2 EØS-komiteens beslutning om endring av vedlegg XI (Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester) og protokoll 37 (om listen omhandlet i artikkel 101) til EØS-avtalen

Uoffisiell oversettelse av utkast til EØS-komitebeslutning

EØS-KOMITEEN HAR –

under henvisning til avtalen om Det europeiske økonomiske samarbeidsområde, heretter kalt EØS-avtalen, særlig artikkel 98,

og ut fra følgende betraktninger:

• 1) Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning1) skal innlemmes i EØS-avtalen.

• 2) Komiteen anerkjenner at vern av personopplysninger er en grunnleggende rettighet beskyttet i flere internasjonale menneskerettighetsavtaler.

• 3) Komiteen anerkjenner viktigheten av at de samme rettigheter og forpliktelser gjelder for alle behandlingsansvarlige og databehandlere innen EØS.

• 4) Ved denne beslutning fastsettes det at tilsynsmyndighetene i EFTA-statene skal delta fullt ut i ettstedsmekanismen og konsistensmekanismen, og at de skal ha de samme rettigheter og plikter som tilsynsmyndighetene i EU-medlemsstatene, unntatt stemmerett og rett til å bli valgt til leder eller nestleder, i Det europeiske personvernråd («Personvernrådet»), opprettet ved forordning (EU) 2016/679. For dette formål bør tilsynsmyndighetene i EFTA-statene inkluderes i Personvernrådets aktiviteter, herunder aktiviteter i alle undergrupper som Personvernrådet måtte opprette for å utføre sine oppgaver, og motta alle opplysninger som er nødvendig for å gjøre en effektiv deltakelse mulig, også, om nødvendig, ved å få full tilgang til eventuelle elektroniske systemer for informasjonsutveksling som opprettes av Personvernrådet.

• 5) Forordning (EU) 2016/679 opphever[, med virkning fra 25. mai 2018,] europaparlaments- og rådsdirektiv 95/46/EF)2, som er innlemmet i EØS-avtalen, og som følgelig skal oppheves i EØS-avtalen [med virkning fra 25. mai 2018].

• 6) EØS-avtalens vedlegg XI og protokoll 37 bør derfor endres –

TRUFFET DENNE BESLUTNING:

Artikkel 1

Teksten i EØS-avtalens vedlegg XI nr. 5e (europaparlaments- og rådsdirektiv 95/46/EF) skal [med virkning fra 25. mai 2018] lyde:

«32016 R 0679: Europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) (EUT L 119 av 4.5.2016, s. 1).

Forordningens bestemmelser skal for denne avtales formål gjelde med følgende tilpasning:

• a) EFTA-statenes tilsynsmyndigheter skal delta i aktivitetene til Det europeiske personvernråd, heretter kalt «Personvernrådet». For det formål skal de ha de samme rettigheter og plikter som tilsynsmyndighetene i EU-medlemsstatene, unntatt stemmerett og rett til å bli valgt til leder eller nestleder, i Personvernrådet, dersom ikke annet er fastsatt i EØS-avtalen. EFTA-statenes tilsynsmyndigheters standpunkt skal registreres separat av Personvernrådet.

  Personvernrådets forretningsorden skal gi EFTA-statenes tilsynsmyndigheters og EFTAs overvåkingsorgans deltakelse full virkning, unntatt stemmerett og rett til å bli valgt til leder eller nestleder i Personvernrådet.

• b) Uten at det berører bestemmelsene i EØS-avtalens protokoll 1, og dersom ikke annet er fastsatt i avtalen, skal betydningen av ordene ’medlemsstat(er)’ og ’tilsynsmyndigheter’ også omfatte, i tillegg til den betydning de har i forordningen, henholdsvis EFTA-statene og deres tilsynsmyndigheter.

• c) Henvisninger til unionsretten eller Unionens bestemmelser om vern av personopplysninger skal forstås som henvisninger til henholdsvis EØS-avtalen eller bestemmelser om vern av personopplysninger i avtalen.

• d) Når det gjelder EFTA-statene skal ordene ’som får anvendelse i henhold til EØS-avtalen,’ tilføyes etter ’Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke,’ i artikkel 13 nr. 1 bokstav f) og artikkel 14 nr. 1 bokstav f).

• e) I artikkel 45 etter nr. 1 skal, når det gjelder EFTA-statene, nytt nr. 1a lyde:

  ’1a. I påvente av en EØS-komitébeslutning som innlemmer i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel, kan en EFTA-stat beslutte å anvende tiltakene i rettsakten.

  Hver enkelt EFTA-stat skal treffe en beslutning og informere Kommisjonen og EFTAs overvåkingsorgan, før ikrafttredelsen av en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel, om tiltakene i rettsakten, i påvente av en EØS-komitébeslutning som innlemmer rettsakten i EØS-avtalen, vil få anvendelse samtidig som de får anvendelse i EU-medlemsstatene eller ikke. Dersom det ikke foreligger en beslutning om det motsatte, skal tiltakene i gjennomføringsrettsakten vedtatt i henhold til nr. 3 eller 5 i denne artikkel få anvendelse i hver enkelt EFTA-stat samtidig som de får anvendelse i EU-medlemsstatene.

  Uten at det berører EØS-avtalens artikkel 102, kan en EFTA-stat, dersom man i EØS-komiteen ikke kommer fram til enighet om å innlemme i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til nr. 3 eller 5 i denne artikkel innen tolv måneder etter at nevnte gjennomføringsrettsakt trådte i kraft, avslutte anvendelsen av nevnte tiltak og skal uten opphold underrette Kommisjonen og EFTAs overvåkingsorgan om dette.

  De andre partene i EØS-avtalen skal, som unntak fra artikkel 1 nr. 3, begrense eller forby fri utveksling av personopplysninger til en EFTA-stat som ikke anvender tiltakene i en gjennomføringsrettsakt vedtatt i henhold til nr. 5 i denne artikkel, på samme måte som nevnte tiltak forhindrer overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon.’

• f) Dersom EU innleder samråd med tredjestater eller internasjonale organisasjoner med henblikk på å treffe en beslutning om tilstrekkelig beskyttelsesnivå i henhold til artikkel 45, skal EFTA-statene holdes behørig underrettet. Dersom særlige forpliktelser innføres for en tredjestat eller internasjonal organisasjon med hensyn til behandling av personopplysninger fra medlemsstater, vil EU ta hensyn til EFTA-statenes situasjon og diskutere mulige mekanismer for mulig framtidig anvendelse av EFTA-statene med tredjestater eller internasjonale organisasjoner.

• g) I artikkel 46 nr. 2 bokstav d) tilføyes følgende:

  ’EFTA-statenes tilsynsmyndigheter skal ha samme rett som tilsynsmyndighetene i EU-medlemsstatene til å framlegge standard personvernbestemmelser for Kommisjonen for godkjenning i henhold til undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.’

• h) I artikkel 46 etter nr. 2 skal, når det gjelder EFTA-statene, nytt nr. 2a lyde:

  ’2a. I påvente av en EØS-komitébeslutning som innlemmer en gjennomføringsrettsakt i EØS-avtalen, kan de nødvendige garantier nevnt i nr. 1 sikres ved hjelp av standard personvernbestemmelser nevnt i artikkel 46 nr. 2 bokstav c) og d) dersom en EFTA-stat anvender tiltakene i rettsakten.

  Hver enkelt EFTA-stat skal treffe en beslutning og informere Kommisjonen og EFTAs overvåkingsorgan, før ikrafttredelsen av gjennomføringsrettsakter vedtatt i henhold artikkel 46 nr. 2 bokstav c) og d), om tiltakene i rettsakten, i påvente av en EØS-komitébeslutning som innlemmer rettsakten i EØS-avtalen, vil få anvendelse samtidig som de får anvendelse i EU-medlemsstatene eller ikke. Dersom det ikke foreligger en beslutning om det motsatte, skal tiltakene i gjennomføringsrettsakten vedtatt i henhold til artikkel 46 nr. 2 bokstav c) og d) få anvendelse i hver enkelt EFTA-stat samtidig som de får anvendelse i EU-medlemsstatene.

  Uten at det berører EØS-avtalens artikkel 102, kan en EFTA-stat, dersom man i EØS-komiteen ikke kommer fram til enighet om å innlemme i EØS-avtalen en gjennomføringsrettsakt vedtatt i henhold til artikkel 46 nr. 2 bokstav c) og d) innen tolv måneder etter at nevnte gjennomføringsrettsakt trådte i kraft, avslutte anvendelsen av nevnte tiltak og skal uten opphold underrette Kommisjonen og EFTAs overvåkingsorgan om dette.’

• i) I artikkel 58 nr. 4, når det gjelder EFTA-statene, får ordene ’i samsvar med pakten’ ikke anvendelse.

• j) I artikkel 59 skal ordene ’, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

• k) EFTAs overvåkingsorgan skal ha rett til å delta i Personvernrådets møter uten stemmerett. EFTAs overvåkingsorgan skal utpeke en representant.

• l) Dersom det er relevant for utøvelsen av sine oppgaver i henhold til artikkel 109 i EØS-avtalen, skal EFTAs overvåkingsorgan har rett til å be om råd eller uttalelser fra, og oversende saker til, Personvernrådet, i henhold til artikkel 63, artikkel 64 nr. 2, artikkel 65 nr. 1 bokstav c) og artikkel 70 nr. 1 bokstav e). I artikkel 63 artikkel 64 nr. 2, 65 nr. 1 bokstav c) og artikkel 70 nr. 1 bokstav e) skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

• m) Personvernrådets leder, eller sekretariatet, skal informere EFTAs overvåkingsorgan om Personvernrådets aktiviteter, der det er relevant i henhold til artikkel 64 nr. 5 bokstav a) og b), artikkel 65 nr. 5 og artikkel 75 nr. 6 bokstav b). I artikkel 64 nr. 5 bokstav a) og b), artikkel 65 nr. 5 og artikkel 75 nr. 6 bokstav b) skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

  Dersom det er relevant for utøvelsen av sine oppgaver i henhold til artikkel 109 i EØS-avtalen, skal EFTAs overvåkingsorgan ha rett til å motta informasjon fra en tilsynsmyndighet i en av de berørte EFTA-statene i henhold til artikkel 66 nr. 1. I artikkel 66 nr. 1 skal ordene ’og, dersom det er relevant, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Kommisjonen’.

• n) I artikkel 71 nr. 1 skal ordene ’, EFTA-statenes faste komité, EFTAs overvåkingsorgan’ tilføyes etter ordet ’Rådet’.

• o) I artikkel 73 nr. 1 skal nytt punktum lyde:

  ’EFTA-statenes medlemmer av Personvernrådet skal ikke kunne velges til leder eller nestleder.’»

Artikkel 2

Teksten i EØS-avtalens protokoll 37 nr. 13 (Arbeidsgruppe for personvern i forbindelse med behandling av personopplysninger) skal oppheves.

Artikkel 3

Teksten til forordning (EU) 2016/679 på islandsk og norsk, som skal kunngjøres i EØS-tillegget til Den europeiske unions tidende, skal gis gyldighet.

Artikkel 4

Denne beslutning trer i kraft [..], forutsatt at alle meddelelser etter EØS-avtalens artikkel 103 nr. 1 er inngitt3.

Artikkel 5

Denne beslutning skal kunngjøres i EØS-avdelingen av og EØS-tillegget til Den europeiske unions tidende.

Utferdiget i Brussel [..]

For EØS-komiteen Formann

Felleserklæring fra avtalepartene

i forbindelse med EØS-komiteens beslutning nr. ../.. av .. som innlemmer europaparlaments- og rådsforordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) i EØS-avtalen.

Med tanke på EØS-avtalens oppbygging med to pilarer og idet det tas hensyn til den direkte bindende virkning avgjørelser i Det europeiske personvernråd har for nasjonale tilsynsmyndigheter i EØS-EFTA-statene, vil avtalepartene:

• merke seg det faktum at avgjørelser i Det europeiske personvernråd er rettet mot nasjonale tilsynsmyndigheter,

• anerkjenne at denne løsningen ikke skaper presedens for framtidige tilpasninger av EU-rettsakter som skal innlemmes i EØS-avtalen.