Uusia käänteitä EU:n ja Yhdysvaltojen välisten henkilötietojen siirroissa — onko riittävyyspäätös tarpeeksi riittävä?

Henkilötietojen siirrot EU:n ja Yhdysvaltojen välillä ovat olleet yhtä myllerrystä vuodesta 2015 lähtien. Monet henkilötietojensiirtoihin liittyvät Schrems II -projektit olivat jo ehtineet käynnistymään, kun Euroopan komissio teki uusimman riittävyyspäätöksen EU:n ja Yhdysvaltojen väliselle tiedonsiirtomekanismille (EU-US Data Privacy Framework, DPF) kesällä 2023. Viimeisimpiä käänteitä on analysoitu aiemmassa blogissamme, johon pääset tästä.

Miten DPF kumoutuu – vai kumoutuuko?

Edellisessä blogitekstissämme mainitsimme, että riittävyyspäätöstä on uhattu haastaa tietosuojaryhmä NOYB:in ja sen perustajan Maxmillian Schremsin toimesta.

Syyskuun alussa tapahtui uusi käänne, kun ranskalainen Euroopan parlamentin jäsen Philippe Latombe ilmoitti haastavansa riittävyyspäätöksen yksityishenkilönä vedoten mm. siihen, että DPF ei anna riittäviä takeita yksityis- ja perhe-elämän kunnioittamiseen henkilötietojen massakeräyksen eikä tietosuoja-asetuksen (GDPR) osalta. Latombe ilmoitti haasteestaan aiemmin syksyllä Ranskan hallitukselle ja tietosuojaviranomaiselle CNIL:lle.

Viimeisimpänä käänteenä EU:n ensimmäisen oikeusasteen tuomioistuin on juuri ehtinyt hylätä Latomben kiireellistä välipäätöstä koskevan hakemuksen, koska Latombe ei pystynyt osoittamaan asian kiireellisyyden edellytyksiä.

EU-US DPF:ää puoltavat tahot ovat kommentoineet seuraavasti:

• Alex Greenstein (Yhdysvaltain kauppaministeriö, DPF:n johtaja) on kertonut, että kauppaministeriö ja Euroopan komissio ovat tietoisia haasteista.
• Euroopan komission Bruno Gencarelli on sanonut, että Euroopan komissiossa uskotaan, että uudella viitekehyksellä on tällä kertaa enemmän näyttöä sen riittävistä suojatoimista (uusi lakipykälä jne.) riittävyyttä koskevissa haasteissa.
• Yhdistynyt kuningaskunta (UK) on ottamassa käyttöön DPF:n pohjalta rakennetun ns. UK-US ”tietosillan” eli data bridgen. Tällä voi olla DPF:ää tukevia vaikutuksia.
  

Mitä tapahtuu seuraavaksi?

Aikataulua päätösten suhteen voidaan vain arvuutella:

• NOYB ilmoittanut haastavansa päätöksen ja arvioi haasteen olevan tuomioistuimen arvioitavana vuoden loppuun tai viimeistään alkuvuoteen mennessä. Tuomioistuin voisi tuolloin ottaa DPF:n väliaikaisesti pois käytöstä.
• Latombe on jo lähettänyt haasteen eteenpäin, mikä tarkoittaa, että luultavasti muutoksia/päätöksiä tulee kahden vuoden sisällä.
• EDPB katselmoi DPF:n vuoden päästä. Silloin todetaan DPF:n toimivuus tai toimimattomuus.

Jos DPF kumoutuu, kaikki palaa taas lähtöruutuun. Organisaatioiden tulisi mm. päivittää TIA-arvioinnit, tarkistaa tiedonsiirtomekanismit, uudelleenarvioida pilvipalveluntarjoajien riskit sekä selvittää sopimusehtojen uusimiset ja tiedonsiirtomekanismien lisäämiset.

Tiedonsiirtoihin liittyvä keskustelu jatkuu ja vaikutukset konkretisoituvat tulevien kuukausien aikana.

Kirjoittajat:

Susanna Mikola
Oona Matinpalo