HE 283/2014

Hallituksen esitys eduskunnalle turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen ja Kroatian välillä tehdyn sopimuksen hyväksymisestä sekä laiksi sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta

ESITYKSEN PÄÄASIALLINEN SÄLTÖ

Esityksessä ehdotetaan, että eduskunta hyväksyisi Suomen ja Kroatian välisen sopimuksen turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta sekä lain sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta.

Sopimuksen tarkoituksena on varmistaa salassa pidettävän turvallisuusluokitellun tiedon suojaaminen Suomen ja Kroatian välillä osapuolten välisessä yhteistyössä erityisesti ulko-, puolustus-, turvallisuus- ja poliisiasioissa sekä tiede-, elinkeino- ja teknologia-asioissa. Kysymys on arkaluonteisista tietoaineistoista, jotka lähettävässä sopimusvaltiossa on erikseen luokiteltu korkean tietoturvallisuuden tason toteuttamista edellyttäviksi. Sopimus ei velvoita turvallisuusluokitellun tiedon vaihtamiseen.

Sopimus tulee voimaan toiseksi seuraavan kuukauden ensimmäisenä päivänä sen jälkeen, kun on otettu vastaan jälkimmäinen ilmoitus, jolla osapuolet ilmoittavat toisilleen, että sopimuksen voimaansaattamiseksi tarvittavat kansalliset toimenpiteet on saatettu loppuun. Sopimuksen voimaansaattamislaki on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana samaan aikaan kuin sopimus tulee Suomen osalta voimaan.


ESITYKSEN PÄÄASIALLINEN SISÄLTÖ  1
SISÄLLYS 2
YLEISPERUSTELUT 3
1 JOHDANTO 3
2 NYKYTILA 4
2.1 Laki kansainvälisistä tietoturvallisuusvelvoitteista 4
2.2 Turvallisuusselvityksiä koskeva lainsäädäntö 8
3 ESITYKSEN TAVOITTEET JA KESKEISET EHDOTUKSET 9
4 ESITYKSEN VAIKUTUKSET 10
4.1 Vaikutukset kansalaisiin 10
4.2 Vaikutukset elinkeinoelämään 10
4.3 Taloudelliset vaikutukset 10
4.4 Vaikutukset hallintoon 10
5 ASIAN VALMISTELU 11
YKSITYISKOHTAISET PERUSTELUT 12
1 SOPIMUKSEN SISÄLTÖ JA SUHDE SUOMEN LAINSÄÄDÄNTÖÖN 12
2 LAKIEHDOTUKSEN PERUSTELUT 17
3 VOIMAANTULO 17
4 EDUSKUNNAN SUOSTUMUKSEN TARPEELLISUUS JA KÄSITTELYJÄRJESTYS
4.1 Eduskunnan suostumuksen tarpeellisuus 17
4.2 Käsittelyjärjestys 19
LAKIEHDOTUS 20
Laki turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Kroatian kanssa tehdyn sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta 20
SOPIMUSTEKSTI 21

YLEISPERUSTELUT

1 Johdanto

Tietoturvallisuudella tarkoitetaan kaikkia sellaisia menettelyjä, joiden avulla turvataan informaation sisällön suojaaminen ulkopuolisilta (tiedon luottamuksellisuus), tiedon muuttumattomuus (tiedon eheys) sekä tiedon käytettävyys. Tietoturvallisuuden varmistamiseksi käytetään erilaisia keinoja, joista tavallisimmat ovat henkilöstön luotettavuuden ja toimitilojen turvallisuuden varmistaminen, salassapitosäännökset ja tietojen käytön rajoittaminen vain sovittuun tarkoitukseen sekä erilaiset tietojen käsittelyyn ja siirtoon liittyvät menettelytapavaatimukset. Tietoturvallisuusvaatimukset kattavat informaation koko elinkaaren sisältäen tietojen hankkimisen, muokkaamisen, käytön, luovutuksen, arkistoinnin ja hävittämisen.

Kansainväliseen yhteistyöhön liittyviin asiakirjoihin sisältyy toisinaan sellaisia salassa pidettäviä tietoja, joiden luvaton paljastuminen voi aiheuttaa merkittävää ja laajalle ulottuvaa vahinkoa keskeisille yleisille eduille. Tällaisten aineistojen asianmukaisesta käsittelystä on sen vuoksi pidettävä erityistä huolta. Kysymys on Suomen luotettavuudesta kansainvälisen yhteistyön osapuolena. Kansainvälinen tietoturvallisuusyhteistyö, johon Suomikin osallistuu, käsittää perinteisesti diplomaattiseen toimintaan samoin kuin puolustushallintojen väliseen yhteistyöhön liittyvän ei-julkisen tiedonvaihdon suojaamisen. Välittömän valtiovastuun piiriin kuuluvien kysymysten lisäksi kansainvälisillä tietoturvallisuusvelvoitteilla on kuitenkin kasvava merkitys myös taloudellisen, teollisen ja teknologisen yhteistyön kannalta, joiden puitteissa yhä useammat yritystason hankkeet edellyttävät turvallisuusluokitellun tiedon hyödyntämistä. Näin etenkin silloin, kun kyse on sellaisesta viranomaisen hankinnasta, jossa valtion suojattuja tietoja on annettava yritykselle kaupallisen sopimuksen toteuttamista varten. Tällaisia ovat perinteisesti olleet erityisesti puolustusalan hankinnat, mutta nykyään yhä enenevässä määrin myös muilla sektoreilla tapahtuvat hankinnat, kuten esimerkiksi informaatioteknologian ja ydinvoima-alan hankinnat.

Pyrkimyksistä huolimatta ei kuitenkaan ole osoittautunut mahdolliseksi toteuttaa tietoturvallisuusalan monenkeskistä yleissopimusta. Pääasiallinen syy tähän on kansallisten lainsäädäntöjen ja hallintorakenteiden ja -tapojen eroavaisuudet, jotka puolestaan heijastelevat tietoturvallisuuden sensitiivisyyttä osana kansallista kokonaisturvallisuutta. Edellä sanotusta poikkeuksena on kuitenkin Tanskan, Suomen, Islannin, Norjan ja Ruotsin välillä turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta ja vaihtamisesta tehty yleinen turvallisuussopimus (SopS 11 ja 12/2013).

Yleissopimuksen puuttuminen on pakottanut valtiot, Suomi mukaan luettuna, etsimään kahdenvälisiä sopimusratkaisuja. Suomi on tehnyt ensimmäisen kahdenvälisen tietoturvallisuussopimuksensa Saksan liittotasavallan kanssa vuonna 2004. Sopimus tuli voimaan 16 päivänä heinäkuuta 2004 (SopS 96 ja 97/2004). Vuotta myöhemmin allekirjoitettiin Suomen ja Ranskan välinen sopimus, joka puolestaan tuli voimaan 1 päivänä elokuuta 2005 (SopS 66 ja 67/2005). Kumpikin suuri Euroopan unionin (EU) jäsen on Suomelle tärkeä yhteistyökumppani niin turvallisuushallinnon kuin taloudellisen vuorovaikutuksenkin aloilla. Tietoturvallisuustarpeiden painottumista enenevässä määrin myös taloudelliseen toimintaan ilmentää Suomen ja Euroopan Avaruusjärjestön (ESA) välinen yhteistyösopimus, jäljempänä ESA:n tietoturvallisuussopimus, niin ikään vuodelta 2004 (SopS 94 ja 95/2004). Sopimuksen eräs keskeinen tavoite on turvata Suomen elinkeinoelämän mahdollisuudet osallistua tasavertaisesti muiden jäsenmaiden kanssa ESA:n turvallisuusluokiteltuihin tarjouskilpailuihin. Tietoturvallisuussopimus on tehty myös Länsi-Euroopan unionin (WEU) kanssa (SopS 41 ja 42/1998) ja Eurooppalaisen puolustusmateriaaliyhteistyöjärjestön (OCCAR) (SopS 109 ja 110/2008) ja Pohjois-Atlantin liiton (Nato) (SopS 7 ja 8/2013) kanssa. Mainittujen sopimusten lisäksi Suomi on tehnyt voimassaolevan tietoturvallisuussopimuksen Slovakian (SopS 116 ja 117/2007), Viron (SopS 12 ja 13/2008), Italian (SopS 23 ja 24/ 2008), Latvian (SopS 33 ja 34/2008), Puolan (SopS 46 ja 47/2008), Bulgarian (SopS 116 ja 117/2008), Slovenian (SopS 22 ja 23/2009), Taekin (SopS 53 ja 54/2009), Espanjan (SopS 38 ja 39/2010), Amerikan yhdysvaltojen (SopS 41 ja 42/2013), Ison-Britannian (SopS 49 ja 50/2013), Luxemburgin (SopS 59 ja 60/2013)ja Sveitsin (SopS 88 ja 89/2014) kanssa. Suomi on 10 päivänä toukokuuta 2012 hyväksynyt EU:n jäsenvaltioiden välillä toukokuussa 2011 allekirjoitetun sopimuksen turvallisuusluokitellun tiedon suojaamisesta. Lisäksi Suomi on tehnyt soveltamisalaltaan suppeamman tietoturvallisuussopimuksen Israelin kanssa puolustus- tai turvallisuushallintojen kesken välitetystä turvallisuusluokitellusta tiedosta (SopS 34 ja 35/2012).

Tietoturvallisuussopimuksella luodaan edellytykset turvallisuusluokitellun tiedon vaihtamiseen osapuolten välillä. Sopimuksella varmistutaan siitä, että Suomen luovuttama turvallisuusluokiteltu tieto pidetään vastaanottajamaassa salassa ja sitä suojataan ja käsitellään asianmukaisesti. Tietoturvallisuussopimuksen avulla myös toinen osapuoli voi varmistua siitä, että Suomi suojaa ja käsittelee sen luovuttamaa turvallisuusluokiteltua tietoa asianmukaisesti.

2 Nykytila
2.1 Laki kansainvälisistä tietoturvallisuusvelvoitteista

Lain yleinen soveltamisala

Laki kansainvälisistä tietoturvallisuusvelvoitteista (588/2004) säädettiin osana Suomen ja Saksan välisen tietoturvallisuussopimuksen sekä ESA:n tietoturvallisuussopimuksen voimaansaattamista. Laki katsottiin tarpeelliseksi muun ohella sen vuoksi, että kansainvälisten sopimusten panemiseksi täytäntöön on tarve poiketa asiakirjajulkisuuteen ja -turvallisuuteen perustuvista kansallisista järjestelyistä, jotka perustuvat pääosin viranomaisten toiminnan julkisudesta annettuun lakiin (621/1999), jäljempänä julkisuuslaki.

Lakia kansainvälisistä tietoturvallisuusvelvoitteista sovelletaan erityissuojattaviin tietoaineistoihin. Näillä tarkoitetaan salassa pidettäviä asiakirjoja ja materiaaleja, jotka on toimitettu Suomen viranomaiselle ja joiden luovuttaja on kansainvälisen, Suomea sitovan sopimuksen tai muun kansainvälisen velvoitteen mukaisesti tehnyt niihin turvallisuusluokkaa koskevan merkinnän. Määräysvalta luovutettuun tietoon säilyy luovutuksen jälkeenkin aineiston luovuttaneella valtiolla. Lakia voidaan soveltaa vain, jos kansainvälinen sopimus on saatettu Suomessa voimaan perustuslaissa säädetyllä tavalla tai jos kysymys on Suomea muutoin sitovasta kansainvälisestä velvoitteesta.

Lain soveltamisalan piiriin kuuluvia erityissuojattavia tietoaineistoja ovat lisäksi Suomen viranomaisen tai lain soveltamisalan piiriin kuuluvan elinkeinonharjoittajan laatimat asiakirjat, joista ilmenee Suomeen toimitettuihin asiakirjoihin sisältyviä tai materiaalista saatavissa olevia tietoja. Lain soveltamisalan piiriin kuuluvat niin ikään asiakirjat ja materiaalit, jotka on Suomessa tuotettu erityissuojattavan tietoaineiston pohjalta. Lakia ei sovelleta pelkästään Suomen kansallista tietoa sisältävien asiakirjojen tai niiden osien salassapitoon tai luokitukseen.

Laissa säädettyjä turvallisuusvelvoitteita sovelletaan silloinkin, kun sopimus tai säädös, johon säännösten soveltaminen perustuu, ei enää ole voimassa (15 §). Soveltaminen jatkuu niin kauan kuin se turvallisuusluokituksen perusteena olevan yleisen edun vuoksi on tarpeen.

Vireillä olevat muutokset

Uusi turvallisuusselvityslaki (726/2014) tulee voimaan 1 päivänä tammikuuta 2015. Lailla kumotaan turvallisuusselvityksistä annettu laki (177/2002). Samalla kansainvälisistä tietoturvallisuusvelvoitteista annetun lain henkilöturvallisuusselvityksiä koskeva 11 §, yhteisöturvallisuusselvityksiä koskeva 12 § ja turvallisuustodistuksia koskeva 14 § muutetaan (Laki kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muuttamisesta, 731/2014). Kansainvälisistä tietoturvallisuusvelvoitteista annettuun lakiin lisätään muutoksenhakua koskeva 20 a § ja elinkeinonharjoittajan antamaa sitoumusta koskeva 13 § kumotaan, mutta vastaava säännös sisällytetään turvallisuusselvityslakiin (40 §). Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muutokset tulevat voimaan niin ikään 1 päivänä tammikuuta 2015.

Lain suhde julkisuuslainsäädäntöön

Kansainvälisistä tietoturvallisuusvelvoitteista annettuun lakiin sisältyy kansallisten asiakirjojen tietoturvallisuudesta annetuista säännöksistä poikkeavia säännöksiä. Laissa on kuitenkin yleinen viittaussäännös julkisuuslakiin. Niiltä osin kuin suomalaisten viranomaisten asiakirjoihin sisältyy muita kuin kansainvälisten tietoturvallisuusvelvoitteiden piiriin kuuluvia tietoja kansainvälisestä yhteistyöstä, on sovellettava julkisuuslain ja sen nojalla annettuja säännöksiä. Laissa on myös erityissäännös, joka koskee päätöksentekovaltaa siinä tilanteessa, että tietoja pyydetään julkisuuslain nojalla erityissuojattavasta aineistosta. Julkisuuslain mukaan tiedonsaantia koskevan pyynnön voi käsitellä ja ratkaista se viranomainen, jonka hallussa asiakirja on. Tiedonsaantipyyntö voidaan kuitenkin siirtää toisen viranomaisen ratkaistavaksi julkisuuslain 15 §:ssä säädetyissä tilanteissa.

Lain soveltaminen elinkeinonharjoittajiin

Lakia sovelletaan viranomaisten lisäksi myös elinkeinonharjoittajaan ja tämän palveluksessa olevaan silloin, kun elinkeinonharjoittaja on osapuolena turvallisuusluokitellussa sopimuksessa tai osallistuu tällaista sopimusta edeltävään hankintakilpailuun tai toimii tällaisen elinkeinonharjoittajan alihankkijana (1 §:n 2 mom.).

Turvallisuusluokitellulla sopimuksella tarkoitetaan sopimusta, jonka toisen valtion viranomainen tai siinä kotipaikkaansa pitävä yritys taikka kansainvälinen järjestö tai toimielin aikoo tehdä tai on tehnyt kansainvälisessä tietoturvallisuusvelvoitteessa tarkoitetulla tavalla Suomessa kotipaikkaansa pitävän elinkeinonharjoittajan kanssa, jos tarjouskilpailuun osallistuminen tai sopimuksen toteuttaminen voi edellyttää pääsyä erityissuojattavaan tietoaineistoon (2 §:n 3 kohta).

Elinkeinonharjoittaja voi pyytää yhteisöturvallisuusselvityksen ja arvion tekemistä voidakseen osallistua toisen valtion viranomaisen tai siinä kotipaikkaansa pitävän yrityksen järjestämään tarjouskilpailuun (12 §:n 2 mom.). Vastaava säännös sisältyy uuteen turvallisuusselvityslakiin (33 §:n 2 mom.). Säännöksen tarkoituksena on turvata suomalaisten yritysten kilpailumahdollisuudet hankinnoissa silloinkin, kun hankintaan sovellettavissa olevaa kansainvälistä tietoturvallisuussopimusta ei ole. Useimmat valtiot kuitenkin edellyttävät kahdenvälisen tietoturvallisuussopimuksen olemassa oloa ulkomaisen turvallisuustodistuksen hyväksymiseksi.

Elinkeinonharjoittajalla ja tämän palveluksessa tai toimeksiannosta toimivalla on erityissuojattavia tietoaineistoja koskeva salassapitovelvollisuus (6 §). Elinkeinonharjoittajalla on myös velvollisuus kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi antaa toimivaltaiselle turvallisuusviranomaiselle tietoja sekä sallia viranomaisen ja kansainvälisen toimielimen tai sopimusvaltion edustajan tutustuminen turvallisuusjärjestelyihinsä ja toimitiloihinsa (16 §:n 2 mom. ja 18 §:n 2 mom.).

Lain täytäntöönpanoviranomaiset

Laissa on säännökset (4 §) niistä viranomaisista, jotka huolehtivat kansainvälisten tietoturvallisuusvelvoitteiden hoitamisesta. Kansallisena turvallisuusviranomaisena (National Security Authority, NSA) kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseen liittyvissä tehtävissä toimii ulkoasiainministeriö. Puolustusministeriö, pääesikunta, Suojelupoliisi ja Viestintävirasto toimivat määrättyinä turvallisuusviranomaisina (Designated Security Authority, DSA). Näille viranomaisille voi kuulua muun ohella tarjous- ja hankintamenettelyihin liittyvien asiakirjojen turvallisuusluokittelu.

Henkilöturvallisuutta koskevien turvallisuusselvitysten, jäljempänä henkilöturvallisuusselvitys, laadinnasta huolehtivat Suojelupoliisi ja pääesikunta (11 §). Yhteisöturvallisuusselvityksen laadinta kuuluu lain mukaan Suojelupoliisille, paitsi silloin, kun kyse on puolustukseen liittyvästä hankinnasta, jolloin selvitysten tekemisestä huolehtii pääesikunta (12 §). Vastaava viranomaisten toimivaltaa koskeva säännös sisältyy uuteen turvallisuusselvityslakiin (9 §). Kun edellä selostetut muutokset kansainvälisistä tietoturvallisuusvelvoitteista annettuun lakiin tulevat voimaan, kansainvälisessä tietoturvallisuusvelvoitteessa edellytetty henkilöturvallisuusselvitys ja yritysturvallisuusselvitys laaditaan siten kuin uudessa turvallisuusselvityslaissa säädetään. Henkilö- ja yritysturvallisuusselvitystodistuksen antaa tällöin kansallinen turvallisuusviranomainen, jollei erityisestä syystä muuta johdu (muutettu 11 § ja 12 §).

Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 5 §:n 2 momentin mukaan kansallinen turvallisuusviranomainen ja tehtävään määrätyt turvallisuusviranomaiset voivat sen estämättä, mitä muun muassa toimivallasta yhteisöturvallisuusselvitysten laadinnasta säädetään, sopia tietyn tehtävän tai tehtäväkokonaisuuden hoitamisesta toisen turvallisuusviranomaisen lukuun, jos järjestely on tarpeen tehtävien hoitamiseksi tarkoituksenmukaisesti, taloudellisesti ja joutuisasti. Viestintävirasto on lain 4 §:n 1 momentissa (885/2010) määrätty turvallisuusviranomaiseksi, jonka tehtävänä on toimia asiantuntijana tietojärjestelmien ja tietoliikennejärjestelyjen turvallisuutta koskevissa asioissa.

Laissa kansainvälisistä tietoturvallisuusvelvoitteista on säännökset viranomaisia ja elinkeinonharjoittajaa koskevasta tiedonantovelvollisuudesta (16 §). Säännösten tarkoituksena on varmistaa, että toimivaltaiset turvallisuusviranomaiset voisivat saada niille kuuluvien tehtävien hoitamiseksi tarpeelliset tiedot. Viranomaiset voivat myös salassapitovelvollisuuden estämättä antaa kansainväliseen tietoturvallisuusvelvoitteeseen perustuvaa yhteistyötä varten salassa pidettäviä tietoja ulkomaiselle sopimuspuolelle (17 §). Viranomaisella on myös oikeus sallia kansainväliseen tietoturvallisuusvelvoitteeseen perustuva kansainvälisen järjestön, toimielimen tai sopimusvaltion edustajan tutustuminen viranomaisen toteuttamiin turvallisuusjärjestelyihin ja toimitiloihin riippumatta siitä, mitä turvallisuusjärjestelyjen salassapidosta säädetään taikka säädetään tai määrätään pääsystä tiloihin, joissa käsitellään tai säilytetään salassa pidettäviä tietoja (18 §).

Kansallisen turvallisuusviranomaisen on lain mukaan ilmoitettava kansainvälisessä tietoturvallisuusvelvoitteessa tarkoitetuissa tapauksissa toiselle sopimuspuolelle tietoonsa tulleesta turvallisuusluokiteltujen tietojen suojan vaarantumisesta ja tietoturvallisuutta koskevan määräyksen loukkaamisesta sekä ryhdyttävä toimenpiteisiin asian selvittämiseksi samoin kuin rangaistavaan tekoon syyllistyneen syytteeseen saattamiseksi (19 §).

Tietojen salassapito ja käytön sääntely

Erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu (6 §:n 1 mom.). Salassapitovelvollisuus koskee myös elinkeinonharjoittajaa tämän ollessa osapuolena turvallisuusluokitellussa sopimuksissa. Suomen tekemissä, käytännössä kahdenvälisissä sopimuksissa, jotka koskevat eri maiden viranomaisten välistä salassa pidettävien tietojen vaihtoa, on säännönmukaisesti määräys, joka rajoittaa luovutettujen tietojen käyttöä. Kyseisen määräyksen mukaisesti erityissuojattavaa tietoaineistoa saa käyttää ja luovuttaa vain siihen tarkoitukseen, jota varten se on annettu, jollei se, joka on määritellyt aineiston turvallisuusluokan, ole antanut muuhun suostumustaan. Erityissuojattavien tietoaineistojen käyttöä koskee siten vahva käyttötarkoitussidonnaisuus.

Turvallisuusluokittelu ja – toimenpiteet

Laissa säädetään velvollisuudesta merkitä erityissuojattavaan tietoaineistoon sen turvallisuusluokka. Tietoaineistoon tehty merkintä turvallisuusluokasta osoittaa, minkälaisia toimenpiteitä on toteutettava aineistoa käsiteltäessä (8 §). Mitä korkeampaan turvallisuusluokkaan aineisto kuuluu, sitä tiukempia tietoturvallisuustoimenpiteitä edellytetään. Laissa on yleinen velvoite toteuttaa tietoaineiston käsittelyssä sen turvallisuusluokkaa koskevia käsittelymääräyksiä sekä valtuus säätää erityissuojattavan tietoaineiston käsittelyssä noudatettavista eri turvallisuusluokkia vastaavista turvallisuustoimenpiteistä valtioneuvoston asetuksella (9 §). Tietoturvallisuudesta valtionhallinnossa annetun valtioneuvoston asetuksen (681/2010), jäljempänä tietoturvallisuusasetus, 11 §:ssä on säädetty turvallisuusluokitusmerkintää koskevista erityissäännöksistä ja 12 §:ssä turvallisuusluokituksen vastaavuudesta.

Turvallisuusluokiteltuja aineistoja käsiteltäessä on lain mukaan huolehdittava siitä, että tietoja säilytetään asianmukaisissa tiloissa. Tilojen turvallisuusvaatimuksista on säädetty tietoturvallisuusasetuksen 14 §:ssä.

Turvallisuusluokiteltuja tietoja viranomaisissa käytettäessä on noudatettava pidättyvyyttä ja sen vuoksi lakiin kansainvälisistä tietoturvallisuusvelvoitteista on kirjattu kansainvälisissä sopimuksissa oleva yleinen vaatimus siitä, että tietoihin annetaan pääsy vain niille, jotka tarvitsevat tietoja tehtäviensä hoitamisessa. Nämä henkilöt on nimettävä etukäteen, jos sopimuksessa tätä edellytetään. Sama koskee myös 1 §:n 2 momentissa tarkoitettua elinkeinonharjoittajaa (6 §:n 3 mom.).

Henkilöstöturvallisuus

Kansainvälisessä tietoturvallisuusvelvoitteessa edellytetty henkilöturvallisuusselvitys tehdään siten kuin turvallisuusselvityksistä annetussa laissa (177/2002) ja sen nojalla säädetään. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muutosten tultua voimaan kansainvälisissä tietoturvallisuusvelvoitteissa edellytetty henkilöturvallisuusselvitys laaditaan siten kuin uudessa turvallisuusselvityslaissa säädetään. Siten esimerkiksi selvityksen kohteena olevan henkilön oikeudet määräytyvät sanotun lain mukaisesti.

Turvallisuusselvityksistä annetun lain 10 §:n 2 momentin mukaan turvallisuusselvitykseen ei saa sisällyttää selvityksen laatineen viranomaisen arviota selvityksen kohteena olevan henkilön luotettavuudesta tai sopivuudesta virkaan tai tehtävään, ellei lain 9 §:ssä tarkoitettu valtiosopimus tai muu kansainvälinen velvoite tätä edellytä. Koska pääsääntönä on, että turvallisuusselvitys ei sisällä arviota henkilön luotettavuudesta, laissa kansainvälisistä tietoturvallisuusvelvoitteista on erikseen säädetty henkilön luotettavuuden arvioinnista. Tällaisen arvion tekee turvallisuusselvityksen perusteella kansallinen turvallisuusviranomainen tai, jos turvallisuusviranomaisten välillä on niin sovittu, tehtävään määrätty turvallisuusviranomainen (11 §:n 3 mom.). Arvioinnin perusteella annetaan henkilöturvallisuutta koskeva todistus (Personnel Security Clearance Certificate). Se toimitetaan tavanomaisimmin sopimuspuolen turvallisuusviranomaiselle sopimuksen osoittamalla tavalla. Laissa on myös säännökset todistuksen antamisesta henkilölle itselleen (14 §).

Myös uuden turvallisuusselvityslain mukaan henkilöturvallisuusselvitykseen ei saa sisällyttää viranomaisen arviota selvityksen kohteena olevan henkilön nuhteettomuudesta, luotettavuudesta tai sopivuudesta virkaan tai tehtävään (42 §). Lain 43 §:n mukaan kansallinen turvallisuusviranomainen antaa kansainvälisen tietoturvallisuusvelvoitteiden toteuttamiseksi tarpeellisen henkilöturvallisuusselvitystodistuksen siten kuin kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa säädetään. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muutoksen tultua voimaan selvityksen laatineen viranomaisen on salassapitosäännösten estämättä toimitettava todistuksen antamista ja siihen liittyvää harkintaa varten kansalliselle turvallisuusviranomaiselle tieto kaikista selvityksen laadinnassa ilmi tulleista selvityksen kohdetta koskevista seikoista (muutettu 11 §:n 1 momentti). Todistuksen antamiseen koskevaan arvioon sekä sen voimassaoloon ja peruuttamiseen sovelletaan turvallisuusselvityslakia (muutettu 11 §:n 2 momentti).

Yhteisöturvallisuusselvitys

Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 12 §:ssä säädetään yhteisöturvallisuusselvityksistä ja arvioista. Yhteisöturvallisuusselvityksellä varmistetaan elinkeinonharjoittajan toimitilojen ja käsittelykäytäntöjen asianmukaisuus sekä henkilöstön osaaminen. Elinkeinonharjoittajan luotettavuuden arvioinnilla varmistutaan erityisesti siitä, kuinka hyvin tämä pystyy huolehtimaan turvallisuusluokiteltujen tietojen suojaamisesta. Yhteisöturvallisuusmenettely ja siihen perustuva arvio toteutetaan pääosin elinkeinonharjoittajalta itseltään saatujen tietojen perusteella sekä tämän toimitilojen turvallisuuden kartoituksella, ja tarvittavista toimenpiteistä huolehditaan elinkeinonharjoittajan kanssa tehtävän sopimuksen avulla. Selvityksen laatii Suojelupoliisi. Pääesikunta huolehtii tehtävästä kuitenkin silloin, kun kysymys on puolustukseen liittyvästä hankinnasta. Selvitystä laadittaessa on otettava huomioon laissa yksilöidyt seikat, muun muassa se, miten suojataan turvallisuusluokiteltuja tietoja oikeudettomalta ilmitulolta, muuttamiselta ja hävittämiseltä, ja miten estetään asiaton pääsy tiloihin, joissa turvallisuusluokiteltuja tietoja käsitellään tai joissa harjoitetaan turvallisuusluokitellussa sopimuksessa tarkoitettua toimintaa. Viestintävirasto laatii tarvittaessa osana yhteisöturvallisuusselvitystä selvityksen ja arvion siitä, täyttävätkö elinkeinonharjoittajan tietojärjestelmät ja tietoliikenteen järjestelyt kansainvälisistä tietoturvallisuusvelvoitteista johtuvat vaatimukset.

Määrätyt turvallisuusviranomaiset voivat toimialaansa kuuluvaa yhteisöturvallisuusselvitystä ja sen perusteella annettavaa arviota laatiessaan lain 13 §:n mukaan edellyttää, että elinkeinonharjoittaja sitoutuu huolehtimaan 12 §:n 1 momentissa tarkoitetuista ja muista kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi tarpeellisista toimenpiteistä. Sitoumuksessa voidaan yksityiskohtaisemmin määritellä ne toimenpiteet, jotka elinkeinonharjoittaja toteuttaa täyttääkseen kansainvälisistä tietoturvallisuusvelvoitteista johtuvat vaatimukset. Sitoumuksessa elinkeinonharjoittaja sitoutuu myös tekemään ne mahdolliset tarkistukset toimintaansa, jotka toiminnan turvallisuuskartoituksessa on havaittu. Turvallisuusselvityksen ja mahdollisen sitoumuksen jälkeen Suojelupoliisi tai pääesikunta voi tehdä arvion elinkeinonharjoittajan luotettavuudesta ja antaa tätä koskevan turvallisuustodistuksen (Facility Security Clearance Certificate).

Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain muutosten tultua voimaan kansainvälisissä tietoturvallisuusvelvoitteissa edellytetty yritysturvallisuusselvitys laaditaan siten kuin uudessa turvallisuusselvityslaissa säädetään. Yritysturvallisuusselvitystodistuksen antaa kuitenkin kansallinen turvallisuusviranomainen, jollei erityisestä syystä muuta johdu. Selvityksen laatineen viranomaisen on salassapitosäännösten estämättä toimitettava todistuksen antamista ja siihen liittyvää harkintaa varten kansalliselle turvallisuusviranomaiselle tieto kaikista selvityksen laadinnassa ilmi tulleista selvityksen kohdetta koskevista seikoista (muutettu 12 §:n 1 momentti). Todistuksen voimassaoloon ja peruuttamiseen sovelletaan turvallisuusselvityslakia (muutettu 12 §:n 2 momentti).

2.2 Turvallisuusselvityksiä koskeva lainsäädäntö

Henkilöturvallisuusselvityksistä säädetään turvallisuusselvityksistä annetussa laissa. Lain tarkoituksena on turvallisuusselvitysmenettelyä käyttämällä parantaa mahdollisuuksia ennakolta estää rikokset, jotka vakavasti vahingoittaisivat keskeisiä yleisiä tai yksityisiä etuja taikka erittäin merkittävää tietoturvallisuutta.

Turvallisuusselvitys voidaan tehdä virkaan tai tehtävään hakeutuvasta, tehtävään tai koulutukseen otettavasta taikka virkaa tai tehtävää hoitavasta henkilöstä, ja se voi olla perusmuotoinen, laaja tai suppea. Turvallisuusselvitys tehdään laissa määritellyissä tapauksissa, kuten silloin, kun Suomea sitova valtiosopimus tai muu kansainvälinen velvoite edellyttää turvallisuusselvityksen tekemistä tai sen perusteella laaditun todistuksen esittämistä.

Yksityisyyden suojan perusoikeusluonteen vuoksi turvallisuusselvitysmenettely on tarkan muotosidonnaista. Turvallisuusselvitys voidaan tehdä vain selvityksen kohteena olevan henkilön etukäteen antaman, nimenomaisen ja kirjallisen suostumuksen perusteella. Myös turvallisuusselvitysmenettelyssä käytettävät rekisterit on laissa lueteltu tyhjentävästi.

Jokaisella on oikeus saada tieto siitä, onko hänestä tehty turvallisuusselvitys tiettyä tehtävää varten. Selvityksen kohteella on myös oikeus pyynnöstä saada toimivaltaiselta viranomaiselta perusmuotoisen tai laajan turvallisuusselvityksen tiedot. Tiedonsaantioikeus ei kuitenkaan koske sellaisesta rekisteristä peräisin olevaa tietoa, johon rekisteröidyllä ei ole tarkastusoikeutta.

Tammikuussa 2015 voimaan tulevan uuden turvallisuusselvityslain tarkoituksena on parantaa mahdollisuuksia ennakolta ehkäistä toimintaa, joka voi vahingoittaa valtion turvallisuutta, maanpuolustusta, Suomen kansainvälisiä suhteita, yleistä turvallisuutta tai muuta niihin verrattavaa yleistä etua tai erittäin merkittävää yksityistä taloudellista etua. Uudessa laissa on säännökset mm. selvityksen kohteen asemasta ja oikeudesta (2 luku), toimivaltaisista viranomaisista ja niiden harkintavallan ohjauksesta (3 luku), henkilöturvallisuusselvityksestä (4 luku) yritysturvallisuusselvityksistä (5 luku), turvallisuusselvitysmenettelyn päättämisestä (6 luku), turvallisuusselvitysrekisteristä (7 luku) sekä turvallisuusselvityksen ja turvallisuusselvitystodistuksen voimassaolosta (8 luku).

Uuden turvallisuusselvityslain mukaan Suojelupoliisilla on yleinen toimivalta päättää turvallisuusselvityksen tekemisestä (9 §:n 1 momentti). Pääesikunta laatii henkilöturvallisuusselvityksen niissä tapauksissa, joissa selvityksen kohde toimii tai sen on tarkoitus toimia puolustusvoimissa taikka hoitaa puolustusvoimien antamaa tehtävää tai joissa selvitys liittyy puolustusvoimien toimintaan tai hankintoihin. Pääesikunta laatii yritysturvallisuusselvityksen, jos yritys hoitaa tai sen on tarkoitus hoitaa puolustusvoimien antamaa tehtävää ja yrityksestä, joka liittyy puolustusvoimien hankintoihin (9 §:n 3 momentti). Viestintävirasto laatii yritysselvityksen osana tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden tasoa koskevan selvityksen (9 §:n 4 momentti).

Myös uuden turvallisuusselvityslain mukaan henkilöturvallisuusselvitys on tarkan muotosidonnaista ja henkilöturvallisuusselvitys voidaan tehdä vain kohteena olevan henkilön etukäteisellä kirjallisella suostumuksella (5 §). Selvitys voi olla suppea, perusmuotoinen tai laaja (14 §). Lain 15 §:ssä määritellään henkilöturvallisuusselvityksen hakemiseen oikeutetut. Turvallisuusselvityksessä käytettävä tietopohja laajenee ja selvityksessä voidaan käyttää myös tiettyjä ulkomaan viranomaisen rekistereihin talletettuja tietoja (25§). Turvallisuusselvitysmenettelyssä käytetyt rekisterit on laissa lueteltu tyhjentävästi.

Uudessa laissa on säännökset myös yritysturvallisuusselvityksistä. Lain 33 §:ssä määritellään yritysturvallisuusselvityksen hakemiseen oikeutetut ja 36 §:ssä yritysturvallisuusselvityksen laatimisen edellytykset. Lain 37 §:ssä on lueteltu yritysturvallisuusselvityksissä käytettävät tietolähteet ja lain 38 § koskee yritysturvallisuusselvitysasian käsittelyä. Yritysturvallisuusselvitystä laadittaessa selvitetään hakemuksessa esitettyjen tietojen ja 37 §:ssä tarkoitettujen tietolähteiden sekä yritykseen ja sen toimitiloihin sekä sen tietojärjestelmiin ja tietoliikennejärjestelyihin kohdistuneen tarkastuksen avulla, miten yritys voi huolehtia turvallisuusjärjestelyistä (38 §:n 1 momentti). Käytännössä yritysturvallisuusselvityksen laatimiseen osallistuu kaksi viranomaista, koska Viestintäviraston tehtävänä on huolehtia tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista. Toimivaltaisten viranomaisten käytettävissä olevin keinoin selvitetään, miten yritys voi huolehtia erilaisista tietoturvallisuuteen kuuluvista seikoista. Toimivaltainen viranomainen voi yritysturvallisuusselvitystä ja sen perusteella annettavaa todistusta laatiessaan edellyttää, että elinkeinonharjoittaja sitoutuu huolehtimaan tietoturvallisuustason säilyttämisestä (40 §).

3 Esityksen tavoitteet ja keskeiset ehdotukset

Esityksen tavoitteena on hankkia eduskunnan hyväksyntä sopimukselle. Sopimuksen tavoitteena on varmistua siitä, että Suomen Kroatiaan luovuttamaa turvallisuusluokiteltua tietoa suojataan ja käsitellään asianmukaisesti. Sopimuksen tavoitteena on myös edistää Suomen mahdollisuuksia vastaanottaa Kroatian turvallisuusluokiteltua tietoa ja parantaa maiden välistä yhteistyötä tietoturvallisuuden alalla. Lisäksi sopimuksen tarkoituksena on turvata suomalaisten yritysten mahdollisuudet osallistua sellaisiin kansainvälisiin sekä Suomen ja Kroatian välisiin hankkeisiin, joiden toteuttaminen saattaa edellyttää turvallisuusluokiteltujen tietojen vaihtoa ja parantaa näin suomalaisten yritysten kilpailukykyä. Esitys sisältää myös ehdotuksen niin sanotuksi blankettilaiksi, jolla saatetaan voimaan sopimuksen lainsäädännön alaan kuuluvat määräykset.

4 Esityksen vaikutukset
4.1 Vaikutukset kansalaisiin

Sopimuksen voimaansaattamisen myötä Kroatiasta Suomeen toimitettuihin turvallisuusluokiteltuihin tietoihin ja materiaaleihin (erityissuojattava tietoaineisto) sovellettaisiin lakia kansainvälisistä tietoturvallisuusvelvoitteista. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain mukainen erityissuojattavan tietoaineiston suojaaminen perustuu sopimuksen määräyksiin.

Suomen ja Kroatian välisen sopimuksen mukaisia erityissuojattavia tietoaineistoja ovat aineistot, joita Kroatia pitää salassa pidettävinä ja jotka se on määritellyt ja merkinnyt korkean tietoturvallisuuden tasoa edellyttäviksi. Sopimuksen 5 artiklassa määrätään turvallisuusluokitellun tiedon salassapidosta. Artiklan 9 a kohdan mukaan vastaanottava osapuoli välittää turvallisuusluokiteltua tietoa kolmannelle osapuolelle ainoastaan luovuttavan osapuolen kirjallisella ennakkosuostumuksella. Tämä merkitsee poikkeusta julkisuuslain yleistä etua koskevista salassapitosäännöksistä, joissa salassapito on useimmissa tapauksissa riippuvainen siitä, minkälaisia vaikutuksia tietojen antamisella olisi suojattavalle edulle. Ilman tietoturvallisuussopimustakin Kroatian Suomeen luovuttamat turvallisuusluokitellut asiakirjat pidettäisiin säännönmukaisesti salassa kansainvälisiä suhteita koskevina julkisuuslain 24 §:n 1 momentin 2 kohdan perusteella, mikä merkitsee, että tietoturvallisuussopimus ei rajoita kansalaisen tiedonsaantia enempää kuin mitä se julkisuuslain mukaan on.

Merkittävimpänä erona on se, että viranomaisella ei olisi kansainvälisessä tietoturvallisuusvelvoitteessa tarkoitettuun asiakirjaan kohdistuvaa tiedonsaantipyyntöä ratkaistessaan velvollisuutta erikseen perustella tiedon antamisesta aiheutuvaa vahinkoa. Tiedonsaantipyyntö olisi muutoin käsiteltävä julkisuuslain mukaisesti. Jos syntyy epäselvyyttä luokituksen oikeellisuudesta tai siitä, mitkä asiakirjassa olevat tiedot ovat johtaneet luokitusmerkintään, viranomaisen on otettava yhteyttä asiakirjan laatineeseen osapuoleen.

Suomen ja Kroatian välinen tietoturvallisuussopimus ei vaikuta Suomen kansallisten asiakirjojen salassapitoon tai luokitukseen, mitkä määräytyvät julkisuuslain mukaan.

Henkilöstöturvallisuus on keskeinen tietoturvallisuuden osa-alue. Koska jo laki kansainvälisistä tietoturvavelvoitteista edellyttää turvallisuusselvityksistä annetun lain mukaisen menettelyn käyttämistä henkilöstön luotettavuuden varmistamisessa, ehdotetun voimaansaattamislain hyväksyminen ei tarkoittaisi sitä, että kansalaisten yksityisyyselämän ja henkilötietojen suojaa kavennettaisiin aikaisempaan verrattuna.

4.2 Vaikutukset elinkeinoelämään

Sopimus antaa suomalaisille yrityksille mahdollisuuden saada sellaisia tilauksia tai osallistua sellaisiin hankkeisiin, joiden toteuttaminen edellyttää pääsyä Kroatian turvallisuusluokiteltuihin tietoihin. Vastaavasti sopimus antaa kroatialaisille yrityksille mahdollisuuden saada sellaisia tilauksia tai osallistua sellaisiin hankkeisiin, joiden toteuttaminen edellyttää pääsyä Suomen turvallisuusluokiteltuun tietoon. Tulevien hankkeiden määrää ja taloudellista arvoa on etukäteen vaikea arvioida. Turvallisuusluokiteltua tietoa sisältäviä hankkeita toteutetaan erityisesti puolustusteollisuuden, turvallisuuden, ydinvoiman, informaatioteknologian ja muun korkean teknologian aloilla sekä tieteen- ja tutkimuksen aloilla. Ilman tietoturvallisuussopimusta suomalaiset yritykset voisivat jäädä Kroatiassa toteutettavien hankkeiden ulkopuolelle. Sopimuksen tarkoituksena onkin luoda tarvittavat järjestelyt ja menettelyt ennakkoon, jotta hankkeisiin osallistuminen olisi mahdollista ja näin parantaa suomalaisten yritysten kilpailukykyä.

4.3 Taloudelliset vaikutukset

Esityksellä ei ole vaikutusta valtion talousarvioon eikä muitakaan vähäistä merkittävämpiä taloudellisia vaikutuksia.

4.4 Vaikutukset hallintoon

Esitykseen sisältyvän sopimuksen ja lain hyväksymisestä ei aiheudu hallintoa koskevia muutosvelvoitteita tai -tarpeita. Sopimus lisää jonkin verran kansallisen turvallisuusviranomaisen ja määrättyjen turvallisuusviranomaisten niitä tehtäviä, jotka kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n mukaisesti kuuluvat näille viranomaisille.

5 Asian valmistelu

Hallituksen esitys on valmisteltu ulkoasiainministeriössä. Sopimuksen valmisteluun ja neuvotteluihin on osallistunut edustajia ulkoasiainministeriöstä, oikeusministeriöstä, puolustusministeriöstä ja Suojelupoliisista. Esityksestä on pyydetty lausunnot liikenne- ja viestintäministeriöltä, oikeusministeriöltä, puolustusministeriöltä, sisäministeriöltä, työ- ja elinkeinoministeriöltä, valtiovarainministeriöltä, Suojelupoliisilta ja Viestintävirastolta. Lausunnot on saatu liikenne- ja viestintäministeriöltä, puolustusministeriöltä, sisäministeriöltä, sekä Suojelupoliisilta. Sisäministeriö on lausunnossaan pyytänyt tarkentamaan hallituksen esityksen perusteluja poliisin tutkinta- ja tiedustelutiedon osalta. Lausunto on otettu huomioon sopimuksen tavoitetta koskevan 1 artiklan yksityiskohtaisissa perusteluissa. Lausunnoissa on puollettu sopimuksen hyväksymistä ja voimaansaattamista.

YKSITYISKOHTAISET PERUSTELUT

1 Sopimuksen sisältö ja suhde Suomen lainsäädäntöön

1 artikla.Tavoite. Artiklassa määritellään sopimuksen tavoitteeksi varmistaa sellaisen turvallisuusluokitellun tiedon suojaaminen, jota tuotetaan tai vaihdetaan osapuolten kesken. Sopimuksen johdannossa osapuolten välisinä yhteistyöaloina luetellaan ulko-, puolustus-, turvallisuus- ja poliisiasiat sekä tiede- elinkeino ja teknologia-asiat. Sopimusta ei sovelleta sellaisiin osapuolten välillä vaihdettaviin tietoihin, joita ei ole turvallisuusluokiteltu. Esimerkiksi poliisin tutkinta- ja tiedustelutietoihin ei Suomessa pääosin tehdä turvallisuusluokitusmerkintää.

2 artikla.Määritelmät. Artiklassa määritellään sopimuksen soveltamisen kannalta keskeiset käsitteet seuraavasti:

Artiklan 1 kohdassa on turvallisuusluokitellun tiedon määritelmä. Sopimus koskee missä tahansa muodossa olevaa tietoa, joka on suojattava tietoturvaloukkauksilta ja luokiteltu luovuttavan osapuolen kansallisten säädösten ja määräysten mukaisesti. Kohta on sopusoinnussa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 2 §:n 1 kohdan määritelmän kanssa.

Artiklan 2 kohdan mukaan tiedonsaantitarpeella tarkoitetaan tarvetta päästä turvallisuusluokiteltuun tietoon tietyssä virallisessa asemassa tai tietyn tehtävän suorittamiseksi.

Artiklan 3 kohdan mukaan tietoturvaloukkauksella tarkoitetaan missä tahansa muodossa tapahtuvaa turvallisuusluokitellun tiedon luvatonta ilmaisemista tai muuttamista, väärinkäyttöä, vahingoittamista tai hävittämistä taikka muuta sellaista tekoa tai laiminlyöntiä, jonka johdosta tieto voi menettää luottamuksellisuutensa, eheytensä tai käytettävyytensä.

Artiklan 4 kohdan mukaan turvallisuusluokalla tarkoitetaan luokkaa, joka kansallisten säädösten ja määräysten mukaisesti ilmaisee niiden rajoitusten tason, joilla osapuolet rajoittavat pääsyä turvallisuusluokiteltuun tietoon, sekä osapuolten tälle tiedolle antaman suojan vähimmäistason.

Artiklan 5 kohdan mukaisesti luovuttavalla osapuolella tarkoitetaan osapuolta, joka luovuttaa turvallisuusluokiteltua tiedon tai jonka alaisuudessa turvallisuusluokiteltu tieto tuotetaan.

Artiklan 6 kohdan mukaisesti vastaanottavalla osapuolella tarkoitetaan osapuolta, jolle luovuttavan osapuolen turvallisuusluokiteltu tieto välitetään. Määritelmä kattaa myös tämän osapuolen lainkäyttövaltaan kuuluvat julkis- tai yksityisoikeudelliset oikeushenkilöt ja luonnolliset henkilöt.

Artiklan 7 kohdan mukaan kansallisella turvallisuusviranomaisella tarkoitetaan kansallista viranomaista, joka vastaa sopimuksen täytäntöönpanosta ja sen valvonnasta.

Artiklan 8 kohdan mukaan toimivaltaisella turvallisuusviranomaisella tarkoitetaan kansallista turvallisuusviranomaista, määrättyä turvallisuusviranomaista tai kansallista tietoturvaviranomaista tai muuta sellaista kansallista viranomaista, joka panee täytäntöön sopimusta kansallisten säädösten ja määräysten mukaisesti.

Artiklan 9 kohdan mukaan hankeosapuolella tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, jolla on oikeudellinen kelpoisuus tehdä sopimuksia;

Artiklan 10 kohdan mukaan turvallisuusluokitellulla sopimuksella tarkoitetaan kahden tai useamman hankeosapuolen välistä sopimusta, johon sisältyy pääsy turvallisuusluokiteltuun tietoon tai jonka täytäntöönpano edellyttää tätä. Kohta on sopusoinnussa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 2 §:n 1 kohdan määritelmän kanssa.

Artiklan 11 kohdan mukaan henkilöturvallisuusselvityksellä tarkoitetaan toimivaltaisen turvallisuusviranomaisen kansallisten säädösten ja määräysten mukaisesti tekemää arviota, jonka mukaan luonnolliselle henkilölle voidaan sallia pääsy turvallisuusluokiteltuun tietoon.

Artiklan 12 kohdan mukaan yhteisöturvallisuusselvityksellä tarkoitetaan toimivaltaisen turvallisuusviranomaisen tekemää arviota, jolla vahvistetaan kyseisen osapuolen kansallisten säädösten ja määräysten mukaisesti, että oikeushenkilö tai luonnollinen henkilö täyttää edellytykset turvallisuusluokiteltuun tietoon pääsemiseksi ja sen käsittelemiseksi.

Artiklan 13 kohdan mukaan kolmannella osapuolella tarkoitetaan valtiota, järjestöä, oikeushenkilöä tai luonnollista henkilöä, joka ei ole sopimuksen osapuoli.

3 artikla.Turvallisuusluokat. Artiklan 1 kohdan mukaan sopimuksen mukaisesti luovutettavaan turvallisuusluokiteltuun tietoon merkitään asianmukainen turvallisuusluokka osapuolten kansallisten säädösten ja määräysten mukaisesti.

Artiklan 2 kohdassa määritellään, miten Suomen ja Kroatian turvallisuusluokituksen tasot vastaavat toisiaan. Korkein, ankarimpia tietoturvallisuustoimenpiteitä vaativa luokka on "ERITTÄIN SALAINEN/YTTERST HEMLIG" (VRLO TAJNO). Suomessa tähän luokkaan luetaan kuuluviksi tiedot, joiden luvaton ilmitulo voi aiheuttaa erittäin suurta vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Toiseksi korkein turvallisuusluokka on "SALAINEN/HEMLIG" (TAJNO). Tähän kuuluvat Suomessa tiedot, joiden luvaton ilmitulo voi aiheuttaa merkittävää vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Kolmanneksi korkein turvallisuusluokka on "LUOTTAMUKSELLINEN/KONFIDENTIELL" (POVJERLJIVO), jolla tarkoitetaan Suomessa tietoja, joiden luvaton ilmitulo voi aiheuttaa vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Neljänteen asiakirjaluokkaan "KÄYTTÖ RAJOITETTU/BEGRÄNSAD TILLGÅNG" (OGRANICENO) kuuluvat tiedot, joiden luvaton ilmitulo voi aiheuttaa haittaa yleisille eduille tai heikentää viranomaisen toimintaedellytyksiä.

Suomen kansainvälisiä suhteita suojaavat julkisuuslain 24 §:n 1 momentin 1 ja 2 kohta, maanpuolustusta momentin 10 kohta ja turvallisuutta momentin 5, 8 ja 9 kohta. Muita julkisuuslaissa tarkoitettuja yleisiä etuja voivat olla esimerkiksi valtionjohdon ja valtiovieraiden sekä tietojärjestelmien turvallisuusjärjestelyjen suojaaminen (24 § 1 mom. 7 kohta) sekä kansantalouden toimivuus (24 § 1 mom. 11 ja 12 kohta). Julkisuuslain 25 §:ssä on yleiset säännökset salassapito- ja luokitusmerkinnän tekemisestä viranomaisen asiakirjaan. Lain 25 §:n 3 momentin mukaan asiakirjaan voidaan tehdä merkintä sen osoittamiseksi, minkälaisia tietoturvallisuusvaatimuksia asiakirjaa käsiteltäessä noudatetaan. Kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa tarkoitettuihin asiakirjoihin on tehtävä turvallisuusluokituksesta merkintä siten kuin mainitussa laissa säädetään. Turvallisuusluokituksesta on tehtävä merkintä myös, jos valtioneuvoston antamalla asetuksella niin säädetään.

Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 8 §:n mukaan erityissuojattavaan tietoaineistoon on siitä riippumatta, mitä viranomaisen toiminnan julkisuudesta annetussa laissa tai sen nojalla säädetään, tehtävä kansainvälisessä tietoturvallisuusvelvoitteessa määritelty luokitusmerkintä sen osoittamiseksi, minkälaisia tietoturvallisuusvaatimuksia sen käsittelyssä on noudatettava. Turvallisuusluokitusmerkintää koskevat erityissäännökset sisältyvät tietoturvallisuusasetuksen 11 §:ään, ja merkintöjen vastaavuudesta kansainvälisten tietoturvallisuusvelvoitteiden luokkien kanssa on säädetty asetuksen 12 §:ssä. Asetuksen 11 §:n 1 momentissa säädetään, milloin salassa pidettävään asiakirjaan voidaan tehdä turvallisuusluokitusmerkintä. Asetuksen 11 §:n 3 momentin mukaan turvallisuusluokitusmerkintää ei saa käyttää muissa kuin 1 momentissa tarkoitetuissa tapauksissa, ellei merkinnän tekeminen ole tarpeen kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi tai asiakirja muutoin liity kansainväliseen yhteistyöhön. Ruotsinkielisistä turvallisuusluokitusmerkinnöistä on erityissäännös asetuksen 11 §:n 4 momentissa.

Artiklan 3 kohdan mukaan vastaanottajan tulee varmistaa, ettei turvallisuusluokkaa muuteta eikä kumota ilman luovuttavan osapuolen antamaa kirjallista lupaa.

4 artikla.Toimivaltaiset turvallisuusviranomaiset. Artiklan 1 kohdassa on nimetty kummankin osapuolen kansalliset turvallisuusviranomaiset (National Security Authority, NSA), jotka vastaavat sopimuksen yleisestä täytäntöönpanosta. Suomessa kansallisena turvallisuusviranomaisena toimii kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n perusteella ulkoasiainministeriö, jossa tehtävää hoitaa Kansallinen turvallisuusviranomainen (NSA). Kroatiassa kansalliseksi turvallisuusviranomaiseksi on nimetty Office of the National Security Council.

Artiklan 2 kohdassa velvoitetaan osapuolet ilmoittamaan toisilleen kansallisten turvallisuusviranomaisten mahdollisista muutoksista. Kansalliset turvallisuusviranomaiset ilmoittavat toisilleen mahdollisista muista toimivaltaisista turvallisuusviranomaisista (Competent Security Authorities, CSA), ja näiden myöhemmistä muutoksista. Suomessa määrättyjä turvallisuusviranomaisia (Designated Security Authority, DSA) ovat kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n mukaisesti puolustusministeriö, pääesikunta, Suojelupoliisi ja Viestintävirasto.

Artiklan 3 kohdassa velvoitetaan osapuolet ilmoittamaan toisilleen voimassa olevista kansallisista säädöksistä ja määräyksistä, joilla säännellään turvallisuusluokitellun tiedon suojaamista, sekä vaihtamaan pyynnöstä keskenään tietoja turvallisuusluokitellun tiedon suojaamisesta koskevista turvallisuusstandardeista, -menettelyistä ja –käytännöistä.

5 artikla.Suojaustoimet ja pääsy turvallisuusluokiteltuun tietoon. Artikla sisältää keskeiset vastavuoroista suojaamista koskevat velvoitteet.

Artiklan 1 kohdassa osapuolet velvoitetaan toteuttamaan kaikki asianmukaiset kansallisten säädöstensä ja määräystensä mukaiset toimenpiteet suojatakseen sopimuksen mukaisesti tuotettua tai vaihdettua turvallisuusluokiteltua tietoa ja antaakseen sille saman suojan kuin omalle vastaavaan turvallisuusluokkaan kuuluvalle tiedolleen.

Artiklan 2 kohdan mukaan luovuttavan osapuolen tulee ilmoittaa vastaanottavalle osapuolelle kirjallisesti luovutetun turvallisuusluokitellun tiedon turvallisuusluokan muutoksista, jotta vastaanottava osapuoli soveltaa sianmukaisia turvallisuustoimia.

Artiklan 3 kohta koskee henkilöstöturvallisuutta. Sen mukaan pääsy turvallisuusluokiteltuun tietoon sallitaan ainoastaan henkilöille, joilla on tiedonsaantitarve ja joista on tehty asianmukainen henkilöturvallisuusselvitys ja joille selvitetty heidän vastuunsa turvallisuusluokitellun tiedon suojaamisesta. Määräys on sopusoinnussa kansainvälisen tietoturvallisuusvelvoitteista annetun lain 6 §:n 3 momentin kanssa, jossa sallitaan tietoaineistoon pääsy vain niille henkilöille, jotka tarvitsevat tietoja tehtävänsä hoitamiseen. Kansainvälisen tietoturvallisuusvelvoitteen edellyttämä henkilöiden luotettavuuden varmistaminen toteutetaan Suomessa turvallisuusselvityksistä annetun lain sekä kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 11 §:n mukaisesti. Lakimuutosten tultua voimaan 1 päivänä tammikuuta 2015, henkilöturvallisuusselvitys tehdään siten kuin uudessa turvallisuusselvityslaissa säädetään ja henkilöturvallisuusselvitystodistus annetaan kansainvälisissä tietoturvallisuusvelvoitteista annetun lain mukaisesti (muutettu 11 §).

Artiklan 4 kohdan mukaan henkilöturvallisuusselvitystä ei edellytetä turvallisuusluokkaan KÄYTTÖ RAJOITETTU/BEGRÄNSAD TILLGÅNG/OGRANICENO kuuluvan turvallisuusluokitellun tietoon pääsemiseksi.

Artiklan 5 kohdan mukaan kumpikin osapuoli tunnustaa toisen osapuolen antamat henkilö- ja yhteisöturvallisuusselvitykset.

Artiklan 6 kohdan mukaisesti toimivaltaiset turvallisuusviranomaiset avustavat toisiaan pyynnöstä, kansallisten säädöstensä ja määräystensä mukaisesti, sopimuksen soveltamiseksi tarvittavien selvitysmenettelyjen suorittamisessa. Avustaminen saattaa edellyttää tietojen vaihtoa, jolla on merkitystä suhteessa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 17 §:ään. Sen mukaan Suomen viranomaisilla on oikeus antaa toiselle sopimuspuolelle kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi välttämättömiä asiakirjoja ja tietoja sen estämättä, mitä asiakirjojen ja tietojen salassapidosta Suomen lainsäädännössä säädetään. Tämä ei kuitenkaan koske yksityisyyden suojan vuoksi salassa pidettäviksi säädettyjä tietoja. Uuden turvallisuusselvityslain mukaan henkilöturvallisuusselvitykseen voidaan sisällyttää tiettyjä toisen valtion viranomaisen tietojärjestelmään talletettuja tietoja (25 ja 26 §).

Artiklan 7 kohdassa kansalliset turvallisuusviranomaiset velvoitetaan ilmoittamaan toisilleen viipymättä henkilö- ja yhteisöturvallisuusselvityksiin liittyvistä muutoksista.

Artiklan 8 kohdan mukaan vastaanottavan osapuolen kansallinen turvallisuusviranomainen antaa luovuttavan osapuolen turvallisuusviranomainen pyynnöstä kirjallisen vahvistuksen siitä, että henkilöllä on oikeus päästä turvallisuusluokiteltuun tietoon tai että yrityksellä on yhteisöturvallisuusselvitys.

Artiklan 9 a kohta kieltää turvallisuusluokitellun tiedon luovuttamisen kolmannelle osapuolelle ilman luovuttavan osapuolen kirjallista ennakkosuostumusta. Kohta velvoittaa osapuolet noudattamaan luovuttajan suostumuksen periaatetta.

Artiklan 9 b kohdan mukaan vastaanottavan osapuolen on merkittävä vastaanottamaansa turvallisuusluokiteltu tieto noudattaen 3 artiklan mukaista turvallisuusluokkien vastaavuutta. Velvoitetta vastaava säännös on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 8 §:n 1 momentissa.

Artiklan 9 c kohdan mukaan turvallisuusluokiteltua tietoa saa käyttää ainoastaan siihen tarkoitukseen, jota varten se on annettu. Velvoitetta vastaava säännös on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 2 momentissa.

Artiklan 10 kohdan mukaan jos muussa osapuolten välisessä sopimuksessa on ankarampia määräyksiä turvallisuusluokitellun tiedon vaihtamisesta tai suojaamisesta, sovelletaan näitä ankarampia määräyksiä.

6 artikla.Turvallisuusluokitellun tiedon välittäminen. Artikla sisältää määräykset menettelyistä siirrettäessä turvallisuusluokiteltuja tietoja osapuolten kesken.

Turvallisuusluokiteltu tieto välitetään 1 kohdan mukaan toimivaltaisen turvallisuusviranomaisten hyväksymiä kanavia käyttäen. Vastaanottava osapuoli vahvistaa turvallisuusluokkaan SALAINEN/HEMLIG/TAJNO ja sitä ylempään turvallisuusluokkaan kuuluvan tiedon vastaanottamisen.

Artiklan 2 kohdan mukaan turvallisuusluokiteltua tietoa välitetään sähköisesti ainoastaan toimivaltaisten turvallisuusviranomaisten keskenään sopimilla turvallisilla keinoilla.

Artiklan määräykset ovat sopusoinnussa tietoturvallisuusasetuksen asiakirjan välittämistä koskevan 18 §:n ja asiakirjan siirtämistä tietoverkossa koskevan 19 §:n kanssa.

7 artikla.Turvallisuusluokitellun tiedon kopiointi ja kääntäminen. Artikla sisältää määräykset siitä, miten eri turvallisuusluokkiin kuuluvia aineistoja saa kopioida ja kääntää.

Artiklan 1 kohdan mukaan turvallisuusluokkaan ERITTÄIN SALAINEN/YTTERSTHEMLIG/VRLO TAJNO kuuluvaa tietoa saa kääntää ja kopioida vain poikkeustapauksissa, luovuttavan osapuolen kirjallisella ennakkosuostumuksella.

Artiklan 2 kohdassa velvoitetaan tekemään turvallisuusluokitellun tiedon kopioihin alkuperäinen luokitusmerkintä. Tällainen kopio suojataan samalla tavalla kuin alkuperäinen tieto. Kopioita otetaan enintään viralliseen tarkoitukseen tarvittava määrä.

Artiklan 3 kohdassa velvoitetaan tekemään käännöksiin alkuperäinen luokitusmerkintä sekä lisäksi käännöskielinen merkintä siitä, että käännökset sisältävät luovuttavan osapuolen turvallisuusluokiteltua tietoa.

Velvollisuudesta pitää huolta erityissuojattavan tietoaineiston suojaamisesta sen turvallisuusluokkaa vastaavalla tavalla sitä luotaessa, kopioitaessa, siirrettäessä, jaettaessa, säilytettäessä, hävitettäessä tai muutoin käsiteltäessä on säädetty kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 9 §:n 1 momentissa. Tarkemmat käsittelyä koskevat määräykset on Suomessa säädetty asetuksentasoisina. Julkisuuslain nojalla säädetyn tietoturvallisuusasetuksen 17 §:ssä säädetään asiakirjan kopioimisesta.

8 artikla.Turvallisuusluokitellun tiedon hävittäminen. Artikla sisältää määräykset siitä, miten eri turvallisuusluokkiin kuuluvia aineistoja saa hävittää.

Artiklan 1 kohdan mukaan tieto hävitetään siten, että tiedon tuottaminen uudelleen kokonaan tai osittain saadaan estettyä

Artiklan 2 kohdan mukaan turvallisuusluokkaan ERITTÄIN SALAINEN/YTTERST HEMLIG/VRLO TAJNO kuuluvaa tietoa ei hävitetä vaan se palautetaan luovuttavalle osapuolelle.

Artiklan 3 kohdan mukaan luovuttava osapuoli voi nimenomaisesti kieltää turvallisuusluokitellun tiedon hävittämisen. Tällöin tieto palautetaan luovuttavalle osapuolelle.

Artiklan 4 kohdan mukaan kriisitilanteessa, jossa sopimuksen mukaisesti tuotetun tai vaihdetun turvallisuusluokitellun tiedon suojaaminen tai palauttaminen ei ole mahdollista, tieto hävitetään välittömästi. Vastaanottava osapuoli ilmoittaa tiedon hävittämisestä luovuttavan osapuolen kansalliselle turvallisuusviranomaiselle mahdollisimman pian.

Velvollisuudesta pitää huolta erityissuojattavan tietoaineiston suojaamisesta sen turvallisuusluokkaa vastaavalla tavalla sitä luotaessa, kopioitaessa, siirrettäessä, jaettaessa, säilytettäessä, hävitettäessä tai muutoin käsiteltäessä on säädetty kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 9 §:n 1 momentissa. Tarkemmat käsittelyä koskevat määräykset on Suomessa säädetty asetuksentasoisina. Julkisuuslain nojalla säädetyn tietoturvallisuusasetuksen 21 §:ssä säädetään asiakirjan arkistoimisesta ja hävittämisestä.

9 artikla.Turvallisuusluokitellut sopimukset. Artikla sisältää määräykset 2 artiklan 10 kohdassa tarkoitetun turvallisuusluokitellun sopimuksen tekemisestä jommankumman osapuolen alueella.

Artiklan 1 kohdan mukaan turvallisuusluokitellut sopimukset tehdään ja pannaan täytäntöön osapuolten kansallisten säädösten ja määräysten mukaisesti.

Artiklan 2 kohdan mukaan vastaanottavan osapuolen toimivaltainen turvallisuusviranomainen vahvistaa pyynnöstä, että ehdotetulla hankeosapuolella on annettu asianmukainen henkilö- tai yhteisöturvallisuusselvitys. Jos hankeosapuolella ei ole asianmukaista turvallisuusselvitystä, luovuttavan osapuolen kansallinen turvallisuusviranomainen voi pyytää, että vastaanottajan toimivaltainen turvallisuusviranomainen tekisi asianmukaisen turvallisuusselvityksen.

Artiklan 3 kohdan mukaan turvallisuusluokkaan KÄYTTÄ RAJOITETTU/BEGRÄNSAD TILLGÅNG/OGRANICENO kuuluvia turvallisuusluokiteltuja sopimuksia varten ei edellytetä yhteisöturvallisuusselvitystä.

Artiklan 4 kohta asettaa velvoitteen sisällyttää turvallisuusluokiteltuihin sopimuksiin asianmukaiset turvallisuusmääräykset, joissa luovuttava osapuoli määrittää vastaanottavalle osapuolelle luovutettavan turvallisuusluokitellun tiedon, tälle annetun turvallisuusluokan sekä hankeosapuolen velvoitteet turvallisuusluokitellun tiedon suojaamiseksi.

Artiklan 5 kohdassa on luettelo niistä velvoitteista, joita hankeosapuolella vähintään on turvallisuusluokitellun tiedon suojaamiseksi.

Turvallisuusluokiteltuja sopimuksia koskevat kansalliset säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 1 § 2 momenttiin (soveltaminen elinkeinonharjoittajaan), 2 §:n 2 kohtaan (erityissuojattava tietoaineisto), 7 §:ään (vaitiolovelvollisuus ja hyväksikäyttökielto) sekä 12 §:ään (yhteisöturvallisuusselvitys), 13 §:ään (sitoumus turvallisuustoimenpiteiden suorittamisesta) ja 14 §:ään (turvallisuustodistus). Kansainvälisten tietoturvallisuusvelvoitteista annetun lain muutosten tultua voimaan lain 12 §:ssä säädetään yritysturvallisuusselvitystodistuksesta, sen voimassaolosta ja peruuttamisesta ja lain 14 §:ssä todistusta koskevien tietojen merkitsemisestä turvallisuusselvitysrekisteriin. Lain sitoumusta koskeva 13 § kumotaan, mutta sitä vastaava säännös sisältyy uuteen turvallisuusselvityslakiin (40 §). Kansallinen sääntely vastaa sopimusvelvoitteen vaatimuksia. Velvoitteen täyttämiseksi tarpeellisesta suomalaisen viranomaisen tietojenanto-oikeudesta säädetään kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 17 §:ssä.

Artiklan 6 kohdan mukaan alihankkijoiden on noudatettava hankeosapuoliin sovellettavia turvallisuusmääräyksiä.

10 artikla.Vierailut. Artiklaa sovelletaan vierailuihin, joihin liittyy mahdollisuus saada turvallisuusluokiteltua tietoa. Artiklan 1 kohdan mukaan tällaiseen vierailuun vaaditaan isäntäosapuolen toimivaltaisen turvallisuusviranomaisen ennakolta antama lupa. Lupa myönnetään vierailevan osapuolen kansallisen turvallisuusviranomaisen esittämän vierailupyynnön perusteella.

Artiklan 2 kohdassa on luettelo tiedoista, jotka on sisällytettävä vierailulupapyyntöön.

Artiklan 3 kohta sisältää määräykset niistä menettelytavoista, joita noudatetaan järjestettäessä vierailuja. Kohdassa asetetun määräajan mukaan pyyntö tulee esittää vähintään kolme viikkoa etukäteen. Kiireellisissä tapauksissa toimivaltaiset turvallisuusviranomaiset voivat sopia lyhyemmästä ajankohdasta.

Artiklan 4 kohdan mukaan kumpikin osapuoli takaa vierailijoiden henkilötietojen suojaamisen kansallisten säädöstensä ja määräystensä mukaisesti.

11 artikla.Tietoturvaloukkaus. Artiklan 1 kohdassa kansalliset turvallisuusviranomaiset velvoitetaan ilmoittamaan viipymättä toisilleen tietoturvaloukkauksesta ja käynnistämään kansallisten säädöstensä ja määräystensä mukaisesti asianmukaisen menettelyn määrittääkseen loukkaukseen liittyvät tosiseikat. Menettelyn tuloksen toimitetaan luovuttavan osapuolen kansalliselle turvallisuusviranomaiselle.

Artiklan 2 kohdan mukaan jos tietoturvallisuusloukkaus on tapahtunut kolmannessa valtiossa, 1 kohdassa tarkoitetut toimet toteuttaa tiedot lähettänyt osapuoli.

Artiklan velvoitteisiin liittyvät säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 19 §:ään.

12 artikla.Kustannukset. Artiklan mukaan kumpikin osapuoli vastaa omista kustannuksistaan, jotka aiheutuvat sopimusta täytäntöön pantaessa ja sen täytäntöönpanoa valvoessa.

13 artikla.Riitojen ratkaiseminen. Artiklan mukaan kaikki sopimuksen tulkintaan tai soveltamiseen liittyvät osapuolten väliset riidat ratkaistaisiin yksinomaan osapuolten välisissä neuvotteluissa, eikä niitä saateta kansainvälisen tuomioistuimen tai kolmansien osapuolien ratkaistavaksi.

14 artikla.Loppumääräykset. Artiklassa on sopimuksen voimaantuloa, muuttamista ja irtisanomista koskevat määräykset sekä irtisanomisesta johtuvat velvollisuudet. Sopimus on voimassa toistaiseksi. Sopimusta voidaan muuttaa osapuolten keskinäisellä kirjallisella suostumuksella. Osapuoli voi irtisanoa sopimuksen ilmoittamalla asiasta kirjallisesti toiselle osapuolelle diplomaattiteitse kuuden kuukauden irtisanomisaikaa noudattaen.

2 Lakiehdotuksen perustelut

Suomen perustuslain 95 §:ssä edellytetään, että kansainvälisen velvoitteen lainsäädännön alaan kuuluvat määräykset saatetaan valtionsisäisesti voimaan erityisellä voimaansaattamislailla. Tällaiset määräykset tulee saattaa voimaan lailla myös silloin, kun velvoitteen johdosta ei ole tarpeen tarkistaa kansallisen lainsäädännön aineellista sisältöä. Koska Suomen ja Kroatian välisen tietoturvallisuussopimuksen velvoitteiden toteuttamiseksi ei aineellista lainsäädäntöä ole tarpeen muuttaa, esitys sisältää vain ehdotuksen blankettilaiksi.

1 §. Lakiehdotuksen 1 §:n säännöksellä saatettaisiin voimaan sopimuksen lainsäädännön alaan kuuluvat määräykset. Lainsäädännön alaan kuuluvia määräyksiä selostetaan jäljempänä eduskunnan suostumuksen tarpeellisuutta koskevassa jaksossa.

2 §. Sopimuksen muiden kuin lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta ja lain voimaantulosta säädettäisiin valtioneuvoston asetuksella. Laki on tarkoitus saattaa voimaan samanaikaisesti kuin sopimus tulee Suomen osalta voimaan.

3 Voimaantulo

Suomen ja Kroatian välisen sopimuksen 14 artiklan 1 kohdan mukaan sopimus tulee voimaan toiseksi seuraavan kuukauden ensimmäisenä päivänä sen jälkeen, kun on otettu vastaan jälkimmäinen kirjallinen ilmoitus, jolla osapuolet ilmoittavat toisilleen diplomaattiteitse, että niiden kansalliset sopimuksen voimaantulon edellyttämät oikeudelliset vaatimukset on täytetty.

Sopimuksen voimaansaattamislaki on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana samaan aikaan kuin sopimus tulee Suomen osalta voimaan.

4 Eduskunnan suostumuksen tarpeellisuus ja käsittelyjärjestys
4.1 Eduskunnan suostumuksen tarpeellisuus

Perustuslain 94 §:n 1 momentin mukaan eduskunta hyväksyy sellaiset valtiosopimukset ja muut kansainväliset velvoitteet, jotka sisältävät lainsäädännön alaan kuuluvia määräyksiä. Perustuslakivaliokunnan tulkintakäytännön mukaan määräys on luettava lainsäädännön alaan kuuluvaksi, jos se koskee jonkin perustuslaissa turvatun perusoikeuden käyttämistä tai rajoittamista, jos määräys muutoin koskee yksilön oikeuksien ja velvollisuuksien perusteita, jos määräyksen tarkoittamasta asiasta on perustuslain mukaan säädettävä lailla tai jos määräyksessä tarkoitetusta asiasta on jo voimassa lain säännöksiä taikka siitä on Suomessa vallitsevan käsityksen mukaan säädettävä lailla. Perustuslakivaliokunnan mukaan kansainvälisen velvoitteen määräys kuuluu näiden perusteiden mukaan lainsäädännön alaan siitä riippumatta, onko määräys ristiriidassa vai sopusoinnussa Suomessa lailla annetun säännöksen kanssa (kts. esimerkiksi PeVL 11/2000 vp ja PeVL 12/2000 vp).

Edellä mainituilla perusteilla esitykseen sisältyvässä sopimuksessa on lukuisia eduskunnan hyväksymistä edellyttäviä määräyksiä. Sopimuksen 2 artiklassa määritellään, mitä tarkoitetaan muun muassa turvallisuusluokitellulla tiedolla, turvallisuusluokitelluilla sopimuksilla, turvallisuusselvityksillä ja tietoturvaloukkauksella. Koska nämä määritelmät vaikuttavat joko suoraan tai välillisesti sopimuksen lainsäädännön alaan kuuluvien aineellisten määräysten tulkintaan ja soveltamiseen, ne edellyttävät eduskunnan hyväksymistä (PeVL 6/2001 vp).

Sopimuksen 3 artiklassa on määräykset turvallisuusluokitusmerkinnän tekemisestä ja turvallisuusluokkien vastaavuudesta. Yleisesti sovellettavat säännökset salassapito- ja luokitusmerkinnästä on säädetty julkisuuslain 25 §:ssä. Sen mukaan salassa pidettävään viranomaisen asiakirjaan on tehtävä merkintä asiakirjan salassa pitämisestä, kun tällainen asiakirja annetaan asianosaiselle ja kun asiakirja on pidettävä salassa toisen tai yleisen edun vuoksi. Muihin salaisiin asiakirjoihin tehtävä merkintä on harkinnanvarainen. Lisäksi kansainvälisistä tietoturvavelvoitteista annetun lain 8 §:ssä on säännökset turvallisuusluokan merkitsemisestä erityissuojattavaan tietoaineistoon. Sen mukaisesti erityissuojattavaan tietoaineistoon on julkisuuslain säännöksistä riippumatta tehtävä kansainvälisessä tietoturvallisuusvelvoitteessa määritelty merkintä sen osoittamiseksi, millaisia tietoturvallisuusvaatimuksia käsittelyssä on noudatettava. Määräys kuuluu lainsäädännön alaan.

Sopimuksen 4 artiklassa määritellään Suomen kansalliseksi turvallisuusviranomaiseksi ulkoasiainministeriö. Sopimusmääräys vastaa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n 1 momenttia. Määräys on siten toteava, eikä sen siten ole katsottava edellyttävän eduskunnan hyväksymistä.

Sopimuksen 5 artiklassa määrätään sopimuksen soveltamisalan piiriin kuuluvan turvallisuusluokitellun tiedon suojaamiseksi tarvittavista toimenpiteistä, jotka rajoittavat turvallisuusluokitellun tiedon luovuttamista sekä sen välittämistä, käyttämistä ja pääsyä siihen. Sopimuksen 5 artiklan 9 a kohdassa on kyse sopimuksen ydinmääräyksestä, jonka perusteella Suomi voi suojata sopimuksen perusteella vaihdettua turvallisuusluokiteltua tietoa ilman julkisuuslaissa säädettyä vahinkoedellytysarviointia. Suomessa viranomaisten asiakirjojen julkisuus on pääsääntö. Jokaisella on perustuslain 12 §:n 2 momentin mukaan oikeus saada tieto viranomaisen julkisesta asiakirjasta. Tätä oikeutta voidaan rajoittaa välttämättömistä syistä vain lailla. Julkisuuslain säännöksistä poiketen kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 1 momentin mukaan erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisistä tietoturvallisuusvelvoitteesta muuta johdu. Sopimuksen 5 artiklan 3 kohdassa on ilmaistu myös turvallisuusluokiteltua tietoa saavia henkilöitä koskeva rajoitus. Artiklan 3 kohdassa määrätään myös osapuolten velvollisuudesta teettää asianmukainen turvallisuusselvitys henkilöistä, joilla on tai saattaa olla pääsy sopimuksessa tarkoitettuun turvallisuusluokiteltuun tietoon. Turvallisuusselvitysten laadinnassa on otettava huomioon perustuslain 10 §:n 1 momentissa säädetty yksityiselämän suoja ja velvollisuus säätää henkilötietojen suojasta lailla. Suomessa turvallisuusselvityksen kohteena olevista henkilöistä sekä selvityksessä sovellettavasta menettelystä on säädetty turvallisuusselvityksistä annetussa laissa (1 päivänä tammikuuta 2015 alkaen turvallisuusselvityslaissa). Määräys kuuluu siten lainsäädännön alaan ja edellyttää eduskunnan suostumusta voimaantullakseen. Sopimuksen 5 artiklan 9 c kohdan mukaan turvallisuusluokiteltua tietoa saa käyttää ainoastaan siihen tarkoitukseen, jota varten se on annettu. Velvoitetta vastaava säännös on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 2 momentissa. Kohdan määräys kuuluu näin ollen lainsäädännön alaan.

Sopimuksen 9 artiklassa on määräykset turvallisuusluokitelluista sopimuksista ja niitä tekevien yritysten turvallisuusselvityksistä. Yhteisöturvallisuusselvitystä koskevat säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 12 ja 13 §:ään. Vastaavat säännökset sisältyvät 1 päivänä tammikuuta 2015 voimaan tulevaan turvallisuusselvityslakiin. Samalla kansainvälistä tietoturvallisuusvelvoitteista annetun lain 11 ja 12 § muutetaan siten, että lain 11 § koskee henkilöturvallisuusselvitystodistusta, sen voimassaoloa ja peruuttamista ja 12 § yritysturvallisuusselvitystodistusta, sen voimassaoloa ja peruuttamista. Turvallisuusluokiteltuja sopimuksia ja yhteisöturvallisuustodistusta koskevat määräykset kuuluvat näin ollen lainsäädännön alaan.

Sopimuksen 11 artiklassa edellytetään, että kansalliset turvallisuusviranomaiset ilmoittavat viipymättä toisilleen tietoturvaloukkauksesta ja käynnistävät kansallisten säädöstensä ja määräystensä mukaisesti asianmukaisen menettelyn määrittääkseen loukkaukseen liittyvät tosiseikat. Menettelyn tuloksen toimitetaan luovuttavan osapuolen kansalliselle turvallisuusviranomaiselle. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 19 §:ssä säädetään kansalliselle turvallisuusviranomaiselle kuuluvista velvoitteista sopimusmääräyksissä tarkoitetuissa tilanteissa. Artiklan määräykset kuuluvat näin ollen lainsäädännön alaan.

4.2 Käsittelyjärjestys

Turvallisuusluokitellun tietoaineiston salassapidosta on annettu yleiset säännökset laissa kansainvälisistä tietoturvallisuusvelvoitteista. Sen 6 §:n 1 momentin mukaan erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu. Lain 6 §:n 2 momentin mukaan erityissuojattavaa tietoaineistoa saa käyttää ja luovuttaa vain siihen tarkoitukseen, jota varten se on annettu, jollei se, joka on määritellyt aineiston turvallisuusluokan, ole antanut muuhun suostumustaan. Edelleen lain 6 §:n 3 momentin mukaan erityissuojattavaa tietoaineistoa käsittelevän viranomaisen on pidettävä huolta siitä, että tietoaineistoon on pääsy vain niillä, jotka tarvitsevat tietoja tehtävänsä hoitamisessa. Nämä henkilöt on nimettävä etukäteen kansainvälisessä tietoturvallisuusvelvoitteessa edellytetyissä tapauksissa. Sama koskee myös 1 §:n 2 momentissa tarkoitettua elinkeinonharjoittajaa. Erityissuojattavalla tietoaineistolla tarkoitetaan laissa sellaisia salassa pidettäviä asiakirjoja ja materiaaleja sekä asiakirjoista ja materiaaleista saatavissa olevia tietoja sekä näiden perusteella tuotettuja asiakirjoja ja materiaaleja, jotka kansainvälisen tietoturvallisuusvelvoitteen mukaisesti on turvallisuusluokiteltu. Käsillä olevan sopimuksen 5 artiklan määräykset eivät laajenna salassapitovelvollisuutta siitä, mitä salassapidosta on säädetty sanotun lain 6 §:ssä. Määräykset eivät siten vaikuta sopimuksen käsittelyjärjestykseen.

Suomen ja Kroatian välillä turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta tehtyyn sopimukseen ei voida katsoa sisältyvän sellaisia määräyksiä, jotka koskisivat perustuslakia sen 94 §:n 2 momentissa ja 95 §:n 2 momentissa tarkoitetulla tavalla. Hallituksen näkemyksen mukaan sopimus voitaisiin näin ollen hyväksyä äänten enemmistöllä ja ehdotus sen lainsäädännön alaan kuuluvien sopimusmääräysten voimaansaattamiseksi tavallisen lain säätämisjärjestyksessä.

Edellä olevan perusteella ja perustuslain 94 §:n mukaisesti esitetään, että

eduskunta hyväksyisi turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen tasavallan hallituksen ja Kroatian tasavallan hallituksen välillä Zagrebissa 11 päivänä helmikuuta 2014 tehdyn sopimuksen.

Koska sopimus sisältää määräyksiä, jotka kuuluvat lainsäädännön alaan, annetaan samalla eduskunnan hyväksyttäväksi seuraava lakiehdotus:

Lakiehdotus

Laki turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Kroatian kanssa tehdyn sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta

Eduskunnan päätöksen mukaisesti säädetään:

1 §

Turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen tasavallan hallituksen ja Kroatian tasavallan hallituksen välillä Zagrebissa 11 päivänä helmikuuta 2014 tehdyn sopimuksen lainsäädännön alaan kuuluvat määräykset ovat lakina voimassa sellaisina kuin Suomi on niihin sitoutunut.

2 §

Sopimuksen muiden määräysten voimaansaattamisesta ja tämän lain voimaantulosta säädetään valtioneuvoston asetuksella.


Helsingissä 4 päivänä joulukuuta 2014

Pääministeri
ALEXANDER STUBB

Ulkoasiainneuvos
Maarit Jalava

Finlex ® on oikeusministeriön omistama oikeudellisen aineiston julkinen ja maksuton Internet-palvelu.
Finlexin sisällön tuottaa ja sitä ylläpitää Edita Publishing Oy. Oikeusministeriö tai Edita eivät vastaa tietokantojen sisällössä mahdollisesti esiintyvistä virheistä, niiden käytöstä käyttäjälle aiheutuvista välittömistä tai välillisistä vahingoista tai Internet-tietoverkossa esiintyvistä käyttökatkoista tai muista häiriöistä.