Oikaisu Ilmatieteen laitokselle annettuun päätökseen: huomautus vaikutustenarvioinnin tekemättä jättämisestä poistettiin
Apulaistietosuojavaltuutettu on tehnyt oikaisun 27. huhtikuuta annettuun päätökseen, jossa Ilmatieteen laitoksen todettiin siirtäneen henkilötietoja lainvastaisesti Yhdysvaltoihin Googlen palveluiden kautta. Ilmatieteen laitokselle annettu huomautus yleisen tietosuoja-asetuksen 35 artiklan mukaista vaikutustenarviointia koskevasta rikkomuksesta on poistettu päätöksestä. Oikaistussa päätöksessä ei arvioida yleisen tietosuoja-asetuksen 35 artiklan noudattamista.
Apulaistietosuojavaltuutettu otti uudelleen tarkasteltavaksi, onko Ilmatieteen laitosta koskevassa päätöksessä arvioitava yleisen tietosuoja-asetuksen 35 artiklan noudattamista. Oikaistussa päätöksessä poistettiin tietosuojaa koskevan vaikutustenarvioinnin käsittely. Päätöksessä todetaan kuitenkin, ettei Ilmatieteen laitos ollut arvioinut mahdollisten täydentävien suojatoimien tarvetta tiedonsiirroissa Yhdysvaltoihin. Täydentävien suojatoimien tarpeen arviointi on osa 46 artiklan mukaisen siirtoperusteen vaatimusten noudattamista.
Apulaistietosuojavaltuutettu katsoo aiheelliseksi oikaista päätöstään, jotta linjaus ei voisi muodostaa suomalaisille rekisterinpitäjille muita jäsenvaltioita laajempaa velvoitetta vaikutustenarviointiin Yhdysvaltoihin kohdistuvissa tiedonsiirroissa.
Henkilötietojen siirtojen laillisuutta Yhdysvaltoihin käsitellään myös hiljattain annetussa Euroopan tietosuojaneuvoston Metaa koskevassa kiistanratkaisupäätöksessä. Kiistanratkaisupäätöksen jälkeen Irlannin tietosuojaviranomainen antoi 12. toukokuuta Metalle päätöksen, jossa arviointivelvoitetta tarkasteltiin ainoastaan tietosuoja-asetuksen 46 artiklan noudattamisen osalta. Irlannin tietosuojaviranomainen totesi päätöksessään, ettei vakiolausekkeita täydentävillä suojatoimilla ollut mahdollista puuttua riskeihin, joita yksilöiden oikeuksiin ja vapauksiin kohdistuu Yhdysvaltojen lainsäädännön vuoksi.
Apulaistietosuojavaltuutetun oikaistu päätös Finlexissä
Lisätietoja:
Apulaistietosuojavaltuutettu Annina Hautala, puh. 029 566 6776, annina.hautala(at)om.fi
Tiedote: Ilmatieteen laitokselle huomautus henkilötietojen siirroista yhdysvaltalaisyritys Googlelle (22.5.2023)
Irlannin tietosuojaviranomaisen tiedote (englanniksi): Data Protection Commission announces conclusion of inquiry into Meta Ireland (22.5.2023)
Irlannin tietosuojaviranomaisen lopullinen päätös rekisterissä tietosuojaneuvoston verkkosivuilla
Tietosuojaa koskeva vaikutustenarviointi (engl. data protection impact assessment, DPIA) on tehtävä silloin, kun suunnitellaan henkilötietojen käsittelyä, joka todennäköisesti aiheuttaa korkean riskin henkilöiden oikeuksille ja vapauksille. Vaikutustenarvioinnin tavoitteena on arvioida, onko jäljelle jäänyt riski hyväksyttävällä tasolla. Kun henkilötietojen siirtämiseen EU- ja ETA-alueen ulkopuolelle käytetään tietosuoja-asetuksen artiklassa 46 säädettyjä siirtoperusteita, on selvitettävä tapauskohtaisesti tarve tiedonsiirtoperusteita täydentäville suojatoimille.