Euroopan komission luonnos Yhdysvaltojen tietosuojan riittävyyttä koskevasta päätöksestä hyväksymismenettelyyn

Euroopan komissio julkaisi 13. joulukuuta päätösluonnoksen Yhdysvaltojen tietosuojan tason riittävyydestä. Luonnos on toimitettu Euroopan tietosuojaneuvoston arvioitavaksi. Tietosuojan riittävyyttä koskeva päätös takaisi henkilötietojen suojan tiedonsiirroissa EU:n ja Yhdysvaltojen välillä tietyillä sektoreilla.

Uudella Yhdysvaltojen tietosuojan riittävyyttä koskevalla päätöksellä puututaan huolenaiheisiin, joita Euroopan unionin tuomioistuin esitti vuonna 2020 Schrems II -päätöksessään (C-311/18). Tuomiollaan EU:n tuomioistuin kumosi Privacy Shield -järjestelyn, jonka perusteella henkilötietoja voitiin siirtää EU:n ja Yhdysvaltojen välillä.

Päätösluonnoksen voimaantulo edellyttää hyväksymismenettelyn läpikäymisen. Ensimmäisessä vaiheessa Euroopan tietosuojaneuvosto antaa lausuntonsa luonnoksen sisällöstä. Komissio on pyytänyt tietosuojaneuvostoa antamaan lausunnon 15. helmikuuta mennessä. Tarvittaessa määräaikaa voidaan jatkaa kuudella viikolla.

Tämän jälkeen komission on saatava päätösluonnokseen hyväksyntä EU-mailta. Lisäksi Euroopan parlamentilla on oikeus antaa näkemyksensä tietosuojan riittävyyttä koskevista päätöksistä. Näiden vaiheiden jälkeen komissio voi tehdä lopullisen päätöksen tietosuojan riittävyydestä.

Tietosuojan riittävyyspäätöksen perusteella tietoja voitaisiin siirtää ETA-alueelta järjestelyyn osallistuville yhdysvaltalaisille yrityksille ilman erillisiä suojatoimia. Päätös tietosuojan tason riittävyydestä ei siis tulisi koskemaan kaikkia Yhdysvaltoihin tehtäviä henkilötietojen siirtoja, vaan tietoja voitaisiin siirtää niille yhdysvaltalaisille yrityksille, jotka ovat sitoutuneet sovittuihin suojatoimiin. Riittävyyspäätöstä ei voisi käyttää välineenä myöskään henkilötietojen siirtoihin julkisen sektorin toimijoiden välillä.

Jotta päätös tietosuojan riittävyydestä voidaan tehdä, maan lainsäädännön on vastattava olennaisilta osin EU:n tietosuojasäännöksiä.

Komissio otti tietosuojan tason arvioinnissa huomioon Yhdysvaltojen oikeuskehykseen tehtävät uudistukset, jotka on laadittu Euroopan komission kanssa käytyjen neuvottelujen jälkeen. Komissio katsoo, että Yhdysvallat varmistaisi muutosten myötä riittävän tietosuojan tason henkilötiedoille, jotka siirretään yhdysvaltalaisille yrityksille.

Lisätietoja:

Komission päätösluonnos Yhdysvaltojen tietosuojan riittävyydestä

Euroopan komission tiedote: Data protection: Commission starts process to adopt adequacy decision for safe data flows with the US (13.12.2022)

Vastauksia usein kysyttyihin kysymyksiin päätösluonnoksesta komission verkkosivuilla (englanniksi): Questions & Answers: EU-U.S. Data Privacy Framework, draft adequacy decision

Tietoa verkkosivuillamme: Siirto tietosuojan riittävyyttä koskevan päätöksen perusteella