Tietojen siirtäminen EU:n ulkopuolelle

Nykyään on tavallista, että tietoja saatetaan siirtää EU:n ulkopuolelle eli niin sanottuihin kolmansiin maihin. Tällainen saattaa tulla vastaan, kun esimerkiksi suomalainen matkailuyritys myy retkiä Islantiin ja osallistujien tiedot siirretään yhteistyökumppanille Islantiin. Myös pilvipalvelut hyödyntävät usein toiminnassaan EU:n ulkopuolella toimivia palvelimia.

Olisi hyvä tarkistaa ennen tiedon siirtämistä, onko komissio katsonut kohdemaan täyttävän kriteerit.

Kriteerit täyttäviä maita ovat tällä hetkellä

Yhdysvalloissa kriteerit katsotaan täyttyvän vain niillä yrityksillä, jotka ovat liittyneet Privacy Shield -järjestelmään. Siten vain näihin yrityksiin saa siirtää henkilötietoja. Yhdysvaltojen kauppaministeriö pitää yllä julkista listaa järjestelmään liittyneistä yrityksistä osoitteessa www.privacyshield.gov.

Jos komissio ei ole tehnyt päätöstä tietystä maasta, henkilötietojen siirtäminen sinne sallittua, jos yrittäjä tai henkilötietojen käsittelijä ovat toteuttaneet asianmukaiset suojatoimet ja jos rekisteröityjen saatavilla on täytäntöönpanokelpoisia oikeuksia ja tehokkaita oikeussuojakeinoja.

Ajantasainen tieto kriteerit täyttävistä maista

• ec.europa.eu
• European Commission
• Strategy 
• Justice and fundamental rights
• Data protection
• Data transfers outside the EU

» Siirry Data transfers outside the EU -sivulle

 
Asianmukaisina suojatoimina pidetään

• yrityksiä koskevia sitovia sääntöjä
• komission antamien tai hyväksymien tietosuojaa koskevien vakiolausekkeiden käyttöä siirtoa koskevissa sopimuksissa
• valvontaviranomaisen hyväksymiä ja rekisteröimiä käytännesääntöjä
• tietosuojaa koskevia vakiolausekkeita
• tiettyjä sertifiointeja, jotka tietosuojaviranomainen vahvistaa ja komissio hyväksyy.
   

Erityistilanteissa henkilötietojen siirto EU-alueen ulkopuolelle on myös sallittua, jos jokin seuraavista edellytyksistä täyttyy:

• rekisteröity on antanut nimenomaisen suostumuksensa ehdotettuun siirtoon sen jälkeen, kun hänelle on ilmoitettu, että tällaiset siirrot voivat aiheuttaa rekisteröidylle riskejä tietosuojan tason riittävyyttä koskevan päätöksen ja asianmukaisten suojatoimien puuttumisen vuoksi
   
• siirto on tarpeen rekisteröidyn ja rekisterinpitäjän välisen sopimuksen täytäntöönpanemiseksi tai sopimuksen tekemistä edeltävien toimenpiteiden toteuttamiseksi rekisteröidyn pyynnöstä
  (ks. sivu Kuusi syytä henkilötietojen käsittelyyn)
   
• siirto on tarpeen rekisterinpitäjän ja toisen henkilön tai oikeushenkilön välisen, rekisteröidyn edun mukaisen sopimuksen tekemiseksi tai täytäntöönpanemiseksi
   
• siirto on tarpeen tärkeää yleisen edun vuoksi
  (ks. sivu Kuusi syytä henkilötietojen käsittelyyn)
   
• siirto on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi
   
• siirto on tarpeen rekisteröidyn tai muiden henkilöiden elintärkeiden etujen suojaamiseksi, jos rekisteröity on fyysisesti tai juridisesti estynyt antamasta suostumustaan.
   

» Katso tietosuoja-asetuksen artiklat 44–49.

» Takaisin Yrittäjän tietosuojaopas -etusivulle