26.7.2011   

FI

Euroopan unionin virallinen lehti

C 220/1

1.

Euroopan komissio hyväksyi 24. helmikuuta 2011 ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi direktiivien 89/666/ETY, 2005/56/EY ja 2009/101/EY muuttamisesta keskus-, kauppa- ja yhtiörekistereiden yhteenliittämisen osalta (3) (jäljempänä ’ehdotus’) ja pyysi Euroopan tietosuojavaltuutettua antamaan siitä lausuntonsa.

2.

Euroopan tietosuojavaltuutettu on tyytyväinen, että häntä on kuultu asetuksen (EY) N:o 45/2001 N:o 45/2001 28 artiklan 2 kohdassa edellytetyllä tavalla ja että ehdotuksen johdanto-osaan on sisällytetty viittaus tähän lausuntoon.

3.

Ehdotuksen tavoitteena on helpottaa ja tehostaa kaupparekisterien välistä rajatylittävää yhteistyötä ja tietojenvaihtoa Euroopan talousalueella ja sitä kautta lisätä avoimuutta sekä rajojen yli vaihdettavien tietojen luotettavuutta. Kaupparekisterien välinen tehokas hallinnollinen yhteistyö on ratkaisevaa, jotta voidaan parantaa luottamusta Euroopan yhtenäismarkkinoihin varmistamalla kuluttajille, velkojille ja muille liiketoimintakumppaneille turvallisempi liiketoimintaympäristö, keventämällä hallinnollista rasitusta ja lisäämällä oikeusvarmuutta. Erityisen tärkeää kaupparekistereiden välisen hallinnollisen yhteistyön menettelyjen tehostaminen on sellaisissa rajatylittäviä sulautumisia, yhtiöiden kotipaikan siirtoja sekä ulkomaisten sivukonttoreiden rekisteröintitietojen päivittämistä koskevissa menettelyissä, joissa yhteistyöjärjestelyjä ei nykyisin ole tai ne ovat rajalliset.

4.

Näiden tavoitteiden saavuttamiseksi ehdotuksen on tarkoitus muuttaa kolmea voimassa olevaa direktiiviä seuraavasti:

5.

Kaupparekistereitä toimii kaikissa jäsenvaltioissa; ne on organisoitu kansallisella, alueellisella tai paikallisella tasolla. Vuonna 1968 annettiin yhteiset säännöt vähimmäisvaatimusten määrittämiseksi yritystietojen julkistamisesta (rekisteröinti ja julkaiseminen) (7). Lisäksi kaikki jäsenvaltiot velvoitettiin perustamaan sähköiset kaupparekisterit viimeistään 1. tammikuuta 2007 (8) ja antamaan ulkopuolisille henkilöille oikeus tutustua rekisterien sisältöön verkossa.

6.

Tietyissä EU:n säädöksissä kaupparekisterit velvoitetaan nimenomaisesti tekemään yhteistyötä helpottaakseen pääomayhtiöiden rajatylittäviä sulautumisia (9) sekä eurooppayhtiöiden (10) ja eurooppaosuuskuntien (11) kotipaikan siirtoa toiseen maahan.

7.

Vuonna 1992 Euroopan kaupparekisterien välille perustettiin vapaaehtoinen yhteistyöjärjestelmä, eurooppalainen kaupparekisteripalvelu (EBR) (12). Siihen kuuluu nykyisin virallisia kaupparekistereitä kaikkiaan 19 jäsenvaltiosta ja kuudelta muulta eurooppalaiseen lainkäyttöalueeseen kuuluvalta alueelta. EBR osallistui vuosina 2006–2009 tutkimushankkeeseen (BRITE) (13), jonka tavoitteena oli kehittää tekninen järjestelmä kaupparekisterien yhteentoimivuuden mahdollistamiseksi kaikkialla Euroopassa. Ehdotukseen liittyvässä vaikutusten arvioinnissa kuitenkin selitetään, että EBR:n toimintaan liittyy laajentamista, rahoitusta ja hallinnointia koskevia mittavia haasteita: nykyinen järjestelmä ei vaikutusten arvioinnin mukaan tyydytä potentiaalisten käyttäjien tarpeita.

8.

Ehdotuksen perusteluissa mainitaan, että Euroopan oikeusportaalista (14) on tarkoitus kehittää keskeinen yhteyspiste, jonka kautta voi tutustua oikeudellisiin tietoihin, oikeudellisiin ja hallinnollisiin laitoksiin, rekistereihin, tietokantoihin ja muihin EU:ssa tarjottaviin palveluihin. Lisäksi todetaan, että ehdotus täydentää oikeusportaalihanketta, ja sillä pyritään helpottamaan yritystietojen yleistä saantia portaalin kautta.

9.

Toinen vaikutusten arvioinnissa mainittu tärkeä synergiaetuja tuottava hanke on sisämarkkinoiden tietojenvaihtojärjestelmä (IMI) (15). Se on sähköinen sovellus, joka on tarkoitettu tukemaan viranomaisten päivittäistä hallinnollista yhteistyötä palveludirektiivin (2006/123/EY) ja ammattipätevyyden tunnistamista koskevan direktiivin (2005/36/EY) puitteissa. IMI-järjestelmää laajennetaan parhaillaan, ja vaikutusten arvioinnin mukaan sillä voitaisiin tukea muidenkin direktiivien, myös yhtiöoikeusdirektiivien täytäntöönpanon valvontaa.

10.

Ehdotuksen 3 artiklassa tehdään useita muutoksia direktiiviin 2009/101/EY. Niistä kaksi on erityisen tärkeitä tietosuojalle.

11.

Voimassa olevan direktiivin 2009/101/EY 2 artiklassa edellytetään, että kukin jäsenvaltio julkistaa kaupparekisterissään tärkeimmät yhtiöitä koskevat tiedot, jotta ulkopuoliset henkilöt voivat tarkistaa tietoja yhtiöistä. Kuten edellä 1.2 kohdassa mainittiin, jäsenvaltiot velvoitetaan lisäksi pitämään sähköistä kaupparekisteriä ja antamaan ulkopuolisten henkilöiden tutustua sen sisältöön verkossa.

12.

Direktiivin 2 artiklassa esitetään 11-kohtainen luettelo tärkeimmistä tiedoista ja asiakirjoista, jotka kaupparekisterissä olisi vähintään julkistettava. Niihin sisältyvät seuraavat:

13.

Tietosuojan kannalta merkityksellistä on se, että 2 artiklassa vaaditaan julkistamaan myös ”sellaisten henkilöiden asettaminen, tehtävän päättyminen ja henkilötiedot” (graafinen muokkaus lisätty), jotka (i) ovat kelpoisia edustamaan yhtiötä ja/tai (ii) osallistuvat yhtiön ”hallintoon, johtoon tai valvontaan”.

14.

Ehdotuksessa ei esitetä muutoksia direktiivin 2 artiklassa annettuun julkistettavien tietojen luetteloon. Jäsenvaltioiden velvoittaminen toimittamaan nämä tiedot sähköisesti yleisön saataville ei sekään ole uusi vaatimus. Uutta ehdotuksessa on se, että kaupparekisteritiedot, joita nykyisin on saatavilla vain hajanaisesti ja useimmiten ainoastaan paikallisilla kielillä ja paikallisilla verkkosivustoilla, saatettaisiin nyt helposti jokaisen ulottuville yhteisen eurooppalaisen keskusjärjestelmän/yhteyspisteen kautta monikielisessä ympäristössä.

15.

Tältä osin ehdotuksessa lisätään direktiiviin uusi 3 a artikla, jonka mukaan ”jäsenvaltioiden on varmistettava, että 2 artiklassa tarkoitetut asiakirjat ja tiedot, jotka on toimitettu niiden rekisteriin, ovat saatavissa kenen tahansa pyytäjän pyynnöstä sähköisessä muodossa jokaisessa jäsenvaltiossa käytettävissä olevan yhteisen eurooppalaisen sähköisen järjestelmän kautta”. Tämän järjestelyn yksityiskohdat on tarkoitus määrittää delegoiduilla säädöksillä.

16.

Ehdotuksessa direktiiviin 2009/101/EY lisätään myös uusi 4 a artikla, jonka mukaan ”jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että (kaupparekisterit) ovat yhteentoimivia ja muodostavat sähköisen verkoston”. Tässäkin tapauksessa yksityiskohdat määriteltäisiin delegoiduilla säädöksillä.

17.

Tietosuojaongelmien ratkaisemiseksi ehdotuksessa lisätään kaikkiin kolmeen direktiiviin erityinen tietosuojaa koskeva artikla, jossa edellytetään, että ”direktiivin puitteissa tapahtuvaan henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston direktiiviä 95/46/EY”.

18.

Euroopan tietosuojavaltuutettu yhtyy komission näkemykseen siitä, että (i) tieto- ja viestintätekniikan käyttö voi auttaa tehostamaan kaupparekisterien välistä yhteistyötä ja että (ii) kaupparekisteritietojen saatavuuden lisääminen on omiaan lisäämään avoimuutta. Näin ollen tietosuojavaltuutettu tukee ehdotuksen tavoitteita. Hänen huomautuksiaan on tarkasteltava tämän rakentavan lähestymistavan valossa.

19.

Euroopan tietosuojavaltuutettu kuitenkin korostaa, että henkilötietojen lisääntynyt saatavuus myös lisää henkilötietoihin kohdistuvia riskejä. Vaikka esimerkiksi kotiosoitteen julkistaminen helpottaa yhtiön edustajan oikeaa tunnistamista, se voi samalla loukata kyseisen henkilön oikeutta henkilötietojen suojaan. Tämä on vaarana erityisesti silloin, kun henkilötietoja asetetaan laajalti saataville Internetissä digitaalisessa muodossa, monella kielellä ja sellaisen eurooppalaisen järjestelmän/yhteyspisteen kautta, jota kuka tahansa voi käyttää.

20.

Vielä jokin aika sitten henkilötietoja (esim. johtajan nimi, osoite ja näyte allekirjoituksesta) luovutettiin kaupparekistereistä ainoastaan paperimuodossa ja vain paikallisella kielellä, ja usein tietojen luovuttaminen edellytti henkilökohtaista käyntiä paikallisessa kaupparekisterissä. On tärkeää ymmärtää, että tilanne on lähtökohtaisesti aivan toinen kuin se, että tiedot julkistetaan digitaalisessa muodossa koko maan kattavan sähköisen yhteyspisteen kautta. Henkilötietojen julkistaminen yleisesti saatavilla olevan Euroopan laajuisen keskusjärjestelmän/yhteyspisteen kautta menee vielä askeleen pidemmälle ja lisää entisestään tietojen saatavuutta, jolloin myös henkilötietojen suojaan kohdistuvat riskit kasvavat.

21.

Tällaisia yksityisyyteen kohdistuvia riskejä (joita aiheutuu tietojen ollessa helposti saatavilla digitaalisessa muodossa yhteisen sähköisen yhteyspisteen kautta) ovat henkilöllisyysvarkaudet ja muu rikollinen toiminta sekä se, että yritykset voivat haravoida laittomasti julkistettuja tietoja ja käyttää niitä alkuperäisestä poikkeaviin kaupallisiin tarkoituksiin sen jälkeen, kun ne ovat profiloineet asianomaiset henkilöt. Ilman riittäviä takeita tiedot voidaan myydä ulkopuolisille tai ne voidaan yhdistää muihin tietoihin ja myydä takaisin viranomaisille, jotka käyttävät niitä asiaankuulumattomiin ja julkisiin tarkoituksiin, joille ei ole riittävää oikeusperustaa (esim. verolakien täytäntöönpano tai muut rikosoikeudelliset tai hallinnolliset tutkinnat) (16).

22.

Näistä syistä on arvioitava huolellisesti, minkälaisia henkilötietoja yhteisen eurooppalaisen järjestelmän/yhteyspisteen kautta voidaan asettaa saataville ja mitä tietosuojatakeita (esimerkiksi hakua tai latausta ja tiedonlouhintaa rajoittavat tekniset toimenpiteet) olisi sovellettava.

23.

Kuten edellä 2.1 ja 2.2 kohdassa todetaan, direktiiviin 2009/101/EY ehdotettu 3 a ja 4 a artikla on muotoiltu hyvin väljästi, ja monet keskeiset näkökohdat on jätetty määritettäviksi myöhemmin annettavilla delegoiduilla säädöksillä.

24.

Vaikka Euroopan tietosuojavaltuutettu ymmärtää joustavuuden tarpeen ja siitä johtuvan delegoitujen säädösten tarpeen, hän korostaa, että tarvittavat tietosuojatakeet ovat säädöksen keskeisiä osia, joista olisi säädettävä selkeästi ja nimenomaisesti suoraan ehdotetussa direktiivissä. Niitä ei siten voida pitää säädöksen ”muina kuin keskeisinä osina”, joita voitaisiin myöhemmin täydentää Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan nojalla annettavilla delegoiduilla säädöksillä.

25.

Sen vuoksi Euroopan tietosuojavaltuutettu katsoo, että ehdotuksen tietosuojasäännöksiä olisi täsmennettävä ja ettei niissä pitäisi rajoittua vain viittaamaan direktiiviin 95/46/EY (ks. 3.4–3.13 kohta). Näiden erityisten takeiden täytäntöönpanosta voidaan myöhemmin antaa lisäsäännöksiä delegoiduilla säädöksillä, joista on kuultava Euroopan tietosuojavaltuutettua ja tarpeen mukaan kansallisia tietosuojaviranomaisia (ks. jäljempänä 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 ja 3.13 kohta).

26.

Keskeiset tietosuojatakeet eivät ole ainoat ehdotuksesta puuttuvat säännökset; siinä on jätetty avoimiksi myös muita näkökohtia. Ehdotuksen mukaan erityisesti ne säädöksen keskeiset osat, jotka koskevat (i) kaupparekistereiden yhteenliittämisen ja (ii) tietojen julkistamisen toteutustapoja, määritettäisiin myöhemmin delegoiduilla säädöksillä.

27.

Näiden ehdotuksen keskeisten osien selkeyttäminen on ehdoton edellytys riittävien tietosuojatakeiden antamiselle. Sen vuoksi Euroopan tietosuojavaltuutettu suosittelee, että niistä säädetään suoraan ehdotetussa direktiivissä (ks. jäljempänä 3.4 ja 3.5 kohta).

28.

Ehdotuksessa mukaan sähköisen verkoston hallinnointia, hoitoa, toimintaa ja edustamista koskevat säännöt annetaan myöhemmin delegoiduilla säädöksillä (17).

29.

Vaikutusten arvioinnissa ja ehdotuksen perusteluissa mainitaan joitakin IMI-järjestelmän ja Euroopan oikeusportaalin kanssa saatavia synergiaetuja. Itse direktiiviehdotuksessa mahdollistetaan joidenkin tai kaikkien näiden synergiaetujen toteuttamiseksi useita eri vaihtoehtoja, kuten EBR:n laajentaminen, IMI:n käyttö tiettyjen tietojen vaihdossa ja/tai Euroopan oikeusportaalin käyttö keskusjärjestelmänä/yhteyspisteenä, jonka kautta yleisö voi tutustua kaupparekisterien tietoihin.

30.

Ehdotuksessa ei suljeta pois muita vaihtoehtoja, kuten tarjouskilpailun järjestämistä sopimuksen tekemiseksi verkoston kehittämis- ja ylläpito-oikeuksista tai komission valtuuttamista vastaamaan järjestelmän kehittämisestä ja ylläpidosta. Sen mukaan myös jäsenvaltioiden edustajat voivat osallistua sähköisen verkoston hallinnointirakenteeseen.

31.

Vaikka ehdotuksessa nykyisessä muodossaan säädetään ”yhteisestä eurooppalaisesta sähköisestä järjestelmästä” (graafinen muokkaus lisätty), ei liioin ole täysin poissuljettua, että lainsäädäntömenettelyn myöhemmässä vaiheessa tekstiä vielä muutetaan hieman hajautetumman rakenteen mahdollistamiseksi.

32.

Euroopan tietosuojavaltuutettu panee merkille, että vaikka nykyisessä ehdotuksessa ei nimenomaisesti säädetäkään kaupparekisterien yhteenliittämisestä muihin tietokantoihin (esim. maarekisterit tai siviilirekisterit), tämä on teknisesti täysin mahdollista, ja joissakin jäsenvaltioissa tähän on jo ryhdytty (18).

33.

Sähköisen verkoston hallinnointirakenne ja tietojen julkistamisessa käytettävän sähköisen välineen rakenne voivat muodostua täysin erilaisiksi sen mukaan, mikä näistä vaihtoehdoista valitaan. Tämä puolestaan johtaa siihen, että järjestelmään osallistuvien osapuolten tehtävät ja vastuut muuttuvat, jolloin myös tietosuojaan liittyvissä tehtävissä ja vastuissa tapahtuu muutoksia.

34.

Tältä osin Euroopan tietosuojavaltuutettu korostaa, että ”rekisterinpitäjän” oikea tunnistaminen on ratkaisevaa kaikissa tilanteissa, joissa käsitellään henkilötietoja. Tätä painotetaan myös 29 artiklan mukaisen tietosuojatyöryhmän käsitteistä ”rekisterinpitäjä” ja ”henkilötietojen käsittelijä” antamassa lausunnossa 1/2010 (19). Ennen kaikkea rekisterinpitäjän selkeä ja yksiselitteinen tunnistaminen on tärkeää siksi, että sen perusteella määräytyy, kuka tietosuojasääntöjen noudattamisesta on vastuussa ja minkä valtion lainsäädäntöä kulloinkin sovelletaan (20).

35.

Kuten 29 artiklan mukaisen tietosuojatyöryhmän lausunnossa todetaan, ”jos ei tehdä riittävän selväksi, mitä kultakin osapuolelta vaaditaan – jos esimerkiksi vastuu ei kuulu kenellekään tai jos rekisterinpitäjiä on useita – on olemassa ilmeinen vaara, että kehitystä tapahtuu vähän, jos lainkaan, ja että säännökset jäävät tehottomiksi”.

36.

Euroopan tietosuojavaltuutettu korostaa, että selkeyttä kaivataan erityisesti niissä tilanteissa, joissa yhteistyöhön osallistuu useita toimijoita. Näin on usein julkisiin tarkoituksiin perustetuissa EU:n tietojärjestelmissä silloin, kun tietojenkäsittelyn tarkoitus on määritelty EU:n lainsäädännössä.

37.

Näistä syistä Euroopan tietosuojavaltuutettu suosittelee, että itse ehdotetun direktiivin tekstissä määritettäisiin nimenomaisesti, selkeästi ja yksiselitteisesti

38.

Tietosuojan kannalta näiden täsmennysten pitäisi olla mahdollisimman tarkkoja ja yksiselitteisiä, jotta ehdotetun direktiivin perusteella voitaisiin suoraan määrittää, onko jokin tietty toimija luokiteltava ”rekisterinpitäjäksi” vai ”henkilötietojen käsittelijäksi”.

39.

Periaatteessa ehdotuksessa olisi nimenomaisesti säädettävä, että – kuten nykyisestä luonnoksesta kokonaisuutena tarkasteltuna voidaan päätellä – kaupparekisterien pitäjät ja järjestelmän ylläpitäjät on molemmat luokiteltava rekisterinpitäjiksi omien toimintojensa osalta. Koska ehdotuksessa ei nykyisessä muodossaan määritellä hallinnointirakennetta eikä nimetä sähköisen järjestelmän ylläpitäjiä, ei voida sulkea pois sitä, että jotkin järjestelmän käytännön ylläpidosta huolehtivista organisaatioista tai niiden työntekijöistä toimivat pikemminkin henkilötietojen käsittelijöinä kuin rekisterinpitäjinä. Näin voi käydä erityisesti silloin, kun ylläpito annetaan toimeksi ulkopuoliselle, joka toimii tiukasti sille annettujen ohjeiden mukaisesti. Rekisterinpitäjiä (kaupparekisteriä hoitavia organisaatioita) näyttää joka tapauksessa olevan lukuisia, vähintään yksi kussakin jäsenvaltiossa. Sillä, että ylläpitäjinä, ”jakelijoina” tai muissa tehtävissä voivat toimia muutkin (yksityiset) organisaatiot, ei ole tämän kannalta mitään merkitystä. Selkeyden ja oikeusvarmuuden vuoksi tätä näkökohtaa olisi joka tapauksessa täsmennettävä ehdotetussa direktiivissä.

40.

Ennen kaikkea ehdotuksessa olisi kuvailtava nykyistä tarkemmin ja kattavammin, mitä vastuita näihin tehtäviin liittyy. Ehdotuksessa olisi esimerkiksi täsmennettävä, että ylläpitäjän tehtävänä on varmistaa, että yksityisyyden suoja otetaan huomioon järjestelmän suunnittelusta lähtien, sekä koordinoida tietosuojaan liittyviä näkökohtia.

41.

Euroopan tietosuojavaltuutettu huomauttaa, että nämä täsmennykset ovat olennaisia myös sen määrittämiseksi, mitkä tietosuojavalvontaviranomaiset ovat kulloinkin toimivaltaisia ja minkälaisten henkilötietojen käsittelystä ne vastaavat.

42.

Vaikuttaa siltä, että sähköisessä verkostossa ei nykyisessä muodossaan ole tarkoitus taata, että kuhunkin kaupparekisteriin tallennetut tiedot ovat automaattisesti muiden jäsenvaltioiden kaupparekisterien saatavilla. Ehdotuksessa velvoitetaan ainoastaan yhteenliittämään kaupparekisterit ja varmistamaan niiden yhteentoimivuus ja luodaan siten edellytykset tulevalle tietojenvaihdolle ja tietojen käytölle. Oikeusvarmuuden vuoksi ehdotuksessa olisi täsmennettävä, pitääkö tämä tulkinta paikkansa.

43.

Ehdotuksessa ei liioin täsmennetä, minkälaisia tietovirtoja/hallinnollisia yhteistyömenettelyjä yhteenliitettyjen kaupparekisterien kautta on mahdollista toteuttaa (21). Euroopan tietosuojavaltuutettu ymmärtää, että joustoa tarvitaan, jotta voitaisiin vastata tulevaisuudessa mahdollisesti ilmeneviin tarpeisiin. Tietosuojavaltuutetun mielestä on kuitenkin tärkeää, että ehdotuksessa määritellään tarkat puitteet tietovirroille ja hallinnollisille yhteistyömenettelyille, joita sähköisessä verkostossa voidaan tulevaisuudessa toteuttaa. Tämä on erityisen tärkeää sen varmistamiseksi, että (i) kaikella tietojenvaihdolla on vankka oikeusperusta ja että (ii) tietojenvaihdolle on määritelty asianmukaiset tietosuojatakeet.

44.

Euroopan tietosuojavaltuutetun näkemyksen mukaan sähköisessä verkostossa tapahtuvan tietojenvaihdon tai muun tietojenkäsittelyn (esim. henkilötietojen julkistaminen yhteisen järjestelmän/yhteyspisteen kautta) tulisi perustua sitovaan EU:n säädökseen, jolla on vankka oikeusperusta. Tästä olisi säädettävä selkeästi ehdotetussa direktiivissä (22).

45.

Ehdotuksessa säädetään, että myös seuraavat yksityiskohdat määritetään delegoiduilla säädöksillä (23):

46.

Ensimmäisen ja toisen luetelmakohdan osalta, Euroopan tietosuojavaltuutettu katsoo, että tietyistä keskeisistä takeista olisi säädettävä suoraan ehdotetussa direktiivissä (ks. jäljempänä 3.12 ja 3.13 kohta). Yksityiskohdat voidaan määritellä myöhemmin delegoiduilla säädöksillä.

47.

Automaattisen tietojenvaihdon osalta Euroopan tietosuojavaltuutettu pitää myönteisenä, että ehdotuksessa velvoitetaan määrittämään delegoiduilla säädöksillä ”sellainen asiakirjojen ja tietojen säilyttämistä ja hakemista koskevien formaattien, sisältöjen ja rajojen määritteleminen, joka mahdollistaa automaattisen tietojenvaihdon”.

48.

Tilanteen selkeyttämiseksi Euroopan tietosuojavaltuutettu suosittaa, että itse ehdotetussa direktiivissä säädetään selkeästi, että sähköinen verkosto mahdollistaa (i) kaupparekisterien välisen tapauskohtaisen manuaalisen tietojenvaihdon (josta säädetään erikseen EU:n säädöksellä esimerkiksi sulautumisten tai kotipaikan siirtojen tapauksessa); ja (ii) automaattiset tiedonsiirrot (josta säädetään erikseen EU:n säädöksellä esimerkiksi ulkomaisten sivuliikkeiden kaupparekisterille päivitettävien tietojen tapauksessa).

49.

Ehdotuksen selkeyttämiseksi Euroopan tietosuojavaltuutettu suosittelee, että direktiivin 2009/101/EY 4 a artiklan 3 kohdan i alakohtaan ehdotettua tekstiä muutetaan sen varmistamiseksi, että (i) delegoidut säädökset kattavat täysin sekä manuaalisen että automaattisen tietojenvaihdon ja (ii) kaiken sellaisen tietojenkäsittelyn, johon liittyy henkilötietojen käsittelyä (eikä pelkästään tietojen säilyttämistä ja hakemista); ja että (iii) delegoituihin säädöksiin sisällytetään erityiset tietosuojasäännökset, joilla taataan tietosuojatakeiden käytännön soveltaminen.

50.

Edellä mainittua 4 a artiklan 3 kohdan i alakohtaa voitaisiin esimerkiksi muuttaa seuraavasti:

51.

Aivan aluksi Euroopan tietosuojavaltuutettu korostaa, että vaikka ilmeisimmät sähköisessä verkostossa käsiteltävät ja/tai yhteisen sähköisen keskusjärjestelmän/yhteyspisteen kautta julkistettavat tiedot ovat yhtiön edustajien (ja muiden yhtiön hallintoon osallistuvien henkilöiden) nimet (ja mahdolliset muut tiedot, kuten kotiosoite), nämä eivät suinkaan ole ainoita henkilötietoja, joita kaupparekistereihin voidaan tallentaa.

52.

Ensinnä tietyt direktiivin 2009/101/EY 2 artiklassa luetellut asiakirjat (esim. perustamiskirja, yhtiöjärjestys ja tilinpäätösasiakirjat) voivat sisältää muiden henkilöiden henkilötietoja. Tällaisia tietoja ovat eri yksityishenkilöiden, kuten yhtiön perustajien, osakkaiden, lakimiesten, kirjanpitäjien, työntekijöiden tai julkisten notaarien nimet, osoitteet, mahdolliset tunnistenumerot ja syntymäajat ja jopa heidän skannatut allekirjoituksensa.

53.

Toiseksi yhtiön tiedot voidaan jonkin tietyn henkilön (kuten johtajan) nimeen yhdistettynä luokitella tähän henkilöön liittyviksi henkilötiedoiksi. Jos esimerkiksi kaupparekisterin tiedoista ilmenee, että jokin tietty henkilö on selvitystilassa olevan yhtiön hallituksessa, nämä tiedot ovat merkittäviä myös kyseisen henkilön kannalta.

54.

Jotta olisi täysin selvää, minkälaisia henkilötietoja järjestelmässä käsitellään, ja sen varmistamiseksi, että käsiteltävät henkilötietojen ryhmät ovat ehdotuksen tavoitteisiin nähden oikeasuhteiset, Euroopan tietosuojavaltuutettu suosittaa, että ehdotukseen tehdään jäljempänä 3.7 kohdassa esitetyt täsmennykset.

55.

Direktiivin 2009/101/EY 2 artiklassa ei määritellä, minkälaisia ”henkilötietoja” kyseisistä henkilöistä (yhtiön edustajat ja muut yhtiön hallintoon osallistuvat henkilöt) on julkistettava.

56.

Ehdotuksen eri kieliversioiden välillä on merkittäviä eroja ilmauksen ”henkilöiden henkilötiedot” käännöksissä. Esimerkiksi ranskankielisessä ehdotuksessa tämä ilmaus on muodossa ”l’identité des personnes” (henkilöiden henkilöllisyys), italiankielisessä versiossa ”le generalità delle persone” (henkilötiedot, kuten nimi ja sukunimi) unkarinkielisessä versiossa ”személyek adatai” (yksityishenkilöiden tiedot), hollanninkielisessä versiossa ”de identiteit van de personen” (henkilöiden henkilöllisyys) ja romaniankielisessä versiossa ”identitatea persoanelor” (henkilöiden henkilöllisyys).

57.

Joissakin jäsenvaltioissa on aivan tavallista, että johtajien ja/tai muiden yksityishenkilöiden, kuten osakkaiden nimet julkistetaan Internetissä. Muissa jäsenvaltioissa kaupparekisterit taas pitävät nämä tiedot salassa luottamuksellisuuteen liittyvien ongelmien, kuten henkilöllisyysvarkauksien välttämiseksi.

58.

Euroopan tietosuojavaltuutettu suosittaa, että direktiivin 2009/101/EY 2 artiklaa muutetaan täsmentämällä, onko asianomaisten henkilöiden (yhtiön edustajat ja muut sen hallintoon osallistuvat henkilöt) nimien lisäksi mahdollisesti julkistettava vielä muitakin henkilötietoja. Tässä yhteydessä olisi harkittava huolellisesti avoimuuden ja näiden henkilöiden oikean tunnistamisen tarvetta, mutta myös punnittava näitä tarpeita vastakkain muiden näkökohtien, kuten yksityisyyden suojan tarpeen kanssa (24).

59.

Siltä varalta, että asiassa ei päästä yhteisymmärrykseen kansallisten käytäntöjen eroavaisuuksien vuoksi, 2 artiklassa olisi edellytettävä, että yhtiöt julkistavat vähintään ”asianomaisten henkilöiden koko nimen ja edellyttäen, että sitä nimenomaisesti edellytetään kansallisessa lainsäädännössä, muut näiden henkilöiden tunnistamiseksi tarvittavat tiedot”. Näin käy täysin selväksi, että kukin jäsenvaltio voi vapaasti määrittää kansallisessa lainsäädännössään, mitä muita ”henkilötietoja” nimen lisäksi on mahdollisesti julkistettava, ja että näiden tietojen julkistamista edellytetään vain, jos se on tarpeen kyseisten henkilöiden tunnistamiseksi.

60.

Vaihtoehtoisesti, ja kun otetaan huomioon, että 2 artiklan tarkoituksena on luetella kaupparekistereihin annettavat ”vähimmäistiedot” eikä yhdenmukaistaa kaupparekisterien sisältöä EU:ssa, ilmaus ”henkilöiden henkilötiedot” voitaisiin yksinkertaisesti korvata ilmauksella ”henkilöiden koko nimet”. Näin kukin jäsenvaltio voisi vapaasti päättää, mitä muita tietoja se mahdollisesti haluaa julkistaa.

61.

Direktiivin 2009/101/EY 2 artiklassa velvoitetaan myös julkistamaan tiedot henkilöistä, jotka osallistuvat yhtiön ”hallintoon, johtoon tai valvontaan”. Näin väljästi muotoiltuna artiklasta ei käy täysin selvästi ilmi, onko yhtiöiden julkistettava tiedot kaikista osakkaistaan ja erityisesti osakkaista, joilla on (i) tietyn raja-arvon ylittävä merkittävä, vaikuttava tai määräävä osuus yhtiöstä tai jotka (ii) etuoikeutettujen osakkeiden tai erityisten sopimusjärjestelyjen perusteella tai muutoin käyttävät yhtiössä tosiasiallista määräys- tai vaikutusvaltaa.

62.

Euroopan tietosuojavaltuutettu ymmärtää, että väljä muotoilu on tarpeen, jotta säännös kattaisi eri jäsenvaltioissa nykyisin käytössä olevat osakeyhtiörakenteet, joita on lukuisia. Tietosuojan kannalta on kuitenkin olennaista taata oikeusvarmuus siitä, minkä henkilöryhmien tietoja voidaan julkistaa. Euroopan tietosuojavaltuutettu kehottaakin muuttamaan direktiivin 2009/101/EY 2 artiklaa sen täsmentämiseksi, onko osakkaista mahdollisesti julkistettava henkilötietoja. Tässä yhteydessä on myös tehtävä asiassa Schecke annetussa tuomiossa tarkoitettu oikeasuhteisuuden arviointi (kuten edellä todettiin).

63.

Vaikka ehdotuksessa ei velvoiteta vaihtamaan tai julkistamaan muita henkilötietoja kuin direktiivin 2009/101/EY 2 artiklassa vaaditut vähimmäistiedot, siinä ei myöskään suljeta pois jäsenvaltioiden mahdollisuutta edellyttää, että niiden kaupparekisterit käsittelevät tai julkistavat myös muita henkilötietoja ja asettavat ne saataville yhteisen eurooppalaisen keskusjärjestelmän/yhteyspisteen välityksellä ja/tai vaihtavat näitä tietoja muiden jäsenvaltioiden yritysrekisterien kanssa.

64.

Tämä on kuitenkin arkaluonteinen kysymys ”mustien listojen” takia. Joissakin maissa sähköiset rekisterit nimittäin toimivat tosiasiallisesti ”mustina listoina”, joista kuka tahansa voi hakea sähköisen portaalin kautta tietoja esimerkiksi sellaisten yhtiöiden edustajista, jotka on asetettu toimintakieltoon.

65.

Tämän ongelman ratkaisemiseksi Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa täsmennetään, voivatko jäsenvaltiot julkistaa yhteisen portaalin kautta myös muita tietoja, ja jos voivat, niin missä määrin, ja/tai voivatko ne halutessaan vaihtaa keskenään muita tietoja omien lainsäädäntöjensä nojalla. Tässä tapauksessa jäsenvaltioilta olisi edellytettävä tiukkaa oikeasuhteisuuden arviointia (ks. em. asia Schecke), jonka olisi perustuttava kansalliseen lainsäädäntöön ja jossa olisi otettava asianmukaisesti huomioon myös sisämarkkinoiden tavoitteet.

66.

Lisäksi Euroopan tietosuojavaltuutettu ehdottaa, että kansallisille tietosuojavaltuutetuille annettaisiin mahdollisuus vaikuttaa tällaisten toimivaltuuksien käyttöön esimerkiksi antamalla lausuntoja.

67.

Edelleen Euroopan tietosuojavaltuutettu korostaa, että jos eurooppalaisessa järjestelmässä voidaan joskus tulevaisuudessa nimenomaisesti edellyttää tällaisia ”mustia listoja”, siitä olisi säädettävä nimenomaisesti ehdotetussa direktiivissä (25).

68.

Euroopan tietosuojavaltuutettu suosittelee säätämään ehdotetussa direktiivissä nimenomaisesti, että kaupparekisterien on kaikissa niissä tapauksissa, joissa ne julkistavat tai vaihtavat keskenään henkilötietoja, annettava asianmukaiset takeet etenkin tietojen haravoinnin, tiedonlouhinnan, tietojen yhdistelyn ja organisaatiorakenteen yli menevien tiedonhakujen estämisestä, jotta avoimuuden vuoksi julkistettuja henkilötietoja ei käytettäisi muihin, asiaankuulumattomiin tarkoituksiin (26).

69.

Euroopan tietosuojavaltuutettu korostaa erityisesti tarvetta harkita sellaisia teknisiä ja organisatorisia toimenpiteitä, joissa noudatetaan sisäänrakennetun yksityisyyden suojan periaatetta (ks. jäljempänä 3.14 kohta). Takeiden käytännön soveltamisesta voidaan säätää myöhemmin delegoiduissa säädöksissä. Itse periaatteista olisi kuitenkin säädettävä suoraan direktiivissä.

70.

Euroopan tietosuojavaltuutettu suosittelee sisällyttämään ehdotettuun direktiiviin erityissäännöksen, jossa velvoitetaan antamaan rekisteröidyille direktiivin 95/46/EY 10 ja 11 artiklassa (ja soveltuvin osin asetuksen (EY) N:o 45/2001 asiaa koskevissa säännöksissä) tarkoitetut tiedot tehokkaalla ja kattavalla tavalla. Sovittavasta hallinnointirakenteesta ja siihen osallistuvien osapuolten tehtävistä ja velvollisuuksista riippuen ehdotetussa direktiivissä voidaan lisäksi edellyttää nimenomaisesti, että järjestelmän ylläpitäjä antaa oma-aloitteisesti rekisteröidyille ilmoituksia ja muita tietoja verkkosivuillaan, myös kaupparekisterien ”puolesta”. Lisäsäännöksiä voidaan tarvittaessa antaa delegoiduilla säädöksillä tai ne voidaan jättää määritettäväksi tietosuojapolitiikassa.

71.

Ehdotukseen olisi lisättävä ainakin viittaus velvoitteeseen antaa (delegoiduilla säädöksillä) yksityiskohtaiset säännöt järjestelyistä, joilla mahdollistetaan se, että rekisteröidyt voivat asianmukaisesti käyttää oikeuksiaan. Lisäksi ehdotuksessa olisi viitattava mahdollisuuteen rakentaa tietosuojamoduuli sekä mahdollisuuteen toteuttaa viranomaisten välisessä yhteistyössä sisäänrakennettuun yksityisyyden suojaan liittyviä ratkaisuja, jotka koskevat käyttöoikeuksia sekä tarvittaessa ”rekisteröityjen valtuuttamista”.

72.

Koska on mahdollista, että sähköisessä verkostossa voi käsitellä henkilötietoja myös komissio tai muu EU:n toimielin/elin (esim. toimiessaan verkoston ylläpitäjänä tai hakiessaan sieltä henkilötietoja), ehdotuksessa olisi viitattava myös asetukseen (EY) N:o 45/2001.

73.

Lisäksi olisi täsmennettävä, että direktiiviä 95/46/EY sovelletaan kaupparekistereihin sekä muihin jäsenvaltioissa kansallisen lainsäädännön nojalla toimiviin osapuoliin, kun taas asetusta (EY) N:o 45/2001 sovelletaan komissioon ja muihin EU:n toimielimiin ja elimiin.

74.

Siltä osin kuin on kyse henkilötietojen siirrosta EU:n kaupparekisteristä sellaisen kolmannen maan kaupparekisteriin, joka ei takaa henkilötietojen suojan riittävää tasoa, Euroopan tietosuojavaltuutettu korostaa, että on tärkeää erottaa toisistaan

75.

Ensiksi mainituissa tapauksissa direktiivin 95/46/EY 26 artiklan 1 kohdan f alakohdassa sallitaan poikkeukset, jos ”siirto tehdään [julkisesta] rekisteristä” tiettyjen edellytysten täyttyessä. Jos esimerkiksi EU:n jäsenvaltion kaupparekisterin pitäjä haluaa siirtää jonkin tietyn henkilötietojen kokoelman (esim. ulkomaisten sivukonttoreiden rekisteröintiin liittyvät tiedot) kolmannen maan kaupparekisterin pitäjälle ja jos samat tiedot ovat joka tapauksessa yleisesti saatavilla, siirron pitäisi olla mahdollista, vaikka kyseisessä kolmannessa maassa ei taatakaan tietosuojan riittävää tasoa.

76.

Jälkimmäisissä tapauksissa Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa täsmennetään, että muita kuin yleisesti saatavilla olevia tietoja voidaan välittää organisaatioille tai henkilöille sellaiseen kolmanteen maahan, jossa ei taata tietosuojan riittävää tasoa, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja -vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta. Nämä takeet voivat erityisesti johtua direktiivin 95/46/EY 26 artiklan 2 kohdassa tarkoitetuista soveltuvista sopimuslausekkeista (27). Tapauksissa, joissa tietojen siirtoon kolmansiin maihin liittyy järjestelmällistä tietojenvaihtoa kahden tai usean EU:n jäsenvaltion kaupparekisterien välillä tai joissa EU:n tason toimenpiteet ovat muista syistä aiheellisia, sopimuslausekkeista voitaisiin neuvotella myös EU:n tasolla (26 artiklan 4 alakohta).

77.

Euroopan tietosuojavaltuutettu korostaa, että muita poikkeuksia, kuten sitä, jonka mukaan henkilötietoja voidaan siirtää, jos ”siirto on tarpeen tai laissa edellytetty joko tärkeän yleisen edun johdosta taikka oikeudellisen vaateen perustelemiseksi, esittämiseksi tai puolustamiseksi tuomioistuimessa” (26 artiklan d alakohta), ei pitäisi käyttää perusteena tietojen järjestelmälliselle siirrolle kolmansiin maihin sähköisen verkoston kautta.

78.

Euroopan tietosuojavaltuutettu suosittelee, että ehdotuksessa viitataan nimenomaisesti tilivelvollisuuden periaatteeseen ja velvoitetaan soveltamaan sitä (28) sekä määritetään selkeät puitesäännöt sellaisille asianmukaisille sisäisille menettelyille ja valvontajärjestelmille, joilla varmistetaan tietosuojavaatimusten noudattaminen ja näytön saaminen niiden noudattamisesta. Tällaisissa puitesäännöissä voitaisiin esimerkiksi velvoittaa

79.

Lisäksi ehdotuksessa olisi viitattava nimenomaisesti sisäänrakennetun yksityisyyden suojan (29) periaatteeseen ja muunnettava tämä sitoumus konkreettisiksi toimenpiteiksi. Ehdotuksessa olisi erityisesti edellytettävä, että sähköisestä verkostosta suunnitellaan turvallinen ja vakaa ja että siihen sisällytetään jo oletusarvoisesti laajat yksityisyyden takeet. Seuraavassa on joitakin esimerkkejä tällaisista takeista:

80.

Euroopan tietosuojavaltuutettu tukee ehdotuksen tavoitteita. Hänen huomautuksiaan on tarkasteltava tämän rakentavan lähestymistavan valossa.

81.

Euroopan tietosuojavaltuutettu korostaa, että tarvittavia tietosuojatakeita on pidettävä säädöksen keskeisinä osina ja että niistä on sen vuoksi säädettävä selkeästi ja nimenomaisesti suoraan itse direktiivissä. Erityisten takeiden täytäntöönpanoon liittyvistä yksityiskohdista voidaan myöhemmin antaa lisäsäännöksiä delegoiduilla säädöksillä.

82.

Ehdotetussa direktiivissä olisi käsiteltävä hallinnointiin, tehtäviin, toimivaltuuksiin ja vastuisiin liittyviä näkökohtia. Tätä varten siinä olisi täsmennettävä:

83.

Kaiken sähköisessä verkostossa tapahtuvan tietojenkäsittelyn on perustuttava sitovaan oikeudelliseen välineeseen, kuten unionin erityissäädökseen, jolla on vankka oikeusperusta. Tästä olisi säädettävä selkeästi ehdotetussa direktiivissä.

84.

Sovellettavaa lainsäädäntöä koskevia säännöksiä olisi täsmennettävä, ja niihin olisi sisällytettävä viittaus asetukseen (EY) N:o 45/2001.

85.

Siltä osin kuin on kyse henkilötietojen siirrosta kolmansiin maihin, ehdotuksessa olisi täsmennettävä, että periaatteessa ja direktiivin 95/46/EY 26 artiklan 1 kohdan f alakohdassa säädettyjä poikkeustapauksia lukuun ottamatta tietoja voidaan välittää yhteisöille tai henkilöille sellaiseen kolmanteen maahan, jossa ei taata tietosuojan riittävää tasoa, vain, jos rekisterinpitäjä antaa riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja -vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta. Nämä takeet voivat erityisesti johtua direktiivin 95/46/EY 26 artiklassa tarkoitetuista soveltuvista sopimuslausekkeista.

86.

Lisäksi komission olisi huolellisesti arvioitava, mitä teknisiä ja organisatorisia toimenpiteitä voitaisiin toteuttaa sen varmistamiseksi, että yksityisyys ja tietosuoja ”rakennetaan sisään” sähköisen verkoston arkkitehtuuriin (”sisäänrakennettu yksityisyyden suoja”) ja että käytössä ovat riittävät valvontajärjestelmät, joilla varmistetaan tietosuojasääntöjen noudattaminen ja näytön saaminen niiden noudattamisesta (”tilivelvollisuus”).

87.

Lisäksi Euroopan tietosuojavaltuutettu suosittelee seuraavaa:

26.7.2011   

FI

Euroopan unionin virallinen lehti

C 220/12

26.7.2011   

FI

Euroopan unionin virallinen lehti

C 220/16

26.7.2011   

FI

Euroopan unionin virallinen lehti

C 220/17