<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Yleinen tietosuoja-asetus</HT></HT></P></TI>7Direktiivi 95/46 kumottiin ja korvattiin luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46 kumoamisesta 27.4.2016 annetulla Euroopan parlamentin ja neuvoston asetuksella (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).8Yleisen tietosuoja-asetuksen johdanto-osan 6, 10, 101, 103, 104, 107–109, 114, 116 ja 141 perustelukappaleessa todetaan seuraavaa:(6)Teknologian nopea kehitys ja globalisaatio ovat tuoneet henkilötietojen suojeluun uusia haasteita. Henkilötietoja jaetaan ja kerätään nyt merkittävän paljon enemmän. Teknologian ansiosta sekä yksityiset yritykset että viranomaiset voivat käyttää toiminnassaan henkilötietoja ennennäkemättömän laajasti. Myös luonnolliset henkilöt saattavat yhä useammin henkilötietojaan julkisuuteen maailmanlaajuisesti. Teknologia on mullistanut sekä talouden että sosiaalisen elämän. Tulevaisuudessa se helpottanee edelleen henkilötietojen vapaata kulkua unionissa ja tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille ja varmistaa samalla henkilötietojen korkeatasoisen suojan.– –
(10)Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. Henkilötietojen käsittelyn lakisääteisen velvoitteen noudattamiseksi tai yleisen edun vuoksi toteutettavan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi jäsenvaltioiden olisi voitava pitää voimassa tai ottaa käyttöön kansallisia säännöksiä, joilla tämän asetuksen sääntöjen soveltamista voitaisiin täsmentää entisestään. Yhdessä direktiivin 95/46/EY täytäntöön panevan, tietosuojaa koskevan yleisen ja horisontaalisen lainsäädännön kanssa jäsenvaltioilla on useita alakohtaisia lakeja aloilla, joilla tarvitaan yksityiskohtaisempia säännöksiä. Lisäksi tässä asetuksessa annetaan jäsenvaltioille liikkumavaraa sääntöjen täsmentämisen suhteen, mukaan lukien henkilötietojen erityisryhmien, jäljempänä arkaluontoiset tiedot, käsittelyä koskevat säännöt. Näiltä osin tässä asetuksessa ei jätetä soveltamisalan ulkopuolelle jäsenvaltioiden lainsäädäntöä, jossa esitetään erityisiä käsittelytilanteita koskevat olosuhteet, mukaan lukien niiden edellytysten tarkempi määrittely, joiden täyttyessä henkilötietojen käsittely on laillista.– –
(101)Henkilötietojen rajatylittävät siirrot unionin ulkopuolisiin maihin, kansainvälisiin järjestöihin ja niistä unioniin ovat tarpeen kansainvälisen kaupan ja yhteistyön kehittämiseksi. Tällaisten siirtojen lisääntyminen on synnyttänyt uusia henkilötietojen suojaan liittyviä haasteita ja huolenaiheita. Henkilötietojen siirtäminen unionista kolmansissa maissa tai kansainvälisissä järjestöissä oleville rekisterinpitäjille, henkilötietojen käsittelijöille tai muille vastaanottajille ei saisi kuitenkaan vaarantaa luonnollisten henkilöiden henkilötietojen suojan tasoa, joka unionissa perustuu tähän asetukseen, ei myöskään silloin, kun kolmannesta maasta tai kansainväliseltä järjestöltä vastaanotettuja henkilötietoja siirretään edelleen samassa tai muussa kolmannessa maassa tai muussa kansainvälisessä järjestössä oleville rekisterinpitäjille tai henkilötietojen käsittelijöille. Siirtoja kolmansiin maihin ja kansainvälisille järjestöille voidaan joka tapauksessa toteuttaa ainoastaan tätä asetusta kaikilta osin noudattaen. Siirto voitaisiin toteuttaa ainoastaan, jos rekisterinpitäjä tai henkilötietojen käsittelijä noudattaa tämän asetuksen säännöksissä vahvistettuja edellytyksiä, jotka liittyvät henkilötietojen siirtoon kolmansiin maihin tai kansainvälisille järjestöille, ellei tämän asetuksen muista säännöksistä muuta johdu.– –
(103)Komissio voi tehdä koko unionia koskevan päätöksen siitä, että tietty kolmas maa tai tietty alue tai tietty sektori jossakin kolmannessa maassa tai tietty kansainvälinen järjestö tarjoaa riittävän tasoisen tietosuojan ja näin varmistaa oikeusvarmuuden ja yhdenmukaisuuden kaikkialla unionissa sen kolmannen maan tai kansainvälisen järjestön osalta, jonka katsotaan tarjoavan tämäntasoista suojaa. Tällöin henkilötietoja voidaan siirtää kyseiseen maahan ilman erillistä lupaa. Komissio voi myös päättää kumota tekemänsä päätöksen ilmoitettuaan asiasta ja toimitettuaan kattavat perustelut asianomaiselle kolmannelle maalle tai kansainväliselle järjestölle.(104)Unionin perusarvojen ja erityisesti ihmisoikeuksien suojan mukaisesti komission olisi kolmatta maata tai kolmannen maan aluetta tai tiettyä sektoria arvioidessaan otettava huomioon, miten tietyssä kolmannessa maassa noudatetaan oikeusvaltioperiaatetta, oikeussuojaa ja kansainvälisiä ihmisoikeussääntöjä ja ‑normeja sekä kyseisen maan yleistä ja alakohtaista lainsäädäntöä, kuten yleistä turvallisuutta, puolustusta, kansallista turvallisuutta sekä yleistä järjestystä ja rikosoikeutta koskevaa lainsäädäntöä. Hyväksyttäessä päätös kolmannen maan alueen tai tietyn sektorin tietosuojan riittävyydestä olisi otettava huomioon selkeät ja objektiiviset perusteet, kuten erityiset henkilötietojen käsittelytoimet ja kolmannessa maassa sovellettavien oikeusnormien soveltamisala ja voimassa oleva lainsäädäntö. Kolmannen maan olisi tarjottava takeet, joilla varmistetaan riittävä tietosuojan taso, joka vastaa olennaisilta osin Euroopan unionissa taattua suojan tasoa, erityisesti kun henkilötietoja käsitellään yhdellä tai useammalla erityisalalla. Kolmannen maan olisi erityisesti varmistettava tehokas ja riippumaton tietosuojavalvonta ja huolehdittava jäsenvaltioiden tietosuojaviranomaisten kanssa käytettävistä yhteistyömekanismeista, ja rekisteröidyille olisi taattava vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot.– –
(107)Komissio voi todeta, että jokin kolmas maa, kolmannen maan alue tai tietty sektori taikka kansainvälinen järjestö ei enää tarjoa riittävän tasoista tietosuojaa. Tällöin henkilötietojen siirtäminen kyseiseen kolmanteen maahan tai kyseiselle kansainväliselle järjestölle olisi kiellettävä, elleivät tässä asetuksessa säädetyt edellytykset, jotka liittyvät siirtoihin asianmukaisia suojatoimia soveltaen, myös siirtoihin yritystä koskevien sitovien sääntöjen perusteella, ja erityistilanteita koskeviin poikkeuksiin, täyty. Tällaisessa tapauksessa olisi säädettävä komission ja kyseisten kolmansien maiden tai kansainvälisten järjestöjen välisistä kuulemismenettelyistä. Komission olisi hyvissä ajoin ilmoitettava kolmannelle maalle tai kansainväliselle järjestölle perustelut ja aloitettava sen kanssa neuvottelut tilanteen korjaamiseksi.(108)Jos tietosuojan riittävyyttä koskevaa päätöstä ei ole tehty, rekisterinpitäjän tai henkilötietojen käsittelijän olisi toteutettava toimenpiteitä, joiden avulla rekisteröidylle voidaan tarjota asianmukaiset suojatoimet kolmannen maan puutteellisen tietosuojan kompensoimiseksi. Nämä asianmukaiset suojatoimet voivat tarkoittaa sitä, että sovelletaan yritystä koskevia sitovia sääntöjä, komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita tai valvontaviranomaisen hyväksymiä sopimuslausekkeita. Näillä suojatoimilla olisi varmistettava tietosuojavaatimusten noudattaminen ja unionin sisäiselle tietojenkäsittelylle ominainen rekisteröityjen oikeuksien kunnioittaminen, mukaan lukien rekisteröityjen täytäntöönpanokelpoisten oikeuksien ja tehokkaiden oikeussuojakeinojen, kuten tehokkaiden hallinnollisten ja oikeudellisten muutoksenhakukeinojen ja korvauksenvaatimisoikeuden, saatavuus unionissa tai kolmannessa maassa. Niiden olisi erityisesti liityttävä henkilötietojen käsittelyä koskevien yleisten periaatteiden noudattamiseen sekä sisäänrakennetun ja oletusarvoisen tietosuojan periaatteisiin. – –(109)Se, että rekisterinpitäjä tai henkilötietojen käsittelijä voi käyttää joko komission tai valvontaviranomaisen hyväksymiä tietosuojaa koskevia vakiolausekkeita, ei saisi estää rekisterinpitäjää tai henkilötietojen käsittelijää sisällyttämästä tietosuojaa koskevia vakiolausekkeita laajempiin sopimuksiin, kuten henkilötietojen käsittelijän toisen henkilötietojen käsittelijän kanssa tekemään sopimukseen, eikä lisäämästä muita lausekkeita tai toteuttamasta muita suojatoimia, kunhan ne eivät ole suoraan tai epäsuorasti ristiriidassa komission tai valvontaviranomaisen hyväksymien vakiosopimuslausekkeiden kanssa eivätkä vaikuta rekisteröidyn perusoikeuksiin tai ‑vapauksiin. Rekisterinpitäjiä ja henkilötietojen käsittelijöitä olisi kannustettava tarjoamaan lisäsuojaa sopimusperusteisilla velvoitteilla, joilla täydennetään vakiosuojalausekkeita.– –
(114)Jos komissio ei ole tehnyt päätöstä kolmannen maan tietosuojan riittävyydestä, rekisterinpitäjän tai henkilötietojen käsittelijän olisi turvauduttava ratkaisuihin, joilla rekisteröidyille annetaan täytäntöönpanokelpoiset ja tehokkaat oikeudet, jotka koskevat heidän tietojensa käsittelyä unionissa näiden tietojen siirtämisen jälkeen, jotta he voisivat edelleen nauttia perusoikeuksista ja suojatoimista.– –
(116)Henkilötietojen siirtäminen valtioiden rajojen yli unionin ulkopuolelle voi vaikeuttaa luonnollisten henkilöiden mahdollisuuksia käyttää oikeuttaan tietosuojaan ja erityisesti suojata henkilötietojaan laittomalta käytöltä tai luovuttamiselta. Toisaalta valvontaviranomaiset eivät välttämättä pysty käsittelemään valituksia tai toteuttamaan tutkimuksia, jotka liittyvät toimintaan valtion rajojen ulkopuolella. Lisäksi rajatylittävissä tapauksissa tehtävää yhteistyötä voivat vaikeuttaa myös riittämättömät toimivaltuudet ennalta ehkäiseviin tai korjaaviin toimiin, oikeudellisen toimintaympäristön epäyhtenäisyys ja käytännön esteet, kuten resurssipula. – –– –
(141)Jokaisella rekisteröidyllä olisi oltava oikeus tehdä valitus yhdelle valvontaviranomaiselle, erityisesti asuinjäsenvaltiossaan, sekä oikeus soveltaa tehokkaita oikeussuojakeinoja perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos valvontaviranomainen ei käsittele valitusta, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. – –
9Kyseisen asetuksen 2 artiklan 1 ja 2 kohdassa säädetään seuraavaa:1.Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.2.Tätä asetusta ei sovelleta henkilötietojen käsittelyyn,
- a)jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan;
- b)jota suorittavat jäsenvaltiot toteuttaessaan SEU V osaston 2 luvun soveltamisalaan kuuluvaa toimintaa;
- c)jonka luonnollinen henkilö suorittaa yksinomaan henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa;
- d)jota toimivaltaiset viranomaiset suorittavat rikosten ennalta estämistä, tutkintaa, paljastamista tai rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.
10Mainitun asetuksen 4 artiklassa säädetään seuraavaa:Tässä asetuksessa tarkoitetaan:
– –
- 2)käsittelyllä toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista,
– –
- 7)rekisterinpitäjällä luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,
- 8)henkilötietojen käsittelijällä luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun,
- 9)vastaanottajalla luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja, oli kyseessä kolmas osapuoli tai ei. Viranomaisia, jotka mahdollisesti saavat henkilötietoja tietyn tutkimuksen puitteissa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti, ei kuitenkaan pidetä vastaanottajina; näiden viranomaisten on käsiteltävä kyseisiä tietoja sovellettavia tietosuojasääntöjä noudattaen käsittelyn tarkoitusten mukaisesti,
– –
11Saman asetuksen 23 artiklassa säädetään seuraavaa:1.Rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa 12–22 artiklassa ja 34 artiklassa sekä 5 artiklassa, siltä osin kuin sen säännökset vastaavat 12–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, säädettyjen velvollisuuksien ja oikeuksien soveltamisalaa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata
- a)kansallinen turvallisuus;
- b)puolustus;
- c)yleinen turvallisuus;
- d)rikosten ennalta estäminen, tutkinta, paljastaminen tai rikoksiin liittyvät syytetoimet taikka rikosoikeudellisten seuraamusten täytäntöönpano, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu tai tällaisten uhkien ehkäisy;
– –
2.Edellä 1 kohdassa tarkoitettujen lainsäädäntötoimenpiteiden on sisällettävä tarpeen mukaan erityisiä säännöksiä, jotka koskevat ainakin
- a)käsittelytarkoitusta tai käsittelyn ryhmiä;
- b)henkilötietoryhmiä;
- c)käyttöön otettujen rajoitusten soveltamisalaa;
- d)suojatoimia, joilla estetään väärinkäyttö tai lainvastainen pääsy tietoihin tai niiden siirtäminen;
- e)rekisterinpitäjän tai rekisterinpitäjien ryhmien määrittämistä;
- f)tietojen säilytysaikoja ja sovellettavia suojatoimia ottaen huomioon käsittelyn tai käsittelyryhmien luonne, laajuus ja tarkoitukset;
- g)rekisteröidyn oikeuksiin ja vapauksiin kohdistuvia riskejä; ja
- f)rekisteröityjen oikeutta saada tietoa rajoituksesta, paitsi jos tämä voisi vaarantaa rajoituksen tarkoituksen.
12Yleisen tietosuoja-asetuksen V luku, jonka otsikko on Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille, sisältää asetuksen 44–50 artiklan. Tämän asetuksen 44 artiklassa, jonka otsikko on Siirtoja koskeva yleinen periaate, säädetään seuraavaa:Sellaisten henkilötietojen siirto, joita käsitellään tai joita on tarkoitus käsitellä kolmanteen maahan tai kansainväliselle järjestölle siirtämisen jälkeen, toteutetaan vain, jos rekisterinpitäjä ja henkilötietojen käsittelijä noudattavat tässä luvussa vahvistettuja edellytyksiä ja ellei tämän asetuksen muista säännöksistä muuta johdu; tämä koskee myös henkilötietojen siirtämistä edelleen kyseisestä kolmannesta maasta tai kansainvälisestä järjestöstä toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle. Kaikkia tämän luvun säännöksiä on sovellettava, jotta varmistetaan, että tällä asetuksella taattua luonnollisten henkilöiden henkilötietojen suojan tasoa ei vaaranneta.
13Asetuksen 45 artiklan, jonka otsikko on Siirto tietosuojan riittävyyttä koskevan päätöksen perusteella, 1–3 kohdassa säädetään seuraavaa:1.Henkilötietojen siirto johonkin kolmanteen maahan tai kansainväliselle järjestölle voidaan toteuttaa, jos komissio on päättänyt, että kyseinen kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kyseinen kansainvälinen järjestö varmistaa riittävän tietosuojan tason. Tällaiselle siirrolle ei tarvita erityistä lupaa.2.Arvioidessaan tietosuojan riittävyyttä komissio ottaa huomioon etenkin seuraavat seikat:
- a)oikeusvaltioperiaate, ihmisoikeuksien ja perusvapauksien kunnioitus, sekä yleinen että alakohtainen asiaankuuluva lainsäädäntö, joka koskee muun muassa yleistä turvallisuutta, puolustusta, kansallista turvallisuutta ja rikosoikeutta sekä viranomaisten pääsyä henkilötietoihin, sekä tällaisen lainsäädännön täytäntöönpano, tietosuojaa koskevat säännöt, ammatilliset säännöt ja turvatoimet, mukaan lukien asianomaisessa kolmannessa maassa tai kansainvälisessä järjestössä noudatettavat säännöt henkilötietojen siirtämisestä edelleen muuhun kolmanteen maahan tai muulle kansainväliselle järjestölle, oikeuskäytäntö sekä rekisteröidyille kuuluvat vaikuttavat ja täytäntöönpanokelpoiset oikeudet ja tehokkaat hallinnolliset ja oikeudelliset muutoksenhakukeinot niitä rekisteröityjä varten, joiden henkilötietoja siirretään;
- b)se, onko kyseisessä kolmannessa maassa tai siinä kolmannessa maassa, jonka alaisuuteen kansainvälinen järjestö kuuluu, vähintään yksi tehokkaasti toimiva riippumaton valvontaviranomainen, joka vastaa tietosuojasääntöjen noudattamisen varmistamisesta ja täytäntöönpanosta, kuten riittävistä valvontavaltuuksista, oikeuksien käyttämistä koskevan avun ja neuvojen tarjoamisesta rekisteröidyille sekä yhteistyön tekemisestä jäsenvaltioiden valvontaviranomaisten kanssa;
- c)asianosaisen kolmannen maan tai kansainvälisen järjestön tekemät kansainväliset sitoumukset tai muut oikeudellisesti sitovista yleissopimuksista tai säädöksistä taikka monenvälisiin tai alueellisiin järjestelmiin osallistumisesta johtuvat velvoitteet, jotka koskevat erityisesti henkilötietojen suojaamista.
3.Komissio voi suojan riittävyyttä arvioituaan päättää, että kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori tai kansainvälinen järjestö tarjoaa tämän artiklan 2 kohdassa tarkoitetun riittävän tietosuojan tason. Täytäntöönpanosäädöksessä on säädettävä vähintään joka neljäs vuosi tehtävästä määräaikaistarkastelusta, jossa on otettava huomioon kaikki asiaan liittyvä kehitys kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä. Täytäntöönpanosäädöksessä määritellään sen maantieteellinen soveltamisala ja alakohtainen soveltaminen ja tarvittaessa nimetään tämän artiklan 2 kohdan b alakohdassa tarkoitettu valvontaviranomainen tai valvontaviranomaiset. Täytäntöönpanosäädös hyväksytään 93 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen.
14Mainitun asetuksen 46 artikla, jonka otsikko on Siirto asianmukaisia suojatoimia soveltaen, on muotoiltu seuraavasti:1.Jollei 45 artiklan 3 kohdan mukaista päätöstä ole tehty, rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle vain, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.2.Edellä 1 kohdassa tarkoitettuja asianmukaisia suojatoimia voivat olla seuraavat, ilman että edellytetään erityistä valvontaviranomaisen antamaa lupaa:
- a)viranomaisten tai julkisten elinten välinen oikeudellisesti sitova ja täytäntöönpanokelpoinen väline;
- b)47 artiklan mukaiset yritystä koskevat sitovat säännöt;
- c)komission 93 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen antamat tietosuojaa koskevat vakiolausekkeet;
- d)tietosuojaa koskevat vakiolausekkeet, jotka tietosuojaviranomainen vahvistaa ja jotka komissio hyväksyy 93 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen;
- e)40 artiklassa tarkoitetut hyväksytyt käytännesäännöt yhdessä kolmannen maan rekisterinpitäjän tai henkilötietojen käsittelijän sitovien ja täytäntöönpanokelpoisten sitoumusten kanssa asianmukaisten suojatoimien soveltamiseksi, myös rekisteröityjen oikeuksiin;
- f)42 artiklassa tarkoitettu hyväksytty sertifiointimekanismi yhdessä kolmannen maan rekisterinpitäjän tai henkilötietojen käsittelijän sitovien ja täytäntöönpanokelpoisten sitoumusten kanssa asianmukaisten suojatoimien soveltamiseksi, myös rekisteröityjen oikeuksiin.
3.Toimivaltaisen valvontaviranomaisen luvalla 1 kohdassa tarkoitettuja asianmukaisia suojatoimia voivat olla myös erityisesti seuraavat:
- a)rekisterinpitäjän tai henkilötietojen käsittelijän ja kolmannen maan tai kansainvälisen järjestön rekisterinpitäjän, henkilötietojen käsittelijän tai vastaanottajan väliset sopimuslausekkeet; tai
- b)säännökset, jotka sisällytetään viranomaisten tai julkisten elinten välisiin hallinnollisiin järjestelyihin ja joihin sisältyy rekisteröityjen täytäntöönpanokelpoisia ja tehokkaita oikeuksia.
15Saman asetuksen 49 artiklassa, jonka otsikko on Erityistilanteita koskevat poikkeukset, säädetään seuraavaa:1.Jos ei ole tehty 45 artiklan 3 kohdan mukaista tietosuojan tason riittävyyttä koskevaa päätöstä tai ei ole toteutettu 46 artiklassa tarkoitettuja asianmukaisia suojatoimia yritystä koskevat sitovat säännöt mukaan lukien, henkilötietojen siirrot tai siirtojen sarjat kolmanteen maahan tai kansainväliselle järjestölle voidaan suorittaa jollakin seuraavista edellytyksistä:
- a)rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi;
- b)siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä;
- c)siirto on tarpeen rekisterinpitäjän ja toisen luonnollisen henkilön tai oikeushenkilön välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi;
- d)siirto on tarpeen tärkeää yleistä etua koskevien syiden vuoksi;
- e)siirto on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi;
- f)siirto on tarpeen rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan;
- g)siirto tehdään rekisteristä, jonka tarkoituksena on unionin oikeuden tai jäsenvaltion lainsäädännön mukaan tietojen antaminen yleisölle ja joka on yleisesti yleisön tai kenen tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, mutta ainoastaan siltä osin kuin rekisterin käytön edellytykset, joista säädetään unionin oikeudessa tai jäsenvaltion lainsäädännössä, täyttyvät kussakin yksittäisessä tapauksessa.
Jos siirto ei voi perustua 45 tai 46 artiklassa oleviin sääntöihin, kuten yritystä koskeviin sitoviin sääntöihin, eikä mikään tämän kohdan ensimmäisen alakohdan mukaisista erityistilanteita koskevista poikkeuksista sovellu, henkilötietoja voidaan siirtää kolmanteen maahan tai kansainväliselle järjestölle ainoastaan, jos siirto ei ole toistuva, koskee ainoastaan rajallista määrää rekisteröityjä ja on tarpeen rekisterinpitäjän sellaisten pakottavien ja oikeutettujen etujen toteuttamiseksi, joita rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä, sekä jos rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja toteuttanut tämän arvioinnin perusteella henkilötietojen suojaa koskevat asianmukaiset suojatoimet. Rekisterinpitäjän on ilmoitettava siirrosta valvontaviranomaiselle. Edellä 13 ja 14 artiklassa mainittujen tietojen lisäksi rekisterinpitäjän on annettava rekisteröidylle tiedot siirrosta sekä pakottavista ja oikeutetuista eduista.
2.Edellä olevan 1 kohdan ensimmäisen alakohdan g alakohdan mukainen siirto ei saa käsittää rekisteriin sisältyviä henkilötietoja kokonaisuudessaan eikä kokonaisia henkilötietoryhmiä. Jos rekisteri on tarkoitettu sellaisten henkilöiden käyttöön, joilla on siihen oikeutettu etu, siirto tehdään ainoastaan näiden henkilöiden pyynnöstä tai jos he ovat henkilötietojen vastaanottajia.3.Edellä olevan 1 kohdan ensimmäisen alakohdan a, b ja c alakohtaa ja toista alakohtaa ei sovelleta toimiin, joita viranomaiset suorittavat osana julkisen vallan käyttöä.4.Edellä 1 kohdan ensimmäisen alakohdan d alakohdassa tarkoitettu yleinen etu on tunnustettava unionin oikeudessa tai sen jäsenvaltion lainsäädännössä, jota rekisterinpitäjään sovelletaan.5.Ellei tietosuojan riittävyyttä koskevaa päätöstä ole annettu, unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan tärkeää yleistä etua koskevista syistä nimenomaisesti rajoittaa tiettyjen henkilötietoryhmien siirtoa kolmanteen maahan tai kansainväliselle järjestölle. Jäsenvaltioiden on ilmoitettava tällaisista säännöksistä komissiolle.6.Rekisterinpitäjän tai henkilötietojen käsittelijän on dokumentoitava arviointi ja tämän artiklan 1 kohdan toisessa alakohdassa tarkoitetut asianmukaiset suojatoimet 30 artiklassa tarkoitettuun selosteeseen.
16Yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan sanamuoto on seuraava:Kunkin jäsenvaltion on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi unionissa, jäljempänä valvontaviranomainen.
17Tämän asetuksen 55 artiklan 1 kohdassa säädetään, että jokaisella valvontaviranomaisella on sille tämän asetuksen mukaisesti annettujen tehtävien hoitoa ja valtuuksien käyttöä koskeva toimivalta oman jäsenvaltionsa alueella.18Mainitun asetuksen 57 artiklan 1 kohdassa säädetään seuraavaa:Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan
- a)valvottava tämän asetuksen soveltamista ja pantava se täytäntöön;
– –
- f)käsiteltävä rekisteröidyn – – tekemiä valituksia ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa;
– –”
19Asetuksen 58 artiklan 2 ja 4 momentissa säädetään seuraavaa:2.Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:
– –
- f)asettaa väliaikainen tai pysyvä rajoitus käsittelylle, mukaan lukien käsittelykielto;
– –
- j)määrätä tiedonsiirtojen keskeyttämisestä kolmannessa maassa olevalle vastaanottajalle tai kansainväliselle järjestölle.
– –4.Valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä perusoikeuskirjan mukaisesti.
20Yleisen tietosuoja-asetuksen 64 artiklan 2 kohdassa säädetään seuraavaa:Jokainen valvontaviranomainen, tietosuojaneuvoston puheenjohtaja tai komissio voi pyytää minkä tahansa yleisluonteisen tai useammassa kuin yhdessä jäsenvaltiossa vaikutuksia tuottavan asian käsittelyä tietosuojaneuvostossa lausunnon saamiseksi, etenkin jos toimivaltainen valvontaviranomainen ei noudata keskinäistä avunantoa koskevia velvollisuuksia 61 artiklan mukaisesti tai yhteisiä operaatioita koskevia velvollisuuksia 62 artiklan mukaisesti.
21Kyseisen asetuksen 65 artiklan 1 kohdassa säädetään seuraavaa:Varmistaakseen, että tätä asetusta sovelletaan yksittäistapauksissa asianmukaisesti ja yhtenäisesti, tietosuojaneuvosto antaa seuraavissa tapauksissa sitovan päätöksen:
– –
- c)jos toimivaltainen valvontaviranomainen ei pyydä tietosuojaneuvostolta lausuntoa 64 artiklan 1 kohdassa tarkoitetuissa tapauksissa tai ei noudata tietosuojaneuvoston 64 artiklan nojalla antamaa lausuntoa. Tällöin asianomaiset valvontaviranomaiset tai komissio voivat ilmoittaa asiasta tietosuojaneuvostolle.
22Kyseisen asetuksen 77 artiklassa, jonka otsikko on Oikeus tehdä valitus valvontaviranomaiselle, säädetään seuraavaa:1.Jokaisella rekisteröidyllä on oikeus tehdä valitus valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.2.Valvontaviranomaisen, jolle valitus on jätetty, on ilmoitettava valituksen tekijälle valituksen etenemisestä ja ratkaisusta, mukaan lukien 78 artiklan mukaisten oikeussuojakeinojen mahdollisuudesta.
23Asetuksen 78 artiklan, jonka otsikko on Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan, 1 ja 2 kohdassa säädetään seuraavaa:1.Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.2.Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt valitusta tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn valituksen etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.
24Yleisen tietosuoja-asetuksen 94 artiklassa säädetään seuraavaa:1.Kumotaan direktiivi [95/46] 25 päivästä toukokuuta 2018.2.Viittauksia kumottuun direktiiviin pidetään viittauksina tähän asetukseen. Viittauksia direktiivin [95/46] 29 artiklalla perustettuun tietosuojatyöryhmään pidetään viittauksina tällä asetuksella perustettuun Euroopan tietosuojaneuvostoon.
25Kyseisen asetuksen 99 artiklassa todetaan seuraavaa:1.Tämä asetus tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.2.Sitä sovelletaan 25 päivästä toukokuuta 2018.
<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Päätös 2010/87</HT></HT></P></TI>26Päätöksen 2010/87 johdanto-osan 11 perustelukappaleessa todetaan seuraavaa:Tässä sopimusmenettelyssä jäsenvaltioiden valvontaviranomaisilla on keskeinen tehtävä sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Poikkeustapauksissa, joissa tietojen viejä kieltäytyy antamasta tietojen tuojalle ohjeita tai ei kykene antamaan niitä asianmukaisesti, ja on olemassa välitön vaara vakavasta haitasta rekisteröidyille, mallisopimuslausekkeiden olisi mahdollistettava se, että valvontaviranomaiset voivat tarkastaa tietojen tuojien ja alihankkijoina toimivien käsittelijöiden toimintaa ja tarvittaessa tehdä tietojen tuojia ja alihankkijana toimivia käsittelijöitä velvoittavia päätöksiä. Valvontaviranomaisilla olisi oltava oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja tietyin edellytyksin niissä poikkeustapauksissa, joissa sopimusperusteisella siirrolla todennäköisesti on merkittävä haitallinen vaikutus takeisiin ja velvoitteisiin, joilla rekisteröidylle annetaan riittävä tietosuoja.
27Kyseisen päätöksen 1 artiklassa säädetään seuraavaa:Liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi direktiivin [95/46] 26 artiklan 2 kohdassa edellytetyllä tavalla.
28Mainitun päätöksen 2 artiklan toisessa kohdassa säädetään, että tätä päätöstä sovelletaan Euroopan unioniin sijoittautuneiden rekisterinpitäjien suorittamaan henkilötietojen siirtoon vastaanottajille, jotka ovat sijoittautuneet Euroopan unionin alueen ulkopuolelle ja jotka toimivat ainoastaan käsittelijöinä.29Saman päätöksen 3 artiklassa säädetään seuraavaa:Tässä päätöksessä käytetään seuraavia määritelmiä:
– –
- c)tietojen viejällä tarkoitetaan rekisterinpitäjää, joka siirtää henkilötietoja;
- d)tietojen tuojalla tarkoitetaan kolmanteen maahan sijoittautunutta henkilötietojen käsittelijää, joka hyväksyy vastaanottavansa tietojen viejältä henkilötietoja, jotka on siirron jälkeen tarkoitus käsitellä tietojen viejän puolesta tämän antamien ohjeiden mukaisesti ja tämän päätöksen mukaisia edellytyksiä noudattaen, ja jota ei koske direktiivin [95/46] 25 artiklan 1 kohdassa tarkoitettu riittävän tietosuojan takaava kolmannen maan järjestelmä;
– –
- f)sovellettavalla tietosuojalainsäädännöllä tarkoitetaan lainsäädäntöä, jolla suojataan yksilöiden perusoikeudet ja ‑vapaudet ja erityisesti näiden yksilöiden oikeus yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltioissa, johon tietojen viejä on sijoittautunut;
– –
30Päätöksen 2010/87 4 artiklan alkuperäisessä, ennen täytäntöönpanopäätöstä 2016/2297 voimassa olleessa versiossa säädettiin seuraavaa:1.Jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansiin maihin suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksilöitä näiden henkilötietojen käsittelyssä, sanotun kuitenkaan rajoittamatta kyseisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä direktiivin [95/46] II, III, V ja VI luvun nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi, jos
- a)todetaan, että tietojen tuojaan tai alihankkijana toimivaan käsittelijään sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa sovellettavasta tietosuojalainsäädännöstä, joiden rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin [95/46] 13 artiklan mukaan, kun kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus mallisopimuslausekkeilla annettaviin takeisiin;
- b)toimivaltainen viranomainen on todennut, ettei tietojen tuoja tai alihankkijana toimiva käsittelijä ole noudattanut liitteessä olevia mallisopimuslausekkeita; tai
- c)on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan, ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.
2.Edellä olevan 1 kohdan mukainen kielto tai lykkäys poistetaan heti kun lykkäyksen tai kiellon syyt ovat poistuneet.3.Toteuttaessaan 1 ja 2 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.
31Sen jälkeen, kun unionin tuomioistuin antoi 6.10.2015 tuomion Schrems (C‑362/14; EU:C:2015:650), annetun täytäntöönpanopäätöksen 2016/2297 johdanto-osan viidennessä perustelukappaleessa todetaan seuraavaa:Vastaavasti direktiivin [95/46] 26 artiklan 4 kohdan mukainen komission päätös sitoo kaikkia niiden jäsenvaltioiden elimiä, joille se on osoitettu, mukaan lukien riippumattomat valvontaviranomaiset, siltä osin kuin päätöksessä vahvistetaan, että siirroissa, joissa hyödynnetään päätöksessä määriteltyjä mallisopimuslausekkeita, tarjotaan riittävät takeet siten kuin kyseisen direktiivin 26 artiklan 2 kohdassa edellytetään. Tämä ei estä kansallista valvontaviranomaista käyttämästä valtuuksiaan tietovirtojen valvonnassa, ja kyseinen viranomainen voi esimerkiksi keskeyttää tai kieltää henkilötietojen siirron, jos se katsoo, että tietojen siirrossa on rikottu EU:n tai kansallisen tietosuojalainsäädännön säännöksiä. Tällaisesta rikkomuksesta voi olla kyse esimerkiksi silloin, kun tietojen tuoja ei noudata mallisopimuslausekkeita.
32Päätöksen 2010/87 tällä hetkellä voimassa olevan version, joka perustuu täytäntöönpanopäätökseen 2016/2297, 4 artiklassa säädetään seuraavaa:Kun jäsenvaltioiden toimivaltaiset viranomaiset käyttävät direktiivin [95/46] 28 artiklan 3 kohdan mukaisia toimivaltuuksiaan ja tästä seuraa se, että tiedonsiirrot kolmansiin maihin keskeytetään väliaikaisesti tai kielletään kokonaan yksilöiden suojelemiseksi heidän henkilötietojensa käsittelyssä, asianomaisen jäsenvaltion on viipymättä ilmoitettava asiasta komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.
33Päätöksen 2010/87 liite, jonka otsikko on Mallisopimuslausekkeet (henkilötietojen käsittelijät), sisältää 12 mallilauseketta. Liitteessä olevassa lausekkeessa 3, jonka otsikko puolestaan on Kolmatta osapuolta suojaava edunsaajalauseke, todetaan seuraavaa:1. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 4 kohdan b–i, lausekkeen 5 kohdan a–e sekä kohdan g–j, lausekkeen 6 kohdan 1 ja 2, lausekkeen 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen viejää vastaan edunsaajana olevan kolmannen osapuolen ominaisuudessa.
2. Rekisteröity voi panna täytäntöön tämän lausekkeen, lausekkeen 5 kohdan a–e ja g, lausekkeen 6 ja 7, lausekkeen 8 kohdan 2 ja lausekkeen 9–12 tietojen tuojaa vastaan tapauksissa, joissa tietojen viejä on tosiasiallisesti lakkautettu tai lakannut oikeudellisesti olemasta, ellei mahdollinen seuraaja ole ottanut hoitaakseen tietojen viejän kaikkia oikeudellisia velvoitteita sopimuksella tai lain perusteella, minkä tuloksena se ottaa vastaan tietojen viejän oikeudet ja velvoitteet, jolloin rekisteröity voi panna lausekkeet täytäntöön tällaista seuraajaa vastaan.
– –
34Tässä liitteessä olevassa lausekkeessa 4, jonka otsikko on Tietojen viejän velvollisuudet, todetaan seuraavaa:Tietojen viejä hyväksyy ja takaa, että
- a)henkilötietojen käsittely, mukaan luettuna itse siirto, on suoritettu ja suoritetaan edelleen sovellettavan tietosuojalainsäädännön asiaankuuluvien säännösten mukaisesti (ja siitä on tarvittaessa ilmoitettu sen jäsenvaltion toimivaltaisille viranomaisille, johon tietojen viejä on sijoittautunut), ja ettei siirrolla rikota kyseisen valtion asiaankuuluvia säännöksiä,
- b)tietojen viejä on antanut ohjeet ja antaa koko henkilötietojen käsittelypalvelun kestoajan ohjeita tietojen tuojalle siitä, että tämä käsittelee siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta ja sovellettavan tietosuojalainsäädännön ja lausekkeiden mukaisesti,
– –
- f)jos siirto koskee erityisiä tietoryhmiä, rekisteröidyille on ilmoitettu tai ilmoitetaan ennen siirtoa tai mahdollisimman pian sen jälkeen, että niiden tietoja voidaan siirtää kolmanteen maahan, jossa ei taata direktiivissä [95/46] tarkoitettua tietosuojan riittävää tasoa,
- g)tietojen viejä toimittaa tietojen tuojalta tai alihankkijana toimivalta käsittelijältä lausekkeen 5 kohdan b ja lausekkeen 8 kohdan 3 mukaisesti saadun tiedon tietosuojaviranomaisille, kun se päättää jatkaa siirtoa tai lopettaa lykkäyksen,
– –
35Mainitussa liitteessä olevassa lausekkeessa 5, jonka otsikko on Tietojen tuojan velvollisuudet – –, todetaan seuraavaa:Tietojen tuoja hyväksyy ja takaa, että
- a)tietojen tuoja käsittelee henkilötietoja ainoastaan tietojen viejän puolesta tämän antamien ohjeiden ja lausekkeiden mukaisesti, ja jos se ei voi noudattaa näitä ohjeita ja sääntöjä mistä tahansa syystä, se ilmoittaa tästä viipymättä tietojen viejälle, jolloin tietojen viejällä on oikeus lykätä tietojen siirtoa ja/tai irtisanoa sopimus,
- b)tietojen tuojalla ei ole mitään syytä olettaa, että siihen sovellettava lainsäädäntö estäisi tietojen viejältä saatujen ohjeiden noudattamisen ja tietojen tuojalle sopimuksen mukaan kuuluvien velvoitteiden täyttämisen, ja jos kyseistä lainsäädäntöä muutetaan ja muutoksella on todennäköisesti merkittävä haitallinen vaikutus lausekkeilla annettaviin takeisiin ja lausekkeiden mukaisiin velvoitteisiin, tietojen tuoja antaa muutoksen tiedoksi tietojen viejälle viipymättä saatuaan itse tiedon siitä, jolloin tietojen viejällä on oikeus lykätä tietojen siirtoa ja/tai irtisanoa sopimus,
– –
- d)tietojen tuoja ilmoittaa viipymättä tietojen viejälle seuraavista seikoista:
- i)säännösten täytäntöönpanosta vastaavan viranomaisen oikeudellisesti sitovasta pyynnöstä luovuttaa henkilötietoja, ellei sitä muutoin kielletä esimerkiksi rikoslainsäädännön mukaisella kiellolla lainvalvontaan liittyvien tutkimusten luottamuksellisuuden säilyttämiseksi,
- ii)kaikista tahattomista tai luvattomista pääsyistä tietoihin, ja
- iii)rekisteröidyiltä suoraan saaduista tiedusteluista niihin vastaamatta, ellei siihen muutoin anneta lupaa,
– –
36Alaviitteessä, johon kyseisen lausekkeen 5 otsikossa viitataan, todetaan seuraavaa:Tietojen tuojaan sovellettavat kansallisen lainsäädännön sisältämät pakolliset vaatimukset, jotka eivät mene pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan 1 kohdassa lueteltujen etujen perusteella, toisin sanoen vaatimukset, jotka ovat välttämättömiä, jotta varmistettaisiin valtion turvallisuus, puolustus, yleinen turvallisuus, rikosten tai, säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjunta, tutkinta, selvittäminen ja syyteharkinta, valtion tärkeä taloudellinen tai rahoituksellinen etu tai rekisteröidyn suojelu tai muiden oikeudet ja vapaudet, ja jotka eivät ole ristiriidassa mallisopimuslausekkeiden kanssa. – –
37Päätöksen 2010/87 liitteessä olevassa lausekkeessa 6, jonka otsikko on Vastuu, todetaan seuraavaa:1. Sopimuspuolet sopivat, että rekisteröidyllä, jolle on koitunut vahinkoa jonkin sopimuspuolen tai alihankkijana toimivan käsittelijän rikottua lausekkeessa 3 tai lausekkeessa 11 tarkoitettuja velvoitteita, on oikeus saada tietojen viejältä korvaus aiheutuneista vahingoista.
2. Jos rekisteröity ei voi nostaa kohdan 1 mukaista vahingonkorvauskannetta tietojen viejää vastaan, kun tietojen tuoja tai sen alihankkijana toimiva käsittelijä ei ole täyttänyt lausekkeessa 3 tai 11 tarkoitettuja velvoitteitaan, sen vuoksi, että tietojen viejä on tosiasiallisesti lakkautettu, lakannut oikeudellisesti olemasta tai todettu maksukyvyttömäksi, tietojen tuoja hyväksyy, että rekisteröity voi nostaa kanteen tietojen tuojaa vastaan samaan tapaan kuin tietojen viejää vastaan – –.
– –
38Tässä liitteessä olevan lausekkeen 8, jonka otsikko on Yhteistyö valvontaviranomaisten kanssa, kohdassa 2 todetaan seuraavaa:Sopimuspuolet sopivat, että valvontaviranomaisella on oikeus tehdä tietojen tuojaan ja kaikkiin alihankkijoina toimiviin käsittelijöihin kohdistuvia tarkastuksia samassa laajuudessa ja samoin edellytyksin kuin se voisi tehdä tietojen viejään kohdistuvia tarkastuksia sovellettavan tietosuojalainsäädännön nojalla.
39Tässä liitteessä olevassa lausekkeessa 9, jonka otsikko on Sovellettava laki, todetaan, että lausekkeisiin sovelletaan sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut.40Tässä samassa liitteessä olevassa lausekkeessa 11, jonka otsikko on Alihankintana suoritettava käsittely, todetaan seuraavaa:1. Tietojen tuoja ei anna alihankintana suoritettavaksi mitään tietojen viejän puolesta lausekkeiden mukaisesti hoidettavia käsittelytoimintoja ilman tietojen viejän ennakkoon antamaa kirjallista suostumusta. Jos tietojen tuoja antaa näiden lausekkeiden mukaisia velvoitteitaan suoritettaviksi alihankintana tietojen viejän suostumuksella, sen on tehtävä alihankkijana toimivan käsittelijän kanssa kirjallinen sopimus, jossa tälle määrätään samat velvoitteet kuin lausekkeiden nojalla määrätään tietojen tuojalle. – –
2. Ennakkoon tehdyssä tietojen tuojan ja alihankkijana toimivan käsittelijän välisessä kirjallisessa sopimuksessa on myös oltava lausekkeessa 3 määrätty kolmatta osapuolta suojaava edunsaajalauseke niitä tapauksia varten, joissa rekisteröity ei voi nostaa lausekkeen 6 kohdassa 1 tarkoitettua vahingonkorvauskannetta tietojen viejää tai tietojen tuojaa vastaan, koska ne on tosiasiallisesti lakkautettu, ovat lakanneet oikeudellisesti olemasta tai ne on todettu maksukyvyttömiksi, eikä mikään seuraaja ole ottanut hoitaakseen tietojen viejän tai tietojen tuojan kaikkia oikeudellisia velvoitteita sopimuksen tai lain perusteella. Tällainen alihankkijana toimivan käsittelijän yksityisoikeudellinen vastuu koskee ainoastaan sen lausekkeiden mukaista omaa käsittelytoimintaa.
41Päätöksen 2010/87 liitteessä olevan lausekkeen 12, jonka otsikko on Tietojen käsittelypalvelujen päättymisen jälkeiset velvoitteet, kohdassa 1 todetaan seuraavaa:Sopimuspuolet sopivat, että tietojen käsittelypalvelujen päättymisen jälkeen tietojen tuojan ja alihankkijana toimivan käsittelijän on tietojen viejän valinnan mukaan palautettava kaikki siirretyt henkilötiedot ja jäljennökset näistä tiedoista tietojen viejälle tai hävitettävä kaikki henkilötiedot ja annettava tietojen viejälle todistus tästä, jollei tietojen tuojaan sovellettavalla lainsäädännöllä estetä tietojen tuojaa palauttamasta tai hävittämästä siirrettyjä henkilötietoja kokonaan tai osittain. – –
<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Privacy Shield ‑päätös</HT></HT></P></TI>42Unionin tuomioistuin totesi 6.10.2015 antamassaan tuomiossa Schrems (C‑362/14, EU:C:2015:650) pätemättömäksi direktiivin 95/46 mukaisesti yksityisyyden suojaa koskevien safe harbor ‑periaatteiden antaman suojan riittävyydestä ja niihin liittyvistä Yhdysvaltojen kauppaministeriön julkaisemista tavallisimmista kysymyksistä 26.7.2000 tehdyn komission päätöksen 2000/520/EY (EYVL 2000, L 215, s. 7), jossa komissio oli todennut, että kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso.43Mainitun tuomion antamisen jälkeen komissio antoi Privacy Shield ‑päätöksen sen jälkeen, kun se oli sen antamista varten arvioinut Yhdysvaltojen säännöstöä, kuten mainitun päätöksen johdanto-osan 65 perustelukappaleessa täsmennetään:Komissio on arvioinut Yhdysvaltojen lainsäädännön mukaiset rajoitukset ja suojatoimet siltä osin kuin on kyse yhdysvaltalaisten viranomaisten pääsystä [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa siirrettyihin henkilötietoihin ja niiden käytöstä kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Lisäksi Yhdysvaltojen hallitus on toimittanut komissiolle kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence, ODNI) – – kautta yksityiskohtaisia lausumia ja sitoumuksia, jotka sisältyvät tämän päätöksen liitteeseen VI. Yhdysvaltojen hallitus on myös ulkoministerin allekirjoittamalla ja tämän päätöksen liitteessä III olevalla kirjeellä sitoutunut luomaan uuden valvontamekanismin, joka liittyy tietoihin pääsyyn kansallisen turvallisuuden vuoksi, eli tiedusteluyhteisöstä riippumattoman, tietosuojasta vastaavan oikeusasiamiehen viran. Lisäksi tämän päätöksen liitteeseen VII sisältyvässä Yhdysvaltojen oikeusministeriön lausumassa kuvataan rajoituksia ja suojatoimia, joita sovelletaan viranomaisten pääsyyn tietoihin ja niiden käyttöön lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Avoimuuden lisäämiseksi ja näiden sitoumusten oikeudellisen luonteen huomioon ottamiseksi jokainen lueteltu ja tämän päätöksen liitteenä oleva asiakirja julkaistaan Yhdysvaltojen Federal Register ‑lehdessä.
44Komission näitä rajoituksia ja näitä suojatoimia koskevasta tarkastelusta esitetään yhteenveto Privacy Shield ‑päätöksen johdanto-osan 67–135 perustelukappaleessa, kun taas komission päätelmät riittävästä tietosuojan tasosta Euroopan unionin ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn yhteydessä sisältyvät sen 136–141 perustelukappaleeseen.45Erityisesti tämän päätöksen johdanto-osan 68, 69, 76, 77, 109, 112–116, 120, 136 ja 140 perustelukappaleessa todetaan seuraavaa:(68)Yhdysvaltojen perustuslain mukaan kansallisen turvallisuuden varmistaminen kuuluu presidentin toimivaltaan armeijan ylipäällikkönä ja ylimpänä toimeenpanevana viranomaisena, ja ulkomaantiedustelun osalta presidentti johtaa Yhdysvaltojen ulkoasioita. – – Vaikka kongressilla on valtuudet asettaa rajoituksia, minkä se onkin tehnyt monessa suhteessa, presidentti voi näissä rajoissa johtaa Yhdysvaltojen tiedusteluyhteisön toimintaa erityisesti toimeenpanoasetusten (Executive Orders) tai presidentin määräysten (Presidential Directives) avulla. – – Tällä hetkellä kaksi keskeistä oikeudellista välinettä tässä yhteydessä ovat toimeenpanoasetus 12333 (toimeenpanoasetus (E.O.) 12333) – – ja presidentin määräys Presidential Policy Directive 28.(69)Presidentin määräyksessä PPD-28 (Presidential Policy Directive 28), joka annettiin 17 päivänä tammikuuta 2014, asetetaan useita rajoituksia signaalitiedustelutoiminnalle. – – Kyseinen määräys sitoo Yhdysvaltojen tiedusteluviranomaisia ja pysyy voimassa Yhdysvaltojen hallinnossa tapahtuvista muutoksista huolimatta – –. PPD-28 on erityisen tärkeä ei-yhdysvaltalaisille henkilöille, myös EU:n rekisteröidyille. – –– –
(76)Vaikka näitä [PPD-28:n] periaatteita ei olekaan ilmaistu kyseisin oikeudellisin termein, niissä otetaan huomioon tarpeellisuutta ja suhteellisuutta koskevien periaatteiden keskeinen sisältö. – –(77)Nämä vaatimukset sitovat koko tiedusteluyhteisöä, koska ne sisältyvät presidentin ylimpänä toimeenpanevana viranomaisena antamaan määräykseen, ja ne on pantu täytäntöön sellaisten viraston sääntöjen ja menettelyjen avulla, joilla yleiset periaatteet muunnetaan päivittäisiä toimintoja koskeviksi erityisohjeiksi. – –– –
(109)Sen sijaan [United States Foreign Intelligence Surveillance Court (FISC) (Yhdysvaltojen ulkomaantiedustelun valvonnasta vastaava tuomioistuin)] ei [ulkomaantiedustelun valvonnasta annetun lain (Foreign Intelligence Surveillance Act (FISA)] 702 §:n nojalla anna lupaa yksittäisille valvontatoimenpiteille. Sen sijaan se hyväksyy valvontaohjelmia (kuten PRISM, UPSTREAM) oikeusministerin [United States Attorney General] ja kansallisen tiedusteluviraston johtajan [Director of National Intelligence (DNI)] valmistelemien vuotuisten sertifiointihakemusten perusteella. – – Kuten edellä todettiin, FISC‑tuomioistuimen antamiin sertifiointipäätöksiin ei sisälly tietoa kohteena olevista yksittäisistä ihmisistä, vaan niiden avulla yksilöidään ulkomaantiedustelutietojen luokat. – – Vaikka FISC‑tuomioistuin ei arvioi todennäköisen syyn perusteella tai muulla tavalla, onko henkilöt kohdennettu asianmukaisesti ulkomaantiedustelutietojen hankkimiseksi – –, se valvoo, että hankinnan huomattavana tarkoituksena on hankkia ulkomaantiedustelutietoja – –– –
(112)Ensinnäkin ulkomaantiedustelun valvontaa koskevassa laissa säädetään useista korjaavista toimenpiteistä, jotka ovat myös ei-yhdysvaltalaisten henkilöiden käytettävissä, laittoman sähköisen valvonnan riitauttamiseksi. – – Tähän sisältyy henkilöiden mahdollisuus nostaa Yhdysvaltoja vastaan siviilikanne rahamääräisen vahingonkorvauksen saamiseksi, kun heitä koskevia tietoja on laittomasti ja tahallisesti käytetty tai luovutettu – –; nostaa Yhdysvaltojen hallituksen virkamiehiä vastaan kanne niiden henkilökohtaisessa ominaisuudessa (lain varjolla) rahamääräisen vahingonkorvauksen saamiseksi – –; ja riitauttaa valvonnan laillisuus (ja vaatia tietojen hävittämistä) siinä tapauksessa, että Yhdysvaltojen hallitus aikoo käyttää tai luovuttaa mitä tahansa sähköisessä valvonnassa hankittuja tai siitä johdettuja tietoja kyseistä henkilöä vastaan oikeudellisessa tai hallinnollisessa menettelyssä Yhdysvalloissa. – –(113)Toiseksi Yhdysvaltojen hallitus esitti komissiolle useita muita keinoja, joita EU:n rekisteröidyt voisivat käyttää ryhtyäkseen oikeudellisiin toimenpiteisiin hallituksen virkamiehiä vastaan, kun hallituksen virkamiehet ovat lainvastaisesti päässeet henkilötietoihin tai käyttäneet niitä, myös väitettyihin kansalliseen turvallisuuteen liittyviin tarkoituksiin – –(114)Lopuksi on todettava, että Yhdysvaltojen hallitus on viitannut [tiedonvapaudesta annettuun lakiin (FOIA)], jota ei-yhdysvaltalaiset henkilöt voivat käyttää keinona saada käyttöönsä liittovaltion virastoissa olevia asiakirjoja, myös silloin, kun niihin sisältyy kyseisen henkilön henkilötietoja. – – FOIAn painopisteen vuoksi yksittäiset henkilöt eivät voi sen nojalla ryhtyä toimenpiteisiin henkilötietoihin pääsyä vastaan, vaikka henkilöt voisivatkin periaatteessa saada sen perusteella käyttöönsä tietoja, jotka ovat kansallisten tiedusteluvirastojen hallussa. – –(115)Vaikka henkilöiden, myös EU:n rekisteröityjen, käytettävissä on tämän vuoksi useita oikeussuojakeinoja, kun he ovat olleet laittoman (sähköisen) valvonnan kohteena kansallisen turvallisuuden nimissä, on kuitenkin selvää, että tämä ei koske eräitä Yhdysvaltojen tiedusteluviranomaisten käytössä olevia oikeusperustoja (esim. toimeenpanoasetus (E.O.) 12333). Lisäksi on todettava, että vaikka periaatteessa ei-yhdysvaltalaisten henkilöiden käytettävissä on oikeussuojakeinoja, esimerkiksi kun on kyse FISAn mukaisesta valvonnasta, käytössä olevat kanneperusteet ovat vähäiset – – ja henkilöiden (myös yhdysvaltalaisten) nostamat kanteet jätetään tutkimatta, jos ne eivät pysty osoittamaan kanneoikeuttaan – –. Tämä rajoittaa pääsyä yleisiin tuomioistuimiin – –.(116)Tarjotakseen kaikille EU:n rekisteröidyille ylimääräisen oikeussuojakeinon, Yhdysvaltojen hallitus on päättänyt perustaa uuden oikeusasiamiesmekanismin, kuten tämän päätöksen liitteessä III olevassa Yhdysvaltojen ulkoministerin kirjeessä komissiolle esitetään. Tämän järjestelmän perustana on PPD-28:n perusteella nimettävä johtava koordinaattori (valtiosihteeri), joka toimii ulkoministeriössä yhteyspisteenä ja jonka kautta ulkomaiset hallitukset voivat esittää Yhdysvaltojen signaalitiedustelua koskevia kysymyksiä, mutta oikeusasiamiehen tehtävä menee tätä alkuperäistä suunnitelmaa huomattavasti pidemmälle.– –
(120)– – Yhdysvaltojen hallitus sitoutuu varmistamaan, että oikeusasiamies voi tehtävissään tukeutua muiden Yhdysvaltojen lainsäädännön mukaisten valvonnasta ja sääntöjen noudattamisesta vastaavien mekanismien kanssa tehtävään yhteistyöhön. – – Jos jokin näistä valvontaelimistä toteaa, että periaatteita ei ole noudatettu, kyseisen tiedusteluyhteisön toimijan (esim. tiedusteluviraston) on korjattava tilanne, sillä vain siten oikeusasiamies voi antaa Yhdysvaltojen hallituksen sitoumuksen mukaisen positiivisen vastauksen henkilölle (toisin sanoen sen, että mahdollinen noudattamatta jättäminen on korjattu). – –– –
(136)Komissio katsoo edellä esitetyn perusteella, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville oman varmennuksen antaneille organisaatioille.– –
(140)Lisäksi komissio katsoo Yhdysvaltojen oikeusjärjestystä koskevien käytettävissä olevien tietojen, mukaan lukien Yhdysvaltojen hallituksen antamat lausumat ja sitoumukset, perusteella, että Yhdysvaltojen viranomaisten mahdollinen puuttuminen niiden henkilöiden perusoikeuksiin, joiden tietoja siirretään Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvaltoihin, kansallisen turvallisuuden, lainvalvonnan tai muun yleisen edun nimissä ja tästä seuraavat rajoitukset, joita asetetaan oman varmennuksen antaneille organisaatioille yksityiseen suojaa koskevien periaatteiden noudattamisen osalta, rajoitetaan siihen, mikä on ehdottomasti tarpeen oikeutetun tavoitteen saavuttamiseksi, ja että tällaista perusoikeuksiin puuttumista vastaan on olemassa tehokkaita oikeussuojakeinoja.
46Privacy Shield ‑päätöksen 1 artiklassa säädetään seuraavaa:1.Komissio katsoo direktiivin [95/46] 25 artiklan 2 kohdan soveltamiseksi, että Yhdysvallat takaa riittävän suojan henkilötiedoille, jotka siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa unionista Yhdysvalloissa oleville organisaatioille.2.[Euroopan unionin] ja Yhdysvaltojen välinen Privacy Shield ‑järjestely muodostuu Yhdysvaltojen kauppaministeriön 7 päivänä heinäkuuta 2016 antamista järjestelyn periaatteista, jotka on esitetty liitteessä II, ja virallisista lausumista ja sitoumuksista, jotka sisältyvät liitteissä I ja III–VII lueteltuihin asiakirjoihin.3.Edellä olevan 1 kohdan soveltamiseksi henkilötietoja siirretään [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn puitteissa silloin, kun ne siirretään unionista sellaisille Yhdysvalloissa oleville organisaatioille, jotka on sisällytetty Yhdysvaltojen kauppaministeriön liitteessä II esitettyjen järjestelyn periaatteiden I ja III jakson mukaisesti ylläpitämään ja julkisesti saataville asettamaan Privacy Shield ‑luetteloon.
47Privacy Shield ‑päätöksen liitteessä II, jonka otsikko on Yhdysvaltojen kauppaministeriön hyväksymät [Euroopan unionin] ja Yhdysvaltojen Privacy Shield ‑järjestelyn periaatteet, olevassa I.5 kohdassa todetaan, että järjestelyn periaatteiden noudattamista voidaan rajoittaa muun muassa kansallisen turvallisuuden, julkisen edun tai lainvalvonnan vaatimusten vuoksi.48Tämän päätöksen liitteessä III on silloisen Secretary of Staten (ulkoministeri, Yhdysvallat) John Kerryn 7.7.2016 päivätty, oikeus-, kuluttaja- ja tasa-arvoasioista vastaavalle komission jäsenelle osoitettu kirje, johon on liitteenä A liitetty muistio, jonka otsikko on [Euroopan unionin] ja Yhdysvaltojen välisen Privacy Shield ‑järjestelyn signaalitiedustelua koskeva oikeusasiamiesmekanismi ja johon sisältyy seuraava kappale:[Euroopan unionin] ja Yhdysvaltojen Privacy Shield ‑järjestely on tärkeä, ja sitä silmällä pitäen tässä muistiossa selostetaan menettelyt, joiden mukaisesti pannaan täytäntöön presidentin määräyksen 28 (PPD-28) mukainen signaalitiedustelua koskeva mekanismi.
– – Presidentti Obama ilmoitti antavansa uuden presidentin määräyksen, PPD‑28:n, määrätäkseen tarkasti, mitä me teemme ja mitä me emme tee, kun kyse on meidän ulkomaille suuntautuvasta tarkkailutoiminnastamme.
PPD-28:n 4 § d kohdassa määrätään ulkoministeri nimeämään tietotekniikkaan liittyvän kansainvälisen diplomatian johtava koordinaattori. Tämä toimii yhteyspisteenä, jonka kautta ulkomaiset hallitukset voivat esittää Yhdysvalloille sen signaalitiedustelutoimintaa koskevia kysymyksiä.
– –
- 1)– – Johtava koordinaattori toimii Privacy Shield ‑järjestelyn oikeusasiamiehenä ja – – toimii läheisessä yhteistyössä muiden ministeriöiden ja virastojen asianomaisten virkamiesten kanssa, jotka ovat vastuussa kysymysten käsittelystä Yhdysvaltojen sovellettavien lakien ja toimintaperiaatteiden mukaisesti. Oikeusasiamies on riippumaton tiedusteluyhteisöstä. Oikeusasiamies raportoi suoraan ulkoministerille. Tämä varmistaa, että oikeusasiamies suorittaa tehtävänsä puolueettomasti ja ettei mikään vaikuta epäasianmukaisesti oikeusasiamiehen antamiin vastauksiin.
– –
49Privacy Shield ‑päätöksen liitteeseen VI sisältyy kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence) Yhdysvaltojen kauppaministerille ja kauppaministeriön kansainvälisen kaupan osastolle osoittama, 21.6.2016 päivätty kirje, jossa täsmennetään, että PPD-28 mahdollistaa valikoimattoman keruun, joka koskee verrattain suuren tietomäärän hankkimista signaalitiedustelun avulla olosuhteissa, joissa tiedusteluyhteisöllä ei ole käytössään tiettyyn kohteeseen liittyvää tunnistetta – – eikä keruuta voi tästä syystä kohdentaa tuohon nimenomaiseen kohteeseen.