Rättelse till beslutet om Meteorologiska institutet: anmärkningen om underlåtelse att genomföra en konsekvensbedömning raderades
Biträdande dataombudsmannen har gjort en rättelse i beslutet från den 27 april där Meteorologiska institutet konstaterades att olagligen ha överfört personuppgifter till USA genom Googles tjänster. Anmärkningen till Meteorologiska institutet om att ha brutit mot artikel 35 i den allmänna dataskyddsförordningen om konsekvensbedömning har raderats från beslutet. I det korrigerade beslutet bedöms inte efterlevnaden av artikel 35 i den allmänna dataskyddsförordningen.
Biträdande dataombudsmannen återupptog frågan om huruvida efterlevnaden av artikel 35 i den allmänna dataskyddsförordningen ska bedömas vad gäller beslutet om Meteorologiska institutet. Bedömningen av konsekvensbedömningen avseende dataskydd raderades från det korrigerade beslutet. I beslutet konstateras ändå att Meteorologiska institutet inte har bedömt eventuellt behov av kompletterande skyddsåtgärder i samband med dataöverföringar till USA. Bedömning av behovet av kompletterande skyddsåtgärder är en del av kraven för grunden för överföring av personuppgifter enligt artikel 46 i dataskyddsförordningen.
Biträdande dataombudsmannen anser att det var motiverat att korrigera beslutet så att ställningstagandet inte leder till att finländska personuppgiftsansvariga får en mer omfattande skyldighet att genomföra konsekvensbedömning vid dataöverföringar till USA än personuppgiftsansvariga i andra medlemsländer.
Lagligheten av överföringen av personuppgifter till USA behandlades nyligen också i Europeiska dataskyddsstyrelsens tvistlösningsbeslut om Meta. Efter tvistlösningsbeslutet gav den irländska dataskyddsmyndigheten ett beslut den 12 maj där skyldigheten att genomföra konsekvensbedömning granskades enbart vad gäller efterlevnaden av artikel 46 i dataskyddsförordningen. I sitt beslut konstaterade den irländska dataskyddsmyndigheten att det inte var möjligt att med skyddsåtgärder som kompletterar standardklausulerna avhjälpa de risker för de registrerades rättigheter och friheter som USA:s lagstiftning medför.
Biträdande dataombudsmannens korrigerade beslut i tjänsten Finlex (på finska)
Mer information:
Biträdande dataombudsman Annina Hautala, tfn 029 566 6776, annina.hautala(at)om.fi
Meddelande: Anmärkning till Meteorologiska institutet för överföring av personuppgifter till det amerikanska företaget Google (22.5.2023)
Irländska dataskyddsmyndighetens meddelande (på engelska): Data Protection Commission announces conclusion of inquiry into Meta Ireland (22.5.2023)
Irländska dataskyddsmyndighetens slutliga beslut i registret på dataskyddsstyrelsens webbplats
Konsekvensbedömning avseende dataskydd (eng. data protection impact assessment, DPIA) ska göras när man planerar behandling av personuppgifter som sannolikt leder till en hög risk för de registrerades rättigheter och friheter. Syftet med konsekvensbedömningen är att bedöma huruvida den återstående risken kan anses vara på en godtagbar nivå. När överföring av personuppgifter till områden utanför EU och EES sker med stöd av de grunder som fastställts i artikel 46 i dataskyddsförordningen ska behovet av skyddsåtgärder som kompletterar dessa grunder utredas separat från fall till fall.