Syftet med denna lag är att främja möjligheterna att förebygga verksamhet som kan medföra skada för statens säkerhet, försvaret, Finlands internationella förbindelser, den allmänna säkerheten eller något annat med dessa jämförbart allmänt intresse eller enskilda ekonomiska intressen av synnerligen stor betydelse eller säkerhetsarrangemang för skyddet av dessa intressen.

Särskilda bestämmelser gäller för arbetsgivarens rätt att samla in och lagra uppgifter om arbetssökande och om dem som sökt en tjänst eller står i anställningsförhållande till arbetsgivaren, om kontroll av brottslig bakgrund hos personer som arbetar med barn samt om utredning av brottslig bakgrund inom ramen för en myndighets åtgärder när den beviljar tillstånd eller godkännanden.

Vad som i 1 mom. 6 punkten föreskrivs om företag och i 7 punkten om företags ansvarspersoner ska på motsvarande sätt tillämpas också på stiftelser eller föreningar som inte bedriver näringsverksamhet, samt på dessa stiftelsers eller föreningars styrelsemedlemmar och på dem som enligt stiftelseregistret eller föreningsregistret har rätt att teckna stiftelsens eller föreningens namn.

Vad som i 1 mom. 11 punkten föreskrivs om klassificerade handlingar ska också tillämpas på uppgifter som har fåtts i muntlig form eller kan fås genom observationer, om en handling med sådana uppgifter skulle kunna klassificeras i enlighet med de bestämmelser som avses i den punkten.

Den som har för avsikt att ansöka om en säkerhetsutredning av en person som ska utses till ett anställningsförhållande eller ett uppdrag ska meddela detta i den annons som gäller tillsättandet av tjänsten eller uppdraget eller på något annat lämpligt sätt. Detsamma gäller utbildningsanordnare, om det är meningen att en säkerhetsutredning av person ska begäras om den som antas till utbildning.

Den som har för avsikt att ansöka om en säkerhetsutredning av ett företag med vilket ett upphandlingsavtal avses bli ingånget ska meddela detta i upphandlingsannonsen eller i anbudsförfrågan. Om det inte är frågan om försvars- och säkerhetsupphandling enligt lagen om offentlig försvars- och säkerhetsupphandling (1531/2011) får upplysningen om denna avsikt också lämnas på annat sätt.

Bestämmelserna i 1 och 2 mom. tillämpas inte, om den som utredningen gäller själv ansöker om säkerhetsutredning.

En allmän förutsättning för att en säkerhetsutredning och en kontroll av tillförlitligheten enligt 51 § i anslutning till en säkerhetsutredning ska kunna genomföras är att den som utredningen gäller på förhand har gett sitt skriftliga samtycke till detta.

Av samtyckeshandlingen ska det framgå att den som utredningen gäller före sitt samtycke har informerats om syftet med säkerhetsutredningen och kontrollen av tillförlitligheten och hur dessa används, om databehandlingen i samband med säkerhetsutredningen och kontrollen av tillförlitligheten samt om sin rätt att ta del av utredningens innehåll.

Samtycke till en säkerhetsutredning av person kan ges så att samtycket täcker alla de situationer där det under det anställningsförhållande eller uppdrag som angivits i samtycket behöver göras en säkerhetsutredning eller utfärdas ett intyg över säkerhetsutredning av person. Samtycke kan också ges så att det omfattar alla arbetsuppgifter inom ett visst förvaltningsområde.

Om den som utredningen gäller själv ansöker om säkerhetsutredning, ska han eller hon i stället för en samtyckeshandling lämna en anmälan med de uppgifter som avses i 2 mom.

Var och en har rätt att få information av den behöriga myndigheten om huruvida det har gjorts en säkerhetsutredning om honom heller henne eller det företag vars talan han eller hon för. Den som utredningen gäller har rätt att av den behöriga myndigheten på begäran få de uppgifter som finns i utredningen.

Den som ansökt om säkerhetsutredningen ska informera den som utredningen gäller om utredningens resultat. Om utredningen har getts i skriftlig form, ska utredningen ges för påseende eller på begäran överlämnas i form av en kopia.

Bestämmelserna i 1 och 2 mom. tillämpas inte, om informationen har sitt ursprung i personregister som en registrerad enligt lag inte har rätt till insyn i.

Om den behöriga myndigheten vägrar att lämna informationen, ska den i ett skriftligt beslut till den som begärt informationen uppge skälen för detta.

Den person som en säkerhetsutredning gäller har rätt att göra anmärkningar om sådant som framkommit i samband med en intervju eller vid kontroll av uppgifterna på blanketten för personuppgifter enligt 28 §.

Den behöriga myndigheten ska anteckna en anmärkning som gjorts av den som utredningen gäller i hans eller hennes säkerhetsutredning, om inte uppgiften genast rättas med anledning av anmärkningen eller anmärkningen måste betraktas som uppenbart ogrundad.

Om den behöriga myndigheten vägrar anteckna anmärkningen i säkerhetsutredningen, ska myndigheten meddela den som utredningen gäller orsaken till detta i ett skriftligt beslut.

Särskilda bestämmelser gäller för rättelse av uppgifter i register.

Vad som i detta kapitel föreskrivs om samtycke, rätt till information och anmärkningsrätt för den som utredningen gäller ska också tillämpas på en närstående till honom eller henne, om en säkerhetsutredning görs om den närstående med stöd av 29 §.

Skyddspolisen fattar beslut om huruvida en normal säkerhetsutredning av person eller en säkerhetsutredning av företag ska göras, om inte något annat föreskrivs nedan. Skyddspolisen gör en begränsad säkerhetsutredning av person, om en sådan behövs för att uppfylla en internationell förpliktelse som gäller informationssäkerhet. Uppdrag enligt denna lag kan vid skyddspolisen skötas av kontaktpersoner som anvisats av huvudstaben.

En av Polisstyrelsen utsedd enhet inom polisförvaltningen fattar beslut om huruvida en begränsad säkerhetsutredning av person ska göras, om inte något annat följer av 1 eller 3 mom.

Huvudstaben fattar beslut om huruvida en säkerhetsutredning av person ska göras, om den som utredningen gäller arbetar eller kommer att arbeta inom försvarsmakten eller sköter ett uppdrag på förordnande av försvarsmakten eller om säkerhetsutredningen hänför sig till verksamhet eller upphandling inom försvarsmakten. Huvudstaben fattar beslut om huruvida en säkerhetsutredning ska göras av ett företag som sköter eller kommer att sköta ett uppdrag på förordnande av försvarsmakten eller av ett företag som hänför sig till upphandling inom försvarsmakten. Huvudstaben kan delegera kontrollen av de registeruppgifter som behövs för en säkerhetsutredning till en enhet inom försvarsmakten under dess tillsyn som den utser, och i detta syfte ge tillträde till de register som används vid kontrollen. Huvudstaben kan även ge denna enhet rätt att underrätta en enhet inom försvarsmakten som ansökt om en säkerhetsutredning av en person om att registeruppgifterna inte uppvisar något som skulle vara negativt med tanke på personens tillförlitlighet.

Kommunikationsverket gör som ett led i en säkerhetsutredning av företag en utredning om nivån på informationssäkerheten i informationssystem och datakommunikation.

Trots vad som föreskrivs ovan kan de behöriga myndigheterna i enskilda fall komma överens om att en myndighet gör en säkerhetsutredning eller en del av den i en annan myndighets ställe eller utfärdar intyg över säkerhetsutredningen.

En säkerhetsutredning görs inte, om det finns en giltig motsvarande säkerhetsutredning om den som utredningen gäller, om inte något annat följer av särskilda skäl.

Bestämmelserna i 1 mom. tillämpas också vid bedömning av uppgifter om beslut som polisväsendet i sin verksamhet fattat i fråga om den som utredningen gäller eller om åtgärder som polisväsendet i sin verksamhet riktat mot honom eller henne.

Bestämmelser om begränsning av användningen av uppgifter i vissa fall finns i 32 §.

I anslutning till justitieministeriet finns det en av statsrådet tillsatt nämnd för bedömningskriterier. Nämnden består av företrädare för det ministerium som har ansvar för den allmänna styrningen av informationssäkerheten inom den offentliga förvaltningen och företrädare för försvarsförvaltningen, utrikesförvaltningen och övriga förvaltningsområden som är centrala för skyddet av allmänna intressen, fackorganisationerna och näringslivet samt medlemmar som företräder den behövliga juridiska sakkunskapen.

Utöver vad som föreskrivs i 2 mom. ska nämnden för bedömningskriterier ge skyddspolisen ett utlåtande med anledning av en ansökan som avses i 22 §.

De behöriga myndigheterna ska bedriva samarbete sinsemellan för att skapa ett enhetligt sätt att utforma säkerhetsutredningarna och intygen över dem och för att skapa en enhetlig praxis för tillämpningen av rekommendationerna från nämnden för bedömningskriterier.

En säkerhetsutredning av person kan göras som en begränsad, en normal eller en omfattande säkerhetsutredning så som föreskrivs i detta kapitel.

Om inte något annat följer av internationella förpliktelser som gäller informationssäkerhet eller om inte något annat föreskrivs i lag, får säkerhetsutredning av person sökas av arbetsgivaren till den som utredningen gäller eller av den som står för förordnandet av det uppdrag eller arbetsuppgifter inom det uppdrag som den som utredningen gäller kommer att sköta eller sköter. Om utredningen görs i fråga om någon som ska antas till utbildning, är det utbildningsanordnaren som ska ansöka om säkerhetsutredning.

Genom förordning av statsrådet får det föreskrivas att en statsförvaltningsmyndighet ska skaffa en säkerhetsutredning av en sådan person som annat än tillfälligt har rätt att hantera handlingar på skyddsnivå I eller II eller som annars sköter sådana arbetsuppgifter där han eller hon genom att röja sekretessbelagda uppgifter eller begå någon annan lagstridig gärning, på ett betydande sätt kan äventyra statens säkerhet, försvaret, internationella förbindelser, beredskap för undantagsförhållanden, befolkningsskyddet eller vitala samhällsfunktioner eller säkerhetsarrangemang för skyddet av nämnda intressen.

Bestämmelser om när intyg över säkerhetsutredning av person krävs för utnämning till en tjänst finns i statstjänstemannalagen (750/1994).

En säkerhetsutredning av person ska sökas skriftligt. Ansökan ska åtföljas av en samtyckeshandling enligt 5 § 2 mom. eller, om personen själv ansöker om en säkerhetsutredning, en redogörelse enligt 5 § 4 mom.

När en normal eller omfattande säkerhetsutredning av person söks ska ansökan åtföljas av uppgifter om vilka orter den som utredningen gäller har varit bosatt på eller vistats en längre tid på under högst de tio senaste åren samt matrikelutdrag eller någon annan utredning om utbildning och tjänste- och arbetsavtalsförhållanden under minst de tio senaste åren. Uppgifter som motsvarar matrikelutdrag behöver inte visas upp i fråga om den som redan är anställd hos den behöriga myndigheten eller inom myndighetens förvaltningsområde, om den behöriga myndigheten kan skaffa uppgifterna på tjänstens vägnar. När en omfattande säkerhetsutredning av person söks ska en blankett för personuppgifter enligt 28 § fogas till ansökan eller ges in separat.

Den som ansöker om en säkerhetsutredning av person ska utöver vad som föreskrivs ovan på begäran av den behöriga myndigheten lämna uppgifter som enligt denna lag ska beaktas vid bedömningen av förutsättningarna för att en säkerhetsutredning ska göras eller för att ett intyg över säkerhetsutredningen ska utfärdas.

En allmän förutsättning för säkerhetsutredning av person är att sökanden genom tekniska eller andra åtgärder har begränsat tillgången till uppgifter som skyddas och har sett till att lokaler och informationssystem är skyddade samt har vidtagit andra behövliga åtgärder för att genomföra informationssäkerhet och andra säkerhetsarrangemang.

Överensstämmelse med kraven enligt 1 mom. kan påvisas genom ett intyg utfärdat av ett godkänt bedömningsorgan som avses i lagen om bedömningsorgan för informationssäkerhet (1405/2011), genom ett intyg utfärdat i enlighet med lagen om bedömning av informationssäkerheten i myndigheternas informationssystem och datakommunikation (1406/2011), genom en säkerhetsplan eller på något annat sätt som den behöriga myndighet som beslutar att säkerhetsutredning ska göras godkänner.

Bestämmelserna ovan tillämpas inte, om en säkerhetsutredning av person görs med stöd av 19 § 2 mom. eller 21 § 2 mom. eller om den som utredningen gäller sköter arbetsuppgifter som avses i 43 § 1 mom. 2 punkten.

En normal säkerhetsutredning av person görs också på en sådan ansökan som skyddspolisen handlägger med stöd av 24 § 1 mom. eller har godkänt att förfarandet med säkerhetsutredning ska tillämpas på i enlighet med 22 §.

En begränsad säkerhetsutredning görs i fråga om dem som sköter eller ska utses till sådana arbetsuppgifter som skyddspolisen i enlighet med 22 § har godkänt för förfarandet med säkerhetsutredning eller som skyddspolisen i enlighet med 24 § har överfört för att handläggas som begränsad säkerhetsutredning.

Skyddspolisen ska innan den fattar ett beslut enligt 1 mom. begära ett utlåtande av nämnden för bedömningskriterier om en ansökan som ett företag lämnat in till skyddspolisen.

Skyddspolisen ska i behövlig utsträckning informera den enhet inom polisförvaltningen som gör begränsade säkerhetsutredningar om ett beslut som avses i 1 mom.

En säkerhetsutredning av person görs genom att registeruppgifter om personen kontrolleras på det sätt som föreskrivs i detta kapitel samt vid behov genom att den som utredningen gäller intervjuas om sin situation i allmänhet, vistelse utomlands och sina relationer till medborgare i andra länder samt om andra omständigheter som är av särskild betydelse för bedömningen av hans eller hennes tillförlitlighet med tanke på de arbetsuppgifter som utredningen görs för.

Den behöriga myndigheten har trots sekretessbestämmelserna rätt att av andra myndigheter få och för säkerhetsutredningen använda uppgifter med vars hjälp det kan säkerställas att registeruppgifterna inte är föråldrade eller annars vilseledande.

Vid genomförandet av en omfattande säkerhetsutredning av person är det också möjligt att utreda vilken ekonomisk ställning den som utredningen gäller har samt utreda hans eller hennes närstående i enlighet med 25 §.

Trots vad som föreskrivs i 19 och 21 § kan skyddspolisen pröva en ansökan om begränsad säkerhetsutredning, om det är behövs för att trygga statens säkerhet eller den allmänna säkerheten. I detta syfte kan skyddspolisen samköra identifieringsuppgifterna om den som utredningen gäller i det i 48 § avsedda registret över säkerhetsutredningar med skyddspolisens funktionella informationssystem.

Skyddspolisen kan hänskjuta en till skyddspolisen ställd ansökan om säkerhetsutredning av person för att handläggas som begränsad säkerhetsutredning av person till den enhet inom polisförvaltningen som sköter sådana ärenden, om det är ändamålsenligt och förutsatt att ärendet inte med hänsyn statens säkerhet eller den allmänna säkerheten behöver behandlas av skyddspolisen.

Den som är föremål för en säkerhetsutredning av person och som före utredningen har bott utomlands utan avbrott mer än fem år under de tio senaste åren kan för att säkerställa en heltäckande säkerhetsutredning visa upp ett intyg från en utländsk myndighet över sådana registeruppgifter enligt 25 § 1 mom. 1—3 punkten som han eller hon kan få för detta ändamål enligt lagstiftningen i landet i fråga.

Utifrån den information som skyddspolisen inhämtat i sin verksamhet ska skyddspolisen genom ett allmänt datanät eller på annat lämpligt sätt informera om de behöriga myndigheter i andra stater som i enlighet med lagstiftningen i staten i fråga svarar för utredningar om personers bakgrund eller för förande av de register som anlitas i samband med utredningarna samt ge ut dessa myndigheters kontaktinformation.

Den behöriga myndigheten ska ge den som utredningen gäller möjlighet att yttra sig om de omständigheter som framkommit vid kontroll av de uppgifter som han eller hon har lämnat.

Om det är absolut nödvändigt för att syftet med en omfattande säkerhetsutredning av person ska uppnås, får utredningen i enskilda fall utsträckas till att gälla också närstående till den som utredningen gäller.

Vid en begränsad säkerhetsutredning av person ska de register som avses i 25 § 1 mom. 1—10 punkten användas som informationskällor, med undantag för skyddspolisens funktionella informationssystem och huvudstabens säkerhetsdataregister.

Utöver vad som föreskrivs i 25 § får huvudstaben när den gör säkerhetsutredningar av personer som ska utses till eller sköter arbetsuppgifter inom försvarsmakten använda uppgifter som kan fås ur värnpliktsregistret och ur registret över krishanteringspersonal.

Uppgifter om hälsotillstånd och tjänsteduglighet i värnpliktsregistret får beaktas i en säkerhetsutredning endast om det är nödvändigt för att trygga andras personliga säkerhet.

Vad som i 1 och 2 mom. föreskrivs om huvudstaben gäller också skyddspolisen när den gör en säkerhetsutredning av en person som ska utses till uppgifter inom skyddspolisen.

Sådana uppgifter om en persons hälsotillstånd som ingår i informationssystemet för polisärenden, informationssystemet för förvaltningsärenden och skyddspolisens funktionella informationssystem, vilka avses i lagen om behandling av personuppgifter i polisens verksamhet, får beaktas när en utredning görs endast om det är nödvändigt för att trygga andras personliga säkerhet och uppgifterna baserar sig på ett läkarintyg eller andra anteckningar av en legitimerad yrkesutbildad person inom hälso- och sjukvården eller på uppgifter som han eller hon lämnat muntligt med stöd av lag, och det inte råder oklarhet om att uppgifterna är korrekta. Vad som föreskrivs ovan i detta moment hindrar inte den behöriga myndigheten från att fästa arbetsgivarens uppmärksamhet på behovet att vidta i 17 § 2 mom. 4 punkten avsedda åtgärder.

I de fall som avses i 36 § 2 mom. kan en säkerhetsutredning av företag göras på begäran av företaget i fråga.

Genom förordning av statsrådet får det föreskrivas att en statsförvaltningsmyndighet ska skaffa en säkerhetsutredning i fråga om ett företag som i syfte att fullfölja ett avtal med statsförvaltningsmyndigheten tar emot klassificerade handlingar på skyddsnivåerna I—III.

Ansökan ska åtföljas av en handling med företagets samtycke till att en säkerhetsutredning görs, om inte företaget självt gör ansökan.

En säkerhetsutredning av företag kan utsträckas också till ett företag som är underleverantör till den som utredningen gäller till den del förutsättningarna enligt 1 mom. uppfylls också i fråga om underleverantören och den behöriga myndigheten anser att utredningen behövs.

Genom förordning av statsrådet får det föreskrivas att en säkerhetsutredning av företag får göras också för att skydda sådan information om affärs- och yrkeshemligheter eller teknologiskt utvecklingsarbete vid företaget som om den användes, hanterades och överläts på ett obehörigt sätt skulle förorsaka företaget betydande ekonomisk skada eller om det ligger i allmänt intresse att skydda informationen.

Utöver vad som föreskrivs i 1 mom. 3 punkten ska 4 kap. iakttas när det gäller informationskällor för sådana säkerhetsutredningar av ett företags ansvarspersoner som görs som ett led i en säkerhetsutredning av själva företaget.

Om syftet med en säkerhetsutredning av företag är att visa att företaget når upp till en viss informationssäkerhetsnivå, ska det klarläggas huruvida kraven för den nivån är uppfyllda.

En säkerhetsutredning av företag får också genomföras partiellt, om det behövs för att uppfylla en internationell förpliktelse som gäller informationssäkerhet eller om det annars är befogat för att syftet med säkerhetsutredningen ska uppnås.

Det företag som en säkerhetsutredning gäller ska lämna den myndighet som gör utredningen de uppgifter som behövs för att säkerhetsutredningen ska kunna göras samt för detta ändamål ge dem som gör utredningen och utför inspektioner tillträde till sina lokaler.

Den behöriga myndigheten kan i behövlig omfattning inspektera de säkerhetsarrangemang som har vidtagits för att skydda företagets lokaler, informationssystem och datakommunikation samt övriga säkerhetsarrangemang. Inspektioner får inte utföras i lokaler och utrymmen som används för boende av permanent natur.

Den behöriga myndigheten kan när den gör en säkerhetsutredning av företag och upprättar ett intyg över utredningen förutsätta att näringsidkaren förbinder sig att sörja för att informationssäkerhetsnivån bevaras och anmäla förändringar som inverkar på informationssäkerhetsnivån, samt att för övervakning av att informationssäkerhetsnivån bevaras ge myndigheten tillstånd att komma in i företagets lokaler och lämna uppgifter som behövs för kontrollen.

Sökanden ska underrättas skriftligt om att säkerhetsutredningen har avslutats och om innehållet i utredningen eller ges ett i 43 eller 46 § avsett intyg över säkerhetsutredningen.

Om det utifrån säkerhetsutredning av person inte föreligger någon skyldighet att utfärda ett intyg och om det under utredningen inte framkommer något sådant som den myndighet som gjort utredningen anser vara av betydelse med tanke på tillförlitligheten hos den som utredningen gäller, får myndigheten trots bestämmelsen i 1 mom. muntligt informera sökanden om saken.

En säkerhetsutredning binder inte den för vars räkning utredningen har gjorts.

En säkerhetsutredning får innehålla sekretessbelagda uppgifter endast i sådan form och i sådan omfattning som i det aktuella fallet behövs för att syftet med utredningen ska uppnås och det är uppenbart att lämnandet av uppgifterna inte äventyrar statens säkerhet eller andra i 1 § avsedda allmänna intressen. Om uppgifter om ett brottmål under behandling tas in i en säkerhetsutredning, ska det samtidigt uppges i vilken fas av behandlingen ärendet befinner sig när säkerhetsutredningen lämnas.

En säkerhetsutredning av person får inte innehålla myndighetens bedömning av hans eller hennes oförvitlighet, tillförlitlighet eller lämplighet för en tjänst eller ett uppdrag.

Den behöriga myndigheten får i samband med att en säkerhetsutredning av person överlämnas fästa arbetsgivarens uppmärksamhet på behovet att vidta åtgärder enligt 17 § 2 mom. 4 punkten.

Den nationella säkerhetsmyndigheten utfärdar i enlighet med lagen om internationella förpliktelser som gäller informationssäkerhet sådana intyg över säkerhetsutredning av person som behövs för att uppfylla internationella förpliktelser som gäller informationssäkerhet.

I de fall som avses i 1 mom. 2 punkten kan intyget också utfärdas som ett identitetskort. Skyddspolisen fastställer identitetskortets form och innehåll efter att ha hört huvudstaben och med beaktande av 44 §.

Om den behöriga myndigheten vägrar att utfärda ett intyg över säkerhetsutredning av person, ska den i ett skriftligt beslut till den som ansökt om utredningen och till den som utredningen gäller uppge skälen för detta.

I ett intyg över säkerhetsutredning av person antecknas den som utredningen gäller, datum, utfärdaren och de arbetsuppgifter för vilka intyget har utfärdats.

Den för vars räkning en säkerhetsutredning av person har gjorts ska se till att de personuppgifter som ingår i säkerhetsutredningen kan behandlas endast av personer som oundgängligen behöver dem för skötseln av sina arbetsuppgifter och att uppgifterna i utredningen och i intyget över säkerhetsutredningen inte används för något annat ändamål än det som nämnts i ansökan. Detsamma gäller den som har mottagit en säkerhetsutredning eller ett intyg över säkerhetsutredning av den person som utredningen gäller. Vad som föreskrivs ovan utgör inget hinder för att uppgifterna i en säkerhetsutredning om en arbetssökande behandlas när denne intervjuas av arbetsgivaren, om inte något annat följer av 6 § 3 mom.

Sökanden ska förstöra det skriftliga meddelandet om en säkerhetsutredning omedelbart när det inte längre behövs för det ändamål som nämnts i ansökan om utredning, dock senast sex månader efter det att sökanden mottog meddelandet.

Bestämmelser om hemlighållande av säkerhetsutredningar av person och av uppgifterna i dem finns i 59 §.

Den behöriga myndighet som har gjort en säkerhetsutredning av ett företag ska ge sökanden ett intyg över säkerhetsutredningen, om företaget uppfyller de krav på informationssäkerhet som ligger till grund för utredningen. Intyget ska också ges till den som utredningen gäller.

Den nationella säkerhetsmyndigheten utfärdar i enlighet med lagen om internationella förpliktelser som gäller informationssäkerhet sådana intyg över säkerhetsutredning av företag som behövs för att uppfylla internationella förpliktelser som gäller informationssäkerhet.

Om en säkerhetsutredning av företag har gällt uteslutande säkerheten i informationssystem och datakommunikation, får Kommunikationsverket som har gjort utredningen utfärda ett intyg över den.

Om den behöriga myndigheten vägrar att utfärda ett intyg över säkerhetsutredning av företag, ska den i ett skriftligt beslut till den som ansökt om utredningen och till den som utredningen gäller uppge skälen för detta.

Om det behövs för ändamålet med en säkerhetsutredning av företag, ska i intyget antecknas att det vid utredningen inte framkommit skäl till varför företaget inte skulle kunna utses till det uppdrag som ligger till grund för ansökan.

Skyddspolisen ska i egenskap av huvudansvarig registerförare föra register över säkerhetsutredningar för att onödiga säkerhetsutredningar ska kunna undvikas, för att uppgifter ska kunna förmedlas mellan de behöriga myndigheterna samt för att tillförlitligheten och oförvitligheten hos dem som utredningarna gäller ska kunna kontrolleras. Varje myndighet som för in uppgifter i registret svarar för att uppgifterna är korrekta.

Den behöriga myndigheten ska utan dröjsmål registrera att en ansökan om säkerhetsutredning kommit in, namnet på den som utredningen gäller och andra identifieringsuppgifter, utredningens omfattning samt uppgifter om resultatet av utredningen eller att ett intyg över säkerhetsutredning utfärdats och dess giltighet och återkallelse samt uppgifter om arbetsgivaren för den som en säkerhetsutredning av person gäller, om dessa uppgifter är tillgängliga. Den nationella säkerhetsmyndigheten ska registrera uppgifter om de intyg över säkerhetsutredning av person och av företag som den utfärdat i enlighet med vad som förutsätts i en internationell förpliktelse som gäller informationssäkerhet.

Trots vad som föreskrivs ovan får skyddspolisen registrera uppgifter om sina anställda och huvudstaben uppgifter om anställda hos försvarsmakten till behövliga delar så att uppgifterna inte är tillgängliga för andra, om ett utlämnande av dessa uppgifter till utomstående kan äventyra myndighetens verksamhet och skötseln av arbetsuppgifter inom dess verksamhetsområde.

När ett ministerium har beslutat anställa en person av vilken det har gjorts en säkerhetsutredning som ministeriet i enlighet med 50 § 2 mom. ur registret över säkerhetsutredningar har inhämtat information om, ska ministeriet informera skyddspolisen om sitt beslut. Skyddspolisen ska också informeras när ett sådant anställningsförhållande som avses ovan upphör. Informationen kan lämnas genom en anteckning i registret över säkerhetsutredningar eller annars elektroniskt på ett sätt som skyddspolisen godkänner.

De uppgifter som förts in i registret över säkerhetsutredningar ska avföras senast tre år efter det att en ny motsvarande säkerhetsutredning har gjorts eller giltigheten för en säkerhetsutredning eller ett intyg över säkerhetsutredning har upphört eller de arbetsuppgifter för vilka säkerhetsutredningen gjordes har upphört eller intyget över säkerhetsutredning har återkallats. På avförande av uppgifter tillämpas i övrigt personuppgiftslagen (523/1999).

Skyddspolisen lämnar trots sekretessbestämmelserna med hjälp av teknisk anslutning uppgifter ur registret över säkerhetsutredningar till huvudstaben och till den enhet som Polisstyrelsen utsett att göra begränsade säkerhetsutredningar. Huvudstaben får, på ett sätt som skyddspolisen godkänner, till tjänstemän som utsetts av försvarsmaktens enheter vidarebefordra uppgifter som behövs för bedömning av behovet att skaffa en säkerhetsutredning eller för behandling av vistelse- och besökstillstånd som avses i 15 § i lagen om försvarsmakten (551/2007).

Skyddspolisen får trots sekretessbestämmelserna med hjälp av teknisk anslutning lämna centralkriminalpolisen uppgifter om ansökan om säkerhetsutredning för att samköras med uppgifterna i informationssystemet för misstänkta med tanke på de anmälningar som avses i 25 § 2 mom. och på prövning i fråga om dem. Centralkriminalpolisen ska utplåna de uppgifter som fåtts genom samkörningen omedelbart efter det att behovet av anmälan har prövats eller anmälan har sänts till skyddspolisen.

I de fall som avses i 2 mom. får uppgifter inhämtas med hjälp av teknisk anslutning endast om sådana personer och företag som gett sitt samtycke till att en säkerhetsutredning görs för att bli utsedda till ett anställningsförhållande eller ett uppdrag som säkerhetsutredning enligt denna lag ska göras för, eller om personer vilkas vistelse- eller besökstillstånd behandlas vid en i 1 mom. avsedd enhet inom försvarsmakten.

Skyddspolisen får samköra uppgifterna i registret över säkerhetsutredningar med uppgifter i delregistren i informationssystemet för polisärenden samt med uppgifter om anhängiga brottmål och avgöranden i brottmål i justitieförvaltningens riksomfattande informationssystem i syfte att klarlägga om säkerhetsutredningar eller intyg som utfärdats över dem fortfarande ska få vara giltiga.

Uppgifterna om en person av vilken det har gjorts en omfattande säkerhetsutredning får samköras med uppgifter i de personregister ur vilka uppgifter enligt 28 § 2 mom. kan skaffas för att kontrollera uppgifterna på blanketten för personuppgifter.

Skyddspolisen ska utplåna de uppgifter som uppkommit till följd av samkörningen omedelbart när de åtgärder som avses i 52 § har slutförts, dock senast ett år efter samkörningen av registren. Samkörda uppgifter får användas eller lämnas ut bara i de fall som avses i 52 § eller för att behandla ett avgörande som träffats med stöd av den paragrafen eller ett fullföljdsärende med anledning av avgörandet.

Bestämmelser om det samtycke som krävs av den som utredningen gäller för samkörning av registeruppgifter finns i 5 §.

Om det utifrån den kontroll som avses i 51 § framkommer att en person eller ett företag eller dess ansvarsperson misstänks för att eller genom beslut av domstol konstateras ha gjort sig skyldig till en brottslig gärning, ska skyddspolisen trots sekretessbestämmelserna informera den myndighet som gjort säkerhetsutredningen om saken.

Om det på basis av de uppgifter som erhållits vid kontrollen framkommer att en person misstänks för att eller genom beslut av domstol konstateras ha gjort sig skyldig till en gärning som skulle ha kunnat inverka på utfärdandet av ett intyg över säkerhetsutredning eller på säkerhetsutredningens innehåll, ska den behöriga myndigheten trots sekretessbestämmelserna, efter att ha hört den som utredningen gäller, informera den som ansökt om säkerhetsutredning av personen eller det ministerium som i enlighet med 48 § 5 mom. har registrerat att den som utredningen gäller har anställts, om inte det har meddelats att anställningsförhållandet har upphört. Innan arbetsgivaren eller uppdragsgivaren informeras ska det klarläggas om den som utredningen gäller fortfarande är anställd hos den arbetsgivare, fullgör den uppdragsgivares uppgifter eller studerar vid den läroanstalt som ansökt om säkerhetsutredning.

Om det på basis av de uppgifter som erhållits vid kontrollen framkommer att ett företags ansvarsperson eller ett företag misstänks för att eller genom beslut av domstol konstateras ha gjort sig skyldig till en gärning som skulle ha inverkat på utfärdandet av ett intyg över säkerhetsutredning av företag, ska den behöriga myndigheten trots sekretessbestämmelserna, efter att ha hört den som utredningen gäller, informera den som ansökt om en säkerhetsutredning av företaget i fråga.

Om ett intyg över säkerhetsutredning har utfärdats i syfte att uppfylla internationella förpliktelser som gäller informationssäkerhet, ska den nationella säkerhetsmyndighet som svarar för att internationella förpliktelser som gäller informationssäkerhet uppfylls, utan dröjsmål informeras om de omständigheter som avses i 1 mom.

När åtgärder övervägs och 1—4 mom. tillämpas ska vid bedömning av betydelsen av uppgifterna om brottsmisstanke och brottslig gärning hänsyn tas till vad som i 32 § och annars i lag föreskrivs om beaktande av olika slags uppgifter vid säkerhetsutredningar.

En säkerhetsutredning gäller tills vidare, dock högst fem år. Detsamma gäller det intyg som utfärdas över säkerhetsutredningen, om inte intyget har utfärdats för ett tidsbegränsat uppdrag eller för ett uppdrag inom ett visst projekt eller om inte den behöriga myndigheten på grund av särskilda omständigheter relaterade till utredningen beslutar något annat.

En säkerhetsutredning som gäller tills vidare kan på initiativ av den myndighet som gjort utredningen, på ansökan av den som ansökt om utredning eller på ansökan av den som utredningen gäller göras på nytt, om det behövs för att uppfylla en internationell förpliktelse som gäller informationssäkerhet eller på grund av sådana förändringar i arbetsuppgifterna för den som utredningen gäller, eller i hans eller hennes situation, som enligt denna lag ska beaktas när en utredning görs.

Ett intyg över säkerhetsutredning av person får utfärdas på basis av registret över säkerhetsutredningar utan att någon ny utredning görs, om inte något annat följer av den kontroll som genomförts i enlighet med 51 §.

Ett intyg över säkerhetsutredning av företag kan återkallas, om verksamheten vid det företag som utredningen gäller inte längre uppfyller de krav som har legat till grund för intyget eller om dess ansvarsperson misstänks ha gjort sig skyldig till en gärning som avses i 1 mom. 2 punkten och företaget inte har avhjälpt bristerna inom utsatt tid.

Innan den behöriga myndigheten fattar ett beslut enligt 1 eller 2 mom. ska den höra den som utredningen gäller samt vid behov den som ansökt om säkerhetsutredning eller arbetsgivaren.

Den behöriga myndigheten får i sitt beslut om att återkalla ett intyg över säkerhetsutredning bestämma att beslutet ska följas även om det överklagas, om inte den myndighet som ska pröva överklagandet bestämmer något annat.

Dataombudsmannen har rätt att ta del av en säkerhetsutredning som har gjorts med stöd av denna lag för att kontrollera att behandlingen av personuppgifter är laglig.

Bestämmelser om dataombudsmannens rätt att utöva tillsyn och få information om behandlingen av personuppgifter finns i 39 § i personuppgiftslagen.

För att göra säkerhetsutredningar av personer och säkerhetsutredningar av företag samt i samband med kontroll enligt 51 § har den behöriga myndigheten rätt att få information av den registeransvarige för kreditupplysningsregistret.

De uppgifter som avses i 1 och 2 mom. får lämnas ut också med hjälp av teknisk anslutning.

Arbetsgivaren på vars ansökan över en arbetstagare har gjorts en säkerhetsutredning av person eller på basis av vilken det har utfärdats ett intyg över säkerhetsutredning av person ska anmäla om att anställningsförhållandet har upphört till den myndighet som gjort säkerhetsutredningen av person eller har utfärdat intyget över säkerhetsutredning av person.

Om intyget över säkerhetsutredning av person har återkallats, ska arbetsgivaren på vars ansökan intyget över säkerhetsutredning har utfärdats se till att intyget över säkerhetsutredning av person returneras till den myndighet som har utfärdat intyget.

Om ett intyg över säkerhetsutredning av företag har återkallats, ska det företag som utredningen gäller returnera det intyg över säkerhetsutredning av företag som företagit erhållit till den myndighet som har utfärdat intyget.

I ett ärende som har samband med en säkerhetsutredning ska på sekretess och förbud mot att utnyttja i fråga om den som har erhållit uppgifterna med stöd av lag, tillämpas bestämmelserna i 22—24 § i lagen om offentlighet i myndigheternas verksamhet även i de fall när någon annan än en myndighet enligt 4 § i den lagen har erhållit handlingarna och uppgifterna.

Utöver vad som föreskrivs i 1 mom. ska ett företag som mottagit ett intyg över säkerhetsutredning av företag, företagets ansvarspersoner, de som är anställda vid företaget och de som utför arbetsuppgifter på uppdrag av företaget hemlighålla sådant de fått kännedom om i samband med de arbetsuppgifter med avseende på vilka ett intyg över säkerhetsutredning av företag har utfärdats eller visats upp.

För säkerhetsutredningar som de behöriga myndigheterna gör med stöd av denna lag och för Kommunikationsverkets sakkunniguppgifter i samband med säkerhetsutredningar av företag tas det hos sökanden ut en avgift med iakttagande av lagen om grunderna för avgifter till staten (150/1992). Den som utredningen gäller svarar dock för kostnaderna i samband med genomförande av en säkerhetsutredning av företag, om utredningen har gjorts på ansökan av en myndighet.

Avgift tas inte ut för genomförande av en sådan säkerhetsutredning av person som den behöriga myndigheten gör på ansökan av en annan myndighet inom samma förvaltningsområde eller på ansökan av en läroanstalt.

Till straff för brott mot tystnadsplikten enligt 59 § döms enligt 38 kap. 1 eller 2 § i strafflagen, om inte gärningen utgör brott enligt 40 kap. 5 § i strafflagen eller om inte strängare straff för den föreskrivs någon annanstans i lag. Som brott mot tystnadsplikten enligt 1 mom. betraktas också brott mot en förbindelse som avses i 40 §.

Bestämmelser om straff för personregisterbrott finns i 38 kap. 9 § i strafflagen och om straff för personregisterförseelse i 48 § 2 mom. i personuppgiftslagen.

En behörig myndighets beslut enligt denna lag får överklagas genom besvär hos förvaltningsdomstolen så som föreskrivs i förvaltningsprocesslagen (586/1996).

En behörig myndighets beslut genom vilket den vägrat göra en säkerhetsutredning eller ett beslut som skyddspolisen fattat i ett ärende som avses i 22 § får inte överklagas genom besvär. Ett beslut om vägran att utfärda intyg över säkerhetsutredning får överklagas genom besvär bara om intyget enligt lag eller en bestämmelse som utfärdats med stöd av lag är ett villkor för att någon ska kunna utses till en tjänst eller väljas till ett uppdrag eller för skötseln av en sådan tjänst eller ett sådant uppdrag där den som utses eller väljs enligt en internationell förpliktelse som gäller informationssäkerhet ska ha ett intyg över säkerhetsutredning.

Ett beslut som gäller utfärdande och återkallelse av ett intyg över säkerhetsutredning får överklagas av den som ansökt om säkerhetsutredning och av den som utredningen gäller.

En myndighet vars beslut förvaltningsdomstolen har upphävt eller ändrat får för att bevara en enhetlig tillämpning av lagen överklaga förvaltningsdomstolens beslut.

Denna lag träder i kraft den 1 januari 2015. Genom denna lag upphävs lagen om säkerhetsutredningar (177/2002).

Åtgärder som krävs för verkställigheten av denna lag får vidtas innan lagen träder i kraft.

På ärenden som har anhängiggjorts före ikraftträdandet av denna lag tillämpas den lag som gällde vid ikraftträdandet. Det register över säkerhetsutredningar som avses i 48 § och den tillhörande databehandlingen ska sättas i lagenligt skick inom två år från ikraftträdandet.

Uppgifter om sådana säkerhetsutredningar som överlämnats med stöd av den lag om säkerhetsutredningar (177/2002) som upphävs och sådana intyg som utfärdats med stöd av lagen om internationella förpliktelser som gäller informationssäkerhet får överföras till registret över säkerhetsutredningar, om utredningarna har överlämnats och intygen utfärdats tidigast tre år före denna lags ikraftträdande.

Innan registret över säkerhetsutredningar har satts i lagenligt skick får de behöriga myndigheterna trots sekretessbestämmelserna till varandra även på elektronisk väg lämna ut eller annars behandla sådana uppgifter om i 3 mom. avsedda säkerhetsutredningar och intyg som behövs för att fullgöra skyldigheterna enligt 10 § i denna lag.