32016D1250

Samkvæmt 25. gr. tilskipunar 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, skulu EES-ríkin kveða á um að miðlun á persónuupplýsingum sem eru í vinnslu eða eru ætlaðar til vinnslu að miðlun lokinni til landa utan EES-svæðisins skuli því aðeins heimil að viðkomandi land tryggi nægilega vernd.
Tilskipunin var tekin upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar nr. 83/1999 og öðlaðist gildi 1. júlí 2000. Slík ákvörðun um Bandaríkin var tekin með ákvörðun framkvæmdastjórnarinnar nr. 2000/520/ESB frá 26. júlí 2000, einnig nefnd Safe Harbour. Hún var tekin upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar nr. 108/2000.
Ákvörðun framkvæmdastjórnarinnar frá árinu 2000 var ógilt með dómi dómstóls Evrópusambandsins í máli C-362/14 (Schrems) frá 6. október 2015.
Niðurstaða dómsins var stjórnarskrá Evrópusambandsins og persónuverndartilskipunin tryggðu rétt til verndar persónuupplýsinga og að persónuverndaryfirvöldum bæri skylda til að framfylgja þeim rétti. Af þeim sökum gæti ákvörðun framkvæmdastjórnarinnar ekki hindrað persónuverndaryfirvöld í því að rannsaka kvartanir um að brot. Dómstóllinn vísaði til þess að við mat á gildi ákvörðunarinnar að löggjöf í Bandaríkjunum veiti öryggisstofnunum þar í landi víðtækan aðgang að persónuupplýsingum og að auki séu engin úrræði fyrir ríkisborgara ESB í Bandaríkjunum til að fá slík mál tekin fyrir dómstóla.
Um er m.a. að ræða alls kyns upplýsingar, m.a. um starfsmenn fyrirtækja sem hafa alþjóðlega starfssemi. Hingað til, eða í 16 ár, hafa upplýsingar af þessu tagi verið sendar frá Evrópu til Bandaríkjanna, en skv. ofangreindum dómi má það ekki lengur nema að tryggt sé með öðrum leiðum að upplýsingarnar séu verndaðar fullnægjandi. Einföld yfirlýsing þess efnis að Bandaríkin veiti fullnægjandi vernd, sbr. þau fyrirtæki sem tiltekin voru á listanum yfir hinar svokölluðu öruggar hafnir safe harbour dugar hins vegar ekki lengur.
Því er Evrópusambandið að semja við Bandaríkin um að gerðar verði ráðstafanir sem tryggi að persónuupplýsingar séu verndaðar með fullnægjandi hætti fyrir Evrópusambandið þannig að áfram verði unnt að senda þessar upplýsingar frá Evrópu til Bandaríkjanna. Það er sá samningur sem hér um ræðir (EU/US Privacy Shield) Í honum hefur tekist að fá tilgreint að samningurinn gildi einnig um EES EFTA-ríkin á grundvelli EES-samningsins.
Verði samningur Evrópusambandsins og Bandaríkjanna látinn ná til Íslands mun vinnsla persónuupplýsinga og vernd þeirra hér eftir sem hingað til verða í samræmi við 29. gr. laga um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000 og þar með ekki um breytingar að ræða hér á landi.