Schrems II, Data Privacy Framework ja epävarmuus

Moduuli 1: Miksi eurooppalainen pilvipalvelu? · Lukuaika: 12 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat kertoa EU:n ja Yhdysvaltojen välisten tiedonsiirtosopimusten historian, selittää mitä Schrems II ratkaisi, mikä EU-US Data Privacy Framework on, ja miksi nykyinen kehys pysyy epävarmana.

Keskeiset käsitteet: tiedonsiirto, tietosuojan riittävyyttä koskeva päätös, Safe Harbor, Schrems I, Privacy Shield, Schrems II, vakiosopimuslausekkeet (SCC), transfer impact assessment (TIA), lisätoimenpiteet, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, itsesertifiointi, Latombe, PCLOB

Tiedonsiirto: sääntö ja poikkeus

Oppitunnilla 1.2 näit, että tiedot saavat poistua Euroopan talousalueelta (ETA) vain jos kohdemaa tarjoaa riittävän suojan tason, tai jos käytössä on ylimääräisiä suojatoimia (tietosuoja-asetuksen V luku). Tätä poistumista kutsutaan tiedonsiirroksi. Tiedonsiirto ei tarkoita vain tiedoston lähettämistä Amerikkaan: myös silloin kun yhdysvaltalainen tukihenkilö katsoo etänä eurooppalaista ympäristöäsi, tai kun tietosi ovat yhdysvaltalaisessa palvelussa, voi olla kyse tiedonsiirrosta.

Helpoin reitti on tietosuojan riittävyyttä koskeva päätös (28 artikla): Euroopan komissio päättää, että maan suojan taso on "olennaisilta osin vastaava" kuin EU:ssa. Tällaisia päätöksiä on muun muassa Sveitsille, Yhdistyneelle kuningaskunnalle, Japanille ja Kanadalle (kaupallisten organisaatioiden osalta). Yhdysvaltojen kohdalla tilanne on monimutkaisempi: siellä Euroopan unionin tuomioistuin on torjunut komission päätöksen kahdesti.

Tämä on selitys, ei oikeudellinen neuvo. Tämän oppitunnin tilannekuva on marraskuulta 2026.

Silta 1: Safe Harbor ja Schrems I

Vuonna 2000 EU ja Yhdysvallat sopivat Safe Harbor järjestelystä. Yhdysvaltalaiset yritykset saattoivat liittyä mukaan ja luvata suojaavansa eurooppalaisia tietoja asianmukaisesti. Komissio antoi tälle tietosuojan riittävyyttä koskevan päätöksen.

Vuonna 2013 Edward Snowden paljasti, miten yhdysvaltalaiset tiedustelupalvelut keräsivät laajamittaisesti tietoja internetyrityksiltä. Itävaltalainen juristi Max Schrems teki valituksen Facebookia vastaan Irlannissa: hänen tietonsa siirtyivät Yhdysvaltoihin eivätkä olleet siellä suojattuja. Asia eteni Euroopan unionin tuomioistuimeen. 6. lokakuuta 2015 tuomioistuin julisti Safe Harbor -päätöksen pätemättömäksi (asia C-362/14, "Schrems I"). Ydinasia: komissio ei ollut tutkinut, noudattiko Yhdysvaltain hallitus rajoja, ja eurooppalaisilla ei ollut todellista oikeussuojaa.

Silta 2: Privacy Shield ja Schrems II

Jo vuonna 2016 tuli seuraaja: EU-US Privacy Shield, tiukemmilla säännöillä ja välimiehellä Yhdysvaltain ulkoministeriössä. Schrems vei asian uudelleen oikeuteen.

16. heinäkuuta 2020 tuomioistuin antoi ratkaisun asiassa C-311/18, "Schrems II". Tuomioistuin julisti Privacy Shieldin pätemättömäksi. Syyt:

• Yhdysvaltain valvontaohjelmat, erityisesti FISA 702 §:n ja Executive Order 12333:n nojalla (oppitunti 1.3), eivät rajoittuneet siihen, mikä on "ehdottoman välttämätöntä".
• Eurooppalaisilla ei ollut tosiasiallista mahdollisuutta kääntyä riippumattoman tuomioistuimen puoleen; välimies ei ollut riittävän riippumaton eikä voinut tehdä sitovia päätöksiä.

Tuomioistuin sanoi myös jotain tärkeää vaihtoehdosta, vakiosopimuslausekkeista (SCC, englanniksi standard contractual clauses). Ne ovat komission mallisopimuksia, jotka lähettäjä ja vastaanottaja allekirjoittavat. Ne pysyivät voimassa, mutta: tietoja siirtävän osapuolen on tapauskohtaisesti arvioitava, ettei vastaanottavan maan lainsäädäntö heikennä näitä sopimusehtoja. Jos näin on, tarvitaan lisätoimenpiteitä, esimerkiksi salausta jossa vastaanottajalla ei ole avainta. Jos tämä ei onnistu, tiedonsiirto on lopetettava.

Tätä arviointia kutsutaan transfer impact assessmentiksi (TIA). Euroopan tietosuojaneuvosto (EDPB) laati tähän suositukset vuonna 2021. Vuonna 2021 tuli myös uudet vakiosopimuslausekkeet (täytäntöönpanopäätös (EU) 2021/914).

Pienelle organisaatiolle tämä oli hankalaa: miten leipomo arvioi Yhdysvaltain tiedustelulainsäädäntöä? Käytännössä moni nojasi suurten palveluntarjoajien sopimuksiin ja dokumentaatioon.

Silta 3: EU-US Data Privacy Framework

Yhdysvallat ja EU neuvottelivat uudelleen. Presidentti Biden allekirjoitti 7. lokakuuta 2022 Executive Order 14086:n. Se määrää muun muassa, että tiedustelutoiminnan on oltava "välttämätöntä ja oikeasuhtaista", ja perustaa valitusmenettelyn, jonka viimeisenä vaiheena on Data Protection Review Court (DPRC) Yhdysvaltain oikeusministeriön yhteydessä.

10. heinäkuuta 2023 komissio hyväksyi tietosuojan riittävyyttä koskevan päätöksen EU-US Data Privacy Frameworkille (DPF). Näin se toimii:

• Se koskee vain yhdysvaltalaisia organisaatioita, jotka ovat liittyneet mukaan (itsesertifiointi Yhdysvaltain kauppaministeriössä). Sivustolla dataprivacyframework.gov on luettelo. Jos yritys ei ole listalla, DPF ei koske kyseistä yritystä.
• Noudattamista valvoo Yhdysvalloissa muun muassa Federal Trade Commission (FTC).
• Komissio tekee säännöllisen arvioinnin.

Käyttäjille DPF tarkoittaa: tiedonsiirto liittyneeseen yhdysvaltalaiseen yritykseen on taas sallittua ilman TIA:ta. Siksi monet palveluntarjoajat sanovat: "Noudatamme tietosuoja-asetusta."

Miksi kehys pysyy epävarmana

DPF on voimassa, mutta horjuvalla pohjalla:

• Executive Order ei ole laki. Seuraava presidentti voi muuttaa tai peruuttaa sen ilman kongressia.
• Unionin yleinen tuomioistuin ja valitus. Ranskalainen parlamentaarikko Philippe Latombe pyysi Euroopan unionin yleistä tuomioistuinta kumoamaan DPF-päätöksen. 3. syyskuuta 2025 yleinen tuomioistuin hylkäsi vaatimuksen (asia T-553/23): DPRC oli tuomioistuimen mukaan riittävän riippumaton. Latombe haki muutosta Euroopan unionin tuomioistuimelta (asia C-703/25 P). Marraskuussa 2026 ratkaisua ei vielä ole. Tuomioistuin on Schrems I:ssä ja II:ssa ollut tiukempi kuin yleinen tuomioistuin nyt.
• Valvonta Yhdysvalloissa paineen alla. Tammikuussa 2025 demokraattien nimittämät Privacy and Civil Liberties Oversight Boardin (PCLOB) jäsenet erotettiin; siitä lähtien valvontaelimellä ei ole ollut päätösvaltaista kokoonpanoa, ja se pystyy tekemään työtään, muun muassa valvomaan valitusmenettelyä, vain rajoitetusti. 29. kesäkuuta 2026 Yhdysvaltain korkein oikeus ratkaisi asiassa Trump v. Slaughter, että presidentti saa erottaa FTC:n jäseniä ilman perustetta. Juristit huomauttavat, että tämä terävöittää kysymystä riippumattomasta valvonnasta, johon DPF nojaa.
• Uudet oikeusprosessit. Tietosuojajärjestö noyb on ilmoittanut harkitsevansa omaa oikeusprosessia. Tällainen asia kestää vuosia.

Jos DPF kaatuu, tapahtuu sama kuin vuosina 2015 ja 2020: organisaatioiden on turvauduttava hetkessä vakiosopimuslausekkeisiin TIA:n kanssa, tai lopetettava tiedonsiirto. Siirtymäaikaa ei tällöin ole sovittu.

Mitä tämä tarkoittaa sinulle?

Bakkerij De Korrelin kannalta kysymys ei ole "onko se nyt sallittua?", sillä DPF:n ansiosta se on tällä hetkellä sallittua. Kysymys on: "haluanko olla riippuvainen kehyksestä, joka on jo kaatunut kahdesti ja on nyt kolmannen kerran tuomioistuimen käsiteltävänä?" Palvelu, joka sijaitsee ETA-alueella ja pitää tiedot ETA-alueella, ei riipu DPF:stä. Se ei ole oikeudellinen vaatimus, mutta se on rauhallisempi lähtökohta.

Käytännössä: näin se näkyy palveluntarjoajalla

Katso nykyisen pilvipalvelusi tietosuojaselosteesta tai tietojenkäsittelysopimuksesta, millä perusteella se siirtää tietoja Yhdysvaltoihin: DPF, vakiosopimuslausekkeet, vai molemmat. Suuret palveluntarjoajat mainitsevat usein molemmat, juuri varautuakseen DPF:n kaatumiseen. Eurooppalaisen palveluntarjoajan, joka ei siirrä tietoja ETA-alueen ulkopuolelle, ei tarvitse järjestää tätä; sen alikäsittelijöiden luettelo osoittaa, pitääkö tämä paikkansa (oppitunti 9.2). WebOkéllä tietojenkäsittelysopimuksessa todetaan, että tiedonsiirto EU:n ulkopuolelle on sallittua vain etukäteisellä kirjallisella suostumuksella; muilla palveluntarjoajilla vastaava ehto löytyy yleensä artiklasta, jonka otsikko on "tiedonsiirto" tai "kansainvälinen siirto".

Yhteenveto

• Tiedonsiirto ETA-alueen ulkopuolelle on sallittua vain tietosuojan riittävyyttä koskevalla päätöksellä tai suojatoimilla, kuten vakiosopimuslausekkeilla.
• Tuomioistuin julisti Safe Harborin (2015, Schrems I) ja Privacy Shieldin (2020, Schrems II) pätemättömäksi, erityisesti yhdysvaltalaisen valvonnan ja oikeussuojan puutteen vuoksi.
• 10. heinäkuuta 2023 alkaen on voimassa EU-US Data Privacy Framework, joka koskee vain mukaan liittyneitä yhdysvaltalaisia yrityksiä.
• DPF perustuu presidentin päätökseen ja on kiistanalainen: Latomben valitus (C-703/25 P) on vireillä, ja yhdysvaltalainen valvonta on paineen alla.
• Palvelu, joka pitää tiedot ETA-alueella, ei riipu DPF:stä.

Tietovisa

Tehtävä

Tehtävä E1.4: Millä perusteella tietosi siirtyvät Yhdysvaltoihin? Etsi nykyisen pilvipalvelusi tietosuojaselosteesta tai tietojenkäsittelysopimuksesta, käsitelläänkö tietoja ETA-alueen ulkopuolella, ja millä perusteella (DPF, SCC, tietosuojan riittävyyttä koskeva päätös jollekin toiselle maalle). Tarkista sivustolta dataprivacyframework.gov, onko yritys listalla. Kuvaile, mitä sinulle tapahtuu, jos DPF kumotaan.

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén palveluita; muilla palveluntarjoajilla toiminta on vastaavaa.

• Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
• Euroopan unionin tuomioistuin, tuomio C-362/14 (Schrems I, 6. lokakuuta 2015) ja C-311/18 (Schrems II, 16. heinäkuuta 2020), osoitteessa curia.europa.eu
• Täytäntöönpanopäätös (EU) 2023/1795 (EU-US Data Privacy Frameworkin tietosuojan riittävyyttä koskeva päätös, 10. heinäkuuta 2023), EUR-Lexissä
• Täytäntöönpanopäätös (EU) 2021/914 (vakiosopimuslausekkeet), EUR-Lexissä
• Euroopan unionin yleinen tuomioistuin, asia T-553/23 (Latombe, 3. syyskuuta 2025); valitus C-703/25 P
• Data Privacy Framework -luettelo: https://www.dataprivacyframework.gov