Tiivistelmä Euroopan tietosuojavaltuutetun lausunnosta, joka koskee ehdotusta asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) No 909/2014 muuttamisesta

(Koko lausunto on luettavissa englanniksi, ranskaksi ja saksaksi Euroopan tietosuojavaltuutetun verkkosivuilla www.edps.europa.eu)

(2021/C 229/05)

Euroopan komissio antoi 24. syyskuuta 2020 ehdotuksen asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) No 909/2014 muuttamisesta, jäljempänä ”ehdotus”. Ehdotuksessa laaditaan kattava kehys EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä varten. Se perustuu viiteen keskeiseen osa-alueeseen, joita ovat TVT-riskinhallinta (II luku), poikkeamien hallinta, luokittelu ja raportointi (III luku), digitaalisen häiriönsietokyvyn testaus (IV luku), kolmansiin osapuoliin liittyvän riskin hallinta ja kriittisten TVT-palveluntarjoajien sääntely (V luku) sekä tietojenvaihto (VI luku).

Euroopan tietosuojavaltuutettu suhtautuu ehdotukseen myönteisesti ja katsoo, että Euroopan unionin finanssimarkkinoiden vakaudelle on olennaisen tärkeää, että finanssilaitokset voivat luottaa vankkaan, kattavaan ja hyvin dokumentoituun TVT-riskinhallintajärjestelmään.

Euroopan tietosuojavaltuutettu korostaa, että on tärkeää varmistaa, että kaikki finanssiyhteisöjen toiminnan yhteydessä tehdyt käsittelytoimet perustuvat yleisen tietosuoja-asetuksen 6 artiklassa asetettuun oikeusperustaan (1). Euroopan tietosuojavaltuutettu korostaa myös, että finanssiyhteisöjen on tärkeää sisällyttää digitaalista häiriönsietokykyä koskevaan kehykseensä vahva tietosuojan hallintamekanismi, jossa määritetään selkeästi rekisterinpitäjän ja henkilötietojen käsittelijän tehtävät ja vastuut sekä toteutettavat käsittelytoimet.

Kolmanteen maahan sijoittautuneille TVT-palveluntarjoajina oleville kolmansille osapuolille tehtävien kansainvälisten siirtojen osalta Euroopan tietosuojavaltuutettu muistuttaa, että kaikissa henkilötietojen kansainvälisissä siirroissa on noudatettava yleisen tietosuoja-asetuksen V luvun vaatimuksia sellaisina kuin niitä on tulkittu Euroopan unionin tuomioistuimen oikeuskäytännössä, muun muassa asiassa Schrems II annetussa tuomiossa.

Tiedustelutietojen ja kyberuhkaa koskevien tietojen vaihtamista finanssiyhteisöjen kesken koskevien järjestelyjen osalta Euroopan tietosuojavaltuutettu korostaa, että henkilötietojen suoja ei ole esteenä tiedustelutietojen vaihtamiselle finanssialalla. Tietosuojavaatimuksia olisi pikemminkin pidettävä perusvaatimuksina, joita on noudatettava yksilöiden oikeuksien suojaamisen varmistamiseksi. Euroopan tietosuojavaltuutettu kannustaa tässä yhteydessä myös finanssialaa hyväksymään käytännesäännöt yleisen tietosuoja-asetuksen 40 artiklan mukaisesti. Siten voidaan etenkin määrittää henkilötietojen käsittelyn keskeisten sidosryhmien roolit ja varmistaa oikeudenmukainen ja avoin käsittely.

Hallinnollisten seuraamusten julkaisemisen osalta Euroopan tietosuojavaltuutettu suosittelee, että yksityishenkilöiden henkilötietojen suojaan liittyvät riskit sisällytetään kriteereihin, jotka toimivaltaisen viranomaisen on otettava huomioon. Euroopan tietosuojavaltuutettu muistuttaa myös, että säilytyksen rajoittamista koskevan periaatteen mukaisesti henkilötietoja ei pidä säilyttää kauemmin kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

Tietoturvaloukkauksista ilmoittamisen osalta Euroopan tietosuojavaltuutettu korostaa, että ehdotuksen johdanto-osan 42 kappaleen sanamuoto ei ole yhteensopiva yleisen tietosuoja-asetuksen 33 artiklan kanssa. Euroopan tietosuojavaltuutettu suosittelee siksi, että ehdotuksen johdanto-osan 42 kappaleesta poistetaan viittaus tietosuojaviranomaisiin sekä muutetaan ehdotuksen 17 artiklaa hieman tämän lausunnon suositusten mukaisesti.

1. TAUSTA

1. Euroopan komissio antoi 24. syyskuuta 2020 ehdotuksen asetukseksi finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014 ja (EU) No 909/2014 muuttamisesta, jäljempänä ” ehdotus ”. Ehdotuksessa laaditaan kattava kehys EU:n finanssiyhteisöjen digitaalista häiriönsietokykyä varten. Se perustuu viiteen keskeiseen osa-alueeseen, joita ovat TVT-riskinhallinta (II luku), poikkeamien hallinta, luokittelu ja raportointi (III luku), digitaalisen häiriönsietokyvyn testaus (IV luku), kolmansiin osapuoliin liittyvän riskin hallinta ja kriittisten TVT-palveluntarjoajien sääntely (V luku) sekä tietojenvaihto (VI luku).

3. Euroopan komissio pyysi 15. maaliskuuta 2021 Euroopan tietosuojavaltuutetulta lausuntoa ehdotuksesta asetuksen (EU) 2018/1725 42 artiklan 1 kohdan mukaisesti. Nämä huomautukset rajoittuvat ehdotuksen niihin säännöksiin, jotka ovat merkityksellisiä tietosuojan kannalta tarkasteltuina.

4. PÄÄTELMÄT

Edellä esitetyn nojalla Euroopan tietosuojavaltuutettu

— korostaa, että on tärkeää varmistaa, että kaikki finanssiyhteisöjen toiminnan yhteydessä tehdyt käsittelytoimet perustuvat yleisen tietosuoja-asetuksen 6 artiklassa asetettuun oikeusperustaan, ja katsoo, että finanssiyhteisöt voisivat harkita oikeusperustaksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c, e ja f alakohtaa.

— Euroopan tietosuojavaltuutettu korostaa, että finanssiyhteisöjen on tärkeää sisällyttää digitaalista häiriönsietokykyä koskevaan kehykseensä vahva tietosuojan hallintamekanismi, jossa määritetään selkeästi rekisterinpitäjän ja henkilötietojen käsittelijän tehtävät ja vastuut sekä toteutettavat käsittelytoimet.

— Euroopan tietosuojavaltuutettu muistuttaa, että kolmanteen maahan sijoittautuneille TVT-palveluntarjoajina oleville kolmansille osapuolille tehtävissä kaikissa finanssiyhteisöjen toteuttamissa henkilötietojen kansainvälisissä siirroissa on noudatettava yleisen tietosuoja-asetuksen V luvun vaatimuksia ja että kun niitä toteutetaan, niissä on oltava käytössä asianmukaiset suojatoimet tietosuojakehyksen ja Euroopan unionin tuomioistuimen oikeuskäytännön, erityisesti asian Schrems II, mukaisesti. Nämä finanssiyhteisöt voivat käyttää vakiosopimuslausekkeita, koska ne näyttäisivät olevan asianmukaisin siirtoväline.

— Euroopan tietosuojavaltuutettu korostaa, että henkilötietojen suoja ei ole este tiedustelutietojen jakamiselle finanssialalla. Tietosuojavaatimuksia olisi pikemminkin pidettävä perusvaatimuksina, joita on noudatettava yksilöiden oikeuksien suojaamisen varmistamiseksi finanssiyhteisöjen digitaalista häiriönsietokykyä koskevassa kehyksessä.

— Euroopan tietosuojavaltuutettu kannustaa myös finanssialaa hyväksymään käytännesäännöt yleisen tietosuoja-asetuksen 40 artiklan mukaisesti, jotta voidaan etenkin määrittää henkilötietojen käsittelyn keskeisten sidosryhmien roolit ja varmistaa oikeudenmukainen ja avoin käsittely.

— Hallinnollisten seuraamusten julkaisemisen osalta Euroopan tietosuojavaltuutettu suosittelee, että yksityishenkilöiden henkilötietojen suojaan liittyvät riskit sisällytetään kriteereihin, jotka toimivaltaisen viranomaisen on otettava huomioon.

— Säilytyksen rajoittamista koskevan periaatteen mukaisesti Euroopan tietosuojavaltuutettu suosittelee, että finanssiyhteisöt ottavat käyttöön toimenpiteitä, joilla varmistetaan, että hallinnollisia seuraamuksia koskevat tiedot poistetaan niiden verkkosivustolta viiden vuoden kuluttua tai aikaisemmin, jos ne eivät ole enää tarpeen.

— Euroopan tietosuojavaltuutettu korostaa, että ehdotuksen johdanto-osan 42 kappaleen sanamuoto ei ole yhteensopiva yleisen tietosuoja-asetuksen 33 artiklan kanssa. Euroopan tietosuojavaltuutettu suosittelee siksi, että ehdotuksen johdanto-osan 42 kappaleessa oleva viittaus tietosuojaviranomaisiin poistetaan ja ehdotuksen 17 artiklaa muutetaan siten, että siinä viitataan velvollisuuteen ilmoittaa asiaankuuluville tietosuojaviranomaisille tietoturvaloukkauksista.

— Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksen 23 artiklan 2 kohtaa muutetaan niin, että varmistetaan, että TVT-järjestelmien testausta, tuotekehitystä tai tutkimusta ei voida tehdä toiminnassa olevilla tuotantojärjestelmillä, jotka sisältävät asiakkaiden henkilötietoja.

Brysselissä 10. toukokuuta 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EYVL L 119, 4.5.2016, s. 1).

(2) Ehdotus Euroopan parlamentin ja neuvoston asetukseksi kryptovarojen markkinoista ja direktiivin (EU) 2019/1937 muuttamisesta, COM(2020) 593 final. Saatavilla verkkosivustolla EUR-Lex - 52020PC0593 - EN - EUR-Lex (europa.eu)

(3) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUKSEKSI hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmästä COM/2020/594 final, saatavilla verkkosivustolla EUR-Lex - 52020PC0594 - EN - EUR-Lex (europa.eu)

(4) Ehdotus Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 2006/43/EY, 2009/65/EY, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 ja (EU) 2016/2341 muuttamisesta, COM(2020) 596 final. Saatavilla verkkosivustolla EUR-Lex - 52020PC0596 - EN - EUR-Lex (europa.eu)

(5) Lausunto 6/2021 hajautetun tilikirjan teknologiaan perustuvien markkinainfrastruktuurien pilottijärjestelmää koskevasta ehdotuksesta, saatavilla verkkosivustolla 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Euroopan parlamentin ja neuvoston asetus (EU) 2018/1727, annettu 14 päivänä marraskuuta 2018, Euroopan unionin rikosoikeudellisen yhteistyön virastosta (Eurojust) ja neuvostonpäätöksen 2002/187/YOS korvaamisesta ja kumoamisesta (EYVL L 295, 21.11.2018, s. 138).