Tapauksen nimi: Euroopan tietosuojaneuvoston kieltäytyminen antamasta yleisön tutustuttavaksi kansainvälisiä tiedonsiirtoja koskevia asiakirjoja

Päiväys: Torstai 5. toukokuuta 2022

Etäkokous Webexin kautta

Euroopan oikeusasiamies

Fergal O’Regan, johtava oikeudellinen asiantuntija

Jennifer King, oikeudellinen asiantuntija

· Tiedustelukoordinaattori Tanja Ehnert

Angela Marcos Figueruelo, tiedusteluvastaava

· Federico Narducci, harjoittelija, tiedustelut

Euroopan tietosuojaneuvoston sihteeristö (EDPB SEC)

· Yksikönpäällikkö

· Sisäisen vaatimustenmukaisuuden päällikkö

· Avoimuusvastaava

· 1 Oikeudellinen neuvonantaja, joka tällä hetkellä käsittelee asiakirjoihin tutustumista koskevia pyyntöjä

Johdanto ja menettelyä koskevat tiedot

Alustusten jälkeen oikeusasiamiehen tutkimusryhmä hahmotteli oikeusasiamiehen pitämiin kokouksiin sovellettavan oikeudellisen kehyksen. Tutkintaryhmä selitti erityisesti, että kokousta koskeva raporttiluonnos toimitetaan tietosuojaneuvoston SEC:lle sen varmistamiseksi, että se on asiasisällöltään tarkka ja täydellinen. Kokousraportti viimeistellään, sisällytetään asiakirja-aineistoon ja toimitetaan kantelijalle.

Tutkintaryhmä selitti, että oikeusasiamies ei voi paljastaa mitään Euroopan tietosuojaneuvoston luottamuksellisiksi määrittelemiä tietoja kantelijalle eikä kenellekään muulle oikeusasiamiehen toimiston ulkopuoliselle henkilölle ilman Euroopan tietosuojaneuvoston SEC:n ennakkosuostumusta ^[1].

Kokouksen tarkoitus

Tutkimus koskee tietosuojaneuvoston kieltäytymistä antamasta kaikkia kansainvälisiä tiedonsiirtoja koskevia asiakirjoja yleisön tutustuttavaksi. Tässä tapauksessa kantelija oli pyytänyt saada tutustua seuraaviin asiakirjoihin:

”valmisteluasiakirjat, jotka sisältävät tietosuojaviranomaisen lausuntoja, kysymyksiä, lausuntoja ja huolenaiheita ja jotka johtavat seuraavien tietosuojaneuvoston asiakirjojen hyväksymiseen:

*EDPB:n lausunto 4/2021 "Siirrot sisältävistä kansainvälisistä sopimuksista ^[2]".

* Euroopan tietosuojaneuvoston suuntaviivat 02/2020 asetuksen (EU) 2016/679 46 artiklan 2 kohdan a alakohdasta ja 46 artiklan 3 kohdan b alakohdasta ETA:n ja ETA:n ulkopuolisten viranomaisten ja elinten välisten henkilötietojen siirtojen osalta ^[3]

* Euroopan tietosuojaneuvoston lausunto 01/2019 "US Foreign Account Tax Compliance Act (FATCA)"^[4]

* Tietosuojaneuvoston vastaus hollantilaiselle Euroopan parlamentin jäsenelle Sophie in't Veldille, päivätty 7. heinäkuuta 2021, viitteellä OUT2021-0119 ^[5]

(”valmisteluasiakirjoilla” tarkoitetaan i) asiakirjojen luonnokset sekä ii) pöytäkirjat kokouksista, joissa asiakirjoista keskusteltiin)”.

Euroopan tietosuojaneuvosto toimitti ennen kokousta jäljennökset asiaankuuluvista asiakirjoista ja kirjalliset huomautuksensa oikeusasiamiehelle.

Kokouksen tarkoituksena oli ymmärtää paremmin tietosuojaneuvoston arviointia ja syitä, joiden vuoksi pyydettyjen asiakirjojen (tai niiden osien) luovuttamisesta kieltäydyttiin. 

Vaihdetut tiedot

Pyynnön soveltamisalaan kuuluvat asiakirjat

Oikeusasiamiehen tutkimusryhmän suorittamassa asiakirjojen tarkastuksessa kävi ilmi, että tietosuojaneuvosto ei ollut yksilöinyt mitään asiaankuuluvia valmisteluasiakirjoja, jotka sisältäisivät tietosuojaviranomaisen lausuntoja, kysymyksiä, lausuntoja ja huolenaiheita, jotka johtivat tietosuojaneuvoston lausunnon 01/2019 antamiseen Yhdysvaltojen ulkomaisia tilejä koskevasta verosäännösten noudattamislaista (FATCA), kantelijan alkuperäisissä ja vahvistavissa päätöksissään esittämän pyynnön soveltamisalaan kuuluviksi.

Tietosuojaneuvosto vahvisti pyynnöstä, että useiden asiakirjojen ei ollut todettu kuuluvan kantelijan pyynnön soveltamisalaan, ja pyysi oikeusasiamiehen tutkimusryhmältä ohjeita ongelman ratkaisemiseksi. Kokouksen jälkeen Euroopan oikeusasiamiehen toimisto kannusti 15. toukokuuta 2022 tietosuojaneuvostoa rekisteröimään uuden erillisen pyynnön saada tutustua asiaankuuluviin asiakirjoihin ja käsittelemään tämän uuden pyynnön asetuksen (EY) N:o 1049/2001 säännösten mukaisesti. Tietosuojaneuvoston näistä asiakirjoista tekemä analyysi ei näin ollen ole osa meneillään olevaa oikeusasiamiehen tutkimusta. Tietosuojaneuvoston SEC selitti, että tämä valvonta johtui tietosuojaneuvoston SEC:ssä tehdystä inhimillisestä virheestä. Tämä on seurausta tietosuojaneuvoston vastaanottamien asiakirjapyyntöjen määrän lisääntymisestä ja monimutkaistumisesta, mikä on johtanut tietosuojaneuvoston sihteeristön huomattavaan työmäärään ja vaatinut lisää henkilöresursseja.

Tietosuojaneuvoston kieltäytyminen antamasta (täydellistä) yleisön tutustuttavaksi joitakin yksilöityjä asiakirjoja

Oikeusasiamiehen tutkintaryhmä viittasi oikeusasiamiehen ratkaisuehdotukseen asiassa 386/2021/AMF, joka koski Euroopan tietosuojaneuvoston päätöstä olla antamatta yleisön tutustuttavaksi valmisteluasiakirjoja, jotka liittyvät sen suuntaviivoihin henkilötietojen käsittelystä rekisteröityjen verkkopalvelujen tarjoamisen yhteydessä [6]. Oikeusasiamies katsoi tämän aiemman tutkimuksen yhteydessä, että tietosuojaneuvoston ohjeissa esitetään yleisen tietosuoja-asetuksen säännösten ”arvovaltainen tulkinta” ja että niillä on merkittävä vaikutus sen soveltamiseen. Kun otetaan huomioon yleisen tietosuoja-asetuksen merkitys, oikeusasiamies katsoi kyseisessä aiemmassa tutkimuksessa, että yleisöllä on intressi saada tietää, miten sen säännösten arvovaltaisesta tulkinnasta päätettiin, ja pyysi näin ollen tietosuojaneuvostoa myöntämään mahdollisimman laajan oikeuden tutustua pyydettyihin asiakirjoihin. Tietosuojaneuvoston SEC-edustajat muistuttivat, että oikeusasiamies oli myös myöntänyt, että kyseisessä tapauksessa oli jo julkista, että tietosuojaneuvoston suuntaviivojen 2/2019 hyväksymisprosessissa kansallisilla valvontaviranomaisilla oli eriäviä mielipiteitä siitä, miten yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan b alakohdan mukaista ”tarpeellisuuden” käsitettä olisi tulkittava. Tämä oli tietosuojaneuvostolle tärkeä tekijä, kun se hyväksyi oikeusasiamiehen ratkaisuehdotuksen, jonka mukaan kansallisten turvallisuusviranomaisten anonymisoidut näkemykset olisivat laajemmin yleisön saatavilla. Tietosuojaneuvoston SEC-edustajat korostivat, että jokainen asiakirjoihin tutustumista koskeva pyyntö on arvioitava erikseen, ja korostivat, että tapauksen 201/2022/AMF tosiseikat poikkesivat tapauksesta 386/2021/AMF erityisesti sen osalta, että jälkimmäisessä tapauksessa tiedot olivat jo julkisia.

Tietosuojaneuvoston SEC-edustajat huomauttivat myös, että asiassa 386/2021/AMF kantelija oli pyytänyt oikeutta tutustua tietosuojaneuvoston suuntaviivojen 2/2019 valmisteluasiakirjoihin mutta että tässä tapauksessa ei ollut kyse ainoastaan tietosuojaneuvoston suuntaviivojen 2/2020 valmisteluasiakirjoista vaan myös tietosuojaneuvoston lausuman valmisteluasiakirjoista ja Euroopan parlamentin jäsenelle annetusta vastauksesta.

Oikeusasiamiehen tutkimusryhmä totesi, että yleisenä huomautuksena on hyödyllistä, että yleisö ymmärtää unionin toimielimen päätöksentekoprosessin toiminnan tietämällä niiden henkilöiden mielipiteet, joilla on oikeus osallistua tähän päätöksentekoprosessiin. Kysymys on siitä, onko olemassa syitä olettaa, että näiden lausuntojen sisältämien tietojen ilmaiseminen vahingoittaisi vakavasti toimielimen päätöksentekomenettelyä. Vaikka osoitettaisiin, että tällaisten asiakirjojen sisältämien tietojen ilmaiseminen vahingoittaisi vakavasti toimielimen päätöksentekomenettelyä, ylivoimainen yleinen etu saattaa silti edellyttää niiden sisältämien tietojen ilmaisemista ^[7]. Tässä yhteydessä oikeusasiamiehen tutkintaryhmä totesi, että on olennaisen tärkeää ymmärtää tietosuojaneuvoston ohjeasiakirjojen hyväksymiseen johtavan prosessin luonne.

Tietosuojaneuvoston SEC:n edustajat totesivat, että tietosuojaneuvoston ohjeiden on määrä tarjota johdonmukaisuutta ja oikeusvarmuutta yleisen tietosuoja-asetuksen tulkinnassa. Tietosuojaneuvoston mukaan valmisteluasiakirjoihin sisältyvien eri lausuntojen julkistaminen ei mahdollistaisi tämän tehtävän täyttämistä ja aiheuttaisi sekaannusta yleisön keskuudessa.

Tietosuojaneuvoston SEC-edustajat katsoivat, että tietosuojaneuvoston päätöksentekoprosessia ei voida verrata EU:n toimielinten lainsäädäntömenettelyjen yhteydessä käymiin keskusteluihin. Tietosuojaneuvoston SEC-edustajat korostivat, että tietosuojaneuvosto on EU:n elin, joka vastaa yleisen tietosuoja-asetuksen johdonmukaisen soveltamisen varmistamisesta ja joka koostuu kansallisista tietosuojaviranomaisista. Ne korostivat myös, että hyväksyessään yleisen tietosuoja-asetuksen lainsäätäjä antoi tietosuojaneuvostolle mahdollisuuden luottamukselliseen tietojenvaihtoon, kun tietosuojaneuvosto katsoo sen tarpeelliseksi. Tietosuojaneuvoston SEC-edustajat lisäsivät, että jos kaikki valmisteluasiakirjat annettaisiin ehdoitta yleisön tutustuttavaksi, kansalliset valvontaviranomaiset olisivat haluttomia esittämään näkemyksiään ja huomautuksiaan, mikä heikentäisi vakavasti tietosuojaneuvoston kykyä hoitaa yleisessä tietosuoja-asetuksessa säädetyt tehtävänsä. Tietosuojaneuvoston SEC:n edustajat totesivat myös, että tietosuojaneuvoston ohjeet laaditaan teknisellä tasolla ja että luonnosteluvaiheessa (usein henkilöstötasolla) vaihdetut kannat eivät välttämättä vastaa tietosuojaneuvostossa edustettuina olevien kansallisten turvallisuusviranomaisten virallista kantaa, koska nämä luonnosteluehdotukset tehdään paikan päällä kokousten aikana. Nämä kannat on myöhemmin vahvistettava, kun luonnos on kypsemmässä vaiheessa, jotta yksittäisten kansallisten turvallisuusviranomaisten viralliset kannat voidaan vahvistaa.

Oikeusasiamiehen tutkimusryhmä totesi, että käynnissä olevassa tutkimuksessa esitetty pyyntö koski luonnoksia asiakirjoista, jotka tietosuojaneuvosto oli jo hyväksynyt. Lisäksi kantelija oli ilmoittanut hyväksyvänsä pääsyn tietosuojaneuvoston jäsenten kannanottojen anonymisoituihin versioihin. Oikeusasiamiehen tutkimusryhmä pyysi näin ollen Euroopan tietosuojaneuvoston edustajia antamaan konkreettisia esimerkkejä siitä, miten sen päätöksentekoprosessi vaarantuisi vakavasti, jos pyydetyt asiakirjat annettaisiin laajemmin yleisön tutustuttavaksi, jos ne olisi anonymisoitu.

Tietosuojaneuvoston SEC-edustajat vastasivat, että yleisöllä oli aiemmin ollut mahdollisuus tunnistaa vastausten laatijat valmisteluasiakirjoissa, vaikka ne olisi julkistettu anonymisoidussa muodossa. Tämän jälkeen yritykset ja eturyhmät voivat kohdistaa niihin ulkopuolista painostusta. Tietosuojaneuvoston SEC:n edustajat korostivat, että tietojen julkistaminen johtaisi siihen, että tietosuojaneuvoston jäsenet olisivat haluttomia esittämään näkemyksiään, ja estäisi näin ollen avoimen ja vapaan keskustelun. Tietosuojaneuvoston SEC-edustajat lisäsivät, että vaikka valmisteluasiakirjat julkistettaisiin kokonaisuudessaan, se aiheuttaisi sekaannusta yleisön keskuudessa, koska luonnoksissa ei välttämättä selitetä, miksi tietty muutos tehtiin tai miksi jotain laadittiin tietyllä tavalla. Ne huomauttivat myös, että on olemassa riski, että yksilöllisten ja alustavien näkemysten ilmaiseminen voisi vaikuttaa koko tietosuojaneuvoston toimivaltaan, vaikka tietosuojaneuvoston tehtävänä on varmistaa yleisen tietosuoja-asetuksen johdonmukainen soveltaminen.

Tietosuojaneuvoston SEC-edustajat korostivat tarvetta tasapainottaa ja suojella oikeutta avoimuuteen ja oikeutta tietosuojaan. Tältä osin pyydettyjen asiakirjojen antaminen yleisön tutustuttavaksi heikentäisi oikeusvarmuutta ja johdonmukaisuutta yleisen tietosuoja-asetuksen tulkinnassa ja vahingoittaisi näin ollen oikeutta tietosuojaan.

Suuntaviivojen hyväksymismenettely

Tietosuojaneuvoston SEC:n edustajat selittivät pyynnöstä tietosuojaneuvoston sisäistä käytäntöä ohjeidensa hyväksymisessä. Tämän käytännön mukaisesti tietyistä suuntaviivoista vastaavat tietosuojaneuvoston alaryhmän jäsenet vaihtavat kommentteja luonnoksesta, jonka laadintaryhmä on laatinut, ja ehdotuksista, jotka on tehty suoraan kokouksissa. Yleisenä käytäntönä on, että kokouksessa käsiteltävä luonnosversio näytetään näytöllä. Usein tietosuojaneuvoston sihteeristö tallentaa nämä suulliset keskustelut luonnokseen reaaliaikaisesti. Koska nämä keskustelut liittyvät kokouksissa tehtyihin konkreettisiin ehdotuksiin, ne heijastavat tietosuojaneuvoston jäsenten henkilöstön teknisen tason kantaa, joka ei välttämättä kuvasta heidän hierarkiansa virallista kantaa, joka on vahvistettava myöhemmin. Lisäksi tietosuojaneuvoston SEC-edustajat katsoivat, että nämä luonnokset eivät anna tarkkaa kuvaa koko keskustelusta, koska ne ovat vain ”katsauksia” prosessista ja joitakin muutoksia ei välttämättä aina tehdä täysin selkeästi, kun ne suoritetaan ”livenä” kokousten aikana. Tietosuojaneuvoston SEC-edustajat katsovat näin ollen, että henkilöllä, joka ei ole osallistunut kyseiseen kokoukseen tai ainakin seurannut tietosuojaneuvostossa tästä aiheesta käytyjä keskusteluja, olisi vaikeuksia ymmärtää huomautusten ja ehdotettujen muutosten asiayhteyttä. Tietosuojaneuvoston SEC-edustajat toistivat, että jos valmisteluasiakirjat annetaan yleisön tutustuttavaksi, on olemassa riski, että se vaikuttaisi tuleviin keskusteluihin, koska valtioista riippumattomat toimijat eivät ilmaisisi näkemyksiään vapaasti, mikä vaikuttaisi vakavasti tietosuojaneuvoston kykyyn hoitaa tehtävänsä.

Lopuksi tietosuojaneuvoston SEC:n edustajat totesivat, että kaikki nämä asiakirjat liittyvät tavalla tai toisella tietosuojaneuvoston meneillään olevaan FATCAa koskevaan työhön ^[8], johon myös niiden julkistaminen voi vaikuttaa.

Kokouksen päättäminen

Oikeusasiamiehen tutkimusryhmä kiitti tietosuojaneuvoston SEC:n edustajia annetuista selvityksistä. Sen jälkeen kokous päättyi.

Bryssel 31. toukokuuta 2022

Angela Marcos Figueruelo Jennifer King

Tiedusteluvastaava Oikeudellinen asiantuntija

Tiedusteluosasto Tiedusteluosasto

[1] Euroopan oikeusasiamiehen täytäntöönpanomääräysten 4 artiklan 8 kohta.

[2] Saatavilla osoitteessa https://edpb.europa.eu/our-work-tools/our-documents/other-guidance/statement-042021-international-agreements-including_en

[3] Saatavilla osoitteessa https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-22020-articles-46-2-and-46-3-b_en

[4] Saatavilla osoitteessa https://edpb.europa.eu/our-work-tools/our-documents/statements/edpb-statement-012019-us-foreign-account-tax-compliance-act_en

[5] Saatavilla osoitteessa https://edpb.europa.eu/system/files/2021-07/edpb_letter_out2021-0119_intveld_igas.pdf

[6] Tietosuojaneuvoston suuntaviivat 2/2019, saatavilla osoitteessa https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22019-processing-personal-data-under-article-61b_en

[7] Asetuksen (EY) N:o 1049/2001 4 artiklan 3 kohdan mukaisesti.

[8] US Foreign Account Tax Compliance Act (ulkomaisten tilien verosäännösten noudattamista koskeva laki).