Eduskunnan Brysselin asiantuntijan katsaus: Ajankohtaista EU:n tietosuojasääntelystä

Tietosuojaan liittyvät kysymykset nousivat kuukausi sitten jälleen ajankohtaisiksi EU-tuomioistuimen todettua 6.10. antamassaan päätöksessä EU-komission vuodelta 2000 peräisin olevan ns. Safe Harbour -päätöksen pätemättömäksi

Safe Harbour -päätöksen nojalla yksityishenkilöiden henkilötietoja on voinut siirtää EU-maista sellaisille yhdysvaltalaisyrityksille, jotka ovat sitoutuneet noudattamaan EU:n tietosuojavaatimuksia vastaaviksi katsottuja Safe Harbour -sääntöjä. EU-tuomioistuimen nyt antaman päätöksen mukaan Safe Harbour -sääntöihin sitoutuminen ei riitäkään riittävän tietosuojan tason takaamiseen, joten sen nojalla ei enää ole mahdollista siirtää henkilötietoja EU:sta Yhdysvaltoihin.

Safe Harbour -sääntöjen heikkous paljastui vuonna 2013, jolloin ns. Snowden-paljastusten myötä kävi ilmi, että useat yhdysvaltalaisyritykset luovuttavat asiakkaidensa henkilötietoja Yhdysvaltain turvallisuusviranomaisille sellaisessa laajuudessa, mikä ei eurooppalaisen tietosuojakäsityksen mukaan ole kohtuullista edes kansallisen turvallisuuden takaamiseksi. EU-komissio julkaisi marraskuussa 2013 tiedonannon, jossa se esitteli 13 periaatetta, joiden pohjalta se käynnisti neuvottelut Safe Harbourin uudistamisesta Yhdysvaltain kanssa. Neuvotteluja on nyt käyty lähes kaksi vuotta, mutta niitä ei edelleenkään ole saatu vietyä loppuun. Eniten erimielisyyttä vaikuttaa olevan juuri siitä, miten paljon tietosuojasta on mahdollista joustaa kansallisen turvallisuuden takaamiseksi. Tuomioistuimen Safe Harbour -päätöksen myötä neuvottelut ovat kuitenkin saaneet uutta vauhtia, ja nyt tuloksia on luvattu viimeistään tammikuussa 2016.

Komissio julkaisi viime viikolla ohjeet siitä, miten yritykset voivat Safe Harbourin korvaavaa järjestelyä odotellessaan siirtää tietoja EU:sta Yhdysvaltoihin. EU-maiden tietosuojaviranomaiset ovat 16.10. antamassaan yhteisessä lausunnossa ilmoittaneet, että mikäli Safe Harbourin korvaavaa järjestelyä ei tammikuun loppuun mennessä saada aikaiseksi, ne alkavat tarkastella sitä, ovatko myöskään nämä nyt käytettävät tapauskohtaiset järjestelyt tuomioistuimen Safe Harbour -päätöksen nojalla täysin hyväksyttäviä. Komissiolla on siis paineita saada neuvottelutulos aikaiseksi jo pelkästään tämän tietosuojaviranomaisten asettaman aikarajan vuoksi. Toki neuvotteluissa halutaan onnistua myös siksi, että kaikki henkilötietojen siirrot kattava yleinen oikeuskehys olisi tapauskohtaisia järjestelyjä parempi ratkaisu taatessaan yhdenvertaisen kohtelun erikokoisille yrityksille ja näin varmistaessaan sujuvan sähköisen kaupankäynnin EU:n ja Yhdysvaltojen välillä.

Koska Safe Harbour -päätöksen pätemättömäksi toteaminen vaikuttaa niin vahvasti nimenomaan EU:n ja Yhdysvaltain väliseen kauppaan, voi sillä olla jotain vaikutusta myös EU:n ja Yhdysvaltain välistä kauppa- ja investointisopimusta koskeviin TTIP-neuvotteluihin. Safe Harbour –järjestelyn korvaaminen tuskin kuitenkaan muodostuu minkäänlaiseksi kynnyskysymykseksi TTIP-neuvotteluissa. Todennäköisemmin ongelmia syntyy siitä, mikäli Yhdysvallat ei saa ratifioitua syyskuussa allekirjoitettua EU:n ja Yhdysvaltain välistä sopimusta tietosuojasta rikollisen toiminnan ehkäisyn, tutkinnan ja oikeuskäsittelyn yhteydessä.

Tuomioistuimen Safe Harbour -päätös herättää väistämättä kysymyksen siitä, toteutuuko tietosuoja riittävässä laajuudessa myöskään niiden 11 muun kumppanin kanssa, joiden kanssa EU on sopinut Safe Harbouria vastaavasta järjestelystä (esim. Kanada, Israel). Lisäksi päätöksen on arvioitu vaikuttavan komission uskottavuuteen, sillä nyt on syntynyt sellainen kuva, että tarvittiin tuomioistuimen väliintulo ennen kuin komissio sai tietosuojan vahvistamisneuvottelut Yhdysvaltain kanssa kunnolla käyntiin. Jotkut ehkä myös suorastaan toivovat, että komissio epäonnistuisi näissä neuvotteluissa eikä Safe Harbouria korvaavaa järjestelyä syntyisi, sillä eurooppalaiset pilvipalveluyritykset oletettavasti hyötyisivät siitä, jos amerikkalaisyritysten keräämät eurooppalaisten asiakkaiden henkilötiedot olisi jatkossa prosessoitava Euroopassa.

Samaan aikaan Yhdysvaltain kanssa käytävien Safe Harbourin korvaamista koskevien neuvottelujen kanssa EU:ssa käydään neuvotteluja sen oman tietosuojalainsäädännön uudistamisesta. Komissio esitti jo tammikuussa 2012 tietosuoja-asetuksesta ja tietosuojadirektiivistä koostuvaa tietosuojapakettia, mutta sitä koskevat neuvottelut lainsäätäjien välillä ovat vielä kesken. Neuvosto saavutti asiasta oman yleisnäkemyksensä kesäkuussa, minkä jälkeen käynnistettiin trilogineuvottelut parlamentin ja komission kanssa. Tuloksia neuvotteluista odotetaan vielä ennen vuoden loppua, sillä tietosuojapakettineuvottelujen loppuun vieminen on ollut yksi syyskauden EU-puheenjohtajamaa Luxemburgin eniten esillä pitämistä tavoitteista.

Lisätietoa