EU:n tuomioistuimen tekemän C-311/18 ennakkoratkaisun vaikutus FinnGenin toimintaan

EU-tuomioistuin on torstaina 16.7.2020 antamassaan ratkaisussaan C-311/18 (niin sanottu Schrems II-tuomio) todennut, että Yhdysvaltojen kanssa sovittu Privacy Shield -järjestelmä ei täytä EU:n tietosuojalainsäädännön vaatimuksia. Päätöksen seurauksena tiedonsiirto EU:n ja USA:n välillä ei voi enää jatkossa perustua Privacy Shield -järjestelmään vaan on turvauduttava muihin mekanismeihin, kuten EU-komission antamiin niin kutsuttuihin mallisopimuslausekkeisiin. Mallisopimuslausekkeita käyttämällä organisaatiot voivat keskinäisissä suhteissaan sitoutua henkilötietojen suojaamiseen EU-lainsäädännön edellyttämällä tasolla.

Heinäkuussa tehty päätös on ollut omiaan luomaan oikeudellista epävarmuutta EU:n ja Yhdysvaltojen välillä tapahtuvia tiedonsiirtoja kohtaan. Asia on merkityksellinen koko Euroopan tasolla ja kattaa kaikki toimialat. FinnGen-hanke on ryhtynyt toimenpiteisiin arvioidakseen päätöksen vaikutuksia toimintaansa. Kuten tietosuojaselosteessamme kuvataan, hankkeessa tehdään tutkimuksen toteuttamiseksi tarvittavia tiedonsiirtoja yhdysvaltalaisten yritysten kanssa. FinnGen-hankkeen kannalta keskeistä on, että kaikki tiedonsiirtomme Yhdysvaltoihin tapahtuvat ja tapahtuivat jo ennen tuomioistuimen kesäistä päätöstä mallisopimuslausekkeiden nojalla. Kaikki siirrettävät tiedot ovat pseudonymisoituja ja koodattuja, eikä rekisteröityjen nimiä tai henkilötunnisteita siirretä Yhdysvaltoihin.

EU-tuomioistuin tarkasteli kesäisessä päätöksessään myös mallisopimuslausekkeita, mutta toisin kuin Privacy Shield järjestelyä, ei löytänyt syytä julistaa niitä pätemättömiksi. Seuraamme kuitenkin tarkasti viranomaisten mahdollista tulevaa ohjeistusta kyseiseen tuomioistuimen päätökseen liittyen. Olemme lisäksi käynnistäneet sisäisen arvion sen selvittämiseksi, onko hankkeessa mahdollisuutta ottaa käyttöön vielä jotain lisäsuojatoimenpiteitä datan suojaamiseksi tiedonsiirtoa koskevissa tapauksissa.

Tiedonsiirtojen pätevyyden ohella ykkösprioriteettimme on luonnollisesti se, että tiedon käsittely, oli se sitten kotimaassa tai ulkomailla, on aina tietoturvallista ja suojattua. Henkilötietojen käsittelystä on tehty vaikutustenarviointi, joka on toimitettu myös kansalliselle Tietosuojavaltuutetun toimistolle. Tietoturvan ja -suojan kehittäminen ja varmistaminen jatkuvat FinnGen-hankkeessa EU-tuomioistuimen kesäisestä päätöksestä riippumatta ja sen ohella.