Tietosuojasakkojen ulottaminen viranomaisiin

Seuraamusmaksua ei voida määrätä tuomioistuimille eikä eduskunnan virastoille. Seuraamusmaksua ei voida myöskään määrätä tiedusteluvalvontavaltuutetulle tiedustelutoiminnan valvonnasta annetun lain (121/2019) mukaiseen valvontaan liittyvistä henkilötietojen käsittelytoimista.

Seuraamusmaksua ei saa määrätä, jos on kulunut yli kymmenen vuotta siitä, kun rikkomus tai laiminlyönti on tapahtunut. Jatkuvan rikkomuksen tai laiminlyönnin osalta seuraamusmaksua ei saa määrätä, jos on kulunut yli viisi vuotta siitä, kun rikkomus tai laiminlyönti on päättynyt.

Hallinnollinen seuraamusmaksu voidaan määrätä valtion viranomaiselle ja liikelaitokselle, kunnan ja kuntayhtymän viranomaiselle, hyvinvointialueen ja hyvinvointiyhtymän viranomaiselle, itsenäiselle julkisoikeudelliselle laitokselle, yhteisölle, säätiölle ja muulle itsenäiselle julkisoikeudelliselle yhteisölle, tasavallan presidentin kanslialle, Suomen evankelis-luterilaiselle kirkolle ja Suomen ortodoksiselle kirkolle sekä niiden seurakunnalle, seurakuntayhtymälle ja muulle elimelle sekä julkista hallintotehtävää hoitavalle yhteisölle, säätiölle ja yksityiselle henkilölle (viranomaiset ja julkishallinnon elimet ) noudattaen, mitä tietosuoja-asetuksen 83 artiklan 1–3 kohdassa ja tässä pykälässä säädetään, jos tietosuoja-asetuksen 58 artiklan 2 kohdassa säädetyt muut toimenpiteet eivät ole riittäviä. Seuraamusmaksu on jätettävä määräämättä, jos sen määräämisen edellytykset eivät täyty.

Tietosuoja-asetuksen 83 artiklan 4 kohdassa mainittujen säännösten rikkomisesta määrättävä seuraamusmaksu voi olla enintään 500 000 euroa, jos kyseessä on viranomainen tai julkishallinnon elin.

Tietosuoja-asetuksen 83 artiklan 5 ja 6 kohdassa mainittujen säännösten ja tietosuoja-asetuksen 10 artiklan rikkomisesta määrättävä seuraamusmaksu voi olla enintään 1 000 000 euroa, jos kyseessä on viranomainen tai julkishallinnon elin.

Seuraamusmaksun määrästä päätettäessä on varmistuttava siitä, että se on oikeassa suhteessa viranomaisen tai julkishallinnon elimen kokoon ja taloudelliseen asemaan sekä rikkomuksen tai laiminlyönnin vakavuuteen.

Mitä 2–4 momentissa säädetään, koskee yhteisöjä, säätiöitä ja yksityisiä henkilöitä vain siltä osin kuin ne hoitavat julkista hallintotehtävää.

Seuraamusmaksua ei voida määrätä viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 4 §:ssä tarkoitetulle viranomaiselle ja mainittua lakia soveltavalle yhteisölle, säätiölle tai yksityiselle henkilölle henkilötietojen käsittelytoimista, jotka liittyvät tietosuoja-asetuksen 86 artiklassa tarkoitettuun henkilötietojen luovuttamiseen.

Rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Rangaistus viestintäsalaisuuden loukkauksesta ja törkeästä viestintäsalaisuuden loukkauksesta säädetään rikoslain 38 luvun 3 ja 4 §:ssä sekä rangaistus tietomurrosta ja törkeästä tietomurrosta 38 luvun 8 ja 8 a §:ssä. Rangaistus virkavelvollisuuden rikkomisesta ja tuottamuksellisesta virkavelvollisuuden rikkomisesta säädetään rikoslain 40 luvun 9 ja 10 §:ssä. Rangaistus tämän lain 35 §:ssä säädetyn vaitiolovelvollisuuden ja 36 §:ssä säädetyn salassapitovelvollisuuden rikkomisesta tuomitaan rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava rikoslain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta.

Tietosuoja-asetuksen 34 artiklan mukaista henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle voidaan lykätä tai rajoittaa tai se voidaan jättää tekemättä siltä osin ja niin pitkäksi aikaa kuin 34 §:n 1 momentin 1–3 kohdassa säädetyt edellytykset täyttyvät.

Jos ilmoittamista rekisteröidylle rajoitetaan, noudatetaan, mitä 34 §:n 3 momentissa säädetään.

Tämä laki tulee voimaan päivänä kuuta 20 .

Rikkomuksiin ja laiminlyönteihin, jotka ovat tapahtuneet ennen tämän lain voimaantuloa, sovelletaan tämän lain 24 §:n 4 momentin ja 24 a §:n asemesta ennen tämän lain voimaantuloa voimassa olleita säännöksiä.

Tietosuojavaltuutettu voi tämän lain soveltamisalaan kuuluvassa asiassa:

10) määrätä rekisterinpitäjän tai henkilötietojen käsittelijän saattamaan käsittelytoimet tämän lain säännösten mukaisiksi, tarvittaessa määrätyllä tavalla ja kohtuullisen määräajan kuluessa;

11) määrätä hallinnollisen seuraamusmaksun.

Edellä 51 §:n 11 kohdassa tarkoitetun hallinnollisen seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen yhdessä muodostama seuraamuskollegio. Tietosuojavaltuutettu toimii kollegion puheenjohtajana. Apulaistietosuojavaltuutetun ollessa estynyt voi hänen sijaisenaan seuraamuskollegiossa toimia tietosuojavaltuutetun toimiston työjärjestyksessä määrätty esittelijä. Kollegio on päätösvaltainen kolmijäsenisenä.

Kollegion päätös tehdään esittelystä. Päätökseksi tulee se kanta, jota enemmistö on kannattanut. Äänten mennessä tasan päätökseksi tulee se kanta, joka on lievempi sille, johon seuraamus kohdistuu.

Seuraamusmaksua ei saa määrätä, jos on kulunut yli kymmenen vuotta siitä, kun rikkomus tai laiminlyönti on tapahtunut. Jatkuvan rikkomuksen tai laiminlyönnin osalta seuraamusmaksua ei saa määrätä, jos on kulunut yli viisi vuotta siitä, kun rikkomus tai laiminlyönti on päättynyt.

Tämän lain nojalla maksettavaksi määrätyn seuraamusmaksun täytäntöönpanosta säädetään sakon täytäntöönpanosta annetussa laissa (672/2002).

Seuraamusmaksu voidaan määrätä toimivaltaiselle viranomaiselle, joka toimii rekisterinpitäjänä tai henkilötietojen käsittelijänä, tämän lain säännösten rikkomisesta 51 §:n 1–10 kohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden asemesta kunkin yksittäisen tapauksen olosuhteista riippuen, jos kyseiset muut toimenpiteet eivät ole riittäviä. Seuraamusmaksu on jätettävä määräämättä, jos sen määräämisen edellytykset eivät täyty. Seuraamusmaksu voidaan määrätä myös tietosuojavaltuutetun 51 §:n 5–10 kohdan nojalla antaman määräyksen, kiellon tai rajoituksen noudattamatta jättämisestä.

Hallinnollista seuraamusmaksua ei määrätä tuomioistuimille. Seuraamusmaksua ei myöskään määrätä suojelupoliisille ja Puolustusvoimille 1 §:n 2 momentissa tarkoitetusta henkilötietojen käsittelystä.

Seuraamusmaksun määräämistä koskevassa harkinnassa ja seuraamusmaksun määrässä on otettava huomioon:

1) rikkomuksen luonne, vakavuus ja kesto huomioon ottaen kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus sekä niiden rekisteröityjen lukumäärä, joihin rikkomus vaikuttaa, ja heille aiheutuneen vahingon suuruus;

2) rikkomuksen tahallisuus tai tuottamuksellisuus;

3) rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi;

4) rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste ottaen huomioon heidän 15, 31 ja 32 §:n nojalla toteuttamansa tekniset ja organisatoriset toimenpiteet;

5) rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat vastaavat rikkomukset;

6) yhteistyön määrä valvontaviranomaisen kanssa rikkomuksen korjaamiseksi ja sen mahdollisten haittavaikutusten lieventämiseksi;

7) henkilötietoryhmät, joihin rikkomus vaikuttaa;

8) tapa, jolla rikkomus tuli valvontaviranomaisen tietoon, erityisesti se, ilmoittiko rekisterinpitäjä tai henkilötietojen käsittelijä rikkomuksesta ja missä laajuudessa;

9) jos kyseiselle rekisterinpitäjälle tai henkilötietojen käsittelijälle on aikaisemmin määrätty samasta asiasta 51 §:n 5–10 kohdassa tarkoitettuja toimenpiteitä, näiden toimenpiteiden noudattaminen;

10) mahdolliset muut kuin 1–9 kohdassa tarkoitetut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät.

Tämän lain 15–22 §:n, 31–36 §:n ja 38 §:n säännösten rikkomisesta määrättävä seuraamusmaksu voi olla enintään 500 000 euroa.

Tämän lain 4–13 §:n, 23–28 §:n, 30 §:n ja 41–44 §:n säännösten rikkomisesta määrättävä seuraamusmaksu voi olla enintään 1 000 000 euroa.

Seuraamusmaksun määrästä päätettäessä on varmistuttava siitä, että se on oikeassa suhteessa viranomaisen kokoon ja taloudelliseen asemaan sekä rikkomuksen tai laiminlyönnin vakavuuteen.

Jos toimivaltainen viranomainen rikkoo samoissa tai toisiinsa liittyvissä käsittelytoimissa tahallaan tai tuottamuksellisesti useita 1 tai 2 momentissa mainittuja säännöksiä, hallinnollisen seuraamusmaksun kokonaismäärä ei saa ylittää vakavimmasta rikkomuksesta määrättyä seuraamusmaksua.

Rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. Rangaistus viestintäsalaisuuden loukkauksesta säädetään mainitun lain 38 luvun 3 §:ssä, törkeästä viestintäsalaisuuden loukkauksesta 4 §:ssä, tietomurrosta 8 §:ssä ja törkeästä tietomurrosta 8 a §:ssä. Rangaistus virkavelvollisuuden rikkomisesta ja tuottamuksellisesta virkavelvollisuuden rikkomisesta säädetään rikoslain 40 luvun 9 ja 10 §:ssä. Rangaistus tämän lain 55 §:n 3 momentissa säädetyn salassapitovelvollisuuden ja 62 §:ssä tarkoitetun vaitiolovelvollisuuden rikkomisesta tuomitaan rikoslain 38 luvun 1 tai 2 §:n mukaan, jollei teko ole rangaistava mainitun lain 40 luvun 5 §:n mukaan tai siitä muualla laissa säädetä ankarampaa rangaistusta.

Rikoslain 38 luvun 10 §:n 3 momentissa säädetään syyttäjän velvollisuudesta kuulla tietosuojavaltuutettua ennen tämän pykälän 1 momentissa mainittuja rikoksia koskevan syytteen nostamista samoin kuin tuomioistuimen velvollisuudesta varata tällaista asiaa käsitellessään tietosuojavaltuutetulle tilaisuus tulla kuulluksi.

Tämä laki tulee voimaan päivänä kuuta 20 .

Rikkomuksiin ja laiminlyönteihin, jotka ovat tapahtuneet ennen tämän lain voimaantuloa, sovelletaan tämän lain 51 §:n 11 kohdan ja 58 a–58 c §:n asemesta ennen tämän lain voimaantuloa voimassa olleita säännöksiä.