Kun siirretään henkilötietoja EU/ETA-alueen ulkopuolelle, on riskinä henkilötietojen suojan tason heikkeneminen. Tällainen siirto edellyttää siirtoperustetta, ja mikäli kyseessä ei ole riittävän tietosuojatason maa, myös hyväksytyn siirtomekanismin. Henkilötietojen kansainväliset siirrot on puhuttanut erityisen paljon heinäkuussa 2020 annetun EUT:n Schrems II -ratkaisun (C-311/18) myötä. Ratkaisussa Unionin tuomioistuin katsoi, ettei Yhdysvaltojen kanssa sovittu, siirtojen perusteena aikaisemmin toiminut, Privacy Shield -järjestelmä täyttänyt EU:n yleisen tietosuoja-asetuksen vaatimuksia. Samassa ratkaisussa järjestelyn vaihtoehtona toimiviin vakiosopimuslausekkeisiin liittyen todettiin, että niitä voidaan käyttää perusteena siirroille kolmansiin maihin, kunhan niiden kanssa huolehditaan lisäsuojatoimenpiteistä.

Osaksi laajempaa sopimuskokonaisuutta sijoitettavissa olevat vakiosopimuslausekkeet, eli EU:n komission hyväksymät ehtokokonaisuudet, voivat olla perusteena henkilötietojen siirrolle kolmansiin maihin, kunhan siirron kumpikin osapuoli sitoutuu ja tosiasiassa varmistaa vakioehtojen asettamien velvollisuuksien noudattamisen. Näihin ehtoihin rekisteröity voi vedota, mikäli ehtoja ei ole noudatettu.

Euroopan komissio päivitti vakiosopimuslausekkeitaan 27. kesäkuuta 2021 alkaen, ja uudet ehdot korvasivat aikaisemmat vakiosopimuslausekkeet. Vanhoja vakiosopimuslausekkeita käyttävillä yrityksillä on aikaa päivittää sopimuksiaan 27. joulukuuta 2022 asti, kun taas uusissa tiedonsiirroissa uusia vakiosopimuslausekkeita tulisi käyttää jo nyt, kun niiden osalta siirtymäaika päättyi 27. syyskuuta 2021. Ehtoja myös päivitettiin vastaamaan tietosuoja-asetuksen vaatimuksia. Ehdoissa muina keskeisinä muutoksina voidaan pitää joustavuutta monimutkaisiin käsittelyketjuihin sekä uutta modulaarista mallia, josta sopimusosapuolten tulee valita tilanteeseen soveltuva moduuli. Moduulien valinnasta Myhrberg neuvoi, että keskeistä on tarkasti identifioida oman yrityksen rooli ja valita soveltuvat lausekkeet aloittaen yleisistä lausekkeista ja sitten liikkuen kohti tilannekohtaisia moduuleita.

Keskeinen osa vakiosopimuslausekkeiden käyttöä siirtoperusteena on myös siirtäjän vastuu siitä, että siirrettävien henkilötietojen suoja pysyy tietosuoja-asetuksessa määritellyllä tasolla. Tietoja siirtävän tahon on tunnettava tiedonsiirtonsa sekä tehtävä siitä riittävä riskiarviointi. Koulutuksessa Myhrberg painotti ensisijaisesti toiminnassa teknisiä lisätoimenpiteitä sekä jo tehtyjen toimien dokumentaatiota. Ratkaisuissa on myös huomioitava kohdemaan erikoispiirteet: kaikki lisätoimenpiteet eivät ole kaikissa maissa riittävän tehokkaita.

Lue lisää:

• Komission täytäntöönpanopäätös (EU) 2021/914 vakiosopimuslausekkeista, jotka koskevat henkilötietojen siirtämistä kolmansiin maihin Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaisesti
• Euroopan tietosuojaneuvoston Suositukset 1/2020 toimenpiteistä, joilla täydennetään tiedonsiirtovälineitä EU:n henkilötiedoille taatun suojan tason noudattamiseksi
• Euroopan komission hyväksymät uudet vakiolausekkeet on julkaistu – olethan valmis ottamaan ne käyttöön? (Lexia.fi)

Tämä koulutus on osa Organisaation tietosuoja -webinaaripakettia, josta on vielä jäljellä 10.11.2021 järjestettävä Myynnin ja markkinoinnin tietosuoja -webinaari. Kaikki paketin webinaarit on myös jälkikäteen saatavilla tallenteina.