347/2020

I denna lag föreskrivs om

Bestämmelser om skyddspolisens och huvudstabens behandling av personuppgifter finns i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018). Bestämmelser om andra myndigheters behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och i dataskyddslagen (1050/2018).

Transport- och kommunikationsverket gör som ett led i en säkerhetsutredning av företag en utredning om nivån på informationssäkerheten i informationssystem och datakommunikation.

Om en säkerhetsutredning av företag uteslutande har gällt säkerheten i informationssystem och datakommunikation, får Transport- och kommunikationsverket, som har gjort utredningen, utfärda ett intyg över den.

För utförandet av säkerhetsutredningar, för undvikande av onödiga säkerhetsutredningar, för att uppgifter ska kunna förmedlas mellan de behöriga myndigheterna samt för att tillförlitligheten och oförvitligheten hos dem som utredningarna gäller ska kunna kontrolleras ska det föras ett register över säkerhetsutredningar.

I registret över säkerhetsutredningar ska skyddspolisen och huvudstaben utan dröjsmål registrera att en ansökan om säkerhetsutredning kommit in, namnet på den som utredningen gäller och andra identifieringsuppgifter, utredningens omfattning samt uppgifter om resultatet av utredningen eller att ett intyg över säkerhetsutredning utfärdats och dess giltighet och återkallelse samt uppgifter om arbetsgivaren för den som en säkerhetsutredning av person gäller, om dessa uppgifter är tillgängliga. Den nationella säkerhetsmyndigheten ska registrera uppgifter om de intyg över säkerhetsutredning av person och av företag som den utfärdat i enlighet med vad som förutsätts i en internationell förpliktelse som gäller informationssäkerhet.

Transport- och kommunikationsverket får registrera uppgifter om

Den nationella säkerhetsmyndigheten och Transport- och kommunikationsverket är skyldiga att se till att de uppgifter som de för in i registret över säkerhetsutredningar motsvarar myndighetens avgöranden och anteckningarna i dess egna register och att anteckningarna har gjorts i enlighet med skyddspolisens tekniska krav.

Skyddspolisen och huvudstaben är gemensamt personuppgiftsansvariga för registret över säkerhetsutredningar. Huvudstaben svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser den som utredningen gäller och denne arbetar eller kommer att arbeta inom Försvarsmakten eller sköter ett uppdrag på förordnande av Försvarsmakten eller om säkerhetsutredningen hänför sig till verksamhet eller upphandling inom Försvarsmakten. Skyddspolisen svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser övriga som utredningen gäller, samt svarar för skötseln av de uppgifter som hänför sig till utlämnandet av personuppgifter ur registret över säkerhetsutredningar, till förandet av det registret och till informationssäkerheten.

Med avvikelse från 6 § 3 mom. i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ska de uppgifter som förts in i registret över säkerhetsutredningar avföras senast tre år efter det att en ny motsvarande säkerhetsutredning har gjorts eller giltigheten för en säkerhetsutredning eller ett intyg över säkerhetsutredning har upphört eller de arbetsuppgifter för vilka säkerhetsutredningen gjordes har upphört eller intyget över säkerhetsutredning har återkallats.

Skyddspolisen får trots sekretessbestämmelserna med hjälp av en teknisk anslutning lämna centralkriminalpolisen uppgifter om ansökan om säkerhetsutredning för att samköras med uppgifter om i 7 § 2 mom. i lagen om behandling av personuppgifter i polisens verksamhet avsedda persongrupper med tanke på de anmälningar som avses i 25 § 2 mom. i denna lag och på prövning i fråga om dem. Centralkriminalpolisen ska utplåna de uppgifter som fåtts genom samkörningen omedelbart efter det att behovet av anmälan har bedömts eller anmälan har sänts till skyddspolisen.

På utlämnande av personuppgifter till den nationella säkerhetsmyndigheten tillämpas lagen om internationella förpliktelser som gäller informationssäkerhet.

För säkerhetsutredningar som de behöriga myndigheterna gör med stöd av denna lag och för Transport- och kommunikationsverkets sakkunniguppgifter i samband med säkerhetsutredningar av företag tas det hos sökanden ut en avgift med iakttagande av lagen om grunderna för avgifter till staten (150/1992). Den som utredningen gäller svarar dock för kostnaderna i samband med genomförande av en säkerhetsutredning av företag, om utredningen har gjorts på ansökan av en myndighet.

Bestämmelser om straff för dataskyddsbrott finns i 38 kap. 9 § i strafflagen. Bestämmelser om straff för kränkning av kommunikationshemlighet finns i 3 § och för grov kränkning av kommunikationshemlighet i 4 § det kapitlet samt bestämmelser om straff för dataintrång i 8 § och för grovt dataintrång i 8 a § i det kapitlet. Till straff för brott mot tystnadsplikten enligt 59 § i denna lag döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för den föreskrivs någon annanstans i lag. Som ovan avsett brott mot sekretessen betraktas också brott mot en förbindelse som avses i 40 § i denna lag.

En behörig myndighets beslut enligt denna lag får överklagas genom besvär hos förvaltningsdomstolen. Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019).