Euroopan tietosuojaneuvoston 5. täysistunto: Japanin tietosuojan taso, vaikutustenarviointi ja akkreditointia koskevat ohjeet

4. ja 5. joulukuuta pidetyssä viidennessä täysistunnossa Euroopan tietosuojaneuvosto käsitteli muun muassa EU:n ja Japanin tietosuojan tason riittävyyttä koskevaa päätösluonnosta, vaikutustenarvioinnin kansallisia luetteloita sekä akkreditointia koskevia ohjeita.

Tietosuojaneuvosto hyväksyi lausunnon EU:n ja Japanin tietosuojan tason riittävyyttä koskevasta päätösluonnoksesta, jonka neuvosto sai Euroopan komissiolta syyskuussa 2018 ja jota neuvosto on arvioinut Euroopan komission toimittamien asiakirjojen perusteella. Tietosuojaneuvoston keskeisenä tavoitteena oli arvioida, onko komissio varmistunut siitä, että henkilötietosuojan taso on Japanissa riittävä.

Neuvosto on tyytyväinen Euroopan komission ja Japanin pyrkimyksistä tuoda Japanin lainsäädäntöä lähemmäs EU:ta. Täydentävien säännösten tuomat parannukset lainsäädäntöjen välisten tasaamiseksi ovat erittäin tärkeitä.

Joitakin huolenaiheita on edelleen ratkaisematta, kuten henkilötietojen koko elinkaaren mittainen suoja siinä tapauksessa, että tietoja siirretään EU:sta Japaniin. Euroopan tietosuojaneuvosto suosittelee, että Euroopan komissio käsittelee myös tietosuojaneuvoston esittämiä selvityspyyntöjä, toimittaa lisätodisteita ja selvityksiä esiin tuoduista kysymyksistä ja seuraa tiiviisti hakemuksen tehokasta soveltamista. Euroopan tietosuojaneuvosto katsoo, että EU:n ja Japanin tietosuojan tason riittävyyttä koskeva päätös on äärimmäisen tärkeä. Se on ensimmäinen tietosuojan riittävyyttä koskeva päätös, jossa sovelletaan EU:n yleistä tietosuoja-asetusta.

Vaikutustenarviointia koskevat luettelot

Europan tietosuojaneuvosto on antanut lausunnot vaikutustenarviointia koskevista luetteloista Tanskan, Kroatian, Luxemburgin ja Slovenian osalta. Nämä luettelot ovat työkalu yleisen tietosuoja-asetuksen johdonmukaiseen soveltamiseen koko Euroopan talousalueella.

Tietosuojaa koskevan vaikutustenarvioinnin avulla voidaan tunnistaa ja lieventää tietosuojaan liittyviä riskejä, jotka voivat vaikuttaa yksilöiden oikeuksiin ja vapauksiin. Rekisterinpitäjän on arvioitava, edellytetäänkö tietosuojaa koskevaa vaikutustenarviointia ennen henkilötietojen käsittelyn aloittamista. Kansallisten valvontaviranomaisten on kuitenkin laadittava ja julkaistava luettelo käsittelytoimista, joihin vaikutustenarviontia on aina sovellettava.

Nyt käsitellyt neljä luetteloa ovat jatkoa syyskuun täysistunnossa hyväksytyille 22 kansalliselle luettelolle, ja ne auttavat osaltaan vahvistamaan vaikutustenarvioinnin yhteisiä kriteerejä Euroopan talousalueella. Euroopan tietosuojaneuvoston puheenjohtaja Andrea Jelinek toteaa: ”Tämä prosessi on tarjonnut Euroopan tietosuojaneuvostolle erinomaisen mahdollisuuden kokeilla, millaisia mahdollisuuksia ja haasteita käytännössä on. Yleisessä tietosuoja-asetuksessa ei edellytetä täydellistä yhdenmukaistamista tai ’EU:n luetteloa’, mutta se edellyttää johdonmukaisuutta, joka on saavutettu sopimalla yhteisestä kannasta kansallisten luetteloiden avulla.”

Akkreditointia koskeva ohjeistus

Euroopan tietosuojaneuvosto hyväksyi tarkistetun version akkreditointia koskevasta ohjeistuksesta ja siihen sisältyvän uuden liitteen. Ohjeistuksen tarkoituksena on määritellä, miten yleisen tietosuoja-asetuksen 43 artiklan säännöksiä tulkitaan ja pannaan täytäntöön. Sen tarkoituksena on auttaa jäsenvaltioita, valvontaviranomaisia ja kansallisia akkreditointielimiä luomaan yhdenmukainen taso EU:n yleisen tietosuoja-asetuksen mukaisille akkreditoinneille. Nyt ohjeistusta on täydennetty liitteellä, joka käsittelee valvontaviranomaisten vahvistamien sertifiointielinten hyväksymiseen liittyviä lisävaatimuksia. Liitteestä järjestetään vielä julkinen kuuleminen.

Lisätietoja:
tietosuojavaltuutettu Reijo Aarnio, puh. 040 520 7068, reijo.aarnio(at)om.fi