Update vedr. Privacy Shield - Artikel 29-gruppens vurdering

Artikel 29-gruppen har den 12. og 13. april 2016 afholdt plenarmøde for at komme med deres vurdering af EU-kommissionens Privacy Shield-aftale.

Artikel 29-gruppen består af repræsentanter fra EU-medlemslandene og er en arbejdsgruppe, hvis formål er at udtale sig uafhængigt af de øvrige organer i EU om beskyttelse af individer i relation til behandlingen og overførslen af personoplysninger.

Artikel 29-gruppen er som udgangspunkt positivt stemt overfor flere nye tiltag i Privacy Shield-aftalen, som øger beskyttelsen af borgernes personoplysninger i forhold til Safe Harbour-ordningen. De lagde særligt positivt vægt på tilføjelsen af definitioner af nøglebegreber inden for persondataområdet, tilføjelsen af mekanismer for at sikre tilsyn med Privacy Shield-brugerne og de obligatoriske interne og eksterne kontrolforanstaltninger, der fremover skal sikre overholdelsen af reglerne for brugen af Privacy Shield.

Artikel 29-gruppen fremhævede desuden den nye ombudsmand som en forbedring. Den nye ombudsmand er en instans, som den enkelte EU-borger kan rette direkte henvendelse til med klager over eventuelle overtrædelser af Privacy Shield. Gruppen har dog nogle bekymringer om, hvorvidt ombudsmanden er tilstrækkeligt uafhængig og om, hvorvidt han vil få de fornødne ressourcer til effektivt at kunne varetage sin opgave som klageinstans.

Ud over de positive bemærkninger om Privacy Shield har Artikel 29-gruppen en række bekymringer og kritikpunkter, som de mener skal adresseres inden Privacy Shield kan sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der transporteres uden for EU. Disse er følgende:

• Privacy Shield er opbygget af mange forskellige dokumenter og bilag. Det gør generelt aftalen uklar og kan gøre den svært at gennemskue for brugerne. Nogle af de helt grundlæggende databeskyttelsesprincipper i EU-lovgivningen er desuden ikke (tilstrækkeligt) gengivet i Privacy Shield. Der er særligt stor uklarhed vedrørende principperne om formålsbegrænsning, opbevaring af data samt reglerne om automatiseret beslutningstagning.
• Det er ifølge Artikel 29-gruppen nødvendigt, at der stilles de samme krav ved videreførelsen af data fra en enhed under Privacy Shield til enheder i tredjelande, således at der sikres mod omgåelse af EU's databehandlingsprincipper.
• Artikel 29-gruppen finder det desuden nødvendigt, at der sker en afklaring vedr. klagemulighederne for EU-borgere, da de nuværende muligheder er komplekse og besværlige, hvilket gør dem ineffektive.
• Afslutningsvist bemærker Artikel 29-gruppen, at repræsentanterne fra U.S. Office of the Director of National Intelligence ikke har godtgjort, hvorvidt de vil og kan sikre en tilstrækkelig beskyttelse mod massiv og vilkårlig indhentelse af personoplysninger stammende fra EU.

På baggrund af ovennævnte kommentarer opfordrer Artikel 29-gruppen EU-kommissionen til at udbedre problemområderne, således at der kan opnås en tilstrækkelig beskyttelse af europæiske personoplysninger, der transporteres til USA under Privacy Shield-aftalen.

EU-kommissionen er ikke forpligtet til at følge Artikel 29-gruppens råd. Det bliver derfor interessant at se, hvorvidt Kommissionen retter til som følge at de fremhævede problemområder, eller om de vælger at gå videre med vedtagelsen af Privacy Shield i dens nuværende form.