Oikeusministeriö E-KIRJE OM2010-00055 LAVO Rantalankila Leena 11.03.2010 Eduskunta Suuri valiokunta Viite Asia EU/OSA; Henkilötietojen suojaa ja tietojen jakamista lainvalvonnan alalla koskeva tuleva EU:n ja Yhdysvaltain välinen sopimus (EU-USA tietosuojasopimus) - komission järjestämä julkinen kuuleminen U/E-tunnus: EUTORI-numero: EU/2010/0702 Ohessa lähetetään perustuslain 97 :n mukaisesti selvitys komission järjestämästä julkisesta kuulemisesta, joka koskee mahdollista tulevaa EU:n ja Yhdysvaltojen välistä tietosuojasopimusta. Ylijohtaja Pekka Nurmi Neuvotteleva virkamies Leena Rantalankila LIITTEET Komission internetissä julkaisema kyselylomake, muistio 11.3.2010
2(2) Asiasanat Hoitaa Tiedoksi oikeus- ja sisäasiat, oikeudellinen yhteistyö rikosasioissa, poliisiyhteistyö, tietosuoja, henkilötiedot, Yhdysvallat VM, LVM, OM, SM, UM TPK, TEM, MMM, TH, STM, PLM, EUE, OPM, VNEUS, MAVI Lomakepohja: Eduskuntakirjelmä
Oikeusministeriö PERUSMUISTIO OM2010-00056 LAVO Rantalankila Leena 11.03.2010 Asia EU/OSA; Henkilötietojen suojaa ja tietojen jakamista lainvalvonnan alalla koskeva tuleva EU:n ja Yhdysvaltain välinen sopimus (EU-USA tietosuojasopimus) - komission järjestämä julkinen kuuleminen Kokous Liitteet Viite EUTORI/Eurodoc nro: EU /2010/0702 U-tunnus / E-tunnus: Käsittelyn tarkoitus ja käsittelyvaihe: Ennakkovaikuttaminen. Euroopan komissio on käynnistänyt 28.1.2010 julkisen kuulemismenettelyn (http://ec.europa.eu/justice_home/news/consulting_public/news_consulting_0005_en.ht m) tulevasta henkilötietojen suojaa ja tietojen jakamista lainvalvonnan alalla koskevasta EU:n ja Yhdysvaltain välisestä sopimuksesta (EU-USA tietosuojasopimus). Valtioneuvoston tarkoituksena on, että Suomi osallistuu kuulemismenettelyyn, joka päättyy 12.3.2010. Suomen vastaukset lähetetään komissiolle sen jälkeen kun eduskunta on saanut asian käsittelyn päätökseen. Komissio on ilmoittanut, että kuulemisen päättymisen jälkeenkin voi vielä parin viikon ajan lähettää kommentteja komission kuulemissähköpostiin. Kommentteja ei lisätä enää julkiseen kuulemistulokseen, mutta komissio ottaa ne huomioon jatkotyössään. Suomi osallistui komission asiasta 2.2.2010 järjestämään epäviralliseen asiantuntijakokoukseen, johon oli kutsuttu tietosuoja-asiantuntijoita keskustelemaan ja keräämään ideoita tulevaa sopimusta koskevia neuvotteluja varten. Kokouksessa keskusteltiin mm. siitä, mitä lisäarvoa sopimus voisi tuottaa EU:lle tietosuojan näkökulmasta. Vastaavanlainen kokous on järjestetty myös jäsenvaltioiden lainvalvontaviranomaisille ja yksityissektorille. Suomi osallistui lainvalvontaviranomaisille 10.3.2010 järjestettyyn kokoukseen. Komission tarkoituksena on antaa ehdotus sopimusta koskevaksi neuvottelumandaatiksi vuoden 2010 alkupuoliskolla..
Asiakirjat: 2(8) Komission internetissä julkaisema kyselylomake EU:n oikeuden mukainen oikeusperusta/päätöksentekomenettely: SEU 11 artiklan 3 kohdan mukaan Euroopan komissio kuulee laajasti asianomaisia osapuolia varmistaakseen unionin toimien johdonmukaisuuden ja avoimuuden. Käsittelijä(t): OM/ Nvm Leena Rantalankila, puh. 160 67836 SM/Nvm Jouko Huhtamäki, puh. 07187 8556 Suomen kanta/ohje: 1. Sopimuksen tarkoitus Tulevan sopimuksen tulisi olla puitesopimus, joka määrittelisi tietosuojan yleiset periaatteet, joita tulisi aina noudattaa. Yleinen tietosuojasopimus ei voisi muodostaa oikeusperustaa lainvalvontatarkoituksissa tapahtuville tietojen siirroille. Tietojen siirroista tulisi aina määrätä erityissopimuksissa, joihin tulisi sisällyttää tarvittavat tietosuojan lisätakeet. Tietosuojasopimukseen ei tulisi ottaa määräyksiä tietojen siirron vastavuoroisuudesta ja vaikutuksista kolmasmaasuhteisiin. Nämä määräykset tulisi sisällyttää tietojen siirtoja koskeviin erityissopimuksiin. 2.Sopimuksen soveltamisala 2.1 Aineellinen soveltamisala Suomi katsoo, että sopimuksen tietosuojaperiaatteita tulisi soveltaa lainvalvontatarkoituksissa tapahtuviin henkilötietojen siirtoihin Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) V osaston 5 luvussa tarkoitetun poliisiyhteistyön alalla. Sopimuksen tulisi siten kattaa kaikkien toimivaltaisten viranomaisten, kuten poliisi- ja tulliviranomaisten sekä rikosten ehkäisemiseen, paljastamiseen ja tutkintaan erikoistuneiden muiden lainvalvontaviranomaisten suorittamat henkilötietojen siirrot. Suomessa tällaisia muita lainvalvontaviranomaisia ovat rajavartioviranomaiset. Lainvalvontatarkoitukset tulisi määritellä sopimuksessa ja määritelmän pitäisi olla yhteinen EU:lle ja USA:lle. Sopimuksen tulisi kattaa henkilötietojen suojan myös silloin kun tietoja siirretään SEUT V osaston 4 luvussa tarkoitetun rikosoikeudellisen yhteistyön puitteissa. Mahdollisesti saattaisi olla hyödyllistä laajentaa soveltamisala koskemaan myös muita SEUT 5 osaston vapauden, turvallisuuden ja oikeuden alueita kuten
3(8) maahanmuuttoa, viisumi- ja turvapaikka-asioita ja siviilioikeudellista yhteistyötä. Laajempi soveltamisala saattaisi olla perusteltavissa, jos soveltamisalan laajentaminen tuottaisi lisäarvoa EU:lle tietosuojan näkökulmasta. Soveltamisalan laajentaminen saattaisi olla perusteltua, jos sopimuksen tietosuojaperiaatteet olisivat hyvät ja kaikille soveltamisalan piiriin kuuluville aloille sopivat. Useille aloille sopivat periaatteet saattaisivat kuitenkin jäädä liian yleisiksi, jolloin ne eivät tuottaisi kovin paljon lisäarvoa tietosuojan näkökulmasta. Sen vuoksi saattaa olla aiheellista rajata sopimuksen soveltamisala ainakin tässä vaiheessa koskemaan vain edellä mainittua poliisi- ja rikosoikeudellisen yhteistyön alaa, jotta tälle alalle saataisiin räätälöityä mahdollisimman sopivat tietosuojaperiaatteet. Sopimuksen hyvin laaja soveltamisala saattaisi myös viivästyttää sopimuksen tekemistä. 2.2. Henkilöllinen ulottuvuus Suomi katsoo, että sopimuksen tulisi kattaa sekä viranomaisten väliset että yksityisiltä osapuolilta lainvalvontaviranomaisille tapahtuvat henkilötietojen siirrot, koska tällaisia siirtoja on eräissä tapauksissa pidetty perusteltuina (esim. PNRtietojen siirtoa koskevat sopimukset). Paras ratkaisu yksityisiltä tapahtuvien siirtojen osalta saattaisi olla, että siirrot tapahtuisivat lainvalvontaviranomaisten välityksellä. Tältä osin asia tulee kuitenkin ratkaista erikseen kunkin siirron osalta siirtoa koskevassa erityissopimuksessa. Koska tulevan sopimuksen tulisi sisältää vain tietosuojaa koskevat yleiset periaatteet, yksityisiltä tapahtuvien tietojen siirron edellytykset määräytyisivät erityissopimusten perusteella. 3. Sopimuksen luonne Suomi katsoo, että sopimuksen tulisi olla vain tietosuojasopimus eikä siinä tulisi määrätä tietojen jakamisesta (information sharing). Näin ollen sopimukseen ei ole tarvetta ottaa määräyksiä vastavuoroisuudesta. Mikäli kuitenkin päädyttäisiin siihen, että sopimuksessa määrättäisiin myös tietojen jakamisesta, sopimuksessa tulisi määrätä myös vastavuoroisuudesta. 4. Tietosuojaperiaatteet 4.1. Vastuu/tilivelvollisuus (accountability) Suomi katsoo, että sopimukseen tulisi ottaa määräykset yhteisestä tarkastelumekanismista (joint review). 4.2. Rekisteröidyn tarkastusoikeus
4(8) Suomi katsoo, että kaikilla rekisteröidyllä tulee aina olla tarkastusoikeus häntä koskeviin tietoihin kansallisuudesta ja asuinmaasta riippumatta. Tarkastusoikeus tulee voida toteuttaa joko suoraan tai itsenäisen viranomaisen välityksellä. 4.3. Yksi kontaktipiste On huolehdittava siitä, että rekisteröidyt tietävät kenen puoleen he voivat kääntyä, jos he katsovat, että heidän henkilötietojaan on käsitelty sopimuksen vastaisesti. Tämä voidaan toteuttaa esimerkiksi sopimukseen otettavilla määräyksillä kontaktipisteestä/kontaktipisteistä ja rekisteröityjen informoinnilla. 4.4. Oikeudellinen oikaisu (judicial redress) Suomi pitää erittäin tärkeänä, että rekisteröidyillä on käytettävissään tehokkaat ja riittävät oikeussuojakeinot, kun he katsovat, että heidän henkilötietojaan on käsitelty sopimuksen vastaisesti. Erityisesti rekisteröidyllä tulee olla oikeus saada henkilötietojensa käsittelyä koskeva päätös tuomioistuimen tai muun riippumattoman lainkäyttöelimen käsiteltäväksi. Ketään ei tule tässä suhteessa syrjiä kansallisuuden tai asuinmaan perusteella. Muut kommentit Suomi puoltaa kansainvälisen sopimuksen tekemistä. Sopimus lisäisi oikeusvarmuutta ja vahvistaisi tietosuojaa siirrettävien tietojen käsittelyssä. Suomi pitää tavoiteltavana, että sopimus kattaisi myös jo aiemmat USA:n kanssa tehdyt tietojenvaihtoa koskevat sopimukset. Suomi korostaa, että henkilötietojen luovutuksissa kolmansiin maihin tulee jatkossakin aina huolehtia perusoikeuksien ja riittävän tietosuojan tason toteutumisesta. Pääasiallinen sisältö: Komission kysely sisältää sopimuksen tarkoitusta, soveltamisalaa, sopimuksen luonnetta ja tietosuojaperiaatteita koskevia kysymyksiä. Lisäksi annetaan mahdollisuus esittää muitakin tulevaa sopimusta koskevia kommentteja. Komissio esittää seuraavat kysymykset: 1. Sopimuksen tarkoitus Mikä tulisi olla sopimuksen tarkoitus/tarkoitukset? Tulisiko sopimuksen määritellä tietosuojastandardit EU:n ja USA:n väliselle lainvalvontayhteistyölle? Vai pitäisikö sen käsitellä myös laajempia, transatlanttiseen lainvalvontayhteistyöhön liittyviä henkilötietojen käsittelyä ja siirtoa koskevia kysymyksiä kuten tietojen siirron vastavuoroisuutta ja vaikutuksia kolmasmaasuhteisiin?
2. Sopimuksen soveltamisala 5(8) 2.1. Aineellinen soveltamisala? Tulisiko sopimuksen kattaa henkilötietojen suojan kun tietoja siirretään poliisiyhteistyöhön liittyen vapauden, turvallisuuden ja oikeuden alueella (Sopimus Euroopan unionin toiminnasta (SEUT) V osaston 5 luku)?? Tulisiko sen kattaa henkilötietojen suojan myös silloin kun tietoja siirretään rikosoikeudellisen yhteistyön puitteissa? (SEUT V osaston 4 luku)?? Tulisiko sopimusta soveltaa henkilötietojen siirtoihin myös muilla vapauden, turvallisuuden ja oikeuden politiikan aloilla, eli maahanmuuton turvallisuuselementtien, viisumi- ja turvapaikka-asioiden sekä siviilioikeudellisen yhteistyön aloilla. 2.2. Henkilöllinen ulottuvuus? Tulisiko sopimuksen kattaa ainoastaan viranomaisten väliset tietojen siirrot?? Vai tulisiko sopimusta soveltaa myös transatlanttisiin siirtoihin yksityisiltä osapuolilta lainvalvontaviranomaisille? Tulisiko tietojen siirroille yksityisiltä osapuolilta asettaa erilaiset ehdot kuin lainvalvontaviranomaisilta tapahtuville? 3. Sopimuksen luonne Tulisiko sopimuksessa määrätä, että EU:n ja USA:n lainvalvontaviranomaiset voivat pyytää toisiltaan samoja tietoja/tietokategorioita ja henkilötietoja (vastavuoroisuus)? 4. Tietosuojaperiaatteet 4.1.Vastuu/tilivelvollisuus (accountability) Tulisiko sopimuksessa määrätä vastuun toteuttamisesta ja seurauksista, esim. sisäisistä ja ulkoisista tarkastelumenettelyistä? Tulisiko sopimuksessa määrätä erityisesti yhteisestä tarkastelumekanismista? 4.2. Rekisteröidyn tarkastusoikeus? Tulisiko sopimuksen sisältää edellytykset rekisteröidyn oikeudelle tarkastaa omat henkilötietonsa?? Ellei rekisteröidyn suora pääsy tietoihin olisi perustelluista syistä mahdollista, pitäisikö sopimuksen mahdollistaa tarkastusoikeuden toteuttaminen välillisesti käsittelyä valvovan itsenäisen viranomaisen välityksellä tiedot lähettävässä tai vastaanottavassa maassa? 4.3. Yksi kontaktipiste? Tulisiko sopimuksessa määrätä yhdestä USA:ssa olevasta kontaktipisteestä, joka käsittelisi huolia, jotka liittyvät EU:sta siirrettyjen tietojen tietosuojaan?
6(8)? Tulisiko sopimuksessa määrätä yhdestä EU:ssa sijaitsevasta kontaktipisteestä, joka käsittelisi huolia, jotka liittyvät USA:sta siirrettyjen tietojen tieto tietosuojaan?? Tulisiko sopimukseen sisällyttää nimenomaiset määräykset tavoista, joilla avoimuus ja USA:n ja EU:n tietosuojaviranomaisten apu rekisteröidyille toteutetaan? 4.4. Oikeudelliset muutoksenhakukeinot (judicial redress)? Tulisiko sopimuksessa määrätä tehokkaista oikeudellisista muutoksenhakukeinoista, jotka olisivat rekisteröityjen käytettävissä, kun he katsovat, että heidän oikeuksiaan tietosuojaan ei ole kunnioitettu? Miten tämä voitaisiin saavuttaa?? Tulisiko sellaisia syrjiviä lakeja muuttaa, jotka epäävät mahdollisuuden oikeuskäsittelyyn kansallisuuden tai asuinmaan perusteella? 5. Muut kommentit Komission kyselyssä annetaan mahdollisuus esittää mitä tahansa muita tulevaa sopimusta koskevia kommentteja. Tausta: Epävirallinen tietojen vaihtoa, yksityisyyttä ja tietosuojaa käsittelevä EU:n ja Yhdysvaltojen korkean tason kontaktiryhmä (EU-US High Level Contact Group on information sharing and data protection, HLCG ) perustettiin EU:n ja Yhdysvaltojen oikeus- ja sisäasioiden ministeritroikkakokouksessa 6.11.2006. Työryhmässä oli komission, puheenjohtajavaltion ja Yhdysvaltojen edustus. Kontaktiryhmä keskusteli yksityisyydestä ja henkilötietojen suojasta lainvalvontatarkoituksissa tapahtuvassa tietojen vaihdossa osana laajempaa pohdiskelua siitä, miten parhaiten voitaisiin torjua ja vastustaa terrorismia ja vakavaa kansainvälistä rikollisuutta. Ryhmän tavoitteena oli tutkia tapoja, jotka mahdollistaisivat EU:n ja Yhdysvaltojen tiiviimmän yhteistyön lainvalvontatarkoituksissa tapahtuvassa tietojen vaihdossa siten, että samalla varmistettaisiin henkilötietojen suoja ja yksityisyys. Työryhmä esitteli loppuraporttinsa 28.5.2008 ja lisäyksen siihen 28.10.2009. Raporteissa identifioidaan yksityisyyttä ja henkilötietojen suojaa koskevia perusperiaatteita ja näihin liittyen joukko muita EU:n ja Yhdysvaltojen transatlanttiseen suhteeseen kuuluvia asioita. Työryhmä luovutti loppuraporttinsa EU-US huippukokoukselle 12.6.2008. Huippukokous antoi julkilausuman, jonka mukaan paras tapa käsitellä asiaa olisi sitovan kansainvälisen sopimuksen tekeminen raportin kattamista asioista. Eurooppa-neuvosto pyytää Tukholman ohjelmassa komissiota ehdottamaan lainvalvontatarkoitusta varten suositusta tietosuojaa ja mahdollisesti tiedonsiirtoa koskevien sopimusten neuvottelemiseksi Amerikan yhdysvaltojen kanssa tietosuojaa käsittelevän EU:n ja Yhdysvaltojen korkean tason kontaktiryhmän työn pohjalta. Euroopan tietosuosuojavaltuutettu antoi 11.11.2008 lausunnon korkean tason kontaktiryhmän vuoden 2008 loppuraportista.
Kansallinen käsittely: 7(8) E-kirje on valmisteltu yhteistyössä sisäasiainministeriön kanssa ja käsitelty oikeus- ja sisäasiat -jaoston (EU 7) kirjallisessa menettelyssä 9.-10.3.2010. Eduskuntakäsittely: Eduskuntaa on informoitu korkean tason kontaktiryhmän loppuraportista E-kirjeellä 56/2008 vp. Käsittely Euroopan parlamentissa: Kansallinen lainsäädäntö, ml. Ahvenanmaan asema: Taloudelliset vaikutukset: Valtioneuvosto tulee selvittämään, onko mahdollisesti neuvoteltava sopimus Ahvenanmaan toimivaltaan kuuluva tai erityisen tärkeä maakunnalle. - Muut mahdolliset asiaan vaikuttavat tekijät:
8(8) Asiasanat Hoitaa Tiedoksi Lomakepohja: Perusmuistio, EU-ohje
Consultation on the future EU-US international agreement on personal data protection and information sharing for law enforcement purposes All stakeholders and organisations involved in the protection of personal data and/or processing, transfer or sharing of information for law enforcement purposes in the transatlantic context as well as the general public are invited to respond to the public consultation. In addition to this electronic consultation, the Commission is organising meetings to seek the views of personal data protection authorities of the European Economic Area, European Union Member States' ministries for justice, home affairs as well as law enforcement authorities, and private sector representatives. Moreover, the Commission is keeping fully informed the European Parliament at all stages of the negotiation procedure as stipulated in Article 218 (10) of the Treaty on the Functioning of the European Union. Comments by the aforementioned entities as part of the electronic consultation are also welcome. Contributions received in reply to the consultation will be published on the internet at the Commission's website. Publication will be regarded as acknowledgement of receipt of your contribution by the Commission. If you do not wish your contribution to be made public, please indicate this clearly at the beginning of your reply. In that case, your reply will also not be mentioned in future documents that may refer to this consultation. This document has been prepared by the Commission services for consultation purposes. It does not in any way prejudge, or constitute the announcement of, any position on the part of the Commission on the issues covered. Background: Law enforcement agencies on both sides of the Atlantic collect and process personal data in order to prevent, detect and prosecute crime and terrorism. The transfer of personal data is an essential element of transatlantic law enforcement cooperation in order to fight serious transnational crime and terrorism effectively. Consequently the protection of personal data in the context of the processing and transfer of data for law enforcement purposes has been the subject of discussions and negotiations of international agreements between the European Union and the United States of America (US) over the past years. 1 A High Level Contact Group on information sharing and privacy and personal data protection (HLCG) was established by the EU-US Justice and Home Affairs Ministerial Troika on 6 November 2006 to discuss privacy and personal data protection in the context of the exchange of information for law enforcement purposes as part of a wider reflection on how to best prevent and fight terrorism and serious transnational crime. The goal of this group was to explore ways enabling the EU and the US to work more closely together in the exchange of law enforcement information while ensuring that the protection of personal data and privacy are guaranteed. The HLCG presented a final report on 28 May 2008 and an addendum to this report on 28 October 2009 which identified a set of core privacy and data protection principles and a set of related issues pertinent to the EU-US transatlantic relationship. The European Council invites the Commission in the Stockholm Programme to propose a recommendation for the negotiation of a data protection and, where necessary, data 1 US-Europol cooperation agreements: http://www.europol.europa.eu/legal/agreements/agreements/16268-2.pdf; http://www.europol.europa.eu/legal/agreements/agreements/16268-1.pdf; US-Eurojust agreement: http://www.eurojust.europa.eu/official_documents/agreements/061106_ej-us_cooperation_agreement.pdf; 2007 Agreement between the European Union and the United States of America on the processing and transfer of Passenger Name Record (PNR) data by air carriers to the United States Department of Homeland Security (DHS), OJ L 204 of 4.8.2007, p. 16; Agreement between the European Union and the United States of America on the processing and transfer of Financial Messaging Data from the European Union to the United States for purposes of the Terrorist Finance Tracking Programme, OJ L 8 of 13.1.2010, p. 9
sharing agreement for law enforcement purposes with the US, building on the work of the HLCG. The European Data Protection Supervisor presented an opinion on the HLCG 2008 report on 11 November 2008. This paper non-exhaustively lists questions on which the Commission wishes to seek the opinions of stakeholders with a view to a future EU-US agreement on personal data protection and information sharing for law enforcement purposes. 1. Purpose What should be the purpose(s) of the agreement? Should the agreement only establish data protection standards for EU-US law enforcement cooperation? Or should it address also wider issues related to the processing and transfer of personal data in the context of transatlantic law enforcement cooperation, e.g. reciprocal information transfer or impact on relations with other third countries? 2. Scope of the agreement 2.1. Material scope Should the agreement cover personal data protection when information is transferred that pertains to police cooperation in the area of freedom, security and justice (Title V chapter 5 of the Treaty on the Functioning of the European Union (TFEU)? Should it also cover personal data protection when information is transferred in the course of judicial cooperation in criminal matters (Title V chapter 4 TFEU)? Should it also be applicable to the transfer of personal data in the context of other Union policies within the area of freedom, justice and security, i.e. the security elements of immigration, visa, asylum and civil law cooperation? 2.2. Personal scope Should the agreement only cover government-to-government transfers of information? Or should it also be applicable to transatlantic transfers of personal data from private entities to law enforcement authorities? If so, should the conditions on private public data transfers be in any way different from the government-to-government transfers? 2
3. Nature of the agreement: Should the agreement include a provision to the effect that EU and US law enforcement authorities may request from each other the same types/categories of information and personal data (reciprocity)? 4. Data Protection Principles 4.1 Accountability Should the agreement provide for modalities and consequences of "accountability", e.g. internal and external review procedures? Should the agreement notably provide for a joint review mechanism? 4.2. Individual Access Should the agreement spell out the conditions for the right to access one's own personal data? If there is no possibility to directly access one's own personal data for justified reasons, should the agreement provide for the possibility of indirect verification through an independent authority responsible for the oversight of the processing in the sending or recipient country? 4.3. Single contact points Should the agreement provide for a single contact point in the US in case of data protection concerns related to data transferred from the EU? Should the agreement provide for a single contact point in the EU in case of data protection concerns related to data transferred from the US? Should the modalities for transparency and assistance to data subjects by US and EU data protection supervisory authorities be spelled out in the agreement? 4.4. Judicial redress Should the agreement lay down provisions for effective access to courts for data subjects that believe that their data protection rights have not been respected? How could this be achieved? Should laws which discriminate in respect of access to the courts on grounds of nationality or residence be amended? 5. Any other comment You may introduce here any other comment you would like to make on the future European Union (EU) - United States of America (US) international agreement on personal data protection and information sharing for law enforcement purposes. 3