Muiden kuin henkilötietojen vapaata liikkuvuutta koskeva asetus koskee vain ”muita kuin henkilötietoja” yleisen tietosuoja-asetuksen määritelmän mukaisesti. Yleisellä tietosuoja-asetuksella säännellään henkilötietojen käsittelyä, ja se on olennainen osa EU:n tietosuojakehystä. Asetus tuli jäsenvaltioissa voimaan 25. toukokuuta 2018. Yleisessä tietosuoja-asetuksessa esitetään yhdenmukaistetut säännöt, joilla suojellaan ihmisiä EU-/ETA-alueella heidän henkilötietojensa käsittelyssä ja kyseisten tietojen vapaassa liikkuvuudessa. Siinä i) eritellään, mitkä tiedot ovat henkilötietoja, ii) vahvistetaan oikeusperusta niiden käsittelylle ja iii) määritetään oikeudet ja velvollisuudet, joita on noudatettava kyseisten tietojen käsittelyssä, sekä muita säännöksiä. Yleisen tietosuoja-asetuksen henkilötietojen vapaan liikkuvuuden periaatetta koskevassa 1 artiklan 3 kohdassa säädetään, että ”henkilötietojen vapaata liikkuvuutta unionin sisällä ei saa rajoittaa eikä kieltää syistä, jotka liittyvät luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä”.

Koska henkilötietojen määritelmässä viitataan ”luonnollisiin henkilöihin”, oikeushenkilöiden nimiä ja yhteystietoja sisältävät tietojoukot ovat periaatteessa muita kuin henkilötietoja. Tietyissä tapauksissa ne kuitenkin voivat olla henkilötietoja. Näin on esimerkiksi silloin, jos oikeushenkilön nimi on sama kuin sen omistavan luonnollisen henkilön tai jos tiedot voidaan yhdistää tunnistettuihin tai tunnistettavissa oleviin luonnollisiin henkilöihin.

Tämä henkilötietojen laaja määritelmä on tarkoituksellinen, ja se on pysynyt yleisessä tietosuoja-asetuksessa olennaisilta osiltaan samana edelliseen lainsäädäntöön verrattuna. Henkilötietojen määritelmän eri osia, kuten ilmaisuja ”kaikki tiedot”, ”liittyvä”, ”tunnistettu tai tunnistettavissa oleva”, käsiteltiin jo 29 artiklan mukaisen työryhmän 20 päivänä kesäkuuta 2007 henkilötietojen käsitteestä antamassa lausunnossa 4/2007, WP 136.

·pankin tietojoukot, erityisesti ne, joissa on asiakas- ja tapahtumatietoja, kuten maksupalvelut (luotto- ja maksukortit), osakkuussuhteiden hallintasovellukset ja lainasopimukset, sekä asiakirjat, joissa on sekä luonnollisia henkilöitä että oikeushenkilöitä koskevia tietoja

Yhdistelmätietojoukoissa on sekä henkilötietoja että muita kuin henkilötietoja. Valtaosa datataloudessa käytettävistä tietojoukoista on tietojoukkojen yhdistelmiä. Se on yleistä esineiden internetin (eli digitaalisesti yhdistettyjen esineiden), tekoälyn sekä massadatan analysoinnin mahdollistavien teknologioiden ja muun teknisen kehityksen ansiosta.

Käytännön esimerkki: EU:ssa toimiva yhtiö tarjoaa palveluitaan jonkin alustan kautta. Asiakasyritykset lataavat alustalle yhdistelmätietojoukkoja sisältäviä asiakirjojaan. Asiakirjoja portaaliin lataava yritys on ”rekisterinpitäjä”, ja sen on varmistettava, että tietojen käsittelyssä noudatetaan yleistä tietosuoja-asetusta. Kun palveluja tarjoava yhtiö (”henkilötietojen käsittelijä”) käsittelee tietojoukkoa rekisterinpitäjän puolesta, sen on tallennettava tiedot ja käsiteltävä niitä yleisen tietosuoja-asetuksen mukaisesti. Sen on esimerkiksi varmistettava, että tiedoille taataan asianmukaisen suojan taso, muun muassa salauksen avulla.

Käsitettä ”liittyvät erottamattomasti toisiinsa” ei määritellä kummassakaan asetuksessa. Käytännössä sillä voidaan viitata tilanteeseen, jossa tietojoukko sisältää henkilötietoja sekä muita kuin henkilötietoja ja näiden kahden erottaminen joko olisi mahdotonta tai rekisterinpitäjä katsoisi sen olevan taloudellisesti tehotonta tai teknisesti toteuttamiskelvotonta. Kun yhtiö esimerkiksi ostaa asiakassuhteiden hallintajärjestelmiä tai myynnin raportointijärjestelmiä, sen ohjelmistokustannukset kaksinkertaistuisivat, jos se ostaisi erillisen ohjelmiston asiakassuhteiden hallintajärjestelmää (henkilötiedot) ja asiakassuhteiden hallintatietoihin perustuvaa myynnin raportointijärjestelmää (koostetut tiedot / muut kuin henkilötiedot) varten.

Tietojoukon erottaminen todennäköisesti vähentää myös tietojoukon arvoa huomattavasti. Lisäksi tietojen luonteen muuttumisen vuoksi (ks. kohta 2.1) on vaikeampaa eritellä eri tietoluokkia selkeästi ja siten erottaa niitä toisistaan.

On tärkeää panna merkille, että kummassakaan asetuksessa yrityksiä ei velvoiteta erottamaan tietojoukkoja, joista ne pitävät rekisteriä tai joita ne käsittelevät.

Siksi yhdistelmätietojoukkoihin sovelletaan tavallisesti rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia, ja niiden osalta noudatetaan yleisessä tietosuoja-asetuksessa vahvistettuja rekisteröidyn oikeuksia.

Terveystietojen käsittely Yhdistelmätietojoukkoon voi kuulua terveystietoja. Näitä ovat muun muassa sähköisen terveydenhuollon rekisterit, kliinisiä kokeita koskevat tiedot tai erilaisilla terveys- ja hyvinvointisovelluksilla kerätyt tietoaineistot (esim. sovellukset, joilla mitataan terveydentilaa, muistutetaan lääkkeiden ottamisesta tai seurataan kunnon edistymistä). Teknisen kehityksen myötä henkilötietojen ja muiden kuin henkilötietojen välinen ero muuttuu näissä tietojoukoissa yhä epäselvemmäksi. Siksi niiden käsittelyssä on noudatettava yleistä tietosuoja-asetusta ja (koska terveystiedot ovat kyseisen asetuksen mukaan erityinen tietoryhmä) erityisesti sen 9 artiklaa, jossa kielletään yleisesti erityisten tietoryhmien käsittely ja esitetään poikkeukset tästä kiellosta. Terveystietoja sisältävien yhdistelmätietojoukkojen tiedot voivat olla arvokas tietolähde esimerkiksi lääketieteellisissä lisätutkimuksissa, määrätyn lääkkeen sivuvaikutusten mittaamisessa, sairauksia koskevissa tilastoissa tai uusien terveydenhuoltopalvelujen tai hoitojen kehittämisessä. Yleistä tietosuoja-asetusta on kuitenkin noudatettava kyseisten tietojen alustavissa käsittelytoimissa sekä niiden myöhempää käsittelyä koskevissa toimissa. Kaikelle tällaiselle terveystietojen käsittelylle on siksi oltava voimassa oleva oikeusperusta ja asianmukaiset perustelut. Käsittelyn on myös oltava turvallista, ja sitä varten on oltava olemassa asianmukaiset suojatoimet.

Lisäksi on olennaisen tärkeää, että luonnollisilla henkilöillä ja yrityksillä on oikeusvarmuus ja luottamus tietojen käsittelyyn. Tämä on ratkaisevan tärkeää myös datataloudelle. Näiden seikkojen toteutuminen varmistetaan näillä kahdella asetuksella, ja niissä molemmissa pyritään olemaan muuttamatta tietojen vapaata liikkuvuutta.

3 Tietojen vapaa liikkuvuus ja tietojen sijaintia koskevien vaatimusten poistaminen

Tässä jaksossa selitetään muiden kuin henkilötietojen vapaasta liikkuvuudesta annetussa asetuksessa määriteltyä ’tietojen sijaintia koskevan vaatimuksen’ käsitettä sekä yleisen tietosuoja-asetuksen mukaista vapaan liikkuvuuden periaatetta. Vaikka asetusten säännökset koskevat nimenomaan jäsenvaltioita, myös yrityksille voi olla hyödyllistä saada tarkempi kuva siitä, miten näillä kahdella asetuksella edistetään kaikkien tietojen vapaata liikkuvuutta EU:ssa.

3.1 Muiden kuin henkilötietojen vapaa liikkuvuus

Muiden kuin henkilötietojen vapaata liikkuvuutta koskevassa asetuksessa säädetään, että ”tietojen sijaintia koskevat vaatimukset kielletään, elleivät ne ole suhteellisuusperiaatetta noudattaen perusteltuja yleistä turvallisuutta koskevien syiden vuoksi”.

Tietojen sijaintia koskevalla vaatimuksella tarkoitetaan ”velvoitetta, kieltoa, ehtoa, rajoitusta tai muuta vaatimusta, josta säädetään jäsenvaltion laeissa, asetuksissa tai hallinnollisissa määräyksissä tai joka on seurausta jäsenvaltiossa ja julkisoikeudellisissa laitoksissa, myös julkisiin hankintoihin liittyvissä elimissä – tämän kuitenkaan vaikuttamatta direktiivin 2014/24/EU soveltamiseen – sovelletuista yleisistä ja johdonmukaisista hallinnollisista käytännöistä ja jonka mukaan tietojenkäsittelyn on tapahduttava tietyn jäsenvaltion alueella tai joka muodostaa esteen tietojenkäsittelylle jossain muussa jäsenvaltiossa”.

Määritelmä tuo esiin, että tietojen vapaata liikkuvuutta EU:ssa rajoittavat toimenpiteet voivat olla erimuotoisia. Niitä voidaan asettaa laeissa tai hallinnollisissa asetuksissa ja määräyksissä tai ne voivat jopa olla seurausta yleisistä ja yhdenmukaisista hallinnollisista käytännöistä. Tietojen sijaintia koskevan vaatimuksen kieltäminen koskee lisäksi sekä suoria että välillisiä toimenpiteitä, joilla rajoitettaisiin muiden kuin henkilötietojen vapaata liikkuvuutta.

Suorat tietojen sijaintia koskevat vaatimukset voivat koostua esimerkiksi velvollisuudesta tallentaa tietoja tiettyyn maantieteelliseen paikkaan (palvelinten on esimerkiksi sijaittava tietyssä jäsenvaltiossa) tai velvollisuudesta noudattaa yksilöllisiä kansallisia teknisiä vaatimuksia (tiedoissa on esimerkiksi noudatettava tiettyjä kansallisia muotoja).

Välillisillä tietojen sijaintia koskevilla vaatimuksilla, jotka muodostaisivat esteen muiden kuin henkilötietojen käsittelylle muissa jäsenvaltioissa, voi olla eri muotoja. Niihin voi kuulua vaatimuksia käyttää teknisiä välineitä, jotka ovat sertifioituja tai hyväksyttyjä tietyssä jäsenvaltiossa, tai muita vaatimuksia, joiden seurauksena tietojenkäsittely tietyn maantieteellisen alueen ulkopuolella unionissa vaikeutuu.

Kun arvioidaan, onko tietty toimenpide välillinen tietojen sijaintia koskeva vaatimus, on otettava huomioon kunkin tapauksen erityisolosuhteet.

Muiden kuin henkilötietojen vapaata liikkuvuutta koskevassa asetuksessa viitataan yleisen turvallisuuden käsitteeseen sellaisena kuin Euroopan unionin tuomioistuin sitä tulkitsee. Yleisen turvallisuuden käsite ”kattaa sekä jäsenvaltion sisäisen että sen ulkoisen turvallisuuden samoin kuin yleiseen turvallisuuteen liittyvät kysymykset erityisesti rikosten tutkimisen, selvittämisen ja syytteeseen asettamisen helpottamiseksi. Sillä viitataan yhteiskunnan perustavanlaatuista etua uhkaavaan todelliseen ja riittävän vakavaan vaaraan, kuten valtion elinten ja keskeisten julkisten palvelujen toimintaan ja väestön eloonjäämiseen kohdistuvaan uhkaan, sekä ulkosuhteiden tai kansojen rauhanomaisen rinnakkaiselon vakavan häiriintymisen vaaraan tai sotilaallisiin etuihin kohdistuvaan uhkaan.”