Euroopan unionin tuomioistuin antoi 6.10.2015 ratkaisun asiassa C-362/14 Schrems, jossa tuomioistuin totesi EU:n ja Yhdysvaltain välillä olevan ns. Safe Harbor -järjestelmän olevan pätemätön (lue tarkempi selostus tuomioistuimen ratkaisusta tästä).
Ratkaisu vaikuttaa lähestulkoon jokaiseen yritykseen EU:n alueella. Hyvin harva yritys toimii siten, että sen tietoja ei missään tilanteessa luovuteta Yhdysvaltoihin. Päätöksen seurauksena on syntynyt runsaasti epävarmuutta eri EU:n tietosuojaviranomaisten välillä siitä, miten tietojen luovutukset Yhdysvaltoihin tulisi hoitaa.
Kuten jo aiemmin kirjoitin, mielestäni päätöksessä on kaksi tärkeää näkökulmaa: se, että Yhdysvaltoja ei pidetä riittävän tietosuojan maana ja se, että kansallisilla tietosuojaviranomaisilla on ehkä enemmän valtaa kuin he haluaisivat. Pelkona on, että viranomaiset joutuvat arvioimaan täysin itsenäisesti ja paikallisesti jokaista tietosuojaan liittyvää kysymystä. Tämä johtaa helposti merkittäviin eroihin maiden välillä ja käytännössä kansainvälisen yrityksen toiminnan EU:n alueella hyvin monimutkaiseksi.
Kyseisen päätöksen seurauksena EU:n tietosuojaviranomaiset ovat pyrkineet saamaan aikaan jonkinlaista oikeusvarmuutta EU:n alueen ratkaisuihin. Komission ja tietosuojaviranomaisten yhteistyöelimen lausuntojen perusteella arvioisin että ns. mallilausekkeiden käyttö on tällä hetkellä järkevin vaihtoehto.
Lisäksi oikeuskäytännössä näyttäisi vahvistuvan käsitys siitä, että ulkomainen yritys, vaikka sillä ei olisi edes toimintaa EU:n alueella, joutuu soveltamaan EU:n tietosuojasäännöksiä jos sillä on "toimintaa" joka suuntautuu EU:n alueelle. Esimerkiksi ns. Weltimmo ratkaisussa (Asia C-230/14, annettu muutama päivä ennen Safe Harbor-ratkaisua) slovakialainen yritys ylläpiti unkarilaisille suunnattua asuntojen myyntipalvelua. Palvelussa oli ainoastaan unkarilaisia asuntoja ja sivuston tekstit olivat unkarin kielellä.Tuomioistuin katsoi tuomiossaan, että vaikka toiminta oli juridisesti vain Slovakiassa, sen toiminta ulottui myös Unkarin alueelle ja siten myös siihen sovellettiin molempien maiden lainsäädäntöä. Ratkaisussa tarkemmin oli kysymys siitä, onko Unkarin tietosuojaviranomaisella (NAIH) toimivaltaa tällaisen yrityksen toimintaan. Kyseessä ei siinä mielessä ollut mitään uutta, koska esimerkiksi kuuluisassa Google-ratkaisussa tuomiostuin jo totesi, että vaikka toimintaa ei ole ollenkaan EU:n alueella, tietosuojasäännökset pätevät, jos toiminta on suunnattu EU:n alueelle.
Samanlaisia oikeusjuttuja on käynnissä myös useassa muussa paikallisessa tuomioistuimessa EU:n alueella, mutta niitä tuskin enää tuodaan EU:n tuomioistuimeen saakka. Käytännössä kuitenkin linjaukset tarkoittavat sitä, että ne vaikuttavat melkeinpä jokaiseen yritykseen maailmassa, jolla on toimintaa internetissä jollakin EU:n kielistä. Tämän seurauksena on taas se, että hyvin monen EU:n ulkopuolella toimivan yrityksen on hoidettava tietosuoja-asiansa kuntoon pikavauhdilla.
Tällä hetkellä eletään vielä pienoisessa epävarmuuden tilassa, koska ei ole täysin varmaa, onko ns. mallilausekkeiden käyttökään täysin pätevä keino järjestää maiden väliset tietosuojaluovutukset. Esimerkiksi Espanjassa ja Itävallassa mallilausekkeiden käyttö edellyttää paikallisen viranomaisen lupaa. Voin vain kuvitella, millainen jono hakemuksia näiden maiden viranomaisilla on purettavanaan tällä hetkellä päätöksen johdosta.
Portugalissa tietosuojaviranomainen on taas todennut, että tilanteen epävarmuuden vuoksi lupaa hakeville myönnetään vain väliaikainen ja ehdollinen lupa siihen asti, kunnes tilanteen juridinen pätevyys varmistuu. Englannissa taas paikallinen tietosuojaviranomainen on ottanut sallivamman otteen ja todennut olevan enemmän odottavalla kannalla.
EU:n komissio ja tietosuojaviranomaiset eivät kuitenkaan ole jääneet "tuleen makaamaan" asian vuoksi. Komissio on jatkanut neuvotteluja uuden Safe harborin osalta koodinimellä "Umbrella Agreement". Neuvottelut ilmeisesti saatiin jo aiemmin päätöksen syyskuussa, mutta tuomioistuimen päätöksen vuoksi tilannetta joudutaan arvioimaan uudelleen. Komissio on luvannut tuloksia tammikuun loppuun mennessä ja neuvottelut ilmeisesti pyritään saamaan loppuun tämän vuoden puolella. Aikaa ei varmasti ole liikaa, todennäköisesti sitä on aivan liian vähän. Varmaa lienee vain, että epävarmuus jatkuu.
Ei kommentteja:
Lähetä kommentti