Komission päätös,

tehty 26 päivänä heinäkuuta 2000,

Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti yksityisyyden suojaa koskevien safe harbor -periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä

(tiedoksiannettu numerolla K(2000) 2441)

(ETA:n kannalta merkityksellinen teksti)

(2000/520/EY)

EUROOPAN YHTEISÖJEN KOMISSIO, joka

ottaa huomioon Euroopan yhteisön perustamissopimuksen,

ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY(1), ja erityisesti sen 25 artiklan 6 kohdan,

sekä katsoo seuraavaa:

(1) Direktiivin 95/46/EY mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa turvataan tietosuojan riittävä taso ja direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltioiden lakeja noudatetaan ennen tietojen siirtämistä.

(2) Komissio voi todeta, että kolmas maa turvaa tietosuojan riittävän tason. Henkilötietojen siirtäminen jäsenvaltioista voidaan tässä tapauksessa sallia ilman lisätakeita.

(3) Direktiivin 95/46/EY mukaisesti tietosuojan taso olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Direktiivin mukaisesti perustettu tietosuojatyöryhmä(2) on antanut arvioinnin tekemistä koskevia ohjeita(3).

(4) Koska kolmannet maat suhtautuvat eri tavoin tietosuojaan, tietosuojan riittävyyden arviointi olisi suoritettava ja kaikki direktiivin 95/46/EY 25 artiklan 6 kohtaan perustuvat päätökset olisi pantava täytäntöön tavalla, joka ei mielivaltaisesti tai epäoikeudenmukaisesti syrji mitään kolmatta maata tai tee eroa niiden välillä, jos niissä vallitsevat samanlaiset olosuhteet, tai muodosta peiteltyä kaupan estettä yhteisön nykyiset kansainväliset sitoumukset huomioon ottaen.

(5) Tämän päätöksen mukainen riittävä suojan taso tietojen siirrolle yhteisöstä Yhdysvaltoihin pitäisi saada, jos organisaatiot noudattavat jäsenvaltioista Yhdysvaltoihin siirrettävien henkilötietojen suojan osalta yksityisyyden suojaa koskevia safe harbor -periaatteita, jäljempänä "periaatteet", ja tavallisimpien kysymysten -ohjetta periaatteiden täytäntöönpanemiseksi, jäljempänä "FAQ", jotka Yhdysvaltain hallitus on laatinut 21 päivänä heinäkuuta 2000. Organisaatioiden on lisäksi julkistettava yksityisyyden suojaa koskeva toimintalinjansa ja kuuluttava Federal Trade Commission Act -lain, jossa kielletään kauppaa koskevat tai kauppaan vaikuttavat sopimattomat tai harhaanjohtavat toimet tai käytännöt, 5 pykälän nojalla Federal Trade Commissionin (FTC) tai muun, FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta vastaavan lakisääteisen elimen toimivallan piiriin.

(6) Alat ja/tai tietojenkäsittelytoimet, jotka eivät kuulu tämän päätöksen liitteessä VII lueteltujen valtiollisten elinten toimivaltaan Yhdysvalloissa, eivät kuulu tämän päätöksen soveltamisalaan.

(7) Tämän päätöksen asianmukaisen soveltamisen varmistamiseksi asianomaisten osapuolten, kuten rekisteröityjen, tiedonviejien ja tietosuojaviranomaisten, on voitava tunnistaa periaatteita ja FAQ:ita noudattavat organisaatiot; sen vuoksi Yhdysvaltojen kauppaministeriön tai sen edustajan olisi otettava tehtäväkseen ylläpitää ja pitää yleisesti saatavilla luetteloa organisaatioista, jotka ilmoittavat noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita ja jotka kuuluvat ainakin yhden tämän päätöksen liitteessä VII luetellun valtiollisen elimen toimivallan piiriin.

(8) Avoimuuden saavuttamiseksi ja sen varmistamiseksi, että jäsenvaltioiden toimivaltaiset viranomaiset kykenevät turvaamaan yksityishenkilöiden suojan henkilötietoja käsiteltäessä, tässä päätöksessä on tarpeen määritellä poikkeukselliset olot, joissa tiettyjen tiedonsiirtojen keskeyttäminen olisi oikeutettua siitä huolimatta, että tietosuojan taso on todettu riittäväksi.

(9) Safe harbor -periaatteiden ja FAQ:iden tarkistaminen saattaa olla tarpeen yksityisyyden suojaan liittyvien kokemusten ja kehityksen perusteella, kun teknologia jatkuvasti yksinkertaistaa henkilötietojen siirtoa ja käsittelyä, ja niiden kertomusten perusteella, joita saadaan asiaa käsitteleviltä täytäntöönpanoviranomaisilta.

(10) Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut lausuntoja safe harbor -periaatteiden tarjoamasta tietosuojan tasosta Yhdysvalloissa. Lausunnot on otettu huomioon tämän päätöksen valmistelussa(4).

(11) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,

ON TEHNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

1. Direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi ja kaikkien direktiivin soveltamisalaan kuuluvien toimintojen osalta yksityisyyden suojaa koskevien, tämän päätöksen liitteenä I olevien safe harbor -periaatteiden, jäljempänä "periaatteet", joita sovelletaan Yhdysvaltojen kauppaministeriön 21 päivänä heinäkuuta 2000 julkaisemien ja tämän päätöksen liitteenä II olevien tavallisimpien kysymysten (Frequently Asked Questions, FAQ), jäljempänä "FAQ", tarjoaman ohjauksen mukaisesti, katsotaan varmistavan yhteisöstä Yhdysvaltoihin sijoittautuneille organisaatioille siirrettyjen henkilötietojen riittävän suojelun tason, ottaen huomioon seuraavat Yhdysvaltain kauppaministeriön julkaisemat asiakirjat:

a) periaatteiden noudattamista käsittelevä katsaus (esitetään liitteessä III);

b) muistio yksityisyyden loukkausten aiheuttamista vahingoista ja Yhdysvaltain lainsäädännön mukaiset täsmälliset valtuudet (esitetään liitteessä IV);

c) Federal Trade Commissionin kirje (esitetään liitteessä V);

d) Yhdysvaltain liikenneministeriön kirjelomake (esitetään liitteessä VI).

2. Jokaisen tietojen siirron on täytettävä seuraavat edellytykset:

a) tiedot vastaanottava organisaatio on yksiselitteisesti ja julkisesti ilmoittanut sitoutuvansa noudattamaan FAQ:iden mukaisesti sovellettuja periaatteita; ja

b) organisaatio kuuluu sellaisen tämän päätöksen liitteessä VII luetellun Yhdysvaltojen valtiollisen elimen lakisääteisen toimivallan piiriin, jolla on valtuudet tutkia valituksia ja määrätä korvauksia sopimattomista tai harhaanjohtavista käytännöistä sekä tarjota oikeuskeinoja yksityisille heidän asuinmaastaan tai kansallisuudestaan riippumatta, jos FAQ:iden mukaisesti sovellettavia periaatteita ei noudateta.

3. Edellä 2 kohdassa mainittujen edellytysten katsotaan kunkin organisaation, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, osalta täyttyvän siitä päivästä alkaen, jona organisaatio antaa Yhdysvaltojen kauppaministeriölle (tai sen nimeämälle) tiedoksi edellä 2 kohdan a alakohdassa tarkoitetun julkisesti ilmoitetun sitoumuksensa ja edellä 2 kohdan b alakohdassa tarkoitetun valtiollisen elimen nimen.

2 artikla

Tämä päätös koskee ainoastaan Yhdysvalloissa FAQ:iden mukaisesti sovellettavien periaatteiden tietosuojan riittävyyttä siinä tarkoituksessa, että direktiivin 95/46/EY 25 artiklan 1 kohdan vaatimukset täytettäisiin, eikä sillä ole vaikutusta direktiivin muiden, henkilötietojen käsittelyä jäsenvaltioissa koskevien säännösten, myöskään 4 artiklan, soveltamiseen.

3 artikla

1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten valtuuksia toteuttaa toimenpiteitä direktiivin 95/46/EY muiden säännösten kuin 25 artiklan noudattamiseksi annettujen kansallisten säännösten noudattamisen varmistamiseksi, jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan keskeyttää organisaatiolle, joka on ilmoittanut noudattavansa FAQ:iden mukaisesti sovellettavia periaatteita, suunnatut tietovirrat yksityishenkilöiden suojelemiseksi heitä koskevien henkilötietojen käsittelemisen osalta tapauksissa, joissa:

a) tämän päätöksen liitteessä VII tarkoitettu Yhdysvaltojen valtiollinen elin tai tämän päätöksen liitteessä I esitetyn täytäntöönpanoperiaatteen a luetelmakohdassa tarkoitettu riippumaton valitusmenettelyjärjestely on todennut, että organisaatio loukkaa FAQ:iden mukaisesti sovellettavia periaatteita; tai

b) on huomattavan todennäköistä, että periaatteita loukataan; on kohtuullinen syy uskoa, että asianomainen täytäntöönpano-organisaatio ei ole ryhtynyt tai ryhdy riittäviin ja ajankohtaisiin toimenpiteisiin kyseessä olevan tapauksen ratkaisemiseksi; tietojen siirron jatkaminen aiheuttaisi välittömän vakavan haitan vaaran rekisteröidyille; ja jäsenvaltion toimivaltaiset viranomaiset ovat olosuhteisiin nähden kohtuullisessa määrin pyrkineet antamaan organisaatiolle ilmoituksen ja tilaisuuden vastata siihen.

Keskeytystoimenpide lakkaa heti, kun FAQ:iden mukaisesti sovellettavien periaatteiden noudattaminen on varmistunut ja asianomaisille toimivaltaisille viranomaisille yhteisössä on siitä ilmoitettu.

2. Jäsenvaltiot ilmoittavat viipymättä komissiolle 1 kohdan nojalla toteutetuista toimenpiteistä.

3. Jäsenvaltiot ja komissio tiedottavat toisilleen myös tapauksista, joissa periaatteiden noudattamisesta Yhdysvalloissa vastuussa olevien elinten toiminta ei varmista FAQ:iden mukaisesti sovellettavien periaatteiden noudattamista.

4. Jos 1, 2 ja 3 kohdan mukaisesti saadut tiedot osoittavat, että jokin FAQ:iden mukaisesti sovellettavien periaatteiden noudattamisesta Yhdysvalloissa vastuussa oleva elin ei tosiasiallisesti täytä tehtäväänsä, komissio tiedottaa asiasta Yhdysvaltojen kauppaministeriölle ja esittää tarvittaessa direktiivin 95/46/EY 31 artiklassa säädetyn menettelyn mukaisesti luonnoksen toimenpiteistä, joiden tarkoituksena on kumota tämä päätös tai lykätä sen soveltamista tai rajoittaa sen soveltamisalaa.

4 artikla

1. Tätä päätöstä voidaan muuttaa milloin tahansa täytäntöönpanosta saatujen kokemusten perusteella ja/tai jos Yhdysvaltojen lainsäädäntö antaa periaatteita ja FAQ:ita paremman suojan.

Komissio arvioi tämän päätöksen täytäntöönpanon käytettävissä olevien tietojen perusteella kolme vuotta sen jälkeen, kun se on annettu tiedoksi jäsenvaltioille, ja toimittaa kaikki tärkeät huomiot direktiivin 95/46/EY 31 artiklalla perustetulle komitealle, myös kaiken aineiston, joka voi vaikuttaa tämän päätöksen 1 artiklan säännösten arviointiin direktiivin 95/46/EY 25 artiklassa tarkoitetun riittävän suojan osalta ja kaikki osoitukset siitä, että tätä päätöstä pannaan täytäntöön syrjivästi.

2. Komissio esittää tarvittaessa luonnoksen toimenpiteistä 31 artiklassa säädetyn menettelyn mukaisesti.

5 artikla

Jäsenvaltioiden on toteutettava kaikki tämän päätöksen noudattamisen edellyttämät toimenpiteet yhdeksänkymmenen päivän kuluessa siitä päivästä, jona se annettiin tiedoksi jäsenvaltioille.

6 artikla

Tämä päätös on osoitettu kaikille jäsenvaltioille.

Tehty Brysselissä 26 päivänä heinäkuuta 2000.

Komission puolesta

Frederik Bolkestein

Komission jäsen

(1) EYVL L 281, 23.11.1995, s. 31.

(2) Ks. internet-osoite http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

(3) WP 12: Henkilötietojen siirto kolmansiin maihin: EU:n tietosuojadirektiivin 25 ja 26 artiklan soveltaminen. Työryhmän 24 päivänä heinäkuuta 1998 hyväksymä.

(4) WP 15: Lausunto 1/99 tietosuojan tasosta Yhdysvalloissa ja Euroopan komission ja Yhdysvaltain hallituksen välillä käynnissä olevista keskusteluista.

WP 19: Lausunto 2/99 Yhdysvaltain kauppaministeriön 19 päivänä huhtikuuta 1999 julkaisemien kansainvälisten safe harbor -periaatteiden riittävyydestä.

WP 21: Lausunto 4/99 tavallisimmista kysymyksistä, jotka Yhdysvaltain kauppaministeriö julkaisee ehdotettujen kansainvälisten safe harbor -periaatteiden riittävyyteen liittyen.

WP 23: Euroopan komission ja Yhdysvaltain hallituksen välillä käytävien kansainvälisiä safe harbor -periaatteita käsittelevien neuvottelujen etenemistä koskeva valmisteluasiakirja.

WP 27: Lausunto 7/99 Yhdysvaltain kauppaministeriön 15 ja 16 päivänä marraskuuta 1999 julkaisemien safe harbor -periaatteiden ja niiden yhteydessä julkaistujen tavallisimpien kysymysten (FAQ) ja muiden näihin liittyvien asiakirjojen mukaisesta tietosuojan tasosta.

WP 31: Lausunto 3/2000 safe harbor -järjestelyä koskevasta EU:n ja Yhdysvaltojen vuoropuhelusta.

WP 32: Lausunto 4/2000 safe harbor -periaatteiden tarjoaman tietosuojan tasosta.

LIITE I

Yhdysvaltojen kauppaministeriön 21 päivänä heinäkuuta 2000 antamat

SAFE HARBOR -PERIAATTEET

Tietosuojaa koskeva Euroopan unionin direktiivi (jäljempänä "direktiivi") tuli voimaan 25. lokakuuta 1998. Siinä edellytetään, että henkilötietoja voidaan siirtää ainoastaan sellaisiin kolmansiin maihin, joissa on riittävä tietosuojataso. Yhdysvaltoja ja Euroopan unionia yhdistää sama tavoite: kansalaisten yksityisyyden suojelu. Yhdysvalloissa on kuitenkin omaksuttu asiaan erilainen lähestymistapa kuin Euroopan unionissa. Yhdysvalloissa käytetään alakohtaista lähestymistapaa, jossa yhdistyvät lainsäädäntö, sääntely ja itsesääntely. Näiden eroavaisuuksien vuoksi monet yhdysvaltalaiset organisaatiot ovat suhtautuneet epäilevästi vaikutuksiin, joita EU:n riittävän tietosuojan vaatimuksilla olisi EU:sta Yhdysvaltoihin siirrettäviin henkilötietoihin.

Yhdysvaltojen kauppaministeriö haluaa hälventää tällaisia epäilyksiä ja luoda ennustettavammat puitteet tällaisille tiedonsiirroille, ja tämän vuoksi se on laatinut tämän asiakirjan ja tietosuojaperiaatteisiin liittyvät tavallisimmat kysymykset (Frequently Asked Questions, FAQ) osana lakisääteisiä valtuuksiansa tukea, edistää ja kehittää kansainvälistä kauppaa. Periaatteet on laadittu yhdessä elinkeinoelämän ja kuluttajien edustajien kanssa Yhdysvaltojen ja Euroopan unionin välisen kaupankäynnin helpottamiseksi. Ne on tarkoitettu käytettäviksi yksinomaan yhdysvaltalaisissa yrityksissä, jotka saavat henkilötietoja Euroopan unionista ja jotka käyttävät periaatteiden noudattamista keinona safe harbor -järjestelmään osallistumiselle asetettujen kelpoisuusvaatimusten täyttämiseksi ja sen luoman tietosuojan riittävyyden olettamuksen saavuttamiseksi. Koska periaatteet on laadittu nimenomaan tätä tarkoitusta varten, niiden käyttö muissa yhteyksissä saattaa olla epäasianmukaista. Periaatteet eivät korvaa direktiivin täytäntöönpanoa varten annettuja kansallisia säädöksiä, joita sovelletaan henkilötietojen käsittelyyn jäsenvaltioissa.

Organisaatiot päättävät täysin vapaaehtoisesti, haluavatko ne liittyä safe harbor -järjestelmään, ja ne voidaan hyväksyä järjestelmään eri tavoin. Järjestelmään liittyvien organisaatioiden on noudatettava kyseisiä periaatteita saadakseen ja säilyttääkseen safe harbor -etuudet ja sitouduttava tähän julkisesti. Jos organisaatio esimerkiksi liittyy yksityissektorilla kehitettyyn, kyseisten periaatteiden mukaiseen tietosuojaohjelmaan, se saavuttaa kelpoisuuden safe harbor -järjestelmään. Organisaatio voi päästä mukaan myös kehittämällä omat tietosuojaa koskevat toimintalinjansa, mikäli ne ovat safe harbor -periaatteiden mukaiset. Jos periaatteiden noudattaminen perustuu organisaatiossa osittain tai kokonaan itsesääntelyyn ja jos organisaatio ei noudata kyseistä itsesääntelyä, noudattamatta jättämisestä on voitava nostaa kanne Federal Trade Commission Act -lain 5 pykälän nojalla, jossa kielletään kauppaa koskevat tai kauppaan vaikuttavat sopimattomat tai harhaanjohtavat toimet, tai vastaavan muun lain nojalla, jossa kielletään kyseiset toimet. (Ks. liite, jossa on luettelo EU:n tunnustamista Yhdysvaltojen lakisääteisistä elimistä). Lisäksi organisaatiot, joihin sovelletaan yleistä, sääntelevää, hallinnollista tai muuta lainsäädäntöä taikka säännöstöä, joka takaa tehokkaan henkilötietosuojan, voivat liittyä safe harbor -järjestelmään. Joka tapauksessa safe harbor -etuuksia sovelletaan siitä päivästä, jona järjestelmään haluava organisaatio ilmoittaa Yhdysvaltojen kauppaministeriölle (tai sen nimeämälle edustajalle), että se noudattaa kyseisiä periaatteita omaa varmennusta (self certification) koskevan FAQ:n mukaisesti.

Näiden periaatteiden noudattamista voidaan rajoittaa a) siinä määrin, kuin se on tarpeen kansallisen turvallisuuden, yleisen edun ja lainsäädännön vaatimusten vuoksi, b) lainsäädännöllä, hallituksen asetuksilla tai oikeuskäytännöllä, joilla syntyy ristiriitaisia velvoitteita tai joilla selkeästi annetaan lupa tiettyyn toimintaan, sillä edellytyksellä, että aina tällaista lupaa käyttäessään organisaatio voi osoittaa, että periaatteiden noudattamatta jättäminen rajoittuu siihen, mikä on tarpeen tällaisen lupaan liittyvän oikeutetun ja ensisijaisen tavoitteen täyttämiseksi, c) jos direktiivissä tai jäsenvaltion lainsäädännössä sallitaan poikkeuksia ja jos tällaisia poikkeuksia sovelletaan vastaavissa yhteyksissä. Yksityisyyden suojan kohentamista koskevan tavoitteen mukaisesti organisaatioiden tulisi pyrkiä toteuttamaan nämä periaatteet täysimittaisesti ja avoimesti ja osoittamaan yksityisyyden suojaa koskevassa politiikassaan, missä kohdin edellä b kohdassa sallittuja periaatteiden poikkeuksia sovelletaan säännönmukaisesti. Jos vaihtoehto on sallittu periaatteiden ja/tai Yhdysvaltojen lainsäädännön nojalla, organisaatioiden odotetaan samasta syystä noudattavan tiukempaa suojaa, kun tämä on mahdollista.

Organisaatiot saattavat haluta käytännöllisistä tai muista syistä soveltaa tietosuojaperiaatteita kaikkeen käsittelemäänsä tietoon, muuta ne ovat velvoitettuja soveltamaan niitä tietoon, joka on siirretty vasta niiden liityttyä safe harbor -järjestelmään. Tullakseen hyväksytyiksi safe harbor -järjestelmään organisaatioiden ei tarvitse soveltaa näitä periaatteita manuaalisesti käsiteltävissä rekisteröintijärjestelmissä oleviin henkilötietoihin. Organisaatioiden, jotka haluavat hyödyntää safe harbor -periaatteita tietojen saamiseksi manuaalisesti käsiteltävistä rekisteröintijärjestelmistä EU:sta, on sovellettava periaatteita kaikkiin tällaisiin tietoihin safe harbor -järjestelmään liittymisen jälkeen. Organisaation, joka haluaa hyödyntää safe harbor -järjestelmän etuja myös henkilöstöä koskeviin tietoihin, jotka on siirretty EU:sta työsuhteen yhteydessä käytettäviksi, on ilmoitettava tästä antaessaan oman varmennuksensa Yhdysvaltojen kauppaministeriölle (tai sen edustajalle) ja noudatettava omaa varmennusta koskevassa FAQ:ssa asetettuja vaatimuksia.

Organisaatiot voivat myös taata direktiivin 26 artiklan mukaiset tarpeelliset suojatoimet käyttämällä periaatteita kirjallisissa sopimuksissa, joita ne tekevät EU:sta tietoa siirtävien osapuolten kanssa riittävästä yksityisyyden suojasta, kun komissio ja jäsenvaltiot ovat hyväksyneet mallisopimuksen muut säännöt.

Yhdysvaltojen lainsäädäntöä sovelletaan kysymyksiin, jotka liittyvät safe harbor -periaatteiden (myös FAQ:iden) ja tietosuojaa koskevien toimintalinjojen tulkintaan ja noudattamiseen safe harbor -järjestelmään kuuluvissa organisaatioissa. Poikkeuksena ovat organisaatiot, jotka ovat sitoutuneet yhteistyöhön Euroopan tietosuojaviranomaisten kanssa. Ellei toisin mainita, sovelletaan kaikkia safe harbor -periaatteiden ja tavallisimpien kysymysten (FAQ:t) asianmukaisia sääntöjä.

Henkilötiedoilla tarkoitetaan jossakin muodossa rekisteröityjä tunnistetun tai tunnistettavan henkilön tietoja, joihin sovelletaan direktiiviä ja jotka yhdysvaltalainen organisaatio on vastaanottanut EU:sta.

ILMOITUS

Organisaation on ilmoitettava yksityishenkilöille, mihin tarkoitukseen se kerää ja käyttää heitä koskevia tietoja, miten organisaatioon saa yhteyden lisätietoja ja valituksia varten, minkälaisille kolmansille osapuolille se antaa tietoja sekä minkälaisia valintoja ja keinoja organisaatio tarjoaa henkilöille tietojen käytön ja luovuttamisen rajoittamiseksi. Ilmoitus on tehtävä selkeästi ja yksiselitteisesti samassa yhteydessä, kun henkilöitä ensimmäisen kerran pyydetään antamaan henkilötietoja organisaatiolle tai niin pian tämän jälkeen kuin mahdollista. Ilmoitus on joka tapauksessa tehtävä ennen kuin organisaatio käyttää tällaisia tietoja muuhun tarkoitukseen kuin siihen, mitä varten tiedot on alun perin kerätty tai mitä varten tiedot siirtävä organisaatio on ne käsitellyt tai luovuttaa ne ensimmäisen kerran kolmannelle osapuolelle.(1).

VALINTA

Organisaation on tarjottava rekisteröidyille mahdollisuus valita (opt out), voiko heidän henkilötietojaan a) antaa kolmannelle osapuolelle(2) tai b) käyttää tarkoitukseen, joka ei vastaa tietojen keruun alkuperäistä tarkoitusta tai tarkoitusta, johon rekisteröity on myöhemmin antanut luvan. Rekisteröidyille on annettava selkeät, yksiselitteiset, helposti käytettävissä olevat ja kustannuksiltaan kohtuulliset keinot valintamahdollisuuden käyttämiseen.

Arkaluonteisten tietojen osalta (esim. henkilötiedot, jotka koskevat henkilön terveydentilaa, rotua tai etnistä alkuperää, poliittista kantaa, uskonnollista tai eettistä vakaumusta, kuulumista ammattiliittoon tai sukupuolista suuntautumista) kyseisten henkilöiden on tehtävä myönteinen tai selkeästi ilmaistu (opt in) valinta, jos tietoja aiotaan antaa kolmannelle osapuolelle tai käyttää muuhun kuin alkuperäiseen tarkoitukseen kuin mihin henkilö on aiemmin antanut selkeän suostumuksensa tehdessään valinnan (opt in). Organisaation on joka tapauksessa pidettävä arkaluontoisina kaikkia kolmannelta osapuolelta saatuja tietoja, jos kyseinen kolmas osapuoli ilmoittaa tiedot arkaluonteisiksi ja pitää niitä sellaisina.

TIEDON SIIRTÄMINEN EDELLEEN

Organisaatio voi antaa tietoja kolmannelle osapuolelle ainoastaan ilmoitus- ja valintaperiaatteiden mukaisesti. Organisaatio voi halutessaan antaa tietoja kolmannelle osapuolelle, joka toimii kyseisen organisaation puolesta (kuten alaviitteessä kuvataan), jos se ensin varmistaa, että kolmas osapuoli noudattaa safe harbor -periaatteita tai on direktiivin tai muun tietosuojan riittävyyden takaavan säädöksen alainen, taikka jos organisaatio tekee kolmannen osapuolen kanssa kirjallisen sopimuksen, jossa vaaditaan, että kolmas osapuoli tarjoaa vähintään samantasoisen suojan kuin vastaavilla safe harbor -periaatteilla taataan. Jos organisaatio noudattaa näitä edellytyksiä, sitä ei pidetä vastuullisena (ellei organisaatio itse toisin sovi), jos kolmas osapuoli, jolle se siirtää tietoja, käsittelee niitä rajoitusten tai ehtojen vastaisesti, lukuun ottamatta tapauksia, joissa organisaatio tietää tai sen pitäisi tietää, että kolmas osapuoli aikoo käsitellä tietoja periaatteiden vastaisesti eikä se ole ryhtynyt kohtuullisiin toimiin estääkseen tai keskeyttääkseen tällaisen tietojen käsittelyn.

TURVALLISUUS

Organisaatioiden, jotka luovat, säilyttävät, käyttävät tai toimittavat edelleen henkilötietoja, on toteutettava riittävät varotoimet tietojen katoamisen, väärinkäytösten ja vääriin käsiin joutumisen, paljastumisen, muuttamisen ja hävittämisen ehkäisemiseksi.

TIETOJEN KOSKEMATTOMUUS

Näiden periaatteiden mukaisesti henkilötietojen on liityttävä siihen tarkoitukseen, johon niitä on määrä käyttää. Organisaatio ei saa käsitellä henkilötietoja tavalla, joka ei sovi niiden alkuperäiseen käyttötarkoitukseen tai johon kyseinen henkilö ei ole antanut suostumustaan. Organisaation on toteutettava tarvittavat toimet sen varmistamiseksi, että tiedot ovat käyttötarkoitukseensa nähden luotettavia ja että ne ovat tarkkoja, täydellisiä ja ajantasaisia.

TIEDONSAANTI

Henkilöiden on saatava itseään koskevat tiedot organisaatiolta ja voitava korjata, muuttaa tai poistaa tiedot, jotka eivät ole paikkansapitäviä. Tätä ei kuitenkaan sovelleta, jos tiedonsaannista aiheutuvat ongelmat tai kustannukset olisivat suhteettoman suuret verrattuina tietosuojaan kohdistuviin riskeihin kyseisessä tapauksessa tai jos muun kuin kyseisen henkilön lakisääteisiä oikeuksia loukattaisiin.

TÄYTÄNTÖÖNPANO

Tehokkaaseen tietosuojaan on sisällyttävä menettelyt, joilla varmistetaan tietosuojaperiaatteiden noudattaminen ja organisaatiolle koituvat seuraamukset niiden noudattamatta jättämisestä. Siihen on myös sisällyttävä valitusmenettely, johon henkilö voi vedota silloin, kun häntä koskeviin tietoihin ei ole sovellettu periaatteita. Tällaisiin menettelyihin on sisällyttävä vähintäänkin seuraavat seikat: a) helposti käytettävissä oleva ja kohtuuhintainen riippumaton valitusmenettely, jolla tutkitaan kunkin henkilön valitus ja ratkaistaan kiistat tietosuojaperiaatteita noudattaen sekä myönnetään vahingonkorvaukset sovellettavan lainsäädännön tai yksityissektorin aloitteiden mukaisesti, b) seurantamenettelyt, joilla varmistetaan, että yritysten antamat vakuutukset niiden noudattamasta yksityisyyden suojasta pitävät paikkansa ja että yksityisyyden suoja on toteutettu esitetyllä tavalla ja c) organisaatioille asetettava velvoite korjata ongelmat, jotka johtuvat siitä, että ne eivät noudata ilmoittamallaan tavalla periaatteita, ja tällaisille organisaatioille koituvat seuraamukset. Seuraamusten on oltava riittävän vakavat, jotta niillä voidaan varmistaa, että organisaatiot noudattavat periaatteita.

(1) Ilmoitusta tai valintamahdollisuutta ei tarvita, kun tiedot annetaan kolmannelle osapuolelle, joka toimii kyseisen organisaation puolesta ja sen ohjeiden mukaisesti suorittaessaan tiettyä tehtävää (tai tehtäviä). Tällaiseen tietojen antamiseen sovelletaan kuitenkin tiedon edelleen siirtämistä koskevaa periaatetta.

(2) Ilmoitusta tai valintamahdollisuutta ei tarvita, kun tiedot annetaan kolmannelle osapuolelle, joka toimii kyseisen organisaation puolesta ja sen ohjeiden mukaisesti suorittaessaan tiettyä tehtävää (tai tehtäviä). Tällaiseen tietojen antamiseen sovelletaan kuitenkin tiedon edelleen siirtämistä koskevaa periaatetta.

Liite

Luettelo Euroopan unionin tunnustamista Yhdysvaltojen valtiollisista elimistä

Euroopan unioni tunnustaa, että seuraavilla Yhdysvaltojen valtiollisilla elimillä on valtuudet tutkia valituksia ja määrätä korvauksia sopimattomista ja harhaanjohtavista käytännöistä sekä tarjota oikeuskeinoja yksityisille, jos FAQ:iden mukaisesti sovellettavia periaatteita ei noudateta:

- Federal Trade Commission, jonka toimivalta perustuu Federal Trade Commission Act -lain 5 pykälään,

- Department of Transportation (Yhdysvaltojen liikenneministeriö), jonka toimivalta perustuu United States Coden 49 osaston 41712 pykälään.

LIITE II

TAVALLISIMMAT KYSYMYKSET (FAQ:t)

FAQ 1 - Arkaluonteiset tiedot

Kysymys: Onko organisaation aina annettava nimenomainen valintamahdollisuus "opt in" arkaluonteisten tietojen osalta?

Vastaus: Ei, tällaista valintaa ei vaadita, kun tietojen käsittely 1) on tarpeen rekisteröidyn tai muun henkilön elintärkeän edun suojaamiseksi; 2) on tarpeen oikeusvaateen laatimiseksi tai puolustamiseksi; 3) on tarpeen lääketieteellisen hoidon antamiseksi tai diagnoosin tekemiseksi; 4) suoritetaan poliittisen, filosofisen, uskonnollisen tai ammattiyhdistystoimintaan liittyvän säätiön, yhdistyksen tai minkä tahansa muun voittoa tavoittelemattoman elimen laillisen toiminnan yhteydessä ja sillä edellytyksellä, että käsittely koskee ainoastaan näiden elinten jäseniä tai henkilöitä, joilla on niihin säännölliset elinten tarkoituksiin liittyvät yhteydet ja että tietoja ei luovuteta sivullisille ilman rekisteröityjen suostumusta; 5) on tarpeen organisaation velvoitteiden noudattamiseksi työoikeuden alalla; tai 6) koskee tietoja, jotka henkilö on nimenomaisesti saattanut julkisiksi.

FAQ 2 - Journalistiset poikkeukset

Kysymys: Sovelletaanko safe harbor -periaatteita journalistisia tarkoituksia varten kerättyihin, ylläpidettyihin tai levitettyihin henkilötietoihin ottaen huomioon Yhdysvaltojen perustuslain takaama lehdistön vapaus ja direktiivin journalistista aineistoa koskeva poikkeussääntö?

Vastaus: Jos Yhdysvaltojen perustuslain ensimmäisessä muutoksessa ilmaistut vapaan lehdistön oikeudet ovat ristiriidassa yksityisyyden suojaan liittyvien etujen kanssa, perustuslain ensimmäisen muutoksen on ohjattava näiden etujen tasapainottamista yhdysvaltalaisten henkilöiden ja organisaatioiden toimien osalta. Safe harbor -periaatteiden vaatimukset eivät koske henkilötietoja, jotka on kerätty julkaisemista, radiolähetystoimintaa tai muuta journalistisen aineiston julkista viestintää varten siitä riippumatta, käytetäänkö tietoja vai ei, eivätkä tietoa, joka löytyy aikaisemmin julkaistusta tiedotusvälineiden arkistoista levitetystä aineistosta.

FAQ 3 - Toissijainen vastuu

Kysymys: Ovatko Internet-palveluntarjoajat, televiestinnän harjoittajat tai muut organisaatiot safe harbor -periaatteiden mukaan vastuussa, jos ne toisen organisaation puolesta pelkästään siirtävät, reitittävät, välittävät tai varastoivat tietoja, jotka saattavat loukata näitä periaatteita?

Vastaus: Eivät. Safe harbor -periaatteet eivät luo toissijaista vastuuta, mikä pitää paikkansa myös itse direktiivin osalta. Siinä määrin kuin organisaatio toimii pelkästään kolmansien osapuolien siirtämän tiedon kanavana eikä itse määrittele henkilötietojen käsittelyn tarkoitusta ja tapaa, se ei ole vastuussa.

FAQ 4 - Investointipankit ja tilintarkastukset

Kysymys: Tilintarkastajien ja investointipankkien toimintaan saattaa sisältyä henkilötietojen käsittelyä ilman, että asianomainen henkilö on antanut siihen suostumuksensa tai tietää siitä. Millä edellytyksillä tämä on sallittua ilmoitusta, valintaa ja tiedonsaantia koskevien periaatteiden puitteissa?

Vastaus: Investointipankit tai tilintarkastajat voivat käsitellä tietoja asianomaisen tietämättä ainoastaan siinä määrin ja niin kauan kuin on tarpeen lakisääteisten tai yleisen edun mukaisten vaatimusten täyttämiseksi, sekä lisäksi olosuhteissa, joissa näiden periaatteiden soveltaminen vaikuttaisi haitallisesti organisaation oikeutettuihin etuihin. Oikeutettuja etuja ovat muun muassa oikeus valvoa, että yritykset noudattavat lainmukaisia velvoitteitaan ja tilintarkastusmenettelyä, samoin kuin luottamuksellisuus, kun on kyse mahdollisista yritysostoista, sulautumisista, yhteisyrityksistä, tai muista vastaavista investointipankkien tai tilintarkastajien toteuttamista toimista.

FAQ 5(1) - Tietosuojaviranomaisten tehtävä

Kysymys: Miten EU-maiden tietosuojaviranomaisten kanssa tehtävään yhteistyöhön sitoutuvat yritykset tekevät sitoumuksensa ja miten ne pannaan täytäntöön?

Vastaus: EU:sta henkilötietoja vastaanottavien yhdysvaltalaisten organisaatioiden on safe harbor -järjestelmässä sitouduttava käyttämään tehokkaita menettelyjä varmistaakseen safe harbor -periaatteiden noudattamisen. Niiden on etenkin, kuten täytäntöönpanoperiaatteessa on mainittu, a) järjestettävä valitusmahdollisuus henkilöille, joita tiedot koskevat, b) varmistettava seurannan avulla, että organisaatioiden antamat vakuutukset niissä noudatettavasta yksityisyyden suojaa koskevasta käytännöstä pitävät paikkansa, ja c) velvoitettava organisaatiot korjaamaan periaatteiden noudattamatta jättämisestä aiheutuvat ongelmat ja määrättävä organisaatioille tästä aiheutuvat seuraamukset. Organisaatio voi täyttää täytäntöönpanoperiaatteen a ja c kohdan vaatimukset noudattamalla tämän FAQ:n vaatimuksia yhteistyöstä tietosuojaviranomaisten kanssa.

Organisaatio voi sitoutua yhteistyöhön tietosuojaviranomaisten kanssa ilmoittamalla kauppaministeriölle osoittamassaan safe harbor -varmennuksessa (katso omaa varmennusta koskeva FAQ 6), että se

1) on päättänyt täyttää safe harbor -järjestelmän täytäntöönpanoperiaatteen a ja c kohdan mukaiset vaatimukset sitoutumalla yhteistyöhön tietosuojaviranomaisten kanssa;

2) tutkii ja ratkaisee safe harbor -järjestelmän mukaisesti tehdyt valitukset yhteistyössä tietosuojaviranomaisten kanssa; ja

3) noudattaa kaikkia tietosuojaviranomaisten antamia ohjeita, joiden mukaan sen on safe harbor -periaatteiden noudattamiseksi toteutettava erityistoimia, joihin kuuluvat myös oikeuskeinot ja korvaukset niiden asianosaisten hyväksi, joihin periaatteiden noudattamatta jättäminen on vaikuttanut, sekä antaa tietosuojaviranomaisille kirjallisen vahvistuksen edellä mainittujen toimien toteuttamisesta.

Tiedotuksesta ja neuvonnasta muodostuva tietosuojaviranomaisten yhteistyö järjestetään seuraavasti:

- Neuvonnasta vastaa Euroopan tasoinen epävirallinen tietosuojaviranomaisten paneeli, joka muun muassa auttaa yhtenäisen ja johdonmukaisen lähestymistavan varmistamisessa.

- Paneeli antaa yhdysvaltalaisille organisaatioille ohjeita yksityishenkilöiden tekemistä, ratkaistavina olevista valituksista, jotka koskevat Euroopasta safe harbor -järjestelmän mukaisesti siirrettyjen henkilötietojen käsittelyä. Näillä ohjeilla on tarkoitus varmistaa, että safe harbor -periaatteita sovelletaan asianmukaisesti. Ohjeet sisältävät myös tiedot asianosaiselle (asianosaisille) tarjottavista oikeuskeinoista, joita tietosuojaviranomaiset pitävät asianmukaisina.

- Paneeli antaa ohjeita tapauksista, joita organisaatiot ovat siirtäneet sen käsiteltäviksi, ja/tai tietosuojaviranomaisten kanssa safe harbor -yhteistyöhön sitoutuneita organisaatioita koskevista valituksista, jotka se saa suoraan yksityishenkilöiltä. Samalla se kannustaa ja tarvittaessa auttaa valituksen tekijöitä turvautumaan ensin organisaation sisäisiin valitusmenettelyihin.

- Ohjeet annetaan vasta, kun kiistan molemmilla osapuolilla on ollut asianmukainen tilaisuus esittää haluamansa huomiot ja todistusaineisto. Paneeli pyrkii antamaan ohjeet niin nopeasti kuin asianmukainen menettely sallii. Yleissääntönä on, että paneeli antaa ohjeet 60 päivän kuluessa valituksen tai sille siirretyn tapauksen vastaanottamisesta tai mahdollisuuksien mukaan lyhyemmässä ajassa.

- Paneeli julkistaa vastaanottamiensa valitusten käsittelyn tulokset, jos se katsoo tämän tarpeelliseksi.

- Ohjeiden antaminen ei aseta paneelia tai yksittäisiä tietosuojaviranomaisia minkäänlaiseen vastuuseen.

Kuten edellä todettiin, tämän riitojenratkaisumenettelyn valitsevien organisaatioiden on sitouduttava noudattamaan tietosuojaviranomaisten ohjeita. Jos organisaatio ei noudata periaatteita 25 päivän kuluessa ohjeiden antamisesta eikä ole antanut tyydyttävää selitystä viivästykselle, paneeli ilmoittaa, että se siirtää asian Federal Trade Commissionille tai muulle Yhdysvaltain liitto- tai osavaltion elimelle, jolla on lakisääteiset täytäntöönpanovaltuudet vilpillistä tai harhauttavaa menettelyä koskevissa asioissa, tai että se pitää yhteistyösopimusta vakavan sopimusrikkomuksen vuoksi mitättömänä. Jälkimmäisessä tapauksessa paneeli ilmoittaa mitättömyydestä Yhdysvaltain kauppaministeriölle (tai sen nimeämälle edustajalle), jotta safe harbor -järjestelmään osallistuvien organisaatioiden luetteloa voidaan muuttaa tarvittavalla tavalla. Jos sitoumusta tietosuojaviranomaisten kanssa tehtävästä yhteistyöstä tai safe harbor -periaatteita ei noudateta, voidaan nostaa vilpillistä menettelyä koskeva kanne Federal Trade Commissionista annetun lain 5 pykälän tai muun vastaavan lain säännöksen nojalla.

Tämän vaihtoehdon valitsevilta organisaatioilta veloitetaan vuosimaksu, jolla on tarkoitus kattaa paneelin toimintakulut, ja organisaatioilta voidaan tämän lisäksi veloittaa tarpeelliset käännöskulut, joita aiheutuu, kun paneeli käsittelee niitä vastaan tehtyjä valituksia. Vuosimaksu on enintään 500 Yhdysvaltain dollaria, ja se on pienempi pienille yhtiöille.

Tietosuojaviranomaisten kanssa tehtävän yhteistyön voivat valita organisaatiot, jotka liittyvät safe harbor -järjestelmään sen kolmen toimintavuoden aikana. Tietosuojaviranomaiset tarkastelevat tätä vaihtoehtoa uudelleen kolmivuotisjakson lopulla, jos sen valinneiden yhdysvaltalaisten organisaatioiden määrä osoittautuu liian suureksi.

FAQ 6 - Oma varmennus

Kysymys: Miten organisaatio voi käyttää omaa varmennusta todistaakseen, että se noudattaa safe harbor -periaatteita?

Vastaus: Safe harbor -järjestelmän edut taataan siitä päivästä lähtien, kun organisaatio itse, jäljempänä esitettävien ohjeiden mukaisesti, ilmoittaa kauppaministeriölle (Department of Commerce) tai sen tähän tarkoitukseen nimeämälle edustajalle noudattavansa periaatteita.

Todistaakseen itse kelpoisuutensa osallistua safe harbor -järjestelmään organisaatiot voivat toimittaa kauppaministeriölle tai sen nimeämälle edustajalle järjestelmään liittyvää organisaatiota edustavan toimihenkilön allekirjoittaman kirjeen, joka sisältää vähintään seuraavat tiedot:

1) organisaation nimi, postiosoite, sähköpostiosoite, puhelin- ja faksinumerot;

2) kuvaus organisaation toiminnoista, jotka liittyvät EU:sta saataviin henkilötietoihin;

3) kuvaus tällaisia henkilötietoja koskevasta organisaation yksityisyyspolitiikasta, myös seuraavat tiedot: a) missä sitä koskevaa tietoa on yleisön saatavilla; b) sen tosiasiallinen täytäntöönpanopäivä; c) yhteystoimisto valitusten käsittelyä, tiedonsaantipyyntöjä ja muiden safe harbor -järjestelmään liittyvien kysymysten käsittelyä varten; d) erityinen lakisääteinen elin, joka on toimivaltainen käsittelemään kaikki mahdollisesti harhauttavia tai vilpillisiä käytäntöjä ja yksityisyyden suojaa koskevien lakien tai asetusten rikkomisia koskevat organisaatioon kohdistetut vaatimukset (ja joka mainitaan periaatteiden liitteessä); e) kaikkien niiden yksityisyyttä suojaavien ohjelmien nimet, joihin organisaatio on liittynyt; f) todentamismenetelmä (esim. sisäinen tai sivullisen suorittama todentaminen)(2); ja g) riippumaton valitusmenettely, joka on käytettävissä ratkaisemattomien valitusten tutkimiseksi.

Jos organisaatio haluaa, että sen safe harbor -edut kattavat henkilöstöä koskevat tiedot, joita siirretään EU:sta käytettäväksi työsuhteen yhteydessä, se voi saada tällaisen kattavuuden siellä, missä on erityinen lakisääteinen elin, joka on toimivaltainen käsittelemään henkilöstöä koskevien tietojen suojaa koskevat organisaatioon kohdistetut vaatimukset ja joka mainitaan periaatteiden liitteessä. Lisäksi organisaation on ilmoitettava omassa varmennuksessaan, että se haluaa kattaa tällaiset henkilöstöä koskevat tiedot, että se sitoutuu tekemään yhteistyötä EU:n viranomaisten kanssa FAQ 9:n ja FAQ 5:n mukaisesti ja että se noudattaa näiden viranomaisten ohjeita.

Jos organisaatio haluaa, että sen safe harbor -edut kattavat henkilöstöä koskevat tiedot, joita siirretään EU:sta käytettäväksi työsuhteen yhteydessä, sen on ilmoitettava omassa varmennuksessaan, että se haluaa kattaa tällaiset henkilöstöä koskevat tiedot, että se sitoutuu tekemään yhteistyötä EU:n viranomaisten kanssa FAQ 9:n ja FAQ 5:n mukaisesti ja että se noudattaa näiden viranomaisten ohjeita.

Kauppaministeriö (tai sen nimeämä edustaja) pitää luetteloa kaikista organisaatioista, jotka ovat toimittaneet tällaisia kirjeitä, jolloin varmistetaan safe harbor -etujen käytettävyys. Se myös päivittää luettelon vuosittain toimitettavien kirjeiden ja FAQ 11:n mukaisesti saatujen ilmoitusten perusteella. Omaa varmennusta koskeva kirje on toimitettava vähintään vuosittain. Jos kirjettä ei toimiteta, kyseinen organisaatio poistetaan luettelosta eikä sille enää myönnetä safe harbor -etuja. Sekä luettelo että organisaatioiden toimittamat omaa varmennusta koskevat kirjeet saatetaan yleisesti saataville. Kaikkien organisaatioiden, jotka antavat oman varmennuksensa safe harbor -järjestelmää varten, on myös ilmoitettava julkaistavissa, tämän alan yksityisyyden suojaohjelmaa koskevissa lausunnoissaan, että ne noudattavat safe harbor -periaatteita.

Sitoutumista safe harbor -periaatteiden noudattamiseen ei rajoiteta ajallisesti niiden tietojen osalta, jotka organisaatio on saanut ollessaan oikeutettu safe harbor -etuihin. Sitoutuminen merkitsee, että organisaatio soveltaa periaatteita tällaisiin tietoihin niin kauan kuin organisaatio tallentaa, käyttää tai luovuttaa niitä, vaikka se olisi myöhemmin mistä tahansa syystä jättäytynyt safe harbor -järjestelmän ulkopuolelle.

Organisaation, joka lakkaa olemasta erillinen oikeudellinen yksikkö sulautumisen tai yritysoston seurauksena, on ilmoitettava kauppaministeriölle (tai sen nimeämälle edustajalle) tästä etukäteen. Ilmoitukseen on myös sisällyttävä tieto siitä, onko organisaation haltuun ottava yksikkö tai sulautumisessa muodostuva yksikkö 1) edelleen sidoksissa safe harbor -periaatteisiin yritysostoa tai sulautumista koskevan oikeustoimen kautta tai 2) haluaako se antaa oman varmennuksen safe harbor -periaatteiden noudattamisesta tai toteuttaa muita suojatoimenpiteitä, kuten kirjallisen sopimuksen, jolla taataan safe harbor -periaatteiden noudattaminen. Siinä tapauksessa, että kumpikaan vaihtoehdoista 1 ja 2 ei sovellu, kaikki safe harbor -järjestelyn kautta saadut tiedot on viipymättä tuhottava.

Organisaation ei tarvitse soveltaa safe harbor -periaatteita kaikkiin henkilötietoihin, mutta sen on sovellettava safe harbor -periaatteita kaikkiin niihin henkilötietoihin, jotka se saa EU:sta safe harbor -järjestelmään liittymisensä jälkeen.

Jos organisaatio antaa yleisölle vääriä tietoja safe harbor -periaatteiden noudattamisesta, liittovaltion kauppakomissio (Federal Trade Commission) tai muu asianomainen hallintoelin voi nostaa organisaatiota vastaan kanteen. Kauppaministeriölle (tai sen nimeämälle edustajalle) toimitetut väärät tiedot voivat johtaa toimiin vääristä ilmoituksista annetun False Statements Act -lain (18USC § 1001) nojalla.

FAQ 7 - Todentaminen

Kysymys: Miten organisaatiot järjestävät seurantamenettelyn, jolla varmistetaan, että niiden antamat vakuutukset safe harbor -järjestelmän mukaisesta yksityisyyden suojasta pitävät paikkansa ja että tällainen yksityisyyden suoja on toteutettu esitetyllä tavalla ja safe harbor -periaatteiden mukaisesti?

Vastaus: Täyttääkseen täytäntöönpanoperiaatteen mukaiset todentamisvaatimukset organisaatio voi todentaa annettujen vakuutusten paikkansapitävyyden arvioinnilla, jonka suorittaa organisaatio itse tai jokin ulkopuolinen taho.

Itsearvioinnista olisi käytävä ilmi, että organisaation ilmoittaman, EU:n alueelta saatuja henkilötietoja koskeva yksityisyyden suojamenettely on täsmällinen, kattava, selkeästi esitetty, täydellisesti toteutettu ja helposti käytettävissä. Lisäksi arvioinnin olisi osoitettava, että organisaation menettely on safe harbor -periaatteiden mukainen, että rekisteröidylle kerrotaan organisaation sisäisestä valitusmenettelystä ja käytettävissä olevista organisaatiosta riippumattomista valitusmenettelyistä, että organisaation henkilöstö saa koulutusta menettelyn toteuttamiseksi ja laiminlyöntitapauksia varten on kurinpitomenettely ja että organisaatiolla on sisäiset menettelyt, joilla ajoittain arvioidaan objektiivisesti edellä mainittujen vaatimusten täyttymistä. Yrityksen toimihenkilön tai muun valtuutetun edustajan on vähintään kerran vuodessa allekirjoitettava itsearviointia koskeva ilmoitus, joka on saatettava rekisteröityjen tietoon joko heidän pyynnöstään taikka tutkinnan tai periaatteiden noudattamatta jättämistä koskevan valitusmenettelyn yhteydessä.

Organisaatioiden on pidettävä kirjaa safe harbor -järjestelmän mukaisten yksityisyyden suojaa koskevien käytänteidensä täytäntöönpanosta, jotta tutkinnan tai valitusmenettelyn yhteydessä tietoja voidaan pyynnöstä toimittaa valituksia käsittelevälle riippumattomalle elimelle tai elimelle, jolla on toimivalta sopimattomia ja harhaanjohtavia käytäntöjä koskevissa asioissa.

Jos organisaatio on valinnut ulkopuolisen suorittaman arvioinnin, siitä on käytävä ilmi, että EU:n alueelta saatuja henkilötietoja koskeva yksityisyyden suojamenettely on safe harbor -periaatteiden mukainen, että menettelyä noudatetaan ja että asianomaisille kerrotaan valitusmenettelyistä. Arviointimenetelmille ei ole rajoituksia: arviointiin voidaan käyttää haastatteluja, sattumanvaraisia tarkastuksia, houkuttimia, teknisiä apuvälineitä tai muita sopivia keinoja. Arvioinnista laaditaan vähintään kerran vuodessa ilmoitus, josta käy ilmi, että arviointi on viety onnistuneesti loppuun. Ilmoituksessa on oltava arvioijan, yrityksen toimihenkilön tai muun sen valtuuttaman edustajan allekirjoitus. Ilmoituksen on pyynnöstä oltava asianomaisten saatavilla, ja sen on oltava käytettävissä periaatteiden noudattamista koskevan tutkinnan tai valitusmenettelyn yhteydessä.

FAQ 8 - Tiedonsaanti

Tiedonsaantiperiaate

Henkilöiden on saatava itseään koskevat tiedot organisaatiolta ja voitava korjata, muuttaa tai poistaa tiedot, jotka eivät ole paikkansapitäviä. Tätä ei kuitenkaan sovelleta, jos tiedonsaannista aiheutuvat ongelmat tai kustannukset olisivat suhteettoman suuret verrattuina tietosuojaan kohdistuviin riskeihin kyseisessä tapauksessa tai jos muun kuin kyseisen henkilön lakisääteisiä oikeuksia loukattaisiin.

Kysymys 1: Onko tiedonsaantioikeus absoluuttinen?

Vastaus 1: Ei. Safe harbor -periaatteiden mukaan tiedonsaanti on yksityisyyden suojan perusoikeuksia. Sen perusteella rekisteröity voi tarkistaa häntä itseään koskevan tiedon paikkansapitävyyden. Kuitenkin organisaation velvollisuuteen antaa henkilölle häntä itseään koskevaa tietoa sovelletaan suhteellisuus- tai kohtuusperiaatetta, ja tietyissä tapauksissa oikeutta on lievennettävä. Vuonna 1980 hyväksytyistä yksityisyyden suojaa koskevien OECD:n suuntaviivojen perusteluista käy selkeästi ilmi, ettei organisaation tiedonantovelvollisuus ole absoluuttinen. Velvollisuus ei edellytä esimerkiksi haasteen vaatimaa äärimmäisen perusteellista tiedonhakua tai tiedonsaantia kaikista organisaation rekisterimuodoista.

Kokemus on pikemminkin osoittanut, että rekisteröidyn tiedonsaantipyyntöön vastatessaan organisaation on kiinnitettävä huomiota siihen, miksi tietoja halutaan. Jos tiedonsaantipyyntö on esimerkiksi epämääräinen tai laaja-alainen, organisaatio voi tiedustella asiaa kyseiseltä henkilöltä, jotta tilanne ymmärrettäisiin paremmin ja jotta halutut tiedot löytyisivät helpommin. Organisaatio saattaa haluta tietää, minkä osaston kanssa rekisteröity on ollut yhteydessä ja millaisesta tiedosta on kyse (tai mikä on sen käyttötarkoitus). Rekisteröidyn ei kuitenkaan tarvitse perustella pyyntöään saada häntä itseään koskevat tiedot.

Kustannukset ja tietojen antamisesta aiheutuvat rasitteet on tärkeinä tekijöinä otettava huomioon, mutta niiden perusteella ei päätetä, onko tiedon antaminen kohtuullista. Jos tietoa esimerkiksi käytetään yksityishenkilöä koskevan tärkeän päätöksen tekemiseen (merkittävien etujen myöntäminen tai kieltäminen, vakuutus, laina, työpaikka jne.), organisaation on annettava tiedot muiden FAQ-kysymysten mukaisesti, vaikka tietojen hankkiminen olisi suhteellisen vaikeaa tai kallista.

Jos pyydetty tieto ei ole arkaluonteista tai sitä ei käytetä rekisteröidyn elämään merkittävästi vaikuttavaan päätöksentekoon (esim. ei-arkaluonteinen markkinointitieto, jonka avulla päätetään, lähetetäänkö henkilölle myyntiluettelo vai ei), vaan tieto on helposti saatavilla ja tiedonhaku on edullista, organisaation on annettava rekisteröidylle hallussaan olevat rekisteröityä koskevat tiedot. Näihin tietoihin voi kuulua tietoja, jotka on saatu henkilöltä itseltään tai ulkopuolisilta tai hänen kanssaan tehtyjen liiketoimien yhteydessä.

Tiedonsaantiperiaatteen perimmäisen luonteen mukaisesti organisaatioiden olisi aina vilpittömästi pyrittävä antamaan tietoja. Mikäli esimerkiksi tietyt tiedot on suojattava ja ne voidaan helposti erottaa muusta haettavasta tiedosta, organisaation on erotettava suojattu tieto ja julkistettava muu tieto. Jos organisaatio päättää, että tietoja ei anneta yksittäisessä tapauksessa, päätös on perusteltava tietoja pyytävälle rekisteröidylle ja ilmoitettava, mistä tai keneltä saa asiasta lisätietoja.

Kysymys 2: Mikä on luottamuksellista kaupallista tietoa, ja voiko organisaatio kieltäytyä antamasta tällaista tietoa suojellakseen sitä?

Vastaus 2: Luottamuksellinen kaupallinen tieto (termiä käytetään Yhdysvaltojen liittovaltion säännöissä Federal Rules of Civil Procedure on discovery) on yrityksen suojelemaa tietoa, jonka julkaiseminen auttaisi kilpailijan toimintaa markkinoilla. Yrityksen käyttämä tietty tietokoneohjelma (kuten mallinnusohjelma) tai sen osat voivat olla luottamuksellista kaupallista tietoa. Jos luottamuksellinen kaupallinen tieto on erotettavissa muusta tiedonsaantipyynnön kohteena olevasta tiedosta, organisaation on erotettava luottamuksellinen tieto ja julkistettava ei-luottamuksellinen tieto. Organisaatio voi kieltää tiedonsaannin tai rajoittaa sitä, jos tietoja antamalla paljastettaisiin (edellä annetun määritelmän mukaisesti) sen omaa luottamuksellista kaupallista tietoa, esimerkiksi kyseisen organisaation markkinapäätelmiä tai luokituksia taikka toisen organisaation luottamuksellista kaupallista tietoa, jos tällaista tietoa koskee sopimukseen perustuva luottamuksellisuusvelvoite tilanteessa, jossa tällainen luottamuksellisuusvelvoite yleensä on voimassa tai määrätään.

Kysymys 3: Voiko organisaatio luovuttaessaan rekisteröidylle häntä itseään koskevia tietoja antaa hänelle tietokannasta haettuja tietoja vai pitääkö organisaation antaa kyseiselle henkilölle mahdollisuus käyttää itse tietokantaa?

Vastaus 3: Organisaatio luovuttaa rekisteröidylle halutut tiedot; tiedonsaanti ei edellytä mahdollisuutta käyttää organisaation tietokantaa.

Kysymys 4: Onko organisaation järjestettävä tietokantansa uudelleen, jotta tiedonsaanti olisi mahdollista?

Vastaus 4: Tietoja on annettava vain siinä määrin kuin organisaatio tallentaa tietoja. Tiedonsaantiperiaate ei sinänsä velvoita säilyttämään tai ylläpitämään henkilötietoja, järjestämään niitä uudelleen tai muuttamaan tietokantojen rakennetta.

Kysymys 5: Vastauksista käy selvästi ilmi, että tiedonsaanti voidaan estää tietyissä tapauksissa. Missä muissa tapauksissa organisaatio voi kieltäytyä antamasta rekisteröidylle häntä itseään koskevaa henkilötietoa?

Vastaus 5: Tällaiset tapaukset on rajattu, ja kaikki tiedonsaannin estämisen syyt on eriteltävä. Organisaatio voi kieltäytyä antamasta tietoja, jos tietojen luovuttaminen todennäköisesti vaarantaa yleisen edun, esimerkiksi valtion turvallisuuden, puolustuksen tai yleisen turvallisuuden. Lisäksi tiedonsaanti voidaan estää, kun tietoja käsitellään pelkästään tutkimus- tai tilastotarkoituksiin. Muita tiedonsaannin estäviä tai sitä rajoittavia syitä ovat seuraavat:

a) tietojen luovuttaminen haittaa lain täytäntöönpanoa, mukaan luettuina rikosten ehkäisy, tutkinta ja selville saaminen tai oikeus puolueettomaan oikeudenkäyntiin;

b) tietojen luovuttaminen haittaa oikeudenkäynnin perustetta siviilioikeudellisessa asiassa, mukaan luettuina oikeusvaateiden estäminen, tutkinta tai selvittäminen tai oikeus puolueettomaan oikeudenkäyntiin;

c) luotettavat henkilötiedot sisältävät viittauksia muihin henkilöihin, ja tällaisia viittauksia ei voida poistaa;

d) tietojen luovuttaminen rikkoo lainmukaista tai muuta ammatillista etuoikeutta tai velvoitetta;

e) tietojen luovuttaminen rikkoo luottamuksellisuuden, jota tulevat tai meneillään olevat neuvottelut edellyttävät, esimerkkinä pörssiyhtiöiden hankintaan liittyvät neuvottelut;

f) tietojen luovuttaminen vaarantaa työntekijöihin liittyvät turvallisuustutkimukset tai valitusten käsittelyn;

g) tietojen luovuttaminen vaarantaa tiettynä rajoitettuna aikana vaaditun luottamuksellisuuden esimerkiksi henkilöstösuunnittelussa ja yrityksen uudelleenorganisoinnissa;

h) tietojen luovuttaminen vaarantaa luottamuksellisuuden, joka voi olla tarpeen terveeseen talous- ja rahoitushallintoon liittyvän johtamisen, tutkinnan tai sääntelytoimien yhteydessä; tai

i) muut olosuhteet, joissa tietojen antamisesta aiheutuvat rasitteet tai kustannukset olisivat suhteettoman suuret tai tietojen antaminen loukkaisi muiden laillisia oikeuksia tai etuja.

Organisaation, joka kieltäytyy luovuttamasta tietoja, on osoitettava, että kieltäytyminen on asianmukainen (kuten tavallisesti menetellään). Kuten edellä todettiin, rekisteröidylle on kerrottava syyt, miksi tietoja ei anneta tai niiden saantia rajoitetaan, ja ilmoitettava yhteystiedot lisätiedusteluja varten.

Kysymys 6: Voiko organisaatio vaatia maksun, joka kattaa tiedonhaun kustannukset?

Vastaus 6: Kyllä. OECD:n suuntaviivoissa todetaan, että organisaatio voi periä maksun edellytyksellä, että maksu ei ole kohtuuton. Organisaatio voi siis periä tiedonsaannista kohtuullisen maksun. Maksun periminen saattaa olla hyödyksi pyrittäessä vähentämään toistuvia ja kiusalla esitettyjä hakupyyntöjä.

Yleisesti saatavilla olevia tietoja myyvät organisaatiot voivat periä tiedonhausta normaalisti perimänsä maksun. Rekisteröidyt voivat vaihtoehtoisesti pyytää tiedot suoraan organisaatiolta, joka alun perin keräsi ne.

Tiedonsaantia ei voida estää kustannussyihin vetoamalla, jos rekisteröity tarjoutuu maksamaan kustannukset.

Kysymys 7: Onko organisaation annettava julkisista rekistereistä saatuja henkilötietoja?

Vastaus 7: Ensiksikin on täsmennettävä, että julkisilla rekistereillä tarkoitetaan kaikkia hallinnon tasoja edustavien viranomaisten ylläpitämiä rekistereitä, jotka ovat suurelle yleisölle avoimia. Tiedonsaantia tai edelleen siirtoa koskevia periaatteita ei tarvitse soveltaa tällaiseen tietoon, mikäli siihen ei ole yhdistetty muuta henkilötietoa, joksi ei katsota pienten ei-julkisten henkilötietomäärien käyttöä julkisen rekisteritiedon luettelointiin tai järjestämiseen. Kaikkia toimivaltaisen viranomaisen vahvistamia rekisterin käytön edellytyksiä on kuitenkin noudatettava. Kun julkisten rekisterien sisältämää tietoa yhdistetään näihin rekistereihin kuulumattomiin tietoihin (muuhun kuin edellä mainittuun tietoon), organisaation on kuitenkin sallittava tiedonsaanti edellyttäen, ettei kyseiseen tietoon sovelleta muita sallittuja poikkeuksia.

Kysymys 8: Onko tiedonsaantiperiaatetta sovellettava yleisesti saatavilla oleviin henkilötietoihin?

Vastaus 8: Samoin kuin julkisista rekistereistä saatujen tietojen kohdalla (katso kysymys 7) tiedonsaantiperiaatetta ei tarvitse soveltaa tietoon, joka jo on julkisesti yleisön saatavilla, sillä edellytyksellä, että tällaista tietoa ei ole yhdistetty tietoon, joka ei ole yleisesti saatavilla.

Kysymys 9: Kuinka organisaatio voi suojautua toistuvilta tai kiusalla esitetyiltä tiedonsaantipyynnöiltä?

Vastaus 9: Organisaation ei tarvitse vastata tällaisiin tiedonsaantipyyntöihin. Näistä syistä organisaatio voi periä tiedonhausta kohtuullisen maksun ja asettaa kohtuulliset rajoitukset sille, kuinka moneen saman henkilön tiedonsaantipyyntöön voidaan vastata tiettynä ajanjaksona. Asettaessaan rajoituksia organisaation on otettava huomioon, kuinka usein tietoja päivitetään, mihin tarkoitukseen tietoja käytetään ja minkä luonteista tieto on.

Kysymys 10: Kuinka organisaatio voi suojautua vilpillisiltä tiedonsaantipyynnöiltä?

Vastaus 10: Organisaation ei tarvitse antaa tietoja, ellei se saa tarpeeksi tietoa voidakseen varmistua tiedonsaantipyynnön esittäneen henkilöllisyydestä.

Kysymys 11: Onko tiedot annettava tietyn ajan kuluessa tiedonsaantipyynnön vastaanottamisesta?

Vastaus 11: Kyllä. Organisaation on vastattava ilman aiheetonta viivytystä kohtuullisen ajan kuluessa. Tämä vaatimus voidaan täyttää monella tavalla, kuten vuonna 1980 hyväksyttyjen yksityisyyden suojaa koskevien OECD:n suuntaviivojen perusteluista käy ilmi. Rekisteröidyille säännöllisesti tietoa antavan rekisterinpitäjän ei esimerkiksi välttämättä tarvitse heti vastata yksittäisiin kyselyihin.

FAQ 9 - Henkilöstö

Kysymys 1: Sovelletaanko safe harbor -periaatteita EU:sta Yhdysvaltoihin siirrettäviin henkilötietoihin, jotka on kerätty työsuhteen vuoksi?

Vastaus 1: Kyllä. Kun EU:ssa toimiva yritys siirtää henkilöstöltään työsuhteen yhteydessä (entisistä tai nykyisistä työntekijöistä) kerättyjä henkilötietoja Yhdysvalloissa sijaitsevalle emo- tai tytäryhtiölle tai riippumattomalle palvelujen tarjoajalle, joka osallistuu safe harbor -järjestelmään, tiedon siirtoon sovelletaan safe harbor -periaatteita. Näissä tapauksissa tietojen keräämiseen ja niiden käsittelyyn ennen siirtoa on sovellettu kyseisen EU-maan kansallista lainsäädäntöä, ja kaikkia tämän lainsäädännön mukaisia tietojen siirtoa koskevia ehtoja ja rajoituksia on noudatettava.

Safe harbor -periaatteita sovelletaan vain silloin kun yksittäinen, tunnistettava rekisteritieto siirretään tai annetaan käyttöön. Aggregoituun työllisyystietoon perustuvat tilastotiedot ja/tai tiedot, joista nimet on poistettu tai muutettu, eivät aiheuta yksityisyyden suojaan liittyviä ongelmia.

Kysymys 2: Miten ilmoitusta ja valintaa koskevia periaatteita sovelletaan tällaiseen tietoon?

Vastaus 2: Henkilöstöä koskevia tietoja EU:sta safe harbor -järjestelmän mukaisesti vastaanottanut yhdysvaltalainen organisaatio voi luovuttaa tiedot kolmannelle osapuolelle ja/tai käyttää niitä muuhun kuin alkuperäiseen käyttötarkoitukseen ainoastaan ilmoitusta ja valintaa koskevien periaatteiden mukaisesti. Jos organisaatio aikoo esimerkiksi käyttää työsuhteen vuoksi kerättyjä henkilötietoja muuhun kuin työsuhteeseen liittyvään tarkoitukseen, kuten markkinointiin, kyseisen yhdysvaltalaisen organisaation on tarjottava työntekijöille valintamahdollisuus ennen tietojen käyttämistä, elleivät työntekijät ole jo aiemmin antaneet lupaa tietojen käyttöön tällaisiin tarkoituksiin. Jos työntekijät kieltävät tietojen käyttämisen, heidän tekemänsä valinta ei saa rajoittaa heidän uramahdollisuuksiaan eikä heitä saa rangaista siitä.

On huomattava, että joistakin jäsenvaltioista tehtäviin tiedonsiirtoihin sovelletaan tiettyjä yleisiä ehtoja, jotka voivat rajoittaa tällaisten tietojen muuta käyttöä myös sen jälkeen, kun tiedot on siirretty EU:n ulkopuolelle, ja näitä ehtoja on noudatettava.

Lisäksi työnantajien on kohtuullisin pyrkimyksin pidettävä huolta siitä, että henkilötietojen käyttöä koskevia henkilöstön valintoja noudatetaan. Tämä merkitsee esimerkiksi sitä, että rajoitetaan tietokannan käyttöä, esitetään tietyt tiedot anonyymeinä tai käytetään nimien sijasta koodeja tai salanimiä, jos oikeiden nimien käyttö ei liikkeenjohdollisista syistä ole välttämätöntä.

Jotta organisaation lailliset edut eivät vaarantuisi esimerkiksi nimityksiä, ylennyksiä ja muita henkilöstöön liittyviä päätöksiä koskevissa asioissa, sen ei tarvitse antaa ilmoitusta tai valintamahdollisuutta siinä määrin ja sinä aikana kuin on tarpeen.

Kysymys 3: Miten tiedonsaantiperiaatetta sovelletaan?

Vastaus 3: Tiedonsaantia koskevat FAQ:t antavat tietoja syistä, joiden perusteella voidaan kieltäytyä antamasta pyydettyjä henkilöstöä koskevia tietoja tai rajoittaa niiden saantia. Euroopan unionin työnantajien on luonnollisesti noudatettava paikallisia säädöksiä ja varmistettava, että eurooppalaiset (EU) työntekijät saavat tietoja kotimaansa lainsäädännön mukaisesti huolimatta siitä, missä tietoja käsitellään ja säilytetään. Safe harbor -periaatteet edellyttävät, että tällaista tietoa Yhdysvalloissa käsittelevä organisaatio tekee asiassa yhteistyötä ja antaa tiedot joko suoraan tai eurooppalaisen työnantajan kautta.

Kysymys 4: Miten safe harbor -järjestelmään kuuluviin henkilöstöä koskeviin tietoihin liittyvät määräykset pannaan täytäntöön?

Vastaus 4: Jos tietoa käytetään ainoastaan työsuhteen yhteydessä, työntekijän osalta tiedoista on ensisijaisesti vastuussa EU:ssa toimiva yritys. Tästä seuraa se, että jos eurooppalaiset työntekijät valittavat tietosuojaoikeuksiensa rikkomisesta eivätkä ole tyytyväisiä sisäisen tarkastuksen tai valitus- ja muutoksenhakumenettelyn tulokseen (tai jonkin ammattiliiton kanssa tehdyn sopimuksen mukaisesti sovellettavan valitusmenettelyn tulokseen), heidän on käännyttävä valtion tai osavaltion tietosuojaviranomaisen puoleen tai kyseisen alan työvoimaviranomaisen puoleen. Tähän sisältyvät myös tapaukset, joissa työntekijöiden henkilötietojen väärinkäytön väitetään tapahtuneen Yhdysvalloissa, jotka ovat tietoja työnantajalta vastaanottaneen yhdysvaltalaisen organisaation vastuulla eivätkä työnantajan vastuulla ja joissa näin ollen olisi rikottu safe harbor -periaatetta eikä siis direktiivin täytäntöön panemiseksi annettuja kansallisia säädöksiä. Tämä on tehokkain tapa selviytyä työlainsäädännön, työsopimusten ja tietosuojasäädösten usein päällekkäisistä määräyksistä.

Safe harbor -järjestelmään osallistuvan yhdysvaltalaisen organisaation, joka käyttää työsuhteen yhteydessä Euroopan unionista toimitettua, eurooppalaisia (EU) työntekijöitä koskevaa tietoa ja haluaa kyseisten tiedonsiirtojen kuuluvan safe harbor -järjestelyn piiriin, olisi tämän vuoksi sitouduttava yhteistyöhön toimivaltaisten Euroopan unionin viranomaisten toteuttamissa tutkintatapauksissa ja noudatettava näissä asioissa kyseisten viranomaisten antamia ohjeita. Ne tietosuojaviranomaiset, jotka ovat hyväksyneet tällaisen yhteistyön, ilmoittavat tästä Euroopan komissiolle ja Yhdysvaltojen kauppaministeriölle. Jos safe harbor -järjestelmään osallistuva yhdysvaltalainen organisaatio haluaa siirtää henkilöstöä koskevia tietoja sellaisesta jäsenvaltiosta, jonka tietosuojaviranomaiset eivät ole hyväksyneet kyseistä yhteistyötä, sovelletaan FAQ 5:n säännöksiä.

FAQ 10 - 17 artiklan mukaiset sopimukset

Kysymys: Kun tietoa siirretään EU:sta Yhdysvaltoihin ainoastaan käsittelytarkoituksessa, onko tästä laadittava sopimus riippumatta siitä, kuuluuko tietojen käsittelijä safe harbor -järjestelmään?

Vastaus: Kyllä. Eurooppalaisen rekisterinpitäjän on tehtävä sopimus aina, kun siirretään tietoja pelkästään käsittelytarkoituksessa riippumatta siitä, käsitelläänkö tiedot EU:ssa vai sen ulkopuolella. Sopimuksen tarkoituksena on turvata rekisterinpitäjän edut; rekisterinpitäjällä tarkoitetaan henkilöä tai elintä, joka päättää tietojen käsittelyn tarkoituksesta ja keinoista ja joka on tiedoista vastuussa kyseisille rekisteröidyille. Sopimuksessa täsmennetään toteutettava tietojen käsittely ja tietojen suojaamiseksi tarvittavat toimet.

Safe harbor -järjestelmään kuuluvan yhdysvaltalaisen organisaation, joka vastaanottaa EU:sta henkilötietoja pelkästään käsittelytarkoituksessa, ei tarvitse soveltaa näihin tietoihin safe harbor -periaatteita, koska EU:ssa toimiva rekisterinpitäjä on edelleen rekisteröityyn nähden vastuussa tätä koskevien EU-säädösten mukaisesti (jotka saattavat olla tiukempia kuin vastaavat safe harbor -periaatteet).

Koska safe harbor -järjestelmään osallistuvat takaavat riittävän tietosuojan, siihen kuuluvien organisaatioiden kanssa tehtävät, pelkkää tietojen käsittelyä koskevat sopimukset eivät edellytä ennakkolupaa (tai jäsenvaltio myötää tällaisen luvan automaattisesti), toisin kuin sopimukset, joissa tietojen vastaanottajat eivät osallistu safe harbor -järjestelmään tai eivät muutoin takaa riittävää tietosuojaa.

FAQ 11 - Riitojen ratkaisu ja järjestelmän täytäntöönpano

Kysymys 11: Miten täytäntöönpanoperiaatteeseen kuuluva riitojen ratkaisu toteutetaan ja miten toimitaan, jos organisaatio jatkuvasti rikkoo periaatteita?

Vastaus 11: Täytäntöönpanoperiaatteessa ilmaistaan safe harbor -järjestelmän täytäntöönpanon edellytykset. Todentamista koskevassa FAQ 7:ssä käsitellään periaatteen b kohdassa esitettyjen edellytysten täyttämistä. Tässä FAQ 11:ssä käsitellään periaatteen a ja c kohtia, joissa edellytetään riippumatonta valitusmenettelyä. Nämä menettelyt voivat olla erilaisia, mutta niiden on oltava täytäntöönpanoperiaatteen edellytysten mukaisia. Organisaatiot täyttävät edellytykset: 1) noudattamalla yksityisen sektorin laatimaa yksityisyydensuojaohjelmaa, jonka sääntöihin sisältyvät safe harbor -periaatteet ja johon kuuluu tehokkaita ja täytäntöönpanoperiaatteessa kuvatun kaltaisia täytäntöönpanovälineitä, 2) noudattamalla yksittäisiä valituksia käsittelevien ja riitoja ratkaisevien valvontaviranomaisten ohjeita tai 3) sitoutumalla yhteistyöhön Euroopan yhteisön alueella toimivien tietosuojaviranomaisten tai niiden valtuutettujen edustajien kanssa. Tämä luettelo on esimerkinomainen eikä se ole kattava. Yksityisellä sektorilla voidaan laatia muita menettelyjä täytäntöönpanon varmistamiseksi, kunhan tällaiset järjestelmät täyttävät täytäntöönpanoperiaatteessa ja tavallisimmissa kysymyksissä (FAQ:issa) esitetyt edellytykset. On huomattava, että täytäntöönpanoperiaatteessa esitetyt edellytykset ovat lisäys niihin edellytyksiin, jotka on esitetty periaatteiden kolmannessa johdantokappaleessa ja joiden mukaan itsesääntelytoimien on oltava kannekelpoisia sopimattomat ja harhaanjohtavat toimet kieltävän Federal Trade Commission Act -lain 5 pykälän tai muun vastaavan säädöksen nojalla.

Valitusmenettely:

Kuluttajia olisi rohkaistava tekemään valitus kyseiselle organisaatiolle ennen turvautumista riippumattomaan valitusmenettelyyn. Valitusmenettelyn riippumattomuus voidaan osoittaa useilla eri tavoilla, esimerkiksi kyseisen elimen avoimen kokoonpanon ja rahoituksen tai aikaisempien päätösten perusteella. Kuten täytäntöönpanoperiaatteessa edellytetään, yksityishenkilöille tarkoitetun valitusmenettelyn on oltava helposti saatavilla ja kohtuuhintainen. Riitojen ratkaisusta vastaavien elinten on tutkittava kaikki yksityishenkilöiltä tulleet valitukset, elleivät ne ole ilmeisen perusteettomia tai aiheettomia. Tästä huolimatta valitusmenettelystä vastaava organisaatio voi asettaa kelpoisuusvaatimuksia valituksille, mutta tällaisten vaatimusten on oltava avoimia ja perusteltuja (voidaan esim. hylätä valitukset, jotka eivät kuulu ohjelman alaan tai jotka on käsiteltävä toisella foorumilla), eivätkä ne saa vaarantaa sitoutumista aiheellisten valitusten tutkimiseen. Lisäksi valitusmenettelyssä on tarjottava kattavaa ja helposti saatavilla olevaa tietoa riitojenratkaisumenettelyn toiminnasta yksityishenkilöille, jotka jättävät valituksen. Näihin tietoihin pitäisi sisältyä valitusmenettelyyn kuuluva, safe harbor -periaatteiden mukainen yksityisyydensuoja(3). Valitusmenettelystä vastaavien organisaatioiden olisi toimittava yhteistyössä kehittääkseen välineitä, joilla helpotetaan valitusten ratkaisumenettelyä. Tällaisia välineitä ovat mm. vakiomuotoiset valituslomakkeet.

Oikeuskeinot ja seuraamukset:

Riitojen ratkaisusta vastaavan elimen päätösten seurauksena pitäisi olla se, että organisaatio mahdollisuuksien mukaan peruuttaa tai korjaa periaatteiden rikkomisen vaikutukset ja että vastaisuudessa tietoja käsitellään periaatteiden mukaisesti tai että soveltuvin osin valituksen tehneen henkilön tietojen käsittely lopetetaan. Seuraamusten on oltava riittävän ankaria, jotta ne selvästi kannustavat periaatteiden noudattamiseen. Kun käytössä on vakavuudeltaan eri asteisia seuraamuksia, voidaan eri asteisiin periaatteiden rikkomistapauksiin reagoida sopivin keinoin. Seuraamuksia ovat mm. rikkomistapausten julkistaminen ja tietyissä tapauksissa tietojen poistovaatimus(4). Muita seuraamuksia ovat ohjelman tunnuksen käyttöoikeuden keskeyttäminen ja poistaminen, periaatteiden rikkomisesta kyseisille henkilöille koituneiden menetysten korvaaminen sekä kieltomääräykset. Yksityisellä sektorilla toimivien riitojen ratkaisusta tai itsesääntelystä vastaavien elinten on ilmoitettava tapauksen mukaan tuomioistuimelle tai asiassa toimivaltaiselle valtiolliselle elimelle sellaiset tapaukset, joissa safe harbor -järjestelmään kuuluva organisaatio ei noudata niiden päätöksiä, sekä ilmoitettava niistä kauppaministeriölle (tai sen nimeämälle edustajalle).

FTC:n toiminta:

FTC on sitoutunut asettamaan tarkastelussaan ensisijalle tapaukset, jotka on sille toimittanut yksityisyydensuojan itsesääntelystä vastaava organisaatio, kuten BBBOnline tai TRUSTe tai EU:n jäsenvaltio, joka katsoo, että safe harbor -periaatteita ei ole noudatettu. FTC tutkii tällöin, onko toiminnassa rikottu FTC:tä koskevan säädöksen (FTC Act) 5 pykälää, jossa kielletään sopimattomat ja harhaanjohtavat toimet ja käytännöt kaupan alalla. Jos FTC katsoo, että sillä on syy (syitä) uskoa, että 5 pykälää on rikottu, se voi ratkaista asian hakemalla hallinnollista kieltomääräystä (cease and desist order), jolla estetään kyseiset toimet, tai nostamalla kanteen liittovaltion piirioikeudessa (federal district court). Jos kanne hyväksytään, sillä on vastaava vaikutus kuin kieltomääräyksellä. FTC voi hakea siviilioikeuteen kuuluvaa rangaistusta hallinnollisen kieltomääräyksen rikkomisesta, ja se voi nostaa siviili- tai rikosjutun liittovaltin tuomioistuimen päätöksen noudattamatta jättämisestä. FTC ilmoittaa kauppaministeriölle kaikista toimistaan. Kauppaministeriö rohkaisee muita valtiollisia elimiä ilmoittamaan sille lopullisesta tuloksesta kaikissa oikeusjutuissa tai muissa päätöksissä, jotka koskevat safe harbor - periaatteiden noudattamista.

Jatkuva periaatteiden noudattamatta jättäminen:

Jos organisaatio jatkuvasti rikkoo periaatteita, se menettää oikeutensa safe harbor -järjestelmän etuihin. Kyseessä on jatkuva periaatteiden rikkominen, jos organisaatio, joka on itse ilmoittanut kauppaministeriölle (tai sen nimeämälle edustajalle) osallistuvansa safe harbor -järjestelmään, kieltäytyy noudattamasta itsesääntelyelimen tai viranomaisen lopullista päätöstä, tai jos tällainen elin tai viranomainen on todennut organisaation toistuvasti rikkoneen järjestelmän periaatteita siinä määrin, että sen oma ilmoitus periaatteiden noudattamisesta ei enää ole uskottava. Organisaation on viipymättä ilmoitettava tällaisista tapauksista kauppaministeriölle (tai sen nimeämälle edustajalle). Ilmoitusvelvoitteen laiminlyöminen on kannekelpoinen False Statements Act -lain nojalla.

Ministeriö (tai sen nimeämä edustaja) pitää yllä julkista luetteloa organisaatioista, jotka ovat ilmoittaneet noudattavansa safe harbor -periaatteita. Tässä luettelossa ministeriö ilmoittaa kaikista ilmoituksista, jotka koskevat jatkuvaa periaatteiden noudattamatta jättämistä, riippumatta siitä, onko ilmoitus saatu organisaatioilta itseltään, itsesääntelyelimeltä vaiko viranomaiselta. Ilmoitus julkaistaan luettelossa kuitenkin vasta, kun kyseiselle organisaatiolle on annettu kolmenkymmenen (30) päivän määräaika, jonka kuluessa periaatteita rikkoneella organisaatiolla on mahdollisuus esittää vastineensa. Kauppaministeriön (tai sen nimeämän edustajan) ylläpitämästä luettelosta käyvät siis selvästi ilmi ne organisaatiot, jotka ovat oikeutettuja safe harbor -järjestelmän etuihin, ja ne organisaatiot, jotka eivät enää ole oikeutettuja kyseisiin etuihin.

Jos organisaatio vetoaa itsesääntelyelimeen voidakseen uudestaan saada oikeuden safe harbor -järjestelmän etuihin, sen on toimitettava kyseiselle elimelle täydelliset tiedot aiemmasta osallistumisestaan safe harbor -järjestelmään.

FAQ 12 - Valintaperiaate - Kieltäytymisen ajoitus

Kysymys: Antaako valintaperiaate rekisteröidylle mahdollisuuden valita vain rekisteröintisuhteen alussa vai milloin hän niin haluaa?

Vastaus: Yleisesti valintaperiaatteen tarkoituksena on varmistaa, että henkilötietoja käytetään ja julkistetaan tavalla, joka noudattaa rekisteröidyn odotuksia ja valintoja. Sen mukaan rekisteröidyn on voitava kieltää (tai valita) häntä itseään koskevien tietojen käyttäminen suoramarkkinointiin milloin tahansa organisaation asettamissa kohtuullisissa aikarajoissa, jotka antavat organisaatiolle riittävästi aikaa kiellon täytäntöönpanoon. Organisaatio saattaa myös vaatia riittäviä tietoja voidakseen varmistua käsittelyn kieltämistä vaativan rekisteröidyn henkilöllisyydestä. Yhdysvalloissa voi valita tämän vaihtoehdon käyttämällä keskitettyä kielto-ohjelmaa kuten Direct Marketing Association's Mail Preference Service. Kyseistä kielto-ohjelmaa käyttävien organisaatioiden olisi tiedotettava tällaisesta mahdollisuudesta kuluttajille, jotka eivät halua saada mainoksia. Joka tapauksessa rekisteröidylle on tarjottava heti käytettävissä oleva ja kohtuuhintainen menettely, jonka avulla hän voi käyttää tätä oikeuttaan.

Samoin organisaatio saa käyttää tietoa tiettyihin suoramarkkinointitarkoituksiin sellaisissa tapauksissa, joissa on käytännössä mahdotonta antaa rekisteröidylle etukäteen mahdollisuus kieltää tietojen käyttö, jos organisaatio tarjoaa hänelle samanaikaisesti (ja pyynnöstä milloin tahansa) mahdollisuuden kieltäytyä (ilman rekisteröidylle koituvia kuluja) vastaanottamasta muita suoramarkkinointiin liittyviä yhteydenottoja ja jos organisaatio myöntyy rekisteröidyn vaatimukseen.

FAQ 13 - Matkustustiedot

Kysymys: Milloin lentomatkustajien varaus- ja muita matkustustietoja, kuten kanta-asiakas- ja hotellivaraustietoja, sekä erityistarpeita, esim. uskonnon mukaisia aterioita tai fyysistä apua, koskevia tietoja voi siirtää EU:n ulkopuolella sijaitseville organisaatioille?

Vastaus: Kyseistä tietoa voidaan siirtää useissa eri tapauksissa. Direktiivin 26 artiklan mukaan henkilötietoja voidaan siirtää "sellaiseen kolmanteen maahan, jossa ei taata 25 artiklan 2 kohdassa tarkoitettua tietosuojan riittävää tasoa", 1) jos se on tarpeen kuluttajan vaatimien palvelujen tarjoamiseksi tai sopimuksen, kuten kanta-asiakassopimuksen, ehtojen täyttämiseksi, tai 2) jos kuluttaja on selkeästi antanut siihen suostumuksensa. Safe harbor -järjestelmässä mukana olevat yhdysvaltalaiset organisaatiot antavat riittävän henkilötietojen suojan, ja ne saavat siten ottaa vastaan EU:sta siirrettyjä tietoja täyttämättä edellä mainittuja ehtoja tai muita ehtoja, joista säädetään direktiivin 26 artiklassa. Koska safe harbor -järjestelmässä on arkaluonteista tietoa koskevia erityissääntöjä, tällaisia tietoja (joita on kerättävä esim. asiakkaan tarvitessa fyysistä apua) saa sisältyä safe harbor -järjestelmään kuuluville organisaatioille siirrettäviin tietoihin. Tietoja siirtävän organisaation on joka tapauksessa kuitenkin noudatettava sen EU:n jäsenvaltion lakia, jossa se toimii, ja kyseisen valtion lainsäädännössä saattaa olla mm. arkaluonteisten tietojen käsittelyä koskevia erityissääntöjä.

FAQ 14 - Lääkevalmisteet ja lääketieteelliset tuotteet

Kysymys 1: Kun henkilötietoja kerätään EU:ssa ja niitä siirretään Yhdysvaltoihin lääkeaineiden tutkimusta ja/tai muuta tarkoitusta varten, sovelletaanko siihen jäsenvaltioiden lakeja vai safe harbor -periaatteita?

Vastaus 1: Jäsenvaltioiden lainsäädäntöä sovelletaan henkilötietojen keruuseen ja kaikkeen tietojen käsittelyyn, joka suoritetaan ennen tietojen siirtämistä Yhdysvaltoihin. Safe harbor -periaatteita sovelletaan heti, kun tiedot on siirretty Yhdysvaltoihin. Lääkeaineiden tutkimukseen ja muihin tarkoituksiin käytettävistä tiedoista tulisi mahdollisuuksien mukaan poistaa viittaukset henkilöihin.

Kysymys 2: Lääketieteellisissä ja lääkeaineita koskevissa tutkimuksissa saadut henkilötiedot ovat usein hyödyksi tulevissa tutkimuksissa. Kun tieteellisessä tutkimuksessa kerättyjä henkilötietoja siirretään yhdysvaltalaiselle organisaatiolle safe harbor -järjestelmässä, voiko kyseinen organisaatio käyttää saatuja tietoja uudessa tutkimuksessa?

Vastaus 2: Kyllä, jos tästä on alun perin asianmukaisesti ilmoitettu ja annettu valintamahdollisuus. Ilmoituksessa on kerrottava kaikista tiedon tulevista käyttötarkoituksista, esimerkiksi jaksottaisesta seurannasta, kyseistä tutkimusta sivuavista tutkimuksista ja markkinoinnista. Ymmärrettävästi tiedon kaikkia tulevia käyttötarkoituksia ei pystytä täsmentämään, koska uusi tutkimus voi saada alkunsa uudesta näkökulmasta alkuperäiseen tietoon, lääketieteellisistä löydöistä ja edistysaskeleista tai kehityksestä kansanterveyden tai sääntelyn alalla. Tarvittaessa ilmoituksen olisi siksi sisällettävä maininta siitä, että henkilötietoja saatetaan käyttää lääketieteellisissä ja lääkeaineita koskevissa tutkimuksissa, joista ei tällä hetkellä vielä tiedetä. Jos tällainen käyttötarkoitus ei ole yhteensopiva sen tutkimuksen yleistarkoituksen kanssa, jonka vuoksi tiedot on alun perin kerätty tai johon kyseinen henkilö on antanut suostumuksensa, häneltä on saatava uusi suostumus.

Kysymys 3: Mitä yksityishenkilön tiedoille tapahtuu, jos kliiniseen kokeeseen osallistuja päättää omasta tahdostaan tai tutkimuksen teettäjän pyynnöstä vetäytyä kokeesta?

Vastaus 3: Koehenkilö voi milloin tahansa vetäytyä kliinisestä kokeesta, tai häntä voidaan pyytää tekemään näin. Kaikkia tätä ennen kerättyjä tietoja saadaan silti käsitellä muiden kliinisessä kokeessa kerättyjen tietojen ohella, jos tästä on selkeästi ilmoitettu kyseiselle henkilölle, kun hän on suostunut osallistumaan kokeeseen.

Kysymys 4: Lääkkeitä ja lääkintälaitteita valmistavat yritykset saavat toimittaa EU:ssa tehdyissä kliinisissä kokeissa saatuja henkilötietoja yhdysvaltalaisille valvontaviranomaisille sääntely- ja valvontatarkoituksiin. Sallitaanko tällainen tiedonsiirto muille osapuolille kuin valvontaviranomaisille, esimerkiksi yrityksen muihin toimipaikkoihin ja muille tutkijoille?

Vastaus 4: Kyllä, ilmoitusta ja valintaa koskevien periaatteiden mukaisesti.

Kysymys 5: Objektiivisuuden takaamiseksi monissa kliinisissä tutkimuksissa kokeeseen osallistujat ja usein tutkijatkaan eivät saa tietää, mitä hoitoa kullekin henkilölle annetaan. Tällaisen tiedon antaminen vaarantaisi tutkimuksen ja tulosten validiteetin. Saavatko kyseisiin kliinisiin kokeisiin (sokkotutkimuksiin) osallistuvat omaan hoitoonsa liittyviä tietoja tutkimuksen jatkuessa?

Vastaus 5: Eivät. Tällaisia tietoja ei tarvitse antaa rekisteröidylle, jos rajoituksesta on ilmoitettu siinä vaiheessa, kun kyseinen henkilö on päättänyt osallistua tutkimukseen ja jos tietojen antaminen vaarantaisi tutkimuksen luotettavuuden. Osallistuminen tutkimukseen näillä edellytyksillä on riittävä osoitus siitä, että kyseinen henkilö luopuu oikeudestaan tiedonsaantiin. Kun tutkimus on saatettu päätökseen ja tulokset on analysoitu, siihen osallistuneilla on oltava oikeus halutessaan saada itseään koskevat tiedot. Tietoja voi pyytää ensisijaisesti lääkäriltä tai muulta terveydenhoitohenkilökuntaan kuuluvalta, joka on hoitanut kyseistä henkilöä tutkimuksen aikana, taikka tutkimuksen teettäneeltä yritykseltä.

Kysymys 6: Onko lääkkeitä ja lääkintälaitteita valmistavan yrityksen sovellettava ilmoitusta, valintaa, edelleen siirtoa ja tiedonsaantia koskevia safe harbor -periaatteita toteuttaessaan tuoteturvallisuuteen ja tehokkuuden valvontaan liittyviä toimia, mukaan luettuina vaaratilanneilmoitukset ja tiettyjä lääkkeitä tai lääkinnällisiä laitteita (esim. sydämentahdistinta) käyttävien potilaiden/henkilöiden jäljittäminen?

Vastaus 6: Ei, siltä osin kuin safe harbor -järjestelmän periaatteiden noudattaminen vaikeuttaa lakisääteisten vaatimusten noudattamista. Tämä koskee raportteja, joita esimerkiksi terveydenhoitopalvelujen tarjoajat antavat lääkkeitä ja lääkintälaitteita valmistaville yrityksille, samoin kuin raportteja, joita lääkkeitä ja lääkintälaitteita valmistavat yritykset antavat viranomaisille, kuten FDA:lle (Food and Drug Administration).

Kysymys 7: Tutkimuksen johtaja salaa poikkeuksetta henkilötiedot tutkimuksen alussa antamalla niille ainutkertaiset koodit, jottei rekisteröityjen henkilöllisyys paljastuisi. Tutkimuksia teettävät lääkealan yritykset eivät saa tietää koodien avaimia. Avaimet ovat tiedossa vain tutkijalla, jotta hän voi erityistapauksessa (esimerkiksi tarvittaessa lääketieteellistä jatkohoitoa) tunnistaa, kenestä on kyse. Katsotaanko tällä tavoin koodatun tiedon siirto EU:sta Yhdysvaltoihin henkilötietojen siirroksi, johon sovelletaan safe harbor -periaatteita?

Vastaus 7: Ei. Tässä ei ole kyse henkilötietojen siirrosta, johon sovellettaisiin kyseisiä periaatteita.

FAQ 15 - Julkisista rekistereistä saatu tieto ja yleisesti saatavilla oleva tieto

Kysymys: Onko tarpeen soveltaa ilmoitusta, valintaa ja edelleen siirtoa koskevia periaatteita julkisista rekistereistä saatuun tietoon tai yleisesti saatavilla olevaan tietoon?

Vastaus: Ilmoitusta, valintaa ja edelleen siirtoa koskevia periaatteita ei ole tarpeen soveltaa julkisista rekistereistä saatuun tietoon, jos sitä ei ole yhdistetty ei-julkiseen rekisteritietoon ja jos toimivaltaisen viranomaisen vahvistamia rekisterin käytön edellytyksiä noudatetaan.

Ilmoitusta, valintaa ja edelleen siirtoa koskevia periaatteita ei myöskään ole yleensä tarpeen soveltaa yleisesti saatavilla olevaan tietoon, ellei eurooppalainen siirtäjä ilmoita, että kyseistä tietoa koskevat rajoitukset, joiden vuoksi organisaation on sovellettava kyseisiä periaatteita aikomaansa käyttötarkoitukseen. Organisaatio ei ole vastuussa siitä, miten julkaistusta materiaalista saatua tietoa käytetään.

Jos todetaan, että organisaatio on tarkoituksellisesti julkaissut henkilötietoja safe harbor -periaatteiden vastaisesti, jotta se tai muut voisivat hyötyä mainituista poikkeuksista, organisaatio menettää safe harbor -järjestelmän mukaiset edut.

(1) Tämän FAQ:n sisällyttäminen pakettiin riippuu tietosuojaviranomaisten suostumuksesta. Nämä ovat keskustelleet tästä tekstistä 29 artiklan mukaisessa työryhmässä, ja valtaosa pitää sitä hyväksyttävänä. Tietosuojaviranomaiset päättävät kuitenkin lopullisesta kannastaan yleisen lausunnon yhteydessä, jonka työryhmä antaa lopullisesta paketista.

(2) Ks. todentamista koskeva FAQ 7.

(3) Riitojen ratkaisusta vastaavien elinten ei välttämättä tarvitse noudattaa täytäntöönpanoperiaatetta. Ne voivat myös ratkaisuissaan poiketa periaatteesta, jos tapaukseen liittyy ristiriitaisia velvoitteita tai nimenomainen lupa.

(4) Riitojen ratkaisusta vastaavat elimet voivat harkita, missä tapauksissa pakotteita käytetään. Kyseisten tietojen arkaluonteisuus on yksi niistä tekijöistä, jotka on otettava huomioon päätettäessä, vaaditaanko tietojen poistamista. Huomioon on otettava myös se, onko organisaatio kerätessään, käyttäessään tai paljastaessaan tietoja rikkonut periaatteita räikeästi.

LIITE III

Yleiskatsaus safe harbor -järjestelmän täytäntöönpanoon

Sopimattomia ja harhaanjohtavia käytäntöjä (Unfair and Deceptive Practices) koskeva liittovaltion ja osavaltioiden toimivalta ja yksityisyyden suoja

Tässä muistiossa kuvaillaan Federal Trade Commissionin (FTC) Federal Trade Commission Act -lain (15 U.S.C. §§ 41-58, sellaisena kuin se on muutettuna) 5 pykälän mukaista toimivaltaa ryhtyä toimenpiteisiin sellaisia tahoja vastaan, jotka eivät ole suojanneet henkilötietoja ilmoituksistaan ja/tai sitoumuksistaan huolimatta. Muistiossa käsitellään myös kyseiseen toimivaltaan liittyviä poikkeuksia ja muiden liittovaltion ja osavaltioiden viranomaisten mahdollisuutta ryhtyä toimenpiteisiin tapauksissa, joissa FTC:llä ei ole toimivaltaa(1).

FTC:n toimivalta sopimattomien tai harhaanjohtavien käytäntöjen suhteen

Federal Trade Commission Act -lain 5 pykälän mukaan kauppaa koskevat tai kauppaan vaikuttavat sopimattomat tai harhaanjohtavat toimet tai käytännöt ovat laittomia (unfair or deceptive acts or practices in or affecting commerce), 15 U.S.C. § 45(a)(1). Samassa pykälässä annetaan FTC:lle täydet valtuudet kyseisten käytäntöjen estämiseksi, 15 U.S.C. § 45(a)(2). Siten FTC voi muodollisen käsittelyn jälkeen antaa kieltomääräyksen (cease and desist order) oikeudenvastaisen toiminnan lopettamiseksi, 15 U.S.C. § 45(b). Jos se on yleisen edun mukaista, FTC voi myös hakea tilapäistä rajoitusmääräystä (restraining order) tai tilapäistä tai pysyvää kieltotuomiota (injunction) yhdysvaltalaisessa piirioikeudessa, 15 U.S.C. § 53(b). Jos kyseessä ovat moninaiset sopimattomat tai harhaanjohtavat toimet tai käytännöt tai jos FTC on jo antanut asiassa kieltomääräyksen, FTC voi saattaa voimaan hallinnollisen määräyksen, jossa määrätään kyseisistä toimista tai käytännöistä, 15 U.S.C. § 57a.

Ne, jotka eivät noudata FTC:n määräystä, voivat saada siviilioikeudellista sakkoa enintään 11000 Yhdysvaltain dollaria, siten että jokainen rikkomuspäivä muodostaa erillisen rikkomuksen(2), 15 U.S.C. § 45(1). Samoin FTC:n sääntöä tietoisesti rikkovat voivat saada 11000 Yhdysvaltain dollarin sakon kustakin rikkomuksesta, 15 U.S.C. § 45(m). Täytäntöönpanotoimet toteuttaa joko oikeusministeriö tai sen kieltäytyessä FTC, 15 U.S.C. § 56.

FTC:n toimivalta ja yksityisyyden suoja

Käyttäessään 5 pykälän mukaista toimivaltaa FTC katsoo, että väärien tietojen antaminen siitä, miksi tietoja kerätään kuluttajilta tai miten tietoja käytetään, muodostaa harhaanjohtavan käytännön(3). Esimerkiksi vuonna 1998 FTC nosti kanteen GeoCities-sivustoa vastaan, koska se oli antanut Internet-sivustollaan keräämiään tietoja kolmansille osapuolille kaupallisia tarkoituksia varten ja ilman lupaa päinvastaisista ilmoituksista huolimatta(4). FTC:n henkilöstö on myös vakuuttanut, että henkilötietojen kerääminen lapsilta ja kyseisten tietojen myynti ja paljastaminen ilman vanhempien suostumusta on todennäköisesti sopimaton käytäntö(5).

Kirjeessään Euroopan komission pääjohtajalle John Moggille FTC:n johtaja Pitofsky huomautti FTC:n toimivallan rajoista yksityisyyden suojaamisessa tapauksissa, joissa ei ole annettu väärää tietoa (tai ollenkaan tietoa) siitä, miten kerättyjä tietoja käytetään. FTC:n johtaja Pitofskyn kirje John Moggille (23. syyskuuta 1998). Kuitenkin yritysten, jotka haluavat käyttää hyväkseen ehdotettua safe harbor -järjestelmää, on vakuutettava, että ne suojelevat keräämiään tietoja määrättyjen toimintalinjojen mukaisesti. Jos yritys on vakuuttanut turvaavansa tietosuojan mutta ei teekään sitä, sellainen toiminta olisi siten väärän tiedon antamista ja harhaanjohtava käytäntö (deceptive practice) 5 pykälän tarkoittamassa merkityksessä.

Koska FTC:n toimivalta koskee sellaisia sopimattomia tai harhaanjohtavia toimia tai käytäntöjä, jotka koskevat kauppaa tai vaikuttavat siihen (in or affecting commerce), FTC:llä ei ole toimivaltaa muihin kuin kaupallisiin tarkoituksiin kerättyjen tai käytettyjen henkilötietojen osalta, esimerkiksi hyväntekeväisyyteen tarkoitetun rahankeruun suhteen, ks. Pitofskyn kirje, s. 3. Henkilötietojen käyttö missä tahansa kaupallisissa liiketoimissa kuitenkin täyttää tämän toimivaltamääritelmän. Siten esimerkiksi jos työnantaja myy työntekijöidensä henkilötietoja suoramarkkinoijalle, liiketoimi kuuluu 5 pykälän soveltamisalaan.

Lain 5 pykälän poikkeukset

Lain 5 pykälässä säädetään poikkeuksista FTC:n sopimattomia tai harhaanjohtavia toimia tai menettelyjä koskevaan toimivaltaan seuraavien asioiden suhteen:

- rahoituslaitokset, mukaan lukien pankit, asuntolainarahastot ja luotto-osuuskunnat,

- televiestintäoperaattorit ja osavaltioiden välillä toimivat kuljetusliikkeet,

- lentoyhtiöt,

- lihanpakkausliikkeet ja karjanvälittäjät.

Ks. 15 U.S.C. § 45(a)(2). Kutakin poikkeusta ja FTC:n sijasta toimivaa sääntelyviranomaista käsitellään jäljempänä.

Rahoituslaitokset(6)

Ensimmäinen poikkeus koskee pykälässä 18(f)(3) [15 U.S.C. § 57a(f)(3)] määriteltyjä pankkeja ja asuntolainarahastoja (banks, savings and loan institutions described in section 18(f)(3) [15 U.S.C. § 57a(f)(3)]) ja pykälässä 18(f)(4) [15 U.S.C. § 57a(f)(4)] määriteltyjä liittovaltion luotto-osuuskuntia (Federal credit unions described in section 18(f)(4) [15 U.S.C. § 57a(f)(4)])(7). Nämä rahoituslaitokset kuuluvat Federal Reserve Boardin, Office of Thrift Supervisionin(8) ja National Credit Union Administration Boardin alaisen sääntelyn piiriin, ks. 15 U.S.C. § 57a(f). Näiden sääntelyviranomaisten tehtävänä on antaa tarvittavat säädökset, joilla estetään kyseisten rahoituslaitosten sopimattomat tai harhaanjohtavat käytännöt(9), ja perustaa erillinen osasto käsittelemään kuluttajien valituksia, ks. 15 U.S.C. § 57a(f)(1). Täytäntöönpanoa koskeva toimivalta johtuu pankkien ja asuntolainarahastojen osalta Federal Deposit Insurance Act -lain (12 U.S.C. § 1818) 8 pykälästä ja liittovaltion luotto-osuuskuntien osalta Federal Credit Union Act -lain 120 ja 206 pykälästä, 15 U.S.C. §§ 57a(f)(2)-(4).

Vaikka vakuutusala ei nimenomaisesti kuulukaan 5 pykälän poikkeusten luetteloon, McCarran-Ferguson Act -laissa (15 U.S.C. § 1011 et seq.) yleisesti ottaen jätetään vakuutustoiminnan sääntely osavaltioille (10). Lisäksi McCarran-Ferguson Act -lain 2 b pykälän mukaan mikään liittovaltion laki ei mitätöi, heikennä tai korvaa osavaltion lakeja ellei sellainen laki nimenomaisesti koske vakuutustoimintaa (unless such Act specifically relates to the business of insurance), 15 U.S.C. § 1012(b). FTC Act -lain säännöksiä kuitenkin sovelletaan vakuutusalaan siltä osin kun kyseiseen alaan ei sovelleta osavaltion lakeja (to the extent that such business is not regulated by State law), id. On myös huomattava, että McCarran-Ferguson viittaa osavaltioihin ainoastaan vakuutustoiminnan (the business of insurance) osalta. Siten FTC säilyttää toimivallan vakuutusyhtiöiden sopimattomissa tai harhaanjohtavissa käytännöissä, jos ne eivät liity vakuutustoimintaan. Tämä voi tarkoittaa esimerkiksi tapauksia, joissa vakuutuksen antajat myyvät vakuutuksen ottajien henkilötietoja muiden kuin vakuutustuotteiden suoramarkkinoijille(11).

Kuljetusliikkeet

Lain 5 pykälän toinen poikkeus koskee sellaisia kuljetusliikkeitä, jotka kuuluvat kauppaa sääntelevien säädösten soveltamisalaan (subject to the Acts to regulate commerce), 15 U.S.C. § 45(a)(2). Tässä tapauksessa kauppaa sääntelevillä säädöksillä (Acts to regulate commerce) viitataan United States Code -lain osaston 49 osaan IV ja vuoden 1934 Communications Act -lakiin (47 U.S.C. § 151 et seq.) (the Communications Act), ks. 15 U.S.C. § 44.

49 U.S.C.:n osa IV (osavaltioiden välinen kuljetus) kattaa rautateillä, maanteillä ja vesiteillä toimivat kuljetusliikkeet, kaupanvälittäjät, huolintaliikkeet ja putkijohtokuljettajat, 49 U.S.C. § 10101 et seq. Nämä kuljetusliikkeet kuuluvat Surface Transportation Boardin, liikenneministeriön alaisen itsenäisen viraston, sääntelyn piiriin, 49 U.S.C. §§ 10501, 13501 ja 15301. Kussakin tapauksessa kuljetusliikkeen on kiellettyä luovuttaa tietoja rahdin luonteesta, määränpäästä ja muista sellaisista seikoista, joita voidaan käyttää tavaran lähettäjän vahingoksi, ks. 49 U.S.C. §§ 11904, 14908 ja 16103. On huomattava, että nämä säännökset viittaavat tietoihin, jotka koskevat tavaran lähettäjän lastia, eivätkä siten ilmeisesti koske tavaran lähettäjän henkilötietoja, jotka eivät liity kyseessä olevaan kuljetukseen.

Communications Act -laissa säädetään Federal Communications Commissionin (FCC) harjoittamasta sääntelystä, joka koskee osavaltioiden välistä ja ulkomaan kauppaa kaapeli- ja radiolähetystoiminnassa (interstate and foreign commerce in communication by wire and radio), ks. 47 U.S.C. §§ 151 ja 152. Televiestintäyhtiöiden lisäksi Communications Act -lakia sovelletaan myös sellaisiin yhtiöihin, kuten televisio- ja radioyhtiöihin ja kaapelipalvelujen tarjoajiin, jotka eivät ole televiestiliikenteen harjoittajia. Viimeksi mainitut eivät siten kuulu FTC Act -lain 5 pykälän poikkeuksen soveltamisalaan. FTC:llä on siten toimivalta tutkia kyseisten yhtiöiden mahdollisia sopimattomia tai harhaanjohtavia käytäntöjä, kun taas FCC:llä on rinnakkainen toimivalta käyttää itsenäisiä valtuuksiaan tällä alalla jäljempänä esitellyllä tavalla.

Communications Act -lain mukaan kaikilla televiestintätoiminnan harjoittajilla (every telecommunications carrier), mukaan lukien paikalliskeskusten operaattorit, on velvollisuus suojella asiakastietoja(12), 47 U.S.C. § 222(a). Tämän yleisen yksityisyyden suojaa koskevan toimivallan lisäksi Communications Act -lakia muutettiin vuoden 1984 Cable Communications Policy Act -lailla (the Cable Act), 47 U.S.C. § 521 et seq., siten, että kaapelioperaattoreille annettiin erityinen velvollisuus suojella kaapelipalvelujen tilaajien tunnistettavissa olevia henkilötietoja (personally identifiable information), 47 U.S.C. § 551(13). Cable Act -lailla rajoitetaan henkilötietoja, joita kaapelioperaattorit voivat kerätä, ja asetetaan kaapelioperaattoreille velvollisuus ilmoittaa tilaajalle kerättyjen tietojen laatu ja tietojen käyttötapa. Cable Act -laissa annetaan tilaajille oikeus saada tietoonsa heitä koskevat tiedot ja määrätään kaapelioperaattorit tuhoamaan tarpeettomiksi käyneet tiedot.

Communications Act -laissa FCC:lle annetaan valtuudet panna täytäntöön nämä kaksi yksityisyyden suojaa koskevaa säännöstä, joko omasta aloitteestaan tai vastauksena ulkopuolelta tulleeseen valitukseen(14), 47 U.S.C. §§ 205, 403; id. § 208. Jos FCC katsoo, että televiestintätoiminnan harjoittaja (myös kaapelioperaattori) on rikkonut 222 tai 551 pykälän mukaisia yksityisyyden suojaa koskevia säännöksiä, se voi ryhtyä kolmenlaisiin toimenpiteisiin. Kuulemisen ja rikkomuksen toteamisen jälkeen FCC voi ensinnäkin määrätä viestintätoiminnan harjoittajan maksamaan vahingonkorvausta (monetary damages)(15), 47 U.S.C. § 209. Vaihtoehtoisesti FCC voi antaa viestintätoiminnan harjoittajalle kieltomääräyksen (cease and desist) ja määrätä sen lopettamaan oikeudenvastaisen käytännön, 47 U.S.C. § 205(a). Kolmanneksi FCC voi määrätä viestintätoiminnan harjoittajan mukautumaan ja noudattamaan FCC:n mahdollisesti määräämiä sääntöjä tai käytäntöjä (conform to and observe [any] regulation or practice), id.

Yksityishenkilöt, jotka katsovat, että televiestintätoiminnan harjoittaja tai kaapelioperaattori on rikkonut Communications Act -lain tai Cable Act -lain asiaankuuluvia säännöksiä, voivat joko tehdä valituksen FCC:lle tai nostaa kanteen liittovaltion piirioikeudessa, 47 U.S.C. § 207. Kantajalle, joka voittaa asiakastietojen suojaamatta jättämisestä Communications Act -lain laajan 222 pykälän nojalla liittovaltion piirioikeudessa televiestintätoiminnan harjoittajaa vastaan nostetun kanteen, voidaan myöntää todellisia vahinkoja vastaavia vahingonkorvauksia ja korvata asianajokulut, 47 U.S.C. § 206. Kantajalle, joka nostaa kanteen yksityisyyden loukkaamisesta Cable Act -lain kaapelitoimintaa koskevan 551 pykälän nojalla, voidaan todellisia vahinkoja vastaavien vahingonkorvausten ja asianajokulujen lisäksi myöntää rangaistuksen luonteisia korvauksia ja kohtuulliset oikeudenkäyntikulut, 47 U.S.C. § 551(f).

FCC on antanut 222 pykälän soveltamisesta yksityiskohtaiset säännöt, ks. 47 CFR 64.2001-2009. Säännöt sisältävät erityiset suojatoimet asiakkaiden verkkotietojen luvattoman käytön estämiseksi. Säännöissä edellytetään, että televiestintätoiminnan harjoittajat:

- kehittävät ja käyttävät ohjelmistoja, jotka ilmoittavat (flag) asiakkaan ilmoituksen tai hyväksymisen tilan, kun asiakkaan tiedot tulevat näyttöruudulle ensimmäisen kerran,

- ylläpitävät sähköistä seurantajärjestelmää (audit trail), jolla seurataan asiakkaan tietojen käyttöä, myös milloin asiakasta koskevia tiedostoja on avattu, kenen toimesta ja mitä tarkoitusta varten,

- antavat henkilökunnalle koulutusta asiakkaan verkkotietojen luvallisesta käytöstä ja perustavat asianmukaiset kurinpitomenettelyt,

- laativat valvontamenettelyn, jolla varmistetaan sääntöjen noudattaminen ulospäin suuntautuvan markkinoinnin yhteydessä, ja

- ilmoittavat FCC:lle vuosittain, miten ne noudattavat näitä sääntöjä.

Lentoyhtiöt

Yhdysvaltalaiset ja ulkomaiset lentoyhtiöt, jotka kuuluvat vuoden 1958 Federal Aviation Act -lain soveltamisalaan, ovat myös poikkeus FTC Act -lain 5 pykälään, ks. 15 U.S.C. § 45(a)(2). Tähän kuuluvat kaikki tavaroiden, matkustajien tai postin kuljetusta osavaltioiden välisessä tai ulkomaan lentoliikenteessä tarjoavat, ks. 49 U.S.C. § 40102. Lentoyhtiöt kuuluvat liikenneministeriön toimivallan alaisuuteen. Tässä yhteydessä liikenneministeriöllä on toimivalta ryhtyä toimiin sopimattomien, harhaanjohtavien, riistävien tai kilpailun vastaisten käytäntöjen estämiseksi lentoliikenteessä (preventing unfair, deceptive, predatory, or anticompetitive practices in air transportation), 49 U.S.C. § 40101(a)(9). Liikenneministeriö voi tutkia, onko yhdysvaltalainen tai ulkomainen lentoyhtiö tai lipunmyyjä noudattanut sopimattomia tai harhaanjohtavia käytäntöjä, jos se on yleisen edun mukaista, 49 U.S.C. § 41712. Kuulemisen jälkeen liikenneministeriö voi antaa määräyksen laittoman käytännön lopettamiseksi, id. Tiedossa ei ole, että liikenneministeriö olisi käyttänyt tätä toimivaltuuttaan lentoyhtiöiden asiakkaiden henkilötietojen suojaan liittyvissä kysymyksissä(16).

Lentoyhtiöihin sovelletaan tietyissä olosuhteissa kahta säännöstä, jotka koskevat henkilötietojen suojaa. Ensinnäkin Federal Aviation Act -lailla suojellaan lentäjäksi hakevien yksityisyyttä, ks. 49 U.S.C. § 44936(f). Lentoyhtiöillä on mahdollisuus saada hakijan aikaisempia työsuhteita koskevia tietoja, mutta lain mukaan hakijoille on ilmoitettava tietojen pyytämisestä, hakijalla on oikeus antaa suostumuksensa ja korjata virheet ja vaatia, että tiedot luovutetaan vain työhön ottamisesta päättäville. Toiseksi, DOT-säädökset edellyttävät, että lento-onnettomuuksien varalta valtion käyttöön kerätyt matkustajatiedot on pidettävä luottamuksellisina ja annettava ainoastaan sisäministeriön, National Transportation Boardin (NTSB:n pyynnöstä) ja liikenneministeriön käyttöön (be kept confidential and released only to the U.S. Department of State, the National Transportation Board (upon the NTSB's request), and the U.S. Department of Transportation), 14 CFR osa 243, § 243.9(c) (lisättynä 63 FR 8258:lla).

Lihanpakkausliikkeet ja karjanvälittäjät

Vuoden 1921 Packers and Stockyards Act -lain (7 U.S.C. § 181 et seq.) mukaan on laitonta, jos lihanpakkausliike karjan, lihan, lihatuotteiden tai valmistamattomien eläintuotteiden osalta tai siipikarjanvälittäjä elävän siipikarjan osalta ryhtyy sopimattomiin, epäoikeudenmukaisiin tai harhaanjohtaviin käytäntöihin tai keinoihin tai toimii tällä tavoin (any packer with respect to livestock, meats, meat food products, or livestock products in unmanufactured form, or for any live poultry dealer with respect to live poultry, to engage in or use any unfair, unjustly discriminatory, or deceptive practice or device), 7 U.S.C. § 192(a); ks. myös 7 U.S.C. § 213(a) (sopimattomien, epäoikeudenmukaisten tai harhaanjohtavien käytäntöjen tai keinojen (any unfair, unjustly discriminatory, or deceptive practice or device) kieltämisestä karjan yhteydessä). Maatalousministeriöllä on ensisijainen vastuu näiden säännösten täytäntöönpanosta, kun taas FTC:llä on toimivalta vähittäiskaupan alalla ja siipikarjan yhteydessä, 7 U.S.C. § 227(b)(2).

Ei ole selvää, tulkitseeko maatalousministeriö, että lihanpakkausliikkeen tai siipikarjanvälittäjän ilmoitetun toimintalinjan mukaisen yksityisyyden suojan puuttuminen on Packers and Stockyards Act -lain mukaista harhaanjohtavaa (deceptive) käytäntöä. Lain 5 pykälän poikkeuksia kuitenkin sovelletaan henkilöihin tai yhtiöihin vain siinä määrin kuin ne kuuluvat Packers and Stockyards Act -lain soveltamisalaan (insofar as they are subject to the Packers and Stockyards Act). Siten, jos yksityisyyden suoja ei sisälly Packers and Stockyards Act -lain säännöksiin, 5 pykälän poikkeusta ei ehkä sovelleta ja lihanpakkausliikkeet ja karjanvälittäjät kuuluvat FTC:n toimivaltaan kyseisessä asiassa.

Osavaltioiden toimivalta sopimattomien tai harhaanjohtavien käytäntöjen (Unfair and Deceptive Practices) suhteen

FTC:n laatiman tutkimuksen mukaan kaikki 50 osavaltiota sekä District of Columbia, Guam, Puerto Rico ja Yhdysvaltain Neitsytsaaret ovat säätäneet Federal Trade Commission Act -lakia vastaavia lakeja sopimattomien tai harhaanjohtavien kauppakäytäntöjen estämiseksi (All fifty states plus the District of Columbia, Guam, Puerto Rico, and the U.S. Virgin Islands have enacted laws more or less like the Federal Trade Commission Act ("FTCA") to prevent unfair or deceptive trade practices), FTC:n tietosivu, painos Comment, Consumer Protection: The Practical Effectiveness of State Deceptive Trade Practices Legislation, 59 Tul. L. Rev. 427 (1984). Kaikissa tapauksissa täytäntöönpanoviranomaisella on toimivaltuus suorittaa tutkimuksia käyttämällä haasteita tai siviilitutkintapyyntöjä sekä hankkimalla vakuutuksia vapaaehtoisesta sääntöjen noudattamisesta, antaa kieltomääräyksiä tai saada tuomioistuimelta kieltotuomio sopimattomien, kohtuuttomien tai harhaanjohtavien kaupankäyntikäytäntöjen estämiseksi (to conduct investigacions through the use of subpoenas or civil investigative demands, obtain assurances of voluntary compliance, to issue cease and desist orders or obtain court injunctions preventing the use of unfair, unconscionable or deceptive trade practices), id. Lisäksi 46 lainkäyttöalueella laissa sallitaan yksityiset vahingonkorvauskanteet todellisten, kaksinkertaisten, kolminkertaisten tai rangaistuksen luonteisten korvausten saamiseksi ja joissakin tapauksissa oikeudenkäyntikulut ja asianajokulut korvataan, id.

Esimerkiksi Floridan Deceptive and Unfair Trade Practices Act -laissa osavaltion attorney generalille annetaan toimivaltuudet tutkia ja nostaa siviilikanne sopimattomia kilpailumenetelmiä sekä sopimattomia, kohtuuttomia tai harhaanjohtavia kaupankäyntikäytäntöjä vastaan (unfair methods of competition, unfair, unconscionable or deceptive trade practices), mukaan lukien väärä tai harhaanjohtava mainonta, harhaanjohtava edustussop