Milloin henkilötietoja saa siirtää EU:n ulkopuolelle?

Lyhyesti

Henkilötietoja saa siirtää EU:n ulkopuolelle vain, jos yleisen tietosuoja-asetuksen siirtosäännöt täyttyvät. Ensisijainen peruste on 45 artiklan mukainen komission riittävyyspäätös. Jos sitä ei ole, siirto voi perustua 46 artiklan mukaisiin asianmukaisiin suojatoimiin, kuten tietosuojaa koskeviin vakiolausekkeisiin. Jos kumpikaan ei sovi, 49 artiklan poikkeuksia voi käyttää vain siinä erityistilanteessa, jonka edellytykset todella täyttyvät.

Siirto ei ole vain sopimusrivi, vaan osa henkilötietojen käsittelyä

Yleisen tietosuoja-asetuksen 44 artikla antaa siirroille yleisen säännön. Henkilötietoja saa siirtää kolmanteen maahan tai kansainväliselle järjestölle vain asetuksen siirtoja koskevan luvun edellytyksillä. Sama koskee myös jatkosiirtoa maasta tai järjestöstä eteenpäin.

Arkinen esimerkki on järjestelmätoimittaja, joka saa asiakkaiden, työntekijöiden tai kuntalaisten tietoja organisaation puolesta. Jos vastaanottaja on kolmannessa maassa, kyse ei ole vain hankinnasta. Kyse on myös henkilötietojen kansainvälisestä siirrosta.

Siirtoperuste ei yksin riitä. Muilta osin yleinen tietosuoja-asetus koskee edelleen samaa käsittelyä. Rekisterinpitäjän on tiedettävä käsittelyn tarkoitus, oikeusperuste, vastaanottajat ja säilytys. Näitä perusasioita avaa tarkemmin artikkeli Millä perusteella henkilötietoja saa käsitellä?.

Rekisterinpitäjä tarkoittaa tahoa, joka päättää, miksi ja miten henkilötietoja käsitellään. Henkilötietojen käsittelijä taas käsittelee tietoja rekisterinpitäjän lukuun. Jos toimittaja käsittelee henkilötietoja organisaation puolesta, yleisen tietosuoja-asetuksen 28 artikla edellyttää sopimusta tai muuta oikeudellista asiakirjaa. Roolien ja käsittelysopimuksen rajanvetoa käsittelee artikkeli Rekisterinpitäjä vai käsittelijä: milloin tarvitaan käsittelysopimus ja mitä 28 artikla vaatii.

Riittävyyspäätös on helpoin reitti, mutta se pitää tunnistaa oikein

Yleisen tietosuoja-asetuksen 45 artiklan mukaan henkilötietoja voidaan siirtää, jos komissio on päättänyt tietosuojan tason riittävyydestä. Päätös voi koskea kolmatta maata, maan aluetta, yhtä tai useampaa tiettyä sektoria tai kansainvälistä järjestöä.

Tällaiseen siirtoon ei tarvita erityistä lupaa. Se ei kuitenkaan tarkoita, ettei siirtoa tarvitse dokumentoida. Rekisterinpitäjän on pystyttävä osoittamaan, että henkilötietojen käsittelyssä noudatetaan asetusta. Tämä seuraa yleisen tietosuoja-asetuksen 5 artiklan osoitusvelvollisuudesta ja 24 artiklan rekisterinpitäjän vastuusta.

Riittävyyspäätös ei ole pysyvä oletus. Yleisen tietosuoja-asetuksen 45 artiklan mukaan täytäntöönpanosäädöksessä on säädettävä määräaikaistarkastelusta vähintään joka neljäs vuosi. Komissio seuraa myös kehitystä, joka voi vaikuttaa päätösten toimivuuteen.

Käytännössä organisaation pitää tietää kolme asiaa:

Kysymys	Miksi sillä on merkitystä
Mikä maa, alue, sektori tai järjestö on vastaanottaja?	Riittävyyspäätös voi koskea vain tiettyä kohdetta.
Mitä henkilötietoja siirretään?	Sama siirto kuuluu edelleen tietojen minimoinnin ja käyttötarkoituksen sääntöihin.
Miten siirrosta kerrotaan rekisteröidylle?	13 ja 14 artikla vaativat tiedon siirrosta ja riittävyyspäätöksestä tai sen puuttumisesta.

Vakiolausekkeet ja muut suojatoimet tulevat esiin, kun riittävyyspäätöstä ei ole

Jos 45 artiklan mukaista riittävyyspäätöstä ei ole, siirtoa arvioidaan yleisen tietosuoja-asetuksen 46 artiklan perusteella. Silloin rekisterinpitäjä tai henkilötietojen käsittelijä voi siirtää henkilötietoja vain, jos asianmukaiset suojatoimet on toteutettu. Lisäksi rekisteröidyillä pitää olla käytettävissään täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.

46 artiklan mukaan asianmukaisia suojatoimia voivat olla esimerkiksi komission antamat tietosuojaa koskevat vakiolausekkeet. Ne ovat siirtoa koskevia sopimusehtoja. Niiden tarkoitus on rakentaa suojaa tilanteeseen, jossa vastaanottajamaasta ei ole riittävyyspäätöstä.

46 artikla mainitsee myös muita keinoja. Näitä ovat viranomaisten tai julkisten elinten välinen oikeudellisesti sitova ja täytäntöönpanokelpoinen väline, yritystä koskevat sitovat säännöt, hyväksytyt käytännesäännöt ja hyväksytty sertifiointimekanismi. Osa 46 artiklan keinoista ei edellytä erillistä valvontaviranomaisen lupaa. Osa taas voi edellyttää toimivaltaisen valvontaviranomaisen lupaa.

Tässä kohdassa syntyy usein käytännön virhe. 28 artiklan mukainen käsittelysopimus ja 46 artiklan mukainen siirtoperuste eivät ole sama asia. Käsittelysopimus kertoo, miten käsittelijä toimii rekisterinpitäjän puolesta. Siirtoperuste kertoo, millä edellytyksellä henkilötietoja saa siirtää kolmanteen maahan tai kansainväliselle järjestölle.

Poikkeukset ovat viimeinen reitti, eivät tavallinen hankintamalli

Yleisen tietosuoja-asetuksen 49 artikla koskee erityistilanteita. Sitä sovelletaan, jos riittävyyspäätöstä ei ole eikä 46 artiklan mukaisia asianmukaisia suojatoimia ole toteutettu.

49 artikla luettelee tilanteet, joissa siirto tai siirtojen sarja voidaan tehdä. Siirto voi perustua esimerkiksi rekisteröidyn nimenomaiseen suostumukseen. Silloin rekisteröidylle pitää ensin kertoa riskeistä. Riskit johtuvat siitä, että riittävyyspäätös ja asianmukaiset suojatoimet puuttuvat.

Poikkeus voi perustua myös siihen, että siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen toteuttamiseksi. Toinen vaihtoehto on tilanne, jossa siirto on tarpeen rekisteröidyn pyytämille toimille ennen sopimuksen tekemistä.

49 artikla mainitsee lisäksi rekisteröidyn edun mukaisen sopimuksen, tärkeän yleisen edun, oikeusvaateen, elintärkeät edut ja tietyt julkiset rekisterit. Tärkeä yleinen etu pitää tunnustaa unionin oikeudessa tai rekisterinpitäjään sovellettavassa jäsenvaltion lainsäädännössä.

Jos mikään luetelluista poikkeuksista ei sovellu, 49 artiklassa on vielä rajattu lisätilanne. Silloin siirto ei saa olla toistuva. Sen pitää koskea vain rajallista määrää rekisteröityjä. Sen pitää olla tarpeen rekisterinpitäjän pakottavien ja oikeutettujen etujen toteuttamiseksi. Rekisteröidyn edut tai perusoikeudet ja -vapaudet eivät saa syrjäyttää näitä etuja. Rekisterinpitäjän pitää arvioida kaikki tiedonsiirtoon liittyvät seikat, toteuttaa asianmukaiset suojatoimet ja ilmoittaa siirrosta valvontaviranomaiselle.

Rekisteröidylle pitää kertoa siirrosta ymmärrettävästi

Yleisen tietosuoja-asetuksen 13 artikla koskee tilannetta, jossa henkilötiedot kerätään rekisteröidyltä. Rekisteröity on ihminen, jota tiedot koskevat. Työntekijä, asiakas ja kuntalainen voivat olla rekisteröityjä.

Jos rekisterinpitäjä aikoo siirtää henkilötietoja kolmanteen maahan tai kansainväliselle järjestölle, siitä pitää kertoa rekisteröidylle 13 artiklan mukaisesti. Samalla pitää kertoa, onko komission riittävyyspäätös olemassa vai puuttuuko se. Jos siirto perustuu 46 tai 49 artiklan mukaiseen ratkaisuun, rekisteröidylle pitää kertoa sopivista tai asianmukaisista suojatoimista. Lisäksi pitää kertoa, miten niistä saa jäljennöksen tai missä ne ovat saatavilla.

Yleisen tietosuoja-asetuksen 14 artikla sisältää vastaavan säännön tilanteeseen, jossa tietoja ei ole saatu rekisteröidyltä. Organisaatio voi esimerkiksi saada henkilön tiedot toiselta taholta. Silloinkin siirrosta kolmanteen maahan tai kansainväliselle järjestölle pitää kertoa, jos säännöksen edellytykset täyttyvät.

Rekisteröidyn pääsyoikeus liittyy samaan asiaan. Yleisen tietosuoja-asetuksen 15 artiklan mukaan rekisteröidyllä on oikeus saada tieto vastaanottajista tai vastaanottajaryhmistä. Tämä koskee erityisesti kolmansissa maissa olevia vastaanottajia ja kansainvälisiä järjestöjä. Jos henkilötietoja siirretään kolmanteen maahan tai kansainväliselle järjestölle, rekisteröidyllä on oikeus saada ilmoitus 46 artiklassa tarkoitetuista asianmukaisista suojatoimista.

Rekisteröidyn oikeuksia käsitellään lisää artikkelissa Rekisteröidyn oikeudet: kun asiakas pyytää tietonsa, aikaa on kuukausi.

Mitä siirroista kannattaa dokumentoida

Yleisen tietosuoja-asetuksen 30 artikla koskee käsittelytoimien selostetta. Rekisterinpitäjän selosteessa pitää tarvittaessa olla tiedot henkilötietojen siirroista kolmanteen maahan tai kansainväliselle järjestölle. Selosteessa pitää kertoa, mikä kolmas maa tai kansainvälinen järjestö on kyseessä. Jos siirto perustuu 49 artiklan 1 kohdan toiseen alakohtaan, selosteeseen kuuluvat myös asiakirjat asianmukaisista suojatoimista.

Myös henkilötietojen käsittelijän selosteessa pitää tarvittaessa olla vastaavat tiedot siirroista. Tämä on tärkeää, koska käsittelijä voi käyttää toista käsittelijää vain 28 artiklan ehtojen mukaisesti. Rekisterinpitäjän pitää tietää, minne tiedot päätyvät ja millä perusteella.

Käytännön dokumentaatio vastaa yleensä näihin kysymyksiin:

• mitä henkilötietoja siirretään;
• mikä on siirron tarkoitus;
• mikä maa tai kansainvälinen järjestö on kyseessä;
• perustuuko siirto 45 artiklaan, 46 artiklaan vai 49 artiklaan;
• mitä rekisteröidylle on kerrottu 13, 14 tai 15 artiklan perusteella;
• mitä sopimuksia tai suojatoimia siirtoon liittyy.

Selosteesta on erillinen artikkeli Mitä käsittelytoimien selosteessa pitää olla ja kenen pitää laatia se?.

Rajat: mitä siirtoperuste ei ratkaise

Siirtoperuste ei tee henkilötietojen käsittelystä automaattisesti sallittua. Ensin käsittelylle on oltava yleisen tietosuoja-asetuksen mukainen oikeusperuste. Henkilötietoja saa käsitellä vain siihen tarkoitukseen, johon ne on kerätty, tai tarkoitukseen, joka sopii asetuksen sääntöihin.

Siirtoperuste ei myöskään korvaa tietoturvaa. Yleisen tietosuoja-asetuksen 5 artikla edellyttää, että henkilötietoja käsitellään tavalla, joka varmistaa asianmukaisen turvallisuuden. Se tarkoittaa suojaa luvattomalta ja lainvastaiselta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta.

Riittävyyspäätös ei poista tiedottamista. Vakiolausekkeet eivät yksin kerro, onko käsittelyn tarkoitus tarpeellinen. Poikkeus ei ole yleinen varasuunnitelma, vaan 49 artiklan mukainen erityistilanne.

Usein avoimeksi jää, mikä ratkaisu sopii tiettyyn palveluun ja tietovirtaan. Siksi organisaation on yhdistettävä hankinnan tiedot, käsittelysopimus, rekisteröidylle annettavat tiedot ja siirtoperuste samaan kokonaisuuteen. Näin siirto ei jää yksittäiseksi sopimusliitteeksi. Se näkyy organisaation tietosuojan arjessa.