Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta. kattavasta lähestymistavasta henkilötietojen suojaan Euroopan unionissa

Transkriptio

1 EUROOPAN PARLAMENTTI Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta TYÖASIAKIRJA 2 kattavasta lähestymistavasta henkilötietojen suojaan Euroopan unionissa Kansalaisvapauksien sekä oikeus- ja sisäasioiden valiokunta Esittelijä: Axel Voss DT\ doc PE v01-00 Moninaisuudessaan yhtenäinen

2 2.2. Tietosuojaa koskevan kehyksen tarkistaminen poliisiyhteistyön ja oikeudellisen yhteistyön osalta välttämättömyys Rikosasioissa tehtävän poliisiyhteistyön ja oikeudellisen yhteistyön yleisistä puitteista tehtyä puitepäätöstä 2008/977/YOS on arvosteltu useista puutteista. 1 Tämän lisäksi erityisiä sääntöjä on annettu alakohtaisesti (SIS, TTJ, Europol ja Eurojust). On katsottu, että tilanne johtaa lukuisiin erilaisiin järjestelyihin, joiden oikeusvarmuus ei ole taattu. Rikosasioissa tehtävässä oikeudellisessa yhteistyössä ja poliisiyhteistyössä käytetään myös entistä useammin yksityisten tietokantojen tietoja. Myös muun muassa Tukholman ohjelmassa 2, Tukholman ohjelman toteuttamista koskevassa toimintasuunnitelmassa 3 sekä keskeisissä Euroopan parlamentin päätöslauselmissa 4 on tuettu vahvasti ja korostettu tarvetta kattavaan suojajärjestelmään ja sen varmistamiseen, että "EU:ssa omaksutaan tiukempi asenne henkilötietojen suojaamiseen kaikilla politiikanaloilla, lainvalvonta ja rikoksentorjunta mukaan luettuina". Kuten useat sidosryhmät, muun muassa Euroopan tietosuojavaltuutettu 5 ja tietosuojaryhmä 6, ovat korostaneet, lainvalvontasektorin ja yksityisen sektorin tehtävien väliset rajat ovat hämärtymässä, eivätkä erot poliisin ja oikeusviranomaisten ja muiden lainvalvonnasta vastaavien, vuonna 1995 annetun tietosuojadirektiivin soveltamisalaan kuuluvien viranomaisten välillä ole perustavanlaatuinen. Esittelijä katsoo komission näkemysten mukaisesti, että tietosuojan yhdenmukaisuuden ja korkean tason varmistamiseksi tietosuojasäännösten soveltamisalaa on laajennettava rikosasioissa tehtävän poliisi- ja oikeudellisen yhteistyön alalle, jäsenvaltioiden sisäinen tietojenkäsittely mukaan lukien, ja on otettava käyttöön eräiden tietosuojaoikeuksien käyttöä koskevia yhdenmukaisia rajoituksia. Tässä yhteydessä on korostettava, että kattavissa puitteissa voidaan tarvittaessa myös toimia joustavasti ja soveltaa täydentäviä 1 Liian väljä poikkeus tarkoituksen rajoittamisperiaatteesta sekä puitepäätöksen soveltaminen ainoastaan rajat ylittävään henkilötietojen vaihtoon EU:n alueella, KOM(2010)0609, kohta 2.3; Tietosuojaryhmä Poliisi- ja oikeudellista yhteistyötä käsittelevä työryhmä (WP 29): "Future of Privacy: Joint Contribution to the Consultation of the EC on the legal framework for the fundamental right to protection of personal data" ["Yksityisyyden tulevaisuus: Yhteinen osallistuminen Euroopan komission kuulemiseen henkilötietojen suojan perusoikeuden oikeudellisista puitteista"], 02356/09/EN WP; Euroopan tietosuojavaltuutetun lausunto komission tiedonannosta Euroopan parlamentille ja neuvostolle Vapauden, turvallisuuden ja oikeuden alue kansalaisia varten, EUVL C 267, , s. 8 [19], [29] [30]. Katso myös P. de Hert ja V. Papakonstantinou: "The data protection framework decision of 27 November 2008 regarding police and judicial cooperation in criminal matters A modest achievement however not the improvement some have hoped for" ["Henkilötietojen suojaamisesta rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä 27 päivänä marraskuuta 2008 tehty puitepäätös pientä kehitystä, mutta ei odotettua parannusta"] (2009), Computer Law & Security Review; P. de Hert ja R. Bellanova: "Data Protection in the Area of Freedom, Security and Justice" ["Tietosuoja vapauden, turvallisuuden ja oikeuden alueella"] (2008), kansalaisoikeuksista sekä perussopimus-, työjärjestys- ja toimielinasioista vastaavan toimialayksikön C muistio. 2 EUVL C 115, , s.1. Kohta 2.5, kolmas kappale. 3 KOM(2010)0171. Kohta 2. 4 Esimerkiksi: Euroopan parlamentin lainsäädäntöpäätöslauselma, annettu 23. syyskuuta 2008, ehdotuksesta neuvoston puitepäätökseksi rikosasioissa tehtävässä poliisi- ja oikeudellisessa yhteistyössä käsiteltävien henkilötietojen suojaamisesta (16069/2007 C6-0010/ /0202(CNS)) A6-0322/2008; Euroopan parlamentin päätöslauselma, annettu 25. marraskuuta 2009, komission tiedonannosta Euroopan parlamentille ja neuvostolle "Vapauden, turvallisuuden ja oikeuden alue kansalaisia varten" Tukholman ohjelma B7-155/2009 [90]. 5 Euroopan tietosuojavaltuutetun lausunto kattavaa lähestymistapaa henkilötietojen suojaan Euroopan unionissa koskevasta tiedonannosta, 14. tammikuuta 2011 [35]. 6 WP 29 n1. [12]. PE v /6 DT\ doc

3 erityissääntöjä poliisiyhteistyön ja oikeudellisen yhteistyön kaltaisilla aloilla, myös täydentävän säädöksen avulla, mutta vain siinä tapauksessa, että ne vastaavat käsitettä kattavista puitteista ja ovat perusperiaatteiden mukaisia Yksilön oikeuksien lujittaminen ja sisämarkkinaulottuvuuden lujittaminen kaikkien sidosryhmien etujen huomioiminen Edellä kuvattujen olosuhteiden ja tosiasioiden perusteella esittelijä katsoo vankasti, että kaikissa lainsäädännöllisissä toimenpiteissä on keskityttävä yksilön oikeuksien ja tietojen käsittelyn lujittamiseen. Ihmisarvo, vapaus, tietoja koskeva itsemääräämisoikeus ja henkilökohtainen vastuu ovat esimerkkejä olennaisista näkökohdista, joihin lainsäädäntömme pitäisi perustua ja jotka ovat lähtökohtana suostumuksen, tilivelvollisuuden, tarkoituksen rajoittamisen, tietojen mahdollisimman vähäisen keräämisen ja avoimuuden periaatteille. Suostumuksen osalta on selvennettävä kyseistä käsitettä, koska jäsenvaltioiden käytännöt vapaan ja tietoon perustuvan päätöksen tulkinnasta ovat erilaisia ja koska verkkoympäristö luo omat haasteensa. Esittelijä tukee täysin tällaista selventämistä. Ottaen huomioon Euroopan tietosuojavaltuutetun huomautukset on järkevää harkita niiden tilanteiden lisäämistä, joissa vaaditaan nimenomaista suostumusta, sekä täydentävien sääntöjen antamista verkkoympäristössä annettavasta suostumuksesta tai tietojen käsittelystä toissijaisiin tarkoituksiin. 8 Akuuttina kysymyksenä on myös henkilöiden mahdollisuus valvoa omia tietojaan, sillä verkkoympäristön vaikutus ja yhdenmukaistamisen puute tekevät siitä vaikeaa. Kun otetaan huomioon erityisesti tietoyhteiskunnan entistä suurempi vaikutus, unohdetuksi tulemista koskevan oikeuden tulkinnan on oltava perusteellinen ja tasapainoinen tilanteissa, joissa rikkomuksiin syyllistyvät yksityishenkilöt. Vaikka esittelijä katsoo, että tietojen siirrettävyys on ennemminkin palvelusuuntautunutta, unohdetuksi tulemista koskevan oikeuden 9 kodifiointi EU:n tasolla antaisi mahdollisuuden tehostaa valvontaa tietoja ei enää käsiteltäisi ja ne tuhottaisiin, kun niitä ei enää tarvita laissa määritettyyn tarkoitukseen. Myös tämän tekninen toteutettavuus on todistettava. Avoimuuden osalta komissio tunnustaa, että on annettava vaikuttavampia säännöksiä avoimuudesta, ja esittää useita ratkaisuja. On myönteistä, että avointa käsittelyä koskeva täsmällinen yleinen periaate voidaan sisällyttää oikeudelliseen kehykseen, koska sillä parannetaan oikeusvarmuutta. 10 Henkilötietosuojan loukkausta koskevan yleisen ilmoitusvelvollisuuden käyttöönottamisella lisätään avoimuutta ja tilivelvollisuutta 11, mutta erityistä huomiota on kuitenkin kiinnitettävä 7 n.1 WP 29 [18], [19]. Katso myös Euroopan tietosuojavaltuutetun yksityiskohtaisemmat huomautukset siitä, mitä uusissa puitteissa pitäisi säätää yleissopimuksen N:o 108 ja suosituksen N:o R (87) n.5 [133] mukaisesti. 8 n 5[82]. 9 n 5[88]. Tämä periaate on jo vahvistettu kansallisissa oikeusasioissa tai sitä on sovellettu erityisaloilla. 10 On tärkeää, että myös voimassa olevia säännöksiä (voimassa olevan tietosuojadirektiivin 10 ja 11 artikla) vahvistetaan. n4 [74]. 11 n4 [76]. Myös Euroopan parlamentti on pyytänyt tällaista soveltamisalan laajentamista sähköisen viestinnän DT\ doc 3/6 PE v01-00

4 yrityksille aiheutuviin kustannuksiin. Esittelijä on tyytyväinen tilivelvollisuutta koskevan periaatteen käyttöönottoon 12. Kuten neuvoston päätelmissä todetaan, tilivelvollisuutta koskevaa periaatetta noudattavien yritysten on myös pyrittävä vähentämään rekisterinpitäjien hallinnollista taakkaa (esimerkiksi yksinkertaistamalla ilmoitusjärjestelmää). 13 Kaksi seuraavaa täydentävää tekijää edistäisivät huomattavasti oikeutta henkilötietojen suojeluun verkkoympäristössä: "oletustietosuoja" (henkilötietojen käsittelyn asetukset) sekä "sisäänrakennettu yksityisyyden suoja" (tietosuojan ja yksityisyyden suojan sisällyttäminen jo sellaisten uusien tuotteiden, palvelujen ja menettelyjen luomiseen, joissa käsitellään henkilötietoja) 14. Tämä on entistä tärkeämpää, kun otetaan huomioon, että tietosuojavaltuutettujen 32. kansainvälisen konferenssin päätöslauselmassa sisäänrakennettu yksityisyyden suoja on katsottu olennaiseksi osaksi yksityisyyden perustavanlaatuista suojelemista 15. Tilivelvollisuuden periaatteen täytäntöönpanevien toimenpiteiden toteuttaminen ei välttämättä vaikuta kumoavasti siihen, että käyttäjä on vastuussa omista tekemisistään. Tässä yhteydessä jo aiemmin mainittu tiedotuskampanjoiden toteuttaminen on äärimmäisen tärkeää. Kuten tiedonannossa korostetaan, on myös erittäin tärkeää vahvistaa periaatetta, jonka mukaan tietoja on kerättävä mahdollisimman vähän, ja parantaa rekisteröityjen mahdollisuuksia käyttää oikeuttaan tutustua tietoihin, oikaista niitä ja poistaa tai suojata ne tietokannassa. Tässä yhteydessä kansalaisten käytettävissä pitäisi myös olla tehokkaampia oikeussuojakeinoja ja seuraamuksia, joilla voidaan varmistaa tietosuojasäännösten täsmällisempi noudattaminen. Lisäksi on edistettävä itsesääntelyvälineitä, joilla tietosuojadirektiivistä käydyissä keskusteluissa. Katso 6. toukokuuta 2009 annettu Euroopan parlamentin lainsäädäntöpäätöslauselma neuvoston yhteisestä kannasta Euroopan parlamentin ja neuvoston direktiivin antamiseksi yleispalvelusta ja käyttäjien oikeuksista sähköisten viestintäverkkojen alalla annetun direktiivin 2002/22/EY, henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla annetun direktiivin 2002/58/EY ja kuluttajansuojalainsäädännön täytäntöönpanosta vastaavien kansallisten viranomaisten yhteistyöstä annetun asetuksen (EY) N:o 2006/2004 muuttamisesta (16497/1/2008 C6-0068/ /0248(COD)) (A6_257/2009) sekä liite komission julkilausumasta tietoturvaloukkauksesta ilmoittamisesta: "Komissio panee merkille Euroopan parlamentin tahdon, jonka mukaan velvoitetta ilmoittaa henkilötietojen tietoturvaloukkauksista ei pitäisi rajoittaa sähköisen viestinnän alaan, vaan sitä pitäisi myös soveltaa muihin tahoihin, kuten tietoyhteiskuntapalvelujen tarjoajiin. Tällainen lähestymistapa olisi täysin EU:n kansalaisten henkilötietojen suojaamisen tehostamista koskevan julkisen politiikan yleisen tavoitteen mukainen, ja se vastaisi myös kansalaisten kykyä ryhtyä toimiin, jos kyseiset tiedot on vaarannettu." Tarkistetussa sähköisen viestinnän tietosuojadirektiivin artiklassa säädetään velvollisuudesta ilmoittaa henkilötietojen suojaa koskevista loukkauksista; Katso tässä yhteydessä myös neuvoston päätelmät k omission tiedonannosta "Kattava lähestymistapa henkilötietojen suojaan Euroopan unionissa", oikeus- ja sisäasioiden neuvoston 307. k okous, Bryssel, 24. j a 25. h elmikuuta 2011 [9] ; saatavilla osoitteesta [9] 12 Katso myös neuvoston päätelmät nro 10 [16] ja [17]. 13 Neuvoston päätelmät nro 10 [16]. 14 Nro 5 [85]. Yksityisyyden suojaa parantavien tekniikoiden ja niin sanotun sisäänrakennetun yksityisyyden suojan periaatteen edistämistä on tarkasteltava yksityiskohtaisemmin. 15 Päätöslauselma sisäänrakennetusta yksityisyyden suojasta, Jerusalem, lokakuuta Lisäksi, kuten tietosuojatyöryhmä on selvästi todennut, periaate on määritettävä teknologisesti neutraalilla tavalla, jotta se ei perustu vain tietyn ajankohdan teknologiseen ympäristöön, ja sen on myös oltava joustava. Lisäksi ryhmä on todennut, että sisäänrakennetulla yksityisyyden suojalla ei pidä vain ylläpitää turvallisuutta, vaan se on suunniteltava ja rakennettava siten, että vältetään kaikki tai vähimmäistetään käsiteltävien henkilötietojen määrää perustuslain mukaista oikeutta tietoteknisten järjestelmien luottamuksellisuuteen ja koskemattomuuteen koskevan Saksan perustuslakituomioistuimen vuoden 2008 oikeuskäytännön mukaisesti. (WP 29 n1 [47]). PE v /6 DT\ doc

5 tietosuojasääntöjen noudattamista voidaan tehostaa. DT\ doc 5/6 PE v01-00

6 Yhdenmukaisemmat säännöt arkaluonteisten tietojen käsittelystä ja geneettisten tietojen kaltaisten uusien tietojen sisällyttäminen vaikuttavat myönteiseltä kehitykseltä, erityisesti teknologisen (esimerkiksi pilvipalvelut) ja yhteiskunnallisen kehityksen yhteydessä. Tiedonannossa katsotaan, että henkilöihin kohdistuva biometristen tietojen käytön vaikutus, jota neuvosto on käsitellyt helmikuussa 2011 tekemissään päätelmissä, on myönteinen askel, jota on tuettava. 16 Tulevassa säädöksessä ja muilla kuin lainsäädännöllisillä toimenpiteillä on kiinnitettävä erityistä huomiota alaikäisten tietojen käsittelyyn. 17 Alan esittämiin aloitteisiin vapaaehtoisen sertifioinnin toteuttamisesta, itsesääntelymekanismien luomisesta sekä tiedotuskampanjoiden käynnistämisestä on suhtauduttava myönteisesti ja niitä on tuettava. Kokemukset osoittavat, että tietosuojalainsäädännön täytäntöönpano ei toimi ilman valvontaa. Näin ollen esittelijä suosittelee tietosuojaviranomaisten aseman vahvistamista siten, että niiden vastuualat ja toimivalta kuvataan yksiselitteisesti. Tässä yhteydessä mallina voitaisiin käyttää petosten ja kartellien seurantaan käytettäviä EU:n järjestelmiä ja rakenteita. Myös tietosuojatyöryhmän tavoitetta on arvioitava huolellisesti niin, että kansallisten tietosuojaviranomaisten toimia voidaan koordinoida paremmin ja avoimuutta ja vaikuttavuutta voidaan lisätä. 18 Kansallisten tietosuojaviranomaisten ja tietosuojatyöryhmän välistä yhteistyötäkin voitaisiin säännellä yksiselitteisesti uudella säädöksellä. Erityistä huomiota on myös kiinnitettävä muihin kuin lainsäädännöllisiin toimenpiteisiin, joilla voidaan tukea yleisiä tietosuojaa koskevia periaatteita. Alan esittämiin aloitteisiin vapaaehtoisen sertifioinnin toteuttamisesta, itsesääntelymekanismien luomisesta sekä tiedotuskampanjoiden käynnistämisestä on suhtauduttava myönteisesti ja niitä on tuettava Globaalin ulottuvuuden suurempi huomioiminen kansainvälistä tiedonsiirtoa edistävät yksinkertaisemmat, selkeämmät ja vankemmat säännöt Esittelijä tukee kansainvälisiin tiedonsiirtoihin liittyviä tiedonannon pääasiallisia havaintoja, etenkin sitä, että on pyrittävä löytämään keinoja, joilla komission määrittämää tietosuojan tason riittävyyden arviointia voidaan selventää entisestään, joilla kansainvälisten tiedonsiirtojen nykyisiä menettelyjä voidaan virtaviivaistaa ja vahvistaa, mukaan luettuina oikeudellisesti sitovat välineet ja yrityksiä koskevat sitovat säännöt, ja joilla voidaan määrittää tietosuojaa koskevat EU:n keskeiset osatekijät. Tässä yhteydessä nykyistä järjestelmää, jossa tietosuoja taataan Safe Harbour -tietosuojasopimuksella, on arvioitava kriittisesti komission tulevan täytäntöönpanokertomuksen perusteella. Tässä yhteydessä on kiinnitettävä erityistä huomiota ja annettava erityistä tukea niin sanotulle Madridin päätöslauselmalle, jonka tietosuojavaltuutettujen kansainvälinen konferenssi antoi marraskuussa Neuvoston päätelmät nro 7 [9]. 17 Nro 5 [94]. 18 Nro 5, kohta 10. PE v /6 DT\ doc