Kesällä 2020 annettiin Schrems II -tuomio, jossa EU:n tuomioistuin kumosi EU:n ja Yhdysvaltojen välisen tietosuojasopimuksen, ns. Privacy Shield -sopimuksen. Tuomio aiheuttaa suuria haasteita monille ruotsalaisille yrityksille ja viranomaisille, jotka ovat nykyään riippuvaisia yhdysvaltalaisista pilvipalvelujen tarjoajista, GDPR:n piiriin kuuluvien tietojen suojaamisessa.
Yhdysvaltain palveluiden käyttö voi rikkoa eurooppalaista lainsäädäntöä.
Monet ruotsalaiset ja eurooppalaiset yritykset ja viranomaiset käyttävät nykyään amerikkalaisten toimittajien pilvipalveluita ja muita IT-palveluita. Vaikka toimijoiden datakeskukset sijaitsevat usein EU:n alueella, palvelut ovat usein riippuvaisia henkilötietojen siirrosta Yhdysvaltoihin, esimerkiksi tukipalvelujen toteuttamiseksi. GDPR-säännösten nojalla kaikilla EU:n kansalaisilla on vahvistettu oikeus yksityisyyden ja henkilötietojen suojaan. EU:n tuomioistuin totesi 16. heinäkuuta 2020, että EU:n ja Yhdysvaltojen välinen Privacy Shield -sopimus ei tarjoa riittävää suojaa henkilötietoille, kun niitä siirretään Yhdysvaltoihin.
Privacy Shield oli EU:n komission ja Yhdysvaltain hallituksen välinen sopimus transatlanttisten henkilötietojen siirroista. Vastaanottajat Yhdysvalloissa voivat valita sertifioitua tiettyjen sääntöjen mukaisesti; yksinkertaisesti sanottuna yritykset ja muut organisaatiot voivat vapaaehtoisesti sitoutua noudattamaan EU:ssa voimassa olevaa standardia vastaavaa standardia. Privacy Shieldin kumoaminen tarkoittaa, että EU:n henkilötietojen rekisterinpitäjät eivät enää voi siirtää henkilötietoja Privacy Shieldin perusteella vastaanottajille Yhdysvalloissa.
Tämä asettaa suuria haasteita ruotsalaisille yrityksille ja organisaatioille, joiden on nyt arvioitava palvelujen käyttöään, jos ne voivat rikkoa eurooppalaista lainsäädäntöä siirtämällä tietoja Yhdysvaltoihin. Jokaisen henkilötietojen käsittelystä vastaavan on nyt tehtävä oma arviointi omien siirtojensa ja tarkoitustensa perusteella.
Yleisesti hyväksyttäviä vaihtoehtoja Privacy Shieldille ei ole
Useat yhdysvaltalaiset toimijat ovat vastanneet, että ne siirtyvät nyt käyttämään vakiomuotoisia sopimuslausekkeita, jotka ovat Privacy Shieldin sijaan käytettävä sopimuspohjainen vaihtoehto ja jotka allekirjoitetaan henkilötietojen siirron lähettäjän ja vastaanottajan välillä. EU:n tuomioistuin toteaa, että jos vakiomuotoisia sopimuslausekkeita käytetään siirtojen laillistamiseen, siirron tekevän tahon on ensin arvioitava vastaanottajamaan oikeudellinen tilanne ja se, onko se riittävän hyvä, jotta siirretyt henkilötiedot ovat suojattuja. GDPR:n perusteella ei ole vielä ohjeistusta siitä, ovatko vakiomuotoiset sopimuslausekkeet riittävät suojaamaan Yhdysvaltoihin siirrettäviä henkilötietoja.
Vakiomuotoiset sopimuslausekkeet ovat siis edelleen voimassa, mutta säännöt on arvioitava konkreettisesti sen maan perusteella, jossa vastaanottava osapuoli on sijoittautunut. EU:n tuomioistuimen lausuntojen perusteella, jotka koskevat henkilötietojen suojan tasoa Yhdysvalloissa, on paljon perusteita sille, että myös mallilausekkeiden nojalla tapahtuva siirto Yhdysvaltoihin voidaan katsoa laittomaksi.
Valitse digitalisointiinne kannalta pitkällä aikavälillä kestävä IT-infrastruktuuri
Pilvi-infrastruktuuri on digitaalisen muutoksen perusta. Monet ruotsalaiset yritykset ja organisaatiot joutuvat nyt arvioimaan ja etsimään pitkäaikaisesti kestäviä vaihtoehtoja ja täydennyksiä amerikkalaiselle IT-tuelle, jotka noudattavat ja suojelevat eurooppalaisia lakeja ja arvoja. Pitkällä aikavälillä Privacy Shield -tuomio tulee siis vaikuttamaan myönteisesti, sillä se lisää paikallista kilpailua pilvipalveluissa ja IT-toiminnassa, nostaa digitaalisen innovaation tasoa Ruotsissa ja tarjoaa ruotsalaisille pilvipalveluiden ostajille enemmän valinnanvaraa.
Markkinoilla on jo nyt vahvoja ruotsalaisia vaihtoehtoja. Me Binero-yrityksessä autamme yrityksiä ja organisaatioita pilvi- ja infrastruktuuripalveluilla omasta datakeskuksestamme, joka sijaitsee Tukholman pohjoispuolella.
Ota yhteyttä, niin kerromme lisää!
