FI Euroopan unionin virallinen lehti C 220/1

Euroopan tietosuojavaltuutetun lausunto ehdotuksesta Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 89/666/ETY, 2005/56/EY ja 2009/101/EY muuttamisesta keskus-, kauppa- ja yhtiörekistereiden yhteenliittämisen osalta

2011/C 220/01

EUROOPAN TIETOSUOJAVALTUUTETTU, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 16 artiklan,

ottaa huomioon Euroopan unionin perusoikeuskirjan ja erityisesti sen 7 ja 8 artiklan,

ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1),

ottaa huomioon yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 18 päivänä joulukuuta 2000 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 45/2001 (2) ja erityisesti sen 28 artiklan 2 kohdan,

ON ANTANUT SEURAAVAN LAUSUNNON:

I JOHDANTO

1. Euroopan komissio hyväksyi 24. helmikuuta 2011 ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 89/666/ETY, 2005/56/EY ja 2009/101/EY muuttamisesta keskus-, kauppa- ja yhtiörekistereiden yhteenliittämisen osalta (3) (jäljempänä ’ehdotus’) ja pyysi Euroopan tietosuojavaltuutettua antamaan siitä lausuntonsa.

2. Euroopan tietosuojavaltuutettu on tyytyväinen, että häntä on kuultu asetuksen (EY) N:o 45/2001 N:o 45/2001 28 artiklan 2 kohdassa edellytetyllä tavalla ja että ehdotuksen johdanto-osaan on sisällytetty viittaus tähän lausuntoon.

1.1 Ehdotuksen tavoitteet

3. Ehdotuksen tavoitteena on helpottaa ja tehostaa kaupparekisterien välistä rajatylittävää yhteistyötä ja tietojenvaihtoa Euroopan talousalueella ja sitä kautta lisätä avoimuutta sekä rajojen yli vaihdettavien tietojen luotettavuutta. Kaupparekisterien välinen tehokas hallinnollinen yhteistyö on ratkaisevaa, jotta voidaan parantaa luottamusta Euroopan yhtenäismarkkinoihin varmistamalla kuluttajille, velkojille ja muille liiketoimintakumppaneille turvallisempi liiketoimintaympäristö, keventämällä hallinnollista rasitusta ja lisäämällä oikeusvarmuutta. Erityisen tärkeää kaupparekistereiden välisen hallinnollisen yhteistyön menettelyjen tehostaminen on sellaisissa rajatylittäviä sulautumisia, yhtiöiden kotipaikan siirtoja sekä ulkomaisten sivukonttoreiden rekisteröintitietojen päivittämistä koskevissa menettelyissä, joissa yhteistyöjärjestelyjä ei nykyisin ole tai ne ovat rajalliset.

4. Näiden tavoitteiden saavuttamiseksi ehdotuksen on tarkoitus muuttaa kolmea voimassa olevaa direktiiviä seuraavasti: — direktiiviin 2009/101/EY (4) tehtävillä muutoksilla pyritään helpottamaan virallisten yritystietojen saantia toisesta maasta (i) perustamalla sähköinen kaupparekisteriverkosto ja (ii) määrittämällä yhteiset, ajantasaiset vähimmäistiedot, jotka on asetettava ulkopuolisten henkilöiden saataville sähköisessä muodossa yhteisen eurooppalaisen monikielisen keskusjärjestelmän/yhteyspisteen kautta; — direktiiviin 89/666/ETY (5) tehtävillä muutoksilla pyritään varmistamaan, että yhtiön kaupparekisteri antaa eri puolilla Eurooppaa sijaitsevien ulkomaisten sivuliikkeiden kaupparekisterille ajantasaisia tietoja yhtiön asemasta; ja — 2005/56/EY (6) tehtävillä muutoksilla on tarkoitus parantaa kaupparekisterien välisen hallinnollisen yhteistyön menettelyjä rajatylittävissä sulautumisissa.

1.2 Ehdotuksen tausta

5. Kaupparekistereitä toimii kaikissa jäsenvaltioissa; ne on organisoitu kansallisella, alueellisella tai paikallisella tasolla. Vuonna 1968 annettiin yhteiset säännöt vähimmäisvaatimusten määrittämiseksi yritystietojen julkistamisesta (rekisteröinti ja julkaiseminen) (7). Lisäksi kaikki jäsenvaltiot velvoitettiin perustamaan sähköiset kaupparekisterit viimeistään 1. tammikuuta 2007 (8) ja antamaan ulkopuolisille henkilöille oikeus tutustua rekisterien sisältöön verkossa.

6. Tietyissä EU:n säädöksissä kaupparekisterit velvoitetaan nimenomaisesti tekemään yhteistyötä helpottaakseen pääomayhtiöiden rajatylittäviä sulautumisia (9) sekä eurooppayhtiöiden (10) ja eurooppaosuuskuntien (11) kotipaikan siirtoa toiseen maahan.

7. Vuonna 1992 Euroopan kaupparekisterien välille perustettiin vapaaehtoinen yhteistyöjärjestelmä, eurooppalainen kaupparekisteripalvelu (EBR) (12). Siihen kuuluu nykyisin virallisia kaupparekistereitä kaikkiaan 19 jäsenvaltiosta ja kuudelta muulta eurooppalaiseen lainkäyttöalueeseen kuuluvalta alueelta. EBR osallistui vuosina 2006–2009 tutkimushankkeeseen (BRITE) (13), jonka tavoitteena oli kehittää tekninen järjestelmä kaupparekisterien yhteentoimivuuden mahdollistamiseksi kaikkialla Euroopassa. Ehdotukseen liittyvässä vaikutusten arvioinnissa kuitenkin selitetään, että EBR:n toimintaan liittyy laajentamista, rahoitusta ja hallinnointia koskevia mittavia haasteita: nykyinen järjestelmä ei vaikutusten arvioinnin mukaan tyydytä potentiaalisten käyttäjien tarpeita.

1.3 Synergiaedut muiden aloitteiden kanssa

8. Ehdotuksen perusteluissa mainitaan, että Euroopan oikeusportaalista (14) on tarkoitus kehittää keskeinen yhteyspiste, jonka kautta voi tutustua oikeudellisiin tietoihin, oikeudellisiin ja hallinnollisiin laitoksiin, rekistereihin, tietokantoihin ja muihin EU:ssa tarjottaviin palveluihin. Lisäksi todetaan, että ehdotus täydentää oikeusportaalihanketta, ja sillä pyritään helpottamaan yritystietojen yleistä saantia portaalin kautta.

9. Toinen vaikutusten arvioinnissa mainittu tärkeä synergiaetuja tuottava hanke on sisämarkkinoiden tietojenvaihtojärjestelmä (IMI) (15). Se on sähköinen sovellus, joka on tarkoitettu tukemaan viranomaisten päivittäistä hallinnollista yhteistyötä palveludirektiivin (2006/123/EY) ja ammattipätevyyden tunnistamista koskevan direktiivin (2005/36/EY) puitteissa. IMI-järjestelmää laajennetaan parhaillaan, ja vaikutusten arvioinnin mukaan sillä voitaisiin tukea muidenkin direktiivien, myös yhtiöoikeusdirektiivien täytäntöönpanon valvontaa.

II TARKASTELTAVANA OLEVAT EHDOTUKSEN SÄÄNNÖKSET

10. Ehdotuksen 3 artiklassa tehdään useita muutoksia direktiiviin 2009/101/EY. Niistä kaksi on erityisen tärkeitä tietosuojalle.

2.1 Tietojen julkistaminen yhteisen eurooppalaisen sähköisen keskusjärjestelmän/yhteyspisteen kautta

11. Voimassa olevan direktiivin 2009/101/EY 2 artiklassa edellytetään, että kukin jäsenvaltio julkistaa kaupparekisterissään tärkeimmät yhtiöitä koskevat tiedot, jotta ulkopuoliset henkilöt voivat tarkistaa tietoja yhtiöistä. Kuten edellä 1.2 kohdassa mainittiin, jäsenvaltiot velvoitetaan lisäksi pitämään sähköistä kaupparekisteriä ja antamaan ulkopuolisten henkilöiden tutustua sen sisältöön verkossa.

12. Direktiivin 2 artiklassa esitetään 11-kohtainen luettelo tärkeimmistä tiedoista ja asiakirjoista, jotka kaupparekisterissä olisi vähintään julkistettava. Niihin sisältyvät seuraavat: — perustamiskirja, yhtiöjärjestys ja niiden muutokset, — merkityn pääoman määrä, — tilinpäätösasiakirjat, — yhtiön kotipaikan vaihtuminen, — yhtiön purkaminen, päätös yhtiön pätemättömyydestä, selvitysmiesten määrääminen, selvitystilan päättyminen ja rekisteristä poistaminen.

13. Tietosuojan kannalta merkityksellistä on se, että 2 artiklassa vaaditaan julkistamaan myös ”sellaisten henkilöiden asettaminen, tehtävän päättyminen ja henkilötiedot” (graafinen muokkaus lisätty), jotka (i) ovat kelpoisia edustamaan yhtiötä ja/tai (ii) osallistuvat yhtiön ”hallintoon, johtoon tai valvontaan”.

14. Ehdotuksessa ei esitetä muutoksia direktiivin 2 artiklassa annettuun julkistettavien tietojen luetteloon. Jäsenvaltioiden velvoittaminen toimittamaan nämä tiedot sähköisesti yleisön saataville ei sekään ole uusi vaatimus. Uutta ehdotuksessa on se, että kaupparekisteritiedot, joita nykyisin on saatavilla vain hajanaisesti ja useimmiten ainoastaan paikallisilla kielillä ja paikallisilla verkkosivustoilla, saatettaisiin nyt helposti jokaisen ulottuville yhteisen eurooppalaisen keskusjärjestelmän/yhteyspisteen kautta monikielisessä ympäristössä.

15. Tältä osin ehdotuksessa lisätään direktiiviin uusi 3 a artikla, jonka mukaan ”jäsenvaltioiden on varmistettava, että 2 artiklassa tarkoitetut asiakirjat ja tiedot, jotka on toimitettu niiden rekisteriin, ovat saatavissa kenen tahansa pyytäjän pyynnöstä sähköisessä muodossa jokaisessa jäsenvaltiossa käytettävissä olevan yhteisen eurooppalaisen sähköisen järjestelmän kautta”. Tämän järjestelyn yksityiskohdat on tarkoitus määrittää delegoiduilla säädöksillä.

2.2 Kaupparekisterien yhteentoimivuus ja yhteenliittäminen: sähköisen verkoston perustaminen

16. Ehdotuksessa direktiiviin 2009/101/EY lisätään myös uusi 4 a artikla, jonka mukaan ”jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että (kaupparekisterit) ovat yhteentoimivia ja muodostavat sähköisen verkoston”. Tässäkin tapauksessa yksityiskohdat määriteltäisiin delegoiduilla säädöksillä.

2.3 Tietosuojasäännökset

17. Tietosuojaongelmien ratkaisemiseksi ehdotuksessa lisätään kaikkiin kolmeen direktiiviin erityinen tietosuojaa koskeva artikla, jossa edellytetään, että ”direktiivin puitteissa tapahtuvaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY”.

III EUROOPAN TIETOSUOJAVALTUUTETUN HUOMAUTUKSET JA SUOSITUKSET

3.1 Johdanto: avoimuuden ja yksityisyyden tarpeeseen vastaaminen

18. Euroopan tietosuojavaltuutettu yhtyy komission näkemykseen siitä, että (i) tieto- ja viestintätekniikan käyttö voi auttaa tehostamaan kaupparekisterien välistä yhteistyötä ja että (ii) kaupparekisteritietojen saatavuuden lisääminen on omiaan lisäämään avoimuutta. Näin ollen tietosuojavaltuutettu tukee ehdotuksen tavoitteita. Hänen huomautuksiaan on tarkasteltava tämän rakentavan lähestymistavan valossa.

19. Euroopan tietosuojavaltuutettu kuitenkin korostaa, että henkilötietojen lisääntynyt saatavuus myös lisää henkilötietoihin kohdistuvia riskejä. Vaikka esimerkiksi kotiosoitteen julkistaminen helpottaa yhtiön edustajan oikeaa tunnistamista, se voi samalla loukata kyseisen henkilön oikeutta henkilötietojen suojaan. Tämä on vaarana erityisesti silloin, kun henkilötietoja asetetaan laajalti saataville Internetissä digitaalisessa muodossa, monella kielellä ja sellaisen eurooppalaisen järjestelmän/yhteyspisteen kautta, jota kuka tahansa voi käyttää.

20. Vielä jokin aika sitten henkilötietoja (esim. johtajan nimi, osoite ja näyte allekirjoituksesta) luovutettiin kaupparekistereistä ainoastaan paperimuodossa ja vain paikallisella kielellä, ja usein tietojen luovuttaminen edellytti henkilökohtaista käyntiä paikallisessa kaupparekisterissä. On tärkeää ymmärtää, että tilanne on lähtökohtaisesti aivan toinen kuin se, että tiedot julkistetaan digitaalisessa muodossa koko maan kattavan sähköisen yhteyspisteen kautta. Henkilötietojen julkistaminen yleisesti saatavilla olevan Euroopan laajuisen keskusjärjestelmän/yhteyspisteen kautta menee vielä askeleen pidemmälle ja lisää entisestään tietojen saatavuutta, jolloin myös henkilötietojen suojaan kohdistuvat riskit kasvavat.

21. Tällaisia yksityisyyteen kohdistuvia riskejä (joita aiheutuu tietojen ollessa helposti saatavilla digitaalisessa muodossa yhteisen sähköisen yhteyspisteen kautta) ovat henkilöllisyysvarkaudet ja muu rikollinen toiminta sekä se, että yritykset voivat haravoida laittomasti julkistettuja tietoja ja käyttää niitä alkuperäisestä poikkeaviin kaupallisiin tarkoituksiin sen jälkeen, kun ne ovat profiloineet asianomaiset henkilöt. Ilman riittäviä takeita tiedot voidaan myydä ulkopuolisille tai ne voidaan yhdistää muihin tietoihin ja myydä takaisin viranomaisille, jotka käyttävät niitä asiaankuulumattomiin ja julkisiin tarkoituksiin, joille ei ole riittävää oikeusperustaa (esim. verolakien täytäntöönpano tai muut rikosoikeudelliset tai hallinnolliset tutkinnat) (16).

22. Näistä syistä on arvioitava huolellisesti, minkälaisia henkilötietoja yhteisen eurooppalaisen järjestelmän/yhteyspisteen kautta voidaan asettaa saataville ja mitä tietosuojatakeita (esimerkiksi hakua tai latausta ja tiedonlouhintaa rajoittavat tekniset toimenpiteet) olisi sovellettava.

3.2 Keskeiset tietosuojatakeet olisi määritettävä itse ehdotuksessa eikä myöhemmin annettavilla delegoiduilla säädöksillä

23. Kuten edellä 2.1 ja 2.2 kohdassa todetaan, direktiiviin 2009/101/EY ehdotettu 3 a ja 4 a artikla on muotoiltu hyvin väljästi, ja monet keskeiset näkökohdat on jätetty määritettäviksi myöhemmin annettavilla delegoiduilla säädöksillä.

24. Vaikka Euroopan tietosuojavaltuutettu ymmärtää joustavuuden tarpeen ja siitä johtuvan delegoitujen säädösten tarpeen, hän korostaa, että tarvittavat tietosuojatakeet ovat säädöksen keskeisiä osia, joista olisi säädettävä selkeästi ja nimenomaisesti suoraan ehdotetussa direktiivissä. Niitä ei siten voida pitää säädöksen ”muina kuin keskeisinä osina”, joita voitaisiin myöhemmin täydentää Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan nojalla annettavilla delegoiduilla säädöksillä.

25. Sen vuoksi Euroopan tietosuojavaltuutettu katsoo, että ehdotuksen tietosuojasäännöksiä olisi täsmennettävä ja ettei niissä pitäisi rajoittua vain viittaamaan direktiiviin 95/46/EY (ks. 3.4–3.13 kohta). Näiden erityisten takeiden täytäntöönpanosta voidaan myöhemmin antaa lisäsäännöksiä delegoiduilla säädöksillä, joista on kuultava Euroopan tietosuojavaltuutettua ja tarpeen mukaan kansallisia tietosuojaviranomaisia (ks. jäljempänä 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 ja 3.13 kohta).

3.3 Ehdotettujen toimenpiteiden muistakin keskeisistä osista olisi säädettävä tarkemmin itse ehdotuksessa

26. Keskeiset tietosuojatakeet eivät ole ainoat ehdotuksesta puuttuvat säännökset; siinä on jätetty avoimiksi myös muita näkökohtia. Ehdotuksen mukaan erityisesti ne säädöksen keskeiset osat, jotka koskevat (i) kaupparekistereiden yhteenliittämisen ja (ii) tietojen julkistamisen toteutustapoja, määritettäisiin myöhemmin delegoiduilla säädöksillä.

27. Näiden ehdotuksen keskeisten osien selkeyttäminen on ehdoton edellytys riittävien tietosuojatakeiden antamiselle. Sen vuoksi Euroopan tietosuojavaltuutettu suosittelee, että niistä säädetään suoraan ehdotetussa direktiivissä (ks. jäljempänä 3.4 ja 3.5 kohta).

3.4 Hallinnointi: ehdotetussa direktiivissä olisi selkeytettävä tehtäviä, valtuuksia ja vastuita

28. Ehdotuksessa mukaan sähköisen verkoston hallinnointia, hoitoa, toimintaa ja edustamista koskevat säännöt annetaan myöhemmin delegoiduilla säädöksillä (17).

29. Vaikutusten arvioinnissa ja ehdotuksen perusteluissa mainitaan joitakin IMI-järjestelmän ja Euroopan oikeusportaalin kanssa saatavia synergiaetuja. Itse direktiiviehdotuksessa mahdollistetaan joidenkin tai kaikkien näiden synergiaetujen toteuttamiseksi useita eri vaihtoehtoja, kuten EBR:n laajentaminen, IMI:n käyttö tiettyjen tietojen vaihdossa ja/tai Euroopan oikeusportaalin käyttö keskusjärjestelmänä/yhteyspisteenä, jonka kautta yleisö voi tutustua kaupparekisterien tietoihin.

30. Ehdotuksessa ei suljeta pois muita vaihtoehtoja, kuten tarjouskilpailun järjestämistä sopimuksen tekemiseksi verkoston kehittämis- ja ylläpito-oikeuksista tai komission valtuuttamista vastaamaan järjestelmän kehittämisestä ja ylläpidosta. Sen mukaan myös jäsenvaltioiden edustajat voivat osallistua sähköisen verkoston hallinnointirakenteeseen.

31. Vaikka ehdotuksessa nykyisessä muodossaan säädetään ”yhteisestä eurooppalaisesta sähköisestä järjestelmästä” (graafinen muokkaus lisätty), ei liioin ole täysin poissuljettua, että lainsäädäntömenettelyn myöhemmässä vaiheessa tekstiä vielä muutetaan hieman hajautetumman rakenteen mahdollistamiseksi.

32. Euroopan tietosuojavaltuutettu panee merkille, että vaikka nykyisessä ehdotuksessa ei nimenomaisesti säädetäkään kaupparekisterien yhteenliittämisestä muihin tietokantoihin (esim. maarekisterit tai siviilirekisterit), tämä on teknisesti täysin mahdollista, ja joissakin jäsenvaltioissa tähän on jo ryhdytty (18).

33. Sähköisen verkoston hallinnointirakenne ja tietojen julkistamisessa käytettävän sähköisen välineen rakenne voivat muodostua täysin erilaisiksi sen mukaan, mikä näistä vaihtoehdoista valitaan. Tämä puolestaan johtaa siihen, että järjestelmään osallistuvien osapuolten tehtävät ja vastuut muuttuvat, jolloin myös tietosuojaan liittyvissä tehtävissä ja vastuissa tapahtuu muutoksia.

34. Tältä osin Euroopan tietosuojavaltuutettu korostaa, että ”rekisterinpitäjän” oikea tunnistaminen on ratkaisevaa kaikissa tilanteissa, joissa käsitellään henkilötietoja. Tätä painotetaan myös 29 artiklan mukaisen tietosuojatyöryhmän käsitteistä ”rekisterinpitäjä” ja ”henkilötietojen käsittelijä” antamassa lausunnossa 1/2010 (19). Ennen kaikkea rekisterinpitäjän selkeä ja yksiselitteinen tunnistaminen on tärkeää siksi, että sen perusteella määräytyy, kuka tietosuojasääntöjen noudattamisesta on vastuussa ja minkä valtion lainsäädäntöä kulloinkin sovelletaan (20).

35. Kuten 29 artiklan mukaisen tietosuojatyöryhmän lausunnossa todetaan, ”jos ei tehdä riittävän selväksi, mitä kultakin osapuolelta vaaditaan – jos esimerkiksi vastuu ei kuulu kenellekään tai jos rekisterinpitäjiä on useita – on olemassa ilmeinen vaara, että kehitystä tapahtuu vähän, jos lainkaan, ja että säännökset jäävät tehottomiksi”.

36. Euroopan tietosuojavaltuutettu korostaa, että selkeyttä kaivataan erityisesti niissä tilanteissa, joissa yhteistyöhön osallistuu useita toimijoita. Näin on usein julkisiin tarkoituksiin perustetuissa EU:n tietojärjestelmissä silloin, kun tietojenkäsittelyn tarkoitus on määritelty EU:n lainsäädännössä.

37. Näistä syistä Euroopan tietosuojavaltuutettu suosittelee, että itse ehdotetun direktiivin tekstissä määritettäisiin nimenomaisesti, selkeästi ja yksiselitteisesti — ylläpitääkö sähköistä verkostoa komissio vai jokin kolmas osapuoli ja onko sen rakenne keskitetty vai hajautettu; — kunkin tietojenkäsittelyyn ja sähköisen verkoston hallinnointiin osallistuvan osapuolen, myös komission, jäsenvaltioiden edustajien, jäsenvaltioiden kaupparekisterien pitäjien ja mahdollisten kolmansien osapuolten tehtävät ja vastuut; ja — ehdotuksessa tarkoitetun sähköisen järjestelmän suhde muihin aloitteisiin, kuten IMI-järjestelmään, Euroopan oikeusportaaliin ja EBR-palveluun.

38. Tietosuojan kannalta näiden täsmennysten pitäisi olla mahdollisimman tarkkoja ja yksiselitteisiä, jotta ehdotetun direktiivin perusteella voitaisiin suoraan määrittää, onko jokin tietty toimija luokiteltava ”rekisterinpitäjäksi” vai ”henkilötietojen käsittelijäksi”.

39. Periaatteessa ehdotuksessa olisi nimenomaisesti säädettävä, että – kuten nykyisestä luonnoksesta kokonaisuutena tarkasteltuna voidaan päätellä – kaupparekisterien pitäjät ja järjestelmän ylläpitäjät on molemmat luokiteltava rekisterinpitäjiksi omien toimintojensa osalta. Koska ehdotuksessa ei nykyisessä muodossaan määritellä hallinnointirakennetta eikä nimetä sähköisen järjestelmän ylläpitäjiä, ei voida sulkea pois sitä, että jotkin järjestelmän käytännön ylläpidosta huolehtivista organisaatioista tai niiden työntekijöistä toimivat pikemminkin henkilötietojen käsittelijöinä kuin rekisterinpitäjinä. Näin voi käydä erityisesti silloin, kun ylläpito annetaan toimeksi ulkopuoliselle, joka toimii tiukasti sille annettujen ohjeiden mukaisesti. Rekisterinpitäjiä (kaupparekisteriä hoitavia organisaatioita) näyttää joka tapauksessa olevan lukuisia, vähintään yksi kussakin jäsenvaltiossa. Sillä, että ylläpitäjinä, ”jakelijoina” tai muissa tehtävissä voivat toimia muutkin (yksityiset) organisaatiot, ei ole tämän kannalta mitään merkitystä. Selkeyden ja oikeusvarmuuden vuoksi tätä näkökohtaa olisi joka tapauksessa täsmennettävä ehdotetussa direktiivissä.

40. Ennen kaikkea ehdotuksessa olisi kuvailtava nykyistä tarkemmin ja kattavammin, mitä vastuita näihin tehtäviin liittyy. Ehdotuksessa olisi esimerkiksi täsmennettävä, että ylläpitäjän tehtävänä on varmistaa, että yksityisyyden suoja otetaan huomioon järjestelmän suunnittelusta lähtien, sekä koordinoida tietosuojaan liittyviä näkökohtia.

41. Euroopan tietosuojavaltuutettu huomauttaa, että nämä täsmennykset ovat olennaisia myös sen määrittämiseksi, mitkä tietosuojavalvontaviranomaiset ovat kulloinkin toimivaltaisia ja minkälaisten henkilötietojen käsittelystä ne vastaavat.

3.5 Ehdotetussa direktiivissä olisi määriteltävä tietovirtojen/hallinnollisten yhteistyömenettelyjen puitteet ja oikeusperusta

42. Vaikuttaa siltä, että sähköisessä verkostossa ei nykyisessä muodossaan ole tarkoitus taata, että kuhunkin kaupparekisteriin tallennetut tiedot ovat automaattisesti muiden jäsenvaltioiden kaupparekisterien saatavilla. Ehdotuksessa velvoitetaan ainoastaan yhteenliittämään kaupparekisterit ja varmistamaan niiden yhteentoimivuus ja luodaan siten edellytykset tulevalle tietojenvaihdolle ja tietojen käytölle. Oikeusvarmuuden vuoksi ehdotuksessa olisi täsmennettävä, pitääkö tämä tulkinta paikkansa.

43. Ehdotuksessa ei liioin täsmennetä, minkälaisia tietovirtoja/hallinnollisia yhteistyömenettelyjä yhteenliitettyjen kaupparekisterien kautta on mahdollista toteuttaa (21). Euroopan tietosuojavaltuutettu ymmärtää, että joustoa tarvitaan, jotta voitaisiin vastata tulevaisuudessa mahdollisesti ilmeneviin tarpeisiin. Tietosuojavaltuutetun mielestä on kuitenkin tärkeää, että ehdotuksessa määritellään tarkat puitteet tietovirroille ja hallinnollisille yhteistyömenettelyille, joita sähköisessä verkostossa voidaan tulevaisuudessa toteuttaa. Tämä on erityisen tärkeää sen varmistamiseksi, että (i) kaikella tietojenvaihdolla on vankka oikeusperusta ja että (ii) tietojenvaihdolle on määritelty asianmukaiset tietosuojatakeet.

44. Euroopan tietosuojavaltuutetun näkemyksen mukaan sähköisessä verkostossa tapahtuvan tietojenvaihdon tai muun tietojenkäsittelyn (esim. henkilötietojen julkistaminen yhteisen järjestelmän/yhteyspisteen kautta) tulisi perustua sitovaan EU:n säädökseen, jolla on vankka oikeusperusta. Tästä olisi säädettävä selkeästi ehdotetussa direktiivissä (22).

3.6 Muut delegoiduilla säädöksillä määritettävät yksityiskohdat, joista olisi säädettävä suoraan ehdotetussa direktiivissä

45. Ehdotuksessa säädetään, että myös seuraavat yksityiskohdat määritetään delegoiduilla säädöksillä (23): — ehdot, joiden täyttyessä Euroopan talousalueen ulkopuoliset maat voivat osallistua sähköiseen verkostoon; — sähköisen verkoston vähimmäisturvallisuusstandardit; ja — sellaisten asiakirjojen ja tietojen säilyttämistä ja hakemista koskevien formaattien, sisältöjen ja rajojen määritteleminen, joka mahdollistaa automaattisen tietojenvaihdon.

46. Ensimmäisen ja toisen luetelmakohdan osalta, Euroopan tietosuojavaltuutettu katsoo, että tietyistä keskeisistä takeista olisi säädettävä suoraan ehdotetussa direktiivissä (ks. jäljempänä 3.12 ja 3.13 kohta). Yksityiskohdat voidaan määritellä myöhemmin delegoiduilla säädöksillä.

47. Automaattisen tietojenvaihdon osalta Euroopan tietosuojavaltuutettu pitää myönteisenä, että ehdotuksessa velvoitetaan määrittämään delegoiduilla säädöksillä ”sellainen asiakirjojen ja tietojen säilyttämistä ja hakemista koskevien formaattien, sisältöjen ja rajojen määritteleminen, joka mahdollistaa automaattisen tietojenvaihdon”.

48. Tilanteen selkeyttämiseksi Euroopan tietosuojavaltuutettu suosittaa, että itse ehdotetussa direktiivissä säädetään selkeästi, että sähköinen verkosto mahdollistaa (i) kaupparekisterien välisen tapauskohtaisen manuaalisen tietojenvaihdon (josta säädetään erikseen EU:n säädöksellä esimerkiksi sulautumisten tai kotipaikan siirtojen tapauksessa); ja (ii) automaattiset tiedonsiirrot (josta säädetään erikseen EU:n säädöksellä esimerkiksi ulkomaisten sivuliikkeiden kaupparekisterille päivitettävien tietojen tapauksessa).

49. Ehdotuksen selkeyttämiseksi Euroopan tietosuojavaltuutettu suosittelee, että direktiivin 2009/101/EY 4 a artiklan 3 kohdan i alakohtaan ehdotettua tekstiä muutetaan sen varmistamiseksi, että (i) delegoidut säädökset kattavat täysin sekä manuaalisen että automaattisen tietojenvaihdon ja (ii) kaiken sellaisen tietojenkäsittelyn, johon liittyy henkilötietojen käsittelyä (eikä pelkästään tietojen säilyttämistä ja hakemista); ja että (iii) delegoituihin säädöksiin sisällytetään erityiset tietosuojasäännökset, joilla taataan tietosuojatakeiden käytännön soveltaminen.

50. Edellä mainittua 4 a artiklan 3 kohdan i alakohtaa voitaisiin esimerkiksi muuttaa seuraavasti: ”(i) formaatit, sisältö ja rajat sellaiselle manuaaliselle tai automaattiselle tietojenvaihdolle, jossa käytetään verkostoa, verkostossa tapahtuva tietojen siirto, tallennus ja haku mukaan lukien; sekä erityistoimenpiteet, jotka voivat olla tarpeen asiaa koskevien tietosuojatakeiden käytännön soveltamisen takaamiseksi”.

3.7 Ehdotetussa direktiivissä olisi täsmennettävä käsiteltävien henkilötietojen ryhmät

51. Aivan aluksi Euroopan tietosuojavaltuutettu korostaa, että vaikka ilmeisimmät sähköisessä verkostossa käsiteltävät ja/tai yhteisen sähköisen keskusjärjestelmän/yhteyspisteen kautta julkistettavat tiedot ovat yhtiön edustajien (ja muiden yhtiön hallintoon osallistuvien henkilöiden) nimet (ja mahdolliset muut tiedot, kuten kotiosoite), nämä eivät suinkaan ole ainoita henkilötietoja, joita kaupparekistereihin voidaan tallentaa.

52. Ensinnä tietyt direktiivin 2009/101/EY 2 artiklassa luetellut asiakirjat (esim. perustamiskirja, yhtiöjärjestys ja tilinpäätösasiakirjat) voivat sisältää muiden henkilöiden henkilötietoja. Tällaisia tietoja ovat eri yksityishenkilöiden, kuten yhtiön perustajien, osakkaiden, lakimiesten, kirjanpitäjien, työntekijöiden tai julkisten notaarien nimet, osoitteet, mahdolliset tunnistenumerot ja syntymäajat ja jopa heidän skannatut allekirjoituksensa.

53. Toiseksi yhtiön tiedot voidaan jonkin tietyn henkilön (kuten johtajan) nimeen yhdistettynä luokitella tähän henkilöön liittyviksi henkilötiedoiksi. Jos esimerkiksi kaupparekisterin tiedoista ilmenee, että jokin tietty henkilö on selvitystilassa olevan yhtiön hallituksessa, nämä tiedot ovat merkittäviä myös kyseisen henkilön kannalta.

54. Jotta olisi täysin selvää, minkälaisia henkilötietoja järjestelmässä käsitellään, ja sen varmistamiseksi, että käsiteltävät henkilötietojen ryhmät ovat ehdotuksen tavoitteisiin nähden oikeasuhteiset, Euroopan tietosuojavaltuutettu suosittaa, että ehdotukseen tehdään jäljempänä 3.7 kohdassa esitetyt täsmennykset.

Ehdotetun direktiivin ilmausta ”henkilöiden henkilötiedot” olisi täsmennettävä

55. Direktiivin 2009/101/EY 2 artiklassa ei määritellä, minkälaisia ”henkilötietoja” kyseisistä henkilöistä (yhtiön edustajat ja muut yhtiön hallintoon osallistuvat henkilöt) on julkistettava.

56. Ehdotuksen eri kieliversioiden välillä on merkittäviä eroja ilmauksen ”henkilöiden henkilötiedot” käännöksissä. Esimerkiksi ranskankielisessä ehdotuksessa tämä ilmaus on muodossa ”l’identité des personnes” (henkilöiden henkilöllisyys), italiankielisessä versiossa ”le generalità delle persone” (henkilötiedot, kuten nimi ja sukunimi) unkarinkielisessä versiossa ”személyek adatai” (yksityishenkilöiden tiedot), hollanninkielisessä versiossa ”de identiteit van de personen” (henkilöiden henkilöllisyys) ja romaniankielisessä versiossa ”identitatea persoanelor” (henkilöiden henkilöllisyys).

57. Joissakin jäsenvaltioissa on aivan tavallista, että johtajien ja/tai muiden yksityishenkilöiden, kuten osakkaiden nimet julkistetaan Internetissä. Muissa jäsenvaltioissa kaupparekisterit taas pitävät nämä tiedot salassa luottamuksellisuuteen liittyvien ongelmien, kuten henkilöllisyysvarkauksien välttämiseksi.

58. Euroopan tietosuojavaltuutettu suosittaa, että direktiivin 2009/101/EY 2 artiklaa muutetaan täsmentämällä, onko asianomaisten henkilöiden (yhtiön edustajat ja muut sen hallintoon osallistuvat henkilöt) nimien lisäksi mahdollisesti julkistettava vielä muitakin henkilötietoja. Tässä yhteydessä olisi harkittava huolellisesti avoimuuden ja näiden henkilöiden oikean tunnistamisen tarvetta, mutta myös punnittava näitä tarpeita vastakkain muiden näkökohtien, kuten yksityisyyden suojan tarpeen kanssa (24).

59. Siltä varalta, että asiassa ei päästä yhteisymmärrykseen kansallisten käytäntöjen eroavaisuuksien vuoksi, 2 artiklassa olisi edellytettävä, että yhtiöt julkistavat vähintään ”asianomaisten henkilöiden koko nimen ja edellyttäen, että sitä nimenomaisesti edellytetään kansallisessa lainsäädännössä, muut näiden henkilöiden tunnistamiseksi tarvittavat tiedot”. Näin käy täysin selväksi, että kukin jäsenvaltio voi vapaasti määrittää kansallisessa lainsäädännössään, mitä muita ”henkilötietoja” nimen lisäksi on mahdollisesti julkistettava, ja että näiden tietojen julkistamista edellytetään vain, jos se on tarpeen kyseisten henkilöiden tunnistamiseksi.

60. Vaihtoehtoisesti, ja kun otetaan huomioon, että 2 artiklan tarkoituksena on luetella kaupparekistereihin annettavat ”vähimmäistiedot” eikä yhdenmukaistaa kaupparekisterien sisältöä EU:ssa, ilmaus ”henkilöiden henkilötiedot” voitaisiin yksinkertaisesti korvata ilmauksella ”henkilöiden koko nimet”. Näin kukin jäsenvaltio voisi vapaasti päättää, mitä muita tietoja se mahdollisesti haluaa julkistaa.

Ilmausta ”hallinto, johto tai valvonta” olisi täsmennettävä

61. Direktiivin 2009/101/EY 2 artiklassa velvoitetaan myös julkistamaan tiedot henkilöistä, jotka osallistuvat yhtiön ”hallintoon, johtoon tai valvontaan”. Näin väljästi muotoiltuna artiklasta ei käy täysin selvästi ilmi, onko yhtiöiden julkistettava tiedot kaikista osakkaistaan ja erityisesti osakkaista, joilla on (i) tietyn raja-arvon ylittävä merkittävä, vaikuttava tai määräävä osuus yhtiöstä tai jotka (ii) etuoikeutettujen osakkeiden tai erityisten sopimusjärjestelyjen perusteella tai muutoin käyttävät yhtiössä tosiasiallista määräys- tai vaikutusvaltaa.

62. Euroopan tietosuojavaltuutettu ymmärtää, että väljä muotoilu on tarpeen, jotta säännös kattaisi eri jäsenvaltioissa nykyisin käytössä olevat osakeyhtiörakenteet, joita on lukuisia. Tietosuojan kannalta on kuitenkin olennaista taata oikeusvarmuus siitä, minkä henkilöryhmien tietoja voidaan julkistaa. Euroopan tietosuojavaltuutettu kehottaakin muuttamaan direktiivin 2009/101/EY 2 artiklaa sen täsmentämiseksi, onko osakkaista mahdollisesti julkistettava henkilötietoja. Tässä yhteydessä on myös tehtävä asiassa Schecke annetussa tuomiossa tarkoitettu oikeasuhteisuuden arviointi (kuten edellä todettiin).

Muiden kuin vähimmäistietojen julkistaminen; mustat listat

63. Vaikka ehdotuksessa ei velvoiteta vaihtamaan tai julkistamaan muita henkilötietoja kuin direktiivin 2009/101/EY 2 artiklassa vaaditut vähimmäistiedot, siinä ei myöskään suljeta pois jäsenvaltioiden mahdollisuutta edellyttää, että niiden kaupparekisterit käsittelevät tai julkistavat myös muita henkilötietoja ja asettavat ne saataville yhteisen eurooppalaisen keskusjärjestelmän/yhteyspisteen välityksellä ja/tai vaihtavat näitä tietoja muiden jäsenvaltioiden yritysrekisterien kanssa.

64. Tämä on kuitenkin arkaluonteinen kysymys ”mustien listojen” takia. Joissakin maissa sähköiset rekisterit nimittäin toimivat tosiasiallisesti ”mustina listoina”, joista kuka tahansa voi hakea sähköisen portaalin kautta tietoja esimerkiksi sellaisten yhtiöiden edustajista, jotka on asetettu toimintakieltoon.

65. Tämän ongelman ratkaisemiseksi Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa täsmennetään, voivatko jäsenvaltiot julkistaa yhteisen portaalin kautta myös muita tietoja, ja jos voivat, niin missä määrin, ja/tai voivatko ne halutessaan vaihtaa keskenään muita tietoja omien lainsäädäntöjensä nojalla. Tässä tapauksessa jäsenvaltioilta olisi edellytettävä tiukkaa oikeasuhteisuuden arviointia (ks. em. asia Schecke), jonka olisi perustuttava kansalliseen lainsäädäntöön ja jossa olisi otettava asianmukaisesti huomioon myös sisämarkkinoiden tavoitteet.

66. Lisäksi Euroopan tietosuojavaltuutettu ehdottaa, että kansallisille tietosuojavaltuutetuille annettaisiin mahdollisuus vaikuttaa tällaisten toimivaltuuksien käyttöön esimerkiksi antamalla lausuntoja.

67. Edelleen Euroopan tietosuojavaltuutettu korostaa, että jos eurooppalaisessa järjestelmässä voidaan joskus tulevaisuudessa nimenomaisesti edellyttää tällaisia ”mustia listoja”, siitä olisi säädettävä nimenomaisesti ehdotetussa direktiivissä (25).

3.8 Takeet tietojen käyttötarkoituksen rajoittamisesta: takeet tietojen haravoinnin, tiedonlouhinnan, tietojen yhdistämisen ja organisaatiorakenteen yli menevien tiedonhakujen estämisestä

68. Euroopan tietosuojavaltuutettu suosittelee säätämään ehdotetussa direktiivissä nimenomaisesti, että kaupparekisterien on kaikissa niissä tapauksissa, joissa ne julkistavat tai vaihtavat keskenään henkilötietoja, annettava asianmukaiset takeet etenkin tietojen haravoinnin, tiedonlouhinnan, tietojen yhdistelyn ja organisaatiorakenteen yli menevien tiedonhakujen estämisestä, jotta avoimuuden vuoksi julkistettuja henkilötietoja ei käytettäisi muihin, asiaankuulumattomiin tarkoituksiin (26).

69. Euroopan tietosuojavaltuutettu korostaa erityisesti tarvetta harkita sellaisia teknisiä ja organisatorisia toimenpiteitä, joissa noudatetaan sisäänrakennetun yksityisyyden suojan periaatetta (ks. jäljempänä 3.14 kohta). Takeiden käytännön soveltamisesta voidaan säätää myöhemmin delegoiduissa säädöksissä. Itse periaatteista olisi kuitenkin säädettävä suoraan direktiivissä.

3.9 Rekisteröidylle tiedottaminen ja avoimuus

70. Euroopan tietosuojavaltuutettu suosittelee sisällyttämään ehdotettuun direktiiviin erityissäännöksen, jossa velvoitetaan antamaan rekisteröidyille direktiivin 95/46/EY 10 ja 11 artiklassa (ja soveltuvin osin asetuksen (EY) N:o 45/2001 asiaa koskevissa säännöksissä) tarkoitetut tiedot tehokkaalla ja kattavalla tavalla. Sovittavasta hallinnointirakenteesta ja siihen osallistuvien osapuolten tehtävistä ja velvollisuuksista riippuen ehdotetussa direktiivissä voidaan lisäksi edellyttää nimenomaisesti, että järjestelmän ylläpitäjä antaa oma-aloitteisesti rekisteröidyille ilmoituksia ja muita tietoja verkkosivuillaan, myös kaupparekisterien ”puolesta”. Lisäsäännöksiä voidaan tarvittaessa antaa delegoiduilla säädöksillä tai ne voidaan jättää määritettäväksi tietosuojapolitiikassa.

3.10 Tiedonsaantioikeus ja tietojen oikaiseminen ja poistaminen

71. Ehdotukseen olisi lisättävä ainakin viittaus velvoitteeseen antaa (delegoiduilla säädöksillä) yksityiskohtaiset säännöt järjestelyistä, joilla mahdollistetaan se, että rekisteröidyt voivat asianmukaisesti käyttää oikeuksiaan. Lisäksi ehdotuksessa olisi viitattava mahdollisuuteen rakentaa tietosuojamoduuli sekä mahdollisuuteen toteuttaa viranomaisten välisessä yhteistyössä sisäänrakennettuun yksityisyyden suojaan liittyviä ratkaisuja, jotka koskevat käyttöoikeuksia sekä tarvittaessa ”rekisteröityjen valtuuttamista”.

3.11 Sovellettava lainsäädäntö

72. Koska on mahdollista, että sähköisessä verkostossa voi käsitellä henkilötietoja myös komissio tai muu EU:n toimielin/elin (esim. toimiessaan verkoston ylläpitäjänä tai hakiessaan sieltä henkilötietoja), ehdotuksessa olisi viitattava myös asetukseen (EY) N:o 45/2001.

73. Lisäksi olisi täsmennettävä, että direktiiviä 95/46/EY sovelletaan kaupparekistereihin sekä muihin jäsenvaltioissa kansallisen lainsäädännön nojalla toimiviin osapuoliin, kun taas asetusta (EY) N:o 45/2001 sovelletaan komissioon ja muihin EU:n toimielimiin ja elimiin.

3.12 Henkilötietojen välittäminen kolmansiin maihin

74. Siltä osin kuin on kyse henkilötietojen siirrosta EU:n kaupparekisteristä sellaisen kolmannen maan kaupparekisteriin, joka ei takaa henkilötietojen suojan riittävää tasoa, Euroopan tietosuojavaltuutettu korostaa, että on tärkeää erottaa toisistaan — tapaukset, joissa henkilötiedot ovat ennestään yleisesti saatavilla rekisterissä (yhteisen eurooppalaisen keskusjärjestelmän/yhteyspisteen kautta), ja — tapaukset, joissa henkilötiedot eivät ole yleisesti saatavilla.

75. Ensiksi mainituissa tapauksissa direktiivin 95/46/EY 26 artiklan 1 kohdan f alakohdassa sallitaan poikkeukset, jos ”siirto tehdään [julkisesta] rekisteristä” tiettyjen edellytysten täyttyessä. Jos esimerkiksi EU:n jäsenvaltion kaupparekisterin pitäjä haluaa siirtää jonkin tietyn henkilötietojen kokoelman (esim. ulkomaisten sivukonttoreiden rekisteröintiin liittyvät tiedot) kolmannen maan kaupparekisterin pitäjälle ja jos samat tiedot ovat joka tapauksessa yleisesti saatavilla, siirron pitäisi olla mahdollista, vaikka kyseisessä kolmannessa maassa ei taatakaan tietosuojan riittävää tasoa.

76. Jälkimmäisissä tapauksissa Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa täsmennetään, että muita kuin yleisesti saatavilla olevia tietoja voidaan välittää organisaatioille tai henkilöille sellaiseen kolmanteen maahan, jossa ei taata tietosuojan riittävää tasoa, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja -vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta. Nämä takeet voivat erityisesti johtua direktiivin 95/46/EY 26 artiklan 2 kohdassa tarkoitetuista soveltuvista sopimuslausekkeista (27). Tapauksissa, joissa tietojen siirtoon kolmansiin maihin liittyy järjestelmällistä tietojenvaihtoa kahden tai usean EU:n jäsenvaltion kaupparekisterien välillä tai joissa EU:n tason toimenpiteet ovat muista syistä aiheellisia, sopimuslausekkeista voitaisiin neuvotella myös EU:n tasolla (26 artiklan 4 alakohta).

77. Euroopan tietosuojavaltuutettu korostaa, että muita poikkeuksia, kuten sitä, jonka mukaan henkilötietoja voidaan siirtää, jos ”siirto on tarpeen tai laissa edellytetty joko tärkeän yleisen edun johdosta taikka oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi tuomioistuimessa” (26 artiklan d alakohta), ei pitäisi käyttää perusteena tietojen järjestelmälliselle siirrolle kolmansiin maihin sähköisen verkoston kautta.

3.13 Tilivelvollisuus ja sisäänrakennettu yksityisyyden suoja

78. Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa viitataan nimenomaisesti tilivelvollisuuden periaatteeseen ja velvoitetaan soveltamaan sitä (28) sekä määritetään selkeät puitesäännöt sellaisille asianmukaisille sisäisille menettelyille ja valvontajärjestelmille, joilla varmistetaan tietosuojavaatimusten noudattaminen ja näytön saaminen niiden noudattamisesta. Tällaisissa puitesäännöissä voitaisiin esimerkiksi velvoittaa — arvioimaan järjestelmän vaikutukset yksityisyyden suojaan ennen sen suunnittelua (turvallisuusriskianalyysi mukaan luettuna); — laatimaan ja tarvittaessa ajantasaistamaan muodollinen tietosuojapolitiikka, johon sisältyy myös turvallisuussuunnitelma; — tekemään säännöllisesti tarkastuksia tietosuoja- ja turvallisuuspolitiikan riittävyyden ja jatkuvan noudattamisen arvioimiseksi; — julkaisemaan tarkastusten tulokset (tai ainakin osa niistä), jotta sidosryhmät saadaan vakuuttuneiksi tietosuojavaatimusten noudattamisesta; ja — ilmoittamaan tietosuojaloukkauksista ja muista vaaratilanteista.

79. Lisäksi ehdotuksessa olisi viitattava nimenomaisesti sisäänrakennetun yksityisyyden suojan (29) periaatteeseen ja muunnettava tämä sitoumus konkreettisiksi toimenpiteiksi. Ehdotuksessa olisi erityisesti edellytettävä, että sähköisestä verkostosta suunnitellaan turvallinen ja vakaa ja että siihen sisällytetään jo oletusarvoisesti laajat yksityisyyden takeet. Seuraavassa on joitakin esimerkkejä tällaisista takeista: — hajautettu lähestymistapa, jossa tietoja tallennetaan ainoastaan ”kantarekisteriin” ja kukin tietojen ”jakelija” hakee tietoja vain tästä ”kantarekisteristä” (sen varmistamiseksi, että tiedot ovat ajantasaisia); — automaattiset prosessit epäjohdonmukaisuuksien ja virheiden havaitsemiseksi tiedoissa; — rajoitetut hakutoiminnot vain sellaisten tietojen indeksoimiseksi, jotka ovat tarkoitukseensa nähden oikeasuhteisia ja asianmukaisia; — muut takeet massalatauksen, tiedonlouhinnan ja organisaatiorakenteen yli menevien hakujen estämiseksi/rajoittamiseksi ja tietojen käyttötarkoituksen rajoittamiseksi; takeet, joilla estetään tai rajoitetaan ulkopuolisten mahdollisuuksia käyttää hakuliittymää tietojen haravointiin ja henkilöiden profilointiin (esim. ”captcha” (30) tai maksullinen rekisteröityminen); — sisäänrakennetut järjestelmätoiminnot, joilla autetaan rekisteröityjä käyttämään oikeuksiaan tehokkaasti; sisäänrakennetut toiminnot, joiden avulla kaupparekisterit voivat koordinoida keskenään rekisteröityjen tiedonsaantipyyntöjä; — menettelyt tietojen käsittelemiseksi sellaisista tiedonhakijoista, jotka ovat ladanneet tietoja julkisesta rekisteristä turvallisella ja yksityisyyttä suojaavalla tavalla; ja — tarkastus-/jäljitysmekanismit.

IV PÄÄTELMÄT

80. Euroopan tietosuojavaltuutettu tukee ehdotuksen tavoitteita. Hänen huomautuksiaan on tarkasteltava tämän rakentavan lähestymistavan valossa.

81. Euroopan tietosuojavaltuutettu korostaa, että tarvittavia tietosuojatakeita on pidettävä säädöksen keskeisinä osina ja että niistä on sen vuoksi säädettävä selkeästi ja nimenomaisesti suoraan itse direktiivissä. Erityisten takeiden täytäntöönpanoon liittyvistä yksityiskohdista voidaan myöhemmin antaa lisäsäännöksiä delegoiduilla säädöksillä.

82. Ehdotetussa direktiivissä olisi käsiteltävä hallinnointiin, tehtäviin, toimivaltuuksiin ja vastuisiin liittyviä näkökohtia. Tätä varten siinä olisi täsmennettävä: — ylläpitääkö sähköistä verkostoa komissio vai jokin kolmas osapuoli ja onko sen rakenne keskitetty vai hajautettu; — kunkin tietojenkäsittelyyn ja sähköisen verkoston hallinnointiin osallistuvan osapuolen, myös komission, jäsenvaltioiden edustajien, jäsenvaltioiden kaupparekisterien pitäjien ja mahdollisten kolmansien osapuolten tehtävät ja vastuut; — ehdotuksessa tarkoitetun sähköisen järjestelmän suhde muihin aloitteisiin, kuten IMI-järjestelmään, Euroopan oikeusportaaliin ja EBR-palveluun; ja — tarkat ja yksiselitteiset perusteet sen määrittämiseksi, luokitellaanko jokin tietty toimija ”rekisterinpitäjäksi” vai ”henkilötietojen käsittelijäksi”.

83. Kaiken sähköisessä verkostossa tapahtuvan tietojenkäsittelyn on perustuttava sitovaan oikeudelliseen välineeseen, kuten unionin erityissäädökseen, jolla on vankka oikeusperusta. Tästä olisi säädettävä selkeästi ehdotetussa direktiivissä.

84. Sovellettavaa lainsäädäntöä koskevia säännöksiä olisi täsmennettävä, ja niihin olisi sisällytettävä viittaus asetukseen (EY) N:o 45/2001.

85. Siltä osin kuin on kyse henkilötietojen siirrosta kolmansiin maihin, ehdotuksessa olisi täsmennettävä, että periaatteessa ja direktiivin 95/46/EY 26 artiklan 1 kohdan f alakohdassa säädettyjä poikkeustapauksia lukuun ottamatta tietoja voidaan välittää yhteisöille tai henkilöille sellaiseen kolmanteen maahan, jossa ei taata tietosuojan riittävää tasoa, vain, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja -vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta. Nämä takeet voivat erityisesti johtua direktiivin 95/46/EY 26 artiklassa tarkoitetuista soveltuvista sopimuslausekkeista.

86. Lisäksi komission olisi huolellisesti arvioitava, mitä teknisiä ja organisatorisia toimenpiteitä voitaisiin toteuttaa sen varmistamiseksi, että yksityisyys ja tietosuoja ”rakennetaan sisään” sähköisen verkoston arkkitehtuuriin (”sisäänrakennettu yksityisyyden suoja”) ja että käytössä ovat riittävät valvontajärjestelmät, joilla varmistetaan tietosuojasääntöjen noudattaminen ja näytön saaminen niiden noudattamisesta (”tilivelvollisuus”).

87. Lisäksi Euroopan tietosuojavaltuutettu suosittelee seuraavaa: — ehdotetussa direktiivissä olisi täsmennettävä selvästi, että sähköisen verkoston on mahdollistettava (i) tapauskohtainen manuaalinen tietojenvaihto kaupparekisterien välillä; ja (ii) automaattinen tiedonsiirto. Lisäksi ehdotusta olisi muutettava sen varmistamiseksi, että (i) delegoidut säädökset kattavat täysin sekä manuaalisen että automaattisen tietojenvaihdon ja (ii) kaiken sellaisen tietojenkäsittelyn, joihin liittyy henkilötietojen käsittelyä (eikä pelkästään tietojen säilyttämistä ja hakemista); ja että (iii) delegoituihin säädöksiin sisällytetään erityiset tietosuojasäännökset, joilla taataan tietosuojatakeiden käytännön soveltaminen; — ehdotuksessa olisi muutettava direktiivin 2009/101/EY 2 artiklaa sen täsmentämiseksi, onko nimien lisäksi julkistettava mahdollisesti muitakin henkilötietoja. Lisäksi olisi täsmennettävä, onko myös osakkaita koskevat tiedot julkistettava. Tässä yhteydessä olisi harkittava huolellisesti avoimuuden ja näiden henkilöiden oikean tunnistamisen tarvetta, mutta myös punnittava näitä tarpeita vastakkain muiden näkökohtien, kuten yksityisyyden suojan tarpeen kanssa; — ehdotuksessa olisi täsmennettävä, voivatko jäsenvaltiot kansallisten lainsäädäntöjensä perusteella julkistaa yhteisen portaalin kautta (ja/tai vaihtaa keskenään) enemmänkin tietoja edellyttäen, että ne noudattavat tietosuojaa koskevia lisätakeita; — ehdotetussa direktiivissä olisi säädettävä nimenomaisesti, että avoimuuden vuoksi julkistettuja henkilötietoja ei saa käyttää muihin, asiaankuulumattomiin tarkoituksiin ja että tässä yhteydessä olisi toteutettava teknisiä ja organisatorisia toimenpiteitä, joissa noudatetaan sisäänrakennetun yksityisyyden suojan periaatetta; — ehdotukseen olisi myös sisällytettävä erityiset takeet rekisteröidyille ilmoittamisesta, ja siinä olisi velvoitettava antamaan delegoiduilla säädöksillä yksityiskohtaiset säännöt järjestelyistä, joilla mahdollistetaan se, että rekisteröidyt voivat asianmukaisesti käyttää oikeuksiaan.

Tehty Brysselissä 6 päivänä toukokuuta 2011. Giovanni BUTTARELLI Apulaistietosuojavaltuutettu

(1) EYVL L 281, 23.11.1995, s. 31.

(2) EYVL L 8, 12.1.2001, s. 1.

(3) ”Keskus-, kauppa- ja yhtiörekistereitä” nimitetään lausunnossa lyhyesti ”kaupparekistereiksi”.

(4) Niiden takeiden yhteensovittamisesta samanveroisiksi, joita jäsenvaltioissa vaaditaan perustamissopimuksen 48 artiklan toisessa kohdassa tarkoitetuilta yhtiöiltä niiden jäsenten sekä ulkopuolisten etujen suojaamiseksi 16 päivänä syyskuuta 2009 annettu Euroopan parlamentin ja neuvoston direktiivi 2009/101/EY (EUVL L 258, 1.10.2009, s. 11).

(5) Julkistamisvaatimuksista, jotka koskevat toisen valtion lainsäädännön alaisten, yhtiömuodoltaan tietynlaisten yhtiöiden jäsenvaltioon avaamia sivuliikkeitä, 21 päivänä joulukuuta 1989 annettu yhdestoista neuvoston direktiivi 89/666/ETY (EYVL L 395, 30.12.1989, s. 36).

(6) Pääomayhtiöiden rajatylittävistä sulautumisista 26 päivänä lokakuuta 2005 annettu Euroopan parlamentin ja neuvoston direktiivi 2005/56/EY (EUVL L 310, 25.11.2005, s. 1).

(7) Edellä alaviitteessä 4 mainittu direktiivi 2009/101/EY. Sen 1 artiklan mukaan direktiivin säännösten soveltamisalaan kuuluvat vain osakeyhtiö ja julkinen osakeyhtiö (”companies incorporated with limited liability”).

(8) Neuvoston direktiivin 68/151/ETY muuttamisesta yhtiömuodoltaan tietynlaisia yhtiöitä koskevien julkistamisvaatimusten osalta 15 päivänä heinäkuuta 2003 annettu Euroopan parlamentin ja neuvoston direktiivi 2003/58/EY (EYVL L 221, 4.9.2003, s. 13).

(9) Edellä alaviitteessä 6 mainittu direktiivi 2005/56/EY.

(10) Eurooppayhtiön (SE) säännöistä 8 päivänä lokakuuta 2001 annettu asetus (EY) N:o 2001/2157 (EYVL L 294, 10.11.2001, s. 1).

(11) Eurooppaosuuskunnan (SCE) säännöistä 18 päivänä elokuuta 2003 annettu asetus (EY) N:o 2003/1435 (EYVL L 207, 18.8.2003, s. 1).

(12) http://www.ebr.org/

(13) http://www.briteproject.eu

(14) https://e-justice.europa.eu/home.do

(15) http://ec.europa.eu/internal_market/imi-net/index_en.html

(16) Tällaisten yritystietojen myynti muodostaa kasvavat markkinat, joilla palveluntarjoajat mittaavat yritysten/yksityishenkilöiden luotettavuutta useista eri lähteistä, kuten kaupparekistereistä, tuomiorekistereistä ja maksukyvyttömyysrekistereistä poimimiensa tietojen perusteella.

(17) Ks. ehdotus direktiivin 2009/101/EY 4 a artiklan 3 kohdan a alakohdaksi.

(18) Koska ehdotuksessa ei nykyisellään säädetä mitään yhteenliittämisestä, Euroopan tietosuojavaltuutettu ei tässä vaiheessa käsittele niitä tämän tarkemmin. Hän kuitenkin huomauttaa, että jos yhteenliittämistä harkitaan, se saattaa edellyttää erillistä oikeasuhteisuuden arviointia ja asianmukaisten tietosuojaa koskevien lisätakeiden määrittämistä.

(19) Ks. sekä direktiivin 95/46/EY että asetuksen (EY) N:o 45/2001 2 artiklan d ja e kohta ja 29 artiklan mukaisen tietosuojatyöryhmän antama lausunto 1/2010 käsitteistä ”rekisterinpitäjä” ja ”henkilötietojen käsittelijä”, (WP 169), 16. helmikuuta 2010.

(20) Koska tietosuojalainsäädäntöjä ei ole kaikilta osin yhdenmukaistettu EU:ssa, rekisterinpitäjän tunnistaminen on olennaista määritettäessä, mitä kansallista lainsäädäntöä on kulloinkin sovellettava. Yhtä tärkeää se on määritettäessä, sovelletaanko kyseisessä tapauksessa direktiiviä 95/46/EY vai asetusta (EY) N:o 45/2001. Jos nimittäin komissio toimii (myös) rekisterinpitäjänä, on sovellettava (myös) asetusta (EY) N:o 45/2001, kuten jäljempänä 3.11 kohdassa selitetään.

(21) Lukuun ottamatta tietyiltä osin rajatylittäviin sulautumisiin, yhtiön kotipaikan siirtoihin ja sivuliikkeitä koskevien tietojen päivityksiin liittyvää tietojenvaihtoa, josta säädetään nimenomaisesti direktiiviehdotuksessa.

(22) Siltä varalta, että sisämarkkinoiden alueella ilmenee tarve tietojenkäsittelyyn, josta ei säädetä nimenomaisesti unionin erityissäädöksessä, Euroopan tietosuojavaltuutettu kehottaa pohtimaan edellytyksiä sellaiselle lainsäädäntökehykselle, joka mahdollistaisi (kenties perustamissopimuksen yleisiin määräyksiin yhdistettynä) erityissäännösten antamisen ehdotetussa direktiivissä ja myöhemmissä delegoiduissa säädöksissä, jotta tällaiselle tietojenkäsittelylle voitaisiin tarjota tietosuojan näkökulmasta asianmukainen oikeusperusta. Ehdotetussa direktiivissä olisi myös täsmennettävä, voivatko kaupparekisterit käyttää sähköistä verkostoa ja yhteyspistettä sellaiseen henkilötietojen vaihtoon tai julkistamiseen, josta ei säädetä unionin säädöksessä, mutta joka sallitaan tai jota edellytetään kansallisessa lainsäädännössä.

(23) Ks. ehdotus direktiivin 2009/101/EY 4 a artiklan 3 kohdaksi.

(24) Oikeasuhteisuuden arvioinnissa olisi otettava huomioon erityisesti Euroopan yhteisöjen tuomioistuimen yhdistetyissä asioissa C-92/09 ja C-93/09, Schecke and Eifert antamassa tuomiossa (tuomio 9 päivänä marraskuuta 2010; ks. erityisesti 81, 65 ja 86 kohta) vahvistetut kriteerit. Kyseisessä tuomiossa korostetaan, että henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on täysin välttämätöntä. Lisäksi siinä todetaan, että toimielinten olisi pohdittava sellaisia yksityiskohtaisia sääntöjä, jotka olisivat tällaisen julkistamisen tavoitteen mukaisia ja joilla samalla loukattaisiin vähiten rekisteröityjen oikeutta yksityiselämään yleensä ja erityisesti heidän oikeuttaan henkilötietojen suojaan.

(25) Koska ehdotuksessa ei nykyisellään säädetä mitään mustista listoista, Euroopan tietosuojavaltuutettu ei tässä vaiheessa käsittele niitä tarkemmin. Hän kuitenkin huomauttaa, että jos mustia listoja harkitaan, tämä saattaa edellyttää erillistä oikeasuhteisuuden arviointia ja asianmukaisten tietosuojaa koskevien lisätakeiden määrittämistä.

(26) Ks. direktiivin 95/46/EY 6 artiklan b alakohta ja asetus (EY) N:o 45/2001.

(27) Sikäli kuin on mahdollista, että komissio voi joissakin tapauksissa olla yksi niistä toimijoista, jotka välittävät tietoja kolmansiin maihin, ehdotukseen olisi lisättävä viittaus myös asetuksen (EY) N:o 45/2001 9 artiklan 1 ja 7 kohtaan.

(28) Ks. Euroopan tietosuojavaltuutetun lausunto komission tiedonannosta Euroopan parlamentille, neuvostolle, talous- ja sosiaalikomitealle ja alueiden komitealle – ”Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa”, 14. tammikuuta 2011, 7 kohta; http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf

(29) Edellä alaviitteessä 28 mainittu lausunto.

(30) ”Captcha” on käyttäjän tunnistautumisessa käytettävä haaste-vastetesti, jolla pyritään varmistamaan, että käyttäjänä ei ole tietokone.