Hallituksen esitysluonnos ympäristönsuojelulain, vesienhoidon ja merenhoidon järjestämisestä annetun lain ja luonnonsuojelulain mukaisista tietovarannoista

Kuntaliitto kiittää mahdollisuudesta lausua esitysluonnoksesta ympäristönsuojelulain, vesienhoidon ja merenhoidon järjestämisestä annetun lain ja luonnonsuojelulain mukaisista tietovarannoista.

Kuntaliiton lausunto

Esityksessä ehdotetaan muutettavaksi ympäristönsuojelulakia, jätelakia, merenkulun ympäristönsuojelulakia, ympäristövahinkorahastosta annettua lakia, vesilakia, vesienhoidon ja merenhoidon järjestämisestä annettua lakia ja luonnonsuojelulakia. Muutokset liittyvät henkilötietojen suojaan ja yleisen tietosuoja-asetuksen vaatimuksiin.

Henkilötietojen suojan näkökulmasta keskeiset täsmennystarpeet liittyvät esityksen mukaan siihen, että ympäristönsuojelun tietojärjestelmän rekisterinpitovastuut on kirjoitettu niin yleiseen muotoon, että käytännössä vastuut jäävät epäselviksi. Yleisesti ottaen Kuntaliitto pitää kannatettavana, että rekisterinpitovastuita selkeytetään. Jotta henkilötietojen käsittelyssä voidaan noudattaa tietosuojalainsäädäntöä, on oltava selvää, mikä taho käsittelyssä toimii rekisterinpitäjänä.  

Rekisterinpitovastuista säätäminen

Voimassa olevan ympäristönsuojelulain (527/2014) 222 §:n (ympäristönsuojelun tietojärjestelmä) 3 momentin mukaan henkilötietolain mukaisia rekisterinpitäjiä ovat lain 222 §:n 2 momentissa tarkoitetut ympäristönsuojelun tietojärjestelmän ylläpitäjät: elinkeino-, liikenne- ja ympäristökeskukset, aluehallintovirastot, Ilmatieteen laitos, Suomen ympäristökeskus ja ympäristöministeriö. Esityksessä ehdotetuilla muutoksilla ympäristönsuojelulaissa säädetty ympäristönsuojelun tietojärjestelmä korvattaisiin useammalla erillisellä tietovarannolla. 

Esimerkiksi ympäristönsuojelun tietovarantoon liittyvistä vastuista säädettäisiin ehdotetussa 201 e §:ssä. Pykälän 1 momentissa säädettäisiin, että Lupa- ja valvontavirasto ja kunnan ympäristönsuojeluviranomainen olisivat yhteisrekisterinpitäjiä tietovarantoon kuuluvien henkilötietojen osalta. Esityksen (s. 76) mukaan Lupa- ja valvontaviraston tehtävä yhteisrekisterinpitäjänä perustuisi sille ympäristönsuojelulaissa jo säädettyyn ylläpito- ja rekisterinpitovastuuseen. Esityksen mukaan kuntien ympäristönsuojeluviranomaisille säädettävä yhteisrekisterinpitovastuu puolestaan varmistaisi, että tietosuoja-asetuksen mukaiset viranomaisten vastuut ovat linjassa kunnan ympäristönsuojeluviranomaisille henkilötietojen käsittelyyn toimivaltaa luovassa lainsäädännössä säädettyihin tehtäviin. 

Kuntaliitto vastustaa esitettyä rekisterinpitovastuun laajennusta kuntien ympäristönsuojeluviranomaisiin. Kunnilla on omat tietojärjestelmänsä. Tällä hetkellä kuntien ympäristönsuojeluviranomaiset on ympäristönsuojelulain nojalla velvoitettu toimittamaan omista järjestelmistään Lupa- ja valvontaviraston ja Suomen ympäristökeskuksen ylläpitämään tietojärjestelmään tiettyjä lupa- ja ilmoitustietoja. Tiedot on voitu toimittaa järjestelmään teknisen yhteyden avulla, uudelleen tallentamalla tai toimittamalla tiedot Lupa- ja valvontavirastoon tallennettavaksi. Kunnilla ei ole ollut eikä esityksen mukaisesti tule olemaankaan mitään mahdollisuuksia uuden tietovarannon ja sen tietojen ylläpitämiseen, kehittämiseen tai valvomiseen. 

Esityksessä ei myöskään ole avattu, mitä tarkoittaa viranomaisen velvollisuus viedä esimerkiksi päätösten tiedot tietovarantoon. Joutuvatko kunnan viranomaiset uudestaan täyttämään jo kerran omaan asianhallintajärjestelmäänsä täyttämänsä tiedot myös valtion tietojärjestelmään, mikä aiheuttaa kaksinkertaisesti työtä. Tiedot pitäisi pystyä viemään suoraan teknisen yhteyden kautta tai siten, että Lupa- ja valvontavirasto täyttää tiedot sille lähetetyistä päätöksistä. Tällöin Lupa- ja valvontavirasto voisi myös rekisterinpitäjänä varmistua siitä, ettei tietojärjestelmään syötetä sinne kuulumattomia tietoja.

Myös tarpeettomien henkilötietojen poistaminen tarkoittaisi kunnissa merkityksellistä ylimääräistä työtaakkaa, johon kunnissa ei ole resursseja. Henkilötietojen käsittelyn saattaminen lainmukaiseksi tuleekin järjestää vastuullisen rekisterinpitäjän toimesta, eikä sen tule aiheuttaa tarpeetonta kuormitusta kuntien viranomaisille.

Kuntaliitto katsoo myös, että kuntien kaavoitus- ja rakennusvalvontaviranomaisilla tulee olla tiedonsaantioikeus salassapitosäännösten estämättä luonnonsuojelulain ja maaperän tietovarannon mukaisiin tietoihin.

Tarkemmat perustelut ja muut huomiot

Kuntaliitto kiinnittää rekisterinpitovastuiden osalta huomiota esityksen perusteluihin. Esityksessä muun muassa todetaan (s. 76), että 

”Euroopan tietosuojaneuvoston antamien rekisterinpitäjän ja henkilötietojen käsittelijän käsitteitä yleisessä tietosuoja-asetuksessa koskevien suuntaviivojen ja perustuslakivaliokunnan lausuntokäytännön mukaan (ks. jakso 12) yhteisrekisterinpitäjyyttä on arvioitava ainakin eri viranomaisten käsittelytarpeiden ja käsiteltävien tietojen yhteneväisyyksien kautta. Ympäristönsuojelun tietovarantoon tietoja tallentaisivat nykyiseen sääntelyyn perustuen sekä Lupa- ja valvontavirasto, että kunnan ympäristönsuojeluviranomaiset. Kyse olisi tiedoista, joiden tallentaminen tietovarantoon on osa mainittujen viranomaisten lakisääteisten tehtävien toteuttamista. Mainitut viranomaiset myös käyttävät kyseisiä tietoja viranomaistehtävissään. Lupa- ja valvontaviraston ja kunnan ympäristönsuojeluviranomaisten tietojen käsittelytarpeet perustuvat samoihin säädöksiin ja liittyvät säädösten täytäntöönpanon valvontaan. Myös käsiteltävät tiedot ovat pitkälti samoja, vaikka Lupa- ja valvontaviranomaisen tallennusvastuut olisivat nykyiseen tapaan kuntien ympäristönsuojeluviranomaisten tallennusvastuita laajemmat. Edellä olevan perusteella voidaan todeta, että sekä Euroopan tietosuojaneuvoston suuntaviivojen ja perustuslakivaliokunnan lausuntokäytännön mukaiset kriteerit yhteisrekisterinpitäjyydelle täyttyisivät. Lisäksi lupa- ja valvontavirasto ja kunnan ympäristönsuojeluviranomaisten tietojen tallentaminen ja muu käsittely tapahtuu myös osin samoissa tietojärjestelmissä. Yhdistävänä tekijänä olisi näin ollen myös niin sanottu alustakäyttö, jota on käsitelty Euroopan tietosuojaneuvoston suuntaviivoissa.”

Kuntaliitto huomauttaa, että esityksen perustelut eivät vastaa kriteereitä, jotka tietosuoja-asetus ja Euroopan tietosuojaneuvoston tulkintaohjeet 07/2020 asettavat yhteisrekisterinpitäjyyden arvioinnille. Esimerkiksi esityksessä viitattu käsiteltävien tietojen samankaltaisuus tai yhteisen tietojärjestelmän käyttö (”alustakäyttö”) eivät suoraan osoita yhteisrekisterinpitäjyyttä. Sen sijaan Euroopan tietosuojaneuvoston tulkintaohjeissa on esimerkiksi (s. 25) todettu, että samojen tietojen vaihtoa kahden yksikön välillä ilman yhteisesti määriteltyjä tarkoituksia tai käsittelytapoja on pidettävä tietojen luovuttamisena erillisten rekisterinpitäjien välillä. Lisäksi Euroopan tietosuojaneuvoston tulkintaohjeissa on (s. 23) muun muassa korostettu, ettei yhteisen tietojenkäsittelyjärjestelmän tai infrastruktuurin käyttö kaikissa tapauksissa johda siihen, että asianomaisia tahoja pidettäisiin yhteisrekisterinpitäjinä. 

Tietosuoja-asetuksen 26 artiklan mukaan, jos vähintään kaksi rekisterinpitäjää määrittää yhdessä käsittelyn tarkoitukset ja keinot, ne ovat yhteisrekisterinpitäjiä. Yhteisrekisterinpitäjyyden olemassaolon yleinen kriteeri on siis kahden tai useamman yksikön yhteinen osallistuminen käsittelyn tarkoitusten ja keinojen määrittämiseen. Tietosuoja-asetuksen 4 artiklan 7 kohdan rekisterinpitäjän määritelmä muodostaa lähtökohdan yhteisrekisterinpitäjyyden määrittämiselle. Tietosuojavaltuutetun toimiston lainsäädäntölausuntoja koskevassa ohjeessa on korostettu, että rekisterinpitäjäksi tulee osoittaa sellainen taho, joka tosiasiallisesti käyttää rekisterinpitäjälle kuuluvaa määräysvaltaa ja voi toteuttaa rekisterinpitäjälle kuuluvat velvoitteet.

Esityksen perusteluissa tulisi arvioida ja täsmentää, suorittavatko käsittelyyn osallistuvat tahot käsittelyn yhteisesti määriteltyjä tarkoituksia varten ja vaikuttavatko tahot yhdessä käsittelyn keinoihin. Kuntaliitto kiinnittää huomiota perusteluihin vastaavasti myös muiden tietovarantojen kuin ympäristönsuojelun tietovarannon osalta.  

Kuntaliitto kiinnittää huomiota myös esimerkiksi vesienhoidon ja merenhoidon tietovarannon osalta (s. 101) todettuun: ”Rekisterinpitäjien välisen tehtävänjaosta säädettäisiin, että lähtökohtaisesti rekisterinpitäjä olisi vesienhoidon ja merenhoidon järjestämisviranomainen toimisi rekisterinpitäjänä pohjavesialueita ja pohjavesihavaintoja koskevien tietojen osalta samoin kuin henkilötietojen osalta.” Kuntaliitto huomauttaa, ettei tietosuoja-asetuksen mukaista rekisterinpitäjän käsitettä tule yhdistää muihin tietoihin kuin henkilötietoihin. Kuntaliitto pyytää esityksen jatkovalmistelussa arvioimaan ja varmistamaan, että rekisterinpitäjän käsitettä on tulkittu esityksessä asianmukaisesti.  

Edelleen Kuntaliitto toteaa, että rekisterinpitäjäksi voidaan määrittää vain sellainen taho, joka voi toteuttaa rekisterinpitäjälle kuuluvat velvoitteet. Esimerkiksi ehdotetun 201 e §:n mukaan kunnan ympäristönsuojeluviranomainen vastaisi rekisterinpitäjälle säädetyistä velvollisuuksista ja rekisteröityjen oikeuksien toteuttamisesta antamisensa henkilötietojen osalta. Ehdotetun pykälän 3 momentin mukaan Lupa- ja valvontavirasto vastaisi tietovarannon teknisestä toiminnasta sekä teknisistä rajapinnoista tietojen tallentamista, käsittelyä ja luovutusta varten. Lupa- ja valvontavirasto vastaa myös tietovarannon käytettävyydestä sekä tietojen eheydestä, muuttumattomuudesta, suojaamisesta ja säilyttämisestä. Ehdotetun 3 momentin säännös ei perustelujen (s. 77) mukaan liittyisi pelkästään henkilötietojen suojaan vaan laajemmin tiedonhallintalain mukaisten velvoitteiden toteuttamiseen.

Esityksen (s. 66) mukaan tiedot tallennettaisiin edelleen teknisesti samoihin järjestelmiin kuin nykyisinkin. Yhteisrekisterinpitäjien välisen vastuunjaon selkeyttämiseksi Kuntaliitto pyytää esityksen jatkovalmistelussa tarkentamaan, miten tietosuoja-asetuksen velvoitteet jakautuvat kunnan ympäristönsuojeluviranomaisen ja Lupa- ja valvontaviraston välillä. Ehdotetun sääntelyn perusteella epäselväksi jää esimerkiksi, kuka vastaa käsittelyn turvallisuutta (tietosuoja-asetuksen 32 artikla), sisäänrakennettua ja oletusarvoista tietosuojaa (tietosuoja-asetuksen 25 artikla) tai henkilötietojen tietoturvaloukkausten dokumentointia ja ilmoittamista koskevien velvoitteiden (tietosuoja-asetuksen 33–34 artiklat) noudattamisesta. Lisäksi on arvioitava, miten kunnan ympäristönsuojeluviranomaiset käytännössä toteuttaisivat rekisteröityjen oikeudet: onko esimerkiksi jäljennös järjestelmässä käsiteltävistä henkilötiedoista helposti toimitettavissa vastauksena rekisteröityjen esittämiin tietojen tarkastuspyyntöihin. Kuntaliiton kannan mukaan edellä mainitut vastuut eivät voi olla kunnan rekisterinpitäjyyteen kuuluvia, vaan ne tulisi liittää Lupa- ja valvontaviranomaisen vastuuseen.

Lisäksi Kuntaliitto kiinnittää huomioita esityksen perusteluihin (s. 65), joiden mukaan erityisesti vesienhoidon ja merenhoidon tietovarannossa ja ympäristönsuojelulain mukaisissa tietovarannoissa voi olla nykyisin talletettuna niiden käyttötarkoituksen kannalta tarpeettomia henkilötietoja. Esityksen mukaan kunkin rekisterinpitäjän tulisi tarkastaa tietosisällöt tästä näkökulmasta ja poistaa tietovarantojen käyttötarkoitusten kannalta tarpeettomat henkilötiedot. Esityksen mukaan tästä aiheutuva työmäärän lisäys hoidettaisiin kunkin rekisterinpitäjän osalta olemassa olevilla viranomaisvoimavaroilla.

Kuntaliitto toteaa, ettei rekisterinpitäjälle kuuluvien velvoitteiden noudattamista voi siirtää odottamaan uuden lainsäädännön voimaantuloa. Jos tiedossa on, että tietovarannoissa käsitellään tarpeettomia henkilötietoja, on rekisterinpitäjän toteutettava välittömästi toimenpiteet, joilla henkilötietojen käsittely saatetaan lainmukaiseksi. Esimerkiksi ympäristönsuojelun tietovarantoon liittyvät kunnan ympäristönsuojeluviranomaisen tallennusvelvoitteet toteutetaan YLVA-järjestelmässä, jonka rekisterinpitäjänä toimii kyseisen järjestelmän nykyisen tietosuojaselosteen mukaan ympäristöministeriö *.
 

SUOMEN KUNTALIITTO

Pirjo Sirén  
johtaja, yhdyskunta ja ympäristöyksikkö 

Oona Ojajärvi
juristi         

* https://lvv.fi/documents/242146171/252595728/Tietosuojaseloste+YLVA_FI.pdf/d496dafd-26ea-8515-35f3-5085006daa83/Tietosuojaseloste+YLVA_FI.pdf?t=1765804908960, vierailtu 2.2.2026.