GDPR
Miten GDPR vaikuttaa Yhdysvalloissa asuviin EU-kansalaisiin: keskeiset oikeudelliset näkökohdat
Myös Yhdysvalloissa EU-kansalaisten tietoja suojaa GDPR, kun niitä käsittelevät EU- tai ETA-yritykset tai kun yritykset kohdistavat toimintaansa heihin tai seuraavat heitä – yhdysvaltalaisten yritysten on noudatettava sitä.
Miten GDPR vaikuttaa Yhdysvalloissa asuviin EU-kansalaisiin: keskeiset oikeudelliset näkökohdat
GDPR (yleinen tietosuoja-asetus) on yksi maailman kattavimmista tietosuojasäännöksistä. Se tuli täytäntöön vuonna 2018, ja se määrittää, miten yritykset keräävät, tallentavat ja käyttävät EU-kansalaisten henkilötietoja. Useimmat tietävät, että GDPR suojaa EU-kansalaisia Euroopassa, mutta harvempi tajuaa, että asetus voi ulottua Euroopan rajojen ulkopuolelle – myös Yhdysvalloissa asuviin EU-kansalaisiin.
Tässä artikkelissa käymme läpi, milloin ja miksi GDPR soveltuu edelleen Yhdysvalloissa asuviin EU-kansalaisiin ja mitä yritysten on tehtävä noudattaakseen vaatimuksia.
Soveltuuko GDPR Yhdysvalloissa asuviin EU-kansalaisiin?
Kyllä, GDPR voi soveltua Yhdysvalloissa asuviin EU-kansalaisiin, mutta tilanne on monitahoinen. GDPR:n tarkoituksena ei ole vain säännellä henkilötietojen käsittelyä EU:n sisällä, vaan myös suojata EU-kansalaisten henkilötietoja riippumatta siitä, missä tietoja käsitellään. Tämä alueellinen ulottuvuus EU:n ulkopuolelle on asetuksen keskeinen piirre, ja se koskee yrityksiä, jotka kohdistavat toimintaansa tai seuraavat henkilöitä heidän sijaintinsa perusteella, vaikka yritys sijaitsisi EU:n ulkopuolella.
”Rekisteröidyn” käsite GDPR:ssä on maailmanlaajuinen
GDPR-vaatimustenmukaisuuden perusasia on ”rekisteröidyn” käsitteen ymmärtäminen. Artiklan 4 mukaan rekisteröity on luonnollinen henkilö, joka voidaan tunnistaa suoraan tai välillisesti henkilötietojen, kuten nimen, tunnusnumeron tai muiden tunnistetietojen, perusteella.
GDPR:n soveltamista ei yleensä ratkaise henkilön kansalaisuus tai asuinpaikka. Asetus suojaa jokaista, jonka tietoja käsitellään tämän oleskellessa fyysisesti Euroopan unionin alueella.
Tämä koskee esimerkiksi yhdysvaltalaisia, jotka vierailevat Irlannin Moherin kallioilla. Sen sijaan Yhdysvaltoihin muuttanut EU-kansalainen ei välttämättä saa GDPR:n suojaa automaattisesti, ellei hänen tietojaan käsitellä EU:ssa.
Rajoitukset ja poikkeukset: mitä GDPR ei kata
On myös tärkeää tietää, mihin GDPR:n soveltamisala päättyy. Asetusta ei sovelleta seuraavissa tapauksissa:
- Henkilökohtainen tai kotitalouskäyttö: Yksityishenkilöiden tekemä henkilötietojen käsittely henkilökohtaisiin tai kotitalouden tarpeisiin on GDPR:n soveltamisalan ulkopuolella.
- Tahaton tietojen käsittely: Jos yhdysvaltalainen yritys käsittelee EU:n asukkaiden tietoja sattumanvaraisesti kohdistamatta toimintaansa heihin tai tarjoamatta heille palveluja EU:ssa, GDPR:n velvoitteet eivät välttämättä päde.
Näiden poikkeusten ansiosta yritysten ei tarvitse kuormittua vaatimustenmukaisuuden velvoitteista, kun niiden toiminta ei liity EU:n markkinoihin tai kohdistu niihin.
Milloin GDPR soveltuu Yhdysvalloissa asuviin EU-kansalaisiin?
Tietoja käsittelee EU:ssa tai ETA-alueella toimiva yritys
Jos EU-kansalaisen henkilötietoja käsittelee EU:ssa tai ETA-alueella (Euroopan talousalue) toimiva organisaatio, GDPR soveltuu riippumatta henkilön sijainnista. Vaikka henkilö muuttaisi Yhdysvaltoihin, näiden yritysten käsittelemiin henkilötietoihin sovelletaan edelleen GDPR:n suojaa.
Tietoja kerätään tavaroiden tai palvelujen tarjoamiseksi EU-kansalaisille
GDPR soveltuu myös EU:n ulkopuolisiin yrityksiin, jos ne käsittelevät tietoja liittyen tavaroiden tai palvelujen tarjoamiseen EU-kansalaisille. Esimerkiksi yhdysvaltalaisen verkkokaupan, joka kohdistaa mainoksia EU-kansalaisille tai tarjoaa heille tuotteita tai palveluja, on noudatettava GDPR:ää – vaikka käyttäjä asuisi nykyisin Yhdysvalloissa.
Tietoja käytetään EU-kansalaisten käyttäytymisen seurantaan
Jos yhdysvaltalainen yritys seuraa EU-kansalaisen käyttäytymistä esimerkiksi evästeillä tai käyttäytymiseen perustuvalla mainonnalla, GDPR soveltuu. Asetus saattaa organisaatiot vastuuseen kaikesta profiloinnista ja tietojen käsittelystä, joka kohdistuu henkilön käyttäytymiseen EU:n alueella.
Mitä tämä tarkoittaa yrityksille?
Yhdysvalloissa tai muualla EU:n ulkopuolella toimiville yrityksille GDPR voi silti asettaa merkittäviä vaatimuksia, jos ne käsittelevät EU-kansalaisten henkilötietoja. Tämä voi koskea myös Yhdysvaltoihin muuttaneiden EU-kansalaisten tietoja.
Miten yhdysvaltalaiset yritykset voivat varmistaa GDPR:n noudattamisen käsitellessään EU-kansalaisten tietoja?
Yhdysvaltalaisten yritysten, jotka käsittelevät EU-kansalaisten tietoja tai kohdistavat toimintaansa EU:n asukkaisiin, on noudatettava GDPR:n sääntöjä. Keskeisiä toimia ovat:
- Seurataan, miten henkilötietoja kerätään ja käsitellään, tietokartoituksen avulla
- Käytetään vakiosopimuslausekkeita (SCC) EU:n ja Yhdysvaltojen välisten rajat ylittävien tiedonsiirtojen hallintaan
- Nimetään EU-edustaja, jos se on artiklan 27 mukaan pakollista
- Otetaan käyttöön suostumustenhallintaratkaisu (kuten CookiePal) nimenomaisen suostumuksen saamiseksi käyttäjiltä
- Annetaan selkeä ja läpinäkyvä tietosuojaseloste
Yhteenveto
Jos käsittelet Yhdysvalloissa asuvien EU-kansalaisten henkilötietoja, GDPR voi edelleen soveltua. On olennaista ymmärtää, milloin ja miten asetus vaikuttaa yritykseesi. Varmista, että saat selkeän suostumuksen, päivität tietosuojakäytäntösi ja kerrot läpinäkyvästi, miten käsittelet käyttäjätietoja.
Noudattamalla vaatimuksia vältät paitsi sakot myös vahvistat mainettasi yrityksenä, joka arvostaa käyttäjien yksityisyyttä. Kun tietosuojan toimintaympäristö kehittyy jatkuvasti, on entistä tärkeämpää varmistaa, että yrityksesi noudattaa GDPR:ää.
Lähteet
Oliko tästä apua?Kiitos palautteesta.
