2 Direktiivin täytäntöönpano on tyydyttävää, mutta useita kysymyksiä on vielä ratkaisematta

3.3 Tietoturva on parantunut, mutta tietoturvaloukkauksista ilmoittamisessa on eroja

Kolmanneksi on tärkeää ottaa huomioon, että direktiivin soveltamista koskevaa oikeuskäytäntöä on alkanut muodostua vasta hiljattain. Euroopan unionin tuomioistuimessa on parhaillaan vireillä useita asioita, jotka koskevat direktiivin keskeisten säännösten tulkintaa (esimerkiksi rekisteröityjen tiedonsaantioikeutta ja oikeutta tehokkaisiin oikeussuojakeinoihin). Nämä tuomiot selkeyttävät tilannetta ja edistävät yhdenmukaisempaa lähestymistapaa jäsenvaltioiden välillä.

Kertomuksen laatimiseen vaikutti kolme tekijää. Ensinnäkin kaksi kolmasosaa jäsenvaltioista ei noudattanut toukokuuhun 2018 asetettua määräaikaa direktiivin saattamiselle osaksi kansallista lainsäädäntöä. Useimmat jäsenvaltiot kuitenkin panivat direktiivin täytäntöön vuoteen 2019 mennessä sen jälkeen, kun komissio oli käynnistänyt rikkomusmenettelyt. Näin ollen direktiivin soveltamisesta on edelleen melko vähän kokemusta, kuten myös tietosuojaneuvosto ja neuvosto ovat korostaneet. Toiseksi direktiivin soveltamista koskevien tilastojen laatiminen on osoittautunut vaikeammaksi kuin yleisen tietosuoja-asetuksen tapauksessa. Jotkin tietosuojaviranomaiset eivät kerää erillisiä tilastotietoja direktiiviin (EU) 2016/680 ja yleiseen tietosuoja-asetukseen liittyvistä valvontatoimistaan. Tämä koskee muun muassa direktiivin (EU) 2016/680 mukaisia tietoturvaloukkausilmoituksia ja valituksia, mikä saattaa vaikeuttaa tarkan yleiskuvan muodostamista kyseisistä direktiivin säännöksistä.

Nykypäivän verkottuneessa maailmassa rikollisuus (erityisesti kyberrikollisuus ja muu kyberympäristöä hyväksi käyttävä rikollisuus) on luonteeltaan yhä enemmän rajatylittävää. Myös kotimaisia tapauksia tutkittaessa toimivaltaiset viranomaiset kohtaavat yhä useammin rajatylittäviä tilanteita, koska tietoja säilytetään usein sähköisesti kolmannessa maassa. Tämä lisää kansainvälisen rikostutkintayhteistyön tarvetta sekä jäsenvaltioiden viranomaisten että EU:n elinten, kuten Europolin ja Eurojustin, osalta. Tällainen yhteistyö ja erityisesti sähköisten todisteiden kerääminen ja vaihtaminen edellyttävät usein henkilötietojen siirtoa. Siksi tietosuojaa koskevat vahvat suojatoimet ovat olennaisen tärkeitä. Tällaiset suojatoimet myös auttavat lisäämään lainvalvontaviranomaisten välistä luottamusta, varmistavat nopeamman ja tehokkaamman tietojenvaihdon sekä vahvistavat oikeusvarmuutta, kun tietoja käytetään myöhemmin rikosoikeudellisissa menettelyissä. Direktiivi (EU) 2016/680 tarjoaa ajantasaistetut välineet, joilla helpotetaan henkilötietojen siirtoa EU:sta kolmansiin maihin tai kansainvälisille järjestöille (kuten Interpolille). Samalla varmistetaan, että henkilötietojen suojan taso säilyy korkeana. Komissio ja jäsenvaltiot ovat hyödyntäneet direktiivin kaikkia välineitä sen voimaantulosta lähtien. Tämä osoittaa, että direktiivi on riittävän laaja-alainen ja joustava, jotta voidaan mahdollistaa tehokas kansainvälinen poliisi- ja oikeudellinen yhteistyö.

Komissio on johdonmukaisesti korostanut sitä, että toimiva ja aidosti turvallinen EU voidaan saavuttaa vain, jos perusoikeuskirjassa ja EU:n sekundaarilainsäädännössä vahvistettuja perusoikeuksia noudatetaan kaikilta osin. Direktiivi (EU) 2016/680 edistää merkittävästi EU:n turvallisuuspolitiikkaa varmistamalla, että rikoksen uhrien, todistajien ja epäiltyjen henkilötietoja suojellaan asianmukaisesti. Lisäksi direktiivillä yhdenmukaistetaan EU:n ja Schengen-maiden toimivaltaisten viranomaisten käsittelemien henkilötietojen suojaa koskevia sääntöjä, mikä lisää luottamusta ja parantaa viranomaisten välillä lainvalvontatarkoituksia varten vaihdettujen tietojen turvallisuutta ja helpottaa siten rajatylittävää yhteistyötä rikollisuuden ja terrorismin torjunnassa. Direktiivi on avainasemassa myös edistettäessä tietosuojan noudattamisen kulttuuria toimivaltaisten viranomaisten keskuudessa.

Direktiivi (EU) 2016/680 on ensimmäinen EU-säädös, jossa sovelletaan kattavaa lähestymistapaa toimivaltaisten viranomaisten (eli oikeusviranomaisten, poliisin ja muiden lainvalvontaviranomaisten, kuten direktiivin 3 artiklan 7 kohdassa säädetään) lainvalvontatarkoituksia varten suorittamaan henkilötietojen käsittelyyn. Verrattuna direktiivillä kumottuun ja korvattuun neuvoston puitepäätökseen 2008/977/YOS direktiivi on merkittävä edistysaskel tietosuojasääntöjen johdonmukaisen soveltamisen varmistamiseksi kaikkialla EU:ssa. Ensinnäkin direktiivissä vahvistetaan kattavat säännöt sekä rajatylittävälle että kotimaiselle henkilötietojen käsittelylle lainvalvontatarkoituksia varten, kun taas neuvoston puitepäätös kattoi ainoastaan rajatylittävän käsittelyn. Toiseksi direktiivi sisältää kattavat ja horisontaaliset säännöt, kun taas aiemman lähestymistavan mukaan jokaista alakohtaista EU-säädöstä, jossa säädettiin henkilötietojen käsittelystä lainvalvonnan yhteydessä, säänneltiin kunkin säädöksen omilla tietosuojasäännöillä.

Direktiivi (EU) 2016/680 on yksi EU:n tietosuojakehyksen kolmesta pilarista, joilla taataan perusoikeus henkilötietojen suojaan. Kaksi muuta pilaria ovat yleinen tietosuoja-asetus ja EU:n toimielinten ja elinten tietosuoja-asetus . Henkilötietojen suojaa koskeva perusoikeus on vahvistettu Euroopan unionin perusoikeuskirjan 8 artiklassa ja Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT-sopimus’, 16 artiklassa.

Joissakin jäsenvaltioissa on noussut esiin kysymys yleisen tietosuoja-asetuksen ja direktiivin (EU) 2016/680 soveltamisalojen rajaamisesta myös rikosoikeudellisten ja hallinnollisten rikkomusten osalta. Esimerkiksi joissakin kansallisissa täytäntöönpanosäädöksissä viitataan sellaisiin henkilötietojen käsittelyn tarkoituksiin, joita ei ole lueteltu direktiivin (EU) 2016/680 1 artiklassa (esimerkiksi yleiseen järjestykseen tai yleiseen turvallisuuteen kohdistuvat uhat). Kysymys on noussut esiin myös siksi, että jotkin jäsenvaltiot katsovat, että useat eri hallintoelimet (kuten edellä mainitut rahanpesun selvittelykeskukset) hoitavat direktiivin soveltamisalaan kuuluvia tehtäviä.

Rikoksen käsite on keskeinen määritettäessä, kuuluuko tietojen käsittely direktiivin (EU) 2016/680 soveltamisalaan. Euroopan unionin tuomioistuimen mukaan kolmella arviointiperusteella on merkitystä arvioitaessa sitä, onko rikkomus luonteeltaan rikosoikeudellinen. Ensimmäinen on rikkomuksen oikeudellinen luonnehdinta kansallisessa oikeudessa, toinen koskee rikkomuksen luonnetta ja kolmas sen seuraamuksen ankaruutta, joka tekijälle voidaan määrätä. Direktiivin johdanto-osan 13 kappaleessa tarkoitettu rikoksen käsitteen itsenäinen luonne merkitsee muun muassa sitä, että jäsenvaltioiden lainsäädännössä ei voida määrittää rikkomusta ”rikokseksi” yksinomaan direktiivin soveltamiseksi.

Direktiiviä (EU) 2016/680 koskeva oikeuskäytäntö on vielä alkutekijöissään. Euroopan unionin tuomioistuin on vasta hiljattain alkanut antaa ratkaisuja direktiivin tulkinnasta (ks. esimerkiksi asiat WV vastaan Bundesrepublik Deutschland ja B vastaan Latvijas Republikas Saeima). Lisäksi tätä kertomusta laadittaessa unionin tuomioistuimessa on vireillä useita ennakkoratkaisupyyntöjä (kuten seuraavissa jaksoissa esitetään).

Jäsenvaltiot ovat saattaneet direktiivin osaksi kansallista lainsäädäntöään joko muuttamalla aiempaa tietosuojalainsäädäntöään tai kumoamalla sen ja korvaamalla sen yhdellä tai useammalla uudella horisontaalisella tietosuojasäädöksellä. Monissa tapauksissa direktiivi on pantu täytäntöön viittaamalla yleisen tietosuoja-asetuksen samaan tai vastaavaan säännökseen (esimerkiksi määritelmien, tietoturvaloukkauksista ilmoittamisen, tietosuojavastaavan nimittämisen ja kansallisten tietosuojaviranomaisten organisaatiota, asemaa, toimivaltaa, tehtäviä ja valtuuksia koskevien säännösten osalta). Useita direktiivin säännöksiä on pantu täytäntöön myös lisäämällä uusia säännöksiä esimerkiksi yleistä hallinto-oikeutta, hallintolainkäyttöä tai rikosoikeudellista menettelyä koskevaan lainsäädäntöön. Jotkin jäsenvaltiot ovat panneet direktiivin säännöksiä täytäntöön myös osana alakohtaista lainsäädäntöä, jolla säännellään tiettyjen toimivaltaisten viranomaisten toimintaa ja valtuuksia. Näin ollen kun määritetään, onko direktiivi pantu asianmukaisesti täytäntöön tietyssä jäsenvaltiossa, voidaan joutua ottamaan huomioon useita erilaisia kansallisia säädöksiä. Yleisesti ottaen kansalliset säädökset vastaavat direktiivin periaatteita ja keskeisiä säännöksiä, mutta myös joitakin ongelmia on havaittu. Niistä merkittävimpiä käsitellään seuraavissa jaksoissa. Komissio on jo käynnistänyt useita rikkomusmenettelyjä jäsenvaltioita vastaan. Tarkasteluprosessi on edelleen käynnissä, ja komissio aikoo hyödyntää jatkossakin kaikkia käytössään olevia välineitä, myös rikkomusmenettelyä, jos kansalliset täytäntöönpanotoimenpiteet eivät ole direktiivin mukaisia.

2Direktiivin täytäntöönpano on tyydyttävää, mutta useita kysymyksiä on vielä ratkaisematta

Muutamissa kansallisissa täytäntöönpanosäädöksissä viitataan suostumukseen henkilötietojen käsittelyssä, mukaan lukien erityisiä henkilötietoryhmiä koskeva käsittely. On tärkeää muistaa, että vaikka jäsenvaltioita ei estetä säätämästä kansallisesti, että rekisteröity voi antaa suostumuksensa henkilötietojensa käsittelyyn direktiivin tarkoituksia varten, tämä suostumus voi toimia ainoastaan suojatoimena, eikä se voi muodostaa tällaisen käsittelyn oikeusperustaa. Asiasta käydyissä keskusteluissa on käynyt ilmi, että olisi hyödyllistä antaa lisäohjeita suostumuksen roolista henkilötietojen käsittelyssä lainvalvontatarkoituksia varten.

Erityisiä henkilötietoryhmiä koskevan käsittelyn osalta useimmat jäsenvaltiot edellyttävät, että tietojen käsittelyn on oltava ehdottoman välttämätöntä. Useimmat jäsenvaltiot ovat myös vahvistaneet direktiivin 10 artiklan mukaiset oikeudelliset perusteet arkaluonteisten tietojen käsittelylle (lainsäädännössä sallittu käsittely, rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaaminen tai sellaisten tietojen käsittely, jotka rekisteröity on nimenomaisesti saattanut julkisiksi). Muutamien jäsenvaltioiden täytäntöönpanosäädöksissä säädetään joistakin lisäperusteista tietojen käsittelylle (tietojen käsittely on tarpeen esimerkiksi henkilöiden hengen, fyysisen koskemattomuuden tai omaisuuden vaarantavan vaaran torjumiseksi tai estämiseksi taikka rekisteröidyn tai toisen henkilön terveyden tai etujen suojelemiseksi). Jos direktiivin täytäntöönpanemiseksi annetussa kansallisessa tietosuojasäädöksessä ei säädetä tarvittavista suojatoimista rekisteröityjen oikeuksien ja vapauksien turvaamiseksi (kuten joissakin jäsenvaltioissa), tällaisista suojatoimista on säädettävä alakohtaisessa lainsäädännössä.

Useimmat jäsenvaltiot ovat säätäneet, usein direktiivin (EU) 2016/680 8 artiklan sanamuotoa noudattaen, että käsittelyn oikeusperusta on vahvistettava unionin oikeudessa tai jäsenvaltion lainsäädännössä. Joissakin direktiivin täytäntöönpanemiseksi annetuissa kansallisissa tietosuojasäädöksissä ei kuitenkaan ole otettu huomioon vaatimusta, jonka mukaan käsiteltävistä henkilötiedoista ja käsittelyn tarkoituksista olisi säädettävä lainsäädännössä. Jotkin kansalliset tietosuojasäädökset eivät puolestaan sisällä kaikkia 8 artiklaa vastaavia säännöksiä. Kansallisessa lainsäädännössä on säädettävä käsittelyn perusteista ja noudatettava 8 artiklan vaatimuksia. Lisäksi pelkkää 8 artiklan yleisten vaatimusten toistamista kansallisissa säädöksissä ei voida pitää riittävänä oikeusperustana käsittelytoimille: kansallisessa lainsäädännössä on täsmennettävä, mikä viranomainen on toimivaltainen käsittelemään henkilötietoja, kyseisen viranomaisen suorittamat julkiset tehtävät, jotka oikeuttavat tällaisen käsittelyn, sekä käsittelyn tarkoitus.

Kaikissa jäsenvaltioissa on säädetty oikeudesta tehdä valitus asiaankuuluvalle valvontaviranomaiselle. Useimmissa kansallisissa säädöksissä asetetaan määräaika tällaisen valituksen tekemiselle. On kuitenkin tärkeää, että tämä määräaika ei rajoita rekisteröityjen oikeuksia tältä osin.

Kaikki jäsenvaltiot ovat antaneet viranomaisilleen direktiivissä määritellyt tutkintavaltuudet, ja suurin osa jäsenvaltioista on antanut niille myös muita valtuuksia (esimerkiksi valtuudet tehdä tarkastuksia, päästä tiloihin, ottaa jäljennöksiä tiedoista ja takavarikoida esineitä). Miltei kaikki tietosuojaviranomaiset ovatkin todenneet, että niillä on käytössään tehokkaat tutkintavaltuudet.

Tietosuojaviranomaisten suorittama sääntöjen noudattamisen valvonta on erittäin tärkeää, ja siitä määrätään perusoikeuskirjan 8 artiklan 3 kohdassa. Direktiivissä (EU) 2016/680 edellytetään, että jäsenvaltiot antavat tietosuojaviranomaisille tehokkaat tutkintavaltuudet, korjaavat valtuudet ja neuvontavaltuudet. Tämä on ennakkoedellytys sille, että tietosuojasäännöt voidaan panna asianmukaisesti täytäntöön ja siten saavuttaa direktiivin tavoite eli perusoikeuksien, erityisesti henkilötietojen suojaa koskevan oikeuden, korkeatasoinen suoja. Lisäksi näin varmistetaan tietojen vapaan liikkuvuus EU:ssa. Tietosuojaviranomaisilla on oltava samanlaiset valtuudet kaikkialla EU:ssa, jotta ne voivat suorittaa tehtäviään direktiivin mukaisesti.

Tietosuojaviranomaisten riippumattomuutta koskevien direktiivin säännösten osalta kaikki jäsenvaltiot ovat täytäntöönpanolainsäädännössä säätäneet, että tietosuojaviranomaisten on tehtäviään hoitaessaan toimittava riippumattomasti. Lisäksi ne edellyttävät, että tietosuojaviranomaisten jäsenten on oltava riippumattomia ulkoisesta vaikuttamisesta eivätkä ne saa ottaa tai pyytää ohjeita miltään taholta.

Kahta jäsenvaltiota (Belgia ja Ruotsi) lukuun ottamatta kaikki jäsenvaltiot ovat siirtäneet direktiivin (EU) 2016/680 täytäntöönpanon valvontaviranomaiselle, joka vastaa myös yleisen tietosuoja-asetuksen täytäntöönpanosta. Belgia on antanut direktiivin tarkoituksia varten poliisin valvonnan toisen valvontaviranomaisen tehtäväksi. Ruotsissa puolestaan tiettyjen toimivaltaisten viranomaisten, kuten poliisin, valvonta on jaettu yleisen tietosuoja-asetuksen valvonnasta vastaavan viranomaisen ja toisen valvontaviranomaisen kesken. Lisäksi, kuten direktiivissä säädetään, valvontaviranomaisilla ei ole toimivaltaa valvoa tuomioistuimia näiden suorittaessa lainkäyttötehtäviään.

Direktiivin nojalla voidaan myös rajoittaa tiettyjä oikeuksia (oikeus saada pääsy tietoihin ja oikeus oikaista tai poistaa henkilötietoja) sekä tietoja, jotka rekisterinpitäjän on annettava rekisteröidylle käsiteltyjen henkilötietojen osalta. Rekisteröidyt voivat pyytää tietosuojaviranomaisia tarkastelemaan uudelleen toimivaltaisen viranomaisen soveltamia rajoituksia tai tarkistamaan, onko rajoitus toteutettu direktiivin mukaisesti (oikeuden epäsuora käyttö). Noin puolet tietosuojaviranomaisista on ilmoittanut saaneensa tällaisen pyynnön. Kokemusten mukaan vastaanotettujen pyyntöjen määrä voi vaihdella huomattavasti (esimerkiksi Kroatiassa on saatu ainoastaan yksi pyyntö, kun taas Ranskassa on saatu yli 1 500 pyyntöä). Vaikka tietosuojaviranomaiset totesivat asian tarkistamisen tai uudelleentarkastelun jälkeen, että useimpia pyyntöjä ei voitu hyväksyä, useissa tapauksissa rekisterinpitäjä määrättiin joko oikaisemaan tai poistamaan henkilötiedot tai rajoittamaan henkilötietojen käsittelyä tavalla, joka varmisti rajoitusten asianmukaisen soveltamisen.

Direktiivillä (EU) 2016/680 varmistetaan yksilöiden perusoikeuksien ja -vapauksien suojelu ja erityisesti oikeus tietosuojaan. Se tarjoaa kattavat puitteet rekisteröidyn oikeuksille ja sille, miten näitä oikeuksia voidaan käyttää, mukaan lukien rekisteröidyn tiedonsaantioikeus, pääsy tietoihin ja oikeus oikaista tai poistaa henkilötietoja. Lisäksi siinä säädetään käsittelyn rajoittamisesta. Direktiivi on lisännyt rekisteröityjen ymmärrystä oikeuksistaan ja siitä, miten he voivat käyttää niitä, mikä näkyy toimivaltaisille viranomaisille esitettyjen pyyntöjen määrän kasvuna. Käytäntö on osoittanut, että kaikista direktiivissä rekisteröidyille myönnetyistä oikeuksista toimivaltaisille viranomaisille tehdyissä pyynnöissä vedotaan useimmin tiedonsaantioikeuteen ja oikeuteen poistaa henkilötietoja.

Useimmat jäsenvaltiot ovat säätäneet, että automatisoiduissa käsittelyjärjestelmissä suoritettavista käsittelytoimista on säilytettävä lokitiedot. Joissakin kansallisissa säädöksissä ei kuitenkaan edellytetä lokitietojen kirjaamista kaikista toimista. Direktiivissä säädetään tiedoista, jotka lokitietojen on vähintään sisällettävä, mutta joihinkin kansallisiin säädöksiin ei ole sisällytetty kaikkia vaadittuja tietoja (esimerkiksi henkilötietojen hakemisen tai luovuttamisen syy).

Jäsenvaltioiden on säädettävä siitä, että tosiseikkoihin perustuvat henkilötiedot erotetaan mahdollisuuksien mukaan henkilökohtaisiin arvioihin perustuvista henkilötiedoista. Lisäksi jäsenvaltioiden on toteutettava toimenpiteitä varmistaakseen, että virheellisiä, epätäydellisiä tai vanhentuneita henkilötietoja ei siirretä eikä aseteta saataville. Jos virheellisiä tietoja on siirretty, asiasta on ilmoitettava viipymättä vastaanottajille. Tällaisissa tapauksissa henkilötiedot on oikaistava tai poistettava tai niiden käsittelyä on rajoitettava. Vaikka useimmat jäsenvaltiot ovat saattaneet tämän vaatimuksen osaksi kansallista lainsäädäntöään, joistakin vaadituista toimenpiteistä ei ole nimenomaisesti säädetty monissakaan kansallisissa säädöksissä.

Kaikkien jäsenvaltioiden täytäntöönpanosäädöksiin sisältyy säännöksiä, joilla kielletään yksinomaan automatisoituun käsittelyyn perustuvat päätökset, ellei tällaisista päätöksistä säädetä laissa. Useimpien jäsenvaltioiden säädöksissä edellytetään, että tällaiset päätökset eivät saa perustua erityisiin henkilötietoryhmiin, paitsi jos on toteutettu asianmukaiset suojatoimet. Lisäksi niissä kielletään profilointi, joka johtaa syrjintään. Joissakin kansallisissa säädöksissä ei kuitenkaan viitata rekisteröidyn oikeuksia ja vapauksia koskeviin asianmukaisiin suojatoimiin tapauksissa, joissa automatisoitu päätöksenteko on lain mukaan sallittua. Toisin sanoen kaikissa jäsenvaltioissa ei säädetä oikeudesta vaatia, että käsittelyyn osallistuu rekisterinpitäjän puolesta ihminen, tai ne eivät edellytä asianmukaisia toimenpiteitä rekisteröidyn oikeuksien ja/tai vapauksien sekä oikeutettujen etujen suojaamiseksi.

Tilannetta ei voida pitää tyydyttävänä. Vaikka kymmenen tietosuojaviranomaista ilmoitti, että niillä on käytössään riittävät taloudelliset, tekniset ja henkilöresurssit, 16 tietosuojaviranomaista totesi, että niiden resurssit ovat riittämättömät. Jotkin näistä viranomaisista huomauttivat, että tällä on ollut kielteinen vaikutus myös niiden oma-aloitteisiin tutkimuksiin, valitusten käsittelyyn, laaja-alaisten tietojärjestelmien (SIS, VIS) tarkastuksiin ja oma-aloitteisten lausuntojen antamiseen. Alan erityispiirteiden vuoksi direktiivin (EU) 2016/680 tehokas täytäntöönpano edellyttää usein monimutkaisten käsittelytoimien järjestelmällistä tarkastusta. Ei riitä, että tarkastuksia tehtäisiin pelkästään yksittäisten valitusten perusteella (joita tehdään paljon vähemmän kuin yleisen tietosuoja-asetuksen tapauksessa).

Tietosuojaviranomaisten henkilöstön viime vuosien kokonaislisäyksessä ei kuitenkaan näytä olevan kyse direktiiviin liittyvistä tehtävistä. Direktiivin parissa työskentelevän henkilöstön määrä on pysynyt samana tai jopa vähentynyt puolessa tietosuojaviranomaisista. Kasvu on ollut hyvin vaatimatonta, keskimäärin vähemmän kuin kaksi kokoaikavastaavaa henkilöä. Lähes puolessa tietosuojaviranomaisista (mukaan lukien ne, joissa työskentelee yhteensä yli 100 kokoaikaista työntekijää) alle 1–7 prosenttia koko henkilöstöstä työskentelee direktiivin parissa. Absoluuttisina lukuina ilmaistuna noin puolet tietosuojaviranomaisista on osoittanut 1–4 kokoaikaista työntekijää ja kahdeksan tietosuojaviranomaista on osoittanut 7–15 kokoaikaista työntekijää direktiiviin liittyviin tehtäviin. Toisaalta yhdellä tietosuojaviranomaisella on jopa 53 direktiivin parissa työskentelevää kokoaikaista työntekijää. Vastaavasti tietosuojaneuvoston sihteeristö on osoittanut alle 1,5 kokoaikaista työntekijää yksinomaan direktiiviin (EU) 2016/680 liittyviin kysymyksiin.

Kaikille tietosuojaviranomaisille on osoitettava tarvittavat tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotta ne voivat suorittaa tehtävänsä ja käyttää valtuuksiaan tehokkaasti. Nämä resurssit ovat välttämättömiä tietosuojaviranomaisten riippumattomuuden varmistamiseksi. Komissio on johdonmukaisesti korostanut, että jäsenvaltioiden on osoitettava tietosuojaviranomaisilleen riittävät taloudelliset, tekniset ja henkilöresurssit. Myös neuvosto on kehottanut jäsenvaltioita osoittamaan tietosuojaviranomaisille riittävät taloudelliset, tekniset ja henkilöresurssit.

Direktiivissä vahvistetaan olosuhteet, joissa rekisterinpitäjien on ilmoitettava tietosuojaviranomaiselle ja asianomaiselle rekisteröidylle henkilötietojen tietoturvaloukkauksesta. Tästä velvoitteesta huolimatta tietosuojaviranomaisille direktiivin käyttöönoton jälkeen ilmoitettujen tietoturvaloukkausten määrissä on suuria eroja. Kuusi tietosuojaviranomaista ilmoitti, että ne eivät ole saaneet lainkaan tietoturvaloukkausilmoituksia . Useat muut puolestaan ilmoittivat saaneensa vain muutamia tällaisia ilmoituksia. Esimerkiksi Italian tietosuojaviranomainen raportoi saaneensa ainoastaan kolme ilmoitusta ja Ranskan viranomainen kahdeksan, kun taas Alankomaiden viranomainen raportoi saaneensa yli 500 ilmoitusta.

Neuvosto on myös tunnustanut tämän ja todennut, että direktiivi on parantanut tietoturvaa muun muassa edellyttämällä turvallisuussuunnitelmia, tietoteknisten järjestelmien ja organisatoristen toimenpiteiden päivittämistä ja tietosuojaa koskevia vaikutustenarviointeja sekä vaatimalla toimivaltaisia viranomaisia säilyttämään lokitiedot tietyistä käsittelytoimista.

Direktiivillä (EU) 2016/680 on parannettu henkilötietojen turvallisuutta edellyttämällä toimivaltaisia viranomaisia toteuttamaan toimenpiteitä erityisten turvallisuustavoitteiden saavuttamiseksi. Siinä esimerkiksi edellytetään, että toimivaltaisten viranomaisten on tehtävä tietosuojaa koskeva vaikutustenarviointi, jos käsittelytoimi todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille. Vaikutustenarvioinnissa yksilöidään riskit sekä toimenpiteet niiden lieventämiseksi. Tämän vaatimuksen ohella myös sisäänrakennetun ja oletusarvoisen tietosuojan periaatteen ja tietoturvaloukkauksista ilmoittamista koskevien vaatimusten pakollinen noudattaminen ovat parantaneet henkilötietojen käsittelyn turvallisuutta.

3.3Tietoturva on parantunut, mutta tietoturvaloukkauksista ilmoittamisessa on eroja

On tärkeää investoida tietosuojavastaavien asiantuntemuksen ja tietämyksen kehittämiseen ja maksimointiin, jotta toimivaltaiset viranomaiset voisivat soveltaa direktiiviä johdonmukaisesti. Sen vuoksi komissio on perustanut toimivaltaisten viranomaisten, oikeus- ja sisäasioiden virastojen ja Euroopan syyttäjänviraston tietosuojavastaavien verkoston ja avustaa sitä. Verkosto on pysyvä aloite, jossa keskitytään siihen, miten jäsenvaltioiden toimivaltaiset viranomaiset soveltavat direktiiviä. Sen tarkoituksena on tarjota foorumi jäsenvaltioiden tietosuojavastaavien väliselle yhteistyölle ja asiantuntemuksen vaihdolle. Europolin tietosuoja-asiantuntijoiden verkosto EDEN ja toimivaltaisten viranomaisten kansalliset tietosuojavastaavien verkostot ovat tärkeitä aloitteita, jotka auttavat toimivaltaisia viranomaisia ja tietosuojavastaavia edistämään parhaiden käytäntöjen ja tietojen vaihtoa direktiivin soveltamisesta.

Toinen direktiivin tuoma uudistus on vaatimus, jonka mukaan rekisterinpitäjien on nimettävä tietosuojavastaava, jonka tehtäviin kuuluvat muun muassa tietosuojavaatimuksista tiedottaminen ja niitä koskeva neuvonta, direktiivin noudattamisen valvonta sekä tietosuojaa koskeviin vaikutustenarviointeihin liittyvä neuvonta ja sen toiminnan seuranta. Tämä on lisännyt toimivaltaisten viranomaisten tietoisuutta tietosuojavelvoitteistaan. Lisäksi sillä on ollut myönteinen vaikutus siihen, että toimivaltaiset viranomaiset noudattavat tietosuojasääntöjä, kuten myös neuvosto on todennut.

Jäsenvaltiot raportoivat, että direktiivin käyttöönotolla on ollut ja on edelleen merkittävä vaikutus toimivaltaisten viranomaisten tietoisuuteen tietosuojan merkityksestä. Useat tietosuojaviranomaiset ovat todenneet, että direktiivin suurin vaikutus on ollut tietoisuuden lisääntyminen tietosuoja-asioista ja rekisteröityjen oikeuksista sekä niiden korostaminen. Tämä kävi ilmi myös tietosuojaviranomaisten ja toimivaltaisten viranomaisten välisestä tietojenvaihdosta, joka koski rekisteröityjen oikeuksia ja niiden käyttöä koskevia yksityiskohtaisia sääntöjä. Jotkin toimivaltaiset viranomaiset ilmoittivat, että ne ovat direktiivin seurauksena osoittaneet enemmän resursseja tietosuojaan. Tähän sisältyivät myös investoinnit sisäänrakennetun ja oletusarvoisen yksityisyyden suojan periaatteen sisällyttämiseen tietoteknisiin järjestelmiin, tietojen säilytysaikojen vahvistamiseen, tietojen minimoinnin periaatteen soveltamiseen ja tietoturvaloukkauksista ilmoittamiseen. Tämän seurauksena käsiteltyjen henkilötietojen yleisen turvallisuuden on raportoitu parantuneen.

Yksityishenkilöt käyttävät yhä useammin oikeuttaan tehdä valituksia tietosuojaviranomaisille, myös tapauksissa, joissa toimivaltaiset viranomaiset rajoittavat rekisteröityjen oikeuksien käyttöä. Yli kolmannes tietosuojaviranomaisista ilmoitti, että niille tehtyjen valitusten määrä lisääntyi sen jälkeen, kun direktiivi oli saatettu osaksi jäsenvaltion kansallista lainsäädäntöä. Tietosuojaviranomaisten saamat valitukset koskivat useimmin tietoihin pääsyn rajoittamista , oikeutta henkilötietojen oikaisemiseen tai poistamiseen sekä tiedonsaantioikeutta ja sen rajoituksia . Seuraavaksi eniten valituksia on tehty henkilötietojen säilyttämisen rajoittamista koskevasta periaatteesta, jonka mukaan toimivaltaiset viranomaiset saavat säilyttää henkilötietoja vain niin kauan kuin on tarpeen, sekä tiedonsaantioikeudesta.

Direktiivin (EU) 2016/680 johdonmukaisen soveltamisen varmistamiseksi tietosuojaviranomaisten on annettava toisilleen keskinäistä apua. Tämä kattaa tietopyynnöt sekä kuulemisten, tarkastusten ja tutkimusten toteuttamista koskevat pyynnöt. Keskinäistä avunantoa on kuitenkin tähän mennessä käytetty hyvin harvoin. Vain kuusi tietosuojaviranomaista on käyttänyt sitä, pääasiassa vastauksena muilta tietosuojaviranomaisilta saatuihin tietopyyntöihin. Suurin osa tietosuojaviranomaisista ilmoitti saaneensa ainoastaan yhden tietopyynnön. Kukin niistä kertoi noudattaneensa saamaansa pyyntöä. Myöskään vapaaehtoista keskinäistä avunantoa (jonka osalta ei ole säädetty määräajoista tai tiukasta vastausvelvollisuudesta) ei ole käytetty. Tietosuojaneuvosto on ilmoittanut julkaisevansa ohjeet yleisen tietosuoja-asetuksen ja direktiivin (EU) 2016/680 mukaisesta keskinäisen avunannon kehyksestä.

Kattavien ja käytännöllisten ohjeiden laatiminen vaatii paljon työtä ja resursseja, mutta ohjeistus on välttämätöntä (kuten myös neuvosto on todennut). Siksi on erittäin myönteistä, että tietosuojaneuvosto on ilmoittanut antavansa lähiaikoina lisäohjeita muun muassa tietosuojaviranomaisten tehokkaiden tutkintavaltuuksien ja korjaavien valtuuksien käsitteistä sekä kansainvälisistä siirroista, joihin sovelletaan asianmukaisia suojatoimia.

Henkilötietojen johdonmukainen ja korkeatasoinen suoja jäsenvaltioiden välillä on avainasemassa, jotta voidaan taata tehokas rikosasioissa tehtävä oikeudellinen yhteistyö ja poliisiyhteistyö. Direktiivissä (EU) 2016/680 säädetään, että tietosuojaneuvosto antaa suuntaviivoja, suosituksia ja parhaita käytäntöjä (oma-aloitteisesti tai komission pyynnöstä) sen varmistamiseksi, että jäsenvaltiot soveltavat direktiiviä johdonmukaisesti. Tietosuojaneuvosto on laatinut muun muassa direktiivin V lukua (kansainväliset siirrot) koskevat ohjeet ja kasvontunnistusteknologian käyttöä koskevat ohjeet sekä antanut (aiemmin 29 artiklan mukaisena tietosuojatyöryhmänä toimiessaan) lausunnon joistakin direktiivin keskeisistä kysymyksistä.

Direktiivin V luvussa säädetään henkilötietojen siirroista kolmansien maiden toimivaltaisille viranomaisille ja kansainvälisille järjestöille. Tällä luvulla varmistetaan tietosuojan jatkuminen, kun henkilötietoja siirretään jäsenvaltiosta kolmanteen maahan tai kansainväliselle järjestölle lainvalvontatarkoituksia varten. Kuten edellä todettiin, tällainen suojan jatkuminen on tärkeä edellytys nopealle, tehokkaalle ja oikeudellisesti varmalle lainvalvontayhteistyölle luotettujen kumppaneiden välillä.

Direktiivin asiaa koskevien sääntöjen mukaan direktiivissä tarkoitettujen toimivaltaisten viranomaisten välisten kansainvälisten siirtojen on perustuttava johonkin direktiivin 36–38 artiklassa säädetyistä välineistä (jos tiedot ovat peräisin toisesta jäsenvaltiosta, siirto edellyttää myös kyseisen jäsenvaltion ennakkolupaa). Näihin välineisiin kuuluvat tietosuojan riittävyyttä koskevat päätökset, asianmukaisia suojatoimia edellyttävät siirrot ja erityistilanteita koskevien poikkeusten käyttö. Lisäksi direktiivin 39 artiklassa sallitaan yksittäis- ja erityistapauksissa ja useiden edellytysten täyttyessä suorat siirrot kolmansiin maihin sijoittautuneille vastaanottajille, jotka eivät ole lainvalvontaviranomaisia.

3.5.1Tietosuojan riittävyyttä koskevat päätökset

Komissio on nopeuttanut työtään direktiivin (EU) 2016/680 mukaisten välineiden täyden potentiaalin hyödyntämiseksi. Tähän sisältyy myös kesäkuussa 2021 tehty ensimmäinen direktiivin 36 artiklan mukainen tietosuojan riittävyyttä koskeva päätös, joka koskee Yhdistyneen kuningaskunnan kanssa lainvalvontatarkoituksessa suoritettavia käsittelytoimia. Kyseinen päätös mahdollistaa henkilötietojen turvallisen ja vapaan siirtämisen asianomaisen kolmannen maan toimivaltaisille viranomaisille ilman muita suojatoimia tai erityistä lupaa (paitsi jos toisen jäsenvaltion, jolta tiedot on saatu, on annettava lupa siirtoon ). Kesäkuussa 2021 tehty päätös muodostaa keskeisen perustan brexitin jälkeiselle poliisi- ja oikeudelliselle yhteistyölle, joka EU:n ja Yhdistyneen kuningaskunnan kauppa- ja yhteistyösopimuksen mukaan perustuu osapuolten pitkäaikaiseen sitoutumiseen korkeatasoisen henkilötietojen suojan varmistamiseen . Direktiivin 36 artiklan 4 kohdan mukaisesti komissio seuraa Yhdistyneen kuningaskunnan oikeudellisen kehyksen kehitystä, joka saattaa vaikuttaa tietosuojan riittävyyttä koskevaan päätökseen. Yhdistyneen kuningaskunnan kanssa tehtyä tietosuojan riittävyyttä koskevaa päätöstä on tarkoitus soveltaa neljän vuoden ajan sen voimaantulosta. Sitä voidaan periaatteessa jatkaa neljällä vuodella, jos komission seuranta vahvistaa, että Yhdistynyt kuningaskunta takaa edelleen riittävän korkean tietosuojan tason.

Lisäksi tietosuojaneuvosto on osallistunut tämän välineen kehittämiseen selventämällä oikeudellisia vaatimuksia antamalla ohjeita seikoista, jotka on otettava huomioon arvioitaessa tietosuojan riittävyyttä lainvalvonnan yhteydessä, sekä antamalla suositukset direktiivin (EU) 2016/680 mukaisista tietosuojan riittävyyden viitearvoista. Kolmannen maan on erityisesti varmistettava täytäntöönpanokelpoiset yksilön oikeudet, tehokkaat muutoksenhakukeinot ja riippumaton valvonta.

Komissio edistää tällaisia riittävyystoteamuksia vaatimukset täyttävien keskeisten kansainvälisten kumppaneiden ja varsinkin niiden maiden osalta, joiden kanssa on tehtävä läheistä ja ripeää yhteistyötä rikollisuuden ja terrorismin torjunnassa ja joiden kanssa jo nyt siirretään merkittäviä määriä henkilötietoja. Muita tietosuojan tason riittävyyttä koskevia päätöksiä ei ole toistaiseksi tehty, mikä johtuu pääasiassa siitä, että väline on otettu käyttöön vasta äskettäin. Lisäksi toisin kuin kaupallisten toimijoiden suorittaman käsittelyn osalta, tietosuojasääntöjen maailmanlaajuinen lähentyminen lainvalvonnan alalla on vasta alkanut kehittyä (esim. monenvälisten järjestelyjen pohjalta, kuten uudistettu Euroopan neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja tietoverkkorikollisuutta koskevan Budapestin yleissopimuksen toinen lisäpöytäkirja). Yhdistyneen kuningaskunnan henkilötietojen suojan riittävyydestä annetun päätöksen hyväksymisestä saadut kokemukset auttavat kuitenkin tasoittamaan tietä vastaaville aloitteille tulevina vuosina. Komissio harkitsee osana kansainvälistä strategiaansa myös muita mahdollisia ehdokkaita, joiden osalta se voi tehdä riittävyyspäätöksiä direktiivin (EU) 2016/680 mukaisesti. Se tulee olemaan asiassa suoraan yhteydessä muihin asiaankuuluviin EU:n toimielimiin ja elimiin. Tätä varten ja direktiivin johdanto-osan 68 kappaleen mukaisesti komissio kiinnittää erityistä huomiota arvioitujen maiden kansainvälisiin sitoumuksiin, jotka liittyvät henkilötietojen suojaan, mukaan lukien maan liittyminen edellä mainittuihin monenvälisiin järjestelyihin tai muihin lainvalvontavälineisiin, joissa säädetään asianmukaisista suojatoimista.

3.5.2Asianmukaiset suojatoimet

Direktiivi (EU) 2016/680 sisältää myös muita siirtovälineitä sen kattavan ratkaisun lisäksi, jonka tietosuojan riittävyyttä koskeva päätös tarjoaa. Tämän välineistön joustavuus näkyy direktiivin 37 artiklassa, jolla säännellään henkilötietojen suojan osalta ”asianmukaisia suojatoimia” edellyttäviä henkilötietojen siirtoja. Tällaiset asianmukaiset suojatoimet voivat perustua joko oikeudellisesti sitovaan välineeseen tai rekisterinpitäjän tekemään arviointiin, jossa se katsoo kaikkien siirtoon liittyvien seikkojen perusteella, että tietojen suojaamiseksi on toteutettu asianmukaiset suojatoimet (”itsearviointi”).

Direktiivin soveltamisen ensimmäisinä vuosina komissio keskittyi erityisesti sellaisten sitovien oikeudellisten välineiden kehittämiseen, jotka muodostuvat asianmukaiset suojatoimet tarjoavista kansainvälisistä sopimuksista. Tällaisilla sopimuksilla on tärkeä rooli sekä perinteisessä (toimivaltaisten viranomaisten välisessä) yhteistyössä että muissa lainvalvontayhteistyön muodoissa (yhteistyö, johon osallistuu kolmansia osapuolia, kuten yksityisiä yrityksiä). Ne voivat myös toimia perustana Europolin ja Eurojustin omien oikeudellisten kehystensä mukaisesti suorittamille tiedonsiirroille, koska näiden kehysten kansainvälisiä siirtoja koskevat säännöt ovat hyvin samankaltaiset kuin direktiivin (EU) 2016/680 mukaiset säännöt.

Perinteisen lainvalvontayhteistyön osalta komissio tarkastelee uudelleen kansainvälisiä sopimuksia, jotka on hyväksytty ennen direktiivin voimaantuloa. Pyrkimyksenä on varmistaa niiden johdonmukaisuus EU:n uudistetun tietosuojajärjestelmän kanssa.

Ensinnäkin komissio arvioi parhaillaan tietosuojamääräyksiä, jotka sisältyvät Europolin kolmansien maiden kanssa ennen 1. toukokuuta 2017 tekemiin voimassa oleviin yhteistyösopimuksiin , Euroopan unionin lainvalvontayhteistyövirastosta annetun asetuksen (EU) 2016/794, jäljempänä ’Europol-asetus’, mukaisesti. Euroopan unionista tehtyyn sopimukseen ja SEUT-sopimukseen liitetyssä siirtymämääräyksistä tehdyssä pöytäkirjassa N:o 36 olevan 9 artiklan mukaisesti näiden sopimusten oikeusvaikutukset säilyvät niin kauan kuin näitä säädöksiä ei kumota, julisteta mitättömiksi tai muuteta. Komissio tiedottaa Euroopan parlamentille ja neuvostolle tämän arvioinnin tuloksista ja antaa tarvittaessa neuvostolle suosituksen päätökseksi luvan antamisesta neuvottelujen aloittamiseen näiden sopimusten muuttamiseksi SEUT-sopimuksen 218 artiklan mukaisesti. Tämä on monimutkainen tehtävä, joka käsittää yhteensä 18 sopimuksen arvioinnin. Lisäksi covid-19-pandemian aiheuttamat häiriöt ovat viivästyttäneet työtä. Komission odotetaan saattavan arviointinsa päätökseen vuoden 2022 jälkipuoliskolla.

Kaikkien lainvalvontayhteistyömekanismien yhdenmukaisuus direktiivin (EU) 2016/680 sääntöjen kanssa on ohjaava periaate, jota komissio noudattaa myös neuvotellessaan uusista sopimuksista, jotka koskevat Europolin suorittamaa henkilötietojen siirtoa kolmansiin maihin tai kansainvälisille järjestöille. Sen jälkeen kun nykyinen Europol-asetus tuli voimaan vuonna 2017, tällaisten riittävät suojatoimet varmistavien kansainvälisten sopimusten oikeusperustana on ollut SEUT-sopimuksen 218 artikla. Neuvosto antoi vuosina 2018 ja 2019 komissiolle yhdeksän valtuutusta aloittaa unionin puolesta neuvottelut kolmansien maiden kanssa. Komissio on myös valtuutettu aloittamaan neuvottelut Interpolin kanssa tehtävästä yhteistyösopimuksesta, joka kattaa tietojenvaihdon useiden EU:n elinten ja virastojen kanssa. Kaikissa näissä tapauksissa neuvosto on antanut komissiolle neuvotteluohjeet sen varmistamiseksi, että sopimuksiin sisällytetään tarvittavat toimet henkilötietojen ja yksilöiden perusoikeuksien ja -vapauksien suojaamiseksi. Tältä pohjalta komissio on jo saattanut päätökseen Uuden-Seelannin kanssa käydyt neuvottelut, jotka johtivat yhteistyösopimuksen allekirjoittamiseen 30. kesäkuuta 2022. Lisäksi Israelin kanssa käytävissä neuvotteluissa on edistytty. Turkin osalta neuvottelut ovat edenneet pitkälle, mutta niitä ei voida saattaa päätökseen ennen kuin Turkki hyväksyy tarvittavat uudistukset tietosuojalainsäädäntöönsä. Vastaavia valtuutuksia myönnettiin maaliskuussa 2021 yhteistyösopimusten neuvottelemiseksi, jotta Eurojust voi vaihtaa tietoja 13 muun kolmannen maan kanssa.

Toiseksi komissio toteuttaa ensimmäistä kertaa rikosten ennalta estämiseen, tutkimiseen, paljastamiseen ja rikoksia koskeviin syytetoimiin liittyvien henkilötietojen suojasta tehdyn Amerikan yhdysvaltojen ja Euroopan unionin välisen sopimuksen, jäljempänä ’puitesopimus’, yhteisen tarkastelun. Helmikuussa 2017 voimaan tullut puitesopimus sisältää kattavat ja yhdenmukaistetut tietosuojasäännöt, joita sovelletaan kaikkeen toimivaltaisten viranomaisten väliseen transatlanttiseen tietojenvaihtoon. Se täydentää nykyisiä EU:n ja Yhdysvaltojen sekä EU:n jäsenvaltioiden ja Yhdysvaltojen lainvalvontaviranomaisten välisiä sopimuksia, vahvistaa korkeatasoisen suojan tuleville sopimuksille tällä alalla ja lujittaa lainvalvontayhteistyötä helpottamalla tietojenvaihtoa. Yhteisessä tarkastelussa pyritään arvioimaan puitesopimuksen tehokasta täytäntöönpanoa erityisesti henkilötietojen edelleensiirtoa, yksilön oikeuksia ja oikeussuojakeinoja koskevien määräysten osalta. Yhteisen tarkastelun aikatauluun ovat vaikuttaneet covid-19-pandemiaan liittyvät häiriöt sekä samanaikaiset neuvottelut tietoverkkorikollisuutta koskevan Euroopan neuvoston yleissopimuksen, jäljempänä ’Budapestin yleissopimus’, toisesta lisäpöytäkirjasta. Komissio odottaa tarkastelun valmistuvan vuoden 2022 jälkipuoliskolla.

Koska puitesopimus on ensimmäinen kahdenvälinen kansainvälinen sopimus, johon sisältyy kattava luettelo tietosuojaa koskevista oikeuksista ja velvoitteista, se toimii vertailukohtana, jonka pohjalta voidaan neuvotella vastaavia puitesopimuksia tärkeiden lainvalvontakumppaneiden kanssa. Tässä yhteydessä komissio ottaa huomioon myös asiaan liittyvän kehityksen, kuten tietosuojaneuvoston ohjeet, unionin tuomioistuimen oikeuskäytännön ja alan tietosuojatakeista käytyjen kansainvälisten neuvottelujen tulokset (esimerkiksi Budapestin yleissopimuksen toinen lisäpöytäkirja tai Europolin ja Uuden-Seelannin välinen sopimus).

Kolmanneksi komissio on todennut, että Euroopan unionin ja Japanin välinen sopimus keskinäisestä oikeusavusta rikosasioissa on EU:n säädös, jolla säännellään lainvalvontatarkoituksessa tapahtuvaa tietojen käsittelyä (siirtoja), ja että sitä on muutettava, jotta voidaan varmistaa asianmukaiset suojatoimet direktiivin (EU) 2016/680 mukaisesti. Koska neuvosto antoi päätöksessään luvan aloittaa neuvottelut EU:n ja Japanin välisen keskinäistä oikeusapua koskevan sopimuksen muuttamiseksi, komissio jatkaa yhteistyötä Japanin viranomaisten kanssa näiden neuvottelujen aloittamiseksi mahdollisimman pian.

Sellaisiin lainvalvontayhteistyön muotoihin, jotka on mukautettu nykyisen digitaalitalouden rikostutkinnan erityishaasteisiin ja -tarpeisiin, turvaudutaan yhä enemmän. Ne koskevat pääasiassa tiiviimpää yhteistyötä tietoverkko- eli kyberrikollisuuden alalla ja rikoksia koskevien todisteiden keräämistä sähköisessä muodossa. Tämä yhteistyö kattaa myös suoran yhteistyön yksityisten osapuolten kanssa sähköisten todisteiden saamiseksi.

Myös komissio on tehnyt yhteistyötä kansainvälisten kumppaneiden kanssa varmistaakseen, että nämä muut (tärkeät) yhteistyömuodot voidaan toteuttaa tietosuojaa koskevat asianmukaiset suojatoimet huomioiden.

Ensinnäkin komissio edusti EU:ta Euroopan neuvoston puitteissa käydyissä neuvotteluissa Budapestin yleissopimuksen toisesta lisäpöytäkirjasta . Pöytäkirja, jonka Euroopan neuvoston ministerikomitea hyväksyi 17. marraskuuta 2021, sisältää vahvat toimet perusoikeuksien suojaamiseksi, muun muassa artiklan , jossa annetaan yksityiskohtaisia määräyksiä pöytäkirjan mukaisesti siirrettyjen henkilötietojen suojasta. Nämä määräykset kattavat kaikki unionin lainsäädännössä tunnustetut keskeiset tietosuojaa koskevat periaatteet, oikeudet ja velvoitteet. Näitä suojatoimia täydennetään valvontamääräyksellä ja mahdollisuudella keskeyttää siirrot, jos pöytäkirjaan sisältyviä suojatoimia rikotaan järjestelmällisesti tai olennaisesti, esimerkiksi jos tehokkaita oikeussuojakeinoja ei ole. Määräyksillä myös taataan asianmukaiset suojatoimet direktiivin (EU) 2016/680 37 artiklan 1 kohdan a alakohdan vaatimusten mukaisesti. Tämä on merkittävä saavutus, kun otetaan huomioon, että Budapestin yleissopimuksen osapuolena on tällä hetkellä 66 valtiota, jotka edustavat erilaisia oikeudellisia taustoja ja perinteitä. Pöytäkirja antaa jäsenvaltioiden toimivaltaisille viranomaisille mahdollisuuden hyötyä tehokkaasta rajatylittävästä yhteistyöstä kyberrikollisuuden torjunnassa ja varmistaa samalla perusoikeuskirjassa, perussopimuksissa ja unionin sekundaarilainsäädännössä ilmaistujen EU:n arvojen kunnioittamisen. Koska Budapestin yleissopimuksessa on tällä hetkellä mukana maita laajalti eri puolilta maailmaa, pöytäkirjalla edistetään myös lainvalvonnan alalla tapahtuvan tietojenkäsittelyn korkeatasoisia tietosuojavaatimuksia koko maailmassa. Pöytäkirja avattiin allekirjoittamista varten 12. toukokuuta 2022, ja yhteensä 22 Budapestin yleissopimuksen osapuolta (mukaan lukien 13 EU:n jäsenvaltiota) on jo allekirjoittanut sen.

Toiseksi komissio on aloittanut neuvottelut Yhdysvaltojen kanssa tehtävästä kahdenvälisestä sopimuksesta, joka koskee oikeudelliseen yhteistyöhön rikosasioissa liittyvää rajatylittävää pääsyä sähköiseen todistusaineistoon. Sopimuksella pyritään kattamaan sähköiset todisteet, joihin sisältyy sekä henkilötietoja että muita kuin henkilötietoja, kuten liikenne- ja sisältötietoja. Neuvottelujen tavoitteena on myös sisällyttää sopimukseen uusia suojatoimia, jotka täydentäisivät puitesopimukseen sisältyviä suojatoimia, ottaen erityisesti huomioon kyseisten tietoryhmien arkaluonteisuus sekä vaatimukset, jotka koskevat sähköisten todisteiden siirtämistä suoraan palveluntarjoajien toimesta. Näiden neuvottelujen eteneminen riippuu suurelta osin EU:n sähköisiä todisteita koskevan lainsäädäntöpaketin etenemisestä.

Tietosuojaneuvosto ja Euroopan tietosuojavaltuutettu ovat tukeneet komission aloitteita kehittää kansainvälisiä välineitä, joilla helpotetaan lainvalvontayhteistyötä kansainvälisten kumppaneiden kanssa ja varmistetaan samalla asianmukaiset tietosuojaa koskevat suojatoimet. Tähän työhön kuuluvat tietosuojaneuvoston lausunto Budapestin yleissopimuksen toista lisäpöytäkirjaa koskevasta luonnoksesta ja tietosuojavaltuutetun lausunnot luonnoksista SEUT-sopimuksen 218 artiklan mukaisista neuvotteluvaltuutuksista, jotka koskevat kansainvälisiä sopimuksia, joilla annettaisiin Europolille ja Eurojustille mahdollisuus vaihtaa henkilötietoja kolmansien maiden tai kansainvälisten järjestöjen kanssa . Lisäksi tietosuojaneuvosto on antanut lausunnon, jossa se kehotti jäsenvaltioita arvioimaan ja tarvittaessa tarkistamaan kansainvälisiä sopimuksia, joissa määrätään henkilötietojen kansainvälisestä siirrosta. Lausunto koskee ennen 6. toukokuuta 2016 tehtyjä sopimuksia (myös lainvalvonnan alalla), ja siinä kehotetaan jäsenvaltioita määrittämään, onko yhdenmukaistamista EU:n tietosuojalainsäädännön ja oikeuskäytännön kanssa jatkettava.