EDPS sanksjonerer Europaparlamentet for ulovlig dataoverføring til USA

Etter en klage fra seks parlamentsmedlemmer, inkludert Patrick Breyer fra Piratpartiet, har European Data Protection Supervisor (EDPS) bekreftet at EU-parlamentets COVID-testnettsted brøt databeskyttelsesreglene.[1] EDPS fremhever at bruken av Google Analytics og betalingsleverandøren Stripe (begge amerikanske selskaper) brøt med EU-domstolens (CJEU) «Schrems II»-avgjørelse om dataoverføringer mellom EU og USA.

Kjennelsen er en av de første avgjørelsene for å implementere «Schrems II» i praksis og kan være banebrytende for mange andre saker som nå vurderes av regulatorer. På vegne av seks MEP-er sendte databeskyttelsesorganisasjonen noyb inn en databeskyttelsesklage mot Europaparlamentet i januar 2021.[2]

De viktigste problemene som er reist er de villedende informasjonskapslene på et internt nettsted for koronatesting, den vage og uklare databeskyttelsesmeldingen og ulovlig overføring av data til USA. EDPS undersøkte saken og utstedte en irettesettelse mot parlamentet for brudd på «GDPR for EU-institusjoner» (forordning (EU) 2018/1725 som bare gjelder EU-institusjoner).

Ulovlige dataoverføringer til USA I den såkalte «Schrems II»-saken understreket EU-domstolen at overføring av personopplysninger fra EU til USA er underlagt svært strenge vilkår. Nettsteder må avstå fra å overføre personopplysninger til USA der et tilstrekkelig nivå av beskyttelse for personopplysningene ikke kan sikres.

EDPS bekreftet at nettstedet faktisk overførte data til USA uten å sikre et tilstrekkelig beskyttelsesnivå for dataene og fremhevet: «Parlamentet ga ingen dokumentasjon, bevis eller annen informasjon angående de kontraktsmessige, tekniske eller organisatoriske tiltakene som er på plass for å sikre en vesentlig tilsvarende beskyttelsesnivå til personopplysningene som overføres til USA i forbindelse med bruken av informasjonskapsler på nettstedet."

Medklager og MEP Patrick Breyer (Piratpartiet) kommenterer: "Schrems II-dommen var en stor seier for beskyttelsen av personvernet vårt og konfidensialiteten til vår kommunikasjon og internettbruk. Dessverre viser denne saken at dataene våre fortsatt blir ulovlig. overføres til USA i stort antall. Med sitt vedtak gjør EDPS det klart at dette må opphøre Det skal ikke skje mer unødvendig utlevering av våre personopplysninger til USA uten vårt samtykke, heller ikke på grunnlag av den s.k. standard kontraktuelle klausuler, som ikke beskytter oss mot NSAs masseovervåkingsordninger."

Ingen bot, men en irettesettelse og en overholdelsesordre EDPS ga en irettesettelse til parlamentet for de ulike bruddene på databeskyttelsesforordningen som gjelder for EU-institusjoner. I motsetning til nasjonale databeskyttelsesmyndigheter under GDPR, kan EDPS bare ilegge bot under visse omstendigheter, som ikke ble oppfylt i dette tilfellet. I tillegg ga EDPS parlamentet én måned til å oppdatere sin databeskyttelsesmelding og løse de gjenværende åpenhetsproblemene.

Annonse

[1]
[2]
[3]

Del denne artikkelen: