Kommissionens utkast till standardiserade dataskyddsbestämmelser och yttrande om förordningen om integritet och elektronisk kommunikation under behandling inom Europeiska dataskyddsstyrelsen

Europeiska dataskyddsstyrelsen behandlade i sitt plenarmöte den 19 november Europeiska kommissionens förslag till två helheter av standardiserade dataskyddsbestämmelser (standard contractual clauses, SCC). Standardiserade dataskyddsbestämmelserna gäller avtalen mellan personuppgiftsansvariga och personuppgiftsbiträden och dataöverföringar till tredjeländer. Dessutom gav dataskyddsstyrelsen ett yttrande om förordningen om integritet och elektronisk kommunikation (så kallad ePrivacy-förordning) som förhandlas fortfarande och dataskyddsmyndigheternas framtida roll. Avsikten är att förordningen om integritet och elektronisk kommunikation ersätter direktivet om integritet och elektronisk kommunikation som varit i kraft sedan 2002.

Kommissionen presenterade sina förslag till nya standardbestämmelser

Utkasten till standardiserade dataskyddsbestämmelser för personuppgiftsansvariga och personuppgiftsbiträden är helt nya. Standardbestämmelserna påverkar alla EU-länder och syftet med dem är att säkerställa att behandlingsavtalen mellan personuppgiftsansvariga och personuppgiftsbiträden är enhetliga och rättssäkra i hela EU.

De nya standardbestämmelserna för överföring av personuppgifter till tredjeländer ersätter de nuvarande standardbestämmelserna för internationella dataöverföringar. Kommissionens standardiserade dataskyddsbestämmelser är en av de överföringsmekanismer som avses i kapitel V i dataskyddsförordningen. Standardbestämmelserna måste uppdateras för att de på ett bättre sätt skulle motsvara kraven i den allmänna dataskyddsförordningen och EU-domstolens Schrems II-beslut. Om de skyddsåtgärder som ingår i standardbestämmelserna eller andra överföringsmekanismer inte är tillräckliga, kan uppgiftsutförarna vidta ytterligare skyddsåtgärder.

Efter uppdateringen kan standardbestämmelserna bättre tillämpas i situationer med sådana nya behandlingsåtgärder på flera nivåer där flera uppgiftsutförare och -införare deltar. Kommissionen har begärt EDPB och Europeiska datatillsynsmannen om ett gemensamt yttrande om utkasten till båda helheter av standardbestämmelser.

Utkasten till standardiserade dataskyddsbestämmelser på Europeiska kommissionens webbplats:

• Standardiserade dataskyddsbestämmelser för överföring till tredjeländer (artikel 46): Commission Implementing Decision on standard contractual clauses for the transfer of personal data to third countries
• Standardiserade dataskyddsbestämmelser för behandlingsavtal (artikel 28): Commission Implementing Decision on standard contractual clauses between controllers and processors located in the EU

Offentligt samråd om rekommendationer om ytterligare skyddsåtgärder förlängs

Dataskyddsstyrelsen beslutade att förlänga tidsfristen för det offentliga samrådet om rekommendationerna om ytterligare åtgärder för överföringsmekanismer. Tidsfristen förlängdes från den 30 november till den 21 december 2020. Rekommendationerna ger riktlinjer för ytterligare åtgärder som används vid internationella överföringar för att tillförsäkra en i allt väsentligt likvärdig skyddsnivå för uppgifterna som inom EES. 

Rekommendationerna och det offentliga samrådet på Europeiska dataskyddsstyrelsens webbplats: Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data

Dataskyddsstyrelsens yttrande om förordningen om integritet och elektronisk kommunikation som är under beredning

Dataskyddsstyrelsen gav sitt yttrande om förordningen om integritet och elektronisk kommunikation som förhandlas fortfarande samt tillsynsmyndigheternas och dataskyddsstyrelsens kommande roll i samband med den.

I sitt yttrande tog dataskyddsstyrelsen ställning till vissa föreslagna ändringar till kommissionens förslag.  Dataskyddsstyrelsen uttryckte sin oro över förslagen som skulle leda till fragmenterad övervakning, krångliga förfaranden och brist på konsekvens och rättssäkerhet för privatpersoner och företag.

Dataskyddsstyrelsen betonar att många av bestämmelserna i den kommande förordningen om integritet och elektronisk kommunikation gäller behandling av personuppgifter och är starkt knutna till bestämmelserna i den allmänna dataskyddsförordningen.

Konsekvent tolkning och genomförande av båda regelverk avseende skydd av personuppgifter skulle följaktligen realiseras mer effektivt, om de ifrågavarande delarna av förordningen om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen skulle genomföras av samma tillsynsmyndighet. Dataskyddsstyrelsen betonade också att den nya förordningen bör antas så snart som möjligt.

“Övervakningen av behandlingen av personuppgifter enligt förordningen om integritet och elektronisk kommunikation bör anförtros samma nationella myndigheter som ansvarar för genomförandet av den allmänna dataskyddsförordningen. På detta sätt kan vi säkerställa i hela EU en hög nivå av dataskydd, garantera lika verksamhetsförutsättningar och säkerställa en enhetlig tolkning och genomförande av de delar av förordningen om integritet och elektronisk kommunikation som gäller behandlingen av personuppgifter”, konstaterade dataskyddsstyrelsens ordförande Andrea Jelinek.

Dataskyddsstyrelsen säger ytterligare att detta yttrande inte påverkar dataskyddsstyrelsens tidigare ställningstagande och upprepade att den kommande förordningen om integritet och elektronisk kommunikation bör under inga omständigheter minska skyddet som det nuvarande direktivet om integritet och elektronisk kommunikation erbjuder. Den kommande förordningen bör komplettera den allmänna dataskyddsförordningen genom att ge starka tilläggsgarantier för sekretess och skydd i alla typer av elektronisk kommunikation.

Europeiska dataskyddsstyrelsens och Europeiska datatillsynsmannens yttrande på dataskyddsstyrelsens webbplats: Statement on the ePrivacy Regulation and the future role of Supervisory Authorities and the EDPB

Mer information:

Europeiska dataskyddsstyrelsens meddelande på styrelsens webbplats: European Data Protection Board - 42nd Plenary session: Presentation of two new sets of SCCs & EDPB adopts statement on ePrivacy Regulation (20.11.2020)