32016D2295

Að tryggja fullnægjandi vernd persónuupplýsinga í löndum utan Evrópusambandsins og EFTA-landanna sem skv. ákvörðunum framkvæmdastjórnar ESB hafa verið talin örugg í þeim efnum.
Með dómi Evrópudómstólsins í máli C-362/14 Schrems v Data Protection Commissioner voru ákvæði 1. og 3. gr. ákvörðunar 2000/520/EB dæmd ógild. Í dóminum er komist að þeirri niðurstöðu að þrátt fyrir að framkvæmdastjórn ESB hafi ákveðið að löggjöf í tilteknum ríkjum utan ESB tryggi fullnægjandi vernd persónuupplýsinga þá dragi það ekki úr valdi persónuverndarstofnana í hverju ríki fyrir sig að rannsaka það sjálfstætt hvort tiltekið öruggt þriðja ríki veiti persónuupplýsingum fullnægjandi vernd í tilteknu máli sem það hefur til meðferðar. Taldi dómstóllinn m.a. að framkvæmdastjórn ESB hefði, með innleiðingu ákvörðunarinnar, farið út fyrir valdheimildir sínar eins og þær væru skilgreindar í 25. gr. tilskipunar 95/46/EB. Í aðfararorðum ákvörðunar 2016/2295 er vikið að niðurstöðu dómsins og í ljósi þess að orðalag ákvarðana 2000/518/EB, 2002/2/EB, 2003/490/EB, 2003/821/EB, 2004/411/EB, 2008/393/EB, 2010/146/ESB, 2010/625/ESB, 2011/61/ESB og 2012/484/ESB, 2013/65/ESB sé sambærilegt orðalagi ákvörðunar 2000/520/EB séu einnig gerðar breytingar á ákvæðum framangreindra gerða í samræmi við niðurstöðu dómsins.
Með ákvörðuninni er eftirlitsstofnun í hverju aðildarríki gert skylt að tilkynna framkvæmdastjórninni þegar tekin er ákvörðun um að stöðva eða banna flutning persónuupplýsinga til þeirra landa sem teljast örugg þriðju lönd skv. þeim ákvörðunum sem talin eru upp í heiti gerðarinnar. Þá er framkvæmdastjórninni gert skylt að fylgjast með því að þau ríki sem teljast til öruggra þriðju landa tryggi fullnægjandi vernd persónuupplýsinga með reglubundnum hætti, m.a. hvað varðar aðgang stjórnvalda að persónuupplýsingum. Einnig er gert ráð fyrir upplýsingaskiptum milli framkvæmdastjórnarinnar og aðildarríkja ef vart verður við brot gegn viðeigandi ákvörðun.
Helstu breytingar sem verða hér á landi eru þær að Persónuvernd mun geta tekið til efnislegrar meðferðar mál um flutning persónuupplýsinga til öruggra þriðju landa og það hvort að viðkomandi ríki veiti fullnægjandi vernd. Gert er ráð fyrir að niðurstöður slíkra mála verði tilkynntar til ESA í samræmi við bókun 1 um altæka aðlögun.
Ekki er gert ráð fyrir að umfang ákvörðunarinnar sé mikið eða hún hafi mikil áhrif. Berist kvartanir vegna þessara mála og Persónuvernd þarf að sinna þeim gæti það breyst. Gera má ráð fyrir að umfangið falli innan ramma reglubundinnar starfssemi persónuverndar.