Privacy Shield : sääntelyn kehitys henkilötietojen siirtämisessä Euroopan unionista Yhdysvaltoihin

Abstract

Teknologian kehityksen ja kansainvälisen kaupan kasvun myötä henkilötietoja siirretään yhä enemmän valtioiden rajojen yli. Henkilötietojen suojalla on Euroopan unionin oikeudessa perusoikeusasema, joka kuvastaa henkilötietojen käsittelyltä vaadittavaa korkeaa tietosuojan tasoa. Henkilötietojen siirtoa Euroopan unionin alueelta kolmansiin maihin on pitkään säädellyt henkilötietodirektiivi, mutta sen tulee toukokuussa 2018 korvaamaan vielä tarkempia säännöksiä sisältävä tietosuoja-asetus. Henkilötietoja voidaan siirtää unionin ulkopuolelle muun muassa Euroopan komission päätöksellä, jossa se toteaa tietyn valtion takaavan riittävän tietosuojan tason. Euroopan unioni ja Yhdysvallat ovat toistensa tärkeimpiä kauppakumppaneita. Henkilötietojen siirtoa unionista Yhdysvaltoihin määrittivät pitkään vapaaehtoisuuteen ja itsesääntelyyn perustuvat Safe Harbor-periaatteet, jotka oli saatettu voimaan komission päätöksellä vuonna 2000. Safe Harbor-järjestely oli kritiikin alaisena alusta alkaen ja viimeistään vuoden 2013 paljastukset Yhdysvaltojen harjoittamasta, tietoverkoissa tapahtuvasta massavalvonnasta asettivat järjestelyn tehokkuuden kyseenalaiseksi. Euroopan unionin tuomioistuin kumosi Safe Harbor-päätöksen tuomiollaan lokakuussa 2015. Safe Harbor-periaatteiden tilalle pyrittiin luomaan turvallisempi, tarkempi ja tehokkaampi järjestely henkilötietojen siirtämiselle unionista Yhdysvaltoihin. Privacy Shield-järjestely, joka sisältää monia uusia velvoitteita henkilötietoja käsitteleville yrityksille ja rajoitteita Yhdysvaltain viranomaisten pääsylle järjestelyn nojalla siirrettyihin henkilötietoihin, tuli komission päätöksellä voimaan heinäkuussa 2016. Järjestelyn tehokkuudesta ja henkilötietojen suojan todellisesta tasosta vallitsee kuitenkin edelleen eriäviä näkemyksiä ja järjestelyn pätevyys on jo haastettu Euroopan unionin tuomioistuimessa.