Lag om ändring av säkerhetsutredningslagen

2 § Lagens tillämpningsområde och förhållande till annan lagstiftning I denna lag föreskrivs om I denna lag föreskrivs om 6) samkörning av uppgifter i personregister för att kontrollera att den som utredningen gäller är oförvitlig och tillförlitlig och om de åtgärder som ska genomföras med anledning av samkörningen. samkörning av uppgifter i personregister för att kontrollera att den som utredningen gäller är oförvitlig och tillförlitlig och om de åtgärder som ska genomföras med anledning av samkörningen. Bestämmelser om skyddspolisens och huvudstabens behandling av personuppgifter finns i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018). Bestämmelser om andra myndigheters behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och i dataskyddslagen (1050/2018). Bestämmelser om skyddspolisens och huvudstabens behandling av personuppgifter finns i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018). Bestämmelser om andra myndigheters behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och i dataskyddslagen (1050/2018).

9 § Behöriga myndigheter Transport- och kommunikationsverket gör som ett led i en säkerhetsutredning av företag en utredning om nivån på informationssäkerheten i informationssystem och datakommunikation. Transport- och kommunikationsverket gör som ett led i en säkerhetsutredning av företag en utredning om nivån på informationssäkerheten i informationssystem och datakommunikation.

46 § Utfärdande av intyg över säkerhetsutredning av företag Om en säkerhetsutredning av företag uteslutande har gällt säkerheten i informationssystem och datakommunikation, får Transport- och kommunikationsverket, som har gjort utredningen, utfärda ett intyg över den. Om en säkerhetsutredning av företag uteslutande har gällt säkerheten i informationssystem och datakommunikation, får Transport- och kommunikationsverket, som har gjort utredningen, utfärda ett intyg över den.

48 § Registret över säkerhetsutredningar och registrets ändamål samt registrering av uppgifter För utförandet av säkerhetsutredningar, för undvikande av onödiga säkerhetsutredningar, för att uppgifter ska kunna förmedlas mellan de behöriga myndigheterna samt för att tillförlitligheten och oförvitligheten hos dem som utredningarna gäller ska kunna kontrolleras ska det föras ett register över säkerhetsutredningar. För utförandet av säkerhetsutredningar, för undvikande av onödiga säkerhetsutredningar, för att uppgifter ska kunna förmedlas mellan de behöriga myndigheterna samt för att tillförlitligheten och oförvitligheten hos dem som utredningarna gäller ska kunna kontrolleras ska det föras ett register över säkerhetsutredningar. I registret över säkerhetsutredningar ska skyddspolisen och huvudstaben utan dröjsmål registrera att en ansökan om säkerhetsutredning kommit in, namnet på den som utredningen gäller och andra identifieringsuppgifter, utredningens omfattning samt uppgifter om resultatet av utredningen eller att ett intyg över säkerhetsutredning utfärdats och dess giltighet och återkallelse samt uppgifter om arbetsgivaren för den som en säkerhetsutredning av person gäller, om dessa uppgifter är tillgängliga. Den nationella säkerhetsmyndigheten ska registrera uppgifter om de intyg över säkerhetsutredning av person och av företag som den utfärdat i enlighet med vad som förutsätts i en internationell förpliktelse som gäller informationssäkerhet. I registret över säkerhetsutredningar ska skyddspolisen och huvudstaben utan dröjsmål registrera att en ansökan om säkerhetsutredning kommit in, namnet på den som utredningen gäller och andra identifieringsuppgifter, utredningens omfattning samt uppgifter om resultatet av utredningen eller att ett intyg över säkerhetsutredning utfärdats och dess giltighet och återkallelse samt uppgifter om arbetsgivaren för den som en säkerhetsutredning av person gäller, om dessa uppgifter är tillgängliga. Den nationella säkerhetsmyndigheten ska registrera uppgifter om de intyg över säkerhetsutredning av person och av företag som den utfärdat i enlighet med vad som förutsätts i en internationell förpliktelse som gäller informationssäkerhet. Transport- och kommunikationsverket får registrera uppgifter om Transport- och kommunikationsverket får registrera uppgifter om 1) de intyg som det har utfärdat enligt lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation och de uppgifter som antecknats i intygen, de intyg som det har utfärdat enligt lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation och de uppgifter som antecknats i intygen, 2) de bedömningsorgan som har godkänts i enlighet med lagen om bedömningsorgan för informationssäkerhet, de bedömningsorgan som har godkänts i enlighet med lagen om bedömningsorgan för informationssäkerhet, 3) intyg utfärdade av godkända bedömningsorgan så som föreskrivs i lagen om bedömningsorgan för informationssäkerhet. intyg utfärdade av godkända bedömningsorgan så som föreskrivs i lagen om bedömningsorgan för informationssäkerhet. Den nationella säkerhetsmyndigheten och Transport- och kommunikationsverket är skyldiga att se till att de uppgifter som de för in i registret över säkerhetsutredningar motsvarar myndighetens avgöranden och anteckningarna i dess egna register och att anteckningarna har gjorts i enlighet med skyddspolisens tekniska krav. Den nationella säkerhetsmyndigheten och Transport- och kommunikationsverket är skyldiga att se till att de uppgifter som de för in i registret över säkerhetsutredningar motsvarar myndighetens avgöranden och anteckningarna i dess egna register och att anteckningarna har gjorts i enlighet med skyddspolisens tekniska krav. 48 a § Personuppgiftsansvariga Skyddspolisen och huvudstaben är gemensamt personuppgiftsansvariga för registret över säkerhetsutredningar. Huvudstaben svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser den som utredningen gäller och denne arbetar eller kommer att arbeta inom Försvarsmakten eller sköter ett uppdrag på förordnande av Försvarsmakten eller om säkerhetsutredningen hänför sig till verksamhet eller upphandling inom Försvarsmakten. Skyddspolisen svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser övriga som utredningen gäller, samt svarar för skötseln av de uppgifter som hänför sig till utlämnandet av personuppgifter ur registret över säkerhetsutredningar, till förandet av det registret och till informationssäkerheten. Skyddspolisen och huvudstaben är gemensamt personuppgiftsansvariga för registret över säkerhetsutredningar. Huvudstaben svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser den som utredningen gäller och denne arbetar eller kommer att arbeta inom Försvarsmakten eller sköter ett uppdrag på förordnande av Försvarsmakten eller om säkerhetsutredningen hänför sig till verksamhet eller upphandling inom Försvarsmakten. Skyddspolisen svarar för den personuppgiftsansvariges skyldigheter om de personuppgifter som behandlas avser övriga som utredningen gäller, samt svarar för skötseln av de uppgifter som hänför sig till utlämnandet av personuppgifter ur registret över säkerhetsutredningar, till förandet av det registret och till informationssäkerheten.

49 § Avförande av uppgifter ur registret över säkerhetsutredningar Med avvikelse från 6 § 3 mom. i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ska de uppgifter som förts in i registret över säkerhetsutredningar avföras senast tre år efter det att en ny motsvarande säkerhetsutredning har gjorts eller giltigheten för en säkerhetsutredning eller ett intyg över säkerhetsutredning har upphört eller de arbetsuppgifter för vilka säkerhetsutredningen gjordes har upphört eller intyget över säkerhetsutredning har återkallats. Med avvikelse från 6 § 3 mom. i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ska de uppgifter som förts in i registret över säkerhetsutredningar avföras senast tre år efter det att en ny motsvarande säkerhetsutredning har gjorts eller giltigheten för en säkerhetsutredning eller ett intyg över säkerhetsutredning har upphört eller de arbetsuppgifter för vilka säkerhetsutredningen gjordes har upphört eller intyget över säkerhetsutredning har återkallats.

50 § Utlämnande av uppgifter ur registret över säkerhetsutredningar Skyddspolisen får trots sekretessbestämmelserna med hjälp av en teknisk anslutning lämna centralkriminalpolisen uppgifter om ansökan om säkerhetsutredning för att samköras med uppgifter om i 7 § 2 mom. i lagen om behandling av personuppgifter i polisens verksamhet avsedda persongrupper med tanke på de anmälningar som avses i 25 § 2 mom. i denna lag och på prövning i fråga om dem. Centralkriminalpolisen ska utplåna de uppgifter som fåtts genom samkörningen omedelbart efter det att behovet av anmälan har bedömts eller anmälan har sänts till skyddspolisen. Skyddspolisen får trots sekretessbestämmelserna med hjälp av en teknisk anslutning lämna centralkriminalpolisen uppgifter om ansökan om säkerhetsutredning för att samköras med uppgifter om i 7 § 2 mom. i lagen om behandling av personuppgifter i polisens verksamhet avsedda persongrupper med tanke på de anmälningar som avses i 25 § 2 mom. i denna lag och på prövning i fråga om dem. Centralkriminalpolisen ska utplåna de uppgifter som fåtts genom samkörningen omedelbart efter det att behovet av anmälan har bedömts eller anmälan har sänts till skyddspolisen. På utlämnande av personuppgifter till den nationella säkerhetsmyndigheten tillämpas lagen om internationella förpliktelser som gäller informationssäkerhet. På utlämnande av personuppgifter till den nationella säkerhetsmyndigheten tillämpas lagen om internationella förpliktelser som gäller informationssäkerhet.

51 § Kontroll av oförvitligheten och tillförlitligheten med hjälp av samkörning av uppgifter i personregister

60 § Avgifter för säkerhetsutredningar För säkerhetsutredningar som de behöriga myndigheterna gör med stöd av denna lag och för Transport- och kommunikationsverkets sakkunniguppgifter i samband med säkerhetsutredningar av företag tas det hos sökanden ut en avgift med iakttagande av lagen om grunderna för avgifter till staten (150/1992). Den som utredningen gäller svarar dock för kostnaderna i samband med genomförande av en säkerhetsutredning av företag, om utredningen har gjorts på ansökan av en myndighet. För säkerhetsutredningar som de behöriga myndigheterna gör med stöd av denna lag och för Transport- och kommunikationsverkets sakkunniguppgifter i samband med säkerhetsutredningar av företag tas det hos sökanden ut en avgift med iakttagande av lagen om grunderna för avgifter till staten (150/1992). Den som utredningen gäller svarar dock för kostnaderna i samband med genomförande av en säkerhetsutredning av företag, om utredningen har gjorts på ansökan av en myndighet.

61 § Hänvisning till straffbestämmelser Bestämmelser om straff för dataskyddsbrott finns i 38 kap. 9 § i strafflagen. Bestämmelser om straff för kränkning av kommunikationshemlighet finns i 3 § och för grov kränkning av kommunikationshemlighet i 4 § det kapitlet samt bestämmelser om straff för dataintrång i 8 § och för grovt dataintrång i 8 a § i det kapitlet. Till straff för brott mot tystnadsplikten enligt 59 § i denna lag döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för den föreskrivs någon annanstans i lag. Som ovan avsett brott mot sekretessen betraktas också brott mot en förbindelse som avses i 40 § i denna lag. Bestämmelser om straff för dataskyddsbrott finns i 38 kap. 9 § i strafflagen. Bestämmelser om straff för kränkning av kommunikationshemlighet finns i 3 § och för grov kränkning av kommunikationshemlighet i 4 § det kapitlet samt bestämmelser om straff för dataintrång i 8 § och för grovt dataintrång i 8 a § i det kapitlet. Till straff för brott mot tystnadsplikten enligt 59 § i denna lag döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i den lagen eller om inte strängare straff för den föreskrivs någon annanstans i lag. Som ovan avsett brott mot sekretessen betraktas också brott mot en förbindelse som avses i 40 § i denna lag.

62 § Ändringssökande En behörig myndighets beslut enligt denna lag får överklagas genom besvär hos förvaltningsdomstolen. Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019). En behörig myndighets beslut enligt denna lag får överklagas genom besvär hos förvaltningsdomstolen. Bestämmelser om sökande av ändring i förvaltningsdomstol finns i lagen om rättegång i förvaltningsärenden (808/2019). Denna lag träder i kraft den 1 juni 2020. Denna lag träder i kraft den 1 juni 2020. RP 2/2020 LaUB 2/2020 RSv 24/2020 RP 2/2020 LaUB 2/2020 RSv 24/2020 Helsingfors den 8 maj 2020 Republikens President Sauli Niinistö Justitieminister Anna-Maja Henriksson Helsingfors den 8 maj 2020 Republikens President Sauli Niinistö Justitieminister Anna-Maja Henriksson