Henkilötietojen siirto EU:n ulkopuolelle on sallittua, kun siirrolle on olemassa GDPR:n mukainen oikeudellinen peruste. Tällaisia perusteita ovat muun muassa Euroopan komission riittävyyspäätös kohdemaasta, vakiosopimuslausekkeet sekä sitovat yrityssäännöt. Siirto ilman asianmukaista mekanismia on tietosuoja-asetuksen vastaista ja voi johtaa merkittäviin seuraamuksiin sekä organisaatiolle että sen johdolle.
Monet organisaatiot siirtävät henkilötietoja kolmansiin maihin huomaamattaan, esimerkiksi käyttämällä pilvipalveluita, joiden palvelimet sijaitsevat EU:n ulkopuolella. Ilman dokumentoitua siirtoperustetta toiminta on GDPR:n vastaista riippumatta siitä, onko tietovuotoa tapahtunut vai ei. Valvontaviranomaiset voivat määrätä hallinnollisia sakkoja jo pelkästään puutteellisen dokumentaation perusteella. Tilanteen korjaamiseksi organisaation on ensin kartoitettava, minne tietovirtoja ylipäätään kulkee, ja vasta sen jälkeen valittava kuhunkin siirtoon sopiva mekanismi.
Vakiosopimuslausekkeet ovat yleinen ratkaisu, mutta ne eivät toimi automaattisesti. Jokaisen siirron kohdalla on arvioitava kohdemaan lainsäädäntö ja sen vaikutus tietojen suojaamiseen eli niin sanottu Transfer Impact Assessment. Jos tätä arviointia ei tehdä, sopimustekniset suojat saattavat olla käytännössä tehottomia. Tämä tarkoittaa, että oikeudellinen vastuu pysyy siirtävällä organisaatiolla. Oikea lähestymistapa on valita mekanismi tapauskohtaisesti, ei käyttää yhtä mallia kaikkiin siirtoihin.
Henkilötietojen siirto EU:n ulkopuolelle tarkoittaa tilannetta, jossa henkilötietoja lähetetään, siirretään tai muutoin asetetaan saataville Euroopan talousalueen ulkopuolella sijaitsevalle vastaanottajalle. Siirto voi olla aktiivinen toimenpide tai tapahtua epäsuorasti esimerkiksi ulkoisen palveluntarjoajan kautta.
EU:n tietosuoja-asetus, GDPR, asettaa kansainvälisille siirroille erityisvaatimuksia, koska EU:n ulkopuolella ei automaattisesti sovelleta samoja tietosuojastandardeja. Siirto kattaa kaikki tilanteet, joissa tiedot ylittävät ETA-alueen rajan, mukaan lukien tekninen pääsy tietoihin etäyhteyden kautta.
Käytännön esimerkkejä ovat henkilöstötietojen tallentaminen yhdysvaltalaisen SaaS-palvelun tietokantaan, asiakastietojen lähettäminen kolmannessa maassa sijaitsevalle yhteistyökumppanille tai IT-tuen tarjoaminen EU:n ulkopuoliselle alihankkijalle. Jokainen näistä tilanteista edellyttää asianmukaisen siirtoperusteen olemassaoloa.
Siirto kolmanteen maahan on sallittua, kun jokin GDPR:n 44–49 artikloissa luetelluista mekanismeista on käytössä. Ensisijainen vaihtoehto on Euroopan komission riittävyyspäätös. Toisena vaihtoehtona ovat asianmukaiset suojatoimet, kuten vakiosopimuslausekkeet. Poikkeustilanteissa sovelletaan erityisiä poikkeusperusteita.
Siirron on täytettävä kaikki muutkin GDPR:n vaatimukset, kuten käsittelyn oikeusperuste ja tietosuojaperiaatteiden noudattaminen. Kansainvälinen siirto ei siis ole erillinen kysymys, vaan osa laajempaa tietosuojan hallintaa.
Siirtoperusteen valintaan vaikuttavat kohdemaa, vastaanottajan luonne, tietojen arkaluonteisuus sekä siirron toistuvuus. Kertaluonteinen siirto voi perustua rekisteröidyn suostumukseen, mutta säännöllinen siirto edellyttää kestävämpää mekanismia.
Riittävän tietosuojan maat ovat maita, joille Euroopan komissio on myöntänyt niin sanotun riittävyyspäätöksen. Näihin maihin henkilötietoja voidaan siirtää ilman erillisiä lisäsuojatoimia. Päätöksen saaneisiin maihin kuuluvat muun muassa Sveitsi, Japani, Yhdistynyt kuningaskunta, Uusi-Seelanti, Israel ja Etelä-Korea.
Riittävyyspäätökset perustuvat komission arvioon siitä, tarjoaako kohdemaan lainsäädäntö olennaisesti vastaavan suojan kuin EU:n tietosuoja-asetus. Päätökset ovat määräaikaisia ja niitä arvioidaan säännöllisesti uudelleen, joten organisaation on seurattava, onko kohdemaan asema muuttunut.
Yhdysvaltojen osalta tilanne on ollut erityisen muuttuvainen. EU:n ja Yhdysvaltojen välinen Data Privacy Framework hyväksyttiin vuonna 2023, mutta sen pitkäaikainen oikeudellinen kestävyys on edelleen arvioinnin kohteena. Yhdysvaltalaisiin vastaanottajiin kohdistuvissa siirroissa on siksi syytä varmistaa, onko vastaanottaja rekisteröitynyt kyseiseen kehykseen.
Vakiosopimuslausekkeet, englanniksi Standard Contractual Clauses (SCC), ovat Euroopan komission vahvistamia sopimusmalleja, joita käytetään henkilötietojen siirron oikeudellisena perusteena silloin, kun kohdemaa ei kuulu riittävyyspäätöksen piiriin. Ne sitovat sekä tietojen lähettäjän että vastaanottajan tietosuojavelvoitteisiin.
Komissio uudisti vakiosopimuslausekkeet vuonna 2021. Uudet lausekkeet kattavat useampia siirtoskenaarioita, kuten siirrot rekisterinpitäjältä toiselle rekisterinpitäjälle sekä rekisterinpitäjältä henkilötietojen käsittelijälle. Oikea lausekekokonaisuus valitaan osapuolten roolien perusteella.
Pelkkä sopimusasiakirjan allekirjoittaminen ei riitä. GDPR edellyttää, että siirtävä osapuoli arvioi kohdemaan lainsäädännön vaikutuksen lausekkeiden tehokkuuteen ennen siirron aloittamista. Jos kohdemaan viranomaisilla on laaja pääsy tietoihin, saatetaan tarvita lisäsuojatoimia, kuten tietojen salaamista. Tätä arviointiprosessia kutsutaan Transfer Impact Assessmentiksi.
Vakiosopimuslausekkeiden ja riittävyyspäätösten lisäksi GDPR tunnistaa useita muita mekanismeja. Näitä ovat sitovat yrityssäännöt, hyväksytyt käytännesäännöt, sertifiointimekanismit sekä erityiset poikkeusperusteet yksittäisiin siirtoihin.
Sitovat yrityssäännöt, englanniksi Binding Corporate Rules (BCR), soveltuvat monikansallisille konserneille, jotka haluavat siirtää henkilötietoja konserniyhtiöiden välillä. BCR-prosessi on raskas ja edellyttää valvontaviranomaisen hyväksyntää, mutta se tarjoaa kattavan ja pysyvän ratkaisun konsernin sisäisiin tietovirtoihin.
Erityiset poikkeusperusteet GDPR:n 49 artiklassa kattavat muun muassa rekisteröidyn nimenomaisen suostumuksen, sopimuksen täytäntöönpanon sekä yleisen edun vaatimat siirrot. Nämä poikkeukset on kuitenkin tarkoitettu tilapäisiin tai satunnaisiin siirtoihin, eivät toistuvaan massasiirtoon. Poikkeusperusteiden käyttö edellyttää tarkkaa dokumentaatiota.
Luvaton henkilötietojen siirto EU:n ulkopuolelle voi johtaa hallinnolliseen sakkoon, joka on enintään 20 miljoonaa euroa tai neljä prosenttia yrityksen globaalista vuotuisesta liikevaihdosta sen mukaan, kumpi on suurempi. Lisäksi rekisteröidyillä on oikeus vaatia vahingonkorvausta aiheutuneesta haitasta.
Valvontaviranomaiset, Suomessa tietosuojavaltuutettu, voivat määrätä sanktioita myös ilman konkreettista tietovuotoa. Riittää, että siirto on tapahtunut ilman asianmukaista oikeudellista perustetta tai dokumentaatiota. Sakkojen lisäksi viranomainen voi kieltää siirron jatkamisen, mikä voi keskeyttää liiketoimintakriittisiä prosesseja.
Mainehaitat ja asiakkaiden luottamuksen menetys voivat pitkällä aikavälillä olla taloudellisesti merkittävämpiä kuin varsinaiset sanktiot. Organisaatioiden, jotka käsittelevät henkilötietoja laajassa mittakaavassa tai arkaluonteisia tietoja, on syytä varmistaa, että tietosuojan hallinnointi kattaa myös kansainväliset tietovirrat systemaattisesti.
Me Hedman Partnersilla autamme organisaatioita arvioimaan kansainvälisten tietovirtojen oikeudellisen perustan ja rakentamaan toimivat menettelyt GDPR:n vaatimusten täyttämiseksi. Ensimmäinen yhteydenotto on maksuton.
Tämä sisältö on luotu tekoälyn avulla, ja se voi sisältää virheitä.