Ehdotus

Euroopan komissio antoi 25 päivänä tammikuuta 2012 ehdotuksen henkilötietojen suojaa koskevaksi uudeksi EU:n lainsäädäntökehykseksi. Käsiteltävänä oleva 1. jatkokirje koskee kokonaisuuteen kuuluvaa ehdotusta Euroopan parlamentin ja neuvoston asetukseksi yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja-asetus). Ehdotuksen tarkoituksena on varmistaa yhtenäinen tietosuojan taso EU:n alueella sekä yksityis- että julkissektorilla. Tietosuoja-asetuksella korvataan voimassa oleva EY:n henkilötietodirektiivi.

Keskeisiä kysymyksiä ovat muun muassa rekisterinpitäjälle aiheutuva hallinnollinen taakka, riskipohjainen lähestymistapa, tietosuojavastaavien nimittäminen, tietoturvaloukkauksia koskeva ilmoitusvelvollisuus, julkisen sektorin erityistarpeet, pilvipalvelujen käsittely, rekisteröidyn "oikeus tulla unohdetuksi", henkilötietojen siirto kolmansiin maihin ja kansainvälisille järjestöille, valvontaviranomaisten yhteistyö, henkilötietojen käsittelyssä noudatettava yhden luukun periaate, hallinnolliset sanktiot, kotitalouspoikkeus ja työelämän tietosuoja.

Valtioneuvoston kanta

Valtioneuvosto tukee riskipohjaista lähestymistapaa EU:n tietosuojalainsäätelyn uudistamisessa. Jatkoneuvotteluissa tulee edelleen pyrkiä ratkaisuihin, jotka vähentävät yritysten ja viranomaisten tarpeetonta hallinnollista taakkaa ja pitävät sääntelyn noudattamisen kokonaiskustannukset kohtuullisina. Jatkovalmistelussa tulee pyrkiä määrittämään, mikä on korkean riskin toimintaa, ottaen huomioon muun muassa tietojen laatu/luonne, määrä, käsittelytarkoitus ja laajuus.

Valtioneuvosto katsoo, että velvollisuus nimittää tietosuojavastaava komission ehdottamassa laajuudessa ei ole välttämätöntä. Tietyissä tilanteissa, joissa henkilötietojen käsittelyyn liittyy korkea riski, tietosuojavastaavan nimittäminen voisi kuitenkin olla perusteltua. Niissä tapauksissa, joissa tietosuojavastaavan nimittäminen perustuisi vapaaehtoisuuteen, tulisi nimittämiselle löytää riittäviä kannustimia.

Tietoturvaloukkauksista ilmoittamista voidaan pitää perusteltuna velvollisuutena joissakin tapauksissa. Ilmoitusvelvollisuutta tulisi kuitenkin rajata komission asetusehdotuksessa esitettyä tarkemmin siten, että vähäpätöiset tietoturvaloukkaukset jäisivät selvästi ilmoitusvelvollisuuden ulkopuolelle. Tuntimäärään perustuvaa aikarajaa parempi vaihtoehto olisi velvollisuus ilmoittaa tietoturvaloukkauksesta ilman aiheetonta viivytystä.

Valtioneuvosto pitää ennakkokuulemisvelvollisuutta perusteltuna joissakin korkean riskin tilanteissa, jotta tietosuojaviranomainen voisi neuvoa rekisterinpitäjää asianmukaiseen toimintaan.

Lähtökohtana tulee olla tietosuojalainsäädännön yhdenmukaisuus sekä julkisella että yksityisellä sektorilla. Samalla on kuitenkin otettava asianmukaisesti huomioon julkisen sektorin erityispiirteet ja erityiset tarpeet. Tässä yhteydessä tulisi myös tarkastella, mikä viranomaistoiminta jää asetuksen soveltamisalan ulkopuolelle.

Riittävän tarkasti määritellyn pseudonymisoidun henkilötiedon käsittelyyn voidaan katsoa liittyvän pienempi riski kuin muiden henkilötietojen käsittelyyn. Valtioneuvoston käsityksen mukaan tällöin tulee kiinnittää erityisesti huomiota siihen, mistä rekisterinpitäjän velvoitteesta kulloinkin on kysymys, ja siihen, kenellä on kontrolli tiedon palauttamiseksi tunnistettavaan muotoon. Nämä seikat tulisi ottaa huomioon rekisterinpitäjälle ja tietojen käsittelijälle säädettävissä velvoitteissa.

Komission ehdotuksen tavoite rekisteröidyn oikeudesta tulla unohdetuksi on sinänsä hyvä. Velvoitteiden ei kuitenkaan tule olla rekisterinpitäjän kannalta kohtuuttomia tai mahdottomia toteuttaa. Rekisterinpitäjän velvoitteiden ulottaminen kolmansien osapuolten suorittamaan henkilötietojen käsittelyyn voi olla ongelmallista. Verkkomaailmassa levinneiden tietojen poistaminen ei välttämättä onnistu. Onkin tärkeää, että löydetään hyvä ja toimiva tasapaino rekisteröidyn oikeuksien ja rekisterinpitäjän velvollisuuksien välillä. Jatkoneuvotteluissa tulee pyrkiä siihen, että sääntelystä käy selkeästi ilmi, että komission ehdottama oikeus ei koske lakisääteisiä rekistereitä ja ettei oikeutta tulla unohdetuksi sovelleta sellaisiin tilanteisiin, joissa tietojen säilyttämiselle on laillinen peruste.

Tiedon siirtämistä järjestelmästä toiseen koskevan oikeuden taustalla oleva ajatus rekisteröidyn tiedollisesta itsemääräämisoikeudesta on sinänsä ymmärrettävä. Ehdotus on kuitenkin ilmaisultaan yleinen ja vaikeaselkoinen sekä soveltamisalaltaan laaja. Nykyisessä muodossaan ehdotuksessa jää lisäksi epäselväksi, pitäisikö järjestelmän, johon tiedot on tallennettu, sekä järjestelmän, johon rekisteröity siirtää tietonsa, olla keskenään aina sillä tavoin yhteensopivia, että henkilötiedot ovat siirrettävissä sähköisesti järjestelmästä toiseen. Jos ehdotuksen tarkoituksena on asettaa tällainen oikeudellinen vaatimus kaikille luovuttavan tai vastaanottavan yksityisen ja julkisen sektorin henkilörekisterin pitäjille, ehdotukseen on suhtauduttava pidättyväisesti. Tällaisesta vaatimuksesta aiheutuisi huomattavia kustannuksia rekisterinpitäjille, ja artiklan noudattaminen saattaisi osoittautua käytännössä mahdottomaksi ainakin ilman riittävää siirtymäaikaa. Artiklakohdan vaatimuksia tulee selventää jatkoneuvotteluissa. Artiklasta tulisi käydä ilmi myös se, että henkilötietojen käsittely tilastollista, tieteellistä ja historiallista tutkimusta varten jää ehdotetun sääntelyn ulkopuolelle.

Asetuksessa tulisi täsmentää, mitä kolmansilla mailla ja kansainvälisillä järjestöillä tarkoitetaan. Jatkokäsittelyssä tulee jatkaa keskustelua siitä, mikä kaikki nykyaikaisessa tietoverkkoympäristössä merkitsee henkilötietojen siirtoa.

Komission oikeus tehdä tietosuojan riittävyyttä koskevia päätöksiä komiteamenettelyssä on syytä säilyttää. Asetukseen ehdotettu säännös komission oikeudesta tehdä tietosuojan riittävyyttä koskeva päätös myös kolmannen maan alueen tai tietojenkäsittelyn sektorin osalta on kannatettava. Tällaiset päätökset ovat osoittautuneet käytännössä tarpeellisiksi. Komission oikeus tehdä päätöksiä tietosuojan tason riittämättömyydestä voitaisiin poistaa. Tällaiset päätökset olisivat poliittisesti vaikeita, eikä komissio ole tehnyt vielä yhtään tällaista päätöstä. Mikäli komission oikeus tehdä mainittuja päätöksiä säilytetään, on liiketoiminnan jatkuvuuden kannalta tärkeää, että näissä tapauksissa tietoja voitaisiin komission ehdotuksen mukaisesti kuitenkin siirtää muilla ehdotuksessa mainituilla tietojen siirrot oikeuttavilla perusteilla.

Asetukseen sisältyvä mahdollisuus siirtää henkilötietoja yritystä koskevien sitovien sääntöjen perusteella on kannatettava. Jatkokäsittelyssä tulisi selvittää, olisiko tarvetta laajentaa sääntely koskemaan henkilötietojen siirtoa myös tiettyjen eri rekisterinpitäjille tai henkilötietojen käsittelijöille kuuluvien yritysryhmien välillä (esimerkiksi lentoyhtiöt).

Valtioneuvosto on asian valmistelun yhteydessä pitänyt tärkeänä, että EU:n tietosuojalainsäädäntöä yhdenmukaistetaan ja useampaan jäsenvaltioon sijoittuneiden yritysten ja rajat ylittävää toimintaa harjoittavien yritysten toimintaympäristöä parannetaan. Yhdenmukaisuusmekanismin luomisen voidaan katsoa olevan tämän tavoitteen mukainen, ja yhdenmukaisuusmekanismin luominen onkin lähtökohtaisesti kannatettavaa. On kuitenkin pyrittävä varmistamaan, että mekanismia voitaisiin käyttää ainoastaan joissakin, tietyn kynnyksen ylittävissä tapauksissa. Tällaisia voisivat olla tapaukset, joissa on kysymys henkilötietojen käsittelystä useamman jäsenvaltion alueella tai joiden ratkaiseminen yhdenmukaisuusmekanismissa on muusta vastaavasta syystä välttämätöntä asetuksen yhdenmukaisen soveltamisen takia.

Lähtökohtana tulee olla, että kussakin tapauksessa on vain yksi päävastuussa oleva toimivaltainen tietosuojaviranomainen. Toimivaltaisen tietosuojaviranomaisen määräytymisen perusteet tulee ilmaista asetuksessa selkeästi. Keskeinen jatkovalmistelussa käsiteltävä kysymys on myös, millainen toimivalta tällä tietosuojaviranomaisella voi olla toisen jäsenvaltion alueella etenkin, kun otetaan huomioon viranomaisten yhteistyön tarjoamat mahdollisuudet.

Hallinnollisten sanktioiden määrittelyn keskeinen periaate on oikeasuhtaisuus. Seuraamus tulee siten voida määrätä teon moitittavuuden mukaan. On tärkeää tarkastella, ovatko kaikki komission sanktioitaviksi ehdottamat teot ja laiminlyönnit niin vakavia, että niihin on ylipäätään perusteltua liittää hallinnollinen seuraamus. Lisäksi on tärkeää varmistaa, että sanktioilla uhattavat teot ja laiminlyönnit määritellään riittävän tarkkarajaisesti. Ehdotetussa sääntelyssä tulisi ottaa hallinnollisten seuraamusmaksujen ohella käyttöön myös lievempiä keinoja, kuten varoitus ja huomautus.

Kotitalouspoikkeus on määritelty komission asetusehdotuksessa liian suppeasti. Tämän poikkeuksen sanamuoto tulisi säilyttää asetuksessa nykyisen henkilötietodirektiivin mukaisena. Komission ehdotuksesta tulisi siten poistaa sanat "ilman ansaitsemistarkoitusta" (without any gainful interest).

Työelämän tietosuojaa koskevilta osin neuvotteluissa tulisi pyrkiä varmistamaan, että jäsenvaltioiden mahdollisuutta erityissäännösten antamiseen koskeva 82 artikla säilyy asetustekstissä. Työelämän tietosuojasta tulee vastaisuudessakin voida antaa henkilötietolainsäädännön yleisten periaatteiden mukaisia erityissäännöksiä. Lisäksi suostumusta koskevaa 7 artiklaa tulisi pyrkiä tarkentamaan siten, että epäsuhta rekisteröidyn ja rekisterinpitäjän välillä ei näissä tapauksissa automaattisesti estä suostumuksen antamista. Rekisterinpitäjällä tulisi ainakin olla mahdollisuus epäsuhdasta aiheutuvan olettaman kumoamiseen. Valtioneuvosto pitää neuvotteluissa ehdotettua 4 kohdan poistoa artiklatekstistä kannatettavana.