Henkilötietojen suoja
Henkilötietojen suoja ja yksityiselämän kunnioittaminen ovat eurooppalaisia perusoikeuksia. Euroopan parlamentti on aina korostanut tarvetta säilyttää tasapaino turvallisuuden lisäämisen ä ihmisoikeuksien, myös tietosuojan ja yksityisyyden, turvaamisen välillä. EU:n uudet tietosuojasäännöt, joilla lujitetaan kansalaisten oikeuksia ja yksinkertaistetaan yrityksiin sovellettavia sääntöjä digitaalisella aikakaudella, tulivat voimaan toukokuussa2018. Euroopan parlamentille tehdyt tutkimukset osoittavat, että tietovirtojen sääntelyyn liittyvä EU:n lainsäädäntö tuo Euroopan unionin bruttokansantuotteeseen vuosittain 51,6miljardia euroa. Pegasus-ohjelman ja vastaavien vakoiluohjelmien käyttöä selvittävälle Euroopan parlamentille tutkintavaliokunnalle (PEGA) tehty tutkimus vahvistaa tietosuojan merkityksen demokratian ja yksilöiden vapauksien puolustamisessa EU:ssa.
Oikeusperusta
Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 16artikla
Euroopan unionin perusoikeuskirjan 7 ja 8artikla
Tavoitteet
Unionin on varmistettava, että EU:n perusoikeuskirjassa vahvistettua perusoikeutta tietosuojaan sovelletaan johdonmukaisesti. Koska tiedonsiirtojen määrä kasvaa eksponentiaalisesti ja koska enin osa tästä kasvusta tapahtuu EU:ssa, Yhdysvalloissa ja Kanadassa, EU:n kantaa henkilötietojen suojaan on vahvistettava kaikissa EU:n toimintapolitiikoissa.
Saavutukset
A. Institutionaalinen kehys
1. Lissabonin sopimus
Ennen Lissabonin sopimuksen voimaantuloa tietosuojalainsäädäntö vapauden, turvallisuuden ja oikeuden alueella sisältyi osittain ensimmäiseen pilariin (tietosuoja kaupallisissa ja yksityisissä tarkoituksissa, jolloin sovellettiin yhteisömenetelmää) ja osittain kolmanteen pilariin (tietosuoja lainvalvontatarkoituksissa, jolloin toimittiin hallitustenvälisellä tasolla). Vastaavasti myös päätöksenteossa noudatettiin eri sääntöjä. Pilarirakenne poistui käytöstä Lissabonin sopimuksen tultua voimaan, mikä on lujittanut selkeämmän ja tehokkaamman tietosuojajärjestelmän kehittämisen perustaa. Samalla Euroopan parlamentin toimivalta lisääntyi, kun siitä tuli toinen lainsäätäjä. SEUT:n 16artiklan mukaisesti parlamentti ja neuvosto antavat luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat unionin toimielinten, elinten ja laitosten ä jäsenvaltioiden, silloin kun viimeksi mainitut toteuttavat unionin oikeuden soveltamisalaan kuuluvaa toimintaa, suorittamaa henkilötietojen käsittelyä.
2. Strategiset suuntaviivat vapauden, turvallisuuden ja oikeuden alueella
Eurooppa-neuvosto ⱹä⾱ joulukuussa2009 Tampereen ohjelman (lokakuu1999) ja Haagin ohjelman (marraskuu2004) jatkoksi vapauden, turvallisuuden ja oikeuden aluetta koskevan monivuotisen ohjelman kaudeksi2010–2014. Tätä ohjelmaa kutsutaan Tukholman ohjelmaksi. Eurooppa-neuvosto määritteli kesäkuussa2014 hyväksymissään päätelmissä lainsäädännön ja operatiivisen toiminnan eteenpäin viennin strategiset suuntaviivat tuleviksi vuosiksi vapauden, turvallisuuden ja oikeuden alueella SEUT:n 68artiklan mukaisesti. Yhtenä keskeisistä tavoitteista on parantaa henkilötietojen suojaa EU:ssa.
B. Tärkeimmät tietosuojasäädökset
1. EU:n perusoikeuskirja
Perusoikeuskirjan 7 ja 8artiklassa yksityiselämän kunnioittaminen ja henkilötietojen suoja tunnustetaan läheisesti toisiinsa liittyviksi mutta erillisiksi perusoikeuksiksi.
2. Euroopan neuvosto
a. Vuonna 1981 tehty yleissopimus nro108
Yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä 28.tammikuuta 1981 tehty Euroopan neuvoston yleissopimus nro108 oli ensimmäinen tietosuoja-alan oikeudellisesti sitova kansainvälinen väline. Sen tarkoituksena on turvata henkilötietojen automaattisessa tietojenkäsittelyssä jokaiselle yksilölle hänen oikeutensa ja perusvapautensa ja erityisesti hänen oikeutensa yksityisyyteen. Pöytäkirjalla yleissopimuksen muuttamisesta halutaan laajentaa sen soveltamisalaa, tehostaa tietosuojaa ja parantaa sen vaikuttavuutta.
b. Euroopan ihmisoikeussopimus
Ihmisoikeuksien ja perusvapauksien suojaamiseksi 4.marraskuuta 1950 tehdyn yleissopimuksen 8artiklan mukaisesti jokaisella on oikeus nauttia yksityis- ja perhe-elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta.
3. EU:n nykyiset tietosuojasäädökset
a. Yleinen tietosuoja-asetus
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä ä näiden tietojen vapaasta liikkuvuudesta ja direktiivin95/46/EY kumoamisesta 27.huhtikuuta 2016 annettua Euroopan parlamentin ja neuvoston asetusta (EU)2016/679 (yleinen tietosuoja-asetus) alettiin soveltaa toukokuussa2018. Sääntöjen tarkoituksena on suojella kaikkia EU:n kansalaisia yksityisyyden ja tietoturvan loukkauksilta yhä tietokeskeisemmässä maailmassa ja samalla luoda yrityksille entistä selkeämpi ja yhtenäisempi toimintakehys. Kansalaisten oikeuksista voidaan mainita selkeän suostumuksen antaminen heitä koskevien tietojen käsittelyyn ä oikeus saada siitä selkeitä ja ymmärrettäviä tietoja, oikeus tulla unohdetuksi eli mahdollisuus pyytää itseään koskevien tietojen poistamista, oikeus siirtää tietoja toiselle palveluntarjoajalle (esimerkiksi siirryttäessä verkkoyhteisöstä toiseen) ja oikeus tietää, jos tietoihin on murtauduttu. Uusia sääntöjä sovelletaan kaikkiin EU:ssa toimiviin yrityksiin, vaikka ne olisivatkin sijoittautuneet unionin ulkopuolelle. Lisäksi voidaan toteuttaa korjaavia toimenpiteitä, kuten antaa varoituksia ja määräyksiä, tai määrätä sakkoja sääntöjä rikkoville yrityksille. Komissio esitti 24. kesäkuuta 2020 [1].
b. Direktiivi lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta
Luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten ä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.huhtikuuta 2016 annettu Euroopan parlamentin ja neuvoston direktiivi (EU)2016/680 tuli voimaan toukokuussa2018. Direktiivillä suojellaan kansalaisten perusoikeutta tietosuojaan lainvalvontaviranomaisten käsitellessä henkilötietoja. Sillä varmistetaan, että uhrien, todistajien ja rikoksesta epäiltyjen henkilötietoja suojellaan asianmukaisesti, ja helpotetaan rajatylittävää yhteistyötä rikollisuuden ja terrorismin torjunnassa. Komissio julkaisi 25. heinäkuuta2022 viivästyneen . Sitä seurasi kansalaisvapauksien ä oikeus- ja sisäasioiden valiokunnan (LIBE) teettämä arviointitutkimus, joka sisältää kriittisen arvioinnin direktiivin täytäntöönpanosta[2].
c. Sähköisen viestinnän tietosuojadirektiivi
Sähköisen viestinnän tietosuojadirektiiviä eli henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12.heinäkuuta 2002 annettua Euroopan parlamentin ja neuvoston muutettiin 25.marraskuuta 2009 annetulla . Tähän liittyy tietojen säilyttämistä koskeva arkaluonteinen kysymys, jota on käsitelty useaan otteeseen unionin tuomioistuimessa. Asiasta on annettu useita tuomioita, viimeksi vuonna , jolloin tuomioistuin katsoi, että EU:n oikeus on esteenä liikenne- ja paikkatietojen yleiselle ja erotuksetta tapahtuvalle säilyttämiselle.
Vuonna 2017 annetusta yksityiselämän kunnioittamisesta ja henkilötietojen suojasta sähköisessä viestinnässä ja direktiivin 2002/58/EY kumoamisesta (sähköisen viestinnän tietosuoja-asetus) on käyty pitkään keskusteluja. Euroopan parlamentin asiantuntijat katsoivat, että parlamentin olisi vastustettava neuvoston pyrkimyksiä sulkea pois eurooppalaisten tietosuojaperiaatteiden sovellettavuus[3].
d. Asetus unionin toimielinten ja elinten suorittamasta henkilötietojen käsittelystä
Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta ä asetuksen (EY)N:o45/2001 ja päätöksen N:o1247/2002/EY kumoamisesta 23. lokakuuta 2018 annettu Euroopan parlamentin ja neuvoston tuli voimaan 11. joulukuuta 2018.
e. Tietosuojaa koskevat säännökset alakohtaisissa säädöksissä
Edellä mainittujen tärkeimpien tietosuojasäädösten lisäksi esimerkiksi seuraavissa alakohtaisissa säädöksissä on tietosuojaa koskevia säännöksiä:
- matkustajarekisteritietojen (PNR) käytöstä terrorismirikosten ja vakavan rikollisuuden ennalta estämistä, paljastamista ja tutkintaa ä tällaisiin rikoksiin liittyviä syytetoimia varten 27.huhtikuuta 2016 annettu Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/681: 13artikla (henkilötietojen suojaaminen)
- liikenteenharjoittajien velvollisuudesta toimittaa tietoja matkustajista 29. huhtikuuta 2004 annettu : 6 artikla (tietojen käsittely). Tämä direktiivi kumotaan kahdella uudella asetuksella, joista äänestettiin parlamentin täysistunnossa 24.huhtikuuta 2024: ä [4]
- Euroopan unionin lainvalvontayhteistyövirastosta (Europol) 11.toukokuuta 2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/794: VIluku (tietosuojatakeet)
- tiiviimmän yhteistyön toteuttamisesta Euroopan syyttäjänviraston (EPPO) perustamisessa 12.lokakuuta 2017 annettu neuvoston asetus (EU) 2017/1939: VIIIluku (tietosuoja).
4. Tietojen siirtoa koskevat EU:n tärkeimmät kansainväliset järjestelyt
a. Kaupallisten tietojen siirto: tietosuojan riittävyyttä koskevat päätökset
Komissiolla on yleisen tietosuoja-asetuksen 45artiklan nojalla valtuudet päättää, tarjoaako EU:n ulkopuolinen maa joko antamansa kansallisen lainsäädännön tai tekemiensä kansainvälisten sitoumusten perusteella riittävän tietosuojan tason.
Vaikka tiedonsiirrot EU:n ja Pohjois-Amerikan välillä ovat lisääntyneet eksponentiaalisesti Yhdysvaltojen hallitessa yksityistä verkkomainontaa ja -valvontaa[5], parlamentti on hyväksynyt useita päätöslauselmia, joissa on tuotu esiin huoli transatlanttisista tietovirroista. Se on katsonut, että EU:n ja Yhdysvaltojen välinen Privacy Shield -päätös ei tarjoa EU:n oikeudessa edellytettyä riittävää suojan tasoa, ja unionin tuomioistuin on toistuvasti julistanut pätemättömiksi Yhdysvalloista tehdyt tietosuojan riittävyyttä koskevat komission päätökset (ks. sen vuonna 2015 safe harbor -periaatteista antama tuomio asiassa ja vuonna 2020 Privacy Shield -järjestelystä antama tuomio asiassa ).
Vaikka Yhdysvaltojen tietosuojajärjestelmää ei ole uudistettu, komissio pääsi jälleen Yhdysvaltojen kanssa sopimukseen ja esitti uudesta EU:n ja Yhdysvaltojen välisestä tietosuojakehyksestä. LIBE-valiokunnan esityksen perusteella parlamentti ⱹä⾱ 11.toukokuuta 2023 ääöܲ EU:n ja Yhdysvaltojen tietosuojakehyksen antaman suojan riittävyydestä. Siinä se totesi, että EU:n ja Yhdysvaltojen tietosuojakehys ei luo olennaisilta osin vastaavaa tietosuojan tasoa, ja kehotti komissiota jatkamaan neuvotteluja Yhdysvaltojen edustajien kanssa ja olemaan hyväksymättä tietosuojan riittävyyttä koskevaa päätelmää ennen kuin kaikki parlamentin päätöslauselmassa ja Euroopan tietosuojaneuvoston lausunnossa esitetyt suositukset on pantu täysimääräisesti täytäntöön.
Komissio ⱹä⾱ kolmannen 10. heinäkuuta 2023.
b. EU:n ja Yhdysvaltojen puitesopimus
Parlamentti osallistui hyväksyntämenettelyyn, jolla hyväksyttiin Yhdysvaltojen ja EU:n välinen puitesopimus henkilötietojen suojelusta rikosten ennalta estämistä, tutkimista, paljastamista ja rikoksiin liittyviä syytetoimia varten. Sopimuksen tavoitteena on taata henkilötietojen korkeatasoinen suojelu, kun niitä siirretään lainvalvontatarkoituksissa terrorismin ja järjestäytyneen rikollisuuden torjuntaa koskevan transatlanttisen yhteistyön puitteissa.
c. EU:n ja Yhdysvaltojen, EU:n ja Australian ä EU:n ja Kanadan väliset sopimukset matkustajarekisteritiedoista (PNR)
EU on allekirjoittanut kahdenvälisiä sopimuksia PNR- eli matkustajarekisteritiedoista Yhdysvaltojen, Australian ja Kanadan kanssa. PNR-tietoihin sisältyvät tiedot, joita matkustajat antavat lentoa varatessaan tai lähtöselvitystä tehdessään, ä lentoyhtiöiden omiin kaupallisiin tarkoituksiinsa keräämät tiedot. Lainvalvontaviranomaiset voivat käyttää PNR-tietoja vakavan rikollisuuden ja terrorismin torjumiseksi.
Unionin tuomioistuin totesi Kanadasta 26. heinäkuuta 2017 antamassaan lausunnossa 1/15, että 25. kesäkuuta 2014 allekirjoitettua EU:n ja Kanadan välistä suunniteltua sopimusta ei voida tehdä sen nykymuodossa. Lausunnon perusteella Kanadan kanssa aloitettiin kesäkuussa 2018 uudet PNR-tietoja koskevat neuvottelut, jotka ovat parhaillaan käynnissä.
Neuvosto ⱹä⾱ 18. helmikuuta 2020 päätöksen luvan antamisesta aloittaa neuvottelut EU:n ja Japanin välillä matkustajarekisteritietojen (PNR) siirtämistä ja käyttöä koskevan sopimuksen tekemiseksi. Nämä neuvottelut ovat niin ikään käynnissä.
d. EU:n ja Yhdysvaltojen välinen terrorismin rahoituksen jäljittämisohjelma (TFTP)
EU on allekirjoittanut Yhdysvaltojen kanssa kahdenvälisen sopimuksen terrorismin rahoituksen jäljittämisohjelmaa varten tapahtuvasta rahaliikenteen sanomanvälitystietojen käsittelystä ja siirtämisestä EU:sta Yhdysvaltoihin.
5. Tietosuojaan liittyvien näkökohtien käsittely alakohtaisissa päätöslauselmissa
Henkilötietojen suojaa on käsitelty myös useissa parlamentin päätöslauselmissa eri toiminta-aloilta. Näin on haluttu varmistaa, että EU:n yleinen tietosuojalainsäädäntö ja yksityisyyden suoja näillä aloilla ovat keskenään johdonmukaisia.
6. EU:n tietosuojaviranomaiset
on riippumaton valvontaviranomainen, jonka tehtävänä on varmistaa, että EU:n toimielimet ja elimet noudattavat tietosuojavelvoitteitaan. Euroopan tietosuojavaltuutetun ensisijaiset tehtävät ovat valvonta, neuvonta ja yhteistyö.
eli entinen 29artiklan mukainen tietosuojatyöryhmä on EU:n elin, jolla on oikeushenkilöllisyys, ja sillä on riippumaton sihteeristö. Se muodostuu EU:n jäsenvaltioiden tietosuojaviranomaisten edustajista, Euroopan tietosuojavaltuutetusta ja komission edustajista. Sillä on laajat valtuudet ratkaista kansallisten valvontaviranomaisten välisiä riitoja ja antaa neuvoja yleisen tietosuoja-asetuksen ja lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetun direktiivin keskeisistä käsitteistä.
Euroopan parlamentin rooli
Parlamentti on ratkaisevalla tavalla muovannut henkilötietojen suojaan liittyvää EU:n lainsäädäntöä tekemällä yksityisyyden suojasta poliittisen painopistealueen. Se on tavallista lainsäätämisjärjestystä noudattaen ollut neuvoston kanssa tasavertaisessa asemassa toteuttamassa tietosuojauudistusta. Se sai vuonna 2017 päätökseen työnsä lainsäädännön viimeisestä merkittävästä osa-alueesta eli uudesta sähköisen viestinnän tietosuoja-asetuksesta ja odottaa nyt, että neuvostokin saa oman työnsä valmiiksi, jotta toimielinten väliset neuvottelut voidaan aloittaa.
Parlamentti on lukuisissa päätöslauselmissa tuonut esille epäilynsä EU:n kansalaisille EU:n ja Yhdysvaltojen Safe Harbour -kehyksessä ja sittemmin Privacy Shield -järjestelyssä annetun suojan riittävyydestä. Schrems II -oikeustapauksen seurauksena komission EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn tarjoaman tietosuojan tason riittävyydestä mitätöitiin siksi, että Yhdysvaltojen hallituksen tarkkailuvaltuuksia ei ollut rajattu EU:n oikeudessa edellytetyllä tavalla eikä EU:n kansalaisilla ollut tehokkaita oikeussuojakeinoja. Parlamentti ⱹä⾱ tämän jälkeen ääöܲ, jossa se piti valitettavana, että komissio oli asettanut suhteet Yhdysvaltoihin EU:n kansalaisten etujen edelle[6].
LIBE-valiokunnan 11. toukokuuta 2023 jättämän esityksen perusteella parlamentti ääöܲ EU:n ja Yhdysvaltojen tietosuojakehyksen antaman suojan riittävyydestä. Siinä se totesi, että EU:n ja Yhdysvaltojen tietosuojakehys ei luo olennaisilta osin vastaavaa tietosuojan tasoa, ja kehotti komissiota jatkamaan neuvotteluja Yhdysvaltojen edustajien kanssa ja olemaan hyväksymättä tietosuojan riittävyyttä koskevaa päätelmää ennen kuin kaikki päätöslauselmassa ja Euroopan tietosuojaneuvoston lausunnossa esitetyt suositukset on pantu täysimääräisesti täytäntöön. Komissio ⱹä⾱ 10. heinäkuuta 2023 päätöksen .
Parlamentti on asettanut tutkintavaliokunnan selvittämään Pegasus-ohjelman ja vastaavien vakoiluohjelmien käyttöä EU:n jäsenvaltioissa (PEGA). PEGA-valiokunnan puheenjohtajana toimii parlamentin jäsen Jeroen Lenaers, ja se on tutkinut perusteellisesti käytäntöjä, joissa opposition jäsenistä, toimittajista, juristeista ja kansalaisyhteiskunnan aktivisteista kerätään tietoa vakoiluohjelmien avulla, ä sitä, miten tällaiset käytännöt vaikuttavat demokraattisiin prosesseihin ja yksilöiden oikeuksiin EU:ssa. Tutkintansa aikana PEGA-valiokunta kuuli johtavia tutkijoita, alan toimijoita ja viranomaisia EU:ssa ja eri puolilla maailmaa. Parlamentin politiikkayksikkö laati raportit PEGA-valiokunnan virkamatkoista Puolaan, Kreikkaan ja Kyprokseen. PEGA-valiokunta ⱹä⾱ äänestyksessään 8. toukokuuta2023 lopullisen mietinnön (esittelijä: parlamentin jäsen Sophia in ‘t Veld) epäilyjä unionin oikeuden rikkomisesta ja unionin oikeutta sovellettaessa tapahtuneesta hallinnollisesta epäkohdasta Pegasus-ohjelman ja vastaavien vakoiluohjelmien käytön yhteydessä koskevan tutkinnan johdosta. Tekstiin sisältyy monien muiden seikkojen ohella suositus EU:n Tech Lab -laboratorion perustamisesta tutkimaan ja seuraamaan EU:n kansalaisiin kohdistuvaa vakoiluohjelmien käyttöä. PEGA-valiokunnan mietinnön johdosta annettu parlamentin suositus neuvostolle ja komissiolle hyväksyttiin täysistunnossa 15. kesäkuuta 2023. Komissio ei kuitenkaan vastannut suositukseen ajoissa ja keskeytti parlamentin jäsenten ehdottaman EU:n Tech Lab -laboratorion pilottihankkeen.
Parlamentti on tilannut erinäisiä tutkimuksia tieteellisen perustan saamiseksi sen tekniikan kehitystä ja tietosuojaa koskevalle lainsäädäntötyölle. Näihin tutkimuksiin lukeutuvat tutkimukset yleisen tietosuoja-asetuksen vaikutuksista tekoälyyn, biometrisestä tunnistuksesta ja käyttäytymisen havainnoinnista, metaversumista ja äskettäinen tutkimus oikeudesta ja tieto- ja viestintätekniikasta[7].
Pablo Abril Marti / Mariusz Maciejewski