkilötietojen käsittelystä tarkkarajaisesti ja muun muassa tietojen käsittelyn minimointiperiaate huomioiden. Käsiteltävien henkilötietojen joukko rajattaisiin vain käyttötarkoituksen kannalta välttämättömiin tietoihin ja ne yksilöitäisiin lainsäädännössä. Henkilötietojen enimmäissäilytysaika olisi oletusarvoisesti hyvin lyhyt (21 vuorokautta). Käsiteltävät tiedot olisivat pseudonyymisiä, mikä vähentää henkilötietojen suojaan kohdistuvia riskejä, sillä yksittäisen käyttäjän yksilöiminen olisi niiden pohjalta hyvin vaikeaa.

Henkilötietojen suojalle aiheutuvia riskejä vähennetään olennaisesti käytön vapaaehtoisuuden ja käyttäjän tiedollista itsemääräämisoikeutta edistävien toimenpiteiden avulla. Ketään ei pakoteta ottamaan mobiilisovellusta käyttöön, vaan sen käyttö perustuu vapaaehtoisuuteen. Suostumus toimisi lisäsuojatoimena myös sovelluksen rajat ylittävän yhteentoimivuuden yhteydessä. Henkilöltä kysyttäisiin suostumus ennen tietojen luovuttamista toisen maan sovelluksesta vastaavalle viranomaiselle tai muulle viralliselle elimelle. Suostumusta ei olisi pakko antaa tätä tarkoitusta varten. Henkilö voi myös koska tahansa poistaa sovelluksen käytöstä.

Lisäksi on huomattava, että yleisestä tietosuojasääntelystä itsestään seuraa lukuisia vaatimuksia rekisterinpitäjälle ja henkilötietojen käsittelijälle henkilötietojen käsittelyyn liittyen. Rekisterinpitäjän on otettava muun muassa huomioon sisäänrakennetun ja oletusarvoisen tietosuojan vaatimukset siten kuin yleisessä tietosuoja-asetuksessa säädetään. Huomiota on syytä kiinnittää myös esimerkiksi uudesta henkilötietojen käsittelystä ja sitä koskevasta suostumuksesta annettavan informaation selkeyteen ja ymmärrettävyyteen.  

Rajat ylittävä yhteentoimivuus edellyttäisi, että Terveyden ja hyvinvoinnin laitos rekisterinpitäjänä voi salassapitosäännösten estämättä luovuttaa tartunnastaan ilmoittaneen käyttäjän pseudonyymiset tunnisteet täytäntöönpanopäätöksen 7 a artiklan 4 kohdassa tarkoitetulle toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle täytäntöönpanopäätöksen 1 artiklan 1 kohdan j alakohdassa tarkoitetun yhdyskäytäväpalvelun kautta.

Yhteentoimivuuteen osallistuvat jäsenvaltiot, joita edustavat nimetyt kansalliset viranomaiset tai viralliset elimet, määrittelevät yhdessä yhdyskäytäväpalvelun kautta tapahtuvan henkilötietojen käsittelyn tarkoituksen ja keinot, joten ne ovat täytäntööpanopäätöksen mukaan yhteisrekisterinpitäjiä. Komissio, joka tarjoaa yhdyskäytäväpalvelun tekniset ja organisatoriset ratkaisut, käsittelee pseudonymisoituja henkilötietoja yhdyskäytäväpalvelussa osallistuvien yhteisrekisterinpitäjien puolesta ja on näin ollen henkilötietojen käsittelijä.

Täytäntöönpanopäätöksessä määritetään varsin tarkasti, kuinka henkilötietojen käsittely rajat ylittävässä kontekstissa tapahtuisi ja kuinka esimerkiksi rekisterinpitäjien ja henkilötietojen käsittelijän vastuunjako yhdyskäytäväpalvelun osalta määräytyy. Täytäntöönpanopäätöksessä määritetään myös henkilötietojen käsittelytarkoitus. Sen 7 a artiklan mukaan, kun henkilötietoja vaihdetaan yhdyskäytäväpalvelun kautta, käsittely on rajoitettava helpottamaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuutta yhdyskäytäväpalvelussa ja kontaktien tavoittamisen jatkuvuutta rajat ylittävissä yhteyksissä. Näin ollen henkilötietoja ei lähtökohtaisesti saisi käyttää muihin yhteensopimattomiin käyttötarkoituksiin. Täytäntöönpanopäätöksessä viitataan myös Euroopan tietosuojaneuvoston ohjeeseen ja lausuntoon, joissa tuodaan esiin, että tietojen käyttötarkoituksen tulee olla rajattu Covid-19-kriisin hallintaan ja ulkopuolelle pitää rajata esimerkiksi kaupallinen ja lainvalvonnallinen käyttötarkoitus.”Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak” ja ”EDPB statement of 16 June 2020 on the data protection impact of the interoperability of contact tracing apps”. Molemmat asiakirjat ovat saatavilla osoitteessa: https://edpb.europa.eu Lisäksi käyttäjää informoidaan ennakollisesti tarkoituksista, joihin tietoja luovutetaan ja joita varten tietoja voidaan käsitellä, jolloin henkilötietojen suojaan puututaan vain käyttäjän ennakollisesti tiedossa olevalla ja rajatulla tavalla.

Kukin yhteentoimivuuteen osallistuva rekisterinpitäjä vastaa henkilötietojen käsittelystä yhdyskäytäväpalvelussa yleisen tietosuoja-asetuksen mukaisesti. EU:n jäsenvaltioissa sovelletaan sellaisenaan EU:n yleistä tietosuoja-asetusta. Valituista lähestymistavoista riippuen mobiilisovelluksen käytön yhteydessä tapahtuvan henkilötietojen käsittely voi perustua joko suoraan yleiseen tietosuoja-asetukseen tai sitä täydentävään erityissääntelyyn. Eta-maissa yleinen tietosuoja-asetus tuli sovellettavaksi kesällä 2018, kun se otettiin osaksi Euroopan talousalueesta tehtyä sopimusta (ETA:n sekakomitean päätös 154/2018, 6.7.2018). Euroopan komissio on todennut Sveitsiä koskevassa riittävyyspäätöksessään Sveitsin täyttävän tietosuojan riittävän tason (komission päätös 2000/518/EY Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti henkilötietojen riittävästä suojasta Sveitsissä, 26.7.2000). Näin ollen korkeatasoinen henkilötietojen suoja toteutuisi myös käsiteltäessä henkilötietoja rajat ylittävissä tilanteissa.

Komission täytäntöönpanopäätös (EU) 2020/1023 ei velvoita sen hyväksyneitä jäsenvaltioita osallistumaan täytäntöönpanopäätöksen mukaiseen yhteistyöhön. Osallistuminen täytäntöönpanopäätöksen mukaiseen yhteistyöhön ja rajat ylittävään tietojenvaihtoon on jäsenvaltioille siis täysin vapaaehtoista. Jos Suomi ei osallistuisi täytäntöönpanopäätöksen mukaiseen yhteistyöhön, ei henkilötietojen luovuttamisesta olisi tarvetta säätää. Toisaalta, vaikka henkilötietojen luovuttamisesta säädettäisiin, ei Suomen tarvitsisi osallistua yhteistyöhön, tai Suomea ei välttämättä hyväksyttäisi yhdyskäytäväpalvelun käyttäjäksi. Komissio on myös luonut säännöt sille, miten jäsenvaltio voi osallistua yhteistyöhön ja liittyä yhdyskäytäväpalveluun. Jäsenvaltion on sovellettava potilasdirektiiviä, ja lisäksi jäsenvaltion on haettava liittymistä yhdyskäytäväpalveluun sähköisten terveyspalvelujen verkostolta. Voidakseen liittyä yhdyskäytäväpalveluun, jäsenvaltion on täytettävä tietyt edellytykset ja haettava osallistumista yhdyskäytäväpalvelun käyttäjäksi.

Rajat ylittävään tietojenvaihtoon osallistuminen mahdollistaisi sen, että yhteentoimivuuteen osallistuvien maiden sovellusten käyttäjät voisivat saada tiedon mahdollisesta altistumisesta myös matkustaessaan. Sovellusten käyttäjät voisivat näin suojella omaa ja muiden ihmisten terveyttä. He voisivat ilmoittaa anonyymisti tartunnastaan ja vastaanottaa tiedon mahdollisesta altistumisestaan ja noudattaa viranomaisten toimintaohjeita. Rajat ylittävällä tietojenvaihdolla voi siis olla merkitystä koronaepidemian leviämisen estämisessä. Jos rajat ylittävää tietojenvaihtoon ei osallistuttaisi, ei ihmisillä olisi mahdollisuutta osallistua epidemian leviämisen estämiseen tieto- ja viestintäteknisin keinoin.

Covid-19-pandemian aiheuttaman kansanterveyskriisin vuoksi useat EU:n jäsenvaltiot ja ETA-maat ovat ottaneet käyttöön tai suunnitelleet mobiilisovelluksia, joiden avulla voidaan helpottaa kontaktien jäljitystä sekä varoittaa tällaisten sovellusten käyttäjiä ja kehottaa heitä ryhtymään asianmukaisiin toimiin mahdollisen altistumisen tapahduttua. Sovelluksissa hyödynnetään Bluetooth low energy -teknologiaa lähikontaktien havaitsemiseen. Sovellusten yhteentoimivuutta on varmistettu yhteisillä määrittelyillä siten, että ne varoittaisivat yksittäisiä käyttäjiä riippumatta siitä, minkä yhteentoimivuuteen osallistuvan maan alueella he ovat. Keskeisenä tavoitteena yhteentoimivuudessa on pitää rajat ylittävä tieto mahdollisimman rajattuna yhteentoimivuuden varmistamiseksi sekä samalla kustannustehokkuuden ja luottamuksen takaamiseksi osallistuvien jäsenvaltioiden välillä. Komissio on valmistellut yhdyskäytäväpalvelua, joka mahdollistaa maakohtaisten sovellusten rajat ylittävän tiedon vaihdon kaikkialla EU:ssa. Ensimmäiset jäsenvaltiot eli Tšekin tasavallan, Tanskan, Saksan, Irlannin, Italian ja Latvian viranomaiset testasivat tätä infrastruktuuria syyskuun puolivälissä. Pilottikokemusten saamisen jälkeen varsinaista käyttöönottoa henkilötietojen välittämisen osalta tavoitellaan käynnistyväksi 15.10.2020.

Covid-19-kriisin viimeaikaisen kehityksen johdosta komissio ja Euroopan tietosuojaneuvosto ovat kumpikin antaneet ohjeita mobiilisovelluksista ja kontaktien jäljitysvälineistä tietosuojan kannalta. Jäsenvaltioiden mobiilisovellusten ja niiden yhteentoimivuuden mahdollistavan digitaalisen infrastruktuurin rakenne perustuu EU:n yhteiseen välineistöön, edellä mainittuihin ohjeisiin ja sähköisten terveyspalvelujen verkostossa sovittuihin teknisiin eritelmiin.

Mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten käyttäjien henkilötietojen käsittely, josta jäsenvaltiot tai muut julkiset organisaatiot tai elimet jäsenvaltiossa vastaavat, on tehtävä yleisen tietosuoja-asetuksen mukaisesti. Komission vastuulla tapahtuvassa henkilötietojen käsittelyssä yhdyskäytäväpalvelun hallinnoimiseksi ja sen turvallisuuden varmistamiseksi olisi noudatettava Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725.

Komission toukokuussa 2020 tekemän kyselyn mukaan viisi palvelun käyttöönottavista maista (Saksa, Kroatia, Liettua, Irlanti ja Kypros) kertoivat yhdyskäytäväpalvelun avulla tapahtuvan tietojen käsittelyn oikeusperustaksi suostumuksen, kolme jäsenmaata (Suomi, Latvia ja Alankomaat) kansallisen lainsäädännön, kaksi jäsenmaata (Latvia ja Malta) lainsäädännön lisäksi suostumuksen, yksi jäsenmaa (Slovakia) ilmoitti, ettei liity palvelun käyttäjäksi ja yksi (Puola) käsittelyn oikeusperustaksi täytäntöönpanopäätöksen.

Yhdyskäytäväpalvelun yhteisrekisterinpitäjien 26.8.2020 tekemän kyselyn mukaan käsittelyn oikeusperusta on vielä joissakin jäsenmaissa täsmentymättä (näin on esimerkiksi Liettuassa, jossa käsittely perustuisi kuitenkin todennäköisesti tartuntatautilain muutokseen). Tanskassa käsittelyn oikeusperusteena tulisi olemaan kansalliseen tartuntatautilakiin perustuva määräys. Lisäksi edellytetään suostumusta. Yhdyskäytäväpalvelun käyttäminen edellyttäisi kuitenkin erillistä suostumusta. Tšekissä lainsäädäntöä valmistellaan ja se perustuisi kansanterveyslakiin. Puolassa käsittelyn oikeusperustana olisi yleiseen etuun perustuva laki ja yhteiskäytäväpalvelua varten lisäksi erillinen suostumus. Portugalissa käsittelyn oikeusperustana olisi yleiseen etuun perustuva laki sekä suostumus. Italiassa käsittelyn oikeusperustana on tällä hetkellä yleiseen etuun perustuva lainsäädäntö, mutta yhteyskäytäväpalvelun oikeusperustaksi mietitään lisäksi suostumusta. Sinällään tämän hetkinen lainsäädäntö mahdollistaa yhdyskäytäväpalvelun kautta välitettävien tietojen käsittelyn pelkän lainsäädännön perusteella. Sloveniassa käsittelyn oikeusperustana on tällä hetkellä yleiseen etuun perustuva laki, mutta lainsäädäntöä ollaan uusimassa.

Ensimmäisessä aallossa (19.10.2020) yhdyskäytäväpalveluun ovat liittyneet Saksa, Italia ja Irlanti. Toisessa aallossa (26.10.2020) liittyivät Espanja, Latvia ja Kroatia. Kolmannessa aallossa (30.10.2020) liittymässä olisivat ainakin Tanska, Puola, Slovakia, Belgia ja Liettua. Tämän jälkeen seuraavat liittymiset tapahtuisivat 30.11.2020.

Täytäntöönpanopäätöksen 7 a artiklan 1 kohdan mukaan, kun henkilötietoja vaihdetaan yhdyskäytäväpalvelun kautta, käsittely on rajoitettava helpottamaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuutta yhdyskäytäväpalvelussa ja kontaktien jäljittämisen jatkuvuutta rajat ylittävissä yhteyksissä. Komission toukokuussa 2020 tekemän kyselyn mukaan 13 vastanneesta maasta kaksi (Suomi ja Kypros) maata ilmoittivat, että käsittelevät kontaktien jäljitys- ja varoitussovellusten kautta saatuja tietoja myös tilastollisiin ja tieteellisiin käyttötarkoituksiin. Suomessa tietoja saadaan tartuntatautilain 43 c §:n mukaan käyttää tilastollisiin tarkoituksiin.

Yleisen tietosuoja-asetuksen mukaan henkilötietojen vapaata liikkuvuutta unionin sisällä ei saa rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä. Potilasdirektiivin 14 artiklan mukaan unioni tukee ja helpottaa yhteistyön tekemistä ja tietojen vaihtamista jäsenvaltioiden välillä vapaaehtoisessa verkostossa, joka yhdistää jäsenvaltioiden nimeämät sähköisistä terveyspalveluista vastaavat kansalliset viranomaiset. Sähköisten terveyspalvelujen verkostossa nimetyt kansalliset viranomaiset ja viralliset elimet, jotka käsittelevät henkilötietoja yhdyskäytäväpalvelussa, voivat luottaa, että henkilötietojen käsittely tapahtuu yleisen tietosuoja-asetuksen mukaisesti ja noudattaen Euroopan tietosuojaneuvoston, Euroopan tietosuojavaltuutetun ja komission ohjeistuksia. Yhdyskäytäväpalvelun käyttäminen edellyttää lisäksi sähköisen terveyspalvelujen verkostolle osoitettua hakemusta. Sähköisistä terveyspalveluista vastaavien kansalliset viranomaisten ja virallisten elimien on osoittava, että he täyttävät sähköisen terveyspalvelujen verkoston yhteisrekisterinpitäjien alatyöryhmän asettamat yhteisesti sovitut juridiset, tekniset, organisatoriset ja tietosuojaa ja tietoturvaa koskevat vaatimukset.

Komissio ja kansalliset viranomaiset, joilla on lupa päästä yhdyskäytäväpalveluun, testaavat ja arvioivat säännöllisesti niiden teknisten ja organisatoristen toimenpiteiden tehokkuutta, joilla varmistetaan yhdyskäytäväpalvelussa tapahtuvan henkilötietojen käsittelyn turvallisuus.

Rajoittamatta yhteisrekisterinpitäjien päätöstä lopettaa käsittely yhdyskäytäväpalvelussa, yhdyskäytäväpalvelun toiminta on lopetettava viimeistään 14 päivän kuluttua siitä, kun kaikki verkkoon liitetyt kansalliset mobiililaitteissa käytettävät kontaktien jäljitys- ja varoitussovellukset ovat lopettaneet avainten siirron yhdyskäytäväpalvelun kautta.

Luonnos hallituksen esitykseksi julkaistiin 13.10.2020 sähköisessä lausuntopalvelussa. Määräaikaan mennessä annettiin 21 lausuntoa.

Lausuntopalaute oli pääosin myönteistä ja tietojärjestelmän rajat ylittävä yhteentoimivuus koettiin pääosin hyödylliseksi. Myös henkilötietojen ja yksityisyyden suojaan liittyvät näkökohdat olivat lausuntopalautteen mukaan huomioitu asianmukaisesti.

Eduskunnan oikeusasiamiehen kanslian lausunnossa kiinnitettiin huomiota siihen, että komission täytäntöönpanopäätöksessä oleva henkilötietojen käyttötarkoitus ei ole erityisen selkeä, ja avoimeksi jää, miten tietoja luovutettaessa varmistutaan siitä, että vastaanottavassa maassa on voimassa tartuntatautilain 43 c §:n 1 momentissa säädettyä kieltoa vastaava tietojen käyttöä koskeva rajoitus. Lausunnossa tuotiin esiin, että esimerkiksi rikostutkinnassa henkilöiden kohtaamiset voisivat olla merkityksellisiä tietoja. Myös tietosuojavaltuutetun toimiston lausunnoissa kiinnitettiin huomiota siihen, millä tavalla järjestelyssä varmistetaan, että tartuntatautilaissa käyttötarkoitukselle asetettuja rajoituksia noudatetaan myös sen jälkeen, kun tiedot luovutetaan ulkomaisille viranomaisille. Esitystä on täsmennetty tältä osin.

43 c §. Tietojärjestelmän käytön yhteydessä tapahtuva henkilötietojen käsittely

Pykälän 2 momenttiin ehdotetaan lisättäväksi uusi 6 kohta. Tietojärjestelmän käytön yhteydessä saataisiin käsitellä 43 i §:n 2 momentin tarkoittamissa tilanteissa tietoa tietojärjestelmän rajat ylittävään käyttöön liittyvistä maista. Käytännössä tieto rajat ylittävään käyttöön liittyvistä maista saataisiin siinä yhteydessä, kun tartunnan saanut sovelluksen käyttäjä vapaaehtoisesti ilmoittaa tartunnastaan sovelluksessa. Käyttäjä voisi samassa yhteydessä ilmoittaa ne maat, joissa hän on matkustanut. Lisäksi 2 momentin 5 kohtaa muutettaisiin edellä mainitun muutoksen johdosta siten, että kohdan lopussa oleva piste muutettaisiin puolipisteeksi. Pykälän 3 momenttiin ehdotetaan lisättäväksi, että uusi 6 kohdan mukainen tieto voitaisiin tallentaa taustajärjestelmään mahdollisesti tartunnalle altistuneiden sovellusten käyttäjien tavoittamiseksi. Pykälän 4 momenttiin ehdotetaan lisättäväksi, että myös uusi 6 kohdan mukainen tieto olisi poistettava ja tuhottava 21 vuorokauden kuluessa sen tallentamisesta, tai viimeistään, kun tietojärjestelmä poistetaan käytöstä.

43 i §. Tietojärjestelmän rajat ylittävän käytön yhteydessä tapahtuva henkilötietojen käsittely

Pykälässä säädettäisiin henkilötietojen käsittelystä tietojärjestelmän rajat ylittävän käytön yhteydessä.

Pykälän 1 momentissa säädettäisiin henkilötietojen käyttötarkoituksesta tietojärjestelmän rajat ylittävän käytön yhteydessä. Ehdotetun säännöksen mukaan tietojärjestelmän rajat ylittävän käytön yhteydessä henkilötietoja saadaan käsitellä myös rajat ylittävään tietojen vaihtoon muiden Euroopan unionin (EU) jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin kansallisten koronavirustaudille mahdollisesti altistuneiden tavoittamiseen käytettyjen mobiilisovellusten ja niiden taustajärjestelmien välillä täytäntöönpanopäätöksen (EU) 2019/1765 muuttamisesta siltä osin kuin on kyse rajat ylittävästä tietojenvaihdosta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä COVID-19-pandemian torjumiseksi tehdyn Komission täytäntöönpanopäätöksen 2020/1023/EU, jäljempänä täytäntöönpanopäätös, 1 artiklan 1 kohdan j alakohdassa tarkoitetun yhdyskäytäväpalvelun kautta. Säännökselle laajennettaisiin tartuntatautilain 43 c §:n 1 momentissa säädettyä henkilötietojen käyttötarkoitusta. Komission täytäntöönpanopäätöksen (EU) 2020/1023 7 a artiklan mukaan, kun henkilötietoja vaihdetaan yhdyskäytäväpalvelun kautta, käsittely on rajoitettava helpottamaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuutta yhdyskäytäväpalvelussa ja kontaktien jäljittämisen jatkuvuutta rajat ylittävissä yhteyksissä. Täytäntöönpanopäätöksessä viitataan myös Euroopan tietosuojaneuvoston ohjeeseen ja lausuntoon, joissa tuodaan esiin, että tietojen käyttötarkoituksen tulee olla rajattu Covid-19-kriisin hallintaan ja ulkopuolelle pitää rajata esimerkiksi kaupallinen ja lainvalvonnallinen käyttötarkoitus. Lisäksi yhdyskäytäväpalveluun hakevien valtioiden on vakuutettava, että ne käyttävät tietoja ainoastaan Covid-19-kriisin ehkäisemisen kanssa yhteensopivalla tavalla. Rekisterinpitäjänä Terveyden ja hyvinvoinnin laitos huolehtii, että rekisteröityjä informoidaan selkeästi ja kattavasti tietojärjestelmän yhteydessä tapahtuvasta henkilötietojen käsittelystä.

Pykälän 2 momentissa säädettäisiin Terveyden ja hyvinvoinnin laitoksen oikeudesta luovuttaa henkilötietoja. Terveyden ja hyvinvoinnin laitoksella olisi oikeus salassapitosäännösten estämättä luovuttaa tartuntatautilain 43 c §:n 2 momentin 3 ja 6 kohdassa tarkoitetut tarpeelliset tiedot täytäntöönpanopäätöksen 7 a artiklan 4 kohdassa tarkoitetulle toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle koronavirukselle mahdollisesta altistuneiden henkilöiden tavoittamiseksi. Tartuntatautilain 43 c §:n 2 momentin 3 kohdassa tarkoitetut tiedot koskevat tartunnan saaneeseen mobiilisovelluksen käyttäjään liittyviä pseudonyymisiä tunnisteita. Pseudonyymiset tunnisteet tallennettaisiin 43 c §:n 3 momentin mukaisesti taustajärjestelmään, josta ne voitaisiin luovuttaa yhdyskäytäväpalvelun kautta koronavirukselle mahdollisesti altistuneiden henkilöiden tavoittamiseksi.

Pykälän 3 momentissa säädettäisiin mobiilisovelluksen käyttäjän antamasta suostumuksesta henkilötietojen luovuttamiseen. Kyseessä olisi henkilötietojen käsittelyyn liittyvä erityinen suojatoimi, jota edellytetään yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohdassa. Henkilötietojen luovuttaminen 2 momentissa tarkoitetulla tavalla toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle edellyttäisi käyttäjän suostumusta. Käyttäjä antaisi suostumuksensa vapaaehtoisesti mobiilisovelluksessa. Suostumuksesta tulisi käydä ilmi, että se on annettu vapaaehtoisesti ja nimenomaisesti sekä tietoisena siitä, mihin tarkoitukseen mobiilisovelluksessa siirrettyjä tietoja voidaan luovuttaa ja käyttää. Täytäntöönpanopäätöksen 7 a artiklan 1 kohdan mukaan, kun henkilötietoja vaihdetaan yhdyskäytäväpalvelun kautta, käsittely on rajoitettava helpottamaan kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten yhteentoimivuutta yhdyskäytäväpalvelussa ja kontaktien jäljittämisen jatkuvuutta rajat ylittävissä yhteyksissä. Sovelluksessa olisi annettava informaatio siitä, mihin tarkoituksiin tiedot luovutettaisiin ja mihin niitä voitaisiin käyttää. Suostumuksesta olisi myös käytävä ilmi, ettei sitä ole annettu sosiaali- ja terveydenhuollon asiakaspalvelutilanteessa eikä viranomaismenettelyssä. Terveyden ja hyvinvoinnin laitos vastaisi siitä, että mobiilisovelluksessa kysyttävä suostumus täyttäisi nämä edellytykset.

Voimaantulosäännös

Lain voimaantulosäännöstä muutettaisiin siten, että lain voimassaoloaikaa jatkettaisiin 31.12.2021 asti.

Ehdotetaan, että laki tulee voimaan 30.11.2020.

Perustuslakivaliokunta on ottanut kantaa covid-19-epidemiaan liittyvien määräaikaisten lakien voimassaoloon. Valiokunnan mukaan sääntelyn oikeasuhtaisuuden kannalta merkitystä on sillä, että ehdotetun lain on tarkoitettu olevan voimassa väliaikaisesti (PeVL 7/2020 vp). Valiokunnan tulkintakäytännön mukaan koronavirusepidemian johdosta säädettyjen perusoikeusrajoitusten voimassaolo on rajattava välttämättömään (esim. PeVL 14/2020 vp, s. 6). Covid-19-pandemia aiheuttaa maailmanlaajuisesti sosiaali- ja terveydenhuoltojärjestelmien, talouden ja yhteiskunnan eri sektoreiden poikkeuksellisen kuormittumisen. Syksyn 2020 aikana pandemia on uudelleen selvästi kiihtynyt useimmissa EU-maissa Suomi mukaan lukien. Vaikka Covid-19-rokotteen kehitystyö jatkuu aktiivisesti, on epätodennäköistä, että rokotuksilla saavutetaan pandemian merkittävää hidastumista vuoden 2021 aikana. Tartuntaketjujen katkaisua tehostava tietojärjestelmä on yksi osa epidemian hallintaa. Tehokas ja nopea tartuntaketjujen jäljitys on avainasemassa koronaviruksen leviämisen estämisessä.

Tartuntatautilain 4 a luvussa tarkoitetun henkilötietojen käsittelyn edellytyksenä on muiden vaatimusten täyttymisen ohella henkilön etukäteinen suostumus. Lisäksi tässä esityksessä ehdotettu tietojen luovutus edellyttäisi henkilön suostumusta. Kyse ei siis ole pakottavasta ja velvollisuuksia asettavasta sääntelystä, joka olisi epäsuhtainen henkilön perusoikeuksiin nähden. Lisäksi tartuntatautilain 43 a §:n mukaan Terveyden ja hyvinvoinnin laitoksen on joka tapauksessa huolehdittava, että tietojärjestelmä on käytössä vain niin kauan kuin se on tarpeellista covid-19-tartuntaketjujen katkaisemiseksi.

Sosiaali- ja terveysvaliokunta totesi mietinnössään StVM 17/2020 vp https://www.eduskunta.fi/FI/vaski/Mietinto/Sivut/StVM_17+2020.aspx eduskunnan edellyttävän, että valtioneuvosto seuraa mobiilisovelluksen ja taustajärjestelmän kehittämistä ja toimivuutta erittäin tiiviisti, erityisesti yksityisyyden suojan ja tietoturvan toteutumisen kannalta ja ylläpitää valmiuden tarvittaessa nopeisiin sääntelyn tai järjestelmätason muutoksiin. Valtioneuvoston tulee antaa asiasta selvitys eduskunnalle viimeistään syysistuntokaudella 2021. 

Sosiaali- ja terveysministeriö on valmistellut myös muita muutoksia tartuntatautilakiin. Näiden tavoitteena on estää koronavirustaudin leviämistä väestössä hallituksen hybridistrategian ja toimintasuunnitelman mukaisesti. Lisäksi sääntelyllä pyritään turvaamaan sosiaali- ja terveyspalvelujärjestelmän toimintakykyä, jos tautitilanne pahenee.

Lakiehdotuksen mukaan rajat ylittävän yhteentoimivuuden toteuttamiseksi tartuntatautilain 4 a luvussa tarkoitetussa tietojärjestelmässä saataisiin käsitellä henkilötietoja myös rajat ylittävään tietojen vaihtoon muiden Euroopan unionin jäsenvaltioiden, Euroopan talousalueeseen kuuluvien valtioiden tai Sveitsin vastaavien mobiilisovellusten ja niiden taustajärjestelmien välillä. Tähän liittyen järjestelmässä saataisiin käsitellä myös tietoa rajat ylittävään käyttöön liittyvistä maista. Edellä mainitussa tarkoituksessa Terveyden ja hyvinvoinnin laitos voisi salassapitosäännösten estämättä luovuttaa tartunnastaan ilmoittaneen käyttäjän pseudonyymiset tunnisteet toisen jäsenvaltion, Euroopan talousalueen valtion tai Sveitsin toimivaltaiselle viranomaiselle. Luovutuksen edellytyksenä olisi käyttäjän suostumus. Tietojärjestelmää koskeva tartuntatautilain muutos on säädetty eduskunnan perustuslakivaliokunnan myötävaikutuksella (PeVL 20/2020 vp). Nyt esitettävä laajennus perustuu samoille perusratkaisuille kuin alkuperäinen järjestelmä.

Esityksellä pyritään tehostamaan covid-19-tartuntaketjujen katkaisua erityisesti rajat ylittävissä tilanteissa. Covid-19-epidemian tehokas hallinta on välttämätöntä ihmisten elämän, terveyden ja huolenpidon suojelemiseksi sekä sosiaali- ja terveydenhuoltojärjestelmän ylikuormitustilanteiden estämiseksi. Perustuslakivaliokunta on todennut, että terveydenhuoltojärjestelmän toimintakyvyn säilyttäminen pandemian aikana on perusoikeusjärjestelmän näkökulmasta erittäin painava peruste, jolla on yhteys perustuslain 7 §:n 1 momentin julkisen vallan velvollisuuteen turvata jokaisen oikeus elämään sekä turvata myös pandemian oloissa jokaiselle riittävät terveyspalvelut sekä edistää väestön terveyttä (perustuslain 19 §:n 3 momentti) ja joka oikeuttaa poikkeuksellisen pitkälle meneviä, myös ihmisten perusoikeuksiin puuttuvia viranomaistoimia (PeVM 2/2020 vp).

Esitetty laki mahdollistaa Suomen liittymisen rajat ylittävään tietojen vaihtoon, mikä laajentaa covid-19-epidemian torjumiseksi käytettävissä olevien vapaaehtoisten keinojen valikoimaa ja vähentää tarvetta ehkäistä covid-19-tartuntojen leviämistä perusoikeuksia rajoittavilla keinoilla. Esimerkiksi matkustamiseen tai maahantuloon liittyvät rajoitukset merkitsevät rajoituksia muun muassa niiden henkilöiden oikeuksiin, joilla on perhe Suomessa, mutta työpaikka tai elinkeinotoimintaa toisessa EU-jäsenvaltiossa. Esitys on tältä osin merkityksellinen muun muassa perustuslain 9 §:n (liikkumisvapaus), 10 §:n (yksityiselämän suoja, sisältäen perhe-elämän suojan), 18 §:n (oikeus työhön ja elinkeinovapaus) kannalta.

Lakiehdotus on merkityksellinen perustuslain 10 §:ssä säädetyn yksityiselämän ja henkilötietojen suojan kannalta. Ehdotettu sääntely on merkityksellistä myös EU:n perusoikeuskirjan kannalta. EU:n perusoikeuskirjan 7 artiklassa turvataan yksityiselämän suoja ja 8 artiklassa jokaisen oikeus henkilötietojensa suojaan. Artiklan mukaan henkilötietojen käsittelyn on oltava asianmukaista ja sen on tapahduttava tiettyä tarkoitusta varten ja asianomaisen henkilön suostumuksella tai muun laissa säädetyn oikeuttavan perusteen nojalla. EU:n tuomioistuimen antamat tuomiot määrittävät näiltä osin yksityiselämän ja henkilötietojen suojan keskeistä sisältöä. Samoin Euroopan ihmisoikeussopimuksen yksityiselämän suojaa koskevan 8 artiklan on Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä katsottu kattavan myös henkilötietojen suojan. 

Perustuslakivaliokunnan mukaan yleisen tietosuoja-asetuksen yksityiskohtainen sääntely, jota tulkitaan ja sovelletaan EU:n perusoikeuskirjassa turvattujen oikeuksien mukaisesti, muodostaa yleensä riittävän säännöspohjan myös perustuslain 10 §:ssä turvatun yksityiselämän ja henkilötietojen suojan kannalta. Valiokunnan käsityksen mukaan yleisen tietosuoja-asetuksen sääntely vastaa asianmukaisesti tulkittuna ja sovellettuna myös Euroopan ihmisoikeussopimuksen mukaan määräytyvää henkilötietojen suojan tasoa. Näin ollen erityislainsäädäntöön ei ole yleisen tietosuoja-asetuksen soveltamisalalla enää valtiosääntöisistä syistä välttämätöntä sisällyttää kattavaa ja yksityiskohtaista sääntelyä henkilötietojen käsittelystä. Perustuslakivaliokunnan mielestä henkilötietojen suoja tulee jatkossa turvata ensisijaisesti yleisen tietosuoja-asetuksen ja säädettävän kansallisen yleislainsäädännön nojalla (PeVL 14/2018 vp, s. 4). Perustuslakivaliokunta katsoo myös, että sääntelyn selkeyden vuoksi kansallisen erityislainsäädännön säätämiseen tulee jatkossa suhtautua pidättyvästi ja rajata sellainen säätäminen vain välttämättömään tietosuoja-asetuksen antaman kansallisen liikkumavaran puitteissa. Erityislainsäädännön tarpeellisuutta on arvioitava myös yleisen tietosuoja-asetuksenkin edellyttämän riskiperustaisen lähestymistavan mukaisesti kiinnittämällä huomiota tietojen käsittelyn aiheuttamiin uhkiin ja riskeihin. Mitä korkeampi riski käsittelystä aiheutuu luonnollisen henkilön oikeuksille ja vapauksille, sitä perustellumpaa on yksityiskohtaisempi sääntely. Tällä seikalla on erityistä merkitystä arkaluonteisten tietojen käsittelyn osalta (PeVL 14/2018 vp, s. 5).

Perustuslakivaliokunta on painottanut arkaluonteisten tietojen käsittelyn aiheuttamia uhkia. Valiokunnan mielestä arkaluonteisia tietoja sisältäviin laajoihin tietokantoihin liittyy tietoturvaan ja tietojen väärinkäyttöön liittyviä vakavia riskejä, jotka voivat viime kädessä muodostaa uhan henkilön identiteetille (PeVL 13/2016 vp, s. 4, PeVL 14/2009 vp, s. 3/I). Myös EU:n yleisen tietosuoja-asetuksen mukaan erityisiä henkilötietoja, jotka ovat erityisen arkaluonteisia perusoikeuksien ja -vapauksien kannalta, on suojeltava erityisen tarkasti, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja -vapauksille (PeVL 20/2020 vp).

Perustuslakivaliokunta on kiinnittänyt erityistä huomiota siihen, että yksityiselämän suojaan kohdistuvia rajoituksia on arvioitava kulloisessakin sääntely-yhteydessä perusoikeuksien yleisten rajoitusedellytysten valossa (PeVL 14/2018 vp, s. 5 ja siinä viitatut lausunnot). Merkityksellistä on ollut, että valiokunnan vakiintuneen käytännön mukaan lainsäätäjän liikkumavaraa rajoittaa henkilötietojen käsittelystä säädettäessä erityisesti se, että henkilötietojen suoja osittain sisältyy perustuslain 10 §:n samassa momentissa turvatun yksityiselämän suojan piiriin. Lainsäätäjän tulee turvata tämä oikeus tavalla, jota voidaan pitää hyväksyttävänä perusoikeusjärjestelmän kokonaisuudessa. Valiokunta on tämän vuoksi arvioinut erityisesti arkaluonteisten tietojen käsittelyn sallimisen koskevan yksityiselämään kuuluvan henkilötietojen suojan ydintä (PeVL 37/2013 vp, s. 2/I), minkä johdosta esimerkiksi tällaisia tietoja sisältävien rekisterien perustamista on arvioitava perusoikeuksien rajoitusedellytysten, erityisesti rajoitusten hyväksyttävyyden ja oikeasuhtaisuuden, kannalta (PeVL 29/2016 vp, s. 4—5 ja esimerkiksi PeVL 21/2012 vp, PeVL 47/2010 vp sekä PeVL 14/2009 vp). Valiokunta on antanut merkitystä luovutettavien tietojen luonteelle arkaluonteisina tietoina arvioidessaan tietojen saamista ja luovuttamista salassapitovelvollisuuden estämättä koskevan sääntelyn kattavuutta, täsmällisyyttä ja sisältöä (ks. esim. PeVL 38/2016 vp, s. 3).  

Perustuslakivaliokunnan mukaan arkaluonteisten tietojen käsittely on rajattava täsmällisillä ja tarkkarajaisilla säännöksillä vain välttämättömään. Henkilötietojen käsittelyä koskevan sääntelyn on oltava tietosuoja-asetuksen mahdollistamissa puitteissa yksityiskohtaista ja kattavaa (PeVL 65/2018 vp, s. 45, PeVL 15/2018 vp, s. 40). 

Tietojärjestelmän rajat ylittävä toiminta edellyttäisi tartunnastaan ilmoittaneen käyttäjän pseudonyymisten tunnisteiden luovuttamista toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle. Mainitut tiedot ovat terveyteen liittyvinä tietoina arkaluonteisia. Lakiehdotuksen sisältämä sääntely on täsmällistä ja yksityiskohtaista, ja luovutettavat tiedot on rajattu ainoastaan tietoihin, joiden käsitteleminen kyseisessä yhteydessä on välttämätöntä.

Perustuslakivaliokunta on pitänyt henkilötietojen käsittelyä koskevassa valtiosääntöisessä arviossa merkityksellisenä myös käsittelyn tarkoitusta yksilöön kohdistuvan julkisen vallan käytön mahdollistajana (PeVL 14/2018 vp, s. 6 ja PeVL 1/2018 vp, s. 6). Perustuslain 2 §:n 3 momentin mukaan julkisen vallan käytön tulee perustua lakiin. Lailla säätämiseen taas kohdistuu yleinen vaatimus lain täsmällisyydestä ja tarkkuudesta. Toimivaltasääntely on valiokunnan käsityksen mukaan yleensä merkityksellistä myös perustuslaissa turvattujen perusoikeuksien näkökulmasta (PeVL 51/2006 vp, s. 2/I).  

Perustuslakivaliokunta on myös todennut, että sen valtiosääntöisiin tehtäviin ei kuulu kansallisen täytäntöönpanosääntelyn arviointi EU:n aineellisen lainsäädännön kannalta (ks. esim. PeVL 31/2017 vp, s. 4). Perustuslakivaliokunta on kuitenkin esittänyt huomioita unionin lainsäädännön ja kansallisen lainsäädännön suhteesta. Valiokunta on tulkintakäytännössään pitänyt tärkeänä, että siltä osin kuin Euroopan unionin lainsäädäntö edellyttää kansallista sääntelyä tai mahdollistaa sen, tätä kansallista liikkumavaraa käytettäessä otetaan huomioon perus- ja ihmisoikeuksista seuraavat vaatimukset (ks. PeVL 25/2005 vp). Valiokunta on tämän johdosta painottanut, että hallituksen esityksessä on erityisesti perusoikeuksien kannalta merkityksellisen sääntelyn osalta syytä tehdä selkoa kansallisen liikkumavaran alasta (PeVL 26/2017 vp, s. 42, PeVL 2/2017 vp, s. 2, PeVL 44/2016 vp, s. 4). Kansallisen liikkumavaran käytöstä tehdään tarkemmin selkoa edellä jaksossa ”Yleinen tietosuoja-asetus ja sen sääntelyliikkumavara”.

Tietojen siirtäminen muiden valtioiden viranomaisille edellyttäisi lisäksi käyttäjän nimenomaista suostumusta. Suostumuksesta tulisi käydä ilmi, että se on annettu vapaaehtoisesti ja nimenomaisesti sekä tietoisena siitä, mihin tarkoituksiin mobiilisovelluksella siirrettyjä tietoja voidaan luovuttaa ja käyttää. Suostumuksesta olisi myös käytävä ilmi, ettei sitä ole annettu sosiaali- ja terveydenhuollon asiakaspalvelutilanteessa eikä viranomaismenettelyssä. Kuten edellä esityksen perusteluissa on tarkemmin kuvattu, henkilötietojen käsittely perustuisi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaan ja erityisten henkilötietoryhmien osalta 9 artiklan 2 kohdan i alakohtaan kuten muutoinkin henkilötietojen käsittely tietojärjestelmän yhteydessä. Henkilön antama suostumus tietojen siirtämiseen ainoastaan täydentäisi tätä oikeusperustaa henkilötietojen käsittelyn suojatoimena.

Perustuslakivaliokunta on katsonut perusoikeusrajoituksen kohteeksi joutuvan henkilön suostumuksella voivan sinänsä olla merkitystä valtiosääntöoikeudellisessa arvioinnissa. Valiokunta on kuitenkin käytännössään pitänyt tällaista sääntelytapaa ongelmallisena ja korostanut suurta pidättyväisyyttä suostumuksen käyttämisessä perusoikeuksiin puuttumisen oikeutusperusteena. Valiokunta on pitänyt oleellisena sitä, mitä voidaan pitää oikeudellisesti relevanttina suostumuksena tietyssä tilanteessa, ja edellyttänyt suostumuksenvaraisesti perusoikeussuojaan puuttuvalta lailta muun muassa tarkkuutta ja täsmällisyyttä, säännöksiä suostumuksen antamisen ja sen peruuttamisen tavasta, suostumuksen aitouden ja vapaaseen tahtoon perustuvuuden varmistamista sekä sääntelyn välttämättömyyttä (PeVL 19/2000 vp, s. 3/II, PeVL 27/1998 vp, s. 2/II sekä PeVL 19/2000 vp, s. 3/II). Valiokunta on katsonut, että sääntely lakiin perustuvasta oikeudesta arkaluonteisten henkilötietojen käsittelyyn suostumuksen peruuttamisen jälkeen on merkityksellistä yksilön itsemääräämisoikeuden kannalta (ks. PeVL 48/2014 vp, s. 2/II). 

Lausunnossaan PeVL 20/2020 vp perustuslakivaliokunta edellytti, että tietojärjestelmässä käsiteltävien tietojen käyttäminen muihin tarkoituksiin kielletään ehdotettua ehdottomammalla ja soveltamisalaltaan laajemmalla kiellolla. Tällainen kielto on tartuntatautilain 43 c §:n 1 momentissa, jonka mukaan tietojärjestelmässä käsiteltäviä tietoja saa käyttää ainoastaan lain 4 a luvun mukaisiin tarkoituksiin, eikä niitä saa käyttää poliisitutkinnassa, esitutkinnassa, oikeudenkäynnissä tai muussa lainvalvontaan liittyvässä tarkoituksessa. Tietoja ei myöskään saa käyttää 60 §:n mukaisessa päätöksenteossa yksinomaisena perusteena eikä muussa covid-19-tartuntaa koskevaan hoitopäätökseen liittymättömässä julkisen vallan käytössä. Tämä kielto koskee myös muiden valtioiden viranomaisille luovutettavia tietoja. Ehdotetussa 43 i §:n 2 momentissa luovutettavien tietojen käyttötarkoitus rajataan mahdollisesti tartunnalle altistuneiden mobiilisovellusten käyttäjien tavoittamiseen, joten tältäkin osin perustuslakivaliokunnan edellyttämä rajaus toteutuu.

Edellä mainituilla perusteilla lakiehdotus voidaan käsitellä tavallisessa lainsäätämisjärjestyksessä. Hallitus pitää kuitenkin suotavana, että perustuslakivaliokunta antaisi asiasta lausunnon.

Ponsi

Edellä esitetyn perusteella annetaan eduskunnan hyväksyttäväksi seuraava lakiehdotus:

Eduskunnan päätöksen mukaisesti

muutetaan tartuntatautilain väliaikaisesta muuttamisesta annetun lain (582/2020) 43 c §:n 2 momentin 5 kohta sekä 3 ja 4 momentti sekä voimaantulosäännös sekä

lisätään 43 c §:n 2 momenttiin uusi 6 kohta ja lakiin uusi 43 i § seuraavasti:

43 c §
Tietojärjestelmän käytön yhteydessä tapahtuva henkilötietojen käsittely

---

Tietojärjestelmän käytön yhteydessä saadaan käsitellä seuraavia henkilötietoja:

---

5) käyttäjän 43 e §:n 1 momentissa tarkoitetun yhteydenottopyynnön yhteydessä ilmoittamat nimi, puhelinnumero, kotikunta ja tarvittaessa tilapäinen asuinpaikka ja oiretiedot;

6) 43 i §:n 2 momentissa tarkoitetuissa tilanteissa tieto tietojärjestelmän rajat ylittävään käyttöön liittyvistä maista.

Edellä 2 momentin 1, 2 ja 4 kohdassa tarkoitetut tiedot saadaan tallentaa käyttäjän mobiililaitteeseen. Taustajärjestelmään saadaan tallentaa mainitun momentin 3 ja 6 kohdassa tarkoitetut tiedot mahdollisesti tartunnalle altistuneiden mobiilisovelluksen käyttäjien tavoittamiseksi ja 5 kohdassa mainitut tiedot luovutettaviksi kunnan tai sairaanhoitopiirin kuntayhtymän terveydenhuollon toimintayksikölle sekä Ålands hälso- och sjukvård -nimiselle viranomaiselle 43 e §:n mukaisesti.

Edellä 2 momentissa tarkoitetut tiedot on poistettava ja tuhottava 21 vuorokauden kuluessa niiden tallentumisesta. Tiedot on kuitenkin poistettava ja tuhottava viimeistään, kun tietojärjestelmä poistetaan 43 a §:n 5 momentin mukaisesti käytöstä.

43 i §
Tietojärjestelmän rajat ylittävän käytön yhteydessä tapahtuva henkilötietojen käsittely

Tietojärjestelmän käytön yhteydessä saadaan henkilötietoja käsitellä myös rajat ylittävään tietojen vaihtoon muiden Euroopan unionin (EU) jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin kansallisten koronavirustaudille mahdollisesti altistuneiden tavoittamiseen käytettyjen mobiilisovellusten ja niiden taustajärjestelmien välillä täytäntöönpanopäätöksen (EU) 2019/1765 muuttamisesta siltä osin kuin on kyse rajat ylittävästä tietojenvaihdosta kansallisten mobiililaitteissa käytettävien kontaktien jäljitys- ja varoitussovellusten välillä COVID-19-pandemian torjumiseksi tehdyn Komission täytäntöönpanopäätöksen (EU) 2020/1023, jäljempänä täytäntöönpanopäätös, 1 artiklan 1 kohdan j alakohdassa tarkoitetun yhdyskäytäväpalvelun kautta.

Terveyden ja hyvinvoinnin laitos voi salassapitosäännösten estämättä luovuttaa 43 c §:n 2 momentin 3 ja 6 kohdassa tarkoitetut tarpeelliset tiedot täytäntöönpanopäätöksen 7 a artiklan 4 kohdassa tarkoitetulle toisen EU:n jäsenvaltion, Euroopan talousalueeseen kuuluvan valtion tai Sveitsin nimetylle kansalliselle viranomaiselle tai viralliselle elimelle koronavirukselle mahdollisesti altistuneiden henkilöiden tavoittamiseksi. Tiedot luovutetaan täytäntöönpanopäätöksen 1 artiklan 1 kohdan j alakohdassa tarkoitetun yhdyskäytäväpalvelun kautta. 

Henkilötietojen luovuttaminen 2 momentin mukaisesti edellyttää käyttäjän suostumusta. Suostumus annetaan sovelluksessa. Suostumuksesta tulee käydä ilmi, että se on annettu vapaaehtoisesti ja nimenomaisesti sekä tietoisena siitä, mihin tarkoituksiin tietoja voidaan luovuttaa ja käyttää. Suostumuksesta on myös käytävä ilmi, ettei sitä ole annettu sosiaali- ja terveydenhuollon asiakaspalvelutilanteessa eikä viranomaismenettelyssä.

Tämä laki tulee voimaan 31 päivänä elokuuta 2020 ja on voimassa 31 päivään joulukuuta 2021.

---

Tämä laki tulee voimaan päivänä kuuta 2020.

---

Helsingissä 12.11.2020

Pääministeri
Sanna Marin

Perhe- ja peruspalveluministeri
Krista Kiuru