32016D2297

Markmiðið er að tryggja fullnægjandi vernd persónuupplýsinga í löndum utan Evrópusambandsins og EFTA-landanna sem skv. ákvörðunum framkvæmdastjórnar ESB hafa verið talin örugg í þeim efnum þegar notast er við staðlaða samningsskilmála, standard contractual clauses
Með dómi Evrópudómstólsins í máli C-362/14 Schrems v Data Protection Commissioner voru ákvæði 1. og 3. gr. ákvörðunar 2000/520/EB dæmd ógild. Í dóminum er komist að þeirri niðurstöðu að þrátt fyrir að framkvæmdastjórn ESB hafi ákveðið að löggjöf í tilteknum ríkjum utan ESB tryggi fullnægjandi vernd persónuupplýsinga þá dragi það ekki úr valdi persónuverndarstofnana í hverju ríki fyrir sig að rannsaka það sjálfstætt hvort tiltekið öruggt þriðja ríki veiti persónuupplýsingum fullnægjandi vernd í tilteknu máli sem það hefur til meðferðar. Taldi dómstóllinn m.a. að framkvæmdastjórn ESB hefði, með innleiðingu ákvörðunarinnar, farið út fyrir valdheimildir sínar eins og þær væru skilgreindar í 25. gr. tilskipunar 95/46/EB. Í aðfararorðum ákvörðunar 2016/2297 er vikið að niðurstöðu dómsins og í ljósi hans og 266. gr. ESB-sáttmálans hafa þau ákvæði sem takmarka völd persónuverndarstofnana verið felld brott.
Með ákvörðuninni er eftirlitsstofnun í hverju aðildarríki gert skylt að tilkynna framkvæmdastjórninni þegar tekin er ákvörðun um að stöðva eða banna flutning persónuupplýsinga til þeirra landa sem teljast örugg þriðju lönd skv. þeim ákvörðunum sem talin eru upp í heiti gerðarinnar. Þá er framkvæmdastjórninni gert skylt að fylgjast með því að þau ríki sem teljast til öruggra þriðju landa tryggi fullnægjandi vernd persónuupplýsinga með reglubundnum hætti, m.a. hvað varðar aðgang stjórnvalda að persónuupplýsingaum. Einnig er gert ráð fyrir upplýsingaskiptum milli framkvæmdastjórnarinnar og aðildarríkja ef vart verður við brot gegn viðeigandi ákvörðun.
Helstu breytingar hér á landi eru þær að Persónuvernd mun geta tekið til efnislegrar meðferðar mál um flutning persónuupplýsinga til öruggra þriðju landa á grundvelli staðlaðra samningsskilmála og það hvort að viðkomandi ríki veiti fullnægjandi vernd. Gert er ráð fyrir að niðurstöður slíkra mála verði tilkynntar til ESA í samræmi við bókun 1 um altæka aðlögun.
Ekki er gert ráð fyrir að umfang ákvörðunarinnar sé mikið eða hún hafi mikil áhrif. Berist kvartanir vegna þessara mála og Persónuvernd þarf að sinna þeim gæti það breyst. Gera má ráð fyrir að umfangið falli innan ramma reglubundinnar starfssemi persónuverndar.
Markmiðið er að tryggja fullnægjandi vernd persónuupplýsinga í löndum utan Evrópusambandsins og EFTA-landanna sem skv. ákvörðunum framkvæmdastjórnar ESB hafa verið talin örugg í þeim efnum þegar notast er við staðlaða samningsskilmála, standard contractual clauses
Með dómi Evrópudómstólsins í máli C-362/14 Schrems v Data Protection Commissioner voru ákvæði 1. og 3. gr. ákvörðunar 2000/520/EB dæmd ógild. Í dóminum er komist að þeirri niðurstöðu að þrátt fyrir að framkvæmdastjórn ESB hafi ákveðið að löggjöf í tilteknum ríkjum utan ESB tryggi fullnægjandi vernd persónuupplýsinga þá dragi það ekki úr valdi persónuverndarstofnana í hverju ríki fyrir sig að rannsaka það sjálfstætt hvort tiltekið öruggt þriðja ríki veiti persónuupplýsingum fullnægjandi vernd í tilteknu máli sem það hefur til meðferðar. Taldi dómstóllinn m.a. að framkvæmdastjórn ESB hefði, með innleiðingu ákvörðunarinnar, farið út fyrir valdheimildir sínar eins og þær væru skilgreindar í 25. gr. tilskipunar 95/46/EB. Í aðfararorðum ákvörðunar 2016/2297 er vikið að niðurstöðu dómsins og í ljósi hans og 266. gr. ESB-sáttmálans hafa þau ákvæði sem takmarka völd persónuverndarstofnana verið felld brott.
Með ákvörðuninni er eftirlitsstofnun í hverju aðildarríki gert skylt að tilkynna framkvæmdastjórninni þegar tekin er ákvörðun um að stöðva eða banna flutning persónuupplýsinga til þeirra landa sem teljast örugg þriðju lönd skv. þeim ákvörðunum sem talin eru upp í heiti gerðarinnar. Þá er framkvæmdastjórninni gert skylt að fylgjast með því að þau ríki sem teljast til öruggra þriðju landa tryggi fullnægjandi vernd persónuupplýsinga með reglubundnum hætti, m.a. hvað varðar aðgang stjórnvalda að persónuupplýsingaum. Einnig er gert ráð fyrir upplýsingaskiptum milli framkvæmdastjórnarinnar og aðildarríkja ef vart verður við brot gegn viðeigandi ákvörðun.
Helstu breytingar hér á landi eru þær að Persónuvernd mun geta tekið til efnislegrar meðferðar mál um flutning persónuupplýsinga til öruggra þriðju landa á grundvelli staðlaðra samningsskilmála og það hvort að viðkomandi ríki veiti fullnægjandi vernd. Gert er ráð fyrir að niðurstöður slíkra mála verði tilkynntar til ESA í samræmi við bókun 1 um altæka aðlögun.
Ekki er gert ráð fyrir að umfang ákvörðunarinnar sé mikið eða hún hafi mikil áhrif. Berist kvartanir vegna þessara mála og Persónuvernd þarf að sinna þeim gæti það breyst. Gera má ráð fyrir að umfangið falli innan ramma reglubundinnar starfssemi persónuverndar.