Suomen Kuntaliitto ry kiittää mahdollisuudesta lausua asiassa ja toteaa lausuntonaan Lausuntopalvelussa seuraavaa:

Oikeusministeriö pyytää lausuntoa luonnoksesta hallituksen esitykseksi eduskunnalle tietosuojalainsäädännön kokonaisuudistukseen liittyvistä muutoksista oikeusministeriön hallinnonalan lainsäädäntöön. Esityksen tavoitteena on toteuttaa hallitusohjelman mukaisesti kansallisen tietosuojalainsäädännön kokonaisuudistukseen liittyvät muutokset oikeusministeriön hallinnonalan lainsäädäntöön, ottaen huomioon perustuslaista johtuvat vaatimukset ja tietosuoja-asetuksen sallima liikkumavara. Kokonaisuudistuksen tavoitteena on ennen muuta edistää tiedon liikkuvuutta sekä julkisten palveluiden tarkoituksenmukaista järjestämistä.

Tietosuojalakiin ehdotettavat muutokset

Kommenttinne koskien tietosuojalain 4 §:n ehdotettavia muutoksia (henkilötietojen käsittely yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi):

Hallituksen esityksessä esitetään muutettavaksi tietosuojalain 4 §:ää. Tietosuojalain 4 §:n 2 kohdassa säädetään henkilötietojen käsittelyn oikeusperuste viranomaiselle, kun käsittely on tarpeen ja oikeasuhtaista viranomaisen toiminnassa yleisen edun mukaisen tehtävän suorittamiseksi. Lainkohdan tarkoituksena on ollut varmistaa, että viranomaiset voivat käsitellä henkilötietoja muiden tehtävien kuin niiden lakisääteisten velvoitteiden suorittamiseksi (HE 9/2018 vp, s. 80). Säännös ei nykymuodossa luo henkilötietojen käsittelylle oikeusperustetta muille kuin viranomaisille eikä sen arvioida luovan perustetta myöskään sellaiseen käsittelyyn, joka liittyy viranomaisen julkisen vallan käyttöön. 

Hallituksen esityksessä esitetään muutettavaksi sääntelyä siten, että viranomaiset voisivat käsitellä henkilötietoja suoraan kyseisen lainkohdan nojalla yleistä etua koskevan tehtävän suorittamiseksi tai julkisen vallan käyttämiseksi. Lisäksi sääntelyn soveltamisalaa kyseisen lainkohdan osalta ehdotetaan laajennettavaksi niin, että sitä olisi sovellettava viranomaistoiminnan lisäksi myös muissa yhteisöissä, kun ne hoitavat julkista hallintotehtävää, jossa kyse on yleistä etua koskevan tehtävän suorittamisesta tai julkisen vallan käyttämisestä. Sääntely ei tältä osin loisi oikeutta käsitellä arkaluonteisia henkilötietoja, joiden käsittelystä tulisi säätää perustuslakivaliokunnan ja tietosuoja-asetuksen edellyttämällä tavalla täsmällisesti ja tarkkarajaisesti.

Kuntaliitto pitää ehdotettuja muutoksia perusteltuina, mutta kaipaa ehdotettujen muutosten lisäksi edelleen selkeytystä viranomaisen henkilötietojen käsittelyn oikeusperusteisiin. Kuntaliitto toteaa, että julkisen vallan käyttö, yleinen etu ja julkinen hallintotehtävä ovat oikeudellisina määritelminä epäselviä, eikä niiden sisältöä ole käytännön tasolla pystytty lainsäädännössä määrittelemään täsmällisesti. Tämä on omiaan lisäämään tulkintavaikeuksia myös nyt ehdotetun sääntelyn osalta. 

Yleisesti kunnan tehtävistä ja lain perustelujen täsmennystarpeista

Kuntien tehtävistä säädetään kuntalain 7 §:ssä, jonka mukaan kunta hoitaa itsehallinnon nojalla itselleen ottamansa tehtävät ja järjestää sille laissa erikseen säädetyt tehtävät. Kunnan toimiala jaetaan siten yleiseen toimialaan ja erityiseen toimialaan. Yleiseen toimialaan kuuluvat tehtävät, jotka kunta omilla päätöksillään voi ottaa hoidettavakseen, ja erityiseen toimialaan kuuluvat tehtävät, jotka kunnan on hoidettava eri lakeihin sisältyvien säännösten mukaan. Yleisen toimialan rajat tulevat sisällöllisesti kuntalain 1 §:stä, jonka mukaan kunta edistää asukkaidensa hyvinvointia ja alueensa elinvoimaa sekä järjestää asukkailleen palvelut taloudellisesti, sosiaalisesti ja ympäristön kannalta kestävällä tavalla. Kunnan harkinta ei ole täysin vapaata, vaan sitä, mitä tehtäviä kunta voi ottaa hoitaakseen, rajoittavat esimerkiksi hallinnon oikeusperiaatteet. Myöskään esimerkiksi liiketoimintariskin ottaminen ei ole kunnan tehtävä. 

Henkilötietojen käsittelyn näkökulmasta tämä tarkoittaa, että kuntien toiminnassa kyse on aina joko lakisääteisestä tehtävästä (erityinen toimiala) tai yleisestä edusta (yleinen toimiala). Useimpien kunnan tehtävien hoito edellyttää henkilötietojen käsittelyä. Jos kunnalla lainsäädännön näkökulmasta on oikeus järjestää palveluja tai ottaa hoidettavaksi tehtäviä, kunnalla on myös oikeus käsitellä henkilötietoja tämän palvelun tai tehtävän yhteydessä – tietosuojalainsäädännön muut reunaehdot käsittelyssä huomioiden.

Hallituksen esitysluonnoksessa (s. 25) todetaan, että ”Yleistä etua koskevassa tehtävässä tai julkisen vallan käytössä voi olla kyse esimerkiksi kunnan tehtävistä huolehtia koulutuksesta tai kirjasto- ja liikuntapalveluiden järjestämisestä.” Kuntaliitto huomauttaa, että esimerkiksi perusopetuksen järjestäminen ja kirjastopalveluiden ylläpitäminen ovat kuntien lakisääteisiä velvollisuuksia, ja esittää, että esityksen perusteluita tältä osin korjataan. Esimerkkejä yleisen edun tehtävistä ovat esimerkiksi kulttuuripalvelujen tukeminen tai iltapäiväkerhojen järjestäminen perusopetukseen liittyen. Hallituksen esitysluonnoksen muotoilu näyttäisi tältä osin nojaavan vahvasti WP29-tietosuojatyöryhmän lausuntoon vuodelta 2014, jossa esimerkkejä annetaan henkilötietodirektiivin 7 artiklan e alakohdan (yleistä etua koskeva tehtävä) soveltamisesta: ”Vielä yksi esimerkki on paikallishallinnon elin, kuten kunnallisviranomainen, jolle on annettu tehtäväksi kirjastopalvelujen, koulun tai paikallisen uimahallin hoitaminen.” [1] Kuntaliitto huomauttaa, että tältä osin lausunnon johtopäätöksiä ei voida suoraan soveltaa Suomen olosuhteisiin tai paikallisviranomaisten tehtäviin. Esityksen jatkovalmistelussa tulisi täsmentää viranomaisen lakisääteisten ja yleisen toimialaan kuuluvien tehtävien suhdetta julkisen vallan käyttöön, sekä suhteuttaa yleinen etu käsittelyperusteena tähän kokonaisuuteen. 

Tietosuojalain 4 §:n 2 kohdan soveltamisalaan kuuluvana esimerkkinä mainitaan tietosuojalain perusteluissa (HE 9/2018 vp, s. 80) viranomaisen suunnittelu- ja selvitystehtävä. Kuntaliitto pitää tervetulleena esitysluonnoksen (s. 25) täsmennystä siitä, että vastaavasti myös viranomaisen palveluiden kehittäminen voi olla yleistä etua koskeva tehtävä. Kuntaliitto kuitenkin katsoo, että lain soveltamista tulisi tukea näiden yleisluontoisten käsitteiden lisäksi nykypäivän tietojenkäsittelyä paremmin kuvaavin esimerkein. Jossain määrin tulkinnanvaraiseksi voi käytännön tasolla jäädä, kattaako palveluiden kehittäminen esimerkiksi erilaisten analytiikkatyökalujen hyödyntämisen tai muut tiedolla johtamisen tarkoitukset. 

Käytännön haasteena rajanveto muiden käsittelyperusteiden välillä 

Kuten esitysluonnoksessakin (s. 9) on sivuttu, käytännössä haasteita käsittelyperusteiden soveltamisessa aiheuttaa yleistä etua koskevan tehtävän ja julkisen vallan käyttämistä koskevan käsittelyperusteen rajanveto muihin tietosuoja-asetuksen 6 artiklan käsittelyperusteisiin, erityisesti lakisääteiseen velvoitteeseen sekä oikeutettuun etuun. 

Tietosuojalain 4 §:n suhde lakisääteiseen velvoitteeseen

Perusopetuksen osalta käsittelyn oikeusperusteisiin liittyvää arviointia on tehty korkeimman hallinto-oikeuden ratkaisussa KHO 2025:29. Asia koski henkilötietojen käsittelyn lainmukaisuutta sähköisen opetusalustan (Google Workspace for Education) käytön yhteydessä. Ratkaisussaan KHO katsoi, että perusopetusta koskeva sääntely voi sinänsä muodostaa kaupungille sellaisen lakisääteisen velvoitteen, jonka noudattamiseen henkilötietojen käsittely sähköisellä opetusalustalla voi lähtökohtaisesti perustua. KHO katsoi, että tietosuojavaltuutettu ja hallinto-oikeus eivät ole päätöksessä esittämillään perusteilla voineet katsoa, että henkilötietojen käsittelyperusteena ei tässä asiassa tule miltään osin sovellettavaksi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta. KHO ei ottanut ensi asteena tarkemmin ratkaistavakseen, miltä osin kysymyksessä olevalta henkilötietojen käsittelyltä mahdollisesti puuttui tietosuoja-asetuksen mukainen peruste, ja asia palautettiin tältä osin tietosuojavaltuutetulle uudelleen käsiteltäväksi. 

Kunnille voidaan säätää tehtäviä lailla. Tehtävät voivat olla pakollisia tai vapaaehtoisia. Pakolliset tehtävät kunta on velvollinen hoitamaan. Vapaaehtoisissa tehtävissä kunnalla on harkintavalta, mutta jos kunta ryhtyy tehtävää hoitamaan, tehtävä on hoidettava lain mukaisesti. Esimerkiksi perusopetuksen jälkeisen koulutuksen, kuten lukiokoulutuksen järjestäminen ei ole kunnan lakisääteinen velvollisuus. Lukiokoulutuksen järjestäminen on kunnalle vapaaehtoinen tehtävä, jonka järjestäminen edellyttää opetus- ja kulttuuriministeriön lupaa. Jos kunta lukiokoulutusta järjestää, tulee sitä järjestää sitä lain ja myönnetyn luvan mukaisesti. 

Kuntaliitto pitäisi tärkeänä, että esityksen jatkovalmistelussa arvioitaisiin tarvetta sääntelyn selkeyttämiselle edelleen käsittelyn oikeusperusteiden (tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdan sekä tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan) välisen rajanvedon osalta. Kuntaliitto on huomannut myös, että esimerkiksi Norjan tietosuojaviranomainen on verkkosivuillaan katsonut Googlen opetusalustan liittyvän henkilötietojen käsittelyn perusteeksi soveltuvan parhaiten tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan, vaikka myös lakisääteistä velvoitetta koskevan käsittelyperusteen voi viranomaisen verkkosivuohjeistuksen mukaan ajatella soveltuvan.[2] Myös esimerkiksi Tanskan tietosuojaviranomainen on kyseistä opetusalustaa koskevissa ratkaisuissaan viitannut tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdan mukaiseen perusteeseen.[3] 

Tietosuojalain 4 §:n suhde oikeutettuun etuun

Tietosuoja-asetuksen 6 artiklan 2 kohdan perusteella oikeutettua etua koskevaa käsittelyperustetta ei sovelleta tietojen käsittelyyn, jota viranomaiset suorittavansa tehtäviensä yhteydessä. Asetuksen johdanto-osan 47 perustelukappaleessa rajausta perustellaan sillä, että lainsäätäjän tehtävä on vahvistaa lailla käsittelyn oikeusperuste, jonka nojalla viranomaiset voivat käsitellä henkilötietoja. Jossain määrin tulkinnanvaraista kuitenkin on, mikä on tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan sekä e alakohdan välinen suhde. 

Esitysluonnoksessakin viitatussa WP29-tietosuojatyöryhmän lausunnossa vuodelta 2014 (s. 24) on kyseisten käsittelyn oikeusperusteiden osalta todettu, että 7 artiklan e alakohdalla (yleistä etua koskeva tehtävä) on samankaltaisuuksia 7 artiklan f alakohdan (oikeutetut intressit) kanssa, ja joissain asiayhteyksissä, etenkin viranomaisten ollessa kyseessä, se voi korvata f alakohdan. Lisäksi lausunnossa on kuvattu, että tietosuoja-asetusehdotuksessa asetettua kieltoa soveltaa oikeutettua etua käsittelyperusteena ”tietojen käsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä” voidaan tulkita joko laajentavasti tai kaventavasti. 

Euroopan tietosuojaneuvoston oikeutettua etua koskevassa ohjeluonnoksessa oikeutettua etua viranomaisten käsittelyperusteena on arvioitu ainoastaan lyhyesti. Ohjeluonnoksen[4] (s. 28) mukaan tämä lähtökohtainen kielto ei estä viranomaisia poikkeuksellisissa ja rajoitetuissa tapauksissa vetoamasta tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohdan säännökseen, kun käsittely ei liity viranomaisten erityistehtävien suorittamiseen tai viranomaisten valtuuksien käyttämiseen, vaan koskee, jos kansallinen oikeusjärjestelmä sen sallii, muita laillisesti suoritettuja toimintoja. Ohjeluonnoksen mukaan viranomaiset eivät missään olosuhteissa voi vedota 6 artiklan 1 kohdan f alakohtaan sellaisten käsittelytoimien osalta, jotka kuuluvat niiden tehtävien suorittamiseen. 

Rajanvetotilanteet käsittelyperusteiden välillä koskevat esimerkiksi käsittelyä, jota suoritetaan asianmukaisen hallinnon ja toiminnan varmistamiseksi, kuten henkilötietojen siirrot kuntakonsernin sisällä (vrt. tietosuoja-asetuksen johdanto-osan 48 perustelukappale, jossa viitataan rekisterinpitäjän oikeutettuun etuun) ja kunnan eri viranomaisten välillä. Kuntaliitto toivoo, että tietosuojalain 4 §:n 1 momentin 2 kohdan käyttöalaa selkeytetään esityksen jatkovalmistelussa myös suhteessa oikeutettua etua koskevaan käsittelyperusteeseen. Kuntaliitto on kommentoinut teemaa kattavammin myös Euroopan tietosuojaneuvoston julkisessa kuulemisessa.[5]

Suostumus viranomaistoiminnassa

Kuntaliitto nosti esiin jo kokonaisuudistuksen alkuvaiheessa tietosuojalain 4 §:n 2 kohdan selkeyttämisen lisäksi tarpeen saada tarkempaa ohjeistusta suostumuksen käytöstä viranomaistoiminnassa. Suostumukseen liittyvät tulkinnat viranomaistoiminnassa eivät edelleenkään ole selkeitä, ja esimerkiksi työllisyyspalvelujen yhteydessä on huomattu, että isojenkin kansallisten viranomaisten, kuten KEHA-keskus ja Kansaneläkelaitos, käytännöt suostumukseen liittyen vaikuttavat vaihtelevan. Tulkintaepävarmuudet koskevat erityisesti sitä, missä määrin suostumusta voidaan käyttää viranomaisten väliseen tiedonvaihtoon vaikuttavana tekijänä. Tältä osin Kuntaliitto toistaa jo aikaisemmin esittämänsä kritiikin siitä, että tietosuojalainsäädännön kokonaisuudistusta ei ulotettu koskemaan tiedonsaantioikeuksia koskevia haasteita, jotka käytännön kannalta ovat suurimpia ja tärkeimpiä viranomaistoiminnan tehokkaan toteutumisen esteitä. 

Suostumuksen käyttöalan selkeyttäminen olisi tärkeää, myös siitä syystä, että uudessa EU:n digi- ja datasääntelyssä sen varaan nojataan entistä enemmän. Esimerkiksi EU:n datanhallinta-asetuksessa säädetään data-altruismista, joka perustuu henkilön vapaaehtoiseen suostumukseen jakaa henkilötietoja ja muuta dataa yleisen edun mukaisiin tarkoituksiin. Tällaiset tarkoitukset voivat liittyä asetuksen johdanto-osan 45 perustelukappaleen mukaan esimerkiksi julkisten palvelujen tarjonnan ja julkisen päätöksenteon parantamiseen. Myös uudistetun eIDAS-asetuksen mukaiset eurooppalaiset digitaalisen identiteetin lompakot rakentuvat yleisemminkin sellaisen tiedonvaihdon tavan varaan, jossa käyttäjät itse antavat nimenomaisen suostumuksen tietojen antamisesta erilaisille asiointipalveluille.

Julkiset hallintotehtävät

Kuntaliitto toteaa, että esitetty muutos julkisen hallintotehtävän hoitamisen osalta tuo kaivattua selkeyttä niihin tilanteisiin, jossa hallintotehtävä on siirretty viranomaiskoneiston ulkopuolelle. 

Kuntaliitto kuitenkin toteaa, että julkisten palveluiden tarkoituksenmukaiseen järjestämiseen ja julkisten hallintotehtävien hoitamiseen liittyy edelleen haasteita, jotka johtuvat tietosuojasääntelystä tai sen tulkinnoista. Esimerkiksi jätehuollossa Digi- ja väestötietovirasto on kieltäytynyt luovuttamasta kunnallisille jäteyhtiöille asiakkaiden henkilötunnuksia, jotka tarvitaan asiakkaiden laskutusta varten. Myös kunnan jätehuoltoviranomaisia, joille jätehuollon hoitamiseen tarpeelliset tiedot mukaan lukien henkilötunnus Digi- ja väestötietovirastolta luovutetaan, on kielletty antamasta henkilötunnuksia eteenpäin kunnallisille jäteyhtiöille – vaikka käytännössä nimenomaan jäteyhtiöt hoitavat asiakkaiden laskutusta. Kuntaliitto pitää asiaa esillä muiden lainsäädäntöhankkeiden yhteydessä. 

Yleiset kommentit:

Tietosuojalaki on edelleen erittäin vaikeaselkoinen ja hankalasti sovellettavissa. Ehdotetut muutokset eivät ole omiaan lisäämään sääntelyn läpinäkyvyyttä tai sovellettavuutta. Kuntaliitto kannattaa siksi sääntelyn selkeyttämistä edelleen. Esimerkiksi julkinen hallintotehtävä, julkisen vallan käyttö, yleinen etu, oikeutettu etu ja kunnan yleinen toimiala ovat kaikki hyvin epäselviä käsitteitä, mikä on omiaan lisäämään tulkintavaikeuksia myös ehdotetun sääntelyn osalta.

Viranomaistoiminnassa henkilötietojen käsittely perustuu lähtökohtaisesti joko rekisterinpitäjän lakisääteiseen velvoitteeseen taikka yleistä etua koskevan tehtävän suorittamiseen tai julkisen vallan käyttämiseen. Esitysluonnoksessakin (s. 9) todetaan, että joissakin tilanteissa käsittely voi perustua samanaikaisesti myös molempiin edellä mainittuihin oikeusperusteisiin. Vaikka käsittelyperusteiden käyttöalaan väistämättä jääneekin jonkunlaista tulkinnanvaraa, Kuntaliitto pitäisi oikeusvarmuuden vuoksi perusteltuna, että yleistä etua koskevan tehtävän suorittamista ja julkisen vallan käyttämistä koskevan käsittelyperusteen soveltamisalaa avattaisiin esityksen jatkovalmistelussa nyt esitettyä kattavammin erilaisin esimerkein. 

Tietosuoja-asetuksessa ja tietosuojalaissa kyse on hallinnon yleissääntelystä, jonka ymmärrettävyyteen voidaan kohdistaa erityisiä vaatimuksia. Tulkinnanvaraa jättävä lainsäädäntö, kuntien toimiympäristön huomioivan viranomaisohjeistuksen puute sekä tietosuojavaltuutetun ja tuomioistuinten pitkät käsittelyajat johtavat tilanteeseen, jossa sääntelyä soveltavat kunnat kantavat viime kädessä riskin tulkintojensa lainmukaisuudesta sekä myös maksavat siitä tarvittavien ylimääräisten lakipalveluiden ja jatkossa mahdollisesti myös hallinnollisten seuraamusmaksujen muodossa. Sääntelyn selkeyttäminen on keskeistä paitsi rekisterinpitäjien myös rekisteröityjen näkökulmasta, koska siihen, mitkä rekisteröidyn oikeudet tulevat kyseeseen, vaikuttaa olennaisesti se, millä käsittelyperusteella henkilötietoja käsitellään.  

SUOMEN KUNTALIITTO

Juha Myllymäki                            Oona Ojajärvi
Lakiasiainjohtaja                          Juristi 

[1] https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_fi.pdf (vierailtu 2.10.2025).

[2] https://www.datatilsynet.no/personvern-pa-ulike-omrader/skole-barn-unge/bruk-av-google-chromebook-og-g-suite-for-education-og-andre-skytjenester-i-grunnskolen/rettslig-grunnlag-for-behandlingen/ (vierailtu 3.10.2025). 

[3] https://www.datatilsynet.dk/afgoerelser/afgoerelser/2022/aug/datatilsynet-fastholder-forbud-i-chromebook-sag (vierailtu 3.10.2025). 

[4] https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf (vierailtu 3.10.2025).

[5] https://www.edpb.europa.eu/sites/default/files/webform/public_consultation_reply/edpb.1_24.pdf (vierailtu 3.10.2025).