KOMISSION TIEDONANTO EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE

Tietosuojasäännöt kansalaisten vaikutusmahdollisuuksien ja EU:n digitaalisen muutoksen edistäjänä – yleistä tietosuoja-asetusta sovellettu kaksi vuotta

1Tietosuojasäännöt kansalaisten vaikutusmahdollisuuksien ja EU:n digitaalisen muutoksen edistäjänä

Tämä on ensimmäinen kertomus yleisen tietosuoja-asetuksen arvioinnista ja uudelleentarkastelusta. Asetuksen 97 artiklan nojalla siinä käsitellään erityisesti niiden sääntöjen soveltamista ja toimivuutta, jotka koskevat kolmansiin maihin ja kansainvälisiin järjestöihin tehtäviä henkilötietojen siirtoja sekä yhteistyötä ja yhdenmukaisuutta.

Yleistä tietosuoja-asetusta alettiin soveltaa 25. toukokuuta 2018. Se on keskeinen osa EU:n kehystä, jonka avulla taataan tietosuojaa koskevan perusoikeuden toteutuminen sellaisena kuin se on vahvistettu Euroopan unionin perusoikeuskirjassa (8 artikla) ja perussopimuksissa (Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16 artikla). Yleisellä tietosuoja-asetuksella on vahvistettu tietosuojatakeita, annettu yksilöille uusia ja vahvempia oikeuksia, lisätty läpinäkyvyyttä ja varmistettu, että kaikilta asetuksen soveltamisalaan kuuluvia henkilötietoja käsitteleviltä tahoilta edellytetään vastuullisuutta ja osoitusvelvollisuutta. Asetuksella annetaan riippumattomille tietosuojaviranomaisille vahvemmat ja yhdenmukaistetut täytäntöönpanovaltuudet ja otetaan käyttöön uusi hallintojärjestelmä. Sillä myös luodaan tasapuoliset toimintaedellytykset kaikille EU:n markkinoilla toimiville yrityksille niiden sijoittautumispaikasta riippumatta ja varmistetaan henkilötietojen vapaa liikkuvuus, mikä vahvistaa EU:n sisämarkkinoita.

Yleinen tietosuoja-asetus on tärkeä osa EU:n päätöksenteolle ominaista ihmiskeskeistä tapaa suhtautua teknologiaan, ja se ohjaa teknologian käyttöä myös vihreän siirtymän ja digitaaliseen muutoksen edistämisessä. Tätä on korostettu äskettäin tekoälyä koskevassa valkoisessa kirjassa ja helmikuussa 2020 annetussa Euroopan datastrategiaa koskevassa tiedonannossa .

Kun talous perustuu enenevässä määrin tiedon, kuten henkilötietojen, käsittelyyn, yleinen tietosuoja-asetus on keskeinen väline sen varmistamisessa, että yksilöillä on suurempi määräysvalta henkilötietojensa suhteen ja että näitä tietoja käsitellään vain laillisia tarkoituksia varten lainmukaisesti, asianmukaisella tavalla ja läpinäkyvästi. Samalla yleinen tietosuoja-asetus osaltaan edistää luotettavaa innovointia erityisesti riskiperusteisen lähestymistavan ja sisäänrakennetun ja oletusarvoisen yksityisyyden suojan kaltaisten periaatteiden avulla. Komissio on ehdottanut tietosuojaa ja yksityisyyden suojaa koskevan lainsäädäntökehyksen täydentämistä sähköisen viestinnän tietosuoja-asetuksella , jolla on tarkoitus korvata nykyinen sähköisen viestinnän tietosuojadirektiivi . Tätä koskeva ehdotus on parhaillaan lainsäädäntövallan käyttäjien tarkasteltavana, ja on erittäin tärkeää varmistaa sen nopea hyväksyminen.

Euroopan digitaalista valmiutta ja Euroopan vihreän kehityksen ohjelmaa koskevien komission keskeisten painopisteiden puitteissa voidaan laatia uusia aloitteita, joiden avulla kansalaisille voidaan antaa paremmat mahdollisuudet osallistua aktiivisemmin digitaaliseen muutokseen ja edistää ilmastoneutraalin yhteiskunnan luomista ja kestävämpää kehitystä digitaalisten välineiden avulla. Yleisellä tietosuoja-asetuksella luodaan puitteet tällaisille aloitteille ja varmistetaan, että niillä voidaan aidosti lisätä yksilöiden vaikutusmahdollisuuksia.

Datastrategian tavoitteena on luoda yhteinen eurooppalainen data-avaruus eli aidot datan sisämarkkinat sekä kymmenen alakohtaista yhteistä eurooppalaista data-avaruutta ja edistää siten vihreää siirtymää ja digitaalista muutosta. Kaikkien näiden painopisteiden kannalta on olennaisen tärkeää, että käytössä on selkeä ja toimiva kehys, joka mahdollistaa datan turvallisen yhteiskäytön ja niiden saatavuuden lisäämisen. Datastrategian mukaan komissio aikoo myös tutkia, miten tulevassa lainsäädännössä voitaisiin mahdollistaa julkisissa tietokannoissa olevan datan käyttö tutkimustarkoituksiin yleistä tietosuoja-asetusta noudattaen. Data-avaruuksien tukena olisi eurooppalainen pilviresurssien federaatio, joka tarjoaisi tietojenkäsittely- ja pilvi-infrastruktuuripalveluja yleisen tietosuoja-asetuksen edellyttämällä tavalla. Yleinen tietosuoja-asetus takaa henkilötietojen korkeatasoisen suojan ja yksilöiden keskeisen aseman kaikissa näissä data-avaruuksissa, samalla kun sen joustavuuden ansiosta voidaan ottaa huomioon erilaisia lähestymistapoja.

Luottamuksen varmistaminen ja henkilötietosuojan kysyntä eivät tietenkään rajoitu vain EU:hun. Ihmiset eri puolilla maailmaa arvostavat tietojensa yksityisyyttä ja turvallisuutta enenevässä määrin. Kuten tuore maailmanlaajuinen tutkimus osoittaa, tietosuojaa pidetään tärkeänä tekijänä, joka vaikuttaa ostopäätöksiin ja verkkokäyttäytymiseen. Yhä useammat yritykset ovat vastanneet tähän yksityisyyden suojan kysyntään muun muassa ulottamalla joitakin yleiseen tietosuoja-asetukseen perustuvia oikeuksia ja suojatoimia vapaaehtoisesti myös EU:n ulkopuolisiin asiakkaisiin. Monet yritykset myös käyttävät tiukkaa henkilötietosuojan noudattamista keinona erottua kilpailussa ja edistää myyntiä maailmanlaajuisilla markkinoilla tarjoamalla innovatiivisia tuotteita ja palveluja, joihin sisältyy uusia yksityisyyden suojaa tai tietoturvaa koskevia ratkaisuja. Lisäksi sekä yksityisen että julkisen sektorin toimijoiden suurempi kyky kerätä ja käsitellä dataa suuressa mittakaavassa tuo esiin tärkeitä ja monimutkaisia kysymyksiä, joiden myötä yksityisyyden suoja nousee entistä useammin julkisen keskustelun keskiöön eri puolilla maailmaa.

Yleinen tietosuoja-asetus on kannustanut monia maita eri puolilla maailmaa harkitsemaan sen tarjoaman esimerkin noudattamista. Kyseessä on todella maailmanlaajuinen trendi, joka ulottuu Chilestä Etelä-Koreaan, Brasiliasta Japaniin, Keniasta Intiaan ja Kaliforniasta Indonesiaan. EU:n johtoasema tietosuojan alalla osoittaa, että se voi toimia digitaalitalouden sääntelyssä globaalina normien asettajana, ja EU onkin saanut tästä tunnustusta monilta merkittäviltä kansainvälisen yhteisön edustajilta. Muun muassa YK:n pääsihteeri António Guterres on todennut, että yleinen tietosuoja-asetus on esikuva, joka innoittaa toteuttamaan vastaavia toimenpiteitä myös muualla. Hän on kannustanut EU:ta ja sen jäsenvaltioita edelleen johtamaan digiajan muovaamista ja toimimaan teknologisen innovoinnin ja sääntelyn eturintamassa.

Tämänhetkinen covid-19-pandemiasta johtuva kriisi on osuva muistutus yksityisyyden suojaa koskevan keskustelun globaalista luonteesta sekä kriisin aikana että pyrittäessä ulos kriisistä. EU:ssa useat jäsenvaltiot ovat toteuttaneet poikkeustoimenpiteitä kansanterveyden suojelemiseksi. Yleisessä tietosuoja-asetuksessa säädetään selkeästi, että kaikissa rajoitustoimissa on noudatettava perusoikeuksien ja -vapauksien keskeistä sisältöä. Tällaisten toimenpiteiden on oltava välttämättömiä ja oikeasuhteisia ja demokraattisessa yhteiskunnassa välttämättömiä yleisen edun, kuten kansanterveyden, turvaamiseksi. Kun rajoittamistoimia asteittain puretaan, kansalaiset odottavat, että heille tarjotaan digitaalisia sovelluksia, jotka ovat luotettavia ja joissa kunnioitetaan oikeutta yksityisyyteen ja henkilötietojen suojaan. Päätöksentekijöiden on vastattava näihin odotuksiin.

Sisäänrakennettua yksityisyyden suojaa, kuten käyttäjien vapaaehtoista rekisteröitymistä, kerättävien tietojen minimointia ja tietoturvaa sekä geopaikannuksen poissulkemista, pidetään monissa maissa olennaisena edellytyksenä sille, että ne datavetoiset sovellukset, joiden avulla on tarkoitus seurata ja hillitä viruksen leviämistä, mitoittaa julkiset torjuntatoimet oikein, auttaa potilaita tai toteuttaa ulospääsystrategioita, ovat luotettavia ja yhteiskunnallisesti hyväksyttäviä. EU:ssa tietosuojaa ja yksityisyyden suojaa koskeva lainsäädäntökehys on osoittautunut riittävän joustavaksi välineeksi, niin että sen avulla voidaan kehittää käytännön ratkaisuja (kuten jäljityssovelluksia) ja varmistaa samalla korkeatasoinen henkilötietojen suoja. Komissio on tähän liittyen julkaissut 16. huhtikuuta 2020 Covid-19-pandemian torjuntaa tukevien sovellusten tietosuojaa koskevat ohjeet.

Henkilötietojen suojaaminen on olennaisen tärkeää myös, jotta voidaan estää kansalaisten äänestyskäyttäytymisen manipulointi (erityisesti henkilötietojen lainvastaiseen käsittelyyn perustuva viestinnän mikrokohdentaminen äänestäjille), välttää sekaantuminen demokraattisiin prosesseihin ja turvata demokratian edellyttämä avoin keskustelu, oikeudenmukaisuus ja läpinäkyvyys. Tästä syystä komissio julkaisi syyskuussa 2018 ohjeet unionin tietosuojalainsäädännön soveltamisesta vaalien yhteydessä.

Tämän yleistä tietosuoja-asetusta koskevan arvioinnin ja uudelleentarkastelun yhteydessä komissio on ottanut huomioon neuvoston, Euroopan parlamentin, Euroopan tietosuojaneuvoston sekä yksittäisten tietosuojaviranomaisten, monisidosryhmäisen asiantuntijaryhmän ja muiden sidosryhmien kannanotot, etenemissuunnitelmaan annettu palaute mukaan lukien

Yleinen näkemys on, että yleisen tietosuoja-asetuksen kahden ensimmäisen soveltamisvuoden aikana on onnistuttu sen tavoitteiden mukaisesti vahvistamaan yksilöiden oikeutta henkilötietojen suojaan ja takaamaan henkilötietojen vapaa liikkuvuus EU:ssa. Toisaalta on havaittu myös joitakin parannuskohteita. Useimpien sidosryhmien ja tietosuojaviranomaisten tavoin komissio katsoo, että tässä vaiheessa olisi ennenaikaista tehdä lopullisia päätelmiä yleisen tietosuoja-asetuksen soveltamisesta. Useimmat jäsenvaltioiden ja sidosryhmien havaitsemista ongelmista todennäköisesti ratkeavat, kun yleisen tietosuoja-asetuksen soveltamisesta kertyy enemmän kokemusta. Tässä kertomuksessa tarkastellaan kuitenkin yleisen tietosuoja-asetuksen soveltamisessa tähän mennessä esiin tulleita haasteita ja esitetään mahdollisia keinoja niiden ratkaisemiseksi.