7 § Palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja näiden tietojen käyttö

Evästeiden tai muiden palvelun käyttöä kuvaavien tietojen tallentaminen käyttäjän päätelaitteelle ja näiden tietojen käyttö on sallittua palvelun tarjoajalle, jos käyttäjä on antanut siihen suostumuksensa ja palvelun tarjoaja antaa käyttäjälle ymmärrettävät ja kattavat tiedot tallentamisen tai käytön tarkoituksesta.

Edellä 1 momentissa säädetty ei koske tietojen sellaista tallentamista tai käyttöä, jonka ainoana tarkoituksena on toteuttaa viestin välittämistä viestintäverkoissa tai joka on välttämätöntä palvelun tarjoajalle sellaisen palvelun tarjoamiseksi, jota tilaaja tai palvelun käyttäjä on nimenomaisesti pyytänyt.

Edellä tässä pykälässä tarkoitettu tallentaminen ja käyttö on sallittua ainoastaan palvelun vaatimassa laajuudessa ja sillä ei saa rajoittaa yksityisyyden suojaa enempää kuin on välttämätöntä.

5 luku Viestinnän tietoturva

21 § Tietoturvailmoitukset Viestintävirastolle

Teleyrityksen on ilmoitettava ilman aiheetonta viivästystä Viestintävirastolle verkkopalvelun ja viestintäpalvelun merkittävistä tietoturvaloukkauksista ja sellaisista niihin kohdistuvista tietoturvauhkista, joista teleyritys on tietoinen. Samalla on ilmoitettava tietoturvaloukkauksen seuraukset ja ne toimenpiteet, joilla tällaisten tietoturvaloukkausten ja niiden uhkien toistuminen pyritään estämään.

Jos Viestintäviraston näkemyksen mukaan 1 momentissa tarkoitettu tietoturvaloukkauksesta ilmoittaminen on yleisen edun mukaista, voi Viestintävirasto määrätä teleyrityksen tiedottamaan asiasta.

Viestintävirasto voi antaa tarkempia määräyksiä 1 momentissa tarkoitetun ilmoituksen sisällöstä, muodosta ja Viestintävirastolle toimittamisesta.

21 a § Tietoturvailmoitukset tilaajalle ja käyttäjälle

Jos 19 §:ssä tarkoitettuun palveluun kohdistuu erityinen tietoturvaloukkaus tai -uhka, teleyrityksen ja lisäarvopalvelun tarjoajan on ilmoitettava siitä viipymättä tilaajalle ja käyttäjälle sekä kerrottava samalla näiden käytettävissä olevista toimenpiteistä, niiden todennäköisistä kustannuksista sekä mistä tilaaja tai käyttäjä saa lisätietoja.

Teleyrityksen ja lisäarvopalvelun tarjoajan on säilytettävä tiedot ilmoituksista.

Teleyrityksen on torjuttuaan palveluunsa kohdistuneen merkittävän tietoturvaloukkauksen tai -uhkan tiedotettava tarkoituksenmukaisella tavalla toteuttamistaan toimista ja niiden mahdollisista vaikutuksista palvelun käyttöön.

Viestintävirasto voi antaa tarkempia määräyksiä 1 momentissa tarkoitettujen ilmoitusten ja 3 momentissa tarkoitetun tiedottamisen sisällöstä ja muodosta sekä 2 momentissa tarkoitettujen ilmoitusten säilyttämisestä. Lisäksi Viestintävirasto voi antaa määräyksiä siitä, miten sille ilmoitetaan 1 ja 2 momentissa tarkoitetuista ilmoituksista sekä 3 momentissa tarkoitetusta tiedottamisesta.

21 b § Turvallisuustarkastus

Viestintävirastolla on oikeus tehdä teleyrityksessä turvallisuustarkastus tässä luvussa asetettujen velvoitteiden valvomiseksi.

Viestintävirastolla on oikeus teettää turvallisuustarkastus riippumattomalla asiantuntijalla. Asiantuntijaan sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä hänen hoitaessaan tämän pykälän mukaisia tehtäviä. Vahingonkorvausvastuusta säädetään vahingonkorvauslaissa (412/1974).

Viestintävirastolla ja sen lukuun toimivalla on turvallisuustarkastuksen yhteydessä oikeus päästä teleyrityksen laitetiloihin ja muihin tiloihin sekä saada tutkittavakseen valvontatehtävän kannalta tarpeelliset tiedot.

Turvallisuustarkastusta ei saa suorittaa kotirauhan piiriin kuuluvissa pysyväisluonteisesti asumiseen käytetyissä tiloissa.

Turvallisuustarkastuksen kustannukset katetaan 10 luvun mukaisella tietoturvamaksulla.

28 § Suoramarkkinoinnin tunnistaminen

Sellaisen suoramarkkinointiin tarkoitetun sähköpostiviestin, tekstiviestin, puheviestin, ääniviestin ja kuvaviestin lähettäminen on kiellettyä:

jossa peitetään tai salataan sen lähettäjän henkilöllisyys, jonka puolesta viesti on lähetetty;

jossa ei ole voimassa olevaa osoitetta, johon vastaanottaja voi lähettää pyynnön siitä, että kyseinen viestintä lopetetaan;

jossa pyritään ohjaamaan vastaanottajat kuluttajansuojalain (38/1978) 2 luvun säännösten vastaisille verkkosivustoille.

31 § Viestintäviraston tehtävät

Viestintäviraston tehtävänä on:

valvoa tämän lain sekä sen nojalla annettujen säännösten ja määräysten noudattamista siltä osin kuin 32 §:stä ei muuta johdu;

kerätä tietoa verkkopalveluihin, viestintäpalveluihin ja lisäarvopalveluihin kohdistuvista tietoturvaloukkauksista ja niiden uhkista;

selvittää verkkopalveluihin, viestintäpalveluihin ja lisäarvopalveluihin kohdistuvia tietoturvaloukkauksia ja niiden uhkia;

tiedottaa tietoturva-asioista;

toimittaa Euroopan komissiolle ja Euroopan verkko- ja tietoturvavirastolle vuosittain tiivistelmäraportti 21 §:n mukaisista ilmoituksista;

ilmoittaa Euroopan komissiolle sellaisesta yhteistyöstä Euroopan unionin jäsenvaltion kanssa, jonka seurauksena yhdenmukaistetaan sellaiset jäsenvaltioiden rajojen yli tarjottavien viestintäpalveluiden tietoturvallisuuteen liittyvät valvontatoimenpiteet, joilla voi olla vaikutusta sisämarkkinoiden toimintaan.

42 § Rangaistussäännökset

Joka tahallaan

laiminlyö 21 §:n 1 momentissa tai 35 §:n 4 momentissa säädetyn ilmoitusvelvollisuuden,

on tuomittava sähköisen viestinnän tietosuojarikkomuksesta sakkoon, jollei teosta muualla laissa säädetä ankarampaa rangaistusta.