Lausuntopyyntö
Työryhmä ehdottaa toimenpiteitä henkilötietojen väärinkäytön ehkäisemiseksi

Henkilötunnuksen uudistamisen hankkeen yhteydessä toimiva työryhmä ehdottaa useita toimenpiteitä henkilötunnuksen ja henkilötietojen väärinkäytön ehkäisemiseksi ja tunnistuskäytäntöjen parantamiseksi yhteiskunnassa.

Työryhmän suositukset perustuvat keväällä 2021 tehtyyn taustaselvitykseen. Selvityksessä nousi esiin vahvan sähköisen tunnistamisen käytön runsas vaihtelu eri toimialojen ja asiointikanavien välillä. Erityisesti puhelinasioinnissa tunnistetaan asiakas usein heikosti. Lisäksi esille keskeisenä huomiona nousi Kela-kortin käyttö tunnistustilanteissa. 

Toimenpidesuosituksista pyydetään lausuntoja henkilötunnuksen uudistamista koskevien lakiluonnosten lausuntokierroksen yhteydessä. Lausuntoaika on 10.1.2022–4.3.2022. Toimenpiteiden mahdollisesta toteuttamisesta päätetään myöhemmin. 

Keskeiset työryhmän toimenpidesuositukset

Vahvan sähköisen tunnistamisen lisääminen 

Työryhmä suosittelee, että vahva sähköinen tunnistaminen tai muu luotettava tunnistusmenettely on syytä ottaa käyttöön, mikäli matalamman tason tunnistustavat tai henkilötunnuksella yksilöiminen eivät ole riittäviä keinoja estää henkilötunnuksen ja muiden henkilötietojen väärinkäyttöön liittyviä riskejä. Tunnistus- ja luottamuspalvelulain mukaisesti vahvaa sähköistä tunnistamista tarjoavat Liikenne- ja viestintäviraston rekisteriin merkityt tunnistuspalvelut. Työryhmä katsoo, että vahva sähköinen tunnistaminen on henkilötunnuksen tunnistuskäytön korvaamisen näkökulmasta kestävin ja turvallisin ratkaisu. 

Valtio on kehittämässä passin ja henkilökortin rinnalle uutta digitaalista henkilöllisyystodistusta, joka mahdollistaisi henkilöllisyyden osoittamisen sekä fyysisessä että sähköisessä asioinnissa. Digitaalinen henkilöllisyystodistus poliisin myöntämänä asiakirjana tarjoaisi erilaisille palveluntarjoajille entistä joustavammat edellytykset henkilöllisyyden tarkistamiseen. Työryhmä katsoo, että on tärkeää tehdä uuden digitaalisen henkilöllisyystodistuksen käyttöönotto palveluntarjoajille ja käyttö kansalaisille mahdollisimman helpoksi ja yhdenvertaiseksi.

Kela-kortin ja henkilökortin tulevaisuus

Työryhmä suosittelee keskustelun avaamista Kela-kortin tunnistuskäyttöön liittyvistä tulevaisuuden suunnitelmista, henkilökortin ja Kela-kortin toiminnallisuuksien yhdistämisestä sekä henkilökortin yhdenvertaisesta saatavuudesta. Kela-kortin käyttö tunnistuskäytössä muodosti merkittävimmät selvityksessä esille nousseista riskeistä, sillä se voi väärin käytettäessä mahdollistaa esimerkiksi potilasturvallisuuden vaarantumisen tai lääkehoidon epäonnistumisen. 

Työryhmä katsoo kuitenkin, ettei tällä hetkellä ole käytettävissä tarpeeksi tietoa, jotta voitaisiin suositella esimerkiksi Kela-kortista kokonaan luopumista tunnistuskäytössä ja siirtymistä siltä osin henkilökortin käyttöön. Lisäselvitysten tekeminen ja vaikutusten arvioiminen ovat välttämättömiä ennen kuin voidaan tehdä uusia suosituksia. Erityisesti olisi selvitettävä, onko kansalaisryhmiä, joilla on esteitä henkilökortin saamiseksi taloudellisista tai muista syistä. 

Lainsäädännön kehittäminen ja tietosuojalain tarkastelu

Työryhmä suosittelee keskustelun avaamista lainsäädännön kehittämisestä ja tietosuojalain muuttamisen arvioimisesta. Tietosuojalainsäädännön selkeyttämisellä voitaisiin ehkäistä henkilötunnuksen käyttämistä tunnistamisessa.

Työryhmä suosittelee lisäksi kattavan lainsäädännöllisen tarkastelun käynnistämistä toimialakohtaisesta sääntelystä, jossa toimijoita velvoitetaan henkilötunnuksen keräämiseen tai käyttämiseen joko yksilöinti- tai tunnistustarkoituksessa. Erityislainsäädännöllä tai viranomaisohjeistuksella olisi mahdollista täsmentää, mitkä tunnistustavat tai -tiedot ovat riittäviä henkilön tunnistamiseksi eri tilanteissa.

Omien tietojen hallintaan liittyvä varoitusmerkintä

Työryhmä suosittelee, että väestötietojärjestelmään tehtävän varoitusmerkinnän käyttöönottoa ja yhteyttä positiiviseen luottotietorekisteriin selvitetään. Valmistelun yhteydessä on huomioitava merkinnän toiminnalliset tarpeet, ja mahdollisen säädösvalmistelun yhteydessä on tehtävä kattava vaikutusten arviointi.

Varoitusmerkinnällä tarkoitetaan kansalaisen itse tekemää merkintää väestötietojärjestelmään omien tietojen kohdalle. Henkilö voisi tehdä merkinnän esimerkiksi, jos hän on hävittänyt henkilöllisyystodistuksensa tai jos hänen henkilötietojaan on päätynyt muista syistä vääriin käsiin. Vastaava merkintä otettiin käyttöön Tanskassa vuonna 2017. 

Varoitusmerkinnän vastaanottaminen ja hyödyntäminen olisi yrityksille ja muille organisaatioille vapaaehtoista. Varoitusmerkinnän avulla esimerkiksi luottoa tarjoava yritys voisi kiinnittää erityistä huomiota luotonhakijan henkilöllisyyden varmistamiseen. Mikäli merkintä otettaisiin käyttöön, tulisi viranomaisten antaa suosituksia organisaatioille mahdollisista toimenpiteistä. Myös kansalaisia tulisi ohjeistaa riittävästi merkinnän vaikutuksista. 

Ohjeiden laatiminen sekä viestintä

Työryhmä suosittelee, että käynnissä olevissa hankkeissa ja tulevissa hankkeissa arvioidaan tarvetta uusille henkilön tunnistamiseen liittyville toimialakohtaisille ohjeistuksille sekä nykyisten ohjeiden päivittämiselle ja varataan ohjeiden laatimiseen riittävät resurssit. Työryhmän mukaan luotettava tunnistusväline ei yksistään ratkaise ongelmia, jos sitä ei käytetä oikein. Taustaselvityksen perusteella monissa organisaatioissa on vaikeuksia erottaa henkilön yksilöintiä ja tunnistamista toisistaan.

Työryhmä suosittelee, että henkilötunnuksen uudistamisen ja digitaalisen henkilöllisyyden kehittämisen hankkeissa kiinnitetään huomiota yhtenäiseen viestintään ja viestitään myös tunnistuslain mukaisista vahvan sähköisen tunnistamisen palveluista. Työryhmä katsoo, että turvallisia tunnistuskäytäntöjä koskeva kansalaisviestintä on syytä liittää parhaillaan rakentuvasta palvelukokonaisuudesta viestimiseen (mukaan lukien henkilötunnuksen myöntäminen, tietovuodon uhrien palvelu ja digitaalinen henkilöllisyystodistus).

Lisätietoja:

työryhmän puheenjohtaja, neuvotteleva virkamies Heikki Talkkari, p. 0295 530 096, [email protected]