Laki eräistä rajat ylittävän sähköisen asioinnin mahdollistavista palveluista

Eduskunnan päätöksen mukaisesti säädetään:

1 luku. Yleiset säännökset

1 § Soveltamisala

Tässä laissa säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014, jäljempänä eIDAS-asetus, sellaisena kuin se on viimeksi muutettuna asetuksella (EU) 2024/1183, säännösten noudattamisen valvonnasta ja annetaan mainittua asetusta täydentäviä säännöksiä.

Tätä lakia sovelletaan Suomessa tarjottaviin eurooppalaisiin digitaalisen identiteetin lompakoihin.

Euroopan komissiolle eIDAS-asetuksen 9 artiklan mukaisesti ilmoitettaviin rajat ylittäviin sähköisen tunnistamisen järjestelmiin sovelletaan vahvasta sähköisestä tunnistamisesta annettua lakia (617/2009), jollei tästä laista tai eIDAS-asetuksesta muuta johdu.

2 § Määritelmät

Tässä laissa tarkoitetaan:

1) eurooppalaisella digitaalisen identiteetin lompakolla eIDAS-asetuksen 3 artiklan 42 alakohdassa tarkoitettua eurooppalaista digitaalisen identiteetin lompakkoa;

2) henkilön tunnistetiedoilla eIDAS-asetuksen 3 artiklan 3 alakohdassa tarkoitettuja henkilön tunnistetietoja;

3) luottavalla osapuolella eIDAS-asetuksen 3 artiklan 6 alakohdassa tarkoitettua luottavaa osapuolta;

4) kansallisella solmupisteellä yhteyspistettä, joka on osa sähköisen tunnistamisen yhteentoimivuusarkkitehtuuria, osallistuu henkilöiden todentamiseen rajojen yli ja pystyy tunnistamaan sekä käsittelemään tai siirtämään tietoja muihin solmupisteisiin tarjoamalla yhden jäsenvaltion kansalliselle sähköisen tunnistamisen infrastruktuurille rajapinnan muiden jäsenvaltioiden sähköisen tunnistamisen infrastruktuureihin;

5) vaatimustenmukaisuuden arviointilaitoksella eIDAS-asetuksen 3 artiklan 18 alakohdassa tarkoitettua vaatimustenmukaisuuden arviointilaitosta ja 5 c artiklan nojalla annetuissa säännöksissä tarkoitettua sertifiointielintä;

6) teknisellä laitteella eurooppalaisen digitaalisen identiteetin lompakon käyttäjän mobiilipäätelaitetta tai muuta vastaavaa laitetta, jossa lompakko on otettu käyttöön.

2 luku. Eurooppalainen digitaalisen identiteetin lompakko ja sähköisen tunnistamisen menetelmät

3 § Luonnollisen henkilön tunnistetietojen myöntäminen

Luonnollisen henkilön tunnistetiedot eurooppalaisiin digitaalisen identiteetin lompakoihin myöntää Digi- ja väestötietovirasto noudattaen eIDAS-asetuksen 5 a artiklaa ja sen nojalla annettuja säännöksiä.

Sen lisäksi, mitä 1 momentissa säädetään, henkilö voi hakea luonnollisen henkilön tunnistetietoja asioimalla Suomen edustustossa tai Ahvenanmaan valtionvirastossa. Hakijan henkilöllisyys tarkastetaan noudattaen eIDAS-asetuksen 8 artiklassa tarkoitetun korkean varmuustason henkilöllisyyden todistamista ja varmentamista koskevia vaatimuksia. Suomen edustusto ja Ahvenanmaan valtionvirasto tallentavat hakijalta vastaanottamansa tiedot ja muut asian käsittelytiedot Digi- ja väestötietoviraston luonnollisen henkilön tunnistetietojen myöntämisessä käytettävään tietojärjestelmään ja vastaavat tallentamiensa tietojen luotettavuudesta ja oikeellisuudesta.

Digi- ja väestötietoviraston on myönnettävä luonnollisen henkilön tunnistetiedot sellaisiin eurooppalaisiin digitaalisen identiteetin lompakoihin, jotka Liikenne- ja viestintävirasto on ilmoittanut 33 §:n 2 kohdan mukaisesti Euroopan komissiolle. Digi- ja väestötietovirasto voi myöntää luonnollisen henkilön tunnistetiedot myös muihin lompakoihin. Digi- ja väestötietovirasto asettaa julkisesti saataville luettelon kaikista eIDAS-asetuksen mukaisesti tarjotuista eurooppalaisista digitaalisen identiteetin lompakoista, joihin se myöntää luonnollisen henkilön tunnistetiedot.

4 § Rekisteri luonnollisen henkilön tunnistetiedoista

Digi- ja väestötietovirasto pitää rekisteriä sen myöntämistä luonnollisen henkilön tunnistetiedoista. Rekisteriin tallennetaan luonnollisen henkilön tunnistetietojen myöntämiseen, voimassaoloon, ajantasaisuuteen ja peruuttamiseen tarvittavat tiedot noudattaen eIDAS-asetuksen 5 a artiklaa ja sen nojalla annettuja säännöksiä.

Luonnollisen henkilön tunnistetietojen rekisteriin tallennetut tiedot säilytetään viisi vuotta sen jälkeen, kun luonnollisen henkilön tunnistetietojen voimassaolo on päättynyt.

5 § Oikeushenkilön tunnistetietojen myöntäminen

Patentti- ja rekisterihallituksella on oikeus myöntää oikeushenkilön tunnistetiedot eurooppalaisiin digitaalisen identiteetin lompakoihin.

Oikeushenkilön tunnistetiedot myönnetään hakemuksesta ja ne voidaan tarjota vain kaupparekisteriin rekisteröidylle oikeushenkilölle aatteellista yhdistystä ja säätiötä lukuun ottamatta.

Patentti- ja rekisterihallitus asettaa julkisesti saataville luettelon kaikista eIDAS-asetuksen mukaisesti tarjotuista eurooppalaisista digitaalisen identiteetin lompakoista, joihin se myöntää oikeushenkilön tunnistetiedot.

Patentti- ja rekisterihallitus saa luovuttaa 2 momentissa tarkoitetusta hakemuksesta ilmenevät luonnollisen henkilön henkilötiedot muille kuin oikeushenkilön edustajille noudattaen, mitä kaupparekisterilain (564/2023) 2 §:n 2 momentissa säädetään kaupparekisteriin tallennetun henkilötunnuksen tunnusosan ja ulkomailla asuvan luonnollisen henkilön kotiosoitteen luovuttamisesta.

6 § Rekisteri oikeushenkilön tunnistetiedoista

Patentti- ja rekisterihallitus pitää rekisteriä sen myöntämistä oikeushenkilön tunnistetiedoista. Rekisteriin tallennetaan oikeushenkilön tunnistetietojen myöntämiseen, voimassaoloon, ajantasaisuuteen ja peruuttamiseen tarvittavat tiedot noudattaen eIDAS-asetuksen 5 a artiklaa ja sen nojalla annettuja säännöksiä.

Oikeushenkilön tunnistetietojen rekisteriin tallennetut tiedot säilytetään viisi vuotta sen jälkeen, kun oikeushenkilön tunnistetietojen voimassaolo on päättynyt.

7 § Eurooppalaisen digitaalisen identiteetin lompakon tarjoaminen

Digi- ja väestötietoviraston tehtävänä on tarjota eurooppalaista digitaalisen identiteetin lompakkoa Suomessa noudattaen eIDAS-asetuksen 5 a artiklaa ja sen nojalla annettuja säännöksiä.

Mitä 1 momentissa säädetään, ei rajoita muiden viranomaisten, oikeushenkilöiden tai luonnollisten henkilöiden mahdollisuutta tarjota eurooppalaista digitaalisen identiteetin lompakkoa Suomessa.

Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan on ennen lompakon tarjoamisen aloittamista tehtävä ilmoitus Liikenne- ja viestintävirastolle. Ilmoituksessa on annettava eIDAS-asetuksen 5 a artiklan 18 kohdan b alakohdassa ja 5 d artiklassa sekä mainittujen artikloiden nojalla annetuissa säännöksissä tarkoitetut tiedot.

Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan on viipymättä ilmoitettava Liikenne- ja viestintävirastolle 3 momentissa tarkoitetuissa tiedoissa tapahtuneista muutoksista. Liikenne- ja viestintävirasto voi antaa tarkempia määräyksiä 3 momentissa tarkoitettujen tietojen toimittamistavasta.

8 § Digi- ja väestötietoviraston tarjoaman eurooppalaisen digitaalisen identiteetin lompakon rekisterinpitäjä

Digi- ja väestötietovirasto on 7 §:n nojalla tarjoamansa eurooppalaisen digitaalisen identiteetin lompakon ja sen tarjoamiseen liittyvän henkilötietojen käsittelyn rekisterinpitäjä.

9 § Eurooppalaisen digitaalisen identiteetin lompakon tarjoamiseen liittyvien tietojen säilytysaika

Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan on säilytettävä lompakon ja sen tarjoamiseen liittyvät tiedot viisi vuotta lompakon voimassaolon päättymisestä.

Eurooppalaisella digitaalisen identiteetin lompakolla toteutetuista tapahtumista luottavien osapuolten ja muiden lompakkojen kanssa on oltava saatavilla tieto kaksi vuotta tietojen tallentamisajankohtaa seuraavan kalenterivuoden alusta lukien.

10 § Eurooppalaisen digitaalisen identiteetin lompakon käyttöönotto alaikäiselle

Eurooppalaisen digitaalisen identiteetin lompakon voi ottaa itsenäisesti käyttöön kolmetoista vuotta täyttänyt. Tätä nuorempi henkilö voi ottaa lompakon käyttöön huoltajan suostumuksella.

11 § Eurooppalaisen digitaalisen identiteetin lompakon lähdekoodin luovuttaminen

Eurooppalaisen digitaalisen identiteetin lompakon komponenttien lähdekoodin avoimuudesta säädetään eIDAS-asetuksen 5 a artiklan 3 kohdassa.

Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan ei tarvitse luovuttaa lompakon lähdekoodia komponenteista, joita ei ole asennettu eurooppalaisen digitaalisen identiteetin lompakon käyttäjän tekniseen laitteeseen, jos sille on olemassa asianmukaisesti perusteltu syy.

12 § Eurooppalaisen digitaalisen identiteetin lompakon hyväksytyn sähköisen allekirjoituksen maksullisuus

Eurooppalaisen digitaalisen identiteetin lompakon tarjoaja tai hyväksytty luottamuspalvelun tarjoaja, joka mahdollistaa hyväksytyn sähköisen allekirjoituksen luomisen eurooppalaisella digitaalisen identiteetin lompakolla, voi periä maksun lompakolla tapahtuvasta sähköisestä allekirjoittamisesta silloin kun se voi luotettavasti todentaa lompakon käyttäjän kytköksen organisaatioon tai allekirjoituksen kytköksen ammatilliseen tarkoitukseen.

13 § Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan velvollisuudet tietoturvaloukkaustilanteissa

Eurooppalaisen digitaalisen identiteetin lompakon tarjoaja vastaa tarjoamansa lompakon osalta jäsenvaltiolle eIDAS-asetuksen 5 e artiklassa ja sen nojalla annetuissa säännöksissä säädettyjen velvollisuuksien noudattamisesta.

Jos eurooppalaisen digitaalisen identiteetin lompakon tarjoaja ei teknisistä syistä pysty itse suorittamaan eIDAS-asetuksen 5 e artiklassa ja sen nojalla annetuissa säännöksissä tarkoitettua eräiden tietojen ilmoittamiseen liittyvää jäsenvaltion velvollisuutta, ilmoituksen tekee Liikenne- ja viestintävirasto. Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan on ilman aiheetonta viivytystä toimitettava Liikenne- ja viestintävirastolle eIDAS-asetuksen 5 e artiklassa säädetyn ilmoituksen tekemiseen tarvittavat tiedot.

14 § Eurooppalaisen digitaalisen identiteetin lompakon käyttäjän velvollisuudet

Eurooppalaisen digitaalisen identiteetin lompakon käyttäjän on käytettävä lompakkoa huolellisesti eikä hän saa luovuttaa sitä toisen käyttöön. Käyttäjän velvollisuus alkaa, kun hän on ottanut lompakon käyttöön.

Eurooppalaisen digitaalisen identiteetin lompakon käyttäjän on ilman aiheetonta viivytystä ilmoitettava lompakon tarjoajalle teknisen laitteen joutumisesta oikeudettomasti toisen haltuun tai lompakon oikeudettomasta käytöstä.

15 § Eurooppalaisen digitaalisen identiteetin lompakon käyttäjän vastuu lompakon oikeudettomasta käytöstä

Eurooppalaisen digitaalisen identiteetin lompakon käyttäjä vastaa lompakon oikeudettomasta käytöstä vain jos:

1) hän on luovuttanut sen käyttöön toiselle;

2) lompakon oikeudeton käyttö johtuu hänen huolimattomuudestaan, joka ei ole lievää; tai

3) hän on laiminlyönyt 14 §:n 2 momentissa säädetyn ilmoitusvelvollisuutensa.

Eurooppalaisen digitaalisen identiteetin lompakon käyttäjä ei kuitenkaan vastaa lompakon oikeudettomasta käytöstä:

1) siltä osin kuin lompakkoa on käytetty sen jälkeen, kun käyttäjä on tehnyt 14 §:n 2 momentissa säädetyn ilmoituksen; tai

2) jos lompakon tarjoaja on laiminlyönyt huolehtia siitä, että lompakon käyttäjällä on mahdollisuus täyttää 14 §:n 2 momentissa säädetty ilmoitusvelvollisuus.

Sopimusehto, joka poikkeaa 1 tai 2 momentissa säädetystä kuluttajan vahingoksi, on mitätön.

16 § Eurooppalaisen digitaalisen identiteetin lompakon luottavien osapuolten kansallinen rekisteri

Liikenne- ja viestintävirasto perustaa eIDAS-asetuksen 5 b artiklassa tarkoitetun eurooppalaisen digitaalisen identiteetin lompakon luottavien osapuolten kansallisen rekisterin ja toimii sen rekisterinpitäjänä.

Sen lisäksi, mitä 1 momentissa säädetään, Liikenne- ja viestintävirasto vastaa eIDAS-asetuksen 5 b artiklassa ja sen nojalla annetuissa säännöksissä säädetyistä jäsenvaltion velvollisuuksista Suomessa.

Liikenne- ja viestintävirasto voi antaa tarkempia määräyksiä eurooppalaisen digitaalisen identiteetin lompakon luottavien osapuolten pääsyvarmenteiden ja rekisteröintivarmenteiden toteuttamisesta sekä niiden varmennepolitiikoista ja varmennuskäytännöistä noudattaen eIDAS-asetuksen 5 b artiklan nojalla annettuja säännöksiä.

17 § Eurooppalaisen digitaalisen identiteetin lompakon kehyksen validointimekanismit

Digi- ja väestötietovirasto tarjoaa Suomessa eIDAS-asetuksen 5 a artiklan 8 kohdan a alakohdassa tarkoitetun lompakkojen aitoutta ja voimassaoloa koskevan validointimekanismin.

Liikenne- ja viestintävirasto tarjoaa Suomessa eIDAS-asetuksen 5 a artiklan 8 kohdan b alakohdassa tarkoitetun luottavien osapuolten henkilöllisyyden aitoutta ja kelpoisuutta koskevan validointimekanismin.

18 § Henkilöllisyyden linkittäminen

Digi- ja väestötietovirasto toteuttaa keskitetysti viranomaisille ja muille julkista hallintotehtävää hoitaville henkilöllisyyden linkittämisen noudattaen eIDAS-asetuksen 11 a artiklaa ja sen nojalla annettuja säännöksiä.

Digi- ja väestötietovirasto säilyttää eIDAS-asetuksen 11 a artiklan nojalla annetuissa säännöksissä tarkoitettuja henkilöllisyyden linkittämisprosessin tietoja enintään kaksi vuotta niiden tallentamisajankohtaa seuraavan kalenterivuoden alusta lukien.

Yksityiset yhteisöt, säätiöt ja elinkeinonharjoittajat saavat käyttää 1 momentissa tarkoitettua Digi- ja väestötietoviraston tarjoamaa henkilöllisyyden linkittämistä.

3 momenttia sovelletaan 1.1.2028 alkaen.

19 § Kansallinen solmupiste

Kansallista solmupistettä ylläpitää Suomessa Digi- ja väestötietovirasto.

3 luku. Luottamuspalvelut

20 § Varmenteen peruuttaminen

Sähköisen allekirjoituksen tai sähköisen leiman luomistietojen haltijan on viipymättä pyydettävä hyväksytyn varmenteen myöntäneeltä varmentajalta varmenteen peruuttamista, jos hänellä on perusteltu syy epäillä sähköisen allekirjoituksen tai leiman luomistietojen oikeudetonta käyttöä.

Hyväksyttyjä varmenteita tarjoavan varmentajan on viipymättä peruutettava hyväksytty varmenne, jos sähköisen allekirjoituksen tai leiman luomistietojen haltija pyytää sitä. Varmenteen peruuttamispyynnön katsotaan saapuneen varmentajalle silloin, kun se on ollut varmentajan käytettävissä siten, että pyyntöä voidaan käsitellä.

21 § Vastuu sähköisen allekirjoituksen tai sähköisen leiman luomistietojen oikeudettomasta käytöstä

Sähköisen allekirjoituksen tai sähköisen leiman luomistietojen haltija vastaa hyväksytyllä varmenteella varmennetun kehittyneen sähköisen allekirjoituksen luomistietojen ja kehittyneen sähköisen leiman luomistietojen oikeudettomasta käytöstä aiheutuneesta vahingosta, kunnes varmenteen peruuttamispyyntö on saapunut varmentajalle.

Sähköisen allekirjoituksen ja sähköisen leiman luomistietojen haltijalla on kuitenkin 1 momentissa säädetty vastuu vain, jos:

1) hän on luovuttanut luomistiedot toiselle;

2) luomistietojen joutuminen niiden käyttöön oikeudettomalle on aiheutunut hänen huolimattomuudestaan, joka ei ole lievää; tai

3) hän menetettyään luomistietojen hallinnan muulla kuin 2 kohdassa mainitulla tavalla on laiminlyönyt pyytää varmenteen peruuttamista 20 §:n 1 momentin mukaisesti.

Sopimusehto, joka poikkeaa 1 tai 2 momentissa säädetystä kuluttajan vahingoksi, on mitätön.

22 § Luottamuspalvelun tarjoajan vastuu

Luottamuspalvelun tarjoajan vastuusta säädetään eIDAS-asetuksen 13 artiklassa.

Hyväksytyn varmenteen tarjoava varmentaja on vastuussa vahingosta, joka hyväksyttyyn varmenteeseen luottaneelle on aiheutunut siitä, että varmentaja tai sen apunaan käyttämä henkilö ei ole peruuttanut varmennetta 20 §:ssä säädetyllä tavalla. Varmentaja vapautuu vastuusta, jos se näyttää, että vahinko ei ole aiheutunut sen omasta tai sen apunaan käyttämän henkilön huolimattomuudesta.

23 § Digi- ja väestötietoviraston ohjeistus attribuuttien tarkastamiseksi virallisista lähteistä

Digi- ja väestötietoviraston tehtävänä on laatia ohjeistus niistä sähköisistä menetelmistä, joita sähköisiä attribuuttitodistuksia tarjoavat hyväksytyt luottamuspalvelun tarjoajat voivat hyödyntää, kun ne haluavat tarkastaa eIDAS-asetuksen liitteessä VI tarkoitetut attribuutit niiden virallisista lähteistä Suomessa.

Ohjeistuksen tulee sisältää vähintään kuvaus eIDAS-asetuksen liitteessä VI tarkoitettujen attribuuttien virallisista lähteistä Suomessa sekä kuvaus virallisiin lähteisiin saatavilla olevista teknisistä rajapinnoista.

4 luku. Vaatimustenmukaisuuden arviointi

24 § Kansallisen solmupisteen vaatimustenmukaisuuden arviointi

Digi- ja väestötietoviraston on osoitettava tietoturvallisuuden arviointilaitoksista annetussa laissa (1405/2011) tarkoitetun hyväksytyn tietoturvallisuuden arviointilaitoksen, vaatimustenmukaisuuden arviointilaitoksen tai Liikenne- ja viestintäviraston tekemällä arvioinnilla, että sen tämän lain 19 §:n nojalla ylläpitämä kansallinen solmupiste täyttää eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä säädetyt vaatimukset. Digi- ja väestötietoviraston on hankittava arvioinnista arviointiraportti ja toimitettava se Liikenne- ja viestintävirastolle, jos arvioinnin tekee tietoturvallisuuden arviointilaitos tai vaatimustenmukaisuuden arviointilaitos. Arviointiraportti on voimassa arvioinnissa käytetyn standardin määrittelemän ajan, kuitenkin enintään 2 vuotta.

Liikenne- ja viestintävirasto voi antaa tarkempia määräyksiä kansallisen solmupisteen vaatimustenmukaisuuden arviointiperusteista noudattaen eIDAS-asetusta ja sen nojalla annettuja säännöksiä.

25 § Eurooppalaisen digitaalisen identiteetin lompakon kansallinen sertifiointijärjestelmä

eIDAS-asetuksen 5 c artiklassa ja sen nojalla annetuissa säännöksissä tarkoitettu eurooppalaisen digitaalisen identiteetin lompakon kansallisen sertifiointijärjestelmän omistaja on Suomessa Liikenne- ja viestintävirasto.

Liikenne- ja viestintävirasto voi antaa 1 momentissa tarkoitettuun tehtäväänsä sekä 26 §:ssä tarkoitettuun vaatimustenmukaisuuden arviointilaitoksen nimeämiseen liittyvän avustavan tehtävän hoitamisen alihankkijalle, jolla on siihen riittävät tekniset edellytykset sekä riittävä osaaminen ja joka täyttää eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä säädetyt sekä tässä laissa säädetyt ja tämän lain nojalla annetuissa määräyksissä määrätyt tehtävää koskevat vaatimukset.

Liikenne- ja viestintävirasto voi antaa tarkempia määräyksiä eurooppalaisen digitaalisen identiteetin lompakon kansallisesta sertifiointijärjestelmästä sekä lompakon vaatimustenmukaisuuden arviointiperusteista ja vaatimustenmukaisuuden arvioinnissa noudatettavasta menettelystä noudattaen eIDAS-asetusta ja sen nojalla annettuja säännöksiä.

26 § Vaatimustenmukaisuuden arviointilaitoksen nimeäminen ja ilmoittaminen

Liikenne- ja viestintäviraston tehtävänä on vaatimustenmukaisuuden arviointilaitoksen hakemuksesta nimetä ja ilmoittaa Suomeen sijoittautunut vaatimustenmukaisuuden arviointilaitos Euroopan komissiolle eIDAS-asetuksen ja sen nojalla annettujen säännösten mukaisesti.

Nimeämisen ja ilmoittamisen edellytyksenä on, että vaatimustenmukaisuuden arviointilaitos täyttää eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä sekä tässä laissa säädetyt ja tämän lain nojalla annetuissa määräyksissä määrätyt vaatimukset ja että sille on myönnetty Turvallisuus- ja kemikaaliviraston akkreditointiyksikön (FINAS-akkreditointipalvelu) tai ulkomaisen akkreditointiyksikön antama akkreditointitodistus, jonka mukaan vaatimustenmukaisuuden arviointilaitos pätevyysalueellaan täyttää mainitut vaatimukset.

Vaatimustenmukaisuuden arviointilaitos voi tehtävässään käyttää apunaan alihankkijaa, jonka työstä se vastaa kuin omastaan. Alihankkijalla tulee olla tehtävään riittävät tekniset edellytykset sekä riittävä osaaminen ja sen tulee täyttää eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä säädetyt sekä tässä laissa säädetyt ja tämän lain nojalla annetuissa määräyksissä määrätyt tehtävää koskevat vaatimukset.

Liikenne- ja viestintävirasto voi, noudattaen eIDAS-asetusta ja sen nojalla annettuja säännöksiä, antaa tarkempia määräyksiä:

1) vaatimustenmukaisuuden arviointilaitoksen nimeämisen edellytyksistä;

2) vaatimustenmukaisuuden arviointilaitoksen nimeämistä koskevaan hakemukseen sisällytettävistä tiedoista ja niiden toimittamisesta Liikenne- ja viestintävirastolle;

3) sähköisen tunnistamisen järjestelmien ja luottamuspalvelujen vaatimustenmukaisuuden arviointiperusteista ja vaatimustenmukaisuuden arvioinnissa noudatettavasta menettelystä.

27 § Vaatimustenmukaisuuden arviointilaitosten valvonta

Sen lisäksi, mitä vaatimustenmukaisuuden arviointilaitosten valvonnasta muualla laissa säädetään, Liikenne- ja viestintävirasto valvoo, että sen nimeämä ja ilmoittama vaatimustenmukaisuuden arvioitilaitos:

1) täyttää toiminnassaan 26 §:ssä tarkoitetut nimeämisen edellytykset;

2) suorittaa sille eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä säädetyt sekä tässä laissa säädetyt sekä tämän lain nojalla annetuissa määräyksissä määrätyt tehtävät asianmukaisesti.

Vaatimustenmukaisuuden arviointilaitoksen on ilmoitettava Liikenne- ja viestintävirastolle kaikista muutoksista, joilla voi olla vaikutusta nimeämisen edellytysten täyttymiseen.

Jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu, Liikenne- ja viestintäviraston tulee velvoittaa vaatimustenmukaisuuden arviointilaitos korjaamaan virheensä tai laiminlyöntinsä kohtuullisessa määräajassa.

Jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu, Liikenne- ja viestintäviraston on peruttava vaatimustenmukaisuuden arviointilaitoksen nimeäminen ja ilmoitettava Euroopan komissiolle, ettei vaatimustenmukaisuuden arviointilaitos enää täytä ilmoittamisen edellytyksiä, jos vaatimustenmukaisuuden arviointilaitos ei korjaa toimintaansa asetetussa määräajassa ja virhe tai laiminlyönti on olennainen.

28 § Sähköisen allekirjoituksen ja sähköisen leiman luontivälineen sertifioijat

Liikenne- ja viestintävirasto voi hakemuksesta nimetä ja ilmoittaa Euroopan komissiolle eIDAS-asetuksen 30 artiklassa ja 39 artiklan 2 kohdassa tarkoitettuja yksityisiä tai julkisia toimijoita, joiden tehtävänä on sertifioida hyväksyttyjä sähköisen allekirjoituksen tai sähköisen leiman luontivälineitä (sertifioija). Hakemuksessa on esitettävä Liikenne- ja viestintäviraston pyytämät hakemuksen käsittelemiseksi tarpeelliset tiedot.

Sertifioijan nimeämisen edellytyksenä on, että se on toiminnallisesti ja taloudellisesti sähköisen allekirjoituksen ja sähköisen leiman luontivälineiden valmistajista riippumaton ja että sillä on:

1) toiminnan laajuuden kannalta riittävä vastuuvakuutus tai muu vastaava järjestely;

2) käytössään riittävästi ammattitaitoista henkilöstöä;

3) toiminnan edellyttämät järjestelmät, laitteet ja välineet.

Jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu, sertifioijan valvontaan ja sen suorittamaan sertifiointiin sovelletaan, mitä 27, 29 ja 30 §:ssä säädetään vaatimustenmukaisuuden arviointilaitoksen valvonnasta, sen valvontatehtävistä ja -keinoista sekä vaatimustenmukaisuustodistuksen peruuttamisesta.

Liikenne- ja viestintävirasto voi antaa tarkempia määräyksiä sertifioijaa koskevista vaatimuksista, sertifioinnissa noudatettavasta menettelystä sekä sähköisen allekirjoituksen ja leiman luontivälinettä koskevista vaatimuksista noudattaen eIDAS-asetusta ja sen nojalla annettuja säännöksiä.

29 § Vaatimustenmukaisuuden arviointilaitoksen valvontatehtävä ja -keinot

Jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu, vaatimustenmukaisuuden arviointilaitoksen on valvottava, että se, jolle se on myöntänyt vaatimustenmukaisuustodistuksen (vaatimustenmukaisuustodistuksen haltija) täyttää todistuksen saamisen edellytykset.

Vaatimustenmukaisuuden arvioitilaitoksella on salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus saada eIDAS-asetuksessa ja sen nojalla annetuissa säännöksissä säädettyjen sekä tässä laissa säädettyjen sekä tämän lain nojalla annetuissa määräyksissä määrättyjen tehtäviensä hoitamiseksi tarpeelliset tiedot vaatimustenmukaisuustodistuksen haltijalta. Vaatimustenmukaisuustodistuksen haltijan on ilmoitettava vaatimustenmukaisuuden arviointilaitokselle kaikista muutoksista, joilla voi olla vaikutusta todistuksen saamisen edellytysten täyttymiseen.

Vaatimustenmukaisuuden arviointilaitoksella on 1 momentissa tarkoitetun valvontatehtävänsä suorittamiseksi oikeus tehdä vaatimustenmukaisuustodistuksen haltijaa ja tämän tarjoamaa arvioinnin kohteena olevaa tuotetta tai palvelua koskeva tarkastus. Vaatimustenmukaisuuden arviointilaitoksen tekemään tarkastukseen sovelletaan, mitä 37 §:n 2 ja 3 momentissa säädetään Liikenne- ja viestintäviraston tekemästä tarkastuksesta.

30 § Vaatimustenmukaisuustodistuksen peruuttaminen

Jos vaatimustenmukaisuuden arviointilaitos toteaa, että vaatimustenmukaisuustodistuksen haltija tai arvioinnin kohteena ollut tuote tai palvelu ei täytä vaatimustenmukaisuustodistuksen saamisen edellytyksiä tai että todistusta ei muutoin olisi tullut myöntää, vaatimustenmukaisuuden arviointilaitoksen on kehotettava vaatimustenmukaisuustodistuksen haltijaa korjaamaan puutteet määräajassa, jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu.

Jollei eIDAS-asetuksesta tai sen nojalla säädetystä muuta johdu, vaatimustenmukaisuuden arviointilaitoksen on peruutettava vaatimustenmukaisuustodistus määräajaksi tai kokonaan taikka myönnettävä se rajoitettuna, jollei vaatimustenmukaisuustodistuksen haltija korjaa puutteellisuuksia asetetussa määräajassa.

Vaatimustenmukaisuuden arviointilaitoksen on ilmoitettava Liikenne- ja viestintävirastolle 1 ja 2 momentissa tarkoitetuista valvontatoimista.

31 § Julkisuutta koskevan lainsäädännön soveltaminen ja tietojen luovuttaminen vaatimustenmukaisuuden arvioinnissa

Myös silloin, kun kysymys ei ole julkisen vallan käytöstä, 24 §:ssä tarkoitettuun tietoturvallisuuden arviointilaitokseen, vaatimustenmukaisuuden arviointilaitokseen ja sen käyttämään alihankkijaan sekä sertifioijaan sovelletaan eIDAS-asetuksen ja sen nojalla annettujen säännösten sekä tämän lain ja tämän lain nojalla annettujen määräysten toimeenpanoon liittyvissä tehtävissä viranomaisten toiminnan julkisuudesta annettua lakia (621/1999). Muiden hallinnon yleislakien soveltamisesta säädetään erikseen.

Henkilön, joka toimii 1 momentissa tarkoitetun toimijan palveluksessa tai päättävässä elimessä ja käsittelee arviointitoimintaan liittyviä salassa pidettäviä tietoja, vaitiolovelvollisuuteen ja tiedon hyväksikäyttökieltoon sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetun lain 23 §:ssä säädetään viranomaisen palveluksessa olevan vaitiolovelvollisuudesta ja hyväksikäyttökiellosta.

Sen lisäksi, mitä viranomaisten toiminnan julkisuudesta annetussa laissa ja muualla laissa säädetään, 1 momentissa tarkoitetulla toimijalla on salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus oma-aloitteisesti luovuttaa mainitussa momentissa tarkoitettujen tehtäviensä hoitamisen yhteydessä saamansa tai laatimansa asiakirja sekä ilmaista salassa pidettävä tieto Liikenne- ja viestintävirastolle eIDAS-asetuksessa tai sen nojalla annetuissa säännöksissä taikka tässä laissa säädettyjen tehtävien hoitamiseksi. Liikenne- ja viestintäviraston tiedonsaantioikeudesta säädetään 35 §:ssä.

32 § Rikosoikeudellinen virkavastuu vaatimustenmukaisuuden arvioinnissa

Seuraavien toimijoiden palveluksessa olevaan sekä päättävässä elimessä toimivaan henkilöön sovelletaan virkamiehen rikosoikeudellista virkavastuuta koskevia säännöksiä hänen hoitaessaan eIDAS-asetuksessa tai sen nojalla annetuissa säännöksissä taikka tässä laissa säädettyjä tehtäviä:

1) 24 §:ssä tarkoitetut tietoturvallisuuden arviointilaitokset;

2) 25 §:n 2 momentissa tarkoitetut Liikenne- ja viestintäviraston alihankkijat;

3) vaatimustenmukaisuuden arviointilaitokset ja niiden käyttämät alihankkijat;

4) sertifioijat.

Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa (412/1974).

5 luku. Valvonta

33 § Liikenne- ja viestintäviraston tehtävät

Liikenne- ja viestintäviraston tehtävänä on sen lisäksi, mitä edellä tässä laissa säädetään, valvoa tämän lain noudattamista. Lisäksi Liikenne- ja viestintäviraston tehtävänä on:

1) ilmoittaa Euroopan komissiolle eIDAS-asetuksen 5 a artiklan 18 kohdassa ja mainitun artiklan nojalla annetuissa säännöksissä tarkoitetut tiedot;

2) ilmoittaa eIDAS-asetuksen 5 d artiklassa ja sen nojalla annetuissa säännöksissä tarkoitetut tiedot Euroopan komissiolle ja 46 e artiklan 1 kohdassa tarkoitetulle yhteistyöryhmälle;

3) ilmoittaa sähköisen tunnistamisen järjestelmiä Euroopan komissiolle eIDAS-asetuksen 7–10 artiklan mukaisesti;

4) osallistua Euroopan unionin jäsenvaltioiden väliseen yhteistyöhön eIDAS-asetuksen 12 artiklassa tarkoitetussa sähköisen tunnistamisen yhteentoimivuusjärjestelmässä;

5) ylläpitää ja julkaista luetteloita Suomessa hyväksytyistä luottamuspalveluiden tarjoajista ja niiden tarjoamista hyväksytyistä luottamuspalveluista eIDAS-asetuksen 22 artiklan mukaisesti;

6) toimia eIDAS-asetuksen 46 a ja 46 b artiklassa tarkoitettuna valvontaelimenä ja hoitaa sille asetuksessa säädettyjä tehtäviä;

7) toimia eIDAS-asetuksen 46 c artiklassa tarkoitettuna keskitettynä yhteyspisteenä ja hoitaa sille eIDAS-asetuksessa säädettyjä tehtäviä;

8) julkaista ja toimittaa Euroopan komissiolle eIDAS-asetuksen 48 a artiklan 2 kohdassa tarkoitetut tiedot noudattaen mainitun artiklan 3 ja 4 kohtaa.

34 § Liikenne- ja viestintäviraston valvontatehtävien tärkeysjärjestys ja asian tutkimatta jättäminen

Liikenne- ja viestintävirasto voi asettaa sille tässä laissa säädetyt valvontatehtävät tärkeysjärjestykseen sen mukaan, mikä merkitys tehtävällä on tässä laissa tai eIDAS-asetuksessa taikka niiden nojalla annetuissa säännöksissä tai määräyksissä säädettyjen tai määrättyjen velvollisuuksien noudattamisen kannalta.

Liikenne- ja viestintävirasto voi jättää asian tutkimatta, jos asialla on epäillystä virheestä tai laiminlyönnistä huolimatta vain vähäinen merkitys 1 momentissa tarkoitettujen velvollisuuksien noudattamisen kannalta. Liikenne- ja viestintäviraston on tehtävä päätös tutkimatta jättämisestä heti, kun se on mahdollista.

35 § Tiedonsaantioikeus

Liikenne- ja viestintävirastolla on salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus saada tässä laissa ja eIDAS- asetuksessa sekä niiden nojalla annetuissa säännöksissä säädettyjen tehtäviensä suorittamiseksi välttämättömät tiedot toiselta viranomaiselta, eurooppalaisen digitaalisen identiteetin lompakon tarjoajalta ja sen käyttäjältä, luottavalta osapuolelta, luottamuspalvelun tarjoajalta ja sen palvelujen käyttäjältä, vaatimustenmukaisuuden arviointilaitokselta, sertifioijalta, sähköisen tunnistamisen järjestelmän tarjoajalta ja niiltä, jotka toimivat näiden lukuun. Tiedot on luovutettava viipymättä, Liikenne- ja viestintäviraston pyytämässä muodossa ja maksutta.

36 § Oikeus luovuttaa salassa pidettäviä tietoja

Sen lisäksi, mitä viranomaisten toiminnan julkisuudesta annetussa laissa ja muualla laissa säädetään, Liikenne- ja viestintävirastolla on salassapitosäännösten ja muiden tietojen luovuttamista koskevien rajoitusten estämättä oikeus oma-aloitteisesti tai pyynnöstä luovuttaa tässä laissa ja eIDAS-asetuksessa säädettyjen tehtäviensä hoitamisen yhteydessä saamansa tai laatimansa asiakirja sekä ilmaista salassa pidettävä tieto:

1) tietosuojavaltuutetulle, jos se on välttämätöntä sen laissa säädettyjen valvontatehtävien hoitamiseksi;

2) toisen Euroopan unionin jäsenvaltion eIDAS-asetuksen 46 a ja 46 b artiklassa tarkoitetuille valvoville viranomaisille ja 46 c artiklassa tarkoitetulle keskitetylle yhteyspisteelle, jos se on välttämätöntä eIDAS-asetuksessa säädettyjen tehtävien hoitamiseksi.

Liikenne- ja viestintävirastolla on siinä määrin kuin se on välttämätöntä oikeus käyttää tässä laissa ja eIDAS-asetuksessa säädettyjen tehtäviensä hoitamisen yhteydessä laatimiaan ja saamiaan salassa pidettäviä asiakirjoja ja tietoja sille kyberturvallisuuslain (124/2025) 26 §:ssä tarkoitettuna valvovana viranomaisena, 19 §:ssä tarkoitettuna CSIRT-yksikkönä ja 18 §:ssä tarkoitettuna keskitettynä yhteyspisteenä sekä eräiden tuotteiden kyberkestävyydestä sekä kyberturvallisuussertifioinnista annetun lain (439/2026) 21 §:ssä tarkoitettuna kyberturvallisuussertifioinnin viranomaisena kuuluvien tehtävien hoitamista varten.

37 § Oikeus tehdä tarkastuksia

Liikenne- ja viestintävirastolla on oikeus tehdä eurooppalaisen digitaalisen identiteetin lompakon tarjoajaa ja sen tarjoamaa lompakkoa, vaatimustenmukaisuuden arviointilaitosta ja sertifioijaa sekä näiden toimintaa, luottamuspalvelun tarjoajaa ja sen tarjoamaa luottamuspalvelua sekä mainittujen lukuun toimivia koskeva tarkastus. Tarkastus voidaan tehdä tässä laissa tai sen nojalla annetuissa määräyksissä taikka eIDAS-asetuksessa tai sen nojalla annetuissa säännöksissä säädettyjen velvollisuuksien noudattamisen valvomiseksi.

Liikenne- ja viestintävirasto määrää tarkastajan toimittamaan 1 momentissa tarkoitetun tarkastuksen. Tarkastuksen kohteena olevan toimijan on tarkastusta varten päästettävä tarkastusta suorittava tarkastuksen edellyttämässä laajuudessa tarkastuksen kohteena olevaan viestintäverkkoon tai tietojärjestelmään ja muihin kuin pysyväisluonteiseen asumiseen tarkoitettuihin tiloihin. Tarkastusta suorittavalla on salassapitosäännösten estämättä oikeus saada tutkittavakseen valvontatehtävän kannalta välttämättömät tiedot.

Tarkastuksessa noudatetaan hallintolain (434/2003) 39 §:ää.

38 § Huomautus ja valvontapäätös

Liikenne- ja viestintävirasto voi huomauttaa tämän lain nojalla valvomaansa toimijaa puutteista tai velvoittaa toimijan kohtuullisessa määräajassa korjaamaan puutteet tässä laissa tai sen nojalla annetuissa määräyksissä taikka eIDAS-asetuksessa tai sen nojalla annetuissa säännöksissä säädettyjen velvollisuuksien noudattamisessa.

Jos toimija ei velvoittavan päätöksen saatuaan korjaa 1 momentissa tarkoitettuja puutteita annetussa määräajassa, Liikenne- ja viestintävirasto voi määrätä toimijan keskeyttämään tai lopettamaan palvelun tarjoamisen tai hyväksyttyjen luottamuspalvelujen osalta peruuttaa palvelun tarjoajan tai sen tarjoaman palvelun hyväksytyn aseman. Päätöstä tehtäessä Liikenne- ja viestintäviraston tulee ottaa huomioon velvollisuuksien noudattamiseen liittyvän puutteen laajuus, kesto ja seuraukset.

Sen lisäksi, mitä 1 ja 2 momentissa säädetään, jos toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (NIS 2 -direktiivi) 8 artiklan 1 kohdan nojalla nimetty tai perustettu toimivaltainen viranomainen tai luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) nojalla nimetty tai perustettu valvontaelin tekee Liikenne- ja viestintävirastolle eIDAS-asetuksen 20 artiklan 3 a tai 3 b kohdassa tarkoitetun ilmoituksen, Liikenne- ja viestintävirasto voi, ottaen huomioon velvollisuuksien noudattamiseen liittyvän laiminlyönnin laajuuden, keston ja seuraukset, peruuttaa hyväksytyn luottamuspalvelun tarjoajan tai sen tarjoaman palvelun hyväksytyn aseman.

39 § Väliaikainen päätös

Jos tässä laissa tai sen nojalla annetuissa määräyksissä taikka eIDAS-asetuksessa tai sen nojalla annetuissa säännöksissä säädetyn velvollisuuden laiminlyönti tai tietoturvaloukkaus vaarantaa välittömästi ja olennaisesti tarjotun palvelun luotettavuuden, Liikenne- ja viestintävirasto voi viipymättä 38 §:ssä tarkoitetusta määräajasta riippumatta väliaikaisena toimena kieltää tai keskeyttää eIDAS-asetuksen:

1) 3 artiklan 17 alakohdassa tarkoitetun hyväksytyn luottamuspalvelun tarjoamisen ja käytön;

2) 5 a artiklassa tarkoitetun eurooppalaisen digitaalisen identiteetin lompakon tarjoamisen;

3) 5 a artiklan 8 kohdassa tarkoitetun validointimekanismin tarjoamisen;

4) 5 a artiklan 11 kohdassa tarkoitetun sähköisen tunnistamisen järjestelmän, jonka osana eurooppalainen lompakko tarjotaan, tarjoamisen;

5) 9 artiklan 1 kohdan mukaisesti ilmoitetun sähköisen tunnistamisen järjestelmän tarjoamisen;

6) 7 artiklan f alakohdassa tarkoitetun todentamisen tarjoamisen.

Liikenne- ja viestintävirasto voi kieltää tai keskeyttää 1 momentissa tarkoitetun palvelun tarjoamisen osittain, jos palvelun tarjoamisen kieltäminen kokonaisuudessaan ei ole välttämätöntä.

Liikenne- ja viestintäviraston on ennen väliaikaisia toimia koskevan päätöksen antamista varattava sen kohteena olevalle tilaisuus tulla kuulluksi, paitsi jos kuulemista ei voida toimittaa niin nopeasti kuin asian kiireellisyys välttämättä vaatii.

Väliaikaiset toimet voivat olla voimassa enintään kolme kuukautta. Jos laiminlyöntiä tai tietoturvaloukkausta ei korjata väliaikaisia toimia koskevassa päätöksessä asetetussa määräajassa, Liikenne- ja viestintävirasto voi määrätä palveluntarjoajan lopettamaan palvelun tarjoamisen.

40 § Uhkasakko, teettämisuhka ja keskeyttämisuhka

Liikenne- ja viestintävirasto voi asettaa 38 §:n 1 ja 2 momentissa tarkoitetun valvontapäätöksen ja 39 §:ssä tarkoitetun väliaikaisia toimia koskevan päätöksen tehosteeksi uhkasakon tai uhan, että toiminta keskeytetään osaksi tai kokonaan taikka että tekemättä jätetty toimenpide teetetään asianomaisen kustannuksella. Uhkasakosta, keskeyttämisuhasta ja teettämisuhasta säädetään uhkasakkolaissa (1113/1990).

41 § Liikenne- ja viestintävirastolle maksettavat maksut

Eurooppalaisen digitaalisen identiteetin lompakon tarjoajan on suoritettava Liikenne- ja viestintävirastolle vuosittain 17 000 euron valvontamaksu.

Hyväksytyn luottamuspalvelun tarjoajan, joka on tehnyt eIDAS-asetuksen 21 artiklassa tarkoitetun ilmoituksen, on suoritettava Liikenne- ja viestintävirastolle vuosittain 17 000 euron valvontamaksu ensimmäisestä tarjoamastaan hyväksytystä luottamuspalvelusta ja sitä seuraavista tarjoamistaan hyväksytyistä luottamuspalveluista vuosittain 11 000 euroa.

Edellä 26 §:n mukaisesti nimetyn vaatimustenmukaisuuden arviointilaitoksen on suoritettava Liikenne- ja viestintävirastolle vuosittain 18 000 euron valvontamaksu.

Edellä 28 §:n mukaisesti nimetyn sertifioijan on suoritettava Liikenne- ja viestintävirastolle vuosittain 18 000 euron valvontamaksu.

Valvontamaksu on suoritettava täysimääräisesti myös toiminnan ensimmäisenä vuotena, vaikka toiminta aloitettaisiin kesken vuotta. Valvontamaksua ei palauteta, vaikka palveluntarjoaja lopettaisi toimintansa kesken vuotta.

Valvontamaksun määrää maksettavaksi Liikenne- ja viestintävirasto ja se on suoraan ulosottokelpoinen. Muutoksenhausta maksun määräämistä koskevaan päätökseen säädetään 51 §:ssä.

Valvontamaksun perimisestä säädetään verojen ja maksujen täytäntöönpanosta annetussa laissa (706/2007). Jollei maksua suoriteta viimeistään eräpäivänä, maksamattomalle määrälle peritään vuotuista viivästyskorkoa korkolain (633/1982) 4 §:ssä säädetyn korkokannan mukaan. Viivästyskoron sijasta viranomainen voi periä viiden euron suuruisen viivästysmaksun, jos viivästyskoron määrä jää tätä pienemmäksi.

Edellä 7 §:n 3 momentissa tarkoitetun ilmoituksen käsittelystä, 26 §:n 1 momentissa ja 28 §:n 1 momentissa tarkoitettujen hakemusten käsittelystä, 37 §:n 1 momentissa tarkoitetusta tarkastuksesta sekä eIDAS-asetuksen 21 artiklassa tarkoitetun ilmoituksen käsittelystä ja 5 b artiklan 1 kohdassa tarkoitetusta rekisteröinnistä perittävistä maksuista säädetään valtion maksuperustelaissa (150/1992). Tämän lain 5 §:ssä tarkoitetuista oikeushenkilön tunnistetietoja koskevista suoritteista perittävistä maksuista säädetään patentti- ja rekisterihallituksen suoritteista perittävistä maksuista annetussa laissa (1032/1992).

6 luku. Seuraamusmaksut

42 § Luottamuspalvelun tarjoajien seuraamusmaksu

Liikenne- ja viestintävirasto voi määrätä seuraamusmaksun luottamuspalvelun tarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö eIDAS-asetuksen 15 artiklassa säädetyn velvollisuuden tarjota palveluaan saataville selkeällä ja ymmärrettävällä kielellä vammaisten henkilöiden oikeuksista tehdyn Yhdistyneiden kansakuntien yleissopimuksen (SopS 27/2016) ja tuotteiden ja palvelujen esteettömyysvaatimuksista annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/882 esteettömyysvaatimusten mukaisesti.

43 § Ei-hyväksyttyjen luottamuspalvelun tarjoajien seuraamusmaksu

Liikenne- ja viestintävirasto voi määrätä seuraamusmaksun ei-hyväksytyille luottamuspalvelun tarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö eIDAS-asetuksen 19 a artiklassa tai sen nojalla annetuissa säännöksissä säädetyn velvollisuuden ilmoittaa valvontaelimelle tai tunnistettavissa oleville asianomaisille henkilöille tietoturvaloukkauksista tai palvelun tarjoamisen tai mainitun artiklan 1 kohdassa tarkoitettujen toimenpiteiden häiriöistä.

44 § Hyväksyttyjen luottamuspalvelun tarjoajien seuraamusmaksu

Liikenne- ja viestintävirasto voi määrätä seuraamusmaksun hyväksytylle luottamuspalvelun tarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö eIDAS-asetuksen:

1) 20 artiklan 1 kohdassa säädetyn velvollisuuden toimittaa vaatimustenmukaisuuden arviointikertomus valvontaelimelle tai 1 a kohdassa säädetyn velvollisuuden ilmoittaa valvontaelimelle etukäteen suunnitelluista tarkastuksista;

2) 21 artiklan 1 kohdassa säädetyn velvollisuuden ilmoittaa valvontaelimelle aikeestaan aloittaa hyväksytyn luottamuspalvelun tarjoaminen ja toimittaa samalla vaatimustenmukaisuuden arviointiraportti;

3) 23 artiklan 2 kohdassa säädetyn velvollisuuden varmistaa, että sen verkkosivulla on käytettävissä linkki asianomaiseen luotettuun luetteloon, kun luottamuspalvelun tarjoaja käyttää EU:n luotettavuusmerkkiä;

4) 24 artiklan 2 kohdan:

45 § Hyväksyttyjä varmenteita tarjoavan hyväksytyn luottamuspalvelun tarjoajan seuraamusmaksu

Liikenne- ja viestintävirasto voi määrätä seuraamusmaksun hyväksyttyjä varmenteita tarjoavalle hyväksytylle luottamuspalveluntarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö eIDAS-asetuksen 24 artiklan 1 kohdassa säädetyn velvollisuuden varmistaa luonnollisen henkilön tai oikeushenkilön henkilöllisyys ja mahdolliset muut attribuutit, jolle hyväksytty varmenne myönnetään, 2 kohdan k alakohdassa säädetyn velvollisuuden perustaa varmennetietokanta ja pitää se ajan tasalla, 3 kohdassa säädetyn velvollisuuden kirjata varmenteen sulkeminen varmennetietokantaan ja julkaista varmenteen sulkemistila tai 4 kohdassa säädetyn velvollisuuden antaa tietoa hyväksyttyjen varmenteiden voimassaolo- tai sulkemistilasta.

46 § Hyväksyttyjä sähköisiä attribuuttitodistuksia tarjoavan hyväksytyn luottamuspalvelun tarjoajan seuraamusmaksu

Liikenne- ja viestintävirasto voi määrätä seuraamusmaksun hyväksyttyjä sähköisiä attribuuttitodistuksia tarjoavalle hyväksytylle luottamuspalveluntarjoajalle, joka tahallaan tai huolimattomuudesta rikkoo tai laiminlyö eIDAS-asetuksen 24 artiklan 1 kohdassa säädetyn velvollisuuden varmistaa sen luonnollisen henkilön tai oikeushenkilön henkilöllisyys ja mahdolliset muut attribuutit, jolle hyväksytty sähköinen attribuuttitodistus myönnetään tai 4 a kohdassa säädetyn velvollisuuden noudattaa 3 ja 4 kohdassa säädettyjä vaatimuksia hyväksytyn sähköisen attribuuttitodistuksen peruuttamisessa.

47 § Seuraamusmaksun suuruus

Seuraamusmaksun määrääminen ja määrä perustuu kokonaisarviointiin, jossa on otettava huomioon:

1) rikkomuksen luonne, laajuus, vakavuus, toistuvuus ja kestoaika;

2) seuraamuksella tavoiteltava yleinen etu;

3) luottamuspalvelun tarjoajan koko ja liiketoimintamallit;

4) luottamuspalvelun tarjoajan toteuttamat toimet rikkomisen aiheuttaman vahingon lieventämiseksi tai korjaamiseksi;

5) luottamuspalvelun tarjoajan mahdolliset aiemmat rikkomukset;

6) mahdolliset muut kuin 1–5 kohdassa tarkoitetut tapauksen olosuhteisiin vaikuttaneet tekijät.

Seuraamusmaksu on määrältään vähintään 1 000 euroa, jos seuraamusmaksu määrätään luonnolliselle henkilölle, ja muussa tapauksessa vähintään 10 000 euroa. Jos luottamuspalvelun tarjoaja on luonnollinen henkilö, sille määrättävä seuraamusmaksu saa olla enintään 5 000 000 euroa. Jos luottamuspalvelun tarjoaja on oikeushenkilö, sille määrättävä seuraamusmaksu saa olla enintään 5 000 000 euroa tai yksi prosentti sen yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta, johon luottamuspalvelun tarjoaja kuului rikkomisvuotta edeltävänä tilikautena, sen mukaan, kumpi näistä määristä on suurempi.

Liikevaihdolla tarkoitetaan kirjanpitolain (1336/1997) 4 luvun 1 §:ssä tarkoitettua liikevaihtoa tai vastaavaa liikevaihtoa.

48 § Seuraamusmaksun määräämättä jättäminen

Seuraamusmaksua ei määrätä, jos:

1) velvoitteen rikkomista on pidettävä vähäisenä; tai

2) seuraamusmaksun määräämistä on pidettävä ilmeisen kohtuuttomana.

Seuraamusmaksua ei voida määrätä sille, jota epäillään samasta teosta esitutkinnassa, syyteharkinnassa tai tuomioistuimessa vireillä olevassa rikosasiassa. Seuraamusmaksua ei voida määrätä myöskään sille, jolle on samasta teosta annettu lainvoimainen tuomio.

Seuraamusmaksua ei voida määrätä sille, jolle on määrätty samasta teosta muun lain mukainen hallinnollinen seuraamusmaksu.

Seuraamusmaksua ei voida määrätä valtion viranomaiselle, valtion liikelaitokselle, kunnalliselle viranomaiselle, kuntayhtymälle, hyvinvointialueelle, hyvinvointiyhtymälle, itsenäiselle julkisoikeudellisille laitokselle, tasavallan presidentin kanslialle eikä Suomen evankelis-luterilaiselle kirkolle ja Suomen ortodoksiselle kirkolle eikä niiden seurakunnille, seurakuntayhtymille ja muille elimille.

Seuraamusmaksua ei saa määrätä, jos on kulunut yli viisi vuotta siitä, kun rikkomus tai laiminlyönti on tapahtunut. Jos rikkomus tai laiminlyönti on ollut luonteeltaan jatkuvaa, viiden vuoden määräaika lasketaan siitä, kun rikkomus tai laiminlyönti on päättynyt.

49 § Seuraamusmaksun täytäntöönpano

Tämän lain nojalla maksettavaksi määrätyn seuraamusmaksun täytäntöönpanosta säädetään sakon täytäntöönpanosta annetussa laissa (672/2002).

7 luku. Erinäiset säännökset

50 § Hallintolain menettelysäännöksistä poikkeaminen

Poiketen siitä, mitä hallintolaissa säädetään, tämän lain 3 ja 5 §:ssä tarkoitetusta luonnollisen henkilön ja oikeushenkilön tunnistetietojen myöntämisestä tai peruuttamisesta hakemuksen mukaisesti ei anneta hallintopäätöstä tai oikaisuvaatimusohjetta taikka ilmoitusta valituskiellosta.

Poiketen siitä, mitä hallintolaissa sekä väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetun lain (661/2009) 68 §:ssä säädetään, luottamuspalvelun tarjoamisesta eurooppalaiseen digitaalisen identiteetin lompakkoon tai tarjoamisen keskeyttämisestä taikka lopettamisesta palvelun vastaanottajan hakemuksen mukaisesti ei anneta hallintopäätöstä tai oikaisuvaatimusohjetta taikka ilmoitusta valituskiellosta.

51 § Oikaisuvaatimus

Digi- ja väestötietoviraston sekä Patentti- ja rekisterihallituksen tämän lain nojalla antamiin muihin kuin 50 §:ssä tarkoitettuihin ratkaisuihin saa vaatia oikaisua.

Liikenne- ja viestintäviraston päätökseen, joka koskee 41 §:ssä tarkoitettua Liikenne- ja viestintävirastolle maksettavaa maksua, saa vaatia oikaisua.

Vaatimustenmukaisuuden arviointilaitoksen sekä sertifioijan tämän lain taikka eIDAS-asetuksen tai sen nojalla annettujen säännösten nojalla tekemään päätökseen saa vaatia oikaisua Liikenne- ja viestintävirastolta.

Oikaisuvaatimuksesta säädetään hallintolain 7 a luvussa.

52 § Valituskielto ja muutoksenhaku viranomaisen päätökseen

Muutoksenhausta hallintotuomioistuimeen säädetään oikeudenkäynnistä hallintoasioissa annetussa laissa (808/2019). Muutoksenhaussa uhkasakon asettamista ja maksettavaksi tuomitsemista sekä teettämis- tai keskeyttämisuhan asettamista ja täytäntöönpantavaksi määräämistä koskevaan päätökseen sovelletaan kuitenkin uhkasakkolakia.

Digi- ja väestötietoviraston sekä Patentti- ja rekisterihallituksen 50 §:ssä tarkoitettuihin ratkaisuihin ei saa hakea muutosta valittamalla.

Muutoksenhausta Patentti- ja rekisterihallituksen oikaisuvaatimuksen johdosta antamaan päätökseen säädetään Patentti- ja rekisterihallituksesta annetussa laissa (578/2013).

Liikenne- ja viestintävirasto voi 38 §:ssä tarkoitetussa valvontapäätöksessään tai 39 §:ssä tarkoitetussa väliaikaisessa päätöksessään määrätä, että päätöstä on noudatettava ennen kuin se on saanut lainvoiman.

53 § Voimaantulo

Tämä laki tulee voimaan 1 päivänä lokakuuta 2026.

Digi- ja väestötietoviraston on saatettava toimintansa 3, 4 ja 7–9 §:n sekä 17 §:n 1 momentin, 18 §:n 1 ja 2 momentin ja 23 §:n mukaiseksi viimeistään 24 päivänä joulukuuta 2026.

Patentti- ja rekisterihallituksen on saatettava toimintansa 5 ja 6 §:n mukaiseksi viimeistään 24 päivänä joulukuuta 2026.

Liikenne- ja viestintäviraston on saatettava toimintansa 16 §:n ja 17 §:n 2 momentin mukaiseksi viimeistään 24 päivänä joulukuuta 2026.

Lain 18 §:n 3 momenttia sovelletaan 1 päivästä tammikuuta 2028.