Henkilötietojen kansainvälinen siirtäminen : Henkilötietojen siirtäminen Euroopan unionin ja Euroopan talousalueen ulkopuolelle

Tarkastelen työssäni kysymystä siitä, millä perusteella henkilötietojen siirtäminen on sallittua Euroopan unionin ja Euroopan talousalueen ulkopuolelle (kolmansiin maihin) ja miten eri siirtoperusteet eroavat toisistaan. Viittaan tällaisiin siirtoihin työssäni henkilötietojen kansainvälisinä siirtoina. Suomessa henkilötietojen kansainvälisistä siirroista säädetään henkilötietolain (523/1999) 5 luvussa, johon on implementoitu unionin tietosuojadirektiivin säännökset. Työni metodina on argumentaatiota kehittelevä dogmatiikka. Kyseinen argumentaatiotapa keskittyy selvittämään oikeudenalan eri argumentaatiotapojen sisältöä, rakenteita ja niiden suhdetta toisiinsa. En näin ollen pyri muodostamaan käsittelemieni siirtoperusteiden välistä hierarkiaa, vaan tarkastelen kunkin siirtoperusteen ominaisuuksia ja käytettävyyttä. Näiden pohjalta voidaan tarvittaessa tehdä tapauskohtainen siirtoperusteen valinta. Käytän työssäni oikeustaloustieteen periaatteita havainnollistaessani eri siirtoperusteiden ominaisuuksia. Henkilötietojen käsitteleminen tulee aloittaa sovellettavan lain arvioimisesta. Sovellettava lainsäädäntö vaikuttaa merkittävästi siihen, miten henkilötietoja tulee siirtää kolmansiin maihin. Tarkastelen työni aluksi sovellettavan lainsäädännön valintaa sekä henkilötietojen käsittelyn sääntelyä Suomessa. Jotta henkilötietojen siirrettävyyden arvioiminen olisi tämän jälkeen mahdollista, tarkastelen työssäni sitä, millainen tieto katsotaan henkilötietolain mukaiseksi henkilötiedoksi. Tämä on tarpeen, sillä mikäli tieto ei ole henkilötieto, ei siihen myöskään sovelleta henkilötietolakia, eikä lain kansainvälisiä siirtoja koskevaa lukua. Henkilötietojen kansainvälisiä siirtoja arvioitaessa tulee ennen itse siirrettävyyden arviointia kiinnittää huomiota siirtoa edeltävään käsittelyyn. Henkilötietojen siirtäminen, myös kansainvälinen siirtäminen, luetaan nimittäin henkilötietojen käsittelyyn. Jotta siirto olisi sallittu, tulee siirrettäessä huomioida henkilötietolain sisältämät käsit-telyä sääntelevät yleiset periaatteet, rekisteröidyn oikeudet ja muu lainsäädäntö. Mikäli henkilötietojen käsittely on ollut lainvastaista ennen siirtämistä, ei myöskään itse henkilötietojen siirto ole lainmukainen. Henkilötietojen siirtämisenä voidaan pitää kaikkia niitä tilanteita, joissa rekisterinpitäjä ryhtyy toimenpiteisiin saattaakseen henkilötietoja sivullisen saataville. Siirto katsotaan kansainväliseksi siirroksi, mikäli siirto kohdistuu kolmannessa maassa sijaitsevalle siirronsaajalle. Kansainvälisten siirtojen siirtoperusteet on lueteltu henkilötieto-lain 5 luvussa ja käsittelen niitä työni luvuissa 3-5. Siirtoperusteiden sääntelyn avulla voidaan varmistaa, että henkilötiedot nauttivat riittävää suojaa siirron jälkeen tai että siirrolle on muu peruste, jonka vuoksi siirron toteuttamista pidetään poikkeuksellisesti sallittuna. Jotta siirtoperusteiden yksityiskohtainen tarkastelu ja niiden välinen vertailu olisi mahdollista, olen jakanut siirtoperusteet työssäni niiden tarjoaman tietosuojan tason kattavuuden perusteella kolmeen kategoriaan. Käyttämäni jaottelu ei pohjaudu lain systematiikkaan, vaan perusteena on tietyn kategorian mukaisten siirtoperusteiden yhteiset piirteet, joita pyrin havainnollistamaan valitsemani jaottelun avulla. Tämä systematisointi toimii myös työni rakenteen pohjana. Tarkastelussani etenen laajimman tietosuojan tason tarjoavista siirtoperusteista aina niihin siirtoperusteisiin saakka, jotka eivät kiinnitä huomiota tietosuojan tason riittävyyteen, vaan siirron oikeuttavaan muuhun perusteeseen. Työni lopuksi käsittelen esittämiäni näkökohtia johtopäätösten muodossa. Korostan johtopäätöksissäni siirtope-rusteiden välisten erojen merkitystä. Mielestäni siirtoperusteen käyttö tulee aina olla tapauskohtaisen valinnan tulos, eikä siirtoperusteita ole siten mahdollista asettaa hierarkkiseen soveltamisjärjestykseen. Siirtoperusteiden käytettävyyden haasteena nykyään on globalisaation ja teknisen kehityksen merkityksen kasvu. Nämä asettavat vaatimuksia lainsäädännölle, edellyttäen muun muassa teknologianeutraaliutta ja laajaa sovellettavuutta. Näistä haasteista huolimatta, käsitykseni mukaan oikein toteutettuna uudet henkilötietojen siirtoon perustuvat palvelut voivat parhaimmillaan hyödyttää kaikkia osapuolia: lainsäätäjä pystyy turvaamaan yksilöiden henkilötietojen suojan ja rekisterinpitäjä saa kilpailuetua lainsäädännön kannalta oikein toteutetun palvelunsa kautta