EUROOPAN KOMISSIO
Bryssel 15.1.2024
COM(2024) 7 final
KOMISSION KERTOMUS EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE
direktiivin 95/46/EY 25 artiklan 6 kohdan nojalla tehtyjen tietosuojan riittävyyttä koskevien päätösten toimivuuden ensimmäisestä uudelleentarkastelusta
{SWD(2024) 3 final}
1.ENSIMMÄINEN TARKASTELU – TAUSTA JA KONTEKSTI
Tämä kertomus sisältää komission havainnot direktiivin 95/46/EY, jäljempänä ’tietosuojadirektiivi’, 25 artiklan 6 kohdan 1 perusteella tehtyjen tietosuojan riittävyyttä koskevien päätösten ensimmäisestä tarkastelusta.
Komissio totesi kyseisissä päätöksissä, että 11 maata tai aluetta varmisti riittävän tietosuojan Euroopan unionista, jäljempänä ’EU’, siirretyille tiedoille 2 : Andorra 3 , Argentiina 4 , Kanada (kaupallisille toimijoille) 5 , Färsaaret 6 , Guernsey 7 , Mansaari 8 , Israel 9 , Jersey 10 , Uusi-Seelanti 11 , Sveitsi 12 ja Uruguay 13 . Päätösten ansiosta tiedonsiirrot EU:sta näihin maihin tai näille alueille voidaan toteuttaa ilman lisävaatimuksia.
Tietosuojadirektiivin nojalla annetut tietosuojan riittävyyttä koskevat päätökset pysyivät edelleen voimassa, kun asetusta (EU) 2016/679 14 , jäljempänä ’yleinen tietosuoja-asetus’, alettiin soveltaa 25. toukokuuta 2018 15 . Yleisessä tietosuoja-asetuksessa on lisäksi selvennetty, että tietosuojan riittävyyttä koskevat päätökset saattavat muuttua ja komission on jatkuvasti seurattava kolmansissa maissa tapahtuvaa kehitystä, joka saattaa vaikuttaa nykyisten päätösten toimivuuteen 16 . Lisäksi yleisen tietosuoja-asetuksen 97 artiklassa edellytetään, että komissio tekee päätöksiä koskevan uudelleentarkastelun neljän vuoden välein ja määrittää, onko henkilötietojen suojan taso edelleen riittävä niissä maissa ja niillä alueilla, joista on tehty tietosuojan riittävyyttä koskeva päätös.
EU:n aiemman tietosuojakehyksen nojalla tehtyjen tietosuojan riittävyyttä koskevien päätösten ensimmäinen uudelleentarkastelu käynnistettiin osana yleisen tietosuoja-asetuksen soveltamisen ja toiminnan laajempaa arviointia. Komissio esitteli havaintonsa yleisen tietosuoja-asetuksen kaksivuotista soveltamista koskevassa tiedonannossa, jossa käsiteltiin tietosuojasääntöjä kansalaisten vaikutusmahdollisuuksien ja EU:n digitaalisen muutoksen edistäjänä. 17 Uudelleentarkastelun päätelmää kuitenkin siirrettiin myöhemmäksi, jotta arviossa voitaisiin ottaa huomioon unionin tuomioistuimen asiassa Schrems II antama tuomio 18 , jossa tuomioistuin antoi tärkeitä selvennyksiä tietosuojan riittävyyttä koskevan standardin keskeisistä osatekijöistä, sekä muut aiheeseen liittyvät edistysaskeleet. Tämä puolestaan johti seikkaperäiseen keskusteluun asianomaisten maiden ja alueiden kanssa niiden oikeudelliseen kehykseen, valvontamekanismeihin ja täytäntöönpanojärjestelmään liittyvistä kysymyksistä 19 . Tässä kertomuksessa otetaan huomioon kaikki edistysaskeleet sekä EU:n että asianomaisten kolmansien maiden ja alueiden osalta.
On tärkeää huomata, että ensimmäisen uudelleentarkastelun taustatilanteena on nopeasti kehittynyt digitaaliteknologia. Viimeisten vuosikymmenien aikana tietosuojan riittävyyttä koskevien päätösten merkitys on kasvanut, sillä tiedonsiirroista on tullut olennainen osa yhteiskunnan digitalisaatiota ja talouden globalisaatiota. Maiden rajat ylittävästä tiedonsiirrosta on tullut osa kaikenkokoisten ja kaikilla eri aloilla toimivien eurooppalaisten yritysten päivittäistä toimintaa. Yksityisyyden kunnioittaminen on entistä tärkeämpää ja vakaiden, turvallisten ja kilpailukykyisten kauppavirtojen edellytys. Näin myös tietosuojan riittävyyttä koskevat päätökset ovat monessa suhteessa yhä tärkeämmässä asemassa. Päätöksillä varmistetaan, että tietosuoja kulkee tietojen mukana. Näin mahdollistetaan turvalliset tietovirrat, joissa kunnioitetaan yksilön oikeuksia EU:n digitaalista muutosta koskevan ihmiskeskeisen lähestymistavan mukaisesti. Koska päätöksissä todetaan, että kolmansien maiden yksityisyyden suojaa koskevat kehykset tarjoavat samantasoisen suojan kuin EU:ssa, niillä edistetään korkeatasoiseen suojaan perustuvien yksityisyyden suojajärjestelmien keskinäistä lähentymistä. Lisäksi, kuten tässä kertomuksessa todetaan, tietosuojan riittävyyttä koskevat päätökset eivät ole päätepisteitä, vaan ne pikemminkin luovat perustan EU:n ja sen samanmielisten kumppaneiden väliselle tiiviimmälle yhteistyölle ja sääntelyn lähentymiselle. Mahdollistamalla henkilötietojen vapaan liikkuvuuden nämä päätökset ovat avanneet kaupallisia kanavia EU:n toimijoille muun muassa täydentämällä ja vahvistamalla kauppasopimusten tuomia etuja. Lisäksi ne ovat helpottaneet yhteistyötä ulkomaisten kumppaneiden kanssa monilla sääntelyn aloilla. Tietosuojan riittävyyttä koskevat päätökset auttavat erityisesti pieniä ja keskisuuria yrityksiä noudattamaan yleisen tietosuoja-asetuksen kansainvälisiä siirtovaatimuksia tarjoamalla tiedonsiirtoon yksinkertaisen ja kattavan ratkaisun, joka ei vaadi tietojen viejältä muiden suojatoimien toteuttamista tai erillistä siirtolupaa. Verkostovaikutuksensa ansiosta komission tekemät tietosuojan riittävyyttä koskevat päätökset ovat yhä tärkeämpiä myös EU:n ulkopuolella. EU:n 30 talouden lisäksi ne mahdollistavat vapaan tiedonkulun myös monilla muilla maailman eri lainkäyttöalueilla 20 , joiden tietosuojasäännöissä EU:n tietosuojan riittävyyttä koskevan päätöksen saaneet maat määritetään turvallisiksi kohteiksi.
Kaikista näistä syistä, ja kuten asianomaisten kolmansien maiden/alueiden kanssa käydyssä intensiivisessä ja hedelmällisessä vuoropuhelussa on käynyt ilmi, tietosuojan riittävyyttä koskevista päätöksistä on tullut strateginen osa EU:n ja näiden ulkomaisten kumppaneiden välistä suhdetta, ja ne nähdään merkittävänä mahdollisuutena syventää yhteistyötä monilla eri aloilla. Tämän vuoksi on erityisen tärkeää, että nämä päätökset kestävät aikaa, sopivat kehityssuuntauksiin ja vastaavat uusiin haasteisiin.
2.UUDELLEENTARKASTELUN KOHDE JA MENETELMÄT
Tämän uudelleentarkastelun kohteena olevat tietosuojan riittävyyttä koskevat päätökset on hyväksytty yleistä tietosuoja-asetusta edeltäneen EU:n tietosuojakehyksen puitteissa. Viimeisimmät päätökset ovat noin kymmenen vuoden takaa (esimerkiksi Uutta-Seelantia ja Uruguayta koskevat päätökset, jotka annettiin vuonna 2012), kun taas toiset ovat olleet voimassa yli 20 vuotta (esimerkiksi Kanadaa koskeva päätös vuodelta 2001 ja Sveitsiä koskeva päätös vuodelta 2000). Päätösten antamisen jälkeen kaikkien 11 maan ja alueen tietosuojakehykset ovat kehittyneet esimerkiksi lainsäädäntö- tai sääntelyuudistuksien, tietosuojaviranomaisten täytäntöönpanokäytäntöjen kehityksen tai syntyneen oikeuskäytännön myötä.
Komissio on arvioinnissaan keskittynyt tietosuojakehyksien kehittymiseen tietosuojan riittävyyttä koskevien päätösten antamisen jälkeen asianomaisissa maissa ja asianomaisilla alueilla. Se on arvioinut, miten tämä kehitys on muokannut kyseisten maiden tai alueiden tietosuojaympäristöä ja tarkastellut, varmistetaanko eri järjestelmillä edelleen tietosuojan riittävä taso, kun tämä kehitys otetaan huomioon.
Komissio on ottanut huomioon myös sen, miten EU:n oma tietosuojajärjestelmä on kehittynyt erityisesti yleisen tietosuoja-asetuksen soveltamisen myötä. Tietosuojan riittävyyttä koskevien päätösten antamisen jälkeen näihin päätöksiin sovellettavaa oikeudellista standardia sekä seikkoja, joilla on merkitystä ulkomaisen järjestelmän riittävän suojatason arvioinnissa, on selvennetty edelleen unionin tuomioistuimen oikeuskäytännössä ja ohjeissa, jotka 29 artiklassa tarkoitettu tietosuojatyöryhmä ja sen seuraaja Euroopan tietosuojaneuvosto 21 ovat antaneet.
Erityisesti unionin tuomioistuin totesi 6. lokakuuta 2015 antamassaan tuomiossa Schrems I, että vaikka kolmatta maata ei voida vaatia varmistamaan samantasoista suojaa kuin EU:ssa taataan, tietosuojan riittävyyttä koskevan päätöksen katsotaan edellyttävän pääosiltaan samantasoista tietosuojaa 22 . Tuomioistuin selvensi erityisesti, että keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti tietosuojan riittävän tason. 23 Näin ollen tietosuojan riittävyyden arvioiminen edellyttää kolmannen maan koko järjestelmän kattavaa arviointia, mukaan lukien tietosuojan sisällön, sen tehokkaan soveltamisen ja täytäntöönpanon arviointi.
Lisäksi tuomioistuin selvensi, että komission arvioinnin ei pitäisi rajoittua kolmannen maan yleiseen tietosuojakehykseen, vaan siihen olisi myös sisällytettävä säännöt, jotka koskevat viranomaisten pääsyä henkilötietoihin erityisesti lainvalvontaa ja kansallisen turvallisuuden takaamista koskevissa asioissa 24 . Tuomioistuin määritti perusoikeuskirjaa vertailukohtanaan käyttäen useita vaatimuksia, jotka näiden sääntöjen olisi täytettävä, jotta suoja vastaisi pääosiltaan EU:n tasoa. Asiaa koskevassa lainsäädännössä olisi esimerkiksi säädettävä selkeistä ja täsmällisistä toimenpiteen laajuutta ja soveltamista koskevista säännöistä sekä asetettava vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötietoja asia koskee, on riittävät takeet, joiden avulla varmistetaan tietojen tehokas suojaus väärinkäytön vaaroilta ja laittomalta saannilta ja käytöltä 25 . Lainsäädännössä yksityishenkilöille olisi myös annettava mahdollisuus käyttää oikeussuojakeinoja, joiden avulla he saavat tutustua henkilötietoihinsa tai voivat saada tällaiset tiedot oikaistua tai poistettua 26 .
Yleisessä tietosuoja-asetuksessa hyödynnettiin tuomioistuimen antamia selvennyksiä ja esitettiin yksityiskohtainen luettelo tekijöistä, jotka komission on otettava huomioon tietosuojan riittävyyden arvioinnissa 27 . Lisäksi unionin tuomioistuin tarkensi edelleen 16. heinäkuuta 2020 asiassa Schrems II antamassaan tuomiossa pääosiltaan vastaavan tason määritelmää erityisesti liittyen sääntöihin, jotka koskevat viranomaisten oikeutta saada henkilötietoja lainvalvontaan ja kansalliseen turvallisuuteen liittyvissä tapauksissa. Se selvensi erityisesti pääosiltaan vastaavan tietosuojan tason vaativan, että asianomaisten kolmansien maiden ja alueiden viranomaisia sitoviin oikeudellisiin kehyksiin sisältyy vähimmäistakeita sen varmistamiseksi, että nämä viranomaiset pääsevät käsiksi vain tietoihin, jotka ovat tarpeellisia ja oikeasuhtaisia oikeutettujen tavoitteiden saavuttamiseksi, ja että rekisteröidyllä on käytössään vaikuttavat ja täytäntöönpanokelpoiset oikeudet kyseisiä viranomaisia kohtaan 28 .
Tietosuojan riittävyyttä koskevan vaatimustason kehitys näkyy myös ohjeissa, jotka 29 artiklan mukainen työryhmä alun perin antoi ja jotka tietosuojaneuvosto myöhemmin hyväksyi 29 . Näissä ohjeissa ja erityisesti tietosuojan riittävyyden viitearvoissa selvennetään entisestään seikkoja, jotka komission on otettava huomioon arvioidessaan tietosuojan riittävyyttä. Sen on esimerkiksi annettava yleiskatsaus olennaisista takeista, jotka koskevat viranomaisten pääsyä henkilökohtaisiin tietoihin. Viimeksi mainittu perustuu erityisesti Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön, ja tietosuojaneuvosto päivitti sitä ottaakseen huomioon unionin tuomioistuimen asiassa Schrems II antamat selvennykset 30 . Tietosuojan riittävyyden viitearvoissa on myös tärkeä toteamus siitä, että pääosiltaan vastaava tietosuojan taso ei tarkoita täydellistä vastaavuutta EU:n sääntöjen kanssa, sillä eri suojajärjestelmien keinot taata riittävä suojataso saattavat vaihdella ja heijastavat usein erilaisia oikeusperinteitä.
Komissio on pyrkinyt määrittämään, täyttävätkö edellisten sääntöjen nojalla tehdyt 11 tietosuojan riittävyyttä koskevaa päätöstä edelleen yleisessä tietosuoja-asetuksessa asetut vaatimukset. Tätä varten se on ottanut arviossaan huomioon paitsi kyseisten maiden ja alueiden tietosuojakehysten kehityksen myös tietosuojan tason riittävyyttä koskevat tulkintamuutokset EU:n lainsäädännössä. Komissio on arvioinut myös lainsäädäntökehykset, joilla säännellään viranomaisten pääsyä EU:sta siirrettyihin henkilötietoihin ja niiden oikeutta käyttää näitä tietoja niissä maissa tai alueilla, joiden tietosuojan taso on todettu riittäväksi tietosuojadirektiivin 25 artiklan 6 kohdan mukaisesti.
3.UUDELLEENTARKASTELU
Kuten edellä on kuvattu, kunkin asianomaisen maan tai alueen tietosuojan riittävyyttä koskevan tämänhetkisen päätöksen arviointi kattaa tietosuojakehyksen ja kyseisen oikeudellisen kehyksen kehityksen tietosuojan riittävyyttä koskevan päätöksen antamisen jälkeen sekä säännöt, jotka koskevat viranomaisten pääsyä tietoihin erityisesti lainvalvontaa ja kansallista turvallisuutta koskevissa tapauksissa. Komission yksiköt ovat viime vuosina toteuttaneet useita toimia tämän arvioinnin toteuttamiseksi tiiviissä yhteistyössä asianomaisten maiden tai alueiden kanssa.
Kukin 11 maasta tai alueesta auttoi komissiota seurantavelvollisuutensa toteuttamisessa ja toimitti sille kattavat tiedot tietosuojajärjestelmänsä kehityksestä tietosuojan riittävyyttä koskevan päätöksen antamisen jälkeen. Lisäksi komissio on hankkinut yksityiskohtaisia tietoja näiden 11 maan ja alueen säännöistä, jotka koskevat kyseisen maan tai alueen viranomaisten pääsyä henkilötietoihin erityisesti lainvalvontaa ja kansallista turvallisuutta koskevissa asioissa. Komissio on myös hankkinut julkisista lähteistä, valvonta- ja täytäntöönpanoviranomaisilta sekä paikallisilta asiantuntijoilta tietoja päätösten toimivuudesta ja asianomaisten maiden lainsäädännön ja käytäntöjen kehityksestä sekä yksityisiin toimijoihin sovellettaviin tietosuojasääntöihin että viranomaisten pääsyyn liittyen. Lisäksi komissio on tarpeen mukaan ottanut huomioon näiden maiden/alueiden alueellisten tai yleismaailmallisten välineiden nojalla solmimat kansainväliset sitoumukset.
Tätä varten komissio on käynyt tiivistä vuoropuhelua asianomaisten maiden ja alueiden kanssa. Tämän vuoropuhelun myötä monet näistä maista ja alueista ovat uudistaneet ja vahvistaneet yksityisyyden suojaa koskevaa lainsäädäntöään kattavilla tai osittaisilla uudistuksilla (esimerkiksi Andorra, Kanada, Färsaaret, Sveitsi ja Uusi-Seelanti). Uudistusten taustalla on muun muassa halu varmistaa, että tietosuojan riittävyyttä koskevat päätökset pysyvät voimassa. Osa näistä maista on hyväksynyt asetuksia ja/tai tietosuojaviranomaisensa antamia ohjeita ja ottanut käyttöön uusia tietosuojavaatimuksia (esimerkiksi Israel ja Uruguay) tai selventänyt tiettyjä yksityisyyden suojaa koskevia sääntöjä (esimerkiksi Argentiina, Kanada, Guernsey, Jersey, Mansaari, Israel ja Uusi-Seelanti) täytäntöönpanokäytäntöä tai oikeuskäytäntöä hyödyntäen. Tietosuojan tasoerojen korjaamiseksi joidenkin asianomaisten maiden ja alueiden kanssa on lisäksi neuvoteltu ja sovittu Euroopasta siirrettyjä henkilötietoja koskevasta lisäsuojasta, jotta tietosuojan riittävyyttä koskeva päätös on voitu säilyttää. Esimerkiksi Kanadan hallitus laajensi julkisen sektorin käsittelemiin henkilötietoihin pääsyä ja niiden korjaamista koskevia oikeuksia niin, että ne koskevat kaikkia henkilöitä kansalaisuudesta tai asuinpaikasta riippumatta (aikaisemmin vain Kanadan kansalaisilla, pysyvän oleskeluluvan haltijoilla tai Kanadassa oleskelevilla henkilöillä oli nämä oikeudet) 31 . Toinen esimerkki tulee Israelista, jossa hallitus otti käyttöön erityisiä suojatoimia Euroopan talousalueelta siirrettyjen henkilötietojen suojan vahvistamiseksi. Toimilla luodaan eritoten tietojen tarkkuuteen ja säilyttämiseen liittyviä uusia velvoitteita, vahvistetaan tietojen saamiseen ja poistamiseen liittyviä oikeuksia sekä lisätään arkaluonteisten tietojen luokkia 32 .
Samanaikaisesti komissio kartoitti Euroopan parlamentin (kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta) 33 , neuvoston (tietosuojatyöryhmän kautta) 34 , tietosuojaneuvoston 35 ja yleisen tietosuoja-asetuksen sidosryhmien välisen asiantuntijaryhmän 36 (johon kuuluu kansalaisyhteiskunnan, teollisuuden, tiedeyhteisön ja oikeusalan edustajia) näkemyksiä ja tiedotti näille tahoille säännöllisesti arvioinnin edistymisestä.
Tämä kertomus ja liitteenä oleva komission yksiköiden valmisteluasiakirja ovat näin ollen tulosta tiiviistä yhteistyöstä asianomaisten maiden ja alueiden kanssa sekä asiaankuuluvien EU:n toimielinten ja elinten kuulemisesta ja niiltä saadusta palautteesta. Kertomuksessa ja valmisteluasiakirjassa olevat tiedot perustuvat erilaisiin lähteisiin, kuten lainsäädäntöön, sääntelytoimiin, oikeuskäytäntöön, tietosuojaviranomaisten päätöksiin ja ohjeisiin, (riippumattomien) valvontaelinten raportteihin ja sidosryhmien tietoihin. Ennen tämän kertomuksen hyväksymistä kaikille edellä mainituille maille ja alueille on annettu tilaisuus tarkistaa, että niiden järjestelmää koskevat komission yksiköiden valmisteluasiakirjassa annetut tiedot ovat oikein.
4.TÄRKEIMMÄT HAVAINNOT JA PÄÄTELMÄT
Ensimmäinen uudelleentarkastelu on osoittanut, että tietosuojan riittävyyttä koskevien päätösten tekemisen jälkeen kaikkien 11 maan tai alueen tietosuojakehykset ovat lähentyneet EU:n kehystä. Viranomaisten henkilötietoihin pääsyn osalta ensimmäinen uudelleentarkastelu on lisäksi osoittanut, että näiden maiden tai alueiden lainsäädännössä säädetään asianmukaisista suojatoimista ja rajoituksista sekä varmistetaan henkilötietoihin liittyvien valvonta- ja muutoksenhakumekanismien saatavuus.
Yksityiskohtaiset havainnot kustakin 11 maasta tai alueesta löytyvät tämän kertomuksen liitteenä olevasta komission yksiköiden valmisteluasiakirjasta. Näiden havaintojen perusteella komissio päättelee, että kaikki 11 maata ja aluetta varmistavat edelleen Euroopan unionista siirrettävien henkilötietojen riittävän suojatason yleisen tietosuoja-asetuksen ja unionin tuomioistuimen tulkinnan mukaisesti. Seuraavaksi esitetään yhteenveto kustakin 11 maasta ja alueesta tehdyistä havainnoista.
4.1.Andorra
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Andorran oikeudellisen kehyksen kehitykseen, johon kuuluu esimerkiksi lainsäädäntömuutoksia ja valvontaelinten toimia. Erityisesti toukokuussa 2022 voimaan tullut henkilötietojen suojaa koskeva laki 29/2021 on parantanut tietosuojan tasoa, sillä laki on rakenteeltaan ja keskeisiltä osiltaan erittäin yhdenmukainen yleisen tietosuoja-asetuksen kanssa.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Andorrassa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista syistä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Andorran perustuslakiin, Euroopan ihmisoikeussopimukseen ja Euroopan neuvoston yksilöiden suojelua henkilötietojen automaattisessa tietojenkäsittelyssä käsittelevään yleissopimukseen (yleissopimus 108 ja muutospöytäkirja, jotka muodostavat uudistetun yleissopimuksen 108+), sekä erityisiin tietosuojasääntöihin, joita sovelletaan henkilötietojen käsittelyyn lainvalvonnan yhteydessä ja jotka heijastavat olennaisilta osin direktiivin (EU) 2016/680 37 keskeisiä osia. Lisäksi Andorran lainsäädännössä asetetaan tiettyjä ehtoja ja rajoituksia, jotka koskevat viranomaisten henkilötietoihin pääsyä ja niiden käyttöä, ja säädetään tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Andorra tarjoaa edelleen riittävän suojan EU:sta siirretyille henkilötiedoille.
Lainvalvontaviranomaisia koskevien tietojen käsittelysääntöjen osalta komissio suhtautuu myönteisesti Andorran lainsäätäjän aikomukseen korvata nämä säännöt kattavammalla järjestelmällä, joka on entistä yhtenäisempi EU:n sääntöjen kanssa. Komissio seuraa tiiviisti aiheeseen liittyvää kehitystä tulevaisuudessa.
4.2.Argentiina
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Argentiinan oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Erityisesti Argentiinan tietosuojaviranomaisen riippumattomuutta vahvistettiin merkittävästi asetuksella N:o 746/17, jossa tietosuojaviranomainen (Agencia de Acceso a la Información Pública, AAIP) määritettiin vastuuseen tietosuojalainsäädännön noudattamisen valvomisesta. Argentiinan tietosuojaviranomainen antoi lisäksi lukuisia sitovia määräyksiä ja lausuntoja, joissa selvennetään, miten tietosuojakehystä on tulkittava ja sovellettava käytännössä, ja edisti näin tietosuojalainsäädännön ajan tasalla pitämistä. Argentiina vahvisti myös tietosuojaa koskevia kansainvälisiä sitoumuksiaan liittymällä Euroopan neuvoston yleissopimukseen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä ja sen lisäpöytäkirjaan vuonna 2019 ja ratifioimalla muutospöytäkirjan, jonka avulla luotiin uudistettu yleissopimus 108+ vuonna 2023.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Argentiinassa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Argentiinan perustuslakiin, Amerikan ihmisoikeussopimukseen, yleissopimukseen 108 ja yleissopimukseen 108+, sekä Argentiinan tietosuojasääntöihin (henkilötietojen suojaa koskeva laki 25 326, annettu 4. lokakuuta 2000), joita sovelletaan myös Argentiinan viranomaisten suorittamaan henkilötietojen käsittelyyn muun muassa lainvalvontaa ja kansallista turvallisuutta koskevissa tapauksissa. Lisäksi Argentiinan lainsäädännössä asetetaan tiettyjä ehtoja ja rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa, ja säädetään tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Argentiina tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
Samanaikaisesti komissio suosittelee lainsäädännön alapuolella kehitettyjen suojatoimien sisällyttämistä lainsäädäntöön oikeusvarmuuden parantamiseksi ja näiden vaatimusten lujittamiseksi. Argentiinan kongressissa äskettäin esitetty tietosuojaa koskeva lakiehdotus saattaa tarjota mahdollisuuden kodifioida tätä kehitystä ja siten vahvistaa entisestään Argentiinan tietosuojakehystä. Komissio seuraa tiiviisti aiheeseen liittyvää kehitystä tulevaisuudessa.
4.3.Kanada
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Kanadan oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita useita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Henkilötietojen suojasta ja sähköisistä asiakirjoista annettua säädöstä (Personal Information Protection and Electronic Documents Act, PIPEDA) on vahvistettu edelleen erilaisilla muutoksilla (esimerkiksi voimassa olevan suostumuksen ehtoja ja tietoturvaloukkauksesta ilmoittamista koskevilla muutoksilla), ja keskeisiä tietosuojavaatimuksia (esimerkiksi arkaluonteisten tietojen käsittelyä koskien) on selvennetty oikeuskäytännöllä sekä Kanadan liittovaltion tietosuojaviranomaisen (Office of the Privacy Commissioner) antamilla ohjeilla. Samanaikaisesti komissio suosittelee joidenkin lainsäädännön alapuolella kehitettyjen suojatoimien sisällyttämistä lainsäädäntöön oikeusvarmuuden parantamiseksi ja näiden vaatimusten lujittamiseksi. PIPEDAn parhaillaan käynnissä oleva lainsäädäntöuudistus voisi erityisesti tarjota mahdollisuuden kodifioida tätä kehitystä ja siten vahvistaa entisestään Kanadan tietosuojakehystä. Komissio seuraa tiiviisti aiheeseen liittyvää kehitystä tulevaisuudessa.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Kanadassa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet ovat seurausta yleisestä oikeudellisesta kehyksestä (Canadian Charter of Rights and Freedoms), oikeuskäytännöstä, tietojen saatavuutta koskevasta erityislainsäädännöstä sekä tietosuojasäännöistä (Privacy Act ja vastaavat provinssitason lait), joita sovelletaan myös Kanadan viranomaisten suorittamaan henkilötietojen käsittelyyn muun muassa lainvalvontaa ja kansallista turvallisuutta koskevissa tapauksissa. Lisäksi Kanadan oikeusjärjestelmä tarjoaa tehokkaita tietosuojaan liittyviä valvonta- ja muutoksenhakumekanismeja, mukaan lukien rekisteröityjen oikeuksia ja muutoksenhakumahdollisuuksia muille kuin Kanadan kansalaisille tai vakinaisille asukkaille koskeva viimeaikainen laajennus.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Kanada tarjoaa edelleen riittävän tietosuojan EU:sta PIPEDAn soveltamisalaan kuuluville vastaanottajille siirretyille henkilötiedoille. Kuten edellä on todettu, PIPEDAa uudistetaan parhaillaan lainsäädännöllä, joka voi vahvistaa yksityisyyden suojaa entisestään myös tietosuojan riittävyyttä koskevien päätösten kannalta merkityksellisillä tavoilla.
4.4.Färsaaret
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Färsaarten oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Färsaaret on erityisesti uudistanut tietosuojakehystään hyväksymällä tietosuojalain, joka tuli voimaan vuonna 2021 ja teki Färsaarten järjestelmästä erittäin yhdenmukaisen yleisen tietosuoja-asetuksen kanssa.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Färsaarilla selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista syistä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti perustuslailliseen kehykseen ja Euroopan ihmisoikeussopimukseen sekä erilaisiin viranomaisten pääsyä henkilötietoihin sääteleviin lakeihin ja tietosuojasääntöihin, jotka koskevat henkilötietojen käsittelyä rikoslainsäädännön täytäntöönpanon (Färsaarilla vuonna 2022 voimaan tullut valvontaviranomaisten suorittamaa henkilötietojen käsittelyä koskeva laki, joka saattaa osaksi lainsäädäntöä Tanskan säätämän lain direktiivin (EU) 2016/680 täytäntöönpanosta Färsaarilla) ja kansallisen turvallisuuden osalta (turvallisuus- ja tiedustelupalvelua koskeva laki). Lisäksi Färsaarilla on käytettävissä tehokkaita tietosuojaan liittyviä valvonta- ja muutoksenhakumekanismeja.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Färsaaret tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
4.5.Guernsey
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Guernseyn oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia ja valvontaelinten toimia. Guernsey on erityisesti uudistanut merkittävästi tietosuojakehystään hyväksymällä tietosuojalain (Data Protection (Bailiwick of Guernsey) Law 2017), jota on sovellettu vuodesta 2019 lähtien ja joka on tehnyt Guernseyn järjestelmästä erittäin yhdenmukaisen yleisen tietosuoja-asetuksen kanssa.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Guernseyssä selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Euroopan ihmisoikeussopimukseen ja yleissopimukseen 108, sekä Guernseyn tietosuojasääntöihin, mukaan lukien lainvalvontaan liittyvää henkilötietojen käsittelyä koskevat erityissäännökset, jotka on vahvistettu Guernseyn tietosuoja-asetuksessa (Data Protection (Law Enforcement and Related Matters) (Bailiwick of Guernsey) Ordinance, 2018). Lisäksi Guernseyn lainsäädännössä asetetaan tiettyjä ehtoja ja rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa. Lainsäädännössä säädetään myös tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Guernsey tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
4.6.Mansaari
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Mansaaren oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia ja valvontaelinten toimia. Mansaari hyväksyi vuonna 2018 uuden lain (Data Protection Act 2018, jota täydennettiin määräyksellä Data Protection (Application of GDPR) Order 2018), joka sisällyttää valtaosan EU:n tietosuojakehyksen säännöksistä Mansaaren oikeusjärjestykseen tehden vain pieniä muutoksia tiettyihin näkökohtiin, jotta kehys voidaan mukauttaa paikalliseen toimintaympäristöön.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Mansaarella selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Euroopan ihmisoikeussopimukseen ja yleissopimukseen 108, sekä Mansaaren tietosuojasääntöihin, mukaan lukien lainvalvontaan liittyvää henkilötietojen käsittelyä koskevat erityissäännökset, jotka on vahvistettu tietosuojamääräyksessä (Data Protection (Application of LED) Order 2018) ja lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetun direktiivin täytäntöönpanoasetuksessa (LED Implementing Regulations 2018) Lisäksi Mansaaren lainsäädännössä asetetaan tiettyjä rajoituksia, jotka koskevat henkilötietoihin pääsyä ja henkilötietojen käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa. lainsäädännössä säädetään myös tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Mansaari tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
4.7.Israel
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Israelin oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Israel otti käyttöön erityisiä suojatoimia Euroopan talousalueelta siirrettyjen henkilötietojen suojaamiseksi hyväksymällä yksityisyyden suojaa koskevat asetukset 5783-2023 (Privacy Protection Regulations (Instructions for Data that was Transferred to Israel from the European Economic Area), 5783-2023). Israel vahvisti myös tietosuojaa koskevia vaatimuksia hyväksymällä yksityisyyden suojaa koskevat asetukset 5777-2017 (Privacy Protection (Data Security) Regulations 5777-2017) ja vahvisti tietosuojaviranomaisensa riippumattomuutta hallituksen sitovassa päätöksessä.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Israelissa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat kattavaan oikeudelliseen kehykseen, erityisesti Israelin perustuslakiin, sekä yksityisyyden suojaa koskevaan lakiin (Protection of Privacy Law, 5741-1981) ja sen nojalla annettuihin asetuksiin, joita sovelletaan Israelin viranomaisten suorittamaan henkilötietojen käsittelyyn myös lainvalvontaa ja kansallista turvallisuutta koskevissa tapauksissa. Lisäksi Israelin lainsäädännössä asetetaan tiettyjä rajoituksia, jotka koskevat henkilötietoihin pääsyä ja henkilötietojen käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa. Lainsäädännössä säädetään myös tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Israel tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
Samanaikaisesti komissio suosittelee lainsäädännön alapuolella ja oikeuskäytännössä kehitettyjen suojatoimien sisällyttämistä lainsäädäntöön oikeusvarmuuden parantamiseksi ja näiden vaatimusten lujittamiseksi. Viimeaikainen Israelin parlamentissa esitetty yksityisyyden suojaa koskeva lakiehdotus (Privacy Protection Bill (Amendment No. 14), 5722-2022) tarjoaa tärkeän mahdollisuuden lujittaa ja kodifioida kehitystä ja siten vahvistaa edelleen Israelin yksityisyyden suojaa koskevaa kehystä. Komissio seuraa tiiviisti aiheeseen liittyvää kehitystä tulevaisuudessa.
4.8.Jersey
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Jerseyn oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Jersey on erityisesti uudistanut merkittävästi tietosuojakehystään vuonna 2018 hyväksytyllä tietosuojalailla (Data Protection (Jersey) Law 2018) ja samana vuonna hyväksytyllä tietosuojaviranomaisia koskevalla lailla (Data Protection Authority (Jersey) Law 2018), jotka ovat tehneet Jerseyn järjestelmästä erittäin yhdenmukaisen yleisen tietosuoja-asetuksen kanssa.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Jerseyssä selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Euroopan ihmisoikeussopimukseen ja yleissopimukseen 108, sekä Jerseyn tietosuojasääntöihin, mukaan lukien lainvalvontaan liittyvää henkilötietojen käsittelyä koskevat erityissäännökset, joista on määrätty Jerseyn tietosuojalaissa (Data Protection (Jersey) Law 2018), jota on muokattu liitteellä 1 (Schedule 1). Lisäksi Jerseyn lainsäädännössä asetetaan tiettyjä rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa. Lainsäädännössä säädetään myös tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Jersey tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
4.9.Uusi-Seelanti
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen antamisen jälkeiseen Uuden-Seelannin oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Uuden-Seelannin tietosuojajärjestelmä uudistui suuresti vuoden 2020 tietosuojalain hyväksymisen myötä. Laki toi Uuden-Seelannin tietosuojajärjestelmän lähemmäs EU:n tietosuojakehystä erityisesti henkilötietojen kansainvälistä siirtoa koskevien sääntöjen ja tietosuojaviranomaisen (Office of the Privacy Commissioner) toimivaltuuksien osalta.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Uudessa-Seelannissa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen (esimerkiksi Bill of Rights Act) ja oikeuskäytäntöön sekä erityislainsäädäntöön, joilla säännellään viranomaisten pääsyä tietoihin, ja yksityisyydestä annetun lain (Privacy Act) säännöksiin, joita sovelletaan myös henkilötietojen käsittelyyn rikoslainsäädännön täytäntöönpanossa ja kansallisten turvallisuusviranomaisten toiminnassa. Lisäksi Uuden-Seelannin oikeusjärjestelmässä on säädetty erilaisista tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Uusi-Seelanti tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille. Komissio suhtautuu myönteisesti myös siihen, että Uuden-Seelannin hallitus on hiljattain esittänyt parlamentille vuonna 2020 yksityisyyden suojasta annetun lain (Privacy Act 2020) muuttamista koskevan lakiehdotuksen, jolla voitaisiin lujittaa avoimuusvaatimuksia. Komissio seuraa tiiviisti aiheeseen liittyvää kehitystä tulevaisuudessa.
4.10.Sveitsi
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen jälkeiseen Sveitsin oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Erityisesti uudistettu liittovaltion tietosuojalaki on entisestään tuonut Sveitsin tietosuojakehystä lähemmäksi EU:n tietosuojakehystä erityisesti arkaluonteisten tietojen suojaamisen ja kansainvälistä tiedonsiirtoa koskevien sääntöjen osalta. Sveitsi vahvisti myös tietosuojaa koskevia kansainvälisiä sitoumuksiaan ratifioimalla yleissopimuksen 108+ syyskuussa 2023.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Sveitsissä selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Sveitsin liittovaltion perustuslakiin, Euroopan ihmisoikeussopimukseen ja yleissopimukseen 108+, sekä Sveitsin tietosuojasääntöihin, mukaan lukien liittovaltion tietosuojalaki (Federal Act on Data Protection) ja erityiset tietosuojasäännöt, joita sovelletaan rikosoikeudelliseen täytäntöönpanoon (esimerkiksi rikosoikeudellista menettelyä koskeva laki) ja kansallisiin turvallisuusviranomaisiin (esimerkiksi tiedustelupalvelulaki). Lisäksi Sveitsin lainsäädännössä asetetaan tiettyjä rajoituksia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä rikoslainsäädännön täytäntöönpanossa ja kansallista turvallisuutta koskevissa tapauksissa. Lainsäädännössä säädetään myös tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Komission yksiköiden valmisteluasiakirjassa esitettyjen yleisten havaintojen perusteella komissio toteaa, että Sveitsi tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
4.11.Uruguay
Komissio suhtautuu myönteisesti tietosuojan riittävyyttä koskevan päätöksen antamisen jälkeiseen Uruguayn oikeudellisen kehyksen kehitykseen, johon kuuluu tietosuojan tasoa osaltaan parantaneita useita lainsäädäntömuutoksia, oikeuskäytäntöä ja valvontaelinten toimia. Uruguay uudisti ja vahvisti erityisesti vuonna 2008 annettua henkilötietojen suojaa ja Habeas Data -oikeussuojakeinoa koskevaa lakia 18 331 vuosina 2018 ja 2020 tehdyillä lainsäädäntömuutoksilla, joilla laajennettiin tietosuojalainsäädännön alueellista soveltamisalaa, luotiin uusia vastuuvelvollisuutta koskevia vaatimuksia (kuten vaikutustenarvioinnit, sisäänrakennettu ja oletusarvoinen tietosuoja, tietoturvaloukkauksista ilmoittaminen ja tietosuojavastaavien nimittäminen) sekä otettiin käyttöön biometristen tietojen lisäsuoja. Uruguay vahvisti myös tietosuojaa koskevia kansainvälisiä sitoumuksiaan liittymällä yleissopimukseen 108 vuonna 2019 ja ratifioimalla yleissopimuksen 108+ vuonna 2021.
Viranomaisten pääsyyn tarkastelemaan henkilötietoja sovelletaan Uruguayssa selkeitä, tarkkoja ja helposti käytettävissä olevia sääntöjä, joiden mukaan viranomaisilla on pääsy ja käyttöoikeus EU:sta siirrettyihin henkilötietoihin, kun kyse on yleisen edun mukaisista päämääristä, erityisesti rikosoikeudelliseen täytäntöönpanoon ja kansalliseen turvallisuuteen liittyvissä asioissa. Nämä rajoitukset ja suojatoimet perustuvat yleiseen oikeudelliseen kehykseen ja kansainvälisiin sitoumuksiin, erityisesti Uruguayn perustuslakiin, Amerikan ihmisoikeussopimukseen, yleissopimukseen 108 ja yleissopimukseen 108+, sekä henkilötietojen suojaa ja Habeas Data ‑oikeussuojakeinoa koskevan lain 18 331 tietosuojasääntöihin, joita sovelletaan myös Uruguayn viranomaisten suorittamaan henkilötietojen käsittelyyn muun muassa lainvalvontaa ja kansallista turvallisuutta koskevissa tapauksissa. Lisäksi Uruguayn lainsäädännössä asetetaan tiettyjä ehtoja ja rajoituksia, jotka koskevat viranomaisten henkilötietoihin pääsyä ja niiden käyttöä, ja säädetään tietosuojaan liittyvistä valvonta- ja muutoksenhakumekanismeista.
Tämän ensimmäisen uudelleentarkastelun yhteydessä tehtyjen yleisten havaintojen perusteella komissio toteaa, että Uruguay tarjoaa edelleen riittävän tietosuojan EU:sta siirretyille henkilötiedoille.
5.SEURANTA JA YHTEISTYÖ TULEVAISUUDESSA
Komissio toteaa, että tämän uudelleentarkastelun kohteena olleiden maiden ja alueiden viranomaisten kanssa on tehty erinomaista yhteistyötä, jota se arvostaa sitä suuresti. Komissio jatkaa kyseisten maiden ja alueiden tietosuojakehysten ja käytänteiden kehityksen tiivistä seurantaa. Jos tietosuojan riittävyyttä koskevan päätöksen saaneen maan tai alueen kehitys vaikuttaa kielteisesti tietosuojan riittäväksi katsottuun tasoon, komissio käyttää tarvittaessa yleisen tietosuoja-asetuksen 45 artiklan 5 kohdan mukaisia valtuuksiaan tietosuojan riittävyyttä koskevan päätöksen voimaantulon lykkäämiseen, päätöksen muuttamiseen tai peruuttamiseen.
Tämä uudelleentarkastelu vahvistaa sen, että tietosuojan riittävyyttä koskevan päätöksen antaminen ei ole päätepiste vaan tarjoaa mahdollisuuden tehostaa tietovirtoja ja digitaaliasioita koskevaa vuoropuhelua ja yhteistyötä samanmielisten kansainvälisten kumppaneiden kanssa. Tältä osin komissio odottaa tulevaa tietojenvaihtoa asianomaisten viranomaisten kanssa, jotta turvallisia ja vapaita tietovirtoja edistävää kansainvälistä yhteistyötä voidaan lujittaa entisestään vahvistamalla esimerkiksi täytäntöönpanoa koskevaa yhteistyötä. Tehostaakseen tätä vuoropuhelua ja edistääkseen tietojen ja kokemusten vaihtoa komissio aikoo järjestää vuonna 2024 korkean tason kokouksen, johon osallistuu EU:n ja kaikkien niiden maiden edustajia, joista on annettu tietosuojan riittävyyttä koskeva päätös.
Euroopan parlamentin ja neuvoston direktiivi 95/46/EY, annettu 24 päivänä lokakuuta 1995, yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 281, 23.11.1995, s. 31).
Sen jälkeen kun yleinen tietosuoja-asetus sisällytettiin Euroopan talousalueesta, jäljempänä ’ETA’, tehtyyn sopimukseen, sitä alettiin soveltaa myös Norjaan, Islantiin ja Liechtensteiniin. Tässä kertomuksessa EU:lla tarkoitetaan myös ETA-valtioita.
Komission päätös 2010/625/EU, annettu 19 päivänä lokakuuta 2010, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla riittävästä henkilötietojen suojasta Andorrassa, EUVL L 277, 21.10.2010, s. 27.
Komission päätös 2003/490/EY, tehty 30 päivänä kesäkuuta 2003, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti henkilötietojen riittävästä suojasta Argentiinassa, EUVL L 168, 5.7.2003, s. 19.
Komission päätös 2002/2/EY, tehty 20 päivänä joulukuuta 2001, henkilötietojen suojaa ja sähköisiä asiakirjoja koskevan Kanadassa voimassaolevan lain tarjoaman tietosuojan riittävyydestä Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti, EYVL L 2, 4.1.2002, s. 13.
Komission päätös 2010/146/EU, annettu 5 päivänä maaliskuuta 2010, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla henkilötietojen käsittelystä annetun Färsaarten lain tarjoamasta riittävästä henkilötietojen suojasta, EUVL L 58, 9.3.2010, s. 17.
Komission päätös 2003/821/EY, tehty 21 päivänä marraskuuta 2003, henkilötietojen suojan riittävästä tasosta Guernseyssä, EUVL L 308, 25.11.2003, s. 27.
Komission päätös 2004/411/EY, tehty 28 päivänä huhtikuuta 2004, henkilötietojen suojan riittävästä tasosta Mansaaressa, EUVL L 151, 30.4.2004, s. 48.
Komission päätös 2011/61/EU, annettu 31 päivänä tammikuuta 2011, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla Israelin valtion tarjoaman henkilötietojen suojan riittävyydestä automaattisessa henkilötietojen käsittelyssä, EUVL L 27, 1.2.2011, s. 39.
Komission päätös 2008/393/EY, tehty 8 päivänä toukokuuta 2008, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla henkilötietojen riittävästä suojasta Jerseyssä, EUVL L 138, 28.5.2008, s. 21.
Komission täytäntöönpanopäätös 2013/65/EU, annettu 19 päivänä joulukuuta 2012, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla Uuden-Seelannin tarjoaman henkilötietojen suojan riittävyydestä, EUVL L 28, 30.1.2013, s. 12.
Komission päätös 2000/518/EY, tehty 26 päivänä heinäkuuta 2000, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY mukaisesti henkilötietojen riittävästä suojasta Sveitsissä, EYVL L 215, 25.8.2000, s. 1.
Komission täytäntöönpanopäätös 2012/484/EU, annettu 21 päivänä elokuuta 2012, Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla Uruguayn itäisen tasavallan tarjoaman henkilötietojen suojan riittävyydestä automaattisessa henkilötietojen käsittelyssä, EUVL L 227, 23.8.2012, s. 11.
Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).
Ks. yleisen tietosuoja-asetuksen 45 artiklan 9 kohta, jossa todetaan, että komission direktiivin 95/46/EY 25 artiklan 6 kohdan nojalla antamat päätökset pysyvät voimassa, kunnes niitä muutetaan, ne kumotaan tai korvataan 45 artiklan 3 tai 5 kohdan mukaisesti annetulla komission päätöksellä.
Yleisen tietosuoja-asetuksen 45 artiklan 4 kohta. Ks. myös Euroopan unionin tuomioistuimen tuomio 6.10.2015, Maximillian Schrems v. Data Protection Commissioner (Schrems I), C-362/14, ECLI:EU:C:2015:650, 76 kohta.
Tiedonanto julkaistiin kesäkuussa 2020, ja se on saatavilla osoitteessa https://ec.europa.eu/info/law/law-topic/data-protection/communication-two-years-application-general-data-protection-regulation_en .
Euroopan unionin tuomioistuimen tuomio 16. heinäkuuta 2020, C-311/18, Data Protection Commissioner v. Facebook Ireland Ltd. ja Maximillian Schrems (Schrems II), ECLI:EU:C:2020:559.
Japanin tietosuojan riittävyyttä koskeva päätös hyväksyttiin yleisen tietosuoja-asetuksen nojalla, ja siinä on päätetty erillisestä määräajoin tehtävästä uudelleentarkastelusta. Ensimmäinen uudelleentarkastelu saatiin päätökseen huhtikuussa 2023, kun komissio antoi kertomuksen Euroopan parlamentille ja neuvostolle Japanin tietosuojan riittävyyttä koskevan päätöksen toimivuuden ensimmäisestä tarkastelusta (COM(2023) 275 final, saatavilla osoitteessa https://eur-lex.europa.eu/legal-content/FI/TXT/PDF/?uri=COM:2023:275:FIN ).
Esimerkiksi Argentiina, Kolumbia, Israel, Marokko, Sveitsi ja Uruguay.
Euroopan tietosuojaneuvosto kokoaa yhteen jäsenvaltioiden tietosuojavalvontaviranomaiset ja Euroopan tietosuojavaltuutetun.
Schrems I, 73, 74 ja 96 kohta. Ks. myös asetuksen (EU) 2016/679 johdanto-osan 104 kappale, jossa viitataan olennaisilta osin Euroopan unionin suojan tasoa vastaavaan tietosuojan tasoon.
Schrems I, 74 kohta.
Schrems I, 90 kohta.
Schrems I, 91 kohta.
Schrems I, 95 kohta.
Yleisen tietosuoja-asetuksen 45 artiklan 2 kohta.
Schrems II, 180–182 kohta.
Tietosuojan riittävyyden viitearvot, WP 254 rev. 01, 6. helmikuuta 2018 (saatavilla osoitteessa https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108 ).
Euroopan tietosuojaneuvoston suositukset 2/2020 tiedustelua koskevista eurooppalaisista olennaisista takeista (saatavilla osoitteessa https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-022020-european-essential-guarantees_fi ).
Privacy Act 12 §, Privacy Act Extension Order, No. 1 ja Privacy Act Extension Order, No. 2.
Privacy Protection Regulations (Instructions for Data that was Transferred to Israel from the European Economic Area), 5783-2023, julkaistu Israelin virallisessa lehdessä (Reshumut) 7. toukokuuta 2023.
Ks. esimerkiksi Euroopan parlamentin päätöslauselma 25. maaliskuuta 2021 komission kertomuksesta yleisen tietosuoja-asetuksen täytäntöönpanosta kaksi vuotta sen soveltamisen aloittamisesta (2020/2717(RSP), saatavilla osoitteessa https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_FI.html ).
Ks. esimerkiksi neuvoston kanta yleisen tietosuoja-asetuksen soveltamiseen ja sitä koskevat havainnot, hyväksytty 19. joulukuuta 2019 (saatavilla osoitteessa https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-1/fi/pdf ).
Ks. esimerkiksi asiakirja ”Contribution of the EDPB to the evaluation of the GDPR under Article 97”, hyväksytty 18. helmikuuta 2020 (saatavilla osoitteessa https://edpb.europa.eu/sites/default/files/files/file1/edpb_contributiongdprevaluation_20200218.pdf ).
Ks. esimerkiksi asiakirja ”Report from the Multistakeholder Expert Group on the GDPR evaluation” (saatavilla osoitteessa https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&do=groupDetail.groupMeeting&meetingId=21356).
Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta.