Euroopan tietosuojaneuvosto julkaisi informaatiomateriaalia EU:n ja Yhdysvaltojen välisestä tietosuojakehyksestä

Euroopan tietosuojaneuvosto hyväksyi täysistunnossaan 18. heinäkuuta informaatiomateriaalia henkilötietojen siirroista Yhdysvaltoihin. Materiaalissa annetaan tietoa tietosuojan riittävyyttä koskevan päätöksen vaikutuksista Yhdysvaltoihin tehtäviin tiedonsiirtoihin, tietosuojakehyksen puitteissa käytössä olevista oikeussuojakeinoista sekä uudesta kansalliseen turvallisuuteen liittyvästä muutoksenhakumekanismista.

Euroopan komission päätös Yhdysvaltojen tietosuojan tason riittävyydestä astui voimaan 10. heinäkuuta.

”Euroopan komissio hyväksyi tietosuojaneuvoston helmikuussa 2023 antaman lausunnon jälkeen tärkeän päätöksen, jonka perusteella henkilötietoja voidaan nyt siirtää vapaasti ja turvallisesti Euroopan talousalueelta Yhdysvaltoihin ilman muita ehtoja. On tärkeää, että yksityishenkilöt ovat tietoisia oikeuksistaan ja että organisaatiot tuntevat velvoitteensa”, Euroopan tietosuojaneuvoston puheenjohtaja Anu Talus toteaa.

"Euroopan tietosuojaneuvosto kiinnittää edelleen erityistä huomiota tämän uuden välineen asianmukaiseen täytäntöönpanoon, ja odotamme voivamme osallistua ensi vuonna toteutettavaan tietosuojakehyksen ensimmäiseen uudelleentarkasteluun”, Talus sanoo.

Informaatiomateriaalissa selvennetään, että riittävyyspäätökseen perustuvia tiedonsiirtoja ei tarvitse täydentää lisätoimenpiteillä. Sellaiset siirrot Yhdysvaltoihin, jotka eivät sisälly tietosuojakehyksen luetteloon, sen sijaan edellyttävät muiden siirtoperusteiden, kuten vakiolausekkeiden tai yritystä koskevien sitovien sääntöjen käyttöä.

Tietosuojaneuvosto korostaa, että Yhdysvaltojen käyttöön ottamia suojatoimia kansallisen turvallisuuden alalla sovelletaan kaikkiin Yhdysvaltoihin siirrettyihin tietoihin riippumatta siitä, mitä siirtoperustetta tietojen siirtoon on käytetty. Tämä koskee myös uutta muutoksenhakumekanismia. EU-kansalaiset voivat käyttää muutoksenhakumekanismia tekemällä valituksen kansalliselle tietosuojaviranomaiselleen. 

Informaatiomateriaali tietosuojaneuvoston verkkosivuilla englanniksi: Information note on data transfers under the GDPR to the United States after the adoption of the adequacy decision on 10 July 2023

Tietosuojaneuvosto yhtyy komission arvioon Japanin tietosuojan riittävyyspäätöksen uudelleentarkastelusta

Tietosuojaneuvosto hyväksyi täysistunnossaan myös lausunnon Japanin tietosuojan tason riittävyyttä koskevan päätöksen ensimmäisestä arvioinnista. Lausunnossa keskitytään pääasiassa Japanin riittävyyspäätöksen kaupallisiin näkökohtiin, sillä Japanin lainsäädäntökehykseen on tehty täydennyksiä riittävyyspäätöksen hyväksynnän jälkeen tällä osa-alueella.

Täydennyksiä ovat muun muassa tietojenkäsittelyn vastustamisoikeuden laajentaminen, tietoturvaloukkauksista ilmoittamista koskevan velvollisuuden vahvistaminen sekä Japanin henkilötietojen suojaa koskevan lain (APPI) soveltamisalan laajentaminen.

Tietosuojaneuvosto katsoo, että jotkin osa-alueet edellyttävät Euroopan komission tiiviimpää valvontaa. Kysymykset liittyvät erityisesti uuteen ”pseudonymisoitujen” henkilötietojen kategoriaan Japanin lainsäädännössä sekä suostumuksen käyttöön tilanteissa, joihin liittyy vallan epätasapaino.

Tietosuojaneuvosto suhtautuu myönteisesti Euroopan komission sitoumukseen seurata tiiviisti näitä kysymyksiä. 

Yleisesti ottaen tietosuojaneuvosto yhtyy Euroopan komission arvioon riittävyyspäätöksen uudelleentarkastelusta ja suhtautuu myönteisesti komission ehdotukseen siirtyä neljän vuoden tarkistussykliin.

Lisätietoja:

Euroopan tietosuojaneuvoston tiedote neuvoston verkkosivuilla: EDPB informs stakeholders about the implications of the DPF and adopts a statement on the first review of the Japan adequacy decision (19.7.2023)

Tiedote 11.7.2023: Tiedonsiirto Yhdysvaltoihin helpottuu – Euroopan komissio hyväksyi päätöksen Yhdysvaltojen tietosuojan riittävästä tasosta

Yhdysvaltojen tietosuojan riittävyyttä koskeva päätös komission verkkosivuilla (englanniksi)