Valtioneuvoston selvitys: Komission tiedonanto henkilötietojen siirrosta EU:n ja Yhdysvaltojen välillä

VALTIONEUVOSTON SELVITYS

Ehdotus Valtioneuvoston kanta

Komission tiedonanto liittyy henkilötietojen siirtoon EU:n ja Yhdysvaltojen välillä. Tiedonanto perustuu vuonna 2013 tehtyyn toimintasuunnitelmaan, jossa esitetään kolme keskeistä toimea, joilla pyritään palauttamaan luottamus tiedonsiirtoihin digitaalitaloutta, Euroopan kansalaisten oikeuksien suojelua ja transatlanttisia suhteita edistävällä tavalla. Nämä toimet ovat EU:n tietosuojauudistus, EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely henkilötietojen siirrolle sekä EU:n ja Yhdysvaltojen välinen puitesopimus tietosuojatakeiden lujittamisesta lainvalvonta-alan yhteistyötä varten. Komissio kertoo tiedonannossaan, miten toimenpiteiden toteuttamisessa on edistytty. Komissio esittelee tiedonannossaan myös eräitä Yhdysvaltojen oikeusjärjestyksen uudistuksia.

EU:n neuvosto on hyväksynyt tietosuojauudistuksen 8.4.2016 ja Euroopan parlamentti 13.4.2016. Sitä koskeva kannanmuodostus Suomessa on tapahtunut U-asiana (). EU:n ja Yhdysvaltojen välisestä tietosuojasopimuksesta on annettu valtioneuvoston kirjelmät (ja). Nyt käsiteltävänä olevassa E-kirjeessä käsitellään erityisesti Safe Harbour -järjestelmän korvaavaa Privacy Shield -järjestelyä, jota koskeva komission päätös on tarkoitus tehdä komitologiamenettelyssä.

Suomi on pitänyt tärkeänä komission käynnistämiä toimenpiteitä, joiden tarkoituksena on ollut palauttaa luottamus EU:n ja Yhdysvaltojen välisiin tiedonsiirtoihin tilanteessa, jossa Yhdysvaltojen NSA:n harjoittamaa laajamittaista urkintaa koskevat paljastukset horjuttivat vakavasti eurooppalaisten luottamusta verkkoviestintään.

EU:n tietosuojauudistus, EU-US-tietosuojasopimus sekä uusi ”Privacy Shield” -järjestely pyrkivät varmistamaan transatlanttisen tiedonsiirron jatkuvuuden. Suomi pitää tärkeänä, että tiedonsiirtojen jatkuvuus EU:n ja Yhdysvaltojen välillä turvataan.

Privacy Shield -järjestelyn osalta Suomi on pitänyt perusteltuna Safe Harbour - järjestelmän kehittämistä siten, että rekisteröityjen yksityisyyden suojalle on riittävät takeet siirrettäessä tietoja järjestelmän puitteissa. On tärkeää, että asian jatkovalmistelussa otetaan asianmukaisesti huomioon Euroopan tietosuojaviranomaisten (”WP 29”) esittämä lausunto.

VALIOKUNNAN PERUSTELUT

Safe Harbour -järjestelmän tarkoituksena on ollut suojata henkilötietoja siirrettäessä niitä kaupallisissa tarkoituksissa Yhdysvaltoihin. Järjestelmään ovat liittyneet monet isot yritykset, joiden toiminta liittyy keskeisesti henkilötietojen käsittelyyn (esim. Facebook). EU:n tietosuojalainsäädäntö kieltää henkilötietojen siirtämisen kolmansiin maihin, ellei riittävää tietosuojan tasoa ole taattu. Yksi tapa tietosuojan riittävän tason toteamiseksi on komission henkilötietodirektiivin (95/46/EY) perusteella komitologiamenettelyssä tekemä päätös (adequacy decision). Komissio teki Safe Harbourista tietosuojan riittävyyttä koskevan päätöksen vuonna 2000. Järjestelmässä ilmettyä heikkouksia EU:n tuomioistuin mitätöi 6.10.2015 Safe Harbour -järjestelyn Schrems-tuomiolla (C-362/14) ja antoi ohjeita edellytyksistä, jotka tiedonsiirtoa koskevien puitteiden olisi täytettävä.

EU:sta Yhdysvaltoihin tapahtuvaa henkilötietojen siirtoa koskevia puitteita on kehitetty komission ja Yhdysvaltojen välisissä neuvotteluissa. Komission tarkoituksena on tehdä myös uudesta, Privacy Shieldiksi kutsutusta järjestelystä henkilötietodirektiivissä tarkoitettu päätös.

Saadun selvityksen perusteella Privacy Shield sisältää useita parannuksia Safe Harbour -järjestelmään verrattuna muun muassa amerikkalaisilta yrityksiltä henkilötietojen käsittelyssä edellytettävien vaatimusten osalta. Myös alihankintana tehtävää tietojen käsittelyä koskevat aikaisempaa tiukemmat edellytykset ja vastuusäännökset. Järjestely sisältää myös Yhdysvaltojen lakeja ja viranomaisten käytäntöjä koskevia sitoumuksia. Yhdysvaltojen oikeusjärjestelmään on tehty rajoituksia, jotka koskevat viranomaisten pääsyä Yhdysvaltoihin toimitettuihin henkilötietoihin kansallisen turvallisuuden tai muun yleiseen etuun liittyvän syyn vuoksi. Lisäksi selvityksestä ilmenee, että Yhdysvaltojen hallitus on päättänyt perustaa nykyisin käytössä olevien valvonta- ja oikeussuojamekanismien lisäksi uuden oikeussuojamekanismin, Privacy Shield -oikeusasiamiehen, joka on Euroopan unionin kansalaisten käytettävissä kaikkien kaupallisessa tarkoituksessa Yhdysvaltoihin siirrettävien tietojen yhteydessä. Myös tietojenvaihtoa koskevan järjestelmän läpinäkyvyyttä on parannettu. Selvityksen mukaan Privacy Shield -järjestelyyn kuuluvien yritysten lisäksi Yhdysvaltojen kauppaministeriö ylläpitää erikseen rekisteriä yrityksistä, jotka eivät enää kuulu järjestelmän piiriin. Rekisteristä käy ilmi myös syy yrityksen listalta poistamiseen. Valiokunta pitää tärkeänä niinikään sitä, että Privacy Shield ‑järjestelyä tarkastellaan EU:n ja Yhdysvaltojen välillä säännöllisin väliajoin.

Euroopan tietosuojaviranomaiset (WP 29) ovat antaneet 13.4.2016 komissiolle lausunnon Privacy Shield -järjestelystä. Arvioinnin lähtökohtana on ollut, että henkilötietojen käsittelyn tulee perustua selkeisiin, täsmällisiin ja saatavilla oleviin julkisiin sääntöihin, käsittelyn tarpeellisuus ja suhteellisuusperiaatteiden mukaisuus on voitava aina osoittaa, lisäksi on oltava itsenäinen ja riippumaton lainvalvontamekanismi ja rekisteröidyillä heidän kansallisuudestaan riippumatta tulee olla käytössään tehokkaat oikeusturvakeinot mukaan lukien muutoksenhakumahdollisuus. Lausunnon mukaan Privacy Shield sisältää merkittäviä parannuksia Safe Harbour ‑järjestelmään nähden. WP 29 on lausunnossaan esittänyt kuitenkin myös huolenaiheita ja vedonnut komissioon puutteiden korjaamiseksi.

Valiokunta pitää tärkeänä, että tietojen siirto EU:n ja Yhdysvaltojen välillä voi tapahtua turvallisesti ja rekisteröityjen henkilötietojen suojaan liittyvät oikeudet huomioiden. Privacy Shield merkitsee selvää parannusta aikaisempaan Safe Harbour -järjestelmään verrattuna. Asiassa saadun selvityksen perusteella komission päätösluonnosta on kuitenkin tarpeen vielä kehittää edelleen. Tietosuojan tehokasta täytäntöönpanoa tulee myös seurata. Valiokunta pitää valtioneuvoston tavoin tärkeänä, että asian jatkovalmistelussa otetaan asianmukaisesti huomioon WP 29:n esittämä lausunto.