Kahdeksan tuntia aikaa, kun toisen EU-maan viranomainen vaatii asiakkaidenne tiedot

Kyse on niin sanotusta e-evidence-asetuksesta eli virallisesti asetuksesta (EU) 2023/1543 eurooppalaisista esittämis- ja säilyttämismääräyksistä sähköistä todistusaineistoa varten rikosoikeudellisissa menettelyissä. Asetusta on sovellettu 18.8.2026 alkaen, ja sen nojalla jäsenvaltion viranomainen voi rikosoikeudellisessa menettelyssä määrätä toiseen jäsenvaltioon sijoittautuneen palveluntarjoajan esittämään tai säilyttämään sähköisiä todisteita riippumatta tietojen sijainnista, kääntymällä suoraan palveluntarjoajan puoleen ilman tämän kotimaan viranomaisten välitystä. Tämä ei koske vain suuria teknologiayhtiöitä, vaan myös suomalaista tai muuta eurooppalaista SaaS-, hosting- tai pilvipalveluyritystä, joka tarjoaa palveluja useammassa jäsenvaltiossa ja säilyttää käyttäjiensä tietoja.

Palveluntarjoajilla tarkoitetaan asetuksessa erityisesti seuraavia toimijoita:

• Sähköisten viestintäpalvelujen tarjoajat, kuten teleoperaattorit sekä sähköposti- ja viestisovelluspalvelut.
• Verkkotunnus- ja IP-numerointipalvelujen tarjoajat, kuten domain-rekisteröintipalvelut ja WHOIS-tietoja hallinnoivat toimijat.
• Muut tietoyhteiskunnan palvelut, joissa käyttäjät viestivät keskenään tai joissa tietoja tallennetaan heidän puolestaan, kuten pilvitallennuspalvelut, verkkomarkkinapaikat ja sosiaalisen median alustat.

Lyhyesti sanottuna tämä koskee myös teitä, jos yrityksenne tarjoaa digitaalisia palveluja useammassa EU-jäsenvaltiossa ja käsittelee tai säilyttää käyttäjien tietoja, ei vain suuria teknologiajättejä. Hyvä uutinen on, että kahdeksan tunnin aamusta selviää kuivin jaloin, kunhan organisaatiolla on etukäteen tiedossa, kuka määräykseen vastaa ja miltä osin siihen voi tarvittaessa vedota kieltäytymisperusteilla. Seuraavassa nostamme vielä esiin asetuksen kolme kriittisintä vaatimusta.

Käytännön vaikutukset tiivistettynä

Asetuksen vaatimuksista nämä kolme kannattaa sisäistää ensimmäisenä.

• Nopea reaktioaika tarkoittaa, että tiedot on lähtökohtaisesti toimitettava viimeistään kymmenen päivän kuluessa, mutta kiireellisissä tapauksissa jopa kahdeksan tunnin kuluessa.
• Säilyttämisvelvollisuus tarkoittaa, että EPOC-PR-todistuksen saatuaan vastaanottajan on viipymättä säilytettävä pyydetyt tiedot, kunnes ne voidaan esittää. Velvoite kestää lähtökohtaisesti 60 päivää, ja sitä voidaan pidentää vielä 30 päivällä.
• Merkittävä sanktioriski tarkoittaa, että määräyksen noudattamatta jättämisestä ilman hyväksyttyä syytä voi seurata taloudellinen seuraamus, joka voi olla enintään kaksi prosenttia palveluntarjoajan maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta.

Mistä oikein on kyse?

Asetuksen 3 artiklan nojalla määräys osoitetaan suoraan palveluntarjoajan nimetylle toimipaikalle tai lailliselle edustajalle toisessa jäsenvaltiossa. Määräyksen on oltava välttämätön ja oikeasuhtainen, joten se voidaan antaa vain, jos vastaava määräys olisi voitu antaa samoin edellytyksin vastaavassa kansallisessa tapauksessa. Käytännössä esimerkiksi suomalainen syyttäjä voi näin saada tiedot suoraan vaikkapa Ruotsiin tai Irlantiin sijoittautuneelta palveluntarjoajalta ilman kyseisen maan viranomaisten välitystä.

Kaksi työkalua, kaksi tarkoitusta

Asetuksen 3 artikla erottaa toisistaan kaksi välinettä eli eurooppalaisen esittämismääräyksen ja eurooppalaisen säilyttämismääräyksen. Esittämismääräyksellä viranomainen voi vaatia tietoja esitettäväksi heti, esimerkiksi tilaajatiedot, liikennetiedot tai viestien sisällön, kun taas säilyttämismääräys on kevyempi ja väliaikaisempi keino, jolloin vastaanottajan on viipymättä säilytettävä pyydetty tieto, kunnes se voidaan esittää. Asetuksen 11 artiklan mukaan tämä säilyttämisvelvoite lakkaa lähtökohtaisesti 60 päivän kuluttua, jollei määräyksen antava viranomainen vahvista myöhemmän esittämispyynnön antamista, mutta kestoa voidaan tarvittaessa jatkaa vielä 30 päivällä. 

Käytännössä säilyttämismääräys siis toimii jäädytyksenä, joka antaa viranomaiselle aikaa hakea myöhemmin varsinainen esittämismääräys tai käyttää keskinäistä oikeusapua koskevaa menettelyä.

Entä yksilön oikeudet?

Uudet toimivaltuudet herättävät väistämättä kysymyksiä yksityisyyden suojasta, joten sääntelyyn sisältyy useita suojamekanismeja. Määräyksen on oltava välttämätön ja oikeasuhtainen, ja sen kohteena olevalla henkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin määräyksen vastustamiseksi koko sen rikosoikeudellisen menettelyn ajan, jossa tietoa käytetään.

Myös palveluntarjoaja tai täytäntöönpanovaltion viranomainen voi asetuksen 12 artiklan nojalla vedota tietyissä tilanteissa kieltäytymisperusteisiin, esimerkiksi jos tiedot on suojattu lähdesuojalla tai muulla erioikeudella, täytäntöönpano olisi ilmeisessä ristiriidassa perusoikeuden kanssa, se olisi vastoin ne bis in idem -periaatetta, tai menettely ei täytäntöönpanovaltiossa ole rikos. Tämä varmistaa, ettei nopeutettu rajat ylittävä menettely vaaranna perusoikeuksia tai täytäntöönpanovaltion keskeisiä oikeusperiaatteita.

Miksi tämä koskee mahdollisesti teitä organisaationa

Kuten alussa kuvattu skenaario osoittaa, kyse ei ole teoreettisesta riskistä vaan tilanteesta, joka voi tulla eteen yllättäen ja tiukalla aikataululla. EU:ssa toimivien palveluntarjoajien kannattaa viimeistään nyt käydä läpi, miten organisaatio tunnistaa ja käsittelee esittämis- ja säilyttämismääräykset, kuka vastaa niistä, missä ajassa ja millä perusteilla niitä voi vastustaa sekä miten kieltäytymisperusteisiin vedotaan tarvittaessa ajoissa. Jos vastaanottaja ei pysty toimittamaan pyydettyjä tietoja esimerkiksi puutteellisen todistuksen vuoksi, sen on ilman aiheetonta viivytystä ilmoitettava tästä määräyksen antavalle viranomaiselle ja pyydettävä selvennystä.

Palveluntarjoaja voi myös vaatia korvausta sille aiheutuneista kustannuksista määräyksen antavalta valtiolta, mikäli tästä säädetään kyseisen valtion kansallisessa lainsäädännössä. Uudistus avaa niille uuden, nopeamman väylän sähköisen todistusaineiston hankkimiseen, mutta edellyttää samalla tarkkaa perehtymistä siihen, miltä osin päämiestä koskevia perusoikeuksia ja oikeussuojakeinoja voidaan käyttää määräystä vastustettaessa.