Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta, joka koskee EU:n ja Yhdistyneen kuningaskunnan kauppasopimuksen sekä EU:n ja Yhdistyneen kuningaskunnan turvallisuusluokiteltujen tietojen vaihtoa koskevan sopimuksen tekemistä

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivuilla www.edps.europa.eu)

(2021/C 168/02)

Euroopan komissio antoi 26. joulukuuta 2020 ehdotuksen neuvoston päätökseksi Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen kauppa- ja yhteistyösopimuksen sekä turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavia turvallisuusmenettelyjä koskevan Euroopan unionin sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen sopimuksen tekemisestä unionin puolesta.

Koska EU:n ja Yhdistyneen kuningaskunnan välisen tiiviin yhteistyön odotetaan jatkuvan, Euroopan tietosuojavaltuutettu suhtautuu myönteisesti sopimuksiin, jotka unioni ja Yhdistynyt kuningaskunta ovat allekirjoittaneet kaupasta ja yhteistyöstä sekä turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavista turvallisuusmenettelyistä. Hän on erityisen tyytyväinen etenkin siihen, että yksi kauppa- ja yhteistyösopimuksen olennaisista osista on ihmisoikeuksien kunnioittaminen ja suojaaminen. Hän suhtautuu myönteisesti myös osapuolten kauppa- ja yhteistyösopimuksessa antamaan sitoumukseen varmistaa henkilötietojen suojan korkea taso.

Euroopan tietosuojavaltuutettu on tietoinen erityisistä olosuhteista, joissa nämä sopimukset on neuvoteltu, sekä Yhdistyneen kuningaskunnan ja EU:n erityisestä aiemmasta ja tulevasta suhteesta.

Kauppaa koskevien säännösten osalta Euroopan tietosuojavaltuutettu pitää valitettavana, että kauppa- ja yhteistyösopimukseen ei ole sisällytetty suoraan Euroopan komission vuonna 2018 hyväksymiä horisontaalisia EU:n määräyksiä rajat ylittävistä tietovirroista ja henkilötietojen ja yksityisyyden suojasta EU:n kauppasopimusten sähköistä kaupankäyntiä koskevassa osastossa. Näihin horisontaalisiin määräyksiin tehdyt muutokset sekä muut kauppa- ja yhteistyösopimuksen säännökset herättävätkin epäilyksen siitä, pysyykö EU sähköisen kaupankäynnin alalla riippumattomana tietosuojaa ja yksityisyyden suojaa koskevien perusoikeuksien osalta.

Euroopan tietosuojavaltuutettu on pitkään ollut sitä mieltä, että henkilötietojen suoja on unionin perusoikeus eikä siitä voida neuvotella EU:n kauppasopimusten yhteydessä. Yksin EU voi päättää, miten perusoikeuksien suoja pannaan täytäntöön unionin lainsäädännössä. Unioni ei voi eikä sen pitäisi tehdä mitään kansainvälistä kauppaa koskevia sitoumuksia, jotka eivät ole yhdenmukaisia sen oman tietosuojalainsäädännön kanssa. Tietosuojaa koskevat vuoropuhelut ja kauppaneuvottelut kolmansien maiden kanssa voivat täydentää toisiaan, mutta ne on tehtävä erillään. Henkilötietojen siirrot EU:n ja kolmansien maiden välillä on tehtävä käyttämällä EU:n tietosuojalainsäädännössä säädettyjä mekanismeja. Euroopan tietosuojavaltuutettu kehottaa siksi komissiota vahvistamaan uudelleen olevansa sitoutunut siihen, että horisontaaliset määräykset ovat ainoa perusta tulevissa kauppasopimuksissa, joita EU tekee kolmansien maiden kanssa, ja että henkilötietojen suojasta ja oikeudesta yksityisyyteen ei neuvotella.

Rikosoikeuden alan lainvalvonta- ja oikeusyhteistyön osalta Euroopan tietosuojavaltuutettu kiittää komissiota tietosuojaa koskevista suojatoimista, jotka on otettu käyttöön kauppa- ja yhteistyösopimuksessa. Ne ovat erityisen tärkeitä tämän yhteistyön arkaluonteisuuden vuoksi. Hän pitää kuitenkin valitettavana, että tiettyjä suojatoimia mukana ei ole yleisissä säännöksissä eikä etenkään Prümin sopimusta koskevassa osiossa. Yleisissä säännöksissä ei myöskään erotella rekisteröityjen ryhmiä lainvalvontadirektiivin 6 artiklan mukaisesti eikä esitetä yksityiskohtaisempia ja vankempia suojatoimia tietojen siirtämiselle edelleen. Euroopan tietosuojavaltuutettu olisi myös toivonut, että matkustajarekisteritietojen poistamista koskeva siirtymäkausi olisi mahdollista kolmea vuotta lyhyempi ja että niihin kuuluisi luettelo vakavista rikoksista. Hän suosittelee lisäksi varmistamaan, että kaikki EU:n jäsenvaltioiden väliseen Prüm-mekanismiin tehtävät tulevat muutokset, joilla lisätään suojatoimia, otetaan sopimuksessa täysin huomioon ja molemmat osapuolet panevat ne tosiasiallisesti täytäntöön.

Henkilötietojen toimittamista EU:sta Yhdistyneeseen kuningaskuntaan koskevan väliaikaisen määräyksen osalta Euroopan tietosuojavaltuutettu korostaa, että tämän mekanismin pitäisi säilyä poikkeuksena eikä siitä pitäisi tehdä ennakkotapausta muiden kolmansien maiden kanssa tehtäviä tulevia kauppa- ja yhteistyösopimuksia varten.

Euroopan tietosuojavaltuutettu odottaa, että häntä kuullaan SEUT-sopimuksen 218 artiklan mukaisesti kaikista neuvostolle annettavista ehdotuksista tai suosituksista, jotka koskevat myöhempiä lisäsopimuksia koskevien neuvottelujen aloittamista, jos ne vaikuttavat ihmisten oikeuksien ja vapauksien suojeluun henkilötietojen käsittelyn osalta.

Näyttää myös siltä, että kauppa- ja yhteistyösopimus on laadittu olettaen, että tietosuojan riittävyydestä tehdään yleisen tietosuoja-asetuksen ja lainvalvontadirektiivin mukaiset päätökset (ja että ne pysyvät voimassa ennakoitavassa olevassa tulevaisuudessa). Euroopan tietosuojavaltuutettu haluaa siksi muistuttaa lausunnossa 2/2020 antamastaan suosituksesta, jonka mukaan unionin on ryhdyttävä toimenpiteisiin ollakseen valmistautunut kaikkeen mahdolliseen, jos tietosuojan riittävyyttä koskevaa päätöstä ei tehdä lainkaan tai jos se tehtäisiin vain tiettyjen alueiden osalta.

1. JOHDANTO

1. Euroopan unioni (EU) ja Ison-Britannian ja Pohjois-Irlannin yhdistynyt kuningaskunta allekirjoittivat 30. joulukuuta 2020 kauppa- ja yhteistyösopimuksen ja sopimuksen turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavista turvallisuusmenettelyistä ( 1 )

2. Sopimuksia on sovellettu väliaikaisesti 1. tammikuuta 2021 alkaen, kunnes niiden voimaantulon edellyttämät menettelyt saadaan päätökseen ( 2 ) . Kauppa- ja yhteistyösopimuksen mukaan tämä väliaikainen soveltaminen päättyy viimeistään 28. helmikuuta 2021 tai muuna kumppanuusneuvoston päättämänä päivämääränä ( 3 )

3. Euroopan komissio kuuli 25. tammikuuta 2021 Euroopan tietosuojavaltuutettua komission ehdotuksesta neuvoston päätökseksi näiden kahden sopimuksen tekemisestä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan kanssa ( 4 ) asetuksen (EU) N:o 2018/1725 42 artiklan 1 kohdan mukaisesti. Molemmat sopimukset ovat ehdotuksen liitteenä.

4. Ehdotus perustuu Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 217 artiklassa ja 218 artiklan 6 ja 7 kohdassa ja 218 artiklan 8 kohdan toisessa alakohdassa esitettyyn menettelyyn. Näin ollen se edellyttää Euroopan parlamentin suostumusta.

5. Turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavia turvallisuusmenettelyjä koskevasta sopimuksesta ei ole huomautuksia henkilötietojen suojan osalta. Seuraavissa huomautuksissa keskitytään näin ollen kauppa- ja yhteistyösopimukseen. Kauppa- ja yhteistyösopimuksessa on seitsemän osaa (sekä useita liitteitä ja kolme pöytäkirjaa): ensimmäinen osa yhteisistä ja institutionaalisista määräyksistä, toinen osa kaupasta (myös sähköisestä kaupankäynnistä), liikenteestä, kalastuksesta ja muista järjestelyistä, kolmas osa lainvalvonta- ja oikeusyhteistyöstä rikosasioissa, neljäs osa temaattisesta yhteistyöstä, viides osa unionin ohjelmiin osallistumisesta, moitteettomasta varainhoidosta ja rahoitusta koskevista määräyksistä, kuudes osa riitojenratkaisusta ja horisontaalisista määräyksistä ja seitsemäs osa loppumääräyksistä.

4. PÄÄTELMÄT

37. Euroopan tietosuojavaltuutettu suhtautuu myönteisesti EU:n ja Yhdistyneen kuningaskunnan välillä aikaansaatuihin sopimuksiin kaupasta ja yhteistyöstä sekä turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavista turvallisuusmenettelyistä. Hän on erityisen tyytyväinen etenkin siihen, että yksi kauppa- ja yhteistyösopimuksen olennaisista osista on ihmisoikeuksien kunnioittaminen ja suojaaminen. Hän suhtautuu myönteisesti myös osapuolten kauppa- ja yhteistyösopimuksessa antamaan sitoumukseen varmistaa henkilötietojen suojan korkea taso.

38. Kaupankäynnin osalta Euroopan komission vuonna 2018 hyväksymiin horisontaalisiin määräyksiin tehdyt muutokset sekä muut kauppa- ja yhteistyösopimuksen säännökset herättävät kuitenkin epäilyksen siitä, pysyykö EU sähköisen kaupankäynnin alalla riippumattomana tietosuojaa ja yksityisyyden suojaa koskevien perusoikeuksien osalta. Euroopan tietosuojavaltuutettu suosittelee siksi, että Yhdistyneen kuningaskunnan kanssa tietosuojasta ja yksityisyyden suojasta sovittu sanamuoto pysyy poikkeuksena eikä se ole perusta tuleville kauppasopimuksille muiden kolmansien maiden kanssa. Jotta tämä lähestymistapa voidaan tehdä selväksi kaikille sidosryhmille ja kauppakumppaneille, Euroopan tietosuojavaltuutettu kehottaa komissiota vahvistamaan uudelleen olevansa sitoutunut siihen, että horisontaalisuus on ainoa perusta tulevissa kauppasopimuksissa, joita EU tekee kolmansien maiden kanssa, ja että henkilötietojen suojasta ja oikeudesta yksityisyyteen ei neuvotella.

39. Rikosoikeuden alan lainvalvonta- ja oikeusyhteistyön osalta Euroopan tietosuojavaltuutettu kiittää komissiota tietosuojaa koskevista suojatoimista, jotka on otettu käyttöön kauppa- ja yhteistyösopimuksessa. Ne ovat erityisen tärkeitä tämän yhteistyön arkaluonteisuuden vuoksi. Hän pitää kuitenkin valitettavana, että siinä ei erotella rekisteröityjen ryhmiä lainvalvontadirektiivin 6 artiklan mukaisesti eikä siinä esitetä yksityiskohtaisempia ja vankempia suojatoimia tietojen siirtämiselle edelleen. Vaikka Euroopan tietosuojavaltuutettu suhtautuu myönteisesti siihen, että matkustajarekisteriä koskevat säännökset perustuvat unionin tuomioistuimen lausuntoon 1/15, hän pitää valitettavana, että lyhyemmästä siirtymäkaudesta matkustajarekisteritietojen poistamiselle ja yhteisestä luettelosta vakaville rikoksille ei ole pystytty sopimaan. Hän suosittelee myös varmistamaan, että kaikki EU:n jäsenvaltioiden väliseen Prüm-mekanismiin tehtävät tulevat muutokset, joilla lisätään suojatoimia, otetaan sopimuksessa täysin huomioon ja molemmat osapuolet panevat ne tosiasiallisesti täytäntöön. Lisäksi hän pitää valitettavana, että kauppa- ja yhteistyösopimukseen ei ole sisällytetty nimenomaisia EU:n säännöksiä tietojen käyttötarkoitussidonnaisuudesta ja täsmällisyydestä, tosiasiasiallisesta merkityksestä ja säilyttämisen kestosta.

40. Tietojen toimittamista koskevan mekanismin osalta Euroopan tietosuojavaltuutettu korostaa, että tämän mekanismin pitäisi säilyä poikkeuksena eikä siitä pitäisi tehdä ennakkotapausta muiden kolmansien maiden kanssa tehtäviä tulevia kauppa- ja yhteistyösopimuksia varten.

41. Euroopan tietosuojavaltuutettu odottaa, että häntä kuullaan SEUT-sopimuksen 218 artiklan mukaisesti kaikista neuvostolle annettavista ehdotuksista tai suosituksista, jotka koskevat myöhempiä lisäsopimuksia koskevien neuvottelujen aloittamista, jos ne vaikuttavat ihmisten oikeuksien ja vapauksien suojeluun henkilötietojen käsittelyn osalta.

42. Euroopan tietosuojavaltuutetun mielestä näyttää myös siltä, että kauppa- ja yhteistyösopimus on laadittu olettaen, että tietosuojan riittävyydestä tehdään yleisen tietosuoja-asetuksen ja lainvalvontadirektiivin mukaiset päätökset (ja että ne pysyvät voimassa ennakoitavassa olevassa tulevaisuudessa). Hän haluaa siksi muistuttaa lausunnossa 2/2020 antamastaan suosituksesta, jonka mukaan unionin on ryhdyttävä toimenpiteisiin ollakseen valmistautunut kaikkeen mahdolliseen, jos tietosuojan riittävyyttä koskevaa päätöstä ei tehdä lainkaan tai jos se tehtäisiin vain tiettyjen alueiden osalta.

Brysselissä 22. helmikuuta 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Ks. neuvoston päätös (EU) 2020/2252, annettu 29. joulukuuta 2020, Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen kauppa- ja yhteistyösopimuksen sekä turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavia turvallisuusmenettelyjä koskevan Euroopan unionin sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen sopimuksen allekirjoittamisesta unionin puolesta ja niiden väliaikaisesta soveltamisesta (EUVL L 444, 31.12.2020, s. 2), ja sopimukset (EUVL L 444, 31.12.2020, s. 14 ja EUVL L 444, 31.12.2020, s. 1463). Lisäksi Euroopan atomienergiayhteisö (Euratom) ja Yhdistynyt kuningaskunta neuvottelivat yhteistyösopimuksen ydinenergian turvallisesta ja rauhanomaisesta käytöstä. Ks. neuvoston päätös (Euratom) 2020/2253, annettu 29 päivänä joulukuuta 2020, hyväksynnän antamisesta sille, että Euroopan komissio tekee ydinenergian turvallista ja rauhanomaista käyttöä koskevaa yhteistyötä koskevan Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan hallituksen ja Euroopan atomienergiayhteisön välisen sopimuksen ja että Euroopan komissio tekee Euroopan atomienergiayhteisön puolesta Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen kauppa- ja yhteistyösopimuksen (EUVL L 444, 31.12.2020, s. 11).

(2) Ks. neuvoston päätös, annettu 29. joulukuuta 2020, EU:n ja Yhdistyneen kuningaskunnan välisen kauppa- ja yhteistyösopimuksen ja tietoturvallisuussopimuksen allekirjoittamisesta unionin puolesta ja niiden väliaikaisesta soveltamisesta. Ks. myös tiedonanto molempien sopimusten väliaikaisesta soveltamisesta (EUVL L 1, 1.1.2021, s. 1).

(3) Kumppanuusneuvostossa on Euroopan unionin ja Yhdistyneen kuningaskunnan edustajia, ja sen yhteispuheenjohtajia ovat komission jäsen ja Yhdistyneen kuningaskunnan hallituksen edustaja. Komission on määrä edustaa Euroopan unionia. Kukin jäsenvaltio voi lähettää EU:n valtuuskuntaan yhden edustajan.

(4) COM(2020)856.