Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta, joka koskee ehdotusta hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivustolla www.edps.europa.eu)

(2021/C 229/04)

Euroopan komissio hyväksyi 24. syyskuuta 2020 ehdotuksensa Euroopan parlamentin ja neuvoston asetukseksi hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä (COM(2020) 594 final). Ehdotuksessa vahvistetaan tietyille markkinatoimijoille yhdenmukaistetut vaatimukset, joiden mukaan haetaan ja myönnetään lupa hajautetun tilikirjan teknologiaan perustuvien (eli DLT-pohjaisten) markkinainfrastruktuurien ylläpitämiseen.

Euroopan tietosuojavaltuutettu korostaa, että henkilötietojen suojaaminen ei ole este innovoinnille eikä varsinkaan uusien teknologioiden kehittämiselle rahoitusalalla. Samanaikaisesti hän muistuttaa, että henkilötietojen käsittelyä sisältäviin innovatiivisiin teknologioihin liittyvien, EU:n tasolla hyväksyttyjen toimenpiteiden on oltava tarpeellisuuden ja suhteellisuuden yleisten periaatteiden mukaisia. Kun lisäksi otetaan huomioon, että meillä ei ole kokonaiskuvaa näiden uusien teknologioiden vaikutuksesta yhteiskuntaamme, Euroopan tietosuojavaltuutettu katsoo, että olisi noudatettava varovaisuusperiaatteen mukaista lähestymistapaa.

Euroopan tietosuojavaltuutettu toteaa, että DLT-teknologiaan tallennettuja meta- tai transaktiotietoja voidaan pitää – DLT:n määrityksestä riippuen – henkilötietoina, jos ne liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Valvojien onkin analysoitava ja dokumentoitava huolellisesti DLT:n määritys sen arvioimiseksi, käsitelläänkö DLT:ssä henkilötietoja, missä tapauksessa toimintoihin sovelletaan tietosuojavelvoitteita.

Euroopan tietosuojavaltuutettu korostaa, että joidenkin digitaalisten tilikirjojen, erityisesti julkisten ja avointen tilikirjojen, perustana olevasta teknologiasta herää keskeisiä kysymyksiä siitä, onko teknologia yhteensopivaa tietosuojavaatimusten kanssa.

Euroopan tietosuojavaltuutettu katsoo, että keskustelu DLT-järjestelmien yhteensopivuudesta yleisesti tietosuojasäännösten kanssa olisi käytävä ennen ehdotuksen voimaantuloa.

Euroopan tietosuojavaltuutettu huomauttaa, että DLT:n sisältäessä ketjun sisäisiä henkilötietoja asiaan liittyvät käsittelytoimet ovat todennäköisesti luokiteltavissa korkean riskin käsittelytoimiksi. Siksi valvojan onkin toteutettava ennen henkilötietojen käsittelyä tietosuojaa koskeva vaikutustenarviointi suunniteltujen käsittelytoimien osalta. Lisäksi saatetaan vaatia ennakkohyväksyntä toimivaltaiselta tietosuojaviranomaiselta.

Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa vaaditaan soveltuvin osin suunniteltuihin käsittelytoimiin liittyviä keskeisiä tietoja osana hakemuksen tietoja, jotka koskevat DLT-pohjaisen markkinainfrastruktuurin ylläpitämistä. Hän suosittelee myös, että DLT-pohjaisten markkinainfrastruktuurien ylläpitäjien olisi julkaistava tietosuojaseloste samassa paikassa ehdotuksessa vaadittujen ylläpitäjän ylläpitotietojen kanssa.

Euroopan tietosuojavaltuutettu korostaa, että DLT-pohjaisten markkinainfrastruktuurien ylläpitämistä varten ehdotuksessa käsiteltyjen tietotekniikka- ja kyberjärjestelyjen on myös oltava yleisen tietosuoja-asetuksen 22 ja 32 artiklassa säädettyjen velvoitteiden mukaisia. (1)

Lopuksi DLT-pohjaisten markkinainfrastruktuurien ylläpitäjien toimintaongelmista ilmoittamisen yhteydessä Euroopan tietosuojavaltuutettu suosittelee muistuttamaan johdanto-osan kappaleessa, että ylläpitäjän on ilmoitettava myös mahdollisista tietosuojaloukkauksista toimivaltaiselle tietosuojaviranomaiselle yleisen tietosuoja-asetuksen 33 artiklan mukaisesti ja soveltuvissa tapauksissa rekisteröidyille henkilöille yleisen tietosuoja-asetuksen 34 artiklan mukaisesti.

3. TAUSTA

1. Euroopan komissio hyväksyi 24. syyskuuta 2020 ehdotuksensa Euroopan parlamentin ja neuvoston asetukseksi hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä (COM(2020) 594 final) (” ehdotus ”). Ehdotuksessa vahvistetaan tietyille markkinatoimijoille eli sijoituspalveluyrityksille, markkinoiden ylläpitäjille tai arvopaperikeskuksille yhdenmukaistetut vaatimukset, joiden mukaan haetaan ja myönnetään lupa hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien (” DLT-pohjainen markkinainfrastruktuuri ”) ylläpitämiseen valvotussa ympäristössä soveltaen erityisiä poikkeuksia rahoitusalan sääntelyn noudattamiseen. Ehdotuksessa on neljä tavoitetta: oikeusvarmuuden tarjoaminen kryptovaroille, rahoitusvakauden varmistaminen, kuluttajien ja sijoittajien suojelu ja innovoinnin mahdollistaminen lohkoketjun, hajautetun tilikirjan teknologian ja kryptovarojen käyttöä varten.

2. MiCA-asetus ”), ehdotuksen digitaalisesta häiriönsietokyvystä DORA-asetus ”) ja ehdotuksen tiettyjen asiaan liittyvien rahoituspalveluja koskevien EU:n sääntöjen selkeyttämiseksi tai muuttamiseksi Tämä ehdotus on osa pakettia, joka sisältää ehdotuksen asetukseksi kryptovarojen markkinoiden luomisesta ( 2 ) (””), ehdotuksen digitaalisesta häiriönsietokyvystä ( 3 ) (””) ja ehdotuksen tiettyjen asiaan liittyvien rahoituspalveluja koskevien EU:n sääntöjen selkeyttämiseksi tai muuttamiseksi ( 4 ) . Euroopan tietosuojavaltuutettu odottaa tulevansa kuulluksi myös paketin muista asetuksista asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti.

3. Euroopan komissio pyysi 26. helmikuuta 2021 Euroopan tietosuojavaltuutetulta lausuntoa ehdotuksesta asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti. Nämä huomautukset rajoittuvat ehdotuksen niihin säännöksiin, jotka ovat merkityksellisiä tietosuojan kannalta tarkasteltuina.

5. PÄÄTELMÄT

Edellä esitetyn nojalla Euroopan tietosuojavaltuutettu

— muistuttaa, että henkilötietojen suojaaminen ei ole este innovoinnille eikä varsinkaan uusien teknologioiden kehittämiselle etenkään rahoitusalalla,

— korostaa, että joidenkin digitaalisten tilikirjojen, erityisesti julkisten ja avointen tilikirjojen, perustana olevasta teknologiasta herää tärkeitä käsitteellisiä tietosuojavaatimuksiin liittyviä kysymyksiä, ja suosittelee siksi, että keskustelu mahdollisesta tavasta, jolla DLT-järjestelmien yhteensopivuus voidaan varmistaa tietosuojasäännösten kanssa, olisi käytävä ennen ehdotuksen voimaantuloa,

— painottaa, että DLT-pohjaisissa markkinainfrastruktuureissa kaupan olevien ja ehdotuksen soveltamisalaan kuuluvien kryptovarojen olisi oltava vain sellaisia kryptovaroja, joissa käytettävä DLT-määritys on tietosuojasäännösten mukainen,

— ehdottaa sisällytettäväksi myös DLT-pohjaisen markkinainfrastruktuurin ylläpitämisen soveltamisen yhteydessä ylläpitäjältä edellytettävien tietojen osana luettelon suunnitelluista, henkilötietoja sisältävistä käsittelymenettelyistä, kunkin ylläpitäjän tehtävien ja vastuualueiden osoittamisesta yleisen tietosuoja-asetuksen mukaisesti DLT-pohjaisen markkinainfrastruktuurin puitteissa sekä keskeiset suunnitellut riskit ja lieventämisstrategiat tietosuojan osalta,

— korostaa, että DLT-pohjaisten markkinainfrastruktuurien ylläpitämistä varten ehdotuksessa käsiteltyjen tietotekniikka- ja kyberjärjestelyjen on myös oltava yleisen tietosuoja-asetuksen 22 ja 32 artiklassa säädettyjen velvoitteiden mukaisia,

— suosittelee muistuttamaan johdanto-osan kappaleessa DLT-pohjaisten markkinainfrastruktuurien ylläpitäjien toimintaongelmista ilmoittamisen yhteydessä, että ylläpitäjän on ilmoitettava myös mahdollisista tietosuojaloukkauksista toimivaltaiselle tietosuojavalvontaviranomaiselle yleisen tietosuoja-asetuksen 33 artiklan mukaisesti ja soveltuvissa tapauksissa rekisteröidyille henkilöille yleisen tietosuoja-asetuksen 34 artiklan mukaisesti.

Brysselissä 23. huhtikuuta 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EYVL L 119, 4.5.2016, s. 1).

(2) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta, COM(2020) 593 final. Saatavilla verkkosivustolla EUR-Lex - 52020PC0593 - FI - EUR-Lex (europa.eu).

(3) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) N:o 909/2014 muuttamisesta, COM(2020) 595 final, saatavilla verkkosivustolla EUR-Lex - 52020PC0595 - FI - EUR-Lex (europa.eu).

(4) Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 2006/43/EY, 2009/65/EY, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta, COM(2020) 596 final. Saatavilla verkkosivustolla EUR-Lex - 52020PC0596 - FI - EUR-Lex (europa.eu).