Erityistilanteita koskevat poikkeukset
Tietosuoja-asetuksen 49 artiklassa on säädetty erityistilanteita koskevista poikkeuksista. Ne ovat viimesijainen tiedonsiirtoperuste ja tulevat sovellettavaksi vain poikkeustapauksissa.
Tietojen siirron tulisi ensisijaisesti perustua komission tekemään tietosuojan riittävyyttä koskevaan päätökseen tai tietosuoja-asetuksen 46 artiklan mukaisiin asianmukaisiin suojatoimiin. Rekisterinpitäjän on siis ensisijaisesti pyrittävä siihen, että se voi käyttää siirtoperusteena asianmukaisia suojatoimia. Erityistilanteita koskevia poikkeuksia tulisi käyttää vain, jos asianmukaisten suojatoimien käyttö ei ole mahdollista. Koska 49 artikla on poikkeukseksi tarkoitettu säännös, sitä on tulkittava suppeasti, jotta poikkeuksesta ei tule pääsääntöä.
Siirtoperusteen soveltamisen arvioinnissa on huomioitava muun muassa
- siirron tarpeellisuus (49 artikla 1 kohdan b, c, d, ja f alakohdat)
- satunnaisuus (sovellettavaksi sopimusperusteetta: 49 artikla 1 kohdan b ja c alakohdat)
- mahdollinen asiaan soveltuva kansainvälinen- tai muu sopimus sekä
- rekisteröityjen oikeudet (49 artikla 1 kohdan e alakohta).
Erityistilanteita koskevat poikkeukset (tietosuoja-asetuksen 49 artiklan 1 kohta)
- Rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi.
- Rekisteröidylle tulee ennen suostumuksen pyytämistä kertoa
a) tietojen vastaanottajat ja vastaanottajien ryhmät
b) kaikki maat, joihin henkilötietojen siirretään
c) se seikka, että suostumus on siirron lainmukainen peruste
d) että kolmas maa, johon tiedot siirretään, ei tarjoa Euroopan komission päätökseen perustuvaa riittävää tietosuojaa
e) erityisistä riskeistä, joita aiheutuu siitä, että tietoja siirretään maahan, joka ei tarjoa riittävää tietosuojaa, ja että asianmukaisia suojatoimia tietojen suojaamiseksi ei toteuteta.
- Siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä.
- Siirto on tarpeen rekisterinpitäjän ja toisen luonnollisen henkilön tai oikeushenkilön välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi.
- Siirto on tarpeen tärkeää yleistä etua koskevien syiden vuoksi.
- Siirto on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.
- Siirto on tarpeen rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan.
- Siirto tehdään rekisteristä, jonka tarkoituksena on unionin oikeuden tai jäsenvaltion lainsäädännön mukaan tietojen antaminen yleisölle ja joka on yleisesti yleisön tai kenen tahansa sellaisen henkilön käytettävissä, joka voi esittää tiedonsaannille perustellun syyn, mutta ainoastaan siltä osin kuin rekisterin käytön edellytykset, joista säädetään unionin oikeudessa tai jäsenvaltion lainsäädännössä, täyttyvät kussakin yksittäisessä tapauksessa.
Poikkeusperusteisiin sovelletaan lisäksi erityisedellytyksiä, jotka ilmenevät tarkemmin tietosuoja-asetuksen 49 artiklasta.
Jos mitään muita poikkeusperusteita ei ole mahdollista soveltaa, 49 artikla tarjoaa vielä viimesijaisen keinon siirtää tietoja. Se edellyttää, että kaikki seuraavat edellytykset täyttyvät:
- Siirto ei ole toistuva.
- Se koskee ainoastaan rajallista määrää rekisteröityjä.
- Se on tarpeen rekisterinpitäjän sellaisten pakottavien ja oikeutettujen etujen toteuttamiseksi, joita rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät syrjäytä.
- Rekisterinpitäjä on arvioinut kaikkia tiedonsiirtoon liittyviä seikkoja ja toteuttanut tämän arvioinnin perusteella henkilötietojen suojaa koskevat asianmukaiset suojatoimet.
Tällaisesta siirrosta on lisäksi aina ilmoitettava valvontaviranomaiselle.
Rekisterinpitäjän tai henkilötietojen käsittelijän on kuvattava siirtoon liittyvä arviointi ja asianmukaiset suojatoimet selosteeseen käsittelytoimista.
Lisätietoa poikkeuksista Euroopan tietosuojaneuvoston ohjeessa Asetuksen (EU) 2016/679 49 artiklan mukaisia poikkeuksia koskevat suuntaviivat 2/2018 (tietosuojaneuvoston verkkosivuilla).