KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2021/1772,

annettu 28 päivänä kesäkuuta 2021,

Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa

(tiedoksiannettu numerolla C(2021) 4800)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (1), jäljempänä ’yleinen tietosuoja-asetus’, ja erityisesti sen 45 artiklan 3 kohdan,

sekä katsoo seuraavaa:

1. JOHDANTO

(1) Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, joka sisältää artiklat 44–50. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa. (2)

(2) Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle ilman erillistä lupaa, kuten kyseisen asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.

(3) Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Analyysissa on tarkasteltava sekä tietojen tuojia koskevia sääntöjä että rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Vertailukohtana tässä arvioinnissa on Euroopan unionin lainsäädännön ja erityisesti asetuksen (EU) 2016/679 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä.

(4) Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin identtinen. (5) Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason. (6) Tietosuojan riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan arvioidaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö tietosuojaan liittyvillä oikeuksilla on ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti. (7)

(5) Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 8–270 kappaleessa esitettyjen havaintojen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.

(6) Tämä päätelmä ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi, jäljempänä ’maahanmuuttoa koskeva poikkeus’, Yhdistyneen kuningaskunnan tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla. Yhdistyneen kuningaskunnan lainsäädäntöön perustuvan maahanmuuttoa koskevan poikkeuksen pätevyyttä ja tulkintaa ei ole ratkaistu Englannin ja Walesin muutoksenhakutuomioistuimen (Court of Appeal) 26 päivänä toukokuuta 2021 antamalla päätöksellä. Vaikka Court of Appeal toteaa, että rekisteröidyn oikeuksia voidaan periaatteessa rajoittaa maahanmuuton valvonnan varmistamiseksi, koska kyseessä on ”tärkeä yleistä etua koskeva näkökohta”, se katsoo kuitenkin, että maahanmuuttoa koskeva poikkeus on nykymuodossaan ristiriidassa Yhdistyneen kuningaskunnan lainsäädännön kanssa, koska kyseisessä lainsäädäntötoimenpiteessä ei ole säännöksiä, joissa mainittaisiin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (8) (United Kingdom General Data Protection Regulation, UK GDPR) 23 artiklan 2 kohdassa luetellut suojatoimet. Näin ollen sellaisten henkilötietojen siirtäminen unionista Yhdistyneeseen kuningaskuntaan, joihin voidaan soveltaa maahanmuuttoa koskevaa poikkeusta, olisi suljettava tämän päätöksen soveltamisalan ulkopuolelle. (9) Maahanmuuttoa koskevaa poikkeusta ja tarvetta jatkaa tämän päätöksen soveltamisalan rajoittamista olisi tarkasteltava uudelleen sen jälkeen kun poikkeuksen yhteensopimattomuus Yhdistyneen kuningaskunnan lainsäädännön kanssa on korjattu.

(7) Tämä päätös ei saisi vaikuttaa asetuksen (EU) 2016/679 suoraan soveltamiseen Yhdistyneeseen kuningaskuntaan sijoittautuneisiin organisaatioihin silloin kun asetuksen 3 artiklassa vahvistetut, sen alueellista soveltamisalaa koskevat edellytykset täyttyvät.

2. HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT

2.1 Perustuslaillinen kehys

(8) Yhdistynyt kuningaskunta on parlamentaarinen demokratia, jonka valtionpäämiehenä toimii perustuslaillinen monarkki. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille. Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen.

(9) Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan sellaista alueellista lainsäädäntöä, jonka osalta Yhdistyneen kuningaskunnan parlamentti ei ole varannut toimivaltaa itselleen. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin. Yhdistyneellä kuningaskunnalla ei ole kodifioitua perustuslakia, joka olisi vahvistettu tietyssä asiakirjassa. Perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tuomioistuimet ovat tunnustaneet tiettyjen lakien perustuslaillisen arvon; näitä ovat mm. Magna Carta, vuoden 1689 Oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia tapaoikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. (10)

(10) Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1, 2 ja 3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16, 17 ja 18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen (ja oikeus tietosuojaan osana tätä oikeutta) sekä oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.

(11) Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (12) Lisäksi primaarilainsäädäntöä ja johdettua oikeutta on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (13)

2.2 Yhdistyneen kuningaskunnan tietosuojakehys

(12) Yhdistynyt kuningaskunta erosi Euroopan unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Ennen eroa ja siirtymäkauden aikana henkilötietojen suojaa koskevan Yhdistyneen kuningaskunnan lainsäädäntökehyksen muodostivat asiaa koskeva EU:n lainsäädäntö (erityisesti asetus (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (15)) ja kansallinen lainsäädäntö. Kansalliseen lainsäädäntöön kuului erityisesti vuoden 2018 tietosuojalaki (16), jossa vahvistettiin asetuksen (EU) 2016/679 sallimissa puitteissa kansalliset säännöt, joilla täsmennettiin ja rajoitettiin asetuksen (EU) 2016/679 sääntöjen soveltamista ja saatettiin direktiivin (EU) 2016/680 säännökset osaksi kansallista lainsäädäntöä.

(13) Valmistautuakseen Euroopan unionista eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018 (17)), jäljempänä ’eroamista koskeva laki’, jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön. (18) Tämä nk. ”säilytetty EU:n lainsäädäntö” käsittää asetuksen (EU) 2016/679 kokonaisuudessaan (myös johdanto-osan kappaleet). (19) Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava tätä sellaisenaan säilytettyä EU:n lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. (20)

(14) Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. He käyttivät tätä toimivaltaa antamalla tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019) (21). Mainituilla säädöksillä muutetaan asetusta (EU) 2016/679, sellaisena kuin se on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä Euroopan unionista eroamista koskevalla vuoden 2018 lailla, vuoden 2018 tietosuojalailla ja muilla tietosuojasäädöksillä, jotta se sopisi kansalliseen kontekstiin. (22)

(15) Näin ollen henkilötietojen suojaa koskeva Yhdistyneen kuningaskunnan oikeudellinen kehys muodostuu siirtymäkauden päättymisen jälkeen seuraavista: — Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus, sellaisena kuin se on sisällytettynä Yhdistyneen kuningaskunnan lainsäädäntöön Euroopan unionista eroamista koskevan vuoden 2018 lain nojalla ja muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä (23), ja — Vuoden 2018 tietosuojalaki (24), sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä.

(16) Koska Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus perustuu säilytettyyn EU:n lainsäädäntöön, Yhdistyneen kuningaskunnan tietosuojasäännöt ovat monessa suhteessa hyvin samankaltaisia kuin Euroopan unionissa sovellettavat säännöt.

(17) Sen lisäksi, että eroamista koskevalla lailla (Withdrawal Act 2018) on annettu tiettyjä valtuuksia Secretary of Statelle, myös vuoden 2018 tietosuojalailla annetaan hänelle valtuudet antaa johdettua lainsäädäntöä kyseisen lain tiettyjen säännösten muuttamiseksi tai uusien täydentävien sääntöjen antamiseksi. (25) Toistaiseksi Secretary of State on käyttänyt vuoden 2018 tietosuojalain 137 §:ään perustuvaa toimivaltaansa ainoastaan hyväksymällä tietosuojaan liittyviä maksuja ja tiedottamista koskevien vuoden 2019 säädösten muutokset (Data Protection (Charges and Information) (Amendment) Regulations 2019). Niissä esitetään olosuhteet, joissa rekisterinpitäjien on maksettava vuotuinen maksu Yhdistyneen kuningaskunnan riippumattomalle tietosuojaviranomaiselle eli tietosuojavaltuutetulle (Information Commissioner).

(18) Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä koskevia lisäohjeita annetaan käytännesäännöissä ja muissa tietosuojavaltuutetun laatimissa ohjeissa. Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä sovelletaan ja miten tietosuojaviranomainen valvoo sen noudattamista. Vuoden 2018 tietosuojalain 121–125 §:ssä edellytetään erityisesti, että tietosuojaviranomainen laatii käytännesäännöt tietojen yhteiskäytöstä, suoramarkkinoinnista, lapset huomioon ottavien verkkopalvelujen suunnittelusta ja tietosuojasta sekä journalismista.

(19) Tämän päätöksen nojalla siirrettäviin tietoihin sovellettava Yhdistyneen kuningaskunnan lainsäädäntökehys on siis rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin Euroopan unionissa sovellettava lainsäädäntökehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

2.3 Aineellinen ja alueellinen soveltamisala

(20) Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan asetuksen (EU) 2016/679 tavoin henkilötietojen käsittelyyn, joka on kokonaan tai osittain automaattista, sekä sellaisten henkilötietojen muuhun kuin automatisoituun käsittelyyn, jotka muodostavat rekisterin osan. (26) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa olevat ”henkilötietojen”, ”rekisteröidyn” ja ”käsittelyn” määritelmät ovat samat kuin asetuksessa (EU) 2016/679. (27) Lisäksi Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan tiettyjen Yhdistyneen kuningaskunnan viranomaisten (28) hallussa olevien jäsentelemättömien henkilötietojen manuaaliseen käsittelyyn (29). Tosin vuoden 2018 tietosuojalain 24 ja 25 §:n nojalla ei sovelleta niitä tietosuoja-asetuksen periaatteita ja oikeuksia, jotka ovat tällaisten henkilötietojen kannalta epäolennaisia. Samoin kuin asetusta (EU) 2016/679, myöskään Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. (30)

(21) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ulotetaan sen soveltamisala kattamaan henkilötietojen käsittely myös sellaisen toiminnan yhteydessä, joka välittömästi ennen siirtymäkauden päättymistä ei kuulunut Euroopan unionin oikeuden soveltamisalaan (esim. kansallinen turvallisuus) (31) tai joka kuului Euroopan unionista tehdyn sopimuksen 5 osaston 2 luvun soveltamisalaan (yhteinen ulko- ja turvallisuuspolitiikka) (32). Samoin kuin EU:n järjestelmässä, Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta henkilötietojen käsittelyyn, jota toimivaltainen viranomainen suorittaa ”lainvalvontatarkoituksessa” eli rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tällaiseen käsittelyyn sovelletaan sen sijaan vuoden 2018 tietosuojalain 3 osan säännöksiä (EU:n oikeudessa sovelletaan vastaavasti direktiiviä (EU) 2016/680). Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta myöskään tiedustelupalvelujen (Security Service, Secret Intelligence Service ja Government Communications Headquarters) suorittamaan henkilötietojen käsittelyyn, vaan siihen sovelletaan vuoden 2018 tietosuojalain 4 osan säännöksiä. (33)

(22) Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen alueellinen soveltamisala määritellään asetuksen 3 artiklassa (34). Se kattaa henkilötietojen käsittelyn, jota suoritetaan Yhdistyneen kuningaskunnan alueella sijaitsevassa rekisterinpitäjän tai henkilötietojen käsittelijän toimipaikassa toiminnan yhteydessä (riippumatta siitä, missä käsittely suoritetaan), sekä Yhdistyneessä kuningaskunnassa olevia rekisteröityjä koskevien henkilötietojen käsittelyn, jos käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai näiden rekisteröityjen käyttäytymisen seurantaan. (35) Lähestymistapa on sama kuin asetuksen (EU) 2016/679 3 artiklassa.

2.4 Henkilötietojen määritelmä ja rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet

(23) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksessa (EU) 2016/679 vahvistetut henkilötietojen, käsittelyn, henkilötietojen käsittelijän ja pseudonymisoinnin määritelmät ilman olennaisia muutoksia. (36) Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellään erityiset henkilötietoryhmät samalla tavoin kuin asetuksessa (EU) 2016/679 (”sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely”). Vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (37), ’terveyttä koskevat tiedot’ (38) ja ’geneettiset tiedot’ (39).

2.5 Suojatoimet, oikeudet ja velvollisuudet

2.5.1 Tietojenkäsittelyn lainmukaisuus ja kohtuullisuus

(24) Henkilötietojen käsittelyn olisi oltava lainmukaista ja kohtuullista.

(25) Lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteet sekä laillisen käsittelyn perusteet taataan Yhdistyneen kuningaskunnan lainsäädännössä sen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa ja 6 artiklan 1 kohdassa. Nämä säännökset ovat identtisiä asetuksen (EU) 2016/679 vastaavien säännösten kanssa. (40) Vuoden 2018 tietosuojalain 8 § täydentää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaa, sillä sen mukaan 6 artiklan 1 kohdan e alakohtaan perustuvalla henkilötietojen käsittelyllä (joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi) tarkoitetaan myös henkilötietojen käsittelyä, joka on tarpeen oikeudenkäyttöä varten tai parlamentin alahuoneelle kuuluvan tai tietylle henkilölle normatiivisen säädöksen tai lain nojalla osoitetun tehtävän, valtiolle (Crown), Yhdistyneen kuningaskunnan ministerille tai ministeriön osastolle kuuluvan tehtävän tai demokratiaan osallistumista tukevan tai edistävän toimen suorittamiseksi.

(26) Myös suostumuksen osalta (joka on yksi lainmukaisen käsittelyn edellytyksistä) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säilytetään asetuksen (EU) 2016/679 7 artiklassa säädetyt edellytykset muuttamattomina: rekisterinpitäjän on voitava osoittaa, että rekisteröity on antanut suostumuksensa, suostumusta koskeva pyyntö on esitettävä kirjallisesti selkeällä ja yksinkertaisella kielellä, rekisteröidyllä on oltava oikeus peruuttaa suostumus milloin tahansa, ja arvioitaessa suostumuksen vapaaehtoisuutta on otettava huomioon se, onko jonkin sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 8 artiklassa säädetään, että tietoyhteiskunnan palvelujen tarjoamisen yhteydessä lapsen suostumus on lainmukainen vain jos lapsi on vähintään 13-vuotias. Tämä vastaa asetuksen (EU) 2016/679 8 artiklassa säädettyä ikävaatimusta.

2.5.2 Erityisten henkilötietoryhmien käsittely

(27) ”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.

(28) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa vahvistetaan käsittelysäännöt erityisille tietoryhmille, jotka määritellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa samalla tavoin kuin asetuksessa (EU) 2016/679 (ks. johdanto-osan (23) kappale). Mainitun 9 artiklan mukaan erityisten tietoryhmien käsittely on periaatteessa kielletty, ellei sovelleta jotakin poikkeusta.

(29) Nämä poikkeukset (Yhdistyneen kuningaskunnan tietosuoja-asetuksen 9 artiklan 2 ja 3 kohta) eivät poikkea sisällöltään asetuksen (EU) 2016/679 9 artiklan 2 ja 3 kohdassa säädetyistä poikkeuksista. Ellei rekisteröity ole antanut nimenomaista suostumustaan näiden tietoryhmien käsittelyyn, käsittely on sallittu vain tietyissä ja rajoitetuissa olosuhteissa. Useimmissa tapauksissa arkaluontoisten tietojen käsittelyn on oltava tarpeen asianomaisessa säännöksessä määriteltyä erityistä tarkoitusta varten (ks. 9 artiklan 2 kohdan b, c, f, g, h, i ja j alakohta).

(30) Jos Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetty poikkeus edellyttää lain mukaista lupaa tai jos siinä viitataan yleiseen etuun, vuoden 2018 tietosuojalain 10 §:ssä, luettuna yhdessä sen liitteen 1 kanssa, täsmennetään lisäksi edellytykset, joiden on täytyttävä, jotta poikkeusta voidaan soveltaa. Jos kyse on esimerkiksi arkaluontoisten tietojen käsittelystä kansanterveyden suojelemiseksi (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohta), liitteessä 1 olevan 1 osan 3 kohdan b alakohdassa edellytetään tarpeellisuustestin lisäksi, että ”tietoja käsittelee tai käsittelystä vastaa terveydenhuollon ammattihenkilö” tai ”toinen henkilö, jota niin ikään sitoo salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla”; tämä voi tarkoittaa myös common law -oikeudessa vakiintunutta salassapitovelvollisuutta.

(31) Kun arkaluontoisia tietoja käsitellään tärkeää yleistä etua koskevasta syystä (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta), vuoden 2018 tietosuojalain liitteessä 1 olevassa 2 osassa esitetään tyhjentävä luettelo tarkoituksista, joita voidaan pitää merkittävänä yleistä etua koskevana syynä, ja niihin kuhunkin sovellettavat erityiset lisäedellytykset. Merkittäväksi yleisen edun mukaiseksi syyksi katsotaan esimerkiksi rodullisen ja etnisen monimuotoisuuden edistäminen organisaatioiden ylemmillä tasoilla. Arkaluontoisten tietojen käsittelyyn tätä nimenomaista tarkoitusta varten sovelletaan yksityiskohtaisia vaatimuksia. Käsittely on muun muassa toteutettava osana prosessia, jossa yksilöidään ylemmän tason tehtäviin soveltuvia henkilöitä. Lisäksi käsittelyn on oltava tarpeen rodullisen ja etnisen monimuotoisuuden edistämiseksi eikä se saa olla omiaan aiheuttamaan rekisteröidylle merkittävää vahinkoa tai huomattavaa kärsimystä.

(32) Vuoden 2018 tietosuojalain 11 §:n 1 momentissa vahvistetaan edellytykset henkilötietojen käsittelylle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 3 kohdassa kuvatuissa salassapitovelvollisuutta koskevissa olosuhteissa. Tämä tarkoittaa myös olosuhteita, joissa tietoja käsittelee terveydenhuollon ammattihenkilö tai sosiaalityöntekijä tai toinen henkilö, jota sitoo kyseisissä olosuhteissa salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla.

(33) Lisäksi monet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa luetelluista poikkeuksista edellyttävät asianmukaisia ja erityisiä suojatoimia, jotta niitä voidaan soveltaa. Vuoden 2018 tietosuojalain liitteessä 1 säädetään käsittelyn edellytykseksi erilaisia suojatoimia sen mukaan, minkälaisesta käsittelystä on kyse ja miten suuri riski siitä aiheutuu rekisteröityjen oikeuksille ja vapauksille. Liitteessä 1 esitetään edellytykset kullekin käsittelytilanteelle.

(34) Joissain tapauksissa vuoden 2018 tietosuojalaissa säännellään ja rajoitetaan sitä, minkätyyppisiä arkaluontoisia tietoja voidaan käsitellä tietyn oikeusperustan nojalla. Esimerkiksi liitteessä 1 olevassa 8 kohdassa sallitaan arkaluontoisten tietojen käsittely yhtäläisten mahdollisuuksien tai kohtelun edistämistä varten. Tätä käsittelyedellytystä voidaan käyttää vain jos tiedoista käy ilmi rotu tai etninen alkuperä, uskonnollinen tai filosofinen vakaumus tai seksuaalinen suuntautuminen tai jos kyseessä on terveystieto.

(35) Joissain tapauksissa vuoden 2018 tietosuojalailla rajoitetaan sitä, minkätyyppinen rekisterinpitäjä voi soveltaa kyseistä käsittelyedellytystä. Esimerkiksi liitteessä 1 olevassa 23 kohdassa säädetään arkaluontoisten tietojen käsittelystä valittujen edustajien yleisölle antamien vastausten yhteydessä. Tätä käsittelyedellytystä voidaan soveltaa vain jos rekisterinpitäjä on kyseinen valittu edustaja tai toimii tämän toimivallan nojalla.

(36) Eräissä muissa tapauksissa vuoden 2018 tietosuojalaissa rajoitetaan sitä, mihin rekisteröityjen ryhmiin käsittelyedellytystä voidaan soveltaa. Esimerkiksi liitteessä 1 olevassa 21 kohdassa säädetään arkaluontoisten tietojen käsittelystä ammatillisten lisäeläkejärjestelmien yhteydessä. Tätä edellytystä voidaan soveltaa vain jos asianomainen rekisteröity on järjestelmään kuuluvan henkilön sisarus, vanhempi, isovanhempi tai isoisovanhempi.

(37) Kun vedotaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädettyihin poikkeuksiin, joita täsmennetään vuoden 2018 tietosuojalain 10 §:ssä ja tietosuojalain liitteessä 1, rekisterinpitäjän on lisäksi useimmissa tapauksissa laadittava ”asianmukainen toimintapoliittinen asiakirja” (Appropriate Policy document). Asiakirjassa on selitettävä, miten rekisterinpitäjä varmistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklassa vahvistettujen tietosuojaperiaatteiden noudattamisen. Siinä on myös esitettävä henkilötietojen säilyttämistä ja poistamista koskevat toimintaperiaatteet ja ilmoitettava, kuinka kauan henkilötietoja todennäköisesti säilytetään. Rekisterinpitäjien on tarkistettava ja päivitettävä tämä asiakirja tarpeen mukaan. Rekisterinpitäjän on säilytettävä toimintapoliittinen asiakirja kuuden kuukauden ajan käsittelyn päättymisestä ja toimitettava se pyynnöstä tietosuojavaltuutetulle. (41)

(38) Vuoden 2018 tietosuojalain liitteessä 1 olevan 41 kohdan nojalla toimintapoliittisen asiakirjan liitteenä on aina oltava seloste, joka kattaa kaikki käsittelytoimet. Selosteessa on mainittava toimintapoliittiseen asiakirjaan sisältyvät sitoumukset eli se, poistetaanko tiedot vai säilytetäänkö ne toimintaperiaatteiden mukaisesti. Jos toimintaperiaatteita ei ole noudatettu, syy siihen on kirjattava lokiin. Selosteessa on myös kuvattava, miten käsittely täyttää vaatimukset, joista säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklassa (käsittelyn lainmukaisuus) ja vuoden 2018 tietosuojalain liitteessä 1 (erityiset edellytykset).

(39) Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa, samoin kuin asetuksessa (EU) 2016/679, säädetään myös yleisistä suojatoimista, joita sovelletaan tiettyihin erityisiä tietoryhmiä koskeviin käsittelytoimiin. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 35 artiklassa edellytetään tietosuojaa koskevan vaikutustenarvioinnin laatimista, jos erityisiä tietoryhmiä käsitellään laajassa mittakaavassa. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 37 artiklan mukaan rekisterinpitäjän tai henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, jos rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat käsittelystä, joka kohdistuu laajamittaisesti henkilötietojen erityisryhmiin.

(40) Rikostuomioita ja rikoksia koskevien henkilötietojen osalta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 10 artikla on identtinen asetuksen (EU) 2016/679 10 artiklan kanssa. Sen mukaan rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely on sallittu ainoastaan viranomaisen valvonnassa tai silloin, kun se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.

(41) Silloin kun rikostuomioita ja rikoksia koskevia tietoja ei käsitellä viranomaisen valvonnassa, vuoden 2018 tietosuojalain 10 §:n 5 momentissa säädetään, että tällainen käsittely voidaan suorittaa ainoastaan vuoden 2018 tietosuojalain liitteessä 1 olevassa 1, 2 ja 3 osassa esitettyjä erityisiä tarkoituksia varten / erityisissä tilanteissa ja että siihen on sovellettava kutakin tällaista tarkoitusta/tilannetta varten vahvistettuja erityisiä vaatimuksia. Esimerkiksi rikostuomioita koskevia tietoja voidaan käsitellä voittoa tavoittelemattomissa elimissä, jos käsittely suoritetaan a) poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin ja b) sillä edellytyksellä, i) että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai entisiä jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen tarkoituksiin liittyvät yhteydet, ja ii) että henkilötietoja ei luovuteta yhteisön ulkopuolelle ilman rekisteröidyn suostumusta.

(42) Lisäksi vuoden 2018 tietosuojalain liitteessä 1 olevassa 3 osassa säädetään muista olosuhteista, joissa rikostuomioita koskevia tietoja voidaan käyttää. Nämä olosuhteet vastaavat arkaluonteisten tietojen käsittelyn oikeudellisia perusteita, joista säädetään asetuksen (EU) 2016/679 9 artiklan 2 kohdassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa (esimerkiksi rekisteröidyn suostumus, henkilön elintärkeiden etujen suojaaminen, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, jos rekisteröity on nimenomaisesti jo saattanut tiedot julkisiksi tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi).

2.5.3 Käyttötarkoitussidonnaisuus, täsmällisyys, tietojen minimointi, säilytyksen rajoittaminen ja tietoturva

(43) Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa.

(44) Tämä periaate vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdassa, ja se on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa. Myös asetuksen (EU) 2016/679 6 artiklan 4 kohdan mukaiset sallitun käsittelyn edellytykset on säilytetty ilman olennaisia muutoksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan a–e alakohdassa.

(45) Lisäksi tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

(46) Nämä tietojen minimointia, täsmällisyyttä ja säilytyksen rajoittamista koskevat periaatteet vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan c–e alakohdassa, ja ne on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c–e alakohdassa.

(47) Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.

(48) Tietoturva varmistetaan Yhdistyneen kuningaskunnan lainsäädännössä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa vahvistetun eheyden ja luottamuksellisuuden periaatteen nojalla sekä käsittelyn turvallisuutta koskevalla tietosuoja-asetuksen 32 artiklalla. Mainitut säännökset ovat identtiset asetuksen (EU) 2016/679 säännösten kanssa. Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa edellytetään samoin edellytyksin kuin asetuksen (EU) 2016/679 33 ja 34 artiklassa, että henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 33 artikla) ja rekisteröidylle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 34 artikla).

2.5.4 Läpinäkyvyys

(49) Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.

(50) Tämä varmistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 13 ja 14 artiklalla, joissa vahvistetaan yleisen läpinäkyvyysperiaatteen ohella rekisteröidylle annettavia tietoja koskevat säännöt. (42) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin sääntöihin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin artikloihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, kyseisissä artikloissa vahvistettuihin läpinäkyvyysvaatimuksiin sovelletaan kuitenkin useita poikkeuksia, joista säädetään vuoden 2018 tietosuojalaissa (ks. johdanto-osan (55)–(72) kappale).

2.5.5 Yksilön oikeudet

(51) Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi. Toisaalta tällaisiin oikeuksiin voidaan soveltaa rajoituksia, kunhan rajoitukset ovat välttämättömiä ja oikeasuhteisia yleisen turvallisuuden tai muiden yleisen edun mukaisten tärkeiden tavoitteiden turvaamiseksi.

2.5.5.1 Aineelliset oikeudet

(52) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa taataan yksilöille samat täytäntöönpanokelpoiset oikeudet kuin asetuksella (EU) 2016/679. Yksilön oikeuksia koskevat säännökset on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia.

(53) Näitä oikeuksia ovat mm. rekisteröidyn oikeus saada pääsy tietoihin (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 15 artikla), oikeus oikaista tiedot (16 artikla), oikeus poistaa tiedot (17 artikla), oikeus rajoittaa käsittelyä (18 artikla), velvollisuus ilmoittaa henkilötietojen oikaisemista tai poistamista tai käsittelyn rajoittamista koskevasta oikeudesta (19 artikla), oikeus siirtää tiedot järjestelmästä toiseen (20 artikla) ja oikeus vastustaa henkilötietojen käsittelyä (21 artikla). (43) Viimeksi mainittuun sisältyy myös rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä suoramarkkinointia varten (asetuksen (EU) 2016/679 21 artiklan 2 ja 3 kohta). Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 122 §:n nojalla laadittava suoramarkkinointia koskevat käytännesäännöt, joissa noudatetaan tietosuojalainsäädännön vaatimuksia (ja vuoden 2003 yksityisyydensuojaa ja sähköistä viestintää koskevia säädöksiä (Privacy and Electronic Communications (EC Directive) Regulations 2003) sekä muita tietosuojavaltuutetun hyödyllisiksi katsomia ohjeita, joilla edistetään suoramarkkinointiin liittyviä hyviä käytäntöjä. Tietosuojavaltuutetun toimisto laatii parhaillaan näitä suoramarkkinointia koskevia käytännesääntöjä (44).

(54) Rekisteröidylle asetuksen (EU) 2016/679 22 artiklan nojalla kuuluva oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka on tehty yksinomaan automatisoidun käsittelyn perusteella ja josta hänelle aiheutuu haitallisia oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Siihen on kuitenkin lisätty uusi 3A kohta, jossa viitataan siihen, että vuoden 2018 tietosuojalain 14 §:ssä säädetään rekisteröityjen oikeuksia, vapauksia ja oikeutettuja etuja koskevista suojatoimista silloin kun tietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan nojalla. Tätä sovelletaan vain silloin kun tällaisen päätöksen perusteena on Yhdistyneen kuningaskunnan lainsäädännön mukainen lupa tai vaatimus. Sitä ei sovelleta, jos päätös on tarpeen sopimuksen nojalla tai jos se on tehty rekisteröidyn nimenomaisen suostumuksen perusteella. Kun sovelletaan vuoden 2018 tietosuojalain 14 §:ää, rekisterinpitäjän on, niin pian kuin se on kohtuudella mahdollista, ilmoitettava rekisteröidylle kirjallisesti, että päätös on tehty yksinomaan automaattisen käsittelyn perusteella. Rekisteröidyllä on oikeus pyytää (kuukauden kuluessa ilmoituksen vastaanottamisesta), että rekisterinpitäjä joko harkitsee päätöstä uudelleen tai tekee uuden päätöksen, joka ei perustu yksinomaan automaattiseen käsittelyyn. Secretary of Statella on valtuudet hyväksyä lisää suojatoimia automatisoitua päätöksentekoa varten. Näitä valtuuksia ei ole vielä käytetty.

2.5.5.2 Yksilön oikeuksia ja muita säännöksiä koskevat rajoitukset

(55) Vuoden 2018 tietosuojalaissa asetetaan useita yksilön oikeuksiin sovellettavia rajoituksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan puitteissa. Tässä yhteydessä ei oteta käyttöön rajoituksia, jotka koskisivat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 21 artiklan 2 ja 3 kohdassa säädettyä oikeutta vastustaa suoramarkkinointia tai Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklassa säädettyä oikeutta olla joutumatta automaattisen päätöksenteon kohteeksi.

(56) Rajoitukset esitetään yksityiskohtaisesti vuoden 2018 tietosuojalain liitteissä 2–4. Yhdistyneen kuningaskunnan viranomaisten mukaan rajoitukset perustuvat kahteen periaatteeseen: tietyn käsittelytarkoituksen periaatteeseen (yksityiskohtaisen lähestymistavan mukaisesti laaja rajoitus jaetaan useisiin yksityiskohtaisempiin säännöksiin) ja ehdollisuusperiaatteeseen (kutakin säännöstä täydennetään suojatoimilla, jotka esitetään rajoitusten tai ehtojen muodossa väärinkäytösten estämiseksi). (45)

(57) Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa esitettyjen rajoitusten tarkoituksena on varmistaa, että niitä sovelletaan vain tietyissä olosuhteissa, kun se on välttämätöntä demokraattisessa yhteiskunnassa ja oikeassa suhteessa niillä tavoiteltuun oikeutettuun päämäärään nähden. Lisäksi tietosuojajärjestelmästä voidaan rajoitusten tulkintaa koskevan vakiintuneen oikeuskäytännön mukaan poiketa yksittäisessä tapauksessa vain jos se on välttämätöntä ja oikeasuhteista (46). Tarpeellisuusarvioinnin on oltava tiukka, niin että rekisteröidyn oikeuksiin puuttumisen on oltava oikeassa suhteessa yleiseen etuun kohdistuvan uhan vakavuuteen. Se edellyttää näin ollen perinteistä suhteellisuusanalyysia. (47)

(58) Näiden rajoitusten tavoitteet vastaavat asetuksen (EU) 2016/679 23 artiklassa lueteltuja tavoitteita, lukuun ottamatta kansalliseen turvallisuuteen ja puolustukseen liittyviä rajoituksia, joista säädetään sen sijaan vuoden 2018 tietosuojalain 26 §:ssä, mutta joille on asetettu samat tarpeellisuutta ja oikeasuhteisuutta koskevat vaatimukset (ks. johdanto-osan 63–66 kappale).

(59) Tietyt rajoitukset, kuten rikosten ehkäisemiseen ja paljastamiseen tai rikollisten kiinniottoon ja syytteeseenpanoon sekä verojen ja maksujen (48) määräämiseen ja kantamiseen liittyvät rajoitukset, mahdollistavat kaikkien yksilön oikeuksien ja läpinäkyvyyttä koskevien velvoitteiden rajoittamisen (lukuun ottamatta 21 artiklan 2 kohdassa ja 22 artiklassa säädettyjä oikeuksia). Muiden rajoitusten soveltamisala on rajoitettu läpinäkyvyyttä koskeviin velvollisuuksiin ja pääsyoikeuksiin, kuten asianajosalaisuutta (49) koskeviin rajoituksiin, oikeuteen olla antamatta tietoja, jotka voisivat johtaa oman syyllisyyden toteamiseen (50), ja yrityksen rahoitukseen, erityisesti sisäpiirikauppojen estämiseen (51). Vain harvojen rajoitusten nojalla voidaan rajoittaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle tietoturvaloukkauksesta tai käsittelyn käyttötarkoituksen rajoittamista ja käsittelyn lainmukaisuutta, kohtuullisuutta ja läpinäkyvyyttä koskevien periaatteiden soveltamista. (52)

(60) Joitakin rajoituksia sovelletaan automaattisesti ”kaikilta osin” tietyntyyppiseen henkilötietojen käsittelyyn (esimerkiksi läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien soveltaminen on suljettu pois, kun henkilötietojen käsittelyn tarkoituksena on arvioida henkilön soveltuvuutta oikeuslaitoksen virkaan tai kun henkilötietoja käsittelee tuomioistuin tai yksilö lainkäyttötehtäviä suorittaessaan).

(61) Useimmissa tapauksissa vuoden 2018 tietosuojalain liitteessä 2 olevassa asiaa koskevassa kohdassa kuitenkin täsmennetään, että rajoitusta sovelletaan vain (ja ainoastaan siltä osin kuin) säännösten soveltaminen ”voisi todennäköisesti haitata” kyseisellä rajoituksella tavoiteltua oikeutettua päämäärää: esimerkiksi mainittuja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä ei sovelleta henkilötietojen käsittelyyn, jonka tarkoituksena on rikoksen ehkäiseminen tai paljastaminen tai rikollisten kiinniotto tai syytteeseenpano tai verojen ja maksujen määrääminen tai kantaminen ”siltä osin kuin säännösten soveltaminen todennäköisesti haittaisi” jotakin näistä seikoista. (53)

(62) Yhdistyneen kuningaskunnan tuomioistuimissa on johdonmukaisesti tulkittu vakioilmauksen ”voisi todennäköisesti haitata” tarkoittavan, että on olemassa ”erittäin merkittävä ja painava mahdollisuus haittavaikutusten kohdistumisesta yksilöityihin yleisiin etuihin”. (54) Rajoitukseen, jonka osalta on arvioitava siitä mahdollisesti aiheutuvia haittoja, voidaan sen vuoksi vedota vain ja ainoastaan siltä osin kuin on olemassa erittäin merkittävä ja painava mahdollisuus, että tietyn oikeuden myöntäminen aiheuttaisi haittavaikutuksia suhteessa kyseiseen yleiseen etuun. Rekisterinpitäjän vastuulla on arvioida tapauskohtaisesti, täyttyvätkö nämä edellytykset. (55)

(63) Vuoden 2018 tietosuojalain liitteessä 2 säädettyjen rajoitusten ohella vuoden 2018 tietosuojalain 26 §:ssä säädetään poikkeuksesta, jota voidaan soveltaa tiettyihin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain säännöksiin, jos poikkeus on tarpeen kansallisen turvallisuuden tai puolustuksen turvaamiseksi. Tätä poikkeusta sovelletaan tietosuojaperiaatteisiin (lainmukaisuusperiaatetta lukuun ottamatta), läpinäkyvyyttä koskeviin velvoitteisiin, rekisteröidyn oikeuksiin, velvollisuuteen ilmoittaa tietoturvaloukkauksesta, kansainvälisiä tiedonsiirtoja koskeviin sääntöihin, joihinkin tietosuojavaltuutetun tehtäviin ja toimivaltuuksiin sekä tiettyihin oikeussuojakeinoja, vastuuta ja seuraamuksia koskeviin sääntöihin, lukuun ottamatta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklassa säädettyjä hallinnollisten sakkojen määräämistä koskevia yleisiä edellytyksiä ja 84 artiklassa säädettyjä seuraamuksia. Lisäksi vuoden 2018 tietosuojalain 28 §:ssä muutetaan 9 artiklan 1 kohdan soveltamista, jotta voidaan mahdollistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen erityisten tietoryhmien käsittely siltä osin kuin käsittely suoritetaan kansallisen turvallisuuden tai puolustuksen takaamiseksi ja siinä noudatetaan rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. (56)

(64) Poikkeusta voidaan soveltaa vain siltä osin kuin se on tarpeen kansallisen turvallisuuden tai puolustuksen takaamiseksi. Koska sama pätee myös muihin vuoden 2018 tietosuojalaissa säädettyihin poikkeuksiin, rekisterinpitäjän on harkittava poikkeusta ja sen soveltamista tapauskohtaisesti. Poikkeuksen soveltamisessa on lisäksi noudatettava ihmisoikeusnormeja (jotka perustuvat vuoden 1998 ihmisoikeuslakiin), joiden mukaan yksityisyyden suojaan puuttumisen on aina oltava välttämätöntä ja oikeasuhteista demokraattisessa yhteiskunnassa. (57)

(65) Tietosuojavaltuutettu on vahvistanut tämän poikkeuksen tulkinnan ja antanut kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta yksityiskohtaiset ohjeet, joissa täsmennetään, että rekisterinpitäjän on tarkasteltava ja sovellettava poikkeusta tapauskohtaisesti. (58) Ohjeissa painotetaan, että poikkeus ei ole yleispätevä ja että siihen vetoamiseksi ei riitä, että tietoja käsitellään kansalliseen turvallisuuteen liittyviä tarkoituksia varten. Sen sijaan rekisterinpitäjän on poikkeukseen vedotessaan osoitettava, että on olemassa todellinen mahdollisuus, että kansalliseen turvallisuuteen kohdistuu kielteisiä vaikutuksia. Tarvittaessa rekisterinpitäjän on esitettävä [tietosuojavaltuutetulle] näyttöä siitä, miksi poikkeusta on sovellettu. Ohjeisiin sisältyy luettelo tarkistettavista seikoista ja joukko esimerkkejä, jotka selventävät niitä edellytyksiä, joiden täyttyessä poikkeukseen voidaan vedota.

(66) Se, että tietoja käsitellään kansallista turvallisuutta tai puolustusta varten, ei siis yksinään ole riittävä peruste poikkeuksen soveltamiseen. Rekisterinpitäjän on otettava huomioon tosiasialliset seuraukset, joita tietosuojasääntöjen noudattaminen aiheuttaisi kansalliselle turvallisuudelle. Poikkeusta voidaan soveltaa vain niihin erityisiin säännöksiin, joihin riskin on todettu liittyvän, ja sitä on sovellettava mahdollisimman suppeasti. (59)

(67) Viestintäasioita käsittelevä tuomioistuin (Information Tribunal) on vahvistanut tämän lähestymistavan. (60) Asiassa Baker v Secretary of State for the Home Department, jäljempänä ’Baker v Secretary of State’, Information Tribunal katsoi, että kansalliseen turvallisuuteen liittyvän poikkeuksen yleinen soveltaminen tiedustelupalvelujen vastaanottamiin tietopyyntöihin ei ollut lainmukaista. Sen sijaan poikkeusta olisi pitänyt soveltaa tapauskohtaisesti, tarkastelemalla kutakin pyyntöä erikseen sen sisällön perusteella ja ottaen huomioon yksilöiden oikeus nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. (61)

2.5.6 Journalistisia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia sekä arkistointia ja tutkimusta varten käsiteltyjä henkilötietoja koskevat rajoitukset

(68) Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan 2 kohdan mukaan henkilötietojen käsittelylle journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten voidaan säätää vapautuksia tai poikkeuksia useista tietosuoja-asetuksen säännöksistä. Vuoden 2018 tietosuojalain liitteessä 2 olevassa 5 osassa säädetään näitä tarkoituksia varten tapahtuvaa käsittelyä koskevista poikkeuksista. Sen mukaan poikkeukset voivat koskea tietosuojaperiaatteita (eheyden ja luottamuksellisuuden periaatetta lukuun ottamatta), käsittelyn oikeudellisia perusteita (mukaan lukien erityiset tietoryhmät ja rikostuomioita koskevat tiedot ym.), suostumuksen edellytyksiä, läpinäkyvyyttä koskevia velvoitteita, rekisteröidyn oikeuksia, velvollisuutta ilmoittaa tietoturvaloukkauksista, ja vaatimusta kuulla tietosuojavaltuutettua ennen suuririskistä käsittelyä ja kansainvälisiä siirtoja koskevia sääntöjä. (62) Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ei tässä suhteessa poikkea olennaisesti asetuksesta (EU) 2016/679, jonka 85 artiklassa säädetään niin ikään mahdollisuudesta säätää journalistisia tarkoituksia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten suoritettavan käsittelyn osalta poikkeuksia useista asetuksen (EU) 2016/679 vaatimuksista. Vuoden 2018 tietosuojalain säännökset, muun muassa liitteessä 2 olevan 5 osan säännökset, ovat yhteensopivia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen kanssa.

(69) Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan nojalla tehtävässä arvioinnissa on olennaista selvittää, onko johdanto-osan (68) kappaleessa mainittu tietosuojasääntöjä koskeva poikkeus ”tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa”. (63) Vuoden 2018 tietosuojalain liitteessä 2 olevan 26 §:n 2 ja 3 kohdan mukaan Yhdistyneessä kuningaskunnassa tätä varten tehtävä arviointi perustuu kriteeriin ”perusteltu syy uskoa”. Jotta poikkeus olisi oikeutettu, rekisterinpitäjällä on oltava perusteltu syy uskoa, että i) julkaiseminen on yleisen edun mukaista; ja että ii) asiaa koskevan yleisen tietosuoja-asetuksen säännöksen soveltaminen olisi ristiriidassa journalististen tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitusten kanssa. Kuten oikeuskäytännössä on vahvistettu (64), ”perusteltu syy uskoa” -kriteerin soveltamiseen liittyy sekä subjektiivisia että objektiivisia osatekijöitä: Ei riitä, että rekisterinpitäjä osoittaa itse uskoneensa, että tietosuojasäännösten noudattaminen olisi ollut ristiriidassa mainittujen tarkoitusten kanssa, vaan hänellä täytyy olla tähän perusteltu syy, eli asian kannalta merkitykselliset tosiseikat tuntevan järkevän henkilön olisi pitänyt olla samaa mieltä. Rekisterinpitäjän on näin ollen noudatettava asianmukaista huolellisuutta sen osoittamiseksi, että näkemyksen taustalla on perusteltu syy. Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan ”perusteltu syy uskoa” -arviointi on suoritettava tapauskohtaisesti. (65) Jos edellytykset täyttyvät, poikkeuksen katsotaan olevan tarpeellinen ja oikeasuhteinen Yhdistyneen kuningaskunnan lainsäädännön mukaisesti.

(70) Vuoden 2018 tietosuojalain 124 §:n mukaan tietosuojavaltuutetun on laadittava tietosuojaa ja journalismia koskevat käytännesäännöt (Code of Practice on Data Protection and Journalism). Työ on käynnissä. Tästä aiheesta on annettu vuoden 1998 tietosuojalain nojalla ohjeita, joissa korostetaan erityisesti, että poikkeuksen soveltamiseksi ei riitä sen toteaminen, että säännösten noudattamisesta aiheutuisi haittaa journalistiselle toiminnalle, vaan että on pystyttävä selkeästi osoittamaan, että säännösten noudattaminen muodostaisi esteen vastuulliselle journalismille. (66) Ohjeita yleisen edun arvioinnista ja yleisen edun ja yksityisyydensuojaa koskevien yksilön etujen tasapainottamisesta ovat julkaisseet myös Yhdistyneen kuningaskunnan televiestintäalan sääntelyviranomainen OFCOM sekä BBC toimituksellisissa ohjeissaan. (67) Ohjeissa annetaan esimerkkejä tiedoista, joita voidaan pitää yleisen edun kannalta merkityksellisinä, ja selitetään, miten yksittäisessä tilanteessa on pystyttävä osoittamaan, että yleinen etu on yksityisyydensuojaa koskevia oikeuksia tärkeämpi.

(71) Kuten yleisen tietosuoja-asetuksen 89 artiklassa säädetään, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuva henkilötietojen käsittely voidaan niin ikään vapauttaa useiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta. (68) Tutkimuksen ja tilastojen osalta vapautus voidaan myöntää niiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta, jotka koskevat käsittelyn vahvistamista ja oikeutta saada pääsy tietoihin sekä kolmansiin maihin tehtäviä siirtoja koskevia suojatoimia; oikeutta tietojen oikaisemiseen; käsittelyn rajoittamista ja käsittelyn vastustamista. Yleisen edun mukaisen arkistoinnin osalta vapautus voi koskea myös velvollisuutta ilmoittaa henkilötietojen oikaisemista tai poistamista koskevasta oikeudesta tai oikeutta rajoittaa käsittelyä ja oikeutta siirtää tiedot järjestelmästä toiseen.

(72) Vuoden 2018 tietosuojalain liitteessä 2 olevan 27 §:n 1 momentin ja 28 §:n 1 momentin mukaan poikkeukset Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksistä ovat mahdollisia, jos niiden soveltaminen ”ehkäisisi tai haittaisi vakavasti” kyseisten tarkoitusten saavuttamista. (69)

(73) Koska edellä mainitut poikkeukset ovat merkityksellisiä yksilön oikeuksien tehokkaan käyttämisen kannalta, niiden tulkinnassa ja käytännön soveltamisessa tapahtuvat muutokset (johdanto-osan 6 kohdassa selitetyn, maahanmuuton tehokkaan valvonnan säilyttämistä koskevan muutoksen lisäksi), mukaan lukien oikeuskäytännön ja tietosuojavaltuutetun ohjeistuksen ja täytäntöönpanotoimien myöhemmät muutokset, otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. (70)

2.5.7 Tietojen edelleen siirtämistä koskevat rajoitukset

(74) Euroopan unionista Yhdistyneen kuningaskunnan rekisterinpitäjille tai henkilötietojen käsittelijöille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan rekisterinpitäjän tai henkilötietojen käsittelijän näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa. Tästä syystä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin sisältyvien, henkilötietojen kansainvälisiä siirtoja koskevien sääntöjen soveltaminen on tärkeä tekijä suojan jatkuvuuden varmistamiseksi, kun henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla.

(75) Henkilötietojen siirtoa Yhdistyneestä kuningaskunnasta koskeva järjestelmä on vahvistettu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 44–49 artiklassa ja sitä on täydennetty vuoden 2018 tietosuojalailla. Järjestelmä on olennaisilta osiltaan identtinen asetuksen (EU) 2016/679 V luvussa säädetyn järjestelmän kanssa. (71) Sen mukaan henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan tietosuojan riittävyyttä koskevien asetusten nojalla (Yhdistyneen kuningaskunnan vastine asetuksen (EU) 2016/679 mukaiselle tietosuojan riittävyyttä koskevalle päätökselle), tai jos tällaisia asetuksia ei ole annettu, vain jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Jos tietosuojan riittävyyttä koskevia asetuksia tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella.

(76) Secretary of Staten antamissa tietosuojan riittävyyttä koskevissa asetuksissa voidaan säätää, että kolmas maa (tai kolmannen maan alue tai tietty sektori), kansainvälinen järjestö tai tällaisen maan, alueen, sektorin tai järjestön kuvaus (72) takaa riittävän henkilötietojen suojan. Secretary of Staten on arvioitava tietosuojan riittävyyttä täsmälleen samojen seikkojen perusteella kuin ne, joita komission on arvioitava asetuksen (EU) 2016/679 45 artiklan 2 kohdan a–c alakohdan nojalla, sellaisena kuin sitä on tulkittava yhdessä asetuksen (EU) 2016/679 johdanto-osan 104 kappaleen ja säilytetyn EU:n oikeuskäytännön kanssa. Tämä tarkoittaa sitä, että kolmannen maan tietosuojan riittävyyden arvioimiseksi on selvitettävä, vastaako sen tarjoama suoja ”olennaisilta osin” Yhdistyneessä kuningaskunnassa taattua tietosuojaa.

(77) Menettelyn osalta tietosuojan riittävyyttä koskeviin asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan asetusten hyväksymistä. (73) Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (74).

(78) Vuoden 2018 tietosuojalain 17B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että tietty maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi. Nämä menettelylliset näkökohdat vastaavat myös asetuksen (EU) 2016/679 vastaavia vaatimuksia.

(79) Jos tietosuojan riittävyyttä koskevaa asetusta ei ole, kansainvälisiä siirtoja voidaan tehdä, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Nämä suojatoimet ovat samankaltaisia kuin asetuksen (EU) 2016/679 46 artiklassa säädetyt suojatoimet. Niihin kuuluvat muun muassa viranomaisten tai julkisten elinten väliset oikeudellisesti sitovat ja täytäntöönpanokelpoiset välineet, yritystä koskevat sitovat säännöt (75), tietosuojaa koskevat vakiolausekkeet, hyväksytyt käytännesäännöt ja sertifiointimekanismit sekä tietosuojavaltuutetun luvalla myös rekisterinpitäjien (tai henkilötietojen käsittelijöiden) väliset sopimuslausekkeet tai viranomaisten väliset hallinnolliset järjestelyt. Sääntöjä on kuitenkin muutettu menettelylliseltä kannalta, jotta ne toimisivat Yhdistyneen kuningaskunnan puitteissa. Näin ollen mm. tietosuojaa koskevat vakiolausekkeet voi hyväksyä vuoden 2018 tietosuojalain nojalla joko Secretary of State (17C §) tai tietosuojavaltuutettu (119A §).

(80) Jos tietosuojan riittävyyttä koskevaa asetusta tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella. (76) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin poikkeuksiin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin sääntöihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla tiettyjä poikkeuksia voidaan soveltaa vain satunnaisten siirtojen yhteydessä. (77) Lisäksi tietosuojavaltuutettu on selventänyt kansainvälisiä siirtoja koskevissa ohjeissaan, että näitä poikkeuksia olisi sovellettava vain todellisina poikkeuksina siitä yleissäännöstä, jonka mukaan rajoitettua siirtoa ei pitäisi tehdä, ellei siitä ole tehty tietosuojan riittävyyttä koskevaa päätöstä tai toteutettu asianmukaisia suojatoimia (78). Jos siirto on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi (49 artiklan 1 kohdan d alakohta), Secretary of State voi täsmentää säädöksessä ne olosuhteet, joissa henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle ei ole tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Lisäksi Secretary of State voi asetuksilla rajoittaa tietyn henkilötietoryhmän siirtämistä kolmanteen maahan tai kansainväliselle järjestölle, jos siirtoa ei voida tehdä tietosuojan riittävyyttä koskevan asetuksen nojalla ja Secretary of State katsoo, että rajoittaminen on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Tällaisia asetuksia ei ole toistaiseksi annettu.

(81) Kansainvälisiä siirtoja koskevien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä. (79) Vuoden 2018 tietosuojalain liitteessä 21 olevassa 4 kohdassa (otettu käyttöön tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Tällaisia siirtoja ovat muun muassa siirrot, joiden määränpäänä on jokin ETA-valtio, Gibraltarin alue, jokin EU:n perussopimuksilla tai niiden nojalla perustettu EU:n toimielin, elin tai laitos tai kolmas maa, josta EU on ennen siirtymäkauden päättymistä tehnyt tietosuojan riittävyyttä koskevan päätöksen. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista EU:sta. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä.

(82) Todettakoon lopuksi, että jos kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää muutetaan, esimerkiksi uusilla tietosuojan riittävyyttä koskevilla asetuksilla, kansainvälisillä sopimuksilla tai muilla siirtomekanismeilla, komissio seuraa tilannetta tiiviisti ja arvioi, käytetäänkö näitä eri siirtomekanismeja tavalla, joka takaa henkilötietojen suojan jatkuvuuden, ja toteuttaa tarvittaessa toimenpiteitä puuttuakseen jatkuvuuteen mahdollisesti kohdistuviin kielteisiin vaikutuksiin (ks. johdanto-osan 278–287 kappale). Koska kansainvälisiä siirtoja koskevat EU:n ja Yhdistyneen kuningaskunnan säännöt ovat hyvin samanlaiset, on odotettavissa, että ongelmalliset eroavuudet voitaisiin ratkaista yhteistyöllä ja vaihtamalla tietoja ja kokemuksia muun muassa Yhdistyneen kuningaskunnan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston kesken.

2.5.8 Vastuuvelvollisuus

(83) Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita.

(84) Asetuksessa (EU) 2016/679 säädetty vastuuvelvollisuuden periaate on säilytetty Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 2 momentissa ilman olennaisia muutoksia, kuten myös rekisterinpitäjän vastuuta koskeva 24 artikla, sisäänrakennettua ja oletusarvoista tietosuojaa koskeva 25 artikla ja käsittelytoimista laadittavaa selostetta koskeva 30 artikla. Myös 35 artikla (tietosuojaa koskeva vaikutustenarviointi) ja 36 artikla (valvontaviranomaisen ennakkokuuleminen) on säilytetty. Asetuksen (EU) 2016/679 37–39 artikla, joissa säädetään tietosuojavastaavan nimittämisestä ja tehtävistä, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Myös asetuksen (EU) 2016/679 40 artikla (käytännesäännöt) ja 42 artikla (sertifiointi) on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa. (80)

2.6 Valvonta ja täytäntöönpano

2.6.1 Riippumaton valvonta

(85) Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.

(86) Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768. (81) Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa. (82)

(87) Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa ei ole tehty mitään olennaisia muutoksia EU:n yleisen tietosuoja-asetuksen 52 artiklan 1–3 kohtaan. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa.

(88) Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Hänen Majesteettinsa nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, taidot ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (83) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Lautakunnan lausunto julkaistaan (84).

(89) Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Toimikausien määrä on rajattu yhteen. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella. (85) Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä. (86)

(90) Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (87) (the Data Protection (Charges and Information) Regulations 2018) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (88); ii) hallituksen tietovaltuutetulle maksama tuki, jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset; (89) ja iii) palveluista perittävät maksut. (90) Tällä hetkellä tällaisia maksuja ei peritä.

(91) Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan kuuluvaa henkilötietojen käsittelyä, vahvistetaan tietosuoja-asetuksen 57 artiklassa, joka vastaa läheisesti asetuksen (EU) 2016/679 sääntöjä. Tehtäviin kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen seuranta ja täytäntöönpano, yleisen tietoisuuden edistäminen, rekisteröityjen tekemien valitusten käsittely, tutkimusten suorittaminen jne. Lisäksi vuoden 2018 tietosuojalain 115 §:ssä säädetään tietosuojavaltuutetun muista yleisistä tehtävistä, joihin kuuluu velvollisuus neuvoa parlamenttia, hallitusta ja muita toimielimiä ja elimiä yksilöiden oikeuksien ja vapauksien suojeluun liittyvissä lainsäädännöllisissä ja hallinnollisissa kysymyksissä sekä toimivalta antaa joko oma-aloitteisesti tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille toimielimille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille (ks. johdanto-osan (99)–(103) kappale).

2.6.2 Täytäntöönpanon valvonta, ml. seuraamukset

(92) Tietosuojavaltuutetun toimivalta vahvistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklassa, johon ei ole tehty olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaavaan artiklaan. Vuoden 2018 tietosuojalaissa vahvistetaan täydentävät säännöt tämän toimivallan käytölle. Tietosuojavaltuutetulla on erityisesti toimivalta a) määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (91); b) suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (92); c) hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ym. ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”); d) käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja moitteita tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjiä / henkilötietojen käsittelijöitä määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä, mukaan lukien mikä tahansa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c–g ja j alakohdassa säädetty toimenpide (93); ja e) määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (94). Hallinnollisia sakkoja voidaan määrätä myös siinä tapauksessa, että viranomainen ei ole noudattanut Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (95)

(93) Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä. (96) Rekisterinpitäjän tai henkilötietojen käsittelijän virheen vuoksi annettavassa täytäntöönpanomääräyksessä voidaan määrätä ainoastaan vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina kyseisen virheen korjaamiseksi. Rekisterinpitäjälle ja henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen II luvun säännöksiä (käsittelyperiaatteet), 12–22 artiklaa (rekisteröidyn oikeudet), 25–39 artiklaa (rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet) tai 44–49 artiklaa (kansainväliset siirrot). Täytäntöönpanomääräys voidaan antaa myös silloin kun rekisterinpitäjä on laiminlyönyt vuoden 2018 tietosuojalain 137 §:n nojalla annettuun asetukseen perustuvan maksun suorittamisen. Lisäksi 41 artiklan mukaiselle valvontaelimelle tai sertifioinnin tarjoajalle voidaan antaa täytäntöönpanomääräys, jos ne eivät noudata Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Seuraamusmääräys voidaan antaa myös henkilölle, jonka ei ole noudattanut saamaansa tiedonanto-, arviointi- tai täytäntöönpanomääräystä.

(94) Seuraamusmääräyksessä velvoitetaan henkilö maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Päättäessään seuraamusmääräyksen antamisesta ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan 1 ja 2 kohdassa luetellut seikat, jotka vastaavat asetuksen (EU) 2016/679 sääntöjä. (97) Tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdan mukaan näissä säännöksissä tarkoitettujen velvoitteiden laiminlyönnistä voidaan määrätä enintään 8 700 000 tai 17 500 000 punnan hallinnollinen sakko. Yritykselle sakkoja voidaan määrätä myös prosenttiosuutena vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta, jos kyseinen määrä olisi suurempi. Samoin kuin asetuksen (EU) 2016/679 vastaavissa säännöksissä, nämä määrät ovat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan nojalla 2 prosenttia (4 kohta) ja 4 prosenttia (5 kohta). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa, tai jos kyseessä on yritys, 4 prosenttia sen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta.

(95) Yhdistyneen kuningaskunnan yleisellä tietosuoja-asetuksella on yhdessä vuoden 2018 tietosuojalain kanssa myös vahvistettu tietosuojavaltuutetun muita toimivaltuuksia. Tietosuojavaltuutettu voi nyt esimerkiksi suorittaa pakollisia tarkastuksia kaikille rekisterinpitäjille ja henkilötietojen käsittelijöille käyttäen arviointimääräyksiä, kun aiemman lainsäädännön eli vuoden 1998 tietosuojalain nojalla tietosuojavaltuutetulla oli valtuudet tehdä pakollisia tarkastuksia vain keskushallinnon ja terveydenhuollon elimissä ja muiden oli annettava suostumuksensa tarkastukseen.

(96) Asetuksen (EU) 2016/679 voimaantulon jälkeen tietosuojavaltuutettu on käsitellyt vuosittain noin 40 000 rekisteröityjen tekemää valitusta (98), minkä lisäksi tietosuojavaltuutettu toteuttaa vuosittain noin 2 000 tutkimusta viran puolesta (99). Valtaosa valituksista liittyy tiedonsaantioikeuteen ja tietojen luovuttamiseen. Tietosuojavaltuutettu antaa tutkimustensa perusteella täytäntöönpanomääräyksiä useilla eri aloilla. Tietosuojavaltuutetun viimeisimmän vuosikertomuksen (2019–2020) (100) mukaan kyseisellä raportointikaudella annettiin 54 tiedonantomääräystä, 8 arviointimääräystä, 7 täytäntöönpanomääräystä ja 4 varoitusta sekä nostettiin 8 syytettä ja määrättiin sakkoja 15 tapauksessa (101).

(97) Tähän sisältyy useita asetuksen (EU) 2016/679 ja vuoden 2018 tietosuojalain nojalla määrättyjä merkittäviä taloudellisia seuraamuksia. Esimerkiksi lokakuussa 2020 tietosuojavaltuutettu määräsi eräälle brittiläiselle lentoyhtiölle 20 miljoonan punnan sakot tietoturvaloukkauksesta, joka kohdistui yli 400 000 asiakkaaseen. Lokakuun 2020 lopussa eräälle kansainväliselle hotelliketjulle määrättiin 18,4 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaidensa henkilötietoja riittävästi, ja marraskuussa 2020 eräälle verkossa tapahtumalippuja myyvälle palveluntarjoajalle määrättiin 1,25 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaiden maksutietoja riittävästi. (102)

(98) Koska eräät tietosuojalainsäädännön rikkomiset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan (92) kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista tahallisesti tai tuottamuksellisesti ilman rekisterinpitäjän suostumusta, henkilötietojen luovuttamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (103), anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (104), tahallinen toiminta, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (105), väärien lausuntojen antaminen tiedonantomääräyksen perusteella tai tietojen tuhoaminen tiedonanto- ja arviointimääräysten yhteydessä (106).

2.6.3 Oikeuslaitoksen valvonta

(99) Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (107), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin asetuksen (EU) 2016/679 55 artiklan 3 kohdassa.

(100) Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (108). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (109), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (110) ja Skotlannin (111) oikeusviranomaiset.

(101) Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (112). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä. (113)

(102) Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä. (114)

(103) Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa.

2.6.4 Oikeussuojakeinot

(104) Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta.

(105) Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (115) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty tätä koskeva asetuksen (EU) 2016/679 77 artiklan sisältö ilman olennaisia muutoksia. Sama koskee 57 artiklan 1 kohdan f alakohtaa ja 2 kohtaa, joissa säädetään valitusten käsittelyyn liittyvistä tietosuojavaltuutetun tehtävistä. Kuten johdanto-osan 92–98 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ja vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja.

(106) Toiseksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin häntä itseään koskevaa tietosuojavaltuutetun oikeudellisesti sitovaa päätöstä vastaan. Tuomioistuinvalvonnan yhteydessä tuomari tutkii kantelun kohteena olevan päätöksen selvittääkseen, onko tietosuojavaltuutettu toiminut lainmukaisesti. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohdassa säädetään, että jos tietosuojavaltuutettu ei käsittele rekisteröidyn valitusta asianmukaisesti, (116) valituksen tekijällä on oikeus oikeussuojakeinoihin. Hän voi pyytää, että First Tier Tribunal -tuomioistuin määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (117) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. (118) Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä.

(107) Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 79 artiklan ja vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä.

(108) Lisäksi kaikilla sellaisilla henkilöillä, jotka ovat kärsineet aineellista tai aineetonta vahinkoa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten rikkomisen vuoksi, on tietosuoja-asetuksen 82 artiklan tai vuoden 2018 tietosuojalain 168 §:n nojalla oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 82 artiklan 1–5 kohdassa olevat korvauksia ja vastuuta koskevat säännöt ovat identtiset asetuksen (EU) 2016/679 vastaavien sääntöjen kanssa. Vuoden 2018 tietosuojalain 168 §:n nojalla aineettomiin vahinkoihin sisältyy myös kärsimys. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 80 artiklan nojalla rekisteröidyllä on myös oikeus valtuuttaa jokin elin tai organisaatio tekemään puolestaan valitus tietosuojavaltuutetulle (77 §) ja käyttämään oikeuksia, joista säädetään 78 §:ssä (oikeus tehokkaisiin oikeudellisiin oikeussuojakeinoihin tietosuojavaltuutettua vastaan), 79 §:ssä (oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan) ja 82 §:ssä (vastuu ja oikeus korvauksen saamiseen).

(109) Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi edellä mainittujen oikeussuojakeinojen lisäksi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. (119) Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri.

(110) Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa myöntää sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi. (120) Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa.

(111) Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu.

3. VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA YHDISTYNEESEEN KUNINGASKUNTAAN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ

(112) Komissio on arvioinut Yhdistyneen kuningaskunnan lainsäädäntökehystä myös siltä osin kuin on kyse siitä, kuinka viranomaiset voivat kerätä ja käyttää Yhdistyneen kuningaskunnan toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten, jäljempänä ’viranomaisten pääsy tietoihin’. Kun komissio arvioi, vastaavatko edellytykset, joiden nojalla viranomaiset käyttävät Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla siirrettyjä tietoja, ”olennaisilta osin” asetuksen (EU) 2016/679 45 artiklan 1 kohdassa esitettyjä vaatimuksia, sellaisena kuin Euroopan unionin tuomioistuin on niitä tulkinnut perusoikeuskirjan valossa, se ottaa huomioon erityisesti seuraavat kriteerit.

(113) Ensinnäkin kaikista henkilötietojen suojaa koskevan oikeuden rajoituksista on säädettävä lailla, ja itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus. (121)

(114) Toiseksi, sen oikeasuhteisuutta koskevan vaatimuksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on ehdottoman välttämätöntä demokraattisessa yhteiskunnassa, jotta voidaan saavuttaa yleisen edun mukaiset tavoitteet, jotka vastaavat unionin tunnustamia tavoitteita, asianomaisen kolmannen maan lainsäädännössä, jossa sallitaan puuttuminen henkilötietojen suojaan, on vahvistettava selkeät ja täsmälliset säännöt, joilla säännellään kyseisten toimenpiteiden soveltamisalaa ja soveltamista ja vahvistetaan vähimmäistakeet, niin että henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden nojalla heidän henkilötietojaan suojataan tehokkaasti väärinkäytön riskiltä. (122) Tällaisessa lainsäädännössä on erityisesti ilmoitettava, missä olosuhteissa ja millä edellytyksillä tällaisten henkilötietojen käsittelyä koskeva toimenpide voidaan toteuttaa (123), ja säädettävä, että tällaisten vaatimusten täyttämiseen on sovellettava riippumatonta valvontaa (124).

(115) Kolmanneksi tällaisen lainsäädännön on oltava kansallisen oikeuden nojalla oikeudellisesti sitovaa, ja sen lisäksi, että oikeudellisten vaatimusten on sidottava viranomaisia, niihin on myös voitava vedota viranomaisia vastaan asianomaisen kolmannen maan tuomioistuimissa. (125) Rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (126)

3.1 Yleinen oikeudellinen kehys

(116) Viranomaisten pääsy tietoihin Yhdistyneessä kuningaskunnassa osana julkisen vallan käyttöä on toteutettava kaikilta osin lain mukaisesti. Yhdistynyt kuningaskunta on ratifioinut Euroopan ihmisoikeussopimuksen (ks. johdanto-osan 9 kappale), ja kaikkien sen viranomaisten on noudatettava kyseistä sopimusta. (127) Ihmisoikeussopimuksen 8 artiklan mukaan yksityisyydensuojaa koskevan oikeuden käyttämiseen voidaan puuttua vain kun laki sen sallii ja se on välttämätöntä jonkin 8 artiklan 2 kohdassa asetetun tavoitteen vuoksi ja oikeassa suhteessa näihin tavoitteisiin nähden. Lisäksi 8 artiklassa edellytetään, että laki ”sallii” puuttumisen, eli että laissa on sille selkeä ja helposti saatavilla oleva peruste ja asianmukaiset takeet väärinkäytösten estämiseksi.

(117) Euroopan ihmisoikeustuomioistuin on myös täsmentänyt oikeuskäytännössään, että puuttuminen yksityisyyttä ja tietosuojaa koskevaan oikeuteen edellyttää tehokasta, riippumatonta ja puolueetonta valvontajärjestelmää, josta vastaa joko tuomari tai muu riippumaton elin (128) (esim. hallintoviranomainen tai parlamentaarinen elin).

(118) Lisäksi yksilöillä on oltava tehokkaat oikeussuojakeinot. Euroopan ihmisoikeustuomioistuin on selventänyt, että oikeussuojakeinoja on voitava käyttää riippumattomassa ja puolueettomassa elimessä, joka on vahvistanut oman työjärjestyksensä ja joka koostuu jäsenistä, joilla on kokemusta tuomarin viran hoitamisesta tai jotka ovat kokeneita juristeja. Hakemuksen esittäminen tälle elimelle ei myöskään saa edellyttää todistustaakkaa. Kun tämä riippumaton ja puolueeton elin ryhtyy tutkimaan yksilöiden tekemiä valituksia, sillä olisi oltava pääsy kaikkiin asiaankuuluviin tietoihin, myös suojattuihin aineistoihin. Elimellä olisi myös oltava valtuudet korjata tietosuojasääntöjen rikkominen (129).

(119) Yhdistynyt kuningaskunta on ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja allekirjoittanut vuonna 2018 sen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+). (130) Yleissopimuksen N:o 108 9 artiklan mukaan poikkeukset yleisistä tietosuojaperiaatteista (5 artikla Tietojen laatu), erityisiä tietoryhmiä koskevista säännöistä (6 artikla Erityiset tietoryhmät) ja rekisteröidyn oikeuksista (8 artikla Lisätoimet rekisteröidyn suojelemiseksi) on sallittu ainoastaan silloin, kun sellaisesta poikkeamisesta on sopimuspuolen lainsäädännössä säädetty ja se on välttämätöntä demokraattisessa yhteiskunnassa valtion turvallisuuden, yleisen turvallisuuden, valtion rahatalouden etujen suojaamiseksi tai rikosten ehkäisemiseksi tai rekisteröidyn tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. (131)

(120) Koska Yhdistynyt kuningaskunta on Euroopan neuvoston jäsen ja Euroopan ihmisoikeussopimuksen osapuoli, joka kuuluu Euroopan ihmisoikeustuomioistuimen lainkäyttövallan piiriin, sillä on erilaisia kansainvälisessä oikeudessa vahvistettuja velvoitteita, joiden nojalla viranomaisten pääsyä tietoihin sääntelevät periaatteet, takeet ja yksilön oikeudet ovat hyvin samanlaisia kuin jäsenvaltioihin sovellettavat EU:n oikeudessa taatut periaatteet, takeet ja yksilön oikeudet. Kuten johdanto-osan 19 kappaleessa korostetaan, mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.

(121) Lisäksi vuoden 2018 tietosuojalailla taataan erityiset tietosuojatakeet ja -oikeudet silloin kun tietoja käsittelevät viranomaiset, mukaan lukien lainvalvontaviranomaiset ja kansalliset turvallisuuselimet.

(122) Esimerkiksi säännöt henkilötietojen käsittelystä rikosoikeudellisen täytäntöönpanon yhteydessä sisältyvät vuoden 2018 tietosuojalain 3 osaan; laki on annettu direktiivin (EU) 2016/680 saattamiseksi osaksi kansallista lainsäädäntöä. Tietosuojalain 3 osaa sovelletaan henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. (132)

(123) Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. (133) Kuten jäljempänä selitetään (ks. johdanto-osan 139 kappale), eräät toimivaltaiset viranomaiset (esimerkiksi kansallinen rikosvirasto NCA) voivat tietyin edellytyksin käyttää vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia valtuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Tiedustelupalvelut (salainen tiedustelupalvelu (Secret Intelligence Service), turvallisuuspalvelu (Security Service) ja tiedustelupalvelu (Government Communications Headquarters)) eivät ole vuoden 2018 tietosuojalain 3 osassa tarkoitettuja toimivaltaisia viranomaisia (134), minkä vuoksi siinä vahvistettuja sääntöjä ei sovelleta mihinkään niiden toimiin. Tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä säännellään vuoden 2018 tietosuojalaissa erikseen (4 osassa; ks. tarkemmin johdanto-osan 125 kappale).

(124) Samoin kuin direktiivissä (EU) 2016/680, vuoden 2018 tietosuojalain 3 osassa säädetään lainmukaisuuden ja kohtuullisuuden periaatteista (135), käyttötarkoituksen rajoittamisesta (136), tietojen minimoinnista (137), täsmällisyydestä (138), säilytyksen rajoittamisesta (139) ja tietoturvasta (140). Lainsäädännössä asetetaan erityisiä läpinäkyvyyttä koskevia velvoitteita (141) ja myönnetään yksilöille oikeus tutustua tietoihin (142), oikaista ja poistaa ne (143) sekä oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi (144). Toimivaltaisten viranomaisten on myös toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja, pidettävä kirjaa käsittelytoimista ja tiettyjen ja toteutettava tiettyjen käsittelytoimien osalta vaikutustenarviointeja ja kuultava etukäteen tietosuojavaltuutettua. (145) Vuoden 2018 tietosuojalain 56 §:n nojalla viranomaisten on osoitettava, että vaatimuksia noudatetaan. Niiden on myös otettava käyttöön asianmukaiset toimenpiteet käsittelyn turvallisuuden varmistamiseksi (146), minkä lisäksi niille on osoitettu erityisiä velvoitteita tietoturvaloukkauksen tapahtuessa, muun muassa velvollisuus ilmoittaa tällaisista loukkauksista tietosuojavaltuutetulle ja rekisteröidyille. (147) Samoin kuin direktiivissä (EU) 2016/680, rekisterinpitäjälle (silloin kun kyseessä ei ole tuomioistuin tai muu oikeusviranomainen, joka hoitaa lainkäyttötehtäviä) on asetettu velvollisuus nimittää tietosuojavastaava (148), joka avustaa rekisterinpitäjää sen velvollisuuksien täyttämisessä ja noudattamisen seurannassa. (149) Lisäksi lainsäädännössä asetetaan erityisiä vaatimuksia lainkäyttötarkoituksessa tehtävälle henkilötietojen siirtämiselle kolmansiin maihin tai kansainvälisille järjestöille, jotta voidaan varmistaa suojelun jatkuvuus. (150) Komissio on antanut samaan aikaan tämän päätöksen kanssa tietosuojan riittävyyttä koskevan päätöksen, joka perustuu direktiivin (EU) 2016/680 36 artiklan 3 kohtaan ja jonka mukaan Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaan tietojenkäsittelyyn sovellettava tietosuojajärjestelmä takaa tietosuojan tason, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tietosuojan tasoa.

(125) Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään erityisesti tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (151); käyttötarkoituksen rajoittaminen (152); tietojen minimointi (153); täsmällisyys (154); säilyttämisen rajoittaminen (155) ja turvallisuus (156)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (157), säädetään rekisteröityjen oikeuksista (158), edellytetään sisäänrakennettua tietosuojaa (159) ja säännellään henkilötietojen kansainvälisiä siirtoja (160). Tietosuojavaltuutettu on äskettäin antanut yksityiskohtaisia ohjeita tiedustelutietojen käsittelystä vuoden 2018 tietosuojalain 4 osan nojalla. (161)

(126) Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan erityissäännöksiä koskevasta poikkeuksesta (162) silloin kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella. (163) Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle”. (164) Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (165).

(127) Lisäksi mahdollisuudesta rajoittaa edellä mainittujen säännösten soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 111 §:ssä säädetään, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi. (166)

(128) Yhdistyneen kuningaskunnan hallitus on antanut ohjeita auttaakseen rekisterinpitäjiä sen arvioimisessa, olisiko niiden haettava kansallista turvallisuutta koskevaa todistusta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä. (167) Kaikki kansallisen turvallisuuden nojalla annetut todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla. (168)

(129) Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen. (169) Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan. (170)

(130) On huomattava, että kansalliseen turvallisuuteen perustuvat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota edellä esitetyn mukaisesti on sovellettava tapauskohtaisesti. (171) Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua. (172)

(131) Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (173) muutosta todistukseen (174), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin. (175) Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy. (176) Tuomioistuin voi tarkastella tätä