Komission tiedonanto Euroopan parlamentille ja neuvostolle

Tietosuojasäännöt luottamuksen rakentajana EU:ssa ja sen ulkopuolella – tilannekatsaus

I.Johdanto

Yleistä tietosuoja-asetusta, jäljempänä ’asetus’, on sovellettu yli vuoden ajan koko Euroopan unionissa. Asetus on keskeinen osa johdonmukaista ja uudistettua EU:n tietosuojakokonaisuutta, joka sisältää myös lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojaa koskevan direktiivin ja unionin toimielinten, elinten ja laitosten tietosuoja-asetuksen. Kehystä täydennetään vielä sähköisen viestinnän tietosuoja-asetuksella, jonka lainsäädäntömenettely on parhaillaan meneillään.

Vahvoja tietosuojasääntöjä tarvitaan, jotta voidaan taata perusoikeus henkilötietojen suojaan. Tietosuojasäännöillä on keskeinen merkitys demokraattisessa yhteiskunnassa, ja ne ovat tärkeä osa yhä datavetoisemmaksi muuttuvaa taloutta. EU pyrkii hyödyntämään digitalisaation tarjoamat lukuisat palveluihin, työpaikkoihin ja innovointiin liittyvät mahdollisuudet, mutta samaan aikaan se puuttuu myös niistä aiheutuviin haasteisiin. Julkisessa keskustelussa tuodaan yhä enemmän esiin tietoturvaongelmia, joista vain muutamia esimerkkejä ovat identiteettivarkaudet, arkaluonteisten tietojen vuodot, henkilöiden syrjintä, sisäänrakennetut vääristymät, laittoman sisällön jakaminen ja tungettelevien valvontaohjelmien kehittäminen. Keskustelussa käy selväksi, että ihmiset odottavat, että heidän tietonsa suojataan.

Tietosuojasta on tullut aidosti maailmanlaajuinen ilmiö, sillä ihmiset eri puolilla maailmaa vaalivat ja arvostavat yhä enemmän tietojensa suojaamista ja turvallisuutta. Monet valtiot ovat jo ottaneet tai ovat parhaillaan ottamassa käyttöön kattavia tietosuojasääntöjä, jotka perustuvat samankaltaisiin periaatteisiin kuin EU:n tietosuoja-asetus. Näin tietosuojasäännöt lähentyvät toisiaan maailmanlaajuisesti. Tämä tarjoaa uusia mahdollisuuksia helpottaa kaupallisten toimijoiden tai viranomaisten välisiä tietovirtoja. Samalla voidaan parantaa henkilötietojen suojan tasoa EU:ssa ja muualla maailmassa.

Tietosuojaan suhtaudutaan vakavammin kuin koskaan aiemmin, ja sillä on laaja-alaisia vaikutuksia eri sidosryhmiin ja toimialoihin. Komission vakaana tavoitteena on saada uusi tietosuojajärjestelmä onnistuneesti käyttöön EU:ssa ja tukea sen kaikkien osa-alueiden täyden toimintavalmiuden saavuttamista. Tässä tiedonannossa komissio tarkastelee tuloksia, jotka on tähän mennessä saavutettu tietosuojasääntöjen yhdenmukaisessa täytäntöönpanossa koko EU:ssa, uuden hallintojärjestelmän toimintaa, kansalaisiin ja yrityksiin kohdistuneita vaikutuksia sekä EU:n toimia tietosuojajärjestelmien maailmanlaajuisen lähentymisen edistämiseksi. Tiedonanto on jatkoa tammikuussa 2018 annetulle asetuksen soveltamista koskevalle komission tiedonannolle. Siinä on hyödynnetty eri sidosryhmistä koostuneen asiantuntijaryhmän työtä, erityisesti ryhmän panosta tilannekatsaukseen ensimmäisen soveltamisvuoden jälkeen, sekä komission 13. kesäkuuta 2019 järjestämässä tilannekatsaustapahtumassa käytyjä keskusteluja. Lisäksi tätä tiedonantoa hyödynnetään arvioinnissa, joka komission on määrä toteuttaa toukokuuhun 2020 mennessä.

Tietosuojaa koskeva EU:n oikeuskehys on yksi kulmakivistä EU:n toimintamallissa, jossa innovointia lähestytään ihmiskeskeisesti. Siitä on tulossa osa toimintapolitiikkojen sääntelykenttää, joka kattaa laajenevasti muun muassa terveyden ja tutkimuksen, tekoälyn, liikenteen, energian, kilpailun ja lainvalvonnan. Komissio on johdonmukaisesti korostanut uusien tietosuojasääntöjen asianmukaisen täytäntöönpanon ja noudattamisen valvonnan merkitystä, mikä käy ilmi tammikuussa 2018 annetusta asetuksen soveltamista koskevasta komission tiedonannosta sekä syyskuussa 2018 julkaistuista komission ohjeista, jotka koskevat henkilötietojen käyttöä vaalien yhteydessä. Nyt annettavaa tiedonantoa laadittaessa tämän tavoitteen saavuttamisessa on edistytty huomattavasti, mutta lisätoimia tarvitaan vielä, jotta asetus toimisi kaikilta osin käytännössä.

II.Yksi maanosa, yksi lainsäädäntö periaate: tietosuojakehys on käytössä jäsenvaltioissa

Yksi asetuksen keskeisistä tavoitteista oli päästä eroon toimintaympäristön hajanaisuudesta, sillä edellisen tietosuojadirektiivin aikana toimintaympäristöön kuului 28 erilaista kansallista lakia, ja tuoda oikeusvarmuutta yksilöille ja yrityksille koko EU:ssa. Tämä tavoite on pääosin saavutettu.

Oikeuskehyksen yhdenmukaistaminen

Vaikka asetusta sovelletaan sellaisenaan jäsenvaltioissa, siinä edellytetään, että jäsenvaltiot toteuttavat joitakin oikeudellisia toimia kansallisella tasolla. Jäsenvaltioiden täytyi muun muassa perustaa kansalliset tietosuojaviranomaiset ja myöntää niille tarvittavat valtuudet, vahvistaa säännöt, jotka koskevat erityiskysymyksiä, kuten henkilötietojen suojan sekä sananvapauden ja tiedonvälityksen vapauden yhteensovittamista, sekä muuttaa alakohtaista lainsäädäntöä, johon liittyy tietosuojanäkökohtia, tai kumota se. Tätä tiedonantoa laadittaessa kaikki jäsenvaltiot kolmea lukuun ottamatta ovat päivittäneet kansallisen tietosuojalakinsa. Alakohtaisten lakien mukauttaminen on yhä kesken kansallisella tasolla. Sen jälkeen kun asetus sisällytettiin Euroopan talousalueesta tehtyyn sopimukseen, sitä alettiin soveltaa myös Norjaan, Islantiin ja Liechtensteiniin, jotka ovat niin ikään hyväksyneet omat kansalliset tietosuojalakinsa.

Sidosryhmät vaativat kuitenkin jopa tiukempaa yhdenmukaistamista tietyissä asioissa. Asetuksella annetaankin jäsenvaltioille jonkin verran liikkumavaraa täsmentää sen soveltamista tietyiltä osin. Tällaisia seikkoja ovat esimerkiksi ikäraja, jonka mukaisesti lapset saavat antaa suostumuksensa verkkopalveluihin, ja henkilötietojen käsittely lääketieteen ja kansanterveyden kaltaisilla aloilla. Jäsenvaltioiden toimia sääntelee tässä yhteydessä kaksi tekijää:

I)kaikkien kansallisten täsmentävien säädösten on oltava perusoikeuskirjan mukaisia (eivätkä ne saa mennä perusoikeuskirjaan perustuvassa asetuksessa säädettyjä rajoja pidemmälle)

II)toimet eivät saa heikentää henkilötietojen vapaata liikkuvuutta EU:ssa.

Jäsenvaltiot ovat joissakin tapauksissa ottaneet asetuksen lisäksi käyttöön kansallisia vaatimuksia, erityisesti antamalla useita alakohtaisia lakeja. Tämä aiheuttaa hajanaisuutta ja tarpeettomia rasitteita. Yksi esimerkki jäsenvaltioiden asetuksen lisäksi käyttöön ottamista vaatimuksista on Saksan lainsäädännössä vahvistettu velvollisuus nimittää tietosuojavastaava kaikkiin vähintään 20 työntekijän yrityksiin, jotka suorittavat jatkuvasti henkilötietojen automaattista käsittelyä.

Toimien jatkaminen yhdenmukaistamisen edistämiseksi

Komissio käy kansallisten viranomaisten kanssa kahdenvälisiä vuoropuheluja, joissa se kiinnittää erityistä huomiota seuraaviin seikkoihin liittyviin kansallisiin toimiin:

·ovatko tietosuojaviranomaiset tosiasiallisesti riippumattomia, eli onko niillä muun muassa tarvittavat taloudelliset, tekniset ja henkilöstöresurssit