55/2019

Trots sekretessbestämmelserna har den personuppgiftsansvarige rätt att av andra myndigheter få i 13–17 § avsedda behövliga uppgifter som gäller dessa myndigheters verksamhetsområde för uppdatering av uppgifterna i befolkningsdatasystemet och för kontroll av uppgifternas riktighet och annan behandling av uppgifterna. De andra myndigheter som avses i denna paragraf är

Den personuppgiftsansvarige har emellertid inte rätt att få uppgifter som avses i 1 mom., om de uppgifter som innehas av en i 1 mom. nämnd myndighet har erhållits på basis av ett sådant internationellt avtal om informationsutbyte som förhindrar användningen av uppgifterna för att uppdatera och i övrigt behandla uppgifter i befolkningsdatasystemet.

Trots sekretessbestämmelserna har den personuppgiftsansvarige rätt att för att uppdatera och i övrigt behandla uppgifterna i befolkningsdatasystemet få följande uppgifter:

De myndigheter som avses i 23 § och de personer, företag och organisationer som avses i 24 § ska anmäla uppgifter till den personuppgiftsansvarige inom befolkningsdatasystemet omedelbart efter det att det har konstaterats att uppgifterna behöver kompletteras, ändras eller rättas eller den personuppgiftsansvarige har begärt ytterligare uppgifter eller utredningar. Uppgifterna ska anmälas tillsammans med identifieringsuppgifter för personen, fastigheten, byggnaden, lägenheten eller lokalen. Närmare bestämmelser om hur skyldigheten att anmäla uppgifter ska fullgöras och om vad skyldigheten omfattar utfärdas genom förordning av statsrådet.

Den personuppgiftsansvarige ska utan dröjsmål till verksamhetsenheten inom socialvården anmäla att ett barn på grund av vårdnadshavarens död har blivit utan vårdnadshavare.

Uppgifter som registreras i befolkningsdatasystemet ska anmälas till den personuppgiftsansvarige skriftligen, på elektronisk väg, med hjälp av teknisk anslutning eller på något annat ändamålsenligt sätt som är tillförlitligt och säkert. Tillstånd att anmäla uppgifterna på något annat sätt än skriftligen beviljas av Befolkningsregistercentralen. Ett villkor för att tillstånd ska beviljas är att den som anmäler uppgifterna har lämnat Befolkningsregistercentralen en tillräcklig redogörelse för hur uppgifterna skyddas.

Den som har i uppdrag att anmäla uppgifter för registrering i befolkningsdatasystemet ska se till att de uppgifter som anmäls till den personuppgiftsansvarige är tillförlitliga och hålls aktuella.

Uppgifter i befolkningsdatasystemet får lämnas ut endast om förutsättningarna för utlämnande av uppgifter enligt denna lag är uppfyllda. Det krävs att de uppgifter som lämnas ut ur befolkningsdatasystemet behövs för det ändamål för vilket de lämnas ut. När uppgifter som hör till kategorierna av särskilda personuppgifter lämnas ut ska det säkerställas att mottagaren har rätt att behandla uppgifterna med stöd av dataskyddsförordningen eller dataskyddslagen.

Uppgifter får inte lämnas ut, om detta eller mottagarens verksamhet av grundad anledning kan misstänkas kränka skyddet för en persons privatliv eller skyddet för hans eller hennes personuppgifter, kränka hans eller hennes intressen eller rättigheter eller äventyra statens säkerhet.

Adress och andra kontaktuppgifter som gäller personen själv, dennes make eller maka som bor i samma hushåll och barn som personen har vårdnaden om får inte lämnas ut för de syften som anges i 32 § och 34 § 1 mom. i denna lag om personen har förbjudit utlämnandet av uppgifterna för dessa syften. Detta gäller dock inte fall där uppgifterna med stöd av 32 § 1 mom. eller 34 § 1 mom. lämnas ut för verksamhet där de används för att en person, ett företag eller en organisation ska kunna göra sina rättigheter gällande eller fullgöra sina skyldigheter. Uppgifterna kan också lämnas ut på grundval av 32 § 2 mom. för verksamhet där det är fråga om en utredning eller undersökning som gäller allmänt intresse eller personers rättigheter eller intressen.

Uppgifter får inte lämnas ut för direktmarknadsföring, personmatriklar eller släktforskning, om personen har förbjudit utlämnande av uppgifterna för dessa syften.

Sådana uppgifter som behövs för undersökningar, utredningar eller utförande av andra motsvarande uppgifter får lämnas ut ur befolkningsdatasystemet för historisk och vetenskaplig forskning, för sammanställning av statistik och för myndigheternas planerings- och utredningsuppdrag.

Ur befolkningsdatasystemet får det lämnas ut sådana uppgifter om den registrerade som behövs för att uppdatera, kontrollera och rätta uppgifter i kund- eller marknadsföringsregister eller motsvarande register och som avser för- och efternamn, födelseår, kön, modersmål, adress och övriga kontaktuppgifter samt sådana uppgifter med anknytning till personen som anges närmare genom förordning av statsrådet och som gäller fastigheter, byggnader, lägenheter eller lokaler och uppgifter om områdesindelningar.

Namnuppgifter samt adressuppgifter och andra kontaktuppgifter om personer får lämnas ut ur befolkningsdatasystemet för direktreklam och annan direktmarknadsföring, för opinions- och marknadsundersökningar eller för annan med dessa jämförbar verksamhet. När uppgifter lämnas ut för dessa syften får som kriterium för behandlingen av uppgifterna användas personens namn, minst sex veckors ålder, kön, modersmål eller kontaktspråk, yrke eller uppgifter om yrkeskategori, adressuppgifter och andra kontaktuppgifter, en annan identifieringsuppgift för personen än sådana som avses i 38–42 § samt sådana uppgifter med anknytning till personen som anges närmare genom förordning av statsrådet och som gäller fastigheter, byggnader, lägenheter eller lokaler och uppgifter om områdesindelningar. Om det är fråga om en opinionsundersökning för samhälleliga syften, får som bakgrundsinformation för undersökningen utöver namn-, adress- och kontaktuppgifter lämnas ut uppgift om personens kön, åldersgrupp och modersmål.

I övrigt får uppgifter lämnas ut ur befolkningsdatasystemet endast om sökanden har rätt att behandla dem med stöd av dataskyddsförordningen, dataskyddslagen eller någon annan lag. För utlämnande av uppgifter måste dock de allmänna förutsättningarna uppfyllas.

Anmälan om ett sådant förbud som avses i 28 § 3 och 4 mom. ska lämnas för registrering i befolkningsdatasystemet genom Befolkningsregistercentralens elektroniska tjänst eller till magistraten skriftligen eller på något annat tillförlitligt sätt som lämpar sig för ändamålet.

Magistraten ska utreda grunden för spärrmarkeringen eller höra den som omfattas av spärrmarkeringen eller hans eller hennes vårdnadshavare innan enskilda uppgifter som omfattas av spärrmarkeringen lämnas ut med stöd av denna lag eller artikel 15 i dataskyddsförordningen till andra än myndigheter. Ett skriftligt beslut ska fattas om utlämnande av enskilda uppgifter som omfattas av spärrmarkering till andra än myndigheter. Beslutet får verkställas trots ändringssökande, om den som omfattas av spärrmarkeringen eller hans eller hennes vårdnadshavare inte har motsatt sig utlämnandet av uppgifter.

Personbeteckningar i befolkningsdatasystemet får lämnas ut, om den som använder uppgifterna har rätt att behandla personbeteckningarna med stöd av dataskyddslagen eller lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018). I fråga om utlämnande av ett utländskt personnummer som registrerats i befolkningsdatasystemet tillämpas vad som i dataskyddslagen eller i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten föreskrivs om personbeteckningar.

Innan uppgifter lämnas ut får registerförvaltningsmyndigheten vid behov kräva att användaren lämnar en redogörelse för hur de utlämnade uppgifterna kommer att användas och skyddas. En sådan redogörelse ska krävas, om

Om det i de fall som avses i 1 mom. 1 punkten är fråga om utlämnande av uppgifter som anges i 43 § kan registerförvaltningsmyndigheten, i stället för en redogörelse, som en förutsättning för utlämnande av uppgifterna ställa upp sådana minimikrav för användning och skydd av uppgifterna som användaren måste förbinda sig att följa.

Den redogörelse som avses i 1 mom. ska ges skriftligen och av den ska det framgå hur den administrativa och fysiska säkerheten för de uppgifter som lämnas ut samt säkerheten i fråga om personal, datakommunikation, programvara, datamaterial, användning och utrustning kommer att säkerställas.

Den registerförvaltningsmyndighet som enligt 1 eller 2 mom. beslutar om utlämnandet av uppgifter i befolkningsdatasystemet ska på motsvarande sätt besluta om produktion av sådana allmänt behövliga informationstjänster och statistiska tjänster som möjliggör att uppgifterna i befolkningsdatasystemet utnyttjas i enlighet med denna lag.

Om de förutsättningar för utlämnande av uppgifter som anges i denna lag inte längre uppfylls, kan registerförvaltningsmyndigheten upphöra med att lämna ut uppgifterna. I fråga om upphörande med att lämna ut uppgifter ska det fattas ett skriftligt beslut.

När beslut fattas om ändring av personbeteckning i sådana situationer som avses i 12 § 2 mom., ändras den elektroniska kommunikationskoden på tjänstens vägnar. Anmälan om att den elektroniska kommunikationskoden ändras ska göras till den som innehar koden.

En elektronisk kommunikationskod som registrerats i befolkningsdatasystemet får även ändras, om

I de fall som avses i 2 mom. ska den berörda personen skriftligen ansöka hos Befolkningsregistercentralen om att få kommunikationskoden ändrad.

Medborgarcertifikat kan utfärdas endast för finska medborgare samt för utlänningar som har i lagen om hemkommun avsedd hemkommun i Finland och vars uppgifter har registrerats i befolkningsdatasystemet och vars identitet har verifierats på ett tillförlitligt sätt. En förutsättning är dessutom att utlänningen har ett giltigt uppehållstillstånd eller uppehållskort eller att hans eller hennes uppehållsrätt är registrerad.

På ansökan om medborgarcertifikat som ingår i ett identitetskort tillämpas lagen om identitetskort. På ansökan om medborgarcertifikat som ingår i en annan myndighetshandling eller ett tekniskt underlag tillämpas förfarandet enligt 67 § 2 och 3 mom., de krav i dataskyddsförordningen och dataskyddslagen som gäller behandlingen av personuppgifter samt de krav i lagen om stark autentisering och betrodda elektroniska tjänster som gäller utfärdande av certifikat.

Den som tar emot ansökan ska iaktta de krav i dataskyddsförordningen och dataskyddslagen som gäller behandlingen av personuppgifter och de krav i lagen om stark autentisering och betrodda elektroniska tjänster och i EU:s förordning om elektronisk identifiering som gäller utfärdande av certifikat.

Andra certifikat för fysiska personer som Befolkningsregistercentralen producerar och som inte är medborgarcertifikat kan utfärdas endast för finska medborgare samt för utlänningar som enligt lagen om hemkommun är stadigvarande bosatta i Finland och vars uppgifter har registrerats i befolkningsdatasystemet och vars identitet har kunnat konstateras på ett tillförlitligt sätt. Andra certifikat än medborgarcertifikat som Befolkningsregistercentralen producerar för fysiska personer kan av särskilda och motiverade skäl också beviljas personer vars identitet har kunnat konstateras tillförlitligt även om de inte uppfyller övriga ovannämnda villkor för att få certifikat. Sådana certifikat kan på sökandens begäran ingå i handlingar, kort och tekniska underlag som används vid elektronisk kommunikation och som utfärdas av en myndighet, ett företag eller en organisation. Befolkningsregistercentralen kan komma överens med en myndighet, ett företag eller en organisation som utfärdar handlingar eller tekniska underlag om att ansökningar om certifikat personligen kan lämnas in till myndigheten, företaget eller organisationen för vidarebefordran till Befolkningsregistercentralen. Befolkningsregistercentralen ska då se till att den som tar emot ansökan iakttar de krav i dataskyddsförordningen och dataskyddslagen som gäller behandlingen av personuppgifter och de krav i lagen om stark autentisering och betrodda elektroniska tjänster och i EU:s förordning om elektronisk identifiering som gäller utfärdande av certifikat.

På uppdrag av en personuppgiftsansvarig får Befolkningsregistercentralen åta sig att sköta den tekniska driften och databehandlingen av det register eller datasystem som denne svarar för ( databehandlingstjänster ). Befolkningsregistercentralens uppdragsgivare kan vara endast statliga eller kommunala myndigheter eller andra sådana personuppgiftsansvariga som enligt lag eller förordning som utfärdats med stöd av lag har rätt att föra register. När Befolkningsregistercentralen tillhandahåller databehandlingstjänster får den använda sig av uppgifterna i befolkningsdatasystemet på det sätt som föreskrivs i denna eller någon annan lag. Befolkningsregistercentralen har inte rätt att besluta om annan behandling av uppgifterna i det register som uppdraget gäller eller om utlämnande av uppgifter ur registret.

Artikel 18 i dataskyddsförordningen tillämpas inte på befolkningsdatasystemet och inte heller på system som hänför sig till verksamhet som bedrivs av Befolkningsregistercentralens certifikatutfärdare.

Innan uppgifter registreras i befolkningsdatasystemet ska den personuppgiftsansvarige försäkra sig om vem som anmält uppgifterna och om dennes rätt att anmäla uppgifter samt om att anmälan i övrigt är tillförlitlig. Den personuppgiftsansvarige ska registrera uppgifterna i befolkningsdatasystemet utan obefogat dröjsmål.

Om en anteckning som den personuppgiftsansvarige har gjort i befolkningsdatasystemet avviker från det som den registrerade har anmält eller om anteckningen inte ens efter en begäran om ytterligare utredningar har kunnat göras i enlighet med den registrerades önskan, ska den personuppgiftsansvarige fatta ett skriftligt beslut och underrätta den registrerade om beslutet och om möjligheten att begära omprövning av beslutet med stöd av denna eller någon annan lag.

Om magistraten rättar en uppgift som gäller en sådan registeranteckning om en utländsk medborgare som avses i 10 §, ska magistraten innan ärendet avgörs begära ett utlåtande om saken av Migrationsverket.

Om den personuppgiftsansvarige på eget initiativ rättar en uppgift i registret, ska den personuppgiftsansvarige innan uppgiften rättas vid behov ge den vars rättigheter, intressen eller skyldigheter anteckningen gäller tillfälle att inom utsatt tid lämna en redogörelse. Den personuppgiftsansvarige kan dock rätta ett uppenbart fel i registret utan att ge sådant tillfälle att lämna redogörelse.

Bestämmelser om straff för dataintrång i befolkningsdatasystemet eller ett datasystem för certifierad elektronisk kommunikation finns i 38 kap. 8 § i strafflagen och för dataskyddsbrott i ett datasystem i 9 § i det kapitlet.