Yleinen tietosuoja-asetus on suoraan sovellettavaa oikeutta. Tästä seuraa, että myös kansal-linen henkilötietojen käsittelyä koskeva erityislainsäädäntö tulee saattaa yhteensopivaksi tie-tosuoja-asetuksen kanssa. Eri ministeriöiden hallinnonalojen henkilötietojen käsittelyä kos-keva erityislainsäädäntö tulee käydä lävitse ja samalla arvioida, onko kansallinen erityislain-säädäntö kansallisen liikkumavaran mukaista, ja onko yleisen tietosuoja-asetuksen säännös-ten täydentäminen tai täsmentäminen välttämätöntä kansallisella erityislainsäädännöllä.108
Kansallisen tietosuojaa koskevan hallinnonala- tai toimialakohtaisen erityislainsäädännön yhteensovittamista ja täydentämistä tietosuoja-asetuksen kanssa on toistaiseksi tehty vain liikenteen toimialalla sekä maa- ja metsätalousministeriön ja työ- ja elinkeinoministeriön hallinnonaloilla. Muutoin erityislainsäädännön yhteensovittaminen tietosuoja-asetuksen kanssa on jäänyt yksittäisiä säädöksiä koskevaksi, kuten esimerkiksi lääkelakiin (395/1987)
105 PeVL 14/2018 vp, s. 3–4.
106 Lainkirjoittajan opas, kohta 4.2.5 Yksityiselämän suoja ja lähdeviite 155.
107 PeVL 54/2010 vp, s. 2.
108 Oikeusministeriö 2017, s. 37; Oikeusministeriö 2018, s. 29, 39.
ja siviilihenkilöstön osallistumisesta kriisinhallintaan annettuun lakiin (1287/2004) tehdyt muutokset. Lisäksi rikosasioiden tietosuojalain ja tietosuoja-asetuksen kanssa on yhteenso-vitettu ja täydennetty kansallista turvallisuutta koskevaa lainsäädäntöä. Parhaillaan on lisäksi vireillä hallituksen esitykset laiksi henkilötietojen käsittelystä maahanmuuttohallinnossa ja eräiksi siihen liittyviksi laeiksi, Digi- ja väestötietoviraston toimialaa koskevien lakien muut-tamiseksi sekä sosiaaliturva- ja vakuutuslainsäädännön muutmuut-tamiseksi.109
Liikenteen rekisterisääntelyn kokonaisuudistuksessa liikennemuotokohtaisia rekistereitä koskeva sääntely koottiin yhteen lakiin, liikenteen palveluista annettuun lakiin, jossa sääde-tään useiden liikenteen rekistereiden sijaan yhdestä rekisteristä, liikenneasioiden rekisteristä.
Liikenteen rekistereitä koskevan lakiuudistuksen yhteydessä yhdenmukaistettiin samalla tie-tojen säilytysaikoja koskeva sääntely.110 Liikenteen palveluista annetun lain 227 §:ssä (371/2019) säädetään tietojen säilyttämisestä liikenneasioiden rekisterissä. Aikaisemmin lii-kenteen rekistereiden säilytysjoista on säädetty neljässä eri laissa: ajoneuvoliikennerekiste-ristä annetussa laissa (kumottu, 541/2003) ajoneuvoliikennerekisteristerin, ilmailulaissa (864/2014) ilmailurekisterin ja lupakirjarekisterin, laivaväen luetteloinnista annetussa laissa (kumottu, 1360/2006) merimiesluettelon ja vesikulkuneuvojen rekisteröinnistä annetussa laissa (424/2014) 111 vesikulkuneuvorekisterin säilytysajoista.
Maa- ja metsätalousministeriön hallinnonalan henkilötietojen käsittelyä koskevissa säädök-sissä säädetään yleensä asiakirjojen tai tietojen säilytysajoista. Hallinnonalan henkilötietojen käsittelyä koskevan sääntelyn yhteensovittaminen tietosuoja-asetuksen kanssa ei kuitenkaan vähentänyt säilytysaikoja koskevaa sääntelyä vaan päinvastoin lisäsi sitä. Maatalouden har-joittamisesta luopumisen tukemisesta annettuun lakiin (612/2006) lisättiin uusi 68a § (81/2019), jossa säädetään luopumistuen käsittelyyn liittyvien asiakirjojen ja tietojen säilyt-tämisestä luopujan elinajan ja viisi sen jälkeistä vuotta takaisinperintäsäännösten vuoksi. 112 Lisäksi laissa jo aikaisemmin ollut viittaussäännös säilyttämisen osalta työntekijän eläkelain (395/2006) 218 §:n 5 kohtaan muutettiin koskemaan vain valitusasiakirjoja. Samankaltaiset
109 HE 10/2019 vp; HE 18/2019 vp; HE 87/2019 vp.
110 HE 145/2017, s. 1, 157–158.
111 Vesikulkuneuvojen rekisteröinnistä annettu laki on kumottu vesiliikennelailla (782/2019), joka on voi-massa 1.6.2020 alkaen.
112 HE 26/2018 vp, s. 65–66.
pykälälisäykset tehtiin myös neljään muuhun lakiin: maatalousyrittäjien luopumistuesta an-nettuun lakiin lisättiin (1293/1994) 39a § (82/2019), luopumiseläkelakiin (16/1974) 23a § (83/2019), maatalousyrittäjien sukupolvenvaihdoseläkkeestä annettuun lakiin (1317/1990) 42a § (84/2019) sekä maatalousyrittäjien luopumiskorvauksesta annettuun lakiin (1330/1992) 36a § (85/2019). Lisäysten johdosta maa- ja metsätalousministeriön hallinnon-alalla henkilötietojen käsittelyä koskevista säädöksistä (N = 49) yli 80 % (N = 40) sisältää sääntelyä tietojen, asiakirjojen tai tietoaineistojen säilytysajoista (liite)113
Työ- ja elinkeinoministeriön hallinnonalan henkilötietojen käsittelyä koskevan lainsäädän-nön muuttamisen yhteydessä vaarallisten kemikaalien ja räjähteiden käsittelyn turvallisuu-desta annetun lain (390/2005) 130.4 §:n säännös ”Rekisterissä olevat tiedot on tarkistettava ja tarpeettomat tiedot poistettava tarkastuksen yhteydessä” muutettiin muotoon: ”Rekiste-rissä olevat muut kuin henkilötiedot on tarkastettava ja tarpeettomat tiedot poistettava tar-kastuksen yhteydessä.” (1128/2018). Tämä on toistaiseksi ainoa kerta, jossa lainsäädännöstä on purettu henkilötietojen säilyttämistä koskevaa sääntelyä sillä perusteella, että se on pääl-lekkäistä tietosuoja-asetuksen suoraan sovellettavien säännösten 5 artiklan 1 kohdan c ja d alakohdan sekä 25 artiklan 2 kohdan kanssa.114
Perustuslakivaliokunnan henkilötietojen suojaa koskevasta muuttuneesta lausuntokäytän-nöstä huolimatta säilytysaikoja koskeva sääntely ei ole käytännössä juurikaan vähentynyt myöskään uusissa henkilötietojen käsittelyä koskevissa säädöksissä. Henkilötietojen säily-tysajoista säädetään pitkälti edelleen lailla, vaikka ne eivät sisältäisi arkaluonteisia tietoja tai edellyttäisi säilytysaikasääntelyä EU-oikeudesta johtuvista syistä. Sääntelyä tällaisten hen-kilötietojen säilytysajoista sisältyy yhteensä viiteen uuteen säädökseen (taulukko 5), joista varhaiskasvatuslaki (540/2018) ja huoneistotietojärjestelmästä annettu laki (1328/2018) on säädetty perustuslakivaliokunnan myötävaikutuksella.115
113 HE 26/2018 vp, s. 8–13.
114 HE 98/2018 vp, s. 17.
115 PeVL 17/2018 vp; PeVL 32/2018 vp.
Taulukko 5: Vuosina 2018–2019 voimaan tullut henkilötietojen säilytysaikoja koskeva sääntely, joi-hin ei sisälly arkaluonteisia tietoja tai joita ei ole annettu EU-oikeudesta johtuvista syistä.
Henkilötiedot Säädös ja pykälä
perintätoiminnan harjoittajien
rekisteri laki perintätoiminnan harjoittajien rekisteröinnistä (411/2018) 5.3 §
yksityisten palvelu antajien rekisteri varhaiskasvatuslaki (540/2018) 46.3 § varhaiskasvatuksen tietovaranto varhaiskasvatuslaki (540/2018) 72 § yksityisraiteen haltijoiden luettelo raideliikennelaki (1302/2018) 34.1 §
osakehuoneistorekisteri laki huoneistotietojärjestelmästä (1328/2018) 18.1 §
valvontarekisteri siemenlaki (600/2019) 32.3 §
Varhaiskasvatuslain (540/2018) 46 §:n 3 momentissa säädetään yksityisten palvelunantajien rekisterin ja 72 §:ssä varhaiskasvatuksen tietovarannon sisältämien henkilötietojen säily-tysajoista. Perustuslakivaliokunnan lausunnon myötä hallituksen esitystä varhaiskasvatus-lain 70 §:n 3 momentin 5 kohdaksi muutettiin siten, ettei varhaiskasvatuksen tietovarantoon myöskään tältä osin sisältynyt lainkaan arkaluonteisia tietoja.116 Varhaiskasvatuslakia kos-kevassa lausunnossa perustuslakivaliokunta tuo esille, että se on hiljattain tarkistanut kan-taansa henkilötietojen käsittelyä koskevan sääntelyn lakitasoisuuden, kattavuuden ja yksi-tyiskohtaisuuden vaatimuksista. Valiokunnan mukaan henkilötietojen suoja tulee jatkossa turvata ensisijaisesti EU:n yleisen tietosuoja-asetuksen ja säädettävän kansallisen yleislain-säädännön nojalla. Kansallisen erityislainyleislain-säädännön säätämiseen tulee siten suhtautua pidät-tyvästi ja rajata sellainen vain välttämättömään tietosuoja-asetuksen salliman kansallisen liikkumavaran puitteissa. Valiokunnalla ei ollut huomauttamista hallituksen esitykseen var-haiskasvatuslaiksi tästä näkökulmasta. Arkaluonteisten tietojen käsittelyä koskevaa säänte-lyä on valiokunnan mukaan kuitenkin edelleen syytä arvioida sääntelyn laintasoisuuden nä-kökulmasta.117 Toisaalta valiokunnan lausunnossa ei kiinnitetty mitään huomiota lakiehdo-tuksen sisältämiin säännöksiin yksityisten palvelunantajien rekisteriin sisältyvien tietojen säilytysajoista, vaikka ne eivät sisällä lainkaan arkaluonteisia henkilötietoja. Tietosuoja-ase-tuksen johdanto-osan 39 kohdan mukaan henkilötietojen säilytysaikojen asettaminen on re-kisterinpitäjälle kuuluva tehtävä.
116 SiVM 5/2018 vp, s. 22.
117 PeVL 17/2018 vp, s. 5–6.
Rikosasioiden tietosuojalakia sekä tietosuoja-asetusta on täydennetty henkilötietojen käsit-telystä poliisitoimessa annetulla lailla (616/2019), henkilötietojen käsitkäsit-telystä Rajavartiolai-toksessa annetulla lailla (639/2019) ja henkilötietojen käsittelystä Tullissa annetulla lailla (650/2019). Poliisitoimen, Rajavartiolaitoksen ja Tullin henkilötietojen käsittelystä anne-tuissa erityislaeissa ei säilytysajoista enää säädetä rekisterikohtaisesti vaan henkilötietojen käsittelytarkoitukseen perustuvasti (liite).118
Henkilötietojen käsittelyä puolustusvoimissa annettuun lakiin (332/2019) on koottu henki-lötietojen käsittelyä ja säilyttämistä koskevaa sääntelyä asevelvollisuuslaista (1438/2007), puolustusvoimista annetusta laista (551/2007), sotilaskurinpidosta ja rikostorjunnasta puo-lustusvoimissa annetusta laista (255/2014), aluevalvontalaista (755/2000) sekä sotilaallisesta kriisinhallinnasta annetusta laista (211/2006). Henkilötietojen käsittelystä Puolustusvoi-missa annetussa laissa on säilytetty rekisteriperustainen sääntelytapa, jossa säilytysajoista säädetään edelleen kunkin rekisterin osalta erikseen (liite). Valtaosa Puolustusvoimien hen-kilötietojen käsittelystä ei kuulu sen enempää tietosuoja-asetuksen kuin rikosasioiden tieto-suojadirektiivinkään soveltamisalaan.119