Annettu 11. helmikuuta 2011

Transkriptio

1 TIETOSUOJATYÖRYHMÄ 00327/11/FI WP 180 Lausunto 9/2011 elinkeinoelämän ehdottamasta tarkistetusta kehyksestä RFID-sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille Annettu 11. helmikuuta 2011 Tietosuojatyöryhmä on perustettu direktiivin 95/46/EY 29 artiklalla. Se on riippumaton EU:n neuvoa-antava elin, joka käsittelee tietosuojaan ja yksityisyyden suojaan liittyviä kysymyksiä. Sen tehtävät määritellään direktiivin 95/46/EY 30 artiklassa ja direktiivin 2002/58/EY 15 artiklassa. Työryhmän sihteeristön tehtävistä huolehtii Euroopan komission oikeus-, vapaus- ja turvallisuusasioiden pääosaston linja C (perusoikeudet ja unionin kansalaisuus), toimisto MO-59 06/36, B-1049 Bryssel, Belgia. Verkkosivusto:

2 Sisällysluettelo 1 Yleistä Johdanto Yhteenveto tarkistetusta arviointikehyksestä Analyysi Päätelmät... 7

3 TIETOSUOJATYÖRYHMÄ, joka on perustettu 24 päivänä lokakuuta 1995 annetulla Euroopan parlamentin ja neuvoston direktiivillä 95/46/EY, ottaa huomioon mainitun direktiivin 29 artiklan, 30 artiklan 1 kohdan a alakohdan ja 3 kohdan sekä 12 päivänä heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY 15 artiklan 3 kohdan, ottaa huomioon työjärjestyksensä, on antanut seuraavan lausunnon: 1 Yleistä 1.1 Johdanto Tämä lausunto on jatkoa lausunnolle 1 5/2010 elinkeinoelämän ehdottamasta kehyksestä RFID-sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille. Tässä johdannossa toistetaan joitakin taustatietoja, jotka ovat välttämättömiä tämän uuden lausunnon tarkoituksen ja soveltamisalan ymmärtämiseksi. Lisätietoja on lausunnossa 5/2010. Euroopan komissio antoi 12. toukokuuta 2009 suosituksen 2 yksityisyyden suojaa ja tietosuojaa koskevien periaatteiden toteuttamisesta radiotaajuustunnistusta (RFID) käyttävissä sovelluksissa. Suosituksessa pyydettiin jäsenvaltioita varmistamaan, että elinkeinoelämä määrittelee, yhteistyössä asiaan liittyvien sidosryhmien kanssa, kehyksen yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille. Kehys oli määrä toimittaa hyväksyttäväksi 29 artiklan mukaiselle tietosuojatyöryhmälle. Kun jäsenvaltiot ovat määrittäneet kehyksen yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille, niiden olisi varmistettava, että RFID-operaattorit tekevät RFID-sovelluksista yksityisyyden suojaa ja tietosuojaa koskevan vaikutusten arvioinnin (PIA) ennen niiden käyttöönottoa. Lisäksi jäsenvaltioiden olisi huolehdittava siitä, että RFID-operaattorit asettavat arviointiraportit toimivaltaisen viranomaisen saataville. Elinkeinoelämän edustajat toimittivat yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille ehdottamansa kehyksen tietosuojatyöryhmän hyväksyttäväksi 31. maaliskuuta Vaikka ehdotus olikin hyvä lähtökohta, se ei saanut työryhmän täyttä tukea lähinnä siksi, että ehdotetusta kehyksestä puuttui kolme ratkaisevan tärkeää osatekijää: 1) Selkeästi määritelty riskinarviointistrategia. 2) Näkökohdat, jotka liittyvät henkilöiden mukanaan kantamiin RFID-tunnisteisiin sovelluksen käyttöalan ulkopuolella. 3) Menetelmä, jolla yksityisyyden suojaa ja tietosuojaa koskevien periaatteiden toteuttamisesta radiotaajuustunnistusta käyttävissä sovelluksissa annetussa Euroopan 1 2 Lausunto 5/2010 elinkeinoelämän ehdottamasta kehyksestä RFID-sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille, WP 175,

4 komission suosituksessa esitetyt tunnisteiden deaktivointiperiaatteet voidaan ottaa käyttöön vähittäissektorilla. Työryhmä esitti tiivistelmän näistä puutteista sekä muista huolenaiheistaan 13. heinäkuuta 2010 antamassaan lausunnossa 5/2010, jossa se kehotti teollisuutta tekemään tarkistetun ehdotuksen yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille. Riskinarviointikomponentin osalta työryhmä kannusti teollisuutta voimakkaasti tukeutumaan asiantuntemukseen, jota Euroopan verkko- ja tietoturvavirasto (ENISA) voi tällä osa-alueella tarjota. Samassa kuussa myös ENISA julkaisi riippumattoman lausunnon 3, jossa esitettiin käytännön suosituksia ehdotetun kehyksen parantamiseksi. ENISAn lausunnossa ehdotettiin muun muassa joitakin alustavia ohjeita kattavan ja tunnustetun riskinarviointimenetelmän käyttöönottoa varten ja esitettiin useita rakenteellisia parannuksia. Seuraavien kuukausien aikana elinkeinoelämä laati PIA-kehyksen uudelleen ja otti työssään huomioon sekä työryhmän että ENISAn näkemykset. Tarkistettu PIA-kehys esitettiin tietosuojatyöryhmän vahvistettavaksi 12. tammikuuta Tämä on tietosuojatyöryhmän virallinen lausunto uudesta ehdotuksesta. RFID-suosituksella viitataan jäljempänä 12. toukokuuta 2009 julkaistuun Euroopan komission suositukseen yksityisyyden suojaa ja tietosuojaa koskevien periaatteiden toteuttamisesta radiotaajuustunnistusta käyttävissä sovelluksissa. Tarkistetulla arviointikehyksellä tai arviointikehyksellä viitataan RFID-sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille ehdotettuun kehykseen, joka toimitettiin tietosuojatyöryhmälle 12. tammikuuta Arviointikehys on tämän lausunnon liitteenä. 1.2 Yhteenveto tarkistetusta arviointikehyksestä Tarkistetun arviointikehyksen alussa käydään läpi PIA:n suorittamisen kannalta merkitykselliset sisäiset menettelyt: PIA:n aikatauluttaminen ja uudelleentarkastelu, asiakirjaaineiston kerääminen, organisaation PIA-tukihenkilöiden määrittäminen, PIA:n tarkistamiseen johtavien olosuhteiden määrittäminen ja sidosryhmien kuuleminen. PIA:ssa on kaksi vaihetta: I. Arviointia edeltävä vaihe, jossa RFID-sovellus luokitellaan neliportaisella asteikolla päättelypuun perusteella. Tämän arvioinnin tuloksen perusteella määritetään, tarvitaanko PIA:ta vai ei, ja valitaan joko täysimittainen PIA tai pienimuotoinen PIA. Sovellukset, joissa käytettäviä RFID-tunnisteita yksittäiset henkilöt todennäköisesti kantavat mukanaan, edellyttävät vähintäänkin pienimuotoista PIA:ta (taso 1) ja sovellukset, joissa henkilötietoja käsitellään edelleen, edellyttävät täysimittaista PIA:ta (tasot 2 ja 3). Sen sijaan sovellukset, joissa ei käytetä tunnisteita, joita yksittäiset ihmiset todennäköisesti kantavat mukanaan, ja joissa henkilötietoja ei käsitellä edelleen, eivät edellytä PIA:ta (taso 0). II. Riskinarviointivaihe, joka jakautuu neljään osaan: 3 ENISAn lausunto elinkeinoelämän ehdottamasta kehyksestä RFID-sovellusten yksityisyyden suojaa ja tietosuojaa koskeville vaikutusten arvioinneille, 31. maaliskuuta

5 1) Sovelluksen luonnehdinta (datatyypit, datavuot, RFID-tekniikka, datan taltiointi ja siirtäminen ym.) 2) Henkilötietoihin kohdistuvien riskien määrittäminen arvioimalla uhkia, niiden todennäköisyyttä ja niiden vaikutusta yksityisyyden ja EU:n lainsäädännön noudattamisen kannalta. 3) Valvontatarpeen määrittäminen ja suositukset aiemmin todettujen riskien varalta. 4) PIA:n tulosten dokumentointi, RFID-sovelluksen käyttöehtoja koskevan ratkaisun määrittäminen ja jäljellä olevista riskeistä tiedottaminen. Tarkistetun arviointikehyksen liitteissä on lisätukea kutakin riskinarviointivaiheen osaa varten. Arvioinnin tekijälle on tarjolla seuraavat apuvälineet: Mallipohja RFID-sovelluksen keskeisten ominaisuuksien kuvaamiseen. Direktiiviin 95/46/EY perustuva luettelo, jossa on RFID-sovellusta varten yhdeksän yksityisyyden suojaa koskevaa tavoitetta. Luettelo tyypillisistä yksityisyyden suojaan kohdistuvista riskeistä kuvauksineen ja esimerkkeineen. Esimerkkejä toimenpiteistä, joita voidaan käyttää aiemmin havaittujen riskien valvontaan ja pienentämiseen. RFID-sovellusoperaattori esittää PIA:n tulokset virallisesti PIA-arviointiraportissa, jossa kuvaillaan RFID-sovellus ja dokumentoidaan edellä mainitut neljä riskinvarviointivaihetta. 2 Analyysi Työryhmä arvostaa sitä perusteellista työtä, jota elinkeinoelämän järjestöt sekä asiantuntijat, tutkijat ja yksittäiset yritykset ovat viime kuukausina tehneet laatiessaan tarkistetun arviointikehyksen. Arviointikehyksen laatijat eivät ole pelkästään puuttuneet työryhmän esille ottamiin ongelmiin vaan ne ovat käyttäneet tilaisuutta hyväkseen ja selventäneet arviointikehyksen rakennetta sekä antaneet arviointikehystä käyttäville RFID-operaattoreille sitovampaa ohjeistusta. Työryhmä panee merkille, että tarkistettu arviointikehys perustuu riskinhallintastrategiaan, joka on kuten työryhmä on aiemminkin todennut keskeinen tekijä yksityisyyden suojaa ja tietosuojaa koskevissa vaikutustenarviointikehyksissä. Työryhmä pitää hyvänä myös sitä, että sidosryhmien kuuleminen on erikseen mainiten sisällytetty osaksi sisäisiä menettelyjä, joita PIA:n tekemisen tueksi tarvitaan. Ehdotettu riskinarviointimenetelmä alkaa ennen arviointia päättelypuulla, jossa RFIDsovellukset luokitellaan neljään tasoon. Työryhmä toteaa, että ehdotettuun päättelypuuhun sisältyy epäselvyyttä sen suhteen, mitä RFID-sovelluksessa pidetään henkilötietoina. Jos henkilön on tarkoitus kantaa yksilöivän tunnuksen sisältävää tunnistetta mukanaan, tunnisteen tunnusnumeroa on pidettävä henkilötietona, kuten jo aiemmin lausunnossa 5/2010 korostettiin. Näin ollen, jos henkilön on tarkoitus kantaa tunnistetta mukanaan, se olisi useimmissa skenaarioissa tason 2 sovellus eikä tason 1 sovellus, kuten arviointikehys antaa ymmärtää. Työryhmä kuitenkin pitää myönteisenä sitä, että tarkistetussa arviointikehyksessä 5

6 RFID-operaattorien edellytetään tekevän PIA:n aina, jos yksittäiset henkilöt kantavat tunnisteita mukanaan. Kuten useissa aiemmissa lausunnoissa 4 on todettu, yksi keskeisimmistä RFID-tekniikkaan liittyvistä tietosuojaongelmista on RFID-teknologian käyttö sellaisiin tarkoituksiin, jotka mahdollistavat henkilöiden seurannan ja pääsemisen käsiksi heidän henkilötietoihinsa. Vaikka RFID-operaattorilla ei olisikaan tällaista mielessään RFID-sovellusta käyttäessään, on tärkeää ottaa huomioon riski, että kolmas osapuoli voi käyttää tunnisteita sellaisiin tarkoituksiin, joihin niitä ei ole tarkoitettu. Tarkistetussa arviointikehyksessä edellytetään selvästi, että RFID-operaattorit arvioivat riskit, joita voi aiheutua, jos tunnisteita voidaan käyttää RFIDsovelluksen käyttöalueen ulkopuolella ja/tai jos henkilöt kantavat niitä mukanaan. Tähän ongelmaan on kiinnitetty vähittäissektorilla erityistä huomiota. Pelkona on, että vähittäismyyjät tai kolmannet osapuolet voivat käyttää tunnisteilla varustettuja tavaroita väärin tavaran ostaneen henkilön jäljittämiseen tai profilointiin. Euroopan komissio otti tämän huolenaiheen huomioon suosituksessaan asettamalla periaatteeksi, että tunnisteet on deaktivoitava myyntipisteessä, ellei asiakas anna tietoon perustuvaa suostumusta pitää tunnisteet toiminnassa. Suosituksessa sallitaan poikkeaminen tästä deaktivointiperiaatteesta, jos PIA:ssa todetaan, että myyntipisteen jälkeen toimiviksi jäävät tunnisteet eivät todennäköisesti muodosta uhkaa yksityisyyden suojalle tai henkilötietojen suojalle. Työryhmä toteaa, että kehyksessä esitetty riskinhallintastrategia on keskeinen väline, jolla RFIDoperaattori arvioi riskit, joita liittyy siihen, että se ottaa vastuun tunnisteiden pitämisestä aktiivisina myynnin jälkeen. PIA:n tekemisen seurauksena laaditaan PIA-raportti, joka olisi asetettava toimivaltaisen viranomaisen saataville viimeistään kuusi viikkoa ennen RFID-sovelluksen käyttöönottoa. Työryhmä haluaa korostaa, että PIA:n tekeminen edellyttää myös, että RFID-operaattorit laativat ja julkaisevat tiiviin, täsmällisen ja helppotajuisen tiedotteen kustakin sovelluksestaan (suosituksen 7 kohdan mukaisesti). Tässä tiedotteessa olisi oltava muun muassa tiivistelmä yksityisyyden suojaa ja tietosuojaa koskevasta vaikutusten arvioinnista. Kun arviointikehystä aletaan soveltaa konkreettisiin RFID-sovelluksiin, sen sisältöön on todennäköisesti tehtävä muutoksia. Nämä muutokset ovat perusteltuja ainoastaan, jos niiden lähtökohtana ovat kaikkien sidosryhmien elinkeinoelämän, kuluttajien, tietosuojaviranomaisten, ENISAn ym. kokemus ja niiden antama palaute. Tämä tulee todennäköisesti koskemaan täysimittaista ja pienimuotoista PIA:ta, jotka on määritelty tarkistetussa arviointikehyksessä. Lisäksi suosituksessa todetaan, että komission odotetaan julkaisevan raportin suosituksen toteuttamisesta, tuloksellisuudesta ja vaikutuksista operaattoreihin ja kuluttajiin erityisesti vähittäissektoria koskevien toimenpiteiden osalta. Raportti on määrä laatia kolmen vuoden kuluttua suosituksen julkaisemisesta eli toukokuuhun 2012 mennessä. Koska voi kestää kuusi kuukautta ennen kuin arviointikehys tulee kaikilta osin voimaan, olisi kaikkien sidosryhmien etujen mukaista, että tällaiselle arvioinnille annettaisiin lisää aikaa. Siksi työryhmä ehdottaa, että komissio joko lykkää ehdotetun raportin tekemistä kolmen vuoden päähän tämän lausunnon julkaisemisesta tai täydentää sitä tuolloin. 4 Ks. esim. lausunto 5/2010 (WP 175) ja WP 105, Working document on data protection issues related to RFID technology, 19. tammikuuta

7 3 Päätelmät Työryhmä vahvistaa 12. tammikuuta 2011 esitetyn tarkistetun arviointikehyksen. Arviointikehys tulee voimaan viimeistään kuuden kuukauden kuluttua tämän lausunnon julkaisemisesta. PIA on väline, jolla on tarkoitus edistää sisäänrakennettua yksityisyyden suojaa, parantaa tiedottamista yksityishenkilöille sekä lisätä läpinäkyvyyttä ja vuoropuhelua toimivaltaisten viranomaisten välillä. Koska joitakin RFID-sovelluksia käytetään useissa jäsenvaltioissa, on tärkeää, että PIA-raportit käännetään ja asetetaan toimivaltaisten viranomaisten saataville kansainvälisellä kielellä. Työryhmä tukee edelleen tulevaa vuoropuhelua elinkeinoelämän kanssa, jotta RFIDsovellusten PIA-kehyksen rakennetta ja käyttöä voidaan parantaa ja selventää käyttäen lähtökohtana kaikkien sidosryhmien kokemusta ja niiden antamaa palautetta. 7