Endring av EUs standard kontraktsvilkår for overføring av personopplysninger til tredjeland

Status

Rettsakten skal innlemmes i EØS-avtalen etter forenklet prosedyre.

Sammendrag av innhold

6. oktober 2015 fattet EU-domstolen sin avgjørelse i sak c-362/14 Maximillian Schrems v Data Protection Commissioner. Dommen slo fast at flere av vilkårene i Komisjonens ulike beslutninger om overføring av personopplysninger til tredjeland ikke var i samsvar med overordnet regelverk, herunder Charter of Fundamental Rights of the European Union. Blant annet ble det slått fast at bestemmelsene i artikkel 3 i den tidligere Safe Harbor-avtalen mellom EU og USA om overføring av personopplysninger til USA (2000/520/EC) ikke var i samsvar med charteret. Denne bestemmelsern begrenset de nasjonale tilsynsmyndighetens kompetanse til å gripe inn overfor bestemte overføringer av personopplysninger.  Safe Harbor-avtalen ble, som følge av dommen, i sin helhet erstattet av Privacy Shield-rammeverket 12. juli 2016.

Bestemmelser som tilsvarer Safe Harbor-avtalens artikkel 3 finnes også i kommisjonsbeslutning 2001/497 om overføring av personopplysninger til tredjeland og kommisjonsbeslutning 2010/87/EU om overføring av personopplysninger til databehandlere i tredjeland, nærmere bestemt artikkel 4 i begge regelverk. Disse kommisjonsbeslutningene gjelder for Norge jf. personopplysningsforskriften § 6-1 første ledd, og kan benyttes av norske behandlingsansvarlige som grunnlag for overføring av personopplysninger til tredjeland.   

Som følge av EU-domstolens avgjørelse i sak c-362/14 har EU-kommisjonen besluttet endringer i kommisjonsbeslutning 2001/497 om overføring av personopplysninger til tredjeland artikkel 4 og kommisjonsbslutning 2010/87/EU om overføring av personopplysninger til databehandlere i tredjeland artikkel 4. Endringene innebærer at de nasjonale tilsynsmyndighetene nå står fritt til å vurdere og, midlertidig eller permanent, stanse overføringer av personopplysninger til tredjeland dersom det vurderes som nødvendig for å beskytte enkeltpersoner. Den nasjonale tilsynsmyndigheten skal varsle Kommisjonen om sine vedtak, hvorpå Kommisjonen vil videreformidle informasjonen til de øvrige medlemsstater.

Merknader
Rettslige konsekvenser

Økonomiske og administrative konsekvenser

Sakkyndige instansers merknader

Vurdering

Endringen innebærer at Datatilsynet vil ha full kompetanse til å føre tilsyn med og gripe inn overfor overføring av personopplysninger til tredjejand i samsvar med Kommisjonens beslutninger om slike overføringer dersom tilsynet vurderer det som nødvendig for å beskytte enkeltpersoner. Beslutningen vurderes ikke å endre de gjeldende og grunnleggende nasjonale reglene om behandling av personopplysninger. Beslutningen vurderes derimot å styrke Datatilsynets kompetanse for så vidt gjelder tilsyn med overføring av personoplysninger til tredjeland.

Andre opplysninger

Nøkkelinformasjon

Institusjon:
Type rettsakt:
KOM-nr.:
Rettsaktnr.:	(EU) 2016/2297
Basis rettsaktnr.:	2001/497/EC og 2010/87/EU
Celexnr.:	32016D2297

EFTA-prosessen

Dato mottatt standardskjema:	20.12.2016
Frist returnering standardskjema:	31.01.2017
Dato returnert standardskjema:
EØS-relevant:	Ja
Akseptabelt:	Ja
Tekniske tilpasningstekster:	Nei
Materielle tilpasningstekster:	Nei
Art. 103-forbehold:	Nei

Norsk regelverk

Endring av norsk regelverk:	Nei
Høringsstart:
Høringsfrist:
Frist for gjennomføring:

Fylker og kommuner

Berører fylker og kommuner i vesentlig grad.