Á þessari síðu
Miðlun persónuupplýsinga úr landi
Miðlun persónuupplýsinga til landa utan Evrópska efnahagssvæðisins (EES) er oft nauðsynleg í alþjóðaviðskiptum eða samvinnu. Fyrirtækið þitt gæti þurft að flytja persónuupplýsingar til lands utan EES vegna starfsemi sinnar, til dæmis þegar þörf er á að deila persónuupplýsingum með viðskiptafélögum þínum eða birgjum sem eru með aðsetur utan EES.
Í persónuverndarreglugerðinni eru sérstök ákvæði um slíka miðlun. Markmiðið með þeim er að tryggja persónuupplýsingunum sem eru fluttar sömu vernd og þær njóta innan EES.
Hvenær eru persónuupplýsingar fluttar út fyrir EES?
Skilgreiningu á slíkri miðlun er ekki að finna í persónuverndarreglugerðinni. Evrópska persónuverndarráðið hefur hins vegar tilgreint eftirfarandi þrjú viðmið sem öll þarf að uppfylla til að vera skilgreind sem miðlun út fyrir EES:
- persónuverndarreglugerðin gildir um tiltekna vinnslu ábyrgðaraðila eða vinnsluaðila,
- ábyrgðaraðili eða vinnsluaðili sendir eða gerir með öðrum hætti persónuupplýsingar aðgengilegar öðrum aðila (ábyrgðaraðila eða vinnsluaðila),
- viðtakandinn, eða sá sem fær aðgang að persónuupplýsingunum, er í landi utan EES eða er alþjóðastofnun.
Hvernig á að flytja persónuupplýsingar út fyrir EES?
Í stuttu máli setur persónuverndarreglugerðin takmarkanir á flutning persónuupplýsinga út fyrir EES-svæðið, þ.e.til þriðja lands eða alþjóðastofnunar, til að tryggja sömu vernd persónuupplýsinga einstaklinga innan og utan EES.
Persónuupplýsingar má aðeins flytja utan EES að uppfylltum skilyrðum fyrir slíkum flutningi sem mælt er fyrir um í V. kafla persónuverndarreglugerðarinnar.
Uppfylla verður skilyrði fyrir miðlun til viðbótar við skilyrði annarra reglna persónuverndarreglugerðarinnar. Þessi skilyrði eru viðbótarkrafa við grundvallarreglur um vinnslu persónuupplýsinga sem einnig þarf að virða í tengslum við alþjóðlega miðlun. Þegar þú flytur persónuupplýsingar þarftu engu að síður að ganga úr skugga um að þú hafir viðeigandi vinnsluheimild, að nauðsynlegar öryggisráðstafanir séu gerðar, að þú vinnir aðeins þær persónuupplýsingar sem nauðsynlegar eru fyrir þessa tilteknu vinnslu (meginregla um lágmörkun gagna) o.s.frv. Ef viðtakandi persónuupplýsinganna er vinnsluaðili er þér jafnframt skylt samkvæmt lögum að gera vinnslusamning líkt og þú myndir gera fyrir vinnsluaðila innan EES.
Samkvæmt persónuverndarreglugerðinni eru, að jafnaði, tvær meginleiðir til að flytja persónuupplýsingar til landa utan EES eða alþjóðastofnunar. Flutningur getur annars vegar átt sér stað á grundvelli jafngildisákvörðunar – en liggi slík ákvörðun ekki fyrir: á grundvelli viðeigandi öryggisráðstafana, sem innihalda réttarúrræði einstaklinga. Ef hvorki er byggt á jafngildisákvörðun eða viðeigandi verndarráðstöfunum veitir persónuverndarreglugerðin undanþágur við tilteknar aðstæður.
Frekari upplýsingar um mismunandi valkosti er að finna hér að neðan.
Flutningur persónuupplýsinga á grundvelli jafngildisákvörðunar
Framkvæmdastjórn Evrópusambandsins getur samþykkt sérstakar jafngildisákvarðanir sem staðfestir formlega og með bindandi hætti gagnvart EES-löndum að persónuvernd í landi utan EES eða í alþjóðastofnun sé í grundvallaratriðum jafngild þeirri á Evrópska efnahagssvæðinu.
Við mat á jafngildingunni skoðar framkvæmdastjórn Evrópusambandsins þætti á borð við réttarríkið, virðingu fyrir mannréttindum og frelsi, og hvort réttindi skráðra einstaklinga séu skilvirk, raunhæf og hvort hægt sé að framfylgja þeim. Einnig hvort að í umræddu landi utan EES starfi óháð persónuverndarstofnun auk þeirra alþjóðlegu skuldbindinga sem ríkið eða alþjóðastofnunin hefur gengist undir.
Ef framkvæmdastjórn Evrópusambandsins telur að landið bjóði upp á fullnægjandi vernd og jafngildisákvörðun er tekin, er hægt að flytja persónuupplýsingar til annars fyrirtækis eða stofnunar í því landi utan EES án þess að aðilanum sem flytur gögnin, sé skylt að setja frekari verndarráðstafanir eða uppfylla frekari viðbótarskilyrði sem tengjast alþjóðlegri miðlun. Með öðrum orðum verður flutningurinn til lands utan EES sem hlotið hefur jafngildisákvörðun sambærilegur við flutning persónuupplýsinga innan EES. Fyrirtæki þitt verður engu að síður að uppfylla skilyrði meginreglna persónuverndarreglugerðarinnar, eins og útskýrt er hér að ofan.
Jafngildisákvarðanir geta tekið til heils lands eða takmarkast við hluta þess (þ.e. svæði). Jafngildisákvörðun getur tekið til miðlunar hvers konar persónuupplýsinga til lands eða takmarkast við sumar tegundir miðlana (t.d. í einum geira).
Fram til þessa hefur framkvæmdastjórn Evrópusambandsins samþykkt jafngildisákvarðanir fyrir:
- Andorra,
- Argentína,
- Kanada (samtök í atvinnurekstri),
- Færeyjar,
- Guernsey,
- Ísrael,
- Mön,
- Japan,
- Jersey,
- Nýja-Sjáland,
- Suður-Kóreu,
- Sviss,
- Bretland,
- Bandaríkin (viðskiptafyrirtæki sem taka þátt í rammasamningnum um friðhelgi einkalífs milli ESB og Bandaríkjanna),
- Úrúgvæ.
Framkvæmdastjórn Evrópusambandsins birtir lista yfir jafngildisákvarðanir sínar á vefsvæði hennar.
Flutningsaðilar persónuupplýsinga bera ábyrgð á því að fylgjast með því hvort jafngildisákvarðanir, sem varða flutning þeirra, séu enn í gildi og ekki í afturköllunar- eða ógildingarferli.
Það athugist að jafngildisákvarðanir koma ekki í veg fyrir að einstaklingar leggi fram kvörtun. Þær koma heldur ekki í veg fyrir að persónuverndarstofnanir beiti valdheimildum sínum samkvæmt persónuverndarreglugerðinni.
Flutningur persónuupplýsinga á grundvelli viðeigandi öryggisráðstafana
Þegar jafngildisákvörðun liggur ekki fyrir geta fyrirtæki flutt persónuupplýsingar á grundvelli viðeigandi verndarráðstafana þar sem hægt er að koma þeim við gagnvart fyrirtækinu sem tekur við persónuupplýsingunum. Að auki verða einstaklingar að geta neytt réttar síns og haft skilvirk lagaleg úrræði til reiðu.
Í 46. grein persónuverndarreglugerðarinnar er að finna lista flutningsverkfæra sem fela í sér viðeigandi öryggisráðstafanir sem þú gætir notað til að flytja persónuupplýsingar til landa utan EES þegar jafngildisákvörðun er ekki fyrir hendi. Helstu verkfæri samkvæmt 46. gr. reglugerðarinnar, sem tengjast fyrirtækjum, eru:
- Stöðluð ákvæði um persónuvernd,
- bindandi fyrirtækjareglur,
- hátternisreglur,
- vottun,
- sérstök samningsákvæði.
Stöðluð ákvæði um persónuvernd
Stöðluð ákvæði um persónuvernd eru safn staðlaðra samninga sem gera flutningsaðilum persónuupplýsinga kleift að gera viðeigandi verndarráðstafanir. Um er að ræða verkfæri sem mörg fyrirtæki nota. Framkvæmdastjórn Evrópusambandsins hefur vald til að samþykkja stöðluð samningsákvæði sem viðeigandi verndarráðstöfun fyrir miðlun persónuupplýsinga til landa utan EES, sbr. c-lið 2. mgr. 46. gr. persónuverndarreglugerðarinnar.
Þann 4. júní 2021 samþykkti framkvæmdastjórn Evrópusambandsins skuldbindandi ákvörðun um stöðluð samningsákvæði , samkvæmt persónuverndarreglugerðinni, varðandi miðlun persónuupplýsinga til landa utan EES. Framkvæmdastjórn Evrópusambandsins hefur einnig gefið út stöðluð samningsákvæði á vefsíðu sinni. Sjá nánar um stöðluð samningsákvæði.
Hin stöðluðu samningsákvæði taka mið af á mismunandi aðstæðum og gerðum gagnaflutnings og þeirri flóknu keðju sem fylgir nútímalegri vinnslu persónuupplýsinga. Ábyrgðar- og vinnsluaðilar geta valið úr nokkrum möguleikum, eftir því hvernig flutningnum er háttað, þar á meðal:
- frá ábyrgðaraðila til annars ábyrgðaraðila (C2C),
- frá ábyrgðaraðila til vinnsluaðila (C2P),
- frá vinnsluaðila til annars vinnsluaðila (P2P),
- frá vinnsluaðila til ábyrgðaraðila (P2C), þar sem vinnsluaðilinn er innan EES-svæðisins en ábyrgðaraðilinn er í þriðja landi.
Aðrir mikilvægir þættir staðlaðra samningsákvæða eru m.a.:
- möguleiki á að láta fleiri en tvo aðila gangast undir ákvæðin,
- möguleiki, með nokkrum undantekningum, á að nota stöðluð samningsákvæði þegar persónuupplýsingar eru fluttar til undirvinnsluaðila í landi utan EES,
- möguleiki, með nokkrum undantekningum, fyrir einstaklinga, sem þriðji aðili, að krefjast réttinda samkvæmt ákvæðunum,
- reglur um ábyrgð milli aðila ef brotið á réttindum einstaklinga,
- einstaklingar eiga rétt á bótum ef brotið er gegn réttindum þeirra sem þriðju aðila og þeir verða fyrir tjóni.,
- skylda til að framkvæma „mat á áhrifum vegna flutnings“ þar sem skjalfestar eru tilteknar aðstæður flutningsins, löggjöf í viðtökulandi og þær viðbótarverndarráðstafanir sem hafa verið gerðar til að vernda persónuupplýsingarnar,
- skyldur sem koma til ef opinber yfirvöld fá aðgang að persónuupplýsingum sem eru fluttar, t.d. skylda til að veita flutningsaðilum upplýsingar og jafnframt véfengja ólögmætar aðgangsbeiðnir.
Frekari upplýsingar
Bindandi fyrirtækjareglur
Bindandi fyrirtækjareglur hjálpa til við að tryggja öryggi persónuupplýsinga þegar þær eru fluttar til innan fyrirtækjasamstæðu sem staðsett er bæði innan og utan EES. Þessar reglur henta einkum fyrir fjölþjóðleg fyrirtæki sem stunda umfangsmikinn og reglubundinn flutning persónuupplýsinga á milli landa.
Bindandi fyrirtækjareglur eru innri reglur samþykktar af fyrirtækjasamstæðu sem kveða á um heildarstefnu um flutning persónuupplýsinga. Þessar reglur verða að vera bindandi og virtar af öllum aðilum innan samstæðunnar, óháð í hvaða löndum þau starfa. Auk þess verða þær að veita einstaklingum skýr og lögvarin réttindi í tengslum við vinnslu persónuupplýsinga þeirra.
Skilyrðin sem þarf að uppfylla til að fá bindandi fyrirtækjareglur samþykktar af viðkomandi persónuverndaryfirvöldum eru tilgreind í 47. gr. persónuverndarreglugerðarinnar og útskýrð nánar í tilmælum sem voru samþykkt af vinnuhópi um 29. gr. persónuverndarreglugerðarinnar og samþykkt af Evrópska persónuverndarráðinu. Mismunandi reglur gilda fyrir ábyrgðaraðila annars vegar og vinnsluaðila hins vegar.
Frekari upplýsingar
Hátternisreglur
Persónuverndarreglugerðin innleiddi nýtt verkfæri sem ætlað er að stjórna og tryggja öruggan flutning persónuupplýsinga.
Ólíkt bindandi fyrirtækjareglum, sem einstakar fyrirtækjasamstæður geta útbúið sjálfar, ná hátternisreglurnar yfir tilteknar atvinnugreinar og eru þróaðar af samtökum sem koma fram fyrir hönd hópa fyrirtækja. Koma verður á kerfi faggiltra aðila sem hafa eftirlit með því að hátternisreglurnar séu virtar. Evrópska persónuverndarráðið hefur átt frumkvæði að því að skýra við hvaða aðstæður má nota hátternisreglur og hvaða skilyrði þarf að uppfylla til að þær fáist samþykktar af viðeigandi persónuverndarstofnunum. Auk þess sér Evrópska persónuverndarráðið einnig um að tryggja samræmi milli skilyrða fyrir faggildingu eftirlitsaðila.
Vottun
Persónuverndarreglugeðin innleiddi nýtt verkfæri til flutnings persónuupplýsinga sem hægt er að nýta ef stofnun hefur fengið vottun frá viðurkenndum vottunaraðila eða persónuverndaryfirvöldum á EES. Evrópska persónuverndarráðið hefur gefið út leiðbeiningar sem útskýra hvernig má koma á vottunarkerfi. Þessi lausn er enn í mótun. Evrópska persónuverndarráðið sér jafnframt til þess að samræmi ríki um skilyrðin fyrir viðurkenningu vottunaraðila.
Sérstök samningsákvæði
Ef ábyrgðaraðilar eða vinnsluaðilar ákveða að nota ekki stöðluð samningsákvæði framkvæmdastjórnar Evrópusambandsins geta þeir samið eigin samningsákvæði („sérsniðin“ ákvæði) sem veita fullnægjandi verndarráðstafanir fyrir vinnslu persónuupplýsinga. Áður en flutningur persónuupplýsinganna fer fram verður persónuverndarstofnun viðkomandi ríkis að samþykkja slík sérstök samningsákvæði í samræmi við a-lið 3. mgr. 46. gr. persónuverndarreglugerðarinnar, að fengnu áliti Evrópska persónuverndarráðsins.
Viðbótarráðstafanir eftir Schrems II dóm
Í dómi sínum frá árinu 2020 í máli C-311/18 (Schrems II) benti Evrópudómstóllinn á að fyrirtæki gætu þurft að bæta við viðbótaröryggisráðstöfunum þegar þau flytja persónuupplýsingar út fyrir EES.
Þá lýsti Evrópudómstóllinn því yfir að mikilvægt væri að taka tillit til samhengis ákvæðanna við landslög viðtökulandsins. Ábyrgðaraðilar eða vinnsluaðilar, sem koma fram sem flutningsaðilar persónuupplýsinga, beri þannig ábyrgð á því að meta í hverju tilviki fyrir sig hvort lög eða framkvæmd í viðkomandi ríki utan EES hafi áhrif, til dæmis vegna laga sem veita aðgang að gögnum, á virkni þeirra viðeigandi verndarráðstafana sem felast í flutningsúrræðum 46. gr. persónuverndarreglugerðarinnar.
Evrópska persónuverndarráðið hefur gefið út tilmæli til að hjálpa fyrirtækjum sem flytja út persónuupplýsingar við að meta löndin sem taka á móti gögnunum og finna viðeigandi öryggisráðstafanir ef þeirra er þörf.
Flutningur persónuupplýsinga á grundvelli undanþága
Auk jafngildisákvarðana og þau verkfæri sem er að finna í 46. gr. persónuverndarreglugerðarinnar býður reglugerðin einnig upp á þriðja möguleikann fyrir flutning persónuupplýsinga við ákveðnar aðstæður. Að uppfylltum sérstökum skilyrðum getur enn verið heimilt að flytja persónuupplýsingar á grundvelli undanþágu sem fram kemur í 49. gr. persónuverndarreglugerðarinnar.
49. greinin er óvenjulegs eðlis. Skýra ber undanþágurnar með þeim hætti að það stangist ekki á við meginregluna um að persónuupplýsingar megi ekki flytja til ríkis utan EES nema það ríki tryggi fullnægjandi persónuvernd eða viðeigandi verndarráðstafanir séu tryggðar. Undanþágurnar mega ekki verða að „reglunni“ í framkvæmd, heldur verða þær að takmarkast við tilteknar aðstæður.
Á grundvelli 49. gr. persónuverndarreglugerðarinnar má flytja persónuupplýsingar, hvort sem um er að ræða einn flutning eða röð flutninga, ef flutningurinn uppfyllir eitt af eftirfarandi skilyrðum:
- ef flutningur fer fram með ótvíræðu samþykki hins skráða einstaklings,
- ef flutningurinn er nauðsynlegur til að efna samning milli einstaklingsins og fyrirtækisins eða vegna ráðstafana áður en samningur er gerður, að beiðni einstaklingsins,
- ef flutningurinn er nauðsynlegur vegna samnings sem gerður er í þágu einstaklingsins milli ábyrgðaraðila og þriðja aðila,
- ef flutningurinn er nauðsynlegur vegna mikilvægra almannahagsmuna,
- ef flutningurinn er nauðsynlegur til að stofna, hafa uppi eða verja réttarkröfur,
- ef flutningurinn er nauðsynlegur til að vernda brýna hagsmuni viðkomandi einstaklings eða annarra einstaklinga ef einstaklingurinn er líkamlega eða lagalega ófær um að veita samþykki, eða
- flutningur persónuupplýsinga er framkvæmdur úr skrá sem samkvæmt landslögum EES-ríkis eða samkvæmt Evrópurétti er ætluð til að veita almenningi upplýsingar, og sem er opin annaðhvort almenningi í heild eða þeim sem geta sýnt fram á lögmæta hagsmuni af því að skoða skrána.
Ákveðið „nauðsynjamat“ þarf að fara fram til að meta hvort flutningur persónuupplýsinganna sé nauðsynlegur. Þetta mat felur í sér að ákveða hvort flutningurinn teljist nauðsynlegur miðað við tilgang viðkomandi undanþágu.
Ef engin af framangreindum undanþágum á við um tilteknar aðstæður getur verið heimilt að flytja persónuupplýsingar á grundvelli mikilvægra lögmætra hagsmuna ábyrgðaraðila.
Slíkur flutningur er þó einungis leyfður ef:
- hann er ekki endurtekinn (þ.e. svipaðir flutningar eiga sér ekki stað reglulega),
- hann varðar aðeins takmarkaðan fjölda einstaklinga,
- hann er nauðsynlegur vegna mikilvægra lögmætra hagsmuna ábyrgðaraðilans (að því gefnu að slíkir hagsmunir víki ekki fyrir hagsmunum eða réttindum einstaklingsins),
- viðeigandi verndarráðstafanir hafa verið gerðar til að tryggja öryggi persónuupplýsinganna, með tilliti til mats á aðstæðum við flutninginn
- hann fer ekki fram af hálfu opinberrar stofnunar við framkvæmd opinbers valds.
Í slíkum tilvikum ber fyrirtækjum að tilkynna persónuverndarstofnun um flutninginn og veita viðkomandi einstaklingum viðbótarupplýsingar.
Almennt ætti aðeins að nota undanþágur sem síðasta úrræði við flutning persónuupplýsinga — fyrirtæki ættu fyrst að meta hvort ekki sé unnt að beita jafngildisákvörðun eða viðeigandi verndarráðstöfunum.
Þegar flutningurinn byggir á undanþágum samkvæmt 49. gr. persónuverndarreglugerðarinnar verður vinnslan einnig að uppfylla önnur ákvæði reglugerðarinnar, t.d. að byggja á lögmætri vinnsluheimild, gera viðeigandi öryggisráðstafanir, tryggja lágmörkun gagna og undirrita vinnslusamning ef viðtakandi er vinnsluaðili o.s.frv.