Maximilian ”Max” Schrems (s. lokakuu 1987 Salzburg) on itävaltalainen tietosuoja-aktivisti. Vuonna 2017 hän perusti NOYB-nimisen kansalaisjärjestön, joka keskittyy tietosuojalainsäädännön toimeenpanoon Euroopassa.
Ura Vuonna 2011 Schrems oli opiskelijavaihdossa Santa Claran yliopistossa Kaliforniassa, ja vaihdon aikana hän osallistui yksityisyyden suojaa käsittevälle kurssille. Kurssilla piti luennon Facebookin juristi, jonka asennetta Euroopan unionin tietosuojalainsäädöntöä kohtaan Schrems piti ylimielisenä. Osana kurssityötä Schrems päätti pyytää Facebookilta nähtäväksi hänestä tallennetut henkilötiedot tietosuojadirektiivissä annetun oikeuden mukaisesti. Facebook toimitti Schremsille yli 1 200 sivua pitkän aineiston hänestä kerättyjä henkilötietoja, joiden joukosta Schrems löysi muun muassa tietoja, jotka hän luuli poistaneensa Facebookista, sekä tietoja, joita hän ei ollut antanut Facebookille.
Schrems piti Facebookin toimintaa EU:n tietosuojalainsäädännön vastaisena ja kanteli siitä Irlannin tietosuojaviranomaiselle, jonka maassa Facebookin Euroopan-toiminnoista vastaava tytäryhtiö sijaitsi. Irlannin tietosuojaviranomainen antoi joulukuussa 2011 Facebookille suosituksia yksityisyyden suojan parantamiseen, mutta Schremsin mielestä virasto jätti suurimman osan hänen nostamistaan tietosuojarikkomuksista huomiotta.
Schrems I -tuomio Edward Snowdenin vuonna 2013 tekemien, Yhdysvaltain viranomaisten suorittamaa joukkovalvontaa koskevien paljastusten jälkeen Schrems kanteli Facebookin ja eräiden muiden teknologiayhtiöiden Yhdysvaltoihin tekemistä henkilötietojen siirroista, jotka päätyivät NSA:n käyttöön EU:n tietosuojalainsäädännön vastaisesti. Irlannin tietosuojaviranomainen piti henkilötietojen siirtoa laillisena EU:n ja Yhdysvaltain välisen Safe Harbor -tietosuojasopimuksen vuoksi. Schrems kanteli viranomaisen päätöksestä irlantilaiseen tuomioistuimeen, joka esitti asiasta ennakkoratkaisupyynnön unionin tuomioistuimelle.
Lokakuussa 2015 antamassaan tuomiossa unionin tuomioistuin julisti pätemättömäksi Euroopan komission vuonna 2000 antaman päätöksen, jossa todettiin tietosuojan Yhdysvalloissa olevan Safe Harbor -sopimuksen myötä riittävällä tasolla, jotta eurooppalaisten henkilötietoja voidaan siirtää maahan. Tuomioistuin katsoi, ettei komissio ollut tarkastellut, takaako Yhdysvaltain sisäinen lainsäädäntö tosiasiallisesti tietosuojan riittävän tason.
Tuomioistuimen mukaan Safe Harbor -sopimuksen ehdot koskivat vain yrityksiä eikä yhdysvaltalaisten turvallisuusviranomaisten tarvinnut noudattaa niitä. Lisäksi yhdysvaltalaiset yritykset olivat tietyissä olosuhteissa velvollisia rikkomaan Safe Harbor -sopimuksen ehtoja Yhdysvaltain kansallisten valvontalakien nojalla. Tuomioistuin katsoi, että säännöstö, jonka nojalla viranomainen pääsee yleisesti käsiksi sähköisen viestinnän sisältöön loukkaa perusoikeuskirjassa taatun yksityisyyden suojan keskeistä sisältöä. Samoin se, ettei yksilöille annettu mitään oikeussuojakeinoja itseään koskeviin henkilötietoihin tutustumiseksi tai niiden oikaisemiseksi tai poistamiseksi, loukkasi tehokkaita oikeussuojakeinoja koskevaa perusoikeutta.
Lisäksi tuomioistuin totesi ennakkoratkaisusssaan, että kansallisilla tietosuojaviranomaisille on oikeus tutkia, onko komission tekemät päätökset kolmansien maiden riittävästä tietosuojan tasosta tietosuojadirektiivin ehtojen mukaisia.
Schrems II -tuomio
Lähteet
Aiheesta muualla
NOYBin kotisivut Schrems I -tuomio EUR-Lex Schrems II -tuomio EUR-Lex
Luokka:Itävaltalaiset juristit Luokka:Kansalaisaktivistit Luokka:Tietosuoja Luokka:Vuonna 1987 syntyneet Luokka:Elävät henkilöt Luokka:Järjestöjohtajat