EUROPA-KOMMISSIONEN
Bruxelles, den 15.1.2024
COM(2024) 7 final
RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET
om den første revision af funktionen af de afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der blev vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF
{SWD(2024) 3 final}
1.FØRSTE REVISION — BAGGRUND OG KONTEKST
Denne rapport indeholder Kommissionens konklusioner om den første revision af de afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der blev vedtaget på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF 1 (databeskyttelsesdirektivet).
I disse afgørelser fastslog Kommissionen, at 11 lande eller territorier har et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra Den Europæiske Union (EU) 2 : Andorra 3 , Argentina 4 , Canada (for kommercielle operatører) 5 , Færøerne 6 , Guernsey 7 , Isle of Man 8 , Israel 9 , Jersey 10 , New Zealand 11 , Schweiz 12 og Uruguay 13 . Som følge heraf kan dataoverførsler fra EU til disse lande eller territorier finde sted uden yderligere krav.
Med ikrafttrædelsen af forordning (EU) 2016/679 14 (generel forordning om databeskyttelse (GDPR)) den 25. maj 2018 var de afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der blev vedtaget i henhold til databeskyttelsesdirektivet, fortsat i kraft 15 . Samtidig er det i GDPR præciseret, at afgørelser om tilstrækkeligheden af beskyttelsesniveauet er "levende instrumenter", idet det fastsættes, at Kommissionen løbende skal overvåge udviklingen i tredjelande, der kan påvirke funktionen af eksisterende afgørelser om tilstrækkeligheden af beskyttelsesniveauet 16 . Desuden skal Kommissionen i henhold til artikel 97 i den generelle forordning om databeskyttelse regelmæssigt revidere disse afgørelser hvert fjerde år for at afgøre, om de lande og territorier, der har fået en konstatering af et tilstrækkeligt beskyttelsesniveau, fortsat yder et tilstrækkeligt beskyttelsesniveau for personoplysninger.
Denne første gennemgang af de afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der blev vedtaget inden for rammerne af EU's tidligere databeskyttelsesramme, blev indledt som led i en bredere evaluering af anvendelsen og funktionen af GDPR, som Kommissionen fremlagde sine konklusioner om i sin meddelelse "Databeskyttelse som en hjørnesten i borgernes indflydelse og EU's tilgang til den digitale omstilling — to års anvendelse af den generelle forordning om databeskyttelse" 17 . Konklusionen på dette aspekt af revisionen blev imidlertid udsat for at tage hensyn til Domstolens dom i Schrems II-sagen 18 , hvor Domstolen gav vigtige præciseringer om centrale elementer i tilstrækkelighedsstandarden samt andre relaterede udviklinger. Til gengæld førte dette til detaljerede drøftelser med de berørte lande og territorier om relevante aspekter af deres retlige rammer, tilsynsmekanismer og håndhævelsessystemer 19 . I denne rapport tages der fuldt hensyn til denne udvikling, både i EU og i de berørte tredjelande og territorier.
Det er vigtigt at bemærke, at denne første revision finder sted på baggrund af den eksponentielle udvikling af digitale teknologier. I løbet af de seneste årtier er betydningen af afgørelser om tilstrækkeligheden af beskyttelsesniveauet steget betydeligt, da datastrømme er blevet en integreret del af den digitale omstilling af samfundet og globaliseringen af økonomien. Overførsel af data på tværs af grænserne er blevet en del af den daglige drift af europæiske virksomheder af alle størrelser på tværs af alle sektorer. Mere end nogensinde før er respekt for privatlivets fred en forudsætning for stabile, sikre og konkurrencedygtige handelsstrømme. I den forbindelse spiller afgørelser om tilstrækkeligheden af beskyttelsesniveauet en stadig vigtigere rolle på mange måder. Ved at sikre, at beskyttelsen følger dataene, muliggør de sikre datastrømme, der respekterer enkeltpersoners rettigheder i overensstemmelse med EU's menneskecentrerede tilgang til den digitale omstilling. Ved at anerkende et tredjelands rammer for beskyttelse af privatlivets fred som et beskyttelsesniveau, der i det væsentlige svarer til EU-niveauet, fremmer de konvergensen mellem systemer til beskyttelse af privatlivets fred, der er baseret på høje beskyttelsesstandarder. Som forklaret i denne rapport har afgørelser om tilstrækkeligheden af beskyttelsesniveauet i stedet for at være et "slutpunkt" skabt grundlaget for et tættere samarbejde og yderligere lovgivningsmæssig konvergens mellem EU og ligesindede partnere. Ved at muliggøre fri udveksling af personoplysninger har disse afgørelser åbnet kommercielle kanaler for EU-operatører, bl.a. ved at supplere og forstærke fordelene ved handelsaftaler samt lette samarbejdet med udenlandske partnere på en lang række lovgivningsområder. Ved at tilvejebringe en enkel og omfattende løsning for dataoverførsler, uden at dataeksportøren behøver at give yderligere garantier eller opnå tilladelse, fremmer de navnlig små og mellemstore virksomheders overholdelse af de internationale krav til overførsler i GDPR. Endelig er afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der er vedtaget af Kommissionen, i stigende grad også relevante uden for EU takket være deres "netværkseffekt", da de ikke blot giver mulighed for fri udveksling af data med EU's 30 økonomier, men også med mange flere jurisdiktioner rundt om i verden 20 , der anerkender lande, for hvilke der er en EU-afgørelse om tilstrækkeligheden af beskyttelsesniveauet, som "sikre destinationer" i henhold til deres egne databeskyttelsesregler.
Af alle disse årsager og som også bekræftet af den intense og frugtbare dialog med de berørte tredjelande/territorier, der ligger til grund for denne revision, er afgørelser om tilstrækkeligheden af beskyttelsesniveauet blevet et strategisk element i EU's overordnede forbindelser med disse udenlandske partnere og anerkendes som en vigtig katalysator for uddybning af samarbejdet på en lang række områder. Det er derfor særlig vigtigt, at disse afgørelser er langtidsholdbare og tager højde for nye udviklinger og udfordringer.
2.REVISIONENS GENSTAND OG METODE
De afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der er genstand for denne revision, er blevet vedtaget i henhold til EU's databeskyttelsesramme, der gik forud for GDPR. Mens de seneste afgørelser er ca. ti år gamle (f.eks. afgørelserne om New Zealand og Uruguay, der begge blev vedtaget i 2012), har andre været i kraft i mere end tyve år (f.eks. Canada, der blev vedtaget i 2001, og Schweiz, der blev vedtaget i 2000). Siden da har databeskyttelsesrammerne i alle 11 lande og territorier udviklet sig, f.eks. gennem lovgivnings- eller reguleringsreformer, udvikling i databeskyttelsesmyndighedernes håndhævelsespraksis eller retspraksis.
I forbindelse med sin evaluering har Kommissionen derfor fokuseret på udviklingen i databeskyttelsesrammerne i de relevante lande og territorier, der har fundet sted siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet. Den har vurderet, hvordan denne udvikling yderligere har formet databeskyttelseslandskabet i det pågældende land eller territorium, og om de forskellige ordninger i betragtning af denne udvikling fortsat sikrer et tilstrækkeligt beskyttelsesniveau.
Med henblik herpå blev der fuldt ud taget hensyn til udviklingen i EU's egen databeskyttelsesordning, navnlig med ikrafttrædelsen af GDPR. Siden vedtagelsen af disse afgørelser om tilstrækkeligheden af beskyttelsesniveauet er den retlige standard, der finder anvendelse på sådanne afgørelser, samt de elementer, der er relevante for vurderingen af, om et udenlandsk system sikrer et tilstrækkeligt beskyttelsesniveau, blevet yderligere præciseret gennem Domstolens retspraksis og den vejledning, der er vedtaget af Artikel 29-Gruppen og dens efterfølger, Det Europæiske Databeskyttelsesråd 21 .
Domstolen fastslog navnlig i sin dom af 6. oktober 2015 i Schrems I-sagen, at selv om et tredjeland ikke kan pålægges at sikre et beskyttelsesniveau, der er identisk med det, der er garanteret i EU, skal tilstrækkelighedstesten forstås som et krav om et beskyttelsesniveau, der i det væsentlige svarer dertil 22 . Domstolen præciserede navnlig, at de midler, som det pågældende tredjeland anvender til beskyttelse af personoplysninger, kan være forskellige fra dem, der anvendes i Unionen, så længe de i praksis viser sig at være effektive med hensyn til at sikre et tilstrækkeligt beskyttelsesniveau 23 . Tilstrækkelighedstesten kræver derfor en omfattende vurdering af tredjelandets system som helhed, herunder indholdet af beskyttelsen af privatlivets fred samt dets effektive gennemførelse og håndhævelse.
Desuden præciserede Domstolen, at Kommissionens vurdering ikke bør begrænses til tredjelandets generelle databeskyttelsesramme, men også bør omfatte reglerne for offentlige myndigheders adgang til personoplysninger, navnlig med henblik på retshåndhævelse og national sikkerhed 24 . Ved at anvende chartret om grundlæggende rettigheder som benchmark identificerede Domstolen en række krav, som disse regler skal opfylde for at opfylde standarden for "væsentlig ækvivalens". Lovgivningen på dette område bør f.eks. fastsætte klare og præcise regler for en foranstaltnings anvendelsesområde og anvendelse og indføre minimumsgarantier, således at de personer, hvis personoplysninger er berørt, har tilstrækkelige garantier, der gør det muligt effektivt at beskytte deres oplysninger mod risikoen for misbrug og mod ulovlig adgang til og brug af disse oplysninger 25 . Den bør også give fysiske personer mulighed for at gøre brug af retsmidler for at få adgang til personoplysninger, der vedrører dem, eller for at få sådanne oplysninger berigtiget eller slettet 26 .
GDPR bygger på Domstolens præciseringer ved at opstille et detaljeret katalog over elementer, som Kommissionen skal tage hensyn til i en tilstrækkelighedsvurdering 27 . Desuden har Domstolen i sin dom af 16. juli 2020 i Schrems II-sagen yderligere uddybet standarden for "væsentlig ækvivalens", navnlig med hensyn til reglerne om offentlige myndigheders adgang til personoplysninger med henblik på retshåndhævelse og national sikkerhed. Den har navnlig præciseret, at standarden for "væsentlig ækvivalens" kræver, at relevante retlige rammer, der er bindende for offentlige myndigheder i de pågældende tredjelande og territorier, omfatter minimumsgarantier, der sikrer, at sådanne myndigheder ikke kan få adgang til data ud over, hvad der er nødvendigt og forholdsmæssigt for at forfølge legitime mål, og at registrerede har effektive rettigheder, der kan håndhæves over for sådanne myndigheder 28 .
Udviklingen i standarden for tilstrækkelighed afspejles også i den vejledning, der oprindeligt blev vedtaget af Artikel 29-Gruppen og derefter godkendt af Databeskyttelsesrådet 29 . Denne vejledning, og navnlig den såkaldte "tilstrækkelighedsreference", præciserer yderligere de elementer, som Kommissionen skal tage hensyn til, når den foretager en tilstrækkelighedsvurdering, herunder ved at give et overblik over "væsentlige garantier" for offentlige myndigheders adgang til personoplysninger. Sidstnævnte bygger navnlig på Den Europæiske Menneskerettighedsdomstols retspraksis og blev ajourført af Databeskyttelsesrådet for at tage hensyn til Domstolens præciseringer i Schrems II-dommen 30 . Det er vigtigt at bemærke, at tilstrækkelighedsreferencen også anerkender, at standarden for "væsentlig ækvivalens" ikke indebærer en en-til-en-kopiering af EU-reglerne, eftersom midlerne til at sikre et sammenligneligt beskyttelsesniveau kan variere mellem forskellige systemer til beskyttelse af privatlivets fred, hvilket ofte afspejler forskellige retstraditioner.
For at afgøre, om de 11 afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der er vedtaget i henhold til de tidligere regler, fortsat opfylder den standard, der er fastsat i GDPR, har Kommissionen derfor ikke blot taget hensyn til udviklingen i databeskyttelsesrammen i de pågældende lande og territorier, men også udviklingen i fortolkningen i henhold til EU-retten af selve tilstrækkelighedsstandarden. Dette omfatter også en vurdering af de retlige rammer for adgang til og brug af personoplysninger, der overføres fra EU af offentlige myndigheder i lande eller territorier, som på grundlag af databeskyttelsesdirektivets artikel 25, stk. 6, anses for at sikre et tilstrækkeligt beskyttelsesniveau.
3.REVISIONSPROCESSEN
Som beskrevet ovenfor omfatter evalueringen af de eksisterende afgørelser om tilstrækkeligheden af beskyttelsesniveauet for hvert af de berørte lande eller territorier databeskyttelsesrammen og enhver udvikling med hensyn til denne retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet samt reglerne for statslig adgang til data — navnlig med henblik på retshåndhævelse og national sikkerhed. I de seneste år har Kommissionens tjenestegrene taget flere skridt til at foretage denne vurdering i tæt samarbejde med hvert af de relevante lande eller territorier.
For at bistå Kommissionen med dens overvågningsforpligtelser har hvert af de 11 lande eller territorier givet Kommissionen omfattende oplysninger om udviklingen i deres databeskyttelsesordning siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet. Desuden har Kommissionen fra hvert af de 11 lande eller territorier indhentet detaljerede oplysninger om de regler for statslig adgang til personoplysninger, navnlig med henblik på retshåndhævelse og national sikkerhed, der gælder i det pågældende land eller territorium. Kommissionen har også indhentet oplysninger fra offentlige kilder, tilsyns- og håndhævelsesmyndigheder samt lokale eksperter om, hvordan afgørelserne fungerer, og om den relevante udvikling i lovgivningen og praksis i hvert af de berørte lande og territorier, både med hensyn til de databeskyttelsesregler, der gælder for private operatører, og med hensyn til statslig adgang. Endelig er der, hvor det er relevant, taget behørigt hensyn til de internationale forpligtelser, som disse lande/territorier har indgået under regionale eller universelle instrumenter.
På dette grundlag har Kommissionen indledt en intens dialog med hvert af de berørte lande og territorier. I forbindelse med denne dialog har mange af de nævnte lande og territorier moderniseret og styrket deres lovgivning om privatlivets fred gennem omfattende eller delvise reformer (f.eks. Andorra, Canada, Færøerne, Schweiz og New Zealand), hvilket bl.a. skyldes behovet for at sikre kontinuiteten i afgørelserne om tilstrækkeligheden af beskyttelsesniveauet. Nogle af disse lande har vedtaget regler og/eller retningslinjer fra deres databeskyttelsesmyndighed for at indføre nye databeskyttelseskrav (f.eks. Israel og Uruguay) eller præcisere visse regler om privatlivets fred (f.eks. Argentina, Canada, Guernsey, Jersey, Isle of Man, Israel, New Zealand), der bygger på håndhævelsespraksis eller retspraksis. For at afhjælpe relevante forskelle i beskyttelsesniveauet er yderligere garantier for personoplysninger, der overføres fra Europa, desuden — når det er nødvendigt for at sikre kontinuiteten i afgørelsen om tilstrækkeligheden — blevet forhandlet og aftalt med nogle af de berørte lande og territorier. Den canadiske regering har f.eks. udvidet retten til indsigt og berigtigelse med hensyn til personoplysninger, der behandles af den offentlige sektor, til at omfatte alle personer, uanset deres nationalitet eller bopæl (rettigheder, som tidligere var forbeholdt canadiske statsborgere, personer med fast bopæl eller personer, der opholder sig i Canada) 31 . Som et andet eksempel indførte den israelske regering specifikke garantier for at styrke beskyttelsen af personoplysninger, der overføres fra Det Europæiske Økonomiske Samarbejdsområde, hvilket navnlig skaber nye forpligtelser med hensyn til datanøjagtighed og datalagring, styrker retten til information og sletning og indfører yderligere kategorier af følsomme oplysninger 32 .
Sideløbende hermed indsamlede Kommissionens tjenestegrene synspunkter fra og underrettede regelmæssigt Europa-Parlamentet (Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender) 33 , Rådet (gennem Gruppen vedrørende Databeskyttelse) 34 , Databeskyttelsesrådet 35 og multiinteressentekspertgruppen om GDPR 36 (som omfatter repræsentanter for civilsamfundet, erhvervslivet, den akademiske verden og retsvæsenets aktører) om fremskridtene med evalueringen.
Denne rapport og det ledsagende arbejdsdokument fra Kommissionens tjenestegrene er derfor resultatet af et tæt samarbejde med hvert af de berørte lande og territorier samt høring af og feedback fra relevante EU-institutioner og -organer. De er baseret på en række forskellige kilder, herunder lovgivning, retsakter, retspraksis, afgørelser og vejledning fra databeskyttelsesmyndigheder, rapporter fra (uafhængige) tilsynsorganer og input fra interessenter. Inden vedtagelsen af denne rapport har alle de nævnte lande og territorier fået mulighed for at kontrollere den faktuelle nøjagtighed af oplysningerne om deres system i arbejdsdokumentet.
4.VIGTIGSTE RESULTATER OG KONKLUSIONER
Den første gennemgang har vist, at databeskyttelsesrammerne i hvert af de 11 lande eller territorier siden vedtagelsen af afgørelserne om tilstrækkeligheden af beskyttelsesniveauet er blevet yderligere konvergeret med EU's rammer. Med hensyn til statslig adgang til personoplysninger har den første gennemgang desuden vist, at lovgivningen i disse lande eller territorier indeholder passende garantier og begrænsninger samt tilsyns- og klagemekanismer på dette område.
De detaljerede resultater vedrørende hvert af de 11 lande eller territorier præsenteres i Kommissionens arbejdsdokument, som ledsager denne rapport. På grundlag af disse konklusioner konkluderer Kommissionen, at hvert af de 11 lande og territorier fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra Den Europæiske Union som omhandlet i GDPR, som fortolket af Domstolen. Resultaterne for hvert af landene og territorierne med et tilstrækkeligt beskyttelsesniveau er sammenfattet nedenfor.
4.1.Andorra
Kommissionen glæder sig over udviklingen i den andorranske retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer og tilsynsorganernes aktiviteter. Navnlig har vedtagelsen af den kvalificerede lov nr. 29/2021 om beskyttelse af personoplysninger, der trådte i kraft i maj 2022, bidraget til et højere databeskyttelsesniveau, da loven er nøje tilpasset den generelle forordning om databeskyttelse i dens struktur og hovedelementer.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Andorra underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af de overordnede retlige rammer og internationale forpligtelser, navnlig den andorranske forfatning, den europæiske menneskerettighedskonvention (EMRK) og Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (konvention 108 og ændringsprotokollen, der moderniserer konventionen med en version 108+), samt af specifikke databeskyttelsesregler, der finder anvendelse på behandling af personoplysninger i forbindelse med retshåndhævelse, og som i det væsentlige gengiver de centrale elementer i direktiv (EU) 2016/680 37 . Desuden pålægger den andorranske lovgivning en række specifikke betingelser og begrænsninger for offentlige myndigheders adgang til og brug af personoplysninger, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Andorra fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
Med hensyn til de specifikke databeskyttelsesregler, der i øjeblikket gælder for de retshåndhævende myndigheders databehandling, glæder Kommissionen sig over, at den andorranske lovgiver har til hensigt at erstatte disse regler med en mere omfattende ordning, der vil blive yderligere tilpasset de regler, der gælder i EU. Kommissionen vil nøje overvåge den fremtidige udvikling på dette område.
4.2.Argentina
Kommissionen glæder sig over udviklingen i den argentinske retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Navnlig blev den argentinske tilsynsmyndigheds uafhængighed styrket betydeligt ved dekret nr. 746/17, som pålagde Agencia de Acceso a la Información Pública (AAIP) ansvaret for at føre tilsyn med overholdelsen af databeskyttelseslovgivningen. Desuden udstedte AAIP en række bindende regler og udtalelser, som præciserer, hvordan databeskyttelsesrammen skal fortolkes og anvendes i praksis, hvilket bidrager til at holde databeskyttelseslovgivningen ajour. Argentina styrkede også sine internationale forpligtelser på databeskyttelsesområdet ved at tiltræde Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger og tillægsprotokollen hertil i 2019 og ved at ratificere ændringsprotokollen, som moderniserede konventionen med en version 108+ i 2023.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Argentina underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af den overordnede retlige ramme og af internationale forpligtelser, navnlig den argentinske forfatning, den amerikanske menneskerettighedskonvention, konvention 108 og konvention 108+, samt af de argentinske databeskyttelsesregler (lov 25.326 om beskyttelse af personoplysninger af 4. oktober 2000), som også finder anvendelse på argentinske offentlige myndigheders behandling af personoplysninger, herunder til retshåndhævelsesformål og nationale sikkerhedsformål. Desuden foreskriver argentinsk lovgivning en række specifikke betingelser og begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Argentina fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
Samtidig anbefaler Kommissionen, at den beskyttelse, der er udviklet på dellovgivningsniveau, forankres i lovgivningen for at øge retssikkerheden og konsolidere disse krav. Udkastet til lov om databeskyttelse, der for nylig blev indført i den argentinske kongres, kunne give mulighed for at kodificere denne udvikling og dermed styrke den argentinske ramme for beskyttelse af privatlivets fred yderligere. Kommissionen vil nøje overvåge den fremtidige udvikling på dette område.
4.3.Canada
Kommissionen glæder sig over udviklingen i den canadiske retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder adskillige lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Navnlig er loven om beskyttelse af personoplysninger og elektroniske dokumenter (PIPEDA) blevet yderligere styrket gennem forskellige ændringer (f.eks. vedrørende betingelserne for gyldigt samtykke og meddelelser om brud på datasikkerheden), mens centrale databeskyttelseskrav (f.eks. vedrørende behandling af følsomme oplysninger) er blevet yderligere præciseret gennem retspraksis samt retningslinjer udstedt af den canadiske føderale databeskyttelsesmyndighed, Office of the Privacy Commissioner. Samtidig anbefaler Kommissionen, at nogle af de beskyttelsesforanstaltninger, der er udviklet på dellovgivningsniveau, forankres i lovgivningen for at øge retssikkerheden og konsolidere disse krav. Den igangværende lovgivningsmæssige reform af PIPEDA kan navnlig give mulighed for at kodificere denne udvikling og dermed styrke den canadiske ramme for beskyttelse af privatlivets fred yderligere. Kommissionen vil nøje overvåge den fremtidige udvikling på dette område.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Canada underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af den overordnede forfatningsmæssige ramme (det canadiske charter om rettigheder og frihedsrettigheder), retspraksis, specifik lovgivning om adgang til data samt databeskyttelsesregler (dvs. loven om privatlivets fred og lignende love på provinsniveau), som også finder anvendelse på canadiske offentlige myndigheders behandling af personoplysninger, herunder til retshåndhævelsesformål og nationale sikkerhedsformål. Desuden indeholder det canadiske retssystem effektive tilsyns- og klagemekanismer på dette område, herunder gennem en nylig udvidelse af registreredes rettigheder og klagemuligheder for ikke-canadiske statsborgere eller personer med bopæl i landet.
På grundlag af de overordnede resultater i arbejdsdokumentet konkluderer Kommissionen, at Canada fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til modtagere, der er omfattet af PIPEDA. Som nævnt ovenfor er PIPEDA i øjeblikket genstand for en lovgivningsmæssig reform, som yderligere kan styrke beskyttelsen af privatlivets fred, herunder på områder, der er relevante for konstateringen af et tilstrækkeligt beskyttelsesniveau.
4.4.Færøerne
Kommissionen glæder sig over udviklingen i Færøernes retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Færøerne har navnlig moderniseret deres databeskyttelsesramme betydeligt ved at vedtage databeskyttelsesloven, som trådte i kraft i 2021 og nøje tilpassede den færøske ordning til den generelle forordning om databeskyttelse.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder på Færøerne underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af de overordnede retlige rammer og internationale forpligtelser, navnlig den forfatningsmæssige ramme og EMRK, samt af specifikke love, der regulerer regeringens adgang til data og databeskyttelsesregler, der gælder for behandling af personoplysninger med henblik på retshåndhævelse på det strafferetlige område (lov om de retshåndhævende myndigheders behandling af personoplysninger, der trådte i kraft på Færøerne i 2022, og som gennemfører den lovgivning, som Danmark har vedtaget for at gennemføre direktiv (EU) 2016/680 på Færøerne) og nationale sikkerhedsformål (indeholdt i loven om sikkerheds- og efterretningstjenesten). Desuden findes der effektive tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Færøerne fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
4.5.Guernsey
Kommissionen glæder sig over udviklingen i Guernseys retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer og tilsynsorganers aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Guernsey har navnlig moderniseret sin databeskyttelsesramme betydeligt ved at vedtage databeskyttelsesloven (Bailiwick of Guernsey) fra 2017, som har fundet anvendelse siden 2019, og som nøje tilpasser Guernsey-ordningen til GDPR.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Guernsey underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og nationale sikkerhedsformål. Disse begrænsninger og garantier følger af den overordnede retlige ramme og internationale forpligtelser, navnlig EMRK og konvention 108, samt af Guernseys databeskyttelsesregler, herunder de specifikke bestemmelser om behandling af personoplysninger i forbindelse med retshåndhævelse, der er fastsat i databeskyttelsesbekendtgørelsen (Law Enforcement and Related Matters) (Bailiwick of Guernsey), 2018. Desuden indeholder lovgivningen i Guernsey en række specifikke betingelser og begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Guernsey fortsat yder et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
4.6.Isle of Man
Kommissionen glæder sig over udviklingen i Isle of Mans retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Isle of Man vedtog navnlig ny lovgivning i 2018 (lov om databeskyttelse 2018 suppleret med en databeskyttelsesretsafgørelse (om anvendelsen af GDPR) i 2018), som indarbejder de fleste af bestemmelserne i EU's databeskyttelsesramme i Isle of Mans retsorden, samtidig med at der kun foretages mindre tilpasninger af specifikke aspekter, navnlig for at tilpasse rammen til den lokale kontekst.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Isle of Man underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til almennyttige formål, navnlig med henblik på strafferetlig håndhævelse og nationale sikkerhedsformål. Disse begrænsninger og garantier følger af den overordnede retlige ramme og internationale forpligtelser, navnlig EMRK og konvention 108, samt af Isle of Mans databeskyttelsesregler, herunder de specifikke bestemmelser om behandling af personoplysninger i forbindelse med retshåndhævelse, der er fastsat i databeskyttelsesretsafgørelsen (vedr. anvendelsen af retshåndhævelsesdirektivet) fra 2018 og gennemførelsesforordningerne til retshåndhævelsesdirektivet fra 2018. Desuden pålægger lovgivningen i Isle of Man en række specifikke begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Isle of Man fortsat yder et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
4.7.Israel
Kommissionen glæder sig over udviklingen i Israels retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Israel har navnlig indført specifikke garantier for at styrke beskyttelsen af personoplysninger, der overføres fra Det Europæiske Økonomiske Samarbejdsområde, ved at vedtage bestemmelser om beskyttelse af privatlivets fred (instrukser om data, der blev overført til Israel fra Det Europæiske Økonomiske Samarbejdsområde), 5783-2023. Israel har også styrket kravene til datasikkerhed ved at vedtage bestemmelser om beskyttelse af privatlivets fred (datasikkerhed), 5777-2017, og har konsolideret uafhængigheden af sin tilsynsmyndighed for databeskyttelse i en bindende regeringsbeslutning.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Israel underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af den overordnede retlige ramme, navnlig den israelske grundlov, samt af loven om beskyttelse af privatlivets fred, 5741-1981, og den lovgivning, der er vedtaget i henhold hertil, som finder anvendelse på israelske offentlige myndigheders behandling af personoplysninger, herunder med henblik på retshåndhævelse og national sikkerhed. Desuden pålægger israelsk lovgivning en række specifikke begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Israel fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
Samtidig anbefaler Kommissionen, at den beskyttelse, der er udviklet på dellovgivningsniveau og i retspraksis, forankres i lovgivningen for at øge retssikkerheden og styrke disse krav. Loven om beskyttelse af privatlivets fred (ændring nr. 14), 5722-2022, som for nylig er blevet indført i det israelske parlament, giver en vigtig mulighed for at konsolidere og kodificere denne udvikling og dermed yderligere styrke den israelske ramme for beskyttelse af privatlivets fred. Kommissionen vil nøje overvåge den fremtidige udvikling på dette område.
4.8.Jersey
Kommissionen glæder sig over udviklingen i Jerseys retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Jersey har navnlig moderniseret sin databeskyttelsesramme betydeligt ved at vedtage databeskyttelsesloven (Jersey) fra 2018 og loven om databeskyttelsesmyndigheden (Jersey) fra 2018, som trådte i kraft i 2018 og tilpasser Jerseys ordning nøje til den generelle forordning om databeskyttelse.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder på Jersey underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af den overordnede retlige ramme og af internationale forpligtelser, navnlig EMRK og konvention 108, samt af Jerseys databeskyttelsesregler, herunder de specifikke bestemmelser om behandling af personoplysninger i forbindelse med retshåndhævelse, der er fastsat i databeskyttelsesloven (Jersey) fra 2018, som ændret ved tillæg 1 til nævnte lov. Desuden pålægger Jerseys lovgivning en række specifikke begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Jersey fortsat yder et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
4.9.New Zealand
Kommissionen glæder sig over udviklingen i New Zealands retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Databeskyttelsesordningen har navnlig gennemgået en omfattende reform med vedtagelsen af loven om privatlivets fred i 2020, som yderligere øgede konvergensen med EU's databeskyttelsesramme, navnlig med hensyn til reglerne for internationale overførsler af personoplysninger og databeskyttelsesmyndighedens (Office of the Privacy Commissioner) beføjelser.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i New Zealand underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig med henblik på strafferetlig håndhævelse og national sikkerhed. Disse begrænsninger og garantier følger af den overordnede forfatningsmæssige ramme (f.eks. den newzealandske grundlov) og retspraksis samt specifikke love, der regulerer regeringens adgang til data, og bestemmelser i loven om privatlivets fred, som også finder anvendelse på strafferetlige håndhævelsesmyndigheders og nationale sikkerhedsmyndigheders behandling af personoplysninger. Desuden indeholder det newzealandske retssystem forskellige tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at New Zealand fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU. Kommissionen glæder sig også over, at New Zealands regering for nylig har forelagt parlamentet et lovforslag om ændring af loven om privatlivets fred fra 2020 for yderligere at styrke de eksisterende gennemsigtighedskrav. Kommissionen vil nøje overvåge den fremtidige udvikling på dette område.
4.10.Schweiz
Kommissionen glæder sig over udviklingen i den schweiziske retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Navnlig den moderniserede føderale lov om databeskyttelse, som yderligere har øget konvergensen med EU's databeskyttelsesramme, særligt med hensyn til beskyttelse af følsomme oplysninger og reglerne om internationale dataoverførsler. Schweiz har også styrket sine internationale forpligtelser på databeskyttelsesområdet ved at ratificere konvention 108+ i september 2023.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Schweiz underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til almennyttige formål, navnlig til strafferetlig håndhævelse og nationale sikkerhedsformål. Disse begrænsninger og garantier følger af de overordnede retlige rammer og internationale forpligtelser, navnlig den schweiziske forbundsforfatning, EMRK og konvention 108+, samt af de schweiziske databeskyttelsesregler, herunder forbundsloven om databeskyttelse og specifikke databeskyttelsesregler, der gælder for strafferetlig håndhævelse (f.eks. strafferetsplejeloven) og nationale sikkerhedsmyndigheder (f.eks. loven om efterretningstjenesten). Desuden pålægger schweizisk lovgivning en række specifikke begrænsninger for adgangen til og anvendelsen af personoplysninger med henblik på strafferetlig håndhævelse og national sikkerhed, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner i arbejdsdokumentet konkluderer Kommissionen, at Schweiz fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
4.11.Uruguay
Kommissionen glæder sig over udviklingen i Uruguays retlige ramme siden vedtagelsen af afgørelsen om tilstrækkeligheden af beskyttelsesniveauet, herunder adskillige lovgivningsmæssige ændringer, retspraksis og tilsynsorganernes aktiviteter, hvilket har bidraget til et højere databeskyttelsesniveau. Uruguay har moderniseret og styrket navnlig lov nr. 18.331 om beskyttelse af personoplysninger og habeas data-sagen fra 2008 gennem lovgivningsmæssige ændringer i 2018 og 2020, som udvidede databeskyttelseslovgivningens territoriale anvendelsesområde, skabte nye ansvarlighedskrav (såsom konsekvensanalyser, databeskyttelse gennem design og databeskyttelse gennem standardindstillinger, underretning om brud på datasikkerheden og udpegelse af databeskyttelsesansvarlige) og indførte yderligere beskyttelse af biometriske data. Uruguay har også styrket sine internationale forpligtelser på databeskyttelsesområdet ved at tiltræde konvention nr. 108 i 2019 og ved at ratificere konvention 108+ i 2021.
Med hensyn til statslig adgang til personoplysninger er de offentlige myndigheder i Uruguay underlagt klare, præcise og tilgængelige regler, i henhold til hvilke sådanne myndigheder kan få adgang til og efterfølgende anvende oplysninger, der overføres fra EU, til formål af almen interesse, navnlig til strafferetlig håndhævelse og nationale sikkerhedsformål. Disse begrænsninger og garantier følger af de overordnede retlige rammer og internationale forpligtelser, navnlig Uruguays forfatning, den amerikanske menneskerettighedskonvention, konvention 108 og konvention 108+ samt databeskyttelsesreglerne i lov 18.331 om beskyttelse af personoplysninger og habeas data-sagen, der finder anvendelse på offentlige myndigheders behandling af personoplysninger i Uruguay, navnlig med henblik på retshåndhævelse og national sikkerhed. Desuden pålægger uruguayansk lovgivning en række specifikke betingelser og begrænsninger for offentlige myndigheders adgang til og brug af personoplysninger, og den indeholder tilsyns- og klagemekanismer på dette område.
På grundlag af de overordnede konklusioner, der blev draget som led i denne første revision, konkluderer Kommissionen, at Uruguay fortsat sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU.
5.FREMTIDIGT TILSYN OG SAMARBEJDE
Kommissionen anerkender og sætter stor pris på det gode samarbejde, som den har haft med de relevante myndigheder i hvert af de berørte lande og territorier i forbindelse med gennemførelsen af denne revision. Kommissionen vil fortsat nøje overvåge udviklingen i beskyttelsesrammerne og den faktiske praksis i de pågældende lande og territorier. I tilfælde af at udviklingen i et land eller territorium med et tilstrækkeligt beskyttelsesniveau går i en retning, der kan have en negativ indvirkning på det databeskyttelsesniveau, der anses for at være tilstrækkeligt, vil Kommissionen om nødvendigt gøre brug af sine beføjelser i henhold til artikel 45, stk. 5, i GDPR til at suspendere, ændre eller tilbagekalde en afgørelse om tilstrækkeligheden af beskyttelsesniveauet.
Denne revision bekræfter, at vedtagelsen af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet ikke er et "slutpunkt", men giver mulighed for yderligere at intensivere dialogen og samarbejdet med ligesindede internationale partnere om datastrømme og digitale spørgsmål mere generelt. I den forbindelse ser Kommissionen frem til fremtidige udvekslinger med de relevante myndigheder for yderligere at styrke samarbejdet på internationalt plan om fremme af sikre og frie datastrømme, herunder gennem et styrket håndhævelsessamarbejde. For at intensivere denne dialog og fremme udvekslingen af oplysninger og erfaringer agter Kommissionen at afholde et møde på højt plan i 2024 med deltagelse af repræsentanter fra EU og alle de lande, der er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet.
Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, EFT L 281 af 23.11.1995, s. 31.
Efter indarbejdelsen i aftalen om Det Europæiske Økonomiske Samarbejdsområde (EØS) finder GDPR også anvendelse på Norge, Island og Liechtenstein. Henvisninger til EU i denne rapport skal forstås således, at de også omfatter EØS-staterne.
Kommissionens afgørelse 2010/625/EU af 19. oktober 2010 om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Andorra i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT L 277 af 21.10.2010, s. 27).
Kommissionens beslutning 2003/490/EF af 30. juni 2003 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Argentina (EUT L 168 af 5.7.2003, s. 19).
Kommissionens beslutning 2002/2/EF af 20. december 2001 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse af personoplysninger, der opnås ved hjælp af Canadas lov om beskyttelse af personoplysninger og elektroniske dokumenter (Canadian Personal Information Protection and Electronic Documents Act) (EFT L 2 af 4.1.2002, s. 13).
Kommissionens afgørelse 2010/146/EU af 5. marts 2010 om tilstrækkeligheden af det beskyttelsesniveau, der sikres ved den færøske lov om behandling af personoplysninger, jf. Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT L 58 af 9.3.2010, s. 17).
Kommissionens beslutning 2003/821/EF af 21. november 2003 om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Guernsey (EUT L 308 af 25.11.2003, s. 27).
Kommissionens beslutning 2004/411/EF af 28. april 2004 om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Isle of Man (EUT L 151 af 30.4.2004, s. 48).
Kommissionens afgørelse 2011/61/EU af 31. januar 2011 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt staten Israel yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger (EUT L 27 af 1.2.2011, s. 39).
Kommissionens beslutning 2008/393/EF af 8. maj 2008 om tilstrækkeligheden af beskyttelsesniveauet for personoplysninger på Jersey i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF (EUT L 138 af 28.5.2008, s. 21).
Kommissionens gennemførelsesafgørelse 2013/65/EU af 19. december 2012 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt New Zealand yder tilstrækkelig beskyttelse af personoplysninger (EUT L 28 af 30.1.2013, s. 12).
Kommissionens beslutning 2000/518/EF af 26. juli 2000 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF vedrørende tilstrækkeligheden af beskyttelsesniveauet for personoplysninger i Schweiz (EFT L 215 af 25.8.2000, s. 1).
Kommissionens gennemførelsesafgørelse 2012/484/EU af 21. august 2012 i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om, hvorvidt Den Østlige Republik Uruguay yder en tilstrækkelig beskyttelse af personoplysninger i forbindelse med automatisk behandling af personoplysninger (EUT L 227 af 23.8.2012, s. 11).
Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
Jf. artikel 45, stk. 9, i GDPR, hvori det fastsættes, at afgørelser og beslutninger vedtaget af Kommissionen på grundlag af artikel 25, stk. 6, i direktiv 95/46/EF fortsat gælder, indtil de ændres, erstattes eller ophæves ved en kommissionsafgørelse, der vedtages i henhold til artikel 45, stk. 3 eller 5.
Artikel 45, stk. 4, i GDPR. Se også Domstolens dom af 6. oktober 2015 i sag C-362/14, Maximillian Schrems mod Data Protection Commissioner (Schrems I), ECLI:EU:C:2015:650, præmis 76.
Meddelelsen blev offentliggjort i juni 2020 og findes på følgende link: https://ec.europa.eu/info/law/law-topic/data-protection/communication-two-years-application-general-data-protection-regulation_da .
Domstolens dom af 16. juli 2020 i sag C-311/18, Data Protection Commissioner mod Facebook Ireland Ltd. og Maximilian Schrems (Schrems II), ECLI:EU:C:2020:559.
Afgørelsen om tilstrækkeligheden af beskyttelsesniveauet vedrørende Japan blev vedtaget på grundlag af den generelle forordning om databeskyttelse og indeholder bestemmelser om en særskilt periodisk revision. Den første gennemgang blev afsluttet i april 2023 med Kommissionens rapport til Europa-Parlamentet og Rådet om den første revision af, hvordan afgørelsen om Japans tilstrækkelige beskyttelsesniveau fungerer, COM(2023) 275 final, som findes på følgende link https://eur-lex.europa.eu/legal-content/DA/TXT/PDF/?uri=COM:2023:275:FIN .
Som f.eks. Argentina, Colombia, Israel, Marokko, Schweiz og Uruguay.
Det Europæiske Databeskyttelsesråd samler datatilsynsmyndighederne i medlemsstaterne og Den Europæiske Tilsynsførende for Databeskyttelse.
Schrems I, præmis 73, 74 og 96. Se også betragtning 104 i forordning (EU) 2016/679, som henviser til standarden for væsentlig ækvivalens.
Schrems I, præmis 74.
Schrems I, præmis 90.
Schrems I, præmis 91.
Schrems I, præmis 95.
Artikel 45, stk. 2, i GDPR.
Schrems II, præmis 180-182.
Adequacy Referential, WP 254 rev. 01, 6 February 2018 (findes på: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108 ).
Anbefalinger 02/2020 om de europæiske væsentlige garantier for overvågningsforanstaltninger (findes på: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-022020-european-essential-guarantees_da ).
Afsnit 12 i loven om privatlivets fred og supplerende bekendtgørelser nr. 1 og 2.
Lovgivning vedrørende privatlivets fred (instrukser vedrørende data, som blev overført til Israel fra Det Europæiske Økonomiske Samarbejdsområde), 5783-2023, offentliggjort i Israels officielle tidende (Reshumut) den 7. maj 2023.
Se f.eks. Europa-Parlamentets beslutning af 25. marts 2021 om Kommissionens evalueringsrapport om gennemførelsen af den generelle forordning om databeskyttelse to år efter dens anvendelse (2020/2717(RSP)), som findes på følgende link: https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_DA.html .
Se f.eks. Rådets holdning og resultater vedrørende anvendelsen af den generelle forordning om databeskyttelse (GDPR), der blev vedtaget den 19. december 2019, som findes på følgende link: https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-1/da/pdf .
Se f.eks. Databeskyttelsesrådets bidrag til evalueringen af GDPR i henhold til artikel 97, vedtaget den 18. februar 2020, som findes på følgende link: https://edpb.europa.eu/sites/default/files/files/file1/edpb_contributiongdprevaluation_20200218.pdf .
Se f.eks. rapporten fra multiinteressentekspertgruppen om evalueringen af den generelle forordning om databeskyttelse, som findes på følgende link: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=da&do=groupDetail.groupMeeting&meetingId=21356.
Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA.