FI Euroopan unionin virallinen lehti C 147/1

Euroopan tietosuojavaltuutetun lausunto Euroopan unionin tällä hetkellä käymistä väärentämisenvastaista kauppasopimusta (ACTA) koskevista neuvotteluista

2010/C 147/01

EUROOPAN TIETOSUOJAVALTUUTETTU, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan,

ottaa huomioon Euroopan unionin perusoikeuskirjan ja erityisesti sen 8 artiklan,

ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1),

ottaa huomioon henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12 päivänä heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (2),

ottaa huomioon yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (3) ja erityisesti sen 41 artiklan,

ON ANTANUT SEURAAVAN LAUSUNNON:

I JOHDANTO

1. Euroopan unioni osallistuu parhaillaan neuvotteluihin, joissa valmistellaan väärentämisenvastaista kauppasopimusta (ACTA). Neuvottelut aloitti vuonna 2007 asianomaisten osapuolten ydinryhmä, ja ne ovat jatkuneet laajemman osanottajajoukon kesken. Nyt joukkoon kuuluvat Australia, Euroopan unioni, Japani, Kanada, Korea, Marokko, Meksiko, Singapore, Sveitsi, Uusi-Seelanti ja Yhdysvallat. Vuonna 2008 neuvosto valtuutti Euroopan komission osallistumaan neuvotteluihin.

2. Euroopan tietosuojavaltuutettu myöntää, että väärennettyjen ja laittomasti valmistettujen tuotteiden rajat ylittävä kauppa on kasvava huolenaihe, johon usein liittyy järjestäytyneiden rikollisverkostojen toimintaa. Asianmukaisten kansainvälisen tason yhteistyöjärjestelmien käyttöönotto on tarpeen tämänkaltaisen rikollisuuden torjumiseksi.

3. Euroopan tietosuojavaltuutetun näkemys on tiivistetysti se, että Euroopan unionin osallistuessa monenvälisiin neuvotteluihin sopimuksesta, jonka keskeisenä aiheena on teollis- ja tekijänoikeuksien (immateriaalioikeuksien) noudattamisen varmistaminen, esille nousee myös merkittäviä kysymyksiä siitä, miten väärentämisen ja piratismin ehkäisyssä käytettävät toimenpiteet vaikuttavat yksilöiden perusoikeuksiin, erityisesti tietosuojaan ja yksityisyyden suojaan.

4. Tämän vuoksi Euroopan tietosuojavaltuutettu on erityisen pahoillaan siitä, ettei Euroopan komissio ole kuullut häntä kyseisen sopimuksen sisältöön liittyvistä asioista. Euroopan tietosuojavaltuutettu on siis toiminut omasta aloitteestaan ja antanut tämän asetuksen (EY) N:o 45/2001 41 artiklan 2 kohtaan perustuvan lausuntonsa neuvoakseen komissiota väärentämisenvastaista kauppasopimusta koskevissa neuvotteluissa huomioon otettavissa yksityisyydensuojaan ja tietosuojaan liittyvissä näkökohdissa.

II NYKYTILANNE JA VÄÄRENTÄMISENVASTAISEN KAUPPASOPIMUKSEN TULEVA SISÄLTÖ

5. Neuvotteluiden seitsemäs kierros käytiin Meksikossa 26.–29.1.2010, ja sopimus on tarkoitus tehdä vuoden 2010 aikana. Virallista sopimusluonnosta ei kuitenkaan ole vielä julkistettu.

6. Neuvotteluiden tarkoituksena on saada aikaan uusi monenvälinen sopimus, jolla valvotaan teollis- ja tekijänoikeuksien (immateriaalioikeuksien) noudattamista ja torjutaan väärentämistä ja piratismia. Jos sopimus hyväksytään, sillä parannetaan laajamittaisten immateriaalioikeuksien loukkausten torjuntaa koskevia kansainvälisiä vaatimuksia. Euroopan komission kauppapolitiikan pääosasto on nimenomaan ilmoittanut aiottujen toimien pääpainon olevan merkittävällä tavalla kaupallisia etuja haittaavassa väärentämisessä ja piratismissa tavallisten kansalaisten toiminnan sijasta (4).

7. Sopimuksen sisällöstä Euroopan komission kauppapolitiikan pääosaston marraskuussa 2009 julkaisemassa asiakirjassa Summary of key elements under discussion (Yhteenveto tärkeimmistä neuvoteltavista asioista) mainitaan, että väärentämisenvastaisessa kauppasopimuksessa väärentämistä ja piratismia torjutaan pääasiassa kolmen toimen avulla: 1) kansainvälinen yhteistyö, 2) valvontaa tehostavat toimet ja 3) immateriaalioikeuksien valvontaa useilla mainituilla aloilla, erityisesti digitaalisessa ympäristössä, koskevan säädöskehyksen määrittäminen (5). Ehdotetut toimet liittyvät erityisesti oikeudellisiin menettelyihin (esimerkiksi kieltotuomioihin ja väliaikaisiin toimenpiteisiin), Internet-palveluntarjoajien tehtäviin ja vastuuseen Internetissä tapahtuvien tekijänoikeusloukkausten ehkäisemisessä sekä rajat ylittäviin yhteistyötoimiin, joilla estetään tuotteiden kuljettaminen rajojen yli. Julkistetuissa tiedoissa puhutaan sopimuksesta kuitenkin vain yleisellä tasolla, eikä siinä kerrota yhdenkään tietyn, konkreettisen toimenpiteen yksityiskohdista.

8. Euroopan tietosuojavaltuutettu huomauttaa, että vaikka väärentämisenvastaisella kauppasopimuksella aiotaankin puuttua vain laajamittaisiin immateriaalioikeuksien loukkauksiin, ei ole kokonaan poissuljettua, että kauppasopimuksen nojalla sekaannutaan myös tavallisten kansalaisten toimintaan erityisesti silloin, kun valvonta tapahtuu digitaalisessa ympäristössä. Euroopan tietosuojavaltuutettu painottaa, että tilanne vaatii yksilöiden perusoikeuksien suojaamista asianmukaisin toimin. Lisäksi on muistettava, että tietosuojalait koskevat kaikkia ihmisiä, myös väärentämisessä ja piratismissa mahdollisesti mukana olevia, ja laajamittaisten immateriaalioikeuksien loukkausten torjunnassa joudutaan epäilemättä käsittelemään myös henkilötietoja.

9. Näistä syistä Euroopan tietosuojavaltuutettu kannustaa painokkaasti Euroopan komissiota julkiseen ja avoimeen väärentämisenvastaista kauppasopimusta koskevaan vuoropuheluun, mahdollisesti julkisen kuulemisen avulla. Näin varmistettaisiin osaltaan myös se, että hyväksyttävät toimet noudattavat Euroopan unionin yksityisyydensuojaa ja tietosuojaa koskevaa lainsäädäntöä.

III AIHEET, JOITA EUROOPAN TIETOSUOJAVALTUUTETUN HUOMAUTUKSET KOSKEVAT

10. Euroopan tietosuojavaltuutettu vetoaa Euroopan unioniin ja erityisesti sopimuksen neuvottelun tehtäväkseen saaneeseen komissioon, jotta immateriaalioikeuksien suojelun edellytykset saadaan asianmukaiseen tasapainoon yksilöiden yksityisyydensuojaa ja tietosuojaa koskevien oikeuksien kanssa.

11. Euroopan tietosuojavaltuutettu painottaa, että yksityisyydensuoja ja tietosuoja ovat Euroopan unionin perusarvoja ja että ne on tunnustettu Euroopan ihmisoikeussopimuksen 8 artiklassa sekä Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa (6), joita on Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan mukaan noudatettava kaikissa EU:ssa hyväksytyissä toimenpiteissä ja säännöissä.

12. Lisäksi Euroopan tietosuojavaltuutettu painottaa, että kaikkien Euroopan unionin tekemien väärentämisenvastaista kauppasopimusta koskevien sopimusten on noudatettava EU:lle asetettuja yksityisyydensuojaa ja tietosuojaa koskevia oikeudellisia velvoitteita, erityisesti niitä, jotka on mainittu direktiivissä 95/46/EY ja direktiivissä 2002/58/EY (7) sekä Euroopan ihmisoikeustuomioistuimen (8) ja Unionin tuomioistuimen (9) oikeuskäytännössä.

13. Yksityisyydensuoja ja tietosuoja on otettava huomioon aivan neuvotteluiden alusta saakka eikä vasta silloin, kun järjestelmät ja menettelytavat on määritelty ja yhteisesti sovittu ja vaihtoehtoisten, yksityisyyttä kunnioittavien ratkaisujen löytäminen on liian myöhäistä.

14. Julkisesti saataville tuodun tiedon vähäisen määrän vuoksi Euroopan tietosuojavaltuutettu katsoo, ettei hänellä ole mahdollisuutta tarkastella väärentämisenvastaisen kauppasopimuksen yksittäisiä kohtia. Tässä lausunnossa Euroopan tietosuojavaltuutettu keskittyykin kuvaamaan mahdollisia yksityisyydensuojaan ja tietosuojaan kohdistuvia uhkia, joita sopimus – siinä muodossa kuin siitä on kerrottu – ja sen mahdollisesti aikaansaamat konkreettiset toimenpiteet saattavat aiheuttaa seuraavilla kahdella alalla: immateriaalioikeuksien valvonta digitaalisessa ympäristössä (IV luku) ja kansainväliset yhteistyöjärjestelmät (V luku).

IV IMMATERIAALIOIKEUKSIEN VALVONTA DIGITAALISESSA YMPÄRISTÖSSÄ

IV.1 Kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaisten menettelytapojen vaikutus yksityisyydensuojaan ja tietosuojaan vaatii tarkastelua

15. Euroopan komission mukaan väärentämisenvastaisella kauppasopimuksella luodaan oikeudellinen kehys, jonka avulla voidaan torjua digitaalisessa ympäristössä tapahtuvaa piratismia (10). Kehyksellä vahvistetaan ne olosuhteet, joiden vallitessa Internet-palveluntarjoajat ja muut verkkoyhteyksien välittäjät (11) voidaan asettaa vastuuseen niiden laitteiden ja palvelujen kautta kulkevan tekijänoikeuksia loukkaavan aineiston vuoksi. Kehyksessä saatetaan vahvistaa myös Internetin käyttäjille tekijänoikeuksia loukkaavan aineiston lataamisen vuoksi määrättävät toimenpiteet ja oikeussuojakeinot. Kehyksen yksityiskohtia ei ole virallisesti julkistettu, mutta eri lähteistä saatujen tietojen mukaan voidaan ennakoida, että kehykseen sisältyisi Internet-palveluntarjoajiin kohdistuva velvoite ottaa käyttöön menettelytapa, jossa Internet-yhteys katkaistaan kolmen rikkomuksen jälkeen ja joka tunnetaan myös porrastettuna reagointina. Tällainen järjestelmä antaa tekijänoikeuksien haltijoille oikeuden valvoa Internetin käyttäjiä ja tunnistaa epäiltyjä tekijänoikeuksien rikkojia. Kun tekijänoikeuden haltija olisi ottanut yhteyttä tekijänoikeusrikkomuksesta epäillyn käyttäjän Internet-palveluntarjoajaan, palveluntarjoaja varoittaisi käyttäjää. Kolmen varoituksen jälkeen käyttäjän Internet-yhteys katkaistaisiin.

16. Väärentämisenvastaista kauppasopimusta koskevien neuvottelujen edelleen jatkuessa kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat ovat jo käytössä eräissä jäsenvaltioissa, esimerkiksi Ranskassa. Niistä myös keskustellaan useilla EU:n foorumeilla, kuten sisämarkkinoiden ja palveluiden pääosaston aloitteesta parhaillaan käynnissä olevassa laitonta tiedostojen lataamista koskevassa sidosryhmien vuoropuhelussa, joka liittyy immateriaalioikeuksien valvonnan tehostamista sisämarkkinoilla koskevan komission tiedonannon (12) hyväksymiseen. Samasta aiheesta keskustellaan myös Euroopan parlamentissa immateriaalioikeuksien valvonnan tehostamista koskevan Euroopan parlamentin (myös ”Gallo-mietintönä” tunnetun) päätöslauselmaesityksen käsittelyn yhteydessä.

17. Kuvatun kaltaisilla menettelytavoilla puututaan yksilöiden yksityiselämään radikaalilla tavalla. Niillä valvotaan kaikkien Internetin käyttäjien toimintaa silloinkin, kun se on täysin laillista. Ne vaikuttavat miljoonien lainkuuliaisten Internetin käyttäjien, myös lasten ja nuorten, elämään. Niiden soveltaminen on yksityisten osapuolten, ei lainvalvonnasta vastaavien viranomaisten käsissä. Lisäksi Internet on nykyään keskeisessä asemassa lähes kaikilla nykyaikaisen elämän osa-alueilla, minkä vuoksi Internetiin pääsyn estämisellä saattaa olla valtavan laajoja vaikutuksia: yksilö menettää yhteytensä esimerkiksi työhön, kulttuuriin ja sähköisiin viranomaispalveluihin.

18. Tätä taustaa vasten on aiheellista arvioida, missä määrin kyseiset menettelytavat noudattavat Euroopan unionin tietosuojaa ja yksityisyydensuojaa koskevaa lainsäädäntöä, sekä ennen kaikkea sitä, ovatko kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat välttämättömiä toimenpiteitä immateriaalioikeuksien valvonnan kannalta. Samassa yhteydessä tulisi myös pohtia, onko olemassa muita toimintatapoja, joita käyttämällä yksityiselämään ei puututa yhtä suuressa määrin.

19. Vielä ei ole selvää, kuuluvatko kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat väärentämisenvastaiseen kauppasopimukseen. Samanlaisia menettelytapoja harkitaan kuitenkin myös muilla aloilla, ja niillä saattaa olla erittäin suuri vaikutus henkilötietojen ja yksityisyyden suojaan. Näiden syiden vuoksi Euroopan tietosuojavaltuutettu katsoo tarpeelliseksi käsitellä näitä menettelytapoja tässä lausunnossa. Ennen käsittelyä Euroopan tietosuojavaltuutettu kuvaa lyhyesti asiassa sovellettavaa henkilötietojen ja yksityisyyden suojaa koskevaa lainsäädäntökehystä.

20. On huomattava, että tietosuojan ja yksityisyydensuojan lisäksi kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat herättävät huolenaiheita, jotka liittyvät muihin arvoihin, kuten sananvapauteen sekä oikeuteen puolueettomaan oikeudenkäyntiin. Tässä lausunnossa käsitellään kuitenkin vain henkilötietojen suojaan ja yksilöiden yksityisyydensuojaan liittyviä kysymyksiä.

IV.2 Kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat sekä EU:n tietosuojaa ja yksityisyydensuojaa koskeva lainsäädäntökehys

Kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaisten menettelytapojen käyttöönotto

21. Tiivistetysti kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltainen menettelytapa tarkoittaa sitä, että tekijänoikeuksien haltijat käyttävät automaattisia teknisiä ratkaisuja, jotka voivat olla myös kolmannen osapuolen tuottamia, ja tunnistavat näin mahdollista tekijänoikeuksien loukkaamista. He voivat valvoa Internetin käyttäjien toimintaa esimerkiksi tarkkailemalla keskustelupalstoja tai verkkopäiväkirjoja tai esiintymällä vertaisverkoissa tiedostojen jakajina ja tunnistamalla näin muita tiedostojen jakajia, jotka mahdollisesti jakavat tekijänoikeuksien alaista aineistoa (13).

22. Kun tekijänoikeuksien haltijat ovat tunnistaneet Internetin käyttäjiä, joiden epäillään osallistuneen tekijänoikeuksien loukkaamiseen, he panevat muistiin näiden IP-osoitteet. Osoitteet lähetetään Internet-palveluntarjoajille, jotka vuorostaan varoittavat IP-osoitteita hallussaan pitäviä palvelun tilaajia mahdollisesta osallistumisesta tekijänoikeuksia loukkaavaan toimintaan. Kun Internet-palveluntarjoaja on esittänyt tietyn määrän varoituksia, hän katkaisee automaattisesti tilaajan Internet-yhteyden pysyvästi tai väliaikaisesti (14).

Asiaan liittyvä EU:n tietosuojaa ja yksityisyydensuojaa koskeva lainsäädäntökehys

23. Kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaisten menettelytapojen on noudatettava Euroopan ihmisoikeussopimuksen 8 artiklaan ja Euroopan unionin perusoikeuskirjan 7 artiklaan perustuvia vaatimuksia, jotka koskevat oikeutta yksityisyyteen, ja Euroopan unionin perusoikeuskirjan 8 artiklaan ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklaan sekä tarkemmin direktiiveissä 95/46/EY ja 2002/58/EY määriteltyihin säännöksiin perustuvia vaatimuksia, jotka koskevat oikeutta tietosuojaan.

24. Euroopan tietosuojavaltuutetun näkemyksen mukaan Internetin käyttäjien toiminnan valvonta ja vieläpä heidän IP-osoitteidensa kerääminen merkitsee puuttumista käyttäjien yksityiselämän ja kirjeenvaihdon suojaa koskevaan oikeuteen, toisin sanoen puuttumista heidän oikeuteensa yksityiselämään. Tämä näkemys vastaa Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöä (15).

25. Direktiiviä 95/46/EY (16) voidaan soveltaa siksi, että kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaisia menettelytapoja noudatettaessa käsitellään IP-osoitteita, joita – ainakin näissä olosuhteissa – on pidettävä henkilötietoina. IP-osoitteet ovat tunnisteita, jotka näyttävät pisteillä erotelluilta lukujonoilta, esimerkiksi 122.41.123.45. Yhteyden tilaaminen Internet-yhteydentarjoajalta antaa tilaajalle mahdollisuuden käyttää Internetiä. Joka kerta, kun tilaaja tahtoo käyttää Internetiä, hänelle annetaan IP-osoite sille laitteelle (esimerkiksi tietokoneelle), jota hän käyttää Internetin selaamiseen (17).

26. Kolmannet osapuolet voivat tunnistaa tiettyyn toimintaan, esimerkiksi aineistojen lataamiseen Internetiin, osallistuvan käyttäjän hänen IP-osoitteensa perusteella. Esimerkiksi IP-osoitetta 122.41.123.45 hallussaan pitäneen käyttäjän epäillään syyllistyneen tekijänoikeuksia loukkaavan aineiston lataamiseen vertaisverkkoon 1.1.2010 kello 15. Internet-palveluntarjoaja voi tämän jälkeen yhdistää IP-osoitteen sitä käyttäneen palvelun tilaajan nimeen ja näin varmistaa hänen henkilöllisyytensä.

27. Jos otetaan huomioon direktiivin 95/46/EY 2 artiklaan sisältyvä henkilötietojen määritelmä, jonka mukaan henkilötiedoilla tarkoitetaan ”kaikenlaista tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä (’rekisteröity’) koskevia tietoja; tunnistettavissa olevana pidetään henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti henkilönumeron –perusteella (18)”, ainoa mahdollinen päätelmä on se, että IP-osoitteet sekä tiedot näihin osoitteisiin liitetyistä toimista ovat henkilötietoja kaikissa tässä huomioon otettavissa tapauksissa. IP-osoite on siis henkilönumero, jonka avulla voidaan saada selville IP-osoitetta käyttäneen palvelun tilaajan nimi. Lisäksi IP-osoitetta hallussaan pitäneestä palvelun tilaajasta kerätty tieto (esim. ”latasi erään aineiston verkkosivulle ZS 1.1.2010 klo 15”) koskee eli on selvästi liitettävissä tunnistettavan yksilön (IP-osoitteen haltijan) toimintaan, minkä vuoksi myös näitä tietoja on pidettävä henkilötietoina.

28. Näistä näkemyksistä on täysin yhtä mieltä 29 artiklalla perustettu tietosuojatyöryhmä, joka immateriaalioikeuksiin liittyviä tietosuojakysymyksiä tarkastelleessa asiakirjassa totesi, että IP-osoitteet, joita on kerätty immateriaalioikeuksien valvontaa varten eli sitä varten, että niillä tunnistetaan mahdollisesti immateriaalioikeuksien loukkaamiseen syyllistyneitä Internetin käyttäjiä, ovat henkilötietoja silloin, kun niitä käytetään näiden oikeuksien toteutumista varmistavien toimenpiteiden suuntaamisessa tiettyä yksittäistä henkilöä kohtaan (19).

29. Myös direktiiviä 2002/58 voidaan soveltaa, sillä kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaisiin menettelytapoihin liittyy liikenne- ja viestintätietojen kerääminen. Direktiivillä 2002/58/EY säännellään tällaisten tietojen käyttöä ja säädetään julkisten viestintäverkkojen kautta käydyn viestinnän ja tällaisessa viestinnässä välitettyjen tietojen luottamuksellisuuden periaatteesta.

IV.3 Kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaisten toimenpiteiden välttämättömyys

30. Euroopan ihmisoikeussopimuksen 8 artiklassa määrätään välttämättömyysperiaatteesta, jonka mukaan yksilöiden oikeutta yksityisyyteen loukkaavat toimenpiteet ovat sallittuja vain, jos ne ovat demokraattisessa yhteiskunnassa välttämättömiä oikeutetun tavoitteen kannalta (20). Välttämättömyysperiaate sisältyy myös direktiivin 95/46/EY 7 ja 13 artiklaan sekä direktiivin 2002/58/EY 15 artiklaan (21). Periaatteen mukaan toimenpiteen oikeasuhteisuutta on tarkasteltava ja arvioitava asiaan liittyvien etujen tasapainon perusteella sekä koko demokraattisen yhteiskunnan kehyksessä (22). Periaatetta noudatettaessa on myös arvioitava, onko olemassa vaihtoehtoisia, vähemmän rajoittavia toimia.

31. Euroopan tietosuojavaltuutettu tunnustaa immateriaalioikeuksien valvonnan tärkeyden, mutta katsoo, että kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaiset menettelytavat ovat nykymuodossaan – jolloin niihin liittyy tiettyjä yleisen soveltamisen piirteitä – toimenpiteinä suhteettomia, eikä niitä siksi voida pitää välttämättöminä toimenpiteinä. Euroopan tietosuojavaltuutettu on lisäksi vakuuttunut, että olemassa on myös vaihtoehtoisia, vähemmän rajoittavia ratkaisuja tai että suunniteltuja menettelytapoja voidaan soveltaa vähemmän rajoittavalla tavalla tai suppeammin. Kolmesta rikkomuksesta katkeamisen periaate on ongelmallinen myös yksityiskohtaisemmalla lainsäädäntötasolla. Nämä johtopäätökset käydään tarkemmin läpi jäljempänä.

Kolmesta rikkomuksesta katkeamisen periaatetta noudattavat menettelytavat ovat suhteettomia

32. Euroopan tietosuojavaltuutettu haluaa painottaa määrättävien toimenpiteiden kauaskantoisuutta. Tässä yhteydessä on mainittava seuraavat tekijät: i) (Huomaamaton) valvonta vaikuttaisi miljooniin henkilöihin ja kaikkiin käyttäjiin riippumatta siitä, ovatko he epäilyksenalaisia. ii) Osana valvontaa tallennettaisiin järjestelmällisesti tietoa, joka saattaisi aiheuttaa syytteiden nostamisen siviili- tai jopa rikostuomioistuimessa; lisäksi osa kerätystä tiedosta täyttäisi näin ollen direktiivin 95/46/EY 8 artiklassa määritellyn arkaluonteisen tiedon tunnusmerkit, jolloin sitä olisi suojattava tarkemmin. iii) Valvonta aiheuttaa todennäköisesti runsaasti vääriä hälytyksiä. Tekijänoikeuksien loukkaus ei ole yksiselitteinen kyllä/ei -kysymys. Usein tuomioistuimet joutuvat tutkimaan kymmenien sivujen verran teknisiä ja lainsäädännöllisiä yksityiskohtia, ennen kuin ne kykenevät päättämään, onko loukkaus tapahtunut (23). iv) Valvonnan mahdolliset vaikutukset, kun valvonta saattaisi johtaa Internet-yhteyden sulkemiseen. Tämä loukkaisi yksilöiden oikeutta ilmaisunvapauteen ja tiedonvälityksen vapauteen sekä haittaisi heidän mahdollisuuttaan käyttää kulttuuripalveluita, sähköisiä viranomaispalveluita, osto- ja myyntipalveluita, sähköpostia ja joissakin tapauksissa myös työhön liittyviä toimintoja. Tässä yhteydessä on erityisen tärkeää ymmärtää, etteivät vaikutukset kohdistu vain epäiltyyn rikkojaan, vaan kaikkiin samaa Internet-yhteyttä käyttäviin perheenjäseniin, myös Internetiä läksyjään varten tarvitseviin koululaisiin. v) Asiaa arvioiva ja päätöksen asiassa tekevä taho on yleensä yksityinen taho, esimerkiksi tekijänoikeuden haltija tai Internet-yhteyden tarjoaja. Euroopan tietosuojavaltuutettu on jo aiemmassa lausunnossaan ilmaissut huolensa siitä, miten yksilöitä valvovat yksityisen sektorin edustajat (esimerkiksi tekijänoikeuden haltijat tai Internet-yhteyden tarjoajat) sellaisillakin alueilla, jotka kuuluvat periaatteessa lainvalvonnasta vastaavien viranomaisten toimivaltaan (24).

33. Euroopan tietosuojavaltuutettu ei ole vakuuttunut, että toimenpiteiden hyödyt ovat suuremmat kuin niiden vaikutus yksilöiden perusoikeuksiin. Tekijänoikeuksien turvaaminen on oikeuksien haltijoiden ja yhteiskunnan etu. Perusoikeuksien rajoitukset eivät kuitenkaan vaikuta oikeutetuilta, kun verrataan toisiinsa oikeuksiin puuttumisen vakavuusastetta eli yksityisyyden loukkaamisen mittasuhteita edellä mainittujen tekijöiden valossa ja toisaalta odotettavissa olevia hyötyjä, kun ehkäistään immateriaalioikeuksien loukkaukset, jotka ovat enimmäkseen vähäisiä. Kuten julkisasiamies Kokott totesi asiassa Promusicae esittämässään ratkaisuehdotuksessa: ”Ei ole varmaa, että yksityinen tiedostojen jako – varsinkaan voittoa tavoittelematon – vaarantaa tekijänoikeuksien suojan niin vakavalla tavalla, että tämän poikkeuksen soveltaminen on perusteltua. On nimittäin kiistanalaista, missä määrin yksityinen tiedostojenjako aiheuttaa todellista vahinkoa (25).”

34. Tässä yhteydessä on myös syytä palauttaa mieleen tapa, jolla Euroopan parlamentti reagoi ns. kolmen rikkomuksen järjestelmiin tietoliikennepaketin tarkistamisen yhteydessä ja erityisesti puitedirektiiviin tehdyssä tarkistuksessa 138 (26). Kyseisessä tarkistuksessa todettiin, että perusoikeuksia ja -vapauksia rajoittavia toimenpiteitä voi toteuttaa ainoastaan, jos ne ovat asianmukaisia, oikeasuhteisia ja välttämättömiä demokraattisessa yhteiskunnassa, ja niiden toteuttamiseen on sovellettava Euroopan ihmisoikeussopimuksen ja yhteisön oikeuden yleisten periaatteiden mukaisia riittäviä menettelytakeita, mukaan lukien tehokas oikeussuoja ja oikeudenmukainen oikeudenkäynti (27).

35. Euroopan tietosuojavaltuutettu tähdentää näin ollen vielä sitä, että kaikkia perusoikeuksien rajoituksia tarkastellaan huolellisesti sekä Euroopan unionin että kansallisella tasolla. Tässä yhteydessä voidaan nähdä yhtäläisyyksiä tietojen säilyttämistä koskevan direktiivin 2006/24/EY (28) kanssa. Direktiivissä poiketaan yleisestä tietosuojaperiaatteesta, jonka mukaan tiedot on poistettava, kun niitä ei enää tarvita niiden alkuperäiseen keräystarkoitukseen. Direktiivissä edellytetään, että liikennetiedot säilytetään vakavan rikollisuuden torjuntaa varten. On huomattava, että tietojen säilyttäminen on sallittua vain vakavan rikollisuuden ehkäisemistä varten, että säilyttäminen on rajattu vain liikennetietoihin, mikä periaatteessa jättää soveltamisalan ulkopuolelle viestinnän sisältöä koskevat tiedot, ja että säilyttämisen asianmukaisuus varmistetaan vahvoin takein. Tästä huolimatta on esitetty epäilyjä direktiivin yhteensopivuudesta perusoikeuksien kanssa: Romanian perustuslakituomioistuimen päätöksen mukaan kattava tietojen säilyttäminen on ristiriidassa perusoikeuksien kanssa (29), ja toinen asia on tällä hetkellä vireillä Saksan perustuslakituomioistuimessa (30).

Muut, vähemmän rajoittavat keinot

36. Edellä mainittuja havaintoja vahvistaa se tosiseikka, että sama tarkoitus voidaan saavuttaa myös vähemmän rajoittavia keinoja käyttämällä. Euroopan tietosuojavaltuutettu vaatii, että näitä vähemmän rajoittavia keinoja on tutkittava ja kokeiltava.

37. Tässä yhteydessä Euroopan tietosuojavaltuutettu muistuttaa, että yleispalvelusta ja käyttäjien oikeuksista sähköisten viestintäverkkojen ja -palvelujen alalla annettu muutettu direktiivi 2002/22/EY (tunnettu myös yleispalveludirektiivinä), joka on osa äskettäin uudistettua tietoliikennepakettia, sisältää kuluttajien pienimuotoisten tekijänoikeusrikkomusten rajoittamiseen tähtääviä sääntöjä ja toimia (31). Kyseisiin toimiin sisältyy esimerkiksi jäsenvaltioiden velvoite tuottaa erilaisista aiheista yhtenäistä, yleiseen etuun liittyvää tietoa, jossa kerrotaan erityisesti tekijänoikeuksien ja muiden niihin liittyvien oikeuksien loukkaamisesta sekä tällaisen toiminnan oikeudellisista seuraamuksista (32). Jäsenvaltiot voivat pyytää Internet-palveluntarjoajia jakamaan tätä tietoa kaikille asiakkailleen ja liittämään tiedot myös sopimuksiinsa.

38. Järjestelmän tarkoituksena on välittää ihmisille tietoa ja varoittaa tekijänoikeuksien alaisen tiedon levittämisestä sekä tekijänoikeuksia loukkaavaan toimintaan sekaantumisesta, mutta samalla välttää Internetin käytön valvonta ja sen mukanaan tuomat yksityisyydensuojaan ja tietosuojaan liittyvät uhat. Yleispalveludirektiivi on pantava täytäntöön toukokuuhun 2011 mennessä, eikä tällaisia järjestelmiä ole vielä käytössä. Niiden hyötyjäkään ei sen tähden ole voitu vielä testata. Tämän vuoksi vaikuttaa ennenaikaiselta jättää huomiotta näiden uusien järjestelmien mahdollisesti aikaansaamat hyödyt ja ottaa sen sijaan käyttöön kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat, jotka rajoittavat perusoikeuksia huomattavasti enemmän.

39. Edellä mainitun lisäksi on syytä muistaa, että teollis- ja tekijänoikeuksien noudattamisen varmistamisesta 28 päivänä huhtikuuta 2004 annettuun direktiiviin 2004/48/EY sisältyy useita välineitä, joiden avulla immateriaalioikeuksien noudattamista voidaan valvoa ilman tuomioistuinmenettelyä (33). Näitä käsitellään jäljempänä kohdasta 43 eteenpäin.

40. Teollis- ja tekijänoikeuksien noudattamisdirektiivi on vasta hiljattain saatettu osaksi jäsenvaltioiden lainsäädäntöä. Tähän mennessä ei ole ollut vielä riittävästi aikaa arvioida, ovatko direktiivin säännökset asianmukaisia immateriaalioikeuksien valvonnan kannalta. Tästä syystä on vähintään kyseenalaista, onko nykyisen, toistaiseksi testaamattoman oikeuskäsittelyihin perustuvan järjestelmän korvaaminen tarpeellista. Edellä mainitun perusteella esiin nousee väistämättä kysymys, miksi nyt tapahtuviin loukkauksiin ei voida riittävästi puuttua nykyisten tekijänoikeuksien loukkauksia koskevien siviili- ja rikosoikeudellisten rangaistusten avulla. Tästä syystä ennen uusien menettelytapojen ehdottamista komission olisi luotettavan tiedon avulla osoitettava, että olemassa oleva lainsäädäntö ei ole tehonnut toivotulla tavalla.

41. Ei ole myöskään selvää, onko harkittu vakavasti sellaisia vaihtoehtoisia liiketoimintamalleja, joihin ei liittyisi yksilöiden järjestelmällistä valvontaa. Jos tekijänoikeuksien haltijat esimerkiksi osoittavat tappioidensa johtuneen vertaisverkkojen käytöstä, oikeuksien haltijat ja Internet-palvelujen tuottajat voisivat esimerkiksi tarjota kokeeksi sellaisia Internet-liittymiä, joissa osa rajattomasti käytettävän yhteyden hinnasta menee tekijänoikeuksien haltijoille.

Mahdollisuus harjoittaa kohdennettua valvontaa vähemmän rajoittavia keinoja käyttäen

42. Sen lisäksi, että voitaisiin käyttää täysin erilaisia malleja, joita pitäisi siis tutkia ja kokeilla, kohdennettua valvontaa voitaisiin joka tapauksessa harjoittaa vähemmän rajoittavalla tavalla.

43. Immateriaalioikeuksien valvonta voidaan toteuttaa myös seuraamalla vain muutamia henkilöitä, joita epäillään vähäarvoista suuremmasta tekijänoikeuksien rikkomisesta. Teollis- ja tekijänoikeuksien noudattamisdirektiivissä on joitakin asiaa koskevia ohjeita. Direktiivissä määritetään edellytykset, joiden täyttyessä viranomaiset voivat määrätä Internet-palveluntarjoajat luovuttamaan hallussaan olevia henkilötietoja immateriaalioikeuksien noudattamisen varmistamiseksi. Direktiivin 8 artiklassa säädetään, että toimivaltaiset oikeusviranomaiset voivat määrätä Internet-palveluntarjoajat luovuttamaan hallussaan olevia tekijänoikeuksien loukkaamisesta epäiltyjen henkilötietoja (esimerkiksi tietoa tekijänoikeuksia loukkaavien tuotteiden tai palvelujen alkuperästä ja jakeluverkosta) perustellusta ja oikeasuhteisesta pyynnöstä silloin, kun loukkaus on tapahtunut kaupallisessa laajuudessa (34).

44. Ratkaiseva peruste on siis kaupallinen laajuus. Tämän perusteen mukaan valvonta saattaa olla oikeasuhteista tietyissä, rajatuissa yksittäistapauksissa, kun kaupallisessa laajuudessa tapahtuvasta tekijänoikeuksien väärinkäytöstä on olemassa hyvin perusteltuja epäilyksiä. Tätä perustetta voitaisiin soveltaa tilanteisiin, joissa yksityishenkilöt ovat selkeästi loukanneet tekijänoikeuksia saadakseen suoraa tai epäsuoraa taloudellista tai kaupallista hyötyä.

45. Käytännössä valvonta voitaisiin toteuttaa siten, että tekijänoikeuksien haltijat valvoisivat kohdennetusti tiettyjä IP-osoitteita ja todentaisivat näin tekijänoikeuksien väärinkäytön laajuuden. Tämä merkitsisi sitä, että tekijänoikeuksien haltijat saisivat myös seurata tekijänoikeuksien mahdollisista rikkomuksista kertovia tilaraportteja samaa tarkoitusta varten. Näitä tietoja pitäisi käyttää vasta sitten, kun rikkomuksen laajuus on todettu. Merkittäviä rikkomuksia olisivat esimerkiksi selkeät, suuret rikkomukset sekä toisaalta vähämerkitykset, mutta tietyn ajan kuluessa jatkuvat rikkomukset, jotka on tehty kaupallisen tai taloudellisen hyödyn tai edun saavuttamiseksi. Erityisen tärkeä on vaatimus rikkomuksen jatkumisesta tietyn ajanjakson aikana, mitä tarkastellaan tarkemmin jäljempänä säilyttämisperiaatetta käsittelevässä kohdassa.

46. Tällaisissa tapauksissa Internetin epäillyn väärinkäytön todistamistarkoituksessa tapahtuvaa tietojen keräämistä voidaan pitää oikeasuhteisena ja välttämättömänä oikeustoimiin, esimerkiksi kanteen nostamiseen, ryhtymistä varten.

47. Euroopan tietosuojavaltuutettu katsoo, että lisätakeena kansallisten tietosuojaviranomaisten olisi ensin tarkistettava tällaisten todisteiden keräämistä varten suoritettavat tiedonkäsittelyoperaatiot ja myönnettävä niille lupa. Näkemyksen perusteena on se, että tiedonkäsittelyoperaatiot muodostaisivat erityisen uhan yksilöiden oikeuksille ja vapauksille, sillä niiden tarkoituksena olisi ryhtyä valvontatoimenpiteisiin, joiden lopputuloksena saattaisi olla rikosoikeudenkäynti, minkä lisäksi kerätty tieto olisi arkaluonteista. Se, että tietojen käsittelyyn kuuluu sähköisen viestinnän seuranta, on lisäperuste toimenpiteiden erityisen tarkalle valvonnalle.

48. Euroopan tietosuojavaltuutettu katsoo, että teollis- ja tekijänoikeuksien noudattamisdirektiivissä mainittu kaupallinen laajuus on erittäin tarpeellinen tekijä seurannan rajaamisessa suhteellisuusperiaatteen mukaiseksi. Ilmeisesti ei myöskään ole luotettavia todisteita siitä, etteivätkö teollis- ja tekijänoikeuksien noudattamisdirektiivin perusteiden mukaisesti toteutettavat oikeustoimet tekijänoikeuksien loukkaamista vastaan olisi mahdollisia tai tehokkaita. Päinvastaista näyttävät kertovan esimerkiksi Saksasta saadut tiedot, joiden mukaan maassa on vuonna 2008 tapahtuneen teollis- ja tekijänoikeuksien noudattamisdirektiivin kansallisen lainsäädännön osaksi saattamisen jälkeen annettu noin 3 000 tuomioistuimen päätöstä, joiden seurauksena Internet-palveluntarjoajat ovat antaneet tuomioistuinten käyttöön noin 300 000 tilaajan tiedot.

49. Yhteenvetona voidaan todeta, että teollis- ja tekijänoikeuksien noudattamisdirektiivin oltua voimassa vasta kahden vuoden ajan on vaikea ymmärtää, miksi lainsäätäjät haluaisivat siirtyä tässä direktiivissä mainituista perusteista rajoittavampiin menetelmiin, kun äskettäin käyttöön otettujen menetelmien kokeilu on EU:ssa hädin tuskin päässyt alkuun. Samasta syystä on vaikea ymmärtää myös sitä, miksi nykyinen tuomioistuinperustainen järjestelmä pitäisi korvata muilla menetelmillä (sen lisäksi, että esiin nousee oikeudenmukaiseen oikeudenkäyntiin liittyviä kysymyksiä, joita ei käsitellä tässä).

IV.4 Kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaisten menettelytapojen yhteensopivuus yksityiskohtaisempien tietosuojasäännösten kanssa

50. On myös yksityiskohtaisempia oikeudellisia perusteita sille, miksi kolmesta rikkomuksesta katkeamisen periaate on tietosuojan näkökulmasta ongelmallinen. Euroopan tietosuojavaltuutettu haluaa korostaa direktiivissä 95/46/EY edellytetyn käsittelyn oikeudellisen perustan kyseenalaisuutta sekä direktiiviin 2002/58/EY sisältyvää velvoitetta hävittää lokitiedostot.

Käsittelyn oikeudellinen perusta

51. Kolmesta rikkomuksesta katkeamisen periaatteeseen kuuluu henkilötietojen käsittely, ja osaa henkilötiedoista käytetään oikeus- tai hallinnollisessa menettelyssä, jonka tavoitteena on viedä Internet-yhteys rikkomuksiin toistuvasti syyllistyneiltä. Tästä näkökulmasta tarkasteltuna henkilötiedot ovat direktiivin 95/46/EY 8 artiklassa tarkoitettuja arkaluonteisia tietoja. Direktiivin 8 artiklan 5 kohdassa mainitaan, että ”rikoksiin, tuomioihin tai turvallisuutta koskeviin toimenpiteisiin liittyvää tietojenkäsittelyä voidaan suorittaa ainoastaan julkisen viranomaisen valvonnassa tai, jos kansallisessa lainsäädännössä säädetään erityisistä tarpeellisista suojatoimista …”.

52. Tässä yhteydessä on tarpeen palauttaa mieleen aiemmin mainittu 29 artiklalla perustetun tietosuojatyöryhmän asiakirja, jonka aiheena on oikeudellisten tietojen käsittely (35). Tietosuojatyöryhmä toteaa, että ”vaikka jokaisella henkilöllä on luonnollisesti oikeus käsitellä oikeudellisia tietoja oman oikeudenkäyntiprosessinsa aikana, periaate ei mene niin pitkälle, että kolmansilla osapuolilla olisi sen perusteella oikeus henkilötietojen perusteelliseen tutkimiseen, keräämiseen tai keskittämiseen, johon kuuluu erityisesti laajamittainen järjestelmällinen tietojen keruu, kuten Internetin skannaaminen … . Tällainen tutkinta kuuluu oikeusviranomaisten toimivaltaan (36).” Tiettyjen kohdennettujen todisteiden kerääminen saattaa olla tarpeen oikeusvaateen laatimiseksi ja esittämiseksi erityisesti silloin, kun kyseessä on vakava rikkomus. Tästä huolimatta Euroopan tietosuojavaltuutettu on täysin yhtä mieltä 29 artiklalla perustetun tietosuojaryhmän kanssa siitä, että laajamittaiset tutkimukset, joiden puitteissa käsitellään valtavia määriä Internetin käyttäjiä koskevaa tietoa, eivät ole oikeutettuja.

53. Edellä kuvatun suhteellisuusperiaatteen tarkastelu sekä kaupallisen laajuuden esiintyminen ovat merkityksellisiä päätettäessä, missä olosuhteissa IP-osoitteiden ja niihin liittyvän tiedon keruu tehdään oikeutetuksi.

54. Internet-palveluntarjoajat saattavat yrittää oikeuttaa tekijänoikeuksien haltijoiden suorittaman tietojenkäsittelyn liittämällä asiakkaidensa sopimuksiin kohtia, joissa tietojen seuraaminen ja tilauksen katkaiseminen sallitaan. Tällaisen sopimuksen hyväksyneen asiakkaan katsottaisiin suostuneen seurantaan. Tällainen käytäntö herättää kuitenkin ensinnäkin kysymyksen siitä, voivatko yksityishenkilöt antaa Internet-palveluntarjoajille suostumuksensa sellaiseen tietojenkäsittelyyn, jota eivät tee palveluntarjoajat vaan kolmannet osapuolet, jotka eivät ole palveluntarjoajien alaisuudessa.

55. Toiseksi suostumuksen pätevyys voidaan asettaa kyseenalaiseksi. Direktiivin 95/46/EY 2 artiklan h kohdan mukaan suostumuksella tarkoitetaan ”kaikenlaista vapaaehtoista, yksilöityä ja tietoista tahdon ilmaisua, jolla rekisteröity hyväksyy henkilötietojensa käsittelyn”. Tärkeä seikka on se, että olosuhteista riippumatta suostumus voi olla pätevä vain silloin, kun se on vapaaehtoinen, yksilöity ja tietoinen rekisteröidyn tahdon ilmaisu, kuten direktiivin 2 artiklan h kohdassa on määritelty. Euroopan tietosuojavaltuutettu epäilee vahvasti sitä, onko henkilöillä, joilta pyydetään suostumusta heidän Internetin käyttönsä valvontaan, mahdollisuutta todelliseen valintaan – erityisesti siitä syytä, että vaihtoehtona on jäädä kokonaan ilman Internetin käyttömahdollisuutta, mikä saattaa haitata elämää monella muulla tavalla.

56. Kolmanneksi on hyvin kyseenalaista, voidaanko Internetin käytön valvontaa milloinkaan pitää välttämättömänä rekisteröidyn tekemän sopimuksen noudattamisen kannalta, kuten direktiivin 95/46/EY 7 artiklan b kohdassa edellytetään, sillä valvonta ei tietenkään ole rekisteröidyn tekemän sopimuksen tavoite, vaan ainoastaan Internet-palveluntarjoajan keino ajaa muita etuja.

Lokitiedostojen hävittäminen

57. Direktiivin 2002/58/EY ja erityisesti sen 6 artiklan mukaan IP-osoitteiden kaltaisia liikennetietoja saa kerätä ja tallentaa vain itse viestintään suoraan liittyvien syiden vuoksi, esimerkiksi laskutusta, liikenteen hallintaa ja petoksien ehkäisyä varten. Tämän jälkeen tiedot on poistettava. Tämä ei kuitenkaan rajoita tietojen säilyttämistä koskevan direktiivin velvoitteiden soveltamista, joiden mukaan, kuten on jo mainittu, liikennetiedot on säilytettävä ja ne on annettava poliisin ja syyttäjäviranomaisten käyttöön vain vakavan rikollisuuden tutkimista varten (37).

58. Kuten edellä on todettu, Internet-palveluntarjoajien on hävitettävä kaikki Internetin käyttäjien toiminnasta kertovat lokitiedostot, joita ei enää tarvita edellä mainittuja tarkoituksia varten. Kun otetaan huomioon, että lokitiedostoja ei tarvita laskutuksessa, pitäisi tietojen säilyttäminen kolmen tai neljän viikon ajan riittää Internet-palveluntarjoajien liikenteen hallintaan (38).

59. Tämä tarkoittaa, että kun tekijänoikeuksien haltijat ottavat yhteyttä Internet-palveluntarjoajiin, palveluntarjoajilla ei pitäisi enää olla hallussaan IP-osoitteet ja tilaajat yhdistäviä lokitiedostoja, ellei yhteydenotto ole tapahtunut mainitun lyhyen ajan sisällä. Lokitiedot pitäisi säilyttää tätä aikaa kauemmin vain oikeutetuista syistä lainsäädännössä määritettyjä tarkoituksia varten.

60. Käytännössä tämä tarkoittaa, että elleivät tekijänoikeuksien haltijat pyydä tietoja Internet-palveluntarjoajilta verraten nopeasti, ei pyyntöjä voida täyttää, koska palveluntarjoajien hallussa ei enää ole pyydettyjä tietoja. Tämä riittää asettamaan rajat sille, mitä aiemmin kuvatuilla hyväksyttävillä valvontakäytännöillä tarkoitetaan.

Heijastusvaikutusten vaara

61. Euroopan tietosuojavaltuutettu ei ole huolestunut vain kolmesta rikkomuksesta katkeavan Internet-yhteyden kaltaisten menettelytapojen vaikutuksesta yksityisyydensuojaan ja tietosuojaan, vaan myös niiden heijastusvaikutuksesta. Jos kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat sallitaan, ne saattavat olla pelkkää alkusoittoa Internetin käyttäjien yhä laajamittaisemman valvonnan laillistamiselle eri aloilla ja eri tarkoituksia varten.

62. Euroopan tietosuojavaltuutettu kehottaa komissiota varmistamaan, ettei väärentämisenvastaisella kauppasopimuksella edistetä immateriaalioikeuksien valvontaa tavalla, joka on ristiriidassa perusoikeuksia ja -vapauksia sekä henkilötietojen suojaamisen kaltaisia kansalaisvapauksia kunnioittavan EU:n nykyisen järjestelmän kanssa.

V KANSAINVÄLISIIN YHTEISTYÖJÄRJESTELMIIN LIITTYVÄT TIETOSUOJAKYSYMYKSET

63. Yksi niistä keinoista, joita väärentämisenvastaiseen kauppasopimukseen osallistuvat valtiot ovat ehdottaneet immateriaalioikeuksien valvonnasta huolehtimiseksi, on kansainvälisen yhteistyön vahvistaminen joukolla toimenpiteitä, jotka mahdollistaisivat immateriaalioikeuksien tehokkaan valvonnan väärentämisenvastaisen kauppasopimuksen allekirjoittajavaltioiden lainsäädännössä.

64. Saatavilla olevan tiedon perusteella voidaan ennakoida, että useisiin immateriaalioikeuksien valvonnan varmistamiseksi suunniteltuihin toimenpiteisiin kuuluu epäiltyjä immateriaalioikeuksien loukkauksia koskevan tiedon kansainvälinen jakaminen tulliviranomaisten, poliisin, oikeusviranomaisten ja muiden viranomaisten kesken, mutta myös tiedon jakaminen immateriaalioikeuksien haltijoiden muodostamien järjestöjen ja Internet-palveluntarjoajien sekä muiden julkisten ja yksityisten tahojen välillä. Tällaiset tiedonsiirrot herättävät tietosuojan näkökulmasta useita kysymyksiä.

V.1 Onko väärentämisenvastaisen kauppasopimuksen puitteissa suunniteltu tietojenvaihto oikeutettua, tarpeellista ja oikeasuhteista?

65. Tämänhetkisessä neuvottelutilanteessa, jossa monet tietojenkäsittelyyn liittyvät konkreettiset tekijät ovat edelleen joko määrittelemättä tai ne eivät ole tiedossa, on mahdotonta todeta, noudattaako ehdotettu toimenpidekehys tietosuojan perusperiaatteita tai EU:n tietosuojalainsäädäntöä.

66. Voidaan ensinnäkin kysyä, onko väärentämisenvastaisen kauppasopimuksen yhteydessä tapahtuva tietojen siirto kolmansiin maihin oikeutettua. Tällä alalla käyttöönotettavien kansainvälisten toimenpiteiden tarpeellisuus voidaan kyseenalaistaa niin kauan kuin EU:n jäsenvaltioiden välillä ei ole yksimielisyyttä digitaalisessa ympäristössä tapahtuvien valvontatoimenpiteiden yhtenäistämisestä ja sovellettavista rikosoikeudellisista seuraamuksista (39).

67. Edellä esitetyn perusteella näyttää siltä, että tietojen siirron tarpeellisuuden ja oikeasuhteisuuden periaatteet toteutuisivat väärentämisenvastaisen kauppasopimuksen yhteydessä helpommin, jos sopimuksen soveltamisala rajattaisiin vain vakavimpien immateriaalioikeuksien loukkausten torjuntaan sen sijaan, että sopimuksessa sallitaan suuria tiedonsiirtoja, jotka voivat liittyä millaisiin loukkausepäilyksiin hyvänsä. Tämä edellyttää sen täsmällistä määrittelemistä, millaisia ovat ne vakavimmat immateriaalioikeuksien loukkaukset, joiden tapauksessa tiedonsiirto on sallittua.

68. Lisäksi olisi kiinnitettävä erityistä huomiota tietojen siirrossa mukana oleviin henkilöihin sekä siihen, jaetaanko tietoja vain viranomaisten kesken vai tapahtuuko tietojenvaihtoa myös yksityisten toimijoiden ja viranomaisten välillä. Kuten tässä lausunnossa on aiemmin todettu, yksityisten toimijoiden mukaantulo alueelle, joka kuuluu periaatteessa lainvalvonnasta vastaavien viranomaisten toimivaltaan, herättää monenlaisia kysymyksiä (40). Yksityisten tahojen pitäisi olla mukana immateriaalioikeuksien loukkaamiseen liittyvien henkilötietojen keräämisessä ja vaihtaa niitä viranomaisten kanssa ainoastaan erityisissä olosuhteissa ja silloin, kun käytössä on asianmukaiset suojatoimet.

V.2 Väärentämisenvastaisen kauppasopimuksen yhteydessä tapahtuvaa tiedonsiirtoa säätelevä tietosuojalainsäädäntö

Yleinen tiedonsiirtoa koskeva järjestelmä

69. Yleisistä Euroopan unionissa käytössä olevista tietosuojaa koskevista puitteista säädetään direktiivissä 95/46/EY. Direktiivin 95/46/EY 25 ja 26 artiklassa määritetään, mitä järjestelmää käytetään silloin, kun tietoja siirretään kolmansiin maihin. Direktiivin 25 artiklassa edellytetään, että tietoja voidaan siirtää vain maihin, jotka huolehtivat asianmukaisesta tietosuojan tasosta, ja muuten siirrot ovat periaatteessa kiellettyjä.

70. Kolmansien maiden tarjoaman tietosuojan tason asianmukaisuuden arvioi tapauskohtaisesti Euroopan komissio, joka 29 artiklalla perustetun tietosuojatyöryhmän perinpohjaisen arvion jälkeen teki useiden maiden kohdalla päätöksen niiden tietosuojan tason asianmukaisuudesta (41).

71. Euroopan tietosuojavaltuutettu toteaa, että useimmat väärentämisenvastaisen kauppasopimuksen sopimuspuolet eivät ole mukana komission luettelossa asianmukaisen tietosuojan tason tarjoavista maista: Sveitsiä sekä erikoistapauksessa Kanadaa ja Yhdysvaltoja lukuun ottamatta muiden väärentämisenvastaisen kauppasopimuksen sopimuspuolien ei ole todettu tarjoavan asianmukaista tietosuojaa. Tämä tarkoittaa sitä, että jos tietoa halutaan siirtää EU:sta näihin maihin, yhden direktiivin 95/46/EY 26 artiklan 1 kohdan ehdoista on täytyttävä tai tiedonsiirtoon osallistuvilla tahoilla on oltava käytössä direktiivin 26 artiklan 2 kohdan mukaiset asianmukaiset suojatoimet.

Rikoslainsäädännön täytäntöönpanemiseen liittyvien tietojen siirrossa käytettävä erityisjärjestelmä

72. Direktiivi 95/46/EY on Euroopan unionin tärkein tietosuojaväline. Sen soveltamisala on kuitenkin tällä hetkellä rajallinen, koska sen ulkopuolelle jätetään nimenomaisesti toimet, jotka liittyvät muun muassa valtion toimintaan rikoslakia sovellettaessa (3 artikla). Rikoslainsäädännön täytäntöönpanemista varten tapahtuva tietojenvaihto jää siis direktiivin 95/46/EY soveltamisalan ulkopuolelle ja kuuluu yleisten tietosuojaperiaatteiden piiriin, jotka on vahvistettu Euroopan neuvoston yleissopimuksessa N:o 108 ja sen lisäpöytäkirjassa, jotka kaikki EU:n jäsenvaltiot ovat hyväksyneet (42). Lisäksi ovat voimassa EU:n hyväksymät säännöt rikosasioissa tehtävästä poliisi- ja oikeudellisesta yhteistyöstä, joista säädetään neuvoston puitepäätöksessä 2008/977/YOS (43).

73. Myös näiden säännösten periaatteena on, että kolmannessa maassa, johon tietoja siirretään, täytyy olla asianmukainen tietosuoja. Säädöksistä on myös useita poikkeuksia erityisesti silloin, kun kolmannella maalla on asianmukaiset suojamääräykset. Direktiivin 95/46/EY soveltamisalaan kuuluvan tiedonsiirron tapaan myös rikosoikeuden täytäntöönpanemista varten tapahtuva tietojen vaihto edellyttää siis, että tiedonsiirtoon osallistuvilla tahoilla on käytössään asianmukaiset suojatoimet.

Kohti uudenlaista tiedonsiirtojärjestelmää

74. On odotettavissa, että Euroopan unioni hyväksyy pian uudet, kaikilla EU:n toimialoilla sovellettavat yhteiset tietosuojaa koskevat säännöt Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan perusteella. Tämä tarkoittaa sitä, että muutaman vuoden kuluttua käytössä saattaa olla kattava EU:n tietosuojaa koskeva kehys, jossa määritetään yhtenäiset, kaikilla EU:n toimialoilla käytössä olevat tietosuojasäännöt. Näillä säännöillä otetaan käyttöön samantasoiset suojatoimet ja takeet kaikissa tietojenkäsittelyyn liittyvissä toimissa. Kuten oikeus-, perusoikeus- ja kansalaisasioista vastaava komission jäsen Viviane Reding esitti (44), uuden kehyksen olisi oltava ”moderni ja kattava säädös” Euroopan unionin tietosuojasta. Tämä kehys on erityisen tervetullut, sillä se selkeyttäisi ja yhtenäistäisi EU:ssa sovellettavia tietosuojasääntöjä.

75. Kansainvälisellä tasolla Euroopan tietosuojavaltuutettu kiinnittää huomiota myös tietosuojaviranomaisten taannoin hyväksymään, henkilötietojen ja yksityisyyden suojaamista koskevista kansainvälisistä standardeista annettuun päätöslauselmaan, joka on ensimmäinen askel kohti yleismaailmallisia tietosuojavaatimuksia (45). Kansainvälisiin standardeihin sisältyy useita tietosuojatoimia, jotka ovat samankaltaisia kuin direktiivissä 95/46/EY ja yleissopimuksessa N:o 108 esitetyt. Kansainväliset standardit eivät ole vielä sitovia, mutta ne ovat käyttökelpoinen tietosuojaperiaatteiden malli, jota kolmannet maat voivat soveltaa vapaaehtoisesti ja saattaa näin lainsäädäntönsä vastaamaan EU:n vaatimuksia. Euroopan tietosuojavaltuutetun mielestä väärentämisenvastaisen kauppasopimuksen allekirjoittajien olisi otettava huomioon myös kansainvälisten standardien periaatteet, kun ne käsittelevät EU:sta peräisin olevia henkilötietoja.

V.3 Asianmukaisia suojatoimia tarvitaan suojaamaan EU:sta kolmansiin maihin tapahtuvaa tiedonsiirtoa

Millaisia ovat kolmansiin maihin tapahtuvaa tiedonsiirtoa tehokkaasti suojaavat toimet?

76. Jos osoitetaan, että henkilötietojen siirtäminen kolmansiin maihin on välttämätöntä, Euroopan tietosuojavaltuutettu korostaa, että Euroopan unionin olisi neuvoteltava kolmansissa maissa sijaitsevien vastaanottajien kanssa – väärentämisenvastaisen kauppasopimuksen lisäksi – erityisistä välineistä, joihin sisältyvillä asianmukaisilla tietosuojaa koskevilla takeilla henkilötietojen vaihtamista ohjataan.

77. Asianmukaisista tietosuojaa koskevista takeista olisi yleensä määrättävä EU:n ja kolmannessa maassa sijaitsevan vastaanottajan välisellä sitovalla sopimuksella, jossa vastaanottava taho sitoutuu kunnioittamaan EU:n tietosuojalainsäädäntöä ja antamaan yksityishenkilöille samat oikeudet ja oikeussuojakeinot kuin EU:n lainsäädännössä. Sitovan sopimuksen tarve pohjautuu direktiivin 95/46/EY 26 artiklan 2 kohtaan sekä puitepäätöksen 13 artiklan 3 kohdan b alakohtaan, ja sitä tukee myös EU:n nykyinen käytäntö, jonka mukaan EU sallii erityissopimuksilla tiettyjen tietojen siirron kolmansiin maihin (46).

78. Samoin luonnosvaiheessa olevien kansainvälisten standardien mukaan vastaanottaja saattaa joutua takaamaan, että hän kykenee huolehtimaan siirtoa varten vaadittavasta tietosuojan tasosta. Nämä takeet voidaan antaa myös sopimussitoumuksen muodossa.

Väärentämisenvastaisen kauppasopimuksen allekirjoittajilta vaadittujen henkilötietoja siirrettäessä käytettävien suojatoimien sisältö

79. Euroopan tietosuojavaltuutettu painottaa erityisesti, että lainvalvontatarkoituksessa tapahtuvat kansainväliset tietojensiirrot ovat tietosuojanäkökulmasta erityisen arkaluonteisia, sillä tätä aihetta koskevien sääntöjen avulla voitaisiin oikeuttaa valtavat tiedonsiirrot alueella, jolla yksilöihin kohdistuvat vaikutukset ovat poikkeuksellisen vakavia ja jolla sen vuoksi erityisesti tarvitaan tiukkoja ja luotettavia suojatoimia.

80. Euroopan tietosuojavaltuutetun mielestä erityiset ehdot ja suojatoimet voidaan määritellä vain tapauskohtaisesti, kun kaikki tiedonsiirtoon vaikuttavat seikat ovat tiedossa. Ohjaustarkoituksessa Euroopan tietosuojavaltuutettu kuitenkin korostaa seuraavassa joitakin periaatteita ja suojatoimia, joita kolmansissa maissa sijaitsevien vastaanottajien on ainakin käytettävä, jotta tiedonsiirto on mahdollista: — On varmistettava, minkä oikeudellisen perusteen vuoksi tietojenkäsittely tapahtuu (perustuvatko käsittelytoimet toisin sanoen lailliseen velvoitteeseen, rekisteröityjen suostumukseen tai johonkin muuhun hyväksyttävään perusteeseen), sekä se, noudattaako tiedonsiirto sitä tarkoitusta, jota varten tiedot alun perin kerättiin. Ainoastaan määritettyä tarkoitusta varten tapahtuvat tiedonsiirrot ovat sallittuja. — Vaihdettavien henkilötietojen määrä ja laji olisi määritettävä selkeästi, eikä se saisi olla siirron tarkoituksen saavuttamiseksi tarvittavaa ehdotonta vähimmäismäärää suurempi. Kerättyihin ja siirettyihin tietoihin saattaa sisältyä Internetin käyttäjien IP-osoitteita, epäiltyjen rikkomusten tapahtumisaikoja sekä tietoa siitä, millaiset rikkomukset ovat kyseessä. Euroopan tietosuojavaltuutettu suosittelee, että tutkintavaiheessa tietoja ei yhdistetä tiettyyn yksityishenkilöön, ja muistuttaa, että epäillyn henkilön tunnistamisen olisi tapahduttava vain lakia noudattaen ja tuomarin valvonnan alaisuudessa. Tämän vuoksi Euroopan tietosuojavaltuutettu muistuttaa, että immateriaalioikeuksien loukkauksiin sekä epäiltyihin loukkauksiin liittyvä tieto on erityislaatuista tietoa, jota käsittelevät yleensä vain lainvalvonnasta vastaavat viranomaiset, ja että sen käsittely vaatii lisäsuojatoimien käyttöä. Henkilöt, joilla on lupa käsitellä immateriaalioikeuksien loukkauksiin sekä epäiltyihin loukkauksiin liittyvää tietoa, sekä olosuhteet, joissa tiedon käsittely tapahtuu, on siten määriteltävä erikseen voimassa olevan tietosuojalainsäädännön mukaisesti. — Henkilöt, jotka voivat jakaa tietoa keskenään, on eriteltävä tarkasti, ja tiedon välittäminen muille vastaanottajille olisi periaatteessa kiellettävä, ellei se ole välttämätöntä tietyn tutkinnan kannalta. Tämä rajoitus on erityisen tärkeä, sillä erikseen nimettyjen vastaanottajien ei pitäisi jakaa tietoja tarpeettomasti muiden kuin luvan saaneiden vastaanottajien kanssa. — Euroopan tietosuojavaltuutettu otaksuu, että väärentämisenvastaisella kauppasopimuksella ei määrätä ainoastaan viranomaisten välisestä yhteistyöstä, vaan sillä annetaan valvontatehtäviä myös yksityisille toimijoille (esimerkiksi Internet-palveluntarjoajille, tekijänoikeuksien haltijoiden järjestöille ym.) Jälkimmäisessä tapauksessa yksityisten toimijoiden immateriaalioikeuksien valvontaan osallistumisen taso ja edellytykset on arvioitava huolellisesti siten, etteivät väärentämisenvastaisen kauppasopimuksen toimet anna Internet-palveluntarjoajille ja immateriaalioikeuksien haltijoiden muodostamille järjestöille tosiasiallista oikeutta valvoa käyttäjien toimintaa verkossa. Lisäksi yksityisten toimijoiden pitäisi käsitellä henkilötietoja lainvalvonnan yhteydessä vain silloin, kun sille on asianmukaiset lailliset perusteet. On myös tärkeää selventää, onko yksityisillä toimijoilla velvollisuus tehdä yhteistyötä poliisin kanssa, sekä määrittää yhteistyön laajuus. Yhteistyö olisi joka tapauksessa rajattava vain ”vakavaan rikollisuuteen”, joka on myös tarkasti määriteltävä, sillä kaikkia immateriaalioikeuksien loukkauksia ei voi pitää vakavina rikoksina. — Henkilötietojen vaihtamisessa käytettävä menetelmä olisi valittava selkeästi. Erityisesti olisi eriteltävä, tapahtuuko henkilötietojen vaihtaminen tietojen antamiseen perustuvan järjestelmän kautta – jolloin Internet-palveluntarjoajat ja immateriaalioikeuksien haltijoiden järjestöt siirtäisivät hallinnassaan olevia tietoja ulkomailla sijaitseville kolmansille osapuolille, esimerkiksi poliisille ja lainvalvonnasta vastaaville viranomaisille – vai tietojen hakemiseen perustuvan järjestelmän kautta – jolloin poliisilla ja lainvalvontaviranomaisilla olisi suora pääsy yksityisten tahojen omistamiin tietokantoihin tai keskitettyihin tietokantoihin. Kuten jo matkustajarekisteritietojen käsittelyn yhteydessä mainittiin, tietojen antamiseen perustuva järjestelmä on EU:n tietosuojan näkökulmasta ainoa tietosuojaperiaatteiden mukainen vaihtoehto, sillä se antaa EU:ssa sijaitsevalle lähettäjälle – todennäköiselle rekisterinpitäjälle – oikeuden hallita tiedonsiirtoa (47). — Aika, jonka vastaanottajat säilyttävät henkilötietoja, olisi määriteltävä tarkasti, samoin kuin tarkoitus, jota varten säilyttäminen on tarpeen. Säilyttämisajan olisi oltava suhteessa säilytystarkoitukseen, eli toisin sanoen tiedot olisi poistettava tai hävitettävä, kun niitä ei enää tarvita kyseiseen tarkoitukseen. — Kolmansissa maissa sijaitsevia rekisterinpitäjiä koskevat velvoitteet olisi ilmaistava selkeästi. Valvontamekanismien ja/tai täytäntöönpanokelpoisten raportointimekanismien käytöstä on huolehdittava siten, että rekisterinpitäjiä vastaan on olemassa tehokkaita apukeinoja ja seuraamuksia, joita sovelletaan esimerkiksi silloin, jos tietoja käsitellään epäasianmukaisella tavalla. Käyttöön olisi otettava myös oikeussuojamenettelyitä, jotta yksityishenkilöt voivat tehdä valituksia riippumattomalle tietosuojaviranomaiselle ja jotta he voivat pyytää asianmukaisia oikeussuojakeinoja riippumattomalta ja puolueettomalta tuomioistuimelta (48). — Osapuolten keskenään sopimassa tietosuojavälineessä olisi selkeästi ilmaistava rekisteröityjen henkilötietoja koskevat oikeudet silloin, kun tietoja käsittelee kolmannen osapuolen vastaanottaja. Näin taataan, että rekisteröidyillä on käytössään tehokas keino valvoa oikeuksiaan silloinkin, kun käsittely tapahtuu ulkomailla. — Avoimuus on lisäksi olennaisen tärkeää, ja tietosuojavälineen osapuolten on sovittava, miten he ilmoittavat rekisteröidyille meneillään olevasta tietojenkäsittelystä sekä heidän oikeuksistaan ja niiden käytöstä.

VI PÄÄTELMÄT

81. Euroopan tietosuojavaltuutettu kehottaa Euroopan komissiota painokkaasti julkiseen ja avoimeen väärentämisenvastaista kauppasopimusta koskevaan vuoropuheluun, mahdollisesti julkisen kuulemisen avulla. Näin varmistettaisiin osaltaan myös se, että hyväksyttävät toimet noudattavat yksityisyydensuojaa ja tietosuojaa koskevaa Euroopan unionin lainsäädäntöä.

82. Parhaillaan käynnissä olevissa väärentämisenvastaista kauppasopimusta koskevissa neuvotteluissa Euroopan tietosuojavaltuutettu pyytää Euroopan komissiota saattamaan immateriaalioikeuksien suojelun edellytykset asianmukaiseen tasapainoon yksityisyydensuojaa ja tietosuojaa koskevien yksilöiden oikeuksien kanssa. Euroopan tietosuojavaltuutettu korostaa, että on erityisen tärkeää ottaa yksityisyydensuoja ja tietosuoja huomioon aivan neuvotteluiden alusta saakka ennen kuin mistään toimenpiteistä on sovittu, jottei myöhemmin jouduta etsimään vaihtoehtoisia, yksityisyyttä paremmin kunnioittavia ratkaisuja.

83. Immateriaalioikeudet ovat yhteiskunnalle tärkeitä, ja niitä on suojeltava. Niitä ei kuitenkaan tulisi pitää tärkeämpinä kuin yksilöiden yksityisyydensuojaa, tietosuojaa ja muita oikeuksia, kuten syyttömyysolettamaa, tehokasta oikeussuojaa ja ilmaisunvapautta.

84. Jos väärentämisenvastaisen kauppasopimuksen nykyiseen luonnokseen sisältyy tai siinä ainakin epäsuorasti suositetaan kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaisia menettelytapoja, kauppasopimus rajoittaisi merkittävällä tavalla Euroopan unionin kansalaisten perusoikeuksia ja -vapauksia, erityisesti henkilötietojen ja yksityisyyden suojaa.

85. Euroopan tietosuojavaltuutettu katsoo, että kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat eivät ole välttämättömiä immateriaalioikeuksien valvonnan kannalta. Euroopan tietosuojavaltuutettu on vakuuttunut, että on myös vaihtoehtoisia, vähemmän rajoittavia ratkaisuja tai että suunniteltuja menettelytapoja voidaan ainakin soveltaa vähemmän rajoittavalla tavalla tai suppeammin, erityisesti kohdennetun tilapäisvalvonnan muodossa.

86. Kolmesta rikkomuksesta katkeavien Internet-yhteyksien kaltaiset menettelytavat ovat ongelmallisia myös yksityiskohtaisemmalla lainsäädäntötasolla erityisesti siksi, että oikeudellisten tietojen käsittelylle on oltava asianmukaiset lailliset perusteet, varsinkin silloin kun se tapahtuu yksityisten tahojen toimesta. Kolmen rikkomuksen järjestelmien käyttöön voi myös liittyä lokitiedostojen pitempiaikaista säilyttämistä, mikä olisi vastoin nykyistä lainsäädäntöä.

87. Jos väärentämisenvastaiseen kauppasopimukseen liittyy henkilötietojen vaihtamista allekirjoittajamaissa sijaitsevien viranomaisten ja/tai yksityisten tahojen kesken, Euroopan tietosuojavaltuutettu pyytää Euroopan unionia ottamaan käyttöön asianmukaiset suojatoimet. Suojatoimien olisi koskettava kaikkea väärentämisenvastaisen kauppasopimuksen yhteydessä tapahtuvaa tiedonsiirtoa – liittyypä se sitten siviilioikeuden, rikosoikeuden tai digitaalisen oikeuden valvontaan – ja niiden olisi noudatettava yleissopimuksessa N:o 108 ja direktiivissä 95/46/EY vahvistettuja tietosuojaperiaatteita. Euroopan tietosuojavaltuutettu suosittaa, että suojatoimista sovitaan EU:n jäsenvaltioissa olevien lähettäjien ja kolmansien maiden vastaanottajien välisillä sitovilla sopimuksilla.

88. Euroopan tietosuojavaltuutettu myös toivoo, että häntä kuullaan, kun kyse on väärentämisenvastaisen kauppasopimuksen mukaan toteutettavista tiedonsiirtoa koskevista toimenpiteistä, jotta toimenpiteiden oikeasuhteisuus ja niiden takaama asianmukainen tietosuojan taso voidaan varmistaa.

Tehty Brysselissä 22 päivänä helmikuuta 2010 Peter HUSTINX Euroopan tietosuojavaltuutettu

(1) EYVL L 281, 23.11.1995, s. 31.

(2) EYVL L 201, 31.7.2002, s. 37.

(3) EYVL L 8, 12.1.2001, s. 1.

(4) Ks. http://trade.ec.europa.eu/doclib/docs/2009/november/tradoc_145271.pdf, s. 2.

(5) Ks. edellä alaviite 2.

(6) Euroopan unionin perusoikeuskirja (EUVL C 303, 14.12.2007, s. 1).

(7) Euroopan parlamentin ja neuvoston direktiivi 2002/58/EY, annettu 12 päivänä heinäkuuta 2002, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) (EYVL L 201, 31.7.2002, s. 37).

(8) Roomassa 4 päivänä marraskuuta 1950 hyväksytyn ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn eurooppalaisen yleissopimuksen 8 artiklan eri aloilla sovellettavien pääkohtien ja ehtojen tulkinta. Katso erityisesti toisaalla tässä lausunnossa mainittuja oikeustapauksia.

(9) Katso erityisesti seuraavat oikeustapaukset: asia C-275/06, Productores de Música de España (Promusicae) (Kok. 2008, s. I-271) ja asia C-557/07, LSG-Gesellschaft zur Wahrnehmung von Leistungsschutzrechten, toistaiseksi julkaisematon.

(10) Ks. edellä alaviite 2.

(11) Verkkoyhteyksien välittäjät voidaan määritellä niiden toiminnallisten roolien mukaan. Tosielämässä välittäjillä on kuitenkin yleensä useita rooleja. Verkkoyhteyksien välittäjiin kuuluvat seuraavat: a) yhteydentarjoajat: käyttäjät pääsevät verkkoon ottamalla yhteyttä yhteydentarjoajan palvelimeen; b) verkko-operaattorit: huolehtivat reitittimistä eli tiedonsiirrossa tarvittavasta teknisestä laitteistosta; c) hosting-palveluntarjoajat: vuokraavat palvelimeltaan tilaa, johon käyttäjät tai sisällöntuottajat voivat ladata sisältöä. Käyttäjät voivat siirtää aineistoa oman koneensa ja verkkopalvelun välillä. Verkkopalvelu voi olla esimerkiksi BBS-palvelu tai vertaisverkko.

(12) Komission tiedonanto neuvostolle, Euroopan parlamentille ja Euroopan talous- ja sosiaalikomitealle – Immateriaalioikeuksien valvonnan tehostaminen sisämarkkinoilla, Bryssel 11.9.2009, KOM(2009) 467 lopullinen.

(13) Vertaisverkko on hajautettu tiedonsiirtorakenne, jonka kautta yksittäiset tietokoneet voivat ottaa suoraan yhteyttä toisiinsa ja viestiä keskenään.

(14) Vaihtoehtoinen rangaistus voisi olla esimerkiksi Internet-yhteyden toiminnan rajoittaminen, kuten yhteysnopeuden, siirtonopeuden tms. vähentäminen.

(15) Katso erityisesti asia Weber ja Saravia v. Saksa, Euroopan ihmisoikeustuomioistuimen tuomio 26.6.2006, N:o 54934/00, 77 kohta ja asia Liberty ym. v. Yhdistynyt kuningaskunta, Euroopan ihmisoikeustuomioistuimen tuomio 1.7.2008, N:o 58243/00.

(16) Unionin tuomioistuimen näkemyksen mukaan direktiiviä 95/46/EY voidaan soveltaa laajasti. Direktiivin säännöksiä on tulkittava Euroopan ihmisoikeussopimuksen 8 artiklan valossa. Yhdistetyissä asioissa C-465/00, C-138/01 ja C-139/01, Rundfunk, 20.5.2003 antamassaan tuomiossa (Kok. 2008, s. I-4989, 68 kohta) unionin tuomioistuin on todennut, että ”niitä direktiivin 95/46/EY säännöksiä, joilla säännellään sellaisten henkilötietojen käsittelyä, jotka saattavat vaarantaa perusoikeuksia ja varsinkin oikeutta yksityisyyteen, on välttämättä tulkittava perusoikeuksien valossa, sillä nämä perusoikeudet ovat vakiintuneen oikeuskäytännön mukaan erottamaton osa yleisiä oikeusperiaatteita, joiden noudattamista yhteisöjen tuomioistuin valvoo”.

(17) Internet-palveluntarjoajan yksittäiselle käyttäjälle antama IP-osoite voi olla sama jokaisella Internetin käyttökerralla. Tällaisia IP-osoitteita kutsutaan kiinteiksi. IP-osoitteet voivat olla myös vaihtuvia, jolloin Internet-palveluntarjoaja antaa asiakkaalleen uuden IP-osoitteen joka kerta, kun hän muodostaa yhteyden Internetiin. Luonnollisesti Internet-palveluntarjoaja voi yhdistää sekä kiinteän että vaihtuvan IP-osoitteen asiakkaan käyttäjätiliin.

(18) Johdanto-osan 26 kappaleessa määritelmää täydennetään seuraavasti: ”tietosuojaa koskevia periaatteita on sovellettava kaikkiin tunnistettua tai tunnistettavissa olevaa henkilöä koskeviin tietoihin; sen määrittämiseksi, onko henkilö tunnistettavissa, olisi otettava huomioon kaikki kohtuullisesti toteutettavissa olevat keinot, joita joko rekisterinpitäjä tai joku muu voi kyseisen henkilön tunnistamiseksi käyttää; tietosuojaa koskevia periaatteita ei sovelleta tietoihin, jotka on tehty anonyymeiksi siten, ettei rekisteröity enää ole tunnistettavissa; … ”.

(19) 29 artiklan mukaisen tietosuojatyöryhmän immateriaalioikeuksiin liittyviä tietosuojakysymyksiä käsittelevä työasiakirja (WP 104), hyväksytty 18.1.2005. Tietosuojatyöryhmä on perustettu direktiivin 95/46/EY 29 artiklalla, ja se on itsenäinen eurooppalainen tietosuojaa ja yksityisyyden suojaa käsittelevä neuvoa-antava elin. Työryhmän tehtävät on kuvattu direktiivin 95/46/EY 30 artiklassa ja direktiivin 2002/58/EY 15 artiklassa. Katso myös tietosuojatyöryhmän 20.6.2007 hyväksymä lausunto 4/2007 henkilötietojen käsitteestä (WP 136), erityisesti s. 16.

(20) Euroopan ihmisoikeussopimuksen 8 artiklassa tarkoitetaan nimenomaan vaatimusta, jonka mukaan puuttuminen tai rajoittaminen on oltava ”välttämätöntä demokraattisessa yhteiskunnassa”.

(21) Direktiivin 95/64/EY 13 artiklassa sallitaan rajoitukset vain silloin, kun ne ovat ”välttämättömiä, jotta varmistettaisiin a) valtion turvallisuus, b) puolustus, c) yleinen turvallisuus, d) rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta, e) jäsenvaltiolle tai Euroopan unionille tärkeä taloudellinen tai rahoituksellinen etu, myös rahaa, talousarvioita ja verotusta koskevissa asioissa, f) valvonta-, tarkastus- tai sääntelytehtävä, joka satunnaisestikin liittyy julkisen vallan käyttämiseen c, d ja e alakohdassa tarkoitetuissa tapauksissa, g) rekisteröidyn suojelu tai muiden oikeudet ja vapaudet”. Direktiivin 2002/58/EY 15 artiklan mukaan rajoittavia lainsäädännöllisiä toimenpiteitä voidaan toteuttaa, jos ”tällaiset rajoitukset ovat välttämättömiä, asianmukaisia ja oikeasuhteisia demokraattisen yhteiskunnan toimenpiteitä kansallisen turvallisuuden (valtion turvallisuus) sekä puolustuksen, yleisen turvallisuuden tai rikosten tai sähköisen viestintäjärjestelmän luvattoman käytön torjunnan, tutkinnan, selvittämisen ja syyteharkinnan varmistamiseksi direktiivin 95/46/EY 13 artiklan 1 kohdan mukaisesti”.

(22) Katso myös asia Malone v. Yhdistynyt kuningaskunta, Euroopan ihmisoikeustuomioistuimen tuomio 2.8.1984, A-sarja, nro 82, s. 32, 81 kohta ja sitä seuraavat kohdat sekä asia Marper v. Yhdistynyt kuningaskunta (GC), Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2008, n:ot 30562/04 ja 30566/04, 101 kohta ja sitä seuraavat kohdat.

(23) Tuomioistuinten on esimerkiksi arvioitava, onko aineisto todella suojattu tekijänoikeuksin, mitä oikeuksia on loukattu, voidaanko käyttöä pitää hyvän tavan mukaisena käyttönä, mitä lainsäädäntöä sovelletaan tai millaisia vahinkoja on aiheutunut.

(24) Euroopan tietosuojavaltuutetun lausunto, annettu 23 päivänä kesäkuuta 2008, Euroopan parlamentin ja neuvoston päätöksestä internettiä ja muita viestintäteknologioita käyttävien lasten suojelua koskevan monivuotisen yhteisön ohjelman perustamisesta (EUVL C 2, 7.1.2009, s. 2).

(25) Katso edellä alaviitteessä 8 mainittu asia, ratkaisuehdotuksen 106 kohta.

(26) Katso Euroopan parlamentin ja neuvoston direktiivi 2009/140/EY, annettu 25 päivänä marraskuuta 2009 (EUVL L 337, 18.12.2009, s. 37).

(27) Ns. tarkistuksen 138 lopullinen sanamuoto kuuluu seuraavasti: ”1.3a artikla. Jäsenvaltioiden toimenpiteissä, jotka koskevat loppukäyttäjien oikeutta käyttää palveluja ja sovelluksia sähköisissä viestintäverkoissa taikka tällaista käyttöä, on otettava huomioon luonnollisten henkilöiden perusoikeudet ja -vapaudet, sellaisina kuin ne taataan Euroopan ihmisoikeussopimuksessa (Yleissopimus ihmisoikeuksien ja perusvapauksien suojaamiseksi) ja yhteisön oikeuden yleisissä periaatteissa. Tällaisia toimenpiteitä, jotka koskevat loppukäyttäjien oikeutta käyttää palveluja ja sovelluksia sähköisissä viestintäverkoissa taikka tällaista käyttöä ja joilla todennäköisesti rajoitetaan näitä perusoikeuksia tai -vapauksia, saa toteuttaa ainoastaan, jos ne ovat asianmukaisia, oikeasuhteisia ja välttämättömiä demokraattisessa yhteiskunnassa, ja niiden toteuttamiseen on sovellettava Euroopan ihmisoikeussopimuksen (Yleissopimus ihmisoikeuksien ja perusvapauksien suojaamiseksi) ja yhteisön oikeuden yleisten periaatteiden mukaisia riittäviä menettelytakeita, mukaan lukien tehokas oikeussuoja ja oikeudenmukainen oikeudenkäynti. Sen vuoksi näitä toimenpiteitä voidaan toteuttaa ainoastaan ottamalla asianmukaisella tavalla huomioon syyttömyysolettaman periaate ja oikeus yksityisyyteen. On taattava etukäteen tapahtuva, oikeudenmukainen ja puolueeton käsittely, mukaan lukien asianomaisen henkilön tai asianomaisten henkilöiden oikeus tulla kuulluksi, ottaen huomioon asianmukaisten edellytysten ja menettelyllisten järjestelyjen tarve asianmukaisesti osoitetuissa kiireellisissä tapauksissa Euroopan ihmisoikeussopimuksen (Yleissopimus ihmisoikeuksien ja perusvapauksien suojaamiseksi) mukaisesti. Oikeus tehokkaaseen ja oikea-aikaiseen tuomioistuinvalvontaan on taattava.”

(28) Euroopan parlamentin ja neuvoston direktiivi 2006/24/EY, annettu 15 päivänä maaliskuuta 2006 (EUVL L 105, 13.4.2006, s. 54).

(29) http://www.legi-internet.ro/english/jurisprudenta-it-romania/decizii-it/romanian-constitutional-court-decision-regarding-data-retention.html (englanniksi).

(30) http://www.bundesverfassungsgericht.de/pressemitteilungen/bvg09-124.html (saksaksi).

(31) Katso Euroopan parlamentin ja neuvoston direktiivi 2009/136/EY, annettu 25 päivänä marraskuuta 2009 (EUVL L 337, 18.12.2009, s. 11).

(32) Direktiivin 2009/136/EY 21 artiklan 4 kohdassa säädetään erityisesti, että ”jäsenvaltiot voivat edellyttää, että 3 kohdassa tarkoitetut yritykset jakavat tarvittaessa veloituksetta yleiseen etuun liittyvää tietoa olemassa oleville ja uusille tilaajille käyttäen niitä samoja keinoja, joita ne käyttävät tavanomaisesti tilaajien kanssa viestiessään. Tällaisessa tapauksessa toimivaltaisten viranomaisten on tuotettava tieto vakiomuodossa, ja sen on sisällettävä muun muassa seuraavat asiat: a) tavallisimmat sähköisten viestintäpalveluiden käyttötavat liittyen laittomaan toimintaan tai haitallisen sisällön levittämiseen etenkin, kun tämä voi haitata muille kuuluvien oikeuksien ja vapauksien noudattamista, mukaan lukien tekijänoikeuteen ja siihen liittyvään oikeuteen kohdistuvat rikkomukset ja niiden oikeudelliset seuraukset ….” ”Lisäksi 20 artiklan 2 kohdan mukaan” ”jäsenvaltiot voivat myös vaatia, että sopimus sisältää sellaiset 21 artiklan 4 kohdassa tarkoitetut tarjotun palvelun kannalta merkitykselliset tiedot, jotka toimivaltaiset viranomaiset ovat tätä tarkoitusta varten toimittaneet ja jotka koskevat sähköisten viestintäverkkojen ja palveluiden käyttämistä laittomiin tarkoituksiin tai haitallisen sisällön levittämiseen sekä sitä, miten henkilön turvallisuutta, yksityisyyden suojaa ja henkilötietoja uhkaavilta riskeiltä suojaudutaan”.

(33) EUVL L 157, 30.4.2004, s. 45 (jäljempänä teollis- ja tekijänoikeuksien noudattamisdirektiivi).

(34) Tämä vahvistetaan myös teollis- ja tekijänoikeuksien noudattamisdirektiivin johdanto-osan 14 kappaleessa.

(35) Katso tämän lausunnon 28 kohta.

(36) Korostus tässä.

(37) Katso tämän lausunnon 35 kohta.

(38) Liikenteen hallintaan kuuluu tietokoneverkossa tapahtuvan liikenteen analysointi suorituskyvyn optimoimista tai varmistamista, viiveiden poistoa ja/tai käytössä olevan tiedonsiirtonopeuden lisäämistä varten.

(39) Rikosoikeudellisia seuraamuksia koskeva ehdotus on parhaillaan käsiteltävänä neuvostossa, KOM(2006) 168, 26.4.2006.

(40) Katso tämän lausunnon 32 ja 52 kohta. Katso myös Euroopan tietosuojavaltuutetun 11.11.2008 antama lausunto tietojenvaihtoa, yksityisyyden suojaa ja henkilötietojen suojaamista käsittelevän EU:n ja Yhdysvaltojen korkean tason kontaktiryhmän loppuraportista (EUVL C 128, 6.6.2009, s. 1).

(41) Katso tietosuojan asianmukaisuudesta tehdyt päätökset, jotka Euroopan komissio on myöntänyt Argentiinalle, Kanadalle, Sveitsille, Yhdysvaltojen safe harbor -järjestelmään liittyen, Yhdysvaltain viranomaisille matkustajarekisteritietoihin liittyen, Guernseylle, Mansaarelle ja Jerseylle. Päätökset ovat saatavilla osoitteessa http://ec.europa.eu/justice_home/fsj/privacy/thridcountries/index_en.htm

(42) Yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä, hyväksytty Strasbourgissa 28 päivänä tammikuuta 1981, sekä Euroopan neuvoston yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä tehdyn yleissopimuksen lisäpöytäkirja, joka koskee valvontaviranomaisia ja tietotojen siirtoja eri maiden välillä, tehty Strasbourgissa 8 päivänä marraskuuta 2001.

(43) Neuvoston puitepäätös 2008/977/YOS, tehty 27 päivänä marraskuuta 2008, rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (EUVL L 350, 30.12.2008, s. 60).

(44) Katso komission jäsenehdokas Viviane Redingin vastaukset Euroopan parlamentin esittämiin kysymyksiin, s. 5, http://www.europarl.europa.eu/hearings/static/commissioners/answers/reding_replies_fi.pdf

(45) Madridissa marraskuussa 2009 hyväksytty päätöslauselma.

(46) Esimerkiksi Europolin ja Eurojustin sopimukset Yhdysvaltojen kanssa, matkustajarekisteritietoja koskeva sopimus, SWIFT-sopimus sekä EU:n ja Australian välinen sopimus Euroopan unionista saatujen lentoliikenteenharjoittajien PNR- eli matkustajarekisteritietojen käsittelemisestä ja siirtämisestä Australian tullilaitokselle.

(47) Katso 29 artiklan mukaisen tietosuojatyöryhmän lausunto 4/2003 matkustajatietojen siirrolle Yhdysvalloissa taatusta suojasta, WP78, 13.6.2003.

(48) Katso Euroopan tietosuojavaltuutetun lausunto, annettu 11 päivänä marraskuuta 2008, tietojenvaihtoa, yksityisyyden suojaa ja henkilötietojen suojaamista käsittelevän EU:n ja Yhdysvaltojen korkean tason kontaktiryhmän loppuraportista.