Rauno Korhonen oikeusinformatiikan professori, OTT, VT oikeustieteiden tiedekunta Lapin yliopisto 19.9., klo 14.00 EUROOPAN UNIONIN TULEVA TIETOSUOJAUUDISTUS MUUTOKSEN PÄÄLINJAT Informaatiohallinnon päivä 2012 20. 21.9.2012 Korundi, Rovaniemi
Johdanto Mielipiteitä tietosuojasta EU:n komission Erityisen Eurobarometrin (Special Eurobarometer 359; kesäkuu 2011; Tietosuojaa ja sähköistä identiteettiä koskevat asenteet Euroopan unionissa) mukaan: 74 % eurooppalaisista näkee henkilötietojen luovuttamisen kasvavana osana nykyistä elämänmuotoa. 43 % Internetin käyttäjistä sanoo henkilötietojensa kysytyn enemmän kuin on tarpeen ja välttämätöntä. Noin kolmannes eurooppalaisista on tietoinen siitä, että kussakin maassa on olemassa kansallinen tietosuoja asioista vastaava viranomainen. 90 % eurooppalaisista haluaa samat tietosuojasäännökset ja oikeudet koko Euroopan unioniin!
Henkilötietodirektiivistä henkilötietolakiin Henkilörekisterilaki 1987 EU:n vuoden 1995 henkilödirektiivi asetti eräänlaisen merkkipaalun henkilötietojen suojan (tietosuojan) historiassa. Direktiivin perusperiaatteina on varmistaa sisämarkkinoiden toiminta ja yksilöiden henkilötietojen tehokas suoja perusoikeutena. Suomen henkilötietolaki (523/1999), eli tietosuojan yleislaki, tuli voimaan kesällä 1999. Erityisaloille annettu lukuisia omia tietosuojalakeja.
Tietosuojalainsäädäntöön luettavia henkilötietojen suojaakin (käsittelyä) kokonaan tai osaltaan koskevia lakeja: Laki verotustietojen julkisuudesta ja salassapidosta (1346/1999) voimaan 1.1.2000 Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista (812/2000) voimaan 1.1.2001 Laki henkilötietojen käsittelystä rangaistusten täytäntöönpanossa (422/2002) voimaan 1.1.2003 Laki työhallinnon asiakaspalvelun tietojärjestelmästä (1058/2002) voimaan 1.1.2003 Laki sähköisestä asioinnista viranomaistoiminnassa (13/2003) voimaan 1.2.2003 Laki henkilötietojen käsittelystä poliisitoimessa (761/2003) 1.10.2003
Sähköisen viestinnän tietosuojalaki (516/2004) 1.9.2004 Laki yksityisyyden suojasta työelämässä (759/2004) 1.10.2004 korvasi aiemman samannimisen säädöksen (477/2001), joka tuli voimaan 1.10.2001 Laki henkilötietojen käsittelystä rajavartiolaitoksessa (579/2005) Laki sosiaali ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007) voimaan 1.7.2007 Luottotietolaki (527/2007) voimaan 1.11.2007
Tietosuoja perus ja ihmisoikeutena Oikeus henkilötietojen suojaan tunnustetaan nimenomaisesti EU:n perusoikeuskirjan 8 artiklassa ja Lissabonin sopimuksessa. Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklassa vahvistetaan oikeusperusta tietosuojasäännöille, joita sovelletaan kaikilla EU:n lainsäädännön alaan kuuluvilla toiminta aloilla. Euroopan Neuvoston Ihmisoikeussopimuksen 8 artikla tunnustaa jokaisen oikeuden nauttia yksityis ja perhe elämäänsä, kotiinsa ja kirjeenvaihtoonsa kohdistuvaa kunnioitusta. Suomen Perustuslain 10 :n mukaan jokaisen yksityiselämä, kunnia ja kotirauha on turvattu. Henkilötietojen suojasta todetaan säädettävän tarkemmin lailla. Henkilötietolaki!
Tietosuoja EU:ssa Tämän päivän ongelmia?? Erot siinä, kuinka kukin EU jäsenvaltio implementoi EU:n tietosuojasäännökset omaan lainsäädäntöönsä, ovat johtaneet henkilötietojen suojan epätasaiseen ja vaihtelevaan tasoon riippuen siitä, missä yksilö elää tai ostaa hyödykkeitä ja palveluja. Voimassaolevat säännökset tarvitsevat myös modernisointia. Ne säädettiin aikana, jolloin esim. Internetin kehitys oli vasta alkutaipaleellaan. Nopea teknologinen kehitys, uudet sovellukset ja globalisaatio ovat tuoneet uusia haasteita myös tietosuoja sääntelylle. Esim. sosiaalinen media, pilvipalvelut, paikantamispalvelut ja älykorttien laajeneva käyttö
Yritysten ongelmia EU:ssa? EU:ssa toimivien yritysten on nykyisellään noudatettava 27:ää erilaista kansallista tietosuojalainsäädäntöä. EU:n sisäinen lainsäädännön hajanaisuus on yrityksille kallis hallinnollinen rasite, joka hankaloittaa monien, erityisesti pienten ja keskisuurten yritysten pääsyä markkinoille. Yritykset, jotka eivät kykene riittävästi suojaamaan yksilöiden henkilötietoja, saattavat menettää asiakkaiden luottamuksen. Tavoitteena onkin jatkossa yhtenäinen lainsäädäntö ja ns. yhden luukun periaate eli EU:ssa toimivat yritykset voisivat asioida yhden tietosuojaviranomaisen kanssa huolimatta siitä, miten monen EU maan alueella ne harjoittavat liiketoimintaa.
Kansainvälisen yhteistyön lisäämisen tarve!? Henkilötietoja siirretään yhä enemmän sekä maantieteellisten että virtuaalisten rajojen yli, ja niitä tallennetaan palvelimille, jotka sijaitsevat useissa eri maissa niin EU:ssa kuin sen ulkopuolellakin. Tyypillistä juuri ns. etäresurssipalveluille (esim. cloud computing, pilvipalvelut) Yksityishenkilöiden tietosuojaoikeuksia on vahvistettava kansainvälisesti globalisoituneiden tietovirtojen vuoksi. Henkilötietojen suojelussa on noudatettava tiukkoja periaatteita, joiden tarkoituksena on helpottaa henkilötietojen siirtoa rajojen yli, mutta samalla varmistaa, että tietosuoja on kaikkialla yhtenäinen ja riittävä, ja ettei säännöissä ole aukkoja eikä tarpeetonta monimutkaisuutta.
Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS yksilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta (yleinen tietosuoja asetus) Bryssel 25.1.2012; COM (2012) 11 final Asetuksessa 139 recitaalia (johdantolauseketta), kun nykyisessä henkilötietodirektiivissä 72. Asetuksessa 11 lukua, kun direktiivissä nyt 7. Asetuksessa 91 artiklaa, direktiivissä 34.
Huomaa myös seuraava valmisteilla oleva EU säädös: Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI Yksilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten torjumista, tutkimista, selvittämistä ja syytteeseenpanoa tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta. Bryssel 25.1.2012; COM (2012) 10 final
EU:n komission varapuheenjohtaja Viviane Reding 25.1.2012: Kun nykyinen tietosuojakehys vahvistettiin 17 vuotta sitten, alle prosentti eurooppalaisista käytti internetiä. Nyt henkilötietoja siirretään ja vaihdetaan valtavia määriä mantereelta toiselle ja ympäri maapallon sekunnin murtoosassa. Vaikka oikeus henkilötietojen suojaan on kaikkien eurooppalaisten perusoikeus, kansalaiset eivät aina tunne pystyvänsä täysin valvomaan tietojaan. Nämä ehdotukset lujittavat osaltaan luottamusta verkkoympäristöön, koska niiden avulla käyttäjät saavat paremmin tietoa oikeuksistaan ja voivat valvoa tietojaan paremmin. Lisäksi uudistus helpottaa yritysten toimintaa ja vähentää niiden kustannuksia. Vahva, selkeä ja yhdenmukainen EU:n säädöskehys edistää digitaalisten sisämarkkinoiden tarjoamien mahdollisuuksien hyödyntämistä ja piristää talouskasvua, innovaatiota ja työpaikkojen luomista.
Peruskäsitteitä: Henkilötiedolla tarkoitetaan henkilötietolain (3 ) mukaan kaikenlaista luonnollista henkilöä taikka hänen ominaisuuksiaan tai elinolosuhteitaan kuvaavia merkintöjä, jotka voidaan tunnistaa häntä tai hänen perhettään tai hänen kanssaan yhteisessä taloudessa eläviä koskeviksi. Siten henkilötiedoksi voidaan katsoa vaikkapa nimi, valokuva, sähköpostiosoite, pankkitilinumero, paikka tai tili sosiaalisella verkkosivustolla, henkilön terveystieto tai vaikkapa tietokoneen IP (Internet Protocoll) osoite. EU:n ja kansallisia tietosuojasäännöksiä sovelletaan, kun henkilö voidaan identifioida suoraan tai epäsuorasti edellä mainitun tiedon perusteella.
Peruskäsitteitä: Henkilötietojen käsittelyllä tarkoitetaan henkilötietolaissa henkilötietojen keräämistä, tallettamista, järjestämistä, käyttöä, siirtämistä, luovuttamista, säilyttämistä, muuttamista, yhdistämistä, suojaamista, poistamista, tuhoamista sekä muita henkilötietoihin kohdistuvia toimenpiteitä; Henkilörekisterillä puolestaan tarkoitetaan henkilötietolaissa käyttötarkoituksensa vuoksi yhteenkuuluvista merkinnöistä muodostuvaa henkilötietoja sisältävää tietojoukkoa, jota käsitellään osin tai kokonaan automaattisen tietojenkäsittelyn avulla taikka joka on järjestetty kortistoksi, luetteloksi tai muulla näihin verrattavalla tavalla siten, että tiettyä henkilöä koskevat tiedot voidaan löytää helposti ja kohtuuttomitta kustannuksitta.
Rekisteröidyllä tarkoitetaan henkilöä, jota henkilötieto koskee. HUOM! Henkilötietolainsäädäntöä sovelletaan sekä yksityisen että julkisen sektorin rekisterinpitäjiin.> Rekisterinpitäjällä tarkoitetaan henkilötietolain mukaan yhtä tai useampaa henkilöä, yhteisöä, laitosta tai säätiötä, jonka käyttöä varten henkilörekisteri perustetaan ja jolla on oikeus määrätä henkilörekisterin käytöstä tai jonka tehtäväksi rekisterinpito on lailla säädetty.
Voimassa olevan henkilötietodirektiivin rakenne: I luku II luku III luku IV luku V luku VI luku VII luku Yleiset säännökset Yleiset säännöt henkilötietojen käsittelyn laillisuudesta Oikeuskeinot, vastuu ja sanktiot Henkilötietojen siirto kolmansiin maihin Käytännesäännöt Valvontaviranomainen ja tietosuojatyöryhmä Yhteisön täytäntöönpanotoimet Loppusäännökset
Tulevan yleisen henkilötietoasetuksen rakenne: Luku I Yleiset säännökset Luku II Periaatteet Luku III Rekisteröidyn oikeudet Luku IV Rekisterinpitäjä ja henkilötietojen käsittelijä Luku V Henkilötietojen siirto kolmansiin maihin tai kansainvälisille järjestöille Luku VI Riippumattomat valvontaviranomaiset Luku VII Yhteistyö ja yhdenmukaisuus Luku VIII Oikeussuojakeinot, vastuu ja seuraamukset Luku IX Tietojenkäsittelyyn liittyviä erityistilanteita koskevat säännökset Luku X Delegoidut säädökset ja täytäntöönpanosäädökset Luku XI Loppusäännökset
Tietosuojauudistuksen keskeisiä ehdotettuja muutoksia (1): Yhtenäiset tietosuojasäännökset, jotka ovat voimassa kaikkialla EU:ssa Oikeus tulla unohdetuksi (a Right to be forgotten) auttaa ihmisiä paremmin hallitsemaan tietosuojariskejä mm. verkkomaailmassa (online). Kun he eivät enää halua henkilötietojansa käsiteltävän ja tietojen säilytykselle ei ole perusteltuja, laillisia syitä, tulee tiedot poistaa. Milloin tahansa suostumus vaaditaan henkilötietojen käsittelylle, tulee se antaa yksilöidysti. Suostumuksen olemassaolo ei voi jäädä olettamuksen varaan.
Tietosuojauudistuksen keskeisiä ehdotettuja muutoksia (2): Vaivattomampi pääsy ja tutustuminen omiin tietoihin sekä oikeus tiedon uudelleen käyttöön yhteentoimivien teknisten sovellusten kautta; tarkoitetaan mm. helpompaa henkilötietojen siirtoa palvelujen tarjoajalta toiselle. Yhtiöiden ja muiden organisaatioiden (rekisterinpitäjät ja henkilötietojen käsittelijät) tulee ilmoittaa vakavista tietoturvaloukkauksista ja väärinkäytöksistä valvontaviranomaisille viipymättä, viimeistään 24 tunnin sisällä, jos mahdollista.
Tietosuojauudistuksen keskeisiä ehdotettuja muutoksia (3): Yhtiöiden tarvitsee asioida tietosuoja asioissa EU:n alueella vain yhden kansallisen tietosuojaviranomaisen kanssa siinä EU jäsenvaltiossa, jossa niillä on pääkonttori/päätoimipaikka. Yksilöillä (rekisteröidyt) on oikeus viedä kaikki EUalueen tietosuoja asiansa omalle kansalliselle tietosuojaviranomaiselleen silloinkin, kun heidän henkilötietojaan käsitellään kotimaansa ulkopuolella. EU sääntöjä sovelletaan myös yrityksiin, joita ei ole perustettu EU:ssa, jos ne tarjoavat tuotteita ja palveluja EU:n sisällä tai tarkkailevat täällä kansalaisten verkkokäyttäytymistä. (monitor the online behaviour of citizens)
Tietosuojauudistuksen keskeisiä ehdotettuja muutoksia (4): Tarpeettomia hallinnollisia taakkoja kuten esim. henkilötietoja käsittelevien yritysten ilmoitusvelvollisuuksia tullaan vähentämään. Toisaalta lisääntyvä vastuu ja tilivelvollisuus niille tahoille, jotka käsittelevät henkilötietoja. Kansallisten tietosuojaviranomaisten asemaa vahvistetaan, jotta nämä voivat paremmin panna täytäntöön EU sääntöjä ja määräyksiä kotimaassaan.
Tietosuojauudistuksen keskeisiä ehdotettuja muutoksia (5): Alaikäisten suojaamiseen kiinnitetään erityistä kasvavaa huomiota: 8 artikla Lapsen henkilötietojen käsittely 1. Tätä asetusta sovellettaessa katsotaan, että kun kyseessä on tietoyhteiskunnan palvelujen tarjoaminen suoraan lapselle, alle 13 vuotiaan lapsen henkilötietojen käsittely on lainmukaista vain siinä tapauksessa ja siltä osin kuin lapsen vanhempi tai huoltaja on antanut siihen suostumuksen tai valtuutuksen. Rekisterinpitäjän on toteutettava kohtuulliset toimenpiteet todennettavissa olevan suostumuksen saamiseksi, käytettävissä oleva teknologia huomioon ottaen.
Tietosuojavastaava pakolliseksi asetus ehdotuksen mukaan!? Asetuksen 4 luvun 35 37 artikloissa säädettäisiin ns. Tietosuojavastaavan (Data Protection Officer) nimittämisestä, asemasta ja tehtävistä. Huomattava se, että Suomessa jo nyt tietosuojavastaavan toimi on pakollinen mm. sosiaali ja terveydenhuollossa! Laki sosiaali ja terveydenhuollon asiakastietojen sähköisestä käsittelystä (159/2007) ja laki sähköisestä lääkemääräyksestä (61/2007) edellyttävät, että jokainen sosiaali ja terveydenhuollon palvelujen antaja ja apteekki sekä KELA ja Valvira (Sosiaali ja terveysalan lupa ja valvontavirasto) nimeävät tietosuojavastaavan.
Asetusehdotusluonnos; 4 luku: 35 artikla Tietosuojavastaavan nimittäminen 1. Rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava aina kun a) Tietojenkäsittelyä suorittaa viranomainen tai julkishallinnon elin; tai b) Tietojenkäsittelyä suorittaa yritys, jossa on vähintään 250 työntekijää; tai c) Rekisterinpitäjän tai henkilötietojen käsittelijän keskeiset tehtävät muodostuvat sellaisista käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät rekisteröityjen säännöllistä ja järjestelmällistä seurantaa. 2. Edellä 1 kohdan b alakohdassa tarkoitetussa tapauksessa yritysryhmä voi nimittää vain yhden tietosuojavastaavan 3. Jos rekisterinpitäjä tai henkilötietojen käsittelijä on viranomainen tai julkishallinnon elin, tietosuojavastaava voidaan nimittää sen useampaa yksikköä varten, kyseisen viranomaisen tai elimen organisaatiorakenne huomioon ottaen... Jatkuu..
37 artikla Tietosuojavastaavan tehtävät 1. Rekisterinpitäjän tai henkilötietojen käsittelijän on osoitettava tietosuojavastaavalle ainakin seuraavat tehtävät: a) antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle tietoja ja neuvoja, jotka koskevat niiden tämän asetuksen mukaisia velvollisuuksia, sekä dokumentoida tämä toiminta ja saadut vastaukset; b) seurata rekisterinpitäjän tai henkilötietojen käsittelijän henkilötietojen suojaan liittyvien toimintamenetelmien täytäntöönpanoa ja soveltamista, kuten vastuunjakoa, käsittelyyn osallistuvan henkilöstön koulutusta ja tarkastuksia; c) seurata tämän asetuksen täytäntöönpanoa ja soveltamista ja erityisesti sisäänrakennettuun tietosuojaan, oletusarvoiseen tietosuojaan ja tietoturvallisuuteen liittyviä vaatimuksia sekä rekisteröidylle ilmoittamista ja rekisteröityjen esittämiä pyyntöjä, jotka koskevat tähän asetukseen pohjautuvien oikeuksien käyttöä; jatkuu..
37 artikla. d) varmistaa, että 28 artiklassa tarkoitetut asiakirjat säilytetään; e) Seurata 31 ja 32 artiklassa tarkoitettua henkilötietojen tietoturvaloukkauksiin liittyvien asiakirjojen säilyttämistä ja tietoturvaloukkauksista ilmoittamista; f) Seurata tietosuojaa koskevan vaikutustenarvioinnin laatimista rekisterinpitäjän tai henkilötietojen käsittelijän toimesta sekä ennakkohyväksynnän tai ennakkokuulemisen soveltamista, jos ne vaaditaan 33 ja 34 artiklan nojalla; g) Seurata valvontaviranomaisen pyyntöihin vastaamista ja tietosuojavastaavan toimivaltuuksien mukaisesti tehdä yhteistyötä valvontaviranomaisen kanssa jälkimmäisen pyynnöstä tai tietosuojavastaavan aloitteesta; h) Toimia valvontaviranomaisen yhteyspisteenä tietojenkäsittelyyn liittyvissä kysymyksissä ja tarvittaessa kuulla valvontaviranomaista tietosuojavastaavan omasta aloitteesta.
Asetusluonnoksessa ehdotetaan myös perustettavaksi uusi valvonta ja yhteistyöelin Euroopan unioniin: Euroopan tietosuojaneuvosto (European Data Protection Board) Nykyisellään henkilötietodirektiivissä on säännöksiä EU:n tietosuojayhteistyöstä ja siinä mainitaan ns. 29 artiklan mukainen työryhmä (WP 29), joka on toiminut aktiivisesti antaen mm. eri aiheita koskevia lausuntoja ja suosituksia. Nykyinen tietosuojatyöryhmä korvattaisiin siis Euroopan tietosuojaneuvostolla.
Asetusluonnosehdotus; Luku VII; Jakso 3: EUROOPAN TIETOSUOJANEUVOSTO 64 artikla Euroopan tietosuojaneuvosto 65 artikla Riippumattomuus 66 artikla Euroopan tietosuojaneuvoston tehtävät 67 artikla Kertomukset 68 artikla Menettely 69 artikla Puheenjohtaja 70 artikla Puheenjohtajan tehtävät 71 artikla Sihteeristö 72 artikla Luottamuksellisuus
64 artikla Euroopan tietosuojaneuvosto 1. Perustetaan Euroopan tietosuojaneuvosto 2. Euroopan tietosuojaneuvoston muodostavat yksi valvontaviranomaisen johtaja kustakin jäsenvaltiosta ja Euroopan tietosuojavaltuutettu. 3. Jos jäsenvaltiossa on useampia tietosuojaviranomaisia, jotka vastaavat tämän asetuksen säännösten soveltamisen valvonnasta, näiden valvontaviranomaisten yhteiseksi edustajaksi nimetään joku niiden johtajista. 4. Komissiolla on oikeus osallistua Euroopan tietosuojaneuvoston toimintaan ja kokouksiin ja nimittää sinne edustaja. Euroopan tietosuojaneuvoston puheenjohtaja ilmoittaa viipymättä komissiolle kaikesta Euroopan tietosuojaneuvoston toiminnasta.
Tämä tarkoittanee sitä, että Suomen edustaja Euroopan tietosuojaneuvostossa tullee olemaan Reijo Aarnio, joka hiljattain nimitettiin neljännelle viisivuotis kaudelleen tietosuojavaltuutettuna. Reijo Aarnio
66 artikla Euroopan tietosuojaneuvoston tehtävät 1. Euroopan tietosuojaneuvosto varmistaa tämän asetuksen yhdenmukaisen soveltamisen. Tätä varten Euroopan tietosuojaneuvosto toteuttaa joko omasta aloitteestaan tai komission pyynnöstä erityisesti seuraavia tehtäviä: a) antaa komissiolle neuvoja kaikissa henkilötietojen suojaa unionissa liittyvissä kysymyksissä, myös tämän asetuksen mahdollisessa muuttamisessa; b) tarkastelee omasta aloitteestaan tai jonkin jäsenensä tai komission pyynnöstä kysymyksiä, jotka koskevat tämän asetuksen soveltamista, ja antaa valvontaviranomaisille osoitettuja suuntaviivoja, suosituksia ja parhaita käytänteitä, joiden tarkoituksena on tukea tämän asetuksen johdonmukaista soveltamista; jatkuu..
c) tarkastelee b alakohdassa tarkoitettujen suuntaviivojen, suositusten ja parhaiden käytänteiden soveltamista käytäntöön ja raportoi asiasta komissiolle säännöllisesti; d) antaa lausuntoja valvontaviranomaisten päätösluonnoksista 57 artiklassa tarkoitetun mekanismin mukaisesti; e) edistää valvontaviranomaisten välistä yhteistyötä ja tehokasta kahden ja monenvälistä tietojen ja käytänteiden vaihtamista; f) edistää yhteisiä koulutusohjelmia ja tukee henkilövaihtoa valvontaviranomaisten välillä sekä tarvittaessa kolmansien maiden tai kansainvälisten järjestöjen valvontaviranomaisten kanssa; g) edistää tietosuojalainsäädäntöä ja käytänteitä koskevien tietojen ja asiakirjojen vaihtoa tietosuojaviranomaisten kesken kaikkialla maailmassa.
Missä mennään nyt ja mitä tulossa..? Suomen hallitus lähetti huhtikuussa Eduskunnalle EU:n komission ehdotuksen tiedoksi. EU:n ns. WP 29 tietosuojaryhmä antoi maaliskuussa 2012 lausunnon tietosuojauudistusta koskevista ehdotuksista. (lausunto 1/2012, 23.3.2012) Myös Euroopan tietosuojavaltuutettu antoi lausuntonsa maaliskuussa. Unionin jäsenvaltiosta lausuntonsa ovat antaneet Saksa, Ruotsi, Italia, Belgia ja Ranska (kts. Euroopan parlamentin www sivut kohdasta Valiokunnat) Valmistelu etenee, mutta kestänee vielä vuosia??? Johtanee myös kansallisen henkilötietolakimme muutoksiin!? Vai tarvitaanko kansallista lakia jatkossa lainkaan???
Euroopan tietosuojavaltuutettu lausunnossaan: Euroopan tietosuojavaltuutettu suhtautuu myönteisesti ehdotettuun asetukseen, sillä se merkitsee huomattavaa edistysaskelta tietosuojan alalla Euroopassa.. Asetusehdotuksen osalta yksi laaja alainen kysymys on EU:n ja kansallisen lainsäädännön välinen suhde. Asetusluonnoksessa pyritään luomaan yksi säädös, jota sovelletaan tietosuojaan EU:ssa. EU:n säädöksen ja kansallisten säädösten rinnakkaiselolle ja vuorovaikutukselle jää kuitenkin enemmän tilaa kuin ensi näkemältä voisi olettaa. Euroopan tietosuojavaltuutetun mielestä lainsäätäjän olisi kiinnitettävä tähän enemmän huomiota.
WP 29 tietosuojatyöryhmä lausunnossaan (s. 13): Työryhmä on vakuuttunut siitä, että (asetusehdotuksen) viranomaisia koskevat yleiset poikkeukset ovat perusteettomia ja haitallisia lainsäädäntökehyksen kattavuuden kannalta, ja ehdottaa painokkaasti, että julkista ja yksityistä sektoria kohdellaan mahdollisuuksien mukaan samalla tavalla ja että ne velvoitetaan noudattamaan samoja perussääntöjä. On kuitenkin myös estettävä se, että uusi lainsäädäntökehys johtaa tilanteeseen, jossa jäsenvaltioissa eri aloilla jo saavutetun tietosuojan tasoa heikennettäisiin. Erityisesti julkisella sektorilla tietosuojan taso vaihtelee perustuslaillisen ja oikeudellisen perinteen ja kehityksen seurauksena
Kiitos ja hyvää syksyä!