6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/1

1.

Euroopan unionin neuvoston puheenjohtaja ilmoitti 28. toukokuuta 2008 Coreperille 12. kesäkuuta 2008 pidettävää Eurooppa-neuvoston kokousta varten, että tietojenvaihtoa, yksityisyyden suojaa ja henkilötietojen suojaamista käsittelevä EU:n ja Yhdysvaltojen korkean tason kontaktiryhmä (jäljempänä ”kontaktiryhmä”) on saanut raporttinsa valmiiksi. Raportti julkistettiin 26. kesäkuuta 2008 (1).

2.

Raportissa pyritään määrittelemään yksityisyyden suojan ja tietosuojan yhteisiä periaatteita ensimmäisenä askeleena kohti tietojenvaihtoa Yhdysvaltojen kanssa terrorismin ja vakavan kansainvälisen rikollisuuden torjumiseksi.

3.

Neuvoston puheenjohtajavaltio toteaa ilmoituksessaan ottavansa mielellään vastaan ideoita raportin jatkotoimiksi ja erityisesti kannanottoja raportissa määriteltyjä etenemistapoja koskeviin suosituksiin. Tietosuojavaltuutettu vastaa näin esitettyyn pyyntöön antamalla seuraavan lausunnon, joka perustuu julkistettuun tilanteeseen ja joka ei vaikuta myöhempiin kantoihin, joita tietosuojavaltuutettu saattaa esittää asian kehittyessä.

4.

Tietosuojavaltuutettu panee merkille, että kontaktiryhmä on työskennellyt tilanteessa, jossa Yhdysvaltojen ja EU:n välistä tietojenvaihtoa on erityisesti syyskuun 11. päivän 2001 jälkeen kehitetty kansainvälisten sopimusten tai muun tyyppisten välineiden avulla. Näitä ovat muun muassa Europolin ja Eurojustin Yhdysvaltojen kanssa tekemät sopimukset sekä PNR-sopimukset ja Swift-tapaus, joka johti EU:n ja Yhdysvaltojen virkamiesten väliseen kirjeenvaihtoon tietosuojaa koskevien vähimmäistakeiden määrittelemiseksi (2).

5.

Lisäksi EU myös neuvottelee ja tekee samankaltaisia sopimuksia, joissa määrätään henkilötietojen vaihdosta muiden kolmansien maiden kanssa. Äskettäisenä esimerkkinä on Euroopan unionin ja Australian välinen sopimus lentoliikenteenharjoittajien Euroopan unionista peräisin olevien PNR- eli matkustajarekisteritietojen käsittelemisestä ja siirtämisestä Australian tullilaitokselle (3).

6.

Näistä taustatiedoista käy ilmi, että kolmansien maiden lainvalvontaviranomaisten pyynnöt saada henkilötietoja lisääntyvät jatkuvasti ja että ne koskevat perinteisten hallitusten tietokantojen lisäksi myös muita tiedostotyyppejä, erityisesti yksityissektorin keräämiä tietoja sisältäviä tiedostoja.

7.

Tietosuojavaltuutettu myös palauttaa merkittävänä taustatietona mieliin, että kysymystä henkilötietojen siirtämisestä kolmansiin maihin rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön puitteissa käsitellään rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamista koskevassa neuvoston puitepäätöksessä (4), joka tehtäneen ennen vuoden 2008 loppua.

8.

Transatlanttisen tietojenvaihdon voidaan odottaa vain lisääntyvän ja koskevan yhä uusia aloja, joilla henkilötietoja käsitellään. Tällaisessa tilanteessa ‘transatlanttista lainvalvontaa’ koskeva vuoropuhelu on sekä tervetullutta että arkaluonteista. Tervetullutta se on siksi, että sen avulla voidaan selventää käynnissä olevan tai tulevan tietojenvaihdon puitteita. Se on kuitenkin myös arkaluonteista, koska kyseisillä puitteilla voitaisiin oikeuttaa laajamittaiset tiedonsiirrot lainvalvonnan alalla, jolla vaikutukset yksilöihin ovat erityisen vakavia ja jolla tiukat ja luotettavat suojatoimet ja takeet ovat siis sitäkin tarpeellisempia (5).

9.

Tämän lausunnon seuraavassa luvussa käsitellään tämänhetkistä tilannetta ja mahdollisia toimintavaihtoehtoja. Luvussa III keskitytään sellaisen välineen soveltamisalaan ja luonteeseen, joka mahdollistaisi tietojenvaihdon. Lausunnon luvussa IV eritellään yleisestä näkökulmasta mahdollisen sopimuksen sisältöön liittyviä oikeudellisia kysymyksiä. Siinä käsitellään esimerkiksi Yhdysvaltojen tarjoaman tietosuojatason arviointiedellytyksiä sekä kysymystä EU:n sääntelypuitteiden käytöstä vertailukohtana kyseisen tietosuojatason arvioinnissa. Samassa luvussa myös luetellaan sopimukseen sisällytettävät perusvaatimukset. Lopuksi lausunnon luvussa V analysoidaan raporttiin liitettyjä yksityisyyden suojan periaatteita.

10.

Tietosuojavaltuutettu arvioi tämänhetkisen tilanteen seuraavasti. Tietojenvaihtoa, yksityisyyden suojaa ja henkilötietojen suojaa koskevien yhteisten normien määrittelyssä on edistytty jonkin verran.

11.

Minkäänlaisen sopimuksen valmistelua EU:n ja Yhdysvaltojen välillä ei kuitenkaan vielä ole saatu päätökseen. Lisätyötä tarvitaan vielä. Kontaktiryhmän raportissa mainitaan joukko ratkaisematta olevia kysymyksiä, joista huomattavin on oikeussuoja. Oikeussuojakeinojen tarvittavasta laajuudesta on edelleen erimielisyyttä (6). Raportin luvussa 3 mainitaan viisi muuta ratkaisematta olevaa kysymystä. Tästä lausunnosta käy lisäksi ilmi, että montaa muuta kysymystä ei ole vielä ratkaistu, esimerkiksi kysymystä tietojenvaihtoa koskevan välineen soveltamisalasta ja luonteesta.

12.

Koska raportissa pidetään parhaana sitovaa sopimusta – mistä tietosuojavaltuutettu on samaa mieltä – varovaisuus on sitäkin enemmän tarpeen. Sopimukseen pääseminen edellyttää huolellisia ja perusteellisia lisävalmisteluja.

13.

Tietosuojavaltuutetun mukaan sopimus olisi lisäksi paras tehdä Lissabonin sopimuksen nojalla, riippuen tietenkin sen voimaantulosta. Lissabonin sopimuksen voimassa ollessa EU:n pilarien väliseen jakoon liittyvää oikeudellista epävarmuutta ei esiintyisi. Näin taattaisiin myös Euroopan parlamentin täysimääräinen osallistuminen sekä yhteisöjen tuomioistuimen harjoittama oikeudellinen valvonta.

14.

Näissä olosuhteissa paras toimintavaihtoehto olisi etenemissuunnitelman laatiminen mahdollisen sopimuksen tekemiseksi myöhemmässä vaiheessa. Etenemissuunnitelma voisi sisältää seuraavaa:

15.

Tietosuojavaltuutetun mielestä on ratkaisevan tärkeää, että tietosuojaa koskevia periaatteita sisältävän mahdollisen välineen soveltamisala ja luonne määritellään selkeästi kyseisen välineen jatkokehittämisen ensimmäisenä vaiheena.

16.

Soveltamisalan osalta on ratkaistava seuraavat tärkeät kysymykset:

17.

Luonnetta määriteltäessä olisi selvennettävä seuraavia kysymyksiä:

18.

Kontaktiryhmän raportissa ei määritellä selkeästi tulevan välineen tarkkaa soveltamisalaa, mutta siinä mainituista periaatteista voidaan päätellä, että välineen on tarkoitus kattaa sekä yksityisten ja julkisten toimijoiden väliset tiedonsiirrot (7) että siirrot viranomaisten välillä.

19.

Tietosuojavaltuutettu ymmärtää logiikan, jonka mukaan tulevaa välinettä sovellettaisiin yksityisten ja julkisten toimijoiden välisiin tiedonsiirtoihin. Välinettä kehitetään tilanteessa, jossa Yhdysvallat on viime vuosina alkanut pyytää tietoja yksityisiltä toimijoilta. Tietosuojavaltuutettu toteaakin, että yksityisistä toimijoista on tulossa lainvalvonnassa systemaattisesti käytettyjä tietolähteitä sekä EU:n tasolla että kansainvälisesti (8). Swift-tapaus oli merkittävä ennakkotapaus, jossa yksityistä yritystä pyydettiin järjestelmällisesti siirtämään tietoja suurina erinä kolmannen valtion lainvalvontaviranomaisille (9). PNR-tietojen keruu lentoyhtiöiltä on saman logiikan mukaista. Tietosuojavaltuutettu asetti tämän suuntauksen oikeutuksen kyseenalaiseksi jo lausunnossaan, joka koski ehdotusta puitepäätökseksi EU:n PNR-järjestelmästä (10).

20.

Yksityisten ja julkisten toimijoiden välisten tiedonsiirtojen sisällyttämiseen tulevan välineen soveltamisalaan on syytä suhtautua epäillen kahdesta muustakin syystä.

21.

Ensinnäkin sisällyttäminen johtaisi ei-toivottuihin vaikutuksiin itse EU:n alueella. Tietosuojavaltuutettu pelkää, että jos yksityisten yritysten (kuten rahoituslaitosten) tietoja voidaan periaatteessa siirtää kolmansiin maihin, tämä voi aiheuttaa suurta painetta saman tyyppisten tietojen antamiseksi lainvalvontaviranomaisten saataville myös EU:n sisällä. PNR-järjestelmä on esimerkki tällaisesta ei-toivotusta kehityskulusta, joka alkoi matkustajatietojen keruusta suurina erinä Yhdysvalloissa ja laajeni sen jälkeen myös Euroopan sisälle (11) ilman, että järjestelmän tarpeellisuutta ja suhteellisuutta olisi selkeästi osoitettu.

22.

Toiseksi tietosuojavaltuutettu toi EU:n PNR-järjestelmää koskevasta komission ehdotuksesta antamassaan lausunnossa esiin myös kysymyksen julkisten ja yksityisten toimijoiden yhteistyön edellytyksiin sovellettavista tietosuojapuitteista (ensimmäinen vai kolmas pilari): olisiko sääntöjen perustuttava rekisterinpitäjän luonteeseen (yksityinen sektori) vai käsittelyn tarkoitukseen (lainvalvonta)? Ensimmäisen ja kolmannen pilarin ero ei ole lainkaan selkeä tilanteissa, joissa yksityiset toimijat velvoitetaan käsittelemään henkilötietoja lainvalvontatarkoituksia varten. Tämän osalta on merkittävää, että julkisasiamies Bot ehdottaa tietojen säilyttämistapauksessa (12) antamassaan ratkaisuehdotuksessa erottelua mainittuja tilanteita varten, mutta lisää ehdotukseen: ‘Tällaista erottelua voidaan tosin kritisoida, ja se saattaa vaikuttaa jossakin määrin keinotekoiselta.’ Tietosuojavaltuutettu panee myös merkille, että yhteisöjen tuomioistuimen PNR-tuomiossa (13) ei täysin vastata kysymykseen sovellettavista oikeudellisista puitteista. Esimerkiksi se, että tietyt toimet eivät kuulu direktiivin 95/46/EY soveltamisalaan, ei automaattisesti tarkoita, että kyseisiä toimia voidaan säännellä kolmannen pilarin nojalla. Tästä johtuen se saattaa jättää aukon sovellettavan lainsäädännön määrittelyyn ja johtaa joka tapauksessa oikeudelliseen epävarmuuteen rekisteröityjen käytössä olevista oikeudellisista takeista.

23.

Tämän vuoksi tietosuojavaltuutettu korostaa, että on varmistettava, ettei yleisiä tietosuojaperiaatteita sisältävällä tulevalla välineellä voida sinänsä oikeuttaa henkilötietojen transatlanttista siirtoa yksityisten ja julkisten toimijoiden välillä. Siirto voidaan sisällyttää tulevaan välineeseen vain sillä edellytyksellä, että

Lisäksi tietosuojavaltuutettu toteaa, että sovellettaviin tietosuojapuitteisiin liittyy epävarmuutta, ja katsoo sen vuoksi, ettei henkilötietojen siirtoa yksityisten ja julkisten toimijoiden välillä pitäisi missään tapauksessa sisällyttää välineeseen EU:n tämänhetkinen lainsäädäntö huomioon ottaen.

24.

Tietojenvaihdon täsmällinen laajuus on epäselvä. Ensimmäisenä vaiheena yhteiseen välineeseen tähtäävässä jatkotyöskentelyssä olisi selvennettävä tällaisen välineen suunniteltu soveltamisala. Erityisesti seuraavat kysymykset ovat ratkaisematta:

25.

Mahdollisen sopimuksen tarkoituksen määrittelyyn liittyy niin ikään epävarmuutta. Lainvalvontatarkoitukset on selkeästi mainittu raportin johdannossa ja siihen liitetyssä ensimmäisessä periaatteessa, ja niitä analysoidaan tarkemmin tämän lausunnon luvussa IV. Tietosuojavaltuutettu toteaa jo nyt, että näiden mainintojen perusteella tietojenvaihdossa keskityttäisiin kolmannen pilarin asioihin, mutta voitaisiin kysyä, onko kyseessä vain ensimmäinen askel kohti laajempaa tietojenvaihtoa. Raportissa mainittuihin ‘yleisen turvallisuuden’ tarkoituksiin näyttää selvästi kuuluvan terrorismin, järjestäytyneen rikollisuuden ja muun rikollisuuden torjunta. Onko tarkoituksena kuitenkin myös sallia tietojenvaihto muita yleisiä etuja, esimerkiksi kansanterveyteen kohdistuvia mahdollisia riskejä varten?

26.

Tietosuojavaltuutettu suosittelee, että käyttötarkoitus rajoitettaisiin tarkoin määriteltyyn tietojenkäsittelyyn ja että tällaiseen käyttötarkoituksen määrittelyyn johtavat toimintapoliittiset valinnat perusteltaisiin.

27.

Raportin laaja soveltamisala olisi nähtävä yhteydessä niin sanotussa tulevaisuusryhmässä käsiteltyyn kattavaan transatlanttiseen turvallisuusalueeseen (14). Kyseisen ryhmän kesäkuussa 2008 annetussa raportissa painotetaan sisäpolitiikan ulkoista ulottuvuutta. Raportin mukaan ‘vuoteen 2014 mennessä Euroopan unionin olisi tehtävä ratkaisu sen poliittisen tavoitteen osalta, joka koskee euro-atlanttisen yhteistyöalueen toteuttamista vapauden, turvallisuuden ja oikeuden alueella Yhdysvaltain kanssa’. Tällainen yhteistyö menisi pelkkää turvallisuutta pidemmälle, koska siihen kuuluisi vähintään aiheita, joita käsitellään EY:n perustamissopimuksen nykyisessä IV osastossa, esimerkiksi maahanmuutto, viisumi- ja turvapaikka-asiat ja yksityisoikeudellinen yhteistyö. On kysyttävä, missä määrin esimerkiksi kontaktiryhmän raportissa mainittuja tietosuojan perusperiaatteita koskevan sopimuksen on mahdollista ja pitäisi olla perustana tietojenvaihdolle näin laajalla alalla.

28.

Vuonna 2014 pilarirakenteen ei pitäisi enää olla olemassa, jolloin tietosuojalle EU:n sisällä on vain yksi oikeusperusta (Lissabonin sopimus, Euroopan unionin toiminnasta tehdyn sopimuksen 16 artikla). Se, että tietosuojan sääntelyä on yhdenmukaistettu EU:n tasolla, ei kuitenkaan tarkoita, että kolmannen maan kanssa tehtävässä sopimuksessa voitaisiin sallia henkilötietojen siirtäminen mitä tahansa tarkoitusta varten. Yhteydestä ja tietojenkäsittelyn edellytyksistä riippuen yksittäiset alat, esimerkiksi lainvalvonta, saattavat vaatia tietosuojatakeiden mukauttamista. Tietosuojavaltuutettu suosittelee, että näiden eri mahdollisuuksien seuraukset otettaisiin huomioon tulevaa sopimusta valmisteltaessa.

29.

Ainakin lyhyellä aikavälillä on oleellista määritellä, minkä pilarin nojalla järjestely neuvotellaan. Tämä on tarpeen erityisesti siksi, että tällainen sopimus vaikuttaa tietosuojan sisäisiin sääntelypuitteisiin. Käytetäänkö puitteina ensimmäistä pilaria – periaatteessa direktiiviä 95/46/EY ja sen erityistä järjestelmää tietojen siirtämiseksi kolmansiin maihin – vai kolmatta pilaria, jossa tietojensiirtoon kolmansiin maihin sovellettava järjestelmä ei ole yhtä tiukka (15)?

30.

Kuten edellä mainittiin, lainvalvontatarkoitukset ovat ensisijaisia, mutta kontaktiryhmän raportissa mainitaan siitä huolimatta tietojen kerääminen yksityisiltä toimijoilta, ja käyttötarkoitukset voidaan myös tulkita laajasti niin, että ne kattavat paitsi puhtaan turvallisuuden, johon kuuluvat esimerkiksi maahanmuutto- ja rajavalvonta-asiat, mahdollisesti myös kansanterveyden. Tästä epävarmuudesta johtuen olisi ehdottomasti parempi odottaa EU-lainsäädännön mukaisten pilarien yhtenäistymistä Lissabonin sopimuksen myötä, jotta määriteltäisiin selkeästi neuvottelujen oikeusperusta ja EU:n toimielinten, erityisesti Euroopan parlamentin ja komission täsmällinen rooli.

31.

Olisi selvennettävä, johtavatko keskustelujen tulokset yhteisymmärryspöytäkirjaan tai muuhun ei-sitovaan välineeseen vai tehdäänkö niiden perusteella sitova kansainvälinen sopimus.

32.

Tietosuojavaltuutettu yhtyy raportissa esitettyyn kantaan, jossa annetaan etusija sitovalle sopimukselle. Virallinen sitova sopimus on tietosuojavaltuutetun mielestä ehdoton edellytys EU:n ulkopuolelle suuntautuvalle tiedonsiirrolle riippumatta siitä, mihin tarkoitukseen tiedot siirretään. Kolmanteen maahan ei voida siirtää tietoja ilman nimenomaisiin (ja sitoviin) oikeudellisiin puitteisiin sisältyviä riittäviä edellytyksiä ja takeita. Toisin sanoen yhteisymmärryspöytäkirja tai muu ei-sitova väline voi olla hyödyllinen ohjeiden antamiseksi myöhemmin tehtävien sitovien sopimusten neuvottelemista varten, mutta se ei voi koskaan korvata sitovaa sopimusta.

33.

Välineen määräysten olisi sidottava tasavertaisesti Yhdysvaltoja, EU:ta ja sen jäsenvaltioita.

34.

Lisäksi olisi varmistettava, että yksilöillä on oikeus käyttää oikeuksiaan ja erityisesti saada oikeussuojaa sovittujen periaatteiden perusteella. Tietosuojavaltuutetun mukaan tähän päästään parhaiten, jos välineen varsinaiset määräykset muotoillaan niin, että niillä on välittömiä oikeusvaikutuksia Euroopan unionin asukkaisiin ja että niihin voidaan vedota tuomioistuimessa. Tästä syystä välineessä on tehtävä selväksi kansainvälisen sopimuksen määräysten välittömät oikeusvaikutukset sekä edellytykset sen saattamiseksi osaksi EU:n sisäistä ja kansallista lainsäädäntöä toimenpiteiden tehokkuuden varmistamiseksi.

35.

Perustavanlaatuinen kysymys on myös se, missä määrin sopimus on itsenäinen tai missä määrin sitä on täydennettävä tapauskohtaisesti tehtävillä sopimuksilla yksittäisistä tietojenvaihdoista. On kyseenalaista, voitaisiinko yhdellä sopimuksella ja siis yksillä vaatimuksilla riittävästi kattaa kolmannen pilarin tietojenkäsittelyn moninaiset erityispiirteet. Vielä kyseenalaisempaa on, voitaisiinko siinä ilman lisäkeskusteluja ja -takeita sallia minkä tahansa henkilötietojen siirron yleishyväksyntä asianomaisten tietojen käyttötarkoituksesta ja luonteesta riippumatta. Sitä paitsi kolmansien maiden kanssa tehtävät sopimukset eivät välttämättä ole pysyviä, koska ne voivat liittyä erityisiin uhkiin, niitä voidaan tarkistaa ja niihin voidaan soveltaa raukeamislausekkeita. Toisaalta sitovassa välineessä tunnustetut yhteiset vähimmäisvaatimukset voisivat helpottaa henkilötietojen siirrosta käytäviä mahdollisia jatkokeskusteluja tietyn tietokannan tai käsittelyn yhteydessä.

36.

Tietosuojavaltuutettu kannattaakin tietosuojaa koskevien vähimmäiskriteerien kehittämistä ja niiden täydentämistä tapauskohtaisesti erityisillä lisämääräyksillä, kuten kontaktiryhmän raportissa esitetään, mieluummin kuin itsenäisen sopimuksen vaihtoehtoa. Kyseiset erityiset lisämääräykset ovat ennakkoedellytys tiedonsiirrolle yksittäistapauksessa. Näin rohkaistaisiin yhdenmukaista lähestymistapaa tietosuojaan.

37.

Olisi tarkasteltava myös sitä, miten mahdollinen yleisluonteinen sopimus sopisi yhteen EU:n ja Yhdysvaltojen välillä jo tehtyjen, voimassa olevien sopimusten kanssa. Huomattakoon, että nämä voimassa olevat sopimukset eivät ole samalla tavoin sitovia: erityisesti voidaan mainita PNR-sopimus (joka tarjoaa suuremman oikeusvarmuuden), Europol- ja Eurojust-sopimukset tai Swift-kirjeenvaihto (16). Korvaisivatko uudet yleiset puitteet nämä voimassa olevat välineet vai säilyisivätkö ne muuttumattomina ja uusia puitteita sovellettaisiin vain muihin tuleviin henkilötietojen siirtoihin? Tietosuojavaltuutetun mielestä oikeudellinen johdonmukaisuus edellyttäisi yhdenmukaisia sääntöjä, joita sovellettaisiin sekä voimassa oleviin että tuleviin sitoviin tiedonsiirtosopimuksiin ja jotka täydentäisivät niitä.

38.

Yleisluonteisen sopimuksen soveltamisesta voimassa oleviin välineisiin olisi se etu, että se vahvistaisi niiden sitovuutta. Tämä olisi erityisen tervetullutta silloin, kun välineet eivät ole oikeudellisesti sitovia, kuten Swift-kirjeenvaihdon tapauksessa, koska se velvoittaisi ainakin noudattamaan yleisiä tietosuojaperiaatteita.

39.

Tässä luvussa käsitellään sitä, miten tiettyjen puitteiden tai tietyn välineen tarjoaman suojan tasoa olisi arvioitava, sekä käytettäviä vertailukohtia ja tarvittavia perusvaatimuksia.

40.

Tietosuojavaltuutettu pitää selvänä, että yhtenä tulevan välineen pääasiallisena tuloksena olisi se, että henkilötietoja voidaan siirtää Yhdysvaltoihin vain, jos Yhdysvaltojen viranomaiset takaavat tietosuojan riittävän tason (ja päinvastoin).

41.

Tietosuojavaltuutettu katsoo, että henkilötietojen suojan tason takeiden riittävyys voidaan varmistaa vain todellisella riittävyystestillä. Yleisluonteisella puitesopimuksella, jonka soveltamisala olisi yhtä laaja kuin kontaktiryhmän raportissa mainitaan, olisi vaikeuksia päästä läpi todellisesta riittävyystestistä. Yleisluonteisen sopimuksen tietosuojan taso voitaisiin todeta riittäväksi vain, jos siihen yhdistetään tapauskohtaisesti tehtyjen erityissopimusten tietosuojan riittävä taso.

42.

Kolmansien maiden tarjoaman tietosuojan tason arviointi ei ole epätavallista etenkään Euroopan komissiossa, koska ensimmäisen pilarin mukaisiin tiedonsiirtoihin vaaditaan tietosuojan riittävää tasoa. Se on useissa tapauksissa mitattu direktiivin 95/46/EY 25 artiklan nojalla erityisten kriteerien pohjalta ja vahvistettu Euroopan komission päätöksillä (17). Kolmannessa pilarissa tällaisesta järjestelmästä ei ole nimenomaan määrätty, vaan tietosuojan tason riittävyyttä on mitattava ainoastaan – vielä tekemättömän – tietosuojapuitepäätöksen (18) 11 ja 13 artiklassa tarkoitetussa erityisessä tilanteessa, ja mittaaminen on jäsenvaltioiden vastuulla.

43.

Käsillä olevassa tapauksessa toimien soveltamisala liittyy lainvalvontatarkoituksiin, ja neuvotteluja käy komissio neuvoston valvonnassa. Yhteys eroaa safe harbour -periaatteiden tai Kanadan lainsäädännön tarjoaman tietosuojan tason riittävyyden arvioinnista ja liittyy enemmänkin Yhdysvaltojen ja Kanadan kanssa äskettäin käytyihin PNR-neuvotteluihin, joiden oikeudellisina puitteina oli kolmas pilari. Kontaktiryhmän periaatteet on kuitenkin mainittu myös yhteydessä viisumivapausohjelmaan, joka koskee rajavalvontaa ja maahanmuuttoa eli ensimmäisen pilarin asioita.

44.

Tietosuojavaltuutettu suosittelee, että tulevan välineen nojalla tapahtuvassa tietosuojan tason riittävyyden selvittämisessä käytettäisiin hyväksi mainituilla eri aloilla saatuja kokemuksia. Tietosuojavaltuutettu suosittelee myös, että ”tietosuojan tason riittävyyden” käsitettä kehitettäisiin edelleen tulevan välineen yhteydessä käyttäen vastaavanlaisia kriteerejä kuin aikaisemmissa tietosuojan tason riittävyysmäärityksissä.

45.

Toinen tietosuojan tason muodostava seikka liittyy EU:n ja Yhdysvaltojen järjestelmien vastavuoroiseen tunnustamiseen. Kontaktiryhmän raportissa mainitaan tämän osalta, että tavoitteena on ”saada tunnustus kummankin osapuolen yksityisyyden suojaa ja tietosuojaa koskevien järjestelmien tehokkuudelle kyseisten periaatteiden kattamilla aloilla” (19) ja päästä ”yksityisyyden ja henkilötietojen suojaa koskevan lainsäädännön yhtäläiseen ja vastavuoroiseen soveltamiseen”.

46.

Tietosuojavaltuutetun mielestä on ilmeistä, että vastavuoroinen tunnustaminen (tai vastavuoroisuus) on mahdollista vain, jos taataan suojan riittävä taso. Toisin sanoen tulevalla välineellä olisi yhdenmukaistettava suojan vähimmäistaso (selvittämällä tason riittävyys ottaen tapauskohtaisesti huomioon erityisten sopimusten tarve). Vain tällä ennakkoedellytyksellä vastavuoroisuus voitaisiin vahvistaa.

47.

Ensimmäinen huomioitava tekijä on tietosuojaa koskevien varsinaisten säännösten vastavuoroisuus. Tietosuojavaltuutetun mielestä sopimuksessa olisi käsiteltävä tietosuojaa koskevien varsinaisten säännösten vastavuoroisuutta niin, että varmistetaan toisaalta tietosuojaa koskevien kansallisten lakien täysimääräinen noudattaminen EU:n (ja Yhdysvaltojen) alueella tapahtuvassa tietojenkäsittelyssä ja toisaalta se, että tietojen alkuperämaan ulkopuolella tapahtuvassa käsittelyssä, joka kuuluu sopimuksen soveltamisalaan, noudatetaan sopimukseen sisältyviä tietosuojaperiaatteita.

48.

Toinen tekijä on oikeussuojamekanismien vastavuoroisuus. Olisi varmistettava, että Euroopan kansalaisten käytössä on riittävät oikeussuojakeinot, kun heitä koskevia tietoja käsitellään Yhdysvalloissa (riippumatta siitä, mitä lainsäädäntöä käsittelyyn sovelletaan), mutta myös se, että Euroopan unioni ja sen jäsenvaltiot myöntävät Yhdysvaltojen kansalaisille yhtäläiset oikeudet.

49.

Kolmas tekijä on lainvalvontaviranomaisten vastavuoroinen pääsy henkilötietoihin. Jos väline mahdollistaa Yhdysvaltojen viranomaisten pääsyn Euroopan unionista peräisin oleviin tietoihin, vastavuoroisuuden perusteella EU:n viranomaisille olisi annettava vastaava pääsy Yhdysvalloista peräisin oleviin tietoihin. Vastavuoroisuudesta ei saa olla haittaa rekisteröidyn suojan tehokkuudelle. Se on edellytys ”transatlanttisen” pääsyn sallimiseksi lainvalvontaviranomaisille. Konkreettisesti tämä tarkoittaa seuraavaa:

50.

Arviointiedellytysten (suojan riittävyys, vastaavuus, vastavuoroinen tunnustaminen) erittely on oleellista, koska sisällön täsmällisyys, oikeusvarmuus ja suojan tehokkuus määräytyvät niiden mukaan. Tulevan välineen sisällön on oltava täsmällinen ja tarkka.

51.

Lisäksi olisi oltava selvää, että myöhemmin mahdollisesti tehtäviin erityissopimuksiin on vielä sisällytettävä yksityiskohtaiset ja täydelliset tietosuojatakeet suunnitellun tietojenvaihdon aiheen osalta. Vain kaksinkertaistamalla tällä tavoin tietosuojaa koskevat konkreettiset periaatteet varmistettaisiin samansuuntaisuus, jonka on vallittava yleisluonteisen sopimuksen ja erityissopimusten välillä, kuten tämän lausunnon kohdissa 35 ja 36 todettiin.

52.

On syytä kiinnittää erityistä huomiota siihen, missä määrin Yhdysvaltojen kanssa tehtävää sopimusta voitaisiin käyttää mallina muiden kolmansien maiden suhteen. Tietosuojavaltuutettu panee merkille, että Yhdysvaltojen lisäksi edellä mainitussa tulevaisuusryhmän raportissa mainitaan myös Venäjä EU:n strategisena kumppanina. Kunhan periaatteet ovat puolueettomia ja EU:n perustakeiden mukaisia, ne voisivat muodostaa hyödyllisen ennakkotapauksen. Esimerkiksi vastaanottavan maan lainsäädäntöpuitteisiin liittyvät erityispiirteet tai tiedonsiirron tarkoitus estäisivät kuitenkin käyttämästä sopimusta sellaisenaan. Yhtä ratkaiseva on kolmansien maiden demokraattinen tilanne: sovittujen periaatteiden tosiasiallinen takaaminen ja täytäntöönpano vastaanottavassa maassa olisi varmistettava.

53.

Implisiittisessä tai eksplisiittisessä tietosuojan tason riittävyyden arvioinnissa olisi joka tapauksessa noudatettava kansainvälisiä ja eurooppalaisia lainsäädäntöpuitteita ja erityisesti yhteisesti sovittuja tietosuojatakeita. Ne sisältyvät Yhdistyneiden Kansakuntien ohjeisiin, Euroopan neuvoston yleissopimukseen 108 ja sen lisäpöytäkirjaan, OECD:n ohjeisiin ja luonnokseen tietosuojapuitepäätökseksi sekä ensimmäisen pilarin näkökohtien osalta direktiiviin 95/46/EY (20). Kaikissa näissä välineissä on samankaltaisia periaatteita, jotka tunnustetaan laajemminkin keskeiseksi osaksi henkilötietojen suojaa.

54.

Edellä mainittujen periaatteiden asianmukainen huomioon ottaminen on sitäkin tärkeämpää, kun otetaan huomioon vaikutukset, joita kontaktiryhmän raportissa suunnitellun kaltaisella mahdollisella sopimuksella olisi. Kolmannen maan koko lainvalvonta-alaa koskeva väline loisi todellakin ennennäkemättömän tilanteen. Voimassa olevat tietosuojan tason riittävyyttä koskevat ensimmäisen pilarin päätökset ja EU:n (Europol, Eurojust) kolmannessa pilarissa tekemät sopimukset kolmansien maiden kanssa ovat aina liittyneet erikseen määriteltyyn tiedonsiirtoon, kun taas tässä tapauksessa saatettaisiin mahdollistaa paljon laajemmat siirrot, kun otetaan huomioon käyttötarkoituksen laaja-alaisuus (rikosten torjuminen, kansallinen ja yleinen turvallisuus, rajavalvonta) ja asianomaisten tietokantojen määrän epäselvyys.

55.

Henkilötietoja kolmansiin maihin siirrettäessä noudatettavia edellytyksiä on käsitelty 29 artiklan mukaisen tietosuojatyöryhmän valmisteluasiakirjassa (21). Yksityisyyden suojan vähimmäisperiaatteita koskevan mahdollisen sopimuksen olisi läpäistävä vaatimustenmukaisuustesti, jolla varmistetaan tietosuojatakeiden tehokkuus.

56.

Näiden kolmen perusvaatimuksen lisäksi olisi kiinnitettävä erityistä huomiota henkilötietojen käsittelyyn lainvalvonnan yhteydessä liittyviin erityispiirteisiin. Kyseessä on ala, jolla perusoikeuksia saatetaan rajoittaa jonkin verran. Tämän vuoksi olisi sovellettava takeita, joilla kompensoidaan yksilöiden oikeuksien rajoittamista, erityisesti seuraavien seikkojen osalta ja ottaen huomioon yksilöön kohdistuvat vaikutukset:

57.

Tässä luvussa analysoidaan kontaktiryhmän asiakirjaan sisältyviä 12 periaatetta seuraavasta näkökulmasta:

58.

Ensimmäisessä kontaktiryhmän raportin liitteessä luetelluista periaatteista todetaan, että henkilötietojen käsittelyn on tapahduttava oikeutettua lainvalvontatarkoitusta varten. Kuten edellä on mainittu, tämä viittaa Euroopan unionin osalta rikosten torjuntaan, selvittämiseen, tutkintaan tai syytteeseenpanoon. Yhdysvaltojen osalta lainvalvonnan tulkinta on kuitenkin rikoksia laajempi ja kattaa ”rajavalvonnan, yleisen turvallisuuden ja kansallisen turvallisuuden tarkoitukset”. Epäselväksi jää, mitä seurauksia tällaisista EU:n ja Yhdysvaltojen ilmoitettujen käyttötarkoitusten eroavaisuuksista olisi. Raportissa mainitaan, että käytännössä käyttötarkoitukset saattavat vastata toisiaan suuressa määrin, mutta on oleellisen tärkeää tietää tarkoin, missä määrin ne eivät vastaa toisiaan. Kun otetaan huomioon toteutettujen toimenpiteiden vaikutukset yksilöihin, lainvalvonta-alalla on ehdottomasti noudatettava käyttötarkoituksen rajoittamisen periaatetta ja ilmoitettujen käyttötarkoitusten on oltava selkeitä ja määriteltyjä. Käyttötarkoitusten lähentäminen vaikuttaa myös olennaisen tärkeältä, kun otetaan huomioon raportissa suunniteltu vastavuoroisuus. Lyhyesti sanottuna on selvennettävä, miten periaate ymmärretään.

59.

Tietosuojavaltuutettu on tyytyväinen määräykseen, jonka mukaan lainmukainen käsittely edellyttää tietojen oikeellisuutta, asiaankuuluvuutta, ajantasaisuutta ja täydellisyyttä. Tällainen periaate on tehokkaan tietojenkäsittelyn perusedellytys.

60.

Periaatteessa yhdistetään selkeästi toisiinsa kerätyt tiedot ja niiden tarve vastata lakisääteistä lainvalvontatarkoitusta. Tämä oikeusperustan vaatimus on myönteinen tekijä, jolla vahvistetaan käsittelyn laillisuus. Tietosuojavaltuutettu toteaa kuitenkin, että vaikka näin vahvistetaan käsittelyn oikeusvarmuutta, tällaisen käsittelyn oikeusperustana on kolmannen maan laki. Kolmannen maan laki ei voi sellaisenaan olla laillinen oikeusperusta henkilötietojen siirrolle (22). Kontaktiryhmän raportissa näytetään oletettavan, että kolmannen maan eli Yhdysvaltojen lainsäädäntö tunnustetaan periaatteessa päteväksi. Olisi pidettävä mielessä, että vaikka kyseinen logiikka voi tässä tapauksessa olla perusteltua, kun otetaan huomioon, että Yhdysvallat on demokraattinen valtio, sama järjestelmä ei olisi pätevä eikä sitä voitaisi sellaisenaan soveltaa suhteisiin minkään muun kolmannen maan kanssa.

61.

Kontaktiryhmän raportin liitteen mukaan kaikkien henkilötietojen siirtojen on oltava aiheellisia, tarpeellisia ja asianmukaisia. Tietosuojavaltuutettu korostaa, että ollakseen suhteellista tietojenkäsittelyssä ei saa tarpeettomasti puuttua yksityiselämään ja että käsittely on toteutettava tasapainoisesti ja rekisteröityjen oikeudet ja edut huomioon ottaen.

62.

Tästä syystä tietoihin pääsy olisi myönnettävä tapauskohtaisesti erityiseen tutkintaan liittyvistä käytännön tarpeista riippuen. Kolmannen maan lainvalvontaviranomaisten pysyvää pääsyä EU:ssa sijaitseviin tietokantoihin pidettäisiin suhteettomana ja perusteettomana. Tietosuojavaltuutettu muistuttaa, että myös tietojenvaihtoa koskevien voimassa olevien sopimusten yhteydessä, esimerkiksi PNR-sopimuksen tapauksessa, tietojenvaihto perustuu erityisiin olosuhteisiin ja siitä sovitaan rajoitetuksi ajaksi (23).

63.

Saman logiikan mukaisesti tietojen säilyttämisaikaa olisi säänneltävä niin, että tiedot säilytettäisiin vain niin kauan kuin ne ovat tarpeellisia erityiseen käyttötarkoitukseensa. Jos ne eivät enää ole aiheellisia määritellyn käyttötarkoituksen kannalta, ne olisi tuhottava. Tietosuojavaltuutettu vastustaa voimakkaasti sellaisten tietovarastojen kokoamista, joissa varastoitaisiin tietoja yksilöistä, joihin ei kohdistu epäilyjä, mahdollista tulevaa tarvetta varten.

64.

Periaatteisiin sisältyy toimenpiteitä ja menettelyjä tietojen suojaamiseksi väärinkäytöltä, muuttamiselta ja muilta riskeiltä sekä määräys pääsyn rajoittamisesta valtuutettuihin yksilöihin. Tietosuojavaltuutettu pitää tätä tyydyttävänä.

65.

Periaatetta voitaisiin vielä täydentää määräyksellä, jonka mukaan tietojen käyttäjistä olisi pidettävä lokeja. Näin vahvistettaisiin takeita pääsyn rajoittamiseksi ja tietojen väärinkäytön estämiseksi.

66.

Tietoturvaloukkausten sattuessa olisi myös sovittava vastavuoroisesta tiedottamisesta: tietojen vastaanottajat sekä Yhdysvalloissa että EU:ssa olisivat vastuussa tiedottamisesta vastapuolilleen, jos heidän saamiaan tietoja on luovutettu laittomasti. Näin tehostetaan vastuuta tietojen turvallisesta käsittelystä.

67.

Arkaluonteisten tietojen käsittelyn kieltävää periaatetta heikentää tietosuojavaltuutetun mielestä huomattavasti poikkeus, joka sallii arkaluonteisten tietojen käsittelyn aina, kun kansallisessa lainsäädännössä on säädetty ”asianmukaisista takeista”. Juuri tietojen arkaluonteisuuden vuoksi kaikki poikkeukset kieltoperiaatteesta on perusteltava riittävästi ja tarkasti, ja niihin on liitettävä luettelo käyttötarkoituksista ja olosuhteista, joissa määrätynlaisia arkaluonteisia tietoja voidaan käsitellä, sekä ilmoitus tällaisten tietojen käsittelyyn valtuutetuista rekisterinpitäjistä. Osana annettavia takeita tietosuojavaltuutettu katsoo, ettei arkaluonteisten tietojen pitäisi sinänsä olla tutkinnan käynnistävä tekijä. Ne voisivat olla saatavilla erityisissä olosuhteissa, mutta vain lisätietoina rekisteröidystä, joka on jo tutkinnan kohteena. Kyseiset takeet ja edellytykset on lueteltava tyhjentävästi periaatteen tekstissä.

68.

Kuten tämän lausunnon kohdissa 55 ja 56 selvitetään, henkilötietoja käsittelevien julkisyhteisöjen vastuuvelvollisuus on varmistettava tehokkaasti ja vastuuvelvollisuuden varmistamistapaa koskevat takeet on annettava sopimuksessa. Tämä on sitäkin tärkeämpää, kun otetaan huomioon avoimuuden puute, joka perinteisesti yhdistetään henkilötietojen käsittelyyn lainvalvonnan yhteydessä. Tältä kannalta maininta – kuten tällä hetkellä liitteessä – jonka mukaan julkisyhteisöt ovat vastuuvelvollisia, antamatta muuta selitystä tällaisen vastuuvelvollisuuden yksityiskohdista ja seurauksista, ei ole tyydyttävä tae. Tietosuojavaltuutettu suosittelee tällaisen selityksen antamista välineen tekstissä.

69.

Tietosuojavaltuutettu antaa täyden tukensa yhden tai useamman julkisen valvontaviranomaisen harjoittamaa riippumatonta ja tehokasta valvontaa koskevan määräyksen sisällyttämiselle tekstiin. Tietosuojavaltuutettu katsoo, että riippumattomuuden tulkintaa olisi selvennettävä erityisesti sen osalta, kenestä kyseiset viranomaiset ovat riippumattomia ja kenelle ne raportoivat. Tämä edellyttää kriteerejä, joissa olisi otettava huomioon institutionaalinen ja toiminnallinen riippumattomuus suhteessa toimeenpano- ja lainsäädäntöelimiin. Tietosuojavaltuutettu muistuttaa, että tämä on oleellinen tekijä sovittujen periaatteiden tosiasiallisen noudattamisen varmistamisen kannalta. Kyseisten viranomaisten toiminta- ja täytäntöönpanovaltuudet ovat niin ikään ratkaisevan tärkeitä käsiteltäessä edellä mainittua kysymystä henkilötietoja käsittelevien julkisyhteisöjen vastuuvelvollisuudesta. Niiden olemassaolo ja toimivaltuudet olisi saatettava selkeästi rekisteröityjen tietoon, jotta nämä voivat käyttää oikeuksiaan, erityisesti jos useat viranomaiset ovat toimivaltaisia käsittelyn asiayhteydestä riippuen.

70.

Lisäksi tietosuojavaltuutettu suosittelee, että tulevassa sopimuksessa määrättäisiin myös valvontaviranomaisten välisistä yhteistyömekanismeista.

71.

Lainvalvonnan yhteydessä myönnettävän pääsyn ja oikaisujen osalta tarvitaan erityisiä takeita. Siinä mielessä tietosuojavaltuutettu suhtautuu myönteisesti periaatteeseen, jonka mukaan yksilöille on annettava tai pitäisi antaa pääsy henkilötietoihinsa ja mahdollisuus pyytää niiden oikaisua ja/tai poistamista. Yksilöiden määrittelyyn (kaikkia rekisteröityjä olisi suojeltava, ei vain asianomaisen maan kansalaisia) ja edellytyksiin, joilla yksilöt voisivat vastustaa tietojensa käsittelyä, liittyy kuitenkin vielä epävarmuutta. ”Asianmukaisia tapauksia, joissa käsittelyä voitaisiin vastustaa tai ei voitaisi vastustaa, on tarkennettava”. Rekisteröidyille olisi oltava selvää, missä olosuhteissa – riippuen esimerkiksi viranomaisen luonteesta, tutkinnan tyypistä tai muista perusteista – he voivat käyttää oikeuksiaan.

72.

Lisäksi jos ei ole olemassa välitöntä mahdollisuutta vastustaa käsittelyä perustelluista syistä, olisi mahdollistettava välillinen tarkistaminen käsittelyn valvonnasta vastaavan riippumattoman viranomaisen kautta.

73.

Tietosuojavaltuutettu korostaa jälleen kerran tosiasiallisen avoimuuden tärkeyttä, jotta yksilöt voisivat käyttää oikeuksiaan ja jotta edistettäisiin henkilötietoja käsittelevien viranomaisten yleistä vastuuvelvollisuutta. Tietosuojavaltuutettu kannattaa kaavailtuja periaatteita ja painottaa erityisesti yksilölle annettavan yleisen ja yksittäisen ilmoituksen tarpeellisuutta. Tämä käy ilmi liitteen kohdassa 9 olevan periaatteen sanamuodosta.

74.

Raportin luvussa 2 olevassa kohdassa B (‘Sovitut periaatteet’) kuitenkin mainitaan, että Yhdysvalloissa avoimuuteen voi kuulua ”yksin tai yhdessä muiden toimien kanssa julkaiseminen Federal Register -säädöskokoelmassa, yksittäinen ilmoitus sekä luovuttaminen oikeuskäsittelyä varten”. On oltava selvää, että julkaiseminen virallisessa lehdessä ei sinänsä riitä takaamaan asianmukaista tiedottamista rekisteröidylle. Yksittäisen ilmoituksen tarpeellisuuden lisäksi tietosuojavaltuutettu muistuttaa, että tiedot on annettava sellaisessa muodossa ja sellaisella kielellä, jota rekisteröidyn on helppo ymmärtää.

75.

Jotta taattaisiin yksilöiden oikeuksien tehokas käyttäminen, yksilöiden on voitava tehdä valitus riippumattomassa tietosuojaviranomaisessa sekä saattaa asia riippumattoman ja puolueettoman tuomioistuimen käsiteltäväksi. Molempien oikeussuojakeinojen olisi oltava yhtäläisesti käytettävissä.

76.

Mahdollisuus kääntyä riippumattoman tietosuojaviranomaisen puoleen on tarpeen, koska se tarjoaa joustavaa ja kohtuuhintaista apua alalla (lainvalvonta), joka voi olla yksilöille melko vaikeaselkoinen. Tietosuojaviranomaiset voivat myös antaa apua käyttämällä tiedonsaantioikeuksia rekisteröityjen puolesta, jos poikkeukset estävät näitä saamasta välitöntä pääsyä henkilötietoihinsa.

77.

Oikeus saattaa asia tuomioistuimen käsiteltäväksi on välttämätön lisätae, jolla varmistetaan, että rekisteröidyt voivat käyttää oikeuskeinoja viranomaisessa, joka kuuluu heidän tietojaan tosiasiassa käsittelevistä julkisista elimistä erilliseen osaan demokraattista järjestelmää. Yhteisöjen tuomioistuin (24) on katsonut, että tällainen tosiasiallinen mahdollisuus saattaa asia tuomioistuimen käsiteltäväksi on ”olennaisen tärkeää, jotta yksityiselle taattaisiin hänen oikeutensa todellinen suoja. (…) [Se] on yhteisön oikeuden yleinen periaate, joka pohjautuu jäsenvaltioiden yhteiseen valtiosääntöperinteeseen ja joka on ilmaistu Euroopan ihmisoikeussopimuksen 6 ja 13 artiklassa”. Oikeuskeinoista säädetään myös nimenomaisesti Euroopan unionin perusoikeuskirjan 47 artiklassa ja direktiivin 95/46/EY 22 artiklassa ilman, että ne rajoittavat mahdollisten hallinnollisten keinojen käyttöä.

78.

Tietosuojavaltuutettu panee tyytyväisenä merkille määräyksen asianmukaisista takeista käsiteltäessä henkilötietoja automaattisesti. Tietosuojavaltuutettu toteaa, että tämän periaatteen soveltamisedellytykset olisivat selkeämmät, jos määriteltäisiin yhteisesti, mitä tarkoitetaan ‘merkittävällä haitallisella toiminnalla, joka koskee yksilön asiaankuuluvia etuja’.

79.

Jotkut tietojen edelleensiirtämistä koskevista edellytyksistä ovat epäselviä. Erityisesti silloin, kun edelleensiirtämisessä on noudatettava lähettävän ja vastaanottavan maan välisiä kansainvälisiä järjestelyjä ja sopimuksia, olisi tarkennettava, tarkoittaako tämä ensimmäisen siirron toteuttaneiden kahden maan vai edelleensiirtoon osallistuvien kahden maan välisiä sopimuksia. Tietosuojavaltuutetun mukaan ensimmäisen siirron toteuttaneiden kahden maan välisiä sopimuksia on joka tapauksessa noudatettava.

80.

Tietosuojavaltuutettu panee myös merkille, että edelleensiirtämisen mahdollistava ”oikeutettu yleinen etu” on määritelty hyvin laajasti. Yleisen turvallisuuden soveltamisala jää epäselväksi, ja siirtojen laajentaminen tapauksissa, joissa on toimittu epäeettisesti tai joissa on kyse säännellyistä ammateista, vaikuttaa perusteettomalta ja liialliselta lainvalvonnan yhteydessä.

81.

Tietosuojavaltuutettu suhtautuu myönteisesti EU:n ja Yhdysvaltojen viranomaisten yhteiseen työskentelyyn lainvalvonnan alalla, jolla tietosuoja on ratkaisevan tärkeää. Tietosuojavaltuutettu kuitenkin painottaa, että kysymys on monimutkainen, erityisesti tarkan soveltamisalansa ja luonteensa osalta, ja että sitä on sen vuoksi syytä analysoida huolellisesti ja perusteellisesti. Transatlanttisen välineen vaikutuksia tietosuojaan olisi tarkasteltava huolellisesti nykyisten lainsäädäntöpuitteiden ja kansalaisiin kohdistuvien seurausten kannalta.

82.

Tietosuojavaltuutettu kehottaa selventämään varsinkin seuraavia seikkoja ja laatimaan niistä konkreettisia määräyksiä:

83.

Tietosuojavaltuutettu korostaa sitä, että periaatteita laadittaessa olisi vältettävä hätiköintiä, koska se johtaisi vain riittämättömiin ratkaisuihin, joiden vaikutukset tietosuojaan olisivat päinvastaisia kuin aiotut. Paras etenemistapa tässä vaiheessa olisi sen vuoksi laatia etenemissuunnitelma mahdollisen sopimuksen tekemiseksi myöhemmin.

84.

Tietosuojavaltuutettu kehottaa myös entistä suurempaan avoimuuteen laadittaessa tietosuojaperiaatteita. Välineestä ei käydä demokraattista keskustelua eikä se saa tarvitsemaansa tukea ja tunnustusta, elleivät kaikki sidosryhmät, Euroopan parlamentti mukaan luettuna, osallistu prosessiin.

—

Amerikan yhdysvaltojen ja Euroopan poliisiviraston sopimus, 6. joulukuuta 2001, ja Europolin ja USA:n lisäsopimus henkilötietojen ja niihin liittyvien tietojen vaihdosta, julkaistu Europolin Internet-sivustolla;

—

Amerikan yhdysvaltojen ja Eurojustin sopimus oikeudellisesta yhteistyöstä, 6. marraskuuta 2006, julkaistu Eurojustin Internet-sivustolla;

—

Euroopan unionin ja Amerikan yhdysvaltojen välinen sopimus lentoyhtiöiden PNR- eli matkustajarekisteritietojen käsittelemisestä ja siirtämisestä Yhdysvaltojen turvallisuusministeriölle (DHS) (vuoden 2007 PNR-sopimus), allekirjoitettu Brysselissä 23. heinäkuuta 2007 ja Washingtonissa 26. heinäkuuta 2007, EUVL L 204, 4.8.2007, s. 18;

—

Yhdysvaltojen ja EU:n viranomaisten kirjeenvaihto terrorismin rahoituksen jäljittämisohjelmasta, 28. päivänä kesäkuuta 2007.

—

Yhdistyneiden Kansakuntien yleisohjeet henkilötietoja sisältävistä tiedostoista, annettu yleiskokouksessa 14. joulukuuta 1990, saatavilla osoitteessa www.unhchr.ch/html/menu3/b/71.htm

—

Euroopan neuvoston yleissopimus yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä, 28. tammikuuta 1981, saatavilla osoitteessa www.conventions.coe.int/treaty/en/Treaties/html/108.htm

—

OECD:n ohjeet tietosuojasta ja henkilötietojen kansainvälisistä siirroista, annettu 23. syyskuuta 1980, saatavilla osoitteessa www.oecd.org/document/20/0,3343,en_2649_34255_15589524_1_1_1_1,00.html

—

Luonnos neuvoston puitepäätökseksi rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta, saatavilla osoitteessa http://ec.europa.eu/prelex/detail_dossier_real.cfm?CL=en&DosId=193371

—

Euroopan parlamentin ja neuvoston direktiivi 95/46/EY, annettu 24 päivänä lokakuuta 1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta, EYVL L 281, 23.11.1995, s. 31.

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/13

1.

Komission tiedonanto neuvostolle, Euroopan parlamentille ja Euroopan talous- ja sosiaalikomitealle ”Tavoitteena sähköisen oikeudenkäytön strategia Euroopalle” hyväksyttiin 30. toukokuuta 2008. Euroopan tietosuojavaltuutettu antaa tämän lausunnon asetuksen (EY) N:o 45/2001 41 artiklan mukaisesti.

2.

Tiedonannon tarkoituksena on ehdottaa sähköisen oikeudenkäytön strategiaa, jolla lisättäisiin kansalaisten luottamusta Euroopan oikeusalueeseen. Sähköisellä oikeudenkäytöllä pyritään ensisijaisesti lisäämään oikeudenkäytön tehokkuutta kaikkialla Euroopan unionin alueella sen kansalaisten hyödyksi. EU:n toimilla olisi edistettävä kansalaisten tiedonsaantia ja poistettava järjestelmien moninaisuudesta johtuvia kielellisiä, kulttuurisia ja oikeudellisia esteitä. Tiedonannon liitteessä on toimintasuunnitelmaa ja hankkeiden aikataulua koskeva ehdotus.

3.

Tässä tietosuojavaltuutetun lausunnossa kommentoidaan tiedonantoa siltä osin kuin se koskee henkilötietojen käsittelyä, yksityisyyden suojaa sähköisen viestinnän alalla ja tietojen vapaata liikkuvuutta.

4.

Oikeus- ja sisäasioiden neuvosto (3) määritteli kesäkuussa 2007 useita painopisteitä sähköisen oikeudenkäytön kehittämiselle:

5.

Sähköistä oikeudenkäyttöä koskeva työskentely on sen jälkeen edennyt tasaisesti. Komission mielestä alan työskentelyssä on varmistettava, että operatiiviset hankkeet ja hajautetut rakenteet asetetaan etusijalle samalla, kun huolehditaan EU:n tason koordinoinnista, hyödynnetään voimassa olevia oikeudellisia välineitä ja käytetään tietotekniikkaa niiden toimivuuden tehostamiseksi. Euroopan parlamentti on myös antanut tukensa sähköisen oikeudenkäytön hankkeelle (4).

6.

Komissio on johdonmukaisesti rohkaissut nykyaikaisen tietotekniikan käyttöä sekä siviili- että rikosoikeuden alalla. Näin on saatu aikaan esimerkiksi eurooppalainen maksamismääräys. Komissio on vuodesta 2003 ylläpitänyt siviili- ja kauppaoikeuden alan Euroopan oikeudellisen verkoston portaalia, joka on kansalaisten saatavilla 22 kielellä. Komissio on myös suunnitellut ja perustanut Euroopan oikeudellisen atlaksen. Nämä välineet ovat sähköisen oikeudenkäytön tulevien eurooppalaisten puitteiden rakennusosia. Rikosoikeuden alalla komissio on kehittänyt välinettä, jolla mahdollistettaisiin jäsenvaltioiden rikosrekistereistä peräisin olevien tietojen vaihto (5). Komission lisäksi myös Eurojust on kehittänyt suojattuja viestintäjärjestelmiä kansallisten viranomaisten kanssa.

7.

Sähköisen oikeudenkäytön on tarkoitus tarjota lukuisia tilaisuuksia tehdä Euroopan oikeusalueesta kansalaisille konkreettisempi tulevina vuosina. Tätä tärkeää asiaa koskevan kokonaisstrategian laatimiseksi komissio antoi tarkasteltavana olevan tiedonannon sähköisestä oikeudenkäytöstä. Tiedonannossa vahvistetaan objektiiviset perusteet painopisteiden määrittelylle erityisesti EU:n tason tulevien hankkeiden osalta, jotta päästäisiin konkreettisiin tuloksiin kohtuullisessa ajassa.

8.

Komission yksiköiden valmisteluasiakirjassa, joka on liitetty tiedonantoon ja jossa on vaikutustenarvioinnin tiivistelmä, annetaan myös joitakin taustatietoja (6). Vaikutustenarviointiraportin valmistelussa on otettu huomioon jäsenvaltioiden, oikeusviranomaisten, oikeusalan ammattilaisten, kansalaisten ja yritysten kannanotot. Tietosuojavaltuutettua ei ole kuultu. Vaikutustenarviointiraportissa pidettiin ongelmien ratkaisemiseksi parhaana toimintavaihtoehtoa, jossa eurooppalainen ulottuvuus yhdistetään kansalliseen toimivaltaan. Tiedonannossa valittiin tämä toimintavaihtoehto. Strategiassa keskitytään videoneuvottelujen käyttöön, sähköisen oikeudenkäytön portaalin luomiseen, käännösmahdollisuuksien parantamiseen kehittämällä verkkokäyttöisiä konekäännösvälineitä, oikeusviranomaisten välisen viestinnän tehostamiseen sekä kansallisten rekisterien ja verkkokäyttöisten välineiden yhteenliittämisen lisäämiseen eurooppalaisissa menettelyissä (esim. eurooppalainen maksamismääräys).

9.

Tietosuojavaltuutettu antaa tukensa keskittymiselle edellä mainittuihin toimiin ja kannattaa yleisesti ottaen kokonaisvaltaista lähestymistapaa sähköiseen oikeudenkäyttöön. Tietosuojavaltuutettu vahvistaa tarpeen tehostaa oikeussuojan saatavuutta, eurooppalaisten oikeusviranomaisten välistä yhteistyötä ja itse oikeusjärjestelmän toimintaa. Tällainen lähestymistapa vaikuttaa useisiin toimijoihin ja henkilöihin:

10.

Tiedonanto liittyy läheisesti ehdotukseen neuvoston päätökseksi eurooppalaisen rikosrekisteritietojärjestelmän (ECRIS) perustamisesta. Tietosuojavaltuutettu antoi 16. syyskuuta 2008 kyseistä ehdotusta koskevan lausunnon (7). Hän kannatti ehdotusta sillä edellytyksellä, että tietyt näkökohdat otetaan huomioon. Tietosuojavaltuutettu huomautti erityisesti, että tämänhetkinen tietosuojaa koskevien kattavien oikeudellisten puitteiden puuttuminen olisi korvattava tietosuojaa koskevilla lisätakeilla poliisi- ja oikeusviranomaisten yhteistyön alalla. Tästä syystä hän korosti, että järjestelmän tietosuojan valvonnassa on harjoitettava tosiasiallista koordinointia, johon osallistuvat jäsenvaltioiden viranomaiset ja komissio yhteisen viestintäinfrastruktuurin ylläpitäjänä.

11.

Joitakin lausunnossa annetuista suosituksista on syytä palauttaa mieliin:

12.

Suositukset kuvaavat hyvin myös yhteyttä, jossa tiedonantoa analysoidaan.

13.

Sähköinen oikeudenkäyttö ulottuu hyvin laajalle alalle, myös tieto- ja viestintätekniikan käyttöön yleensä oikeudenhoidossa Euroopan unionin alueella. Tämä kattaa lukuisia asioita, esimerkiksi hankkeita, joilla parannetaan yksityisten oikeussubjektien tiedonsaantimahdollisuuksia. Näihin kuuluvat oikeusjärjestelmiä, lainsäädäntöä ja oikeuskäytäntöä koskevien tietojen antaminen saataville Internetissä, sähköiset viestintäjärjestelmät asianosaisten ja tuomioistuimen välillä ja kokonaan sähköisten menettelyjen käyttöönotto. Siihen kuuluu myös eurooppalaisia hankkeita, esimerkiksi sähköisten välineiden käyttö oikeuden istuntojen tallentamiseen, ja hankkeita, joihin liittyy tietojenvaihtoa tai järjestelmien yhteenliittämistä.

14.

Tietosuojavaltuutettu on todennut, että järjestelmän laaja-alaisuudesta huolimatta siinä on tietoja rikosasioiden käsittelystä ja siviili- ja kauppaoikeudellisista järjestelmistä, mutta ei hallinto-oikeudellisista järjestelmistä. Samoin siinä on linkki rikos- ja siviilioikeudelliseen atlakseen, mutta ei hallinto-oikeudelliseen atlakseen, vaikka kansalaisille ja yrityksille olisi ehkä parempi antaa pääsy oikeudellisiin hallintojärjestelmiin eli hallinto-oikeuteen ja valitusmenettelyihin. Myös linkistä jäsenvaltioiden ylinten hallintotuomioistuinten yhdistykseen olisi huolehdittava. Nämä lisäykset auttaisivat kansalaisia heidän pyrkiessään selviytymään viidakosta, joka hallinto-oikeus eri tuomioistuimineen usein on, ja pääsemään paremmin perille hallinnollisista oikeusjärjestelmistä.

15.

Tietosuojavaltuutettu suositteleekin, että hallinnolliset menettelyt sisällytettäisiin sähköiseen oikeudenkäyttöön. Osana tätä uutta aluetta olisi aloitettava sähköisen oikeudenkäytön hankkeita, joilla lisätään tietosuojasääntöjen ja kansallisten tietosuojaviranomaisten näkyvyyttä, erityisesti sähköisen oikeudenkäytön puitteissa käsiteltyjen tietotyyppien osalta. Tämä vastaisi niin sanottua ”Lontoon aloitetta”, jonka tietosuojaviranomaiset tekivät marraskuussa 2006 ja jonka tarkoituksena on tietosuojasta tiedottaminen ja sen parantaminen.

16.

Sovellettavat tietosuojaa koskevat oikeudelliset puitteet saavat entistä enemmän merkitystä, kun tiedonannossa kaavaillun mukaan henkilötietojen vaihto lisääntyy oikeusviranomaisten välillä. Tietosuojavaltuutettu panee tässä yhteydessä merkille, että kolme vuotta komission alkuperäisen ehdotuksen antamisen jälkeen Euroopan unionin neuvosto teki 27. marraskuuta 2008 puitepäätöksen rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (8). Tämä uusi säädös toimii tietosuojaa koskevina yleisinä oikeudellisina puitteina kolmannen pilarin asioissa ensimmäistä pilaria koskevien direktiivin 95/46/EY tietosuojasäännösten lisäksi.

17.

Tietosuojavaltuutettu suhtautuu myönteisesti kyseiseen säädökseen, joka on ensimmäinen huomattava edistysaskel poliisi- ja oikeudellisen yhteistyön tietosuojan alalla. Lopullisen tekstin tarjoama tietosuojan taso ei kuitenkaan ole täysin tyydyttävä. Puitepäätös nimenomaan koskee vain jäsenvaltioiden ja EU:n viranomaisten ja järjestelmien välillä vaihdettavia poliisi- ja oikeudellisia tietoja eikä kotimaisia tietoja. Lisäksi tehdyssä puitepäätöksessä ei säädetä velvoitteesta tehdä eroa rekisteröityjen eri ryhmien välillä, esimerkiksi epäiltyjen, rikoksentekijöiden, todistajien ja uhrien välillä, sen varmistamiseksi, että heidän tietojensa käsittelyyn sovelletaan asianmukaisempia takeita. Se ei ole täysin johdonmukainen direktiivin 95/46/EY kanssa, erityisesti sen osalta, miten henkilötietojen jatkokäsittelyn sallitut käyttötarkoitukset on rajattu. Siinä ei myöskään säädetä asiaankuuluvien kansallisten ja EU:n tietosuojaviranomaisten riippumattomasta ryhmästä, joka voisi sekä varmistaa tietosuojaviranomaisten paremman koordinoinnin että myötävaikuttaa oleellisesti puitepäätöksen yhdenmukaiseen soveltamiseen.

18.

Tämä tarkoittaisi, että tilanteessa, jossa rajatylittävää henkilötietojen vaihtoa koskevien yhteisten järjestelmien kehittämiseksi ponnistellaan monin tavoin, eroja on vielä siinä, minkä sääntöjen mukaan tietoja käsitellään ja kansalaiset voivat käyttää oikeuksiaan eri EU-maissa.

19.

Tietosuojavaltuutettu muistuttaa jälleen kerran, että tietosuojan korkean tason varmistaminen poliisi- ja oikeudellisessa yhteistyössä sekä johdonmukaisuus direktiivin 95/46/EY kanssa ovat välttämätön täydennys muihin käyttöön otettuihin tai suunniteltuihin toimenpiteisiin, joilla pyritään helpottamaan henkilötietojen rajatylittävää vaihtoa lainvalvonnassa. Tämä johtuu paitsi kansalaisten oikeudesta henkilötietojen suojaamista koskevan perusoikeuden kunnioittamiseen, myös lainvalvontaviranomaisten tarpeesta varmistaa vaihdettujen tietojen laatu – mikä vahvistetaan tiedonannon liitteessä rikosrekisterien yhteenliittämisen osalta – sekä eri maiden viranomaisten välinen luottamus ja viime kädessä rajatylittävässä toiminnassa kerätyn todistusaineiston oikeudellinen pätevyys.

20.

Näin ollen tietosuojavaltuutettu rohkaisee EU:n toimielimiä ottamaan mainitut seikat erityisesti huomioon paitsi toteuttaessaan tiedonannossa suunniteltuja toimenpiteitä, myös keskustelujen aloittamiseksi mahdollisimman pian lisäparannuksista lainvalvonta-alan tietosuojan oikeudellisiin puitteisiin.

21.

Tietosuojavaltuutettu vahvistaa, että henkilötietojen vaihdot ovat olennaisia tekijöitä luotaessa vapauden, turvallisuuden ja oikeuden aluetta. Tästä syystä tietosuojavaltuutettu kannattaa sähköisen oikeudenkäytön strategiaa koskevaa ehdotusta mutta korostaa tietosuojan merkittävyyttä tässä yhteydessä. Tietosuojan takaaminen ei ole vain lakisääteinen velvoite vaan myös avainasia suunniteltujen järjestelmien onnistumisen kannalta, esimerkiksi tiedonvaihtojen laadun varmistamiseksi. Tämä pätee sekä henkilötietojen käsittelyyn toimielimissä ja elimissä että uusien politiikkojen määrittelyyn. Sääntöjä ja periaatteita olisi sovellettava ja noudatettava käytännössä, ja ne olisi otettava huomioon varsinkin tietojärjestelmien suunnittelu- ja perustamisvaiheessa. Yksityisyyden suoja ja tietosuoja ovat varsinaisia hyvinvoivan ja tasapainoisen tietoyhteiskunnan ”onnistumisen avaimia”. Niihin on siis järkevää panostaa jo mahdollisimman aikaisessa vaiheessa.

22.

Tietosuojavaltuutettu korostaa tässä yhteydessä, ettei tiedonannossa kaavailla eurooppalaista keskustietokantaa, ja suhtautuu myönteisesti hajautettujen rakenteiden asettamiseen etusijalle. Tietosuojavaltuutettu palauttaa mieliin lausuntonsa ECRIS-järjestelmästä (9) ja Prümin aloitteesta (10). ECRIS-lausunnossaan tietosuojavaltuutettu katsoi, että hajautetulla rakenteella vältetään henkilötietojen toistaminen keskustietokannassa. Prümin aloitteesta antamassaan lausunnossa tietosuojavaltuutettu kehotti ottamaan asianmukaisesti huomioon järjestelmän laajuuden käsiteltäessä tietokantojen yhteenliittämistä. Erityisesti olisi vahvistettava erityismallit tietojen toimittamista varten, esimerkiksi verkossa tehtäviä, rikosrekistereitä koskevia pyyntöjä varten, ottaen myös huomioon kielten eroavuudet, ja tietojenvaihdon tarkkuutta olisi valvottava jatkuvasti. Nämä seikat olisi otettava huomioon myös käsiteltäessä sähköisen oikeudenkäytön strategiaan pohjautuvia aloitteita.

23.

Euroopan komissio aikoo osallistua sähköisen oikeudenkäytön välineiden tukemiseen ja kehittämiseen Euroopan unionin tasolla koordinoiden tiiviisti toimiaan jäsenvaltioiden ja muiden kumppanien kanssa. Samalla kun komissio tukee jäsenvaltioiden työskentelyä tällä alalla, se aikoo myös itse kehittää joitakin tietokonepohjaisia välineitä, joilla voidaan parantaa järjestelmien yhteentoimivuutta, edistää oikeusturvan saatavuutta yleisön keskuudessa ja oikeusviranomaisten välistä tiedonvälitystä ja saavuttaa huomattavia mittakaavaedusta johtuvia säästöjä Euroopan unionin tasolla. Mitä tulee jäsenvaltioiden käyttämien ohjelmien yhteentoimivuuteen, kaikkien jäsenvaltioiden ei välttämättä tarvitse käyttää samoja ohjelmia, vaikka se olisikin käytännöllisin vaihtoehto, mutta ohjelmien on oltava täysin yhteentoimivia.

24.

Tietosuojavaltuutettu suosittelee, että järjestelmien liitännöissä ja yhteentoimivuudessa otettaisiin asianmukaisesti huomioon käyttötarkoituksen rajoittamisen periaate ja että ne suunniteltaisiin tietosuojavaatimusten pohjalta (”sisäänrakennettu yksityisyyden suoja”). Kaikenlainen vuorovaikutus eri järjestelmien välillä olisi dokumentoitava perusteellisesti. Yhteentoimivuus ei saisi koskaan johtaa tilanteeseen, jossa viranomainen, jolla ei ole oikeutta päästä tiettyihin tietoihin eikä käyttää niitä, voi saada niihin pääsyn toisen tietojärjestelmän kautta. Tietosuojavaltuutettu haluaa jälleen kerran korostaa, että yhteentoimivuus ei saisi sinänsä oikeuttaa käyttötarkoituksen rajoittamisen periaatteen kiertämiseen (11).

25.

Toinen ratkaisevan tärkeä seikka on sen varmistaminen, että tehostettuun henkilötietojen rajatylittävään vaihtoon liittyy myös tietosuojaviranomaisten harjoittama tehostettu valvonta ja yhteistyö. Tietosuojavaltuutettu korosti jo rikosrekisteritietojen vaihtoa koskevasta puitepäätöksestä 29. toukokuuta 2006 antamassaan lausunnossa (12), että ehdotetussa puitepäätöksessä olisi käsiteltävä paitsi keskusviranomaisten välistä yhteistyötä, myös yhteistyötä toimivaltaisten eri tietosuojaviranomaisten välillä. Tämän tarpeen merkitys on kasvanut entisestään, koska neuvoteltaessa äskettäin hyväksytystä puitepäätöksestä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (13) poistettiin säännös, jolla olisi perustettu työryhmä, joka kokoaa yhteen EU:n tietosuojaviranomaiset ja koordinoi näiden toimia tietojenkäsittelyssä, joka tapahtuu osana rikosasioissa tehtävää poliisi- ja oikeudellista yhteistyötä. Tehokkaan valvonnan ja rikosrekisteritietojen rajatylittävän liikkumisen korkean laadun varmistamiseksi olisikin perustettava tietosuojaviranomaisten tehokkaat koordinointimekanismit (14). Mekanismeissa olisi myös otettava huomioon Euroopan tietosuojavaltuutetun valvontatehtävä s-TESTA-infrastruktuurin osalta (15). Sähköisen oikeudenkäytön välineillä voitaisiin tukea kyseisiä mekanismeja, jotka voitaisiin kehittää tiiviissä yhteistyössä tietosuojaviranomaisten kanssa.

26.

Tiedonannon kohdassa 4.2.1 todetaan, että on tärkeää huolehtia siitä, että rikosrekisteritietojen vaihto ulottuu oikeudellista yhteistyötä laajemmalle ja siihen sisältyy muita tavoitteita, esimerkiksi pääsy tietynlaisiin työtehtäviin. Tietosuojavaltuutettu korostaa, että henkilötietojen käsittelyssä muihin tarkoituksiin kuin mihin ne on kerätty olisi noudatettava sovellettavassa tietosuojalainsäädännössä säädettyjä erityisiä edellytyksiä. Erityisesti henkilötietojen käsittely jatkotarkoituksiin olisi sallittava vain, jos se on välttämätöntä yhteisön tietosuojalainsäädännössä (16) lueteltujen intressien toteuttamiseksi ja jos niistä säädetään lainsäädäntötoimilla.

27.

Tiedonannossa todetaan rikosrekisterien yhteenliittämisen osalta, että osana rikosrekisteritietojen vaihtoa koskevan puitepäätöksen voimaantulon valmistelua komissio teettää kaksi toteutettavuustutkimusta voidakseen kehittää hanketta edelleen ja ulottaakseen tietojenvaihdon koskemaan rikoksesta tuomittuja kolmansien maiden kansalaisia. Vuonna 2009 komissio asettaa jäsenvaltioiden käyttöön tietokoneohjelman, jonka avulla kaikki rikosrekisterit voitaisiin ottaa mukaan tiedonvaihtojärjestelmään kohtuullisen pian. Tämä vertailukohtana toimiva järjestelmä ja s-TESTA-verkon käyttö tuottavat mittakaavaedusta johtuvia säästöjä, kun jokaisen jäsenvaltion ei tarvitse vastata erikseen omasta kehittämistyöstään. Samalla se myös yksinkertaistaa hankkeen teknistä toteutusta.

28.

Tietosuojavaltuutettu suhtautuu tältä kannalta myönteisesti luotettavaksi tiedonvaihtojärjestelmäksi osoittautuneen s-TESTA-infrastruktuurin käyttöön ja suosittelee, että suunniteltuihin tiedonvaihtojärjestelmiin liittyvät tilastotiedot määriteltäisiin yksityiskohtaisesti ja ottaen asianmukaisesti huomioon tarve varmistaa tietosuojan valvonta. Tilastotietoihin voitaisiin esimerkiksi nimenomaisesti sisällyttää sellaisia seikkoja kuin henkilötietojen saamis- tai oikaisupyyntöjen lukumäärä, päivittämisprosessin kesto ja täydellisyys, tietoja saavien henkilöiden asema sekä turvallisuusrikkomusten määrä. Lisäksi tilastotiedot ja niihin perustuvat raportit olisi annettava toimivaltaisten tietosuojaviranomaisten käyttöön.

29.

Konekäännösten käyttö on hyödyllinen väline ja edistänee keskinäistä ymmärtämistä jäsenvaltioiden asiaankuuluvien toimijoiden välillä. Konekäännösten käyttö ei kuitenkaan saisi johtaa vaihdettujen tietojen laadun heikkenemiseen, erityisesti jos tietojen perusteella tehdään päätöksiä, joilla on oikeusvaikutuksia asianomaisiin henkilöihin. Tietosuojavaltuutettu huomauttaa, että konekäännösten käyttö on tärkeää määritellä ja rajata selkeästi. Koneellisten käännösten käyttö lähetettäessä tietoja, joita ei ole esikäännetty täsmällisesti, esimerkiksi yksittäistapauksissa lisättyjä huomautuksia tai tarkennuksia, vaikuttaa todennäköisesti lähetettyjen tietojen laatuun – ja myös niiden perusteella tehtäviin päätöksiin – eikä sitä periaatteessa pitäisi sallia (17). Tietosuojavaltuutettu ehdottaa tämän suosituksen ottamista huomioon tiedonannon perusteella toteutettavissa toimenpiteissä.

30.

Tiedonannossa halutaan perustaa oikeusalan kääntäjien ja tulkkien tietokanta, oikeudellisten käännösten ja tulkkauksen laadun parantamiseksi. Tietosuojavaltuutettu kannattaa tavoitetta, mutta muistuttaa, että tietokantaan sovelletaan asiaankuuluvaa tietosuojalainsäädäntöä. Erityisesti jos tietokannassa on kääntäjien suoritusten arviointitietoja, toimivaltaisten tietosuojaviranomaisten on ehkä tehtävä sen ennakkotarkastus.

31.

Tiedonannon kohdassa 5 huomautetaan, että komission, jäsenvaltioiden ja muiden oikeudelliseen yhteistyöhön osallistuvien toimijoiden välillä on oltava selkeä työnjako. Komissio vastaa hankkeen yleisestä koordinoinnista edistämällä toimintatapojen vaihtoa ja suunnittelee sähköisen oikeudenkäytön portaalin, ottaa sen käyttöön ja koordinoi siihen sisältyviä tietoja. Lisäksi komissio jatkaa rikosrekisterien yhteenliittämiseen tähtäävää työtä ja vastaa jatkossakin suoraan siviilioikeuden alan Euroopan oikeudellisen verkoston toiminnasta ja tukee rikosoikeuden alan oikeudellista verkostoa. Jäsenvaltioiden tehtävänä tulee olemaan sähköisen oikeudenkäytön Internet-sivustossa olevien, niiden omia oikeusjärjestelmiä koskevien tietojen päivittäminen. Muita toimijoita ovat siviili- ja rikosoikeudelliset verkostot ja Eurojust. Niiden tehtävänä on kehittää oikeudellisen yhteistyön tehostamiseen tarvittavat työkalut, ennen kaikkea konekääntämisen työkalut ja suojattu tiedonvaihtojärjestelmä, tiiviissä yhteydessä komission kanssa. Tiedonannon liitteessä on toimintasuunnitelmaa ja hankkeiden aikataulua koskeva ehdotus.

32.

Tietosuojavaltuutettu korostaa tässä yhteydessä sitä, että ECRIS-järjestelmässä ei toisaalta perusteta eurooppalaista keskustietokantaa eikä anneta suoraa pääsyä esimerkiksi toisten jäsenvaltioiden rikosrekisteritietoja sisältäviin tietokantoihin, kun taas toisaalta vastuu tietojen oikeellisuudesta on kansallisella tasolla keskitetty jäsenvaltioiden keskusviranomaisille. Jäsenvaltiot vastaavat mekanismissa itse kansallisten tietokantojen toiminnasta ja tietojenvaihdon tehokkaasta toteuttamisesta. Epäselväksi jää, ovatko ne vastuussa liitäntäohjelmasta. Komissio asettaa jäsenvaltioiden käyttöön tietokoneohjelman, jonka avulla kaikki rikosrekisterit voitaisiin ottaa mukaan tiedonvaihtojärjestelmään kohtuullisen pian. Tämä vertailukohtana toimiva järjestelmä yhdistetään s-TESTA-verkon käyttöön tietojenvaihdossa.

33.

Tietosuojavaltuutettu olettaa, että myös vastaavien sähköisen oikeudenkäytön aloitteiden yhteydessä voitaisiin ottaa käyttöön samankaltaisia järjestelmiä ja että komissio vastaisi yhteisestä infrastruktuurista, vaikkei tätä mainita tiedonannossa. Tietosuojavaltuutettu ehdottaa, että kyseistä vastuuta selvennettäisiin tiedonannon perusteella toteutettavissa toimenpiteissä oikeusvarmuuden takia.

34.

Tiedonannon liitteessä luetellaan joukko hankkeita, joita on tarkoitus toteuttaa seuraavien viiden vuoden aikana. Ensimmäinen hanke, sähköisen oikeudenkäytön sivuston kehittäminen, kuuluu sähköisen oikeudenkäytön portaalin alaan. Toimi edellyttää toteutettavuustutkimusta ja portaalin kehittämistä. Tämän lisäksi se vaatii hallinnointimenetelmien käyttöönottoa ja tietojen julkaisemista verkossa kaikilla EU:n kielillä. Toinen ja kolmas hanke koskevat rikosrekisterien yhteenliittämistä. Hanke 2 koskee kansallisten rikosrekisterien yhteenliittämistä. Hankkeessa 3 perustettaisiin eurooppalainen hakemisto rikostuomion saaneista kolmansien maiden kansalaisista toteutettavuustutkimuksen tekemisen ja lainsäädäntöaloitteen esittämisen jälkeen. Tietosuojavaltuutettu panee merkille, että viimeksi mainittua hanketta ei enää mainita komission työohjelmassa, ja haluaisi tietää, johtuuko tämä muutoksesta komission suunnittelemissa hankkeissa vai ainoastaan tämän nimenomaisen hankkeen lykkäämisestä.

35.

Tiedonannossa luetellaan myös kolme hanketta sähköisen tiedonvaihdon alalla ja kolme hanketta kääntämiseen annettavan tuen alalla. Vertailevan monikielisen oikeudellisen sanaston laatimiseksi vaiheittain käynnistetään pilottihanke. Muut alan hankkeet liittyvät EU:n säädöksiin liitettävien verkkokäyttöisten lomakkeiden laatimiseen ja videoneuvottelujen käytön edistämiseen oikeusviranomaisten keskuudessa. Lisäksi osana sähköisen oikeudenkäytön foorumeita järjestetään vuotuisia kokouksia sähköisen oikeudenkäytön eri aihealueista ja kehitetään oikeudellista yhteistyötä koskevaa koulutusta oikeusalan ammattilaisille. Tietosuojavaltuutettu ehdottaa, että kokouksissa ja koulutustilaisuuksissa kiinnitetään riittävästi huomiota tietosuojaa koskeviin lakeihin ja käytäntöihin.

36.

Liitteessä siis kaavaillaan suurta määrää eurooppalaisia välineitä, joilla helpotettaisiin eri jäsenvaltioissa olevien toimijoiden välistä tietojenvaihtoa. Sähköisen oikeudenkäytön portaali, josta komissio on pääasiallisessa vastuussa, on näiden välineiden joukossa keskeisessä asemassa.

37.

Monille välineistä on yhteistä se, että eri toimijat vaihtavat ja hallinnoivat sekä kansallisella että EU:n tasolla tietoja ja henkilötietoja, joihin sovelletaan direktiiviin 95/46/EY tai asetukseen (EY) N:o 45/2001 perustuvia tietosuojavelvoitteita ja kohdistetaan valvontaviranomaisten toimia. Tämän osalta, kuten tietosuojavaltuutettu on jo selventänyt sisämarkkinoiden tietojenvaihtojärjestelmästä (IMI) antamassaan lausunnossa (18), on oleellista varmistaa, että tietosuojasääntöjen noudattamisvelvoitteet täytetään tehokkaasti ja saumattomasti.

38.

Tämä edellyttää periaatteessa toisaalta sitä, että vastuu henkilötietojen käsittelystä kyseisissä järjestelmissä on selkeästi määritelty ja osoitettu, ja toisaalta sitä, että tarvittaessa säädetään asianmukaisista koordinointimekanismeista, erityisesti valvonnan osalta.

39.

Uuden teknologian käyttö on yksi sähköisen oikeudenkäytön aloitteiden kulmakivistä: kansallisten rekisterien yhteenliittäminen, sähköisen allekirjoituksen kehittäminen, suojatut tietoverkot, virtuaaliset tiedonvaihtosivustot ja videoneuvottelujen käytön tehostaminen ovat oleellisia tekijöitä sähköisen oikeudenkäytön aloitteiden toteuttamisessa seuraavina vuosina.

40.

Tässä yhteydessä on erittäin tärkeää ottaa huomioon tietosuojakysymykset mahdollisimman varhaisessa vaiheessa ja sisällyttää ne suunniteltujen välineiden rakenteeseen. Varsinkin järjestelmän rakenne ja riittävien turvatoimien täytäntöönpano ovat erityisen tärkeitä. Tällaisen sisäänrakennetun yksityisyyden suojan lähestymistavan mukaan asiaankuuluvissa sähköisen oikeudenkäytön aloitteissa voitaisiin huolehtia henkilötietojen tehokkaasta hallinnoinnista samalla kun varmistetaan tietosuojaperiaatteiden noudattaminen ja eri viranomaisten välisten tiedonvaihtojen turvallisuus.

41.

Tietosuojavaltuutettu korostaa lisäksi, että teknologiaa olisi käytettävä paitsi tietojenvaihtoon myös asianomaisten henkilöiden oikeuksien toteuttamiseen. Tältä kannalta tietosuojavaltuutettu panee tyytyväisenä merkille, että tiedonannossa viitataan kansalaisten mahdollisuuteen pyytää rikosrekisteriotteitaan sähköisesti ja saada ne valitsemallaan kielellä (19). Tämän osalta tietosuojavaltuutettu muistuttaa rikosrekisteritietojen vaihtoa koskevasta komission ehdotuksesta antamassaan lausunnossa suhtautuneensa myönteisesti asianomaisen henkilön mahdollisuuteen pyytää omia rikosrekisteritietojaan jäsenvaltion keskusviranomaiselta sillä edellytyksellä, että asianomainen henkilö on tai on ollut pyynnön vastaanottaneen tai esittäneen jäsenvaltion pysyvä asukas tai kansalainen. Tietosuojavaltuutettu esitti myös ajatuksen asianomaista henkilöä lähinnä olevan viranomaisen käytöstä keskitettynä palvelupisteenä sosiaaliturvajärjestelmien koordinoinnin alalla. Tietosuojavaltuutettu kehottaakin komissiota jatkamaan samoilla linjoilla tukemalla sellaista teknologiaa ja erityisesti verkkokäyttöisiä välineitä, joiden avulla kansalaiset voivat paremmin hallita henkilötietojaan myös liikkuessaan eri jäsenvaltioiden välillä.

42.

Tietosuojavaltuutettu kannattaa kyseessä olevaa ehdotusta sähköisen oikeudenkäytön perustamisesta ja suosittelee, että siinä otettaisiin huomioon tässä lausunnossa esitetyt seikat, muun muassa seuraavat:

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/20

1.

Komissio hyväksyi 2.7.2008 ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi potilaiden oikeuksien soveltamisesta rajatylittävässä terveydenhuollossa (jäljempänä ehdotus) (1). Komissio lähetti ehdotuksen Euroopan tietosuojavaltuutetulle lausuntoa varten asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti.

2.

Ehdotuksen tarkoituksena on vahvistaa puitteet rajatylittävän terveydenhuollon tarjoamiselle EU:ssa tapauksissa, joissa hoito, johon potilas hakeutuu, annetaan muussa jäsenvaltiossa kuin potilaan kotimaassa. Tämä rakentuu kolmen pääalan ympärille:

3.

Näiden puitteiden tavoitteena on toisaalta antaa riittävä selvyys oikeudesta saada korvaus toisessa jäsenvaltioissa annetusta terveydenhuollosta ja toisaalta varmistaa, että korkeatasoisen, turvallisen ja tehokkaan terveydenhuollon edellyttämät vaatimukset turvataan rajatylittävässä terveydenhuollossa.

4.

Rajatylittävän terveydenhuoltojärjestelmän toteuttaminen edellyttää potilaiden terveyteen liittyvien asiaankuuluvien henkilötietojen (jäljempänä ”terveystiedot”) vaihtoa eri jäsenvaltioiden valtuutettujen organisaatioiden ja terveydenhuollon ammattihenkilöiden välillä. Näitä tietoja pidetään arkaluonteisina, ja niihin sovelletaan tiukempia tietosuojasääntöjä direktiivin 95/46/EY erityisiä tietoryhmiä koskevan 8 artiklan mukaisesti.

5.

Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että sitä kuullaan tässä asiassa ja että ehdotuksen johdanto-osassa viitataan tähän kuulemiseen asetuksen N:o 45/2001 28 artiklan mukaisesti.

6.

Tämä on ensimmäinen kerta, kun Euroopan tietosuojavaltuutettua kuullaan virallisesti terveydenhuoltoalaa koskevasta direktiiviehdotuksesta. Tämän vuoksi eräät tähän lausuntoon sisältyvistä huomioista ovat laaja-alaisia ja niissä käsitellään sellaisia henkilötietojen suojaan terveydenhuoltoalalla liittyviä yleisiä kysymyksiä, jotka voisivat koskea myös muita asiaankuuluvia (sitovia tai ei-sitovia) säädöksiä.

7.

Euroopan tietosuojavaltuutettu ilmoittaa heti aluksi tukevansa aloitteita rajatylittävän terveydenhuollon edellytysten parantamiseksi. Tätä ehdotusta olisikin tarkasteltava osana sitä EY:n kokonaisohjelmaa, jonka tavoitteena on parantaa kansalaisten terveyttä tietoyhteiskunnassa. Muita tähän aiheeseen liittyviä aloitteita ovat komission kaavailema direktiivi ja tiedonanto ihmisen elinluovutuksista ja elinsiirroista (2), suositus sähköisten terveyskertomusten yhteentoimivuudesta (3) sekä suunniteltu tiedonanto etähoidosta (4). Euroopan tietosuojavaltuutettu on kuitenkin huolissaan siitä, etteivät nämä samaa aihealuetta koskevat aloitteet liity läheisesti toisiinsa ja/tai ole yhteydessä toisiinsa yksityisyyden suojan ja tietosuojan osalta, minkä vuoksi terveydenhuoltoalalla ei voida omaksua yhdenmukaista tietosuojaa koskevaa lähestymistapaa etenkään uusien tieto- ja viestintäteknologioiden käytön osalta. Vaikka käsiteltävänä olevan direktiiviehdotuksen johdanto-osan 10 kappaleessa mainitaan erikseen etähoito, ehdotuksessa ei esimerkiksi viitata asiaa koskevan EY:n tiedonannon tietosuojaulottuvuuteen. Lisäksi, vaikka sähköiset terveyskertomusjärjestelmät ovat yksi mahdollinen tapa toimittaa terveystietoja rajan yli, ehdotuksessa ei viitata asiaa koskevassa komission suosituksessa käsiteltyihin yksityisyyden suojaa koskeviin kysymyksiin (5). Tästä saa sen käsityksen, ettei terveydenhuoltoon liittyvää yksityisyyden suojan näkökulmaa ole vieläkään määritelty selvästi ja että joissakin tapauksissa se puuttuu kokonaan.

8.

Tämä on ilmeistä myös käsiteltävänä olevassa ehdotuksessa, ja Euroopan tietosuojavaltuutettu on pahoillaan siitä, ettei siinä ole käsitelty tietosuojanäkökohtia konkreettisesti. Viittauksia tietosuojaan toki löytyy, mutta ne ovat pääosin yleisluonteisia eikä niissä käsitellä riittävästi yksityisyyden suojaan liittyviä erityistarpeita ja -vaatimuksia rajatylittävässä terveydenhuollossa.

9.

Euroopan tietosuojavaltuutettu haluaa korostaa, että yhtenäinen ja järkevä tietosuojaa koskeva lähestymistapa kaikkialla terveydenhuoltoon liittyvissä ehdotuksissa varmistaisi kansalaisten perusoikeuden tietojensa suojaamiseen, minkä lisäksi se edistäisi rajatylittävän terveydenhuollon kehittymistä EU:ssa.

10.

Euroopan yhteisön tärkeimpänä tavoitteena on ollut perustaa sisämarkkinat eli sellainen ilman sisäisiä rajoja oleva alue, jolla tavarat, ihmiset, palvelut ja pääoma voivat liikkua vapaasti. Kansalaisille tarjoutunut mahdollisuus helpommin muuttaa muihin jäsenvaltioihin kuin josta he ovat peräisin ja asua niissä on luonnollisesti nostanut esiin terveydenhuoltoon liittyviä kysymyksiä. Tämän vuoksi yhteisöjen tuomioistuin sai 90-luvulla käsiteltäväkseen sisämarkkinoihin liittyen kysymyksiä, jotka koskivat toisessa jäsenvaltiossa syntyneiden sairauskulujen mahdollista korvaamista. Yhteisöjen tuomioistuin totesi, että palvelujen tarjoamisen vapaus, sellaisena kuin siitä määrätään EY:n perustamissopimuksen 49 artiklassa, sisältää henkilöiden vapauden muuttaa toiseen jäsenvaltioon sairaanhoidon saamista varten (6). Tämän seurauksena rajatylittävää terveydenhuoltoa haluavia potilaita ei enää voitu kohdella eri tavalla kuin saman sairaanhoidon rajaa ylittämättä saavia kansalaisia heidän lähtömaassaan.

11.

Nämä yhteisöjen tuomioistuimen tuomiot ovat keskeisiä tämän ehdotuksen kannalta. Koska yhteisöjen tuomioistuimen oikeuskäytäntö perustuu yksittäisiin tapauksiin, tämän ehdotuksen tavoitteena on selkeyttää tilannetta ja varmistaa terveyspalvelujen saamiseen ja tarjoamiseen liittyvien oikeuksien yleisempi ja tehokkaampi soveltaminen. Mutta kuten jo mainittiin, ehdotus on lisäksi osa kunnianhimoisempaa ohjelmaa, jonka tarkoituksena on parantaa kansalaisten terveyttä tietoyhteiskunnassa, jossa EU näkee hyviä mahdollisuuksia edistää rajatylittävää terveydenhuoltoa tietotekniikkaa hyödyntämällä.

12.

Itsestään selvien syiden vuoksi rajatylittävää terveydenhuoltoa koskevien sääntöjen asettaminen on arkaluonteinen asia. Se liittyy sellaiseen arkaluonteiseen alueeseen, jolla jäsenvaltioilla on toisistaan poikkeavia kansallisia järjestelmiä, esimerkiksi vakuutusten ja kulujen korvaamisen tai terveydenhuollon infrastruktuurin organisaation osalta, terveydenhuollon tietoverkot ja — sovellukset mukaan luettuina. Vaikka yhteisön lainsäätäjä käsiteltävänä olevassa ehdotuksessa keskittyykin ainoastaan rajatylittävään terveydenhuoltoon, samat säännöt vaikuttavat ainakin siihen, miten kansalliset terveydenhuoltojärjestelmät organisoidaan.

13.

Kansalaiset hyötyvät rajatylittävän terveydenhuollon edellytysten parantamisesta. Samanaikaisesti se kuitenkin tuo mukanaan myös tiettyjä kansalaisiin kohdistuvia riskejä. On ratkaistava monia sellaisia käytännön ongelmia, jotka ovat tyypillisiä rajatylittävälle yhteistyölle eri maista olevien ja eri kieliä puhuvien ihmisten välillä. Koska hyvä terveys on äärimmäisen tärkeä jokaiselle kansalaiselle, väärinymmärrysten ja niistä johtuvien virheiden riski olisi poistettava. On sanomattakin selvää, että rajatylittävän terveydenhuollon edistäminen yhdessä tietotekniikan uusien sovellusten käytön kanssa vaikuttaa merkittävästi henkilötietojen suojaan. Terveystietojen tehokkaampi ja siten lisääntyvä vaihto, kasvava välimatka henkilöiden ja asianomaisten tahojen välillä sekä tietosuojasääntöjen täytäntöönpanoa koskevat erilaiset kansalliset lait nostavat esiin tietosuojaan ja oikeusvarmuuteen liittyviä kysymyksiä.

14.

On syytä korostaa, että terveystietoja pidetään erityisenä tietoryhmänä, joka edellyttää tavallista parempaa suojaamista. Kuten Euroopan ihmisoikeustuomioistuin äskettäin Euroopan ihmisoikeussopimuksen 8 artiklaan liittyen totesi: ”Henkilötietojen, erityisesti terveystietojen, suoja on olennaisen tärkeä osa sitä, että henkilö voi nauttia oikeudestaan yksityis- ja perhe-elämän kunnioittamiseen yleissopimuksen 8 artiklan mukaisesti” (7). Ennen terveystietojen käsittelyä koskevien tiukempien sääntöjen, jotka säädetään direktiivissä 95/46/EY, selittämistä muutama sana ”terveystietojen” käsitteestä.

15.

Direktiivissä 95/46/EY ei ole erikseen määritelty terveystietojen käsitettä. Yleisesti sovelletaan laajaa tulkintaa siten, että terveystietoina pidetään ”henkilötietoja, jotka selvästi ja läheisesti liittyvät henkilön terveydentilan kuvaamiseen” (8). Tässä suhteessa terveystiedot yleensä käsittävät lääketieteelliset tiedot (esim. lääkärin lähetteet ja lääkemääräykset, tutkimustulokset, laboratoriotulokset, röntgenkuvat jne.) sekä terveyteen liittyvät hallinnolliset ja taloudelliset tiedot (esim. sairaalahoitoon ottamista koskevat asiakirjat, sosiaaliturvanumero, vastaanottokäyntien ajankohdat, annettujen terveydenhuoltopalvelujen laskut jne.). On syytä huomata, että myös ilmaisua ”lääketieteelliset tiedot” (9) (medical data) käytetään joskus viittaamaan terveyteen liittyviin tietoihin samoin kuin ilmaisua ”terveydenhuoltotiedot” (10) (healthcare data). Tässä lausunnossa käytetään ilmaisua ”terveystiedot”.

16.

ISO 27799 sisältää käyttökelpoisen määritelmän ilmaisulle ”terveystiedot”: ”yksilön fyysiseen tai psyykkiseen terveydentilaan tai yksilölle tarjottuihin terveyspalveluihin liittyvät tiedot, joita voivat olla: a) tiedot yksilön rekisteröimisestä terveyspalvelujen saamista varten; b) tiedot yksilöä koskevista terveydenhuollon laskuista tai yksilön kelpoisuudesta terveydenhuoltoon; c) yksilölle annettu numero, symboli tai erityistuntomerkki ainoastaan yksilön tunnistamiseksi terveydenhuollon piirissä; d) yksilöstä terveydenhuollon palvelujen antamisen kuluessa kerätyt tiedot; e) kehon osan tai kehosta peräisin olevan aineen testaamisesta tai tutkimisesta saadut tiedot; ja f) tieto siitä, kuka (terveydenhuollon ammattihenkilö) on hoitanut yksilöä”.

17.

Euroopan tietosuojavaltuutettu puoltaa voimakkaasti tarkan määritelmän vahvistamista ilmaisulle ”terveystiedot” tämän ehdotuksen yhteydessä; määritelmää voitaisiin myöhemmin käyttää myös muissa asiaan liittyvissä EY:n säädöksissä (ks. III osa).

18.

Direktiivin 95/46/EY 8 artiklassa säädetään erityisten tietoryhmien käsittelyä koskevat säännöt. Nämä säännöt ovat tiukemmat kuin direktiivin 95/46/EY 7 artiklassa säädetyt muiden tietojen käsittelyä koskevat säännöt. Tämä käy ilmi jo siitä, että 8 artiklan 1 kohdassa säädetään selvästi, että jäsenvaltion on kiellettävä mm. terveyttä koskevien tietojen käsittely. Artiklan seuraavissa kohdissa säädetään useita tätä kieltoa koskevia poikkeuksia, mutta ne ovat rajoitetummat kuin perusteet 7 artiklan mukaiselle normaalien tietojen käsittelylle. Kieltoa ei esim. sovelleta, jos henkilö on antanut nimenomaisen suostumuksensa (8 artiklan 2 kohdan a alakohta); direktiivin 95/46/EY 7 artiklan a alakohdassa puolestaan vaaditaan yksiselitteinen suostumus. Lisäksi jäsenvaltion laissa voidaan määrittää, että tietyissä tapauksissa edes tietojen kohteen suostumus ei voi kumota kieltoa. Direktiivin 8 artiklan 3 kohta koskee ainoastaan terveyteen liittyvien tietojen käsittelyä. Kyseisen kohdan mukaan 1 kohdassa säädettyä kieltoa ei sovelleta, jos tietojen käsittely on tarpeen ennalta ehkäisevää lääketiedettä tai lääketieteellisiä diagnooseja varten, hoidon tai käsittelyn suorittamista varten taikka terveydenhuollon palvelujen hallinnointia varten ja jos näitä tietoja käsittelee terveydenhuollon ammattihenkilö, jota koskee kansallisen lainsäädännön tai toimivaltaisten kansallisten viranomaisten vahvistamien sääntöjen nojalla salassapitovelvollisuus, tai jos tietoja käsittelee muu henkilö, jolla on vastaava salassapitovelvoite.

19.

Direktiivin 95/46/EY 8 artiklassa korostetaan voimakkaasti sitä, että jäsenvaltioiden olisi huolehdittava sopivista tai riittävistä varotoimista. Direktiivin 8 artiklan 4 kohdassa esim. annetaan jäsenvaltioille mahdollisuus säätää lisäpoikkeuksia arkaluonteisten tietojen käsittelykieltoon tärkeää yleistä etua koskevasta syystä, kunhan huolehditaan sopivista suojatoimista. Näin korostetaan jäsenvaltioiden vastuuta siitä, että arkaluonteisten tietojen, kuten terveyttä koskevien tietojen, käsittelyyn kiinnitetään erityistä huomiota.

20.

Jäsenvaltioiden olisi kiinnitettävä erityistä huomiota edellä mainittuun vastuuseen aina, kun on kyse terveystietojen rajatylittävästä vaihdosta. Kuten edellä jo todettiin, terveystietojen rajatylittävä vaihto lisää virheellisen tai sääntöjenvastaisen tietojenkäsittelyn riskiä. Tällä voi luonnollisesti olla merkittäviä kielteisiä seurauksia tietojen kohteelle. Sekä vakuutusjäsenvaltio (jossa potilas on vakuutettu) että hoitojäsenvaltio (jossa rajatylittävää terveydenhuoltoa annetaan) osallistuvat tähän prosessiin, ja siksi ne jakavat kyseisen vastuun.

21.

Terveystietojen turvallisuus on tässä yhteydessä tärkeä asia. Edellä mainitussa äskettäisessä tapauksessa Euroopan ihmisoikeustuomioistuin painotti erityisesti terveystietojen luottamuksellisuutta: ”Terveystietojen luottamuksellisuuden kunnioittaminen on keskeinen periaate kaikkien yleissopimuksen sopimuspuolten oikeusjärjestelmissä. Potilaan yksityisyyden suojan lisäksi on voitava säilyttää hänen luottamuksensa lääkärikuntaan ja terveydenhuollon palveluihin yleensä” (11).

22.

Direktiivissä 95/46/EY säädetyt tietosuojasäännöt edellyttävät lisäksi, että vakuutusjäsenvaltion pitäisi antaa potilaalle asianmukaista, oikeaa ja ajantasaista tietoa hänen henkilötietojensa siirtämisestä toiseen jäsenvaltioon sekä varmistaa tietojen turvattu siirtäminen kyseiseen jäsenvaltioon. Hoitojäsenvaltion olisi myös huolehdittava siitä, että tietojen vastaanottaminen tapahtuu turvatusti ja käsittely suojataan asianmukaisesti kansallisen tietosuojalainsäädännön mukaisesti.

23.

Euroopan tietosuojavaltuutettu haluaisi selventää ehdotuksessa jäsenvaltioiden jaettua vastuuta, myös sähköinen tietojenvälitys huomioon ottaen, erityisesti uusien tieto- ja viestintätekniikan sovellusten yhteydessä jäljempänä esitetyn mukaisesti.

24.

Terveystietojen rajatylittävää vaihtoa edistetään pääosin tietotekniikan avulla. Vaikka tietoja saatetaan rajatylittävässä terveydenhuoltojärjestelmässä edelleen vaihtaa paperilla (esim. potilas muuttaa toiseen jäsenvaltioon ja vie mukanaan olennaiset terveystietonsa, kuten laboratoriotulokset, lääkärin lähetteet jne.), tarkoituksena on selvästikin siirtyä käyttämään sähköisiä keinoja. Terveystietojen sähköistä siirtämistä tuetaan jäsenvaltioihin (sairaaloihin, klinikoille jne.) perustetuilla (tai perustettavilla) terveydenhuoltoalan tietojärjestelmillä sekä käyttämällä uusia tekniikoita, kuten terveydenhuollon sähköisen asioinnin sovelluksia (mahdollisesti Internetin kautta) sekä muita välineitä, kuten potilaiden ja lääkäreiden terveyskortteja. On tietenkin myös mahdollista, että käytetään paperiperustaisten ja sähköisten tietojenvaihtotapojen yhdistelmiä jäsenvaltioiden terveydenhuoltojärjestelmistä riippuen.

25.

Sähköinen terveydenhuolto (eHealth) ja etähoitosovellukset, jotka kuuluvat tämän direktiiviehdotuksen soveltamisalaan, ovat kokonaan riippuvaisia terveystietojen sähköisestä vaihtamisesta (esim. keskeiset elintoiminnot, kuvat jne.), yleensä yhdessä muiden hoito- ja vakuutusjäsenvaltiossa olemassa olevien sähköisen terveydenhuollon tietojärjestelmien kanssa. Tämä kattaa sekä potilaan ja lääkärin väliset järjestelmät (esim. etäseuranta ja etädiagnosointi) että lääkärien väliset järjestelmät (esim. terveydenhuollon ammattihenkilöiden välinen etäkonsultointi asiantuntijamielipidettä varten yksittäistapauksissa). Muutkin erikoisemmat rajatylittävää terveydenhuoltoa ylipäänsä tukevat terveydenhuollon sovellukset voisivat nojautua pelkästään sähköiseen tietojenvaihtoon, esim. sähköinen lääkemääräys (eResepti) tai sähköinen lähete (eLähete), joita sovelletaan jo kansallisella tasolla joissakin jäsenvaltioissa (12).

26.

Kun otetaan huomioon edellä esitetty sekä jäsenvaltioiden toisistaan poikkeavat terveydenhuoltojärjestelmät ja sähköisen terveydenhuollon sovellusten jatkuva kehittyminen, esiin nousevat seuraavat kaksi tärkeää henkilötietojen suojaamiseen rajatylittävässä terveydenhuollossa liittyvää huolenaihetta: a) eri jäsenvaltioissa sovelletaan eritasoista henkilötietojen suojaamista (teknisten ja organisatoristen järjestelyjen osalta) ja b) yksityisyyden suojan huomioon ottaminen sähköisen terveydenhuollon sovelluksissa, erityisesti niiden jatkokehittelyssä. Lisäksi erityistä huomiota olisi ehkä kiinnitettävä muihinkin näkökohtiin, kuten terveystietojen toissijaiseen käyttöön, erityisesti tilastojen laatimisessa. Näitä kysymyksiä analysoidaan tarkemmin tämän osan loppuosassa.

27.

Huolimatta siitä, että direktiivejä 95/46/EY ja 2002/58/EY sovelletaan yhdenmukaisesti Euroopassa, tiettyjen osatekijöiden tulkinta ja täytäntöönpano voivat poiketa toisistaan eri maissa, erityisesti jos säännökset ovat yleisiä ja ne on jätetty jäsenvaltioiden päätettäviksi. Tässä suhteessa tärkein pohdittava asia on tietojenkäsittelyn tietosuoja, eli ne (tekniset ja organisatoriset) toimenpiteet, joita jäsenvaltiot toteuttavat terveystietojen turvallisuuden takaamiseksi.

28.

Vaikka terveystietojen tiukka suojaaminen on jäsenvaltioiden vastuulla, tällä hetkellä ei ole olemassa yhteisesti hyväksyttyä määritelmää sille, mikä olisi sellainen ”asianmukainen” terveystietoja koskeva suojataso EU:ssa, jota voitaisiin soveltaa rajatylittävässä terveydenhuollossa. Siten jossakin jäsenvaltiossa oleva sairaala voi kansallisten tietosuojasäännösten nojalla olla velvoitettu toteuttamaan tiettyjä suojatoimenpiteitä (esim. määrittelemään tietosuojaa koskevan politiikan ja käytännesäännöt, ulkoistamista ja ulkopuolisten alihankkijoiden käyttämistä koskevat erityissäännöt, tarkastusvaatimukset, jne.), kun taas toisissa jäsenvaltioissa sitä ei ehkä vaadita. Tämä epäjohdonmukaisuus voi vaikuttaa rajatylittävään tietojenvaihtoon, erityisesti silloin kun se tapahtuu sähköisesti, koska ei voida taata sitä, että tiedot on suojattu (teknisestä tai organisatorisesta näkökulmasta) samantasoisesti eri jäsenvaltioissa.

29.

Sen vuoksi tätä alaa olisi vielä yhdenmukaistettava määrittelemällä terveydenhuoltoa koskevat yhteiset turvallisuusvaatimukset, joita terveydenhuoltopalvelujen tarjoajat kaikissa jäsenvaltioissa noudattaisivat. Tämä on ehdottomasti linjassa sen kanssa, että EU:n terveydenhuoltojärjestelmiä varten olisi yleisestikin määriteltävä yhteiset periaatteet ehdotuksessa esitetyn mukaisesti.

30.

Tämä olisi tehtävä yleisellä tasolla pakottamatta jäsenvaltioita tiettyihin teknisiin ratkaisuihin, mutta silti niin, että lähtökohtana on vastavuoroinen tunnustaminen ja hyväksyminen, esim. turvallisuuspolitiikan määrittelyn sekä potilaiden ja terveydenhuoltoalan ammattihenkilöiden tunnistamisen ja todentamisen yms. osalta. Olemassa olevia eurooppalaisia ja kansainvälisiä terveydenhuoltoalan ja turvallisuusalan standardeja (esim. ISO ja CEN) sekä yleisesti hyväksyttyjä ja säädösperusteisia teknisiä ratkaisuja (esim. sähköisiä allekirjoituksia (13) voitaisiin käyttää tällaisen hankkeen ohjenuorina.

31.

Euroopan tietosuojavaltuutettu kannattaa ajatusta terveydenhuoltoalaan liittyvien tietosuojanäkökohtien yhdenmukaistamisesta EU:n tasolla ja on sitä mieltä, että komission olisi tehtävä asiaan liittyviä aloitteita jo nyt käsiteltävänä olevan ehdotuksen yhteydessä (ks. III osa).

32.

Yksityisyyden suojan ja turvallisuuden olisi oltava osa terveydenhuoltojärjestelmää ja sen täytäntöönpanoa, erityisesti sähköisen terveydenhuollon sovellusten kyseessä ollessa, kuten käsiteltävänä olevassa ehdotuksessa todetaan (”sisäänrakennettu yksityisyyden suoja”). Tätä kiistämätöntä vaatimusta on jo kannatettu muissa asiaan liittyvissä toimintapoliittisissa asiakirjoissa (14), sekä yleisissä että erityisesti terveydenhuoltoon liittyvissä (15).

33.

Ehdotuksessa käsitellään sähköisen terveydenhuollon yhteentoimivuutta, ja tässä yhteydessä olisi jälleen kerran korostettava sitä, että kaiken jatkokehittelyn lähtökohtana olisi aina pidettävä ”sisäänrakennetun yksityisyyden suojan” käsitettä. Tämä käsite kattaa useita eri tasoja: organisatorisen, semanttisen ja teknisen tason.

34.

Euroopan tietosuojavaltuutettu on sitä mieltä, että yksityisyyden suojaan ja turvallisuuteen liittyviä vaatimuksia voitaisiin alkaa soveltaa sähköisiin lääkemääräyksiin niiden kehittämisen alkuvaiheesta alkaen (ks. III osa).

35.

Muuan toinen näkökohta, joka voitaisiin ottaa huomioon terveystietojen rajatylittävässä vaihdossa, on terveystietojen toissijainen käyttö ja erityisesti käyttö tilastotarkoituksia varten käsiteltävänä olevassa ehdotuksessa esitetyn mukaisesti.

36.

Kuten 18 kohdassa jo mainittiin, direktiivin 95/46/EY 8 artiklan 4 kohdassa säädetään terveystietojen toissijaisen käytön mahdollisuudesta. Tämän jatkokäytön olisi kuitenkin tapahduttava ainoastaan sellaista ”tärkeää yleistä etua” koskevasta syystä ja sellaiset ”sopivat suojatoimet” huomioon ottaen, joista säädetään kansallisella lailla tai määrätään valvontaviranomaisen päätöksellä (16). Kuten Euroopan tietosuojavaltuutettu totesi lausunnossaan, joka koski asetusehdotusta kansanterveyttä sekä työterveyttä ja työturvallisuutta koskevista yhteisön tilastoista (17), tilastollisen tietojenkäsittelyn osalta on lisäksi olemassa riski, että käsitteillä ”luottamuksellisuus” ja ”tietosuoja” on eri merkitys toisaalta tietosuojalainsäädännön ja toisaalta tilastolainsäädännön soveltamisessa.

37.

Euroopan tietosuojavaltuutettu haluaa korostaa edellä mainittuja seikkoja käsiteltävänä olevan ehdotuksen yhteydessä. Ehdotuksessa olisi tuotava selvemmin esiin terveystietojen jatkokäyttöä koskevat tietosuojavaatimukset (ks. III osa).

38.

Ehdotuksen eri osissa viitataan useita kertoja tietosuojaan ja yksityisyyden suojaan:

39.

Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että tietosuoja on otettu huomioon ehdotusta laadittaessa ja että yksityisyyden suojan tarpeeseen rajatylittävän terveydenhuollon yhteydessä on kiinnitetty huomiota. Ehdotukseen sisältyvät tietosuojasäännökset ovat kuitenkin joko liian yleisiä tai niissä viitataan jäsenvaltioiden vastuuseen varsin valikoivasti ja hajanaisesti:

Kuten tämän lausunnon johdannossa jo mainittiin, ehdotus ei myöskään liity ja/tai siinä ei viitata muissa terveydenhuoltoalaa koskevissa (sitovissa tai ei-sitovissa) EY:n säädöksissä käsiteltyihin yksityisyyden suojaa koskeviin näkökohtiin erityisesti tieto- ja viestintäteknologian uusien sovellusten (kuten etähoidon tai sähköisten potilastiedostojen) käytön yhteydessä.

40.

Niinpä vaikka yksityisyyden suoja yleensä mainitaan rajatylittävän terveydenhuollon edellytyksenä, kokonaiskuva on edelleen epätäydellinen sekä jäsenvaltioiden velvoitteiden että rajatylittävän terveydenhuoltopalvelujen tarjonnan erityispiirteiden osalta (kansalliseen terveydenhuoltoon verrattuna). Esimerkiksi:

41.

Lisäksi 18 artiklaan, joka koskee tietojen keruuta tilasto- ja seurantatarkoituksia varten, liittyy joitakin erityisiä huolenaiheita. Artiklan 1 kohdassa viitataan ”tilastotietoihin ja muihin lisätietoihin”; siinä viitataan myös monikossa ”seurantatarkoituksiin” ja luetellaan sitten ne alueet, joita on tarkoitus seurata, eli rajatylittävän terveydenhuollon tarjoaminen, annettu hoito, hoidon tarjoajat ja potilaat, kustannukset ja tulokset. Tässä asiayhteydessä, joka on jo sinänsä varsin epäselvä, viitataan yleisesti tietosuojalainsäädäntöön, mutta ei aseteta terveystietojen myöhempää käyttöä koskevia erityisvaatimuksia direktiivin 95/46/EY 8 artiklan 4 kohdan mukaisesti. Lisäksi 2 kohta sisältää ehdottoman velvoitteen toimittaa nämä suuret tietomäärät komissiolle vähintään vuosittain. Koska ehdotuksessa ei erikseen mainita, että tietojen toimittamisen tarpeellisuutta olisi arvioitava, vaikuttaa siltä, että yhteisön lainsäätäjä on jo itse päättänyt, että näiden tietojen toimittaminen komissiolle on välttämätöntä.

42.

Jotta edellä mainitut seikat tulisivat asianmukaisesti huomioon otetuiksi, Euroopan tietosuojavaltuutettu antaa joukon suosituksia, jotka on jäljempänä ryhmitelty viiteen vaiheeseen.

43.

4 artiklassa määritellään ehdotuksessa käytetyt perusilmaisut. Euroopan tietosuojavaltuutettu suosittaa voimakkaasti, että tähän artiklaan lisättäisiin terveystietojen määritelmä. Olisi sovellettava terveystietojen laajaa tulkintaa tämän lausunnon II osassa kuvatun mukaisesti (kohdat 14 ja 15).

44.

Euroopan tietosuojavaltuutettu suosittaa voimakkaasti myös, että ehdotukseen lisättäisiin erityinen tietosuojaa koskeva artikla, jossa yksityisyyden ulottuvuus ylipäänsä määritettäisiin selvällä ja ymmärrettävällä tavalla. Artiklassa olisi a) kuvattava vakuutusjäsenvaltioiden ja hoitojäsenvaltioiden vastuu muun muassa siltä osin kuin on kyse tietojenkäsittelyn turvallisuuden tarpeellisuudesta ja b) nimettävä tärkeimmät jatkokehittelyn alueet, eli tietoturvan yhdenmukaistaminen ja yksityisyyden suojan huomioon ottaminen sähköisessä terveydenhuollossa. Näistä asioista voidaan laatia erityissäännökset (ehdotettuun artiklaan) jäljempänä vaiheissa 3 ja 4 esitetyn mukaisesti.

45.

Vaiheessa 2 esitetyn muutoksen pohjalta Euroopan tietosuojavaltuutettu suosittaa, että komissio hyväksyisi menettelyn yhteisesti hyväksyttävissä olevan terveystietojen turvatason määrittelemiseksi kansallisella tasolla ottaen huomioon tällä alalla olemassa olevat tekniset standardit. Tämän tulisi heijastua ehdotukseen. Mahdollinen täytäntöönpano voitaisiin toteuttaa komiteamenettelyä noudattaen, koska se on jo kuvattu 19 artiklassa ja sitä sovelletaan ehdotuksen muihin osiin. Asiaan liittyvien ohjeiden laatimisessa voitaisiin hyödyntää muitakin keinoja, kuten kaikkia sidosryhmiä, kuten 29 artiklan työryhmää ja Euroopan tietosuojavaltuutettua.

46.

Toisessa jäsenvaltiossa annettujen lääkemääräysten tunnustamista koskevassa 14 artiklassa edellytetään yhteisön lääkemääräysmallin laatimista, mikä tukisi sähköisten lääkemääräysten yhteentoimivuutta. Tämä toimenpide on hyväksyttävä ehdotuksen 19 artiklan 2 kohdassa määriteltyä komiteamenettelyä noudattaen.

47.

Euroopan tietosuojavaltuutettu suosittaa, että ehdotetussa sähköisen lääkemääräyksen mallissa otettaisiin huomioon yksityisyyden suoja ja turvallisuus jo mallin semanttisessa perusmääritelmässä. Tämä olisi mainittava erikseen 14 artiklan 2 kohdan a alakohdassa. Tässäkin kaikkien asiaan liittyvien sidosryhmien kuuleminen on olennaisen tärkeää. Euroopan tietosuojavaltuutettu haluaa tältä osin saada tietoja asiaan liittyvistä jatkotoimista ja osallistua niihin ehdotettua komiteamenettelyä noudattaen.

48.

Väärinymmärrysten välttämiseksi Euroopan tietosuojavaltuutettu kehottaa selventämään ”muiden lisätietojen” käsitettä 18 artiklan 1 kohdassa. Artiklaa olisi muutettava myös niin, että siinä viitataan selvemmin terveystietojen myöhempää käyttöä koskeviin vaatimuksiin direktiivin 95/46/EY 8 artiklan 4 kohdassa säädetyn mukaisesti. Lisäksi 2 kohtaan sisältyvän, kaikkien tietojen toimittamista komissiolle koskevan velvoitteen edellytykseksi olisi asetettava tällaisen tietojen toimittamisen – ennalta määriteltyjä oikeutettuja tarkoituksia varten – tarpeellisuuden arviointi.

49.

Euroopan tietosuojavaltuutettu tukee aloitteita, joiden tavoitteena on parantaa rajatylittävän terveydenhuollon edellytyksiä. Euroopan tietosuojavaltuutettu on kuitenkin huolissaan siitä, etteivät terveydenhuoltoon liittyvät EY:n aloitteet ole erityisen hyvin koordinoituja tieto- ja viestintäteknologian käytön, yksityisyyden suojan ja turvallisuuden osalta, mikä haittaa yleispätevän tietosuojaa koskevan lähestymistavan omaksumista terveydenhuollon alalla.

50.

Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että ehdotuksessa viitataan yksityisyyden suojaan. Ehdotukseen on kuitenkin tarpeen tehdä joukko muutoksia, kuten tämän lausunnon III osassa selostetaan, jotta on olemassa sekä hoitojäsenvaltioita että vakuutusjäsenvaltioita koskevat selvät vaatimukset ja jotta otetaan asianmukaisesti huomioon rajatylittävän terveydenhuollon tietosuojaulottuvuus.

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/28

1.

Euroopan komissio antoi 13. marraskuuta 2007 ehdotuksen direktiiviksi, jolla muutetaan muun muassa sähköisen viestinnän tietosuojadirektiiviksi nimitettyä henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annettua direktiiviä (1) (jäljempänä ”ehdotus” tai ”komission ehdotus”). Euroopan tietosuojavaltuutettu antoi 10. huhtikuuta 2008 komission ehdotuksesta lausunnon, joka sisälsi ehdotuksen parantamista koskevia suosituksia sen varmistamiseksi, että esitetyt muutokset johtaisivat mahdollisimman korkeatasoiseen yksityisyyden ja henkilötietojen suojaan (”tietosuojavaltuutetun ensimmäinen lausunto”). (2)

2.

Euroopan tietosuojavaltuutettu piti tervetulleena komission ehdotusta pakollisen tietoturvaloukkauksia koskevan ilmoitusjärjestelmän luomisesta; se edellyttäisi, että yritykset ilmoittaisivat henkilötietojen vaarantumisesta kyseisille henkilöille. Lisäksi tietosuojavaltuutettu kiitti uutta säännöstä, jonka perusteella oikeushenkilöt (esim. kuluttajajärjestöt ja Internet-palvelujen tarjoajat) voisivat ryhtyä oikeustoimiin roskapostittajia vastaan nykyisten roskapostin torjumiskeinojen lujittamiseksi.

3.

Euroopan parlamentin ensimmäistä käsittelyä edeltäneiden keskustelujen aikana tietosuojavaltuutettu antoi lisäneuvoja antamalla huomautuksia (”huomautukset”) tietyistä kysymyksistä, jotka olivat tulleet esiin yleispalveludirektiivin (3) ja sähköisen viestinnän tietosuojadirektiivin uudelleentarkastelusta vastaavien Euroopan parlamentin valiokuntien mietinnöistä. (4) Huomautukset koskivat pääasiassa liikennetietojen käsittelyyn ja teollis- ja tekijänoikeuksien suojaan liittyviä kysymyksiä.

4.

Euroopan parlamentti (”EP”) hyväksyi 24. syyskuuta 2008 sähköisen viestinnän tietosuojadirektiiviä koskevan lainsäädäntöpäätöslauselman (”ensimmäinen käsittely”). (5) Euroopan tietosuojavaltuutettu suhtautui myönteisesti useisiin EP:n tarkistuksiin, jotka oli tehty edellä mainittujen tietosuojavaltuutetun lausunnon ja huomautusten perusteella. Yksi merkittävistä muutoksista oli tietoyhteiskunnan palvelujen tarjoajien (kuten Internetissä toimivien yritysten) sisällyttäminen tietosuojaloukkausten ilmoitusvelvoitteen soveltamisalaa. Euroopan tietosuojavaltuutettu oli myös tyytyväinen muutokseen, jolla mahdollistetaan se, että oikeushenkilöt ja luonnolliset henkilöt voivat ryhtyä minkä tahansa sähköisen viestinnän tietosuojadirektiivin säännöksen rikkomista (eikä ainoastaan roskapostisäännösten rikkomista, kuten komission ehdotuksessa esitettiin) koskeviin oikeustoimiin. Parlamentin ensimmäisen käsittelyn jälkeen komissio antoi sähköisen viestinnän tietosuojadirektiiviä koskevan muutetun ehdotuksen (jäljempänä ”muutettu ehdotus”) (6).

5.

Neuvosto pääsi 27. marraskuuta 2008 televiestintäpakettia koskevien sääntöjen, sähköisen viestinnän tietosuojadirektiivi mukaan luettuna, uudelleentarkastelusta poliittiseen yhteisymmärrykseen, josta muodostetaan neuvoston yhteinen kanta (”yhteinen kanta”). (7) Yhteinen kanta ilmoitetaan EP:lle Euroopan yhteisön perustamissopimuksen 251 artiklan 2 kohdan mukaisesti, minkä jälkeen EP saattaa ehdottaa tarkistuksia.

6.

Neuvosto teki muutoksia ehdotuksen olennaisiin osiin eikä hyväksynyt useita EP:n esittämiä tarkistuksia. Vaikka yhteinen kanta sisältääkin kokonaisuudessaan myönteisiä seikkoja, tietosuojavaltuutettu on huolissaan sen sisällöstä, etenkin siksi, että siihen ei ole otettu mukaan eräitä EP:n esittämiä myönteisiä tarkistuksia, jotka sisältyivät muutettuun ehdotukseen tai tietosuojavaltuutetun taikka 29 artiklan työryhmän välittämiin Euroopan tietosuojaviranomaisten lausuntoihin. (8)

7.

Joissakin tapauksissa muutetun ehdotuksen ja EP:n tarkistusten säännöksiä, jotka tarjosivat kansalaisille turvatakeita, on päinvastoin poistettu tai niitä on olennaisesti heikennetty. Tämän tuloksena yhteisen kannan yksilöille tarjoama suojelun taso on olennaisesti heikentynyt. Näistä syistä tietosuojavaltuutettu antaa nyt toisen lausunnon toivoen, että kun sähköisen viestinnän tietosuojadirektiiviä käsitellään lainsäädäntöprosessissa, hyväksytään uusia tarkistuksia, jotka palauttavat tietosuojatakeet.

8.

Tässä toisessa lausunnossa keskitytään eräisiin olennaisiin kysymyksiin, eikä siinä toisteta kaikkia tietosuojavaltuutetun ensimmäisessä lausunnossa tai huomautuksissa esitettyjä seikkoja, jotka ovat siitä huolimatta edelleen ajankohtaisia. Tässä lausunnossa käsitellään etenkin seuraavia kysymyksiä:

9.

Tässä edellä mainittuja aiheita käsittelevässä lausunnossa analysoidaan neuvoston yhteistä kantaa ja verrataan sitä EP:n ensimmäiseen käsittelyyn ja komission muutettuun ehdotukseen. Lausuntoon sisältyy suosituksia, joiden tavoitteena on yksinkertaistaa sähköisen viestinnän tietosuojadirektiivin säännöksiä ja varmistaa, että direktiivi edelleen suojelee riittävästi henkilöiden yksityisyyttä ja henkilötietoja.

10.

Euroopan tietosuojavaltuutettu kannattaa sellaista tietoturvaloukkausten ilmoittamista koskevaa järjestelmää, jossa viranomaisille ja yksittäisille henkilöille ilmoitetaan siitä, että heidän henkilötietonsa ovat vaarantuneet. (9) Tietoturvaloukkausten ilmoittaminen voi auttaa yksilöitä ryhtymään tarvittaviin toimiin vaarantumisesta johtuvan mahdollisen haitan lieventämiseksi. Lisäksi velvoite ilmoittaa tietoturvaloukkauksista kannustaa yrityksiä parantamaan tietoturvaansa ja korostaa niiden vastuuvelvollisuutta vastuullaan olevista henkilötiedoista.

11.

Komission muutettu ehdotus, Euroopan parlamentin ensimmäinen käsittely ja neuvoston yhteinen kanta edustavat kukin erilaista lähestymistapaa tietoturvaloukkausten ilmoittamiseen. Kaikissa kolmessa lähestymistavassa on myönteisiä puolia. Euroopan tietosuojavaltuutettu katsoo kuitenkin, että kaikissa niissä on parantamisen varaa, ja neuvoo ottamaan huomioon jäljempänä esitetyt suositukset harkittaessa lopullisia vaiheita ennen tietoturvaloukkauksia koskevan järjestelmän hyväksymistä.

12.

Analysoitaessa näitä kolmea tietoturvaloukkausten ilmoittamista koskevaa järjestelmää on otettava huomioon seuraavat viisi olennaista seikkaa: i) tietoturvaloukkauksen määritelmä, ii) ilmoittamisvelvoitteen alaiset tahot (”katetut tahot”), iii) ilmoitusvelvoitteen käynnistämisperuste, iv) sen tahon tunnistaminen, joka määrittää, onko turvaloukkaus perusteen mukainen, sekä v) ilmoituksen vastaanottajat.

13.

Euroopan parlamentti, komissio ja neuvosto ovat kaikki hyväksyneet erilaisia lähestymistapoja turvaloukkauksista ilmoittamiseen. EP:n ensimmäisessä käsittelyssä komission ehdotuksen alkuperäistä tietoturvaloukkausten ilmoittamisjärjestelmää muutettiin. (10) EP:n lähestymistavan mukaan ilmoittamisvelvoite koskee yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien lisäksi myös tietoyhteiskunnan palvelujen tarjoajia. Lisäksi tämän lähestymistavan mukaan kaikista henkilötietoloukkauksista olisi ilmoitettava kansalliselle sääntelyviranomaiselle tai toimivaltaisille viranomaisille (yhdessä ”viranomaiset”). Jos viranomaiset määrittelisivät loukkauksen vakavaksi, ne edellyttäisivät, että yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat ja tietoyhteiskunnan palvelujen tarjoajat ilmoittaisivat siitä viipymättä kyseiselle henkilölle. Jos loukkaukset aiheuttavat välittömän ja suoran vaaran, edellä mainittujen palvelujentarjoajien olisi ilmoitettava kyseisille henkilöille ennen viranomaisille ilmoittamista ja odottamatta sääntelypäätöksiä. Poikkeus kuluttajille ilmoittamista koskevaan velvoitteeseen koskee tahoja, jotka voivat osoittaa viranomaisille, että ”asianmukaisia teknisiä suojaustoimenpiteitä on sovellettu” tietojen muuttamiseksi sellaiseen muotoon, että ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä niihin.

14.

Neuvoston lähestymistavassa ilmoitus on tehtävä myös tilaajille ja viranomaisille, mutta vain jos katettu taho katsoo loukkauksen edustavan vakavaa riskiä tilaajan yksityisyydelle (esim. identiteettivarkaus tai väärän henkilöllisyyden käyttö, fyysinen vahinko, huomattavan vakava nöyryytys tai maineen vahingoittuminen).

15.

Komission muutetussa ehdotuksessa on säilytetty EP:n lisäämä velvoite ilmoittaa viranomaisille kaikista loukkauksista. Muutettuun ehdotukseen sisältyy kuitenkin EP:n lähestymistavan vastaisesti poikkeus ilmoitusvaatimukseen kyseisten henkilöiden osalta, kun yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat osoittavat toimivaltaiselle viranomaiselle, että on ”kohtuullisen todennäköistä”, että i) loukkauksesta ei koidu mitään vahinkoa (kuten taloudellisia menetyksiä, sosiaalisia haittoja tai identiteettivarkautta), tai että ii) ”asianmukaisia teknisiä suojaustoimenpiteitä” on sovellettu loukkauksen kohteena olleihin tietoihin. Näin ollen komission lähestymistapaan kuuluu vahinkoon perustuva analyysi, joka liittyy yksittäisiin ilmoituksiin.

16.

On tärkeää huomata, että EP:n (11) ja komission lähestymistavoissa on viime kädessä viranomaisten vastuulla määritellä, onko loukkaus vakava tai kohtuullisen todennäköisesti vahinkoa aiheuttava. Tätä vastoin neuvoston lähestymistavan mukaan päätös on kyseisten tahojen vastuulla.

17.

Sekä neuvoston että komission lähestymistavat koskevat vain yleisesti saatavilla olevia sähköisten viestintäpalvelujen tarjoajia eivätkä EP:n lähestymistavan mukaisesti tietoyhteiskunnan palvelujen tarjoajia.

18.

Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että kaikki kolme säädösehdotusta sisältävät saman tietosuojaloukkausten määritelmän, eli ”tietoturvaloukkaus joka johtaa yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamisen yhteydessä yhteisössä siirrettyjen, säilytettyjen tai muutoin käsiteltyjen henkilötietojen tahattomaan tai laittomaan tuhoamiseen, kadottamiseen, muuttamiseen, luvattomaan luovuttamiseen tai käyttöön […]” (12).

19.

Kuten jäljempänä kuvaillaan, tämä määritelmä on tervetullut, sillä se on riittävän laaja kattamaan useimmat tilanteet, joissa tietoturvaloukkauksista ilmoittaminen saattaa tulla kysymykseen.

20.

Määritelmä sisältää ensinnäkin tapaukset, joissa kolmas osapuoli on päässyt luvattomasti käyttämään henkilötietoja, kuten henkilötietoja sisältävän palvelimen hakkerointi ja kyseisten tietojen saanti.

21.

Toiseksi tähän määritelmään kuuluisivat myös tilanteet, joissa henkilötietoja on kadotettu tai luovutettu mutta niiden luvaton käyttö on vielä osoitettava. Tähän kuuluisivat tilanteet, joissa henkilötietoja on voitu kadottaa (esim. CD-ROM-levyjen, USB-tikkujen tai muiden kannettavien laitteiden välityksellä) tai saattaa julkisiksi vakituisten käyttäjien toimesta (työntekijätiedosto, joka on erehdyksessä ja väliaikaisesti saatettu Internetin kautta julkiseksi). Koska ei useinkaan ole todisteita sen osoittamiseksi, että kolmannet osapuolet saattavat tiettynä hetkenä päästä luvattomasti käyttämään tällaisia tietoja, vaikuttaa asianmukaiselta sisällyttää nämä tilanteet määritelmään. Näin ollen Euroopan tietosuojavaltuutettu suosittaa tämän määritelmän säilyttämistä. Tietosuojavaltuutettu suosittaa myös, että tietoturvaloukkauksen määritelmä sisällytetään sähköisen viestinnän tietosuojadirektiivin 2 artiklaan, sillä tämä olisi johdonmukaisempaa direktiivin kokonaisrakenteen kannalta ja selventäisi asiaa.

22.

EP:n lähestymistavan mukainen ilmoittamisvelvoite koskee sekä yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia että tietoyhteiskunnan palvelujen tarjoajia. Kuitenkin neuvoston ja komission ehdotuksissa vain yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien, kuten televiestintäyritysten ja Internet-palvelujen tarjoajien, on ilmoitettava henkilöille siitä, että he joutuvat henkilötietojen vaarantumiseen johtavien turvaloukkausten kohteiksi. Tämä velvoite ei koske muita toimialoja, esimerkiksi verkkopankkeja eikä verkossa toimivia vähittäiskauppiaita ja terveydenhoitoalan palvelujen tarjoajia. Edellä esitetyistä syistä Euroopan tietosuojavaltuutettu uskoo, että yleisestä poliittisesta näkökulmasta katsottuna on ensiarvoisen tärkeää varmistaa, että myös tietoyhteiskunnan palvelut, joihin kuuluvat mm. verkossa toimivat yritykset, pankit ja terveydenhoitoalan palvelujen tarjoajat, kuuluvat ilmoittamisvelvollisuuden piirin.

23.

Ensinnäkin tietosuojavaltuutettu huomauttaa, että vaikka televiestintäyritykset ovat varmasti ilmoitusvelvoitetta edellyttävien tietoturvaloukkausten kohteita, sama koskee myös muita yritys- ja palveluntarjoajatyyppejä. Myös verkossa toimivat vähittäiskauppiaat, pankit ja apteekit ovat vähintään yhtä todennäköisiä tietoturvaloukkausten kohteita kuin televiestintäyritykset. Tästä syystä riskinarviointi ei puolla tietoturvaloukkausten ilmoittamisvelvoitteen rajoittamista vain yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajiin. Muiden maiden kokemukset osoittavat laajemman lähestymistavan tarpeen. Esimerkiksi lähes kaikki Yhdysvaltain osavaltiot (tähän mennessä yli 40) ovat laatineet tietoturvaloukkauksista ilmoittamista koskevia lakeja, joilla on laajempi, ei vain yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia, vaan kaikkia kyseiset henkilötiedot säilyttäviä tahoja koskeva soveltamisala.

24.

Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien säännöllisesti käsittelemien henkilötietotyyppien loukkaukset voivat selvästi vaikuttaa henkilön yksityisyyteen, mutta sama koskee ehkä vielä suuremmassa määrin tietoyhteiskunnan palvelujen tarjoajien käsittelemiä tietoja. Pankeilla ja muilla rahoituslaitoksilla saattaa olla hallussaan erittäin luottamuksellisia tietoja (esim. pankkitilitietoja), joiden luovuttaminen voisi mahdollistaa identiteettivarkauden. Myös verkossa toimivien terveydenhuoltopalvelujen hallussa olevien hyvin arkaluonteisten terveystietojen paljastuminen voisi olla erityisen haitallista yksilöiden kannalta. Tästä syystä mahdollisesti vaarassa olevat henkilötietotyypit edellyttävät tietoturvaloukkauksesta ilmoittamisen laajempaa soveltamista niin, että se koskisi ainakin myös tietoyhteiskunnan palvelujen tarjoajia.

25.

On esitetty joitakin oikeudellisia seikkoja tämän artiklan soveltamisalan laajentamista vastaan. Erityisesti se, että sähköisen viestinnän tietosuojadirektiivi koskee vain yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia, on esitetty esteenä ilmoitusvelvoitteen soveltamiselle tietoyhteiskunnan palvelujen tarjoajiin.

26.

Tässä yhteydessä tietosuojavaltuutettu haluaa palauttaa mieleen, että: i) ei ole minkäänlaista oikeudellista estettä sisällyttää muita toimijoita kuin yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia direktiivin tiettyjen säännösten soveltamisalaan. Yhteisön lainsäätäjällä on tässä täysi harkintavalta. ii) Nykyisessä sähköisen viestinnän tietosuojadirektiivissä on ennakkotapauksia säännösten soveltamisesta muihin tahoihin kuin yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajiin.

27.

13 artiklaa sovelletaan esimerkiksi yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien lisäksi kaikkiin yrityksiin, jotka lähettävät ei-toivottua viestintää, edellyttäen niiltä etukäteissuostumusta. Lisäksi sähköisen viestinnän tietosuojadirektiivin 5 artiklan 2 kohta, jossa kielletään muun muassa evästeiden kaltaisen tiedon tallentaminen käyttäjän päätelaitteelle, sitoo yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien lisäksi kaikkia niitä, jotka yrittävät tallentaa tietoja henkilöiden päätelaitteille tai päästä käyttämään niihin tallennettuja tietoja. Käynnissä olevan lainsäädäntöprosessin aikana komissio on jopa esittänyt 5 artiklan 3 kohdan soveltamisen laajentamista, kun tällaista teknologiaa (evästeet/vakoiluohjelmat) ei levitetä ainoastaan sähköisillä viestintäjärjestelmillä vaan myös muilla mahdollisilla menetelmillä (levitys ladattaessa tiedostoja Internetistä tai ulkoisilla tallennusvälineillä kuten CD-ROM-levyillä, USB-tikuilla ja flash-asemilla). Kaikki nämä ehdotukset ovat tervetulleita ja ne tulisi säilyttää, ja ne ovat myös varteenotettavia ennakkotapauksia soveltamisalaa koskevassa tämänhetkisessä keskustelussa.

28.

Lisäksi komissio ja EP sekä ehdollisesti myös neuvosto ovat esittäneet jäljempänä käsiteltävää uutta 6 artiklan 6 kohdan a alakohtaa, jota sovellettaisiin muihin kuin yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajiin.

29.

Ottaen huomioon tietoturvaloukkausten ilmoittamisvelvoitteesta johtuvat yleiset myönteiset seikat, kansalaiset todennäköisesti odottavat saavansa kyseisen hyödyn sekä silloin, kun heidän henkilötietonsa ovat vaarantuneet yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien toiminnan takia, mutta myös silloin, kun vaarantumisen ovat aiheuttaneet tietoyhteiskunnan palvelujen tarjoajat. Kansalaisten odotuksiin ei ehkä vastata, jos heille ei esimerkiksi ilmoiteta siitä, että verkkopankki on kadottanut heidän pankkitilitietonsa.

30.

Kaiken kaikkiaan Euroopan tietosuojavaltuutettu on vakuuttunut siitä, että tietoturvaloukkausten ilmoittamisen tarjoama täysi hyöty saavutetaan vain, jos sekä yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat että tietoyhteiskunnan palvelujen tarjoajat kuuluvat säännösten soveltamisalaan.

31.

Kuten jäljempänä selitetään tarkemmin, Euroopan tietosuojavaltuutettu on ilmoituksen antamisen käynnistymisestä sitä mieltä, että muutetun ehdotuksen mukainen peruste ”kohtuullisen todennäköisesti aiheuttaisi haittaa” on kolmesta esitetystä perusteesta sopivin. On kuitenkin tärkeää varmistaa, että ”haitta” määritellään riittävän laajasti, jotta se kattaa kaikki asiaankuuluvat kielteiset vaikutukset yksityisyyteen tai henkilöiden muihin oikeutettuihin etuihin. Muussa tapauksessa olisi suositeltavaa luoda uusi peruste, jonka mukaan ilmoittaminen olisi pakollista, ”jos loukkaus aiheuttaa kohtuullisen todennäköisesti vahinkoa henkilöille”.

32.

Kuten edellä kuvattiin, edellytykset, joiden vallitessa henkilölle on ilmoitettava (t.s. ”käynnistyminen” tai ”peruste”) vaihtelevat EP:n, komission ja neuvoston lähestymistavoissa. On selvää, että henkilöiden saamien ilmoitusten määrä riippuu suuressa määrin ilmoitusta varten valitusta käynnistämistavasta tai perusteesta.

33.

Neuvoston ja komission järjestelmien mukaan ilmoitus on annettava, jos loukkaus edustaa ”vakavaa riskiä tilaajan yksityisyydelle” (neuvosto) ja jos ”on kohtuullisen todennäköistä, että loukkaus aiheuttaa haittaa kuluttajien eduille” (komissio). EP:n järjestelmässä ”loukkauksen vakavuus” käynnistää henkilöille ilmoittamisen (toisin sanoen henkilöille on ilmoitettava, jos loukkausta pidetään ”vakavana”). Ellei näin ole, ilmoitusta ei tarvita. (13)

34.

Euroopan tietosuojavaltuutettu pitää ymmärrettävänä, että jos henkilötiedot ovat vaarantuneet, voidaan katsoa, että kyseisillä henkilöillä on kaikissa oloissa oikeus tietää siitä. On kuitenkin oikein pohtia, onko tämä muiden etujen ja asianhaarojen kannalta tarkoituksenmukainen ratkaisu.

35.

On esitetty, että velvoite lähettää ilmoitus aina kun henkilötiedot ovat vaarantuneet, toisin sanoen rajoituksetta, voisi johtaa liialliseen ilmoitteluun ja ”ilmoitusväsymykseen”, jonka tuloksena voisi olla välinpitämättömyyden lisääntyminen. Kuten jäljempänä kuvataan, tietosuojavaltuutettu ottaa tämän näkemyksen huomioon; kuitenkin samanaikaisesti hän haluaa painottaa omaa huoltaan siitä, että liiallinen ilmoittelu voi kertoa tietosuojakäytäntöjen laajamittaisesta epäonnistumisesta.

36.

Kuten edellä mainittiin, tietosuojavaltuutettu näkee liiallisen ilmoittelun mahdolliset kielteiset seuraukset ja haluaisi auttaa sen varmistamisessa, että tietoturvaloukkausten ilmoittamista koskeva säännöstö ei johda tähän lopputulokseen. Jos kansalaisille lähetettäisiin usein loukkauksia koskevia ilmoituksia, myös silloin, kun mitään kielteisiä vaikutuksia, haittoja tai vaikeuksia ei ole aiheutunut, ilmoittamisen yhden päätavoitteen toteutuminen voisi vaikeutua, koska kansalaiset voisivat jättää ilmoitukset huomiotta tilanteissa, joissa heidän tulisikin toimia suojellakseen itseään. Oikean tasapainon löytäminen antaen mielekkäästi ilmoituksia on näin ollen tärkeää siksi, että jos kansalaiset eivät reagoi saamiinsa ilmoituksiin, ilmoitusjärjestelmien tehokkuus kärsii huomattavasti.

37.

Jotta voitaisiin hyväksyä tarkoituksenmukainen peruste, joka ei johda liiallisiin ilmoituksiin, on otettava huomioon ilmoituksen käynnistämisen lisäksi muita tekijöitä, erityisesti tietoturvaloukkauksen määritelmä ja ilmoitusvelvoitteen kattamat tiedot. Tässä suhteessa Euroopan tietosuojavaltuutettu panee merkille, että kolmen ehdotetun lähestymistavan mukainen ilmoitusten määrä voi olla suuri ottaen huomioon edellä käsitelty tietoturvaloukkauksen laaja määritelmä. Tämän liiallista ilmoittelua koskevan huolen taustalla on lisäksi se, että tietoturvaloukkauksen määritelmä kattaa kaikentyyppiset henkilötiedot. Vaikka Euroopan tietosuojavaltuutettu pitää tätä oikeana lähestymistapana (ilmoitettavia henkilötietotyyppejä ei siis rajoiteta), toisin kuin on asian laita esimerkiksi joissakin Yhdysvaltain säädöksissä, joissa vaatimukset keskittyvät tietojen arkaluonteisuuteen, tämä tekijä on kuitenkin otettava huomioon.

38.

Edellä esitetyn valossa ja ottaen huomioon kaikki eri tekijät tietosuojavaltuutettu pitää asianmukaisena, että otetaan käyttöön kynnys tai peruste, jonka alittavissa tapauksissa ilmoittaminen ei ole pakollista.

39.

Esitetyt perusteet, esim. loukkaus edustaa ”vakavaa riskiä yksityisyydelle” tai ”kohtuullisen todennäköisesti aiheuttaisi haittaa”, tuntuvat kumpikin tarkoittavan esimerkiksi sosiaalista tai maineelle koituvaa vahinkoa ja taloudellista menetystä. Nämä perusteet koskisivat esimerkiksi tilanteita, joissa on identiteettivarkauden riski, koska on luovutettu passin numeron kaltaisia ei-julkisia tunnisteita, sekä henkilön yksityiselämää koskevien tietojen paljastumisen riski. Euroopan tietosuojavaltuutettu on tyytyväinen tähän lähestymistapaan. Hän on vakuuttunut siitä, että tietoturvaloukkausten ilmoittamisen tuottamaa hyötyä ei täysin saavuteta, jos ilmoitusjärjestelmä kattaa vain taloudelliseen vahinkoon johtavat loukkaukset.

40.

Kahdesta ehdotetusta perusteesta tietosuojavaltuutettu pitää komission perustetta ”kohtuullisen todennäköisesti aiheuttaisi haittaa” parempana, koska se takaisi asianmukaisemman suojelun tason. Loukkaukset aiheuttavat paljon todennäköisemmin ilmoittamisen käynnistymisen, jos ne ”kohtuullisen todennäköisesti aiheuttaisivat haittaa” yksityisyydelle, kuin jos ne aiheuttavat tällaisen vahingon ”vakavan riskin”. Näin ollen ainoastaan kansalaisten yksityisyydelle vakavan riskin aiheuttavien loukkausten huomioon ottaminen rajoittaisi huomattavasti ilmoitettavien loukkausten määrää. Ainoastaan tällaisten loukkausten huomioon ottaminen antaisi yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ja tietoyhteiskunnan palvelujen tarjoajille kohtuuttomasti harkintavaltaa päättää, tarvitaanko ilmoitusta, koska niiden olisi paljon helpompaa perustella, että ”vakavaa vahinkoriskiä” ei synny, kuin että vahinko ”kohtuullisen todennäköisesti aiheutuu”. Vaikka liiallista ilmoittamista on tietysti vältettävä, epävarmassa tapauksessa asia olisi ratkaistava kansalaisten yksityisyyttä koskevien etujen suojelun hyväksi, ja kansalaisia tulisi suojella ainakin silloin, kun loukkaus kohtuullisen todennäköisesti aiheuttaa heille vahinkoa. Lisäksi ”kohtuullisen todennäköisesti” on tehokkaampi käytännössä sekä katettujen tahojen että toimivaltaisten viranomaisten kannalta, sillä se edellyttää tapauksen ja siihen liittyvän kontekstin objektiivista arviointia.

41.

Henkilötietoloukkaukset voivat lisäksi aiheuttaa haittaa, jota on vaikea arvioida määrällisesti ja joka voi vaihdella. Samantyyppisten tietojen luovuttaminen voi yksittäisistä olosuhteista riippuen tosiaankin aiheuttaa merkittävää haittaa jollekulle henkilölle, mutta vähemmän toiselle. Peruste, joka edellyttäisi haitan olevan aineellista, merkittävää tai vakavaa, ei olisi asianmukainen. Esimerkiksi neuvoston lähestymistapa, että loukkaus vaikuttaa vakavasti henkilön yksityisyyteen, antaisi riittämättömän suojan kansalaisille, koska tällainen peruste edellyttää yksityisyyteen kohdistuvan vaikutuksen olevan ”vakavan”. Tämä mahdollistaa myös subjektiivisen arvioinnin.

42.

Vaikka, kuten edellä todettiin, ”kohtuullisen todennäköisesti aiheuttaisi haittaa” vaikuttaisi sopivalta tietoturvaloukkauksia koskevalta perusteelta, Euroopan tietosuojavaltuutettu on kuitenkin huolissaan siitä, ettei se ehkä kattaisi kaikkia tilanteita, joissa kansalaisille ilmoittamista tarvitaan ja joissa henkilöiden yksityisyyteen tai muihin laillisiin oikeuksiin kohdistuvat kielteiset vaikutukset ovat kohtuullisen todennäköisiä. Tästä syystä voitaisiin ajatella perustetta, joka edellyttäisi ilmoittamista, ”jos loukkaus aiheuttaa kohtuullisen todennäköisesti haittaa henkilöille”.

43.

Tämän vaihtoehtoisen perusteen lisäetuna on, että se on EU:n tietosuojalainsäädännön mukainen. Tietosuojadirektiivissä nimittäin viitataan usein rekisteröityjen oikeuksiin ja vapauksiin kohdistuviin haittoihin. Esimerkiksi 18 artikla ja johdanto-osan 49 kappale, jotka käsittelevät velvoitetta rekisteröidä tietojenkäsittelyt ilmoittamalla niistä tietosuojaviranomaisille, antavat jäsenvaltioille oikeuden myöntää velvoitetta koskevan poikkeuksen, kun käsittelyn ”ei oleteta loukkaavan rekisteröityjen oikeuksia ja vapauksia”. Vastaavaa sanamuotoa käytetään yhteisen kannan 16 artiklan 6 kohdassa, jonka perusteella oikeushenkilöt voivat ryhtyä oikeustoimiin roskapostittajia vastaan.

44.

Edellä mainitun pohjalta voitaisiin lisäksi odottaa, että katetut tahot ja erityisesti viranomaiset, jotka ovat toimivaltaisia tietosuojalainsäädännön noudattamisen valvonnassa, tuntisivat edellä olevan perusteen paremmin, mikä helpottaisi heidän arviotaan siitä, onko jokin tietty loukkaus kyseisen perusteen mukainen.

45.

EP:n lähestymistavan (lukuun ottamatta välitöntä vaaraa) sekä komission muutetun ehdotuksen mukaan on jäsenvaltioiden viranomaisten vastuulla päättää, vastaako tietoturvaloukkaus perustetta, joka käynnistää velvoitteen ilmoittaa kyseisille henkilöille.

46.

Euroopan tietosuojavaltuutettu uskoo, että viranomaisen rooli on tärkeä sen määrittämisessä, täyttyykö peruste, koska tämä takaa jossakin määrin lain asianmukaisen soveltamisen. Tällainen järjestelmä voi estää sen, että yritykset arvioisivat virheellisesti, että loukkaus ei aiheuta vahinkoa/ole vakava ja näin jättäisivät ilmoituksen tekemättä, kun se itse asiassa olisi tarpeen.

47.

Toisaalta tietosuojavaltuutettu on huolissaan siitä, että järjestelmä, jossa viranomaiset suorittavat arvioinnin, voi olla epäkäytännöllinen ja vaikea soveltaa tai voi käytännössä osoittautua tarkoituksensa vastaiseksi. Se saattaa siis jopa heikentää kansalaisten tietosuojatakeita.

48.

Tällaista lähestymistapaa noudatettaessa tietosuojaviranomaiset joutuvat todennäköisesti tietoturvailmoitusten tulvan kohteeksi ja niillä saattaa olla vakavia vaikeuksia suorittaa tarvittavia arviointeja. On tärkeää muistaa, että voidakseen arvioida, onko loukkaus perusteen mukainen, viranomaisten on saatava riittävää, usein mutkikasta teknistä sisäpiiritietoa, joka niiden on voitava käsitellä hyvin nopeasti. Ottaen huomioon arvioinnin vaikeuden ja joidenkin viranomaisten rajalliset voimavarat tietosuojavaltuutettu pelkää, että viranomaisten on hyvin vaikea noudattaa tätä velvoitetta ja että sen noudattaminen vie voimavaroja muilta tärkeiltä painopisteiltä. Lisäksi tällainen järjestelmä voi aiheuttaa viranomaisille kohtuuttomia paineita; jos ne päättävät, että loukkaus ei ole vakava ja siitä kuitenkin aiheutuu haittaa kansalaisille, viranomaisia voitaisiin mahdollisesti pitää vastuullisina.

49.

Edellä mainitut vaikeudet lisääntyvät entisestään, jos otetaan huomioon, että aika on keskeinen tekijä tietoturvaloukkauksista aiheutuvien riskien minimoimisessa. Elleivät viranomaiset voi tehdä arviointia hyvin lyhyissä määräajoissa, niiden edellyttämä lisäaika voi lisätä kyseisten kansalaisten kärsimää haittaa. Tästä syystä tämä lisätoimi, jonka on tarkoitus antaa kansalaisille enemmän suojaa, voi paradoksaalisesti tarjota vähemmän suojaa kuin suoraan ilmoittamiseen perustuvat järjestelmät.

50.

Edellä esitetyistä syistä tietosuojavaltuutettu katsoo suositeltavaksi perustaa järjestelmä, jossa asianosaisten tahojen vastuulla on arvioida, onko loukkaus perusteen mukainen, kuten neuvoston lähestymistavassa esitetään.

51.

Mahdollisten väärinkäytösten riskin välttämiseksi esimerkiksi tapauksissa, joissa kyseiset tahot kieltäytyvät ilmoittamisesta tilanteessa, jossa se selvästi olisi tarpeen, on erittäin tärkeää ottaa käyttöön eräät jäljempänä kuvaillut tietosuojatoimet.

52.

Ensinnäkin katettuihin tahoihin sovellettavaan velvoitteeseen määritellä, tuleeko niiden tehdä ilmoitus, on tietenkin liitettävä toinen velvoite, jossa vaaditaan kaikkien sovellettavan perusteen mukaisten loukkausten pakollista ilmoittamista viranomaisille. Kyseisten tahojen tulisi näissä tapauksissa ilmoittaa viranomaisille loukkauksesta ja ilmoitusta koskevan päätöksensä perusteluista sekä kaikkien tehtyjen ilmoitusten sisällöstä.

53.

Toiseksi viranomaisille on annettava todellinen valvontarooli. Tässä tehtävässä viranomaisten on voitava tutkia loukkauksen olosuhteet ja vaatia asianmukaisia korjaustoimia, mutta ei oltava pakotettuja tähän. (14) Tähän tulisi sisältyä kyseisille henkilöille ilmoittamisen lisäksi (jos sitä ei vielä ole tehty) myös valtuudet velvoittaa ryhtymään sellaisiin toimiin, joilla voidaan estää tulevat loukkaukset. Viranomaisille olisi myönnettävä tosiasialliset tätä asiaa koskevat valtuudet ja voimavarat, ja niillä tulisi olla tarvittavat mahdollisuudet päättää, milloin tietoturvaloukkausilmoitukseen reagoidaan. Näin viranomaiset saisivat toisin sanoen valinnanvaraa ja voisivat ryhtyä tutkimuksiin, kun kyse on esimerkiksi laajoista, todella haitallisista tietoturvaloukkauksista, jotta ne voivat tarkistaa lain vaatimusten noudattamisen ja varmistaa niiden täytäntöönpanon.

54.

Edellä mainitun saavuttamiseksi tietosuojavaltuutettu suosittaa, että sähköisen viestinnän tietosuojadirektiivin mukaisten, 15 a artiklan 3 kohdan ja tietosuojadirektiivin kaltaisten valtuuksien lisäksi otettaisiin mukaan seuraavanlainen teksti: ”Jos tilaaja tai kyseinen henkilö ei ole vielä saanut ilmoitusta, toimivaltainen kansallinen viranomainen voi loukkauksen laatua arvioituaan vaatia, että yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoaja tai tietoyhteiskunnan palvelujen tarjoaja antaa ilmoituksen”.

55.

Lisäksi tietosuojavaltuutettu suosittaa, että EP ja neuvosto vahvistavat EP:n esittämän velvoitteen (tarkistus 122, 4 artiklan 1 kohdan a alakohta), jonka mukaan tahojen on suoritettava järjestelmiään ja niitä henkilötietoja, joita ne aikovat käsitellä, koskevien riskien arviointi ja tunnistaminen. Tämän velvoitteen pohjalta tahojen on laadittava yksilöity ja täsmällinen määritelmä turvatoimista, joita ne aikovat näissä tapauksissa soveltaa ja joiden pitäisi olla viranomaisten käytettävissä. Jos tapahtuu tietoturvaloukkaus, tämä velvoite auttaa katettuja tahoja ja lopulta myös valvontaviranomaisia määrittelemään, voiko kyseisten tietojen vaarantuminen aiheuttaa haittaa yksilöille.

56.

Kolmanneksi katettuihin tahoihin sovellettavaan velvoitteeseen määritellä, tuleeko niiden tehdä ilmoitus, on liitettävä velvoite ylläpitää yksityiskohtaista ja kattavaa sisäistä kirjausketjua, jossa kuvaillaan kaikki tapahtuneet tietoturvaloukkaukset ja niistä tehdyt ilmoitukset samoin kuin kaikki tulevien loukkauksien välttämiseksi toteutetut toimet. Kyseisen sisäisen kirjausketjun on oltava viranomaisten käytettävissä tarkistusta ja mahdollista tutkintaa varten. Näin viranomaiset voivat hoitaa valvontaroolinsa. Tämä voitaisiin saavuttaa seuraavanlaista muotoilua käyttämällä: ”Yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien ja tietoyhteiskunnan palvelujen tarjoajien on pidettävä ja säilytettävä kattavia rekistereitä, joissa on yksityiskohtaiset tiedot kaikista tapahtuneista tietoturvaloukkauksista, niihin liittyvät merkitykselliset tekniset tiedot sekä tiedot toteutetuista korjaustoimista. Tiedoissa on myös mainittava kaikki tilaajille tai kyseisille henkilöille ja toimivaltaisille kansallisille viranomaisille lähetetyt ilmoitukset, niiden päivämäärä ja sisältö mukaan luettuina. Nämä asiakirjat on pyynnöstä esitettävä toimivaltaiselle viranomaiselle.”

57.

Tämän perusteen samoin kuin tietoturvaloukkaussäännöstön muiden asiaankuuluvien osien, kuten ilmoitusten muodon ja niihin sovellettavien menettelyjen yhdenmukaisen toteuttamisen varmistamiseksi komissio voisi kuultuaan ensin Euroopan tietosuojavaltuutettua, 29 artiklan työryhmää ja asianomaisia sidosryhmiä hyväksyä teknisiä täytäntöönpanotoimenpiteitä.

58.

Ilmoitusten vastaanottajien osalta Euroopan tietosuojavaltuutettu pitää EP:n ja komission käyttämiä ilmaisuja parempina kuin neuvoston käyttämiä. EP on korvannut ilmaisun ”tilaajat” ilmaisulla ”käyttäjät”. Komissio käyttää ilmaisuja ”tilaaja” ja ”kyseinen henkilö”. Sekä EP:n että komission termeihin kuuluisivat ilmoituksen vastaanottajina nykyisten tilaajien lisäksi myös entiset tilaajat ja kolmannet osapuolet, kuten käyttäjät, jotka ovat tekemisissä joidenkin katettujen tahojen kanssa olematta kuitenkaan tilaajia. Tietosuojavaltuutettu on tyytyväinen tähän lähestymistapaan ja kehottaa EP:tä ja neuvostoa säilyttämään sen.

59.

Tietosuojavaltuutettu panee kuitenkin merkille joitakin epäjohdonmukaisuuksia EP:n ensimmäisen käsittelyn termeissä ja katsoo, että ne tulisi korjata. Esimerkiksi useimmissa tapauksissa, mutta ei kaikissa, ”tilaajat” on korvattu ilmaisulla ”käyttäjät”, mutta joissakin tapauksissa ilmaisulla ”kuluttajat”. Tämä käytäntö tulisi yhtenäistää.

60.

Sähköisen viestinnän nykyisen tietosuojadirektiivin 3 artiklan 1 kohdassa säädetään direktiivin pääkohteina olevista tahoista, toisin sanottuna niistä, joiden suorittama henkilötietojen käsittely ”liittyy” yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yleisissä viestintäverkoissa. (15) Esimerkkinä yleisten sähköisten viestintäpalvelujen tarjoamisesta voidaan mainita pääsyn tarjoaminen Internetiin, tietojen välittäminen sähköisten verkkojen kautta, matkapuhelin- ja puhelinyhteydet jne.

61.

EP hyväksyi alkuperäisen komission ehdotuksen 3 artiklaan tarkistuksen 121, jonka mukaan sähköisen viestinnän tietosuojadirektiivin soveltamisalaa laajennettiin ”henkilötietojen käsittelyyn, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yleisissä ja yksityisissä viestintäverkoissa ja yleisesti saatavilla olevissa yksityisissä verkoissa yhteisössä, […]” (sähköisen viestinnän tietosuojadirektiivin 3 artiklan 1 kohta). Valitettavasti neuvosto ja komissio eivät voineet hyväksyä tätä tarkistusta eivätkä siksi ole sisällyttäneet tätä lähestymistapaa yhteiseen kantaan ja muutettuun ehdotukseen.

62.

Edellä esitetyistä syistä ja konsensuksen edistämiseksi tietosuojavaltuutettu suosittaa säilyttämään tarkistuksen 121 keskeisen sisällön. Tämän lisäksi tietosuojavaltuutettu ehdottaa uutta tarkistusta sen selventämiseksi, minkätyyppiset palvelut kuuluisivat laajennetun soveltamisalan piiriin.

63.

Yksityisiä verkkoja käytetään usein tarjoamaan Internet-yhteyden kaltaisia sähköisiä viestintäpalveluja määrittelemättömälle henkilömäärälle, joka saattaa olla hyvinkin suuri. Tämä koskee esimerkiksi Internet-yhteyksiä Internet-kahviloissa sekä Wi-Fi-pisteitä, joita voi käyttää hotelleissa, ravintoloissa, lentokentillä, junissa ja muissa yleisölle avoimissa tiloissa, joissa näitä palveluja usein tarjotaan täydentämään muita palveluja (juomatarjoilua, majoitusta jne.).

64.

Kaikissa edellä mainituissa esimerkeissä viestintäpalvelua, esim. Internet-yhteyttä, ei tarjota yleisölle julkisen verkon kautta vaan yksityisen, ts. yksityisessä käytössä olevan verkon välityksellä. Lisäksi, vaikka edellä mainituissa tapauksissa viestintäpalvelu tarjotaan yleisölle mutta kyseinen verkko on pikemminkin yksityinen kuin julkinen, kyseisten palvelujen tarjoaminen ei mahdollisesti kuulu joko ollenkaan sähköisen viestinnän tietosuojadirektiivin soveltamisalaan tai ei ainakaan kaikkien sen artikloiden piiriin. (16) Sähköisen viestinnän tietosuojadirektiivin takaamia yksilöiden perusoikeuksia ei ole siis suojattu näissä yhteyksissä, ja muodostuu epätasa-arvoinen oikeudellinen tilanne käyttäjille sen mukaan, käyttävätkö he Internet-yhteyksiä yleisten televiestintäpalvelujen vai yksityisten palvelujen välityksellä. Näin on siitä huolimatta, että kaikissa näissä tapauksissa yksityisyyteen ja henkilötietoihin kohdistuu samantasoinen riski. Ei siis ole perusteita erilaiselle kohtelulle direktiivissä sen mukaan, tarjotaanko viestintäpalvelut yksityisen vai julkisen verkon kautta.

65.

Tästä syystä Euroopan tietosuojavaltuutettu kannattaa EP:n tarkistuksen 121 kaltaista tarkistusta, jonka mukaan sähköisen viestinnän tietosuojadirektiiviä sovellettaisiin myös käsittelyyn, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yksityisissä viestintäverkoissa.

66.

Tietosuojavaltuutettu tiedostaa kuitenkin, että tällainen muotoilu voisi johtaa arvaamattomiin ja mahdollisesti epätoivottuihin seurauksiin. Jo pelkkä viittaus yksityisiin verkkoihin saatettaisiin tulkita niin, että se koskisi tilanteita, jotka eivät selvästikään ole tarkoitettu direktiivin soveltamisalaan kuuluviksi. Voitaisiin esimerkiksi väittää, että tämän muotoilun kirjaimellinen tai suppea tulkinta voisi aiheuttaa sen, että direktiivin soveltamisalaan kuuluisivat sellaisten asuntojen omistajat, joilla on kotonaan WiFi-yhteys (17), johon kuka tahansa riittävän lähellä (yleensä kodin piirissä) oleva voi ottaa yhteyden, mikä ei ole tarkistuksen 121 tavoite. Tämän välttämiseksi Euroopan tietosuojavaltuutettu ehdottaa tarkistuksen 121 uudelleenmuotoilua sähköisen viestinnän tietosuojadirektiivin soveltamisen laajentamiseksi ”henkilötietojen käsittelyyn, joka liittyy yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoamiseen yleisissä tai yleisesti saatavilla olevissa yksityisissä verkoissa yhteisössä, […]”.

67.

Tämä auttaisi selventämään, että vain yleisesti saatavilla olevat yksityiset verkot kuuluisivat sähköisen viestinnän tietosuojadirektiivin soveltamisalaan. Soveltamalla sähköisen viestinnän tietosuojadirektiivin säännöksiä ainoastaan yleisesti saatavilla oleviin yksityisiin verkkoihin (eikä kaikkiin yksityisiin verkkoihin) asetetaan rajoitus, jonka mukaan direktiivi kattaa vain sellaiset yksityisten verkkojen tarjoamat viestintäpalvelut, jotka on tarkoituksellisesti saatettu yleisön käyttöön. Tämä muotoilu auttaa painottamaan sitä, että se, että yksityinen verkko on suuren yleisön käytettävissä, on keskeinen tekijä ratkaistaessa direktiivin soveltamisalaa (yleisesti saatavilla olevien viestintäpalvelujen tarjoamisen lisäksi). Toisin sanottuna riippumatta siitä, onko verkko julkinen vai yksityinen, jos se on tarkoituksellisesti saatettu yleisön käyttöön Internet-yhteyden kaltaisten julkisten viestintäpalvelujen tarjoamiseksi, vaikka kyseinen palvelu olisi toista palvelua (esim. hotellimajoitusta) täydentävä, tämäntyyppinen palvelu/verkko kuuluisi sähköisen viestinnän tietosuojadirektiivin soveltamisalaan.

68.

Euroopan tietosuojavaltuutettu huomauttaa, että edellä esitetty lähestymistapa, jonka mukaan sähköisen viestinnän tietosuojadirektiivin säännöksiä sovelletaan yleisesti saatavilla oleviin yksityisiin verkkoihin, on yhdenmukainen useissa jäsenvaltioissa omaksuttujen lähestymistapojen kanssa; niiden viranomaiset ovat katsoneet tämäntyyppisten palvelujen sekä täysin yksityisten verkkojen tarjoamia palvelujen kuuluvan sähköisen viestinnän tietosuojadirektiivin kansallisten täytäntöönpanosäännösten soveltamisalaan. (18)

69.

Uudistettuun soveltamisalaan kuuluvien tahojen oikeusvarmuuden parantamiseksi voisi olla hyödyllistä sisällyttää sähköisen viestinnän tietosuojadirektiiviin esimerkiksi seuraavanlainen, ”yleisesti saatavilla olevien yksityisten verkkojen” määritelmää koskeva muutos: ”’yleisesti saatavilla oleva yksityinen verkko’ tarkoittaa yksityisessä käytössä olevaa verkkoa, jota suuren yleisön jäsenet voivat tavanomaisesti käyttää rajoittamattomasti joko maksusta tai muiden palvelujen tai tarjousten yhteydessä, mikäli he hyväksyvät sovellettavat edellytykset.”

70.

Käytännössä edellä mainittu lähestymistapa tarkoittaisi sitä, että soveltamisalaan kuuluisivat yksityiset verkot, jotka tarjoavat hotelleissa ja muissa laitoksissa suurelle yleisölle Internet-yhteyden yksityisen verkon kautta. Sitä vastoin soveltamisalaan eivät kuuluisi täysin yksityisten verkkojen viestintäpalvelut, kun palvelu rajoittuu rajattuun ja tunnistettavaan henkilöryhmään. Tästä syystä esimerkiksi yksityiset virtuaaliverkot ja kuluttajataloudet, joissa on Wi-Fi-yhteys, eivät kuuluisi direktiivin soveltamisalaan. Myöskään pelkät yritysverkot eivät kuuluisi siihen.

71.

Edellä esitettyä yksityisten verkkojen poissulkemista tulisi pitää väliaikaisena toimenpiteenä, josta olisi keskusteltava edelleen. Ottaen yhtäältä huomioon täysin yksityisten verkkojen poissulkemisen vaikutukset yksityisyyteen ja toisaalta sen, että asia koskee monia henkilöitä, jotka yleensä käyttävät Internetiä yritysverkkojen välityksellä, tulevaisuudessa asiaa on ehkä harkittava uudelleen. Tästä syystä ja asiaa koskevan keskustelun edistämiseksi tietosuojavaltuutettu suosittaa, että sähköisen viestinnän tietosuojadirektiiviin lisättäisiin johdanto-osan kappale, jonka mukaan komissio suorittaisi sähköisen viestinnän tietosuojadirektiivin soveltamista kaikkiin yksityisiin verkkoihin koskevan julkisen kuulemisen, johon Euroopan tietosuojavaltuutettu, tietosuojaviranomaiset ja kaikki asiaankuuluvat sidosryhmät osallistuisivat. Lisäksi johdanto-osan kappaleessa voitaisiin täsmentää, että julkisen kuulemisen tuloksen pohjalta komissio tekee asianmukaisia ehdotuksia sähköisen viestinnän tietosuojadirektiivin soveltamisalan laajentamiseksi tai rajoittamiseksi.

72.

Edellä esitetyn lisäksi sähköisen viestinnän tietosuojadirektiivin eri artikloita tulisi muuttaa siten, että kaikki operatiiviset säännökset viittaavat nimenomaisesti yleisten verkkojen lisäksi myös yleisesti saatavilla oleviin yksityisiin verkkoihin.

73.

Sähköisen viestinnän tietosuojadirektiivin uudelleentarkasteluun liittyvän lainsäädäntöprosessin yhteydessä turvapalveluja tuottavat yritykset katsoivat, että sähköisen viestinnän tietosuojadirektiiviin olisi sisällytettävä säännös, joka oikeuttaisi liikennetietojen keruun tehokkaan verkkoturvallisuuden takaamiseksi.

74.

Tämän tuloksena EP lisäsi tarkistuksen 181, jolla luodaan uusi 6 artiklan 6 kohdan a alakohta, joka nimenomaisesti antaa luvan liikennetietojen käsittelyyn turvallisuustarkoituksessa: ”Rajoittamatta muiden kuin direktiivin 95/46/EY 7 artiklan ja tämän direktiivin 5 artiklan säännösten noudattamista liikennetietoja voidaan käsitellä silloin, kun rekisterinpitäjällä on tähän oikeutettu intressi, sellaisten teknisten toimenpiteiden toteuttamiseksi, joilla varmistetaan yleisesti saatavilla olevien sähköisten viestintäpalvelujen, julkisen tai yksityisen viestintäverkon, tietoyhteiskunnan palvelujen tai niihin liittyvien päätelaitteiden ja sähköisen viestinnän laitteiden verkko- ja tietoturva, sellaisena kuin se on määriteltynä Euroopan verkko- ja tietoturvaviraston perustamisesta 10 päivänä maaliskuuta 2004 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) 460/20041 4 artiklan c kohdassa, paitsi tilanteessa, jossa tämä intressi syrjäytyy rekisteröidyn perusoikeuksien ja -vapauksien nojalla. Käsittely on rajoitettava siihen, mikä on ehdottoman välttämätöntä kyseisten turvallisuustoimenpiteiden toteuttamiseksi.”

75.

Komission muutetussa ehdotuksessa hyväksyttiin tämä tarkistus periaatteessa, mutta siitä poistettiin keskeinen lauseke, jolla oli tarkoitus varmistaa, että muita direktiivin säännöksiä oli noudatettava poistettaessa lauseke ”Rajoittamatta […] tämän direktiivin 5 artiklan säännösten noudattamista”. Neuvosto hyväksyi uudelleenlaaditun version, jossa mentiin vielä pidemmälle ja vesitettiin tarkistukseen 181 sisällytetyt tärkeät suojat ja etutasapaino: ”Liikennetietoja voidaan käsitellä siinä määrin kuin se on ehdottoman välttämätöntä […] verkko- ja tietoturvan turvaamiseksi, sellaisena kuin se on määriteltynä Euroopan verkko- ja tietoturvaviraston perustamisesta 10 päivänä maaliskuuta 2004 annetun Euroopan parlamentin ja neuvoston asetuksen (EY) 460/2004 4 artiklan c kohdassa.”

76.

Kuten jäljempänä selitetään, 6 artiklan 6 kohdan a alakohta on tarpeeton ja aiheuttaa väärinkäytösten riskin, etenkin jos se hyväksytään muodossa, joka ei sisällä tärkeitä suojatekijöitä, direktiivin muiden säännösten noudattamista koskevia lausekkeita sekä etujen tasapainottamista. Tästä syystä tietosuojavaltuutettu suosittaa tämän artiklan hylkäämistä tai vähintään sen varmistamista, että kaikkiin tätä asiaa koskeviin artikloihin sisällytetään EP:n hyväksymään tarkistuksessa 181 olevien tietoturvamääräyksien tyyppisiä takeita.

77.

Sähköisen viestinnän tietosuojadirektiivin 6 artiklassa säännellään, missä määrin yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajat voivat laillisesti käsitellä liikennetietoja, ja rajoitetaan kyseisten tietojen käsittely tiettyihin tarkoituksiin kuten laskutukseen, yhteenliittämiseen ja markkinointiin. Tällainen käsittely voidaan suorittaa vain tietyillä edellytyksillä, esimerkiksi markkinoinnin osalta kyseisen henkilön suostumuksella. Lisäksi muut rekisterinpitäjät, kuten tietoyhteiskunnan palvelujen tarjoajat, voivat käsitellä tietosuojadirektiivin 7 artiklan mukaisesti liikennetietoja; direktiivissä säädetään, että rekisterinpitäjät voivat käsitellä henkilötietoja, jos ne noudattavat ainakin yhtä luetteloiduista oikeudellisista perusteista.

78.

Esimerkki tällaisesta oikeudellisesta perusteesta on tietosuojadirektiivin 7 artiklan a kohta, jossa edellytetään rekisteröidyn suostumusta. Jos esimerkiksi verkossa toimiva vähittäiskauppias tahtoo käsitellä liikennetietoja lähettääkseen mainoksia tai markkinointiaineistoa, hänen on saatava kyseisen henkilön suostumus. Toinen 7 artiklan sisältämä oikeudellinen peruste voi sallia joissakin tapauksissa liikennetietojen käsittelyn turvallisuustarkoituksiin, esimerkiksi sen, että turvapalveluita tarjoavat turva-alan yritykset käsittelevät niitä. Tämä perustuu 7 artiklan f kohtaan, jonka mukaan rekisterinpitäjä voi käsitellä henkilötietoja, jos käsittely on ”tarpeen rekisterinpitäjän tai tiedot saavan sivullisen oikeutettujen etujen suojaamiseksi, paitsi silloin, kun tällaisten etujen edelle menevät rekisteröidyn perusoikeuksiin ja -vapauksiin perustuvat edut”. Tietosuojadirektiivissä ei täsmennetä tapauksia, joissa henkilötietojen käsittely olisi tämän edellytyksen mukaista. Rekisterinpitäjät päättävät asiasta tapauskohtaisesti, usein kansallisten tietosuojaviranomaisten ja muiden viranomaisten suostumuksella.

79.

On syytä tarkastella tietosuojadirektiivin 7 artiklan ja sähköisen viestinnän tietosuojadirektiiviin ehdotetun 6 artiklan 6 kohdan a alakohdan välistä vuorovaikutusta. Ehdotetussa 6 artiklan 6 kohdan a alakohdassa täsmennetään olosuhteet, joissa edellä mainitun 7 artiklan f kohdan vaatimukset täyttyvät. Kun 6 artiklan 6 kohdan a alakohdassa sallitaan liikennetietojen käsittely verkko- ja tietoturvallisuuden varmistamisen edistämiseksi, se tapahtuu rekisterinpitäjän oikeutettujen etujen mukaisesti.

80.

Kuten jäljempänä selitetään tarkemmin, tietosuojavaltuutettu ei pidä ehdotettua 6 artiklan 6 kohdan a alakohtaa tarpeellisena eikä hyödyllisenä. Oikeudellisesta näkökulmasta on periaatteessa tarpeetonta säätää, onko tietty tietojenkäsittelytoimi, tässä tapauksessa liikennetietojen käsittely turvatarkoituksiin, tietosuojadirektiivin 7 artiklan f kohdan mukainen, missä tapauksessa henkilön suostumus saattaa olla tarpeen 7 artiklan a kohdan mukaisesti. Kuten edellä on mainittu, tämän arvion suorittavat täytäntöönpanotasolla yleensä rekisterinpitäjät, ts. yritykset, jotka kuulevat tietosuojaviranomaisia ja tarvittaessa tuomioistuimia. Yleisesti ottaen tietosuojavaltuutettu katsoo, että erityistapauksissa turvatarkoituksessa tehty liikennetietojen laillinen käsittely, jossa ei ole vaarannettu yksilöiden perusoikeuksia ja -vapauksia, on todennäköisesti tietosuojadirektiivin 7 artiklan f kohdan edellytysten mukainen ja voidaan siksi suorittaa. Lisäksi tietosuojadirektiivissä ja sähköisen viestinnän tietosuojadirektiivissä ei ole muita ennakkotapauksia, joissa eroteltaisiin 7 artiklan f kohdan vaatimusten mukaisia tietyntyyppisiä tietojenkäsittelytoimia tai annettaisiin niille erityiskohtelu, eikä tarvetta tällaiselle poikkeukselle ole osoitettu. Sitä vastoin, kuten edellä on huomautettu, vaikuttaa siltä, että usein tällainen toiminta olisi nykyisen säädöstekstin mukaista. Näin ollen tämän arvion vahvistava säännös on periaatteessa tarpeeton.

81.

Kuten edellä on selitetty, on tärkeää korostaa, että EP:n hyväksymä tarkistus 181 tarpeettomanakin oli kuitenkin jossakin määrin laadittu ottaen huomioon tietosuojalainsäädännön mukaiset yksityisyyttä ja tietosuojaa koskevat periaatteet. EP:n tarkistuksessa 181 voitaisiin lähemmin käsitellä tietosuoja- ja yksityisyyskysymyksiä esimerkiksi sisällyttämällä siihen ilmaisu ”erityistapauksissa” sen varmistamiseksi, että tämän artiklan soveltaminen on valikoivaa, tai sisällyttämällä siihen tarkka säilytysaika.

82.

Tarkistus 181 sisältää joitakin myönteisiä seikkoja. Siinä vahvistetaan, että käsittelyssä olisi noudatettava kaikkia henkilötietojen käsittelyyn sovellettavia tietosuojaperiaatteita (”Rajoittamatta […] direktiivin 95/46/EY […] ja tämän direktiivin […] säännösten noudattamista…”). Lisäksi vaikka tarkistuksessa 181 sallitaan liikennetietojen käsittely turvatarkoituksiin, siinä tasapainotetaan liikennetietoja käsittelevän tahon sekä niiden henkilöiden, joiden tietoja käsitellään, edut siten, että käsittely voi tapahtua vain, jos tietojenkäsittelyn suorittavan tahon edut eivät mene kyseisten henkilöiden etujen edellä (”paitsi silloin, kun tällaisten etujen edelle menevät rekisteröidyn perusoikeuksiin ja -vapauksiin perustuvat edut”). Tämä vaatimus on olennainen, koska se voi sallia liikennetietojen käsittelyn erityistapauksissa; se ei voisi kuitenkaan mahdollistaa liikennetietojen käsittelyä suurina erinä.

83.

Neuvoston uudelleenlaadittu versio tarkistuksesta sisältää myönteisiä seikkoja, kuten ilmaisun ”ehdottoman välttämätöntä”, jolla painotetaan tämän artiklan soveltamisalan rajallisuutta. Neuvoston versiossa on kuitenkin poistettu edellä mainitut tietosuojaa ja yksityisyyttä koskevat takeet. Vaikka periaatteessa sovelletaan yleisiä tietosuojamääräyksiä riippumatta siitä, viitataanko niihin kussakin tapauksessa erikseen, neuvoston versio 6 artiklan 6 kohdan a alakohdasta voidaan kuitenkin tulkita niin, että se antaa liikennetietojen käsittelyä koskevan täyden harkintavallan riippumatta liikennetietojen käsittelyyn sovellettavista tietosuojaa ja yksityisyyttä koskevista turvatakeista. Tästä syystä voitaisiin väittää, että liikennetietoja voidaan kerätä, säilyttää ja käyttää edelleen noudattamatta tietosuojaperiaatteita ja erityisiä velvoitteita, joita muuten sovelletaan vastuullisiin osapuoliin, kuten laatuperiaatetta tai velvoitetta suorittaa henkilötietojen käsittely oikeudenmukaisesti ja laillisesti sekä säilyttää tiedot luottamuksellisesti ja varmasti. Lisäksi, koska ei viitata sovellettaviin tietosuojaperiaatteisiin, jotka asettavat tiedon säilyttämiselle määräajat, eikä artiklan mukaisiin erityisiin määräaikoihin, neuvoston version voidaan tulkita mahdollistavan liikennetietojen keruun ja käsittelyn turvatarkoituksiin määrittelemättömäksi ajaksi.

84.

Neuvosto on lisäksi heikentänyt yksityisyyden suojaa joissakin tekstin osissa merkityksen laajentamisella. On esimerkiksi poistettu viittaus ”rekisterinpitäjän oikeutettuihin etuihin”, mikä herättää epäilyksiä siitä, minkätyyppiset tahot voisivat käyttää tätä poikkeusta. On erittäin tärkeää välttää sitä, että jokin käyttäjä tai oikeussubjekti voisi hyötyä tästä muutoksesta.

85.

EP:n ja neuvoston viimeaikaiset kokemukset osoittavat, että on vaikeaa määritellä oikeudellisesti sitä, missä määrin ja millä edellytyksillä tietoja voidaan laillisesti käsitellä turvallisuustarkoituksiin. Missään nykyisessä tai tulevassa artiklassa ei voitane poistaa poikkeuksen soveltamisen liiallisen laajuuden ilmeisiä riskejä, paitsi pelkästään turvallisuuteen liittyvien syiden tai sellaisten tahojen osalta, joiden ei tulisi voida hyötyä poikkeuksesta. Tämä ei tarkoita, etteikö tällaista käsittelyä tapahtuisi joka tapauksessa. Se, voidaanko sitä suorittaa ja missä määrin, voidaan kuitenkin paremmin arvioida täytäntöönpanotasolla. Tahojen, jotka haluavat suorittaa tällaista käsittelyä, tulisi keskustella sen laajuudesta ja edellytyksistä tietosuojaviranomaisten kanssa ja mahdollisesti 29 artiklan työryhmän kanssa. Vaihtoehtoisesti sähköisen viestinnän tietosuojadirektiiviin voisi sisältyä artikla, jolla sallitaan liikennetietojen käsittely turvallisuustarkoituksiin, mikäli tietosuojaviranomaiset antavat siihen nimenomaisen luvan.

86.

Ottaen huomioon yhtäältä riskit, joita 6 artiklan 6 kohdan a alakohta aiheuttaa yksilöiden tietosuojaa ja yksityisyyttä koskeville perusoikeuksille, ja toisaalta sen, että kuten tässä lausunnossa on selitetty, tämä artikla on oikeudellisesta näkökulmasta katsoen tarpeeton, Euroopan tietosuojavaltuutettu on tehnyt sen johtopäätöksen, että olisi paras poistaa kokonaan ehdotettu 6 artiklan 6 kohdan a alakohta.

87.

Jos vastoin tietosuojavaltuutetun suositusta jokin 6 artiklan 6 kohdan a alakohdan nykyisen version kaltainen teksti hyväksytään, edellä kuvattujen tietosuojatakeiden olisi joka tapauksessa sisällyttävä siihen. Se olisi myös asianmukaisesti liitettävä 6 artiklan nykyiseen rakenteeseen, mieluiten uutena 2 a kohtana.

88.

EP hyväksyi tarkistuksen 133, joka antaa Internet-yhteyden tarjoajille ja muille oikeussubjekteille, kuten kuluttajajärjestöille, mahdollisuuden ryhtyä sähköisen viestinnän tietosuojadirektiivin säännösten rikkomista koskeviin oikeustoimiin. (19) Valitettavasti komissio ja neuvosto eivät ole hyväksyneet sitä. Euroopan tietosuojavaltuutettu pitää tätä tarkistusta hyvin myönteisenä ja suosittaa sen säilyttämistä.

89.

Tämän tarkistuksen tärkeyden ymmärtämiseksi on tiedostettava, että tietosuojan ja yksityisyyden suojan alalla yksilön kärsimä haitta sellaisenaan ei yleensä saa häntä viemään asiaa tuomioistuimen käsiteltäväksi. Kansalaiset eivät yleensä vie yksin asiaa oikeuteen, jos kyse on roskapostin saamisesta tai siitä, että heidän nimensä sisällytettiin virheellisesti johonkin hakemistoon. Tämä tarkistus mahdollistaisi sen, että kollektiivisella tasolla kuluttajien etuja edustavat kuluttajajärjestöt ja ammattijärjestöt voisivat saattaa asian heidän puolestaan tuomioistuinten käsiteltäväksi. Täytäntöönpanojärjestelmien suurempi moninaisuus on myös omiaan edistämään sitä, että säännöksiä noudatetaan paremmin, ja on siksi sähköisen viestinnän tietosuojadirektiivin säännösten tehokkaan soveltamisen mukaista.

90.

Joidenkin jäsenvaltioiden lainsäädännössä on tätä koskevia oikeudellisia ennakkotapauksia, joissa on jo ennakoitu kollektiivisten oikeustoimien mahdollisuus, jotta kuluttajat tai eturyhmät voisivat vaatia haitan aiheuttaneelta osapuolelta korvauksia.

91.

Lisäksi joidenkin jäsenvaltioiden kilpailulainsäädäntö (20) mahdollistaa, että kuluttajat tai eturyhmät (vahinkoa kärsineen kilpailijan lisäksi) voivat haastaa tietoturvaloukkaukseen syyllistyneen tahon oikeuteen. Tämän lähestymistavan taustalla on ajatus siitä, että kilpailulainsäädäntöä rikkovat yritykset voivat todennäköisesti hyötyä siitä, että vain vähäistä vahinkoa kärsivät kuluttajat eivät yleensä vie asiaa oikeuteen. Tätä perustelua voidaan soveltuvin osin soveltaa tietosuojan ja yksityisyyden suojan alaan.

92.

Kuten edellä on mainittu, vielä tärkeämpää on, että kuluttajajärjestöjen ja yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien kaltaisille oikeussubjekteille annettu mahdollisuus ryhtyä oikeustoimiin parantaa kuluttajien asemaa ja edistää yleistä tietosuojalainsäädännön noudattamista. Jos tietosuojaloukkauksiin syyllistyneillä yrityksillä on suurempi riski joutua oikeuteen, ne todennäköisesti pyrkivät noudattamaan paremmin tietosuojalainsäädäntöä, mikä pitkällä aikavälillä parantaa yksityisyyden ja kuluttajansuojan tasoa. Kaikista näistä syistä Euroopan tietosuojavaltuutettu kehottaa EP:tä ja neuvostoa hyväksymään säännöksen, joka mahdollistaa sen, että oikeussubjektit voivat ryhtyä sähköisen viestinnän tietosuojadirektiivin säännösten rikkomista koskeviin oikeustoimiin.

93.

Neuvoston yhteinen toiminta, EP:n ensimmäinen käsittely ja komission muutettu ehdotus sisältävät vaihtelevassa määrin myönteisiä seikkoja, joilla voitaisiin vahvistaa yksityisyyden ja henkilötietojen suojaa.

94.

Euroopan tietosuojavaltuutettu katsoo kuitenkin, että on vielä parantamisen varaa, etenkin neuvoston yhteisen kannan osalta, jossa valitettavasti ei ole säilytetty eräitä EP:n tarkistuksia, joiden tarkoituksena oli auttaa varmistamaan yksityisyyden ja henkilötietojen riittävä suoja. Tietosuojavaltuutettu kehottaa EP:tä ja neuvostoa palauttamaan EP:n ensimmäiseen käsittelyyn sisältyneet yksityisyyden suojaa koskeneet takeet.

95.

Lisäksi tietosuojavaltuutettu uskoo, että olisi asianmukaista yksinkertaistaa joitakin direktiivin säännöksiä. Tämä koskee erityisesti tietoturvaloukkaussäännöksiä, sillä tietosuojavaltuutettu katsoo, että loukkauksista ilmoittamisesta saadaan täysi hyöty, jos sitä koskevat oikeudelliset puitteet ovat alun perin oikeat. Lopuksi tietosuojavaltuutettu katsoo, että olisi asianmukaista parantaa ja selventää joidenkin direktiivin säännösten muotoilua.

96.

Tämän valossa tietosuojavaltuutettu kehottaa EP:tä ja neuvostoa tehostamaan pyrkimyksiään parantaa ja selventää joitakin sähköisen viestinnän tietosuojadirektiivin säännöksiä sekä samalla palauttamaan EP:n ensimmäisessä käsittelyssä hyväksytyt tarkistukset, jotka tähtäsivät yksityisyyden ja tietosuojan asianmukaisen tason takaamiseen. Tässä tarkoituksessa jäljempänä kohdissa 97, 98, 99 ja 100 on yhteenveto käsiteltävistä asioista ja joitakin suosituksia ja muotoiluehdotuksia. Euroopan tietosuojavaltuutettu kehottaa kaikkia osapuolia ottamaan ne huomioon sähköisen viestinnän tietosuojadirektiiviehdotusta käsiteltäessä.

97.

Euroopan parlamentti, komissio ja neuvosto ovat kaikki hyväksyneet erilaiset lähestymistavat turvaloukkauksista ilmoittamiseen. Näiden kolmen mallin välillä on eroja muun muassa niiden tahojen osalta, joita velvoite koskee, ilmoituksen perusteen tai käynnistymisen osalta, rekisteröidyille ilmoittamisen osalta jne. EP:n ja neuvoston on tehtävä parhaansa tietoturvaloukkauksia koskevien kestävien oikeudellisten puitteiden luomiseksi. Tätä varten EP:n ja neuvoston tulisi:

98.

Viestintäpalveluja saatetaan usein yleisön käyttöön ei vain yleisten, vaan myös yksityisessä käytössä olevien verkkojen (esim. hotelleissa ja lentokentillä olevien Wi-Fi-pisteiden) välityksellä, jotka eivät kuulu direktiivin piiriin. EP hyväksyi tarkistuksen 121 (3 artikla) direktiivin soveltamisalan laajentamiseksi sisältämään yleiset ja yksityiset viestintäverkot sekä yleisesti saatavilla olevat yksityiset verkot. Tältä osin EP:n ja neuvoston tulisi:

99.

EP:n ensimmäisessä käsittelyssä hyväksyttiin tarkistus 181 (6 artiklan 6 kohdan a alakohta), jossa annetaan lupa turvallisuustarkoituksessa tapahtuvaan liikennetietojen käsittelyyn. Neuvoston yhteisessä kannassa hyväksyttiin uusi versio, joka vesitti jotkin yksityisyyttä koskevat turvatakeet. Tältä osin Euroopan tietosuojavaltuutettu suosittaa, että EP ja neuvosto:

100.

Euroopan parlamentti hyväksyi tarkistuksen 133 (13 artiklan 6 kohta), joka antaa oikeussubjekteille mahdollisuuden ryhtyä sähköisen viestinnän tietosuojadirektiivin säännösten rikkomista koskeviin oikeustoimiin. Valitettavasti neuvosto ei säilyttänyt sitä. Neuvoston ja EP:n tulisi:

101.

Kaikissa edellä mainituissa kysymyksissä EP:n ja neuvoston haasteena on määriteltävä asianmukaisia sääntöjä ja säännöksiä, jotka ovat toteuttamiskelpoisia ja toimivia ja joissa kunnioitetaan yksilöiden oikeuksia yksityisyyteen ja tietosuojaan. Euroopan tietosuojavaltuutettu suhtautuu toiveikkaasti siihen, että kaikki osapuolet tekevät parhaansa vastatakseen tähän haasteeseen, ja toivoo, että tämä lausunto edistää näitä pyrkimyksiä.

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/42

1.

Komissio antoi 13 päivänä marraskuuta 2008 ehdotuksen neuvoston direktiiviksi velvollisuuden asettamisesta jäsenvaltioille ylläpitää raakaöljyn ja/tai öljytuotteiden vähimmäisvarastoja, jäljempänä ”ehdotus” (3).

2.

Ehdotuksen tarkoituksena on turvata öljyn toimitusvarmuuden korkea taso yhteisössä jäsenvaltioiden väliseen solidaarisuuteen perustuvien luotettavien ja avoimien mekanismien avulla, ylläpitää öljyn tai öljytuotteiden vähimmäisvarastoja sekä ottaa käyttöön tarvittavat menettelytavat vakavasta vajauksesta selviämiseksi.

3.

Komissio lähetti 14 päivänä marraskuuta 2008 ehdotuksen Euroopan tietosuojavaltuutetulle lausuntoa varten asetuksen (EY) N:o 45/2001 28 artiklan 2 kohdan mukaisesti. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että häntä kuullaan tässä asiassa ja panee merkille, että ehdotuksen johdanto-osassa viitataan tähän kuulemiseen asetuksen (EY) N:o 45/2001 28 artiklan mukaisesti.

4.

Ennen ehdotuksen hyväksymistä komissio kuuli tietosuojavaltuutettua epävirallisesti ehdotusluonnoksen eräästä artiklasta (nykyinen 19 artikla). Tietosuojavaltuutettu suhtautui myönteisesti epäviralliseen kuulemiseen, sillä tämä antoi hänelle mahdollisuuden esittää joitakin ehdotuksia ennen ehdotuksen hyväksymistä komissiossa.

5.

Käsillä oleva kysymys on hyvä esimerkki siitä, että tietosuojasäännöt olisi tiedostettava jatkuvasti. Tilanteessa, jossa on kyse jäsenvaltioista ja niiden velvoitteesta ylläpitää öljyn varmuusvarastoja, jotka ovat pääasiassa oikeushenkilöiden omistamia, henkilötietojen käsittely ei ole kovin ilmeistä, mutta sitä voi kuitenkin tapahtua vaikka sitä ei ole varsinaisesti aiottu. Joka tapauksessa olisi otettava huomioon todennäköisyys, että henkilötietojen käsittelyä tapahtuu, ja toimittava sen mukaisesti.

6.

Nykyisellään direktiivissä edellytetään periaatteessa kahta toimintoa, joihin voi sisältyä henkilötietojen käsittelyä. Ensimmäinen niistä on öljyvarastoja koskevien tietojen kerääminen jäsenvaltioiden toimesta ja kerättyjen tietojen toimittaminen sen jälkeen komissiolle. Toinen toiminto liittyy komission valtuuksiin suorittaa tarkastuksia jäsenvaltioissa. Öljyvarastojen omistajista kerättäviin tietoihin voi kuulua henkilötietoja, esimerkiksi yritysten johtajien nimiä ja yhteystietoja. Tässä tapauksessa tietojen keräämistä ja niiden toimittamista sen jälkeen komissiolle pidettäisiin henkilötietojen käsittelynä, johon on sovellettava joko direktiivin 95/46/EY säännösten kansallista täytäntäntöönpanolainsäädäntöä tai asetusta (EY) N:o 45/2001 riippuen siitä, kuka tietoja käsittelee. Komission valtuuttaminen suorittamaan varmuusvarastojen tarkastuksia jäsenvaltioissa, mihin kuuluu toimivalta kerätä tietoja yleensä, voisi myös sisältää henkilötietojen keräämistä ja siis niiden käsittelyä.

7.

Epävirallisessa kuulemisessa, joka rajoittui komission tutkintavaltuuksia koskevaan säännökseen, tietosuojavaltuutettu kehotti komissiota tarkentamaan, olisiko henkilötietojen käsittely komission tutkinnan yhteydessä vain satunnaista vai tapahtuisiko sitä säännöllisesti ja palvelisiko se tutkinnan tarkoitusta. Arvioinnin tulosten perusteella ehdotettiin kahta lähestymistapaa.

8.

Jos henkilötietojen käsittely ei kuulu suunnitelmiin ja on siis puhtaasti satunnaista, tietosuojavaltuutettu suositteli, että ensinnäkin suljetaan nimenomaisesti ulkopuolelle henkilötietojen käsittely komission tutkinnan tarkoitusta palvelevana, ja toiseksi todetaan, että komission tutkinnan aikana mahdollisesti saamia henkilötietoja ei kerätä eikä oteta huomioon ja että ne, jos niitä on epähuomiossa kerätty, hävitetään välittömästi. Yleisenä varmistuslausekkeena tietosuojavaltuutettu ehdotti lisäksi, että lisättäisiin säännös, jossa todetaan, että direktiivi ei vaikuta direktiivillä 95/46/EY ja asetuksella (EY) N:o 45/2001 säädettyihin tietosuojasääntöihin.

9.

Jos taas komission tutkinnan yhteydessä on tarkoitus säännöllisesti käsitellä tietoja, tietosuojavaltuutettu suositteli, että komissio lisäisi tekstin, josta käyvät ilmi asianmukaisen tietosuoja-arvion tulokset. Siinä olisi mainittava muun muassa seuraavaa: (I) tietojenkäsittelyn varsinainen tarkoitus, (II) tietojenkäsittelyn tarpeellisuus tämän tarkoituksen toteutumiseksi ja (III) tietojenkäsittelyn suhteellisuus.

10.

Tietosuojavaltuutetun epäviralliset neuvot koskivat vain komission tutkintavaltuuksia, mutta hänen huomautuksensa pätevät yhtä hyvin toiseen direktiiviehdotuksessa selitettyyn päätoimintoon eli tietojen keräämiseen ja toimittamiseen komissiolle jäsenvaltioiden toimesta.

11.

Lopullisesta direktiiviehdotuksesta käy selkeästi ilmi komission katsoneen, että direktiivin soveltamiseksi ei aiota käsitellä henkilötietoja. Tietosuojavaltuutettu on hyvillään siitä, että hänen ensimmäinen ehdottamansa lähestymistapa otetaan täysin huomioon ehdotuksessa.

12.

Tietosuojavaltuutettu antaa tästä syystä tukensa tavalle, jolla komissio on huolehtinut tietosuojasääntöjen noudattamisesta direktiiviehdotuksessa. Tämän lausunnon loppuosassa annetaan vain joitakin yksityiskohtaisia suosituksia.

13.

Ehdotetun direktiivin 15 artikla koskee jäsenvaltioiden velvoitetta toimittaa komissiolle viikoittaiset tilastolliset yhteenvedot niiden alueella pidettävien kaupallisten varastojen tasoista. Tällaiset tiedot sisältävät yleensä vain vähän henkilötietoja. Niihin saattaa kuitenkin sisältyä tietoja luonnollisista henkilöistä, jotka omistavat öljyvarastot tai jotka ovat varaston omistavan oikeushenkilön palveluksessa. Jotta jäsenvaltiot eivät toimittaisi komissiolle tällaisia tietoja, 15 artiklan 1 kohdassa todetaan, että jos jäsenvaltiot toimittavat tietoja, niiden on ”jätettävä nimeämättä kyseisten varastojen omistajat”. Vaikka onkin muistettava, että nimen pois jättäminen ei aina tarkoita sitä, ettei tietoja voitaisi yhdistää johonkin luonnolliseen henkilöön, näyttää siltä, että tässä tilanteessa (tilastolliset yhteenvedot öljyvarastojen tasoista) tämä lisälauseke riittää varmistamaan, ettei komissiolle toimiteta henkilötietoja.

14.

Komission tutkintavaltuuksista säädetään ehdotetun direktiivin 19 artiklassa. Artiklasta käy selkeästi ilmi, että komissio on noudattanut edellä kohdassa 8 selitettyä ensimmäistä lähestymistapaa. Siinä todetaan, että komission suorittamissa tarkastuksissa ei saa kerätä henkilötietoja. Silloinkin, jos komissio saa haltuunsa tällaisia tietoja, niitä ei saa ottaa huomioon ja ne on hävitettävä, jos niitä on kerätty vahingossa. Sanamuodon mukauttamiseksi tietosuojalainsäädännössä käytettyyn sanamuotoon ja väärinymmärrysten välttämiseksi tietosuojavaltuutettu suosittelee, että 2 kohdan ensimmäisessä virkkeessä oleva sana ”kerääminen” korvattaisiin sanalla ”käsittely”.

15.

Tietosuojavaltuutettu on tyytyväinen siihen, että ehdotukseen on lisätty myös asiaankuuluvaa tietosuojalainsäädäntöä koskeva yleinen varmistuslauseke. Ehdotuksen 20 artiklassa muistutetaan selkeästi jäsenvaltioille sekä komissiolle ja muille yhteisön elimille niiden direktiivistä 95/46/EY ja asetuksesta (EY) N:o 45/2001 johtuvista velvoitteista. Lisäksi lausekkeessa korostetaan oikeuksia, joita rekisteröidyillä sääntöjen mukaan on, esimerkiksi oikeutta vastustaa henkilötietojensa käsittelyä, oikeutta saada tieto itseään koskevista tiedoista ja oikeutta saada oikaistuiksi itseään koskevat virheelliset tiedot. Eräs huomautus voitaisiin ehkä esittää tämän säännöksen paikasta ehdotuksessa. Yleisen luonteensa vuoksi se ei koske pelkästään komission tutkintavaltuuksia. Tästä syystä tietosuojavaltuutettu suosittelee artiklan siirtämistä direktiivin alkuosaan, esimerkiksi 2 artiklan jälkeen.

16.

Myös johdanto-osan 25 kappaleessa viitataan direktiiviin 95/46/EY ja asetukseen (EY) N:o 45/2001. Johdanto-osan kappaleen tarkoitus on kuitenkin melko epäselvä, sillä siinä mainitaan vain tietosuojalainsäädäntö sellaisenaan eikä käsitellä asiaa enempää. Johdanto-osan kappaleessa olisi selkeästi todettava, että direktiivin säännökset eivät vaikuta mainitun lainsäädännön soveltamiseen. Lisäksi johdanto-osan kappaleen viimeinen virke näyttäisi tarkoittavan, että tietosuojalainsäädännössä nimenomaisesti vaaditaan rekisterinpitäjiä hävittämään epähuomiossa kerätyt tiedot välittömästi. Vaikka tällainen velvoite voi johtua esitetyistä säännöistä, sitä ei sellaisenaan ole kyseisessä lainsäädännössä. Tietosuojan yleisenä periaatteena on, että henkilötietoja ei säilytetä kauempaa kuin on tarpeen sitä tarkoitusta varten, johon ne kerättiin, tai niitä jatkokäsitellään. Jos johdanto-osan kappaleen alkuosaa tarkistetaan edellä ehdotetulla tavalla, viimeinen virke käy tarpeettomaksi. Tietosuojavaltuutettu ehdottaakin, että johdanto-osan 25 kappaleen viimeinen virke poistettaisiin.

17.

Tietosuojavaltuutettu ilmaisee tukevansa tapaa, jolla komissio on huolehtinut tietosuojasääntöjen noudattamisesta direktiiviehdotuksessa.

18.

Tietosuojavaltuutettu antaa seuraavat yksityiskohtaiset suositukset:

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/45

6.6.2009   

FI

Euroopan unionin virallinen lehti

C 128/46