Alþjóðlegir gagnaflutningar

Hvenær á að flytja persónuupplýsingar utan EES?

GDPR felur ekki í sér skilgreiningu á slíkum millifærslum. EDPB hefur þó tilgreint eftirfarandi þrjár uppsafnaðar viðmiðanir til að auðkenna yfirfærslu utan EES:

• ábyrgðaraðili eða vinnsluaðili er háður GDPR fyrir tiltekna vinnslu;
• þessi ábyrgðaraðili eða vinnsluaðili lætur af hendi með sendingu eða gerir persónuupplýsingar aðgengilegar annarri stofnun (ábyrgðaraðili eða vinnsluaðili gagna),
• þessi stofnun er í landi utan EES eða er alþjóðastofnun.

Hvernig á að flytja persónuupplýsingar út fyrir EES?

Í hnotskurn setur GDPR takmarkanir á flutning persónuupplýsinga utan EES, til landa utan EES eða alþjóðastofnana, til að tryggja að vernd einstaklinga sem GDPR veitir verði áfram sú sama.

Persónuupplýsingar má aðeins flytja utan EES í samræmi við skilyrði fyrir slíkum flutningi sem mælt er fyrir um í V. kafla GDPR.

Uppfylla verður skilyrði fyrir millifærslum til viðbótar við almenna reglufylgni við aðrar reglur GDPR. Þessi skilyrði eru t.d. viðbótarkrafa við grundvallarreglur um vinnslu semeinnig þarf að virða í tengslum við alþjóðlega yfirfærslu. Þegar þú flytur persónuupplýsingar þarftu samt að ganga úr skugga um að þú hafir viðeigandi lagagrundvöll fyrir vinnslu; að nauðsynlegar verndarráðstafanir séu gerðar, að þú vinnur aðeins þær persónuupplýsingar sem nauðsynlegar eru fyrir þessa tilteknu vinnslustarfsemi (meginregla um lágmörkun gagna) o.s.frv. Ef viðtakandi persónuupplýsinganna starfar sem vinnsluaðili, ert þú enn lagalega skylt að setja upp samning. Rétt eins og þú myndir gera fyrir vinnsluaðila innan EES. 

Samkvæmt GDPR eru, að jafnaði, tvær helstu leiðir til að flytja persónuupplýsingar til landa utan EES eða alþjóðastofnunar. Framsal getur átt sér stað á grundvelli ákvörðunar um fullnægjandi vernd eða, ef slík ákvörðun liggur ekki fyrir, á grundvelli viðeigandi verndarráðstafana, þ.m.t. framfylgjanleg réttindi og lagaleg úrræði fyrir einstaklinga. Ef ekki er um að ræða ákvörðun um fullnægjandi vernd eða viðeigandi verndarráðstafanir heimilar GDPR nokkrar undanþágur við tilteknar aðstæður.

Þú finnur frekari upplýsingar um mismunandi valkosti hér að neðan.

Gagnaflutningur á grundvelli ákvörðunar um fullnægjandi vernd

Framkvæmdastjórn Evrópusambandsins hefur möguleika á að samþykkja fullnægjandi ákvarðanir til að staðfesta formlega, með bindandi áhrifum á EES-löndin, að gagnaverndarstig í landi utan EES eða alþjóðastofnun sé í grundvallaratriðum jafngilt verndarstigi á Evrópska efnahagssvæðinu.

Við mat á því hvort verndin sé fullnægjandi telur framkvæmdastjórn Evrópusambandsins þætti á borð við réttarríkið, virðingu fyrir mannréttindum og mannfrelsi, sem og hvort réttindi skráðra einstaklinga séu skilvirk og framfylgjanleg, tilvist og skilvirka starfsemi óháðs gagnaverndaryfirvalds í landi utan EES og alþjóðlegar skuldbindingar sem landið eða alþjóðastofnunin hefur gengist undir.

Ef framkvæmdastjórn Evrópusambandsins ákveður að landið bjóði upp á fullnægjandi vernd og að ákvörðun um fullnægjandi vernd sé tekin, er hægt að flytja persónuupplýsingar til annars fyrirtækis eða stofnunar í því landi utan EES án þess að gagnaútflytjandinn, þ.e. aðilinn sem flytur gögnin, sé skylt að veita frekari verndarráðstafanir eða vera háður viðbótarskilyrðum sem tengjast alþjóðlegum flutningi. Með öðrum orðum verður flutningurinn til "fullnægjandi" lands utan EES sambærilegur við flutning gagna innan EES. Fyrirtæki þitt verður samt sem áður að fylgja öðrum meginreglum GDPR, eins og útskýrt er hér að ofan.  

Ákvarðanir um fullnægjandi vernd geta náð yfir land í heild eða takmarkast við hluta þess (þ.e. svæði). Ákvarðanir um fullnægjandi vernd geta tekið til allra gagnaflutninga til lands eða takmarkast við sumar tegundir flutninga (t.d. í einum geira).

Fram til þessa hefur framkvæmdastjórn Evrópusambandsins samþykkt ákvarðanir um fullnægjandi vernd að því er varðar:

• Andorra,
• Argentína,
• Kanada (samtök í atvinnurekstri),
• Færeyjar,
• Guernsey,
• Ísrael,
• Mön,
• Japan,
• Jersey,
• Nýja-Sjáland,
• Lýðveldið Kórea,
• Sviss,
• Breska konungsríkið,
• Bandaríkin (viðskiptafyrirtæki sem taka þátt í rammanum um friðhelgi einkalífs ESB og Bandaríkjanna),
• og Úrúgvæ.

Framkvæmdastjórn Evrópusambandsins birtir lista yfir ákvarðanir um fullnægjandi vernd á vefsetri sínu.

Gagnaútflytjendur bera ábyrgð á því að fylgjast með því hvort ákvarðanir um fullnægjandi vernd, sem varða flutning þeirra, séu enn í gildi og að ekki sé verið að afturkalla eða ógilda þær.

Vinsamlegast athugið að ákvarðanir um fullnægjandi vernd koma ekki í veg fyrir að einstaklingar leggi fram kvörtun. Þeir koma heldur ekki í veg fyrir að gagnaverndaryfirvöld (DPA) beiti valdi sínu samkvæmt GDPR.

Gagnaflutningur á grundvelli viðeigandi verndarráðstafana

Ef ákvörðun um fullnægjandi vernd liggur ekki fyrir geta fyrirtæki einnig flutt persónuupplýsingar þar sem hægt er að veita viðeigandi verndarráðstafanir gagnvart fyrirtækinu sem tekur við persónuupplýsingunum. Að auki verða einstaklingar að geta neytt réttar síns og haft skilvirk lagaleg úrræði til reiðu.

Í 46. grein GDPR er að finna röð flutningstækja sem innihalda "viðeigandi öryggisráðstafanir" sem þú gætir notað til að flytja persónuupplýsingar til landa utan EES ef ekki er um að ræða ákvarðanir um fullnægjandi vernd. Helstu tegundir af Art. 46 GDPR flytja verkfæri, sem tengjast einkafyrirtækjum, eru:

• Stöðluð ákvæði um gagnavernd,
• Bindandi fyrirtækjareglur (BCRs),
• Hátternisreglur,
• Vottunarfyrirkomulag,
• Sérstök samningsákvæði.

Föst samningsákvæði

Stöðluð samningsákvæði eru safn staðlaðra samninga sem gera gagnaútflytjendum kleift að gera viðeigandi verndarráðstafanir. Það er tól sem almennt er notað af mörgum stofnunum. Framkvæmdastjórn Evrópusambandsins hefur vald til að samþykkja SCC sem viðeigandi verndarráðstöfun fyrir miðlun persónuupplýsinga til landa utan EES samkvæmt c-lið 2. mgr. 46. gr.

Hinn 4. júní 2021 samþykkti framkvæmdastjórn Evrópusambandsins framkvæmdarákvörðun um sérstök stöðustofnunarfyrirtæki um flutning persónuupplýsinga til landa utan EES samkvæmt GDPR. Framkvæmdastjórn Evrópusambandsins veitir einnig sett af stöðluðum samningsákvæðum á vefsíðu sinni. Sjá nánar um stöðluðu samningsákvæðin.

SCC fjallar um ýmsar flutningsaðstæður og flókið nútíma vinnslukeðjur. Ábyrgðaraðilar og vinnsluaðilar geta notað nokkra möguleika, allt eftir sérstökum aðstæðum við flutninginn, sem fela í sér:

• flugumferðarstjóri (C2C),
• ábyrgðaraðili til vinnslu (C2P),
• vinnsluaðili (P2P),
• vinnsluaðili (P2C), vinnsluaðilinn er í Evrópusambandinu og ábyrgðaraðili í þriðja landi.

Aðrir mikilvægir þættir sérstakra stöðustofnunarfyrirtækja eru m.a.:

• möguleika á að fleiri en tveir aðilar fylgi ákvæðunum,
• möguleika, með nokkrum undantekningum, að nota sérstök stöðustofnunarfyrirtæki þegar persónuupplýsingar eru fluttar til undirverktaka í landi utan EES,
• möguleika, með nokkrum undantekningum, að einstaklingar geti skírskotað til ákvæðanna sem rétthafa þriðju aðila,
• reglur um bótaábyrgð milli aðila ef réttindi einstaklinga eru brotin,
• Rétt einstaklinga til bóta vegna tjóns sem hann verður fyrir þegar brotið hefur verið gegn réttindum þeirra sem rétthafa þriðja aðila,
• kröfu um að framkvæma „mat á áhrifum til flutnings“ þar sem skráðar eru sérstakar aðstæður við flutninginn, lög í viðtökulandinu og viðbótarverndarráðstafanir sem gerðar eru til að vernda persónuupplýsingarnar,
• skyldur þegar um er að ræða aðgang opinberra yfirvalda að gögnum sem eru flutt, t.d. skyldu til að veita gagnaútflytjendum upplýsingar og að vefengja ólögmætar beiðnir.

Gagnaflutningur á grundvelli undanþágna

Fyrir utan ákvarðanir um fullnægjandi vernd og grein. 46 GDPR flytja verkfæri, GDPR inniheldur þriðja leið sem gerir kleift að flytja persónuupplýsingar við ákveðnar aðstæður. Með sérstökum skilyrðum getur þú samt sem áður flutt persónuupplýsingar á grundvelli undanþágu sem talin er upp í 49. gr. GDPR.

Gr. 49 GDPR hefur óvenjulegt eðli. Túlka ber undanþágurnar á þann hátt sem stangast ekki á við eðli undanþágna frá þeirri reglu að ekki megi flytja persónuupplýsingar til lands utan EES nema það land kveði á um fullnægjandi gagnavernd eða, að öðrum kosti, viðeigandi verndarráðstafanir séu gerðar. Undanþágur geta ekki orðið "reglan" í raun en þær þurfa að takmarkast við sérstakar aðstæður.

Á grundvelli 49. gr. GDPR er heimilt að millifæra eða röð millifærslna ef tilfærslan er:

• gerðar með ótvíræðu samþykki einstaklingsins,
• nauðsynlegur vegna framkvæmdar samnings milli einstaklingsins og stofnunarinnar eða vegna ráðstafana áður en samningur er gerður, að beiðni einstaklingsins,
• nauðsynlegur vegna framkvæmdar samnings sem gerður er í þágu einstaklingsins milli ábyrgðaraðila gagna og annars aðila,
• nauðsynlegur vegna mikilvægra almannahagsmuna,
• nauðsynlegur til að stofna, hafa uppi eða verja réttarkröfur,
• nauðsynlegur til að vernda brýna hagsmuni viðkomandi einstaklings eða annarra einstaklinga ef einstaklingurinn er líkamlega eða lagalega ófær um að veita samþykki, eða
• gerð úr skrá sem samkvæmt landslögum EES-ríkis eða lögum ESB er ætlað að veita almenningi upplýsingar (sem annaðhvort er opin almenningi eða þeim sem geta sýnt fram á lögmæta hagsmuni af því að skoða skrána).

Nota verður tiltekið „nauðsynlegt próf“til að meta nauðsyn tilfærslunnar. Þetta próf krefst mats á því hvort flutningur persónuupplýsinga geti talist nauðsynlegur í þeim sérstaka tilgangi sem um ræðir.

Þegar engar framangreindra undanþágna eiga við um tilteknar aðstæður er hægt að flytja gögn í þágu mikilvægra lögmætra hagsmuna ábyrgðaraðila gagna.

Slíkar tilfærslur eru þó einungis leyfðar ef tilfærslan:

• eru ekki endurteknar (svipaðar yfirfærslur eru ekki gerðar reglulega),
• felur í sér gögn sem tengjast aðeins takmörkuðum fjölda einstaklinga;
• er nauðsynlegur vegna mikilvægra lögmætra hagsmuna stofnunarinnar (að því tilskildu að hagsmunir einstaklingsins bregðist ekki gegn slíkum hagsmunum),
• séu gerðar með fyrirvara um viðeigandi verndarráðstafanir sem fyrirtækið gerir (í ljósi mats á öllum aðstæðum er varða miðlunina) til að vernda persónuupplýsingarnar, og
• er ekki gert af opinberu yfirvaldi við beitingu opinberra valdheimilda sinna.

Í slíkum tilvikum er fyrirtækjum/stofnunum skylt að upplýsa viðkomandi persónuverndaryfirvöld um flutninginn og veita einstaklingum viðbótarupplýsingar.

Almennt ætti aðeins að nota undanþágur sem síðasta úrræði við gerð gagnaflutnings — fyrirtæki ættu fyrst að meta hvort ekki sé unnt að beita ákvörðun um fullnægjandi vernd eða viðeigandi verndarráðstafanir.

Þegar þú treystir á gr. 49 GDPR undanþágur verður þú að hafa í huga að stofnanir sem flytja gögn verða einnig að vera í samræmi við önnur ákvæði GDPR (hafa lagagrundvöll fyrir miðlun gagna, framkvæma öryggisráðstafanir, lágmörkun gagna, undirrita samning ef viðtakandi er gagnavinnsluaðili osfrv.).