Hallituksen esitys eduskunnalle turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen ja Belgian välillä tehdyn sopimuksen hyväksymisestä sekä laiksi sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta
- Hallinnonala
- Ulkoministeriö
- Antopäivä
- Esityksen teksti
- Suomi
- Käsittelyn tila
- Käsitelty
- Käsittelytiedot
- Eduskunta.fi 186/2016
Esityksen pääasiallinen sisältö
Esityksessä ehdotetaan, että eduskunta hyväksyisi Suomen ja Belgian välisen sopimuksen turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta sekä lain sopimuksen lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta.
Sopimuksen tarkoituksena on varmistaa sellaisen turvallisuusluokitellun tiedon suojaaminen, jota vaihdetaan tai tuotetaan osapuolten välisessä yhteistyössä erityisesti ulko-, puolustus-, turvallisuus-, poliisi- tai tiede-, elinkeino- ja teknologia-asioiden alalla. Kysymys on arkaluonteisista tietoaineistoista, jotka lähettävässä sopimusvaltiossa on erikseen luokiteltu korkean tietoturvallisuuden tason toteuttamista edellyttäviksi. Sopimus ei velvoita turvallisuusluokitellun tiedon vaihtamiseen.
Osapuolet ilmoittavat toisilleen kun sopimuksen voimaantulon edellyttämät kansalliset toimet on toteutettu. Sopimus tulee voimaan toiseksi seuraavan kuukauden ensimmäisenä päivänä sen jälkeen, kun jälkimmäinen ilmoitus on otettu vastaan. Sopimuksen voimaansaattamislaki on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana samaan aikaan kuin sopimus tulee Suomen osalta voimaan.
Yleisperustelut
1Johdanto
Tietoturvallisuudella tarkoitetaan kaikkia sellaisia menettelyjä, joiden avulla turvataan informaation sisällön suojaaminen ulkopuolisilta (tiedon luottamuksellisuus), tiedon muuttumattomuus (tiedon eheys) sekä tiedon käytettävyys (tiedon saatavuus tarvittaessa). Tietoturvallisuuden varmistamiseksi käytetään erilaisia keinoja, joita ovat henkilöstön luotettavuuden ja toimitilojen turvallisuuden varmistaminen, salassapitosäännökset ja tietojen käytön rajoittaminen vain sovittuun tarkoitukseen sekä erilaiset tietojen käsittelyyn ja siirtoon liittyvät menettelytapavaatimukset. Tietoturvallisuusvaatimukset kattavat informaation koko elinkaaren sisältäen tietojen hankkimisen, muokkaamisen, käytön, luovutuksen, arkistoinnin ja hävittämisen.
Kansainväliseen yhteistyöhön liittyviin asiakirjoihin sisältyy toisinaan sellaisia salassa pidettäviä tietoja, joiden luvaton paljastuminen voi aiheuttaa merkittävää ja laajalle ulottuvaa vahinkoa keskeisille yleisille eduille. Tällaisten aineistojen asianmukaisesta käsittelystä on sen vuoksi pidettävä erityistä huolta. Kysymys on Suomen luotettavuudesta kansainvälisen yhteistyön osapuolena, sekä Suomen luovuttamien aineistojen suojaamisesta. Kansainvälinen tietoturvallisuusyhteistyö, johon Suomikin osallistuu, käsittää perinteisesti diplomaattiseen toimintaan samoin kuin puolustushallintojen väliseen yhteistyöhön liittyvän ei-julkisen tiedonvaihdon suojaamisen. Valtioiden välillä vaihdettavien tietojen lisäksi kansainvälisillä tietoturvallisuusvelvoitteilla on kasvava merkitys myös taloudellisessa, teollisessa sekä teknologisessa yhteistyössä, joissa puitteissa kaupalliset hankkeet edellyttävät turvallisuusluokitellun tiedon hyödyntämistä. Näin etenkin silloin, kun kyse on sellaisesta viranomaisen hankinnasta, jossa valtion suojattuja tietoja on annettava yritykselle kaupallisen sopimuksen toteuttamista varten. Tällaisia ovat perinteisesti olleet erityisesti puolustusalan hankinnat, mutta nykyään yhä enenevässä määrin myös muilla sektoreilla tapahtuvat hankinnat, kuten esimerkiksi informaatioteknologian ja ydinvoima-alan hankinnat. Tietoturvallisuussopimus luo yrityksille sopimuskehikon hankinnan toteuttamiselle, jotta suomalaiset yritykset voisivat osallistua tällaisten alojen hankintoihin.
Suomi on tehnyt kahdenvälisen tietoturvallisuussopimuksen seuraavien sopimuskumppaneiden kanssa:
- Euroopan Avaruusjärjestö (ESA) (SopS 94 ja 95/2004)
- Saksa (SopS 96 ja 97/2004)
- Ranska (SopS 66 ja 67/2005)
- Slovakia (SopS 116 ja 117/2007)
- Viro (SopS 12 ja 13/2008)
- Italia (SopS 23 ja 24/ 2008)
- Latvia (SopS 33 ja 34/2008)
- Puola (SopS 46 ja 47/2008)
- Eurooppalainen puolustusmateriaaliyhteistyöjärjestö (OCCAR) (SopS 109 ja 110/2008)
- Bulgaria (SopS 116 ja 117/2008)
- Slovenia (SopS 22 ja 23/2009)
- Tšekki (SopS 53 ja 54/2009)
- Espanja (SopS 38 ja 39/2010)
- Pohjois-Atlantin liitto (Nato) (SopS 7 ja 8/2013)
- Amerikan yhdysvallat (SopS 41 ja 42/2013)
- Iso-Britannia (SopS 49 ja 50/2013)
- Luxemburg (SopS 59 ja 60/2013)
- Sveitsi (SopS 88 ja 89/2014)
- Kroatia (SopS 38 ja 39/2015)
- Israel, jonka kanssa on tehty soveltamislaltaan suppeampi sopimus puolustus- tai turvallisuushallintojen kesken välitetystä turvallisuusluokitellusta tiedosta (SopS 34 ja 35/2012).
Tietoturvallisuusalan monenkeskistä yleissopimusta ei ole olemassa. Edellä sanotusta poikkeuksena on Tanskan, Suomen, Islannin, Norjan ja Ruotsin välillä turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta ja vaihtamisesta tehty yleinen turvallisuussopimus (SopS 11 ja 12/2013). EU:n jäsenvaltioiden välillä tehty sopimus turvallisuusluokitellun tiedon suojaamisesta (SopS 76 ja 77/2015) tuli voimaan 1 päivänä joulukuuta 2015. EU:n jäsenvaltioiden välillä tehdyn sopimuksen yhtenä tavoitteena on luoda järjestelmä EU:n edun vuoksi vaihdettavan kansallisen turvallisuusluokitellun tiedon suojaamiseksi silloin, kun jäsenvaltiot eivät ole tehneet kahdenvälistä tietoturvallisuussopimusta. Sopimuksen määräykset eivät kuitenkaan ole yhtä kattavia kuin yleisen kahdenvälisen tietoturvallisuussopimuksen vastaavat. Näin ollen se ei poista tarvetta tehdä kahdenvälisiä tietoturvallisuussopimuksia EU:n jäsenvaltioiden välillä.
Tietoturvallisuussopimuksella luodaan edellytykset turvallisuusluokitellun tiedon vaihtamiseen osapuolten välillä. Sopimuksella varmistutaan siitä, että Suomen luovuttama turvallisuusluokiteltu tieto pidetään vastaanottajamaassa salassa ja sitä suojataan ja käsitellään asianmukaisesti. Tietoturvallisuussopimuksen avulla myös toinen osapuoli voi varmistua siitä, että Suomi suojaa ja käsittelee sen luovuttamaa turvallisuusluokiteltua tietoa asianmukaisesti.
2Nykytila
2.1Laki kansainvälisistä tietoturvallisuusvelvoitteista
Lain yleinen soveltamisala
Lakia kansainvälisistä tietoturvallisuusvelvoitteista (588/2004) sovelletaan erityissuojattaviin tietoaineistoihin. Näillä tarkoitetaan sellaisia salassa pidettäviä asiakirjoja ja materiaaleja sekä asiakirjoista ja materiaaleista saatavissa olevia tietoja, sekä näiden perusteella tuotettuja asiakirjoja ja materiaaleja, jotka kansainvälisen tietoturvallisuusvelvoitteen mukaisesti on turvallisuusluokiteltu. Määräysvalta luovutettuun tietoon säilyy luovutuksen jälkeenkin aineiston luovuttaneella valtiolla. Lakia voidaan soveltaa vain, jos kansainvälinen sopimus on saatettu Suomessa voimaan perustuslaissa säädetyllä tavalla tai jos kysymys on Suomea muutoin sitovasta kansainvälisestä velvoitteesta.
Lain soveltamisalan piiriin kuuluvia erityissuojattavia tietoaineistoja ovat lisäksi Suomen viranomaisen tai lain soveltamisalan piiriin kuuluvan elinkeinonharjoittajan laatimat asiakirjat, joista ilmenee Suomeen toimitettuihin erityissuojattaviin tietoaineistoihin sisältyviä tai tällaisista saatavissa olevia tietoja. Lakia ei sovelleta pelkästään Suomen kansallista tietoa sisältävien asiakirjojen tai niiden osien salassapitoon tai luokitukseen.
Laissa on säännökset henkilöturvallisuusselvitystodistuksen (Personnel Security Clearance, PSC) ja yritysturvallisuusselvitystodistuksen (Facility Security Clearance, FSC) myöntämisestä. Henkilö- tai yritysturvallisuusselvityksen laatineen viranomaisen on salassapitosäännösten estämättä toimitettava todistuksen antamista ja siihen liittyvää harkintaa varten kansalliselle turvallisuusviranomaiselle tieto kaikista selvityksen laadinnassa ilmi tulleista selvityksen kohdetta koskevista seikoista (11 §:n 1 mom. ja 12 §:n 1 mom.).
Todistuksen antamista koskevaan arvioon sekä todistuksen voimassaoloon ja peruuttamiseen sovelletaan turvallisuusselvityslakia (kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 11 §:n 2 mom. ja 12 §:n 2 mom.). Jos kansallinen turvallisuusviranomainen kieltäytyy antamasta henkilö- tai yritysturvallisuusselvitystodistusta, sen tulee ilmoittaa syyt tähän selvityksen hakijalle ja sen kohteelle annettavassa kirjallisessa päätöksessä (kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 11 §:n 3 mom. ja 12 §:n 3 mom.). Muutoksenhausta säädetään lain 20 a §:ssä.
Lain suhde julkisuuslainsäädäntöön
Kansainvälisistä tietoturvallisuusvelvoitteista annettuun lakiin sisältyy kansallisten asiakirjojen tietoturvallisuudesta annetuista säännöksistä poikkeavia säännöksiä. Laissa on kuitenkin yleinen viittaussäännös julkisuuslakiin (3 §:n 1 mom.). Niiltä osin kuin suomalaisten viranomaisten asiakirjoihin sisältyy muita kuin kansainvälisten tietoturvallisuusvelvoitteiden piiriin kuuluvia tietoja kansainvälisestä yhteistyöstä, on sovellettava julkisuuslain (621/1999) ja sen nojalla annettuja säännöksiä. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 3 §:n 2 momentin mukaan julkisuuslakiin tai muuhun lakiin perustuvan pyynnön saada tieto erityissuojattavasta tietoaineistosta käsittelee ja ratkaisee se viranomainen, jolle tietoaineisto on toimitettu taikka jonka käsiteltäväksi asia kokonaisuudessaan kuuluu.
Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain säännöksiä sovelletaan niin kauan kuin se turvallisuusluokituksen perusteena olevan yleisen edun vuoksi on tarpeen silloinkin, kun sopimus tai säädös, johon säännösten soveltaminen perustuu, ei enää ole voimassa (15 §). Salassapitovelvollisuuden lakkaamisesta on voimassa mitä julkisuuslaissa säädetään. Julkisuuslain 31 §:n 2 momentin mukaan viranomaisen asiakirjan salassapitoaika on 25 vuotta, jollei toisin ole säädetty. Julkisuuslain 31 §:n 3 momentin mukaan asiakirjan salassapito voi jatkua 25 vuoden jälkeenkin, mikäli asiakirja sisältää kansainvälisistä tietoturvallisuusvelvoitteista annetun lain mukaan turvallisuusluokiteltua tietoa, ja mikäli tiedon antaminen asiakirjasta aiheuttaisi julkisuuslain 24 §:n 1 momentin 2, 7, 8 tai 10 kohdassa tarkoitetun haittaseurauksen. Tällaiset asiakirjat tulevat julkisuuslain 31 §:n 3 momentin mukaan julkisiksi kun turvallisuusluokitus on kumottu.
Lain soveltaminen elinkeinonharjoittajiin
Kansainvälisistä tietoturvallisuusvelvoitteista annettua lakia sovelletaan viranomaisten lisäksi myös elinkeinonharjoittajaan ja tämän palveluksessa olevaan silloin, kun elinkeinonharjoittaja on osapuolena turvallisuusluokitellussa sopimuksessa tai osallistuu tällaista sopimusta edeltävään hankintakilpailuun tai toimii tällaisen elinkeinonharjoittajan alihankkijana (1 §:n 2 mom.).
Turvallisuusluokitellulla sopimuksella tarkoitetaan sopimusta, jonka toisen valtion viranomainen tai siinä kotipaikkaansa pitävä yritys taikka kansainvälinen järjestö tai toimielin aikoo tehdä tai on tehnyt kansainvälisessä tietoturvallisuusvelvoitteessa tarkoitetulla tavalla Suomessa kotipaikkaansa pitävän elinkeinonharjoittajan kanssa, jos tarjouskilpailuun osallistuminen tai sopimuksen toteuttaminen voi edellyttää pääsyä erityissuojattavaan tietoaineistoon (2 §:n 3 kohta).
Elinkeinonharjoittajalla ja tämän palveluksessa tai toimeksiannosta toimivalla on erityissuojattavia tietoaineistoja koskeva salassapitovelvollisuus, velvollisuus käyttää tällaista tietoaineistoa vain siihen tarkoitukseen, johon se on annettu sekä velvollisuus pitää huolta siitä, että tietoaineistoon on pääsy vain niillä, jotka tarvitsevat tietoa tehtävän hoitamisessa (6 §). Elinkeinonharjoittajalla on myös velvollisuus kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi antaa toimivaltaiselle turvallisuusviranomaiselle tietoja sekä sallia viranomaisen ja kansainvälisen toimielimen tai sopimusvaltion edustajan tutustuminen turvallisuusjärjestelyihinsä ja toimitiloihinsa (16 §:n 2 mom. ja 18 §:n 2 mom.).
Lain täytäntöönpanoviranomaiset
Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:ssä on säännökset niistä viranomaisista, jotka huolehtivat kansainvälisten tietoturvallisuusvelvoitteiden hoitamisesta. Kansallisena turvallisuusviranomaisena (National Security Authority, NSA) kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseen liittyvissä tehtävissä toimii ulkoasiainministeriö. Puolustusministeriö, pääesikunta, Suojelupoliisi ja Viestintävirasto toimivat kansainvälisissä tietoturvallisuusvelvoitteissa tarkoitettuina määrättyinä turvallisuusviranomaisina (Designated Security Authority, DSA) .
Tietojen salassapito ja käytön sääntely
Erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu (kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 1 mom.). Salassapitovelvollisuus koskee myös elinkeinonharjoittajaa tämän ollessa osapuolena turvallisuusluokitellussa sopimuksessa. Suomen tekemissä kahdenvälisissä sopimuksissa, jotka koskevat eri maiden viranomaisten välistä salassa pidettävien tietojen vaihtoa ja suojaamista, on säännönmukaisesti määräys, joka rajoittaa luovutettujen tietojen käyttöä. Kyseisen määräyksen mukaisesti erityissuojattavaa tietoaineistoa saa käyttää ja luovuttaa vain siihen tarkoitukseen, jota varten se on annettu, jollei se, joka on määritellyt aineiston turvallisuusluokan, ole antanut muuhun suostumustaan. Erityissuojattavien tietoaineistojen käyttöä koskee siten vahva käyttötarkoitussidonnaisuus.
Turvallisuusluokittelu ja – toimenpiteet
Kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa säädetään velvollisuudesta merkitä erityissuojattavaan tietoaineistoon sen turvallisuusluokka. Erityissuojattavaan tietoaineistoon tehty merkintä turvallisuusluokasta osoittaa, minkälaisia tietoturvallisuusvaatimuksia sen käsittelyssä on noudatettava (8 §). Mitä korkeampaan turvallisuusluokkaan aineisto kuuluu, sitä tiukempia tietoturvallisuustoimenpiteitä edellytetään. Laissa on yleinen velvoite toteuttaa tietoaineiston käsittelyssä sen turvallisuusluokkaa koskevia käsittelymääräyksiä sekä valtuus säätää erityissuojattavan tietoaineiston käsittelyssä noudatettavista eri turvallisuusluokkia vastaavista turvallisuustoimenpiteistä valtioneuvoston asetuksella (9 §). Tietoturvallisuudesta valtionhallinnossa annetun valtioneuvoston asetuksen (681/2010) , jäljempänä tietoturvallisuusasetus, 11 §:ssä on säädetty turvallisuusluokitusmerkintää koskevista erityissäännöksistä ja 12 §:ssä turvallisuusluokituksen vastaavuudesta kansainvälisiä tietoturvallisuusvelvoitteita toteutettaessa.
Erityissuojattava tietoaineisto on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 10 §:n mukaan säilytettävä tiloissa, joissa asiakirjojen ja materiaalien sekä niihin sisältyvien tietojen suojaamisesta voidaan huolehtia kansainvälisessä tietoturvallisuusvelvoitteessa edellytetyllä tavalla. Tilojen turvallisuusvaatimuksista on säädetty tietoturvallisuusasetuksen 14 §:ssä.
Lakiin kansainvälisistä tietoturvallisuusvelvoitteista on kirjattu kansainvälisissä sopimuksissa oleva yleinen vaatimus siitä, että tietoihin annetaan pääsy vain niille, jotka tarvitsevat tietoja tehtäviensä hoitamisessa. Nämä henkilöt on nimettävä etukäteen, jos kansainvälisessä tietoturvallisuusvelvoitteessa tätä edellytetään (lain 6 §:n 3 mom.). Sama koskee myös 1 §:n 2 momentissa tarkoitettua elinkeinonharjoittajaa.
2.2Turvallisuusselvityslaki
Lain tarkoitus ja soveltamisala
Turvallisuusselvityslain (726/2014) tarkoituksena on parantaa mahdollisuuksia ennakolta ehkäistä toimintaa, joka voi vahingoittaa valtion turvallisuutta, maanpuolustusta, Suomen kansainvälisiä suhteita, yleistä turvallisuutta tai muuta niihin verrattavaa yleistä etua taikka erittäin merkittävää yksityistä taloudellista etua taikka edellä tarkoitettujen etujen suojaamiseksi toteutettavia turvallisuusjärjestelyjä (1 §).
Laissa säädetään henkilö- ja yritysturvallisuusselvityksen laadinnassa noudatettavasta menettelystä. Laki sisältää säännökset turvallisuusselvityksen laatimisen edellytyksistä sekä sitä laadittaessa käytettävistä tiedoista, selvityksen kohteen suostumuksesta ja tiedonsaantioikeuksista, selvityksen hakijan ja selvityksen kohteen tiedonantovelvollisuuksista sekä turvallisuusselvityksen ja sen perusteella annettun todistuksen voimassaolosta ja todistuksen peruuttamisesta, sekä henkilörekisterien yhdistämisestä selvityksen kohteen nuhteettomuuden ja luotettavuuden seuraamiseksi ja sen johdosta suoritettavista toimenpiteistä (2 §).
Yksityisyyden suojan perusoikeusluonteen vuoksi turvallisuusselvitysmenettely on tarkan muotosidonnaista. Turvallisuusselvitys voidaan tehdä vain selvityksen kohteen etukäteen antaman kirjallisen suostumuksen perusteella (5 §).
Henkilöstöturvallisuus
Henkilöturvallisuusselvityksellä tarkoitetaan turvallisuusselvityslain 3 §:n 1 momentin 1 kohdan mukaisesti henkilön nuhteettomuuden tai luotettavuuden varmistamiseksi turvallisuusselvityslaissa säädetyllä tavalla laadittavaa selvitystä henkilön taustasta. Lain 23 §:n mukaan henkilöturvallisuusselvitys tehdään tarkistamalla henkilöä koskevat rekisteritiedot lain 4 luvussa säädetyllä tavalla sekä tarvittaessa selvityksen kohdetta haastattelemalla hänen yleisistä olosuhteistaan, ulkomailla oleskelustaan ja hänen suhteistaan muiden maiden kansalaisiin sekä muista sellaisista seikoista, joilla on erityistä merkitystä arvioitaessa hänen luotettavuuttaan selvityksen perustana olevan tehtävän kannalta.
Lain 14 §:n mukaan henkilöturvallisuusselvitys voidaan laatia suppeana, perusmuotoisena tai laajana. Turvallisuusselvitys tehdään laissa määritellyissä tapauksissa, kuten silloin, kun Suomea sitova valtiosopimus tai muu kansainvälinen velvoite edellyttää turvallisuusselvityksen tekemistä tai sen perusteella laaditun todistuksen esittämistä.
Jokaisella on oikeus saada tieto siitä, onko hänestä tehty turvallisuusselvitys tiettyä tehtävää varten. Selvityksen kohteella on myös oikeus pyynnöstä saada toimivaltaiselta viranomaiselta turvallisuusselvityksen tiedot. Tiedonsaantioikeus ei kuitenkaan koske sellaisesta rekisteristä peräisin olevaa tietoa, johon rekisteröidyllä ei ole tarkastusoikeutta (6 §).
Turvallisuusselvitysmenettelyssä käytetyt rekisterit on laissa lueteltu tyhjentävästi. Turvallisuusselvityksessä voidaan käyttää myös tiettyjä ulkomaan viranomaisen rekistereihin talletettuja tietoja (25 §).
Turvallisuusselvityslain 43 §:n 2 momentin mukaan kansallinen turvallisuusviranomainen antaa kansainvälisen tietoturvallisuusvelvoitteiden toteuttamiseksi tarpeellisen henkilöturvallisuusselvitystodistuksen siten kuin kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa säädetään.
Yritysturvallisuus
Turvallisuusselvityslain 33 §:ssä määritellään yritysturvallisuusselvityksen hakemiseen oikeutetut ja 36 §:ssä yritysturvallisuusselvityksen laatimisen edellytykset. Lain 37 §:ssä on lueteltu yritysturvallisuusselvityksissä käytettävät tietolähteet ja lain 38 § koskee yritysturvallisuusselvitysasian käsittelyä. Yritysturvallisuusselvitystä laadittaessa selvitetään hakemuksessa esitettyjen tietojen ja 37 §:ssä tarkoitettujen tietolähteiden sekä yrityksen toimitilojen ja tietojärjestelmien tarkastuksen avulla, miten yritys huolehtii tietojen suojaamisesta, asiattoman pääsyn estämisestä tiloihin ja henkilöstön koulutuksesta (38 §:n 1 mom.). Yritysturvallisuusselvitys voidaan tehdä myös osittaisena, jos se on tarpeen kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi tai muutoin perusteltua (38 §:n 3 mom). Kansainvälisesti käytössä on kolme yritysturvallisuusselvityksen muotoa: 1) nk. rajattu yritysturvallisuusselvitys, ”FSC without safeguards”, joka ei sisällä yrityksen toimitilojen tai tietojärjestelmien tarkastuksia, 2) yritysturvallisuusselvitys ”FSC with safeguards”, joka sisältää toimitilojen tarkastukset ja 3) yritysturvallisuusselvitys ”FSC with safeguards including Communications and Information Systems”, joka sisältää toimitilojen ja tietojärjestelmien tarkastukset.
Selvityksen laatii turvallisuusselvityslain 9 §:n mukaan Suojelupoliisi. Pääesikunta huolehtii yritysturvallisuusselvityksen laatimisesta kuitenkin silloin, kun kysymys on yrityksestä, joka hoitaa tai jonka on tarkoitus hoitaa puolustusvoimien antamaa tehtävää, taikka yrityksestä, joka liittyy puolustusvoimien hankintoihin. Viestintäviraston tehtävänä on huolehtia yrityksen tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista.
Toimivaltainen viranomainen voi yritysturvallisuusselvitystä ja sen perusteella annettavaa todistusta laatiessaan turvallisuusselvityslain 40 §:n mukaan edellyttää yritykseltä sitoumusta, jonka mukaan elinkeinonharjoittaja sitoutuu huolehtimaan tietoturvallisuustason säilyttämisestä sekä ilmoittamaan muutoksista, joilla on siihen vaikutuksia sekä antamaan tietoturvallisuustason säilyttämisen valvomiseksi viranomaiselle luvan päästä yrityksen tiloihin sekä antamaan seurannassa tarvittavia tietoja.
Lain 46 §:n 2 momentin mukaan kansallinen turvallisuusviranomainen antaa kansainvälisen tietoturvallisuusvelvoitteiden toteuttamiseksi tarpeellisen yritysturvallisuusselvitystodistuksen siten kuin kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa säädetään.
3Esityksen tavoitteet ja keskeiset ehdotukset
Esityksen tavoitteena on hankkia eduskunnan hyväksyntä sopimukselle. Sopimuksen tavoitteena on varmistua siitä, että Suomen Belgiaan luovuttamaa turvallisuusluokiteltua tietoa suojataan ja käsitellään asianmukaisesti. Sopimuksen tavoitteena on myös edistää Suomen mahdollisuuksia vastaanottaa Belgian turvallisuusluokiteltua tietoa ja parantaa maiden välistä yhteistyötä tietoturvallisuuden alalla. Lisäksi sopimuksen tarkoituksena on turvata suomalaisten yritysten mahdollisuudet osallistua sellaisiin kansainvälisiin sekä Suomen ja Belgian välisiin hankkeisiin, joiden toteuttaminen saattaa edellyttää turvallisuusluokiteltujen tietojen vaihtoa. Esitys sisältää myös ehdotuksen niin sanotuksi blankettilaiksi, jolla saatetaan voimaan sopimuksen lainsäädännön alaan kuuluvat määräykset.
4Esityksen vaikutukset
4.1Vaikutukset kansalaisiin
Sopimuksen voimaansaattamisen myötä Belgiasta Suomeen toimitettuihin turvallisuusluokiteltuihin tietoihin ja materiaaleihin (erityissuojattava tietoaineisto) sovellettaisiin lakia kansainvälisistä tietoturvallisuusvelvoitteista. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain mukainen erityissuojattavan tietoaineiston suojaaminen perustuu sopimuksen määräyksiin.
Suomen ja Belgian välisen sopimuksen mukaisia erityissuojattavia tietoaineistoja ovat aineistot, joita Belgia pitää salassa pidettävinä ja jotka se on määritellyt ja merkinnyt korkean tietoturvallisuuden tasoa edellyttäviksi. Sopimuksen 5 artiklassa määrätään turvallisuusluokitellun tiedon suojaamisesta ja salassapidosta. Sopimuksen 5 artiklan 2 kohdan mukaan sopimuksen osapuolet eivät salli kolmansille osapuolille pääsyä turvallisuusluokiteltuun tietoon ilman luovuttavan osapuolen kirjallista ennakkosuostumusta. Tämä merkitsee poikkeusta julkisuuslain yleistä etua koskevista salassapitosäännöksistä, joissa salassapito on useimmissa tapauksissa riippuvainen siitä, minkälaisia vaikutuksia tietojen antamisella olisi suojattavalle edulle. Ilman tietoturvallisuussopimustakin Belgian Suomeen luovuttamat turvallisuusluokitellut asiakirjat pidettäisiin säännönmukaisesti salassa kansainvälisiä suhteita koskevina julkisuuslain 24 §:n 1 momentin 2 kohdan perusteella, mikä merkitsee, että tietoturvallisuussopimus ei rajoita kansalaisen tiedonsaantia enempää kuin mitä se julkisuuslain mukaan on.
Merkittävimpänä erona kansainvälisistä tietoturvallisuusvelvoitteista annetun lain soveltamisessa julkisuuslain sijaan on se, että viranomaisella ei olisi kansainvälisessä tietoturvallisuusvelvoitteessa tarkoitettuun asiakirjaan kohdistuvaa tiedonsaantipyyntöä ratkaistessaan velvollisuutta erikseen perustella tiedon antamisesta aiheutuvaa vahinkoa. Tiedonsaantipyyntö olisi muutoin käsiteltävä julkisuuslain mukaisesti. Jos syntyy epäselvyyttä luokituksen oikeellisuudesta tai siitä, mitkä asiakirjassa olevat tiedot ovat johtaneet luokitusmerkintään, viranomaisen on otettava yhteyttä asiakirjan laatineeseen osapuoleen.
Suomen ja Belgian välinen tietoturvallisuussopimus ei vaikuta Suomen kansallisten asiakirjojen salassapitoon tai luokitukseen, mitkä määräytyvät julkisuuslain mukaan.
Henkilöstöturvallisuus on keskeinen tietoturvallisuuden osa-alue. Koska jo kansainvälisistä tietoturvallisuusvelvoitteista annettu laki edellyttää turvallisuusselvityslain mukaisen menettelyn käyttämistä henkilöstön luotettavuuden varmistamisessa, ehdotetun voimaansaattamislain hyväksyminen ei tarkoittaisi sitä, että kansalaisten yksityisyyselämän ja henkilötietojen suojaa kavennettaisiin aikaisempaan verrattuna.
4.2Vaikutukset elinkeinoelämään
Sopimus antaa suomalaisille yrityksille mahdollisuuden saada sellaisia tilauksia tai osallistua sellaisiin hankkeisiin, joiden toteuttaminen edellyttää pääsyä Belgian turvallisuusluokiteltuihin tietoihin. Vastaavasti sopimus antaa belgialaisille yrityksille mahdollisuuden saada sellaisia tilauksia tai osallistua sellaisiin hankkeisiin, joiden toteuttaminen edellyttää pääsyä Suomen turvallisuusluokiteltuun tietoon. Tulevien hankkeiden määrää ja taloudellista arvoa on etukäteen vaikea arvioida. Turvallisuusluokiteltua tietoa sisältäviä hankkeita toteutetaan erityisesti puolustusteollisuuden, turvallisuuden, ydinvoiman, informaatioteknologian ja muun korkean teknologian aloilla sekä tieteen- ja tutkimuksen aloilla. Ilman tietoturvallisuussopimusta suomalaiset yritykset voisivat jäädä Belgiassa toteutettavien hankkeiden ulkopuolelle. Sopimuksen tarkoituksena onkin luoda tarvittavat järjestelyt ja menettelyt ennakkoon, jotta hankkeisiin osallistuminen olisi mahdollista ja näin parantaa suomalaisten yritysten kilpailukykyä.
4.3Taloudelliset vaikutukset
Esityksellä ei ole vaikutusta valtion talousarvioon eikä muitakaan vähäistä merkittävämpiä taloudellisia vaikutuksia.
4.4Vaikutukset hallintoon
Esitykseen sisältyvän sopimuksen ja lain hyväksymisestä ei aiheudu hallintoa koskevia muutosvelvoitteita tai -tarpeita. Sopimus lisää jonkin verran kansallisen turvallisuusviranomaisen ja määrättyjen turvallisuusviranomaisten niitä tehtäviä, jotka kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n mukaisesti kuuluvat näille viranomaisille.
Sopimuksen turvallisuusyhteistyötä koskevan 10 artiklan 3 kohdan mukaisesti turvallisuusviranomaiset avustavat pyynnöstä toisiaan turvallisuusselvityksiin liittyvissä menettelyissä kansallisten säädösten ja määräysten mukaisesti. Useat EU:n toimielimet sijaitsevat Belgiassa, minkä vuoksi tarve turvallisuusselvitysyhteistyön tekemiseksi Belgian kanssa on suuri.
5Asian valmistelu
Hallituksen esitys on valmisteltu ulkoasiainministeriössä. Sopimuksen valmisteluun ja neuvotteluihin on osallistunut edustajia ulkoasiainministeriöstä, puolustusministeriöstä, Suojelupoliisista sekä Viestintävirastosta. Esityksestä on pyydetty lausunnot oikeusministeriöltä, työ- ja elinkeinoministeriöltä, puolustusministeriöltä, valtiovarainministeriöltä, sisäministeriöltä, liikenne- ja viestintäministeriöltä, Suojelupoliisilta, pääesikunnalta ja Viestintävirastolta. Lausunnot on saatu työ- ja elinkeinoministeriöltä, puolustusministeriöltä, sisäministeriöltä, liikenne- ja viestintäministeriötä sekä Viestintävirastolta. Lausunnoissa on puollettu sopimuksen hyväksymistä ja voimaansaattamista.
Koska sopimus sisältää määräyksiä, jotka kuuluvat lainsäädännön alaan, annetaan samalla eduskunnan hyväksyttäväksi seuraava lakiehdotus:
YKSITYISKOHTAISET PERUSTELUT
1Sopimuksen sisältö ja suhde Suomen lainsäädäntöön
1 artikla. Tarkoitus ja soveltamisala . Artiklassa määritellään sopimuksen tarkoitukseksi varmistaa sellaisen turvallisuusluokitellun tiedon suojaaminen, jota vaihdetaan tai tuotetaan osapuolten välisessä yhteistyössä erityisesti ulko-, puolustus-, turvallisuus-, poliisi- tai tiede-, elinkeino- ja teknologia-asioiden alalla. Sopimusta ei sovelleta sellaisiin osapuolten välillä vaihdettaviin tietoihin, joita ei ole turvallisuusluokiteltu. Esimerkiksi poliisin tutkinta- ja tiedustelutietoihin ei Suomessa pääosin tehdä turvallisuusluokitusmerkintää.
2 artikla . Määritelmät . Artiklassa määritellään sopimuksen soveltamisen kannalta keskeiset käsitteet seuraavasti:
Artiklan a) kohdassa on turvallisuusluokitellun tiedon määritelmä. Sopimus koskee muodosta, lajista tai välitysmenetelmästä riippumatta mitä tahansa osapuolen toiselle osapuolelle luovuttamaa tietoa, asiakirjaa tai aineistoa, joka on turvallisuusluokiteltu ja johon on tehty asianmukainen luokitusmerkintä kansallisten säädösten ja määräysten mukaisesti. Edelleen turvallisuusluokitellulla tiedolla tarkoitetaan tietoa, asiakirjaa tai aineistoa, joka on tuotettu tällaisen turvallisuusluokitellun tiedon pohjalta ja johon on tehty asianmukainen luokitusmerkintä. Kohta on sopusoinnussa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 2 §:n 2 kohdan erityissuojattavan tietoaineiston määritelmän kanssa.
Artiklan b) kohdan mukaan turvallisuusluokiteltu sopimus tarkoittaa sopimusta tai alihankintasopimusta, mukaan lukien sopimusta edeltäneet neuvottelut, johon sisältyy tai liittyy turvallisuusluokiteltua tietoa. Kohta on sopusoinnussa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 2 §:n 3 kohdan kanssa.
Artiklan c) kohdan mukaan luovuttavalla osapuolella tarkoitetaan sitä osapuolta, joka luovuttaa turvallisuusluokitellun tiedon tai jonka alaisuudessa turvallisuusluokiteltu tieto tuotetaan.
Artiklan d) kohdan mukaan vastaanottavalla osapuolella tarkoitetaan sitä osapuolta sekä sen lainkäyttövaltaan kuuluvaa julkis- tai yksityisoikeudellista oikeushenkilöä tai luonnollista henkilöä, jolle luovuttava osapuoli luovuttaa turvallisuusluokitellun tiedon.
Artiklan e) kohdan mukaisesti kolmas osapuoli tarkoittaa sellaista valtiota, mukaan lukien sen lainkäyttövaltaan kuuluvat oikeushenkilöt tai luonnolliset henkilöt, tai kansainvälistä organisaatiota, joka ei ole sopimuksen osapuoli.
Artiklan f) kohdan mukaisesti toimivaltainen turvallisuusviranomainen tarkoittaa kansallista turvallisuusviranomaista, määrättyä turvallisuusviranomaista tai muuta toimivaltaista elintä, joka on osapuolten kansallisten säädösten ja määräysten mukaisesti valtuutettu vastaamaan sopimuksen täytäntöönpanosta.
Artiklan g) kohdan mukaan tietoturvaloukkaus tarkoittaa kansallisten säädösten ja määräysten vastaista tekoa tai laiminlyöntiä, joka saattaa johtaa turvallisuusluokitellun tiedon menettämiseen tai vaarantumiseen.
Artiklan h) kohdan mukaan turvallisuusselvitys tarkoittaa kansallisten säädösten ja määräysten mukaiseen tutkintamenettelyyn perustuvaa myönteistä arviota siitä, voidaanko oikeushenkilölle (yritysturvallisuusselvitys) tai luonnolliselle henkilölle (henkilöturvallisuusselvitys) sallia pääsy tiettyyn turvallisuusluokkaan kuuluvaan turvallisuusluokiteltuun tietoon ja tämän tiedon käsittely.
Artiklan i) kohdan mukaan turvallisuusluokitusohjeet tarkoittaa asiakirjaa, jossa kuvaillaan ne turvallisuusluokitellun sopimuksen osat, jotka sisältävät turvallisuusluokiteltua tietoa.
3 artikla . Toimivaltaiset turvallisuusviranomaiset. Artiklan 1 kohdassa on nimetty kummankin osapuolen kansalliset turvallisuusviranomaiset (National Security Authority, NSA), jotka vastaavat sopimuksen yleisestä täytäntöönpanosta. Suomessa kansallisena turvallisuusviranomaisena toimii kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n perusteella ulkoasiainministeriö, jossa tehtävää hoitaa Kansallinen turvallisuusviranomainen (NSA). Belgiassa kansalliseksi turvallisuusviranomaiseksi on nimetty National Security Authority (NSA).
Artiklan 2 kohdan mukaan kansalliset turvallisuusviranomaiset antavat toisilleen tiedoksi mahdolliset muut toimivaltaiset turvallisuusviranomaiset, jotka vastaavat sopimuksen täytäntöönpanosta eri osin (Competent Security Authorities, CSA). Suomessa määrättyjä turvallisuusviranomaisia (Designated Security Authority, DSA) ovat kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n mukaisesti puolustusministeriö, pääesikunta, Suojelupoliisi ja Viestintävirasto.
Artiklan 3 kohdan mukaan kansalliset turvallisuusviranomaiset antavat toisilleen tiedoksi mahdolliset myöhemmät toimivaltaisten turvallisuusviranomaisten muutokset.
Artiklan 4 kohdan mukaan varmistaakseen tämän sopimuksen tehokkaan täytäntöönpanon toimivaltaiset turvallisuusviranomaiset voivat kansallisten säädöstensä ja määräystensä mukaisen toimivaltansa rajoissa tarvittaessa tehdä kirjallisesti yksityiskohtaisia hallinnollisia järjestelyjä.
4 artikla . Turvallisuusluokitukset.
Artiklan 1 kohdan mukaan sopimuksen mukaisesti luovutettavaan turvallisuusluokiteltuun tietoon merkitään asianmukainen turvallisuusluokka osapuolten kansallisten säädösten ja määräysten mukaisesti.
Artiklan 2 kohdassa määritellään, miten Suomen ja Belgian turvallisuusluokituksen tasot vastaavat toisiaan. Korkein, ankarimpia tietoturvallisuustoimenpiteitä vaativa luokka on "ERITTÄIN SALAINEN / YTTERST HEMLIG" (ZEER GEHEIM / TRES SECRET). Suomessa tähän luokkaan luetaan kuuluviksi tiedot, joiden luvaton ilmitulo voi aiheuttaa erittäin suurta vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Toiseksi korkein turvallisuusluokka on "SALAINEN/HEMLIG" (GEHEIM/SECRET). Tähän kuuluvat Suomessa tiedot, joiden luvaton ilmitulo voi aiheuttaa merkittävää vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Kolmanneksi korkein turvallisuusluokka on "LUOTTAMUKSELLINEN/KONFIDENTIELL" (VERTROUWELIJK/CONFIDENTIEL), jolla tarkoitetaan Suomessa tietoja, joiden luvaton ilmitulo voi aiheuttaa vahinkoa maanpuolustukselle, turvallisuudelle, kansainvälisille suhteille tai muille yleisille eduille. Neljänteen turvallisuusluokkaan "KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG” kuuluvat tiedot, joiden luvaton ilmitulo voi aiheuttaa haittaa yleisille eduille tai heikentää viranomaisen toimintaedellytyksiä. Belgiassa ei ole Suomen KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG vastaavaa turvallisuusluokkaa, mutta sen suojaamisesta on sovittu artiklan 3 kohdassa.
Artiklan 3 kohta koskee Suomesta saatua turvallisuusluokkaan KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG– turvallisuusluokitellun tiedon suojaamista ja käsittelyä Belgiassa sekä Belgiasta saadun BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE -merkityn tiedon suojaamista Suomessa. Belgian BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE ei ole turvallisuusluokka. Kohdan mukaan Suomen KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG -luokiteltua tietoa suojataan ja käsitellään Belgiassa samalla tavoin kuin EU:n turvallisuusluokkaan RESTREINT UE / EU RESTRICTED -luokiteltua tietoa, jolleivät kansalliset turvallisuusviranomaiset keskenään kirjallisesti muuta sovi kansalliset säädökset ja määräykset huomioon ottaen. Edelleen saman kohdan mukaan Belgiasta saatu BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE -merkitty tieto suojataan Suomessa kuten samalla tavoin kuin turvallisuusluokkaan KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG luokiteltu tieto.
Suomen kansainvälisiä suhteita suojaavat julkisuuslain 24 §:n 1 momentin 1 ja 2 kohta, maanpuolustusta momentin 10 kohta ja turvallisuutta momentin 5, 8 ja 9 kohta. Muita julkisuuslaissa tarkoitettuja yleisiä etuja voivat olla esimerkiksi valtionjohdon ja valtiovieraiden sekä tietojärjestelmien turvallisuusjärjestelyjen suojaaminen (24 § 1 mom. 7 kohta) sekä kansantalouden toimivuus (24 § 1 mom. 11 ja 12 kohta). Julkisuuslain 25 §:ssä on yleiset säännökset salassapito- ja luokitusmerkinnän tekemisestä viranomaisen asiakirjaan. Lain 25 §:n 3 momentin mukaan asiakirjaan voidaan tehdä merkintä sen osoittamiseksi, minkälaisia tietoturvallisuusvaatimuksia asiakirjaa käsiteltäessä noudatetaan. Kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa tarkoitettuihin asiakirjoihin on tehtävä turvallisuusluokituksesta merkintä siten kuin mainitussa laissa säädetään. Turvallisuusluokituksesta on tehtävä merkintä myös, jos valtioneuvoston antamalla asetuksella niin säädetään.
Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 8 §:n mukaan erityissuojattavaan tietoaineistoon on siitä riippumatta, mitä viranomaisen toiminnan julkisuudesta annetussa laissa tai sen nojalla säädetään, tehtävä kansainvälisessä tietoturvallisuusvelvoitteessa määritelty luokitusmerkintä sen osoittamiseksi, minkälaisia tietoturvallisuusvaatimuksia sen käsittelyssä on noudatettava. Turvallisuusluokitusmerkintää koskevat erityissäännökset sisältyvät tietoturvallisuusasetuksen 11 §:ään, ja merkintöjen vastaavuudesta kansainvälisten tietoturvallisuusvelvoitteiden luokkien kanssa on säädetty asetuksen 12 §:ssä. Asetuksen 11 §:n 1 momentissa säädetään milloin salassa pidettävään asiakirjaan voidaan tehdä turvallisuusluokitusmerkintä. Asetuksen 11 §:n 3 momentin mukaan turvallisuusluokitusmerkintää ei saa käyttää muissa kuin 1 momentissa tarkoitetuissa tapauksissa, ellei merkinnän tekeminen ole tarpeen kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseksi tai asiakirja muutoin liity kansainväliseen yhteistyöhön. Ruotsinkielisistä turvallisuusluokitusmerkinnöistä on erityissäännös asetuksen 11 §:n 4 momentissa.
Artiklan 4 kohdan mukaan vastaanottava osapuoli varmistaa, ettei turvallisuusluokituksia muuteta tai kumota muutoin kuin luovuttavan osapuolen kirjallisella luvalla.
5 artikla.
Turvallisuusluokitellun tiedon suojaaminen.
Artikla sisältää keskeiset vastavuoroista suojaamista koskevat velvoitteet.
Artiklan 1 kohdan mukaan osapuolet toteuttavat kaikki asianmukaiset kansallisten säädöstensä ja määräystensä mukaiset toimet suojatakseen sopimuksessa tarkoitetun turvallisuusluokitellun tiedon. Osapuolet antavat saman kohdan mukaisesti tälle tiedolle samantasoisen suojan kuin omalle vastaavaan turvallisuusluokkaan kuuluvalle tiedolleen.
Artiklan 2 kohdan mukaan osapuolet eivät salli kolmansille osapuolille pääsyä turvallisuusluokiteltuun tietoon ilman luovuttavan osapuolen kirjallista ennakkosuostumusta. Kohta velvoittaa osapuolet noudattamaan luovuttajan suostumuksen periaatetta.
Artiklan 3 kohdan mukaan pääsy turvallisuusluokkaan LUOTTAMUKSELLINEN/KONFIDENTIELL (VERTROUWELIJK/CONFIDENTIEL) tai sitä ylempään turvallisuusluokkaan merkittyyn tietoon sallitaan ainoastaan henkilöille, joilla on tiedonsaantitarve, joista tehty on turvallisuusselvitys ja joille on sallittu pääsy tällaiseen tietoon sekä selvitetty heidän vastuunsa turvallisuusluokitellun tiedon suojaamisesta, vastaanottavan osapuolen kansallisten säädösten ja määräysten mukaisesti. Määräys on sopusoinnussa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 3 momentin kanssa, jossa sallitaan tietoaineistoon pääsy vain niille henkilöille, jotka tarvitsevat tietoja tehtävänsä hoitamiseen. Henkilöturvallisuusselvitys tehdään siten kuin turvallisuusselvityslaissa säädetään ja henkilöturvallisuusselvitystodistus annetaan kansainvälisissä tietoturvallisuusvelvoitteista annetun lain mukaisesti (11 §).
Artiklan 4 kohdan mukaan pääsy BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE merkittyyn tietoon ja turvallisuusluokkaan KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG merkittyyn turvallisuusluokiteltuun tietoon sallitaan ainoastaan henkilöille, joilla on tiedonsaantitarve ja joille on annettu asianmukaiset luvat sekä selvitetty heidän vastuunsa kyseisen tiedon suojaamisesta vastaanottavan osapuolen kansallisten säädösten ja määräysten mukaisesti.
Artiklan 5 kohdan mukaan turvallisuusluokiteltua tietoa saa käyttää ainoastaan siihen tarkoitukseen, jota varten se on luovutettu. Velvoitetta vastaava säännös on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 2 momentissa.
Artiklan määräykset ovat sopusoinnussa Suomen voimassaolevan turvallisuusluokitellun tiedon suojaamista koskevan lainsäädännön kanssa.
6 artikla . Turvallisuusluokitellut sopimukset. Artikla sisältää määräykset 2 artiklan b) kohdassa tarkoitetun turvallisuusluokitellun sopimuksen tekemisestä jommankumman osapuolen alueella.
Artiklan 1 kohdan mukaan vastaanottavan osapuolen toimivaltainen turvallisuusviranomainen ilmoittaa pyynnöstä luovuttavan osapuolen toimivaltaiselle turvallisuusviranomaiselle, onko ehdotetulle vastaanottavan osapuolen hankeosapuolelle annettu vaadittua turvallisuusluokkaa vastaava kansallinen todistus yritysturvallisuusselvityksestä. Jollei hankeosapuolella ole todistusta yritysturvallisuusselvityksestä, luovuttavan osapuolen toimivaltainen turvallisuusviranomainen voi pyytää vastaanottavan osapuolen toimivaltaista turvallisuusviranomaista tekemään hankeosapuolta koskevan turvallisuusselvityksen.
Artiklan 2 kohdan mukaan avoimen tarjouskilpailun tapauksessa vastaanottavan osapuolen toimivaltainen turvallisuusviranomainen voi antaa luovuttavan osapuolen toimivaltaiselle turvallisuusviranomaiselle asianmukaiset todistukset turvallisuusselvityksistä ilman virallista pyyntöä.
Artiklan 3 kohdan mukaan tasoilla KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG tai BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE ei edellytetä yritysturvallisuusselvitystä.
Artiklan 4 kohdan mukaan jotta turvallisuutta voitaisiin valvoa ja ohjata riittävästi, turvallisuusluokitellussa sopimuksessa on oltava asianmukaiset, sopimuksen liitteen 1 mukaiset turvallisuusmääräykset, mukaan lukien turvallisuusluokitusohjeet. Kopio turvallisuusmääräyksistä saman kohdan mukaan toimitetaan sen osapuolen toimivaltaiselle turvallisuusviranomaiselle, jonka lainkäyttöalueella turvallisuusluokiteltu sopimus pannaan täytäntöön
Artiklan 5 kohdan mukaan osapuolten toimivaltaisten turvallisuusviranomaisten edustajat voivat vierailla toistensa luona arvioimassa niiden toimien tehokkuutta, jotka hankeosapuoli on toteuttanut suojatakseen turvallisuusluokiteltuun sopimukseen liittyvän turvallisuusluokitellun tiedon. Määräyksellä on yhteys myös turvallisuusyhteistyötä koskevaan sopimuksen 10 artiklan 2 kohtaan, jossa määrätään osapuolten turvallisuusviranomaisten vierailuista.
Turvallisuusluokiteltuja sopimuksia koskevat kansalliset säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 1 § 2 momenttiin (soveltaminen elinkeinonharjoittajaan), 2 §:n 2 kohtaan (erityissuojattava tietoaineisto), 2 §:n 3 kohtaan (turvallisuusluokiteltu sopimus), 6 §:ään (salassapitovelvollisuus ja tietojen käyttö), 7 §:ään (vaitiolovelvollisuus ja hyväksikäyttökielto), 10 §:ään (tiloihin liittyvät turvallisuusvaatimukset), 12 §:ään (yritysturvallisuusselvitystodistus, sen voimassaolo ja peruuttaminen), 14 §:ään (todistusta koskevien tietojen merkitseminen turvallisuusselvitysrekisteriin), 16 §:ään (tiedonantovelvollisuus) sekä 18 §:n 2 momenttiin (kansainvälisen toimielimen ja sopimusvaltion edustajien vierailut). Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 18 §:n 2 momentissa säädetään yrityksen velvollisuudesta sallia viranomaisen ja kansainvälisen toimielimen tai sopimusvaltion edustajan tutustuminen turvallisuusjärjestelyihinsä ja toimitiloihinsa, milloin se on tarpeen kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi. Turvallisuusselvityslain 40 §:ssä säädetään yrityksen toimivaltaiselle viranomaiselle antamasta sitoumuksesta tietoturvallisuustason säilyttämiseksi sekä viranomaisen pääsemiseksi yrityksen tiloihin tietoturvallisuustason säilyttämisen valvomiseksi. Artiklan mukaiset sopimusvelvoitteet vastaavat kansallisen sääntelyn vaatimuksia.
7 artikla . Turvallisuusluokitellun tiedon välittäminen. Artikla sisältää määräykset siitä, miten osapuolet välittävät toisilleen turvallisuusluokiteltua tietoa ei-sähköisessä sekä sähköisessä muodossa.
Artiklan 1 kohdan mukaan luovuttava osapuoli ja vastaanottava osapuoli välittävät turvallisuusluokitellun tiedon toisilleen käyttäen suojattuja hallitusten välisiä kanavia tai muutoin siten kuin toimivaltaiset turvallisuusviranomaiset keskenään sopivat.
Artiklan 2 kohdan mukaan luovuttava osapuoli ja vastaanottava osapuoli välittävät turvallisuusluokiteltua tietoa toisilleen sähköisesti ainoastaan toimivaltaisten turvallisuusviranomaisten keskenään sopimilla turvallisilla keinoilla.
Artiklan määräykset ovat sopusoinnussa tietoturvallisuusasetuksen asiakirjan välittämistä koskevan 18 §:n ja asiakirjan siirtämistä tietoverkossa koskevan 19 §:n kanssa.
8 artikla . Turvallisuusluokitellun tiedon kääntäminen, kopiointi ja hävittäminen.
Artiklan 1 kohdan mukaan kaikkiin turvallisuusluokitellun tiedon kopioihin ja käännöksiin tehdään asianmukainen turvallisuusluokitusmerkintä, ja ne suojataan samalla tavoin kuin alkuperäinen tieto. Saman kohdan mukaan tietoa käännetään ja siitä otetaan kopioita enintään viralliseen tarkoitukseen tarvittava määrä.
Artiklan 2 kohdan mukaan kaikkiin käännöksiin tehdään asianmukainen käännöskielinen merkintä siitä, että käännökset sisältävät luovuttavan osapuolen turvallisuusluokiteltua tietoa.
Artiklan 3 kohdan mukaan turvallisuusluokkaan ERITTÄIN SALAINEN / YTTERST HEMLIG tai ZEER GEHEIM / TRES SECRET tai vastaavaan 4 artiklan mukaiseen turvallisuusluokkaan merkittyä tietoa käännetään tai kopioidaan ainoastaan luovuttavan osapuolen kirjallisella suostumuksella.
Artiklan 4 kohdan mukaan turvallisuusluokkaan ERITTÄIN SALAINEN / YTTERST HEMLIG tai ZEER GEHEIM / TRES SECRET tai vastaavaan 4 artiklan mukaiseen turvallisuusluokkaan merkittyä tietoa ei hävitetä ilman luovuttavan osapuolen kirjallista ennakkosuostumusta. Tällainen tieto palautetaan saman kohdan mukaan luovuttavalle osapuolelle sen jälkeen, kun osapuolet katsovat, ettei sitä enää tarvita.
Artiklan 5 kohdan mukaan turvallisuusluokkaan SALAINEN / HEMLIG tai GEHEIM / SECRET tai vastaavaan tai alempaan 4 artiklan mukaiseen turvallisuusluokkaan merkitty tieto hävitetään sen jälkeen, kun vastaanottava osapuoli katsoo, ettei sitä enää tarvita, sen kansallisten säädösten ja määräysten mukaisesti.
Artiklan 6 kohdan mukaan jos kriisitilanne estää sopimuksen mukaisesti luovutetun turvallisuusluokitellun tiedon suojaamisen, tieto tulee hävittää välittömästi. Vastaanottava osapuoli ilmoittaa turvallisuusluokitellun tiedon tämän kohdan mukaisesta hävittämisestä luovuttavan osapuolen toimivaltaiselle turvallisuusviranomaiselle mahdollisimman pian.
Velvollisuudesta pitää huolta erityissuojattavan tietoaineiston suojaamisesta sen turvallisuusluokkaa vastaavalla tavalla sitä luotaessa, kopioitaessa, siirrettäessä, jaettaessa, säilytettäessä, hävitettäessä tai muutoin käsiteltäessä on säädetty kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 9 §:n 1 momentissa. Tarkemmat käsittelyä koskevat määräykset on Suomessa säädetty asetuksentasoisina. Julkisuuslain nojalla säädetyn tietoturvallisuusasetuksen 17 §:ssä säädetään asiakirjan kopioimisesta sekä 21 §:ssä säädetään asiakirjan arkistoimisesta ja hävittämisestä.
9 artikla.
Vierailut.
Artiklan 1 kohdan mukaan vierailuihin, joihin liittyy mahdollisuus päästä turvallisuusluokkaan LUOTTAMUKSELLINEN/KONFIDENTIELL tai VERTROUWELIJK/ CONFIDENTIEL tai sitä ylempään turvallisuusluokkaan merkittyyn tietoon, vaaditaan isäntäosapuolen toimivaltaisen turvallisuusviranomaisen kirjallinen ennakkolupa. Saman kohdan 1 a) – c) alakohtien mukaan vierailijoille sallitaan pääsy tietoon ainoastaan, jos vieraat lähettävän osapuolen toimivaltainen turvallisuusviranomainen on antanut heille luvan pyydettyyn yhteen tai useampaan vierailuun sekä mikäli heille on annettu asianmukainen todistus henkilöturvallisuusselvityksestä sekä lisäksi mikäli heille on annettu lupa ottaa vastaan turvallisuusluokiteltua tietoa isäntäosapuolen kansallisten säädösten ja määräysten mukaisesti.
Artiklan 2 kohdan mukaan vierailupyynnön esittävän osapuolen asianomainen toimivaltainen turvallisuusviranomainen ilmoittaa suunnitellusta vierailusta isäntäosapuolen asianomaiselle toimivaltaiselle turvallisuusviranomaiselle artiklan määräysten mukaisesti sekä varmistaa, että tämä turvallisuusviranomainen saa pyynnön vähintään 14 päivää ennen vierailun ajankohtaa. Kiireellisissä tapauksissa toimivaltaiset turvallisuusviranomaiset voivat sopia lyhyemmästä ajasta. Vierailupyynnön on sisällettävä sopimuksen liitteessä 2 mainitut tiedot.
Artiklan 3 kohdan mukaan toistuvia vierailuja koskevat luvat ovat voimassa enintään kaksitoista (12) kuukautta.
10 artikla.
Turvallisuusyhteistyö.
Artiklassa on määräys kansallisten turvallisuusviranomaisten ja toimivaltaisten turvallisuusviranomaisten välisestä turvallisuusyhteistyöstä.
Artiklan 1 kohdan mukaan sopimuksen täytäntöön panemiseksi kansalliset turvallisuusviranomaiset antavat toisilleen tiedoksi asianomaiset turvallisuusluokitellun tiedon suojaamista koskevat kansalliset säädöksensä ja määräyksensä sekä niiden mahdolliset myöhemmät muutokset.
Artiklan 2 kohdan mukaan varmistaakseen läheisen yhteistyön sopimuksen täytäntöönpanossa toimivaltaiset turvallisuusviranomaiset neuvottelevat keskenään sekä antavat pyynnöstä toisilleen tietoa turvallisuusluokitellun tiedon suojaamista koskevista kansallisista turvallisuusnormeistaan, menettelyistään ja käytännöistään. Tätä tarkoitusta varten toimivaltaiset turvallisuusviranomaiset voivat kyseisen kohdan mukaan tehdä keskinäisiä vierailuja. Vierailujen toteuttamiseen liittyvät säännökset ovat kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 18 §:ssä.
Artiklan 3 kohdan mukaan turvallisuusviranomaiset avustavat pyynnöstä toisiaan turvallisuusselvityksiin liittyvissä menettelyissä kansallisten säädösten ja määräystensä mukaisesti. Turvallisuusselvityslain 26 §:n 2 momentin 1 kohdan mukaan turvallisuusselvitystä laativa toimivaltainen viranomainen voi viran puolesta kansainvälisen sopimuksen tai säädöksen mukaisesti hankkia ulkomaan viranomaiselta turvallisuusselvityslain 25 §:n 1 momentin 1-3 kohdissa ja tietyin edellytyksin 4 kohdassa tarkoitettuja tietoja vastaavan selvityksen. Kohdan mukainen mukainen sopimusvelvoite vastaa kansallisen sääntelyn vaatimuksia.
Artiklan 4 kohdan mukaan kansalliset turvallisuusviranomaiset ilmoittavat viipymättä toisilleen tunnustettujen henkilöturvallisuusselvitysten ja yritysturvallisuusselvitysten muutoksista.
11 artikla.
Tietoturvaloukkaus.
Artiklan 1 kohdan mukaan osapuolet ilmoittavat välittömästi toisilleen epäillystä tai todetusta turvallisuusluokiteltuun tietoon kohdistuneesta tietoturvaloukkauksesta.
Artiklan 2 kohdan mukaan se osapuoli, jonka lainkäyttövaltaan asia kuuluu, tutkii tapahtuman viipymättä.
Artiklan 3 kohdan mukaan se osapuoli, jonka lainkäyttövaltaan asia kuuluu, ryhtyy kansallisten säädöstensä ja määräystensä mukaisesti kaikkiin mahdollisiin asianmukaisiin toimiin rajoittaakseen artiklan 1 kohdassa tarkoitettujen tietoturvaloukkausten seurauksia ja estääkseen uudet loukkaukset. Toiselle osapuolelle tulee ilmoittaa tutkinnan tuloksesta ja toteutetuista toimista.
Artiklan velvoitteisiin liittyvät säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 19 §:ään.
12 artikla . Kustannukset. Artiklan mukaan kumpikin osapuoli vastaa omista kustannuksistaan, jotka sille aiheutuvat sen täyttäessä sopimuksen mukaisia velvoitteitaan.
13 artikla . Riitojen ratkaiseminen . Artiklan mukaan kaikki osapuolten väliset riidat sopimuksen tulkinnasta tai soveltamisesta ratkaistaan yksinomaan osapuolten välisillä neuvotteluilla.
14 artikla. Loppumääräykset . Artiklassa on sopimuksen voimaantuloa, muuttamista, irtisanomista, irtisanomisesta johtuvia velvollisuuksia sekä sopimuksen tallettamista Yhdistyneiden kansakuntien sihteeristön kirjattavaksi YK:n peruskirjan 102 artiklan mukaisesti koskevat määräykset. Artiklan mukaan sopimus on voimassa toistaiseksi. Sopimusta voidaan muuttaa osapuolten keskinäisellä kirjallisella suostumuksella. Osapuoli voi irtisanoa artiklan mukaisesti sopimuksen ilmoittamalla asiasta kirjallisesti toiselle osapuolelle diplomaattiteitse kuuden (6) kuukauden irtisanomisaikaa noudattaen. Jos sopimus irtisanotaan ko. artiklan nojalla, sopimuksen perusteella jo luovutettua ja sen perusteella syntyvää turvallisuusluokiteltua tietoa käsitellään sopimuksen määräysten mukaisesti niin kauan kuin se on tarpeen kyseisen tiedon suojaamiseksi.
2Lakiehdotuksen perustelut
Suomen perustuslain 95 §:ssä edellytetään, että kansainvälisen velvoitteen lainsäädännön alaan kuuluvat määräykset saatetaan valtionsisäisesti voimaan erityisellä voimaansaattamislailla. Tällaiset määräykset tulee saattaa voimaan lailla myös silloin, kun velvoitteen johdosta ei ole tarpeen tarkistaa kansallisen lainsäädännön aineellista sisältöä. Koska Suomen ja Belgian välisen tietoturvallisuussopimuksen velvoitteiden toteuttamiseksi ei aineellista lainsäädäntöä ole tarpeen muuttaa, esitys sisältää vain ehdotuksen blankettilaiksi.
1 §.
Lakiehdotuksen 1 §:n säännöksellä saatettaisiin voimaan sopimuksen lainsäädännön alaan kuuluvat määräykset. Lainsäädännön alaan kuuluvia määräyksiä selostetaan jäljempänä eduskunnan suostumuksen tarpeellisuutta koskevassa jaksossa.
2 §.
Sopimuksen muiden kuin lainsäädännön alaan kuuluvien määräysten voimaansaattamisesta ja lain voimaantulosta säädettäisiin valtioneuvoston asetuksella. Laki on tarkoitus saattaa voimaan samanaikaisesti kuin sopimus tulee Suomen osalta voimaan.
3Voimaantulo
Suomen ja Belgian välisen sopimuksen 14 artiklan 1 kohdan mukaan osapuolet ilmoittavat toisilleen, kun sopimuksen voimaantulon edellyttämät kansalliset toimet on toteutettu. Sopimus tulee saman kohdan mukaan voimaan toiseksi seuraavan kuukauden ensimmäisenä päivänä sen jälkeen, kun jälkimmäinen ilmoitus on otettu vastaan.
Sopimuksen voimaansaattamislaki on tarkoitettu tulemaan voimaan valtioneuvoston asetuksella säädettävänä ajankohtana samaan aikaan kuin sopimus tulee Suomen osalta voimaan.
Sopimus ei sisällä Ahvenanmaan maakunnan toimivaltaan kuuluvia määräyksiä, eikä siten edellytä maakunnan suostumusta Ahvenanmaan itsehallintolain (1144/1991) 59 §:n mukaisesti.
4Eduskunnan suostumuksen tarpeellisuus ja käsittelyjärjestys
4.1Eduskunnan suostumuksen tarpeellisuus
Perustuslain 94 §:n 1 momentin mukaan eduskunta hyväksyy sellaiset valtiosopimukset ja muut kansainväliset velvoitteet, jotka sisältävät lainsäädännön alaan kuuluvia määräyksiä. Perustuslakivaliokunnan tulkintakäytännön mukaan määräys on luettava lainsäädännön alaan kuuluvaksi, jos se koskee jonkin perustuslaissa turvatun perusoikeuden käyttämistä tai rajoittamista, jos määräys muutoin koskee yksilön oikeuksien ja velvollisuuksien perusteita, jos määräyksen tarkoittamasta asiasta on perustuslain mukaan säädettävä lailla tai jos määräyksessä tarkoitetusta asiasta on jo voimassa lain säännöksiä taikka siitä on Suomessa vallitsevan käsityksen mukaan säädettävä lailla. Perustuslakivaliokunnan mukaan kansainvälisen velvoitteen määräys kuuluu näiden perusteiden mukaan lainsäädännön alaan siitä riippumatta, onko määräys ristiriidassa vai sopusoinnussa Suomessa lailla annetun säännöksen kanssa (kts. esimerkiksi PeVL 11/2000 vp ja PeVL 12/2000 vp).
Edellä mainituilla perusteilla esitykseen sisältyvässä sopimuksessa on lukuisia eduskunnan hyväksymistä edellyttäviä määräyksiä. Sopimuksen 2 artiklassa määritellään, mitä tarkoitetaan muun muassa turvallisuusluokitellulla tiedolla, turvallisuusluokitellulla sopimuksella, turvallisuusselvityksillä ja tietoturvaloukkauksella. Koska nämä määritelmät vaikuttavat joko suoraan tai välillisesti sopimuksen lainsäädännön alaan kuuluvien aineellisten määräysten tulkintaan ja soveltamiseen, ne edellyttävät eduskunnan hyväksymistä (PeVL 6/2001 vp).
Sopimuksen 3 artiklassa määritellään Suomen kansalliseksi turvallisuusviranomaiseksi ulkoasiainministeriön alaisuudessa toimiva kansallinen turvallisuusviranomainen (NSA). Sopimusmääräys vastaa kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 4 §:n 1 momenttia. Määräys on siten toteava, eikä sen siten ole katsottu edellyttävän eduskunnan hyväksymistä.
Sopimuksen 4 artiklassa on määräykset turvallisuusluokitusmerkinnän tekemisestä ja turvallisuusluokkien vastaavuudesta. Yleisesti sovellettavat säännökset salassapito- ja luokitusmerkinnästä on säädetty julkisuuslain 25 §:ssä. Sen mukaan salassa pidettävään viranomaisen asiakirjaan on tehtävä merkintä asiakirjan salassa pitämisestä, kun tällainen asiakirja annetaan asianosaiselle ja kun asiakirja on pidettävä salassa toisen tai yleisen edun vuoksi. Muihin salaisiin asiakirjoihin tehtävä merkintä on harkinnanvarainen. Lisäksi kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 8 §:ssä on säännökset turvallisuusluokan merkitsemisestä erityissuojattavaan tietoaineistoon. Sen mukaisesti erityissuojattavaan tietoaineistoon on julkisuuslain säännöksistä riippumatta tehtävä kansainvälisessä tietoturvallisuusvelvoitteessa määritelty merkintä sen osoittamiseksi, millaisia tietoturvallisuusvaatimuksia käsittelyssä on noudatettava. Määräys kuuluu lainsäädännön alaan.
Sopimuksen 5 artiklassa määrätään sopimuksen soveltamisalan piiriin kuuluvan turvallisuusluokitellun tiedon suojaamiseksi tarvittavista toimenpiteistä, jotka rajoittavat turvallisuusluokitellun tiedon luovuttamista sekä sen välittämistä, käyttämistä ja pääsyä siihen. Sopimuksen 5 artiklan 2 kohdassa on kyse sopimuksen ydinmääräyksestä, jonka mukaan osapuolet eivät salli kolmansille osapuolille pääsyä turvallisuusluokiteltuun tietoon ilman luovuttavan osapuolen kirjallista ennakkosuostumusta, ja jonka perusteella Suomi voi suojata sopimuksen perusteella vaihdettua turvallisuusluokiteltua tietoa ilman julkisuuslaissa säädettyä vahinkoedellytysarviointia. Suomessa viranomaisten asiakirjojen julkisuus on pääsääntö. Jokaisella on perustuslain 12 §:n 2 momentin mukaan oikeus saada tieto viranomaisen julkisesta asiakirjasta ja tallenteesta. Tätä oikeutta voidaan rajoittaa välttämättömistä syistä vain lailla. Julkisuuslain säännöksistä poiketen kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 1 momentin mukaan erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisistä tietoturvallisuusvelvoitteesta muuta johdu. Sopimuksen 5 artiklan 3 ja 4 kohdissa on ilmaistu myös turvallisuusluokiteltua tietoa saavia henkilöitä koskeva rajoitus. Sopimuksen 5 Artiklan 3 kohdassa määrätään myös osapuolten velvollisuudesta teettää asianmukainen turvallisuusselvitys henkilöistä, joille sallitaan pääsy kohdassa tarkoitettuun turvallisuusluokiteltuun tietoon. Turvallisuusselvitysten laadinnassa on otettava huomioon perustuslain 10 §:n 1 momentissa säädetty yksityiselämän suoja ja velvollisuus säätää henkilötietojen suojasta lailla. Suomessa turvallisuusselvityksen kohteena olevista henkilöistä sekä selvityksessä sovellettavasta menettelystä on säädetty turvallisuusselvityslaissa. Määräys kuuluu siten lainsäädännön alaan ja edellyttää eduskunnan suostumusta voimaan tullakseen. Sopimuksen 5 artiklan 5 kohdan mukaan turvallisuusluokiteltua tietoa saa käyttää ainoastaan siihen tarkoitukseen, jota varten se on luovutettu. Velvoitetta vastaava säännös on kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 6 §:n 2 momentissa. Artiklan määräykset kuuluuvat näin ollen lainsäädännön alaan.
Sopimuksen 6 artiklassa on määräykset turvallisuusluokitelluista sopimuksista ja niitä tekevien yritysten turvallisuusselvityksistä sekä osapuolten toimivaltaisten turvallisuusviranomaisten edustajien oikeudesta vierailla toistensa luona arvioimassa niiden toimien tehokkuutta, jotka hankeosapuoli on toteuttanut suojatakseen turvallisuusluokiteltuun sopimukseen liittyvän turvallisuusluokitellun tiedon. Kansainvälisessä tietoturvallisuusvelvoitteessa edellytettyä yritysturvallisuusselvitystä ja sen perusteella annettavaa yritysturvallisuusselvitystodistusta, sen voimassaoloa sekä sen peruuttamista koskevat säännökset sisältyvät kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 12 §:ään. Vastaavat säännökset yritysturvallisuusselvityksen laatimisesta sisältyvät turvallisuusselvityslakiin. Sopimuspuolten edustajien vierailuiden tarkoituksena on varmistaa sopimuksen tarkoituksen toteuttaminen turvallisuusluokiteltujen tietojen asianmukaiseksi suojaamiseksi. Tähän vierailuoikeuteen ei sisälly sellaista julkista vallan käyttöä ja tarkastusoikeutta, joka olisi ristiriidassa perustuslain kanssa (PeVL 39/1997). Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 18 §:ssä on vastaavat säännökset vierailuja koskevan sopimusmääräyksen täytäntöönpanoon liittyvistä seikoista. Turvallisuusluokiteltuja sopimuksia, yritysturvallisuustodistusta sekä sopimusvaltion edustajan vierailua koskevat määräykset kuuluvat näin ollen lainsäädännön alaan.
Sopimuksen 11 artiklassa edellytetään, että kansalliset turvallisuusviranomaiset ilmoittavat viipymättä toisilleen epäillystä tai todetusta turvallisuusluokiteltuun tietoon kohdistuneesta tietoturvaloukkauksesta. Saman artiklan mukaan sen osapuolen, jonka lainkäyttövaltaan asia kuuluu, tulee tutkia tapahtuma viipymättä. Edelleen saman artiklan mukaan sen osapuolen, jonka lainkäyttövaltaan asia kuuluu, tulee ryhtyä kansallisten säädöstensä ja määräystensä mukaisesti kaikkiin mahdollisiin asianmukaisiin toimiin rajoittaakseen artiklassa tarkoitettujen tietoturvaloukkausten seurauksia ja estääkseen uudet loukkaukset. Toiselle osapuolelle tulee ilmoittaa tutkinnan tuloksesta ja toteutetuista toimista. Kansainvälisistä tietoturvallisuusvelvoitteista annetun lain 19 §:ssä säädetään kansalliselle turvallisuusviranomaiselle kuuluvista velvoitteista sopimusmääräyksissä tarkoitetuissa tilanteissa. Artiklan määräykset kuuluvat näin ollen lainsäädännön alaan.
4.2Käsittelyjärjestys
Turvallisuusluokitellun tietoaineiston salassapidosta on annettu yleiset säännökset kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa. Sen 6 §:n 1 momentin mukaan erityissuojattava tietoaineisto on pidettävä salassa, jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu. Lain 6 §:n 2 momentin mukaan erityissuojattavaa tietoaineistoa saa käyttää ja luovuttaa vain siihen tarkoitukseen, jota varten se on annettu, jollei se, joka on määritellyt aineiston turvallisuusluokan, ole antanut muuhun suostumustaan. Edelleen lain 6 §:n 3 momentin mukaan erityissuojattavaa tietoaineistoa käsittelevän viranomaisen on pidettävä huolta siitä, että tietoaineistoon on pääsy vain niillä, jotka tarvitsevat tietoja tehtävänsä hoitamisessa. Nämä henkilöt on nimettävä etukäteen kansainvälisessä tietoturvallisuusvelvoitteessa edellytetyissä tapauksissa. Sama koskee myös lain 1 §:n 2 momentissa tarkoitettua elinkeinonharjoittajaa. Erityissuojattavalla tietoaineistolla tarkoitetaan laissa sellaisia salassa pidettäviä asiakirjoja ja materiaaleja sekä asiakirjoista ja materiaaleista saatavissa olevia tietoja sekä näiden perusteella tuotettuja asiakirjoja ja materiaaleja, jotka kansainvälisen tietoturvallisuusvelvoitteen mukaisesti on turvallisuusluokiteltu. Käsillä olevan sopimuksen 5 artiklan määräykset eivät laajenna salassapitovelvollisuutta siitä, mitä salassapidosta on säädetty sanotun lain 6 §:ssä. Määräykset eivät siten vaikuta sopimuksen käsittelyjärjestykseen.
Suomen ja Belgian välillä turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta tehtyyn sopimukseen ei voida katsoa sisältyvän sellaisia määräyksiä, jotka koskisivat perustuslakia sen 94 §:n 2 momentissa ja 95 §:n 2 momentissa tarkoitetulla tavalla. Hallituksen näkemyksen mukaan sopimus voitaisiin näin ollen hyväksyä äänten enemmistöllä ja ehdotus sen lainsäädännön alaan kuuluvien sopimusmääräysten voimaansaattamiseksi tavallisen lain säätämisjärjestyksessä.
Edellä olevan perusteella ja perustuslain 94 §:n mukaisesti esitetään, että
eduskunta hyväksyisi turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen tasavallan ja Belgian kuningaskunnan välillä Helsingissä 20 päivänä heinäkuuta 2016 tehdyn sopimuksen.
Lakiehdotus
1Eduskunnan päätöksen mukaisesti säädetään:
1 §
Turvallisuusluokitellun tiedon vastavuoroisesta suojaamisesta Suomen tasavallan ja Belgian kuningaskunnan välillä Helsingissä 20 päivänä heinäkuuta 2016 tehdyn sopimuksen lainsäädännön alaan kuuluvat määräykset ovat lakina voimassa sellaisina kuin Suomi on niihin sitoutunut.
2 §
Sopimuksen muiden määräysten voimaansaattamisesta ja tämän lain voimaantulosta säädetään valtioneuvoston asetuksella.
Helsingissä 13 päivänä lokakuuta 2016
Pääministerin estyneenä ollessa, kunta- ja uudistusministeriANU VEHVILÄINENPuolustusministeriJussi Niinistö
Sopimusteksti
SopimusSuomen tasavallanjaBelgian kuningaskunnanvälilläturvallisuusluokitelluntiedon vastavuoroisestasuojaamisesta | Agreementbetweenthe Republic of Finlandandthe Kingdom of BelgiumonMutual Protection ofClassified Information |
1 artikla Tarkoitus ja soveltamisala Tämän sopimuksen tarkoituksena on varmistaa sellaisen turvallisuusluokitellun tiedon suojaaminen, jota vaihdetaan tai tuotetaan osapuolten välisessä yhteistyössä erityisesti ulko-, puolustus-, turvallisuus-, poliisi- tai tiede-, elinkeino- ja teknologia-asioiden alalla. | Article 1 Purpose and scope of application The purpose of this Agreement is to ensure the protection of Classified Information that is exchanged or created in the process of co-operation between the Parties especially in the fields of foreign affairs, defence, security, police or scientific, industrial and technological matters. |
2 artikla
Määritelmät
Tässä sopimuksessaa)
turvallisuusluokiteltu tieto
tarkoittaa muodosta, lajista tai välitysmenetelmästä riippumatta mitä tahansa osapuolen toiselle osapuolelle luovuttamaa tietoa, asiakirjaa tai aineistoa, joka on turvallisuusluokiteltu ja johon on tehty asianmukainen luokitusmerkintä kansallisten säädösten ja määräysten mukaisesti, sekä tietoa, asiakirjaa tai aineistoa, joka on tuotettu tällaisen turvallisuusluokitellun tiedon pohjalta ja johon on tehty asianmukainen luokitusmerkintä;
|
Article 2
Definitions
For the purposes of this Agreement:
|
3 artikla
Toimivaltaiset turvallisuusviranomaiset |
Article 3
Competent Security Authorities |
Suomen tasavallassa | Belgian kuningaskunnassa |
Kansallinen turvallisuusviranomainen (NSA) | National Security Authority (NSA) |
Ulkoasiainministeriö | |
SUOMI | BELGIUM |
In the Republic of Finland: | In the Kingdom of Belgium |
National Security Authority (NSA), | National Security Authority (NSA) |
Ministry for Foreign Affairs | |
FINLAND | BELGIUM |
2. Kansalliset turvallisuusviranomaiset antavat toisilleen tiedoksi mahdolliset muut toimivaltaiset turvallisuusviranomaiset, jotka vastaavat tämän sopimuksen täytäntöönpanosta eri osin.
| 2. The National Security Authorities shall notify each other of any other Competent Security Authorities which shall be responsible for the implementation of aspects of this Agreement. 3. The National Security Authorities shall notify each other of any subsequent changes of the Competent Security Authorities. 4. In order to ensure the effective implementation of this Agreement, the Competent Security Authorities may, in the scope of their competences according to their national laws and regulations, conclude, if necessary, written detailed administrative arrangements. |
4 artikla
Turvallisuusluokitukset |
Article 4
Security classifications |
Suomen tasavalta | Belgian kuningaskunta | |||
SUOMEKSI | RUOTSIKSI | HOLLANNIKSI | RANSKAKSI | ENGLANNIN KIELINEN VASTINE |
ERITTÄIN SALAINEN | YTTERST HEMLIG | ZEER GEHEIM (Wet 11.12.1998) | TRES SECRET (Loi 11.12.1998) | TOP SECRET |
SALAINEN | HEMLIG | GEHEIM (Wet 11.12.1998) | SECRET (Loi 11.12.1998) | SECRET |
LUOTTAMUKSELLINEN | KONFIDENTIELL | VERTROUWELIJK (Wet 11.12.1998) | CONFIDENTIEL (Loi 11.12.1998) | CONFIDENTIAL |
KÄYTTÖ RAJOITETTU | BEGRÄNSAD TILLGÅNG | (katso 3 kohta jäljempänä) | (katso 3 kohta jäljempänä ) | RESTRICTED |
The Republic of Finland | The Kingdom of Belgium | |||
FINNISH LANGUAGE | SWEDISH LANGUAGE | DUTCH LANGUAGE | FRENCH LANGUAGE | ENGLISH EQUIVALENT |
ERITTÄIN SALAINEN | YTTERST HEMLIG | ZEER GEHEIM (Wet 11.12.1998) | TRES SECRET (Loi 11.12.1998) | TOP SECRET |
SALAINEN | HEMLIG | GEHEIM (Wet 11.12.1998) | SECRET (Loi 11.12.1998) | SECRET |
LUOTTAMUKSELLINEN | KONFIDENTIELL | VERTROUWELIJK (Wet 11.12.1998) | CONFIDENTIEL (Loi 11.12.1998) | CONFIDENTIAL |
KÄYTTÖ RAJOITETTU | BEGRÄNSAD TILLGÅNG | (see paragraph 3hereunder) | (see paragraph 3hereunder) | RESTRICTED |
3. Suomesta saatu turvallisuusluokkaan KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG luokiteltu tieto suojataan ja käsitellään Belgiassa samalla tavoin kuin turvallisuusluokkaan RESTREINT UE / EU RESTRICTED luokiteltu tieto, jolleivät kansalliset turvallisuusviranomaiset keskenään kirjallisesti muuta sovi kansalliset säädökset ja määräykset huomioon ottaen. Belgiasta saatu tieto, jossa on merkintä BEPERKTE VERSPREIDING / DIFFUSION RESTREINTE, suojataan Suomessa samalla tavoin kuin turvallisuusluokkaan KÄYTTÖ RAJOITETTU / BEGRÄNSAD TILLGÅNG luokiteltu tieto.
|
3. Information received from Finland classified KÄYTTÖ RAJOITETTU/BEGRÄN-SAD TILLGÅNG shall be protected and handled as RESTREINT UE/EU RESTRICTED in Belgium unless otherwise agreed in writing between the National Security Authorities taking into account national laws and regulations. Information received from Belgium marked BEPERKTE VERSPREIDING/DIFFUSION RESTRE-INTE shall be protected as KÄYTTÖ RAJOITETTU/BEGRÄNSAD TILLGÅNG in Finland.
| |||
5 artikla
Turvallisuusluokitellun tiedon suojaaminen |
Article 5
Protection of Classified Information | |||
6 artikla
Turvallisuusluokitellut sopimukset |
Article 6
Classified Contracts | |||
7 artikla
Turvallisuusluokitellun tiedon välittäminen |
Article 7
Transmission of Classified Information | |||
8 artikla
Turvallisuusluokitellun tiedon kääntäminen, kopiointi ja hävittäminen |
Article 8
Translation, reproduction and destruction of Classified Information | |||
9 artikla
Vierailut |
Article 9
Visits | |||
10 artikla
Turvallisuusyhteistyö |
Article 10
Security co-operation | |||
11 artikla
Tietoturvaloukkaus |
Article 11
Breach of Security | |||
12 artikla Kustannukset Kumpikin osapuoli vastaa omista kustannuksistaan, jotka sille aiheutuvat sen täyttäessä tämän sopimuksen mukaisia velvoitteitaan. | Article 12 Costs Each Party shall bear its own costs incurred in the course of implementing its obligations under this Agreement. | |||
13 artikla Riitojen ratkaiseminen Kaikki osapuolten väliset riidat tämän sopimuksen tulkinnasta tai soveltamisesta ratkaistaan yksinomaan osapuolten välisillä neuvotteluilla. | Article 13 Resolution of disputes Any dispute between the Parties on the interpretation or application of this Agreement shall be resolved exclusively by means of consultations between the Parties. | |||
14 artikla
Loppumääräykset |
Article 14
Final provisions | |||
SUOMEN TASAVALLAN PUOLESTABELGIAN KUNINGASKUNNANPUOLESTA | FOR THE REPUBLIC OF FINLANDFOR THE KINGDOM OF BELGIUM | |||
Liite 1 Turvallisuusluokitellut sopimukset | Annex 1 Classified Contracts | |||
Tämän sopimuksen 6 artiklassa tarkoitetuissa turvallisuusluokitelluissa sopimuksissa on tapauksen mukaan oltava seuraavat tiedot:
|
Classified Contracts referred to in Article 6 of this Agreement shall contain, where appropriate, the following information:
| |||
Liite 2 Vierailupyyntö | Annex 2 Request for visit | |||
Tämän sopimuksen 9 artiklassa tarkoitettujen vierailupyyntöjen on sisällettävä seuraavat tiedot:
|
Requests for visit referred to in Article 9 of this Agreement shall contain the following information:
|