Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta, joka koskee ehdotuksia sähköistä todistusaineistoa rikosoikeudellisissa asioissa koskevista eurooppalaisista esittämis- ja säilyttämismääräyksistä

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivustolla www.edps.europa.eu)

(2020/C 32/04)

Komissio antoi huhtikuussa 2018 kaksi ehdotusta – yhden asetukseksi ja yhden direktiiviksi – oikeudellisesta kehyksestä, jonka avulla poliisi- ja oikeusviranomaiset pystyisivät entistä helpommin ja nopeammin turvaamaan sähköisen todistusaineiston ja saamaan sen käyttöönsä rajat ylittävissä tapauksissa. Sen jälkeen neuvosto on hyväksynyt yleisiä lähestymistapoja ehdotuksiin ja Euroopan parlamentti on laatinut useita työasiakirjoja. Euroopan tietosuojaneuvosto on antanut lausuntonsa. Kansainvälisellä tasolla on tapahtunut asiaan liittyvää kehitystä, erityisesti on käynnistetty neuvottelut Yhdysvaltojen kanssa sähköisen todistusaineiston rajat ylittävää saatavuutta koskevasta kansainvälisestä sopimuksesta sekä työ tietoverkkorikollisuutta koskevan yleissopimuksen toisen lisäpöytäkirjan parissa. Euroopan tietosuojavaltuutettu haluaa tällä lausunnolla antaa EU:n lainsäätäjille uusia näkemyksiä tulevaan ehdotuksia koskevaan työhön, ja se ottaa siinä huomioon edellä luetellun kehityksen.

Nykymaailmassa, jota uudet teknologiat muuttavat jatkuvasti, aika on usein ratkaisevan tärkeää, jotta asianosaiset viranomaiset saavat tehtäviensä suorittamisessa välttämättömät tiedot. Kansallisiakin tapauksia tutkittaessa lainvalvontaviranomaisten eteen kuitenkin tulee yhä useammin rajat ylittäviä tilanteita, koska on käytetty ulkomaista palveluntarjoajaa ja tiedot on tallennettu sähköisesti toiseen jäsenvaltioon. Euroopan tietosuojavaltuutettu tukee tavoitetta, jonka mukaan on varmistettava, että lainvalvontaviranomaisilla on tehokkaat välineet tutkia rikoksia ja nostaa niistä syyte. Hän suhtautuu erityisen myönteisesti ehdotusten tavoitteeseen nopeuttaa ja helpottaa tietojen saatavuutta rajat ylittävissä tapauksissa virtaviivaistamalla menettelyjä EU:ssa.

Tietosuojavaltuutettu haluaa kuitenkin korostaa, että kaikissa tämän alan aloitteissa on noudatettava täysimääräisesti EU:n perusoikeuskirjaa ja EU:n tietosuojalainsäädäntöä ja että on olennaisen tärkeää varmistaa, että kaikki tarvittavat takeet ovat käytettävissä. Etenkin tehokas perusoikeuksien suojelu kerättäessä sähköistä todistusaineistoa rajojen yli edellyttää, että oikeusviranomaisten osallistumista täytäntöönpanevassa jäsenvaltiossa lisätään. Oikeusviranomaisten pitäisi osallistua tähän prosessiin järjestelmällisesti mahdollisimman pian, niillä pitäisi olla mahdollisuus tarkistaa, että määräyksissä noudatetaan perusoikeuskirjaa, ja niillä pitäisi olla oikeus esittää hylkäämistä sillä perusteella.

Myös asetusehdotuksen tietoluokkien määritelmiä olisi selkeytettävä, ja niiden johdonmukaisuus muiden EU:n lainsäädännön tietoluokkien määritelmien kanssa olisi varmistettava. Tietosuojavaltuutettu suosittelee myös arvioimaan uudelleen tasapainon niiden rikosten tyyppien, joista eurooppalaisia esittämismääräyksiä voitaisiin antaa, ja asianosaisten tietoluokkien välillä EU:n tuomioistuimen kyseeseen tulevan oikeuskäytännön nojalla.

Tietosuojavaltuutettu antaa myös erityisiä suosituksia useista sähköistä todistusaineistoa koskevien ehdotusten osista, joita on parannettava: määräysten ja siirrettyjen tietojen aitous ja luottamuksellisuus, eurooppalaisten säilyttämismääräysten mukainen rajattu säilyttäminen, sovellettava tietosuojalainsäädäntö, rekisteröityjen oikeudet, rekisteröidyt, joilla on erioikeuksia ja vapauksia, oikeudelliset edustajat, aikarajat, joissa eurooppalaisia esittämismääräyksiä on noudatettava, ja palveluntarjoajien mahdollisuus vastustaa määräyksiä.

Tietosuojavaltuutettu pyytää myös selkeyttämään entisestään ehdotetun asetuksen suhdetta tuleviin kansainvälisiin sopimuksiin. Asetusehdotuksella olisi säilytettävä tietosuojan korkea taso EU:ssa, ja sen olisi oltava lähtökohta neuvoteltaessa kansainvälisiä sopimuksia sähköisen todistusaineiston rajat ylittävästä saatavuudesta.

1. JOHDANTO JA TAUSTA

1. Komissio antoi 17. huhtikuuta 2018 kaksi lainsäädäntöehdotusta (jäljempänä ’ehdotukset’) ja niiden vaikutustenarvioinnin ( 1 ) . Ehdotukset ovat — ehdotus asetukseksi sähköistä todistusaineistoa rikosoikeudellisissa asioissa koskevista eurooppalaisista esittämis- ja säilyttämismääräyksistä (2) (jäljempänä ’asetusehdotus’) — ehdotus direktiiviksi yhdenmukaisista säännöistä laillisten edustajien nimeämiseksi todistusaineiston keräämistä varten rikosoikeudellisissa menettelyissä (3) (jäljempänä ’direktiiviehdotus’).

5. Euroopan tietosuojavaltuutettu (jäljempänä ’tietosuojavaltuutettu’) suhtautuu myönteisesti siihen, että komissio on kuullut tietosuojavaltuutettua epävirallisesti ennen ehdotusten antamista. Tietosuojavaltuutettu suhtautuu myönteisesti myös asetusehdotuksen johdanto-osan 66 kappaleessa ja direktiiviehdotuksen johdanto-osan 24 kappaleessa tähän lausuntoon tehtyihin viittauksiin.

6. Komissio hyväksyi 5. helmikuuta 2019 kaksi suositusta neuvoston päätöksiksi: suosituksen luvan antamiseksi aloittaa neuvottelut sopimuksen tekemiseksi Euroopan unionin ja Yhdysvaltojen välillä oikeudelliseen yhteistyöhön rikosasioissa liittyvästä rajat ylittävästä pääsystä sähköiseen todistusaineistoon ( 12 ) ja suosituksen luvan antamiseksi komissiolle osallistua tietoverkkorikollisuutta koskevan Euroopan neuvoston yleissopimuksen (CETS N:o 185) (jäljempänä ’tietoverkkorikollisuutta koskeva yleissopimus’) toisesta lisäpöytäkirjasta käytäviin neuvotteluihin ( 13 ) . Molemmista suosituksista piti antaa tietosuojavaltuutetun lausunnot ( 14 ) . Molemmat Yhdysvaltojen ja Euroopan neuvoston välillä käytävät neuvottelut liittyvät läheisesti toisiinsa.

7. Euroopan parlamentin kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta lähetti helmikuussa 2019 tietosuojavaltuutetulle ja tietosuojaneuvostolle samanlaiset kirjeet, joissa pyydettiin oikeudellista arviointia Yhdysvaltain kongressin maaliskuussa 2018 antaman tietojen laillista käyttöä ulkomailla koskevan lain (CLOUD ACT) ( 15 ) vaikutuksesta tietosuojaa koskevaan EU:n oikeudelliseen kehykseen. Tietosuojavaltuutettu ja tietosuojaneuvosto antoivat tähän pyyntöön 12. heinäkuuta 2019 yhteisen vastauksen ja alustavan arvioinnin ( 16 )

8. Yhdistynyt kuningaskunta ja Yhdysvallat allekirjoittivat 3. lokakuuta 2019 kahdenvälisen sopimuksen sähköisen todistusaineiston rajat ylittävästä saatavuudesta vakavan rikollisuuden torjunnassa ( 17 ) . Se on ensimmäinen täytäntöönpanosopimus, jonka nojalla yhdysvaltalaiset palveluntarjoajat voivat noudattaa CLOUD ACT -lain mukaisesti ulkomailta tulevia pyyntöjä sisältötiedoista.

Tämä lausunto koskee molempia ehdotuksia, mutta pääosin käsitellään asetusehdotusta. Tietosuojavaltuutetun tehtävän mukaisesti keskitytään ensisijaisesti yksityisyyttä ja henkilötietojen suojaa koskeviin oikeuksiin. Lausunnon tarkoituksena on täydentää johdonmukaisesti tietosuojaneuvoston lausuntoa 23/2018, ja siinä otetaan myös huomioon neuvoston yleisnäkemykset ja Euroopan parlamentin työasiakirjat.

5. PÄÄTELMÄT

70. Tietosuojavaltuutettu tukee tavoitetta, jonka mukaan on varmistettava, että lainvalvonta- ja oikeusviranomaisilla on tehokkaat välineet tutkia rikoksia ja nostaa niistä syyte uusien teknologioiden muuttamassa maailmassa. Tietosuojavaltuutettu haluaisi kuitenkin varmistaa, että tässä toiminnassa noudatetaan täysin perusoikeuskirjaa ja EU:n tietosuojasäännöstöä. Asetusehdotuksen mukaan henkilötietoja pitäisi säilyttää ja välittää EU:ssa ja sen ulkopuolella jäsenvaltioiden toimivaltaisten viranomaisten, yksityisten yhteisöjen ja joissakin tapauksissa kolmansien maiden viranomaisten välillä. Siihen sisältyisi rajoituksia kahteen perusoikeuteen eli perusoikeuskirjan 7 artiklassa taattuun oikeuteen yksityis- ja perhe-elämän kunnioittamiseen ja 8 artiklassa taattuun oikeuteen henkilötietojen suojaan. Lainmukaisuus edellyttää, että kyseisissä rajoituksissa noudatetaan perusoikeuskirjan 52 artiklan 1 kohdassa esitettyjä ehtoja ja täytetään etenkin välttämättömyysehto.

71. Tietosuojavaltuutettu katsoo ensinnäkin, että olisi arvioitava lisää muita vaihtoehtoja, joista saadaan paremmat takeet ja saavutetaan samat tavoitteet.

72. Toiseksi tietosuojavaltuutettu panee merkille, että asetusehdotuksessa on jo useita menettelytakeita. Tietosuojavaltuutettu on kuitenkin huolissaan siitä, että merkittävä vastuu sen tarkistamisesta, että EPOC- ja EPOC-PR-todistuksissa noudatetaan perusoikeuskirjaa, on uskottu palveluntarjoajille, ja suosittelee ottamaan täytäntöönpanevan jäsenvaltion nimeämiä oikeusviranomaisia mukaan mahdollisimman pian sähköisen todistusaineiston keräämisprosessiin.

73. Tietosuojavaltuutettu suosittelee varmistamaan yhdenmukaisuuden sähköisen todistusaineiston luokkien määritelmien ja EU:n lainsäädännön nykyisten erityisten tietoluokkien määritelmien välillä ja pohtimaan uudelleen verkkoyhteystietojen luokkaa tai soveltamaan näiden tietojen saatavuuteen samoja ehtoja kuin transaktiotietojen ja sisältötietojen luokkien saatavuuteen. Asetusehdotuksessa olisi esitettävä selkeästi ja yksinkertaisesti kunkin tietoluokan määritelmät, jotta voidaan varmistaa oikeusvarmuus kaikille asianosaisille sidosryhmille. Tietosuojavaltuutettu suosittelee myös tilaajatietojen luokan ehdotetun määritelmän muuttamista, jotta siitä saadaan entistä selkeämpi.

74. Hän suosittelee myös arvioimaan uudelleen tasapainoa niiden rikostyyppien välillä, joista eurooppalaisia esittämismääräyksiä voidaan antaa, ja ottamaan siinä huomioon unionin tuomioistuimen asiaankuuluvan viimeaikaisen oikeuskäytännön. Erityisesti mahdollisuus antaa esittämismääräys transaktio- ja sisältötietojen esittämiseksi pitäisi rajoittaa vakaviin rikoksiin. Tietosuojavaltuutetun mielestä paras vaihtoehto olisi määritellä suljettu luettelo erityisistä vakavista rikoksista, joista voidaan antaa esittämismääräys transaktio- ja sisältötietojen esittämiseksi. Tämäkin lisäisi oikeusvarmuutta kaikille asianosaisille sidosryhmille.

75. Tietosuojavaltuutettu antaa myös suosituksia, joiden tarkoituksena on varmistaa tietosuojaa ja yksityisyyttä koskevien oikeuksien noudattaminen ja saavuttaa samalla tavoite todistusaineiston nopeasta keräämisestä erityisiä rikosoikeudellisia menettelyjä varten. Keskeisiä ovat toimittamisen turvallisuus kaikkien asianosaisten sidosryhmien välillä, määräysten ja todistusten aitous ja tietojen rajattu säilyttäminen EPOC-PR-todistuksissa.

76. Edellä esitettyjen yleisten huomioiden ja keskeisten suositusten lisäksi tietosuojavaltuutettu on antanut tässä lausunnossa lisäsuosituksia ehdotusten seuraavista kohdista: — viittaus sovellettavaan tietosuojakehykseen — rekisteröityjen oikeudet (avoimuuden parantaminen ja oikeus oikeussuojakeinoon) — rekisteröidyt, joilla on erioikeuksia ja vapauksia — oikeudellisten edustajien nimittäminen todistusaineiston keräämiseen rikosasioissa — EPOC-todistuksessa ja tietojen esittämisessä noudatettavat aikarajat — palveluntarjoajien mahdollisuus vastustaa määräystä rajatuin perustein.

77. Tietosuojavaltuutettu myös tuntee aloitteen esittämisen laajemman taustan ja tehdyt kaksi neuvoston päätöstä. Toinen niistä koskee tietoverkkorikollisuutta koskevan yleissopimuksen toista lisäpöytäkirjaa Euroopan neuvostossa ja toinen neuvottelujen käynnistämistä Yhdysvaltojen kanssa. Hän pyytää selkeyttämään entisestään asetusehdotuksen suhdetta kansainvälisiin sopimuksiin. Tietosuojavaltuutettu antaa mielellään rakentavan panoksensa, jotta voitaisiin varmistaa yhdenmukaisuus ja yhteensopivuus lopullisten tekstien ja EU:n tietosuojakehyksen välillä.

Bryssel 6. marraskuuta 2019. Wojciech Rafał WIEWIÓROWSKI Apulaistietosuojavaltuutettu

(1) Komission yksiköiden valmisteluasiakirja: Impact Assessment, SWD(2018) 118 final (jäljempänä ’vaikutustenarviointi’), saatavilla osoitteessa https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=SWD%3A2018%3A118%3AFIN.

(2) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi sähköistä todistusaineistoa rikosoikeudellisissa asioissa koskevista eurooppalaisista esittämis- ja säilyttämismääräyksistä, COM(2018) 225 final.

(3) Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi yhdenmukaisista säännöistä laillisten edustajien nimeämiseksi todistusaineiston keräämistä varten rikosoikeudellisissa menettelyissä, COM(2018) 226 final.

(4) Euroopan parlamentin ja neuvoston direktiivi 2014/41/EU, annettu 3 päivänä huhtikuuta 2014, rikosasioita koskevasta eurooppalaisesta tutkintamääräyksestä, EUVL. L 130, 1.5.2014, s. 1; ks. asetusehdotuksen 23 artikla.

(5) Tutkintamääräysdirektiivissä säädetään suorasta yhteistyöstä yhden jäsenvaltion määräyksen antaneen viranomaisen ja toisen jäsenvaltion täytäntöönpanoviranomaisen välillä tai tarpeen mukaan kyseessä olevan jäsenvaltion (olevien jäsenvaltioiden) nimittämän keskusviranomaisen (nimittämien keskusviranomaisten) välityksellä. Sen tavoitteena on helpottaa ja nopeuttaa tätä yhteistyötä säätämällä vakiomuodoista ja tiukoista aikarajoista sekä poistamalla useita esteitä rajat ylittävältä yhteistyöltä, esimerkiksi, ”määräyksen antava viranomainen voi antaa eurooppalaisen tutkintamääräyksen sellaisten tutkintatoimenpiteiden toteuttamiseksi, joiden tarkoituksena on väliaikaisesti estää todisteena mahdollisesti käytettävän aineiston tuhoaminen, muuntaminen, liikuttaminen, siirtäminen tai luovuttaminen” ja ”täytäntöönpanoviranomaisen on tehtävä väliaikaista toimenpidettä koskeva päätös ja ilmoitettava siitä mahdollisimman pian ja aina kuin se on mahdollista 24 tunnin kuluessa eurooppalaisen tutkintamääräyksen vastaanottamisesta”(32 artikla); lisäksi tutkintamääräyksen täytäntöönpanoon sellaisten henkilöiden tunnistamiseksi, joilla on jonkin yksilöidyn puhelinnumeron tai IP-osoitteen liittymäsopimus, ei sovelleta vaatimusta kaksoisrangaistavuudesta (10 artiklan 2 kohdan e alakohta 11 artiklan 2 kohdan kanssa).

(6) Kaikki EU:n jäsenvaltiot lukuun ottamatta Tanskaa ja Irlantia.

(7) Kaikki osallistuvat jäsenvaltiot ovat saattaneet tutkintamääräysdirektiivin osaksi kansallisia lakejaan vuonna 2017 tai 2018. Ks. Euroopan oikeudellisen verkoston tiedot täytäntöönpanon tilasta: https://www.ejn-crimjust.europa.eu/ejn/EJN_Library_StatusOfImpByCat.aspx?CategoryId=120.

(8) Yleisen tietosuoja-asetuksen 68 artiklan nojalla perustettu tietosuojaneuvosto on kumotun direktiivin 95/46/EY 29 artiklan nojalla perustetun työryhmän seuraaja. Kyseisen 29 artiklan mukaisen tietosuojatyöryhmän tavoin tietosuojaneuvostossa on edustajia kansallisista tietosuojaviranomaisista ja tietosuojavaltuutetusta.

(9) Opinion 23/2018 of 26 September 2018 on Commission proposals on European Production and Preservation Orders for electronic evidence in criminal matters (Art. 70.1.b) (jäljempänä ’tietosuojaneuvoston lausunto 23/2018’), saatavilla englanniksi osoitteessa https://edpb.europa.eu/sites/edpb/files/files/file1/eevidence_opinion_final_en.pdf.

(10) https://www.consilium.europa.eu/en/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/#.

(11) https://www.consilium.europa.eu/fi/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/.

(12) Suositus neuvoston päätökseksi luvan antamisesta aloittaa neuvottelut sopimuksen tekemiseksi Euroopan unionin ja Amerikan yhdysvaltojen välillä oikeudelliseen yhteistyöhön rikosasioissa liittyvästä rajat ylittävästä pääsystä sähköiseen todistusaineistoon, COM(2019) 70 final.

(13) Suositus neuvoston päätökseksi luvan antamisesta tietoverkkorikollisuutta koskevan Euroopan neuvoston yleissopimuksen (CETS N:o 185) toisesta lisäpöytäkirjasta käytäviin neuvotteluihin osallistumiseen, COM(2019) 71 final. EU:n kaikki jäsenvaltiot ovat tähän mennessä allekirjoittaneet Euroopan unionin neuvoston yleissopimuksen tietoverkkorikollisuutta ja sähköistä todistusaineistoa koskevan kansainvälisen yhteistyön lujittamisesta, ja niistä lähes kaikki ovat ratifioineet sen. Tietoverkkorikollisuutta koskevan yleissopimuksen ratifiointi on edelleen käynnissä Irlannissa ja Ruotsissa. Tietoverkkorikollisuutta koskeva yleissopimus on sitova kansainvälinen väline, jonka sopimusosapuolten on säädettävä kansallisessa lainsäädännössään sähköisiä verkkoja vastaan tai niiden avulla tehdyistä erityisistä rikoksista ja luotava erityiset valtuudet ja menettelyt, jotta kansalliset viranomaiset voisivat suorittaa rikostutkintansa, mukaan lukien sähköisessä muodossa olevan todistusaineiston kerääminen rikoksesta. Sillä myös edistetään sopimusosapuolten välistä kansainvälistä yhteistyötä. Tietojen epävakaisuudesta johtuvien haasteiden ratkaisemiseksi on erityistoimenpiteitä. Tämän osalta yleissopimuksessa säädetään tallennettujen tietokonetietojen nopeutetusta säilyttämisestä. Koska suojattujen tietojen siirtäminen pyynnön esittäneelle valtiolle edellyttää lainvoimaista päätöstä keskinäistä oikeusapua koskevasta pyynnöstä, säilyttämiseen ei pidä soveltaa kaikkia hylkäysperusteita. Esimerkiksi kaksoisrangaistavuutta edellytetään vain poikkeustapauksissa (29 artikla).

(14) Euroopan tietosuojavaltuutetun lausunto 2/2019, joka koskee luvan antamista neuvotella Euroopan unionin ja Yhdysvaltojen välisestä sähköisen todistusaineiston rajatylittävää saatavuutta koskevasta sopimuksesta, ja Euroopan tietosuojavaltuutetun lausunto 3/2019, joka koskee osallistumista tietoverkkorikollisuuteen liittyvän Budapestin yleissopimuksen toisesta lisäpöytäkirjasta käytäviin neuvotteluihin.

(15) Saatavilla osoitteessa https://www.congress.gov/bill/115th-congress/house-bill/1625/text.

(16) https://edpb.europa.eu/our-work-tools/our-documents/letters/epdb-edps-joint-response-libe-committee-impact-us-cloud-act_fr.

(17) https://www.gov.uk/government/publications/ukusa-agreement-on-access-to-electronic-data-for-the-purpose-of-countering-serious-crime-cs-usa-no62019.