Yksilöiden suojelua henkilötietojen käsittelyssä koskeva työryhmä

EUROOPAN KOMISSIO PÄÄOSASTO XV Sisämarkkinat ja rahoituspalvelut Tiedon vapaa liikkuvuus yhtiöoikeus ja rahoitustiedot Tiedon vapaa liikkuvuus, tietosuoja ja siihen liittyvät kansainväliset asiat DG XV D/5057/97 lopullinen WP 7 Yksilöiden suojelua henkilötietojen käsittelyssä koskeva työryhmä Valmisteluasiakirja: Itsesääntelyn arviointi: milloin itsesääntely vaikuttaa tietosuojan tason parantamiseen yhteisön ulkopuolisissa maissa? Työryhmän antama 14 päivänä tammikuuta 1998

VALMISTELUASIAKIRJA ITSESÄÄNTELYN ARVIOINTI: MILLOIN ITSESÄÄNTELY VAIKUTTAA TIETOSUOJAN TASON PARANTAMISEEN YHTEISÖN ULKOPUOLISISSA MAISSA? Johdanto Tietosuojadirektiivin (95/46/EY) 25 artiklan 2 kohdassa vaaditaan, että yhteisön ulkopuolisessa maassa taattavan tietosuojan tason riittävyyttä on arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Erityisesti on otettava huomioon oikeussäännöt sekä "ammattisäännöt ja tässä maassa noudatettavat turvatoimet". Näin ollen direktiivissä edellytetään, että otetaan huomioon kyseisessä yhteisön ulkopuolisessa maassa mahdollisesti voimassa olevat muut kuin oikeudelliset säännöt, jos näitä sääntöjä noudatetaan. Tässä yhteydessä on pohdittava itsesääntelyn merkitystä. Mitä on itsesääntely? Itsesääntely merkitsee eri asioita eri ihmisille. Tässä asiakirjassa itsesääntelymenettelyn (tai muun välineen) olisi katsottava tarkoittavan kaikenlaisia tietosuojasääntöjä, joita sovelletaan kaikkiin saman alan rekisterinpitäjiin ja joiden sisällöstä on päätetty lähinnä kyseisen alan edustajien kesken. Tämä laaja määritelmä käsittää sekä pienen ja jäsenmäärältään vähäisen yhdistyksen laatiman vapaaehtoisuuteen perustuvan tietosuojamenettelyn että eräät alakohtaiset koko ammattikuntaan, kuten lääkäreihin ja pankkiireihin, sovellettavat ammattietiikkasäännöt, jotka ovat usein merkitykseltään oikeussääntöihin verrattavia. Onko elin vastuussa alan säännöistä? Kuten tässä asiakirjassa edelleen vakuutetaan, yksi tärkeä peruste sääntöjen toimivuuden arvioimiseksi on se, kuinka pitkälle niitä voidaan panna täytäntöön. Tässä yhteydessä tärkeää on yhdistyksen vahvuus; voiko se voi esimerkiksi määrätä seuraamuksia jäsenilleen, jotka eivät noudata sääntöjä. Vähemmän tärkeää on se, edustaako säännöistä vastaava yhdistys tai elin kaikkia alan toimijoita vai ainoastaan pientä osaa heistä. On kuitenkin useita toissijaisia syitä, miksi selkeästi suurten alojen alakohtaiset säännöt tarjoavat paremman suojan kuin pienten yritysryhmittymien kehittämät säännöt. Ensinnäkin kuluttajan näkökulmasta katsottuna hajanainen ala, jolla on paljon keskenään kilpailevia yhdistyksiä, joilla kullakin on omat tietosuojasääntönsä, on hämmentävä. Useat rinnakkaiset säännöt antavat kuvan alasta, joka ei ole avoin rekisteröidyn henkilön kannalta. Toiseksi erityisesti sellaisilla aloilla kuin suoramarkkinointi, jossa henkilötietoja siirretään automaattisesti saman alan yritykseltä toiselle, saattaa käydä niin, että henkilötietoja antavaa yritystä eivät koskekaan samat tietosuojasäännöt kuin tietoja vastaanottavaa yritystä. Tällainen 2

tilanne aiheuttaa suurta epäselvyyttä sen suhteen, minkälaisia sääntöjä olisi kulloinkin sovellettava, ja saattaa myös vaikeuttaa suuresti tutkimuksia ja yksittäisten rekisteröityjen henkilöiden valitusten käsittelyä. Itsesääntelyn arviointi - lähestymistavan valinta Ottaen huomioon itsesääntelyvälineiden moninaisuuden, on selvää, että erilaiset itsesääntelyn muodot on erotettava toisistaan sillä perusteella, miten ne todella vaikuttavat henkilötietojen siirtämisessä yhteisön ulkopuoliseen maahan sovellettavaan tietosuojaan. Kaikenlaisten tietosuojasääntöjen (luokiteltiinpa ne itsesääntelyksi tai sääntelyksi) arviointi olisi aloitettava yleistä lähestymistapaa noudattaen. Lähestymistapa vahvistettiin keskusteluasiakirjassa "Ensimmäiset suuntaviivat henkilötietojen siirtämiselle yhteisön ulkopuolisiin maihin - Tietosuojan tason riittävyyden arviointimahdollisuudet". Tämä lähestymistapa perustuu sekä välineeseen (jonka olisi sisällettävä tietyt perusperiaatteet) että kyseisen välineen tehokkuuteen pyrittäessä seuraavaan: sääntöjen noudattamisen hyvä taso rekisteröityjen henkilöiden tukeminen ja auttaminen asianmukaiset oikaisukeinot (tarvittaessa korvaus mukaan lukien). Itsesääntelyvälineen sisällön arviointi Tämä on suhteellisen helppo tehtävä. On varmistettava, että ensimmäisiä suuntaviivoja käsittelevässä asiakirjassa esitetyt tarvittavat sisältöperiaatteet otetaan huomioon (katso liite). Tämä voidaan arvioida puolueettomasti, sillä kysymys on sääntöjen sisällöstä, eikä niiden laadintatavasta. Ei ole niinkään oleellista, onko ala on itse vaikuttanut merkittävästi välineen sisältöön. On kuitenkin todennäköisempää, että säännöissä on otettu huomioon vaaditut tietosuojan perusperiaatteet, jos myös rekisteröityjen henkilöiden ja kuluttajajärjestöjen mielipiteet on otettu huomioon jo sääntöjä laadittaessa. Sääntöjen avoimuus on hyvin tärkeää. Säännöt olisi laadittava erityisesti selkeäkielisiksi ja niissä olisi annettava konkreettisia, kuvaavia esimerkkejä. Säännöissä olisi lisäksi kiellettävä tietojen antaminen sellaisille yrityksille, jotka eivät ole jäseniä ja joita säännöt eivät koske, jollei ole huolehdittu muista riittävistä suojatoimenpiteistä. Itsesääntelyvälineen tehokkuuden arviointi Yksittäisen itsesääntelymenettelyn tai -välineen tehokkuuden arviointi on vaikeampaa. Siinä on tiedettävä, miten ja millä keinoin sääntöjen noudattaminen varmistetaan ja miten selviydytään ongelmista, jotka aiheutuvat siitä, että sääntöjä ei noudateta. Kaikki kolme toiminnallista vaatimusta suojelun tehokkuuden arvioimiseksi on täytettävä, jos itsesääntelymenettely on tarkoitus ottaa huomioon suojelun riittävyyden arvioinnissa. 3

Sääntöjen noudattamisen hyvä taso Tavallisesti alaa edustava elin laatii alakohtaiset säännöt, joita sitten sovelletaan kyseisen edustavan elimen jäseniin. Sääntöjen noudattamisen taso riippuu todennäköisesti siitä, kuinka hyvin jäsenistön keskuudessa tunnetaan säännöt ja niiden sisältö, siitä, mitä toimia on toteutettu, jotta menettely olisi avoin kuluttajille, markkinavoimien tehokkaan panoksen varmistamiseksi, ja ulkopuolisesta tarkastusjärjestelmästä (kuten vaatimus sääntöjen noudattamisen tarkastuksesta säännöllisin väliajoin) sekä ehkä eniten seuraamusten luonteesta ja täytäntöönpanosta, jos sääntöjä ei noudateta. Tämän vuoksi seuraavat kysymykset ovat tärkeitä: Miten edustava elin varmistaa, että sen jäsenistö tuntee säännöt? Vaatiko edustava elin jäsenistöltään todisteita siitä, että säännöt on otettu käyttöön? Jos vaatii, niin kuinka usein? Antaako jäsenyritys itse vaadittavat tiedot vai saadaanko ne ulkopuolisesta lähteestä (kuten valtuutetulta tarkastajalta)? Tutkiiko edustava elin tapaukset, joissa oletetaan tai epäillään, että sääntöjä on rikottu? Onko sääntöjen noudattaminen edustavan elimen jäsenyyden edellytys vai onko sääntöjen noudattaminen täysin vapaaehtoista? Kun on näytetty toteen, että jäsen on rikkonut sääntöjä, millaisia kurinpidollisia seuraamuksia edustavalla elimellä on käytettävissään (erottaminen tms.)? Voiko yksityinen henkilö tai yritys jatkaa työskentelyä alallaan edustavasta elimestä erottamisen jälkeenkin? Voidaanko sääntöjen noudattaminen varmistaa muilla tavoin, esimerkiksi tuomioistuimen tai erityistuomioistuimen avulla? Joissakin maissa ammattietiikkasäännöt ovat oikeudellisesti velvoittavia. Joissakin oloissa voidaan ehkä soveltaa myös yleisiä lakeja, jotka liittyvät oikeudenmukaiseen kaupankäyntiin tai jopa kilpailuun, alan sääntöjen panemiseksi täytäntöön. Tutkittaessa käytössä olevia seuraamuksia on tärkeää erottaa toisistaan niin sanottu korjaava seuraamus eli yksinkertaisesti vaatimus, että rekisterinpitäjä, joka ei ole noudattanut sääntöjä, muuttaa käytäntönsä sääntöjä vastaaviksi, ja pidemmälle menevä seuraamus eli rekisterinpitäjän rankaiseminen, jos sääntöjä ei ole noudatettu. Itse asiassa vasta tämä jälkimmäinen niin sanottu rankaiseva seuraamus vaikuttaa rekisterinpitäjien käyttäytymiseen tulevaisuudessa, koska se kannustaa noudattamaan sääntöjä jatkuvasti. Todella ennaltaehkäisevien ja rankaisevien seuraamusten puuttuminen on menettelyn heikkous. Ilman tällaisia seuraamuksia on vaikea nähdä, miten sääntöjen noudattamisessa voidaan päästä hyvälle tasolle, ellei käytössä ole tiukkaa ulkoista tarkastusjärjestelmää (kuten toimivaltaista viranomaista tai yksityistä tahoa, joka voi 4

ryhtyä toimiin, jos sääntöjä ei noudateta, tai pakollista vaatimusta ulkopuolisesta tarkastuksesta säännöllisin väliajoin). Rekisteröityjen henkilöiden tukeminen ja auttaminen Keskeistä riittävässä ja tehokkaassa tietosuojajärjestelmässä on se, että henkilöä, jolla on henkilötietoihinsa liittyviä ongelmia, ei jätetä yksin vaan hänelle annetaan institutionaalista tukea ongelmista selviytymiseksi. Tämän tuen olisi oltava puolueetonta ja riippumatonta ja siihen olisi sisällytettävä riittävät valtuudet tutkia kaikki rekisteröidyn henkilön valitukset. Olennaisia itsesääntelyyn liittyviä kysymyksiä ovat: Onko käytössä järjestelmää, joka mahdollistaa yksittäisten rekisteröityjen henkilöiden valitusten tutkimisen? Kuinka rekisteröidyille henkilöille ilmoitetaan tästä järjestelmästä ja yksittäisissä tapauksissa tehdyistä päätöksistä? Aiheutuuko rekisteröidylle henkilölle kustannuksia? Kuka toteuttaa tutkimuksen? Onko heillä riittävät valtuudet? Kuka ratkaisee tapauksen, jossa sääntöjä väitetään rikotun? Onko kyse riippumattomista ja puolueettomista tahoista? Tuomarin tai välimiehen puolueettomuus on olennaisen tärkeää kaikissa tapauksissa, joissa sääntöjä väitetään rikotun. Selvästikin tällaisen henkilön tai elimen on oltava riippumaton suhteessa rekisterinpitäjään, mikä yksin ei kuitenkaan ole riittävä tae puolueettomuudesta. Parhaimmassa mahdollisessa tapauksessa välimiehen olisi tultava kyseisen alan ulkopuolelta, koska saman alan muiden jäsenten edut ovat selvästikin samat kuin rekisterinpitäjällä, jonka väitetään rikkoneen sääntöjä. Jos näin ei ole, ratkaisun tekevän elimen puolueettomuus voidaan varmistaa siten, että alan edustajien joukkoon valitaan vastaava määrä kuluttajien edustajia. Asianmukaiset oikaisukeinot Jos voidaan osoittaa, että itsesääntelymenettelyä vastaan on rikottu, rekisteröidyllä henkilöllä olisi oltava muutoksenhakukeino, jota käyttämällä ongelma on voitava ratkaista (esim. väärien tietojen korjaaminen ja tuhoaminen, sääntöjen vastaisiin tarkoituksiin tehtävien tietojenkäsittelyjen lopettaminen). Rekisteröidylle henkilölle on lisäksi maksettava asianmukainen korvaus, jos hän on kärsinyt vahinkoa. Olisi pidettävä mielessä, että tietosuojadirektiivin mukaisesti vahingolla tarkoitetaan aineellista vahinkoa ja taloudellisia menetyksiä sekä aiheutuneita henkisiä kärsimyksiä (jotka Yhdistyneen kuningaskunnan ja Yhdysvaltojen lainsäädännössä määritellään sanalla "distress"). Monet "sääntöjen noudattamisen hyvä taso" -kohdan seuraamuksia koskevista kysymyksistä soveltuvat tähänkin kohtaan. Kuten edellä todettiin, seuraamuksilla on kaksi tehtävää: rankaista sääntöjen rikkojaa (ja näin rohkaista sääntöjen rikkojaa ja muita noudattamaan sääntöjä) ja korjata tilanne, jossa on rikottu sääntöjä. Tässä 5

keskitytään lähinnä tilanteen korjaamiseen ja näin ollen esitetään vielä seuraavat kysymykset: Voidaanko todistaa, että jäsen, joka on rikkonut sääntöjä, on muuttanut käytäntöjään ja korjannut tilanteen? Voivatko yksityishenkilöt saada korvausta sääntöjen mukaan ja miten tämä tapahtuu? Vastaako sääntöjen rikkominen sopimusrikkomusta tai onko rikkomuksesta julkisoikeudellisia seuraamuksia (esim. kuluttajansuoja, epäterve kilpailu) ja voidaanko tältä pohjalta myöntää vahingonkorvausta toimivaltaisessa tuomioistuimessa? Päätelmät Itsesääntelyn arviointi olisi tehtävä ensimmäisiä suuntaviivoja koskevassa asiakirjassa esitetyn puolueettoman ja toiminnallisen lähestymistavan mukaisesti. Jotta itsesääntelyvälineen voitaisiin katsoa takaavan riittävän suojelun tason, sen on velvoitettava kaikkia jäseniä, joille tietoja siirretään, ja sen on sisällettävä riittävät suojakeinot, jos tietoja siirretään muille kuin jäsenille. Välineen on oltava avoin ja sen on sisällettävä tietosuojan perusperiaatteet. Välineeseen on sisällyttävä menettelyjä, joilla taataan tehokkaasti sääntöjen noudattamisen hyvä taso. Ennaltaehkäisevien ja rankaisevien seuraamusten järjestelmä on yksi tapa varmistaa sääntöjen noudattaminen ja pakolliset ulkopuoliset tarkastukset ovat toinen. Välineen on tuettava ja autettava rekisteröityjä henkilöitä, joilla on omiin henkilötietojensa käsittelyyn liittyviä ongelmia. Tämän vuoksi käytössä on oltava helposti tavoitettava, puolueeton ja riippumaton elin, jolle rekisteröidyt henkilöt voivat esittää valituksensa ja joka ratkaisee sääntöjen rikkomustapaukset. On varmistettava, että väline sisältää asianmukaiset oikaisukeinot, jos sääntöjä ei ole noudatettu. Rekisteröidyn henkilön käytössä on oltava muutoksenhakukeino ongelmansa selvittämiseksi ja tarvittaessa korvauksen saamiseksi. 6

EUROOPAN KOMISSIO PÄÄOSASTO XV Sisämarkkinat ja rahoituspalvelut Tiedon vapaa liikkuvuus yhtiöoikeus ja rahoitustiedot Tiedon vapaa liikkuvuus, tietosuoja ja siihen liittyvät kansainväliset asiat XV D/5020/97-FI lopullinen WP4 LIITE YKSILÖIDEN SUOJELUA HENKILÖTIETOJEN KÄSITTELYSSÄ KOSKEVA TYÖRYHMÄ Ensimmäiset suuntaviivat henkilötietojen siirtämiselle yhteisön ulkopuolisiin maihin - Tietosuojan tason riittävyyden arviointimahdollisuudet Työryhmän 26 päivänä kesäkuuta 1997 antama keskusteluasiakirja 7

(i) Sisältöperiaatteet On ehdotettu seuraavia periaatteita: (1) Käyttötarkoituksen rajoittamisen periaate - tietoja olisi käsiteltävä, käytettävä ja siirrettävä edelleen vain tiettyä tarkoitusta varten. Tästä säännöstä voidaan poiketa ainoastaan direktiivin 13 artiklassa lueteltujen syiden perusteella, jos se on välttämätöntä demokraattisessa yhteiskunnassa. (2) Tietojen laatu ja suhteellisuusperiaate - tietojen olisi oltava ovat täsmällisiä ja tarvittaessa päivitettyjä. Tietojen olisi oltava asianmukaisia, olennaisia eikä liian laajoja siihen tarkoitukseen, mitä varten ne on siirretty ja missä niitä myöhemmin käsitellään. (3) Avoimuusperiaate - rekisteröidyille henkilöille olisi ilmoitettava tietojen käsittelyn tarkoitus ja rekisterinpitäjä yhteisön ulkopuolisessa maassa sekä muut mahdolliset tiedot siltä osin kuin se on tarpeen oikeudenmukaisuuden varmistamiseksi. Tästä voidaan poiketa ainoastaan direktiivin 11 artiklan 2 kohdan ja 13 artiklan perusteella. (4) Turvallisuusperiaate - rekisterinpitäjän olisi toteutettava käsittelyn riskeihin suhteutetut tarpeelliset tekniset ja organisatoriset turvallisuustoimenpiteet. Kukaan rekisterinpitäjän alaisuudessa toimiva, käsittelijä mukaan lukien, ei saa käsitellä tietoja muutoin kuin rekisterinpitäjän ohjeiden mukaan. (5) Oikeus saada ja oikaista tietoja sekä kieltää tietojenkäsittely - rekisteröidyllä henkilöllä olisi oltava oikeus saada kaikki häntä koskevat, käsiteltävät tiedot sekä oikeus korjata virheellisiksi osoitetut tiedot. Joissakin tapauksissa rekisteröidyn henkilön on voitava kieltää häntä koskevien tietojen käsittely. Näistä oikeuksista voidaan poiketa ainoastaan direktiivin 13 artiklan perusteella. (6) Tietojen siirtämistä edelleen yhdestä yhteisön ulkopuolisesta maasta toiseen koskevat rajoitukset - henkilötietojen siirtäminen yhdestä yhteisön ulkopuolisesta maasta toiseen olisi sallittava ainoastaan, jos myös toinen yhteisön ulkopuolinen maa takaa riittävän tietosuojan tason. Tästä voidaan poiketa ainoastaan direktiivin 26 artiklan perusteella. Esimerkkejä muista periaatteista, joita voidaan soveltaa erilaisissa käsittelyissä: (1) Arkaluonteiset tiedot - kun on kyse arkaluonteisista tietoryhmistä (jotka on lueteltu 8 artiklassa), olisi käytössä oltava ylimääräisiä suojatoimia, kuten vaatimus, että rekisteröity antaa nimenomaisen suostumuksensa tietojenkäsittelyyn. (2) Suoramarkkinointi - kun tietoja siirretään suoramarkkinointia varten, rekisteröidyn henkilön on voitava saada milloin tahansa valita, että hänen tietojaan ei käytetä suoramarkkinointitarkoituksiin. 8

(3) Automatisoidut yksittäispäätökset - kun tietojen siirron tarkoituksena on tehdä automatisoitu päätös direktiivin 15 artiklan mukaisesti, yksityishenkilöllä on oltava oikeus saada tietää, millä perusteilla päätös on tehty. Lisäksi olisi toteutettava asianmukaisia toimenpiteitä yksityishenkilön oikeutetun edun turvaamiseksi. 9