3.9.2013   

FI

Euroopan unionin virallinen lehti

C 253/3

1.

Kun otetaan huomioon pilvipalvelujen merkitys kehittyvässä tietoyhteiskunnassa ja EU:ssa parhaillaan käytävä periaatekeskustelu pilvipalveluista, Euroopan tietosuojavaltuutettu on päättänyt antaa tämän lausunnon omasta aloitteestaan.

2.

Lausunnossa vastataan komission 27 päivänä syyskuuta 2012 antamaan tiedonantoon ”Pilvipalvelujen potentiaali käyttöön Euroopassa” (jäljempänä ’tiedonanto’) (1). Tiedonannossa esitetään avaintoimia ja muita toimintalinjoja, joilla on tarkoitus nopeuttaa pilvipalvelujen käyttöönottoa Euroopassa. Euroopan tietosuojavaltuutettua kuultiin epävirallisesti ennen tiedonannon hyväksymistä, ja hän esitti siitä epävirallisia huomautuksia. Euroopan tietosuojavaltuutettu on tyytyväinen siihen, että joitakin hänen esittämistään huomautuksista on otettu huomioon tiedonannossa.

3.

Kun otetaan huomioon pilvipalvelujen ja tietosuojalainsäädännön välisestä suhteesta parhaillaan käytävän keskustelun laajuus ja merkitys, tämä lausunto ei kuitenkaan rajoitu tiedonannossa esitettyihin aiheisiin.

4.

Lausunnossa keskitytään erityisesti niihin haasteisiin, joita pilvipalvelut merkitsevät tietosuojan kannalta, ja siihen, miten ehdotetussa tietosuoja-asetuksessa (jäljempänä ’ehdotettu asetus’) (2) vastataan niihin. Siinä kommentoidaan myös niitä osa-alueita, joilla tiedonannon mukaan kaivataan lisätoimia.

5.

EU:ssa käytävän yleisen pilvipalveluja koskevan periaatekeskustelun yhteydessä erityisen tärkeitä ovat seuraavat toimenpiteet ja asiakirjat:

6.

Euroopan tietosuojavaltuutettu suhtautuu myönteisesti tähän tiedonantoon. Siinä esitetään kolme pilvipalveluja koskevaa EU:n tason erityistä avaintoimea, joilla edistetään pilvipalvelujen käyttöä Euroopassa. Nämä ovat seuraavat:

7.

Tiedonannossa esitetään myös poliittisia lisätoimia, kuten pilvipalvelujen käytön stimulointia edistämällä tutkimusta ja kehittämistyötä tai tiedotustoimintaa, sekä mainitaan tarve käsitellä pilvipalveluihin liittyviä avainkysymyksiä – mukaan lukien tietosuoja, lainvalvontaviranomaisten pääsy tietoihin, turvallisuus, välittäjinä toimivien palveluntarjoajien vastuu – vahvistamalla kansainvälistä vuoropuhelua.

8.

Tiedonannossa todetaan, että tietosuoja on keskeinen tekijä, jotta pilvipalvelujen käyttöönotto onnistuisi Euroopassa. Siinä todetaan (9), että ehdotetussa asetuksessa käsitellään monia pilvipalvelujen tarjoajien ja pilvipalveluasiakkaiden esittämiä huolenaiheita (10).

9.

Tällä lausunnolla on kolme tavoitetta.

10.

Ensimmäisenä tavoitteena on korostaa yksityisyyden suojan ja tietosuojan merkitystä parhaillaan käytävissä pilvipalveluja koskevissa keskusteluissa. Lausunnossa korostetaan erityisesti, että tietosuojan taso pilvipalveluympäristössä ei saa olla alhaisempi kuin missään muussakaan tietojenkäsittelyssä. Pilvipalvelukäytäntöjä voidaan kehittää ja soveltaa laillisesti vain, jos voidaan taata, että tätä tietosuojan tasoa noudatetaan (katso III.3 luku). Lausunnossa otetaan huomioon artiklan 29 työryhmän lausunnossa annetut ohjeet.

11.

Toisena tavoitteena on analysoida edelleen keskeisiä pilvipalvelujen tietosuojalle asettamia haasteita ehdotetun tietosuoja-asetuksen yhteydessä, erityisesti vaikeutta määritellä yksiselitteisesti eri toimijoiden vastuualueet sekä rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet. Lausunnossa (lähinnä IV luvussa) analysoidaan sitä, miten ehdotettu asetus nykymuodossaan (11) auttaisi varmistamaan tietosuojan korkean tason pilvipalveluissa. Se perustuu näin ollen Euroopan tietosuojavaltuutetun näkemyksiin, jotka hän on esittänyt lausunnossaan tietosuojalainsäädännön uudistamista koskevasta paketista (jäljempänä ’tietosuojavaltuutetun lausunto tietosuojalainsäädännön uudistamista koskevasta paketista’) (12) ja joita hän täydentää tarkastelemalla erityisesti pilvipalveluympäristöä. Euroopan tietosuojavaltuutettu korostaa, että hänen lausuntoaan tietosuojalainsäädännön uudistamista koskevasta paketista voidaan soveltaa täysin pilvipalveluihin ja että sitä on pidettävä tämän lausunnon perustana. Lisäksi jotkin siinä mainitut asiat – kuten hänen analyysinsä rekisteröidyn oikeuksia koskevista uusista säännöksistä (13) – ovat riittävän selkeitä, eikä niitä siksi käsitellä enää tässä lausunnossa.

12.

Kolmantena tavoitteena on selvittää, millä alueilla tarvitaan lisätoimia EU:n tasolla tietosuojan ja yksityisyyden suojan kannalta, kun otetaan huomioon komission tiedonannossaan esittämä pilvistrategia. Lisätoimia ovat muun muassa lisäohjeistuksen antaminen, standardointitoimet, uusien riskinarviointien tekeminen tietyistä aloista (kuten julkinen sektori), vakiosopimusehtojen laatiminen, pilvipalveluista käytävään kansainväliseen vuoropuheluun osallistuminen ja tehokkaat kansainvälisen yhteistyön keinot (käsitellään V luvussa).

13.

Tämä lausunto rakentuu seuraavasti: II luvussa esitetään katsaus pilvipalvelujen keskeisiin ominaispiirteisiin ja niihin liittyviin tietosuojahaasteisiin, ja III luvussa tarkastellaan voimassa olevan EU:n lainsäädännön asiaan liittyviä osia ja ehdotettua asetusta. Lausunnon IV luvussa analysoidaan sitä, miten ehdotettu asetus auttaisi käsittelemään pilvipalvelujen käyttöön liittyviä tietosuojahaasteita. Lausunnon V luvussa analysoidaan komission ehdotuksia toimintalinjojen kehittämiseksi ja määritetään, millä alueilla lisätoimet voivat olla tarpeen. Lausunnon VII luvussa esitetään päätelmät.

14.

Vaikka monia tähän lausuntoon sisältyviä seikkoja voidaan soveltaa kaikkiin ympäristöihin, joissa pilvipalveluja käytetään, tässä lausunnossa ei käsitellä pilvipalvelujen käyttöä erityisesti EU:n toimielimissä ja laitoksissa, jotka asetuksen (EY) N:o 45/2001 mukaan ovat Euroopan tietosuojavaltuutetun valvonnan alaisia. Euroopan tietosuojavaltuutettu antaa erikseen asiaa koskevat ohjeet näille toimielimille ja laitoksille.

121.

Kuten tiedonannossa esitetään, pilvipalvelut tarjoavat yrityksille, kuluttajille ja julkiselle sektorille monia uusia mahdollisuuksia tiedonhallintaan ulkoisten tietotekniikan etäresurssien avulla. Samalla se tuo mukanaan monia haasteita, erityisesti pilvipalveluissa käsiteltävien tietojen tietosuojan tasoon liittyviä haasteita.

122.

Pilvipalvelujen käyttö tuo mukanaan suuren riskin, ettei kukaan ota vastuuta pilvipalvelutarjoajien suorittamasta tietojen käsittelystä, jos EU:n tietosuojalainsäädännön soveltamista koskevat kriteerit eivät ole riittävän selkeitä ja jos pilvipalvelujen tarjoajien tehtävät ja vastuu määritellään tai ymmärretään liian suppeasti. Euroopan tietosuojavaltuutettu korostaa, ettei pilvipalvelujen käyttö voi johtaa tietosuojavaatimusten lieventämiseen perinteiseen tietojenkäsittelyyn verrattuna.

123.

Tältä osin ehdotettu tietosuoja-asetus sisältää nykymuodossaan monia selvennyksiä ja välineitä, joilla varmistetaan, että pilvipalvelujen tarjoajat, jotka tarjoavat palvelujaan Eurooppaan sijoittautuneille asiakkaille, takaavat tietosuojan riittävän tason, erityisesti seuraavilla tavoilla:

124.

Euroopan tietosuojavaltuutettu ehdottaa kuitenkin, että ottaen huomioon pilvipalvelujen erityispiirteet ehdotettua asetusta selvennetään edelleen seuraavien seikkojen osalta:

125.

Euroopan tietosuojavaltuutettu korostaa myös, että komission ja/tai valvontaviranomaisten on annettava lisäohjeita (erityisesti tulevan Euroopan tietosuojaneuvoston kautta), joissa

126.

Lisäksi Euroopan tietosuojavaltuutettu myöntää, että toimialalla laaditut ja asianomaisten valvontaviranomaisten hyväksymät käytännesäännöt voisivat olla hyödyllinen väline, joka tehostaisi säännösten noudattamista ja lujittaisi eri toimijoiden välistä luottamusta.

127.

Euroopan tietosuojavaltuutettu kannattaa sitä, että komissio yhdessä valvontaviranomaisten kanssa kehittää pilvipalvelujen tarjoamista koskevia vakiosopimusehtoja, jotka täyttävät tietosuojavaatimukset, ja erityisesti sitä, että

128.

Tietosuojavaltuutettu korostaa, että tietosuojavaatimukset on otettava asiamukaisesti huomioon standardeja ja sertifiointijärjestelmiä kehitettäessä ja että erityisesti

129.

Lopuksi Euroopan tietosuojavaltuutettu korostaa tarvetta käsitellä pilvipalveluihin liittyviä haasteita kansainvälisellä tasolla. Hän kannustaa komissiota osallistumaan kansainväliseen vuoropuheluun pilvipalveluihin liittyvistä asioista kuten esimerkiksi lainkäyttöalue ja lainvalvontaviranomaisten pääsy tietoihin, ja ehdottaa, että monia näistä aiheista käsiteltäisiin erilaisissa kansainvälisissä tai kahdenvälisissä sopimuksissa, kuten keskinäistä avunantoa koskevissa sopimuksissa sekä kauppasopimuksissa. Kansainvälisellä tasolla on kehitettävä maailmanlaajuisia standardeja, joissa esitetään lainvalvontaviranomaisten tietoihin pääsyä koskevat vähimmäisvaatimukset ja periaatteet. Hän kannattaa myös sitä, että valvontaviranomaiset kehittävät tehokkaita kansainvälisiä yhteistyömekanismeja, erityisesti pilvipalveluihin liittyviä yhteistyömekanismeja.