Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta, joka koskee ehdotusta asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivustolla www.edps.europa.eu)

(2021/C 337/03)

Euroopan komissio hyväksyi 24. syyskuuta 2020 ehdotuksen asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta (jäljempänä ”ehdotus”). Ehdotuksessa määritellään kryptovarojen liikkeeseenlaskua ja kaupankäynnin kohteeksi ottamista koskevat läpinäkyvyys- ja julkistamisvaatimukset; kryptovarapalvelun tarjoajien, referenssivaratokenien liikkeeseenlaskijoiden ja sähköisen rahan tokenien liikkeeseenlaskijoiden toimilupien myöntämistä ja valvontaa koskevat säännöt; referenssivaratokenien liikkeeseenlaskijoiden, sähköisen rahan tokenien liikkeeseenlaskijoiden ja kryptovarapalvelun tarjoajien toiminta, organisaatio ja hallinto. Lisäksi siinä annetaan kryptovarojen liikkeeseenlaskua, kauppaa, vaihtoa ja säilytystä koskevat kuluttajansuojasäännöt sekä toimenpiteet, joilla estetään markkinoiden väärinkäyttö kryptovarojen markkinoiden luotettavuuden varmistamiseksi.

Tietosuojavaltuutettu muistuttaa, että on pohdittava laajemmin, miten voidaan paremmin varmistaa, että kryptovarojen taustalla oleva teknologia, eli lohkoketjuteknologia ja hajautetun tilikirjan käyttö, on tietosuojasääntöjen ja -periaatteiden mukainen, ja viittaa tältä osin yleisiin huomioihin, jotka hän esitti lausunnossaan ehdotuksesta hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmäksi antamassaan lausunnossa, ja toistaa, että tällainen keskustelu on käytävä ennen asiaa koskevien ehdotusten voimaantuloa.

Samalla tietosuojavaltuutettu korostaa EU:n lainsäätäjän vastuuta varmistaa, että ehdotuksen mukainen käsittely voidaan toteuttaa tietosuojaa noudattaen, sekä rekisterinpitäjien vastuuta varmistaa, että sääntöjä noudatetaan vastuuvelvollisuuden periaatteen mukaisesti.

Tietosuojavaltuutettu katsoo, että kryptovarojen liikkeeseenlaskijat olisivat tyypillisesti yleisen tietosuoja-asetuksen mukaisia rekisterinpitäjiä, kun otetaan huomioon liikkeeseenlaskijoiden hankkeet ja siltä osin kuin jälkimmäisiin liittyy henkilötietojen käsittelyä. Oikeusvarmuuden lisäämiseksi tietosuojavaltuutettu kehottaa lainsäätäjää nimenomaisesti nimeämään liikkeeseenlaskijat rekisterinpitäjiksi ehdotuksessa. Lisäksi henkilötietojen käsittely voi täyttää kaksi tai useampia kriteereistä, jotka osoittavat, että käsittely todennäköisesti aiheuttaa tietosuojalainsäädännössä tarkoitetun suuren riskin. Tämän seurauksena kryptovarojen liikkeeseenlaskija voi olla yleisen tietosuoja-asetuksen 35 artiklan nojalla velvollinen tekemään tietosuojaa koskevan vaikutustenarvioinnin ennen suunniteltua henkilötietojen käsittelyä.

Tietosuojavaltuutettu suhtautuu myönteisesti ehdotuksen tavoitteeseen parantaa kuluttajien suojaa kryptovarojen ostajina (sijoittajina). Samalla tietosuojavaltuutettu katsoo, että ehdotukseen olisi sisällytettävä myös liikkeeseenlaskijoiden velvollisuus korostaa erityisesti tiettyjä tietosuojaa koskevia takeita rekisteröityjen suojelun parantamiseksi. Tietosuojavaltuutettu suosittelee, että ehdotukseen sisällytetään kryptovarojen kuvauksen osana tietoja suunnitelluista henkilötietojen käsittelytoimista sekä tärkeimmistä nähtävissä olevista riskeistä ja riskinhallintastrategioista tietosuojan kannalta.

Hallinnollisten seuraamusten julkaisemisen osalta Euroopan tietosuojavaltuutettu suosittelee, että yksityishenkilöiden henkilötietojen suojaan liittyvät vaikutukset sisällytetään kriteereihin, jotka toimivaltaisen viranomaisen on otettava huomioon. Lisäksi Euroopan tietosuojavaltuutettu muistuttaa, että säilytysrajoituksen periaate edellyttää, että henkilötietoja säilytetään vain niin kauan kuin on tarpeen niitä tarkoituksia varten, joita varten henkilötietoja käsitellään, ja suosittelee, että ehdotuksen 95 artiklan 4 kohdassa säädetään tietojen säilyttämisen enimmäiskestosta vähimmäiskeston sijaan.

1. Taustaa

1. Euroopan komissio hyväksyi 24. syyskuuta 2020 ehdotuksen asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta (jäljempänä ”ehdotus”) ( 1 ) . Ehdotus on sääntelykehys, joka on kehitetty sääntelemään tällä hetkellä soveltamisalan ulkopuolella olevia kryptovaroja ja niiden palveluntarjoajia EU:ssa ja luomaan vuoteen 2024 mennessä yhtenäinen toimilupajärjestelmä kaikissa jäsenvaltioissa. Ehdotuksen tavoitteena on yhdenmukaistaa erityyppisten kryptotokenien liikkeeseenlaskua ja kauppaa koskevat puitteet Euroopassa osana Euroopan digitaalisen rahoituksen strategiaa.

2. Ehdotus on osa digitaalisen rahoituksen pakettia, joka on toimenpidepaketti, jolla mahdollistetaan ja tuetaan edelleen digitaalisen rahoituksen mahdollisuuksia innovoinnin ja kilpailun kannalta ja vähennetään samalla riskejä. Digitaalisen rahoituksen pakettiin sisältyy uusi EU:n rahoitusalan digitaalista rahoitusta koskeva strategia ( 2 ) , jonka tavoitteena on varmistaa, että EU asettaa digitaalisen rahoituksen hyödyt eurooppalaisten kuluttajien ja yritysten saataville. Tämän ehdotuksen lisäksi pakettiin sisältyy myös ehdotus hajautetun tilikirjan teknologiaan (DLT-teknologia) perustuvien markkinainfrastruktuurien pilottijärjestelmästä ( 3 ) , ehdotus digitaalisesta häiriönsietokyvystä (DORA) ( 4 ) sekä ehdotus tiettyjen rahoituspalveluja koskevien EU:n sääntöjen selkeyttämiseksi tai muuttamiseksi ( 5 )

3. Euroopan tietosuojavaltuutettua kuultiin pilottijärjestelmää koskevasta ehdotuksesta, ja hän antoi lausuntonsa 23. huhtikuuta 2021 ( 6 ) . Häntä kuultiin myös digitaalista häiriönsietokykyä koskevasta ehdotuksesta, ja hän antoi lausuntonsa 10. toukokuuta 2021 ( 7 )

4. Euroopan komissio pyysi 29. huhtikuuta 2021 Euroopan tietosuojavaltuutetulta lausuntoa ehdotuksesta asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti. Nämä huomautukset rajoittuvat ehdotuksen niihin säännöksiin, jotka ovat merkityksellisiä tietosuojan kannalta tarkasteltuina.

4. Päätelmät

Edellä esitetyn nojalla Euroopan tietosuojavaltuutettu

— muistuttaa laajemman pohdinnan ja keskustelun tarpeesta – ei ainoastaan kryptovarojen osalta– siitä, miten voidaan varmistaa, että kryptovarojen taustalla oleva teknologia, eli lohkoketjuteknologia ja hajautetun tilikirjan käyttö, on tietosuojasääntöjen ja -periaatteiden mukainen ja toistaa, että keskustelu on käytävä ennen asiaa koskevien ehdotusten voimaantuloa

— suosittelee, että liikkeeseenlaskijat nimetään nimenomaisesti rekisterinpitäjiksi, jotta vältetään mahdolliset tulkintaongelmat roolin arvioinnissa, erityisesti kun otetaan huomioon ehdotuksen aiheen monimutkaisuus ja asiaankuuluvien toimijoiden väliset suhteet

— suosittelee, että ehdotuksen 5, 17 ja 46 artiklaan sisällytetään kryptovarojen kuvauksen osana seuraavat tiedot: tarvittaessa luettelo suunnitelluista henkilötietoja koskevista käsittelytoimista sekä mahdollisista tärkeimmistä riskeistä ja tietosuojaan liittyvistä riskinhallintastrategioista

— suosittelee hallinnollisten seuraamusten osalta, että yksityishenkilöiden henkilötietojen suojaan liittyvät riskit ja tietojen säilyttämisen vähintään viiden vuoden vähimmäiskeston korvaaminen määritellyllä enimmäissäilytysajalla 95 artiklan 4 kohdassa sisällytetään kriteereihin, jotka toimivaltaisen viranomaisen on otettava huomioon

— suosittelee toimivaltaisten viranomaisten, EPV:n ja ESMAn välisen hallinnollisen yhteistyön sekä kolmansien maiden valvontaviranomaisten kanssa tehtävän yhteistyön osalta, että 108 artiklan 3 kohdan viittausta EU:n tietosuoja-asetukseen harkitaan poistettavaksi, koska ehdotuksen 88 artiklan 2 kohdassa viitataan horisontaalisesti EU:n tietosuoja-asetuksen sovellettavuuteen.

Brysselissä 24 päivänä kesäkuuta 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta, 24. syyskuuta 2020, 2020/0265 (COD).

(2) Komission tiedonanto Euroopan parlamentille, Eurooppa-neuvostolle, neuvostolle, Euroopan keskuspankille, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle EU:n digitaalisen rahoituksen strategiasta, 24. syyskuuta 2020, COM(2020) 591.

(3) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä COM(2020) 594.

(4) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi rahoitusalan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta, COM(2020) 595.

(5) Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 2006/43/EY, 2009/65/EY, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta, COM(2020) 596.

(6) Lausunto 6/2021 hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmää koskevasta ehdotuksesta, saatavilla verkkosivustolla https://edps.europa.eu/system/files/2021-06/2021-0219_d0912_opinion_on_pilot_regime_for_market_infrastructures_en.pdf.

(7) Lausunto, joka koskee ehdotusta asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta, saatavilla verkkosivustolla https://edps.europa.eu/system/files/2021-05/2021-0203_d0943_opinion_digital_operational_resilience_for_the_financial_sector_en.pdf