KOMISSION KERTOMUS EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE

EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn toiminnan ensimmäisestä vuosittaisesta tarkastelusta

1.ENSIMMÄINEN VUOSITTAINEN TARKASTELU – TAVOITE, VALMISTELUT JA PROSESSI

Komissio totesi 12. kesäkuuta 2016 antamassaan päätöksessä, jäljempänä ’tietosuojan tason riittävyyttä koskeva päätös’, että EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely takaa riittävän suojan henkilötiedoille, jotka on siirretty Euroopan unionista Yhdysvalloissa oleville organisaatioille.

Privacy Shield -järjestely heijastaa niitä periaatteita ja vaatimuksia, jotka Euroopan unionin tuomioistuin on vahvistanut asiassa Schrems antamassaan päätöksessä, jossa aiempi Safe Harbour -ohjelma julistettiin pätemättömäksi. Järjestelyssä on Safe Harbour -ohjelmaan verrattuna joukko uusia osatekijöitä, jotka parantavat Yhdysvaltoihin siirrettävien henkilötietojen suojaa. Näitä ovat muun muassa Privacy Shield -järjestelyyn varmennettujen yritysten aiempaa tiukemmat velvoitteet. Ne voivat koskea esimerkiksi sen rajoittamista, kuinka kauan yritys saa säilyttää henkilötietoja (ns. tietojen säilyttämistä koskeva periaate), tai edellytyksiä, joiden perusteella tietoja voidaan jakaa puitteiden ulkopuolisille kolmansille osapuolille (ns. tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskeva periaate). Siinä määrätään myös säännöllisemmästä ja tarkemmasta Yhdysvaltojen kauppaministeriön suorittamasta seurannasta ja vahvistetaan huomattavasti EU:n kansalaisten mahdollisuuksia hakea oikeussuojaa. Lisäksi Privacy Shield -järjestely perustuu Yhdysvaltojen hallituksen erityisiin kirjallisiin lausumiin ja vakuutuksiin, joiden mukaan viranomaisten mahdollisuuteen tarkastella Privacy Shield -järjestelyn puitteissa Yhdysvaltoihin siirrettyjä henkilötietoja kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä sovelletaan selkeitä rajoituksia ja suojatoimia. Tätä varten järjestelyllä luodaan myös täysin uusi oikeussuojamekanismi, oikeusasiamies.

Komissio on sitoutunut arvioimaan vuosittain tietosuojan riittävyyttä koskevia havaintojaan ja laatii sen vuoksi vuosittain tarkastelun Privacy Shield -järjestelyn toiminnasta. Ensimmäinen vuosittainen tarkastelu saadaan päätökseen tämän kertomuksen myötä. Tarkastelu kattoi kaikki Privacy Shield -järjestelyn osatekijät eli Yhdysvaltojen toimivaltaisten viranomaisten ja elinten suorittaman Privacy Shield -järjestelyn täytäntöönpanon, hallinnon, valvonnan ja noudattamisen sekä kysymykset, jotka koskevat Yhdysvaltojen viranomaisten mahdollisuutta tarkastella Privacy Shield -järjestelyn puitteissa siirrettyjä henkilötietoja yleisen edun ja erityisesti kansallisen turvallisuuden nimissä. Lisäksi tarkastelussa keskusteltiin erityisesti automatisoidusta päätöksenteosta ja arvioitiin Yhdysvaltojen oikeudellisessa järjestelmässä viimeksi kuluneen vuoden aikana tapahtuneita muutoksia, joilla saattaisi olla vaikutusta Privacy Shield -järjestelyn toimintaan.

Järjestely otettiin käyttöön 1. elokuuta 2016. Kun otetaan huomioon, että tarkasteltavana on järjestelyn ensimmäinen toimintavuosi, komissio keskittyi varmistamaan, että kaikki järjestelyn mukaiset mekanismit ja menettelyt – joista monet luotiin järjestelyä varten – on pantu kaikilta osin täytäntöön ja että ne toimivat tietosuojan riittävyyttä koskevassa päätöksessä tarkoitetulla tavalla. Lisäksi komissio panosti erityisesti sen tarkistamiseen, miten järjestelyn täytäntöönpanoon osallistuvat Yhdysvaltojen eri viranomaiset ovat noudattaneet lausumiaan ja sitoumuksiaan toisaalta Privacy Shield -järjestelyn kaupallisten osatekijöiden hallinnon ja valvonnan osalta ja toisaalta suhteessa hallituksen virkamiesten mahdollisuuteen tarkastella henkilötietoja. Tämä on erityisen tärkeää sen vuoksi, että Yhdysvaltojen hallinnossa tapahtui muutoksia tammikuussa 2017.

Vuosittaista tarkastelua valmistellessaan komissio keräsi tietoja ja palautetta Privacy Shield ‑järjestelyn täytäntöönpanosta ja toiminnasta asiaankuuluvilta sidosryhmiltä, tarkemmin sanottuna järjestelyyn varmennetuilta yrityksiltä niiden toimialajärjestöjen kautta ja kansalaisjärjestöiltä, jotka toimivat perusoikeuksien ja erityisesti digitaalisten oikeuksien ja yksityisyyden suojan alalla. Lisäksi se pyysi ja sai kirjallista tietoa, kuten asiakirjoja ja muuta materiaalia, Yhdysvaltojen viranomaisilta, jotka osallistuvat järjestelyn täytäntöönpanoon.

Ensimmäinen vuosittainen yhteinen tarkastelu suoritettiin Washingtonissa 18. ja 19. syyskuuta 2017. Tilaisuuden avasivat oikeus-, kuluttaja- ja tasa-arvoasioista vastaava komissaari Věra Jourová ja Yhdysvaltojen kauppaministeri Wilbur Ross. Vuosittaisen tarkastelun suorittivat EU:n puolesta Euroopan komission oikeus- ja kuluttaja-asioiden pääosaston edustajat. EU:n valtuuskuntaan kuului myös kahdeksan 29 artiklan mukaisen tietosuojatyöryhmän nimeämää edustajaa. Kyseinen työryhmä koostuu jäsenvaltioiden tietosuojaviranomaisista ja Euroopan tietosuojavaltuutetusta.

Yhdysvaltojen puolelta tarkasteluun osallistui kauppaministeriön, liittovaltion kauppakomission, liikenneministeriön, ulkoministeriön, kansallisen tiedusteluviraston ja oikeusministeriön edustajia sekä väliaikainen oikeusasiamies, yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaavan lautakunnan jäsen ja tiedusteluyhteisön valvontaviranomaisen toimiston edustaja. Vuosittaiseen tarkasteluun antoivat oman panoksensa myös riippumatonta riitojenratkaisua Privacy Shield -järjestelyn puitteissa tarjoavien järjestöjen edustajat, Yhdysvaltain sovitteluelinten yhdistys (American Arbitration Association), joka johtaa Privacy Shield -järjestelyn välimiespaneelia, sekä muutamat järjestelyyn varmennetut yritykset.

Tarkasteluun saatiin tietoa myös julkisesti saatavilla olevista asiakirjoista, kuten tuomioistuinten päätöksistä, Yhdysvaltojen asiaankuuluvien viranomaisten täytäntöönpanosäännöistä ja menettelyistä, kansalaisjärjestöjen raporteista ja tutkimuksista, Privacy Shield -järjestelyyn varmennettujen yritysten avoimuusraporteista, lehtiartikkeleista ja muista mediaraporteista.

2.HAVAINNOT, PÄÄTELMÄT JA SUOSITUKSET

Vuosittainen tarkastelu osoitti, että Yhdysvaltojen viranomaiset ovat luoneet tarvittavat rakenteet ja menettelyt Privacy Shield -järjestelyn asianmukaisen toiminnan varmistamiseksi. Varmentamisprosessi on käsitelty kaiken kaikkiaan riittävällä tavalla, ja tähän mennessä on varmennettu yli 2 400 yritystä. Yhdysvaltojen viranomaiset ovat luoneet valitusten käsittelymekanismin ja täytäntöönpanomekanismit sekä menettelyt henkilöiden oikeuksien suojaamiseksi. Näihin sisältyvät myös EU:n kansalaisille tarkoitetut uudet oikeussuojakeinot, kuten välimiespaneeli ja oikeusasiamiesmekanismi. Yhdysvaltojen hallinnossa tammikuussa 2017 tapahtuneiden muutosten jälkeen nimettiin väliaikainen oikeusasiamies. Vakinaisen oikeusasiamiehen nimittäminen on vireillä. Yhteistyötä Euroopan tietosuojaviranomaisten kanssa on lisätty. Yhdysvalloissa on edelleen käytössä asianmukaiset suojatoimet, jotka koskevat viranomaisten mahdollisuutta tarkastella henkilötietoja kansallisen turvallisuuden nimissä. Ne perustuvat muun muassa vuonna 2014 annettuun presidentin määräykseen PPD-28 (Presidential Policy Directive 28), jossa asetetaan rajoituksia ja suojatoimia, jotka koskevat kansallisten turvallisuusviranomaisten mahdollisuutta käyttää henkilötietoja henkilön kansallisuudesta riippumatta. Tässä yhteydessä on myös huomattava, että ulkomaantiedustelun valvontaa koskevan lain 702 § vanhenee 31. joulukuuta 2017 ja että uudistusehdotuksista keskustellaan parhaillaan Yhdysvaltain kongressissa.

Yksityiskohtaiset tosiasioita koskevat havainnot Privacy Shield -järjestelyn kaikkien osatekijöiden toiminnasta ensimmäisen toimintavuoden jälkeen esitetään asiaa koskevassa komission yksiköiden valmisteluasiakirjassa (SWD(2017) 344 final), joka annetaan tämän kertomuksen yhteydessä.