CELEX: 32021D1772
Language: fi
Date: 2021-06-28 00:00:00
Title: Komission täytäntöönpanopäätös (EU) 2021/1772, annettu 28 päivänä kesäkuuta 2021, Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa (tiedoksiannettu numerolla C(2021) 4800) (ETA:n kannalta merkityksellinen teksti)

11.10.2021   
               
               
                  FI
               
               
                  Euroopan unionin virallinen lehti
               
               
                  L 360/1
               
            
         KOMISSION TÄYTÄNTÖÖNPANOASETUS (EU) 2021/1772,
         annettu 28 päivänä kesäkuuta 2021,
         Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 nojalla henkilötietojen suojan riittävästä tasosta Yhdistyneessä kuningaskunnassa
         
            
               (tiedoksiannettu numerolla C(2021) 4800)
            
         
         (ETA:n kannalta merkityksellinen teksti)
         EUROOPAN KOMISSIO, joka
         ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,
         ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27 päivänä huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (1), jäljempänä ’yleinen tietosuoja-asetus’, ja erityisesti sen 45 artiklan 3 kohdan,
         sekä katsoo seuraavaa:
         1.   JOHDANTO
         
         
                     (1)
                  
                  
                     Asetuksessa (EU) 2016/679 vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon Euroopan unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa, joka sisältää artiklat 44–50. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että tällaisten siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa Euroopan unionissa. (2)
                     
                  
               
                     (2)
                  
                  
                     Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö varmistaa riittävän tietosuojan. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle ilman erillistä lupaa, kuten kyseisen asetuksen 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.
                  
               
                     (3)
                  
                  
                     Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Analyysissa on tarkasteltava sekä tietojen tuojia koskevia sääntöjä että rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komission on arvioinnissaan määritettävä, takaako kyseinen kolmas maa suojan tason, joka ”vastaa olennaisilta osin” Euroopan unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Vertailukohtana tässä arvioinnissa on Euroopan unionin lainsäädännön ja erityisesti asetuksen (EU) 2016/679 ja Euroopan unionin tuomioistuimen oikeuskäytännön (3) tarjoama suojan taso. Lisäksi Euroopan tietosuojaneuvoston määrittelemät tietosuojan riittävyyden viitearvot (4) ovat tältä osin merkityksellisiä.
                  
               
                     (4)
                  
                  
                     Kuten Euroopan unionin tuomioistuin on selventänyt, tämä ei edellytä, että suojelun tason pitäisi olla täysin identtinen. (5) Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota Euroopan unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti suojelun riittävän tason. (6) Tietosuojan riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan arvioidaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä sisältö tietosuojaan liittyvillä oikeuksilla on ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti. (7)
                     
                  
               
                     (5)
                  
                  
                     Komissio on analysoinut huolellisesti Yhdistyneen kuningaskunnan lainsäädäntöä ja käytäntöä. Komissio katsoo johdanto-osan 8–270 kappaleessa esitettyjen havaintojen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.
                  
               
                     (6)
                  
                  
                     Tämä päätelmä ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi, jäljempänä ’maahanmuuttoa koskeva poikkeus’, Yhdistyneen kuningaskunnan tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla. Yhdistyneen kuningaskunnan lainsäädäntöön perustuvan maahanmuuttoa koskevan poikkeuksen pätevyyttä ja tulkintaa ei ole ratkaistu Englannin ja Walesin muutoksenhakutuomioistuimen (Court of Appeal) 26 päivänä toukokuuta 2021 antamalla päätöksellä. Vaikka Court of Appeal toteaa, että rekisteröidyn oikeuksia voidaan periaatteessa rajoittaa maahanmuuton valvonnan varmistamiseksi, koska kyseessä on ”tärkeä yleistä etua koskeva näkökohta”, se katsoo kuitenkin, että maahanmuuttoa koskeva poikkeus on nykymuodossaan ristiriidassa Yhdistyneen kuningaskunnan lainsäädännön kanssa, koska kyseisessä lainsäädäntötoimenpiteessä ei ole säännöksiä, joissa mainittaisiin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (8) (United Kingdom General Data Protection Regulation, UK GDPR) 23 artiklan 2 kohdassa luetellut suojatoimet. Näin ollen sellaisten henkilötietojen siirtäminen unionista Yhdistyneeseen kuningaskuntaan, joihin voidaan soveltaa maahanmuuttoa koskevaa poikkeusta, olisi suljettava tämän päätöksen soveltamisalan ulkopuolelle. (9) Maahanmuuttoa koskevaa poikkeusta ja tarvetta jatkaa tämän päätöksen soveltamisalan rajoittamista olisi tarkasteltava uudelleen sen jälkeen kun poikkeuksen yhteensopimattomuus Yhdistyneen kuningaskunnan lainsäädännön kanssa on korjattu.
                  
               
                     (7)
                  
                  
                     Tämä päätös ei saisi vaikuttaa asetuksen (EU) 2016/679 suoraan soveltamiseen Yhdistyneeseen kuningaskuntaan sijoittautuneisiin organisaatioihin silloin kun asetuksen 3 artiklassa vahvistetut, sen alueellista soveltamisalaa koskevat edellytykset täyttyvät.
                  
               2.   HENKILÖTIETOJEN KÄSITTELYYN SOVELLETTAVAT SÄÄNNÖT
         
         2.1   Perustuslaillinen kehys
         
         
                     (8)
                  
                  
                     Yhdistynyt kuningaskunta on parlamentaarinen demokratia, jonka valtionpäämiehenä toimii perustuslaillinen monarkki. Maan parlamentilla on täydellinen itsemääräämisoikeus, mikä tarkoittaa että mikään muu valtioelin ei ole sen yläpuolella. Toimeenpanovallan käyttäjä saa toimivaltansa parlamentilta ja on toimistaan vastuussa sille. Oikeuslaitos on riippumaton. Toimeenpanovallan käyttäjän toimivalta perustuu vaaleilla valitun alahuoneen (House of Commons) luottamukseen, ja se on vastuuvelvollinen parlamentin molemmille kamareille. Niiden tehtävänä taas on valvoa hallituksen toimintaa ja hyväksyä lainsäädäntöehdotukset niistä käydyn keskustelun jälkeen.
                  
               
                     (9)
                  
                  
                     Yhdistyneen kuningaskunnan parlamentti on jakanut Skotlannin parlamentille, Walesin parlamentille (Senedd Cymru) ja Pohjois-Irlannin edustajakokoukselle toimivaltaa, jotta ne voivat antaa kukin alueellaan sellaista alueellista lainsäädäntöä, jonka osalta Yhdistyneen kuningaskunnan parlamentti ei ole varannut toimivaltaa itselleen. Tietosuojan osalta toimivalta kuuluu Yhdistyneen kuningaskunnan parlamentille, jotta koko maassa sovelletaan sama lainsäädäntöä. Eräät muut tämän päätöksen kannalta merkitykselliset seikat kuuluvat kuitenkin alueellisen toimivallan piiriin. Esimerkiksi Skotlannin ja Pohjois-Irlannin rikosoikeusjärjestelmät, poliisitoimi mukaan lukien, kuuluvat Skotlannin parlamentin ja Pohjois-Irlannin edustajakokouksen toimivallan piiriin. Yhdistyneellä kuningaskunnalla ei ole kodifioitua perustuslakia, joka olisi vahvistettu tietyssä asiakirjassa. Perustuslailliset periaatteet ovat muodostuneet vähitellen ajan myötä, erityisesti oikeuskäytännön ja tapaoikeuden perusteella. Tuomioistuimet ovat tunnustaneet tiettyjen lakien perustuslaillisen arvon; näitä ovat mm. Magna Carta, vuoden 1689 Oikeuksien julistus (Bill of Rights 1689) ja vuoden 1998 ihmisoikeuslaki (Human Rights Act 1998). Yksilöiden perusoikeuksia on kehitetty osana perustuslakia tapaoikeudessa, mainituilla laeilla ja kansainvälisillä sopimuksilla, erityisesti Euroopan ihmisoikeussopimuksella, jonka Yhdistynyt kuningaskunta ratifioi vuonna 1951. Yhdistynyt kuningaskunta on vuonna 1987 ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä. (10)
                     
                  
               
                     (10)
                  
                  
                     Euroopan ihmisoikeussopimukseen sisältyvät oikeudet on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslailla. Sen mukaan kaikilla yksilöillä on perusoikeudet ja vapaudet, jotka on vahvistettu ihmisoikeussopimuksen 2–12 ja 14 artiklassa, sen ensimmäisen pöytäkirjan 1, 2 ja 3 artiklassa ja kolmannentoista pöytäkirjan 1 artiklassa, luettuna yhdessä ihmisoikeussopimuksen 16, 17 ja 18 artiklan kanssa. Näihin kuuluvat muun muassa oikeus yksityis- ja perhe-elämän kunnioittamiseen (ja oikeus tietosuojaan osana tätä oikeutta) sekä oikeus oikeudenmukaiseen oikeudenkäyntiin (11). Ihmisoikeussopimuksen 8 artiklassa määrätään erityisesti, että viranomaiset eivät saa puuttua tämän yksityisyydensuojaa koskevan oikeuden käyttämiseen, paitsi kun laki sen sallii ja se on välttämätöntä demokraattisessa yhteiskunnassa kansallisen ja yleisen turvallisuuden tai maan taloudellisen hyvinvoinnin vuoksi, tai epäjärjestyksen tai rikollisuuden estämiseksi, terveyden tai moraalin suojaamiseksi, tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi.
                  
               
                     (11)
                  
                  
                     Vuoden 1998 ihmisoikeuslain mukaan kaiken viranomaisten toiminnan on oltava sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (12) Lisäksi primaarilainsäädäntöä ja johdettua oikeutta on tulkittava ja se on pantava täytäntöön tavalla, joka on sopusoinnussa ihmisoikeussopimuksessa vahvistettujen oikeuksien kanssa. (13)
                     
                  
               2.2   Yhdistyneen kuningaskunnan tietosuojakehys
         
         
                     (12)
                  
                  
                     Yhdistynyt kuningaskunta erosi Euroopan unionista 31. tammikuuta 2020. Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamista Euroopan unionista ja Euroopan atomienergiayhteisöstä koskevan sopimuksen (14) nojalla unionin oikeutta sovellettiin Yhdistyneeseen kuningaskuntaan ja Yhdistyneessä kuningaskunnassa 31. joulukuuta 2020 päättyneen siirtymäkauden loppuun. Ennen eroa ja siirtymäkauden aikana henkilötietojen suojaa koskevan Yhdistyneen kuningaskunnan lainsäädäntökehyksen muodostivat asiaa koskeva EU:n lainsäädäntö (erityisesti asetus (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680 (15)) ja kansallinen lainsäädäntö. Kansalliseen lainsäädäntöön kuului erityisesti vuoden 2018 tietosuojalaki (16), jossa vahvistettiin asetuksen (EU) 2016/679 sallimissa puitteissa kansalliset säännöt, joilla täsmennettiin ja rajoitettiin asetuksen (EU) 2016/679 sääntöjen soveltamista ja saatettiin direktiivin (EU) 2016/680 säännökset osaksi kansallista lainsäädäntöä.
                  
               
                     (13)
                  
                  
                     Valmistautuakseen Euroopan unionista eroamiseen Yhdistyneen kuningaskunnan hallitus antoi Euroopan unionista (eroamisesta) vuonna 2018 annetun lain (European Union (Withdrawal) Act 2018 (17)), jäljempänä ’eroamista koskeva laki’, jolla sisällytettiin suoraan sovellettava unionin lainsäädäntö Yhdistyneen kuningaskunnan lainsäädäntöön. (18) Tämä nk. ”säilytetty EU:n lainsäädäntö” käsittää asetuksen (EU) 2016/679 kokonaisuudessaan (myös johdanto-osan kappaleet). (19) Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan tuomioistuinten on tulkittava tätä sellaisenaan säilytettyä EU:n lainsäädäntöä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, asiaa koskevan oikeuskäytännön, jäljempänä ’säilytetty EU:n oikeuskäytäntö’, ja unionin oikeuden yleisten periaatteiden, jäljempänä ’säilytetyt EU:n lainsäädännön yleiset periaatteet’, mukaisesti, koska ne olivat voimassa välittömästi ennen siirtymäkauden päättymistä. (20)
                     
                  
               
                     (14)
                  
                  
                     Eroamista koskevan lain mukaan Yhdistyneen kuningaskunnan ministereillä on valtuudet antaa johdetun oikeuden säädöksiä (statutory instruments), joilla tehdään tarvittavat muutokset säilytettyyn EU:n lainsäädäntöön Yhdistyneen kuningaskunnan unionista eroamisen seurauksena. He käyttivät tätä toimivaltaa antamalla tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019) (21). Mainituilla säädöksillä muutetaan asetusta (EU) 2016/679, sellaisena kuin se on saatettu osaksi Yhdistyneen kuningaskunnan lainsäädäntöä Euroopan unionista eroamista koskevalla vuoden 2018 lailla, vuoden 2018 tietosuojalailla ja muilla tietosuojasäädöksillä, jotta se sopisi kansalliseen kontekstiin. (22)
                     
                  
               
                     (15)
                  
                  
                     Näin ollen henkilötietojen suojaa koskeva Yhdistyneen kuningaskunnan oikeudellinen kehys muodostuu siirtymäkauden päättymisen jälkeen seuraavista:
                     
                                 —
                              
                              
                                 Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus, sellaisena kuin se on sisällytettynä Yhdistyneen kuningaskunnan lainsäädäntöön Euroopan unionista eroamista koskevan vuoden 2018 lain nojalla ja muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä (23), ja
                              
                           
                                 —
                              
                              
                                 Vuoden 2018 tietosuojalaki (24), sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä.
                              
                           
               
                     (16)
                  
                  
                     Koska Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus perustuu säilytettyyn EU:n lainsäädäntöön, Yhdistyneen kuningaskunnan tietosuojasäännöt ovat monessa suhteessa hyvin samankaltaisia kuin Euroopan unionissa sovellettavat säännöt.
                  
               
                     (17)
                  
                  
                     Sen lisäksi, että eroamista koskevalla lailla (Withdrawal Act 2018) on annettu tiettyjä valtuuksia Secretary of Statelle, myös vuoden 2018 tietosuojalailla annetaan hänelle valtuudet antaa johdettua lainsäädäntöä kyseisen lain tiettyjen säännösten muuttamiseksi tai uusien täydentävien sääntöjen antamiseksi. (25) Toistaiseksi Secretary of State on käyttänyt vuoden 2018 tietosuojalain 137 §:ään perustuvaa toimivaltaansa ainoastaan hyväksymällä tietosuojaan liittyviä maksuja ja tiedottamista koskevien vuoden 2019 säädösten muutokset (Data Protection (Charges and Information) (Amendment) Regulations 2019). Niissä esitetään olosuhteet, joissa rekisterinpitäjien on maksettava vuotuinen maksu Yhdistyneen kuningaskunnan riippumattomalle tietosuojaviranomaiselle eli tietosuojavaltuutetulle (Information Commissioner).
                  
               
                     (18)
                  
                  
                     Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä koskevia lisäohjeita annetaan käytännesäännöissä ja muissa tietosuojavaltuutetun laatimissa ohjeissa. Vaikka nämä ohjeet eivät olekaan muodollisesti velvoittavia, niillä on tulkinnallista merkitystä. Lisäksi niistä käy ilmi, miten tietosuojalainsäädäntöä sovelletaan ja miten tietosuojaviranomainen valvoo sen noudattamista. Vuoden 2018 tietosuojalain 121–125 §:ssä edellytetään erityisesti, että tietosuojaviranomainen laatii käytännesäännöt tietojen yhteiskäytöstä, suoramarkkinoinnista, lapset huomioon ottavien verkkopalvelujen suunnittelusta ja tietosuojasta sekä journalismista.
                  
               
                     (19)
                  
                  
                     Tämän päätöksen nojalla siirrettäviin tietoihin sovellettava Yhdistyneen kuningaskunnan lainsäädäntökehys on siis rakenteeltaan ja pääpiirteiltään hyvin samanlainen kuin Euroopan unionissa sovellettava lainsäädäntökehys. Tämä tarkoittaa, että kehys ei perustu ainoastaan kansallisissa laeissa säädettyihin ja EU-lainsäädännön puitteissa muokattuihin velvoitteisiin, vaan myös kansainvälisessä oikeudessa vahvistettuihin velvoitteisiin. Tämä johtuu erityisesti siitä, että Yhdistynyt kuningaskunta on liittynyt Euroopan ihmisoikeussopimukseen ja yleissopimukseen N:o 108, sekä siitä, että maa kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Nämä oikeudellisesti sitovista kansainvälisistä sopimuksista johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaa, ovat näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.
                  
               2.3   Aineellinen ja alueellinen soveltamisala
         
         
                     (20)
                  
                  
                     Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan asetuksen (EU) 2016/679 tavoin henkilötietojen käsittelyyn, joka on kokonaan tai osittain automaattista, sekä sellaisten henkilötietojen muuhun kuin automatisoituun käsittelyyn, jotka muodostavat rekisterin osan. (26) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa olevat ”henkilötietojen”, ”rekisteröidyn” ja ”käsittelyn” määritelmät ovat samat kuin asetuksessa (EU) 2016/679. (27) Lisäksi Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta sovelletaan tiettyjen Yhdistyneen kuningaskunnan viranomaisten (28) hallussa olevien jäsentelemättömien henkilötietojen manuaaliseen käsittelyyn (29). Tosin vuoden 2018 tietosuojalain 24 ja 25 §:n nojalla ei sovelleta niitä tietosuoja-asetuksen periaatteita ja oikeuksia, jotka ovat tällaisten henkilötietojen kannalta epäolennaisia. Samoin kuin asetusta (EU) 2016/679, myöskään Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta luonnollisen henkilön suorittamaan henkilötietojen käsittelyyn toiminnassa, joka on yksinomaan henkilökohtaista tai kotitaloutta koskevaa toimintaa. (30)
                     
                  
               
                     (21)
                  
                  
                     Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ulotetaan sen soveltamisala kattamaan henkilötietojen käsittely myös sellaisen toiminnan yhteydessä, joka välittömästi ennen siirtymäkauden päättymistä ei kuulunut Euroopan unionin oikeuden soveltamisalaan (esim. kansallinen turvallisuus) (31) tai joka kuului Euroopan unionista tehdyn sopimuksen 5 osaston 2 luvun soveltamisalaan (yhteinen ulko- ja turvallisuuspolitiikka) (32). Samoin kuin EU:n järjestelmässä, Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta henkilötietojen käsittelyyn, jota toimivaltainen viranomainen suorittaa ”lainvalvontatarkoituksessa” eli rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tällaiseen käsittelyyn sovelletaan sen sijaan vuoden 2018 tietosuojalain 3 osan säännöksiä (EU:n oikeudessa sovelletaan vastaavasti direktiiviä (EU) 2016/680). Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ei sovelleta myöskään tiedustelupalvelujen (Security Service, Secret Intelligence Service ja Government Communications Headquarters) suorittamaan henkilötietojen käsittelyyn, vaan siihen sovelletaan vuoden 2018 tietosuojalain 4 osan säännöksiä. (33)
                     
                  
               
                     (22)
                  
                  
                     Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen alueellinen soveltamisala määritellään asetuksen 3 artiklassa (34). Se kattaa henkilötietojen käsittelyn, jota suoritetaan Yhdistyneen kuningaskunnan alueella sijaitsevassa rekisterinpitäjän tai henkilötietojen käsittelijän toimipaikassa toiminnan yhteydessä (riippumatta siitä, missä käsittely suoritetaan), sekä Yhdistyneessä kuningaskunnassa olevia rekisteröityjä koskevien henkilötietojen käsittelyn, jos käsittely liittyy tavaroiden tai palvelujen tarjoamiseen näille rekisteröidyille tai näiden rekisteröityjen käyttäytymisen seurantaan. (35) Lähestymistapa on sama kuin asetuksen (EU) 2016/679 3 artiklassa.
                  
               2.4   Henkilötietojen määritelmä ja rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet
         
         
                     (23)
                  
                  
                     Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksessa (EU) 2016/679 vahvistetut henkilötietojen, käsittelyn, henkilötietojen käsittelijän ja pseudonymisoinnin määritelmät ilman olennaisia muutoksia. (36) Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa määritellään erityiset henkilötietoryhmät samalla tavoin kuin asetuksessa (EU) 2016/679 (”sellaisten henkilötietojen käsittely, joista ilmenee rotu tai etninen alkuperä, poliittisia mielipiteitä, uskonnollinen tai filosofinen vakaumus tai ammattiliiton jäsenyys sekä geneettisten tai biometristen tietojen käsittely henkilön yksiselitteistä tunnistamista varten tai terveyttä koskevien tietojen taikka luonnollisen henkilön seksuaalista käyttäytymistä ja suuntautumista koskevien tietojen käsittely”). Vuoden 2018 tietosuojalain 205 §:ssä määritellään ’biometriset tiedot’ (37), ’terveyttä koskevat tiedot’ (38) ja ’geneettiset tiedot’ (39).
                  
               2.5   Suojatoimet, oikeudet ja velvollisuudet
         
         2.5.1   Tietojenkäsittelyn lainmukaisuus ja kohtuullisuus
         
         
                     (24)
                  
                  
                     Henkilötietojen käsittelyn olisi oltava lainmukaista ja kohtuullista.
                  
               
                     (25)
                  
                  
                     Lainmukaisuuden, kohtuullisuuden ja läpinäkyvyyden periaatteet sekä laillisen käsittelyn perusteet taataan Yhdistyneen kuningaskunnan lainsäädännössä sen yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdassa ja 6 artiklan 1 kohdassa. Nämä säännökset ovat identtisiä asetuksen (EU) 2016/679 vastaavien säännösten kanssa. (40) Vuoden 2018 tietosuojalain 8 § täydentää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohtaa, sillä sen mukaan 6 artiklan 1 kohdan e alakohtaan perustuvalla henkilötietojen käsittelyllä (joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi) tarkoitetaan myös henkilötietojen käsittelyä, joka on tarpeen oikeudenkäyttöä varten tai parlamentin alahuoneelle kuuluvan tai tietylle henkilölle normatiivisen säädöksen tai lain nojalla osoitetun tehtävän, valtiolle (Crown), Yhdistyneen kuningaskunnan ministerille tai ministeriön osastolle kuuluvan tehtävän tai demokratiaan osallistumista tukevan tai edistävän toimen suorittamiseksi.
                  
               
                     (26)
                  
                  
                     Myös suostumuksen osalta (joka on yksi lainmukaisen käsittelyn edellytyksistä) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säilytetään asetuksen (EU) 2016/679 7 artiklassa säädetyt edellytykset muuttamattomina: rekisterinpitäjän on voitava osoittaa, että rekisteröity on antanut suostumuksensa, suostumusta koskeva pyyntö on esitettävä kirjallisesti selkeällä ja yksinkertaisella kielellä, rekisteröidyllä on oltava oikeus peruuttaa suostumus milloin tahansa, ja arvioitaessa suostumuksen vapaaehtoisuutta on otettava huomioon se, onko jonkin sopimuksen täytäntöönpanon ehdoksi asetettu suostumus sellaisten henkilötietojen käsittelyyn, jotka eivät ole tarpeen kyseisen sopimuksen täytäntöönpanoa varten. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 8 artiklassa säädetään, että tietoyhteiskunnan palvelujen tarjoamisen yhteydessä lapsen suostumus on lainmukainen vain jos lapsi on vähintään 13-vuotias. Tämä vastaa asetuksen (EU) 2016/679 8 artiklassa säädettyä ikävaatimusta.
                  
               2.5.2   Erityisten henkilötietoryhmien käsittely
         
         
                     (27)
                  
                  
                     ”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.
                  
               
                     (28)
                  
                  
                     Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa vahvistetaan käsittelysäännöt erityisille tietoryhmille, jotka määritellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa samalla tavoin kuin asetuksessa (EU) 2016/679 (ks. johdanto-osan (23) kappale). Mainitun 9 artiklan mukaan erityisten tietoryhmien käsittely on periaatteessa kielletty, ellei sovelleta jotakin poikkeusta.
                  
               
                     (29)
                  
                  
                     Nämä poikkeukset (Yhdistyneen kuningaskunnan tietosuoja-asetuksen 9 artiklan 2 ja 3 kohta) eivät poikkea sisällöltään asetuksen (EU) 2016/679 9 artiklan 2 ja 3 kohdassa säädetyistä poikkeuksista. Ellei rekisteröity ole antanut nimenomaista suostumustaan näiden tietoryhmien käsittelyyn, käsittely on sallittu vain tietyissä ja rajoitetuissa olosuhteissa. Useimmissa tapauksissa arkaluontoisten tietojen käsittelyn on oltava tarpeen asianomaisessa säännöksessä määriteltyä erityistä tarkoitusta varten (ks. 9 artiklan 2 kohdan b, c, f, g, h, i ja j alakohta).
                  
               
                     (30)
                  
                  
                     Jos Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädetty poikkeus edellyttää lain mukaista lupaa tai jos siinä viitataan yleiseen etuun, vuoden 2018 tietosuojalain 10 §:ssä, luettuna yhdessä sen liitteen 1 kanssa, täsmennetään lisäksi edellytykset, joiden on täytyttävä, jotta poikkeusta voidaan soveltaa. Jos kyse on esimerkiksi arkaluontoisten tietojen käsittelystä kansanterveyden suojelemiseksi (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan i alakohta), liitteessä 1 olevan 1 osan 3 kohdan b alakohdassa edellytetään tarpeellisuustestin lisäksi, että ”tietoja käsittelee tai käsittelystä vastaa terveydenhuollon ammattihenkilö” tai ”toinen henkilö, jota niin ikään sitoo salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla”; tämä voi tarkoittaa myös common law -oikeudessa vakiintunutta salassapitovelvollisuutta.
                  
               
                     (31)
                  
                  
                     Kun arkaluontoisia tietoja käsitellään tärkeää yleistä etua koskevasta syystä (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdan g alakohta), vuoden 2018 tietosuojalain liitteessä 1 olevassa 2 osassa esitetään tyhjentävä luettelo tarkoituksista, joita voidaan pitää merkittävänä yleistä etua koskevana syynä, ja niihin kuhunkin sovellettavat erityiset lisäedellytykset. Merkittäväksi yleisen edun mukaiseksi syyksi katsotaan esimerkiksi rodullisen ja etnisen monimuotoisuuden edistäminen organisaatioiden ylemmillä tasoilla. Arkaluontoisten tietojen käsittelyyn tätä nimenomaista tarkoitusta varten sovelletaan yksityiskohtaisia vaatimuksia. Käsittely on muun muassa toteutettava osana prosessia, jossa yksilöidään ylemmän tason tehtäviin soveltuvia henkilöitä. Lisäksi käsittelyn on oltava tarpeen rodullisen ja etnisen monimuotoisuuden edistämiseksi eikä se saa olla omiaan aiheuttamaan rekisteröidylle merkittävää vahinkoa tai huomattavaa kärsimystä.
                  
               
                     (32)
                  
                  
                     Vuoden 2018 tietosuojalain 11 §:n 1 momentissa vahvistetaan edellytykset henkilötietojen käsittelylle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 3 kohdassa kuvatuissa salassapitovelvollisuutta koskevissa olosuhteissa. Tämä tarkoittaa myös olosuhteita, joissa tietoja käsittelee terveydenhuollon ammattihenkilö tai sosiaalityöntekijä tai toinen henkilö, jota sitoo kyseisissä olosuhteissa salassapitovelvollisuus normatiivisen säädöksen tai lain nojalla.
                  
               
                     (33)
                  
                  
                     Lisäksi monet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa luetelluista poikkeuksista edellyttävät asianmukaisia ja erityisiä suojatoimia, jotta niitä voidaan soveltaa. Vuoden 2018 tietosuojalain liitteessä 1 säädetään käsittelyn edellytykseksi erilaisia suojatoimia sen mukaan, minkälaisesta käsittelystä on kyse ja miten suuri riski siitä aiheutuu rekisteröityjen oikeuksille ja vapauksille. Liitteessä 1 esitetään edellytykset kullekin käsittelytilanteelle.
                  
               
                     (34)
                  
                  
                     Joissain tapauksissa vuoden 2018 tietosuojalaissa säännellään ja rajoitetaan sitä, minkätyyppisiä arkaluontoisia tietoja voidaan käsitellä tietyn oikeusperustan nojalla. Esimerkiksi liitteessä 1 olevassa 8 kohdassa sallitaan arkaluontoisten tietojen käsittely yhtäläisten mahdollisuuksien tai kohtelun edistämistä varten. Tätä käsittelyedellytystä voidaan käyttää vain jos tiedoista käy ilmi rotu tai etninen alkuperä, uskonnollinen tai filosofinen vakaumus tai seksuaalinen suuntautuminen tai jos kyseessä on terveystieto.
                  
               
                     (35)
                  
                  
                     Joissain tapauksissa vuoden 2018 tietosuojalailla rajoitetaan sitä, minkätyyppinen rekisterinpitäjä voi soveltaa kyseistä käsittelyedellytystä. Esimerkiksi liitteessä 1 olevassa 23 kohdassa säädetään arkaluontoisten tietojen käsittelystä valittujen edustajien yleisölle antamien vastausten yhteydessä. Tätä käsittelyedellytystä voidaan soveltaa vain jos rekisterinpitäjä on kyseinen valittu edustaja tai toimii tämän toimivallan nojalla.
                  
               
                     (36)
                  
                  
                     Eräissä muissa tapauksissa vuoden 2018 tietosuojalaissa rajoitetaan sitä, mihin rekisteröityjen ryhmiin käsittelyedellytystä voidaan soveltaa. Esimerkiksi liitteessä 1 olevassa 21 kohdassa säädetään arkaluontoisten tietojen käsittelystä ammatillisten lisäeläkejärjestelmien yhteydessä. Tätä edellytystä voidaan soveltaa vain jos asianomainen rekisteröity on järjestelmään kuuluvan henkilön sisarus, vanhempi, isovanhempi tai isoisovanhempi.
                  
               
                     (37)
                  
                  
                     Kun vedotaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa säädettyihin poikkeuksiin, joita täsmennetään vuoden 2018 tietosuojalain 10 §:ssä ja tietosuojalain liitteessä 1, rekisterinpitäjän on lisäksi useimmissa tapauksissa laadittava ”asianmukainen toimintapoliittinen asiakirja” (Appropriate Policy document). Asiakirjassa on selitettävä, miten rekisterinpitäjä varmistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklassa vahvistettujen tietosuojaperiaatteiden noudattamisen. Siinä on myös esitettävä henkilötietojen säilyttämistä ja poistamista koskevat toimintaperiaatteet ja ilmoitettava, kuinka kauan henkilötietoja todennäköisesti säilytetään. Rekisterinpitäjien on tarkistettava ja päivitettävä tämä asiakirja tarpeen mukaan. Rekisterinpitäjän on säilytettävä toimintapoliittinen asiakirja kuuden kuukauden ajan käsittelyn päättymisestä ja toimitettava se pyynnöstä tietosuojavaltuutetulle. (41)
                     
                  
               
                     (38)
                  
                  
                     Vuoden 2018 tietosuojalain liitteessä 1 olevan 41 kohdan nojalla toimintapoliittisen asiakirjan liitteenä on aina oltava seloste, joka kattaa kaikki käsittelytoimet. Selosteessa on mainittava toimintapoliittiseen asiakirjaan sisältyvät sitoumukset eli se, poistetaanko tiedot vai säilytetäänkö ne toimintaperiaatteiden mukaisesti. Jos toimintaperiaatteita ei ole noudatettu, syy siihen on kirjattava lokiin. Selosteessa on myös kuvattava, miten käsittely täyttää vaatimukset, joista säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklassa (käsittelyn lainmukaisuus) ja vuoden 2018 tietosuojalain liitteessä 1 (erityiset edellytykset).
                  
               
                     (39)
                  
                  
                     Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa, samoin kuin asetuksessa (EU) 2016/679, säädetään myös yleisistä suojatoimista, joita sovelletaan tiettyihin erityisiä tietoryhmiä koskeviin käsittelytoimiin. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 35 artiklassa edellytetään tietosuojaa koskevan vaikutustenarvioinnin laatimista, jos erityisiä tietoryhmiä käsitellään laajassa mittakaavassa. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 37 artiklan mukaan rekisterinpitäjän tai henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, jos rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat käsittelystä, joka kohdistuu laajamittaisesti henkilötietojen erityisryhmiin.
                  
               
                     (40)
                  
                  
                     Rikostuomioita ja rikoksia koskevien henkilötietojen osalta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 10 artikla on identtinen asetuksen (EU) 2016/679 10 artiklan kanssa. Sen mukaan rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittely on sallittu ainoastaan viranomaisen valvonnassa tai silloin, kun se sallitaan jäsenvaltion lainsäädännössä, jossa säädetään asianmukaisista suojatoimista rekisteröidyn oikeuksien ja vapauksien suojelemiseksi.
                  
               
                     (41)
                  
                  
                     Silloin kun rikostuomioita ja rikoksia koskevia tietoja ei käsitellä viranomaisen valvonnassa, vuoden 2018 tietosuojalain 10 §:n 5 momentissa säädetään, että tällainen käsittely voidaan suorittaa ainoastaan vuoden 2018 tietosuojalain liitteessä 1 olevassa 1, 2 ja 3 osassa esitettyjä erityisiä tarkoituksia varten / erityisissä tilanteissa ja että siihen on sovellettava kutakin tällaista tarkoitusta/tilannetta varten vahvistettuja erityisiä vaatimuksia. Esimerkiksi rikostuomioita koskevia tietoja voidaan käsitellä voittoa tavoittelemattomissa elimissä, jos käsittely suoritetaan a) poliittisen, filosofisen, uskonnollisen tai ammattiliittotoimintaan liittyvän säätiön, yhdistyksen tai muun voittoa tavoittelemattoman yhteisön laillisen toiminnan yhteydessä ja asianmukaisin suojatoimin ja b) sillä edellytyksellä, i) että käsittely koskee ainoastaan näiden yhteisöjen jäseniä tai entisiä jäseniä tai henkilöitä, joilla on yhteisöihin säännölliset, yhteisöjen tarkoituksiin liittyvät yhteydet, ja ii) että henkilötietoja ei luovuteta yhteisön ulkopuolelle ilman rekisteröidyn suostumusta.
                  
               
                     (42)
                  
                  
                     Lisäksi vuoden 2018 tietosuojalain liitteessä 1 olevassa 3 osassa säädetään muista olosuhteista, joissa rikostuomioita koskevia tietoja voidaan käyttää. Nämä olosuhteet vastaavat arkaluonteisten tietojen käsittelyn oikeudellisia perusteita, joista säädetään asetuksen (EU) 2016/679 9 artiklan 2 kohdassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa (esimerkiksi rekisteröidyn suostumus, henkilön elintärkeiden etujen suojaaminen, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan, jos rekisteröity on nimenomaisesti jo saattanut tiedot julkisiksi tai jos käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi).
                  
               2.5.3   Käyttötarkoitussidonnaisuus, täsmällisyys, tietojen minimointi, säilytyksen rajoittaminen ja tietoturva
         
         
                     (43)
                  
                  
                     Henkilötietoja olisi käsiteltävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin se ei ole ristiriidassa kyseisen tarkoituksen kanssa.
                  
               
                     (44)
                  
                  
                     Tämä periaate vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdassa, ja se on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b alakohdassa. Myös asetuksen (EU) 2016/679 6 artiklan 4 kohdan mukaiset sallitun käsittelyn edellytykset on säilytetty ilman olennaisia muutoksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 4 kohdan a–e alakohdassa.
                  
               
                     (45)
                  
                  
                     Lisäksi tietojen olisi oltava täsmällisiä, ja ne olisi tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.
                  
               
                     (46)
                  
                  
                     Nämä tietojen minimointia, täsmällisyyttä ja säilytyksen rajoittamista koskevat periaatteet vahvistetaan asetuksen (EU) 2016/679 5 artiklan 1 kohdan c–e alakohdassa, ja ne on säilytetty muutoksitta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c–e alakohdassa.
                  
               
                     (47)
                  
                  
                     Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten toiminnanharjoittajien olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä olisi arvioitava ottaen huomioon alan uusin tekniikka ja siihen liittyvät kustannukset.
                  
               
                     (48)
                  
                  
                     Tietoturva varmistetaan Yhdistyneen kuningaskunnan lainsäädännössä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan f alakohdassa vahvistetun eheyden ja luottamuksellisuuden periaatteen nojalla sekä käsittelyn turvallisuutta koskevalla tietosuoja-asetuksen 32 artiklalla. Mainitut säännökset ovat identtiset asetuksen (EU) 2016/679 säännösten kanssa. Lisäksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa edellytetään samoin edellytyksin kuin asetuksen (EU) 2016/679 33 ja 34 artiklassa, että henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 33 artikla) ja rekisteröidylle (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 34 artikla).
                  
               2.5.4   Läpinäkyvyys
         
         
                     (49)
                  
                  
                     Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.
                  
               
                     (50)
                  
                  
                     Tämä varmistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 13 ja 14 artiklalla, joissa vahvistetaan yleisen läpinäkyvyysperiaatteen ohella rekisteröidylle annettavia tietoja koskevat säännöt. (42) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin sääntöihin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin artikloihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, kyseisissä artikloissa vahvistettuihin läpinäkyvyysvaatimuksiin sovelletaan kuitenkin useita poikkeuksia, joista säädetään vuoden 2018 tietosuojalaissa (ks. johdanto-osan (55)–(72) kappale).
                  
               2.5.5   Yksilön oikeudet
         
         
                     (51)
                  
                  
                     Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi. Toisaalta tällaisiin oikeuksiin voidaan soveltaa rajoituksia, kunhan rajoitukset ovat välttämättömiä ja oikeasuhteisia yleisen turvallisuuden tai muiden yleisen edun mukaisten tärkeiden tavoitteiden turvaamiseksi.
                  
               2.5.5.1   Aineelliset oikeudet
         
         
                     (52)
                  
                  
                     Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa taataan yksilöille samat täytäntöönpanokelpoiset oikeudet kuin asetuksella (EU) 2016/679. Yksilön oikeuksia koskevat säännökset on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia.
                  
               
                     (53)
                  
                  
                     Näitä oikeuksia ovat mm. rekisteröidyn oikeus saada pääsy tietoihin (Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 15 artikla), oikeus oikaista tiedot (16 artikla), oikeus poistaa tiedot (17 artikla), oikeus rajoittaa käsittelyä (18 artikla), velvollisuus ilmoittaa henkilötietojen oikaisemista tai poistamista tai käsittelyn rajoittamista koskevasta oikeudesta (19 artikla), oikeus siirtää tiedot järjestelmästä toiseen (20 artikla) ja oikeus vastustaa henkilötietojen käsittelyä (21 artikla). (43) Viimeksi mainittuun sisältyy myös rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä suoramarkkinointia varten (asetuksen (EU) 2016/679 21 artiklan 2 ja 3 kohta). Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 122 §:n nojalla laadittava suoramarkkinointia koskevat käytännesäännöt, joissa noudatetaan tietosuojalainsäädännön vaatimuksia (ja vuoden 2003 yksityisyydensuojaa ja sähköistä viestintää koskevia säädöksiä (Privacy and Electronic Communications (EC Directive) Regulations 2003) sekä muita tietosuojavaltuutetun hyödyllisiksi katsomia ohjeita, joilla edistetään suoramarkkinointiin liittyviä hyviä käytäntöjä. Tietosuojavaltuutetun toimisto laatii parhaillaan näitä suoramarkkinointia koskevia käytännesääntöjä (44).
                  
               
                     (54)
                  
                  
                     Rekisteröidylle asetuksen (EU) 2016/679 22 artiklan nojalla kuuluva oikeus olla joutumatta sellaisen päätöksen kohteeksi, joka on tehty yksinomaan automatisoidun käsittelyn perusteella ja josta hänelle aiheutuu haitallisia oikeudellisia vaikutuksia tai joka vaikuttaa häneen merkittävällä tavalla, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Siihen on kuitenkin lisätty uusi 3A kohta, jossa viitataan siihen, että vuoden 2018 tietosuojalain 14 §:ssä säädetään rekisteröityjen oikeuksia, vapauksia ja oikeutettuja etuja koskevista suojatoimista silloin kun tietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklan 2 kohdan b alakohdan nojalla. Tätä sovelletaan vain silloin kun tällaisen päätöksen perusteena on Yhdistyneen kuningaskunnan lainsäädännön mukainen lupa tai vaatimus. Sitä ei sovelleta, jos päätös on tarpeen sopimuksen nojalla tai jos se on tehty rekisteröidyn nimenomaisen suostumuksen perusteella. Kun sovelletaan vuoden 2018 tietosuojalain 14 §:ää, rekisterinpitäjän on, niin pian kuin se on kohtuudella mahdollista, ilmoitettava rekisteröidylle kirjallisesti, että päätös on tehty yksinomaan automaattisen käsittelyn perusteella. Rekisteröidyllä on oikeus pyytää (kuukauden kuluessa ilmoituksen vastaanottamisesta), että rekisterinpitäjä joko harkitsee päätöstä uudelleen tai tekee uuden päätöksen, joka ei perustu yksinomaan automaattiseen käsittelyyn. Secretary of Statella on valtuudet hyväksyä lisää suojatoimia automatisoitua päätöksentekoa varten. Näitä valtuuksia ei ole vielä käytetty.
                  
               2.5.5.2   Yksilön oikeuksia ja muita säännöksiä koskevat rajoitukset
         
         
                     (55)
                  
                  
                     Vuoden 2018 tietosuojalaissa asetetaan useita yksilön oikeuksiin sovellettavia rajoituksia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan puitteissa. Tässä yhteydessä ei oteta käyttöön rajoituksia, jotka koskisivat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 21 artiklan 2 ja 3 kohdassa säädettyä oikeutta vastustaa suoramarkkinointia tai Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 22 artiklassa säädettyä oikeutta olla joutumatta automaattisen päätöksenteon kohteeksi.
                  
               
                     (56)
                  
                  
                     Rajoitukset esitetään yksityiskohtaisesti vuoden 2018 tietosuojalain liitteissä 2–4. Yhdistyneen kuningaskunnan viranomaisten mukaan rajoitukset perustuvat kahteen periaatteeseen: tietyn käsittelytarkoituksen periaatteeseen (yksityiskohtaisen lähestymistavan mukaisesti laaja rajoitus jaetaan useisiin yksityiskohtaisempiin säännöksiin) ja ehdollisuusperiaatteeseen (kutakin säännöstä täydennetään suojatoimilla, jotka esitetään rajoitusten tai ehtojen muodossa väärinkäytösten estämiseksi). (45)
                     
                  
               
                     (57)
                  
                  
                     Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 23 artiklan 1 kohdassa esitettyjen rajoitusten tarkoituksena on varmistaa, että niitä sovelletaan vain tietyissä olosuhteissa, kun se on välttämätöntä demokraattisessa yhteiskunnassa ja oikeassa suhteessa niillä tavoiteltuun oikeutettuun päämäärään nähden. Lisäksi tietosuojajärjestelmästä voidaan rajoitusten tulkintaa koskevan vakiintuneen oikeuskäytännön mukaan poiketa yksittäisessä tapauksessa vain jos se on välttämätöntä ja oikeasuhteista (46). Tarpeellisuusarvioinnin on oltava tiukka, niin että rekisteröidyn oikeuksiin puuttumisen on oltava oikeassa suhteessa yleiseen etuun kohdistuvan uhan vakavuuteen. Se edellyttää näin ollen perinteistä suhteellisuusanalyysia. (47)
                     
                  
               
                     (58)
                  
                  
                     Näiden rajoitusten tavoitteet vastaavat asetuksen (EU) 2016/679 23 artiklassa lueteltuja tavoitteita, lukuun ottamatta kansalliseen turvallisuuteen ja puolustukseen liittyviä rajoituksia, joista säädetään sen sijaan vuoden 2018 tietosuojalain 26 §:ssä, mutta joille on asetettu samat tarpeellisuutta ja oikeasuhteisuutta koskevat vaatimukset (ks. johdanto-osan 63–66 kappale).
                  
               
                     (59)
                  
                  
                     Tietyt rajoitukset, kuten rikosten ehkäisemiseen ja paljastamiseen tai rikollisten kiinniottoon ja syytteeseenpanoon sekä verojen ja maksujen (48) määräämiseen ja kantamiseen liittyvät rajoitukset, mahdollistavat kaikkien yksilön oikeuksien ja läpinäkyvyyttä koskevien velvoitteiden rajoittamisen (lukuun ottamatta 21 artiklan 2 kohdassa ja 22 artiklassa säädettyjä oikeuksia). Muiden rajoitusten soveltamisala on rajoitettu läpinäkyvyyttä koskeviin velvollisuuksiin ja pääsyoikeuksiin, kuten asianajosalaisuutta (49) koskeviin rajoituksiin, oikeuteen olla antamatta tietoja, jotka voisivat johtaa oman syyllisyyden toteamiseen (50), ja yrityksen rahoitukseen, erityisesti sisäpiirikauppojen estämiseen (51). Vain harvojen rajoitusten nojalla voidaan rajoittaa rekisterinpitäjän velvollisuutta ilmoittaa rekisteröidylle tietoturvaloukkauksesta tai käsittelyn käyttötarkoituksen rajoittamista ja käsittelyn lainmukaisuutta, kohtuullisuutta ja läpinäkyvyyttä koskevien periaatteiden soveltamista. (52)
                     
                  
               
                     (60)
                  
                  
                     Joitakin rajoituksia sovelletaan automaattisesti ”kaikilta osin” tietyntyyppiseen henkilötietojen käsittelyyn (esimerkiksi läpinäkyvyyttä koskevien velvoitteiden ja yksilön oikeuksien soveltaminen on suljettu pois, kun henkilötietojen käsittelyn tarkoituksena on arvioida henkilön soveltuvuutta oikeuslaitoksen virkaan tai kun henkilötietoja käsittelee tuomioistuin tai yksilö lainkäyttötehtäviä suorittaessaan).
                  
               
                     (61)
                  
                  
                     Useimmissa tapauksissa vuoden 2018 tietosuojalain liitteessä 2 olevassa asiaa koskevassa kohdassa kuitenkin täsmennetään, että rajoitusta sovelletaan vain (ja ainoastaan siltä osin kuin) säännösten soveltaminen ”voisi todennäköisesti haitata” kyseisellä rajoituksella tavoiteltua oikeutettua päämäärää: esimerkiksi mainittuja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä ei sovelleta henkilötietojen käsittelyyn, jonka tarkoituksena on rikoksen ehkäiseminen tai paljastaminen tai rikollisten kiinniotto tai syytteeseenpano tai verojen ja maksujen määrääminen tai kantaminen ”siltä osin kuin säännösten soveltaminen todennäköisesti haittaisi” jotakin näistä seikoista. (53)
                     
                  
               
                     (62)
                  
                  
                     Yhdistyneen kuningaskunnan tuomioistuimissa on johdonmukaisesti tulkittu vakioilmauksen ”voisi todennäköisesti haitata” tarkoittavan, että on olemassa ”erittäin merkittävä ja painava mahdollisuus haittavaikutusten kohdistumisesta yksilöityihin yleisiin etuihin”. (54) Rajoitukseen, jonka osalta on arvioitava siitä mahdollisesti aiheutuvia haittoja, voidaan sen vuoksi vedota vain ja ainoastaan siltä osin kuin on olemassa erittäin merkittävä ja painava mahdollisuus, että tietyn oikeuden myöntäminen aiheuttaisi haittavaikutuksia suhteessa kyseiseen yleiseen etuun. Rekisterinpitäjän vastuulla on arvioida tapauskohtaisesti, täyttyvätkö nämä edellytykset. (55)
                     
                  
               
                     (63)
                  
                  
                     Vuoden 2018 tietosuojalain liitteessä 2 säädettyjen rajoitusten ohella vuoden 2018 tietosuojalain 26 §:ssä säädetään poikkeuksesta, jota voidaan soveltaa tiettyihin Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain säännöksiin, jos poikkeus on tarpeen kansallisen turvallisuuden tai puolustuksen turvaamiseksi. Tätä poikkeusta sovelletaan tietosuojaperiaatteisiin (lainmukaisuusperiaatetta lukuun ottamatta), läpinäkyvyyttä koskeviin velvoitteisiin, rekisteröidyn oikeuksiin, velvollisuuteen ilmoittaa tietoturvaloukkauksesta, kansainvälisiä tiedonsiirtoja koskeviin sääntöihin, joihinkin tietosuojavaltuutetun tehtäviin ja toimivaltuuksiin sekä tiettyihin oikeussuojakeinoja, vastuuta ja seuraamuksia koskeviin sääntöihin, lukuun ottamatta Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklassa säädettyjä hallinnollisten sakkojen määräämistä koskevia yleisiä edellytyksiä ja 84 artiklassa säädettyjä seuraamuksia. Lisäksi vuoden 2018 tietosuojalain 28 §:ssä muutetaan 9 artiklan 1 kohdan soveltamista, jotta voidaan mahdollistaa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 9 artiklan 1 kohdassa tarkoitettujen erityisten tietoryhmien käsittely siltä osin kuin käsittely suoritetaan kansallisen turvallisuuden tai puolustuksen takaamiseksi ja siinä noudatetaan rekisteröidyn oikeuksia ja vapauksia koskevia asianmukaisia suojatoimia. (56)
                     
                  
               
                     (64)
                  
                  
                     Poikkeusta voidaan soveltaa vain siltä osin kuin se on tarpeen kansallisen turvallisuuden tai puolustuksen takaamiseksi. Koska sama pätee myös muihin vuoden 2018 tietosuojalaissa säädettyihin poikkeuksiin, rekisterinpitäjän on harkittava poikkeusta ja sen soveltamista tapauskohtaisesti. Poikkeuksen soveltamisessa on lisäksi noudatettava ihmisoikeusnormeja (jotka perustuvat vuoden 1998 ihmisoikeuslakiin), joiden mukaan yksityisyyden suojaan puuttumisen on aina oltava välttämätöntä ja oikeasuhteista demokraattisessa yhteiskunnassa. (57)
                     
                  
               
                     (65)
                  
                  
                     Tietosuojavaltuutettu on vahvistanut tämän poikkeuksen tulkinnan ja antanut kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta yksityiskohtaiset ohjeet, joissa täsmennetään, että rekisterinpitäjän on tarkasteltava ja sovellettava poikkeusta tapauskohtaisesti. (58) Ohjeissa painotetaan, että poikkeus ei ole yleispätevä ja että siihen vetoamiseksi ei riitä, että tietoja käsitellään kansalliseen turvallisuuteen liittyviä tarkoituksia varten. Sen sijaan rekisterinpitäjän on poikkeukseen vedotessaan osoitettava, että on olemassa todellinen mahdollisuus, että kansalliseen turvallisuuteen kohdistuu kielteisiä vaikutuksia. Tarvittaessa rekisterinpitäjän on esitettävä [tietosuojavaltuutetulle] näyttöä siitä, miksi poikkeusta on sovellettu. Ohjeisiin sisältyy luettelo tarkistettavista seikoista ja joukko esimerkkejä, jotka selventävät niitä edellytyksiä, joiden täyttyessä poikkeukseen voidaan vedota.
                  
               
                     (66)
                  
                  
                     Se, että tietoja käsitellään kansallista turvallisuutta tai puolustusta varten, ei siis yksinään ole riittävä peruste poikkeuksen soveltamiseen. Rekisterinpitäjän on otettava huomioon tosiasialliset seuraukset, joita tietosuojasääntöjen noudattaminen aiheuttaisi kansalliselle turvallisuudelle. Poikkeusta voidaan soveltaa vain niihin erityisiin säännöksiin, joihin riskin on todettu liittyvän, ja sitä on sovellettava mahdollisimman suppeasti. (59)
                     
                  
               
                     (67)
                  
                  
                     Viestintäasioita käsittelevä tuomioistuin (Information Tribunal) on vahvistanut tämän lähestymistavan. (60) Asiassa Baker v Secretary of State for the Home Department, jäljempänä ’Baker v Secretary of State’, Information Tribunal katsoi, että kansalliseen turvallisuuteen liittyvän poikkeuksen yleinen soveltaminen tiedustelupalvelujen vastaanottamiin tietopyyntöihin ei ollut lainmukaista. Sen sijaan poikkeusta olisi pitänyt soveltaa tapauskohtaisesti, tarkastelemalla kutakin pyyntöä erikseen sen sisällön perusteella ja ottaen huomioon yksilöiden oikeus nauttia yksityiselämäänsä kohdistuvaa kunnioitusta. (61)
                     
                  
               2.5.6   Journalistisia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia sekä arkistointia ja tutkimusta varten käsiteltyjä henkilötietoja koskevat rajoitukset
         
         
                     (68)
                  
                  
                     Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan 2 kohdan mukaan henkilötietojen käsittelylle journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten voidaan säätää vapautuksia tai poikkeuksia useista tietosuoja-asetuksen säännöksistä. Vuoden 2018 tietosuojalain liitteessä 2 olevassa 5 osassa säädetään näitä tarkoituksia varten tapahtuvaa käsittelyä koskevista poikkeuksista. Sen mukaan poikkeukset voivat koskea tietosuojaperiaatteita (eheyden ja luottamuksellisuuden periaatetta lukuun ottamatta), käsittelyn oikeudellisia perusteita (mukaan lukien erityiset tietoryhmät ja rikostuomioita koskevat tiedot ym.), suostumuksen edellytyksiä, läpinäkyvyyttä koskevia velvoitteita, rekisteröidyn oikeuksia, velvollisuutta ilmoittaa tietoturvaloukkauksista, ja vaatimusta kuulla tietosuojavaltuutettua ennen suuririskistä käsittelyä ja kansainvälisiä siirtoja koskevia sääntöjä. (62) Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ei tässä suhteessa poikkea olennaisesti asetuksesta (EU) 2016/679, jonka 85 artiklassa säädetään niin ikään mahdollisuudesta säätää journalistisia tarkoituksia tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten suoritettavan käsittelyn osalta poikkeuksia useista asetuksen (EU) 2016/679 vaatimuksista. Vuoden 2018 tietosuojalain säännökset, muun muassa liitteessä 2 olevan 5 osan säännökset, ovat yhteensopivia Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen kanssa.
                  
               
                     (69)
                  
                  
                     Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artiklan nojalla tehtävässä arvioinnissa on olennaista selvittää, onko johdanto-osan (68) kappaleessa mainittu tietosuojasääntöjä koskeva poikkeus ”tarpeen henkilötietojen suojaa koskevan oikeuden sovittamiseksi yhteen sananvapauden ja tiedonvälityksen vapauden kanssa”. (63) Vuoden 2018 tietosuojalain liitteessä 2 olevan 26 §:n 2 ja 3 kohdan mukaan Yhdistyneessä kuningaskunnassa tätä varten tehtävä arviointi perustuu kriteeriin ”perusteltu syy uskoa”. Jotta poikkeus olisi oikeutettu, rekisterinpitäjällä on oltava perusteltu syy uskoa, että i) julkaiseminen on yleisen edun mukaista; ja että ii) asiaa koskevan yleisen tietosuoja-asetuksen säännöksen soveltaminen olisi ristiriidassa journalististen tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitusten kanssa. Kuten oikeuskäytännössä on vahvistettu (64), ”perusteltu syy uskoa” -kriteerin soveltamiseen liittyy sekä subjektiivisia että objektiivisia osatekijöitä: Ei riitä, että rekisterinpitäjä osoittaa itse uskoneensa, että tietosuojasäännösten noudattaminen olisi ollut ristiriidassa mainittujen tarkoitusten kanssa, vaan hänellä täytyy olla tähän perusteltu syy, eli asian kannalta merkitykselliset tosiseikat tuntevan järkevän henkilön olisi pitänyt olla samaa mieltä. Rekisterinpitäjän on näin ollen noudatettava asianmukaista huolellisuutta sen osoittamiseksi, että näkemyksen taustalla on perusteltu syy. Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan ”perusteltu syy uskoa” -arviointi on suoritettava tapauskohtaisesti. (65) Jos edellytykset täyttyvät, poikkeuksen katsotaan olevan tarpeellinen ja oikeasuhteinen Yhdistyneen kuningaskunnan lainsäädännön mukaisesti.
                  
               
                     (70)
                  
                  
                     Vuoden 2018 tietosuojalain 124 §:n mukaan tietosuojavaltuutetun on laadittava tietosuojaa ja journalismia koskevat käytännesäännöt (Code of Practice on Data Protection and Journalism). Työ on käynnissä. Tästä aiheesta on annettu vuoden 1998 tietosuojalain nojalla ohjeita, joissa korostetaan erityisesti, että poikkeuksen soveltamiseksi ei riitä sen toteaminen, että säännösten noudattamisesta aiheutuisi haittaa journalistiselle toiminnalle, vaan että on pystyttävä selkeästi osoittamaan, että säännösten noudattaminen muodostaisi esteen vastuulliselle journalismille. (66) Ohjeita yleisen edun arvioinnista ja yleisen edun ja yksityisyydensuojaa koskevien yksilön etujen tasapainottamisesta ovat julkaisseet myös Yhdistyneen kuningaskunnan televiestintäalan sääntelyviranomainen OFCOM sekä BBC toimituksellisissa ohjeissaan. (67) Ohjeissa annetaan esimerkkejä tiedoista, joita voidaan pitää yleisen edun kannalta merkityksellisinä, ja selitetään, miten yksittäisessä tilanteessa on pystyttävä osoittamaan, että yleinen etu on yksityisyydensuojaa koskevia oikeuksia tärkeämpi.
                  
               
                     (71)
                  
                  
                     Kuten yleisen tietosuoja-asetuksen 89 artiklassa säädetään, yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten tapahtuva henkilötietojen käsittely voidaan niin ikään vapauttaa useiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta. (68) Tutkimuksen ja tilastojen osalta vapautus voidaan myöntää niiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten soveltamisesta, jotka koskevat käsittelyn vahvistamista ja oikeutta saada pääsy tietoihin sekä kolmansiin maihin tehtäviä siirtoja koskevia suojatoimia; oikeutta tietojen oikaisemiseen; käsittelyn rajoittamista ja käsittelyn vastustamista. Yleisen edun mukaisen arkistoinnin osalta vapautus voi koskea myös velvollisuutta ilmoittaa henkilötietojen oikaisemista tai poistamista koskevasta oikeudesta tai oikeutta rajoittaa käsittelyä ja oikeutta siirtää tiedot järjestelmästä toiseen.
                  
               
                     (72)
                  
                  
                     Vuoden 2018 tietosuojalain liitteessä 2 olevan 27 §:n 1 momentin ja 28 §:n 1 momentin mukaan poikkeukset Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksistä ovat mahdollisia, jos niiden soveltaminen ”ehkäisisi tai haittaisi vakavasti” kyseisten tarkoitusten saavuttamista. (69)
                     
                  
               
                     (73)
                  
                  
                     Koska edellä mainitut poikkeukset ovat merkityksellisiä yksilön oikeuksien tehokkaan käyttämisen kannalta, niiden tulkinnassa ja käytännön soveltamisessa tapahtuvat muutokset (johdanto-osan 6 kohdassa selitetyn, maahanmuuton tehokkaan valvonnan säilyttämistä koskevan muutoksen lisäksi), mukaan lukien oikeuskäytännön ja tietosuojavaltuutetun ohjeistuksen ja täytäntöönpanotoimien myöhemmät muutokset, otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. (70)
                     
                  
               2.5.7   Tietojen edelleen siirtämistä koskevat rajoitukset
         
         
                     (74)
                  
                  
                     Euroopan unionista Yhdistyneen kuningaskunnan rekisterinpitäjille tai henkilötietojen käsittelijöille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen kolmannessa maassa sijaitseville vastaanottajille. Tällaiset ”jatkosiirrot”, jotka Yhdistyneen kuningaskunnan rekisterinpitäjän tai henkilötietojen käsittelijän näkökulmasta ovat luonteeltaan Yhdistyneestä kuningaskunnasta tapahtuvia kansainvälisiä siirtoja, olisi sallittava vain siinä tapauksessa, että kyseiseen Yhdistyneen kuningaskunnan ulkopuolella toimivaan vastaanottajaan sovelletaan sääntöjä, joilla varmistetaan, että suojelun taso vastaa Yhdistyneen kuningaskunnan oikeusjärjestyksessä taattua suojelun tasoa. Tästä syystä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin sisältyvien, henkilötietojen kansainvälisiä siirtoja koskevien sääntöjen soveltaminen on tärkeä tekijä suojan jatkuvuuden varmistamiseksi, kun henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla.
                  
               
                     (75)
                  
                  
                     Henkilötietojen siirtoa Yhdistyneestä kuningaskunnasta koskeva järjestelmä on vahvistettu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 44–49 artiklassa ja sitä on täydennetty vuoden 2018 tietosuojalailla. Järjestelmä on olennaisilta osiltaan identtinen asetuksen (EU) 2016/679 V luvussa säädetyn järjestelmän kanssa. (71) Sen mukaan henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan tietosuojan riittävyyttä koskevien asetusten nojalla (Yhdistyneen kuningaskunnan vastine asetuksen (EU) 2016/679 mukaiselle tietosuojan riittävyyttä koskevalle päätökselle), tai jos tällaisia asetuksia ei ole annettu, vain jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Jos tietosuojan riittävyyttä koskevia asetuksia tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella.
                  
               
                     (76)
                  
                  
                     Secretary of Staten antamissa tietosuojan riittävyyttä koskevissa asetuksissa voidaan säätää, että kolmas maa (tai kolmannen maan alue tai tietty sektori), kansainvälinen järjestö tai tällaisen maan, alueen, sektorin tai järjestön kuvaus (72) takaa riittävän henkilötietojen suojan. Secretary of Staten on arvioitava tietosuojan riittävyyttä täsmälleen samojen seikkojen perusteella kuin ne, joita komission on arvioitava asetuksen (EU) 2016/679 45 artiklan 2 kohdan a–c alakohdan nojalla, sellaisena kuin sitä on tulkittava yhdessä asetuksen (EU) 2016/679 johdanto-osan 104 kappaleen ja säilytetyn EU:n oikeuskäytännön kanssa. Tämä tarkoittaa sitä, että kolmannen maan tietosuojan riittävyyden arvioimiseksi on selvitettävä, vastaako sen tarjoama suoja ”olennaisilta osin” Yhdistyneessä kuningaskunnassa taattua tietosuojaa.
                  
               
                     (77)
                  
                  
                     Menettelyn osalta tietosuojan riittävyyttä koskeviin asetuksiin sovelletaan vuoden 2018 tietosuojalain 182 §:ssä säädettyjä ”yleisiä” menettelyvaatimuksia. Menettelyn mukaan Secretary of Staten on kuultava tietosuojavaltuutettua ennen tietosuojan riittävyyttä koskevien Yhdistyneen kuningaskunnan asetusten hyväksymistä. (73) Kun Secretary of State on hyväksynyt asetukset, ne toimitetaan parlamenttiin sekä ylä- että alahuoneen käsiteltäväksi ns. negatiivisessa päätöslauselmamenettelyssä (negative resolution procedure). Tämä tarkoittaa, että asetus tulee voimaan, jollei kummallekaan kamarille esitetä vaatimusta sen hylkäämisestä 40 päivän kuluessa (74).
                  
               
                     (78)
                  
                  
                     Vuoden 2018 tietosuojalain 17B §:n 1 momentin mukaan tietosuojan riittävyyttä koskevia asetuksia on tarkasteltava uudelleen enintään neljän vuoden välein, ja Secretary of Staten on jatkuvasti seurattava kolmansissa maissa ja kansainvälisissä järjestöissä tapahtuvaa kehitystä, joka voisi vaikuttaa päätökseen tehdä tällaisia asetuksia tai niiden muuttamiseen tai kumoamiseen. Jos Secretary of State saa tietoonsa, että tietty maa tai järjestö ei enää takaa henkilötietojen riittävää tietosuojaa, hänen on tarvittaessa muutettava asetuksia tai kumottava ne ja aloitettava kyseisen kolmannen maan tai kansainvälisen järjestön kanssa neuvottelut tietosuojaan liittyvien puutteiden korjaamiseksi. Nämä menettelylliset näkökohdat vastaavat myös asetuksen (EU) 2016/679 vastaavia vaatimuksia.
                  
               
                     (79)
                  
                  
                     Jos tietosuojan riittävyyttä koskevaa asetusta ei ole, kansainvälisiä siirtoja voidaan tehdä, jos rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 46 artiklan mukaisesti. Nämä suojatoimet ovat samankaltaisia kuin asetuksen (EU) 2016/679 46 artiklassa säädetyt suojatoimet. Niihin kuuluvat muun muassa viranomaisten tai julkisten elinten väliset oikeudellisesti sitovat ja täytäntöönpanokelpoiset välineet, yritystä koskevat sitovat säännöt (75), tietosuojaa koskevat vakiolausekkeet, hyväksytyt käytännesäännöt ja sertifiointimekanismit sekä tietosuojavaltuutetun luvalla myös rekisterinpitäjien (tai henkilötietojen käsittelijöiden) väliset sopimuslausekkeet tai viranomaisten väliset hallinnolliset järjestelyt. Sääntöjä on kuitenkin muutettu menettelylliseltä kannalta, jotta ne toimisivat Yhdistyneen kuningaskunnan puitteissa. Näin ollen mm. tietosuojaa koskevat vakiolausekkeet voi hyväksyä vuoden 2018 tietosuojalain nojalla joko Secretary of State (17C §) tai tietosuojavaltuutettu (119A §).
                  
               
                     (80)
                  
                  
                     Jos tietosuojan riittävyyttä koskevaa asetusta tai asianmukaisia suojatoimia ei ole, siirto voi tapahtua ainoastaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklassa säädettyjen poikkeusten perusteella. (76) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ei tehdä näihin poikkeuksiin olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaaviin sääntöihin. Samoin kuin asetuksen (EU) 2016/679 nojalla, Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla tiettyjä poikkeuksia voidaan soveltaa vain satunnaisten siirtojen yhteydessä. (77) Lisäksi tietosuojavaltuutettu on selventänyt kansainvälisiä siirtoja koskevissa ohjeissaan, että näitä poikkeuksia olisi sovellettava vain todellisina poikkeuksina siitä yleissäännöstä, jonka mukaan rajoitettua siirtoa ei pitäisi tehdä, ellei siitä ole tehty tietosuojan riittävyyttä koskevaa päätöstä tai toteutettu asianmukaisia suojatoimia (78). Jos siirto on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi (49 artiklan 1 kohdan d alakohta), Secretary of State voi täsmentää säädöksessä ne olosuhteet, joissa henkilötietojen siirto kolmanteen maahan tai kansainväliselle järjestölle ei ole tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Lisäksi Secretary of State voi asetuksilla rajoittaa tietyn henkilötietoryhmän siirtämistä kolmanteen maahan tai kansainväliselle järjestölle, jos siirtoa ei voida tehdä tietosuojan riittävyyttä koskevan asetuksen nojalla ja Secretary of State katsoo, että rajoittaminen on tarpeen yleistä etua koskevien tärkeiden syiden vuoksi. Tällaisia asetuksia ei ole toistaiseksi annettu.
                  
               
                     (81)
                  
                  
                     Kansainvälisiä siirtoja koskevien puitteiden soveltaminen alkoi siirtymäkauden päätyttyä. (79) Vuoden 2018 tietosuojalain liitteessä 21 olevassa 4 kohdassa (otettu käyttöön tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla säädöksillä) kuitenkin säädetään, että siirtymäkauden päättymisestä lähtien tiettyjä henkilötietojen siirtoja kohdellaan ikään kuin ne perustuisivat tietosuojan riittävyyttä koskeviin asetuksiin. Tällaisia siirtoja ovat muun muassa siirrot, joiden määränpäänä on jokin ETA-valtio, Gibraltarin alue, jokin EU:n perussopimuksilla tai niiden nojalla perustettu EU:n toimielin, elin tai laitos tai kolmas maa, josta EU on ennen siirtymäkauden päättymistä tehnyt tietosuojan riittävyyttä koskevan päätöksen. Siirtoja näihin maihin voidaan jatkaa samalla tavoin kuin ennen Yhdistyneen kuningaskunnan eroamista EU:sta. Siirtymäkauden päättymisen jälkeen Secretary of Staten on tarkasteltava tietosuojan riittävyyttä uudelleen neljän vuoden jälkeen eli joulukuun 2024 loppuun mennessä. Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että vaikka Secretary of Staten on toteutettava tällainen uudelleentarkastelu joulukuun 2024 loppuun mennessä, siirtymäsäännöksiin ei sisälly raukeamissäännöstä, joten niiden oikeusvaikutus ei lakkaa automaattisesti, vaikka tarkastelu ei olisikaan saatettu päätökseen joulukuun 2024 loppuun mennessä.
                  
               
                     (82)
                  
                  
                     Todettakoon lopuksi, että jos kansainvälisiä siirtoja koskevaa Yhdistyneen kuningaskunnan järjestelmää muutetaan, esimerkiksi uusilla tietosuojan riittävyyttä koskevilla asetuksilla, kansainvälisillä sopimuksilla tai muilla siirtomekanismeilla, komissio seuraa tilannetta tiiviisti ja arvioi, käytetäänkö näitä eri siirtomekanismeja tavalla, joka takaa henkilötietojen suojan jatkuvuuden, ja toteuttaa tarvittaessa toimenpiteitä puuttuakseen jatkuvuuteen mahdollisesti kohdistuviin kielteisiin vaikutuksiin (ks. johdanto-osan 278–287 kappale). Koska kansainvälisiä siirtoja koskevat EU:n ja Yhdistyneen kuningaskunnan säännöt ovat hyvin samanlaiset, on odotettavissa, että ongelmalliset eroavuudet voitaisiin ratkaista yhteistyöllä ja vaihtamalla tietoja ja kokemuksia muun muassa Yhdistyneen kuningaskunnan tietosuojavaltuutetun ja Euroopan tietosuojaneuvoston kesken.
                  
               2.5.8   Vastuuvelvollisuus
         
         
                     (83)
                  
                  
                     Vastuuvelvollisuutta koskevan periaatteen mukaisesti tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle noudattavansa velvoitteita.
                  
               
                     (84)
                  
                  
                     Asetuksessa (EU) 2016/679 säädetty vastuuvelvollisuuden periaate on säilytetty Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 5 artiklan 2 momentissa ilman olennaisia muutoksia, kuten myös rekisterinpitäjän vastuuta koskeva 24 artikla, sisäänrakennettua ja oletusarvoista tietosuojaa koskeva 25 artikla ja käsittelytoimista laadittavaa selostetta koskeva 30 artikla. Myös 35 artikla (tietosuojaa koskeva vaikutustenarviointi) ja 36 artikla (valvontaviranomaisen ennakkokuuleminen) on säilytetty. Asetuksen (EU) 2016/679 37–39 artikla, joissa säädetään tietosuojavastaavan nimittämisestä ja tehtävistä, on niin ikään säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ilman olennaisia muutoksia. Myös asetuksen (EU) 2016/679 40 artikla (käytännesäännöt) ja 42 artikla (sertifiointi) on säilytetty Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa. (80)
                     
                  
               2.6   Valvonta ja täytäntöönpano
         
         2.6.1   Riippumaton valvonta
         
         
                     (85)
                  
                  
                     Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, olisi oltava riippumaton valvontaviranomainen, jonka tehtävänä on valvoa tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano. Kyseisen viranomaisen olisi toimittava riippumattomasti ja puolueettomasti tehtäviään suorittaessaan ja toimivaltuuksiaan käyttäessään.
                  
               
                     (86)
                  
                  
                     Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen ja vuoden 2018 tietosuojalain noudattamisen valvonnasta ja täytäntöönpanosta vastaa tietosuojavaltuutettu (Information Commissioner). Tietosuojavaltuutettu on ns. Corporation Sole eli itsenäinen oikeushenkilö, jonka tehtävää hoitaa yksi luonnollinen henkilö. Tietosuojavaltuutettua avustaa hänen työssään toimisto. Tietosuojavaltuutetun toimiston vakinaisten työntekijöiden määrä 31. maaliskuuta 2020 oli 768. (81) Tietosuojavaltuutettu toimii digitaaliasiain-, kulttuuri-, media- ja urheiluministeriön alaisuudessa. (82)
                     
                  
               
                     (87)
                  
                  
                     Tietosuojavaltuutetun riippumattomuus vahvistetaan nimenomaisesti Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 52 artiklassa, jossa ei ole tehty mitään olennaisia muutoksia EU:n yleisen tietosuoja-asetuksen 52 artiklan 1–3 kohtaan. Tietosuojavaltuutetun tulee toimia täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään hänelle Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisesti annettuja valtuuksia. Häneen ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti hänen hoitaessaan tehtäviään ja käyttäessään valtuuksiaan, eikä hän saa pyytää eikä ottaa ohjeita miltään taholta. Tietosuojavaltuutetun on myös pidättäydyttävä kaikesta toiminnasta, joka ei sovi yhteen hänen tehtäviensä hoitamisen kanssa, eikä hän saa toimikautensa aikana harjoittaa palkallista tai palkatonta yhteensopimatonta ammattitoimintaa.
                  
               
                     (88)
                  
                  
                     Tietosuojavaltuutetun nimittämistä ja erottamista koskevat ehdot esitetään vuoden 2018 tietosuojalain liitteessä 12. Hänen Majesteettinsa nimittää tietosuojavaltuutetun oikeudenmukaisen ja läpinäkyvän kilpailun perusteella laaditun hallituksen suosituksen mukaisesti. Hakijoilla on oltava asianmukainen tutkinto, taidot ja pätevyys. Neuvoa-antava arviointilautakunta laatii luettelon hyväksytyistä hakijoista julkisia nimityksiä koskevien hallintosääntöjen (83) mukaisesti. Secretary of State tekee päätöksensä sen jälkeen kun asianomainen parlamentin erityisvaliokunta on suorittanut ennakkotarkastelun. Lautakunnan lausunto julkaistaan (84).
                  
               
                     (89)
                  
                  
                     Tietosuojavaltuutetun toimikausi on enintään seitsemän vuotta. Toimikausien määrä on rajattu yhteen. Hänen Majesteettinsa voi erottaa tietosuojavaltuutetun parlamentin molempien kamarien esityksen (Address) perusteella. (85) Ehdotusta tietosuojavaltuutetun erottamisesta ei voida esittää kummallekaan parlamentin kamarille, ellei ministeri ole esittänyt selvitystä, jossa hän katsoo, että tietosuojavaltuutettu on syyllistynyt vakavaan väärinkäytökseen ja/tai hän ei enää täytä tietosuojavaltuutetun tehtävien hoitamiselle asetettuja edellytyksiä. (86)
                     
                  
               
                     (90)
                  
                  
                     Tietosuojavaltuutetun rahoitus on peräisin kolmesta lähteestä: i) rekisterinpitäjien maksamat tietosuojamaksut, jotka vahvistetaan Secretary of Staten asetuksella (87) (the Data Protection (Charges and Information) Regulations 2018) ja joilla katetaan 85–90 prosenttia toimiston vuosibudjetista (88); ii) hallituksen tietovaltuutetulle maksama tuki, jolla rahoitetaan pääasiassa muista kuin tietosuojaan liittyvistä tehtävistä aiheutuvat tietosuojavaltuutetun toimintakustannukset; (89) ja iii) palveluista perittävät maksut. (90) Tällä hetkellä tällaisia maksuja ei peritä.
                  
               
                     (91)
                  
                  
                     Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan kuuluvaa henkilötietojen käsittelyä, vahvistetaan tietosuoja-asetuksen 57 artiklassa, joka vastaa läheisesti asetuksen (EU) 2016/679 sääntöjä. Tehtäviin kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen seuranta ja täytäntöönpano, yleisen tietoisuuden edistäminen, rekisteröityjen tekemien valitusten käsittely, tutkimusten suorittaminen jne. Lisäksi vuoden 2018 tietosuojalain 115 §:ssä säädetään tietosuojavaltuutetun muista yleisistä tehtävistä, joihin kuuluu velvollisuus neuvoa parlamenttia, hallitusta ja muita toimielimiä ja elimiä yksilöiden oikeuksien ja vapauksien suojeluun liittyvissä lainsäädännöllisissä ja hallinnollisissa kysymyksissä sekä toimivalta antaa joko oma-aloitteisesti tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille toimielimille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Oikeuslaitoksen valvonta on osoitettu erityisille elimille (ks. johdanto-osan (99)–(103) kappale).
                  
               2.6.2   Täytäntöönpanon valvonta, ml. seuraamukset
         
         
                     (92)
                  
                  
                     Tietosuojavaltuutetun toimivalta vahvistetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklassa, johon ei ole tehty olennaisia muutoksia verrattuna asetuksen (EU) 2016/679 vastaavaan artiklaan. Vuoden 2018 tietosuojalaissa vahvistetaan täydentävät säännöt tämän toimivallan käytölle. Tietosuojavaltuutetulla on erityisesti toimivalta a) määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot ns. tiedonantomääräyksellä (information notice) (91); b) suorittaa tutkimuksia ja tarkastuksia antamalla ns. tarkastusmääräys (assessment notice), jonka nojalla rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (92); c) hankkia muulla tavoin pääsy rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ym. ja niiden tiloihin vuoden 2018 tietosuojalain 154 §:n mukaisesti (”pääsy- ja tarkastusvaltuudet”); d) käyttää korjaavia toimivaltuuksia esittämällä varoituksia ja moitteita tai antamalla täytäntöönpanomääräyksiä (enforcement notice), joissa rekisterinpitäjiä / henkilötietojen käsittelijöitä määrätään toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä, mukaan lukien mikä tahansa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan c–g ja j alakohdassa säädetty toimenpide (93); ja e) määrätä hallinnollisia sakkoja ns. seuraamusmääräyksellä (penalty notice) (94). Hallinnollisia sakkoja voidaan määrätä myös siinä tapauksessa, että viranomainen ei ole noudattanut Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (95)
                     
                  
               
                     (93)
                  
                  
                     Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään, missä olosuhteissa tietosuojavaltuutettu voi antaa em. ilmoituksia ja määräyksiä. (96) Rekisterinpitäjän tai henkilötietojen käsittelijän virheen vuoksi annettavassa täytäntöönpanomääräyksessä voidaan määrätä ainoastaan vaatimuksia, joita tietosuojavaltuutettu pitää asianmukaisina kyseisen virheen korjaamiseksi. Rekisterinpitäjälle ja henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen II luvun säännöksiä (käsittelyperiaatteet), 12–22 artiklaa (rekisteröidyn oikeudet), 25–39 artiklaa (rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuudet) tai 44–49 artiklaa (kansainväliset siirrot). Täytäntöönpanomääräys voidaan antaa myös silloin kun rekisterinpitäjä on laiminlyönyt vuoden 2018 tietosuojalain 137 §:n nojalla annettuun asetukseen perustuvan maksun suorittamisen. Lisäksi 41 artiklan mukaiselle valvontaelimelle tai sertifioinnin tarjoajalle voidaan antaa täytäntöönpanomääräys, jos ne eivät noudata Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen mukaisia velvollisuuksiaan. Seuraamusmääräys voidaan antaa myös henkilölle, jonka ei ole noudattanut saamaansa tiedonanto-, arviointi- tai täytäntöönpanomääräystä.
                  
               
                     (94)
                  
                  
                     Seuraamusmääräyksessä velvoitetaan henkilö maksamaan tietosuojavaltuutetulle määräyksessä esitetty määrä. Päättäessään seuraamusmääräyksen antamisesta ja seuraamuksen määrästä tietosuojavaltuutetun on otettava huomioon Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan 1 ja 2 kohdassa luetellut seikat, jotka vastaavat asetuksen (EU) 2016/679 sääntöjä. (97) Tietosuoja-asetuksen 83 artiklan 4 ja 5 kohdan mukaan näissä säännöksissä tarkoitettujen velvoitteiden laiminlyönnistä voidaan määrätä enintään 8 700 000 tai 17 500 000 punnan hallinnollinen sakko. Yritykselle sakkoja voidaan määrätä myös prosenttiosuutena vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta, jos kyseinen määrä olisi suurempi. Samoin kuin asetuksen (EU) 2016/679 vastaavissa säännöksissä, nämä määrät ovat Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artiklan nojalla 2 prosenttia (4 kohta) ja 4 prosenttia (5 kohta). Tiedonanto-, arviointi- tai täytäntöönpanomääräyksen noudattamatta jättämisen vuoksi voidaan määrätä seuraamusmääräyksellä sakkoa enintään 17 500 000 puntaa, tai jos kyseessä on yritys, 4 prosenttia sen vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta.
                  
               
                     (95)
                  
                  
                     Yhdistyneen kuningaskunnan yleisellä tietosuoja-asetuksella on yhdessä vuoden 2018 tietosuojalain kanssa myös vahvistettu tietosuojavaltuutetun muita toimivaltuuksia. Tietosuojavaltuutettu voi nyt esimerkiksi suorittaa pakollisia tarkastuksia kaikille rekisterinpitäjille ja henkilötietojen käsittelijöille käyttäen arviointimääräyksiä, kun aiemman lainsäädännön eli vuoden 1998 tietosuojalain nojalla tietosuojavaltuutetulla oli valtuudet tehdä pakollisia tarkastuksia vain keskushallinnon ja terveydenhuollon elimissä ja muiden oli annettava suostumuksensa tarkastukseen.
                  
               
                     (96)
                  
                  
                     Asetuksen (EU) 2016/679 voimaantulon jälkeen tietosuojavaltuutettu on käsitellyt vuosittain noin 40 000 rekisteröityjen tekemää valitusta (98), minkä lisäksi tietosuojavaltuutettu toteuttaa vuosittain noin 2 000 tutkimusta viran puolesta (99). Valtaosa valituksista liittyy tiedonsaantioikeuteen ja tietojen luovuttamiseen. Tietosuojavaltuutettu antaa tutkimustensa perusteella täytäntöönpanomääräyksiä useilla eri aloilla. Tietosuojavaltuutetun viimeisimmän vuosikertomuksen (2019–2020) (100) mukaan kyseisellä raportointikaudella annettiin 54 tiedonantomääräystä, 8 arviointimääräystä, 7 täytäntöönpanomääräystä ja 4 varoitusta sekä nostettiin 8 syytettä ja määrättiin sakkoja 15 tapauksessa (101).
                  
               
                     (97)
                  
                  
                     Tähän sisältyy useita asetuksen (EU) 2016/679 ja vuoden 2018 tietosuojalain nojalla määrättyjä merkittäviä taloudellisia seuraamuksia. Esimerkiksi lokakuussa 2020 tietosuojavaltuutettu määräsi eräälle brittiläiselle lentoyhtiölle 20 miljoonan punnan sakot tietoturvaloukkauksesta, joka kohdistui yli 400 000 asiakkaaseen. Lokakuun 2020 lopussa eräälle kansainväliselle hotelliketjulle määrättiin 18,4 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaidensa henkilötietoja riittävästi, ja marraskuussa 2020 eräälle verkossa tapahtumalippuja myyvälle palveluntarjoajalle määrättiin 1,25 miljoonan punnan sakot, koska se ei ollut suojannut asiakkaiden maksutietoja riittävästi. (102)
                     
                  
               
                     (98)
                  
                  
                     Koska eräät tietosuojalainsäädännön rikkomiset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan (92) kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista tai luovuttamista tahallisesti tai tuottamuksellisesti ilman rekisterinpitäjän suostumusta, henkilötietojen luovuttamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (103), anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (104), tahallinen toiminta, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (105), väärien lausuntojen antaminen tiedonantomääräyksen perusteella tai tietojen tuhoaminen tiedonanto- ja arviointimääräysten yhteydessä (106).
                  
               2.6.3   Oikeuslaitoksen valvonta
         
         
                     (99)
                  
                  
                     Tuomioistuinten ja oikeuslaitoksen suorittamaan henkilötietojen käsittelyyn sovelletaan kahta eri valvontamenettelyä. Silloin kun oikeuslaitoksen virkamies tai tuomioistuin ei toimi lainkäyttötehtävissä, valvonnasta vastaa tietosuojavaltuutettu. Sen sijaan silloin kun rekisterinpitäjä toimii lainkäyttötehtävissä, tietosuojavaltuutettu ei voi hoitaa valvontatehtäväänsä (107), vaan se on osoitettu erityisille elimille. Lähestymistapa on sama kuin asetuksen (EU) 2016/679 55 artiklan 3 kohdassa.
                  
               
                     (100)
                  
                  
                     Jälkimmäisessä tilanteessa valvonnasta vastaa Englannin ja Walesin tuomioistuinten (courts, First-tier ja Upper Tribunals) osalta oikeuslaitoksen tietosuojalautakunta (Judicial Data Protection Panel) (108). Lisäksi Englannin ja Walesin korkeimman oikeuden presidentti (Lord Chief Justice) on laatinut tietosuojaselosteen (Privacy Notice) (109), jossa kerrotaan, miten Englannin ja Walesin tuomioistuimet käsittelevät henkilötietoja lainkäyttötehtäviä varten. Vastaavan tietosuojaselosteen ovat antaneet myös Pohjois-Irlannin (110) ja Skotlannin (111) oikeusviranomaiset.
                  
               
                     (101)
                  
                  
                     Lisäksi Pohjois-Irlannin Lord Chief Justice on nimittänyt yhden High Court tuomioistuimen tuomarin tietosuojaa valvovaksi tuomariksi (112). Pohjois-Irlannin oikeuslaitokselle on myös laadittu ohjeet siitä, miten on toimittava tietojen (mahdollisen) menetyksen yhteydessä ja miten tästä mahdollisesti aiheutuvia ongelmia on käsiteltävä. (113)
                     
                  
               
                     (102)
                  
                  
                     Skotlannin ylin tuomari Lord President on nimittänyt tietosuojaa valvovan tuomarin (Data Supervisory Judge), jonka tehtävänä on tutkia tietosuojaa koskevia valituksia. Tästä säädetään oikeussuojakeinoja koskevissa säännöissä, jotka vastaavat Englannin ja Walesin osalta vahvistettuja sääntöjä. (114)
                     
                  
               
                     (103)
                  
                  
                     Lisäksi yksi korkeimman oikeuden (Supreme Court) tuomareista on nimitetty valvomaan tietosuojaa.
                  
               2.6.4   Oikeussuojakeinot
         
         
                     (104)
                  
                  
                     Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot ja myös oikeus saada vahingonkorvausta.
                  
               
                     (105)
                  
                  
                     Ensinnäkin rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännöksiä. (115) Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty tätä koskeva asetuksen (EU) 2016/679 77 artiklan sisältö ilman olennaisia muutoksia. Sama koskee 57 artiklan 1 kohdan f alakohtaa ja 2 kohtaa, joissa säädetään valitusten käsittelyyn liittyvistä tietosuojavaltuutetun tehtävistä. Kuten johdanto-osan 92–98 kappaleessa todetaan, tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta ja vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet tai pidättymään tietyistä toimista ja määrätä sakkoja.
                  
               
                     (106)
                  
                  
                     Toiseksi Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin häntä itseään koskevaa tietosuojavaltuutetun oikeudellisesti sitovaa päätöstä vastaan. Tuomioistuinvalvonnan yhteydessä tuomari tutkii kantelun kohteena olevan päätöksen selvittääkseen, onko tietosuojavaltuutettu toiminut lainmukaisesti. Lisäksi Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohdassa säädetään, että jos tietosuojavaltuutettu ei käsittele rekisteröidyn valitusta asianmukaisesti, (116) valituksen tekijällä on oikeus oikeussuojakeinoihin. Hän voi pyytää, että First Tier Tribunal -tuomioistuin määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (117) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. (118) Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä.
                  
               
                     (107)
                  
                  
                     Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 79 artiklan ja vuoden 2018 tietosuojalain 167 §:n nojalla. Jos tuomioistuin katsoo rekisteröidyn hakemuksen perusteella, että tietosuojalainsäädäntöön perustuvia rekisteröidyn oikeuksia on loukattu, se voi määrätä käsittelystä vastaavan rekisterinpitäjän tai tämän puolesta toimivan henkilötietojen käsittelijän toteuttamaan määräyksessä yksilöidyt toimenpiteet tai pidättymään siinä yksilöidyistä toimenpiteistä.
                  
               
                     (108)
                  
                  
                     Lisäksi kaikilla sellaisilla henkilöillä, jotka ovat kärsineet aineellista tai aineetonta vahinkoa Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen säännösten rikkomisen vuoksi, on tietosuoja-asetuksen 82 artiklan tai vuoden 2018 tietosuojalain 168 §:n nojalla oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 82 artiklan 1–5 kohdassa olevat korvauksia ja vastuuta koskevat säännöt ovat identtiset asetuksen (EU) 2016/679 vastaavien sääntöjen kanssa. Vuoden 2018 tietosuojalain 168 §:n nojalla aineettomiin vahinkoihin sisältyy myös kärsimys. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 80 artiklan nojalla rekisteröidyllä on myös oikeus valtuuttaa jokin elin tai organisaatio tekemään puolestaan valitus tietosuojavaltuutetulle (77 §) ja käyttämään oikeuksia, joista säädetään 78 §:ssä (oikeus tehokkaisiin oikeudellisiin oikeussuojakeinoihin tietosuojavaltuutettua vastaan), 79 §:ssä (oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan) ja 82 §:ssä (vastuu ja oikeus korvauksen saamiseen).
                  
               
                     (109)
                  
                  
                     Neljänneksi henkilö, joka katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, mukaan lukien oikeutta yksityisyyteen ja tietosuojaan, voi edellä mainittujen oikeussuojakeinojen lisäksi viedä asian Yhdistyneen kuningaskunnan tuomioistuimiin vuoden 1998 ihmisoikeuslain nojalla. (119) Henkilö, joka väittää, että viranomainen on toiminut (tai aikoo toimia) tavalla, joka on ristiriidassa jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa ja siten vuoden 1998 ihmisoikeuslain 6 §:n 1 momentin nojalla lainvastainen, voi nostaa kanteen kyseistä viranomaista vastaan toimivaltaisessa tuomioistuimessa tai vedota asianomaisiin oikeuksiin missä tahansa oikeudenkäynnissä, kun hän on (tai olisi) lainvastaisen teon uhri.
                  
               
                     (110)
                  
                  
                     Jos tuomioistuin toteaa, että jokin viranomaisen toimi on lainvastainen, se voi toimivaltuuksiensa puitteissa myöntää sellaisen vaatimuksen tai oikeussuojakeinon tai antaa sellaisen määräyksen, jonka se katsoo kohtuulliseksi ja asianmukaiseksi. (120) Tuomioistuin voi myös todeta, että jokin primaarioikeuden säännös ei sovi yhteen jonkin ihmisoikeussopimukseen perustuvan oikeuden kanssa.
                  
               
                     (111)
                  
                  
                     Sen jälkeen kun kansalliset oikeussuojakeinot on käytetty loppuun, yksilö voi myös käyttää oikeussuojakeinoja Euroopan ihmisoikeustuomioistuimessa, jos Euroopan ihmisoikeussopimuksessa taattuja oikeuksia on loukattu.
                  
               3.   VIRANOMAISTEN PÄÄSY EUROOPAN UNIONISTA YHDISTYNEESEEN KUNINGASKUNTAAN SIIRRETTYIHIN HENKILÖTIETOIHIN JA NÄIDEN TIETOJEN KÄYTTÖ
         
         
                     (112)
                  
                  
                     Komissio on arvioinut Yhdistyneen kuningaskunnan lainsäädäntökehystä myös siltä osin kuin on kyse siitä, kuinka viranomaiset voivat kerätä ja käyttää Yhdistyneen kuningaskunnan toiminnanharjoittajille siirrettyjä henkilötietoja yleisen edun nimissä, erityisesti rikosoikeudellista täytäntöönpanoa ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten, jäljempänä ’viranomaisten pääsy tietoihin’. Kun komissio arvioi, vastaavatko edellytykset, joiden nojalla viranomaiset käyttävät Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla siirrettyjä tietoja, ”olennaisilta osin” asetuksen (EU) 2016/679 45 artiklan 1 kohdassa esitettyjä vaatimuksia, sellaisena kuin Euroopan unionin tuomioistuin on niitä tulkinnut perusoikeuskirjan valossa, se ottaa huomioon erityisesti seuraavat kriteerit.
                  
               
                     (113)
                  
                  
                     Ensinnäkin kaikista henkilötietojen suojaa koskevan oikeuden rajoituksista on säädettävä lailla, ja itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus. (121)
                     
                  
               
                     (114)
                  
                  
                     Toiseksi, sen oikeasuhteisuutta koskevan vaatimuksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on ehdottoman välttämätöntä demokraattisessa yhteiskunnassa, jotta voidaan saavuttaa yleisen edun mukaiset tavoitteet, jotka vastaavat unionin tunnustamia tavoitteita, asianomaisen kolmannen maan lainsäädännössä, jossa sallitaan puuttuminen henkilötietojen suojaan, on vahvistettava selkeät ja täsmälliset säännöt, joilla säännellään kyseisten toimenpiteiden soveltamisalaa ja soveltamista ja vahvistetaan vähimmäistakeet, niin että henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden nojalla heidän henkilötietojaan suojataan tehokkaasti väärinkäytön riskiltä. (122) Tällaisessa lainsäädännössä on erityisesti ilmoitettava, missä olosuhteissa ja millä edellytyksillä tällaisten henkilötietojen käsittelyä koskeva toimenpide voidaan toteuttaa (123), ja säädettävä, että tällaisten vaatimusten täyttämiseen on sovellettava riippumatonta valvontaa (124).
                  
               
                     (115)
                  
                  
                     Kolmanneksi tällaisen lainsäädännön on oltava kansallisen oikeuden nojalla oikeudellisesti sitovaa, ja sen lisäksi, että oikeudellisten vaatimusten on sidottava viranomaisia, niihin on myös voitava vedota viranomaisia vastaan asianomaisen kolmannen maan tuomioistuimissa. (125) Rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (126)
                     
                  
               3.1   Yleinen oikeudellinen kehys
         
         
                     (116)
                  
                  
                     Viranomaisten pääsy tietoihin Yhdistyneessä kuningaskunnassa osana julkisen vallan käyttöä on toteutettava kaikilta osin lain mukaisesti. Yhdistynyt kuningaskunta on ratifioinut Euroopan ihmisoikeussopimuksen (ks. johdanto-osan 9 kappale), ja kaikkien sen viranomaisten on noudatettava kyseistä sopimusta. (127) Ihmisoikeussopimuksen 8 artiklan mukaan yksityisyydensuojaa koskevan oikeuden käyttämiseen voidaan puuttua vain kun laki sen sallii ja se on välttämätöntä jonkin 8 artiklan 2 kohdassa asetetun tavoitteen vuoksi ja oikeassa suhteessa näihin tavoitteisiin nähden. Lisäksi 8 artiklassa edellytetään, että laki ”sallii” puuttumisen, eli että laissa on sille selkeä ja helposti saatavilla oleva peruste ja asianmukaiset takeet väärinkäytösten estämiseksi.
                  
               
                     (117)
                  
                  
                     Euroopan ihmisoikeustuomioistuin on myös täsmentänyt oikeuskäytännössään, että puuttuminen yksityisyyttä ja tietosuojaa koskevaan oikeuteen edellyttää tehokasta, riippumatonta ja puolueetonta valvontajärjestelmää, josta vastaa joko tuomari tai muu riippumaton elin (128) (esim. hallintoviranomainen tai parlamentaarinen elin).
                  
               
                     (118)
                  
                  
                     Lisäksi yksilöillä on oltava tehokkaat oikeussuojakeinot. Euroopan ihmisoikeustuomioistuin on selventänyt, että oikeussuojakeinoja on voitava käyttää riippumattomassa ja puolueettomassa elimessä, joka on vahvistanut oman työjärjestyksensä ja joka koostuu jäsenistä, joilla on kokemusta tuomarin viran hoitamisesta tai jotka ovat kokeneita juristeja. Hakemuksen esittäminen tälle elimelle ei myöskään saa edellyttää todistustaakkaa. Kun tämä riippumaton ja puolueeton elin ryhtyy tutkimaan yksilöiden tekemiä valituksia, sillä olisi oltava pääsy kaikkiin asiaankuuluviin tietoihin, myös suojattuihin aineistoihin. Elimellä olisi myös oltava valtuudet korjata tietosuojasääntöjen rikkominen (129).
                  
               
                     (119)
                  
                  
                     Yhdistynyt kuningaskunta on ratifioinut myös Euroopan neuvoston yleissopimuksen (N:o 108) yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja allekirjoittanut vuonna 2018 sen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+). (130) Yleissopimuksen N:o 108 9 artiklan mukaan poikkeukset yleisistä tietosuojaperiaatteista (5 artikla Tietojen laatu), erityisiä tietoryhmiä koskevista säännöistä (6 artikla Erityiset tietoryhmät) ja rekisteröidyn oikeuksista (8 artikla Lisätoimet rekisteröidyn suojelemiseksi) on sallittu ainoastaan silloin, kun sellaisesta poikkeamisesta on sopimuspuolen lainsäädännössä säädetty ja se on välttämätöntä demokraattisessa yhteiskunnassa valtion turvallisuuden, yleisen turvallisuuden, valtion rahatalouden etujen suojaamiseksi tai rikosten ehkäisemiseksi tai rekisteröidyn tai muiden henkilöiden oikeuksien ja vapauksien turvaamiseksi. (131)
                     
                  
               
                     (120)
                  
                  
                     Koska Yhdistynyt kuningaskunta on Euroopan neuvoston jäsen ja Euroopan ihmisoikeussopimuksen osapuoli, joka kuuluu Euroopan ihmisoikeustuomioistuimen lainkäyttövallan piiriin, sillä on erilaisia kansainvälisessä oikeudessa vahvistettuja velvoitteita, joiden nojalla viranomaisten pääsyä tietoihin sääntelevät periaatteet, takeet ja yksilön oikeudet ovat hyvin samanlaisia kuin jäsenvaltioihin sovellettavat EU:n oikeudessa taatut periaatteet, takeet ja yksilön oikeudet. Kuten johdanto-osan 19 kappaleessa korostetaan, mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.
                  
               
                     (121)
                  
                  
                     Lisäksi vuoden 2018 tietosuojalailla taataan erityiset tietosuojatakeet ja -oikeudet silloin kun tietoja käsittelevät viranomaiset, mukaan lukien lainvalvontaviranomaiset ja kansalliset turvallisuuselimet.
                  
               
                     (122)
                  
                  
                     Esimerkiksi säännöt henkilötietojen käsittelystä rikosoikeudellisen täytäntöönpanon yhteydessä sisältyvät vuoden 2018 tietosuojalain 3 osaan; laki on annettu direktiivin (EU) 2016/680 saattamiseksi osaksi kansallista lainsäädäntöä. Tietosuojalain 3 osaa sovelletaan henkilötietojen käsittelyyn, jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. (132)
                     
                  
               
                     (123)
                  
                  
                     Tietosuojalain 30 §:ssä määritellään ”toimivaltaisen viranomaisen” käsite siten, että se on vuoden 2018 tietosuojalain liitteen 7 luettelossa mainittu henkilö tai muu henkilö siltä osin kuin henkilöllä on lakisääteisiä tehtäviä lainvalvonnassa. (133) Kuten jäljempänä selitetään (ks. johdanto-osan 139 kappale), eräät toimivaltaiset viranomaiset (esimerkiksi kansallinen rikosvirasto NCA) voivat tietyin edellytyksin käyttää vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia valtuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Tiedustelupalvelut (salainen tiedustelupalvelu (Secret Intelligence Service), turvallisuuspalvelu (Security Service) ja tiedustelupalvelu (Government Communications Headquarters)) eivät ole vuoden 2018 tietosuojalain 3 osassa tarkoitettuja toimivaltaisia viranomaisia (134), minkä vuoksi siinä vahvistettuja sääntöjä ei sovelleta mihinkään niiden toimiin. Tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä säännellään vuoden 2018 tietosuojalaissa erikseen (4 osassa; ks. tarkemmin johdanto-osan 125 kappale).
                  
               
                     (124)
                  
                  
                     Samoin kuin direktiivissä (EU) 2016/680, vuoden 2018 tietosuojalain 3 osassa säädetään lainmukaisuuden ja kohtuullisuuden periaatteista (135), käyttötarkoituksen rajoittamisesta (136), tietojen minimoinnista (137), täsmällisyydestä (138), säilytyksen rajoittamisesta (139) ja tietoturvasta (140). Lainsäädännössä asetetaan erityisiä läpinäkyvyyttä koskevia velvoitteita (141) ja myönnetään yksilöille oikeus tutustua tietoihin (142), oikaista ja poistaa ne (143) sekä oikeus olla joutumatta automatisoidun päätöksenteon kohteeksi (144). Toimivaltaisten viranomaisten on myös toteutettava sisäänrakennettu ja oletusarvoinen tietosuoja, pidettävä kirjaa käsittelytoimista ja tiettyjen ja toteutettava tiettyjen käsittelytoimien osalta vaikutustenarviointeja ja kuultava etukäteen tietosuojavaltuutettua. (145) Vuoden 2018 tietosuojalain 56 §:n nojalla viranomaisten on osoitettava, että vaatimuksia noudatetaan. Niiden on myös otettava käyttöön asianmukaiset toimenpiteet käsittelyn turvallisuuden varmistamiseksi (146), minkä lisäksi niille on osoitettu erityisiä velvoitteita tietoturvaloukkauksen tapahtuessa, muun muassa velvollisuus ilmoittaa tällaisista loukkauksista tietosuojavaltuutetulle ja rekisteröidyille. (147) Samoin kuin direktiivissä (EU) 2016/680, rekisterinpitäjälle (silloin kun kyseessä ei ole tuomioistuin tai muu oikeusviranomainen, joka hoitaa lainkäyttötehtäviä) on asetettu velvollisuus nimittää tietosuojavastaava (148), joka avustaa rekisterinpitäjää sen velvollisuuksien täyttämisessä ja noudattamisen seurannassa. (149) Lisäksi lainsäädännössä asetetaan erityisiä vaatimuksia lainkäyttötarkoituksessa tehtävälle henkilötietojen siirtämiselle kolmansiin maihin tai kansainvälisille järjestöille, jotta voidaan varmistaa suojelun jatkuvuus. (150) Komissio on antanut samaan aikaan tämän päätöksen kanssa tietosuojan riittävyyttä koskevan päätöksen, joka perustuu direktiivin (EU) 2016/680 36 artiklan 3 kohtaan ja jonka mukaan Yhdistyneen kuningaskunnan rikosoikeudellisten lainvalvontaviranomaisten suorittamaan tietojenkäsittelyyn sovellettava tietosuojajärjestelmä takaa tietosuojan tason, joka vastaa olennaisilta osin direktiivissä (EU) 2016/680 taattua tietosuojan tasoa.
                  
               
                     (125)
                  
                  
                     Vuoden 2018 tietosuojalain 4 osaa sovelletaan kaikkeen tiedustelupalvelujen suorittamaan tai niiden puolesta tapahtuvaan käsittelyyn. Siinä esitetään erityisesti tärkeimmät tietosuojaperiaatteet (lainmukaisuus, kohtuullisuus ja läpinäkyvyys (151); käyttötarkoituksen rajoittaminen (152); tietojen minimointi (153); täsmällisyys (154); säilyttämisen rajoittaminen (155) ja turvallisuus (156)), asetetaan edellytykset erityisten tietoryhmien käsittelylle (157), säädetään rekisteröityjen oikeuksista (158), edellytetään sisäänrakennettua tietosuojaa (159) ja säännellään henkilötietojen kansainvälisiä siirtoja (160). Tietosuojavaltuutettu on äskettäin antanut yksityiskohtaisia ohjeita tiedustelutietojen käsittelystä vuoden 2018 tietosuojalain 4 osan nojalla. (161)
                     
                  
               
                     (126)
                  
                  
                     Toisaalta vuoden 2018 tietosuojalain 110 §:ssä säädetään sen 4 osan erityissäännöksiä koskevasta poikkeuksesta (162) silloin kun se on tarpeen kansallisen turvallisuuden takaamiseksi. Poikkeukseen voidaan vedota tapauskohtaisen analyysin perusteella. (163) Kuten Yhdistyneen kuningaskunnan viranomaiset ovat selvittäneet ja oikeuskäytännössä on vahvistettu, ”rekisterinpitäjän on otettava huomioon, mitä tosiasiallisia seurauksia asianomaisten tietosuojasääntöjen noudattamisesta aiheutuisi kansalliselle turvallisuudelle tai puolustukselle, ja olisiko niiden kohtuudella mahdollista noudattaa tavanomaisia sääntöjä ilman, että siitä aiheutuisi seurauksia kansalliselle turvallisuudelle tai puolustukselle”. (164) Sen, onko poikkeusta sovellettu asianmukaisella tavalla, ratkaisee tietosuojavaltuutettu (165).
                  
               
                     (127)
                  
                  
                     Lisäksi mahdollisuudesta rajoittaa edellä mainittujen säännösten soveltamista ”kansallisen turvallisuuden” suojelemiseksi vuoden 2018 tietosuojalain 111 §:ssä säädetään, että rekisterinpitäjä voi pyytää kabinettiministerin tai oikeuskanslerin (Attorney General) allekirjoittamaa todistusta siitä, että tällaisten oikeuksien rajoittaminen on välttämätön ja oikeasuhteinen toimenpide kansallisen turvallisuuden suojelemiseksi. (166)
                     
                  
               
                     (128)
                  
                  
                     Yhdistyneen kuningaskunnan hallitus on antanut ohjeita auttaakseen rekisterinpitäjiä sen arvioimisessa, olisiko niiden haettava kansallista turvallisuutta koskevaa todistusta vuoden 2018 tietosuojalain nojalla. Ohjeissa korostetaan erityisesti, että kaikkien kansalliseen turvallisuuteen liittyvien rekisteröityjen oikeuksien rajoitusten on oltava oikeasuhteisia ja välttämättömiä. (167) Kaikki kansallisen turvallisuuden nojalla annetut todistukset on julkaistava tietosuojavaltuutetun verkkosivuilla. (168)
                     
                  
               
                     (129)
                  
                  
                     Todistuksen olisi oltava voimassa määrätyn ajan ja enintään viisi vuotta, jotta toimeenpanovallan käyttäjä voi tarkastella sitä säännöllisesti uudelleen. (169) Todistuksessa on yksilöitävä ne henkilötiedot tai henkilötietoryhmät, joihin poikkeusta sovelletaan, sekä ne vuoden 2018 tietosuojalain säännökset, joista poikkeaminen sallitaan. (170)
                     
                  
               
                     (130)
                  
                  
                     On huomattava, että kansalliseen turvallisuuteen perustuvat todistukset eivät muodosta lisäperustetta tietosuojaoikeuksien rajoittamiselle kansalliseen turvallisuuteen liittyvien syiden vuoksi. Toisin sanoen rekisterinpitäjä tai henkilötietojen käsittelijä voi vedota todistukseen vain jos se on katsonut tarpeelliseksi vedota kansallista turvallisuutta koskevaan poikkeukseen, jota edellä esitetyn mukaisesti on sovellettava tapauskohtaisesti. (171) Vaikka asiaan sovellettaisiin kansallista turvallisuutta koskevaa todistusta, tietosuojavaltuutettu voi tutkia, oliko vetoaminen siinä myönnettyyn poikkeukseen kyseisessä tapauksessa perusteltua. (172)
                     
                  
               
                     (131)
                  
                  
                     Jokainen, jota todistuksen antaminen suoraan koskee, voi hakea Upper Tribunal -tuomioistuimessa (173) muutosta todistukseen (174), tai jos tiedot esitetään todistuksessa yleisellä tasolla, vastustaa todistuksen soveltamista määrättyihin tietoihin. (175) Tuomioistuin tutkii todistuksen antamista koskevan päätöksen ja päättää, oliko sen antamiseen perusteltu syy. (176) Tuomioistuin voi tarkastella tätä varten erilaisia seikkoja, kuten tarpeellisuutta, oikeasuhteisuutta ja lainmukaisuutta, ottaen huomioon todistuksen vaikutukset rekisteröityjen oikeuksiin ja tasapainottaen niitä suhteessa tarpeeseen varmistaa kansallinen turvallisuus. Tämän perusteella tuomioistuin voi päättää, että todistusta ei sovelleta muutoksenhaun kohteena oleviin henkilötietoihin. (177)
                     
                  
               
                     (132)
                  
                  
                     Muita mahdollisia rajoituksia voidaan soveltaa vuoden 2018 tietosuojalain liitteen 11 nojalla tiettyihin tietosuojalain 4 osan säännöksiin (178) muiden yleisen edun mukaisten tärkeiden tavoitteiden tai sellaisten suojattujen etujen turvaamiseksi kuin esimerkiksi parlamentaarinen koskemattomuus, asianajosalaisuus, oikeudenkäynnin kulku tai asevoimien toimintakyky. (179) Näiden säännösten soveltaminen on joko vapautettu tiettyjen tietoryhmien osalta (”luokitusperusteinen vapautus”) tai siltä osin kuin niiden soveltaminen todennäköisesti vahingoittaisi kyseistä suojattua etua (”vahinkoperusteinen vapautus”). (180) Vahinkoperusteisiin vapautuksiin voidaan vedota vain siltä osin kuin säännöksessä lueteltujen tietosuojasäännösten soveltaminen todennäköisesti vahingoittaisi kyseessä olevaa etua. Tämä tarkoittaa, että vapautuksen soveltaminen on aina perusteltava viittaamalla vahinkoon, jonka sen soveltaminen kyseisessä yksittäisessä tapauksessa todennäköisesti aiheuttaisi. Luokitusperusteisiin vapautuksiin voidaan vedota vain niiden rajoitettujen tietoryhmien osalta, joiden osalta vapautus myönnetään. Nämä ovat tarkoitukseltaan ja vaikutuksiltaan samantapaisia kuin monet Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen (vuoden 2018 tietosuojalain liitteen 2 nojalla) sovellettavat poikkeukset, jotka puolestaan vastaavat EU:n tietosuoja-asetuksen 23 artiklan säännöksiä.
                  
               
                     (133)
                  
                  
                     Edellä esitetystä seuraa, että Yhdistyneen kuningaskunnan sovellettavien säännösten nojalla on käytössä rajoituksia ja ehtoja, joita myös tuomioistuimet ja tietosuojavaltuutettu tulkitsevat, sen varmistamiseksi, että näitä poikkeuksia ja rajoituksia sovelletaan vain siltä osin kuin se on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojelemiseksi.
                  
               3.2   Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö rikosoikeudellisia lainvalvontatarkoituksia varten
         
         
                     (134)
                  
                  
                     Yhdistyneen kuningaskunnan lainsäädännössä asetetaan useita rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikosoikeudellisia lainvalvontatarkoituksia varten sekä tähän liittyviä valvonta- ja oikeussuojamekanismeja. Nämä säännökset vastaavat vaatimuksia, joihin viitataan tämän päätöksen johdanto-osan 113–115 kappaleessa. Seuraavassa arvioidaan yksityiskohtaisesti edellytyksiä, joiden täyttyessä pääsy henkilötietoihin voi toteutua, ja näiden toimivaltuuksien käyttöön liittyvien suojatoimien soveltamista.
                  
               3.2.1   Oikeusperustat ja sovellettavat rajoitukset/suojatoimet
         
         
                     (135)
                  
                  
                     Vuoden 2018 tietosuojalain 35 §:ssä vahvistetun lainmukaisuusperiaatteen mukaan henkilötietojen käsittely jotakin lainvalvontatarkoitusta varten on lainmukaista vain, jos käsittely perustuu lainsäädäntöön ja rekisteröity on antanut suostumuksensa tietojen käsittelyyn tätä tarkoitusta varten (181) tai jos käsittely on tarpeen toimivaltaisen viranomaisen tätä tarkoitusta varten suorittaman tehtävän suorittamiseksi.
                  
               3.2.1.1   Etsintä- ja esittämismääräykset
         
         
                     (136)
                  
                  
                     Yhdistyneen kuningaskunnan oikeudellisessa kehyksessä henkilötietojen kerääminen toiminnanharjoittajilta, myös sellaisilta toiminnanharjoittajilta, jotka käsittelevät EU:sta tämän tietosuojan riittävyyttä koskevan päätöksen nojalla siirrettyjä tietoja, on sallittua lainvalvontatarkoituksia varten etsintä (182)- ja esittämismääräysten (183) perusteella.
                  
               
                     (137)
                  
                  
                     Etsintämääräykset antaa tuomioistuin, yleensä tutkinnasta vastaavan virkamiehen hakemuksen perusteella. Etsintämääräyksen nojalla tutkijoilla on pääsy tiloihin etsimään tutkinnan kannalta merkityksellistä aineistoa tai henkilöitä ja oikeus ottaa haltuunsa aineisto, jonka etsimiseen lupa on myönnetty, esimerkiksi asiakirjat tai henkilötietoja sisältävä aineisto. (184) Myös esittämismääräyksen on oltava tuomioistuimen antama. Määräyksessä mainittu henkilö määrätään esittämään hallussaan tai valvonnassaan oleva aineisto tai antamaan pääsy siihen. Hakijan on perusteltava tuomioistuimelle, miksi etsintä- tai esittämismääräys on tarpeen ja miksi se on yleisen edun mukainen. Etsintä- tai esittämismääräys voidaan myöntää useiden eri lakisääteisten valtuuksien nojalla. Jokaiseen tällaiseen säännökseen liittyy tiettyjä lakisääteisiä edellytyksiä, joiden on täytyttävä, ennen kuin etsintä (185)- tai esittämismääräys (186) voidaan myöntää.
                  
               
                     (138)
                  
                  
                     Etsintä- ja esittämismääräyksiin voidaan hakea muutosta tuomioistuimessa. (187) Suojatoimien osalta todetaan, että kaikilla vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvilla rikosoikeudellisilla lainvalvontaviranomaisilla, saa olla pääsy henkilötietoihin – mikä on yksi käsittelymuoto – ainoastaan kyseisessä laissa vahvistettujen periaatteiden ja vaatimusten mukaisesti (ks. johdanto-osan 122 ja 124 kappale). Siksi kaikkien lainvalvontaviranomaisten pyyntöjen on oltava sen periaatteen mukaisia, että käsittelytarkoituksen on oltava tietty, nimenomainen ja laillinen (188) ja että toimivaltaisen viranomaisen käsittelemien henkilötietojen on oltava merkityksellisiä tämän tarkoituksen kannalta eivätkä ne saa olla liiallisia (189).
                  
               3.2.1.2   Tutkintavaltuudet lainvalvontatarkoituksia varten
         
         
                     (139)
                  
                  
                     Ainoastaan vakavien rikosten (190) ehkäisemiseksi tai paljastamiseksi tietyt lainvalvontaviranomaiset, kuten kansallinen rikosvirasto NCA tai poliisipäällikkö (191), voivat käyttää vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä kohdennettuja tutkintavaltuuksia. Siinä tapauksessa sovelletaan vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä suojatoimia vuoden 2018 tietosuojalain 3 osassa säädettyjen suojatoimien lisäksi. Kyseiset lainvalvontaviranomaiset voivat käyttää tällaisissa tapauksissa seuraavia tutkintavaltuuksia: kohdennettu telekuuntelu (vuonna 2016 tutkintavaltuuksista annetun lain (IPA 2016) 2 osa), viestintätietojen hankinta (lain 3 osa), viestintätietojen säilyttäminen (lain 4 osa) ja kohdennettu laitetutkinta (lain 5 osa). Telekuuntelu kattaa viestinnän sisällön hankinnan (192), kun taas viestintätietojen hankinnan ja säilyttämisen tarkoituksena ei ole viestinnän sisällön hankkiminen, vaan sen selvittäminen, ”kuka, milloin, missä ja miten” toteuttaa viestintää. Tämä koskee esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut, ja puhelinliittymän tilaajaa tai eriteltyä laskua. (193) Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista, kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (194)
                     
                  
               
                     (140)
                  
                  
                     Kohdennettuja telekuunteluvaltuuksia voidaan käyttää myös silloin kun se on ”tarpeen keskinäistä avunantoa koskevan EU:n tai kansainvälisen sopimuksen täytäntöönpanoa varten” (nk. ”keskinäistä avunantoa koskeva määräys” (195)). Keskinäistä avunantoa koskeva määräys voidaan antaa ainoastaan telekuuntelua varten, ei viestintätietojen hankkimista tai laitetutkintaa varten. Näitä kohdennettuja valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetulla lailla (IPA 2016) (196). Kyseisessä laissa ja tutkintavaltuuksista annetuissa asetuksissa (Englannin, Walesin ja Pohjois-Irlannin osalta Regulation of Investigatory Powers Act 2000 (RIPA) ja Skotlannin osalta Regulation of Investigatory Powers (Scotland) Act 2000 (RIPSA)) vahvistetaan oikeusperusta ja näiden valtuuksien käyttöä koskevat rajoitukset ja suojatoimet. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään myös laajamittaisten tutkintavaltuuksien käytöstä, vaikka ne eivät ole lainvalvontaviranomaisten saatavilla (niitä voi käyttää ainoastaan tiedustelupalvelu). (197)
                     
                  
               
                     (141)
                  
                  
                     Viranomaisten on saatava näiden valtuuksien käyttämistä varten määräys (198), jonka antaa toimivaltainen viranomainen (199) ja jonka riippumaton oikeusvaltuutettu (Judicial Commissioner) (200) vahvistaa (nk. kaksinkertainen hyväksyntä). Tällaisen määräyksen saaminen edellyttää tarpeellisuuden ja oikeasuhteisuuden arviointia. (201) Koska nämä vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt kohdennetut tutkintavaltuudet ovat samat kuin ne, jotka ovat kansallisesta turvallisuudesta vastaavien virastojen saatavilla, niiden käyttöä koskevista edellytyksistä, rajoituksista ja suojatoimista säädetään yksityiskohtaisesti säännöksessä, joka koskee Yhdistyneen kuningaskunnan viranomaisten pääsyä henkilötietoihin ja niiden käyttöä kansalliseen turvallisuuteen liittyviä tarkoituksia varten (ks. johdanto-osan (177) kappale ja sitä seuraavat kappaleet).
                  
               3.2.2   Kerättyjen tietojen myöhempi käyttö
         
         
                     (142)
                  
                  
                     Lainvalvontaviranomainen voi jakaa tietoja toisille viranomaisille muita kuin niitä tarkoituksia varten, johon ne alun perin kerättiin, jäljempänä ’tietojen jakaminen edelleen’ vain tiettyjen edellytysten täyttyessä.
                  
               
                     (143)
                  
                  
                     Samoin kuin direktiivin (EU) 2016/680 4 artiklan 2 kohdassa, vuoden 2018 tietosuojalain 36 §:n 3 momentissa sallitaan toimivaltaisen viranomaisen lainvalvontatarkoituksia varten keräämien henkilötietojen myöhempi käsittely (joko alkuperäisen rekisterinpitäjän tai toisen rekisterinpitäjän toimesta) muuta kuin alkuperäistä lainvalvontatarkoitusta varten, sikäli kuin rekisterinpitäjällä on lupa käsitellä tällaisia henkilötietoja tällaista tarkoitusta varten ja käsittely tätä muuta tarkoitusta varten on tarpeellista ja oikeasuhteista (202). Tässä tapauksessa vastaanottavan viranomaisen soveltamaan käsittelyyn sovelletaan kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä suojatoimia, joihin viitataan johdanto-osan 122 ja 124 kappaleessa.
                  
               
                     (144)
                  
                  
                     Yhdistyneen kuningaskunnan oikeusjärjestyksessä tällainen myöhempi jakaminen sallitaan nimenomaisesti eri laeissa. Muun muassa i) vuoden 2017 digitaalitaloutta koskevassa laissa (Digital Economy Act 2017) sallitaan tietojen jakaminen viranomaisten kesken eri tarkoituksia varten, esimerkiksi jos on kyse julkiseen sektoriin kohdistuvasta petoksesta, joka aiheuttaisi viranomaisille menetyksiä tai menetysten riskin (203) tai jos kyseessä on velka viranomaiselle tai valtiolle (the Crown) (204); ii) vuonna 2013 rikoksista ja tuomioistuimista annetussa laissa (Crime and Courts Act 2013) sallitaan tietojen jakaminen kansallisen rikosviraston (National Crime Agency, NCA) (205) kanssa vakavan ja järjestäytyneen rikollisuuden torjuntaa, tutkintaa ja syytteeseenpanoa varten; iii) vuonna 2007 vakavasta rikollisuudesta annetussa laissa (Serious Crime Act 2007) sallitaan viranomaisten paljastaa tietoja petostentorjunnasta vastaaville organisaatioille petostentorjuntaa varten. (206)
                     
                  
               
                     (145)
                  
                  
                     Näissä laeissa säädetään nimenomaisesti, että tietojen jakamisessa on noudatettava vuoden 2018 tietosuojalaissa vahvistettuja periaatteita. Lisäksi poliisiakatemia (College of Policing) on antanut tietojen jakamista koskevia sisäisiä ohjeita (Authorised Professional Practice on Information Sharing) (207), joiden tarkoituksena on auttaa poliisia noudattamaan Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen, tietosuojalakiin ja vuoden 1998 ihmisoikeuslakiin perustuvia tietosuojavelvoitteitaan. Tuomioistuinvalvonnan avulla varmistetaan, että tietojen jakamisen yhteydessä noudatetaan sovellettavaa tietosuojaa koskevaa oikeudellista kehystä (208).
                  
               
                     (146)
                  
                  
                     Samoin kuin direktiivin (EU) 2016/680 9 artiklassa, vuoden 2018 tietosuojalaissa säädetään lisäksi, että lainvalvontatarkoitusta varten kerättyjä henkilötietoja voidaan käsitellä muussa kuin lainvalvontatarkoituksessa vain jos tällainen käsittely sallitaan laissa. (209)
                     
                  
               
                     (147)
                  
                  
                     Tällainen jakaminen kattaa kaksi eri tapausta: 1) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja jonkin muun viranomaisen kanssa, tiedustelupalvelua lukuun ottamatta (eli esimerkiksi finanssivalvonta- tai veroviranomaisen, kilpailuviranomaisen tai lastensuojeluviranomaisen kanssa); ja 2) rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa tietoja tiedustelupalvelun kanssa. Ensimmäisessä tapauksessa henkilötietojen käsittely kuuluu sekä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen että vuoden 2018 tietosuojalain 2 osan soveltamisalaan. Komissio on arvioinut Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa ja vuoden 2018 tietosuojalain 2 osassa säädettyjä tietosuojatakeita tämän päätöksen johdanto-osan 12–111 kappaleessa ja katsoo sen perusteella, että Yhdistyneessä kuningaskunnassa varmistetaan riittävä suoja henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.
                  
               
                     (148)
                  
                  
                     Toisessa tapauksessa rikoslain täytäntöönpanon valvonnasta vastaava viranomainen jakaa keräämiään tietoja tiedustelupalvelun kanssa kansallisen turvallisuuden suojelemiseksi. Sovellettava oikeusperusta on tällöin vuoden 2008 terrorismintorjuntalain (Counter Terrorism Act 2008) 19 § (210). Kyseisen lain nojalla kuka tahansa voi antaa tietoja mille tahansa tiedustelupalvelun yksikölle minkä tahansa kyseiselle yksikölle kuuluvan tehtävän suorittamista varten, ”kansallinen turvallisuus” mukaan lukien.
                  
               
                     (149)
                  
                  
                     Edellytyksistä, joiden mukaan tietoja voidaan jakaa kansallisen turvallisuuden suojelemiseksi, säädetään tiedustelupalvelulaissa (211) ja turvallisuuspalvelulaissa (212). Niissä rajoitetaan tiedustelupalvelujen oikeus saada tietoja siihen, mikä on tarpeen niiden lakisääteisten tehtävien hoitamista varten. Jos lainvalvontavirastot haluavat jakaa tietoja tiedustelupalvelujen kanssa, niiden on otettava huomioon useita tekijöitä/rajoituksia niiden virastojen lakisääteisten tehtävien lisäksi, joista säädetään tiedustelupalvelulaissa ja turvallisuuspalvelulaissa (213). Vuoden 2008 terrorismintorjuntalain 20 §:ssä selvennetään, että jaettaessa tietoja 19 §:n nojalla on silti noudatettava tietosuojalainsäädäntöä, mikä tarkoittaa, että kaikkia vuoden 2018 tietosuojalain 3 osassa säädettyjä rajoituksia ja vaatimuksia sovelletaan. Koska toimivaltaiset viranomaiset ovat lisäksi vuoden 1998 ihmisoikeuslaissa tarkoitettuja viranomaisia, niiden on varmistettava ihmisoikeussopimuksessa ja muun muassa sen 8 artiklassa vahvistettujen oikeuksien noudattaminen. Näillä rajoituksilla varmistetaan, että kaikessa lainvalvontavirastojen ja tiedustelupalvelujen välisessä tietojen jakamisessa noudatetaan tietosuojalainsäädäntöä ja ihmisoikeussopimusta.
                  
               
                     (150)
                  
                  
                     Kun toimivaltainen viranomainen aikoo jakaa vuoden 2018 tietosuojalain 3 osan nojalla käsiteltäviä henkilötietoja jonkin kolmannen maan lainvalvontaviranomaisten kanssa, sovelletaan erityisiä vaatimuksia. (214) Tällaisia siirtoja voidaan tehdä erityisesti silloin kun ne perustuvat Secretary of Staten antamiin tietosuojan riittävyyttä koskeviin asetuksiin. Jos sellaisia ei ole annettu, on varmistettava, että noudatetaan asianmukaisia suojatoimia. Vuoden 2018 tietosuojalain 75 §:ssä säädetään, että asianmukaiset suojatoimet on otettu käyttöön, kun ne on vahvistettu siirron vastaanottajaa sitovalla säädöksellä tai kun rekisterinpitäjä katsoo, että tietojen suojaamiseksi on olemassa asianmukaiset suojatoimet, sen jälkeen kun hän on arvioinut kaikki olosuhteet, jotka liittyvät asianomaisen henkilötietojen tyypin siirtämisen kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle.
                  
               
                     (151)
                  
                  
                     Jos siirto ei perustu tietosuojan riittävyyttä koskevaan asetukseen tai asianmukaisiin suojatoimiin, se voidaan toteuttaa vain tietyissä olosuhteissa, joista käytetään nimitystä ”erityiset olosuhteet”. (215) Näin on silloin kun siirto on tarpeen a) rekisteröidyn tai toisen henkilön elintärkeiden etujen suojaamiseksi; b) rekisteröidyn oikeutettujen etujen turvaamiseksi; c) jäsenvaltion tai kolmannen maan yleiseen turvallisuuteen kohdistuvan välittömän ja vakavan uhan ehkäisemiseksi; d) yksittäistapauksissa jotakin lainvalvontatarkoitusta varten; tai e) yksittäistapauksissa jotakin oikeudellista tarkoitusta varten (esimerkiksi oikeudenkäyntiä tai oikeudellisen neuvonnan saamista varten). Todettakoon, että d ja e alakohtaa ei sovelleta, jos rekisteröidyn oikeudet ja vapaudet syrjäyttävät siirtoon liittyvän yleisen edun. Nämä olosuhteet vastaavat niitä erityistilanteita ja -edellytyksiä, joita voidaan pitää direktiivin (EU) 2016/680 38 artiklassa tarkoitettuina ”poikkeuksina”.
                  
               
                     (152)
                  
                  
                     Silloin kun aineisto, jonka lainvalvontaviranomaiset ovat hankkineet telekuuntelua tai laitetutkintaa koskevan määräyksen nojalla, luovutetaan kolmanteen maahan, on lisäksi sovellettava vuonna 2016 tutkintavaltuuksista annetun lain nojalla täydentäviä suojatoimia. Tällainen ulkomaille tehtävä tiedonsiirto (overseas disclosure) voidaan sallia vain jos tiedot luovuttava viranomainen katsoo, että käytössä on erityiset asianmukaiset järjestelyt, joilla rajoitetaan niiden henkilöiden määrää, jotka saavat pääsyn tietoihin, ja sitä, missä määrin aineistoa luovutetaan tai asetetaan saataville tai missä määrin sitä jäljennetään ja kuinka monta jäljennöstä siitä tehdään. Tiedot luovuttava viranomainen voi myös katsoa, että asianmukaiset järjestelyt ovat tarpeen sen varmistamiseksi, että kaikki mistä tahansa aineiston osasta tehdyt jäljennökset tuhotaan heti kun niiden säilyttämiseen ei ole enää perusteltua syytä (jos niitä ei ole tuhottu jo aiemmin). (216)
                     
                  
               
                     (153)
                  
                  
                     Tulevaisuudessa tietoja voitaisiin siirtää edelleen Yhdistyneestä kuningaskunnasta Yhdysvaltoihin niiden välillä sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa lokakuussa 2019 tehdyn sopimuksen (217), jäljempänä ’Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimus’ tai ’sopimus’, perusteella. (218) Vaikka sopimus ei ole vielä tullut voimaan silloin kun tämä päätös hyväksytään, sen ennakoitavissa oleva voimaantulo voi vaikuttaa siihen, miten tämän päätöksen nojalla ensin Yhdistyneeseen kuningaskuntaan siirrettäviä tietoja voidaan siirtää edelleen Yhdysvaltoihin. Tämä tarkoittaa muun muassa sitä, että EU:sta Yhdistyneeseen kuningaskuntaan sijoittautuneille palveluntarjoajille siirrettäviin tietoihin voitaisiin soveltaa Yhdysvaltojen toimivaltaisten lainvalvontaviranomaisten antamia sähköisen todistusaineiston esittämistä koskevia määräyksiä, joita voitaisiin soveltaa Yhdistyneessä kuningaskunnassa em. sopimuksen nojalla sen tultua voimaan. Näistä syistä on tämän päätöksen kannalta merkityksellistä arvioida niitä edellytyksiä ja suojatoimia, joiden nojalla tällaisia määräyksiä voidaan antaa ja panna täytäntöön.
                  
               
                     (154)
                  
                  
                     Tältä osin on huomattava ensinnäkin sopimuksen aineellinen soveltamisala, jonka mukaan sitä sovelletaan ainoastaan rikoksiin, joista määrättävä enimmäisrangaistus on vähintään kolme vuotta vankeutta (”vakava rikollisuus”) (219), mukaan lukien ”terroritoiminta”. Toiseksi tämän sopimuksen nojalla on mahdollista saada toisella lainkäyttöalueella käsiteltyjä tietoja vain sellaisen määräyksen perusteella, johon sovelletaan ennen sen antamista tai siihen liittyvien täytäntöönpanomenettelyjen aikana määräyksen antavan osapuolen kansallisen lainsäädännön nojalla tuomioistuimen, tuomarin tai muun riippumattoman viranomaisen uudelleentarkastelua tai valvontaa. (220) Kolmanneksi tällainen määräys voidaan antaa vain jos sille on olemassa perusteltuihin ja uskottaviin tosiseikkoihin, tapauksen erityispiirteisiin, lainmukaisuuteen ja tutkittavan teon vakavuuteen perustuvat kohtuulliset perusteet (221) ja jos se kohdistuu tiettyihin tileihin ja siinä yksilöidään tietty henkilö, tili, osoite tai henkilökohtainen laite tai jokin muu yksilöllinen tunniste” (222). Neljänneksi Yhdistyneen kuningaskunnan ja Yhdysvaltojen sopimuksen nojalla saatuihin tietoihin sovelletaan suojelua, joka vastaa EU:n ja Yhdysvaltojen välisen tietosuojaa koskevan puitesopimuksen (223) erityisiä suojatoimia (kyseessä on EU:n ja Yhdysvaltojen välillä joulukuussa 2016 tehty kattava tietosuojasopimus, jossa esitetään lainvalvontayhteistyön alalla tapahtuvaan tiedonsiirtoon sovellettavat suojatoimet ja oikeudet). Kyseiset suojatoimet on sisällytetty Yhdistyneen kuningaskunnan ja Yhdysvaltojen väliseen sopimukseen viittauksella mutatis mutandis, jotta voidaan ottaa huomioon siirtojen erityisluonne (siirrot tapahtuvat yksityisiltä palveluntarjoajilta lainvalvontaviranomaisille eikä lainvalvontaviranomaisten kesken). (224) Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisessä sopimuksessa määrätään nimenomaisesti, että EU:n ja Yhdysvaltojen välisen sopimuksen määräyksiä vastaavaa suojelua sovelletaan ”kaikkiin henkilötietoihin, jotka esitetään sopimuksen soveltamisalaan kuuluvien määräysten täytäntöönpanemiseksi, jotta voidaan taata vastaava suojelutaso” (225).
                  
               
                     (155)
                  
                  
                     Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla Yhdysvaltojen viranomaisille siirrettäviin tietoihin olisi näin ollen sovellettava EU:n oikeudelliseen välineeseen perustuvaa suojelua tarvittavin mukautuksin, jotta voidaan ottaa huomioon siirron erityispiirteet. Yhdistyneen kuningaskunnan viranomaiset ovat myös vahvistaneet, että tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan kaikkiin Yhdysvaltojen kanssa tehtävän sopimuksen nojalla toimitettaviin tai säilytettäviin henkilötietoihin riippumatta siitä, millainen tai minkätyyppinen elin niitä pyytää (esimerkiksi Yhdysvalloissa tietoja voivat pyytää sekä liittovaltion että osavaltioiden lainvalvontaviranomaiset), jotta kaikissa tapauksissa voidaan taata samantasoinen suojelu. Yhdistyneen kuningaskunnan viranomaiset ovat kuitenkin myös selittäneet, että keskustelu tietosuojatakeiden konkreettisen täytäntöönpanon yksityiskohdista Yhdistyneen kuningaskunnan ja Yhdysvaltojen välillä on vielä kesken. Yhdistyneen kuningaskunnan viranomaiset ovat vahvistaneet tämän päätöksen laatimiseen liittyvissä keskusteluissa Euroopan komission yksiköiden kanssa, että ne sallivat sopimuksen voimaantulon vasta kun ne ovat vakuuttuneet siitä, että sen täytäntöönpano on siinä määrättyjen oikeudellisten velvoitteiden mukaista. Tämä koskee myös selvyyttä sen suhteen, että tietosuojanormeja noudatetaan kaikkien sopimuksen nojalla pyydettyjen tietojen osalta. Koska sopimuksen mahdollinen voimaantulo voi vaikuttaa tämän päätöksen puitteissa arvioitavaan suojelun tasoon, Yhdistyneen kuningaskunnan olisi toimitettava Euroopan komissiolle tiedot ja selvitys siitä, miten Yhdysvallat aikoo noudattaa sopimuksen mukaisia velvoitteitaan, heti kun tällainen selvitys on saatavilla ja ainakin ennen sopimuksen voimaantuloa, jotta voidaan varmistaa tämän päätöksen asianmukainen seuranta asetuksen (EU) 2016/679 45 artiklan 4 kohdan mukaisesti. Erityistä huomiota kiinnitetään siihen, miten tietosuojaa koskevaan puitesopimukseen perustuvaa suojelua sovelletaan Yhdistyneen kuningaskunnan ja Yhdysvaltojen välisen sopimuksen nojalla tehtäviin siirtoihin ja miten sitä mukautetaan niiden erityispiirteiden huomioon ottamiseksi.
                  
               
                     (156)
                  
                  
                     Yleensäkin kaikki kyseisen sopimuksen voimaantuloon ja soveltamiseen liittyvä kehitys otetaan asianmukaisesti huomioon tämän päätöksen jatkuvan seurannan yhteydessä. Tämä koskee myös päätelmiä, jotka on tehtävä siinä tapauksessa, että saataisiin viitteitä siitä, että olennaisesti vastaava suojelun taso ei enää toteudu.
                  
               3.2.3   Valvonta
         
         
                     (157)
                  
                  
                     Niiden toimivaltuuksien valvonta, joiden nojalla toimivaltaiset viranomaiset käsitelevät henkilötietoja lainvalvontatarkoituksessa, on osoitettu eri elimille sen mukaan, perustuvatko valtuudet vuoden 2018 tietosuojalakiin vai vuonna 2016 tutkintavaltuuksista annettuun lakiin. Kun henkilötietojen käsittely tapahtuu vuoden 2018 tietosuojalain 3 osan nojalla, valvonnasta vastaa tietosuojavaltuutettu. (226) Sen sijaan vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvien tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner’s Office, IPCO) (227) tehtävä (tätä osaa käsitellään johdanto-osan 250–255 kappaleessa). Lisäksi parlamentti ja muut elimet huolehtivat täydentävästä valvonnasta.
                  
               3.2.3.1   Vuoden 2018 tietosuojalain 3 osaa koskeva valvonta
         
         
                     (158)
                  
                  
                     Tietosuojavaltuutetun riippumattomuutta ja organisaatiota on käsitelty edellä johdanto-osan 87 kappaleessa. Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tietosuojavaltuutetun päätehtävänä on vuoden 2018 tietosuojalain 3 osan seuranta ja täytäntöönpano sekä yleisen tietoisuuden edistäminen ja neuvojen antaminen parlamentille, hallitukselle ja muille instituutioille ja elimille. Oikeuslaitoksen riippumattomuuden takaamiseksi henkilötietojen käsittelyyn liittyviä tietosuojavaltuutetun tehtäviä ei voi hoitaa henkilö eikä tuomioistuin, joka suorittaa lainkäyttötehtäviä. Näiltä osin valvontatehtävät on osoitettu muille elimille, kuten johdanto-osan 99–103 kappaleessa selitetään.
                  
               
                     (159)
                  
                  
                     Tietosuojavaltuutetulla on yleiset tutkintavaltuudet, korjaavat toimivaltuudet sekä hyväksymis- ja neuvontavaltuudet, kun on kyse 3 osan soveltamisalaan kuuluvien henkilötietojen käsittelystä. Tietosuojavaltuutetulla on erityisesti valtuudet ilmoittaa rekisterinpitäjälle tai henkilötietojen käsittelijälle väitetystä vuoden 2018 tietosuojalain 3 osan rikkomisesta, antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle varoituksia tai huomautuksia, jos nämä ovat rikkoneet mainittuja säännöksiä, sekä antaa omasta aloitteestaan tai pyynnöstä lausuntoja parlamentille, hallitukselle ja muille instituutioille ja elimille sekä yleisölle mistä tahansa henkilötietojen suojeluun liittyvistä kysymyksistä. (228)
                     
                  
               
                     (160)
                  
                  
                     Tietosuojavaltuutetulla on lisäksi valtuudet antaa tiedonantomääräyksiä (229), arviointimääräyksiä (230) ja täytäntöönpanomääräyksiä (231) sekä oikeus tutustua rekisterinpitäjien ja henkilötietojen käsittelijöiden asiakirjoihin ja päästä niiden tiloihin (232) ja määrätä hallinnollisia sakkoja antamalla seuraamusmääräyksiä (233). Tietosuojavaltuutetun sääntelytoimia koskevissa toimintaperiaatteissa (Regulatory Action Policy) esitetään olosuhteet, joiden täyttyessä näitä eri määräyksiä voidaan antaa (234) (ks. myös johdanto-osan 93 kappale ja direktiivin (EU) 2016/680 johdanto-osan 101–102 kappale tietosuojan riittävyyttä koskevista päätöksistä).
                  
               
                     (161)
                  
                  
                     Viimeisimpien vuosikertomustensa (2018–2019 (235), 2019–2020 (236)) mukaan tietosuojavaltuutettu on suorittanut useita tutkimuksia ja toteuttanut täytäntöönpanotoimia, jotka koskevat lainvalvontaviranomaisten suorittamaa henkilötietojen käsittelyä. Esimerkiksi lokakuussa 2019 tietosuojavaltuutettu julkaisi tutkimustensa perusteella lausunnon, joka koskee kasvojentunnistusteknologian käyttöä julkisilla paikoilla lainvalvontatarkoituksia varten. Tutkimuksessa keskityttiin erityisesti siihen, miten Etelä-Walesin poliisi (South Wales Police) ja suur-Lontoon poliisi (Metropolitan Police Services) käyttävät reaaliaikaista kasvojentunnistusta. Tietosuojavaltuutettu on tutkinut myös suur-Lontoon poliisin jengitietokantaa (Gangs matrix) (237) ja todennut, että siihen liittyy useita vakavia tietosuojalainsäädännön rikkomisia, jotka todennäköisesti heikentäisivät yleisön luottamusta tietokantaan ja siihen, miten tietoja käytetään. Marraskuussa 2018 tietosuojavaltuutettu antoi täytäntöönpanomääräyksen, jonka nojalla suur-Lontoon poliisi toteutti tarvittavat toimet turvallisuuden ja vastuuvelvollisuuden lisäämiseksi ja sen varmistamiseksi, että tietoja käytetään oikeasuhteisesti. Toinen esimerkki täytäntöönpanotoimista tällä alalla on tietosuojavaltuutetun toukokuussa 2018 määräämä 325 000 punnan sakko kruunun syyttäjäyksikölle poliisikuulustelujen tallenteita sisältävien salaamattomien DVD-levyjen katoamisen vuoksi. Tietosuojavaltuutettu on tutkinut myös yleisempiä aiheita, kuten vuoden 2020 alkupuoliskolla matkapuhelintietojen käyttöä poliisitoiminnassa ja uhrien tietojen käsittelyä poliisin toimesta. Lisäksi tietosuojavaltuutettu tutkii parhaillaan tapausta, johon liittyy lainvalvontaviranomaisten pääsy yksityisen sektorin toimijan (Clearview AI Inc) hallussa oleviin tietoihin. (238)
                     
                  
               
                     (162)
                  
                  
                     Koska eräät tietosuojalainsäädännön loukkaukset ovat rikoksia, niiden perusteella voidaan määrätä edellä johdanto-osan 160 ja 161 kappaleessa kuvattujen tietosuojavaltuutetun täytäntöönpanovaltuuksien lisäksi rikosoikeudellisia seuraamuksia (vuoden 2018 tietosuojalain 196 §). Tämä koskee esimerkiksi henkilötietojen hankkimista, luovuttamista tai säilyttämistä ilman rekisterinpitäjän suostumusta ja luovutettujen henkilötietojen toimittamista toiselle henkilölle ilman rekisterinpitäjän suostumusta (239); anonymisoitujen henkilötietojen tunnistetietojen palauttamista ilman anonymisoinnista vastaavan rekisterinpitäjän suostumusta (240); tahallista toimintaa, jolla estetään tietosuojavaltuutettua käyttämästä toimivaltaansa henkilötietojen tarkastamiseksi kansainvälisten velvoitteiden mukaisesti (241), väärien lausuntojen antamista tiedonantomääräyksen perusteella tai tietojen tuhoamista tiedonanto- ja arviointimääräysten yhteydessä (242).
                  
               3.2.3.2   Muut valvontaelimet rikoslain täytäntöönpanon alalla
         
         
                     (163)
                  
                  
                     Tietosuojavaltuutetun lisäksi rikoslain täytäntöönpanon alalla on useita valvontaelimiä, joilla on erityisesti tietosuojaan liittyviä valtuuksia. Näitä ovat muun muassa biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu (Biometrics Commissioner) (243) ja valvontakameravaltuutettu (Surveillance Camera Commissioner) (244).
                  
               3.2.3.3   Parlamentaarinen valvonta rikoslain täytäntöönpanon alalla
         
                     (164)
                  
                  
                     Parlamentaarisesta valvonnasta lainvalvonnan alalla vastaa parlamentin alahuoneen sisäasiain erityisvaliokunta (Home Affairs Select Committee, HASC). Valiokunnassa on 11 jäsentä, jotka kuuluvat parlamentin kolmeen suurimpaan puolueeseen. Valiokunnan tehtävänä on tarkastella sisäasiainministeriön ja siihen liittyvien julkisten elinten kuten poliisin ja erityisesti kansallisen rikosviraston (NCA) (245) menoja, hallintoa ja toimintaperiaatteita.
                  
               
                     (165)
                  
                  
                     Valiokunta voi toimivaltuuksiensa rajoissa valita tutkimuskohteensa, myös erityistapaukset, kunhan asia ei ole oikeuslaitoksen tutkittavana (sub judice). Valiokunta voi myös pyytää kirjallista ja suullista näyttöä erilaisilta asian kannalta merkityksellisiltä ryhmiltä ja henkilöiltä. Valiokunta laatii havaintojensa perusteella raportteja ja antaa hallitukselle suosituksia. (246) Hallituksen odotetaan reagoivan kuhunkin raportissa esitettyyn suositukseen 60 päivän kuluessa. (247)
                     
                  
               
                     (166)
                  
                  
                     Valiokunta on laatinut myös valvontaa koskevan raportin, jonka mukaan vuonna 2000 tutkintavaltuuksista annettu asetus (Regulation of Investigatory Powers Act 2000) (248) ei ole tarkoituksenmukainen. Raportti otettiin huomioon, kun merkittävä osa asetuksesta korvattiin vuonna 2016 tutkintavaltuuksista annetulla lailla. Täydellinen luettelo tutkimuksista on saatavilla valiokunnan verkkosivuilla (249).
                  
               
                     (167)
                  
                  
                     Skotlannissa sisäasiain erityisvaliokunnan tehtäviä hoitaa poliisitoiminnasta vastaava oikeusasioiden alavaliokunta (Justice Subcommittee on Policing) ja Pohjois-Irlannissa oikeusasioiden valiokunta (Committee for Justice). (250)
                     
                  
               3.2.4   Oikeussuojakeinot
         
         
                     (168)
                  
                  
                     Lainvalvontaviranomaisten suorittamaa tietojenkäsittelyä koskevista oikeussuojakeinoista säädetään vuoden 2018 tietosuojalain 3 osassa ja vuonna 2016 tutkintavaltuuksista annetussa laissa sekä vuoden 1998 ihmisoikeuslaissa.
                  
               
                     (169)
                  
                  
                     Nämä eri mekanismit tarjoavat rekisteröidyille tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joiden avulla he voivat erityisesti varmistaa oikeuksiensa toteutumisen; tämä koskee myös oikeutta saada pääsy henkilötietoihin ja oikaista tai poistaa ne.
                  
               
                     (170)
                  
                  
                     Ensinnäkin rekisteröidyllä on vuoden 2018 tietosuojalain 165 §:n nojalla oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 3 osan säännöksiä. (251) Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet ja määrätä sakkoja.
                  
               
                     (171)
                  
                  
                     Toiseksi vuoden 2018 tietosuojalaissa säädetään oikeudesta käyttää oikeussuojakeinoja tietosuojavaltuutettua vastaan, jos rekisteröidyn tekemää valitusta ei käsitellä asianmukaisesti. Tarkemmin sanoen tämä tarkoittaa, että jos tietosuojavaltuutettu ei ”edistä” (252) rekisteröidyn tekemän valituksen käsittelyä, tämä voi hakea oikeussuojaa tuomioistuimelta pyytämällä, että First Tier Tribunal -tuomioistuin (253) määrää tietosuojavaltuutetun toteuttamaan valituksen johdosta asianmukaiset toimenpiteet tai ilmoittamaan valituksen tekijälle sitä koskevan tutkinnan etenemisestä. (254) Lisäksi kuka tahansa henkilö, jolle tietosuojavaltuutettu on antanut jonkin edellä mainituista määräyksistä (tiedonanto-, arviointi-, täytäntöönpano- tai seuraamusmääräys), voi hakea siihen muutosta First Tier Tribunal -tuomioistuimessa. Jos tuomioistuin katsoo, että tietosuojavaltuutetun päätös ei ole lainmukainen tai että tietosuojavaltuutetun olisi pitänyt käyttää harkintavaltaansa eri tavalla, tuomioistuimen on hyväksyttävä muutoksenhakemus tai korvattava annettu määräys toisella määräyksellä tai päätöksellä, jonka tietosuojavaltuutettu olisi voinut antaa tai tehdä. (255)
                     
                  
               
                     (172)
                  
                  
                     Kolmanneksi yksilöt voivat vedota oikeudellisiin oikeussuojakeinoihin rekisterinpitäjiä ja henkilötietojen käsittelijöitä vastaan suoraan tuomioistuimissa. Vuoden 2018 tietosuojalain 167 §:n mukaan rekisteröity voi nostaa tuomioistuimessa kanteen, jonka mukaan hänen tietosuojalainsäädäntöön perustuvia oikeuksiaan on loukattu. Tuomioistuin voi sen perusteella määrätä rekisterinpitäjää toteuttamaan tarvittavat toimenpiteet (tai pidättymään tietyistä toimenpiteistä), jotta käsittely olisi vuoden 2018 tietosuojalain mukaista. Lisäksi vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka on kärsinyt vahinkoa jonkin tietosuojalainsäädännössä (ml. vuoden 2018 tietosuojalain 3 osa, mutta pois lukien Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus) vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen rekisterinpitäjältä tai henkilötietojen käsittelijältä, paitsi jos nämä voivat osoittaa, etteivät ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta. Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä.
                  
               
                     (173)
                  
                  
                     Lopuksi todetaan, että jos yksityishenkilö katsoo, että viranomaiset ovat loukanneet hänen oikeuksiaan, kuten oikeutta yksityisyyteen ja tietosuojaan, hän voi hakea muutosta Yhdistyneen kuningaskunnan tuomioistuimissa vuoden 1998 ihmisoikeuslain nojalla. (256) Kun kaikki kansalliset muutoksenhakukeinot on käytetty, yksityishenkilö, kansalaisjärjestö tai ryhmä voi viime kädessä nostaa kanteen Euroopan ihmisoikeustuomioistuimessa Euroopan ihmisoikeussopimuksessa taattujen oikeuksien loukkaamisen vuoksi (257) (ks. johdanto-osan 111 kappale).
                  
               3.2.4.1   Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot
         
         
                     (174)
                  
                  
                     Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal). Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia oikeussuojakeinoja käsitellään johdanto-osan 263–269 kappaleessa.
                  
               3.3   Yhdistyneen kuningaskunnan viranomaisten pääsy tietoihin ja niiden käyttö kansalliseen turvallisuuteen liittyviin tarkoituksiin
         
         
                     (175)
                  
                  
                     Yhdistyneen kuningaskunnan oikeusjärjestyksen mukaan tiedustelupalveluja, joilla on valtuudet kerätä rekisterinpitäjien tai henkilötietojen käsittelijöiden hallussa olevia sähköisiä tietoja kansalliseen turvallisuuteen liittyvistä syistä tilanteissa, joilla on merkitystä tietosuojan riittävyyttä koskevan päätöksen kannalta, ovat turvallisuuspalvelu (258) (Security Service, MI5), salainen tiedustelupalvelu (259) (Secret Intelligence Service, SIS) ja tiedustelupalvelu (260) (Government Communications Headquarters, GCHQ). (261)
                     
                  
               3.3.1   Oikeusperustat, rajoitukset ja suojatoimet
         
         
                     (176)
                  
                  
                     Yhdistyneen kuningaskunnan tiedustelupalvelujen toimivaltuudet on esitetty vuonna 2016 tutkintavaltuuksista annetussa laissa ja vuonna 2000 tutkintavaltuuksista annetussa asetuksessa. Yhdessä vuoden 2018 tietosuojalain kanssa niissä määritellään näiden valtuuksien aineellinen ja henkilöllinen soveltamisala sekä niiden käyttöön liittyvät rajoitukset ja suojatoimet. Seuraavassa tarkastellaan yksityiskohtaisesti näitä tutkintavaltuuksia sekä niihin sovellettavia rajoituksia ja suojatoimia.
                  
               3.3.1.1   Tutkintavaltuuksien käyttö kansallisen turvallisuuden yhteydessä
         
         
                     (177)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annettu laki muodostaa oikeudellisen kehyksen, jolla säännellään tutkintavaltuuksien käyttöä eli valtuuksia hankkia viestintätietoja ja tutustua niihin ja suorittaa laitetutkintaa. Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään yleisestä kiellosta, jonka nojalla on rikos käyttää tekniikoita, jotka mahdollistavat pääsyn viestinnän sisältöön, viestintätietoihin tai laitteisiin ilman laillista valtuutusta. (262) Tämä näkyy siinä, että tällaisten tutkintavaltuuksien käyttö on laillista vain jos se tapahtuu määräyksen tai luvan perusteella. (263)
                     
                  
               
                     (178)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan yksityiskohtaiset säännöt, joilla säännellään kunkin tutkintavaltuuden soveltamisalaa ja soveltamista sekä niitä koskevat rajoitukset ja suojatoimet. Eri sääntöjä sovelletaan sen mukaan, minkätyyppisistä tutkintavaltuuksista on kyse (telekuuntelu, viestintätietojen hankinta ja säilyttäminen tai laitetutkinta) (264), ja onko kyseessä tietty kohde vai laajamittainen valvonta. Kunkin toimenpiteen soveltamisalaa sekä niihin liittyviä suojatoimia ja rajoituksia, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetussa laissa, esitellään lähemmin jäljempänä olevassa jaksossa.
                  
               
                     (179)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annettua lakia on täydennetty useilla Secretary of Staten antamilla lakisääteisillä käytännesäännöillä, jotka on hyväksytty parlamentin molemmissa kamareissa. (265) Käytännesääntöjä sovelletaan koko maassa, ja niissä annetaan ohjeita näiden valtuuksien käytöstä. (266) Vaikka rekisteröidyt voivat oikeuksiensa käyttämiseksi vedota suoraan vuonna 2016 tutkintavaltuuksista annetun lain säännöksiin, lain liitteessä 7 olevan 5 kohdan mukaan käytännesääntöjä voidaan käyttää näyttönä siviili- ja rikosoikeudellisissa menettelyissä. Tuomioistuin tai valvontaviranomainen voi ottaa käytännesääntöjen noudattamatta jättämisen huomioon määrittäessään oikeudellisessa menettelyssä käsiteltävää asiaa. (267) Euroopan ihmisoikeustuomioistuimen suuri jaosto on Yhdistyneen kuningaskunnan aiemman valvontalainsäädännön eli vuonna 2000 tutkintavaltuuksista annetun asetuksen laatua arvioidessaan tunnustanut nimenomaisesti Yhdistyneen kuningaskunnan käytännesääntöjen merkityksen ja katsonut, että ne voidaan ottaa huomioon arvioitaessa valvonnan mahdollistavan lainsäädännön ennakoitavuutta. (268)
                     
                  
               
                     (180)
                  
                  
                     Olisi myös huomattava, että kohdennetut toimivaltuudet (kohdennettu telekuuntelu (269), viestintätietojen hankinta (270), viestintätietojen säilyttäminen (271) ja kohdennettu laitetutkinta (272)) ovat kansallisten turvallisuusvirastojen ja tiettyjen lainvalvontaviranomaisten (273) käytettävissä, kun taas ainoastaan tiedustelupalvelut voivat käyttää laajamittaisia valtuuksia (eli laajamittaista telekuuntelua (274), laajamittaista viestintätietojen hankintaa (275), laajamittaista laitetutkintaa (276) ja laajojen henkilötietoaineistojen tutkintaa (277)).
                  
               
                     (181)
                  
                  
                     Kun tiedusteluvirasto päättää, mitä tutkintavaltuuksia olisi käytettävä, sen on noudatettava vuoden 2016 lain 2 §:n 2 momentin a alakohdassa lueteltuja ”yksityisyyteen liittyviä yleisiä velvollisuuksia”, mikä tarkoittaa mm. tarpeellisuuden ja oikeasuhteisuuden arviointia. Tarkemmin sanottuna tutkintavaltuuksien käyttöä harkitsevan viranomaisen on kyseisen säännöksen nojalla arvioitava, i) voitaisiinko määräyksen tai luvan (warrant, authorisation, notice) avulla tavoiteltu tulos kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla; ii) onko tällaisen määräyksen tai luvan nojalla hankittavien tietojen suhteen sovellettava korkeampaa suojelutasoa kyseisten tietojen erityisen arkaluontoisuuden vuoksi; iii) televiestintäjärjestelmien ja postipalvelujen eheyttä ja turvallisuutta koskevaa yleistä etua ja iv) muita yksityisyydensuojaa koskevaan yleiseen etuun liittyviä näkökohtia. (278)
                     
                  
               
                     (182)
                  
                  
                     Asiaa koskevissa käytännesäännöissä täsmennetään tarkemmin näiden kriteerien soveltamista ja sitä, miten niitä olisi arvioitava, kun Secretary of State ja riippumattomat oikeusvaltuutetut (Judicial Commissioners) arvioivat tällaisten tutkintavaltuuksien käyttöä. Käytännesääntöjen mukaan kaikkien tällaisten tutkintavaltuuksien käytön on aina oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. Tämä tarkoittaa, että on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tämä tarkoittaa erityisesti sitä, että tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. Minkäänlaista yksityisyyteen puuttumista ei myöskään pitäisi katsoa oikeasuhteiseksi, jos halutut tiedot olisi kohtuudella mahdollista hankkia myös vähemmän yksityisyyteen puuttuvilla keinoilla. (279) Tarkemmin sanottuna oikeasuhteisuuden periaatteen noudattamista olisi arvioitava seuraavien kriteerien perusteella: i) ehdotetun yksityisyyteen puuttumisen laajuus suhteessa toimella tavoiteltuun tulokseen; ii) se, miten ja miksi käytettävillä menetelmillä aiheutettaisiin mahdollisimman vähän häiriöitä asianomaiselle henkilölle ja muille; iii) se, edustaako suunniteltu toiminta kyseisen lain asianmukaista käyttöä ja onko se järkevä tapa saavuttaa tavoiteltu tulos, kun otetaan huomioon kaikki kohtuulliset vaihtoehdot; iv) mitä muita soveltuvia menetelmiä ei joko ole käytetty lainkaan tai joita on käytetty, mutta jotka on arvioitu riittämättömiksi operatiivisten tavoitteiden toteuttamiseksi ilman ehdotettujen tutkintavaltuuksien käyttöä. (280)
                     
                  
               
                     (183)
                  
                  
                     Yhdistyneen kuningaskunnan viranomaisten mukaan tämä käytännössä varmistaa, että tiedusteluvirasto asettaa ensin operatiivisen tavoitteen (jonka mukaan tietojen keräämistä rajoitetaan, esimerkiksi kansainvälisen terrorismin torjunta tietyllä maantieteellisellä alueella). Seuraavaksi pohditaan tämän tavoitteen perusteella, mikä tekninen vaihtoehto (esimerkiksi kohdennettu vai laajamittainen telekuuntelu, laitetutkinta tai viestintätietojen hankinta) olisi tavoitellun tuloksen saavuttamiseksi oikeasuhteisin (eli jolla puututtaisiin vähiten yksityisyyteen, ks. vuoden 2016 lain 2 §:n 2 momentti) ja joka sen vuoksi voidaan hyväksyä jonkin käytettävissä olevan oikeusperustan nojalla.
                  
               
                     (184)
                  
                  
                     Mainittakoon, että oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija Joseph Cannataci on pannut tyytyväisenä merkille vetoamisen tarpeellisuus- ja oikeasuhteisuusperiaatteisiin. Hän on todennut vuonna 2016 tutkintavaltuuksista annettua lakia koskevasta järjestelmästä, että sekä tiedustelupalvelujen että lainvalvontavirastojen menettelyt vaikuttavat järjestelmällisesti edellyttävän valvontatoimenpiteen tai -operaation tarpeellisuuden ja oikeasuhteisuuden arviointia ennen kuin sitä voidaan suosittaa hyväksyttäväksi ja että toimia tarkastellaan myös jälkikäteen näiden kriteerien perusteella. (281) Hän huomautti myös saaneensa tapaamisessa lainvalvontaviranomaisten ja kansallisten turvallisuusvirastojen kanssa konsensukseen perustuvan näkemyksen siitä, että kaikissa valvontatoimia koskevissa päätöksissä on otettava ensisijaisesti huomioon oikeus yksityisyydensuojaan. Kaikki osanottajat ymmärsivät ja katsoivat, että tarpeellisuus ja oikeasuhteisuus on otettava huomioon olennaisina perusperiaatteina.
                  
               
                     (185)
                  
                  
                     Eri määräysten antamista koskevia kriteerejä sekä eri tutkintavaltuuksille vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistettuja rajoituksia ja suojatoimia tarkastellaan lähemmin johdanto-osan 186–243 kappaleessa.
                  
               3.3.1.1.1   Kohdennettu telekuuntelu ja tutkinta
         
                     (186)
                  
                  
                     Kohdennettua telekuuntelua voidaan määrätä suoritettavaksi kolmen eri määräyksen nojalla: kohdennetulla kuuntelumääräyksellä (282), kohdennetulla tutkintamääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä (283). Edellytykset näiden määräysten saamiseksi ja niihin sovellettavat suojatoimet on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 osan 1 luvussa.
                  
               
                     (187)
                  
                  
                     Kohdennettua telekuuntelua koskevan määräyksen nojalla on mahdollista siepata siinä mainitut viestit, kun niitä lähetetään, ja saada myös muut näiden viestien kannalta merkitykselliset tiedot (284), mukaan lukien ns. toissijainen data (285). Kohdennetun tutkintamääräyksen nojalla on mahdollista valikoida tutkittavaksi haluttu osa laajamittaista telekuuntelua koskevan määräyksen nojalla siepatusta sisällöstä. (286)
                     
                  
               
                     (188)
                  
                  
                     Secretary of State voi antaa minkä tahansa vuonna 2016 tutkintavaltuuksista annetun lain 2 osassa tarkoitetun määräyksen (287), ja oikeusvaltuutettu (288) voi vahvistaa ne. Kaikkien kohdennettujen määräysten voimassaoloaika on rajoitettu 6 kuukauteen (289), ja niiden muuttamiseen (290) ja uusimiseen (291) sovelletaan erityisiä sääntöjä.
                  
               
                     (189)
                  
                  
                     Ennen määräyksen antamista Secretary of Staten on arvioitava sen tarpeellisuus ja oikeasuhteisuus (292). Etenkin kun kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, Secretary of Staten olisi tarkistettava, onko toimenpide tarpeen jonkin seuraavan syyn perusteella: kansallisen turvallisuuden vuoksi; vakavan rikoksen ehkäisemiseksi tai paljastamiseksi; tai taloudellisen hyvinvoinnin turvaamiseksi (293) Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (294) Toisaalta keskinäistä avunantoa koskeva määräys (ks. johdanto-osan 139 kappale) voidaan antaa vain jos Secretary of State katsoo, että olosuhteet vastaavat niitä olosuhteita, joissa hän antaisi määräyksen vakavan rikoksen ehkäisemiseksi tai paljastamiseksi. (295)
                     
                  
               
                     (190)
                  
                  
                     Lisäksi Secretary of Staten olisi arvioitava, onko toimenpide oikeasuhteinen tavoiteltuun tulokseen nähden. (296) Pyydettyjen toimenpiteiden oikeasuhteisuuden arvioinnissa on otettava huomioon yksityisyydensuojaa koskevat yleiset velvoitteet, jotka on vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa. Tämän perusteella on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tai luvan tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla ja onko tällaisen määräyksen tai luvan avulla hankittavien tietojen suhteen sovellettava suojan taso korkeampi kyseisten tietojen erityisen arkaluonteisuuden vuoksi (ks. johdanto-osan 181 kappale).
                  
               
                     (191)
                  
                  
                     Tätä varten Secretary of Staten on otettava huomioon kaikki pyynnön esittävän viranomaisen hakemuksessa esittämät tekijät ja erityisesti ne, jotka liittyvät kuunneltaviin henkilöihin ja toimenpiteen merkityksellisyyteen tutkinnan kannalta. Nämä tekijät luetellaan telekuuntelua koskevissa käytännesäännöissä, ja ne on kuvailtava tietyllä tarkkuusasteella. (297) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain 17 §:ssä edellytetään, että kaikissa sen 2 luvun nojalla annetuissa määräyksissä on nimettävä tai kuvailtava kuuntelun kohteena oleva henkilö tai henkilöryhmä, organisaatio tai toimitilat (”kohde”). Jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, ne voivat koskea myös henkilöryhmää, useampaa kuin yhtä henkilöä tai organisaatiota tai useampia tiloja (ns. temaattinen määräys, thematic warrant). (298) Tällaisessa tapauksessa määräyksessä olisi kuvailtava henkilöryhmän tai operaation/tutkimuksen yhteinen tarkoitus tai toiminta ja nimi tai kuvailtava niin monta näistä henkilöistä/organisaatioista tai tiloista kuin kohtuudella on mahdollista. (299) Kaikissa vuonna 2016 tutkintavaltuuksista annetun lain 2 osan nojalla annettavissa määräyksissä on myös täsmennettävä viestinnän yksilöimiseksi tarvittavat osoitteet, numerot, laitteet, tekijät tai tekijöiden yhdistelmät. (300) Telekuuntelua koskevissa käytännesäännöissä täsmennetään tältä osin, että jos kyseessä on kohdennettua kuuntelua tai tutkintaa koskeva määräys, siinä on täsmennettävä (tai kuvailtava) ne tekijät tai tekijöiden yhdistelmät, joiden avulla asianomainen viestintä on tarkoitus yksilöidä. Jos viestintä on yksilöitävä (esimerkiksi) puhelinnumeron perusteella, puhelinnumero on annettava kokonaisuudessaan. Jos sen sijaan yksilöinnissä on tarkoitus käyttää hyvin monimutkaisia tai jatkuvasti muuttuvia internetvalintoja, ne olisi kuvailtava niin tarkasti kuin se on mahdollista. (301)
                     
                  
               
                     (192)
                  
                  
                     Tärkeä tähän liittyvä suojatoimi on se, että Secretary of Staten tekemälle määräyksen antamista koskevalle arviolle on saatava riippumattoman oikeusvaltuutetun hyväksyntä (302); hänen tehtävänään on erityisesti tarkistaa, että määräyksen antamista koskeva päätös on tarpeellisuus- ja suhteellisuusperiaatteiden (303) mukainen (oikeusvaltuutettujen asemasta ja tehtävästä ks. johdanto-osan 251–256 kappale.) Vuonna 2016 tutkintavaltuuksista annetussa laissa selvennetään myös, että oikeusvaltuutetun on tällaista tarkistusta tehdessään sovellettava samoja periaatteita kuin ne, joita tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (304) Näin varmistetaan, että riippumaton elin tarkastaa kussakin tapauksessa järjestelmällisesti tarpeellisuus- ja oikeasuhteisuusperiaatteiden noudattamisen ennen kuin pääsy tietoihin toteutuu.
                  
               
                     (193)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään joitakin erityisiä ja rajattuja poikkeuksia, joiden nojalla kohdennettua kuuntelua voidaan suorittaa ilman määräystä. Nämä rajoitetut tapaukset täsmennetään kyseisessä laissa (305), ja lähettäjän/vastaanottajan ”suostumukseen” perustuvaa tapausta lukuun ottamatta niiden toteuttamisesta vastaavat muut henkilöt (yksityiset tai julkiset elimet) kuin kansalliset turvallisuusvirastot. Lisäksi tämäntyyppistä kuuntelua tehdään muita tarkoituksia kuin tiedustelutiedon keräämistä varten (306), ja joidenkin tällaisten elinten kohdalla on erittäin epätodennäköistä, että tietojen kerääminen liittyisi ”siirtämiseen” (esimerkiksi kun kuuntelu tapahtuu psykiatrisessa sairaalassa tai vankilassa). Kun otetaan huomioon, minkätyyppisiin elimiin nämä erityistapaukset liittyvät (muut kuin turvallisuusvirastot), niihin sovelletaan kaikkia vuoden 2018 tietosuojalain 2 osassa ja Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa säädettyjä suojatoimia, mukaan lukien tietosuojavaltuutetun valvontaa ja käytettävissä olevia oikeussuojakeinoja. Lisäksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään, että tietyissä tapauksissa on sovellettava vuoden 2018 tietosuojalaissa säädettyjen suojatoimien ohella myös tietosuojavaltuutetun jälkikäteisvalvontaa. (307)
                     
                  
               
                     (194)
                  
                  
                     Kuuntelua suoritettaessa sovelletaan myös muita rajoituksia ja suojatoimia, jotka liittyvät kuuntelun kohteena olevan henkilön / olevien henkilöiden erityisasemaan. (308) Esimerkiksi asianajosalaisuuden piiriin kuuluvien asioiden kuuntelu voidaan sallia vain poikkeuksellisissa ja pakottavissa olosuhteissa. Tällaisen määräyksen antavan henkilön on otettava huomioon asianajosalaisuuden piiriin kuuluvien seikkojen luottamuksellisuuteen liittyvä yleinen etu ja huolehdittava siitä, että tällaisen aineiston käsittelyyn, säilyttämiseen ja luovuttamiseen sovelletaan erityisiä vaatimuksia. (309)
                     
                  
               
                     (195)
                  
                  
                     Lisäksi vuonna 2016 tutkintavaltuuksia koskevassa laissa säädetään turvallisuutta, säilyttämistä ja luovuttamista koskevista erityisistä suojatoimista, jotka Secretary of Staten olisi otettava huomioon ennen kohdennetun määräyksen antamista. (310) Erityisesti lain 53 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 53 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä.
                  
               
                     (196)
                  
                  
                     Lisäksi laissa säädetään, että kun kohdennetulla kuuntelumääräyksellä tai keskinäistä avunantoa koskevalla määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (311) Lisäksi vuoden 2018 tietosuojalain 109 §:n 2 momentissa säädetään, että tiedustelupalvelut saavat siirtää henkilötietoja Yhdistyneen kuningaskunnan ulkopuolelle vain jos siirto on tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin a alakohdassa tai vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (312) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.
                  
               3.3.1.1.2   Viestintätietojen kohdennettu hankinta ja säilyttäminen
         
                     (197)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain mukaan Secretary of State voi vaatia teleoperaattoreita säilyttämään viestintätiedot, jotta eri viranomaiset, mukaan lukien lainvalvonta- ja tiedusteluvirastot, voivat tutustua niihin kohdennetusti. Viestintätietojen säilyttämisestä säädetään lain 4 osassa ja viestintätietojen kohdennetusta hankkimisesta 3 osassa. Lain 3 ja 4 osassa asetetaan myös rajoituksia näiden valtuuksien käytölle ja säädetään erityisistä suojatoimista.
                  
               
                     (198)
                  
                  
                     ”Viestintätiedoilla” tarkoitetaan sitä, ”kuka, milloin, missä ja miten” toteuttaa viestintää, mutta ei viestinnän sisältöä eli sitä, mitä sanottiin tai kirjoitettiin. Viestintätietojen hankkiminen ja säilyttäminen ei siis ole sama asia kuin kuuntelu, sillä tarkoituksena ei ole selvittää viestinnän sisältöä vaan ainoastaan hankkia tiedot esimerkiksi siitä, kuka on puhelinliittymän tai eritellyn laskun tilaaja. Tämä voi koskea esimerkiksi viestinnän ajankohtaa ja kestoa, kummankin osapuolen puhelinnumeroa tai sähköpostiosoitetta ja joskus niiden laitteiden sijaintia, joiden avulla viestintä on tapahtunut. (313)
                     
                  
               
                     (199)
                  
                  
                     On huomattava, että viestintätietojen säilyttäminen ja hankkiminen ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 3 ja 4 osassa säädetty velvollisuus säilyttää tai luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (314) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle.
                  
               
                     (200)
                  
                  
                     Kattavuuden vuoksi nämä tietojen hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä.
                  
               
                     (201)
                  
                  
                     Todettakoon, että viestintätietojen säilyttämistä ja kohdennettua hankintaa voivat lähtökohtaisesti suorittaa sekä kansalliset turvallisuusvirastot että tietyt lainvalvontaviranomaiset. (315) Edellytykset näiden toimenpiteiden myöntämiselle voivat vaihdella sen mukaan, pyydetäänkö niitä kansalliseen turvallisuuteen vai lainvalvontatarkoitukseen liittyvän syyn perusteella.
                  
               
                     (202)
                  
                  
                     Vaikka uudessa järjestelmässä on otettu käyttöön yleinen vaatimus riippumattoman elimen myöntämästä ennakkoluvasta, joka vaaditaan aina kun pyydetään viestintätietoja säilyttämistä ja/tai hankkimista (joko lainvalvontatarkoituksia tai kansalliseen turvallisuuteen liittyvää tarkoitusta varten), Euroopan unionin tuomioistuimen asiassa Tele2/Watson antaman tuomion (316) seurauksena käyttöön on otettu erityiset suojatoimet, joita sovelletaan silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten. Erityisesti silloin kun toimenpidettä pyydetään lainvalvontatarkoituksia varten, siihen on aina saatava tutkintavaltuuksia käsittelevän valtuutetun ennakkolupa. Näin ei kuitenkaan ole aina silloin kun toimenpidettä pyydetään kansalliseen turvallisuuteen liittyvää tarkoitusta varten, vaan kuten jäljempänä kuvataan, tietyissä tapauksissa luvan tällaiseen toimenpiteeseen voi antaa muu ”luvan myöntämisestä päättävä henkilö”. Lisäksi uudessa järjestelmässä asetetaan viestintätietojen säilyttämisen ja hankinnan edellytykseksi, että kyseessä on ”vakava rikos”. (317)
                     
                  
               i)   Lupa viestintätietojen hankkimiseen
         
         
                     (203)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain 3 osan mukaan asianomaisilla viranomaisilla on valtuudet hankkia viestintätietoja teleoperaattorilta tai muulta henkilöltä, joka pystyy hankkimaan ja luovuttamaan tällaisia tietoja. Lupa ei välttämättä kata viestinnän sisältöä (318), ja se on voimassa kuukauden ajan (319), mutta se voidaan uusia, mikä edellyttää uutta ennakkolupaa. (320) Viestintätietojen hankkimiseen on saatava lupa tutkintavaltuuksien valvojalta (Investigatory Powers Commissioner (321); hänen asemastaan ja valtuuksistaan ks. johdanto-osan 250 ja 251 kappale). Tämä pätee aina kun viestintätietojen hankkimista pyytää asianomainen lainvalvontaviranomainen. Vuonna 2016 tutkintavaltuuksista annetun lain 61 §:ssä kuitenkin säädetään, että kun tiedot on hankittava kansalliseen turvallisuuteen liittyvien etujen tai Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaamiseksi, jos sillä on merkitystä myös kansallisellen turvallisuudelle, tai jos hakemuksen on tehnyt tiedustelupalvelu lain 61 §:n 7 momentin b alakohdan nojalla (322), luvan tietojen hankintaan (323) voi antaa joko tutkintavaltuuksien valvoja tai nimetty johtava virkamies (324). Nimetyn virkamiehen on oltava riippumaton asianomaisesta tutkinnasta tai operaatiosta ja hänellä on oltava käytännön tiedot ihmisoikeusperiaatteista ja -lainsäädännöstä, erityisesti tarpeellisuudesta ja oikeasuhteisuudesta. (325) Jos päätöksen tekee nimetty virkamies, tutkintavaltuuksien valvoja tarkastaa sen jälkikäteen (lisätietoja jälkikäteistarkastukseen liittyvistä tutkintavaltuuksien valvojan tehtävistä on johdanto-osan 254 kappaleessa).
                  
               
                     (204)
                  
                  
                     Lupa hankkia viestintätietoja perustuu toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointiin. Toimenpiteen tarpeellisuutta arvioidaan lainsäädännössä lueteltujen perusteiden valossa. (326) Koska kyseessä on kohdennettu toimenpide, sen on oltava tarpeen myös asianomaista tutkimusta tai operaatiota varten. (327) Muita toimenpiteen tarpeellisuuden arviointia koskevia vaatimuksia esitetään viestintätietoja koskevissa käytännesäännöissä. (328) Käytännesäännöissä säädetään erityisesti, että pyynnön esittävän viranomaisen toimittamassa hakemuksessa on yksilöitävä kolme vähimmäistekijää, joiden nojalla pyynnön tarpeellisuutta perustellaan: i) tutkittavana oleva tapahtuma, esimerkiksi rikos tai haavoittuvassa asemassa olevan kadonneen henkilön paikallistaminen; ii) henkilö, jonka tietoja pyydetään, esimerkiksi epäilty, todistaja tai kadonnut henkilö, ja se, miten he liittyvät tapahtumaan; ja iii) pyydetyt viestintätiedot, esimerkiksi puhelinnumero tai IP-osoite, ja miten tämä tieto liittyy asianomaiseen henkilöön ja tapahtumaan. (329)
                     
                  
               
                     (205)
                  
                  
                     Lisäksi viestintätietojen hankkimisen on oltava oikeassa suhteessa tavoiteltuun tulokseen nähden. (330) Viestintätietoja koskevissa käytännesäännöissä selvennetään, että luvan myöntämisestä päättävän henkilön olisi arviointia tehdessään otettava huomioon yhtäältä se, missä määrin toimenpiteellä puututaan yksilön oikeuksiin ja vapauksiin, ja toisaalta se, missä määrin näin voidaan edistää tietyn viranomaisen yleisen edun vuoksi toteuttamaa tutkintaa tai operaatiota. Kun huomioon otetaan kaikki yksittäiseen tapaukseen liittyvät seikat, yksilön oikeuksiin puuttuminen ei käytännesääntöjen mukaan ole välttämättä oikeutettua, jos toisen yksilön tai ryhmän oikeuksille aiheutuvat haittavaikutukset ovat liian vakavat. Käytännesäännöissä luetellaan lisäksi useita tekijöitä, jotka pyynnön esittävän viranomaisen olisi sisällytettävä hakemukseensa toimenpiteen oikeasuhteisuuden arviointia varten. (331) Lisäksi erityistä huomiota olisi kiinnitettävä siihen, minkätyyppisiä viestintätietoja on tarkoitus hankkia (”yksikköä” vai ”tapahtumaa” koskevia tietoja (332)). Ensisijaisesti on pyrittävä hankkimaan tietoja, jotka merkitsevät vähäisempää puuttumista yksityisyyteen. (333) Viestintätietoja koskevat käytännesäännöt sisältävät myös erityisiä ohjeita valtuutuksista, jotka koskevat tiettyjä ammatteja harjoittavien henkilöiden (kuten lääkäreiden, lakimiesten, toimittajien, parlamentin jäsenten tai pappien) (334) viestintätietoja, sillä niihin sovelletaan erityisiä suojatoimia. (335)
                     
                  
               ii)   Määräys säilyttää viestintätiedot
         
         
                     (206)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain 4 osassa vahvistetaan viestintätietojen säilyttämistä koskevat säännöt ja erityisesti kriteerit, joiden nojalla Secretary of State voi antaa säilyttämismääräyksen (retention notice). (336) Tutkintavaltuuksista annetulla lailla käyttöön otettuja suojatoimia sovelletaan riippumatta siitä, säilytetäänkö tietoja säilytetään lainvalvontatarkoituksessa vai kansallisen turvallisuuden vuoksi.
                  
               
                     (207)
                  
                  
                     Säilyttämismääräyksen tarkoituksena on varmistaa, että teleoperaattorit säilyttävät enintään 12 kuukauden ajan asiaankuuluvat viestintätiedot, jotka muutoin poistettaisiin sen jälkeen kun niitä ei enää tarvita liiketoiminnassa. (337) Säilytettävien tietojen on oltava saatavilla vaaditun ajan, jos viranomaisten on myöhemmin tarpeen hankkia ne vuonna 2016 tutkintavaltuuksista annetun lain 3 osan perusteella annetun kohdennetun luvan nojalla; lisätietoja ao. luvasta johdanto-osan 203–205 kappaleessa.
                  
               
                     (208)
                  
                  
                     Toimivaltaa, jonka nojalla on mahdollista pyytää määrättyjen tietojen säilyttämistä, säännellään erilaisin rajoituksin ja suojatoimin. Secretary of State voi antaa säilyttämismääräyksen yhdelle tai usealle operaattorille (338) vain jos hän katsoo, että vaatimus tietojen säilyttämisestä on tarpeen jonkin lakisääteisen tarkoituksen (339) vuoksi ja että se on oikeassa suhteessa tavoiteltuun tulokseen nähden. (340) Tätä varten Secretary of Staten on ennen säilyttämismääräyksen antamista otettava vuonna 2016 tutkintavaltuuksista annetun lain mukaisesti (341) huomioon seuraavat: määräyksen todennäköiset hyödyt; (342) asianomaisten televiestintäpalvelujen kuvaus; onko säilytettävät tiedot rajattu asianmukaisesti viittaamalla niiden sijaintiin tai kuvailemalla henkilöt, joille telepalveluja tarjotaan; (343) niiden käyttäjien todennäköinen määrä (jos tiedossa), joille määräyksen soveltamisalaan kuuluvia televiestintäpalveluja tarjotaan; (344) määräyksen tekninen toteutettavuus; määräyksen noudattamisesta aiheutuvat todennäköiset kustannukset ja mahdolliset muut vaikutukset sen kohteena olevalle teleoperaattorille (tai operaattorien kuvaus). (345) Kuten viestintätietoja koskevien käytännesääntöjen 17 luvussa täsmennetään, kaikissa säilytysmääräyksissä on täsmennettävä säilytettävät tietotyypit ja se, miten kyseinen tietotyyppi vastaa säilyttämiselle asetettuja ehtoja.
                  
               
                     (209)
                  
                  
                     Kaikissa tapauksissa (sekä kansalliseen turvallisuuteen että lainvalvontatarkoituksiin liittyvien perustelujen yhteydessä) Secretary of Staten päätökseen myöntää tietojen säilyttämistä koskeva määräys on saatava myös oikeusvaltuutetun hyväksyntä (double-lock procedure). Oikeusvaltuutetun on erityisesti tarkistettava, onko määräys tarpeen ja oikeassa suhteessa yhteen tai useampaan lakisääteiseen tarkoitukseen nähden. (346)
                     
                  
               3.3.1.1.3   Laitetutkinta
         
                     (210)
                  
                  
                     Laitetutkinnalla tarkoitetaan tekniikoita, joiden avulla laitteista (347), kuten tietokoneista, tableteista ja älypuhelimista sekä kaapeleista, johdoista ja tallennuslaitteista, voidaan saada erilaisia tietoja. (348) Laitetutkinnan avulla voidaan hankkia sekä viestinnän sisältöä koskevia tietoja että laitetietoja. (349)
                     
                  
               
                     (211)
                  
                  
                     Tiedustelupalvelu tarvitsee laitetutkintaan vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentin nojalla luvan, joka annetaan määräyksellä (warrant) kyseiseen lakiin perustuvan ns. kaksoishyväksyntämenettelyn mukaisesti edellyttäen, että asialla on ”Brittein saariin liittyvä yhteys”. (350) Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tilanteissa, joissa tietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan tämän päätöksen soveltamisalalla, olisi aina olemassa ”Brittein saariin liittyvä yhteys”. Tällaisia tietoja koskevaan laitetutkintaan sovellettaisiin näin ollen aina vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa säädettyä määräyksen antamista koskevaa vaatimusta. (351)
                     
                  
               
                     (212)
                  
                  
                     Kohdennettua laitetutkintaa koskevat säännöt esitetään vuonna 2016 tutkintavaltuuksista annetun lain 5 osassa. Samoin kuin kohdennetun telekuuntelun, myös kohdennetun laitetutkinnan tulee liittyä tiettyyn ”kohteeseen”, joka on esitettävä määräyksessä. (352) Se, miten tämä ”kohde” on yksilöitävä, riippuu asiasta ja tutkittavan laitteen tyypistä. Tutkintavaltuuksista annetun lain 115 §:n 3 momentissa säädetään erityisesti siitä, mitä seikkoja määräyksessä olisi mainittava (mm. asianomaisen henkilön tai organisaation nimi ja paikan kuvaus). Tämä määräytyy muun muassa sen mukaan, koskeeko tutkinta laitetta, joka kuuluu tietylle henkilölle, organisaatiolle tai henkilöryhmälle tai onko se näiden hallussa tai sijaitseeko se tietyssä paikassa (353). Se, mitä tarkoitusta varten kohdennettu laitetutkintamääräys voidaan antaa, riippuu hakemuksen tekevästä viranomaisesta (354).
                  
               
                     (213)
                  
                  
                     Samoin kuin kohdennetun telekuuntelun yhteydessä, määräyksen antavan viranomaisen on harkittava, onko toimenpide tarpeen tietyn tarkoituksen saavuttamiseksi ja onko se oikeassa suhteessa tavoiteltuun tulokseen nähden. (355) Lisäksi viranomaisen olisi otettava huomioon, onko olemassa suojatoimia, jotka liittyvät tietojen turvallisuuteen, säilyttämiseen ja luovuttamiseen sekä tietojen siirtämiseen ulkomaille (”overseas disclosure”) (356) (ks. johdanto-osan 196 kappale).
                  
               
                     (214)
                  
                  
                     Määräykselle on saatava riippumattoman oikeusvaltuutetun hyväksyntä, kiireellisiä tapauksia lukuun ottamatta. (357) Kiireellisissä tapauksissa oikeusvaltuutetulle on ilmoitettava määräyksen antamisesta, ja hänen on hyväksyttävä se kolmen työpäivän kuluessa. Jos oikeusvaltuutettu ei hyväksy määräystä, sen vaikutukset lakkaavat eikä sitä voida uusia. (358) Lisäksi oikeusvaltuutettu voi määrätä kaikki määräyksen nojalla hankitut tiedot tuhottavaksi. (359) Se, että määräys on myönnetty kiireellisesti, ei vaikuta jälkikäteisvalvontaan (ks. johdanto-osan 244–255 kappale) eikä yksilöiden oikeussuojakeinoihin (ks. johdanto-osan 260–270 kappale). Yksilöt voivat tehdä kantelun tietosuojavaltuutetulle tai valittaa väitetystä toiminnasta tutkintavaltuuksia käsittelevälle tuomioistuimelle tavalliseen tapaan. Oikeusvaltuutetun on kaikissa tapauksissa määräyksen hyväksymistä harkitessaan otettava huomioon hakemuksen tarpeellisuus ja oikeasuhteisuus samalla tavoin kuin kohdennettua telekuuntelua koskevien hakemusten yhteydessä (360) (ks. johdanto-osan 192 kappale).
                  
               
                     (215)
                  
                  
                     Mainittakoon lopuksi, että laitetutkintaan sovelletaan samoja erityisiä suojatoimia kuin kohdennettuun telekuunteluun. Ne koskevat määräyksen voimassaoloaikaa, uusimista ja muuttamista sekä tilanteita, joissa kohde on parlamentin jäsen tai asianajosalaisuuden piiriin kuuluva seikka tai journalistinen aineisto (ks. lisätietoja johdanto-osan 193 kappaleessa).
                  
               3.3.1.1.4   Laajamittaisten valtuuksien käyttö
         
                     (216)
                  
                  
                     Laajamittaisia valtuuksia säännellään vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa. Lisäksi on annettu käytännesäännöt näiden valtuuksien käytöstä. Yhdistyneen kuningaskunnan lainsäädännössä ei määritellä ’laajamittaisia tutkintavaltuuksia’ (bulk power), mutta vuonna 2016 tutkintavaltuuksista annetun lain perusteella kyse on sellaisten suurten tietomäärien keräämisestä ja säilyttämisestä, joita hallitus hankkii eri tavoin (esim. laajamittaista telekuuntelua koskevat valtuudet, laajamittainen tietojenhankinta ja laajamittainen laitetutkinta sekä laajat henkilötietoaineistot) ja joita viranomaiset voivat myöhemmin käyttää. Tätä kuvausta voidaan selventää tarkentamalla, että laajamittaiset tutkintavaltuudet eivät ole sama asia kuin nk. joukkovalvonta ilman rajoituksia tai suojatoimia. Päinvastoin, kuten jäljempänä selitetään, laajamittaisten tutkintavaltuuksien käyttöön liittyy rajoituksia ja suojatoimia, joilla varmistetaan, että pääsyä tietoihin ei myönnetä umpimähkään eikä aiheettomasti. (361) Laajamittaisia tutkintavaltuuksia voidaan erityisesti käyttää vain jos kansallisen tiedusteluviraston suunnitteleman teknisen toimenpiteen ja sille asetetun tavoitteen välillä voidaan todeta yhteys.
                  
               
                     (217)
                  
                  
                     Lisäksi laajamittaiset toimivaltuudet ovat vain tiedustelupalvelujen käytettävissä, ja niiden käyttö edellyttää aina Secretary of Staten antamaa ja oikeusvaltuutetun hyväksymää määräystä (warrant). Tiedustelutietojen keräämiseen käytettäviä keinoja valittaessa on pohdittava, voitaisiinko tavoiteltu tulos saavuttaa myös vähemmän yksityisyyteen puuttuvilla keinoilla. (362) Tämän lähestymistavan taustalla oleva lainsäädäntökehys perustuu oikeasuhteisuusperiaatteeseen, minkä vuoksi siinä suositaan laajamittaisen keruun sijasta kohdennettua tietojenkeruuta.
                  
               3.3.1.1.4.1   Laajamittainen telekuuntelu ja laajamittainen laitetutkinta
         
                     (218)
                  
                  
                     Laajamittaista telekuuntelua koskevat säännöt sisältyvät vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 1 lukuun, ja laajamittaisesta laitetutkinnasta säädetään saman osan 3 luvussa. Nämä säännöt ovat olennaisilta osin samat, joten näihin määräyksiin sovellettavia edellytyksiä ja täydentäviä suojatoimia analysoidaan yhdessä.
                  
               i)   Määräyksen antamiseen sovellettavat edellytykset ja kriteerit
         
         
                     (219)
                  
                  
                     Laajamittaista telekuuntelua koskeva määräys voidaan antaa vain kun kyseessä on telekuuntelu sellaisen viestinnän aikana, jossa lähettäjä tai vastaanottaja on Brittein saarten ulkopuolella (363) eli kun telekuuntelu liittyy nk. ulkomaihin liittyvään viestintään (overseas-related communications) (364). Lupa kattaa myös muut merkitykselliset tiedot ja hankitun aineiston myöhemmän valikoinnin tutkimista varten. (365) Laajamittaista laitetutkintaa koskevalla määräyksellä (366) annetaan hakijalle lupa hankkia pääsy mihin tahansa laitteeseen, kun tarkoituksena on hankkia ulkomaihin liittyvää viestintätietoa (mukaan lukien puhe, musiikki, äänet, kuvat ja kaikenlainen muu data), sekä pääsy laitetietoihin (tiedot, jotka mahdollistavat postipalvelun toiminnan ja helpottavat sitä; televiestintäjärjestelmä tai televiestintäpalvelu) tai mihin tahansa muihin tietoihin. (367)
                     
                  
               
                     (220)
                  
                  
                     Secretary of State voi antaa telekuuntelua tai laitetutkintaa koskevan laajamittaisen määräyksen vain tiedustelupalvelun johtajan hakemuksen perusteella. (368) Lupa laajamittaiseen telekuunteluun tai laajamittaiseen laitetutkintaan voidaan myöntää vain jos se on tarpeen kansallisen turvallisuuden vuoksi, vakavan rikoksen paljastamiseksi tai taloudellisen hyvinvoinnin turvaamiseksi Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle. (369) Vuonna 2016 tutkintavaltuuksista annetun lain 142 §:n 7 momentissa edellytetään lisäksi, että laajamittaista telekuuntelua koskevassa määräyksessä on esitettävä yksityiskohtaisemmat perusteet kuin pelkkä viittaus ”kansalliseen turvallisuuteen” tai taloudellisen hyvinvoinnin turvaamiseen Yhdistyneessä kuningaskunnassa” tai ”vakavan rikollisuuden ehkäisemiseen ja paljastamiseen”. Määräyksessä on esitettävä yhteys haetun toimenpiteen ja yhden tai useamman määräyksessä mainitun operatiivisen tarkoituksen välillä.
                  
               
                     (221)
                  
                  
                     Operatiivisen tarkoituksen valinta perustuu monikerroksiseen prosessiin. Lain 142 §:n 4 momentissa säädetään, että määräyksessä mainittujen operatiivisten tarkoitusten tulee sisältyä tiedustelupalvelujen johtajien ylläpitämään hyväksyttävien operatiivisten tarkoitusten luetteloon perusteina, joiden nojalla laajamittaista telekuuntelua koskevan määräyksen nojalla hankittua sisältöä tai toissijaista dataa voidaan valikoida tutkittavaksi. Secretary of Staten on hyväksyttävä operatiivisia tarkoituksia koskeva luettelo. Secretary of State voi antaa hyväksyntänsä vain jos hän on vakuuttunut siitä, että operatiivinen tarkoitus on määritelty yksityiskohtaisemmin kuin määräyksen yleiset hyväksymisperusteet (kansallinen turvallisuus tai siihen liittyvän taloudellisen hyvinvoinnin turvaaminen tai vakavan rikollisuuden ehkäiseminen). (370) Secretary of Staten on toimitettava kolmen kuukauden määräajoin jäljennös operatiivisten tarkoitusten luettelosta parlamentin tiedustelu- ja turvallisuusvaliokunnalle (Intelligence and Security Committee). Lopuksi pääministerin on tarkistettava luettelo vähintään kerran vuodessa. (371) High Court -tuomioistuin on huomauttanut, että näitä suojatoimia ei pidä vähätellä, sillä yhdessä ne muodostavat hienojakoisen vastuuverkoston, jossa ovat osallisina sekä parlamentti että hallituksen jäsenet korkeimmalla tasolla. (372)
                     
                  
               
                     (222)
                  
                  
                     Operatiivisten tarkoitusten nojalla rajoitetaan myös hankitun aineiston valikointia tutkintavaiheessa. Laajamittaisen määräyksen nojalla hankitun aineiston valikointi tutkintaa varten on voitava perustella operatiivisten tarkoitusten avulla. Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa, että Secretary of Staten on arvioitava tutkintaan liittyviä käytännön järjestelyjä jo määräyksen antamisvaiheessa. Järjestelyt on esitettävä hänelle riittävän yksityiskohtaisesti, jotta vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä esitetyt lakisääteiset vaatimukset täyttyvät. (373) Tätä varten on annettava tiedot esimerkiksi siitä, miten suodatusjärjestelyt mahdollisesti vaihtelevat määräyksen voimassaolon aikana. (374) Lisätietoja suodatus- ja tutkintavaiheisiin sovellettavista menettelyistä ja suojatoimista on johdanto-osan 229 kappaleessa.
                  
               
                     (223)
                  
                  
                     Laajamittaiset tutkintavaltuudet voidaan hyväksyä vain, jos ne ovat oikeassa suhteessa tavoiteltuun tulokseen nähden. (375) Kuten telekuuntelua koskevissa käytännesäännöissä todetaan, oikeasuhteisuuden arvioinnissa on punnittava yksityisyyteen puuttumisen vakavuutta (ja muita 2 §:n 2 momentissa mainittuja näkökohtia) suhteessa toiminnan tarpeellisuuteen tutkinnan, operatiivisen toiminnan tai valmiuksien kannalta. Tutkintavaltuuksien käytön olisi tarjottava realistinen mahdollisuus tavoitellun tuloksen saavuttamiseen eikä sen pitäisi olla suhteetonta tai mielivaltaista. (376) Kuten edellä on todettu, tämä tarkoittaa käytännössä sitä, että oikeasuhteisuuden arvioinnissa on punnittava tavoiteltua tulosta (”operatiivinen tarkoitus”) ja käytettävissä olevia teknisiä vaihtoehtoja (esim. kohdennettu vai laajamittainen kuuntelu, laitetutkinta, viestintätietojen hankinta) ja asetettava etusijalle vähiten yksityisyyteen puuttuvat keinot (ks. johdanto-osan 181 ja 182) kappale. Silloin kun tulos voitaisiin saavuttaa useamman eri vaihtoehdon avulla, niistä on valittava se, joka vaikuttaa yksityisyyteen vähiten.
                  
               
                     (224)
                  
                  
                     Toinen pyydetyn toimenpiteen oikeasuhteisuuden arviointia koskeva suojatoimi on se, että Secretary of Staten on saatava tarvittavat tiedot voidakseen suorittaa arviointinsa asianmukaisesti. Käytännössä telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä edellytetään, että toimivaltaisen viranomaisen on esitettävä hakemuksessa sen tausta ja kuvaus viestinnästä, jonka sieppaamiseen lupaa haetaan, teleoperaattoreista, joiden on määrä avustaa siinä, ja toimista, joihin lupaa haetaan, sekä selitettävä toiminnan operatiiviset tarkoitukset ja se, miksi se on tarpeen ja oikeasuhteista. (377)
                     
                  
               
                     (225)
                  
                  
                     Lopuksi on tärkeää huomata, että määräyksen antamista koskevalle Secretary of Staten päätökselle on saatava hyväksyntä myös riippumattomalta oikeusvaltuutetulta, joka tarkastelee ehdotetun toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arviointia soveltaen samoja periaatteita kuin tuomioistuin soveltaa oikeudellisessa uudelleentarkastelussa. (378) Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät siitä, onko määräys tarpeen ja onko toiminta oikeasuhteista vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa vahvistettujen periaatteiden nojalla (yksityisyydensuojaa koskevat yleiset velvoitteet). Oikeusvaltuutettu tarkistaa Secretary of Staten päätelmät myös sen suhteen, ovatko kaikki määräyksessä eritellyt operatiiviset tarkoitukset sellaisia, joiden osalta valinta on tai voi olla tarpeen. Jos oikeusvaltuutettu ei hyväksy päätöstä määräyksen antamisesta, Secretary of State voi joko i) hyväksyä oikeusvaltuutetun päätöksen ja olla antamatta määräystä; tai ii) viedä asian tutkintavaltuuksien valvojan ratkaistavaksi (paitsi jos tutkintavaltuuksien valvoja on tehnyt alkuperäisen päätöksen). (379)
                     
                  
               ii)   Täydentävät suojatoimet
         
         
                     (226)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetulla lailla on otettu käyttöön lisärajoituksia, jotka koskevat laajamittaisen määräyksen voimassaoloaikaa, uusimista ja muuttamista. Määräys saa olla voimassa enintään kuusi kuukautta, ja sen uusimista tai muuttamista (vähäisiä muutoksia lukuun ottamatta) koskevalle päätökselle on niin ikään saatava oikeusvaltuutetun hyväksyntä. (380) Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään, että määräyksen operatiivisten tarkoitusten muutos katsotaan merkittäväksi muutokseksi. (381)
                     
                  
               
                     (227)
                  
                  
                     Samoin kuin kohdennetun telekuuntelun osalta, vuonna 2016 tutkintavaltuuksista annetun lain 6 osassa säädetään, että Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt, joilla varmistetaan määräyksen nojalla hankitun aineiston säilyttämistä ja luovuttamista koskevat suojatoimet (382) sekä ulkomaille luovuttamista koskevat suojatoimet (383). Erityisesti lain 150 §:n 5 momentissa ja 191 §:n 5 momentissa säädetään, että kaikki tällaisen määräyksen nojalla kerätystä aineistosta tehdyt kopiot on säilytettävä turvallisesti ja hävitettävä heti kun niiden säilyttämiseen ei ole enää perusteltua syytä. Lain 150 §:n 2 momentissa ja 191 §:n 2 momentissa taas säädetään, että niiden henkilöiden määrä, joille aineisto luovutetaan, ja se, missä määrin aineistoa luovutetaan tai annetaan tutustuttavaksi tai kopioidaan, on rajoitettava siihen, mikä on lakisääteisen tavoitteen toteuttamista varten välttämätöntä. (384)
                     
                  
               
                     (228)
                  
                  
                     Lisäksi laissa säädetään, että kun telekuuntelua tai laitetutkintaa koskevalla laajamittaisella määräyksellä haltuun otettu aineisto luovutetaan kolmanteen maahan (”overseas disclosure”), Secretary of Staten on varmistettava, että käytössä on asianmukaiset järjestelyt sen varmistamiseksi, että kyseisessä kolmannessa maassa on käytössä vastaavat turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (385) Lisäksi vuoden 2018 tietosuojalain 109 §:ssä vahvistetaan erityisvaatimukset, jotka koskevat tiedustelupalvelujen toteuttamia henkilötietojen kansainvälisiä siirtoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (386) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.
                  
               
                     (229)
                  
                  
                     Kun määräys on hyväksytty ja laajamittainen data kerätty, siitä valikoidaan tutkittava aineisto. Valinta- ja tutkintavaiheessa sovelletaan jälleen oikeasuhteisuusvaatimusta siten, että analyytikko määrittelee tutkittavaa aineistoa koskevat valintakriteerit määräyksessä mainittujen operatiivisten tarkoitusten (ja mahdollisten suodatusjärjestelyjen) perusteella. Kuten vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään, Secretary of Staten on määräystä antaessaan varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tutkittava aineisto valitaan ainoastaan määräyksessä eriteltyjä operatiivisia tarkoituksia varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Yhdistyneen kuningaskunnan viranomaiset ovat tältä osin selventäneet, että laajamittaisen määräyksen nojalla hankitusta aineistosta poistetaan ensin automaattisen suodatuksen avulla tiedot, joilla ei todennäköisesti ole merkitystä kansalliselle turvallisuudelle. Suodattimia muunnetaan aika ajoin (internetliikenteen mallien, tyyppien ja yhteyskäytäntöjen muuttuessa) ja myös käytetyn teknologian ja operatiivisen kontekstin mukaan. Tämän jälkeen datasta valitaan tutkittava aineisto vain jos se on merkityksellinen määräyksessä mainittujen operatiivisten tarkoitusten kannalta. (387) Vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä, kerätyn aineiston tutkimista koskevia suojatoimia sovelletaan kaikentyyppisiin tietoihin (sekä siepattuun sisältöön että toissijaiseen dataan). (388) Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä säädetään myös yleisestä kiellosta, jonka mukaan tutkintaan ei saa valita aineistoa, jonka lähettäjä tai vastaanottaja on Brittein saarilla. Jos viranomaiset haluavat tutkia tällaista aineistoa, niiden on haettava vuonna 2016 tutkintavaltuuksista annetun lain 2 ja 4 osan nojalla kohdennettua tutkintamääräystä, jonka Secretary of State antaa ja jolle on saatava oikeusvaltuutetun hyväksyntä. (389) Jos tutkintaan valitaan tietoisesti aineistoa lainsäädännössä asetettujen vaatimusten vastaisesti (390), kyseessä on rikos. (391)
                     
                  
               
                     (230)
                  
                  
                     Analyytikon laatimalle aineiston valikointia koskevalle arvioinnille tehdään jälkiarviointi, jossa tutkintavaltuuksien valvoja tarkistaa, että tutkintavaiheessa on noudatettu vuonna 2016 tutkintavaltuuksista annetussa laissa säädettyjä erityisiä suojatoimia (392) (ks. myös johdanto-osan 229 kappale). Tutkintavaltuuksien valvoja seuraa jatkuvasti (mm. auditointien, tarkastusten ja tutkimusten avulla) sitä, miten viranomaiset käyttävät vuonna 2016 tutkintavaltuuksista annetussa laissa mainittuja tutkintavaltuuksia (393). Telekuuntelua ja laitetutkintaa koskevissa käytännesäännöissä täsmennetään tältä osin, että viraston on pidettävä valtuuksien käytöstä kirjaa myöhempiä tarkastuksia ja auditointeja varten. Kirjanpidossa on selostettava sovellettavat operatiiviset tarkoitukset ja se, miksi valtuutettujen henkilöiden on tarpeen ja oikeasuhteista voida tutustua aineistoon (394). Esimerkiksi tutkintavaltuuksien valvojan toimiston (Investigatory Powers Commissioner Office, IPCO) vuosikertomuksessa 2018 (395) todetaan, että analyytikoiden perustelut tietyn laajassa mittakaavassa kerätyn aineiston tutkimiseksi täyttivät oikeasuhteisuutta koskevat vaatimukset, koska niissä esitettiin riittävän yksityiskohtaisesti hauissa käytetyt perustelut suhteessa tavoiteltuun tulokseen (396). Tutkintavaltuuksien valvojan toimisto ilmoitti vuotta 2019 koskevassa vuosikertomuksessaan laajamittaisten tutkintavaltuuksien osalta selkeästi aikovansa jatkaa laajamittaisen telekuuntelun tarkastuksia, joihin sisältyy valinta- ja hakukriteerien yksityiskohtainen tarkastelu (397). Lisäksi on tarkoitus tutkia huolellisesti ja tapauskohtaisesti valvontatoimien valintaa (kohdennettu/laajamittainen) sekä määräyksiä koskevien hakemusten kaksoishyväksyntämenettelyn että niiden tarkastamisen yhteydessä (398). Tämä täydentävä seuranta otetaan asianmukaisesti huomioon, kun komissio seuraa tilannetta tämän päätöksen antamisen jälkeen, ks. johdanto-osan 281–284 kappale.
                  
               3.3.1.1.4.2   Viestintätietojen laajamittainen hankinta
         
                     (231)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetään viestintätietojen laajamittaista hankintaa koskevista määräyksistä, joiden nojalla teleoperaattoria voidaan vaatia luovuttamaan tai hankkimaan mitä tahansa hallussaan olevia viestintätietoja. Näiden määräysten nojalla viranomaiset voivat myös valikoida dataa myöhemmin tutkittavaksi. Samoin kuin viestintätietojen kohdennettu säilyttäminen ja hankinta (ks. johdanto-osan 199 kappale), myöskään viestintätietojen laajamittainen hankinta ei yleensä koske EU:n rekisteröityjen henkilötietoja, joita siirretään Yhdistyneeseen kuningaskuntaan tämän päätöksen nojalla. Vuonna 2016 tutkintavaltuuksista annetun lain 6 osan 2 luvussa säädetty velvollisuus luovuttaa viestintätietoja koskee tietoja, jotka teleoperaattorit ovat keränneet Yhdistyneessä kuningaskunnassa suoraan jonkin televiestintäpalvelun käyttäjiltä. (399) Tällainen ”asiakaskohtainen” käsittely ei yleensä kata tämän päätöksen nojalla tehtäviä tiedonsiirtoja, eli tietojen siirtämistä EU:n rekisterinpitäjältä/henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle/henkilötietojen käsittelijälle.
                  
               
                     (232)
                  
                  
                     Kattavuuden vuoksi viestintätietojen laajamittaista hankkimista ja säilyttämistä koskevat säännöt kuvataan kuitenkin jäljempänä.
                  
               
                     (233)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetulla lailla korvataan viestintätietojen laajamittaista hankintaa koskeva lainsäädäntö, josta Euroopan unionin tuomioistuin antoi tuomion asiassa Privacy International. Mainitussa asiassa tarkasteltu lainsäädäntö on kumottu, ja uudessa järjestelmässä vahvistetaan erityiset edellytykset ja suojatoimet, joiden nojalla tällainen toimenpide voidaan hyväksyä.
                  
               
                     (234)
                  
                  
                     Poiketen aiemmasta järjestelmästä, jonka mukaan Secretary of Statella oli täysi harkintavalta hyväksyä kyseinen toimenpide (400), vuonna 2016 tutkintavaltuuksista annetussa laissa edellytetään, että Secretary of State antaa määräyksen vain jos se on tarpeellinen ja oikeasuhteinen. Tämä tarkoittaa käytännössä, että tietoihin pääsyn ja tavoitellun päämäärän välillä on oltava yhteys. (401) Tarkemmin sanottuna Secretary of Staten on arvioitava pyydetyn toimenpiteen ja jonkin määräyksessä mainitun ”operatiivisen tarkoituksen” (ks. johdanto-osan 219 kappale) välistä yhteyttä oikeasuhteisuuden kannalta. Asiaa koskevien käytännesääntöjen mukaan ”Secretary of Staten on arvioitava erityisesti, voitaisiinko pyydetyn määräyksen tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla (lain 2 §:n 2 kohdan a alakohta), eli voitaisiinko esimerkiksi tarvittavat tiedot hankkia vähemmän yksityisyyteen puuttuvien valtuuksien nojalla, kuten viestintätietojen kohdennetun hankinnan avulla”. (402)
                     
                  
               
                     (235)
                  
                  
                     Secretary of State laatii tämän arvioinnin niiden tietojen perusteella, jotka tiedustelupäälliköiden (403) on toimitettava hakemuksessaan. Näitä ovat muun muassa perustelut sille, miksi toimenpiteen katsotaan olevan tarpeellinen jonkin lakisääteisen syyn vuoksi ja miksi tavoiteltua tulosta ei voitaisi kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla. (404) Lisäksi operatiiviset tarkoitukset rajoittavat soveltamisalaa siltä osin, mitä määräyksen nojalla hankittuja tietoja voidaan valikoida tutkittavaksi. (405) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, operatiivisissa tarkoituksissa on kuvailtava selkeä vaatimus ja niiden on oltava riittävän yksityiskohtaisia, jotta Secretary of State voi vakuuttua siitä, että hankittuja tietoja valikoidaan tutkittavaksi ainoastaan tiettyjä tarkoituksia varten. (406) Secretary of Staten on nimittäin ennen määräyksen antamista varmistuttava siitä, että käytössä on erityiset järjestelyt sen varmistamiseksi, että tutkittavaksi valikoidaan ainoastaan sellaista aineistoa, jonka tutkiminen katsotaan tarpeelliseksi jotakin lakisääteistä operatiivista tarkoitusta varten ja että valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen. Tämä vuonna 2016 tutkintavaltuuksista annetun lain 158 ja 172 §:ssä säädetty vaatimus (407), jonka mukaan valintakriteerien tarpeellisuutta ja oikeasuhteisuutta on arvioitava etukäteen, on toinen kyseisellä lailla käyttöön otetuista tärkeistä uudistuksista aiempaan järjestelmään verrattuna.
                  
               
                     (236)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön myös velvoite, jonka mukaan Secretary of Staten on ennen laajamittaista viestintätietojen hankintaa koskevan määräyksen antamista varmistettava, että käytössä on erityiset, kerättyjen henkilötietojen turvallisuutta, säilyttämistä ja luovuttamista koskevat suojatoimet. (408) Kun tietoja on määrä luovuttaa ulkomaille, johdanto-osan 227 kappaleessa kuvailtuja, laajamittaista telekuuntelua ja laitetutkintaa koskevia suojatoimia sovelletaan myös tässä yhteydessä. (409) Lisäksi lainsäädännössä on asetettu lisärajoituksia, jotka koskevat tietojen laajamittaista hankintaa koskevien määräysten voimassaoloaikaa (410), uusimista (411) ja muuttamista (412).
                  
               
                     (237)
                  
                  
                     On tärkeää huomata, että samoin kuin muiden laajamittaisten tutkintavaltuuksien yhteydessä, Secretary of Staten on ennen määräyksen antamista saatava sille oikeusvaltuutetun hyväksyntä. (413) Tämä keskeinen säännös otettiin käyttöön vuonna 2016 tutkintavaltuuksista annetulla lailla.
                  
               
                     (238)
                  
                  
                     Tutkintavaltuuksien valvoja tarkastaa jälkikäteen laajamittaisen määräyksen nojalla hankitun aineiston (viestintätietojen) tutkintamenettelyn (ks. johdanto-osan 254 kappale). Tähän liittyen vuonna 2016 tutkintavaltuuksista annetulla lailla otettiin käyttöön vaatimus, jonka nojalla aineiston tutkinnasta vastaavan tiedusteluanalyytikon on ennen tutkimusaineiston valikointia kirjattava ylös syy, jonka vuoksi ehdotettu tutkinta on tarpeen ja oikeasuhteinen tiettyä operatiivista tarkoitusta varten. (414) Tutkintavaltuuksien valvojan vuosikertomuksessa 2019 todetaan, että tiedustelupalvelun (GCHQ)ja MI5:n käytännöissä on tarkastelun kohteena olleiden tapausten perusteella otettu asianmukaisesti huomioon laajamittaisten viestintätietojen hankinnan keskeinen merkitys tiedustelupalvelun tehtävien kannalta. Pyydettyjen tietojen luonteen ja ilmoitettujen tiedusteluun liittyvien vaatimusten perusteella tutkintavaltuuksien valvoja katsoi esitetyn dokumentaation osoittavan, että lähestymistapa oli tarpeellinen ja oikeasuhteinen. (415) MI5:n kirjatut perustelut olivat vuosikertomuksen mukaan hyvälaatuisia ja täyttivät tarpeellisuus- ja oikeasuhteisuusperiaatteiden mukaiset vaatimukset. (416)
                     
                  
               3.3.1.1.4.3   Laajojen henkilötietojoukkojen säilyttäminen ja tutkiminen
         
                     (239)
                  
                  
                     Laajoja henkilötietojoukkoja koskevan määräyksen (417) nojalla tiedustelupalvelulle annetaan lupa säilyttää ja tutkia datajoukkoja, jotka koostuvat useiden henkilöiden henkilötiedoista. Yhdistyneen kuningaskunnan viranomaisten antamien selvitysten mukaan tällaisten datajoukkojen analysointi voi olla ainoa keino, jonka avulla Yhdistyneen kuningaskunnan tiedusteluyhteisö voi edistää tutkintatoimia ja tunnistaa terroristeja hyvin rajallisen tiedustelutiedon pohjalta tai silloin kun näiden viestintä on tahallisesti salattu. (418) Tätä varten on olemassa kaksi eri määräystä: ”luokkakohtainen laajaa henkilötietojoukkoa koskeva määräys” (class BPD warrant) (419) koskee tiettyyn luokkaan kuuluvia datajoukkoja, joiden sisältö ja ehdotettu käyttötarkoitus ovat samankaltaisia ja joiden osalta yksityisyydensuojaan puuttumista ja arkaluontoisuutta voidaan arvioida yhdenmukaisesti, niin että Secretary of State voi tarkastella kaikkien kyseiseen luokkaan kuuluvien tietojen hankkimisen tarpeellisuutta ja oikeasuhteisuutta yhteisesti. Tällainen määräys voi kattaa esimerkiksi datajoukot, jotka koskevat samankaltaisiin reitteihin liittyviä matkustustietoja. (420)”tiettyä laajaa henkilötietojoukkoa koskeva määräys” (specific BPD warrant) (421) sen sijaan koskee tiettyä datajoukkoa, esimerkiksi uutta tai epätyypillistä tietoa sisältävää datajoukkoa, joka ei kuulu mihinkään olemassa olevaan datajoukkojen luokkaan, tai datajoukkoa, joka koskee tietynlaisia henkilötietoja (422) ja edellyttää siksi erityisiä suojatoimia (423). Vuonna 2016 tutkintavaltuuksista annetun lain nojalla laajojen henkilötietojoukkojen tutkinta ja säilyttäminen on sallittua vain jos se on tarpeen ja oikeasuhteista (424) ja yksityisyydensuojaa koskevien yleisten velvoitteiden mukaista (425).
                  
               
                     (240)
                  
                  
                     Toimivalta antaa laajaa henkilötietojoukkoa koskeva määräys kuuluu kaksinkertaisen hyväksyntämenettelyn piiriin: toimenpiteen tarpeellisuuden ja oikeasuhteisuuden arvioi ensin Secretary of State ja sen jälkeen oikeusvaltuutettu. (426) Secretary of Staten on otettava arvioinnissaan huomioon haettavan määräyksen luonne ja soveltamisala, sen kohteena oleva tietoluokka ja asianomaisen määräyksen soveltamisalaan todennäköisesti kuuluvien erillisten laajojen henkilötietojoukkojen lukumäärä. (427) Kuten asiaa koskevissa käytännesäännöissä täsmennetään, toimista on lisäksi pidettävä yksityiskohtaista rekisteriä, ja ne kuuluvat tutkintavaltuuksien valvojan auditoinnin piiriin. (428) Laajojen henkilötietojoukkojen säilyttäminen ja tutkiminen siten, että ylitetään vuonna 2016 tutkintavaltuuksista annetussa laissa säädetyt rajoitukset, on rikos. (429)
                     
                  
               3.3.2   Kerättyjen tietojen myöhempi käyttö
         
         
                     (241)
                  
                  
                     Kun henkilötietoja käsitellään vuoden 2018 tietosuojalain 4 osan nojalla, niitä ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. (430) Vuoden 2018 tietosuojalaissa säädetään, että rekisterinpitäjä voi käsitellä tietoja muuta kuin sitä tarkoitusta varten, johon ne on kerätty, jos tämä tarkoitus on yhteensopiva alkuperäisen tarkoituksen kanssa ja edellyttäen, että rekisterinpitäjällä on lain mukaan lupa käsitellä tietoja ja käsittely on tarpeen ja oikeasuhteista. (431) Vuoden 1989 turvallisuuspalvelulaissa ja vuoden 1994 tiedustelupalvelulaissa täsmennetään lisäksi, että tiedustelupalvelujen johtajien velvollisuutena on varmistaa, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi tai asiaa koskevissa säännöksissä lueteltuja rajoitettuja tarkoituksia varten (432).
                  
               
                     (242)
                  
                  
                     Lisäksi vuoden 2018 tietosuojalain 109 §:ssä säädetään henkilötietojen kansainvälisiin siirtoihin sovellettavista erityisvaatimuksista, joita sovelletaan kun tiedustelupalvelut siirtävät tietoja kolmansiin maihin tai kansainvälisille järjestöille. Kyseisen säännöksen mukaan henkilötietoja ei saa siirtää mihinkään maahan tai millekään alueelle Yhdistyneen kuningaskunnan ulkopuolelle tai kansainväliselle järjestölle, ellei siirto ole tarpeen ja oikeasuhteinen rekisterinpitäjän lakisääteisten tehtävien hoitamiseksi tai muita vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin alakohdassa ja vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohdassa ja 4 §:n 2 momentin a alakohdassa säädettyjä tarkoituksia varten. (433) On syytä huomata, että näitä vaatimuksia sovelletaan myös tapauksissa, joissa vedotaan vuoden 2018 tietosuojalain 110 §:n mukaiseen kansallista turvallisuutta koskevaan poikkeukseen. Tietosuojalain 110 §:n mukaan 109 § ei nimittäin kuulu niihin säännöksiin, joiden soveltamisesta voidaan poiketa, jos tietyistä säännöksistä on tarpeen poiketa kansallisen turvallisuuden varmistamiseksi.
                  
               
                     (243)
                  
                  
                     Lisäksi, kuten tietosuojavaltuutettu korostaa tiedustelupalvelujen suorittamaa käsittelyä koskevissa ohjeissaan, kun tiedustelupalvelu jakaa tietoja kolmannen maan tiedusteluelimen kanssa, siihen sovelletaan vuoden 2018 tietosuojalain 4 osassa säädettyjen suojatoimien lisäksi myös muihin säädöksiin perustuvia suojatoimia sen varmistamiseksi, että henkilötietoja hankitaan, jaetaan ja käsitellään lainmukaisesti ja vastuullisesti. (434) Esimerkiksi vuonna 2016 tutkintavaltuuksista annetussa laissa säädetään vielä muista suojatoimista, jotka koskevat sellaisen aineiston siirtämistä kolmanteen maahan (”overseas disclosures”), joka on hankittu kohdennetun telekuuntelun (435), kohdennetun laitetutkinnan (436), laajamittaisen telekuuntelun (437), laajamittaisen viestintätietojen hankinnan (438) ja laajamittaisen laitetutkinnan (439) avulla. Määräyksen antavan viranomaisen on tällöin erityisesti varmistettava, että käytössä on järjestelyt sen varmistamiseksi, että tiedot vastaanottavassa kolmannessa maassa on rajoitettu niiden henkilöiden lukumäärä, joka voi tutustua aineistoon, luovutettavien tietojen laajuus ja aineistosta tehtävien jäljennösten lukumäärä vähimmäismäärään, joka on tarpeen vuoden 2016 laissa säädettyjä valtuutettuja tarkoituksia varten. (440)
                     
                  
               3.3.3   Valvonta
         
         
                     (244)
                  
                  
                     Useat eri elimet valvovat viranomaisten pääsyä tietoihin kansallisen turvallisuuden kannalta merkityksellisiä tarkoituksia varten. Tietosuojavaltuutettu valvoo henkilötietojen käsittelyä vuoden 2018 tietosuojalain nojalla (lisätietoja tietosuojavaltuutetun riippumattomuudesta, nimittämisestä ja toimivallasta, ks. johdanto-osan 85–98 kappale), kun taas vuonna 2016 tutkintavaltuuksista annetun lain mukaisten tutkintavaltuuksien käyttöä koskeva riippumaton oikeudellinen valvonta on tutkintavaltuuksien valvojan tehtävä. Tutkintavaltuuksien valvoja valvoo vuoden 2016 lakiin perustuvien tutkintavaltuuksien käyttöä sekä lainvalvontaviranomaisten että kansallisten turvallisuusviranomaisten osalta. Poliittisesta valvonnasta vastaa parlamentin tiedusteluvalvontavaliokunta (Intelligence Service Committee).
                  
               3.3.3.1   Valvonta tietosuojalain 4 osan nojalla
         
         
                     (245)
                  
                  
                     Tietosuojavaltuutettu valvoo tiedustelupalvelujen vuoden 2018 tietosuojalain 4 osan mukaisesti suorittamaa henkilötietojen käsittelyä. (441)
                     
                  
               
                     (246)
                  
                  
                     Tietosuojavaltuutetun yleiset tehtävät, jotka koskevat vuoden 2018 tietosuojalain 4 osan soveltamisalaan kuuluvien henkilötietojen käsittelyä, vahvistetaan vuoden 2018 tietosuojalain liitteessä 13. Tehtäviin kuuluvat muun muassa vuoden 2018 tietosuojalain 4 osan seuranta ja täytäntöönpano, yleisen tietoisuuden lisääminen, parlamentin, hallituksen ja muiden toimielinten avustaminen lainsäädännöllisissä ja hallinnollisissa toimenpiteissä, rekisterinpitäjien ja henkilötietojen käsittelijöiden velvollisuuksia koskevan tietoisuuden edistäminen, rekisteröidyn oikeuksien käyttämistä koskevien tietojen antaminen rekisteröidylle ja tutkimusten suorittaminen.
                  
               
                     (247)
                  
                  
                     Tietosuojavaltuutetulla on vuoden 2018 tietosuojalain 3 osan osalta valtuudet ilmoittaa rekisterinpitäjille väitetystä rikkomisesta ja antaa varoituksia siitä, että käsittely todennäköisesti rikkoo sääntöjä, ja antaa huomautus vahvistetun rikkomisen johdosta. Se voi myös antaa täytäntöönpano- ja seuraamusmääräyksiä tiettyjen lain säännösten rikkomisen vuoksi (442). Toisin kuin vuoden 2018 tietosuojalain muiden osien yhteydessä, tietosuojavaltuutettu ei kuitenkaan voi antaa arviointimääräystä kansallisesta turvallisuudesta vastaavalle elimelle. (443)
                     
                  
               
                     (248)
                  
                  
                     Lisäksi vuoden 2018 tietosuojalain 110 §:ssä säädetään poikkeuksesta tietosuojavaltuutetun tiettyjen valtuuksien käyttöön silloin, kun se on tarpeen kansallisen turvallisuuden turvaamiseksi. Tähän sisältyvät tietosuojavaltuutetun valtuudet antaa (kaikentyyppisiä) tietosuojalain mukaisia määräyksiä (tiedonanto-, arviointi-, täytäntöönpano- ja seuraamusmääräykset), valtuudet suorittaa tarkastuksia kansainvälisten velvoitteiden mukaisesti, maahantulo- ja tarkastusvaltuudet sekä rikoksia koskevat säännöt. (444) Kuten johdanto-osan 126 kappaleessa selitetään, näitä poikkeuksia sovelletaan tapauskohtaisesti ja vain, jos se on välttämätöntä ja oikeasuhteista.
                  
               
                     (249)
                  
                  
                     Tietosuojavaltuutettu ja Yhdistyneen kuningaskunnan tiedustelupalvelut ovat allekirjoittaneet yhteisymmärryspöytäkirjan (445), jossa vahvistetaan puitteet muun muassa tietoturvaloukkauksia koskevien ilmoitusten ja rekisteröityjen tekemien valituksien käsittelyyn liittyvää yhteistyötä varten. Siinä määrätään erityisesti, että saatuaan valituksen tietosuojavaltuutettu tarkistaa, että mahdollista kansalliseen turvallisuuteen liittyvää poikkeusta on sovellettu asianmukaisesti. Kun tietosuojavaltuutettu pyytää joltakin tiedustelupalvelulta tietoja yksityishenkilön tekemän valituksen tutkinnan yhteydessä, tiedustelupalvelun on vastattava 20 työpäivän kuluessa käyttäen asianmukaisia suojattuja kanavia, jos vastaus sisältää turvallisuusluokiteltuja tietoja. Tietosuojavaltuutettu on saanut huhtikuusta 2018 alkaen 21 yksityishenkilöiden tekemää valitusta, jotka koskevat tiedustelupalveluja. Kaikki valitukset on tutkittu, ja niiden tulos on ilmoitettu asianomaiselle rekisteröidylle. (446)
                     
                  
               3.3.3.2   Tutkintavaltuuksien käytön valvonta vuonna 2016 tutkintavaltuuksista annetun lain nojalla
         
         
                     (250)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain 8 osan mukaan tutkintavaltuuksien käytön valvonnasta vastaa tutkintavaltuuksien valvoja (Investigatory Powers Commissioner, IPC). Häntä avustavat tässä tehtävässä muut oikeusvaltuutetut (Judicial Commissioners). (447) Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan takeet, joilla suojataan oikeusvaltuutettujen riippumattomuutta. Oikeusvaltuutetuilta edellytetään kokemusta tuomarin viran hoitamisesta (high judicial office, eli heidän on oltava tai täytynyt olla jonkin ylimmän tuomioistuimen jäseniä) (448), ja oikeuslaitoksen virkamiehinä heidän asemansa on hallituksesta riippumaton. (449) Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n nojalla pääministeri nimittää tutkintavaltuuksien valvojan ja niin monta oikeusvaltuutettua kuin hän katsoo tarpeelliseksi. Riippumatta siitä, ovatko oikeusvaltuutetut oikeuslaitoksen nykyisiä vai entisiä jäseniä, heidät voidaan nimittää tähän tehtävään vain Englannin ja Walesin, Skotlannin ja Pohjois-Irlannin korkeimpien oikeuksien kolmen presidentin (Chief Justice) ja lordikanslerin (oikeusministerin) yhteisen suosituksen perusteella. (450) Secretary of Staten on tarjottava tutkintavaltuuksien valvojalle henkilöstö, tilat ja muut välineet ja palvelut. (451) Oikeusvaltuutettujen toimikausi on kolme vuotta, ja se voidaan uusia. (452) Oikeusvaltuutettujen riippumattomuuden takaa se, että heidät voidaan erottaa tehtävistään vain tiukoin edellytyksin, joiden soveltamiskynnys on korkea: pääministeri voi määrätä erottamisesta erityisissä olosuhteissa, jotka on lueteltu tyhjentävästi vuonna 2016 tutkintavaltuuksista annetun lain 228 §:n 5 momentissa (esim. konkurssi tai vankeusrangaistus), tai erottamisesta voidaan määrätä parlamentin ylä- ja alahuoneen hyväksymällä päätöslauselmalla. (453)
                     
                  
               
                     (251)
                  
                  
                     Tutkintavaltuuksien valvojaa ja oikeusvaltuutettuja avustaa heidän tehtävissään tutkintavaltuuksista vastaavan valvojan toimisto Investigatory Powers Commissioner’s Office (IPCO). Henkilöstöön kuuluu mm. tarkastajien ryhmä, minkä lisäksi saatavilla on sekä oikeudellista että teknistä asiantuntemusta ja teknologiaan liittyviä kysymyksiä käsittelevä neuvoa-antava paneeli. Toimiston riippumattomuus on turvattu samalla tavoin kuin yksittäisten oikeusvaltuutettujenkin. IPCO on sisäministerin alaisuudessa toimiva ns. arm’s length body, mikä tarkoittaa, että se saa sisäministeriöltä rahoitusta, mutta hoitaa tehtävänsä riippumattomasti. (454)
                     
                  
               
                     (252)
                  
                  
                     Oikeusvaltuutettujen päätehtävät esitetään vuonna 2016 tutkintavaltuuksista annetun lain 229 §:ssä. (455) Oikeusvaltuutetuilla on erityisesti laajat toimivaltuudet myöntää ennakkohyväksyntä, joka on osa Yhdistyneen kuningaskunnan lainsäädännössä vuoden 2016 lailla käyttöön otettuja suojatoimia. Oikeusvaltuutettujen on annettava hyväksyntänsä määräyksille (warrant), jotka koskevat kohdennettua telekuuntelua, laitetutkintaa, laajoja henkilötietojoukkoja tai laajamittaista viestintätietojen hankintaa, sekä viestintätietojen säilyttämistä koskeville määräyksille (retention notice). (456) Myös viestintätietojen hankintaan lainvalvontatarkoituksia varten tarvitaan aina tutkintavaltuuksien valvojan ennakkohyväksyntä. (457) Jos oikeusvaltuutettu kieltäytyy hyväksymästä määräystä, Secretary of State voi hakea päätökseen muutosta tutkintavaltuuksien valvojalta, joka tekee asiassa lopullisen päätöksen.
                  
               
                     (253)
                  
                  
                     Oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija suhtautui oikeusvaltuutettujen tehtävän perustamiseen vuonna 2016 tutkintavaltuuksista annetulla lailla erittäin myönteisesti ja katsoi, että kaikille arkaluontoisemmille valvontapyynnöille tai sellaisille valvontapyynnöille, joilla puututaan yksityisyydensuojaan erityisen paljon, on saatava sekä hallituksen ministerin että tutkintavaltuuksien valvojan hyväksyntä. Hän korosti erityisesti, että tämä oikeudellinen tarkastelu, jonka tutkintavaltuuksien valvoja suorittaa, apunaan aiempaa paremmin resurssein varustettu kokeneiden tarkastajien ja teknisten asiantuntijoiden ryhmä, on yksi tärkeimmistä vuonna 2016 tutkintavaltuuksista annetulla lailla käyttöön otetuista suojatoimista. Se korvaa aiemman, valvontaviranomaisten toimintaan perustuneen hajanaisen järjestelyn ja täydentää parlamentin tiedustelu- ja turvallisuusvaliokunnan ja tutkintavaltuuksia käsittelevän tuomioistuimen roolia. (458).
                  
               
                     (254)
                  
                  
                     Tutkintavaltuuksien valvojalla on lisäksi valtuudet tarkastella jälkikäteen (459) (mm. auditointien, tarkastusten ja tutkimusten avulla) sekä vuoden 2016 lakiin perustuvien tutkintavaltuuksien että eräiden muiden asianomaiseen lainsäädäntöön perustuvien valtuuksien käyttöä ja tehtävien hoitamista. (460) Tämän jälkivalvonnan tulokset sisältyvät kertomukseen, jonka tutkintavaltuuksien valvoja laatii vuosittain pääministerille. (461) Kertomus on julkaistava ja esitettävä myös parlamentille. (462) Kertomuksessa on tilasto- ym. tietoa siitä, miten tiedusteluvirastot ja lainvalvontaviranomaiset ovat käyttäneet tutkintavaltuuksia, ja suojatoimien soveltamisesta silloin kun tutkinnan kohteena on asianajosalaisuuden piiriin kuuluva tai luottamuksellinen journalistinen aineisto tai toimittajan tietolähde, sekä tietoa laajamittaisen määräyksen nojalla hankittuihin tietoihin liittyvistä järjestelyistä ja operatiivisista tarkoituksista. Vuosikertomuksessa selvitetään myös, mistä seikoista viranomaisille on annettu suosituksia ja miten niitä on käsitelty (463).
                  
               
                     (255)
                  
                  
                     Vuonna 2016 tutkintavaltuuksista annetun lain 231 §:ssä säädetään, että jos tutkintavaltuuksien valvoja saa tietoonsa, että viranomainen on tehnyt tutkintavaltuuksiensa käytössä virheen, jota valvoja pitää vakavana, asiasta on ilmoitettava asianomaiselle henkilölle, ja tällainen ilmoitus on yleisen edun mukainen. (464) Mainitussa lainkohdassa täsmennetään, että kun tutkintavaltuuksien valvoja ilmoittaa virheestä asianomaiselle henkilölle, hänen on samalla kerrottava tälle tämän oikeuksista viedä asia tutkintavaltuuksia käsittelevän tuomioistuimen käsiteltäväksi ja annettava kaikki tarpeellisiksi katsomansa tiedot näiden oikeuksien käyttämiseksi, koska näiden tietojen antaminen on yleisen edun mukaista. (465)
                     
                  
               3.3.3.3   Tiedustelupalvelujen parlamentaarinen valvonta
         
         
                     (256)
                  
                  
                     Tiedustelupalvelujen parlamentaarisesta valvonnasta vastaa tiedustelu- ja turvallisuusvaliokunta (Intelligence and Security Committee, ISC) vuoden 2013 oikeus- ja turvallisuuslain (Justice and Security Act 2013) nojalla. (466) Lain mukaan tiedustelu- ja turvallisuusvaliokunta on Yhdistyneen kuningaskunnan parlamentin valiokunta. Valiokunta sai vuonna 2013 laajemmat valtuudet mm. valvoa turvallisuuspalvelujen operatiivista toimintaa. Vuoden 2013 oikeus- ja turvallisuuslain 2 §:n nojalla valiokunnan tehtävänä on valvoa kansallisten turvallisuusvirastojen menoja, hallintoa, toimintaperiaatteita ja operaatioita. Laissa täsmennetään, että valiokunta voi suorittaa tutkimuksia operatiivisista asioista silloin kun ne eivät liity käynnissä oleviin operaatioihin. (467) Pääministerin ja valiokunnan välisessä yhteisymmärryspöytäkirjassa (468) täsmennetään yksityiskohtaisesti seikat, jotka on otettava huomioon sen määrittämiseksi, onko jokin toiminta osa käynnissä olevaa operaatiota. (469) Pääministeri voi myös pyytää valiokuntaa tutkimaan käynnissä olevia operaatioita, ja se voi tarkastella virastojen vapaaehtoisesti toimittamia tietoja.
                  
               
                     (257)
                  
                  
                     Vuoden 2013 oikeus- ja turvallisuuslain liitteen 1 nojalla Tiedustelu- ja turvallisuusvaliokunta voi pyytää minkä tahansa kolmen tiedustelupalvelun johtajaa luovuttamaan mitä tahansa tietoja. Tiedustelupalvelujen on annettava nämä tiedot saataville, ellei Secretary of State vastusta sitä veto-oikeudellaan. (470) Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan valiokunnalta salataan käytännössä hyvin vähän tietoja. (471)
                     
                  
               
                     (258)
                  
                  
                     Sen jäsenet kuuluvat joko parlamentin ala- tai ylähuoneeseen, ja pääministeri nimittää heidät opposition johtajaa kuultuaan. (472) Valiokunta esittää parlamentille vuosittain kertomuksen tehtäviensä hoitamisesta ja muita kertomuksia sen mukaan kuin se katsoo tarpeelliseksi. (473) Valiokunnalla on myös oikeus saada kolmen kuukauden välein luettelo operatiivisista tarkoituksista, joita käytetään laajamittaisen hankinnan avulla saatujen aineiston tutkinnassa. (474) Pääministeri toimittaa valiokunnalle myös jäljennökset erilaisista tutkintavaltuuksien valvojan tarkastuskertomuksista, jos niiden aihe liittyy valiokunnan lakisääteiseen toimivaltaan. (475) Valiokunta voi myös pyytää tutkintavaltuuksien valvojaa suorittamaan tietyn tutkimuksen, ja tämän on siinä tapauksessa ilmoitettava valiokunnalle, tehdäänkö se. (476)
                     
                  
               
                     (259)
                  
                  
                     Valiokunta esitti myös kommentteja vuonna 2016 tutkintavaltuuksista annetun lain luonnokseen, ja monet niistä onkin otettu tarkistusten kautta huomioon nyt voimassa olevassa laissa. (477) Valiokunta suositti erityisesti yksityisyydensuojan vahvistamista ottamalla käyttöön tiettyjä kaikkiin tutkintavaltuuksiin sovellettavia suojatoimia. (478) Se esitti lisäksi muutoksia ehdotettuihin valmiuksiin, jotka liittyvät laitetutkintaan, laajoihin henkilötietojoukkoihin ja viestintätietoihin, ja eräitä muita muutoksia tutkintavaltuuksien käyttöä koskevien rajoitusten ja suojatoimien vahvistamiseksi. (479)
                     
                  
               3.3.4   Oikeussuojakeinot
         
         
                     (260)
                  
                  
                     Kun on kyse hallituksen pääsystä tietoihin kansalliseen turvallisuuteen liittyviä tarkoituksia varten, rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he saisivat tutustua henkilötietoihinsa tai voisivat saada tällaiset tiedot oikaistuiksi tai poistetuiksi. (480) Tällä lainkäyttöelimellä on erityisesti oltava valtuudet antaa tiedustelupalvelua sitovia päätöksiä. (481) Kuten johdanto-osan (261)–(271) kappaleessa selitetään, rekisteröidyillä on käytössään useita eri oikeussuojakeinoja.
                  
               3.3.4.1   Tietosuojalain 4 osan nojalla käytettävissä olevat oikeussuojakeinot
         
         
                     (261)
                  
                  
                     Vuoden 2018 tietosuojalain 165 §:n nojalla rekisteröidyllä on oikeus tehdä tietosuojavaltuutetulle valitus, jos hän katsoo, että hänen henkilötietojensa käsittelyssä on rikottu vuoden 2018 tietosuojalain 4 osan säännöksiä. Tietosuojavaltuutetulla on toimivalta arvioida, ovatko rekisterinpitäjä ja henkilötietojen käsittelijä noudattaneet vuoden 2018 tietosuojalakia, ja jos näin ei ole, vaatia niitä toteuttamaan tarvittavat toimet. Vuoden 2018 tietosuojalain 4 osan nojalla rekisteröidyillä on lisäksi oikeus pyytää High Court -tuomioistuimelta (Skotlannissa Court of Session) määräys, jolla rekisterinpitäjä velvoitetaan noudattamaan tiedonsaantia koskevia oikeuksia (482), oikeutta vastustaa tietojen käsittelyä (483) ja oikeutta oikaista tai poistaa tiedot (484).
                  
               
                     (262)
                  
                  
                     Rekisteröidyillä on myös oikeus vaatia rekisterinpitäjältä tai henkilötietojen käsittelijältä korvausta vahingosta, joka on aiheutunut vuoden 2018 tietosuojalain 4 osassa säädettyjen vaatimusten rikkomisesta. (485) Vahingolla tarkoitetaan tässä sekä taloudellista menetystä että esimerkiksi kärsimystä. (486)
                     
                  
               3.3.4.2   Vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvat oikeussuojakeinot
         
         
                     (263)
                  
                  
                     Yksilöt voivat käyttää oikeussuojakeinoja vuonna 2016 tutkintavaltuuksista annetun lain rikkomisen vuoksi tutkintavaltuuksia käsittelevässä tuomioistuimessa (Investigatory Powers Tribunal).
                  
               
                     (264)
                  
                  
                     Tämä täytäntöönpanovallasta riippumaton tuomioistuin on perustettu vuonna 2000 tutkintavaltuuksista annetulla asetuksella. (487) Asetuksen 65 §:n mukaan Hänen Majesteettinsa nimittää tuomioistuimen jäsenet viiden vuoden toimikaudeksi. Hänen Majesteettinsa voi erottaa tuomioistuimen jäsenen parlamentin molempien kamarien esityksen (Address) (488) perusteella. (489)
                     
                  
               
                     (265)
                  
                  
                     Tämä tuomioistuin on vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n nojalla asianmukainen lainkäyttöelin käsittelemään valitukset, jotka koskevat vuonna 2016 tutkintavaltuuksista annetun lain tai vuonna 2000 tutkintavaltuuksista annetun asetuksen nojalla toteutetuista toimista tai mistä tahansa tiedustelupalvelujen suorittamasta toiminnasta aiheutuvia vahinkoja. (490)
                     
                  
               
                     (266)
                  
                  
                     Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n mukaan rekisteröidyllä on oikeus viedä asiansa Investigatory Powers Tribunal -tuomioistuimen käsiteltäväksi (”asiavaltuus”), jos hän uskoo (491), että tiedustelupalvelun toiminta kohdistuu häneen tai hänen omaisuuteensa tai hänen lähettämäänsä tai hänelle lähetettyyn tai hänelle tarkoitettuun viestintään tai hänen käyttämäänsä postipalveluun, televiestintäjärjestelmään tai televiestintäpalveluun. (492) Lisäksi edellytetään, että kantelija uskoo toiminnan tapahtuneen ”olosuhteissa, jotka on mahdollista kiistää” (493) tai että se on toteutettu tiedustelupalvelujen toimesta tai niiden puolesta. (494) Koska etenkin tätä ”uskomista” koskevaa edellytystä on tulkittu varsin väljästi (495), asian vieminen tämän tuomioistuimen käsiteltäväksi ei edellytä erityistä asiavaltuutta.
                  
               
                     (267)
                  
                  
                     Kun Investigatory Powers Tribunal -tuomioistuin käsittelee sille tehtyä valitusta, sen velvollisuutena on tutkia, ovatko henkilöt, joita koskevia väitteitä siinä esitetään, olleet jollakin tavoin tekemisissä valituksen tekijän kanssa, ja onko viranomainen, jonka väitetään osallistuneen oikeudenloukkauksiin, toteuttanut väitetyt toimet. (496) Jos tämä tuomioistuin ottaa asian käsiteltäväksi, sen on sovellettava ratkaisussaan samoja periaatteita kuin ne, joita mikä tahansa tuomioistuin soveltaisi oikeudellista uudelleentarkastelua koskevaan hakemukseen. (497) Lisäksi vuonna 2016 tutkintavaltuuksista annetun lain nojalla annettujen määräysten (warrant, notice) hakijoilla ja kaikilla muilla henkilöillä, jotka työskentelevät valtion virassa poliisin tai poliisin tutkinta- ja muutoksenhakulautakunnan (Police Investigations and Review Commissioner) palveluksessa, on velvollisuus luovuttaa tai toimittaa kyseiselle tuomioistuimelle kaikki asiakirjat ja tiedot, joita tuomioistuin voi tarvita lainkäyttövaltaansa käyttäessään. (498)
                     
                  
               
                     (268)
                  
                  
                     Investigatory Powers Tribunal -tuomioistuimen on ilmoitettava kantelijalle, onko asia ratkaistu hänen hyväkseen vai ei. (499) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 6 ja 7 momentin nojalla tuomioistuimella on toimivalta antaa väliaikaisia määräyksiä ja myöntää sopivaksi katsomiaan vahingonkorvauksia tai antaa muita määräyksiä. Näillä määräyksillä voidaan myös kumota tai peruuttaa mikä tahansa määräys tai lupa tai vaatia sellaisten ketä tahansa henkilöä koskevien tietojen tuhoamista, jotka viranomainen on hankkinut määräykseen tai lupaan perustuvan valtuutuksen nojalla tai jotka se on saanut haltuunsa muulla tavoin. (500) Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67A §:n mukaan Investigatory Powers Tribunal -tuomioistuimen ratkaisuun on mahdollista hakea muutosta, ellei sen tai asianomaisen muutoksenhakutuomioistuimen myöntämästä luvasta muuta johdu.
                  
               
                     (269)
                  
                  
                     Lopuksi on syytä mainita, että Investigatory Powers Tribunal -tuomioistuimen roolista on keskusteltu Euroopan ihmisoikeustuomioistuimessa nostettujen kanteiden yhteydessä useaan otteeseen, mm. asiassa Kennedy v. the United Kingdom (501) ja sen myöhemmin asiassa Big Brother Watch and others v. United Kingdom (502). EIT on todennut, että Investigatory Powers Tribunal on osoittanut kykenevänsä tarjoamaan luotettavaa oikeussuojaa jokaiselle, joka epäilee, että tiedustelupalvelut ovat kuunnelleet hänen viestintäänsä. (503)
                     
                  
               3.3.4.3   Muut käytettävissä olevat oikeussuojakeinot
         
         
                     (270)
                  
                  
                     Kuten johdanto-osan 109–111 kappaleessa todetaan, vuoden 1998 ihmisoikeussopimuksen ja Euroopan ihmisoikeustuomioistuimen tarjoamat oikeussuojakeinot (504) ovat käytössä myös kansallisen turvallisuuden alalla. Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 2 momentin mukaan Investigatory Powers Tribunal -tuomioistuimella on yksinomainen toimivalta käsitellä kaikki tiedustelupalveluja vastaan ihmisoikeuslain nojalla nostetut kanteet. (505) Kuten High Court on todennut, tämä tarkoittaa, että kysymys siitä, onko jossakin tietyssä tapauksessa siihen liittyvien tosiseikkojen perusteella rikottu ihmisoikeuslakia, voidaan periaatteessa saattaa riippumattoman tuomioistuimen tutkittavaksi, jolla on oikeus tutustua kaikkeen asiaa koskevaan aineistoon, myös salaiseen aineistoon. High Courtin mukaan tässä yhteydessä on myös muistettava, että myös kyseisellä tuomioistuimella on mahdollisuus hakea muutosta asianomaisesta muutoksenhakutuomioistuimesta (Englannissa ja Walesissa Court of Appeal), ja että Supreme Court on äskettäin päättänyt, että kyseinen tuomioistuin on periaatteessa tuomioistuinvalvonnan alainen: ks. R (Privacy International) v Investigatory Powers Tribunal [2019] UKSC 22; [2019] 2 WLR 1219. (506)
                     
                  
               
                     (271)
                  
                  
                     Edellä esitetystä seuraa, että kun Yhdistyneen kuningaskunnan lainvalvontaviranomaiset tai kansallisesta turvallisuudesta vastaavat viranomaiset saavat pääsyn tämän päätöksen soveltamisalaan kuuluviin henkilötietoihin, tätä pääsyä säännellään laeilla, joissa asetetaan edellytykset tietoihin pääsylle ja varmistetaan, että pääsy tietoihin niiden myöhempi käyttö rajoittuu siihen, mikä on tarpeen ja oikeasuhteista lainvalvontaan tai kansalliseen turvallisuuteen liittyvän tavoitteen saavuttamiseksi. Lisäksi pääsy edellyttää useimmissa tapauksissa lainkäyttöelimen ennakkohyväksyntää asiaa koskevan määräyksen (warrant, production order) muodossa ja joka tapauksessa riippumatonta valvontaa. Sen jälkeen kun viranomaiset ovat saaneet pääsyn tietoihin, niiden käsittelyyn, mukaan lukien myöhempi jakaminen ja edelleen siirtäminen, sovelletaan vuoden 2018 tietosuojalain 3 osassa säädettyjä tietosuojatakeita, jotka perustuvat lainvalvontaviranomaisten suorittaman käsittelyn osalta direktiiviin (EU) 2016/680 ja tiedustelupalvelujen suorittaman käsittelyn osalta vuoden 2018 tietosuojalain 4 osaan. Lopuksi todetaan, että rekisteröidyillä on tällä alalla tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot, joihin kuuluu myös oikeus saada pääsy tietoihinsa tai oikaista tai poistaa ne.
                  
               
                     (272)
                  
                  
                     Koska nämä ehdot, rajoitukset ja suojatoimet ovat tämän päätöksen soveltamisen kannalta erittäin tärkeitä, komissio seuraa tiiviisti viranomaisten tiedonsaantioikeutta koskevien Yhdistyneen kuningaskunnan sääntöjen soveltamista ja tulkintaa. Seuranta koskee myös asianomaisen lainsäädännön, sääntelyn ja oikeuskäytännön kehitystä sekä tietosuojavaltuutetun ja muiden tämän alan valvontaviranomaisten toimintaa. Huomiota kiinnitetään tiiviisti myös siihen, miten Yhdistynyt kuningaskunta panee täytäntöön asiaa koskevat Euroopan ihmisoikeustuomioistuimen tuomiot sekä toimenpiteet, jotka yksilöidään Euroopan neuvoston ministerikomitealle toimitettavissa toimintasuunnitelmissa ja toimintakertomuksissa EIT:n tuomioiden noudattamisen valvonnan yhteydessä.
                  
               4.   PÄÄTELMÄT
         
         
                     (273)
                  
                  
                     Komissio katsoo, että Yhdistyneen kuningaskunnan yleinen tietosuoja-asetus ja vuoden 2018 tietosuojalaki takaavat Euroopan unionista siirrettyjen henkilötietojen suojan tason, joka vastaa olennaisilta osiltaan asetuksessa (EU) 2016/679 taattua suojan tasoa.
                  
               
                     (274)
                  
                  
                     Lisäksi komissio katsoo, että Yhdistyneen kuningaskunnan lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että henkilökohtaisia tietoja käsittelevän toiminnanharjoittajan tekemät rikkomukset voidaan tunnistaa ja niistä voidaan käytännössä antaa rangaistus. Ne tarjoavat myös rekisteröidylle oikeussuojakeinoja, jotta hän voi tutustua itseään koskeviin henkilötietoihin ja korjata tai poistaa kyseiset tiedot.
                  
               
                     (275)
                  
                  
                     Yhdistyneen kuningaskunnan oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella komissio katsoo, että Yhdistyneen kuningaskunnan viranomaisten puuttuminen erityisesti lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja.
                  
               
                     (276)
                  
                  
                     Tätä päätöstä laadittaessa tehtyjen havaintojen perusteella olisi sen vuoksi päätettävä, että Yhdistynyt kuningaskunta tarjoaa riittävän tietosuojan tason sellaisena kuin siitä säädetään asetuksen (EU) 2016/679 45 artiklassa, tulkittuna Euroopan unionin perusoikeuskirjan pohjalta.
                  
               
                     (277)
                  
                  
                     Tämä päätelmä perustuu sekä Yhdistyneen kuningaskunnan kansalliseen järjestelmään että sen kansainvälisiin sitoumuksiin, ja erityisesti siihen, että maa on liittynyt Euroopan ihmisoikeussopimukseen ja kuuluu Euroopan ihmisoikeustuomioistuimen toimivallan piiriin. Mainittujen välineiden jatkuva noudattaminen on näin ollen erityisen tärkeä osa tässä päätöksessä arvioitavaa oikeudellista kehystä.
                  
               5.   TÄMÄN PÄÄTÖKSEN VAIKUTUKSET JA TIETOSUOJAVIRANOMAISTEN TOIMET
         
         
                     (278)
                  
                  
                     Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten säädösten noudattamiseksi, sillä säädösten oletetaan olevan lainmukaisia ja niillä on näin ollen oikeusvaikutuksia siihen saakka, kunnes ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella.
                  
               
                     (279)
                  
                  
                     Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Tämä tarkoittaa erityisesti sitä, että tämän päätöksen soveltamisaikana siirtoja Euroopan unionin rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdistyneen kuningaskunnan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan tehdä ilman erillistä lupaa.
                  
               
                     (280)
                  
                  
                     Olisi kuitenkin muistettava, kuten asetuksen (EU) 2016/679 58 artiklan 5 kohdassa tunnustetaan ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa (507) selostetaan, että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua. (508)
                     
                  
               6.   TÄMÄN PÄÄTÖKSEN SEURANTA, SEN SOVELTAMISEN KESKEYTTÄMINEN TAI PÄÄTÖKSEN KUMOAMINEN TAI MUUTTAMINEN
         
         
                     (281)
                  
                  
                     Asetuksen (EU) 2016/679 45 artiklan 4 kohdan nojalla komissio seuraa jatkuvasti asian kannalta merkityksellistä kehitystä Yhdistyneessä kuningaskunnassa tämän päätöksen hyväksymisen jälkeen voidakseen arvioida, takaako se edelleen olennaisilta osin vastaavan suojan tason. Tällainen seuranta on erityisen tärkeää tässä tapauksessa, koska Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön uutta tietosuojajärjestelmää, joka ei enää kuulu unionin oikeuden soveltamisalaan ja voi muuttua. Sen vuoksi erityistä huomiota kiinnitetään henkilötietojen siirtoa kolmansiin maihin koskevien Yhdistyneen kuningaskunnan sääntöjen käytännön soveltamiseen ja siihen, miten se mahdollisesti vaikuttaa tämän päätöksen nojalla siirrettyjen tietojen suojeluun; yksilön oikeuksien tehokkaaseen käyttämiseen, mukaan lukien näihin oikeuksiin tehtäviä poikkeuksia tai niiden rajoittamista koskevan lainsäädännön ja käytännön kehitys (erityisesti maahanmuuton tehokkaan valvonnan säilyttämistä koskeva poikkeus); sekä niiden rajoitusten ja suojatoimien noudattamista, joilla säännellään viranomaisten pääsyä henkilötietoihin. Lisäksi komissio ottaa seurannassa huomioon muun muassa oikeuskäytännön kehityksen sekä tietosuojavaltuutetun ja muiden riippumattomien elinten suorittaman valvonnan.
                  
               
                     (282)
                  
                  
                     Seurannan helpottamiseksi Yhdistyneen kuningaskunnan viranomaisten olisi viipymättä ilmoitettava komissiolle kaikista Yhdistyneen kuningaskunnan oikeusjärjestyksen olennaisista muutoksista, jotka vaikuttavat tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyä koskevien käytäntöjen muutoksista: sekä niistä, jotka koskevat rekisterinpitäjien ja käsittelijöiden Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen nojalla suorittamaa henkilötietojen käsittelyä, että niistä, jotka koskevat viranomaisten pääsyä henkilötietoihin. Tässä yhteydessä olisi otettava huomioon myös johdanto-osan 281 kappaleessa mainittujen tekijöiden kehitys.
                  
               
                     (283)
                  
                  
                     Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät EU:n rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa Euroopan unionista Yhdistyneessä kuningaskunnassa toimiville rekisterinpitäjille tai henkilötietojen käsittelijöille. Komissiolle olisi myös ilmoitettava havainnoista, joiden mukaan rikosten ehkäisystä, tutkinnasta, havaitsemisesta tai rikoksiin liittyvistä syytetoimista tai kansallisesta turvallisuudesta vastaavat Yhdistyneen kuningaskunnan viranomaiset, mukaan lukien valvontaelimet, eivät varmista vaadittua suojan tasoa.
                  
               
                     (284)
                  
                  
                     Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdistyneen kuningaskunnan tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että Yhdistyneen kuningaskunnan takaama tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi viipymättä ilmoitettava asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn kohtuullisen ajan kuluessa, joka voi olla enintään kolme kuukautta. Tätä määräaikaa voidaan tarvittaessa pidentää tietyksi ajaksi käsillä olevan asian ja/tai toteutettavien toimenpiteiden luonteen mukaan. Tällainen menettely käynnistettäisiin esimerkiksi siinä tapauksessa, että siirrettäessä tietoja edelleen esimerkiksi Secretary of Staten hyväksymien uusien tietosuojan riittävyyttä koskevien asetusten tai Yhdistyneen kuningaskunnan tekemien kansainvälisten sopimusten perusteella ei enää noudatettaisi suojatoimia, joilla varmistetaan asetuksen (EU) 2016/679 44 artiklassa tarkoitettu suojelun jatkuvuus.
                  
               
                     (285)
                  
                  
                     Jos Yhdistyneen kuningaskunnan toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai sen kumoamiseksi osittain tai kokonaan.
                  
               
                     (286)
                  
                  
                     Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu.
                  
               
                     (287)
                  
                  
                     Asianmukaisesti perustelluissa kiireellisissä tapauksissa komissio käyttää mahdollisuutta hyväksyä asetuksen (EU) 2016/679 93 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi.
                  
               7.   TÄMÄN PÄÄTÖKSEN VOIMASSAOLO JA UUSIMINEN
         
         
                     (288)
                  
                  
                     Komission on otettava huomioon, että erosopimuksessa määrätyn siirtymäkauden päättyessä ja heti kun EU:n ja Yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen 782 artiklan väliaikaisen määräyksen soveltaminen lakkaa, Yhdistynyt kuningaskunta hallinnoi, soveltaa ja panee täytäntöön tietosuojajärjestelmää, joka on uusi verrattuna siihen järjestelmään, joka oli käytössä silloin kun EU:n lainsäädäntö sitoi sitä. Tämä voi tarkoittaa erityisesti tässä päätöksessä arvioidun tietosuojakehyksen tarkistamista tai muuttamista sekä muita muutoksia.
                  
               
                     (289)
                  
                  
                     Sen vuoksi on aiheellista säätää, että tätä päätöstä sovelletaan neljän vuoden ajan sen voimaantulosta alkaen.
                  
               
                     (290)
                  
                  
                     Jos erityisesti tämän päätöksen seurannasta saadut tiedot osoittavat, että Yhdistyneen kuningaskunnan takaaman tietosuojan tason riittävyyttä koskevat havainnot ovat edelleen asiallisesti ja oikeudellisesti perusteltuja, komission olisi viimeistään kuusi kuukautta ennen tämän päätöksen soveltamisen päättymistä aloitettava menettely tämän päätöksen muuttamiseksi pidentämällä sen soveltamisaikaa periaatteessa vielä neljällä vuodella. Tällaiset tämän päätöksen muuttamista koskevat täytäntöönpanosäädökset on hyväksyttävä asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.
                  
               8.   LOPPUPÄÄTELMÄT
         
         
                     (291)
                  
                  
                     Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (509), joka on otettu huomioon tätä päätöstä valmisteltaessa.
                  
               
                     (292)
                  
                  
                     Tässä päätöksessä säädetyt toimenpiteet ovat asetuksen (EU) 2016/679 93 artiklalla perustetun komitean lausunnon mukaiset,
                  
               ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
         
            1 artikla
            
               1.   Asetuksen (EU) 2016/679 45 artiklan soveltamista varten Yhdistynyt kuningaskunta varmistaa riittävän suojan henkilötiedoille, jotka siirretään Euroopan unionista Yhdistyneeseen kuningaskuntaan asetuksen (EU) 2016/679 puitteissa.
            
            
               2.   Tämä päätös ei koske henkilötietoja, jotka siirretään Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten tai joiden osalta muutoin poiketaan tietyistä rekisteröityjen oikeuksista maahanmuuton tehokkaan valvonnan varmistamiseksi vuoden 2018 tietosuojalain liitteessä 2 olevan 4 kohdan 1 alakohdan nojalla.
            
         
         
            2 artikla
            Aina kun jäsenvaltioiden toimivaltaiset valvontaviranomaiset käyttävät asetuksen (EU) 2016/679 58 artiklan mukaisia toimivaltuuksiaan 1 artiklan soveltamisalaan kuuluvien tiedonsiirtojen yhteydessä suojellakseen yksilöitä heidän henkilötietojensa käsittelyssä, asianomaisen jäsenvaltion on ilmoitettava siitä komissiolle viipymättä.
         
         
            3 artikla
            
               1.   Komissio seuraa jatkuvasti tämän päätöksen perustana olevan oikeudellisen kehyksen soveltamista, mukaan lukien ne edellytykset, joiden mukaisesti tietoja siirretään edelleen, yksilön oikeuksia käytetään ja Yhdistyneen kuningaskunnan viranomaisilla on pääsy tämän päätöksen nojalla siirrettyihin tietoihin, sen arvioimiseksi, takaako Yhdistynyt kuningaskunta edelleen suojan riittävän tason 1 artiklassa tarkoitetussa merkityksessä.
            
            
               2.   Jäsenvaltiot ja komissio ilmoittavat toisilleen tapauksista, joissa tietosuojavaltuutettu tai muu Yhdistyneen kuningaskunnan toimivaltainen viranomainen laiminlyö sen varmistamisen, että tämän päätöksen perustana olevaa oikeudellista kehystä noudatetaan.
            
            
               3.   Jäsenvaltiot ja komissio ilmoittavat toisilleen mahdollisista havainnoista, joiden mukaan Yhdistyneen kuningaskunnan viranomaiset puuttuvat yksilöiden oikeuteen suojella henkilötietojaan suuremmassa määrin kuin on ehdottoman välttämätöntä tai tällaista puuttumista vastaan ei ole olemassa tehokasta oikeudellista suojaa.
            
            
               4.   Jos komissiolla on viitteitä siitä, että tietosuojan riittävää tasoa ei enää turvata, komissio ilmoittaa asiasta Yhdistyneen kuningaskunnan toimivaltaisille viranomaisille ja voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä.
            
            
               5.   Komissio voi keskeyttää tämän päätöksen soveltamisen tai kumota sen tai muuttaa sitä, jos Yhdistyneen kuningaskunnan hallituksen yhteistyöhaluttomuus estää komissiota määrittelemästä, onko asialla vaikutusta 1 artiklan 1 kohdassa olevaan päätelmään.
            
         
         
            4 artikla
            Tämän päätöksen voimassaolo päättyy 27 päivänä kesäkuuta 2025, ellei sitä pidennetä asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn mukaisesti.
         
         
            5 artikla
            Tämä päätös on osoitettu kaikille jäsenvaltioille.
         
         
            Tehty Brysselissä 28 päivänä kesäkuuta 2021.
            
               
                  Komission puolesta
               
               Didier REYNDERS
               
                  Komission jäsen
               
            
         
         
            (1)  EUVL L 119, 4.5.2016, s. 1.
         
            (2)  Ks. asetuksen (EU) 2016/679 johdanto-osan 101 kappale.
         
            (3)  Ks. viimeksi asia C-311/18, Facebook Ireland ja Schrems (”Schrems II”), ECLI:EU:C:2020:559.
         
            (4)  Euroopan tietosuojaneuvosto, Tietosuojan riittävyyden viitearvot, WP 254 rev. 01., saatavilla seuraavassa osoitteessa: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108
         
            (5)  Asia C-362/14, Schrems (”Schrems I”), ECLI:EU:C:2015:650, 73 kohta.
         
            (6)  Tuomio asiassa Schrems I, 74 kohta.
         
            (7)  Ks. komission tiedonanto Euroopan parlamentille ja neuvostolle, Henkilötietojen vaihtaminen ja suojaaminen globalisoituneessa maailmassa, COM(2017) 7, 10.1.2017, 3.1 jakso, s. 6–7. Saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:52017DC0007&from=FI
         
            (8)  Court of Appeal (Civil Division), Open Rights Group v Secretary of State for the Home Department and Secretary of State for Digital, Culture, Media and Sport, [2021] EWCA Civ 800, 53–56 kohta. Court of Appeal kumosi päätöksen, jossa High Court -tuomioistuin oli aiemmin arvioinut poikkeusta asetuksen (EU) 2016/679 (ja erityisesti sen 23 artiklan) ja Euroopan unionin perusoikeuskirjan valossa ja katsonut sen olevan lainmukainen (Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562).
         
            (9)  Tiedonsiirtoja Yhdistyneen kuningaskunnan maahanmuuton valvontaa varten voidaan toteuttaa asetuksen (EU) 2016/679 46–49 artiklassa säädettyjen siirtoa koskevien menettelyjen nojalla, edellyttäen että sovellettavat edellytykset täyttyvät.
         
            (10)  Yleissopimuksen N:o 108 periaatteet saatettiin osaksi Yhdistyneen kuningaskunnan lainsäädäntöä alun perin vuoden 1984 tietosuojalailla (Data Protection Act 1984), joka on sittemmin korvattu vuoden 1998 tietosuojalailla ja viimeksi vuoden 2018 tietosuojalailla (luettuna yhdessä Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen (UK GDPR) kanssa). Yhdistynyt kuningaskunta on myös allekirjoittanut vuonna 2018 edellä mainitun yleissopimuksen tarkistamisesta tehdyn pöytäkirjan (ns. yleissopimus 108+) ja valmistautuu parhaillaan yleissopimuksen ratifiointiin.
         
            (11)  Ihmisoikeussopimuksen 6 ja 8 artikla (ks. myös vuoden 1998 ihmisoikeuslain liite 1).
         
            (12)  Vuoden 1998 ihmisoikeuslain 6 §.
         
            (13)  Vuoden 1998 ihmisoikeuslain 3 §.
         
            (14)  Sopimus Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan eroamisesta Euroopan unionista ja Euroopan atomienergiayhteisöstä 2019/C 384 I/01, XT/21054/2019/INIT (EUVL C 384I, 12.11.2019, s. 1), jäljempänä ’erosopimus’, saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:12019W/TXT(02)&from=FI
         
            (15)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89), saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:32016L0680&from=FI
         
            (16)  Vuoden 2018 tietosuojalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted
         
            (17)  Vuonna 2018 annettu laki Euroopan unionista (eroamisesta), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/16/contents
         
            (18)  Eroamista koskevan lain tarkoituksena ja seurauksena on, että kaikki suoraan sovellettava unionin lainsäädäntö, joka oli sisällytetty Yhdistyneen kuningaskunnan lainsäädäntöön siirtymäkauden päättyessä, sisällytetään Yhdistyneen kuningaskunnan lainsäädäntöön, koska se oli voimassa EU:n oikeudessa välittömästi ennen siirtymäkauden päättymistä (ks. eroamista koskevan lain 3 §).
         
            (19)  Eroamista koskevan lain selittävissä huomautuksissa todetaan seuraavaa: ”Kun lainsäädäntöä muunnetaan tämän pykälän nojalla, säädösteksti itsessään siirtyy osaksi kansallista lainsäädäntöä. Tämä tarkoittaa muun muassa kaikkien EU:n säädösten koko tekstiä (johdanto-osan kappaleet mukaan lukien).” (Eroamista koskevan lain selittävät huomautukset, 83 kohta, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/16/pdfs/ukpgaen_20180016_en.pdf). Koska johdanto-osan kappaleet eivät ole oikeudellisesti sitovia sääntöjä, Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan niitä ei ollut tarpeen muuttaa samalla tavalla kuin asetuksen (EU) 2016/679 artikloja on muutettu tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevalla säädöksellä.
         
            (20)  Eroamista koskevan lain 6 §.
         
            (21)  Tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevat säädökset (Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/uksi/2019/419/contents/made, sellaisena kuin se on muutettuna tietosuojaa, yksityisyydensuojaa ja sähköistä viestintää koskevilla vuoden 2020 säädöksillä (DPPEC 2020), saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukdsi/2020/9780348213522
         
            (22)  Nämä Yhdistyneen kuningaskunnan yleiseen tietosuoja-asetukseen ja vuoden 2018 tietosuojalakiin tehdyt muutokset ovat luonteeltaan enimmäkseen teknisiä, eli niillä on esimerkiksi poistettu viittauksia ’jäsenvaltioihin’ tai mukautettu terminologiaa muun muassa korvaamalla viittaukset asetukseen (EU) 2016/679 viittauksilla Yhdistyneen kuningaskunnan tietosuoja-asetukseen. Joissakin tapauksissa muutos oli tarpeen sen ilmentämiseksi, että kyseessä on yksinomaan kansallinen säädös: esimerkiksi sen osalta, että tietosuojan riittävyyttä koskevat asetukset Yhdistyneen kuningaskunnan lainsäädäntökehystä varten (ks. vuoden 2018 tietosuojalain 17 A §) antaa tietosuojasta vastaava Secretary of State eikä Euroopan komissio.
         
            (23)  Yleinen tietosuoja-asetus, Keeling Schedule (muutosmerkinnät), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946117/20201102_-_GDPR_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf
         
            (24)  Vuoden 2018 tietosuojalaki, Keeling Schedule (muutosmerkinnät), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/946100/20201102_-_DPA_-__MASTER__Keeling_Schedule__with_changes_highlighted__V3.pdf
         
            (25)  Tällaisista valtuuksista säädetään esimerkiksi vuoden 2018 tietosuojalain 16 §:ssä (toimivalta myöntää tietyissä tarkkaan rajatuissa tilanteissa lisää vapautuksia tietyistä Yhdistyneen kuningaskunnan tietosuoja-asetuksen säännöksistä), 17A §:ssä (toimivalta antaa tietosuojan riittävyyttä koskevia asetuksia), 212 ja 213 §:ssä (toimivalta laatia lainsäädäntöaloitteita ja siirtymäsäännöksiä), ja 211 §:ssä (toimivalta tehdä vähäisiä ja yhdenmukaistamisesta johtuvia muutoksia).
         
            (26)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1 ja 5 kohta.
         
            (27)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 4 artiklan 1 ja 2 kohta.
         
            (28)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1A kohdan mukaan asetusta sovelletaan myös tiedonvapauslaissa tarkoitettujen viranomaisten hallussa olevien henkilötietojen manuaaliseen jäsentelemättömään käsittelyyn. Tiedonvapauslaissa (Freedom of Information Act 2000) tarkoitettuja viranomaisia ovat kaikki viranomaiset, jotka on määritelty joko kyseisessä laissa tai Skotlannin tiedonvapauslaissa (Freedom of Information (Scotland) Act 2002 (asp 13)). Vuoden 2018 tietosuojalain 21 §:n 5 momentti.
         
            (29)  Henkilötietojen jäsentelemättömällä manuaalisella käsittelyllä tarkoitetaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 5 kohdan b alakohdassa olevan määritelmän mukaan sellaista henkilötietojen käsittelyä, joka ei ole henkilötietojen automaattista tai jäsenneltyä käsittelyä.
         
            (30)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohta.
         
            (31)  Kansalliseen turvallisuuteen liittyvä toiminta kuuluu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan vain siltä osin kuin toimintaa ei suorita toimivaltainen viranomainen lainvalvontatarkoituksessa (jolloin sovelletaan vuoden 2018 tietosuojalain 3 osan säännöksiä) tai siltä osin kuin käsittelyä suorittaa tiedustelupalvelu tai sitä suoritetaan tiedustelupalvelun puolesta; tiedustelupalvelujen toiminta ei kuulu Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen soveltamisalaan, ja sen sijaan siihen sovelletaan asetuksen 2 artiklan 2 kohdan c alakohdan nojalla vuoden 2018 tietosuojalain 4 osan säännöksiä. Esimerkiksi poliisi voi tehdä työntekijää koskevia turvatarkastuksia sen varmistamiseksi, että tälle voidaan myöntää pääsy kansallista turvallisuutta koskevaan aineistoon. Vaikka poliisi on toimivaltainen viranomainen lainvalvontatarkoituksissa tehtävän käsittelyn osalta, tällainen käsittely ei liity lainvalvontatarkoituksiin, minkä vuoksi siihen sovellettaisiin Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta. UK Explanatory Framework for Adequacy Discussion, H jakso: National Security Data Protection and Investigatory Powers Framework, s. 8, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872239/H_-_National_Security.pdf
         
            (32)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 1 kohdan a ja b alakohta.
         
            (33)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan b ja c alakohta.
         
            (34)  Alueellinen soveltamisala on sama, kun henkilötietojen käsittelyyn sovelletaan Yhdistyneen kuningaskunnan yleistä tietosuoja-asetusta täydentävän vuoden 2018 tietosuojalain 2 osan säännöksiä (207 §:n 1A kohta).
         
            (35)  Tämä tarkoittaa erityisesti sitä, että vuoden 2018 tietosuojalakia ja siten myöskään tätä päätöstä ei sovelleta Yhdistyneen kuningaskunnan kruunun alaisuuteen kuuluvilla alueilla (Jersey, Guernsey ja Man-saari) eikä Yhdistyneen kuningaskunnan merentakaisilla alueilla, kuten esimerkiksi Falklandinsaarilla tai Gibraltarin alueella.
         
            (36)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 4 artiklan 1, 2, 5, 7 ja 8 kohta.
         
            (37)  ’Biometrisillä tiedoilla’ tarkoitetaan kaikkia luonnollisen henkilön fyysisiin ja fysiologisiin ominaisuuksiin tai käyttäytymiseen liittyvällä tietyllä teknisellä käsittelyllä saatuja henkilötietoja, kuten kasvokuvia tai sormenjälkitietoja, joiden perusteella kyseinen luonnollinen henkilö voidaan tunnistaa tai kyseisen henkilön yksiselitteinen tunnistaminen voidaan varmistaa.
         
            (38)  ’Terveystiedoilla’ tarkoitetaan luonnollisen henkilön fyysiseen tai psyykkiseen terveyteen liittyviä henkilötietoja, mukaan lukien tiedot terveyspalvelujen tarjoamisesta, jotka ilmaisevat hänen terveydentilansa.
         
            (39)  ’Geneettisillä tiedoilla’ tarkoitetaan henkilötietoja, jotka koskevat luonnollisen henkilön perittyjä tai hankittuja geneettisiä ominaisuuksia, joista selviää yksilöllistä tietoa kyseisen luonnollisen henkilön fysiologiasta tai terveydentilasta ja jotka on saatu erityisesti kyseisen luonnollisen henkilön biologisesta näytteestä analysoimalla.
         
            (40)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan nojalla käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin: a) rekisteröity on antanut suostumuksensa henkilötietojensa käsittelyyn yhtä tai useampaa erityistä tarkoitusta varten; b) käsittely on tarpeen sellaisen sopimuksen täytäntöön panemiseksi, jossa rekisteröity on osapuolena, tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; c) käsittely on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi; d) käsittely on tarpeen rekisteröidyn tai toisen luonnollisen henkilön elintärkeiden etujen suojaamiseksi; e) käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi; tai f) käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja -vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.
         
            (41)  Vuoden 2018 tietosuojalain liitteessä 1 oleva 38–40 kohta.
         
            (42)  Tietosuoja-asetuksen 13 artiklan 1 kohdan f alakohdassa ja 14 artiklan 1 kohdan f alakohdassa olevat viittaukset tietosuojan riittävyyttä koskeviin komission päätöksiin on korvattu viittauksilla Yhdistyneen kuningaskunnan vastaaviin välineisiin eli vuoden 2018 tietosuojalain nojalla annettaviin tietosuojan riittävyyttä koskeviin asetuksiin. Lisäksi 14 artiklan 5 kohdan c–d alakohdassa olevat viittaukset unionin oikeuteen tai jäsenvaltion lainsäädäntöön on korvattu viittauksella kansalliseen lainsäädäntöön (esimerkkeinä kansallisesta lainsäädännöstä, jotka voivat kuulua 14 artiklan 5 kohdan c alakohdan soveltamisalaan, Yhdistynyt kuningaskunta on maininnut metalliromukauppiaita koskevan vuoden 2013 lain (Scrap Metal Dealers Act 2013), jonka 7 §:ssä vahvistetaan romumetallitoimilupien rekisteriä koskevat säännöt, ja vuoden 2006 osakeyhtiölain (Companies Act 2006), jonka 35 osassa vahvistetaan yritysrekisteriä koskevat säännöt. Vastaavasti esimerkki kansallisesta lainsäädännöstä, joka voi kuulua 14 artiklan 5 kohdan d alakohdan soveltamisalaan, olisi säädös, jossa vahvistetaan ammatillista salassapitovelvollisuutta koskevat säännöt tai työsopimuksiin tai common law -lakiin sisältyvät salassapitoa koskevat velvoitteet (esim. terveydenhuollon ammattilaisten, henkilöstöosaston työntekijöiden tai sosiaalityöntekijöiden käsittelemät henkilötiedot).
         
            (43)  Tietosuoja-asetuksen 17 artiklan 1 kohdan e alakohdassa ja 17 artiklan 3 kohdan b alakohdassa olevat viittaukset unionin oikeuteen tai jäsenvaltion lainsäädäntöön on korvattu viittauksella kansalliseen lainsäädäntöön (esimerkkinä tällaisesta 17 artiklan 1 kohdan e alakohdan soveltamisalaan kuuluvasta kansallisesta lainsäädännöstä Yhdistynyt kuningaskunta on maininnut koulutusta koskevat Englannin vuoden 2006 säädökset (Education (Pupil Information) (England) Regulations 2006), joiden mukaan oppilaiden nimet on poistettava koulun rekisteristä sen jälkeen kun he ovat lähteneet koulusta, ja lääkäreitä koskevan vuoden 1983 lain (Medical Act 1983), jonka 34F §:ssä vahvistetaan säännöt nimien poistamiseksi yleis- ja erikoislääkärien rekistereistä.
         
            (44)  Käytännesääntöjen luonnos on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/consultations/2616882/direct-marketing-code-draft-guidance.pdf
         
            (45)  Yhdistyneen kuningaskunnan perustelut tietosuojan riittävyyttä koskevalle keskustelulle (UK Explanatory Framework for Adequacy Discussion), E jakso: Restrictions, s. 1, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/872232/E_-_Narrative_on_Restrictions.pdf
         
            (46)  Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor [2019] EWHC 2562 (Admin), 40 ja 41 kohta.
         
            (47)  Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 43 kohta. Ks. myös Lin v Commissioner of Police for the Metropolis [2015] EWHC 2484 (QB), 80 kohta.
         
            (48)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta.
         
            (49)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 19 kohta.
         
            (50)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 20 kohta.
         
            (51)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 21 kohta.
         
            (52)  Esimerkiksi oikeutta saada ilmoitus tietoturvaloukkauksesta voidaan rajoittaa vain kun on kyse rikoksesta tai verotuksesta (vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta), parlamentaarisesta koskemattomuudesta (vuoden 2018 tietosuojalain liitteessä 2 oleva 13 kohta) ja käsittelystä journalistisia tarkoituksia varten tai akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoituksia varten (vuoden 2018 tietosuojalain liitteessä 2 oleva 26 kohta).
         
            (53)  Vuoden 2018 tietosuojalain liitteessä 2 oleva 2 kohta.
         
            (54)  R (Lord) v Secretary of State for the Home Department [2003] EWHC 2073 (Admin), 100 kohta, ja Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 43 kohta.
         
            (55)  Open Rights Group & Anor, R (On the Application Of) v Secretary of State for the Home Department & Anor, 31 kohta.
         
            (56)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan rekisterinpitäjät soveltavat yleensä kansallisen turvallisuuden yhteydessä tehtävään käsittelyyn tehostettuja suojatoimia ja turvatoimenpiteitä, joissa otetaan huomioon käsittelytoimien arkaluontoisuus. Se, mitkä suojatoimet ovat asianmukaisia, riippuu suoritettavaan käsittelyyn liittyvistä riskeistä. Tämä voi tarkoittaa esimerkiksi pääsyoikeuksien rajoittamista siten, että pääsy tietoihin on ainoastaan valtuutetuilla henkilöillä, joille on tehty asianmukainen turvallisuusselvitys, tai tietojen jakamisen tiukkaa rajoittamista sekä niiden säilyttämistä ja käsittelyä koskeviin menettelyihin sovellettavia tiukkoja turvatoimia.
         
            (57)  Ks. myös Guriev v Community Safety Development (United Kingdom) Ltd [2016] EWHC 643 (QB), 45 kohta; Lin v Commissioner of the Police for the Metropolis [2015] EWHC 2484 (QB), 80 kohta.
         
            (58)  Tietosuojavaltuutetun ohjeet kansallista turvallisuuta ja puolustusta koskevan poikkeuksen soveltamisesta, saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/national-security-and-defence/
         
            (59)  Yhdistyneen kuningaskunnan viranomaisten esittämä esimerkki koskee tilannetta, jossa MI5:n aktiivisen tutkinnan kohteena oleva terroristiepäilty pyytää pääsyä sisäministeriöön (esimerkiksi siksi, että hän on osallisena maahanmuuttoasioita koskevassa riita-asiassa sisäministeriön kanssa). Tällöin rekisteröidylle ei pitäisi paljastaa mitään sellaisia tietoja, jotka MI5 kenties on toimittanut sisäministeriölle meneillään olevista tutkimuksista ja jotka voisivat vahingoittaa arkaluontoisia lähteitä, menetelmiä tai tekniikoita ja/tai johtaa kyseisen henkilön muodostaman uhkan lisääntymiseen. Tällaisessa tilanteessa edellytykset 26 §:n mukaisen poikkeuksen soveltamiselle todennäköisesti täyttyisivät, ja tietojen paljastamista koskevan poikkeuksen soveltaminen olisi tarpeen kansallisen turvallisuuden takaamiseksi. Jos sisäministeriöllä kuitenkin olisi hallussaan kyseisestä henkilöstä myös sellaisia henkilötietoja, jotka eivät liity MI5:n tutkimukseen ja jotka voitaisiin toimittaa hänelle kansallista turvallisuutta vaarantamatta, kansalliseen turvallisuuteen liittyvää poikkeusta ei voitaisi soveltaa, kun pohdittaisiin tietojen antamista kyseiselle henkilölle. Tietosuojavaltuutettu laatii parhaillaan ohjeita siitä, miten rekisterinpitäjien olisi suhtauduttava 26 §:ssä säädetyn poikkeuksen käyttöön. Ohjeet on tarkoitus julkaista maaliskuun 2021 loppuun mennessä.
         
            (60)  Information Tribunal on perustettu käsittelemään vuoden 1984 tietosuojalain nojalla tehtyjä tietosuojaa koskevia muutoksenhakemuksia. Vuonna 2010 toteutetun Yhdistyneen kuningaskunnan tuomioistuinjärjestelmän uudistuksen yhteydessä se liitettiin osaksi First Tier Tribunal -tuomioistuimen yleistä sääntelyjaostoa (General Regulatory Chamber).
         
            (61)  Ks. Baker v Secretary of State for the Home Department [2001] UKIT NSA2 (’Baker v Secretary of State’).
         
         
            (62)  Ks. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 85 artikla ja vuoden 2018 tietosuojalain 2 liitteessä olevan 5 osan 26 §:n 9 momentti.
         
            (63)  Vuoden 2018 tietosuojalain liitteessä 2 olevan 5 kohdan 26 §:n 2 kohdan mukaisesti poikkeusta sovelletaan henkilötietojen käsittelyyn, joka suoritetaan erityisiä tarkoituksia varten (journalistiset sekä akateemisen, taiteellisen tai kirjallisen ilmaisun tarkoitukset), jos käsittelyn tarkoituksena on, että henkilö voi julkaista journalistista, akateemista, taiteellista tai kirjallista materiaalia ja rekisterinpitäjällä on perusteltu syy uskoa, että kyseisen materiaalin julkaiseminen on yleisen edun mukaista. Sen määrittämiseksi, olisiko julkaiseminen yleisen edun mukaista, rekisterinpitäjän on otettava huomioon yleisen edun erityinen merkitys sananvapauden ja tiedonvälityksen vapauden kannalta. Lisäksi rekisterinpitäjän on otettava huomioon kyseisen julkaisun kannalta merkitykselliset käytännesäännöt tai ohjeet (BBC Editorial Guidelines, Ofcom Broadcasting Code ja Editors’ Code of Practice). Jotta poikkeusta voitaisiin soveltaa, rekisterinpitäjällä on lisäksi oltava perusteltu syy uskoa, että asianomaisen säännöksen noudattaminen olisi ristiriidassa kyseisten erityisten tarkoitusten kanssa (vuoden 2018 tietosuojalain liitteessä 2 oleva 26 §:n 3 kohta).
         
            (64)  Asiassa NT1 v. Google ([2018] EWHC 799 (QB)) annetun tuomion 102 kohdassa käsiteltiin kysymystä siitä, oliko rekisterinpitäjällä perusteltu syy uskoa, että julkaiseminen oli yleisen edun mukaista ja että asiaa koskevien säännösten noudattaminen olisi ollut ristiriidassa erityisten tarkoitusten kanssa. Tuomioistuin totesi, että vuoden 1998 tietosuojalain 32 §:n 1 momentin b ja c alakohdassa mainitaan sekä subjektiivinen että objektiivinen osatekijä: rekisterinpitäjän on osoitettava, että se uskoi julkaisemisen olevan yleisen edun mukaista ja että tämä käsitys oli objektiivisesti perusteltu; sen on perusteltava myös subjektiivinen käsitys, jonka mukaan poikkeuksen kohteena olevan säännöksen noudattaminen olisi ollut ristiriidassa kyseisen erityistarkoituksen kanssa.
         
            (65)  Esimerkki ”perusteltu syy uskoa” -kriteerin soveltamisesta on tietosuojavaltuutetun päätös määrätä yritykselle True Visions Productions sakkoja vuoden 1998 tietosuojalain nojalla. Tietosuojavaltuutettu katsoi, että median rekisterinpitäjällä oli subjektiivinen syy uskoa, että ensimmäisen tietosuojaperiaatteen (käsittelyn kohtuullisuus ja lainmukaisuus) noudattaminen oli ristiriidassa journalististen tarkoitusten kanssa. Tietosuojavaltuutetun mukaan syy ei kuitenkaan ollut objektiivisesti perusteltu. Tietosuojavaltuutetun päätös on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/action-weve-taken/mpns/2614746/true-visions-productions-20190408.pdf
         
            (66)  Ohjeiden mukaan organisaatioiden on kyettävä selittämään, miksi vuoden 1998 tietosuojalain asiaa koskevan säännöksen noudattaminen olisi ristiriidassa journalististen tarkoitusten kanssa. Rekisterinpitäjien on erityisesti punnittava tietosuojasäännösten noudattamisesta journalismille aiheutuvia haittavaikutuksia suhteessa niihin haittavaikutuksiin, joita sääntöjen noudattamatta jättäminen aiheuttaisi kyseisen rekisteröidyn oikeuksille. Jos toimittaja pystyy kohtuullisesti saavuttamaan toimitukselliset tavoitteensa tietosuojalain vakiosäännöksiä noudattaen, hänen on tehtävä niin. Organisaatioiden on kyettävä perustelemaan rajoituksen soveltaminen kaikkien niiden säännösten osalta, joita ne eivät ole noudattaneet. ”Data protection and journalism: a guide for the media”, saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/for-organisations/documents/1552/data-protection-and-journalism-media-guidance.pdf
         
            (67)  Esimerkkejä yleisestä edusta olisivat muun muassa rikoksen paljastaminen, kansanterveyden tai yleisen turvallisuuden suojelu, yksilöiden tai organisaatioiden esittämien harhaanjohtavien väitteiden paljastaminen tai yleisöön vaikuttavan epäpätevyyden esiin tuominen. OFCOMin ohjeet ovat saatavilla seuraavassa osoitteessa: https://www.ofcom.org.uk/__data/assets/pdf_file/0017/132083/Broadcast-Code-Section-8.pdf ja BBC:n toimitukselliset ohjeet seuraavassa osoitteessa: https://www.bbc.com/editorialguidelines/guidelines/privacy
         
            (68)  Ks. Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 89 artikla ja vuoden 2018 tietosuojalain liitteessä 2 olevan 6 osan 27 §:n 2 momentti ja 28 §:n 2 momentti.
         
            (69)  Tämä edellyttää, että henkilötietoja käsitellään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 89 artiklan 1 kohdan mukaisesti, sellaisena kuin se on täydennettynä vuoden 2018 tietosuojalain 19 §:llä.
         
            (70)  Ks. johdanto-osan (281)–(287) kappale.
         
            (71)  Lukuun ottamatta asetuksen (EU) 2016/679 48 artiklaa, jota Yhdistynyt kuningaskunta ei ole sisällyttänyt omaan yleiseen tietosuoja-asetukseensa. Tältä osin olisi ensinnäkin syytä muistaa, että kun jonkin normin katsotaan takaavan riittävän tietosuojan tason, sen katsotaan olevan ”olennaisilta osin” vastaava eikä ”täysin sama kuin unionin oikeusjärjestyksessä taattu taso”, kuten Euroopan unionin tuomioistuin on tarkentanut (Schrems I, 73–74 kohta) ja kuten myös Euroopan tietosuojaneuvosto on todennut (Tietosuojan riittävyyden viitearvot, s. 3). Tietosuojaneuvosto selittää Tietosuojan riittävyyden viitearvoissa, että ”tavoitteena ei näin ollen ole saavuttaa täydellistä vastaavuutta EU:n lainsäädännön kanssa vaan varmistaa sen keskeisten vaatimusten noudattaminen”. Tältä osin on huomattava, että vaikka Yhdistyneen kuningaskunnan lainsäädännössä ei ole säännöstä, joka olisi muodollisesti identtinen edellä mainitun 48 artiklan kanssa, sama oikeusvaikutus taataan muilla säännöksillä ja periaatteilla. Tämä tarkoittaa, että kolmannen maan tuomioistuimen tai hallintoviranomaisen esittämän tietopyynnön nojalla niille voidaan toimittaa henkilötietoja vain jos asiasta on tehty kansainvälinen sopimus, jonka nojalla kyseisen kolmannen maan tuomioistuimen tuomio tai hallintoviranomaisen päätös tunnustetaan tai pannaan täytäntöön Yhdistyneessä kuningaskunnassa, tai jos tietopyyntö perustuu sellaiseen siirtomekanismiin, josta säädetään Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen V luvussa. Tarkemmin sanoen Yhdistyneen kuningaskunnan tuomioistuinten on ulkomaisen tuomion täytäntöön panemiseksi voitava osoittaa common law -oikeuteen tai lakiin sisältyvä säännös, jonka nojalla se voidaan panna täytäntöön. Sen enempää common law -säädöksissä (ks. Adams and Others v Cape Industries Plc., [1990] 2 W.L.R. 657) kuin perustuslakien tasoisissa säädöksissäkään ei kuitenkaan säädetä ulkomaisten tuomioiden täytäntöönpanosta, joka edellyttäisi tietojen siirtämistä ilman asiaa koskevaa kansainvälistä sopimusta. Näin ollen tietopyyntöä ei voida panna täytäntöön Yhdistyneen kuningaskunnan lainsäädännön nojalla, jos tällaista sopimusta ei ole tehty. Lisäksi kaikkiin tiedonsiirtoihin kolmansiin maihin – myös silloin kun ne perustuvat ulkomaisen tuomioistuimen tai hallintoviranomaisen pyyntöön – sovelletaan Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen V luvussa asetettuja rajoituksia, jotka ovat identtiset asetuksen (EU) 2016/679 vastaavien säännösten kanssa. Näin ollen tietoja voidaan siirtää vain jonkin V luvussa mainitun perusteen nojalla ja niiden edellytysten mukaisesti, joita siirtoon on kyseisen luvun nojalla sovellettava.
         
            (72)  Yhdistyneen kuningaskunnan viranomaiset ovat selittäneet, että maan tai kansainvälisen järjestön kuvauksella tarkoitetaan tilannetta, jossa tietosuojan riittävyys olisi tarpeen määritellä erityisellä ja osittaisella tavalla, johon sisältyy kohdennettuja rajoituksia (esimerkiksi niin, että tietosuojan riittävyyttä koskeva asetus koskisi vain tietyntyyppisiä tiedonsiirtoja).
         
            (73)  Ks. Memorandum of Understanding between the Secretary of State for the Department for Digital, Culture, Media and Sport and the Information’s Commissioner’s Office on the role of the ICO in relation to new UK adequacy assessment, saatavilla seuraavassa osoitteessa https://www.gov.uk/government/publications/memorandum-of-understanding-mou-on-the-role-of-the-ico-in-relation-to-new-uk-adequacy-assessments.
         
            (74)  Jos vaatimus asetuksen hylkäämisestä menee läpi äänestyksessä, asetuksella ei ole viime kädessä lainkaan oikeusvaikutuksia.
         
            (75)  Yhdistyneen kuningaskunnan yleisessä tietosuoja-asetuksessa on säilytetty asetuksen (EU) 2016/679 47 artiklan säännöt vain vähäisin mukautuksin, jotta ne on voitu sovittaa kansallisiin sääntöihin. Esimerkiksi viittaukset toimivaltaiseen valvontaviranomaiseen on korvattu viittauksilla tietosuojavaltuutettuun, minkä lisäksi on poistettu 1 kohdassa oleva viittaus yhdenmukaisuusmekanismiin ja koko 3 kohta.
         
            (76)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 49 artiklan nojalla siirto voidaan tehdä, jos jokin seuraavista edellytyksistä täyttyy: a) rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi; b) siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä; c) siirto on tarpeen rekisterinpitäjän ja toisen luonnollisen henkilön tai oikeushenkilön välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi; d) siirto on tarpeen tärkeää yleistä etua koskevien syiden vuoksi; e) siirto on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi; f) siirto on tarpeen rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan; g) siirto tehdään rekisteristä, jonka tarkoituksena on kansallisen lainsäädännön mukaan tietojen antaminen yleisölle ja joka on yleisesti yleisön tai kenen tahansa sellaisen henkilön käytettävissä, joka voi osoittaa hänellä olevan siihen oikeutettu etu, mutta ainoastaan siltä osin kuin rekisterin käytön edellytykset, joista säädetään kansallisessa lainsäädännössä, täyttyvät kussakin yksittäisessä tapauksessa. Jos mikään edellä mainituista edellytyksistä ei täyty, siirto voidaan toteuttaa vain jos se ei ole toistuva ja koskee ainoastaan rajallista määrää rekisteröityjä ja on tarpeen rekisterinpitäjän sellaisten pakottavien ja oikeutettujen etujen toteuttamiseksi, joita rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät syrjäytä, sekä jos rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja toteuttanut tämän arvioinnin perusteella henkilötietojen suojaa koskevat asianmukaiset suojatoimet.
         
            (77)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen johdanto-osan 111 kappaleessa täsmennetään, että sopimukseen tai oikeusvaatimukseen liittyviä tiedonsiirtoja voidaan tehdä vain silloin kun ne ovat satunnaisia.
         
            (78)  Kansainvälisiä siirtoja koskevat tietosuojavaltuutetun ohjeet ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-transfers/#ib7
         
            (79)  Tämän uuden kehyksen soveltamista on tarkasteltava enintään kuuden kuukauden ajan eli 30. kesäkuuta 2021 saakka Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välillä tehdyn kauppa- ja yhteistyösopimuksen, jäljempänä ’kauppa- ja yhteistyösopimus’, 782 artiklan valossa. Sopimus (EUVL L 444, 31.12.2020, s. 14) on saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:22020A1231(01)&from=FI
         
            (80)  Nämä viittaukset on tarvittaessa korvattu viittauksilla Yhdistyneen kuningaskunnan viranomaisiin. Esimerkiksi vuoden 2018 tietosuojalain 17 §:n mukaan tietosuojavaltuutettu tai Yhdistyneen kuningaskunnan kansallinen akkreditointielin voivat valtuuttaa sertifioinnin noudattamista seuraamaan henkilön, joka täyttää Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 43 artiklassa esitetyt vaatimukset.
         
            (81)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2019–2020 tilinpäätös ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2618021/annual-report-2019-20-v83-certified.pdf
         
            (82)  Niiden keskinäisiä suhteita säännellään hallinnointisopimuksella. Vastuuministeriön keskeisenä tehtävänä on muun muassa varmistaa, että tietosuojavaltuutetulla on käytössään riittävä rahoitus ja henkilöstö; edustaa tietosuojavaltuutettua parlamentissa ja muissa hallintoelimissä; varmistaa, että käytössä on vankka kansallinen tietosuojakehys; ja antaa tietosuojavaltuutetun toimistolle ohjeita ja tukea esimerkiksi kiinteistö-, vuokraus- ja hankintakysymyksissä (vuosien 2018–2021 hallinnointisopimus (Management Agreement) on saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259800/management-agreement-2018-2021.pdf)
         
            (83)  Julkisia nimityksiä koskevat hallintosäännöt ovat saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/578498/governance_code_on_public_appointments_16_12_2016.pdf
         
            (84)  Second Report of Session 2015–2016 of the Culture, Media and Sports Committee at the House of Commons, saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201516/cmselect/cmcumeds/990/990.pdf
         
            (85)  ”Address” on parlamentille osoitettava esitys, jonka tarkoituksena on saattaa monarkin tietoon parlamentin näkemys tietystä kysymyksestä.
         
            (86)  Vuoden 2018 tietosuojalain liitteessä 12 oleva 3 kohdan 3 alakohta.
         
            (87)  Vuoden 2018 tietosuojalain 137 §, ks. johdanto-osan (17) kappale .
         
            (88)  Vuoden 2018 tietosuojalain 137 ja 138 §:ssä vahvistetaan erilaisia suojatoimia sen varmistamiseksi, että maksut asetetaan asianmukaiselle tasolle. Erityisesti 137 §:n 4 kohdassa luetellaan seikat, jotka Secretary of Staten on otettava huomioon antaessaan asetuksia eri organisaatioilta perittävien maksujen määrittämiseksi; lisäksi vuoden 2018 tietosuojalain 138 §:n 1 momentissa ja 182 §:ssä asetetaan Secretary of Statelle oikeudellinen velvoite kuulla ennen asetusten antamista tietosuojavaltuutettua ja muita sellaisten henkilöiden edustajia, joihin asetukset todennäköisesti vaikuttavat, jotta heidän näkemyksensä voidaan ottaa huomioon. Lisäksi tietosuojavaltuutetun on vuoden 2018 tietosuojalain 138 §:n 2 momentin nojalla seurattava maksuasetuksen (Charges Regulations) toimintaa ja esitettävä tarvittaessa Secretary of Statelle ehdotus sen muuttamiseksi. Maksuasetuksiin sovelletaan ns. myönteistä päätöslauselmamenettelyä (affirmative resolution procedure), jonka mukaan ne voidaan hyväksyä vasta kun kumpikin parlamentin kamari on antanut niistä myönteisen päätöslauselman. (Jos asetuksella kuitenkin vain otetaan huomioon vähittäishintaindeksin nousu, sovelletaan negatiivista päätöslauselmamenettelyä.)
         
            (89)  Hallinnointisopimuksen mukaan Secretary of State voi suorittaa tietosuojavaltuutetulle maksuja varoista, jotka parlamentti on myöntänyt tähän tarkoitukseen vuoden 2018 tietosuojalain liitteessä 12 olevan 9 kohdan nojalla. Tietosuojavaltuutettua kuultuaan ministeri maksaa tietosuojavaltuutetulle asianmukaisen tukimäärän hallintomenoihin ja mm. tiedonvapauteen liittyvien tietosuojavaltuutetun erityistehtävien hoitamista varten (hallinnointisopimus 2018–2021, 1.12 kohta, ks. alaviite 82).
         
            (90)  Ks. vuoden 2018 tietosuojalain 134 §.
         
            (91)  Vuoden 2018 tietosuojalain 142 § (vuoden 2018 tietosuojalain 143 §:ssä säädetyin rajoituksin).
         
            (92)  Vuoden 2018 tietosuojalain 146 § (vuoden 2018 tietosuojalain 147 §:ssä säädetyin rajoituksin).
         
            (93)  Vuoden 2018 tietosuojalain 149–151 § (vuoden 2018 tietosuojalain 152 §:ssä säädetyin rajoituksin).
         
            (94)  Vuoden 2018 tietosuojalain 155 § ja Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 83 artikla.
         
            (95)  Tämä johtuu vuoden 2018 tietosuojalain 155 §:n 1 momentista, luettuna yhdessä sen 149 §:n 2 ja 5 momentin kanssa, ja saman lain 156 §:n 4 momentista, joilla rajoitetaan seuraamusmääräysten antamista vain kruunulle kuuluvien kiinteistöjen hoidosta vastaavien henkilöiden osalta (Crown Estate Commissioners, controllers for the Royal Household) vuoden 2018 tietosuojalain 209 §:n 4 momentin nojalla.
         
            (96)  Sääntelytoimia koskevat toimintaperiaatteet (Regulatory Action Policy) ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/documents/2259467/regulatory-action-policy.pdf
         
            (97)  Mukaan lukien rikkomisen luonne, vakavuus ja kesto (kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus huomioon ottaen, sekä niiden rekisteröityjen lukumäärä, joihin rikkominen vaikuttaa, ja heille aiheutuneen vahingon suuruus), sekä rikkomisen tahallisuus, rekisterinpitäjän toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi, rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste (ottaen huomioon rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat tekniset ja organisatoriset toimenpiteet) ja rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat rikkomiset, yhteistyön aste tietosuojavaltuutetun kanssa, henkilötietoryhmät, joihin rikkominen vaikuttaa, mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät, kuten rikkomisesta suoraan tai välillisesti saadut mahdolliset taloudelliset edut tai rikkomisella vältetyt tappiot.
         
            (98)  Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan tietosuojavaltuutetun vuosikertomuksen 2019–2020 kattamalla raportointijaksolla todettiin, että noin 25 prosentissa tutkituista tapauksista ei ollut tapahtunut rikkomista, noin 29 prosentissa tapauksista rekisteröityä kehotettiin joko esittämään huolensa ensin rekisterinpitäjälle tai odottamaan rekisterinpitäjän vastausta tai jatkamaan asian käsittelyä rekisterinpitäjän kanssa, noin 17 prosentissa tapauksista rikkomista ei todettu, mutta rekisterinpitäjälle annettiin muistutus, noin 25 prosentissa tapauksista tietosuojavaltuutettu totesi rikkomisen tapahtuneen ja joko antoi rekisterinpitäjälle ohjeita tai vaati tätä toteuttamaan toimenpiteitä, noin 3 prosentissa tapauksista katsottiin, että asia ei kuulunut asetuksen (EU) 2016/679 soveltamisalaan, ja noin 1 prosentissa tapauksista asian käsittely siirrettiin toiselle tietosuojaviranomaiselle Euroopan tietosuojaneuvosto puitteissa.
         
            (99)  Tietosuojavaltuutettu voi aloittaa tällaiset tutkimukset eri lähteistä saatujen tietojen perusteella. Näitä voivat olla esimerkiksi ilmoitukset henkilötietoja koskevista tietoturvaloukkauksista, muilta Yhdistyneen kuningaskunnan viranomaisilta tai ulkomaiden tietosuojaviranomaisilta saadut ilmoitukset tai kansalaisten tai kansalaisyhteiskunnan järjestöjen tekemät valitukset.
         
            (100)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden 2019–2020 tilinpäätös (ks. alaviite 81):
         
            (101)  Vuosia 2018–2019 koskevan edellisen vuosikertomuksen mukaan tietosuojavaltuutettu antoi raportointijaksolla vuoden 1998 tietosuojalain nojalla 22 seuraamusmääräystä, joissa määrättyjen sakkojen kokonaismäärä oli 3 010 610 puntaa, mukaan lukien kaksi 500 000 punnan sakkoa (vuoden 1998 tietosuojalaissa sallittu sakkojen enimmäismäärä). Vuonna 2018 tietosuojavaltuutettu tutki erityisesti data-analytiikan käyttöä poliittisiin tarkoituksiin Cambridge Analytican paljastusten jälkeen. Tutkimusten perusteella laadittiin raportti ja joukko suosituksia sekä määrättiin Facebookille 500 000 punnan sakko. Kanadalaiselle tietojenkäsittely-yritykselle Aggregate IQ:lle annettiin täytäntöönpanomääräys, jonka mukaan sen oli tuhottava hallussaan olevat henkilötiedot, jotka koskivat Yhdistyneen kuningaskunnan kansalaisia ja asukkaita (ks. tietosuojavaltuutetun vuosikertomus ja tilinpäätös 2018–2019, saatavilla seuraavassa osoitteessa:https://ico.org.uk/media/about-the-ico/documents/2615262/annual-report-201819.pdf)
         
            (102)  Yhteenveto toteutetuista täytäntöönpanotoimista on saatavilla tietosuojavaltuutetun verkkosivuilla seuraavassa osoitteessa: https://ico.org.uk/action-weve-taken/enforcement/
         
            (103)  Vuoden 2018 tietosuojalain 170 §.
         
            (104)  Vuoden 2018 tietosuojalain 171 §.
         
            (105)  Vuoden 2018 tietosuojalain 119 §.
         
            (106)  Vuoden 2018 tietosuojalain 144 ja 148 §.
         
            (107)  Vuoden 2018 tietosuojalain 117 §.
         
            (108)  Lautakunnan tehtävänä on antaa oikeuslaitokselle ohjausta ja koulutusta. Lisäksi se käsittelee rekisteröityjen tekemiä valituksia, jotka koskevat tuomioistuinten ja lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä. Lautakunta pyrkii löytämään ratkaisun kaikkiin valituksiin. Jos valituksen tekijä ei ole tyytyväinen lautakunnan päätökseen ja esittää lisänäyttöä, lautakunta voi harkita päätöstään uudelleen. Lautakunta ei itse määrää taloudellisia seuraamuksia, mutta jos se katsoo, että vuoden 2018 tietosuojalakia on rikottu riittävän vakavasti, se voi viedä valituksen oikeuslaitoksen tutkintalautakunnan (Judicial Conduct Investigation) käsiteltäväksi. Jos valitus todetaan aiheelliseksi, lordikansleri (oikeusministeri) ja Lord Chief Justice (tai tehtävään valtuutettu vanhempi tuomari) päättävät, mitä toimia viranhaltijaa vastaan olisi toteutettava. Näitä voivat olla vakavuusjärjestyksessä virallinen muistutus, virallinen varoitus, huomautus ja viime kädessä erottaminen virasta. Jos yksityishenkilö on tyytymätön tapaan, jolla tutkintalautakunta on tutkinut asiaa, hän voi valittaa asiasta edelleen tuomarien nimityksistä ja viranhoidosta vastaavalle oikeusasiamiehelle (Judicial Appointments and Conduct Ombudsman; ks. https://www.gov.uk/government/organisations/judicial-appointments-and-conduct-ombudsman). Oikeusasiamiehellä on valtuudet pyytää tutkintalautakuntaa tutkimaan valitus uudelleen ja ehdottaa, että valituksen tekijälle maksetaan korvaus, jos hänen katsotaan kärsineen vahinkoa hallinnollisen väärinkäytöksen vuoksi.
         
            (109)  Lord Chief Justicen ja tuomioistuinten ylimmän presidentin laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice
         
            (110)  Pohjois-Irlannin Lord Chief Justicen laatima tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://judiciaryni.uk/data-privacy
         
            (111)  Skotlannin tuomioistuinten tietosuojaseloste on saatavilla seuraavassa osoitteessa: https://www.judiciary.uk/about-the-judiciary/judiciary-and-data-protection-privacy-notice
         
            (112)  Tietosuojaa valvova tuomari laatii ohjeita oikeuslaitokselle ja tutkii tietoturvaloukkauksia ja/tai valituksia, jotka koskevat tuomioistuinten tai lainkäyttötehtäviä hoitavien henkilöiden suorittamaa henkilötietojen käsittelyä.
         
            (113)  Jos valitus tai tietoturvaloukkaus katsotaan vakavaksi, se toimitetaan edelleen oikeuslaitoksen oikeusasiamiehen (Judicial Complaints Officer) tutkittavaksi Pohjois-Irlannin Lord Chief Justicen laatiman valituksia koskevien käytännesääntöjen (Code of Practice on Complaints) mukaisesti. Valituksen ratkaisu voi olla jokin seuraavista: ei aiheuta toimenpiteitä, muistutus, koulutus tai mentorointi, epävirallinen varoitus, virallinen varoitus, lopullinen varoitus, ammatinharjoittamisen rajoitus tai käsittelyn siirtäminen lakisääteiseen tuomioistuimeen. Pohjois-Irlannin Lord Chief Justicen laatimat valituksia koskevat käytännesäännöt ovat saatavilla seuraavassa osoitteessa:https://judiciaryni.uk/sites/judiciary/files/media-files/14G.%20CODE%20OF%20PRACTICE%20Judicial%20~%2028%20Feb%2013%20%28Final%29%20updated%20with%20new%20comp..__1.pdf
         
            (114)  Tietosuojaa valvovan tuomarin tutkimuksissa aiheelliseksi todettu valitus saatetaan Lord Presidentin käsiteltäväksi. Hänellä on toimivalta määrätä annettavaksi muistutus, virallinen varoitus tai huomautus, jos hän katsoo sen tarpeelliseksi (vastaavat tuomioistuinten jäseniä koskevat säännöt ovat saatavilla seuraavassa osoitteessa: https://www.judiciary.scot/docs/librariesprovider3/judiciarydocuments/complaints/complaintsaboutthejudiciaryscotlandrules2017_1d392ab6e14f6425aa0c7f48d062f5cc5.pdf?sfvrsn=5d3eb9a1_2)
         
            (115)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 77 artikla.
         
            (116)  Vuoden 2018 tietosuojalain 166 §:ssä viitataan nimenomaisesti seuraaviin tilanteisiin: a) tietosuojavaltuutettu ei ole toteuttanut asianmukaisia toimenpiteitä valitukseen vastaamiseksi, b) tietosuojavaltuutettu ei ole antanut valituksen tekijälle tietoja tutkinnan etenemisestä tai sen tuloksesta kolmen kuukauden kuluessa siitä kun tietosuojavaltuutettu on vastaanottanut valituksen, tai c) jos tietosuojavaltuutettu ei tee valituksen perusteella ratkaisua tai ei anna valituksen tekijälle tutkintaa koskevia tietoja em. kolmen kuukauden määräajan kuluessa.
         
            (117)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 2 kohta ja vuoden 2018 tietosuojalain 166 §.
         
            (118)  Yhdistyneen kuningaskunnan yleisen tietosuoja-asetuksen 78 artiklan 1 kohta ja vuoden 2018 tietosuojalain 162 §.
         
            (119)  Vuoden 1998 ihmisoikeuslain 7 §:n 1 momentti. Lain 7 §:n 7 momentin mukaan henkilö on lainvastaisen teon uhri vain jos hänen katsottaisiin olevan uhri Euroopan ihmisoikeussopimuksen 34 artiklaa sovellettaessa siinä tapauksessa, että asia olisi viety Euroopan ihmisoikeustuomioistuimen käsiteltäväksi.
         
            (120)  Vuoden 1998 ihmisoikeuslain 8 §:n 1 momentti.
         
            (121)  Ks. Schrems II, 174–175 kohta oikeuskäytäntöviittauksineen. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös asia C-623/17, Privacy International, ECLI:EU:C:2020:790, 65 kohta; ja yhdistetyt asiat C-511/18, C-512/18 ja C-520/18, La Quadrature du Net ym., ECLI:EU:C:2020:791, 175 kohta.
         
            (122)  Ks. Schrems II, 176 ja 181 kohta oikeuskäytäntöviittauksineen. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös Privacy International, 68 kohta; ja La Quadrature du Net and Others, 132 kohta.
         
            (123)  Ks. Schrems II, 176 kohta. Ks. jäsenvaltioiden viranomaisten pääsyn osalta myös Privacy International, 68 kohta; ja La Quadrature du Net and Others, 132 kohta.
         
            (124)  Ks. Schrems II, 179 kohta.
         
            (125)  Ks. Schrems II, 181–182 kohta.
         
            (126)  Ks. Schrems I, 95 kohta, ja Schrems II, 194 kohta. Euroopan unionin tuomioistuin on tältä osin erityisesti korostanut, että perusoikeuskirjan 47 artiklan (oikeus tehokkaisiin oikeussuojakeinoihin riippumattomassa ja puolueettomassa tuomioistuimessa) noudattaminen liittyy unionissa vaadittavaan tietosuojan tasoon ja että komission on todettava sen noudattaminen ennen kuin se tekee tietosuojan riittävyyttä koskevan päätöksen asetuksen (EU) 2016/679 45 artiklan 1 kohdan nojalla (Schrems II, 186 kohta).
         
            (127)  Vuoden 1998 ihmisoikeuslain 6 §.
         
            (128)  EIT, Klass ym. v. Saksa, hakemus nro 5029/71, 17–51 kohta.
         
            (129)  EIT, Kennedy v. Yhdistynyt kuningaskunta, hakemus nro 26839/05, (”Kennedy”), 167 ja 190 kohta.
         
            (130)  Lisätietoja Euroopan ihmisoikeussopimuksesta ja sen sisällyttämisestä Yhdistyneen kuningaskunnan lainsäädäntöön vuoden 1998 ihmisoikeuslailla sekä yleissopimuksesta N:o 108, ks. johdanto-osan (9) kappale.
         
            (131)  Vastaavasti yleissopimuksen 108+ 11 artiklan mukaan tiettyjen yleissopimuksessa vahvistettujen oikeuksien ja velvollisuuksien rajoittaminen voidaan sallia kansalliseen turvallisuuteen tai rikoksen ennalta estämiseen tai selvittämiseen taikka syytetoimiin ja rangaistusten täytäntöönpanoon liittyvistä syistä edellyttäen, että tällaisesta rajoituksesta säädetään lailla, siinä kunnioitetaan perusoikeuksia ja vapauksia olennaisilta osin, ja rajoitus on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimi. Kun henkilötietojen käsittely liittyy kansalliseen turvallisuuteen ja puolustustarkoituksiin, sitä on arvioitava ja valvottava riippumattomasti ja tehokkaasti yleissopimuksen kunkin osapuolen kansallisen lainsäädännön mukaisesti.
         
            (132)  Vuoden 2018 tietosuojalain 31 §.
         
            (133)  Liitteen 7 luettelossa oleviin toimivaltaisiin viranomaisiin kuuluvat poliisivoimien lisäksi kaikki Yhdistyneen kuningaskunnan ministeriöiden osastot ja muut viranomaiset, joiden tehtävänä on tutkinta (esim. vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), kansallinen rikosvirasto (National Crime Agency), Walesin verovirasto (Welsh Revenue Authority), kilpailu- ja markkinaviranomainen (Competition and Markets Authority) tai kiinteistörekisteri (Her Majesty’s Land Register)), syyttäjävirastot (prosecutorial agencies), muut rikosoikeusvirastot ja muut viranhaltijat tai organisaatiot, jotka suorittavat lainvalvontatehtäviä (vuoden 2018 tietosuojalain liitteessä 7 mainitaan näistä muun muassa yleisten syyttäjien johtajat, Pohjois-Irlannin syyttäjäviranomaisten johtaja tai tietosuojavaltuutettu).
         
            (134)  Vuoden 2018 tietosuojalain 30 §:n 2 momentti.
         
            (135)  Vuoden 2018 tietosuojalain 35 §.
         
            (136)  Vuoden 2018 tietosuojalain 36 §.
         
            (137)  Vuoden 2018 tietosuojalain 37 §.
         
            (138)  Vuoden 2018 tietosuojalain 38 §.
         
            (139)  Vuoden 2018 tietosuojalain 39 §.
         
            (140)  Vuoden 2018 tietosuojalain 40 §.
         
            (141)  Vuoden 2018 tietosuojalain 44 §.
         
            (142)  Vuoden 2018 tietosuojalain 45 §.
         
            (143)  Vuoden 2018 tietosuojalain 46 ja 47 §.
         
            (144)  Vuoden 2018 tietosuojalain 49 ja 50 §.
         
            (145)  Vuoden 2018 tietosuojalain 56–65 §.
         
            (146)  Vuoden 2018 tietosuojalain 66 §.
         
            (147)  Vuoden 2018 tietosuojalain 67 ja 68 §.
         
            (148)  Vuoden 2018 tietosuojalain 69–71 §.
         
            (149)  Vuoden 2018 tietosuojalain 67 ja 68 §.
         
            (150)  Vuoden 2018 tietosuojalain 3 osan 5 luku.
         
            (151)  Vuoden 2018 tietosuojalain 86 §:n 6 momentin nojalla käsittelyn kohtuullisuuden ja läpinäkyvyyden määrittämiseksi on tarkasteltava menetelmää, jonka avulla tiedot on saatu. Sen mukaan kohtuullisuutta ja läpinäkyvyyttä koskevat vaatimukset täyttyvät, jos tiedot saadaan henkilöltä, jolla on laillinen valtuutus tai velvollisuus toimittaa ne.
         
            (152)  Vuoden 2018 tietosuojalain 87 §:n nojalla käsittelyn tarkoituksen on oltava tietty, nimenomainen ja laillinen. Tietoja ei saa käsitellä tavalla, joka on yhteensopimaton sen tarkoituksen kanssa, jota varten ne on kerätty. Vuoden 2018 tietosuojalain 87 §:n 3 momentin nojalla henkilötietojen myöhempi käsittely voidaan sallia vain jos rekisterinpitäjällä on lakisääteinen valtuutus käsitellä tietoja kyseistä tarkoitusta varten ja jos käsittely on välttämätöntä ja oikeasuhteista tähän muuhun tarkoitukseen nähden. Käsittelyn olisi katsottava olevan sääntöjen mukaista, jos se tehdään yleisen edun mukaisia arkistointitarkoituksia taikka tieteellisiä tai historiallisia tutkimustarkoituksia tai tilastollisia tarkoituksia varten ja siihen sovelletaan asianmukaisia suojatoimia (vuoden 2018 tietosuojalain 87 §:n 4 momentti).
         
            (153)  Henkilötietojen on oltava asianmukaisia, olennaisia ja rajoitettuja (vuoden 2018 tietosuojalain 88 §).
         
            (154)  Henkilötietojen on oltava täsmällisiä ja ajantasaisia (vuoden 2018 tietosuojalain 89 §).
         
            (155)  Henkilötietoja ei saa säilyttää pidempään kuin on tarpeen (vuoden 2018 tietosuojalain 90 §).
         
            (156)  Kuudennen tietosuojaperiaatteen mukaan henkilötietoja on käsiteltävä ottaen huomioon henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet. Näitä riskejä ovat esimerkiksi vahingossa tapahtuva tai lainvastainen pääsy henkilötietoihin tai niiden tuhoaminen, häviäminen, käyttäminen, muuttaminen tai luovuttaminen (vuoden 2018 tietosuojalain 91 §). Lain 107 §:ssä myös edellytetään, että 1) jokaisen rekisterinpitäjän on toteutettava henkilötietojen käsittelystä aiheutuvien riskien edellyttämät asianmukaiset turvatoimenpiteet, ja 2) jos kyseessä on automaattinen käsittely, jokaisen rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskinarviointiin perustuvia ehkäiseviä tai lieventäviä toimenpiteitä.
         
            (157)  Vuoden 2018 tietosuojalain liitteessä 10 oleva 86 artiklan 2 kohdan b alakohta.
         
            (158)  Vuoden 2018 tietosuojalain 4 osan 3 luku ja erityisesti oikeus tutustua tietoihin ja oikaista tai poistaa ne, oikeus vastustaa tietojen käsittelyä ja oikeus olla joutumatta automaattisen päätöksenteon kohteeksi, oikeus puuttua automatisoituun päätöksentekoon ja saada tieto päätöksenteosta. Rekisterinpitäjän on myös annettava rekisteröidylle tietoa hänen henkilötietojensa käsittelystä. Kuten tiedustelupalvelujen suorittamaa henkilötietojen käsittelyä koskevissa tietosuojavaltuutetun ohjeissa todetaan, yksilöt voivat käyttää kaikkia oikeuksiaan (myös oikaisupyyntöä koskevia) tekemällä valituksen tietosuojavaltuutetulle tai viemällä asian oikeuteen (tietosuojavaltuutetun ohjeet ovat saatavilla seuraavassa osoitteessa: https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-intelligence-services-processing/).
         
            (159)  Vuoden 2018 tietosuojalain 103 §.
         
            (160)  Vuoden 2018 tietosuojalain 109 §. Henkilötietojen siirrot kansainvälisille järjestöille tai Yhdistyneen kuningaskunnan ulkopuolisille maille ovat mahdollisia, jos siirto on välttämätön ja oikeasuhteinen toimenpide ja se toteutetaan rekisterinpitäjän lakisääteisiä tehtäviä varten tai muita sellaisia tarkoituksia varten, joista säädetään vuoden 1989 turvallisuuspalvelulain (Security Service Act 1989) ja vuoden 1994 tiedustelupalvelulain (Intelligence Services Act 1994) erityisissä säännöksissä.
         
            (161)  Tietosuojavaltuutetun ohjeet, ks. alaviite 158.
         Vuoden 2018 tietosuojalain 30 § ja liite 7.
         
            (162)  Vuoden 2018 tietosuojalain 110 §:n 2 momentissa luetellaan säännökset, joista poikkeaminen sallitaan. Näitä ovat muun muassa tietosuojaperiaatteet (lainmukaisuusperiaatetta lukuun ottamatta), rekisteröidyn oikeudet, velvollisuus ilmoittaa tietoturvaloukkauksesta tietosuojavaltuutetulle, kansainvälisten velvoitteiden mukaiset tietosuojavaltuutetun tarkastusvaltuudet ja tietyt tietosuojavaltuutetun täytäntöönpanovaltuudet, säännökset joiden nojalla tietyt tietosuojaloukkaukset kriminalisoidaan sekä säännökset, jotka liittyvät erityisiin käsittelytarkoituksiin, kuten käsittely journalistisia, akateemisia tai taiteellisia tarkoituksia varten.
         
            (163)  Ks. Baker v Secretary of State, ks. alaviite 61.
         
            (164)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security Data Protection and Investigatory Powers Framework (kansallista turvallisuutta koskeva tietosuoja ja tutkintavaltuuksien sääntelykehys), s. 15–16 (ks. alaviite 31). Ks. myös Baker v Secretary of State (ks. alaviite 61), jossa tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen ja vahvisti kansallista turvallisuutta koskevan poikkeuksen soveltamisen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.
         
            (165)  Ks. tietosuojavaltuutetun ja Yhdistyneen kuningaskunnan tiedusteluyhteisön (UK Intelligence Community, UKIC) välinen yhteisymmärryspöytäkirja, jonka mukaan ”sen jälkeen kun tietosuojavaltuutettu on saanut rekisteröidyn tekemän valituksen, hän haluaa varmistua siitä, että asia on käsitelty oikein, ja tarvittaessa siitä, että mahdollista poikkeusta on sovellettu asianmukaisella tavalla”. Memorandum of Understanding between Information Commission’s Office and the UK Intelligence Community, 16 kohta; saatavilla seuraavassa osoitteessa: https://ico.org.uk/media/about-the-ico/mou/2617438/uk-intelligence-community-ico-mou.pdf
         
            (166)  Vuoden 2018 tietosuojalaissa on kumottu mahdollisuus myöntää tällaisia todistuksia vuoden 1998 tietosuojalain 28 §:n 2 momentin nojalla. Edelleen on kuitenkin mahdollista antaa ”vanhoja todistuksia” vuoden 1998 lain nojalla (ks. vuoden 2018 tietosuojalain liitteessä 20 olevan 5 osan 17 kohta). Tämä mahdollisuus vaikuttaa kuitenkin hyvin harvinaiselta ja sitä voidaan soveltaa vain rajoitetuissa tapauksissa, jos rekisteröity riitauttaa kansalliseen turvallisuuteen perustuvan poikkeuksen käytön tilanteessa, jossa viranomainen on suorittanut käsittelytoimia vuoden 1998 lain nojalla. Huomattakoon, että tällaisissa tapauksissa sovelletaan vuoden 1998 tietosuojalain 28 §:ää kokonaisuudessaan, eli rekisteröidyllä on mahdollisuus riitauttaa todistus tuomioistuimessa.
         
            (167)  UK Government Guidance on National Security Certificates under the Data Protection Act 2018, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/910279/Data_Protection_Act_2018_-_National_Security_Certificates_Guidance.pdf Yhdistyneen kuningaskunnan viranomaiset ovat todenneet, että vaikka todistus on ratkaiseva todiste siitä, että poikkeusta voidaan soveltaa todistuksessa kuvattuihin tietoihin tai käsittelyyn, se ei vapauta rekisterinpitäjää vaatimuksesta analysoida tapauskohtaisesti, onko poikkeuksen soveltaminen tarpeen.
         
            (168)  Vuoden 2018 tietosuojalain 130 §:n nojalla tietosuojavaltuutettu voi päättää olla julkaisematta todistuksen tekstiä tai sen osaa, jos julkaiseminen olisi kansalliseen turvallisuuteen liittyvän tai yleisen edun vastaista tai jos se voisi vaarantaa kenen tahansa henkilön turvallisuuden. Tällaisissa tapauksissa tietosuojavaltuutettu julkaisee kuitenkin tiedon siitä, että todistus on myönnetty.
         
            (169)  UK Government Guidance on National Security Certificates, kohta 15, ks. alaviite 167.
         
            (170)  UK Government Guidance on National Security Certificates, kohta 5, ks. alaviite 167.
         
            (171)  Ks. alaviite 164.
         
            (172)  Vuoden 2018 tietosuojalain 102 §:n mukaan rekisterinpitäjän on pystyttävä osoittamaan, että se on noudattanut vuoden 2018 tietosuojalakia. Tämä merkitsee sitä, että tiedustelupalvelun olisi osoitettava tietosuojavaltuutetulle, että se on poikkeukseen vedotessaan ottanut huomioon tapaukseen liittyvät erityisolosuhteet. Tietosuojavaltuutettu myös julkaisee tiedot kansallista turvallisuutta koskevista todistuksista seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/
         
            (173)  Upper Tribunal -tuomioistuimella on toimivalta käsitellä alempien hallintotuomioistuinten päätöksiä koskevat muutoksenhaut, ja sillä on erityinen toimivalta käsitellä tiettyjen hallintoelinten päätöksiä koskevat suorat muutoksenhaut.
         
            (174)  Vuoden 2018 tietosuojalain 111 §:n 3 momentti.
         
            (175)  Vuoden 2018 tietosuojalain 111 §:n 5 momentti.
         
            (176)  Asiassa Baker v Secretary of State (ks. alaviite 61) antamassaan tuomiossa Information Tribunal -tuomioistuin kumosi sisäasiainministerin antaman kansallista turvallisuutta koskevan todistuksen, koska se katsoi, ettei ollut syytä säätää yleisestä poikkeuksesta tiedonsaantioikeuteen vastaamista koskevaan velvollisuuteen, vaan että tällaisen poikkeuksen hyväksyminen kaikissa olosuhteissa ilman tapauskohtaista analyysiä ylittäisi sen, mikä on välttämätöntä ja oikeasuhteista kansallisen turvallisuuden suojaamiseksi.
         
            (177)  UK Government Guidance on National Security Certificates, kohta 25, ks. alaviite 167.
         
            (178)  Näitä ovat muun muassa seuraavat: i) 4 osan tietosuojaperiaatteet, lukuun ottamatta ensimmäisen periaatteen yhteydessä mainittua käsittelyn lainmukaisuutta koskevaa vaatimusta ja sitä, että käsittelyn on täytettävä jokin liitteissä 9 ja 10 säädetyistä ehdoista; ii) rekisteröityjen oikeudet; ja iii) velvollisuudet, jotka koskevat tietoturvaloukkauksista ilmoittamista tietosuojavaltuutetulle.
         
            (179)  Vuoden 2018 tietosuojalain 4 osa muodostaa oikeudellisen kehyksen, jota sovelletaan kaikentyyppiseen tiedustelupalvelujen suorittamaan henkilötietojen käsittelyyn (ei siis ainoastaan niiden suorittamiin kansallista turvallisuutta koskeviin tehtäviin). Siksi 4 osan säännöksiä sovelletaan myös silloin kun tiedustelupalvelut käsittelevät tietoja esimerkiksi henkilöstöhallinnon tarkoituksia varten tai riita-asian tai julkisten hankintojen yhteydessä. Liitteessä 11 lueteltuja rajoituksia on tarkoitus soveltaa pääasiassa näissä muissa yhteyksissä. Esimerkiksi työntekijää koskevan riita-asian yhteydessä on mahdollista vedota ”oikeudenkäyntiä” koskevaan rajoitukseen ja julkisen hankinnan yhteydessä ”neuvottelua” koskevaan rajoitukseen jne. Tämä on otettu huomioon tiedustelupalvelujen suorittamaa tietojenkäsittelyä koskevissa tietosuojavaltuutetun ohjeissa, joissa mainitaan esimerkkinä liitteessä 11 lueteltujen rajoitusten soveltamisesta työriidan sopimista koskevat neuvottelut tiedustelupalvelun ja sen entisen työntekijän välillä (ks. alaviite 161). Huomattakoon myös, että näitä rajoituksia voivat soveltaa myös muut viranomaiset vuoden 2018 tietosuojalain 2 osassa olevan liitteen 2 nojalla.
         
            (180)  Tietosuojan riittävyyttä koskevien perustelujen (UK Explanatory Framework) mukaan luokitusperusteisia poikkeuksia ovat: i) kruunun kunnianosoitusten ja kunniamerkkien myöntämistä koskevat tiedot; ii) asianajosalaisuus; iii) työsuhteeseen tai koulutukseen liittyvät luottamukselliset tiedot; ja iv) koepaperit ja arvosanat. Vahinkoperusteiset poikkeukset koskevat seuraavia seikkoja: i) rikosten ennalta estäminen tai paljastaminen; rikoksentekijöiden kiinniotto ja syytteeseenpano; ii) parlamentaarinen koskemattomuus; iii) oikeudenkäyntimenettelyt; iv) kruunun asevoimien taistelukyky; v) Yhdistyneen kuningaskunnan taloudellinen hyvinvointi; vi) rekisteröidyn kanssa käydyt neuvottelut; vii) tieteellinen tai historiallinen tutkimus tai tilastolliset tarkoitukset; viii) yleisen edun mukainen arkistointi. UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, sivu 13 (ks. alaviite 31).
         
            (181)  Suostumuksen käyttö ei vaikuta merkitykselliseltä tietosuojan riittävyyttä koskevan arvioinnin yhteydessä, koska Yhdistyneen kuningaskunnan lainvalvontaviranomainen ei kerää siirrettäviä tietoja suoraan EU:n rekisteröidyiltä suostumuksen perusteella.
         
            (182)  Asiaa koskeva oikeusperusta, ks. vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain (PACE 1984) 8 § ja sitä seuraavat pykälät (Englannin ja Walesin osalta), vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Order 1989) 10 § ja sitä seuraavat pykälät (Pohjois-Irlannin osalta); Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain (Criminal Justice (Scotland) Act 2016) 46 § ja konsolidoidun rikoslain (Criminal Law (Consolidation) (Scotland)) 23B §. Kiinnioton jälkeen annettavan etsintämääräyksen oikeusperustana ovat vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain (PACE 1984) 18 § (Englannin ja Walesin osalta), vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain (Police and Criminal Evidence Order 1989) 20 § ja sitä seuraavat pykälät (Pohjois-Irlannin osalta); Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain (Criminal Justice (Scotland) Act 2016) 46 §. Yhdistyneen kuningaskunnan viranomaiset ovat selventäneet, että etsintämääräykset antaa tuomioistuin tutkinnasta vastaavan virkamiehen hakemuksen perusteella. Etsintämääräyksen nojalla tutkijoilla on pääsy tiloihin etsimään tutkinnan kannalta merkityksellistä aineistoa tai henkilöitä; etsintämääräyksen täytäntöönpanoon tarvitaan usein poliisin apua.
         
            (183)  Kun tutkinta koskee rahanpesua (mukaan lukien menetetyksi tuomitseminen ja siviilioikeudellinen takaisinperintä), esittämismääräyksen hakemisessa käytettävä oikeusperusta on Englannin, Walesin ja Pohjois-Irlannin osalta rikoshyötyä koskevan lain (Proceeds of Crime Act 2002) 345 § ja sitä seuraavat pykälät ja Skotlannin osalta lain 380 §. Kun tutkinta koskee muita kysymyksiä kuin rahanpesua, esittämismääräystä voidaan hakea Englannin ja Walesin osalta vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 9 §:n ja liitteen 1 nojalla ja Pohjois-Irlannin osalta vuoden 1989 poliisista ja rikosasioiden todistusaineistosta annetun lain 10 §:n ja sitä seuraavien pykälien nojalla. Skotlannin osalta oikeusperusta perustuu common law -oikeuteen (ks. vuoden 2016 rikoslain 46 §) ja konsolidoidun rikoslain 23B §:ään. Yhdistyneen kuningaskunnan viranomaiset ovat selventäneet, että esittämismääräyksessä määrätään siinä mainittu henkilö esittämään hallussaan tai hallinnassaan oleva aineisto tai antamaan pääsy siihen (ks. vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain liitteessä 1 oleva 4 kohta).
         
            (184)  Esimerkiksi vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 8 ja 18 §:ssä säädetään valtuudet takavarikoida ja ottaa haltuun mikä tahansa etsintämääräyksessä mainittu aineisto.
         
            (185)  Lain 8 §:ssä säädetään rauhantuomarin valtuudesta myöntää lupa etsinnän suorittamiseen ja 18 §:ssä poliisin valtuudesta suorittaa etsintä. Ensimmäisessä tapauksessa (8 §) rauhantuomarin on ennen määräyksen antamista varmistuttava siitä, että on perusteltua uskoa, että i) on tapahtunut rikos, josta voidaan asettaa syytteeseen; ii) asianomaisissa tiloissa on aineistoa, jolla on rikoksen tutkinnan kannalta todennäköisesti huomattava merkitys (joko itsessään tai yhdessä muun aineiston kanssa); iii) aineisto on todennäköisesti merkityksellistä todistusaineistoa; iv) aineisto ei käsitä aineistoa, joka kuuluu asianajosalaisuuden piiriin tai jonka sisällyttäminen etsintään on kielletty tai johon sovelletaan erityismenettelyä; ja v) pääsy tiloihin ei olisi mahdollinen ilman etsintämääräystä. Jälkimmäisessä tapauksessa poliisi voi 18 §:n nojalla suorittaa etsinnän sellaisen henkilön tiloissa, joka on pidätetty rikoksesta, josta voidaan nostaa syyte. Etsintä voi kohdistua muuhun kuin asianajosalaisuuden kohteena olevaan aineistoon, jos on perusteltu syy uskoa, että tiloissa on todistusaineistoa, joka liittyy kyseiseen rikokseen tai muuhun vastaavaan tai siihen liittyvään rikokseen. Tällaisen etsinnän tulee rajoittua aineiston paljastamiseen ja siihen on oltava vähintään tarkastajan asemassa olevan poliisiviranomaisen antama kirjallinen lupa, paitsi jos etsintä on rikoksen tutkinnan kannalta välttämätön. Siinä tapauksessa etsinnästä on ilmoitettava vähintään tarkastajan asemassa olevalle poliisille heti kun se on etsinnän suorittamisen jälkeen mahdollista. Etsinnän perusteet ja etsittyjen todisteiden luonne on kirjattava. Lisäksi vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 15 ja 16 §:ssä säädetään lakisääteisistä takeista, joita on noudatettava etsintämääräystä haettaessa. Lain 15 §:ssä vahvistetaan vaatimukset etsintäluvan saamiselle (mukaan lukien poliisin tekemän hakemuksen sisältö ja se, että määräyksessä on täsmennettävä muun muassa säännös, jonka nojalla se myönnetään, ja yksilöitävä mahdollisuuksien mukaan etsittävät esineet, henkilöt ja tilat). Lain 16 §:ssä säädetään siitä, miten etsintämääräyksessä hyväksytty etsintä on suoritettava (esimerkiksi 16 §:n 5 kohdan mukaan etsinnän suorittavan poliisin on annettava tilojen haltijalle jäljennös etsintämääräyksestä; 16 §:n 11 kohdan mukaan etsintämääräys on säilytettävä 12 kuukauden ajan etsinnän suorittamisen jälkeen; 16 §:n 12 kohdan mukaan tilojen haltijalla on tänä aikana oikeus tutustua etsintämääräykseen). Nämä säännökset auttavat varmistamaan Euroopan ihmisoikeussopimuksen 8 artiklan noudattamisen (ks. esim. Kent Pharmaceuticals v Director of the Serious Fraud Office [2002] EWHC 3023 (QB) at [30] by Lord Woolf CJ). Jos näitä takeita ei noudateta, etsintä voidaan todeta laittomaksi (esimerkkejä mm. R (Brook) v Preston Crown Court [2018] EWHC 2024 (Admin), [2018] ACD 95; R (Superior Import / Export Ltd) v Revenue and Customs Commissioners [2017] EWHC 3172 (Admin), [2018] Lloyd’s Rep FC 115; ja R (F) v Blackfriars Crown Court [2014] EWHC 1541 (Admin)). Vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 15 ja 16 §:ää on täydennetty käytännesäännöillä (Code B of PACE), joilla säännellään poliisin etsintävaltuuksien käyttöä.
         
            (186)  Esimerkiksi annettaessa esittämismääräys vuoden 2002 rikoshyötyä koskevan lain nojalla on paitsi oltava perusteltu syy lain 346 §:n 2 momentin vaatimusten täyttämiseksi, on oltava perusteltu syy uskoa, että henkilöllä on hallussaan tai hallinnassaan määräyksessä yksilöity aineisto, jolla on todennäköisesti rikostutkinnan kannalta huomattava arvo. Toinen edellytys esittämismääräyksen antamiselle on, että on oltava perusteltu syy uskoa, että kyseisen aineiston esittäminen tai pääsyn antaminen siihen on yleisen edun mukaista, kun otetaan huomioon a) aineiston esittämisestä tutkinnalle todennäköisestä koituva hyöty; ja b) olosuhteet, joiden nojalla hakemuksessa todetaan, että kyseisen aineiston arvioidaan olevan hakemuksessa mainitun henkilön hallussa tai hallinnassa. Samoin tuomioistuimen on harkitessaan esittämismääräyksen myöntämistä vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain liitteen 1 nojalla varmistettava, että tietyt edellytykset täyttyvät. Kyseisessä liitteessä 1 asetetaan kaksi erillistä vaihtoehtoista edellytysten kokonaisuutta, joista toisen on täytyttävä ennen kuin tuomari voi antaa esittämismääräyksen. Ensimmäinen kokonaisuus edellyttää, että tuomarilla on perusteltu syy uskoa, että i) on tapahtunut rikos, josta voidaan nostaa syyte; ii) tiloista etsitty aineisto muodostuu aineistosta, johon sovelletaan erityismenettelyä, tai sisältää tällaista aineistoa, mutta ei aineistoa, jonka etsintä on kielletty; ii) aineistolla on rikoksen tutkinnan kannalta todennäköisesti huomattava merkitys joko itsessään tai yhdessä muun aineiston kanssa; iv) aineisto on todennäköisesti merkityksellistä todistusaineistoa; v) muita keinoja aineiston hankkimiseksi on joko yritetty tai ei ole yritetty, koska ne väistämättä epäonnistuisivat; ja vi) että on yleisen edun mukaista, että aineisto esitetään tai että siihen annetaan pääsy, sen jälkeen kun hän on harkinnut aineiston hankkimisesta tutkinnalle saatavaa hyötyä ja olosuhteita, joissa aineistoa hallussaan tai hallinnassaan pitävä henkilö on. Toiseen kokonaisuuteen sisältyvissä säännöksissä edellytetään, että i) tiloissa on aineistoa, johon sovelletaan erityismenettelyä tai jonka etsintä on kielletty; ii) aineistoa koskeva etsintämääräys olisi voitu antaa, ellei sitä olisi kielletty sellaisen lainsäädännön nojalla, jota sovelletaan erityismenettelyn, etsintäkiellon tai asianajosalaisuuden piiriin kuuluvaan aineistoon ja joka on annettu ennen vuoden 1984 poliisista ja rikosasioiden todistusaineistosta annettua lakia; ja iii) määräyksen antaminen olisi ollut asianmukaista.
         
            (187)  Viranomaisen päätökset voidaan riitauttaa High Court -tuomioistuimessa tuomioistuinvalvonnan puitteissa. Tällöin tuomioistuin tutkii riidanalaisen päätöksen sen selvittämiseksi, voidaanko sitä pitää oikeudellisesti virheellisenä, ottaen huomioon julkisoikeudellisen lain käsitteet ja periaatteet. Tuomioistuinvalvonnan keskeiset perusteet ovat nimittäin lainvastaisuus, epärationaalisuus, menettelyvirhe, oikeutetut odotukset ja ihmisoikeudet. Menestyksekkään tuomioistuinvalvonnan perusteella tuomioistuin voi määrätä erilaisia korjaavia toimenpiteitä. Yleisin näistä on kumoamismääräys (jolla kumotaan alkuperäinen päätös, eli tässä tapauksessa päätös etsintämääräyksen myöntämisestä). Joissain tapauksissa tähän voi kuulua myös rahallisen korvauksen myöntäminen. Lisätietoja tuomioistuinvalvonnasta Yhdistyneessä kuningaskunnassa on oikeusviraston (Government Legal Department) julkaisussa ”Judge Over Your Shoulder – a guide to good decision-making”, joka on saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/746170/JOYS-OCT-2018.pdf
         
            (188)  Vuoden 2018 tietosuojalain 36 §:n 1 momentti.
         
            (189)  Vuoden 2018 tietosuojalain 37 §.
         
            (190)  Vuonna 2016 tutkintavaltuuksista annetun lain 263 §:n 1 kohdan mukaan ”vakavalla rikoksella” tarkoitetaan rikosta, josta ensikertalaisen aikuisen voidaan kohtuudella odottaa saavan vähintään kolmen vuoden vankeustuomion, tai tekoa johon liittyy väkivallan käyttöä ja joka tuottaa huomattavaa taloudellista etua tai jonka on tehnyt suuri määrä henkilöitä. Vuonna 2016 tutkintavaltuuksista annetun lain 4 osan nojalla tapahtuvan viestintätietojen hankinnan osalta lain 87(10B) §:ssä säädetään lisäksi, että ”vakavalla rikoksella” tarkoitetaan rikosta, josta voidaan tuomita vähintään 12 kuukauden vankeusrangaistus, tai rikosta, jonka tekijä ei ole luonnollinen henkilö, tai jonka olennaisena osana on viestinnän lähettäminen tai henkilön yksityisyydensuojan loukkaaminen.
         
            (191)  Kohdennettua telekuuntelumääräystä voivat hakea erityisesti seuraavat lainvalvontaviranomaiset: kansallisen rikosviraston (National Crime Agency) johtaja, eri alueiden poliisijohtajat (Commissioner of Police of the Metropolis, Chief Constable of the Police Service of Northern Ireland, Chief Constable of the Police Service of Scotland), vero- ja tulliviraston päällikkö (Commissioner for Her Majesty’s Revenue and Customs), puolustustiedustelun päällikkö (Chief of Defence Intelligence) ja henkilö, joka toimii jonkin Yhdistyneen kuningaskunnan ulkopuolisen maan tai alueen toimivaltaisena viranomaisena keskinäistä avunantoa koskevan EU:n tai kansainvälisen välineen soveltamista varten (vuonna 2016 tutkintavaltuuksista annetun lain 18 §:n 1 momentti).
         
            (192)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 4 §.
         
            (193)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti ja viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt (Code of Practice on Bulk Acquisition of Communications Data), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf, 2.9 kohta.
         
            (194)  Laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, 2.2 kohta.
         
            (195)  Keskinäistä avunantoa koskevan määräyksen nojalla Yhdistyneen kuningaskunnan viranomainen voi antaa apua ulkomaan viranomaiselle telekuuntelua varten ja tällä tavoin hankitun aineiston luovuttamiseksi kyseiselle viranomaiselle keskinäistä avunantoa koskevan kansainvälisen välineen mukaisesti (vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 4 momentti).
         
            (196)  Vuonna 2016 tutkintavaltuuksista annettu laki (ks.: https://www.legislation.gov.uk/ukpga/2016/25/contents/enacted) korvattiin useita telekuuntelua, laitetutkintaa ja viestintätietojen hankintaa koskevia lakeja, ja muun muassa vuonna 2000 tutkintavaltuuksista annetun asetuksen I osa, jossa vahvistettiin aiempi lainvalvontaviranomaisten ja kansallisten turvallisuusviranomaisten tutkintavaltuuksien käyttöä koskeva sääntelykehys.
         
            (197)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentti, 158 §:n 1 momentti, 178 §:n 1 momentti ja 199 §:n 1 momentti.
         
            (198)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 osan 2 luvussa säädetään rajoitetusta määrästä tapauksia, joissa telekuuntelua voidaan suorittaa ilman erillistä määräystä. Näitä ovat muun muassa seuraavat: telekuuntelu lähettäjän tai vastaanottajan suostumuksella, telekuuntelu hallinnollisia tai täytäntöönpanotarkoituksia varten, telekuuntelu tietyissä laitoksissa (vankiloissa, psykiatrisissa sairaaloissa ja maahanmuuttajille tarkoitetuissa säilöönottokeskuksissa) sekä telekuuntelu asiaa koskevan kansainvälisen sopimuksen mukaisesti.
         
            (199)  Useimmissa tapauksissa vuonna 2016 tutkintavaltuuksista annetussa laissa tarkoitetun määräyksen antaa Secretary of State. Skotlannin ministereillä taas on valtuudet antaa kohdennettuja telekuuntelumääräyksiä, keskinäistä avunantoa koskevia määräyksiä ja kohdennettuja laitetutkintamääräyksiä, jos niiden kohteena olevat henkilöt tai tilat ovat Skotlannissa (ks. lain 22 ja 103 §). Kun on kyse kohdennetusta laitetutkinnasta, määräyksen voi antaa myös lainvalvontapäällikkö (ks. vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 6 oleva 1 ja 2 osa), jos lain 106 §:ssä säädetyt edellytykset täyttyvät.
         
            (200)  Oikeusvaltuutetut avustavat tutkintavaltuuksien valvojaa (Investigatory Powers Commissioner, IPC), joka on tutkintavaltuuksien käyttöä tiedustelupalveluissa valvova riippumaton elin (lisätietoja johdanto-osan (162) kappaleessa ja sitä seuraavissa kappaleissa).
         
            (201)  Ks. erityisesti vuonna 2016 tutkintavaltuuksista annetun lain 19 ja 23 §.
         
            (202)  Vuoden 2018 tietosuojalain 36 §:n 3 momentti.
         
            (203)  Vuoden 2017 digitaalitaloudesta annetun lain 56 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2017/30/section/56
         
            (204)  Vuoden 2017 digitaalitaloudesta annetun lain 48 §.
         
            (205)  Vuonna 2013 rikoksista ja tuomioistuimista annetun lain 7 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2013/22/section/7
         
            (206)  Vuonna 2007 vakavasta rikollisuudesta annetun lain 68 §, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2007/27/contents
         
            (207)  Authorised Professional Practice on Information Sharing, saatavilla seuraavassa osoitteessa: https://www.app.college.police.uk/app-content/information-management/sharing-police-information
         
            (208)  Ks. esimerkiksi asia M, R v the Chief Constable of Sussex Police [2019] EWHC 975 (Admin), jossa High Court -tuomioistuinta pyydettiin tarkastelemaan tietojen jakamista poliisin ja rikollisuuden vähentämistä edistävän yrityskumppanuusorganisaation Business Crime Reduction Partnership (BCRP) välillä; organisaatiolla oli valtuudet hallinnoida määräyksiä (exclusion notice), joilla tietyiltä henkilöiltä evättiin pääsy organisaation jäsenten liiketiloihin. Tuomioistuin totesi tarkastelunsa yhteydessä, että tietojen jakaminen perustui sopimukseen, jonka tarkoituksena oli suojella yleisöä ja ehkäistä rikollisuutta, ja katsoi lopulta, että se tapahtui valtaosaksi lainmukaisesti, eräitä arkaluontoisia tietoja lukuun ottamatta. Toinen esimerkki on asia Cooper v NCA [2019] EWCA Civ 16, jossa muutoksenhakutuomioistuin Court of Appeal hyväksyi tietojen jakamisen poliisin ja vakavaa järjestäytynyttä rikollisuutta käsittelevän viraston (Serious Organised Crime Agency, SOCA) välillä; tämä lainvalvontavirasto on nykyään osa kansallista rikosvirastoa (NCA).
         
            (209)  Vuoden 2018 tietosuojalain 36 §:n 4 momentti.
         
            (210)  Vuoden 2008 terrorismintorjuntalaki, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2008/28/section/19
         
            (211)  Intelligence Service Act 1994, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1994/13/contents
         
            (212)  Security Service Act 1989, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1989/5/contents
         
            (213)  Vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin mukaan ”Tiedustelupalvelun päällikkö vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, — a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi ja että se ei paljasta mitään tietoja muutoin kuin siltä osin kuin se on tarpeen — i) kyseistä tarkoitusta varten; ii) kansallisen turvallisuuden vuoksi; iii) vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi; tai iv) rikosasian käsittelyä varten; ja b) että tiedustelupalvelu ei ryhdy mihinkään toimiin minkään Yhdistyneen kuningaskunnan poliittisen puolueen etujen edistämiseksi”. Vuoden 1989 turvallisuuspalveluja koskevan lain 2 §:n 2 momentin mukaan taas ”Pääjohtaja vastaa palvelun tehokkuudesta, ja hänen velvollisuutensa on varmistaa, — a) että käytössä on järjestelyt sen varmistamiseksi, että tiedustelupalvelu hankkii tietoja yksinomaan siltä osin kuin ne ovat tarpeen sen tehtävien hoitamiseksi ja että se paljastaa tietoja vain siltä osin kuin se on tarpeen kyseistä tarkoitusta varten tai vakavan rikollisuuden ehkäisemiseksi tai paljastamiseksi tai rikosasian käsittelyä varten; ja b) että palvelu ei ryhdy mihinkään toimiin minkään poliittisen puolueen etujen edistämiseksi; ja c) että kansallisen rikosviraston (NCA) kanssa on sovittu järjestelyistä, joilla tämän lain 1 §:n 4 momentin nojalla suoritettavia palvelun toimia koordinoidaan poliisin, kansallisen rikosviraston ja muiden lainvalvontavirastojen toimien kanssa”.
         
            (214)  Ks. vuoden 2018 tietosuojalain 3 osan 5 luku.
         
            (215)  Vuoden 2018 tietosuojalain 76 §.
         
            (216)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 ja 130 §. Tiedot luovuttavan viranomaisen on tarkasteltava tarvetta määrätä erityisiä suojatoimia tiedoille, jotka on tarkoitus luovuttaa ulkomaisille viranomaisille, jotta voidaan varmistaa, että tietoihin sovelletaan niiden säilyttämistä, tuhoamista ja luovuttamista koskevia suojatoimia, jotka vastaavat vuonna 2016 tutkintavaltuuksista annetun lain 53 ja 129 §:ssä säädettyjä suojatoimia.
         
            (217)  Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan hallituksen ja Amerikan yhdysvaltojen hallituksen välinen sopimus sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/836969/CS_USA_6.2019_Agreement_between_the_United_Kingdom_and_the_USA_on_Access_to_Electronic_Data_for_the_Purpose_of_Countering_Serious_Crime.pdf
         
            (218)  Tämä on ensimmäinen sopimus, joka on tehty tietojen käyttöä ulkomailla koskevan Yhdysvaltojen lain (Clarifying Lawful Overseas Use of Data, CLOUD Act) nojalla. Tässä liittovaltion tasolla 23. maaliskuuta 2018 annetussa laissa selvennetään vuoden 1986 viestintätietojen säilyttämistä koskevan lain (Stored Communications Act of 1986) muutoksen avulla, että Yhdysvaltojen palveluntarjoajien on tietojen sisällön ja muun kuin sisältötietojen paljastamisen osalta noudatettava Yhdysvaltojen määräyksiä riippumatta siitä, missä kyseisiä tietoja säilytetään. CLOUD Act -laissa sallitaan myös täytäntöönpanosopimusten tekeminen ulkomaiden hallitusten kanssa, ja yhdysvaltalaiset palveluntarjoajat voivat näiden sopimusten perusteella luovuttaa sisältötietoja suoraan kyseisille ulkomaiden hallituksille (lain teksti on saatavilla seuraavassa osoitteessa: https://www.congress.gov/115/bills/s2383/BILLS-115s2383is.pdf)
         
            (219)  Sopimuksen 1 artiklan 14 kohta.
         
            (220)  Sopimuksen 5 artiklan 2 kohta.
         
            (221)  Sopimuksen 5 artiklan 1 kohta.
         
            (222)  Sopimuksen 4 artiklan 5 kohta. Reaaliaikaiseen telekuunteluun sovelletaan tiukempia lisävaatimuksia: määräyksen voimassaolo on rajoitettava siihen, mikä on kohtuudella tarpeen sen tavoitteiden saavuttamiseksi, ja se voidaan antaa vain jos samoja tietoja ei voida kohtuudella saada vähemmän yksityisyyteen puuttuvilla keinolla (sopimuksen 5 artiklan 3 kohta).
         
            (223)  Amerikan yhdysvaltojen ja Euroopan unionin sopimus rikosten ennalta estämiseen, tutkimiseen, paljastamiseen ja rikoksia koskeviin syytetoimiin liittyvien henkilötietojen suojasta (EUVL L 336, 10.12.2016, s. 3–13), saatavilla seuraavassa osoitteessa: https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=CELEX:22016A1210(01)&from=FI
         
            (224)  Sopimuksen 9 artiklan 1 kohta.
         
            (225)  Sopimuksen 9 artiklan 1 kohta.
         
            (226)  Vuoden 2018 tietosuojalain 116 §.
         
            (227)  Ks. vuonna 2016 tutkintavaltuuksista annettu laki ja erityisesti sen 8 osan 1 luku.
         
            (228)  Vuoden 2018 tietosuojalain liitteessä 13 oleva 2 kohta.
         
            (229)  Tällä voidaan määrätä rekisterinpitäjä ja henkilötietojen käsittelijä (ja tietyissä tapauksissa kuka tahansa muu henkilö) toimittamaan tarvittavat tiedot (vuoden 2018 tietosuojalain 142 §).
         
            (230)  Tämän nojalla voidaan suorittaa tutkimuksia ja tarkastuksia, joita varten rekisterinpitäjää tai henkilötietojen käsittelijää voidaan vaatia antamaan tietosuojavaltuutetulle pääsy tiettyihin tiloihin ja oikeus tarkastaa tai tutkia asiakirjoja tai laitteita sekä kuulla henkilöitä, jotka käsittelevät henkilötietoja rekisterinpitäjän puolesta (vuoden 2018 tietosuojalain 146 §).
         
            (231)  Tämän avulla voidaan käyttää korjaavia toimivaltuuksia määräämällä rekisterinpitäjiä / henkilötietojen käsittelijöitä toteuttamaan tai kielletään niitä toteuttamasta tiettyjä toimenpiteitä (vuoden 2018 tietosuojalain 149 §).
         
            (232)  Vuoden 2018 tietosuojalain 154 §.
         
            (233)  Vuoden 2018 tietosuojalain 155 §.
         
            (234)  Regulatory Action Policy, ks. alaviite 96.
         
            (235)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2018–19 (ks. alaviite 101).
         
            (236)  Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2019-20 (ks. alaviite 82).
         
            (237)  Tietokantaan talletetaan tiedustelutietoa oletetuista jengien jäsenistä ja jengirikollisuuden uhreista.
         
            (238)  Ks. tietosuojavaltuutetun lausunto, saatavilla seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/07/oaic-and-ico-open-joint-investigation-into-clearview-ai-inc/
         
            (239)  Vuoden 2018 tietosuojalain 170 §.
         
            (240)  Vuoden 2018 tietosuojalain 171 §.
         
            (241)  Vuoden 2018 tietosuojalain 119 §:n 6 momentti.
         
            (242)  Varainhoitovuoden 1. huhtikuuta 2019–31. maaliskuuta 2020 aikana tietosuojavaltuutetun tutkimusten perusteella on annettu neljä varoitusta ja nostettu kahdeksan syytettä. Syytteet nostettiin vuoden 1998 tietosuojalain 55 §:n, vuoden 2000 tiedonvapauslain 77 §:n ja vuoden 2018 tietosuojalain 170 §:n nojalla. Vastaajat myönsivät syyllisyytensä 75 prosentissa tapauksista, minkä ansiosta vältyttiin pitkiltä oikeudenkäynneiltä ja niistä aiheutuvilta kustannuksilta. (Tietosuojavaltuutetun vuosikertomus ja varainhoitovuoden tilinpäätös 2019–2020 (ks. alaviite 87, s. 40).
         
            (243)  Toimi on perustettu vuoden 2012 vapauksien suojelusta annetulla lailla (Protection of Freedoms Act 2012) (ks.: https://www.legislation.gov.uk/ukpga/2012/9/contents). Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu päättää muun muassa, saako poliisi säilyttää DNA-tunnisteet ja sormenjäljet, jotka on otettu vakavasta rikoksesta (qualifying offence) epäillyltä henkilöltä, joka on pidätetty mutta jota vastaan ei ole nostettu syytettä (vuonna 1984 poliisista ja rikosasioiden todistusaineistosta annetun lain 63 G §). Biometristen materiaalien säilyttämisestä ja käytöstä vastaavalla valtuutetulla on lisäksi yleinen vastuu valvoa DNA:n ja sormenjälkien säilyttämistä ja käyttöä sekä kansalliseen turvallisuuteen liittyvistä syistä tapahtuvaa säilyttämistä (vuonna 2012 poliisista ja rikosasioiden todistusaineistosta annetun lain 20 §:n 2 momentti). Biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu nimitetään julkisia nimityksiä koskevien hallintosääntöjen nojalla (saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/governance-code-for-public-appointments ). Hänen toimeksiannostaan käy selvästi ilmi, että sisäasiainministeri voi erottaa hänet tehtävistään vain tarkoin määritellyissä olosuhteissa. Tällainen olosuhde voi olla esim. se, että hän on laiminlyönyt tehtäviensä hoidon kolmen kuukauden ajan, rikostuomio tai toimeksiannon ehtojen noudattamatta jättäminen.
         
            (244)  Valvontakameravaltuutetun toimi on perustettu vuoden 2012 vapauksien suojelusta annetulla lailla. Tehtävänä on edistää valvontakameran käytöstä annettujen käytännesääntöjen (Surveillance Camera Code of Practice) noudattamista, tarkastella käytännesääntöjen toimivuutta ja antaa ministereille neuvoja käytännesääntöjen tarkistamisesta. Valvontakameravaltuutettu nimitetään samojen sääntöjen mukaan kuin biometristen materiaalien säilyttämisestä ja käytöstä vastaava valtuutettu, ja hänellä on samanlaiset toimivaltuudet, resurssit ja suoja virasta erottamista vastaan.
         
            (245)  Ks. https://committees.parliament.uk/committee/83/home-affairs-committee/news/100537/work-of-the-national-crime-agency-scrutinised/
         
            (246)  Muiden erityisvaliokuntien tavoin myös sisäasioiden erityisvaliokuntaan sovelletaan parlamentin työjärjestystä (Standing Orders of the House of Commons). Parlamentin hyväksymällä työjärjestyksellä säännellään parlamentin toimintaa. Erityisvaliokuntien tehtäväkenttä on laaja: työjärjestyksen 152 §:n 1 momentin mukaan niiden tehtävänä on tarkastella saman pykälän 2 momentissa lueteltujen hallituksen tärkeimpien yksikköjen ja niihin liittyvien julkisten elinten menoja, hallintoa ja toimintaperiaatteita. Tämän nojalla sisäasiain erityisvaliokunta voi tarkastella kaikkia sisäasiainministeriön politiikkatoimia, mukaan lukien tutkintavaltuuksiin liittyvää toimintapolitiikkaa (ja niihin liittyvää lainsäädäntöä). Lisäksi työjärjestyksen 152 §:n 4 momentissa täsmennetään, että valiokunnilla on erilaisia valtuuksia, kuten valtuudet pyytää henkilöitä antamaan todistajanlausuntoja tai esittämään asiakirjoja tietystä aiheesta, ja laatia raportteja. Valiokunnan tutkimukset ovat saatavilla seuraavassa osoitteessa: https://committees.parliament.uk/committee/83/home-affairs-committee/.
         
            (247)  Sisäasiain erityisvaliokunnan toimivaltuudet Englannissa ja Walesissa esitetään parlamentin työjärjestyksessä, joka on saatavilla seuraavassa osoitteessa: https://www.parliament.uk/business/publications/commons/standing-orders-public11/.
         
            (248)  Saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201415/cmselect/cmhaff/711/71103.htm
         
            (249)  Saatavilla seuraavassa osoitteessa: https://committees.parliament.uk/committee/83/home-affairs-committee
         
            (250)  Skotlannissa alavaliokunnan työjärjestys on saatavilla seuraavassa osoitteessa: https://www.parliament.scot/parliamentarybusiness/CurrentCommittees/justice-committee.aspx. Pohjois-Irlannin valiokunnan työjärjestys on saatavilla seuraavassa osoitteessa: http://www.niassembly.gov.uk/assembly-business/standing-orders/]
         
            (251)  Tietosuojavaltuutetun viimeisimmässä vuosikertomuksessa jaotellaan vastaanotetut ja käsitellyt valitukset tyypeittäin. ”Poliisitoimintaa ja rikosrekistereitä” koskevia valituksia on 6 prosenttia kaikista valituksista (lisäystä 1 prosentti edelliseen varainhoitovuoteen verrattuna). Vuosikertomuksen mukaan suurin osa valituksista koskee rekisteröityjen tekemiä tietopyyntöjä (46 prosenttia kaikista valituksista, lisäystä 8 prosenttia edelliseen varainhoitovuoteen verrattuna) (tietosuojavaltuutetun vuosikertomus 2019–2020, s. 55; ks. alaviite 88).
         
            (252)  Vuoden 2018 tietosuojalain 166 §:ssä viitataan nimenomaisesti seuraaviin tilanteisiin: a) tietosuojavaltuutettu ei ole toteuttanut asianmukaisia toimenpiteitä valitukseen vastaamiseksi, b) tietosuojavaltuutettu ei ole antanut valituksen tekijälle tietoja tutkinnan etenemisestä tai sen tuloksesta kolmen kuukauden kuluessa siitä kun tietosuojavaltuutettu on vastaanottanut valituksen, tai c) jos tietosuojavaltuutettu ei tee valituksen perusteella ratkaisua tai ei anna valituksen tekijälle tutkintaa koskevia tietoja em. kolmen kuukauden määräajan kuluessa.
         
            (253)  First Tier Tribunal -tuomioistuin on toimivaltainen käsittelemään hallituksen sääntelyelinten päätöksiä koskevat muutoksenhaut. Kun muutoksenhaku koskee tietosuojavaltuutetun päätöstä, toimivaltainen jaosto on ”yleinen sääntelyjaosto” (General Regulatory Chamber), joka on toimivaltainen koko Yhdistyneessä kuningaskunnassa.
         
            (254)  Vuoden 2018 tietosuojalain 166 §. Esimerkki kyseisessä tuomioistuimessa nostetuista menestyksekkäistä kanteista tietosuojavaltuutettua vastaan on tapaus, jossa tietosuojavaltuutettu ilmoitti ottaneensa vastaan rekisteröidyn tekemän valituksen, mutta ei ilmoittanut, mihin toimiin sen perusteella ryhdyttäisiin. Tuomioistuin määräsi tietosuojavaltuutetun vahvistamaan 21 kalenteripäivän kuluessa, aloitettaisiinko valituksen perusteella tutkimus ja ilmoittamaan mahdollisen tutkimuksen etenemisestä rekisteröidylle tämän jälkeen vähintään 21 kalenteripäivän välein (tuomiota ei ole vielä julkaistu). Toisessa tapauksessa tuomioistuin katsoi, ettei ollut selvää, oliko tietosuojavaltuutetun vastaus valituksen tekijälle ”tulos” asian käsittelystä (ks. Susan Milne v The Information Commissioner [2020], tuomio on saatavilla seuraavassa osoitteessa: https://informationrights.decisions.tribunals.gov.uk/DBFiles/Decision/i2730/Milne,%20S%20-%20QJ2020-0296-GDPR-V,%20051220%20Section%20166%20DPA%20-DECISION.pdf)
         
            (255)  Vuoden 2018 tietosuojalain 162 ja 163 §.
         
            (256)  Ks. Esimerkiksi asia Brown v Commissioner of Police of the Metropolis & Anor [2019] EWCA Civ 1724, jossa tuomioistuin myönsi kantajalle 9 000 punnan vahingonkorvauksen vuoden 1998 tietosuojalain ja vuoden 1998 ihmisoikeuslain nojalla henkilötietojen lainvastaisen hankkimisen ja väärinkäytön perusteella. Asiassa R (on the application of Bridges) v Chief Constable of South Wales [2020] EWCA Civ 1058 muutoksenhakutuomioistuin katsoi, että Walesin poliisi oli ottanut kasvojentunnistusjärjestelmän käyttöön lainvastaisesti ja loukannut siten ihmisoikeussopimuksen 8 artiklaa, ja että rekisterinpitäjän laatima tietosuojaa koskeva vaikutustenarviointi ei ollut vuoden 2018 tietosuojalain mukainen.
         
            (257)  Euroopan ihmisoikeussopimuksen 34 artiklassa määrätään seuraavaa: ”Tuomioistuin voi ottaa vastaan valituksia, joissa yksityishenkilö, kansalaisjärjestö tai ryhmä väittää jonkun korkeista sopimuspuolista loukanneen heidän yleissopimuksessa tai sen pöytäkirjoissa tunnustettuja oikeuksiaan. Korkeat sopimuspuolet eivät saa millään tavoin estää tämän oikeuden tehokasta käyttöä.”
         
            (258)  MI5 kuuluu sisäasiainministerin alaisuuteen. MI5:n tehtävät esitetään vuoden 1989 turvallisuuspalvelulaissa: kansallisen turvallisuuden suojelu (mukaan lukien suojelu vakoilun, terrorismin ja sabotaasin sekä ulkovaltojen agenttien toiminnan aiheuttamilta uhkilta ja sellaisia toimia vastaan, joiden tarkoituksena on kumota parlamentaarinen demokratia tai heikentää sitä poliittisin, teollisin tai väkivaltaisin keinoin), Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen ulkopuolisia uhkia vastaan ja poliisin ja muiden lainvalvontaviranomaisten toiminnan tukeminen vakavan rikollisuuden ehkäisemisessä ja paljastamisessa.
         
            (259)  SIS toimii ulkoasiainministeriön alaisuudessa, ja sen tehtävät esitetään vuoden 1994 tiedustelupalvelulaissa. SIS:n tehtävänä on hankkia ja antaa tietoja Brittein saarten ulkopuolisten henkilöiden toimista ja aikomuksista ja suorittaa muita tehtäviä, jotka liittyvät tällaisten henkilöiden toimintaan tai aikomuksiin. Näitä tehtäviä voidaan hoitaa ainoastaan kansallisen turvallisuuden ja Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin edistämiseksi tai vakavan rikollisuuden ehkäisemisen tai paljastamisen tukemiseksi.
         
            (260)  GCHQ toimii ulkoasiainministeriön alaisuudessa, ja sen tehtävät esitetään vuoden 1994 tiedustelupalvelulaissa. Sen tehtävänä on a) seurata ja hyödyntää sähkömagneettista ja muuta säteilyä ja tällaista säteilyä tuottavia laitteita tai puuttua niihin, hankkia ja toimittaa edelleen tällaisesta säteilystä tai laitteista ja salatusta aineistosta saatuja tai niihin liittyviä tietoja; b) antaa asevoimille, hallitukselle ja muille asianmukaisiksi katsotuille organisaatioille tai henkilöille kieliin liittyvää neuvontaa ja apua, mukaan lukien teknisiin kysymyksiin ja salaukseen liittyvä terminologia ja muut tietojen suojaamiseen liittyvät seikat. Näitä tehtäviä voidaan hoitaa ainoastaan kansallisen turvallisuuden ja Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin edistämiseksi, kun kyseessä ovat Brittein saarten ulkopuolisten henkilöiden toimet ja aikomukset, tai vakavan rikollisuuden ehkäisemisen tai paljastamisen tukemiseksi.
         
            (261)  Muita kansalliseen turvallisuuteen liittyviä tehtäviä hoitavia julkisia elimiä ovat puolustustiedustelu (Defence Intelligence, DI), kansallinen turvallisuusneuvosto ja sen sihteeristö (National Security Council and Secretariat) sekä yhteinen tiedusteluorganisaatio (Joint Intelligence Organisation, JIO) ja yhteinen tiedustelukomitea (Joint Intelligence Committee, JIC). JIO ja JIC eivät kuitenkaan voi käyttää vuonna 2016 tutkintavaltuuksista annetun lain mukaisia tutkintavaltuuksia, ja DI voi käyttää niitä vain rajoitetusti.
         
            (262)  Kielto koskee sekä julkisia että yksityisiä viestintäverkkoja ja julkisia postipalveluja, kun tietojen hankinta tapahtuu Yhdistyneessä kuningaskunnassa. Kielto ei koske yksityisen verkon rekisterinpitäjää, jos tämä on antanut telekuunteluun nimenomaisen tai implisiittisen suostumuksen (vuonna 2016 tutkintavaltuuksista annetun lain 3 §).
         
            (263)  Tietyissä erityistapauksissa telekuuntelu voi olla laillista myös ilman määräystä, esimerkiksi kun siihen on saatu lähettäjän tai vastaanottajan suostumus (vuonna 2016 tutkintavaltuuksista annetun lain 44 §), tai kun se tapahtuu rajoitettuja hallinnollisia tai lainvalvontatarkoituksia varten (lain 45–48 §) tai tietyissä erityislaitoksissa (lain 49–51 §) ja ulkomaisten pyyntöjen perusteella (lain 52 §).
         
            (264)  Esimerkiksi näiden toimenpiteiden (viestintätietojen säilyttäminen ja hankinta) soveltamisalasta säädetään lain 3 ja 4 osassa, että soveltamisala liittyy tiukasti niiden teleoperaattorien määritelmään, joiden käyttäjien tietoihin toimenpide kohdistuu. Toinen esimerkki koskee ns. laajamittaisten tutkintavaltuuksien käyttöä. Niiden osalta soveltamisala on rajoitettu ”viestintään, jonka lähettäjä tai vastaanottaja on Brittein saarten ulkopuolella”.
         
            (265)  Vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 7 määritetään käytännesääntöjen soveltamisala, niiden antamisessa noudatettava menettely, niiden tarkistamista koskevat säännöt ja käytännesääntöjen vaikutukset.
         
            (266)  Vuonna 2016 tutkintavaltuuksista annettuun lakiin liittyvät käytännesäännöt ovat saatavilla seuraavassa osoitteessa: https://www.gov.uk/government/publications/investigatory-powers-act-2016-codes-of-practice
         
            (267)  Tuomioistuimissa käytännesääntöjen perusteella arvioidaan viranomaisten toiminnan lainmukaisuutta. Ks. esimerkiksi asia Dias v Cleveland Police, [2017] UKIPTrib15_586-CH. Tutkintavaltuuksia käsittelevä tuomioistuin viittasi viestintätietoja koskevien käytännesääntöjen (Code of Practice on Communication Data) tiettyihin kohtiin, jotta voitaisiin ymmärtää ”rikoksen ehkäisemistä tai paljastamista tai epäjärjestyksen ehkäisemistä” koskevan perusteen määritelmä, jonka nojalla viestintätietojen hankkimista haettiin. Käytännesääntöihin viitattiin arvioinnissa sen selvittämiseksi, oliko perustetta käytetty virheellisesti. Tuomioistuin katsoi, että riidanalaiset menettelytavat olivat lainvastaisia. Tuomioistuimet ovat myös arvioineet käytännesääntöihin sisältyvien suojatoimien tasoa. Esimerkiksi asiassa Just for Law Kids v Secretary of State for the Home Department [2019] EWHC 1772 (Admin) High Court katsoi, että primaari- ja sekundaarilainsäädäntö yhdessä sisäisen ohjeistuksen kanssa tarjoavat riittävät takeet; tai asia R (National Council for Civil Liberties) v Secretary of State for the Home Department & Others [2019] EWHC 2057 (Admin), jossa se katsoi, että sekä vuonna 2016 tutkintavaltuuksista annettu laki että laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference) sisältävät määräysten yksityiskohtaisuuden osalta riittävät säännökset.
         
            (268)  EIT:n suuri jaosto katsoi asiassa Big Brother Watch, että kyseiset käytännesäännöt ovat julkinen asiakirja, joka on hyväksytty molemmissa parlamentin kamareissa ja jonka hallitus on julkaissut sekä verkossa että paperiversiona. Sekä laitetutkintaan liittyviä tehtäviä suorittavien että tuomioistuinten on otettava ne huomioon (ks. 93–94 kohta edellä). Näin ollen EIT hyväksyy, että käytännesäännöt voidaan ottaa huomioon arvioitaessa tutkintavaltuuksista annetun asetuksen ennakoitavuutta (ks. em. asia Kennedy, 157 kohta). EIT myös toteaa, että kotimainen lainsäädäntö oli riittävästi ”saatavilla” (accessible). (ks. EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, hakemukset N:o 58170/13, 62322/14 ja 24960/15, 25.5.2021, 366 kohta.)
         
            (269)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 osa.
         
            (270)  Vuonna 2016 tutkintavaltuuksista annetun lain 3 osa.
         
            (271)  Vuonna 2016 tutkintavaltuuksista annetun lain 4 osa.
         
            (272)  Vuonna 2016 tutkintavaltuuksista annetun lain 5 osa.
         
            (273)  Luettelo lainvalvontaviranomaisista, jotka voivat käyttää kohdennettuja tutkintavaltuuksia vuoden 2016 lain nojalla, ks. alaviite (139).
         
            (274)  Vuonna 2016 tutkintavaltuuksista annetun lain 136 §.
         
            (275)  Vuonna 2016 tutkintavaltuuksista annetun lain 158 §.
         
            (276)  Vuonna 2016 tutkintavaltuuksista annetun lain 176 §.
         
            (277)  Vuonna 2016 tutkintavaltuuksista annetun lain 199 §.
         
            (278)  Telekuuntelua koskevissa käytännesäännöissä selvennetään, että oikeasuhteisuuden arvioinnissa on otettava huomioon myös i) ehdotetun yksityisyyteen puuttumisen laajuus suhteessa toimella tavoiteltuun tulokseen; ii) se, miten ja miksi käytettävillä menetelmillä aiheutettaisiin mahdollisimman vähän häiriöitä asianomaiselle henkilölle ja muille; iii) se, edustaako suunniteltu toiminta kyseisen lain asianmukaista käyttöä ja onko se järkevä tapa saavuttaa tavoiteltu tulos, kun otetaan huomioon kaikki kohtuulliset vaihtoehdot; iv) mitä muita soveltuvia menetelmiä ei joko ole käytetty lainkaan tai joita on käytetty, mutta jotka on arvioitu riittämättömiksi operatiivisten tavoitteiden toteuttamiseksi ilman ehdotettujen tutkintavaltuuksien käyttöä. Code of Practice on Interception of Communications, 4.16 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf
         
            (279)  Ks. Code of Practice on Interception of Communications, 4.12 ja 4.15 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715480/Interception_of_Communications_Code_of_Practice.pdf
         
            (280)  Ks. Code of Practice on Interception of Communications, 4.16 kohta.
         
            (281)  Erityisraportoijan Yhdistyneeseen kuningaskuntaan tekemän arviointimatkan loppuraportti (End of Mission Statement of the Special Rapporteur on the Right to Privacy at the Conclusion Of his Mission to the United Kingdom of Great Britain and Northern Ireland), saatavilla seuraavassa osoitteessa: https://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=23296&LangID=E, kohta 1.a.
         
            (282)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 2 momentti.
         
            (283)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 4 momentti.
         
            (284)  Vuonna 2016 tutkintavaltuuksista annetun lain 15 §:n 2 momentti.
         
            (285)  Toissijaisella datalla tarkoitetaan tietoja, jotka on liitetty tai jotka loogisesti liittyvät kuunneltuun viestintään ja jotka voidaan loogisesti erottaa siitä, minkä jälkeen näistä tiedoista ei paljastuisi mitään siitä, mitä voitaisiin kohtuudella pitää kyseisen viestinnän sisältönä (jos sellaista on). Esimerkkejä toissijaisesta datasta ovat reititinkokoonpanot ja palomuurit tai aika, jona reititin on toiminut verkossa, kun ne ovat osa kuunneltua viestintää tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen. Lisätietoja tästä määritelmästä on vuonna 2016 tutkintavaltuuksia koskevan lain 16 §:ssä ja telekuuntelua koskevien käytännesääntöjen 2.19 kohdassa, ks. alaviite 278.
         
            (286)  Tutkinta suoritetaan poikkeuksena suhteessa vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 4 momenttiin, jossa kielletään yksilöimästä Brittein saarilla olevien yksityishenkilöiden viestintää. Ks. johdanto-osan (229)kappale.
         
            (287)  Skotlannin ministeri hyväksyy määräyksen, jos se liittyy vakavaan rikollisuuteen Skotlannissa (ks. vuonna 2016 tutkintavaltuuksista annetun lain 21 ja 22 §). Secretary of State voi valtuuttaa johtavan virkamiehen antamaan keskinäistä avunantoa koskevan määräyksen (mutual assistance warrant), jos telekuuntelu kohdistuu Yhdistyneen kuningaskunnan ulkopuolella olevaan henkilöön tai tiloihin (vuoden 2016 lain 40 §).
         
            (288)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 ja 23 §.
         
            (289)  Vuonna 2016 tutkintavaltuuksista annetun lain 32 §.
         
            (290)  Vuonna 2016 tutkintavaltuuksista annetun lain 39 §. Nimetyt henkilöt voivat tehdä määräyksiin rajoitettuja muutoksia vuonna 2016 tutkintavaltuuksista annetussa laissa asetetuin edellytyksin. Määräyksen antaja voi milloin tahansa perua määräyksen. Määräys on peruttava, jos se ei ole enää tarpeen minkään asian kannalta merkityksellisen perusteen mukaan tai jos määräyksessä sallittu toimi ei ole enää oikeasuhteinen tavoiteltuun tulokseen nähden.
         
            (291)  Vuonna 2016 tutkintavaltuuksista annetun lain 33 §. Määräyksen uusimista koskevalle päätökselle on saatava oikeusvaltuutetun hyväksyntä.
         
            (292)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 §.
         
            (293)  EIT (suuri jaosto) on katsonut asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 268 edellä), kohta 371, että käsite ”taloudellisen hyvinvoinnin turvaaminen Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle ” liittyy riittävällä tavalla kansalliseen turvallisuuteen. EIT:n päätelmä liittyy käsitteen käyttöön vuonna 2000 tutkintavaltuuksista annetun asetuksen yhteydessä, mutta käsitettä käytetään myös vuonna 2016 tutkintavaltuuksista annetussa laissa.
         
            (294)  Vuonna 2016 tutkintavaltuuksista annetun lain 20 §:n 2 momentti.
         
            (295)  Vuonna 2016 tutkintavaltuuksista annetun lain 20 §:n 3 momentti.
         
            (296)  Vuoden 2016 tietosuojalain 19 §:n 1 momentin b alakohta, 19 §:n 2 momentin b alakohta ja 19 §:n 3 momentin b alakohta.
         
            (297)  Pyydettyihin tietoihin kuuluvat yksityiskohtaiset taustatiedot (henkilöiden/organisaatioiden/tilojen kuvaus ja kuuntelun kohteena oleva viestintä) ja se, miten näiden tietojen hankkiminen hyödyttää tutkimuksia sekä kuvaus toiminnasta, johon lupaa pyydetään. Jos henkilöitä/organisaatioita/tiloja ei ole mahdollista kuvailla, hakemuksessa on selitettävä, miksi se ei ollut mahdollista tai miksi se on tehty vai yleisellä tasolla (Code of Practice on Interception of Communications, 5.32 ja 5.34 kohta, ks. alaviite 278).
         
            (298)  Vuonna 2016 tutkintavaltuuksista annetun lain 17 §:n 2 momentti. Ks. myös Code of Practice of Interception of Communications, 5.11 kohta ja sitä seuraavat kohdat, ks. alaviite 278.
         
            (299)  Vuonna 2016 tutkintavaltuuksista annetun lain 31 §:n 4 ja 5 momentti.
         
            (300)  Vuonna 2016 tutkintavaltuuksista annetun lain 31 §:n 8 momentti.
         
            (301)  Code of Practice of Interception of Communications, 5.37 ja 5.38 kohta, ks. alaviite 278.
         
            (302)  Oikeusvaltuutetun hyväksyntää ei vaadita, kun Secretary of State katsoo, että määräys on annettava kiireellisesti (tutkintavaltuuksista annetun lain 19 §:n 1 momentti). Oikeusvaltuutetulle on kuitenkin ilmoitettava asiasta lyhyen määräajan kuluessa, ja hänen on päätettävä, hyväksyykö hän määräyksen vai ei. Jos hän ei hyväksy määräystä, sen vaikutukset lakkaavat (vuonna 2016 tutkintavaltuuksista annetun lain 24 ja 25 §).
         
            (303)  Vuonna 2016 tutkintavaltuuksista annetun lain 23 §:n 1 momentti.
         
            (304)  Vuonna 2016 tutkintavaltuuksista annetun lain 23 §:n 2 momentti.
         
            (305)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 44–51 § ja telekuuntelua koskevien käytännesääntöjen 12 § (ks. alaviite 278).
         
            (306)  Näin on esimerkiksi silloin kun kuuntelu on tarpeen vankilassa tai psykiatrisessa sairaalassa (säilöön otetun henkilön tai potilaan tarkkailua varten) tai kun postitoiminnan harjoittajan tai teleoperaattorin on esimerkiksi paljastettava loukkaava sisältö.
         
            (307)  Ks. kuitenkin vuonna 2016 tutkintavaltuuksista annetun lain 229 §:n 4 momentti.
         
            (308)  Vuonna 2016 tutkintavaltuuksista annetun lain 26–29 §:ssä säädetään rajoituksista, jotka koskevat kohdennettua kuuntelua ja tutkintaa koskevien määräysten myöntämistä silloin kun niiden kohteena olevan viestinnän lähettäjä tai vastaanottaja on (minkä tahansa Yhdistyneen kuningaskunnan) parlamentin jäsen, tai kun määräyksen tarkoituksena on hankkia asianajosalaisuuden piiriin kuuluvaa aineistoa tai viestintää, jonka hankkimista hakeva viranomainen uskoo sisältävän luottamuksellista journalistista aineistoa, ja kun määräyksen tarkoituksena on yksilöidä tai vahvistaa journalistisen tiedon lähde.
         
            (309)  Vuonna 2016 tutkintavaltuuksista annetun lain 26 §.
         
            (310)  Vuonna 2016 tutkintavaltuuksista annetun lain 19 §:n 1 momentti.
         
            (311)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 §. Suojatoimia, jotka koskevat tietojen luovuttamista ulkomaiden viranomaisille, täsmennetään tarkemmin käytännesäännöissä: ks. erityisesti Code of Practice on the Interception of Communications, 9.26 kohta ja sitä seuraavat kohdat ja 9.87 kohta, sekä Code of Practice on Equipment Interference, 9.33 kohta ja sitä seuraavat kohdat ja 9.41 kohta (ks. alaviite 278).
         
            (312)  Näitä tarkoituksia ovat: turvallisuuspalvelun (Security Service) osalta vakavan rikollisuuden ehkäiseminen tai paljastaminen tai rikosoikeudenkäyntimenettely (vuoden 1989 turvallisuuspalvelulain 2 §:n 2 momentin a alakohta), tiedustelupalvelun Intelligence Service) osalta kansalliseen turvallisuuteen liittyvät intressit, vakavan rikollisuuden ehkäiseminen tai paljastaminen tai rikosoikeudenkäyntimenettely (vuoden 1994 tiedustelupalvelulain 2 §:n 2 momentin a alakohta) ja tiedustelupalvelun (GCHQ) rikosoikeudenkäyntimenettely (vuoden 1994 tiedustelupalvelulain 4 §:n 2 momentin a alakohta). Ks. myös vuoden 2018 tietosuojalain selittävät huomautukset, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/2018/12/contents/enacted.
         
            (313)  Viestintätietojen määritelmä on vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentissa. Viestintätiedot jaetaan ”tapahtumaa koskeviin tietoihin” (tiedot, joissa yksilöidään tai kuvaillaan jokin tapahtuma, esimerkiksi viittaamalla sen tapahtumapaikkaan tai televiestintäpalveluun, jos tapahtumalla tarkoitetaan yhden tai useamman yksikön osallistumista tiettyyn toimintaan tiettynä ajankohtana) ja ”yksikköä koskeviin tietoihin” a) tiedot, jotka koskevat i) tiettyä yksikköä, ii) televiestintäpalvelun ja jonkin yksikön välistä yhteyttä, tai iii) televiestintäjärjestelmän minkä tahansa osan ja jonkin yksikön välistä yhteyttä, b) tiedot, jotka muodostuvat tiedoista tai joihin sisältyy tietoja, joissa yksilöidään tai kuvaillaan kyseinen yksikkö (esimerkiksi viittaamalla sen sijaintiin), ja c) tiedot, jotka eivät ole tapahtumaa koskevia tietoja).
         
            (314)  Tämä johtuu viestintätietojen määritelmästä (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti), jonka mukaan viestintätiedoilla tarkoitetaan teleoperaattorin hallussa olevia tai sen hankkimia tietoja, jotka koskevat joko televiestintäpalvelun käyttäjää ja kyseisen palvelun tarjoamista, tai jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (ks. myös viestintätietoja koskevat käytännesäännöt, saatavilla seuraavassa osoitteessa:https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/757850/Communications_Data_Code_of_Practice.pdf, 2.22–2.33 kohta). Myös teleoperaattorin määritelmän (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 10 momentti) mukaan teleoperaattorilla tarkoitetaan henkilöä, joka tarjoaa tai toimittaa televiestintäpalvelua Yhdistyneessä kuningaskunnassa oleville henkilöille tai jonka hallinnassa oleva tai tarjoama televiestintäjärjestelmä sijaitsee (kokonaan tai osittain) Yhdistyneessä kuningaskunnassa tai jota hallitaan Yhdistyneestä kuningaskunnasta. Näiden määritelmien perusteella on selvää, että vuonna 2016 tutkintavaltuuksista annettuun lakiin perustuvia velvoitteita ei voida soveltaa teleoperaattoreihin, joiden laitteet eivät ole Yhdistyneessä kuningaskunnassa tai jota ei hallita sieltä käsin ja jotka eivät tarjoa tai toimita palveluja Yhdistyneessä kuningaskunnassa oleville henkilöille (ks. myös viestintätietoja koskevat käytännesäännöt, 2.1 kohta). Jos EU:n tilaajat (sekä EU:ssa että Yhdistyneessä kuningaskunnassa sijaitsevat) käyttävät palveluja Yhdistyneessä kuningaskunnassa, kaikki tämän palvelun tarjoamiseen liittyvä viestintä kerätään suoraan Yhdistyneen kuningaskunnan palveluntarjoajan toimesta sen sijaan, että se siirrettäisiin EU:sta.
         
            (315)  Asianomaiset viranomaiset luetellaan vuonna 2016 tutkintavaltuuksista annetun lain liitteessä 4. Niitä ovat muun muassa poliisi, tiedustelupalvelut, eräät ministeriöt ja hallituksen yksiköt, kansallinen rikosvirasto NCA, vero- ja tullivirasto, kilpailu- ja markkinaviranomainen, tietosuojavaltuutettu, ambulanssi-, tulipalo- ja pelastuspalvelut sekä esimerkiksi terveydenhuollosta ja elintarviketurvallisuudesta vastaavat viranomaiset.
         
            (316)  Yhdistetyt asiat C-203/15 ja C-698/15, Tele2/Watson, ECLI:EU:C:2016:970.
         
            (317)  Ks. 61 §:n 7 kohdan b alakohta (viestintätietojen hankinta) ja 87 §:n 10A momentti (viestintätietojen säilyttäminen).
         
            (318)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 6 momentti.
         
            (319)  Määräaika lyhennetään kolmeen päivään, kun lupa on annettu kiireellisyyssyistä (vuonna 2016 tutkintavaltuuksista annetun lain 65 §:n 3 momentin A kohta).
         
            (320)  Vuonna 2016 tutkintavaltuuksista annetun lain 65 §:n mukaan uusittu lupa on voimassa yhden kuukauden alkuperäisen luvan voimassaolon päättymispäivästä. Henkilö, joka on myöntänyt luvan, voi milloin tahansa peruuttaa sen, jos katsoo, että vaatimukset eivät enää täyty.
         
            (321)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 1 momentti. Viestintätietojen hankkimista koskevista luvista vastaava toimisto Office for Communications Data Authorisations (OCDA) hoitaa tätä tehtävää tutkintavaltuuksien valvojan puolesta (ks. Communication Data Codes of Practice, 5.6 kohta).
         
            (322)  Hakemus vuonna 2016 tutkintavaltuuksista annetun lain 61 §:n 7 momentin b alakohdan nojalla tehdään ”soveltuvaa rikoksesta johtuvaa tarkoitusta” varten, mikä tarkoittaa lain 61 §:n 7 momentin A kohdan mukaan seuraavaa: ”kun viestintätiedot ovat kokonaan tai osittain tapahtumaa koskevia tietoja, ja tarkoituksena on vakavan rikoksen ehkäiseminen tai paljastaminen; kaikissa muissa tapauksissa rikoksen ehkäiseminen tai paljastaminen tai epäjärjestyksen ehkäiseminen”.
         
            (323)  Viestintätietoja koskevissa käytännesäännöissä täsmennetään, että silloin kun kansalliseen turvallisuuteen liittyvä hakemus voidaan tehdä joko 60A tai 61 §:n nojalla, viranomaiset tekevät päätöksen siitä, kumpi hyväksymismenettely soveltuu kyseiseen tapaukseen paremmin. Viranomaisilla olisi oltava selkeät ohjeet siitä, milloin on asianmukaista antaa lupapäätöksen tekeminen nimetyn johtavan virkamiehen tehtäväksi” (Code of Practice on Communication Data, 5.19 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/822817/Communications_Data_Code_of_Practice.pdf).
         
            (324)  Vuonna 2016 tutkintavaltuuksista annetun lain 70 §:n 3 momentissa on ”nimetyn virkamiehen” määritelmä, joka vaihtelee sen mukaan, mistä viranomaisesta on kyse (ks. lain 4 §).
         
            (325)  Lisätietoja nimetyn johtavan virkamiehen riippumattomuudesta, ks. Communication Data Code of practice, 4.12–4.17 kohta, ks. alaviite 323).
         
            (326)  Perusteet ovat seuraavat: i) kansallinen turvallisuus; ii) rikoksen estäminen ja paljastaminen tai epäjärjestyksen ehkäiseminen (jos on kyse ”tapahtumaa koskevista tiedoista”, vain vakavan rikoksen yhteydessä); iii) Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen, jos sillä on merkitystä myös kansalliselle turvallisuudelle; iv) yleinen turvallisuus; v) kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttäminen tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittaminen; vi) osallistuminen tuomioistuimen tekemää virhettä koskeviin tutkimuksiin tai vii) kuolleen henkilön tunnistaminen tai sellaisen henkilön tunnistaminen, joka ei tietystä syystä kykene ilmaisemaan henkilöllisyyttään (vuonna 2016 tutkintavaltuuksista annetun lain 61 §:n 7 momentti).
         
            (327)  Vuonna 2016 tutkintavaltuuksista annetun lain 60A §:n 1 momentin b alakohta.
         
            (328)  The Code of Practice on Communications Data, 3.3 kohta ja sitä seuraavat kohdat, ks. alaviite 323.
         
            (329)  The Code of Practice on Communications Data, 3.13 kohta, ks. alaviite 323.
         
            (330)  Vuonna 2016 tutkintavaltuuksista annetun lain 60 §:n 1 momentin c alakohta.
         
            (331)  Näissä tiedoissa on oltava: i) selvitys siitä, miten tietojen hankkiminen edistää kyseistä tutkimusta tai operaatiota; ii) selvitys pyynnössä mainittujen ajanjaksojen merkityksestä ja siitä, miten ne ovat oikeassa suhteessa tutkittavaan tapahtumaan; ii) selvitys siitä, miten yksityisyyteen puuttumisen taso on perusteltavissa, kun otetaan huomioon tiedoista tutkimuksille koituva hyöty (näissä perusteluissa olisi otettava huomioon myös se, voitaisiinko tavoitteen saavuttamiseksi tehdä tutkimuksia, joilla yksityisyyteen puututtaisiin vähemmän); iv) selvitys asianomaisen yksilön oikeuksista (erityisesti oikeudesta yksityisyyteen ja tarvittaessa ilmaisunvapauteen), ja pohdintaa näihin oikeuksiin puuttumisen vuoksi yksilölle aiheutuvasta haitasta suhteessa tutkinnalle koituvaan hyötyyn; v) tietoja mahdollisista sivuvaikutuksista ja siitä, miten pyynnössä mainitut ajanjaksot vaikuttavat niiden aiheutumiseen (Code of Practice on Communications Data, 3.22–3.26 kohta, ks. alaviite 323).
         
            (332)  Ks. alaviite 313.
         
            (333)  Kun pyyntö koskee viestintätietoja, jotka merkitsevät laajempaa puuttumista yksityisyyteen (esimerkiksi tapahtumia koskevia tietoja), käytännesäännöissä täsmennetään, että on suositeltavaa hankkia ensin yksikköä koskevat tiedot tai hankkia suoraan tapahtumia koskevat tiedot erityisen kiireellisissä rajoitetuissa tapauksissa (Code of Practice on Communications Data, 6.10–6.14 kohta, ks. alaviite 323).
         
            (334)  The Code of Practice on Communications Data, 8.8–8.44 kohta, ks. alaviite 323.
         
            (335)  Käytännesäännöissä täsmennetään, että luvan myöntäjän on tällaisia hakemuksia käsitellessään noudatettava erityistä varovaisuutta ja otettava huomioon muun muassa se, voiko tällaisista hakemuksista aiheutua tahattomia seurauksia ja edistääkö hakemus todella yleistä etua (Code of Practice on communications data, 8.8 kohta). Tämäntyyppisistä hakemuksista on lisäksi pidettävä kirjaa, ja ne olisi seuraavan tarkastuksen yhteydessä tuotava erityisesti tutkintavaltuuksien valvojan huomioon (Code of Practice on Communications Data, 8.10 kohta, ks. alaviite 323).
         
            (336)  Vuonna 2016 tutkintavaltuuksista annetun lain 87–89 §.
         
            (337)  Teleoperaattori, jolle säilyttämismääräys annetaan, voi pyytää sen antaneelta Secretary of Statelta luvan uudelleentarkastelua vuonna 2016 tutkintavaltuuksista annetun lain 90 §:n nojalla.
         
            (338)  Vuonna 2016 tutkintavaltuuksista annetun lain 87 §:n 2 momentin a alakohdan nojalla säilyttämismääräys voi liittyä ”tiettyyn operaattoriin tai mihin tahansa operaattorin kuvaukseen”.
         
            (339)  Perusteet ovat i) kansallinen turvallisuus; ii) ”soveltuva rikoksesta johtuva tarkoitus” (kuten se määritellään vuonna 2016 tutkintavaltuuksista annetun lain 87 §:n 10A kohdassa); iii) Yhdistyneen kuningaskunnan taloudellisen hyvinvoinnin turvaaminen, jos sillä on merkitystä myös kansalliselle turvallisuudelle; iv) yleinen turvallisuus; v) kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttäminen tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittaminen; vi) osallistuminen tuomioistuimen tekemää virhettä koskeviin tutkimuksiin (vuonna 2016 tutkintavaltuuksista annetun lain 87 §).
         
            (340)  Vuonna 2016 tutkintavaltuuksista annetun lain 87 §. Lisäksi säilyttämismääräyksen oikeasuhteisuuden arvioinnissa on asiaa koskevien käytännesääntöjen mukaan sovellettava vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momenttia ja arvioitava erityisesti sitä, voitaisiinko määräyksellä tavoiteltu tulos kohtuudella saavuttaa vähemmän yksityisyyteen puuttuvilla keinoilla. Viestintätietoja koskevissa käytännesäännöissä täsmennetään, että samoin kuin viestintätietojen hankkimisen oikeasuhteisuuden arvioinnissa, myös tässä yhteydessä on otettava huomioon yhtäältä se, missä määrin toimenpiteellä puututaan yksilön yksityisyydensuojaan, ja toisaalta tutkinnalle koituva hyöty (Code of Practice on Communications Data, kohta 16.3, ks. alaviite 323).
         
            (341)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 88 §.
         
            (342)  Hyöty voi olla jo toteutunut tai ennustettavissa, ja sen on liityttävä niihin lakisääteisiin tarkoituksiin, joiden vuoksi tietoja voidaan säilyttää (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).
         
            (343)  Tätä varten on määritettävä, onko säilyttämismääräyksen koko maantieteellinen kattavuus tarpeellinen ja oikeasuhteinen ja onko tiettyjen henkilöiden kuvausten sisällyttäminen määräykseen tai pois jättäminen tarpeen ja oikeasuhteista (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).
         
            (344)  Tämän avulla Secretary of Staten on helpompi ottaa huomioon sekä asiakkaiden yksityisyyteen puuttumisen taso, mutta myös säilytettävien tietojen ansiosta todennäköisesti koituva hyöty (Code of Practice on Communications Data, 17.17 kohta, ks. alaviite 323).
         
            (345)  Vuonna 2016 tutkintavaltuuksista annetun lain 88 §.
         
            (346)  Vuonna 2016 tutkintavaltuuksista annetun lain 89 §.
         
            (347)  Vuonna 2016 tutkintavaltuuksista annetun lain 135 §:n 1 kohdan ja 198 §:n 1 kohdan nojalla ”laitteella” tarkoitetaan laitteita, jotka tuottavat sähkömagneettista, akustista tai muuta säteilyä ja laitteita, joita voidaan käyttää yhdessä tällaisten laitteiden kanssa.
         
            (348)  Laitetutkintaa koskevat käytännesäännöt (Code of Practice on Equipment Interference), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715479/Equipment_Interference_Code_of_Practice.pdf, 2.2 kohta.
         
            (349)  Laitetiedoilla tarkoitetaan vuonna 2016 tutkintavaltuuksista annetun lain 100 §:ssä olevan määritelmän mukaan järjestelmätietoja ja a) tietoja, jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (joko lähettäjän toimesta tai muulla tavoin) tai mitä tahansa muuta tiedon osaa; b) tietoja, jotka voidaan loogisesti erottaa muusta viestinnästä tai muusta tiedon osasta, ja c) tietoja, jotka tällä tavoin erotettuina eivät paljastaisi mitään siitä, mitä voitaisiin kohtuudella pitää kyseisen viestinnän tai tiedon osan sisältönä (jos sellaista on).
         
            (350)  Määräystä koskevan vaatimuksen pakollisuudelle asetetaan lisäksi vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa edellytykseksi se, että tiedustelupalvelun toiminta muodostaisi yhden tai useamman vuonna 1990 tietokoneiden väärinkäytöstä annetun lain (Computer Misuse Act 1990) 1–3A §:ssä tarkoitetun rikoksen. Tämä edellytys täyttyykin valtaosassa tapauksista, ks. Code of Practice on Equipment Interference, 3.32 ja 3.6–3.9 kohta). Vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 2 momentin nojalla ”Brittein saariin liittyvä yhteys” on olemassa, jos a) mikä tahansa osa toiminnasta tapahtuisi Brittein saarilla (tutkinnan kohteena olevan laitteen sijainnista riippumatta), b) tiedustelupalvelu uskoo, että tutkinnan kohteena oleva laite on Brittein saarilla jonakin ajankohtana tutkinnan aikana, tai c) tutkinnan tarkoituksena on saada i) viestintää, jotka on lähettänyt henkilö tai jotka on lähetetty henkilölle, joka on tai jonka tiedustelupalvelu uskoo olevan parhaillaan Brittein saarilla, ii) yksityisiä tietoja henkilöstä, joka on tai jonka tiedustelupalvelu uskoo olevan parhaillaan Brittein saarilla, tai iii) laitetietoja, jotka ovat osa i) tai ii) alakohdan soveltamisalaan kuuluvaa viestintää tai yksityisiä tietoja tai liittyvät niihin.
         
            (351)  Kattavuuden vuoksi olisi todettava, että myös silloin kun ”Brittein saariin liittyvää yhteyttä” ei ole, jolloin laitetutkinta ei edellytä vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentissa säädettyä pakollista määräystä, tiedustelupalvelun olisi periaatteessa hankittava laajamittaista laitetutkintaa koskeva määräys (bulk equipment interference warrant), jos se harkitsee tällaisen toiminnan aloittamista ja määräyksen saaminen on mahdollista (ks. Code of Practice on Equipment Interference, 3.24 kohta). Myös silloin kun laitetutkintaa koskevaa määräystä ei oikeudellisesti vaadita vuonna 2016 tutkintavaltuuksista annetun lain nojalla eikä sitä ole myöskään hankittu, tiedustelupalvelujen toimiin sovelletaan vuoden 1994 tiedustelupalvelulain (Intelligence Services Act 1994) 7 §:n nojalla useita edellytyksiä ja rajoituksia. Näitä ovat muun muassa vaatimus Secretary of Staten antamasta luvasta; tämän on oltava vakuuttunut siitä, että mikään suunnitelluista toimista ei ylitä sitä, mikä on tarpeen tiedustelupalvelun tehtävien asianmukaista hoitamista varten.
         
            (352)  Vuonna 2016 tutkintavaltuuksista annetun lain 115 §:n mukaan tutkintamääräyksessä on oltava ”kohteena” olevien henkilöiden, organisaatioiden, paikkojen tai henkilöryhmien nimi tai niiden kuvaus, minkä lisäksi siinä on kuvailtava tutkinnan luonne ja toiminta, johon laitetta käytetään. Siinä on myös kuvailtava laitteen tyyppi ja se, mitä toimia henkilö, jolle määräys on osoitettu, saa toteuttaa.
         
            (353)  Ks. myös Code of Practice on Equipment Interference, 5.7 kohta, ks. alaviite 348.
         
            (354)  Kansalliset turvallisuusvirastot voivat hakea laitetutkintaa koskevaa määräystä, kun se on tarpeen kansallisen turvallisuuden vuoksi, vakavan rikoksen paljastamiseksi ja/tai taloudellisen hyvinvoinnin turvaamiseksi Yhdistyneessä kuningaskunnassa, jos sillä on merkitystä myös kansalliselle turvallisuudelle (vuonna 2016 tutkintavaltuuksista annetun lain 102–103 §). Virastosta riippuen laitetutkintamääräystä voidaan pyytää lainvalvontatarkoituksessa, kun se on tarpeen vakavan rikoksen ehkäisemiseksi tai paljastamiseksi tai kuolemantapausten tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon välttämiseksi tai vammojen tai henkilön fyysiselle terveydelle tai mielenterveydelle aiheutuvan vahingon rajoittamiseksi (vuonna 2016 tutkintavaltuuksista annetun lain 106 §:n 1 ja 3 momentti).
         
            (355)  Vuonna 2016 tutkintavaltuuksista annetun lain 102 §:n 1 momentti.
         
            (356)  Vuonna 2016 tutkintavaltuuksista annetun lain 129–131 §.
         
            (357)  Vuonna 2016 tutkintavaltuuksista annetun lain 109 §.
         
            (358)  Vuonna 2016 tutkintavaltuuksista annetun lain 109 §:n 4 momentti.
         
            (359)  Vuoden 2016 tietosuojalain 110 §:n 3 momentin b kohta. Laitetutkintaa koskevien käytännesääntöjen 5.67 kohdan nojalla asian kiireellisyys määräytyy sen mukaan, olisiko operatiivisten tai tutkintaan liittyvien tarpeiden täyttämiseen käytettävissä olevan ajan puitteissa kohtuudella mahdollista pyytää määräykselle oikeusvaltuutetun hyväksyntää. Kiireellisten määräysten tulisi kuulua jompaankumpaan seuraavista luokista: i) välitön hengenvaara tai vakavan haitan uhka – esimerkiksi jos henkilö on siepattu ja hänen arvioidaan olevan välittömässä hengenvaarassa; tai ii) kyseessä on ajallisesti rajoitettu tilaisuus tiedustelutiedon keräämiseen tai tutkinnan suorittamiseen – esimerkiksi A-luokan huumausainelähetys on saapumassa Yhdistyneeseen kuningaskuntaan ja lainvalvontaviranomaiset haluavat seurata vakavan rikoksen tekijöitä pidättääkseen heidät. Ks. alaviite 348.
         
            (360)  Vuonna 2016 tutkintavaltuuksista annetun lain 108 §.
         
            (361)  Riippumaton terrorismilainsäädännön arvioija lordi David Anderson toteaa vuonna 2016 tutkintavaltuuksista annetun lain hyväksymistä varten antamassaan laajamittaisia tutkintavaltuuksia koskevassa raportissa, että ”pitäisi olla selvää, että laajamittainen tietojen kerääminen ja säilyttäminen ei ole sama asia kuin nk. joukkovalvonta. Kaikkiin asianmukaisiin oikeusjärjestelmiin sisältyy rajoituksia ja suojatoimia, joiden tarkoituksena on nimenomaan varmistaa, että pääsyä arkaluontoisiin tietoihin (...) ei myönnetä umpimähkään tai aiheettomasti.
            Tämä lakiesitys sisältää juuri tällaisia rajoituksia ja suojatoimia
            ”. Lordi David Anderson, Report of the bulk power review, elokuu 2016, kohta 1.9 (alleviivaus lisätty), saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/546925/56730_Cm9326_WEB.PDF
         
            (362)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentti. Ks. esim. viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt (Code of Practice on Bulk Acquisition of Communications Data), 4.11 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf
         
            (363)  ”Brittein saariin” kuuluvat Yhdistynyt kuningaskunta, Kanaalisaaret ja Man-saari, ks. määritelmä vuoden 1978 laintulkintaa koskevan lain (Interpretation Act 1978) liitteessä 1, saatavilla seuraavassa osoitteessa: https://www.legislation.gov.uk/ukpga/1978/30/schedule/1.
         
            (364)  ”Ulkomaihin liittyvällä viestinnällä” tarkoitetaan vuonna 2016 tutkintavaltuuksista annetun lain 136 §:n mukaan: i) viestintää, jonka lähettäjät ovat Brittein saarten ulkopuolella, tai ii) jonka vastaanottajat ovat Brittein saarten ulkopuolella. Yhdistyneen kuningaskunnan viranomaiset ovat vahvistaneet, että järjestelmä kattaa myös viestinnän kahden sellaisen henkilön välillä, jotka ovat kumpikin Brittein saarten ulkopuolella. EIT (suuri jaosto) on katsonut asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 279 edellä), kohta 376, että vastaava rajaus (”ulkoinen viestintä”), joka koski viestinnän sieppaamista laajamittaisen telekuuntelun avulla vuonna 2000 tutkintavaltuuksista annetun asetuksen nojalla, oli riittävä ja ennakoitavissa.
         
            (365)  Vuonna 2016 tutkintavaltuuksista annetun lain 136 §:n 4 momentti. Yhdistyneen kuningaskunnan hallitukselta saadun selvityksen mukaan laajamittaista telekuuntelua voidaan käyttää esimerkiksi Yhdistyneen kuningaskunnan kansalliseen turvallisuuteen kohdistuvien, aiemmin tuntemattomien uhkien tunnistamiseen, suodattamalla ja analysoimalla telekuuntelun avulla hankittua aineistoa tiedustelun kannalta arvokkaan viestinnän yksilöimiseksi (UK Explanatory Framework, H jakso: National security, s. 27–28, ks. alaviite 29). Yhdistyneen kuningaskunnan viranomaisten antaman selvityksen mukaan tällaisten välineiden avulla voidaan löytää tunnettujen kohdehenkilöiden välisiä yhteyksiä ja etsiä jälkiä sellaisten henkilöiden toiminnasta, joita ei vielä tunneta mutta jotka nousevat esiin tutkinnan aikana, sekä tunnistaa toimintamalleja, jotka voivat viitata Yhdistyneeseen kuningaskuntaan kohdistuvaan uhkaan.
         
            (366)  Tiedustelupalvelu tarvitsee laitetutkintaan vuonna 2016 tutkintavaltuuksista annetun lain 13 §:n 1 momentin nojalla luvan, joka annetaan määräyksellä (warrant) kyseisen lain nojalla edellyttäen, että asialla on ”Brittein saariin liittyvä yhteys”, ks. johdanto-osan (211) kappale.
         
            (367)  Vuonna 2016 tutkintavaltuuksista annetun lain 176 §. Laajamittaista laitetutkintaa koskevalla määräyksellä ei voida antaa lupaa toimintaan, joka katsottaisiin laittomaksi telekuunteluksi (ellei sitä tehtäisi lakiin perustuvien valtuuksien nojalla), paitsi jos se kohdistuu tallennettuun viestintään. Tietosuojan riittävyyttä koskevien perustelujen (UK Explanatory Framework) mukaan näin hankittuja tietoja voidaan tarvita kohdehenkilöiden yksilöintiin, ja toiminta hyväksyttäisiin yleensä suuren mittakaavan operaatioiden yhteydessä (UK Explanatory Framework, section H: National security, s. 28, ks. alaviite 29).
         
            (368)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentti ja 178 §:n 1 momentti.
         
            (369)  Vuonna 2016 tietosuojalain 138 §:n 2 momentti ja 178 §:n 2 momentti.
         
            (370)  Yhdistyneen kuningaskunnan viranomaisten mukaan operatiivisen tarkoituksen nojalla voidaan esimerkiksi rajoittaa toimenpiteen soveltamisala koskemaan tietyllä maantieteellisellä alueella esiintyvää uhkaa.
         
            (371)  Vuonna 2016 tutkintavaltuuksista annetun lain 142 §:n 4–10 momentti.
         
            (372)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), 167 kohta.
         
            (373)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §:ssä edellytetään, että a) valinta tutkintaa varten tehdään ainoastaan määräyksessä eriteltyjä operatiivisia tarkoituksia varten, b) valinta on kaikissa olosuhteissa tarpeellinen ja oikeasuhteinen, ja c) valinta ei riko vaatimusta, jonka mukaan on kiellettyä valita aineistoa ja yksilöidä viestejä, jotka on lähetetty tai jotka on osoitettu henkilöille, joiden tiedetään olevan Brittein saarilla kyseisenä ajankohtana.
         
            (374)  Ks. Code of Practice on Interception of Communications, 6.6 kohta, ks. alaviite 278.
         
            (375)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentin b ja c alakohta ja 178 §:n b ja c alakohta.
         
            (376)  Ks. Code of Practice on Interception of Communications, 4.10 kohta, ks. alaviite 278.
         
            (377)  Code of Practice on Interception of Communications, 6.20 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, 6.13 kohta, ks. alaviite 348.
         
            (378)  Vuonna 2016 tutkintavaltuuksista annetun lain 138 §:n 1 momentin g alakohta ja 178 §:n 1 momentin f alakohta. Euroopan ihmisoikeustuomioistuin on todennut, että erityisesti riippumattoman elimen antama ennakkolupa on tärkeä suojatoimi väärinkäytöksiä vastaan laajamittaisen kuuntelun yhteydessä. EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 269 edellä), 351 ja 352 kohta. On tärkeää muistaa, että mainittu tuomio koski aiempaa oikeudellista kehystä (vuonna 2000 tutkintavaltuuksista annettu asetus), jossa ei vielä ollut kaikkia niitä suojatoimia, jotka otettiin käyttöön vuonna 2016 tutkintavaltuuksista annetulla lailla (mm. riippumattoman oikeusvaltuutetun ennakkohyväksyntä).
         
            (379)  Vuonna 2016 tutkintavaltuuksista annetun lain 159 §:n 3 ja 4 momentti.
         
            (380)  Vuonna 2016 tutkintavaltuuksista annetun lain 143–146 § ja 184–188 §. Jos muutos on kiireellinen, Secretary of State voi tehdä sen ilman hyväksyntää, mutta hänen on ilmoitettava siitä oikeusvaltuutetulle, jonka on tämän jälkeen joko hyväksyttävä tai hylättävä muutos (vuonna 2016 tutkintavaltuuksista annetun lain 147 §). Määräys on peruttava, jos se ei ole enää tarpeellinen tai oikeasuhteinen tai jos sen nojalla saadun sisällön, metadatan tai muun datan tutkinta ei ole enää tarpeen mitään määräyksessä mainittua operatiivista tarkoitusta varten (vuonna 2016 tutkintavaltuuksista annetun lain 148 ja 189 §).
         
            (381)  Code of Practice on Interception of Communications, 6.44–6.47 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, 6.48 kohta, ks. alaviite 348.
         
            (382)  Vuonna 2016 tutkintavaltuuksista annetun lain 156 §.
         
            (383)  Vuonna 2016 tutkintavaltuuksista annetun lain 150 ja 191 §.
         
            (384)  EIT (suuri jaosto) on asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 268 edellä) hyväksynyt vuonna 2000 tutkintavaltuuksista annettuun asetukseen perustuvan täydentävien suojatoimien järjestelmän, joka koskee tietojen säilyttämistä, niihin pääsyä ja niiden luovuttamista, ks. 392–394 ja 402–405 kohta. Vuonna 2016 tutkintavaltuuksista annetussa laissa vahvistetaan sama suojatoimien järjestelmä.
         
            (385)  Vuonna 2016 tutkintavaltuuksista annetun lain 151 ja 192 §.
         
            (386)  Lisätietoja näistä tarkoituksista, ks. alaviite 312.
         
            (387)  Telekuuntelua koskevissa käytännesäännöissä täsmennetään tältä osin, että näissä käsittelyjärjestelmissä käsiteltävä data on saatu kyseisen viranomaisen valikoimien tietoliikenneyhteyksien tai -signaalien avulla. Linkkien ja signaalien kautta kulkevaan tietoliikenteeseen sovelletaan jonkinasteista suodatusta, jonka avulla siitä valikoidaan ne viestityypit, joilla arvioidaan olevan tiedusteluarvoa. Suodatusperiaatteet vaihtelevat eri käsittelyjärjestelmien välillä, ja niiden soveltamisen seurauksena huomattava osa näiden linkkien ja signaalien kautta kulkevista viesteistä jätetään automaattisesti huomiotta, koska niillä ei katsota olevan tiedusteluarvoa. Tämän jälkeen voidaan tehdä lisää monimutkaisia hakuja, jotta saadaan esiin ne tiedustelun kannalta kiinnostavimmat viestit, jotka liittyvät viraston lakisääteisiin tehtäviin. Nämä viestit voidaan sitten valita tutkittaviksi yhtä tai useampaa määräyksessä mainittua operatiivista tarkoitusta varten, jos tarpeellisuutta ja oikeasuhteisuutta koskevat edellytykset täyttyvät. Valtuutetut henkilöt voivat myös valikoida tutkittavaksi vain suodattamatonta aineistoa (Codes of practice on interception of communications, 6.6 kohta, ks. alaviite 278).
         
            (388)  Ks. vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 1 momentin a ja b alakohta, joiden mukaan kumpaakin tietotyyppiä (siepattu sisältö ja toissijainen data) saa tutkia vain yksilöityä tarkoitusta varten, ja tutkinnan on oltava kaikissa olosuhteissa tarpeen ja oikeasuhteista.
         
            (389)  Tällainen määräys ei ole tarpeen, jos Brittein saarilla oleviin yksilöihin liittyvät tiedot ovat ”toissijaista dataa” (ks. vuonna 2016 tutkintavaltuuksista annetun lain 152 §:n 1 momentin c alakohta).
         
            (390)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §.
         
            (391)  Vuonna 2016 tutkintavaltuuksista annetun lain 155 ja 196 §.
         
            (392)  Vuonna 2016 tutkintavaltuuksista annetun lain 152 ja 193 §.
         
            (393)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §.
         
            (394)  Code of Practice on Interception of Communications, 6.74 kohta, ks. alaviite 278, ja Code of Practice on Equipment Interference, kohta 6.78, ks. alaviite 348.
         
            (395)  Tutkintavaltuuksien valvojan toimisto on perustettu vuonna 2016 tutkintavaltuuksista annetun lain 238 §:n nojalla, jotta valvojalla olisi käytettävissä tehtäviensä suorittamiseksi tarvittava henkilöstö, tilat ja muut välineet ja palvelut (ks. johdanto-osan (251) kappale).
         
            (396)  Tutkintavaltuuksien valvojan vuosikertomuksessa 2018 täsmennetään, että tiedustelupalvelun analyytikoiden kirjaamat perustelut täyttivät asetetut vaatimukset, ja analyytikot perustelivat suodattamattomaan aineistoon tehtyjen hakujen oikeasuhteisuuden riittävän yksityiskohtaisesti. Annual Report of the Investigatory Powers Commissioner 2018, 6.22 kohta, ks. alaviite 464.
         
            (397)  Annual Report of the Investigatory Powers Commissioner 2019, 7.6 kohta, ks. alaviite 463.
         
            (398)  Annual Report of the Investigatory Powers Commissioner 2019, 10.22 kohta, ks. alaviite 463.
         
            (399)  Tämä johtuu viestintätietojen määritelmästä (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 5 momentti), jonka mukaan viestintätiedoilla tarkoitetaan teleoperaattorin hallussa olevia tai sen saamia tietoja, jotka koskevat joko televiestintäpalvelun käyttäjää ja kyseisen palvelun tarjoamiseen, tai jotka sisältyvät viestintään, myös osana sitä tai kun ne on liitetty siihen tai kun ne loogisesti liittyvät siihen (ks. myös viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715477/Bulk_Communications_Data_Code_of_Practice.pdf 2.15–2.22 kohta). Myös teleoperaattorin määritelmän (vuonna 2016 tutkintavaltuuksista annetun lain 261 §:n 10 momentti) mukaan teleoperaattorilla tarkoitetaan henkilöä, joka tarjoaa tai toimittaa televiestintäpalvelua Yhdistyneessä kuningaskunnassa oleville henkilöille tai jonka hallinnassa oleva tai tarjoama televiestintäjärjestelmä sijaitsee (kokonaan tai osittain) Yhdistyneessä kuningaskunnassa tai jota hallitaan Yhdistyneestä kuningaskunnasta. Näiden määritelmien perusteella on selvää, että vuonna 2016 tutkintavaltuuksista annettuja velvoitteita ei voida soveltaa teleoperaattoreihin, joiden laitteet eivät ole Yhdistyneessä kuningaskunnassa tai jota ei hallita sieltä käsin ja jotka eivät tarjoa tai toimita palveluja Yhdistyneessä kuningaskunnassa oleville henkilöille (ks. myös viestintätietojen laajamittaista hankintaa koskevat käytännesäännöt, 2.2 kohta). Jos EU:n tilaajat (sekä EU:ssa että Yhdistyneessä kuningaskunnassa sijaitsevat) käyttävät palveluja Yhdistyneessä kuningaskunnassa, kaikki tämän palvelun tarjoamiseen liittyvä viestintä kerätään suoraan Yhdistyneen kuningaskunnan palveluntarjoajan toimesta sen sijaan, että se siirrettäisiin EU:sta.
         
            (400)  Vuoden 1984 televiestintälain (Telecommunication Act 1984) 94 §:n 1 momentissa säädettiin, että Secretary of State voi antaa yleisiä ohjeita, jos hän katsoo sen olevan tarpeen tai kiireellistä kansallisen turvallisuuden vuoksi (ks. alaviite 451).
         
            (401)  Ks. Privacy International, 78 kohta.
         
            (402)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 4.11 kohta (ks. alaviite 399414).
         
            (403)  Tietojen laajamittaista hankintamääräystä voivat pyytää ainoastaan tiedustelupalvelujen johtajat eli i) turvallisuuspalvelun pääjohtaja; ii) salaisen tiedustelupalvelun päällikkö; tai iii) tiedustelupalvelun johtaja (ks. vuonna 2016 tutkintavaltuuksista annetun lain 158 ja 263 §).
         
            (404)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 4.5 kohta (ks. alaviite 399).
         
            (405)  Lain 161 §:ssä säädetään, että määräyksessä mainittujen operatiivisten tarkoitusten tulee sisältyä tiedustelupalvelujen johtajien ylläpitämään hyväksyttävien operatiivisten tarkoitusten luetteloon perusteina, joiden nojalla tietojen laajamittaista hankintaa koskevan määräyksen nojalla hankittuja viestintätietoja voidaan valikoida tutkittavaksi.
         
            (406)  Ks. Code of Practice on Bulk Acquisition of Communications Data, 6.6 kohta (ks. alaviite 399).
         
            (407)  Vuonna 2016 tutkintavaltuuksista annetun lain 172 §:ssä edellytetään, että laajamittaista hankintaa koskevan määräyksen nojalla saatujen viestintätietojen suodattamista ja valikointia varten on otettava käyttöön erityiset suojatoimet. Lisäksi säädetään, että tietojen tutkiminen tietoisesti näitä suojatoimia rikkoen on rikos (vuonna 2016 tutkintavaltuuksista annetun lain 173 §).
         
            (408)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §.
         
            (409)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §:n 9 momentti.
         
            (410)  Vuonna 2016 tutkintavaltuuksista annetun lain 162 §.
         
            (411)  Vuonna 2016 tutkintavaltuuksista annetun lain 163 §.
         
            (412)  Vuonna 2016 tutkintavaltuuksista annetun lain 164–166 §.
         
            (413)  Vuonna 2016 tutkintavaltuuksista annetun lain 159 §.
         
            (414)  IPCO Annual Report 2019, 8.6 kohta, ks. alaviite 463.
         
            (415)  IPCO Annual Report 2019, 10.4 kohta, ks. alaviite 463.
         
            (416)  IPCO Annual Report 2019, 8.37 kohta, ks. alaviite 463.
         
            (417)  Vuonna 2016 tutkintavaltuuksista annetun lain 200 §.
         
            (418)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, s. 34, ks. alaviite 29.
         
            (419)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 §.
         
            (420)  Tiedustelupalvelujen toimesta tapahtuvaa laajojen henkilötietojoukkojen säilyttämistä ja käyttöä koskevat käytännesäännöt (Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets), 4.7 kohta, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/715478/Bulk_Personal_Datasets_Code_of_Practice.pdf
         
            (421)  Vuonna 2016 tutkintavaltuuksista annetun lain 205 §.
         
            (422)  Esimerkiksi arkaluontoiset henkilötiedot, ks. vuoden 2016 lain 202 §, ja Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 4.21 ja 4.12 kohta, ks. alaviite 469.
         
            (423)  Secretary of Staten on käsiteltävä yksilöllisesti kaikki hakemukset, jotka koskevat tiettyä laajaa henkilötietojoukkoa koskevan määräyksen (specific BPD warrant) antamista. Kun tiedustelupalvelu hakee tällaista määräystä, sen on vuoden 2016 lain 205 §:n nojalla esitettävä hakemuksessa yksityiskohtainen selvitys kyseisen aineiston luonteesta ja laajuudesta ja luettelo niistä operatiivisista tarkoituksista, joita varten tietoja halutaan tutkia (silloin kun määräystä haetaan sekä tietojen säilyttämistä että niiden tutkimista varten eikä ainoastaan säilyttämistä varten). Luokkakohtaista laajaa henkilötietojoukkoa koskevan määräyksen (class BPD warrant) antamista varten Secretary of State sen sijaan tarkastelee kyseistä datajoukkoluokkaa yhteisesti.
         
            (424)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 ja 205 §.
         
            (425)  Vuonna 2016 tutkintavaltuuksista annetun lain 2 §.
         
            (426)  Vuonna 2016 tutkintavaltuuksista annetun lain 204 ja 205 §.
         
            (427)  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 5.2 kohta, ks. alaviite 420.
         
            (428)  Code of Practice on Intelligence Services’ Retention and Use of Bulk Personal Datasets, 8.1–8.15 kohta, ks. alaviite 420.
         
            (429)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, s. 34, ks. alaviite 29.
         
            (430)  Vuoden 2018 tietosuojalain 87 §:n 1 momentti.
         
            (431)  Vuoden 2018 tietosuojalain 87 §:n 3 momentti. Vaikka rekisterinpitäjät voidaan tietosuojalain 110 §:n nojalla vapauttaa tämän periaatteen noudattamisesta siltä osin kuin vapautus on tarpeen kansallisen turvallisuuden takaamiseksi, tällaista vapauttamista on arvioitava tapauskohtaisesti ja siihen voidaan vedota vai siltä osin kuin tietyn säännöksen soveltamisella olisi kielteisiä vaikutuksia kansalliseen turvallisuuteen (ks. johdanto-osan (132) kappale). Yhdistyneen kuningaskunnan tiedustelupalvelujen kansallista turvallisuutta koskevat todistukset (saatavilla seuraavassa osoitteessa: https://ico.org.uk/about-the-ico/our-information/national-security-certificates/) eivät kata vuoden 2018 tietosuojalain 87 §:n 3 momenttia. Koska alkuperäisestä tarkoituksesta poikkeavaan käsittelyyn on oltava laissa säädetty lupa, tiedustelupalveluilla on lisäksi oltava selkeä oikeusperusta myöhempää käsittelyä varten.
         
            (432)  Lisätietoja näistä tarkoituksista, ks. alaviite 312.
         
            (433)  Ks. alaviite 312.
         
            (434)  Tiedustelupalvelujen suorittamaa tietojenkäsittelyä koskevat tietosuojavaltuutetun ohjeet (ks. alaviite 161).
         
            (435)  Vuonna 2016 tutkintavaltuuksista annetun lain 54 §.
         
            (436)  Vuonna 2016 tutkintavaltuuksista annetun lain 130 §.
         
            (437)  Vuonna 2016 tutkintavaltuuksista annetun lain 151 §.
         
            (438)  Vuonna 2016 tutkintavaltuuksista annetun lain 171 §:n 9 momentti.
         
            (439)  Vuonna 2016 tutkintavaltuuksista annetun lain 192 §.
         
            (440)  Järjestelyjen tulee sisältää toimenpiteet, joilla varmistetaan, että kaikkia aineistosta tehtyjä jäljennöksiä säilytetään turvallisesti koko sen ajan, kun niitä säilytetään. Määräyksen nojalla hankittu aineisto ja kaikki siitä tehdyt jäljennökset on hävitettävä heti kun niiden säilyttämiselle ei ole enää perusteltua syytä (ks. vuonna 2016 tutkintavaltuuksista annetun lain 150 §:n 2 ja 5 momentti ja 151 §:n 2 momentti). Huomattakoon, että vastaavat suojatoimet, jotka perustuivat aiempaan oikeuskehykseen (vuonna 2000 tutkintavaltuuksista annettu asetus), on todettu Euroopan ihmisoikeustuomioistuimen vaatimuksia vastaaviksi tilanteessa, jossa laajamittaisella telekuuntelulla hankittua aineistoa jaetaan ulkomaiden tai kansainvälisten järjestöjen kanssa (EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 279 edellä), 362 ja 399 kohta).
         
            (441)  Vuoden 2018 tietosuojalain 116 §.
         
            (442)  Vuoden 2018 tietosuojalain liitteessä 13 olevan 2 kohdan mukaan rekisterinpitäjälle tai henkilötietojen käsittelijälle voidaan antaa täytäntöönpano- ja seuraamusmääräys, jos ne ovat rikkoneet vuoden 2018 tietosuojalain 4 osan 2 luvun säännöksiä (käsittelyperiaatteet), vuoden 2018 tietosuojalain 4 osan säännöstä, jolla rekisteröidylle annetaan oikeuksia, vuoden 2018 tietosuojalain 108 §:n mukaista velvoitetta ilmoittaa henkilötietojen tietoturvaloukkauksesta tietosuojavaltuutetulle ja vuoden 2018 tietosuojalain 109 §:ssä vahvistettuja periaatteita, jotka koskevat henkilötietojen siirtoa kolmansiin maihin, ihmisoikeussopimuksen ulkopuolisiin maihin ja kansainvälisille järjestöille (lisätietoja täytäntöön- ja seuraamismääräyksestä, ks. johdanto-osan (92) kappale).
         
            (443)  Vuoden 2018 tietosuojalain 147 §:n 6 momentin mukaan tietosuojavaltuutettu ei voi antaa arviointimääräystä vuoden 2000 tiedonvapauslain 23 §:n 3 momentissa tarkoitetulle elimelle. Näihin kuuluvat turvallisuuspalvelu (MI5), salainen tiedustelupalvelu (MI6) ja tiedustelupalvelu (GCHQ).
         
            (444)  Säännökset, joihin voidaan soveltaa poikkeusta, ovat seuraavat: 108 § (henkilötietojen tietoturvaloukkauksesta ilmoittaminen tietosuojavaltuutetulle), 119 § (kansainvälisten velvoitteiden mukainen tarkastus); 142–154 § ja liite 15 (tietosuojavaltuutetun määräykset sekä maahantulo- ja tarkastusvaltuudet); ja 170–173 § (henkilötietoihin liittyvät rikokset). Lisäksi liitteessä 13 (tietosuojavaltuutetun muut yleiset tehtävät) olevan 1 kohdan a ja g alakohta ja 2 kohta, kun kyse on tiedustelupalvelujen suorittamasta käsittelystä.
         
            (445)  Memorandum of Understandings between Information Commission’s Office and the UK Intelligence Community, ks. alaviite 165.
         
            (446)  Seitsemässä näistä tapauksista tietosuojavaltuutettu neuvoi valittajaa viemään asian rekisterinpitäjän käsiteltäväksi (näin toimitaan silloin kun valitus olisi alun perin pitänyt tehdä ensin rekisterinpitäjälle eikä tietosuojavaltuutetulle), yhdessä tapauksessa tietosuojavaltuutettu antoi rekisterinpitäjälle yleisiä neuvoja (näin tehdään silloin kun rekisterinpitäjän toiminta ei vaikuta rikkoneen lainsäädäntöä, mutta käytäntöjä muuttamalla olisi voitu välttää asian vieminen tietosuojavaltuutetun käsiteltäväksi), ja muissa 13 tapauksessa tietosuojavaltuutetun toimet eivät olleet tarpeen (näin on silloin kun valituksen aihe kuuluu vuoden 2018 tietosuojalain soveltamisalaan, koska se liittyy henkilötietojen käsittelyyn, mutta annettujen tietojen perusteella ei vaikuta siltä, että rekisterinpitäjä olisi rikkonut lainsäädäntöä).
         
            (447)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 7 ja 8 momentin mukaan tutkintavaltuuksien valvoja on yksi oikeusvaltuutetuista, ja heistä käytetään yhteisesti nimitystä ’oikeusvaltuutetut’. Oikeusvaltuutettuja on tällä hetkellä yhteensä 15.
         
            (448)  Vuonna 2005 annetun valtiosääntöuudistusta koskevan lain (Constitutional Reform Act 2005) 3 osan 60 §:n 2 momentin mukaan vaatimuksella ”high judicial office” tarkoitetaan tässä yhteydessä toimimista tuomarina jossakin seuraavista tuomioistuimista: i) Korkein oikeus (Supreme Court); ii) muutoksenhakutuomioistuin (Court of Appeal), Englanti ja Wales; iii) High Court, Englanti ja Wales; iv) Court of Session; v) muutoksenhakutuomioistuin (Court of Appeal), Pohjois- Irlanti vi) High Court, Pohjois-Irlanti; tai erityisessä ylähuoneen lainkäyttötehtävässä (Lord of Appeal in Ordinary).
         
            (449)  Oikeuslaitoksen riippumattomuus perustuu sopimukseen, ja se on tunnustettu yleisesti vuodesta 1701 lähtien (Act of Settlement 1701).
         
            (450)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 3 momentti. Oikeusvaltuutetuilla on oltava myös tutkintavaltuuksien valvojan antama suositus (vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 4 momentin e alakohta).
         
            (451)  Vuonna 2016 tutkintavaltuuksista annetun lain 238 §.
         
            (452)  Vuonna 2016 tutkintavaltuuksista annetun lain 227 §:n 2 momentti.
         
            (453)  Erottamisprosessi on samanlainen kuin Yhdistyneen kuningaskunnan muilla tuomareilla (ks. esim. Senior Courts Act 1981, 11 §:n 3 momentti, ja Constitutional Reform Act 2005, 33 §. Myös niissä erottaminen tapahtuu parlamentin molempien kamarien hyväksymällä päätöslauselmalla). Toistaiseksi yhtään oikeusvaltuutettua ei ole erotettu tehtävästään.
         
            (454)  ’Arm’s-length body’ on organisaatio tai virasto, joka saa valtiolta rahoitusta mutta toimii silti itsenäisesti (määritelmä ja lisätietoja on saatavilla julkisten elinten luokittelua koskevassa hallituksen käsikirjassa Handbook of the Cabinet Office on the classification of Public Bodies, saatavilla seuraavassa osoitteessa: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/519571/Classification-of-Public_Bodies-Guidance-for-Departments.pdf, sekä julkishallintoa käsittelevän alahuoneen erityisvaliokunnan (Public Administration Select Committee) istuntokaudella 2014–2015 laatimassa ensimmäisessä raportissa, saatavilla seuraavassa osoitteessa: https://publications.parliament.uk/pa/cm201415/cmselect/cmpubadm/110/110.pdf )
         
            (455)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §:n mukaan oikeusvaltuutetulla on laajat valvontavaltuudet, jotka kattavat myös tiedustelupalvelujen keräämien tietojen säilyttämisen ja luovuttamisen valvonnan.
         
            (456)  Oikeusvaltuutetut päättävät Secretary of Staten antamien määräyksien hyväksymisestä itsenäisesti. Jos oikeusvaltuutettu kieltäytyy hyväksymästä määräystä, Secretary of State voi hakea päätökseen muutosta tutkintavaltuuksien valvojalta, joka tekee asiassa lopullisen päätöksen.
         
            (457)  Tutkintavaltuuksien valvojan hyväksyntää on pyydettävä aina kun viestintätietoja hankitaan lainvalvontatarkoituksia varten (vuonna 2016 tutkintavaltuuksista annetun lain 60A §). Kun tiedot on hankittava kansalliseen turvallisuuteen liittyviä tarkoituksia varten, luvan tietojen hankintaan voi antaa joko tutkintavaltuuksien valvoja tai nimetty johtava virkamies (ks. vuoden 2016 lain 61 ja 61A § ja johdanto-osan (203) kappale).
         
            (458)  Erityisraportoijan Yhdistyneeseen kuningaskuntaan tekemän arviointimatkan loppuraportti (ks. alaviite 281).
         
            (459)  Vuonna 2016 tutkintavaltuuksista annetun lain 229 §. Oikeusvaltuutettujen tutkinta- ja tiedonsaantivaltuudet esitetään vuonna 2016 tutkintavaltuuksista annetun lain 235 §:ssä.
         
            (460)  Tämä koskee myös vuonna 2016 tutkintavaltuuksista annettuun asetukseen perustuvia valvontatoimia, vuoden 1997 poliisilain (Police Act 1997) 3 osassa tarkoitettujen tehtävien hoitamista (tilakuuntelua koskevien toimien hyväksyminen) ja Secretary of Staten hoitamia tehtäviä, joista säädetään vuoden 1994 tiedustelupalvelulain 5–7 §:ssä (mm. tilakuuntelua koskevat määräykset) (vuonna 2016 tutkintavaltuuksista annetun lain 229 §).
         
            (461)  Vuonna 2016 tutkintavaltuuksista annetun lain 230 §. Tutkintavaltuuksien valvoja voi myös raportoida pääministerille oma-aloitteisesti mistä tahansa tehtäviinsä liittyvistä asioista. Lisäksi tutkintavaltuuksien valvojan on raportoitava pääministerille tämän pyynnöstä, ja pääministeri voi ohjata tutkintavaltuuksien valvojan tarkastelemaan mitä tahansa tiedustelupalvelujen tehtäviä.
         
            (462)  Jotkut kertomuksen osat voidaan jättää julkaisematta, jos niiden julkaiseminen voisi vaikuttaa heikentää kansallista turvallisuutta.
         
            (463)  Esimerkiksi vuotta 2019 koskevassa tutkintavaltuuksien valvojan vuosikertomuksessa (6.38 kohdassa) mainitaan MI5:lle annettu suositus, jonka mukaan sen olisi muutettava laajojen henkilötietojoukkojen säilyttämistä koskevia toimintaperiaatteitaan, jotta niissä kiinnitettäisiin huomiota säilyttämisen oikeasuhteisuuteen kaikkien tällaisiin datajoukkoihin sisältyvien kenttien ja kunkin datajoukon osalta erikseen. Vuoden 2018 lopussa tutkintavaltuuksien valvoja ei ollut tyytyväinen suosituksen täytäntöönpanoon, ja vuoden 2019 kertomuksessa todetaan, että MI5 oli ottamassa käyttöön uutta menettelyä tämän vaatimuksen täyttämiseksi. Vuoden 2019 vuosikertomuksessa (8.22 kohdassa) todetaan myös, että tiedustelupalvelulle (GCHQ) oli annettu useita suosituksia, jotka koskivat laajoihin datajoukkoihin tehtyjen hakujen oikeasuhteisuutta koskevaa kirjanpitoa. Kertomuksessa vahvistetaan, että tällä alalla on tapahtunut kehitystä vuoden 2018 lopussa. Tutkintavaltuuksien valvojan toimiston vuosikertomus 2019, saatavilla seuraavassa osoitteessa: https://www.ipco.org.uk/docs/IPC%20Annual%20Report%202019_Web%20Accessible%20version_final.pdf. Lisäksi jokaisesta viranomaiseen kohdistuvasta IPCOn tarkastuksesta laaditaan raportti, joka toimitetaan kyseiselle viranomaiselle ja jossa esitetään tarkastuksen perustuvia suosituksia. Kaikkien seuraavien tarkastusten aluksi IPCO tarkastelee edellisen tarkastuksen perusteella annettujen suositusten toteutumista ja kirjaa tarkastusraporttiin, onko ne otettu huomioon vai onko niiden seurantaa jatkettava.
         
            (464)  Virhe on ”vakava”, kun tutkintavaltuuksien valvoja katsoo sen aiheuttaneen asianomaiselle merkittävää haittaa tai vahinkoa (vuonna 2016 tutkintavaltuuksista annetun lain 231 §:n 2 momentti). Vuonna 2018 ilmoitettiin 22 virheestä. Näistä kahdeksan katsottiin olevan vakavia, minkä vuoksi niistä ilmoitettiin asianomaiselle henkilölle. Ks. Annual Report of the Investigatory Powers Commissioner Office 2018, liite C (ks. https://www.ipco.org.uk/docs/IPCO%20Annual%20Report%202018%20final.pdf). Vuonna 2019 vakaviksi katsottiin 14 virhettä. Ks. Annual Report of the Investigatory Powers Commissioner Office 2019, liite C, ks. alaviite 463.
         
            (465)  Mainitussa lainkohdassa täsmennetään myös, että ilmoittaessaan virheestä asianomaiselle henkilölle tutkintavaltuuksien valvojan on annettava samalla tarpeellisiksi katsomansa tiedot näiden oikeuksien käyttämiseksi, ottaen huomioon erityisesti se, missä määrin yksityiskohtien paljastamisesta aiheutuisi haittaa yleiselle edulle tai vakavan rikollisuuden ehkäisemiselle tai paljastamiselle, taloudellisen hyvinvoinnin turvaamiselle Yhdistyneessä kuningaskunnassa taikka jonkin turvallisuuspalvelun tehtävien jatkuvalle hoitamiselle.
         
            (466)  Yhdistyneen kuningaskunnan viranomaiset selvityksen mukaan lailla laajennettiin valiokunnan toimeksiantoa niin, että se kattaa koko tiedusteluyhteisön valvonnan myös kolmen tiedusteluviraston ulkopuolella ja mahdollistaa virastojen operatiivisen toiminnan takautuvan valvonnan silloin kun asialla on huomattava kansallinen merkitys.
         
            (467)  Vuoden 2013 oikeus- ja turvallisuuslain 2 §.
         
            (468)  Memorandum of Understanding between the Prime minister and the ISC, saatavilla seuraavassa osoitteessa: http://data.parliament.uk/DepositedPapers/Files/DEP2013-0415/AnnexA-JSBill-summaryofISCMoU.pdf
         
            (469)  Memorandum of Understanding between the Prime minister and the ISC, 14 kohta, ks. alaviite 468.
         
            (470)  Secretary of State voi veto-oikeudellaan kieltää tietojen luovuttamisen vain kahdella perusteella: tiedot ovat arkaluontoisia, eikä niitä pitäisi luovuttaa valiokunnalle kansallisen turvallisuuden vuoksi; tai tiedot ovat luonteeltaan sellaisia, että jos Secretary of Statea vaadittaisiin esittämään ne jossakin alahuoneen erityisvaliokunnassa, hän ei katsoisi sitä asianmukaiseksi (myös muista kuin kansalliseen turvallisuuteen liittyvistä syistä) (ks. vuoden 2013 oikeus- ja turvallisuuslain liitteessä 1 oleva 4 kohdan 2 alakohta).
         
            (471)  UK Explanatory Framework for Adequacy Discussion, H jakso: National Security, sivu 43, ks. alaviite 31.
         
            (472)  Vuoden 2013 oikeus- ja turvallisuuslain 1 §. Ministerit eivät voi olla valiokunnan jäseniä. Valiokunnan jäsenyys jatkuu jäsenen nimittämisen jälkeen kyseisen parlamentin toimikauden päättymiseen asti. Valiokunnan jäsen voidaan erottaa hänet nimittäneen parlamentin päätöslauselmalla, tai jos hän lakkaa olemasta parlamentin jäsen tai jos hänestä tulee ministeri. Jäsen voi myös erota tehtävästään.
         
            (473)  Valiokunnan kertomukset ja lausunnot ovat saatavilla verkossa seuraavassa osoitteessa: https://isc.independent.gov.uk/publications/. Valiokunta antoi vuonna 2015 yksityisyydensuojaa ja turvallisuutta koskevaa lainsäädäntöä käsittelevän kertomuksen ”Privacy and Security: A modern and transparent legal framework” (ks: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20150312_ISC_PSRptweb.pdf), jossa se tarkasteli turvallisuusvirastojen käyttämiä valvontatekniikoita koskevaa lainsäädäntöä ja antoi joukon suosituksia, jotka harkinnan jälkeen sisällytettiin tutkintavaltuuksia koskevaan lakiesitykseen, joka sittemmin vahvistettiin vuoden 2016 laiksi. Hallituksen vastaus yksityisyydensuojaa ja turvallisuutta koskevaan kertomukseen on saatavilla seuraavassa osoitteessa: https://b1cba9b3-a-5e6631fd-s-sites.googlegroups.com/a/independent.gov.uk/isc/files/20151208_Privacy_and_Security_Government_Response.pdf
         
            (474)  Vuonna 2016 tutkintavaltuuksista annetun lain 142, 161 ja 183 §.
         
            (475)  Vuonna 2016 tutkintavaltuuksista annetun lain 234 §.
         
            (476)  Vuonna 2016 tutkintavaltuuksista annetun lain 236 §.
         
            (477)  Intelligence and Security Committee of Parliament, Report on the draft Investigatory Powers Bill, saatavilla seuraavassa osoitteessa: https://isc.independent.gov.uk/wp-content/uploads/2021/01/20160209_ISC_Rpt_IPBillweb.pdf
         
            (478)  Nämä yksityisyydensuojaa koskevat yleiset velvoitteet on nyt vahvistettu vuonna 2016 tutkintavaltuuksista annetun lain 2 §:n 2 momentissa. Sen mukaan kyseisen lain nojalla toimivan viranomaisen on arvioitava, voitaisiinko pyydetyn määräyksen tai luvan (warrant, authorisation, notice) avulla tavoiteltu tulos kohtuudella saavuttaa muilla, vähemmän yksityisyyteen puuttuvilla keinoilla ja olisiko tällaisen määräyksen tai luvan nojalla hankittavien tietojen suhteen sovellettava korkeampaa suojelutasoa kyseisten tietojen erityisen arkaluontoisuuden vuoksi, minkä lisäksi huomioon olisi otettava televiestintäjärjestelmien ja postipalvelujen eheyttä ja turvallisuutta koskeva yleinen etu ja muut yksityisyydensuojaa koskevaan yleiseen etuun liittyvät näkökohdat.
         
            (479)  Valiokunnan vaatimuksesta muun muassa lyhennettiin määräaikaa, jonka ”kiireellinen” määräys saa olla voimassa ennen kuin oikeusvaltuutetun on hyväksyttävä se, viidestä päivästä kolmeen. Lisäksi valiokunnalle annettiin valtuudet saattaa asioita tutkintavaltuuksien valvojan käsiteltäväksi.
         
            (480)  Tuomio asiassa Schrems II, 194 kohta.
         
            (481)  Tuomio asiassa Schrems II, 197 kohta.
         
            (482)  Vuoden 2018 tietosuojalain 94 §:n 11 momentti.
         
            (483)  Vuoden 2018 tietosuojalain 99 §:n 4 momentti.
         
            (484)  Vuoden 2018 tietosuojalain 100 §:n 1 momentti.
         
            (485)  Vuoden 2018 tietosuojalain 169 §:ssä säädetään, että henkilö, joka kärsii vahinkoa jonkin tietosuojalainsäädännössä vahvistetun oikeuden loukkaamisen vuoksi, on oikeutettu saamaan tällaisesta vahingosta korvauksen. Yhdistyneen kuningaskunnan viranomaisten toimittamien tietojen mukaan kanne tai valitus tiedustelupalveluja vastaan esitetään käytännössä todennäköisesti tutkintavaltuuksia käsittelevälle tuomioistuimelle, jolla on laaja toimivalta ja joka voi myöntää vahingonkorvauksia ja jossa kanteen käsittelystä ei aiheudu kustannuksia.
         
            (486)  Vuoden 2018 tietosuojalain 169 §:n 5 momentti.
         
            (487)  Asetuksen liitteen 3 nojalla tuomioistuimen jäsenillä on oltava tietty oikeusalan kokemus, ja heidät voidaan nimittää tehtäväänsä uudelleen.
         
            (488)  ”Address” on parlamentille osoitettava esitys, jonka tarkoituksena on saattaa monarkin tietoon parlamentin näkemys tietystä kysymyksestä.
         
            (489)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen liitteessä 3 olevan 1 kohdan 5 alakohta.
         
            (490)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 5 momentti.
         
            (491)  Ilmaisun ”uskoo” edellytyksistä ks. asia Human Rights Watch v Secretary of State [2016] UKIPTrib15_165-CH, 41 kohta. Kyseisessä asiassa Investigatory Powers Tribunal katsoi Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön viitaten, että sellaisen väitteen todenperäisyyttä, jonka mukaan henkilö uskoo, että jokin tiedustelupalveluista on suorittanut tai että sen puolesta on suoritettu jotakin sellaista vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 5 momentin soveltamisalaan kuuluvaa toimintaa, että kyseinen henkilö voi väittää joutuneensa pelkästä salaisten toimenpiteiden tai salaiset toimenpiteet mahdollistavan lainsäädännön olemassaolosta johtuvan oikeudenloukkauksen uhriksi, voidaan arvioida asianmukaisesti vain jos kyseinen henkilö kykenee osoittamaan, että hänellä on henkilökohtaisen tilanteensa vuoksi voinut olla riski joutua tällaisten toimenpiteiden kohteeksi.
         
            (492)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 4 momentin a alakohta.
         
            (493)  Tämä viittaa olosuhteisiin, joissa viranomaisten toiminta perustuu toimivaltaan (esim. viestintätietojen hankintaa koskevaan määräykseen tai lupaan), tai siihen, että kyseisissä olosuhteissa (toimivallasta riippumatta) toiminnan toteuttaminen ei olisi ollut asianmukaista ilman kyseistä toimivaltaa, tai ainakaan ilman että olisi perusteellisesti harkittu, pitäisikö tällaista toimivaltaa hakea. Kun toiminta on toteutettu oikeusvaltuutetun valtuutuksella, sen katsotaan tapahtuneen olosuhteissa, jotka on mahdollista kiistää (vuonna 2000 tutkintavaltuuksista annetun asetuksen 65 §:n 7ZA momentti). Sen sijaan muut toimet, jotka on toteutettu lainkäyttötehtävää hoitavan henkilön luvalla, katsotaan toteutetun olosuhteissa, joita ei voida kiistää (asetuksen 65 §:n 7 ja 8 momentti).
         
            (494)  Yhdistyneen kuningaskunnan viranomaisten antamien tietojen mukaan se, että valituksen tekemisen kynnys on matala, johtaa siihen, että tuomioistuin katsoo tutkintansa perusteella varsin usein, että valittaja ei itse asiassa ollut milloinkaan viranomaisten tutkinnan kohteena. Investigatory Powers Tribunal -tuomioistuimen tuoreimman tilastoraportin mukaan tuomioistuimelle vuonna 2016 tehdystä 209 valituksesta 52 prosenttia katsottiin aiheettomiksi tai haitantekotarkoituksessa tehdyiksi ja 25 prosenttia päätettiin ratkaisemattomana (”no determination”). Yhdistyneen kuningaskunnan viranomaisten mukaan tämä tarkoittaa joko sitä, että kantelijan suhteen ei käytetty peitetoimintaa tai sitä koskevia valtuuksia tai että tällaisia tekniikoita käytettiin, mutta tuomioistuin katsoi toiminnan olleen lainmukaista. Lisäksi 11 prosenttia tapauksista jäi tuomioistuimen toimivallan ulkopuolelle tai ne peruttiin tai niitä ei voitu ottaa tutkittavaksi, 5 prosenttia katsottiin vanhentuneiksi ja 7 prosenttia ratkaistiin kantelijan eduksi. Statistical Report of the Investigatory Powers Tribunal 2016, saatavilla seuraavassa osoitteessa: https://www.ipt-uk.com/docs/IPT%20Statisical%20Report%202016.pdf
         
            (495)  Ks. asia Human Rights Watch v Secretary of State [2016] UKIPTrib15_165-CH. Kyseisessä asiassa Investigatory Powers Tribunal katsoi Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön viitaten, että sellaisen väitteen todenperäisyyttä, jonka mukaan henkilö uskoo, että jokin tiedustelupalveluista on suorittanut tai että sen puolesta on suoritettu jotakin sellaista vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 5 momentin soveltamisalaan kuuluvaa toimintaa, että kyseinen henkilö voi väittää joutuneensa pelkästä salaisten toimenpiteiden tai salaiset toimenpiteet mahdollistavan lainsäädännön olemassaolosta johtuvan oikeudenloukkauksen uhriksi, voidaan arvioida asianmukaisesti vain jos kyseinen henkilö kykenee osoittamaan, että hänellä on henkilökohtaisen tilanteensa vuoksi voinut olla riski joutua tällaisten toimenpiteiden kohteeksi (ks. Human Rights Watch v Secretary of State, 41 kohta).
         
            (496)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 3 momentti.
         
            (497)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 67 §:n 2 momentti.
         
            (498)  Vuonna 2000 tutkintavaltuuksista annetun asetuksen 68 §:n 6–7 momentti.
         
            (499)  Vuonna 2000 tutkintavaltuuksia koskevan asetuksen 68 §:n 4 momentti.
         
            (500)  Esimerkki näiden valtuuksien soveltamisesta on asia Liberty & Others vs. the Security Service, SIS, GCHQ, [2015] UKIP Trib 13_77-H_2. Siinä Investigatory Powers Tribunal -tuomioistuin ratkaisi asian kahden kantelijan hyväksi. Ensimmäisessä tapauksessa viestintää oli säilytetty sallittua kauemmin ja toisessa tapauksessa tutkintamenettelyä ei ollut noudatettu tiedustelupalvelun (GCHQ) sisäisten sääntöjen mukaisesti. Ensimmäisessä tapauksessa toinen tuomioistuin (Court) määräsi tiedustelupalvelut tuhoamaan tiedot, joita oli säilytetty sallittua kauemmin. Toisessa tapauksessa tuhoamismääräystä ei annettu, koska tietoja ei ollut säilytetty.
         
            (501)  Kennedy, ks. alaviite 129.
         
            (502)  EIT (suuri jaosto), Big Brother Watch and others v United Kingdom, (ks. alaviite 268), 413–415 kohta.
         
            (503)  EIT, Big Brother Watch, 425 kohta.
         
            (504)  Kuten esimerkiksi EIT:n suuren jaoston äskettäin antama tuomio asiassa Big Brother Watch and others v United Kingdom (ks. alaviite 279 edellä) osoittaa, tämä mahdollistaa tehokkaan tuomioistuinvalvonnan (joka vastaa EU:n jäsenvaltioihin kohdistuvaa valvontaa), sillä kansainvälinen tuomioistuin valvoo, että viranomaiset noudattavat perusoikeuksia henkilötietojen käsittelyn yhteydessä. Lisäksi Euroopan neuvosto valvoo EIT:n tuomioiden täytäntöönpanoa.
         
            (505)  Asiassa Belhaj & others [2017] UKSC 3 ratkaisu, jossa asianajosalaisuuden piiriin kuuluvan aineiston hankkiminen todettiin lainvastaiseksi, perustui suoraan Euroopan ihmisoikeussopimuksen 8 artiklaan (ks. ratkaisu 11).
         
            (506)  High Court of Justice, Liberty, [2019] EWHC 2057 (Admin), 170 kohta.
         
            (507)  Tuomio asiassa Schrems, 65 kohta.
         
            (508)  Tuomio asiassa Schrems, 65 kohta: ”Tässä yhteydessä kansallisen lainsäätäjän asiana on säätää oikeussuojakeinoista, joiden avulla asianomainen kansallinen valvontaviranomainen voi esittää perusteltuina pitämänsä perusteet kansallisissa tuomioistuimissa, jotta nämä voisivat, mikäli ne kyseisen viranomaisen tavoin epäilevät komission päätöksen pätevyyttä, pyytää ennakkoratkaisua päätöksen pätevyyden tutkimiseksi”.
         
            (509)  Lausunto 14/2021 Euroopan komission ehdotuksesta asetuksen (EU) 2016/679 mukaiseksi täytäntöönpanopäätökseksi Yhdistyneen kuningaskunnan henkilötietojen suojan riittävyydestä, saatavilla seuraavassa osoitteessa: https://edpb.europa.eu/our-work-tools/our-documents/opinion-art-70/opinion-142021-regarding-european-commission-draft_en