Tietosuoja-asetus on tarkentanut rekisterinpitäjän velvollisuuksia. Tarkennukset liittyvät esimerkiksi yhteistyöhön valvontaviranomaisen kanssa (31 artikla), toimintaan tietosuojapoikkeusta koskevassa tilanteessa (33 artikla), rekisteröidyn oikeuksien toteuttamiseen ja tätä koskeviin menettelyihin (12—22 artiklat) sekä velvollisuuteen osoittaa tietosuoja-asetuksen mukaisten velvoitteiden noudattaminen (24 artiklan 1 kohta). Lisäksi tietosuoja-asetus sisältää tarkempia säännöksiä esimerkiksi henkilötietojen käsittelyä koskevista periaatteista, käsittelyn oikeusperusteista ja erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä.
Väestötietolain 29 §:ssä säädetään tietojen luovuttamisesta tuomioistuin- ja hallintomenettelyyn, viranomaisen suunnittelu- ja selvitystehtävään sekä muuhun näitä vastaavaan viranomaistehtävään. Sääntelyssä olisi tarpeen tarkentaa, että tarpeelliset tiedot voidaan myös luovuttaa viranomaistehtävään, kun käsittelyn perusteena on tietosuoja-asetuksen 6 artiklan 1 kohdan c tai e alakohta. Tarkoituksena olisi välttää asetelma, jossa viranomaisen käsittelylle on tietosuoja-asetuksen mukainen peruste ja käsittelyn oikeutus johtuu lainsäädännöstä, mutta Digi- ja väestötietoviraston tulisi erikseen arvioida tietojen luovuttamisen mahdollisuus tietosuoja-asetuksesta poikkeavin perustein.
Esitykseen sisältyy ehdotus, jonka mukaan väestötietolain 77 §:n säännös vaitiolovelvollisuudesta ja hyväksikäyttökiellosta poistettaisiin. Kyse on viittauksesta julkisuuslakiin, joka ei ole tarpeellinen. Säännös on aiheuttanut tulkintaepäselvyyttä sen osalta, laajentaako säännös väestötietojärjestelmään sisältyvien tietojen salassapitoa siitä, mitä julkisuuslaissa on säädetty.
Väestötietojärjestelmän, holhousasioiden rekisterin, vihkimisoikeusrekisterin, avioehtoasioiden rekisterin, avoliittoasioiden rekisterin ja lahjoitusasioiden rekisterin rekisterinpitovastuun siirtyminen kahdelle rekisterinpitäjälle, Digi- ja väestötietovirastolle sekä Ahvenanmaan valtionvirastolle, useiden rekisterinpitäjien sijaan vaikuttaa vahvistavasti rekistereiden tietosuojaan ja tietoturvallisuuteen. Lisäksi muutos selkeyttää tilannetta rekisteröidyn näkökulmasta. Näin on erityisesti Manner-Suomessa, jossa rekisterinpito näyttäytyy rekisteröidylle käytännössä yhden rekisterinpitäjän järjestelynä. Rekisteröidyn oikeudet voidaan toteuttaa paremmin ja tehokkaammin verrattuna siihen, että rekisterinpitovastuu on jakautunut usean viranomaisen välillä. Yksittäisen henkilön näkökulmasta asetelma on selkeämpi ja menettelyt suoraviivaisempia. Muutoksen oletetaan edesauttavan myös tietosuoja-asetuksen toteuttamista yleisesti, sillä uuden viraston toimintatapojen muutoksessa voidaan tehokkaasti huomioida muuttuneet tietosuojavaatimukset.
Rekisterinpitoa koskevien muutosten lisäksi väestötietolaissa olisi laajemmin muutettava toimivaltaa ja tehtäviä koskevaa sääntelyä niin, että Ahvenanmaan valtionviraston toimivallasta säädetään erikseen. Lisäksi sääntelyn selkeyttämiseksi väestötietolaista purettaisiin sellaisia säännöksiä, jotka ovat tietosuoja-asetuksen voimaan tultua tarpeettomia tai liian yksityiskohtaisia. Samalla tehtäisiin yksittäisiä käytännön tarpeista tai muun sääntelyn kehityksestä johtuvia muutoksia.
Hallituksen esitys on valmisteltu yhdistämishankkeessa. Tässä yhteydessä on valmisteltu sellaiset lainsäädännön muutokset, joita organisaatiouudistus edellyttää, keskeisimpänä uusi organisaatiolaki, sekä sellaiset aineellisia kysymyksiä koskevat muutokset, jotka olennaisesti liittyvät muutokseen. Esityksen perusvalmistelussa on tavoiteltu sekä organisaatioita koskevan sääntelyn että uudistuksesta laajemmin johtuvien säädösmuutosten esittelemistä samalla kertaa. Lausuntokierroksella olleeseen hallituksen esityksen luonnokseen ovat sisältyneet organisaatiolaki ja tietyt muut säädösmuutokset. Jatkovalmistelun aikana kuitenkin päätettiin antaa esitykset organisaatiouudistuksesta ja siitä laajemmin aiheutuvista säädösmuutoksista erillisinä kokonaisuuksina. Organisaatiouudistuksen keskeisesti toteuttavat lait Digi- ja väestötietovirastosta sekä aluehallintovirastoista annetun lain 4 §:n 2 momentin 2 kohdan kumoamisesta ovat sisältyneet erilliseen hallituksen esitykseen (HE 233/2018 vp). Laki Digi- ja väestötietovirastosta sekä laki aluehallintovirastosta annetun lain 4 §:n 2 momentin 2 kohdan kumoamisesta on hyväksytty. Lait tulevat voimaan 1 päivänä tammikuuta 2020. Hallituksen esitys (HE 255/2018 vp) viraston toimialaa koskevista laajemmista säädösmuutoksista annettiin eduskunnalle marraskuussa 2018. Hallituskauden vaihtumisen seurauksena esitys kuitenkin raukesi eduskunnassa. Tämä esitys vastaa sisällöllisesti rauennutta esitystä. Esitykseen on tehty ainoastaan teknisluonteisia ja merkitykseltään vähäisiä muutoksia. Tästä syystä lausuntokierrosta ei ollut tarpeen toteuttaa uudestaan. Tähän esitykseen sisältyvät sellaiset laajemmat lainsäädännön muutokset, jotka johtuvat organisaatiouudistuksesta tai jotka on tarkoituksenmukaista toteuttaa samassa yhteydessä.
Väestötietolain muuttamista koskevan esityksen sekä uuden Digi- ja väestötietoviraston henkilörekistereistä annettavan lain mukaan Digi- ja väestötietovirasto ja Ahvenanmaan valtionvirasto olisivat jatkossa kaikkien näiden rekisterien yhteisrekisterinpitäjiä. Voimassa olevassa lainsäädännössä säädetään lähtökohtaisesti joko Väestörekisterikeskuksen ja maistraattien tai ainoastaan maistraattien rekisterinpitovastuusta, mutta rekisterihallintolain 3 §:ää on mahdollista tulkita niin, että Ahvenanmaan valtionvirasto katsotaan myös rekisterinpitäjäksi. Kun maistraattien ja Väestörekisterikeskuksen tehtävät yhdistetään Digi- ja väestötietovirastossa uudeksi kokonaisuudeksi, on rekisterinpidon kannalta tarkoituksenmukaisinta, että vastuita samalla selvennetään. Rekisterihallintolain kumoamisen sekä maistraattien ja Väestörekisterikeskuksen yhdistymisen myötä Ahvenanmaan valtionviraston roolia rekisterinpidossa ei olisi enää mahdollista toteuttaa viittaamalla yleisesti maistraattien hoitamiin tehtäviin. Ahvenanmaan valtionviraston yhteisrekisterinpitovastuusta tulisi siis säätää erikseen. Lisäksi olisi tarpeen selventää vastuita Digi- ja väestötietoviraston sekä Ahvenanmaan valtionviraston välillä, jotta tietosuoja-asetuksen vaatimukset voidaan toteuttaa tehokkaasti. Tavoitteena on säilyttää Ahvenanmaan valtionviraston rooli ennallaan kuitenkin huomioiden, että tietosuoja-asetus on osin laajentanut ja tarkentanut rekisterinpitäjien vastuita.
