Voiko suomalainen yritys enää tulevaisuudessa siirtää mitään henkilötietoja Yhdysvaltoihin? Nyt myös komission mallisopimuslausekkeet vaarassa

privacynet1Irlannin tietosuojaviranomaisilla on ollut ”Schrems-oikeudenkäynnin” alkamisesta asti kädet täynnä töitä Yhdysvaltoihin luovutettavien henkilötietojen kanssa. Tämä johtuu siitä, että Facebook, Google ja useat muut amerikkalaiset teknologiajätit ovat valinneet kotipaikakseen EU:ssa Irlannin ja erityisesti Dublinin ”Silicon Docks” -alueen. Euroopan talousalueella twitterit ja facebookit käsittelevät käyttäjiensä henkilötietoja Irlannin tietosuojalainsäädännön mukaisesti, vaikka käyttäjä olisi se kuuluisa Pihtiputaan mummo. Tästä johtuen myös Max Schremsin EvF-ryhmä nosti kanteensa irlantilaisessa tuomioistuimessa.

EU:ssa henkilötietorekisterin ylläpitäjä ei voi luovuttaa henkilötietoja Euroopan talousalueen ulkopuolelle ihan noin vain. Tuhannet yritykset siirsivät henkilötietoja vuosien ajan käsiteltäväksi Yhdysvaltoihin Safe Harbor -järjestelmän nojalla. Safe Harborin kaaduttua Euroopan unionin tuomioistuimessa henkilötietojen luovutukset ovat perustuneet Euroopan komission mallisopimuslausekkeisiin. Nyt Irlannin tietosuojaviranomaiset ovat ilmoittaneet, että myös komission mallisopimuslausekkeet ovat tulilinjalla.

Irlannin tietosuojaviranomaisten ulostulo ei ole yllätys. Niin sanotun ”Schrems-tuomion” julistamisen yhteydessä oli varsin ilmeistä, että Safe Harborin kaataneet argumentit soveltuvat myös komission mallisopimuslausekkeiden käyttökelpoisuuteen. Safe Harborin kohtalona oli se, että tuomioistuimen mielestä järjestely ei varmistanut riittävää henkilötietojen suojan tasoa Yhdysvalloissa. Komission mallisopimuslausekkeet eivät sellaisenaan ratkaise tätä ongelmaa.

Financial Timesin mukaan Irlannin tietosuojaviranomaiset ovat aikeissa viedä komission mallisopimuslausekkeet tuomioistuimen puntaroitavaksi. Ajoitus ei voisi tulla juurikaan hankalampaan aikaan, sillä Safe Harborin korvaamaan tarkoitettu Privacy Shield -järjestelmä on kovassa vastatuulessa. Mikäli tuomioistuin toteaa, että henkilötietoja ei voida luovuttaa Yhdysvaltoihin mallisopimuslausekkeiden perusteella, eikä Safe Harborille ole saatu korvaajaa siihen mennessä, niin siirtoperusteet alkavat käymään vähiin.