Laki henkilötietojen käsittelystä Tullissa Eduskunnan päätöksen mukaisesti säädetään: 1 luku Yleiset säännökset 1 § Soveltamisala Tätä lakia sovelletaan, jollei muualla laissa toisin säädetä, Tullille

§:ssä tarkoitettuja henkilötietoja poliisille, Rajavartiolaitokselle, Puolustusvoimille, syyttäjälle, tuomioistuimille, Oikeusrekisterikeskukselle, Rikosseuraamuslaitokselle ja muulle rikosasioiden tietosuojalaissa tarkoitetulle toimivaltaiselle viranomaiselle rikosasioiden tietosuojalain 1 §:ssä tarkoitettua viranomaisen laissa säädettyä tehtävää varten. 21 § Muu henkilötietojen luovuttaminen viranomaisille Tulli saa salassapitosäännösten estämättä luovuttaa teknisen käyttöyhteyden avulla tai tietojoukkona 7–

§:ssä tarkoitettuja henkilötietoja viranomaisen laissa säädetyn tehtävän suorittamiseksi seuraavasti: 1) Verohallinnolle edellä sanotun lisäksi myös 12 §:ssä säädettyjä henkilötietoja, verotuksen toimittamista, verojen ja maksujen perimistä, verotusta koskevaa muutoksenhakua, ulosottoa ja valtion edun- ja oikeudenvalvontaa varten; tietojen luovuttamisesta Verohallinnolle säädetään lisäksi arvonlisäverolain (1501/1993) 160 §:n 3 momentissa ja oma-aloitteisten verojen verotusmenettelystä annetun lain (768/2016) 29 §:n 6 momentissa; 2) Liikenne- ja viestintävirastolle edellä sanotun lisäksi myös 12 §:ssä säädettyjä viraston laissa säädettyjen tehtävien hoitamiseksi välttämättömiä henkilötietoja liikenteen palveluista annetun lain 197 ja 217 §:n mukaisesti; 3) Hätäkeskuslaitokselle hätäkeskustoiminnasta annetun lain (692/2010) 19 §:n 1 momentissa säädettyjen tehtävien suorittamiseksi tietoja alkutoimenpiteiden ja työturvallisuuden varmistamiseksi sekä asianomaisen yksikön tukemiseksi noudattaen, mitä tietojen saamista koskevan oikeuden rajoittamisesta mainitun pykälän 2 momentissa säädetään; 4) pelastusviranomaisille pelastuslain (379/2011) 32 §:ssä tarkoitettua pelastustoimintaa, 41 §:ssä tarkoitettua palontutkintaa ja 80 §:ssä tarkoitettua palotarkastusta ja muita valvontatehtäviä varten; 5) poliisille ja henkilölle, joka toimii Suomen ulkomaille sijoittamana poliisin yhdyshenkilönä, henkilöiden maahantulon ja maastalähdön valvontaa ja siihen kuuluvan rajatarkastuksen suorittamista, ulkomaalaisia koskevien säännösten noudattamisen valvontaa sekä tullitoimenpiteen suorittamista, tietojen keräämis- ja tallettamistarkoituksen mukaisia muita poliisin tehtäviä varten, muuhun kuin tietojen keräämis- ja tallettamistarkoitukseen henkilötietojen käsittelystä poliisitoimessa annetun lain (616/2019) 13 §:n ja 14 §:n 1 momentissa tarkoitetuissa tapauksissa sekä haasteen ja muun tiedoksiannon suorittamista varten; 6) Rajavartiolaitokselle rajavalvontaa sekä rajaturvallisuuden ja rajajärjestyksen ylläpitämistä, ulkomaalaisia koskevien säännösten noudattamisen valvontaa, tullitoimenpiteiden suorittamista, meripelastuslaissa (1145/2001) säädettyjä tehtäviä sekä haasteen ja muun tiedoksiannon suorittamista varten, tietojen alkuperäistä käsittelytarkoitusta vastaaviin tarkoituksiin sekä muuhun tarkoitukseen henkilötietojen käsittelystä Rajavartiolaitoksessa annetun lain (639/2019) 16 ja 17 §:ssä tarkoitetuissa tapauksissa; 7) ulkoministeriölle ja Suomen edustustolle näiden toimivaltaan kuuluvan passia tai muuta matkustusasiakirjaa, viisumia, työntekijän oleskelulupaa, yrittäjän oleskelulupaa tai muuta oleskelulupaa koskevan asian käsittelyä varten; 8) työ- ja elinkeinoviranomaiselle työntekijän oleskelulupaa tai yrittäjän oleskelulupaa koskevan asian käsittelyä varten; 9) Maahanmuuttovirastolle ulkomaalaisia ja Suomen kansalaisuutta koskevien sellaisten asioiden käsittelemistä ja ratkaisemista varten, jotka laissa säädetään Maahanmuuttoviraston tehtäviksi; 10) ulosottomiehelle ulosottokaaren (705/2007) 3 luvun 67 §:n mukaisesti ulosottoselvitystä ja muuta ulosottoasiain täytäntöönpanoa varten; 11) haastemieslain (505/1986) 1 ja 6 §:ssä mainitulle virkamiehelle muuntorangaistuksen määräämistä koskevaan oikeudenkäyntiin haastamista varten sekä haastemiehelle haasteen ja muun tiedoksiannon toimittamista varten rikostorjunnan tietojärjestelmän henkilötiedot, työturvallisuustiedot ja pidätettyjen tiedot; 12) Metsähallituksen erätarkastajalle tämän toimivaltaan kuuluvaa erävalvontaa varten; 13) vaarallisten aineiden kuljetuksesta annetussa laissa (719/1994) tarkoitetuille viranomaisille vaarallisten aineiden kuljetusten valvontaa varten; 14) Säteilyturvakeskukselle säteilylain (859/2018) 14 §:n mukaista valvontatehtävää varten; 15) valtiovarainministeriölle verolainsäädännön valmistelua ja sen toimeenpanon seurantaa sekä valtion talousarvion laadintaa varten. Sen lisäksi, mitä 1 momentissa säädetään, Tulli saa perustellusta syystä luovuttaa salassapitosäännösten estämättä teknisen käyttöyhteyden avulla tai tietojoukkona viranomaiselle henkilötietoja, jotka ovat välttämättömiä viranomaisen laissa säädetyn tehtävän suorittamiseksi. Ennen henkilötietojen luovuttamista niiden vastaanottajan on esitettävä rekisterinpitäjälle luotettava selvitys henkilötietojen asianmukaisesta suojaamisesta. Luovutettavien tietojen laatu on mahdollisuuksien mukaan varmennettava ja niihin on tarvittaessa lisättävä tietoja, joiden avulla vastaanottaja voi arvioida tietojen oikeellisuutta, täydellisyyttä, ajantasaisuutta ja luotettavuutta. Jos ilmenee, että on luovutettu virheellisiä tietoja tai että tietoja on luovutettu lainvastaisesti, asiasta on ilmoitettava viipymättä vastaanottajalle. 22 § Henkilötietojen luovuttaminen yleisen tietoverkon välityksellä Tulli saa salassapitosäännösten estämättä luovuttaa yleisen tietoverkon välityksellä yleisön tietoon saattamiseksi ja yleisövihjeiden saamiseksi tietoja, joista on rikosten ennalta estämisen, omaisuuden omistajalleen palauttamisen tai tutkinnallisten syiden vuoksi tarpeen tiedottaa. Henkilötietoja voi hakea ainoastaan yksittäisinä hakuina. Tulli saa lisäksi salassapitosäännösten estämättä luovuttaa yleisen tietoverkon välityksellä yleisön tietoon saattamiseksi ja yleisövihjeiden saamiseksi tietoja, joista on asian kiireellisyyden, vaaratilanteen, rikosten ennalta estämisen, omaisuuden omistajalleen palauttamisen tai tutkinnallisten syiden vuoksi tarpeen erityisesti tiedottaa. Henkilötiedot saadaan luovuttaa muuten kuin 1 momentissa tarkoitetulla tavalla ainoastaan, jos se on olennaisen tärkeää Tullille laissa säädetyn tehtävän suorittamiseksi, eikä tietojen luovuttaminen ole vastoin rekisteröidyn oikeutettua etua. Toiselta viranomaiselta saatuja tietoja saa luovuttaa vain tiedot luovuttaneen viranomaisen suostumuksella. 23 § Henkilötietojen luovuttaminen Euroopan unionin jäsenvaltion ja Euroopan talousalueen jäsenvaltion lainvalvontaviranomaiselle Tulli saa luovuttaa salassapitosäännösten estämättä 7–10, 13 ja 14 §:ssä tarkoitettuja henkilötietoja toisen Euroopan unionin jäsenvaltion ja Euroopan talousalueeseen kuuluvan valtion toimivaltaiselle viranomaiselle, joka käsittelee henkilötietoja luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 1 artiklan 1 kohdassa säädettyyn tarkoitukseen, samoilla edellytyksillä kuin Tulli saa itse käsitellä kyseessä olevia henkilötietoja. Tulli saa lisäksi salassapitosäännösten estämättä luovuttaa 7–

§:ssä tarkoitettuja henkilötietoja Eurojustille ja muulle Euroopan unionin toiminnasta tehdyn sopimuksen nojalla perustetulle toimielimelle, jonka tehtäviin kuuluu oikeus- ja yhteiskuntajärjestyksen turvaaminen, yleisen järjestyksen ja turvallisuuden ylläpitäminen tai rikosten ennalta estäminen, selvittäminen ja syyteharkintaan saattaminen, kyseisten tehtävien suorittamiseksi. Edellä 1 ja 2 momentissa tarkoitetut tiedot saadaan luovuttaa myös tietojoukkona. Sen lisäksi, mitä tässä laissa ja rikosasioiden tietosuojalaissa säädetään, henkilötietojen luovuttamisesta Euroopan unionin jäsenvaltion lainvalvontaviranomaiselle säädetään Euroopan unionin jäsenvaltioiden lainvalvontaviranomaisten välisen tietojen ja tiedustelutietojen vaihdon yksinkertaistamisesta tehdyn neuvoston puitepäätöksen lainsäädännön alaan kuuluvien säännösten kansallisesta täytäntöönpanosta ja puitepäätöksen soveltamisesta annetussa laissa (26/2009). 24 § Henkilötietojen luovuttaminen Schengenin tietojärjestelmää käyttävälle valtiolle ja Schengenin tietojärjestelmään Tulli saa luovuttaa salassapitosäännösten estämättä Schengenin tietojärjestelmään talletettavaksi henkilötietoja, jotka ovat tarpeen Schengenin tietojärjestelmän säädöspohjassa säädettyihin tarkoituksiin. Schengenin tietojärjestelmän säädöspohjassa tarkoitetut lisätiedot on luovutettava Sirene-toimiston välityksellä. Sirene-toimistona toimii keskusrikospoliisi. Tiedot saadaan luovuttaa myös teknisen käyttöyhteyden avulla tai tietojoukkona. 25 § Henkilötietojen luovuttaminen Europolille Tulli saa salassapitosäännösten estämättä luovuttaa henkilötietoja Euroopan unionin lainvalvontayhteistyövirastolle noudattaen, mitä Europol-asetuksessa ja Euroopan unionin lainvalvontayhteistyövirastosta annetussa laissa (214/2017) säädetään. 26 § Tietojen luovuttamisesta päättäminen Oikeudesta luovuttaa Tullin henkilörekisterin tietoja teknisen käyttöyhteyden avulla tai tietojoukkona sekä 3 luvussa tarkoitettujen viranomaisten oikeudesta luovuttaa tietoja Tullin tietojärjestelmään tietojoukkona tai teknisen käyttöyhteyden avulla päättää rekisterinpitäjä tai rekisterinpitäjän tähän tehtävään määräämä Tullin toimintayksikkö. Luovuttamisesta päätettäessä on rekisteröidyn tietosuojan ja tietoturvan varmistamiseksi otettava huomioon luovutettavien tietojen laatu. 5 luku Henkilötietojen poistaminen ja arkistointi 27 § Rikosasiaan liittyvien henkilötietojen poistaminen Syyttäjälle ratkaistavaksi siirretyn rikosasian tiedot poistetaan: 1) viiden vuoden kuluttua rikosasian siirtämisestä syyttäjälle, jos rikosasian törkeimmästä epäillystä rikoksesta voi seurata sakkoa tai enintään vuoden vankeusrangaistus; 2) kymmenen vuoden kuluttua rikosasian siirtämisestä syyttäjälle, jos rikosasian törkeimmästä epäillystä rikoksesta voi seurata yli vuoden ja enintään viiden vuoden vankeusrangaistus; 3) kahdenkymmenen vuoden kuluttua rikosasian siirtämisestä syyttäjälle, jos rikosasian törkeimmästä epäillystä rikoksesta voi seurata yli viisi vuotta vankeutta. Edellä 1 momentissa tarkoitetut tiedot poistetaan kuitenkin aikaisintaan vuoden kuluttua rikoksen syyteoikeuden vanhentumisesta. Muun kuin 1 momentissa tarkoitetun rikosasian tiedot poistetaan yhden vuoden kuluttua viimeisimmän epäillyn rikoksen syyteoikeuden vanhentumisesta, aikaisintaan kuitenkin viiden vuoden kuluttua rikosasian kirjaamisesta. Edellä 1 momentissa tarkoitetut rikosasiaan liittyvät henkilötiedot saadaan kuitenkin säilyttää edelleen, jos ne ovat tarpeen tutkinnallisen, valvonnallisen tai muun perustellun syyn vuoksi tai rekisteröidyn, muun asianosaisen tai Tullin henkilöstöön kuuluvan oikeuksien turvaamiseksi. Henkilötietojen edelleen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein. 28 § Muiden tutkintatehtävissä käsiteltävien henkilötietojen poistaminen Muut 7 §:ssä säädettyihin tarkoituksiin käsiteltävät henkilötiedot kuin 27 §:ssä tarkoitetut tiedot poistetaan viiden vuoden kuluttua ilmoituksen tai asian kirjaamisesta, jolleivät ne liity tutkittavaan rikosasiaan. Poiketen siitä, mitä 1 momentissa säädetään: 1) liiketoimintakieltoa koskevat tiedot poistetaan viiden vuoden kuluttua liiketoimintakiellon päättymisestä; 2) henkilöiden tavoittamiseksi, valvomiseksi, tarkkailemiseksi ja suojaamiseksi käsiteltävät etsintäkuulutusta tai matkustuskieltoa koskevat tiedot poistetaan kolmen vuoden kuluttua kuulutuksen tai kiellon peruuttamisesta tai päättymisestä. Edellä 8 §:n 3 kohdassa tarkoitetut tiedot poistetaan kuitenkin viimeistään yhden vuoden kuluttua rekisteröidyn kuolemasta. Edellä 1–3 momentissa tarkoitetut henkilötiedot saadaan kuitenkin säilyttää edelleen, jos ne ovat tarpeen tutkinnallisen, valvonnallisen tai muun perustellun syyn vuoksi tai rekisteröidyn, muun asianosaisen tai Tullin henkilöstöön kuuluvan oikeuksien turvaamiseksi. Henkilötietojen edelleen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein. 29 § Rikosten ennalta estämiseen ja paljastamiseen liittyvien henkilötietojen poistaminen Rikosten ennalta estämiseen ja paljastamiseen liittyvät henkilötiedot poistetaan viimeistään kymmenen vuoden kuluttua viimeisen rikosta, rikollista toimintaa tai tehtävää koskevan tiedon merkitsemisestä. Edellä 9 §:n 5 momentissa tarkoitetut tiedot poistetaan kuitenkin viimeistään kuuden kuukauden kuluttua merkinnän tekemisestä ja 10 §:n 1 momentin 4 kohdassa tarkoitetut tiedot viimeistään vuoden kuluttua rekisteröidyn kuolemasta. Edellä 1 momentissa tarkoitetut henkilötiedot saadaan kuitenkin säilyttää edelleen, jos ne ovat tarpeen tutkinnallisen, valvonnallisen tai muun perustellun syyn vuoksi tai rekisteröidyn, muun asianosaisen tai Tullin henkilöstöön kuuluvan oikeuksien turvaamiseksi. Henkilötietojen edelleen säilyttämisen tarpeellisuutta on arvioitava vähintään viiden vuoden välein. 30 § Tietolähdetietojen poistaminen Tietolähdetiedot poistetaan viimeistään kymmenen vuoden kuluttua viimeisen tiedon merkitsemisestä. 31 § Tulli- ja verovalvontaan liittyvien henkilötietojen poistaminen Tulli- ja verovalvontaan liittyvät henkilötiedot poistetaan tiedon tallettamista seuraavan kuudennen kalenterivuoden päättyessä. Edellä 12 §:n 2 momentin 1 kohdassa tarkoitetut tunnistetiedot poistetaan kuitenkin noudattaen 27 ja 28 §:ää. 32 § Teknisessä valvonnassa saatujen henkilötietojen poisto Teknisillä apuvälineillä talteen otetut kuva- ja äänitallenteet poistetaan kuuden kuukauden kuluttua merkinnän tekemisestä tietojärjestelmään. Rekisterikilpien kuvaus- ja tunnistamistiedot poistetaan tiedon tallentumista seuraavan kalenterivuoden päättyessä. 33 § Virheelliseksi todettu tieto Sen estämättä, mitä rikosasioiden tietosuojalaissa ja tietosuoja-asetuksessa säädetään virheellisen tiedon korjaamisesta, virheelliseksi todettu tieto saadaan säilyttää korjatun tiedon yhteydessä, jos se on tarpeen rekisteröidyn, muun asianosaisen tai Tullin henkilöstöön kuuluvan oikeuksien turvaamiseksi. Tällaista tietoa saadaan käyttää vain mainitussa tarkoituksessa. Virheelliseksi todettu tieto, jota 1 momentin nojalla säilytetään, on poistettava heti, kun tiedon säilyttäminen oikeuksien turvaamiseksi ei enää ole tarpeen. 34 § Tietojen arkistointi Arkistotoimen tehtävistä ja arkistoon siirrettävistä asiakirjoista säädetään arkistolaissa (831/1994). 6 luku Rekisteröidyn oikeudet 35 § Rekisteröidyn tarkastusoikeuden toteuttaminen Rikosasioiden tietosuojalain 23 §:ssä tarkoitetun rekisteröidyn tarkastusoikeuden ja tietosuoja-asetuksen 15 artiklassa tarkoitetun rekisteröidyn tietoon pääsyn toteuttamiseksi rekisterinpitäjä antaa tarvittavat henkilötiedot ja muut tiedot tarkastamista varten, jollei rekisterinpitäjä ole määrännyt Tullin toimintayksikköä antamaan tiedot. Rekisteröidyn on tarkastusoikeutta käyttäessään esitettävä tätä tarkoittava pyyntö henkilökohtaisesti rekisterinpitäjälle tai muulle 1 momentissa tarkoitetulle Tullin toimintayksikölle ja todistettava henkilöllisyytensä. Pyyntö voidaan esittää myös käyttämällä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009) tarkoitettua vahvaa sähköistä tunnistamista, jos tällainen palvelu on käytössä. 36 § Tarkastusoikeuden rajoittaminen Poiketen siitä, mitä rikosasioiden tietosuojalain 23 §:ssä säädetään, tarkastusoikeutta ei ole: 1) edellä 11 §:ssä tarkoitettuihin henkilötietoihin; 2) edellä 7–10 ja 12 §:ssä tarkoitettuihin henkilötietoihin sisältyviin Tullin taktisia ja teknisiä menetelmiä koskeviin tietoihin, havainto- ja tietolähdetietoihin eikä tekniseen tutkintaan käytettäviin tietoihin; 3) rekisterikilpien kuvaus- ja tunnistamistietoihin; 4) henkilötietoihin, jotka on saatu rikostorjunnasta Tullissa annetun lain 3 luvun ja pakkokeinolain 10 luvun mukaisia tiedonhankintamenetelmiä käyttäen taikka sähköisen viestinnän palveluista annetun lain (917/2014) 157 §:n nojalla. Rekisteröidyn oikeuksien käyttämisestä tietosuojavaltuutetun välityksellä säädetään rikosasioiden tietosuojalain 29 §:ssä ja tietosuojalain 34 §:ssä. Oikeuksien käyttämistä koskeva pyyntö on esitettävä tietosuojavaltuutetulle taikka Tullille tämän lain 35 §:n 2 momentin mukaisesti. Tullille esitetty pyyntö on toimitettava viipymättä tietosuojavaltuutetulle. 37 § Rekisteröidyn oikeus käsittelyn rajoittamiseen Tietosuoja-asetuksen 18 artiklaa rekisteröidyn oikeudesta käsittelyn rajoittamiseen ei sovelleta tässä laissa tarkoitettuun henkilötietojen käsittelyyn. 7 luku Erinäiset säännökset 38 § Rekisterinpitäjä Edellä 2 luvussa tarkoitettujen henkilötietojen rekisterinpitäjä on Tulli. Edellä 8 §:n 2 kohdassa ja 10 §:n 1 momentin 3 kohdassa tarkoitettujen tuntomerkkitietojen osalta rekisterinpitäjästä säädetään kuitenkin erikseen. 39 § Rangaistussäännös Rangaistus tietosuojarikoksesta säädetään rikoslain 38 luvun 9 §:ssä. 40 § Voimaantulo Tämä laki tulee voimaan 1 päivänä kesäkuuta 2019. Tällä lailla kumotaan henkilötietojen käsittelystä Tullissa annettu laki (639/2015), jäljempänä kumottu laki. Tässä laissa tarkoitettujen henkilötietojen poistamiseen saadaan soveltaa tämän lain voimaan tullessa voimassa olleita säännöksiä neljän vuoden ajan lain voimaantulosta. Siirtymäajan kuluessa 7–10, 12 ja 13 §:ssä tarkoitettujen henkilötietojen poistamiseen sovelletaan kumotun lain 19–23 §:ää sellaisina kuin ne olivat tämän lain voimaan tullessa. HE 259/2018 HaVM 41/2018 EV 321/2018 Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (32016L0680); EUVL L 119, 4.5.2016, s. 89 Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (32016R0679); EUVL L 119, 4.5.2016, s.1 Helsingissä 10 päivänä toukokuuta 2019 Tasavallan Presidentti Sauli Niinistö Valtiovarainministeri Petteri Orpo