Irlannin High Courtin ennakkoratkaisupyyntöä voidaan pitää uutena erävoittona itävaltalaisen tietosuoja-aktivisti Max Schremsin taistelussa paremman tietosuojan puolesta. Schremsin kampanja näyttäytyy vahvasti taisteluna Facebookia vastaan, mutta tästä pelkästään ei ole kyse, sillä Schrems haluaa testata laajemmin järjestelmän toimivuutta ja varmistaa, että eurooppalaisten yritysten Yhdysvaltoihin siirtämiä tietoja käsitellään sillä tasolla, mihin EU-kansalaiset ovat tottuneet EU:n perusoikeuksien ansiosta. Tapauksessa asetetaan kyseenalaiseksi ylipäätään se, voidaanko EU-kansalaisen henkilötietoja siirtää Yhdysvaltoihin ja näin ollen punnitaan länsimaisten yritysten operointikykyä suhteessa yksilön oikeuksiin. Aiemmin Schrems ja Facebook ovat kohdanneet Euroopan unionin tuomioistuimessa vuonna 2015, jolloin tuomioistuin päätyi siihen, että EU:n ja Yhdysvaltain välillä tehtyä turvasatamasopimusta (Safe Harbor) ei voitu pitää voimassa.

Turvasatamasopimuksen kaatumisen jälkeen Facebook ja tuhannet muut yritykset joutuivat löytämään uuden perusteen transatlanttiselle tiedonsiirrolle. Viime aikoina EU:n suurennuslasin alla on ollut turvasatamaa seurannut Privacy Shield, mutta käytännössä suurin osa tiedonsiirrosta tapahtuu EU-komission laatimien mallisopimuslausekkeiden perusteella. Käsillä olevassa tapauksessa tämä uusi peruste asetetaankin kyseenalaiseksi ja Schrems haluaa, että EU-tuomioistuin ottaa kantaa näiden mallisopimuslausekkeiden laillisuuteen.

Asianajotoimisto Dittmar & Indreniuksen osakkaan Jukka Långin mielestä tapauksella voi olla kauaskantoisia vaikutuksia ja hänen mukaansa Irlannin High Courtin päätös pyytää ennakkoratkaisua EU-tuomioistuimelta aiheuttaa nyt epävarmuutta kaikissa kansainvälisesti toimivissa yrityksissä.

”En usko siihen, että transatlanttinen tiedonsiirto kielletään kokonaan, mutta koska mallisopimuslausekkeiden laillisuus on kyseenalaistettu, oikeudenkäynnistä seuraa yrityksille varmasti merkittävä määrä uutta paperityötä ja compliance-pohditaa – sekä pidemmällä tähtäimellä tarve sopia uusia sopimuksia palveluntarjoajiensa kanssa.”

”Pidän todennäköisenä (ja toivottavana), että EU-komissio ratkaisee syntyneen merkittävän ongelman saattamalla markkinoiden käyttöön uudet mallisopimuslausekkeet jo ennen kuin EU-tuomioistuin ehtii antamaan asiassa ennakkoratkaisunsa (oletettavasti 2018 lopussa tai 2019 alussa). Uusille mallisopimuslausekkeille katsotaan syntyneen tarve jo GDPR:n (EU:n tietosuoja-asetus) voimaantulon myötä. Ne pyritään todennäköisesti laatimaan tavalla, joka tehokkaammin ja varmemmin torjuu High Courtin ennakkoratkaisupyynnön myötä nousseen merkittävän riskin jälleen uuden tietojensiirtoperusteen muuttumisesta lainvastaiseksi. Voittajina tässä kehityksessä ovat EU-kansalaisten yksityisyyden suoja sekä ne palveluntarjoajayritykset, jotka ovat keskittyneet toimimaan yksinomaan EU:sta käsin”, Lång arvioi.

Irlannin High Courtin ratkaisu on luettavissa täältä: http://www.europe-v-facebook.org/sh2/HCJ.pdf

 

Juristikirjeen toimitus / Henna Tolvanen