Tämä sivu on osa Opetushallituksen tietosuojaopasta kasvatuksen, opetuksen ja koulutuksen järjestäjille. Linkityksen tietosuojaoppaan muihin aiheisiin löydät sivun lopusta.
Karttapallo
Kuva: Unsplash

Tietosuojalainsäädäntö sallii henkilötietojen siirrot Euroopan talousalueen eli ETA-alueen (EU-jäsenvaltiot, Islanti, Norja ja Liechtenstein) sisällä ilman erillisiä edellytyksiä. Mikäli rekisterinpitäjä tai henkilötietojen käsittelijä aikoo sen sijaan siirtää henkilötietoja ETA-alueen ulkopuolelle kolmansiin maihin tai kansainvälisille järjestöille, on varmistettava, että siirrolle on olemassa tietosuoja-asetuksessa määritelty siirtoperuste ja että käsittely on muutoinkin lainmukaista. Siirtoperusteilla on keskinäinen etusijajärjestys.

Henkilötietojen siirtoedellytyksiä voidaan joutua arvioimaan tilanteessa, jossa rekisterinpitäjä on luovuttamassa henkilötietoja toiselle rekisterinpitäjälle tai kun rekisterinpitäjä siirtää tietoja henkilötietojen käsittelijän käsiteltäväksi. Näissä tilanteissa on tärkeää huomioida tietojen maantieteellinen sijainti sekä se, kenellä on pääsy tietoihin etäyhteydellä. Tietojen siirrosta ETA-alueen ulkopuolelle on kyse esimerkiksi silloin, kun konesalit, joissa tietoja säilytetään, sijaitsevat ETA-alueen ulkopuolella. Siirrosta on kyse myös silloin, jos tietoihin pääsee etäyhteydellä ETA-alueen ulkopuolelta, vaikka tietoja säilytettäisiinkin konesaleissa ETA-alueella. Siirtoedellytyksien arviointi tulee kyseeseen yleensä erilaisia pilvipalveluita käytettäessä.

Rekisterinpitäjänä toiminnan järjestäjän vastuulla on huolehtia, että kaikki sen suorittamat tai sen lukuun suoritetut siirrot ovat lainmukaisia ja että siirtojen edellytykset täyttyvät. Siirtojen lainmukaisuus on siten huomioitava esimerkiksi hankinnoissa ja muissa henkilötietojen käsittelyn ulkoistusta koskevissa tilanteissa. Toiminnan järjestäjän on myös seurattava, mikäli esimerkiksi lainsäädännössä tai oikeuskäytännössä tapahtuu sellaisia muutoksia, joiden perusteella siirtoedellytysten riittävyyttä on arvioita uudelleen.

Takaisin ylös

Siirron tulisi ensisijaisesti perustua Euroopan komission antamaan päätökseen, jossa se on erikseen vahvistanut riittävän tietosuojan tason kohdemaassa. Tällöin siirtoon ei tarvita erillistä lupaa. Komissio tarkastelee päätöksiä uudelleen vähintään neljän vuoden välein ja niihin saattaa liittyä muun muassa alueellisia rajoituksia. Päätös voi koskea koko maata, sen aluetta, yhtä tai useampaa sektoria tai kansainväistä järjestöä. Ajantasainen luettelo komission vastaavuuspäätöksistä löytyy esimerkiksi tietosuojavaltuutetun verkkosivuilta.

Jos komissio ei ole tehnyt edellä mainittua päätöstä, siirto voi toissijaisesti perustua asianmukaisten suojatoimien käyttöön. Tällöin siirto voidaan toteuttaa, jos kyseinen rekisterinpitäjä tai henkilötietojen käsittelijä on toteuttanut asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja. Asianmukaisia suojatoimia ovat esimerkiksi komission hyväksymät vakiolausekkeet, joita siirron osapuolet ovat sitoutuneet keskinäisessä sopimuksessaan noudattamaan.

Kun siirto perustuu asianmukaisiin suojatoimiin, on lisäksi tarkistettava tapauskohtaisesti, että siirtoperuste takaa kohdemaassa olennaisilta osin saman tietosuojan tason kuin ETA-alueella. Asianmukaisten suojatoimien takaama suoja voi heikentyä esimerkiksi kohdemaan lainsäädännön vuoksi. Mikäli tietosuojan taso ei ole riittävä, tulee arvioida, voidaanko olennaisilta osin sama tietosuojan taso saavuttaa täydentävillä suojatoimilla. Muun muassa tätä kysymystä tarkasteltiin EU:n tuomioistuimen niin kutsutussa Schrems II -tuomiossa. Tuomion jälkeen tietosuojaneuvosto julkaisi suosituksen (01/2020), jonka liitteenä on kattava esimerkkiluettelo erilaisista teknisistä, organisatorisista ja sopimuspohjaisista suojatoimista. Jos käytetty siirtoperuste ei riitä takaamaan olennaisilta osin samaa tietosuojan tasoa eikä myöskään soveltuvia täydentäviä suojatoimia löydy riittävän tietosuojan tason takaamiseksi, siirron edellytykset eivät täyty.

Henkilötietojen siirron tulisi perustua ensisijaisesti komission päätökseen tai edellä mainittuihin asianmukaisiin suojatoimiin. Mikäli siirto ei ole näillä perusteilla mahdollinen, se voi tulla kyseeseen erityistilanteita koskevien poikkeusten perusteella. Nämä poikkeukset voivat tulla kyseeseen muun muassa silloin, jos siirto on tarpeen tärkeää yleistä etua koskevien syiden vuoksi tai oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Poikkeuksia kuitenkin tulkitaan suppeasti ja niiden käytölle on asetettu useita edellytyksiä, mikä rajaa poikkeusten käyttömahdollisuuksia. Lisätietoja poikkeuksien käyttämisestä saa tietosuojavaltuutetun verkkosivuilta.

Takaisin ylös