571/2016

Tämän lain tarkoituksena on parantaa julkisten palvelujen saatavuutta, laatua, tietoturvallisuutta, yhteentoimivuutta ja ohjausta sekä edistää julkisen hallinnon toiminnan tehokkuutta ja tuottavuutta.

Tässä laissa säädetään julkisen hallinnon yhteisistä sähköisen asioinnin tukipalveluista, niitä koskevista vaatimuksista, niiden tuottamiseen liittyvistä tehtävistä sekä tuottamiseen liittyvästä henkilötietojen ja muiden tietojen käsittelystä. Lisäksi tässä laissa säädetään oikeudesta ja velvollisuudesta käyttää yhteisiä sähköisen asioinnin tukipalveluja sekä palvelujen käytön edellytyksistä.

Jollei tässä tai muussa laissa toisin säädetä, yhteisten sähköisen asioinnin tukipalvelujen tuottamisen edellyttämään henkilö- ja muiden tietojen käsittelyyn sovelletaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettua Euroopan parlamentin ja neuvoston asetusta (EU) 2016/679, jäljempänä tietosuoja-asetus , tietosuojalakia (1050/2018) ja viranomaisten toiminnan julkisuudesta annettua lakia (621/1999) , viestinnän välittämiseen ja viestien ja välitystietojen käsittelyyn sähköisen viestinnän palveluista annettua lakia (917/2014) sekä tiedonhallintaan ja tietojärjestelmien käyttöön julkisen hallinnon tiedonhallinnasta annettua lakia (906/2019) . (9.8.2019/926)

4 momentti on kumottu L:lla 9.8.2019/926 .

Tässä laissa tarkoitetaan:

Yhteisiä sähköisen asioinnin tukipalveluja ovat:

Luonnollisen henkilön tunnistuspalvelussa henkilö voidaan tunnistaa myös sellaisella tunnistusmenetelmällä, joka sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 910/2014 6 artiklan mukaan kuuluu vastavuoroisesti tunnustettaviin sähköisen tunnistamisen menetelmiin. Tällöin luonnollisen henkilön tunnistuspalvelusta voidaan luovuttaa käyttäjäorganisaatiolle myös sellaisia henkilön yksilöiviä tietoja, jotka tunnistustapahtuman yhteydessä välitetään toisesta jäsenvaltiosta. (19.12.2019/1314)

Valtiovarainministeriön asetuksella voidaan antaa sen hallinnonalalla toimivan viranomaisen tehtäväksi tuottaa ja kehittää myös muuta kuin 1 momentissa tarkoitettua tukipalvelua edellyttäen, että palvelu on luonteeltaan tekninen, hallinnossa asiointia tai julkisten tietojen saatavilla pitämistä palveleva tukipalvelu eikä sen tuottamisessa käytetä julkista valtaa.

Digi- ja väestötietovirasto tuottaa ja kehittää 3 §:n 1 momentin 1–7 kohdassa tarkoitettuja tukipalveluja. (29.11.2019/1174)

Valtiokonttori tuottaa ja kehittää 3 §:n 1 momentin 8 kohdassa tarkoitettua tukipalvelua.

Maanmittauslaitos tuottaa ja kehittää 3 §:n 1 momentin 9 kohdassa tarkoitettua tukipalvelua.

Valtion yhteisten tieto- ja viestintäteknisten palvelujen tuotannosta ja käytöstä säädetään valtion yhteisten tieto- ja viestintäteknisten palvelujen järjestämisestä annetussa laissa (1226/2013) .

Seuraavat julkisen hallinnon viranomaiset ovat velvollisia käyttämään 3 §:n 1 momentin 1–4, 7 ja 8 kohdassa tarkoitettuja tukipalveluja sekä asiointivaltuuspalvelusta saatavaa tietoa henkilön toimivallasta laillisena edustajana, kun tukipalvelu on käytettävissä ja kyseistä tukipalvelua vastaavan itsenäisesti hankitun palvelun palvelusopimus on päättynyt, jollei viranomaisen ole teknisistä tai toiminnallisista tai kustannustehokkuuteen taikka tietoturvallisuuteen liittyvistä syistä välttämätöntä käyttää toiminnassaan tai sen osassa muuta palvelua:

(8.7.2022/649)

Julkisen hallinnon viranomaiset, itsenäiset julkisoikeudelliset laitokset, eduskunta virastoineen ja valtion talousarvion ulkopuoliset rahastot sekä lailla tai lain nojalla annetulla asetuksella tai lain nojalla annetulla valtion hallintoviranomaisen päätöksellä julkista hallintotehtävää itsenäisesti hoitamaan asetetut saavat käyttää kaikkia tukipalveluja laissa säädetyn julkisen hallintotehtävän hoitamiseksi. Kunnalliset viranomaiset saavat käyttää kaikkia tukipalveluja myös muissa tehtävissään.

Lakiin perustuvan sopimuksen nojalla tai muulla kuin 2 momentissa tarkoitetulla perusteella julkista tehtävää hoitavat saavat käyttää tässä tehtävässään muita tukipalveluja paitsi tunnistuspalveluja ja verkkomaksamisen kokoamis- ja hallinnointipalvelua sekä viestinvälityspalvelua. Näiden tarjoamisesta tässä momentissa tarkoitetuille organisaatioille päättää kyseistä tukipalvelua tuottava palvelutuottaja, joka tarvittaessa päättää myös siitä, onko käyttäjäorganisaatio tässä momentissa tai 2 momentissa tarkoitettu organisaatio.

Tukipalvelujen käyttöön velvoitetun käyttäjäorganisaation on tarjottava tuottamiaan palveluja sekä sen järjestämisvastuulla olevia palveluja koskevat julkiset tiedot palvelutietovarantoon saataville. Sama koskee käyttäjäorganisaatiota, jolla on oikeus käyttää palvelutietovarantoa, jos se päättää käyttää oikeuttaan.

Tukipalvelujen käyttöön velvoitetun käyttäjäorganisaation on tarjottava rekistereihinsä merkittyjä luonnollista henkilöä tai organisaatiota koskevia tietoja tietojen kohteen tai tämän toimivaltaisen edustajan saataville palvelunäkymässä. Velvollisuus koskee tietoja, joita käyttäjäorganisaatio muutoinkin tarjoaa tietoverkon avulla tietojen kohteille nähtäväksi sekä tietoja, jotka ovat tietojen kohteelle yleisesti hyödyllisiä tämän hoitaessa asioitaan sähköisesti. Sama koskee käyttäjäorganisaatiota, jolla on oikeus käyttää palvelunäkymää, jos se päättää käyttää oikeuttaan.

Käyttäjäorganisaatio päättää Digi- ja väestötietovirastoa kuultuaan 2 momentissa tarkoitetuista tiedoista. Digi- ja väestötietovirastolla on päätöksellään oikeus rajoittaa 1 ja 2 momentissa tarkoitettujen tietojen tarjoamista, jos rajoittaminen käytetyn tukipalvelun luonne huomioon ottaen on tarpeen. Tukipalvelun käytön kieltämisestä ja estämisestä säädetään 8 §:n 4 momentissa. (29.11.2019/1174)

Tukipalvelun käyttöön velvoitetun on käyttövelvollisuudesta poiketakseen haettava velvollisuudesta poikkeamista kyseistä tukipalvelua tuottavalta palvelutuottajalta. Palvelutuottajan on ennen kielteisen päätöksen antamista annettava hakijalle mahdollisuus saattaa asia valtiovarainministeriön ratkaistavaksi. Valtiovarainministeriö voi myös omasta aloitteestaan tai palvelutuottajan pyynnöstä ottaa asian ratkaistavakseen, jos kyse on tässä laissa tarkoitetun yleisen ohjauksen tai julkisen hallinnon tietohallinnon ohjauksen kannalta merkittävästä asiasta.

Yksityiset yhteisöt, säätiöt ja elinkeinonharjoittajat saavat käyttää kansallista palveluväylää tietojen siirtoon.

Yksityiset yhteisöt, säätiöt ja elinkeinonharjoittajat saavat tarjotessaan palvelujaan yleisölle käyttää:

Valtiovarainministeriön asetuksella voidaan säätää yksityisten yhteisöjen ja elinkeinonharjoittajien oikeudesta käyttää 3 §:n 2 momentissa tarkoitettuja tukipalveluja.

Digi- ja väestötietovirasto voi päätöksellään kieltää tukipalvelun käytön tai estää sen kokonaan tai osittain sellaiselta yksityiseltä yhteisöltä, säätiöltä tai elinkeinonharjoittajalta: (29.11.2019/1174)

Digi- ja väestötietovirastolla on oikeus sille tässä laissa säädettyjen tehtävien hoitamiseksi käsitellä seuraaviin tietojärjestelmiin tallennettuja tässä pykälässä tarkoitettuja tietoja noudattaen tätä lukua: (29.11.2019/1174)

Digi- ja väestötietovirasto pitää asiointivaltuuspalvelun tarjoamiseksi rekisteriä luonnollisten henkilöiden antamista sekä yhteisöjen ja yhteenliittymien puolesta annetuista, Digi- ja väestötietoviraston ennalta määrittelemistä asiointia koskevista valtuutuksista ja muista yksipuolisista tahdonilmaisuista. Digi- ja väestötietovirasto voi tarjotessaan asiointivaltuuspalvelua välittää myös muiden viranomaisten tallentamia ja rekisterinpitäjänä ylläpitämiä valtuutusta ja muita tahdonilmaisuja koskevia tietoja, jos näitä tietoja tallentava viranomainen on antanut sille luvan tietojen välittämiseen eikä toiminta vaaranna asiointivaltuuspalvelussa välitettävien tietojen luotettavuutta.

Edellä 1 momentissa tarkoitetun tahdonilmaisun rekisteröinnin edellytyksenä on, että tahdonilmaisun antaja tunnistetaan luotettavasti luonnollisen henkilön tunnistuspalvelua käyttäen tai muulla sellaisella tunnistusmenetelmällä, joka on tietoturvallinen ja todisteellinen. Lisäksi edellytyksenä on, että henkilön toimintakelpoisuus ja tarvittaessa toimivalta pystytään tarkastamaan 1 momentissa tai 9 §:ssä tarkoitetuista rekistereistä tai vastaavista ulkomaisista rekistereistä tai niissä oleviin tietoihin perustuvista, oikeaksi todistetuista asiakirjoista taikka muista toimivaltaa taikka toimintakelpoisuutta luotettavasti osoittavista asiakirjoista. Henkilön toimintakelpoisuutta ei tarvitse tarkastaa, jos tietoa ei ole saatavilla 9 §:ssä tarkoitetuista rekistereistä.

Tahdonilmaisun rekisteröinti voi perustua myös kirjalliseen valtakirjaan tai muuhun tahdonilmaisuun, jos asiakirjan alkuperäisyyttä tai eheyttä ei ole syytä epäillä.

Digi- ja väestötietovirasto hyväksyy 2 momentissa tarkoitetut muut tunnistusmenetelmät kuin luonnollisen henkilön tunnistuspalvelun. Ennen sähköisten tunnistusmenetelmien hyväksymistä Digi- ja väestötietoviraston on kuultava valtiovarainministeriötä ja Liikenne- ja viestintävirastoa. Digi- ja väestötietoviraston on huolehdittava siitä, että hyväksyttyjen menetelmien käyttöä koskevat tiedot ovat maksutta saatavissa yleisen tietoverkon kautta.

Digi- ja väestötietoviraston on huolehdittava tallennetun tahdonilmaisun sisällön eheydestä ja että tahdonilmaisun hyväksymistä ja sitä edeltävää henkilön tunnistamista koskeva tieto pystytään yhdistämään tahdonilmaisun sisältöön.

Edellä 10 §:n 1 momentissa tarkoitettuun rekisteriin tallennettu tahdonilmaisu poistetaan rekisteristä sen antajan tai valtuutetun pyynnöstä. Tahdonilmaisun poistamista pyytävän tunnistamisessa ja poistamisen edellytysten tarkistamisessa noudatetaan mainitun pykälän 2, 3 ja 5 momenttia.

Digi- ja väestötietovirasto voi ilman pyyntöä poistaa tahdonilmaisun rekisteristä tai väliaikaisesti estää tahdonilmaisua koskevan tiedon käytön, jos sillä on syytä epäillä, että tahdonilmaisu on rekisterissä virheellisin perustein. Digi- ja väestötietoviraston on ennen tahdonilmaisun rekisteristä poistamista kuultava tahdonilmaisun antajaa.

Sen lisäksi, mitä julkisen hallinnon yhteispalvelusta annetun lain (223/2007) , jäljempänä yhteispalvelulaki , 6 §:ssä säädetään yhteispalvelussa hoidettavista tehtävistä, Digi- ja väestötietovirasto voi antaa tahdonilmaisujen rekisteröintiin liittyviä avustavia tehtäviä yhteispalvelussa hoidettavaksi. Näihin tehtäviin voi kuulua:

Jos yhteispalvelun toimeksisaaja lisäselvitysten jälkeenkään ei voi tehdä rekisteröintiä tai rekisteristä poistamista pyynnön mukaisesti, sen on siirrettävä asia Digi- ja väestötietoviraston käsiteltäväksi.

Tämän lain mukaisia tehtäviä koskevassa yhteispalvelusopimuksessa voidaan poiketa yhteispalvelulain 5 a §:ssä tarkoitetusta toimeksisaajan kustannusten korvaamisesta. Sopimuksessa voidaan myös sopia, että asiointivaltuuspalvelun käyttäjäorganisaationa toimiva viranomainen osallistuu kustannusten korvaamiseen toimeksisaajalle.

Digi- ja väestötietoviraston tai yhteispalvelun toimeksisaajan on ilmoitettava tahdonilmaisun rekisteröinnistä ja rekisteristä poistamisesta tahdonilmaisun antajalle.

Jos tahdonilmaisun rekisteröintiä tai rekisteristä poistamista ei lisäselvityspyynnön jälkeenkään ole voitu tehdä rekisteröintiä tai rekisteristä poistamista koskevan pyynnön mukaisesti taikka jos tahdonilmaisun ilman pyyntöä tehty rekisteristä poistaminen on tahdonilmaisun antajan mukaan aiheeton, Digi- ja väestötietoviraston on tehtävä päätös asiasta ja ilmoitettava tahdonilmaisun rekisteröintiä tai rekisteristä poistamista pyytäneelle taikka ilman pyyntöä tehtyyn tahdonilmaisun rekisteristä poistamiseen tyytymättömälle päätöksestään ja mahdollisuudesta hakea siihen oikaisua.

Digi- ja väestötietoviraston on ilmoitettava ilman pyyntöä tehdystä tahdonilmaisun rekisteristä poistamisesta ja käytön estämisestä myös niille tahoille, jotka Digi- ja väestötietoviraston tiedon mukaan ovat luottaneet tahdonilmaisun olemassaoloon. Palvelutuotannossa käsiteltävien tietojen luovuttamisesta säädetään 14 §:ssä.

Viestinvälityspalvelun palvelutuottaja pitää viranomaistoimintaan liittyvän sähköisen tiedoksiannon toteuttamista varten rekisteriä käyttäjien antamista sähköistä tiedoksiantomenettelyä koskevista yleisistä suostumuksista.

Suostumusten rekisteröimisessä noudatetaan mitä 10 §:n 2–4 momentissa säädetään tahdonilmaisujen rekisteröimisessä noudatettavasta menettelystä. Suostumusten rekisteröimisessä voidaan myös teknisesti hyödyntää 10 §:ssä tarkoitettua rekisteriä.

Viranomainen voi tiedoksiantoa suorittaessaan luottaa 1 momentissa tarkoitettuun rekisteriin merkittyyn tietoon. Tiedoksiantamisen tavoista säädetään erikseen.

Digi- ja väestötietovirastolla on oikeus käsitellä 9 §:ssä tarkoitettuja henkilö- ja muita tietoja sen vastuulle kuuluvien tukipalvelujen tuottamiseksi ja kehittämiseksi. (29.11.2019/1174)

Palvelutuottajalla on rekisterinpitäjänä oikeus käsitellä sen vastuulle kuuluvan tukipalvelun käytöstä tallennettuja tietoja tukipalvelussa tapahtuneen tietojenkäsittelyn oikeellisuuden osoittamiseksi taikka muutoin sen vastuulle kuuluvan tukipalvelun tuottamiseksi ja kehittämiseksi sekä toimivuudesta ja tietoturvallisuudesta huolehtimiseksi. Tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole enää tässä momentissa tarkoitettua perustetta. Perustetta ja käsittelyn tarvetta on arvioitava vähintään viiden vuoden välein, jollei laista muuta johdu.

Digi- ja väestötietovirastolla on oikeus luonnollisen henkilön tunnistuspalvelua tarjotessaan luovuttaa henkilön käyttämää asiointipalvelua ylläpitävälle käyttäjäorganisaatiolle henkilön nimeä, henkilötunnusta ja sähköistä asiointitunnusta koskeva tieto, jos käyttäjäorganisaatiolla on lain perusteella oikeus käsitellä mainittuja tietoja. Digi- ja väestötietovirastolla on väestötietojärjestelmästä ja Digi- ja väestötietoviraston varmennepalveluista annetun lain 69 a §:n 1 momentin mukaista ulkomaan kansalaisen tunnistuspalvelua tarjotessaan oikeus luovuttaa henkilön käyttämää asiointipalvelua tarjoavalle käyttäjäorganisaatiolle henkilön tunnistamiseksi tarpeelliset tiedot, jos käyttäjäorganisaatiolla on lain perusteella oikeus käsitellä mainittuja tietoja. (19.12.2019/1314)

Digi- ja väestötietovirastolla on asiointivaltuuspalvelua tarjotessaan oikeus 9 §:ssä tarkoitetuista julkisen hallinnon rekistereistä haettujen henkilön toimintakelpoisuutta ja toimivaltaa koskevien tietojen sekä 10 §:n 1 momentin nojalla ylläpitämänsä valtuutuksia ja tahdonilmaisuja koskevan rekisterin perusteella koostaa ja luovuttaa käyttäjäorganisaatiolle välttämättömät tiedot toimintakelpoisuuden rajoituksen tai toimivaltuuden taikka muun tahdonilmaisun olemassaolon toteamiseksi. (29.11.2019/1174)

Palvelutuottajalla on oikeus viestinvälityspalvelua tarjotessaan luovuttaa käyttäjäorganisaatiolle 11 §:n 1 momentissa tarkoitetusta rekisteristä tiedoksiantamisen suorittamiseksi välttämättömät tiedot sekä viestinvälityspalvelun avulla tapahtuneen tiedoksiantamisen todentamiseksi tarpeelliset tiedot.

6 momentti on kumottu L:lla 9.8.2019/926 .

Digi- ja väestötietoviraston on luonnollisen henkilön tunnistuspalvelussa ja ulkomaan kansalaisen tunnistuspalvelussa käsiteltävien tietojen rekisterinpitäjänä säilytettävä tunnistustapahtuman todentamiseksi tarpeelliset tiedot viisi vuotta tunnistustapahtumaa seuraavan kalenterivuoden alusta lukien. (19.12.2019/1314)

Digi- ja väestötietoviraston on säilytettävä 10 §:n 1 momentin nojalla ylläpitämänsä rekisterin tiedot, rekisterin tietojenkäsittelyn oikeellisuuden osoittamiseksi tarpeelliset tiedot sekä asiointivaltuuspalveluun tehtyjä kyselyjä ja niihin annettuja vastauksia koskevat tiedot, jollei käyttäjäorganisaation säilytysvelvollisuudesta muuta johdu. (29.11.2019/1174)

Palvelutuottajan on säilytettävä 11 §:n 1 momentin mukaisen rekisterin tiedot sekä rekisterin tietojenkäsittelyn ja tiedoksiantamisen todentamiseksi tarpeelliset tiedot, ellei käyttäjäorganisaation säilytysvelvollisuudesta muuta johdu. Palvelutuottajan on säilytettävä viestinvälityspalvelun avulla välitetyt viestit kaksi vuotta, jollei käyttäjä ole niitä sitä ennen poistanut.

Edellä 2 ja 3 momentissa tarkoitetut tiedot on poistettava rekisteristä välittömästi sen jälkeen, kun käsittelylle ei ole enää laillista perustetta. Rekisterinpitäjän on arvioitava mainittujen tietojen säilyttämisen tarve vähintään viiden vuoden välein, jollei laista muuta johdu.

5 momentti on kumottu L:lla 9.8.2019/926 .

Sen lisäksi mitä 12 §:n 3–5 momentissa säädetään, palvelutuottaja voi salassapitosäännösten estämättä luovuttaa tukipalvelun käytöstä tallennettuja tietoja sille käyttäjäorganisaatiolle, jonka asiointipalvelun käytön tai muun asioinnin yhteydessä tiedot on tallennettu tai joka on ollut viestinvälityspalvelun avulla välitetyn viestinnän osapuolena, jos tiedot ovat käyttäjäorganisaatiolle välttämättömiä:

Käyttäjäorganisaatio voi salassapitosäännösten estämättä luovuttaa sen asiointipalvelun käytöstä tallennettuja tietoja sille palvelutuottajalle, jonka tukipalvelua asiointipalvelussa käytetään, jos tiedot ovat palvelutuottajalle välttämättömiä:

Palvelutuottaja voi, jollei viranomaisten toiminnan julkisuudesta annetun lain 11 tai 12 §:stä muuta johdu, luovuttaa tukipalvelun käytöstä tallennettuja tietoja:

Käyttäjäorganisaatiolla on rekisterinpitäjänä oikeus:

Palvelunäkymässä näytettävät tiedot haetaan käyttäjäorganisaation rekisteristä palvelunäkymään henkilötunnuksella tai muulla yksilöivällä tunnuksella. Käyttäjäorganisaation on välittömästi hävitettävä palvelunäkymästä sen tietojärjestelmään tullut henkilötunnusta tai muuta yksilöivää tunnusta koskeva tieto, jos sillä ei ole oikeutta käsitellä kyseistä tietoa. (9.8.2019/926)

Käyttäjäorganisaatio vastaa rekisterinpitäjänä palvelutietovarantoon ja palvelunäkymään saataville tuomiensa tietojen oikeellisuudesta. Palvelutuottajan vastuusta säädetään 16 §:ssä.

Palvelutuottaja vastaa tuottamansa tukipalvelun laadusta ja kustannustehokkuudesta sekä siitä, että palvelu on käyttötarkoitukseensa yleisesti soveltuva, suorituskykyinen, toimintavarma sekä mahdollisimman käyttäjäystävällinen ja esteetön. Palvelutuottajan on tukipalvelun toteuttamisessa noudatettava julkisen hallinnon kokonaisarkkitehtuuria ja yhteentoimivuuden kuvauksia ja määrityksiä.

Sen lisäksi, mitä tietosuoja-asetuksessa ja tietosuojalaissa säädetään, palvelutuottaja vastaa tukipalvelun tuottamisen edellyttämän tietojen yhdistämisen oikeellisuudesta sekä tukipalveluissa käsiteltävien tietojen tietoturvallisuudesta. (9.8.2019/926)

Palvelutuottaja vastaa siitä, että sen tuottama tukipalvelu on suunniteltu, rakennettu ja ylläpidetty siten, että:

Palvelutuottajan on laadittava tarjoamastaan tukipalvelusta palvelukuvaus ja ylläpidettävä sitä. Palvelukuvauksesta tulee palvelun toiminnallisuuksien lisäksi riittävällä tarkkuudella käydä ilmi, miten 1–3 momentissa säädetyt vaatimukset sekä 17 §:n 1 ja 2 momentissa säädetyt tietoturvallisuusvaatimukset on tukipalvelussa toteutettu sekä tukipalveluun liittymisen vaatimukset sekä rajapintavaatimukset.

Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä tässä pykälässä tarkoitetuista tukipalvelujen laatua ja tietoturvallisuutta koskevista vaatimuksista.

Palvelutuottajan on tarkoituksenmukaisin keinoin varmistuttava, että sen tukipalvelun tuottamiseen käytettävä tietojärjestelmä on suunniteltu, valmistettu ja toimii tietoturvallisuutta ja tietosuojaa koskevien lakien ja niiden nojalla annettujen säännösten sekä yhteentoimivuutta koskevien kansallisten määritysten mukaisesti.

Tukipalvelu on tuotettava ja kehitettävä siten, että perustason tai korotetun tason tietoturvallisuusvaatimukset täyttävien tietojen käsittely-ympäristöjen muodostaminen on tarvittaessa mahdollista. Tietoturvallisuusvaatimusten tarve ja toteutustapa tulee arvioida riskienhallintamenetelmien avulla.

Ennen käyttäjäorganisaation tietojärjestelmän liittämistä tukipalveluun palvelutuottaja voi edellyttää käyttäjäorganisaatiolta tukipalvelun tietoturvallisuuden ja laadun varmistamiseksi tarpeellisten vaatimusten täyttämistä. Palvelutuottajan ja käyttäjäorganisaation on tarpeen mukaisilla ja ennalta sovituilla tietoturvallisuustoimenpiteillä sekä testauksilla varmistuttava siitä, ettei liittämisellä vaaranneta käyttäjäorganisaation asiointipalvelun tai henkilötietojen taikka tukipalvelun tai niiden tuottamiseen käytetyn tietojärjestelmän tietoturvallisuutta.

Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä 1 momentissa tarkoitettujen tietojärjestelmien tietoturvallisuutta koskevista vaatimuksista ja niiden täyttymisen toteamisesta, 2 momentissa tarkoitetusta tietojenkäsittely-ympäristöjen muodostamisesta sekä 3 momentissa tarkoitetusta käyttäjäorganisaation tietojärjestelmän liittämistä koskevista tietoturvallisuustoimenpiteistä.

Jos palvelutuottajan tukipalvelun tuottamiseen käytetty tietojärjestelmä tai käyttäjäorganisaation tukipalveluun liitetty tietojärjestelmä aiheuttaa haittaa tukipalveluun käytetyn tai siihen liitetyn tietojärjestelmän toiminnalle tai tietoturvallisuudelle, haittaa aiheuttavasta tietojärjestelmästä vastaavan tahon on välittömästi ryhdyttävä toimenpiteisiin tilanteen korjaamiseksi. Tarvittaessa palvelutuottaja tai käyttäjäorganisaatio voi kytkeä tietojärjestelmänsä irti toisen ylläpitämästä järjestelmästä.

Palvelutuottajan on viipymättä ilmoitettava sen tukipalveluja käyttäville käyttäjäorganisaatioille sekä tukipalvelujen käyttäjille, jos sen tukipalveluun kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus taikka muu tapahtuma, joka estää tukipalvelun toimivuuden tai häiritsee sitä olennaisesti taikka vaarantaa tietoturvallisuuden toteutumisen. Ilmoituksessa on kerrottava häiriön tai sen uhkan arvioitu kesto sekä mahdollisuuksien mukaan käyttäjäorganisaation ja tukipalvelun käyttäjän käytettävissä olevista suojaustoimenpiteistä. Lisäksi palvelutuottajan on ilmoitettava käyttäjäorganisaatioille ja tukipalvelun käyttäjille häiriön tai uhkan päättymisestä.

Käyttäjäorganisaation on viipymättä ilmoitettava palvelutuottajalle, jos kyseisen palvelutuottajan tukipalveluun liitettyyn käyttäjäorganisaation tietojärjestelmään kohdistuu tai sitä uhkaa merkittävä tietoturvaloukkaus taikka muu tapahtuma, joka voi vaarantaa tukipalvelun tietoturvallisuuden tai toimivuuden tai häiritä sitä olennaisesti. Ilmoituksessa on kerrottava häiriön tai uhkan sisältö, arvioitu kesto ja mahdollisuuksien mukaan suojaustoimenpiteet. Lisäksi käyttäjäorganisaation on ilmoitettava palvelutuottajalle häiriön tai uhkan päättymisestä.

Palvelutuottajan on raportoitava tukipalvelujensa toimivuudesta ja tietoturvallisuudesta säännöllisesti sekä ilmoitettava niihin liittyvistä merkittävistä poikkeamista viivytyksettä valtiovarainministeriölle tai sen osoittamalle viranomaiselle.

Palvelutuottajien on valmiussuunnitelmin ja normaaliolojen häiriötilanteissa tai poikkeusoloissa tapahtuvan toiminnan etukäteisvalmisteluin sekä muilla toimenpiteillä huolehdittava siitä, että toiminta ja palvelujen tuotanto jatkuvat mahdollisimman häiriöttömästi normaaliolojen häiriötilanteissa sekä poikkeusoloissa.

Ellei muussa laissa toisin säädetä, normaalioloissa ja niiden häiriötilanteissa noudatetaan tässä laissa tarkoitettujen palvelujen tuotannon ja käytön ensisijaisuus- ja kiireellisyysmäärittelyssä sekä muussa tärkeysmäärittelyssä valtiovarainministeriön ennalta määrittelemiä periaatteita. Valtiovarainministeriön on ennen periaatteiden vahvistamista kuultava asianomaisia palvelutuottajia, niiden asiakkaita ja ministeriöitä. Valtioneuvosto päättää merkitykseltään laajakantoisista ja yhteiskunnallisesti merkittävistä periaatteista.

Palvelutuottajan varautumisvelvollisuudesta ja valtion tietohallinnon ohjauksesta sekä sähköisten palvelujen järjestämisestä poikkeusoloissa säädetään valmiuslaissa (1552/2011) .

Digi- ja väestötietoviraston on tietojen käsittelyn laillisuuden varmistamiseksi pidettävä lokirekisteriä 3 §:n 1 momentin 1–7 kohdassa tarkoitettujen tukipalvelujen käytöstä tallennettujen tietojen käsittelystä. Lokirekisteriin on tallennettava tieto tietojen käsittelijästä, käsittelyn ajankohdasta sekä käsittelyn kohteena olleista järjestelmän tiedoista tai tietoryhmistä. Lisäksi on tallennettava tiedot tahosta, jolle tiedot on luovutettu 14 §:n nojalla.

Digi- ja väestötietoviraston on säilytettävä lokirekisteriin tallennetut tiedot vähintään kaksi vuotta niiden tallentamisajankohtaa seuraavan kalenterivuoden alusta lukien.

Digi- ja väestötietovirasto saa käyttää lokirekisteriin tallennettuja tietoja tukipalvelujen käytöstä tallennettujen tietojen käsittelyn seurantaa ja valvontaa sekä tietoturvallisuuden ylläpitoa varten.

Digi- ja väestötietovirasto voi luovuttaa lokirekisteriin tallennettuja tietoja poliisi- ja esitutkintaviranomaiselle tukipalvelun käytöstä tallennettujen tietojen lain vastaista käsittelyä koskevan rikoksen selvittämistä varten, jollei yksittäisten tietojen luovuttamisesta poliisille toisin säädetä.

Lisäksi Digi- ja väestötietovirasto voi, jollei viranomaisten toiminnan julkisuudesta annetun lain 11 tai 12 §:stä muuta johdu, luovuttaa lokirekisteriin tallennettuja tietoja:

Valtiovarainministeriön tehtävänä on ohjata tässä laissa tarkoitettujen tukipalvelujen järjestämistä, palvelujen laatua sekä näiden palvelujen yhteentoimivuutta ja kokonaisarkkitehtuurin mukaisuutta. Valtiovarainministeriö vastaa tukipalvelujen palvelutuotannon yleishallinnollisesta, strategisesta sekä tieto- ja viestintäteknisen varautumisen, valmiuden ja turvallisuuden ohjauksesta. (9.8.2019/926)

Digi- ja väestötietoviraston tuottaman palvelunäkymän yrityksen palvelunäkymää koskevan kokonaisuuden sisällön ja rakenteen strategisesta ohjauksesta vastaavat valtiovarainministeriö ja työ- ja elinkeinoministeriö yhdessä. (29.11.2019/1174)

Maanmittauslaitoksen tuottaman, 3 §:n 1 momentin 9 kohdassa tarkoitetun hallinnon karttapalvelua koskevan kokonaisuuden sisällön ja rakenteen strategisesta ohjauksesta vastaavat valtiovarainministeriö ja maa- ja metsätalousministeriö yhdessä.

Valtiovarainministeriöllä on oikeus saada tehtävänsä suorittamiseksi riittävät ja tarvittavat tiedot palvelutuottajilta koskien palvelutuotannon laatua ja kustannustehokkuutta sekä muita tässä laissa tarkoitettuja palvelutuotannolle asetettuja vaatimuksia.

Palvelutuottajan tämän lain nojalla tekemään päätökseen saa hakea oikaisua palvelutuottajalta.

Valtiovarainministeriön tämän lain 7 §:n nojalla tekemään päätökseen saa hakea oikaisua valtiovarainministeriöltä.

Oikaisuvaatimusmenettelystä säädetään hallintolain (434/2003) 7 a luvussa .

Tukipalvelujen tuottamisesta aiheutuvat kustannukset katetaan valtion varoista ja tukipalvelun käyttö on käyttäjäorganisaatiolle maksutonta pois lukien 3 §:n 1 momentin 4–6 ja 8 kohdassa tarkoitettujen palvelujen käyttö, josta palvelutuottaja voi periä käyttäjäorganisaatiolta maksun. Maksuista säädetään valtion maksuperustelaissa (150/1992) . (19.12.2019/1314)

Käyttäjäorganisaatio vastaa itse sille tukipalvelujen käyttöön liittymisestä sekä palvelutietovarannon ja palvelunäkymän sisältämien tietojen ylläpidosta aiheutuvista kustannuksista.

Viestinvälityspalvelun käyttäjäorganisaation puolesta lähettämien kirjeiden kustannuksista vastaa käyttäjäorganisaatio.

Käyttäjäorganisaatio vastaa itse vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain mukaisten tunnistuspalveluntarjoajien kanssa solmimiinsa tunnistamispalvelun tarjoamista koskeviin sopimuksiin perustuvista maksuista.

Tämä laki tulee voimaan 15 päivänä heinäkuuta 2016.

Valtion tieto- ja viestintätekniikkakeskus Valtori tuottaa ja kehittää 3 §:n 1 momentin 5 ja 8 kohdassa tarkoitettuihin palveluihin kuuluvaa tunnistamisen, allekirjoittamisen ja maksamisen kokoamis- ja hallinnointipalvelua enintään 31 päivään joulukuuta 2017, tämä päivä mukaan lukien.

Valtion tieto- ja viestintätekniikkakeskus Valtori tuottaa ja kehittää 3 §:n 1 momentin 7 kohdassa tarkoitettua palvelua sekä pitää 11 §:ssä tarkoitettua rekisteriä enintään 31 päivään joulukuuta 2017, tämä päivä mukaan lukien, jonka jälkeen palvelutuotanto ja rekisterinpito siirtyvät Väestörekisterikeskuksen tehtäväksi 4 §:n 1 momentin nojalla.

Valtiokonttori tuottaa ja kehittää 3 §:n 1 momentin 2 kohdassa tarkoitettuihin palveluihin kuuluvaa Suomi.fi –palvelua enintään 31 päivään joulukuuta 2017, tämä päivä mukaan lukien.

Verohallinto tuottaa ja kehittää 3 §:n 1 momentin 5 kohdassa tarkoitettuihin palveluihin kuuluvaa sähköistä tunnistuspalvelua, jonka avulla viranomainen tai muu julkista tehtävää hoitava voi julkista tehtävää hoitaessaan tunnistaa organisaation ja sitä edustavan henkilön, enintään 31 päivään joulukuuta 2016, tämä päivä mukaan lukien, jonka jälkeen palvelutuotanto siirtyy Väestörekisterikeskukselle.

Elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskus tuottaa ja kehittää 3 §:n 1 momentin 2 ja 3 kohdassa tarkoitettuihin palveluihin kuuluvaa Yrityssuomi.fi -palvelua enintään 31 päivään joulukuuta 2017, tämä päivä mukaan lukien.

Valtiovarainministeriö päättää tarkemmin 2–4 momentissa säädettyjen määräaikojen puitteissa Väestörekisterikeskukselle siirrettävistä tehtävistä ja toiminnoista sekä aikatauluista.

Valtioneuvosto päättää tarkemmin 5 momentissa säädetyn määräajan puitteissa elinkeino-, liikenne- ja ympäristökeskusten sekä työ- ja elinkeinotoimistojen kehittämis- ja hallintokeskukselta Väestörekisterikeskukselle siirrettävistä tehtävistä ja toiminnoista sekä aikatauluista.

Valtion tieto- ja viestintätekniikkakeskus Valtorin tuottamaan tukipalveluun liittyvien tehtävien siirtyessä valtiovarainministeriön 27 §:n 6 momentissa tarkoitetun päätöksen tai 3 §:n 2 momentissa tarkoitetun asetuksen mukaisesti Väestörekisterikeskukseen, kyseisiä tehtäviä hoitava työsopimussuhteinen henkilöstö siirtyy Väestörekisterikeskukseen virkasuhteeseen. Määräaikaisessa työsuhteessa näissä tehtävissä oleva henkilöstö siirtyy palvelussuhteensa keston ajaksi Väestörekisterikeskukseen määräaikaiseen virkasuhteeseen. Työsopimussuhteessa oleva henkilö voidaan siirtää ilman hänen suostumustaan, jos hänet siirretään hänen työssäkäyntialueellaan tai työssäkäyntialueelleen. Työssäkäyntialueella tarkoitetaan työttömyysturvalain (1290/2002) 1 luvun 9 §:n mukaista aluetta.

Työntekijä saa työsuhteessa muutoin sovellettavaa irtisanomisaikaa noudattamatta tai sen kestoajasta riippumatta irtisanoa työsopimuksen päättymään siirtopäivästä, jos hän on saanut tiedon siirrosta Valtion tieto- ja viestintätekniikkakeskus Valtorilta tai Väestörekisterikeskukselta viimeistään kuukautta ennen siirtopäivää. Jos työntekijälle on annettu tieto siirrosta myöhemmin, hän saa irtisanoa työsopimuksensa päättymään siirtopäivästä tai tämän jälkeen, viimeistään kuitenkin kuukauden kuluessa saatuaan tiedon siirrosta. Siirtyvien henkilöiden palvelussuhteen katsotaan palvelussuhde-etuuksien määräytymisen kannalta jatkuneen valtiolla yhdenjaksoisena.

Edellä 27 §:n 3–5 momentissa tarkoitettuja siirrettäviä tehtäviä virkasuhteessa hoitavan henkilöstön asemasta säädetään valtion virkamieslain (750/1994) 2 luvussa .

Käyttöön velvoitetun käyttäjäorganisaation on:

Yksityisten yhteisöjen, säätiöiden ja elinkeinonharjoittajien oikeus käyttää palvelutietovarantoa palvelujaan koskevien tietojen tarjoamiseen tulee voimaan, kun yksityisten yhteisöjen ja elinkeinonharjoittajien palvelutietovarannon käyttövaltuuksien hallintamallit ovat valmiit, viimeistään 1 päivänä heinäkuuta 2017.

Tehtävien ja toimintojen siirtyessä Väestörekisterikeskukselle näihin tehtäviin ja toimintoihin liittyvät sopimukset ja sitoumukset ja niihin liittyvät oikeudet ja velvollisuudet sekä vireillä olevat asiat siirtyvät Väestörekisterikeskukselle.