Mallisopimuslausekkeet helpottamaan henkilötietojen kansainvälisiä siirtoja

EU:n komissio on päätöksellään hyväksynyt henkilötietojen siirtoa EU:n ulkopuolisiin maihin koskevat mallisopimuslausekkeet. Mallisopimuslausekkeiden tarkoituksena on helpottaa henkilötietojen siirtoja Unionin ulkopuolisiin, ns. kolmansiin maihin ja samalla taata tietosuojan riittävä taso maassa, jossa henkilöiden yksityisyyden suoja ei ole riittävä. Mallisopimuslausekkeiden käyttö ei ole pakollista vaan vain yksi mahdollisuus siirtää henkilötietoja laillisesti kolmansiin maihin.

Henkilötietoja voidaan pääsääntöisesti siirtää EU:n alueen ulkopuolelle ainoastaan, jos kyseisessä maassa taataan tietosuojan riittävä taso. Tämä periaate ilmaistaan EU:n henkilötietodirektiivin 25 artiklassa ja Suomen henkilötietolain 22 §:ssä. Komissio voi päätöksellään todeta tietosuojan riittävän tason tulevan turvatuksi tietyssä kolmannessa maassa. Tällaisia maita ovat toistaiseksi Unkari ja Sveitsi. Komission päätöksen mukaisesti tietosuojan riittävä taso on turvattu myös siirroissa sellaiselle Yhdysvalloissa sijaitsevalle organisaatiolle, joka on sitoutunut noudattamaan yksityisyyden suojaa koskevia ns. Safe Harbor –periaatteita. Näihin maihin henkilötietoja voidaan siirtää henkilötietolain 22 a §:n perusteella.
.
Vaikka tietosuojan taso ei kyseisessä kolmannessa maassa olisikaan riittävä, henkilötietoja voidaan kuitenkin siirtää tietyissä henkilötietolain 23 §:ssä säädetyissä erityistapauksissa. Mallisopimuslausekkeet ovat yksi mahdollisuus siirtää tietoja laillisesti kolmanteen maahan.

Komission nyt päätöksellään hyväksymät mallisopimuslausekkeet tarjoavat tietoja siirtäville yrityksille ja organisaatioille uuden tarkoituksenmukaisen välineen toteuttaa niille laissa säädetty velvoite henkilöiden yksityisyyden ja oikeuksien suojaamisesta kolmansiin maihin suuntautuvissa henkilötietojen siirroissa.

Mallisopimuslausekkeissa sopimusosapuolet, tietojen viejä ja tietojen tuoja, sitoutuvat käsittelemään henkilötietoja tiettyjen tietosuojan perusperiaatteiden mukaisesti. Ne takaavat sääntöjen rikkomistapauksissa rekisteröidyille oikeuden vedota sopimukseen ja saada korvausta aiheutuneista vahingoista.

Sopimukseen perustuvan sallitun siirron edellytyksenä on kuitenkin aina myös se, että tietoja on ennen siirtoa käsitelty kansallisen lainsäädännön mukaisesti. Tämä tarkoittaa sitä, että tietojen luovuttamisen tulee olla kansallisen lainsäädännön mukaan mahdollista. Jos siis tietojen luovuttaminen kyseiseen tarkoitukseen Suomessa ei olisi laillista, pelkästään se seikka, että luovutuksessa käytetään mallisopimuksia ja vastaanottaja sijaitsee kolmannessa maassa, ei muuta tätä oikeudellista arviointia. Tietosuojalautakunta voi henkilötietolain 44 §:n nojalla kieltää henkilötietojen siirron, ellei siirrettävien henkilötietojen käsittelyssä ole noudatettu kansallisia säännöksiä. Tietosuojaviranomaisilla on keskeinen asema myös sen varmistamisessa, että henkilötietoja suojataan riittävästi näiden siirron jälkeen sekä toimivaltuudet tietyissä tapauksissa kieltää tietojen siirrot kolmansiin maihin tai lykätä niitä ja velvollisuus ilmoittaa näistä toimenpiteistä komissiolle.

Mallisopimuslausekkeet liittyvät ainoastaan tietosuojaan. Sopimusosapuolet voivat vapaasti sisällyttää sopimukseen myös muita sopimuksen kannalta olennaisina pitämiään lausekkeita, kunhan nämä lausekkeet eivät ole ristiriidassa mallisopimuslausekkeiden kanssa.

Komission päätöstä sovelletaan 3. päivästä syyskuuta 2001 alkaen. Komission hyväksymiin mallisopimuslausekkeisiin perustuvista henkilötietojen siirroista ei ole velvollisuutta ilmoittaa tietosuojavaltuutetulle.

Komission kotisivuilla olevat mallisopimuslausekkeet ovat tulostettavissa myös ??ifge??.

Lisätietoja antavat:

Tietosuojavaltuutettu Reijo Aarnio p. (09) 1825 7830

Ylitarkastaja Sirpa Rautanen p. (09) 1825 7790