C_2022015FI.01021801.xml

P9_TA(2021)0262

Henkilötietojen riittävä suoja Yhdistyneessä kuningaskunnassa

Euroopan parlamentin päätöslauselma 21. toukokuuta 2021 henkilötietojen riittävästä suojasta Yhdistyneessä kuningaskunnassa (2021/2594(RSP))

(2022/C 15/23)

Euroopan parlamentti, joka

—	ottaa huomioon Euroopan unionin perusoikeuskirjan, jäljempänä ”perusoikeuskirja”, ja erityisesti sen 7, 8, 16, 47 ja 52 artiklan,

—	ottaa huomioon unionin tuomioistuimen 16. heinäkuuta 2020 antaman tuomion asiassa C-311/18, Data Protection Commissioner v. Facebook Ireland Ltd ja Maximillian Schrems (nk. Schrems II -tuomio) (1),

—	ottaa huomioon unionin tuomioistuimen 6. lokakuuta 2015 antaman tuomion asiassa C-362/14, Maximillian Schrems v. Data Protection Commissioner (nk. Schrems I -tuomio) (2),

—	ottaa huomioon unionin tuomioistuimen 6. lokakuuta 2020 antaman tuomion asiassa C-623/17, Privacy International v. Secretary of State for Foreign and Commonwealth Affairs (3),

—	ottaa huomioon 12. maaliskuuta 2014 antamansa päätöslauselman Yhdysvaltojen kansallisen turvallisuusviraston valvontaohjelmasta, eri jäsenvaltioiden valvontaelimistä ja niiden vaikutuksesta EU:n kansalaisten perusoikeuksiin ja transatlanttiseen yhteistyöhön oikeus- ja sisäasioissa (4),

—	ottaa huomioon 5. heinäkuuta 2018 antamansa päätöslauselman EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn tarjoaman suojan riittävyydestä (5),

—	ottaa huomioon 25. lokakuuta 2018 antamansa päätöslauselman Cambridge Analytican käyttämistä Facebookin käyttäjien tiedoista ja vaikutuksesta tietosuojaan (6),

—	ottaa huomioon 20. toukokuuta 2021 antamansa päätöslauselman unionin tuomioistuimen 16. heinäkuuta 2020 antamasta tuomiosta – Data Protection Commissioner v. Facebook Ireland Ltd ja Maximillian Schrems (”Schrems II”), asia C-311/18 (7),

—	ottaa huomioon 26. marraskuuta 2020 antamansa päätöslauselman EU:n kauppapolitiikan tarkastelusta (8),

—	ottaa huomioon Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välillä 31. joulukuuta 2020 tehdyn kauppa- ja yhteistyösopimuksen (9),

—	ottaa huomioon 28. huhtikuuta 2021 antamansa päätöslauselman Euroopan unionin ja Yhdistyneen kuningaskunnan välisten neuvottelujen tuloksista (10),

—	ottaa huomioon luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta 27. huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (11) (yleinen tietosuoja-asetus),

—

ottaa huomioon luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta 27. huhtikuuta 2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (12) (direktiivi lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta),

—	ottaa huomioon henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla 12. heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (13),

—	ottaa huomioon 10. tammikuuta 2017 annetun komission ehdotuksen Euroopan parlamentin ja neuvoston asetukseksi yksityiselämän kunnioittamisesta ja henkilötietojen suojasta sähköisessä viestinnässä COM(2017)0010) ja Euroopan parlamentin 20. lokakuuta 2017 siihen vahvistaman kannan (14),

—

ottaa huomioon Euroopan tietosuojaneuvoston suositukset, mukaan lukien sen 9. maaliskuuta 2021 antaman lausuman sähköisen viestinnän tietosuoja-asetuksesta ja sen 10. marraskuuta 2020 antamat suositukset 01/2020 toimenpiteistä, joilla täydennetään tiedonsiirtovälineitä EU:ssa henkilötiedoille taatun suojan tason noudattamiseksi,

—	ottaa huomioon 29 artiklan mukaisen tietosuojatyöryhmän 6. helmikuuta 2018 antaman ja Euroopan tietosuojaneuvoston hyväksymän tietosuojan riittävyyden viitearvoja koskevan asiakirjan,

—	ottaa huomioon Euroopan tietosuojaneuvoston 2. helmikuuta 2021 antamat suositukset 01/2021 tietosuojan riittävyyden viitearvoista lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta annetun direktiivin yhteydessä,

—	ottaa huomioon komission 19. helmikuuta 2021 julkaisemat luonnokset tietosuojan riittävyyttä koskeviksi päätöksiksi, joista toinen liittyy yleiseen tietosuoja-asetukseen (15) ja toinen direktiiviin lainvalvontatarkoituksessa käsiteltyjen henkilötietojen suojasta (16),

—	ottaa huomioon Euroopan tietosuojaneuvoston 13. huhtikuuta 2021 antamat lausunnot 14/2021 ja 15/2021 luonnoksista direktiivin (EU) 2016/680 mukaisiksi komission täytäntöönpanopäätöksiksi henkilötietojen asianmukaisesta suojauksesta Yhdistyneessä kuningaskunnassa,

—	ottaa huomioon Euroopan ihmisoikeussopimuksen ja Euroopan neuvoston yleissopimuksen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä sekä siihen liittyvän muutospöytäkirjan (”yleissopimus 108+”), joiden sopimuspuoli Yhdistynyt kuningaskunta on,

—	ottaa huomioon yleisistä säännöistä ja periaatteista, joiden mukaisesti jäsenvaltiot valvovat komission täytäntöönpanovallan käyttöä, 16. helmikuuta 2011 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011,

—	ottaa huomioon työjärjestyksen 132 artiklan 2 kohdan,

—	ottaa huomioon kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunnan päätöslauselmaesityksen,

katsoo, että mahdollisuus siirtää henkilötietoja yli rajojen voi olla keskeinen innovoinnin, tuottavuuden ja taloudellisen kilpailukyvyn edistäjä ja että se on ratkaisevan tärkeää tehokkaan yhteistyön kannalta rajatylittävän järjestäytyneen ja vakavan rikollisuuden sekä terrorismin torjunnassa, sillä niiden torjunta on yhä riippuvaisempaa henkilötietojen vaihdosta;

palauttaa mieliin unionin tuomioistuimen Schrems I -tuomion, jonka mukaan tiedusteluviranomaisten rajoittamaton pääsy sähköisen viestinnän sisältöön loukkaa perusoikeuskirjan 7 artiklassa määrättyä oikeutta viestien kunnioittamiseen eikä Yhdysvallat tarjoa muille kuin yhdysvaltalaisille henkilöille riittäviä oikeussuojakeinoja joukkovalvontaa vastaan, mikä loukkaa perusoikeuskirjan 47 artiklaa;

ottaa huomioon, että Yhdistynyt kuningaskunta on perinteisesti ollut monen EU:n jäsenvaltion tärkeä kauppakumppani sekä läheinen liittolainen turvallisuuden alalla; katsoo, että EU:n ja Yhdistyneen kuningaskunnan olisi jatkettava tätä tiivistä yhteistyötä Yhdistyneen kuningaskunnan EU:sta eroamisesta huolimatta, koska se hyödyttää molempia osapuolia,

ottaa huomioon, että eurooppalaiset yritykset tarvitsevat oikeudellista selkeyttä ja oikeusvarmuutta, koska mahdollisuudesta siirtää henkilötietoja rajojen yli on tullut yhä tärkeämpää kaikentyyppisille yrityksille, jotka toimittavat tavaroita ja palveluja ulkomaille; katsoo, että yleisen tietosuoja-asetuksen mukainen Yhdistyneen kuningaskunnan tietosuojan riittävyyttä koskeva päätös on äärimmäisen tärkeä, koska monet eurooppalaiset yritykset harjoittavat kauppaa Englannin kanaalin yli, erityisesti kun otetaan huomioon, että brexit tapahtui aivan äskettäin eikä unionin sisäisiä tietovirtoja ole rajoitettu; toteaa, että jos tietosuojan riittävyyttä koskevaa vankkaa kehystä ei hyväksytä, vaarana on, että EU:n ja Yhdistyneen kuningaskunnan välisissä rajatylittävissä kaupallisissa henkilötietojen siirroissa esiintyy häiriöitä ja että sääntöjen noudattamisesta aiheutuu korkeita kustannuksia;

ottaa huomioon, että kauppa- ja yhteistyösopimukseen sisältyy useita turvatakeita ja ehtoja, jotka koskevat asiaankuuluvien henkilötietojen vaihtamista lainvalvonnan yhteydessä; ottaa huomioon, että neuvottelut henkilötietovirroista käytiin samanaikaisesti kauppa- ja yhteistyösopimusta koskevien neuvottelujen kanssa, mutta niitä ei saatu päätökseen ennen siirtymäkauden päättymistä 31. joulukuuta 2020; ottaa huomioon, että kauppa- ja yhteistyösopimukseen sisällytettiin siirtymälauseke väliaikaisena ratkaisuna sillä ehdolla, että Yhdistynyt kuningaskunta sitoutuu olemaan muuttamatta nykyistä tietosuojajärjestelmäänsä, jotta varmistetaan Yhdistyneen kuningaskunnan ja EU:n välisten tiedonsiirtojen jatkuminen tietosuojan riittävyyttä koskevan päätöksen tekemiseen saakka; ottaa huomioon, että alkuperäistä neljän kuukauden määräaikaa on pidennetty ja se päättyy kesäkuun 2021 lopussa;

ottaa huomioon, että komission ennen täytäntöönpanopäätösluonnoksen esittämistä tekemä arviointi oli puutteellinen eikä se ollut Euroopan unionin tuomioistuimen tietosuojan riittävyysarviointeja koskevien vaatimusten mukainen, kuten tietosuojaneuvosto korosti tietosuojan riittävyyttä koskevissa lausunnoissaan, joissa se kehottaa komissiota arvioimaan tarkemmin Yhdistyneen kuningaskunnan lainsäädännön ja käytännön tiettyjä osatekijöitä, jotka liittyvät tietojen valikoimattomaan keruuseen, tietojen luovuttamiseen ulkomaille ja kansainvälisiin sopimuksiin tiedustelutietojen jakamisen alalla, kerättyjen tietojen jatkokäyttöön lainvalvontatarkoituksiin ja oikeudellisten asiamiesten riippumattomuuteen;

ottaa huomioon, että komissio ei ole ottanut huomioon tiettyjä Yhdistyneen kuningaskunnan lainsäädännön ja/tai käytännön näkökohtia, mikä on johtanut täytäntöönpanopäätösluonnoksiin, jotka eivät ole unionin oikeuden mukaisia; ottaa huomioon, että yleisen tietosuoja-asetuksen 45 artiklassa säädetään, että ”arvioidessaan tietosuojatason riittävyyttä komissio ottaa huomioon etenkin seuraavat seikat: (…) sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano, tietosuojaa koskevat säännöt, ammatilliset säännöt ja turvatoimet, mukaan lukien asianomaisessa kolmannessa maassa tai kansainvälisessä järjestössä noudatettavat säännöt henkilötietojen siirtämisestä edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, oikeuskäytäntö” ja ”asianosaisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset tai muut oikeudellisesti sitovista yleissopimuksista tai säädöksistä taikka monenvälisiin tai alueellisiin järjestelmiin osallistumisesta johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaamista”, joihin sisältyy muiden alojen kansainvälisiä sopimuksia tietojen saannista tai tietojen jakamisesta, mikä sen vuoksi edellyttää tällaisten kansainvälisten sopimusten arviointia;

ottaa huomioon, että Euroopan unionin tuomioistuin totesi selvästi Schrems I -tuomiossaan, että ”komissio on siis kolmannen maan tarjoamaa tietosuojan tasoa tutkiessaan velvollinen arvioimaan tämän maan sisäisen lainsäädännön tai kansainvälisten sitoumusten johdosta tässä maassa sovellettavien sääntöjen sisältöä ja näiden sääntöjen noudattamisen varmistamiseen tarkoitettua käytäntöä, koska komission on direktiivin 95/46/EY 25 artiklan 2 kohdan mukaisesti otettava huomioon kaikki olosuhteet, jotka liittyvät henkilötietojen siirtoon kolmanteen maahan” (75 kohta);

ottaa huomioon, että tiedustelupalvelujen toiminta ja tietojen jakaminen kolmansien maiden kanssa on jätetty perussopimusten mukaisesti EU:n lainsäädännön soveltamisalan ulkopuolelle jäsenvaltioiden osalta, sillä ne kuuluvat kolmansien maiden tarjoaman henkilötietojen suojan tason riittävyyden arvioinnin soveltamisalaan, kuten Euroopan unionin tuomioistuin on vahvistanut asioissa Schrems I ja II antamissaan tuomioissa;

J.	ottaa huomioon, että tietosuojanormit eivät perustu ainoastaan voimassa olevaan lainsäädäntöön vaan myös näiden lakien soveltamiseen käytännössä ja että komissio on päätöstä valmistellessaan arvioinut ainoastaan lainsäädäntöä eikä sen tosiasiallista soveltamista käytännössä;

ottaa huomioon, että komissio tunnustaa tällä hetkellä kahdentoista kolmannen maan tarjoavan riittävän suojan yleisen tietosuoja-asetuksen nojalla ja on äskettäin saattanut päätökseen asiaa koskevat neuvottelut Korean tasavallan kanssa; ottaa huomioon, että Yhdistynyt kuningaskunta on ensimmäinen maa, jonka osalta komissio on ehdottanut tietosuojan riittävyyden hyväksymistä lainvalvontaa koskevan direktiivin nojalla;

ottaa huomioon, että Yhdistyneen kuningaskunnan tapaus eroaa kaikista aiemmista riittävyyden arvioinneista, koska se koskee entistä EU:n jäsenvaltiota, joka on sisällyttänyt yleisen tietosuoja-asetuksen säännökset täysimääräisesti kansalliseen lainsäädäntöönsä ja lisäksi säätänyt, että kaikkea EU:n lainsäädännöstä johdettua kansallista lainsäädäntöä, myös lainsäädäntöä, jolla lainvalvontadirektiivi saatetaan osaksi kansallista lainsäädäntöä, sovelletaan edelleen siirtymäkauden päätyttyä;

I. YLEINEN TIETOSUOJA-ASETUS

Yleisiä huomioita

toteaa, että Yhdistynyt kuningaskunta on allekirjoittanut Euroopan ihmisoikeussopimuksen ja Euroopan neuvoston yleissopimuksen yksilöiden suojelusta henkilötietojen automaattisessa tietojenkäsittelyssä; odottaa, että Yhdistynyt kuningaskunta takaa edelleen samat tietosuojan vähimmäisvaatimukset siitä huolimatta, että se on eronnut Euroopan unionista;

on tyytyväinen siihen, että Yhdistynyt kuningaskunta on sitoutunut kunnioittamaan demokratiaa ja oikeusvaltiota ja suojelemaan ja soveltamaan kansallisesti muun muassa Euroopan ihmisoikeussopimuksessa vahvistettuja perusoikeuksia, mukaan lukien tietosuojan korkea taso; muistuttaa tämän olevan välttämätön ehto EU:n ja Yhdistyneen kuningaskunnan väliselle yhteistyölle; muistuttaa, että vaikka Euroopan ihmisoikeussopimuksen 8 artiklan mukainen oikeus yksityisyyteen on osa Yhdistyneen kuningaskunnan lainsäädäntöä vuoden 1998 ihmisoikeuslain myötä samoin kuin osa common law -oikeutta yksityisen tiedon väärinkäyttöä koskevan uuden oikeudenloukkauksen muodossa, pyrkimykset säätää erillisestä perusoikeudesta tietosuojaan kaatuivat hallituksen vastustukseen;

huomauttaa, että EU on valinnut ihmisoikeuskeskeisen lähestymistavan datanhallintaan kehittäessään yleisen tietosuoja-asetuksen mukaisia vahvoja tietosuojasääntöjä, ja pitää sen vuoksi hyvin huolestuttavina Yhdistyneen kuningaskunnan pääministerin lausuntoja, joiden mukaan Yhdistynyt kuningaskunta pyrkii irtaantumaan unionin tietosuojasääntelystä ja luomaan omaa ”suvereenia” valvontaa tietosuojan alalla; katsoo, että Yhdistyneen kuningaskunnan vuoden 2020 kansallinen datastrategia ilmentää sellaista siirtymää henkilötietojen suojasta kohti niiden laajempaa käyttöä ja jakamista, jota ei voida sovittaa yhteen yleisen tietosuoja-asetuksen mukaisten kohtuullisuuden, tietojen minimoinnin ja käyttötarkoitussidonnaisuuden periaatteiden kanssa; panee merkille, että tietosuojan riittävyyttä koskevissa lausunnoissaan tietosuojaneuvosto korosti, että tämä saattaa johtaa EU:sta siirrettävien henkilötietojen suojaan kohdistuviin mahdollisiin riskeihin;

huomauttaa, että pätevät tietosuojan riittävyyttä koskevat päätökset edistävät merkittävästi kansalaisten perusoikeuksien suojelua ja yritysten oikeusvarmuutta; korostaa kuitenkin, että puutteellisiin arviointeihin perustuvat tietosuojan tason riittävyyttä koskevat päätökset, joita komissio ei valvo asianmukaisesti, voivat johtaa päinvastaiseen, jos ne riitautetaan tuomioistuimessa;

toteaa, että komission ennen täytäntöönpanopäätösluonnoksen esittämistä tekemä arviointi oli puutteellinen eikä se ollut Euroopan unionin tuomioistuimen tietosuojan riittävyyden arviointia koskevien vaatimusten mukainen, kuten tietosuojaneuvosto korosti tietosuojan riittävyyttä koskevissa lausunnoissaan, joissa se kehottaa komissiota arvioimaan tarkemmin Yhdistyneen kuningaskunnan lainsäädännön ja käytännön tiettyjä osatekijöitä, jotka liittyvät tietojen valikoimattomaan keruuseen, tietojen luovuttamiseen ulkomaille ja kansainvälisiin sopimuksiin tiedustelutietojen jakamisen alalla, kerättyjen tietojen jatkokäyttöön lainvalvontatarkoituksiin ja oikeudellisten asiamiesten riippumattomuuteen;

Yleisen tietosuoja-asetuksen täytäntöönpano

ilmaisee huolensa siitä, että ollessaan vielä unionin jäsen Yhdistynyt kuningaskunta valvoi yleisen tietosuoja-asetuksen täytäntöönpanoa puutteellisesti ja usein ei lainkaan; huomauttaa erityisesti aiemmista puutteista Yhdistyneen kuningaskunnan tietosuojaviranomaisen harjoittamassa valvonnassa; huomauttaa, että tietosuojaviranomainen, joka päätti adtech-toimintaa tehdyn valituksen käsittelyn järjestettyään kaksi sidosryhmätapahtumaa, laati raportin (Update Report on Adtech) ja totesi, että ”adtech-alan ymmärrys tietosuojavaatimuksista vaikuttaa epäkypsältä”, ei kuitenkaan hyödyntänyt lainkaan täytäntöönpanon valvontavaltuuksiaan (17); on huolissaan siitä, että tämä täytäntöönpanon valvonnan laiminlyönti on rakenteellinen ongelma, joka perustuu tietosuojaviranomaisen sääntelytoimia koskevaan politiikkaan, jossa todetaan nimenomaisesti, että useimmissa tapauksissa sen valtuudet varataan kaikkein merkittävimpiin tapauksiin, jotka ovat tietoihin liittyviä oikeuksia koskevien velvoitteiden vakavimpia loukkauksia; toteaa, että näihin kuuluvat tyypillisesti tahalliset tai tuottamukselliset teot tai laiminlyönnit taikka tietoja koskeviin oikeuksiin liittyvien velvoitteiden toistuvat rikkomiset, jotka aiheuttavat haittaa tai vahinkoa yksilöille; korostaa, että tämä on käytännössä merkinnyt sitä, että suureen osaan tietosuojalainsäädännön rikkomuksista ei ole Yhdistyneessä kuningaskunnassa puututtu;

panee merkille Yhdistyneen kuningaskunnan vuoden 2020 kansallisen datastrategian, sellaisena kuin se on päivitettynä 9. joulukuuta 2020, jonka mukaan ollaan siirtymässä henkilötietojen suojasta kohti niiden laajempaa käyttöä ja jakamista; huomauttaa, että strategiassa esitetty kanta, jonka mukaan tietojen jakamatta jättäminen voi vaikuttaa kielteisesti yhteiskuntaan, ei ole yhteensopiva yleisen tietosuoja-asetuksen ja primaarioikeuden mukaisten tietojen minimointia ja käyttötarkoituksen rajoittamista koskevien periaatteiden kanssa;

panee merkille, että Yhdistyneen kuningaskunnan parlamentin perustuslakivaliokunta suositteli vuonna 2004 (18) ja yleisistä asioista vastaava valiokunta vuonna 2014 (19) tietosuojaviranomaisen riippumattomuuden varmistamista siten, että hänestä tehdään parlamentin virkamies, joka raportoi parlamentille sen sijaan, että digitaalisesta mediasta ja urheilusta vastaava ministeri edelleen nimittää hänet; pitää valitettavana, että tätä suositusta ei ole noudatettu;

Tietojen käsittely maahanmuuton valvontaa varten

panee merkille, että Yhdistyneen kuningaskunnan tietosuojalainsäädäntö sisältää poikkeuksen tiettyyn osaan tietosuojan keskeisiä oikeuksia ja periaatteita, kuten oikeuteen päästä tietoihin ja rekisteröidyn oikeuteen tietää, kenelle hänen tietojaan on luovutettu, jos näiden oikeuksien turvaaminen ”vaarantaisi maahanmuuton tehokkaan valvonnan”; korostaa, että poikkeuksen käytön valvonnassa ja noudattamisessa on noudatettava riittävyyden viitekehykseen sisältyviä vaatimuksia, jotka edellyttävät sekä käytännön että periaatteen tarkastelua ja joissa todetaan, että on otettava huomioon paitsi kolmanteen maahan siirrettäviin henkilötietoihin sovellettavien sääntöjen sisältö myös käytössä oleva järjestelmä tällaisten sääntöjen tehokkuuden varmistamiseksi; toteaa, että tämä poikkeus, joka koskee kaikkia Yhdistyneessä kuningaskunnassa sijaitsevia rekisterinpitäjiä, on saanut tukea tietosuojaviranomaiselta ja tuomioistuimelta ja että siihen voidaan vedota vain tapauskohtaisesti ja sitä voidaan soveltaa tarpeellisella ja oikeasuhteisella tavalla; muistuttaa äskettäin ilmi tulleista tiedoista, joiden mukaan 146,75:ttä miljoonaa rekisteröityä henkilöä koskeviin käsiteltyihin tietoihin liittyen tehtiin 17 780 sisäministeriön pyyntöä 1. huhtikuuta 2018 ja 31. maaliskuuta 2019 välisenä aikana, ja että Yhdistyneen kuningaskunnan sisäministeriö sovelsi maahanmuuttopoikkeusta vuonna 2020 yli 70 prosentissa rekisteröityjen esittämiä pyyntöjä (20); korostaa, että edes niissä tapauksissa, joissa sisäministeriö hyödynsi poikkeusta, tiedonsaantia ei evätty kokonaan vaan se rajoitettiin vain muokattuihin asiakirjoihin;

10.

toteaa poikkeuksen koskevan nyt myös EU:n kansalaisia, jotka asuvat tai suunnittelevat asumista Yhdistyneessä kuningaskunnassa; ilmaisee vakavan huolensa siitä, että poikkeuksella heikennetään oleellisesti vastuuvelvollisuutta ja oikeussuojakeinoja, ja korostaa, että tämä ei ole riittävä suojelun taso;

11.

toteaa jälleen olevansa erittäin huolissaan poikkeuksesta rekisteröidyn oikeuksiin Yhdistyneen kuningaskunnan maahanmuuttopolitiikassa, toistaa kantansa, jonka mukaan Yhdistyneen kuningaskunnan tietosuojalakiin sisältyvää poikkeusta, joka koskee henkilötietojen käsittelyä maahanmuuttoa varten, on muutettava ennen kuin voidaan tehdä pätevä päätös tietosuojan riittävyydestä, kuten se on todennut toistuvasti ja myös 12. helmikuuta 2020 antamassaan päätöslauselmassa ehdotuksesta valtuutuksen antamiseksi aloittaa neuvottelut uudesta kumppanuudesta Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan kanssa (21) ja kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunnan 5. helmikuuta 2021 antamassa lausunnossa (22); kehottaa komissiota pyrkimään maahanmuuttoa koskevan poikkeuksen poistamiseen tai varmistamaan, että sitä uudistetaan siten, että poikkeus ja sen käyttö tarjoavat rekisteröidyille riittävät takeet ja että ne eivät ole ristiriidassa kolmannelta maalta odotettavien vaatimusten kanssa;

Joukkovalvonta

12.

muistuttaa Edward Snowdenin paljastuksista, jotka koskivat Yhdysvaltain ja Yhdistyneen kuningaskunnan harjoittamaa joukkovalvontaa; muistuttaa Yhdistyneen kuningaskunnan tiedusteluelimen GCHQ:n hallinnoimasta Tempora-ohjelmasta, jossa kerätään reaaliaikaisesti viestejä internetin runkoverkon valokuitukaapeleista ja talletetaan tiedot myöhempää käsittelyä ja hakua varten; muistuttaa, että tämä viestinnän sisällön ja metadatan joukkovalvonta tapahtuu ilman erityisiä epäilyjä tai kohdentamista tiettyihin tietoihin;

13.

muistuttaa, että Euroopan unionin tuomioistuin totesi tuomioissa Schrems I ja Schrems II, että laajamittainen pääsy yksityisen viestinnän sisältöön kajoaa yksityisyyttä koskevan oikeuden keskeiseen sisältöön ja että tällaisissa tapauksissa tarpeellisuus- ja suhteellisuustestiä ei enää tarvita; korostaa, että näitä periaatteita sovelletaan tiedonsiirtoihin muihin kolmansiin maihin kuin Yhdysvaltoihin, Yhdistynyt kuningaskunta mukaan luettuna;

14.

muistuttaa 12. maaliskuuta 2014 antamastaan päätöslauselmasta, jonka mukaan Yhdistyneen kuningaskunnan tiedusteluelimen GCHQ:n valikoimattomat ja epäilykseen perustumattomat joukkovalvontaohjelmat ovat demokraattisessa yhteiskunnassa sovellettavien tarpeellisuus- ja suhteellisuusperiaatteiden vastaisia eivätkä ne siten tarjoa EU:n tietosuojalainsäädännön edellyttämää riittävää suojaa; toteaa, että Yhdistynyt kuningaskunta on sittemmin uudistanut merkittävästi valvontaa koskevaa lainsäädäntöään ja ottanut käyttöön turvatakeita, jotka menevät pidemmälle kuin Euroopan unionin tuomioistuimen Schrems II -tuomiossa (23) määrittelemät ehdot ja useimpien jäsenvaltioiden valvontaa koskevassa lainsäädännössä säädetyt takeet; pitää erityisen myönteisenä tehokkaiden oikeussuojakeinojen täysimääräistä saatavuutta; muistuttaa, että oikeutta yksityisyyteen käsittelevä YK:n erityisraportoija on suhtautunut myönteisesti vuoden 2016 tutkintavaltuuksista annetulla lailla käyttöön otettuihin vahvoihin turvatakeisiin tarpeellisuuden, oikeasuhteisuuden ja oikeusviranomaisen antaman riippumattoman valtuutuksen osalta;

15.

huomauttaa, että Euroopan ihmisoikeustuomioistuin vahvisti syyskuussa 2018 antamallaan tuomiolla, että Yhdistyneen kuningaskunnan laajamittaiset datan keruu- ja säilyttämisohjelmat, muiden muassa Tempora, olivat laittomia ja yhteensopimattomia demokraattisen yhteiskunnan vaatimusten kanssa (24);

16.

tuomitsee sen, ettei tietosuojan riittävyyttä koskevissa päätösluonnoksissa oteta huomioon Yhdistyneen kuningaskunnan massadataa koskevien valtuuksien käytön rajoitusten puuttumista eikä Yhdistyneen kuningaskunnan ja Yhdysvaltain tiedustelutoiminnan tosiasiallista käyttöä, jonka Edward Snowden paljasti, mukaan luettuna se, että

a)	tietosuojaviranomainen tai tuomioistuimet eivät valvo tehokkaasti kansallista turvallisuutta koskevan Yhdistyneen kuningaskunnan tietosuojalakiin sisältyvän poikkeuksen käyttöä;

b)	Yhdistyneen kuningaskunnan ”massadataa koskevien valtuuksien” rajoituksia ei ole vahvistettu varsinaisessa lainsäädännössä, kuten unionin tuomioistuin edellyttää, vaan täytäntöönpanovallan käyttäjä käyttää harkintavaltaansa ”kunnioittaen” oikeusvalvontaa;

”sekundaaridatan” (metadatan) kuvaus päätösluonnoksissa on erittäin harhaanjohtava eikä siinä oteta huomioon, että tällainen data voi olla erittäin paljastavaa ja yksityisyyttä loukkaavaa ja siihen sovelletaan pitkälle kehitettyjä automatisoituja analyyseja (kuten unionin tuomioistuin totesi asiassa Digital Rights Ireland (25)), mutta Yhdistyneen kuningaskunnan lainsäädännössä metadataa ei kuitenkaan suojella merkityksellisesti Yhdistyneen kuningaskunnan tiedusteluelinten harjoittamalta henkilötietojen epäasianmukaiselta käytöltä, valikoimattomalta keruulta ja tekoälyyn perustuvalta analyysiltä;

d)	”5EYES”-yhteistyössä mukana olevat virastot, erityisesti Yhdistyneen kuningaskunnan tiedusteluelin (GCHQ) ja Yhdysvaltain kansallinen turvallisuusviranomainen (NSA), jakavat käytännössä kaiken tiedusteludatan;

huomauttaa lisäksi Yhdistyneen kuningaskunnan kansalaisten epävirallisista turvatakeista, kun tietoja siirretään GCHQ:n ja NSA:n välillä; ilmaisee vakavan huolensa siitä, etteivät nämä turvatakeet koske EU:n kansalaisia tai asukkaita, joiden tietoja voidaan siirtää edelleen ja jakaa NSA:n kanssa;

17.

kehottaa jäsenvaltioita tekemään vakoilun kieltäviä sopimuksia Yhdistyneen kuningaskunnan kanssa ja kehottaa komissiota hyödyntämään Yhdistyneen kuningaskunnan vastapuolten kanssa käymäänsä keskustelua välittääkseen viestin siitä, että ellei Yhdistynyt kuningaskunta muuta valvontaa koskevaa lainsäädäntöään ja käytäntöjään, ainoa toteuttamiskelpoinen vaihtoehto tietosuojan riittävyyttä koskevien päätösten edistämiseksi olisi vakoilun kieltävien sopimusten tekeminen jäsenvaltioiden kanssa;

Tietojen siirtäminen edelleen

18.

korostaa voimakkaasti, että vuonna 2018 annetussa laissa Euroopan unionista (eroamista koskeva laki) säädetään, että ennen siirtymäkauden päättymistä annetusta Euroopan unionin tuomioistuimen oikeuskäytännöstä tulee ”säilytettävää EU:n oikeutta” ja siten Yhdistynyttä kuningaskuntaa oikeudellisesti velvoittavaa; huomauttaa, että Yhdistynyttä kuningaskuntaa sitovat unionin tuomioistuimen Schrems I ja II -tuomioissa määritellyt periaatteet ja edellytykset sen arvioidessa muiden kolmansien maiden tietosuojan riittävyyttä; on huolissaan siitä, että Yhdistyneen kuningaskunnan tuomioistuimet eivät kuitenkaan enää sovella perusoikeuskirjaa; huomauttaa, että Yhdistynyt kuningaskunta ei enää kuulu Euroopan unionin tuomioistuimen oikeudenkäyttöalueeseen ja että se on korkein oikeusaste tulkittaessa perusoikeuskirjaa;

19.

kiinnittää huomiota siihen, että Yhdistyneen kuningaskunnan säännöt henkilötietojen jakamisesta vuonna 2017 digitaalisesta taloudesta annetun lain mukaisesti ja tutkimusdatan siirtämisestä edelleen eivät selvästikään ”vastaa olennaisilta osiltaan” yleisen tietosuoja-asetuksen sääntöjä sellaisina kuin unionin tuomioistuin on niitä tulkinnut;

20.

on huolissaan siitä, että Yhdistynyt kuningaskunta on antanut itselleen oikeuden todeta, että muut kolmannet maat tai alueet tarjoavat riittävän tietosuojan riippumatta siitä, onko EU katsonut kyseisen kolmannen maan tai alueen tarjoavan tällaisen suojan; muistuttaa, että Yhdistynyt kuningaskunta on jo ilmoittanut, että Gibraltar tarjoaa tällaisen suojan, vaikka EU ei ole sitä tehnyt; ilmaisee vakavan huolensa siitä, että se, että Yhdistynyt kuningaskunta arvioi tietosuojan riittäväksi, antaisi siten mahdollisuuden kiertää EU:n sääntöjä, jotka koskevat henkilötietojen siirtoa maihin tai alueille, joiden suojan taso ei EU:n oikeuden mukaan ole riittävä;

21.

toteaa, että Yhdistynyt kuningaskunta esitti 1. helmikuuta 2021 pyynnön liittyä kattavaan ja edistykselliseen Tyynenmeren kumppanuussopimukseen (CPTPP) voidakseen erityisesti hyötyä moderneista digitaalisen kaupankäynnin säännöistä, jotka sallivat tietojen vapaan liikkumisen jäsenten välillä ja poistavat tarpeettomat esteet yrityksiltä; on huolestunut siitä, että CPTPP:n yhdestätoista jäsenestä kahdeksalla ei ole EU:n päätöstä tietosuojan riittävyydestä; ilmaisee vakavan huolensa mahdollisesta EU:n kansalaisten ja asukkaiden henkilötietojen siirrosta edelleen näihin maihin, mikäli Yhdistyneen kuningaskunnan osalta tehdään päätös tietosuojan riittävästä tasosta (26);

22.

pitää valitettavana, että komissio ei arvioinut Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan ja Japanin välisen kokonaisvaltaisen talouskumppanuussopimuksen vaikutuksia ja mahdollisia riskejä, sillä sopimukseen sisältyy määräyksiä henkilötiedoista ja tietosuojan tasosta;

23.

on huolissaan siitä, että jos Yhdistynyt kuningaskunta sisällyttää tietojen siirtoa koskevia määräyksiä mahdollisiin tuleviin kauppasopimuksiin, kuten Yhdysvaltain ja Yhdistyneen kuningaskunnan välisiin kauppasopimuksiin, ne heikentävät yleisellä tietosuoja-asetuksella taattua suojan tasoa;

II. DIREKTIIVI LAINVALVONTATARKOITUKSESSA KÄSITELTYJEN HENKILÖTIETOJEN SUOJASTA

24.

korostaa, että Yhdistynyt kuningaskunta on ensimmäinen maa, jonka osalta komissio ehdottaa päätöksen tekemistä tietosuojan riittävyydestä direktiivin (EU) 2016/680 nojalla;

25.

panee merkille Yhdysvaltain Cloud Act -lain nojalla rajat ylittävän tiedon saatavuudesta tehdyn Yhdistyneen kuningaskunnan sopimuksen Yhdysvaltain kanssa (27) ja toteaa, että se helpottaa tietojen siirtoa lainvalvontatarkoituksessa; ilmaisee syvän huolensa siitä, että sopimuksella sallitaan Yhdysvaltain viranomaisille aiheeton pääsy EU:n kansalaisten ja asukkaiden henkilötietoihin; yhtyy Euroopan tietosuojaneuvoston huoleen siitä, täyttävätkö soveltuvin osin sovellettavat EU:n ja Yhdysvaltojen puitesopimuksen (28) mukaiset turvatakeet henkilötietojen saantia koskevien selkeiden, täsmällisten ja helposti saatavilla olevien sääntöjen kriteerit tai vahvistetaanko siinä riittävästi tällaisia turvatakeita, jotta ne olisivat tehokkaita ja toimintakelpoisia Yhdistyneen kuningaskunnan lainsäädännön mukaisesti;

26.

huomauttaa, että unionin tuomioistuimen asiassa C-623/17 antamaa tuomiota on tulkittava siten, että se on esteenä kansalliselle säännöstölle, jonka mukaan valtion viranomainen voi kansallisen turvallisuuden takaamiseksi velvoittaa sähköisten viestintäpalvelujen tarjoajat siirtämään liikenne- ja paikkatietoja yleisesti ja erotuksetta valtion turvallisuus- ja tiedustelupalveluille;

27.

huomauttaa, että ratkaisussaan unionin tuomioistuin katsoi Yhdistyneen kuningaskunnan tutkintavaltuuksista annetun vuoden 2000 lain nojalla harjoittaman valikoimattomien tietojen keräämisen olleen laitonta; muistuttaa, että mainittu laki on sittemmin korvattu tutkintavaltuuksista annetulla vuoden 2016 lailla, jolla vahvistetaan tarpeellisuus- ja suhteellisuusperiaatteiden toteutumista; korostaa, että tutkintavaltuuksista annetulla vuoden 2016 lailla asetetaan telekuuntelu tuomioistuinvalvonnan alaiseksi ja mahdollistetaan henkilöille pääsy heitä koskeviin tietoihin sekä kantelun tekeminen tutkintavaltuuksia koskevia asioita käsittelevälle tuomioistuimelle; pitää kuitenkin valitettavana, että tutkintavaltuuksista annettu vuoden 2016 laki mahdollistaa edelleenkin valikoimattomien tietojen säilyttämisen;

28.

ilmaisee huolensa viimeaikaisista tiedoista, joiden mukaan eräs massadatan keruu- ja säilyttämisohjelma olisi osa maan sisäministeriön tutkintavaltuuksista annettuun vuoden 2016 lakiin perustuvaa kokeilua;

29.

muistuttaa korostaneensa 12. helmikuuta 2020 antamassaan päätöslauselmassa, että ”Yhdistyneellä kuningaskunnalla ei voi olla suoraa pääsyä EU:n tietojärjestelmien tietoihin eikä se voi osallistua vapauden, turvallisuuden ja oikeuden aluetta käsittelevien EU:n virastojen hallintorakenteisiin, kun taas kaikkeen tietojen, myös henkilötietojen, jakamiseen Yhdistyneen kuningaskunnan kanssa olisi sovellettava tiukkoja suojatoimia, tarkastuksia ja valvontaa koskevia ehtoja, mukaan luettuna EU:n lainsäädännössä säädettyä tasoa vastaava henkilötietojen suojan taso”; panee merkille puutteet, joita Yhdistyneen kuningaskunnan tietosuojalainsäädännön täytäntöönpanossa havaittiin sen vielä ollessa EU:n jäsen; muistuttaa, että Yhdistynyt kuningaskunta säilytti ja ylläpiti kopiota Schengenin tietojärjestelmästä; odottaa, että Yhdistyneen kuningaskunnan lainvalvontaviranomaiset noudattavat täysimääräisesti sovellettavia sääntöjä vaihtaessaan henkilötietoja tulevaisuudessa; muistuttaa, että Yhdistyneellä kuningaskunnalla on pääsy joihinkin EU:n lainvalvontatietokantoihin vain ”osuma / ei osumaa” -tyyppisesti ja että se on oikeudellisesti suljettu pois Schengenin tietojärjestelmästä;

30.

ilmaisee huolensa tammikuussa 2021 tehdystä paljastuksesta, jonka mukaan 400 000 rikosrekisterimerkintää poistettiin vahingossa Yhdistyneen kuningaskunnan poliisin kansallisesta tietojärjestelmästä; korostaa, että tämä ei herätä luottamusta Yhdistyneen kuningaskunnan pyrkimyksiin suojella tietoja lainvalvontatarkoituksia varten;

31.

kiinnittää huomiota siihen, että tietosuojan riittävyyttä koskevassa päätösluonnoksessa arvioidaan perusteellisesti kunkin sellaisen Yhdistyneen kuningaskunnan viranomaisen oikeudet, jolla on kansallisen lainsäädännön nojalla valtuudet ottaa haltuunsa ja säilyttää henkilötietoja kansalliseen turvallisuuteen liittyvistä syistä; panee lisäksi tyytyväisenä merkille, että tiedusteluyhteisön johdossa olevia viranomaisia koskevat yksityiskohtaiset valvontaraportit antavat tietoa Yhdistyneen kuningaskunnan nykyisistä valvontakäytännöistä; kehottaa komissiota arvioimaan ja valvomaan edelleen sellaisia viestintätietoja, jotka kuuluvat Yhdistyneen kuningaskunnan tietojen säilyttämistä ja laillista keruuta koskevien valtuuksien piiriin;

32.

huomauttaa, että EU:n ja Yhdistyneen kuningaskunnan kauppa- ja yhteistyösopimus sisältää osastot DNA-, sormenjälki- ja ajoneuvorekisteritietojen vaihdosta, matkustajarekisteritietojen (PNR) siirrosta ja käsittelystä, operatiivisia tietoja koskevasta yhteistyöstä ja yhteistyöstä Europolin ja Eurojustin kanssa, ja toteaa, että näitä määräyksiä sovelletaan tietosuojan riittävyyttä koskevasta päätöksestä riippumatta; palauttaa kuitenkin mieliin kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunnan kauppa- ja yhteistyösopimuksesta helmikuussa 2021 antamassa lausunnossa ilmaiseman huolen siitä, etteivät Yhdistyneelle kuningaskunnalle sopimuksen Prüm- ja PNR-osastoissa sallitut henkilötietojen erityiset käyttötarkoitukset ja pidemmät säilyttämisajat vastaa henkilötietojen käyttötarkoituksia ja säilyttämisaikoja jäsenvaltioissa; muistuttaa oikeudesta nostaa kanne unionin tuomioistuimessa, jotta voidaan varmistaa suunnitellun kansainvälisen sopimuksen laillisuus ja erityisesti sen yhteensopivuus perusoikeuksien suojelun kanssa (29);

Päätelmät

33.

pyytää komissiota takaamaan EU:ssa sijaitseville yrityksille, että päätös tietosuojan riittävyydestä tarjoaa vakaan, riittävän ja tulevaisuuteen suuntautuvan oikeusperustan tiedonsiirroille; pitää tärkeänä varmistaa, että päätös tietosuojan riittävyydestä todetaan hyväksyttäväksi, jos se päätyy unionin tuomioistuimen arvioitavaksi, ja korostaa siksi, että kaikki tietosuojaneuvoston lausunnossa esitetyt suositukset olisi otettava huomioon;

34.

on tyytyväinen siihen, että päätöksiä tietosuojan riittävyydestä sovelletaan vain neljän vuoden ajan, koska Yhdistynyt kuningaskunta saattaa päättää muuttaa lainsäädäntöä, josta komissio on tehnyt riittävyysarvioinnin, nyt kun se ei enää ole EU:n jäsenvaltio; pyytää komissiota tällä välin edelleen valvomaan tietosuojan tasoa Yhdistyneessä kuningaskunnassa lain ja käytännön tasolla ja tekemään perusteellisen arvioinnin ennen tietosuojan riittävyyttä koskevan päätöksen uusimista vuonna 2025;

35.

katsoo, että komissio ylittää sille asetuksella (EU) 2016/679 ja direktiivillä (EU) 2016/680 siirretyn täytäntöönpanovallan antaessaan kaksi täytäntöönpanopäätöstä, jotka eivät ole unionin oikeuden mukaisia, jos se ei ratkaise kaikkia tässä päätöslauselmassa esitettyjä huolenaiheita; vastustaa siten molempia täytäntöönpanosäädöksiä, koska luonnokset täytäntöönpanopäätöksiksi eivät ole unionin oikeuden mukaisia;

36.

kehottaa komissiota muuttamaan molempia luonnoksia komission täytäntöönpanopäätöksiksi, jotta ne olisivat täysin unionin oikeuden ja oikeuskäytännön mukaisia;

37.

pyytää kansallisia tietosuojaviranomaisia keskeyttämään sellaisten henkilötietojen siirron, joihin Yhdistyneen kuningaskunnan tiedusteluviranomaisilla voi olla rajoittamaton pääsy, jos komissio tekee tietosuojan riittävyyttä koskevat päätöksensä Yhdistyneen kuningaskunnan osalta ennen kuin Yhdistynyt kuningaskunta on ratkaissut edellä mainitut kysymykset;

38.

kehottaa komissiota ja Yhdistyneen kuningaskunnan toimivaltaisia viranomaisia laatimaan toimintasuunnitelman, jotta voidaan mahdollisimman pian puuttua tietosuojaneuvoston lausunnoissa esiintuotuihin puutteisiin ja muihin Yhdistyneen kuningaskunnan tietosuojaa koskeviin ratkaisemattomiin kysymyksiin, ja toteaa, että se on edellytyksenä tietosuojan tason riittävyyttä koskevalle lopulliselle päätökselle;

39.

pyytää komissiota edelleen valvomaan tiiviisti tietosuojan tasoa sekä joukkovalvontaa koskevia lakeja ja käytäntöjä Yhdistyneessä kuningaskunnassa; huomauttaa, että yleisen tietosuoja-asetuksen V luku tarjoaa muita laillisia mahdollisuuksia siirtää henkilötietoja Yhdistyneeseen kuningaskuntaan; muistuttaa, että tietosuojaneuvoston suuntaviivojen mukaisesti yleisen tietosuoja-asetuksen 49 artiklan mukaisiin erityistilanteita koskeviin poikkeuksiin perustuvien siirtojen on oltava poikkeuksellisia;

40.

pitää valitettavana, että komissio on jättänyt huomiotta parlamentin kehotukset keskeyttää Privacy Shield -järjestely, kunnes Yhdysvaltojen viranomaiset noudattavat sen ehtoja, ja on sen sijaan aina pitänyt parempana seurata tilannetta ilman että tällä on ollut konkreettisia tuloksia kansalaisten tietosuojan ja yritysten oikeusvarmuuden kannalta; kehottaa komissiota ottamaan oppia aiemmista laiminlyönneistään, kun se ei ole ottanut huomioon parlamentin ja asiantuntijoiden kehotuksia, jotka koskevat aiempien tietosuojan tason riittävyyttä koskevien päätösten tekemistä ja seurantaa, eikä ole jättänyt yksittäisten kansalaisten valitusten johdosta suoritettavaa tietosuojalainsäädännön asianmukaista valvontaa Euroopan unionin tuomioistuimen käsiteltäväksi;

41.

pyytää komissiota valvomaan Yhdistyneen kuningaskunnan tietosuojalainsäädäntöä ja -käytäntöjä tiiviisti ja tiedottamaan välittömästi parlamentille ja kuulemaan sitä Yhdistyneen kuningaskunnan tietosuojajärjestelmän tulevista muutoksista sekä antamaan uudessa institutionaalisessa kehyksessä valvontaroolin parlamentille ja myös asiaan liittyville elimille, kuten lainvalvonnan ja rikosoikeudellisen yhteistyön erityiskomitealle;

o o

42.

kehottaa puhemiestä välittämään tämän päätöslauselman komissiolle, jäsenvaltioille ja Yhdistyneen kuningaskunnan hallitukselle.

(1) ECLI:EU:C:2020:559.

(2) ECLI:EU:C:2015:650.

(3) ECLI:EU:C:2020:790.

(4) EUVL C 378, 9.11.2017, s. 104.

(5) EUVL C 118, 8.4.2020, s. 133.

(6) EUVL C 345, 16.10.2020, s. 58.

(7) Hyväksytyt tekstit, P9_TA(2021)0256.

(8) Hyväksytyt tekstit, P9_TA(2020)0337.

(9) EUVL L 444, 31.12.2020, s. 14.

(10) Hyväksytyt tekstit, P9_TA(2021)0141.

(11) EUVL L 119, 4.5.2016, s. 1.

(12) EUVL L 119, 4.5.2016, s. 89.

(13) EYVL L 201, 31.7.2002, s. 37.

(14) A8-0324/2017.

(15) Luonnos Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaiseksi komission täytäntöönpanopäätökseksi Yhdistyneen kuningaskunnan tarjoaman henkilötietojen suojan riittävyydestä.

(16) Luonnos Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 mukaiseksi komission täytäntöönpanopäätökseksi Yhdistyneen kuningaskunnan tarjoaman henkilötietojen suojan riittävyydestä.

(17) Lomas, N., UK’s ICO faces legal action after closing adtech complaint with nothing to show for it, TechCrunch, San Francisco, 2020.

(18) Alahuoneen 13. kesäkuuta 2006 julkaisema perustuslakivaliokunnan seitsemäs mietintö. Sen 108 kohdassa todetaan, että valiokunta pitää erittäin hyödyllisenä, että tietosuojaviranomainen on vastuussa suoraan parlamentille ja parlamentin rahoittama, ja suosittelee tällaisen muutoksen harkitsemista, kun lainsäädännön muuttaminen on mahdollista.

(19) Alahuoneen 4. marraskuuta 2014 julkaisema hallintovaliokunnan mietintö ”Who’s accountable? Relationships between Government and arm’s-length bodies”. Sen 63 kohdassa todetaan, että tietosuojaviranomaisen ja vankilatarkastuslaitoksen olisi oltava riippumattomampia hallituksesta ja raportoitava parlamentille ja että tietosuojaviranomainen, julkisista nimityksistä vastaava virkamies ja julkishallinnon ammattietiikan neuvoa-antavan ryhmän puheenjohtaja olisi nimitettävä parlamentin virkamiehiksi, kuten Yhdistyneen kuningaskunnan parlamentin potilasasiamiehen ja tilintarkastajien (Comptroller and Auditor General) kohdalla jo tehdään.

(20) Open Rights Groupin 3. maaliskuuta 2021 julkaistu lehdistötiedote ”Documents reveal controversial Immigration Exemption used in 70 % of access requests to Home Office”.

(21) Hyväksytyt tekstit, P9_TA(2020)0033.

(22) Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunnan lausunto Euroopan unionin ja Euroopan atomienergiayhteisön sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen kauppa- ja yhteistyösopimuksen sekä turvallisuusluokiteltujen tietojen vaihtoon ja suojaamiseen sovellettavia turvallisuusmenettelyjä koskevan Euroopan unionin sekä Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan välisen sopimuksen tekemisestä unionin puolesta, LIBE_AL(2021)680848.

(23) Tuomio 16. heinäkuuta 2020, Data Protection Commissioner v. Facebook Ireland Ltd ja Maximillian Schrems, C-311/18, ECLI:EU:C:2020:559.

(24) Euroopan ihmisoikeustuomioistuimen tuomio 13. syyskuuta 2018, Big Brother Watch ym. v. Yhdistynyt kuningaskunta, hakemukset nro 58170/13, 62322/14, 24960/15.

(25) Unionin tuomioistuimen tuomio 8. huhtikuuta 2014, Digital Rights Ireland Ltd v. Minister for Communications, Marine and Natural Resources ym. ja Kärntner Landesregierung ym., C-293/12 ja C-594/12, ECLI:EU:C:2014:238.

(26) Yhdistyneen kuningaskunnan kansainvälisen kaupan ministeriön lehdistötiedote 30. tammikuuta 2021”UK applies to join huge Pacific free trade area CPTPP”.

(27) Ison-Britannian ja Pohjois-Irlannin yhdistyneen kuningaskunnan hallituksen ja Amerikan yhdysvaltain hallituksen välinen 3. lokakuuta 2019 tehty sopimus sähköisten tietojen saatavuudesta vakavan rikollisuuden torjunnassa.

(28) Amerikan yhdysvaltojen ja Euroopan unionin välinen sopimus rikosten torjuntaan, tutkintaan, havaitsemiseen ja syytteeseenpanoon liittyvien henkilötietojen suojasta (EUVL L 336, 10.12.2016, s. 3).

(29) Euroopan parlamentin päätöslauselma luonnoksesta komission päätökseksi, jossa todetaan Yhdysvaltain tulli- ja rajavalvontaviranomaisille luovutettuihin lentoliikenteen matkustajaluetteloihin (PNR – Passenger Name Record) sisältyvien henkilötietojen suojan riittävä taso (EUVL C 103 E, 29.4.2004, s. 665).