Laki henkilötietojen käsittelystä poliisitoimessa

Eduskunnan päätöksen mukaisesti säädetään:

1 luku. Yleiset säännökset

1 § Soveltamisala

Jollei muualla laissa toisin säädetä, tätä lakia sovelletaan poliisilain (872/2011) 1 luvun 1 §:ssä tarkoitettujen poliisille kuuluvien tehtävien suorittamiseksi tarpeellisten henkilötietojen käsittelyyn, jos:

1) käsittely on kokonaan tai osittain automaattista; tai

2) henkilötiedot muodostavat tai niiden on tarkoitus muodostaa henkilörekisteri tai sen osa.

Suojelupoliisille kuuluvien tehtävien suorittamiseksi tarpeellisten henkilötietojen käsittelyyn sovelletaan 7 lukua.

2 § Suhde muuhun lainsäädäntöön

Jollei tässä laissa toisin säädetä:

1) henkilötietojen käsittelyyn rikosten ennalta estämiseksi, paljastamiseksi, selvittämiseksi tai syyteharkintaan saattamiseksi sekä yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemiseksi ja tällaisten uhkien ehkäisemiseksi sovelletaan henkilötietojen käsittelystä rikosasioissa ja kansallisen turvallisuuden ylläpitämisen yhteydessä annettua lakia (1054/2018), jäljempänä rikosasioiden tietosuojalaki;

2) oikeuteen saada tieto ja muuhun henkilötietojen luovuttamiseen viranomaisen henkilörekisteristä sovelletaan, mitä viranomaisen toiminnan julkisuudesta säädetään.

Lisäksi henkilötietojen käsittelystä säädetään luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2016/679, jäljempänä tietosuoja-asetus, sekä tietosuojalaissa (1050/2018).

Henkilötietojen käsittelyssä on noudatettava poliisilain 1 luvussa säädettyjä perusoikeuksien ja ihmisoikeuksien kunnioittamisen vaatimusta, suhteellisuusperiaatetta, vähimmän haitan periaatetta ja tarkoitussidonnaisuuden periaatetta.

Henkilötietojen käsittely ei saa ilman hyväksyttävää perustetta perustua henkilöiden ikään, sukupuoleen, alkuperään, kansalaisuuteen, asuinpaikkaan, kieleen, uskontoon, vakaumukseen, mielipiteeseen, poliittiseen toimintaan, ammattiyhdistystoimintaan, perhesuhteisiin, terveydentilaan, vammaisuuteen, seksuaaliseen suuntautumiseen tai muuhun henkilöön liittyvään syyhyn.

Rangaistus tietosuojarikoksesta säädetään rikoslain (39/1889) 38 luvun 9 §:ssä.

Poliisin tiedonhankinnasta ja siihen liittyvistä toimivaltuuksista säädetään erikseen.

3 § Määritelmät

Tässä laissa tarkoitetaan:

1) Schengenin tietojärjestelmän säädöspohjalla toisen sukupolven Schengenin tietojärjestelmän (SIS II) perustamisesta, toiminnasta ja käytöstä annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1987/2006, toisen sukupolven Schengenin tietojärjestelmän (SIS II) perustamisesta, toiminnasta ja käytöstä tehtyä neuvoston päätöstä 2007/533/YOS sekä ajoneuvojen rekisteröintitodistusten myöntämisestä vastaavien jäsenvaltioiden yksiköiden pääsyn sallimisesta toisen sukupolven Schengenin tietojärjestelmään (SIS II) annettua Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1986/2006;

2) Schengenin tietojärjestelmällä Schengenin tietojärjestelmän säädöspohjassa määriteltyä toisen sukupolven tietojärjestelmää (SIS II);

3) Schengenin tietojärjestelmän kansallisella järjestelmällä Schengenin tietojärjestelmän säädöspohjassa tarkoitettua N. SIS II -järjestelmää;

4) toimivaltaisilla Schengen-viranomaisilla poliisia, Rajavartiolaitosta, Tullia, Puolustusvoimia, syyttäjää, Maahanmuuttovirastoa, Liikenne- ja viestintävirastoa, ulkoministeriötä sekä Suomen edustustoa, jos ulkoministeriö on antanut tarvittavan valtuuden viisumin myöntämiseen siellä palvelevalle nimetylle Suomen kansalaiselle;

5) Europol-asetuksella Euroopan unionin lainvalvontayhteistyövirastosta (Europol) sekä neuvoston päätösten 2009/371/YOS, 2009/934/YOS, 2009/935/YOS, 2009/936/YOS ja 2009/968/YOS korvaamisesta ja kumoamisesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/794;

6) Eurodac-asetuksella Eurodac-järjestelmän perustamisesta sormenjälkien vertailua varten kolmannen maan kansalaisen tai kansalaisuudettoman henkilön johonkin jäsenvaltioon jättämän kansainvälistä suojelua koskevan hakemuksen käsittelystä vastuussa olevan jäsenvaltion määrittämisperusteiden ja -menettelyjen vahvistamisesta annetun asetuksen (EU) N:o 604/2013 tehokkaaksi soveltamiseksi sekä jäsenvaltioiden lainvalvontaviranomaisten ja Europolin esittämistä, Eurodac-tietoihin lainvalvontatarkoituksessa tehtäviä vertailuja koskevista pyynnöistä sekä vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaavan eurooppalaisen viraston perustamisesta annetun asetuksen (EU) N:o 1077/2011 muuttamisesta annettua Euroopan parlamentin ja neuvoston asetusta (EU) N:o 603/2013.

2 luku. Henkilötietojen käsittely

4 § Henkilön perustietojen käsittely

Poliisi saa käsitellä 5, 7, 9 ja 11 §:ssä säädettyihin tarkoituksiin seuraavia henkilön perustietoja:

1) nimet;

2) syntymäaika ja -paikka;

3) henkilötunnus;

4) sukupuoli;

5) äidinkieli;

6) asiointikieli;

7) siviilisääty;

8) kansalaisuus tai kansalaisuudettomuus ja kansallisuus;

9) koti- ja asuinpaikka;

10) ammatti ja koulutus;

11) yhteystiedot;

12) henkilöllisyyden toteamiseksi tarvittavat tiedot asiakirjoista;

13) ulkomaalaisen henkilön vanhempien nimet, kansalaisuus ja kansallisuus;

14) matkustusasiakirjan tiedot sekä muut maahantuloon ja rajanylittämiseen liittyvät tiedot;

15) viranomaisen antama asiakasnumero;

16) tieto kuolemasta tai kuolleeksi julistamisesta;

17) tieto edunvalvonnasta, konkurssiin asettamisesta tai liiketoimintakieltoon määräämisestä;

18) tieto asevelvollisuuden suorittamisesta.

5 § Henkilötietojen käsittely tutkinta- ja valvontatehtävissä

Poliisi saa käsitellä henkilötietoja esitutkinnan, poliisitutkinnan tai muun rikoksen selvittämiseen tai syyteharkintaan saattamiseen liittyvän tehtävän, yleisen järjestyksen ja turvallisuuden ylläpitämiseen liittyvän tehtävän ja muun poliisille säädetyn valvontatehtävän suorittamiseksi.

Edellytyksenä on lisäksi, että 1 momentissa tarkoitetut tiedot liittyvät henkilöihin, jotka ovat:

1) rikoksesta tai rikokseen osallisuudesta epäiltyjä;

2) alle 15-vuotiaita rikollisesta teosta epäiltyjä;

3) esitutkinnan, poliisitutkinnan tai poliisin toimenpiteen kohteena;

4) rikoksen ilmoittajia tai asianomistajina esiintyviä henkilöitä;

5) todistajia;

6) uhreja;

7) poliisin kenttätehtäviin tai laissa erikseen säädettyihin valvontatehtäviin välittömästi liittyviä;

8) muutoin tehtävään liittyvien lisätietojen antajia.

Poliisin tehtävien suorittamisen yhteydessä saadut tiedot on hävitettävä viipymättä sen jälkeen, kun on käynyt ilmi, ettei tietoa tarvita 1 momentissa tai 13 §:n 1 momentissa tarkoitettuun käsittelytarkoitukseen.

6 § Tutkinta- ja valvontatehtävissä käsiteltävien henkilötietojen sisältö

Poliisi saa käsitellä 5 §:ssä tarkoitetuista henkilöistä 4 §:ssä tarkoitettujen henkilön perustietojen lisäksi seuraavia henkilötietoja:

1) poliisin tehtävään, toimenpiteeseen ja tapahtumaan liittyvät yksilöinnit, kuvaukset ja luokitukset;

2) tuntomerkkitiedot henkilöllisyyden toteamiseksi, mukaan lukien sormen-, käden- ja jalanjäljet, käsiala-, ääni- ja hajunäyte, DNA-tunniste, kasvokuva ja muut biometriset tiedot; lähisukulaisten tietoja voidaan käsitellä kadonneiksi ilmoitettujen henkilöiden löytämiseksi ja tunnistamattomina löytyneiden vainajien tunnistamiseksi vain asianomaisen henkilön suostumuksella;

3) toimenpiteen kohteena olevan henkilön turvallisuuden tai viranomaisen työturvallisuuden turvaamiseksi tiedot henkilön terveydentilasta ja sen seurannasta taikka hänen sairautensa hoidosta, kohteen tai henkilön vaarallisuudesta tai arvaamattomuudesta sekä tiedot, jotka kuvaavat tai on tarkoitettu kuvaamaan rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta;

4) tunnistetieto syyttäjän tai tuomioistuimen ratkaisusta ja tieto siitä, onko henkilö tuomittu rangaistukseen, jätetty syyttämättä tai rangaistukseen tuomitsematta, onko syyte hylätty taikka jätetty tutkimatta tai sillensä ja tieto ratkaisun lainvoimaisuudesta.

7 § Henkilötietojen käsittely rikosten ennalta estämiseksi tai paljastamiseksi

Poliisi saa käsitellä henkilötietoja rikosten ennalta estämiseen tai paljastamiseen liittyvän tehtävän suorittamiseksi.

Edellytyksenä on lisäksi, että 1 momentissa tarkoitetut tiedot liittyvät henkilöihin:

1) joiden voidaan perustellusti olettaa syyllistyneen tai syyllistyvän rikokseen, josta laissa säädetty ankarin rangaistus on vankeutta;

2) jotka ovat yhteydessä 1 kohdassa tarkoitettuun henkilöön tai jotka tavataan tämän seurassa, ja yhteydenpidolla tai tapaamisella voidaan toistuvuuden, olosuhteiden tai henkilön käyttäytymisen vuoksi olettaa olevan yhteys rikokseen;

3) jotka ovat poliisilain 5 luvun 13 §:n mukaisen tarkkailun tai muun poliisin toimenpiteen kohteena.

Poliisi saa käsitellä 1 momentissa tarkoitettuja tietoja, jos se on rikoksen ennalta estämiseksi tai paljastamiseksi välttämätöntä, myös seuraavista henkilöistä:

1) rikoksen todistajat;

2) rikoksen uhrit;

3) rikoksen ilmoittajat tai asianomistajina esiintyvät.

Rikosten ennalta estämiseksi ja paljastamiseksi tarpeelliseen rikosanalyysiin liittyvän henkilötietojen käsittelyn aloittamisesta päättää rekisterinpitäjä tai rekisterinpitäjän tähän tehtävään määräämä muu poliisiyksikkö.

Poliisi saa lisäksi käsitellä poliisimiesten havaitsemia ja poliisille ilmoitettuja tietoja sellaisista tapahtumista tai henkilöistä, joiden voidaan olosuhteiden taikka henkilön käyttäytymisen vuoksi perustellusti arvioida liittyvän rikolliseen toimintaan.

Poliisin tehtävien suorittamisen yhteydessä saadut tiedot on hävitettävä viipymättä sen jälkeen, kun on käynyt ilmi, ettei tietoa tarvita 1 momentissa tai 13 §:n 1 momentissa tarkoitettuun käsittelytarkoitukseen.

8 § Rikosten ennalta estämiseen tai paljastamiseen liittyvien henkilötietojen sisältö

Poliisi saa käsitellä 7 §:ssä tarkoitetuista henkilöistä 4 §:ssä tarkoitettujen henkilön perustietojen lisäksi seuraavia henkilötietoja:

1) poliisin tehtävään, toimenpiteeseen ja tapahtumaan liittyvät yksilöinnit, kuvaukset ja luokitukset;

2) henkilön yhteyksiä, elämäntapoja, taloudellista tilannetta, harrastuksia ja muita kiinnostuksen kohteita koskevat tiedot;

3) tuntomerkkitiedot henkilöllisyyden toteamiseksi, mukaan lukien ääninäyte, kasvokuva ja muut biometriset tiedot;

4) toimenpiteen kohteena olevan henkilön turvallisuuden tai viranomaisen työturvallisuuden turvaamiseksi tiedot henkilön terveydentilasta ja sen seurannasta taikka hänen sairautensa hoidosta, kohteen tai henkilön vaarallisuudesta tai arvaamattomuudesta sekä tiedot, jotka kuvaavat tai on tarkoitettu kuvaamaan rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta.

Henkilötietoihin on liitettävä arvio tietojen antajan tai lähteen luotettavuudesta ja tietojen oikeellisuudesta, jos se on mahdollista.

9 § Tietolähdetietojen käsittely

Poliisi saa käsitellä tietolähteenä käytetystä poliisilain 5 luvun 40 §:ssä tai pakkokeinolain (806/2011) 10 luvun 39 §:ssä tarkoitetusta henkilöstä 4 §:ssä tarkoitettujen henkilön perustietojen lisäksi seuraavia henkilötietoja:

1) tietolähteen käyttöä ja valvontaa koskevat tiedot;

2) tietolähteen antamien tietojen pääasiallinen sisältö.

10 § DNA-näytteiden laadun varmistamiseen liittyvä henkilötietojen käsittely

Poliisi saa käsitellä poliisin tutkinnassa taltioitujen DNA-näytteiden laadun varmistamiseksi seuraavia muun kuin rikoksesta epäillyn henkilön tai rikokseen liittyvän tuntemattoman tekijän tietoja:

1) nimet;

2) henkilötunnus;

3) DNA-tunniste;

4) virkapaikka.

Henkilöllä on oikeus kieltäytyä DNA-näytteen antamisesta ja kieltää henkilötietojensa käsittely.

11 § Henkilötietojen käsittely poliisin muissa lakisääteisissä tehtävissä

Poliisi saa käsitellä henkilötietoja myös lupahallintoon liittyvien tehtävien ja sellaisten poliisille laissa erikseen säädettyjen valvontatehtävien suorittamiseksi, jotka eivät liity rikoksen ennalta estämiseen, paljastamiseen, selvittämiseen tai syyteharkintaan saattamiseen tai yleiseen turvallisuuteen kohdistuvilta uhkilta suojelemiseen tai tällaisten uhkien ehkäisemiseen.

12 § Poliisin muiden lakisääteisten tehtävien suorittamiseksi käsiteltävien henkilötietojen sisältö

Edellä 4 §:ssä tarkoitettujen henkilön perustietojen lisäksi poliisi saa käsitellä 11 §:ssä tarkoitettuihin tarkoituksiin seuraavia henkilötietoja:

1) hakemusta, lupaa, lausuntoa, ilmoitusta ja päätöstä koskevat tiedot;

2) luvan myöntämisen ja voimassaolon estettä koskevat tiedot sekä luvan myöntämisen ja voimassaolon edellytysten selvittämiseksi tarvittavat tiedot, mukaan lukien terveyttä koskevat tiedot ja muut erityisiin henkilötietoryhmiin kuuluvat tiedot;

3) viranomaisen toimenpiteitä koskevat tiedot;

4) henkilön valokuva ja nimikirjoitusnäyte, jotka hän on luovuttanut poliisille, ulkoministeriölle tai ulkoasiainhallinnon viranomaiselle hakiessaan sellaista lupaa tai päätöstä, jonka valmistamiseen henkilön valokuva ja nimikirjoitusnäyte ovat tarpeen;

5) henkilökorttilaissa (663/2016) ja passilaissa (671/2006) säädettyjen tehtävien suorittamiseksi henkilökortin tai passin hakijalta hakutilanteessa otetut biometriset sormenjälkitiedot ja kasvokuva;

6) toimenpiteen kohteena olevan henkilön turvallisuuden tai viranomaisen työturvallisuuden turvaamiseksi tiedot henkilön terveydentilasta ja sen seurannasta taikka hänen sairautensa hoidosta, kohteen tai henkilön vaarallisuudesta tai arvaamattomuudesta sekä tiedot, jotka kuvaavat tai on tarkoitettu kuvaamaan rikollista tekoa, rangaistusta tai muuta rikoksen seuraamusta;

7) hallinnollisia seuraamuksia koskevat tiedot;

8) muut kuin 1–7 kohdassa tarkoitetut 11 §:ssä tarkoitettujen tehtävien suorittamiseksi välttämättömät tiedot, ei kuitenkaan erityisiin henkilötietoryhmiin kuuluvia tietoja.

Poliisi saa osana arpajaislain (1047/2001) ja rahanpesun ja terrorismin rahoittamisen estämisestä annetun lain (444/2017) mukaista valvontaa käsitellä rahapeliyhtiön ja muun sen valvottavaksi mainituissa laeissa säädetyn elinkeinonharjoittajan ja yhteisön asiakkaita koskevia henkilötietoja siinä määrin kuin se on tarpeen valvontatehtävän suorittamiseksi.

13 § Henkilötietojen käsittely muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen

Jollei muualla laissa toisin säädetä, poliisi saa käsitellä 5–9, 11 ja 12 §:ssä tarkoitettuja henkilötietoja muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen:

1) rikoksen ennalta estämiseksi tai paljastamiseksi;

2) sellaisen rikoksen selvittämiseksi, josta laissa säädetty ankarin rangaistus on vankeutta;

3) etsintäkuulutetun tavoittamiseksi;

4) syyttömyyttä tukevana selvityksenä;

5) hengelle, terveydelle tai vapaudelle aiheutuvan merkittävän vaaran taikka huomattavan ympäristö-, omaisuus- tai varallisuusvahingon estämiseksi;

6) kansallisen turvallisuuden suojaamiseksi;

7) henkilöllisyyden selvittämiseksi suoritettaessa sellaista poliisin toimenpidettä, joka välttämättä edellyttää henkilöllisyyden varmistamista;

8) poliisin toiminnan suuntaamiseksi.

Poliisin henkilörekisterin tietoja saa salassapitosäännösten estämättä käsitellä myös laillisuusvalvonta-, analyysi-, suunnittelu- ja kehittämistoiminnassa. Lisäksi tietoja saa käyttää koulutustoiminnassa, jos tiedot ovat koulutuksen toteuttamiseksi välttämättömiä.

Edellä 12 §:n 1 momentin 4 kohdassa tarkoitettua henkilön valokuvaa ja nimikirjoitusnäytettä saadaan asianomaisen henkilön suostumuksella käyttää muunkin hänen hakemansa hallintoluvan tai päätöksen valmistamiseen kuin sen asiakirjan valmistamiseen, johon henkilön valokuva ja nimikirjoitusnäyte on luovutettu.

Edellä 12 §:n 2 momentissa tarkoitettuja henkilötietoja saa käyttää vain niiden alkuperäiseen käsittelytarkoitukseen.

14 § Henkilötietojen käsittely muuhun kuin alkuperäiseen käsittelytarkoitukseen lupaharkinnassa ja -valvonnassa

Jollei muualla laissa toisin säädetä, poliisi saa käsitellä 5, 6, 9, 11 ja 12 §:ssä tarkoitettuja henkilötietoja muuhun kuin niiden alkuperäiseen käsittelytarkoitukseen päätettäessä tai annettaessa lausuntoa luvan myöntämisestä tai voimassaolosta, jos luvan myöntämisen tai voimassaolon edellytykseksi on säädetty luvanhakijan tai luvanhaltijan luotettavuus, sopivuus tai muu sellainen ominaisuus, jonka arvioiminen edellyttää luvanhakijan tai luvanhaltijan terveydentilaan, päihteiden käyttöön, rikokseen syyllistymiseen tai väkivaltaiseen käyttäytymiseen liittyviä tietoja.

Luvan myöntämisen tai voimassaolon edellytysten arvioimiseksi saadaan 1 momentissa tarkoitetuissa tilanteissa käyttää myös keskusrikospoliisin tekemää ilmoitusta, joka perustuu 7 §:n 2 momentissa tarkoitettuja henkilöitä koskeviin tietoihin. Ilmoituksen on sisällettävä tiedot, jotka ovat tarpeen luvan myöntämisen tai voimassaolon edellytysten arvioimiseksi. Keskusrikospoliisi saa tehdä ilmoituksen, jos:

1) luvanhakijalla tai luvanhaltijalla on 8 §:ssä tarkoitettujen tietojen perusteella toistuvia ja pysyväisluonteisia yhteyksiä sellaiseen henkilöön, jonka on tuomioistuimen päätöksen mukaisesti katsottu syyllistyneen järjestäytyneen rikollisryhmän toimintaan osallistumiseen tai jonka vireillä olevassa esitutkinnassa tai syyteharkinnassa epäillään osallistuneen tällaiseen toimintaan, jos yhteydet ovat omiaan saattamaan luvanhakijan tai luvanhaltijan alttiiksi ulkopuoliselle epäasialliselle vaikuttamiselle sekä siten vaarantamaan luvan myöntämiselle tai voimassaololle säädettyjen edellytysten perusteena olevien etujen suojaamisen; tai

2) keskusrikospoliisi katsoo 8 §:ssä tarkoitettujen tietojen ja mahdollisten muiden selvitysten perusteella olevan perusteltu syy epäillä luvanhakijan tai luvanhaltijan syyllistyneen järjestäytyneen rikollisryhmän toimintaan osallistumiseen ja tiedon välittäminen on välttämätöntä luvan myöntämiselle tai voimassaololle säädettyjen edellytysten perusteena olevien etujen suojaamiseksi järjestäytyneen rikollisryhmän toimilta tai vaikutukselta.

15 § Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittely

Poliisi saa käsitellä erityisiin henkilötietoryhmiin kuuluvia tietoja vain, jos käsittely on käsittelytarkoituksen kannalta välttämätöntä.