Persónuverndarstofnunin og þú
Samkvæmt persónuverndarreglugerðinni er eftirlit á ábyrgð innlendra persónuverndarstofnana. Sérhvert ríki innan EES hefur sína eigin sjálfstæðu persónuverndarstofnun sem hefur eftirlit með beitingu persónuverndarreglugerðarinnar, þ.m.t. meðferð kvartana. Vegna vinnslu persónuupplýsinga sem fer fram í fleiri en einu EES-landi er kveðið á um í persónuverndarreglugerðinni um samstarfskerfi milli þar til bærra persónuverndaryfirvalda sem starfa saman til að ná samstöðu. Yfirlit yfir persónuverndarstofnanirnar.
Persónuverndarreglugerðin veitir einstaklingum ákveðin réttindi, þ.m.t. rétt til að leggja fram kvörtun hjá lögbæru yfirvaldi þegar þeir óttast að brotið hafi verið gegn persónuvernd þeirra.
Verkefni og valdheimildir persónuverndaryfirvalda
Verkefni persónuverndaryfirvalda
Hver persónuverndarstofnun á EES-svæðinu ber ábyrgð á að sinna eftirliti og framfylgja ákvæðum persónuverndarreglugerðarinnar og stuðla að vitund og skilningi almennings á áhættu, reglum, öryggisráðstöfunum og réttindum í tengslum við vinnslu persónuupplýsinga. Persónuverndarstofnanirnar hafa einnig þau verkefni að veita þjóðþingi, stjórnvöldum og öðrum stofnunum og aðilum ráðgjöf og veita hverjum einstaklingi upplýsingar um nýtingu réttinda sinna. Persónuverndarstofnanir stuðla einnig að vitund ábyrgðar- og vinnsluaðila um skyldur sínar samkvæmt persónuverndarreglugerðinni. Persónuverndarstofnanir afgreiða kvartanir frá einstaklingum, rannsaka i beitingu persónuverndarreglugerðarinnar og vinna með öðrum persónuverndarstofnunum að beitingu reglugerðarinnar. Eftirlitsyfirvaldið ber einnig ábyrgð á að:
- samþykkja og heimila föst samningsákvæði,
- samþykkja bindandi fyrirtækjareglur,
- samþykkja siðareglur,
- hvetja til þess að komið sé á vottunarfyrirkomulagi vegna persónuverndar,
- stuðla að starfsemi Evrópska persónuverndarráðsins,
- sinna öðrum verkefnum sem tengjast vernd persónuupplýsinga.
Valdheimildir persónuverndarstofnana
Með tilkomu persónuverndarreglugerðarinnar jukust heimildir persónuverndarstofnana til að sinna eftirliti töluvert. Í 58. gr. persónuverndarreglugerðarinnar er valdsvið hvers af þessum yfirvöldum skilgreint með því að skipta þeim sérstaklega í þrjá meginhópa. Stofnanir með
- heimildir til rannsókna,
- heimildir til að gefa fyrirmæli um ráðstafanir til úrbóta,
- heimildir til ráðgjafar.
Valdheimildir til rannsókna
Persónuverndarstofnanir beita rannsóknarheimildum sínum til að ákvarða hvort um brot sé að ræða á persónuverndarreglugerðinni, nákvæmt gildissvið hennar og eðli. Meðal annars geta persónuverndaryfirvöld:
- Fyrirskipað að fyrirtæki veiti allar upplýsingar sem tengjast rannsókninni,
- Framkvæmt rannsóknir í formi úttekta á persónuvernd og tilkynnt fyrirtæki um meint brot á persónuverndarreglugerðinni.
- Fengið aðgang að öllum persónuupplýsingum í vörslu fyrirtækis og öllum upplýsingum sem nauðsynlegar eru til að sinna verkefnum þess, þ.m.t. aðgang að húsnæði fyrirtækisins, þ.m.t. að hvers konar vinnslubúnaði og -úrræðum, í samræmi við löggjöf ESB og innlend réttarfarslög.
- Framkvæmt endurskoðun á vottorðum sem gefin eru út skv. 7. mgr. 42. gr. persónuverndarreglugerðarinnar.
Valdheimildir til að gefa fyrirmæli um ráðstafanir til úrbóta
Þegar brot á ákvæðum persónuverndarreglugerðarinnar hefur verið staðfest í kjölfar rannsóknar, eða talið er að vinnsluaðgerð feli í sér áhættu eða uppfylli ekki sérstakar kröfur, hafa persónuverndarstofnanir rétt til að beita einni eða fleiri af valdheimildum sínum til að gefa fyrirmæli um ráðstafanir til úrbóta, t.d.:
- Viðvörun eða bann við vinnslu: ef um er að ræða fyrirliggjandi áhættu gætu persónuverndaryfirvöld gefið út viðvaranir til fyrirtækja til að koma í veg fyrir að vinnsluaðgerðir þeirra brjóti í bága við ákvæði persónuverndarreglugerðarinnar. Persónuverndaryfirvöld geta einnig fyrirskipað tímabundna eða varanlega takmörkun, þ.m.t. bann við vinnslu fyrirtækja, sem og fyrirskipað þeim að tilkynna viðkomandi einstaklingum um öryggisbrest.
- Fyrirmæli um reglufylgni: til að tryggja að farið sé að persónuverndarreglugerðinni eða til að meðhöndla tilvik þar sem tiltekin skilyrði eru ekki uppfyllt hafa persónuverndaryfirvöld vald til að fyrirskipa fyrirtækjum að verða við beiðnum einstaklinga um að neyta réttar síns samkvæmt persónuverndarreglugerðinni. Þar sem við á er hægt að fyrirskipa að viðeigandi fyrirtæki færi vinnslu sína til samræmis við persónuverndarreglugerðina með tilgreindum hætti og innan tiltekins tíma.
- Stöðvun gagnaflæðis eða afturköllun vottunar: auk þess gætu persónuverndaryfirvöld einnig beitt heimildum sínum til að stöðva tímabundið gagnaflæði til viðtakenda í þriðju löndum eða til alþjóðastofnana. Ennfremur gætu þeir afturkallað vottun eða fyrirskipað vottunaraðila að afturkalla útgefið vottorð í samræmi við 42. og 43. gr. persónuverndarreglugerðarinnar. Í tilvikum þar sem vottunarkröfur eru ekki uppfylltar eða ekki lengur uppfylltar: að fyrirskipa að vottunaraðilinn gefi ekki út vottun.
- Áminningar: ef um er að ræða staðfest brot geta persónuverndaryfirvöld veitt fyrirtækjum áminningu.
- Stjórnsýslusektir: Persónuverndarstofnanir geta einnig lagt á stjórnvaldssektir sem skilgreindar eru í samræmi við 83. gr. persónuverndarreglugerðarinnar, til viðbótar við eða í stað annarra ráðstafana sem taldar eru upp hér að framan. Fyrirkomulag viðurlaga krefst mats í hverju tilviki fyrir sig á aðstæðum hvers einstaks brots. Í matinu ætti að taka tillit til þátta á borð við eðli, alvarleika og tímalengd brotsins, hvort um er að ræða ásetning eða gáleysi, hvers konar ráðstafanir sem kunna að hafa verið framkvæmdar til að draga úr skaða, tæknilegra og skipulagslegra ráðstafana (þ.e. öryggis) sem hafa verið framkvæmdar og hvernig persónuverndarstofnun fékk vitneskju um málið.
Hámark mögulegra sekta fer eftir tegund brotsins:
- hún getur að hámarki náð 10 milljónum evra eða 2% af heildarveltu á heimsvísu á næstliðnu fjárhagsári (t.d. vegna brots á „innbyggðri og sjálfgefinni persónuvernd“, ef ekki er staðið við þá skyldu að gera vinnslusamning, ef mat á áhrifum á persónuvernd er vanrækt eða ef persónuverndarfulltrúi er ekki tilnefndur) skv. 4. mgr. 83. gr. í persónuverndarreglugerðinni, eða
- hún getur að hámarki náð 20 milljónum evra eða 4 % af heildarveltu á heimsvísu á næstliðnu fjárhagsári (t.d. vegna brota á grundvallarreglum um vinnslu, vinnslu persónuupplýsinga með ólögmætum hætti án lagagrundvallar eða vegna brota á réttindum skráðra einstaklinga) skv. 5. mgr. 83. gr. persónuverndarreglugerðarinnar.
Þú getur fundið frekari upplýsingar um stjórnvaldssektir sem tengjast brotum á ýmsum greinum persónuverndarreglugerðarinnar í 83. gr. hennar og í leiðbeiningum Evrópska persónuverndarráðsins um útreikning stjórnvaldssekta samkvæmt persónuverndarreglugerðinni.
Ráðgjafarheimildir
Hver persónuverndarstofnun hefur tiltekið leyfisveitinga- og ráðgjafarhlutverk samkvæmt persónuverndarreglugerðinni, þar sem þær geta veitt fyrirtækjum stuðning og/eða heimilað sérstaka vinnslustarfsemi. Nokkur dæmi um það eru:
- Fyrirframsamráð: Persónuverndarstofnun ráðleggur ábyrgðaraðila í samræmi við fyrirframsamráðsferlið skv. 36. gr. persónuverndarreglugerðarinnar.
- Álit um lagasetningarstarf: Persónuverndarstofnun gefur, annaðhvort að eigin frumkvæði eða samkvæmt beiðni, álit til þjóðþings síns, stjórnvalda eða, í samræmi við landslög, til annarra stofnana og aðila og almennings um hvers kyns málefni sem tengjast vernd persónuupplýsinga.
- Hátternisreglur og vottun: Persónuverndarstofnun samþykkir drög að hátternisreglum, vottunaraðila eða gefur út vottorð og samþykkir viðmiðanir um vottun.
Beiting framangreindra valdheimilda persónuverndarstofnana er með fyrirvara um viðeigandi verndarráðstafanir, þ.m.t. skilvirk réttarúrræði og tilhlýðilega málsmeðferð, eins og sett er fram í lögum ESB og landslögum í samræmi við sáttmála ESB um grundvallarréttindi. Sérhver persónuverndarstofnun hefur vald til að vekja athygli dómstóla á brotum gegn persónuverndarreglugerðinni og, eftir því sem við á, til að hefja eða taka þátt í málarekstri með öðrum hætti til að framfylgja ákvæðum persónuverndarreglugerðarinnar. Heimilt er að veita persónuverndarstofnunum viðbótarheimildir samkvæmt landslögum.
Samstarf og „afgreiðsla á einum stað“
Persónuverndarreglugerðin gildir á öllu EES-svæðinu með notkun sömu reglna fyrir öll löndin. Þessi nálgun styður alþjóðleg fyrirtæki en einnig lítil og meðalstór fyrirtæki í viðleitni þeirra til að þróa og vaxa með því að bjóða þjónustu sína í fleiri en einu EES-ríki.
Til að draga úr stjórnsýslulegri byrði við vinnslu persónuupplýsinga í tveimur eða fleiri EES-ríkjum kveður persónuverndarreglugerðin á um kerfi fyrir samvinnu milli persónuverndarstofnana — svokallað „afgreiðsla á einum stað“-kerfi, til að ná samstöðu milli hinna fjölmörgu persónuverndarstofnana.
Þegar fyrirtæki vinnur persónuupplýsingar í tveimur eða fleiri EES-ríkjum skal ábyrgðaraðilinn snúa sér að þeirri persónuverndarstofnun sem staðsett er í sama landi og ábyrgðaraðilinn hefur höfuðstöðvar sínar og er lögbært til að taka við kvörtun eða tilkynningu um öryggisbrest. Þetta auðveldar hlutina fyrir ábyrgðaraðila þar sem hann þarf ekki að fara að ólíkum lögum í hverju landi sem hann starfa í. Að auki þarf hann aðeins að hafa samskipti við eina persónuverndarstofnun. Það fer eftir hvernig fyrirtæki þitt er og hvaða vörur og þjónustu þú býður upp á, en vinnsla yfir landamæri gæti hvort heldur átt við um lítið eða meðalstórt fyrirtæki. Mörg minni fyrirtæki, svo sem netverslanir, vefsíður sem bjóða upp á rafræn viðskipti ogfyrirtæki sem framleiða farsíma- og tölvuforrit bjóða upp á þjónustu í mörgum löndum.
Ef fyrirtækið þitt vinnur persónuupplýsingar einstaklinga í mismunandi EES-löndum er þér skylt að ákvarða hvert er lögbært persónuverndaryfirvald eða forystueftirlitsyfirvaldið. Þetta er venjulega persónuverndarstofnunin sem er staðsett í EES-landinu þar sem höfuðstöðvar fyrirtækisins eru og þar sem ákvarðanir varðandi tilgang og aðferðir við vinnslu persónuupplýsinga eru teknar.
Dæmi:
- Söluaðilar sem selja föt í gegnum vefverslun á netinu til viðskiptavina í nokkrum EES-löndum, geta og vinna oft meðpersónuupplýsingar. Í slíku tilviki, sem nær yfir landamæri, verður lögbært yfirvald að vera í því landi þar sem smásalinn hefur höfuðstöðvar sínar („aðalstarfsstöð“).
Þegar þú hefur ákveðið hvaða persónuverndarstofnun hefur hlutverk forystueftirlitsyfirvaldsins þarftu eingöngu að hafa samskipti við hana. Forystueftirlitsyfirvaldið á í samvinnu við og ræðir við aðrar viðkomandi persónuverndarstofnanir á EES-svæðinu.
Ef meðhöndlun kvörtunar kallar á samvinnu persónuverndarstofnana yfir landamæri, skal grípa til eftirfarandi samstarfsráðstafana:
- Ef önnur persónuverndarstofnunin móttekur kvörtunina ber henni skylda til að upplýsa forystueftirlitsyfirvaldið um málið,
- Viðkomandi persónuverndarstofnun getur tekið þátt í að semja úrskurð um kvörtunina,
- Meðan á undirbúningi úrskurðar stendur verður forystueftirlitsyfirvaldið að taka tillit til afstöðu viðkomandi persónuverndarstofnunar.
Ákvörðun um hvert forystueftirlitsyfirvaldið er
Lykilhugtök
Vinnsla persónuupplýsinga yfir landamæri
Aðeins þau fyrirtæki sem vinna persónuupplýsingar þvert á landamæri þurfa að ákvarða hvert sé forystueftirlitsyfirvaldið samkvæmt persónuverndarreglugerðinni.
Í persónuverndarreglugerðinni er „vinnsla yfir landamæri“ skilgreind sem annaðhvort:
- vinnsla persónuupplýsinga sem fer fram í fleiri en einu EES-landi þar sem ábyrgðaraðili eða vinnsluaðili hefur staðfestu í fleiri en einu EES-landi, eða
- vinnsla persónuupplýsinga sem fer fram í einni starfsstöð ábyrgðaraðila á Evrópska efnahagssvæðinu og hefur veruleg áhrif á eða líklegt er að hafi veruleg áhrif á einstaklinga í fleiri en einu EES-landi.
Frekari upplýsingar
Dæmi
- Þetta þýðir að þegar starfsstöðvar fyrirtækis eru í Þýskalandi og Króatíu, svo dæmi sé tekið, og vinnsla persónuupplýsinga fer fram í tengslum við starfsemi þess, telst það vinnsla yfir landamæri.
- Einnig getur verið um það að ræða að fyrirtækið er aðeins með starfsstöð í Þýskalandi. Ef vinnslan hefur veruleg áhrif á einstaklinga í Þýskalandi og Króatíu, eða er líkleg til að hafa veruleg áhrif á þá, mun það þó einnig teljast vinnsla yfir landamæri.
Útskýring á „verulegum áhrifum“
Það að fyrirtæki vinni úr miklu magni — jafnvel mjög miklu — af persónuupplýsingum einstaklinga í nokkrum EES-löndum þýðir ekki endilega að vinnslan hafi eða sé líkleg til að hafa veruleg áhrif. Vinnsla sem hefur lítil eða engin áhrif felur ekki í sér vinnslu yfir landamæri, óháð því hversu marga einstaklinga hún hefur áhrif á.
Persónuverndaryfirvöld munu meta „veruleg áhrif“ í hverju tilviki fyrir sig. Þau munu taka tillit til samhengis vinnslunnar, tegundar gagna, tilgangs vinnslunnar og þátta svo sem hvort vinnslan:
- veldur eða er líkleg til að valda einstaklingum skaða, missi eða vanlíðan,
- hefur eða er líkleg til að hafa raunveruleg áhrif að því leyti að takmarka réttindi einstaklinga eða neita um tækifæri,
- hefur áhrif á eða er líkleg til að hafa áhrif á heilsu, vellíðan eða hugarró,
- hefur áhrif á eða er líkleg til að hafa áhrif á fjárhagslega eða efnahagslega stöðu eða aðstæður einstaklinga,
- gerir einstaklinga berskjaldaða fyrir mismunun eða ósanngjarnri meðferð,
- felur í sér greiningu á sérstökum flokkum persónuupplýsinga eða annarra viðkvæmra upplýsinga,
- einkum persónuupplýsinga um börn,
- veldur eða er líkleg til að valda því að einstaklingar breyti hegðun sinni á marktækan hátt,
- hafi ólíklegar, óvæntar eða óæskilegar afleiðingar fyrir einstaklinga,veldur skömm eða öðrum neikvæðum afleiðingum,
- þ.m.t. orðsporsskaða, eða felur í sér vinnslu á mörgum tegundum persónuupplýsinga.
Forystueftirlitsyfirvaldið
Í stuttu máli er „forystueftirlitsyfirvald“ það sem ber meginábyrgð á vinnslu yfir landamæri, t.d. þegar einstaklingur leggur fram kvörtun um vinnslu persónuupplýsinga um sig. Forystueftirlitsyfirvaldið mun samræma rannsókn málsins og vinna með öðrum persónuverndarstofnunum sem hlut eiga að máli. Að bera kennsl á forystueftirlitsyfirvaldið veltur á staðsetningu „aðalstarfsstöðvar“eða „einstakrar starfsstöðvar“ ábyrgðaraðila í ESB.
Ef fyrirtæki er með staðfestu í aðeins einu EES-landi hefur það eina starfsstöð á Evrópska efnahagssvæðinu og persónuverndarstofnun þess lands verða forystueftirlitsyfirvaldið.
Ef fyrirtæki er með staðfestu í fleiri en einu EES-landi er nauðsynlegt að ákvarða hvar höfuðstöðvar þess eru staðsettar, svo hægt sé að ákvarða forystueftirlitsyfirvaldið.
Höfuðstöðvar
Til að ákvarða hvar höfuðstöðvar eru er fyrst nauðsynlegt að tilgreina staðsetningu yfirstjórnar fyrirtækisins á Evrópska efnahagssvæðinu („staðsetning höfuðstöðva yfirstjórnar,“), ef við á. Þetta er staðurinn þar sem ákvarðanir um tilgang og aðferðir við vinnslu persónuupplýsinga eru teknar.
Í þeim tilvikum þar sem ákvarðanir varðandi mismunandi vinnsluaðgerðir yfir landamæri eru teknar af yfirstjórn, er eitt forystueftirlitsyfirvald á Evrópska efnahagssvæðinu vegna mismunandi tegunda vinnslu hins fjölþjóðlegs fyrirtækis. Á hinn bóginn geta komið upp tilvik þar sem starfsstöð, önnur en starfsstöð yfirstjórnar, tekur sjálfstæðar ákvarðanir varðandi tilgang og aðferðir við tiltekna vinnslu. Við þessar aðstæður er mikilvægt fyrir fyrirtæki að greina nákvæmlega hvar ákvarðanir um tilgang og aðferðir við vinnslu eru teknar. Rétt greining á staðsetningu höfuðstöðva er í þágu ábyrgðar- og vinnsluaðila, því það skýrir hvaða persónuverndarstofnun þeim ber að eiga samskipti við til að uppfylla mismunandi skyldur sínar samkvæmt persónuverndarreglugerðinni.
Dæmi
- Höfuðstöðvar fataverslunar (þ.e. „staður yfirstjórnar“) eru í Sofíu í Búlgaríu. Aðrar starfsstöðvar verslunarinnar eru í ýmsum öðrum EES-löndum, sem eru í sambandi við einstaklinga þar. Allar starfsstöðvarnar nota sama hugbúnaðinn til að vinna með persónuupplýsingar viðskiptavina í markaðslegum tilgangi. Allar ákvarðanir um tilgang og aðferðir við vinnslu persónuupplýsinga viðskiptavina í markaðssetningarskyni eru teknar í höfuðstöðvunum í Sofíu. Þetta þýðir að forystueftirlitsyfirvald fyrirtækisins fyrir þessa vinnslu yfir landamæri er búlgarska persónuverndarstofnunin
Fyrirtæki sem ekki hafa staðfestu á Evrópska efnahagssvæðinu
Ef fyrirtæki þitt er ekki með staðfestu innan EES, en fellur undir persónuverndarreglugerðina þar sem það fellur undir landfræðilegt gildissvið persónuverndarreglugerðarinnar, gæti það þurft að tilnefna fulltrúa í einu af EES-löndunum.
Þó er vert að merkja að hafi fyrirtækið ekki starfsstöð á Evrópska efnahagssvæðinu veitir tilnefning fulltrúa í einu EES-landanna fyrirtækinu ekki aðgang að „afgreiðsla-á-einum-stað“-kerfinu. Þetta þýðir að fyrirtæki án starfsstöðvar á Evrópska efnahagssvæðinu verða að fást við staðbundnar persónuverndarstofnanir í hverju og einu EES-landi sem þau starfa í, fyrir milligöngu fulltrúa sinna.
Hlutverk Evrópska persónuverndarráðsins
Evrópska persónuverndarráðið er sjálfstæð evrópsk stofnun með réttarstöðu lögaðila sem stuðlar að samræmdri beitingu reglna um persónuvernd innan EES og stuðlar að samstarfi milli persónuverndaryfirvalda EES. Evrópska persónuverndarráðið samanstendur af stjórnendum persónuverndarstofnana og Evrópsku persónuverndarstofnunarinnar (EDPS) eða fulltrúum þeirra.
Nánari upplýsingar um Evrópsku persónuverndarstofnunina
Í Evrópska persónuverndarráðinu vinna persónuverndarstofnanir saman að því að:
- veita almennar leiðbeiningar(þ. á m. með útgáfu leiðbeininga, álita, tilmæla og bestu starfsvenja) um persónuverndarlög, einkum persónuverndarreglugerðina,
- veita framkvæmdastjórn Evrópusambandsins ráðgjöf um öll mál er varða persónuvernd og fyrirhugaðri löggjöf í Evrópusambandinu,
- samþykkja samræmingarákvarðanir og álit í málum er varða persónuvernd yfir landamæri.
Í stað þess að svara einstaka persónulegum beiðnum gefur Evrópska persónuverndarráðið út almennar leiðbeiningar.
Evrópska persónuverndarráðið hefur samþykkt nokkrar leiðbeiningar sem varða fyrirtæki með beinum hætti, þ. á m. lítil og meðalstór fyrirtæki. Þessar leiðbeiningar varpa ljósi á ýmis grundvallarhugtök persónuverndarreglugerðarinnar, svo sem meginreglur vinnslu, innbyggða og sjálfgefna persónuvernd, miðlun persónuupplýsinga yfir landamæri og réttindi skráðra einstaklinga. Hér má finna yfirlit yfir þessi skjöl.
Samræmingarkerfi
Samræmingarkerfið getur haft bein áhrif á lítil og meðalstór fyrirtæki. Í fyrsta lagi getur kviknað á samræmingarkerfinu þegar forystueftirlitsyfirvaldið og hlutaðeigandi eftirlitsyfirvald komast ekki að samkomulagi um tiltekið mál sem nær yfir landamæri. Í slíkum tilvikum er málinu vísað til Evrópska persónuverndarráðsins sem tekur bindandi ákvörðun til að leysa deiluna.
Að auki gefur Evrópska persónuverndarráðið út samræmingarálit um drög að ákvörðunum persónuverndarstofnana EES sem hafa áhrif yfir landamæri (t.d. nýtt safn staðlaðra samninga eða hátternisreglna).
Evrópska persónuverndarráðið getur einnig gefið út samræmingarálit á hvaða málefni sem er, sem varðar beitingu persónuverndarreglugerðarinnar, eða málum sem hafa áhrif í fleiri en einu EES-landi. Markmiðið með því er að tryggja samræmda túlkun og beitingu persónuverndarreglugerðarinnar í EES-löndunum.