# Euroopan unionin L 360/2021

| | ISSN 1977-0812 |
| --- | --- |
| Euroopan unionin
  virallinen lehti | L 360 |
| | |
| Suomenkielinen laitos | Lainsäädäntö | 64. vuosikerta11. lokakuuta 2021 |

ISSN 1977-0812

Euroopan unionin

virallinen lehti

L 360

Suomenkielinen laitos

Lainsäädäntö

64. vuosikerta11. lokakuuta 2021

---

| Sisältö | | II   Muut kuin lainsäätämisjärjestyksessä hyväksyttävät säädökset | Sivu |
| --- | --- | --- | --- |
| | | PÄÄTÖKSET |
| | * | Komission täytäntöönpanoasetus (EU) 2021/1772, annettu 28 päivänä kesäkuuta 2021, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa
  (tiedoksiannettu numerolla C(2021) 4800)

   (
  1
  ) | 1 |
| | * | Komission täytäntöönpanopäätös (EU) 2021/1773, annettu 28 päivänä kesäkuuta 2021, Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa
  (tiedoksiannettu numerolla C(2021) 4801) | 69 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1774, annettu 5 päivänä lokakuuta 2021, Unkarille annettavasta luvasta ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 26 artiklan 1 kohdan a alakohdasta sekä 168 ja 168 a artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/1493 muuttamisesta | 108 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1775, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Unkarille ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/789 muuttamisesta | 110 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1776, annettu 5 päivänä lokakuuta 2021, päätöksen 2009/791/EY muuttamisesta luvan antamiseksi Saksan liittotasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista | 112 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1777, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Italialle soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön | 115 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1778, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Saksan liittotasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeavaa erityistoimenpidettä | 117 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1779, annettu 5 päivänä lokakuuta 2021, täytäntöönpanopäätöksen 2009/1013/EU muuttamisesta luvan antamiseksi Itävallan tasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista | 120 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1780, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Puolan tasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 287 artiklasta poikkeavaa toimenpidettä tehdyn päätöksen 2009/790/EY muuttamisesta | 122 |
| | * | Neuvoston täytäntöönpanopäätös (EU) 2021/1781, annettu 7 päivänä lokakuuta 2021, Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 810/2009 tiettyjen säännösten soveltamisen keskeyttämisestä Gambian osalta | 124 |
| | | SUOSITUKSET |
| | * | Neuvoston suositus (EU) 2021/1782, Annettu 8 päivänä lokakuuta 2021, EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta | 128 |

Sisältö

II   Muut kuin lainsäätämisjärjestyksessä hyväksyttävät säädökset

Sivu

PÄÄTÖKSET

*

Komission täytäntöönpanoasetus (EU) 2021/1772, annettu 28 päivänä kesäkuuta 2021, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa
  (tiedoksiannettu numerolla C(2021) 4800)

   (
  1
  )

(tiedoksiannettu numerolla C(2021) 4800)

1

1

*

Komission täytäntöönpanopäätös (EU) 2021/1773, annettu 28 päivänä kesäkuuta 2021, Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa
  (tiedoksiannettu numerolla C(2021) 4801)

(tiedoksiannettu numerolla C(2021) 4801)

69

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1774, annettu 5 päivänä lokakuuta 2021, Unkarille annettavasta luvasta ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 26 artiklan 1 kohdan a alakohdasta sekä 168 ja 168 a artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/1493 muuttamisesta

108

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1775, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Unkarille ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/789 muuttamisesta

110

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1776, annettu 5 päivänä lokakuuta 2021, päätöksen 2009/791/EY muuttamisesta luvan antamiseksi Saksan liittotasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista

112

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1777, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Italialle soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön

115

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1778, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Saksan liittotasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeavaa erityistoimenpidettä

117

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1779, annettu 5 päivänä lokakuuta 2021, täytäntöönpanopäätöksen 2009/1013/EU muuttamisesta luvan antamiseksi Itävallan tasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista

120

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1780, annettu 5 päivänä lokakuuta 2021, luvan antamisesta Puolan tasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 287 artiklasta poikkeavaa toimenpidettä tehdyn päätöksen 2009/790/EY muuttamisesta

122

*

Neuvoston täytäntöönpanopäätös (EU) 2021/1781, annettu 7 päivänä lokakuuta 2021, Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 810/2009 tiettyjen säännösten soveltamisen keskeyttämisestä Gambian osalta

124

SUOSITUKSET

*

Neuvoston suositus (EU) 2021/1782, Annettu 8 päivänä lokakuuta 2021, EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta

128

| | |
| --- | --- |
| | (1)   ETA:n kannalta merkityksellinen teksti. |

---

(1)   ETA:n kannalta merkityksellinen teksti.

1

| FI | Säädökset, joiden otsikot on painettu laihalla kirjasintyypillä, ovat maatalouspolitiikan alaan kuuluvia juoksevien asioiden hoitoon liityviä säädöksiä, joiden voimassaoloaika on yleensä rajoitettu.
  Kaikkien muiden säädösten otsikot on painettu lihavalla kirjasintyypillä ja merkitty tähdellä. |
| --- | --- |

FI

Säädökset, joiden otsikot on painettu laihalla kirjasintyypillä, ovat maatalouspolitiikan alaan kuuluvia juoksevien asioiden hoitoon liityviä säädöksiä, joiden voimassaoloaika on yleensä rajoitettu.

Kaikkien muiden säädösten otsikot on painettu lihavalla kirjasintyypillä ja merkitty tähdellä.

---

II Muut kuin lainsäätämisjärjestyksessä hyväksyttävät säädökset

PÄÄTÖKSET

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/1 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/1

---

KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2021/1772,

annettu 28 päivänä kesäkuuta 2021,

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa

(tiedoksiannettu numerolla C(2021) 4800)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (1), jäljempänä ’yleinen tietosuoja-asetus’, ja erityisesti sen 45 artiklan 3 kohdan,

sekä katsoo seuraavaa:

1.   JOHDANTO

JOHDANTO

| (1) | Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, joka sisältää artiklat 44–50. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa. (2) |
| --- | --- |

(1)

Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, joka sisältää artiklat 44–50. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa. (2)

2

| (2) | Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle ilman erillistä lupaa, kuten kyseisen asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään. |
| --- | --- |

(2)

Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle ilman erillistä lupaa, kuten kyseisen asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.

| (3) | Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Analyysissa on tarkasteltava sekä tietojen tuojia koskevia sääntöjä että rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Vertailukohtana tässä arvioinnissa on Euroopan unionin lainsäädännön ja erityisesti asetuksen (EU) 2016/679 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä. |
| --- | --- |

(3)

Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Analyysissa on tarkasteltava sekä tietojen tuojia koskevia sääntöjä että rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Vertailukohtana tässä arvioinnissa on Euroopan unionin lainsäädännön ja erityisesti asetuksen (EU) 2016/679 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä.

3

4

| (4) | Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin identtinen. (5) Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason. (6) Tietosuojan riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan arvioidaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö tietosuojaan liittyvillä oikeuksilla on ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti. (7) |
| --- | --- |

(4)

Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin identtinen. (5) Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason. (6) Tietosuojan riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan arvioidaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö tietosuojaan liittyvillä oikeuksilla on ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti. (7)

5

6

7

| (5) | Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 8–270 kappaleessa esitettyjen havaintojen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa. |
| --- | --- |

(5)

Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 8–270 kappaleessa esitettyjen havaintojen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.

| (6) | Tämä päätelmä ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi, jäljempänä ’maahanmuuttoa koskeva poikkeus’, Yhdistyneen kuningaskunnan tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla. Yhdistyneen kuningaskunnan lainsäädäntöön perustuvan maahanmuuttoa koskevan poikkeuksen pätevyyttä ja tulkintaa ei ole ratkaistu Englannin ja Walesin muutoksenhakutuomioistuimen (Court of Appeal) 26 päivänä toukokuuta 2021 antamalla päätöksellä. Vaikka Court of Appeal toteaa, että rekisteröidyn oikeuksia voidaan periaatteessa rajoittaa maahanmuuton valvonnan varmistamiseksi, koska kyseessä on ”tärkeä yleistä etua koskeva näkökohta”, se katsoo kuitenkin, että maahanmuuttoa koskeva poikkeus on nykymuodossaan ristiriidassa Yhdistyneen kuningaskunnan lainsäädännön kanssa, koska kyseisessä lainsäädäntötoimenpiteessä ei ole säännöksiä, joissa mainittaisiin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (8) (United Kingdom General Data Protection Regulation, UK GDPR) 23 artiklan 2 kohdassa luetellut suojatoimet. Näin ollen sellaisten henkilötietojen siirtäminen unionista Yhdistyneeseen kuningaskuntaan, joihin voidaan soveltaa maahanmuuttoa koskevaa poikkeusta, olisi suljettava tämän päätöksen soveltamisalan ulkopuolelle. (9) Maahanmuuttoa koskevaa poikkeusta ja tarvetta jatkaa tämän päätöksen soveltamisalan rajoittamista olisi tarkasteltava uudelleen sen jälkeen kun poikkeuksen yhteensopimattomuus Yhdistyneen kuningaskunnan lainsäädännön kanssa on korjattu. |
| --- | --- |

(6)

Tämä päätelmä ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi, jäljempänä ’maahanmuuttoa koskeva poikkeus’, Yhdistyneen kuningaskunnan tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla. Yhdistyneen kuningaskunnan lainsäädäntöön perustuvan maahanmuuttoa koskevan poikkeuksen pätevyyttä ja tulkintaa ei ole ratkaistu Englannin ja Walesin muutoksenhakutuomioistuimen (Court of Appeal) 26 päivänä toukokuuta 2021 antamalla päätöksellä. Vaikka Court of Appeal toteaa, että rekisteröidyn oikeuksia voidaan periaatteessa rajoittaa maahanmuuton valvonnan varmistamiseksi, koska kyseessä on ”tärkeä yleistä etua koskeva näkökohta”, se katsoo kuitenkin, että maahanmuuttoa koskeva poikkeus on nykymuodossaan ristiriidassa Yhdistyneen kuningaskunnan lainsäädännön kanssa, koska kyseisessä lainsäädäntötoimenpiteessä ei ole säännöksiä, joissa mainittaisiin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (8) (United Kingdom General Data Protection Regulation, UK GDPR) 23 artiklan 2 kohdassa luetellut suojatoimet. Näin ollen sellaisten henkilötietojen siirtäminen unionista Yhdistyneeseen kuningaskuntaan, joihin voidaan soveltaa maahanmuuttoa koskevaa poikkeusta, olisi suljettava tämän päätöksen soveltamisalan ulkopuolelle. (9) Maahanmuuttoa koskevaa poikkeusta ja tarvetta jatkaa tämän päätöksen soveltamisalan rajoittamista olisi tarkasteltava uudelleen sen jälkeen kun poikkeuksen yhteensopimattomuus Yhdistyneen kuningaskunnan lainsäädännön kanssa on korjattu.

8

9

| (7) | Tämä päätös ei saisi vaikuttaa asetuksen (EU) 2016/679 suoraan soveltamiseen Yhdistyneeseen kuningaskuntaan sijoittautuneisiin organisaatioihin silloin kun asetuksen 3 artiklassa vahvistetut, sen alueellista soveltamisalaa koskevat edellytykset täyttyvät. |
| --- | --- |

(7)

Tämä päätös ei saisi vaikuttaa asetuksen (EU) 2016/679 suoraan soveltamiseen Yhdistyneeseen kuningaskuntaan sijoittautuneisiin organisaatioihin silloin kun asetuksen 3 artiklassa vahvistetut, sen alueellista soveltamisalaa koskevat edellytykset täyttyvät.

2.   HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT

HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT

2.1   Perustuslaillinen kehys

Perustuslaillinen kehys

| (8) | Yhdistynyt kuningaskunta on parlamentaarinen demokratia, jonka valtionpäämiehenä toimii perustuslaillinen monarkki. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille. Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen. |
| --- | --- |

(8)

Yhdistynyt kuningaskunta on parlamentaarinen demokratia, jonka valtionpäämiehenä toimii perustuslaillinen monarkki. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille. Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen.

| (9) | Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan sellaista alueellista lainsäädäntöä, jonka osalta Yhdistyneen kuningaskunnan parlamentti ei ole varannut toimivaltaa itselleen. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin. Yhdistyneellä kuningaskunnalla ei ole kodifioitua perustuslakia, joka olisi vahvistettu tietyssä asiakirjassa. Perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tuomioistuimet ovat tunnustaneet tiettyjen lakien perustuslaillisen arvon; näitä ovat mm. Magna Carta, vuoden 1689 Oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia tapaoikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. (10) |
| --- | --- |

(9)

Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan sellaista alueellista lainsäädäntöä, jonka osalta Yhdistyneen kuningaskunnan parlamentti ei ole varannut toimivaltaa itselleen. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin. Yhdistyneellä kuningaskunnalla ei ole kodifioitua perustuslakia, joka olisi vahvistettu tietyssä asiakirjassa. Perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tuomioistuimet ovat tunnustaneet tiettyjen lakien perustuslaillisen arvon; näitä ovat mm. Magna Carta, vuoden 1689 Oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia tapaoikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. (10)

10

| (10) | Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1, 2 ja 3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16, 17 ja 18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen (ja oikeus tietosuojaan osana tätä oikeutta) sekä oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. |
| --- | --- |

(10)

Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1, 2 ja 3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16, 17 ja 18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen (ja oikeus tietosuojaan osana tätä oikeutta) sekä oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.

11

| (11) | Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (12) Lisäksi primaarilainsäädäntöä ja johdettua oikeutta on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (13) |
| --- | --- |

(11)

Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (12) Lisäksi primaarilainsäädäntöä ja johdettua oikeutta on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (13)

12

13

2.2   Yhdistyneen kuningaskunnan tietosuojakehys

Yhdistyneen kuningaskunnan tietosuojakehys

| (12) | Yhdistynyt kuningaskunta erosi Euroopan unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Ennen eroa ja siirtymäkauden aikana henkilötietojen suojaa koskevan Yhdistyneen kuningaskunnan lainsäädäntökehyksen muodostivat asiaa koskeva EU:n lainsäädäntö (erityisesti asetus (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (15)) ja kansallinen lainsäädäntö. Kansalliseen lainsäädäntöön kuului erityisesti vuoden 2018 tietosuojalaki (16), jossa vahvistettiin asetuksen (EU) 2016/679 sallimissa puitteissa kansalliset säännöt, joilla täsmennettiin ja rajoitettiin asetuksen (EU) 2016/679 sääntöjen soveltamista ja saatettiin direktiivin (EU) 2016/680 säännökset osaksi kansallista lainsäädäntöä. |
| --- | --- |

(12)

Yhdistynyt kuningaskunta erosi Euroopan unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Ennen eroa ja siirtymäkauden aikana henkilötietojen suojaa koskevan Yhdistyneen kuningaskunnan lainsäädäntökehyksen muodostivat asiaa koskeva EU:n lainsäädäntö (erityisesti asetus (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (15)) ja kansallinen lainsäädäntö. Kansalliseen lainsäädäntöön kuului erityisesti vuoden 2018 tietosuojalaki (16), jossa vahvistettiin asetuksen (EU) 2016/679 sallimissa puitteissa kansalliset säännöt, joilla täsmennettiin ja rajoitettiin asetuksen (EU) 2016/679 sääntöjen soveltamista ja saatettiin direktiivin (EU) 2016/680 säännökset osaksi kansallista lainsäädäntöä.

14

15

16

| (13) | Valmistautuakseen Euroopan unionista eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018 (17)), jäljempänä ’eroamista koskeva laki’, jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön. (18) Tämä nk. ”säilytetty EU:n lainsäädäntö” käsittää asetuksen (EU) 2016/679 kokonaisuudessaan (myös johdanto-osan kappaleet). (19) Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava tätä sellaisenaan säilytettyä EU:n lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. (20) |
| --- | --- |

(13)

Valmistautuakseen Euroopan unionista eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018 (17)), jäljempänä ’eroamista koskeva laki’, jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön. (18) Tämä nk. ”säilytetty EU:n lainsäädäntö” käsittää asetuksen (EU) 2016/679 kokonaisuudessaan (myös johdanto-osan kappaleet). (19) Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava tätä sellaisenaan säilytettyä EU:n lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. (20)

17

18

19

20

| (14) | Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. He käyttivät tätä toimivaltaa antamalla tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019) (21). Mainituilla säädöksillä muutetaan asetusta (EU) 2016/679, sellaisena kuin se on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä Euroopan unionista eroamista koskevalla vuoden 2018 lailla, vuoden 2018 tietosuojalailla ja muilla tietosuojasäädöksillä, jotta se sopisi kansalliseen kontekstiin. (22) |
| --- | --- |

(14)

Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. He käyttivät tätä toimivaltaa antamalla tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019) (21). Mainituilla säädöksillä muutetaan asetusta (EU) 2016/679, sellaisena kuin se on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä Euroopan unionista eroamista koskevalla vuoden 2018 lailla, vuoden 2018 tietosuojalailla ja muilla tietosuojasäädöksillä, jotta se sopisi kansalliseen kontekstiin. (22)

21

22

| (15) | Näin ollen henkilötietojen suojaa koskeva Yhdistyneen kuningaskunnan oikeudellinen kehys muodostuu siirtymäkauden päättymisen jälkeen seuraavista:






  — | Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus, sellaisena kuin se on sisällytettynä Yhdistyneen kuningaskunnan lainsäädäntöön Euroopan unionista eroamista koskevan vuoden 2018 lain nojalla ja muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä (23), ja |
| --- | --- | --- |

(15)

Näin ollen henkilötietojen suojaa koskeva Yhdistyneen kuningaskunnan oikeudellinen kehys muodostuu siirtymäkauden päättymisen jälkeen seuraavista:

—

Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus, sellaisena kuin se on sisällytettynä Yhdistyneen kuningaskunnan lainsäädäntöön Euroopan unionista eroamista koskevan vuoden 2018 lain nojalla ja muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä (23), ja

23

| — | Vuoden 2018 tietosuojalaki (24), sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä. |
| --- | --- |

—

Vuoden 2018 tietosuojalaki (24), sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä.

24

| (16) | Koska Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus perustuu säilytettyyn EU:n lainsäädäntöön, Yhdistyneen kuningaskunnan tietosuojasäännöt ovat monessa suhteessa hyvin samankaltaisia kuin Euroopan unionissa sovellettavat säännöt. |
| --- | --- |

(16)

Koska Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus perustuu säilytettyyn EU:n lainsäädäntöön, Yhdistyneen kuningaskunnan tietosuojasäännöt ovat monessa suhteessa hyvin samankaltaisia kuin Euroopan unionissa sovellettavat säännöt.

| (17) | Sen lisäksi, että eroamista koskevalla lailla (Withdrawal Act 2018) on annettu tiettyjä valtuuksia Secretary of Statelle, myös vuoden 2018 tietosuojalailla annetaan hänelle valtuudet antaa johdettua lainsäädäntöä kyseisen lain tiettyjen säännösten muuttamiseksi tai uusien täydentävien sääntöjen antamiseksi. (25) Toistaiseksi Secretary of State on käyttänyt vuoden 2018 tietosuojalain 137 §:ään perustuvaa toimivaltaansa ainoastaan hyväksymällä tietosuojaan liittyviä maksuja ja tiedottamista koskevien vuoden 2019 säädösten muutokset (Data Protection (Charges and Information) (Amendment) Regulations 2019). Niissä esitetään olosuhteet, joissa rekisterinpitäjien on maksettava vuotuinen maksu Yhdistyneen kuningaskunnan riippumattomalle tietosuojaviranomaiselle eli tietosuojavaltuutetulle (Information Commissioner). |
| --- | --- |

(17)

Sen lisäksi, että eroamista koskevalla lailla (Withdrawal Act 2018) on annettu tiettyjä valtuuksia Secretary of Statelle, myös vuoden 2018 tietosuojalailla annetaan hänelle valtuudet antaa johdettua lainsäädäntöä kyseisen lain tiettyjen säännösten muuttamiseksi tai uusien täydentävien sääntöjen antamiseksi. (25) Toistaiseksi Secretary of State on käyttänyt vuoden 2018 tietosuojalain 137 §:ään perustuvaa toimivaltaansa ainoastaan hyväksymällä tietosuojaan liittyviä maksuja ja tiedottamista koskevien vuoden 2019 säädösten muutokset (Data Protection (Charges and Information) (Amendment) Regulations 2019). Niissä esitetään olosuhteet, joissa rekisterinpitäjien on maksettava vuotuinen maksu Yhdistyneen kuningaskunnan riippumattomalle tietosuojaviranomaiselle eli tietosuojavaltuutetulle (Information Commissioner).

25

| (18) | Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä koskevia lisäohjeita annetaan käytännesäännöissä ja muissa tietosuojavaltuutetun laatimissa ohjeissa. Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä sovelletaan ja miten tietosuojaviranomainen valvoo sen noudattamista. Vuoden 2018 tietosuojalain 121–125 §:ssä edellytetään erityisesti, että tietosuojaviranomainen laatii käytännesäännöt tietojen yhteiskäytöstä, suoramarkkinoinnista, lapset huomioon ottavien verkkopalvelujen suunnittelusta ja tietosuojasta sekä journalismista. |
| --- | --- |

(18)

Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä koskevia lisäohjeita annetaan käytännesäännöissä ja muissa tietosuojavaltuutetun laatimissa ohjeissa. Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä sovelletaan ja miten tietosuojaviranomainen valvoo sen noudattamista. Vuoden 2018 tietosuojalain 121–125 §:ssä edellytetään erityisesti, että tietosuojaviranomainen laatii käytännesäännöt tietojen yhteiskäytöstä, suoramarkkinoinnista, lapset huomioon ottavien verkkopalvelujen suunnittelusta ja tietosuojasta sekä journalismista.

| (19) | Tämän päätöksen nojalla siirrettäviin tietoihin sovellettava Yhdistyneen kuningaskunnan lainsäädäntökehys on siis rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin Euroopan unionissa sovellettava lainsäädäntökehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä. |
| --- | --- |

(19)

Tämän päätöksen nojalla siirrettäviin tietoihin sovellettava Yhdistyneen kuningaskunnan lainsäädäntökehys on siis rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin Euroopan unionissa sovellettava lainsäädäntökehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

2.3   Aineellinen ja alueellinen soveltamisala

Aineellinen ja alueellinen soveltamisala

| (20) | Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan asetuksen (EU) 2016/679 tavoin henkilötietojen käsittelyyn, joka on kokonaan tai osittain automaattista, sekä sellaisten henkilötietojen muuhun kuin automatisoituun käsittelyyn, jotka muodostavat rekisterin osan. (26) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa olevat ”henkilötietojen”, ”rekisteröidyn” ja ”käsittelyn” määritelmät ovat samat kuin asetuksessa (EU) 2016/679. (27) Lisäksi Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan tiettyjen Yhdistyneen kuningaskunnan viranomaisten (28) hallussa olevien jäsentelemättömien henkilötietojen manuaaliseen käsittelyyn (29). Tosin vuoden 2018 tietosuojalain 24 ja 25 §:n nojalla ei sovelleta niitä tietosuoja-asetuksen periaatteita ja oikeuksia, jotka ovat tällaisten henkilötietojen kannalta epäolennaisia. Samoin kuin asetusta (EU) 2016/679, myöskään Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. (30) |
| --- | --- |

(20)

Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan asetuksen (EU) 2016/679 tavoin henkilötietojen käsittelyyn, joka on kokonaan tai osittain automaattista, sekä sellaisten henkilötietojen muuhun kuin automatisoituun käsittelyyn, jotka muodostavat rekisterin osan. (26) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa olevat ”henkilötietojen”, ”rekisteröidyn” ja ”käsittelyn” määritelmät ovat samat kuin asetuksessa (EU) 2016/679. (27) Lisäksi Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan tiettyjen Yhdistyneen kuningaskunnan viranomaisten (28) hallussa olevien jäsentelemättömien henkilötietojen manuaaliseen käsittelyyn (29). Tosin vuoden 2018 tietosuojalain 24 ja 25 §:n nojalla ei sovelleta niitä tietosuoja-asetuksen periaatteita ja oikeuksia, jotka ovat tällaisten henkilötietojen kannalta epäolennaisia. Samoin kuin asetusta (EU) 2016/679, myöskään Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. (30)

26

27

28

29

30

| (21) | Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ulotetaan sen soveltamisala kattamaan henkilötietojen käsittely myös sellaisen toiminnan yhteydessä, joka välittömästi ennen siirtymäkauden päättymistä ei kuulunut Euroopan unionin oikeuden soveltamisalaan (esim. kansallinen turvallisuus) (31) tai joka kuului Euroopan unionista tehdyn sopimuksen 5 osaston 2 luvun soveltamisalaan (yhteinen ulko- ja turvallisuuspolitiikka) (32). Samoin kuin EU:n järjestelmässä, Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta henkilötietojen käsittelyyn, jota toimivaltainen viranomainen suorittaa ”lainvalvontatarkoituksessa” eli rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tällaiseen käsittelyyn sovelletaan sen sijaan vuoden 2018 tietosuojalain 3 osan säännöksiä (EU:n oikeudessa sovelletaan vastaavasti direktiiviä (EU) 2016/680). Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta myöskään tiedustelupalvelujen (Security Service, Secret Intelligence Service ja Government Communications Headquarters) suorittamaan henkilötietojen käsittelyyn, vaan siihen sovelletaan vuoden 2018 tietosuojalain 4 osan säännöksiä. (33) |
| --- | --- |

(21)

Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ulotetaan sen soveltamisala kattamaan henkilötietojen käsittely myös sellaisen toiminnan yhteydessä, joka välittömästi ennen siirtymäkauden päättymistä ei kuulunut Euroopan unionin oikeuden soveltamisalaan (esim. kansallinen turvallisuus) (31) tai joka kuului Euroopan unionista tehdyn sopimuksen 5 osaston 2 luvun soveltamisalaan (yhteinen ulko- ja turvallisuuspolitiikka) (32). Samoin kuin EU:n järjestelmässä, Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta henkilötietojen käsittelyyn, jota toimivaltainen viranomainen suorittaa ”lainvalvontatarkoituksessa” eli rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tällaiseen käsittelyyn sovelletaan sen sijaan vuoden 2018 tietosuojalain 3 osan säännöksiä (EU:n oikeudessa sovelletaan vastaavasti direktiiviä (EU) 2016/680). Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta myöskään tiedustelupalvelujen (Security Service, Secret Intelligence Service ja Government Communications Headquarters) suorittamaan henkilötietojen käsittelyyn, vaan siihen sovelletaan vuoden 2018 tietosuojalain 4 osan säännöksiä. (33)

31

32

33

| (22) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen alueellinen soveltamisala määritellään asetuksen 3 artiklassa (34). Se kattaa henkilötietojen käsittelyn, jota suoritetaan Yhdistyneen kuningaskunnan alueella sijaitsevassa rekisterinpitäjän tai henkilötietojen käsittelijän toimipaikassa toiminnan yhteydessä (riippumatta siitä, missä käsittely suoritetaan), sekä Yhdistyneessä kuningaskunnassa olevia rekisteröityjä koskevien henkilötietojen käsittelyn, jos käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai näiden rekisteröityjen käyttäytymisen seurantaan. (35) Lähestymistapa on sama kuin asetuksen (EU) 2016/679 3 artiklassa. |
| --- | --- |

(22)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen alueellinen soveltamisala määritellään asetuksen 3 artiklassa (34). Se kattaa henkilötietojen käsittelyn, jota suoritetaan Yhdistyneen kuningaskunnan alueella sijaitsevassa rekisterinpitäjän tai henkilötietojen käsittelijän toimipaikassa toiminnan yhteydessä (riippumatta siitä, missä käsittely suoritetaan), sekä Yhdistyneessä kuningaskunnassa olevia rekisteröityjä koskevien henkilötietojen käsittelyn, jos käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai näiden rekisteröityjen käyttäytymisen seurantaan. (35) Lähestymistapa on sama kuin asetuksen (EU) 2016/679 3 artiklassa.

34

35

2.4   Henkilötietojen määritelmä ja rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet

Henkilötietojen määritelmä ja rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet

| (23) | Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksessa (EU) 2016/679 vahvistetut henkilötietojen, käsittelyn, henkilötietojen käsittelijän ja pseudonymisoinnin määritelmät ilman olennaisia muutoksia. (36) Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellään erityiset henkilötietoryhmät samalla tavoin kuin asetuksessa (EU) 2016/679 (”sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely”). Vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (37), ’terveyttä koskevat tiedot’ (38) ja ’geneettiset tiedot’ (39). |
| --- | --- |

(23)

Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksessa (EU) 2016/679 vahvistetut henkilötietojen, käsittelyn, henkilötietojen käsittelijän ja pseudonymisoinnin määritelmät ilman olennaisia muutoksia. (36) Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellään erityiset henkilötietoryhmät samalla tavoin kuin asetuksessa (EU) 2016/679 (”sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely”). Vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (37), ’terveyttä koskevat tiedot’ (38) ja ’geneettiset tiedot’ (39).

36

37

38

39

2.5   Suojatoimet, oikeudet ja velvollisuudet

Suojatoimet, oikeudet ja velvollisuudet

2.5.1   Tietojenkäsittelyn lainmukaisuus ja kohtuullisuus

Tietojenkäsittelyn lainmukaisuus ja kohtuullisuus

| (24) | Henkilötietojen käsittelyn olisi oltava lainmukaista ja kohtuullista. |
| --- | --- |

(24)

Henkilötietojen käsittelyn olisi oltava lainmukaista ja kohtuullista.

| (25) | Lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteet sekä laillisen käsittelyn perusteet taataan Yhdistyneen kuningaskunnan lainsäädännössä sen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa ja 6 artiklan 1 kohdassa. Nämä säännökset ovat identtisiä asetuksen (EU) 2016/679 vastaavien säännösten kanssa. (40) Vuoden 2018 tietosuojalain 8 § täydentää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaa, sillä sen mukaan 6 artiklan 1 kohdan e alakohtaan perustuvalla henkilötietojen käsittelyllä (joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi) tarkoitetaan myös henkilötietojen käsittelyä, joka on tarpeen oikeudenkäyttöä varten tai parlamentin alahuoneelle kuuluvan tai tietylle henkilölle normatiivisen säädöksen tai lain nojalla osoitetun tehtävän, valtiolle (Crown), Yhdistyneen kuningaskunnan ministerille tai ministeriön osastolle kuuluvan tehtävän tai demokratiaan osallistumista tukevan tai edistävän toimen suorittamiseksi. |
| --- | --- |

(25)

Lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteet sekä laillisen käsittelyn perusteet taataan Yhdistyneen kuningaskunnan lainsäädännössä sen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa ja 6 artiklan 1 kohdassa. Nämä säännökset ovat identtisiä asetuksen (EU) 2016/679 vastaavien säännösten kanssa. (40) Vuoden 2018 tietosuojalain 8 § täydentää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaa, sillä sen mukaan 6 artiklan 1 kohdan e alakohtaan perustuvalla henkilötietojen käsittelyllä (joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi) tarkoitetaan myös henkilötietojen käsittelyä, joka on tarpeen oikeudenkäyttöä varten tai parlamentin alahuoneelle kuuluvan tai tietylle henkilölle normatiivisen säädöksen tai lain nojalla osoitetun tehtävän, valtiolle (Crown), Yhdistyneen kuningaskunnan ministerille tai ministeriön osastolle kuuluvan tehtävän tai demokratiaan osallistumista tukevan tai edistävän toimen suorittamiseksi.

40

| (26) | Myös suostumuksen osalta (joka on yksi lainmukaisen käsittelyn edellytyksistä) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säilytetään asetuksen (EU) 2016/679 7 artiklassa säädetyt edellytykset muuttamattomina: rekisterinpitäjän on voitava osoittaa, että rekisteröity on antanut suostumuksensa, suostumusta koskeva pyyntö on esitettävä kirjallisesti selkeällä ja yksinkertaisella kielellä, rekisteröidyllä on oltava oikeus peruuttaa suostumus milloin tahansa, ja arvioitaessa suostumuksen vapaaehtoisuutta on otettava huomioon se, onko jonkin sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 8 artiklassa säädetään, että tietoyhteiskunnan palvelujen tarjoamisen yhteydessä lapsen suostumus on lainmukainen vain jos lapsi on vähintään 13-vuotias. Tämä vastaa asetuksen (EU) 2016/679 8 artiklassa säädettyä ikävaatimusta. |
| --- | --- |

(26)

Myös suostumuksen osalta (joka on yksi lainmukaisen käsittelyn edellytyksistä) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säilytetään asetuksen (EU) 2016/679 7 artiklassa säädetyt edellytykset muuttamattomina: rekisterinpitäjän on voitava osoittaa, että rekisteröity on antanut suostumuksensa, suostumusta koskeva pyyntö on esitettävä kirjallisesti selkeällä ja yksinkertaisella kielellä, rekisteröidyllä on oltava oikeus peruuttaa suostumus milloin tahansa, ja arvioitaessa suostumuksen vapaaehtoisuutta on otettava huomioon se, onko jonkin sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 8 artiklassa säädetään, että tietoyhteiskunnan palvelujen tarjoamisen yhteydessä lapsen suostumus on lainmukainen vain jos lapsi on vähintään 13-vuotias. Tämä vastaa asetuksen (EU) 2016/679 8 artiklassa säädettyä ikävaatimusta.

2.5.2   Erityisten henkilötietoryhmien käsittely

Erityisten henkilötietoryhmien käsittely

| (27) | ”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia. |
| --- | --- |

(27)

”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.

| (28) | Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa vahvistetaan käsittelysäännöt erityisille tietoryhmille, jotka määritellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa samalla tavoin kuin asetuksessa (EU) 2016/679 (ks. johdanto-osan (23) kappale). Mainitun 9 artiklan mukaan erityisten tietoryhmien käsittely on periaatteessa kielletty, ellei sovelleta jotakin poikkeusta. |
| --- | --- |

(28)

Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa vahvistetaan käsittelysäännöt erityisille tietoryhmille, jotka määritellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa samalla tavoin kuin asetuksessa (EU) 2016/679 (ks. johdanto-osan (23) kappale). Mainitun 9 artiklan mukaan erityisten tietoryhmien käsittely on periaatteessa kielletty, ellei sovelleta jotakin poikkeusta.

| (29) | Nämä poikkeukset (Yhdistyneen kuningaskunnan tietosuoja-asetuksen 9 artiklan 2 ja 3 kohta) eivät poikkea sisällöltään asetuksen (EU) 2016/679 9 artiklan 2 ja 3 kohdassa säädetyistä poikkeuksista. Ellei rekisteröity ole antanut nimenomaista suostumustaan näiden tietoryhmien käsittelyyn, käsittely on sallittu vain tietyissä ja rajoitetuissa olosuhteissa. Useimmissa tapauksissa arkaluontoisten tietojen käsittelyn on oltava tarpeen asianomaisessa säännöksessä määriteltyä erityistä tarkoitusta varten (ks. 9 artiklan 2 kohdan b, c, f, g, h, i ja j alakohta). |
| --- | --- |

(29)

Nämä poikkeukset (Yhdistyneen kuningaskunnan tietosuoja-asetuksen 9 artiklan 2 ja 3 kohta) eivät poikkea sisällöltään asetuksen (EU) 2016/679 9 artiklan 2 ja 3 kohdassa säädetyistä poikkeuksista. Ellei rekisteröity ole antanut nimenomaista suostumustaan näiden tietoryhmien käsittelyyn, käsittely on sallittu vain tietyissä ja rajoitetuissa olosuhteissa. Useimmissa tapauksissa arkaluontoisten tietojen käsittelyn on oltava tarpeen asianomaisessa säännöksessä määriteltyä erityistä tarkoitusta varten (ks. 9 artiklan 2 kohdan b, c, f, g, h, i ja j alakohta).

| (30) | Jos Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetty poikkeus edellyttää lain mukaista lupaa tai jos siinä viitataan yleiseen etuun, vuoden 2018 tietosuojalain 10 §:ssä, luettuna yhdessä sen liitteen 1 kanssa, täsmennetään lisäksi edellytykset, joiden on täytyttävä, jotta poikkeusta voidaan soveltaa. Jos kyse on esimerkiksi arkaluontoisten tietojen käsittelystä kansanterveyden suojelemiseksi (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohta), liitteessä 1 olevan 1 osan 3 kohdan b alakohdassa edellytetään tarpeellisuustestin lisäksi, että ”tietoja käsittelee tai käsittelystä vastaa terveydenhuollon ammattihenkilö” tai ”toinen henkilö, jota niin ikään sitoo salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla”; tämä voi tarkoittaa myös common law -oikeudessa vakiintunutta salassapitovelvollisuutta. |
| --- | --- |

(30)

Jos Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetty poikkeus edellyttää lain mukaista lupaa tai jos siinä viitataan yleiseen etuun, vuoden 2018 tietosuojalain 10 §:ssä, luettuna yhdessä sen liitteen 1 kanssa, täsmennetään lisäksi edellytykset, joiden on täytyttävä, jotta poikkeusta voidaan soveltaa. Jos kyse on esimerkiksi arkaluontoisten tietojen käsittelystä kansanterveyden suojelemiseksi (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohta), liitteessä 1 olevan 1 osan 3 kohdan b alakohdassa edellytetään tarpeellisuustestin lisäksi, että ”tietoja käsittelee tai käsittelystä vastaa terveydenhuollon ammattihenkilö” tai ”toinen henkilö, jota niin ikään sitoo salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla”; tämä voi tarkoittaa myös common law -oikeudessa vakiintunutta salassapitovelvollisuutta.

| (31) | Kun arkaluontoisia tietoja käsitellään tärkeää yleistä etua koskevasta syystä (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta), vuoden 2018 tietosuojalain liitteessä 1 olevassa 2 osassa esitetään tyhjentävä luettelo tarkoituksista, joita voidaan pitää merkittävänä yleistä etua koskevana syynä, ja niihin kuhunkin sovellettavat erityiset lisäedellytykset. Merkittäväksi yleisen edun mukaiseksi syyksi katsotaan esimerkiksi rodullisen ja etnisen monimuotoisuuden edistäminen organisaatioiden ylemmillä tasoilla. Arkaluontoisten tietojen käsittelyyn tätä nimenomaista tarkoitusta varten sovelletaan yksityiskohtaisia vaatimuksia. Käsittely on muun muassa toteutettava osana prosessia, jossa yksilöidään ylemmän tason tehtäviin soveltuvia henkilöitä. Lisäksi käsittelyn on oltava tarpeen rodullisen ja etnisen monimuotoisuuden edistämiseksi eikä se saa olla omiaan aiheuttamaan rekisteröidylle merkittävää vahinkoa tai huomattavaa kärsimystä. |
| --- | --- |

(31)

Kun arkaluontoisia tietoja käsitellään tärkeää yleistä etua koskevasta syystä (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta), vuoden 2018 tietosuojalain liitteessä 1 olevassa 2 osassa esitetään tyhjentävä luettelo tarkoituksista, joita voidaan pitää merkittävänä yleistä etua koskevana syynä, ja niihin kuhunkin sovellettavat erityiset lisäedellytykset. Merkittäväksi yleisen edun mukaiseksi syyksi katsotaan esimerkiksi rodullisen ja etnisen monimuotoisuuden edistäminen organisaatioiden ylemmillä tasoilla. Arkaluontoisten tietojen käsittelyyn tätä nimenomaista tarkoitusta varten sovelletaan yksityiskohtaisia vaatimuksia. Käsittely on muun muassa toteutettava osana prosessia, jossa yksilöidään ylemmän tason tehtäviin soveltuvia henkilöitä. Lisäksi käsittelyn on oltava tarpeen rodullisen ja etnisen monimuotoisuuden edistämiseksi eikä se saa olla omiaan aiheuttamaan rekisteröidylle merkittävää vahinkoa tai huomattavaa kärsimystä.

| (32) | Vuoden 2018 tietosuojalain 11 §:n 1 momentissa vahvistetaan edellytykset henkilötietojen käsittelylle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 3 kohdassa kuvatuissa salassapitovelvollisuutta koskevissa olosuhteissa. Tämä tarkoittaa myös olosuhteita, joissa tietoja käsittelee terveydenhuollon ammattihenkilö tai sosiaalityöntekijä tai toinen henkilö, jota sitoo kyseisissä olosuhteissa salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla. |
| --- | --- |

(32)

Vuoden 2018 tietosuojalain 11 §:n 1 momentissa vahvistetaan edellytykset henkilötietojen käsittelylle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 3 kohdassa kuvatuissa salassapitovelvollisuutta koskevissa olosuhteissa. Tämä tarkoittaa myös olosuhteita, joissa tietoja käsittelee terveydenhuollon ammattihenkilö tai sosiaalityöntekijä tai toinen henkilö, jota sitoo kyseisissä olosuhteissa salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla.

| (33) | Lisäksi monet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa luetelluista poikkeuksista edellyttävät asianmukaisia ja erityisiä suojatoimia, jotta niitä voidaan soveltaa. Vuoden 2018 tietosuojalain liitteessä 1 säädetään käsittelyn edellytykseksi erilaisia suojatoimia sen mukaan, minkälaisesta käsittelystä on kyse ja miten suuri riski siitä aiheutuu rekisteröityjen oikeuksille ja vapauksille. Liitteessä 1 esitetään edellytykset kullekin käsittelytilanteelle. |
| --- | --- |

(33)

Lisäksi monet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa luetelluista poikkeuksista edellyttävät asianmukaisia ja erityisiä suojatoimia, jotta niitä voidaan soveltaa. Vuoden 2018 tietosuojalain liitteessä 1 säädetään käsittelyn edellytykseksi erilaisia suojatoimia sen mukaan, minkälaisesta käsittelystä on kyse ja miten suuri riski siitä aiheutuu rekisteröityjen oikeuksille ja vapauksille. Liitteessä 1 esitetään edellytykset kullekin käsittelytilanteelle.

| (34) | Joissain tapauksissa vuoden 2018 tietosuojalaissa säännellään ja rajoitetaan sitä, minkätyyppisiä arkaluontoisia tietoja voidaan käsitellä tietyn oikeusperustan nojalla. Esimerkiksi liitteessä 1 olevassa 8 kohdassa sallitaan arkaluontoisten tietojen käsittely yhtäläisten mahdollisuuksien tai kohtelun edistämistä varten. Tätä käsittelyedellytystä voidaan käyttää vain jos tiedoista käy ilmi rotu tai etninen alkuperä, uskonnollinen tai filosofinen vakaumus tai seksuaalinen suuntautuminen tai jos kyseessä on terveystieto. |
| --- | --- |

(34)

Joissain tapauksissa vuoden 2018 tietosuojalaissa säännellään ja rajoitetaan sitä, minkätyyppisiä arkaluontoisia tietoja voidaan käsitellä tietyn oikeusperustan nojalla. Esimerkiksi liitteessä 1 olevassa 8 kohdassa sallitaan arkaluontoisten tietojen käsittely yhtäläisten mahdollisuuksien tai kohtelun edistämistä varten. Tätä käsittelyedellytystä voidaan käyttää vain jos tiedoista käy ilmi rotu tai etninen alkuperä, uskonnollinen tai filosofinen vakaumus tai seksuaalinen suuntautuminen tai jos kyseessä on terveystieto.

| (35) | Joissain tapauksissa vuoden 2018 tietosuojalailla rajoitetaan sitä, minkätyyppinen rekisterinpitäjä voi soveltaa kyseistä käsittelyedellytystä. Esimerkiksi liitteessä 1 olevassa 23 kohdassa säädetään arkaluontoisten tietojen käsittelystä valittujen edustajien yleisölle antamien vastausten yhteydessä. Tätä käsittelyedellytystä voidaan soveltaa vain jos rekisterinpitäjä on kyseinen valittu edustaja tai toimii tämän toimivallan nojalla. |
| --- | --- |

(35)

Joissain tapauksissa vuoden 2018 tietosuojalailla rajoitetaan sitä, minkätyyppinen rekisterinpitäjä voi soveltaa kyseistä käsittelyedellytystä. Esimerkiksi liitteessä 1 olevassa 23 kohdassa säädetään arkaluontoisten tietojen käsittelystä valittujen edustajien yleisölle antamien vastausten yhteydessä. Tätä käsittelyedellytystä voidaan soveltaa vain jos rekisterinpitäjä on kyseinen valittu edustaja tai toimii tämän toimivallan nojalla.

| (36) | Eräissä muissa tapauksissa vuoden 2018 tietosuojalaissa rajoitetaan sitä, mihin rekisteröityjen ryhmiin käsittelyedellytystä voidaan soveltaa. Esimerkiksi liitteessä 1 olevassa 21 kohdassa säädetään arkaluontoisten tietojen käsittelystä ammatillisten lisäeläkejärjestelmien yhteydessä. Tätä edellytystä voidaan soveltaa vain jos asianomainen rekisteröity on järjestelmään kuuluvan henkilön sisarus, vanhempi, isovanhempi tai isoisovanhempi. |
| --- | --- |

(36)

Eräissä muissa tapauksissa vuoden 2018 tietosuojalaissa rajoitetaan sitä, mihin rekisteröityjen ryhmiin käsittelyedellytystä voidaan soveltaa. Esimerkiksi liitteessä 1 olevassa 21 kohdassa säädetään arkaluontoisten tietojen käsittelystä ammatillisten lisäeläkejärjestelmien yhteydessä. Tätä edellytystä voidaan soveltaa vain jos asianomainen rekisteröity on järjestelmään kuuluvan henkilön sisarus, vanhempi, isovanhempi tai isoisovanhempi.

| (37) | Kun vedotaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädettyihin poikkeuksiin, joita täsmennetään vuoden 2018 tietosuojalain 10 §:ssä ja tietosuojalain liitteessä 1, rekisterinpitäjän on lisäksi useimmissa tapauksissa laadittava ”asianmukainen toimintapoliittinen asiakirja” (Appropriate Policy document). Asiakirjassa on selitettävä, miten rekisterinpitäjä varmistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklassa vahvistettujen tietosuojaperiaatteiden noudattamisen. Siinä on myös esitettävä henkilötietojen säilyttämistä ja poistamista koskevat toimintaperiaatteet ja ilmoitettava, kuinka kauan henkilötietoja todennäköisesti säilytetään. Rekisterinpitäjien on tarkistettava ja päivitettävä tämä asiakirja tarpeen mukaan. Rekisterinpitäjän on säilytettävä toimintapoliittinen asiakirja kuuden kuukauden ajan käsittelyn päättymisestä ja toimitettava se pyynnöstä tietosuojavaltuutetulle. (41) |
| --- | --- |

(37)

Kun vedotaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädettyihin poikkeuksiin, joita täsmennetään vuoden 2018 tietosuojalain 10 §:ssä ja tietosuojalain liitteessä 1, rekisterinpitäjän on lisäksi useimmissa tapauksissa laadittava ”asianmukainen toimintapoliittinen asiakirja” (Appropriate Policy document). Asiakirjassa on selitettävä, miten rekisterinpitäjä varmistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklassa vahvistettujen tietosuojaperiaatteiden noudattamisen. Siinä on myös esitettävä henkilötietojen säilyttämistä ja poistamista koskevat toimintaperiaatteet ja ilmoitettava, kuinka kauan henkilötietoja todennäköisesti säilytetään. Rekisterinpitäjien on tarkistettava ja päivitettävä tämä asiakirja tarpeen mukaan. Rekisterinpitäjän on säilytettävä toimintapoliittinen asiakirja kuuden kuukauden ajan käsittelyn päättymisestä ja toimitettava se pyynnöstä tietosuojavaltuutetulle. (41)

41

| (38) | Vuoden 2018 tietosuojalain liitteessä 1 olevan 41 kohdan nojalla toimintapoliittisen asiakirjan liitteenä on aina oltava seloste, joka kattaa kaikki käsittelytoimet. Selosteessa on mainittava toimintapoliittiseen asiakirjaan sisältyvät sitoumukset eli se, poistetaanko tiedot vai säilytetäänkö ne toimintaperiaatteiden mukaisesti. Jos toimintaperiaatteita ei ole noudatettu, syy siihen on kirjattava lokiin. Selosteessa on myös kuvattava, miten käsittely täyttää vaatimukset, joista säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklassa (käsittelyn lainmukaisuus) ja vuoden 2018 tietosuojalain liitteessä 1 (erityiset edellytykset). |
| --- | --- |

(38)

Vuoden 2018 tietosuojalain liitteessä 1 olevan 41 kohdan nojalla toimintapoliittisen asiakirjan liitteenä on aina oltava seloste, joka kattaa kaikki käsittelytoimet. Selosteessa on mainittava toimintapoliittiseen asiakirjaan sisältyvät sitoumukset eli se, poistetaanko tiedot vai säilytetäänkö ne toimintaperiaatteiden mukaisesti. Jos toimintaperiaatteita ei ole noudatettu, syy siihen on kirjattava lokiin. Selosteessa on myös kuvattava, miten käsittely täyttää vaatimukset, joista säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklassa (käsittelyn lainmukaisuus) ja vuoden 2018 tietosuojalain liitteessä 1 (erityiset edellytykset).

| (39) | Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa, samoin kuin asetuksessa (EU) 2016/679, säädetään myös yleisistä suojatoimista, joita sovelletaan tiettyihin erityisiä tietoryhmiä koskeviin käsittelytoimiin. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 35 artiklassa edellytetään tietosuojaa koskevan vaikutustenarvioinnin laatimista, jos erityisiä tietoryhmiä käsitellään laajassa mittakaavassa. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 37 artiklan mukaan rekisterinpitäjän tai henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, jos rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat käsittelystä, joka kohdistuu laajamittaisesti henkilötietojen erityisryhmiin. |
| --- | --- |

(39)

Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa, samoin kuin asetuksessa (EU) 2016/679, säädetään myös yleisistä suojatoimista, joita sovelletaan tiettyihin erityisiä tietoryhmiä koskeviin käsittelytoimiin. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 35 artiklassa edellytetään tietosuojaa koskevan vaikutustenarvioinnin laatimista, jos erityisiä tietoryhmiä käsitellään laajassa mittakaavassa. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 37 artiklan mukaan rekisterinpitäjän tai henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, jos rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat käsittelystä, joka kohdistuu laajamittaisesti henkilötietojen erityisryhmiin.

| (40) | Rikostuomioita ja rikoksia koskevien henkilötietojen osalta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 10 artikla on identtinen asetuksen (EU) 2016/679 10 artiklan kanssa. Sen mukaan rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely on sallittu ainoastaan viranomaisen valvonnassa tai silloin, kun se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi. |
| --- | --- |

(40)

Rikostuomioita ja rikoksia koskevien henkilötietojen osalta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 10 artikla on identtinen asetuksen (EU) 2016/679 10 artiklan kanssa. Sen mukaan rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely on sallittu ainoastaan viranomaisen valvonnassa tai silloin, kun se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.

| (41) | Silloin kun rikostuomioita ja rikoksia koskevia tietoja ei käsitellä viranomaisen valvonnassa, vuoden 2018 tietosuojalain 10 §:n 5 momentissa säädetään, että tällainen käsittely voidaan suorittaa ainoastaan vuoden 2018 tietosuojalain liitteessä 1 olevassa 1, 2 ja 3 osassa esitettyjä erityisiä tarkoituksia varten / erityisissä tilanteissa ja että siihen on sovellettava kutakin tällaista tarkoitusta/tilannetta varten vahvistettuja erityisiä vaatimuksia. Esimerkiksi rikostuomioita koskevia tietoja voidaan käsitellä voittoa tavoittelemattomissa elimissä, jos käsittely suoritetaan a) poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin ja b) sillä edellytyksellä, i) että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai entisiä jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen tarkoituksiin liittyvät yhteydet, ja ii) että henkilötietoja ei luovuteta yhteisön ulkopuolelle ilman rekisteröidyn suostumusta. |
| --- | --- |

(41)

Silloin kun rikostuomioita ja rikoksia koskevia tietoja ei käsitellä viranomaisen valvonnassa, vuoden 2018 tietosuojalain 10 §:n 5 momentissa säädetään, että tällainen käsittely voidaan suorittaa ainoastaan vuoden 2018 tietosuojalain liitteessä 1 olevassa 1, 2 ja 3 osassa esitettyjä erityisiä tarkoituksia varten / erityisissä tilanteissa ja että siihen on sovellettava kutakin tällaista tarkoitusta/tilannetta varten vahvistettuja erityisiä vaatimuksia. Esimerkiksi rikostuomioita koskevia tietoja voidaan käsitellä voittoa tavoittelemattomissa elimissä, jos käsittely suoritetaan a) poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin ja b) sillä edellytyksellä, i) että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai entisiä jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen tarkoituksiin liittyvät yhteydet, ja ii) että henkilötietoja ei luovuteta yhteisön ulkopuolelle ilman rekisteröidyn suostumusta.

| (42) | Lisäksi vuoden 2018 tietosuojalain liitteessä 1 olevassa 3 osassa säädetään muista olosuhteista, joissa rikostuomioita koskevia tietoja voidaan käyttää. Nämä olosuhteet vastaavat arkaluonteisten tietojen käsittelyn oikeudellisia perusteita, joista säädetään asetuksen (EU) 2016/679 9 artiklan 2 kohdassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa (esimerkiksi rekisteröidyn suostumus, henkilön elintärkeiden etujen suojaaminen, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, jos rekisteröity on nimenomaisesti jo saattanut tiedot julkisiksi tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi). |
| --- | --- |

(42)

Lisäksi vuoden 2018 tietosuojalain liitteessä 1 olevassa 3 osassa säädetään muista olosuhteista, joissa rikostuomioita koskevia tietoja voidaan käyttää. Nämä olosuhteet vastaavat arkaluonteisten tietojen käsittelyn oikeudellisia perusteita, joista säädetään asetuksen (EU) 2016/679 9 artiklan 2 kohdassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa (esimerkiksi rekisteröidyn suostumus, henkilön elintärkeiden etujen suojaaminen, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, jos rekisteröity on nimenomaisesti jo saattanut tiedot julkisiksi tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi).

2.5.3   Käyttötarkoitussidonnaisuus, täsmällisyys, tietojen minimointi, säilytyksen rajoittaminen ja tietoturva

Käyttötarkoitussidonnaisuus, täsmällisyys, tietojen minimointi, säilytyksen rajoittaminen ja tietoturva

| (43) | Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa. |
| --- | --- |

(43)

Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa.

| (44) | Tämä periaate vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdassa, ja se on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa. Myös asetuksen (EU) 2016/679 6 artiklan 4 kohdan mukaiset sallitun käsittelyn edellytykset on säilytetty ilman olennaisia muutoksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan a–e alakohdassa. |
| --- | --- |

(44)

Tämä periaate vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdassa, ja se on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa. Myös asetuksen (EU) 2016/679 6 artiklan 4 kohdan mukaiset sallitun käsittelyn edellytykset on säilytetty ilman olennaisia muutoksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan a–e alakohdassa.

| (45) | Lisäksi tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. |
| --- | --- |

(45)

Lisäksi tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

| (46) | Nämä tietojen minimointia, täsmällisyyttä ja säilytyksen rajoittamista koskevat periaatteet vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan c–e alakohdassa, ja ne on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c–e alakohdassa. |
| --- | --- |

(46)

Nämä tietojen minimointia, täsmällisyyttä ja säilytyksen rajoittamista koskevat periaatteet vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan c–e alakohdassa, ja ne on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c–e alakohdassa.

| (47) | Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset. |
| --- | --- |

(47)

Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.

| (48) | Tietoturva varmistetaan Yhdistyneen kuningaskunnan lainsäädännössä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa vahvistetun eheyden ja luottamuksellisuuden periaatteen nojalla sekä käsittelyn turvallisuutta koskevalla tietosuoja-asetuksen 32 artiklalla. Mainitut säännökset ovat identtiset asetuksen (EU) 2016/679 säännösten kanssa. Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa edellytetään samoin edellytyksin kuin asetuksen (EU) 2016/679 33 ja 34 artiklassa, että henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 33 artikla) ja rekisteröidylle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 34 artikla). |
| --- | --- |

(48)

Tietoturva varmistetaan Yhdistyneen kuningaskunnan lainsäädännössä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa vahvistetun eheyden ja luottamuksellisuuden periaatteen nojalla sekä käsittelyn turvallisuutta koskevalla tietosuoja-asetuksen 32 artiklalla. Mainitut säännökset ovat identtiset asetuksen (EU) 2016/679 säännösten kanssa. Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa edellytetään samoin edellytyksin kuin asetuksen (EU) 2016/679 33 ja 34 artiklassa, että henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 33 artikla) ja rekisteröidylle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 34 artikla).

2.5.4   Läpinäkyvyys

Läpinäkyvyys

| (49) | Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat. |
| --- | --- |

(49)

Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.

| (50) | Tämä varmistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 13 ja 14 artiklalla, joissa vahvistetaan yleisen läpinäkyvyysperiaatteen ohella rekisteröidylle annettavia tietoja koskevat säännöt. (42) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin sääntöihin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin artikloihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, kyseisissä artikloissa vahvistettuihin läpinäkyvyysvaatimuksiin sovelletaan kuitenkin useita poikkeuksia, joista säädetään vuoden 2018 tietosuojalaissa (ks. johdanto-osan (55)–(72) kappale). |
| --- | --- |

(50)

Tämä varmistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 13 ja 14 artiklalla, joissa vahvistetaan yleisen läpinäkyvyysperiaatteen ohella rekisteröidylle annettavia tietoja koskevat säännöt. (42) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin sääntöihin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin artikloihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, kyseisissä artikloissa vahvistettuihin läpinäkyvyysvaatimuksiin sovelletaan kuitenkin useita poikkeuksia, joista säädetään vuoden 2018 tietosuojalaissa (ks. johdanto-osan (55)–(72) kappale).

42

2.5.5   Yksilön oikeudet

Yksilön oikeudet

| (51) | Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi. Toisaalta tällaisiin oikeuksiin voidaan soveltaa rajoituksia, kunhan rajoitukset ovat välttämättömiä ja oikeasuhteisia yleisen turvallisuuden tai muiden yleisen edun mukaisten tärkeiden tavoitteiden turvaamiseksi. |
| --- | --- |

(51)

Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi. Toisaalta tällaisiin oikeuksiin voidaan soveltaa rajoituksia, kunhan rajoitukset ovat välttämättömiä ja oikeasuhteisia yleisen turvallisuuden tai muiden yleisen edun mukaisten tärkeiden tavoitteiden turvaamiseksi.

2.5.5.1   Aineelliset oikeudet

Aineelliset oikeudet

| (52) | Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa taataan yksilöille samat täytäntöönpanokelpoiset oikeudet kuin asetuksella (EU) 2016/679. Yksilön oikeuksia koskevat säännökset on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. |
| --- | --- |

(52)

Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa taataan yksilöille samat täytäntöönpanokelpoiset oikeudet kuin asetuksella (EU) 2016/679. Yksilön oikeuksia koskevat säännökset on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia.

| (53) | Näitä oikeuksia ovat mm. rekisteröidyn oikeus saada pääsy tietoihin (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 15 artikla), oikeus oikaista tiedot (16 artikla), oikeus poistaa tiedot (17 artikla), oikeus rajoittaa käsittelyä (18 artikla), velvollisuus ilmoittaa henkilötietojen oikaisemista tai poistamista tai käsittelyn rajoittamista koskevasta oikeudesta (19 artikla), oikeus siirtää tiedot järjestelmästä toiseen (20 artikla) ja oikeus vastustaa henkilötietojen käsittelyä (21 artikla). (43) Viimeksi mainittuun sisältyy myös rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä suoramarkkinointia varten (asetuksen (EU) 2016/679 21 artiklan 2 ja 3 kohta). Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 122 §:n nojalla laadittava suoramarkkinointia koskevat käytännesäännöt, joissa noudatetaan tietosuojalainsäädännön vaatimuksia (ja vuoden 2003 yksityisyydensuojaa ja sähköistä viestintää koskevia säädöksiä (Privacy and Electronic Communications (EC Directive) Regulations 2003) sekä muita tietosuojavaltuutetun hyödyllisiksi katsomia ohjeita, joilla edistetään suoramarkkinointiin liittyviä hyviä käytäntöjä. Tietosuojavaltuutetun toimisto laatii parhaillaan näitä suoramarkkinointia koskevia käytännesääntöjä (44). |
| --- | --- |

(53)

Näitä oikeuksia ovat mm. rekisteröidyn oikeus saada pääsy tietoihin (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 15 artikla), oikeus oikaista tiedot (16 artikla), oikeus poistaa tiedot (17 artikla), oikeus rajoittaa käsittelyä (18 artikla), velvollisuus ilmoittaa henkilötietojen oikaisemista tai poistamista tai käsittelyn rajoittamista koskevasta oikeudesta (19 artikla), oikeus siirtää tiedot järjestelmästä toiseen (20 artikla) ja oikeus vastustaa henkilötietojen käsittelyä (21 artikla). (43) Viimeksi mainittuun sisältyy myös rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä suoramarkkinointia varten (asetuksen (EU) 2016/679 21 artiklan 2 ja 3 kohta). Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 122 §:n nojalla laadittava suoramarkkinointia koskevat käytännesäännöt, joissa noudatetaan tietosuojalainsäädännön vaatimuksia (ja vuoden 2003 yksityisyydensuojaa ja sähköistä viestintää koskevia säädöksiä (Privacy and Electronic Communications (EC Directive) Regulations 2003) sekä muita tietosuojavaltuutetun hyödyllisiksi katsomia ohjeita, joilla edistetään suoramarkkinointiin liittyviä hyviä käytäntöjä. Tietosuojavaltuutetun toimisto laatii parhaillaan näitä suoramarkkinointia koskevia käytännesääntöjä (44).

43

44

| (54) | Rekisteröidylle asetuksen (EU) 2016/679 22 artiklan nojalla kuuluva oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka on tehty yksinomaan automatisoidun käsittelyn perusteella ja josta hänelle aiheutuu haitallisia oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Siihen on kuitenkin lisätty uusi 3A kohta, jossa viitataan siihen, että vuoden 2018 tietosuojalain 14 §:ssä säädetään rekisteröityjen oikeuksia, vapauksia ja oikeutettuja etuja koskevista suojatoimista silloin kun tietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan nojalla. Tätä sovelletaan vain silloin kun tällaisen päätöksen perusteena on Yhdistyneen kuningaskunnan lainsäädännön mukainen lupa tai vaatimus. Sitä ei sovelleta, jos päätös on tarpeen sopimuksen nojalla tai jos se on tehty rekisteröidyn nimenomaisen suostumuksen perusteella. Kun sovelletaan vuoden 2018 tietosuojalain 14 §:ää, rekisterinpitäjän on, niin pian kuin se on kohtuudella mahdollista, ilmoitettava rekisteröidylle kirjallisesti, että päätös on tehty yksinomaan automaattisen käsittelyn perusteella. Rekisteröidyllä on oikeus pyytää (kuukauden kuluessa ilmoituksen vastaanottamisesta), että rekisterinpitäjä joko harkitsee päätöstä uudelleen tai tekee uuden päätöksen, joka ei perustu yksinomaan automaattiseen käsittelyyn. Secretary of Statella on valtuudet hyväksyä lisää suojatoimia automatisoitua päätöksentekoa varten. Näitä valtuuksia ei ole vielä käytetty. |
| --- | --- |

(54)

Rekisteröidylle asetuksen (EU) 2016/679 22 artiklan nojalla kuuluva oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka on tehty yksinomaan automatisoidun käsittelyn perusteella ja josta hänelle aiheutuu haitallisia oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Siihen on kuitenkin lisätty uusi 3A kohta, jossa viitataan siihen, että vuoden 2018 tietosuojalain 14 §:ssä säädetään rekisteröityjen oikeuksia, vapauksia ja oikeutettuja etuja koskevista suojatoimista silloin kun tietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan nojalla. Tätä sovelletaan vain silloin kun tällaisen päätöksen perusteena on Yhdistyneen kuningaskunnan lainsäädännön mukainen lupa tai vaatimus. Sitä ei sovelleta, jos päätös on tarpeen sopimuksen nojalla tai jos se on tehty rekisteröidyn nimenomaisen suostumuksen perusteella. Kun sovelletaan vuoden 2018 tietosuojalain 14 §:ää, rekisterinpitäjän on, niin pian kuin se on kohtuudella mahdollista, ilmoitettava rekisteröidylle kirjallisesti, että päätös on tehty yksinomaan automaattisen käsittelyn perusteella. Rekisteröidyllä on oikeus pyytää (kuukauden kuluessa ilmoituksen vastaanottamisesta), että rekisterinpitäjä joko harkitsee päätöstä uudelleen tai tekee uuden päätöksen, joka ei perustu yksinomaan automaattiseen käsittelyyn. Secretary of Statella on valtuudet hyväksyä lisää suojatoimia automatisoitua päätöksentekoa varten. Näitä valtuuksia ei ole vielä käytetty.

2.5.5.2   Yksilön oikeuksia ja muita säännöksiä koskevat rajoitukset

Yksilön oikeuksia ja muita säännöksiä koskevat rajoitukset

| (55) | Vuoden 2018 tietosuojalaissa asetetaan useita yksilön oikeuksiin sovellettavia rajoituksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan puitteissa. Tässä yhteydessä ei oteta käyttöön rajoituksia, jotka koskisivat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 21 artiklan 2 ja 3 kohdassa säädettyä oikeutta vastustaa suoramarkkinointia tai Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklassa säädettyä oikeutta olla joutumatta automaattisen päätöksenteon kohteeksi. |
| --- | --- |

(55)

Vuoden 2018 tietosuojalaissa asetetaan useita yksilön oikeuksiin sovellettavia rajoituksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan puitteissa. Tässä yhteydessä ei oteta käyttöön rajoituksia, jotka koskisivat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 21 artiklan 2 ja 3 kohdassa säädettyä oikeutta vastustaa suoramarkkinointia tai Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklassa säädettyä oikeutta olla joutumatta automaattisen päätöksenteon kohteeksi.

| (56) | Rajoitukset esitetään yksityiskohtaisesti vuoden 2018 tietosuojalain liitteissä 2–4. Yhdistyneen kuningaskunnan viranomaisten mukaan rajoitukset perustuvat kahteen periaatteeseen: tietyn käsittelytarkoituksen periaatteeseen (yksityiskohtaisen lähestymistavan mukaisesti laaja rajoitus jaetaan useisiin yksityiskohtaisempiin säännöksiin) ja ehdollisuusperiaatteeseen (kutakin säännöstä täydennetään suojatoimilla, jotka esitetään rajoitusten tai ehtojen muodossa väärinkäytösten estämiseksi). (45) |
| --- | --- |

(56)

Rajoitukset esitetään yksityiskohtaisesti vuoden 2018 tietosuojalain liitteissä 2–4. Yhdistyneen kuningaskunnan viranomaisten mukaan rajoitukset perustuvat kahteen periaatteeseen: tietyn käsittelytarkoituksen periaatteeseen (yksityiskohtaisen lähestymistavan mukaisesti laaja rajoitus jaetaan useisiin yksityiskohtaisempiin säännöksiin) ja ehdollisuusperiaatteeseen (kutakin säännöstä täydennetään suojatoimilla, jotka esitetään rajoitusten tai ehtojen muodossa väärinkäytösten estämiseksi). (45)

45

| (57) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa esitettyjen rajoitusten tarkoituksena on varmistaa, että niitä sovelletaan vain tietyissä olosuhteissa, kun se on välttämätöntä demokraattisessa yhteiskunnassa ja oikeassa suhteessa niillä tavoiteltuun oikeutettuun päämäärään nähden. Lisäksi tietosuojajärjestelmästä voidaan rajoitusten tulkintaa koskevan vakiintuneen oikeuskäytännön mukaan poiketa yksittäisessä tapauksessa vain jos se on välttämätöntä ja oikeasuhteista (46). Tarpeellisuusarvioinnin on oltava tiukka, niin että rekisteröidyn oikeuksiin puuttumisen on oltava oikeassa suhteessa yleiseen etuun kohdistuvan uhan vakavuuteen. Se edellyttää näin ollen perinteistä suhteellisuusanalyysia. (47) |
| --- | --- |

(57)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa esitettyjen rajoitusten tarkoituksena on varmistaa, että niitä sovelletaan vain tietyissä olosuhteissa, kun se on välttämätöntä demokraattisessa yhteiskunnassa ja oikeassa suhteessa niillä tavoiteltuun oikeutettuun päämäärään nähden. Lisäksi tietosuojajärjestelmästä voidaan rajoitusten tulkintaa koskevan vakiintuneen oikeuskäytännön mukaan poiketa yksittäisessä tapauksessa vain jos se on välttämätöntä ja oikeasuhteista (46). Tarpeellisuusarvioinnin on oltava tiukka, niin että rekisteröidyn oikeuksiin puuttumisen on oltava oikeassa suhteessa yleiseen etuun kohdistuvan uhan vakavuuteen. Se edellyttää näin ollen perinteistä suhteellisuusanalyysia. (47)

46

47

| (58) | Näiden rajoitusten tavoitteet vastaavat asetuksen (EU) 2016/679 23 artiklassa lueteltuja tavoitteita, lukuun ottamatta kansalliseen turvallisuuteen ja puolustukseen liittyviä rajoituksia, joista säädetään sen sijaan vuoden 2018 tietosuojalain 26 §:ssä, mutta joille on asetettu samat tarpeellisuutta ja oikeasuhteisuutta koskevat vaatimukset (ks. johdanto-osan 63–66 kappale). |
| --- | --- |

(58)

Näiden rajoitusten tavoitteet vastaavat asetuksen (EU) 2016/679 23 artiklassa lueteltuja tavoitteita, lukuun ottamatta kansalliseen turvallisuuteen ja puolustukseen liittyviä rajoituksia, joista säädetään sen sijaan vuoden 2018 tietosuojalain 26 §:ssä, mutta joille on asetettu samat tarpeellisuutta ja oikeasuhteisuutta koskevat vaatimukset (ks. johdanto-osan 63–66 kappale).

| (59) | Tietyt rajoitukset, kuten rikosten ehkäisemiseen ja paljastamiseen tai rikollisten kiinniottoon ja syytteeseenpanoon sekä verojen ja maksujen (48) määräämiseen ja kantamiseen liittyvät rajoitukset, mahdollistavat kaikkien yksilön oikeuksien ja läpinäkyvyyttä koskevien velvoitteiden rajoittamisen (lukuun ottamatta 21 artiklan 2 kohdassa ja 22 artiklassa säädettyjä oikeuksia). Muiden rajoitusten soveltamisala on rajoitettu läpinäkyvyyttä koskeviin velvollisuuksiin ja pääsyoikeuksiin, kuten asianajosalaisuutta (49) koskeviin rajoituksiin, oikeuteen olla antamatta tietoja, jotka voisivat johtaa oman syyllisyyden toteamiseen (50), ja yrityksen rahoitukseen, erityisesti sisäpiirikauppojen estämiseen (51). Vain harvojen rajoitusten nojalla voidaan rajoittaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle tietoturvaloukkauksesta tai käsittelyn käyttötarkoituksen rajoittamista ja käsittelyn lainmukaisuutta, kohtuullisuutta ja läpinäkyvyyttä koskevien periaatteiden soveltamista. (52) |
| --- | --- |

(59)

Tietyt rajoitukset, kuten rikosten ehkäisemiseen ja paljastamiseen tai rikollisten kiinniottoon ja syytteeseenpanoon sekä verojen ja maksujen (48) määräämiseen ja kantamiseen liittyvät rajoitukset, mahdollistavat kaikkien yksilön oikeuksien ja läpinäkyvyyttä koskevien velvoitteiden rajoittamisen (lukuun ottamatta 21 artiklan 2 kohdassa ja 22 artiklassa säädettyjä oikeuksia). Muiden rajoitusten soveltamisala on rajoitettu läpinäkyvyyttä koskeviin velvollisuuksiin ja pääsyoikeuksiin, kuten asianajosalaisuutta (49) koskeviin rajoituksiin, oikeuteen olla antamatta tietoja, jotka voisivat johtaa oman syyllisyyden toteamiseen (50), ja yrityksen rahoitukseen, erityisesti sisäpiirikauppojen estämiseen (51). Vain harvojen rajoitusten nojalla voidaan rajoittaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle tietoturvaloukkauksesta tai käsittelyn käyttötarkoituksen rajoittamista ja käsittelyn lainmukaisuutta, kohtuullisuutta ja läpinäkyvyyttä koskevien periaatteiden soveltamista. (52)

48

49

50

51

52

| (60) | Joitakin rajoituksia sovelletaan automaattisesti ”kaikilta osin” tietyntyyppiseen henkilötietojen käsittelyyn (esimerkiksi läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien soveltaminen on suljettu pois, kun henkilötietojen käsittelyn tarkoituksena on arvioida henkilön soveltuvuutta oikeuslaitoksen virkaan tai kun henkilötietoja käsittelee tuomioistuin tai yksilö lainkäyttötehtäviä suorittaessaan). |
| --- | --- |

(60)

Joitakin rajoituksia sovelletaan automaattisesti ”kaikilta osin” tietyntyyppiseen henkilötietojen käsittelyyn (esimerkiksi läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien soveltaminen on suljettu pois, kun henkilötietojen käsittelyn tarkoituksena on arvioida henkilön soveltuvuutta oikeuslaitoksen virkaan tai kun henkilötietoja käsittelee tuomioistuin tai yksilö lainkäyttötehtäviä suorittaessaan).

| (61) | Useimmissa tapauksissa vuoden 2018 tietosuojalain liitteessä 2 olevassa asiaa koskevassa kohdassa kuitenkin täsmennetään, että rajoitusta sovelletaan vain (ja ainoastaan siltä osin kuin) säännösten soveltaminen ”voisi todennäköisesti haitata” kyseisellä rajoituksella tavoiteltua oikeutettua päämäärää: esimerkiksi mainittuja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä ei sovelleta henkilötietojen käsittelyyn, jonka tarkoituksena on rikoksen ehkäiseminen tai paljastaminen tai rikollisten kiinniotto tai syytteeseenpano tai verojen ja maksujen määrääminen tai kantaminen ”siltä osin kuin säännösten soveltaminen todennäköisesti haittaisi” jotakin näistä seikoista. (53) |
| --- | --- |

(61)

Useimmissa tapauksissa vuoden 2018 tietosuojalain liitteessä 2 olevassa asiaa koskevassa kohdassa kuitenkin täsmennetään, että rajoitusta sovelletaan vain (ja ainoastaan siltä osin kuin) säännösten soveltaminen ”voisi todennäköisesti haitata” kyseisellä rajoituksella tavoiteltua oikeutettua päämäärää: esimerkiksi mainittuja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä ei sovelleta henkilötietojen käsittelyyn, jonka tarkoituksena on rikoksen ehkäiseminen tai paljastaminen tai rikollisten kiinniotto tai syytteeseenpano tai verojen ja maksujen määrääminen tai kantaminen ”siltä osin kuin säännösten soveltaminen todennäköisesti haittaisi” jotakin näistä seikoista. (53)

53

| (62) | Yhdistyneen kuningaskunnan tuomioistuimissa on johdonmukaisesti tulkittu vakioilmauksen ”voisi todennäköisesti haitata” tarkoittavan, että on olemassa ”erittäin merkittävä ja painava mahdollisuus haittavaikutusten kohdistumisesta yksilöityihin yleisiin etuihin”. (54) Rajoitukseen, jonka osalta on arvioitava siitä mahdollisesti aiheutuvia haittoja, voidaan sen vuoksi vedota vain ja ainoastaan siltä osin kuin on olemassa erittäin merkittävä ja painava mahdollisuus, että tietyn oikeuden myöntäminen aiheuttaisi haittavaikutuksia suhteessa kyseiseen yleiseen etuun. Rekisterinpitäjän vastuulla on arvioida tapauskohtaisesti, täyttyvätkö nämä edellytykset. (55) |
| --- | --- |

(62)

Yhdistyneen kuningaskunnan tuomioistuimissa on johdonmukaisesti tulkittu vakioilmauksen ”voisi todennäköisesti haitata” tarkoittavan, että on olemassa ”erittäin merkittävä ja painava mahdollisuus haittavaikutusten kohdistumisesta yksilöityihin yleisiin etuihin”. (54) Rajoitukseen, jonka osalta on arvioitava siitä mahdollisesti aiheutuvia haittoja, voidaan sen vuoksi vedota vain ja ainoastaan siltä osin kuin on olemassa erittäin merkittävä ja painava mahdollisuus, että tietyn oikeuden myöntäminen aiheuttaisi haittavaikutuksia suhteessa kyseiseen yleiseen etuun. Rekisterinpitäjän vastuulla on arvioida tapauskohtaisesti, täyttyvätkö nämä edellytykset. (55)

54

55

| (63) | Vuoden 2018 tietosuojalain liitteessä 2 säädettyjen rajoitusten ohella vuoden 2018 tietosuojalain 26 §:ssä säädetään poikkeuksesta, jota voidaan soveltaa tiettyihin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain säännöksiin, jos poikkeus on tarpeen kansallisen turvallisuuden tai puolustuksen turvaamiseksi. Tätä poikkeusta sovelletaan tietosuojaperiaatteisiin (lainmukaisuusperiaatetta lukuun ottamatta), läpinäkyvyyttä koskeviin velvoitteisiin, rekisteröidyn oikeuksiin, velvollisuuteen ilmoittaa tietoturvaloukkauksesta, kansainvälisiä tiedonsiirtoja koskeviin sääntöihin, joihinkin tietosuojavaltuutetun tehtäviin ja toimivaltuuksiin sekä tiettyihin oikeussuojakeinoja, vastuuta ja seuraamuksia koskeviin sääntöihin, lukuun ottamatta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklassa säädettyjä hallinnollisten sakkojen määräämistä koskevia yleisiä edellytyksiä ja 84 artiklassa säädettyjä seuraamuksia. Lisäksi vuoden 2018 tietosuojalain 28 §:ssä muutetaan 9 artiklan 1 kohdan soveltamista, jotta voidaan mahdollistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen erityisten tietoryhmien käsittely siltä osin kuin käsittely suoritetaan kansallisen turvallisuuden tai puolustuksen takaamiseksi ja siinä noudatetaan rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. (56) |
| --- | --- |

(63)

Vuoden 2018 tietosuojalain liitteessä 2 säädettyjen rajoitusten ohella vuoden 2018 tietosuojalain 26 §:ssä säädetään poikkeuksesta, jota voidaan soveltaa tiettyihin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain säännöksiin, jos poikkeus on tarpeen kansallisen turvallisuuden tai puolustuksen turvaamiseksi. Tätä poikkeusta sovelletaan tietosuojaperiaatteisiin (lainmukaisuusperiaatetta lukuun ottamatta), läpinäkyvyyttä koskeviin velvoitteisiin, rekisteröidyn oikeuksiin, velvollisuuteen ilmoittaa tietoturvaloukkauksesta, kansainvälisiä tiedonsiirtoja koskeviin sääntöihin, joihinkin tietosuojavaltuutetun tehtäviin ja toimivaltuuksiin sekä tiettyihin oikeussuojakeinoja, vastuuta ja seuraamuksia koskeviin sääntöihin, lukuun ottamatta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklassa säädettyjä hallinnollisten sakkojen määräämistä koskevia yleisiä edellytyksiä ja 84 artiklassa säädettyjä seuraamuksia. Lisäksi vuoden 2018 tietosuojalain 28 §:ssä muutetaan 9 artiklan 1 kohdan soveltamista, jotta voidaan mahdollistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen erityisten tietoryhmien käsittely siltä osin kuin käsittely suoritetaan kansallisen turvallisuuden tai puolustuksen takaamiseksi ja siinä noudatetaan rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. (56)

56

| (64) | Poikkeusta voidaan soveltaa vain siltä osin kuin se on tarpeen kansallisen turvallisuuden tai puolustuksen takaamiseksi. Koska sama pätee myös muihin vuoden 2018 tietosuojalaissa säädettyihin poikkeuksiin, rekisterinpitäjän on harkittava poikkeusta ja sen soveltamista tapauskohtaisesti. Poikkeuksen soveltamisessa on lisäksi noudatettava ihmisoikeusnormeja (jotka perustuvat vuoden 1998 ihmisoikeuslakiin), joiden mukaan yksityisyyden suojaan puuttumisen on aina oltava välttämätöntä ja oikeasuhteista demokraattisessa yhteiskunnassa. (57) |
| --- | --- |

(64)

Poikkeusta voidaan soveltaa vain siltä osin kuin se on tarpeen kansallisen turvallisuuden tai puolustuksen takaamiseksi. Koska sama pätee myös muihin vuoden 2018 tietosuojalaissa säädettyihin poikkeuksiin, rekisterinpitäjän on harkittava poikkeusta ja sen soveltamista tapauskohtaisesti. Poikkeuksen soveltamisessa on lisäksi noudatettava ihmisoikeusnormeja (jotka perustuvat vuoden 1998 ihmisoikeuslakiin), joiden mukaan yksityisyyden suojaan puuttumisen on aina oltava välttämätöntä ja oikeasuhteista demokraattisessa yhteiskunnassa. (57)

57

| (65) | Tietosuojavaltuutettu on vahvistanut tämän poikkeuksen tulkinnan ja antanut kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta yksityiskohtaiset ohjeet, joissa täsmennetään, että rekisterinpitäjän on tarkasteltava ja sovellettava poikkeusta tapauskohtaisesti. (58) Ohjeissa painotetaan, että poikkeus ei ole yleispätevä ja että siihen vetoamiseksi ei riitä, että tietoja käsitellään kansalliseen turvallisuuteen liittyviä tarkoituksia varten. Sen sijaan rekisterinpitäjän on poikkeukseen vedotessaan osoitettava, että on olemassa todellinen mahdollisuus, että kansalliseen turvallisuuteen kohdistuu kielteisiä vaikutuksia. Tarvittaessa rekisterinpitäjän on esitettävä [tietosuojavaltuutetulle] näyttöä siitä, miksi poikkeusta on sovellettu. Ohjeisiin sisältyy luettelo tarkistettavista seikoista ja joukko esimerkkejä, jotka selventävät niitä edellytyksiä, joiden täyttyessä poikkeukseen voidaan vedota. |
| --- | --- |

(65)

Tietosuojavaltuutettu on vahvistanut tämän poikkeuksen tulkinnan ja antanut kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta yksityiskohtaiset ohjeet, joissa täsmennetään, että rekisterinpitäjän on tarkasteltava ja sovellettava poikkeusta tapauskohtaisesti. (58) Ohjeissa painotetaan, että poikkeus ei ole yleispätevä ja että siihen vetoamiseksi ei riitä, että tietoja käsitellään kansalliseen turvallisuuteen liittyviä tarkoituksia varten. Sen sijaan rekisterinpitäjän on poikkeukseen vedotessaan osoitettava, että on olemassa todellinen mahdollisuus, että kansalliseen turvallisuuteen kohdistuu kielteisiä vaikutuksia. Tarvittaessa rekisterinpitäjän on esitettävä [tietosuojavaltuutetulle] näyttöä siitä, miksi poikkeusta on sovellettu. Ohjeisiin sisältyy luettelo tarkistettavista seikoista ja joukko esimerkkejä, jotka selventävät niitä edellytyksiä, joiden täyttyessä poikkeukseen voidaan vedota.

58

| (66) | Se, että tietoja käsitellään kansallista turvallisuutta tai puolustusta varten, ei siis yksinään ole riittävä peruste poikkeuksen soveltamiseen. Rekisterinpitäjän on otettava huomioon tosiasialliset seuraukset, joita tietosuojasääntöjen noudattaminen aiheuttaisi kansalliselle turvallisuudelle. Poikkeusta voidaan soveltaa vain niihin erityisiin säännöksiin, joihin riskin on todettu liittyvän, ja sitä on sovellettava mahdollisimman suppeasti. (59) |
| --- | --- |

(66)

Se, että tietoja käsitellään kansallista turvallisuutta tai puolustusta varten, ei siis yksinään ole riittävä peruste poikkeuksen soveltamiseen. Rekisterinpitäjän on otettava huomioon tosiasialliset seuraukset, joita tietosuojasääntöjen noudattaminen aiheuttaisi kansalliselle turvallisuudelle. Poikkeusta voidaan soveltaa vain niihin erityisiin säännöksiin, joihin riskin on todettu liittyvän, ja sitä on sovellettava mahdollisimman suppeasti. (59)

59

| (67) | Viestintäasioita käsittelevä tuomioistuin (Information Tribunal) on vahvistanut tämän lähestymistavan. (60) Asiassa Baker v Secretary of State for the Home Department, jäljempänä ’Baker v Secretary of State’, Information Tribunal katsoi, että kansalliseen turvallisuuteen liittyvän poikkeuksen yleinen soveltaminen tiedustelupalvelujen vastaanottamiin tietopyyntöihin ei ollut lainmukaista. Sen sijaan poikkeusta olisi pitänyt soveltaa tapauskohtaisesti, tarkastelemalla kutakin pyyntöä erikseen sen sisällön perusteella ja ottaen huomioon yksilöiden oikeus nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. (61) |
| --- | --- |

(67)

Viestintäasioita käsittelevä tuomioistuin (Information Tribunal) on vahvistanut tämän lähestymistavan. (60) Asiassa Baker v Secretary of State for the Home Department, jäljempänä ’Baker v Secretary of State’, Information Tribunal katsoi, että kansalliseen turvallisuuteen liittyvän poikkeuksen yleinen soveltaminen tiedustelupalvelujen vastaanottamiin tietopyyntöihin ei ollut lainmukaista. Sen sijaan poikkeusta olisi pitänyt soveltaa tapauskohtaisesti, tarkastelemalla kutakin pyyntöä erikseen sen sisällön perusteella ja ottaen huomioon yksilöiden oikeus nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. (61)

60

Baker v Secretary of State for the Home Department

Baker v Secretary of State

61

2.5.6   Journalistisia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia sekä arkistointia ja tutkimusta varten käsiteltyjä henkilötietoja koskevat rajoitukset

Journalistisia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia sekä arkistointia ja tutkimusta varten käsiteltyjä henkilötietoja koskevat rajoitukset

| (68) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan 2 kohdan mukaan henkilötietojen käsittelylle journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten voidaan säätää vapautuksia tai poikkeuksia useista tietosuoja-asetuksen säännöksistä. Vuoden 2018 tietosuojalain liitteessä 2 olevassa 5 osassa säädetään näitä tarkoituksia varten tapahtuvaa käsittelyä koskevista poikkeuksista. Sen mukaan poikkeukset voivat koskea tietosuojaperiaatteita (eheyden ja luottamuksellisuuden periaatetta lukuun ottamatta), käsittelyn oikeudellisia perusteita (mukaan lukien erityiset tietoryhmät ja rikostuomioita koskevat tiedot ym.), suostumuksen edellytyksiä, läpinäkyvyyttä koskevia velvoitteita, rekisteröidyn oikeuksia, velvollisuutta ilmoittaa tietoturvaloukkauksista, ja vaatimusta kuulla tietosuojavaltuutettua ennen suuririskistä käsittelyä ja kansainvälisiä siirtoja koskevia sääntöjä. (62) Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ei tässä suhteessa poikkea olennaisesti asetuksesta (EU) 2016/679, jonka 85 artiklassa säädetään niin ikään mahdollisuudesta säätää journalistisia tarkoituksia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten suoritettavan käsittelyn osalta poikkeuksia useista asetuksen (EU) 2016/679 vaatimuksista. Vuoden 2018 tietosuojalain säännökset, muun muassa liitteessä 2 olevan 5 osan säännökset, ovat yhteensopivia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen kanssa. |
| --- | --- |

(68)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan 2 kohdan mukaan henkilötietojen käsittelylle journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten voidaan säätää vapautuksia tai poikkeuksia useista tietosuoja-asetuksen säännöksistä. Vuoden 2018 tietosuojalain liitteessä 2 olevassa 5 osassa säädetään näitä tarkoituksia varten tapahtuvaa käsittelyä koskevista poikkeuksista. Sen mukaan poikkeukset voivat koskea tietosuojaperiaatteita (eheyden ja luottamuksellisuuden periaatetta lukuun ottamatta), käsittelyn oikeudellisia perusteita (mukaan lukien erityiset tietoryhmät ja rikostuomioita koskevat tiedot ym.), suostumuksen edellytyksiä, läpinäkyvyyttä koskevia velvoitteita, rekisteröidyn oikeuksia, velvollisuutta ilmoittaa tietoturvaloukkauksista, ja vaatimusta kuulla tietosuojavaltuutettua ennen suuririskistä käsittelyä ja kansainvälisiä siirtoja koskevia sääntöjä. (62) Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ei tässä suhteessa poikkea olennaisesti asetuksesta (EU) 2016/679, jonka 85 artiklassa säädetään niin ikään mahdollisuudesta säätää journalistisia tarkoituksia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten suoritettavan käsittelyn osalta poikkeuksia useista asetuksen (EU) 2016/679 vaatimuksista. Vuoden 2018 tietosuojalain säännökset, muun muassa liitteessä 2 olevan 5 osan säännökset, ovat yhteensopivia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen kanssa.

62

| (69) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan nojalla tehtävässä arvioinnissa on olennaista selvittää, onko johdanto-osan (68) kappaleessa mainittu tietosuojasääntöjä koskeva poikkeus ”tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa”. (63) Vuoden 2018 tietosuojalain liitteessä 2 olevan 26 §:n 2 ja 3 kohdan mukaan Yhdistyneessä kuningaskunnassa tätä varten tehtävä arviointi perustuu kriteeriin ”perusteltu syy uskoa”. Jotta poikkeus olisi oikeutettu, rekisterinpitäjällä on oltava perusteltu syy uskoa, että i) julkaiseminen on yleisen edun mukaista; ja että ii) asiaa koskevan yleisen tietosuoja-asetuksen säännöksen soveltaminen olisi ristiriidassa journalististen tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitusten kanssa. Kuten oikeuskäytännössä on vahvistettu (64), ”perusteltu syy uskoa” -kriteerin soveltamiseen liittyy sekä subjektiivisia että objektiivisia osatekijöitä: Ei riitä, että rekisterinpitäjä osoittaa itse uskoneensa, että tietosuojasäännösten noudattaminen olisi ollut ristiriidassa mainittujen tarkoitusten kanssa, vaan hänellä täytyy olla tähän perusteltu syy, eli asian kannalta merkitykselliset tosiseikat tuntevan järkevän henkilön olisi pitänyt olla samaa mieltä. Rekisterinpitäjän on näin ollen noudatettava asianmukaista huolellisuutta sen osoittamiseksi, että näkemyksen taustalla on perusteltu syy. Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan ”perusteltu syy uskoa” -arviointi on suoritettava tapauskohtaisesti. (65) Jos edellytykset täyttyvät, poikkeuksen katsotaan olevan tarpeellinen ja oikeasuhteinen Yhdistyneen kuningaskunnan lainsäädännön mukaisesti. |
| --- | --- |

(69)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan nojalla tehtävässä arvioinnissa on olennaista selvittää, onko johdanto-osan (68) kappaleessa mainittu tietosuojasääntöjä koskeva poikkeus ”tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa”. (63) Vuoden 2018 tietosuojalain liitteessä 2 olevan 26 §:n 2 ja 3 kohdan mukaan Yhdistyneessä kuningaskunnassa tätä varten tehtävä arviointi perustuu kriteeriin ”perusteltu syy uskoa”. Jotta poikkeus olisi oikeutettu, rekisterinpitäjällä on oltava perusteltu syy uskoa, että i) julkaiseminen on yleisen edun mukaista; ja että ii) asiaa koskevan yleisen tietosuoja-asetuksen säännöksen soveltaminen olisi ristiriidassa journalististen tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitusten kanssa. Kuten oikeuskäytännössä on vahvistettu (64), ”perusteltu syy uskoa” -kriteerin soveltamiseen liittyy sekä subjektiivisia että objektiivisia osatekijöitä: Ei riitä, että rekisterinpitäjä osoittaa itse uskoneensa, että tietosuojasäännösten noudattaminen olisi ollut ristiriidassa mainittujen tarkoitusten kanssa, vaan hänellä täytyy olla tähän perusteltu syy, eli asian kannalta merkitykselliset tosiseikat tuntevan järkevän henkilön olisi pitänyt olla samaa mieltä. Rekisterinpitäjän on näin ollen noudatettava asianmukaista huolellisuutta sen osoittamiseksi, että näkemyksen taustalla on perusteltu syy. Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan ”perusteltu syy uskoa” -arviointi on suoritettava tapauskohtaisesti. (65) Jos edellytykset täyttyvät, poikkeuksen katsotaan olevan tarpeellinen ja oikeasuhteinen Yhdistyneen kuningaskunnan lainsäädännön mukaisesti.

63

64

65

| (70) | Vuoden 2018 tietosuojalain 124 §:n mukaan tietosuojavaltuutetun on laadittava tietosuojaa ja journalismia koskevat käytännesäännöt (Code of Practice on Data Protection and Journalism). Työ on käynnissä. Tästä aiheesta on annettu vuoden 1998 tietosuojalain nojalla ohjeita, joissa korostetaan erityisesti, että poikkeuksen soveltamiseksi ei riitä sen toteaminen, että säännösten noudattamisesta aiheutuisi haittaa journalistiselle toiminnalle, vaan että on pystyttävä selkeästi osoittamaan, että säännösten noudattaminen muodostaisi esteen vastuulliselle journalismille. (66) Ohjeita yleisen edun arvioinnista ja yleisen edun ja yksityisyydensuojaa koskevien yksilön etujen tasapainottamisesta ovat julkaisseet myös Yhdistyneen kuningaskunnan televiestintäalan sääntelyviranomainen OFCOM sekä BBC toimituksellisissa ohjeissaan. (67) Ohjeissa annetaan esimerkkejä tiedoista, joita voidaan pitää yleisen edun kannalta merkityksellisinä, ja selitetään, miten yksittäisessä tilanteessa on pystyttävä osoittamaan, että yleinen etu on yksityisyydensuojaa koskevia oikeuksia tärkeämpi. |
| --- | --- |

(70)

Vuoden 2018 tietosuojalain 124 §:n mukaan tietosuojavaltuutetun on laadittava tietosuojaa ja journalismia koskevat käytännesäännöt (Code of Practice on Data Protection and Journalism). Työ on käynnissä. Tästä aiheesta on annettu vuoden 1998 tietosuojalain nojalla ohjeita, joissa korostetaan erityisesti, että poikkeuksen soveltamiseksi ei riitä sen toteaminen, että säännösten noudattamisesta aiheutuisi haittaa journalistiselle toiminnalle, vaan että on pystyttävä selkeästi osoittamaan, että säännösten noudattaminen muodostaisi esteen vastuulliselle journalismille. (66) Ohjeita yleisen edun arvioinnista ja yleisen edun ja yksityisyydensuojaa koskevien yksilön etujen tasapainottamisesta ovat julkaisseet myös Yhdistyneen kuningaskunnan televiestintäalan sääntelyviranomainen OFCOM sekä BBC toimituksellisissa ohjeissaan. (67) Ohjeissa annetaan esimerkkejä tiedoista, joita voidaan pitää yleisen edun kannalta merkityksellisinä, ja selitetään, miten yksittäisessä tilanteessa on pystyttävä osoittamaan, että yleinen etu on yksityisyydensuojaa koskevia oikeuksia tärkeämpi.

66

67

| (71) | Kuten yleisen tietosuoja-asetuksen 89 artiklassa säädetään, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuva henkilötietojen käsittely voidaan niin ikään vapauttaa useiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta. (68) Tutkimuksen ja tilastojen osalta vapautus voidaan myöntää niiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta, jotka koskevat käsittelyn vahvistamista ja oikeutta saada pääsy tietoihin sekä kolmansiin maihin tehtäviä siirtoja koskevia suojatoimia; oikeutta tietojen oikaisemiseen; käsittelyn rajoittamista ja käsittelyn vastustamista. Yleisen edun mukaisen arkistoinnin osalta vapautus voi koskea myös velvollisuutta ilmoittaa henkilötietojen oikaisemista tai poistamista koskevasta oikeudesta tai oikeutta rajoittaa käsittelyä ja oikeutta siirtää tiedot järjestelmästä toiseen. |
| --- | --- |

(71)

Kuten yleisen tietosuoja-asetuksen 89 artiklassa säädetään, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuva henkilötietojen käsittely voidaan niin ikään vapauttaa useiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta. (68) Tutkimuksen ja tilastojen osalta vapautus voidaan myöntää niiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta, jotka koskevat käsittelyn vahvistamista ja oikeutta saada pääsy tietoihin sekä kolmansiin maihin tehtäviä siirtoja koskevia suojatoimia; oikeutta tietojen oikaisemiseen; käsittelyn rajoittamista ja käsittelyn vastustamista. Yleisen edun mukaisen arkistoinnin osalta vapautus voi koskea myös velvollisuutta ilmoittaa henkilötietojen oikaisemista tai poistamista koskevasta oikeudesta tai oikeutta rajoittaa käsittelyä ja oikeutta siirtää tiedot järjestelmästä toiseen.

68

| (72) | Vuoden 2018 tietosuojalain liitteessä 2 olevan 27 §:n 1 momentin ja 28 §:n 1 momentin mukaan poikkeukset Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksistä ovat mahdollisia, jos niiden soveltaminen ”ehkäisisi tai haittaisi vakavasti” kyseisten tarkoitusten saavuttamista. (69) |
| --- | --- |

(72)

Vuoden 2018 tietosuojalain liitteessä 2 olevan 27 §:n 1 momentin ja 28 §:n 1 momentin mukaan poikkeukset Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksistä ovat mahdollisia, jos niiden soveltaminen ”ehkäisisi tai haittaisi vakavasti” kyseisten tarkoitusten saavuttamista. (69)

69

| (73) | Koska edellä mainitut poikkeukset ovat merkityksellisiä yksilön oikeuksien tehokkaan käyttämisen kannalta, niiden tulkinnassa ja käytännön soveltamisessa tapahtuvat muutokset (johdanto-osan 6 kohdassa selitetyn, maahanmuuton tehokkaan valvonnan säilyttämistä koskevan muutoksen lisäksi), mukaan lukien oikeuskäytännön ja tietosuojavaltuutetun ohjeistuksen ja täytäntöönpanotoimien myöhemmät muutokset, otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. (70) |
| --- | --- |

(73)

Koska edellä mainitut poikkeukset ovat merkityksellisiä yksilön oikeuksien tehokkaan käyttämisen kannalta, niiden tulkinnassa ja käytännön soveltamisessa tapahtuvat muutokset (johdanto-osan 6 kohdassa selitetyn, maahanmuuton tehokkaan valvonnan säilyttämistä koskevan muutoksen lisäksi), mukaan lukien oikeuskäytännön ja tietosuojavaltuutetun ohjeistuksen ja täytäntöönpanotoimien myöhemmät muutokset, otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. (70)

70

2.5.7   Tietojen edelleen siirtämistä koskevat rajoitukset

Tietojen edelleen siirtämistä koskevat rajoitukset

| (74) | Euroopan unionista Yhdistyneen kuningaskunnan rekisterinpitäjille tai henkilötietojen käsittelijöille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan rekisterinpitäjän tai henkilötietojen käsittelijän näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa. Tästä syystä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin sisältyvien, henkilötietojen kansainvälisiä siirtoja koskevien sääntöjen soveltaminen on tärkeä tekijä suojan jatkuvuuden varmistamiseksi, kun henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. |
| --- | --- |

(74)

Euroopan unionista Yhdistyneen kuningaskunnan rekisterinpitäjille tai henkilötietojen käsittelijöille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan rekisterinpitäjän tai henkilötietojen käsittelijän näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa. Tästä syystä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin sisältyvien, henkilötietojen kansainvälisiä siirtoja koskevien sääntöjen soveltaminen on tärkeä tekijä suojan jatkuvuuden varmistamiseksi, kun henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla.

| (75) | Henkilötietojen siirtoa Yhdistyneestä kuningaskunnasta koskeva järjestelmä on vahvistettu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 44–49 artiklassa ja sitä on täydennetty vuoden 2018 tietosuojalailla. Järjestelmä on olennaisilta osiltaan identtinen asetuksen (EU) 2016/679 V luvussa säädetyn järjestelmän kanssa. (71) Sen mukaan henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan tietosuojan riittävyyttä koskevien asetusten nojalla (Yhdistyneen kuningaskunnan vastine asetuksen (EU) 2016/679 mukaiselle tietosuojan riittävyyttä koskevalle päätökselle), tai jos tällaisia asetuksia ei ole annettu, vain jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Jos tietosuojan riittävyyttä koskevia asetuksia tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella. |
| --- | --- |

(75)

Henkilötietojen siirtoa Yhdistyneestä kuningaskunnasta koskeva järjestelmä on vahvistettu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 44–49 artiklassa ja sitä on täydennetty vuoden 2018 tietosuojalailla. Järjestelmä on olennaisilta osiltaan identtinen asetuksen (EU) 2016/679 V luvussa säädetyn järjestelmän kanssa. (71) Sen mukaan henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan tietosuojan riittävyyttä koskevien asetusten nojalla (Yhdistyneen kuningaskunnan vastine asetuksen (EU) 2016/679 mukaiselle tietosuojan riittävyyttä koskevalle päätökselle), tai jos tällaisia asetuksia ei ole annettu, vain jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Jos tietosuojan riittävyyttä koskevia asetuksia tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella.

71

| (76) | Secretary of Staten antamissa tietosuojan riittävyyttä koskevissa asetuksissa voidaan säätää, että kolmas maa (tai kolmannen maan alue tai tietty sektori), kansainvälinen järjestö tai tällaisen maan, alueen, sektorin tai järjestön kuvaus (72) takaa riittävän henkilötietojen suojan. Secretary of Staten on arvioitava tietosuojan riittävyyttä täsmälleen samojen seikkojen perusteella kuin ne, joita komission on arvioitava asetuksen (EU) 2016/679 45 artiklan 2 kohdan a–c alakohdan nojalla, sellaisena kuin sitä on tulkittava yhdessä asetuksen (EU) 2016/679 johdanto-osan 104 kappaleen ja säilytetyn EU:n oikeuskäytännön kanssa. Tämä tarkoittaa sitä, että kolmannen maan tietosuojan riittävyyden arvioimiseksi on selvitettävä, vastaako sen tarjoama suoja ”olennaisilta osin” Yhdistyneessä kuningaskunnassa taattua tietosuojaa. |
| --- | --- |

(76)

Secretary of Staten antamissa tietosuojan riittävyyttä koskevissa asetuksissa voidaan säätää, että kolmas maa (tai kolmannen maan alue tai tietty sektori), kansainvälinen järjestö tai tällaisen maan, alueen, sektorin tai järjestön kuvaus (72) takaa riittävän henkilötietojen suojan. Secretary of Staten on arvioitava tietosuojan riittävyyttä täsmälleen samojen seikkojen perusteella kuin ne, joita komission on arvioitava asetuksen (EU) 2016/679 45 artiklan 2 kohdan a–c alakohdan nojalla, sellaisena kuin sitä on tulkittava yhdessä asetuksen (EU) 2016/679 johdanto-osan 104 kappaleen ja säilytetyn EU:n oikeuskäytännön kanssa. Tämä tarkoittaa sitä, että kolmannen maan tietosuojan riittävyyden arvioimiseksi on selvitettävä, vastaako sen tarjoama suoja ”olennaisilta osin” Yhdistyneessä kuningaskunnassa taattua tietosuojaa.

72

| (77) | Menettelyn osalta tietosuojan riittävyyttä koskeviin asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan asetusten hyväksymistä. (73) Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (74). |
| --- | --- |

(77)

Menettelyn osalta tietosuojan riittävyyttä koskeviin asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan asetusten hyväksymistä. (73) Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (74).

73

74

| (78) | Vuoden 2018 tietosuojalain 17B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että tietty maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi. Nämä menettelylliset näkökohdat vastaavat myös asetuksen (EU) 2016/679 vastaavia vaatimuksia. |
| --- | --- |

(78)

Vuoden 2018 tietosuojalain 17B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että tietty maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi. Nämä menettelylliset näkökohdat vastaavat myös asetuksen (EU) 2016/679 vastaavia vaatimuksia.

| (79) | Jos tietosuojan riittävyyttä koskevaa asetusta ei ole, kansainvälisiä siirtoja voidaan tehdä, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Nämä suojatoimet ovat samankaltaisia kuin asetuksen (EU) 2016/679 46 artiklassa säädetyt suojatoimet. Niihin kuuluvat muun muassa viranomaisten tai julkisten elinten väliset oikeudellisesti sitovat ja täytäntöönpanokelpoiset välineet, yritystä koskevat sitovat säännöt (75), tietosuojaa koskevat vakiolausekkeet, hyväksytyt käytännesäännöt ja sertifiointimekanismit sekä tietosuojavaltuutetun luvalla myös rekisterinpitäjien (tai henkilötietojen käsittelijöiden) väliset sopimuslausekkeet tai viranomaisten väliset hallinnolliset järjestelyt. Sääntöjä on kuitenkin muutettu menettelylliseltä kannalta, jotta ne toimisivat Yhdistyneen kuningaskunnan puitteissa. Näin ollen mm. tietosuojaa koskevat vakiolausekkeet voi hyväksyä vuoden 2018 tietosuojalain nojalla joko Secretary of State (17C §) tai tietosuojavaltuutettu (119A §). |
| --- | --- |

(79)

Jos tietosuojan riittävyyttä koskevaa asetusta ei ole, kansainvälisiä siirtoja voidaan tehdä, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Nämä suojatoimet ovat samankaltaisia kuin asetuksen (EU) 2016/679 46 artiklassa säädetyt suojatoimet. Niihin kuuluvat muun muassa viranomaisten tai julkisten elinten väliset oikeudellisesti sitovat ja täytäntöönpanokelpoiset välineet, yritystä koskevat sitovat säännöt (75), tietosuojaa koskevat vakiolausekkeet, hyväksytyt käytännesäännöt ja sertifiointimekanismit sekä tietosuojavaltuutetun luvalla myös rekisterinpitäjien (tai henkilötietojen käsittelijöiden) väliset sopimuslausekkeet tai viranomaisten väliset hallinnolliset järjestelyt. Sääntöjä on kuitenkin muutettu menettelylliseltä kannalta, jotta ne toimisivat Yhdistyneen kuningaskunnan puitteissa. Näin ollen mm. tietosuojaa koskevat vakiolausekkeet voi hyväksyä vuoden 2018 tietosuojalain nojalla joko Secretary of State (17C §) tai tietosuojavaltuutettu (119A §).

75

| (80) | Jos tietosuojan riittävyyttä koskevaa asetusta tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella. (76) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin poikkeuksiin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin sääntöihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla tiettyjä poikkeuksia voidaan soveltaa vain satunnaisten siirtojen yhteydessä. (77) Lisäksi tietosuojavaltuutettu on selventänyt kansainvälisiä siirtoja koskevissa ohjeissaan, että näitä poikkeuksia olisi sovellettava vain todellisina poikkeuksina siitä yleissäännöstä, jonka mukaan rajoitettua siirtoa ei pitäisi tehdä, ellei siitä ole tehty tietosuojan riittävyyttä koskevaa päätöstä tai toteutettu asianmukaisia suojatoimia (78). Jos siirto on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi (49 artiklan 1 kohdan d alakohta), Secretary of State voi täsmentää säädöksessä ne olosuhteet, joissa henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle ei ole tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Lisäksi Secretary of State voi asetuksilla rajoittaa tietyn henkilötietoryhmän siirtämistä kolmanteen maahan tai kansainväliselle järjestölle, jos siirtoa ei voida tehdä tietosuojan riittävyyttä koskevan asetuksen nojalla ja Secretary of State katsoo, että rajoittaminen on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Tällaisia asetuksia ei ole toistaiseksi annettu. |
| --- | --- |

(80)

Jos tietosuojan riittävyyttä koskevaa asetusta tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella. (76) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin poikkeuksiin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin sääntöihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla tiettyjä poikkeuksia voidaan soveltaa vain satunnaisten siirtojen yhteydessä. (77) Lisäksi tietosuojavaltuutettu on selventänyt kansainvälisiä siirtoja koskevissa ohjeissaan, että näitä poikkeuksia olisi sovellettava vain todellisina poikkeuksina siitä yleissäännöstä, jonka mukaan rajoitettua siirtoa ei pitäisi tehdä, ellei siitä ole tehty tietosuojan riittävyyttä koskevaa päätöstä tai toteutettu asianmukaisia suojatoimia (78). Jos siirto on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi (49 artiklan 1 kohdan d alakohta), Secretary of State voi täsmentää säädöksessä ne olosuhteet, joissa henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle ei ole tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Lisäksi Secretary of State voi asetuksilla rajoittaa tietyn henkilötietoryhmän siirtämistä kolmanteen maahan tai kansainväliselle järjestölle, jos siirtoa ei voida tehdä tietosuojan riittävyyttä koskevan asetuksen nojalla ja Secretary of State katsoo, että rajoittaminen on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Tällaisia asetuksia ei ole toistaiseksi annettu.

76

77

78

| (81) | Kansainvälisiä siirtoja koskevien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä. (79) Vuoden 2018 tietosuojalain liitteessä 21 olevassa 4 kohdassa (otettu käyttöön tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Tällaisia siirtoja ovat muun muassa siirrot, joiden määränpäänä on jokin ETA-valtio, Gibraltarin alue, jokin EU:n perussopimuksilla tai niiden nojalla perustettu EU:n toimielin, elin tai laitos tai kolmas maa, josta EU on ennen siirtymäkauden päättymistä tehnyt tietosuojan riittävyyttä koskevan päätöksen. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista EU:sta. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä. |
| --- | --- |

(81)

Kansainvälisiä siirtoja koskevien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä. (79) Vuoden 2018 tietosuojalain liitteessä 21 olevassa 4 kohdassa (otettu käyttöön tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Tällaisia siirtoja ovat muun muassa siirrot, joiden määränpäänä on jokin ETA-valtio, Gibraltarin alue, jokin EU:n perussopimuksilla tai niiden nojalla perustettu EU:n toimielin, elin tai laitos tai kolmas maa, josta EU on ennen siirtymäkauden päättymistä tehnyt tietosuojan riittävyyttä koskevan päätöksen. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista EU:sta. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä.

79

| (82) | Todettakoon lopuksi, että jos kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää muutetaan, esimerkiksi uusilla tietosuojan riittävyyttä koskevilla asetuksilla, kansainvälisillä sopimuksilla tai muilla siirtomekanismeilla, komissio seuraa tilannetta tiiviisti ja arvioi, käytetäänkö näitä eri siirtomekanismeja tavalla, joka takaa henkilötietojen suojan jatkuvuuden, ja toteuttaa tarvittaessa toimenpiteitä puuttuakseen jatkuvuuteen mahdollisesti kohdistuviin kielteisiin vaikutuksiin (ks. johdanto-osan 278–287 kappale). Koska kansainvälisiä siirtoja koskevat EU:n ja Yhdistyneen kuningaskunnan säännöt ovat hyvin samanlaiset, on odotettavissa, että ongelmalliset eroavuudet voitaisiin ratkaista yhteistyöllä ja vaihtamalla tietoja ja kokemuksia muun muassa Yhdistyneen kuningaskunnan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston kesken. |
| --- | --- |

(82)

Todettakoon lopuksi, että jos kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää muutetaan, esimerkiksi uusilla tietosuojan riittävyyttä koskevilla asetuksilla, kansainvälisillä sopimuksilla tai muilla siirtomekanismeilla, komissio seuraa tilannetta tiiviisti ja arvioi, käytetäänkö näitä eri siirtomekanismeja tavalla, joka takaa henkilötietojen suojan jatkuvuuden, ja toteuttaa tarvittaessa toimenpiteitä puuttuakseen jatkuvuuteen mahdollisesti kohdistuviin kielteisiin vaikutuksiin (ks. johdanto-osan 278–287 kappale). Koska kansainvälisiä siirtoja koskevat EU:n ja Yhdistyneen kuningaskunnan säännöt ovat hyvin samanlaiset, on odotettavissa, että ongelmalliset eroavuudet voitaisiin ratkaista yhteistyöllä ja vaihtamalla tietoja ja kokemuksia muun muassa Yhdistyneen kuningaskunnan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston kesken.

2.5.8   Vastuuvelvollisuus

Vastuuvelvollisuus

| (83) | Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita. |
| --- | --- |

(83)

Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita.

| (84) | Asetuksessa (EU) 2016/679 säädetty vastuuvelvollisuuden periaate on säilytetty Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 2 momentissa ilman olennaisia muutoksia, kuten myös rekisterinpitäjän vastuuta koskeva 24 artikla, sisäänrakennettua ja oletusarvoista tietosuojaa koskeva 25 artikla ja käsittelytoimista laadittavaa selostetta koskeva 30 artikla. Myös 35 artikla (tietosuojaa koskeva vaikutustenarviointi) ja 36 artikla (valvontaviranomaisen ennakkokuuleminen) on säilytetty. Asetuksen (EU) 2016/679 37–39 artikla, joissa säädetään tietosuojavastaavan nimittämisestä ja tehtävistä, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Myös asetuksen (EU) 2016/679 40 artikla (käytännesäännöt) ja 42 artikla (sertifiointi) on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa. (80) |
| --- | --- |

(84)

Asetuksessa (EU) 2016/679 säädetty vastuuvelvollisuuden periaate on säilytetty Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 2 momentissa ilman olennaisia muutoksia, kuten myös rekisterinpitäjän vastuuta koskeva 24 artikla, sisäänrakennettua ja oletusarvoista tietosuojaa koskeva 25 artikla ja käsittelytoimista laadittavaa selostetta koskeva 30 artikla. Myös 35 artikla (tietosuojaa koskeva vaikutustenarviointi) ja 36 artikla (valvontaviranomaisen ennakkokuuleminen) on säilytetty. Asetuksen (EU) 2016/679 37–39 artikla, joissa säädetään tietosuojavastaavan nimittämisestä ja tehtävistä, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Myös asetuksen (EU) 2016/679 40 artikla (käytännesäännöt) ja 42 artikla (sertifiointi) on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa. (80)

80

2.6   Valvonta ja täytäntöönpano

Valvonta ja täytäntöönpano

2.6.1   Riippumaton valvonta

Riippumaton valvonta

| (85) | Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään. |
| --- | --- |

(85)

Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.

| (86) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768. (81) Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa. (82) |
| --- | --- |

(86)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768. (81) Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa. (82)

81

82

| (87) | Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa ei ole tehty mitään olennaisia muutoksia EU:n yleisen tietosuoja-asetuksen 52 artiklan 1–3 kohtaan. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa. |
| --- | --- |

(87)

Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa ei ole tehty mitään olennaisia muutoksia EU:n yleisen tietosuoja-asetuksen 52 artiklan 1–3 kohtaan. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa.

| (88) | Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Hänen Majesteettinsa nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, taidot ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (83) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Lautakunnan lausunto julkaistaan (84). |
| --- | --- |

(88)

Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Hänen Majesteettinsa nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, taidot ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (83) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Lautakunnan lausunto julkaistaan (84).

83

84

| (89) | Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Toimikausien määrä on rajattu yhteen. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella. (85) Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä. (86) |
| --- | --- |

(89)

Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Toimikausien määrä on rajattu yhteen. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella. (85) Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä. (86)

85

86

| (90) | Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (87) (the Data Protection (Charges and Information) Regulations 2018) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (88); ii) hallituksen tietovaltuutetulle maksama tuki, jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset; (89) ja iii) palveluista perittävät maksut. (90) Tällä hetkellä tällaisia maksuja ei peritä. |
| --- | --- |

(90)

Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (87) (the Data Protection (Charges and Information) Regulations 2018) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (88); ii) hallituksen tietovaltuutetulle maksama tuki, jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset; (89) ja iii) palveluista perittävät maksut. (90) Tällä hetkellä tällaisia maksuja ei peritä.

87

88

89

90

| (91) | Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan kuuluvaa henkilötietojen käsittelyä, vahvistetaan tietosuoja-asetuksen 57 artiklassa, joka vastaa läheisesti asetuksen (EU) 2016/679 sääntöjä. Tehtäviin kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen seuranta ja täytäntöönpano, yleisen tietoisuuden edistäminen, rekisteröityjen tekemien valitusten käsittely, tutkimusten suorittaminen jne. Lisäksi vuoden 2018 tietosuojalain 115 §:ssä säädetään tietosuojavaltuutetun muista yleisistä tehtävistä, joihin kuuluu velvollisuus neuvoa parlamenttia, hallitusta ja muita toimielimiä ja elimiä yksilöiden oikeuksien ja vapauksien suojeluun liittyvissä lainsäädännöllisissä ja hallinnollisissa kysymyksissä sekä toimivalta antaa joko oma-aloitteisesti tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille toimielimille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille (ks. johdanto-osan (99)–(103) kappale). |
| --- | --- |

(91)

Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan kuuluvaa henkilötietojen käsittelyä, vahvistetaan tietosuoja-asetuksen 57 artiklassa, joka vastaa läheisesti asetuksen (EU) 2016/679 sääntöjä. Tehtäviin kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen seuranta ja täytäntöönpano, yleisen tietoisuuden edistäminen, rekisteröityjen tekemien valitusten käsittely, tutkimusten suorittaminen jne. Lisäksi vuoden 2018 tietosuojalain 115 §:ssä säädetään tietosuojavaltuutetun muista yleisistä tehtävistä, joihin kuuluu velvollisuus neuvoa parlamenttia, hallitusta ja muita toimielimiä ja elimiä yksilöiden oikeuksien ja vapauksien suojeluun liittyvissä lainsäädännöllisissä ja hallinnollisissa kysymyksissä sekä toimivalta antaa joko oma-aloitteisesti tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille toimielimille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille (ks. johdanto-osan (99)–(103) kappale).

2.6.2   Täytäntöönpanon valvonta, ml. seuraamukset

Täytäntöönpanon valvonta, ml. seuraamukset

| (92) | Tietosuojavaltuutetun toimivalta vahvistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklassa, johon ei ole tehty olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaavaan artiklaan. Vuoden 2018 tietosuojalaissa vahvistetaan täydentävät säännöt tämän toimivallan käytölle. Tietosuojavaltuutetulla on erityisesti toimivalta a) määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (91); b) suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (92); c) hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ym. ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”); d) käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja moitteita tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjiä / henkilötietojen käsittelijöitä määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä, mukaan lukien mikä tahansa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c–g ja j alakohdassa säädetty toimenpide (93); ja e) määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (94). Hallinnollisia sakkoja voidaan määrätä myös siinä tapauksessa, että viranomainen ei ole noudattanut Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (95) |
| --- | --- |

(92)

Tietosuojavaltuutetun toimivalta vahvistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklassa, johon ei ole tehty olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaavaan artiklaan. Vuoden 2018 tietosuojalaissa vahvistetaan täydentävät säännöt tämän toimivallan käytölle. Tietosuojavaltuutetulla on erityisesti toimivalta a) määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (91); b) suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (92); c) hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ym. ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”); d) käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja moitteita tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjiä / henkilötietojen käsittelijöitä määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä, mukaan lukien mikä tahansa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c–g ja j alakohdassa säädetty toimenpide (93); ja e) määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (94). Hallinnollisia sakkoja voidaan määrätä myös siinä tapauksessa, että viranomainen ei ole noudattanut Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (95)

91

92

93

94

95

| (93) | Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä. (96) Rekisterinpitäjän tai henkilötietojen käsittelijän virheen vuoksi annettavassa täytäntöönpanomääräyksessä voidaan määrätä ainoastaan vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina kyseisen virheen korjaamiseksi. Rekisterinpitäjälle ja henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen II luvun säännöksiä (käsittelyperiaatteet), 12–22 artiklaa (rekisteröidyn oikeudet), 25–39 artiklaa (rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet) tai 44–49 artiklaa (kansainväliset siirrot). Täytäntöönpanomääräys voidaan antaa myös silloin kun rekisterinpitäjä on laiminlyönyt vuoden 2018 tietosuojalain 137 §:n nojalla annettuun asetukseen perustuvan maksun suorittamisen. Lisäksi 41 artiklan mukaiselle valvontaelimelle tai sertifioinnin tarjoajalle voidaan antaa täytäntöönpanomääräys, jos ne eivät noudata Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Seuraamusmääräys voidaan antaa myös henkilölle, jonka ei ole noudattanut saamaansa tiedonanto-, arviointi- tai täytäntöönpanomääräystä. |
| --- | --- |

(93)

Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä. (96) Rekisterinpitäjän tai henkilötietojen käsittelijän virheen vuoksi annettavassa täytäntöönpanomääräyksessä voidaan määrätä ainoastaan vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina kyseisen virheen korjaamiseksi. Rekisterinpitäjälle ja henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen II luvun säännöksiä (käsittelyperiaatteet), 12–22 artiklaa (rekisteröidyn oikeudet), 25–39 artiklaa (rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet) tai 44–49 artiklaa (kansainväliset siirrot). Täytäntöönpanomääräys voidaan antaa myös silloin kun rekisterinpitäjä on laiminlyönyt vuoden 2018 tietosuojalain 137 §:n nojalla annettuun asetukseen perustuvan maksun suorittamisen. Lisäksi 41 artiklan mukaiselle valvontaelimelle tai sertifioinnin tarjoajalle voidaan antaa täytäntöönpanomääräys, jos ne eivät noudata Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Seuraamusmääräys voidaan antaa myös henkilölle, jonka ei ole noudattanut saamaansa tiedonanto-, arviointi- tai täytäntöönpanomääräystä.

96

| (94) | Seuraamusmääräyksessä velvoitetaan henkilö maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Päättäessään seuraamusmääräyksen antamisesta ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan 1 ja 2 kohdassa luetellut seikat, jotka vastaavat asetuksen (EU) 2016/679 sääntöjä. (97) Tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdan mukaan näissä säännöksissä tarkoitettujen velvoitteiden laiminlyönnistä voidaan määrätä enintään 8 700 000 tai 17 500 000 punnan hallinnollinen sakko. Yritykselle sakkoja voidaan määrätä myös prosenttiosuutena vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta, jos kyseinen määrä olisi suurempi. Samoin kuin asetuksen (EU) 2016/679 vastaavissa säännöksissä, nämä määrät ovat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan nojalla 2 prosenttia (4 kohta) ja 4 prosenttia (5 kohta). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa, tai jos kyseessä on yritys, 4 prosenttia sen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta. |
| --- | --- |

(94)

Seuraamusmääräyksessä velvoitetaan henkilö maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Päättäessään seuraamusmääräyksen antamisesta ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan 1 ja 2 kohdassa luetellut seikat, jotka vastaavat asetuksen (EU) 2016/679 sääntöjä. (97) Tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdan mukaan näissä säännöksissä tarkoitettujen velvoitteiden laiminlyönnistä voidaan määrätä enintään 8 700 000 tai 17 500 000 punnan hallinnollinen sakko. Yritykselle sakkoja voidaan määrätä myös prosenttiosuutena vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta, jos kyseinen määrä olisi suurempi. Samoin kuin asetuksen (EU) 2016/679 vastaavissa säännöksissä, nämä määrät ovat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan nojalla 2 prosenttia (4 kohta) ja 4 prosenttia (5 kohta). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa, tai jos kyseessä on yritys, 4 prosenttia sen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta.

97

| (95) | Yhdistyneen kuningaskunnan yleisellä tietosuoja-asetuksella on yhdessä vuoden 2018 tietosuojalain kanssa myös vahvistettu tietosuojavaltuutetun muita toimivaltuuksia. Tietosuojavaltuutettu voi nyt esimerkiksi suorittaa pakollisia tarkastuksia kaikille rekisterinpitäjille ja henkilötietojen käsittelijöille käyttäen arviointimääräyksiä, kun aiemman lainsäädännön eli vuoden 1998 tietosuojalain nojalla tietosuojavaltuutetulla oli valtuudet tehdä pakollisia tarkastuksia vain keskushallinnon ja terveydenhuollon elimissä ja muiden oli annettava suostumuksensa tarkastukseen. |
| --- | --- |

(95)

Yhdistyneen kuningaskunnan yleisellä tietosuoja-asetuksella on yhdessä vuoden 2018 tietosuojalain kanssa myös vahvistettu tietosuojavaltuutetun muita toimivaltuuksia. Tietosuojavaltuutettu voi nyt esimerkiksi suorittaa pakollisia tarkastuksia kaikille rekisterinpitäjille ja henkilötietojen käsittelijöille käyttäen arviointimääräyksiä, kun aiemman lainsäädännön eli vuoden 1998 tietosuojalain nojalla tietosuojavaltuutetulla oli valtuudet tehdä pakollisia tarkastuksia vain keskushallinnon ja terveydenhuollon elimissä ja muiden oli annettava suostumuksensa tarkastukseen.

| (96) | Asetuksen (EU) 2016/679 voimaantulon jälkeen tietosuojavaltuutettu on käsitellyt vuosittain noin 40 000 rekisteröityjen tekemää valitusta (98), minkä lisäksi tietosuojavaltuutettu toteuttaa vuosittain noin 2 000 tutkimusta viran puolesta (99). Valtaosa valituksista liittyy tiedonsaantioikeuteen ja tietojen luovuttamiseen. Tietosuojavaltuutettu antaa tutkimustensa perusteella täytäntöönpanomääräyksiä useilla eri aloilla. Tietosuojavaltuutetun viimeisimmän vuosikertomuksen (2019–2020) (100) mukaan kyseisellä raportointikaudella annettiin 54 tiedonantomääräystä, 8 arviointimääräystä, 7 täytäntöönpanomääräystä ja 4 varoitusta sekä nostettiin 8 syytettä ja määrättiin sakkoja 15 tapauksessa (101). |
| --- | --- |

(96)

Asetuksen (EU) 2016/679 voimaantulon jälkeen tietosuojavaltuutettu on käsitellyt vuosittain noin 40 000 rekisteröityjen tekemää valitusta (98), minkä lisäksi tietosuojavaltuutettu toteuttaa vuosittain noin 2 000 tutkimusta viran puolesta (99). Valtaosa valituksista liittyy tiedonsaantioikeuteen ja tietojen luovuttamiseen. Tietosuojavaltuutettu antaa tutkimustensa perusteella täytäntöönpanomääräyksiä useilla eri aloilla. Tietosuojavaltuutetun viimeisimmän vuosikertomuksen (2019–2020) (100) mukaan kyseisellä raportointikaudella annettiin 54 tiedonantomääräystä, 8 arviointimääräystä, 7 täytäntöönpanomääräystä ja 4 varoitusta sekä nostettiin 8 syytettä ja määrättiin sakkoja 15 tapauksessa (101).

98

99

100

101

| (97) | Tähän sisältyy useita asetuksen (EU) 2016/679 ja vuoden 2018 tietosuojalain nojalla määrättyjä merkittäviä taloudellisia seuraamuksia. Esimerkiksi lokakuussa 2020 tietosuojavaltuutettu määräsi eräälle brittiläiselle lentoyhtiölle 20 miljoonan punnan sakot tietoturvaloukkauksesta, joka kohdistui yli 400 000 asiakkaaseen. Lokakuun 2020 lopussa eräälle kansainväliselle hotelliketjulle määrättiin 18,4 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaidensa henkilötietoja riittävästi, ja marraskuussa 2020 eräälle verkossa tapahtumalippuja myyvälle palveluntarjoajalle määrättiin 1,25 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaiden maksutietoja riittävästi. (102) |
| --- | --- |

(97)

Tähän sisältyy useita asetuksen (EU) 2016/679 ja vuoden 2018 tietosuojalain nojalla määrättyjä merkittäviä taloudellisia seuraamuksia. Esimerkiksi lokakuussa 2020 tietosuojavaltuutettu määräsi eräälle brittiläiselle lentoyhtiölle 20 miljoonan punnan sakot tietoturvaloukkauksesta, joka kohdistui yli 400 000 asiakkaaseen. Lokakuun 2020 lopussa eräälle kansainväliselle hotelliketjulle määrättiin 18,4 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaidensa henkilötietoja riittävästi, ja marraskuussa 2020 eräälle verkossa tapahtumalippuja myyvälle palveluntarjoajalle määrättiin 1,25 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaiden maksutietoja riittävästi. (102)

102

| (98) | Koska eräät tietosuojalainsäädännön rikkomiset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan (92) kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista tahallisesti tai tuottamuksellisesti ilman rekisterinpitäjän suostumusta, henkilötietojen luovuttamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (103), anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (104), tahallinen toiminta, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (105), väärien lausuntojen antaminen tiedonantomääräyksen perusteella tai tietojen tuhoaminen tiedonanto- ja arviointimääräysten yhteydessä (106). |
| --- | --- |

(98)

Koska eräät tietosuojalainsäädännön rikkomiset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan (92) kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista tahallisesti tai tuottamuksellisesti ilman rekisterinpitäjän suostumusta, henkilötietojen luovuttamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (103), anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (104), tahallinen toiminta, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (105), väärien lausuntojen antaminen tiedonantomääräyksen perusteella tai tietojen tuhoaminen tiedonanto- ja arviointimääräysten yhteydessä (106).

103

104

105

106

2.6.3   Oikeuslaitoksen valvonta

Oikeuslaitoksen valvonta

| (99) | Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (107), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin asetuksen (EU) 2016/679 55 artiklan 3 kohdassa. |
| --- | --- |

(99)

Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (107), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin asetuksen (EU) 2016/679 55 artiklan 3 kohdassa.

107

| (100) | Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (108). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (109), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (110) ja Skotlannin (111) oikeusviranomaiset. |
| --- | --- |

(100)

Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (108). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (109), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (110) ja Skotlannin (111) oikeusviranomaiset.

108

109

110

111

| (101) | Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (112). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä. (113) |
| --- | --- |

(101)

Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (112). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä. (113)

112

113

| (102) | Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä. (114) |
| --- | --- |

(102)

Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä. (114)

114

| (103) | Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa. |
| --- | --- |

(103)

Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa.

2.6.4   Oikeussuojakeinot

Oikeussuojakeinot

| (104) | Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta. |
| --- | --- |

(104)

Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta.

| (105) | Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (115) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty tätä koskeva asetuksen (EU) 2016/679 77 artiklan sisältö ilman olennaisia muutoksia. Sama koskee 57 artiklan 1 kohdan f alakohtaa ja 2 kohtaa, joissa säädetään valitusten käsittelyyn liittyvistä tietosuojavaltuutetun tehtävistä. Kuten johdanto-osan 92–98 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ja vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja. |
| --- | --- |

(105)

Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (115) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty tätä koskeva asetuksen (EU) 2016/679 77 artiklan sisältö ilman olennaisia muutoksia. Sama koskee 57 artiklan 1 kohdan f alakohtaa ja 2 kohtaa, joissa säädetään valitusten käsittelyyn liittyvistä tietosuojavaltuutetun tehtävistä. Kuten johdanto-osan 92–98 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ja vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja.

115

| (106) | Toiseksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin häntä itseään koskevaa tietosuojavaltuutetun oikeudellisesti sitovaa päätöstä vastaan. Tuomioistuinvalvonnan yhteydessä tuomari tutkii kantelun kohteena olevan päätöksen selvittääkseen, onko tietosuojavaltuutettu toiminut lainmukaisesti. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohdassa säädetään, että jos tietosuojavaltuutettu ei käsittele rekisteröidyn valitusta asianmukaisesti, (116) valituksen tekijällä on oikeus oikeussuojakeinoihin. Hän voi pyytää, että First Tier Tribunal -tuomioistuin määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (117) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. (118) Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä. |
| --- | --- |

(106)

Toiseksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin häntä itseään koskevaa tietosuojavaltuutetun oikeudellisesti sitovaa päätöstä vastaan. Tuomioistuinvalvonnan yhteydessä tuomari tutkii kantelun kohteena olevan päätöksen selvittääkseen, onko tietosuojavaltuutettu toiminut lainmukaisesti. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohdassa säädetään, että jos tietosuojavaltuutettu ei käsittele rekisteröidyn valitusta asianmukaisesti, (116) valituksen tekijällä on oikeus oikeussuojakeinoihin. Hän voi pyytää, että First Tier Tribunal -tuomioistuin määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (117) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. (118) Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä.

116

117

118

| (107) | Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 79 artiklan ja vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä. |
| --- | --- |

(107)

Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 79 artiklan ja vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä.

| (108) | Lisäksi kaikilla sellaisilla henkilöillä, jotka ovat kärsineet aineellista tai aineetonta vahinkoa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten rikkomisen vuoksi, on tietosuoja-asetuksen 82 artiklan tai vuoden 2018 tietosuojalain 168 §:n nojalla oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 82 artiklan 1–5 kohdassa olevat korvauksia ja vastuuta koskevat säännöt ovat identtiset asetuksen (EU) 2016/679 vastaavien sääntöjen kanssa. Vuoden 2018 tietosuojalain 168 §:n nojalla aineettomiin vahinkoihin sisältyy myös kärsimys. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 80 artiklan nojalla rekisteröidyllä on myös oikeus valtuuttaa jokin elin tai organisaatio tekemään puolestaan valitus tietosuojavaltuutetulle (77 §) ja käyttämään oikeuksia, joista säädetään 78 §:ssä (oikeus tehokkaisiin oikeudellisiin oikeussuojakeinoihin tietosuojavaltuutettua vastaan), 79 §:ssä (oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan) ja 82 §:ssä (vastuu ja oikeus korvauksen saamiseen). |
| --- | --- |

(108)

Lisäksi kaikilla sellaisilla henkilöillä, jotka ovat kärsineet aineellista tai aineetonta vahinkoa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten rikkomisen vuoksi, on tietosuoja-asetuksen 82 artiklan tai vuoden 2018 tietosuojalain 168 §:n nojalla oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 82 artiklan 1–5 kohdassa olevat korvauksia ja vastuuta koskevat säännöt ovat identtiset asetuksen (EU) 2016/679 vastaavien sääntöjen kanssa. Vuoden 2018 tietosuojalain 168 §:n nojalla aineettomiin vahinkoihin sisältyy myös kärsimys. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 80 artiklan nojalla rekisteröidyllä on myös oikeus valtuuttaa jokin elin tai organisaatio tekemään puolestaan valitus tietosuojavaltuutetulle (77 §) ja käyttämään oikeuksia, joista säädetään 78 §:ssä (oikeus tehokkaisiin oikeudellisiin oikeussuojakeinoihin tietosuojavaltuutettua vastaan), 79 §:ssä (oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan) ja 82 §:ssä (vastuu ja oikeus korvauksen saamiseen).

| (109) | Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi edellä mainittujen oikeussuojakeinojen lisäksi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. (119) Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri. |
| --- | --- |

(109)

Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi edellä mainittujen oikeussuojakeinojen lisäksi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. (119) Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri.

119

| (110) | Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa myöntää sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi. (120) Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa. |
| --- | --- |

(110)

Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa myöntää sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi. (120) Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa.

120

| (111) | Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu. |
| --- | --- |

(111)

Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu.

3.   VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA YHDISTYNEESEEN KUNINGASKUNTAAN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ

VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA YHDISTYNEESEEN KUNINGASKUNTAAN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ

| (112) | Komissio on arvioinut Yhdistyneen kuningaskunnan lainsäädäntökehystä myös siltä osin kuin on kyse siitä, kuinka viranomaiset voivat kerätä ja käyttää Yhdistyneen kuningaskunnan toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten, jäljempänä ’viranomaisten pääsy tietoihin’. Kun komissio arvioi, vastaavatko edellytykset, joiden nojalla viranomaiset käyttävät Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla siirrettyjä tietoja, ”olennaisilta osin” asetuksen (EU) 2016/679 45 artiklan 1 kohdassa esitettyjä vaatimuksia, sellaisena kuin Euroopan unionin tuomioistuin on niitä tulkinnut perusoikeuskirjan valossa, se ottaa huomioon erityisesti seuraavat kriteerit. |
| --- | --- |

(112)

Komissio on arvioinut Yhdistyneen kuningaskunnan lainsäädäntökehystä myös siltä osin kuin on kyse siitä, kuinka viranomaiset voivat kerätä ja käyttää Yhdistyneen kuningaskunnan toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten, jäljempänä ’viranomaisten pääsy tietoihin’. Kun komissio arvioi, vastaavatko edellytykset, joiden nojalla viranomaiset käyttävät Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla siirrettyjä tietoja, ”olennaisilta osin” asetuksen (EU) 2016/679 45 artiklan 1 kohdassa esitettyjä vaatimuksia, sellaisena kuin Euroopan unionin tuomioistuin on niitä tulkinnut perusoikeuskirjan valossa, se ottaa huomioon erityisesti seuraavat kriteerit.

| (113) | Ensinnäkin kaikista henkilötietojen suojaa koskevan oikeuden rajoituksista on säädettävä lailla, ja itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus. (121) |
| --- | --- |

(113)

Ensinnäkin kaikista henkilötietojen suojaa koskevan oikeuden rajoituksista on säädettävä lailla, ja itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus. (121)

121

| (114) | Toiseksi, sen oikeasuhteisuutta koskevan vaatimuksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on ehdottoman välttämätöntä demokraattisessa yhteiskunnassa, jotta voidaan saavuttaa yleisen edun mukaiset tavoitteet, jotka vastaavat unionin tunnustamia tavoitteita, asianomaisen kolmannen maan lainsäädännössä, jossa sallitaan puuttuminen henkilötietojen suojaan, on vahvistettava selkeät ja täsmälliset säännöt, joilla säännellään kyseisten toimenpiteiden soveltamisalaa ja soveltamista ja vahvistetaan vähimmäistakeet, niin että henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden nojalla heidän henkilötietojaan suojataan tehokkaasti väärinkäytön riskiltä. (122) Tällaisessa lainsäädännössä on erityisesti ilmoitettava, missä olosuhteissa ja millä edellytyksillä tällaisten henkilötietojen käsittelyä koskeva toimenpide voidaan toteuttaa (123), ja säädettävä, että tällaisten vaatimusten täyttämiseen on sovellettava riippumatonta valvontaa (124). |
| --- | --- |

(114)

Toiseksi, sen oikeasuhteisuutta koskevan vaatimuksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on ehdottoman välttämätöntä demokraattisessa yhteiskunnassa, jotta voidaan saavuttaa yleisen edun mukaiset tavoitteet, jotka vastaavat unionin tunnustamia tavoitteita, asianomaisen kolmannen maan lainsäädännössä, jossa sallitaan puuttuminen henkilötietojen suojaan, on vahvistettava selkeät ja täsmälliset säännöt, joilla säännellään kyseisten toimenpiteiden soveltamisalaa ja soveltamista ja vahvistetaan vähimmäistakeet, niin että henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden nojalla heidän henkilötietojaan suojataan tehokkaasti väärinkäytön riskiltä. (122) Tällaisessa lainsäädännössä on erityisesti ilmoitettava, missä olosuhteissa ja millä edellytyksillä tällaisten henkilötietojen käsittelyä koskeva toimenpide voidaan toteuttaa (123), ja säädettävä, että tällaisten vaatimusten täyttämiseen on sovellettava riippumatonta valvontaa (124).

122

123

124

| (115) | Kolmanneksi tällaisen lainsäädännön on oltava kansallisen oikeuden nojalla oikeudellisesti sitovaa, ja sen lisäksi, että oikeudellisten vaatimusten on sidottava viranomaisia, niihin on myös voitava vedota viranomaisia vastaan asianomaisen kolmannen maan tuomioistuimissa. (125) Rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (126) |
| --- | --- |

(115)

Kolmanneksi tällaisen lainsäädännön on oltava kansallisen oikeuden nojalla oikeudellisesti sitovaa, ja sen lisäksi, että oikeudellisten vaatimusten on sidottava viranomaisia, niihin on myös voitava vedota viranomaisia vastaan asianomaisen kolmannen maan tuomioistuimissa. (125) Rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (126)

125

126

3.1   Yleinen oikeudellinen kehys

Yleinen oikeudellinen kehys

| (116) | Viranomaisten pääsy tietoihin Yhdistyneessä kuningaskunnassa osana julkisen vallan käyttöä on toteutettava kaikilta osin lain mukaisesti. Yhdistynyt kuningaskunta on ratifioinut Euroopan ihmisoikeussopimuksen (ks. johdanto-osan 9 kappale), ja kaikkien sen viranomaisten on noudatettava kyseistä sopimusta. (127) Ihmisoikeussopimuksen 8 artiklan mukaan yksityisyydensuojaa koskevan oikeuden käyttämiseen voidaan puuttua vain kun laki sen sallii ja se on välttämätöntä jonkin 8 artiklan 2 kohdassa asetetun tavoitteen vuoksi ja oikeassa suhteessa näihin tavoitteisiin nähden. Lisäksi 8 artiklassa edellytetään, että laki ”sallii” puuttumisen, eli että laissa on sille selkeä ja helposti saatavilla oleva peruste ja asianmukaiset takeet väärinkäytösten estämiseksi. |
| --- | --- |

(116)

Viranomaisten pääsy tietoihin Yhdistyneessä kuningaskunnassa osana julkisen vallan käyttöä on toteutettava kaikilta osin lain mukaisesti. Yhdistynyt kuningaskunta on ratifioinut Euroopan ihmisoikeussopimuksen (ks. johdanto-osan 9 kappale), ja kaikkien sen viranomaisten on noudatettava kyseistä sopimusta. (127) Ihmisoikeussopimuksen 8 artiklan mukaan yksityisyydensuojaa koskevan oikeuden käyttämiseen voidaan puuttua vain kun laki sen sallii ja se on välttämätöntä jonkin 8 artiklan 2 kohdassa asetetun tavoitteen vuoksi ja oikeassa suhteessa näihin tavoitteisiin nähden. Lisäksi 8 artiklassa edellytetään, että laki ”sallii” puuttumisen, eli että laissa on sille selkeä ja helposti saatavilla oleva peruste ja asianmukaiset takeet väärinkäytösten estämiseksi.

127

| (117) | Euroopan ihmisoikeustuomioistuin on myös täsmentänyt oikeuskäytännössään, että puuttuminen yksityisyyttä ja tietosuojaa koskevaan oikeuteen edellyttää tehokasta, riippumatonta ja puolueetonta valvontajärjestelmää, josta vastaa joko tuomari tai muu riippumaton elin (128) (esim. hallintoviranomainen tai parlamentaarinen elin). |
| --- | --- |

(117)

Euroopan ihmisoikeustuomioistuin on myös täsmentänyt oikeuskäytännössään, että puuttuminen yksityisyyttä ja tietosuojaa koskevaan oikeuteen edellyttää tehokasta, riippumatonta ja puolueetonta valvontajärjestelmää, josta vastaa joko tuomari tai muu riippumaton elin (128) (esim. hallintoviranomainen tai parlamentaarinen elin).

128

| (118) | Lisäksi yksilöillä on oltava tehokkaat oikeussuojakeinot. Euroopan ihmisoikeustuomioistuin on selventänyt, että oikeussuojakeinoja on voitava käyttää riippumattomassa ja puolueettomassa elimessä, joka on vahvistanut oman työjärjestyksensä ja joka koostuu jäsenistä, joilla on kokemusta tuomarin viran hoitamisesta tai jotka ovat kokeneita juristeja. Hakemuksen esittäminen tälle elimelle ei myöskään saa edellyttää todistustaakkaa. Kun tämä riippumaton ja puolueeton elin ryhtyy tutkimaan yksilöiden tekemiä valituksia, sillä olisi oltava pääsy kaikkiin asiaankuuluviin tietoihin, myös suojattuihin aineistoihin. Elimellä olisi myös oltava valtuudet korjata tietosuojasääntöjen rikkominen (129). |
| --- | --- |

(118)

Lisäksi yksilöillä on oltava tehokkaat oikeussuojakeinot. Euroopan ihmisoikeustuomioistuin on selventänyt, että oikeussuojakeinoja on voitava käyttää riippumattomassa ja puolueettomassa elimessä, joka on vahvistanut oman työjärjestyksensä ja joka koostuu jäsenistä, joilla on kokemusta tuomarin viran hoitamisesta tai jotka ovat kokeneita juristeja. Hakemuksen esittäminen tälle elimelle ei myöskään saa edellyttää todistustaakkaa. Kun tämä riippumaton ja puolueeton elin ryhtyy tutkimaan yksilöiden tekemiä valituksia, sillä olisi oltava pääsy kaikkiin asiaankuuluviin tietoihin, myös suojattuihin aineistoihin. Elimellä olisi myös oltava valtuudet korjata tietosuojasääntöjen rikkominen (129).

129

| (119) | Yhdistynyt kuningaskunta on ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja allekirjoittanut vuonna 2018 sen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+). (130) Yleissopimuksen N:o 108 9 artiklan mukaan poikkeukset yleisistä tietosuojaperiaatteista (5 artikla Tietojen laatu), erityisiä tietoryhmiä koskevista säännöistä (6 artikla Erityiset tietoryhmät) ja rekisteröidyn oikeuksista (8 artikla Lisätoimet rekisteröidyn suojelemiseksi) on sallittu ainoastaan silloin, kun sellaisesta poikkeamisesta on sopimuspuolen lainsäädännössä säädetty ja se on välttämätöntä demokraattisessa yhteiskunnassa valtion turvallisuuden, yleisen turvallisuuden, valtion rahatalouden etujen suojaamiseksi tai rikosten ehkäisemiseksi tai rekisteröidyn tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. (131) |
| --- | --- |

(119)

Yhdistynyt kuningaskunta on ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja allekirjoittanut vuonna 2018 sen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+). (130) Yleissopimuksen N:o 108 9 artiklan mukaan poikkeukset yleisistä tietosuojaperiaatteista (5 artikla Tietojen laatu), erityisiä tietoryhmiä koskevista säännöistä (6 artikla Erityiset tietoryhmät) ja rekisteröidyn oikeuksista (8 artikla Lisätoimet rekisteröidyn suojelemiseksi) on sallittu ainoastaan silloin, kun sellaisesta poikkeamisesta on sopimuspuolen lainsäädännössä säädetty ja se on välttämätöntä demokraattisessa yhteiskunnassa valtion turvallisuuden, yleisen turvallisuuden, valtion rahatalouden etujen suojaamiseksi tai rikosten ehkäisemiseksi tai rekisteröidyn tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. (131)

130

131

| (120) | Koska Yhdistynyt kuningaskunta on Euroopan neuvoston jäsen ja Euroopan ihmisoikeussopimuksen osapuoli, joka kuuluu Euroopan ihmisoikeustuomioistuimen lainkäyttövallan piiriin, sillä on erilaisia kansainvälisessä oikeudessa vahvistettuja velvoitteita, joiden nojalla viranomaisten pääsyä tietoihin sääntelevät periaatteet, takeet ja yksilön oikeudet ovat hyvin samanlaisia kuin jäsenvaltioihin sovellettavat EU:n oikeudessa taatut periaatteet, takeet ja yksilön oikeudet. Kuten johdanto-osan 19 kappaleessa korostetaan, mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä. |
| --- | --- |

(120)

Koska Yhdistynyt kuningaskunta on Euroopan neuvoston jäsen ja Euroopan ihmisoikeussopimuksen osapuoli, joka kuuluu Euroopan ihmisoikeustuomioistuimen lainkäyttövallan piiriin, sillä on erilaisia kansainvälisessä oikeudessa vahvistettuja velvoitteita, joiden nojalla viranomaisten pääsyä tietoihin sääntelevät periaatteet, takeet ja yksilön oikeudet ovat hyvin samanlaisia kuin jäsenvaltioihin sovellettavat EU:n oikeudessa taatut periaatteet, takeet ja yksilön oikeudet. Kuten johdanto-osan 19 kappaleessa korostetaan, mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

| (121) | Lisäksi vuoden 2018 tietosuojalailla taataan erityiset tietosuojatakeet ja -oikeudet silloin kun tietoja käsittelevät viranomaiset, mukaan lukien lainvalvontaviranomaiset ja kansalliset turvallisuuselimet. |
| --- | --- |

(121)

Lisäksi vuoden 2018 tietosuojalailla taataan erityiset tietosuojatakeet ja -oikeudet silloin kun tietoja käsittelevät viranomaiset, mukaan lukien lainvalvontaviranomaiset ja kansalliset turvallisuuselimet.

| (122) | Esimerkiksi säännöt henkilötietojen käsittelystä rikosoikeudellisen täytäntöönpanon yhteydessä sisältyvät vuoden 2018 tietosuojalain 3 osaan; laki on annettu direktiivin (EU) 2016/680 saattamiseksi osaksi kansallista lainsäädäntöä. Tietosuojalain 3 osaa sovelletaan henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. (132) |
| --- | --- |

(122)

Esimerkiksi säännöt henkilötietojen käsittelystä rikosoikeudellisen täytäntöönpanon yhteydessä sisältyvät vuoden 2018 tietosuojalain 3 osaan; laki on annettu direktiivin (EU) 2016/680 saattamiseksi osaksi kansallista lainsäädäntöä. Tietosuojalain 3 osaa sovelletaan henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. (132)

132

| (123) | Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. (133) Kuten jäljempänä selitetään (ks. johdanto-osan 139 kappale), eräät toimivaltaiset viranomaiset (esimerkiksi kansallinen rikosvirasto NCA) voivat tietyin edellytyksin käyttää vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia valtuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Tiedustelupalvelut (salainen tiedustelupalvelu (Secret Intelligence Service), turvallisuuspalvelu (Security Service) ja tiedustelupalvelu (Government Communications Headquarters)) eivät ole vuoden 2018 tietosuojalain 3 osassa tarkoitettuja toimivaltaisia viranomaisia (134), minkä vuoksi siinä vahvistettuja sääntöjä ei sovelleta mihinkään niiden toimiin. Tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä säännellään vuoden 2018 tietosuojalaissa erikseen (4 osassa; ks. tarkemmin johdanto-osan 125 kappale). |
| --- | --- |

(123)

Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. (133) Kuten jäljempänä selitetään (ks. johdanto-osan 139 kappale), eräät toimivaltaiset viranomaiset (esimerkiksi kansallinen rikosvirasto NCA) voivat tietyin edellytyksin käyttää vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia valtuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Tiedustelupalvelut (salainen tiedustelupalvelu (Secret Intelligence Service), turvallisuuspalvelu (Security Service) ja tiedustelupalvelu (Government Communications Headquarters)) eivät ole vuoden 2018 tietosuojalain 3 osassa tarkoitettuja toimivaltaisia viranomaisia (134), minkä vuoksi siinä vahvistettuja sääntöjä ei sovelleta mihinkään niiden toimiin. Tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä säännellään vuoden 2018 tietosuojalaissa erikseen (4 osassa; ks. tarkemmin johdanto-osan 125 kappale).

133

134

| (124) | Samoin kuin direktiivissä (EU) 2016/680, vuoden 2018 tietosuojalain 3 osassa säädetään lainmukaisuuden ja kohtuullisuuden periaatteista (135), käyttötarkoituksen rajoittamisesta (136), tietojen minimoinnista (137), täsmällisyydestä (138), säilytyksen rajoittamisesta (139) ja tietoturvasta (140). Lainsäädännössä asetetaan erityisiä läpinäkyvyyttä koskevia velvoitteita (141) ja myönnetään yksilöille oikeus tutustua tietoihin (142), oikaista ja poistaa ne (143) sekä oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi (144). Toimivaltaisten viranomaisten on myös toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja, pidettävä kirjaa käsittelytoimista ja tiettyjen ja toteutettava tiettyjen käsittelytoimien osalta vaikutustenarviointeja ja kuultava etukäteen tietosuojavaltuutettua. (145) Vuoden 2018 tietosuojalain 56 §:n nojalla viranomaisten on osoitettava, että vaatimuksia noudatetaan. Niiden on myös otettava käyttöön asianmukaiset toimenpiteet käsittelyn turvallisuuden varmistamiseksi (146), minkä lisäksi niille on osoitettu erityisiä velvoitteita tietoturvaloukkauksen tapahtuessa, muun muassa velvollisuus ilmoittaa tällaisista loukkauksista tietosuojavaltuutetulle ja rekisteröidyille. (147) Samoin kuin direktiivissä (EU) 2016/680, rekisterinpitäjälle (silloin kun kyseessä ei ole tuomioistuin tai muu oikeusviranomainen, joka hoitaa lainkäyttötehtäviä) on asetettu velvollisuus nimittää tietosuojavastaava (148), joka avustaa rekisterinpitäjää sen velvollisuuksien täyttämisessä ja noudattamisen seurannassa. (149) Lisäksi lainsäädännössä asetetaan erityisiä vaatimuksia lainkäyttötarkoituksessa tehtävälle henkilötietojen siirtämiselle kolmansiin maihin tai kansainvälisille järjestöille, jotta voidaan varmistaa suojelun jatkuvuus. (150) Komissio on antanut samaan aikaan tämän päätöksen kanssa tietosuojan riittävyyttä koskevan päätöksen, joka perustuu direktiivin (EU) 2016/680 36 artiklan 3 kohtaan ja jonka mukaan Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaan tietojenkäsittelyyn sovellettava tietosuojajärjestelmä takaa tietosuojan tason, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tietosuojan tasoa. |
| --- | --- |

(124)

Samoin kuin direktiivissä (EU) 2016/680, vuoden 2018 tietosuojalain 3 osassa säädetään lainmukaisuuden ja kohtuullisuuden periaatteista (135), käyttötarkoituksen rajoittamisesta (136), tietojen minimoinnista (137), täsmällisyydestä (138), säilytyksen rajoittamisesta (139) ja tietoturvasta (140). Lainsäädännössä asetetaan erityisiä läpinäkyvyyttä koskevia velvoitteita (141) ja myönnetään yksilöille oikeus tutustua tietoihin (142), oikaista ja poistaa ne (143) sekä oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi (144). Toimivaltaisten viranomaisten on myös toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja, pidettävä kirjaa käsittelytoimista ja tiettyjen ja toteutettava tiettyjen käsittelytoimien osalta vaikutustenarviointeja ja kuultava etukäteen tietosuojavaltuutettua. (145) Vuoden 2018 tietosuojalain 56 §:n nojalla viranomaisten on osoitettava, että vaatimuksia noudatetaan. Niiden on myös otettava käyttöön asianmukaiset toimenpiteet käsittelyn turvallisuuden varmistamiseksi (146), minkä lisäksi niille on osoitettu erityisiä velvoitteita tietoturvaloukkauksen tapahtuessa, muun muassa velvollisuus ilmoittaa tällaisista loukkauksista tietosuojavaltuutetulle ja rekisteröidyille. (147) Samoin kuin direktiivissä (EU) 2016/680, rekisterinpitäjälle (silloin kun kyseessä ei ole tuomioistuin tai muu oikeusviranomainen, joka hoitaa lainkäyttötehtäviä) on asetettu velvollisuus nimittää tietosuojavastaava (148), joka avustaa rekisterinpitäjää sen velvollisuuksien täyttämisessä ja noudattamisen seurannassa. (149) Lisäksi lainsäädännössä asetetaan erityisiä vaatimuksia lainkäyttötarkoituksessa tehtävälle henkilötietojen siirtämiselle kolmansiin maihin tai kansainvälisille järjestöille, jotta voidaan varmistaa suojelun jatkuvuus. (150) Komissio on antanut samaan aikaan tämän päätöksen kanssa tietosuojan riittävyyttä koskevan päätöksen, joka perustuu direktiivin (EU) 2016/680 36 artiklan 3 kohtaan ja jonka mukaan Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaan tietojenkäsittelyyn sovellettava tietosuojajärjestelmä takaa tietosuojan tason, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tietosuojan tasoa.

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

| (125) | Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään erityisesti tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (151); käyttötarkoituksen rajoittaminen (152); tietojen minimointi (153); täsmällisyys (154); säilyttämisen rajoittaminen (155) ja turvallisuus (156)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (157), säädetään rekisteröityjen oikeuksista (158), edellytetään sisäänrakennettua tietosuojaa (159) ja säännellään henkilötietojen kansainvälisiä siirtoja (160). Tietosuojavaltuutettu on äskettäin antanut yksityiskohtaisia ohjeita tiedustelutietojen käsittelystä vuoden 2018 tietosuojalain 4 osan nojalla. (161) |
| --- | --- |

(125)

Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään erityisesti tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (151); käyttötarkoituksen rajoittaminen (152); tietojen minimointi (153); täsmällisyys (154); säilyttämisen rajoittaminen (155) ja turvallisuus (156)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (157), säädetään rekisteröityjen oikeuksista (158), edellytetään sisäänrakennettua tietosuojaa (159) ja säännellään henkilötietojen kansainvälisiä siirtoja (160). Tietosuojavaltuutettu on äskettäin antanut yksityiskohtaisia ohjeita tiedustelutietojen käsittelystä vuoden 2018 tietosuojalain 4 osan nojalla. (161)

151

152

153

154

155

156

157

158

159

160

161

| (126) | Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan erityissäännöksiä koskevasta poikkeuksesta (162) silloin kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella. (163) Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle”. (164) Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (165). |
| --- | --- |

(126)

Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan erityissäännöksiä koskevasta poikkeuksesta (162) silloin kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella. (163) Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle”. (164) Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (165).

162

163

164

165

| (127) | Lisäksi mahdollisuudesta rajoittaa edellä mainittujen säännösten soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 111 §:ssä säädetään, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi. (166) |
| --- | --- |

(127)

Lisäksi mahdollisuudesta rajoittaa edellä mainittujen säännösten soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 111 §:ssä säädetään, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi. (166)

166

| (128) | Yhdistyneen kuningaskunnan hallitus on antanut ohjeita auttaakseen rekisterinpitäjiä sen arvioimisessa, olisiko niiden haettava kansallista turvallisuutta koskevaa todistusta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä. (167) Kaikki kansallisen turvallisuuden nojalla annetut todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla. (168) |
| --- | --- |

(128)

Yhdistyneen kuningaskunnan hallitus on antanut ohjeita auttaakseen rekisterinpitäjiä sen arvioimisessa, olisiko niiden haettava kansallista turvallisuutta koskevaa todistusta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä. (167) Kaikki kansallisen turvallisuuden nojalla annetut todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla. (168)

167

168

| (129) | Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen. (169) Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan. (170) |
| --- | --- |

(129)

Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen. (169) Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan. (170)

169

170

| (130) | On huomattava, että kansalliseen turvallisuuteen perustuvat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota edellä esitetyn mukaisesti on sovellettava tapauskohtaisesti. (171) Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua. (172) |
| --- | --- |

(130)

On huomattava, että kansalliseen turvallisuuteen perustuvat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota edellä esitetyn mukaisesti on sovellettava tapauskohtaisesti. (171) Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua. (172)

171

172

| (131) | Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (173) muutosta todistukseen (174), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin. (175) Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy. (176) Tuomioistuin voi tarkastella tätä varten erilaisia seikkoja, kuten tarpeellisuutta, oikeasuhteisuutta ja lainmukaisuutta, ottaen huomioon todistuksen vaikutukset rekisteröityjen oikeuksiin ja tasapainottaen niitä suhteessa tarpeeseen varmistaa kansallinen turvallisuus. Tämän perusteella tuomioistuin voi päättää, että todistusta ei sovelleta muutoksenhaun kohteena oleviin henkilötietoihin. (177) |
| --- | --- |

(131)

Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (173) muutosta todistukseen (174), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin. (175) Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy. (176) Tuomioistuin voi tarkastella tätä varten erilaisia seikkoja, kuten tarpeellisuutta, oikeasuhteisuutta ja lainmukaisuutta, ottaen huomioon todistuksen vaikutukset rekisteröityjen oikeuksiin ja tasapainottaen niitä suhteessa tarpeeseen varmistaa kansallinen turvallisuus. Tämän perusteella tuomioistuin voi päättää, että todistusta ei sovelleta muutoksenhaun kohteena oleviin henkilötietoihin. (177)

173

174

175

176

177

| (132) | Muita mahdollisia rajoituksia voidaan soveltaa vuoden 2018 tietosuojalain liitteen 11 nojalla tiettyihin tietosuojalain 4 osan säännöksiin (178) muiden yleisen edun mukaisten tärkeiden tavoitteiden tai sellaisten suojattujen etujen turvaamiseksi kuin esimerkiksi parlamentaarinen koskemattomuus, asianajosalaisuus, oikeudenkäynnin kulku tai asevoimien toimintakyky. (179) Näiden säännösten soveltaminen on joko vapautettu tiettyjen tietoryhmien osalta (”luokitusperusteinen vapautus”) tai siltä osin kuin niiden soveltaminen todennäköisesti vahingoittaisi kyseistä suojattua etua (”vahinkoperusteinen vapautus”). (180) Vahinkoperusteisiin vapautuksiin voidaan vedota vain siltä osin kuin säännöksessä lueteltujen tietosuojasäännösten soveltaminen todennäköisesti vahingoittaisi kyseessä olevaa etua. Tämä tarkoittaa, että vapautuksen soveltaminen on aina perusteltava viittaamalla vahinkoon, jonka sen soveltaminen kyseisessä yksittäisessä tapauksessa todennäköisesti aiheuttaisi. Luokitusperusteisiin vapautuksiin voidaan vedota vain niiden rajoitettujen tietoryhmien osalta, joiden osalta vapautus myönnetään. Nämä ovat tarkoitukseltaan ja vaikutuksiltaan samantapaisia kuin monet Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (vuoden 2018 tietosuojalain liitteen 2 nojalla) sovellettavat poikkeukset, jotka puolestaan vastaavat EU:n tietosuoja-asetuksen 23 artiklan säännöksiä. |
| --- | --- |

(132)

Muita mahdollisia rajoituksia voidaan soveltaa vuoden 2018 tietosuojalain liitteen 11 nojalla tiettyihin tietosuojalain 4 osan säännöksiin (178) muiden yleisen edun mukaisten tärkeiden tavoitteiden tai sellaisten suojattujen etujen turvaamiseksi kuin esimerkiksi parlamentaarinen koskemattomuus, asianajosalaisuus, oikeudenkäynnin kulku tai asevoimien toimintakyky. (179) Näiden säännösten soveltaminen on joko vapautettu tiettyjen tietoryhmien osalta (”luokitusperusteinen vapautus”) tai siltä osin kuin niiden soveltaminen todennäköisesti vahingoittaisi kyseistä suojattua etua (”vahinkoperusteinen vapautus”). (180) Vahinkoperusteisiin vapautuksiin voidaan vedota vain siltä osin kuin säännöksessä lueteltujen tietosuojasäännösten soveltaminen todennäköisesti vahingoittaisi kyseessä olevaa etua. Tämä tarkoittaa, että vapautuksen soveltaminen on aina perusteltava viittaamalla vahinkoon, jonka sen soveltaminen kyseisessä yksittäisessä tapauksessa todennäköisesti aiheuttaisi. Luokitusperusteisiin vapautuksiin voidaan vedota vain niiden rajoitettujen tietoryhmien osalta, joiden osalta vapautus myönnetään. Nämä ovat tarkoitukseltaan ja vaikutuksiltaan samantapaisia kuin monet Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (vuoden 2018 tietosuojalain liitteen 2 nojalla) sovellettavat poikkeukset, jotka puolestaan vastaavat EU:n tietosuoja-asetuksen 23 artiklan säännöksiä.

178

179

180

| (133) | Edellä esitetystä seuraa, että Yhdistyneen kuningaskunnan sovellettavien säännösten nojalla on käytössä rajoituksia ja ehtoja, joita myös tuomioistuimet ja tietosuojavaltuutettu tulkitsevat, sen varmistamiseksi, että näitä poikkeuksia ja rajoituksia sovelletaan vain siltä osin kuin se on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojelemiseksi. |
| --- | --- |

(133)

Edellä esitetystä seuraa, että Yhdistyneen kuningaskunnan sovellettavien säännösten nojalla on käytössä rajoituksia ja ehtoja, joita myös tuomioistuimet ja tietosuojavaltuutettu tulkitsevat, sen varmistamiseksi, että näitä poikkeuksia ja rajoituksia sovelletaan vain siltä osin kuin se on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojelemiseksi.

3.2   Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö rikosoikeudellisia lainvalvontatarkoituksia varten

Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö rikosoikeudellisia lainvalvontatarkoituksia varten

| (134) | Yhdistyneen kuningaskunnan lainsäädännössä asetetaan useita rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikosoikeudellisia lainvalvontatarkoituksia varten sekä tähän liittyviä valvonta- ja oikeussuojamekanismeja. Nämä säännökset vastaavat vaatimuksia, joihin viitataan tämän päätöksen johdanto-osan 113–115 kappaleessa. Seuraavassa arvioidaan yksityiskohtaisesti edellytyksiä, joiden täyttyessä pääsy henkilötietoihin voi toteutua, ja näiden toimivaltuuksien käyttöön liittyvien suojatoimien soveltamista. |
| --- | --- |

(134)

Yhdistyneen kuningaskunnan lainsäädännössä asetetaan useita rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikosoikeudellisia lainvalvontatarkoituksia varten sekä tähän liittyviä valvonta- ja oikeussuojamekanismeja. Nämä säännökset vastaavat vaatimuksia, joihin viitataan tämän päätöksen johdanto-osan 113–115 kappaleessa. Seuraavassa arvioidaan yksityiskohtaisesti edellytyksiä, joiden täyttyessä pääsy henkilötietoihin voi toteutua, ja näiden toimivaltuuksien käyttöön liittyvien suojatoimien soveltamista.

3.2.1   Oikeusperustat ja sovellettavat rajoitukset/suojatoimet

Oikeusperustat ja sovellettavat rajoitukset/suojatoimet

| (135) | Vuoden 2018 tietosuojalain 35 §:ssä vahvistetun lainmukaisuusperiaatteen mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos käsittely perustuu lainsäädäntöön ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten (181) tai jos käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän suorittamiseksi. |
| --- | --- |

(135)

Vuoden 2018 tietosuojalain 35 §:ssä vahvistetun lainmukaisuusperiaatteen mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos käsittely perustuu lainsäädäntöön ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten (181) tai jos käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän suorittamiseksi.

181

3.2.1.1   Etsintä- ja esittämismääräykset

Etsintä- ja esittämismääräykset

| (136) | Yhdistyneen kuningaskunnan oikeudellisessa kehyksessä henkilötietojen kerääminen toiminnanharjoittajilta, myös sellaisilta toiminnanharjoittajilta, jotka käsittelevät EU:sta tämän tietosuojan riittävyyttä koskevan päätöksen nojalla siirrettyjä tietoja, on sallittua lainvalvontatarkoituksia varten etsintä (182)- ja esittämismääräysten (183) perusteella. |
| --- | --- |

(136)

Yhdistyneen kuningaskunnan oikeudellisessa kehyksessä henkilötietojen kerääminen toiminnanharjoittajilta, myös sellaisilta toiminnanharjoittajilta, jotka käsittelevät EU:sta tämän tietosuojan riittävyyttä koskevan päätöksen nojalla siirrettyjä tietoja, on sallittua lainvalvontatarkoituksia varten etsintä (182)- ja esittämismääräysten (183) perusteella.

182

183

| (137) | Etsintämääräykset antaa tuomioistuin, yleensä tutkinnasta vastaavan virkamiehen hakemuksen perusteella. Etsintämääräyksen nojalla tutkijoilla on pääsy tiloihin etsimään tutkinnan kannalta merkityksellistä aineistoa tai henkilöitä ja oikeus ottaa haltuunsa aineisto, jonka etsimiseen lupa on myönnetty, esimerkiksi asiakirjat tai henkilötietoja sisältävä aineisto. (184) Myös esittämismääräyksen on oltava tuomioistuimen antama. Määräyksessä mainittu henkilö määrätään esittämään hallussaan tai valvonnassaan oleva aineisto tai antamaan pääsy siihen. Hakijan on perusteltava tuomioistuimelle, miksi etsintä- tai esittämismääräys on tarpeen ja miksi se on yleisen edun mukainen. Etsintä- tai esittämismääräys voidaan myöntää useiden eri lakisääteisten valtuuksien nojalla. Jokaiseen tällaiseen säännökseen liittyy tiettyjä lakisääteisiä edellytyksiä, joiden on täytyttävä, ennen kuin etsintä (185)- tai esittämismääräys (186) voidaan myöntää. |
| --- | --- |

(137)

Etsintämääräykset antaa tuomioistuin, yleensä tutkinnasta vastaavan virkamiehen hakemuksen perusteella. Etsintämääräyksen nojalla tutkijoilla on pääsy tiloihin etsimään tutkinnan kannalta merkityksellistä aineistoa tai henkilöitä ja oikeus ottaa haltuunsa aineisto, jonka etsimiseen lupa on myönnetty, esimerkiksi asiakirjat tai henkilötietoja sisältävä aineisto. (184) Myös esittämismääräyksen on oltava tuomioistuimen antama. Määräyksessä mainittu henkilö määrätään esittämään hallussaan tai valvonnassaan oleva aineisto tai antamaan pääsy siihen. Hakijan on perusteltava tuomioistuimelle, miksi etsintä- tai esittämismääräys on tarpeen ja miksi se on yleisen edun mukainen. Etsintä- tai esittämismääräys voidaan myöntää useiden eri lakisääteisten valtuuksien nojalla. Jokaiseen tällaiseen säännökseen liittyy tiettyjä lakisääteisiä edellytyksiä, joiden on täytyttävä, ennen kuin etsintä (185)- tai esittämismääräys (186) voidaan myöntää.

184

185

186

| (138) | Etsintä- ja esittämismääräyksiin voidaan hakea muutosta tuomioistuimessa. (187) Suojatoimien osalta todetaan, että kaikilla vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvilla rikosoikeudellisilla lainvalvontaviranomaisilla, saa olla pääsy henkilötietoihin – mikä on yksi käsittelymuoto – ainoastaan kyseisessä laissa vahvistettujen periaatteiden ja vaatimusten mukaisesti (ks. johdanto-osan 122 ja 124 kappale). Siksi kaikkien lainvalvontaviranomaisten pyyntöjen on oltava sen periaatteen mukaisia, että käsittelytarkoituksen on oltava tietty, nimenomainen ja laillinen (188) ja että toimivaltaisen viranomaisen käsittelemien henkilötietojen on oltava merkityksellisiä tämän tarkoituksen kannalta eivätkä ne saa olla liiallisia (189). |
| --- | --- |

(138)

Etsintä- ja esittämismääräyksiin voidaan hakea muutosta tuomioistuimessa. (187) Suojatoimien osalta todetaan, että kaikilla vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvilla rikosoikeudellisilla lainvalvontaviranomaisilla, saa olla pääsy henkilötietoihin – mikä on yksi käsittelymuoto – ainoastaan kyseisessä laissa vahvistettujen periaatteiden ja vaatimusten mukaisesti (ks. johdanto-osan 122 ja 124 kappale). Siksi kaikkien lainvalvontaviranomaisten pyyntöjen on oltava sen periaatteen mukaisia, että käsittelytarkoituksen on oltava tietty, nimenomainen ja laillinen (188) ja että toimivaltaisen viranomaisen käsittelemien henkilötietojen on oltava merkityksellisiä tämän tarkoituksen kannalta eivätkä ne saa olla liiallisia (189).

187

188

189

3.2.1.2   Tutkintavaltuudet lainvalvontatarkoituksia varten

Tutkintavaltuudet lainvalvontatarkoituksia varten

| (139) | Ainoastaan vakavien rikosten (190) ehkäisemiseksi tai paljastamiseksi tietyt lainvalvontaviranomaiset, kuten kansallinen rikosvirasto NCA tai poliisipäällikkö (191), voivat käyttää vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä kohdennettuja tutkintavaltuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Kyseiset lainvalvontaviranomaiset voivat käyttää tällaisissa tapauksissa seuraavia tutkintavaltuuksia: kohdennettu telekuuntelu (vuonna 2016 tutkintavaltuuksista annetun lain (IPA 2016) 2 osa), viestintätietojen hankinta (lain 3 osa), viestintätietojen säilyttäminen (lain 4 osa) ja kohdennettu laitetutkinta (lain 5 osa). Telekuuntelu kattaa viestinnän sisällön hankinnan (192), kun taas viestintätietojen hankinnan ja säilyttämisen tarkoituksena ei ole viestinnän sisällön hankkiminen, vaan sen selvittäminen, ”kuka, milloin, missä ja miten” toteuttaa viestintää. Tämä koskee esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut, ja puhelinliittymän tilaajaa tai eriteltyä laskua. (193) Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista, kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (194) |
| --- | --- |

(139)

Ainoastaan vakavien rikosten (190) ehkäisemiseksi tai paljastamiseksi tietyt lainvalvontaviranomaiset, kuten kansallinen rikosvirasto NCA tai poliisipäällikkö (191), voivat käyttää vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä kohdennettuja tutkintavaltuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Kyseiset lainvalvontaviranomaiset voivat käyttää tällaisissa tapauksissa seuraavia tutkintavaltuuksia: kohdennettu telekuuntelu (vuonna 2016 tutkintavaltuuksista annetun lain (IPA 2016) 2 osa), viestintätietojen hankinta (lain 3 osa), viestintätietojen säilyttäminen (lain 4 osa) ja kohdennettu laitetutkinta (lain 5 osa). Telekuuntelu kattaa viestinnän sisällön hankinnan (192), kun taas viestintätietojen hankinnan ja säilyttämisen tarkoituksena ei ole viestinnän sisällön hankkiminen, vaan sen selvittäminen, ”kuka, milloin, missä ja miten” toteuttaa viestintää. Tämä koskee esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut, ja puhelinliittymän tilaajaa tai eriteltyä laskua. (193) Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista, kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (194)

190

191

192

193

194

| (140) | Kohdennettuja telekuunteluvaltuuksia voidaan käyttää myös silloin kun se on ”tarpeen keskinäistä avunantoa koskevan EU:n tai kansainvälisen sopimuksen täytäntöönpanoa varten” (nk. ”keskinäistä avunantoa koskeva määräys” (195)). Keskinäistä avunantoa koskeva määräys voidaan antaa ainoastaan telekuuntelua varten, ei viestintätietojen hankkimista tai laitetutkintaa varten. Näitä kohdennettuja valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetulla lailla (IPA 2016) (196). Kyseisessä laissa ja tutkintavaltuuksista annetuissa asetuksissa (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 (RIPA) ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000 (RIPSA)) vahvistetaan oikeusperusta ja näiden valtuuksien käyttöä koskevat rajoitukset ja suojatoimet. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään myös laajamittaisten tutkintavaltuuksien käytöstä, vaikka ne eivät ole lainvalvontaviranomaisten saatavilla (niitä voi käyttää ainoastaan tiedustelupalvelu). (197) |
| --- | --- |

(140)

Kohdennettuja telekuunteluvaltuuksia voidaan käyttää myös silloin kun se on ”tarpeen keskinäistä avunantoa koskevan EU:n tai kansainvälisen sopimuksen täytäntöönpanoa varten” (nk. ”keskinäistä avunantoa koskeva määräys” (195)). Keskinäistä avunantoa koskeva määräys voidaan antaa ainoastaan telekuuntelua varten, ei viestintätietojen hankkimista tai laitetutkintaa varten. Näitä kohdennettuja valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetulla lailla (IPA 2016) (196). Kyseisessä laissa ja tutkintavaltuuksista annetuissa asetuksissa (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 (RIPA) ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000 (RIPSA)) vahvistetaan oikeusperusta ja näiden valtuuksien käyttöä koskevat rajoitukset ja suojatoimet. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään myös laajamittaisten tutkintavaltuuksien käytöstä, vaikka ne eivät ole lainvalvontaviranomaisten saatavilla (niitä voi käyttää ainoastaan tiedustelupalvelu). (197)

195

196

197

| (141) | Viranomaisten on saatava näiden valtuuksien käyttämistä varten määräys (198), jonka antaa toimivaltainen viranomainen (199) ja jonka riippumaton oikeusvaltuutettu (Judicial Commissioner) (200) vahvistaa (nk. kaksinkertainen hyväksyntä). Tällaisen määräyksen saaminen edellyttää tarpeellisuuden ja oikeasuhteisuuden arviointia. (201) Koska nämä vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt kohdennetut tutkintavaltuudet ovat samat kuin ne, jotka ovat kansallisesta turvallisuudesta vastaavien virastojen saatavilla, niiden käyttöä koskevista edellytyksistä, rajoituksista ja suojatoimista säädetään yksityiskohtaisesti säännöksessä, joka koskee Yhdistyneen kuningaskunnan viranomaisten pääsyä henkilötietoihin ja niiden käyttöä kansalliseen turvallisuuteen liittyviä tarkoituksia varten (ks. johdanto-osan (177) kappale ja sitä seuraavat kappaleet). |
| --- | --- |

(141)

Viranomaisten on saatava näiden valtuuksien käyttämistä varten määräys (198), jonka antaa toimivaltainen viranomainen (199) ja jonka riippumaton oikeusvaltuutettu (Judicial Commissioner) (200) vahvistaa (nk. kaksinkertainen hyväksyntä). Tällaisen määräyksen saaminen edellyttää tarpeellisuuden ja oikeasuhteisuuden arviointia. (201) Koska nämä vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt kohdennetut tutkintavaltuudet ovat samat kuin ne, jotka ovat kansallisesta turvallisuudesta vastaavien virastojen saatavilla, niiden käyttöä koskevista edellytyksistä, rajoituksista ja suojatoimista säädetään yksityiskohtaisesti säännöksessä, joka koskee Yhdistyneen kuningaskunnan viranomaisten pääsyä henkilötietoihin ja niiden käyttöä kansalliseen turvallisuuteen liittyviä tarkoituksia varten (ks. johdanto-osan (177) kappale ja sitä seuraavat kappaleet).

198

199

200

201

3.2.2   Kerättyjen tietojen myöhempi käyttö

Kerättyjen tietojen myöhempi käyttö

| (142) | Lainvalvontaviranomainen voi jakaa tietoja toisille viranomaisille muita kuin niitä tarkoituksia varten, johon ne alun perin kerättiin, jäljempänä ’tietojen jakaminen edelleen’ vain tiettyjen edellytysten täyttyessä. |
| --- | --- |

(142)

Lainvalvontaviranomainen voi jakaa tietoja toisille viranomaisille muita kuin niitä tarkoituksia varten, johon ne alun perin kerättiin, jäljempänä ’tietojen jakaminen edelleen’ vain tiettyjen edellytysten täyttyessä.

| (143) | Samoin kuin direktiivin (EU) 2016/680 4 artiklan 2 kohdassa, vuoden 2018 tietosuojalain 36 §:n 3 momentissa sallitaan toimivaltaisen viranomaisen lainvalvontatarkoituksia varten keräämien henkilötietojen myöhempi käsittely (joko alkuperäisen rekisterinpitäjän tai toisen rekisterinpitäjän toimesta) muuta kuin alkuperäistä lainvalvontatarkoitusta varten, sikäli kuin rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista tarkoitusta varten ja käsittely tätä muuta tarkoitusta varten on tarpeellista ja oikeasuhteista (202). Tässä tapauksessa vastaanottavan viranomaisen soveltamaan käsittelyyn sovelletaan kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä suojatoimia, joihin viitataan johdanto-osan 122 ja 124 kappaleessa. |
| --- | --- |

(143)

Samoin kuin direktiivin (EU) 2016/680 4 artiklan 2 kohdassa, vuoden 2018 tietosuojalain 36 §:n 3 momentissa sallitaan toimivaltaisen viranomaisen lainvalvontatarkoituksia varten keräämien henkilötietojen myöhempi käsittely (joko alkuperäisen rekisterinpitäjän tai toisen rekisterinpitäjän toimesta) muuta kuin alkuperäistä lainvalvontatarkoitusta varten, sikäli kuin rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista tarkoitusta varten ja käsittely tätä muuta tarkoitusta varten on tarpeellista ja oikeasuhteista (202). Tässä tapauksessa vastaanottavan viranomaisen soveltamaan käsittelyyn sovelletaan kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä suojatoimia, joihin viitataan johdanto-osan 122 ja 124 kappaleessa.

202

| (144) | Yhdistyneen kuningaskunnan oikeusjärjestyksessä tällainen myöhempi jakaminen sallitaan nimenomaisesti eri laeissa. Muun muassa i) vuoden 2017 digitaalitaloutta koskevassa laissa (Digital Economy Act 2017) sallitaan tietojen jakaminen viranomaisten kesken eri tarkoituksia varten, esimerkiksi jos on kyse julkiseen sektoriin kohdistuvasta petoksesta, joka aiheuttaisi viranomaisille menetyksiä tai menetysten riskin (203) tai jos kyseessä on velka viranomaiselle tai valtiolle (the Crown) (204); ii) vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa (Crime and Courts Act 2013) sallitaan tietojen jakaminen kansallisen rikosviraston (National Crime Agency, NCA) (205) kanssa vakavan ja järjestäytyneen rikollisuuden torjuntaa, tutkintaa ja syytteeseenpanoa varten; iii) vuonna 2007 vakavasta rikollisuudesta annetussa laissa (Serious Crime Act 2007) sallitaan viranomaisten paljastaa tietoja petostentorjunnasta vastaaville organisaatioille petostentorjuntaa varten. (206) |
| --- | --- |

(144)

Yhdistyneen kuningaskunnan oikeusjärjestyksessä tällainen myöhempi jakaminen sallitaan nimenomaisesti eri laeissa. Muun muassa i) vuoden 2017 digitaalitaloutta koskevassa laissa (Digital Economy Act 2017) sallitaan tietojen jakaminen viranomaisten kesken eri tarkoituksia varten, esimerkiksi jos on kyse julkiseen sektoriin kohdistuvasta petoksesta, joka aiheuttaisi viranomaisille menetyksiä tai menetysten riskin (203) tai jos kyseessä on velka viranomaiselle tai valtiolle (the Crown) (204); ii) vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa (Crime and Courts Act 2013) sallitaan tietojen jakaminen kansallisen rikosviraston (National Crime Agency, NCA) (205) kanssa vakavan ja järjestäytyneen rikollisuuden torjuntaa, tutkintaa ja syytteeseenpanoa varten; iii) vuonna 2007 vakavasta rikollisuudesta annetussa laissa (Serious Crime Act 2007) sallitaan viranomaisten paljastaa tietoja petostentorjunnasta vastaaville organisaatioille petostentorjuntaa varten. (206)

203

204

205

206

| (145) | Näissä laeissa säädetään nimenomaisesti, että tietojen jakamisessa on noudatettava vuoden 2018 tietosuojalaissa vahvistettuja periaatteita. Lisäksi poliisiakatemia (College of Policing) on antanut tietojen jakamista koskevia sisäisiä ohjeita (Authorised Professional Practice on Information Sharing) (207), joiden tarkoituksena on auttaa poliisia noudattamaan Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen, tietosuojalakiin ja vuoden 1998 ihmisoikeuslakiin perustuvia tietosuojavelvoitteitaan. Tuomioistuinvalvonnan avulla varmistetaan, että tietojen jakamisen yhteydessä noudatetaan sovellettavaa tietosuojaa koskevaa oikeudellista kehystä (208). |
| --- | --- |

(145)

Näissä laeissa säädetään nimenomaisesti, että tietojen jakamisessa on noudatettava vuoden 2018 tietosuojalaissa vahvistettuja periaatteita. Lisäksi poliisiakatemia (College of Policing) on antanut tietojen jakamista koskevia sisäisiä ohjeita (Authorised Professional Practice on Information Sharing) (207), joiden tarkoituksena on auttaa poliisia noudattamaan Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen, tietosuojalakiin ja vuoden 1998 ihmisoikeuslakiin perustuvia tietosuojavelvoitteitaan. Tuomioistuinvalvonnan avulla varmistetaan, että tietojen jakamisen yhteydessä noudatetaan sovellettavaa tietosuojaa koskevaa oikeudellista kehystä (208).

207

208

| (146) | Samoin kuin direktiivin (EU) 2016/680 9 artiklassa, vuoden 2018 tietosuojalaissa säädetään lisäksi, että lainvalvontatarkoitusta varten kerättyjä henkilötietoja voidaan käsitellä muussa kuin lainvalvontatarkoituksessa vain jos tällainen käsittely sallitaan laissa. (209) |
| --- | --- |

(146)

Samoin kuin direktiivin (EU) 2016/680 9 artiklassa, vuoden 2018 tietosuojalaissa säädetään lisäksi, että lainvalvontatarkoitusta varten kerättyjä henkilötietoja voidaan käsitellä muussa kuin lainvalvontatarkoituksessa vain jos tällainen käsittely sallitaan laissa. (209)

209

| (147) | Tällainen jakaminen kattaa kaksi eri tapausta: 1) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja jonkin muun viranomaisen kanssa, tiedustelupalvelua lukuun ottamatta (eli esimerkiksi finanssivalvonta- tai veroviranomaisen, kilpailuviranomaisen tai lastensuojeluviranomaisen kanssa); ja 2) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja tiedustelupalvelun kanssa. Ensimmäisessä tapauksessa henkilötietojen käsittely kuuluu sekä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen että vuoden 2018 tietosuojalain 2 osan soveltamisalaan. Komissio on arvioinut Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalain 2 osassa säädettyjä tietosuojatakeita tämän päätöksen johdanto-osan 12–111 kappaleessa ja katsoo sen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa. |
| --- | --- |

(147)

Tällainen jakaminen kattaa kaksi eri tapausta: 1) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja jonkin muun viranomaisen kanssa, tiedustelupalvelua lukuun ottamatta (eli esimerkiksi finanssivalvonta- tai veroviranomaisen, kilpailuviranomaisen tai lastensuojeluviranomaisen kanssa); ja 2) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja tiedustelupalvelun kanssa. Ensimmäisessä tapauksessa henkilötietojen käsittely kuuluu sekä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen että vuoden 2018 tietosuojalain 2 osan soveltamisalaan. Komissio on arvioinut Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalain 2 osassa säädettyjä tietosuojatakeita tämän päätöksen johdanto-osan 12–111 kappaleessa ja katsoo sen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.

| (148) | Toisessa tapauksessa rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa keräämiään tietoja tiedustelupalvelun kanssa kansallisen turvallisuuden suojelemiseksi. Sovellettava oikeusperusta on tällöin vuoden 2008 terrorismintorjuntalain (Counter Terrorism Act 2008) 19 § (210). Kyseisen lain nojalla kuka tahansa voi antaa tietoja mille tahansa tiedustelupalvelun yksikölle minkä tahansa kyseiselle yksikölle kuuluvan tehtävän suorittamista varten, ”kansallinen turvallisuus” mukaan lukien. |
| --- | --- |

(148)

Toisessa tapauksessa rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa keräämiään tietoja tiedustelupalvelun kanssa kansallisen turvallisuuden suojelemiseksi. Sovellettava oikeusperusta on tällöin vuoden 2008 terrorismintorjuntalain (Counter Terrorism Act 2008) 19 § (210). Kyseisen lain nojalla kuka tahansa voi antaa tietoja mille tahansa tiedustelupalvelun yksikölle minkä tahansa kyseiselle yksikölle kuuluvan tehtävän suorittamista varten, ”kansallinen turvallisuus” mukaan lukien.

210

| (149) | Edellytyksistä, joiden mukaan tietoja voidaan jakaa kansallisen turvallisuuden suojelemiseksi, säädetään tiedustelupalvelulaissa (211) ja turvallisuuspalvelulaissa (212). Niissä rajoitetaan tiedustelupalvelujen oikeus saada tietoja siihen, mikä on tarpeen niiden lakisääteisten tehtävien hoitamista varten. Jos lainvalvontavirastot haluavat jakaa tietoja tiedustelupalvelujen kanssa, niiden on otettava huomioon useita tekijöitä/rajoituksia niiden virastojen lakisääteisten tehtävien lisäksi, joista säädetään tiedustelupalvelulaissa ja turvallisuuspalvelulaissa (213). Vuoden 2008 terrorismintorjuntalain 20 §:ssä selvennetään, että jaettaessa tietoja 19 §:n nojalla on silti noudatettava tietosuojalainsäädäntöä, mikä tarkoittaa, että kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä rajoituksia ja vaatimuksia sovelletaan. Koska toimivaltaiset viranomaiset ovat lisäksi vuoden 1998 ihmisoikeuslaissa tarkoitettuja viranomaisia, niiden on varmistettava ihmisoikeussopimuksessa ja muun muassa sen 8 artiklassa vahvistettujen oikeuksien noudattaminen. Näillä rajoituksilla varmistetaan, että kaikessa lainvalvontavirastojen ja tiedustelupalvelujen välisessä tietojen jakamisessa noudatetaan tietosuojalainsäädäntöä ja ihmisoikeussopimusta. |
| --- | --- |

(149)

Edellytyksistä, joiden mukaan tietoja voidaan jakaa kansallisen turvallisuuden suojelemiseksi, säädetään tiedustelupalvelulaissa (211) ja turvallisuuspalvelulaissa (212). Niissä rajoitetaan tiedustelupalvelujen oikeus saada tietoja siihen, mikä on tarpeen niiden lakisääteisten tehtävien hoitamista varten. Jos lainvalvontavirastot haluavat jakaa tietoja tiedustelupalvelujen kanssa, niiden on otettava huomioon useita tekijöitä/rajoituksia niiden virastojen lakisääteisten tehtävien lisäksi, joista säädetään tiedustelupalvelulaissa ja turvallisuuspalvelulaissa (213). Vuoden 2008 terrorismintorjuntalain 20 §:ssä selvennetään, että jaettaessa tietoja 19 §:n nojalla on silti noudatettava tietosuojalainsäädäntöä, mikä tarkoittaa, että kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä rajoituksia ja vaatimuksia sovelletaan. Koska toimivaltaiset viranomaiset ovat lisäksi vuoden 1998 ihmisoikeuslaissa tarkoitettuja viranomaisia, niiden on varmistettava ihmisoikeussopimuksessa ja muun muassa sen 8 artiklassa vahvistettujen oikeuksien noudattaminen. Näillä rajoituksilla varmistetaan, että kaikessa lainvalvontavirastojen ja tiedustelupalvelujen välisessä tietojen jakamisessa noudatetaan tietosuojalainsäädäntöä ja ihmisoikeussopimusta.

211

212

213

| (150) | Kun toimivaltainen viranomainen aikoo jakaa vuoden 2018 tietosuojalain 3 osan nojalla käsiteltäviä henkilötietoja jonkin kolmannen maan lainvalvontaviranomaisten kanssa, sovelletaan erityisiä vaatimuksia. (214) Tällaisia siirtoja voidaan tehdä erityisesti silloin kun ne perustuvat Secretary of Staten antamiin tietosuojan riittävyyttä koskeviin asetuksiin. Jos sellaisia ei ole annettu, on varmistettava, että noudatetaan asianmukaisia suojatoimia. Vuoden 2018 tietosuojalain 75 §:ssä säädetään, että asianmukaiset suojatoimet on otettu käyttöön, kun ne on vahvistettu siirron vastaanottajaa sitovalla säädöksellä tai kun rekisterinpitäjä katsoo, että tietojen suojaamiseksi on olemassa asianmukaiset suojatoimet, sen jälkeen kun hän on arvioinut kaikki olosuhteet, jotka liittyvät asianomaisen henkilötietojen tyypin siirtämisen kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle. |
| --- | --- |

(150)

Kun toimivaltainen viranomainen aikoo jakaa vuoden 2018 tietosuojalain 3 osan nojalla käsiteltäviä henkilötietoja jonkin kolmannen maan lainvalvontaviranomaisten kanssa, sovelletaan erityisiä vaatimuksia. (214) Tällaisia siirtoja voidaan tehdä erityisesti silloin kun ne perustuvat Secretary of Staten antamiin tietosuojan riittävyyttä koskeviin asetuksiin. Jos sellaisia ei ole annettu, on varmistettava, että noudatetaan asianmukaisia suojatoimia. Vuoden 2018 tietosuojalain 75 §:ssä säädetään, että asianmukaiset suojatoimet on otettu käyttöön, kun ne on vahvistettu siirron vastaanottajaa sitovalla säädöksellä tai kun rekisterinpitäjä katsoo, että tietojen suojaamiseksi on olemassa asianmukaiset suojatoimet, sen jälkeen kun hän on arvioinut kaikki olosuhteet, jotka liittyvät asianomaisen henkilötietojen tyypin siirtämisen kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle.

214

| (151) | Jos siirto ei perustu tietosuojan riittävyyttä koskevaan asetukseen tai asianmukaisiin suojatoimiin, se voidaan toteuttaa vain tietyissä olosuhteissa, joista käytetään nimitystä ”erityiset olosuhteet”. (215) Näin on silloin kun siirto on tarpeen a) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; b) rekisteröidyn oikeutettujen etujen turvaamiseksi; c) jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi; d) yksittäistapauksissa jotakin lainvalvontatarkoitusta varten; tai e) yksittäistapauksissa jotakin oikeudellista tarkoitusta varten (esimerkiksi oikeudenkäyntiä tai oikeudellisen neuvonnan saamista varten). Todettakoon, että d ja e alakohtaa ei sovelleta, jos rekisteröidyn oikeudet ja vapaudet syrjäyttävät siirtoon liittyvän yleisen edun. Nämä olosuhteet vastaavat niitä erityistilanteita ja -edellytyksiä, joita voidaan pitää direktiivin (EU) 2016/680 38 artiklassa tarkoitettuina ”poikkeuksina”. |
| --- | --- |

(151)

Jos siirto ei perustu tietosuojan riittävyyttä koskevaan asetukseen tai asianmukaisiin suojatoimiin, se voidaan toteuttaa vain tietyissä olosuhteissa, joista käytetään nimitystä ”erityiset olosuhteet”. (215) Näin on silloin kun siirto on tarpeen a) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; b) rekisteröidyn oikeutettujen etujen turvaamiseksi; c) jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi; d) yksittäistapauksissa jotakin lainvalvontatarkoitusta varten; tai e) yksittäistapauksissa jotakin oikeudellista tarkoitusta varten (esimerkiksi oikeudenkäyntiä tai oikeudellisen neuvonnan saamista varten). Todettakoon, että d ja e alakohtaa ei sovelleta, jos rekisteröidyn oikeudet ja vapaudet syrjäyttävät siirtoon liittyvän yleisen edun. Nämä olosuhteet vastaavat niitä erityistilanteita ja -edellytyksiä, joita voidaan pitää direktiivin (EU) 2016/680 38 artiklassa tarkoitettuina ”poikkeuksina”.

215

| (152) | Silloin kun aineisto, jonka lainvalvontaviranomaiset ovat hankkineet telekuuntelua tai laitetutkintaa koskevan määräyksen nojalla, luovutetaan kolmanteen maahan, on lisäksi sovellettava vuonna 2016 tutkintavaltuuksista annetun lain nojalla täydentäviä suojatoimia. Tällainen ulkomaille tehtävä tiedonsiirto (overseas disclosure) voidaan sallia vain jos tiedot luovuttava viranomainen katsoo, että käytössä on erityiset asianmukaiset järjestelyt, joilla rajoitetaan niiden henkilöiden määrää, jotka saavat pääsyn tietoihin, ja sitä, missä määrin aineistoa luovutetaan tai asetetaan saataville tai missä määrin sitä jäljennetään ja kuinka monta jäljennöstä siitä tehdään. Tiedot luovuttava viranomainen voi myös katsoa, että asianmukaiset järjestelyt ovat tarpeen sen varmistamiseksi, että kaikki mistä tahansa aineiston osasta tehdyt jäljennökset tuhotaan heti kun niiden säilyttämiseen ei ole enää perusteltua syytä (jos niitä ei ole tuhottu jo aiemmin). (216) |
| --- | --- |

(152)

Silloin kun aineisto, jonka lainvalvontaviranomaiset ovat hankkineet telekuuntelua tai laitetutkintaa koskevan määräyksen nojalla, luovutetaan kolmanteen maahan, on lisäksi sovellettava vuonna 2016 tutkintavaltuuksista annetun lain nojalla täydentäviä suojatoimia. Tällainen ulkomaille tehtävä tiedonsiirto (overseas disclosure) voidaan sallia vain jos tiedot luovuttava viranomainen katsoo, että käytössä on erityiset asianmukaiset järjestelyt, joilla rajoitetaan niiden henkilöiden määrää, jotka saavat pääsyn tietoihin, ja sitä, missä määrin aineistoa luovutetaan tai asetetaan saataville tai missä määrin sitä jäljennetään ja kuinka monta jäljennöstä siitä tehdään. Tiedot luovuttava viranomainen voi myös katsoa, että asianmukaiset järjestelyt ovat tarpeen sen varmistamiseksi, että kaikki mistä tahansa aineiston osasta tehdyt jäljennökset tuhotaan heti kun niiden säilyttämiseen ei ole enää perusteltua syytä (jos niitä ei ole tuhottu jo aiemmin). (216)

216

| (153) | Tulevaisuudessa tietoja voitaisiin siirtää edelleen Yhdistyneestä kuningaskunnasta Yhdysvaltoihin niiden välillä sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa lokakuussa 2019 tehdyn sopimuksen (217), jäljempänä ’Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimus’ tai ’sopimus’, perusteella. (218) Vaikka sopimus ei ole vielä tullut voimaan silloin kun tämä päätös hyväksytään, sen ennakoitavissa oleva voimaantulo voi vaikuttaa siihen, miten tämän päätöksen nojalla ensin Yhdistyneeseen kuningaskuntaan siirrettäviä tietoja voidaan siirtää edelleen Yhdysvaltoihin. Tämä tarkoittaa muun muassa sitä, että EU:sta Yhdistyneeseen kuningaskuntaan sijoittautuneille palveluntarjoajille siirrettäviin tietoihin voitaisiin soveltaa Yhdysvaltojen toimivaltaisten lainvalvontaviranomaisten antamia sähköisen todistusaineiston esittämistä koskevia määräyksiä, joita voitaisiin soveltaa Yhdistyneessä kuningaskunnassa em. sopimuksen nojalla sen tultua voimaan. Näistä syistä on tämän päätöksen kannalta merkityksellistä arvioida niitä edellytyksiä ja suojatoimia, joiden nojalla tällaisia määräyksiä voidaan antaa ja panna täytäntöön. |
| --- | --- |

(153)

Tulevaisuudessa tietoja voitaisiin siirtää edelleen Yhdistyneestä kuningaskunnasta Yhdysvaltoihin niiden välillä sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa lokakuussa 2019 tehdyn sopimuksen (217), jäljempänä ’Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimus’ tai ’sopimus’, perusteella. (218) Vaikka sopimus ei ole vielä tullut voimaan silloin kun tämä päätös hyväksytään, sen ennakoitavissa oleva voimaantulo voi vaikuttaa siihen, miten tämän päätöksen nojalla ensin Yhdistyneeseen kuningaskuntaan siirrettäviä tietoja voidaan siirtää edelleen Yhdysvaltoihin. Tämä tarkoittaa muun muassa sitä, että EU:sta Yhdistyneeseen kuningaskuntaan sijoittautuneille palveluntarjoajille siirrettäviin tietoihin voitaisiin soveltaa Yhdysvaltojen toimivaltaisten lainvalvontaviranomaisten antamia sähköisen todistusaineiston esittämistä koskevia määräyksiä, joita voitaisiin soveltaa Yhdistyneessä kuningaskunnassa em. sopimuksen nojalla sen tultua voimaan. Näistä syistä on tämän päätöksen kannalta merkityksellistä arvioida niitä edellytyksiä ja suojatoimia, joiden nojalla tällaisia määräyksiä voidaan antaa ja panna täytäntöön.

217

218

| (154) | Tältä osin on huomattava ensinnäkin sopimuksen aineellinen soveltamisala, jonka mukaan sitä sovelletaan ainoastaan rikoksiin, joista määrättävä enimmäisrangaistus on vähintään kolme vuotta vankeutta (”vakava rikollisuus”) (219), mukaan lukien ”terroritoiminta”. Toiseksi tämän sopimuksen nojalla on mahdollista saada toisella lainkäyttöalueella käsiteltyjä tietoja vain sellaisen määräyksen perusteella, johon sovelletaan ennen sen antamista tai siihen liittyvien täytäntöönpanomenettelyjen aikana määräyksen antavan osapuolen kansallisen lainsäädännön nojalla tuomioistuimen, tuomarin tai muun riippumattoman viranomaisen uudelleentarkastelua tai valvontaa. (220) Kolmanneksi tällainen määräys voidaan antaa vain jos sille on olemassa perusteltuihin ja uskottaviin tosiseikkoihin, tapauksen erityispiirteisiin, lainmukaisuuteen ja tutkittavan teon vakavuuteen perustuvat kohtuulliset perusteet (221) ja jos se kohdistuu tiettyihin tileihin ja siinä yksilöidään tietty henkilö, tili, osoite tai henkilökohtainen laite tai jokin muu yksilöllinen tunniste” (222). Neljänneksi Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimuksen nojalla saatuihin tietoihin sovelletaan suojelua, joka vastaa EU:n ja Yhdysvaltojen välisen tietosuojaa koskevan puitesopimuksen (223) erityisiä suojatoimia (kyseessä on EU:n ja Yhdysvaltojen välillä joulukuussa 2016 tehty kattava tietosuojasopimus, jossa esitetään lainvalvontayhteistyön alalla tapahtuvaan tiedonsiirtoon sovellettavat suojatoimet ja oikeudet). Kyseiset suojatoimet on sisällytetty Yhdistyneen kuningaskunnan ja Yhdysvaltojen väliseen sopimukseen viittauksella mutatis mutandis, jotta voidaan ottaa huomioon siirtojen erityisluonne (siirrot tapahtuvat yksityisiltä palveluntarjoajilta lainvalvontaviranomaisille eikä lainvalvontaviranomaisten kesken). (224) Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisessä sopimuksessa määrätään nimenomaisesti, että EU:n ja Yhdysvaltojen välisen sopimuksen määräyksiä vastaavaa suojelua sovelletaan ”kaikkiin henkilötietoihin, jotka esitetään sopimuksen soveltamisalaan kuuluvien määräysten täytäntöönpanemiseksi, jotta voidaan taata vastaava suojelutaso” (225). |
| --- | --- |

(154)

Tältä osin on huomattava ensinnäkin sopimuksen aineellinen soveltamisala, jonka mukaan sitä sovelletaan ainoastaan rikoksiin, joista määrättävä enimmäisrangaistus on vähintään kolme vuotta vankeutta (”vakava rikollisuus”) (219), mukaan lukien ”terroritoiminta”. Toiseksi tämän sopimuksen nojalla on mahdollista saada toisella lainkäyttöalueella käsiteltyjä tietoja vain sellaisen määräyksen perusteella, johon sovelletaan ennen sen antamista tai siihen liittyvien täytäntöönpanomenettelyjen aikana määräyksen antavan osapuolen kansallisen lainsäädännön nojalla tuomioistuimen, tuomarin tai muun riippumattoman viranomaisen uudelleentarkastelua tai valvontaa. (220) Kolmanneksi tällainen määräys voidaan antaa vain jos sille on olemassa perusteltuihin ja uskottaviin tosiseikkoihin, tapauksen erityispiirteisiin, lainmukaisuuteen ja tutkittavan teon vakavuuteen perustuvat kohtuulliset perusteet (221) ja jos se kohdistuu tiettyihin tileihin ja siinä yksilöidään tietty henkilö, tili, osoite tai henkilökohtainen laite tai jokin muu yksilöllinen tunniste” (222). Neljänneksi Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimuksen nojalla saatuihin tietoihin sovelletaan suojelua, joka vastaa EU:n ja Yhdysvaltojen välisen tietosuojaa koskevan puitesopimuksen (223) erityisiä suojatoimia (kyseessä on EU:n ja Yhdysvaltojen välillä joulukuussa 2016 tehty kattava tietosuojasopimus, jossa esitetään lainvalvontayhteistyön alalla tapahtuvaan tiedonsiirtoon sovellettavat suojatoimet ja oikeudet). Kyseiset suojatoimet on sisällytetty Yhdistyneen kuningaskunnan ja Yhdysvaltojen väliseen sopimukseen viittauksella mutatis mutandis, jotta voidaan ottaa huomioon siirtojen erityisluonne (siirrot tapahtuvat yksityisiltä palveluntarjoajilta lainvalvontaviranomaisille eikä lainvalvontaviranomaisten kesken). (224) Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisessä sopimuksessa määrätään nimenomaisesti, että EU:n ja Yhdysvaltojen välisen sopimuksen määräyksiä vastaavaa suojelua sovelletaan ”kaikkiin henkilötietoihin, jotka esitetään sopimuksen soveltamisalaan kuuluvien määräysten täytäntöönpanemiseksi, jotta voidaan taata vastaava suojelutaso” (225).

219

220

221

222

223

mutatis mutandis

224

225

| (155) | Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla Yhdysvaltojen viranomaisille siirrettäviin tietoihin olisi näin ollen sovellettava EU:n oikeudelliseen välineeseen perustuvaa suojelua tarvittavin mukautuksin, jotta voidaan ottaa huomioon siirron erityispiirteet. Yhdistyneen kuningaskunnan viranomaiset ovat myös vahvistaneet, että tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan kaikkiin Yhdysvaltojen kanssa tehtävän sopimuksen nojalla toimitettaviin tai säilytettäviin henkilötietoihin riippumatta siitä, millainen tai minkätyyppinen elin niitä pyytää (esimerkiksi Yhdysvalloissa tietoja voivat pyytää sekä liittovaltion että osavaltioiden lainvalvontaviranomaiset), jotta kaikissa tapauksissa voidaan taata samantasoinen suojelu. Yhdistyneen kuningaskunnan viranomaiset ovat kuitenkin myös selittäneet, että keskustelu tietosuojatakeiden konkreettisen täytäntöönpanon yksityiskohdista Yhdistyneen kuningaskunnan ja Yhdysvaltojen välillä on vielä kesken. Yhdistyneen kuningaskunnan viranomaiset ovat vahvistaneet tämän päätöksen laatimiseen liittyvissä keskusteluissa Euroopan komission yksiköiden kanssa, että ne sallivat sopimuksen voimaantulon vasta kun ne ovat vakuuttuneet siitä, että sen täytäntöönpano on siinä määrättyjen oikeudellisten velvoitteiden mukaista. Tämä koskee myös selvyyttä sen suhteen, että tietosuojanormeja noudatetaan kaikkien sopimuksen nojalla pyydettyjen tietojen osalta. Koska sopimuksen mahdollinen voimaantulo voi vaikuttaa tämän päätöksen puitteissa arvioitavaan suojelun tasoon, Yhdistyneen kuningaskunnan olisi toimitettava Euroopan komissiolle tiedot ja selvitys siitä, miten Yhdysvallat aikoo noudattaa sopimuksen mukaisia velvoitteitaan, heti kun tällainen selvitys on saatavilla ja ainakin ennen sopimuksen voimaantuloa, jotta voidaan varmistaa tämän päätöksen asianmukainen seuranta asetuksen (EU) 2016/679 45 artiklan 4 kohdan mukaisesti. Erityistä huomiota kiinnitetään siihen, miten tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla tehtäviin siirtoihin ja miten sitä mukautetaan niiden erityispiirteiden huomioon ottamiseksi. |
| --- | --- |

(155)

Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla Yhdysvaltojen viranomaisille siirrettäviin tietoihin olisi näin ollen sovellettava EU:n oikeudelliseen välineeseen perustuvaa suojelua tarvittavin mukautuksin, jotta voidaan ottaa huomioon siirron erityispiirteet. Yhdistyneen kuningaskunnan viranomaiset ovat myös vahvistaneet, että tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan kaikkiin Yhdysvaltojen kanssa tehtävän sopimuksen nojalla toimitettaviin tai säilytettäviin henkilötietoihin riippumatta siitä, millainen tai minkätyyppinen elin niitä pyytää (esimerkiksi Yhdysvalloissa tietoja voivat pyytää sekä liittovaltion että osavaltioiden lainvalvontaviranomaiset), jotta kaikissa tapauksissa voidaan taata samantasoinen suojelu. Yhdistyneen kuningaskunnan viranomaiset ovat kuitenkin myös selittäneet, että keskustelu tietosuojatakeiden konkreettisen täytäntöönpanon yksityiskohdista Yhdistyneen kuningaskunnan ja Yhdysvaltojen välillä on vielä kesken. Yhdistyneen kuningaskunnan viranomaiset ovat vahvistaneet tämän päätöksen laatimiseen liittyvissä keskusteluissa Euroopan komission yksiköiden kanssa, että ne sallivat sopimuksen voimaantulon vasta kun ne ovat vakuuttuneet siitä, että sen täytäntöönpano on siinä määrättyjen oikeudellisten velvoitteiden mukaista. Tämä koskee myös selvyyttä sen suhteen, että tietosuojanormeja noudatetaan kaikkien sopimuksen nojalla pyydettyjen tietojen osalta. Koska sopimuksen mahdollinen voimaantulo voi vaikuttaa tämän päätöksen puitteissa arvioitavaan suojelun tasoon, Yhdistyneen kuningaskunnan olisi toimitettava Euroopan komissiolle tiedot ja selvitys siitä, miten Yhdysvallat aikoo noudattaa sopimuksen mukaisia velvoitteitaan, heti kun tällainen selvitys on saatavilla ja ainakin ennen sopimuksen voimaantuloa, jotta voidaan varmistaa tämän päätöksen asianmukainen seuranta asetuksen (EU) 2016/679 45 artiklan 4 kohdan mukaisesti. Erityistä huomiota kiinnitetään siihen, miten tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla tehtäviin siirtoihin ja miten sitä mukautetaan niiden erityispiirteiden huomioon ottamiseksi.

| (156) | Yleensäkin kaikki kyseisen sopimuksen voimaantuloon ja soveltamiseen liittyvä kehitys otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. Tämä koskee myös päätelmiä, jotka on tehtävä siinä tapauksessa, että saataisiin viitteitä siitä, että olennaisesti vastaava suojelun taso ei enää toteudu. |
| --- | --- |

(156)

Yleensäkin kaikki kyseisen sopimuksen voimaantuloon ja soveltamiseen liittyvä kehitys otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. Tämä koskee myös päätelmiä, jotka on tehtävä siinä tapauksessa, että saataisiin viitteitä siitä, että olennaisesti vastaava suojelun taso ei enää toteudu.

3.2.3   Valvonta

Valvonta

| (157) | Niiden toimivaltuuksien valvonta, joiden nojalla toimivaltaiset viranomaiset käsitelevät henkilötietoja lainvalvontatarkoituksessa, on osoitettu eri elimille sen mukaan, perustuvatko valtuudet vuoden 2018 tietosuojalakiin vai vuonna 2016 tutkintavaltuuksista annettuun lakiin. Kun henkilötietojen käsittely tapahtuu vuoden 2018 tietosuojalain 3 osan nojalla, valvonnasta vastaa tietosuojavaltuutettu. (226) Sen sijaan vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvien tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner’s Office, IPCO) (227) tehtävä (tätä osaa käsitellään johdanto-osan 250–255 kappaleessa). Lisäksi parlamentti ja muut elimet huolehtivat täydentävästä valvonnasta. |
| --- | --- |

(157)

Niiden toimivaltuuksien valvonta, joiden nojalla toimivaltaiset viranomaiset käsitelevät henkilötietoja lainvalvontatarkoituksessa, on osoitettu eri elimille sen mukaan, perustuvatko valtuudet vuoden 2018 tietosuojalakiin vai vuonna 2016 tutkintavaltuuksista annettuun lakiin. Kun henkilötietojen käsittely tapahtuu vuoden 2018 tietosuojalain 3 osan nojalla, valvonnasta vastaa tietosuojavaltuutettu. (226) Sen sijaan vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvien tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner’s Office, IPCO) (227) tehtävä (tätä osaa käsitellään johdanto-osan 250–255 kappaleessa). Lisäksi parlamentti ja muut elimet huolehtivat täydentävästä valvonnasta.

226

227

3.2.3.1   Vuoden 2018 tietosuojalain 3 osaa koskeva valvonta

Vuoden 2018 tietosuojalain 3 osaa koskeva valvonta

| (158) | Tietosuojavaltuutetun riippumattomuutta ja organisaatiota on käsitelty edellä johdanto-osan 87 kappaleessa. Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tietosuojavaltuutetun päätehtävänä on vuoden 2018 tietosuojalain 3 osan seuranta ja täytäntöönpano sekä yleisen tietoisuuden edistäminen ja neuvojen antaminen parlamentille, hallitukselle ja muille instituutioille ja elimille. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Näiltä osin valvontatehtävät on osoitettu muille elimille, kuten johdanto-osan 99–103 kappaleessa selitetään. |
| --- | --- |

(158)

Tietosuojavaltuutetun riippumattomuutta ja organisaatiota on käsitelty edellä johdanto-osan 87 kappaleessa. Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tietosuojavaltuutetun päätehtävänä on vuoden 2018 tietosuojalain 3 osan seuranta ja täytäntöönpano sekä yleisen tietoisuuden edistäminen ja neuvojen antaminen parlamentille, hallitukselle ja muille instituutioille ja elimille. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Näiltä osin valvontatehtävät on osoitettu muille elimille, kuten johdanto-osan 99–103 kappaleessa selitetään.

| (159) | Tietosuojavaltuutetulla on yleiset tutkintavaltuudet, korjaavat toimivaltuudet sekä hyväksymis- ja neuvontavaltuudet, kun on kyse 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelystä. Tietosuojavaltuutetulla on erityisesti valtuudet ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle väitetystä vuoden 2018 tietosuojalain 3 osan rikkomisesta, antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle varoituksia tai huomautuksia, jos nämä ovat rikkoneet mainittuja säännöksiä, sekä antaa omasta aloitteestaan tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille instituutioille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. (228) |
| --- | --- |

(159)

Tietosuojavaltuutetulla on yleiset tutkintavaltuudet, korjaavat toimivaltuudet sekä hyväksymis- ja neuvontavaltuudet, kun on kyse 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelystä. Tietosuojavaltuutetulla on erityisesti valtuudet ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle väitetystä vuoden 2018 tietosuojalain 3 osan rikkomisesta, antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle varoituksia tai huomautuksia, jos nämä ovat rikkoneet mainittuja säännöksiä, sekä antaa omasta aloitteestaan tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille instituutioille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. (228)

228

| (160) | Tietosuojavaltuutetulla on lisäksi valtuudet antaa tiedonantomääräyksiä (229), arviointimääräyksiä (230) ja täytäntöönpanomääräyksiä (231) sekä oikeus tutustua rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ja päästä niiden tiloihin (232) ja määrätä hallinnollisia sakkoja antamalla seuraamusmääräyksiä (233). Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään olosuhteet, joiden täyttyessä näitä eri määräyksiä voidaan antaa (234) (ks. myös johdanto-osan 93 kappale ja direktiivin (EU) 2016/680 johdanto-osan 101–102 kappale tietosuojan riittävyyttä koskevista päätöksistä). |
| --- | --- |

(160)

Tietosuojavaltuutetulla on lisäksi valtuudet antaa tiedonantomääräyksiä (229), arviointimääräyksiä (230) ja täytäntöönpanomääräyksiä (231) sekä oikeus tutustua rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ja päästä niiden tiloihin (232) ja määrätä hallinnollisia sakkoja antamalla seuraamusmääräyksiä (233). Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään olosuhteet, joiden täyttyessä näitä eri määräyksiä voidaan antaa (234) (ks. myös johdanto-osan 93 kappale ja direktiivin (EU) 2016/680 johdanto-osan 101–102 kappale tietosuojan riittävyyttä koskevista päätöksistä).

229

230

231

232

233

234

| (161) | Viimeisimpien vuosikertomustensa (2018–2019 (235), 2019–2020 (236)) mukaan tietosuojavaltuutettu on suorittanut useita tutkimuksia ja toteuttanut täytäntöönpanotoimia, jotka koskevat lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä. Esimerkiksi lokakuussa 2019 tietosuojavaltuutettu julkaisi tutkimustensa perusteella lausunnon, joka koskee kasvojentunnistusteknologian käyttöä julkisilla paikoilla lainvalvontatarkoituksia varten. Tutkimuksessa keskityttiin erityisesti siihen, miten Etelä-Walesin poliisi (South Wales Police) ja suur-Lontoon poliisi (Metropolitan Police Services) käyttävät reaaliaikaista kasvojentunnistusta. Tietosuojavaltuutettu on tutkinut myös suur-Lontoon poliisin jengitietokantaa (Gangs matrix) (237) ja todennut, että siihen liittyy useita vakavia tietosuojalainsäädännön rikkomisia, jotka todennäköisesti heikentäisivät yleisön luottamusta tietokantaan ja siihen, miten tietoja käytetään. Marraskuussa 2018 tietosuojavaltuutettu antoi täytäntöönpanomääräyksen, jonka nojalla suur-Lontoon poliisi toteutti tarvittavat toimet turvallisuuden ja vastuuvelvollisuuden lisäämiseksi ja sen varmistamiseksi, että tietoja käytetään oikeasuhteisesti. Toinen esimerkki täytäntöönpanotoimista tällä alalla on tietosuojavaltuutetun toukokuussa 2018 määräämä 325 000 punnan sakko kruunun syyttäjäyksikölle poliisikuulustelujen tallenteita sisältävien salaamattomien DVD-levyjen katoamisen vuoksi. Tietosuojavaltuutettu on tutkinut myös yleisempiä aiheita, kuten vuoden 2020 alkupuoliskolla matkapuhelintietojen käyttöä poliisitoiminnassa ja uhrien tietojen käsittelyä poliisin toimesta. Lisäksi tietosuojavaltuutettu tutkii parhaillaan tapausta, johon liittyy lainvalvontaviranomaisten pääsy yksityisen sektorin toimijan (Clearview AI Inc) hallussa oleviin tietoihin. (238) |
| --- | --- |

(161)

Viimeisimpien vuosikertomustensa (2018–2019 (235), 2019–2020 (236)) mukaan tietosuojavaltuutettu on suorittanut useita tutkimuksia ja toteuttanut täytäntöönpanotoimia, jotka koskevat lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä. Esimerkiksi lokakuussa 2019 tietosuojavaltuutettu julkaisi tutkimustensa perusteella lausunnon, joka koskee kasvojentunnistusteknologian käyttöä julkisilla paikoilla lainvalvontatarkoituksia varten. Tutkimuksessa keskityttiin erityisesti siihen, miten Etelä-Walesin poliisi (South Wales Police) ja suur-Lontoon poliisi (Metropolitan Police Services) käyttävät reaaliaikaista kasvojentunnistusta. Tietosuojavaltuutettu on tutkinut myös suur-Lontoon poliisin jengitietokantaa (Gangs matrix) (237) ja todennut, että siihen liittyy useita vakavia tietosuojalainsäädännön rikkomisia, jotka todennäköisesti heikentäisivät yleisön luottamusta tietokantaan ja siihen, miten tietoja käytetään. Marraskuussa 2018 tietosuojavaltuutettu antoi täytäntöönpanomääräyksen, jonka nojalla suur-Lontoon poliisi toteutti tarvittavat toimet turvallisuuden ja vastuuvelvollisuuden lisäämiseksi ja sen varmistamiseksi, että tietoja käytetään oikeasuhteisesti. Toinen esimerkki täytäntöönpanotoimista tällä alalla on tietosuojavaltuutetun toukokuussa 2018 määräämä 325 000 punnan sakko kruunun syyttäjäyksikölle poliisikuulustelujen tallenteita sisältävien salaamattomien DVD-levyjen katoamisen vuoksi. Tietosuojavaltuutettu on tutkinut myös yleisempiä aiheita, kuten vuoden 2020 alkupuoliskolla matkapuhelintietojen käyttöä poliisitoiminnassa ja uhrien tietojen käsittelyä poliisin toimesta. Lisäksi tietosuojavaltuutettu tutkii parhaillaan tapausta, johon liittyy lainvalvontaviranomaisten pääsy yksityisen sektorin toimijan (Clearview AI Inc) hallussa oleviin tietoihin. (238)

235

236

237

238

| (162) | Koska eräät tietosuojalainsäädännön loukkaukset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan 160 ja 161 kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista, luovuttamista tai säilyttämistä ilman rekisterinpitäjän suostumusta ja luovutettujen henkilötietojen toimittamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (239); anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (240); tahallista toimintaa, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (241), väärien lausuntojen antamista tiedonantomääräyksen perusteella tai tietojen tuhoamista tiedonanto- ja arviointimääräysten yhteydessä (242). |
| --- | --- |

(162)

Koska eräät tietosuojalainsäädännön loukkaukset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan 160 ja 161 kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista, luovuttamista tai säilyttämistä ilman rekisterinpitäjän suostumusta ja luovutettujen henkilötietojen toimittamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (239); anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (240); tahallista toimintaa, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (241), väärien lausuntojen antamista tiedonantomääräyksen perusteella tai tietojen tuhoamista tiedonanto- ja arviointimääräysten yhteydessä (242).

239

240

241

242

3.2.3.2   Muut valvontaelimet rikoslain täytäntöönpanon alalla

Muut valvontaelimet rikoslain täytäntöönpanon alalla

| (163) | Tietosuojavaltuutetun lisäksi rikoslain täytäntöönpanon alalla on useita valvontaelimiä, joilla on erityisesti tietosuojaan liittyviä valtuuksia. Näitä ovat muun muassa biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu (Biometrics Commissioner) (243) ja valvontakameravaltuutettu (Surveillance Camera Commissioner) (244). |
| --- | --- |

(163)

Tietosuojavaltuutetun lisäksi rikoslain täytäntöönpanon alalla on useita valvontaelimiä, joilla on erityisesti tietosuojaan liittyviä valtuuksia. Näitä ovat muun muassa biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu (Biometrics Commissioner) (243) ja valvontakameravaltuutettu (Surveillance Camera Commissioner) (244).

243

244

3.2.3.3   Parlamentaarinen valvonta rikoslain täytäntöönpanon alalla

| (164) | Parlamentaarisesta valvonnasta lainvalvonnan alalla vastaa parlamentin alahuoneen sisäasiain erityisvaliokunta (Home Affairs Select Committee, HASC). Valiokunnassa on 11 jäsentä, jotka kuuluvat parlamentin kolmeen suurimpaan puolueeseen. Valiokunnan tehtävänä on tarkastella sisäasiainministeriön ja siihen liittyvien julkisten elinten kuten poliisin ja erityisesti kansallisen rikosviraston (NCA) (245) menoja, hallintoa ja toimintaperiaatteita. |
| --- | --- |

(164)

Parlamentaarisesta valvonnasta lainvalvonnan alalla vastaa parlamentin alahuoneen sisäasiain erityisvaliokunta (Home Affairs Select Committee, HASC). Valiokunnassa on 11 jäsentä, jotka kuuluvat parlamentin kolmeen suurimpaan puolueeseen. Valiokunnan tehtävänä on tarkastella sisäasiainministeriön ja siihen liittyvien julkisten elinten kuten poliisin ja erityisesti kansallisen rikosviraston (NCA) (245) menoja, hallintoa ja toimintaperiaatteita.

245

| (165) | Valiokunta voi toimivaltuuksiensa rajoissa valita tutkimuskohteensa, myös erityistapaukset, kunhan asia ei ole oikeuslaitoksen tutkittavana (sub judice). Valiokunta voi myös pyytää kirjallista ja suullista näyttöä erilaisilta asian kannalta merkityksellisiltä ryhmiltä ja henkilöiltä. Valiokunta laatii havaintojensa perusteella raportteja ja antaa hallitukselle suosituksia. (246) Hallituksen odotetaan reagoivan kuhunkin raportissa esitettyyn suositukseen 60 päivän kuluessa. (247) |
| --- | --- |

(165)

Valiokunta voi toimivaltuuksiensa rajoissa valita tutkimuskohteensa, myös erityistapaukset, kunhan asia ei ole oikeuslaitoksen tutkittavana (sub judice). Valiokunta voi myös pyytää kirjallista ja suullista näyttöä erilaisilta asian kannalta merkityksellisiltä ryhmiltä ja henkilöiltä. Valiokunta laatii havaintojensa perusteella raportteja ja antaa hallitukselle suosituksia. (246) Hallituksen odotetaan reagoivan kuhunkin raportissa esitettyyn suositukseen 60 päivän kuluessa. (247)

sub judice

246

247

| (166) | Valiokunta on laatinut myös valvontaa koskevan raportin, jonka mukaan vuonna 2000 tutkintavaltuuksista annettu asetus (Regulation of Investigatory Powers Act 2000) (248) ei ole tarkoituksenmukainen. Raportti otettiin huomioon, kun merkittävä osa asetuksesta korvattiin vuonna 2016 tutkintavaltuuksista annetulla lailla. Täydellinen luettelo tutkimuksista on saatavilla valiokunnan verkkosivuilla (249). |
| --- | --- |

(166)

Valiokunta on laatinut myös valvontaa koskevan raportin, jonka mukaan vuonna 2000 tutkintavaltuuksista annettu asetus (Regulation of Investigatory Powers Act 2000) (248) ei ole tarkoituksenmukainen. Raportti otettiin huomioon, kun merkittävä osa asetuksesta korvattiin vuonna 2016 tutkintavaltuuksista annetulla lailla. Täydellinen luettelo tutkimuksista on saatavilla valiokunnan verkkosivuilla (249).

248

249

| (167) | Skotlannissa sisäasiain erityisvaliokunnan tehtäviä hoitaa poliisitoiminnasta vastaava oikeusasioiden alavaliokunta (Justice Subcommittee on Policing) ja Pohjois-Irlannissa oikeusasioiden valiokunta (Committee for Justice). (250) |
| --- | --- |

(167)

Skotlannissa sisäasiain erityisvaliokunnan tehtäviä hoitaa poliisitoiminnasta vastaava oikeusasioiden alavaliokunta (Justice Subcommittee on Policing) ja Pohjois-Irlannissa oikeusasioiden valiokunta (Committee for Justice). (250)

250

3.2.4   Oikeussuojakeinot

Oikeussuojakeinot

| (168) | Lainvalvontaviranomaisten suorittamaa tietojenkäsittelyä koskevista oikeussuojakeinoista säädetään vuoden 2018 tietosuojalain 3 osassa ja vuonna 2016 tutkintavaltuuksista annetussa laissa sekä vuoden 1998 ihmisoikeuslaissa. |
| --- | --- |

(168)

Lainvalvontaviranomaisten suorittamaa tietojenkäsittelyä koskevista oikeussuojakeinoista säädetään vuoden 2018 tietosuojalain 3 osassa ja vuonna 2016 tutkintavaltuuksista annetussa laissa sekä vuoden 1998 ihmisoikeuslaissa.

| (169) | Nämä eri mekanismit tarjoavat rekisteröidyille tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joiden avulla he voivat erityisesti varmistaa oikeuksiensa toteutumisen; tämä koskee myös oikeutta saada pääsy henkilötietoihin ja oikaista tai poistaa ne. |
| --- | --- |

(169)

Nämä eri mekanismit tarjoavat rekisteröidyille tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joiden avulla he voivat erityisesti varmistaa oikeuksiensa toteutumisen; tämä koskee myös oikeutta saada pääsy henkilötietoihin ja oikaista tai poistaa ne.

| (170) | Ensinnäkin rekisteröidyllä on vuoden 2018 tietosuojalain 165 §:n nojalla oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 3 osan säännöksiä. (251) Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet ja määrätä sakkoja. |
| --- | --- |

(170)

Ensinnäkin rekisteröidyllä on vuoden 2018 tietosuojalain 165 §:n nojalla oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 3 osan säännöksiä. (251) Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet ja määrätä sakkoja.

251

| (171) | Toiseksi vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan, jos rekisteröidyn tekemää valitusta ei käsitellä asianmukaisesti. Tarkemmin sanoen tämä tarkoittaa, että jos tietosuojavaltuutettu ei ”edistä” (252) rekisteröidyn tekemän valituksen käsittelyä, tämä voi hakea oikeussuojaa tuomioistuimelta pyytämällä, että First Tier Tribunal -tuomioistuin (253) määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (254) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä. (255) |
| --- | --- |

(171)

Toiseksi vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan, jos rekisteröidyn tekemää valitusta ei käsitellä asianmukaisesti. Tarkemmin sanoen tämä tarkoittaa, että jos tietosuojavaltuutettu ei ”edistä” (252) rekisteröidyn tekemän valituksen käsittelyä, tämä voi hakea oikeussuojaa tuomioistuimelta pyytämällä, että First Tier Tribunal -tuomioistuin (253) määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (254) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä. (255)

252

253

254

255

| (172) | Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa. Vuoden 2018 tietosuojalain 167 §:n mukaan rekisteröity voi nostaa tuomioistuimessa kanteen, jonka mukaan hänen tietosuojalainsäädäntöön perustuvia oikeuksiaan on loukattu. Tuomioistuin voi sen perusteella määrätä rekisterinpitäjää toteuttamaan tarvittavat toimenpiteet (tai pidättymään tietyistä toimenpiteistä), jotta käsittely olisi vuoden 2018 tietosuojalain mukaista. Lisäksi vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka on kärsinyt vahinkoa jonkin tietosuojalainsäädännössä (ml. vuoden 2018 tietosuojalain 3 osa, mutta pois lukien Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus) vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen rekisterinpitäjältä tai henkilötietojen käsittelijältä, paitsi jos nämä voivat osoittaa, etteivät ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä. |
| --- | --- |

(172)

Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa. Vuoden 2018 tietosuojalain 167 §:n mukaan rekisteröity voi nostaa tuomioistuimessa kanteen, jonka mukaan hänen tietosuojalainsäädäntöön perustuvia oikeuksiaan on loukattu. Tuomioistuin voi sen perusteella määrätä rekisterinpitäjää toteuttamaan tarvittavat toimenpiteet (tai pidättymään tietyistä toimenpiteistä), jotta käsittely olisi vuoden 2018 tietosuojalain mukaista. Lisäksi vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka on kärsinyt vahinkoa jonkin tietosuojalainsäädännössä (ml. vuoden 2018 tietosuojalain 3 osa, mutta pois lukien Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus) vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen rekisterinpitäjältä tai henkilötietojen käsittelijältä, paitsi jos nämä voivat osoittaa, etteivät ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä.

| (173) | Lopuksi todetaan, että jos yksityishenkilö katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, kuten oikeutta yksityisyyteen ja tietosuojaan, hän voi hakea muutosta Yhdistyneen kuningaskunnan tuomioistuimissa vuoden 1998 ihmisoikeuslain nojalla. (256) Kun kaikki kansalliset muutoksenhakukeinot on käytetty, yksityishenkilö, kansalaisjärjestö tai ryhmä voi viime kädessä nostaa kanteen Euroopan ihmisoikeustuomioistuimessa Euroopan ihmisoikeussopimuksessa taattujen oikeuksien loukkaamisen vuoksi (257) (ks. johdanto-osan 111 kappale). |
| --- | --- |

(173)

Lopuksi todetaan, että jos yksityishenkilö katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, kuten oikeutta yksityisyyteen ja tietosuojaan, hän voi hakea muutosta Yhdistyneen kuningaskunnan tuomioistuimissa vuoden 1998 ihmisoikeuslain nojalla. (256) Kun kaikki kansalliset muutoksenhakukeinot on käytetty, yksityishenkilö, kansalaisjärjestö tai ryhmä voi viime kädessä nostaa kanteen Euroopan ihmisoikeustuomioistuimessa Euroopan ihmisoikeussopimuksessa taattujen oikeuksien loukkaamisen vuoksi (257) (ks. johdanto-osan 111 kappale).

256

257

3.2.4.1   Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot

Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot

| (174) | Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal). Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia oikeussuojakeinoja käsitellään johdanto-osan 263–269 kappaleessa. |
| --- | --- |

(174)

Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal). Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia oikeussuojakeinoja käsitellään johdanto-osan 263–269 kappaleessa.

3.3   Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö kansalliseen turvallisuuteen liittyviin tarkoituksiin

Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö kansalliseen turvallisuuteen liittyviin tarkoituksiin

| (175) | Yhdistyneen kuningaskunnan oikeusjärjestyksen mukaan tiedustelupalveluja, joilla on valtuudet kerätä rekisterinpitäjien tai henkilötietojen käsittelijöiden hallussa olevia sähköisiä tietoja kansalliseen turvallisuuteen liittyvistä syistä tilanteissa, joilla on merkitystä tietosuojan riittävyyttä koskevan päätöksen kannalta, ovat turvallisuuspalvelu (258) (Security Service, MI5), salainen tiedustelupalvelu (259) (Secret Intelligence Service, SIS) ja tiedustelupalvelu (260) (Government Communications Headquarters, GCHQ). (261) |
| --- | --- |

(175)

Yhdistyneen kuningaskunnan oikeusjärjestyksen mukaan tiedustelupalveluja, joilla on valtuudet kerätä rekisterinpitäjien tai henkilötietojen käsittelijöiden hallussa olevia sähköisiä tietoja kansalliseen turvallisuuteen liittyvistä syistä tilanteissa, joilla on merkitystä tietosuojan riittävyyttä koskevan päätöksen kannalta, ovat turvallisuuspalvelu (258) (Security Service, MI5), salainen tiedustelupalvelu (259) (Secret Intelligence Service, SIS) ja tiedustelupalvelu (260) (Government Communications Headquarters, GCHQ). (261)

258

259

260

261

3.3.1   Oikeusperustat, rajoitukset ja suojatoimet

Oikeusperustat, rajoitukset ja suojatoimet

| (176) | Yhdistyneen kuningaskunnan tiedustelupalvelujen toimivaltuudet on esitetty vuonna 2016 tutkintavaltuuksista annetussa laissa ja vuonna 2000 tutkintavaltuuksista annetussa asetuksessa. Yhdessä vuoden 2018 tietosuojalain kanssa niissä määritellään näiden valtuuksien aineellinen ja henkilöllinen soveltamisala sekä niiden käyttöön liittyvät rajoitukset ja suojatoimet. Seuraavassa tarkastellaan yksityiskohtaisesti näitä tutkintavaltuuksia sekä niihin sovellettavia rajoituksia ja suojatoimia. |
| --- | --- |

(176)

Yhdistyneen kuningaskunnan tiedustelupalvelujen toimivaltuudet on esitetty vuonna 2016 tutkintavaltuuksista annetussa laissa ja vuonna 2000 tutkintavaltuuksista annetussa asetuksessa. Yhdessä vuoden 2018 tietosuojalain kanssa niissä määritellään näiden valtuuksien aineellinen ja henkilöllinen soveltamisala sekä niiden käyttöön liittyvät rajoitukset ja suojatoimet. Seuraavassa tarkastellaan yksityiskohtaisesti näitä tutkintavaltuuksia sekä niihin sovellettavia rajoituksia ja suojatoimia.

3.3.1.1   Tutkintavaltuuksien käyttö kansallisen turvallisuuden yhteydessä

Tutkintavaltuuksien käyttö kansallisen turvallisuuden yhteydessä

| (177) | Vuonna 2016 tutkintavaltuuksista annettu laki muodostaa oikeudellisen kehyksen, jolla säännellään tutkintavaltuuksien käyttöä eli valtuuksia hankkia viestintätietoja ja tutustua niihin ja suorittaa laitetutkintaa. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään yleisestä kiellosta, jonka nojalla on rikos käyttää tekniikoita, jotka mahdollistavat pääsyn viestinnän sisältöön, viestintätietoihin tai laitteisiin ilman laillista valtuutusta. (262) Tämä näkyy siinä, että tällaisten tutkintavaltuuksien käyttö on laillista vain jos se tapahtuu määräyksen tai luvan perusteella. (263) |
| --- | --- |

(177)

Vuonna 2016 tutkintavaltuuksista annettu laki muodostaa oikeudellisen kehyksen, jolla säännellään tutkintavaltuuksien käyttöä eli valtuuksia hankkia viestintätietoja ja tutustua niihin ja suorittaa laitetutkintaa. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään yleisestä kiellosta, jonka nojalla on rikos käyttää tekniikoita, jotka mahdollistavat pääsyn viestinnän sisältöön, viestintätietoihin tai laitteisiin ilman laillista valtuutusta. (262) Tämä näkyy siinä, että tällaisten tutkintavaltuuksien käyttö on laillista vain jos se tapahtuu määräyksen tai luvan perusteella. (263)

262

263

| (178) | Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan yksityiskohtaiset säännöt, joilla säännellään kunkin tutkintavaltuuden soveltamisalaa ja soveltamista sekä niitä koskevat rajoitukset ja suojatoimet. Eri sääntöjä sovelletaan sen mukaan, minkätyyppisistä tutkintavaltuuksista on kyse (telekuuntelu, viestintätietojen hankinta ja säilyttäminen tai laitetutkinta) (264), ja onko kyseessä tietty kohde vai laajamittainen valvonta. Kunkin toimenpiteen soveltamisalaa sekä niihin liittyviä suojatoimia ja rajoituksia, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetussa laissa, esitellään lähemmin jäljempänä olevassa jaksossa. |
| --- | --- |

(178)

Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan yksityiskohtaiset säännöt, joilla säännellään kunkin tutkintavaltuuden soveltamisalaa ja soveltamista sekä niitä koskevat rajoitukset ja suojatoimet. Eri sääntöjä sovelletaan sen mukaan, minkätyyppisistä tutkintavaltuuksista on kyse (telekuuntelu, viestintätietojen hankinta ja säilyttäminen tai laitetutkinta) (264), ja onko kyseessä tietty kohde vai laajamittainen valvonta. Kunkin toimenpiteen soveltamisalaa sekä niihin liittyviä suojatoimia ja rajoituksia, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetussa laissa, esitellään lähemmin jäljempänä olevassa jaksossa.

264

| (179) | Vuonna 2016 tutkintavaltuuksista annettua lakia on täydennetty useilla Secretary of Staten antamilla lakisääteisillä käytännesäännöillä, jotka on hyväksytty parlamentin molemmissa kamareissa. (265) Käytännesääntöjä sovelletaan koko maassa, ja niissä annetaan ohjeita näiden valtuuksien käytöstä. (266) Vaikka rekisteröidyt voivat oikeuksiensa käyttämiseksi vedota suoraan vuonna 2016 tutkintavaltuuksista annetun lain säännöksiin, lain liitteessä 7 olevan 5 kohdan mukaan käytännesääntöjä voidaan käyttää näyttönä siviili- ja rikosoikeudellisissa menettelyissä. Tuomioistuin tai valvontaviranomainen voi ottaa käytännesääntöjen noudattamatta jättämisen huomioon määrittäessään oikeudellisessa menettelyssä käsiteltävää asiaa. (267) Euroopan ihmisoikeustuomioistuimen suuri jaosto on Yhdistyneen kuningaskunnan aiemman valvontalainsäädännön eli vuonna 2000 tutkintavaltuuksista annetun asetuksen laatua arvioidessaan tunnustanut nimenomaisesti Yhdistyneen kuningaskunnan käytännesääntöjen merkityksen ja katsonut, että ne voidaan ottaa huomioon arvioitaessa valvonnan mahdollistavan lainsäädännön ennakoitavuutta. (268) |
| --- | --- |

(179)

Vuonna 2016 tutkintavaltuuksista annettua lakia on täydennetty useilla Secretary of Staten antamilla lakisääteisillä käytännesäännöillä, jotka on hyväksytty parlamentin molemmissa kamareissa. (265) Käytännesääntöjä sovelletaan koko maassa, ja niissä annetaan ohjeita näiden valtuuksien käytöstä. (266) Vaikka rekisteröidyt voivat oikeuksiensa käyttämiseksi vedota suoraan vuonna 2016 tutkintavaltuuksista annetun lain säännöksiin, lain liitteessä 7 olevan 5 kohdan mukaan käytännesääntöjä voidaan käyttää näyttönä siviili- ja rikosoikeudellisissa menettelyissä. Tuomioistuin tai valvontaviranomainen voi ottaa käytännesääntöjen noudattamatta jättämisen huomioon määrittäessään oikeudellisessa menettelyssä käsiteltävää asiaa. (267) Euroopan ihmisoikeustuomioistuimen suuri jaosto on Yhdistyneen kuningaskunnan aiemman valvontalainsäädännön eli vuonna 2000 tutkintavaltuuksista annetun asetuksen laatua arvioidessaan tunnustanut nimenomaisesti Yhdistyneen kuningaskunnan käytännesääntöjen merkityksen ja katsonut, että ne voidaan ottaa huomioon arvioitaessa valvonnan mahdollistavan lainsäädännön ennakoitavuutta. (268)

265

266

267

268

| (180) | Olisi myös huomattava, että kohdennetut toimivaltuudet (kohdennettu telekuuntelu (269), viestintätietojen hankinta (270), viestintätietojen säilyttäminen (271) ja kohdennettu laitetutkinta (272)) ovat kansallisten turvallisuusvirastojen ja tiettyjen lainvalvontaviranomaisten (273) käytettävissä, kun taas ainoastaan tiedustelupalvelut voivat käyttää laajamittaisia valtuuksia (eli laajamittaista telekuuntelua (274), laajamittaista viestintätietojen hankintaa (275), laajamittaista laitetutkintaa (276) ja laajojen henkilötietoaineistojen tutkintaa (277)). |
| --- | --- |

(180)

Olisi myös huomattava, että kohdennetut toimivaltuudet (kohdennettu telekuuntelu (269), viestintätietojen hankinta (270), viestintätietojen säilyttäminen (271) ja kohdennettu laitetutkinta (272)) ovat kansallisten turvallisuusvirastojen ja tiettyjen lainvalvontaviranomaisten (273) käytettävissä, kun taas ainoastaan tiedustelupalvelut voivat käyttää laajamittaisia valtuuksia (eli laajamittaista telekuuntelua (274), laajamittaista viestintätietojen hankintaa (275), laajamittaista laitetutkintaa (276) ja laajojen henkilötietoaineistojen tutkintaa (277)).

269

270

271

272

273

274

275

276

277

| (181) | Kun tiedusteluvirasto päättää, mitä tutkintavaltuuksia olisi käytettävä, sen on noudatettava vuoden 2016 lain 2 §:n 2 momentin a alakohdassa lueteltuja ”yksityisyyteen liittyviä yleisiä velvollisuuksia”, mikä tarkoittaa mm. tarpeellisuuden ja oikeasuhteisuuden arviointia. Tarkemmin sanottuna tutkintavaltuuksien käyttöä harkitsevan viranomaisen on kyseisen säännöksen nojalla arvioitava, i) voitaisiinko määräyksen tai luvan (warrant, authorisation, notice) avulla tavoiteltu tulos kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla; ii) onko tällaisen määräyksen tai luvan nojalla hankittavien tietojen suhteen sovellettava korkeampaa suojelutasoa kyseisten tietojen erityisen arkaluontoisuuden vuoksi; iii) televiestintäjärjestelmien ja postipalvelujen eheyttä ja turvallisuutta koskevaa yleistä etua ja iv) muita yksityisyydensuojaa koskevaan yleiseen etuun liittyviä näkökohtia. (278) |
| --- | --- |

(181)

Kun tiedusteluvirasto päättää, mitä tutkintavaltuuksia olisi käytettävä, sen on noudatettava vuoden 2016 lain 2 §:n 2 momentin a alakohdassa lueteltuja ”yksityisyyteen liittyviä yleisiä velvollisuuksia”, mikä tarkoittaa mm. tarpeellisuuden ja oikeasuhteisuuden arviointia. Tarkemmin sanottuna tutkintavaltuuksien käyttöä harkitsevan viranomaisen on kyseisen säännöksen nojalla arvioitava, i) voitaisiinko määräyksen tai luvan (warrant, authorisation, notice) avulla tavoiteltu tulos kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla; ii) onko tällaisen määräyksen tai luvan nojalla hankittavien tietojen suhteen sovellettava korkeampaa suojelutasoa kyseisten tietojen erityisen arkaluontoisuuden vuoksi; iii) televiestintäjärjestelmien ja postipalvelujen eheyttä ja turvallisuutta koskevaa yleistä etua ja iv) muita yksityisyydensuojaa koskevaan yleiseen etuun liittyviä näkökohtia. (278)

278

| (182) | Asiaa koskevissa käytännesäännöissä täsmennetään tarkemmin näiden kriteerien soveltamista ja sitä, miten niitä olisi arvioitava, kun Secretary of State ja riippumattomat oikeusvaltuutetut (Judicial Commissioners) arvioivat tällaisten tutkintavaltuuksien käyttöä. Käytännesääntöjen mukaan kaikkien tällaisten tutkintavaltuuksien käytön on aina oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. Tämä tarkoittaa, että on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tämä tarkoittaa erityisesti sitä, että tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. Minkäänlaista yksityisyyteen puuttumista ei myöskään pitäisi katsoa oikeasuhteiseksi, jos halutut tiedot olisi kohtuudella mahdollista hankkia myös vähemmän yksityisyyteen puuttuvilla keinoilla. (279) Tarkemmin sanottuna oikeasuhteisuuden periaatteen noudattamista olisi arvioitava seuraavien kriteerien perusteella: i) ehdotetun yksityisyyteen puuttumisen laajuus suhteessa toimella tavoiteltuun tulokseen; ii) se, miten ja miksi käytettävillä menetelmillä aiheutettaisiin mahdollisimman vähän häiriöitä asianomaiselle henkilölle ja muille; iii) se, edustaako suunniteltu toiminta kyseisen lain asianmukaista käyttöä ja onko se järkevä tapa saavuttaa tavoiteltu tulos, kun otetaan huomioon kaikki kohtuulliset vaihtoehdot; iv) mitä muita soveltuvia menetelmiä ei joko ole käytetty lainkaan tai joita on käytetty, mutta jotka on arvioitu riittämättömiksi operatiivisten tavoitteiden toteuttamiseksi ilman ehdotettujen tutkintavaltuuksien käyttöä. (280) |
| --- | --- |

(182)

Asiaa koskevissa käytännesäännöissä täsmennetään tarkemmin näiden kriteerien soveltamista ja sitä, miten niitä olisi arvioitava, kun Secretary of State ja riippumattomat oikeusvaltuutetut (Judicial Commissioners) arvioivat tällaisten tutkintavaltuuksien käyttöä. Käytännesääntöjen mukaan kaikkien tällaisten tutkintavaltuuksien käytön on aina oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. Tämä tarkoittaa, että on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tämä tarkoittaa erityisesti sitä, että tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. Minkäänlaista yksityisyyteen puuttumista ei myöskään pitäisi katsoa oikeasuhteiseksi, jos halutut tiedot olisi kohtuudella mahdollista hankkia myös vähemmän yksityisyyteen puuttuvilla keinoilla. (279) Tarkemmin sanottuna oikeasuhteisuuden periaatteen noudattamista olisi arvioitava seuraavien kriteerien perusteella: i) ehdotetun yksityisyyteen puuttumisen laajuus suhteessa toimella tavoiteltuun tulokseen; ii) se, miten ja miksi käytettävillä menetelmillä aiheutettaisiin mahdollisimman vähän häiriöitä asianomaiselle henkilölle ja muille; iii) se, edustaako suunniteltu toiminta kyseisen lain asianmukaista käyttöä ja onko se järkevä tapa saavuttaa tavoiteltu tulos, kun otetaan huomioon kaikki kohtuulliset vaihtoehdot; iv) mitä muita soveltuvia menetelmiä ei joko ole käytetty lainkaan tai joita on käytetty, mutta jotka on arvioitu riittämättömiksi operatiivisten tavoitteiden toteuttamiseksi ilman ehdotettujen tutkintavaltuuksien käyttöä. (280)

279

280

| (183) | Yhdistyneen kuningaskunnan viranomaisten mukaan tämä käytännössä varmistaa, että tiedusteluvirasto asettaa ensin operatiivisen tavoitteen (jonka mukaan tietojen keräämistä rajoitetaan, esimerkiksi kansainvälisen terrorismin torjunta tietyllä maantieteellisellä alueella). Seuraavaksi pohditaan tämän tavoitteen perusteella, mikä tekninen vaihtoehto (esimerkiksi kohdennettu vai laajamittainen telekuuntelu, laitetutkinta tai viestintätietojen hankinta) olisi tavoitellun tuloksen saavuttamiseksi oikeasuhteisin (eli jolla puututtaisiin vähiten yksityisyyteen, ks. vuoden 2016 lain 2 §:n 2 momentti) ja joka sen vuoksi voidaan hyväksyä jonkin käytettävissä olevan oikeusperustan nojalla. |
| --- | --- |

(183)

Yhdistyneen kuningaskunnan viranomaisten mukaan tämä käytännössä varmistaa, että tiedusteluvirasto asettaa ensin operatiivisen tavoitteen (jonka mukaan tietojen keräämistä rajoitetaan, esimerkiksi kansainvälisen terrorismin torjunta tietyllä maantieteellisellä alueella). Seuraavaksi pohditaan tämän tavoitteen perusteella, mikä tekninen vaihtoehto (esimerkiksi kohdennettu vai laajamittainen telekuuntelu, laitetutkinta tai viestintätietojen hankinta) olisi tavoitellun tuloksen saavuttamiseksi oikeasuhteisin (eli jolla puututtaisiin vähiten yksityisyyteen, ks. vuoden 2016 lain 2 §:n 2 momentti) ja joka sen vuoksi voidaan hyväksyä jonkin käytettävissä olevan oikeusperustan nojalla.

| (184) | Mainittakoon, että oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija Joseph Cannataci on pannut tyytyväisenä merkille vetoamisen tarpeellisuus- ja oikeasuhteisuusperiaatteisiin. Hän on todennut vuonna 2016 tutkintavaltuuksista annettua lakia koskevasta järjestelmästä, että sekä tiedustelupalvelujen että lainvalvontavirastojen menettelyt vaikuttavat järjestelmällisesti edellyttävän valvontatoimenpiteen tai -operaation tarpeellisuuden ja oikeasuhteisuuden arviointia ennen kuin sitä voidaan suosittaa hyväksyttäväksi ja että toimia tarkastellaan myös jälkikäteen näiden kriteerien perusteella. (281) Hän huomautti myös saaneensa tapaamisessa lainvalvontaviranomaisten ja kansallisten turvallisuusvirastojen kanssa konsensukseen perustuvan näkemyksen siitä, että kaikissa valvontatoimia koskevissa päätöksissä on otettava ensisijaisesti huomioon oikeus yksityisyydensuojaan. Kaikki osanottajat ymmärsivät ja katsoivat, että tarpeellisuus ja oikeasuhteisuus on otettava huomioon olennaisina perusperiaatteina. |
| --- | --- |

(184)

Mainittakoon, että oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija Joseph Cannataci on pannut tyytyväisenä merkille vetoamisen tarpeellisuus- ja oikeasuhteisuusperiaatteisiin. Hän on todennut vuonna 2016 tutkintavaltuuksista annettua lakia koskevasta järjestelmästä, että sekä tiedustelupalvelujen että lainvalvontavirastojen menettelyt vaikuttavat järjestelmällisesti edellyttävän valvontatoimenpiteen tai -operaation tarpeellisuuden ja oikeasuhteisuuden arviointia ennen kuin sitä voidaan suosittaa hyväksyttäväksi ja että toimia tarkastellaan myös jälkikäteen näiden kriteerien perusteella. (281) Hän huomautti myös saaneensa tapaamisessa lainvalvontaviranomaisten ja kansallisten turvallisuusvirastojen kanssa konsensukseen perustuvan näkemyksen siitä, että kaikissa valvontatoimia koskevissa päätöksissä on otettava ensisijaisesti huomioon oikeus yksityisyydensuojaan. Kaikki osanottajat ymmärsivät ja katsoivat, että tarpeellisuus ja oikeasuhteisuus on otettava huomioon olennaisina perusperiaatteina.

281

| (185) | Eri määräysten antamista koskevia kriteerejä sekä eri tutkintavaltuuksille vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistettuja rajoituksia ja suojatoimia tarkastellaan lähemmin johdanto-osan 186–243 kappaleessa. |
| --- | --- |

(185)

Eri määräysten antamista koskevia kriteerejä sekä eri tutkintavaltuuksille vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistettuja rajoituksia ja suojatoimia tarkastellaan lähemmin johdanto-osan 186–243 kappaleessa.

3.3.1.1.1   Kohdennettu telekuuntelu ja tutkinta

| (186) | Kohdennettua telekuuntelua voidaan määrätä suoritettavaksi kolmen eri määräyksen nojalla: kohdennetulla kuuntelumääräyksellä (282), kohdennetulla tutkintamääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä (283). Edellytykset näiden määräysten saamiseksi ja niihin sovellettavat suojatoimet on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 osan 1 luvussa. |
| --- | --- |

(186)

Kohdennettua telekuuntelua voidaan määrätä suoritettavaksi kolmen eri määräyksen nojalla: kohdennetulla kuuntelumääräyksellä (282), kohdennetulla tutkintamääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä (283). Edellytykset näiden määräysten saamiseksi ja niihin sovellettavat suojatoimet on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 osan 1 luvussa.

282

283

| (187) | Kohdennettua telekuuntelua koskevan määräyksen nojalla on mahdollista siepata siinä mainitut viestit, kun niitä lähetetään, ja saada myös muut näiden viestien kannalta merkitykselliset tiedot (284), mukaan lukien ns. toissijainen data (285). Kohdennetun tutkintamääräyksen nojalla on mahdollista valikoida tutkittavaksi haluttu osa laajamittaista telekuuntelua koskevan määräyksen nojalla siepatusta sisällöstä. (286) |
| --- | --- |

(187)

Kohdennettua telekuuntelua koskevan määräyksen nojalla on mahdollista siepata siinä mainitut viestit, kun niitä lähetetään, ja saada myös muut näiden viestien kannalta merkitykselliset tiedot (284), mukaan lukien ns. toissijainen data (285). Kohdennetun tutkintamääräyksen nojalla on mahdollista valikoida tutkittavaksi haluttu osa laajamittaista telekuuntelua koskevan määräyksen nojalla siepatusta sisällöstä. (286)

284

285

286

| (188) | Secretary of State voi antaa minkä tahansa vuonna 2016 tutkintavaltuuksista annetun lain 2 osassa tarkoitetun määräyksen (287), ja oikeusvaltuutettu (288) voi vahvistaa ne. Kaikkien kohdennettujen määräysten voimassaoloaika on rajoitettu 6 kuukauteen (289), ja niiden muuttamiseen (290) ja uusimiseen (291) sovelletaan erityisiä sääntöjä. |
| --- | --- |

(188)

Secretary of State voi antaa minkä tahansa vuonna 2016 tutkintavaltuuksista annetun lain 2 osassa tarkoitetun määräyksen (287), ja oikeusvaltuutettu (288) voi vahvistaa ne. Kaikkien kohdennettujen määräysten voimassaoloaika on rajoitettu 6 kuukauteen (289), ja niiden muuttamiseen (290) ja uusimiseen (291) sovelletaan erityisiä sääntöjä.

287

288

289

290

291

| (189) | Ennen määräyksen antamista Secretary of Staten on arvioitava sen tarpeellisuus ja oikeasuhteisuus (292). Etenkin kun kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, Secretary of Staten olisi tarkistettava, onko toimenpide tarpeen jonkin seuraavan syyn perusteella: kansallisen turvallisuuden vuoksi; vakavan rikoksen ehkäisemiseksi tai paljastamiseksi; tai taloudellisen hyvinvoinnin turvaamiseksi (293) Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (294) Toisaalta keskinäistä avunantoa koskeva määräys (ks. johdanto-osan 139 kappale) voidaan antaa vain jos Secretary of State katsoo, että olosuhteet vastaavat niitä olosuhteita, joissa hän antaisi määräyksen vakavan rikoksen ehkäisemiseksi tai paljastamiseksi. (295) |
| --- | --- |

(189)

Ennen määräyksen antamista Secretary of Staten on arvioitava sen tarpeellisuus ja oikeasuhteisuus (292). Etenkin kun kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, Secretary of Staten olisi tarkistettava, onko toimenpide tarpeen jonkin seuraavan syyn perusteella: kansallisen turvallisuuden vuoksi; vakavan rikoksen ehkäisemiseksi tai paljastamiseksi; tai taloudellisen hyvinvoinnin turvaamiseksi (293) Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (294) Toisaalta keskinäistä avunantoa koskeva määräys (ks. johdanto-osan 139 kappale) voidaan antaa vain jos Secretary of State katsoo, että olosuhteet vastaavat niitä olosuhteita, joissa hän antaisi määräyksen vakavan rikoksen ehkäisemiseksi tai paljastamiseksi. (295)

292

293

294

295

| (190) | Lisäksi Secretary of Staten olisi arvioitava, onko toimenpide oikeasuhteinen tavoiteltuun tulokseen nähden. (296) Pyydettyjen toimenpiteiden oikeasuhteisuuden arvioinnissa on otettava huomioon yksityisyydensuojaa koskevat yleiset velvoitteet, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa. Tämän perusteella on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tai luvan tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla ja onko tällaisen määräyksen tai luvan avulla hankittavien tietojen suhteen sovellettava suojan taso korkeampi kyseisten tietojen erityisen arkaluonteisuuden vuoksi (ks. johdanto-osan 181 kappale). |
| --- | --- |

(190)

Lisäksi Secretary of Staten olisi arvioitava, onko toimenpide oikeasuhteinen tavoiteltuun tulokseen nähden. (296) Pyydettyjen toimenpiteiden oikeasuhteisuuden arvioinnissa on otettava huomioon yksityisyydensuojaa koskevat yleiset velvoitteet, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa. Tämän perusteella on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tai luvan tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla ja onko tällaisen määräyksen tai luvan avulla hankittavien tietojen suhteen sovellettava suojan taso korkeampi kyseisten tietojen erityisen arkaluonteisuuden vuoksi (ks. johdanto-osan 181 kappale).

296

| (191) | Tätä varten Secretary of Staten on otettava huomioon kaikki pyynnön esittävän viranomaisen hakemuksessa esittämät tekijät ja erityisesti ne, jotka liittyvät kuunneltaviin henkilöihin ja toimenpiteen merkityksellisyyteen tutkinnan kannalta. Nämä tekijät luetellaan telekuuntelua koskevissa käytännesäännöissä, ja ne on kuvailtava tietyllä tarkkuusasteella. (297) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain 17 §:ssä edellytetään, että kaikissa sen 2 luvun nojalla annetuissa määräyksissä on nimettävä tai kuvailtava kuuntelun kohteena oleva henkilö tai henkilöryhmä, organisaatio tai toimitilat (”kohde”). Jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, ne voivat koskea myös henkilöryhmää, useampaa kuin yhtä henkilöä tai organisaatiota tai useampia tiloja (ns. temaattinen määräys, thematic warrant). (298) Tällaisessa tapauksessa määräyksessä olisi kuvailtava henkilöryhmän tai operaation/tutkimuksen yhteinen tarkoitus tai toiminta ja nimi tai kuvailtava niin monta näistä henkilöistä/organisaatioista tai tiloista kuin kohtuudella on mahdollista. (299) Kaikissa vuonna 2016 tutkintavaltuuksista annetun lain 2 osan nojalla annettavissa määräyksissä on myös täsmennettävä viestinnän yksilöimiseksi tarvittavat osoitteet, numerot, laitteet, tekijät tai tekijöiden yhdistelmät. (300) Telekuuntelua koskevissa käytännesäännöissä täsmennetään tältä osin, että jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, siinä on täsmennettävä (tai kuvailtava) ne tekijät tai tekijöiden yhdistelmät, joiden avulla asianomainen viestintä on tarkoitus yksilöidä. Jos viestintä on yksilöitävä (esimerkiksi) puhelinnumeron perusteella, puhelinnumero on annettava kokonaisuudessaan. Jos sen sijaan yksilöinnissä on tarkoitus käyttää hyvin monimutkaisia tai jatkuvasti muuttuvia internetvalintoja, ne olisi kuvailtava niin tarkasti kuin se on mahdollista. (301) |
| --- | --- |

(191)

Tätä varten Secretary of Staten on otettava huomioon kaikki pyynnön esittävän viranomaisen hakemuksessa esittämät tekijät ja erityisesti ne, jotka liittyvät kuunneltaviin henkilöihin ja toimenpiteen merkityksellisyyteen tutkinnan kannalta. Nämä tekijät luetellaan telekuuntelua koskevissa käytännesäännöissä, ja ne on kuvailtava tietyllä tarkkuusasteella. (297) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain 17 §:ssä edellytetään, että kaikissa sen 2 luvun nojalla annetuissa määräyksissä on nimettävä tai kuvailtava kuuntelun kohteena oleva henkilö tai henkilöryhmä, organisaatio tai toimitilat (”kohde”). Jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, ne voivat koskea myös henkilöryhmää, useampaa kuin yhtä henkilöä tai organisaatiota tai useampia tiloja (ns. temaattinen määräys, thematic warrant). (298) Tällaisessa tapauksessa määräyksessä olisi kuvailtava henkilöryhmän tai operaation/tutkimuksen yhteinen tarkoitus tai toiminta ja nimi tai kuvailtava niin monta näistä henkilöistä/organisaatioista tai tiloista kuin kohtuudella on mahdollista. (299) Kaikissa vuonna 2016 tutkintavaltuuksista annetun lain 2 osan nojalla annettavissa määräyksissä on myös täsmennettävä viestinnän yksilöimiseksi tarvittavat osoitteet, numerot, laitteet, tekijät tai tekijöiden yhdistelmät. (300) Telekuuntelua koskevissa käytännesäännöissä täsmennetään tältä osin, että jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, siinä on täsmennettävä (tai kuvailtava) ne tekijät tai tekijöiden yhdistelmät, joiden avulla asianomainen viestintä on tarkoitus yksilöidä. Jos viestintä on yksilöitävä (esimerkiksi) puhelinnumeron perusteella, puhelinnumero on annettava kokonaisuudessaan. Jos sen sijaan yksilöinnissä on tarkoitus käyttää hyvin monimutkaisia tai jatkuvasti muuttuvia internetvalintoja, ne olisi kuvailtava niin tarkasti kuin se on mahdollista. (301)

297

thematic warrant

298

299

300

301

| (192) | Tärkeä tähän liittyvä suojatoimi on se, että Secretary of Staten tekemälle määräyksen antamista koskevalle arviolle on saatava riippumattoman oikeusvaltuutetun hyväksyntä (302); hänen tehtävänään on erityisesti tarkistaa, että määräyksen antamista koskeva päätös on tarpeellisuus- ja suhteellisuusperiaatteiden (303) mukainen (oikeusvaltuutettujen asemasta ja tehtävästä ks. johdanto-osan 251–256 kappale.) Vuonna 2016 tutkintavaltuuksista annetussa laissa selvennetään myös, että oikeusvaltuutetun on tällaista tarkistusta tehdessään sovellettava samoja periaatteita kuin ne, joita tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (304) Näin varmistetaan, että riippumaton elin tarkastaa kussakin tapauksessa järjestelmällisesti tarpeellisuus- ja oikeasuhteisuusperiaatteiden noudattamisen ennen kuin pääsy tietoihin toteutuu. |
| --- | --- |

(192)

Tärkeä tähän liittyvä suojatoimi on se, että Secretary of Staten tekemälle määräyksen antamista koskevalle arviolle on saatava riippumattoman oikeusvaltuutetun hyväksyntä (302); hänen tehtävänään on erityisesti tarkistaa, että määräyksen antamista koskeva päätös on tarpeellisuus- ja suhteellisuusperiaatteiden (303) mukainen (oikeusvaltuutettujen asemasta ja tehtävästä ks. johdanto-osan 251–256 kappale.) Vuonna 2016 tutkintavaltuuksista annetussa laissa selvennetään myös, että oikeusvaltuutetun on tällaista tarkistusta tehdessään sovellettava samoja periaatteita kuin ne, joita tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (304) Näin varmistetaan, että riippumaton elin tarkastaa kussakin tapauksessa järjestelmällisesti tarpeellisuus- ja oikeasuhteisuusperiaatteiden noudattamisen ennen kuin pääsy tietoihin toteutuu.

302

303

304

| (193) | Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään joitakin erityisiä ja rajattuja poikkeuksia, joiden nojalla kohdennettua kuuntelua voidaan suorittaa ilman määräystä. Nämä rajoitetut tapaukset täsmennetään kyseisessä laissa (305), ja lähettäjän/vastaanottajan ”suostumukseen” perustuvaa tapausta lukuun ottamatta niiden toteuttamisesta vastaavat muut henkilöt (yksityiset tai julkiset elimet) kuin kansalliset turvallisuusvirastot. Lisäksi tämäntyyppistä kuuntelua tehdään muita tarkoituksia kuin tiedustelutiedon keräämistä varten (306), ja joidenkin tällaisten elinten kohdalla on erittäin epätodennäköistä, että tietojen kerääminen liittyisi ”siirtämiseen” (esimerkiksi kun kuuntelu tapahtuu psykiatrisessa sairaalassa tai vankilassa). Kun otetaan huomioon, minkätyyppisiin elimiin nämä erityistapaukset liittyvät (muut kuin turvallisuusvirastot), niihin sovelletaan kaikkia vuoden 2018 tietosuojalain 2 osassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säädettyjä suojatoimia, mukaan lukien tietosuojavaltuutetun valvontaa ja käytettävissä olevia oikeussuojakeinoja. Lisäksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään, että tietyissä tapauksissa on sovellettava vuoden 2018 tietosuojalaissa säädettyjen suojatoimien ohella myös tietosuojavaltuutetun jälkikäteisvalvontaa. (307) |
| --- | --- |

(193)

Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään joitakin erityisiä ja rajattuja poikkeuksia, joiden nojalla kohdennettua kuuntelua voidaan suorittaa ilman määräystä. Nämä rajoitetut tapaukset täsmennetään kyseisessä laissa (305), ja lähettäjän/vastaanottajan ”suostumukseen” perustuvaa tapausta lukuun ottamatta niiden toteuttamisesta vastaavat muut henkilöt (yksityiset tai julkiset elimet) kuin kansalliset turvallisuusvirastot. Lisäksi tämäntyyppistä kuuntelua tehdään muita tarkoituksia kuin tiedustelutiedon keräämistä varten (306), ja joidenkin tällaisten elinten kohdalla on erittäin epätodennäköistä, että tietojen kerääminen liittyisi ”siirtämiseen” (esimerkiksi kun kuuntelu tapahtuu psykiatrisessa sairaalassa tai vankilassa). Kun otetaan huomioon, minkätyyppisiin elimiin nämä erityistapaukset liittyvät (muut kuin turvallisuusvirastot), niihin sovelletaan kaikkia vuoden 2018 tietosuojalain 2 osassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säädettyjä suojatoimia, mukaan lukien tietosuojavaltuutetun valvontaa ja käytettävissä olevia oikeussuojakeinoja. Lisäksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään, että tietyissä tapauksissa on sovellettava vuoden 2018 tietosuojalaissa säädettyjen suojatoimien ohella myös tietosuojavaltuutetun jälkikäteisvalvontaa. (307)

305

306

307

| (194) | Kuuntelua suoritettaessa sovelletaan myös muita rajoituksia ja suojatoimia, jotka liittyvät kuuntelun kohteena olevan henkilön / olevien henkilöiden erityisasemaan. (308) Esimerkiksi asianajosalaisuuden piiriin kuuluvien asioiden kuuntelu voidaan sallia vain poikkeuksellisissa ja pakottavissa olosuhteissa. Tällaisen määräyksen antavan henkilön on otettava huomioon asianajosalaisuuden piiriin kuuluvien seikkojen luottamuksellisuuteen liittyvä yleinen etu ja huolehdittava siitä, että tällaisen aineiston käsittelyyn, säilyttämiseen ja luovuttamiseen sovelletaan erityisiä vaatimuksia. (309) |
| --- | --- |

(194)

Kuuntelua suoritettaessa sovelletaan myös muita rajoituksia ja suojatoimia, jotka liittyvät kuuntelun kohteena olevan henkilön / olevien henkilöiden erityisasemaan. (308) Esimerkiksi asianajosalaisuuden piiriin kuuluvien asioiden kuuntelu voidaan sallia vain poikkeuksellisissa ja pakottavissa olosuhteissa. Tällaisen määräyksen antavan henkilön on otettava huomioon asianajosalaisuuden piiriin kuuluvien seikkojen luottamuksellisuuteen liittyvä yleinen etu ja huolehdittava siitä, että tällaisen aineiston käsittelyyn, säilyttämiseen ja luovuttamiseen sovelletaan erityisiä vaatimuksia. (309)

308

309

| (195) | Lisäksi vuonna 2016 tutkintavaltuuksia koskevassa laissa säädetään turvallisuutta, säilyttämistä ja luovuttamista koskevista erityisistä suojatoimista, jotka Secretary of Staten olisi otettava huomioon ennen kohdennetun määräyksen antamista. (310) Erityisesti lain 53 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 53 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä. |
| --- | --- |

(195)

Lisäksi vuonna 2016 tutkintavaltuuksia koskevassa laissa säädetään turvallisuutta, säilyttämistä ja luovuttamista koskevista erityisistä suojatoimista, jotka Secretary of Staten olisi otettava huomioon ennen kohdennetun määräyksen antamista. (310) Erityisesti lain 53 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 53 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä.

310

| (196) | Lisäksi laissa säädetään, että kun kohdennetulla kuuntelumääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (311) Lisäksi vuoden 2018 tietosuojalain 109 §:n 2 momentissa säädetään, että tiedustelupalvelut saavat siirtää henkilötietoja Yhdistyneen kuningaskunnan ulkopuolelle vain jos siirto on tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin a alakohdassa tai vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (312) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi. |
| --- | --- |

(196)

Lisäksi laissa säädetään, että kun kohdennetulla kuuntelumääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (311) Lisäksi vuoden 2018 tietosuojalain 109 §:n 2 momentissa säädetään, että tiedustelupalvelut saavat siirtää henkilötietoja Yhdistyneen kuningaskunnan ulkopuolelle vain jos siirto on tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin a alakohdassa tai vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (312) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.

311

312

3.3.1.1.2   Viestintätietojen kohdennettu hankinta ja säilyttäminen

| (197) | Vuonna 2016 tutkintavaltuuksista annetun lain mukaan Secretary of State voi vaatia teleoperaattoreita säilyttämään viestintätiedot, jotta eri viranomaiset, mukaan lukien lainvalvonta- ja tiedusteluvirastot, voivat tutustua niihin kohdennetusti. Viestintätietojen säilyttämisestä säädetään lain 4 osassa ja viestintätietojen kohdennetusta hankkimisesta 3 osassa. Lain 3 ja 4 osassa asetetaan myös rajoituksia näiden valtuuksien käytölle ja säädetään erityisistä suojatoimista. |
| --- | --- |

(197)

Vuonna 2016 tutkintavaltuuksista annetun lain mukaan Secretary of State voi vaatia teleoperaattoreita säilyttämään viestintätiedot, jotta eri viranomaiset, mukaan lukien lainvalvonta- ja tiedusteluvirastot, voivat tutustua niihin kohdennetusti. Viestintätietojen säilyttämisestä säädetään lain 4 osassa ja viestintätietojen kohdennetusta hankkimisesta 3 osassa. Lain 3 ja 4 osassa asetetaan myös rajoituksia näiden valtuuksien käytölle ja säädetään erityisistä suojatoimista.

| (198) | ”Viestintätiedoilla” tarkoitetaan sitä, ”kuka, milloin, missä ja miten” toteuttaa viestintää, mutta ei viestinnän sisältöä eli sitä, mitä sanottiin tai kirjoitettiin. Viestintätietojen hankkiminen ja säilyttäminen ei siis ole sama asia kuin kuuntelu, sillä tarkoituksena ei ole selvittää viestinnän sisältöä vaan ainoastaan hankkia tiedot esimerkiksi siitä, kuka on puhelinliittymän tai eritellyn laskun tilaaja. Tämä voi koskea esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut. (313) |
| --- | --- |

(198)

”Viestintätiedoilla” tarkoitetaan sitä, ”kuka, milloin, missä ja miten” toteuttaa viestintää, mutta ei viestinnän sisältöä eli sitä, mitä sanottiin tai kirjoitettiin. Viestintätietojen hankkiminen ja säilyttäminen ei siis ole sama asia kuin kuuntelu, sillä tarkoituksena ei ole selvittää viestinnän sisältöä vaan ainoastaan hankkia tiedot esimerkiksi siitä, kuka on puhelinliittymän tai eritellyn laskun tilaaja. Tämä voi koskea esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut. (313)

313

| (199) | On huomattava, että viestintätietojen säilyttäminen ja hankkiminen ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 3 ja 4 osassa säädetty velvollisuus säilyttää tai luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (314) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle. |
| --- | --- |

(199)

On huomattava, että viestintätietojen säilyttäminen ja hankkiminen ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 3 ja 4 osassa säädetty velvollisuus säilyttää tai luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (314) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle.

314

| (200) | Kattavuuden vuoksi nämä tietojen hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä. |
| --- | --- |

(200)

Kattavuuden vuoksi nämä tietojen hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä.

| (201) | Todettakoon, että viestintätietojen säilyttämistä ja kohdennettua hankintaa voivat lähtökohtaisesti suorittaa sekä kansalliset turvallisuusvirastot että tietyt lainvalvontaviranomaiset. (315) Edellytykset näiden toimenpiteiden myöntämiselle voivat vaihdella sen mukaan, pyydetäänkö niitä kansalliseen turvallisuuteen vai lainvalvontatarkoitukseen liittyvän syyn perusteella. |
| --- | --- |

(201)

Todettakoon, että viestintätietojen säilyttämistä ja kohdennettua hankintaa voivat lähtökohtaisesti suorittaa sekä kansalliset turvallisuusvirastot että tietyt lainvalvontaviranomaiset. (315) Edellytykset näiden toimenpiteiden myöntämiselle voivat vaihdella sen mukaan, pyydetäänkö niitä kansalliseen turvallisuuteen vai lainvalvontatarkoitukseen liittyvän syyn perusteella.

315

| (202) | Vaikka uudessa järjestelmässä on otettu käyttöön yleinen vaatimus riippumattoman elimen myöntämästä ennakkoluvasta, joka vaaditaan aina kun pyydetään viestintätietoja säilyttämistä ja/tai hankkimista (joko lainvalvontatarkoituksia tai kansalliseen turvallisuuteen liittyvää tarkoitusta varten), Euroopan unionin tuomioistuimen asiassa Tele2/Watson antaman tuomion (316) seurauksena käyttöön on otettu erityiset suojatoimet, joita sovelletaan silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten. Erityisesti silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten, siihen on aina saatava tutkintavaltuuksia käsittelevän valtuutetun ennakkolupa. Näin ei kuitenkaan ole aina silloin kun toimenpidettä pyydetään kansalliseen turvallisuuteen liittyvää tarkoitusta varten, vaan kuten jäljempänä kuvataan, tietyissä tapauksissa luvan tällaiseen toimenpiteeseen voi antaa muu ”luvan myöntämisestä päättävä henkilö”. Lisäksi uudessa järjestelmässä asetetaan viestintätietojen säilyttämisen ja hankinnan edellytykseksi, että kyseessä on ”vakava rikos”. (317) |
| --- | --- |

(202)

Vaikka uudessa järjestelmässä on otettu käyttöön yleinen vaatimus riippumattoman elimen myöntämästä ennakkoluvasta, joka vaaditaan aina kun pyydetään viestintätietoja säilyttämistä ja/tai hankkimista (joko lainvalvontatarkoituksia tai kansalliseen turvallisuuteen liittyvää tarkoitusta varten), Euroopan unionin tuomioistuimen asiassa Tele2/Watson antaman tuomion (316) seurauksena käyttöön on otettu erityiset suojatoimet, joita sovelletaan silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten. Erityisesti silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten, siihen on aina saatava tutkintavaltuuksia käsittelevän valtuutetun ennakkolupa. Näin ei kuitenkaan ole aina silloin kun toimenpidettä pyydetään kansalliseen turvallisuuteen liittyvää tarkoitusta varten, vaan kuten jäljempänä kuvataan, tietyissä tapauksissa luvan tällaiseen toimenpiteeseen voi antaa muu ”luvan myöntämisestä päättävä henkilö”. Lisäksi uudessa järjestelmässä asetetaan viestintätietojen säilyttämisen ja hankinnan edellytykseksi, että kyseessä on ”vakava rikos”. (317)

Tele2/Watson

316

317

i)   Lupa viestintätietojen hankkimiseen

Lupa viestintätietojen hankkimiseen

| (203) | Vuonna 2016 tutkintavaltuuksista annetun lain 3 osan mukaan asianomaisilla viranomaisilla on valtuudet hankkia viestintätietoja teleoperaattorilta tai muulta henkilöltä, joka pystyy hankkimaan ja luovuttamaan tällaisia tietoja. Lupa ei välttämättä kata viestinnän sisältöä (318), ja se on voimassa kuukauden ajan (319), mutta se voidaan uusia, mikä edellyttää uutta ennakkolupaa. (320) Viestintätietojen hankkimiseen on saatava lupa tutkintavaltuuksien valvojalta (Investigatory Powers Commissioner (321); hänen asemastaan ja valtuuksistaan ks. johdanto-osan 250 ja 251 kappale). Tämä pätee aina kun viestintätietojen hankkimista pyytää asianomainen lainvalvontaviranomainen. Vuonna 2016 tutkintavaltuuksista annetun lain 61 §:ssä kuitenkin säädetään, että kun tiedot on hankittava kansalliseen turvallisuuteen liittyvien etujen tai Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaamiseksi, jos sillä on merkitystä myös kansallisellen turvallisuudelle, tai jos hakemuksen on tehnyt tiedustelupalvelu lain 61 §:n 7 momentin b alakohdan nojalla (322), luvan tietojen hankintaan (323) voi antaa joko tutkintavaltuuksien valvoja tai nimetty johtava virkamies (324). Nimetyn virkamiehen on oltava riippumaton asianomaisesta tutkinnasta tai operaatiosta ja hänellä on oltava käytännön tiedot ihmisoikeusperiaatteista ja -lainsäädännöstä, erityisesti tarpeellisuudesta ja oikeasuhteisuudesta. (325) Jos päätöksen tekee nimetty virkamies, tutkintavaltuuksien valvoja tarkastaa sen jälkikäteen (lisätietoja jälkikäteistarkastukseen liittyvistä tutkintavaltuuksien valvojan tehtävistä on johdanto-osan 254 kappaleessa). |
| --- | --- |

(203)

Vuonna 2016 tutkintavaltuuksista annetun lain 3 osan mukaan asianomaisilla viranomaisilla on valtuudet hankkia viestintätietoja teleoperaattorilta tai muulta henkilöltä, joka pystyy hankkimaan ja luovuttamaan tällaisia tietoja. Lupa ei välttämättä kata viestinnän sisältöä (318), ja se on voimassa kuukauden ajan (319), mutta se voidaan uusia, mikä edellyttää uutta ennakkolupaa. (320) Viestintätietojen hankkimiseen on saatava lupa tutkintavaltuuksien valvojalta (Investigatory Powers Commissioner (321); hänen asemastaan ja valtuuksistaan ks. johdanto-osan 250 ja 251 kappale). Tämä pätee aina kun viestintätietojen hankkimista pyytää asianomainen lainvalvontaviranomainen. Vuonna 2016 tutkintavaltuuksista annetun lain 61 §:ssä kuitenkin säädetään, että kun tiedot on hankittava kansalliseen turvallisuuteen liittyvien etujen tai Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaamiseksi, jos sillä on merkitystä myös kansallisellen turvallisuudelle, tai jos hakemuksen on tehnyt tiedustelupalvelu lain 61 §:n 7 momentin b alakohdan nojalla (322), luvan tietojen hankintaan (323) voi antaa joko tutkintavaltuuksien valvoja tai nimetty johtava virkamies (324). Nimetyn virkamiehen on oltava riippumaton asianomaisesta tutkinnasta tai operaatiosta ja hänellä on oltava käytännön tiedot ihmisoikeusperiaatteista ja -lainsäädännöstä, erityisesti tarpeellisuudesta ja oikeasuhteisuudesta. (325) Jos päätöksen tekee nimetty virkamies, tutkintavaltuuksien valvoja tarkastaa sen jälkikäteen (lisätietoja jälkikäteistarkastukseen liittyvistä tutkintavaltuuksien valvojan tehtävistä on johdanto-osan 254 kappaleessa).

318

319

320

321

322

323

324

325

| (204) | Lupa hankkia viestintätietoja perustuu toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointiin. Toimenpiteen tarpeellisuutta arvioidaan lainsäädännössä lueteltujen perusteiden valossa. (326) Koska kyseessä on kohdennettu toimenpide, sen on oltava tarpeen myös asianomaista tutkimusta tai operaatiota varten. (327) Muita toimenpiteen tarpeellisuuden arviointia koskevia vaatimuksia esitetään viestintätietoja koskevissa käytännesäännöissä. (328) Käytännesäännöissä säädetään erityisesti, että pyynnön esittävän viranomaisen toimittamassa hakemuksessa on yksilöitävä kolme vähimmäistekijää, joiden nojalla pyynnön tarpeellisuutta perustellaan: i) tutkittavana oleva tapahtuma, esimerkiksi rikos tai haavoittuvassa asemassa olevan kadonneen henkilön paikallistaminen; ii) henkilö, jonka tietoja pyydetään, esimerkiksi epäilty, todistaja tai kadonnut henkilö, ja se, miten he liittyvät tapahtumaan; ja iii) pyydetyt viestintätiedot, esimerkiksi puhelinnumero tai IP-osoite, ja miten tämä tieto liittyy asianomaiseen henkilöön ja tapahtumaan. (329) |
| --- | --- |

(204)

Lupa hankkia viestintätietoja perustuu toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointiin. Toimenpiteen tarpeellisuutta arvioidaan lainsäädännössä lueteltujen perusteiden valossa. (326) Koska kyseessä on kohdennettu toimenpide, sen on oltava tarpeen myös asianomaista tutkimusta tai operaatiota varten. (327) Muita toimenpiteen tarpeellisuuden arviointia koskevia vaatimuksia esitetään viestintätietoja koskevissa käytännesäännöissä. (328) Käytännesäännöissä säädetään erityisesti, että pyynnön esittävän viranomaisen toimittamassa hakemuksessa on yksilöitävä kolme vähimmäistekijää, joiden nojalla pyynnön tarpeellisuutta perustellaan: i) tutkittavana oleva tapahtuma, esimerkiksi rikos tai haavoittuvassa asemassa olevan kadonneen henkilön paikallistaminen; ii) henkilö, jonka tietoja pyydetään, esimerkiksi epäilty, todistaja tai kadonnut henkilö, ja se, miten he liittyvät tapahtumaan; ja iii) pyydetyt viestintätiedot, esimerkiksi puhelinnumero tai IP-osoite, ja miten tämä tieto liittyy asianomaiseen henkilöön ja tapahtumaan. (329)

326

327

328

329

| (205) | Lisäksi viestintätietojen hankkimisen on oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. (330) Viestintätietoja koskevissa käytännesäännöissä selvennetään, että luvan myöntämisestä päättävän henkilön olisi arviointia tehdessään otettava huomioon yhtäältä se, missä määrin toimenpiteellä puututaan yksilön oikeuksiin ja vapauksiin, ja toisaalta se, missä määrin näin voidaan edistää tietyn viranomaisen yleisen edun vuoksi toteuttamaa tutkintaa tai operaatiota. Kun huomioon otetaan kaikki yksittäiseen tapaukseen liittyvät seikat, yksilön oikeuksiin puuttuminen ei käytännesääntöjen mukaan ole välttämättä oikeutettua, jos toisen yksilön tai ryhmän oikeuksille aiheutuvat haittavaikutukset ovat liian vakavat. Käytännesäännöissä luetellaan lisäksi useita tekijöitä, jotka pyynnön esittävän viranomaisen olisi sisällytettävä hakemukseensa toimenpiteen oikeasuhteisuuden arviointia varten. (331) Lisäksi erityistä huomiota olisi kiinnitettävä siihen, minkätyyppisiä viestintätietoja on tarkoitus hankkia (”yksikköä” vai ”tapahtumaa” koskevia tietoja (332)). Ensisijaisesti on pyrittävä hankkimaan tietoja, jotka merkitsevät vähäisempää puuttumista yksityisyyteen. (333) Viestintätietoja koskevat käytännesäännöt sisältävät myös erityisiä ohjeita valtuutuksista, jotka koskevat tiettyjä ammatteja harjoittavien henkilöiden (kuten lääkäreiden, lakimiesten, toimittajien, parlamentin jäsenten tai pappien) (334) viestintätietoja, sillä niihin sovelletaan erityisiä suojatoimia. (335) |
| --- | --- |

(205)

Lisäksi viestintätietojen hankkimisen on oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. (330) Viestintätietoja koskevissa käytännesäännöissä selvennetään, että luvan myöntämisestä päättävän henkilön olisi arviointia tehdessään otettava huomioon yhtäältä se, missä määrin toimenpiteellä puututaan yksilön oikeuksiin ja vapauksiin, ja toisaalta se, missä määrin näin voidaan edistää tietyn viranomaisen yleisen edun vuoksi toteuttamaa tutkintaa tai operaatiota. Kun huomioon otetaan kaikki yksittäiseen tapaukseen liittyvät seikat, yksilön oikeuksiin puuttuminen ei käytännesääntöjen mukaan ole välttämättä oikeutettua, jos toisen yksilön tai ryhmän oikeuksille aiheutuvat haittavaikutukset ovat liian vakavat. Käytännesäännöissä luetellaan lisäksi useita tekijöitä, jotka pyynnön esittävän viranomaisen olisi sisällytettävä hakemukseensa toimenpiteen oikeasuhteisuuden arviointia varten. (331) Lisäksi erityistä huomiota olisi kiinnitettävä siihen, minkätyyppisiä viestintätietoja on tarkoitus hankkia (”yksikköä” vai ”tapahtumaa” koskevia tietoja (332)). Ensisijaisesti on pyrittävä hankkimaan tietoja, jotka merkitsevät vähäisempää puuttumista yksityisyyteen. (333) Viestintätietoja koskevat käytännesäännöt sisältävät myös erityisiä ohjeita valtuutuksista, jotka koskevat tiettyjä ammatteja harjoittavien henkilöiden (kuten lääkäreiden, lakimiesten, toimittajien, parlamentin jäsenten tai pappien) (334) viestintätietoja, sillä niihin sovelletaan erityisiä suojatoimia. (335)

330

331

332

333

334

335

ii)   Määräys säilyttää viestintätiedot

Määräys säilyttää viestintätiedot

| (206) | Vuonna 2016 tutkintavaltuuksista annetun lain 4 osassa vahvistetaan viestintätietojen säilyttämistä koskevat säännöt ja erityisesti kriteerit, joiden nojalla Secretary of State voi antaa säilyttämismääräyksen (retention notice). (336) Tutkintavaltuuksista annetulla lailla käyttöön otettuja suojatoimia sovelletaan riippumatta siitä, säilytetäänkö tietoja säilytetään lainvalvontatarkoituksessa vai kansallisen turvallisuuden vuoksi. |
| --- | --- |

(206)

Vuonna 2016 tutkintavaltuuksista annetun lain 4 osassa vahvistetaan viestintätietojen säilyttämistä koskevat säännöt ja erityisesti kriteerit, joiden nojalla Secretary of State voi antaa säilyttämismääräyksen (retention notice). (336) Tutkintavaltuuksista annetulla lailla käyttöön otettuja suojatoimia sovelletaan riippumatta siitä, säilytetäänkö tietoja säilytetään lainvalvontatarkoituksessa vai kansallisen turvallisuuden vuoksi.

336

| (207) | Säilyttämismääräyksen tarkoituksena on varmistaa, että teleoperaattorit säilyttävät enintään 12 kuukauden ajan asiaankuuluvat viestintätiedot, jotka muutoin poistettaisiin sen jälkeen kun niitä ei enää tarvita liiketoiminnassa. (337) Säilytettävien tietojen on oltava saatavilla vaaditun ajan, jos viranomaisten on myöhemmin tarpeen hankkia ne vuonna 2016 tutkintavaltuuksista annetun lain 3 osan perusteella annetun kohdennetun luvan nojalla; lisätietoja ao. luvasta johdanto-osan 203–205 kappaleessa. |
| --- | --- |

(207)

Säilyttämismääräyksen tarkoituksena on varmistaa, että teleoperaattorit säilyttävät enintään 12 kuukauden ajan asiaankuuluvat viestintätiedot, jotka muutoin poistettaisiin sen jälkeen kun niitä ei enää tarvita liiketoiminnassa. (337) Säilytettävien tietojen on oltava saatavilla vaaditun ajan, jos viranomaisten on myöhemmin tarpeen hankkia ne vuonna 2016 tutkintavaltuuksista annetun lain 3 osan perusteella annetun kohdennetun luvan nojalla; lisätietoja ao. luvasta johdanto-osan 203–205 kappaleessa.

337

| (208) | Toimivaltaa, jonka nojalla on mahdollista pyytää määrättyjen tietojen säilyttämistä, säännellään erilaisin rajoituksin ja suojatoimin. Secretary of State voi antaa säilyttämismääräyksen yhdelle tai usealle operaattorille (338) vain jos hän katsoo, että vaatimus tietojen säilyttämisestä on tarpeen jonkin lakisääteisen tarkoituksen (339) vuoksi ja että se on oikeassa suhteessa tavoiteltuun tulokseen nähden. (340) Tätä varten Secretary of Staten on ennen säilyttämismääräyksen antamista otettava vuonna 2016 tutkintavaltuuksista annetun lain mukaisesti (341) huomioon seuraavat: määräyksen todennäköiset hyödyt; (342) asianomaisten televiestintäpalvelujen kuvaus; onko säilytettävät tiedot rajattu asianmukaisesti viittaamalla niiden sijaintiin tai kuvailemalla henkilöt, joille telepalveluja tarjotaan; (343) niiden käyttäjien todennäköinen määrä (jos tiedossa), joille määräyksen soveltamisalaan kuuluvia televiestintäpalveluja tarjotaan; (344) määräyksen tekninen toteutettavuus; määräyksen noudattamisesta aiheutuvat todennäköiset kustannukset ja mahdolliset muut vaikutukset sen kohteena olevalle teleoperaattorille (tai operaattorien kuvaus). (345) Kuten viestintätietoja koskevien käytännesääntöjen 17 luvussa täsmennetään, kaikissa säilytysmääräyksissä on täsmennettävä säilytettävät tietotyypit ja se, miten kyseinen tietotyyppi vastaa säilyttämiselle asetettuja ehtoja. |
| --- | --- |

(208)

Toimivaltaa, jonka nojalla on mahdollista pyytää määrättyjen tietojen säilyttämistä, säännellään erilaisin rajoituksin ja suojatoimin. Secretary of State voi antaa säilyttämismääräyksen yhdelle tai usealle operaattorille (338) vain jos hän katsoo, että vaatimus tietojen säilyttämisestä on tarpeen jonkin lakisääteisen tarkoituksen (339) vuoksi ja että se on oikeassa suhteessa tavoiteltuun tulokseen nähden. (340) Tätä varten Secretary of Staten on ennen säilyttämismääräyksen antamista otettava vuonna 2016 tutkintavaltuuksista annetun lain mukaisesti (341) huomioon seuraavat: määräyksen todennäköiset hyödyt; (342) asianomaisten televiestintäpalvelujen kuvaus; onko säilytettävät tiedot rajattu asianmukaisesti viittaamalla niiden sijaintiin tai kuvailemalla henkilöt, joille telepalveluja tarjotaan; (343) niiden käyttäjien todennäköinen määrä (jos tiedossa), joille määräyksen soveltamisalaan kuuluvia televiestintäpalveluja tarjotaan; (344) määräyksen tekninen toteutettavuus; määräyksen noudattamisesta aiheutuvat todennäköiset kustannukset ja mahdolliset muut vaikutukset sen kohteena olevalle teleoperaattorille (tai operaattorien kuvaus). (345) Kuten viestintätietoja koskevien käytännesääntöjen 17 luvussa täsmennetään, kaikissa säilytysmääräyksissä on täsmennettävä säilytettävät tietotyypit ja se, miten kyseinen tietotyyppi vastaa säilyttämiselle asetettuja ehtoja.

338

339

340

341

342

343

344

345

| (209) | Kaikissa tapauksissa (sekä kansalliseen turvallisuuteen että lainvalvontatarkoituksiin liittyvien perustelujen yhteydessä) Secretary of Staten päätökseen myöntää tietojen säilyttämistä koskeva määräys on saatava myös oikeusvaltuutetun hyväksyntä (double-lock procedure). Oikeusvaltuutetun on erityisesti tarkistettava, onko määräys tarpeen ja oikeassa suhteessa yhteen tai useampaan lakisääteiseen tarkoitukseen nähden. (346) |
| --- | --- |

(209)

Kaikissa tapauksissa (sekä kansalliseen turvallisuuteen että lainvalvontatarkoituksiin liittyvien perustelujen yhteydessä) Secretary of Staten päätökseen myöntää tietojen säilyttämistä koskeva määräys on saatava myös oikeusvaltuutetun hyväksyntä (double-lock procedure). Oikeusvaltuutetun on erityisesti tarkistettava, onko määräys tarpeen ja oikeassa suhteessa yhteen tai useampaan lakisääteiseen tarkoitukseen nähden. (346)

346

3.3.1.1.3   Laitetutkinta

| (210) | Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista (347), kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (348) Laitetutkinnan avulla voidaan hankkia sekä viestinnän sisältöä koskevia tietoja että laitetietoja. (349) |
| --- | --- |

(210)

Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista (347), kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (348) Laitetutkinnan avulla voidaan hankkia sekä viestinnän sisältöä koskevia tietoja että laitetietoja. (349)

347

348

349

| (211) | Tiedustelupalvelu tarvitsee laitetutkintaan vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentin nojalla luvan, joka annetaan määräyksellä (warrant) kyseiseen lakiin perustuvan ns. kaksoishyväksyntämenettelyn mukaisesti edellyttäen, että asialla on ”Brittein saariin liittyvä yhteys”. (350) Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tilanteissa, joissa tietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen soveltamisalalla, olisi aina olemassa ”Brittein saariin liittyvä yhteys”. Tällaisia tietoja koskevaan laitetutkintaan sovellettaisiin näin ollen aina vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa säädettyä määräyksen antamista koskevaa vaatimusta. (351) |
| --- | --- |

(211)

Tiedustelupalvelu tarvitsee laitetutkintaan vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentin nojalla luvan, joka annetaan määräyksellä (warrant) kyseiseen lakiin perustuvan ns. kaksoishyväksyntämenettelyn mukaisesti edellyttäen, että asialla on ”Brittein saariin liittyvä yhteys”. (350) Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tilanteissa, joissa tietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen soveltamisalalla, olisi aina olemassa ”Brittein saariin liittyvä yhteys”. Tällaisia tietoja koskevaan laitetutkintaan sovellettaisiin näin ollen aina vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa säädettyä määräyksen antamista koskevaa vaatimusta. (351)

350

351

| (212) | Kohdennettua laitetutkintaa koskevat säännöt esitetään vuonna 2016 tutkintavaltuuksista annetun lain 5 osassa. Samoin kuin kohdennetun telekuuntelun, myös kohdennetun laitetutkinnan tulee liittyä tiettyyn ”kohteeseen”, joka on esitettävä määräyksessä. (352) Se, miten tämä ”kohde” on yksilöitävä, riippuu asiasta ja tutkittavan laitteen tyypistä. Tutkintavaltuuksista annetun lain 115 §:n 3 momentissa säädetään erityisesti siitä, mitä seikkoja määräyksessä olisi mainittava (mm. asianomaisen henkilön tai organisaation nimi ja paikan kuvaus). Tämä määräytyy muun muassa sen mukaan, koskeeko tutkinta laitetta, joka kuuluu tietylle henkilölle, organisaatiolle tai henkilöryhmälle tai onko se näiden hallussa tai sijaitseeko se tietyssä paikassa (353). Se, mitä tarkoitusta varten kohdennettu laitetutkintamääräys voidaan antaa, riippuu hakemuksen tekevästä viranomaisesta (354). |
| --- | --- |

(212)

Kohdennettua laitetutkintaa koskevat säännöt esitetään vuonna 2016 tutkintavaltuuksista annetun lain 5 osassa. Samoin kuin kohdennetun telekuuntelun, myös kohdennetun laitetutkinnan tulee liittyä tiettyyn ”kohteeseen”, joka on esitettävä määräyksessä. (352) Se, miten tämä ”kohde” on yksilöitävä, riippuu asiasta ja tutkittavan laitteen tyypistä. Tutkintavaltuuksista annetun lain 115 §:n 3 momentissa säädetään erityisesti siitä, mitä seikkoja määräyksessä olisi mainittava (mm. asianomaisen henkilön tai organisaation nimi ja paikan kuvaus). Tämä määräytyy muun muassa sen mukaan, koskeeko tutkinta laitetta, joka kuuluu tietylle henkilölle, organisaatiolle tai henkilöryhmälle tai onko se näiden hallussa tai sijaitseeko se tietyssä paikassa (353). Se, mitä tarkoitusta varten kohdennettu laitetutkintamääräys voidaan antaa, riippuu hakemuksen tekevästä viranomaisesta (354).

352

353

354

| (213) | Samoin kuin kohdennetun telekuuntelun yhteydessä, määräyksen antavan viranomaisen on harkittava, onko toimenpide tarpeen tietyn tarkoituksen saavuttamiseksi ja onko se oikeassa suhteessa tavoiteltuun tulokseen nähden. (355) Lisäksi viranomaisen olisi otettava huomioon, onko olemassa suojatoimia, jotka liittyvät tietojen turvallisuuteen, säilyttämiseen ja luovuttamiseen sekä tietojen siirtämiseen ulkomaille (”overseas disclosure”) (356) (ks. johdanto-osan 196 kappale). |
| --- | --- |

(213)

Samoin kuin kohdennetun telekuuntelun yhteydessä, määräyksen antavan viranomaisen on harkittava, onko toimenpide tarpeen tietyn tarkoituksen saavuttamiseksi ja onko se oikeassa suhteessa tavoiteltuun tulokseen nähden. (355) Lisäksi viranomaisen olisi otettava huomioon, onko olemassa suojatoimia, jotka liittyvät tietojen turvallisuuteen, säilyttämiseen ja luovuttamiseen sekä tietojen siirtämiseen ulkomaille (”overseas disclosure”) (356) (ks. johdanto-osan 196 kappale).

355

356

| (214) | Määräykselle on saatava riippumattoman oikeusvaltuutetun hyväksyntä, kiireellisiä tapauksia lukuun ottamatta. (357) Kiireellisissä tapauksissa oikeusvaltuutetulle on ilmoitettava määräyksen antamisesta, ja hänen on hyväksyttävä se kolmen työpäivän kuluessa. Jos oikeusvaltuutettu ei hyväksy määräystä, sen vaikutukset lakkaavat eikä sitä voida uusia. (358) Lisäksi oikeusvaltuutettu voi määrätä kaikki määräyksen nojalla hankitut tiedot tuhottavaksi. (359) Se, että määräys on myönnetty kiireellisesti, ei vaikuta jälkikäteisvalvontaan (ks. johdanto-osan 244–255 kappale) eikä yksilöiden oikeussuojakeinoihin (ks. johdanto-osan 260–270 kappale). Yksilöt voivat tehdä kantelun tietosuojavaltuutetulle tai valittaa väitetystä toiminnasta tutkintavaltuuksia käsittelevälle tuomioistuimelle tavalliseen tapaan. Oikeusvaltuutetun on kaikissa tapauksissa määräyksen hyväksymistä harkitessaan otettava huomioon hakemuksen tarpeellisuus ja oikeasuhteisuus samalla tavoin kuin kohdennettua telekuuntelua koskevien hakemusten yhteydessä (360) (ks. johdanto-osan 192 kappale). |
| --- | --- |

(214)

Määräykselle on saatava riippumattoman oikeusvaltuutetun hyväksyntä, kiireellisiä tapauksia lukuun ottamatta. (357) Kiireellisissä tapauksissa oikeusvaltuutetulle on ilmoitettava määräyksen antamisesta, ja hänen on hyväksyttävä se kolmen työpäivän kuluessa. Jos oikeusvaltuutettu ei hyväksy määräystä, sen vaikutukset lakkaavat eikä sitä voida uusia. (358) Lisäksi oikeusvaltuutettu voi määrätä kaikki määräyksen nojalla hankitut tiedot tuhottavaksi. (359) Se, että määräys on myönnetty kiireellisesti, ei vaikuta jälkikäteisvalvontaan (ks. johdanto-osan 244–255 kappale) eikä yksilöiden oikeussuojakeinoihin (ks. johdanto-osan 260–270 kappale). Yksilöt voivat tehdä kantelun tietosuojavaltuutetulle tai valittaa väitetystä toiminnasta tutkintavaltuuksia käsittelevälle tuomioistuimelle tavalliseen tapaan. Oikeusvaltuutetun on kaikissa tapauksissa määräyksen hyväksymistä harkitessaan otettava huomioon hakemuksen tarpeellisuus ja oikeasuhteisuus samalla tavoin kuin kohdennettua telekuuntelua koskevien hakemusten yhteydessä (360) (ks. johdanto-osan 192 kappale).

357

358

359

360

| (215) | Mainittakoon lopuksi, että laitetutkintaan sovelletaan samoja erityisiä suojatoimia kuin kohdennettuun telekuunteluun. Ne koskevat määräyksen voimassaoloaikaa, uusimista ja muuttamista sekä tilanteita, joissa kohde on parlamentin jäsen tai asianajosalaisuuden piiriin kuuluva seikka tai journalistinen aineisto (ks. lisätietoja johdanto-osan 193 kappaleessa). |
| --- | --- |

(215)

Mainittakoon lopuksi, että laitetutkintaan sovelletaan samoja erityisiä suojatoimia kuin kohdennettuun telekuunteluun. Ne koskevat määräyksen voimassaoloaikaa, uusimista ja muuttamista sekä tilanteita, joissa kohde on parlamentin jäsen tai asianajosalaisuuden piiriin kuuluva seikka tai journalistinen aineisto (ks. lisätietoja johdanto-osan 193 kappaleessa).

3.3.1.1.4   Laajamittaisten valtuuksien käyttö

| (216) | Laajamittaisia valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa. Lisäksi on annettu käytännesäännöt näiden valtuuksien käytöstä. Yhdistyneen kuningaskunnan lainsäädännössä ei määritellä ’laajamittaisia tutkintavaltuuksia’ (bulk power), mutta vuonna 2016 tutkintavaltuuksista annetun lain perusteella kyse on sellaisten suurten tietomäärien keräämisestä ja säilyttämisestä, joita hallitus hankkii eri tavoin (esim. laajamittaista telekuuntelua koskevat valtuudet, laajamittainen tietojenhankinta ja laajamittainen laitetutkinta sekä laajat henkilötietoaineistot) ja joita viranomaiset voivat myöhemmin käyttää. Tätä kuvausta voidaan selventää tarkentamalla, että laajamittaiset tutkintavaltuudet eivät ole sama asia kuin nk. joukkovalvonta ilman rajoituksia tai suojatoimia. Päinvastoin, kuten jäljempänä selitetään, laajamittaisten tutkintavaltuuksien käyttöön liittyy rajoituksia ja suojatoimia, joilla varmistetaan, että pääsyä tietoihin ei myönnetä umpimähkään eikä aiheettomasti. (361) Laajamittaisia tutkintavaltuuksia voidaan erityisesti käyttää vain jos kansallisen tiedusteluviraston suunnitteleman teknisen toimenpiteen ja sille asetetun tavoitteen välillä voidaan todeta yhteys. |
| --- | --- |

(216)

Laajamittaisia valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa. Lisäksi on annettu käytännesäännöt näiden valtuuksien käytöstä. Yhdistyneen kuningaskunnan lainsäädännössä ei määritellä ’laajamittaisia tutkintavaltuuksia’ (bulk power), mutta vuonna 2016 tutkintavaltuuksista annetun lain perusteella kyse on sellaisten suurten tietomäärien keräämisestä ja säilyttämisestä, joita hallitus hankkii eri tavoin (esim. laajamittaista telekuuntelua koskevat valtuudet, laajamittainen tietojenhankinta ja laajamittainen laitetutkinta sekä laajat henkilötietoaineistot) ja joita viranomaiset voivat myöhemmin käyttää. Tätä kuvausta voidaan selventää tarkentamalla, että laajamittaiset tutkintavaltuudet eivät ole sama asia kuin nk. joukkovalvonta ilman rajoituksia tai suojatoimia. Päinvastoin, kuten jäljempänä selitetään, laajamittaisten tutkintavaltuuksien käyttöön liittyy rajoituksia ja suojatoimia, joilla varmistetaan, että pääsyä tietoihin ei myönnetä umpimähkään eikä aiheettomasti. (361) Laajamittaisia tutkintavaltuuksia voidaan erityisesti käyttää vain jos kansallisen tiedusteluviraston suunnitteleman teknisen toimenpiteen ja sille asetetun tavoitteen välillä voidaan todeta yhteys.

361

| (217) | Lisäksi laajamittaiset toimivaltuudet ovat vain tiedustelupalvelujen käytettävissä, ja niiden käyttö edellyttää aina Secretary of Staten antamaa ja oikeusvaltuutetun hyväksymää määräystä (warrant). Tiedustelutietojen keräämiseen käytettäviä keinoja valittaessa on pohdittava, voitaisiinko tavoiteltu tulos saavuttaa myös vähemmän yksityisyyteen puuttuvilla keinoilla. (362) Tämän lähestymistavan taustalla oleva lainsäädäntökehys perustuu oikeasuhteisuusperiaatteeseen, minkä vuoksi siinä suositaan laajamittaisen keruun sijasta kohdennettua tietojenkeruuta. |
| --- | --- |

(217)

Lisäksi laajamittaiset toimivaltuudet ovat vain tiedustelupalvelujen käytettävissä, ja niiden käyttö edellyttää aina Secretary of Staten antamaa ja oikeusvaltuutetun hyväksymää määräystä (warrant). Tiedustelutietojen keräämiseen käytettäviä keinoja valittaessa on pohdittava, voitaisiinko tavoiteltu tulos saavuttaa myös vähemmän yksityisyyteen puuttuvilla keinoilla. (362) Tämän lähestymistavan taustalla oleva lainsäädäntökehys perustuu oikeasuhteisuusperiaatteeseen, minkä vuoksi siinä suositaan laajamittaisen keruun sijasta kohdennettua tietojenkeruuta.

t

362

3.3.1.1.4.1   Laajamittainen telekuuntelu ja laajamittainen laitetutkinta

| (218) | Laajamittaista telekuuntelua koskevat säännöt sisältyvät vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 1 lukuun, ja laajamittaisesta laitetutkinnasta säädetään saman osan 3 luvussa. Nämä säännöt ovat olennaisilta osin samat, joten näihin määräyksiin sovellettavia edellytyksiä ja täydentäviä suojatoimia analysoidaan yhdessä. |
| --- | --- |

(218)

Laajamittaista telekuuntelua koskevat säännöt sisältyvät vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 1 lukuun, ja laajamittaisesta laitetutkinnasta säädetään saman osan 3 luvussa. Nämä säännöt ovat olennaisilta osin samat, joten näihin määräyksiin sovellettavia edellytyksiä ja täydentäviä suojatoimia analysoidaan yhdessä.

i)   Määräyksen antamiseen sovellettavat edellytykset ja kriteerit

Määräyksen antamiseen sovellettavat edellytykset ja kriteerit

| (219) | Laajamittaista telekuuntelua koskeva määräys voidaan antaa vain kun kyseessä on telekuuntelu sellaisen viestinnän aikana, jossa lähettäjä tai vastaanottaja on Brittein saarten ulkopuolella (363) eli kun telekuuntelu liittyy nk. ulkomaihin liittyvään viestintään (overseas-related communications) (364). Lupa kattaa myös muut merkitykselliset tiedot ja hankitun aineiston myöhemmän valikoinnin tutkimista varten. (365) Laajamittaista laitetutkintaa koskevalla määräyksellä (366) annetaan hakijalle lupa hankkia pääsy mihin tahansa laitteeseen, kun tarkoituksena on hankkia ulkomaihin liittyvää viestintätietoa (mukaan lukien puhe, musiikki, äänet, kuvat ja kaikenlainen muu data), sekä pääsy laitetietoihin (tiedot, jotka mahdollistavat postipalvelun toiminnan ja helpottavat sitä; televiestintäjärjestelmä tai televiestintäpalvelu) tai mihin tahansa muihin tietoihin. (367) |
| --- | --- |

(219)

Laajamittaista telekuuntelua koskeva määräys voidaan antaa vain kun kyseessä on telekuuntelu sellaisen viestinnän aikana, jossa lähettäjä tai vastaanottaja on Brittein saarten ulkopuolella (363) eli kun telekuuntelu liittyy nk. ulkomaihin liittyvään viestintään (overseas-related communications) (364). Lupa kattaa myös muut merkitykselliset tiedot ja hankitun aineiston myöhemmän valikoinnin tutkimista varten. (365) Laajamittaista laitetutkintaa koskevalla määräyksellä (366) annetaan hakijalle lupa hankkia pääsy mihin tahansa laitteeseen, kun tarkoituksena on hankkia ulkomaihin liittyvää viestintätietoa (mukaan lukien puhe, musiikki, äänet, kuvat ja kaikenlainen muu data), sekä pääsy laitetietoihin (tiedot, jotka mahdollistavat postipalvelun toiminnan ja helpottavat sitä; televiestintäjärjestelmä tai televiestintäpalvelu) tai mihin tahansa muihin tietoihin. (367)

363

364

365

366

367

| (220) | Secretary of State voi antaa telekuuntelua tai laitetutkintaa koskevan laajamittaisen määräyksen vain tiedustelupalvelun johtajan hakemuksen perusteella. (368) Lupa laajamittaiseen telekuunteluun tai laajamittaiseen laitetutkintaan voidaan myöntää vain jos se on tarpeen kansallisen turvallisuuden vuoksi, vakavan rikoksen paljastamiseksi tai taloudellisen hyvinvoinnin turvaamiseksi Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (369) Vuonna 2016 tutkintavaltuuksista annetun lain 142 §:n 7 momentissa edellytetään lisäksi, että laajamittaista telekuuntelua koskevassa määräyksessä on esitettävä yksityiskohtaisemmat perusteet kuin pelkkä viittaus ”kansalliseen turvallisuuteen” tai taloudellisen hyvinvoinnin turvaamiseen Yhdistyneessä kuningaskunnassa” tai ”vakavan rikollisuuden ehkäisemiseen ja paljastamiseen”. Määräyksessä on esitettävä yhteys haetun toimenpiteen ja yhden tai useamman määräyksessä mainitun operatiivisen tarkoituksen välillä. |
| --- | --- |

(220)

Secretary of State voi antaa telekuuntelua tai laitetutkintaa koskevan laajamittaisen määräyksen vain tiedustelupalvelun johtajan hakemuksen perusteella. (368) Lupa laajamittaiseen telekuunteluun tai laajamittaiseen laitetutkintaan voidaan myöntää vain jos se on tarpeen kansallisen turvallisuuden vuoksi, vakavan rikoksen paljastamiseksi tai taloudellisen hyvinvoinnin turvaamiseksi Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (369) Vuonna 2016 tutkintavaltuuksista annetun lain 142 §:n 7 momentissa edellytetään lisäksi, että laajamittaista telekuuntelua koskevassa määräyksessä on esitettävä yksityiskohtaisemmat perusteet kuin pelkkä viittaus ”kansalliseen turvallisuuteen” tai taloudellisen hyvinvoinnin turvaamiseen Yhdistyneessä kuningaskunnassa” tai ”vakavan rikollisuuden ehkäisemiseen ja paljastamiseen”. Määräyksessä on esitettävä yhteys haetun toimenpiteen ja yhden tai useamman määräyksessä mainitun operatiivisen tarkoituksen välillä.

368

369

| (221) | Operatiivisen tarkoituksen valinta perustuu monikerroksiseen prosessiin. Lain 142 §:n 4 momentissa säädetään, että määräyksessä mainittujen operatiivisten tarkoitusten tulee sisältyä tiedustelupalvelujen johtajien ylläpitämään hyväksyttävien operatiivisten tarkoitusten luetteloon perusteina, joiden nojalla laajamittaista telekuuntelua koskevan määräyksen nojalla hankittua sisältöä tai toissijaista dataa voidaan valikoida tutkittavaksi. Secretary of Staten on hyväksyttävä operatiivisia tarkoituksia koskeva luettelo. Secretary of State voi antaa hyväksyntänsä vain jos hän on vakuuttunut siitä, että operatiivinen tarkoitus on määritelty yksityiskohtaisemmin kuin määräyksen yleiset hyväksymisperusteet (kansallinen turvallisuus tai siihen liittyvän taloudellisen hyvinvoinnin turvaaminen tai vakavan rikollisuuden ehkäiseminen). (370) Secretary of Staten on toimitettava kolmen kuukauden määräajoin jäljennös operatiivisten tarkoitusten luettelosta parlamentin tiedustelu- ja turvallisuusvaliokunnalle (Intelligence and Security Committee). Lopuksi pääministerin on tarkistettava luettelo vähintään kerran vuodessa. (371) High Court -tuomioistuin on huomauttanut, että näitä suojatoimia ei pidä vähätellä, sillä yhdessä ne muodostavat hienojakoisen vastuuverkoston, jossa ovat osallisina sekä parlamentti että hallituksen jäsenet korkeimmalla tasolla. (372) |
| --- | --- |

(221)

Operatiivisen tarkoituksen valinta perustuu monikerroksiseen prosessiin. Lain 142 §:n 4 momentissa säädetään, että määräyksessä mainittujen operatiivisten tarkoitusten tulee sisältyä tiedustelupalvelujen johtajien ylläpitämään hyväksyttävien operatiivisten tarkoitusten luetteloon perusteina, joiden nojalla laajamittaista telekuuntelua koskevan määräyksen nojalla hankittua sisältöä tai toissijaista dataa voidaan valikoida tutkittavaksi. Secretary of Staten on hyväksyttävä operatiivisia tarkoituksia koskeva luettelo. Secretary of State voi antaa hyväksyntänsä vain jos hän on vakuuttunut siitä, että operatiivinen tarkoitus on määritelty yksityiskohtaisemmin kuin määräyksen yleiset hyväksymisperusteet (kansallinen turvallisuus tai siihen liittyvän taloudellisen hyvinvoinnin turvaaminen tai vakavan rikollisuuden ehkäiseminen). (370) Secretary of Staten on toimitettava kolmen kuukauden määräajoin jäljennös operatiivisten tarkoitusten luettelosta parlamentin tiedustelu- ja turvallisuusvaliokunnalle (Intelligence and Security Committee). Lopuksi pääministerin on tarkistettava luettelo vähintään kerran vuodessa. (371) High Court -tuomioistuin on huomauttanut, että näitä suojatoimia ei pidä vähätellä, sillä yhdessä ne muodostavat hienojakoisen vastuuverkoston, jossa ovat osallisina sekä parlamentti että hallituksen jäsenet korkeimmalla tasolla. (372)

370

371

372

| (222) | Operatiivisten tarkoitusten nojalla rajoitetaan myös hankitun aineiston valikointia tutkintavaiheessa. Laajamittaisen määräyksen nojalla hankitun aineiston valikointi tutkintaa varten on voitava perustella operatiivisten tarkoitusten avulla. Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa, että Secretary of Staten on arvioitava tutkintaan liittyviä käytännön järjestelyjä jo määräyksen antamisvaiheessa. Järjestelyt on esitettävä hänelle riittävän yksityiskohtaisesti, jotta vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä esitetyt lakisääteiset vaatimukset täyttyvät. (373) Tätä varten on annettava tiedot esimerkiksi siitä, miten suodatusjärjestelyt mahdollisesti vaihtelevat määräyksen voimassaolon aikana. (374) Lisätietoja suodatus- ja tutkintavaiheisiin sovellettavista menettelyistä ja suojatoimista on johdanto-osan 229 kappaleessa. |
| --- | --- |

(222)

Operatiivisten tarkoitusten nojalla rajoitetaan myös hankitun aineiston valikointia tutkintavaiheessa. Laajamittaisen määräyksen nojalla hankitun aineiston valikointi tutkintaa varten on voitava perustella operatiivisten tarkoitusten avulla. Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa, että Secretary of Staten on arvioitava tutkintaan liittyviä käytännön järjestelyjä jo määräyksen antamisvaiheessa. Järjestelyt on esitettävä hänelle riittävän yksityiskohtaisesti, jotta vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä esitetyt lakisääteiset vaatimukset täyttyvät. (373) Tätä varten on annettava tiedot esimerkiksi siitä, miten suodatusjärjestelyt mahdollisesti vaihtelevat määräyksen voimassaolon aikana. (374) Lisätietoja suodatus- ja tutkintavaiheisiin sovellettavista menettelyistä ja suojatoimista on johdanto-osan 229 kappaleessa.

373

374

| (223) | Laajamittaiset tutkintavaltuudet voidaan hyväksyä vain, jos ne ovat oikeassa suhteessa tavoiteltuun tulokseen nähden. (375) Kuten telekuuntelua koskevissa käytännesäännöissä todetaan, oikeasuhteisuuden arvioinnissa on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. (376) Kuten edellä on todettu, tämä tarkoittaa käytännössä sitä, että oikeasuhteisuuden arvioinnissa on punnittava tavoiteltua tulosta (”operatiivinen tarkoitus”) ja käytettävissä olevia teknisiä vaihtoehtoja (esim. kohdennettu vai laajamittainen kuuntelu, laitetutkinta, viestintätietojen hankinta) ja asetettava etusijalle vähiten yksityisyyteen puuttuvat keinot (ks. johdanto-osan 181 ja 182) kappale. Silloin kun tulos voitaisiin saavuttaa useamman eri vaihtoehdon avulla, niistä on valittava se, joka vaikuttaa yksityisyyteen vähiten. |
| --- | --- |

(223)

Laajamittaiset tutkintavaltuudet voidaan hyväksyä vain, jos ne ovat oikeassa suhteessa tavoiteltuun tulokseen nähden. (375) Kuten telekuuntelua koskevissa käytännesäännöissä todetaan, oikeasuhteisuuden arvioinnissa on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. (376) Kuten edellä on todettu, tämä tarkoittaa käytännössä sitä, että oikeasuhteisuuden arvioinnissa on punnittava tavoiteltua tulosta (”operatiivinen tarkoitus”) ja käytettävissä olevia teknisiä vaihtoehtoja (esim. kohdennettu vai laajamittainen kuuntelu, laitetutkinta, viestintätietojen hankinta) ja asetettava etusijalle vähiten yksityisyyteen puuttuvat keinot (ks. johdanto-osan 181 ja 182) kappale. Silloin kun tulos voitaisiin saavuttaa useamman eri vaihtoehdon avulla, niistä on valittava se, joka vaikuttaa yksityisyyteen vähiten.

375

376

| (224) | Toinen pyydetyn toimenpiteen oikeasuhteisuuden arviointia koskeva suojatoimi on se, että Secretary of Staten on saatava tarvittavat tiedot voidakseen suorittaa arviointinsa asianmukaisesti. Käytännössä telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä edellytetään, että toimivaltaisen viranomaisen on esitettävä hakemuksessa sen tausta ja kuvaus viestinnästä, jonka sieppaamiseen lupaa haetaan, teleoperaattoreista, joiden on määrä avustaa siinä, ja toimista, joihin lupaa haetaan, sekä selitettävä toiminnan operatiiviset tarkoitukset ja se, miksi se on tarpeen ja oikeasuhteista. (377) |
| --- | --- |

(224)

Toinen pyydetyn toimenpiteen oikeasuhteisuuden arviointia koskeva suojatoimi on se, että Secretary of Staten on saatava tarvittavat tiedot voidakseen suorittaa arviointinsa asianmukaisesti. Käytännössä telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä edellytetään, että toimivaltaisen viranomaisen on esitettävä hakemuksessa sen tausta ja kuvaus viestinnästä, jonka sieppaamiseen lupaa haetaan, teleoperaattoreista, joiden on määrä avustaa siinä, ja toimista, joihin lupaa haetaan, sekä selitettävä toiminnan operatiiviset tarkoitukset ja se, miksi se on tarpeen ja oikeasuhteista. (377)

377

| (225) | Lopuksi on tärkeää huomata, että määräyksen antamista koskevalle Secretary of Staten päätökselle on saatava hyväksyntä myös riippumattomalta oikeusvaltuutetulta, joka tarkastelee ehdotetun toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointia soveltaen samoja periaatteita kuin tuomioistuin soveltaa oikeudellisessa uudelleentarkastelussa. (378) Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät siitä, onko määräys tarpeen ja onko toiminta oikeasuhteista vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa vahvistettujen periaatteiden nojalla (yksityisyydensuojaa koskevat yleiset velvoitteet). Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät myös sen suhteen, ovatko kaikki määräyksessä eritellyt operatiiviset tarkoitukset sellaisia, joiden osalta valinta on tai voi olla tarpeen. Jos oikeusvaltuutettu ei hyväksy päätöstä määräyksen antamisesta, Secretary of State voi joko i) hyväksyä oikeusvaltuutetun päätöksen ja olla antamatta määräystä; tai ii) viedä asian tutkintavaltuuksien valvojan ratkaistavaksi (paitsi jos tutkintavaltuuksien valvoja on tehnyt alkuperäisen päätöksen). (379) |
| --- | --- |

(225)

Lopuksi on tärkeää huomata, että määräyksen antamista koskevalle Secretary of Staten päätökselle on saatava hyväksyntä myös riippumattomalta oikeusvaltuutetulta, joka tarkastelee ehdotetun toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointia soveltaen samoja periaatteita kuin tuomioistuin soveltaa oikeudellisessa uudelleentarkastelussa. (378) Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät siitä, onko määräys tarpeen ja onko toiminta oikeasuhteista vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa vahvistettujen periaatteiden nojalla (yksityisyydensuojaa koskevat yleiset velvoitteet). Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät myös sen suhteen, ovatko kaikki määräyksessä eritellyt operatiiviset tarkoitukset sellaisia, joiden osalta valinta on tai voi olla tarpeen. Jos oikeusvaltuutettu ei hyväksy päätöstä määräyksen antamisesta, Secretary of State voi joko i) hyväksyä oikeusvaltuutetun päätöksen ja olla antamatta määräystä; tai ii) viedä asian tutkintavaltuuksien valvojan ratkaistavaksi (paitsi jos tutkintavaltuuksien valvoja on tehnyt alkuperäisen päätöksen). (379)

378

379

ii)   Täydentävät suojatoimet

Täydentävät suojatoimet

| (226) | Vuonna 2016 tutkintavaltuuksista annetulla lailla on otettu käyttöön lisärajoituksia, jotka koskevat laajamittaisen määräyksen voimassaoloaikaa, uusimista ja muuttamista. Määräys saa olla voimassa enintään kuusi kuukautta, ja sen uusimista tai muuttamista (vähäisiä muutoksia lukuun ottamatta) koskevalle päätökselle on niin ikään saatava oikeusvaltuutetun hyväksyntä. (380) Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään, että määräyksen operatiivisten tarkoitusten muutos katsotaan merkittäväksi muutokseksi. (381) |
| --- | --- |

(226)

Vuonna 2016 tutkintavaltuuksista annetulla lailla on otettu käyttöön lisärajoituksia, jotka koskevat laajamittaisen määräyksen voimassaoloaikaa, uusimista ja muuttamista. Määräys saa olla voimassa enintään kuusi kuukautta, ja sen uusimista tai muuttamista (vähäisiä muutoksia lukuun ottamatta) koskevalle päätökselle on niin ikään saatava oikeusvaltuutetun hyväksyntä. (380) Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään, että määräyksen operatiivisten tarkoitusten muutos katsotaan merkittäväksi muutokseksi. (381)

380

381

| (227) | Samoin kuin kohdennetun telekuuntelun osalta, vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa säädetään, että Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt, joilla varmistetaan määräyksen nojalla hankitun aineiston säilyttämistä ja luovuttamista koskevat suojatoimet (382) sekä ulkomaille luovuttamista koskevat suojatoimet (383). Erityisesti lain 150 §:n 5 momentissa ja 191 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 150 §:n 2 momentissa ja 191 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä. (384) |
| --- | --- |

(227)

Samoin kuin kohdennetun telekuuntelun osalta, vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa säädetään, että Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt, joilla varmistetaan määräyksen nojalla hankitun aineiston säilyttämistä ja luovuttamista koskevat suojatoimet (382) sekä ulkomaille luovuttamista koskevat suojatoimet (383). Erityisesti lain 150 §:n 5 momentissa ja 191 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 150 §:n 2 momentissa ja 191 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä. (384)

382

383

384

| (228) | Lisäksi laissa säädetään, että kun telekuuntelua tai laitetutkintaa koskevalla laajamittaisella määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (385) Lisäksi vuoden 2018 tietosuojalain 109 §:ssä vahvistetaan erityisvaatimukset, jotka koskevat tiedustelupalvelujen toteuttamia henkilötietojen kansainvälisiä siirtoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (386) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi. |
| --- | --- |

(228)

Lisäksi laissa säädetään, että kun telekuuntelua tai laitetutkintaa koskevalla laajamittaisella määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (385) Lisäksi vuoden 2018 tietosuojalain 109 §:ssä vahvistetaan erityisvaatimukset, jotka koskevat tiedustelupalvelujen toteuttamia henkilötietojen kansainvälisiä siirtoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (386) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.

385

386

| (229) | Kun määräys on hyväksytty ja laajamittainen data kerätty, siitä valikoidaan tutkittava aineisto. Valinta- ja tutkintavaiheessa sovelletaan jälleen oikeasuhteisuusvaatimusta siten, että analyytikko määrittelee tutkittavaa aineistoa koskevat valintakriteerit määräyksessä mainittujen operatiivisten tarkoitusten (ja mahdollisten suodatusjärjestelyjen) perusteella. Kuten vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään, Secretary of Staten on määräystä antaessaan varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tutkittava aineisto valitaan ainoastaan määräyksessä eriteltyjä operatiivisia tarkoituksia varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Yhdistyneen kuningaskunnan viranomaiset ovat tältä osin selventäneet, että laajamittaisen määräyksen nojalla hankitusta aineistosta poistetaan ensin automaattisen suodatuksen avulla tiedot, joilla ei todennäköisesti ole merkitystä kansalliselle turvallisuudelle. Suodattimia muunnetaan aika ajoin (internetliikenteen mallien, tyyppien ja yhteyskäytäntöjen muuttuessa) ja myös käytetyn teknologian ja operatiivisen kontekstin mukaan. Tämän jälkeen datasta valitaan tutkittava aineisto vain jos se on merkityksellinen määräyksessä mainittujen operatiivisten tarkoitusten kannalta. (387) Vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä, kerätyn aineiston tutkimista koskevia suojatoimia sovelletaan kaikentyyppisiin tietoihin (sekä siepattuun sisältöön että toissijaiseen dataan). (388) Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään myös yleisestä kiellosta, jonka mukaan tutkintaan ei saa valita aineistoa, jonka lähettäjä tai vastaanottaja on Brittein saarilla. Jos viranomaiset haluavat tutkia tällaista aineistoa, niiden on haettava vuonna 2016 tutkintavaltuuksista annetun lain 2 ja 4 osan nojalla kohdennettua tutkintamääräystä, jonka Secretary of State antaa ja jolle on saatava oikeusvaltuutetun hyväksyntä. (389) Jos tutkintaan valitaan tietoisesti aineistoa lainsäädännössä asetettujen vaatimusten vastaisesti (390), kyseessä on rikos. (391) |
| --- | --- |

(229)

Kun määräys on hyväksytty ja laajamittainen data kerätty, siitä valikoidaan tutkittava aineisto. Valinta- ja tutkintavaiheessa sovelletaan jälleen oikeasuhteisuusvaatimusta siten, että analyytikko määrittelee tutkittavaa aineistoa koskevat valintakriteerit määräyksessä mainittujen operatiivisten tarkoitusten (ja mahdollisten suodatusjärjestelyjen) perusteella. Kuten vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään, Secretary of Staten on määräystä antaessaan varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tutkittava aineisto valitaan ainoastaan määräyksessä eriteltyjä operatiivisia tarkoituksia varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Yhdistyneen kuningaskunnan viranomaiset ovat tältä osin selventäneet, että laajamittaisen määräyksen nojalla hankitusta aineistosta poistetaan ensin automaattisen suodatuksen avulla tiedot, joilla ei todennäköisesti ole merkitystä kansalliselle turvallisuudelle. Suodattimia muunnetaan aika ajoin (internetliikenteen mallien, tyyppien ja yhteyskäytäntöjen muuttuessa) ja myös käytetyn teknologian ja operatiivisen kontekstin mukaan. Tämän jälkeen datasta valitaan tutkittava aineisto vain jos se on merkityksellinen määräyksessä mainittujen operatiivisten tarkoitusten kannalta. (387) Vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä, kerätyn aineiston tutkimista koskevia suojatoimia sovelletaan kaikentyyppisiin tietoihin (sekä siepattuun sisältöön että toissijaiseen dataan). (388) Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään myös yleisestä kiellosta, jonka mukaan tutkintaan ei saa valita aineistoa, jonka lähettäjä tai vastaanottaja on Brittein saarilla. Jos viranomaiset haluavat tutkia tällaista aineistoa, niiden on haettava vuonna 2016 tutkintavaltuuksista annetun lain 2 ja 4 osan nojalla kohdennettua tutkintamääräystä, jonka Secretary of State antaa ja jolle on saatava oikeusvaltuutetun hyväksyntä. (389) Jos tutkintaan valitaan tietoisesti aineistoa lainsäädännössä asetettujen vaatimusten vastaisesti (390), kyseessä on rikos. (391)

387

388

389

390

391

| (230) | Analyytikon laatimalle aineiston valikointia koskevalle arvioinnille tehdään jälkiarviointi, jossa tutkintavaltuuksien valvoja tarkistaa, että tutkintavaiheessa on noudatettu vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä erityisiä suojatoimia (392) (ks. myös johdanto-osan 229 kappale). Tutkintavaltuuksien valvoja seuraa jatkuvasti (mm. auditointien, tarkastusten ja tutkimusten avulla) sitä, miten viranomaiset käyttävät vuonna 2016 tutkintavaltuuksista annetussa laissa mainittuja tutkintavaltuuksia (393). Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään tältä osin, että viraston on pidettävä valtuuksien käytöstä kirjaa myöhempiä tarkastuksia ja auditointeja varten. Kirjanpidossa on selostettava sovellettavat operatiiviset tarkoitukset ja se, miksi valtuutettujen henkilöiden on tarpeen ja oikeasuhteista voida tutustua aineistoon (394). Esimerkiksi tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner Office, IPCO) vuosikertomuksessa 2018 (395) todetaan, että analyytikoiden perustelut tietyn laajassa mittakaavassa kerätyn aineiston tutkimiseksi täyttivät oikeasuhteisuutta koskevat vaatimukset, koska niissä esitettiin riittävän yksityiskohtaisesti hauissa käytetyt perustelut suhteessa tavoiteltuun tulokseen (396). Tutkintavaltuuksien valvojan toimisto ilmoitti vuotta 2019 koskevassa vuosikertomuksessaan laajamittaisten tutkintavaltuuksien osalta selkeästi aikovansa jatkaa laajamittaisen telekuuntelun tarkastuksia, joihin sisältyy valinta- ja hakukriteerien yksityiskohtainen tarkastelu (397). Lisäksi on tarkoitus tutkia huolellisesti ja tapauskohtaisesti valvontatoimien valintaa (kohdennettu/laajamittainen) sekä määräyksiä koskevien hakemusten kaksoishyväksyntämenettelyn että niiden tarkastamisen yhteydessä (398). Tämä täydentävä seuranta otetaan asianmukaisesti huomioon, kun komissio seuraa tilannetta tämän päätöksen antamisen jälkeen, ks. johdanto-osan 281–284 kappale. |
| --- | --- |

(230)

Analyytikon laatimalle aineiston valikointia koskevalle arvioinnille tehdään jälkiarviointi, jossa tutkintavaltuuksien valvoja tarkistaa, että tutkintavaiheessa on noudatettu vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä erityisiä suojatoimia (392) (ks. myös johdanto-osan 229 kappale). Tutkintavaltuuksien valvoja seuraa jatkuvasti (mm. auditointien, tarkastusten ja tutkimusten avulla) sitä, miten viranomaiset käyttävät vuonna 2016 tutkintavaltuuksista annetussa laissa mainittuja tutkintavaltuuksia (393). Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään tältä osin, että viraston on pidettävä valtuuksien käytöstä kirjaa myöhempiä tarkastuksia ja auditointeja varten. Kirjanpidossa on selostettava sovellettavat operatiiviset tarkoitukset ja se, miksi valtuutettujen henkilöiden on tarpeen ja oikeasuhteista voida tutustua aineistoon (394). Esimerkiksi tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner Office, IPCO) vuosikertomuksessa 2018 (395) todetaan, että analyytikoiden perustelut tietyn laajassa mittakaavassa kerätyn aineiston tutkimiseksi täyttivät oikeasuhteisuutta koskevat vaatimukset, koska niissä esitettiin riittävän yksityiskohtaisesti hauissa käytetyt perustelut suhteessa tavoiteltuun tulokseen (396). Tutkintavaltuuksien valvojan toimisto ilmoitti vuotta 2019 koskevassa vuosikertomuksessaan laajamittaisten tutkintavaltuuksien osalta selkeästi aikovansa jatkaa laajamittaisen telekuuntelun tarkastuksia, joihin sisältyy valinta- ja hakukriteerien yksityiskohtainen tarkastelu (397). Lisäksi on tarkoitus tutkia huolellisesti ja tapauskohtaisesti valvontatoimien valintaa (kohdennettu/laajamittainen) sekä määräyksiä koskevien hakemusten kaksoishyväksyntämenettelyn että niiden tarkastamisen yhteydessä (398). Tämä täydentävä seuranta otetaan asianmukaisesti huomioon, kun komissio seuraa tilannetta tämän päätöksen antamisen jälkeen, ks. johdanto-osan 281–284 kappale.

392

393

394

395

396

397

398

3.3.1.1.4.2   Viestintätietojen laajamittainen hankinta

| (231) | Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetään viestintätietojen laajamittaista hankintaa koskevista määräyksistä, joiden nojalla teleoperaattoria voidaan vaatia luovuttamaan tai hankkimaan mitä tahansa hallussaan olevia viestintätietoja. Näiden määräysten nojalla viranomaiset voivat myös valikoida dataa myöhemmin tutkittavaksi. Samoin kuin viestintätietojen kohdennettu säilyttäminen ja hankinta (ks. johdanto-osan 199 kappale), myöskään viestintätietojen laajamittainen hankinta ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetty velvollisuus luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (399) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle. |
| --- | --- |

(231)

Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetään viestintätietojen laajamittaista hankintaa koskevista määräyksistä, joiden nojalla teleoperaattoria voidaan vaatia luovuttamaan tai hankkimaan mitä tahansa hallussaan olevia viestintätietoja. Näiden määräysten nojalla viranomaiset voivat myös valikoida dataa myöhemmin tutkittavaksi. Samoin kuin viestintätietojen kohdennettu säilyttäminen ja hankinta (ks. johdanto-osan 199 kappale), myöskään viestintätietojen laajamittainen hankinta ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetty velvollisuus luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (399) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle.

399

| (232) | Kattavuuden vuoksi viestintätietojen laajamittaista hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä. |
| --- | --- |

(232)

Kattavuuden vuoksi viestintätietojen laajamittaista hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä.

| (233) | Vuonna 2016 tutkintavaltuuksista annetulla lailla korvataan viestintätietojen laajamittaista hankintaa koskeva lainsäädäntö, josta Euroopan unionin tuomioistuin antoi tuomion asiassa Privacy International. Mainitussa asiassa tarkasteltu lainsäädäntö on kumottu, ja uudessa järjestelmässä vahvistetaan erityiset edellytykset ja suojatoimet, joiden nojalla tällainen toimenpide voidaan hyväksyä. |
| --- | --- |

(233)

Vuonna 2016 tutkintavaltuuksista annetulla lailla korvataan viestintätietojen laajamittaista hankintaa koskeva lainsäädäntö, josta Euroopan unionin tuomioistuin antoi tuomion asiassa Privacy International. Mainitussa asiassa tarkasteltu lainsäädäntö on kumottu, ja uudessa järjestelmässä vahvistetaan erityiset edellytykset ja suojatoimet, joiden nojalla tällainen toimenpide voidaan hyväksyä.

Privacy International

| (234) | Poiketen aiemmasta järjestelmästä, jonka mukaan Secretary of Statella oli täysi harkintavalta hyväksyä kyseinen toimenpide (400), vuonna 2016 tutkintavaltuuksista annetussa laissa edellytetään, että Secretary of State antaa määräyksen vain jos se on tarpeellinen ja oikeasuhteinen. Tämä tarkoittaa käytännössä, että tietoihin pääsyn ja tavoitellun päämäärän välillä on oltava yhteys. (401) Tarkemmin sanottuna Secretary of Staten on arvioitava pyydetyn toimenpiteen ja jonkin määräyksessä mainitun ”operatiivisen tarkoituksen” (ks. johdanto-osan 219 kappale) välistä yhteyttä oikeasuhteisuuden kannalta. Asiaa koskevien käytännesääntöjen mukaan ”Secretary of Staten on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla (lain 2 §:n 2 kohdan a alakohta), eli voitaisiinko esimerkiksi tarvittavat tiedot hankkia vähemmän yksityisyyteen puuttuvien valtuuksien nojalla, kuten viestintätietojen kohdennetun hankinnan avulla”. (402) |
| --- | --- |

(234)

Poiketen aiemmasta järjestelmästä, jonka mukaan Secretary of Statella oli täysi harkintavalta hyväksyä kyseinen toimenpide (400), vuonna 2016 tutkintavaltuuksista annetussa laissa edellytetään, että Secretary of State antaa määräyksen vain jos se on tarpeellinen ja oikeasuhteinen. Tämä tarkoittaa käytännössä, että tietoihin pääsyn ja tavoitellun päämäärän välillä on oltava yhteys. (401) Tarkemmin sanottuna Secretary of Staten on arvioitava pyydetyn toimenpiteen ja jonkin määräyksessä mainitun ”operatiivisen tarkoituksen” (ks. johdanto-osan 219 kappale) välistä yhteyttä oikeasuhteisuuden kannalta. Asiaa koskevien käytännesääntöjen mukaan ”Secretary of Staten on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla (lain 2 §:n 2 kohdan a alakohta), eli voitaisiinko esimerkiksi tarvittavat tiedot hankkia vähemmän yksityisyyteen puuttuvien valtuuksien nojalla, kuten viestintätietojen kohdennetun hankinnan avulla”. (402)

400

401

402

| (235) | Secretary of State laatii tämän arvioinnin niiden tietojen perusteella, jotka tiedustelupäälliköiden (403) on toimitettava hakemuksessaan. Näitä ovat muun muassa perustelut sille, miksi toimenpiteen katsotaan olevan tarpeellinen jonkin lakisääteisen syyn vuoksi ja miksi tavoiteltua tulosta ei voitaisi kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla. (404) Lisäksi operatiiviset tarkoitukset rajoittavat soveltamisalaa siltä osin, mitä määräyksen nojalla hankittuja tietoja voidaan valikoida tutkittavaksi. (405) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, operatiivisissa tarkoituksissa on kuvailtava selkeä vaatimus ja niiden on oltava riittävän yksityiskohtaisia, jotta Secretary of State voi vakuuttua siitä, että hankittuja tietoja valikoidaan tutkittavaksi ainoastaan tiettyjä tarkoituksia varten. (406) Secretary of Staten on nimittäin ennen määräyksen antamista varmistuttava siitä, että käytössä on erityiset järjestelyt sen varmistamiseksi, että tutkittavaksi valikoidaan ainoastaan sellaista aineistoa, jonka tutkiminen katsotaan tarpeelliseksi jotakin lakisääteistä operatiivista tarkoitusta varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Tämä vuonna 2016 tutkintavaltuuksista annetun lain 158 ja 172 §:ssä säädetty vaatimus (407), jonka mukaan valintakriteerien tarpeellisuutta ja oikeasuhteisuutta on arvioitava etukäteen, on toinen kyseisellä lailla käyttöön otetuista tärkeistä uudistuksista aiempaan järjestelmään verrattuna. |
| --- | --- |

(235)

Secretary of State laatii tämän arvioinnin niiden tietojen perusteella, jotka tiedustelupäälliköiden (403) on toimitettava hakemuksessaan. Näitä ovat muun muassa perustelut sille, miksi toimenpiteen katsotaan olevan tarpeellinen jonkin lakisääteisen syyn vuoksi ja miksi tavoiteltua tulosta ei voitaisi kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla. (404) Lisäksi operatiiviset tarkoitukset rajoittavat soveltamisalaa siltä osin, mitä määräyksen nojalla hankittuja tietoja voidaan valikoida tutkittavaksi. (405) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, operatiivisissa tarkoituksissa on kuvailtava selkeä vaatimus ja niiden on oltava riittävän yksityiskohtaisia, jotta Secretary of State voi vakuuttua siitä, että hankittuja tietoja valikoidaan tutkittavaksi ainoastaan tiettyjä tarkoituksia varten. (406) Secretary of Staten on nimittäin ennen määräyksen antamista varmistuttava siitä, että käytössä on erityiset järjestelyt sen varmistamiseksi, että tutkittavaksi valikoidaan ainoastaan sellaista aineistoa, jonka tutkiminen katsotaan tarpeelliseksi jotakin lakisääteistä operatiivista tarkoitusta varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Tämä vuonna 2016 tutkintavaltuuksista annetun lain 158 ja 172 §:ssä säädetty vaatimus (407), jonka mukaan valintakriteerien tarpeellisuutta ja oikeasuhteisuutta on arvioitava etukäteen, on toinen kyseisellä lailla käyttöön otetuista tärkeistä uudistuksista aiempaan järjestelmään verrattuna.

403

404

405

406

407

| (236) | Vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön myös velvoite, jonka mukaan Secretary of Staten on ennen laajamittaista viestintätietojen hankintaa koskevan määräyksen antamista varmistettava, että käytössä on erityiset, kerättyjen henkilötietojen turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (408) Kun tietoja on määrä luovuttaa ulkomaille, johdanto-osan 227 kappaleessa kuvailtuja, laajamittaista telekuuntelua ja laitetutkintaa koskevia suojatoimia sovelletaan myös tässä yhteydessä. (409) Lisäksi lainsäädännössä on asetettu lisärajoituksia, jotka koskevat tietojen laajamittaista hankintaa koskevien määräysten voimassaoloaikaa (410), uusimista (411) ja muuttamista (412). |
| --- | --- |

(236)

Vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön myös velvoite, jonka mukaan Secretary of Staten on ennen laajamittaista viestintätietojen hankintaa koskevan määräyksen antamista varmistettava, että käytössä on erityiset, kerättyjen henkilötietojen turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (408) Kun tietoja on määrä luovuttaa ulkomaille, johdanto-osan 227 kappaleessa kuvailtuja, laajamittaista telekuuntelua ja laitetutkintaa koskevia suojatoimia sovelletaan myös tässä yhteydessä. (409) Lisäksi lainsäädännössä on asetettu lisärajoituksia, jotka koskevat tietojen laajamittaista hankintaa koskevien määräysten voimassaoloaikaa (410), uusimista (411) ja muuttamista (412).

408

409

410

411

412

| (237) | On tärkeää huomata, että samoin kuin muiden laajamittaisten tutkintavaltuuksien yhteydessä, Secretary of Staten on ennen määräyksen antamista saatava sille oikeusvaltuutetun hyväksyntä. (413) Tämä keskeinen säännös otettiin käyttöön vuonna 2016 tutkintavaltuuksista annetulla lailla. |
| --- | --- |

(237)

On tärkeää huomata, että samoin kuin muiden laajamittaisten tutkintavaltuuksien yhteydessä, Secretary of Staten on ennen määräyksen antamista saatava sille oikeusvaltuutetun hyväksyntä. (413) Tämä keskeinen säännös otettiin käyttöön vuonna 2016 tutkintavaltuuksista annetulla lailla.

413

| (238) | Tutkintavaltuuksien valvoja tarkastaa jälkikäteen laajamittaisen määräyksen nojalla hankitun aineiston (viestintätietojen) tutkintamenettelyn (ks. johdanto-osan 254 kappale). Tähän liittyen vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön vaatimus, jonka nojalla aineiston tutkinnasta vastaavan tiedusteluanalyytikon on ennen tutkimusaineiston valikointia kirjattava ylös syy, jonka vuoksi ehdotettu tutkinta on tarpeen ja oikeasuhteinen tiettyä operatiivista tarkoitusta varten. (414) Tutkintavaltuuksien valvojan vuosikertomuksessa 2019 todetaan, että tiedustelupalvelun (GCHQ)ja MI5:n käytännöissä on tarkastelun kohteena olleiden tapausten perusteella otettu asianmukaisesti huomioon laajamittaisten viestintätietojen hankinnan keskeinen merkitys tiedustelupalvelun tehtävien kannalta. Pyydettyjen tietojen luonteen ja ilmoitettujen tiedusteluun liittyvien vaatimusten perusteella tutkintavaltuuksien valvoja katsoi esitetyn dokumentaation osoittavan, että lähestymistapa oli tarpeellinen ja oikeasuhteinen. (415) MI5:n kirjatut perustelut olivat vuosikertomuksen mukaan hyvälaatuisia ja täyttivät tarpeellisuus- ja oikeasuhteisuusperiaatteiden mukaiset vaatimukset. (416) |
| --- | --- |

(238)

Tutkintavaltuuksien valvoja tarkastaa jälkikäteen laajamittaisen määräyksen nojalla hankitun aineiston (viestintätietojen) tutkintamenettelyn (ks. johdanto-osan 254 kappale). Tähän liittyen vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön vaatimus, jonka nojalla aineiston tutkinnasta vastaavan tiedusteluanalyytikon on ennen tutkimusaineiston valikointia kirjattava ylös syy, jonka vuoksi ehdotettu tutkinta on tarpeen ja oikeasuhteinen tiettyä operatiivista tarkoitusta varten. (414) Tutkintavaltuuksien valvojan vuosikertomuksessa 2019 todetaan, että tiedustelupalvelun (GCHQ)ja MI5:n käytännöissä on tarkastelun kohteena olleiden tapausten perusteella otettu asianmukaisesti huomioon laajamittaisten viestintätietojen hankinnan keskeinen merkitys tiedustelupalvelun tehtävien kannalta. Pyydettyjen tietojen luonteen ja ilmoitettujen tiedusteluun liittyvien vaatimusten perusteella tutkintavaltuuksien valvoja katsoi esitetyn dokumentaation osoittavan, että lähestymistapa oli tarpeellinen ja oikeasuhteinen. (415) MI5:n kirjatut perustelut olivat vuosikertomuksen mukaan hyvälaatuisia ja täyttivät tarpeellisuus- ja oikeasuhteisuusperiaatteiden mukaiset vaatimukset. (416)

414

415

416

3.3.1.1.4.3   Laajojen henkilötietojoukkojen säilyttäminen ja tutkiminen

| (239) | Laajoja henkilötietojoukkoja koskevan määräyksen (417) nojalla tiedustelupalvelulle annetaan lupa säilyttää ja tutkia datajoukkoja, jotka koostuvat useiden henkilöiden henkilötiedoista. Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tällaisten datajoukkojen analysointi voi olla ainoa keino, jonka avulla Yhdistyneen kuningaskunnan tiedusteluyhteisö voi edistää tutkintatoimia ja tunnistaa terroristeja hyvin rajallisen tiedustelutiedon pohjalta tai silloin kun näiden viestintä on tahallisesti salattu. (418) Tätä varten on olemassa kaksi eri määräystä: ”luokkakohtainen laajaa henkilötietojoukkoa koskeva määräys” (class BPD warrant) (419) koskee tiettyyn luokkaan kuuluvia datajoukkoja, joiden sisältö ja ehdotettu käyttötarkoitus ovat samankaltaisia ja joiden osalta yksityisyydensuojaan puuttumista ja arkaluontoisuutta voidaan arvioida yhdenmukaisesti, niin että Secretary of State voi tarkastella kaikkien kyseiseen luokkaan kuuluvien tietojen hankkimisen tarpeellisuutta ja oikeasuhteisuutta yhteisesti. Tällainen määräys voi kattaa esimerkiksi datajoukot, jotka koskevat samankaltaisiin reitteihin liittyviä matkustustietoja. (420)”tiettyä laajaa henkilötietojoukkoa koskeva määräys” (specific BPD warrant) (421) sen sijaan koskee tiettyä datajoukkoa, esimerkiksi uutta tai epätyypillistä tietoa sisältävää datajoukkoa, joka ei kuulu mihinkään olemassa olevaan datajoukkojen luokkaan, tai datajoukkoa, joka koskee tietynlaisia henkilötietoja (422) ja edellyttää siksi erityisiä suojatoimia (423). Vuonna 2016 tutkintavaltuuksista annetun lain nojalla laajojen henkilötietojoukkojen tutkinta ja säilyttäminen on sallittua vain jos se on tarpeen ja oikeasuhteista (424) ja yksityisyydensuojaa koskevien yleisten velvoitteiden mukaista (425). |
| --- | --- |

(239)

Laajoja henkilötietojoukkoja koskevan määräyksen (417) nojalla tiedustelupalvelulle annetaan lupa säilyttää ja tutkia datajoukkoja, jotka koostuvat useiden henkilöiden henkilötiedoista. Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tällaisten datajoukkojen analysointi voi olla ainoa keino, jonka avulla Yhdistyneen kuningaskunnan tiedusteluyhteisö voi edistää tutkintatoimia ja tunnistaa terroristeja hyvin rajallisen tiedustelutiedon pohjalta tai silloin kun näiden viestintä on tahallisesti salattu. (418) Tätä varten on olemassa kaksi eri määräystä: ”luokkakohtainen laajaa henkilötietojoukkoa koskeva määräys” (class BPD warrant) (419) koskee tiettyyn luokkaan kuuluvia datajoukkoja, joiden sisältö ja ehdotettu käyttötarkoitus ovat samankaltaisia ja joiden osalta yksityisyydensuojaan puuttumista ja arkaluontoisuutta voidaan arvioida yhdenmukaisesti, niin että Secretary of State voi tarkastella kaikkien kyseiseen luokkaan kuuluvien tietojen hankkimisen tarpeellisuutta ja oikeasuhteisuutta yhteisesti. Tällainen määräys voi kattaa esimerkiksi datajoukot, jotka koskevat samankaltaisiin reitteihin liittyviä matkustustietoja. (420)”tiettyä laajaa henkilötietojoukkoa koskeva määräys” (specific BPD warrant) (421) sen sijaan koskee tiettyä datajoukkoa, esimerkiksi uutta tai epätyypillistä tietoa sisältävää datajoukkoa, joka ei kuulu mihinkään olemassa olevaan datajoukkojen luokkaan, tai datajoukkoa, joka koskee tietynlaisia henkilötietoja (422) ja edellyttää siksi erityisiä suojatoimia (423). Vuonna 2016 tutkintavaltuuksista annetun lain nojalla laajojen henkilötietojoukkojen tutkinta ja säilyttäminen on sallittua vain jos se on tarpeen ja oikeasuhteista (424) ja yksityisyydensuojaa koskevien yleisten velvoitteiden mukaista (425).

417

418

419

420

421

422

423

424

425

| (240) | Toimivalta antaa laajaa henkilötietojoukkoa koskeva määräys kuuluu kaksinkertaisen hyväksyntämenettelyn piiriin: toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arvioi ensin Secretary of State ja sen jälkeen oikeusvaltuutettu. (426) Secretary of Staten on otettava arvioinnissaan huomioon haettavan määräyksen luonne ja soveltamisala, sen kohteena oleva tietoluokka ja asianomaisen määräyksen soveltamisalaan todennäköisesti kuuluvien erillisten laajojen henkilötietojoukkojen lukumäärä. (427) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, toimista on lisäksi pidettävä yksityiskohtaista rekisteriä, ja ne kuuluvat tutkintavaltuuksien valvojan auditoinnin piiriin. (428) Laajojen henkilötietojoukkojen säilyttäminen ja tutkiminen siten, että ylitetään vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt rajoitukset, on rikos. (429) |
| --- | --- |

(240)

Toimivalta antaa laajaa henkilötietojoukkoa koskeva määräys kuuluu kaksinkertaisen hyväksyntämenettelyn piiriin: toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arvioi ensin Secretary of State ja sen jälkeen oikeusvaltuutettu. (426) Secretary of Staten on otettava arvioinnissaan huomioon haettavan määräyksen luonne ja soveltamisala, sen kohteena oleva tietoluokka ja asianomaisen määräyksen soveltamisalaan todennäköisesti kuuluvien erillisten laajojen henkilötietojoukkojen lukumäärä. (427) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, toimista on lisäksi pidettävä yksityiskohtaista rekisteriä, ja ne kuuluvat tutkintavaltuuksien valvojan auditoinnin piiriin. (428) Laajojen henkilötietojoukkojen säilyttäminen ja tutkiminen siten, että ylitetään vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt rajoitukset, on rikos. (429)

426

427

428

429

3.3.2   Kerättyjen tietojen myöhempi käyttö

Kerättyjen tietojen myöhempi käyttö

| (241) | Kun henkilötietoja käsitellään vuoden 2018 tietosuojalain 4 osan nojalla, niitä ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. (430) Vuoden 2018 tietosuojalaissa säädetään, että rekisterinpitäjä voi käsitellä tietoja muuta kuin sitä tarkoitusta varten, johon ne on kerätty, jos tämä tarkoitus on yhteensopiva alkuperäisen tarkoituksen kanssa ja edellyttäen, että rekisterinpitäjällä on lain mukaan lupa käsitellä tietoja ja käsittely on tarpeen ja oikeasuhteista. (431) Vuoden 1989 turvallisuuspalvelulaissa ja vuoden 1994 tiedustelupalvelulaissa täsmennetään lisäksi, että tiedustelupalvelujen johtajien velvollisuutena on varmistaa, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi tai asiaa koskevissa säännöksissä lueteltuja rajoitettuja tarkoituksia varten (432). |
| --- | --- |

(241)

Kun henkilötietoja käsitellään vuoden 2018 tietosuojalain 4 osan nojalla, niitä ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. (430) Vuoden 2018 tietosuojalaissa säädetään, että rekisterinpitäjä voi käsitellä tietoja muuta kuin sitä tarkoitusta varten, johon ne on kerätty, jos tämä tarkoitus on yhteensopiva alkuperäisen tarkoituksen kanssa ja edellyttäen, että rekisterinpitäjällä on lain mukaan lupa käsitellä tietoja ja käsittely on tarpeen ja oikeasuhteista. (431) Vuoden 1989 turvallisuuspalvelulaissa ja vuoden 1994 tiedustelupalvelulaissa täsmennetään lisäksi, että tiedustelupalvelujen johtajien velvollisuutena on varmistaa, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi tai asiaa koskevissa säännöksissä lueteltuja rajoitettuja tarkoituksia varten (432).

430

431

432

| (242) | Lisäksi vuoden 2018 tietosuojalain 109 §:ssä säädetään henkilötietojen kansainvälisiin siirtoihin sovellettavista erityisvaatimuksista, joita sovelletaan kun tiedustelupalvelut siirtävät tietoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (433) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi. |
| --- | --- |

(242)

Lisäksi vuoden 2018 tietosuojalain 109 §:ssä säädetään henkilötietojen kansainvälisiin siirtoihin sovellettavista erityisvaatimuksista, joita sovelletaan kun tiedustelupalvelut siirtävät tietoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (433) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.

433

| (243) | Lisäksi, kuten tietosuojavaltuutettu korostaa tiedustelupalvelujen suorittamaa käsittelyä koskevissa ohjeissaan, kun tiedustelupalvelu jakaa tietoja kolmannen maan tiedusteluelimen kanssa, siihen sovelletaan vuoden 2018 tietosuojalain 4 osassa säädettyjen suojatoimien lisäksi myös muihin säädöksiin perustuvia suojatoimia sen varmistamiseksi, että henkilötietoja hankitaan, jaetaan ja käsitellään lainmukaisesti ja vastuullisesti. (434) Esimerkiksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään vielä muista suojatoimista, jotka koskevat sellaisen aineiston siirtämistä kolmanteen maahan (”overseas disclosures”), joka on hankittu kohdennetun telekuuntelun (435), kohdennetun laitetutkinnan (436), laajamittaisen telekuuntelun (437), laajamittaisen viestintätietojen hankinnan (438) ja laajamittaisen laitetutkinnan (439) avulla. Määräyksen antavan viranomaisen on tällöin erityisesti varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tiedot vastaanottavassa kolmannessa maassa on rajoitettu niiden henkilöiden lukumäärä, joka voi tutustua aineistoon, luovutettavien tietojen laajuus ja aineistosta tehtävien jäljennösten lukumäärä vähimmäismäärään, joka on tarpeen vuoden 2016 laissa säädettyjä valtuutettuja tarkoituksia varten. (440) |
| --- | --- |

(243)

Lisäksi, kuten tietosuojavaltuutettu korostaa tiedustelupalvelujen suorittamaa käsittelyä koskevissa ohjeissaan, kun tiedustelupalvelu jakaa tietoja kolmannen maan tiedusteluelimen kanssa, siihen sovelletaan vuoden 2018 tietosuojalain 4 osassa säädettyjen suojatoimien lisäksi myös muihin säädöksiin perustuvia suojatoimia sen varmistamiseksi, että henkilötietoja hankitaan, jaetaan ja käsitellään lainmukaisesti ja vastuullisesti. (434) Esimerkiksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään vielä muista suojatoimista, jotka koskevat sellaisen aineiston siirtämistä kolmanteen maahan (”overseas disclosures”), joka on hankittu kohdennetun telekuuntelun (435), kohdennetun laitetutkinnan (436), laajamittaisen telekuuntelun (437), laajamittaisen viestintätietojen hankinnan (438) ja laajamittaisen laitetutkinnan (439) avulla. Määräyksen antavan viranomaisen on tällöin erityisesti varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tiedot vastaanottavassa kolmannessa maassa on rajoitettu niiden henkilöiden lukumäärä, joka voi tutustua aineistoon, luovutettavien tietojen laajuus ja aineistosta tehtävien jäljennösten lukumäärä vähimmäismäärään, joka on tarpeen vuoden 2016 laissa säädettyjä valtuutettuja tarkoituksia varten. (440)

434

435

436

437

438

439

440

3.3.3   Valvonta

Valvonta

| (244) | Useat eri elimet valvovat viranomaisten pääsyä tietoihin kansallisen turvallisuuden kannalta merkityksellisiä tarkoituksia varten. Tietosuojavaltuutettu valvoo henkilötietojen käsittelyä vuoden 2018 tietosuojalain nojalla (lisätietoja tietosuojavaltuutetun riippumattomuudesta, nimittämisestä ja toimivallasta, ks. johdanto-osan 85–98 kappale), kun taas vuonna 2016 tutkintavaltuuksista annetun lain mukaisten tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan tehtävä. Tutkintavaltuuksien valvoja valvoo vuoden 2016 lakiin perustuvien tutkintavaltuuksien käyttöä sekä lainvalvontaviranomaisten että kansallisten turvallisuusviranomaisten osalta. Poliittisesta valvonnasta vastaa parlamentin tiedusteluvalvontavaliokunta (Intelligence Service Committee). |
| --- | --- |

(244)

Useat eri elimet valvovat viranomaisten pääsyä tietoihin kansallisen turvallisuuden kannalta merkityksellisiä tarkoituksia varten. Tietosuojavaltuutettu valvoo henkilötietojen käsittelyä vuoden 2018 tietosuojalain nojalla (lisätietoja tietosuojavaltuutetun riippumattomuudesta, nimittämisestä ja toimivallasta, ks. johdanto-osan 85–98 kappale), kun taas vuonna 2016 tutkintavaltuuksista annetun lain mukaisten tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan tehtävä. Tutkintavaltuuksien valvoja valvoo vuoden 2016 lakiin perustuvien tutkintavaltuuksien käyttöä sekä lainvalvontaviranomaisten että kansallisten turvallisuusviranomaisten osalta. Poliittisesta valvonnasta vastaa parlamentin tiedusteluvalvontavaliokunta (Intelligence Service Committee).

3.3.3.1   Valvonta tietosuojalain 4 osan nojalla

Valvonta tietosuojalain 4 osan nojalla

| (245) | Tietosuojavaltuutettu valvoo tiedustelupalvelujen vuoden 2018 tietosuojalain 4 osan mukaisesti suorittamaa henkilötietojen käsittelyä. (441) |
| --- | --- |

(245)

Tietosuojavaltuutettu valvoo tiedustelupalvelujen vuoden 2018 tietosuojalain 4 osan mukaisesti suorittamaa henkilötietojen käsittelyä. (441)

441

| (246) | Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 4 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluvat muun muassa vuoden 2018 tietosuojalain 4 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen. |
| --- | --- |

(246)

Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 4 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluvat muun muassa vuoden 2018 tietosuojalain 4 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen.

| (247) | Tietosuojavaltuutetulla on vuoden 2018 tietosuojalain 3 osan osalta valtuudet ilmoittaa rekisterinpitäjille väitetystä rikkomisesta ja antaa varoituksia siitä, että käsittely todennäköisesti rikkoo sääntöjä, ja antaa huomautus vahvistetun rikkomisen johdosta. Se voi myös antaa täytäntöönpano- ja seuraamusmääräyksiä tiettyjen lain säännösten rikkomisen vuoksi (442). Toisin kuin vuoden 2018 tietosuojalain muiden osien yhteydessä, tietosuojavaltuutettu ei kuitenkaan voi antaa arviointimääräystä kansallisesta turvallisuudesta vastaavalle elimelle. (443) |
| --- | --- |

(247)

Tietosuojavaltuutetulla on vuoden 2018 tietosuojalain 3 osan osalta valtuudet ilmoittaa rekisterinpitäjille väitetystä rikkomisesta ja antaa varoituksia siitä, että käsittely todennäköisesti rikkoo sääntöjä, ja antaa huomautus vahvistetun rikkomisen johdosta. Se voi myös antaa täytäntöönpano- ja seuraamusmääräyksiä tiettyjen lain säännösten rikkomisen vuoksi (442). Toisin kuin vuoden 2018 tietosuojalain muiden osien yhteydessä, tietosuojavaltuutettu ei kuitenkaan voi antaa arviointimääräystä kansallisesta turvallisuudesta vastaavalle elimelle. (443)

442

443

| (248) | Lisäksi vuoden 2018 tietosuojalain 110 §:ssä säädetään poikkeuksesta tietosuojavaltuutetun tiettyjen valtuuksien käyttöön silloin, kun se on tarpeen kansallisen turvallisuuden turvaamiseksi. Tähän sisältyvät tietosuojavaltuutetun valtuudet antaa (kaikentyyppisiä) tietosuojalain mukaisia määräyksiä (tiedonanto-, arviointi-, täytäntöönpano- ja seuraamusmääräykset), valtuudet suorittaa tarkastuksia kansainvälisten velvoitteiden mukaisesti, maahantulo- ja tarkastusvaltuudet sekä rikoksia koskevat säännöt. (444) Kuten johdanto-osan 126 kappaleessa selitetään, näitä poikkeuksia sovelletaan tapauskohtaisesti ja vain, jos se on välttämätöntä ja oikeasuhteista. |
| --- | --- |

(248)

Lisäksi vuoden 2018 tietosuojalain 110 §:ssä säädetään poikkeuksesta tietosuojavaltuutetun tiettyjen valtuuksien käyttöön silloin, kun se on tarpeen kansallisen turvallisuuden turvaamiseksi. Tähän sisältyvät tietosuojavaltuutetun valtuudet antaa (kaikentyyppisiä) tietosuojalain mukaisia määräyksiä (tiedonanto-, arviointi-, täytäntöönpano- ja seuraamusmääräykset), valtuudet suorittaa tarkastuksia kansainvälisten velvoitteiden mukaisesti, maahantulo- ja tarkastusvaltuudet sekä rikoksia koskevat säännöt. (444) Kuten johdanto-osan 126 kappaleessa selitetään, näitä poikkeuksia sovelletaan tapauskohtaisesti ja vain, jos se on välttämätöntä ja oikeasuhteista.

444

| (249) | Tietosuojavaltuutettu ja Yhdistyneen kuningaskunnan tiedustelupalvelut ovat allekirjoittaneet yhteisymmärryspöytäkirjan (445), jossa vahvistetaan puitteet muun muassa tietoturvaloukkauksia koskevien ilmoitusten ja rekisteröityjen tekemien valituksien käsittelyyn liittyvää yhteistyötä varten. Siinä määrätään erityisesti, että saatuaan valituksen tietosuojavaltuutettu tarkistaa, että mahdollista kansalliseen turvallisuuteen liittyvää poikkeusta on sovellettu asianmukaisesti. Kun tietosuojavaltuutettu pyytää joltakin tiedustelupalvelulta tietoja yksityishenkilön tekemän valituksen tutkinnan yhteydessä, tiedustelupalvelun on vastattava 20 työpäivän kuluessa käyttäen asianmukaisia suojattuja kanavia, jos vastaus sisältää turvallisuusluokiteltuja tietoja. Tietosuojavaltuutettu on saanut huhtikuusta 2018 alkaen 21 yksityishenkilöiden tekemää valitusta, jotka koskevat tiedustelupalveluja. Kaikki valitukset on tutkittu, ja niiden tulos on ilmoitettu asianomaiselle rekisteröidylle. (446) |
| --- | --- |

(249)

Tietosuojavaltuutettu ja Yhdistyneen kuningaskunnan tiedustelupalvelut ovat allekirjoittaneet yhteisymmärryspöytäkirjan (445), jossa vahvistetaan puitteet muun muassa tietoturvaloukkauksia koskevien ilmoitusten ja rekisteröityjen tekemien valituksien käsittelyyn liittyvää yhteistyötä varten. Siinä määrätään erityisesti, että saatuaan valituksen tietosuojavaltuutettu tarkistaa, että mahdollista kansalliseen turvallisuuteen liittyvää poikkeusta on sovellettu asianmukaisesti. Kun tietosuojavaltuutettu pyytää joltakin tiedustelupalvelulta tietoja yksityishenkilön tekemän valituksen tutkinnan yhteydessä, tiedustelupalvelun on vastattava 20 työpäivän kuluessa käyttäen asianmukaisia suojattuja kanavia, jos vastaus sisältää turvallisuusluokiteltuja tietoja. Tietosuojavaltuutettu on saanut huhtikuusta 2018 alkaen 21 yksityishenkilöiden tekemää valitusta, jotka koskevat tiedustelupalveluja. Kaikki valitukset on tutkittu, ja niiden tulos on ilmoitettu asianomaiselle rekisteröidylle. (446)

445

446

3.3.3.2   Tutkintavaltuuksien käytön valvonta vuonna 2016 tutkintavaltuuksista annetun lain nojalla

Tutkintavaltuuksien käytön valvonta vuonna 2016 tutkintavaltuuksista annetun lain nojalla

| (250) | Vuonna 2016 tutkintavaltuuksista annetun lain 8 osan mukaan tutkintavaltuuksien käytön valvonnasta vastaa tutkintavaltuuksien valvoja (Investigatory Powers Commissioner, IPC). Häntä avustavat tässä tehtävässä muut oikeusvaltuutetut (Judicial Commissioners). (447) Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan takeet, joilla suojataan oikeusvaltuutettujen riippumattomuutta. Oikeusvaltuutetuilta edellytetään kokemusta tuomarin viran hoitamisesta (high judicial office, eli heidän on oltava tai täytynyt olla jonkin ylimmän tuomioistuimen jäseniä) (448), ja oikeuslaitoksen virkamiehinä heidän asemansa on hallituksesta riippumaton. (449) Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n nojalla pääministeri nimittää tutkintavaltuuksien valvojan ja niin monta oikeusvaltuutettua kuin hän katsoo tarpeelliseksi. Riippumatta siitä, ovatko oikeusvaltuutetut oikeuslaitoksen nykyisiä vai entisiä jäseniä, heidät voidaan nimittää tähän tehtävään vain Englannin ja Walesin, Skotlannin ja Pohjois-Irlannin korkeimpien oikeuksien kolmen presidentin (Chief Justice) ja lordikanslerin (oikeusministerin) yhteisen suosituksen perusteella. (450) Secretary of Staten on tarjottava tutkintavaltuuksien valvojalle henkilöstö, tilat ja muut välineet ja palvelut. (451) Oikeusvaltuutettujen toimikausi on kolme vuotta, ja se voidaan uusia. (452) Oikeusvaltuutettujen riippumattomuuden takaa se, että heidät voidaan erottaa tehtävistään vain tiukoin edellytyksin, joiden soveltamiskynnys on korkea: pääministeri voi määrätä erottamisesta erityisissä olosuhteissa, jotka on lueteltu tyhjentävästi vuonna 2016 tutkintavaltuuksista annetun lain 228 §:n 5 momentissa (esim. konkurssi tai vankeusrangaistus), tai erottamisesta voidaan määrätä parlamentin ylä- ja alahuoneen hyväksymällä päätöslauselmalla. (453) |
| --- | --- |

(250)

Vuonna 2016 tutkintavaltuuksista annetun lain 8 osan mukaan tutkintavaltuuksien käytön valvonnasta vastaa tutkintavaltuuksien valvoja (Investigatory Powers Commissioner, IPC). Häntä avustavat tässä tehtävässä muut oikeusvaltuutetut (Judicial Commissioners). (447) Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan takeet, joilla suojataan oikeusvaltuutettujen riippumattomuutta. Oikeusvaltuutetuilta edellytetään kokemusta tuomarin viran hoitamisesta (high judicial office, eli heidän on oltava tai täytynyt olla jonkin ylimmän tuomioistuimen jäseniä) (448), ja oikeuslaitoksen virkamiehinä heidän asemansa on hallituksesta riippumaton. (449) Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n nojalla pääministeri nimittää tutkintavaltuuksien valvojan ja niin monta oikeusvaltuutettua kuin hän katsoo tarpeelliseksi. Riippumatta siitä, ovatko oikeusvaltuutetut oikeuslaitoksen nykyisiä vai entisiä jäseniä, heidät voidaan nimittää tähän tehtävään vain Englannin ja Walesin, Skotlannin ja Pohjois-Irlannin korkeimpien oikeuksien kolmen presidentin (Chief Justice) ja lordikanslerin (oikeusministerin) yhteisen suosituksen perusteella. (450) Secretary of Staten on tarjottava tutkintavaltuuksien valvojalle henkilöstö, tilat ja muut välineet ja palvelut. (451) Oikeusvaltuutettujen toimikausi on kolme vuotta, ja se voidaan uusia. (452) Oikeusvaltuutettujen riippumattomuuden takaa se, että heidät voidaan erottaa tehtävistään vain tiukoin edellytyksin, joiden soveltamiskynnys on korkea: pääministeri voi määrätä erottamisesta erityisissä olosuhteissa, jotka on lueteltu tyhjentävästi vuonna 2016 tutkintavaltuuksista annetun lain 228 §:n 5 momentissa (esim. konkurssi tai vankeusrangaistus), tai erottamisesta voidaan määrätä parlamentin ylä- ja alahuoneen hyväksymällä päätöslauselmalla. (453)

447

448

449

450

451

452

453

| (251) | Tutkintavaltuuksien valvojaa ja oikeusvaltuutettuja avustaa heidän tehtävissään tutkintavaltuuksista vastaavan valvojan toimisto Investigatory Powers Commissioner’s Office (IPCO). Henkilöstöön kuuluu mm. tarkastajien ryhmä, minkä lisäksi saatavilla on sekä oikeudellista että teknistä asiantuntemusta ja teknologiaan liittyviä kysymyksiä käsittelevä neuvoa-antava paneeli. Toimiston riippumattomuus on turvattu samalla tavoin kuin yksittäisten oikeusvaltuutettujenkin. IPCO on sisäministerin alaisuudessa toimiva ns. arm’s length body, mikä tarkoittaa, että se saa sisäministeriöltä rahoitusta, mutta hoitaa tehtävänsä riippumattomasti. (454) |
| --- | --- |

(251)

Tutkintavaltuuksien valvojaa ja oikeusvaltuutettuja avustaa heidän tehtävissään tutkintavaltuuksista vastaavan valvojan toimisto Investigatory Powers Commissioner’s Office (IPCO). Henkilöstöön kuuluu mm. tarkastajien ryhmä, minkä lisäksi saatavilla on sekä oikeudellista että teknistä asiantuntemusta ja teknologiaan liittyviä kysymyksiä käsittelevä neuvoa-antava paneeli. Toimiston riippumattomuus on turvattu samalla tavoin kuin yksittäisten oikeusvaltuutettujenkin. IPCO on sisäministerin alaisuudessa toimiva ns. arm’s length body, mikä tarkoittaa, että se saa sisäministeriöltä rahoitusta, mutta hoitaa tehtävänsä riippumattomasti. (454)

454

| (252) | Oikeusvaltuutettujen päätehtävät esitetään vuonna 2016 tutkintavaltuuksista annetun lain 229 §:ssä. (455) Oikeusvaltuutetuilla on erityisesti laajat toimivaltuudet myöntää ennakkohyväksyntä, joka on osa Yhdistyneen kuningaskunnan lainsäädännössä vuoden 2016 lailla käyttöön otettuja suojatoimia. Oikeusvaltuutettujen on annettava hyväksyntänsä määräyksille (warrant), jotka koskevat kohdennettua telekuuntelua, laitetutkintaa, laajoja henkilötietojoukkoja tai laajamittaista viestintätietojen hankintaa, sekä viestintätietojen säilyttämistä koskeville määräyksille (retention notice). (456) Myös viestintätietojen hankintaan lainvalvontatarkoituksia varten tarvitaan aina tutkintavaltuuksien valvojan ennakkohyväksyntä. (457) Jos oikeusvaltuutettu kieltäytyy hyväksymästä määräystä, Secretary of State voi hakea päätökseen muutosta tutkintavaltuuksien valvojalta, joka tekee asiassa lopullisen päätöksen. |
| --- | --- |

(252)

Oikeusvaltuutettujen päätehtävät esitetään vuonna 2016 tutkintavaltuuksista annetun lain 229 §:ssä. (455) Oikeusvaltuutetuilla on erityisesti laajat toimivaltuudet myöntää ennakkohyväksyntä, joka on osa Yhdistyneen kuningaskunnan lainsäädännössä vuoden 2016 lailla käyttöön otettuja suojatoimia. Oikeusvaltuutettujen on annettava hyväksyntänsä määräyksille (warrant), jotka koskevat kohdennettua telekuuntelua, laitetutkintaa, laajoja henkilötietojoukkoja tai laajamittaista viestintätietojen hankintaa, sekä viestintätietojen säilyttämistä koskeville määräyksille (retention notice). (456) Myös viestintätietojen hankintaan lainvalvontatarkoituksia varten tarvitaan aina tutkintavaltuuksien valvojan ennakkohyväksyntä. (457) Jos oikeusvaltuutettu kieltäytyy hyväksymästä määräystä, Secretary of State voi hakea päätökseen muutosta tutkintavaltuuksien valvojalta, joka tekee asiassa lopullisen päätöksen.

455

456

457

| (253) | Oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija suhtautui oikeusvaltuutettujen tehtävän perustamiseen vuonna 2016 tutkintavaltuuksista annetulla lailla erittäin myönteisesti ja katsoi, että kaikille arkaluontoisemmille valvontapyynnöille tai sellaisille valvontapyynnöille, joilla puututaan yksityisyydensuojaan erityisen paljon, on saatava sekä hallituksen ministerin että tutkintavaltuuksien valvojan hyväksyntä. Hän korosti erityisesti, että tämä oikeudellinen tarkastelu, jonka tutkintavaltuuksien valvoja suorittaa, apunaan aiempaa paremmin resurssein varustettu kokeneiden tarkastajien ja teknisten asiantuntijoiden ryhmä, on yksi tärkeimmistä vuonna 2016 tutkintavaltuuksista annetulla lailla käyttöön otetuista suojatoimista. Se korvaa aiemman, valvontaviranomaisten toimintaan perustuneen hajanaisen järjestelyn ja täydentää parlamentin tiedustelu- ja turvallisuusvaliokunnan ja tutkintavaltuuksia käsittelevän tuomioistuimen roolia. (458). |
| --- | --- |

(253)

Oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija suhtautui oikeusvaltuutettujen tehtävän perustamiseen vuonna 2016 tutkintavaltuuksista annetulla lailla erittäin myönteisesti ja katsoi, että kaikille arkaluontoisemmille valvontapyynnöille tai sellaisille valvontapyynnöille, joilla puututaan yksityisyydensuojaan erityisen paljon, on saatava sekä hallituksen ministerin että tutkintavaltuuksien valvojan hyväksyntä. Hän korosti erityisesti, että tämä oikeudellinen tarkastelu, jonka tutkintavaltuuksien valvoja suorittaa, apunaan aiempaa paremmin resurssein varustettu kokeneiden tarkastajien ja teknisten asiantuntijoiden ryhmä, on yksi tärkeimmistä vuonna 2016 tutkintavaltuuksista annetulla lailla käyttöön otetuista suojatoimista. Se korvaa aiemman, valvontaviranomaisten toimintaan perustuneen hajanaisen järjestelyn ja täydentää parlamentin tiedustelu- ja turvallisuusvaliokunnan ja tutkintavaltuuksia käsittelevän tuomioistuimen roolia. (458).

458

| (254) | Tutkintavaltuuksien valvojalla on lisäksi valtuudet tarkastella jälkikäteen (459) (mm. auditointien, tarkastusten ja tutkimusten avulla) sekä vuoden 2016 lakiin perustuvien tutkintavaltuuksien että eräiden muiden asianomaiseen lainsäädäntöön perustuvien valtuuksien käyttöä ja tehtävien hoitamista. (460) Tämän jälkivalvonnan tulokset sisältyvät kertomukseen, jonka tutkintavaltuuksien valvoja laatii vuosittain pääministerille. (461) Kertomus on julkaistava ja esitettävä myös parlamentille. (462) Kertomuksessa on tilasto- ym. tietoa siitä, miten tiedusteluvirastot ja lainvalvontaviranomaiset ovat käyttäneet tutkintavaltuuksia, ja suojatoimien soveltamisesta silloin kun tutkinnan kohteena on asianajosalaisuuden piiriin kuuluva tai luottamuksellinen journalistinen aineisto tai toimittajan tietolähde, sekä tietoa laajamittaisen määräyksen nojalla hankittuihin tietoihin liittyvistä järjestelyistä ja operatiivisista tarkoituksista. Vuosikertomuksessa selvitetään myös, mistä seikoista viranomaisille on annettu suosituksia ja miten niitä on käsitelty (463). |
| --- | --- |

(254)

Tutkintavaltuuksien valvojalla on lisäksi valtuudet tarkastella jälkikäteen (459) (mm. auditointien, tarkastusten ja tutkimusten avulla) sekä vuoden 2016 lakiin perustuvien tutkintavaltuuksien että eräiden muiden asianomaiseen lainsäädäntöön perustuvien valtuuksien käyttöä ja tehtävien hoitamista. (460) Tämän jälkivalvonnan tulokset sisältyvät kertomukseen, jonka tutkintavaltuuksien valvoja laatii vuosittain pääministerille. (461) Kertomus on julkaistava ja esitettävä myös parlamentille. (462) Kertomuksessa on tilasto- ym. tietoa siitä, miten tiedusteluvirastot ja lainvalvontaviranomaiset ovat käyttäneet tutkintavaltuuksia, ja suojatoimien soveltamisesta silloin kun tutkinnan kohteena on asianajosalaisuuden piiriin kuuluva tai luottamuksellinen journalistinen aineisto tai toimittajan tietolähde, sekä tietoa laajamittaisen määräyksen nojalla hankittuihin tietoihin liittyvistä järjestelyistä ja operatiivisista tarkoituksista. Vuosikertomuksessa selvitetään myös, mistä seikoista viranomaisille on annettu suosituksia ja miten niitä on käsitelty (463).

459

460

461

462

463

| (255) | Vuonna 2016 tutkintavaltuuksista annetun lain 231 §:ssä säädetään, että jos tutkintavaltuuksien valvoja saa tietoonsa, että viranomainen on tehnyt tutkintavaltuuksiensa käytössä virheen, jota valvoja pitää vakavana, asiasta on ilmoitettava asianomaiselle henkilölle, ja tällainen ilmoitus on yleisen edun mukainen. (464) Mainitussa lainkohdassa täsmennetään, että kun tutkintavaltuuksien valvoja ilmoittaa virheestä asianomaiselle henkilölle, hänen on samalla kerrottava tälle tämän oikeuksista viedä asia tutkintavaltuuksia käsittelevän tuomioistuimen käsiteltäväksi ja annettava kaikki tarpeellisiksi katsomansa tiedot näiden oikeuksien käyttämiseksi, koska näiden tietojen antaminen on yleisen edun mukaista. (465) |
| --- | --- |

(255)

Vuonna 2016 tutkintavaltuuksista annetun lain 231 §:ssä säädetään, että jos tutkintavaltuuksien valvoja saa tietoonsa, että viranomainen on tehnyt tutkintavaltuuksiensa käytössä virheen, jota valvoja pitää vakavana, asiasta on ilmoitettava asianomaiselle henkilölle, ja tällainen ilmoitus on yleisen edun mukainen. (464) Mainitussa lainkohdassa täsmennetään, että kun tutkintavaltuuksien valvoja ilmoittaa virheestä asianomaiselle henkilölle, hänen on samalla kerrottava tälle tämän oikeuksista viedä asia tutkintavaltuuksia käsittelevän tuomioistuimen käsiteltäväksi ja annettava kaikki tarpeellisiksi katsomansa tiedot näiden oikeuksien käyttämiseksi, koska näiden tietojen antaminen on yleisen edun mukaista. (465)

464

465

3.3.3.3   Tiedustelupalvelujen parlamentaarinen valvonta

Tiedustelupalvelujen parlamentaarinen valvonta

| (256) | Tiedustelupalvelujen parlamentaarisesta valvonnasta vastaa tiedustelu- ja turvallisuusvaliokunta (Intelligence and Security Committee, ISC) vuoden 2013 oikeus- ja turvallisuuslain (Justice and Security Act 2013) nojalla. (466) Lain mukaan tiedustelu- ja turvallisuusvaliokunta on Yhdistyneen kuningaskunnan parlamentin valiokunta. Valiokunta sai vuonna 2013 laajemmat valtuudet mm. valvoa turvallisuuspalvelujen operatiivista toimintaa. Vuoden 2013 oikeus- ja turvallisuuslain 2 §:n nojalla valiokunnan tehtävänä on valvoa kansallisten turvallisuusvirastojen menoja, hallintoa, toimintaperiaatteita ja operaatioita. Laissa täsmennetään, että valiokunta voi suorittaa tutkimuksia operatiivisista asioista silloin kun ne eivät liity käynnissä oleviin operaatioihin. (467) Pääministerin ja valiokunnan välisessä yhteisymmärryspöytäkirjassa (468) täsmennetään yksityiskohtaisesti seikat, jotka on otettava huomioon sen määrittämiseksi, onko jokin toiminta osa käynnissä olevaa operaatiota. (469) Pääministeri voi myös pyytää valiokuntaa tutkimaan käynnissä olevia operaatioita, ja se voi tarkastella virastojen vapaaehtoisesti toimittamia tietoja. |
| --- | --- |

(256)

Tiedustelupalvelujen parlamentaarisesta valvonnasta vastaa tiedustelu- ja turvallisuusvaliokunta (Intelligence and Security Committee, ISC) vuoden 2013 oikeus- ja turvallisuuslain (Justice and Security Act 2013) nojalla. (466) Lain mukaan tiedustelu- ja turvallisuusvaliokunta on Yhdistyneen kuningaskunnan parlamentin valiokunta. Valiokunta sai vuonna 2013 laajemmat valtuudet mm. valvoa turvallisuuspalvelujen operatiivista toimintaa. Vuoden 2013 oikeus- ja turvallisuuslain 2 §:n nojalla valiokunnan tehtävänä on valvoa kansallisten turvallisuusvirastojen menoja, hallintoa, toimintaperiaatteita ja operaatioita. Laissa täsmennetään, että valiokunta voi suorittaa tutkimuksia operatiivisista asioista silloin kun ne eivät liity käynnissä oleviin operaatioihin. (467) Pääministerin ja valiokunnan välisessä yhteisymmärryspöytäkirjassa (468) täsmennetään yksityiskohtaisesti seikat, jotka on otettava huomioon sen määrittämiseksi, onko jokin toiminta osa käynnissä olevaa operaatiota. (469) Pääministeri voi myös pyytää valiokuntaa tutkimaan käynnissä olevia operaatioita, ja se voi tarkastella virastojen vapaaehtoisesti toimittamia tietoja.

466

467

468

469

| (257) | Vuoden 2013 oikeus- ja turvallisuuslain liitteen 1 nojalla Tiedustelu- ja turvallisuusvaliokunta voi pyytää minkä tahansa kolmen tiedustelupalvelun johtajaa luovuttamaan mitä tahansa tietoja. Tiedustelupalvelujen on annettava nämä tiedot saataville, ellei Secretary of State vastusta sitä veto-oikeudellaan. (470) Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan valiokunnalta salataan käytännössä hyvin vähän tietoja. (471) |
| --- | --- |

(257)

Vuoden 2013 oikeus- ja turvallisuuslain liitteen 1 nojalla Tiedustelu- ja turvallisuusvaliokunta voi pyytää minkä tahansa kolmen tiedustelupalvelun johtajaa luovuttamaan mitä tahansa tietoja. Tiedustelupalvelujen on annettava nämä tiedot saataville, ellei Secretary of State vastusta sitä veto-oikeudellaan. (470) Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan valiokunnalta salataan käytännössä hyvin vähän tietoja. (471)

470

471

| (258) | Sen jäsenet kuuluvat joko parlamentin ala- tai ylähuoneeseen, ja pääministeri nimittää heidät opposition johtajaa kuultuaan. (472) Valiokunta esittää parlamentille vuosittain kertomuksen tehtäviensä hoitamisesta ja muita kertomuksia sen mukaan kuin se katsoo tarpeelliseksi. (473) Valiokunnalla on myös oikeus saada kolmen kuukauden välein luettelo operatiivisista tarkoituksista, joita käytetään laajamittaisen hankinnan avulla saatujen aineiston tutkinnassa. (474) Pääministeri toimittaa valiokunnalle myös jäljennökset erilaisista tutkintavaltuuksien valvojan tarkastuskertomuksista, jos niiden aihe liittyy valiokunnan lakisääteiseen toimivaltaan. (475) Valiokunta voi myös pyytää tutkintavaltuuksien valvojaa suorittamaan tietyn tutkimuksen, ja tämän on siinä tapauksessa ilmoitettava valiokunnalle, tehdäänkö se. (476) |
| --- | --- |

(258)

Sen jäsenet kuuluvat joko parlamentin ala- tai ylähuoneeseen, ja pääministeri nimittää heidät opposition johtajaa kuultuaan. (472) Valiokunta esittää parlamentille vuosittain kertomuksen tehtäviensä hoitamisesta ja muita kertomuksia sen mukaan kuin se katsoo tarpeelliseksi. (473) Valiokunnalla on myös oikeus saada kolmen kuukauden välein luettelo operatiivisista tarkoituksista, joita käytetään laajamittaisen hankinnan avulla saatujen aineiston tutkinnassa. (474) Pääministeri toimittaa valiokunnalle myös jäljennökset erilaisista tutkintavaltuuksien valvojan tarkastuskertomuksista, jos niiden aihe liittyy valiokunnan lakisääteiseen toimivaltaan. (475) Valiokunta voi myös pyytää tutkintavaltuuksien valvojaa suorittamaan tietyn tutkimuksen, ja tämän on siinä tapauksessa ilmoitettava valiokunnalle, tehdäänkö se. (476)

472

473

474

475

476

| (259) | Valiokunta esitti myös kommentteja vuonna 2016 tutkintavaltuuksista annetun lain luonnokseen, ja monet niistä onkin otettu tarkistusten kautta huomioon nyt voimassa olevassa laissa. (477) Valiokunta suositti erityisesti yksityisyydensuojan vahvistamista ottamalla käyttöön tiettyjä kaikkiin tutkintavaltuuksiin sovellettavia suojatoimia. (478) Se esitti lisäksi muutoksia ehdotettuihin valmiuksiin, jotka liittyvät laitetutkintaan, laajoihin henkilötietojoukkoihin ja viestintätietoihin, ja eräitä muita muutoksia tutkintavaltuuksien käyttöä koskevien rajoitusten ja suojatoimien vahvistamiseksi. (479) |
| --- | --- |

(259)

Valiokunta esitti myös kommentteja vuonna 2016 tutkintavaltuuksista annetun lain luonnokseen, ja monet niistä onkin otettu tarkistusten kautta huomioon nyt voimassa olevassa laissa. (477) Valiokunta suositti erityisesti yksityisyydensuojan vahvistamista ottamalla käyttöön tiettyjä kaikkiin tutkintavaltuuksiin sovellettavia suojatoimia. (478) Se esitti lisäksi muutoksia ehdotettuihin valmiuksiin, jotka liittyvät laitetutkintaan, laajoihin henkilötietojoukkoihin ja viestintätietoihin, ja eräitä muita muutoksia tutkintavaltuuksien käyttöä koskevien rajoitusten ja suojatoimien vahvistamiseksi. (479)

477

478

479

3.3.4   Oikeussuojakeinot

Oikeussuojakeinot

| (260) | Kun on kyse hallituksen pääsystä tietoihin kansalliseen turvallisuuteen liittyviä tarkoituksia varten, rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (480) Tällä lainkäyttöelimellä on erityisesti oltava valtuudet antaa tiedustelupalvelua sitovia päätöksiä. (481) Kuten johdanto-osan (261)–(271) kappaleessa selitetään, rekisteröidyillä on käytössään useita eri oikeussuojakeinoja. |
| --- | --- |

(260)

Kun on kyse hallituksen pääsystä tietoihin kansalliseen turvallisuuteen liittyviä tarkoituksia varten, rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (480) Tällä lainkäyttöelimellä on erityisesti oltava valtuudet antaa tiedustelupalvelua sitovia päätöksiä. (481) Kuten johdanto-osan (261)–(271) kappaleessa selitetään, rekisteröidyillä on käytössään useita eri oikeussuojakeinoja.

480

481

3.3.4.1   Tietosuojalain 4 osan nojalla käytettävissä olevat oikeussuojakeinot

Tietosuojalain 4 osan nojalla käytettävissä olevat oikeussuojakeinot

| (261) | Vuoden 2018 tietosuojalain 165 §:n nojalla rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 4 osan säännöksiä. Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet. Vuoden 2018 tietosuojalain 4 osan nojalla rekisteröidyillä on lisäksi oikeus pyytää High Court -tuomioistuimelta (Skotlannissa Court of Session) määräys, jolla rekisterinpitäjä velvoitetaan noudattamaan tiedonsaantia koskevia oikeuksia (482), oikeutta vastustaa tietojen käsittelyä (483) ja oikeutta oikaista tai poistaa tiedot (484). |
| --- | --- |

(261)

Vuoden 2018 tietosuojalain 165 §:n nojalla rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 4 osan säännöksiä. Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet. Vuoden 2018 tietosuojalain 4 osan nojalla rekisteröidyillä on lisäksi oikeus pyytää High Court -tuomioistuimelta (Skotlannissa Court of Session) määräys, jolla rekisterinpitäjä velvoitetaan noudattamaan tiedonsaantia koskevia oikeuksia (482), oikeutta vastustaa tietojen käsittelyä (483) ja oikeutta oikaista tai poistaa tiedot (484).

482

483

484

| (262) | Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä tai henkilötietojen käsittelijältä korvausta vahingosta, joka on aiheutunut vuoden 2018 tietosuojalain 4 osassa säädettyjen vaatimusten rikkomisesta. (485) Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä. (486) |
| --- | --- |

(262)

Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä tai henkilötietojen käsittelijältä korvausta vahingosta, joka on aiheutunut vuoden 2018 tietosuojalain 4 osassa säädettyjen vaatimusten rikkomisesta. (485) Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä. (486)

485

486

3.3.4.2   Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot

Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot

| (263) | Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal). |
| --- | --- |

(263)

Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal).

| (264) | Tämä täytäntöönpanovallasta riippumaton tuomioistuin on perustettu vuonna 2000 tutkintavaltuuksista annetulla asetuksella. (487) Asetuksen 65 §:n mukaan Hänen Majesteettinsa nimittää tuomioistuimen jäsenet viiden vuoden toimikaudeksi. Hänen Majesteettinsa voi erottaa tuomioistuimen jäsenen parlamentin molempien kamarien esityksen (Address) (488) perusteella. (489) |
| --- | --- |

(264)

Tämä täytäntöönpanovallasta riippumaton tuomioistuin on perustettu vuonna 2000 tutkintavaltuuksista annetulla asetuksella. (487) Asetuksen 65 §:n mukaan Hänen Majesteettinsa nimittää tuomioistuimen jäsenet viiden vuoden toimikaudeksi. Hänen Majesteettinsa voi erottaa tuomioistuimen jäsenen parlamentin molempien kamarien esityksen (Address) (488) perusteella. (489)

487

488

489

| (265) | Tämä tuomioistuin on vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n nojalla asianmukainen lainkäyttöelin käsittelemään valitukset, jotka koskevat vuonna 2016 tutkintavaltuuksista annetun lain tai vuonna 2000 tutkintavaltuuksista annetun asetuksen nojalla toteutetuista toimista tai mistä tahansa tiedustelupalvelujen suorittamasta toiminnasta aiheutuvia vahinkoja. (490) |
| --- | --- |

(265)

Tämä tuomioistuin on vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n nojalla asianmukainen lainkäyttöelin käsittelemään valitukset, jotka koskevat vuonna 2016 tutkintavaltuuksista annetun lain tai vuonna 2000 tutkintavaltuuksista annetun asetuksen nojalla toteutetuista toimista tai mistä tahansa tiedustelupalvelujen suorittamasta toiminnasta aiheutuvia vahinkoja. (490)

490

| (266) | Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan rekisteröidyllä on oikeus viedä asiansa Investigatory Powers Tribunal -tuomioistuimen käsiteltäväksi (”asiavaltuus”), jos hän uskoo (491), että tiedustelupalvelun toiminta kohdistuu häneen tai hänen omaisuuteensa tai hänen lähettämäänsä tai hänelle lähetettyyn tai hänelle tarkoitettuun viestintään tai hänen käyttämäänsä postipalveluun, televiestintäjärjestelmään tai televiestintäpalveluun. (492) Lisäksi edellytetään, että kantelija uskoo toiminnan tapahtuneen ”olosuhteissa, jotka on mahdollista kiistää” (493) tai että se on toteutettu tiedustelupalvelujen toimesta tai niiden puolesta. (494) Koska etenkin tätä ”uskomista” koskevaa edellytystä on tulkittu varsin väljästi (495), asian vieminen tämän tuomioistuimen käsiteltäväksi ei edellytä erityistä asiavaltuutta. |
| --- | --- |

(266)

Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan rekisteröidyllä on oikeus viedä asiansa Investigatory Powers Tribunal -tuomioistuimen käsiteltäväksi (”asiavaltuus”), jos hän uskoo (491), että tiedustelupalvelun toiminta kohdistuu häneen tai hänen omaisuuteensa tai hänen lähettämäänsä tai hänelle lähetettyyn tai hänelle tarkoitettuun viestintään tai hänen käyttämäänsä postipalveluun, televiestintäjärjestelmään tai televiestintäpalveluun. (492) Lisäksi edellytetään, että kantelija uskoo toiminnan tapahtuneen ”olosuhteissa, jotka on mahdollista kiistää” (493) tai että se on toteutettu tiedustelupalvelujen toimesta tai niiden puolesta. (494) Koska etenkin tätä ”uskomista” koskevaa edellytystä on tulkittu varsin väljästi (495), asian vieminen tämän tuomioistuimen käsiteltäväksi ei edellytä erityistä asiavaltuutta.

491

492

493

494

495

| (267) | Kun Investigatory Powers Tribunal -tuomioistuin käsittelee sille tehtyä valitusta, sen velvollisuutena on tutkia, ovatko henkilöt, joita koskevia väitteitä siinä esitetään, olleet jollakin tavoin tekemisissä valituksen tekijän kanssa, ja onko viranomainen, jonka väitetään osallistuneen oikeudenloukkauksiin, toteuttanut väitetyt toimet. (496) Jos tämä tuomioistuin ottaa asian käsiteltäväksi, sen on sovellettava ratkaisussaan samoja periaatteita kuin ne, joita mikä tahansa tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (497) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain nojalla annettujen määräysten (warrant, notice) hakijoilla ja kaikilla muilla henkilöillä, jotka työskentelevät valtion virassa poliisin tai poliisin tutkinta- ja muutoksenhakulautakunnan (Police Investigations and Review Commissioner) palveluksessa, on velvollisuus luovuttaa tai toimittaa kyseiselle tuomioistuimelle kaikki asiakirjat ja tiedot, joita tuomioistuin voi tarvita lainkäyttövaltaansa käyttäessään. (498) |
| --- | --- |

(267)

Kun Investigatory Powers Tribunal -tuomioistuin käsittelee sille tehtyä valitusta, sen velvollisuutena on tutkia, ovatko henkilöt, joita koskevia väitteitä siinä esitetään, olleet jollakin tavoin tekemisissä valituksen tekijän kanssa, ja onko viranomainen, jonka väitetään osallistuneen oikeudenloukkauksiin, toteuttanut väitetyt toimet. (496) Jos tämä tuomioistuin ottaa asian käsiteltäväksi, sen on sovellettava ratkaisussaan samoja periaatteita kuin ne, joita mikä tahansa tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (497) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain nojalla annettujen määräysten (warrant, notice) hakijoilla ja kaikilla muilla henkilöillä, jotka työskentelevät valtion virassa poliisin tai poliisin tutkinta- ja muutoksenhakulautakunnan (Police Investigations and Review Commissioner) palveluksessa, on velvollisuus luovuttaa tai toimittaa kyseiselle tuomioistuimelle kaikki asiakirjat ja tiedot, joita tuomioistuin voi tarvita lainkäyttövaltaansa käyttäessään. (498)

496

497

498

| (268) | Investigatory Powers Tribunal -tuomioistuimen on ilmoitettava kantelijalle, onko asia ratkaistu hänen hyväkseen vai ei. (499) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 6 ja 7 momentin nojalla tuomioistuimella on toimivalta antaa väliaikaisia määräyksiä ja myöntää sopivaksi katsomiaan vahingonkorvauksia tai antaa muita määräyksiä. Näillä määräyksillä voidaan myös kumota tai peruuttaa mikä tahansa määräys tai lupa tai vaatia sellaisten ketä tahansa henkilöä koskevien tietojen tuhoamista, jotka viranomainen on hankkinut määräykseen tai lupaan perustuvan valtuutuksen nojalla tai jotka se on saanut haltuunsa muulla tavoin. (500) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67A §:n mukaan Investigatory Powers Tribunal -tuomioistuimen ratkaisuun on mahdollista hakea muutosta, ellei sen tai asianomaisen muutoksenhakutuomioistuimen myöntämästä luvasta muuta johdu. |
| --- | --- |

(268)

Investigatory Powers Tribunal -tuomioistuimen on ilmoitettava kantelijalle, onko asia ratkaistu hänen hyväkseen vai ei. (499) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 6 ja 7 momentin nojalla tuomioistuimella on toimivalta antaa väliaikaisia määräyksiä ja myöntää sopivaksi katsomiaan vahingonkorvauksia tai antaa muita määräyksiä. Näillä määräyksillä voidaan myös kumota tai peruuttaa mikä tahansa määräys tai lupa tai vaatia sellaisten ketä tahansa henkilöä koskevien tietojen tuhoamista, jotka viranomainen on hankkinut määräykseen tai lupaan perustuvan valtuutuksen nojalla tai jotka se on saanut haltuunsa muulla tavoin. (500) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67A §:n mukaan Investigatory Powers Tribunal -tuomioistuimen ratkaisuun on mahdollista hakea muutosta, ellei sen tai asianomaisen muutoksenhakutuomioistuimen myöntämästä luvasta muuta johdu.

499

500

| (269) | Lopuksi on syytä mainita, että Investigatory Powers Tribunal -tuomioistuimen roolista on keskusteltu Euroopan ihmisoikeustuomioistuimessa nostettujen kanteiden yhteydessä useaan otteeseen, mm. asiassa Kennedy v. the United Kingdom (501) ja sen myöhemmin asiassa Big Brother Watch and others v. United Kingdom (502). EIT on todennut, että Investigatory Powers Tribunal on osoittanut kykenevänsä tarjoamaan luotettavaa oikeussuojaa jokaiselle, joka epäilee, että tiedustelupalvelut ovat kuunnelleet hänen viestintäänsä. (503) |
| --- | --- |

(269)

Lopuksi on syytä mainita, että Investigatory Powers Tribunal -tuomioistuimen roolista on keskusteltu Euroopan ihmisoikeustuomioistuimessa nostettujen kanteiden yhteydessä useaan otteeseen, mm. asiassa Kennedy v. the United Kingdom (501) ja sen myöhemmin asiassa Big Brother Watch and others v. United Kingdom (502). EIT on todennut, että Investigatory Powers Tribunal on osoittanut kykenevänsä tarjoamaan luotettavaa oikeussuojaa jokaiselle, joka epäilee, että tiedustelupalvelut ovat kuunnelleet hänen viestintäänsä. (503)

Kennedy v. the United Kingdom

501

Big Brother Watch and others v. United Kingdom

502

503

3.3.4.3   Muut käytettävissä olevat oikeussuojakeinot

Muut käytettävissä olevat oikeussuojakeinot

| (270) | Kuten johdanto-osan 109–111 kappaleessa todetaan, vuoden 1998 ihmisoikeussopimuksen ja Euroopan ihmisoikeustuomioistuimen tarjoamat oikeussuojakeinot (504) ovat käytössä myös kansallisen turvallisuuden alalla. Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 2 momentin mukaan Investigatory Powers Tribunal -tuomioistuimella on yksinomainen toimivalta käsitellä kaikki tiedustelupalveluja vastaan ihmisoikeuslain nojalla nostetut kanteet. (505) Kuten High Court on todennut, tämä tarkoittaa, että kysymys siitä, onko jossakin tietyssä tapauksessa siihen liittyvien tosiseikkojen perusteella rikottu ihmisoikeuslakia, voidaan periaatteessa saattaa riippumattoman tuomioistuimen tutkittavaksi, jolla on oikeus tutustua kaikkeen asiaa koskevaan aineistoon, myös salaiseen aineistoon. High Courtin mukaan tässä yhteydessä on myös muistettava, että myös kyseisellä tuomioistuimella on mahdollisuus hakea muutosta asianomaisesta muutoksenhakutuomioistuimesta (Englannissa ja Walesissa Court of Appeal), ja että Supreme Court on äskettäin päättänyt, että kyseinen tuomioistuin on periaatteessa tuomioistuinvalvonnan alainen: ks. R (Privacy International) v Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219. (506) |
| --- | --- |

(270)

Kuten johdanto-osan 109–111 kappaleessa todetaan, vuoden 1998 ihmisoikeussopimuksen ja Euroopan ihmisoikeustuomioistuimen tarjoamat oikeussuojakeinot (504) ovat käytössä myös kansallisen turvallisuuden alalla. Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 2 momentin mukaan Investigatory Powers Tribunal -tuomioistuimella on yksinomainen toimivalta käsitellä kaikki tiedustelupalveluja vastaan ihmisoikeuslain nojalla nostetut kanteet. (505) Kuten High Court on todennut, tämä tarkoittaa, että kysymys siitä, onko jossakin tietyssä tapauksessa siihen liittyvien tosiseikkojen perusteella rikottu ihmisoikeuslakia, voidaan periaatteessa saattaa riippumattoman tuomioistuimen tutkittavaksi, jolla on oikeus tutustua kaikkeen asiaa koskevaan aineistoon, myös salaiseen aineistoon. High Courtin mukaan tässä yhteydessä on myös muistettava, että myös kyseisellä tuomioistuimella on mahdollisuus hakea muutosta asianomaisesta muutoksenhakutuomioistuimesta (Englannissa ja Walesissa Court of Appeal), ja että Supreme Court on äskettäin päättänyt, että kyseinen tuomioistuin on periaatteessa tuomioistuinvalvonnan alainen: ks. R (Privacy International) v Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219. (506)

504

505

506

| (271) | Edellä esitetystä seuraa, että kun Yhdistyneen kuningaskunnan lainvalvontaviranomaiset tai kansallisesta turvallisuudesta vastaavat viranomaiset saavat pääsyn tämän päätöksen soveltamisalaan kuuluviin henkilötietoihin, tätä pääsyä säännellään laeilla, joissa asetetaan edellytykset tietoihin pääsylle ja varmistetaan, että pääsy tietoihin niiden myöhempi käyttö rajoittuu siihen, mikä on tarpeen ja oikeasuhteista lainvalvontaan tai kansalliseen turvallisuuteen liittyvän tavoitteen saavuttamiseksi. Lisäksi pääsy edellyttää useimmissa tapauksissa lainkäyttöelimen ennakkohyväksyntää asiaa koskevan määräyksen (warrant, production order) muodossa ja joka tapauksessa riippumatonta valvontaa. Sen jälkeen kun viranomaiset ovat saaneet pääsyn tietoihin, niiden käsittelyyn, mukaan lukien myöhempi jakaminen ja edelleen siirtäminen, sovelletaan vuoden 2018 tietosuojalain 3 osassa säädettyjä tietosuojatakeita, jotka perustuvat lainvalvontaviranomaisten suorittaman käsittelyn osalta direktiiviin (EU) 2016/680 ja tiedustelupalvelujen suorittaman käsittelyn osalta vuoden 2018 tietosuojalain 4 osaan. Lopuksi todetaan, että rekisteröidyillä on tällä alalla tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joihin kuuluu myös oikeus saada pääsy tietoihinsa tai oikaista tai poistaa ne. |
| --- | --- |

(271)

Edellä esitetystä seuraa, että kun Yhdistyneen kuningaskunnan lainvalvontaviranomaiset tai kansallisesta turvallisuudesta vastaavat viranomaiset saavat pääsyn tämän päätöksen soveltamisalaan kuuluviin henkilötietoihin, tätä pääsyä säännellään laeilla, joissa asetetaan edellytykset tietoihin pääsylle ja varmistetaan, että pääsy tietoihin niiden myöhempi käyttö rajoittuu siihen, mikä on tarpeen ja oikeasuhteista lainvalvontaan tai kansalliseen turvallisuuteen liittyvän tavoitteen saavuttamiseksi. Lisäksi pääsy edellyttää useimmissa tapauksissa lainkäyttöelimen ennakkohyväksyntää asiaa koskevan määräyksen (warrant, production order) muodossa ja joka tapauksessa riippumatonta valvontaa. Sen jälkeen kun viranomaiset ovat saaneet pääsyn tietoihin, niiden käsittelyyn, mukaan lukien myöhempi jakaminen ja edelleen siirtäminen, sovelletaan vuoden 2018 tietosuojalain 3 osassa säädettyjä tietosuojatakeita, jotka perustuvat lainvalvontaviranomaisten suorittaman käsittelyn osalta direktiiviin (EU) 2016/680 ja tiedustelupalvelujen suorittaman käsittelyn osalta vuoden 2018 tietosuojalain 4 osaan. Lopuksi todetaan, että rekisteröidyillä on tällä alalla tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joihin kuuluu myös oikeus saada pääsy tietoihinsa tai oikaista tai poistaa ne.

| (272) | Koska nämä ehdot, rajoitukset ja suojatoimet ovat tämän päätöksen soveltamisen kannalta erittäin tärkeitä, komissio seuraa tiiviisti viranomaisten tiedonsaantioikeutta koskevien Yhdistyneen kuningaskunnan sääntöjen soveltamista ja tulkintaa. Seuranta koskee myös asianomaisen lainsäädännön, sääntelyn ja oikeuskäytännön kehitystä sekä tietosuojavaltuutetun ja muiden tämän alan valvontaviranomaisten toimintaa. Huomiota kiinnitetään tiiviisti myös siihen, miten Yhdistynyt kuningaskunta panee täytäntöön asiaa koskevat Euroopan ihmisoikeustuomioistuimen tuomiot sekä toimenpiteet, jotka yksilöidään Euroopan neuvoston ministerikomitealle toimitettavissa toimintasuunnitelmissa ja toimintakertomuksissa EIT:n tuomioiden noudattamisen valvonnan yhteydessä. |
| --- | --- |

(272)

Koska nämä ehdot, rajoitukset ja suojatoimet ovat tämän päätöksen soveltamisen kannalta erittäin tärkeitä, komissio seuraa tiiviisti viranomaisten tiedonsaantioikeutta koskevien Yhdistyneen kuningaskunnan sääntöjen soveltamista ja tulkintaa. Seuranta koskee myös asianomaisen lainsäädännön, sääntelyn ja oikeuskäytännön kehitystä sekä tietosuojavaltuutetun ja muiden tämän alan valvontaviranomaisten toimintaa. Huomiota kiinnitetään tiiviisti myös siihen, miten Yhdistynyt kuningaskunta panee täytäntöön asiaa koskevat Euroopan ihmisoikeustuomioistuimen tuomiot sekä toimenpiteet, jotka yksilöidään Euroopan neuvoston ministerikomitealle toimitettavissa toimintasuunnitelmissa ja toimintakertomuksissa EIT:n tuomioiden noudattamisen valvonnan yhteydessä.

4.   PÄÄTELMÄT

PÄÄTELMÄT

| (273) | Komissio katsoo, että Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ja vuoden 2018 tietosuojalaki takaavat Euroopan unionista siirrettyjen henkilötietojen suojan tason, joka vastaa olennaisilta osiltaan asetuksessa (EU) 2016/679 taattua suojan tasoa. |
| --- | --- |

(273)

Komissio katsoo, että Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ja vuoden 2018 tietosuojalaki takaavat Euroopan unionista siirrettyjen henkilötietojen suojan tason, joka vastaa olennaisilta osiltaan asetuksessa (EU) 2016/679 taattua suojan tasoa.

| (274) | Lisäksi komissio katsoo, että Yhdistyneen kuningaskunnan lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan tunnistaa ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot. |
| --- | --- |

(274)

Lisäksi komissio katsoo, että Yhdistyneen kuningaskunnan lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan tunnistaa ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot.

| (275) | Yhdistyneen kuningaskunnan oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella komissio katsoo, että Yhdistyneen kuningaskunnan viranomaisten puuttuminen erityisesti lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja. |
| --- | --- |

(275)

Yhdistyneen kuningaskunnan oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella komissio katsoo, että Yhdistyneen kuningaskunnan viranomaisten puuttuminen erityisesti lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja.

| (276) | Tätä päätöstä laadittaessa tehtyjen havaintojen perusteella olisi sen vuoksi päätettävä, että Yhdistynyt kuningaskunta tarjoaa riittävän tietosuojan tason sellaisena kuin siitä säädetään asetuksen (EU) 2016/679 45 artiklassa, tulkittuna Euroopan unionin perusoikeuskirjan pohjalta. |
| --- | --- |

(276)

Tätä päätöstä laadittaessa tehtyjen havaintojen perusteella olisi sen vuoksi päätettävä, että Yhdistynyt kuningaskunta tarjoaa riittävän tietosuojan tason sellaisena kuin siitä säädetään asetuksen (EU) 2016/679 45 artiklassa, tulkittuna Euroopan unionin perusoikeuskirjan pohjalta.

| (277) | Tämä päätelmä perustuu sekä Yhdistyneen kuningaskunnan kansalliseen järjestelmään että sen kansainvälisiin sitoumuksiin, ja erityisesti siihen, että maa on liittynyt Euroopan ihmisoikeussopimukseen ja kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä. |
| --- | --- |

(277)

Tämä päätelmä perustuu sekä Yhdistyneen kuningaskunnan kansalliseen järjestelmään että sen kansainvälisiin sitoumuksiin, ja erityisesti siihen, että maa on liittynyt Euroopan ihmisoikeussopimukseen ja kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

5.   TÄMÄN PÄÄTÖKSEN VAIKUTUKSET JA TIETOSUOJAVIRANOMAISTEN TOIMET

TÄMÄN PÄÄTÖKSEN VAIKUTUKSET JA TIETOSUOJAVIRANOMAISTEN TOIMET

| (278) | Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella. |
| --- | --- |

(278)

Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella.

| (279) | Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Tämä tarkoittaa erityisesti sitä, että tämän päätöksen soveltamisaikana siirtoja Euroopan unionin rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan tehdä ilman erillistä lupaa. |
| --- | --- |

(279)

Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Tämä tarkoittaa erityisesti sitä, että tämän päätöksen soveltamisaikana siirtoja Euroopan unionin rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan tehdä ilman erillistä lupaa.

| (280) | Olisi kuitenkin muistettava, kuten asetuksen (EU) 2016/679 58 artiklan 5 kohdassa tunnustetaan ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa (507) selostetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua. (508) |
| --- | --- |

(280)

Olisi kuitenkin muistettava, kuten asetuksen (EU) 2016/679 58 artiklan 5 kohdassa tunnustetaan ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa (507) selostetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua. (508)

Schrems

507

508

6.   TÄMÄN PÄÄTÖKSEN SEURANTA, SEN SOVELTAMISEN KESKEYTTÄMINEN TAI PÄÄTÖKSEN KUMOAMINEN TAI MUUTTAMINEN

TÄMÄN PÄÄTÖKSEN SEURANTA, SEN SOVELTAMISEN KESKEYTTÄMINEN TAI PÄÄTÖKSEN KUMOAMINEN TAI MUUTTAMINEN

| (281) | Asetuksen (EU) 2016/679 45 artiklan 4 kohdan nojalla komissio seuraa jatkuvasti asian kannalta merkityksellistä kehitystä Yhdistyneessä kuningaskunnassa tämän päätöksen hyväksymisen jälkeen voidakseen arvioida, takaako se edelleen olennaisilta osin vastaavan suojan tason. Tällainen seuranta on erityisen tärkeää tässä tapauksessa, koska Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön uutta tietosuojajärjestelmää, joka ei enää kuulu unionin oikeuden soveltamisalaan ja voi muuttua. Sen vuoksi erityistä huomiota kiinnitetään henkilötietojen siirtoa kolmansiin maihin koskevien Yhdistyneen kuningaskunnan sääntöjen käytännön soveltamiseen ja siihen, miten se mahdollisesti vaikuttaa tämän päätöksen nojalla siirrettyjen tietojen suojeluun; yksilön oikeuksien tehokkaaseen käyttämiseen, mukaan lukien näihin oikeuksiin tehtäviä poikkeuksia tai niiden rajoittamista koskevan lainsäädännön ja käytännön kehitys (erityisesti maahanmuuton tehokkaan valvonnan säilyttämistä koskeva poikkeus); sekä niiden rajoitusten ja suojatoimien noudattamista, joilla säännellään viranomaisten pääsyä henkilötietoihin. Lisäksi komissio ottaa seurannassa huomioon muun muassa oikeuskäytännön kehityksen sekä tietosuojavaltuutetun ja muiden riippumattomien elinten suorittaman valvonnan. |
| --- | --- |

(281)

Asetuksen (EU) 2016/679 45 artiklan 4 kohdan nojalla komissio seuraa jatkuvasti asian kannalta merkityksellistä kehitystä Yhdistyneessä kuningaskunnassa tämän päätöksen hyväksymisen jälkeen voidakseen arvioida, takaako se edelleen olennaisilta osin vastaavan suojan tason. Tällainen seuranta on erityisen tärkeää tässä tapauksessa, koska Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön uutta tietosuojajärjestelmää, joka ei enää kuulu unionin oikeuden soveltamisalaan ja voi muuttua. Sen vuoksi erityistä huomiota kiinnitetään henkilötietojen siirtoa kolmansiin maihin koskevien Yhdistyneen kuningaskunnan sääntöjen käytännön soveltamiseen ja siihen, miten se mahdollisesti vaikuttaa tämän päätöksen nojalla siirrettyjen tietojen suojeluun; yksilön oikeuksien tehokkaaseen käyttämiseen, mukaan lukien näihin oikeuksiin tehtäviä poikkeuksia tai niiden rajoittamista koskevan lainsäädännön ja käytännön kehitys (erityisesti maahanmuuton tehokkaan valvonnan säilyttämistä koskeva poikkeus); sekä niiden rajoitusten ja suojatoimien noudattamista, joilla säännellään viranomaisten pääsyä henkilötietoihin. Lisäksi komissio ottaa seurannassa huomioon muun muassa oikeuskäytännön kehityksen sekä tietosuojavaltuutetun ja muiden riippumattomien elinten suorittaman valvonnan.

| (282) | Seurannan helpottamiseksi Yhdistyneen kuningaskunnan viranomaisten olisi viipymättä ilmoitettava komissiolle kaikista Yhdistyneen kuningaskunnan oikeusjärjestyksen olennaisista muutoksista, jotka vaikuttavat tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyä koskevien käytäntöjen muutoksista: sekä niistä, jotka koskevat rekisterinpitäjien ja käsittelijöiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla suorittamaa henkilötietojen käsittelyä, että niistä, jotka koskevat viranomaisten pääsyä henkilötietoihin. Tässä yhteydessä olisi otettava huomioon myös johdanto-osan 281 kappaleessa mainittujen tekijöiden kehitys. |
| --- | --- |

(282)

Seurannan helpottamiseksi Yhdistyneen kuningaskunnan viranomaisten olisi viipymättä ilmoitettava komissiolle kaikista Yhdistyneen kuningaskunnan oikeusjärjestyksen olennaisista muutoksista, jotka vaikuttavat tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyä koskevien käytäntöjen muutoksista: sekä niistä, jotka koskevat rekisterinpitäjien ja käsittelijöiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla suorittamaa henkilötietojen käsittelyä, että niistä, jotka koskevat viranomaisten pääsyä henkilötietoihin. Tässä yhteydessä olisi otettava huomioon myös johdanto-osan 281 kappaleessa mainittujen tekijöiden kehitys.

| (283) | Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Yhdistyneessä kuningaskunnassa toimiville rekisterinpitäjille tai henkilötietojen käsittelijöille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ehkäisystä, tutkinnasta, havaitsemisesta tai rikoksiin liittyvistä syytetoimista tai kansallisesta turvallisuudesta vastaavat Yhdistyneen kuningaskunnan viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa. |
| --- | --- |

(283)

Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Yhdistyneessä kuningaskunnassa toimiville rekisterinpitäjille tai henkilötietojen käsittelijöille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ehkäisystä, tutkinnasta, havaitsemisesta tai rikoksiin liittyvistä syytetoimista tai kansallisesta turvallisuudesta vastaavat Yhdistyneen kuningaskunnan viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa.

| (284) | Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdistyneen kuningaskunnan tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että Yhdistyneen kuningaskunnan takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi viipymättä ilmoitettava asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn kohtuullisen ajan kuluessa, joka voi olla enintään kolme kuukautta. Tätä määräaikaa voidaan tarvittaessa pidentää tietyksi ajaksi käsillä olevan asian ja/tai toteutettavien toimenpiteiden luonteen mukaan. Tällainen menettely käynnistettäisiin esimerkiksi siinä tapauksessa, että siirrettäessä tietoja edelleen esimerkiksi Secretary of Staten hyväksymien uusien tietosuojan riittävyyttä koskevien asetusten tai Yhdistyneen kuningaskunnan tekemien kansainvälisten sopimusten perusteella ei enää noudatettaisi suojatoimia, joilla varmistetaan asetuksen (EU) 2016/679 44 artiklassa tarkoitettu suojelun jatkuvuus. |
| --- | --- |

(284)

Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdistyneen kuningaskunnan tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että Yhdistyneen kuningaskunnan takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi viipymättä ilmoitettava asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn kohtuullisen ajan kuluessa, joka voi olla enintään kolme kuukautta. Tätä määräaikaa voidaan tarvittaessa pidentää tietyksi ajaksi käsillä olevan asian ja/tai toteutettavien toimenpiteiden luonteen mukaan. Tällainen menettely käynnistettäisiin esimerkiksi siinä tapauksessa, että siirrettäessä tietoja edelleen esimerkiksi Secretary of Staten hyväksymien uusien tietosuojan riittävyyttä koskevien asetusten tai Yhdistyneen kuningaskunnan tekemien kansainvälisten sopimusten perusteella ei enää noudatettaisi suojatoimia, joilla varmistetaan asetuksen (EU) 2016/679 44 artiklassa tarkoitettu suojelun jatkuvuus.

| (285) | Jos Yhdistyneen kuningaskunnan toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan. |
| --- | --- |

(285)

Jos Yhdistyneen kuningaskunnan toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan.

| (286) | Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu. |
| --- | --- |

(286)

Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu.

| (287) | Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä asetuksen (EU) 2016/679 93 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi. |
| --- | --- |

(287)

Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä asetuksen (EU) 2016/679 93 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi.

7.   TÄMÄN PÄÄTÖKSEN VOIMASSAOLO JA UUSIMINEN

TÄMÄN PÄÄTÖKSEN VOIMASSAOLO JA UUSIMINEN

| (288) | Komission on otettava huomioon, että erosopimuksessa määrätyn siirtymäkauden päättyessä ja heti kun EU:n ja Yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen 782 artiklan väliaikaisen määräyksen soveltaminen lakkaa, Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön tietosuojajärjestelmää, joka on uusi verrattuna siihen järjestelmään, joka oli käytössä silloin kun EU:n lainsäädäntö sitoi sitä. Tämä voi tarkoittaa erityisesti tässä päätöksessä arvioidun tietosuojakehyksen tarkistamista tai muuttamista sekä muita muutoksia. |
| --- | --- |

(288)

Komission on otettava huomioon, että erosopimuksessa määrätyn siirtymäkauden päättyessä ja heti kun EU:n ja Yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen 782 artiklan väliaikaisen määräyksen soveltaminen lakkaa, Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön tietosuojajärjestelmää, joka on uusi verrattuna siihen järjestelmään, joka oli käytössä silloin kun EU:n lainsäädäntö sitoi sitä. Tämä voi tarkoittaa erityisesti tässä päätöksessä arvioidun tietosuojakehyksen tarkistamista tai muuttamista sekä muita muutoksia.

| (289) | Sen vuoksi on aiheellista säätää, että tätä päätöstä sovelletaan neljän vuoden ajan sen voimaantulosta alkaen. |
| --- | --- |

(289)

Sen vuoksi on aiheellista säätää, että tätä päätöstä sovelletaan neljän vuoden ajan sen voimaantulosta alkaen.

| (290) | Jos erityisesti tämän päätöksen seurannasta saadut tiedot osoittavat, että Yhdistyneen kuningaskunnan takaaman tietosuojan tason riittävyyttä koskevat havainnot ovat edelleen asiallisesti ja oikeudellisesti perusteltuja, komission olisi viimeistään kuusi kuukautta ennen tämän päätöksen soveltamisen päättymistä aloitettava menettely tämän päätöksen muuttamiseksi pidentämällä sen soveltamisaikaa periaatteessa vielä neljällä vuodella. Tällaiset tämän päätöksen muuttamista koskevat täytäntöönpanosäädökset on hyväksyttävä asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti. |
| --- | --- |

(290)

Jos erityisesti tämän päätöksen seurannasta saadut tiedot osoittavat, että Yhdistyneen kuningaskunnan takaaman tietosuojan tason riittävyyttä koskevat havainnot ovat edelleen asiallisesti ja oikeudellisesti perusteltuja, komission olisi viimeistään kuusi kuukautta ennen tämän päätöksen soveltamisen päättymistä aloitettava menettely tämän päätöksen muuttamiseksi pidentämällä sen soveltamisaikaa periaatteessa vielä neljällä vuodella. Tällaiset tämän päätöksen muuttamista koskevat täytäntöönpanosäädökset on hyväksyttävä asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.

8.   LOPPUPÄÄTELMÄT

LOPPUPÄÄTELMÄT

| (291) | Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (509), joka on otettu huomioon tätä päätöstä valmisteltaessa. |
| --- | --- |

(291)

Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (509), joka on otettu huomioon tätä päätöstä valmisteltaessa.

509

| (292) | Tässä päätöksessä säädetyt toimenpiteet ovat asetuksen (EU) 2016/679 93 artiklalla perustetun komitean lausunnon mukaiset, |
| --- | --- |

(292)

Tässä päätöksessä säädetyt toimenpiteet ovat asetuksen (EU) 2016/679 93 artiklalla perustetun komitean lausunnon mukaiset,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

1.   Asetuksen (EU) 2016/679 45 artiklan soveltamista varten Yhdistynyt kuningaskunta varmistaa riittävän suojan henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.

2.   Tämä päätös ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi vuoden 2018 tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla.

2 artikla

Aina kun jäsenvaltioiden toimivaltaiset valvontaviranomaiset käyttävät asetuksen (EU) 2016/679 58 artiklan mukaisia toimivaltuuksiaan 1 artiklan soveltamisalaan kuuluvien tiedonsiirtojen yhteydessä suojellakseen yksilöitä heidän henkilötietojensa käsittelyssä, asianomaisen jäsenvaltion on ilmoitettava siitä komissiolle viipymättä.

3 artikla

1.   Komissio seuraa jatkuvasti tämän päätöksen perustana olevan oikeudellisen kehyksen soveltamista, mukaan lukien ne edellytykset, joiden mukaisesti tietoja siirretään edelleen, yksilön oikeuksia käytetään ja Yhdistyneen kuningaskunnan viranomaisilla on pääsy tämän päätöksen nojalla siirrettyihin tietoihin, sen arvioimiseksi, takaako Yhdistynyt kuningaskunta edelleen suojan riittävän tason 1 artiklassa tarkoitetussa merkityksessä.

2.   Jäsenvaltiot ja komissio ilmoittavat toisilleen tapauksista, joissa tietosuojavaltuutettu tai muu Yhdistyneen kuningaskunnan toimivaltainen viranomainen laiminlyö sen varmistamisen, että tämän päätöksen perustana olevaa oikeudellista kehystä noudatetaan.

3.   Jäsenvaltiot ja komissio ilmoittavat toisilleen mahdollisista havainnoista, joiden mukaan Yhdistyneen kuningaskunnan viranomaiset puuttuvat yksilöiden oikeuteen suojella henkilötietojaan suuremmassa määrin kuin on ehdottoman välttämätöntä tai tällaista puuttumista vastaan ei ole olemassa tehokasta oikeudellista suojaa.

4.   Jos komissiolla on viitteitä siitä, että tietosuojan riittävää tasoa ei enää turvata, komissio ilmoittaa asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä.

5.   Komissio voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä, jos Yhdistyneen kuningaskunnan hallituksen yhteistyöhaluttomuus estää komissiota määrittelemästä, onko asialla vaikutusta 1 artiklan 1 kohdassa olevaan päätelmään.

4 artikla

Tämän päätöksen voimassaolo päättyy 27 päivänä kesäkuuta 2025, ellei sitä pidennetä asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.

5 artikla

Tämä päätös on osoitettu kaikille jäsenvaltioille.

Tehty Brysselissä 28 päivänä kesäkuuta 2021.

Komission puolesta

Didier REYNDERS

Komission jäsen

---

(1)  
  EUVL L 119, 4.5.2016, s. 1.

1

(2)  Ks. asetuksen (EU) 2016/679 johdanto-osan 101 kappale.

2

(3)  Ks. viimeksi asia C-311/18, Facebook Ireland ja Schrems (”
  Schrems II
  ”), ECLI:EU:C:2020:559.

3

Facebook Ireland ja Schrems

Schrems II

(4)  Euroopan tietosuojaneuvosto, Tietosuojan riittävyyden viitearvot, WP 254 rev. 01., saatavilla seuraavassa osoitteessa: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108

4

Tietosuojan riittävyyden viitearvot

(5)  Asia C-362/14, Schrems (”Schrems I”), ECLI:EU:C:2015:650, 73 kohta.

5

(6)  Tuomio asiassa Schrems I, 74 kohta.

6

(7)  Ks. komission tiedonanto Euroopan parlamentille ja neuvostolle, Henkilötietojen vaihtaminen ja suojaaminen globalisoituneessa maailmassa, COM(2017) 7, 10.1.2017, 3.1 jakso, s. 6–7. Saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:52017DC0007&from=FI

7

Henkilötietojen vaihtaminen ja suojaaminen globalisoituneessa maailmassa

(8)  Court of Appeal (Civil Division), Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, 53–56 kohta. Court of Appeal kumosi päätöksen, jossa High Court -tuomioistuin oli aiemmin arvioinut poikkeusta asetuksen (EU) 2016/679 (ja erityisesti sen 23 artiklan) ja Euroopan unionin perusoikeuskirjan valossa ja katsonut sen olevan lainmukainen (Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562).

8

Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport,

Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor

(9)  Tiedonsiirtoja Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten voidaan toteuttaa asetuksen (EU) 2016/679 46–49 artiklassa säädettyjen siirtoa koskevien menettelyjen nojalla, edellyttäen että sovellettavat edellytykset täyttyvät.

9

(10)  Yleissopimuksen N:o 108 periaatteet saatettiin osaksi Yhdistyneen kuningaskunnan lainsäädäntöä alun perin vuoden 1984 tietosuojalailla (Data Protection Act 1984), joka on sittemmin korvattu vuoden 1998 tietosuojalailla ja viimeksi vuoden 2018 tietosuojalailla (luettuna yhdessä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (UK GDPR) kanssa). Yhdistynyt kuningaskunta on myös allekirjoittanut vuonna 2018 edellä mainitun yleissopimuksen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+) ja valmistautuu parhaillaan yleissopimuksen ratifiointiin.

10

(11)  Ihmisoikeussopimuksen 6 ja 8 artikla (ks. myös vuoden 1998 ihmisoikeuslain liite 1).

11

(12)  Vuoden 1998 ihmisoikeuslain 6 §.

12

(13)  Vuoden 1998 ihmisoikeuslain 3 §.

13

(14)  Sopimus Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamisesta Euroopan unionista ja Euroopan atomienergiayhteisöstä 2019/C 384 I/01, XT/21054/2019/INIT (EUVL C 384I, 12.11.2019, s. 1), jäljempänä ’erosopimus’, saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=FI

14

(15)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89), saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:32016L0680&from=FI

15

(16)  Vuoden 2018 tietosuojalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted

16

(17)  Vuonna 2018 annettu laki Euroopan unionista (eroamisesta), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/16/contents

17

(18)  Eroamista koskevan lain tarkoituksena ja seurauksena on, että kaikki suoraan sovellettava unionin lainsäädäntö, joka oli sisällytetty Yhdistyneen kuningaskunnan lainsäädäntöön siirtymäkauden päättyessä, sisällytetään Yhdistyneen kuningaskunnan lainsäädäntöön, koska se oli voimassa EU:n oikeudessa välittömästi ennen siirtymäkauden päättymistä (ks. eroamista koskevan lain 3 §).

18

(19)  Eroamista koskevan lain selittävissä huomautuksissa todetaan seuraavaa: ”Kun lainsäädäntöä muunnetaan tämän pykälän nojalla, säädösteksti itsessään siirtyy osaksi kansallista lainsäädäntöä. Tämä tarkoittaa muun muassa kaikkien EU:n säädösten koko tekstiä (johdanto-osan kappaleet mukaan lukien).” (Eroamista koskevan lain selittävät huomautukset, 83 kohta, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf). Koska johdanto-osan kappaleet eivät ole oikeudellisesti sitovia sääntöjä, Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan niitä ei ollut tarpeen muuttaa samalla tavalla kuin asetuksen (EU) 2016/679 artikloja on muutettu tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevalla säädöksellä.

19

(20)  Eroamista koskevan lain 6 §.

20

(21)  Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/uksi/2019/419/contents/made, sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla vuoden 2020 säädöksillä (DPPEC 2020), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

21

(22)  Nämä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin tehdyt muutokset ovat luonteeltaan enimmäkseen teknisiä, eli niillä on esimerkiksi poistettu viittauksia ’jäsenvaltioihin’ tai mukautettu terminologiaa muun muassa korvaamalla viittaukset asetukseen (EU) 2016/679 viittauksilla Yhdistyneen kuningaskunnan tietosuoja-asetukseen. Joissakin tapauksissa muutos oli tarpeen sen ilmentämiseksi, että kyseessä on yksinomaan kansallinen säädös: esimerkiksi sen osalta, että tietosuojan riittävyyttä koskevat asetukset Yhdistyneen kuningaskunnan lainsäädäntökehystä varten (ks. vuoden 2018 tietosuojalain 17 A §) antaa tietosuojasta vastaava Secretary of State eikä Euroopan komissio.

22

(23)  Yleinen tietosuoja-asetus, Keeling Schedule (muutosmerkinnät), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

23

(24)  Vuoden 2018 tietosuojalaki, Keeling Schedule (muutosmerkinnät), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf

24

(25)  Tällaisista valtuuksista säädetään esimerkiksi vuoden 2018 tietosuojalain 16 §:ssä (toimivalta myöntää tietyissä tarkkaan rajatuissa tilanteissa lisää vapautuksia tietyistä Yhdistyneen kuningaskunnan tietosuoja-asetuksen säännöksistä), 17A §:ssä (toimivalta antaa tietosuojan riittävyyttä koskevia asetuksia), 212 ja 213 §:ssä (toimivalta laatia lainsäädäntöaloitteita ja siirtymäsäännöksiä), ja 211 §:ssä (toimivalta tehdä vähäisiä ja yhdenmukaistamisesta johtuvia muutoksia).

25

(26)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1 ja 5 kohta.

26

(27)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 4 artiklan 1 ja 2 kohta.

27

(28)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1A kohdan mukaan asetusta sovelletaan myös tiedonvapauslaissa tarkoitettujen viranomaisten hallussa olevien henkilötietojen manuaaliseen jäsentelemättömään käsittelyyn. Tiedonvapauslaissa (Freedom of Information Act 2000) tarkoitettuja viranomaisia ovat kaikki viranomaiset, jotka on määritelty joko kyseisessä laissa tai Skotlannin tiedonvapauslaissa (Freedom of Information (Scotland) Act 2002 (asp 13)). Vuoden 2018 tietosuojalain 21 §:n 5 momentti.

28

(29)  Henkilötietojen jäsentelemättömällä manuaalisella käsittelyllä tarkoitetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 5 kohdan b alakohdassa olevan määritelmän mukaan sellaista henkilötietojen käsittelyä, joka ei ole henkilötietojen automaattista tai jäsenneltyä käsittelyä.

29

(30)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohta.

30

(31)  Kansalliseen turvallisuuteen liittyvä toiminta kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan vain siltä osin kuin toimintaa ei suorita toimivaltainen viranomainen lainvalvontatarkoituksessa (jolloin sovelletaan vuoden 2018 tietosuojalain 3 osan säännöksiä) tai siltä osin kuin käsittelyä suorittaa tiedustelupalvelu tai sitä suoritetaan tiedustelupalvelun puolesta; tiedustelupalvelujen toiminta ei kuulu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan, ja sen sijaan siihen sovelletaan asetuksen 2 artiklan 2 kohdan c alakohdan nojalla vuoden 2018 tietosuojalain 4 osan säännöksiä. Esimerkiksi poliisi voi tehdä työntekijää koskevia turvatarkastuksia sen varmistamiseksi, että tälle voidaan myöntää pääsy kansallista turvallisuutta koskevaan aineistoon. Vaikka poliisi on toimivaltainen viranomainen lainvalvontatarkoituksissa tehtävän käsittelyn osalta, tällainen käsittely ei liity lainvalvontatarkoituksiin, minkä vuoksi siihen sovellettaisiin Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta. UK Explanatory Framework for Adequacy Discussion, H jakso: National Security Data Protection and Investigatory Powers Framework, s. 8, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf

31

(32)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan a ja b alakohta.

32

(33)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan b ja c alakohta.

33

(34)  Alueellinen soveltamisala on sama, kun henkilötietojen käsittelyyn sovelletaan Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta täydentävän vuoden 2018 tietosuojalain 2 osan säännöksiä (207 §:n 1A kohta).

34

(35)  Tämä tarkoittaa erityisesti sitä, että vuoden 2018 tietosuojalakia ja siten myöskään tätä päätöstä ei sovelleta Yhdistyneen kuningaskunnan kruunun alaisuuteen kuuluvilla alueilla (Jersey, Guernsey ja Man-saari) eikä Yhdistyneen kuningaskunnan merentakaisilla alueilla, kuten esimerkiksi Falklandinsaarilla tai Gibraltarin alueella.

35

(36)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 4 artiklan 1, 2, 5, 7 ja 8 kohta.

36

(37)  
  ’Biometrisillä tiedoilla’ tarkoitetaan kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä tietyllä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön yksiselitteinen tunnistaminen voidaan varmistaa.

37

(38)  
  ’Terveystiedoilla’ tarkoitetaan luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, mukaan lukien tiedot terveyspalvelujen tarjoamisesta, jotka ilmaisevat hänen terveydentilansa.

38

(39)  
  ’Geneettisillä tiedoilla’ tarkoitetaan henkilötietoja, jotka koskevat luonnollisen henkilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla.

39

(40)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan nojalla käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin: a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten; b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi; d) käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi; tai f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

40

(41)  Vuoden 2018 tietosuojalain liitteessä 1 oleva 38–40 kohta.

41

(42)  Tietosuoja-asetuksen 13 artiklan 1 kohdan f alakohdassa ja 14 artiklan 1 kohdan f alakohdassa olevat viittaukset tietosuojan riittävyyttä koskeviin komission päätöksiin on korvattu viittauksilla Yhdistyneen kuningaskunnan vastaaviin välineisiin eli vuoden 2018 tietosuojalain nojalla annettaviin tietosuojan riittävyyttä koskeviin asetuksiin. Lisäksi 14 artiklan 5 kohdan c–d alakohdassa olevat viittaukset unionin oikeuteen tai jäsenvaltion lainsäädäntöön on korvattu viittauksella kansalliseen lainsäädäntöön (esimerkkeinä kansallisesta lainsäädännöstä, jotka voivat kuulua 14 artiklan 5 kohdan c alakohdan soveltamisalaan, Yhdistynyt kuningaskunta on maininnut metalliromukauppiaita koskevan vuoden 2013 lain (Scrap Metal Dealers Act 2013), jonka 7 §:ssä vahvistetaan romumetallitoimilupien rekisteriä koskevat säännöt, ja vuoden 2006 osakeyhtiölain (Companies Act 2006), jonka 35 osassa vahvistetaan yritysrekisteriä koskevat säännöt. Vastaavasti esimerkki kansallisesta lainsäädännöstä, joka voi kuulua 14 artiklan 5 kohdan d alakohdan soveltamisalaan, olisi säädös, jossa vahvistetaan ammatillista salassapitovelvollisuutta koskevat säännöt tai työsopimuksiin tai common law -lakiin sisältyvät salassapitoa koskevat velvoitteet (esim. terveydenhuollon ammattilaisten, henkilöstöosaston työntekijöiden tai sosiaalityöntekijöiden käsittelemät henkilötiedot).

42

(43)  Tietosuoja-asetuksen 17 artiklan 1 kohdan e alakohdassa ja 17 artiklan 3 kohdan b alakohdassa olevat viittaukset unionin oikeuteen tai jäsenvaltion lainsäädäntöön on korvattu viittauksella kansalliseen lainsäädäntöön (esimerkkinä tällaisesta 17 artiklan 1 kohdan e alakohdan soveltamisalaan kuuluvasta kansallisesta lainsäädännöstä Yhdistynyt kuningaskunta on maininnut koulutusta koskevat Englannin vuoden 2006 säädökset (Education (Pupil Information) (England) Regulations 2006), joiden mukaan oppilaiden nimet on poistettava koulun rekisteristä sen jälkeen kun he ovat lähteneet koulusta, ja lääkäreitä koskevan vuoden 1983 lain (Medical Act 1983), jonka 34F §:ssä vahvistetaan säännöt nimien poistamiseksi yleis- ja erikoislääkärien rekistereistä.

43

(44)  Käytännesääntöjen luonnos on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf

44

(45)  Yhdistyneen kuningaskunnan perustelut tietosuojan riittävyyttä koskevalle keskustelulle (UK Explanatory Framework for Adequacy Discussion), E jakso: Restrictions, s. 1, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf

45

(46)  
  Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), 40 ja 41 kohta.

46

Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor

(47)  
  Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 43 kohta. Ks. myös Lin v Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), 80 kohta.

47

Guriev v Community Safety Development (United Kingdom) Ltd

Lin v Commissioner of Police for the Metropolis

(48)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta.

48

(49)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 19 kohta.

49

(50)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 20 kohta.

50

(51)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 21 kohta.

51

(52)  Esimerkiksi oikeutta saada ilmoitus tietoturvaloukkauksesta voidaan rajoittaa vain kun on kyse rikoksesta tai verotuksesta (vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta), parlamentaarisesta koskemattomuudesta (vuoden 2018 tietosuojalain liitteessä 2 oleva 13 kohta) ja käsittelystä journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten (vuoden 2018 tietosuojalain liitteessä 2 oleva 26 kohta).

52

(53)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta.

53

(54)  
  R (Lord) v Secretary of State for the Home Department [2003] EWHC 2073 (Admin), 100 kohta, ja Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 43 kohta.

54

R (Lord) v Secretary of State for the Home Department

Guriev v Community Safety Development (United Kingdom) Ltd

(55)  
  Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor, 31 kohta.

55

Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor,

(56)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan rekisterinpitäjät soveltavat yleensä kansallisen turvallisuuden yhteydessä tehtävään käsittelyyn tehostettuja suojatoimia ja turvatoimenpiteitä, joissa otetaan huomioon käsittelytoimien arkaluontoisuus. Se, mitkä suojatoimet ovat asianmukaisia, riippuu suoritettavaan käsittelyyn liittyvistä riskeistä. Tämä voi tarkoittaa esimerkiksi pääsyoikeuksien rajoittamista siten, että pääsy tietoihin on ainoastaan valtuutetuilla henkilöillä, joille on tehty asianmukainen turvallisuusselvitys, tai tietojen jakamisen tiukkaa rajoittamista sekä niiden säilyttämistä ja käsittelyä koskeviin menettelyihin sovellettavia tiukkoja turvatoimia.

56

(57)  Ks. myös Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 45 kohta; Lin v Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), 80 kohta.

57

Guriev v Community Safety Development (United Kingdom) Ltd

Lin v Commissioner of the Police for the Metropolis

(58)  Tietosuojavaltuutetun ohjeet kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/

58

(59)  Yhdistyneen kuningaskunnan viranomaisten esittämä esimerkki koskee tilannetta, jossa MI5:n aktiivisen tutkinnan kohteena oleva terroristiepäilty pyytää pääsyä sisäministeriöön (esimerkiksi siksi, että hän on osallisena maahanmuuttoasioita koskevassa riita-asiassa sisäministeriön kanssa). Tällöin rekisteröidylle ei pitäisi paljastaa mitään sellaisia tietoja, jotka MI5 kenties on toimittanut sisäministeriölle meneillään olevista tutkimuksista ja jotka voisivat vahingoittaa arkaluontoisia lähteitä, menetelmiä tai tekniikoita ja/tai johtaa kyseisen henkilön muodostaman uhkan lisääntymiseen. Tällaisessa tilanteessa edellytykset 26 §:n mukaisen poikkeuksen soveltamiselle todennäköisesti täyttyisivät, ja tietojen paljastamista koskevan poikkeuksen soveltaminen olisi tarpeen kansallisen turvallisuuden takaamiseksi. Jos sisäministeriöllä kuitenkin olisi hallussaan kyseisestä henkilöstä myös sellaisia henkilötietoja, jotka eivät liity MI5:n tutkimukseen ja jotka voitaisiin toimittaa hänelle kansallista turvallisuutta vaarantamatta, kansalliseen turvallisuuteen liittyvää poikkeusta ei voitaisi soveltaa, kun pohdittaisiin tietojen antamista kyseiselle henkilölle. Tietosuojavaltuutettu laatii parhaillaan ohjeita siitä, miten rekisterinpitäjien olisi suhtauduttava 26 §:ssä säädetyn poikkeuksen käyttöön. Ohjeet on tarkoitus julkaista maaliskuun 2021 loppuun mennessä.

59

(60)  Information Tribunal on perustettu käsittelemään vuoden 1984 tietosuojalain nojalla tehtyjä tietosuojaa koskevia muutoksenhakemuksia. Vuonna 2010 toteutetun Yhdistyneen kuningaskunnan tuomioistuinjärjestelmän uudistuksen yhteydessä se liitettiin osaksi First Tier Tribunal -tuomioistuimen yleistä sääntelyjaostoa (General Regulatory Chamber).

60

(61)  Ks. Baker v Secretary of State for the Home Department [2001] UKIT NSA2 (’
  Baker v Secretary of State’).

61

Baker v Secretary of State for the Home Department

Baker v Secretary of State’).

(62)  Ks. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artikla ja vuoden 2018 tietosuojalain 2 liitteessä olevan 5 osan 26 §:n 9 momentti.

62

(63)  Vuoden 2018 tietosuojalain liitteessä 2 olevan 5 kohdan 26 §:n 2 kohdan mukaisesti poikkeusta sovelletaan henkilötietojen käsittelyyn, joka suoritetaan erityisiä tarkoituksia varten (journalistiset sekä akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitukset), jos käsittelyn tarkoituksena on, että henkilö voi julkaista journalistista, akateemista, taiteellista tai kirjallista materiaalia ja rekisterinpitäjällä on perusteltu syy uskoa, että kyseisen materiaalin julkaiseminen on yleisen edun mukaista. Sen määrittämiseksi, olisiko julkaiseminen yleisen edun mukaista, rekisterinpitäjän on otettava huomioon yleisen edun erityinen merkitys sananvapauden ja tiedonvälityksen vapauden kannalta. Lisäksi rekisterinpitäjän on otettava huomioon kyseisen julkaisun kannalta merkitykselliset käytännesäännöt tai ohjeet (BBC Editorial Guidelines, Ofcom Broadcasting Code ja Editors’ Code of Practice). Jotta poikkeusta voitaisiin soveltaa, rekisterinpitäjällä on lisäksi oltava perusteltu syy uskoa, että asianomaisen säännöksen noudattaminen olisi ristiriidassa kyseisten erityisten tarkoitusten kanssa (vuoden 2018 tietosuojalain liitteessä 2 oleva 26 §:n 3 kohta).

63

(64)  Asiassa NT1 v. Google ([2018] EWHC 799 (QB)) annetun tuomion 102 kohdassa käsiteltiin kysymystä siitä, oliko rekisterinpitäjällä perusteltu syy uskoa, että julkaiseminen oli yleisen edun mukaista ja että asiaa koskevien säännösten noudattaminen olisi ollut ristiriidassa erityisten tarkoitusten kanssa. Tuomioistuin totesi, että vuoden 1998 tietosuojalain 32 §:n 1 momentin b ja c alakohdassa mainitaan sekä subjektiivinen että objektiivinen osatekijä: rekisterinpitäjän on osoitettava, että se uskoi julkaisemisen olevan yleisen edun mukaista ja että tämä käsitys oli objektiivisesti perusteltu; sen on perusteltava myös subjektiivinen käsitys, jonka mukaan poikkeuksen kohteena olevan säännöksen noudattaminen olisi ollut ristiriidassa kyseisen erityistarkoituksen kanssa.

64

NT1

Google

(65)  Esimerkki ”perusteltu syy uskoa” -kriteerin soveltamisesta on tietosuojavaltuutetun päätös määrätä yritykselle True Visions Productions sakkoja vuoden 1998 tietosuojalain nojalla. Tietosuojavaltuutettu katsoi, että median rekisterinpitäjällä oli subjektiivinen syy uskoa, että ensimmäisen tietosuojaperiaatteen (käsittelyn kohtuullisuus ja lainmukaisuus) noudattaminen oli ristiriidassa journalististen tarkoitusten kanssa. Tietosuojavaltuutetun mukaan syy ei kuitenkaan ollut objektiivisesti perusteltu. Tietosuojavaltuutetun päätös on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf

65

True Visions Productions

(66)  Ohjeiden mukaan organisaatioiden on kyettävä selittämään, miksi vuoden 1998 tietosuojalain asiaa koskevan säännöksen noudattaminen olisi ristiriidassa journalististen tarkoitusten kanssa. Rekisterinpitäjien on erityisesti punnittava tietosuojasäännösten noudattamisesta journalismille aiheutuvia haittavaikutuksia suhteessa niihin haittavaikutuksiin, joita sääntöjen noudattamatta jättäminen aiheuttaisi kyseisen rekisteröidyn oikeuksille. Jos toimittaja pystyy kohtuullisesti saavuttamaan toimitukselliset tavoitteensa tietosuojalain vakiosäännöksiä noudattaen, hänen on tehtävä niin. Organisaatioiden on kyettävä perustelemaan rajoituksen soveltaminen kaikkien niiden säännösten osalta, joita ne eivät ole noudattaneet. ”Data protection and journalism: a guide for the media”, saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf

66

(67)  Esimerkkejä yleisestä edusta olisivat muun muassa rikoksen paljastaminen, kansanterveyden tai yleisen turvallisuuden suojelu, yksilöiden tai organisaatioiden esittämien harhaanjohtavien väitteiden paljastaminen tai yleisöön vaikuttavan epäpätevyyden esiin tuominen. OFCOMin ohjeet ovat saatavilla seuraavassa osoitteessa: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf ja BBC:n toimitukselliset ohjeet seuraavassa osoitteessa: https://www.bbc.com/editorialguidelines/guidelines/privacy

67

(68)  Ks. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 89 artikla ja vuoden 2018 tietosuojalain liitteessä 2 olevan 6 osan 27 §:n 2 momentti ja 28 §:n 2 momentti.

68

(69)  Tämä edellyttää, että henkilötietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 89 artiklan 1 kohdan mukaisesti, sellaisena kuin se on täydennettynä vuoden 2018 tietosuojalain 19 §:llä.

69

(70)  Ks. johdanto-osan (281)–(287) kappale.

70

(71)  Lukuun ottamatta asetuksen (EU) 2016/679 48 artiklaa, jota Yhdistynyt kuningaskunta ei ole sisällyttänyt omaan yleiseen tietosuoja-asetukseensa. Tältä osin olisi ensinnäkin syytä muistaa, että kun jonkin normin katsotaan takaavan riittävän tietosuojan tason, sen katsotaan olevan ”olennaisilta osin” vastaava eikä ”täysin sama kuin unionin oikeusjärjestyksessä taattu taso”, kuten Euroopan unionin tuomioistuin on tarkentanut (Schrems I, 73–74 kohta) ja kuten myös Euroopan tietosuojaneuvosto on todennut (Tietosuojan riittävyyden viitearvot, s. 3). Tietosuojaneuvosto selittää Tietosuojan riittävyyden viitearvoissa, että ”tavoitteena ei näin ollen ole saavuttaa täydellistä vastaavuutta EU:n lainsäädännön kanssa vaan varmistaa sen keskeisten vaatimusten noudattaminen”. Tältä osin on huomattava, että vaikka Yhdistyneen kuningaskunnan lainsäädännössä ei ole säännöstä, joka olisi muodollisesti identtinen edellä mainitun 48 artiklan kanssa, sama oikeusvaikutus taataan muilla säännöksillä ja periaatteilla. Tämä tarkoittaa, että kolmannen maan tuomioistuimen tai hallintoviranomaisen esittämän tietopyynnön nojalla niille voidaan toimittaa henkilötietoja vain jos asiasta on tehty kansainvälinen sopimus, jonka nojalla kyseisen kolmannen maan tuomioistuimen tuomio tai hallintoviranomaisen päätös tunnustetaan tai pannaan täytäntöön Yhdistyneessä kuningaskunnassa, tai jos tietopyyntö perustuu sellaiseen siirtomekanismiin, josta säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen V luvussa. Tarkemmin sanoen Yhdistyneen kuningaskunnan tuomioistuinten on ulkomaisen tuomion täytäntöön panemiseksi voitava osoittaa common law -oikeuteen tai lakiin sisältyvä säännös, jonka nojalla se voidaan panna täytäntöön. Sen enempää common law -säädöksissä (ks. Adams and Others v Cape Industries Plc., [1990] 2 W.L.R. 657) kuin perustuslakien tasoisissa säädöksissäkään ei kuitenkaan säädetä ulkomaisten tuomioiden täytäntöönpanosta, joka edellyttäisi tietojen siirtämistä ilman asiaa koskevaa kansainvälistä sopimusta. Näin ollen tietopyyntöä ei voida panna täytäntöön Yhdistyneen kuningaskunnan lainsäädännön nojalla, jos tällaista sopimusta ei ole tehty. Lisäksi kaikkiin tiedonsiirtoihin kolmansiin maihin – myös silloin kun ne perustuvat ulkomaisen tuomioistuimen tai hallintoviranomaisen pyyntöön – sovelletaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen V luvussa asetettuja rajoituksia, jotka ovat identtiset asetuksen (EU) 2016/679 vastaavien säännösten kanssa. Näin ollen tietoja voidaan siirtää vain jonkin V luvussa mainitun perusteen nojalla ja niiden edellytysten mukaisesti, joita siirtoon on kyseisen luvun nojalla sovellettava.

71

Tietosuojan riittävyyden viitearvot

Tietosuojan riittävyyden viitearvoissa

Adams and Others

Cape Industries Plc.

(72)  Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että maan tai kansainvälisen järjestön kuvauksella tarkoitetaan tilannetta, jossa tietosuojan riittävyys olisi tarpeen määritellä erityisellä ja osittaisella tavalla, johon sisältyy kohdennettuja rajoituksia (esimerkiksi niin, että tietosuojan riittävyyttä koskeva asetus koskisi vain tietyntyyppisiä tiedonsiirtoja).

72

(73)  Ks. Memorandum of Understanding between the Secretary of State for the Department for Digital, Culture, Media and Sport and the Information’s Commissioner’s Office on the role of the ICO in relation to new UK adequacy assessment, saatavilla seuraavassa osoitteessa https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

73

(74)  Jos vaatimus asetuksen hylkäämisestä menee läpi äänestyksessä, asetuksella ei ole viime kädessä lainkaan oikeusvaikutuksia.

74

(75)  Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksen (EU) 2016/679 47 artiklan säännöt vain vähäisin mukautuksin, jotta ne on voitu sovittaa kansallisiin sääntöihin. Esimerkiksi viittaukset toimivaltaiseen valvontaviranomaiseen on korvattu viittauksilla tietosuojavaltuutettuun, minkä lisäksi on poistettu 1 kohdassa oleva viittaus yhdenmukaisuusmekanismiin ja koko 3 kohta.

75

(76)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklan nojalla siirto voidaan tehdä, jos jokin seuraavista edellytyksistä täyttyy: a) rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi; b) siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; c) siirto on tarpeen rekisterinpitäjän ja toisen luonnollisen henkilön tai oikeushenkilön välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi; d) siirto on tarpeen tärkeää yleistä etua koskevien syiden vuoksi; e) siirto on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi; f) siirto on tarpeen rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan; g) siirto tehdään rekisteristä, jonka tarkoituksena on kansallisen lainsäädännön mukaan tietojen antaminen yleisölle ja joka on yleisesti yleisön tai kenen tahansa sellaisen henkilön käytettävissä, joka voi osoittaa hänellä olevan siihen oikeutettu etu, mutta ainoastaan siltä osin kuin rekisterin käytön edellytykset, joista säädetään kansallisessa lainsäädännössä, täyttyvät kussakin yksittäisessä tapauksessa. Jos mikään edellä mainituista edellytyksistä ei täyty, siirto voidaan toteuttaa vain jos se ei ole toistuva ja koskee ainoastaan rajallista määrää rekisteröityjä ja on tarpeen rekisterinpitäjän sellaisten pakottavien ja oikeutettujen etujen toteuttamiseksi, joita rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät syrjäytä, sekä jos rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja toteuttanut tämän arvioinnin perusteella henkilötietojen suojaa koskevat asianmukaiset suojatoimet.

76

(77)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen johdanto-osan 111 kappaleessa täsmennetään, että sopimukseen tai oikeusvaatimukseen liittyviä tiedonsiirtoja voidaan tehdä vain silloin kun ne ovat satunnaisia.

77

(78)  Kansainvälisiä siirtoja koskevat tietosuojavaltuutetun ohjeet ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7

78

(79)  Tämän uuden kehyksen soveltamista on tarkasteltava enintään kuuden kuukauden ajan eli 30. kesäkuuta 2021 saakka Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen, jäljempänä ’kauppa- ja yhteistyösopimus’, 782 artiklan valossa. Sopimus (EUVL L 444, 31.12.2020, s. 14) on saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:22020A1231(01)&from=FI

79

(80)  Nämä viittaukset on tarvittaessa korvattu viittauksilla Yhdistyneen kuningaskunnan viranomaisiin. Esimerkiksi vuoden 2018 tietosuojalain 17 §:n mukaan tietosuojavaltuutettu tai Yhdistyneen kuningaskunnan kansallinen akkreditointielin voivat valtuuttaa sertifioinnin noudattamista seuraamaan henkilön, joka täyttää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 43 artiklassa esitetyt vaatimukset.

80

(81)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2019–2020 tilinpäätös ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

81

(82)  Niiden keskinäisiä suhteita säännellään hallinnointisopimuksella. Vastuuministeriön keskeisenä tehtävänä on muun muassa varmistaa, että tietosuojavaltuutetulla on käytössään riittävä rahoitus ja henkilöstö; edustaa tietosuojavaltuutettua parlamentissa ja muissa hallintoelimissä; varmistaa, että käytössä on vankka kansallinen tietosuojakehys; ja antaa tietosuojavaltuutetun toimistolle ohjeita ja tukea esimerkiksi kiinteistö-, vuokraus- ja hankintakysymyksissä (vuosien 2018–2021 hallinnointisopimus (Management Agreement) on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf)

82

Management Agreement

(83)  Julkisia nimityksiä koskevat hallintosäännöt ovat saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf

83

(84)  Second Report of Session 2015–2016 of the Culture, Media and Sports Committee at the House of Commons, saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

84

(85)  
  ”Address” on parlamentille osoitettava esitys, jonka tarkoituksena on saattaa monarkin tietoon parlamentin näkemys tietystä kysymyksestä.

85

(86)  Vuoden 2018 tietosuojalain liitteessä 12 oleva 3 kohdan 3 alakohta.

86

(87)  Vuoden 2018 tietosuojalain 137 §, ks. johdanto-osan (17) kappale .

87

(88)  Vuoden 2018 tietosuojalain 137 ja 138 §:ssä vahvistetaan erilaisia suojatoimia sen varmistamiseksi, että maksut asetetaan asianmukaiselle tasolle. Erityisesti 137 §:n 4 kohdassa luetellaan seikat, jotka Secretary of Staten on otettava huomioon antaessaan asetuksia eri organisaatioilta perittävien maksujen määrittämiseksi; lisäksi vuoden 2018 tietosuojalain 138 §:n 1 momentissa ja 182 §:ssä asetetaan Secretary of Statelle oikeudellinen velvoite kuulla ennen asetusten antamista tietosuojavaltuutettua ja muita sellaisten henkilöiden edustajia, joihin asetukset todennäköisesti vaikuttavat, jotta heidän näkemyksensä voidaan ottaa huomioon. Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 138 §:n 2 momentin nojalla seurattava maksuasetuksen (Charges Regulations) toimintaa ja esitettävä tarvittaessa Secretary of Statelle ehdotus sen muuttamiseksi. Maksuasetuksiin sovelletaan ns. myönteistä päätöslauselmamenettelyä (affirmative resolution procedure), jonka mukaan ne voidaan hyväksyä vasta kun kumpikin parlamentin kamari on antanut niistä myönteisen päätöslauselman. (Jos asetuksella kuitenkin vain otetaan huomioon vähittäishintaindeksin nousu, sovelletaan negatiivista päätöslauselmamenettelyä.)

88

affirmative resolution procedure

(89)  Hallinnointisopimuksen mukaan Secretary of State voi suorittaa tietosuojavaltuutetulle maksuja varoista, jotka parlamentti on myöntänyt tähän tarkoitukseen vuoden 2018 tietosuojalain liitteessä 12 olevan 9 kohdan nojalla. Tietosuojavaltuutettua kuultuaan ministeri maksaa tietosuojavaltuutetulle asianmukaisen tukimäärän hallintomenoihin ja mm. tiedonvapauteen liittyvien tietosuojavaltuutetun erityistehtävien hoitamista varten (hallinnointisopimus 2018–2021, 1.12 kohta, ks. alaviite 82).

89

(90)  Ks. vuoden 2018 tietosuojalain 134 §.

90

(91)  Vuoden 2018 tietosuojalain 142 § (vuoden 2018 tietosuojalain 143 §:ssä säädetyin rajoituksin).

91

(92)  Vuoden 2018 tietosuojalain 146 § (vuoden 2018 tietosuojalain 147 §:ssä säädetyin rajoituksin).

92

(93)  Vuoden 2018 tietosuojalain 149–151 § (vuoden 2018 tietosuojalain 152 §:ssä säädetyin rajoituksin).

93

(94)  Vuoden 2018 tietosuojalain 155 § ja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artikla.

94

(95)  Tämä johtuu vuoden 2018 tietosuojalain 155 §:n 1 momentista, luettuna yhdessä sen 149 §:n 2 ja 5 momentin kanssa, ja saman lain 156 §:n 4 momentista, joilla rajoitetaan seuraamusmääräysten antamista vain kruunulle kuuluvien kiinteistöjen hoidosta vastaavien henkilöiden osalta (Crown Estate Commissioners, controllers for the Royal Household) vuoden 2018 tietosuojalain 209 §:n 4 momentin nojalla.

95

(96)  Sääntelytoimia koskevat toimintaperiaatteet (Regulatory Action Policy) ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

96

(97)  Mukaan lukien rikkomisen luonne, vakavuus ja kesto (kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus huomioon ottaen, sekä niiden rekisteröityjen lukumäärä, joihin rikkominen vaikuttaa, ja heille aiheutuneen vahingon suuruus), sekä rikkomisen tahallisuus, rekisterinpitäjän toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi, rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste (ottaen huomioon rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat tekniset ja organisatoriset toimenpiteet) ja rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat rikkomiset, yhteistyön aste tietosuojavaltuutetun kanssa, henkilötietoryhmät, joihin rikkominen vaikuttaa, mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät, kuten rikkomisesta suoraan tai välillisesti saadut mahdolliset taloudelliset edut tai rikkomisella vältetyt tappiot.

97

(98)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan tietosuojavaltuutetun vuosikertomuksen 2019–2020 kattamalla raportointijaksolla todettiin, että noin 25 prosentissa tutkituista tapauksista ei ollut tapahtunut rikkomista, noin 29 prosentissa tapauksista rekisteröityä kehotettiin joko esittämään huolensa ensin rekisterinpitäjälle tai odottamaan rekisterinpitäjän vastausta tai jatkamaan asian käsittelyä rekisterinpitäjän kanssa, noin 17 prosentissa tapauksista rikkomista ei todettu, mutta rekisterinpitäjälle annettiin muistutus, noin 25 prosentissa tapauksista tietosuojavaltuutettu totesi rikkomisen tapahtuneen ja joko antoi rekisterinpitäjälle ohjeita tai vaati tätä toteuttamaan toimenpiteitä, noin 3 prosentissa tapauksista katsottiin, että asia ei kuulunut asetuksen (EU) 2016/679 soveltamisalaan, ja noin 1 prosentissa tapauksista asian käsittely siirrettiin toiselle tietosuojaviranomaiselle Euroopan tietosuojaneuvosto puitteissa.

98

(99)  Tietosuojavaltuutettu voi aloittaa tällaiset tutkimukset eri lähteistä saatujen tietojen perusteella. Näitä voivat olla esimerkiksi ilmoitukset henkilötietoja koskevista tietoturvaloukkauksista, muilta Yhdistyneen kuningaskunnan viranomaisilta tai ulkomaiden tietosuojaviranomaisilta saadut ilmoitukset tai kansalaisten tai kansalaisyhteiskunnan järjestöjen tekemät valitukset.

99

(100)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2019–2020 tilinpäätös (ks. alaviite 81):

100

(101)  Vuosia 2018–2019 koskevan edellisen vuosikertomuksen mukaan tietosuojavaltuutettu antoi raportointijaksolla vuoden 1998 tietosuojalain nojalla 22 seuraamusmääräystä, joissa määrättyjen sakkojen kokonaismäärä oli 3 010 610 puntaa, mukaan lukien kaksi 500 000 punnan sakkoa (vuoden 1998 tietosuojalaissa sallittu sakkojen enimmäismäärä). Vuonna 2018 tietosuojavaltuutettu tutki erityisesti data-analytiikan käyttöä poliittisiin tarkoituksiin Cambridge Analytican paljastusten jälkeen. Tutkimusten perusteella laadittiin raportti ja joukko suosituksia sekä määrättiin Facebookille 500 000 punnan sakko. Kanadalaiselle tietojenkäsittely-yritykselle Aggregate IQ:lle annettiin täytäntöönpanomääräys, jonka mukaan sen oli tuhottava hallussaan olevat henkilötiedot, jotka koskivat Yhdistyneen kuningaskunnan kansalaisia ja asukkaita (ks. tietosuojavaltuutetun vuosikertomus ja tilinpäätös 2018–2019, saatavilla seuraavassa osoitteessa:https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf)

101

(102)  Yhteenveto toteutetuista täytäntöönpanotoimista on saatavilla tietosuojavaltuutetun verkkosivuilla seuraavassa osoitteessa: https://ico.org.uk/action-weve-taken/enforcement/

102

(103)  Vuoden 2018 tietosuojalain 170 §.

103

(104)  Vuoden 2018 tietosuojalain 171 §.

104

(105)  Vuoden 2018 tietosuojalain 119 §.

105

(106)  Vuoden 2018 tietosuojalain 144 ja 148 §.

106

(107)  Vuoden 2018 tietosuojalain 117 §.

107

(108)  Lautakunnan tehtävänä on antaa oikeuslaitokselle ohjausta ja koulutusta. Lisäksi se käsittelee rekisteröityjen tekemiä valituksia, jotka koskevat tuomioistuinten ja lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä. Lautakunta pyrkii löytämään ratkaisun kaikkiin valituksiin. Jos valituksen tekijä ei ole tyytyväinen lautakunnan päätökseen ja esittää lisänäyttöä, lautakunta voi harkita päätöstään uudelleen. Lautakunta ei itse määrää taloudellisia seuraamuksia, mutta jos se katsoo, että vuoden 2018 tietosuojalakia on rikottu riittävän vakavasti, se voi viedä valituksen oikeuslaitoksen tutkintalautakunnan (Judicial Conduct Investigation) käsiteltäväksi. Jos valitus todetaan aiheelliseksi, lordikansleri (oikeusministeri) ja Lord Chief Justice (tai tehtävään valtuutettu vanhempi tuomari) päättävät, mitä toimia viranhaltijaa vastaan olisi toteutettava. Näitä voivat olla vakavuusjärjestyksessä virallinen muistutus, virallinen varoitus, huomautus ja viime kädessä erottaminen virasta. Jos yksityishenkilö on tyytymätön tapaan, jolla tutkintalautakunta on tutkinut asiaa, hän voi valittaa asiasta edelleen tuomarien nimityksistä ja viranhoidosta vastaavalle oikeusasiamiehelle (Judicial Appointments and Conduct Ombudsman; ks. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Oikeusasiamiehellä on valtuudet pyytää tutkintalautakuntaa tutkimaan valitus uudelleen ja ehdottaa, että valituksen tekijälle maksetaan korvaus, jos hänen katsotaan kärsineen vahinkoa hallinnollisen väärinkäytöksen vuoksi.

108

(109)  Lord Chief Justicen ja tuomioistuinten ylimmän presidentin laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

109

(110)  Pohjois-Irlannin Lord Chief Justicen laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://judiciaryni.uk/data-privacy

110

(111)  Skotlannin tuomioistuinten tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

111

(112)  Tietosuojaa valvova tuomari laatii ohjeita oikeuslaitokselle ja tutkii tietoturvaloukkauksia ja/tai valituksia, jotka koskevat tuomioistuinten tai lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä.

112

(113)  Jos valitus tai tietoturvaloukkaus katsotaan vakavaksi, se toimitetaan edelleen oikeuslaitoksen oikeusasiamiehen (Judicial Complaints Officer) tutkittavaksi Pohjois-Irlannin Lord Chief Justicen laatiman valituksia koskevien käytännesääntöjen (Code of Practice on Complaints) mukaisesti. Valituksen ratkaisu voi olla jokin seuraavista: ei aiheuta toimenpiteitä, muistutus, koulutus tai mentorointi, epävirallinen varoitus, virallinen varoitus, lopullinen varoitus, ammatinharjoittamisen rajoitus tai käsittelyn siirtäminen lakisääteiseen tuomioistuimeen. Pohjois-Irlannin Lord Chief Justicen laatimat valituksia koskevat käytännesäännöt ovat saatavilla seuraavassa osoitteessa:https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

113

(114)  Tietosuojaa valvovan tuomarin tutkimuksissa aiheelliseksi todettu valitus saatetaan Lord Presidentin käsiteltäväksi. Hänellä on toimivalta määrätä annettavaksi muistutus, virallinen varoitus tai huomautus, jos hän katsoo sen tarpeelliseksi (vastaavat tuomioistuinten jäseniä koskevat säännöt ovat saatavilla seuraavassa osoitteessa: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)

114

(115)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 77 artikla.

115

(116)  Vuoden 2018 tietosuojalain 166 §:ssä viitataan nimenomaisesti seuraaviin tilanteisiin: a) tietosuojavaltuutettu ei ole toteuttanut asianmukaisia toimenpiteitä valitukseen vastaamiseksi, b) tietosuojavaltuutettu ei ole antanut valituksen tekijälle tietoja tutkinnan etenemisestä tai sen tuloksesta kolmen kuukauden kuluessa siitä kun tietosuojavaltuutettu on vastaanottanut valituksen, tai c) jos tietosuojavaltuutettu ei tee valituksen perusteella ratkaisua tai ei anna valituksen tekijälle tutkintaa koskevia tietoja em. kolmen kuukauden määräajan kuluessa.

116

(117)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohta ja vuoden 2018 tietosuojalain 166 §.

117

(118)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohta ja vuoden 2018 tietosuojalain 162 §.

118

(119)  Vuoden 1998 ihmisoikeuslain 7 §:n 1 momentti. Lain 7 §:n 7 momentin mukaan henkilö on lainvastaisen teon uhri vain jos hänen katsottaisiin olevan uhri Euroopan ihmisoikeussopimuksen 34 artiklaa sovellettaessa siinä tapauksessa, että asia olisi viety Euroopan ihmisoikeustuomioistuimen käsiteltäväksi.

119

(120)  Vuoden 1998 ihmisoikeuslain 8 §:n 1 momentti.

120

(121)  Ks. Schrems II, 174–175 kohta oikeuskäytäntöviittauksineen. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös asia C-623/17, Privacy International, ECLI:EU:C:2020:790, 65 kohta; ja yhdistetyt asiat C-511/18, C-512/18 ja C-520/18, La Quadrature du Net ym., ECLI:EU:C:2020:791, 175 kohta.

121

Schrems II

Privacy International

La Quadrature du Net ym.

(122)  Ks. Schrems II, 176 ja 181 kohta oikeuskäytäntöviittauksineen. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös Privacy International, 68 kohta; ja La Quadrature du Net and Others, 132 kohta.

122

Schrems II

Privacy International

La Quadrature du Net and Others

(123)  Ks. Schrems II, 176 kohta. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös Privacy International, 68 kohta; ja La Quadrature du Net and Others, 132 kohta.

123

Schrems II

Privacy International

La Quadrature du Net and Others

(124)  Ks. Schrems II, 179 kohta.

124

Schrems II

(125)  Ks. Schrems II, 181–182 kohta.

125

Schrems II

(126)  Ks. Schrems I, 95 kohta, ja Schrems II, 194 kohta. Euroopan unionin tuomioistuin on tältä osin erityisesti korostanut, että perusoikeuskirjan 47 artiklan (oikeus tehokkaisiin oikeussuojakeinoihin riippumattomassa ja puolueettomassa tuomioistuimessa) noudattaminen liittyy unionissa vaadittavaan tietosuojan tasoon ja että komission on todettava sen noudattaminen ennen kuin se tekee tietosuojan riittävyyttä koskevan päätöksen asetuksen (EU) 2016/679 45 artiklan 1 kohdan nojalla (Schrems II, 186 kohta).

126

Schrems I

Schrems II

Schrems II

(127)  Vuoden 1998 ihmisoikeuslain 6 §.

127

(128)  EIT, Klass ym. v. Saksa, hakemus nro 5029/71, 17–51 kohta.

128

Klass ym. v. Saksa

(129)  EIT, Kennedy v. Yhdistynyt kuningaskunta, hakemus nro 26839/05, (”
  Kennedy”
  ), 167 ja 190 kohta.

129

Kennedy v. Yhdistynyt kuningaskunta

Kennedy”

(130)  Lisätietoja Euroopan ihmisoikeussopimuksesta ja sen sisällyttämisestä Yhdistyneen kuningaskunnan lainsäädäntöön vuoden 1998 ihmisoikeuslailla sekä yleissopimuksesta N:o 108, ks. johdanto-osan (9) kappale.

130

(131)  Vastaavasti yleissopimuksen 108+ 11 artiklan mukaan tiettyjen yleissopimuksessa vahvistettujen oikeuksien ja velvollisuuksien rajoittaminen voidaan sallia kansalliseen turvallisuuteen tai rikoksen ennalta estämiseen tai selvittämiseen taikka syytetoimiin ja rangaistusten täytäntöönpanoon liittyvistä syistä edellyttäen, että tällaisesta rajoituksesta säädetään lailla, siinä kunnioitetaan perusoikeuksia ja vapauksia olennaisilta osin, ja rajoitus on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimi. Kun henkilötietojen käsittely liittyy kansalliseen turvallisuuteen ja puolustustarkoituksiin, sitä on arvioitava ja valvottava riippumattomasti ja tehokkaasti yleissopimuksen kunkin osapuolen kansallisen lainsäädännön mukaisesti.

131

(132)  Vuoden 2018 tietosuojalain 31 §.

132

(133)  Liitteen 7 luettelossa oleviin toimivaltaisiin viranomaisiin kuuluvat poliisivoimien lisäksi kaikki Yhdistyneen kuningaskunnan ministeriöiden osastot ja muut viranomaiset, joiden tehtävänä on tutkinta (esim. vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), kansallinen rikosvirasto (National Crime Agency), Walesin verovirasto (Welsh Revenue Authority), kilpailu- ja markkinaviranomainen (Competition and Markets Authority) tai kiinteistörekisteri (Her Majesty’s Land Register)), syyttäjävirastot (prosecutorial agencies), muut rikosoikeusvirastot ja muut viranhaltijat tai organisaatiot, jotka suorittavat lainvalvontatehtäviä (vuoden 2018 tietosuojalain liitteessä 7 mainitaan näistä muun muassa yleisten syyttäjien johtajat, Pohjois-Irlannin syyttäjäviranomaisten johtaja tai tietosuojavaltuutettu).

133

(134)  Vuoden 2018 tietosuojalain 30 §:n 2 momentti.

134

(135)  Vuoden 2018 tietosuojalain 35 §.

135

(136)  Vuoden 2018 tietosuojalain 36 §.

136

(137)  Vuoden 2018 tietosuojalain 37 §.

137

(138)  Vuoden 2018 tietosuojalain 38 §.

138

(139)  Vuoden 2018 tietosuojalain 39 §.

139

(140)  Vuoden 2018 tietosuojalain 40 §.

140

(141)  Vuoden 2018 tietosuojalain 44 §.

141

(142)  Vuoden 2018 tietosuojalain 45 §.

142

(143)  Vuoden 2018 tietosuojalain 46 ja 47 §.

143

(144)  Vuoden 2018 tietosuojalain 49 ja 50 §.

144

(145)  Vuoden 2018 tietosuojalain 56–65 §.

145

(146)  Vuoden 2018 tietosuojalain 66 §.

146

(147)  Vuoden 2018 tietosuojalain 67 ja 68 §.

147

(148)  Vuoden 2018 tietosuojalain 69–71 §.

148

(149)  Vuoden 2018 tietosuojalain 67 ja 68 §.

149

(150)  Vuoden 2018 tietosuojalain 3 osan 5 luku.

150

(151)  Vuoden 2018 tietosuojalain 86 §:n 6 momentin nojalla käsittelyn kohtuullisuuden ja läpinäkyvyyden määrittämiseksi on tarkasteltava menetelmää, jonka avulla tiedot on saatu. Sen mukaan kohtuullisuutta ja läpinäkyvyyttä koskevat vaatimukset täyttyvät, jos tiedot saadaan henkilöltä, jolla on laillinen valtuutus tai velvollisuus toimittaa ne.

151

(152)  Vuoden 2018 tietosuojalain 87 §:n nojalla käsittelyn tarkoituksen on oltava tietty, nimenomainen ja laillinen. Tietoja ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. Vuoden 2018 tietosuojalain 87 §:n 3 momentin nojalla henkilötietojen myöhempi käsittely voidaan sallia vain jos rekisterinpitäjällä on lakisääteinen valtuutus käsitellä tietoja kyseistä tarkoitusta varten ja jos käsittely on välttämätöntä ja oikeasuhteista tähän muuhun tarkoitukseen nähden. Käsittelyn olisi katsottava olevan sääntöjen mukaista, jos se tehdään yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ja siihen sovelletaan asianmukaisia suojatoimia (vuoden 2018 tietosuojalain 87 §:n 4 momentti).

152

(153)  Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja (vuoden 2018 tietosuojalain 88 §).

153

(154)  Henkilötietojen on oltava täsmällisiä ja ajantasaisia (vuoden 2018 tietosuojalain 89 §).

154

(155)  Henkilötietoja ei saa säilyttää pidempään kuin on tarpeen (vuoden 2018 tietosuojalain 90 §).

155

(156)  Kuudennen tietosuojaperiaatteen mukaan henkilötietoja on käsiteltävä ottaen huomioon henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet. Näitä riskejä ovat esimerkiksi vahingossa tapahtuva tai lainvastainen pääsy henkilötietoihin tai niiden tuhoaminen, häviäminen, käyttäminen, muuttaminen tai luovuttaminen (vuoden 2018 tietosuojalain 91 §). Lain 107 §:ssä myös edellytetään, että 1) jokaisen rekisterinpitäjän on toteutettava henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet, ja 2) jos kyseessä on automaattinen käsittely, jokaisen rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskinarviointiin perustuvia ehkäiseviä tai lieventäviä toimenpiteitä.

156

(157)  Vuoden 2018 tietosuojalain liitteessä 10 oleva 86 artiklan 2 kohdan b alakohta.

157

(158)  Vuoden 2018 tietosuojalain 4 osan 3 luku ja erityisesti oikeus tutustua tietoihin ja oikaista tai poistaa ne, oikeus vastustaa tietojen käsittelyä ja oikeus olla joutumatta automaattisen päätöksenteon kohteeksi, oikeus puuttua automatisoituun päätöksentekoon ja saada tieto päätöksenteosta. Rekisterinpitäjän on myös annettava rekisteröidylle tietoa hänen henkilötietojensa käsittelystä. Kuten tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä koskevissa tietosuojavaltuutetun ohjeissa todetaan, yksilöt voivat käyttää kaikkia oikeuksiaan (myös oikaisupyyntöä koskevia) tekemällä valituksen tietosuojavaltuutetulle tai viemällä asian oikeuteen (tietosuojavaltuutetun ohjeet ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).

158

(159)  Vuoden 2018 tietosuojalain 103 §.

159

(160)  Vuoden 2018 tietosuojalain 109 §. Henkilötietojen siirrot kansainvälisille järjestöille tai Yhdistyneen kuningaskunnan ulkopuolisille maille ovat mahdollisia, jos siirto on välttämätön ja oikeasuhteinen toimenpide ja se toteutetaan rekisterinpitäjän lakisääteisiä tehtäviä varten tai muita sellaisia tarkoituksia varten, joista säädetään vuoden 1989 turvallisuuspalvelulain (Security Service Act 1989) ja vuoden 1994 tiedustelupalvelulain (Intelligence Services Act 1994) erityisissä säännöksissä.

160

(161)  Tietosuojavaltuutetun ohjeet, ks. alaviite 158.

161

Vuoden 2018 tietosuojalain 30 § ja liite 7.

(162)  Vuoden 2018 tietosuojalain 110 §:n 2 momentissa luetellaan säännökset, joista poikkeaminen sallitaan. Näitä ovat muun muassa tietosuojaperiaatteet (lainmukaisuusperiaatetta lukuun ottamatta), rekisteröidyn oikeudet, velvollisuus ilmoittaa tietoturvaloukkauksesta tietosuojavaltuutetulle, kansainvälisten velvoitteiden mukaiset tietosuojavaltuutetun tarkastusvaltuudet ja tietyt tietosuojavaltuutetun täytäntöönpanovaltuudet, säännökset joiden nojalla tietyt tietosuojaloukkaukset kriminalisoidaan sekä säännökset, jotka liittyvät erityisiin käsittelytarkoituksiin, kuten käsittely journalistisia, akateemisia tai taiteellisia tarkoituksia varten.

162

(163)  Ks. Baker v Secretary of State, ks. alaviite 61.

163

Baker v Secretary of State

(164)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security Data Protection and Investigatory Powers Framework (kansallista turvallisuutta koskeva tietosuoja ja tutkintavaltuuksien sääntelykehys), s. 15–16 (ks. alaviite 31). Ks. myös Baker v Secretary of State (ks. alaviite 61), jossa tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen ja vahvisti kansallista turvallisuutta koskevan poikkeuksen soveltamisen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.

164

Baker v Secretary of State

(165)  Ks. tietosuojavaltuutetun ja Yhdistyneen kuningaskunnan tiedusteluyhteisön (UK Intelligence Community, UKIC) välinen yhteisymmärryspöytäkirja, jonka mukaan ”sen jälkeen kun tietosuojavaltuutettu on saanut rekisteröidyn tekemän valituksen, hän haluaa varmistua siitä, että asia on käsitelty oikein, ja tarvittaessa siitä, että mahdollista poikkeusta on sovellettu asianmukaisella tavalla”. Memorandum of Understanding between Information Commission’s Office and the UK Intelligence Community, 16 kohta; saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf

165

(166)  Vuoden 2018 tietosuojalaissa on kumottu mahdollisuus myöntää tällaisia todistuksia vuoden 1998 tietosuojalain 28 §:n 2 momentin nojalla. Edelleen on kuitenkin mahdollista antaa ”vanhoja todistuksia” vuoden 1998 lain nojalla (ks. vuoden 2018 tietosuojalain liitteessä 20 olevan 5 osan 17 kohta). Tämä mahdollisuus vaikuttaa kuitenkin hyvin harvinaiselta ja sitä voidaan soveltaa vain rajoitetuissa tapauksissa, jos rekisteröity riitauttaa kansalliseen turvallisuuteen perustuvan poikkeuksen käytön tilanteessa, jossa viranomainen on suorittanut käsittelytoimia vuoden 1998 lain nojalla. Huomattakoon, että tällaisissa tapauksissa sovelletaan vuoden 1998 tietosuojalain 28 §:ää kokonaisuudessaan, eli rekisteröidyllä on mahdollisuus riitauttaa todistus tuomioistuimessa.

166

(167)  UK Government Guidance on National Security Certificates under the Data Protection Act 2018, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf Yhdistyneen kuningaskunnan viranomaiset ovat todenneet, että vaikka todistus on ratkaiseva todiste siitä, että poikkeusta voidaan soveltaa todistuksessa kuvattuihin tietoihin tai käsittelyyn, se ei vapauta rekisterinpitäjää vaatimuksesta analysoida tapauskohtaisesti, onko poikkeuksen soveltaminen tarpeen.

167

(168)  Vuoden 2018 tietosuojalain 130 §:n nojalla tietosuojavaltuutettu voi päättää olla julkaisematta todistuksen tekstiä tai sen osaa, jos julkaiseminen olisi kansalliseen turvallisuuteen liittyvän tai yleisen edun vastaista tai jos se voisi vaarantaa kenen tahansa henkilön turvallisuuden. Tällaisissa tapauksissa tietosuojavaltuutettu julkaisee kuitenkin tiedon siitä, että todistus on myönnetty.

168

(169)  UK Government Guidance on National Security Certificates, kohta 15, ks. alaviite 167.

169

(170)  UK Government Guidance on National Security Certificates, kohta 5, ks. alaviite 167.

170

(171)  Ks. alaviite 164.

171

(172)  Vuoden 2018 tietosuojalain 102 §:n mukaan rekisterinpitäjän on pystyttävä osoittamaan, että se on noudattanut vuoden 2018 tietosuojalakia. Tämä merkitsee sitä, että tiedustelupalvelun olisi osoitettava tietosuojavaltuutetulle, että se on poikkeukseen vedotessaan ottanut huomioon tapaukseen liittyvät erityisolosuhteet. Tietosuojavaltuutettu myös julkaisee tiedot kansallista turvallisuutta koskevista todistuksista seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

172

(173)  Upper Tribunal -tuomioistuimella on toimivalta käsitellä alempien hallintotuomioistuinten päätöksiä koskevat muutoksenhaut, ja sillä on erityinen toimivalta käsitellä tiettyjen hallintoelinten päätöksiä koskevat suorat muutoksenhaut.

173

(174)  Vuoden 2018 tietosuojalain 111 §:n 3 momentti.

174

(175)  Vuoden 2018 tietosuojalain 111 §:n 5 momentti.

175

(176)  Asiassa Baker v Secretary of State (ks. alaviite 61) antamassaan tuomiossa Information Tribunal -tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.

176

Baker v Secretary of State

(177)  UK Government Guidance on National Security Certificates, kohta 25, ks. alaviite 167.

177

(178)  Näitä ovat muun muassa seuraavat: i) 4 osan tietosuojaperiaatteet, lukuun ottamatta ensimmäisen periaatteen yhteydessä mainittua käsittelyn lainmukaisuutta koskevaa vaatimusta ja sitä, että käsittelyn on täytettävä jokin liitteissä 9 ja 10 säädetyistä ehdoista; ii) rekisteröityjen oikeudet; ja iii) velvollisuudet, jotka koskevat tietoturvaloukkauksista ilmoittamista tietosuojavaltuutetulle.

178

(179)  Vuoden 2018 tietosuojalain 4 osa muodostaa oikeudellisen kehyksen, jota sovelletaan kaikentyyppiseen tiedustelupalvelujen suorittamaan henkilötietojen käsittelyyn (ei siis ainoastaan niiden suorittamiin kansallista turvallisuutta koskeviin tehtäviin). Siksi 4 osan säännöksiä sovelletaan myös silloin kun tiedustelupalvelut käsittelevät tietoja esimerkiksi henkilöstöhallinnon tarkoituksia varten tai riita-asian tai julkisten hankintojen yhteydessä. Liitteessä 11 lueteltuja rajoituksia on tarkoitus soveltaa pääasiassa näissä muissa yhteyksissä. Esimerkiksi työntekijää koskevan riita-asian yhteydessä on mahdollista vedota ”oikeudenkäyntiä” koskevaan rajoitukseen ja julkisen hankinnan yhteydessä ”neuvottelua” koskevaan rajoitukseen jne. Tämä on otettu huomioon tiedustelupalvelujen suorittamaa tietojenkäsittelyä koskevissa tietosuojavaltuutetun ohjeissa, joissa mainitaan esimerkkinä liitteessä 11 lueteltujen rajoitusten soveltamisesta työriidan sopimista koskevat neuvottelut tiedustelupalvelun ja sen entisen työntekijän välillä (ks. alaviite 161). Huomattakoon myös, että näitä rajoituksia voivat soveltaa myös muut viranomaiset vuoden 2018 tietosuojalain 2 osassa olevan liitteen 2 nojalla.

179

(180)  Tietosuojan riittävyyttä koskevien perustelujen (UK Explanatory Framework) mukaan luokitusperusteisia poikkeuksia ovat: i) kruunun kunnianosoitusten ja kunniamerkkien myöntämistä koskevat tiedot; ii) asianajosalaisuus; iii) työsuhteeseen tai koulutukseen liittyvät luottamukselliset tiedot; ja iv) koepaperit ja arvosanat. Vahinkoperusteiset poikkeukset koskevat seuraavia seikkoja: i) rikosten ennalta estäminen tai paljastaminen; rikoksentekijöiden kiinniotto ja syytteeseenpano; ii) parlamentaarinen koskemattomuus; iii) oikeudenkäyntimenettelyt; iv) kruunun asevoimien taistelukyky; v) Yhdistyneen kuningaskunnan taloudellinen hyvinvointi; vi) rekisteröidyn kanssa käydyt neuvottelut; vii) tieteellinen tai historiallinen tutkimus tai tilastolliset tarkoitukset; viii) yleisen edun mukainen arkistointi. UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, sivu 13 (ks. alaviite 31).

180

(181)  Suostumuksen käyttö ei vaikuta merkitykselliseltä tietosuojan riittävyyttä koskevan arvioinnin yhteydessä, koska Yhdistyneen kuningaskunnan lainvalvontaviranomainen ei kerää siirrettäviä tietoja suoraan EU:n rekisteröidyiltä suostumuksen perusteella.

181

(182)  Asiaa koskeva oikeusperusta, ks. vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain (PACE 1984) 8 § ja sitä seuraavat pykälät (Englannin ja Walesin osalta), vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Order 1989) 10 § ja sitä seuraavat pykälät (Pohjois-Irlannin osalta); Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain (Criminal Justice (Scotland) Act 2016) 46 § ja konsolidoidun rikoslain (Criminal Law (Consolidation) (Scotland)) 23B §. Kiinnioton jälkeen annettavan etsintämääräyksen oikeusperustana ovat vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain (PACE 1984) 18 § (Englannin ja Walesin osalta), vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Order 1989) 20 § ja sitä seuraavat pykälät (Pohjois-Irlannin osalta); Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain (Criminal Justice (Scotland) Act 2016) 46 §. Yhdistyneen kuningaskunnan viranomaiset ovat selventäneet, että etsintämääräykset antaa tuomioistuin tutkinnasta vastaavan virkamiehen hakemuksen perusteella. Etsintämääräyksen nojalla tutkijoilla on pääsy tiloihin etsimään tutkinnan kannalta merkityksellistä aineistoa tai henkilöitä; etsintämääräyksen täytäntöönpanoon tarvitaan usein poliisin apua.

182

(183)  Kun tutkinta koskee rahanpesua (mukaan lukien menetetyksi tuomitseminen ja siviilioikeudellinen takaisinperintä), esittämismääräyksen hakemisessa käytettävä oikeusperusta on Englannin, Walesin ja Pohjois-Irlannin osalta rikoshyötyä koskevan lain (Proceeds of Crime Act 2002) 345 § ja sitä seuraavat pykälät ja Skotlannin osalta lain 380 §. Kun tutkinta koskee muita kysymyksiä kuin rahanpesua, esittämismääräystä voidaan hakea Englannin ja Walesin osalta vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 9 §:n ja liitteen 1 nojalla ja Pohjois-Irlannin osalta vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain 10 §:n ja sitä seuraavien pykälien nojalla. Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain 46 §) ja konsolidoidun rikoslain 23B §:ään. Yhdistyneen kuningaskunnan viranomaiset ovat selventäneet, että esittämismääräyksessä määrätään siinä mainittu henkilö esittämään hallussaan tai hallinnassaan oleva aineisto tai antamaan pääsy siihen (ks. vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain liitteessä 1 oleva 4 kohta).

183

(184)  Esimerkiksi vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 8 ja 18 §:ssä säädetään valtuudet takavarikoida ja ottaa haltuun mikä tahansa etsintämääräyksessä mainittu aineisto.

184

(185)  Lain 8 §:ssä säädetään rauhantuomarin valtuudesta myöntää lupa etsinnän suorittamiseen ja 18 §:ssä poliisin valtuudesta suorittaa etsintä. Ensimmäisessä tapauksessa (8 §) rauhantuomarin on ennen määräyksen antamista varmistuttava siitä, että on perusteltua uskoa, että i) on tapahtunut rikos, josta voidaan asettaa syytteeseen; ii) asianomaisissa tiloissa on aineistoa, jolla on rikoksen tutkinnan kannalta todennäköisesti huomattava merkitys (joko itsessään tai yhdessä muun aineiston kanssa); iii) aineisto on todennäköisesti merkityksellistä todistusaineistoa; iv) aineisto ei käsitä aineistoa, joka kuuluu asianajosalaisuuden piiriin tai jonka sisällyttäminen etsintään on kielletty tai johon sovelletaan erityismenettelyä; ja v) pääsy tiloihin ei olisi mahdollinen ilman etsintämääräystä. Jälkimmäisessä tapauksessa poliisi voi 18 §:n nojalla suorittaa etsinnän sellaisen henkilön tiloissa, joka on pidätetty rikoksesta, josta voidaan nostaa syyte. Etsintä voi kohdistua muuhun kuin asianajosalaisuuden kohteena olevaan aineistoon, jos on perusteltu syy uskoa, että tiloissa on todistusaineistoa, joka liittyy kyseiseen rikokseen tai muuhun vastaavaan tai siihen liittyvään rikokseen. Tällaisen etsinnän tulee rajoittua aineiston paljastamiseen ja siihen on oltava vähintään tarkastajan asemassa olevan poliisiviranomaisen antama kirjallinen lupa, paitsi jos etsintä on rikoksen tutkinnan kannalta välttämätön. Siinä tapauksessa etsinnästä on ilmoitettava vähintään tarkastajan asemassa olevalle poliisille heti kun se on etsinnän suorittamisen jälkeen mahdollista. Etsinnän perusteet ja etsittyjen todisteiden luonne on kirjattava. Lisäksi vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 15 ja 16 §:ssä säädetään lakisääteisistä takeista, joita on noudatettava etsintämääräystä haettaessa. Lain 15 §:ssä vahvistetaan vaatimukset etsintäluvan saamiselle (mukaan lukien poliisin tekemän hakemuksen sisältö ja se, että määräyksessä on täsmennettävä muun muassa säännös, jonka nojalla se myönnetään, ja yksilöitävä mahdollisuuksien mukaan etsittävät esineet, henkilöt ja tilat). Lain 16 §:ssä säädetään siitä, miten etsintämääräyksessä hyväksytty etsintä on suoritettava (esimerkiksi 16 §:n 5 kohdan mukaan etsinnän suorittavan poliisin on annettava tilojen haltijalle jäljennös etsintämääräyksestä; 16 §:n 11 kohdan mukaan etsintämääräys on säilytettävä 12 kuukauden ajan etsinnän suorittamisen jälkeen; 16 §:n 12 kohdan mukaan tilojen haltijalla on tänä aikana oikeus tutustua etsintämääräykseen). Nämä säännökset auttavat varmistamaan Euroopan ihmisoikeussopimuksen 8 artiklan noudattamisen (ks. esim. Kent Pharmaceuticals v Director of the Serious Fraud Office [2002] EWHC 3023 (QB) at [30] by Lord Woolf CJ). Jos näitä takeita ei noudateta, etsintä voidaan todeta laittomaksi (esimerkkejä mm. R (Brook) v Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import / Export Ltd) v Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; ja R (F) v Blackfriars Crown Court [2014] EWHC 1541 (Admin)). Vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 15 ja 16 §:ää on täydennetty käytännesäännöillä (Code B of PACE), joilla säännellään poliisin etsintävaltuuksien käyttöä.

185

(186)  Esimerkiksi annettaessa esittämismääräys vuoden 2002 rikoshyötyä koskevan lain nojalla on paitsi oltava perusteltu syy lain 346 §:n 2 momentin vaatimusten täyttämiseksi, on oltava perusteltu syy uskoa, että henkilöllä on hallussaan tai hallinnassaan määräyksessä yksilöity aineisto, jolla on todennäköisesti rikostutkinnan kannalta huomattava arvo. Toinen edellytys esittämismääräyksen antamiselle on, että on oltava perusteltu syy uskoa, että kyseisen aineiston esittäminen tai pääsyn antaminen siihen on yleisen edun mukaista, kun otetaan huomioon a) aineiston esittämisestä tutkinnalle todennäköisestä koituva hyöty; ja b) olosuhteet, joiden nojalla hakemuksessa todetaan, että kyseisen aineiston arvioidaan olevan hakemuksessa mainitun henkilön hallussa tai hallinnassa. Samoin tuomioistuimen on harkitessaan esittämismääräyksen myöntämistä vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain liitteen 1 nojalla varmistettava, että tietyt edellytykset täyttyvät. Kyseisessä liitteessä 1 asetetaan kaksi erillistä vaihtoehtoista edellytysten kokonaisuutta, joista toisen on täytyttävä ennen kuin tuomari voi antaa esittämismääräyksen. Ensimmäinen kokonaisuus edellyttää, että tuomarilla on perusteltu syy uskoa, että i) on tapahtunut rikos, josta voidaan nostaa syyte; ii) tiloista etsitty aineisto muodostuu aineistosta, johon sovelletaan erityismenettelyä, tai sisältää tällaista aineistoa, mutta ei aineistoa, jonka etsintä on kielletty; ii) aineistolla on rikoksen tutkinnan kannalta todennäköisesti huomattava merkitys joko itsessään tai yhdessä muun aineiston kanssa; iv) aineisto on todennäköisesti merkityksellistä todistusaineistoa; v) muita keinoja aineiston hankkimiseksi on joko yritetty tai ei ole yritetty, koska ne väistämättä epäonnistuisivat; ja vi) että on yleisen edun mukaista, että aineisto esitetään tai että siihen annetaan pääsy, sen jälkeen kun hän on harkinnut aineiston hankkimisesta tutkinnalle saatavaa hyötyä ja olosuhteita, joissa aineistoa hallussaan tai hallinnassaan pitävä henkilö on. Toiseen kokonaisuuteen sisältyvissä säännöksissä edellytetään, että i) tiloissa on aineistoa, johon sovelletaan erityismenettelyä tai jonka etsintä on kielletty; ii) aineistoa koskeva etsintämääräys olisi voitu antaa, ellei sitä olisi kielletty sellaisen lainsäädännön nojalla, jota sovelletaan erityismenettelyn, etsintäkiellon tai asianajosalaisuuden piiriin kuuluvaan aineistoon ja joka on annettu ennen vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annettua lakia; ja iii) määräyksen antaminen olisi ollut asianmukaista.

186

(187)  Viranomaisen päätökset voidaan riitauttaa High Court -tuomioistuimessa tuomioistuinvalvonnan puitteissa. Tällöin tuomioistuin tutkii riidanalaisen päätöksen sen selvittämiseksi, voidaanko sitä pitää oikeudellisesti virheellisenä, ottaen huomioon julkisoikeudellisen lain käsitteet ja periaatteet. Tuomioistuinvalvonnan keskeiset perusteet ovat nimittäin lainvastaisuus, epärationaalisuus, menettelyvirhe, oikeutetut odotukset ja ihmisoikeudet. Menestyksekkään tuomioistuinvalvonnan perusteella tuomioistuin voi määrätä erilaisia korjaavia toimenpiteitä. Yleisin näistä on kumoamismääräys (jolla kumotaan alkuperäinen päätös, eli tässä tapauksessa päätös etsintämääräyksen myöntämisestä). Joissain tapauksissa tähän voi kuulua myös rahallisen korvauksen myöntäminen. Lisätietoja tuomioistuinvalvonnasta Yhdistyneessä kuningaskunnassa on oikeusviraston (Government Legal Department) julkaisussa ”Judge Over Your Shoulder – a guide to good decision-making”, joka on saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf

187

(188)  Vuoden 2018 tietosuojalain 36 §:n 1 momentti.

188

(189)  Vuoden 2018 tietosuojalain 37 §.

189

(190)  Vuonna 2016 tutkintavaltuuksista annetun lain 263 §:n 1 kohdan mukaan ”vakavalla rikoksella” tarkoitetaan rikosta, josta ensikertalaisen aikuisen voidaan kohtuudella odottaa saavan vähintään kolmen vuoden vankeustuomion, tai tekoa johon liittyy väkivallan käyttöä ja joka tuottaa huomattavaa taloudellista etua tai jonka on tehnyt suuri määrä henkilöitä. Vuonna 2016 tutkintavaltuuksista annetun lain 4 osan nojalla tapahtuvan viestintätietojen hankinnan osalta lain 87(10B) §:ssä säädetään lisäksi, että ”vakavalla rikoksella” tarkoitetaan rikosta, josta voidaan tuomita vähintään 12 kuukauden vankeusrangaistus, tai rikosta, jonka tekijä ei ole luonnollinen henkilö, tai jonka olennaisena osana on viestinnän lähettäminen tai henkilön yksityisyydensuojan loukkaaminen.

190

(191)  Kohdennettua telekuuntelumääräystä voivat hakea erityisesti seuraavat lainvalvontaviranomaiset: kansallisen rikosviraston (National Crime Agency) johtaja, eri alueiden poliisijohtajat (Commissioner of Police of the Metropolis, Chief Constable of the Police Service of Northern Ireland, Chief Constable of the Police Service of Scotland), vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), puolustustiedustelun päällikkö (Chief of Defence Intelligence) ja henkilö, joka toimii jonkin Yhdistyneen kuningaskunnan ulkopuolisen maan tai alueen toimivaltaisena viranomaisena keskinäistä avunantoa koskevan EU:n tai kansainvälisen välineen soveltamista varten (vuonna 2016 tutkintavaltuuksista annetun lain 18 §:n 1 momentti).

191

(192)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 4 §.

192

(193)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti ja viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt (Code of Practice on Bulk Acquisition of Communications Data), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, 2.9 kohta.

193

(194)  Laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, 2.2 kohta.

194

(195)  Keskinäistä avunantoa koskevan määräyksen nojalla Yhdistyneen kuningaskunnan viranomainen voi antaa apua ulkomaan viranomaiselle telekuuntelua varten ja tällä tavoin hankitun aineiston luovuttamiseksi kyseiselle viranomaiselle keskinäistä avunantoa koskevan kansainvälisen välineen mukaisesti (vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 4 momentti).

195

(196)  Vuonna 2016 tutkintavaltuuksista annettu laki (ks.: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) korvattiin useita telekuuntelua, laitetutkintaa ja viestintätietojen hankintaa koskevia lakeja, ja muun muassa vuonna 2000 tutkintavaltuuksista annetun asetuksen I osa, jossa vahvistettiin aiempi lainvalvontaviranomaisten ja kansallisten turvallisuusviranomaisten tutkintavaltuuksien käyttöä koskeva sääntelykehys.

196

(197)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentti, 158 §:n 1 momentti, 178 §:n 1 momentti ja 199 §:n 1 momentti.

197

(198)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 osan 2 luvussa säädetään rajoitetusta määrästä tapauksia, joissa telekuuntelua voidaan suorittaa ilman erillistä määräystä. Näitä ovat muun muassa seuraavat: telekuuntelu lähettäjän tai vastaanottajan suostumuksella, telekuuntelu hallinnollisia tai täytäntöönpanotarkoituksia varten, telekuuntelu tietyissä laitoksissa (vankiloissa, psykiatrisissa sairaaloissa ja maahanmuuttajille tarkoitetuissa säilöönottokeskuksissa) sekä telekuuntelu asiaa koskevan kansainvälisen sopimuksen mukaisesti.

198

(199)  Useimmissa tapauksissa vuonna 2016 tutkintavaltuuksista annetussa laissa tarkoitetun määräyksen antaa Secretary of State. Skotlannin ministereillä taas on valtuudet antaa kohdennettuja telekuuntelumääräyksiä, keskinäistä avunantoa koskevia määräyksiä ja kohdennettuja laitetutkintamääräyksiä, jos niiden kohteena olevat henkilöt tai tilat ovat Skotlannissa (ks. lain 22 ja 103 §). Kun on kyse kohdennetusta laitetutkinnasta, määräyksen voi antaa myös lainvalvontapäällikkö (ks. vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 6 oleva 1 ja 2 osa), jos lain 106 §:ssä säädetyt edellytykset täyttyvät.

199

(200)  Oikeusvaltuutetut avustavat tutkintavaltuuksien valvojaa (Investigatory Powers Commissioner, IPC), joka on tutkintavaltuuksien käyttöä tiedustelupalveluissa valvova riippumaton elin (lisätietoja johdanto-osan (162) kappaleessa ja sitä seuraavissa kappaleissa).

200

(201)  Ks. erityisesti vuonna 2016 tutkintavaltuuksista annetun lain 19 ja 23 §.

201

(202)  Vuoden 2018 tietosuojalain 36 §:n 3 momentti.

202

(203)  Vuoden 2017 digitaalitaloudesta annetun lain 56 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2017/30/section/56

203

(204)  Vuoden 2017 digitaalitaloudesta annetun lain 48 §.

204

(205)  Vuonna 2013 rikoksista ja tuomioistuimista annetun lain 7 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2013/22/section/7

205

(206)  Vuonna 2007 vakavasta rikollisuudesta annetun lain 68 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2007/27/contents

206

(207)  Authorised Professional Practice on Information Sharing, saatavilla seuraavassa osoitteessa: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

207

(208)  Ks. esimerkiksi asia M, R v the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), jossa High Court -tuomioistuinta pyydettiin tarkastelemaan tietojen jakamista poliisin ja rikollisuuden vähentämistä edistävän yrityskumppanuusorganisaation Business Crime Reduction Partnership (BCRP) välillä; organisaatiolla oli valtuudet hallinnoida määräyksiä (exclusion notice), joilla tietyiltä henkilöiltä evättiin pääsy organisaation jäsenten liiketiloihin. Tuomioistuin totesi tarkastelunsa yhteydessä, että tietojen jakaminen perustui sopimukseen, jonka tarkoituksena oli suojella yleisöä ja ehkäistä rikollisuutta, ja katsoi lopulta, että se tapahtui valtaosaksi lainmukaisesti, eräitä arkaluontoisia tietoja lukuun ottamatta. Toinen esimerkki on asia Cooper v NCA [2019] EWCA Civ 16, jossa muutoksenhakutuomioistuin Court of Appeal hyväksyi tietojen jakamisen poliisin ja vakavaa järjestäytynyttä rikollisuutta käsittelevän viraston (Serious Organised Crime Agency, SOCA) välillä; tämä lainvalvontavirasto on nykyään osa kansallista rikosvirastoa (NCA).

208

M, R v the Chief Constable of Sussex Police

exclusion notice

Cooper v NCA

(209)  Vuoden 2018 tietosuojalain 36 §:n 4 momentti.

209

(210)  Vuoden 2008 terrorismintorjuntalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2008/28/section/19

210

(211)  Intelligence Service Act 1994, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1994/13/contents

211

(212)  Security Service Act 1989, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1989/5/contents

212

(213)  Vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin mukaan ”Tiedustelupalvelun päällikkö vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, — a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi ja että se ei paljasta mitään tietoja muutoin kuin siltä osin kuin se on tarpeen — i) kyseistä tarkoitusta varten; ii) kansallisen turvallisuuden vuoksi; iii) vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi; tai iv) rikosasian käsittelyä varten; ja b) että tiedustelupalvelu ei ryhdy mihinkään toimiin minkään Yhdistyneen kuningaskunnan poliittisen puolueen etujen edistämiseksi”. Vuoden 1989 turvallisuuspalveluja koskevan lain 2 §:n 2 momentin mukaan taas ”Pääjohtaja vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, — a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi ja että se paljastaa tietoja vain siltä osin kuin se on tarpeen kyseistä tarkoitusta varten tai vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi tai rikosasian käsittelyä varten; ja b) että palvelu ei ryhdy mihinkään toimiin minkään poliittisen puolueen etujen edistämiseksi; ja c) että kansallisen rikosviraston (NCA) kanssa on sovittu järjestelyistä, joilla tämän lain 1 §:n 4 momentin nojalla suoritettavia palvelun toimia koordinoidaan poliisin, kansallisen rikosviraston ja muiden lainvalvontavirastojen toimien kanssa”.

213

(214)  Ks. vuoden 2018 tietosuojalain 3 osan 5 luku.

214

(215)  Vuoden 2018 tietosuojalain 76 §.

215

(216)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 ja 130 §. Tiedot luovuttavan viranomaisen on tarkasteltava tarvetta määrätä erityisiä suojatoimia tiedoille, jotka on tarkoitus luovuttaa ulkomaisille viranomaisille, jotta voidaan varmistaa, että tietoihin sovelletaan niiden säilyttämistä, tuhoamista ja luovuttamista koskevia suojatoimia, jotka vastaavat vuonna 2016 tutkintavaltuuksista annetun lain 53 ja 129 §:ssä säädettyjä suojatoimia.

216

(217)  Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan hallituksen ja Amerikan yhdysvaltojen hallituksen välinen sopimus sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf

217

(218)  Tämä on ensimmäinen sopimus, joka on tehty tietojen käyttöä ulkomailla koskevan Yhdysvaltojen lain (Clarifying Lawful Overseas Use of Data, CLOUD Act) nojalla. Tässä liittovaltion tasolla 23. maaliskuuta 2018 annetussa laissa selvennetään vuoden 1986 viestintätietojen säilyttämistä koskevan lain (Stored Communications Act of 1986) muutoksen avulla, että Yhdysvaltojen palveluntarjoajien on tietojen sisällön ja muun kuin sisältötietojen paljastamisen osalta noudatettava Yhdysvaltojen määräyksiä riippumatta siitä, missä kyseisiä tietoja säilytetään. CLOUD Act -laissa sallitaan myös täytäntöönpanosopimusten tekeminen ulkomaiden hallitusten kanssa, ja yhdysvaltalaiset palveluntarjoajat voivat näiden sopimusten perusteella luovuttaa sisältötietoja suoraan kyseisille ulkomaiden hallituksille (lain teksti on saatavilla seuraavassa osoitteessa: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf)

218

(219)  Sopimuksen 1 artiklan 14 kohta.

219

(220)  Sopimuksen 5 artiklan 2 kohta.

220

(221)  Sopimuksen 5 artiklan 1 kohta.

221

(222)  Sopimuksen 4 artiklan 5 kohta. Reaaliaikaiseen telekuunteluun sovelletaan tiukempia lisävaatimuksia: määräyksen voimassaolo on rajoitettava siihen, mikä on kohtuudella tarpeen sen tavoitteiden saavuttamiseksi, ja se voidaan antaa vain jos samoja tietoja ei voida kohtuudella saada vähemmän yksityisyyteen puuttuvilla keinolla (sopimuksen 5 artiklan 3 kohta).

222

(223)  Amerikan yhdysvaltojen ja Euroopan unionin sopimus rikosten ennalta estämiseen, tutkimiseen, paljastamiseen ja rikoksia koskeviin syytetoimiin liittyvien henkilötietojen suojasta (EUVL L 336, 10.12.2016, s. 3–13), saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:22016A1210(01)&from=FI

223

(224)  Sopimuksen 9 artiklan 1 kohta.

224

(225)  Sopimuksen 9 artiklan 1 kohta.

225

(226)  Vuoden 2018 tietosuojalain 116 §.

226

(227)  Ks. vuonna 2016 tutkintavaltuuksista annettu laki ja erityisesti sen 8 osan 1 luku.

227

(228)  Vuoden 2018 tietosuojalain liitteessä 13 oleva 2 kohta.

228

(229)  Tällä voidaan määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot (vuoden 2018 tietosuojalain 142 §).

229

(230)  Tämän nojalla voidaan suorittaa tutkimuksia ja tarkastuksia, joita varten rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (vuoden 2018 tietosuojalain 146 §).

230

(231)  Tämän avulla voidaan käyttää korjaavia toimivaltuuksia määräämällä rekisterinpitäjiä / henkilötietojen käsittelijöitä toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä (vuoden 2018 tietosuojalain 149 §).

231

(232)  Vuoden 2018 tietosuojalain 154 §.

232

(233)  Vuoden 2018 tietosuojalain 155 §.

233

(234)  Regulatory Action Policy, ks. alaviite 96.

234

(235)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2018–19 (ks. alaviite 101).

235

(236)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2019-20 (ks. alaviite 82).

236

(237)  Tietokantaan talletetaan tiedustelutietoa oletetuista jengien jäsenistä ja jengirikollisuuden uhreista.

237

(238)  Ks. tietosuojavaltuutetun lausunto, saatavilla seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/

238

(239)  Vuoden 2018 tietosuojalain 170 §.

239

(240)  Vuoden 2018 tietosuojalain 171 §.

240

(241)  Vuoden 2018 tietosuojalain 119 §:n 6 momentti.

241

(242)  Varainhoitovuoden 1. huhtikuuta 2019–31. maaliskuuta 2020 aikana tietosuojavaltuutetun tutkimusten perusteella on annettu neljä varoitusta ja nostettu kahdeksan syytettä. Syytteet nostettiin vuoden 1998 tietosuojalain 55 §:n, vuoden 2000 tiedonvapauslain 77 §:n ja vuoden 2018 tietosuojalain 170 §:n nojalla. Vastaajat myönsivät syyllisyytensä 75 prosentissa tapauksista, minkä ansiosta vältyttiin pitkiltä oikeudenkäynneiltä ja niistä aiheutuvilta kustannuksilta. (Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2019–2020 (ks. alaviite 87, s. 40).

242

(243)  Toimi on perustettu vuoden 2012 vapauksien suojelusta annetulla lailla (Protection of Freedoms Act 2012) (ks.: https://www.legislation.gov.uk/ukpga/2012/9/contents). Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu päättää muun muassa, saako poliisi säilyttää DNA-tunnisteet ja sormenjäljet, jotka on otettu vakavasta rikoksesta (qualifying offence) epäillyltä henkilöltä, joka on pidätetty mutta jota vastaan ei ole nostettu syytettä (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63 G §). Biometristen materiaalien säilyttämisestä ja käytöstä vastaavalla valtuutetulla on lisäksi yleinen vastuu valvoa DNA:n ja sormenjälkien säilyttämistä ja käyttöä sekä kansalliseen turvallisuuteen liittyvistä syistä tapahtuvaa säilyttämistä (vuonna 2012 poliisista ja rikosasioiden todistusaineistosta annetun lain 20 §:n 2 momentti). Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu nimitetään julkisia nimityksiä koskevien hallintosääntöjen nojalla (saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/governance-code-for-public-appointments ). Hänen toimeksiannostaan käy selvästi ilmi, että sisäasiainministeri voi erottaa hänet tehtävistään vain tarkoin määritellyissä olosuhteissa. Tällainen olosuhde voi olla esim. se, että hän on laiminlyönyt tehtäviensä hoidon kolmen kuukauden ajan, rikostuomio tai toimeksiannon ehtojen noudattamatta jättäminen.

243

qualifying offence

(244)  Valvontakameravaltuutetun toimi on perustettu vuoden 2012 vapauksien suojelusta annetulla lailla. Tehtävänä on edistää valvontakameran käytöstä annettujen käytännesääntöjen (Surveillance Camera Code of Practice) noudattamista, tarkastella käytännesääntöjen toimivuutta ja antaa ministereille neuvoja käytännesääntöjen tarkistamisesta. Valvontakameravaltuutettu nimitetään samojen sääntöjen mukaan kuin biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu, ja hänellä on samanlaiset toimivaltuudet, resurssit ja suoja virasta erottamista vastaan.

244

(245)  Ks. https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/

245

(246)  Muiden erityisvaliokuntien tavoin myös sisäasioiden erityisvaliokuntaan sovelletaan parlamentin työjärjestystä (Standing Orders of the House of Commons). Parlamentin hyväksymällä työjärjestyksellä säännellään parlamentin toimintaa. Erityisvaliokuntien tehtäväkenttä on laaja: työjärjestyksen 152 §:n 1 momentin mukaan niiden tehtävänä on tarkastella saman pykälän 2 momentissa lueteltujen hallituksen tärkeimpien yksikköjen ja niihin liittyvien julkisten elinten menoja, hallintoa ja toimintaperiaatteita. Tämän nojalla sisäasiain erityisvaliokunta voi tarkastella kaikkia sisäasiainministeriön politiikkatoimia, mukaan lukien tutkintavaltuuksiin liittyvää toimintapolitiikkaa (ja niihin liittyvää lainsäädäntöä). Lisäksi työjärjestyksen 152 §:n 4 momentissa täsmennetään, että valiokunnilla on erilaisia valtuuksia, kuten valtuudet pyytää henkilöitä antamaan todistajanlausuntoja tai esittämään asiakirjoja tietystä aiheesta, ja laatia raportteja. Valiokunnan tutkimukset ovat saatavilla seuraavassa osoitteessa: https://committees.parliament.uk/committee/83/home-affairs-committee/.

246

(247)  Sisäasiain erityisvaliokunnan toimivaltuudet Englannissa ja Walesissa esitetään parlamentin työjärjestyksessä, joka on saatavilla seuraavassa osoitteessa: https://www.parliament.uk/business/publications/commons/standing-orders-public11/.

247

(248)  Saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm

248

(249)  Saatavilla seuraavassa osoitteessa: https://committees.parliament.uk/committee/83/home-affairs-committee

249

(250)  Skotlannissa alavaliokunnan työjärjestys on saatavilla seuraavassa osoitteessa: https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx. Pohjois-Irlannin valiokunnan työjärjestys on saatavilla seuraavassa osoitteessa: http://www.niassembly.gov.uk/assembly-business/standing-orders/]

250

(251)  Tietosuojavaltuutetun viimeisimmässä vuosikertomuksessa jaotellaan vastaanotetut ja käsitellyt valitukset tyypeittäin. ”Poliisitoimintaa ja rikosrekistereitä” koskevia valituksia on 6 prosenttia kaikista valituksista (lisäystä 1 prosentti edelliseen varainhoitovuoteen verrattuna). Vuosikertomuksen mukaan suurin osa valituksista koskee rekisteröityjen tekemiä tietopyyntöjä (46 prosenttia kaikista valituksista, lisäystä 8 prosenttia edelliseen varainhoitovuoteen verrattuna) (tietosuojavaltuutetun vuosikertomus 2019–2020, s. 55; ks. alaviite 88).

251

(252)  Vuoden 2018 tietosuojalain 166 §:ssä viitataan nimenomaisesti seuraaviin tilanteisiin: a) tietosuojavaltuutettu ei ole toteuttanut asianmukaisia toimenpiteitä valitukseen vastaamiseksi, b) tietosuojavaltuutettu ei ole antanut valituksen tekijälle tietoja tutkinnan etenemisestä tai sen tuloksesta kolmen kuukauden kuluessa siitä kun tietosuojavaltuutettu on vastaanottanut valituksen, tai c) jos tietosuojavaltuutettu ei tee valituksen perusteella ratkaisua tai ei anna valituksen tekijälle tutkintaa koskevia tietoja em. kolmen kuukauden määräajan kuluessa.

252

(253)  First Tier Tribunal -tuomioistuin on toimivaltainen käsittelemään hallituksen sääntelyelinten päätöksiä koskevat muutoksenhaut. Kun muutoksenhaku koskee tietosuojavaltuutetun päätöstä, toimivaltainen jaosto on ”yleinen sääntelyjaosto” (General Regulatory Chamber), joka on toimivaltainen koko Yhdistyneessä kuningaskunnassa.

253

(254)  Vuoden 2018 tietosuojalain 166 §. Esimerkki kyseisessä tuomioistuimessa nostetuista menestyksekkäistä kanteista tietosuojavaltuutettua vastaan on tapaus, jossa tietosuojavaltuutettu ilmoitti ottaneensa vastaan rekisteröidyn tekemän valituksen, mutta ei ilmoittanut, mihin toimiin sen perusteella ryhdyttäisiin. Tuomioistuin määräsi tietosuojavaltuutetun vahvistamaan 21 kalenteripäivän kuluessa, aloitettaisiinko valituksen perusteella tutkimus ja ilmoittamaan mahdollisen tutkimuksen etenemisestä rekisteröidylle tämän jälkeen vähintään 21 kalenteripäivän välein (tuomiota ei ole vielä julkaistu). Toisessa tapauksessa tuomioistuin katsoi, ettei ollut selvää, oliko tietosuojavaltuutetun vastaus valituksen tekijälle ”tulos” asian käsittelystä (ks. Susan Milne v The Information Commissioner [2020], tuomio on saatavilla seuraavassa osoitteessa: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf)

254

Susan Milne v The Information Commissioner

(255)  Vuoden 2018 tietosuojalain 162 ja 163 §.

255

(256)  Ks. Esimerkiksi asia Brown v Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724, jossa tuomioistuin myönsi kantajalle 9 000 punnan vahingonkorvauksen vuoden 1998 tietosuojalain ja vuoden 1998 ihmisoikeuslain nojalla henkilötietojen lainvastaisen hankkimisen ja väärinkäytön perusteella. Asiassa R (on the application of Bridges) v Chief Constable of South Wales [2020] EWCA Civ 1058 muutoksenhakutuomioistuin katsoi, että Walesin poliisi oli ottanut kasvojentunnistusjärjestelmän käyttöön lainvastaisesti ja loukannut siten ihmisoikeussopimuksen 8 artiklaa, ja että rekisterinpitäjän laatima tietosuojaa koskeva vaikutustenarviointi ei ollut vuoden 2018 tietosuojalain mukainen.

256

Brown v Commissioner of Police of the Metropolis & Anor

R (on the application of Bridges) v Chief Constable of South Wales

(257)  Euroopan ihmisoikeussopimuksen 34 artiklassa määrätään seuraavaa: ”Tuomioistuin voi ottaa vastaan valituksia, joissa yksityishenkilö, kansalaisjärjestö tai ryhmä väittää jonkun korkeista sopimuspuolista loukanneen heidän yleissopimuksessa tai sen pöytäkirjoissa tunnustettuja oikeuksiaan. Korkeat sopimuspuolet eivät saa millään tavoin estää tämän oikeuden tehokasta käyttöä.”

257

(258)  MI5 kuuluu sisäasiainministerin alaisuuteen. MI5:n tehtävät esitetään vuoden 1989 turvallisuuspalvelulaissa: kansallisen turvallisuuden suojelu (mukaan lukien suojelu vakoilun, terrorismin ja sabotaasin sekä ulkovaltojen agenttien toiminnan aiheuttamilta uhkilta ja sellaisia toimia vastaan, joiden tarkoituksena on kumota parlamentaarinen demokratia tai heikentää sitä poliittisin, teollisin tai väkivaltaisin keinoin), Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen ulkopuolisia uhkia vastaan ja poliisin ja muiden lainvalvontaviranomaisten toiminnan tukeminen vakavan rikollisuuden ehkäisemisessä ja paljastamisessa.

258

(259)  SIS toimii ulkoasiainministeriön alaisuudessa, ja sen tehtävät esitetään vuoden 1994 tiedustelupalvelulaissa. SIS:n tehtävänä on hankkia ja antaa tietoja Brittein saarten ulkopuolisten henkilöiden toimista ja aikomuksista ja suorittaa muita tehtäviä, jotka liittyvät tällaisten henkilöiden toimintaan tai aikomuksiin. Näitä tehtäviä voidaan hoitaa ainoastaan kansallisen turvallisuuden ja Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin edistämiseksi tai vakavan rikollisuuden ehkäisemisen tai paljastamisen tukemiseksi.

259

(260)  GCHQ toimii ulkoasiainministeriön alaisuudessa, ja sen tehtävät esitetään vuoden 1994 tiedustelupalvelulaissa. Sen tehtävänä on a) seurata ja hyödyntää sähkömagneettista ja muuta säteilyä ja tällaista säteilyä tuottavia laitteita tai puuttua niihin, hankkia ja toimittaa edelleen tällaisesta säteilystä tai laitteista ja salatusta aineistosta saatuja tai niihin liittyviä tietoja; b) antaa asevoimille, hallitukselle ja muille asianmukaisiksi katsotuille organisaatioille tai henkilöille kieliin liittyvää neuvontaa ja apua, mukaan lukien teknisiin kysymyksiin ja salaukseen liittyvä terminologia ja muut tietojen suojaamiseen liittyvät seikat. Näitä tehtäviä voidaan hoitaa ainoastaan kansallisen turvallisuuden ja Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin edistämiseksi, kun kyseessä ovat Brittein saarten ulkopuolisten henkilöiden toimet ja aikomukset, tai vakavan rikollisuuden ehkäisemisen tai paljastamisen tukemiseksi.

260

(261)  Muita kansalliseen turvallisuuteen liittyviä tehtäviä hoitavia julkisia elimiä ovat puolustustiedustelu (Defence Intelligence, DI), kansallinen turvallisuusneuvosto ja sen sihteeristö (National Security Council and Secretariat) sekä yhteinen tiedusteluorganisaatio (Joint Intelligence Organisation, JIO) ja yhteinen tiedustelukomitea (Joint Intelligence Committee, JIC). JIO ja JIC eivät kuitenkaan voi käyttää vuonna 2016 tutkintavaltuuksista annetun lain mukaisia tutkintavaltuuksia, ja DI voi käyttää niitä vain rajoitetusti.

261

(262)  Kielto koskee sekä julkisia että yksityisiä viestintäverkkoja ja julkisia postipalveluja, kun tietojen hankinta tapahtuu Yhdistyneessä kuningaskunnassa. Kielto ei koske yksityisen verkon rekisterinpitäjää, jos tämä on antanut telekuunteluun nimenomaisen tai implisiittisen suostumuksen (vuonna 2016 tutkintavaltuuksista annetun lain 3 §).

262

(263)  Tietyissä erityistapauksissa telekuuntelu voi olla laillista myös ilman määräystä, esimerkiksi kun siihen on saatu lähettäjän tai vastaanottajan suostumus (vuonna 2016 tutkintavaltuuksista annetun lain 44 §), tai kun se tapahtuu rajoitettuja hallinnollisia tai lainvalvontatarkoituksia varten (lain 45–48 §) tai tietyissä erityislaitoksissa (lain 49–51 §) ja ulkomaisten pyyntöjen perusteella (lain 52 §).

263

(264)  Esimerkiksi näiden toimenpiteiden (viestintätietojen säilyttäminen ja hankinta) soveltamisalasta säädetään lain 3 ja 4 osassa, että soveltamisala liittyy tiukasti niiden teleoperaattorien määritelmään, joiden käyttäjien tietoihin toimenpide kohdistuu. Toinen esimerkki koskee ns. laajamittaisten tutkintavaltuuksien käyttöä. Niiden osalta soveltamisala on rajoitettu ”viestintään, jonka lähettäjä tai vastaanottaja on Brittein saarten ulkopuolella”.

264

(265)  Vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 7 määritetään käytännesääntöjen soveltamisala, niiden antamisessa noudatettava menettely, niiden tarkistamista koskevat säännöt ja käytännesääntöjen vaikutukset.

265

(266)  Vuonna 2016 tutkintavaltuuksista annettuun lakiin liittyvät käytännesäännöt ovat saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice

266

(267)  Tuomioistuimissa käytännesääntöjen perusteella arvioidaan viranomaisten toiminnan lainmukaisuutta. Ks. esimerkiksi asia Dias v Cleveland Police, [2017] UKIPTrib15_586-CH. Tutkintavaltuuksia käsittelevä tuomioistuin viittasi viestintätietoja koskevien käytännesääntöjen (Code of Practice on Communication Data) tiettyihin kohtiin, jotta voitaisiin ymmärtää ”rikoksen ehkäisemistä tai paljastamista tai epäjärjestyksen ehkäisemistä” koskevan perusteen määritelmä, jonka nojalla viestintätietojen hankkimista haettiin. Käytännesääntöihin viitattiin arvioinnissa sen selvittämiseksi, oliko perustetta käytetty virheellisesti. Tuomioistuin katsoi, että riidanalaiset menettelytavat olivat lainvastaisia. Tuomioistuimet ovat myös arvioineet käytännesääntöihin sisältyvien suojatoimien tasoa. Esimerkiksi asiassa Just for Law Kids v Secretary of State for the Home Department [2019] EWHC 1772 (Admin) High Court katsoi, että primaari- ja sekundaarilainsäädäntö yhdessä sisäisen ohjeistuksen kanssa tarjoavat riittävät takeet; tai asia R (National Council for Civil Liberties) v Secretary of State for the Home Department & Others [2019] EWHC 2057 (Admin), jossa se katsoi, että sekä vuonna 2016 tutkintavaltuuksista annettu laki että laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference) sisältävät määräysten yksityiskohtaisuuden osalta riittävät säännökset.

267

Dias v Cleveland Police

Just for Law Kids v Secretary of State for the Home Department

R (National Council for Civil Liberties) v Secretary of State for the Home Department & Others

(268)  EIT:n suuri jaosto katsoi asiassa Big Brother Watch, että kyseiset käytännesäännöt ovat julkinen asiakirja, joka on hyväksytty molemmissa parlamentin kamareissa ja jonka hallitus on julkaissut sekä verkossa että paperiversiona. Sekä laitetutkintaan liittyviä tehtäviä suorittavien että tuomioistuinten on otettava ne huomioon (ks. 93–94 kohta edellä). Näin ollen EIT hyväksyy, että käytännesäännöt voidaan ottaa huomioon arvioitaessa tutkintavaltuuksista annetun asetuksen ennakoitavuutta (ks. em. asia Kennedy, 157 kohta). EIT myös toteaa, että kotimainen lainsäädäntö oli riittävästi ”saatavilla” (accessible). (ks. EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, hakemukset N:o 58170/13, 62322/14 ja 24960/15, 25.5.2021, 366 kohta.)

268

Big Brother Watch

accessible

Big Brother Watch and others v United Kingdom,

(269)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 osa.

269

(270)  Vuonna 2016 tutkintavaltuuksista annetun lain 3 osa.

270

(271)  Vuonna 2016 tutkintavaltuuksista annetun lain 4 osa.

271

(272)  Vuonna 2016 tutkintavaltuuksista annetun lain 5 osa.

272

(273)  Luettelo lainvalvontaviranomaisista, jotka voivat käyttää kohdennettuja tutkintavaltuuksia vuoden 2016 lain nojalla, ks. alaviite (139).

273

(274)  Vuonna 2016 tutkintavaltuuksista annetun lain 136 §.

274

(275)  Vuonna 2016 tutkintavaltuuksista annetun lain 158 §.

275

(276)  Vuonna 2016 tutkintavaltuuksista annetun lain 176 §.

276

(277)  Vuonna 2016 tutkintavaltuuksista annetun lain 199 §.

277

(278)  Telekuuntelua koskevissa käytännesäännöissä selvennetään, että oikeasuhteisuuden arvioinnissa on otettava huomioon myös i) ehdotetun yksityisyyteen puuttumisen laajuus suhteessa toimella tavoiteltuun tulokseen; ii) se, miten ja miksi käytettävillä menetelmillä aiheutettaisiin mahdollisimman vähän häiriöitä asianomaiselle henkilölle ja muille; iii) se, edustaako suunniteltu toiminta kyseisen lain asianmukaista käyttöä ja onko se järkevä tapa saavuttaa tavoiteltu tulos, kun otetaan huomioon kaikki kohtuulliset vaihtoehdot; iv) mitä muita soveltuvia menetelmiä ei joko ole käytetty lainkaan tai joita on käytetty, mutta jotka on arvioitu riittämättömiksi operatiivisten tavoitteiden toteuttamiseksi ilman ehdotettujen tutkintavaltuuksien käyttöä. Code of Practice on Interception of Communications, 4.16 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

278

(279)  Ks. Code of Practice on Interception of Communications, 4.12 ja 4.15 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf

279

(280)  Ks. Code of Practice on Interception of Communications, 4.16 kohta.

280

(281)  Erityisraportoijan Yhdistyneeseen kuningaskuntaan tekemän arviointimatkan loppuraportti (End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland), saatavilla seuraavassa osoitteessa: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, kohta 1.a.

281

(282)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 2 momentti.

282

(283)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 4 momentti.

283

(284)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 2 momentti.

284

(285)  Toissijaisella datalla tarkoitetaan tietoja, jotka on liitetty tai jotka loogisesti liittyvät kuunneltuun viestintään ja jotka voidaan loogisesti erottaa siitä, minkä jälkeen näistä tiedoista ei paljastuisi mitään siitä, mitä voitaisiin kohtuudella pitää kyseisen viestinnän sisältönä (jos sellaista on). Esimerkkejä toissijaisesta datasta ovat reititinkokoonpanot ja palomuurit tai aika, jona reititin on toiminut verkossa, kun ne ovat osa kuunneltua viestintää tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen. Lisätietoja tästä määritelmästä on vuonna 2016 tutkintavaltuuksia koskevan lain 16 §:ssä ja telekuuntelua koskevien käytännesääntöjen 2.19 kohdassa, ks. alaviite 278.

285

(286)  Tutkinta suoritetaan poikkeuksena suhteessa vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 4 momenttiin, jossa kielletään yksilöimästä Brittein saarilla olevien yksityishenkilöiden viestintää. Ks. johdanto-osan (229)kappale.

286

(287)  Skotlannin ministeri hyväksyy määräyksen, jos se liittyy vakavaan rikollisuuteen Skotlannissa (ks. vuonna 2016 tutkintavaltuuksista annetun lain 21 ja 22 §). Secretary of State voi valtuuttaa johtavan virkamiehen antamaan keskinäistä avunantoa koskevan määräyksen (mutual assistance warrant), jos telekuuntelu kohdistuu Yhdistyneen kuningaskunnan ulkopuolella olevaan henkilöön tai tiloihin (vuoden 2016 lain 40 §).

287

mutual assistance warrant

(288)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 ja 23 §.

288

(289)  Vuonna 2016 tutkintavaltuuksista annetun lain 32 §.

289

(290)  Vuonna 2016 tutkintavaltuuksista annetun lain 39 §. Nimetyt henkilöt voivat tehdä määräyksiin rajoitettuja muutoksia vuonna 2016 tutkintavaltuuksista annetussa laissa asetetuin edellytyksin. Määräyksen antaja voi milloin tahansa perua määräyksen. Määräys on peruttava, jos se ei ole enää tarpeen minkään asian kannalta merkityksellisen perusteen mukaan tai jos määräyksessä sallittu toimi ei ole enää oikeasuhteinen tavoiteltuun tulokseen nähden.

290

(291)  Vuonna 2016 tutkintavaltuuksista annetun lain 33 §. Määräyksen uusimista koskevalle päätökselle on saatava oikeusvaltuutetun hyväksyntä.

291

(292)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 §.

292

(293)  EIT (suuri jaosto) on katsonut asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 268 edellä), kohta 371, että käsite ”taloudellisen hyvinvoinnin turvaaminen Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle ” liittyy riittävällä tavalla kansalliseen turvallisuuteen. EIT:n päätelmä liittyy käsitteen käyttöön vuonna 2000 tutkintavaltuuksista annetun asetuksen yhteydessä, mutta käsitettä käytetään myös vuonna 2016 tutkintavaltuuksista annetussa laissa.

293

Big Brother Watch and others v United Kingdom

,

(294)  Vuonna 2016 tutkintavaltuuksista annetun lain 20 §:n 2 momentti.

294

(295)  Vuonna 2016 tutkintavaltuuksista annetun lain 20 §:n 3 momentti.

295

(296)  Vuoden 2016 tietosuojalain 19 §:n 1 momentin b alakohta, 19 §:n 2 momentin b alakohta ja 19 §:n 3 momentin b alakohta.

296

(297)  Pyydettyihin tietoihin kuuluvat yksityiskohtaiset taustatiedot (henkilöiden/organisaatioiden/tilojen kuvaus ja kuuntelun kohteena oleva viestintä) ja se, miten näiden tietojen hankkiminen hyödyttää tutkimuksia sekä kuvaus toiminnasta, johon lupaa pyydetään. Jos henkilöitä/organisaatioita/tiloja ei ole mahdollista kuvailla, hakemuksessa on selitettävä, miksi se ei ollut mahdollista tai miksi se on tehty vai yleisellä tasolla (Code of Practice on Interception of Communications, 5.32 ja 5.34 kohta, ks. alaviite 278).

297

(298)  Vuonna 2016 tutkintavaltuuksista annetun lain 17 §:n 2 momentti. Ks. myös Code of Practice of Interception of Communications, 5.11 kohta ja sitä seuraavat kohdat, ks. alaviite 278.

298

(299)  Vuonna 2016 tutkintavaltuuksista annetun lain 31 §:n 4 ja 5 momentti.

299

(300)  Vuonna 2016 tutkintavaltuuksista annetun lain 31 §:n 8 momentti.

300

(301)  Code of Practice of Interception of Communications, 5.37 ja 5.38 kohta, ks. alaviite 278.

301

(302)  Oikeusvaltuutetun hyväksyntää ei vaadita, kun Secretary of State katsoo, että määräys on annettava kiireellisesti (tutkintavaltuuksista annetun lain 19 §:n 1 momentti). Oikeusvaltuutetulle on kuitenkin ilmoitettava asiasta lyhyen määräajan kuluessa, ja hänen on päätettävä, hyväksyykö hän määräyksen vai ei. Jos hän ei hyväksy määräystä, sen vaikutukset lakkaavat (vuonna 2016 tutkintavaltuuksista annetun lain 24 ja 25 §).

302

(303)  Vuonna 2016 tutkintavaltuuksista annetun lain 23 §:n 1 momentti.

303

(304)  Vuonna 2016 tutkintavaltuuksista annetun lain 23 §:n 2 momentti.

304

(305)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 44–51 § ja telekuuntelua koskevien käytännesääntöjen 12 § (ks. alaviite 278).

305

(306)  Näin on esimerkiksi silloin kun kuuntelu on tarpeen vankilassa tai psykiatrisessa sairaalassa (säilöön otetun henkilön tai potilaan tarkkailua varten) tai kun postitoiminnan harjoittajan tai teleoperaattorin on esimerkiksi paljastettava loukkaava sisältö.

306

(307)  Ks. kuitenkin vuonna 2016 tutkintavaltuuksista annetun lain 229 §:n 4 momentti.

307

(308)  Vuonna 2016 tutkintavaltuuksista annetun lain 26–29 §:ssä säädetään rajoituksista, jotka koskevat kohdennettua kuuntelua ja tutkintaa koskevien määräysten myöntämistä silloin kun niiden kohteena olevan viestinnän lähettäjä tai vastaanottaja on (minkä tahansa Yhdistyneen kuningaskunnan) parlamentin jäsen, tai kun määräyksen tarkoituksena on hankkia asianajosalaisuuden piiriin kuuluvaa aineistoa tai viestintää, jonka hankkimista hakeva viranomainen uskoo sisältävän luottamuksellista journalistista aineistoa, ja kun määräyksen tarkoituksena on yksilöidä tai vahvistaa journalistisen tiedon lähde.

308

(309)  Vuonna 2016 tutkintavaltuuksista annetun lain 26 §.

309

(310)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 §:n 1 momentti.

310

(311)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 §. Suojatoimia, jotka koskevat tietojen luovuttamista ulkomaiden viranomaisille, täsmennetään tarkemmin käytännesäännöissä: ks. erityisesti Code of Practice on the Interception of Communications, 9.26 kohta ja sitä seuraavat kohdat ja 9.87 kohta, sekä Code of Practice on Equipment Interference, 9.33 kohta ja sitä seuraavat kohdat ja 9.41 kohta (ks. alaviite 278).

311

(312)  Näitä tarkoituksia ovat: turvallisuuspalvelun (Security Service) osalta vakavan rikollisuuden ehkäiseminen tai paljastaminen tai rikosoikeudenkäyntimenettely (vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin a alakohta), tiedustelupalvelun Intelligence Service) osalta kansalliseen turvallisuuteen liittyvät intressit, vakavan rikollisuuden ehkäiseminen tai paljastaminen tai rikosoikeudenkäyntimenettely (vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohta) ja tiedustelupalvelun (GCHQ) rikosoikeudenkäyntimenettely (vuoden 1994 tiedustelupalvelulain 4 §:n 2 momentin a alakohta). Ks. myös vuoden 2018 tietosuojalain selittävät huomautukset, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.

312

(313)  Viestintätietojen määritelmä on vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentissa. Viestintätiedot jaetaan ”tapahtumaa koskeviin tietoihin” (tiedot, joissa yksilöidään tai kuvaillaan jokin tapahtuma, esimerkiksi viittaamalla sen tapahtumapaikkaan tai televiestintäpalveluun, jos tapahtumalla tarkoitetaan yhden tai useamman yksikön osallistumista tiettyyn toimintaan tiettynä ajankohtana) ja ”yksikköä koskeviin tietoihin” a) tiedot, jotka koskevat i) tiettyä yksikköä, ii) televiestintäpalvelun ja jonkin yksikön välistä yhteyttä, tai iii) televiestintäjärjestelmän minkä tahansa osan ja jonkin yksikön välistä yhteyttä, b) tiedot, jotka muodostuvat tiedoista tai joihin sisältyy tietoja, joissa yksilöidään tai kuvaillaan kyseinen yksikkö (esimerkiksi viittaamalla sen sijaintiin), ja c) tiedot, jotka eivät ole tapahtumaa koskevia tietoja).

313

(314)  Tämä johtuu viestintätietojen määritelmästä (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti), jonka mukaan viestintätiedoilla tarkoitetaan teleoperaattorin hallussa olevia tai sen hankkimia tietoja, jotka koskevat joko televiestintäpalvelun käyttäjää ja kyseisen palvelun tarjoamista, tai jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (ks. myös viestintätietoja koskevat käytännesäännöt, saatavilla seuraavassa osoitteessa:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, 2.22–2.33 kohta). Myös teleoperaattorin määritelmän (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 10 momentti) mukaan teleoperaattorilla tarkoitetaan henkilöä, joka tarjoaa tai toimittaa televiestintäpalvelua Yhdistyneessä kuningaskunnassa oleville henkilöille tai jonka hallinnassa oleva tai tarjoama televiestintäjärjestelmä sijaitsee (kokonaan tai osittain) Yhdistyneessä kuningaskunnassa tai jota hallitaan Yhdistyneestä kuningaskunnasta. Näiden määritelmien perusteella on selvää, että vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia velvoitteita ei voida soveltaa teleoperaattoreihin, joiden laitteet eivät ole Yhdistyneessä kuningaskunnassa tai jota ei hallita sieltä käsin ja jotka eivät tarjoa tai toimita palveluja Yhdistyneessä kuningaskunnassa oleville henkilöille (ks. myös viestintätietoja koskevat käytännesäännöt, 2.1 kohta). Jos EU:n tilaajat (sekä EU:ssa että Yhdistyneessä kuningaskunnassa sijaitsevat) käyttävät palveluja Yhdistyneessä kuningaskunnassa, kaikki tämän palvelun tarjoamiseen liittyvä viestintä kerätään suoraan Yhdistyneen kuningaskunnan palveluntarjoajan toimesta sen sijaan, että se siirrettäisiin EU:sta.

314

(315)  Asianomaiset viranomaiset luetellaan vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 4. Niitä ovat muun muassa poliisi, tiedustelupalvelut, eräät ministeriöt ja hallituksen yksiköt, kansallinen rikosvirasto NCA, vero- ja tullivirasto, kilpailu- ja markkinaviranomainen, tietosuojavaltuutettu, ambulanssi-, tulipalo- ja pelastuspalvelut sekä esimerkiksi terveydenhuollosta ja elintarviketurvallisuudesta vastaavat viranomaiset.

315

(316)  Yhdistetyt asiat C-203/15 ja C-698/15, Tele2/Watson, ECLI:EU:C:2016:970.

316

(317)  Ks. 61 §:n 7 kohdan b alakohta (viestintätietojen hankinta) ja 87 §:n 10A momentti (viestintätietojen säilyttäminen).

317

(318)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 6 momentti.

318

(319)  Määräaika lyhennetään kolmeen päivään, kun lupa on annettu kiireellisyyssyistä (vuonna 2016 tutkintavaltuuksista annetun lain 65 §:n 3 momentin A kohta).

319

(320)  Vuonna 2016 tutkintavaltuuksista annetun lain 65 §:n mukaan uusittu lupa on voimassa yhden kuukauden alkuperäisen luvan voimassaolon päättymispäivästä. Henkilö, joka on myöntänyt luvan, voi milloin tahansa peruuttaa sen, jos katsoo, että vaatimukset eivät enää täyty.

320

(321)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 1 momentti. Viestintätietojen hankkimista koskevista luvista vastaava toimisto Office for Communications Data Authorisations (OCDA) hoitaa tätä tehtävää tutkintavaltuuksien valvojan puolesta (ks. Communication Data Codes of Practice, 5.6 kohta).

321

(322)  Hakemus vuonna 2016 tutkintavaltuuksista annetun lain 61 §:n 7 momentin b alakohdan nojalla tehdään ”soveltuvaa rikoksesta johtuvaa tarkoitusta” varten, mikä tarkoittaa lain 61 §:n 7 momentin A kohdan mukaan seuraavaa: ”kun viestintätiedot ovat kokonaan tai osittain tapahtumaa koskevia tietoja, ja tarkoituksena on vakavan rikoksen ehkäiseminen tai paljastaminen; kaikissa muissa tapauksissa rikoksen ehkäiseminen tai paljastaminen tai epäjärjestyksen ehkäiseminen”.

322

(323)  Viestintätietoja koskevissa käytännesäännöissä täsmennetään, että silloin kun kansalliseen turvallisuuteen liittyvä hakemus voidaan tehdä joko 60A tai 61 §:n nojalla, viranomaiset tekevät päätöksen siitä, kumpi hyväksymismenettely soveltuu kyseiseen tapaukseen paremmin. Viranomaisilla olisi oltava selkeät ohjeet siitä, milloin on asianmukaista antaa lupapäätöksen tekeminen nimetyn johtavan virkamiehen tehtäväksi” (Code of Practice on Communication Data, 5.19 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf).

323

(324)  Vuonna 2016 tutkintavaltuuksista annetun lain 70 §:n 3 momentissa on ”nimetyn virkamiehen” määritelmä, joka vaihtelee sen mukaan, mistä viranomaisesta on kyse (ks. lain 4 §).

324

(325)  Lisätietoja nimetyn johtavan virkamiehen riippumattomuudesta, ks. Communication Data Code of practice, 4.12–4.17 kohta, ks. alaviite 323).

325

(326)  Perusteet ovat seuraavat: i) kansallinen turvallisuus; ii) rikoksen estäminen ja paljastaminen tai epäjärjestyksen ehkäiseminen (jos on kyse ”tapahtumaa koskevista tiedoista”, vain vakavan rikoksen yhteydessä); iii) Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen, jos sillä on merkitystä myös kansalliselle turvallisuudelle; iv) yleinen turvallisuus; v) kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttäminen tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittaminen; vi) osallistuminen tuomioistuimen tekemää virhettä koskeviin tutkimuksiin tai vii) kuolleen henkilön tunnistaminen tai sellaisen henkilön tunnistaminen, joka ei tietystä syystä kykene ilmaisemaan henkilöllisyyttään (vuonna 2016 tutkintavaltuuksista annetun lain 61 §:n 7 momentti).

326

(327)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 1 momentin b alakohta.

327

(328)  The Code of Practice on Communications Data, 3.3 kohta ja sitä seuraavat kohdat, ks. alaviite 323.

328

(329)  The Code of Practice on Communications Data, 3.13 kohta, ks. alaviite 323.

329

(330)  Vuonna 2016 tutkintavaltuuksista annetun lain 60 §:n 1 momentin c alakohta.

330

(331)  Näissä tiedoissa on oltava: i) selvitys siitä, miten tietojen hankkiminen edistää kyseistä tutkimusta tai operaatiota; ii) selvitys pyynnössä mainittujen ajanjaksojen merkityksestä ja siitä, miten ne ovat oikeassa suhteessa tutkittavaan tapahtumaan; ii) selvitys siitä, miten yksityisyyteen puuttumisen taso on perusteltavissa, kun otetaan huomioon tiedoista tutkimuksille koituva hyöty (näissä perusteluissa olisi otettava huomioon myös se, voitaisiinko tavoitteen saavuttamiseksi tehdä tutkimuksia, joilla yksityisyyteen puututtaisiin vähemmän); iv) selvitys asianomaisen yksilön oikeuksista (erityisesti oikeudesta yksityisyyteen ja tarvittaessa ilmaisunvapauteen), ja pohdintaa näihin oikeuksiin puuttumisen vuoksi yksilölle aiheutuvasta haitasta suhteessa tutkinnalle koituvaan hyötyyn; v) tietoja mahdollisista sivuvaikutuksista ja siitä, miten pyynnössä mainitut ajanjaksot vaikuttavat niiden aiheutumiseen (Code of Practice on Communications Data, 3.22–3.26 kohta, ks. alaviite 323).

331

(332)  Ks. alaviite 313.

332

(333)  Kun pyyntö koskee viestintätietoja, jotka merkitsevät laajempaa puuttumista yksityisyyteen (esimerkiksi tapahtumia koskevia tietoja), käytännesäännöissä täsmennetään, että on suositeltavaa hankkia ensin yksikköä koskevat tiedot tai hankkia suoraan tapahtumia koskevat tiedot erityisen kiireellisissä rajoitetuissa tapauksissa (Code of Practice on Communications Data, 6.10–6.14 kohta, ks. alaviite 323).

333

(334)  The Code of Practice on Communications Data, 8.8–8.44 kohta, ks. alaviite 323.

334

(335)  Käytännesäännöissä täsmennetään, että luvan myöntäjän on tällaisia hakemuksia käsitellessään noudatettava erityistä varovaisuutta ja otettava huomioon muun muassa se, voiko tällaisista hakemuksista aiheutua tahattomia seurauksia ja edistääkö hakemus todella yleistä etua (Code of Practice on communications data, 8.8 kohta). Tämäntyyppisistä hakemuksista on lisäksi pidettävä kirjaa, ja ne olisi seuraavan tarkastuksen yhteydessä tuotava erityisesti tutkintavaltuuksien valvojan huomioon (Code of Practice on Communications Data, 8.10 kohta, ks. alaviite 323).

335

(336)  Vuonna 2016 tutkintavaltuuksista annetun lain 87–89 §.

336

(337)  Teleoperaattori, jolle säilyttämismääräys annetaan, voi pyytää sen antaneelta Secretary of Statelta luvan uudelleentarkastelua vuonna 2016 tutkintavaltuuksista annetun lain 90 §:n nojalla.

337

(338)  Vuonna 2016 tutkintavaltuuksista annetun lain 87 §:n 2 momentin a alakohdan nojalla säilyttämismääräys voi liittyä ”tiettyyn operaattoriin tai mihin tahansa operaattorin kuvaukseen”.

338

(339)  Perusteet ovat i) kansallinen turvallisuus; ii) ”soveltuva rikoksesta johtuva tarkoitus” (kuten se määritellään vuonna 2016 tutkintavaltuuksista annetun lain 87 §:n 10A kohdassa); iii) Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen, jos sillä on merkitystä myös kansalliselle turvallisuudelle; iv) yleinen turvallisuus; v) kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttäminen tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittaminen; vi) osallistuminen tuomioistuimen tekemää virhettä koskeviin tutkimuksiin (vuonna 2016 tutkintavaltuuksista annetun lain 87 §).

339

(340)  Vuonna 2016 tutkintavaltuuksista annetun lain 87 §. Lisäksi säilyttämismääräyksen oikeasuhteisuuden arvioinnissa on asiaa koskevien käytännesääntöjen mukaan sovellettava vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momenttia ja arvioitava erityisesti sitä, voitaisiinko määräyksellä tavoiteltu tulos kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla. Viestintätietoja koskevissa käytännesäännöissä täsmennetään, että samoin kuin viestintätietojen hankkimisen oikeasuhteisuuden arvioinnissa, myös tässä yhteydessä on otettava huomioon yhtäältä se, missä määrin toimenpiteellä puututaan yksilön yksityisyydensuojaan, ja toisaalta tutkinnalle koituva hyöty (Code of Practice on Communications Data, kohta 16.3, ks. alaviite 323).

340

(341)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 88 §.

341

(342)  Hyöty voi olla jo toteutunut tai ennustettavissa, ja sen on liityttävä niihin lakisääteisiin tarkoituksiin, joiden vuoksi tietoja voidaan säilyttää (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).

342

(343)  Tätä varten on määritettävä, onko säilyttämismääräyksen koko maantieteellinen kattavuus tarpeellinen ja oikeasuhteinen ja onko tiettyjen henkilöiden kuvausten sisällyttäminen määräykseen tai pois jättäminen tarpeen ja oikeasuhteista (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).

343

(344)  Tämän avulla Secretary of Staten on helpompi ottaa huomioon sekä asiakkaiden yksityisyyteen puuttumisen taso, mutta myös säilytettävien tietojen ansiosta todennäköisesti koituva hyöty (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).

344

(345)  Vuonna 2016 tutkintavaltuuksista annetun lain 88 §.

345

(346)  Vuonna 2016 tutkintavaltuuksista annetun lain 89 §.

346

(347)  Vuonna 2016 tutkintavaltuuksista annetun lain 135 §:n 1 kohdan ja 198 §:n 1 kohdan nojalla ”laitteella” tarkoitetaan laitteita, jotka tuottavat sähkömagneettista, akustista tai muuta säteilyä ja laitteita, joita voidaan käyttää yhdessä tällaisten laitteiden kanssa.

347

(348)  Laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, 2.2 kohta.

348

(349)  Laitetiedoilla tarkoitetaan vuonna 2016 tutkintavaltuuksista annetun lain 100 §:ssä olevan määritelmän mukaan järjestelmätietoja ja a) tietoja, jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (joko lähettäjän toimesta tai muulla tavoin) tai mitä tahansa muuta tiedon osaa; b) tietoja, jotka voidaan loogisesti erottaa muusta viestinnästä tai muusta tiedon osasta, ja c) tietoja, jotka tällä tavoin erotettuina eivät paljastaisi mitään siitä, mitä voitaisiin kohtuudella pitää kyseisen viestinnän tai tiedon osan sisältönä (jos sellaista on).

349

(350)  Määräystä koskevan vaatimuksen pakollisuudelle asetetaan lisäksi vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa edellytykseksi se, että tiedustelupalvelun toiminta muodostaisi yhden tai useamman vuonna 1990 tietokoneiden väärinkäytöstä annetun lain (Computer Misuse Act 1990) 1–3A §:ssä tarkoitetun rikoksen. Tämä edellytys täyttyykin valtaosassa tapauksista, ks. Code of Practice on Equipment Interference, 3.32 ja 3.6–3.9 kohta). Vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 2 momentin nojalla ”Brittein saariin liittyvä yhteys” on olemassa, jos a) mikä tahansa osa toiminnasta tapahtuisi Brittein saarilla (tutkinnan kohteena olevan laitteen sijainnista riippumatta), b) tiedustelupalvelu uskoo, että tutkinnan kohteena oleva laite on Brittein saarilla jonakin ajankohtana tutkinnan aikana, tai c) tutkinnan tarkoituksena on saada i) viestintää, jotka on lähettänyt henkilö tai jotka on lähetetty henkilölle, joka on tai jonka tiedustelupalvelu uskoo olevan parhaillaan Brittein saarilla, ii) yksityisiä tietoja henkilöstä, joka on tai jonka tiedustelupalvelu uskoo olevan parhaillaan Brittein saarilla, tai iii) laitetietoja, jotka ovat osa i) tai ii) alakohdan soveltamisalaan kuuluvaa viestintää tai yksityisiä tietoja tai liittyvät niihin.

350

(351)  Kattavuuden vuoksi olisi todettava, että myös silloin kun ”Brittein saariin liittyvää yhteyttä” ei ole, jolloin laitetutkinta ei edellytä vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa säädettyä pakollista määräystä, tiedustelupalvelun olisi periaatteessa hankittava laajamittaista laitetutkintaa koskeva määräys (bulk equipment interference warrant), jos se harkitsee tällaisen toiminnan aloittamista ja määräyksen saaminen on mahdollista (ks. Code of Practice on Equipment Interference, 3.24 kohta). Myös silloin kun laitetutkintaa koskevaa määräystä ei oikeudellisesti vaadita vuonna 2016 tutkintavaltuuksista annetun lain nojalla eikä sitä ole myöskään hankittu, tiedustelupalvelujen toimiin sovelletaan vuoden 1994 tiedustelupalvelulain (Intelligence Services Act 1994) 7 §:n nojalla useita edellytyksiä ja rajoituksia. Näitä ovat muun muassa vaatimus Secretary of Staten antamasta luvasta; tämän on oltava vakuuttunut siitä, että mikään suunnitelluista toimista ei ylitä sitä, mikä on tarpeen tiedustelupalvelun tehtävien asianmukaista hoitamista varten.

351

(352)  Vuonna 2016 tutkintavaltuuksista annetun lain 115 §:n mukaan tutkintamääräyksessä on oltava ”kohteena” olevien henkilöiden, organisaatioiden, paikkojen tai henkilöryhmien nimi tai niiden kuvaus, minkä lisäksi siinä on kuvailtava tutkinnan luonne ja toiminta, johon laitetta käytetään. Siinä on myös kuvailtava laitteen tyyppi ja se, mitä toimia henkilö, jolle määräys on osoitettu, saa toteuttaa.

352

(353)  Ks. myös Code of Practice on Equipment Interference, 5.7 kohta, ks. alaviite 348.

353

(354)  Kansalliset turvallisuusvirastot voivat hakea laitetutkintaa koskevaa määräystä, kun se on tarpeen kansallisen turvallisuuden vuoksi, vakavan rikoksen paljastamiseksi ja/tai taloudellisen hyvinvoinnin turvaamiseksi Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle (vuonna 2016 tutkintavaltuuksista annetun lain 102–103 §). Virastosta riippuen laitetutkintamääräystä voidaan pyytää lainvalvontatarkoituksessa, kun se on tarpeen vakavan rikoksen ehkäisemiseksi tai paljastamiseksi tai kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttämiseksi tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittamiseksi (vuonna 2016 tutkintavaltuuksista annetun lain 106 §:n 1 ja 3 momentti).

354

(355)  Vuonna 2016 tutkintavaltuuksista annetun lain 102 §:n 1 momentti.

355

(356)  Vuonna 2016 tutkintavaltuuksista annetun lain 129–131 §.

356

(357)  Vuonna 2016 tutkintavaltuuksista annetun lain 109 §.

357

(358)  Vuonna 2016 tutkintavaltuuksista annetun lain 109 §:n 4 momentti.

358

(359)  Vuoden 2016 tietosuojalain 110 §:n 3 momentin b kohta. Laitetutkintaa koskevien käytännesääntöjen 5.67 kohdan nojalla asian kiireellisyys määräytyy sen mukaan, olisiko operatiivisten tai tutkintaan liittyvien tarpeiden täyttämiseen käytettävissä olevan ajan puitteissa kohtuudella mahdollista pyytää määräykselle oikeusvaltuutetun hyväksyntää. Kiireellisten määräysten tulisi kuulua jompaankumpaan seuraavista luokista: i) välitön hengenvaara tai vakavan haitan uhka – esimerkiksi jos henkilö on siepattu ja hänen arvioidaan olevan välittömässä hengenvaarassa; tai ii) kyseessä on ajallisesti rajoitettu tilaisuus tiedustelutiedon keräämiseen tai tutkinnan suorittamiseen – esimerkiksi A-luokan huumausainelähetys on saapumassa Yhdistyneeseen kuningaskuntaan ja lainvalvontaviranomaiset haluavat seurata vakavan rikoksen tekijöitä pidättääkseen heidät. Ks. alaviite 348.

359

(360)  Vuonna 2016 tutkintavaltuuksista annetun lain 108 §.

360

(361)  Riippumaton terrorismilainsäädännön arvioija lordi David Anderson toteaa vuonna 2016 tutkintavaltuuksista annetun lain hyväksymistä varten antamassaan laajamittaisia tutkintavaltuuksia koskevassa raportissa, että ”
  pitäisi olla selvää, että laajamittainen tietojen kerääminen ja säilyttäminen ei ole sama asia kuin nk. joukkovalvonta. Kaikkiin asianmukaisiin oikeusjärjestelmiin sisältyy rajoituksia ja suojatoimia, joiden tarkoituksena on nimenomaan varmistaa, että pääsyä arkaluontoisiin tietoihin (...) ei myönnetä umpimähkään tai aiheettomasti.
  Tämä lakiesitys sisältää juuri tällaisia rajoituksia ja suojatoimia

  ”. Lordi David Anderson, Report of the bulk power review, elokuu 2016, kohta 1.9 (alleviivaus lisätty), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF

361

pitäisi olla selvää, että laajamittainen tietojen kerääminen ja säilyttäminen ei ole sama asia kuin nk. joukkovalvonta. Kaikkiin asianmukaisiin oikeusjärjestelmiin sisältyy rajoituksia ja suojatoimia, joiden tarkoituksena on nimenomaan varmistaa, että pääsyä arkaluontoisiin tietoihin (...) ei myönnetä umpimähkään tai aiheettomasti.

Tämä lakiesitys sisältää juuri tällaisia rajoituksia ja suojatoimia

”.

,

(362)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentti. Ks. esim. viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt (Code of Practice on Bulk Acquisition of Communications Data), 4.11 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf

362

(363)  
  ”Brittein saariin” kuuluvat Yhdistynyt kuningaskunta, Kanaalisaaret ja Man-saari, ks. määritelmä vuoden 1978 laintulkintaa koskevan lain (Interpretation Act 1978) liitteessä 1, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1.

363

(364)  
  ”Ulkomaihin liittyvällä viestinnällä” tarkoitetaan vuonna 2016 tutkintavaltuuksista annetun lain 136 §:n mukaan: i) viestintää, jonka lähettäjät ovat Brittein saarten ulkopuolella, tai ii) jonka vastaanottajat ovat Brittein saarten ulkopuolella. Yhdistyneen kuningaskunnan viranomaiset ovat vahvistaneet, että järjestelmä kattaa myös viestinnän kahden sellaisen henkilön välillä, jotka ovat kumpikin Brittein saarten ulkopuolella. EIT (suuri jaosto) on katsonut asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 279 edellä), kohta 376, että vastaava rajaus (”ulkoinen viestintä”), joka koski viestinnän sieppaamista laajamittaisen telekuuntelun avulla vuonna 2000 tutkintavaltuuksista annetun asetuksen nojalla, oli riittävä ja ennakoitavissa.

364

Big Brother Watch and others v United Kingdom

(365)  Vuonna 2016 tutkintavaltuuksista annetun lain 136 §:n 4 momentti. Yhdistyneen kuningaskunnan hallitukselta saadun selvityksen mukaan laajamittaista telekuuntelua voidaan käyttää esimerkiksi Yhdistyneen kuningaskunnan kansalliseen turvallisuuteen kohdistuvien, aiemmin tuntemattomien uhkien tunnistamiseen, suodattamalla ja analysoimalla telekuuntelun avulla hankittua aineistoa tiedustelun kannalta arvokkaan viestinnän yksilöimiseksi (UK Explanatory Framework, H jakso: National security, s. 27–28, ks. alaviite 29). Yhdistyneen kuningaskunnan viranomaisten antaman selvityksen mukaan tällaisten välineiden avulla voidaan löytää tunnettujen kohdehenkilöiden välisiä yhteyksiä ja etsiä jälkiä sellaisten henkilöiden toiminnasta, joita ei vielä tunneta mutta jotka nousevat esiin tutkinnan aikana, sekä tunnistaa toimintamalleja, jotka voivat viitata Yhdistyneeseen kuningaskuntaan kohdistuvaan uhkaan.

365

(366)  Tiedustelupalvelu tarvitsee laitetutkintaan vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentin nojalla luvan, joka annetaan määräyksellä (warrant) kyseisen lain nojalla edellyttäen, että asialla on ”Brittein saariin liittyvä yhteys”, ks. johdanto-osan (211) kappale.

366

warrant

(367)  Vuonna 2016 tutkintavaltuuksista annetun lain 176 §. Laajamittaista laitetutkintaa koskevalla määräyksellä ei voida antaa lupaa toimintaan, joka katsottaisiin laittomaksi telekuunteluksi (ellei sitä tehtäisi lakiin perustuvien valtuuksien nojalla), paitsi jos se kohdistuu tallennettuun viestintään. Tietosuojan riittävyyttä koskevien perustelujen (UK Explanatory Framework) mukaan näin hankittuja tietoja voidaan tarvita kohdehenkilöiden yksilöintiin, ja toiminta hyväksyttäisiin yleensä suuren mittakaavan operaatioiden yhteydessä (UK Explanatory Framework, section H: National security, s. 28, ks. alaviite 29).

367

(368)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentti ja 178 §:n 1 momentti.

368

(369)  Vuonna 2016 tietosuojalain 138 §:n 2 momentti ja 178 §:n 2 momentti.

369

(370)  Yhdistyneen kuningaskunnan viranomaisten mukaan operatiivisen tarkoituksen nojalla voidaan esimerkiksi rajoittaa toimenpiteen soveltamisala koskemaan tietyllä maantieteellisellä alueella esiintyvää uhkaa.

370

(371)  Vuonna 2016 tutkintavaltuuksista annetun lain 142 §:n 4–10 momentti.

371

(372)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), 167 kohta.

372

Liberty

(373)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä edellytetään, että a) valinta tutkintaa varten tehdään ainoastaan määräyksessä eriteltyjä operatiivisia tarkoituksia varten, b) valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen, ja c) valinta ei riko vaatimusta, jonka mukaan on kiellettyä valita aineistoa ja yksilöidä viestejä, jotka on lähetetty tai jotka on osoitettu henkilöille, joiden tiedetään olevan Brittein saarilla kyseisenä ajankohtana.

373

(374)  Ks. Code of Practice on Interception of Communications, 6.6 kohta, ks. alaviite 278.

374

(375)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentin b ja c alakohta ja 178 §:n b ja c alakohta.

375

(376)  Ks. Code of Practice on Interception of Communications, 4.10 kohta, ks. alaviite 278.

376

(377)  Code of Practice on Interception of Communications, 6.20 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, 6.13 kohta, ks. alaviite 348.

377

(378)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentin g alakohta ja 178 §:n 1 momentin f alakohta. Euroopan ihmisoikeustuomioistuin on todennut, että erityisesti riippumattoman elimen antama ennakkolupa on tärkeä suojatoimi väärinkäytöksiä vastaan laajamittaisen kuuntelun yhteydessä. EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 269 edellä), 351 ja 352 kohta. On tärkeää muistaa, että mainittu tuomio koski aiempaa oikeudellista kehystä (vuonna 2000 tutkintavaltuuksista annettu asetus), jossa ei vielä ollut kaikkia niitä suojatoimia, jotka otettiin käyttöön vuonna 2016 tutkintavaltuuksista annetulla lailla (mm. riippumattoman oikeusvaltuutetun ennakkohyväksyntä).

378

Big Brother Watch and others v United Kingdom

(379)  Vuonna 2016 tutkintavaltuuksista annetun lain 159 §:n 3 ja 4 momentti.

379

(380)  Vuonna 2016 tutkintavaltuuksista annetun lain 143–146 § ja 184–188 §. Jos muutos on kiireellinen, Secretary of State voi tehdä sen ilman hyväksyntää, mutta hänen on ilmoitettava siitä oikeusvaltuutetulle, jonka on tämän jälkeen joko hyväksyttävä tai hylättävä muutos (vuonna 2016 tutkintavaltuuksista annetun lain 147 §). Määräys on peruttava, jos se ei ole enää tarpeellinen tai oikeasuhteinen tai jos sen nojalla saadun sisällön, metadatan tai muun datan tutkinta ei ole enää tarpeen mitään määräyksessä mainittua operatiivista tarkoitusta varten (vuonna 2016 tutkintavaltuuksista annetun lain 148 ja 189 §).

380

(381)  Code of Practice on Interception of Communications, 6.44–6.47 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, 6.48 kohta, ks. alaviite 348.

381

(382)  Vuonna 2016 tutkintavaltuuksista annetun lain 156 §.

382

(383)  Vuonna 2016 tutkintavaltuuksista annetun lain 150 ja 191 §.

383

(384)  EIT (suuri jaosto) on asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 268 edellä) hyväksynyt vuonna 2000 tutkintavaltuuksista annettuun asetukseen perustuvan täydentävien suojatoimien järjestelmän, joka koskee tietojen säilyttämistä, niihin pääsyä ja niiden luovuttamista, ks. 392–394 ja 402–405 kohta. Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan sama suojatoimien järjestelmä.

384

Big Brother Watch and others v United Kingdom

(385)  Vuonna 2016 tutkintavaltuuksista annetun lain 151 ja 192 §.

385

(386)  Lisätietoja näistä tarkoituksista, ks. alaviite 312.

386

(387)  Telekuuntelua koskevissa käytännesäännöissä täsmennetään tältä osin, että näissä käsittelyjärjestelmissä käsiteltävä data on saatu kyseisen viranomaisen valikoimien tietoliikenneyhteyksien tai -signaalien avulla. Linkkien ja signaalien kautta kulkevaan tietoliikenteeseen sovelletaan jonkinasteista suodatusta, jonka avulla siitä valikoidaan ne viestityypit, joilla arvioidaan olevan tiedusteluarvoa. Suodatusperiaatteet vaihtelevat eri käsittelyjärjestelmien välillä, ja niiden soveltamisen seurauksena huomattava osa näiden linkkien ja signaalien kautta kulkevista viesteistä jätetään automaattisesti huomiotta, koska niillä ei katsota olevan tiedusteluarvoa. Tämän jälkeen voidaan tehdä lisää monimutkaisia hakuja, jotta saadaan esiin ne tiedustelun kannalta kiinnostavimmat viestit, jotka liittyvät viraston lakisääteisiin tehtäviin. Nämä viestit voidaan sitten valita tutkittaviksi yhtä tai useampaa määräyksessä mainittua operatiivista tarkoitusta varten, jos tarpeellisuutta ja oikeasuhteisuutta koskevat edellytykset täyttyvät. Valtuutetut henkilöt voivat myös valikoida tutkittavaksi vain suodattamatonta aineistoa (Codes of practice on interception of communications, 6.6 kohta, ks. alaviite 278).

387

(388)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 1 momentin a ja b alakohta, joiden mukaan kumpaakin tietotyyppiä (siepattu sisältö ja toissijainen data) saa tutkia vain yksilöityä tarkoitusta varten, ja tutkinnan on oltava kaikissa olosuhteissa tarpeen ja oikeasuhteista.

388

(389)  Tällainen määräys ei ole tarpeen, jos Brittein saarilla oleviin yksilöihin liittyvät tiedot ovat ”toissijaista dataa” (ks. vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 1 momentin c alakohta).

389

(390)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §.

390

(391)  Vuonna 2016 tutkintavaltuuksista annetun lain 155 ja 196 §.

391

(392)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §.

392

(393)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §.

393

(394)  Code of Practice on Interception of Communications, 6.74 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, kohta 6.78, ks. alaviite 348.

394

(395)  Tutkintavaltuuksien valvojan toimisto on perustettu vuonna 2016 tutkintavaltuuksista annetun lain 238 §:n nojalla, jotta valvojalla olisi käytettävissä tehtäviensä suorittamiseksi tarvittava henkilöstö, tilat ja muut välineet ja palvelut (ks. johdanto-osan (251) kappale).

395

(396)  Tutkintavaltuuksien valvojan vuosikertomuksessa 2018 täsmennetään, että tiedustelupalvelun analyytikoiden kirjaamat perustelut täyttivät asetetut vaatimukset, ja analyytikot perustelivat suodattamattomaan aineistoon tehtyjen hakujen oikeasuhteisuuden riittävän yksityiskohtaisesti. Annual Report of the Investigatory Powers Commissioner 2018, 6.22 kohta, ks. alaviite 464.

396

(397)  Annual Report of the Investigatory Powers Commissioner 2019, 7.6 kohta, ks. alaviite 463.

397

(398)  Annual Report of the Investigatory Powers Commissioner 2019, 10.22 kohta, ks. alaviite 463.

398

(399)  Tämä johtuu viestintätietojen määritelmästä (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti), jonka mukaan viestintätiedoilla tarkoitetaan teleoperaattorin hallussa olevia tai sen saamia tietoja, jotka koskevat joko televiestintäpalvelun käyttäjää ja kyseisen palvelun tarjoamiseen, tai jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (ks. myös viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf 2.15–2.22 kohta). Myös teleoperaattorin määritelmän (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 10 momentti) mukaan teleoperaattorilla tarkoitetaan henkilöä, joka tarjoaa tai toimittaa televiestintäpalvelua Yhdistyneessä kuningaskunnassa oleville henkilöille tai jonka hallinnassa oleva tai tarjoama televiestintäjärjestelmä sijaitsee (kokonaan tai osittain) Yhdistyneessä kuningaskunnassa tai jota hallitaan Yhdistyneestä kuningaskunnasta. Näiden määritelmien perusteella on selvää, että vuonna 2016 tutkintavaltuuksista annettuja velvoitteita ei voida soveltaa teleoperaattoreihin, joiden laitteet eivät ole Yhdistyneessä kuningaskunnassa tai jota ei hallita sieltä käsin ja jotka eivät tarjoa tai toimita palveluja Yhdistyneessä kuningaskunnassa oleville henkilöille (ks. myös viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt, 2.2 kohta). Jos EU:n tilaajat (sekä EU:ssa että Yhdistyneessä kuningaskunnassa sijaitsevat) käyttävät palveluja Yhdistyneessä kuningaskunnassa, kaikki tämän palvelun tarjoamiseen liittyvä viestintä kerätään suoraan Yhdistyneen kuningaskunnan palveluntarjoajan toimesta sen sijaan, että se siirrettäisiin EU:sta.

399

(400)  Vuoden 1984 televiestintälain (Telecommunication Act 1984) 94 §:n 1 momentissa säädettiin, että Secretary of State voi antaa yleisiä ohjeita, jos hän katsoo sen olevan tarpeen tai kiireellistä kansallisen turvallisuuden vuoksi (ks. alaviite 451).

400

(401)  Ks. Privacy International, 78 kohta.

401

Privacy International

(402)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 4.11 kohta (ks. alaviite 399414).

402

(403)  Tietojen laajamittaista hankintamääräystä voivat pyytää ainoastaan tiedustelupalvelujen johtajat eli i) turvallisuuspalvelun pääjohtaja; ii) salaisen tiedustelupalvelun päällikkö; tai iii) tiedustelupalvelun johtaja (ks. vuonna 2016 tutkintavaltuuksista annetun lain 158 ja 263 §).

403

(404)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 4.5 kohta (ks. alaviite 399).

404

(405)  Lain 161 §:ssä säädetään, että määräyksessä mainittujen operatiivisten tarkoitusten tulee sisältyä tiedustelupalvelujen johtajien ylläpitämään hyväksyttävien operatiivisten tarkoitusten luetteloon perusteina, joiden nojalla tietojen laajamittaista hankintaa koskevan määräyksen nojalla hankittuja viestintätietoja voidaan valikoida tutkittavaksi.

405

(406)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 6.6 kohta (ks. alaviite 399).

406

(407)  Vuonna 2016 tutkintavaltuuksista annetun lain 172 §:ssä edellytetään, että laajamittaista hankintaa koskevan määräyksen nojalla saatujen viestintätietojen suodattamista ja valikointia varten on otettava käyttöön erityiset suojatoimet. Lisäksi säädetään, että tietojen tutkiminen tietoisesti näitä suojatoimia rikkoen on rikos (vuonna 2016 tutkintavaltuuksista annetun lain 173 §).

407

(408)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §.

408

(409)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §:n 9 momentti.

409

(410)  Vuonna 2016 tutkintavaltuuksista annetun lain 162 §.

410

(411)  Vuonna 2016 tutkintavaltuuksista annetun lain 163 §.

411

(412)  Vuonna 2016 tutkintavaltuuksista annetun lain 164–166 §.

412

(413)  Vuonna 2016 tutkintavaltuuksista annetun lain 159 §.

413

(414)  IPCO Annual Report 2019, 8.6 kohta, ks. alaviite 463.

414

(415)  IPCO Annual Report 2019, 10.4 kohta, ks. alaviite 463.

415

(416)  IPCO Annual Report 2019, 8.37 kohta, ks. alaviite 463.

416

(417)  Vuonna 2016 tutkintavaltuuksista annetun lain 200 §.

417

(418)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, s. 34, ks. alaviite 29.

418

(419)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 §.

419

(420)  Tiedustelupalvelujen toimesta tapahtuvaa laajojen henkilötietojoukkojen säilyttämistä ja käyttöä koskevat käytännesäännöt (Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets), 4.7 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf

420

(421)  Vuonna 2016 tutkintavaltuuksista annetun lain 205 §.

421

(422)  Esimerkiksi arkaluontoiset henkilötiedot, ks. vuoden 2016 lain 202 §, ja Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 4.21 ja 4.12 kohta, ks. alaviite 469.

422

(423)  Secretary of Staten on käsiteltävä yksilöllisesti kaikki hakemukset, jotka koskevat tiettyä laajaa henkilötietojoukkoa koskevan määräyksen (specific BPD warrant) antamista. Kun tiedustelupalvelu hakee tällaista määräystä, sen on vuoden 2016 lain 205 §:n nojalla esitettävä hakemuksessa yksityiskohtainen selvitys kyseisen aineiston luonteesta ja laajuudesta ja luettelo niistä operatiivisista tarkoituksista, joita varten tietoja halutaan tutkia (silloin kun määräystä haetaan sekä tietojen säilyttämistä että niiden tutkimista varten eikä ainoastaan säilyttämistä varten). Luokkakohtaista laajaa henkilötietojoukkoa koskevan määräyksen (class BPD warrant) antamista varten Secretary of State sen sijaan tarkastelee kyseistä datajoukkoluokkaa yhteisesti.

423

(424)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 ja 205 §.

424

(425)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 §.

425

(426)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 ja 205 §.

426

(427)  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 5.2 kohta, ks. alaviite 420.

427

(428)  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 8.1–8.15 kohta, ks. alaviite 420.

428

(429)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, s. 34, ks. alaviite 29.

429

(430)  Vuoden 2018 tietosuojalain 87 §:n 1 momentti.

430

(431)  Vuoden 2018 tietosuojalain 87 §:n 3 momentti. Vaikka rekisterinpitäjät voidaan tietosuojalain 110 §:n nojalla vapauttaa tämän periaatteen noudattamisesta siltä osin kuin vapautus on tarpeen kansallisen turvallisuuden takaamiseksi, tällaista vapauttamista on arvioitava tapauskohtaisesti ja siihen voidaan vedota vai siltä osin kuin tietyn säännöksen soveltamisella olisi kielteisiä vaikutuksia kansalliseen turvallisuuteen (ks. johdanto-osan (132) kappale). Yhdistyneen kuningaskunnan tiedustelupalvelujen kansallista turvallisuutta koskevat todistukset (saatavilla seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) eivät kata vuoden 2018 tietosuojalain 87 §:n 3 momenttia. Koska alkuperäisestä tarkoituksesta poikkeavaan käsittelyyn on oltava laissa säädetty lupa, tiedustelupalveluilla on lisäksi oltava selkeä oikeusperusta myöhempää käsittelyä varten.

431

(432)  Lisätietoja näistä tarkoituksista, ks. alaviite 312.

432

(433)  Ks. alaviite 312.

433

(434)  Tiedustelupalvelujen suorittamaa tietojenkäsittelyä koskevat tietosuojavaltuutetun ohjeet (ks. alaviite 161).

434

(435)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 §.

435

(436)  Vuonna 2016 tutkintavaltuuksista annetun lain 130 §.

436

(437)  Vuonna 2016 tutkintavaltuuksista annetun lain 151 §.

437

(438)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §:n 9 momentti.

438

(439)  Vuonna 2016 tutkintavaltuuksista annetun lain 192 §.

439

(440)  Järjestelyjen tulee sisältää toimenpiteet, joilla varmistetaan, että kaikkia aineistosta tehtyjä jäljennöksiä säilytetään turvallisesti koko sen ajan, kun niitä säilytetään. Määräyksen nojalla hankittu aineisto ja kaikki siitä tehdyt jäljennökset on hävitettävä heti kun niiden säilyttämiselle ei ole enää perusteltua syytä (ks. vuonna 2016 tutkintavaltuuksista annetun lain 150 §:n 2 ja 5 momentti ja 151 §:n 2 momentti). Huomattakoon, että vastaavat suojatoimet, jotka perustuivat aiempaan oikeuskehykseen (vuonna 2000 tutkintavaltuuksista annettu asetus), on todettu Euroopan ihmisoikeustuomioistuimen vaatimuksia vastaaviksi tilanteessa, jossa laajamittaisella telekuuntelulla hankittua aineistoa jaetaan ulkomaiden tai kansainvälisten järjestöjen kanssa (EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 279 edellä), 362 ja 399 kohta).

440

Big Brother Watch and others v United Kingdom

(441)  Vuoden 2018 tietosuojalain 116 §.

441

(442)  Vuoden 2018 tietosuojalain liitteessä 13 olevan 2 kohdan mukaan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet vuoden 2018 tietosuojalain 4 osan 2 luvun säännöksiä (käsittelyperiaatteet), vuoden 2018 tietosuojalain 4 osan säännöstä, jolla rekisteröidylle annetaan oikeuksia, vuoden 2018 tietosuojalain 108 §:n mukaista velvoitetta ilmoittaa henkilötietojen tietoturvaloukkauksesta tietosuojavaltuutetulle ja vuoden 2018 tietosuojalain 109 §:ssä vahvistettuja periaatteita, jotka koskevat henkilötietojen siirtoa kolmansiin maihin, ihmisoikeussopimuksen ulkopuolisiin maihin ja kansainvälisille järjestöille (lisätietoja täytäntöön- ja seuraamismääräyksestä, ks. johdanto-osan (92) kappale).

442

(443)  Vuoden 2018 tietosuojalain 147 §:n 6 momentin mukaan tietosuojavaltuutettu ei voi antaa arviointimääräystä vuoden 2000 tiedonvapauslain 23 §:n 3 momentissa tarkoitetulle elimelle. Näihin kuuluvat turvallisuuspalvelu (MI5), salainen tiedustelupalvelu (MI6) ja tiedustelupalvelu (GCHQ).

443

(444)  Säännökset, joihin voidaan soveltaa poikkeusta, ovat seuraavat: 108 § (henkilötietojen tietoturvaloukkauksesta ilmoittaminen tietosuojavaltuutetulle), 119 § (kansainvälisten velvoitteiden mukainen tarkastus); 142–154 § ja liite 15 (tietosuojavaltuutetun määräykset sekä maahantulo- ja tarkastusvaltuudet); ja 170–173 § (henkilötietoihin liittyvät rikokset). Lisäksi liitteessä 13 (tietosuojavaltuutetun muut yleiset tehtävät) olevan 1 kohdan a ja g alakohta ja 2 kohta, kun kyse on tiedustelupalvelujen suorittamasta käsittelystä.

444

(445)  Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Community, ks. alaviite 165.

445

(446)  Seitsemässä näistä tapauksista tietosuojavaltuutettu neuvoi valittajaa viemään asian rekisterinpitäjän käsiteltäväksi (näin toimitaan silloin kun valitus olisi alun perin pitänyt tehdä ensin rekisterinpitäjälle eikä tietosuojavaltuutetulle), yhdessä tapauksessa tietosuojavaltuutettu antoi rekisterinpitäjälle yleisiä neuvoja (näin tehdään silloin kun rekisterinpitäjän toiminta ei vaikuta rikkoneen lainsäädäntöä, mutta käytäntöjä muuttamalla olisi voitu välttää asian vieminen tietosuojavaltuutetun käsiteltäväksi), ja muissa 13 tapauksessa tietosuojavaltuutetun toimet eivät olleet tarpeen (näin on silloin kun valituksen aihe kuuluu vuoden 2018 tietosuojalain soveltamisalaan, koska se liittyy henkilötietojen käsittelyyn, mutta annettujen tietojen perusteella ei vaikuta siltä, että rekisterinpitäjä olisi rikkonut lainsäädäntöä).

446

(447)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 7 ja 8 momentin mukaan tutkintavaltuuksien valvoja on yksi oikeusvaltuutetuista, ja heistä käytetään yhteisesti nimitystä ’oikeusvaltuutetut’. Oikeusvaltuutettuja on tällä hetkellä yhteensä 15.

447

(448)  Vuonna 2005 annetun valtiosääntöuudistusta koskevan lain (Constitutional Reform Act 2005) 3 osan 60 §:n 2 momentin mukaan vaatimuksella ”high judicial office” tarkoitetaan tässä yhteydessä toimimista tuomarina jossakin seuraavista tuomioistuimista: i) Korkein oikeus (Supreme Court); ii) muutoksenhakutuomioistuin (Court of Appeal), Englanti ja Wales; iii) High Court, Englanti ja Wales; iv) Court of Session; v) muutoksenhakutuomioistuin (Court of Appeal), Pohjois- Irlanti vi) High Court, Pohjois-Irlanti; tai erityisessä ylähuoneen lainkäyttötehtävässä (Lord of Appeal in Ordinary).

448

(449)  Oikeuslaitoksen riippumattomuus perustuu sopimukseen, ja se on tunnustettu yleisesti vuodesta 1701 lähtien (Act of Settlement 1701).

449

(450)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 3 momentti. Oikeusvaltuutetuilla on oltava myös tutkintavaltuuksien valvojan antama suositus (vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 4 momentin e alakohta).

450

(451)  Vuonna 2016 tutkintavaltuuksista annetun lain 238 §.

451

(452)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 2 momentti.

452

(453)  Erottamisprosessi on samanlainen kuin Yhdistyneen kuningaskunnan muilla tuomareilla (ks. esim. Senior Courts Act 1981, 11 §:n 3 momentti, ja Constitutional Reform Act 2005, 33 §. Myös niissä erottaminen tapahtuu parlamentin molempien kamarien hyväksymällä päätöslauselmalla). Toistaiseksi yhtään oikeusvaltuutettua ei ole erotettu tehtävästään.

453

(454)  
  ’Arm’s-length body’ on organisaatio tai virasto, joka saa valtiolta rahoitusta mutta toimii silti itsenäisesti (määritelmä ja lisätietoja on saatavilla julkisten elinten luokittelua koskevassa hallituksen käsikirjassa Handbook of the Cabinet Office on the classification of Public Bodies, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf, sekä julkishallintoa käsittelevän alahuoneen erityisvaliokunnan (Public Administration Select Committee) istuntokaudella 2014–2015 laatimassa ensimmäisessä raportissa, saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf )

454

Handbook of the Cabinet Office on the classification of Public Bodies

(455)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §:n mukaan oikeusvaltuutetulla on laajat valvontavaltuudet, jotka kattavat myös tiedustelupalvelujen keräämien tietojen säilyttämisen ja luovuttamisen valvonnan.

455

(456)  Oikeusvaltuutetut päättävät Secretary of Staten antamien määräyksien hyväksymisestä itsenäisesti. Jos oikeusvaltuutettu kieltäytyy hyväksymästä määräystä, Secretary of State voi hakea päätökseen muutosta tutkintavaltuuksien valvojalta, joka tekee asiassa lopullisen päätöksen.

456

(457)  Tutkintavaltuuksien valvojan hyväksyntää on pyydettävä aina kun viestintätietoja hankitaan lainvalvontatarkoituksia varten (vuonna 2016 tutkintavaltuuksista annetun lain 60A §). Kun tiedot on hankittava kansalliseen turvallisuuteen liittyviä tarkoituksia varten, luvan tietojen hankintaan voi antaa joko tutkintavaltuuksien valvoja tai nimetty johtava virkamies (ks. vuoden 2016 lain 61 ja 61A § ja johdanto-osan (203) kappale).

457

(458)  Erityisraportoijan Yhdistyneeseen kuningaskuntaan tekemän arviointimatkan loppuraportti (ks. alaviite 281).

458

(459)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §. Oikeusvaltuutettujen tutkinta- ja tiedonsaantivaltuudet esitetään vuonna 2016 tutkintavaltuuksista annetun lain 235 §:ssä.

459

(460)  Tämä koskee myös vuonna 2016 tutkintavaltuuksista annettuun asetukseen perustuvia valvontatoimia, vuoden 1997 poliisilain (Police Act 1997) 3 osassa tarkoitettujen tehtävien hoitamista (tilakuuntelua koskevien toimien hyväksyminen) ja Secretary of Staten hoitamia tehtäviä, joista säädetään vuoden 1994 tiedustelupalvelulain 5–7 §:ssä (mm. tilakuuntelua koskevat määräykset) (vuonna 2016 tutkintavaltuuksista annetun lain 229 §).

460

(461)  Vuonna 2016 tutkintavaltuuksista annetun lain 230 §. Tutkintavaltuuksien valvoja voi myös raportoida pääministerille oma-aloitteisesti mistä tahansa tehtäviinsä liittyvistä asioista. Lisäksi tutkintavaltuuksien valvojan on raportoitava pääministerille tämän pyynnöstä, ja pääministeri voi ohjata tutkintavaltuuksien valvojan tarkastelemaan mitä tahansa tiedustelupalvelujen tehtäviä.

461

(462)  Jotkut kertomuksen osat voidaan jättää julkaisematta, jos niiden julkaiseminen voisi vaikuttaa heikentää kansallista turvallisuutta.

462

(463)  Esimerkiksi vuotta 2019 koskevassa tutkintavaltuuksien valvojan vuosikertomuksessa (6.38 kohdassa) mainitaan MI5:lle annettu suositus, jonka mukaan sen olisi muutettava laajojen henkilötietojoukkojen säilyttämistä koskevia toimintaperiaatteitaan, jotta niissä kiinnitettäisiin huomiota säilyttämisen oikeasuhteisuuteen kaikkien tällaisiin datajoukkoihin sisältyvien kenttien ja kunkin datajoukon osalta erikseen. Vuoden 2018 lopussa tutkintavaltuuksien valvoja ei ollut tyytyväinen suosituksen täytäntöönpanoon, ja vuoden 2019 kertomuksessa todetaan, että MI5 oli ottamassa käyttöön uutta menettelyä tämän vaatimuksen täyttämiseksi. Vuoden 2019 vuosikertomuksessa (8.22 kohdassa) todetaan myös, että tiedustelupalvelulle (GCHQ) oli annettu useita suosituksia, jotka koskivat laajoihin datajoukkoihin tehtyjen hakujen oikeasuhteisuutta koskevaa kirjanpitoa. Kertomuksessa vahvistetaan, että tällä alalla on tapahtunut kehitystä vuoden 2018 lopussa. Tutkintavaltuuksien valvojan toimiston vuosikertomus 2019, saatavilla seuraavassa osoitteessa: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Lisäksi jokaisesta viranomaiseen kohdistuvasta IPCOn tarkastuksesta laaditaan raportti, joka toimitetaan kyseiselle viranomaiselle ja jossa esitetään tarkastuksen perustuvia suosituksia. Kaikkien seuraavien tarkastusten aluksi IPCO tarkastelee edellisen tarkastuksen perusteella annettujen suositusten toteutumista ja kirjaa tarkastusraporttiin, onko ne otettu huomioon vai onko niiden seurantaa jatkettava.

463

(464)  Virhe on ”vakava”, kun tutkintavaltuuksien valvoja katsoo sen aiheuttaneen asianomaiselle merkittävää haittaa tai vahinkoa (vuonna 2016 tutkintavaltuuksista annetun lain 231 §:n 2 momentti). Vuonna 2018 ilmoitettiin 22 virheestä. Näistä kahdeksan katsottiin olevan vakavia, minkä vuoksi niistä ilmoitettiin asianomaiselle henkilölle. Ks. Annual Report of the Investigatory Powers Commissioner Office 2018, liite C (ks. https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). Vuonna 2019 vakaviksi katsottiin 14 virhettä. Ks. Annual Report of the Investigatory Powers Commissioner Office 2019, liite C, ks. alaviite 463.

464

(465)  Mainitussa lainkohdassa täsmennetään myös, että ilmoittaessaan virheestä asianomaiselle henkilölle tutkintavaltuuksien valvojan on annettava samalla tarpeellisiksi katsomansa tiedot näiden oikeuksien käyttämiseksi, ottaen huomioon erityisesti se, missä määrin yksityiskohtien paljastamisesta aiheutuisi haittaa yleiselle edulle tai vakavan rikollisuuden ehkäisemiselle tai paljastamiselle, taloudellisen hyvinvoinnin turvaamiselle Yhdistyneessä kuningaskunnassa taikka jonkin turvallisuuspalvelun tehtävien jatkuvalle hoitamiselle.

465

(466)  Yhdistyneen kuningaskunnan viranomaiset selvityksen mukaan lailla laajennettiin valiokunnan toimeksiantoa niin, että se kattaa koko tiedusteluyhteisön valvonnan myös kolmen tiedusteluviraston ulkopuolella ja mahdollistaa virastojen operatiivisen toiminnan takautuvan valvonnan silloin kun asialla on huomattava kansallinen merkitys.

466

(467)  Vuoden 2013 oikeus- ja turvallisuuslain 2 §.

467

(468)  Memorandum of Understanding between the Prime minister and the ISC, saatavilla seuraavassa osoitteessa: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

468

(469)  Memorandum of Understanding between the Prime minister and the ISC, 14 kohta, ks. alaviite 468.

469

(470)  Secretary of State voi veto-oikeudellaan kieltää tietojen luovuttamisen vain kahdella perusteella: tiedot ovat arkaluontoisia, eikä niitä pitäisi luovuttaa valiokunnalle kansallisen turvallisuuden vuoksi; tai tiedot ovat luonteeltaan sellaisia, että jos Secretary of Statea vaadittaisiin esittämään ne jossakin alahuoneen erityisvaliokunnassa, hän ei katsoisi sitä asianmukaiseksi (myös muista kuin kansalliseen turvallisuuteen liittyvistä syistä) (ks. vuoden 2013 oikeus- ja turvallisuuslain liitteessä 1 oleva 4 kohdan 2 alakohta).

470

(471)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, sivu 43, ks. alaviite 31.

471

(472)  Vuoden 2013 oikeus- ja turvallisuuslain 1 §. Ministerit eivät voi olla valiokunnan jäseniä. Valiokunnan jäsenyys jatkuu jäsenen nimittämisen jälkeen kyseisen parlamentin toimikauden päättymiseen asti. Valiokunnan jäsen voidaan erottaa hänet nimittäneen parlamentin päätöslauselmalla, tai jos hän lakkaa olemasta parlamentin jäsen tai jos hänestä tulee ministeri. Jäsen voi myös erota tehtävästään.

472

(473)  Valiokunnan kertomukset ja lausunnot ovat saatavilla verkossa seuraavassa osoitteessa: https://isc.independent.gov.uk/publications/. Valiokunta antoi vuonna 2015 yksityisyydensuojaa ja turvallisuutta koskevaa lainsäädäntöä käsittelevän kertomuksen ”Privacy and Security: A modern and transparent legal framework” (ks: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), jossa se tarkasteli turvallisuusvirastojen käyttämiä valvontatekniikoita koskevaa lainsäädäntöä ja antoi joukon suosituksia, jotka harkinnan jälkeen sisällytettiin tutkintavaltuuksia koskevaan lakiesitykseen, joka sittemmin vahvistettiin vuoden 2016 laiksi. Hallituksen vastaus yksityisyydensuojaa ja turvallisuutta koskevaan kertomukseen on saatavilla seuraavassa osoitteessa: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

473

(474)  Vuonna 2016 tutkintavaltuuksista annetun lain 142, 161 ja 183 §.

474

(475)  Vuonna 2016 tutkintavaltuuksista annetun lain 234 §.

475

(476)  Vuonna 2016 tutkintavaltuuksista annetun lain 236 §.

476

(477)  Intelligence and Security Committee of Parliament, Report on the draft Investigatory Powers Bill, saatavilla seuraavassa osoitteessa: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf

477

(478)  Nämä yksityisyydensuojaa koskevat yleiset velvoitteet on nyt vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa. Sen mukaan kyseisen lain nojalla toimivan viranomaisen on arvioitava, voitaisiinko pyydetyn määräyksen tai luvan (warrant, authorisation, notice) avulla tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla ja olisiko tällaisen määräyksen tai luvan nojalla hankittavien tietojen suhteen sovellettava korkeampaa suojelutasoa kyseisten tietojen erityisen arkaluontoisuuden vuoksi, minkä lisäksi huomioon olisi otettava televiestintäjärjestelmien ja postipalvelujen eheyttä ja turvallisuutta koskeva yleinen etu ja muut yksityisyydensuojaa koskevaan yleiseen etuun liittyvät näkökohdat.

478

warrant, authorisation, notice

(479)  Valiokunnan vaatimuksesta muun muassa lyhennettiin määräaikaa, jonka ”kiireellinen” määräys saa olla voimassa ennen kuin oikeusvaltuutetun on hyväksyttävä se, viidestä päivästä kolmeen. Lisäksi valiokunnalle annettiin valtuudet saattaa asioita tutkintavaltuuksien valvojan käsiteltäväksi.

479

(480)  Tuomio asiassa Schrems II, 194 kohta.

480

Schrems II

(481)  Tuomio asiassa Schrems II, 197 kohta.

481

Schrems II

(482)  Vuoden 2018 tietosuojalain 94 §:n 11 momentti.

482

(483)  Vuoden 2018 tietosuojalain 99 §:n 4 momentti.

483

(484)  Vuoden 2018 tietosuojalain 100 §:n 1 momentti.

484

(485)  Vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka kärsii vahinkoa jonkin tietosuojalainsäädännössä vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen. Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan kanne tai valitus tiedustelupalveluja vastaan esitetään käytännössä todennäköisesti tutkintavaltuuksia käsittelevälle tuomioistuimelle, jolla on laaja toimivalta ja joka voi myöntää vahingonkorvauksia ja jossa kanteen käsittelystä ei aiheudu kustannuksia.

485

(486)  Vuoden 2018 tietosuojalain 169 §:n 5 momentti.

486

(487)  Asetuksen liitteen 3 nojalla tuomioistuimen jäsenillä on oltava tietty oikeusalan kokemus, ja heidät voidaan nimittää tehtäväänsä uudelleen.

487

(488)  
  ”Address” on parlamentille osoitettava esitys, jonka tarkoituksena on saattaa monarkin tietoon parlamentin näkemys tietystä kysymyksestä.

488

(489)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen liitteessä 3 olevan 1 kohdan 5 alakohta.

489

(490)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 5 momentti.

490

(491)  Ilmaisun ”uskoo” edellytyksistä ks. asia Human Rights Watch v Secretary of State [2016] UKIPTrib15_165-CH, 41 kohta. Kyseisessä asiassa Investigatory Powers Tribunal katsoi Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön viitaten, että sellaisen väitteen todenperäisyyttä, jonka mukaan henkilö uskoo, että jokin tiedustelupalveluista on suorittanut tai että sen puolesta on suoritettu jotakin sellaista vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 5 momentin soveltamisalaan kuuluvaa toimintaa, että kyseinen henkilö voi väittää joutuneensa pelkästä salaisten toimenpiteiden tai salaiset toimenpiteet mahdollistavan lainsäädännön olemassaolosta johtuvan oikeudenloukkauksen uhriksi, voidaan arvioida asianmukaisesti vain jos kyseinen henkilö kykenee osoittamaan, että hänellä on henkilökohtaisen tilanteensa vuoksi voinut olla riski joutua tällaisten toimenpiteiden kohteeksi.

491

Human Rights Watch v Secretary of State

(492)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 4 momentin a alakohta.

492

(493)  Tämä viittaa olosuhteisiin, joissa viranomaisten toiminta perustuu toimivaltaan (esim. viestintätietojen hankintaa koskevaan määräykseen tai lupaan), tai siihen, että kyseisissä olosuhteissa (toimivallasta riippumatta) toiminnan toteuttaminen ei olisi ollut asianmukaista ilman kyseistä toimivaltaa, tai ainakaan ilman että olisi perusteellisesti harkittu, pitäisikö tällaista toimivaltaa hakea. Kun toiminta on toteutettu oikeusvaltuutetun valtuutuksella, sen katsotaan tapahtuneen olosuhteissa, jotka on mahdollista kiistää (vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 7ZA momentti). Sen sijaan muut toimet, jotka on toteutettu lainkäyttötehtävää hoitavan henkilön luvalla, katsotaan toteutetun olosuhteissa, joita ei voida kiistää (asetuksen 65 §:n 7 ja 8 momentti).

493

(494)  Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan se, että valituksen tekemisen kynnys on matala, johtaa siihen, että tuomioistuin katsoo tutkintansa perusteella varsin usein, että valittaja ei itse asiassa ollut milloinkaan viranomaisten tutkinnan kohteena. Investigatory Powers Tribunal -tuomioistuimen tuoreimman tilastoraportin mukaan tuomioistuimelle vuonna 2016 tehdystä 209 valituksesta 52 prosenttia katsottiin aiheettomiksi tai haitantekotarkoituksessa tehdyiksi ja 25 prosenttia päätettiin ratkaisemattomana (”no determination”). Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa joko sitä, että kantelijan suhteen ei käytetty peitetoimintaa tai sitä koskevia valtuuksia tai että tällaisia tekniikoita käytettiin, mutta tuomioistuin katsoi toiminnan olleen lainmukaista. Lisäksi 11 prosenttia tapauksista jäi tuomioistuimen toimivallan ulkopuolelle tai ne peruttiin tai niitä ei voitu ottaa tutkittavaksi, 5 prosenttia katsottiin vanhentuneiksi ja 7 prosenttia ratkaistiin kantelijan eduksi. Statistical Report of the Investigatory Powers Tribunal 2016, saatavilla seuraavassa osoitteessa: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

494

(495)  Ks. asia Human Rights Watch v Secretary of State [2016] UKIPTrib15_165-CH. Kyseisessä asiassa Investigatory Powers Tribunal katsoi Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön viitaten, että sellaisen väitteen todenperäisyyttä, jonka mukaan henkilö uskoo, että jokin tiedustelupalveluista on suorittanut tai että sen puolesta on suoritettu jotakin sellaista vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 5 momentin soveltamisalaan kuuluvaa toimintaa, että kyseinen henkilö voi väittää joutuneensa pelkästä salaisten toimenpiteiden tai salaiset toimenpiteet mahdollistavan lainsäädännön olemassaolosta johtuvan oikeudenloukkauksen uhriksi, voidaan arvioida asianmukaisesti vain jos kyseinen henkilö kykenee osoittamaan, että hänellä on henkilökohtaisen tilanteensa vuoksi voinut olla riski joutua tällaisten toimenpiteiden kohteeksi (ks. Human Rights Watch v Secretary of State, 41 kohta).

495

Human Rights Watch v Secretary of State

Human Rights Watch v Secretary of State

(496)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 3 momentti.

496

(497)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 2 momentti.

497

(498)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 6–7 momentti.

498

(499)  Vuonna 2000 tutkintavaltuuksia koskevan asetuksen 68 §:n 4 momentti.

499

(500)  Esimerkki näiden valtuuksien soveltamisesta on asia Liberty & Others vs. the Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. Siinä Investigatory Powers Tribunal -tuomioistuin ratkaisi asian kahden kantelijan hyväksi. Ensimmäisessä tapauksessa viestintää oli säilytetty sallittua kauemmin ja toisessa tapauksessa tutkintamenettelyä ei ollut noudatettu tiedustelupalvelun (GCHQ) sisäisten sääntöjen mukaisesti. Ensimmäisessä tapauksessa toinen tuomioistuin (Court) määräsi tiedustelupalvelut tuhoamaan tiedot, joita oli säilytetty sallittua kauemmin. Toisessa tapauksessa tuhoamismääräystä ei annettu, koska tietoja ei ollut säilytetty.

500

Liberty & Others vs. the Security Service, SIS, GCHQ

(501)  
  Kennedy, ks. alaviite 129.

501

Kennedy,

(502)  EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 268), 413–415 kohta.

502

Big Brother Watch and others v United Kingdom

(503)  EIT, Big Brother Watch, 425 kohta.

503

Big Brother Watch,

(504)  Kuten esimerkiksi EIT:n suuren jaoston äskettäin antama tuomio asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 279 edellä) osoittaa, tämä mahdollistaa tehokkaan tuomioistuinvalvonnan (joka vastaa EU:n jäsenvaltioihin kohdistuvaa valvontaa), sillä kansainvälinen tuomioistuin valvoo, että viranomaiset noudattavat perusoikeuksia henkilötietojen käsittelyn yhteydessä. Lisäksi Euroopan neuvosto valvoo EIT:n tuomioiden täytäntöönpanoa.

504

Big Brother Watch and others v United Kingdom

(505)  Asiassa Belhaj & others [2017] UKSC 3 ratkaisu, jossa asianajosalaisuuden piiriin kuuluvan aineiston hankkiminen todettiin lainvastaiseksi, perustui suoraan Euroopan ihmisoikeussopimuksen 8 artiklaan (ks. ratkaisu 11).

505

Belhaj & others

(506)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), 170 kohta.

506

Liberty

(507)  Tuomio asiassa Schrems, 65 kohta.

507

Schrems

(508)  Tuomio asiassa Schrems, 65 kohta: ”Tässä yhteydessä kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä, pyytää ennakkoratkaisua päätöksen pätevyyden tutkimiseksi”.

508

Schrems

(509)  Lausunto 14/2021 Euroopan komission ehdotuksesta asetuksen (EU) 2016/679 mukaiseksi täytäntöönpanopäätökseksi Yhdistyneen kuningaskunnan henkilötietojen suojan riittävyydestä, saatavilla seuraavassa osoitteessa: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en

509

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/69 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/69

---

KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1773,

annettu 28 päivänä kesäkuuta 2021,

Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa

(tiedoksiannettu numerolla C(2021) 4801)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (1) ja erityisesti sen 36 artiklan 3 kohdan,

sekä katsoo seuraavaa:

1.   JOHDANTO

JOHDANTO

| (1) | Direktiivissä (EU) 2016/680 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon unionin toimivaltaisilta viranomaisilta kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Toimivaltaisten viranomaisten tekemiä kansainvälisiä tiedonsiirtoja koskevat säännöt vahvistetaan direktiivin (EU) 2016/680 V luvussa ja erityisesti sen 35–40 artiklassa. Tehokkaan lainvalvontayhteistyön kannalta on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa (2). |
| --- | --- |

(1)

Direktiivissä (EU) 2016/680 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon unionin toimivaltaisilta viranomaisilta kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Toimivaltaisten viranomaisten tekemiä kansainvälisiä tiedonsiirtoja koskevat säännöt vahvistetaan direktiivin (EU) 2016/680 V luvussa ja erityisesti sen 35–40 artiklassa. Tehokkaan lainvalvontayhteistyön kannalta on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa (2).

2

| (2) | Direktiivin (EU) 2016/680 36 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tällä edellytyksellä henkilötietoja voidaan siirtää kolmanteen maahan ilman lisälupaa (paitsi jos siirtoon on saatava lupa toiselta jäsenvaltiolta, jolta tiedot on saatu), kuten direktiivin (EU) 2016/680 35 artiklan 1 kohdassa ja johdanto-osan 66 kappaleessa säädetään. |
| --- | --- |

(2)

Direktiivin (EU) 2016/680 36 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tällä edellytyksellä henkilötietoja voidaan siirtää kolmanteen maahan ilman lisälupaa (paitsi jos siirtoon on saatava lupa toiselta jäsenvaltiolta, jolta tiedot on saatu), kuten direktiivin (EU) 2016/680 35 artiklan 1 kohdassa ja johdanto-osan 66 kappaleessa säädetään.

| (3) | Kuten direktiivin (EU) 2016/680 36 artiklan 2 kohdassa säädetään, tietosuojan tason riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (direktiivin (EU) 2016/680 johdanto-osan 67 kappale). Vertailukohtana tässä arvioinnissa on EU:n lainsäädännön ja erityisesti direktiivin (EU) 2016/680 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä. |
| --- | --- |

(3)

Kuten direktiivin (EU) 2016/680 36 artiklan 2 kohdassa säädetään, tietosuojan tason riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (direktiivin (EU) 2016/680 johdanto-osan 67 kappale). Vertailukohtana tässä arvioinnissa on EU:n lainsäädännön ja erityisesti direktiivin (EU) 2016/680 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä.

3

4

| (4) | Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin sama (5). Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason (6). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan tarkastellaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä on yksityisyyteen liittyvien oikeuksien sisältö ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti (7). |
| --- | --- |

(4)

Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin sama (5). Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason (6). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan tarkastellaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä on yksityisyyteen liittyvien oikeuksien sisältö ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti (7).

5

6

7

| (5) | Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan asiaa koskevaa lainsäädäntöä ja käytäntöä. Jäljempänä esitettyjen havaintojensa perusteella komissio katsoo, että Yhdistynyt kuningaskunta varmistaa tietosuojan riittävän tason sellaisille henkilötiedoille, joita siirretään direktiivin (EU) 2016/680 soveltamisalaan kuuluvilta unionin toimivaltaisilta viranomaisilta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille, jotka kuuluvat vuoden 2018 tietosuojalain (8) 3 osan soveltamisalaan. |
| --- | --- |

(5)

Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan asiaa koskevaa lainsäädäntöä ja käytäntöä. Jäljempänä esitettyjen havaintojensa perusteella komissio katsoo, että Yhdistynyt kuningaskunta varmistaa tietosuojan riittävän tason sellaisille henkilötiedoille, joita siirretään direktiivin (EU) 2016/680 soveltamisalaan kuuluvilta unionin toimivaltaisilta viranomaisilta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille, jotka kuuluvat vuoden 2018 tietosuojalain (8) 3 osan soveltamisalaan.

8

| (6) | Tämän päätöksen vaikutuksena on, että näitä siirtoja voidaan tehdä ilman erillistä lupaa neljän vuoden ajan, sanotun kuitenkaan rajoittamatta direktiivin (EU) 2016/680 35 artiklassa säädettyjen edellytysten soveltamista. Määräaika on mahdollista uusia. |
| --- | --- |

(6)

Tämän päätöksen vaikutuksena on, että näitä siirtoja voidaan tehdä ilman erillistä lupaa neljän vuoden ajan, sanotun kuitenkaan rajoittamatta direktiivin (EU) 2016/680 35 artiklassa säädettyjen edellytysten soveltamista. Määräaika on mahdollista uusia.

2.   TOIMIVALTAISTEN VIRANOMAISTEN RIKOSOIKEUDELLISIA LAINVALVONTATARKOITUKSIA VARTEN SUORITTAMAAN HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT

TOIMIVALTAISTEN VIRANOMAISTEN RIKOSOIKEUDELLISIA LAINVALVONTATARKOITUKSIA VARTEN SUORITTAMAAN HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT

2.1   Perustuslaillinen kehys

Perustuslaillinen kehys

| (7) | Yhdistynyt kuningaskunta on parlamentaarinen demokratia. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa, että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille (alahuone eli House of Commons ja ylähuone eli House of Lords). Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen. Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan alueellista lainsäädäntöä tietyissä asioissa. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi (poliisiviranomaisten harjoittama toiminta) mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin (9). |
| --- | --- |

(7)

Yhdistynyt kuningaskunta on parlamentaarinen demokratia. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa, että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille (alahuone eli House of Commons ja ylähuone eli House of Lords). Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen. Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan alueellista lainsäädäntöä tietyissä asioissa. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi (poliisiviranomaisten harjoittama toiminta) mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin (9).

9

| (8) | Yhdistyneellä kuningaskunnalla ei ole perustamiskirjan tapaista kirjoitettua kodifioitua perustuslakia, vaan sen perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tiettyjen lakien perustuslaillinen arvo on tunnustettu; näitä ovat mm. Magna Carta, vuoden 1689 oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia common law -oikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (10). |
| --- | --- |

(8)

Yhdistyneellä kuningaskunnalla ei ole perustamiskirjan tapaista kirjoitettua kodifioitua perustuslakia, vaan sen perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tiettyjen lakien perustuslaillinen arvo on tunnustettu; näitä ovat mm. Magna Carta, vuoden 1689 oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia common law -oikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä (10).

10

| (9) | Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1–3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16–18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen, mihin puolestaan sisältyy oikeus tietosuojaan ja oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. |
| --- | --- |

(9)

Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1–3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16–18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen, mihin puolestaan sisältyy oikeus tietosuojaan ja oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.

11

| (10) | Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa taatun oikeuden kanssa (12). Lisäksi primaari- ja sekundaarilainsäädäntöä on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa kyseisten oikeuksien kanssa (13). Jos yksityishenkilö katsoo, että viranomaiset ovat rikkoneet hänen oikeuksiaan, kuten oikeutta yksityisyyteen ja tietosuojaan, hän voi hakea muutosta Yhdistyneen kuningaskunnan tuomioistuimissa vuoden 1998 ihmisoikeuslain nojalla. Kun kaikki kansalliset muutoksenhakukeinot on käytetty, hän voi viime kädessä nostaa kanteen Euroopan ihmisoikeustuomioistuimessa Euroopan ihmisoikeussopimuksessa taattujen oikeuksien rikkomisesta. |
| --- | --- |

(10)

Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa taatun oikeuden kanssa (12). Lisäksi primaari- ja sekundaarilainsäädäntöä on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa kyseisten oikeuksien kanssa (13). Jos yksityishenkilö katsoo, että viranomaiset ovat rikkoneet hänen oikeuksiaan, kuten oikeutta yksityisyyteen ja tietosuojaan, hän voi hakea muutosta Yhdistyneen kuningaskunnan tuomioistuimissa vuoden 1998 ihmisoikeuslain nojalla. Kun kaikki kansalliset muutoksenhakukeinot on käytetty, hän voi viime kädessä nostaa kanteen Euroopan ihmisoikeustuomioistuimessa Euroopan ihmisoikeussopimuksessa taattujen oikeuksien rikkomisesta.

12

13

2.2   Yhdistyneen kuningaskunnan tietosuojakehys

Yhdistyneen kuningaskunnan tietosuojakehys

| (11) | Yhdistynyt kuningaskunta erosi unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Yhdistyneen kuningaskunnan lainsäädäntökehys, joka koskee henkilötietojen suojaa, kun toimivaltaiset viranomaiset käsittelevät henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, koostui ennen eroamista ja siirtymäkauden aikana vuoden 2018 tietosuojalain olennaisista osista; kyseisellä lailla oli saatettu direktiivi (EU) 2016/680 osaksi kansallista lainsäädäntöä. |
| --- | --- |

(11)

Yhdistynyt kuningaskunta erosi unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Yhdistyneen kuningaskunnan lainsäädäntökehys, joka koskee henkilötietojen suojaa, kun toimivaltaiset viranomaiset käsittelevät henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, koostui ennen eroamista ja siirtymäkauden aikana vuoden 2018 tietosuojalain olennaisista osista; kyseisellä lailla oli saatettu direktiivi (EU) 2016/680 osaksi kansallista lainsäädäntöä.

14

| (12) | Valmistautuakseen EU:sta eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018), jäljempänä ’eroamista koskeva laki’ (15), jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön ja säädettiin, että niin sanottu EU-oikeudesta johdettu sisäinen lainsäädäntö (”EU-derived domestic legislation”) on edelleen voimassa siirtymäkauden päätyttyä. Vuoden 2018 tietosuojalain 3 osa (16), jolla direktiivi (EU) 2016/680 saatetaan osaksi kansallista lainsäädäntöä, on eroamista koskevassa laissa tarkoitettua EU-oikeudesta johdettua sisäistä lainsäädäntöä. Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava EU-oikeudesta johdettua sisäistä lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä (17). |
| --- | --- |

(12)

Valmistautuakseen EU:sta eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018), jäljempänä ’eroamista koskeva laki’ (15), jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön ja säädettiin, että niin sanottu EU-oikeudesta johdettu sisäinen lainsäädäntö (”EU-derived domestic legislation”) on edelleen voimassa siirtymäkauden päätyttyä. Vuoden 2018 tietosuojalain 3 osa (16), jolla direktiivi (EU) 2016/680 saatetaan osaksi kansallista lainsäädäntöä, on eroamista koskevassa laissa tarkoitettua EU-oikeudesta johdettua sisäistä lainsäädäntöä. Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava EU-oikeudesta johdettua sisäistä lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä (17).

15

16

17

| (13) | Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säännökset (Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019) (18) annettiin tämän valtuuden nojalla. Niillä muutetaan Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä, myös vuoden 2018 tietosuojalakia, kansalliseen tilanteeseen sopivaksi (19). |
| --- | --- |

(13)

Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säännökset (Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019) (18) annettiin tämän valtuuden nojalla. Niillä muutetaan Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä, myös vuoden 2018 tietosuojalakia, kansalliseen tilanteeseen sopivaksi (19).

18

19

| (14) | Näin ollen oikeudelliset vaatimukset, jotka koskevat henkilötietojen suojaa Yhdistyneessä kuningaskunnassa erosopimuksen mukaisen siirtymäkauden jälkeen, kun toimivaltaiset viranomaiset käsittelevät henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, vahvistetaan edelleen vuoden 2018 tietosuojalain asiaa koskevissa osissa, sellaisina kuin ne ovat muutettuina tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevalla säädöksellä, erityisesti sen 3 osalla. Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta (UK GDPR) ei sovelleta tämäntyyppiseen käsittelyyn. |
| --- | --- |

(14)

Näin ollen oikeudelliset vaatimukset, jotka koskevat henkilötietojen suojaa Yhdistyneessä kuningaskunnassa erosopimuksen mukaisen siirtymäkauden jälkeen, kun toimivaltaiset viranomaiset käsittelevät henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy, vahvistetaan edelleen vuoden 2018 tietosuojalain asiaa koskevissa osissa, sellaisina kuin ne ovat muutettuina tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevalla säädöksellä, erityisesti sen 3 osalla. Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta (UK GDPR) ei sovelleta tämäntyyppiseen käsittelyyn.

| (15) | Vuoden 2018 tietosuojalain 3 osassa vahvistetaan säännöt, jotka koskevat henkilötietojen käsittelyä rikosoikeudellisia lainvalvontatarkoituksia varten, mukaan lukien tietosuojaperiaatteet, käsittelyn oikeudelliset perusteet (lainmukaisuus), rekisteröityjen oikeudet, toimivaltaisten viranomaisten velvollisuudet rekisterinpitäjinä ja tietojen edelleen siirtämistä koskevat rajoitukset. Samalla lainvalvontaan sovellettavat valvontaa, täytäntöönpanoa ja oikeussuojakeinoja koskevat säännöt sisältyvät vuoden 2018 tietosuojalain 5 ja 6 osaan. |
| --- | --- |

(15)

Vuoden 2018 tietosuojalain 3 osassa vahvistetaan säännöt, jotka koskevat henkilötietojen käsittelyä rikosoikeudellisia lainvalvontatarkoituksia varten, mukaan lukien tietosuojaperiaatteet, käsittelyn oikeudelliset perusteet (lainmukaisuus), rekisteröityjen oikeudet, toimivaltaisten viranomaisten velvollisuudet rekisterinpitäjinä ja tietojen edelleen siirtämistä koskevat rajoitukset. Samalla lainvalvontaan sovellettavat valvontaa, täytäntöönpanoa ja oikeussuojakeinoja koskevat säännöt sisältyvät vuoden 2018 tietosuojalain 5 ja 6 osaan.

| (16) | Kun lisäksi otetaan huomioon poliisivoimien merkittävä rooli lainvalvonnassa, huomioon olisi otettava myös poliisitoimintaa koskevat säännöt. Koska poliisitoiminta on hajautettu, eri säädöksiä, jotka ovat kuitenkin usein sisällöltään samankaltaisia, sovelletaan poliisitoimintaan a) Englannissa ja Walesissa, b) Skotlannissa ja c) Pohjois-Irlannissa (20). Lisäksi erityyppisissä ohjeissa annetaan lisäselvennyksiä siitä, miten poliisin valtuuksia olisi käytettävä. Poliisin ohjeista on kolme päämuotoa: 1) lainsäädännössä olevat ohjeet, kuten vuoden 1996 poliisilain (Police Act 1996) (21) mukaiset eettiset säännöt (Code of Ethics) (22) ja poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö (Code of Practice on the Management of Police Information) (23) tai poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Act) (24) mukaiset PACE-säännöt (PACE codes) (25), 2) poliisiakatemian (College of Policing) antamat poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet (Authorised Professional Practice on the Management of Police Information) (26) ja 3) poliisin julkaisemat toimintaohjeet. Kansallinen poliisipäälliköiden neuvosto (National Police Chiefs Council), joka on Yhdistyneen kuningaskunnan poliisivoimien koordinointielin, julkaisee toimintaohjeita, jotka kaikki poliisivoimat ovat hyväksyneet ja joita sen vuoksi sovelletaan kansallisesti (27). Näiden ohjeiden tarkoituksena on varmistaa, että poliisivoimat hallinnoivat tietoja yhdenmukaisesti (28). |
| --- | --- |

(16)

Kun lisäksi otetaan huomioon poliisivoimien merkittävä rooli lainvalvonnassa, huomioon olisi otettava myös poliisitoimintaa koskevat säännöt. Koska poliisitoiminta on hajautettu, eri säädöksiä, jotka ovat kuitenkin usein sisällöltään samankaltaisia, sovelletaan poliisitoimintaan a) Englannissa ja Walesissa, b) Skotlannissa ja c) Pohjois-Irlannissa (20). Lisäksi erityyppisissä ohjeissa annetaan lisäselvennyksiä siitä, miten poliisin valtuuksia olisi käytettävä. Poliisin ohjeista on kolme päämuotoa: 1) lainsäädännössä olevat ohjeet, kuten vuoden 1996 poliisilain (Police Act 1996) (21) mukaiset eettiset säännöt (Code of Ethics) (22) ja poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö (Code of Practice on the Management of Police Information) (23) tai poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Act) (24) mukaiset PACE-säännöt (PACE codes) (25), 2) poliisiakatemian (College of Policing) antamat poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet (Authorised Professional Practice on the Management of Police Information) (26) ja 3) poliisin julkaisemat toimintaohjeet. Kansallinen poliisipäälliköiden neuvosto (National Police Chiefs Council), joka on Yhdistyneen kuningaskunnan poliisivoimien koordinointielin, julkaisee toimintaohjeita, jotka kaikki poliisivoimat ovat hyväksyneet ja joita sen vuoksi sovelletaan kansallisesti (27). Näiden ohjeiden tarkoituksena on varmistaa, että poliisivoimat hallinnoivat tietoja yhdenmukaisesti (28).

20

21

22

23

24

25

26

27

28

| (17) | Secretary of State antoi vuonna 2005 poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön käyttäen vuoden 1996 poliisilain 39A §:ssä säädettyjä valtuuksia (29). Poliisilain nojalla annettavilla ohjesäännöillä on oltava Secretary of Staten hyväksyntä, ja ne edellyttävät kansallisen rikosviraston kuulemista, ennen kuin ne esitetään parlamentille. Poliisilain 39A §:n 7 momentissa edellytetään, että poliisi ottaa asianmukaisesti huomioon lain nojalla annetut säännöt, joten poliisin odotetaan noudattavan niitä (30). Lisäksi muiden kuin lakisääteisten ohjeiden (kuten poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet) on aina oltava yhdenmukaisia poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön kanssa, joka on säädöshierarkiassa niiden yläpuolella (31). Vaikka poliisit saattavat tietyissä operatiivisissa tilanteissa joutua poikkeamaan näistä ohjeista, heidän on joka tapauksessa noudatettava vuoden 2018 tietosuojalain 3 osan vaatimuksia (32). |
| --- | --- |

(17)

Secretary of State antoi vuonna 2005 poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön käyttäen vuoden 1996 poliisilain 39A §:ssä säädettyjä valtuuksia (29). Poliisilain nojalla annettavilla ohjesäännöillä on oltava Secretary of Staten hyväksyntä, ja ne edellyttävät kansallisen rikosviraston kuulemista, ennen kuin ne esitetään parlamentille. Poliisilain 39A §:n 7 momentissa edellytetään, että poliisi ottaa asianmukaisesti huomioon lain nojalla annetut säännöt, joten poliisin odotetaan noudattavan niitä (30). Lisäksi muiden kuin lakisääteisten ohjeiden (kuten poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet) on aina oltava yhdenmukaisia poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön kanssa, joka on säädöshierarkiassa niiden yläpuolella (31). Vaikka poliisit saattavat tietyissä operatiivisissa tilanteissa joutua poikkeamaan näistä ohjeista, heidän on joka tapauksessa noudatettava vuoden 2018 tietosuojalain 3 osan vaatimuksia (32).

29

30

31

32

| (18) | Tietosuojavaltuutettu (Information Commissioner) antaa lisätietoja (33) henkilötietojen käsittelystä Yhdistyneen kuningaskunnan lainvalvonnassa (lisätietoja tietosuojavaltuutetusta on johdanto-osan 93–109 kappaleissa). Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, tuomioistuinten olisi otettava huomioon niiden rikkominen, koska niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä tulkitaan ja miten tietosuojavaltuutettu valvoo sen noudattamista (34). |
| --- | --- |

(18)

Tietosuojavaltuutettu (Information Commissioner) antaa lisätietoja (33) henkilötietojen käsittelystä Yhdistyneen kuningaskunnan lainvalvonnassa (lisätietoja tietosuojavaltuutetusta on johdanto-osan 93–109 kappaleissa). Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, tuomioistuinten olisi otettava huomioon niiden rikkominen, koska niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä tulkitaan ja miten tietosuojavaltuutettu valvoo sen noudattamista (34).

33

34

| (19) | Kuten johdanto-osan 8–10 kappaleessa todetaan, Yhdistyneen kuningaskunnan lainvalvontaviranomaisten on varmistettava Euroopan ihmisoikeussopimuksen ja yleissopimuksen N:o 108 noudattaminen. |
| --- | --- |

(19)

Kuten johdanto-osan 8–10 kappaleessa todetaan, Yhdistyneen kuningaskunnan lainvalvontaviranomaisten on varmistettava Euroopan ihmisoikeussopimuksen ja yleissopimuksen N:o 108 noudattaminen.

| (20) | Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaa tietojen käsittelyä koskeva oikeudellinen kehys on rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin EU:ssa sovellettava oikeudellinen kehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä. |
| --- | --- |

(20)

Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaa tietojen käsittelyä koskeva oikeudellinen kehys on rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin EU:ssa sovellettava oikeudellinen kehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

2.3   Aineellinen ja alueellinen soveltamisala

Aineellinen ja alueellinen soveltamisala

| (21) | Vuoden 2018 tietosuojalain 3 osan aineellinen soveltamisala vastaa direktiivin (EU) 2016/680 2 artiklan 2 kohdassa säädettyä soveltamisalaa. Kyseistä 3 osaa sovelletaan toimivaltaisen viranomaisen suorittamaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa. |
| --- | --- |

(21)

Vuoden 2018 tietosuojalain 3 osan aineellinen soveltamisala vastaa direktiivin (EU) 2016/680 2 artiklan 2 kohdassa säädettyä soveltamisalaa. Kyseistä 3 osaa sovelletaan toimivaltaisen viranomaisen suorittamaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

| (22) | Lisäksi rekisterinpitäjä kuuluu kyseisen 3 osan soveltamisalaan vain, jos se on ”toimivaltainen viranomainen” ja käsittely suoritetaan ”lainvalvontatarkoituksessa”. Sen vuoksi tässä päätöksessä arvioitavaa tietosuojajärjestelmää sovelletaan näiden toimivaltaisten viranomaisten kaikkiin lainvalvontatehtäviin. |
| --- | --- |

(22)

Lisäksi rekisterinpitäjä kuuluu kyseisen 3 osan soveltamisalaan vain, jos se on ”toimivaltainen viranomainen” ja käsittely suoritetaan ”lainvalvontatarkoituksessa”. Sen vuoksi tässä päätöksessä arvioitavaa tietosuojajärjestelmää sovelletaan näiden toimivaltaisten viranomaisten kaikkiin lainvalvontatehtäviin.

| (23) | Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin, kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. Liitteen 7 luettelossa oleviin toimivaltaisiin viranomaisiin kuuluvat poliisivoimien lisäksi kaikki Yhdistyneen kuningaskunnan ministeriöiden osastot ja muut viranomaiset, joiden tehtävänä on tutkinta (esim. vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), Walesin verovirasto (Welsh Revenue Authority), kilpailu- ja markkinaviranomainen (Competition and Markets Authority) tai kiinteistörekisteri (Her Majesty’s Land Register) tai kansallinen rikosvirasto (National Crime Agency)), syyttäjävirastot (prosecutorial agencies), muut rikosoikeusvirastot ja muut viranhaltijat tai organisaatiot, jotka suorittavat lainvalvontatehtäviä (35). Vuoden 2018 tietosuojalain 3 osaa sovelletaan myös tuomioistuimiin niiden hoitaessa oikeudellisia tehtäviään, lukuun ottamatta rekisteröidyn oikeuksia ja tietosuojavaltuutetun valvontaa koskevaa osaa (36). Liitteessä 7 oleva toimivaltaisten viranomaisten luettelo ei ole lopullinen, ja Secretary of State voi päivittää sitä asetuksilla ottaen huomioon julkisten virastojen organisaatiossa tapahtuneet muutokset (37). |
| --- | --- |

(23)

Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin, kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. Liitteen 7 luettelossa oleviin toimivaltaisiin viranomaisiin kuuluvat poliisivoimien lisäksi kaikki Yhdistyneen kuningaskunnan ministeriöiden osastot ja muut viranomaiset, joiden tehtävänä on tutkinta (esim. vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), Walesin verovirasto (Welsh Revenue Authority), kilpailu- ja markkinaviranomainen (Competition and Markets Authority) tai kiinteistörekisteri (Her Majesty’s Land Register) tai kansallinen rikosvirasto (National Crime Agency)), syyttäjävirastot (prosecutorial agencies), muut rikosoikeusvirastot ja muut viranhaltijat tai organisaatiot, jotka suorittavat lainvalvontatehtäviä (35). Vuoden 2018 tietosuojalain 3 osaa sovelletaan myös tuomioistuimiin niiden hoitaessa oikeudellisia tehtäviään, lukuun ottamatta rekisteröidyn oikeuksia ja tietosuojavaltuutetun valvontaa koskevaa osaa (36). Liitteessä 7 oleva toimivaltaisten viranomaisten luettelo ei ole lopullinen, ja Secretary of State voi päivittää sitä asetuksilla ottaen huomioon julkisten virastojen organisaatiossa tapahtuneet muutokset (37).

35

36

37

| (24) | Henkilötietojen käsittelyllä on myös oltava lainvalvontatarkoitus, joka kattaa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvät syytetoimet tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy (38). Toimivaltaisen viranomaisen suorittamaan henkilötietojen käsittelyyn ei sovelleta vuoden 2018 tietosuojalain 3 osaa, jos sitä ei suoriteta lainvalvontatarkoituksessa. Näin on esimerkiksi silloin, kun kilpailu- ja markkinaviranomainen tutkii tapauksia, joita ei ole kriminalisoitu (esim. yritysten väliset sulautumat). Tällöin sovelletaan Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta yhdessä vuoden 2018 tietosuojalain 2 osan kanssa, koska toimivaltaiset viranomaiset käsittelevät henkilötietoja muissa kuin lainvalvontatarkoituksissa. Määrittääkseen, mitä tietosuojajärjestelmää (vuoden 2018 tietosuojalain 3 tai 2 osa) sovelletaan kyseessä olevien henkilötietojen käsittelyyn, toimivaltaisen viranomaisen eli rekisterinpitäjän on harkittava, onko tällaisen käsittelyn ”ensisijainen tarkoitus” jokin vuoden 2018 tietosuojalain mukaisista lainvalvontatarkoituksista. |
| --- | --- |

(24)

Henkilötietojen käsittelyllä on myös oltava lainvalvontatarkoitus, joka kattaa rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvät syytetoimet tai rikosoikeudellisten seuraamusten täytäntöönpanon, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu ja tällaisten uhkien ehkäisy (38). Toimivaltaisen viranomaisen suorittamaan henkilötietojen käsittelyyn ei sovelleta vuoden 2018 tietosuojalain 3 osaa, jos sitä ei suoriteta lainvalvontatarkoituksessa. Näin on esimerkiksi silloin, kun kilpailu- ja markkinaviranomainen tutkii tapauksia, joita ei ole kriminalisoitu (esim. yritysten väliset sulautumat). Tällöin sovelletaan Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta yhdessä vuoden 2018 tietosuojalain 2 osan kanssa, koska toimivaltaiset viranomaiset käsittelevät henkilötietoja muissa kuin lainvalvontatarkoituksissa. Määrittääkseen, mitä tietosuojajärjestelmää (vuoden 2018 tietosuojalain 3 tai 2 osa) sovelletaan kyseessä olevien henkilötietojen käsittelyyn, toimivaltaisen viranomaisen eli rekisterinpitäjän on harkittava, onko tällaisen käsittelyn ”ensisijainen tarkoitus” jokin vuoden 2018 tietosuojalain mukaisista lainvalvontatarkoituksista.

38

| (25) | Vuoden 2018 tietosuojalain 3 osan alueellisen soveltamisalan osalta 207 §:n 2 momentissa säädetään, että tietosuojalakia sovelletaan henkilötietojen käsittelyyn sellaisen henkilön toiminnan yhteydessä, jonka toimialue kattaa koko Yhdistyneen kuningaskunnan alueen. Tähän sisältyvät Englannin, Walesin, Skotlannin ja Pohjois-Irlannin alueiden viranomaiset, jotka kuuluvat vuoden 2018 tietosuojasopimuksen 3 osan aineelliseen soveltamisalaan (39). |
| --- | --- |

(25)

Vuoden 2018 tietosuojalain 3 osan alueellisen soveltamisalan osalta 207 §:n 2 momentissa säädetään, että tietosuojalakia sovelletaan henkilötietojen käsittelyyn sellaisen henkilön toiminnan yhteydessä, jonka toimialue kattaa koko Yhdistyneen kuningaskunnan alueen. Tähän sisältyvät Englannin, Walesin, Skotlannin ja Pohjois-Irlannin alueiden viranomaiset, jotka kuuluvat vuoden 2018 tietosuojasopimuksen 3 osan aineelliseen soveltamisalaan (39).

39

2.3.1   Henkilötietojen ja käsittelyn määritelmät

Henkilötietojen ja käsittelyn määritelmät

| (26) | Henkilötietojen ja käsittelyn keskeiset käsitteet on määritelty vuoden 2018 tietosuojalain 3 §:ssä, ja niitä sovelletaan koko tietosuojalaissa. Määritelmät vastaavat läheisesti direktiivin (EU) 2016/680 3 artiklassa vahvistettuja määritelmiä. Vuoden 2018 tietosuojalain mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan elävään henkilöön (40) liittyviä tietoja. Vuoden 2018 tietosuojalain 3 §:n 3 momentin mukaan henkilö on tunnistettavissa, jos hänet voidaan tietojen perusteella tunnistaa suoraan tai epäsuorasti. Näihin tietoihin kuuluvat viittaus nimeen tai tunnisteeseen taikka yhteen tai useampaan henkilön fyysiselle, fysiologiselle, geneettiselle, psyykkiselle, taloudelliselle, kulttuuriselle tai sosiaaliselle identiteetille ominaiseen tekijään. ’Käsittelyllä’ tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin, kuten a) kerääminen, tallentaminen, järjestäminen, jäsentäminen tai säilyttäminen; b) muokkaaminen tai muuttaminen; c) haku, kysely tai käyttö; d) luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville; e) yhteensovittaminen tai yhdistäminen; tai f) rajoittaminen, poistaminen tai tuhoaminen. Lisäksi laissa määritellään ’arkaluontoinen käsittely’ seuraavasti: ”a) sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys; b) geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten; c) terveyttä koskevien tietojen käsittely; d) henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely” (41). Tältä osin vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (42), ’terveyttä koskevat tiedot’ (43) ja ’geneettiset tiedot’ (44). |
| --- | --- |

(26)

Henkilötietojen ja käsittelyn keskeiset käsitteet on määritelty vuoden 2018 tietosuojalain 3 §:ssä, ja niitä sovelletaan koko tietosuojalaissa. Määritelmät vastaavat läheisesti direktiivin (EU) 2016/680 3 artiklassa vahvistettuja määritelmiä. Vuoden 2018 tietosuojalain mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan elävään henkilöön (40) liittyviä tietoja. Vuoden 2018 tietosuojalain 3 §:n 3 momentin mukaan henkilö on tunnistettavissa, jos hänet voidaan tietojen perusteella tunnistaa suoraan tai epäsuorasti. Näihin tietoihin kuuluvat viittaus nimeen tai tunnisteeseen taikka yhteen tai useampaan henkilön fyysiselle, fysiologiselle, geneettiselle, psyykkiselle, taloudelliselle, kulttuuriselle tai sosiaaliselle identiteetille ominaiseen tekijään. ’Käsittelyllä’ tarkoitetaan toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin, kuten a) kerääminen, tallentaminen, järjestäminen, jäsentäminen tai säilyttäminen; b) muokkaaminen tai muuttaminen; c) haku, kysely tai käyttö; d) luovuttaminen siirtämällä, levittämällä tai asettamalla muutoin saataville; e) yhteensovittaminen tai yhdistäminen; tai f) rajoittaminen, poistaminen tai tuhoaminen. Lisäksi laissa määritellään ’arkaluontoinen käsittely’ seuraavasti: ”a) sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys; b) geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten; c) terveyttä koskevien tietojen käsittely; d) henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely” (41). Tältä osin vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (42), ’terveyttä koskevat tiedot’ (43) ja ’geneettiset tiedot’ (44).

40

41

42

43

44

| (27) | Vuoden 2018 tietosuojalain 32 §:ssä selvennetään ’rekisterinpitäjän’ ja ’henkilötietojen käsittelijän’ määritelmiä lainvalvontatarkoituksessa tapahtuvan henkilötietojen käsittelyn yhteydessä noudattaen tarkasti direktiivin (EU) 2016/680 vastaavia määritelmiä. Rekisterinpitäjällä tarkoitetaan toimivaltaista viranomaista, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Jos käsittely on lain mukaan pakollista, rekisterinpitäjä on se toimivaltainen viranomainen, jota laissa säädetty velvoite koskee. Henkilötietojen käsittelijällä tarkoitetaan henkilöä, joka käsittelee henkilötietoja rekisterinpitäjän puolesta (muu henkilö kuin rekisterinpitäjän työntekijä). |
| --- | --- |

(27)

Vuoden 2018 tietosuojalain 32 §:ssä selvennetään ’rekisterinpitäjän’ ja ’henkilötietojen käsittelijän’ määritelmiä lainvalvontatarkoituksessa tapahtuvan henkilötietojen käsittelyn yhteydessä noudattaen tarkasti direktiivin (EU) 2016/680 vastaavia määritelmiä. Rekisterinpitäjällä tarkoitetaan toimivaltaista viranomaista, joka määrittää henkilötietojen käsittelyn tarkoitukset ja keinot. Jos käsittely on lain mukaan pakollista, rekisterinpitäjä on se toimivaltainen viranomainen, jota laissa säädetty velvoite koskee. Henkilötietojen käsittelijällä tarkoitetaan henkilöä, joka käsittelee henkilötietoja rekisterinpitäjän puolesta (muu henkilö kuin rekisterinpitäjän työntekijä).

2.4   Suojatoimet, oikeudet ja velvollisuudet

Suojatoimet, oikeudet ja velvollisuudet

2.4.1   Tietojenkäsittelyn lainmukaisuus ja asianmukaisuus

Tietojenkäsittelyn lainmukaisuus ja asianmukaisuus

| (28) | Vuoden 2018 tietosuojalain 35 §:n mukaan henkilötietojen käsittelyn on oltava lainmukaista ja asianmukaista, samalla tavalla kuin direktiivin (EU) 2016/680 4 artiklan 1 kohdan a alakohdassa säädetään. Vuoden 2018 tietosuojalain 35 §:n 2 momentin mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos käsittely perustuu lainsäädäntöön ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten tai jos käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän suorittamiseksi. |
| --- | --- |

(28)

Vuoden 2018 tietosuojalain 35 §:n mukaan henkilötietojen käsittelyn on oltava lainmukaista ja asianmukaista, samalla tavalla kuin direktiivin (EU) 2016/680 4 artiklan 1 kohdan a alakohdassa säädetään. Vuoden 2018 tietosuojalain 35 §:n 2 momentin mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos käsittely perustuu lainsäädäntöön ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten tai jos käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän suorittamiseksi.

2.4.1.1   Lakiin perustuva käsittely

Lakiin perustuva käsittely

| (29) | Vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvan tietojenkäsittelyn lainmukaisuuden varmistamiseksi tällaisen käsittelyn on perustuttava lainsäädäntöön, kuten myös direktiivin (EU) 2016/680 8 artiklassa säädetään. ”Lainmukaisella” tietojenkäsittelyllä tarkoitetaan, että siihen on saatu lupa joko lain, common law’n tai kuninkaallisen etuoikeuden (royal prerogatives) nojalla (45). |
| --- | --- |

(29)

Vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvan tietojenkäsittelyn lainmukaisuuden varmistamiseksi tällaisen käsittelyn on perustuttava lainsäädäntöön, kuten myös direktiivin (EU) 2016/680 8 artiklassa säädetään. ”Lainmukaisella” tietojenkäsittelyllä tarkoitetaan, että siihen on saatu lupa joko lain, common law’n tai kuninkaallisen etuoikeuden (royal prerogatives) nojalla (45).

45

| (30) | Toimivaltaisten viranomaisten toimivaltuudet ovat yleensä lakisääteisiä, mikä tarkoittaa, että niiden tehtävät ja valtuudet on määritelty selkeästi parlamentin hyväksymässä lainsäädännössä (46). Tietyissä tapauksissa poliisi ja muut vuoden 2018 tietosuojalain liitteessä 7 luetellut toimivaltaiset viranomaiset voivat käyttää perusteena common law -oikeutta, kun ne käsittelevät henkilötietoja (47). Common law perustuu tuomioistuinten ennakkotapauksiin. Common law on merkityksellinen, kun tarkastellaan poliisin siihen perustuvia toimivaltuuksia ja poliisin keskeistä velvollisuutta suojella yleisöä paljastamalla ja ehkäisemällä rikollisuutta (48). Poliisivoimilla on kuitenkin sekä common law -oikeuteen että lainsäädäntöön (49) perustuva toimivalta velvollisuutensa suorittamiseen. Jos poliisilla on lakisääteinen toimivalta, se syrjäyttää common law -valtuudet (50). |
| --- | --- |

(30)

Toimivaltaisten viranomaisten toimivaltuudet ovat yleensä lakisääteisiä, mikä tarkoittaa, että niiden tehtävät ja valtuudet on määritelty selkeästi parlamentin hyväksymässä lainsäädännössä (46). Tietyissä tapauksissa poliisi ja muut vuoden 2018 tietosuojalain liitteessä 7 luetellut toimivaltaiset viranomaiset voivat käyttää perusteena common law -oikeutta, kun ne käsittelevät henkilötietoja (47). Common law perustuu tuomioistuinten ennakkotapauksiin. Common law on merkityksellinen, kun tarkastellaan poliisin siihen perustuvia toimivaltuuksia ja poliisin keskeistä velvollisuutta suojella yleisöä paljastamalla ja ehkäisemällä rikollisuutta (48). Poliisivoimilla on kuitenkin sekä common law -oikeuteen että lainsäädäntöön (49) perustuva toimivalta velvollisuutensa suorittamiseen. Jos poliisilla on lakisääteinen toimivalta, se syrjäyttää common law -valtuudet (50).

46

47

48

49

50

| (31) | Oikeuskäytännön mukaan poliisin common law -oikeuden mukaisiin valtuuksiin ja velvollisuuksiin sisältyvät kaikki toimenpiteet, jotka poliisin mielestä ovat välttämättömiä rauhan ylläpitämiseksi, rikosten ehkäisemiseksi tai omaisuuden suojelemiseksi rikoksilta (51). Common law -valtuudet eivät ole rajoittamattomia valtuuksia. Niihin kohdistuu monenlaisia rajoituksia, kuten tuomioistuinten (52) asettamia rajoituksia ja lainsäädännössä, erityisesti vuoden 1998 ihmisoikeuslaissa ja vuoden 2010 tasa-arvolaissa (Equality Act) (53), säädettyjä rajoituksia. Lisäksi niiden toimivaltaisten viranomaisten osalta, jotka käsittelevät tietoja vuoden 2018 tietosuojalain 3 osan nojalla, mainitussa laissa vahvistetut vaatimukset rajoittavat common law -valtuuksien käyttöä (54). Kaikissa tietojenkäsittelyä koskevissa päätöksissä on myös otettava huomioon sovellettavien ohjeiden, kuten poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön, vaatimukset sekä asianomaisessa Yhdistyneen kuningaskunnan osassa sovellettavat ohjeet (55). Hallitus ja operatiivinen poliisitoimi ovat antaneet useita ohjeasiakirjoja sen varmistamiseksi, että poliisit käyttävät toimivaltuuksiaan common law -oikeuden tai asiaa koskevan lain asettamissa rajoissa (56). |
| --- | --- |

(31)

Oikeuskäytännön mukaan poliisin common law -oikeuden mukaisiin valtuuksiin ja velvollisuuksiin sisältyvät kaikki toimenpiteet, jotka poliisin mielestä ovat välttämättömiä rauhan ylläpitämiseksi, rikosten ehkäisemiseksi tai omaisuuden suojelemiseksi rikoksilta (51). Common law -valtuudet eivät ole rajoittamattomia valtuuksia. Niihin kohdistuu monenlaisia rajoituksia, kuten tuomioistuinten (52) asettamia rajoituksia ja lainsäädännössä, erityisesti vuoden 1998 ihmisoikeuslaissa ja vuoden 2010 tasa-arvolaissa (Equality Act) (53), säädettyjä rajoituksia. Lisäksi niiden toimivaltaisten viranomaisten osalta, jotka käsittelevät tietoja vuoden 2018 tietosuojalain 3 osan nojalla, mainitussa laissa vahvistetut vaatimukset rajoittavat common law -valtuuksien käyttöä (54). Kaikissa tietojenkäsittelyä koskevissa päätöksissä on myös otettava huomioon sovellettavien ohjeiden, kuten poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön, vaatimukset sekä asianomaisessa Yhdistyneen kuningaskunnan osassa sovellettavat ohjeet (55). Hallitus ja operatiivinen poliisitoimi ovat antaneet useita ohjeasiakirjoja sen varmistamiseksi, että poliisit käyttävät toimivaltuuksiaan common law -oikeuden tai asiaa koskevan lain asettamissa rajoissa (56).

51

52

53

54

55

56

| (32) | Kuninkaalliset etuoikeudet muodostavat osan ”oikeutta”. Niillä viitataan tiettyihin kruunulle annettuihin ja toimeenpanovallan käyttäjän käytettävissä oleviin toimivaltuuksiin, jotka eivät perustu säädettyyn lakiin vaan monarkin suvereniteettiin (57). On hyvin vähän esimerkkejä etuoikeuksista, joilla on merkitystä lainvalvonnan kannalta. Niihin kuuluu esimerkiksi keskinäisen oikeusavun kehys, jonka perusteella Secretary of State voi jakaa tietoja kolmansien maiden kanssa lainvalvontatarkoituksia varten, eikä tällaista toimivaltaa jakaa tietoja ole aina vahvistettu lainsäädännössä (58). Kuninkaallisiin etuoikeuksiin sovelletaan common law -periaatteita (59), ja koska ne ovat normihierarkiassa säädetyn lain alapuolella, niihin sovelletaan myös vuoden 1998 ihmisoikeuslaissa ja vuoden 2018 tietosuojalaissa säädettyjä rajoituksia (60). |
| --- | --- |

(32)

Kuninkaalliset etuoikeudet muodostavat osan ”oikeutta”. Niillä viitataan tiettyihin kruunulle annettuihin ja toimeenpanovallan käyttäjän käytettävissä oleviin toimivaltuuksiin, jotka eivät perustu säädettyyn lakiin vaan monarkin suvereniteettiin (57). On hyvin vähän esimerkkejä etuoikeuksista, joilla on merkitystä lainvalvonnan kannalta. Niihin kuuluu esimerkiksi keskinäisen oikeusavun kehys, jonka perusteella Secretary of State voi jakaa tietoja kolmansien maiden kanssa lainvalvontatarkoituksia varten, eikä tällaista toimivaltaa jakaa tietoja ole aina vahvistettu lainsäädännössä (58). Kuninkaallisiin etuoikeuksiin sovelletaan common law -periaatteita (59), ja koska ne ovat normihierarkiassa säädetyn lain alapuolella, niihin sovelletaan myös vuoden 1998 ihmisoikeuslaissa ja vuoden 2018 tietosuojalaissa säädettyjä rajoituksia (60).

57

58

59

60

| (33) | Yhdistyneen kuningaskunnan järjestelmässä edellytetään samalla tavalla kuin direktiivin (EU) 2016/680 8 artiklassa, että lainmukaisuuden periaatteen noudattamiseksi toimivaltaisten viranomaisten olisi varmistettava, että kun henkilötietojen käsittely perustuu lakiin, sen on myös oltava ”tarpeen” lainvalvontatarkoituksessa suoritettavan tehtävän suorittamiseksi. Tietosuojavaltuutetun ohjeissa selvennetään tältä osin, että käsittelyn on oltava kohdennettu ja oikeasuhteinen keino tavoitteen saavuttamiseksi. Käsittely ei ole lainmukaista, jos tavoite voidaan kohtuudella saavuttaa muilla vähemmän yksityisyyteen puuttuvilla keinoilla. Väite, jonka mukaan käsittely on tarpeen, koska liiketoimintaa on päätetty harjoittaa tietyllä tavalla, ei ole riittävä. Kysymys on siitä, onko käsittely tarpeen ilmoitettua tarkoitusta varten (61). |
| --- | --- |

(33)

Yhdistyneen kuningaskunnan järjestelmässä edellytetään samalla tavalla kuin direktiivin (EU) 2016/680 8 artiklassa, että lainmukaisuuden periaatteen noudattamiseksi toimivaltaisten viranomaisten olisi varmistettava, että kun henkilötietojen käsittely perustuu lakiin, sen on myös oltava ”tarpeen” lainvalvontatarkoituksessa suoritettavan tehtävän suorittamiseksi. Tietosuojavaltuutetun ohjeissa selvennetään tältä osin, että käsittelyn on oltava kohdennettu ja oikeasuhteinen keino tavoitteen saavuttamiseksi. Käsittely ei ole lainmukaista, jos tavoite voidaan kohtuudella saavuttaa muilla vähemmän yksityisyyteen puuttuvilla keinoilla. Väite, jonka mukaan käsittely on tarpeen, koska liiketoimintaa on päätetty harjoittaa tietyllä tavalla, ei ole riittävä. Kysymys on siitä, onko käsittely tarpeen ilmoitettua tarkoitusta varten (61).

61

2.4.1.2   Käsittely rekisteröidyn ”suostumuksen” perusteella

Käsittely rekisteröidyn ”suostumuksen” perusteella

| (34) | Kuten johdanto-osan 28 kappaleessa todetaan, vuoden 2018 tietosuojalain 35 §:n 2 momentissa säädetään mahdollisuudesta käsitellä henkilötietoja henkilön ”suostumuksen” perusteella. |
| --- | --- |

(34)

Kuten johdanto-osan 28 kappaleessa todetaan, vuoden 2018 tietosuojalain 35 §:n 2 momentissa säädetään mahdollisuudesta käsitellä henkilötietoja henkilön ”suostumuksen” perusteella.

| (35) | Suostumus ei kuitenkaan näytä olevan tämän päätöksen soveltamisalaan kuuluvien käsittelytoimien kannalta merkityksellinen oikeusperusta. Itse asiassa tämän päätöksen soveltamisalaan kuuluvat käsittelytoimet koskevat aina tietoja, jotka jäsenvaltion toimivaltainen viranomainen on siirtänyt direktiivin (EU) 2016/680 nojalla Yhdistyneen kuningaskunnan toimivaltaiselle viranomaiselle. Näin ollen niihin ei yleensä liity viranomaisen ja rekisteröityjen välistä suoraa vuorovaikutusta (tietojen keruuta), joka voi perustua vuoden 2018 tietosuojalain 35 §:n 2 momentin a kohdan mukaiseen suostumukseen. |
| --- | --- |

(35)

Suostumus ei kuitenkaan näytä olevan tämän päätöksen soveltamisalaan kuuluvien käsittelytoimien kannalta merkityksellinen oikeusperusta. Itse asiassa tämän päätöksen soveltamisalaan kuuluvat käsittelytoimet koskevat aina tietoja, jotka jäsenvaltion toimivaltainen viranomainen on siirtänyt direktiivin (EU) 2016/680 nojalla Yhdistyneen kuningaskunnan toimivaltaiselle viranomaiselle. Näin ollen niihin ei yleensä liity viranomaisen ja rekisteröityjen välistä suoraa vuorovaikutusta (tietojen keruuta), joka voi perustua vuoden 2018 tietosuojalain 35 §:n 2 momentin a kohdan mukaiseen suostumukseen.

| (36) | Vaikka suostumuksen käyttämistä perusteena ei näin ollen pidetä merkityksellisenä tämän päätöksen nojalla suoritettavan arvioinnin kannalta, on syytä todeta kattavuuden vuoksi, että lainvalvontaan liittyvä käsittely ei koskaan perustu pelkästään suostumukseen, sillä toimivaltaisella viranomaisella on aina oltava valtuudet käsitellä tietoja (62). Tarkemmin sanottuna ja samoin kuin direktiivissä (EU) 2016/680 (63) sallitaan, tämä tarkoittaa sitä, että suostumus on lisäedellytys sille, että mahdollistetaan tietyt rajoitetut ja erityiset käsittelytoimet, joita ei muutoin voitaisi suorittaa, esimerkiksi sellaisen henkilön DNA-näytteen ottaminen ja käsittely, joka ei ole epäilty. Tässä tapauksessa käsittelyä ei suoriteta, jos suostumusta ei anneta tai se peruutetaan (64). |
| --- | --- |

(36)

Vaikka suostumuksen käyttämistä perusteena ei näin ollen pidetä merkityksellisenä tämän päätöksen nojalla suoritettavan arvioinnin kannalta, on syytä todeta kattavuuden vuoksi, että lainvalvontaan liittyvä käsittely ei koskaan perustu pelkästään suostumukseen, sillä toimivaltaisella viranomaisella on aina oltava valtuudet käsitellä tietoja (62). Tarkemmin sanottuna ja samoin kuin direktiivissä (EU) 2016/680 (63) sallitaan, tämä tarkoittaa sitä, että suostumus on lisäedellytys sille, että mahdollistetaan tietyt rajoitetut ja erityiset käsittelytoimet, joita ei muutoin voitaisi suorittaa, esimerkiksi sellaisen henkilön DNA-näytteen ottaminen ja käsittely, joka ei ole epäilty. Tässä tapauksessa käsittelyä ei suoriteta, jos suostumusta ei anneta tai se peruutetaan (64).

62

63

64

| (37) | Tapauksissa, joissa edellytetään yksilön suostumusta, suostumuksen on oltava yksiselitteinen ja se on annettava toteuttamalla selvästi suostumusta ilmaiseva toimi (65). Poliisivoimilla on oltava tietosuojaseloste, joka sisältää muun muassa tarvittavat tiedot suostumuksen asianmukaisesta käytöstä. Lisäksi jotkin poliisin yksiköt julkaisevat lisäaineistoa siitä, miten ne noudattavat tietosuojalainsäädäntöä, esimerkiksi miten ja milloin ne käyttäisivät suostumusta oikeusperustana (66). |
| --- | --- |

(37)

Tapauksissa, joissa edellytetään yksilön suostumusta, suostumuksen on oltava yksiselitteinen ja se on annettava toteuttamalla selvästi suostumusta ilmaiseva toimi (65). Poliisivoimilla on oltava tietosuojaseloste, joka sisältää muun muassa tarvittavat tiedot suostumuksen asianmukaisesta käytöstä. Lisäksi jotkin poliisin yksiköt julkaisevat lisäaineistoa siitä, miten ne noudattavat tietosuojalainsäädäntöä, esimerkiksi miten ja milloin ne käyttäisivät suostumusta oikeusperustana (66).

65

66

2.4.1.3   Arkaluontoinen käsittely

Arkaluontoinen käsittely

| (38) | ”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia. Vuoden 2018 tietosuojalain 3 osassa samoin kuin direktiivin (EU) 2016/680 10 artiklassa säädetään vahvemmista suojatoimista niin sanottua arkaluontoista käsittelyä varten (67). |
| --- | --- |

(38)

”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia. Vuoden 2018 tietosuojalain 3 osassa samoin kuin direktiivin (EU) 2016/680 10 artiklassa säädetään vahvemmista suojatoimista niin sanottua arkaluontoista käsittelyä varten (67).

67

| (39) | Vuoden 1998 tietosuojalain 35 §:n 3 momentin mukaan toimivaltaiset viranomaiset voivat käsitellä arkaluontoisia tietoja lainvalvontatarkoituksessa vain kahdessa tapauksessa: 1) rekisteröity on antanut suostumuksensa tietojen käsittelyyn lainvalvontatarkoituksessa, ja käsittelyn ajankohtana rekisterinpitäjällä on käytössään asianmukainen toimintapoliittinen asiakirja (68); tai 2) käsittely on ehdottoman välttämätöntä lainvalvontatarkoitusta varten, käsittely täyttää vähintään yhden vuoden 2018 tietosuojalain liitteessä 8 vahvistetuista edellytyksistä, ja käsittelyn suorittamishetkellä rekisterinpitäjällä on käytössään asianmukainen toimintapoliittinen asiakirja (69). |
| --- | --- |

(39)

Vuoden 1998 tietosuojalain 35 §:n 3 momentin mukaan toimivaltaiset viranomaiset voivat käsitellä arkaluontoisia tietoja lainvalvontatarkoituksessa vain kahdessa tapauksessa: 1) rekisteröity on antanut suostumuksensa tietojen käsittelyyn lainvalvontatarkoituksessa, ja käsittelyn ajankohtana rekisterinpitäjällä on käytössään asianmukainen toimintapoliittinen asiakirja (68); tai 2) käsittely on ehdottoman välttämätöntä lainvalvontatarkoitusta varten, käsittely täyttää vähintään yhden vuoden 2018 tietosuojalain liitteessä 8 vahvistetuista edellytyksistä, ja käsittelyn suorittamishetkellä rekisterinpitäjällä on käytössään asianmukainen toimintapoliittinen asiakirja (69).

68

69

| (40) | Ensimmäisen tapauksen osalta ja kuten johdanto-osan 38 kappaleessa selitetään, suostumuksen käyttämistä perusteena ei pidetä merkityksellisenä tämän päätöksen soveltamisalaan kuuluvassa siirtotilanteessa (70). |
| --- | --- |

(40)

Ensimmäisen tapauksen osalta ja kuten johdanto-osan 38 kappaleessa selitetään, suostumuksen käyttämistä perusteena ei pidetä merkityksellisenä tämän päätöksen soveltamisalaan kuuluvassa siirtotilanteessa (70).

70

| (41) | Jos arkaluontoisten tietojen käsittely ei perustu suostumukseen, se voidaan suorittaa käyttäen jotakin vuoden 2018 tietosuojalain liitteessä 8 luetelluista edellytyksistä. Nämä edellytykset liittyvät käsittelyyn, joka on tarpeen laissa säädettyjä tarkoituksia, tuomiovaltaa, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamista, lasten ja vaarassa olevien henkilöiden suojelua, oikeudellisia vaateita, oikeudellisia toimia, petosten ehkäisemistä ja arkistointia varten, jos rekisteröity on selvästi julkistanut henkilötiedot. Lukuun ottamatta tapauksia, joissa tiedot on selvästi julkistettu, kaikkiin liitteessä 8 esitettyihin edellytyksiin sovelletaan ”ehdottoman välttämättömyyden” kriteeriä. Kuten tietosuojavaltuutettu on selventänyt, ”tässä yhteydessä ehdottoman välttämätön tarkoittaa, että käsittelyn on liityttävä pakottavaan yhteiskunnalliseen tarpeeseen, eikä tavoitetta voida kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla” (71). Lisäksi joihinkin edellytyksiin sovelletaan lisärajoituksia. Esimerkiksi jotta voitaisiin käyttää perustana ”laissa säädettyjä tarkoituksia” tai ”suojelua koskevia edellytyksiä” (liitteessä 8 oleva 1 ja 4 kohta) on lisävaatimuksena, että näin voidaan saavuttaa merkittävää yleistä etua. Lisäksi lapsen suojelua koskevien edellytysten osalta (liitteessä 8 oleva 4 kohta) rekisteröidyn on myös oltava tietynikäinen ja hänen on katsottava olevan vaarassa. Lisäksi rekisterinpitäjä voi soveltaa liitteessä 8 olevassa 4 kohdassa säädettyä edellytystä vain erityisissä olosuhteissa (72). Vastaavasti ”oikeudellisia toimia” (liitteessä 8 oleva 7 kohta) ja ”petosten ehkäisemistä” (liitteessä 8 oleva 8 kohta) koskevien edellytysten soveltamiseen on olemassa rajoituksia. Molempia ehtoja voidaan soveltaa vain tiettyihin rekisterinpitäjiin. Oikeudellisia toimia koskevaa edellytystä voi soveltaa ainoastaan tuomioistuin tai muu oikeusviranomainen, ja petostentorjuntaa koskevaa edellytystä voivat soveltaa ainoastaan rekisterinpitäjät, jotka ovat petostentorjuntaorganisaatioita. |
| --- | --- |

(41)

Jos arkaluontoisten tietojen käsittely ei perustu suostumukseen, se voidaan suorittaa käyttäen jotakin vuoden 2018 tietosuojalain liitteessä 8 luetelluista edellytyksistä. Nämä edellytykset liittyvät käsittelyyn, joka on tarpeen laissa säädettyjä tarkoituksia, tuomiovaltaa, rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamista, lasten ja vaarassa olevien henkilöiden suojelua, oikeudellisia vaateita, oikeudellisia toimia, petosten ehkäisemistä ja arkistointia varten, jos rekisteröity on selvästi julkistanut henkilötiedot. Lukuun ottamatta tapauksia, joissa tiedot on selvästi julkistettu, kaikkiin liitteessä 8 esitettyihin edellytyksiin sovelletaan ”ehdottoman välttämättömyyden” kriteeriä. Kuten tietosuojavaltuutettu on selventänyt, ”tässä yhteydessä ehdottoman välttämätön tarkoittaa, että käsittelyn on liityttävä pakottavaan yhteiskunnalliseen tarpeeseen, eikä tavoitetta voida kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla” (71). Lisäksi joihinkin edellytyksiin sovelletaan lisärajoituksia. Esimerkiksi jotta voitaisiin käyttää perustana ”laissa säädettyjä tarkoituksia” tai ”suojelua koskevia edellytyksiä” (liitteessä 8 oleva 1 ja 4 kohta) on lisävaatimuksena, että näin voidaan saavuttaa merkittävää yleistä etua. Lisäksi lapsen suojelua koskevien edellytysten osalta (liitteessä 8 oleva 4 kohta) rekisteröidyn on myös oltava tietynikäinen ja hänen on katsottava olevan vaarassa. Lisäksi rekisterinpitäjä voi soveltaa liitteessä 8 olevassa 4 kohdassa säädettyä edellytystä vain erityisissä olosuhteissa (72). Vastaavasti ”oikeudellisia toimia” (liitteessä 8 oleva 7 kohta) ja ”petosten ehkäisemistä” (liitteessä 8 oleva 8 kohta) koskevien edellytysten soveltamiseen on olemassa rajoituksia. Molempia ehtoja voidaan soveltaa vain tiettyihin rekisterinpitäjiin. Oikeudellisia toimia koskevaa edellytystä voi soveltaa ainoastaan tuomioistuin tai muu oikeusviranomainen, ja petostentorjuntaa koskevaa edellytystä voivat soveltaa ainoastaan rekisterinpitäjät, jotka ovat petostentorjuntaorganisaatioita.

71

72

| (42) | Kun käsittely perustuu johonkin liitteessä 8 luetelluista edellytyksistä ja vuoden 2018 tietosuojalain 42 §:ssä edellytetään, että käytössä on ”asianmukainen toimintapoliittinen asiakirja” – jossa selitetään, miten rekisterinpitäjän on meneteltävä varmistaakseen tietosuojaperiaatteiden noudattamisen, ja mitkä ovat henkilötietojen säilyttämistä ja poistamista koskevat rekisterinpitäjän toimintaperiaatteet – ja sovelletaan laajennettuja kirjan pitämistä koskevia velvoitteita. |
| --- | --- |

(42)

Kun käsittely perustuu johonkin liitteessä 8 luetelluista edellytyksistä ja vuoden 2018 tietosuojalain 42 §:ssä edellytetään, että käytössä on ”asianmukainen toimintapoliittinen asiakirja” – jossa selitetään, miten rekisterinpitäjän on meneteltävä varmistaakseen tietosuojaperiaatteiden noudattamisen, ja mitkä ovat henkilötietojen säilyttämistä ja poistamista koskevat rekisterinpitäjän toimintaperiaatteet – ja sovelletaan laajennettuja kirjan pitämistä koskevia velvoitteita.

2.4.2   Käyttötarkoituksen rajaaminen

Käyttötarkoituksen rajaaminen

| (43) | Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin, kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa. Tämä tietosuojaperiaate taataan vuoden 2018 tietosuojalain 36 §:ssä. Tässä säännöksessä ja direktiivin (EU) 2016/680 4 artiklan 1 kohdan b alakohdassa edellytetään, että a) lainvalvontatarkoituksen, jota varten henkilötietoja kerätään, on aina oltava tietty, nimenomainen ja laillinen, ja b) näin kerättyjä henkilötietoja ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. |
| --- | --- |

(43)

Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin, kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa. Tämä tietosuojaperiaate taataan vuoden 2018 tietosuojalain 36 §:ssä. Tässä säännöksessä ja direktiivin (EU) 2016/680 4 artiklan 1 kohdan b alakohdassa edellytetään, että a) lainvalvontatarkoituksen, jota varten henkilötietoja kerätään, on aina oltava tietty, nimenomainen ja laillinen, ja b) näin kerättyjä henkilötietoja ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty.

| (44) | Kun toimivaltaiset viranomaiset käsittelevät tietoja lainvalvontatarkoituksessa, tähän tarkoitukseen voivat kuulua arkistointi, tieteellinen tai historiallinen tutkimus ja tilastointi (73). Näissä tapauksissa vuoden 2018 tietosuojalaissa myös selvennetään, että arkistointi (tai käsittely tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten) ei ole sallittua, jos se tehdään tiettyä rekisteröityä koskevien päätösten osalta tai jos se todennäköisesti aiheuttaa hänelle huomattavaa vahinkoa tai kärsimystä (74). |
| --- | --- |

(44)

Kun toimivaltaiset viranomaiset käsittelevät tietoja lainvalvontatarkoituksessa, tähän tarkoitukseen voivat kuulua arkistointi, tieteellinen tai historiallinen tutkimus ja tilastointi (73). Näissä tapauksissa vuoden 2018 tietosuojalaissa myös selvennetään, että arkistointi (tai käsittely tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten) ei ole sallittua, jos se tehdään tiettyä rekisteröityä koskevien päätösten osalta tai jos se todennäköisesti aiheuttaa hänelle huomattavaa vahinkoa tai kärsimystä (74).

73

74

2.4.3   Täsmällisyys ja tietojen minimointi

Täsmällisyys ja tietojen minimointi

| (45) | Tietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Tietojen on oltava myös asianmukaisia ja olennaisia, eivätkä ne saa olla liian laajoja siihen tarkoitukseen nähden, jota varten niitä käsitellään. Direktiivin (EU) 2016/680 4 artiklan 1 kohdan c, d ja e alakohdan tavoin nämä periaatteet on varmistettu vuoden 2018 tietosuojalain 37 ja 38 §:ssä. On toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että virheelliset (75) henkilötiedot poistetaan tai oikaistaan viipymättä (76) käsittelyn (77) lainvalvontatarkoitus huomioiden, ja sen varmistamiseksi, että virheellisiä, puutteellisia tai vanhentuneita henkilötietoja ei siirretä tai aseteta saataville mitään lainvalvontatarkoitusta varten (78). |
| --- | --- |

(45)

Tietojen on oltava täsmällisiä ja tarvittaessa päivitettyjä. Tietojen on oltava myös asianmukaisia ja olennaisia, eivätkä ne saa olla liian laajoja siihen tarkoitukseen nähden, jota varten niitä käsitellään. Direktiivin (EU) 2016/680 4 artiklan 1 kohdan c, d ja e alakohdan tavoin nämä periaatteet on varmistettu vuoden 2018 tietosuojalain 37 ja 38 §:ssä. On toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että virheelliset (75) henkilötiedot poistetaan tai oikaistaan viipymättä (76) käsittelyn (77) lainvalvontatarkoitus huomioiden, ja sen varmistamiseksi, että virheellisiä, puutteellisia tai vanhentuneita henkilötietoja ei siirretä tai aseteta saataville mitään lainvalvontatarkoitusta varten (78).

75

76

77

78

| (46) | Lisäksi Yhdistyneen kuningaskunnan tietosuojajärjestelmässä täsmennetään direktiivin (EU) 2016/680 7 artiklan tavoin, että tosiseikkoihin perustuvat henkilötiedot on mahdollisuuksien mukaan erotettava henkilökohtaisiin arvioihin perustuvista henkilötiedoista (79). Tarvittaessa ja mahdollisuuksien mukaan on erotettava selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten epäiltyjä, rikoksesta tuomittuja henkilöitä, rikoksen uhreja ja todistajia (80). |
| --- | --- |

(46)

Lisäksi Yhdistyneen kuningaskunnan tietosuojajärjestelmässä täsmennetään direktiivin (EU) 2016/680 7 artiklan tavoin, että tosiseikkoihin perustuvat henkilötiedot on mahdollisuuksien mukaan erotettava henkilökohtaisiin arvioihin perustuvista henkilötiedoista (79). Tarvittaessa ja mahdollisuuksien mukaan on erotettava selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten epäiltyjä, rikoksesta tuomittuja henkilöitä, rikoksen uhreja ja todistajia (80).

79

80

2.4.4   Säilyttämistä koskevat rajoitukset

Säilyttämistä koskevat rajoitukset

| (47) | Direktiivin (EU) 2016/680 5 artiklan mukaan tietoja olisi periaatteessa säilytettävä vain niin kauan, kuin on tarpeen niitä tarkoituksia varten, joita varten henkilötietoja käsitellään. Vuoden 2018 tietosuojalain 39 §:n ja samoin kuin mainitun direktiivin 5 artiklan mukaan henkilötietoja ei saa säilyttää mitään lainvalvontatarkoitusta varten pidempään, kuin on tarpeen sen tarkoituksen kannalta, jota varten niitä käsitellään. Yhdistyneen kuningaskunnan oikeudellisessa järjestelmässä edellytetään, että on vahvistettava asianmukaiset määräajat, joiden puitteissa tarkastellaan säännöllisesti uudelleen henkilötietojen säilyttämisen jatkamisen tarpeellisuutta lainvalvontatarkoituksia varten. Henkilötietojen säilyttämiseen liittyviä käytäntöjä ja sovellettavia määräaikoja koskevia lisäsääntöjä on vahvistettu asiaa koskevassa lainsäädännössä ja poliisin toimivaltuuksia ja toimintaa koskevissa ohjeissa. Esimerkiksi Englannissa ja Walesissa poliisiakatemian antama poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö yhdessä poliisin hallussa olevien tietojen hallintaa koskevien poliisin sisäisten ohjeiden kanssa muodostavat kehyksen, jolla varmistetaan johdonmukainen riskiperusteinen säilyttämis-, tarkistus- ja loppukäsittelyprosessi poliisin hallussa olevan operatiivisen tiedon hallinnointia varten (81). Tässä kehyksessä asetetaan kaikille yksiköille selkeät vaatimukset sille, miten tietoja olisi luotava, jaettava, käytettävä ja hallinnoitava yksittäisten poliisivoimien ja muiden virastojen sisällä ja niiden välillä (82). Poliisin odotetaan noudattavan ohjesääntöä, ja sen noudattamista valvoo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83). |
| --- | --- |

(47)

Direktiivin (EU) 2016/680 5 artiklan mukaan tietoja olisi periaatteessa säilytettävä vain niin kauan, kuin on tarpeen niitä tarkoituksia varten, joita varten henkilötietoja käsitellään. Vuoden 2018 tietosuojalain 39 §:n ja samoin kuin mainitun direktiivin 5 artiklan mukaan henkilötietoja ei saa säilyttää mitään lainvalvontatarkoitusta varten pidempään, kuin on tarpeen sen tarkoituksen kannalta, jota varten niitä käsitellään. Yhdistyneen kuningaskunnan oikeudellisessa järjestelmässä edellytetään, että on vahvistettava asianmukaiset määräajat, joiden puitteissa tarkastellaan säännöllisesti uudelleen henkilötietojen säilyttämisen jatkamisen tarpeellisuutta lainvalvontatarkoituksia varten. Henkilötietojen säilyttämiseen liittyviä käytäntöjä ja sovellettavia määräaikoja koskevia lisäsääntöjä on vahvistettu asiaa koskevassa lainsäädännössä ja poliisin toimivaltuuksia ja toimintaa koskevissa ohjeissa. Esimerkiksi Englannissa ja Walesissa poliisiakatemian antama poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö yhdessä poliisin hallussa olevien tietojen hallintaa koskevien poliisin sisäisten ohjeiden kanssa muodostavat kehyksen, jolla varmistetaan johdonmukainen riskiperusteinen säilyttämis-, tarkistus- ja loppukäsittelyprosessi poliisin hallussa olevan operatiivisen tiedon hallinnointia varten (81). Tässä kehyksessä asetetaan kaikille yksiköille selkeät vaatimukset sille, miten tietoja olisi luotava, jaettava, käytettävä ja hallinnoitava yksittäisten poliisivoimien ja muiden virastojen sisällä ja niiden välillä (82). Poliisin odotetaan noudattavan ohjesääntöä, ja sen noudattamista valvoo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (83).

81

82

83

| (48) | Pohjois-Irlannin poliisiviraston ei lain mukaan tarvitse noudattaa poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä. Vuonna 2011 hyväksyttyjä poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön puitteita täydennetään kuitenkin Pohjois-Irlannin poliisiviraston käsikirjalla (84), jossa esitetään toimintaperiaatteet ja menettelyt, kun poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä sovelletaan Pohjois-Irlannissa. |
| --- | --- |

(48)

Pohjois-Irlannin poliisiviraston ei lain mukaan tarvitse noudattaa poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä. Vuonna 2011 hyväksyttyjä poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön puitteita täydennetään kuitenkin Pohjois-Irlannin poliisiviraston käsikirjalla (84), jossa esitetään toimintaperiaatteet ja menettelyt, kun poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä sovelletaan Pohjois-Irlannissa.

84

| (49) | Skotlannin poliisivoimat tukeutuvat tietojen säilyttämistä koskevaan menettelyohjeeseen (Record Retention Standard Operating Procedure) (85), jossa vahvistetaan Skotlannin poliisiviraston tiedonhallinnan toimintalinjoja (Records Management Policy) (86). Menettelyohjeessa vahvistetaan erityiset Skotlannin poliisin hallussa olevien tietojen säilyttämistä koskevat säännöt. |
| --- | --- |

(49)

Skotlannin poliisivoimat tukeutuvat tietojen säilyttämistä koskevaan menettelyohjeeseen (Record Retention Standard Operating Procedure) (85), jossa vahvistetaan Skotlannin poliisiviraston tiedonhallinnan toimintalinjoja (Records Management Policy) (86). Menettelyohjeessa vahvistetaan erityiset Skotlannin poliisin hallussa olevien tietojen säilyttämistä koskevat säännöt.

85

86

| (50) | Sen lisäksi, että koko Yhdistyneessä kuningaskunnassa sovelletaan yleistä vaatimusta tarkistaa tietoja, paikallisissa säännöissä asetetaan yksityiskohtaisempia vaatimuksia. Esimerkiksi Englannin ja Walesin osalta poliisista ja rikosasioiden todistusaineistosta annetussa laissa, sellaisena kuin se on muutettuna vuonna 2012 vapauksien suojelusta annetulla lailla, säädetään sormenjälkien ja DNA-tunnisteiden säilyttämisestä sekä erityisestä järjestelmästä, jota sovelletaan henkilöihin, joita ei ole tuomittu (87). Vapauksien suojelusta annetulla lailla perustettiin myös biometristen materiaalien säilyttämisestä ja käytöstä vastaavan valtuutetun (Biometrics Commissioner) tehtävä (88). Pidätyskuvia koskevat säännöt annettiin vuoden 2017 pidätyskuvia koskevassa määräyksessä (Custody Image Review) (89). Skotlannissa vuoden 1995 rikosprosessilaissa säädetään sormenjälkien ja biologisten näytteiden hankkimisesta ja säilyttämisestä (90). Kuten Englannissa ja Walesissa, lainsäädännössä säännellään biometristen tietojen säilyttämistä eri tapauksissa (91). |
| --- | --- |

(50)

Sen lisäksi, että koko Yhdistyneessä kuningaskunnassa sovelletaan yleistä vaatimusta tarkistaa tietoja, paikallisissa säännöissä asetetaan yksityiskohtaisempia vaatimuksia. Esimerkiksi Englannin ja Walesin osalta poliisista ja rikosasioiden todistusaineistosta annetussa laissa, sellaisena kuin se on muutettuna vuonna 2012 vapauksien suojelusta annetulla lailla, säädetään sormenjälkien ja DNA-tunnisteiden säilyttämisestä sekä erityisestä järjestelmästä, jota sovelletaan henkilöihin, joita ei ole tuomittu (87). Vapauksien suojelusta annetulla lailla perustettiin myös biometristen materiaalien säilyttämisestä ja käytöstä vastaavan valtuutetun (Biometrics Commissioner) tehtävä (88). Pidätyskuvia koskevat säännöt annettiin vuoden 2017 pidätyskuvia koskevassa määräyksessä (Custody Image Review) (89). Skotlannissa vuoden 1995 rikosprosessilaissa säädetään sormenjälkien ja biologisten näytteiden hankkimisesta ja säilyttämisestä (90). Kuten Englannissa ja Walesissa, lainsäädännössä säännellään biometristen tietojen säilyttämistä eri tapauksissa (91).

87

88

89

90

91

2.4.5   Tietoturva

Tietoturva

| (51) | Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten viranomaisten on toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä on arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset. |
| --- | --- |

(51)

Henkilötietoja on käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten viranomaisten on toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä on arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.

| (52) | Nämä periaatteet on otettu huomioon vuoden 2018 tietosuojalain 40 §:ssä, jonka mukaan, samalla tavalla kuin direktiivin (EU) 2016/680 4 artiklan 1 kohdan f alakohdassa säädetään, lainvalvontatarkoituksia varten käsiteltyjä henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen tietoturva, asianmukaisia teknisiä tai organisatorisia toimenpiteitä hyödyntäen. Tähän sisältyy tietojen suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta (92). Vuoden 2018 tietosuojalain 66 §:ssä täsmennetään lisäksi, että kunkin rekisterinpitäjän ja kunkin henkilötietojen käsittelijän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen henkilötietojen käsittelystä aiheutuviin riskeihin nähden asianmukainen turvallisuustaso. Selittävien huomautusten mukaan rekisterinpitäjän on arvioitava riskit ja toteutettava sen perusteella asianmukaiset turvatoimenpiteet, kuten salaus tai tietoja käsittelevän henkilöstön erityiset turvallisuusselvityksen tasot (93). Arvioinnissa on otettava huomioon myös esimerkiksi käsiteltyjen tietojen luonne ja muut merkitykselliset tekijät tai olosuhteet, jotka voivat vaikuttaa käsittelyn turvallisuuteen. |
| --- | --- |

(52)

Nämä periaatteet on otettu huomioon vuoden 2018 tietosuojalain 40 §:ssä, jonka mukaan, samalla tavalla kuin direktiivin (EU) 2016/680 4 artiklan 1 kohdan f alakohdassa säädetään, lainvalvontatarkoituksia varten käsiteltyjä henkilötietoja on käsiteltävä tavalla, jolla varmistetaan henkilötietojen asianmukainen tietoturva, asianmukaisia teknisiä tai organisatorisia toimenpiteitä hyödyntäen. Tähän sisältyy tietojen suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta (92). Vuoden 2018 tietosuojalain 66 §:ssä täsmennetään lisäksi, että kunkin rekisterinpitäjän ja kunkin henkilötietojen käsittelijän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen henkilötietojen käsittelystä aiheutuviin riskeihin nähden asianmukainen turvallisuustaso. Selittävien huomautusten mukaan rekisterinpitäjän on arvioitava riskit ja toteutettava sen perusteella asianmukaiset turvatoimenpiteet, kuten salaus tai tietoja käsittelevän henkilöstön erityiset turvallisuusselvityksen tasot (93). Arvioinnissa on otettava huomioon myös esimerkiksi käsiteltyjen tietojen luonne ja muut merkitykselliset tekijät tai olosuhteet, jotka voivat vaikuttaa käsittelyn turvallisuuteen.

92

93

| (53) | Tietoturvaperiaatteiden noudattamista koskeva järjestelmä on hyvin samankaltainen kuin direktiivin (EU) 2016/680 29–31 artiklalla perustettu järjestelmä. Erityisesti silloin, kun on kyse henkilötietojen tietoturvaloukkauksesta, josta rekisterinpitäjä on vastuussa, rekisterinpitäjän on vuoden 2018 tietosuojalain 67 §:n 1 momentin mukaan ilmoitettava tietoturvaloukkauksesta tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa tietoturvaloukkauksesta (94). Ilmoitusvelvollisuutta ei ole, jos henkilötietojen tietoturvaloukkaus ei todennäköisesti aiheuta riskiä yksilöiden oikeuksille ja vapauksille (95). Rekisterinpitäjän on dokumentoitava henkilötietojen tietoturvaloukkaukseen liittyvät tosiseikat, sen vaikutukset ja toteutetut korjaavat toimet siten, että tietosuojavaltuutettu voi varmistaa, onko tietosuojalakia noudatettu (96). Jos henkilötietojen käsittelijä saa tiedon tietoturvaloukkauksesta, sen on ilmoitettava siitä rekisterinpitäjälle ilman aiheetonta viivytystä (97). |
| --- | --- |

(53)

Tietoturvaperiaatteiden noudattamista koskeva järjestelmä on hyvin samankaltainen kuin direktiivin (EU) 2016/680 29–31 artiklalla perustettu järjestelmä. Erityisesti silloin, kun on kyse henkilötietojen tietoturvaloukkauksesta, josta rekisterinpitäjä on vastuussa, rekisterinpitäjän on vuoden 2018 tietosuojalain 67 §:n 1 momentin mukaan ilmoitettava tietoturvaloukkauksesta tietosuojavaltuutetulle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa tietoturvaloukkauksesta (94). Ilmoitusvelvollisuutta ei ole, jos henkilötietojen tietoturvaloukkaus ei todennäköisesti aiheuta riskiä yksilöiden oikeuksille ja vapauksille (95). Rekisterinpitäjän on dokumentoitava henkilötietojen tietoturvaloukkaukseen liittyvät tosiseikat, sen vaikutukset ja toteutetut korjaavat toimet siten, että tietosuojavaltuutettu voi varmistaa, onko tietosuojalakia noudatettu (96). Jos henkilötietojen käsittelijä saa tiedon tietoturvaloukkauksesta, sen on ilmoitettava siitä rekisterinpitäjälle ilman aiheetonta viivytystä (97).

94

95

96

97

| (54) | Vuoden 2018 tietosuojalain 68 §:n 1 momentissa säädetään, että jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä (98). Ilmoituksessa on oltava samat tiedot kuin johdanto-osan 53 kappaleessa selostetussa tietosuojavaltuutetun ilmoituksessa. Tätä velvoitetta ei sovelleta, jos rekisterinpitäjä oli toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet, joita sovellettiin henkilötietoihin, joita tietoturvaloukkaus koskee. Sitä ei sovelleta myöskään, jos rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että rekisteröityjen oikeuksiin ja vapauksiin kohdistuva suuri riski ei enää todennäköisesti toteudu. Rekisterinpitäjän ei myöskään tarvitse ilmoittaa rekisteröidylle, jos ilmoittaminen vaatisi kohtuutonta vaivaa (99). Tällöin tiedot on asetettava rekisteröidyn saataville muulla yhtä tehokkaalla tavalla, esimerkiksi julkisella tiedonannolla (100). Jos rekisterinpitäjä ei ole ilmoittanut rekisteröidylle tietoturvaloukkauksesta, tietosuojavaltuutettu voi tietosuojalain 67 §:n mukaisen ilmoituksen jälkeen ja arvioituaan, että tietoturvaloukkaus aiheuttaa suuren riskin, vaatia rekisterinpitäjää ilmoittamaan tietoturvaloukkauksesta rekisteröidylle (101). |
| --- | --- |

(54)

Vuoden 2018 tietosuojalain 68 §:n 1 momentissa säädetään, että jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä (98). Ilmoituksessa on oltava samat tiedot kuin johdanto-osan 53 kappaleessa selostetussa tietosuojavaltuutetun ilmoituksessa. Tätä velvoitetta ei sovelleta, jos rekisterinpitäjä oli toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet, joita sovellettiin henkilötietoihin, joita tietoturvaloukkaus koskee. Sitä ei sovelleta myöskään, jos rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että rekisteröityjen oikeuksiin ja vapauksiin kohdistuva suuri riski ei enää todennäköisesti toteudu. Rekisterinpitäjän ei myöskään tarvitse ilmoittaa rekisteröidylle, jos ilmoittaminen vaatisi kohtuutonta vaivaa (99). Tällöin tiedot on asetettava rekisteröidyn saataville muulla yhtä tehokkaalla tavalla, esimerkiksi julkisella tiedonannolla (100). Jos rekisterinpitäjä ei ole ilmoittanut rekisteröidylle tietoturvaloukkauksesta, tietosuojavaltuutettu voi tietosuojalain 67 §:n mukaisen ilmoituksen jälkeen ja arvioituaan, että tietoturvaloukkaus aiheuttaa suuren riskin, vaatia rekisterinpitäjää ilmoittamaan tietoturvaloukkauksesta rekisteröidylle (101).

98

99

100

101

2.4.6   Läpinäkyvyys

Läpinäkyvyys

| (55) | Rekisteröidyille on ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat. Tämä tietosuojaperiaate on otettu huomioon vuoden 2018 tietosuojalain 44 §:ssä, jossa säädetään direktiivin (EU) 2016/680 13 artiklan tavoin, että rekisterinpitäjällä on yleinen velvollisuus antaa rekisteröityjen saataville tiedot heidän henkilötietojensa käsittelystä (joko asettamalla tiedot yleisesti yleisön saataville tai muulla tavoin) (102). Saataville asetettaviin tietoihin kuuluvat a) rekisterinpitäjän henkilöllisyys ja yhteystiedot, b) tapauksen mukaan tietosuojavastaavan yhteystiedot, c) tarkoitukset, joita varten rekisterinpitäjä käsittelee henkilötietoja, d) tieto siitä, että rekisteröidyillä on oikeus pyytää rekisterinpitäjältä pääsy henkilötietoihin sekä oikeus pyytää henkilötietojen oikaisemista tai poistamista tai henkilötietojen käsittelyn rajoittamista, ja e) tieto oikeudesta tehdä valitus tietosuojavaltuutetulle ja tietosuojavaltuutetun yhteystiedot (103). |
| --- | --- |

(55)

Rekisteröidyille on ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat. Tämä tietosuojaperiaate on otettu huomioon vuoden 2018 tietosuojalain 44 §:ssä, jossa säädetään direktiivin (EU) 2016/680 13 artiklan tavoin, että rekisterinpitäjällä on yleinen velvollisuus antaa rekisteröityjen saataville tiedot heidän henkilötietojensa käsittelystä (joko asettamalla tiedot yleisesti yleisön saataville tai muulla tavoin) (102). Saataville asetettaviin tietoihin kuuluvat a) rekisterinpitäjän henkilöllisyys ja yhteystiedot, b) tapauksen mukaan tietosuojavastaavan yhteystiedot, c) tarkoitukset, joita varten rekisterinpitäjä käsittelee henkilötietoja, d) tieto siitä, että rekisteröidyillä on oikeus pyytää rekisterinpitäjältä pääsy henkilötietoihin sekä oikeus pyytää henkilötietojen oikaisemista tai poistamista tai henkilötietojen käsittelyn rajoittamista, ja e) tieto oikeudesta tehdä valitus tietosuojavaltuutetulle ja tietosuojavaltuutetun yhteystiedot (103).

102

103

| (56) | Rekisterinpitäjän on myös sellaisissa erityistapauksissa, joissa mahdollistetaan vuoden 2018 tietosuojalain mukaisten rekisteröidyn oikeuksien käyttäminen (esimerkiksi kun käsiteltävät henkilötiedot on kerätty rekisteröidyn tietämättä), annettava rekisteröidylle seuraavat tiedot: a) käsittelyn oikeusperusta, b) henkilötietojen säilytysaika tai, jos se ei ole mahdollista, tämän ajan määrittämiskriteerit, c) tarvittaessa tiedot henkilötietojen vastaanottajien ryhmistä (myös kolmansissa maissa tai kansainvälisissä järjestöissä olevista vastaanottajista), d) lisätiedot, jotka ovat rekisteröidylle tarpeen vuoden 2018 tietosuojalain 3 osan (104) mukaisten oikeuksien käyttämiseksi. |
| --- | --- |

(56)

Rekisterinpitäjän on myös sellaisissa erityistapauksissa, joissa mahdollistetaan vuoden 2018 tietosuojalain mukaisten rekisteröidyn oikeuksien käyttäminen (esimerkiksi kun käsiteltävät henkilötiedot on kerätty rekisteröidyn tietämättä), annettava rekisteröidylle seuraavat tiedot: a) käsittelyn oikeusperusta, b) henkilötietojen säilytysaika tai, jos se ei ole mahdollista, tämän ajan määrittämiskriteerit, c) tarvittaessa tiedot henkilötietojen vastaanottajien ryhmistä (myös kolmansissa maissa tai kansainvälisissä järjestöissä olevista vastaanottajista), d) lisätiedot, jotka ovat rekisteröidylle tarpeen vuoden 2018 tietosuojalain 3 osan (104) mukaisten oikeuksien käyttämiseksi.

104

2.4.7   Yksilön oikeudet

Yksilön oikeudet

| (57) | Rekisteröidyillä on oltava tiettyjä täytäntöönpanokelpoisia oikeuksia. Vuoden 2018 tietosuojalain 3 osan 3 luvussa annetaan yksilöille oikeus saada pääsy henkilötietoihin, oikaista ja poistaa niitä sekä rajoittaa niiden käyttöä (105). Nämä oikeudet ovat verrattavissa direktiivin (EU) 2016/680 3 luvussa säädettyihin oikeuksiin. |
| --- | --- |

(57)

Rekisteröidyillä on oltava tiettyjä täytäntöönpanokelpoisia oikeuksia. Vuoden 2018 tietosuojalain 3 osan 3 luvussa annetaan yksilöille oikeus saada pääsy henkilötietoihin, oikaista ja poistaa niitä sekä rajoittaa niiden käyttöä (105). Nämä oikeudet ovat verrattavissa direktiivin (EU) 2016/680 3 luvussa säädettyihin oikeuksiin.

105

| (58) | Oikeudesta saada pääsy tietoihin säädetään vuoden 2018 tietosuojalain 45 §:ssä. Yksilöllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö hänen henkilötietojaan vai ei (106). Kun henkilötietoja käsitellään, rekisteröidyllä on myös oikeus saada pääsy kyseisiin tietoihin ja vastaanottaa seuraavat tiedot käsittelystä: a) käsittelyn tarkoitukset ja oikeusperustat, b) kyseessä olevat tietoryhmät, c) vastaanottaja, jolle tiedot on luovutettu, d) henkilötietojen säilytysaika, e) rekisteröidyn oikeus henkilötietojen oikaisemiseen ja poistamiseen, f) oikeus tehdä valitus ja g) mahdolliset tiedot kyseisten henkilötietojen alkuperästä (107). |
| --- | --- |

(58)

Oikeudesta saada pääsy tietoihin säädetään vuoden 2018 tietosuojalain 45 §:ssä. Yksilöllä on oikeus saada rekisterinpitäjältä vahvistus siitä, käsitelläänkö hänen henkilötietojaan vai ei (106). Kun henkilötietoja käsitellään, rekisteröidyllä on myös oikeus saada pääsy kyseisiin tietoihin ja vastaanottaa seuraavat tiedot käsittelystä: a) käsittelyn tarkoitukset ja oikeusperustat, b) kyseessä olevat tietoryhmät, c) vastaanottaja, jolle tiedot on luovutettu, d) henkilötietojen säilytysaika, e) rekisteröidyn oikeus henkilötietojen oikaisemiseen ja poistamiseen, f) oikeus tehdä valitus ja g) mahdolliset tiedot kyseisten henkilötietojen alkuperästä (107).

106

107

| (59) | Vuoden 2018 tietosuojalain 46 §:n mukaan rekisteröidyllä on oikeus vaatia rekisterinpitäjää oikaisemaan häntä koskevat virheelliset henkilötiedot. Rekisterinpitäjän on oikaistava (tai jos tiedot ovat virheellisiä siksi, että ne ovat puutteellisia, täydennettävä) tiedot ilman aiheetonta viivytystä. Jos henkilötiedot on säilytettävä todistelua varten, rekisterinpitäjän on (henkilötietojen oikaisemisen sijaan) rajoitettava niiden käsittelyä (108). |
| --- | --- |

(59)

Vuoden 2018 tietosuojalain 46 §:n mukaan rekisteröidyllä on oikeus vaatia rekisterinpitäjää oikaisemaan häntä koskevat virheelliset henkilötiedot. Rekisterinpitäjän on oikaistava (tai jos tiedot ovat virheellisiä siksi, että ne ovat puutteellisia, täydennettävä) tiedot ilman aiheetonta viivytystä. Jos henkilötiedot on säilytettävä todistelua varten, rekisterinpitäjän on (henkilötietojen oikaisemisen sijaan) rajoitettava niiden käsittelyä (108).

108

| (60) | Vuoden 2018 tietosuojalain 47 §:ssä annetaan yksityishenkilöille oikeus tietojen poistamiseen ja käsittelyn rajoittamiseen. Rekisterinpitäjän on poistettava (109) henkilötiedot ilman aiheetonta viivytystä, jos henkilötietojen käsittely rikkoisi tietosuojaperiaatteita, käsittelyn oikeudellisia perusteita tai arkistointia ja arkaluontoista käsittelyä koskevia suojatoimia. Rekisterinpitäjän on myös poistettava tiedot, jos siihen on lakisääteinen velvoite. Jos henkilötiedot on säilytettävä todistelua varten, rekisterinpitäjän on (henkilötietojen poistamisen sijaan) rajoitettava niiden käsittelyä (110). Rekisterinpitäjän on rajoitettava henkilötietojen käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden, mutta tietojen oikeellisuutta ei voida varmistaa (111). |
| --- | --- |

(60)

Vuoden 2018 tietosuojalain 47 §:ssä annetaan yksityishenkilöille oikeus tietojen poistamiseen ja käsittelyn rajoittamiseen. Rekisterinpitäjän on poistettava (109) henkilötiedot ilman aiheetonta viivytystä, jos henkilötietojen käsittely rikkoisi tietosuojaperiaatteita, käsittelyn oikeudellisia perusteita tai arkistointia ja arkaluontoista käsittelyä koskevia suojatoimia. Rekisterinpitäjän on myös poistettava tiedot, jos siihen on lakisääteinen velvoite. Jos henkilötiedot on säilytettävä todistelua varten, rekisterinpitäjän on (henkilötietojen poistamisen sijaan) rajoitettava niiden käsittelyä (110). Rekisterinpitäjän on rajoitettava henkilötietojen käsittelyä, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden, mutta tietojen oikeellisuutta ei voida varmistaa (111).

109

110

111

| (61) | Jos rekisteröity pyytää henkilötietojen oikaisemista tai poistamista tai niiden käsittelyn rajoittamista, rekisterinpitäjän on ilmoitettava rekisteröidylle kirjallisesti, onko pyyntöön suostuttu. Jos pyyntö on hylätty, sen on ilmoitettava rekisteröidylle kieltäytymisen syyt ja käytettävissä olevat oikeussuojakeinot (rekisteröidyn oikeus pyytää tietosuojavaltuutettua tutkimaan, onko rajoitusta sovellettu lainmukaisesti, oikeus tehdä valitus tietovaltuutetulle ja oikeus vaatia tuomioistuimelta lain noudattamista koskevan määräyksen antamista) (112). |
| --- | --- |

(61)

Jos rekisteröity pyytää henkilötietojen oikaisemista tai poistamista tai niiden käsittelyn rajoittamista, rekisterinpitäjän on ilmoitettava rekisteröidylle kirjallisesti, onko pyyntöön suostuttu. Jos pyyntö on hylätty, sen on ilmoitettava rekisteröidylle kieltäytymisen syyt ja käytettävissä olevat oikeussuojakeinot (rekisteröidyn oikeus pyytää tietosuojavaltuutettua tutkimaan, onko rajoitusta sovellettu lainmukaisesti, oikeus tehdä valitus tietovaltuutetulle ja oikeus vaatia tuomioistuimelta lain noudattamista koskevan määräyksen antamista) (112).

112

| (62) | Jos rekisterinpitäjä oikaisee toiselta toimivaltaiselta viranomaiselta saatuja henkilötietoja, sen on ilmoitettava asiasta kyseiselle toiselle viranomaiselle (113). Jos rekisterinpitäjä oikaisee tai poistaa luovuttamiaan henkilötietoja tai rajoittaa niiden käsittelyä, rekisterinpitäjän on ilmoitettava tästä vastaanottajille, ja vastaanottajien on vastaavasti oikaistava tai poistettava henkilötietoja tai rajoitettava niiden käsittelyä (siltä osin kuin he ovat edelleen vastuussa henkilötietojen käsittelystä) (114). |
| --- | --- |

(62)

Jos rekisterinpitäjä oikaisee toiselta toimivaltaiselta viranomaiselta saatuja henkilötietoja, sen on ilmoitettava asiasta kyseiselle toiselle viranomaiselle (113). Jos rekisterinpitäjä oikaisee tai poistaa luovuttamiaan henkilötietoja tai rajoittaa niiden käsittelyä, rekisterinpitäjän on ilmoitettava tästä vastaanottajille, ja vastaanottajien on vastaavasti oikaistava tai poistettava henkilötietoja tai rajoitettava niiden käsittelyä (siltä osin kuin he ovat edelleen vastuussa henkilötietojen käsittelystä) (114).

113

114

| (63) | Lisäksi rekisteröidyllä on oikeus saada rekisterinpitäjältä ilman aiheetonta viivytystä tieto henkilötietojen tietoturvaloukkauksesta, jos se todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille (115). |
| --- | --- |

(63)

Lisäksi rekisteröidyllä on oikeus saada rekisterinpitäjältä ilman aiheetonta viivytystä tieto henkilötietojen tietoturvaloukkauksesta, jos se todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille (115).

115

| (64) | Kaikkien näiden rekisteröidyn oikeuksien osalta ja samoin kuin direktiivin (EU) 2016/680 12 artiklassa säädetään, rekisterinpitäjällä on velvollisuus varmistaa, että kaikki rekisteröidylle annettavat tiedot toimitetaan tiiviisti esitetyssä, ymmärrettävässä ja helposti saatavilla olevassa muodossa (116) ja mahdollisuuksien mukaan samassa muodossa kuin pyyntö (117). Rekisterinpitäjän on noudatettava rekisteröidyn pyyntöä ilman aiheetonta viivytystä tai joka tapauksessa periaatteessa kuukauden kuluessa pyynnön esittämisestä (118). Jos rekisterinpitäjällä on perusteltua aihetta epäillä pyytäjän henkilöllisyyttä, hän voi pyytää lisätietoja ja viivyttää pyynnön käsittelyä, kunnes henkilöllisyys on varmistettu. Rekisterinpitäjä voi vaatia kohtuullista maksua tai kieltäytyä toimimasta, jos se katsoo pyynnön ilmeisen perusteettomaksi (119). Tietosuojavaltuutettu on antanut ohjeita siitä, milloin pyyntö katsotaan ilmeisen perusteettomaksi tai kohtuuttomaksi ja milloin maksua voidaan vaatia (120). |
| --- | --- |

(64)

Kaikkien näiden rekisteröidyn oikeuksien osalta ja samoin kuin direktiivin (EU) 2016/680 12 artiklassa säädetään, rekisterinpitäjällä on velvollisuus varmistaa, että kaikki rekisteröidylle annettavat tiedot toimitetaan tiiviisti esitetyssä, ymmärrettävässä ja helposti saatavilla olevassa muodossa (116) ja mahdollisuuksien mukaan samassa muodossa kuin pyyntö (117). Rekisterinpitäjän on noudatettava rekisteröidyn pyyntöä ilman aiheetonta viivytystä tai joka tapauksessa periaatteessa kuukauden kuluessa pyynnön esittämisestä (118). Jos rekisterinpitäjällä on perusteltua aihetta epäillä pyytäjän henkilöllisyyttä, hän voi pyytää lisätietoja ja viivyttää pyynnön käsittelyä, kunnes henkilöllisyys on varmistettu. Rekisterinpitäjä voi vaatia kohtuullista maksua tai kieltäytyä toimimasta, jos se katsoo pyynnön ilmeisen perusteettomaksi (119). Tietosuojavaltuutettu on antanut ohjeita siitä, milloin pyyntö katsotaan ilmeisen perusteettomaksi tai kohtuuttomaksi ja milloin maksua voidaan vaatia (120).

116

117

118

119

120

| (65) | Lisäksi vuoden 2018 tietosuojalain 53 §:n 4 momentin mukaan Secretary of State voi vahvistaa maksun enimmäismäärän asetuksella. |
| --- | --- |

(65)

Lisäksi vuoden 2018 tietosuojalain 53 §:n 4 momentin mukaan Secretary of State voi vahvistaa maksun enimmäismäärän asetuksella.

2.4.7.1   Rekisteröidyn oikeuksien rajoitukset ja läpinäkyvyyttä koskevat velvoitteet

Rekisteröidyn oikeuksien rajoitukset ja läpinäkyvyyttä koskevat velvoitteet

| (66) | Toimivaltainen viranomainen voi tietyissä olosuhteissa rajoittaa rekisteröidyn oikeuksia, kuten oikeutta saada pääsy tietoihin (121), saada tieto (122), tietää henkilötietojen tietoturvaloukkauksesta (123) ja saada tieto siitä, miksi oikaisu- tai poistamispyyntö on hylätty (124). Samalla tavalla kuin direktiivin (EU) 2016/680 III luvussa tarkoitetussa järjestelmässä, toimivaltainen viranomainen voi soveltaa rajoitusta vain, jos se on rekisteröidyn perusoikeudet ja oikeutetut edut huomioon ottaen välttämätöntä ja oikeasuhteista, a) jotta vältetään virallisen tai laillisen tiedustelun, tutkimuksen tai menettelyn estäminen b) jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, tutkimiselle ja paljastamiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle, c) yleisen turvallisuuden suojelemiseksi, d) kansallisen turvallisuuden suojelemiseksi, e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi. |
| --- | --- |

(66)

Toimivaltainen viranomainen voi tietyissä olosuhteissa rajoittaa rekisteröidyn oikeuksia, kuten oikeutta saada pääsy tietoihin (121), saada tieto (122), tietää henkilötietojen tietoturvaloukkauksesta (123) ja saada tieto siitä, miksi oikaisu- tai poistamispyyntö on hylätty (124). Samalla tavalla kuin direktiivin (EU) 2016/680 III luvussa tarkoitetussa järjestelmässä, toimivaltainen viranomainen voi soveltaa rajoitusta vain, jos se on rekisteröidyn perusoikeudet ja oikeutetut edut huomioon ottaen välttämätöntä ja oikeasuhteista, a) jotta vältetään virallisen tai laillisen tiedustelun, tutkimuksen tai menettelyn estäminen b) jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, tutkimiselle ja paljastamiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle, c) yleisen turvallisuuden suojelemiseksi, d) kansallisen turvallisuuden suojelemiseksi, e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

121

122

123

124

| (67) | Tietosuojavaltuutettu on antanut ohjeita näiden rajoitusten soveltamisesta. Rekisterinpitäjien on tehtävä näiden ohjeiden mukaan tapauskohtainen analyysi, jossa otetaan tasapuolisesti huomioon yksilön oikeudet ja tietojen luovuttamisesta aiheutuva haitta. Niiden on erityisesti perusteltava kaikki tarpeellisina ja oikeasuhteisina sovelletut rajoitukset, ja ne voivat rajoittaa sitä, mitä on luovutettu, ainoastaan, jos se haittaisi edellä mainittuja tarkoituksia (125). |
| --- | --- |

(67)

Tietosuojavaltuutettu on antanut ohjeita näiden rajoitusten soveltamisesta. Rekisterinpitäjien on tehtävä näiden ohjeiden mukaan tapauskohtainen analyysi, jossa otetaan tasapuolisesti huomioon yksilön oikeudet ja tietojen luovuttamisesta aiheutuva haitta. Niiden on erityisesti perusteltava kaikki tarpeellisina ja oikeasuhteisina sovelletut rajoitukset, ja ne voivat rajoittaa sitä, mitä on luovutettu, ainoastaan, jos se haittaisi edellä mainittuja tarkoituksia (125).

125

| (68) | On myös useita muita toimivaltaisten viranomaisten antamia ohjeita, joissa annetaan yksityiskohtaista tietoa tietosuojalainsäädännön eri näkökohdista, muun muassa rekisteröityjen oikeuksia koskevien rajoitusten soveltamisesta (126). Esimerkiksi kansallisen poliisipäälliköiden neuvoston tietosuojakäsikirjassa (Data Protection Manual of the National Police Chief’s Counsel) todetaan 45 §:n 4 momentin osalta seuraavaa: ”On tärkeää huomata, että rajoituksia voidaan soveltaa vain siinä määrin ja niin kauan, kuin on tarpeen. Näin ollen rajoituksen yleinen soveltaminen kaikkiin hakijan henkilötietoihin tai rajoituksen pysyvä soveltaminen ei ole sallittua. Viimeksi mainitun seikan osalta on usein niin, että henkilötiedot, jotka on kerätty tutkinnan kohteena olevan rekisteröidyn tietämättä, on ensin suojattava paljastamiselta hänelle, jotta ei aiheuteta haittaa tutkinnalle sen aikana, mutta myöhemmin tietojen ilmaiseminen ei olisi vahingollista, jos henkilötiedot olisi luovutettu henkilölle puhuttelun aikana. Poliisivoimien on otettava käyttöön menettelyt, joilla varmistetaan, että näiden rajoitusten soveltaminen on välttämätöntä ja kestää vain tarvittavan ajan.” (127) Näissä ohjeissa annetaan myös esimerkkejä siitä, milloin kutakin rajoitusta todennäköisesti sovelletaan (128). |
| --- | --- |

(68)

On myös useita muita toimivaltaisten viranomaisten antamia ohjeita, joissa annetaan yksityiskohtaista tietoa tietosuojalainsäädännön eri näkökohdista, muun muassa rekisteröityjen oikeuksia koskevien rajoitusten soveltamisesta (126). Esimerkiksi kansallisen poliisipäälliköiden neuvoston tietosuojakäsikirjassa (Data Protection Manual of the National Police Chief’s Counsel) todetaan 45 §:n 4 momentin osalta seuraavaa: ”On tärkeää huomata, että rajoituksia voidaan soveltaa vain siinä määrin ja niin kauan, kuin on tarpeen. Näin ollen rajoituksen yleinen soveltaminen kaikkiin hakijan henkilötietoihin tai rajoituksen pysyvä soveltaminen ei ole sallittua. Viimeksi mainitun seikan osalta on usein niin, että henkilötiedot, jotka on kerätty tutkinnan kohteena olevan rekisteröidyn tietämättä, on ensin suojattava paljastamiselta hänelle, jotta ei aiheuteta haittaa tutkinnalle sen aikana, mutta myöhemmin tietojen ilmaiseminen ei olisi vahingollista, jos henkilötiedot olisi luovutettu henkilölle puhuttelun aikana. Poliisivoimien on otettava käyttöön menettelyt, joilla varmistetaan, että näiden rajoitusten soveltaminen on välttämätöntä ja kestää vain tarvittavan ajan.” (127) Näissä ohjeissa annetaan myös esimerkkejä siitä, milloin kutakin rajoitusta todennäköisesti sovelletaan (128).

126

127

128

| (69) | Lisäksi voidaan todeta mahdollisuudesta rajoittaa näiden edellä mainittujen oikeuksien soveltamista ”kansallisen turvallisuuden” suojelemiseksi, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) (tai Skotlannin oikeuskanslerin) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi (129). Yhdistyneen kuningaskunnan hallitus on antanut ohjeita kansallista turvallisuutta koskevan todistuksen osalta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä (130) (ks. lisätietoja kansallista turvallisuutta koskevasta todistuksesta johdanto-osan 131–134 kappale). |
| --- | --- |

(69)

Lisäksi voidaan todeta mahdollisuudesta rajoittaa näiden edellä mainittujen oikeuksien soveltamista ”kansallisen turvallisuuden” suojelemiseksi, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) (tai Skotlannin oikeuskanslerin) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi (129). Yhdistyneen kuningaskunnan hallitus on antanut ohjeita kansallista turvallisuutta koskevan todistuksen osalta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä (130) (ks. lisätietoja kansallista turvallisuutta koskevasta todistuksesta johdanto-osan 131–134 kappale).

129

130

| (70) | Lisäksi jos rekisteröidyn oikeuksia rajoitetaan, toimivaltaisen viranomaisen on ilmoitettava rekisteröidylle ilman aiheetonta viivytystä oikeuksien rajoittamisesta, rajoituksen syistä ja käytettävissä olevista oikeussuojakeinoista, paitsi jos näiden tietojen antaminen heikentäisi sitä perustetta, jolla rajoitusta sovelletaan (131). Rajoitusten väärinkäyttöä estävänä ylimääräisenä suojatoimena rekisterinpitäjän on kirjattava syyt tietojen rajoittamiseen ja annettava tiedot pyydettäessä tietosuojavaltuutetun käyttöön (132). |
| --- | --- |

(70)

Lisäksi jos rekisteröidyn oikeuksia rajoitetaan, toimivaltaisen viranomaisen on ilmoitettava rekisteröidylle ilman aiheetonta viivytystä oikeuksien rajoittamisesta, rajoituksen syistä ja käytettävissä olevista oikeussuojakeinoista, paitsi jos näiden tietojen antaminen heikentäisi sitä perustetta, jolla rajoitusta sovelletaan (131). Rajoitusten väärinkäyttöä estävänä ylimääräisenä suojatoimena rekisterinpitäjän on kirjattava syyt tietojen rajoittamiseen ja annettava tiedot pyydettäessä tietosuojavaltuutetun käyttöön (132).

131

132

| (71) | Jos rekisterinpitäjä kieltäytyy antamasta läpinäkyvyyteen liittyviä lisätietoja tai antamasta pääsyn tietoihin taikka hylkää oikaisua, poistamista tai käsittelyn rajoittamista koskevan pyynnön, henkilö voi pyytää tietosuojavaltuutettua tutkimaan, onko rekisterinpitäjä käyttänyt rajoitusta lainmukaisesti (133). Asianomainen henkilö voi myös tehdä valituksen tietosuojavaltuutetulle tai pyytää tuomioistuinta määräämään rekisterinpitäjän noudattamaan pyyntöä (134). |
| --- | --- |

(71)

Jos rekisterinpitäjä kieltäytyy antamasta läpinäkyvyyteen liittyviä lisätietoja tai antamasta pääsyn tietoihin taikka hylkää oikaisua, poistamista tai käsittelyn rajoittamista koskevan pyynnön, henkilö voi pyytää tietosuojavaltuutettua tutkimaan, onko rekisterinpitäjä käyttänyt rajoitusta lainmukaisesti (133). Asianomainen henkilö voi myös tehdä valituksen tietosuojavaltuutetulle tai pyytää tuomioistuinta määräämään rekisterinpitäjän noudattamaan pyyntöä (134).

133

134

2.4.7.2   Automatisoidut päätökset

Automatisoidut päätökset

| (72) | Vuoden 2018 tietosuojalain 49 ja 50 § kattavat automatisoituun päätöksentekoon liittyvät oikeudet ja sovellettavat suojatoimet (135). Rekisterinpitäjä voi tehdä merkittävän päätöksen, joka perustuu pelkästään henkilötietojen automatisoituun käsittelyyn, jos sitä edellytetään tai se sallitaan laissa, kuten myös direktiivin (EU) 2016/680 11 artiklassa säädetään (136). Päätös on merkittävä, jos sillä olisi rekisteröityä koskevia kielteisiä oikeusvaikutuksia tai jos se vaikuttaisi merkittävästi rekisteröityyn (137). |
| --- | --- |

(72)

Vuoden 2018 tietosuojalain 49 ja 50 § kattavat automatisoituun päätöksentekoon liittyvät oikeudet ja sovellettavat suojatoimet (135). Rekisterinpitäjä voi tehdä merkittävän päätöksen, joka perustuu pelkästään henkilötietojen automatisoituun käsittelyyn, jos sitä edellytetään tai se sallitaan laissa, kuten myös direktiivin (EU) 2016/680 11 artiklassa säädetään (136). Päätös on merkittävä, jos sillä olisi rekisteröityä koskevia kielteisiä oikeusvaikutuksia tai jos se vaikuttaisi merkittävästi rekisteröityyn (137).

135

136

137

| (73) | Jos rekisterinpitäjän on lain mukaan tehtävä merkittävä päätös tai sillä on lupa tehdä merkittävä päätös, vuoden 2018 tietosuojalain 50 §:ssä säädetään suojatoimista, joita sovelletaan tällaiseen päätökseen (joka määritellään ”vaatimukset täyttäväksi merkittäväksi päätökseksi”). Rekisterinpitäjän on mahdollisimman pian ilmoitettava rekisteröidylle, että tällainen päätös on tehty. Rekisteröity voi kuukauden kuluessa pyytää rekisterinpitäjää harkitsemaan päätöstä uudelleen tai tekemään uuden päätöksen, joka ei perustu pelkästään automatisoituun käsittelyyn. Rekisterinpitäjän on tarkasteltava pyyntöä ja ilmoitettava rekisteröidylle käsittelyn tuloksesta. Vuoden 2018 tietosuojalaissa annetaan Secretary of Statelle valtuudet antaa asetuksia täydentävistä suojatoimista (138). Tällaisia asetuksia ei ole vielä annettu. |
| --- | --- |

(73)

Jos rekisterinpitäjän on lain mukaan tehtävä merkittävä päätös tai sillä on lupa tehdä merkittävä päätös, vuoden 2018 tietosuojalain 50 §:ssä säädetään suojatoimista, joita sovelletaan tällaiseen päätökseen (joka määritellään ”vaatimukset täyttäväksi merkittäväksi päätökseksi”). Rekisterinpitäjän on mahdollisimman pian ilmoitettava rekisteröidylle, että tällainen päätös on tehty. Rekisteröity voi kuukauden kuluessa pyytää rekisterinpitäjää harkitsemaan päätöstä uudelleen tai tekemään uuden päätöksen, joka ei perustu pelkästään automatisoituun käsittelyyn. Rekisterinpitäjän on tarkasteltava pyyntöä ja ilmoitettava rekisteröidylle käsittelyn tuloksesta. Vuoden 2018 tietosuojalaissa annetaan Secretary of Statelle valtuudet antaa asetuksia täydentävistä suojatoimista (138). Tällaisia asetuksia ei ole vielä annettu.

138

2.4.8   Tietojen siirtäminen edelleen

Tietojen siirtäminen edelleen

| (74) | Jäsenvaltion lainvalvontaviranomaiselta Yhdistyneen kuningaskunnan lainvalvontaviranomaiselle siirrettyjen henkilötietojen suojan tasoa ei saa heikentää, kun näitä tietoja siirretään edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan lainvalvontaviranomaisen näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa. |
| --- | --- |

(74)

Jäsenvaltion lainvalvontaviranomaiselta Yhdistyneen kuningaskunnan lainvalvontaviranomaiselle siirrettyjen henkilötietojen suojan tasoa ei saa heikentää, kun näitä tietoja siirretään edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan lainvalvontaviranomaisen näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa.

| (75) | Kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää säännellään vuoden 2018 tietosuojalain 3 osan 5 luvussa (139), ja se vastaa direktiivin (EU) 2016/680 V luvussa omaksuttua lähestymistapaa. Jotta henkilötietoja voidaan siirtää kolmanteen maahan, toimivaltaisen viranomaisen on erityisesti täytettävä seuraavat kolme edellytystä: a ) siirron on oltava tarpeen lainvalvontatarkoitusta varten; b) siirron on perustuttava i) kolmannen maan osalta tietosuojan riittävyyttä koskevaan asetukseen, ii) jos se ei perustu tietosuojan riittävyyttä koskevaan asetukseen, asianmukaisten suojatoimien olemassaoloon tai iii) jos se ei perustu tietosuojan riittävyyttä koskevaan päätökseen tai asianmukaisiin suojatoimiin, sen on perustuttava erityisiin olosuhteisiin; ja c) siirron vastaanottajan on oltava i) kolmannen maan asiaankuuluva viranomainen (eli toimivaltaista viranomaista vastaava viranomainen); ii) ”asianomainen kansainvälinen järjestö”, esimerkiksi kansainvälinen elin, joka suorittaa tehtäviä, jotka vastaavat mitä tahansa lainvalvontatarkoitusta; tai iii) muu henkilö kuin asiaankuuluva viranomainen, mutta vain jos siirto on ehdottoman välttämätön jonkin lainvalvontatarkoituksen suorittamiseksi; asianomaisen rekisteröidyn perusoikeudet ja -vapaudet eivät syrjäytä yleistä etua, jonka perusteella siirto on tarpeen; henkilötietojen siirtäminen kolmannen maan asianomaiselle viranomaiselle olisi tehotonta tai epätarkoituksenmukaista; ja vastaanottajalle ilmoitetaan tarkoitukset, joita varten tietoja voidaan käsitellä (140). |
| --- | --- |

(75)

Kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää säännellään vuoden 2018 tietosuojalain 3 osan 5 luvussa (139), ja se vastaa direktiivin (EU) 2016/680 V luvussa omaksuttua lähestymistapaa. Jotta henkilötietoja voidaan siirtää kolmanteen maahan, toimivaltaisen viranomaisen on erityisesti täytettävä seuraavat kolme edellytystä: a ) siirron on oltava tarpeen lainvalvontatarkoitusta varten; b) siirron on perustuttava i) kolmannen maan osalta tietosuojan riittävyyttä koskevaan asetukseen, ii) jos se ei perustu tietosuojan riittävyyttä koskevaan asetukseen, asianmukaisten suojatoimien olemassaoloon tai iii) jos se ei perustu tietosuojan riittävyyttä koskevaan päätökseen tai asianmukaisiin suojatoimiin, sen on perustuttava erityisiin olosuhteisiin; ja c) siirron vastaanottajan on oltava i) kolmannen maan asiaankuuluva viranomainen (eli toimivaltaista viranomaista vastaava viranomainen); ii) ”asianomainen kansainvälinen järjestö”, esimerkiksi kansainvälinen elin, joka suorittaa tehtäviä, jotka vastaavat mitä tahansa lainvalvontatarkoitusta; tai iii) muu henkilö kuin asiaankuuluva viranomainen, mutta vain jos siirto on ehdottoman välttämätön jonkin lainvalvontatarkoituksen suorittamiseksi; asianomaisen rekisteröidyn perusoikeudet ja -vapaudet eivät syrjäytä yleistä etua, jonka perusteella siirto on tarpeen; henkilötietojen siirtäminen kolmannen maan asianomaiselle viranomaiselle olisi tehotonta tai epätarkoituksenmukaista; ja vastaanottajalle ilmoitetaan tarkoitukset, joita varten tietoja voidaan käsitellä (140).

139

140

| (76) | Secretary of State antaa kolmanteen maahan, kolmannen maan alueeseen tai sektoriin tai kansainväliseen järjestöön sovellettavat tietosuojan riittävyyttä koskevat määräykset tai tällaisen maan, alueen, sektorin tai järjestön kuvauksen (141). Secretary of Staten on arvioitava, takaako kyseinen alue/ala/organisaatio henkilötietojen suojan riittävän tason. Vuoden 2018 tietosuojalain 74A §:n 4 momentissa täsmennetään, että tätä varten Secretary of Staten on otettava huomioon useita direktiivin (EU) 2016/680 36 artiklassa lueteltujen kaltaisia seikkoja (142). Tältä osin vuoden 2018 tietosuojalain 3 osa on siirtymäkauden päättymisestä lähtien ollut ”EU-oikeudesta johdettua sisäistä lainsäädäntöä”, jota Yhdistyneen kuningaskunnan tuomioistuimet tulkitsevat, kuten selitettiin, asiaa koskevan unionin tuomioistuimen sellaisen oikeuskäytännön mukaisesti, joka on annettu ennen Yhdistyneen kuningaskunnan eroa unionista, ja unionin oikeuden yleisten periaatteiden mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. Tämä sisältää ”olennaisen vastaavuuden” vaatimuksen, jota sovelletaan Yhdistyneen kuningaskunnan viranomaisten suorittamiin riittävyysarviointeihin. |
| --- | --- |

(76)

Secretary of State antaa kolmanteen maahan, kolmannen maan alueeseen tai sektoriin tai kansainväliseen järjestöön sovellettavat tietosuojan riittävyyttä koskevat määräykset tai tällaisen maan, alueen, sektorin tai järjestön kuvauksen (141). Secretary of Staten on arvioitava, takaako kyseinen alue/ala/organisaatio henkilötietojen suojan riittävän tason. Vuoden 2018 tietosuojalain 74A §:n 4 momentissa täsmennetään, että tätä varten Secretary of Staten on otettava huomioon useita direktiivin (EU) 2016/680 36 artiklassa lueteltujen kaltaisia seikkoja (142). Tältä osin vuoden 2018 tietosuojalain 3 osa on siirtymäkauden päättymisestä lähtien ollut ”EU-oikeudesta johdettua sisäistä lainsäädäntöä”, jota Yhdistyneen kuningaskunnan tuomioistuimet tulkitsevat, kuten selitettiin, asiaa koskevan unionin tuomioistuimen sellaisen oikeuskäytännön mukaisesti, joka on annettu ennen Yhdistyneen kuningaskunnan eroa unionista, ja unionin oikeuden yleisten periaatteiden mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. Tämä sisältää ”olennaisen vastaavuuden” vaatimuksen, jota sovelletaan Yhdistyneen kuningaskunnan viranomaisten suorittamiin riittävyysarviointeihin.

141

142

| (77) | Menettelyn osalta asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan tulevien asetusten ehdottamista (143). Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (144). |
| --- | --- |

(77)

Menettelyn osalta asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan tulevien asetusten ehdottamista (143). Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (144).

143

144

| (78) | Vuoden 2018 tietosuojalain 74B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että jokin maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi. |
| --- | --- |

(78)

Vuoden 2018 tietosuojalain 74B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että jokin maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi.

| (79) | Samoin kuin direktiivin (EU) 2016/680 37 artiklassa säädetään, tietosuojan riittävyyttä koskevan asetuksen puuttuessa henkilötietojen siirto lainvalvonta-alalla olisi mahdollista, kun asianmukaiset suojatoimet on toteutettu. Tällaiset suojatoimet varmistetaan joko a) oikeudellisesti sitovalla välineellä, joka sisältää asianmukaiset suojatoimet henkilötietojen suojaamiseksi tai b) rekisterinpitäjän suorittamalla arvioinnilla, jossa se kaikki siirtoon liittyvät olosuhteet arvioituaan päätyy siihen, että henkilötietojen suojaamiseksi on olemassa asianmukaiset suojatoimet (145). Lisäksi kun siirrot perustuvat asianmukaisiin suojatoimiin, vuoden 2018 tietosuojalaissa säädetään, että tietosuojavaltuutetun tavanomaisen valvontatehtävän lisäksi toimivaltaisten viranomaisten on annettava tarkat tiedot siirroista tietosuojavaltuutetulle (146). |
| --- | --- |

(79)

Samoin kuin direktiivin (EU) 2016/680 37 artiklassa säädetään, tietosuojan riittävyyttä koskevan asetuksen puuttuessa henkilötietojen siirto lainvalvonta-alalla olisi mahdollista, kun asianmukaiset suojatoimet on toteutettu. Tällaiset suojatoimet varmistetaan joko a) oikeudellisesti sitovalla välineellä, joka sisältää asianmukaiset suojatoimet henkilötietojen suojaamiseksi tai b) rekisterinpitäjän suorittamalla arvioinnilla, jossa se kaikki siirtoon liittyvät olosuhteet arvioituaan päätyy siihen, että henkilötietojen suojaamiseksi on olemassa asianmukaiset suojatoimet (145). Lisäksi kun siirrot perustuvat asianmukaisiin suojatoimiin, vuoden 2018 tietosuojalaissa säädetään, että tietosuojavaltuutetun tavanomaisen valvontatehtävän lisäksi toimivaltaisten viranomaisten on annettava tarkat tiedot siirroista tietosuojavaltuutetulle (146).

145

146

| (80) | Jos siirto ei perustu tietosuojan riittävyyttä koskevaan päätökseen tai asianmukaisiin suojatoimiin, se voidaan toteuttaa vain tietyissä olosuhteissa, joista käytetään nimitystä ”erityiset olosuhteet” (147). Näin on silloin, kun siirto on tarpeen a) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; b) rekisteröidyn oikeutettujen etujen turvaamiseksi; c) kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi; d) yksittäistapauksissa jotakin lainvalvontatarkoitusta varten; tai e) yksittäistapauksissa jotakin oikeudellista tarkoitusta varten (esimerkiksi oikeudenkäyntiä tai oikeudellisen neuvonnan saamista varten) (148). Todettakoon, että d ja e alakohtaa ei sovelleta, jos rekisteröidyn oikeudet ja vapaudet syrjäyttävät siirtoon liittyvän yleisen edun (149). Nämä olosuhteet vastaavat niitä erityistilanteita ja -edellytyksiä, joita voidaan pitää direktiivin (EU) 2016/680 38 artiklassa tarkoitettuina ”poikkeuksina”. |
| --- | --- |

(80)

Jos siirto ei perustu tietosuojan riittävyyttä koskevaan päätökseen tai asianmukaisiin suojatoimiin, se voidaan toteuttaa vain tietyissä olosuhteissa, joista käytetään nimitystä ”erityiset olosuhteet” (147). Näin on silloin, kun siirto on tarpeen a) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; b) rekisteröidyn oikeutettujen etujen turvaamiseksi; c) kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi; d) yksittäistapauksissa jotakin lainvalvontatarkoitusta varten; tai e) yksittäistapauksissa jotakin oikeudellista tarkoitusta varten (esimerkiksi oikeudenkäyntiä tai oikeudellisen neuvonnan saamista varten) (148). Todettakoon, että d ja e alakohtaa ei sovelleta, jos rekisteröidyn oikeudet ja vapaudet syrjäyttävät siirtoon liittyvän yleisen edun (149). Nämä olosuhteet vastaavat niitä erityistilanteita ja -edellytyksiä, joita voidaan pitää direktiivin (EU) 2016/680 38 artiklassa tarkoitettuina ”poikkeuksina”.

147

148

149

| (81) | Näissä olosuhteissa siirron päivämäärä, kellonaika ja perustelut, vastaanottajan nimi ja muut merkitykselliset tiedot sekä siirrettyjen henkilötietojen kuvaus on dokumentoitava ja toimitettava pyynnöstä tietosuojavaltuutetulle (150). |
| --- | --- |

(81)

Näissä olosuhteissa siirron päivämäärä, kellonaika ja perustelut, vastaanottajan nimi ja muut merkitykselliset tiedot sekä siirrettyjen henkilötietojen kuvaus on dokumentoitava ja toimitettava pyynnöstä tietosuojavaltuutetulle (150).

150

| (82) | Vuoden 2018 tietosuojalain 78 §:ssä säädetään myöhemmistä siirroista eli tilanteesta, jossa Yhdistyneestä kuningaskunnasta kolmanteen maahan siirretyt henkilötiedot siirretään myöhemmin toiseen kolmanteen maahan tai kansainväliselle järjestölle. Lain 78 §:n 1 momentin mukaan Yhdistyneen kuningaskunnan siirtävän rekisterinpitäjän on asetettava siirron ehdoksi, että tietoja ei siirretä edelleen kolmanteen maahan ilman siirtävän rekisterinpitäjän lupaa. Lisäksi 78 §:n 3 momentin mukaan ja samoin kuin direktiivin (EU) 2016/680 35 artiklan 1 kohdan e alakohdassa säädetään, jos tällainen lupa vaaditaan, sovelletaan useita aineellisia vaatimuksia. Tarkemmin sanottuna toimivaltaisen viranomaisen on siirron hyväksymisestä päättäessään varmistettava, että siirto on tarpeen lainvalvontatarkoituksessa, ja otettava huomioon muun muassa a) lupapyyntöön johtaneiden olosuhteiden vakavuus, b) tarkoitus, jota varten henkilötiedot alun perin siirrettiin, ja c) henkilötietojen suojaa koskevat vaatimukset, joita sovelletaan siinä kolmannessa maassa tai kansainvälisessä järjestössä, johon henkilötiedot siirrettäisiin. |
| --- | --- |

(82)

Vuoden 2018 tietosuojalain 78 §:ssä säädetään myöhemmistä siirroista eli tilanteesta, jossa Yhdistyneestä kuningaskunnasta kolmanteen maahan siirretyt henkilötiedot siirretään myöhemmin toiseen kolmanteen maahan tai kansainväliselle järjestölle. Lain 78 §:n 1 momentin mukaan Yhdistyneen kuningaskunnan siirtävän rekisterinpitäjän on asetettava siirron ehdoksi, että tietoja ei siirretä edelleen kolmanteen maahan ilman siirtävän rekisterinpitäjän lupaa. Lisäksi 78 §:n 3 momentin mukaan ja samoin kuin direktiivin (EU) 2016/680 35 artiklan 1 kohdan e alakohdassa säädetään, jos tällainen lupa vaaditaan, sovelletaan useita aineellisia vaatimuksia. Tarkemmin sanottuna toimivaltaisen viranomaisen on siirron hyväksymisestä päättäessään varmistettava, että siirto on tarpeen lainvalvontatarkoituksessa, ja otettava huomioon muun muassa a) lupapyyntöön johtaneiden olosuhteiden vakavuus, b) tarkoitus, jota varten henkilötiedot alun perin siirrettiin, ja c) henkilötietojen suojaa koskevat vaatimukset, joita sovelletaan siinä kolmannessa maassa tai kansainvälisessä järjestössä, johon henkilötiedot siirrettäisiin.

| (83) | Lisäksi silloin, kun Yhdistyneestä kuningaskunnasta edelleen siirrettävät tiedot oli alun perin siirretty Euroopan unionista, sovelletaan ylimääräisiä suojatoimia. |
| --- | --- |

(83)

Lisäksi silloin, kun Yhdistyneestä kuningaskunnasta edelleen siirrettävät tiedot oli alun perin siirretty Euroopan unionista, sovelletaan ylimääräisiä suojatoimia.

| (84) | Ensinnäkin vuoden 2018 tietosuojalain 73 §:n 1 momentin b kohdassa – samoin kuin direktiivin (EU) 2016/680 35 artiklan 1 kohdan c alakohdassa – säädetään, että jos jäsenvaltio on alun perin siirtänyt henkilötiedot rekisterinpitäjälle tai muulle toimivaltaiselle viranomaiselle tai asettanut ne muutoin rekisterinpitäjälle tai muulle toimivaltaiselle viranomaiselle, kyseisen jäsenvaltion tai tähän jäsenvaltioon sijoittautuneen henkilön, joka on direktiivissä (EU) 2016/680 tarkoitettu toimivaltainen viranomainen, jäsenvaltion lainsäädännön mukaisesti siirtoon antama lupa on edellytyksenä. |
| --- | --- |

(84)

Ensinnäkin vuoden 2018 tietosuojalain 73 §:n 1 momentin b kohdassa – samoin kuin direktiivin (EU) 2016/680 35 artiklan 1 kohdan c alakohdassa – säädetään, että jos jäsenvaltio on alun perin siirtänyt henkilötiedot rekisterinpitäjälle tai muulle toimivaltaiselle viranomaiselle tai asettanut ne muutoin rekisterinpitäjälle tai muulle toimivaltaiselle viranomaiselle, kyseisen jäsenvaltion tai tähän jäsenvaltioon sijoittautuneen henkilön, joka on direktiivissä (EU) 2016/680 tarkoitettu toimivaltainen viranomainen, jäsenvaltion lainsäädännön mukaisesti siirtoon antama lupa on edellytyksenä.

| (85) | Samoin kuin direktiivin (EU) 2016/680 35 artiklan 2 kohdassa säädetään, tällaista lupaa ei kuitenkaan vaadita, jos a) siirto on tarpeen joko jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen tai jäsenvaltion olennaisiin etuihin kohdistuvan välittömän ja vakavan uhan estämiseksi ja b) lupaa ei voida saada ajoissa. Tässä tapauksessa sen jäsenvaltion viranomaiselle, joka olisi ollut vastuussa siirron hyväksymisestä, on ilmoitettava asiasta viipymättä (151). |
| --- | --- |

(85)

Samoin kuin direktiivin (EU) 2016/680 35 artiklan 2 kohdassa säädetään, tällaista lupaa ei kuitenkaan vaadita, jos a) siirto on tarpeen joko jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen tai jäsenvaltion olennaisiin etuihin kohdistuvan välittömän ja vakavan uhan estämiseksi ja b) lupaa ei voida saada ajoissa. Tässä tapauksessa sen jäsenvaltion viranomaiselle, joka olisi ollut vastuussa siirron hyväksymisestä, on ilmoitettava asiasta viipymättä (151).

151

| (86) | Toiseksi samaa lähestymistapaa sovelletaan silloin, kun tiedot on alun perin siirretty Euroopan unionista Yhdistyneeseen kuningaskuntaan, minkä jälkeen Yhdistynyt kuningaskunta on siirtänyt ne edelleen kolmanteen maahan, joka myöhemmin siirtää ne edelleen kolmanteen maahan. Tässä tapauksessa Yhdistyneen kuningaskunnan toimivaltainen viranomainen ei voi 78 §:n 4 momentin nojalla antaa lupaa jälkimmäiselle siirrolle 78 §:n 1 momentin nojalla, paitsi jos jäsenvaltio, joka on alun perin siirtänyt kyseiset tiedot, tai tähän jäsenvaltioon sijoittautunut henkilö, joka on lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetussa direktiivissä tarkoitettu toimivaltainen viranomainen, on antanut siirtoon luvan jäsenvaltion lainsäädännön mukaisesti. Nämä suojatoimet ovat tärkeitä, koska ne antavat jäsenvaltioiden viranomaisille mahdollisuuden varmistaa suojan jatkuvuus EU:n tietosuojalainsäädäntöä noudattaen koko siirtoketjun ajan. |
| --- | --- |

(86)

Toiseksi samaa lähestymistapaa sovelletaan silloin, kun tiedot on alun perin siirretty Euroopan unionista Yhdistyneeseen kuningaskuntaan, minkä jälkeen Yhdistynyt kuningaskunta on siirtänyt ne edelleen kolmanteen maahan, joka myöhemmin siirtää ne edelleen kolmanteen maahan. Tässä tapauksessa Yhdistyneen kuningaskunnan toimivaltainen viranomainen ei voi 78 §:n 4 momentin nojalla antaa lupaa jälkimmäiselle siirrolle 78 §:n 1 momentin nojalla, paitsi jos jäsenvaltio, joka on alun perin siirtänyt kyseiset tiedot, tai tähän jäsenvaltioon sijoittautunut henkilö, joka on lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetussa direktiivissä tarkoitettu toimivaltainen viranomainen, on antanut siirtoon luvan jäsenvaltion lainsäädännön mukaisesti. Nämä suojatoimet ovat tärkeitä, koska ne antavat jäsenvaltioiden viranomaisille mahdollisuuden varmistaa suojan jatkuvuus EU:n tietosuojalainsäädäntöä noudattaen koko siirtoketjun ajan.

| (87) | Kansainvälisiä siirtoja koskevien uusien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä (152). Liitteessä 21 olevassa 10–12 kohdassa (otettu käyttöön DPPC-säädöksellä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan, ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Näihin siirtoihin kuuluvat siirrot jäsenvaltioon, EFTA-valtioon, kolmanteen maahan, josta EU on tehnyt tietosuojan tason riittävyyttä koskevan päätöksen siirtymäkauden päättyessä, sekä Gibraltarin alueelle. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista unionista. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä. |
| --- | --- |

(87)

Kansainvälisiä siirtoja koskevien uusien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä (152). Liitteessä 21 olevassa 10–12 kohdassa (otettu käyttöön DPPC-säädöksellä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan, ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Näihin siirtoihin kuuluvat siirrot jäsenvaltioon, EFTA-valtioon, kolmanteen maahan, josta EU on tehnyt tietosuojan tason riittävyyttä koskevan päätöksen siirtymäkauden päättyessä, sekä Gibraltarin alueelle. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista unionista. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä.

152

2.4.9   Vastuuvelvollisuus

Vastuuvelvollisuus

| (88) | Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien viranomaisten on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja myös osoittaa sen erityisesti toimivaltaiselle valvontaviranomaiselle. |
| --- | --- |

(88)

Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien viranomaisten on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja myös osoittaa sen erityisesti toimivaltaiselle valvontaviranomaiselle.

| (89) | Tämä periaate on otettu huomioon vuoden 2018 tietosuojalain 56 §:ssä, jossa asetetaan rekisterinpitäjälle yleinen vastuuvelvollisuus eli velvoite toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet sen varmistamiseksi ja osoittamiseksi, että henkilötietojen käsittely on vuoden 2018 tietosuojalain 3 osan vaatimusten mukaista. Toteutettuja toimenpiteitä on tarkasteltava uudelleen ja päivitettävä tarvittaessa, ja jos se on oikeasuhteista käsittelyyn nähden, toteutettava asianmukaiset tietosuojaperiaatteet. |
| --- | --- |

(89)

Tämä periaate on otettu huomioon vuoden 2018 tietosuojalain 56 §:ssä, jossa asetetaan rekisterinpitäjälle yleinen vastuuvelvollisuus eli velvoite toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet sen varmistamiseksi ja osoittamiseksi, että henkilötietojen käsittely on vuoden 2018 tietosuojalain 3 osan vaatimusten mukaista. Toteutettuja toimenpiteitä on tarkasteltava uudelleen ja päivitettävä tarvittaessa, ja jos se on oikeasuhteista käsittelyyn nähden, toteutettava asianmukaiset tietosuojaperiaatteet.

| (90) | Samoin kuin direktiivin (EU) 2016/680 IV luvussa, vuoden 2018 tietosuojalain 55–71 §:ssä säädetään erilaisista mekanismeista, joilla varmistetaan vastuuvelvollisuus ja annetaan rekisterinpitäjille ja henkilötietojen käsittelijöille mahdollisuus osoittaa vaatimustenmukaisuus. Rekisterinpitäjien on erityisesti toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja eli varmistettava, että tietosuojaperiaatteet pannaan tehokkaasti täytäntöön. Niiden on myös pidettävä kirjaa kaikista rekisterinpitäjän vastuulla olevista käsittelytoimien luokista (mukaan lukien rekisterinpitäjän henkilöllisyys, tietosuojavastaavan yhteystiedot, käsittelyn tarkoitukset, tietojen vastaanottajien ryhmät, kuvaus rekisteröityjen ryhmistä ja henkilötiedot) ja pidettävä nämä tiedot pyynnöstä tietosuojavaltuutetun saatavilla. Rekisterinpitäjän ja henkilötietojen käsittelijän on myös säilytettävä lokitiedot tietyistä käsittelytoimista ja annettava ne tietosuojavaltuutetun käyttöön (153). Rekisterinpitäjien on myös avustettava tietosuojavaltuutettua hänen tehtäviensä hoitamisessa. |
| --- | --- |

(90)

Samoin kuin direktiivin (EU) 2016/680 IV luvussa, vuoden 2018 tietosuojalain 55–71 §:ssä säädetään erilaisista mekanismeista, joilla varmistetaan vastuuvelvollisuus ja annetaan rekisterinpitäjille ja henkilötietojen käsittelijöille mahdollisuus osoittaa vaatimustenmukaisuus. Rekisterinpitäjien on erityisesti toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja eli varmistettava, että tietosuojaperiaatteet pannaan tehokkaasti täytäntöön. Niiden on myös pidettävä kirjaa kaikista rekisterinpitäjän vastuulla olevista käsittelytoimien luokista (mukaan lukien rekisterinpitäjän henkilöllisyys, tietosuojavastaavan yhteystiedot, käsittelyn tarkoitukset, tietojen vastaanottajien ryhmät, kuvaus rekisteröityjen ryhmistä ja henkilötiedot) ja pidettävä nämä tiedot pyynnöstä tietosuojavaltuutetun saatavilla. Rekisterinpitäjän ja henkilötietojen käsittelijän on myös säilytettävä lokitiedot tietyistä käsittelytoimista ja annettava ne tietosuojavaltuutetun käyttöön (153). Rekisterinpitäjien on myös avustettava tietosuojavaltuutettua hänen tehtäviensä hoitamisessa.

153

| (91) | Vuoden 2018 tietosuojalaissa asetetaan myös lisävaatimuksia käsittelylle, joka todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille. Näihin kuuluu velvollisuus tehdä tietosuojaa koskevia vaikutustenarviointeja ja kuulla tietosuojavaltuutettua ennen käsittelyä, jos tällainen arviointi osoittaa, että käsittely aiheuttaisi suuren riskin yksilöiden oikeuksille ja vapauksille (jos ei ryhdytä toimiin riskin lieventämiseksi). |
| --- | --- |

(91)

Vuoden 2018 tietosuojalaissa asetetaan myös lisävaatimuksia käsittelylle, joka todennäköisesti aiheuttaa suuren riskin yksilöiden oikeuksille ja vapauksille. Näihin kuuluu velvollisuus tehdä tietosuojaa koskevia vaikutustenarviointeja ja kuulla tietosuojavaltuutettua ennen käsittelyä, jos tällainen arviointi osoittaa, että käsittely aiheuttaisi suuren riskin yksilöiden oikeuksille ja vapauksille (jos ei ryhdytä toimiin riskin lieventämiseksi).

| (92) | Rekisterinpitäjien on lisäksi nimitettävä tietosuojavastaava, paitsi jos rekisterinpitäjä on tuomioistuin tai muu oikeusviranomainen, joka toimii lainkäyttötehtävissä (154). Rekisterinpitäjän on varmistettava, että tietosuojavastaava osallistuu kaikkien henkilötietojen suojaan liittyvien kysymysten käsittelyyn, että hänellä on tarvittavat resurssit ja pääsy henkilötietoihin ja käsittelytoimiin ja että hän voi suorittaa tehtävänsä riippumattomasti. Tietosuojavastaavan tehtävistä säädetään vuoden 2018 tietosuojalain 71 §:ssä, ja niihin kuuluvat tietojen ja neuvojen antaminen, tietosuojasääntöjen noudattamisen valvonta sekä yhteistyö tietosuojavaltuutetun kanssa ja yhteyspisteenä toimiminen. Tehtäviään suorittaessaan tietosuojavastaavan on tutkittava käsittelytoimiin liittyvät riskit ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset. |
| --- | --- |

(92)

Rekisterinpitäjien on lisäksi nimitettävä tietosuojavastaava, paitsi jos rekisterinpitäjä on tuomioistuin tai muu oikeusviranomainen, joka toimii lainkäyttötehtävissä (154). Rekisterinpitäjän on varmistettava, että tietosuojavastaava osallistuu kaikkien henkilötietojen suojaan liittyvien kysymysten käsittelyyn, että hänellä on tarvittavat resurssit ja pääsy henkilötietoihin ja käsittelytoimiin ja että hän voi suorittaa tehtävänsä riippumattomasti. Tietosuojavastaavan tehtävistä säädetään vuoden 2018 tietosuojalain 71 §:ssä, ja niihin kuuluvat tietojen ja neuvojen antaminen, tietosuojasääntöjen noudattamisen valvonta sekä yhteistyö tietosuojavaltuutetun kanssa ja yhteyspisteenä toimiminen. Tehtäviään suorittaessaan tietosuojavastaavan on tutkittava käsittelytoimiin liittyvät riskit ottaen huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset.

154

2.5   Valvonta ja täytäntöönpano

Valvonta ja täytäntöönpano

2.5.1   Riippumaton valvonta

Riippumaton valvonta

| (93) | Sen varmistamiseksi, että tietosuojan riittävä taso taataan myös käytännössä, on oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen on toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään. |
| --- | --- |

(93)

Sen varmistamiseksi, että tietosuojan riittävä taso taataan myös käytännössä, on oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen on toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.

| (94) | Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner) (155). Tietosuojavaltuutettu valvoo myös toimivaltaisten viranomaisten vuoden 2018 tietosuojalain 3 osan nojalla suorittamaa henkilötietojen käsittelyä (156). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768 (157). Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa (158). |
| --- | --- |

(94)

Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner) (155). Tietosuojavaltuutettu valvoo myös toimivaltaisten viranomaisten vuoden 2018 tietosuojalain 3 osan nojalla suorittamaa henkilötietojen käsittelyä (156). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768 (157). Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa (158).

155

156

157

158

| (95) | Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa otetaan huomioon Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (159) 52 artiklan 1–3 kohdassa säädetyt vaatimukset. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa. |
| --- | --- |

(95)

Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa otetaan huomioon Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (159) 52 artiklan 1–3 kohdassa säädetyt vaatimukset. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa.

159

| (96) | Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Kuningatar nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, osaaminen ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (160) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen, kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Valiokunnan lausunto julkaistaan (161). |
| --- | --- |

(96)

Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Kuningatar nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, osaaminen ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (160) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen, kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Valiokunnan lausunto julkaistaan (161).

160

161

| (97) | Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella (162). Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt kyseiselle kamarille selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä (163). |
| --- | --- |

(97)

Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella (162). Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt kyseiselle kamarille selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä (163).

162

163

| (98) | Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (164) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (165); ii) avustus, jonka hallitus voi maksaa tietosuojavaltuutetulle ja jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset (166); iii) palveluista perittävät maksut (167). Tällä hetkellä tällaisia maksuja ei peritä. |
| --- | --- |

(98)

Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (164) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (165); ii) avustus, jonka hallitus voi maksaa tietosuojavaltuutetulle ja jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset (166); iii) palveluista perittävät maksut (167). Tällä hetkellä tällaisia maksuja ei peritä.

164

165

166

167

| (99) | Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluu vuoden 2018 tietosuojalain 3 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille, kuten jäljempänä esitetään. |
| --- | --- |

(99)

Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluu vuoden 2018 tietosuojalain 3 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille, kuten jäljempänä esitetään.

2.5.1.1   Täytäntöönpanon valvonta, ml. seuraamukset

Täytäntöönpanon valvonta, ml. seuraamukset

| (100) | Tietosuojavaltuutetulla on yleiset tutkintavaltuudet, korjaavat toimivaltuudet sekä hyväksymis- ja neuvontavaltuudet, kun on kyse vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelystä. Tietosuojavaltuutetulla on valtuudet ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle väitetystä 3 osan rikkomisesta, antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle varoitus siitä, että aiotut käsittelytoimet todennäköisesti rikkovat 3 osan säännöksiä, ja antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle huomautus, jos käsittelytoimet ovat rikkoneet 3 osan säännöksiä. Lisäksi tietosuojavaltuutettu voi omasta aloitteestaan tai pyynnöstä antaa lausuntoja Yhdistyneen kuningaskunnan parlamentille, hallitukselle tai muille toimielimille ja elimille sekä yleisölle kaikista henkilötietojen suojaan liittyvistä kysymyksistä (168). |
| --- | --- |

(100)

Tietosuojavaltuutetulla on yleiset tutkintavaltuudet, korjaavat toimivaltuudet sekä hyväksymis- ja neuvontavaltuudet, kun on kyse vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelystä. Tietosuojavaltuutetulla on valtuudet ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle väitetystä 3 osan rikkomisesta, antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle varoitus siitä, että aiotut käsittelytoimet todennäköisesti rikkovat 3 osan säännöksiä, ja antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle huomautus, jos käsittelytoimet ovat rikkoneet 3 osan säännöksiä. Lisäksi tietosuojavaltuutettu voi omasta aloitteestaan tai pyynnöstä antaa lausuntoja Yhdistyneen kuningaskunnan parlamentille, hallitukselle tai muille toimielimille ja elimille sekä yleisölle kaikista henkilötietojen suojaan liittyvistä kysymyksistä (168).

168

| (101) | Tietosuojavaltuutetulla on erityisesti toimivalta






  — | määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (169); |
| --- | --- | --- |

(101)

Tietosuojavaltuutetulla on erityisesti toimivalta

—

määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (169);

169

| — | suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (170); |
| --- | --- |

—

suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (170);

170

| — | hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”); |
| --- | --- |

—

hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”);

| — | käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja huomautuksia tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjät / henkilötietojen käsittelijät määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä (171); sekä |
| --- | --- |

—

käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja huomautuksia tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjät / henkilötietojen käsittelijät määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä (171); sekä

171

| — | määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (172). |
| --- | --- |

—

määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (172).

172

| (102) | Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä (173). Täytäntöönpanomääräyksessä voidaan asettaa vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina puutteen korjaamiseksi. Seuraamusmääräyksessä vaaditaan henkilöä maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Seuraamusmääräys voidaan antaa, jos vuoden 2018 tietosuojalain (174) tiettyjä säännöksiä ei ole noudatettu, tai se voidaan antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle, joka ei ole noudattanut tiedonanto-, tarkastus- tai täytäntöönpanopäätöstä. |
| --- | --- |

(102)

Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä (173). Täytäntöönpanomääräyksessä voidaan asettaa vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina puutteen korjaamiseksi. Seuraamusmääräyksessä vaaditaan henkilöä maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Seuraamusmääräys voidaan antaa, jos vuoden 2018 tietosuojalain (174) tiettyjä säännöksiä ei ole noudatettu, tai se voidaan antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle, joka ei ole noudattanut tiedonanto-, tarkastus- tai täytäntöönpanopäätöstä.

173

174

| (103) | Tarkemmin sanottuna päättäessään seuraamusmääräyksen antamisesta rekisterinpitäjälle tai henkilötietojen käsittelijälle ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon vuoden 2018 tietosuojalain 155 §:n 3 momentissa luetellut seikat, mukaan lukien laiminlyönnin luonne ja vakavuus, laiminlyönnin tahallisuus tai tuottamuksellisuus, rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimet rekisteröidyn kärsimän vahingon lieventämiseksi, rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste (ottaen huomioon rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat tekniset ja organisatoriset toimenpiteet), rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat laiminlyönnit, henkilötietojen ryhmät, joita laiminlyönti koskee, ja se, olisiko seuraamus tehokas, oikeasuhteinen ja varoittava. |
| --- | --- |

(103)

Tarkemmin sanottuna päättäessään seuraamusmääräyksen antamisesta rekisterinpitäjälle tai henkilötietojen käsittelijälle ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon vuoden 2018 tietosuojalain 155 §:n 3 momentissa luetellut seikat, mukaan lukien laiminlyönnin luonne ja vakavuus, laiminlyönnin tahallisuus tai tuottamuksellisuus, rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimet rekisteröidyn kärsimän vahingon lieventämiseksi, rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste (ottaen huomioon rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat tekniset ja organisatoriset toimenpiteet), rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat laiminlyönnit, henkilötietojen ryhmät, joita laiminlyönti koskee, ja se, olisiko seuraamus tehokas, oikeasuhteinen ja varoittava.

| (104) | Seuraamusmääräyksellä määrättävän seuraamuksen enimmäismäärä on 17 500 000 puntaa, kun kyse on tietosuojaperiaatteiden (vuoden 2018 tietosuojalain 35, 36, 37 §, 38 §:n 1 momentti, 39 §:n 1 momentti ja 40 §), läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien (vuoden 2018 tietosuojalain 44, 45, 46, 47, 48, 49, 52 ja 53 §) tai kansainvälisten henkilötietojen siirtoa koskevien periaatteiden (vuoden 2018 tietosuojalain 73, 75, 76, 77 ja 78 §) noudattamatta jättämisestä. Muussa tapauksessa seuraamuksen enimmäismäärä on 8 700 000 puntaa (175). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa. |
| --- | --- |

(104)

Seuraamusmääräyksellä määrättävän seuraamuksen enimmäismäärä on 17 500 000 puntaa, kun kyse on tietosuojaperiaatteiden (vuoden 2018 tietosuojalain 35, 36, 37 §, 38 §:n 1 momentti, 39 §:n 1 momentti ja 40 §), läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien (vuoden 2018 tietosuojalain 44, 45, 46, 47, 48, 49, 52 ja 53 §) tai kansainvälisten henkilötietojen siirtoa koskevien periaatteiden (vuoden 2018 tietosuojalain 73, 75, 76, 77 ja 78 §) noudattamatta jättämisestä. Muussa tapauksessa seuraamuksen enimmäismäärä on 8 700 000 puntaa (175). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa.

175

| (105) | Viimeisimpien vuosikertomustensa (2018–2019 (176), 2019–2020 (177)) mukaan tietosuojavaltuutettu on suorittanut useita tutkimuksia, jotka koskevat rikosoikeudellisten lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä. Esimerkiksi lokakuussa 2019 tietosuojavaltuutettu julkaisi tutkimustensa perusteella lausunnon, joka koskee kasvojentunnistusteknologian käyttöä julkisilla paikoilla lainvalvontatarkoituksia varten. Tutkimuksessa keskityttiin erityisesti siihen, miten Etelä-Walesin poliisi (South Wales Police) ja suur-Lontoon poliisi (Metropolitan Police Services) käyttävät reaaliaikaista kasvojentunnistusta. Tietosuojavaltuutettu on tutkinut myös suur-Lontoon poliisin jengitietokantaa (Gangs matrix) (178) ja todennut, että siihen liittyy useita vakavia tietosuojalainsäädännön rikkomisia, jotka todennäköisesti heikentäisivät yleisön luottamusta tietokantaan ja siihen, miten tietoja käytetään. |
| --- | --- |

(105)

Viimeisimpien vuosikertomustensa (2018–2019 (176), 2019–2020 (177)) mukaan tietosuojavaltuutettu on suorittanut useita tutkimuksia, jotka koskevat rikosoikeudellisten lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä. Esimerkiksi lokakuussa 2019 tietosuojavaltuutettu julkaisi tutkimustensa perusteella lausunnon, joka koskee kasvojentunnistusteknologian käyttöä julkisilla paikoilla lainvalvontatarkoituksia varten. Tutkimuksessa keskityttiin erityisesti siihen, miten Etelä-Walesin poliisi (South Wales Police) ja suur-Lontoon poliisi (Metropolitan Police Services) käyttävät reaaliaikaista kasvojentunnistusta. Tietosuojavaltuutettu on tutkinut myös suur-Lontoon poliisin jengitietokantaa (Gangs matrix) (178) ja todennut, että siihen liittyy useita vakavia tietosuojalainsäädännön rikkomisia, jotka todennäköisesti heikentäisivät yleisön luottamusta tietokantaan ja siihen, miten tietoja käytetään.

176

177

178

| (106) | Marraskuussa 2018 tietosuojavaltuutettu antoi täytäntöönpanomääräyksen, jonka nojalla suur-Lontoon poliisi toteutti tarvittavat toimet turvallisuuden ja vastuuvelvollisuuden lisäämiseksi ja sen varmistamiseksi, että tietoja käytetään oikeasuhteisesti. |
| --- | --- |

(106)

Marraskuussa 2018 tietosuojavaltuutettu antoi täytäntöönpanomääräyksen, jonka nojalla suur-Lontoon poliisi toteutti tarvittavat toimet turvallisuuden ja vastuuvelvollisuuden lisäämiseksi ja sen varmistamiseksi, että tietoja käytetään oikeasuhteisesti.

| (107) | Toinen esimerkki viimeaikaisista täytäntöönpanotoimista tällä alalla on tietosuojavaltuutetun toukokuussa 2018 määräämä 325 000 punnan sakko kruunun syyttäjäyksikölle poliisikuulustelujen tallenteita sisältävien salaamattomien DVD-levyjen katoamisen vuoksi. Tietosuojavaltuutettu on lisäksi tutkinut yleisempiä aiheita, kuten vuoden 2020 alkupuoliskolla matkapuhelintietojen käyttöä poliisitoiminnassa ja uhrien tietojen käsittelyä poliisin toimesta. |
| --- | --- |

(107)

Toinen esimerkki viimeaikaisista täytäntöönpanotoimista tällä alalla on tietosuojavaltuutetun toukokuussa 2018 määräämä 325 000 punnan sakko kruunun syyttäjäyksikölle poliisikuulustelujen tallenteita sisältävien salaamattomien DVD-levyjen katoamisen vuoksi. Tietosuojavaltuutettu on lisäksi tutkinut yleisempiä aiheita, kuten vuoden 2020 alkupuoliskolla matkapuhelintietojen käyttöä poliisitoiminnassa ja uhrien tietojen käsittelyä poliisin toimesta.

| (108) | Koska eräät tietosuojalainsäädännön loukkaukset ovat rikoksia, niiden perusteella voidaan määrätä myös rikosoikeudellisia seuraamuksia sen lisäksi, että niihin sovelletaan tietosuojavaltuutetun täytäntöönpanovaltuuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista ilman rekisterinpitäjän suostumusta ja luovutettujen henkilötietojen toimittamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (179); anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (180); tahallista toimintaa, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (181), väärien lausuntojen antamista tiedonantomääräyksen perusteella tai tietojen tuhoamista tiedonanto- ja arviointimääräysten yhteydessä (182). |
| --- | --- |

(108)

Koska eräät tietosuojalainsäädännön loukkaukset ovat rikoksia, niiden perusteella voidaan määrätä myös rikosoikeudellisia seuraamuksia sen lisäksi, että niihin sovelletaan tietosuojavaltuutetun täytäntöönpanovaltuuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista ilman rekisterinpitäjän suostumusta ja luovutettujen henkilötietojen toimittamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (179); anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (180); tahallista toimintaa, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (181), väärien lausuntojen antamista tiedonantomääräyksen perusteella tai tietojen tuhoamista tiedonanto- ja arviointimääräysten yhteydessä (182).

179

180

181

182

| (109) | Tietosuojavaltuutetulla on myös vuoden 2018 tietosuojalain 139 §:n nojalla velvollisuus antaa kummallekin parlamentin kamarille yleiskertomus lakisääteisten tehtäviensä hoitamisesta (183). |
| --- | --- |

(109)

Tietosuojavaltuutetulla on myös vuoden 2018 tietosuojalain 139 §:n nojalla velvollisuus antaa kummallekin parlamentin kamarille yleiskertomus lakisääteisten tehtäviensä hoitamisesta (183).

183

2.5.2   Oikeuslaitoksen valvonta

Oikeuslaitoksen valvonta

| (110) | Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (184), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin direktiivin (EU) 2016/680 32 artiklassa. |
| --- | --- |

(110)

Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (184), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin direktiivin (EU) 2016/680 32 artiklassa.

184

| (111) | Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (185). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (186), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (187) ja Skotlannin (188) oikeusviranomaiset. |
| --- | --- |

(111)

Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (185). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (186), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (187) ja Skotlannin (188) oikeusviranomaiset.

185

186

187

188

| (112) | Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court -tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (189). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä (190). |
| --- | --- |

(112)

Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court -tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (189). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä (190).

189

190

| (113) | Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä (191). |
| --- | --- |

(113)

Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä (191).

191

| (114) | Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa. |
| --- | --- |

(114)

Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa.

2.5.3   Oikeussuojakeinot

Oikeussuojakeinot

| (115) | Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta. |
| --- | --- |

(115)

Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta.

| (116) | Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 3 osan säännöksiä (192). Kuten johdanto-osan 100 ja 109 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja. |
| --- | --- |

(116)

Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 3 osan säännöksiä (192). Kuten johdanto-osan 100 ja 109 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja.

192

| (117) | Toiseksi vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Jos tietosuojavaltuutettu ei ”edistä” (193) rekisteröidyn tekemän valituksen käsittelyä, tämä voi hakea oikeussuojaa tuomioistuimelta pyytämällä, että First Tier Tribunal -tuomioistuin (194) määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä (195). Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä (196). |
| --- | --- |

(117)

Toiseksi vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Jos tietosuojavaltuutettu ei ”edistä” (193) rekisteröidyn tekemän valituksen käsittelyä, tämä voi hakea oikeussuojaa tuomioistuimelta pyytämällä, että First Tier Tribunal -tuomioistuin (194) määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä (195). Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä (196).

193

194

195

196

| (118) | Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä. Lisäksi vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka kärsii vahinkoa jonkin tietosuojalainsäädännössä (ml. vuoden 2018 tietosuojalain 3 osa, mutta pois lukien Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus) vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen rekisterinpitäjältä tai henkilötietojen käsittelijältä, paitsi jos nämä voivat osoittaa, etteivät ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä. |
| --- | --- |

(118)

Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä. Lisäksi vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka kärsii vahinkoa jonkin tietosuojalainsäädännössä (ml. vuoden 2018 tietosuojalain 3 osa, mutta pois lukien Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus) vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen rekisterinpitäjältä tai henkilötietojen käsittelijältä, paitsi jos nämä voivat osoittaa, etteivät ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä.

| (119) | Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. Vuoden 2018 tietosuojalain 3 osan mukaiset rekisterinpitäjät eli toimivaltaiset viranomaiset ovat aina viranomaisia vuoden 1998 ihmisoikeuslaissa tarkoitetussa merkityksessä. Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri (197). |
| --- | --- |

(119)

Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. Vuoden 2018 tietosuojalain 3 osan mukaiset rekisterinpitäjät eli toimivaltaiset viranomaiset ovat aina viranomaisia vuoden 1998 ihmisoikeuslaissa tarkoitetussa merkityksessä. Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri (197).

197

| (120) | Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa hyväksyä sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi (198). Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimuksessa taatun oikeuden kanssa. |
| --- | --- |

(120)

Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa hyväksyä sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi (198). Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimuksessa taatun oikeuden kanssa.

198

| (121) | Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu. |
| --- | --- |

(121)

Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu.

2.6   Tietojen edelleen jakaminen

Tietojen edelleen jakaminen

| (122) | Yhdistyneen kuningaskunnan lainsäädännön mukaan lainvalvontaviranomainen voi jakaa tietoja toisille Yhdistyneen kuningaskunnan viranomaisille muita kuin niitä tarkoituksia varten, johon ne alun perin kerättiin, jäljempänä ’tietojen edelleen jakaminen’, vain tiettyjen edellytysten täyttyessä. |
| --- | --- |

(122)

Yhdistyneen kuningaskunnan lainsäädännön mukaan lainvalvontaviranomainen voi jakaa tietoja toisille Yhdistyneen kuningaskunnan viranomaisille muita kuin niitä tarkoituksia varten, johon ne alun perin kerättiin, jäljempänä ’tietojen edelleen jakaminen’, vain tiettyjen edellytysten täyttyessä.

| (123) | Samoin kuin direktiivin (EU) 2016/680 4 artiklan 2 kohdassa, vuoden 2018 tietosuojalain 36 §:n 3 momentissa sallitaan toimivaltaisen viranomaisen lainvalvontatarkoituksia varten keräämien henkilötietojen myöhempi käsittely (joko alkuperäisen rekisterinpitäjän tai toisen rekisterinpitäjän toimesta) muuta kuin alkuperäistä lainvalvontatarkoitusta varten, sikäli kuin rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista muuta tarkoitusta varten ja käsittely on tarpeellista ja oikeasuhteista (199). Tässä tapauksessa vastaanottavan viranomaisen suorittamaan käsittelyyn sovelletaan kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä ja edellä käsiteltyjä suojatoimia. |
| --- | --- |

(123)

Samoin kuin direktiivin (EU) 2016/680 4 artiklan 2 kohdassa, vuoden 2018 tietosuojalain 36 §:n 3 momentissa sallitaan toimivaltaisen viranomaisen lainvalvontatarkoituksia varten keräämien henkilötietojen myöhempi käsittely (joko alkuperäisen rekisterinpitäjän tai toisen rekisterinpitäjän toimesta) muuta kuin alkuperäistä lainvalvontatarkoitusta varten, sikäli kuin rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista muuta tarkoitusta varten ja käsittely on tarpeellista ja oikeasuhteista (199). Tässä tapauksessa vastaanottavan viranomaisen suorittamaan käsittelyyn sovelletaan kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä ja edellä käsiteltyjä suojatoimia.

199

| (124) | Yhdistyneen kuningaskunnan oikeusjärjestyksessä tietojen edelleen jakaminen sallitaan nimenomaisesti eri laeissa. Muun muassa i) vuonna 2017 digitaalitaloudesta annetussa laissa (Digital Economy Act 2017) sallitaan tietojen jakaminen viranomaisten kesken eri tarkoituksia varten, esimerkiksi jos on kyse julkiseen sektoriin kohdistuvasta petoksesta, joka aiheuttaisi viranomaisille menetyksiä tai menetysten riskin (200) tai jos kyseessä on velka viranomaiselle tai valtiolle (the Crown) (201); ii) vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa sallitaan tietojen jakaminen kansallisen rikosviraston (202) kanssa vakavan ja järjestäytyneen rikollisuuden torjuntaa, tutkintaa ja syytteeseenpanoa varten; iii) vuonna 2007 vakavasta rikollisuudesta annetussa laissa (Serious Crime Act 2007) sallitaan viranomaisten paljastaa tietoja petostentorjunnasta vastaaville organisaatioille petostentorjuntaa varten (203). |
| --- | --- |

(124)

Yhdistyneen kuningaskunnan oikeusjärjestyksessä tietojen edelleen jakaminen sallitaan nimenomaisesti eri laeissa. Muun muassa i) vuonna 2017 digitaalitaloudesta annetussa laissa (Digital Economy Act 2017) sallitaan tietojen jakaminen viranomaisten kesken eri tarkoituksia varten, esimerkiksi jos on kyse julkiseen sektoriin kohdistuvasta petoksesta, joka aiheuttaisi viranomaisille menetyksiä tai menetysten riskin (200) tai jos kyseessä on velka viranomaiselle tai valtiolle (the Crown) (201); ii) vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa sallitaan tietojen jakaminen kansallisen rikosviraston (202) kanssa vakavan ja järjestäytyneen rikollisuuden torjuntaa, tutkintaa ja syytteeseenpanoa varten; iii) vuonna 2007 vakavasta rikollisuudesta annetussa laissa (Serious Crime Act 2007) sallitaan viranomaisten paljastaa tietoja petostentorjunnasta vastaaville organisaatioille petostentorjuntaa varten (203).

200

201

202

203

| (125) | Näissä laeissa säädetään nimenomaisesti, että tietojen jakamisessa on noudatettava vuoden 2018 tietosuojalaissa vahvistettuja sääntöjä. Lisäksi poliisiakatemia on antanut tietojen jakamista koskevia sisäisiä ohjeita (Authorised Professional Practice on Information Sharing) (204), joiden tarkoituksena on auttaa poliisia noudattamaan Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen, tietosuojalakiin ja vuoden 1998 ihmisoikeuslakiin perustuvia tietosuojavelvoitteitaan. Tuomioistuinvalvonnan avulla voidaan varmistaa, että tietojen jakamisen yhteydessä noudatetaan sovellettavaa tietosuojaa koskevaa oikeudellista kehystä (205). |
| --- | --- |

(125)

Näissä laeissa säädetään nimenomaisesti, että tietojen jakamisessa on noudatettava vuoden 2018 tietosuojalaissa vahvistettuja sääntöjä. Lisäksi poliisiakatemia on antanut tietojen jakamista koskevia sisäisiä ohjeita (Authorised Professional Practice on Information Sharing) (204), joiden tarkoituksena on auttaa poliisia noudattamaan Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen, tietosuojalakiin ja vuoden 1998 ihmisoikeuslakiin perustuvia tietosuojavelvoitteitaan. Tuomioistuinvalvonnan avulla voidaan varmistaa, että tietojen jakamisen yhteydessä noudatetaan sovellettavaa tietosuojaa koskevaa oikeudellista kehystä (205).

204

205

| (126) | Samoin kuin direktiivin (EU) 2016/680 9 artiklassa, vuoden 2018 tietosuojalaissa säädetään lisäksi, että lainvalvontatarkoitusta varten kerättyjä henkilötietoja voidaan käsitellä muussa kuin lainvalvontatarkoituksessa vain, jos tällainen käsittely sallitaan laissa (206). Tällainen jakaminen kattaa kaksi eri tapausta: 1) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja jonkin muun viranomaisen kanssa, tiedustelupalvelua lukuun ottamatta (eli esimerkiksi finanssivalvonta- tai veroviranomaisen, kilpailuviranomaisen tai lastensuojeluviranomaisen kanssa); ja 2) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja tiedustelupalvelun kanssa. Ensimmäisessä tapauksessa henkilötietojen käsittely kuuluu sekä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen että vuoden 2018 tietosuojalain 2 osan soveltamisalaan. Kuten asetuksen (EU) 2016/679 nojalla annetussa päätöksessä täsmennetään, Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalain 2 osassa säädetyt tietosuojatakeet tarjoavat pohjimmiltaan unionissa tarjotun tasoisen suojan (207). |
| --- | --- |

(126)

Samoin kuin direktiivin (EU) 2016/680 9 artiklassa, vuoden 2018 tietosuojalaissa säädetään lisäksi, että lainvalvontatarkoitusta varten kerättyjä henkilötietoja voidaan käsitellä muussa kuin lainvalvontatarkoituksessa vain, jos tällainen käsittely sallitaan laissa (206). Tällainen jakaminen kattaa kaksi eri tapausta: 1) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja jonkin muun viranomaisen kanssa, tiedustelupalvelua lukuun ottamatta (eli esimerkiksi finanssivalvonta- tai veroviranomaisen, kilpailuviranomaisen tai lastensuojeluviranomaisen kanssa); ja 2) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja tiedustelupalvelun kanssa. Ensimmäisessä tapauksessa henkilötietojen käsittely kuuluu sekä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen että vuoden 2018 tietosuojalain 2 osan soveltamisalaan. Kuten asetuksen (EU) 2016/679 nojalla annetussa päätöksessä täsmennetään, Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalain 2 osassa säädetyt tietosuojatakeet tarjoavat pohjimmiltaan unionissa tarjotun tasoisen suojan (207).

206

207

| (127) | Toisessa tapauksessa rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa keräämiään tietoja tiedustelupalvelun kanssa kansallisen turvallisuuden suojelemiseksi. Sovellettava oikeusperusta on tällöin vuoden 2008 terrorismintorjuntalaki (Counter Terrorism Act 2008) (208). Vuoden 2008 terrorismintorjuntalain nojalla kuka tahansa voi antaa tietoja mille tahansa tiedustelupalvelun yksikölle minkä tahansa kyseiselle yksikölle kuuluvan tehtävän suorittamista varten, ”kansallinen turvallisuus” mukaan lukien. |
| --- | --- |

(127)

Toisessa tapauksessa rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa keräämiään tietoja tiedustelupalvelun kanssa kansallisen turvallisuuden suojelemiseksi. Sovellettava oikeusperusta on tällöin vuoden 2008 terrorismintorjuntalaki (Counter Terrorism Act 2008) (208). Vuoden 2008 terrorismintorjuntalain nojalla kuka tahansa voi antaa tietoja mille tahansa tiedustelupalvelun yksikölle minkä tahansa kyseiselle yksikölle kuuluvan tehtävän suorittamista varten, ”kansallinen turvallisuus” mukaan lukien.

208

| (128) | Edellytyksistä, joiden mukaan tietoja voidaan jakaa kansallisen turvallisuuden suojelemiseksi, säädetään tiedustelupalvelulaissa (Intelligence Services Act) ja turvallisuuspalvelulaissa (Security Services Act). Niissä rajoitetaan tiedustelupalvelujen oikeus saada tietoja siihen, mikä on tarpeen niiden lakisääteisten tehtävien hoitamista varten. Jos vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvat lainvalvontavirastot haluavat jakaa tietoja tiedustelupalvelujen kanssa, niiden on otettava huomioon useita tekijöitä/rajoituksia niiden virastojen lakisääteisten tehtävien lisäksi, joista säädetään tiedustelupalvelulaissa ja turvallisuuspalvelulaissa (209). Vuoden 2008 terrorismintorjuntalain 20 §:ssä selvennetään, että jaettaessa tietoja mainitun lain 19 §:n nojalla on silti noudatettava tietosuojalainsäädäntöä, mikä tarkoittaa, että kaikkia vuoden 2018 tietosuojalaissa säädettyjä rajoituksia ja vaatimuksia sovelletaan. Lisäksi lainvalvontaviranomaiset ja tiedustelupalvelut ovat vuoden 1998 ihmisoikeuslaissa tarkoitettuja viranomaisia, joten niiden on varmistettava, että ne noudattavat toiminnassaan Euroopan ihmisoikeussopimuksessa ja erityisesti sen 8 artiklassa taattuja oikeuksia. Toisin sanoen nämä vaatimukset merkitsevät sitä, että kaikessa lainvalvontavirastojen ja tiedustelupalvelujen välisessä tietojen jakamisessa noudatetaan tietosuojalainsäädäntöä ja ihmisoikeussopimusta. |
| --- | --- |

(128)

Edellytyksistä, joiden mukaan tietoja voidaan jakaa kansallisen turvallisuuden suojelemiseksi, säädetään tiedustelupalvelulaissa (Intelligence Services Act) ja turvallisuuspalvelulaissa (Security Services Act). Niissä rajoitetaan tiedustelupalvelujen oikeus saada tietoja siihen, mikä on tarpeen niiden lakisääteisten tehtävien hoitamista varten. Jos vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvat lainvalvontavirastot haluavat jakaa tietoja tiedustelupalvelujen kanssa, niiden on otettava huomioon useita tekijöitä/rajoituksia niiden virastojen lakisääteisten tehtävien lisäksi, joista säädetään tiedustelupalvelulaissa ja turvallisuuspalvelulaissa (209). Vuoden 2008 terrorismintorjuntalain 20 §:ssä selvennetään, että jaettaessa tietoja mainitun lain 19 §:n nojalla on silti noudatettava tietosuojalainsäädäntöä, mikä tarkoittaa, että kaikkia vuoden 2018 tietosuojalaissa säädettyjä rajoituksia ja vaatimuksia sovelletaan. Lisäksi lainvalvontaviranomaiset ja tiedustelupalvelut ovat vuoden 1998 ihmisoikeuslaissa tarkoitettuja viranomaisia, joten niiden on varmistettava, että ne noudattavat toiminnassaan Euroopan ihmisoikeussopimuksessa ja erityisesti sen 8 artiklassa taattuja oikeuksia. Toisin sanoen nämä vaatimukset merkitsevät sitä, että kaikessa lainvalvontavirastojen ja tiedustelupalvelujen välisessä tietojen jakamisessa noudatetaan tietosuojalainsäädäntöä ja ihmisoikeussopimusta.

209

| (129) | Kun tiedustelupalvelut käsittelevät henkilötietoja, jotka on saatu lainvalvontaviranomaisilta kansallista turvallisuutta koskeviin tarkoituksiin, käsittelyyn sovelletaan useita edellytyksiä ja suojatoimia (210). Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (211); käyttötarkoituksen rajoittaminen (212); tietojen minimointi (213); täsmällisyys (214); säilyttämisen rajoittaminen (215) ja turvallisuus (216)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (217), säädetään rekisteröityjen oikeuksista (218), edellytetään sisäänrakennettua tietosuojaa (219) ja säännellään henkilötietojen kansainvälisiä siirtoja (220). |
| --- | --- |

(129)

Kun tiedustelupalvelut käsittelevät henkilötietoja, jotka on saatu lainvalvontaviranomaisilta kansallista turvallisuutta koskeviin tarkoituksiin, käsittelyyn sovelletaan useita edellytyksiä ja suojatoimia (210). Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (211); käyttötarkoituksen rajoittaminen (212); tietojen minimointi (213); täsmällisyys (214); säilyttämisen rajoittaminen (215) ja turvallisuus (216)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (217), säädetään rekisteröityjen oikeuksista (218), edellytetään sisäänrakennettua tietosuojaa (219) ja säännellään henkilötietojen kansainvälisiä siirtoja (220).

210

211

212

213

214

215

216

217

218

219

220

| (130) | Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan tiettyjä säännöksiä koskevasta poikkeuksesta silloin, kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Vuoden 2018 tietosuojalain 110 §:n 2 momentissa luetellaan säännökset, joista poikkeaminen sallitaan. Näitä ovat muun muassa tietosuojaperiaatteet (lainmukaisuusperiaatetta lukuun ottamatta), rekisteröidyn oikeudet, velvollisuus ilmoittaa tietoturvaloukkauksesta tietosuojavaltuutetulle, kansainvälisten velvoitteiden mukaiset tietosuojavaltuutetun tarkastusvaltuudet ja tietyt tietosuojavaltuutetun täytäntöönpanovaltuudet, säännökset joiden nojalla tietyt tietosuojaloukkaukset kriminalisoidaan sekä säännökset, jotka liittyvät erityisiin käsittelytarkoituksiin, kuten käsittely journalistisia, akateemisia tai taiteellisia tarkoituksia varten. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella (221). Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja sen oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle” (222). Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (223). |
| --- | --- |

(130)

Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan tiettyjä säännöksiä koskevasta poikkeuksesta silloin, kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Vuoden 2018 tietosuojalain 110 §:n 2 momentissa luetellaan säännökset, joista poikkeaminen sallitaan. Näitä ovat muun muassa tietosuojaperiaatteet (lainmukaisuusperiaatetta lukuun ottamatta), rekisteröidyn oikeudet, velvollisuus ilmoittaa tietoturvaloukkauksesta tietosuojavaltuutetulle, kansainvälisten velvoitteiden mukaiset tietosuojavaltuutetun tarkastusvaltuudet ja tietyt tietosuojavaltuutetun täytäntöönpanovaltuudet, säännökset joiden nojalla tietyt tietosuojaloukkaukset kriminalisoidaan sekä säännökset, jotka liittyvät erityisiin käsittelytarkoituksiin, kuten käsittely journalistisia, akateemisia tai taiteellisia tarkoituksia varten. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella (221). Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja sen oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle” (222). Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (223).

221

222

223

| (131) | Mahdollisuudesta rajoittaa näiden edellä mainittujen oikeuksien soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 79 §:ssä säädetään lisäksi, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on tai kyseiseen aikaan oli välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi (224). Yhdistyneen kuningaskunnan hallitus on antanut ohjeita vuoden 2018 tietosuojalain mukaisista kansallista turvallisuutta koskevista todistuksista. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä (225). Kaikki kansallista turvallisuutta koskevat todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla (226). |
| --- | --- |

(131)

Mahdollisuudesta rajoittaa näiden edellä mainittujen oikeuksien soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 79 §:ssä säädetään lisäksi, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on tai kyseiseen aikaan oli välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi (224). Yhdistyneen kuningaskunnan hallitus on antanut ohjeita vuoden 2018 tietosuojalain mukaisista kansallista turvallisuutta koskevista todistuksista. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä (225). Kaikki kansallista turvallisuutta koskevat todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla (226).

224

225

226

| (132) | Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen (227). Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan (228). |
| --- | --- |

(132)

Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen (227). Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan (228).

227

228

| (133) | On huomattava, että kansallista turvallisuutta koskevat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain, jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota on sovellettava tapauskohtaisesti. Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua (229). |
| --- | --- |

(133)

On huomattava, että kansallista turvallisuutta koskevat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain, jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota on sovellettava tapauskohtaisesti. Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua (229).

229

| (134) | Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (230) muutosta todistukseen (231), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin (232). |
| --- | --- |

(134)

Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (230) muutosta todistukseen (231), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin (232).

230

231

232

| (135) | Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy (233). Tuomioistuin voi tarkastella tätä varten erilaisia seikkoja, kuten tarpeellisuutta, oikeasuhteisuutta ja lainmukaisuutta, ottaen huomioon todistuksen vaikutukset rekisteröityjen oikeuksiin ja tasapainottaen niitä suhteessa tarpeeseen varmistaa kansallinen turvallisuus. Tämän perusteella tuomioistuin voi päättää, että todistusta ei sovelleta muutoksenhaun kohteena oleviin henkilötietoihin (234). |
| --- | --- |

(135)

Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy (233). Tuomioistuin voi tarkastella tätä varten erilaisia seikkoja, kuten tarpeellisuutta, oikeasuhteisuutta ja lainmukaisuutta, ottaen huomioon todistuksen vaikutukset rekisteröityjen oikeuksiin ja tasapainottaen niitä suhteessa tarpeeseen varmistaa kansallinen turvallisuus. Tämän perusteella tuomioistuin voi päättää, että todistusta ei sovelleta muutoksenhaun kohteena oleviin henkilötietoihin (234).

233

234

| (136) | Muita mahdollisia rajoituksia voidaan soveltaa vuoden 2018 tietosuojalain liitteen 11 nojalla tiettyihin tietosuojalain 4 osan säännöksiin (235) muiden yleisen edun mukaisten tärkeiden tavoitteiden tai sellaisten suojattujen etujen turvaamiseksi kuin esimerkiksi parlamentaarinen koskemattomuus, asianajosalaisuus, oikeudenkäynnin kulku tai asevoimien toimintakyky. Näiden säännösten soveltaminen on joko vapautettu tiettyjen tietoryhmien osalta (”luokitusperusteinen vapautus”) tai siltä osin, kuin niiden soveltaminen todennäköisesti vahingoittaisi kyseistä suojattua etua (”vahinkoperusteinen vapautus”) (236). Vahinkoperusteisiin vapautuksiin voidaan vedota vain siltä osin, kuin säännöksessä lueteltujen tietosuojasäännösten soveltaminen todennäköisesti vahingoittaisi kyseessä olevaa etua. Tämä tarkoittaa, että vapautuksen soveltaminen on aina perusteltava viittaamalla vahinkoon, jonka sen soveltaminen kyseisessä yksittäisessä tapauksessa todennäköisesti aiheuttaisi. Luokitusperusteisiin vapautuksiin voidaan vedota vain niiden rajoitettujen tietoryhmien osalta, joiden osalta vapautus myönnetään. Nämä ovat tarkoitukseltaan ja vaikutuksiltaan samantapaisia kuin monet Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (vuoden 2018 tietosuojalain liitteen 2 nojalla) sovellettavat poikkeukset, jotka puolestaan vastaavat EU:n tietosuoja-asetuksen 23 artiklan säännöksiä. |
| --- | --- |

(136)

Muita mahdollisia rajoituksia voidaan soveltaa vuoden 2018 tietosuojalain liitteen 11 nojalla tiettyihin tietosuojalain 4 osan säännöksiin (235) muiden yleisen edun mukaisten tärkeiden tavoitteiden tai sellaisten suojattujen etujen turvaamiseksi kuin esimerkiksi parlamentaarinen koskemattomuus, asianajosalaisuus, oikeudenkäynnin kulku tai asevoimien toimintakyky. Näiden säännösten soveltaminen on joko vapautettu tiettyjen tietoryhmien osalta (”luokitusperusteinen vapautus”) tai siltä osin, kuin niiden soveltaminen todennäköisesti vahingoittaisi kyseistä suojattua etua (”vahinkoperusteinen vapautus”) (236). Vahinkoperusteisiin vapautuksiin voidaan vedota vain siltä osin, kuin säännöksessä lueteltujen tietosuojasäännösten soveltaminen todennäköisesti vahingoittaisi kyseessä olevaa etua. Tämä tarkoittaa, että vapautuksen soveltaminen on aina perusteltava viittaamalla vahinkoon, jonka sen soveltaminen kyseisessä yksittäisessä tapauksessa todennäköisesti aiheuttaisi. Luokitusperusteisiin vapautuksiin voidaan vedota vain niiden rajoitettujen tietoryhmien osalta, joiden osalta vapautus myönnetään. Nämä ovat tarkoitukseltaan ja vaikutuksiltaan samantapaisia kuin monet Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (vuoden 2018 tietosuojalain liitteen 2 nojalla) sovellettavat poikkeukset, jotka puolestaan vastaavat EU:n tietosuoja-asetuksen 23 artiklan säännöksiä.

235

236

| (137) | Edellä esitetystä seuraa, että Yhdistyneen kuningaskunnan sovellettavien säännösten nojalla käytössä on rajoituksia ja ehtoja, joita myös tuomioistuimet ja tietosuojavaltuutettu tulkitsevat, sen varmistamiseksi, että näitä poikkeuksia ja rajoituksia sovelletaan vain siltä osin, kuin se on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojelemiseksi. |
| --- | --- |

(137)

Edellä esitetystä seuraa, että Yhdistyneen kuningaskunnan sovellettavien säännösten nojalla käytössä on rajoituksia ja ehtoja, joita myös tuomioistuimet ja tietosuojavaltuutettu tulkitsevat, sen varmistamiseksi, että näitä poikkeuksia ja rajoituksia sovelletaan vain siltä osin, kuin se on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojelemiseksi.

| (138) | Tietosuojavaltuutettu valvoo tiedustelupalvelujen vuoden 2018 tietosuojalain 4 osan mukaisesti suorittamaa henkilötietojen käsittelyä (237). |
| --- | --- |

(138)

Tietosuojavaltuutettu valvoo tiedustelupalvelujen vuoden 2018 tietosuojalain 4 osan mukaisesti suorittamaa henkilötietojen käsittelyä (237).

237

| (139) | Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 4 osan soveltamisalaan kuuluvaa tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluvat erityisesti esimerkiksi vuoden 2018 tietosuojalain 4 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen. |
| --- | --- |

(139)

Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 4 osan soveltamisalaan kuuluvaa tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluvat erityisesti esimerkiksi vuoden 2018 tietosuojalain 4 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen.

| (140) | Tietosuojavaltuutetulla on vuoden 2018 tietosuojalain 3 osan osalta valtuudet ilmoittaa rekisterinpitäjille väitetystä rikkomisesta ja antaa varoituksia siitä, että käsittely todennäköisesti rikkoo sääntöjä, ja antaa huomautus vahvistetun rikkomisen johdosta. Se voi myös antaa täytäntöönpano- ja seuraamusmääräyksiä tiettyjen lain säännösten rikkomisen vuoksi (238). Toisin kuin vuoden 2018 tietosuojalain muiden osien yhteydessä, tietosuojavaltuutettu ei kuitenkaan voi antaa arviointimääräystä kansallisesta turvallisuudesta vastaavalle elimelle (239). |
| --- | --- |

(140)

Tietosuojavaltuutetulla on vuoden 2018 tietosuojalain 3 osan osalta valtuudet ilmoittaa rekisterinpitäjille väitetystä rikkomisesta ja antaa varoituksia siitä, että käsittely todennäköisesti rikkoo sääntöjä, ja antaa huomautus vahvistetun rikkomisen johdosta. Se voi myös antaa täytäntöönpano- ja seuraamusmääräyksiä tiettyjen lain säännösten rikkomisen vuoksi (238). Toisin kuin vuoden 2018 tietosuojalain muiden osien yhteydessä, tietosuojavaltuutettu ei kuitenkaan voi antaa arviointimääräystä kansallisesta turvallisuudesta vastaavalle elimelle (239).

238

239

| (141) | Lisäksi vuoden 2018 tietosuojalain 110 §:ssä säädetään poikkeuksesta tietosuojavaltuutetun tiettyjen valtuuksien käyttöön silloin, kun se on tarpeen kansallisen turvallisuuden suojaamiseksi. Tähän sisältyvät tietosuojavaltuutetun valtuudet antaa (kaikentyyppisiä) tietosuojalain mukaisia määräyksiä (tiedonanto-, arviointi-, täytäntöönpano- ja seuraamusmääräykset), valtuudet suorittaa tarkastuksia kansainvälisten velvoitteiden mukaisesti, pääsy- ja tarkastusvaltuudet sekä rikoksia koskevat säännöt (240). Kuten johdanto-osan 136 kappaleessa selitetään, näitä poikkeuksia sovelletaan tapauskohtaisesti ja vain, jos se on välttämätöntä ja oikeasuhteista. Tuomioistuinvalvonnan avulla voidaan varmistaa näiden poikkeusten soveltaminen (241). |
| --- | --- |

(141)

Lisäksi vuoden 2018 tietosuojalain 110 §:ssä säädetään poikkeuksesta tietosuojavaltuutetun tiettyjen valtuuksien käyttöön silloin, kun se on tarpeen kansallisen turvallisuuden suojaamiseksi. Tähän sisältyvät tietosuojavaltuutetun valtuudet antaa (kaikentyyppisiä) tietosuojalain mukaisia määräyksiä (tiedonanto-, arviointi-, täytäntöönpano- ja seuraamusmääräykset), valtuudet suorittaa tarkastuksia kansainvälisten velvoitteiden mukaisesti, pääsy- ja tarkastusvaltuudet sekä rikoksia koskevat säännöt (240). Kuten johdanto-osan 136 kappaleessa selitetään, näitä poikkeuksia sovelletaan tapauskohtaisesti ja vain, jos se on välttämätöntä ja oikeasuhteista. Tuomioistuinvalvonnan avulla voidaan varmistaa näiden poikkeusten soveltaminen (241).

240

241

| (142) | Tietosuojavaltuutettu ja Yhdistyneen kuningaskunnan tiedustelupalvelut ovat allekirjoittaneet yhteisymmärryspöytäkirjan (242), jossa vahvistetaan puitteet muun muassa tietoturvaloukkauksia koskevien ilmoitusten ja rekisteröityjen tekemien valituksien käsittelyyn liittyvää yhteistyötä varten. Siinä määrätään erityisesti, että saatuaan valituksen tietosuojavaltuutettu tarkistaa, että mahdollista kansalliseen turvallisuuteen liittyvää poikkeusta on sovellettu asianmukaisesti. Kun tietosuojavaltuutettu pyytää tietoja yksityishenkilön tekemän valituksen tutkinnan yhteydessä, asianomaisen elimen (United Kingdom Government Guidance on National Security Certificates under the Data Protection Act) on vastattava 20 työpäivän kuluessa käyttäen asianmukaisia suojattuja kanavia, jos vastaus sisältää turvallisuusluokiteltuja tietoja. Tietosuojavaltuutettu on saanut huhtikuusta 2018 alkaen 21 yksityishenkilöiden tekemää valitusta, jotka koskevat tiedustelupalveluja. Kaikki valitukset on tutkittu, ja niiden tulos on ilmoitettu asianomaiselle rekisteröidylle (243). |
| --- | --- |

(142)

Tietosuojavaltuutettu ja Yhdistyneen kuningaskunnan tiedustelupalvelut ovat allekirjoittaneet yhteisymmärryspöytäkirjan (242), jossa vahvistetaan puitteet muun muassa tietoturvaloukkauksia koskevien ilmoitusten ja rekisteröityjen tekemien valituksien käsittelyyn liittyvää yhteistyötä varten. Siinä määrätään erityisesti, että saatuaan valituksen tietosuojavaltuutettu tarkistaa, että mahdollista kansalliseen turvallisuuteen liittyvää poikkeusta on sovellettu asianmukaisesti. Kun tietosuojavaltuutettu pyytää tietoja yksityishenkilön tekemän valituksen tutkinnan yhteydessä, asianomaisen elimen (United Kingdom Government Guidance on National Security Certificates under the Data Protection Act) on vastattava 20 työpäivän kuluessa käyttäen asianmukaisia suojattuja kanavia, jos vastaus sisältää turvallisuusluokiteltuja tietoja. Tietosuojavaltuutettu on saanut huhtikuusta 2018 alkaen 21 yksityishenkilöiden tekemää valitusta, jotka koskevat tiedustelupalveluja. Kaikki valitukset on tutkittu, ja niiden tulos on ilmoitettu asianomaiselle rekisteröidylle (243).

242

243

| (143) | Lisäksi tiedustelu- ja turvallisuusvaliokunta (Intelligence and Security Committee) vastaa tiedustelupalvelujen suorittaman tietojenkäsittelyn parlamentaarisesta valvonnasta. Valiokunnan oikeusperustana on vuoden 2013 oikeus- ja turvallisuuslaki (Justice and Security Act 2013) (244). Lain mukaan tiedustelu- ja turvallisuusvaliokunta on Yhdistyneen kuningaskunnan parlamentin valiokunta. Sen jäsenet kuuluvat joko parlamentin ala- tai ylähuoneeseen, ja pääministeri nimittää heidät opposition johtajaa kuultuaan (245). Valiokunta esittää parlamentille vuosittain kertomuksen tehtäviensä hoitamisesta ja muita kertomuksia sen mukaan, kuin se katsoo tarpeelliseksi (246). |
| --- | --- |

(143)

Lisäksi tiedustelu- ja turvallisuusvaliokunta (Intelligence and Security Committee) vastaa tiedustelupalvelujen suorittaman tietojenkäsittelyn parlamentaarisesta valvonnasta. Valiokunnan oikeusperustana on vuoden 2013 oikeus- ja turvallisuuslaki (Justice and Security Act 2013) (244). Lain mukaan tiedustelu- ja turvallisuusvaliokunta on Yhdistyneen kuningaskunnan parlamentin valiokunta. Sen jäsenet kuuluvat joko parlamentin ala- tai ylähuoneeseen, ja pääministeri nimittää heidät opposition johtajaa kuultuaan (245). Valiokunta esittää parlamentille vuosittain kertomuksen tehtäviensä hoitamisesta ja muita kertomuksia sen mukaan, kuin se katsoo tarpeelliseksi (246).

244

245

246

| (144) | Valiokunta sai vuonna 2013 laajemmat valtuudet mm. valvoa turvallisuuspalvelujen operatiivista toimintaa. Vuoden 2013 oikeus- ja turvallisuuslain 2 §:n nojalla valiokunnan tehtävänä on valvoa kansallisten turvallisuusvirastojen menoja, hallintoa, toimintaperiaatteita ja operaatioita. Laissa täsmennetään, että valiokunta voi suorittaa tutkimuksia operatiivisista asioista silloin, kun ne eivät liity käynnissä oleviin operaatioihin (247). Pääministerin ja valiokunnan välisessä yhteisymmärryspöytäkirjassa (248) täsmennetään yksityiskohtaisesti seikat, jotka on otettava huomioon sen määrittämiseksi, onko jokin toiminta osa käynnissä olevaa operaatiota (249). Pääministeri voi myös pyytää valiokuntaa tutkimaan käynnissä olevia operaatioita, minkä lisäksi valiokunta voi tarkastella virastojen vapaaehtoisesti toimittamia tietoja. |
| --- | --- |

(144)

Valiokunta sai vuonna 2013 laajemmat valtuudet mm. valvoa turvallisuuspalvelujen operatiivista toimintaa. Vuoden 2013 oikeus- ja turvallisuuslain 2 §:n nojalla valiokunnan tehtävänä on valvoa kansallisten turvallisuusvirastojen menoja, hallintoa, toimintaperiaatteita ja operaatioita. Laissa täsmennetään, että valiokunta voi suorittaa tutkimuksia operatiivisista asioista silloin, kun ne eivät liity käynnissä oleviin operaatioihin (247). Pääministerin ja valiokunnan välisessä yhteisymmärryspöytäkirjassa (248) täsmennetään yksityiskohtaisesti seikat, jotka on otettava huomioon sen määrittämiseksi, onko jokin toiminta osa käynnissä olevaa operaatiota (249). Pääministeri voi myös pyytää valiokuntaa tutkimaan käynnissä olevia operaatioita, minkä lisäksi valiokunta voi tarkastella virastojen vapaaehtoisesti toimittamia tietoja.

247

248

249

| (145) | Vuoden 2013 oikeus- ja turvallisuuslain liitteen 1 nojalla tiedustelu- ja turvallisuusvaliokunta voi pyytää minkä tahansa kolmen tiedustelupalvelun johtajaa luovuttamaan mitä tahansa tietoja. Tiedustelupalvelujen on annettava nämä tiedot saataville, ellei Secretary of State vastusta sitä veto-oikeudellaan (250). Yhdistyneen kuningaskunnan viranomaiset selittivät, että valiokunnalta salataan käytännössä hyvin vähän tietoja (251). |
| --- | --- |

(145)

Vuoden 2013 oikeus- ja turvallisuuslain liitteen 1 nojalla tiedustelu- ja turvallisuusvaliokunta voi pyytää minkä tahansa kolmen tiedustelupalvelun johtajaa luovuttamaan mitä tahansa tietoja. Tiedustelupalvelujen on annettava nämä tiedot saataville, ellei Secretary of State vastusta sitä veto-oikeudellaan (250). Yhdistyneen kuningaskunnan viranomaiset selittivät, että valiokunnalta salataan käytännössä hyvin vähän tietoja (251).

250

251

| (146) | Oikeussuojakeinojen osalta vuoden 2018 tietosuojalain 165 §:n 2 momentin mukaan rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 4 osan säännöksiä, mukaan lukien kansallista turvallisuutta koskevien poikkeusten ja rajoitusten väärinkäyttö. |
| --- | --- |

(146)

Oikeussuojakeinojen osalta vuoden 2018 tietosuojalain 165 §:n 2 momentin mukaan rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 4 osan säännöksiä, mukaan lukien kansallista turvallisuutta koskevien poikkeusten ja rajoitusten väärinkäyttö.

| (147) | Vuoden 2018 tietosuojalain 4 osan nojalla rekisteröidyillä on lisäksi oikeus pyytää High Court -tuomioistuimelta (Skotlannissa Court of Session) määräys, jolla rekisterinpitäjä velvoitetaan noudattamaan tiedonsaantia koskevia oikeuksia (252), oikeutta vastustaa tietojen käsittelyä (253) ja oikeutta oikaista tai poistaa tiedot. |
| --- | --- |

(147)

Vuoden 2018 tietosuojalain 4 osan nojalla rekisteröidyillä on lisäksi oikeus pyytää High Court -tuomioistuimelta (Skotlannissa Court of Session) määräys, jolla rekisterinpitäjä velvoitetaan noudattamaan tiedonsaantia koskevia oikeuksia (252), oikeutta vastustaa tietojen käsittelyä (253) ja oikeutta oikaista tai poistaa tiedot.

252

253

| (148) | Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä tai henkilötietojen käsittelijältä korvausta vahingosta, joka on aiheutunut vuoden 2018 tietosuojalain 4 osassa säädettyjen vaatimusten rikkomisesta (254). Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä (255). |
| --- | --- |

(148)

Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä tai henkilötietojen käsittelijältä korvausta vahingosta, joka on aiheutunut vuoden 2018 tietosuojalain 4 osassa säädettyjen vaatimusten rikkomisesta (254). Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä (255).

254

255

| (149) | Yksityishenkilö voi myös tehdä valituksen tutkintavaltuuksia käsittelevään tuomioistuimeen Yhdistyneen kuningaskunnan tiedusteluviranomaisten tai niiden puolesta suoritetuista toimista (256).Tutkintavaltuuksia käsittelevä tuomioistuin on perustettu tutkintavaltuuksia koskevilla asetuksilla (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000), ja se on riippumaton toimeenpanovallan käyttäjästä (257). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan Hänen Majesteettinsa nimittää tuomioistuimen jäsenet viiden vuoden toimikaudeksi. |
| --- | --- |

(149)

Yksityishenkilö voi myös tehdä valituksen tutkintavaltuuksia käsittelevään tuomioistuimeen Yhdistyneen kuningaskunnan tiedusteluviranomaisten tai niiden puolesta suoritetuista toimista (256).Tutkintavaltuuksia käsittelevä tuomioistuin on perustettu tutkintavaltuuksia koskevilla asetuksilla (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000), ja se on riippumaton toimeenpanovallan käyttäjästä (257). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan Hänen Majesteettinsa nimittää tuomioistuimen jäsenet viiden vuoden toimikaudeksi.

256

257

| (150) | Hänen Majesteettinsa voi erottaa tuomioistuimen jäsenen parlamentin molempien kamarien esityksen (Address) (258) perusteella (259). |
| --- | --- |

(150)

Hänen Majesteettinsa voi erottaa tuomioistuimen jäsenen parlamentin molempien kamarien esityksen (Address) (258) perusteella (259).

258

259

| (151) | Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan rekisteröidyllä on oikeus viedä asiansa Investigatory Powers Tribunal -tuomioistuimen käsiteltäväksi (”asiavaltuus”), jos hän uskoo, i) että tiedustelupalvelun toiminta kohdistuu häneen tai hänen omaisuuteensa tai hänen lähettämäänsä tai hänelle lähetettyyn tai hänelle tarkoitettuun viestintään tai hänen käyttämäänsä postipalveluun, televiestintäjärjestelmään tai televiestintäpalveluun (260) ja ii) että toiminta on tapahtunut ”olosuhteissa, jotka on mahdollista kiistää” (261) tai että se on toteutettu tiedustelupalvelujen toimesta tai niiden puolesta (262). Koska etenkin tätä ”uskomista” koskevaa edellytystä on tulkittu varsin väljästi (263), asian vieminen tämän tuomioistuimen käsiteltäväksi ei edellytä erityistä asiavaltuutta. |
| --- | --- |

(151)

Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan rekisteröidyllä on oikeus viedä asiansa Investigatory Powers Tribunal -tuomioistuimen käsiteltäväksi (”asiavaltuus”), jos hän uskoo, i) että tiedustelupalvelun toiminta kohdistuu häneen tai hänen omaisuuteensa tai hänen lähettämäänsä tai hänelle lähetettyyn tai hänelle tarkoitettuun viestintään tai hänen käyttämäänsä postipalveluun, televiestintäjärjestelmään tai televiestintäpalveluun (260) ja ii) että toiminta on tapahtunut ”olosuhteissa, jotka on mahdollista kiistää” (261) tai että se on toteutettu tiedustelupalvelujen toimesta tai niiden puolesta (262). Koska etenkin tätä ”uskomista” koskevaa edellytystä on tulkittu varsin väljästi (263), asian vieminen tämän tuomioistuimen käsiteltäväksi ei edellytä erityistä asiavaltuutta.

260

261

262

263

| (152) | Kun kyseinen tuomioistuin käsittelee sille tehtyä valitusta, sen velvollisuutena on tutkia, ovatko henkilöt, joita koskevia väitteitä valituksessa esitetään, olleet jollakin tavoin tekemisissä valittajan kanssa, ja onko viranomainen, jonka väitetään osallistuneen oikeudenloukkauksiin, toteuttanut väitetyt toimet (264). Jos tuomioistuin ottaa asian käsiteltäväksi, sen on sovellettava ratkaisussaan samoja periaatteita kuin ne, joita mikä tahansa tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen (265). |
| --- | --- |

(152)

Kun kyseinen tuomioistuin käsittelee sille tehtyä valitusta, sen velvollisuutena on tutkia, ovatko henkilöt, joita koskevia väitteitä valituksessa esitetään, olleet jollakin tavoin tekemisissä valittajan kanssa, ja onko viranomainen, jonka väitetään osallistuneen oikeudenloukkauksiin, toteuttanut väitetyt toimet (264). Jos tuomioistuin ottaa asian käsiteltäväksi, sen on sovellettava ratkaisussaan samoja periaatteita kuin ne, joita mikä tahansa tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen (265).

264

265

| (153) | Investigatory Powers Tribunal -tuomioistuimen on ilmoitettava valittajalle, onko asia ratkaistu hänen hyväkseen vai ei (266). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 6 ja 7 momentin nojalla tuomioistuimella on toimivalta antaa väliaikaisia määräyksiä ja myöntää sopivaksi katsomiaan vahingonkorvauksia tai antaa muita määräyksiä (267). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67A §:n mukaan Investigatory Powers Tribunal -tuomioistuimen ratkaisuun on mahdollista hakea muutosta, ellei sen tai asianomaisen muutoksenhakutuomioistuimen myöntämästä luvasta muuta johdu. |
| --- | --- |

(153)

Investigatory Powers Tribunal -tuomioistuimen on ilmoitettava valittajalle, onko asia ratkaistu hänen hyväkseen vai ei (266). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 6 ja 7 momentin nojalla tuomioistuimella on toimivalta antaa väliaikaisia määräyksiä ja myöntää sopivaksi katsomiaan vahingonkorvauksia tai antaa muita määräyksiä (267). Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67A §:n mukaan Investigatory Powers Tribunal -tuomioistuimen ratkaisuun on mahdollista hakea muutosta, ellei sen tai asianomaisen muutoksenhakutuomioistuimen myöntämästä luvasta muuta johdu.

266

267

| (154) | Yksityishenkilöt voivat nostaa kanteen ja hakea oikeussuojaa Investigatory Powers Tribunal -tuomioistuimesta, jos he katsovat, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa esimerkiksi yksityisyyttä ja tietosuojaa koskevien Euroopan ihmisoikeussopimuksen mukaisten oikeuksien kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastaista. Investigatory Powers Tribunal -tuomioistuimella on yksinomainen toimivalta käsitellä ihmisoikeuslakiin liittyviä kanteita, joissa on kysymys tiedustelupalveluista. Kuten High Court on todennut, tämä tarkoittaa, että kysymys siitä, onko jossakin tietyssä tapauksessa siihen liittyvien tosiseikkojen perusteella rikottu ihmisoikeuslakia, voidaan periaatteessa saattaa sellaisen riippumattoman tuomioistuimen tutkittavaksi, jolla on oikeus tutustua kaikkeen asiaa koskevaan aineistoon, myös salaiseen aineistoon. High Courtin mukaan tässä yhteydessä on myös muistettava, että myös kyseisellä tuomioistuimella on mahdollisuus hakea muutosta asianomaisesta muutoksenhakutuomioistuimesta (Englannissa ja Walesissa Court of Appeal), ja että Supreme Court on äskettäin päättänyt, että Investigatory Powers Tribunal on periaatteessa tuomioistuinvalvonnan alainen: ks. R (Privacy International) v. Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219 (268). Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa hyväksyä sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi (269). |
| --- | --- |

(154)

Yksityishenkilöt voivat nostaa kanteen ja hakea oikeussuojaa Investigatory Powers Tribunal -tuomioistuimesta, jos he katsovat, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa esimerkiksi yksityisyyttä ja tietosuojaa koskevien Euroopan ihmisoikeussopimuksen mukaisten oikeuksien kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastaista. Investigatory Powers Tribunal -tuomioistuimella on yksinomainen toimivalta käsitellä ihmisoikeuslakiin liittyviä kanteita, joissa on kysymys tiedustelupalveluista. Kuten High Court on todennut, tämä tarkoittaa, että kysymys siitä, onko jossakin tietyssä tapauksessa siihen liittyvien tosiseikkojen perusteella rikottu ihmisoikeuslakia, voidaan periaatteessa saattaa sellaisen riippumattoman tuomioistuimen tutkittavaksi, jolla on oikeus tutustua kaikkeen asiaa koskevaan aineistoon, myös salaiseen aineistoon. High Courtin mukaan tässä yhteydessä on myös muistettava, että myös kyseisellä tuomioistuimella on mahdollisuus hakea muutosta asianomaisesta muutoksenhakutuomioistuimesta (Englannissa ja Walesissa Court of Appeal), ja että Supreme Court on äskettäin päättänyt, että Investigatory Powers Tribunal on periaatteessa tuomioistuinvalvonnan alainen: ks. R (Privacy International) v. Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219 (268). Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa hyväksyä sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi (269).

268

269

| (155) | Sen jälkeen kun kaikki kansalliset oikeussuojakeinot on käytetty, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos esimerkiksi yksityisyyttä ja tietosuojaa koskevia Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu. |
| --- | --- |

(155)

Sen jälkeen kun kaikki kansalliset oikeussuojakeinot on käytetty, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos esimerkiksi yksityisyyttä ja tietosuojaa koskevia Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu.

| (156) | Edellä esitetystä seuraa, että kun Yhdistyneen kuningaskunnan rikosoikeudelliset lainvalvontaviranomaiset jakavat tämän päätöksen nojalla siirrettyjä tietoja muille viranomaisille, myös tiedustelupalveluille, sovelletaan rajoituksia ja ehtoja, joilla varmistetaan, että edelleen jakaminen on välttämätöntä ja oikeasuhteista ja että siihen sovelletaan vuoden 2018 tietosuojalain erityisiä tietosuojatakeita. Lisäksi asianomaisten viranomaisten suorittamaa henkilötietojen käsittelyä valvovat riippumattomat elimet, ja asianomaisilla henkilöillä on käytettävissään tehokkaat oikeussuojakeinot. |
| --- | --- |

(156)

Edellä esitetystä seuraa, että kun Yhdistyneen kuningaskunnan rikosoikeudelliset lainvalvontaviranomaiset jakavat tämän päätöksen nojalla siirrettyjä tietoja muille viranomaisille, myös tiedustelupalveluille, sovelletaan rajoituksia ja ehtoja, joilla varmistetaan, että edelleen jakaminen on välttämätöntä ja oikeasuhteista ja että siihen sovelletaan vuoden 2018 tietosuojalain erityisiä tietosuojatakeita. Lisäksi asianomaisten viranomaisten suorittamaa henkilötietojen käsittelyä valvovat riippumattomat elimet, ja asianomaisilla henkilöillä on käytettävissään tehokkaat oikeussuojakeinot.

3.   PÄÄTELMÄT

PÄÄTELMÄT

| (157) | Komissio katsoo, että vuoden 2018 tietosuojalain 3 osassa varmistetaan unionin toimivaltaisilta viranomaisilta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille rikosoikeudellisia lainvalvontatarkoituksia varten siirrettyjen henkilötietojen suojan taso, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tasoa. |
| --- | --- |

(157)

Komissio katsoo, että vuoden 2018 tietosuojalain 3 osassa varmistetaan unionin toimivaltaisilta viranomaisilta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille rikosoikeudellisia lainvalvontatarkoituksia varten siirrettyjen henkilötietojen suojan taso, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tasoa.

| (158) | Lisäksi komissio katsoo, että Yhdistyneen kuningaskunnan lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilötietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan havaita ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot. |
| --- | --- |

(158)

Lisäksi komissio katsoo, että Yhdistyneen kuningaskunnan lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilötietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan havaita ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot.

| (159) | Yhdistyneen kuningaskunnan oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella komissio katsoo, että Yhdistyneen kuningaskunnan viranomaisten puuttuminen erityisesti lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan, myös silloin, kun on kyse henkilötietojen jakamisesta lainvalvontaviranomaisten ja kansallisten turvallisuuselinten ja muiden viranomaisten välillä, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja. |
| --- | --- |

(159)

Yhdistyneen kuningaskunnan oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella komissio katsoo, että Yhdistyneen kuningaskunnan viranomaisten puuttuminen erityisesti lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan, myös silloin, kun on kyse henkilötietojen jakamisesta lainvalvontaviranomaisten ja kansallisten turvallisuuselinten ja muiden viranomaisten välillä, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja.

| (160) | Olisi sen vuoksi päätettävä, että Yhdistynyt kuningaskunta tarjoaa riittävän tietosuojan tason, sellaisena kuin siitä säädetään direktiivin (EU) 2016/680 36 artiklan 2 kohdassa, tulkittuna perusoikeuskirjan pohjalta. |
| --- | --- |

(160)

Olisi sen vuoksi päätettävä, että Yhdistynyt kuningaskunta tarjoaa riittävän tietosuojan tason, sellaisena kuin siitä säädetään direktiivin (EU) 2016/680 36 artiklan 2 kohdassa, tulkittuna perusoikeuskirjan pohjalta.

| (161) | Tämä päätelmä perustuu sekä Yhdistyneen kuningaskunnan kansalliseen järjestelmään että sen kansainvälisiin sitoumuksiin, ja erityisesti siihen, että maa on liittynyt Euroopan ihmisoikeussopimukseen ja kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä. |
| --- | --- |

(161)

Tämä päätelmä perustuu sekä Yhdistyneen kuningaskunnan kansalliseen järjestelmään että sen kansainvälisiin sitoumuksiin, ja erityisesti siihen, että maa on liittynyt Euroopan ihmisoikeussopimukseen ja kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

4.   TÄMÄN PÄÄTÖKSEN VAIKUTUKSET JA TIETOSUOJAVIRANOMAISTEN TOIMET

TÄMÄN PÄÄTÖKSEN VAIKUTUKSET JA TIETOSUOJAVIRANOMAISTEN TOIMET

| (162) | Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella. |
| --- | --- |

(162)

Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella.

| (163) | Näin ollen direktiivin (EU) 2016/680 36 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Tämä tarkoittaa erityisesti sitä, että tämän päätöksen soveltamisaikana siirtoja unionin rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan tehdä ilman erillistä lupaa. |
| --- | --- |

(163)

Näin ollen direktiivin (EU) 2016/680 36 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Tämä tarkoittaa erityisesti sitä, että tämän päätöksen soveltamisaikana siirtoja unionin rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan tehdä ilman erillistä lupaa.

| (164) | Samalla on kuitenkin muistettava, kuten direktiivin (EU) 2016/680 47 artiklan 5 kohdassa tunnustetaan ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa selostetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua (270). |
| --- | --- |

(164)

Samalla on kuitenkin muistettava, kuten direktiivin (EU) 2016/680 47 artiklan 5 kohdassa tunnustetaan ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa selostetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua (270).

270

5.   TÄMÄN PÄÄTÖKSEN SEURANTA, SEN SOVELTAMISEN KESKEYTTÄMINEN TAI PÄÄTÖKSEN KUMOAMINEN TAI MUUTTAMINEN

TÄMÄN PÄÄTÖKSEN SEURANTA, SEN SOVELTAMISEN KESKEYTTÄMINEN TAI PÄÄTÖKSEN KUMOAMINEN TAI MUUTTAMINEN

| (165) | Direktiivin (EU) 2016/680 36 artiklan 4 kohdan nojalla komissio seuraa jatkuvasti asian kannalta merkityksellistä kehitystä Yhdistyneessä kuningaskunnassa tämän päätöksen hyväksymisen jälkeen voidakseen arvioida, takaako se edelleen olennaisilta osin vastaavan suojan tason. Tällainen seuranta on erityisen tärkeää tässä tapauksessa, koska Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön uutta tietosuojajärjestelmää, joka ei enää kuulu unionin oikeuden soveltamisalaan ja voi muuttua. Tältä osin kiinnitetään erityistä huomiota siihen, miten henkilötietojen siirtoa kolmansiin maihin koskevia Yhdistyneen kuningaskunnan sääntöjä sovelletaan käytännössä, myös tekemällä kansainvälisiä sopimuksia. Erityistä huomiota kiinnitetään myös vaikutuksiin, joita soveltamisella voi olla tämän päätöksen nojalla siirrettävien tietojen suojan tasoon, ja yksilön oikeuksien täytäntöönpanon tehokkuuteen tämän päätöksen kattamilla aloilla. Komissio hyödyntää seurannassaan muun muassa oikeuskäytännön kehitystä ja tietosuojavaltuutetun ja muiden riippumattomien elinten suorittamaa valvontaa. |
| --- | --- |

(165)

Direktiivin (EU) 2016/680 36 artiklan 4 kohdan nojalla komissio seuraa jatkuvasti asian kannalta merkityksellistä kehitystä Yhdistyneessä kuningaskunnassa tämän päätöksen hyväksymisen jälkeen voidakseen arvioida, takaako se edelleen olennaisilta osin vastaavan suojan tason. Tällainen seuranta on erityisen tärkeää tässä tapauksessa, koska Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön uutta tietosuojajärjestelmää, joka ei enää kuulu unionin oikeuden soveltamisalaan ja voi muuttua. Tältä osin kiinnitetään erityistä huomiota siihen, miten henkilötietojen siirtoa kolmansiin maihin koskevia Yhdistyneen kuningaskunnan sääntöjä sovelletaan käytännössä, myös tekemällä kansainvälisiä sopimuksia. Erityistä huomiota kiinnitetään myös vaikutuksiin, joita soveltamisella voi olla tämän päätöksen nojalla siirrettävien tietojen suojan tasoon, ja yksilön oikeuksien täytäntöönpanon tehokkuuteen tämän päätöksen kattamilla aloilla. Komissio hyödyntää seurannassaan muun muassa oikeuskäytännön kehitystä ja tietosuojavaltuutetun ja muiden riippumattomien elinten suorittamaa valvontaa.

| (166) | Seurannan helpottamiseksi Yhdistyneen kuningaskunnan viranomaisten olisi viipymättä ja säännöllisesti ilmoitettava komissiolle kaikista Yhdistyneen kuningaskunnan oikeusjärjestyksen olennaisista muutoksista, jotka vaikuttavat tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyä koskevien käytäntöjen muutoksista erityisesti johdanto-osan 165 kappaleessa mainittujen seikkojen osalta. |
| --- | --- |

(166)

Seurannan helpottamiseksi Yhdistyneen kuningaskunnan viranomaisten olisi viipymättä ja säännöllisesti ilmoitettava komissiolle kaikista Yhdistyneen kuningaskunnan oikeusjärjestyksen olennaisista muutoksista, jotka vaikuttavat tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyä koskevien käytäntöjen muutoksista erityisesti johdanto-osan 165 kappaleessa mainittujen seikkojen osalta.

| (167) | Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ennalta estämisestä, tutkimisesta, paljastamisesta tai rikoksiin liittyvistä syytetoimista vastaavat Yhdistyneen kuningaskunnan viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa. |
| --- | --- |

(167)

Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ennalta estämisestä, tutkimisesta, paljastamisesta tai rikoksiin liittyvistä syytetoimista vastaavat Yhdistyneen kuningaskunnan viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa.

| (168) | Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdistyneen kuningaskunnan tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että Yhdistyneen kuningaskunnan takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi viipymättä ilmoitettava asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn ajan kuluessa, joka ei voi ylittää kolmea kuukautta. Tätä määräaikaa voidaan tarvittaessa pidentää tietyksi ajaksi käsillä olevan asian ja/tai toteutettavien toimenpiteiden luonteen mukaan. |
| --- | --- |

(168)

Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdistyneen kuningaskunnan tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että Yhdistyneen kuningaskunnan takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi viipymättä ilmoitettava asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn ajan kuluessa, joka ei voi ylittää kolmea kuukautta. Tätä määräaikaa voidaan tarvittaessa pidentää tietyksi ajaksi käsillä olevan asian ja/tai toteutettavien toimenpiteiden luonteen mukaan.

| (169) | Jos Yhdistyneen kuningaskunnan toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa direktiivin (EU) 2016/680 58 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan. |
| --- | --- |

(169)

Jos Yhdistyneen kuningaskunnan toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa direktiivin (EU) 2016/680 58 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan.

| (170) | Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu. |
| --- | --- |

(170)

Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu.

| (171) | Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä direktiivin (EU) 2016/680 58 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi. |
| --- | --- |

(171)

Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä direktiivin (EU) 2016/680 58 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi.

6.   TÄMÄN PÄÄTÖKSEN VOIMASSAOLO JA UUSIMINEN

TÄMÄN PÄÄTÖKSEN VOIMASSAOLO JA UUSIMINEN

| (172) | Olisi otettava huomioon, että erosopimuksessa määrätyn siirtymäkauden päättyessä ja heti kun EU:n ja Yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen 782 artiklan väliaikaisen määräyksen soveltaminen lakkaa, Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön tietosuojajärjestelmää, joka on uusi verrattuna siihen järjestelmään, joka oli käytössä silloin, kun Euroopan unionin lainsäädäntö sitoi sitä. Tämä voi tarkoittaa erityisesti tässä päätöksessä arvioidun tietosuojakehyksen tarkistamista tai muuttamista sekä muita muutoksia. |
| --- | --- |

(172)

Olisi otettava huomioon, että erosopimuksessa määrätyn siirtymäkauden päättyessä ja heti kun EU:n ja Yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen 782 artiklan väliaikaisen määräyksen soveltaminen lakkaa, Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön tietosuojajärjestelmää, joka on uusi verrattuna siihen järjestelmään, joka oli käytössä silloin, kun Euroopan unionin lainsäädäntö sitoi sitä. Tämä voi tarkoittaa erityisesti tässä päätöksessä arvioidun tietosuojakehyksen tarkistamista tai muuttamista sekä muita muutoksia.

| (173) | Sen vuoksi on aiheellista säätää, että tätä päätöstä sovelletaan neljän vuoden ajan sen voimaantulosta alkaen. |
| --- | --- |

(173)

Sen vuoksi on aiheellista säätää, että tätä päätöstä sovelletaan neljän vuoden ajan sen voimaantulosta alkaen.

| (174) | Jos erityisesti tämän päätöksen seurannasta saadut tiedot osoittavat, että Yhdistyneen kuningaskunnan takaaman tietosuojan tason riittävyyttä koskevat havainnot ovat edelleen asiallisesti ja oikeudellisesti perusteltuja, komission olisi viimeistään kuusi kuukautta ennen tämän päätöksen soveltamisen päättymistä aloitettava menettely tämän päätöksen muuttamiseksi pidentämällä sen soveltamisaikaa periaatteessa vielä neljällä vuodella. Tällaiset tämän päätöksen muuttamista koskevat täytäntöönpanosäädökset on hyväksyttävä direktiivin (EU) 2016/680 58 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti. |
| --- | --- |

(174)

Jos erityisesti tämän päätöksen seurannasta saadut tiedot osoittavat, että Yhdistyneen kuningaskunnan takaaman tietosuojan tason riittävyyttä koskevat havainnot ovat edelleen asiallisesti ja oikeudellisesti perusteltuja, komission olisi viimeistään kuusi kuukautta ennen tämän päätöksen soveltamisen päättymistä aloitettava menettely tämän päätöksen muuttamiseksi pidentämällä sen soveltamisaikaa periaatteessa vielä neljällä vuodella. Tällaiset tämän päätöksen muuttamista koskevat täytäntöönpanosäädökset on hyväksyttävä direktiivin (EU) 2016/680 58 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.

7.   LOPPUPÄÄTELMÄT

LOPPUPÄÄTELMÄT

| (175) | Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (271), joka on otettu huomioon tätä päätöstä valmisteltaessa. |
| --- | --- |

(175)

Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (271), joka on otettu huomioon tätä päätöstä valmisteltaessa.

271

| (176) | Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin (EU) 2016/680 58 artiklalla perustetun komitean lausunnon mukaiset. |
| --- | --- |

(176)

Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin (EU) 2016/680 58 artiklalla perustetun komitean lausunnon mukaiset.

| (177) | Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyssä pöytäkirjassa N:o 21 olevan 6 a artiklan mukaisesti Irlantia eivät sido direktiivissä (EU) 2016/680 ja siten tässä täytäntöönpanopäätöksessä vahvistetut säännöt, jotka koskevat jäsenvaltioiden suorittamaa henkilötietojen käsittelyä näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa, siltä osin kuin Irlantia eivät sido rikosasioissa tehtävän oikeudellisen yhteistyön tai poliisiyhteistyön muotoa koskevat säännöt, jotka edellyttävät Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan perusteella vahvistettujen säännösten noudattamista. Lisäksi neuvoston täytäntöönpanopäätöksen (EU) 2020/1745 (272) nojalla direktiivi (EU) 2016/680 on saatettava voimaan ja sitä on sovellettava väliaikaisesti Irlannissa 1 päivästä tammikuuta 2021 lähtien. Sen vuoksi tämä täytäntöönpanopäätös sitoo Irlantia samoin edellytyksin, kuin direktiiviä (EU) 2016/680 sovelletaan Irlannissa, kuten täytäntöönpanopäätöksessä (EU) 2020/1745 säädetään, siltä osin kuin on kyse Schengenin säännöstöstä, johon Irlanti osallistuu. |
| --- | --- |

(177)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyn, Yhdistyneen kuningaskunnan ja Irlannin asemasta vapauden, turvallisuuden ja oikeuden alueen osalta tehdyssä pöytäkirjassa N:o 21 olevan 6 a artiklan mukaisesti Irlantia eivät sido direktiivissä (EU) 2016/680 ja siten tässä täytäntöönpanopäätöksessä vahvistetut säännöt, jotka koskevat jäsenvaltioiden suorittamaa henkilötietojen käsittelyä näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa, siltä osin kuin Irlantia eivät sido rikosasioissa tehtävän oikeudellisen yhteistyön tai poliisiyhteistyön muotoa koskevat säännöt, jotka edellyttävät Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan perusteella vahvistettujen säännösten noudattamista. Lisäksi neuvoston täytäntöönpanopäätöksen (EU) 2020/1745 (272) nojalla direktiivi (EU) 2016/680 on saatettava voimaan ja sitä on sovellettava väliaikaisesti Irlannissa 1 päivästä tammikuuta 2021 lähtien. Sen vuoksi tämä täytäntöönpanopäätös sitoo Irlantia samoin edellytyksin, kuin direktiiviä (EU) 2016/680 sovelletaan Irlannissa, kuten täytäntöönpanopäätöksessä (EU) 2020/1745 säädetään, siltä osin kuin on kyse Schengenin säännöstöstä, johon Irlanti osallistuu.

272

| (178) | Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 2 ja 2 a artiklan mukaisesti direktiivissä (EU) 2016/680 ja siten myös tässä täytäntöönpanopäätöksessä vahvistetut säännöt eivät sido Tanskaa eikä niitä sovelleta Tanskaan, jos soveltaminen liittyy jäsenvaltioiden suorittamaan henkilötietojen käsittelyyn näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa. Koska direktiivi (EU) 2016/680 kuitenkin perustuu Schengenin säännöstöön, Tanska ilmoitti mainitun pöytäkirjan 4 artiklan mukaisesti 26 päivänä lokakuuta 2016 päätöksestään panna direktiivi (EU) 2016/680 täytäntöön. Sen vuoksi Tanskan on kansainväliseen oikeuteen perustuvien velvoitteiden nojalla pantava tämä täytäntöönpanopäätös täytäntöön. |
| --- | --- |

(178)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 2 ja 2 a artiklan mukaisesti direktiivissä (EU) 2016/680 ja siten myös tässä täytäntöönpanopäätöksessä vahvistetut säännöt eivät sido Tanskaa eikä niitä sovelleta Tanskaan, jos soveltaminen liittyy jäsenvaltioiden suorittamaan henkilötietojen käsittelyyn näiden toteuttaessa Euroopan unionin toiminnasta tehdyn sopimuksen kolmannen osan V osaston 4 tai 5 luvun soveltamisalaan kuuluvaa toimintaa. Koska direktiivi (EU) 2016/680 kuitenkin perustuu Schengenin säännöstöön, Tanska ilmoitti mainitun pöytäkirjan 4 artiklan mukaisesti 26 päivänä lokakuuta 2016 päätöksestään panna direktiivi (EU) 2016/680 täytäntöön. Sen vuoksi Tanskan on kansainväliseen oikeuteen perustuvien velvoitteiden nojalla pantava tämä täytäntöönpanopäätös täytäntöön.

| (179) | Islannin ja Norjan osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välillä viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyssä sopimuksessa (273). |
| --- | --- |

(179)

Islannin ja Norjan osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välillä viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyssä sopimuksessa (273).

273

| (180) | Sveitsin osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (274). |
| --- | --- |

(180)

Sveitsin osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (274).

274

| (181) | Liechtensteinin osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa, joka koskee Liechtensteinin ruhtinaskunnan liittymistä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehtyyn sopimukseen (275), |
| --- | --- |

(181)

Liechtensteinin osalta tällä täytäntöönpanopäätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa, joka koskee Liechtensteinin ruhtinaskunnan liittymistä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehtyyn sopimukseen (275),

275

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Direktiivin (EU) 2016/680 36 artiklan soveltamiseksi Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista rikosten ennalta estämisestä, tutkimisesta, paljastamisesta, rikoksiin liittyvistä syytetoimista tai rikosoikeudellisten seuraamusten täytäntöönpanosta vastaaville Yhdistyneen kuningaskunnan viranomaisille.

2 artikla

Aina kun jäsenvaltioiden toimivaltaiset valvontaviranomaiset käyttävät direktiivin (EU) 2016/680 47 artiklan mukaisia toimivaltuuksiaan suojellakseen yksilöiden henkilötietoja 1 artiklan soveltamisalaan kuuluvien Yhdistyneen kuningaskunnan viranomaisille suuntautuvien tiedonsiirtojen osalta, asianomaisen jäsenvaltion on ilmoitettava siitä komissiolle viipymättä.

3 artikla

1.   Komissio seuraa jatkuvasti tämän päätöksen perustana olevan oikeudellisen kehyksen soveltamista, mukaan lukien ne edellytykset, joiden mukaisesti tietoja siirretään edelleen ja yksilön oikeuksia käytetään, sen arvioimiseksi, takaako Yhdistynyt kuningaskunta edelleen suojan riittävän tason 1 artiklassa tarkoitetussa merkityksessä.

2.   Jäsenvaltiot ja komissio ilmoittavat toisilleen tapauksista, joissa tietosuojavaltuutettu tai muu Yhdistyneen kuningaskunnan toimivaltainen viranomainen laiminlyö sen varmistamisen, että tämän päätöksen perustana olevaa oikeudellista kehystä noudatetaan.

3.   Jäsenvaltiot ja komissio ilmoittavat toisilleen mahdollisista havainnoista, joiden mukaan Yhdistyneen kuningaskunnan viranomaiset puuttuvat yksilöiden oikeuteen suojella henkilötietojaan suuremmassa määrin, kuin on ehdottoman välttämätöntä, tai tällaista puuttumista vastaan ei ole olemassa tehokasta oikeudellista suojaa.

4.   Jos komissiolla on viitteitä siitä, että tietosuojan riittävää tasoa ei enää turvata, komissio ilmoittaa asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä.

5.   Komissio voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä, jos Yhdistyneen kuningaskunnan hallituksen yhteistyöhaluttomuus estää komissiota määrittelemästä, onko asialla vaikutusta 1 artiklassa olevaan päätelmään.

4 artikla

Tämän päätöksen voimassaolo päättyy 27 päivänä kesäkuuta 2025, ellei sitä pidennetä direktiivin (EU) 2016/680 58 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.

5 artikla

Tämä päätös on osoitettu kaikille jäsenvaltioille.

Tehty Brysselissä 28 päivänä kesäkuuta 2021.

Komission puolesta

Didier REYNDERS

Komission jäsen

---

(1)  
  EUVL L 119, 4.5.2016, s. 89.

1

(2)  Ks. direktiivin (EU) 2016/680 johdanto-osan 64 kappale.

2

(3)  Ks. viimeksi asia C-311/18, Maximilian Schrems v. Data Protection Commissioner (”Schrems II”) ECLI:EU:C:2020:559.

3

(4)  Ks. helmikuussa 2021 annetut suositukset 01/2021 riittävyyden viitearvoista lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetun direktiivin nojalla, saatavilla seuraavassa osoitteessa: https://edpb.europa.eu/our-work-tools/general-guidance/police-justice-guidelines-recommendations-best-practices_fi

4

(5)  Asia C-362/14, Maximilian Schrems v. Data Protection Commissioner (”Schrems”), ECLI:EU:C:2015:650, 73 kohta.

5

(6)  Tuomio asiassa Schrems, 74 kohta.

6

(7)  Komission tiedonanto Euroopan parlamentille ja neuvostolle, Henkilötietojen vaihtaminen ja suojaaminen globalisoituneessa maailmassa, COM(2017) 7, 10.1.2017, 3.1 jakso, s. 6–7. Saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:52017DC0007&from=FI

7

(8)  Vuoden 2018 tietosuojalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents

8

(9)  Yhdistyneen kuningaskunnan perustelut tietosuojan riittävyyttä koskevalle keskustelulle (UK Explanatory Framework for Adequacy Discussion), F jakso: Law enforcement (lainvalvonta), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872237/F_-_Law_Enforcement_.pdf

9

(10)  Yleissopimuksen N:o 108 periaatteet saatettiin osaksi Yhdistyneen kuningaskunnan lainsäädäntöä alun perin vuoden 1984 tietosuojalailla (Data Protection Act 1984), joka on sittemmin korvattu vuoden 1998 tietosuojalailla ja viimeksi vuoden 2018 tietosuojalailla (luettuna yhdessä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (UK GDPR) kanssa).Yhdistynyt kuningaskunta on myös allekirjoittanut vuonna 2018 edellä mainitun yleissopimuksen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+) ja valmistautuu parhaillaan yleissopimuksen ratifiointiin.

10

(11)  Ihmisoikeussopimuksen 6 ja 8 artikla (ks. myös vuoden 1998 ihmisoikeuslain 1 §).

11

(12)  Vuoden 1998 ihmisoikeuslain 6 §.

12

(13)  Vuoden 1998 ihmisoikeuslain 3 §.

13

(14)  Sopimus Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamisesta Euroopan unionista ja Euroopan atomienergiayhteisöstä 2019/C 384 I/01, XT/21054/2019/INIT (EUVL C 384 I, 12.11.2019, s. 1–177), jäljempänä ’erosopimus’, saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=FI

14

(15)  Vuonna 2018 annettu laki Euroopan unionista (eroamisesta), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/16/contents

15

(16)  Vuoden 2018 tietosuojalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents

16

(17)  Vuoden 2018 eroamista koskevan lain 6 §.

17

(18)  Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskeva säädös (Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/uksi/2019/419/contents/made, sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevalla vuoden 2020 säädöksellä (DPPEC 2020), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukdsi/2020/9780348213522

18

(19)  Eroamista koskevassa säädöksessä tehdään useita muutoksia vuoden 2018 tietosuojalain 3 osaan. Monet näistä ovat teknisiä muutoksia, kuten ”jäsenvaltioon” tai ”direktiiviin lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta” kohdistuvien viittausten poistaminen (ks. esimerkiksi vuoden 2018 tietosuojalain 48 §:n 8 momentti tai 73 §:n 5 momentin a kohta yhdessä kansallisen lainsäädännön kanssa), jotta 3 osa toimisi tehokkaasti kansallisena lakina siirtymäkauden päätyttyä. Joissakin kohdissa tarvittiin muunlaisia muutoksia, esimerkiksi sen osalta, mikä taho tekee tietosuojan tason riittävyyttä koskevan päätöksen Yhdistyneen kuningaskunnan lainsäädäntökehystä varten (ks. vuoden 2018 tietosuojalain 74A §): Secretary of State eikä Euroopan komissio.

19

(20)  Tarkempi selvitys poliisivoimista ja niiden valtuuksista Yhdistyneessä kuningaskunnassa: UK Explanatory Framework for Adequacy Discussion, F jakso: Law Enforcement (ks. alaviite 9).

20

(21)  Vuoden 1996 poliisilaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1996/16/contents

21

(22)  Englannin ja Walesin poliisitoiminnan periaatteita ja standardeja koskeva ohjesääntö (Code of Practice for the Principles and Standards of Professional Behaviour for the Policing Profession of England and Wales), saatavilla seuraavassa osoitteessa: https://www.college.police.uk/What-we-do/Ethics/Documents/Code_of_Ethics.pdf; Pohjois-Irlannin poliisilaitoksen eettiset säännöt (Police Service Northern Ireland Code of Ethic), saatavilla seuraavassa osoitteessa: https://www.nipolicingboard.org.uk/psni-code-ethics; Skotlannin poliisitoiminnan eettiset säännöt (Code of Ethic for policing in Scotland), saatavilla seuraavassa osoitteessa: https://www.scotland.police.uk/about-us/code-of-ethics-for-policing-in-scotland/

22

(23)  Poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö, saatavilla seuraavassa osoitteessa: http://library.college.police.uk/docs/APPref/Management-of-Police-Information.pdf

23

(24)  Vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annettu laki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1984/60/contents

24

(25)  Vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain käytännesäännöt, saatavilla seuraavassa osoitteessa: https://www.gov.uk/guidance/police-and-criminal-evidence-act-1984-pace-codes-of-practice

25

(26)  Poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet, saatavilla seuraavassa osoitteessa: https://www.app.college.police.uk/app-content/information-management/management-of-police-information/

26

(27)  Poliisin tietosuojan ammattilaisille tarkoitettu tietosuojakäsikirja (Data Protection Manual for Police Data Protection Professionals), saatavilla seuraavassa osoitteessa: https://www.npcc.police.uk/2019%20FOI/IMORCC/225%2019%20NPCC%20DP%20Manual%20Draft%200.11%20Mar%202019.pdf

27

(28)  Esimerkiksi poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä (ks. alaviite 22) sovelletaan poliisin hallussa olevan operatiivisen tiedon säilyttämiseen (ks. tämän päätöksen johdanto-osan 47 kappale).

28

(29)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan tietosuojan riittävyyttä koskevien neuvottelujen aikana poliisiakatemia oli laatimassa tiedonhallintaa koskevaa ohjesääntöä, jolla korvattiin poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö. Ohjesäännön luonnos julkaistiin julkista kuulemista varten 25. tammikuuta 2021, ja se on saatavilla seuraavassa osoitteessa: https://www.college.police.uk/article/information-records-management-consultation

29

(30)  Asiassa R v. the Commission of Police of the Metropolis [2014] EWCA Civ 585 vahvistettiin poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön oikeudellinen asema, ja tuomari Laws totesi, että suur-Lontoon poliisikomentajan (Metropolitan Police Commissioner) on otettava huomioon poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö ja poliisin hallussa olevien tietojen hallintaa koskevat poliisin sisäiset ohjeet vuoden 1996 poliisilain 39A §:n nojalla.

30

(31)  Poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön noudattamista valvoo Her Majesty’s Inspectorate of Constabulary and Fire & Rescue Services (HMICFRS).

31

(32)  Ks. tältä osin poliisiakatemian kanta, joka koskee poliisin hallussa olevien tietojen hallintaa koskevien poliisin sisäisten ohjeiden noudattamista poliisitoiminnassa kaikilta osin. Sen mukaan poliisiakatemia pitää poliisin sisäisiä ohjeita poliisitoiminnan ohjeiden virallisena lähteenä. Poliisien ja henkilöstön odotetaan ottavan poliisin sisäiset ohjeet huomioon hoitaessaan velvollisuuksiaan. Saattaa kuitenkin olla tilanteita, joissa on olemassa perusteltu operatiivinen syy sille, että poliisivoimat poikkeavat poliisin sisäisistä ohjeista, edellyttäen, että tähän on selkeät perusteet. Poliisivoimien olisi kannettava vastuu kaikista paikallisista ja kansallisista riskeistä, jotka liittyvät toimintaan, jossa ei noudateta kansallisesti sovittuja suuntaviivoja, ja jos seurauksena on vaaratilanne tai tutkinta (esimerkiksi riippumattoman poliisitoimintaa tutkivan viraston (Independent Office of Police Conduct) kautta), poliisivoimat ovat vastuussa kaikista riskeistä. Poliisin sisäiset ohjeet ovat saatavilla seuraavassa osoitteessa: https://www.app.college.police.uk/faq-page/

32

(33)  Henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet (Guide to Law Enforcement Processing), saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/

33

(34)  Ks. asia Bridges v. Chief Constable of South Wales Police [2019] EWHC 2341 (Admin), jossa High Court totesi, että vaikka tietosuojavaltuutetun ohjeet eivät olleet lainsäädännön tasoisia, ”harkitessaan sitä, onko rekisterinpitäjä noudattanut 64 §:n mukaista velvoitetta [suorittaa tietosuojaa koskeva vaikutustenarviointi suuririskisen käsittelyn osalta], tuomioistuin ottaa huomioon tietosuojavaltuutetun tietosuojaa koskevista vaikutustenarvioinneista antamat ohjeet”.

34

(35)  Vuoden 2018 tietosuojalain liitteessä 7 luetellaan muun muassa yleisten syyttäjien johtajat, Pohjois-Irlannin syyttäjäviranomaisten johtaja tai tietosuojavaltuutettu.

35

(36)  Vuoden 2018 tietosuojalain 43 §:n 3 momentti.

36

(37)  Vuoden 2018 tietosuojalain 30 §:n 3 momentti. Tiedustelupalvelut (salainen tiedustelupalvelu (Secret Intelligence Service), turvallisuuspalvelu (Security Service) ja tiedustelupalvelu (Government Communications Headquarters)) eivät ole toimivaltaisia viranomaisia (ks. vuoden 2018 tietosuojalain 30 §:n 2 momentti), eikä vuoden 2018 tietosuojalain 3 osaa sovelleta mihinkään niiden toimintaan. Niiden toimet kuuluvat vuoden 2018 tietosuojalain 4 osan soveltamisalaan.

37

(38)  Vuoden 2018 tietosuojalain 31 §.

38

(39)  Tämä tarkoittaa sitä, että vuoden 2018 tietosuojalakia ja siten myöskään tätä päätöstä ei sovelleta Yhdistyneen kuningaskunnan kruunun alaisuuteen kuuluvilla alueilla eikä muilla Yhdistyneen kuningaskunnan merentakaisilla alueilla, kuten esimerkiksi Falklandinsaarilla tai Gibraltarin alueella.

39

(40)  Edesmenneen henkilön henkilötiedot eivät kuulu vuoden 2018 tietosuojalain soveltamisalaan.

40

(41)  Vuoden 2018 tietosuojalain 35 §:n 8 momentti.

41

(42)  
  ’Biometrisillä tiedoilla’ tarkoitetaan kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä tietyllä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön yksiselitteinen tunnistaminen voidaan varmistaa.

42

(43)  
  ’Terveystiedoilla’ tarkoitetaan luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, mukaan lukien tiedot terveyspalvelujen tarjoamisesta, jotka ilmaisevat hänen terveydentilansa.

43

(44)  
  ’Geneettisillä tiedoilla’ tarkoitetaan henkilötietoja, jotka koskevat luonnollisen henkilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla.

44

(45)  Vuoden 2018 tietosuojalain selittävät huomautukset, 181 kohta, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/pdfs/ukpgaen_20180012_en.pdf

45

(46)  Esimerkiksi kansallisen rikosviraston (National Crime Agency) toimivallasta säädetään vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa (Crime and Courts Act 2013), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2013/22/contents. Vastaavasti elintarvikenormiviraston (Food Standards Agency) toimivallasta säädetään vuoden 1999 elintarvikelaissa (Food Standards Act 1999), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1999/28/contents. Muita esimerkkejä ovat vuonna 1985 rikoksentekijöiden syytteeseenpanosta annettu laki (Prosecution of Offenders Act 1985), jolla perustettiin valtionsyyttäjänvirasto (Crown Prosecution Service) (ks. https://www.legislation.gov.uk/ukpga/1985/23/contents); vuoden 2005 vero- ja tullilaki, jolla perustettiin vero- ja tullivirasto (Her Majesty’s Revenue and Customs) (ks. https://www.legislation.gov.uk/ukpga/2005/11/contents); vuoden 1995 Skotlannin rikosprosessilaki (Criminal Procedure (Scotland) Act 1995), jolla perustettiin rikosasioiden tarkastuslautakunta (Scottish Criminal Cases Review Commission) (ks. https://www.legislation.gov.uk/ukpga/1995/46/contents); vuoden 2002 Pohjois-Irlannin oikeudenkäyttölaki (Justice (Northern Ireland) Act 2002), jolla perustettiin Pohjois-Irlannin syyttäjälaitos (ks. https://www.legislation.gov.uk/ukpga/2002/26/contents), ja törkeiden petosten torjuntavirasto (Serious Fraud Office), joka perustettiin ja jolle annettiin toimivaltuudet vuoden 1987 rikosoikeuslaissa (Criminal Justice Act 1987) (ks. https://www.legislation.gov.uk/ukpga/1987/38/contents).

46

(47)  Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan esimerkiksi Skotlannin syyttäjälaitoksen (Crown Office and Procurator Fiscal Service) ylimmän syyttäjän (Lord Advocate) toimivalta tutkia kuolemantapauksia ja nostaa syytteitä rikoksista perustuu common law -oikeuteen, kun taas osa hänen tehtävistään on vahvistettu laissa. Lisäksi kruunun ja sitä kautta useat hallituksen, ministeriöiden ja ministerien toimivaltuudet perustuvat lakien, common law -oikeuden ja kuninkaallisen etuoikeuden yhdistelmään (nämä ovat kruunulle annettuja common law -toimivaltuuksia, joita ministerit kuitenkin käyttävät).

47

(48)  UK Explanatory Framework for adequacy Discussion, F jakso: Law Enforcement, sivu 8 (ks. alaviite 9).

48

(49)  Keskeiset säädökset, joissa säädetään tärkeimmistä poliisivaltuuksista (pidättäminen, etsinnät, vapaudenmenetyksen jatkamista koskeva lupa, sormenjälkien ottaminen, intiimien näytteiden ottaminen, salakuuntelu, pääsy viestintätietoihin), ovat seuraavat: i) Englannin ja Walesin osalta vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annettu laki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1984/60/contents (sellaisena kuin se on muutettuna vuonna 2012 vapauksien suojelusta annetulla lailla (Protection of Freedoms Act 2012), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2012/9/contents) ja vuonna 2016 tutkintavaltuuksista annettu laki (Investigatory Powers Act 2016), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2016/25/contents), ii) Skotlannin osalta rikosoikeuslaki (Criminal Justice (Scotland) Act 2016), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/asp/2016/1/contents ja rikosprosessilaki (Criminal Procedure (Scotland) Act 1995), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1995/46/contents) iii) Pohjois-Irlannin osalta vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annettu laki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/nisi/1989/1341/contents

49

(50)  Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että säädetyn lain ensisijaisuus on vakiintunut jo kauan sitten Yhdistyneessä kuningaskunnassa. Tämä käy ilmi jo asiassa Entick v. Carrington [1765] EWHC KB J98 annetussa tuomiossa, jossa tunnustettiin, että toimeenpanovallan käytettävyydessä oli rajoituksia, ja vahvistettiin periaate, jonka mukaan tapaoikeuden mukaiset valtaoikeudet ja monarkin ja hallituksen etuoikeudet ovat hierarkiassa maanlain (law of the land) alapuolella.

50

(51)  Ks. asia Rice v. Connolly [1966] 2 QB 414.

51

(52)  Ks. asia R(Catt) v. Association of Chief police Officers [2015] AC 1065, jossa sen osalta, onko poliisilla valtuudet hankkia ja säilyttää tietoja yksittäisestä henkilöstä (joka on tehnyt rikoksen), lordi Sumption katsoi, että common law -oikeuden mukaan poliisilla on oikeus hankkia ja tallentaa tietoja poliisitoimintaa varten eli yleisesti ottaen yleisen järjestyksen ylläpitämiseksi sekä rikosten ehkäisemiseksi ja paljastamiseksi. Yksityisyyteen puuttuvat tiedonhankintamenetelmät, kuten yksityisalueelle tunkeutuminen tai henkilön fyysiseen koskemattomuuteen kohdistuvat teot (muut kuin common law -valtuuksiin perustuvat pidätykset) eivät sisälly näihin valtuuksiin. Tuomari katsoi, että tässä tapauksessa common law -valtuudet riittivät täysin siihen, että näissä valituksissa kyseessä olleen kaltaisen julkisen tiedon hankkiminen ja tallentaminen oli sallittua.

52

(53)  Vuoden 2010 tasa-arvolaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2010/15/contents

53

(54)  Esimerkki tapauksesta, jossa poliisin common law -valtuuksia arvioidaan vuoden 1998 tietosuojalain puitteissa, ks. High Courtin asiassa Bridges v. Chief Constable of South Wales Police antama tuomio (ks. alaviite 33). Ks. myös asiat Vidal-Hall v. Google Inc [2015] EWCA Civ 311 ja Richard v. BBC [2018] EWHC 1837 (Ch).

54

(55)  Ks. esimerkiksi Pohjois-Irlannin poliisiviraston todisteiden hallintaa koskevat ohjeet, saatavilla seuraavassa osoitteessa: https://www.psni.police.uk/globalassets/advice--information/our-publications/policies-and-service-procedures/records-management-080819.pdf

55

(56)  Parlamentin alahuone on julkaissut muistion, jossa esitellään Englannin ja Walesin poliisin keskeiset common law -säännöt ja lakisääteiset toimivaltuudet (ks. https://researchbriefings.files.uk/documents/CBP-8637/CBP-8637.pdf). Asiakirjan mukaan esimerkiksi valta ylläpitää ”kruunun rauhaa” perustuu common law -oikeuteen samoin kuin voimankäyttö, kun taas pysäytys- ja etsintävaltuudet perustuvat aina säädettyyn lakiin. Lisäksi Skotlannin hallitus antaa verkkosivustollaan tietoa poliisin pidätys- ja pysäytysvaltuuksista (ks. https://www.gov.scot/policies/police/police-powers/).

56

(57)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan hallituksen valtaoikeuksiin kuuluvat esimerkiksi sopimusten tekeminen ja ratifiointi, diplomatian harjoittaminen ja asevoimien käyttö rauhan ylläpitämiseksi poliisin tukena Yhdistyneessä kuningaskunnassa.

57

(58)  Ks. tietojen edelleen siirtämistä koskevan Yhdistyneen kuningaskunnan järjestelmän arviointi johdanto-osan 74–87 kappaleessa.

58

(59)  Ks. asia Bancoult v. Secretary of State for Foreign and Commonwealth Affairs [2008] UKHL 61, jossa tuomioistuimet katsoivat, että myös valta antaa määräyksiä (Orders in Council) kuului yleisen tuomioistuinvalvonnan piiriin.

59

(60)  Ks. asia Attorney-General v. De Keyser’s Royal Hotel Ltd [1920] [1920] AC 508, jossa tuomioistuin katsoi, että etuoikeuksien suomia valtuuksia ei voida käyttää, kun ne on korvattu lainsäädännössä säädetyillä valtuuksilla; asia Laker Airways Ltd v. Department of Trade [1977] QB 643, jossa tuomioistuin totesi, että etuoikeuksien suomia valtuuksia ei voida käyttää säädetyn lain kiertämiseksi; asia R v. Secretary of State for the Home Department, ex p. Fire Brigades Union [1995] UKHL 3, jossa tuomioistuin katsoi, että etuoikeuksien suomia valtuuksia ei voida käyttää, jos ne ovat ristiriidassa hyväksytyn lainsäädännön kanssa, vaikka hyväksytty lainsäädäntö ei olisi vielä voimassa; asia R (Miller) v. Secretary of State for Exiting the European Union [2017] UKSC 5, jossa tuomioistuin vahvisti, että säädetyllä lailla voidaan mukauttaa ja poistaa etuoikeuksia. Alahuoneen muistiossa esitetty yleiskatsaus kuninkaallisten etuoikeuksien ja säädettyyn lakiin tai common law -oikeuteen liittyvien toimivaltuuksien välisestä suhteesta, saatavilla seuraavassa osoitteessa: https://researchbriefings.files.parliament.uk/documents/SN03861/SN03861.pdf

60

(61)  Henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet, ensimmäisen periaatteen kuvaus (“What is the first principle about?”), saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/principles/#ib2

61

(62)  Tämä johtuu vuoden 2018 tietosuojalain asianomaisen säännöksen sanamuodosta. Sen mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos ja siltä osin kuin käsittely ”perustuu lainsäädäntöön” ja a) rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten tai b) käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän toteuttamiseksi.

62

(63)  Ks. direktiivin (EU) 2016/680 johdanto-osan 35 ja 37 kappale.

63

(64)  Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että suostumus voi olla asianmukainen perusta tietojen käsittelylle esimerkiksi silloin, kun poliisi saa kadonneen henkilön tapausta tutkittaessa DNA-näytteen, jota voidaan verrata ruumiiseen, jos sellainen löydetään. Tällaisessa tilanteessa poliisin ei olisi asianmukaista pakottaa rekisteröityä toimittamaan näyte. Sen sijaan poliisi pyytää henkilön suostumuksen, joka annetaan vapaaehtoisesti ja joka voidaan peruuttaa milloin tahansa. Jos suostumus peruutetaan, tietoja ei enää voida käsitellä, ellei näytteen käsittelyn jatkamiselle ole ilmennyt uutta oikeusperustaa (esim. rekisteröidystä on tullut epäilty). Toinen esimerkki voisi olla tilanne, jossa poliisi tutkii rikosta, jonka uhri (esim. ryöstön, seksuaalirikoksen tai perheväkivallan uhri, henkirikoksen uhrin sukulaiset tai muu rikoksen uhri) voisi hyötyä uhrien tukipalvelusta (riippumaton hyväntekeväisyysjärjestö, jonka tehtävänä on tukea rikoksesta ja traumaattisista tapahtumista kärsiviä ihmisiä). Tällaisessa tilanteessa poliisi toimittaa uhrien tukipalvelulle henkilötiedot, kuten nimen ja yhteystiedot, vain jos uhri on antanut siihen suostumuksensa.

64

(65)  Vuoden 2018 tietosuojalain 3 osassa ei ole erillistä suostumuksen määritelmää henkilötietojen käsittelyä varten. Tietosuojavaltuutettu on antanut ohjeita vuoden 2018 tietosuojalain 3 osan mukaisesta ”suostumuksen” käsitteestä selventäen, että sillä on sama merkitys ja sen olisi oltava yhdenmukainen yleisessä tietosuoja-asetuksessa olevan määritelmän kanssa. Sen mukaan suostumuksen on oltava vapaaehtoinen, yksilöity ja tietoisesti annettu, ja sen antajan on voitava aidosti valita, että hän antaa suostumuksen käsitellä tietoja. (Guide to Law Enforcement Processing, “What is the first principle about?” (ks. alaviite 64) ja suostumusta koskeva tietosuojaohje (Guide to Data Protection on consent), saatavana seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/consent/).

65

(66)  Ks. esim. tiedot Lincolnshiren poliisin verkkosivuilla (ks. https://www.lincs.police.uk/resource-library/data-protection/law-enforcement-processing/) tai West Yorkshiren poliisin verkkosivuilla (ks. https://www.westyorkshire.police.uk/sites/default/files/2018-06/data_protection.pdf).

66

(67)  Vuoden 2018 tietosuojalain 35 §:n 8 momentti.

67

(68)  Vuoden 2018 tietosuojalain 35 §:n 4 momentti.

68

(69)  Vuoden 2018 tietosuojalain 35 §:n 5 momentti.

69

(70)  Kattavuuden vuoksi on syytä huomata, että kun käsittely perustuu suostumukseen, suostumuksen on oltava vapaaehtoinen, yksilöity ja tietoisesti annettu, ja sen antajan on erityisesti voitava valita suostuminen tietojen käsittelyyn. Lisäksi kun rekisterinpitäjä käsittelee tietoja rekisteröidyn suostumuksen perusteella, sillä on oltava käytössään ”asianmukainen toimintapoliittinen asiakirja”. Vuoden 2018 tietosuojalain 42 §:ssä esitetään vaatimukset, jotka asianmukaisen toimintapoliittisen asiakirjan on täytettävä. Siinä tehdään selväksi, että asiakirjassa on vähintään selitettävä, miten rekisterinpitäjän on meneteltävä varmistaakseen tietosuojaperiaatteiden noudattamisen, ja mitkä ovat henkilötietojen säilyttämistä ja poistamista koskevat rekisterinpitäjän toimintaperiaatteet. Vuoden 2018 tietosuojalain 42 §:n mukaan tämä tarkoittaa, että rekisterinpitäjän on esitettävä asiakirja, jossa a) selitetään rekisterinpitäjän menettelyt tietosuojaperiaatteiden noudattamisen varmistamiseksi; ja b) selitetään rekisterinpitäjän toimintaperiaatteet, jotka koskevat rekisteröidyn suostumuksen perusteella käsiteltävien henkilötietojen säilyttämistä ja poistamista tai ilmoituksen antamista siitä, kuinka kauan henkilötietoja todennäköisesti säilytetään. Toimintapoliittisessa asiakirjassa edellytetään erityisesti, että rekisterinpitäjän on aina toteutettava a ja b alakohdassa mainitut seikat käsittelytoimien kirjaamista koskevan velvoitteensa suorittamiseksi. Tietosuojavaltuutettu on julkaissut henkilötietojen käsittelyä lainvalvonnassa koskevan malliasiakirjan, jossa tarkastellaan myös arkaluontoisen käsittelyn edellytyksiä (Guide to Law Enforcement Processing. Conditions for sensitive processing, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/conditions-for-sensitive-processing). Tietosuojavaltuutettu voi ryhtyä valvontatoimiin, jos rekisterinpitäjä ei täytä näitä vaatimuksia. Myös tuomioistuimet tarkastelevat asianmukaista toimintapoliittista asiakirjaa käsitellessään vuoden 2018 tietosuojalain mahdollisia rikkomisia. Esimerkiksi äskettäisessä asiassa R (Bridges) v. Chief Constable of South Wales Police tuomioistuimet tarkastelivat rekisterinpitäjän asianmukaista toimintapoliittista asiakirjaa ja pitivät sitä riittävänä mutta katsoivat, että sen täydentämisestä voisi olla hyötyä. Tämän seurauksena Etelä-Walesin poliisi tarkasteli asianmukaista toimintapoliittista asiakirjaa ja päivitti sitä tietosuojavaltuutetun uusien ohjeiden mukaisesti (ks. alaviite 33). Lisäksi vuoden 2018 tietosuojalain 42 §:n 3 momentin mukaan rekisterinpitäjän olisi tarkasteltava asianmukaista toimintapoliittista asiakirjaa säännöllisesti uudelleen. Vuoden 2018 tietosuojalain 42 §:n 4 momentin mukaan rekisterinpitäjän on täydentävänä suojatoimena pidettävä käsittelytoimista laajennettua kirjaa. Tämä velvoite on laajempi verrattuna yleiseen velvoitteeseen, jonka mukaan rekisterinpitäjän on pidettävä kirjaa vuoden 2018 tietosuojalain 61 §:ssä säädetyistä käsittelytoimista.

70

(71)  Henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet, ”Arkaluontoisen käsittelyn edellytykset” (ks. alaviite 70).

71

(72)  Käsittely suoritetaan ilman rekisteröidyn suostumusta, kun a) rekisteröity ei voi antaa suostumustaan käsittelyyn, b) ei voida kohtuudella odottaa, että rekisterinpitäjä hankkii rekisteröidyn suostumuksen käsittelyyn, c) käsittely on suoritettava ilman rekisteröidyn suostumusta, koska rekisteröidyn suostumuksen hankkiminen haittaisi 1 kohdan a alakohdassa tarkoitetun suojan tarjoamista.

72

(73)  Ks. vuoden 2018 tietosuojalain 41 §:n 1 momentti.

73

(74)  Ks. vuoden 2018 tietosuojalain 41 §:n 2 momentti.

74

(75)  Vuoden 2018 tietosuojalain 205 §:ssä olevan määritelmän mukaan termi ”virheellinen” (inaccurate) tarkoittaa, että henkilötiedot ovat ”virheellisiä tai harhaanjohtavia” (incorrect tai misleading). Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet olevan tyypillistä, että rikostutkintaan liittyvät tiedot ovat usein epätäydellisiä, mutta että ne voivat silti olla paikkansapitäviä.

75

(76)  Vuoden 2018 tietosuojalain 38 §:n 1 momentin b kohta.

76

(77)  Yhdistyneen kuningaskunnan perustelut tietosuojan riittävyyttä koskevalle keskustelulle: ”Näin varmistetaan, että sekä rekisteröityjen oikeudet että lainvalvontaviranomaisten operatiiviset tarpeet tunnustetaan. Edellä mainittua näkökohtaa tarkasteltiin huolellisesti tietosuojalakia laadittaessa, koska voi olla erityisiä ja rajallisia operatiivisia syitä, joiden vuoksi tietoja ei voida oikaista. Todennäköisimmin näin on silloin kun kyseessä olevat virheelliset henkilötiedot on säilytettävä alkuperäisessä muodossaan todistelua varten” (ks. UK Explanatory Framework for Adequacy Discussions, F jakso: Law Enforcement, s. 21, ks. alaviite 9).

77

(78)  Vuoden 2018 tietosuojalain 38 §:n 4 momentti. Lisäksi vuoden 2018 tietosuojalain 38 §:n 5 momentin mukaan kaikissa henkilötietojen siirroissa henkilötietojen laatu on tarkistettava ennen niiden siirtämistä tai asettamista saataville. Niihin on myös liitettävä tarpeelliset tiedot, joiden avulla vastaanottaja voi arvioida tietojen oikeellisuuden, täydellisyyden ja luotettavuuden sekä sen, missä määrin ne ovat ajan tasalla. Lisäksi jos henkilötietojen toimittamisen jälkeen ilmenee, että tiedot olivat virheellisiä tai että ne olivat lainvastaisia, vastaanottajalle on viipymättä ilmoitettava asiasta.

78

(79)  Vuoden 2018 tietosuojalain 38 §:n 2 momentti.

79

(80)  Vuoden 2018 tietosuojalain 38 §:n 3 momentti.

80

(81)  Näillä puitteilla varmistetaan hankittujen henkilötietojen yhdenmukainen säilyttäminen. Tarkastelujakso riippuu rikoksista, jotka on jaettu neljään ryhmään: 1) tietyt yleiseen suojeluun liittyvät asiat, 2) muut seksuaaliset väkivaltarikokset ja vakavat rikokset, 3) kaikki muut rikokset, 4) sekalaiset. Lisätietoja on saatavilla poliisin hallussa olevien tietojen hallintaa koskevissa poliisin sisäisissä ohjeissa (ks. alaviite 26).

81

(82)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan muut organisaatiot voivat vapaasti niin halutessaan noudattaa poliisin hallussa olevien tietojen hallintaa koskevaa ohjesääntöä, ja esimerkiksi vero- ja tullivirasto ja kansallinen rikosvirasto ovat vapaaehtoisesti hyväksyneet monia poliisin hallussa olevien tietojen hallintaa koskevan ohjesäännön periaatteita lainvalvonnan johdonmukaisuuden varmistamiseksi. Yleisesti useimmat organisaatiot antavat henkilöstölleen erityisiä toimintaohjeita ja opastusta siitä, miten henkilötietoja käsitellään osana henkilöstön tehtäviä ja mukautettuna kyseisen organisaation tarpeisiin. Tähän sisältyy yleensä myös pakollinen koulutus.

82

(83)  Poliisin hallussa olevien tietojen hallintaa koskeva ohjesääntö annettiin käyttäen vuoden 1996 poliisilain mukaisia valtuuksia, joiden nojalla poliisiakatemia voi antaa poliisin tehokkaaseen toimintaan liittyviä käytännesääntöjä. Poliisilain nojalla annettavilla ohjesäännöillä on oltava Secretary of Staten hyväksyntä, ja ne edellyttävät kansallisen rikosviraston kuulemista ennen kuin ne esitetään parlamentille. Vuoden 1996 poliisilain 39A §:n 7 momentissa edellytetään, että poliisi ottaa asianmukaisesti huomioon mainitun lain nojalla annetut säännöt.

83

(84)  Pohjois-Irlannin poliisiviraston poliisin hallussa olevien tietojen hallintaa koskevasta ohjesäännöstä annettu käsikirja (PSNI MOPI Handbook), luku 1–6.

84

(85)  Tietojen säilyttämistä koskeva menettelyohje, saatavilla seuraavassa osoitteessa: https://www.scotland.police.uk/spa-media/nhobty5i/record-retention-sop.pdf

85

(86)  Lisätietoja tietojen hallinnasta on Skotlannin rekisteriviranomaisen (National Records of Scotland) verkkosivuilla seuraavassa osoitteessa: https://www.nrscotland.gov.uk/record-keeping/records-management

86

(87)  Säilytysajat vaihtelevat sen mukaan, onko henkilö tuomittu (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63I–63KI §). Esimerkiksi rekisteriin merkittävästä rikoksesta (recordable offence) tuomitun aikuisen sormenjäljet ja DNA-tunnisteet voidaan säilyttää määräämättömän ajan (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63I §:n 2 momentti), kun taas säilyttämisaika on rajattu, jos tuomittu on alle 18-vuotias, rikos on ”vähäinen” rekisteriin merkittävä rikos eikä henkilöä ole aiemmin tuomittu (lain 63K §). Kun henkilö on ollut pidätettynä tai syytettynä mutta häntä ei ole tuomittu, hänen tietojensa säilyttäminen on rajoitettu kolmeen vuoteen (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63F §). Tämän säilyttämisajan pidentämiseen on saatava oikeusviranomaisen hyväksyntä (lain 63F §:n 7 momentti). Kun vähäisestä rikoksesta epäilty henkilö on ollut pidätettynä tai syytettynä mutta häntä ei ole tuomittu, tietoja ei saa säilyttää lainkaan (lain 63D § ja 63H §).

87

(88)  Vuonna 2012 vapauksien suojelusta annetun lain 20 §:ssä perustetaan biometristen materiaalien säilyttämisestä ja käytöstä vastaavan valtuutetun tehtävä. Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu päättää muun muassa, saako poliisi säilyttää DNA-tunnisteet ja sormenjäljet, jotka on otettu vakavasta rikoksesta (qualifying offence) epäillyltä henkilöltä, joka on pidätetty mutta jota vastaan ei ole nostettu syytettä (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63G §). Biometristen materiaalien säilyttämisestä ja käytöstä vastaavalla valtuutetulla on lisäksi yleinen vastuu valvoa DNA:n ja sormenjälkien säilyttämistä ja käyttöä sekä kansalliseen turvallisuuteen liittyvistä syistä tapahtuvaa säilyttämistä (vuonna 2012 poliisista ja rikosasioiden todistusaineistosta annetun lain 20 §:n 2 momentti). Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu nimitetään julkisia nimityksiä koskevien hallintosääntöjen nojalla (saatavilla seuraavassa osoitteessa: Governance Code for Public Appointments - GOV.UK (www.gov.uk) ja hänen toimeksiannostaan käy selvästi ilmi, että sisäasiainministeri voi erottaa hänet tehtävistään vain tarkoin määritellyissä olosuhteissa. Tällainen olosuhde voi olla esim. se, että hän on laiminlyönyt tehtäviensä hoidon kolmen kuukauden ajan, rikostuomio tai toimeksiannon ehtojen noudattamatta jättäminen.

88

(89)  Pidätyskuvien käyttöä ja säilyttämistä koskeva määräys (Review of the Use and Retention of Custody Images), saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/custody-images-review-of-their-use-and-retention

89

(90)  Skotlannin vuoden 1995 rikosprosessilain 18 § ja sitä seuraavat pykälät.

90

(91)  Säilytysajat vaihtelevat sen mukaan, onko henkilö tuomittu (Skotlannin vuoden 1995 rikosprosessilain 18 §:n 3 momentti) tai onko hän alaikäinen. Kun kyse on alaikäisestä henkilöstä, säilytysaika on kolme vuotta lapsen kuulemismenettelyn yhteydessä annetusta tuomiosta (rikosprosessilain 18E §:n 8 momentti). Jos henkilö on ollut pidätettynä, mutta häntä ei ole tuomittu, tietoja ei voida säilyttää (rikosprosessilain 18 §:n 3 momentti), paitsi erityistapauksissa ja riippuen rikoksen vakavuudesta (rikosprosessilain 18A §). Skotlannin biometristen materiaalien säilyttämisestä ja käytöstä vastaavan valtuutetun tehtävä on perustettu vuonna 2020 biometristen materiaalien säilyttämisestä ja käytöstä vastaavasta valtuutetusta annetussa laissa (Scottish Biometrics Commissioner Act 2020, ks. https://www.legislation.gov.uk/asp/2020/8/contents). Valtuutetun tehtävänä on laatia ja tarkistaa (Skotlannin parlamentin hyväksymiä) käytännesääntöjä, jotka koskevat biometristen tietojen hankkimista, säilyttämistä, käyttöä ja tuhoamista rikosoikeudellisia tarkoituksia ja poliisia varten (mainitun lain 7 §).

91

(92)  Vuoden 2018 tietosuojalain selittävien huomautusten mukaisesti (ks. alaviite 45) rekisterinpitäjän on erityisesti suunniteltava ja järjestettävä turvallisuus siten, että se on oikeassa suhteessa hallussa olevien henkilötietojen luonteeseen ja tietoturvaloukkauksesta mahdollisesti aiheutuvaan haittaan; kerrottava selkeästi, kuka organisaatiossa vastaa tietoturvan varmistamisesta; varmistettava, että fyysinen ja tekninen turvallisuus ovat asianmukaisia, ja että niitä tuetaan vankoilla toimintalinjoilla ja menettelyillä sekä luotettavalla ja hyvin koulutetulla henkilöstöllä; ja oltava valmis reagoimaan nopeasti ja tehokkaasti kaikkiin tietoturvaloukkauksiin.

92

(93)  Vuoden 2018 tietosuojalain selittävien huomautusten 221 kohta (ks. alaviite 45).

93

(94)  Vuoden 2018 tietosuojalain 67 §:n 4 momentissa säädetään, että ilmoitukseen on sisällyttävä kuvaus henkilötietojen tietoturvaloukkauksen luonteesta (mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä kyseessä olevien henkilötietotietueiden ryhmät ja arvioidut määrät), yhteyspisteen nimi ja yhteystiedot, kuvaus henkilötietojen tietoturvaloukkauksen todennäköisistä seurauksista sekä kuvaus toimenpiteistä, jotka rekisterinpitäjä on toteuttanut tai aikoo toteuttaa henkilötietojen tietoturvaloukkauksen korjaamiseksi (mukaan lukien tarvittaessa toimenpiteet sen mahdollisten haittavaikutusten lieventämiseksi).

94

(95)  Vuoden 2018 tietosuojalain 67 §:n 2 momentti.

95

(96)  Vuoden 2018 tietosuojalain 67 §:n 6 momentti.

96

(97)  Vuoden 2018 tietosuojalain 67 §:n 9 momentti.

97

(98)  Vuoden 2018 tietosuojalain 68 §:n 7 momentin mukaan rekisterinpitäjä voi rajoittaa kokonaan tai osittain tietojen antamista rekisteröidylle siltä osin ja niin kauan kuin rajoittaminen on rekisteröidyn perusoikeudet ja oikeutetut edut huomioon ottaen välttämätön ja oikeasuhteinen toimenpide a) jotta vältetään estämästä virallisia tai laillisia tiedusteluja, tutkimuksia tai menettelyjä, b) jotta vältetään tuottamasta haittaa rikosten ennalta estämiselle, tutkimiselle ja paljastamiselle tai rikoksiin liittyville syytetoimille taikka rikosoikeudellisten seuraamusten täytäntöönpanolle, c) yleisen turvallisuuden suojelemiseksi, d) kansallisen turvallisuuden suojelemiseksi, e) muiden henkilöiden oikeuksien ja vapauksien suojaamiseksi.

98

(99)  Vuoden 2018 tietosuojalain 68 §:n 3 momentti.

99

(100)  Vuoden 2018 tietosuojalain 68 §:n 5 momentti.

100

(101)  Vuoden 2018 tietosuojalain 68 §:n 6 momentti (vuoden 2018 tietosuojalain 68 §:n 8 momentissa säädetyin rajoituksin).

101

(102)  Henkilötietojen käsittelyä lainvalvonnassa koskevissa ohjeissa annetaan seuraava esimerkki: ”Sivustollasi on yleinen tietosuojaseloste, joka sisältää perustiedot organisaatiosta, henkilötietojen käsittelyn tarkoituksesta, rekisteröidyn oikeuksista ja oikeudesta tehdä valitus tietosuojavaltuutetulle. Olet saanut tietää, että eräs henkilö oli läsnä rikoksen tapahtuessa. Kun henkilöä kuullaan ensimmäisen kerran, hänelle on toimitettava yleiset tiedot ja muut lisätiedot, jotta hän voi käyttää oikeuksiaan. Voit rajoittaa antamiasi asianmukaista käsittelyä koskevia tietoja vain, jos ne vaikuttavat kielteisesti suorittamaasi tutkintaan” (Guide to Law Enforcement Processing,”What information should we supply to an individual?”, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib3).

102

(103)  Henkilötietojen käsittelyä lainvalvonnassa koskevissa ohjeissa todetaan, että henkilötietojen käsittelystä annettavien tietojen on oltava ytimekkäitä, ymmärrettäviä ja helposti saatavilla. Ne on kirjoitettava selkeällä ja yksinkertaisella kielellä, joka on mukautettu haavoittuvassa asemassa olevien henkilöiden, kuten lasten, tarpeisiin. Niiden on oltava myös maksuttomia (Guide to Law Enforcement Processing, ”How should we provide this information?”, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-to-be-informed/#ib1).

103

(104)  Vuoden 2018 tietosuojalain 44 §:n 2 momentti.

104

(105)  Yksityiskohtainen analyysi rekisteröidyn oikeuksista: Guide to Law Enforcement Processing on individual rights, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/

105

(106)  Vuoden 2018 tietosuojalain 45 §:n 1 momentti.

106

(107)  Vuoden 2018 tietosuojalain 45 §:n 2 momentti.

107

(108)  Vuoden 2018 tietosuojalain 46 §:n 4 momentti.

108

(109)  Rekisteröity voi pyytää rekisterinpitäjää poistamaan henkilötiedot tai rajoittamaan niiden käsittelyä (mutta rekisterinpitäjän velvollisuuksia poistaa tiedot tai rajoittaa niiden käsittelyä sovelletaan riippumatta siitä, onko tällainen pyyntö esitetty vai ei).

109

(110)  Vuoden 2018 tietosuojalain 46 §:n 4 momentti ja 47 §:n 2 momentti.

110

(111)  Vuoden 2018 tietosuojalain 47 §:n 3 momentti.

111

(112)  Vuoden 2018 tietosuojalain 48 §:n 1 momentti.

112

(113)  Vuoden 2018 tietosuojalain 48 §:n 7 momentti.

113

(114)  Vuoden 2018 tietosuojalain 48 §:n 9 momentti.

114

(115)  Vuoden 2018 tietosuojalain 68 §.

115

(116)  Vuoden 2018 tietosuojalain 52 §:n 1 momentti.

116

(117)  Vuoden 2018 tietosuojalain 52 §:n 3 momentti.

117

(118)  Vuoden 2018 tietosuojalain 54 §:ssä määritellään ’sovellettava ajanjakso’, jolla tarkoitetaan yhden kuukauden ajanjaksoa tai asetuksissa mahdollisesti määriteltyä pidempää ajanjaksoa, joka alkaa tietystä ajankohdasta (siitä kun rekisterinpitäjä vastaanottaa pyynnön, kun rekisterinpitäjä saa tietosuojalain 52 §:n 4 momentin mukaisen pyynnön yhteydessä pyydetyt tiedot (jos sellaisia on) tai kun (mahdollinen) tietosuojalain 53 §:n mukaisen pyynnön yhteydessä perittävä maksu suoritetaan.

118

(119)  Vuoden 2018 tietosuojalain 53 §:n 1 momentti.

119

(120)  Tietosuojavaltuutetun ohjeiden mukaan rekisterinpitäjä voi päättää veloittaa rekisteröidyltä maksun, jos pyyntö on ilmeisen perusteeton tai kohtuuton, mutta rekisterinpitäjä päättää silti vastata siihen. Maksun on oltava kohtuullinen ja sellainen, että se voi toimia kustannusten perusteena. Henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet ilmeisen perusteettomaksi tai kohtuuttomaksi katsottavien pyyntöjen osalta, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/manifestly-unfounded-and-excessive-requests/

120

(121)  Vuoden 2018 tietosuojalain 45 §:n 4 momentti.

121

(122)  Vuoden 2018 tietosuojalain 44 §:n 4 momentti.

122

(123)  Vuoden 2018 tietosuojalain 68 §:n 7 momentti.

123

(124)  Vuoden 2018 tietosuojalain 48 §:n 3 momentti.

124

(125)  Ks. esimerkiksi henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet sen osalta, miten yksilöllä on oikeus saada pääsy tietoihin, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/individual-rights/the-right-of-access/#ib8

125

(126)  Ks. esim. Data Protection Manual for Police Data Protection Professional issued by the National Police Chief Counsel (ks. alaviite 27) tai törkeiden petosten torjuntaviraston ohjeet, saatavilla seuraavassa osoitteessa: https://www.sfo.gov.uk/publications/guidance-policy-and-protocols/sfo-operational-handbook/data-protection/

126

(127)  Data protection Manual of the National Police Chief Counsel, s. 140 (ks. alaviite 27).

127

(128)  Em. tietosuojakäsikirjan mukaan ”virallisen tai laillisen tiedustelun, tutkimuksen tai menettelyn” estämisen välttämisellä on todennäköisesti merkitystä henkilötietojen käsittelylle, kun kyse on tutkinnasta, perheoikeudenkäynneistä, muista kuin rikosoikeudellisista sisäisistä kurinpitomenettelyistä ja sellaisista tutkinnoista kuin lapsen seksuaalista hyväksikäyttöä koskevasta riippumattomasta tutkinnasta. Sen sijaan ”muiden henkilöiden oikeuksien ja vapauksien” suojaaminen liittyy henkilötietoihin, jotka koskisivat myös muita henkilöitä ja hakijaa (Data protection Manual of the National Police Chief Counsel, s. 140, ks. alaviite 27).

128

(129)  Vuoden 2018 tietosuojalain 79 §.

129

(130)  UK Government Guidance on National Security Certificates, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

130

(131)  Vuoden 2018 tietosuojalain 44 §:n 5 ja 6 momentti, 45 §:n 5 ja 6 momentti ja 48 §:n 4 momentti.

131

(132)  Vuoden 2018 tietosuojalain 44 §:n 7 momentti, 45 §:n 7 momentti ja 48 §:n 6 momentti.

132

(133)  Vuoden 2018 tietosuojalain 51 §.

133

(134)  Vuoden 2018 tietosuojalain 167 §.

134

(135)  Vuoden 2018 tietosuojalain selittävissä huomautuksissa todetaan automatisoidun käsittelyn soveltamisalasta seuraavaa: ”Nämä säännökset liittyvät täysin automatisoituun päätöksentekoon, mutta eivät automatisoituun käsittelyyn. Automatisoitu käsittely (profilointi mukaan luettuna) tarkoittaa, että tietoja käsitellään ilman ihmisen työpanosta. Sitä käytetään lainvalvonnassa säännöllisesti suurten tietokokonaisuuksien suodattamiseksi ihmisen hallittavissa oleviin määriin. Automatisoitu päätöksenteko on yksi automatisoidun käsittelyn muoto, ja se edellyttää, että lopullinen päätös tehdään ilman ihmisen puuttumista asiaan.” (Tietosuojalain selittävät huomautukset 204 kohta, ks. alaviite 45).

135

(136)  Tietosuojalaissa säädetyn suojan lisäksi Yhdistyneen kuningaskunnan oikeudellisessa kehyksessä on muita lainsäädännöllisiä rajoituksia, joita sovelletaan lainvalvontaviranomaisiin ja joilla estetään laittomaan syrjintään johtava automatisoitu käsittely (profilointi mukaan luettuna). Euroopan ihmisoikeussopimukseen sisältyvät oikeudet, myös 14 artiklaan sisältyvä syrjintäkielto, on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Vuoden 2010 tasa-arvolaissa kielletään vastaavasti syrjimästä henkilöitä, joilla on suojattuja ominaisuuksia (muun muassa sukupuoli, rotu, vammaisuus jne.).

136

(137)  Vuoden 2018 tietosuojalain 49 §:n 2 momentti.

137

(138)  Vuoden 2018 tietosuojalain 50 §:n 4 momentti.

138

(139)  Tämä uusi järjestelmä otettiin käyttöön siirtymäkauden päättyessä, ja se sisältää Secretary of Statelle annetun toimivallan antaa tietosuojan riittävyyttä koskevia asetuksia. Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevassa säädöksessä, (erityisesti sen liitteessä 21 olevassa 10–12 kohdassa, joka mainitulla säädöksellä sisällytetään vuoden 2018 tietosuojalakiin) säädetään kuitenkin, että tiettyjä henkilötietojen siirtoja siirtymäkauden päättyessä ja sen jälkeen käsitellään, ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Näihin siirtoihin kuuluvat siirrot kolmansiin maihin, joista EU on tehnyt tietosuojan riittävyyttä koskevan päätöksen siirtymäkauden päättyessä, sekä EU:n jäsenvaltioihin, EFTA-valtioihin ja Gibraltarin alueeseen, koska ne soveltavat lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annettua direktiiviä lainvalvontatarkoituksessa suoritettavaan tietojen käsittelyyn (EFTA-valtiot soveltavat direktiiviä (EU) 2016/680 Schengenin säännöstöön perustuvien velvoitteidensa vuoksi). Tämä tarkoittaa sitä, että siirtymäkauden päättyessä siirrot näihin maihin voivat jatkua samaan tapaan kuin ennen EU:sta eroamista. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden kuluessa.

139

(140)  Vuoden 2018 tietosuojalain 73 ja 77 §.

140

(141)  Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että maan tai kansainvälisen järjestön kuvauksella tarkoitetaan tilannetta, jossa tietosuojan riittävyys olisi tarpeen määritellä erityisellä ja osittaisella tavalla, johon sisältyy kohdennettuja rajoituksia (esimerkiksi niin, että tietosuojan riittävyyttä koskeva asetus koskisi vain tietyntyyppisiä tiedonsiirtoja).

141

(142)  Ks. vuoden 2018 tietosuojalain 74A §:n 4 momentti, jossa säädetään, että kun arvioidaan tietosuojan riittävyyttä, ”Secretary of Staten on erityisesti otettava huomioon a) oikeusvaltioperiaate, ihmisoikeuksien ja perusvapauksien kunnioitus, sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano, tietosuojaa koskevat säännöt, ammatilliset säännöt ja turvatoimet, mukaan lukien asianomaisessa kolmannessa maassa tai kansainvälisessä järjestössä noudatettavat säännöt henkilötietojen siirtämisestä edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, oikeuskäytäntö sekä rekisteröidyille kuuluvat tehokkaat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään, b) se, onko kyseisessä kolmannessa maassa tai siinä kolmannessa maassa, jonka alaisuuteen kansainvälinen järjestö kuuluu, vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisen varmistamisesta ja täytäntöönpanosta, kuten riittävistä valvontavaltuuksista, oikeuksien käyttämistä koskevan avun ja neuvojen tarjoamisesta rekisteröidyille sekä yhteistyön tekemisestä tietosuojavaltuutetun kanssa, ja c) kyseisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset tai muut oikeudellisesti sitovista yleissopimuksista tai välineistä sekä monenvälisiin tai alueellisiin järjestelmiin osallistumisesta johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaamista.”

142

(143)  Ks. Memorandum of Understanding between the Secretary of State for the Department for Digital, Culture, Media and Sport and the Information’s Commissioner’s Office on the role of the ICO in relation to new United Kingdom adequacy assessment, saatavilla seuraavassa osoitteessa https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.

143

(144)  Tämän 40 päivän jakson aikana parlamentin kummallakin kamarilla on halutessaan mahdollisuus äänestää sääntöjä vastaan ja jos vaatimus asetuksen hylkäämisestä menee läpi äänestyksessä, asetuksella ei ole viime kädessä lainkaan oikeusvaikutuksia.

144

(145)  Vuoden 2018 tietosuojalain 75 §.

145

(146)  Vuoden 2018 tietosuojalain 75 §:n 3 momentissa säädetään, että kun tietojen siirto tapahtuu asianmukaisten suojatoimien avulla, a) siirto on dokumentoitava, b) asiakirjat on toimitettava tietosuojavaltuutetulle pyynnöstä ja c) asiakirjoissa on oltava erityisesti i) siirron päivämäärä ja kellonaika, ii) vastaanottajan nimi ja muut asiaankuuluvat tiedot, iii) siirron perustelut ja iv) siirrettyjen henkilötietojen kuvaus.

146

(147)  Henkilötietojen käsittelyä lainvalvonnassa koskevat ohjeet erityisten olosuhteiden osalta, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-law-enforcement-processing/international-transfers/#ib3).

147

(148)  Vuoden 2018 tietosuojalain 76 §.

148

(149)  Vuoden 2018 tietosuojalain 76 §.

149

(150)  Vuoden 2018 tietosuojalain 76 §:n 3 momentti.

150

(151)  Vuoden 2018 tietosuojalain 73 §:n 5 momentti.

151

(152)  Tämän uuden kehyksen soveltamista on tarkasteltava Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen, jäljempänä ’kauppa- ja yhteistyösopimus’, 782 artiklan valossa. Sopimus (EUVL L 444, 31.12.2020, s. 14) on saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:22020A1231(01)&from=FI

152

(153)  Vuoden 2018 tietosuojalain 62 §.

153

(154)  Vuoden 2018 tietosuojalain 69 §.

154

(155)  Direktiivin (EU) 2016/680 36 artiklan 2 kohdan b alakohta.

155

(156)  Vuoden 2018 tietosuojalain 116 §.

156

(157)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2019–2020 tilinpäätös ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf

157

(158)  Niiden keskinäisiä suhteita säännellään hallinnointisopimuksella. Vastuuministeriön keskeisenä tehtävänä on muun muassa varmistaa, että tietosuojavaltuutetulla on käytössään riittävä rahoitus ja henkilöstö; edustaa tietosuojavaltuutettua parlamentissa ja muissa hallintoelimissä; varmistaa, että käytössä on vankka kansallinen tietosuojakehys; ja antaa tietosuojavaltuutetulle ohjeita ja tukea esimerkiksi kiinteistö-, vuokraus- ja hankintakysymyksissä (vuosien 2018–2021 hallinnointisopimus (Management Agreement) on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf).

158

(159)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

159

(160)  Julkisia nimityksiä koskevat hallintosäännöt ovat saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/governance-code-for-public-appointments

160

(161)  Second Report of Session 2015–2016 of the Culture, Media and Sports Committee at the House of Commons, saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf

161

(162)  
  ”Address” on parlamentille osoitettava esitys, jonka tarkoituksena on saattaa monarkin tietoon parlamentin näkemys tietystä kysymyksestä.

162

(163)  Vuoden 2018 tietosuojalain liitteessä 12 oleva 3 kohta.

163

(164)  Vuoden 2018 tietosuojalain 137 §.

164

(165)  Vuoden 2018 tietosuojalain 137 ja 138 §:ssä vahvistetaan erilaisia suojatoimia sen varmistamiseksi, että maksut asetetaan asianmukaiselle tasolle. Erityisesti vuoden 2018 tietosuojalain 137 §:n 4 kohdassa luetellaan seikat, jotka Secretary of Staten on otettava huomioon antaessaan asetuksia eri organisaatioilta perittävien maksujen määrittämiseksi. Vuoden 2018 tietosuojalain 138 §:n 1 momentissa ja 182 §:ssä asetetaan Secretary of Statelle oikeudellinen velvoite kuulla ennen asetusten antamista tietosuojavaltuutettua ja muita sellaisten henkilöiden edustajia, joihin asetukset todennäköisesti vaikuttavat, jotta heidän näkemyksensä voidaan ottaa huomioon. Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 138 §:n 2 momentin nojalla seurattava maksuasetuksen (Charges Regulations) toimintaa ja esitettävä tarvittaessa Secretary of Statelle ehdotus sen muuttamiseksi. Maksuasetuksiin sovelletaan ns. myönteistä päätöslauselmamenettelyä (affirmative resolution procedure), jonka mukaan ne voidaan hyväksyä vasta kun kumpikin parlamentin kamari on antanut niistä myönteisen päätöslauselman. (Jos asetuksella kuitenkin vain otetaan huomioon vähittäishintaindeksin nousu, sovelletaan negatiivista päätöslauselmamenettelyä.)

165

(166)  Hallinnointisopimuksen mukaan Secretary of State voi suorittaa tietosuojavaltuutetulle maksuja varoista, jotka parlamentti on myöntänyt tähän tarkoitukseen vuoden 2018 tietosuojalain liitteessä 12 olevan 9 kohdan nojalla. Tietosuojavaltuutettua kuultuaan ministeri maksaa tietosuojavaltuutetulle asianmukaisen tukimäärän hallintomenoihin ja mm. tiedonvapauteen liittyvien tietosuojavaltuutetun erityistehtävien hoitamista varten (hallinnointisopimus 2018–2021, 1.12 kohta, ks. alaviite158).

166

(167)  Vuoden 2018 tietosuojalain 134 §.

167

(168)  Vuoden 2018 tietosuojalain liitteessä 13 oleva 2 kohta.

168

(169)  Vuoden 2018 tietosuojalain 142 § (vuoden 2018 tietosuojalain 143 §:ssä säädetyin rajoituksin) .

169

(170)  Vuoden 2018 tietosuojalain 146 § (vuoden 2018 tietosuojalain 147 §:ssä säädetyin rajoituksin).

170

(171)  Vuoden 2018 tietosuojalain 149–151 § (vuoden 2018 tietosuojalain 152 §:ssä säädetyin rajoituksin).

171

(172)  Vuoden 2018 tietosuojalain 155 § (vuoden 2018 tietosuojalain 156 §:ssä säädetyin rajoituksin).

172

(173)  Sääntelytoimia koskevat toimintaperiaatteet (Regulatory Action Policy) ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf

173

(174)  Tietosuojavaltuutettu voi antaa seuraamusmääräyksen erityisesti vuoden 2018 tietosuojalain 149 §:n 2, 3, 4 tai 5 momentissa tarkoitetun noudattamatta jättämisen vuoksi.

174

(175)  Vuoden 2018 tietosuojalain 157 §.

175

(176)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2018–2019 tilinpäätös ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf

176

(177)  Tietosuojavaltuutetun vuosikertomus 2019–2020 (ks. alaviite 157).

177

(178)  Tietokantaan talletetaan tiedustelutietoa oletetuista jengien jäsenistä ja jengirikollisuuden uhreista.

178

(179)  Vuoden 2018 tietosuojalain 170 §.

179

(180)  Vuoden 2018 tietosuojalain 171 §.

180

(181)  Vuoden 2018 tietosuojalain 119 §.

181

(182)  Vuoden 2018 tietosuojalain 144 ja 148 §.

182

(183)  Kuten hallinnointisopimuksessa määrätään, vuosikertomuksessa on i) käsiteltävä kaikki tietosuojavaltuutetun määräysvallassa olevat yhtiöt, tytäryhtiöt tai yhteisyritykset; ii) noudatettava valtionkassan tilinpäätöskäsikirjaa (Treasury’s Financial Reporting Manual); iii) oltava hallintotapaselvitys (governance statement), jossa esitetään, miten tilinpitäjä on hallinnoinut ja valvonut organisaatiossa käytettyjä resursseja kuluneen vuoden aikana, ja jossa osoitetaan, kuinka hyvin organisaatio hallitsee tavoitteidensa ja päämääriensä saavuttamiseen kohdistuvia riskejä; ja iv) esitettävä pääpiirteittäin edellisen varainhoitovuoden tärkeimmät toimet ja tulokset sekä esitettävä yhteenveto tulevista suunnitelmista (hallinnointisopimus 2018–2021, kohta 3.26, ks. alaviite 158).

183

(184)  Vuoden 2018 tietosuojalain 117 §.

184

(185)  Lautakunnan tehtävänä on antaa oikeuslaitokselle ohjausta ja koulutusta. Lisäksi se käsittelee rekisteröityjen tekemiä valituksia, jotka koskevat tuomioistuinten ja lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä. Lautakunta pyrkii löytämään ratkaisun kaikkiin valituksiin. Jos valituksen tekijä ei ole tyytyväinen lautakunnan päätökseen ja esittää lisänäyttöä, lautakunta voi harkita päätöstään uudelleen. Lautakunta ei itse määrää taloudellisia seuraamuksia, mutta jos se katsoo, että vuoden 2018 tietosuojalakia on rikottu riittävän vakavasti, se voi viedä valituksen oikeuslaitoksen tutkintalautakunnan (Judicial Conduct Investigation) käsiteltäväksi. Jos valitus todetaan aiheelliseksi, lordikansleri (oikeusministeri) ja Lord Chief Justice (tai tehtävään valtuutettu vanhempi tuomari) päättävät, mitä toimia viranhaltijaa vastaan olisi toteutettava. Näitä voivat olla vakavuusjärjestyksessä virallinen muistutus, virallinen varoitus, huomautus ja viime kädessä erottaminen virasta. Jos yksityishenkilö on tyytymätön tapaan, jolla tutkintalautakunta on tutkinut asiaa, hän voi valittaa asiasta edelleen tuomarien nimityksistä ja viranhoidosta vastaavalle oikeusasiamiehelle (Judicial Appointments and Conduct Ombudsman; ks. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Oikeusasiamiehellä on valtuudet pyytää tutkintalautakuntaa tutkimaan valitus uudelleen ja ehdottaa, että valituksen tekijälle maksetaan korvaus, jos hänen katsotaan kärsineen vahinkoa hallinnollisen väärinkäytöksen vuoksi.

185

(186)  Lord Chief Justicen ja tuomioistuinten ylimmän presidentin laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

186

(187)  Pohjois-Irlannin Lord Chief Justicen laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://judiciaryni.uk/data-privacy

187

(188)  Skotlannin tuomioistuinten tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice

188

(189)  Tietosuojaa valvova tuomari laatii ohjeita oikeuslaitokselle ja tutkii tietoturvaloukkauksia ja/tai valituksia, jotka koskevat tuomioistuinten tai lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä.

189

(190)  Jos valitus tai tietoturvaloukkaus katsotaan vakavaksi, se toimitetaan edelleen oikeuslaitoksen oikeusasiamiehen (Judicial Complaints Officer) tutkittavaksi Pohjois-Irlannin Lord Chief Justicen laatiman valituksia koskevien käytännesääntöjen (Code of Practice on Complaints) mukaisesti. Valituksen ratkaisu voi olla jokin seuraavista: ei aiheuta toimenpiteitä, muistutus, koulutus tai mentorointi, epävirallinen varoitus, virallinen varoitus, lopullinen varoitus, ammatinharjoittamisen rajoitus tai käsittelyn siirtäminen lakisääteiseen tuomioistuimeen. Pohjois-Irlannin Lord Chief Justicen laatimat valituksia koskevat käytännesäännöt ovat saatavilla seuraavassa osoitteessa: https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf

190

(191)  Tietosuojaa valvovan tuomarin tutkimuksissa aiheelliseksi todettu valitus saatetaan Lord Presidentin käsiteltäväksi. Hänellä on toimivalta määrätä annettavaksi muistutus, virallinen varoitus tai huomautus, jos hän katsoo sen tarpeelliseksi (vastaavat tuomioistuinten jäseniä koskevat säännöt ovat saatavilla seuraavassa osoitteessa: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2).

191

(192)  Vuoden 2018 tietosuojalain 165 §.

192

(193)  Vuoden 2018 tietosuojalain 166 §:ssä viitataan nimenomaisesti seuraaviin tilanteisiin: a) tietosuojavaltuutettu ei ole toteuttanut asianmukaisia toimenpiteitä valitukseen vastaamiseksi, b) tietosuojavaltuutettu ei ole antanut valituksen tekijälle tietoja tutkinnan etenemisestä tai sen tuloksesta kolmen kuukauden kuluessa siitä kun tietosuojavaltuutettu on vastaanottanut valituksen, tai c) jos tietosuojavaltuutettu ei tee valituksen perusteella ratkaisua tai ei anna valituksen tekijälle tutkintaa koskevia tietoja em. kolmen kuukauden määräajan kuluessa.

193

(194)  First Tier Tribunal -tuomioistuin on toimivaltainen käsittelemään hallituksen sääntelyelinten päätöksiä koskevat muutoksenhaut. Kun muutoksenhaku koskee tietosuojavaltuutetun päätöstä, toimivaltainen jaosto on ”yleinen sääntelyjaosto” (General Regulatory Chamber), joka on toimivaltainen koko Yhdistyneessä kuningaskunnassa.

194

(195)  Vuoden 2018 tietosuojalain 166 §.

195

(196)  Vuoden 2018 tietosuojalain 161 ja 162 §.

196

(197)  Ks. asia Brown v. Commissioner of Police of the Metropolis 2016, jossa tuomioistuin myönsi kantajalle korvauksen tietosuojan alalla poliisia vastaan nostetussa asiassa. Tuomioistuin hyväksyi kantajan vaatimukset, jotka koskivat vuoden 1998 tietosuojalain velvoitteiden rikkomista, vuoden 1998 ihmisoikeuslain (ja siihen liittyvän Euroopan ihmisoikeussopimuksen 8 artiklan mukaisen oikeuden) rikkomista sekä yksityisten tietojen väärinkäyttöä (vastaaja myönsi lopulta tietosuojalain ja Euroopan ihmisoikeussopimuksen rikkomisen, joten tuomiossa keskityttiin siihen, mikä oli asianmukainen oikeussuojakeino). Näiden rikkomisten seurauksena tuomioistuin määräsi kantajalle maksettavan rahallisen korvauksen.

197

(198)  Vuoden 1998 ihmisoikeuslain 8 §:n 1 momentti.

198

(199)  Vuoden 2018 tietosuojalain 36 §:n 3 momentti.

199

(200)  Vuonna 2017 digitaalitaloudesta annetun lain 56 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2017/30/contents

200

(201)  Vuonna 2017 digitaalitaloudesta annetun lain 48 §.

201

(202)  Vuonna 2013 rikoksista ja tuomioistuimista annetun lain 7 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2013/22/contents

202

(203)  Vuonna 2007 vakavasta rikollisuudesta annetun lain 68 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2007/27/contents

203

(204)  Authorised Professional Practice on Information Sharing, saatavilla seuraavassa osoitteessa: https://www.app.college.police.uk/app-content/information-management/sharing-police-information

204

(205)  Ks. esimerkiksi asia M, R v. the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), jossa High Court -tuomioistuinta pyydettiin tarkastelemaan tietojen jakamista poliisin ja rikollisuuden vähentämistä edistävän yrityskumppanuusorganisaation Business Crime Reduction Partnership (BCRP) välillä; organisaatiolla oli valtuudet hallinnoida määräyksiä (exclusion notice), joilla tietyiltä henkilöiltä evättiin pääsy organisaation jäsenten liiketiloihin. Tuomioistuin totesi tarkastelunsa yhteydessä, että tietojen jakaminen perustui sopimukseen, jonka tarkoituksena oli suojella yleisöä ja ehkäistä rikollisuutta, ja katsoi lopulta, että se tapahtui valtaosaksi lainmukaisesti, eräitä arkaluontoisia tietoja lukuun ottamatta. Toinen esimerkki on asia Cooper v. NCA [2019] EWCA Civ 16, jossa muutoksenhakutuomioistuin Court of Appeal hyväksyi tietojen jakamisen poliisin ja vakavaa järjestäytynyttä rikollisuutta käsittelevän viraston (Serious Organised Crime Agency, SOCA) välillä; tämä lainvalvontavirasto on nykyään osa kansallista rikosvirastoa (NCA).

205

(206)  Vuoden 2018 tietosuojalain 36 §:n 4 momentti.

206

(207)  Yhdistyneen kuningaskunnan tarjoaman henkilötietojen suojan riittävyydestä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaisesti annettu komission täytäntöönpanopäätös C(2021)4800.

207

(208)  Vuoden 2008 terrorismintorjuntalain 19 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2008/28/section/19

208

(209)  Vuoden 1994 tiedustelupalvelulain (ks. https://www.legislation.gov.uk/ukpga/1994/13/contents) 2 §:n 2 momentin mukaan ”Tiedustelupalvelun päällikkö vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, – a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin, kuin ne ovat tarpeen sen tehtävien hoitamiseksi, ja että se ei paljasta mitään tietoja muutoin kuin siltä osin kuin se on tarpeen – i) kyseistä tarkoitusta varten; ii) kansallisen turvallisuuden vuoksi; iii) vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi; tai iv) rikosasian käsittelyä varten; ja b) että tiedustelupalvelu ei ryhdy mihinkään toimiin minkään Yhdistyneen kuningaskunnan poliittisen puolueen etujen edistämiseksi”. Vuoden 1989 turvallisuuspalveluja koskevan lain (ks. https://www.legislation.gov.uk/ukpga/1989/5/contents) 2 §:n 2 momentin mukaan taas ”Pääjohtaja vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, – a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi ja että se paljastaa tietoja vain siltä osin kuin se on tarpeen kyseistä tarkoitusta varten tai vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi tai rikosasian käsittelyä varten; ja b) että palvelu ei ryhdy mihinkään toimiin minkään poliittisen puolueen etujen edistämiseksi; ja c) että kansallisen rikosviraston johtajan kanssa on sovittu järjestelyistä, joilla tämän lain 1 §:n 4 momentin nojalla suoritettavia palvelun toimia koordinoidaan poliisin, kansallisen rikosviraston ja muiden lainvalvontavirastojen toimien kanssa”.

209

(210)  Tiedustelupalvelujen valtuuksia koskevista suojatoimista ja rajoituksista säädetään myös vuonna 2016 tutkintavaltuuksista annetussa laissa, joka yhdessä tutkintavaltuuksia koskevien asetusten (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000) kanssa muodostaa oikeusperustan tällaisten valtuuksien käytölle. Näillä valtuuksilla ei kuitenkaan ole merkitystä ”tietojen edelleen jakamisen” yhteydessä, koska ne koskevat tiedustelupalvelujen suorittamaa henkilötietojen suoraa keruuta. Tutkintavaltuuksia koskevan lain nojalla tiedustelupalveluille myönnettyjen valtuuksien arvioinnista ks. Yhdistyneen kuningaskunnan tarjoaman henkilötietojen suojan riittävyydestä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaisesti annettu komission täytäntöönpanopäätös C(2021) 4800.

210

(211)  Vuoden 2018 tietosuojalain 86 §:n 6 momentin mukaan käsittelyn kohtuullisuuden ja läpinäkyvyyden määrittämiseksi on tarkasteltava menetelmää, jonka avulla tiedot on saatu. Sen mukaan kohtuullisuutta ja läpinäkyvyyttä koskevat vaatimukset täyttyvät, jos tiedot saadaan henkilöltä, jolla on laillinen valtuutus tai velvollisuus toimittaa ne.

211

(212)  Vuoden 2018 tietosuojalain 87 §:n nojalla käsittelyn tarkoituksen on oltava tietty, nimenomainen ja laillinen. Tietoja ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. Lain 87 §:n 3 momentin nojalla henkilötietojen myöhempi käsittely voidaan sallia vain, jos rekisterinpitäjällä on lakisääteinen valtuutus käsitellä tietoja kyseistä tarkoitusta varten ja jos käsittely on välttämätöntä ja oikeasuhteista tähän muuhun tarkoitukseen nähden. Käsittelyn olisi katsottava olevan sääntöjen mukaista, jos se tehdään yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ja siihen sovelletaan asianmukaisia suojatoimia (vuoden 2018 tietosuojalain 87 §:n 4 momentti).

212

(213)  Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja (vuoden 2018 tietosuojalain 88 §).

213

(214)  Henkilötietojen on oltava täsmällisiä ja ajantasaisia (vuoden 2018 tietosuojalain 89 §).

214

(215)  Henkilötietoja ei saa säilyttää pidempään kuin on tarpeen (vuoden 2018 tietosuojalain 90 §).

215

(216)  Kuudennen tietosuojaperiaatteen mukaan henkilötietoja on käsiteltävä ottaen huomioon henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet. Näitä riskejä ovat esimerkiksi vahingossa tapahtuva tai lainvastainen pääsy henkilötietoihin tai niiden tuhoaminen, häviäminen, käyttäminen, muuttaminen tai luovuttaminen (vuoden 2018 tietosuojalain 91 §). Lain 107 §:ssä myös edellytetään, että 1) jokaisen rekisterinpitäjän on toteutettava henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet, ja 2) jos kyseessä on automaattinen käsittely, jokaisen rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskinarviointiin perustuvia ehkäiseviä tai lieventäviä toimenpiteitä.

216

(217)  Vuoden 2018 tietosuojalain liite 10 ja 86 §:n 2 momentin b kohta.

217

(218)  Vuoden 2018 tietosuojalain 4 osan 3 luku ja erityisesti oikeus tutustua tietoihin ja oikaista tai poistaa ne, oikeus vastustaa tietojen käsittelyä ja oikeus olla joutumatta automaattisen päätöksenteon kohteeksi, oikeus puuttua automatisoituun päätöksentekoon ja saada tieto päätöksenteosta. Rekisterinpitäjän on myös annettava rekisteröidylle tietoa hänen henkilötietojensa käsittelystä.

218

(219)  Vuoden 2018 tietosuojalain 103 §.

219

(220)  Vuoden 2018 tietosuojalain 109 §. Henkilötietojen siirrot kansainvälisille järjestöille tai Yhdistyneen kuningaskunnan ulkopuolisille maille ovat mahdollisia, jos siirto on välttämätön ja oikeasuhteinen toimenpide ja se toteutetaan rekisterinpitäjän lakisääteisiä tehtäviä varten tai muita sellaisia tarkoituksia varten, joista säädetään vuoden 1989 turvallisuuspalvelulain (Security Service Act 1989) ja vuoden 1994 tiedustelupalvelulain (Intelligence Services Act 1994) asiaa koskevissa säännöksissä.

220

(221)  Ks. asia Baker v. Secretary of State for the Home Department [2001] UKIT NSA2 (’Baker v. Secretary of State’).

221

(222)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security Data Protection and Investigatory Powers Framework, s. 15–16, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf Ks. myös Baker v. Secretary of State (ks. edellä alaviite 220), jossa tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen ja vahvisti kansallista turvallisuutta koskevan poikkeuksen soveltamisen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.

222

(223)  Ks. tietosuojavaltuutetun ja Yhdistyneen kuningaskunnan tiedusteluyhteisön (UK Intelligence Community, UKIC) välinen yhteisymmärryspöytäkirja, jonka mukaan ”sen jälkeen kun tietosuojavaltuutettu on saanut rekisteröidyn tekemän valituksen, hän haluaa varmistua siitä, että asia on käsitelty oikein, ja tarvittaessa siitä, että mahdollista poikkeusta on sovellettu asianmukaisella tavalla” (tietosuojavaltuutetun toimiston ja Yhdistyneen kuningaskunnan tiedusteluyhteisön yhteisymmärryspöytäkirja, kohta 16; saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf).

223

(224)  Vuoden 2018 tietosuojalaissa on kumottu mahdollisuus myöntää tällainen todistus vuoden 1998 tietosuojalain 28 §:n 2 momentin nojalla. Edelleen on kuitenkin mahdollista antaa ”vanhoja todistuksia” vuoden 1998 lain nojalla (ks. vuoden 2018 tietosuojalain liitteessä 20 olevan 5 osan 17 kohta). Tämä mahdollisuus vaikuttaa kuitenkin hyvin harvinaiselta ja sitä voidaan soveltaa vain rajoitetuissa tapauksissa, jos rekisteröity riitauttaa kansalliseen turvallisuuteen perustuvan poikkeuksen käytön tilanteessa, jossa viranomainen on suorittanut käsittelytoimia vuoden 1998 lain nojalla. Huomattakoon, että tällaisissa tapauksissa sovelletaan vuoden 1998 tietosuojalain 28 §:ää kokonaisuudessaan, eli rekisteröidyllä on mahdollisuus riitauttaa todistus. Tällä hetkellä ei ole yhtään vuoden 1998 tietosuojalain nojalla annettua kansallista turvallisuutta koskevaa todistusta.

224

(225)  United Kingdom Government Guidance on National Security Certificates under the Data Protection Act 2018, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf

225

(226)  Vuoden 2018 tietosuojalain 130 §:n mukaan tietosuojavaltuutettu voi päättää olla julkaisematta todistuksen tekstiä tai sen osaa, jos julkaiseminen olisi kansalliseen turvallisuuteen liittyvän tai yleisen edun vastaista tai jos se voisi vaarantaa kenen tahansa henkilön turvallisuuden. Tällaisissa tapauksissa tietosuojavaltuutettu julkaisee kuitenkin tiedon siitä, että todistus on myönnetty.

226

(227)  United Kingdom Government Guidance on National Security Certificates, kohta 15, ks. alaviite 225.

227

(228)  United Kingdom Government Guidance on National Security Certificates, kohta 5, ks. alaviite 225.

228

(229)  Vuoden 2018 tietosuojalain 102 §:n mukaan rekisterinpitäjän on pystyttävä osoittamaan, että se on noudattanut vuoden 2018 tietosuojalakia. Tämä merkitsee sitä, että tiedustelupalvelun olisi osoitettava tietosuojavaltuutetulle, että se on poikkeukseen vedotessaan ottanut huomioon tapaukseen liittyvät erityisolosuhteet. Tietosuojavaltuutettu myös julkaisee tiedot kansallista turvallisuutta koskevista todistuksista seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/

229

(230)  Upper Tribunal -tuomioistuimella on toimivalta käsitellä alempien hallintotuomioistuinten päätöksiä koskevat muutoksenhaut, ja sillä on erityinen toimivalta käsitellä tiettyjen hallintoelinten päätöksiä koskevat suorat muutoksenhaut.

230

(231)  Vuoden 2018 tietosuojalain 111 §:n 3 momentti.

231

(232)  Vuoden 2018 tietosuojalain 111 §:n 5 momentti.

232

(233)  Asiassa Baker v. Secretary of State (ks. alaviite 221) antamassaan tuomiossa Information Tribunal -tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.

233

(234)  United Kingdom Government Guidance on National Security Certificates, kohta 25, ks. alaviite 225.

234

(235)  Tämä kattaa seuraavat: i) 4 osan tietosuojaperiaatteet, lukuun ottamatta ensimmäisen periaatteen yhteydessä mainittua käsittelyn lainmukaisuutta koskevaa vaatimusta ja sitä, että käsittelyn on täytettävä jokin liitteissä 9 ja 10 säädetyistä ehdoista; ii) rekisteröityjen oikeudet; ja iii) velvollisuudet, jotka koskevat tietoturvaloukkauksista ilmoittamista tietosuojavaltuutetulle.

235

(236)  Tietosuojan riittävyyttä koskevien perustelujen (UK Explanatory Framework) mukaan luokitusperusteisia poikkeuksia ovat: i) kruunun kunnianosoitusten ja kunniamerkkien myöntämistä koskevat tiedot; ii) asianajosalaisuus; iii) työsuhteeseen tai koulutukseen liittyvät luottamukselliset tiedot; ja iv) koepaperit ja arvosanat. Vahinkoperusteiset poikkeukset koskevat seuraavia seikkoja: i) rikosten ennalta estäminen tai paljastaminen; rikoksentekijöiden kiinniotto ja syytteeseenpano; ii) parlamentaarinen koskemattomuus; iii) oikeudenkäyntimenettelyt; iv) kruunun asevoimien taistelukyky; v) Yhdistyneen kuningaskunnan taloudellinen hyvinvointi; vi) rekisteröidyn kanssa käydyt neuvottelut; vii) tieteellinen tai historiallinen tutkimus tai tilastolliset tarkoitukset; viii) yleisen edun mukainen arkistointi. UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, sivu 13, ks. alaviite 222.

236

(237)  Vuoden 2018 tietosuojalain 116 §.

237

(238)  Vuoden 2018 tietosuojalain 149 §:n 2 momentin ja 155 §:n, joita olisi tarkasteltava yhdessä, mukaan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet vuoden 2018 tietosuojalain 4 osan 2 luvun säännöksiä (käsittelyperiaatteet), vuoden 2018 tietosuojalain 4 osan säännöstä, jolla rekisteröidylle annetaan oikeuksia, vuoden 2018 tietosuojalain 108 §:n mukaista velvoitetta ilmoittaa henkilötietojen tietoturvaloukkauksesta tietosuojavaltuutetulle ja vuoden 2018 tietosuojalain 109 §:ssä vahvistettuja periaatteita, jotka koskevat henkilötietojen siirtoa kolmansiin maihin, ihmisoikeussopimuksen ulkopuolisiin maihin ja kansainvälisille järjestöille. (Ks. lisätietoja täytäntöönpano- ja seuraamusmääräyksistä johdanto-osan 102–103 kappale).

238

(239)  Vuoden 2018 tietosuojalain 147 §:n 6 momentin mukaan tietosuojavaltuutettu ei voi antaa arviointimääräystä vuoden 2000 tiedonvapauslain 23 §:n 3 momentissa tarkoitetulle elimelle. Näihin kuuluvat turvallisuuspalvelu (MI5), salainen tiedustelupalvelu (MI6) ja tiedustelupalvelu.

239

(240)  Säännökset, joihin voidaan soveltaa poikkeusta, ovat seuraavat: 108 § (henkilötietojen tietoturvaloukkauksesta ilmoittaminen tietosuojavaltuutetulle), 119 § (kansainvälisten velvoitteiden mukainen tarkastus); 142–154 § ja liite 15 (tietosuojavaltuutetun määräykset sekä pääsy- ja tarkastusvaltuudet); ja 170–173 § (henkilötietoihin liittyvät rikokset). Lisäksi liitteessä 13 (tietosuojavaltuutetun muut yleiset tehtävät) olevan 1 kohdan a ja g alakohta ja 2 kohta, kun kyse on tiedustelupalvelujen suorittamasta käsittelystä.

240

(241)  Ks. esim. asia Baker v. Secretary of State for the Home Department (ks. alaviite 221).

241

(242)  Tietosuojavaltuutetun ja Yhdistyneen kuningaskunnan tiedusteluyhteisön välinen yhteisymmärryspöytäkirja, ks. alaviite 231.

242

(243)  Seitsemässä näistä tapauksista tietosuojavaltuutettu neuvoi valittajaa viemään asian rekisterinpitäjän käsiteltäväksi (näin toimitaan silloin kun valitus olisi alun perin pitänyt tehdä ensin rekisterinpitäjälle eikä tietosuojavaltuutetulle), yhdessä tapauksessa tietosuojavaltuutettu antoi rekisterinpitäjälle yleisiä neuvoja (näin tehdään silloin kun rekisterinpitäjän toiminta ei vaikuta rikkoneen lainsäädäntöä, mutta käytäntöjä muuttamalla olisi voitu välttää asian vieminen tietosuojavaltuutetun käsiteltäväksi), ja muissa 13 tapauksessa tietosuojavaltuutetun toimet eivät olleet tarpeen (näin on silloin kun valituksen aihe kuuluu vuoden 2018 tietosuojalain soveltamisalaan, koska se liittyy henkilötietojen käsittelyyn, mutta annettujen tietojen perusteella ei vaikuta siltä, että rekisterinpitäjä olisi rikkonut lainsäädäntöä).

243

(244)  Yhdistyneen kuningaskunnan viranomaisten selvityksen mukaan lailla laajennettiin valiokunnan toimeksiantoa niin, että se kattaa koko tiedusteluyhteisön valvonnan myös kolmen tiedusteluviraston ulkopuolella ja mahdollistaa virastojen operatiivisen toiminnan takautuvan valvonnan silloin kun asialla on huomattava kansallinen merkitys.

244

(245)  Vuoden 2013 oikeus- ja turvallisuuslain 1 §. Ministerit eivät voi olla valiokunnan jäseniä. Valiokunnan jäsenyys jatkuu jäsenen nimittämisen jälkeen kyseisen parlamentin toimikauden päättymiseen asti. Valiokunnan jäsen voidaan erottaa hänet nimittäneen parlamentin päätöslauselmalla, tai jos hän lakkaa olemasta parlamentin jäsen tai jos hänestä tulee ministeri. Jäsen voi myös erota tehtävästään.

245

(246)  Valiokunnan kertomukset ja lausunnot ovat saatavilla verkossa seuraavassa osoitteessa: http://isc.independent.gov.uk/committee-reports. Valiokunta antoi vuonna 2015 yksityisyydensuojaa ja turvallisuutta koskevaa lainsäädäntöä käsittelevän kertomuksen ”Privacy and Security: A modern and transparent legal framework” (ks: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20150312_ISC_P%2BS%2BRpt%28web%29.pdf). Kertomuksessa se tarkasteli tiedustelupalvelujen käyttämiä valvontatekniikoita koskevaa lainsäädäntöä ja antoi joukon suosituksia, jotka harkinnan jälkeen sisällytettiin tutkintavaltuuksia koskevaan lakiesitykseen, joka sittemmin vahvistettiin vuonna 2016 tutkintavaltuuksista annetuksi laiksi. Hallituksen vastaus yksityisyydensuojaa ja turvallisuutta koskevaan kertomukseen on saatavilla seuraavassa osoitteessa: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf

246

(247)  Vuoden 2013 oikeus- ja turvallisuuslain 2 §.

247

(248)  Memorandum of Understanding between the Prime minister and the ISC, saatavilla seuraavassa osoitteessa: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf

248

(249)  Memorandum of Understanding between the Prime minister and the ISC, 14 kohta, ks. alaviite 248.

249

(250)  Secretary of State voi veto-oikeudellaan kieltää tietojen luovuttamisen vain kahdella perusteella: tiedot ovat arkaluontoisia, eikä niitä pitäisi luovuttaa valiokunnalle kansallisen turvallisuuden vuoksi; tai tiedot ovat luonteeltaan sellaisia, että jos Secretary of Statea vaadittaisiin esittämään ne jossakin alahuoneen erityisvaliokunnassa, hän ei katsoisi sitä asianmukaiseksi (myös muista kuin kansalliseen turvallisuuteen liittyvistä syistä) (ks. vuoden 2013 oikeus- ja turvallisuuslain liitteessä 1 oleva 4 kohdan 2 alakohta).

250

(251)  UK Explanatory Framework – H jakso: National Security, s. 43.

251

(252)  Vuoden 2018 tietosuojalain 94 §:n 11 momentti.

252

(253)  Vuoden 2018 tietosuojalain 99 §:n 4 momentti.

253

(254)  Vuoden 2018 tietosuojalain 169 §:ssä säädetään, että ”henkilö, joka kärsii vahinkoa jonkin tietosuojalainsäädännössä vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen”.

254

(255)  Vuoden 2018 tietosuojalain 169 §:n 5 momentti.

255

(256)  Ks. vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 2 momentin b kohta.

256

(257)  Asetuksen liitteen 3 nojalla tuomioistuimen jäsenillä on oltava tietty oikeusalan kokemus, ja heidät voidaan nimittää tehtäväänsä uudelleen.

257

(258)  
  ”Esityksen” (Address) käsitteestä ks. alaviite 183.

258

(259)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen liitteessä 3 olevan 1 kohdan 5 alakohta.

259

(260)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 4 momentti.

260

(261)  Tämä viittaa olosuhteisiin, joissa viranomaisten toiminta perustuu toimivaltaan (esim. viestintätietojen hankintaa koskevaan määräykseen tai lupaan), tai siihen, että kyseisissä olosuhteissa (toimivallasta riippumatta) toiminnan toteuttaminen ei olisi ollut asianmukaista ilman kyseistä toimivaltaa, tai ainakaan ilman että olisi perusteellisesti harkittu, pitäisikö tällaista toimivaltaa hakea. Kun toiminta on toteutettu oikeusvaltuutetun valtuutuksella, sen katsotaan tapahtuneen olosuhteissa, jotka on mahdollista kiistää (vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 7ZA momentti). Sen sijaan muut toimet, jotka on toteutettu lainkäyttötehtävää hoitavan henkilön luvalla, katsotaan toteutetun olosuhteissa, joita ei voida kiistää (vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 7 ja 8 momentti).

261

(262)  Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan se, että valituksen tekemisen kynnys on matala, johtaa siihen, että tuomioistuin katsoo tutkintansa perusteella varsin usein, että valittaja ei itse asiassa ollut milloinkaan viranomaisten tutkinnan kohteena. Investigatory Powers Tribunal -tuomioistuimen tuoreimman tilastoraportin mukaan tuomioistuimelle vuonna 2016 tehdystä 209 valituksesta 52 prosenttia katsottiin aiheettomiksi tai haitantekotarkoituksessa tehdyiksi ja 25 prosenttia päätettiin ratkaisemattomana (”no determination”). Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa joko sitä, että valittajan suhteen ei käytetty peitetoimintaa tai sitä koskevia valtuuksia tai että tällaisia tekniikoita käytettiin, mutta tuomioistuin katsoi toiminnan olleen lainmukaista. Lisäksi 11 prosenttia tapauksista jäi tuomioistuimen toimivallan ulkopuolelle tai ne peruttiin tai niitä ei voitu ottaa tutkittavaksi, 5 prosenttia katsottiin vanhentuneiksi ja 7 prosenttia ratkaistiin valittajan eduksi. Statistical Report of the Investigatory Powers Tribunal 2016, saatavilla seuraavassa osoitteessa: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf

262

(263)  Ks. asia Human Rights Watch v. Secretary of State [2016] UKIPTrib15_165-CH. Kyseisessä asiassa Investigatory Powers Tribunal katsoi Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön viitaten, että sellaisen väitteen todenperäisyyttä, jonka mukaan henkilö uskoo, että jokin tiedustelupalveluista on suorittanut tai että sen puolesta on suoritettu jotakin sellaista vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 5 momentin soveltamisalaan kuuluvaa toimintaa, jonka vuoksi kyseinen henkilö voi väittää joutuneensa pelkästä salaisten toimenpiteiden tai salaiset toimenpiteet mahdollistavan lainsäädännön olemassaolosta johtuvan oikeudenloukkauksen uhriksi, voidaan arvioida asianmukaisesti vain jos kyseinen henkilö kykenee osoittamaan, että hänellä on henkilökohtaisen tilanteensa vuoksi voinut olla riski joutua tällaisten toimenpiteiden kohteeksi (ks. Human Rights Watch v. Secretary of State, 41 kohta).

263

(264)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 3 momentti.

264

(265)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 2 momentti.

265

(266)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 4 momentti.

266

(267)  Tähän voi sisältyä määräys, joka koskee minkä tahansa viranomaisen hallussa olevien ja ketä tahansa henkilöä koskevien tietojen tuhoamista.

267

(268)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), 170 kohta.

268

(269)  Vuoden 1998 ihmisoikeuslain 8 §:n 1 momentti.

269

(270)  Tuomio asiassa Schrems, 65 kohta.

270

(271)  Lausunto 15/2021 Euroopan komission ehdotuksesta direktiivin (EU) 2016/680 mukaiseksi täytäntöönpanopäätökseksi Yhdistyneen kuningaskunnan henkilötietojen suojan riittävyydestä, saatavilla seuraavassa osoitteessa: https://edpb.europa.eu/our-work-tools/our-documents/opinion-led/opinion-152021-regarding-european-commission-draft_en

271

(272)  Neuvoston täytäntöönpanopäätös (EU) 2020/1745, annettu 18 päivänä marraskuuta 2020, tietosuojaa koskevien Schengenin säännöstön määräysten voimaansaattamisesta ja tiettyjen Schengenin säännöstön määräysten väliaikaisesta voimaansaattamisesta Irlannissa (EUVL L 393, 23.11.2020, s. 3).

272

(273)  
  EYVL L 176, 10.7.1999, s. 36.

273

(274)  
  EUVL L 53, 27.2.2008, s. 52.

274

(275)  
  EUVL L 160, 18.6.2011, s. 21.

275

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/108 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/108

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1774,

annettu 5 päivänä lokakuuta 2021,

Unkarille annettavasta luvasta ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 26 artiklan 1 kohdan a alakohdasta sekä 168 ja 168 a artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/1493 muuttamisesta

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Unkarille annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/1493 (2) lupa soveltaa 31 päivään joulukuuta 2021 asti erityistoimenpidettä, jolla yhtäältä rajoitettiin direktiivin 2006/112/EY 168 ja 168 a artiklasta poiketen 50 prosenttiin oikeus vähentää arvonlisävero (alv) sellaisiin henkilöautoihin liittyvistä menoista, jotka eivät ole kokonaan yrityskäytössä, toisaalta kyseinen erityistoimenpide tarkoittaa sitä, että verovelvollisen yrityksen liikeomaisuuteen kuuluvan henkilöauton käyttöä ei rinnasteta vastikkeellisiin palveluiden suorituksiin, jos kyseiseen autoon sovelletaan kyseisen täytäntöönpanopäätöksen 1 artiklan mukaista rajoitusta kyseisen direktiivin 26 artiklan 1 kohdan a alakohdasta poiketen, jäljempänä ’erityistoimenpide’. |
| --- | --- |

(1)

Unkarille annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/1493 (2) lupa soveltaa 31 päivään joulukuuta 2021 asti erityistoimenpidettä, jolla yhtäältä rajoitettiin direktiivin 2006/112/EY 168 ja 168 a artiklasta poiketen 50 prosenttiin oikeus vähentää arvonlisävero (alv) sellaisiin henkilöautoihin liittyvistä menoista, jotka eivät ole kokonaan yrityskäytössä, toisaalta kyseinen erityistoimenpide tarkoittaa sitä, että verovelvollisen yrityksen liikeomaisuuteen kuuluvan henkilöauton käyttöä ei rinnasteta vastikkeellisiin palveluiden suorituksiin, jos kyseiseen autoon sovelletaan kyseisen täytäntöönpanopäätöksen 1 artiklan mukaista rajoitusta kyseisen direktiivin 26 artiklan 1 kohdan a alakohdasta poiketen, jäljempänä ’erityistoimenpide’.

| (2) | Unkari pyysi 25 päivänä helmikuuta 2021 komissiossa saapuneeksi kirjatulla kirjeellä lupaa erityistoimenpiteen soveltamisen jatkamiseen, jäljempänä ’jatkamispyyntö’. |
| --- | --- |

(2)

Unkari pyysi 25 päivänä helmikuuta 2021 komissiossa saapuneeksi kirjatulla kirjeellä lupaa erityistoimenpiteen soveltamisen jatkamiseen, jäljempänä ’jatkamispyyntö’.

| (3) | Komissio antoi direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti jatkamispyynnön tiedoksi muille jäsenvaltioille 7 päivänä huhtikuuta 2021 päivätyillä kirjeillä. Komissio ilmoitti Unkarille 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki jatkamispyynnön arviointia varten tarvittavat tiedot. |
| --- | --- |

(3)

Komissio antoi direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti jatkamispyynnön tiedoksi muille jäsenvaltioille 7 päivänä huhtikuuta 2021 päivätyillä kirjeillä. Komissio ilmoitti Unkarille 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki jatkamispyynnön arviointia varten tarvittavat tiedot.

| (4) | Täytäntöönpanopäätöksen (EU) 2018/1493 5 artiklan mukaisesti Unkari toimitti komissiolle jatkamispyynnön yhteydessä kertomuksen, johon sisältyi alv-vähennyksen prosenttimäärän uudelleenarvioinnin. Unkari vahvistaa jatkamispyynnössä, että 50 prosentin rajoitus on nykyisin saatavilla olevien tietojen eli verotarkastuksista saatujen kokemusten ja henkilöautojen yksityiskäyttöä koskevien tilastotietojen perusteella edelleen perusteltu ja yhä asianmukainen. Lisäksi arvonlisäveron kantamista yksinkertaistaessa erityistoimenpide on vähentänyt tehokkaasti yritysten ja veroviranomaisten hallinnollisia rasitteita. Samalla se ehkäisee veropetoksia, jotka perustuvat virheelliseen kirjanpitoon. Unkarille olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista. |
| --- | --- |

(4)

Täytäntöönpanopäätöksen (EU) 2018/1493 5 artiklan mukaisesti Unkari toimitti komissiolle jatkamispyynnön yhteydessä kertomuksen, johon sisältyi alv-vähennyksen prosenttimäärän uudelleenarvioinnin. Unkari vahvistaa jatkamispyynnössä, että 50 prosentin rajoitus on nykyisin saatavilla olevien tietojen eli verotarkastuksista saatujen kokemusten ja henkilöautojen yksityiskäyttöä koskevien tilastotietojen perusteella edelleen perusteltu ja yhä asianmukainen. Lisäksi arvonlisäveron kantamista yksinkertaistaessa erityistoimenpide on vähentänyt tehokkaasti yritysten ja veroviranomaisten hallinnollisia rasitteita. Samalla se ehkäisee veropetoksia, jotka perustuvat virheelliseen kirjanpitoon. Unkarille olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista.

| (5) | Erityistoimenpiteen voimassaolon jatkamista olisi rajoitettava ajallisesti, jotta sen tehokkuutta ja asianmukaista prosenttimäärää voidaan arvioida. Unkarille olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 asti. |
| --- | --- |

(5)

Erityistoimenpiteen voimassaolon jatkamista olisi rajoitettava ajallisesti, jotta sen tehokkuutta ja asianmukaista prosenttimäärää voidaan arvioida. Unkarille olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 asti.

| (6) | Jos Unkari pitää tarpeellisena jatkaa luvan voimassaoloa vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 voimassaolon jatkamista koskevan pyynnön ohella kertomus, johon sisältyy uudelleenarviointi sovellettavasta prosenttimääräisestä rajoituksesta. |
| --- | --- |

(6)

Jos Unkari pitää tarpeellisena jatkaa luvan voimassaoloa vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 voimassaolon jatkamista koskevan pyynnön ohella kertomus, johon sisältyy uudelleenarviointi sovellettavasta prosenttimääräisestä rajoituksesta.

| (7) | Erityistoimenpiteellä on vain vähäinen vaikutus lopullisessa kulutusvaiheessa kannettavien verotulojen kokonaismäärään, eikä se vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin. |
| --- | --- |

(7)

Erityistoimenpiteellä on vain vähäinen vaikutus lopullisessa kulutusvaiheessa kannettavien verotulojen kokonaismäärään, eikä se vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin.

| (8) | Täytäntöönpanopäätös (EU) 2018/1493 olisi sen vuoksi muutettava vastaavasti, |
| --- | --- |

(8)

Täytäntöönpanopäätös (EU) 2018/1493 olisi sen vuoksi muutettava vastaavasti,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Korvataan täytäntöönpanopäätöksen (EU) 2018/1493 5 artikla seuraavasti:

”5 artikla

Tätä päätöstä sovelletaan 1 päivästä tammikuuta 2019, ja sen voimassaolo päättyy 31 päivänä joulukuuta 2024.

Tässä päätöksessä annetun luvan voimassaolon jatkamista koskeva pyyntö on toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024, ja siihen on liitettävä kertomus, joka sisältää uudelleenarvioinnin 1 artiklassa säädetystä prosenttiosuudesta.”

2 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

3 artikla

Tämä päätös on osoitettu Unkarille.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Neuvoston täytäntöönpanopäätös (EU) 2018/1493, annettu 2 päivänä lokakuuta 2018, Unkarille annettavasta luvasta ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 26 artiklan 1 kohdan a alakohdasta sekä 168 ja 168 a artiklasta poikkeava erityistoimenpide (EUVL L 252, 8.10.2018, s. 44).

2

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/110 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/110

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1775,

annettu 5 päivänä lokakuuta 2021,

luvan antamisesta Unkarille ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeava erityistoimenpide annetun täytäntöönpanopäätöksen (EU) 2018/789 muuttamisesta

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Direktiivin 2006/112/EY 193 artiklassa säädetään, että verovelvollinen, joka suorittaa verollisen tavaroiden luovutuksen tai verollisen palvelun, on pääsääntöisesti velvollinen maksamaan arvonlisäveron veroviranomaisille. |
| --- | --- |

(1)

Direktiivin 2006/112/EY 193 artiklassa säädetään, että verovelvollinen, joka suorittaa verollisen tavaroiden luovutuksen tai verollisen palvelun, on pääsääntöisesti velvollinen maksamaan arvonlisäveron veroviranomaisille.

| (2) | Unkarille annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/789 (2) lupa ottaa käyttöön direktiivin 2006/112/EY 193 artiklasta poikkeava toimenpide, joka koskee henkilöä, joka on arvonlisäverovelvollinen tiettyjen luovutusten tai suoritusten yhteydessä, joissa luovuttajat tai suorittajat ovat likvidaatiossa tai muussa menettelyssä, jossa niiden maksukyvyttömyys vahvistetaan oikeudellisesti, jäljempänä ’erityistoimenpide’. |
| --- | --- |

(2)

Unkarille annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/789 (2) lupa ottaa käyttöön direktiivin 2006/112/EY 193 artiklasta poikkeava toimenpide, joka koskee henkilöä, joka on arvonlisäverovelvollinen tiettyjen luovutusten tai suoritusten yhteydessä, joissa luovuttajat tai suorittajat ovat likvidaatiossa tai muussa menettelyssä, jossa niiden maksukyvyttömyys vahvistetaan oikeudellisesti, jäljempänä ’erityistoimenpide’.

| (3) | Unkari toimitti 18 päivänä helmikuuta 2021 komissioon saapuneeksi kirjatulla kirjeellä komissiolle pyynnön erityistoimenpiteen soveltamista koskevan luvan jatkamisesta 31 päivään joulukuuta 2026 saakka, jäljempänä ’pyyntö’. Unkari toimitti pyynnön ohella kertomuksen, johon sisältyi erityistoimenpiteen tarkastelu. |
| --- | --- |

(3)

Unkari toimitti 18 päivänä helmikuuta 2021 komissioon saapuneeksi kirjatulla kirjeellä komissiolle pyynnön erityistoimenpiteen soveltamista koskevan luvan jatkamisesta 31 päivään joulukuuta 2026 saakka, jäljempänä ’pyyntö’. Unkari toimitti pyynnön ohella kertomuksen, johon sisältyi erityistoimenpiteen tarkastelu.

| (4) | Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille 7 päivänä huhtikuuta 2021 päivätyllä kirjeellä. Komissio ilmoitti Unkarille 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointia varten tarpeelliset tiedot. |
| --- | --- |

(4)

Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille 7 päivänä huhtikuuta 2021 päivätyllä kirjeellä. Komissio ilmoitti Unkarille 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointia varten tarpeelliset tiedot.

| (5) | Unkarin mukaan likvidaatioissa tai maksukyvyttömyysmenettelyssä olevat verovelvolliset eivät useinkaan maksa kannettavaa arvonlisäveroa veroviranomaisille. Samalla ostaja voi verovelvollisena, jolla on vähennysoikeus, silti vähentää aiheutuneen arvonlisäveron, mikä vaikuttaa negatiivisesti talousarvioon ja millä rahoitetaan likvidaatiota. Lisäksi Unkari on kirjannut petostapauksia, joissa likvidaatiossa olleet yritykset ovat laatineet tekaistuja laskuja toimiville yrityksille ja vähentäneet merkittävästi veroa, joka niiden on maksettava, ilman takeita siitä, että laskun laatija maksaisi kannettavan arvonlisäveron. |
| --- | --- |

(5)

Unkarin mukaan likvidaatioissa tai maksukyvyttömyysmenettelyssä olevat verovelvolliset eivät useinkaan maksa kannettavaa arvonlisäveroa veroviranomaisille. Samalla ostaja voi verovelvollisena, jolla on vähennysoikeus, silti vähentää aiheutuneen arvonlisäveron, mikä vaikuttaa negatiivisesti talousarvioon ja millä rahoitetaan likvidaatiota. Lisäksi Unkari on kirjannut petostapauksia, joissa likvidaatiossa olleet yritykset ovat laatineet tekaistuja laskuja toimiville yrityksille ja vähentäneet merkittävästi veroa, joka niiden on maksettava, ilman takeita siitä, että laskun laatija maksaisi kannettavan arvonlisäveron.

| (6) | Jäsenvaltiot voivat direktiivin 2006/112/EY 199 artiklan 1 kohdan g alakohdan mukaan säätää, että veronmaksuvelvollinen on verovelvollinen, joka vastaanottaa velallisen kiinteän omaisuuden luovutuksen maksuvelvollisuuden määräävän päätöksen perusteella pakkomyyntimenettelyssä, jäljempänä ’käännetyn verovelvollisuuden mekanismi’. Erityistoimenpiteen ansiosta Unkari voi laajentaa käännetyn verovelvollisuuden mekanismin soveltamisen muihin maksukyvyttömyysmenettelyssä olevien verovelvollisten suorittamiin luovutuksiin tai suorituksiin eli tuotantotavaroiden luovutuksiin ja muiden sellaisten tavaroiden luovutuksiin ja palvelujen suorituksiin, joiden käypä markkina-arvo on yli 100 000 Unkarin forinttia. |
| --- | --- |

(6)

Jäsenvaltiot voivat direktiivin 2006/112/EY 199 artiklan 1 kohdan g alakohdan mukaan säätää, että veronmaksuvelvollinen on verovelvollinen, joka vastaanottaa velallisen kiinteän omaisuuden luovutuksen maksuvelvollisuuden määräävän päätöksen perusteella pakkomyyntimenettelyssä, jäljempänä ’käännetyn verovelvollisuuden mekanismi’. Erityistoimenpiteen ansiosta Unkari voi laajentaa käännetyn verovelvollisuuden mekanismin soveltamisen muihin maksukyvyttömyysmenettelyssä olevien verovelvollisten suorittamiin luovutuksiin tai suorituksiin eli tuotantotavaroiden luovutuksiin ja muiden sellaisten tavaroiden luovutuksiin ja palvelujen suorituksiin, joiden käypä markkina-arvo on yli 100 000 Unkarin forinttia.

| (7) | Unkarin toimittamien tietojen perusteella käännetyn verovelvollisuuden mekanismin soveltaminen tämäntyyppisiin liiketoimiin on tehokkaasti yksinkertaistanut veronkantoa ja estänyt verovilppiä. Erityistoimenpiteen täytäntöönpano on rajoittanut julkisten tulojen menetyksiä ja tuonut talousarvioon lisätuloja. Lisäksi covid-19-pandemian taloudelliset vaikutukset saattavat johtaa likvidaatioiden määrän jyrkkään kasvuun lähitulevaisuudessa, mikä korostaa tarvetta jatkaa erityistoimenpidettä. |
| --- | --- |

(7)

Unkarin toimittamien tietojen perusteella käännetyn verovelvollisuuden mekanismin soveltaminen tämäntyyppisiin liiketoimiin on tehokkaasti yksinkertaistanut veronkantoa ja estänyt verovilppiä. Erityistoimenpiteen täytäntöönpano on rajoittanut julkisten tulojen menetyksiä ja tuonut talousarvioon lisätuloja. Lisäksi covid-19-pandemian taloudelliset vaikutukset saattavat johtaa likvidaatioiden määrän jyrkkään kasvuun lähitulevaisuudessa, mikä korostaa tarvetta jatkaa erityistoimenpidettä.

| (8) | Pyydetyn poikkeuksen olisi oltava ajallisesti rajoitettu, mutta silti annettava verohallinnolle aikaa ottaa käyttöön muita tavanomaisia toimenpiteitä ongelman ratkaisemiseksi ja julkiseen talouteen kohdistuvien tappioiden vähentämiseksi, erityisesti petoksiin liittyvien tappioiden osalta, ennen erityistoimenpiteen voimassaolon päättymistä, jolloin erityistoimenpiteen uudelleen jatkaminen olisi näin tarpeetonta. Poikkeus, jolla mahdollistetaan käännetyn verovelvollisuuden järjestelmän käyttö, myönnetään poikkeuksellisesti vain tietyille petosaloille ja viimeisenä keinona. Sen vuoksi luvan voimassaoloa olisi jatkettava ainoastaan 31 päivään joulukuuta 2024 saakka. |
| --- | --- |

(8)

Pyydetyn poikkeuksen olisi oltava ajallisesti rajoitettu, mutta silti annettava verohallinnolle aikaa ottaa käyttöön muita tavanomaisia toimenpiteitä ongelman ratkaisemiseksi ja julkiseen talouteen kohdistuvien tappioiden vähentämiseksi, erityisesti petoksiin liittyvien tappioiden osalta, ennen erityistoimenpiteen voimassaolon päättymistä, jolloin erityistoimenpiteen uudelleen jatkaminen olisi näin tarpeetonta. Poikkeus, jolla mahdollistetaan käännetyn verovelvollisuuden järjestelmän käyttö, myönnetään poikkeuksellisesti vain tietyille petosaloille ja viimeisenä keinona. Sen vuoksi luvan voimassaoloa olisi jatkettava ainoastaan 31 päivään joulukuuta 2024 saakka.

| (9) | Erityistoimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin. |
| --- | --- |

(9)

Erityistoimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin.

| (10) | Täytäntöönpanopäätös (EU) 2018/789 olisi sen vuoksi muutettava vastaavasti, |
| --- | --- |

(10)

Täytäntöönpanopäätös (EU) 2018/789 olisi sen vuoksi muutettava vastaavasti,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Korvataan täytäntöönpanopäätöksen (EU) 2018/789 2 artiklan toinen kohta seuraavasti:

”Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.”

2 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

3 artikla

Tämä päätös on osoitettu Unkarille.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Neuvoston täytäntöönpanopäätös (EU) 2018/789, annettu 25 päivänä toukokuuta 2018, luvan antamisesta Unkarille ottaa käyttöön yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeava erityistoimenpide (EUVL L 134, 31.5.2018, s. 10).

2

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/112 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/112

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1776,

annettu 5 päivänä lokakuuta 2021,

päätöksen 2009/791/EY muuttamisesta luvan antamiseksi Saksan liittotasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Direktiivin 2006/112/EY 168 ja 168 a artiklassa käsitellään verovelvollisen oikeutta vähentää arvonlisävero, jota sovelletaan verovelvollisen verollisia liiketoimiaan varten vastaanottamien tavaroiden luovutuksiin ja palvelujen suorituksiin. Saksan liittotasavallalle, jäljempänä ’Saksa’ on annettu lupa ottaa käyttöön poikkeava toimenpide, jonka tarkoituksena on sulkea arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettava arvonlisävero, jos niistä yli 90 prosenttia käytetään verovelvollisen tai tämän työntekijöiden yksityisiin tarpeisiin tai yleisemmin muuhun kuin yrityskäyttöön tai muuhun kuin liiketoimintaan. |
| --- | --- |

(1)

Direktiivin 2006/112/EY 168 ja 168 a artiklassa käsitellään verovelvollisen oikeutta vähentää arvonlisävero, jota sovelletaan verovelvollisen verollisia liiketoimiaan varten vastaanottamien tavaroiden luovutuksiin ja palvelujen suorituksiin. Saksan liittotasavallalle, jäljempänä ’Saksa’ on annettu lupa ottaa käyttöön poikkeava toimenpide, jonka tarkoituksena on sulkea arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettava arvonlisävero, jos niistä yli 90 prosenttia käytetään verovelvollisen tai tämän työntekijöiden yksityisiin tarpeisiin tai yleisemmin muuhun kuin yrityskäyttöön tai muuhun kuin liiketoimintaan.

| (2) | Alun perin neuvoston päätöksellä 2000/186/EY (2) annettiin Saksalle lupa ottaa käyttöön ja soveltaa neuvoston direktiivin 77/388/ETY (3) 6 ja 17 artiklasta poikkeavia toimenpiteitä 31 päivään joulukuuta 2002 saakka. Neuvoston päätöksellä 2003/354/EY (4) annettiin Saksalle lupa soveltaa direktiivin 77/388/ETY 17 artiklasta poikkeavaa toimenpidettä 30 päivään kesäkuuta 2004 saakka. Neuvoston päätöksellä 2004/817/EY (5) jatkettiin kyseisen luvan voimassaoloa 31 päivään joulukuuta 2009 saakka. |
| --- | --- |

(2)

Alun perin neuvoston päätöksellä 2000/186/EY (2) annettiin Saksalle lupa ottaa käyttöön ja soveltaa neuvoston direktiivin 77/388/ETY (3) 6 ja 17 artiklasta poikkeavia toimenpiteitä 31 päivään joulukuuta 2002 saakka. Neuvoston päätöksellä 2003/354/EY (4) annettiin Saksalle lupa soveltaa direktiivin 77/388/ETY 17 artiklasta poikkeavaa toimenpidettä 30 päivään kesäkuuta 2004 saakka. Neuvoston päätöksellä 2004/817/EY (5) jatkettiin kyseisen luvan voimassaoloa 31 päivään joulukuuta 2009 saakka.

| (3) | Neuvoston päätös 2009/791/EY (6) antoi Saksalle luvan jatkaa direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista. Peräkkäisten pidennysten jälkeen kyseisen luvan voimassaolon on määrä päättyä 31 päivänä joulukuuta 2021. |
| --- | --- |

(3)

Neuvoston päätös 2009/791/EY (6) antoi Saksalle luvan jatkaa direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista. Peräkkäisten pidennysten jälkeen kyseisen luvan voimassaolon on määrä päättyä 31 päivänä joulukuuta 2021.

| (4) | Direktiiviin 2006/112/EY lisättiin 168 a artikla neuvoston direktiivillä 2009/162/EU (7), jotta vähennys voitaisiin rajoittaa tosiasiallisen yrityskäytön osuuteen ja siten soveltaa tehokkaammin periaatetta, jonka mukaan vähennys syntyy vain siltä osin kuin kyseessä olevat tavarat ja palvelut käytetään verovelvollisen liiketoimintaan. Päätöksen 2009/791/EY 1 artiklaa on muutettu siten, että se sisältää viittauksen direktiivin 2006/112/EY 168 a artiklaan. Päätöksen 2009/791/EY otsikossa on sen vuoksi viitattava myös direktiivin 2006/112/EY 168 a artiklaan. |
| --- | --- |

(4)

Direktiiviin 2006/112/EY lisättiin 168 a artikla neuvoston direktiivillä 2009/162/EU (7), jotta vähennys voitaisiin rajoittaa tosiasiallisen yrityskäytön osuuteen ja siten soveltaa tehokkaammin periaatetta, jonka mukaan vähennys syntyy vain siltä osin kuin kyseessä olevat tavarat ja palvelut käytetään verovelvollisen liiketoimintaan. Päätöksen 2009/791/EY 1 artiklaa on muutettu siten, että se sisältää viittauksen direktiivin 2006/112/EY 168 a artiklaan. Päätöksen 2009/791/EY otsikossa on sen vuoksi viitattava myös direktiivin 2006/112/EY 168 a artiklaan.

| (5) | Saksa esitti 19 päivänä helmikuuta 2021 komissiossa saapuneeksi rekisteröidyllä kirjeellä komissiolle pyynnön luvasta jatkaa sellaisen erityistoimenpiteen, jäljempänä ’erityistoimenpide’, soveltamista, joka poikkeaa direktiivin 2006/112/EY 168 ja 168 a artiklasta, voidakseen sulkea kokonaan arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettavan arvonlisäveron, jos niistä yli 90 prosenttia käytetään verovelvollisen yksityisiin tarpeisiin tai muuhun kuin yrityskäyttöön, mukaan luettuna muu kuin liiketoimintakäyttö, jäljempänä ’pyyntö’. Pyynnön mukana toimitettiin erityistoimenpiteen soveltamista koskeva kertomus, jossa tarkastellaan uudelleen prosenttiosuutta, jota päätöksen 2009/791/EY 2 artiklan nojalla sovelletaan arvonlisäveron vähennysoikeuteen. |
| --- | --- |

(5)

Saksa esitti 19 päivänä helmikuuta 2021 komissiossa saapuneeksi rekisteröidyllä kirjeellä komissiolle pyynnön luvasta jatkaa sellaisen erityistoimenpiteen, jäljempänä ’erityistoimenpide’, soveltamista, joka poikkeaa direktiivin 2006/112/EY 168 ja 168 a artiklasta, voidakseen sulkea kokonaan arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettavan arvonlisäveron, jos niistä yli 90 prosenttia käytetään verovelvollisen yksityisiin tarpeisiin tai muuhun kuin yrityskäyttöön, mukaan luettuna muu kuin liiketoimintakäyttö, jäljempänä ’pyyntö’. Pyynnön mukana toimitettiin erityistoimenpiteen soveltamista koskeva kertomus, jossa tarkastellaan uudelleen prosenttiosuutta, jota päätöksen 2009/791/EY 2 artiklan nojalla sovelletaan arvonlisäveron vähennysoikeuteen.

| (6) | Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille 17 päivänä maaliskuuta 2021 päivätyillä kirjeillä. Komissio ilmoitti Saksalle 18 päivänä maaliskuuta 2021 päivätyllä kirjeellä saaneensa kaikki pyynnön arviointia varten tarpeellisina pitämänsä tiedot. |
| --- | --- |

(6)

Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille 17 päivänä maaliskuuta 2021 päivätyillä kirjeillä. Komissio ilmoitti Saksalle 18 päivänä maaliskuuta 2021 päivätyllä kirjeellä saaneensa kaikki pyynnön arviointia varten tarpeellisina pitämänsä tiedot.

| (7) | Saksan mukaan erityistoimenpide on osoittautunut erittäin tehokkaaksi arvonlisäveron kantamisen yksinkertaistamisessa ja veropetosten ja veronkierron estämisessä. Erityistoimenpiteellä vähennetään yritysten ja verohallinnon hallinnollista rasitusta, sillä niiden tavaroiden ja palvelujen, jotka voitiin sulkea vähennysoikeuden ulkopuolelle niiden hankkimisen aikaan, myöhempää käyttöä ei ole tarpeen seurata. Saksalle olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 saakka. |
| --- | --- |

(7)

Saksan mukaan erityistoimenpide on osoittautunut erittäin tehokkaaksi arvonlisäveron kantamisen yksinkertaistamisessa ja veropetosten ja veronkierron estämisessä. Erityistoimenpiteellä vähennetään yritysten ja verohallinnon hallinnollista rasitusta, sillä niiden tavaroiden ja palvelujen, jotka voitiin sulkea vähennysoikeuden ulkopuolelle niiden hankkimisen aikaan, myöhempää käyttöä ei ole tarpeen seurata. Saksalle olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 saakka.

| (8) | Jos Saksa katsoo, että poikkeavaa toimenpidettä on tarpeen jatkaa vielä vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 asiaa koskeva pyyntö sekä erityistoimenpiteen soveltamista koskeva kertomus, johon olisi sisällyttävä sovelletun prosenttiosuuden uudelleentarkastelu. |
| --- | --- |

(8)

Jos Saksa katsoo, että poikkeavaa toimenpidettä on tarpeen jatkaa vielä vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 asiaa koskeva pyyntö sekä erityistoimenpiteen soveltamista koskeva kertomus, johon olisi sisällyttävä sovelletun prosenttiosuuden uudelleentarkastelu.

| (9) | Erityistoimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin. |
| --- | --- |

(9)

Erityistoimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin.

| (10) | Päätös 2009/791/EY olisi sen vuoksi muutettava vastaavasti, |
| --- | --- |

(10)

Päätös 2009/791/EY olisi sen vuoksi muutettava vastaavasti,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Muutetaan päätös 2009/791/EY seuraavasti:

| 1) | Korvataan otsikko seuraavasti:

  ”Neuvoston päätös 2009/791/EY, tehty 20 päivänä lokakuuta 2009, luvan antamisesta Saksan liittotasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 ja 168 a artiklasta poikkeavaa toimenpidettä”. |
| --- | --- |

1)

Korvataan otsikko seuraavasti:

”Neuvoston päätös 2009/791/EY, tehty 20 päivänä lokakuuta 2009, luvan antamisesta Saksan liittotasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 ja 168 a artiklasta poikkeavaa toimenpidettä”.

| 2) | Korvataan 2 artikla seuraavasti:

  ”2 artikla
  Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.
  Mahdollinen pyyntö tässä päätöksessä tarkoitetun poikkeavan toimenpiteen voimassaolon jatkamiseksi on jätettävä komissiolle viimeistään 31 päivänä maaliskuuta 2024.
  Tällaiseen pyyntöön on liitettävä tämän toimenpiteen soveltamista koskeva kertomus, johon sisältyy tämän päätöksen perusteella arvonlisäveron vähennysoikeuteen sovellettavan prosenttiosuuden uudelleentarkastelu.” |
| --- | --- |

2)

Korvataan 2 artikla seuraavasti:

”2 artikla

Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.

Mahdollinen pyyntö tässä päätöksessä tarkoitetun poikkeavan toimenpiteen voimassaolon jatkamiseksi on jätettävä komissiolle viimeistään 31 päivänä maaliskuuta 2024.

Tällaiseen pyyntöön on liitettävä tämän toimenpiteen soveltamista koskeva kertomus, johon sisältyy tämän päätöksen perusteella arvonlisäveron vähennysoikeuteen sovellettavan prosenttiosuuden uudelleentarkastelu.”

2 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

3 artikla

Tämä päätös on osoitettu Saksan liittotasavallalle.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Neuvoston päätös 2000/186/EY, tehty 28 päivänä helmikuuta 2000, luvan antamisesta Saksan liittotasavallalle soveltaa jäsenvaltioiden liikevaihtoverolainsäädännön yhdenmukaistamisesta – yhteinen arvonlisäverojärjestelmä: yhdenmukainen määräytymisperuste annetun kuudennen direktiivin 77/388/ETY 6 ja 17 artiklasta poikkeavia toimenpiteitä (EYVL L 59, 4.3.2000, s. 12).

2

(3)  Kuudes neuvoston direktiivi 77/388/ETY, annettu 17 päivänä toukokuuta 1977, jäsenvaltioiden liikevaihtoverolainsäädännön yhdenmukaistamisesta – yhteinen arvonlisäverojärjestelmä: yhdenmukainen määräytymisperuste (EYVL L 145, 13.6.1977, s. 1).

3

(4)  Neuvoston päätös 2003/354/EY, tehty 13 päivänä toukokuuta 2003, luvan antamisesta Saksalle soveltaa jäsenvaltioiden liikevaihtoverolainsäädännön yhdenmukaistamisesta annetun kuudennen neuvoston direktiivin 77/388/ETY 17 artiklasta poikkeavaa toimenpidettä (EUVL L 123, 17.5.2003, s. 47).

4

(5)  Neuvoston päätös 2004/817/EY, tehty 19 päivänä marraskuuta 2004, luvan antamisesta Saksalle soveltaa jäsenvaltioiden liikevaihtoverolainsäädännön yhdenmukaistamisesta annetun kuudennen neuvoston direktiivin 77/388/ETY 17 artiklasta poikkeavaa toimenpidettä (EUVL L 357, 2.12.2004, s. 33).

5

(6)  Neuvoston päätös 2009/791/EY, tehty 20 päivänä lokakuuta 2009, luvan antamisesta Saksan liittotasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavaa toimenpidettä (EUVL L 283, 30.10.2009, s. 55).

6

(7)  Neuvoston direktiivi 2009/162/EU, annettu 22 päivänä joulukuuta 2009, yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY eräiden säännösten muuttamisesta (EUVL L 10, 15.1.2010, s. 14).

7

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/115 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/115

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1777,

annettu 5 päivänä lokakuuta 2021,

luvan antamisesta Italialle soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon energiatuotteiden ja sähkön verotusta koskevan yhteisön kehyksen uudistamisesta 27 päivänä lokakuuta 2003 annetun neuvoston direktiivin 2003/96/EY (1) ja erityisesti sen 19 artiklan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Italia pyysi 7 päivänä elokuuta 2020 päivätyllä kirjeellä direktiivin 2003/96/EY 19 artiklan mukaista lupaa soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön 1 päivän tammikuuta 2021 ja 31 päivän joulukuuta 2026 väliselle ajalle. Italian viranomaiset toimittivat pyynnön tueksi lisätietoja ja selvennyksiä 19 päivänä tammikuuta 2021. |
| --- | --- |

(1)

Italia pyysi 7 päivänä elokuuta 2020 päivätyllä kirjeellä direktiivin 2003/96/EY 19 artiklan mukaista lupaa soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön 1 päivän tammikuuta 2021 ja 31 päivän joulukuuta 2026 väliselle ajalle. Italian viranomaiset toimittivat pyynnön tueksi lisätietoja ja selvennyksiä 19 päivänä tammikuuta 2021.

| (2) | Campione d’Italian kunta on Sveitsissä sijaitseva Italian erillisalue, jonka pinta-ala ja asukasluku ovat hyvin pieniä. Alue on vuoristoinen, mikä rajoittaa kaupunkikehitystä, teollista toimintaa ja alueen yleistä saavutettavuutta. Kun otetaan huomioon Campione d’Italian maantieteellinen sijainti, maakaasuverkon puuttuminen ja ankarat ilmasto-olosuhteet, energiatuotteiden toimittamisesta Campione d’Italiaan aiheutuvat kustannukset ovat korkeat riippumatta siitä, toimitetaanko ne Sveitsistä vai Italiasta. Lisäksi Campione d’Italian liittäminen unionin tullialueeseen 1 päivänä tammikuuta 2020 lisäsi kotitalouksien ja yritysten energiakustannuksia. Lisäksi Campione d’Italia kärsii vakavasta talouskriisistä, jota covid-19-pandemia on pahentanut. |
| --- | --- |

(2)

Campione d’Italian kunta on Sveitsissä sijaitseva Italian erillisalue, jonka pinta-ala ja asukasluku ovat hyvin pieniä. Alue on vuoristoinen, mikä rajoittaa kaupunkikehitystä, teollista toimintaa ja alueen yleistä saavutettavuutta. Kun otetaan huomioon Campione d’Italian maantieteellinen sijainti, maakaasuverkon puuttuminen ja ankarat ilmasto-olosuhteet, energiatuotteiden toimittamisesta Campione d’Italiaan aiheutuvat kustannukset ovat korkeat riippumatta siitä, toimitetaanko ne Sveitsistä vai Italiasta. Lisäksi Campione d’Italian liittäminen unionin tullialueeseen 1 päivänä tammikuuta 2020 lisäsi kotitalouksien ja yritysten energiakustannuksia. Lisäksi Campione d’Italia kärsii vakavasta talouskriisistä, jota covid-19-pandemia on pahentanut.

| (3) | Campione d’Italian korkeiden energiakustannusten vähentämiseksi tiettyjen energiatuotteiden verotusta olisi alennettava. |
| --- | --- |

(3)

Campione d’Italian korkeiden energiakustannusten vähentämiseksi tiettyjen energiatuotteiden verotusta olisi alennettava.

| (4) | Komissio on tarkastellut pyydettyä toimenpidettä ja todennut, että se ei vääristä kilpailua eikä estä sisämarkkinoiden moitteetonta toimintaa eikä sitä voida pitää unionin ympäristö-, energia- eikä liikennepolitiikan vastaisena. Sekä kaasuöljyn että sähkön alennetut verokannat olisivat edelleen yhtä suuret tai korkeammat kuin direktiivissä 2003/96/EY säädetyt verotuksen vähimmäistasot ja kompensoisivat osittain Campione d’Italian kunnassa kohonneita energiakustannuksia. Veronalennusta ei voi yhdistää muunlaisiin veronalennuksiin. |
| --- | --- |

(4)

Komissio on tarkastellut pyydettyä toimenpidettä ja todennut, että se ei vääristä kilpailua eikä estä sisämarkkinoiden moitteetonta toimintaa eikä sitä voida pitää unionin ympäristö-, energia- eikä liikennepolitiikan vastaisena. Sekä kaasuöljyn että sähkön alennetut verokannat olisivat edelleen yhtä suuret tai korkeammat kuin direktiivissä 2003/96/EY säädetyt verotuksen vähimmäistasot ja kompensoisivat osittain Campione d’Italian kunnassa kohonneita energiakustannuksia. Veronalennusta ei voi yhdistää muunlaisiin veronalennuksiin.

| (5) | Italialle olisi sen vuoksi annettava lupa soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön. |
| --- | --- |

(5)

Italialle olisi sen vuoksi annettava lupa soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön.

| (6) | Sen varmistamiseksi, että poikkeustoimenpiteen tavoitteet saavutetaan, erityisesti Campione d’Italian nykyisistä taloudellisista, sosiaalisista ja maantieteellisistä olosuhteista aiheutuvien haittavaikutusten välttäminen ja tasapuolisten toimintaedellytysten varmistaminen alentamalla korkeita energiakustannuksia, on asianmukaista, että tätä päätöstä sovelletaan 1 päivästä tammikuuta 2021. Markkinatoimijoiden ja yksityishenkilöiden luottamuksensuojaa kunnioitetaan säätämällä, että poikkeustoimenpidettä sovelletaan päivästä, joka edeltää sen voimaantuloa, koska poikkeustoimenpide ei loukkaa heidän oikeuksiaan ja velvollisuuksiaan. |
| --- | --- |

(6)

Sen varmistamiseksi, että poikkeustoimenpiteen tavoitteet saavutetaan, erityisesti Campione d’Italian nykyisistä taloudellisista, sosiaalisista ja maantieteellisistä olosuhteista aiheutuvien haittavaikutusten välttäminen ja tasapuolisten toimintaedellytysten varmistaminen alentamalla korkeita energiakustannuksia, on asianmukaista, että tätä päätöstä sovelletaan 1 päivästä tammikuuta 2021. Markkinatoimijoiden ja yksityishenkilöiden luottamuksensuojaa kunnioitetaan säätämällä, että poikkeustoimenpidettä sovelletaan päivästä, joka edeltää sen voimaantuloa, koska poikkeustoimenpide ei loukkaa heidän oikeuksiaan ja velvollisuuksiaan.

| (7) | Kunkin direktiivin 2003/96/EY 19 artiklan 2 kohdan nojalla myönnettävän luvan voimassaoloajan olisi oltava tiukasti rajattu. Jotta Campione d’Italian kunta saisi riittävän varmuuden, lupa olisi myönnettävä kuudeksi vuodeksi. Jotta ei kuitenkaan estettäisi voimassa olevan säädöskehyksen yleistä kehitystä, on aiheellista säätää, että jos neuvosto ottaa Euroopan unionin toiminnasta tehdyn sopimuksen 113 artiklan nojalla käyttöön muutetun energiatuotteita koskevan yleisen verojärjestelmän, johon tämä lupa ei soveltuisi, tämän luvan voimassaolon olisi päätyttävä sinä päivänä, jona kyseisten yleisten sääntöjen soveltaminen alkaa. |
| --- | --- |

(7)

Kunkin direktiivin 2003/96/EY 19 artiklan 2 kohdan nojalla myönnettävän luvan voimassaoloajan olisi oltava tiukasti rajattu. Jotta Campione d’Italian kunta saisi riittävän varmuuden, lupa olisi myönnettävä kuudeksi vuodeksi. Jotta ei kuitenkaan estettäisi voimassa olevan säädöskehyksen yleistä kehitystä, on aiheellista säätää, että jos neuvosto ottaa Euroopan unionin toiminnasta tehdyn sopimuksen 113 artiklan nojalla käyttöön muutetun energiatuotteita koskevan yleisen verojärjestelmän, johon tämä lupa ei soveltuisi, tämän luvan voimassaolon olisi päätyttävä sinä päivänä, jona kyseisten yleisten sääntöjen soveltaminen alkaa.

| (8) | Tämä päätös ei vaikuta valtiontukea koskevien unionin sääntöjen soveltamiseen, |
| --- | --- |

(8)

Tämä päätös ei vaikuta valtiontukea koskevien unionin sääntöjen soveltamiseen,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Annetaan Italialle lupa soveltaa alennettuja verokantoja Campione d’Italian kuntaan toimitettavaan lämmityksessä käytettävään kaasuöljyyn ja kyseiseen kuntaan toimitettavaan sähköön sillä edellytyksellä, että direktiivin 2003/96/EY 9 ja 10 artiklassa tarkoitettuja verotuksen vähimmäistasoja noudatetaan.

2 artikla

Tätä päätöstä sovelletaan 1 päivästä tammikuuta 202131 päivään joulukuuta 2026.

Jos neuvosto kuitenkin Euroopan unionin toiminnasta tehdyn sopimuksen 113 artiklan tai sen jonkin muun asiaa koskevan määräyksen nojalla ottaa käyttöön muutetun energiatuotteita koskevan yleisen verojärjestelmän, johon tämän päätöksen 1 artiklassa annettu lupa ei soveltuisi, tämän päätöksen soveltaminen päättyy päivänä, jona kyseisten yleisten sääntöjen soveltaminen alkaa.

3 artikla

Tämä päätös on osoitettu Italian tasavallalle.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 283, 31.10.2003, s. 51.

1

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/117 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/117

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1778,

annettu 5 päivänä lokakuuta 2021,

luvan antamisesta Saksan liittotasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 193 artiklasta poikkeavaa erityistoimenpidettä

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Direktiivin 2006/112/EY 193 artiklassa säädetään, että tavaroita luovuttava tai palveluja suorittava verovelvollinen on pääsääntöisesti velvollinen maksamaan arvonlisäveron veroviranomaisille. |
| --- | --- |

(1)

Direktiivin 2006/112/EY 193 artiklassa säädetään, että tavaroita luovuttava tai palveluja suorittava verovelvollinen on pääsääntöisesti velvollinen maksamaan arvonlisäveron veroviranomaisille.

| (2) | Saksan liittotasavalta, jäljempänä ’Saksa’, toimitti 15 päivänä maaliskuuta 2021 komissioon saapuneeksi rekisteröidyllä kirjeellä komissiolle pyynnön saada soveltaa direktiivin 2006/112/EY 193 artiklasta poikkeavaa erityistoimenpidettä, joka koskee arvonlisäveronmaksuvelvollisia tilanteessa, jossa siirretään polttoaineiden päästöoikeuksien kaupasta 12 päivänä joulukuuta 2019 annetun lain (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) mukaisessa kansallisessa päästökauppajärjestelmässä kaupankäynnin kohteena olevia päästöoikeuksia, jäljempänä ’pyyntö’. |
| --- | --- |

(2)

Saksan liittotasavalta, jäljempänä ’Saksa’, toimitti 15 päivänä maaliskuuta 2021 komissioon saapuneeksi rekisteröidyllä kirjeellä komissiolle pyynnön saada soveltaa direktiivin 2006/112/EY 193 artiklasta poikkeavaa erityistoimenpidettä, joka koskee arvonlisäveronmaksuvelvollisia tilanteessa, jossa siirretään polttoaineiden päästöoikeuksien kaupasta 12 päivänä joulukuuta 2019 annetun lain (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen – BEHG) mukaisessa kansallisessa päästökauppajärjestelmässä kaupankäynnin kohteena olevia päästöoikeuksia, jäljempänä ’pyyntö’.

| (3) | Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti 7 päivänä huhtiuuta 2021 päivätyillä kirjeillä pyynnön muille jäsenvaltioille ja ilmoitti 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä Saksalle saaneensa kaikki pyynnön arviointiin tarvittavat tiedot. |
| --- | --- |

(3)

Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti 7 päivänä huhtiuuta 2021 päivätyillä kirjeillä pyynnön muille jäsenvaltioille ja ilmoitti 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä Saksalle saaneensa kaikki pyynnön arviointiin tarvittavat tiedot.

| (4) | Direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohdan mukaan jäsenvaltiot voivat nimetä veronmaksuvelvollisiksi verovelvolliset, joille siirretään Euroopan parlamentin ja neuvoston direktiivin 2003/87/EY (2) 3 artiklassa määriteltyjä kasvihuonekaasujen päästöjä koskevia päästöoikeuksia ja muita yksiköitä, joita toiminnanharjoittajat voivat käyttää mainitun direktiivin noudattamiseksi, jäljempänä ’käänteinen verovelvollisuus’. Kyseiset säännökset on sisällytetty direktiiviin 2006/112/EY neuvoston direktiivillä 2010/23/EU (3) alv-petosten torjunnan edistämiseksi. Direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohdan nojalla käännetyn verovelvollisuuden soveltaminen kasvihuonekaasujen päästökauppaan rajoittuu päästöoikeuksiin, joilla käydään kauppaa EU:n päästökauppajärjestelmässä. |
| --- | --- |

(4)

Direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohdan mukaan jäsenvaltiot voivat nimetä veronmaksuvelvollisiksi verovelvolliset, joille siirretään Euroopan parlamentin ja neuvoston direktiivin 2003/87/EY (2) 3 artiklassa määriteltyjä kasvihuonekaasujen päästöjä koskevia päästöoikeuksia ja muita yksiköitä, joita toiminnanharjoittajat voivat käyttää mainitun direktiivin noudattamiseksi, jäljempänä ’käänteinen verovelvollisuus’. Kyseiset säännökset on sisällytetty direktiiviin 2006/112/EY neuvoston direktiivillä 2010/23/EU (3) alv-petosten torjunnan edistämiseksi. Direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohdan nojalla käännetyn verovelvollisuuden soveltaminen kasvihuonekaasujen päästökauppaan rajoittuu päästöoikeuksiin, joilla käydään kauppaa EU:n päästökauppajärjestelmässä.

| (5) | Saksa on BEHG:n puitteissa luonut oikeudellisen kehyksen kansalliselle päästökauppajärjestelmälle, joka kattaa päästöt, jotka eivät kuulu EU:n päästökauppajärjestelmään. Näin ollen direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohta eivät muodosta oikeusperustaa käännetyn verovelvollisuuden soveltamiselle BEHG:n puitteissa käytävässä kaupassa. |
| --- | --- |

(5)

Saksa on BEHG:n puitteissa luonut oikeudellisen kehyksen kansalliselle päästökauppajärjestelmälle, joka kattaa päästöt, jotka eivät kuulu EU:n päästökauppajärjestelmään. Näin ollen direktiivin 2006/112/EY 199 a artiklan 1 kohdan a ja b alakohta eivät muodosta oikeusperustaa käännetyn verovelvollisuuden soveltamiselle BEHG:n puitteissa käytävässä kaupassa.

| (6) | Saksan mukaan päästöoikeuksien kauppa on erittäin altis alv-petoksille. BEHG:n mukaista polttoainepäästöjen päästöoikeuksien kauppaa saatetaan hyödyntää petostarkoituksiin samalla tavoin kuin EU:n päästökauppajärjestelmässä. Päästöoikeuksia voidaan myydä nopeasti, toistuvasti ja helposti. Näin ollen viranomaisten on hyvin vaikea havaita tällaisia omistuksen muutoksia ja varmistaa, että vero kannetaan oikeansuuruisesti. Päästöoikeuksien ostaja, joka on verovelvollinen, jolla on vähennysoikeus, saattaisi vähentää arvonlisäveron ilman, että luovuttaja tai suorittaja on maksanut laskutettua liikevaihtoveroa veroviranomaisille. Erityisesti, jos toimitusketjussa on ”katoavia kauppiaita”, jotka katoavat nopeasti tai ovat varattomia, viranomaiset eivät voi kantaa kierrettyä veroa, mikä vaikuttaa kielteisesti talousarvioon. Korvatakseen menetettyjä verotuloja Saksa on hakenut lupaa poiketa direktiivin 2006/112/EY 193 artiklasta, jotta päästöoikeuksien siirtojen yhteydessä voidaan ottaa käyttöön käännetty verovelvollisuus. |
| --- | --- |

(6)

Saksan mukaan päästöoikeuksien kauppa on erittäin altis alv-petoksille. BEHG:n mukaista polttoainepäästöjen päästöoikeuksien kauppaa saatetaan hyödyntää petostarkoituksiin samalla tavoin kuin EU:n päästökauppajärjestelmässä. Päästöoikeuksia voidaan myydä nopeasti, toistuvasti ja helposti. Näin ollen viranomaisten on hyvin vaikea havaita tällaisia omistuksen muutoksia ja varmistaa, että vero kannetaan oikeansuuruisesti. Päästöoikeuksien ostaja, joka on verovelvollinen, jolla on vähennysoikeus, saattaisi vähentää arvonlisäveron ilman, että luovuttaja tai suorittaja on maksanut laskutettua liikevaihtoveroa veroviranomaisille. Erityisesti, jos toimitusketjussa on ”katoavia kauppiaita”, jotka katoavat nopeasti tai ovat varattomia, viranomaiset eivät voi kantaa kierrettyä veroa, mikä vaikuttaa kielteisesti talousarvioon. Korvatakseen menetettyjä verotuloja Saksa on hakenut lupaa poiketa direktiivin 2006/112/EY 193 artiklasta, jotta päästöoikeuksien siirtojen yhteydessä voidaan ottaa käyttöön käännetty verovelvollisuus.

| (7) | Verovelvollisen vastaanottajan määrääminen arvonlisäveronmaksuvelvolliseksi kyseisissä erityistapauksissa yksinkertaistaisi arvonlisäveron kantoa ja estäisi veropetoksia ja veron kiertämistä. Saksalle olisi sen vuoksi annettava lupa soveltaa käännettyä verovelvollisuutta sellaisten päästöoikeuksien siirtoon, joilla käydään BEHG:n mukaisesti kauppaa kansallisessa päästökauppajärjestelmässä, jäljempänä ’erityistoimenpide’. |
| --- | --- |

(7)

Verovelvollisen vastaanottajan määrääminen arvonlisäveronmaksuvelvolliseksi kyseisissä erityistapauksissa yksinkertaistaisi arvonlisäveron kantoa ja estäisi veropetoksia ja veron kiertämistä. Saksalle olisi sen vuoksi annettava lupa soveltaa käännettyä verovelvollisuutta sellaisten päästöoikeuksien siirtoon, joilla käydään BEHG:n mukaisesti kauppaa kansallisessa päästökauppajärjestelmässä, jäljempänä ’erityistoimenpide’.

| (8) | Erityistoimenpiteen kesto olisi rajattava ajallisesti. Saksalle olisi sen vuoksi annettava lupa soveltaa erityistoimenpidettä 31 päivään joulukuuta 2024 saakka. |
| --- | --- |

(8)

Erityistoimenpiteen kesto olisi rajattava ajallisesti. Saksalle olisi sen vuoksi annettava lupa soveltaa erityistoimenpidettä 31 päivään joulukuuta 2024 saakka.

| (9) | Erityistoimenpiteen soveltamisalan ja uutuuden vuoksi on tärkeää arvioida sen vaikutuksia. Näin ollen, jos Saksa haluaa jatkaa erityistoimenpiteen voimassaoloa vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 erityistoimenpiteen voimassaolon jatkamista koskevan pyynnön ohella kertomus, joka sisältää erityistoimenpiteen arvioinnin. Kyseiseen kertomukseen olisi sisällyttävä arvio erityistoimenpiteen vaikutuksesta alv-petosten torjuntaan sekä tieto niiden elinkeinonharjoittajien ja liiketoimien lukumäärästä, joihin erityistoimenpide vaikuttaa. |
| --- | --- |

(9)

Erityistoimenpiteen soveltamisalan ja uutuuden vuoksi on tärkeää arvioida sen vaikutuksia. Näin ollen, jos Saksa haluaa jatkaa erityistoimenpiteen voimassaoloa vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 erityistoimenpiteen voimassaolon jatkamista koskevan pyynnön ohella kertomus, joka sisältää erityistoimenpiteen arvioinnin. Kyseiseen kertomukseen olisi sisällyttävä arvio erityistoimenpiteen vaikutuksesta alv-petosten torjuntaan sekä tieto niiden elinkeinonharjoittajien ja liiketoimien lukumäärästä, joihin erityistoimenpide vaikuttaa.

| (10) | Erityistoimenpide ei vaikuta kielteisesti alv:stä saataviin unionin omiin varoihin, |
| --- | --- |

(10)

Erityistoimenpide ei vaikuta kielteisesti alv:stä saataviin unionin omiin varoihin,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Poiketen siitä, mitä direktiivin 2006/112/EY 193 artiklassa säädetään, Saksan liittotasavallalle annetaan lupa säätää, että arvonlisäveronmaksuvelvollinen on se verovelvollinen, jolle 12 päivänä joulukuuta 2019 annetun päästökauppalain (Gesetz über einen nationalen Zertifikatehandel für Brennstoffemissionen) nojalla kansallisessa päästökauppajärjestelmässä myydyt päästöoikeudet siirretään.

2 artikla

Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.

Tässä päätöksessä säädetyn erityistoimenpiteen voimassaolon jatkamista koskeva pyyntö on toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024, ja siihen on liitettävä tämän toimenpiteen soveltamista koskeva kertomus, joka sisältää arvion toimenpiteen vaikutuksesta alv-petosten torjuntaan sekä tiedon niiden elinkeinonharjoittajien ja liiketoimien lukumäärästä, joihin toimenpide vaikuttaa.

3 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

4 artikla

Tämä päätös on osoitettu Saksan liittotasavallalle.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Euroopan parlamentin ja neuvoston direktiivi 2003/87/EY, annettu 13 päivänä lokakuuta 2003, kasvihuonekaasujen päästöoikeuksien kaupan järjestelmän toteuttamisesta unionissa ja neuvoston direktiivin 96/61/EY muuttamisesta (EUVL L 275, 25.10.2003, s. 32).

2

(3)  Neuvoston direktiivi 2010/23/EU, annettu 16 päivänä maaliskuuta 2010, yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY muuttamisesta tiettyjen petosalttiiden palvelujen suorituksiin vapaaehtoisesti ja tilapäisesti sovellettavan käännetyn verovelvollisuuden osalta (EUVL L 72, 20.3.2010, s. 1).

3

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/120 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/120

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1779,

annettu 5 päivänä lokakuuta 2021,

täytäntöönpanopäätöksen 2009/1013/EU muuttamisesta luvan antamiseksi Itävallan tasavallalle jatkaa yhteisestä arvonlisäjärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Neuvoston täytäntöönpanopäätöksellä 2009/1013/EU (2) annettiin Itävallan tasavallalle, jäljempänä ’Itävalta’, lupa soveltaa direktiivistä 2006/112/EY poikkeavaa erityistoimenpidettä, jäljempänä ’erityistoimenpide’. Peräkkäisten pidennysten jälkeen kyseisen luvan voimassaolon on määrä päättyä 31 päivänä joulukuuta 2021. |
| --- | --- |

(1)

Neuvoston täytäntöönpanopäätöksellä 2009/1013/EU (2) annettiin Itävallan tasavallalle, jäljempänä ’Itävalta’, lupa soveltaa direktiivistä 2006/112/EY poikkeavaa erityistoimenpidettä, jäljempänä ’erityistoimenpide’. Peräkkäisten pidennysten jälkeen kyseisen luvan voimassaolon on määrä päättyä 31 päivänä joulukuuta 2021.

| (2) | Direktiiviin 2006/112/EY lisättiin 168 a artikla neuvoston direktiivillä 2009/162/EU (3), jotta vähennys voitaisiin rajoittaa tosiasiallisen yrityskäytön osuuteen ja siten soveltaa tehokkaammin periaatetta, jonka mukaan vähennys syntyy ainoastaan siltä osin kuin kyseessä olevia tavaroita ja palveluita käytetään verovelvollisen liiketoiminnassa. Täytäntöönpanopäätöksen 2009/1013/EU 1 artiklaa on muutettu siten, että se sisältää viittauksen direktiivin 2006/112/EY 168 a artiklaan. Täytäntöönpanopäätöksen 2009/1013/EU otsikossa on sen vuoksi viitattava myös direktiivin 2006/112/EY 168 a artiklaan. |
| --- | --- |

(2)

Direktiiviin 2006/112/EY lisättiin 168 a artikla neuvoston direktiivillä 2009/162/EU (3), jotta vähennys voitaisiin rajoittaa tosiasiallisen yrityskäytön osuuteen ja siten soveltaa tehokkaammin periaatetta, jonka mukaan vähennys syntyy ainoastaan siltä osin kuin kyseessä olevia tavaroita ja palveluita käytetään verovelvollisen liiketoiminnassa. Täytäntöönpanopäätöksen 2009/1013/EU 1 artiklaa on muutettu siten, että se sisältää viittauksen direktiivin 2006/112/EY 168 a artiklaan. Täytäntöönpanopäätöksen 2009/1013/EU otsikossa on sen vuoksi viitattava myös direktiivin 2006/112/EY 168 a artiklaan.

| (3) | Erityistoimenpide poikkeaa direktiivin 2006/112/EY 168 ja 168 a artiklasta, jotka koskevat verovelvollisten oikeutta vähentää arvonlisävero, joka on peritty verovelvollisille niiden verollisia liiketoimia varten luovutetuista tavaroista ja suoritetuista palveluista. Erityistoimenpiteen tarkoituksena on sulkea vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettu arvonlisävero, jos niiden käytöstä yli 90 prosenttia on verovelvollisen tai tämän työntekijöiden yksityistä käyttöä tai yleisesti muuta kuin yrityskäyttöä tai muuta kuin liiketoimintakäyttöä. |
| --- | --- |

(3)

Erityistoimenpide poikkeaa direktiivin 2006/112/EY 168 ja 168 a artiklasta, jotka koskevat verovelvollisten oikeutta vähentää arvonlisävero, joka on peritty verovelvollisille niiden verollisia liiketoimia varten luovutetuista tavaroista ja suoritetuista palveluista. Erityistoimenpiteen tarkoituksena on sulkea vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettu arvonlisävero, jos niiden käytöstä yli 90 prosenttia on verovelvollisen tai tämän työntekijöiden yksityistä käyttöä tai yleisesti muuta kuin yrityskäyttöä tai muuta kuin liiketoimintakäyttöä.

| (4) | Erityistoimenpiteellä pyritään yksinkertaistamaan arvonlisäverotusta ja arvonlisäveron kantamista. Toimenpide vaikuttaa ainoastaan vähäisessä määrin lopullisessa kulutusvaiheessa kannettavan veron määrään. |
| --- | --- |

(4)

Erityistoimenpiteellä pyritään yksinkertaistamaan arvonlisäverotusta ja arvonlisäveron kantamista. Toimenpide vaikuttaa ainoastaan vähäisessä määrin lopullisessa kulutusvaiheessa kannettavan veron määrään.

| (5) | Itävalta pyysi 19 päivänä maaliskuuta 2021 komissiossa saapuneeksi kirjatulla kirjeellä lupaa kyseisen erityistoimenpiteen soveltamisen jatkamiseen, jäljempänä ’pyyntö’. |
| --- | --- |

(5)

Itävalta pyysi 19 päivänä maaliskuuta 2021 komissiossa saapuneeksi kirjatulla kirjeellä lupaa kyseisen erityistoimenpiteen soveltamisen jatkamiseen, jäljempänä ’pyyntö’.

| (6) | Direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti komissio toimitti 7 päivänä huhtikuuta 2021 päivätyillä kirjeillä pyynnön tiedoksi muille jäsenvaltioille. Komissio ilmoitti Itävallalle 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointia varten tarpeelliset tiedot. |
| --- | --- |

(6)

Direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti komissio toimitti 7 päivänä huhtikuuta 2021 päivätyillä kirjeillä pyynnön tiedoksi muille jäsenvaltioille. Komissio ilmoitti Itävallalle 8 päivänä huhtikuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointia varten tarpeelliset tiedot.

| (7) | Itävallan mukaan erityistoimenpide on osoittautunut erittäin tehokkaaksi arvonlisäveron kantamisen yksinkertaistamisessa ja veropetosten ja veronkierron torjunnassa. Toimenpiteellä vähennetään yritysten ja verohallinnon hallinnollista rasitusta, sillä niiden tavaroiden ja palvelujen, jotka voitiin sulkea vähennysoikeuden ulkopuolelle niiden hankkimisen aikaan, myöhempää käyttöä ei ole tarpeen seurata. Itävallalle olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 saakka. |
| --- | --- |

(7)

Itävallan mukaan erityistoimenpide on osoittautunut erittäin tehokkaaksi arvonlisäveron kantamisen yksinkertaistamisessa ja veropetosten ja veronkierron torjunnassa. Toimenpiteellä vähennetään yritysten ja verohallinnon hallinnollista rasitusta, sillä niiden tavaroiden ja palvelujen, jotka voitiin sulkea vähennysoikeuden ulkopuolelle niiden hankkimisen aikaan, myöhempää käyttöä ei ole tarpeen seurata. Itävallalle olisi sen vuoksi annettava lupa jatkaa erityistoimenpiteen soveltamista rajoitetun ajan 31 päivään joulukuuta 2024 saakka.

| (8) | Jos Itävalta katsoo, että poikkeavaa toimenpidettä on tarpeen jatkaa vielä vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 asiaa koskeva pyyntö sekä erityistoimenpiteen soveltamista koskeva kertomus, johon olisi sisällytettävä sovelletun prosenttiosuuden uudelleentarkastelu. |
| --- | --- |

(8)

Jos Itävalta katsoo, että poikkeavaa toimenpidettä on tarpeen jatkaa vielä vuoden 2024 jälkeen, sen olisi toimitettava komissiolle viimeistään 31 päivänä maaliskuuta 2024 asiaa koskeva pyyntö sekä erityistoimenpiteen soveltamista koskeva kertomus, johon olisi sisällytettävä sovelletun prosenttiosuuden uudelleentarkastelu.

| (9) | Poikkeava toimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin. |
| --- | --- |

(9)

Poikkeava toimenpide ei vaikuta kielteisesti arvonlisäverosta kertyviin unionin omiin varoihin.

| (10) | Täytäntöönpanopäätös 2009/1013/EU olisi sen vuoksi muutettava vastaavasti, |
| --- | --- |

(10)

Täytäntöönpanopäätös 2009/1013/EU olisi sen vuoksi muutettava vastaavasti,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Muutetaan täytäntöönpanopäätös 2009/1013/EU seuraavasti:

| 1) | Korvataan otsikko seuraavasti:

  ”Neuvoston täytäntöönpanopäätös 2009/1013/EU, tehty 22 päivänä joulukuuta 2009, luvan antamisesta Itävallan tasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 ja 168 a artiklasta poikkeavan toimenpiteen soveltamista”. |
| --- | --- |

1)

Korvataan otsikko seuraavasti:

”Neuvoston täytäntöönpanopäätös 2009/1013/EU, tehty 22 päivänä joulukuuta 2009, luvan antamisesta Itävallan tasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 ja 168 a artiklasta poikkeavan toimenpiteen soveltamista”.

| 2) | Korvataan 1 ja 2 artikla seuraavasti:

  ”1 artikla
  Poiketen siitä, mitä direktiivin 2006/112/EY 168 ja 168 a artiklassa säädetään, Itävallan tasavallalle annetaan lupa sulkea kokonaan arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettu arvonlisävero, kun kyseessä olevien tavaroiden ja palvelujen käytöstä yli 90 prosenttia on verovelvollisen tai verovelvollisen työntekijöiden yksityistä käyttöä tai yleisemmin muuta kuin yrityskäyttöä tai muuta kuin liiketoimintakäyttöä.


  2 artikla
  Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.
  Mahdollinen hakemus tässä päätöksessä säädetyn poikkeavan toimenpiteen voimassaolon jatkamiseksi on jätettävä komissiolle viimeistään 31 päivänä maaliskuuta 2024.
  Tällaiseen hakemukseen on liitettävä tämän toimenpiteen soveltamista koskeva kertomus, johon sisältyy tämän päätöksen perusteella arvonlisäveron vähennysoikeuteen sovellettavan prosenttiosuuden uudelleentarkastelu.” |
| --- | --- |

2)

Korvataan 1 ja 2 artikla seuraavasti:

”1 artikla

Poiketen siitä, mitä direktiivin 2006/112/EY 168 ja 168 a artiklassa säädetään, Itävallan tasavallalle annetaan lupa sulkea kokonaan arvonlisäveron vähennysoikeuden ulkopuolelle tavaroista ja palveluista maksettu arvonlisävero, kun kyseessä olevien tavaroiden ja palvelujen käytöstä yli 90 prosenttia on verovelvollisen tai verovelvollisen työntekijöiden yksityistä käyttöä tai yleisemmin muuta kuin yrityskäyttöä tai muuta kuin liiketoimintakäyttöä.

2 artikla

Tämän päätöksen voimassaolo päättyy 31 päivänä joulukuuta 2024.

Mahdollinen hakemus tässä päätöksessä säädetyn poikkeavan toimenpiteen voimassaolon jatkamiseksi on jätettävä komissiolle viimeistään 31 päivänä maaliskuuta 2024.

Tällaiseen hakemukseen on liitettävä tämän toimenpiteen soveltamista koskeva kertomus, johon sisältyy tämän päätöksen perusteella arvonlisäveron vähennysoikeuteen sovellettavan prosenttiosuuden uudelleentarkastelu.”

2 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

3 artikla

Tämä päätös on osoitettu Itävallan tasavallalle.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Neuvoston täytäntöönpanopäätös 2009/1013/EU, tehty 22 päivänä joulukuuta 2009, luvan antamisesta Itävallan tasavallalle jatkaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 168 artiklasta poikkeavan toimenpiteen soveltamista (EUVL L 348, 29.12.2009, s. 21).

2

(3)  Neuvoston direktiivi 2009/162/EU, annettu 22 päivänä joulukuuta 2009, yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY eräiden säännösten muuttamisesta (EUVL L 10, 15.1.2010, s. 14).

3

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/122 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/122

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1780,

annettu 5 päivänä lokakuuta 2021,

luvan antamisesta Puolan tasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 287 artiklasta poikkeavaa toimenpidettä tehdyn päätöksen 2009/790/EY muuttamisesta

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisestä arvonlisäverojärjestelmästä 28 päivänä marraskuuta 2006 annetun neuvoston direktiivin 2006/112/EY (1) ja erityisesti sen 395 artiklan 1 kohdan ensimmäisen alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Direktiivin 2006/112/EY 287 artiklan 14 kohdan mukaan Puolan tasavalta, jäljempänä ’Puola’, voi myöntää vapautuksen arvonlisäverosta (alv) sellaisille verovelvollisille, joiden vuosittainen liikevaihto kansallisena valuuttana on sen liittymispäivänä voimassa olleen muuntokurssin mukaan laskettuna enintään 10 000 euroa. |
| --- | --- |

(1)

Direktiivin 2006/112/EY 287 artiklan 14 kohdan mukaan Puolan tasavalta, jäljempänä ’Puola’, voi myöntää vapautuksen arvonlisäverosta (alv) sellaisille verovelvollisille, joiden vuosittainen liikevaihto kansallisena valuuttana on sen liittymispäivänä voimassa olleen muuntokurssin mukaan laskettuna enintään 10 000 euroa.

| (2) | Neuvoston päätöksessä 2009/790/EY (2) annetaan Puolalle lupa ottaa käyttöön direktiivin 2006/112/EY 287 artiklasta poikkeava erityistoimenpide, jolla vapautetaan arvonlisäverosta sellaiset verovelvolliset, joiden vuosiliikevaihto kansallisena valuuttana vastaa enintään 40 000:ta euroa, jäljempänä ’poikkeava toimenpide’. |
| --- | --- |

(2)

Neuvoston päätöksessä 2009/790/EY (2) annetaan Puolalle lupa ottaa käyttöön direktiivin 2006/112/EY 287 artiklasta poikkeava erityistoimenpide, jolla vapautetaan arvonlisäverosta sellaiset verovelvolliset, joiden vuosiliikevaihto kansallisena valuuttana vastaa enintään 40 000:ta euroa, jäljempänä ’poikkeava toimenpide’.

| (3) | Puolalle annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/1919 (3) lupa jatkaa poikkeavan toimenpiteen soveltamista 31 päivään joulukuuta 2021 asti tai sellaisen direktiivin voimaantuloon asti, jolla muutetaan direktiivin 2006/112/EY 281–294 artiklan säännöksiä, sen mukaan, kumpi näistä ajankohdista on aikaisempi. |
| --- | --- |

(3)

Puolalle annettiin neuvoston täytäntöönpanopäätöksellä (EU) 2018/1919 (3) lupa jatkaa poikkeavan toimenpiteen soveltamista 31 päivään joulukuuta 2021 asti tai sellaisen direktiivin voimaantuloon asti, jolla muutetaan direktiivin 2006/112/EY 281–294 artiklan säännöksiä, sen mukaan, kumpi näistä ajankohdista on aikaisempi.

| (4) | Puola on pyytänyt 1 päivänä maaliskuuta 2021 komissioon saapuneeksi rekisteröidyllä kirjeellä komissiolta lupaa jatkaa poikkeavan toimenpiteen soveltamista 31 päivään joulukuuta 2024 asti, jäljempänä ’pyyntö’. |
| --- | --- |

(4)

Puola on pyytänyt 1 päivänä maaliskuuta 2021 komissioon saapuneeksi rekisteröidyllä kirjeellä komissiolta lupaa jatkaa poikkeavan toimenpiteen soveltamista 31 päivään joulukuuta 2024 asti, jäljempänä ’pyyntö’.

| (5) | Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille Kyprosta lukuun ottamatta 25 päivänä maaliskuuta 2021 päivätyllä kirjeellä ja Kyprokselle 26 päivänä maaliskuuta 2021 päivätyllä kirjeellä. Komissio ilmoitti Puolalle 29 päivänä maaliskuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointiin tarvittavat tiedot. |
| --- | --- |

(5)

Komissio toimitti direktiivin 2006/112/EY 395 artiklan 2 kohdan toisen alakohdan mukaisesti pyynnön muille jäsenvaltioille Kyprosta lukuun ottamatta 25 päivänä maaliskuuta 2021 päivätyllä kirjeellä ja Kyprokselle 26 päivänä maaliskuuta 2021 päivätyllä kirjeellä. Komissio ilmoitti Puolalle 29 päivänä maaliskuuta 2021 päivätyllä kirjeellä, että sillä oli kaikki pyynnön arviointiin tarvittavat tiedot.

| (6) | Poikkeava toimenpide on komission 25 päivänä kesäkuuta 2008 annetun tiedonannon ”Pienet ensin” – Eurooppalaisia pk-yrityksiä tukeva aloite (”Small Business Act”) tavoitteiden mukainen. |
| --- | --- |

(6)

Poikkeava toimenpide on komission 25 päivänä kesäkuuta 2008 annetun tiedonannon ”Pienet ensin” – Eurooppalaisia pk-yrityksiä tukeva aloite (”Small Business Act”) tavoitteiden mukainen.

| (7) | Puolan toimittamista tiedoista ilmenee, että poikkeavalla toimenpiteellä on vain hyvin vähäinen vaikutus lopullisessa kulutusvaiheessa kannettavien Puolan saamien verotulojen kokonaismäärään. Verovelvolliset voivat edelleen päättää kuulua tavanomaisten alv-järjestelyjen piiriin. |
| --- | --- |

(7)

Puolan toimittamista tiedoista ilmenee, että poikkeavalla toimenpiteellä on vain hyvin vähäinen vaikutus lopullisessa kulutusvaiheessa kannettavien Puolan saamien verotulojen kokonaismäärään. Verovelvolliset voivat edelleen päättää kuulua tavanomaisten alv-järjestelyjen piiriin.

| (8) | Neuvoston asetuksen (EU, Euratom) 2021/769 (4) tultua voimaan Puola ei tee kompensaatiolaskelmaa koskien alv-perusteisia omia varoja varainhoitovuoden 2021 selvityksestä alkaen. |
| --- | --- |

(8)

Neuvoston asetuksen (EU, Euratom) 2021/769 (4) tultua voimaan Puola ei tee kompensaatiolaskelmaa koskien alv-perusteisia omia varoja varainhoitovuoden 2021 selvityksestä alkaen.

| (9) | Koska poikkeava toimenpide vaikuttaa myönteisesti yksinkertaistamalla arvonlisäverovelvoitteita vähentämällä pieniin yrityksiin niiden hallinnollista rasitusta ja kustannuksia, Puolalle olisi annettava lupa jatkaa poikkeavan toimenpiteen soveltamista. |
| --- | --- |

(9)

Koska poikkeava toimenpide vaikuttaa myönteisesti yksinkertaistamalla arvonlisäverovelvoitteita vähentämällä pieniin yrityksiin niiden hallinnollista rasitusta ja kustannuksia, Puolalle olisi annettava lupa jatkaa poikkeavan toimenpiteen soveltamista.

| (10) | Neuvoston direktiivillä (EU) 2020/285 (5) muutettiin direktiivin 2006/112/EY 281–294 artiklaa pienten yritysten erityisjärjestelmän osalta ja vahvistettiin uusia sääntöjä, jotka koskevat pieniä yrityksiä, mukaan lukien jäsenvaltion määrittämä vuosittaisen liikevaihdon enintään 85 000 euron raja-arvo tai kansallisena valuuttana ilmaistu vasta-arvo. |
| --- | --- |

(10)

Neuvoston direktiivillä (EU) 2020/285 (5) muutettiin direktiivin 2006/112/EY 281–294 artiklaa pienten yritysten erityisjärjestelmän osalta ja vahvistettiin uusia sääntöjä, jotka koskevat pieniä yrityksiä, mukaan lukien jäsenvaltion määrittämä vuosittaisen liikevaihdon enintään 85 000 euron raja-arvo tai kansallisena valuuttana ilmaistu vasta-arvo.

| (11) | Poikkeavan toimenpiteen soveltamisen jatkamiselle olisi asetettava aikaraja. Aikarajan olisi oltava riittävä, jotta raja-arvon vaikuttavuus ja asianmukaisuus pystytään arvioimaan. Lisäksi direktiivi (EU) 2020/285 velvoittaa jäsenvaltiot antamaan ja julkaisemaan kyseisen direktiivin 1 artiklan noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset viimeistään 31 päivänä joulukuuta 2024 ja soveltamaan niitä 1 päivästä tammikuuta 2025. Tästä syystä on aiheellista antaa Puolalle lupa soveltaa poikkeavaa toimenpidettä 31 päivään joulukuuta 2024 asti. |
| --- | --- |

(11)

Poikkeavan toimenpiteen soveltamisen jatkamiselle olisi asetettava aikaraja. Aikarajan olisi oltava riittävä, jotta raja-arvon vaikuttavuus ja asianmukaisuus pystytään arvioimaan. Lisäksi direktiivi (EU) 2020/285 velvoittaa jäsenvaltiot antamaan ja julkaisemaan kyseisen direktiivin 1 artiklan noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset viimeistään 31 päivänä joulukuuta 2024 ja soveltamaan niitä 1 päivästä tammikuuta 2025. Tästä syystä on aiheellista antaa Puolalle lupa soveltaa poikkeavaa toimenpidettä 31 päivään joulukuuta 2024 asti.

| (12) | Päätös 2009/790/EY olisi sen vuoksi muutettava vastaavasti, |
| --- | --- |

(12)

Päätös 2009/790/EY olisi sen vuoksi muutettava vastaavasti,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Korvataan päätöksen 2009/790/EY 2 artikla seuraavasti:

”2 artikla

Tätä päätöstä sovelletaan 1 päivästä tammikuuta 2010 alkaen 31 päivään joulukuuta 2024 asti.”

2 artikla

Tämä päätös tulee voimaan päivänä, jona se annetaan tiedoksi.

3 artikla

Tämä päätös on osoitettu Puolan tasavallalle.

Tehty Luxemburgissa 5 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

A. ŠIRCELJ

---

(1)  
  EUVL L 347, 11.12.2006, s. 1.

1

(2)  Neuvoston päätös 2009/790/EY, tehty 20 päivänä lokakuuta 2009, luvan antamisesta Puolan tasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 287 artiklasta poikkeavaa toimenpidettä (EUVL L 283, 30.10.2009, s. 53).

2

(3)  Neuvoston täytäntöönpanopäätös (EU) 2018/1919, annettu 4 päivänä joulukuuta 2018, luvan antamisesta Puolan tasavallalle soveltaa yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY 287 artiklasta poikkeavaa toimenpidettä tehdyn päätöksen 2009/790/EY muuttamisesta (EUVL L 311, 7.12.2018, s. 32).

3

(4)  Neuvoston asetus (EU, Euratom) 2021/769, annettu 30 päivänä huhtikuuta 2021, arvonlisäverosta kertyvien omien varojen lopullisesta yhdenmukaisesta kantomenettelystä annetun asetuksen (ETY, Euratom) N:o 1553/89 muuttamisesta (EUVL L 165, 11.5.2021, s. 9).

4

(5)  Neuvoston direktiivi (EU) 2020/285, annettu 18 päivänä helmikuuta 2020, yhteisestä arvonlisäverojärjestelmästä annetun direktiivin 2006/112/EY muuttamisesta pienten yritysten erityisjärjestelmän osalta ja asetuksen (EU) N:o 904/2010 muuttamisesta pienten yritysten erityisjärjestelmän asianmukaisen soveltamisen valvomiseksi tehtävän hallinnollisen yhteistyön ja tietojenvaihdon osalta (EUVL L 62, 2.3.2020, s. 13).

5

---

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/124 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/124

---

NEUVOSTON TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2021/1781,

annettu 7 päivänä lokakuuta 2021,

Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 810/2009 tiettyjen säännösten soveltamisen keskeyttämisestä Gambian osalta

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yhteisön viisumisäännöstön laatimisesta (viisumisäännöstö) 13 päivänä heinäkuuta 2009 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 810/2009 (1) ja erityisesti sen 25 a artiklan 5 kohdan a alakohdan,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

| (1) | Gambian viranomaiset päättivät helmikuun 2019 lopussa yksipuolisesti keskeyttää kaikki pakkotoimin tapahtuvat palauttamisoperaatiot, mikä esti tehokkaat palauttamiset lähes koko vuoden 2019 ajan. Sen jälkeen, kun kyseinen keskeytys kumottiin tammikuussa 2020, jäsenvaltiot ovat kohdanneet esteitä, joita Gambia on toistuvasti asettanut palauttamisoperaatioiden järjestämiselle ja täytäntöönpanolle. Gambian tasoltaan vaihteleva yhteistyö on myös haitannut palauttamisprosessin kaikkia vaiheita, myös silloin kun sovelletaan voimassa olevia unionin ja Gambian aiemmin sopimia hyviä käytäntöjä ja muita operatiivisia järjestelyjä. Gambian viranomaiset ilmoittivat 6 päivänä huhtikuuta 2021, että maa ei toistaiseksi kykene vastaanottamaan palautettavia henkilöitä, ja kesäkuussa 2021 mainitut viranomaiset vahvistivat, että ”pakkotoimin tai muutoin tapahtuvia palautuksia koskeva keskeytys on voimassa, kunnes joulukuussa pidettävät vaalit ovat ohi”. |
| --- | --- |

(1)

Gambian viranomaiset päättivät helmikuun 2019 lopussa yksipuolisesti keskeyttää kaikki pakkotoimin tapahtuvat palauttamisoperaatiot, mikä esti tehokkaat palauttamiset lähes koko vuoden 2019 ajan. Sen jälkeen, kun kyseinen keskeytys kumottiin tammikuussa 2020, jäsenvaltiot ovat kohdanneet esteitä, joita Gambia on toistuvasti asettanut palauttamisoperaatioiden järjestämiselle ja täytäntöönpanolle. Gambian tasoltaan vaihteleva yhteistyö on myös haitannut palauttamisprosessin kaikkia vaiheita, myös silloin kun sovelletaan voimassa olevia unionin ja Gambian aiemmin sopimia hyviä käytäntöjä ja muita operatiivisia järjestelyjä. Gambian viranomaiset ilmoittivat 6 päivänä huhtikuuta 2021, että maa ei toistaiseksi kykene vastaanottamaan palautettavia henkilöitä, ja kesäkuussa 2021 mainitut viranomaiset vahvistivat, että ”pakkotoimin tai muutoin tapahtuvia palautuksia koskeva keskeytys on voimassa, kunnes joulukuussa pidettävät vaalit ovat ohi”.

| (2) | Komissio on vuodesta 2019 alkaen toteuttanut toimia, jotta Gambia parantaisi unionissa laittomasti oleskelevien kolmansien maiden kansalaisten takaisinottoa koskevaa yhteistyötä. Kyseiset toimet ovat käsittäneet useita sekä teknisen että poliittisen tason kokouksia Gambian viranomaisten kanssa, jotta löydettäisiin molempia osapuolia tyydyttäviä ratkaisuja ja sovittaisiin muista Gambiaa hyödyttävistä tukihankkeista. Samaan aikaan komissio ja Gambia ovat käyneet korkean tason keskusteluja. Takaisinottoasioita on käsitelty Gambian kanssa myös muissa Euroopan ulkosuhdehallinnon järjestämissä kokouksissa. |
| --- | --- |

(2)

Komissio on vuodesta 2019 alkaen toteuttanut toimia, jotta Gambia parantaisi unionissa laittomasti oleskelevien kolmansien maiden kansalaisten takaisinottoa koskevaa yhteistyötä. Kyseiset toimet ovat käsittäneet useita sekä teknisen että poliittisen tason kokouksia Gambian viranomaisten kanssa, jotta löydettäisiin molempia osapuolia tyydyttäviä ratkaisuja ja sovittaisiin muista Gambiaa hyödyttävistä tukihankkeista. Samaan aikaan komissio ja Gambia ovat käyneet korkean tason keskusteluja. Takaisinottoasioita on käsitelty Gambian kanssa myös muissa Euroopan ulkosuhdehallinnon järjestämissä kokouksissa.

| (3) | Kun otetaan huomioon komission tähän mennessä toteuttamat toimet yhteistyön tason parantamiseksi ja unionin yleiset suhteet Gambiaan, Gambian yhteistyön unionin kanssa takaisinottoasioissa katsotaan olevan riittämätöntä, ja sen vuoksi tarvitaan unionin toimia. |
| --- | --- |

(3)

Kun otetaan huomioon komission tähän mennessä toteuttamat toimet yhteistyön tason parantamiseksi ja unionin yleiset suhteet Gambiaan, Gambian yhteistyön unionin kanssa takaisinottoasioissa katsotaan olevan riittämätöntä, ja sen vuoksi tarvitaan unionin toimia.

| (4) | Sen vuoksi asetuksen (EY) N:o 810/2009 tiettyjen säännösten soveltaminen olisi keskeytettävä tilapäisesti sellaisten Gambian kansalaisten osalta, joilta vaaditaan viisumi Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1806 (2) nojalla. Näin olisi kannustettava Gambian viranomaisia toteuttamaan tarvittavat toimet takaisinottoa koskevan yhteistyön parantamiseksi. |
| --- | --- |

(4)

Sen vuoksi asetuksen (EY) N:o 810/2009 tiettyjen säännösten soveltaminen olisi keskeytettävä tilapäisesti sellaisten Gambian kansalaisten osalta, joilta vaaditaan viisumi Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1806 (2) nojalla. Näin olisi kannustettava Gambian viranomaisia toteuttamaan tarvittavat toimet takaisinottoa koskevan yhteistyön parantamiseksi.

| (5) | Säännökset, joiden soveltaminen keskeytetään tilapäisesti, ovat viisumisäännöstön 25 a artiklan 5 kohdan a alakohdassa: keskeytetään mahdollisuus luopua vaatimuksista, jotka koskevat 14 artiklan 6 kohdassa tarkoitettuja viisuminhakijoiden toimittamia selvityksiä, keskeytetään 23 artiklan 1 kohdassa tarkoitettu yleinen 15 kalenteripäivän käsittelyaika (näin ollen ei myöskään sovelleta säännöstä, joka koskee tämän määräajan pidentämistä yksittäistapauksissa enintään 45 päivään), keskeytetään toistuvaisviisumien myöntäminen 24 artiklan 2 kohdan ja 2 c kohdan mukaisesti ja keskeytetään mahdollisuus viisumimaksujen perimättä jättämiseen 16 artiklan 5 kohdan b alakohdassa tarkoitetuilta virka- ja diplomaattipassin haltijoilta. |
| --- | --- |

(5)

Säännökset, joiden soveltaminen keskeytetään tilapäisesti, ovat viisumisäännöstön 25 a artiklan 5 kohdan a alakohdassa: keskeytetään mahdollisuus luopua vaatimuksista, jotka koskevat 14 artiklan 6 kohdassa tarkoitettuja viisuminhakijoiden toimittamia selvityksiä, keskeytetään 23 artiklan 1 kohdassa tarkoitettu yleinen 15 kalenteripäivän käsittelyaika (näin ollen ei myöskään sovelleta säännöstä, joka koskee tämän määräajan pidentämistä yksittäistapauksissa enintään 45 päivään), keskeytetään toistuvaisviisumien myöntäminen 24 artiklan 2 kohdan ja 2 c kohdan mukaisesti ja keskeytetään mahdollisuus viisumimaksujen perimättä jättämiseen 16 artiklan 5 kohdan b alakohdassa tarkoitetuilta virka- ja diplomaattipassin haltijoilta.

| (6) | Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 21 artiklan 1 kohdan mukaan jokaisella unionin kansalaisella on oikeus vapaasti liikkua ja oleskella jäsenvaltioiden alueella, jollei perussopimuksissa määrätyistä tai niiden soveltamisesta annetuissa säännöksissä säädetyistä rajoituksista ja ehdoista muuta johdu. Kyseiset rajoitukset ja ehdot pannaan täytäntöön Euroopan parlamentin ja neuvoston direktiivillä 2004/38/EY (3). Tämä päätös ei vaikuta kyseisen direktiivin soveltamiseen, koska sen nojalla oikeus vapaaseen liikkuvuuteen koskee myös perheenjäseniä näiden kansalaisuuteen katsomatta, kun he tulevat jäsenvaltioiden alueelle unionin kansalaisen mukana tai seuraavat häntä myöhemmin. Tätä päätöstä ei näin ollen sovelleta direktiivin 2004/38/EY soveltamisalaan kuuluviin unionin kansalaisen perheenjäseniin tai sellaisen kolmannen maan kansalaisen perheenjäseniin, jolla on unionin ja sen jäsenvaltioiden sekä kolmannen maan välisen sopimuksen nojalla vastaava oikeus vapaaseen liikkuvuuteen kuin unionin kansalaisilla. |
| --- | --- |

(6)

Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 21 artiklan 1 kohdan mukaan jokaisella unionin kansalaisella on oikeus vapaasti liikkua ja oleskella jäsenvaltioiden alueella, jollei perussopimuksissa määrätyistä tai niiden soveltamisesta annetuissa säännöksissä säädetyistä rajoituksista ja ehdoista muuta johdu. Kyseiset rajoitukset ja ehdot pannaan täytäntöön Euroopan parlamentin ja neuvoston direktiivillä 2004/38/EY (3). Tämä päätös ei vaikuta kyseisen direktiivin soveltamiseen, koska sen nojalla oikeus vapaaseen liikkuvuuteen koskee myös perheenjäseniä näiden kansalaisuuteen katsomatta, kun he tulevat jäsenvaltioiden alueelle unionin kansalaisen mukana tai seuraavat häntä myöhemmin. Tätä päätöstä ei näin ollen sovelleta direktiivin 2004/38/EY soveltamisalaan kuuluviin unionin kansalaisen perheenjäseniin tai sellaisen kolmannen maan kansalaisen perheenjäseniin, jolla on unionin ja sen jäsenvaltioiden sekä kolmannen maan välisen sopimuksen nojalla vastaava oikeus vapaaseen liikkuvuuteen kuin unionin kansalaisilla.

| (7) | Tässä päätöksessä säädetyt toimenpiteet eivät saisi vaikuttaa jäsenvaltioilla oleviin kansainvälisen oikeuden velvoitteisiin kansainvälisten hallitustenvälisten järjestöjen isäntämaina tai jäsenvaltioissa toimivien kansainvälisten hallitustenvälisten järjestöjen koolle kutsumien kansainvälisten konferenssien isäntämaina. Tilapäistä keskeyttämistä ei näin ollen pitäisi soveltaa Gambian kansalaisiin, jotka hakevat viisumia, siltä osin kuin se on tarpeen, jotta jäsenvaltiot voivat täyttää velvoitteensa tällaisten järjestöjen tai konferenssien isäntämaina. |
| --- | --- |

(7)

Tässä päätöksessä säädetyt toimenpiteet eivät saisi vaikuttaa jäsenvaltioilla oleviin kansainvälisen oikeuden velvoitteisiin kansainvälisten hallitustenvälisten järjestöjen isäntämaina tai jäsenvaltioissa toimivien kansainvälisten hallitustenvälisten järjestöjen koolle kutsumien kansainvälisten konferenssien isäntämaina. Tilapäistä keskeyttämistä ei näin ollen pitäisi soveltaa Gambian kansalaisiin, jotka hakevat viisumia, siltä osin kuin se on tarpeen, jotta jäsenvaltiot voivat täyttää velvoitteensa tällaisten järjestöjen tai konferenssien isäntämaina.

| (8) | Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän päätöksen hyväksymiseen, päätös ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä päätöksellä kehitetään Schengenin säännöstöä, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun neuvosto on hyväksynyt tämän päätöksen, saattaako se päätöksen osaksi kansallista lainsäädäntöään. |
| --- | --- |

(8)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän päätöksen hyväksymiseen, päätös ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä päätöksellä kehitetään Schengenin säännöstöä, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun neuvosto on hyväksynyt tämän päätöksen, saattaako se päätöksen osaksi kansallista lainsäädäntöään.

| (9) | Tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joihin Irlanti ei osallistu neuvoston päätöksen 2002/192/EY (4) mukaisesti; Irlanti ei sen vuoksi osallistu tämän päätöksen hyväksymiseen, päätös ei sido Irlantia eikä sitä sovelleta Irlantiin. |
| --- | --- |

(9)

Tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joihin Irlanti ei osallistu neuvoston päätöksen 2002/192/EY (4) mukaisesti; Irlanti ei sen vuoksi osallistu tämän päätöksen hyväksymiseen, päätös ei sido Irlantia eikä sitä sovelleta Irlantiin.

| (10) | Islannin ja Norjan osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (5) ja jotka kuuluvat neuvoston päätöksen 1999/437/EY (6) 1 artiklan B kohdassa tarkoitettuun alaan. |
| --- | --- |

(10)

Islannin ja Norjan osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (5) ja jotka kuuluvat neuvoston päätöksen 1999/437/EY (6) 1 artiklan B kohdassa tarkoitettuun alaan.

| (11) | Sveitsin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (7) ja jotka kuuluvat päätöksen 1999/437/EY 1 artiklan B kohdassa, luettuna yhdessä neuvoston päätöksen 2008/146/EY (8) 3 artiklan kanssa, tarkoitettuun alaan. |
| --- | --- |

(11)

Sveitsin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (7) ja jotka kuuluvat päätöksen 1999/437/EY 1 artiklan B kohdassa, luettuna yhdessä neuvoston päätöksen 2008/146/EY (8) 3 artiklan kanssa, tarkoitettuun alaan.

| (12) | Liechtensteinin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (9) ja jotka kuuluvat päätöksen 1999/437/EY 1 artiklan B kohdassa, luettuna yhdessä neuvoston päätöksen 2011/350/EU (10) 3 artiklan kanssa, tarkoitettuun alaan. |
| --- | --- |

(12)

Liechtensteinin osalta tällä päätöksellä kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen (9) ja jotka kuuluvat päätöksen 1999/437/EY 1 artiklan B kohdassa, luettuna yhdessä neuvoston päätöksen 2011/350/EU (10) 3 artiklan kanssa, tarkoitettuun alaan.

| (13) | Tämä päätös on vuoden 2003 liittymisasiakirjan 3 artiklan 2 kohdassa, vuoden 2005 liittymisasiakirjan 4 artiklan 2 kohdassa ja vuoden 2011 liittymisasiakirjan 4 artiklan 2 kohdassa tarkoitettu Schengenin säännöstöön perustuva tai muuten siihen liittyvä säädös. |
| --- | --- |

(13)

Tämä päätös on vuoden 2003 liittymisasiakirjan 3 artiklan 2 kohdassa, vuoden 2005 liittymisasiakirjan 4 artiklan 2 kohdassa ja vuoden 2011 liittymisasiakirjan 4 artiklan 2 kohdassa tarkoitettu Schengenin säännöstöön perustuva tai muuten siihen liittyvä säädös.

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Soveltamisala

1.   Tätä päätöstä sovelletaan Gambian kansalaisiin, joilta vaaditaan viisumi asetuksen (EU) 2018/1806 nojalla.

2.   Sitä ei sovelleta Gambian kansalaisiin, jotka on vapautettu viisumipakosta asetuksen (EU) 2018/1806 4 tai 6 artiklan nojalla.

3.   Tätä päätöstä ei sovelleta viisumia hakeviin Gambian kansalaisiin, jotka ovat direktiivin 2004/38/EY soveltamisalaan kuuluvia unionin kansalaisen perheenjäseniä tai sellaisen kolmannen maan kansalaisen perheenjäseniä, jolla on unionin ja sen jäsenvaltioiden, sekä kolmannen maan välisen sopimuksen nojalla vastaava oikeus vapaaseen liikkuvuuteen kuin unionin kansalaisilla.

4.   Tämä päätös ei vaikuta tapauksiin, joissa jäsenvaltiota sitoo kansainvälisen oikeuden velvoite, erityisesti

| a) | kansainvälisen hallitustenvälisen järjestön isäntämaana; |
| --- | --- |

a)

kansainvälisen hallitustenvälisen järjestön isäntämaana;

| b) | Yhdistyneiden kansakuntien tai muiden jäsenvaltiossa toimivien kansainvälisten hallitustenvälisten järjestöjen koolle kutsuman tai niiden puitteissa järjestettävän kansainvälisen konferenssin isäntämaana; |
| --- | --- |

b)

Yhdistyneiden kansakuntien tai muiden jäsenvaltiossa toimivien kansainvälisten hallitustenvälisten järjestöjen koolle kutsuman tai niiden puitteissa järjestettävän kansainvälisen konferenssin isäntämaana;

| c) | erioikeuksia ja vapauksia myöntävän monenvälisen sopimuksen nojalla; tai |
| --- | --- |

c)

erioikeuksia ja vapauksia myöntävän monenvälisen sopimuksen nojalla; tai

| d) | Pyhän istuimen (Vatikaanivaltion) ja Italian välillä vuonna 1929 tehdyn sopimuksen (lateraanisopimus), sellaisena kuin sitä on viimeksi muutettu, nojalla. |
| --- | --- |

d)

Pyhän istuimen (Vatikaanivaltion) ja Italian välillä vuonna 1929 tehdyn sopimuksen (lateraanisopimus), sellaisena kuin sitä on viimeksi muutettu, nojalla.

2 artikla

Asetuksen (EY) No 810/2009 tiettyjen säännösten soveltamisen tilapäinen keskeyttäminen

Keskeytetään tilapäisesti asetuksen (EY) N:o 810/2009 seuraavien säännösten soveltaminen:

| a) | 14 artiklan 6 kohta |
| --- | --- |

a)

14 artiklan 6 kohta

| b) | 16 artiklan 5 kohdan b alakohta |
| --- | --- |

b)

16 artiklan 5 kohdan b alakohta

| c) | 23 artiklan 1 kohta |
| --- | --- |

c)

23 artiklan 1 kohta

| d) | 24 artiklan 2 ja 2 c kohta. |
| --- | --- |

d)

24 artiklan 2 ja 2 c kohta.

3 artikla

Osoitus

Tämä päätös on osoitettu Belgian kuningaskunnalle, Bulgarian tasavallalle, Tšekin tasavallalle, Saksan liittotasavallalle, Viron tasavallalle, Helleenien tasavallalle, Espanjan kuningaskunnalle, Ranskan tasavallalle, Kroatian tasavallalle, Italian tasavallalle, Kyproksen tasavallalle, Latvian tasavallalle, Liettuan tasavallalle, Luxemburgin suurherttuakunnalle, Unkarille, Maltan tasavallalle, Alankomaiden kuningaskunnalle, Itävallan tasavallalle, Puolan tasavallalle, Portugalin tasavallalle, Romanialle, Slovenian tasavallalle, Slovakian tasavallalle, Suomen tasavallalle sekä Ruotsin kuningaskunnalle.

Tehty Luxemburgissa 7 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

M. DIKAUČIČ

---

(1)  
  EUVL L 243, 15.9.2009, s. 1.

1

(2)  Euroopan parlamentin ja neuvoston asetus (EU) 2018/1806, annettu 14 päivänä marraskuuta 2018, luettelon vahvistamisesta kolmansista maista, joiden kansalaisilla on oltava viisumi ulkorajoja ylittäessään, ja niistä kolmansista maista, joiden kansalaisia tämä vaatimus ei koske (EUVL L 303, 28.11.2018, s. 39).

2

(3)  Euroopan parlamentin ja neuvoston direktiivi 2004/38/EY, annettu 29 päivänä huhtikuuta 2004, Euroopan unionin kansalaisten ja heidän perheenjäsentensä oikeudesta liikkua ja oleskella vapaasti jäsenvaltioiden alueella, asetuksen (ETY) N:o 1612/68 muuttamisesta ja direktiivien 64/221/ETY, 68/360/ETY, 72/194/ETY, 73/148/ETY, 75/34/ETY, 75/35/ETY, 90/364/ETY, 90/365/ETY ja 93/96/ETY kumoamisesta (EUVL L 158, 30.4.2004, s. 77).

3

(4)  Neuvoston päätös 2002/192/EY, tehty 28 päivänä helmikuuta 2002, Irlannin pyynnöstä saada osallistua joihinkin Schengenin säännöstön määräyksiin (EYVL L 64, 7.3.2002, s. 20).

4

(5)  
  EUVL L 176, 10.7.1999, s. 36.

5

(6)  Neuvoston päätös 1999/437/EY, tehty 17 päivänä toukokuuta 1999, tietyistä Euroopan unionin neuvoston, Islannin tasavallan ja Norjan kuningaskunnan välillä näiden kahden valtion osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen tehdyn sopimuksen yksityiskohtaisista soveltamissäännöistä (EYVL L 176, 10.7.1999, s. 31).

6

(7)  
  EUVL L 53, 27.2.2008, s. 52.

7

(8)  Neuvoston päätös 2008/146/EY, tehty 28 päivänä tammikuuta 2008, Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisen, Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen koskevan sopimuksen tekemisestä Euroopan yhteisön puolesta (EUVL L 53, 27.2.2008, s. 1).

8

(9)  
  EUVL L 160, 18.6.2011, s. 21.

9

(10)  Neuvoston päätös 2011/350/EU, annettu 7 päivänä maaliskuuta 2011, Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen, joka koskee Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen, Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välillä tehtävän pöytäkirjan tekemisestä Euroopan unionin puolesta, siltä osin kuin kyse on tarkastusten poistamisesta sisärajoilta ja henkilöiden liikkumisesta rajojen yli (EUVL L 160, 18.6.2011, s. 19).

10

---

SUOSITUKSET

| 11.10.2021 | FI | Euroopan unionin virallinen lehti | L 360/128 |
| --- | --- | --- | --- |

11.10.2021

FI

Euroopan unionin virallinen lehti

L 360/128

---

NEUVOSTON SUOSITUS (EU) 2021/1782,

Annettu 8 päivänä lokakuuta 2021,

EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 77 artiklan 2 kohdan b ja e alakohdan sekä 292 artiklan ensimmäisen ja toisen virkkeen,

sekä katsoo seuraavaa:

| (1) | Neuvosto hyväksyi 30 päivänä kesäkuuta 2020 suosituksen EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta (1), jäljempänä ’neuvoston suositus’. |
| --- | --- |

(1)

Neuvosto hyväksyi 30 päivänä kesäkuuta 2020 suosituksen EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta (1), jäljempänä ’neuvoston suositus’.

| (2) | Tämän jälkeen neuvosto on hyväksynyt suositukset (EU) 2020/1052 (2), (EU) 2020/1144 (3), (EU) 2020/1186 (4), (EU) 2020/1551 (5), (EU) 2020/2169 (6), (EU) 2021/89 (7), (EU) 2021/132 (8), (EU) 2021/767 (9), (EU) 2021/892 (10), (EU) 2021/992 (11), (EU) 2021/1085 (12), (EU) 2021/1170 (13), (EU) 2021/1346 (14), (EU) 2021/1459 (15) ja (EU) 2021/1712 (16) EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta. |
| --- | --- |

(2)

Tämän jälkeen neuvosto on hyväksynyt suositukset (EU) 2020/1052 (2), (EU) 2020/1144 (3), (EU) 2020/1186 (4), (EU) 2020/1551 (5), (EU) 2020/2169 (6), (EU) 2021/89 (7), (EU) 2021/132 (8), (EU) 2021/767 (9), (EU) 2021/892 (10), (EU) 2021/992 (11), (EU) 2021/1085 (12), (EU) 2021/1170 (13), (EU) 2021/1346 (14), (EU) 2021/1459 (15) ja (EU) 2021/1712 (16) EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta.

| (3) | Neuvosto hyväksyi 20 päivänä toukokuuta 2021 suosituksen (EU) 2021/816 EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta (17) päivittääkseen kriteerejä, joiden perusteella arvioidaan, onko muu kuin välttämätön matkustaminen kolmansista maista turvallista ja voidaanko se hyväksyä. |
| --- | --- |

(3)

Neuvosto hyväksyi 20 päivänä toukokuuta 2021 suosituksen (EU) 2021/816 EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annetun neuvoston suosituksen (EU) 2020/912 muuttamisesta (17) päivittääkseen kriteerejä, joiden perusteella arvioidaan, onko muu kuin välttämätön matkustaminen kolmansista maista turvallista ja voidaanko se hyväksyä.

| (4) | Neuvoston suosituksessa todetaan, että jäsenvaltioiden olisi purettava EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskeva väliaikainen rajoitus koordinoidusti vaiheittain 1 päivästä heinäkuuta 2020 alkaen neuvoston suosituksen liitteessä I lueteltujen kolmansien maiden asukkaiden osalta. Neuvoston olisi joka toinen viikko tarkasteltava uudelleen ja tarvittaessa päivitettävä liitteessä I olevaa kolmansien maiden luetteloa kuultuaan tiiviisti komissiota ja asiaankuuluvia EU:n virastoja ja yksiköitä neuvoston suosituksessa tarkoitettuihin menetelmiin, kriteereihin ja tietoihin perustuvan kokonaisarvioinnin jälkeen. |
| --- | --- |

(4)

Neuvoston suosituksessa todetaan, että jäsenvaltioiden olisi purettava EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskeva väliaikainen rajoitus koordinoidusti vaiheittain 1 päivästä heinäkuuta 2020 alkaen neuvoston suosituksen liitteessä I lueteltujen kolmansien maiden asukkaiden osalta. Neuvoston olisi joka toinen viikko tarkasteltava uudelleen ja tarvittaessa päivitettävä liitteessä I olevaa kolmansien maiden luetteloa kuultuaan tiiviisti komissiota ja asiaankuuluvia EU:n virastoja ja yksiköitä neuvoston suosituksessa tarkoitettuihin menetelmiin, kriteereihin ja tietoihin perustuvan kokonaisarvioinnin jälkeen.

| (5) | Neuvostossa on käyty tämän jälkeen keskusteluja liitteessä I olevan kolmansien maiden luettelon tarkistamisesta kuullen tiiviisti komissiota ja asiaankuuluvia EU:n virastoja ja yksiköitä ja noudattaen neuvoston suosituksessa, sellaisena kuin se on muutettuna suosituksella (EU) 2021/816, esitettyjä kriteereitä ja menetelmiä. Keskustelujen perusteella liitteessä I olevaa kolmansien maiden luetteloa olisi muutettava. Luetteloon olisi lisättävä Bahrain ja Yhdistyneet arabiemiirikunnat. |
| --- | --- |

(5)

Neuvostossa on käyty tämän jälkeen keskusteluja liitteessä I olevan kolmansien maiden luettelon tarkistamisesta kuullen tiiviisti komissiota ja asiaankuuluvia EU:n virastoja ja yksiköitä ja noudattaen neuvoston suosituksessa, sellaisena kuin se on muutettuna suosituksella (EU) 2021/816, esitettyjä kriteereitä ja menetelmiä. Keskustelujen perusteella liitteessä I olevaa kolmansien maiden luetteloa olisi muutettava. Luetteloon olisi lisättävä Bahrain ja Yhdistyneet arabiemiirikunnat.

| (6) | Rajavalvonta ei ole ainoastaan niiden jäsenvaltioiden edun mukaista, joiden ulkorajoilla sitä toteutetaan, vaan myös kaikkien sisärajavalvonnan lakkauttaneiden jäsenvaltioiden edun mukaista. Jäsenvaltioiden olisi sen vuoksi varmistettava ulkorajoilla toteutettavien toimenpiteiden koordinointi Schengen-alueen moitteettoman toiminnan varmistamiseksi. Tätä varten jäsenvaltioiden olisi jatkettava 8 päivästä lokakuuta 2021 alkaen EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevan väliaikaisen rajoituksen purkamista koordinoidusti neuvoston suosituksen liitteessä I, sellaisena kuin se on muutettuna tällä suosituksella, lueteltujen kolmansien maiden, erityishallintoalueiden ja muiden yhteisöjen ja alueellisten viranomaisten asukkaiden osalta. |
| --- | --- |

(6)

Rajavalvonta ei ole ainoastaan niiden jäsenvaltioiden edun mukaista, joiden ulkorajoilla sitä toteutetaan, vaan myös kaikkien sisärajavalvonnan lakkauttaneiden jäsenvaltioiden edun mukaista. Jäsenvaltioiden olisi sen vuoksi varmistettava ulkorajoilla toteutettavien toimenpiteiden koordinointi Schengen-alueen moitteettoman toiminnan varmistamiseksi. Tätä varten jäsenvaltioiden olisi jatkettava 8 päivästä lokakuuta 2021 alkaen EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevan väliaikaisen rajoituksen purkamista koordinoidusti neuvoston suosituksen liitteessä I, sellaisena kuin se on muutettuna tällä suosituksella, lueteltujen kolmansien maiden, erityishallintoalueiden ja muiden yhteisöjen ja alueellisten viranomaisten asukkaiden osalta.

| (7) | Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän suosituksen hyväksymiseen, suositus ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä suosituksella kehitetään Schengenin säännöstöä, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun neuvosto on hyväksynyt tämän suosituksen, paneeko se suosituksen täytäntöön. |
| --- | --- |

(7)

Euroopan unionista tehtyyn sopimukseen ja Euroopan unionin toiminnasta tehtyyn sopimukseen liitetyssä, Tanskan asemasta tehdyssä pöytäkirjassa N:o 22 olevien 1 ja 2 artiklan mukaisesti Tanska ei osallistu tämän suosituksen hyväksymiseen, suositus ei sido Tanskaa eikä sitä sovelleta Tanskaan. Koska tällä suosituksella kehitetään Schengenin säännöstöä, Tanska päättää mainitun pöytäkirjan 4 artiklan mukaisesti kuuden kuukauden kuluessa siitä, kun neuvosto on hyväksynyt tämän suosituksen, paneeko se suosituksen täytäntöön.

| (8) | Tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joihin Irlanti ei osallistu neuvoston päätöksen 2002/192/EY (18) mukaisesti; Irlanti ei sen vuoksi osallistu tämän suosituksen hyväksymiseen, suositus ei sido Irlantia eikä sitä sovelleta Irlantiin. |
| --- | --- |

(8)

Tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joihin Irlanti ei osallistu neuvoston päätöksen 2002/192/EY (18) mukaisesti; Irlanti ei sen vuoksi osallistu tämän suosituksen hyväksymiseen, suositus ei sido Irlantia eikä sitä sovelleta Irlantiin.

| (9) | Islannin ja Norjan osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat neuvoston päätöksen 1999/437/EY (19) 1 artiklan A kohdassa tarkoitettuun alaan. |
| --- | --- |

(9)

Islannin ja Norjan osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin neuvoston sekä Islannin tasavallan ja Norjan kuningaskunnan välisessä sopimuksessa viimeksi mainittujen osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat neuvoston päätöksen 1999/437/EY (19) 1 artiklan A kohdassa tarkoitettuun alaan.

| (10) | Sveitsin osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat päätöksen 1999/437/EY (20) 1 artiklan A kohdassa, luettuna yhdessä neuvoston päätöksen 2008/146/EY (21) 3 artiklan kanssa, tarkoitettuun alaan. |
| --- | --- |

(10)

Sveitsin osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisessä sopimuksessa Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat päätöksen 1999/437/EY (20) 1 artiklan A kohdassa, luettuna yhdessä neuvoston päätöksen 2008/146/EY (21) 3 artiklan kanssa, tarkoitettuun alaan.

| (11) | Liechtensteinin osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat päätöksen 1999/437/EY (22) 1 artiklan A kohdassa, tarkasteltuna yhdessä päätöksen 2011/350/EU (23) 3 artiklan kanssa, tarkoitettuun alaan, |
| --- | --- |

(11)

Liechtensteinin osalta tällä suosituksella kehitetään niitä Schengenin säännöstön määräyksiä, joita tarkoitetaan Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välisessä pöytäkirjassa Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen Sveitsin valaliiton osallistumisesta Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen ja jotka kuuluvat päätöksen 1999/437/EY (22) 1 artiklan A kohdassa, tarkasteltuna yhdessä päätöksen 2011/350/EU (23) 3 artiklan kanssa, tarkoitettuun alaan,

ON ANTANUT TÄMÄN SUOSITUKSEN:

Muutetaan EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskevasta väliaikaisesta rajoituksesta ja sen mahdollisesta poistamisesta annettu neuvoston suositus (EU) 2020/912, sellaisena kuin se on muutettuna suosituksilla (EU) 2020/1052, (EU) 2020/1144, (EU) 2020/1186, (EU) 2020/1551, (EU) 2020/2169, (EU) 2021/89, (EU) 2021/132, (EU) 2021/767, (EU) 2021/816, (EU) 2021/892, (EU) 2021/992, (EU) 2021/1085, (EU) 2021/1170, (EU) 2021/1346, (EU) 2021/1459 ja (EU) 2021/1712, seuraavasti:

| 1) | Korvataan neuvoston suosituksen 1 kohdan ensimmäinen kappale seuraavasti:






  ”1. | Jäsenvaltioiden olisi purettava EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskeva väliaikainen rajoitus koordinoidusti vaiheittain 8 päivästä lokakuuta 2021 alkaen liitteessä I lueteltujen kolmansien maiden asukkaiden osalta.” |
| --- | --- | --- |

1)

Korvataan neuvoston suosituksen 1 kohdan ensimmäinen kappale seuraavasti:

”1.

| 2) | Korvataan suosituksen liite I seuraavasti:


  LIITE I
  Kolmannet maat, erityishallintoalueet ja muut yhteisöt ja alueelliset viranomaiset, joiden asukkaisiin EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskeva ulkorajoilla sovellettava väliaikainen rajoitus ei saisi vaikuttaa:






  I | VALTIOT






  1. | AUSTRALIA |
| --- | --- | --- | --- |

2)

Korvataan suosituksen liite I seuraavasti:

LIITE I

Kolmannet maat, erityishallintoalueet ja muut yhteisöt ja alueelliset viranomaiset, joiden asukkaisiin EU:hun suuntautuvaa muuta kuin välttämätöntä matkustamista koskeva ulkorajoilla sovellettava väliaikainen rajoitus ei saisi vaikuttaa:

I

VALTIOT

1.

AUSTRALIA

| 2. | BAHRAIN |
| --- | --- |

2.

BAHRAIN

| 3. | KANADA |
| --- | --- |

3.

KANADA

| 4. | CHILE |
| --- | --- |

4.

CHILE

| 5. | JORDANIA |
| --- | --- |

5.

JORDANIA

| 6. | KUWAIT |
| --- | --- |

6.

KUWAIT

| 7. | UUSI-SEELANTI |
| --- | --- |

7.

UUSI-SEELANTI

| 8. | QATAR |
| --- | --- |

8.

QATAR

| 9. | RUANDA |
| --- | --- |

9.

RUANDA

| 10. | SAUDI-ARABIA |
| --- | --- |

10.

SAUDI-ARABIA

| 11. | SINGAPORE |
| --- | --- |

11.

SINGAPORE

| 12. | ETELÄ-KOREA |
| --- | --- |

12.

ETELÄ-KOREA

| 13. | UKRAINA |
| --- | --- |

13.

UKRAINA

| 14. | YHDISTYNEET ARABIEMIIRIKUNNAT |
| --- | --- |

14.

YHDISTYNEET ARABIEMIIRIKUNNAT

| 15. | URUGUAY |
| --- | --- |

15.

URUGUAY

| 16. | KIINA (*1) |
| --- | --- |

16.

KIINA (*1)

| II | KIINAN KANSANTASAVALLAN ERITYISHALLINTOALUEET





  Hongkongin erityishallintoalue |
| --- | --- |

II

KIINAN KANSANTASAVALLAN ERITYISHALLINTOALUEET

Hongkongin erityishallintoalue

| Macaon erityishallintoalue |
| --- |

Macaon erityishallintoalue

| III | YHTEISÖT JA ALUEELLISET VIRANOMAISET, JOITA VÄHINTÄÄN YKSI JÄSENVALTIO EI TUNNUSTA VALTIOIKSI





  Taiwan |
| --- | --- |

III

YHTEISÖT JA ALUEELLISET VIRANOMAISET, JOITA VÄHINTÄÄN YKSI JÄSENVALTIO EI TUNNUSTA VALTIOIKSI

Taiwan

(*1)  edellyttäen, että vastavuoroisuus vahvistetaan"

*1

Tehty Luxemburgissa 8 päivänä lokakuuta 2021.

Neuvoston puolesta

Puheenjohtaja

M. DIKAUČIČ

---

(1)  
  EUVL L 208I, 1.7.2020, s. 1.

1

(2)  
  EUVL L 230, 17.7.2020, s. 26.

2

(3)  
  EUVL L 248, 31.7.2020, s. 26.

3

(4)  
  EUVL L 261, 11.8.2020, s. 83.

4

(5)  
  EUVL L 354, 26.10.2020, s. 19.

5

(6)  
  EUVL L 431, 21.12.2020, s. 75.

6

(7)  
  EUVL L 33, 29.1.2021, s. 1.

7

(8)  
  EUVL L 41, 4.2.2021, s. 1.

8

(9)  
  EUVL L 165I, 11.5.2021, s. 66.

9

(10)  
  EUVL L 198, 4.6.2021, s. 1.

10

(11)  
  EUVL L 221, 21.6.2021, s. 12.

11

(12)  
  EUVL L 235, 2.7.2021, s. 27.

12

(13)  
  EUVL L 255, 16.7.2021, s. 3.

13

(14)  
  EUVL L 306, 31.8.2021, s. 4.

14

(15)  
  EUVL L 320, 10.9.2021, s. 1.

15

(16)  
  EUVL L 341, 24.9.2021, s. 1.

16

(17)  
  EUVL L 182, 21.5.2021, s. 1.

17

(18)  Neuvoston päätös 2002/192/EY, tehty 28 päivänä helmikuuta 2002, Irlannin pyynnöstä saada osallistua joihinkin Schengenin säännöstön määräyksiin (EYVL L 64, 7.3.2002, s. 20).

18

(19)  
  EYVL L 176, 10.7.1999, s. 31.

19

(20)  
  EUVL L 53, 27.2.2008, s. 52.

20

(21)  Neuvoston päätös 2008/146/EY, tehty 28 päivänä tammikuuta 2008, Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton välisen, Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen koskevan sopimuksen tekemisestä Euroopan yhteisön puolesta (EUVL L 53, 27.2.2008, s. 1).

21

(22)  
  EUVL L 160, 18.6.2011, s. 21.

22

(23)  Neuvoston päätös 2011/350/EU, annettu 7 päivänä maaliskuuta 2011, Liechtensteinin ruhtinaskunnan liittymisestä Euroopan unionin, Euroopan yhteisön ja Sveitsin valaliiton väliseen sopimukseen, joka koskee Sveitsin valaliiton osallistumista Schengenin säännöstön täytäntöönpanoon, soveltamiseen ja kehittämiseen, Euroopan unionin, Euroopan yhteisön, Sveitsin valaliiton ja Liechtensteinin ruhtinaskunnan välillä tehtävän pöytäkirjan tekemisestä Euroopan unionin puolesta, siltä osin kuin kyse on tarkastusten poistamisesta sisärajoilta ja henkilöiden liikkumisesta rajojen yli (EUVL L 160, 18.6.2011, s. 19).

23

---