Henkilötietojen siirtäminen EU:n ulkopuolelle – mitä GDPR vaatii?
Henkilötietojen siirtäminen EU/ETA-alueen ulkopuolelle on nykypäivänä hyvin yleistä. Tietoja saatetaan siirtää esimerkiksi suurien alustayhtiöiden, kuten Metan tai Googlen käyttöön markkinointia tai analysointia varten. Tässä kirjoituksessa käyn läpi, milloin siirtäminen on sallittua ja mitä se edellyttää yleisen tietosuoja-asetuksen valossa.
Henkilötietojen siirtäminen kolmansiin maihin
Yleistä tietosuoja-asetusta eli GDPR:ää sovelletaan Euroopan talousalueella, johon lukeutuu EU-maiden lisäksi Islanti, Liechtenstein ja Norja. Kuten monessa muussakin sääntelyssä, yhteisessä tietosuojalainsäädännössäkin keskeisenä tavoitteena on taata henkilötietojen vapaa liikkuvuus Euroopan talousalueella. Tällöin henkilötietojen siirto Euroopan talousalueeseen kuuluvaan maahan onnistuu samoilla perusteilla kuin Suomen sisällä.
Monimutkaisempaa on, kun tietoja siirretään EU/ETA-alueen ulkopuolelle kolmansiin maihin. Kohdemaiden tietosuojan taso ei välttämättä vastaa GDPR:n asettamaa tasoa. Tällöin rekisteröidylle (henkilölle, jonka tietoja siirretään) voi aiheutua riskejä. Tämän estämiseksi GDPR:ssä määritellään edellytyksiä, joilla henkilötietoja voidaan siirtää ETA-alueen ulkopuolelle.
Edellytykset henkilötietojen siirrolle ETA:n ulkopuolelle
GDPR:n luvussa V säädetään henkilötietojen siirrosta kolmansiin maihin. Edellytykset siirrolle ovat:
Henkilötietojen käsittelyn on oltava sallittua kyseisessä tilanteessa, ja
henkilötietojen siirroille on lisäksi oltava GDPR:n V luvussa määritelty siirtoperuste. Siirtoperusteen tehokkuus ja täydentävien suojatoimien tarve on arvioitava tapauskohtaisesti.
Henkilötietoja siirrettäessä kolmansiin maihin, yritysten tulee arvioida siirtoja. Arvio tehdään, jotta EU:n takaaman tietosuojan tason säilyvyys voidaan taata myös tietojen siirtojen yhteydessä.
Yritys tarvitsee tietojen siirrolle GDPR:n V luvun mukaisen siirtomekanismin. Yrityksille yleisimpiä siirtomekanismeja ovat:
Komission päätös riittävästä tietosuojan tasosta.
Henkilötietoja voidaan siirtää EU/ETA-alueen ulkopuolelle, jos Euroopan komissio on antanut päätöksen henkilötietojen suojan riittävyydestä kohdemaassa (nk. vastaavuuspäätös). Tällä hetkellä komissio on antanut vastaavuuspäätöksen seuraavista maista:
Argentiina
Andorra
Etelä-Korea
Färsaaret
Guernsey
Iso-Britannia
Israel
Mansaari
Japani
Jersey
Uusi-Seelanti
Sveitsi
Uruguay
Kanada (kaupalliset organisaatiot)
Yhdysvallat (EU:n ja Yhdysvaltojen tietosuojakehykseen osallistuvat kaupalliset organisaatiot)
Komission hyväksymät vakiolausekkeet.
Mikäli molemmat siirron osapuolet sitoutuvat vakiolausekkeiden noudattamiseen sopimusjärjestelyssä, myös vakiolausekkeet voivat olla siirtoperuste. Vakiolausekkeissa määritellään sekä tietojen viejän että tietojen tuojan velvollisuudet henkilötietojen suojaamiseksi.
Vaikutustenarviointi (TIA)
Siirtomekanismin lisäksi yrityksen tulee tehdä tietojen siirron vaikutustenarviointi (Transfer Impact Assessment, TIA) arvioidakseen EU:n tietosuojan tason säilyvyyttä. Mikäli vastaavaa tietosuojaa ei pystytä takaamaan, siirtoa ei tulisi tehdä. Tietosuojan tason laskemista tosin voidaan kompensoida täydentävillä suojatoimilla.
Tietojen siirron vaikutustenarviointi koostuu viidestä vaiheesta:
Tunnista ja dokumentoi siirtosi
Arvioi kohdemaan lainsäädännön tietosuojan taso
Arvioi täydentävät suojatoimet
Arvioi rekisteröidylle koituvan haitan vakavuus ja todennäköisyys
Lopullinen riskiarvio
Sanktiot rikkeistä
Henkilötietojen lainvastainen siirtäminen EU/ETA-alueen ulkopuolelle voi johtaa merkittäviin seuraamusmaksuihin. Sakkojen enimmäismäärä voi GDPR:n (83 art.) mukaan olla jopa 20 miljoonaa euroa tai 4 % yrityksen globaalista liikevaihdosta, riippuen kumpi näistä on suurempi.
Käytännön esimerkkejä valvontaviranomaisten puuttumisesta:
Meta (2023): Meta sai GDPR:n historian suurimman 1,2 miljardin euron sakon, kun viranomaiset katsoivat vakiolausekkeiden ja täydentävien suojatoimien olleen riittämättömiä suojaamaan EU-kansalaisten dataa Yhdysvaltain valvontalainsäädännöltä.
Google Analytics -seuraamukset: Ruotsin tietosuojaviranomainen (IMY) määräsi vuonna 2023 sakkoja yrityksille (esim. Tele2, 12 miljoonan kruunun sakko), koska ne siirsivät analytiikkatietoja Yhdysvaltoihin ilman riittäviä täydentäviä suojatoimia.
Lopuksi
Tietojen siirto EU/ETA-alueen ulkopuolelle tulee helposti kyseeseen, kun yritys esimerkiksi hyödyntää Googlen tai Metan analytiikka- tai markkinointipalveluita tai -tuotteita. Siirto edellyttää GDPR:n V luvun mukaista siirtomekanismia sekä vaikutustenarviointia. Tietojen siirron toteuttamiseen ja arvioimiseen on suositeltavaa hyödyntää asiantuntijaa, sillä GDPR:n asettamien velvollisuuksien rikkominen saattaa johtaa koviinkin sanktioihin.
Roope Heinonen
KtK, oikeustieteen ylioppilas
Associate
Lakitoimisto KPF
050 533 8431
