Hallituksen esitys (HE 9/2026 vp) eduskunnalle tietosuojalainsäädännön kokonaisuudistukseen liittyvistä muutoksista oikeusministeriön hallinnonalan lainsäädäntöön

Kuntaliitto kiittää eduskunnan hallintovaliokuntaa mahdollisuudesta lausua hallituksen esityksestä ja tulla hallintovaliokuntaan kuultavaksi. 

Keskeiset havainnot hallituksen esityksestä

Tietosuojalainsäädännön kokonaisuudistuksen rajaus

Kuntaliitto pitää tärkeänä hallitusohjelman tavoitetta edistää tiedon liikkuvuutta ja julkisten palveluiden tarkoituksenmukaista järjestämistä. Tämän tavoitteen näkökulmasta Kuntaliitto kuitenkin pitää valitettavana, että tietosuojalainsäädännön kokonaisuudistusta ei ulotettu koskemaan tiedonsaantioikeuksia koskevia haasteita, jotka käytännön kannalta ovat suurimpia ja tärkeimpiä viranomaistoiminnan tehokkaan toteutumisen esteitä. Kuntaliitto näkee ongelmallisena tavan katsoa tietosuojaa teknisenä erilliskysymyksenä ilman kytkentää muuhun viranomaisiin vaikuttavaan sääntelyyn. Tulkintahaasteet liittyvät kokonaisuudessaan hankalaan ja vaikeaselkoiseen lainsäädäntöön, jossa tietosuojasääntelyä, julkisuussääntelyä ja muuta julkisoikeudellista sääntelyä luetaan rinnakkain.

Käsittelyn lainmukaisuus tietosuojalain 4 §:n nojalla 

Hallituksen esityksessä esitetään muutettavaksi tietosuojalain 4 §:ää siten, että viranomaiset voisivat käsitellä henkilötietoja suoraan kyseisen lainkohdan nojalla yleistä etua koskevan tehtävän suorittamisen lisäksi myös julkisen vallan käyttämiseksi. Vaikka hallituksen esityksessä esitetyt muutokset ovat perusteltuja, Kuntaliitto katsoo, etteivät ne ole omiaan lisäämään sääntelyn läpinäkyvyyttä tai sovellettavuutta kunnissa. Käytännössä oikeudellista epävarmuutta kunnissa aiheuttaa yleistä etua koskevan tehtävän ja julkisen vallan käyttämistä koskevan käsittelyperusteen rajanveto muihin tietosuoja-asetuksen 6 artiklan käsittelyperusteisiin, erityisesti lakisääteiseen velvoitteeseen sekä oikeutettuun etuun. 

Lakisääteisen velvoitteen osalta kansallista oikeuskäytäntöä on alkanut vasta hiljattain muotoutua (KHO 2025:29). Toisaalta tämänkin ratkaisun oikeustilaa selventävä vaikutus on rajallinen. Ratkaisun mukaan perusopetusta koskeva sääntely voi sinänsä muodostaa kaupungille sellaisen lakisääteisen velvoitteen, jonka noudattamiseen henkilötietojen käsittely sähköisellä opetusalustalla voi lähtökohtaisesti perustua. Ratkaisun mukaan tietosuojavaltuutettu ei ole voinut päätöksessä esittämillään perusteilla katsoa, että henkilötietojen käsittelyperusteena ei tässä asiassa tule miltään osin sovellettavaksi tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohta. Korkein hallinto-oikeus ei ottanut ensi asteena tarkemmin ratkaistavakseen, miltä osin kysymyksessä olevalta henkilötietojen käsittelyltä mahdollisesti puuttui tietosuoja-asetuksen mukainen peruste.  

Oikeutetun edun käsittelyperustetta ei tietosuoja-asetuksen 6 artiklan mukaan sovelleta käsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä. Käsittelyperusteen tulkintahaasteet kunnissa liittyvät tämän alan määrittelyyn. Tietosuoja-asetuksen johdanto-osan 47 perustelukappaleen mukaan rajoituksen syynä on se, että lainsäätäjän tehtävä on vahvistaa lailla käsittelyn oikeusperuste, jonka nojalla viranomaiset voivat käsitellä henkilötietoja. Euroopan tietosuojaneuvoston oikeutettua etua koskeva ohjeluonnos määrittää oikeutetun edun soveltamisalan viranomaistoiminnassa Kuntaliiton tulkinnan mukaan melko suppeaksi. (Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0 for public consultation, 8.10.2024, s. 28. Saatavilla: https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf, vierailtu 23.3.2026). 
Tästä näkökulmasta tietosuojalain 4 §:n 1 momentin 2 kohtaa olisi tulkittava siten, että viranomaisille jätetään jonkin verran joustovaraa ainakin niiden asianmukaisen hallinnon ja toiminnan varmistamiseksi. (Lausunto 6/2014 direktiivin 95/46/EY 7 artiklan mukaisesta rekisterinpitäjän oikeutetun edun käsitteestä WP 217, 9.4.2014, s. 24. Saatavilla: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_fi.pdf, vierailtu 23.3.2026). Rajanveto voi kuitenkin olla hankalaa esimerkiksi kehittämistoiminnassa, jota voidaan toteuttaa tietosuojalain 4 §:n 1 momentin 2 kohdan nojalla mutta mahdollisesti myös oikeutettuun etuun perustuen, jos kunnassa esimerkiksi rajatummin pilotoidaan uusia teknisiä ratkaisuja. Toinen esimerkki voisi liittyä tilanteeseen, jossa viranomainen poikkeuksellisesti toimii toimeksiannosta yksityisen puolesta, kuten julkisuuslain 5 §:n 3 momentin 4 kohdassa viitataan.

Kuntaliitto ymmärtää, että käsittelyperusteiden rajanveto on vahvasti riippuvainen oikeuskäytännöstä ja tietosuojaviranomaisten tulkintaohjeistuksesta ja että rajoja ei voida tyhjentävästi määritellä lain perusteluissa. Joissakin tilanteissa käsittely voi esityksessäkin todetulla tavalla perustua samanaikaisesti myös useampaan käsittelyn oikeusperusteeseen. Kuntaliitto kiittää, että asiaan liittyvää oikeuskäytäntöä ja muuta tulkintaohjeistusta on esityksen perusteluissa kuitenkin avattu kattavasti. 

Hallituksen esityksessä (s. 31) todetaan, että ”Yleistä etua koskevassa tehtävässä tai julkisen vallan käytössä voi olla kyse esimerkiksi kunnan tehtävistä huolehtia koulutuksesta tai kirjasto- ja liikuntapalveluiden järjestämisestä.” Kuten Kuntaliitto jo lausuntopalautteessaan mainitsi, hallituksen esityksen muotoilu näyttäisi tältä osin nojaavan WP29-tietosuojatyöryhmän lausuntoon vuodelta 2014, jossa esimerkkejä annetaan henkilötietodirektiivin 7 artiklan e alakohdan (yleistä etua koskeva tehtävä) soveltamisesta: ”Vielä yksi esimerkki on paikallishallinnon elin, kuten kunnallisviranomainen, jolle on annettu tehtäväksi kirjastopalvelujen, koulun tai paikallisen uimahallin hoitaminen.” 

Kuntaliitto huomauttaa, että kyse on EU-tasoisesta tulkintaohjeistuksesta ja että paikallishallinnon tehtävät on EU:n jäsenvaltiossa järjestetty eri tavoin. Tulkintaepäselvyyksien välttämiseksi Kuntaliitto pitäisi perustellumpana, että kuntien tehtäviä koskevat esimerkit annettaisiin tietosuojalain perusteluissa kansallisista lähtökohdista käsin. Kuntaliiton näkemyksen mukaan perusteluissa voitaisiin ennemmin mainita, että esimerkiksi kuntien yleiseen toimialaan kuuluvat vapaaehtoiset tehtävät kuuluvat lähtökohtaisesti tietosuojalain 4 §:n 1 momentin 2 kohdan käsittelyperusteen soveltamisalaan. 

Julkiset hallintotehtävät

Hallituksen esityksen mukaan tietosuojalain käsittelyn lainmukaisuutta koskevia säännöksiä ehdotetaan täsmennettäväksi siten, että viranomaiset voisivat käsitellä henkilötietoja suoraan tietosuojalain nojalla yleistä etua koskevan tehtävän suorittamisen lisäksi myös julkisen vallan käyttämiseksi. Tietosuojalakiin ehdotetaan lisättäväksi vastaavat säännökset myös muiden kuin viranomaisten osalta, silloin kun ne hoitavat lailla tai lain nojalla annettua julkista hallintotehtävää, jossa on kyse yleistä etua koskevan tehtävän suorittamisesta tai julkisen vallan käyttämisestä. Kuntaliitto toteaa, että esitetty muutos julkisen hallintotehtävän hoitamisen osalta tuo kaivattua selkeyttä niihin tilanteisiin, jossa hallintotehtävä on siirretty viranomaiskoneiston ulkopuolelle. 

Kuntaliitto kuitenkin toteaa, että julkisten palveluiden tarkoituksenmukaiseen järjestämiseen ja julkisten hallintotehtävien hoitamiseen liittyy edelleen haasteita, jotka johtuvat tietosuojasääntelystä tai sen tulkinnoista. Esimerkiksi jätehuollossa on noussut esiin, etteivät kunnalliset jätehuoltoyhtiöt saa tarvitsemiansa tietoja (esim. henkilötunnuksia ja asukastietoja) jätehuollon toteuttamiseksi Digi- ja väestötietovirastosta ja Suomen ympäristökeskukselta, jonne rakennustietojen ylläpito ja jakelu jatkossa siirtyy. Jätelain 43 §:n mukaan kunta voi päätöksellään siirtää sille jätelaissa säädetyn jätteen vastaanoton, kuljetuksen ja käsittelyn, jätelain 82 §:ssä tarkoitetun jätemaksujen laskutuksen ja 93 §:n 1 momentissa tarkoitetun jäteneuvonnan sekä näihin välittömästi liittyvät hallinnolliset tehtävät, joihin ei sisälly julkisen vallan käyttöä, tätä varten perustetulle yhtiölle, jonka kunta yhdessä muiden kuntien kanssa omistaa. Jätelain 43 §:ssä säädettyjen palvelutehtävien kokonaisuus muodostaa julkisen hallintotehtävän.

Säännöksen soveltamista käytännössä vaikeuttaa myös se, että julkisen hallintotehtävän määritelmä on oikeudellisesti osin täsmentymätön ja että sen tulkinta kiinnittyy perustuslakivaliokunnan lausuntokäytäntöön, laillisuusvalvontakäytäntöön ja tuomioistuinten ratkaisukäytäntöön.  

Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely tietosuojalain 6 §:n perusteella

Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely on tietosuoja-asetuksen mukaan lähtökohtaisesti kielletty. Tällaisia henkilötietoja voi käsitellä vain, kun kieltoon on säädetty poikkeus tietosuoja-asetuksessa tai erikseen unionin oikeudessa tai kansallisessa lainsäädännössä. Voimassa olevan kansallisen tietosuojalain 6 §:n 1 momentin 2 kohdan mukaan erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelykieltoa ei sovelleta tietojen käsittelyyn, josta säädetään laissa tai joka johtuu välittömästi rekisterinpitäjälle laissa säädetystä tehtävästä. 

Hallituksen esityksessä tietosuojalain 6 §:n 1 momentin 2 kohtaa ehdotetaan muutettavaksi siten, että säännöksen poikkeusta sovellettaisiin tietojen käsittelyyn, josta säädetään laissa tai joka on välttämätöntä välittömästi rekisterinpitäjille laissa säädetyn yleistä etua koskevan tehtävän suorittamiseksi. Kuntaliitto kiinnittää tältä osin huomiota ehdotetun 6 §:n 1 momentin 2 kohdan perusteluihin: 

Voimassa olevassa lainkohdassa säädetään erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä kahdessa tilanteessa. Lainkohdan mukaan erityisiin henkilötietoryhmiin kuuluvia tietoja saa käsitellä ensinnäkin tilanteessa, jossa kyseisestä henkilötietojen käsittelystä on säädetty nimenomaisesti laissa. Sääntelyä ei ehdoteta tältä osin muutettavaksi. Voimassa oleva lainkohta mahdollistaa lisäksi henkilötietojen käsittelyn, joka johtuu rekisterinpitäjälle välittömästi laissa säädetystä tehtävästä. Kyseisissä tilanteissa erityisten henkilötietojen käsittelystä ei ole säädetty nimenomaisesti ja tarkkarajaisesti rekisterinpitäjää velvoittavassa lainsäädännössä, mutta kyseiset lakisääteiset velvollisuudet voivat kuitenkin välttämättä edellyttää erityisten henkilötietojen käsittelyä. Ehdotettujen muutosten tarkoituksena on varmistaa, että rekisterinpitäjä voisi jatkossakin käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja lainkohdan nojalla silloin, kun käsittely johtuu rekisterinpitäjälle välittömästi säädetyn velvollisuuden noudattamisesta. Huomioiden nykyiseen muotoiluun ja käsitteisiin liittyvät tulkintaepäselvyydet sekä tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohdan sanamuoto, lainkohdassa olisi tarpeen selventää, että rekisterinpitäjälle säädetyn velvollisuuden noudattamisessa olisi kyse rekisterinpitäjälle laissa säädetyn yleistä etua koskevan tehtävän suorittamisesta. Tietosuojalain 6 §:n 1 momentin 2 kohdassa säädettäisiin näin ollen jatkossa rekisterinpitäjälle laissa säädetystä yleistä etua koskevan tehtävän suorittamisesta.

Kuntaliiton näkemyksen mukaan säännöksen perustelujen viittaukset rekisterinpitäjälle säädettyihin velvollisuuksiin ohjaavat tulkintaa siihen, että erityisiin henkilötietoryhmiin kuuluvia tietoja voitaisiin käsitellä lainkohdan nojalla vain, kun henkilötietojen käsittelylle on tunnistettu tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa tarkoitettu käsittelyn oikeusperuste. Toisaalta hallituksen esityksessä (s. 12) todetaan myös, että erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely edellyttää tietosuojalain 6 §:n 1 momentin 2 kohdan lisäksi aina sitä, että käsittelylle on myös jokin tietosuoja-asetuksen 6 artiklan 1 kohdan tarkoittama oikeusperuste. Viranomaisten osalta tällainen oikeusperuste voi hallituksen esityksen (s. 12) mukaan olla myös tietosuojalain 4 §:n 2 kohta, kun henkilötietojen käsittely liittyy yleistä etua koskevan tehtävän suorittamiseen. Kuntaliitto toteaa, että kaikki kunnille laissa säädetyt tehtävät eivät ole lakisääteisiä velvollisuuksia. Lausuntopalautteessa nostettiin esiin myös epäselvyys siitä, onko esimerkiksi kuntalain 1 §:ssä säädetty kunnan hyvinvoinnin ja terveyden edistämisen tehtävä sellainen rekisterinpitäjälle laissa säädetty yleistä etua koskeva tehtävä, jonka suorittamiseksi erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely voisi olla välttämätöntä.

Kunnille voidaan säätää tehtäviä lailla. Tehtävät voivat olla pakollisia tai vapaaehtoisia. Pakolliset tehtävät kunta on velvollinen hoitamaan. Vapaaehtoisissa tehtävissä kunnalla on harkintavalta, mutta jos kunta ryhtyy tehtävää hoitamaan, tehtävä on hoidettava lain mukaisesti. Esimerkiksi perusopetuksen jälkeisen koulutuksen, kuten lukiokoulutuksen järjestäminen ei ole kunnan lakisääteinen velvollisuus. Lukiokoulutuksen järjestäminen on kunnalle vapaaehtoinen tehtävä, jonka järjestäminen edellyttää opetus- ja kulttuuriministeriön lupaa. Jos kunta lukiokoulutusta järjestää, tulee sitä järjestää sitä lain ja myönnetyn luvan mukaisesti. Raja kunnan lakisääteisten tehtävien ja yleisen toimialan tehtävien välillä on osittain häilyvä. Moni lakisääteinenkin tehtävä jättää kunnalle liikkumavaraa: mitä tehdään, missä laajuudessa ja miten palvelut järjestetään. Usein kunnat tekevät enemmän kuin laki minimissään vaatii – tämä on osa kuntien itsehallintoa ja palveluiden kehittämistä paikallisten tarpeiden mukaan.

Tulkintaepäselvyyksien välttämiseksi Kuntaliitto pyytää vielä täsmentämään ehdotetun 6 §:n 1 momentin 2 kohdan perusteluja. Lakisääteisten velvollisuuksien ja vapaaehtoisten tehtävien lisäksi kunnat käsittelevät erityisiin henkilötietoryhmiin kuuluvia tietoja myös yleiseen toimialaan liittyvissä tehtävissä. Hallituksen esityksen perusteella paikallishallinnon kontekstissa jää epäselväksi, mikä on säännöksessä tarkoitetun lakisääteisen velvollisuuden suhde kunnan lakisääteisiin, vapaaehtoisiin (mutta lainsäädännössä todettuihin) ja yleiseen toimialaan liittyviin tehtäviin. Lakia soveltaville kunnille tulisi olla sääntelyn perusteella selvää, missä kunnan tehtävissä erityisiin henkilötietoryhmiin kuuluvia tietoja voidaan käsitellä. Tämä on tärkeää myös rekisteröityjen näkökulmasta.

Yhteensopivat käyttötarkoitukset

Hallituksen esityksen mukaan mikäli viranomainen käsittelee henkilötietoja alun perin jonkin sen laissa säädetyn tehtävän suorittamista varten ja henkilötietojen myöhempi käsittely olisi yhteensopivaa alkuperäisen käyttötarkoituksen kanssa ja siinä olisi kyse viranomaisen yleistä etua koskevan tehtävän suorittamisesta, käsittely voisi perustua suoraan tietosuojalain 4 §:n 2 kohtaan. Tällaista myöhempää käsittelyä voisi hallituksen esityksen mukaan tietyin edellytyksin olla esimerkiksi palveluiden kehittäminen tai viranomaisen suunnittelu- ja selvitystehtävä. Kuntaliitto katsoo, että lain soveltamista tulisi tukea näiden yleisluontoisten käsitteiden lisäksi nykypäivän tietojenkäsittelyä paremmin kuvaavin esimerkein. Sääntelyn soveltamisen helpottamiseksi Kuntaliitto pitäisi perusteltuna, että esimerkiksi palveluiden kehittämisen osalta todettaisiin, millaista käsittelyä kyseinen tarkoitus voisi mahdollisesti kattaa. Tämä toive korostui myös kuntien antamassa lausuntopalautteessa.

Kuntaliiton näkemyksen mukaan olisi myös tarpeen selkeyttää, onko esimerkiksi palveluiden kehittäminen tietosuojalain 6 §:n 1 momentin 2 kohdan edellyttämällä tavalla välttämätöntä välittömästi rekisterinpitäjille laissa säädetyn yleistä etua koskevan tehtävän suorittamiseksi. Esimerkiksi työvoimapalveluiden järjestämisestä annetun lain (järjestämislaki, 380/2023) 112 §:n 1 momentin 3 kohdassa on selkeästi todettu, että asiakkaiden ja työvoimapalvelujen tuottajien tietoja voidaan käyttää laissa säädettyjä tehtäviä koskevaan valvontaan, kehittämiseen, seurantaan, arviointiin, tilastointiin, ennakointiin ja ohjaukseen. Säännöksen perustelujen (207/2022 vp, s. 315) mukaan ”[e]hdotetussa 3 kohdassa tarkoitettujen käyttötarkoitusten voidaan katsoa sisältyvän jo 1 ja 2 kohdassa tarkoitettuihin lakisääteisiin tehtäviin, ja tilastointi on lisäksi sallittu käyttötarkoitus suoraan yleisen tietosuoja-asetuksen 5.1 ja 89.1 artiklan nojalla. Niiden mainitsemista erikseen pidetään kuitenkin selvyyden vuoksi tarpeellisena, kun otetaan huomioon tietosuoja-asetuksen 5 artiklassa tarkoitettu käyttötarkoitussidonnaisuuden periaate.” 

Yleiset kommentit

Tietosuojalaki on edelleen vaikeaselkoinen ja hankalasti sovellettavissa. Ehdotetut muutokset eivät ole omiaan lisäämään sääntelyn läpinäkyvyyttä tai sovellettavuutta. Kuntaliitto kannattaa siksi sääntelyn selkeyttämistä edelleen. Esimerkiksi lakisääteinen tehtävä, kunnan yleinen toimiala, lakisääteinen velvoite, yleinen etu, julkisen vallan käyttö, julkinen hallintotehtävä ja oikeutettu etu ovat kaikki hyvin epäselviä käsitteitä, mikä on omiaan lisäämään tulkintavaikeuksia myös ehdotetun sääntelyn osalta. 

Tietosuojasääntely on hallinnon yleissääntelyä, jonka selkeyteen ja sovellettavuuteen voidaan kohdistaa erityisiä vaatimuksia. Tulkinnanvaraa jättävä lainsäädäntö, kuntien toimiympäristön huomioivan viranomaisohjeistuksen puute sekä tietosuojavaltuutetun ja tuomioistuinten pitkät käsittelyajat johtavat tilanteeseen, jossa sääntelyä soveltavat kunnat kantavat viime kädessä riskin tulkintojensa lainmukaisuudesta sekä myös maksavat siitä tarvittavien ylimääräisten lakipalveluiden ja jatkossa mahdollisesti myös hallinnollisten seuraamusmaksujen muodossa. Eri kokoisten kuntien resursseissa on varsin suuria eroja, eikä läheskään kaikissa kunnissa ole esimerkiksi omia juristeja toiminnan tukena. Sääntelyn selkeyttäminen on tärkeää paitsi rekisterinpitäjien myös rekisteröityjen näkökulmasta.   

SUOMEN KUNTALIITTO
 

Oona Ojajärvi 
Juristi