Tietosuojan tason vastaavuus kolmansissa maissa: Vertaileva tutkimus Intian ja Filip-piinien oikeusjärjestelmistä Schrems II -tuomion valossa
Karttunen, Jari (2026)
Lapin yliopisto
2026
All rights reserved
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi-fe20261031139195
https://urn.fi/URN:NBN:fi-fe20261031139195
Tiivistelmä
Digitaalitalouden kasvu on mahdollistanut yrityksille globaalin toiminnan ja henkilötietojen siirron yli rajojen. EU:n yleinen tietosuoja-asetus (GDPR) asettaa tiukat vaatimukset henkilötietojen siirrolle kolmansiin maihin, ja Schrems II -tuomio on korostanut kohdemaan todellisen tietosuojan tason arviointivelvollisuutta. Tutkielma soveltaa oikeusdogmaattista ja vertailevaa tutkimusotetta, jossa oikeudellinen gap-analyysi – normitasoinen vertailu kohdemaan sääntelyn ja GDPR:n luvun V vaatimusten välillä – muodostaa keskeisen metodologisen työkalun.
Tutkielma tarkastelee henkilötietojen siirtoa EU:sta Intiaan ja Filippiineille soveltaen oikeusdogmaattista ja vertailevaa tutkimusotetta. Analyyttisena viitekehyksenä toimii EDPB:n Essential Guarantees -kriteeristö. Intian Digital Personal Data Protection Act 2023 ja Filippiinien Data Pri-vacy Act 2012 analysoidaan suhteessa GDPR:n ja Schrems II -tuomion vaatimuksiin.
Tutkimus osoittaa, ettei kumpikaan maa täytä kaikkia neljää Essential Guarantees -kriteeriä. Intian DPDP Act 2023:n Section 17 mahdollistaa laajat valtion poikkeukset, kun taas Filippiineillä Anti-Terrorism Act 2020 ja red-tagging-ilmiö heikentävät muodollisesti vahvan tietosuojalain antamaa suojaa. Tutkielman keskeinen tieteellinen kontribuutio on "legalized access vs. extra-legal risks" -jaottelun kehittäminen: Intia edustaa "legalized access" -riskiä, jossa laki itse mahdollistaa laajan viranomaispääsyn, kun taas Filippiinit edustaa "extra-legal" -riskejä, joissa lain ulkopuolinen toiminta ja toimeenpanon puutteet heikentävät muodollista suojaa.
Johtopäätöksenä todetaan, että tiedonsiirto kumpaankin maahan edellyttää vakiolausekkeiden (SCC) täydentämistä lisäsuojatoimilla. Intian osalta kriittisin toimenpide on päästä päähän -salaus EU-avaimilla, kun taas Filippiinien osalta korostuvat organisatoriset toimenpiteet kuten auditoinnit ja läpinäkyvyysraportit.
Tutkielman rakenne on seuraava: Luku 2 esittelee EU:n tiedonsiirtokehyksen, mukaan lukien GDPR:n siirtomekanismit, Schrems II -tuomion vaikutukset ja EDPB:n Essential Guarantees -kriteerit. Luvut 3 ja 4 analysoivat Intiaa ja Filippiineitä kohdemaina, noudattaen yhtenäistä rakennetta: historiallinen tausta, nykyinen lainsäädäntö, valvontaviranomainen, rekisteröidyn oikeudet, valtion poikkeusoikeudet ja Essential Guarantees -analyysi. Luku 5 vertailee näitä kahta maata systemaattisesti. Luku 6 tarjoaa käytännön suositukset lisäsuojatoimista jaoteltuna ylei-siin periaatteisiin sekä maakohtaisiin toimenpiteisiin. Luku 7 esittää johtopäätökset, vastaa tutkimuskysymykseen ja hahmottelee tulevaisuuden näkymiä.
Tutkielma tarkastelee henkilötietojen siirtoa EU:sta Intiaan ja Filippiineille soveltaen oikeusdogmaattista ja vertailevaa tutkimusotetta. Analyyttisena viitekehyksenä toimii EDPB:n Essential Guarantees -kriteeristö. Intian Digital Personal Data Protection Act 2023 ja Filippiinien Data Pri-vacy Act 2012 analysoidaan suhteessa GDPR:n ja Schrems II -tuomion vaatimuksiin.
Tutkimus osoittaa, ettei kumpikaan maa täytä kaikkia neljää Essential Guarantees -kriteeriä. Intian DPDP Act 2023:n Section 17 mahdollistaa laajat valtion poikkeukset, kun taas Filippiineillä Anti-Terrorism Act 2020 ja red-tagging-ilmiö heikentävät muodollisesti vahvan tietosuojalain antamaa suojaa. Tutkielman keskeinen tieteellinen kontribuutio on "legalized access vs. extra-legal risks" -jaottelun kehittäminen: Intia edustaa "legalized access" -riskiä, jossa laki itse mahdollistaa laajan viranomaispääsyn, kun taas Filippiinit edustaa "extra-legal" -riskejä, joissa lain ulkopuolinen toiminta ja toimeenpanon puutteet heikentävät muodollista suojaa.
Johtopäätöksenä todetaan, että tiedonsiirto kumpaankin maahan edellyttää vakiolausekkeiden (SCC) täydentämistä lisäsuojatoimilla. Intian osalta kriittisin toimenpide on päästä päähän -salaus EU-avaimilla, kun taas Filippiinien osalta korostuvat organisatoriset toimenpiteet kuten auditoinnit ja läpinäkyvyysraportit.
Tutkielman rakenne on seuraava: Luku 2 esittelee EU:n tiedonsiirtokehyksen, mukaan lukien GDPR:n siirtomekanismit, Schrems II -tuomion vaikutukset ja EDPB:n Essential Guarantees -kriteerit. Luvut 3 ja 4 analysoivat Intiaa ja Filippiineitä kohdemaina, noudattaen yhtenäistä rakennetta: historiallinen tausta, nykyinen lainsäädäntö, valvontaviranomainen, rekisteröidyn oikeudet, valtion poikkeusoikeudet ja Essential Guarantees -analyysi. Luku 5 vertailee näitä kahta maata systemaattisesti. Luku 6 tarjoaa käytännön suositukset lisäsuojatoimista jaoteltuna ylei-siin periaatteisiin sekä maakohtaisiin toimenpiteisiin. Luku 7 esittää johtopäätökset, vastaa tutkimuskysymykseen ja hahmottelee tulevaisuuden näkymiä.