29 artiklan mukainen työryhmä 01609/06/FI WP 125 Valmisteluasiakirja ecall-aloitteen vaikutuksista tietosuojaan ja yksityisyyteen annettu 26. syyskuuta 2006 Tietosuojatyöryhmä on perustettu direktiivin 95/46/EY 29 artiklalla. Se on tietosuojaa ja yksityisyyttä käsittelevä itsenäinen neuvoa-antava EU:n elin. Sen tehtävät esitetään direktiivin 95/46/EY 30 artiklassa ja direktiivin 2002/58/EY 15 artiklassa. Työryhmän sihteeristötehtävistä huolehtii Euroopan komission oikeus--, vapaus- ja turvallisuusasioiden pääosaston linja C (yksityisoikeus, oikeudet ja kansalaisuus), toimisto LX-46 01/43, B-1049 Bryssel, Belgia. Verkkosivusto: http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm
TIETOSUOJATYÖRYHMÄ, joka on perustettu 24. lokakuuta 1995 annetulla Euroopan parlamentin ja neuvoston direktiivillä 95/46/EY 1, ottaa huomioon kyseisen direktiivin 29 artiklan ja 30 artiklan 1 kohdan c alakohdan ja 3 kohdan, ottaa huomioon työjärjestyksensä ja erityisesti sen 12 ja 14 artiklan, ON ANTANUT TÄMÄN VALMISTELUASIAKIRJAN: 1. JOHDANTO Tämän valmisteluasiakirjan tarkoituksena on tarkastella tietosuojaan ja yksityisyyteen liittyviä ongelmia, joita syntyy, kun otetaan käyttöön suunniteltu yhdenmukaistettu Euroopan laajuinen ajoneuvoihin asennettava hätäpuhelinpalvelu (ecall), joka perustuu Euroopan yleisen hätänumeron 112 käyttöön. 2 Yksi Euroopan komission tekemistä aloitteista koski esafety-foorumin perustamista. Kyse on alan edustajien ja julkisen sektorin yhteisaloitteesta tieliikenteen turvallisuuden parantamiseksi kehittyneen tieto- ja viestintätekniikan avulla. Yhdeksi aloitteen tärkeimmistä painopisteistä katsottua ecall-järjestelmää varten perustettiin ecall-ohjausryhmä, jossa kaikki sidosryhmät ovat edustettuina. 3 Kyseinen ecallohjausryhmä on laatinut suosituksia, muun muassa käyttöönottoa koskevat suuntaviivat, joiden tarkoituksena on helpottaa ecall-toiminnon käytännön toteutusta kaikissa jäsenvaltioissa ja sen käyttöönottoa vakiovarusteena kaikissa uusissa ajoneuvoissa 1. syyskuuta 2010 alkaen. 4 Ohjausryhmä on laatinut yhteistoimintamuistion ecallin toteuttamisesta. Muistiolle on asetettu tavoitteeksi varmistaa, että ecall toimii kaikissa EU:n jäsenvaltioissa. Muistiolla kootaan yhteen ecallin toteutukseen osallistuvat eri sidosryhmät hyväksytyn arkkitehtuurin ja rajapintojen yhteisten määritelmien pohjalta. Näihin sisältyvät myös vähimmäistietoja (Minimum Set of Data MSD) koskevat määritelmät. Muistion allekirjoittivat Euroopan komissio, autoteollisuutta edustava Euroopan autonvalmistajien yhdistys ACEA sekä eurooppalainen tieliikenteen telematiikan yhteistyöorganisaatio ERTICO elokuussa 2004. Muistiolla on nyt yli 60 allekirjoittajaa, muun muassa seitsemän EU:n jäsenvaltiota 5, Sveitsi ja Norja. Euroopan parlamentti hyväksyi äskettäin selvällä äänten enemmistöllä ecallin käyttöönottoa tukevan päätöslauselman 6, jossa jäsenvaltioita vaaditaan allekirjoittamaan yhteistoimintamuistio. 1 2 3 4 5 6 EYVL L 281, 23.11.1995, s. 31, saatavissa osoitteessa: http://ec.europa.eu/justice_home/fsj/privacy/. Komission tiedonanto Toinen esafety-tiedonanto: ecall kansalaisten käyttöön (KOM(2005) 431, saatavissa osoitteessa: http://europa.eu/information_society/activities/esafety/index_en.html. Komission tiedonanto Turvallisia ja älykkäitä ajoneuvoja tieto- ja viestintätekniikan avulla, KOM(2003) 542 lopullinen, 15.9.2003. ecall-ohjausryhmän suositus liitteineen on saatavilla seuraavalla verkkosivustolla: http://www.esafetysupport.org/en/ecall_toolbox/driving_group_ecall. Suomi, Ruotsi, Kreikka, Italia, Liettua, Slovenia ja Kypros. Mietintö tieliikenteen turvallisuudesta: ecall kansalaisten käyttöön. Esittelijä: Gary Titley (A6-0072/2006). -2-
Vaikka 29 artiklan mukainen työryhmä (tietosuojatyöryhmä) on tietoinen ecall-palvelun laajan käyttöönoton kansalaisille mahdollisesti tuomasta sosioekomisesta hyödystä, ecallin käyttöönotolla on yksityisyyteen ja tietosuojaan liittyviä vaikutuksia, joita on korostettava ja jotka on otettava asianmukaisesti huomioon. Hoitaakseen tietosuojadirektiivin 30 artiklan 1 kohdan a alakohdan mukaiset tehtävänsä ja vastatakseen yksityisyyteen ja tietosuojaan liittyviin kysymyksiin, joita syntyy ecallin suunnitellun käyttöönoton yhteydessä, tietosuojatyöryhmä katsoo tarpeelliseksi analysoida nykytilannetta ja käsitellä näitä kysymyksiä tässä valmisteluasiakirjassa. 2. ECALLIN PERIAATE Ehdotettu ecall-arkkitehtuuri perustuu lähes samanaikaiseen äänipuhelu- ja datayhteyteen ecall-laitteesta PSAP-hälytyskeskukseen (Public Service Answering Point). PSAP-hälytyskeskuksena toimii joko julkinen viranomainen tai yksityinen palveluntarjoaja, joka toimii julkisen viranomaisen vastuulla. Onnettomuustilanteessa ajoneuvoon asennetun ecall-laitteen anturit laukeavat ja järjestelmä käynnistää automattisesti taikka ajoneuvon matkustajat aktivoivat manuaalisesti ecall-hätäpuhelutoiminnon, ja laite soittaa hätäpuhelun lähimpään PSAP-hälytyskeskukseen. Toiminto perustuu kahteen tekijään: hätänumeroon 112 perustuvaan tavalliseen äänipuheluun ja vähimmäistietoihin (Minimum Set of Data, MSD). Matkaviestintäverkon operaattori tunnistaa matkaviestintäverkossa välitetyn ecallhätäviestin (data+ääni) 112-hätäpuheluksi. Matkaviestintäoperaattori lisää viestiin 112- puhelunkäsittelymenettelyn mukaisesti kutsuvan tilaajan tunnistuksen sekä välittää yleispalveludirektiivin 7 ja E112-suosituksen 8 mukaiset parhaat saatavilla olevat sijaintitiedot. Puhelunkäsittelyn jälkeen teleoperaattori välittää 112-äänipuhelun, kutsuvan tilaajan tunnistuksen, parhaat mahdolliset matkaviestimen sijaintitiedot ja ecallvähimmäistiedot lähimmälle PSAP-hälytyskeskukselle. PSAP-hälytyskeskus lähettää ecall-viestin lähettäjälle vahvistuksen siitä, että vähimmäistiedot on vastaanotettu asianmukaisesti. On tärkeää korostaa, että ehdotetussa ecall-palvelussa ajoneuvoon asennettu järjestelmä ei ole jatkuvasti kolmannen osapuolen paikannuksessa, sillä sitä ei ole yhdistetty pysyvästi matkaviestintäverkkoon. Yhteys otetaan ainoastaan silloin, kun toiminto aktivoituu onnettomuustilanteessa tai ajoneuvon matkustajat aktivoivat järjestelmän manuaalisesti. 7 8 Euroopan parlamentin ja neuvoston direktiivi 2002/22/EY, annettu 7 päivänä maaliskuuta 2002, yleispalvelusta ja käyttäjien oikeuksista sähköisten viestintäverkkojen ja -palvelujen alalla (EYVL L 108, 24.4.2002, s. 51). Komission suositus 2003/558/EY, annettu 25 päivänä heinäkuuta 2003, soittajan sijaintitietojen käsittelystä sähköisen viestinnän verkoissa paikantamisella laajennettuja hätäpuhelupalveluja varten (EUVL L 189, 29.7.2003, s. 49). -3-
Vähimmäistietoihin 9 sisältyvät seuraavat tiedot: i) onnettomuuden tapahtuma-aika, ii) tarkka sijaintipaikka sekä ajo-ohjeet, iii) ajoneuvon tunnistetiedot, iv) onnettomuuden vakavuuden määrittävä ecall-statustieto (vähintäänkin tieto siitä, onko ecall aktivoitu manuaalisesti vai automaattisesti), v) tiedot mahdollisesta palveluntarjoajasta. Vähimmäistietoihin sisältyviin onnettomuuden statustietoihin liittyvistä valinnaisista tiedoista käydään edelleen keskusteluita. Valinnaisessa kentässä annettavien tietojen (ts. polttoainetyyppi, jota ajoneuvossa käytetään) olisi oltava tietosuoja-asetusten mukaisia. Niissä olisi noudatettava erityisesti suhteellisuusperiaatetta eli niihin olisi sisällytettävä vain hätätilanteen asianmukaisen käsittelyn kannalta välttämättömät tiedot. Ehdotetussa ecall-arkkitehtuurissa otetaan huomioon myös se mahdollisuus, että ecalltoimintoa voitaisiin edelleen tehostaa, jos palveluntarjoaja toimittaa täydentävien tietojen perusteella ajoneuvoa ja matkustajia koskevia lisätietoja (Full Set of Data, FSD). 3. ECALL-PALVELUUN LIITTYVÄT YKSITYISYYTTÄ JA TIETOSUOJAA KOSKEVAT NÄKÖKOHDAT SEKÄ OIKEUDELLISET PERUSTELUT 3.1. PAKOLLINEN VAI VAPAAEHTOINEN LAITE? Euroopan komissio on toistaiseksi noudattanut jäsenvaltioiden ja alan edustajien kanssa harjoitettavaa itsesääntelyä painottavaa lähestymistapaa, mutta jos ecallin käyttöönotto ei etene sovittujen suuntaviivojen mukaisesti, komissio voi harkita lisätoimenpiteitä, mukaan lukien sääntelytoimia. Vaikka tietosuojatyöryhmä myöntää, että ecall-palvelun laajasta käytöstä voidaan saada sosioekonomista hyötyä ja se voi parantaa yleistä turvallisuutta, asiaan liittyy monia tietosuojaa ja yksityisyyttä koskevia ongelmia, jotka on ratkaistava. Ennen tietosuojaan liittyvien vaikutusten lähempää tarkastelua tietosuojatyöryhmä käsitteli kahta vaihtoehtoa, joita voitaisiin noudattaa ecallin käyttöönotossa. Näihin vaihtoehtoihin olisi kiinnitettävä huomiota heti alussa, ja niitä olisi analysoitava sen jälkeen perusteellisemmin: Vaihtoehto (1) ecallin käytön olisi perustuttava vapaaehtoisuuteen tai Vaihtoehto (2) ecallista olisi tehtävä pakollinen palvelu. Vaihtoehto (1) Jos ecallin käyttö perustuu vapaaehtoisuuteen ja sitä käytetään eräänlaisena tieliikenneturvallisuutta parantavana kehittyneenä palveluna, on kehitettävä helppo tapa aktivoida palvelu / kytkeä se pois päältä. Tässä tapauksessa järjestelmä on asennettu valmiiksi ajoneuvoon ja sen aktivoinnin olisi perustuttava vapaaehtoisuuteen. 10 Käyttäjän, joka ei välttämättä ole ajoneuvon omistaja, 9 10 Ks. ecallista vastaavan ohjausryhmän loppusuosituksissa esitetty kuvaus vähimmäistiedoista, kohta 4.2.2.4. Tämä ei tarkoita sitä, että palvelua ei voitaisi aktivoida automaattisesti, kun moottori käynnistetään, vaan että käyttäjän olisi voitava kytkeä pois päältä / aktivoida se milloin tahansa. -4-
on voitava kytkeä järjestelmä päälle tai pois päältä milloin tahansa ilman teknisiä tai taloudellisia rajoituksia. Tämä valinnanmahdollisuus voitaisiin toteuttaa esimerkiksi asentamalla ajoneuvoon vastaava erillinen helppokäyttöinen käynnistysnappi/katkaisija kuin matkustajan turvatyynyssä. Tämä kanta perustuu tietosuojadirektiivin 7 artiklan a alakohtaan, jossa säädetään pääperusteista tietojenkäsittelyn lailliseksi tekemiselle. Kyseisen alakohdan mukaisesti tietoja voidaan käsitellä, jos rekisteröity on yksiselitteisesti antanut siihen suostumuksensa. Suostumus on annettava vapaaehtoisesti ja rekisteröidyn pitäisi myös voida peruuttaa suostumuksensa. On huomattava, että suostumusta ei ole annettu vapaaehtoisesti, jos rekisteröidyn on hyväksyttävä sopimuksessa tietojenkäsittelyä koskeva sopimuslauseke, jonka ehdoista ei voida neuvotella (mikä pitää yleensä paikkansa autojen myyntisopimuksissa). Lisäksi tietosuojatyöryhmä pitää lainvastaisina tilanteita, joissa esimerkiksi autovakuutusyhtiöt tai autonvuokrausyritykset painostavat auton käyttäjää pitämään ecall-laitteen aktivoituna. Samankaltainen velvoite saatetaan asettaa työsuhdeautoja käyttäville työntekijöille, jotka on voitu pakottaa suoraan tai välillisesti suostumaan ecallin käyttöön. Tietosuojatyöryhmä haluaa korostaa, että jos ecall-järjestelmää ei voida aktivoida eikä varsinkaan kytkeä pois päältä milloin tahansa vaivatta ja maksuttomasti, käyttäjät huolestuvat järjestelmän mahdollisista vaikutuksista heidän yksityisyyteensä ja voivat päättää olla käyttämättä sitä. Koska vaivattomuus ja maksuttomuus voivat myös helpottaa ecallin suunniteltua laajaa käyttöönottoa, järjestelmään on sisällytettävä vaivaton ja maksuton mahdollisuus sen kytkemiseen pois päältä. Vaikka tietojenkäsittely voi usein olla rekisteröidyn elintärkeiden etujen mukaista, jolloin ecallin käyttöönottoa voitaisiin perustella tietosuojadirektiivin 7 artiklan c, d ja e alakohdan nojalla, tämä ei pidä paikkansa kaikissa tapauksissa. Joissakin onnettomuustapauksissa on esimerkiksi mahdollista, että ecall käynnistyy automaattisesti mutta hätäpalveluja ei tarvita. Tietosuojatyöryhmä on saanut ecall-järjestelmän konfiguroinnista tällä hetkellä saatavilla olevien tietojen perusteella sen käsityksen, että järjestelmä mahdollistaa ajoneuvon paikantamisen, vaikka ajoneuvo ei olekaan jatkuvassa seurannassa. Tämä tarkoittaa, että järjestelmä kirjataan viestintäverkkoon vain onnettomuustilanteessa tai manuaalisen aktivoinnin seurauksena. Työryhmä pitää tätä ominaisuutta myönteisenä ja haluaa korostaa, että vastaavien laitteiden yhdistämistä pysyvästi verkkoon, jolloin ajoneuvot olisivat jatkuvassa seurannassa ecall-laitteiden mahdollista aktivointia varten, ei voitaisi hyväksyä tietosuojaan liittyvistä syistä. Tämä tarkoittaa, että voisi esimerkiksi olla hyväksyttävää säilyttää ecall-laitemuistissa ajoneuvon kolme viimeistä sijaintipaikkaa, jotka on selvitetty GPS-/Galileo-järjestelmillä (jos ajoneuvoon on asennettu sellainen ja se on liitetty ecall-laitteeseen), mutta tietoja välitettäisiin vain laitteen aktivoinnin seurauksena (ts. automaattisen tai manuaalisen aktivoinnin jälkeen). Tällöin kerättyjen tietojen laajuus jouduttaisiin rajaamaan selkeästi ja tietojen jatkokäyttö ts. käyttö muihin tarkoituksiin kuin tieliikenneturvallisuuden varmistamiseen olisi estettävä. -5-
Vaihtoehto (2) Jos ecall-palvelun käytöstä päätetään tehdä pakollista, järjestelmä asennettaisiin valmiiksi ajoneuvoon ja sen aktivointi olisi pakollista. Tästä vaihtoehdosta olisi kuitenkin säädettävä erillisellä asetuksella, joka olisi voimassa koko EU:ssa. Tällainen asetus olisi perusteltava asianmukaisesti tietosuojan kannalta. Jos ecallista tulee pakollinen väline, kaikki tietosuojadirektiivissä vahvistettujen periaatteiden, kuten muun muassa suhteellisuusperiaatteen, soveltamiseen liittyvät yksityisyysrajoitukset on mainittava selkeästi lainsäädännössä. Lisäksi ecalljärjestelmään olisi asennettava yksityisyyttä tukevaa teknologiaa riittävän yksityisyyden suojan tarjoamiseksi ecallin käyttäjille. On kehitettävä myös suojakeinoja ja integroitava ne järjestelmään valvonnan ja väärinkäytön estämiseksi. Tämä koskee myös vaihtoehdon 1 mukaista skenaariota. Parhaita mahdollisia käytäntöjä koskevien neuvojen antamiseksi olisi kuultava kansallisia tietosuojaviranomaisia. Yhteenvetona voidaan todeta, että jos ecall järjestelmän käyttö perustuu vapaaehtoisuuteen, siihen on liitettävä käyttäjäystävällinen ratkaisu, jolla varmistetaan se, että auton käyttäjät voivat itse päättää ecall-laitteen käynnistämisestä/sulkemisesta tilanteen mukaan. Tämä voidaan toteuttaa esimerkiksi elektronisilla katkaisimilla, älykorteilla tai muilla laitteilla, jotka mahdollistavat ecall-laitteen vapaaehtoisen aktivoinnin ja tarvittaessa vähimmäistietoja laajemman tiedonvälityksen. Jos ecallin käyttö on pakollista, asiaa koskevassa lainsäädännössä on otettava huomioon myös tietosuojaperiaatteet. Sekä vaihtoehdon 1 että vaihtoehdon 2 tapauksessa on tietosuojatyöryhmän mukaan panostettava tiedotukseen, jossa painotetaan yksityisyyteen ja tietosuojaan liittyviä vaikutuksia. Kansallisten tietosuojaviranomaisten edustajien on osallistuttava tietosuojatyöryhmän puitteissa ecallia koskevaan tiedotukseen, jossa asetetaan etusijalle tietosuojaan liittyvät kysymykset, kuten ecall-järjestelmällä kerättyjen tietojen avoin ja lainmukainen käsittely. Tietosuojatyöryhmä kannattaa ecall-palvelun käyttöönottoa vapaaehtoisuuden pohjalta. Jos palvelun käyttöönotosta päätetään tehdä pakollista, on otettava käyttöön asianmukainen järjestelmä tietosuojan takaamiseksi. 3.2. KAKSI PALVELUTASOA Riippumatta siitä, onko ecallin käyttö pakollista vai vapaaehtoista, ecall-aloitteessa otetaan huomioon se mahdollisuus, että päätetään ottaa käyttöön laajennettu järjestelmä, jossa toimii lisäarvopalveluita tarjoavia palveluntarjoajia. Tällöin palvelutasoja on kaksi: (1) Ensimmäisellä palvelutasolla käynnistetään vähimmäistietoihin sisältyvien tietojen välityksen lähimmälle PSAP-hälytyskeskukselle. Näitä tietoja ovat ajoneuvon sijainti, onnettomuuden tapahtuma-aika, ajoneuvon tunnistetiedot ja ecall-statustiedot (vähintään tieto siitä, onko ecall aktivoitu manuaalisesti vai automaattisesti), joiden perusteella voidaan märittää onnettomuuden vakavuus. Euroopan komissio kannattaa tällaisen peruspalvelun käyttöönottoa. -6-
(2) Toisella palvelutasolla vähimmäistietoihin sisältyviä perustietoja täydennetään lisätiedoilla. Nämä lisätiedot saadaan lisäarvopalveluita tarjoavalta kolmannelta, kuten vakuutusyhtiöltä, autoalan puhelinkeskuksilta, terveydenhoitoalan yrityksiltä, asianajajilta, autoliitoilta jne. Jos tiedot toimitetaan laajemmassa FSDmuodossa (Full Set of Data), edellytetään sopimusta ajoneuvon omistajan ja palveluntarjoajan välillä. Tässä vaihtoehdossa käyttäjä sallisi sen, että palveluntarjoaja saa lisätietoja onnettomuudesta tai ajoneuvon haltijoista tarjotakseen esimerkiksi vakuutusyhtiöön liittyvää apua tai autoliiton apua taikka auttaakseen kieliongelmissa. Markkinavoimien odotetaan vastaavan tämän laajennetun palvelun kehittämisestä. Tällaisen järjestelmän käytölle ei periaatteessa ole mitään estettä. Siihen liittyy kuitenkin monimutkaisempia kysymyksiä, joita on pohdittava perusteellisemmin. Erityisesti tietoturvaa koskevia sääntöjä on noudatettava tiukasti, sillä käsiteltäviin tietoihin sisältyy myös arkaluonteisia tietoja. Lisäksi ecall-perustoimintojen laajentaminen eli vähimmäistietoja täydentävien lisätietojen toimittaminen yksityiselle palveluntarjoajalle edellyttää, että lisätiedot määritellään yksityiskohtaisesti. Näiden lisäpalveluiden olisi kaikilta osin oltava soveltuvien tietosuojaa ja yksityisyyttä koskevien asetusten mukaisia. Tietosuojatyöryhmä katsoo aiheelliseksi toistaa perusperiaatteet, jotka kolmansien palveluntarjoajien on otettava huomioon: i) Tietosuojatyöryhmä korostaa, että laajemmassa FSD-muodossa toimitettavat lisätiedot eivät ole ennalta määrättyjä tietoja vaan perustuvat ajoneuvon omistajan/käyttäjän (FSD-tietojen toimituskäytännöstä riippuen) ja yksittäisten palveluntarjoajien (vakuutusyhtiöiden, autoliittojen, terveydenhoitoalan yritysten jne.) välisiin sopimuksiin. Tämän vuoksi FSD-muodossa toimitettavien tietojen ja niihin sisältyvien yksittäisten tietojen käyttötarkoitukset on ilmoitettava selkeästi sopimuksissa. Sopimuksissa olisi myös ilmoitettava selkeästi, että palveluntarjoaja vastaa kyseisten tietojen rekisteröinnistä ja että palveluntarjoajan on noudatettava kaikkia tietosuojaa ja yksityisyyttä koskevia velvoitteita, joita rekisterinpitäjiin sovelletaan tietosuojadirektiivin ja kansallisten lakien nojalla. ii) iii) Toimitettavien tietojen on oltava kunkin erityisen käyttötarkoituksen kannalta välttämättömiä ja relevantteja, ts. on varmistettava, että kolmannet palveluntarjoajat saavat vain kunkin sopimuksen kannalta tarkoituksenmukaisia tietoja. On selvää, että tietosuojaan liittyvistä syistä laajemmassa FSD-muodossa toimitettavia tietoja ei saa välittää kokonaisuuksina. Tämä edellyttää todennäköisesti asianmukaisia teknisiä järjestelyitä, jotta ecall-järjestelmä valikoisi vain kunkin palveluntarjoajan kannalta relevantit tiedot. Tässä yhteydessä on myös pohdittava, onko relevantit tiedot toimitettava kaikissa tapauksissa, sillä kuten edellä mainittiin, joissakin onnettomuustapauksissa ei tarvita hätä(lääkintä)palveluita, vaikka järjestelmä käynnistetään. Autoalan ja sidosryhmien olisi määriteltävä täsmällisesti laajemmassa FSDmuodossa toimitettaviin tietoihin sisältyvät tiedot. Ajoneuvojen omistajille on myös annettava tarkoituksenmukaisia tietoja järjestelmän toiminnasta ja käytöstä. Lisäksi olisi annettava tietoa siitä, mitkä ovat seuraukset, jos ajoneuvon omistaja päättää perua kokonaan tai osittain suostumuksensa FSD-muodossa toimitettavien -7-
tietojen siirtoon. On tärkeää varmistaa, että suostumuksen peruminen ei vaikuta haitallisesti ajoneuvon omistajan etuihin. iv) Jos laajemmassa FSD-muodossa toimitettavat tiedot sisältävät lääketieteellisiä tai muita arkaluontoisia tietoja, niiden käsittelyssä on noudatettava erityistä huolellisuutta. Ajoneuvon omistajalta saadun suostumuksen lisäksi näiden tietojen käsittely edellyttää erityisia turvatoimenpiteitä, joista säädetään joissakin tapauksissa tarkemmin kansallisessa lainsäädännössä. v) Tietojen edelleensiirtoa koskevia säännöksiä on noudatettava erityisesti siinä tapauksessa, että kolmannet palveluntarjoajat aikovat ulkoistaa (osan) tiedonkäsittelytoiminnoistaan kolmansiin maihin sijoittautuneisiin yksiköihin. Asiakirjassa WP74 11 on asiasta hyödyllistä lisätietoa. 4. MUITA ECALL-PALVELUUN LIITTYVIÄ KYSYMYKSIÄ Myös teleoperaattoreiden luomiin tietokantoihin, kerättyjen tietojen tallennusaikoihin ja talennettujen tietojen turvallisuuskysymyksiin liittyy yleisellä tasolla joitakin ongelmia. 4.1. TIETOKANNAT Yksi tietosuojaan liittyvistä ongelmista koskee tietokantoja, jotka on luotu järjestelmän virheellisen käytön ja väärinkäytön estämiseksi. Näiden auton omistajan henkilöllisyyden ja ecall-järjestelmän SIM-kortin toisiinsa yhdistävien tietokantojen päätarkoituksena on paljastaa henkilöt, jotka väärinkäyttävät järjestelmää esimerkiksi selvittääkseen sijaintipaikkansa jne. Siltä varalta, että järjestelmää käytetään väärin tavalla, joka voi aiheuttaa haittaa PSAPhälytyskeskukselle (ts. järjestelmä soittaa useita ecall-puheluita ilman pätevää syytä), PSAP-hälytyskeskuksen olisi otettava käyttöön menettely väärinkäytökseen syyllistyneen järjestelmän paikantamiseksi. Tällaisissa tapauksissa voidaan harkita seuraavien kahden menettelyn käyttöä: i) matkaviestintäverkon operaattoreiden vaaditaan tunnistavan laitteen omistajan (SIM-tietokantaan tallennettujen tietojen perusteella), kuten tapahtuu 112-hätäpuheluiden tapauksessa, ii) ajoneuvon valmistenumeroita valvovan viranomaisen vaaditaan tunnistavan ajoneuvon omistajan. Yksi tietosuojatyöryhmän suurimmista huolenaiheista on se potentiaalinen riski, että jokin ulkopuolinen taho pääsee käsiksi näihin tietokantoihin. Sen vuoksi työryhmä painottaa, että tietojen toissijaista käyttöä esimerkiksi liikenteeseen liittyvissä valvontamenettelyissä ei pitäisi sallia, sillä se olisi tietosuojadirektiivin periaatteiden vastaista. 11 http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2003/wp74_en.pdf. -8-
4.2. TURVALLISUUSKYSYMYKSET Turvallisuuskysymykset muodostavat toisen huolenaiheen siltä osin, onko ecalljärjestelmä suojattu riittävän hyvin luvattomalta käytöltä. Jotta järjestelmä olisi luotettava ja voitaisiin välttää se, että kolmannet käyttävät luvatta ecall-järjestelmässä olevia henkilötietoja, on varmistettava, että ajoneuvoon asennetun järjestelmän ja tiedonsiirtoprotokollan turvallisuustaso on riittävä. 12 4.3. SUHTEELLISUUSPERIAATE Ehdotetun ecall-järjestelmän käyttö perustuu hätätilanteen käsittelyn edellyttämien vähimmäistietojen (MSD) siirtoon osapuolten välillä. Tietosuojatyöryhmä katsoo, että vähimmäistiedot ja niihin sisältyvät täydelliset ajoneuvon valmistelunumerotiedot ovat nykyisellään ehkä liian laajat suhteessa täsmällisesti määriteltyyn käyttötarkoitukseen. Tietosuojatyöryhmä pitää ongelmallisena sitä, että ecall-palvelun käyttöönotto ei välttämättä ole tarpeen kaikissa tapauksissa, sillä nykyinen hätäpuhelujärjestelmä toimii hyvin kaikissa jäsenvaltioissa. Tämä näkökohta vaikuttaa tärkeältä, sillä se nostaa esiin kysymyksen siitä, onko paikantamiseen perustuvan hätäpuhelujärjestelmän käyttöönotto maissa, joissa on jo nyt käytössä toimiva hätäpuhelujärjestelmä, oikeassa suhteessa asetettuihin tavoitteisiin. 4.4. REKISTERINPITÄJÄ Rekisterinpitäjänä ecallin tapauksessa toimii Public Safety Answering Point (PSAP), jonka tehtävänä on vahvistaa henkilötietojen tallentamista, käsittelyä ja suojaa koskevat protokollat, jotka vastaavat muita hätäpuheluita varten käyttöön otettuja protokollia. Matkaviestintäverkon operaattorit välittävät vähimmäistiedot läpinäkyvästi, ja niiden tehtävänä on varmistaa, että ecall-tietoja ei säilytetä pitempään kuin on tarpeen niiden toimittamiseksi asianmukaisella tavalla lähimmälle PSAP-hälytyskeskukselle. Kyseiset tiedot olisi sen jälkeen poistettava järjestelmästä. Kutsuvan tilaajan tunnistuksen ja PSAP-hälytyskeskukselle toimitettujen sijaintitietojen osalta olisi vahvistettava yleispalveludirektiivin ja soittajan sijaintitietojen käsittelystä sähköisen viestinnän verkoissa paikantamisella laajennettuja hätäpuhelupalveluja varten annetun komission suosituksen mukaiset protokollat, jotka ovat samankaltaiset kuin E112-puheluiden (paikantamisessa laajennetut hätäpuhelut) käsittelyssä käytettävät protokollat. 12 Autoalan laitevalmistajien odotetaan varmistavan, että ajoneuvoon asennettuun järjestelmään tallennettujen tietojen turvallisuustaso on riittävä. Euroopan telealan standardointilaitoksen (ETSI) standardoima tiedonsiirtoprotokolla tulee todennäköisesti tarjoamaan riittävän turvallisuustason. -9-
4.5. TALLENNUSAIKA Tietosuojatyöryhmä haluaa korostaa, että ecall-tietojen asianmukaiset tallennusajat olisi määriteltävä ecall-palveluketjun eri osapuolten osalta. Kansallisten viranomaisten on valvottava, että tallennusajat määritellään ja että niitä noudatetaan asianmukaisesti. 5. PÄÄTELMÄT Vaikka tietosuojatyöryhmä on havainnut ecall-järjestelmässä joitakin yksityisyyttä koskevia ongelmia, se suosittaa, että jos ecall-palvelu päätetään ottaa käyttöön, sen käyttö perustuisi vapaaehtoisuuteen. Tietosuojan kannalta hätäpuhelun yhdistyminen automaattisesti laitteesta tai sen aktivointi manuaalisesti ja välittäminen matkapuhelinverkoissa hätätilanteen paikantamista varten on periaatteessa hyväksyttävää edellyttäen, että tietosuoja taataan erillisellä oikeusperustalla ja saatavilla on riittävät suojatoimenpiteet. On kuitenkin aina otettava huomioon hätäpuhelujärjestelmän käyttötarkoitukset ja käsiteltävien tietojen tarkoituksenmukaisuus, erityisesti silloin kun käsiteltävänä on laajemmassa FSDmuodossa toimitettuja tietoja. Tehty Brysselissä 26. syyskuuta 2006 Työryhmän puolesta Varapuheenjohtaja Jose Luis Piñar Mañas -10-