Databeskyttelse: Rådet når til enighed om en generel indstilling

15. juni 2015 nåede Rådet til en generel indstilling til den generelle forordning om databeskyttelse, der fastsætter regler tilpasset den digitale tidsalder. Det dobbelte formål med denne forordning er at forbedre databeskyttelsesniveauet for enkeltpersoner og øge forretningsmulighederne på det digitale indre marked. 

Letlands justitsminister Dzintars Rasnačs sagde: "I dag er vi nået et stort skridt videre hen imod at modernisere og harmonisere rammerne for databeskyttelse for Den Europæiske Union. Jeg er meget tilfreds med, at vi efter tre års forhandlinger endelig har fundet et kompromis om teksten. Den nye forordning om databeskyttelse er tilpasset den digitale tidsalders behov, vil styrke vores borgeres individuelle rettigheder og sikre en høj standard for beskyttelse." 

En generel indstilling betyder, at Rådet har en politisk aftale, på grundlag af hvilken det nu kan indlede forhandlinger med Europa-Parlamentet med henblik på at nå en samlet aftale om nye databeskyttelsesregler i EU. En første trilog med Parlamentet er berammet til 24. juni 2015. 

"Jeg ser med tilfredshed, at Europa-Parlamentet er parat til at indlede trilogforhandlinger allerede i næste uge. Forhåbentlig når vi hurtigt til en endelig aftale, så vores borgere kan nyde godt af fordelene ved reformen så snart som muligt", sagde Letlands justitsminister Dzintars Rasnačs. 

Det kommende luxembourgske formandskab oplyste, at arbejdet med databeskyttelsesdirektivet på retshåndhævelsesområdet parallelt med forhandlingerne om forordningen vil blive fremskyndet med henblik på at nå til en generel indstilling i oktober. Luxembourgs justitsminister Felix Braz sagde: "Denne reform er en pakke, og vi har en klar plan om at nå til vejs ende inden udgangen af året".

Hovedelementer i aftalen 

Et øget databeskyttelsesniveau 

Personoplysninger skal indsamles og behandles lovligt på strenge betingelser og med et legitimt formål. De dataansvarlige (de, der er ansvarlige for behandlingen af data) skal overholde bestemte regler som f.eks. kravet om utvetydigt samtykke fra den registrerede (den person, hvis personoplysninger behandles) for at få lov til at behandle personoplysninger. 

Styrkede databeskyttelsesrettigheder giver registrerede mere kontrol over deres personoplysninger: 

• lettere adgang til deres data
• mere detaljeret information om, hvad der sker med deres personoplysninger, når de beslutter sig for at dele dem: dataansvarlige skal være mere åbne med hensyn til, hvordan personoplysninger behandles, f.eks. ved at oplyse personer om deres politik vedrørende privatlivets fred i et klart og enkelt sprog.
• retten til at slette personoplysninger og "til at blive glemt" gør det muligt for enhver f.eks. at kræve, at en tjenesteyder omgående fjerner personoplysninger, der blev indsamlet, da personen var barn.
• retten til dataportabilitet, der giver mulighed for lettere overførsel af personoplysninger fra en tjenesteyder, f.eks. et socialt netværk, til en anden. Dette vil også øge konkurrencen mellem tjenesteydere.
• begrænsninger af brugen af profilanalyse, dvs. automatisk behandling af personoplysninger for at vurdere personlige aspekter som f.eks. resultater på arbejdet, økonomisk situation, sundhed, personlige præferencer osv.

 For at sikre forbedret domstolsprøvelse vil registrerede kunne få enhver afgørelse truffet af deres databeskyttelsesmyndighed kontrolleret af deres nationale domstole, uanset hvilken medlemsstat den dataansvarlige er etableret i. 

Øgede forretningsmuligheder på det digitale indre marked 

Et enkelt sæt regler, der er gyldige i hele EU og gælder for både EU- og ikke-EU-virksomheder, der udbyder deres onlinetjenester i EU, vil forhindre modstridende nationale databeskyttelsesregler i at afbryde grænseoverskridende udvekslinger af data. Endvidere vil øget samarbejde mellem tilsynsmyndighederne i medlemsstaterne sikre sammenhængende anvendelse af disse regler i hele EU. Dette vil skabe fair konkurrence og tilskynde virksomheder, navnlig små og mellemstore virksomheder, til at få mest muligt ud af det digitale indre marked. 

For at mindske omkostningerne og skabe retssikkerhed vil der i vigtige grænseoverskridende tilfælde, hvor flere nationale tilsynsmyndigheder er involveret, blive truffet én tilsynsafgørelse. Denne one-stop-shop-mekanisme vil give en virksomhed med datterselskaber i flere medlemsstater mulighed for at begrænse sine kontakter med databeskyttelsesmyndigheden i den medlemsstat, hvor den er etableret. 

For at mindske omkostningerne i forbindelse med overholdelse kan dataansvarlige på grundlag af en vurdering af den risiko, der er i forbindelse med deres behandling af personoplysninger, definere risikoniveauer og iværksætte foranstaltninger, der svarer til disse niveauer. 

Flere og bedre værktøjer til at håndhæve overholdelse af databeskyttelsesreglerne. 

Dataansvarliges øgede ansvar og ansvarlighed vil forbedre overholdelsen af de nye databeskyttelsesregler. Dataansvarlige skal gennemføre passende sikkerhedsforanstaltninger og skal uden unødig forsinkelse anmelde brud på persondatasikkerheden til tilsynsmyndigheden samt til dem, der er væsentligt krænket af bruddet. Dataansvarlige og databehandlere kan udpege databeskyttelsesansvarlige i deres organisation. Desuden kan EU-ret eller national lovgivning kræve, at de gør det. 

Registrerede samt, under visse omstændigheder, databeskyttelsesansvarlige kan indgive en klage til en tilsynsmyndighed eller indbringe en klage for en domstol i tilfælde, hvor databeskyttelsesregler ikke bliver overholdt. Når sådanne tilfælde bekræftes, udsættes dataansvarlige desuden for bøder på op til 1 mio. € eller 2 % af deres samlede årlige omsætning. 

Garantier vedrørende overførsler af personoplysninger uden for EU 

Beskyttelsen af overførsler af personoplysninger til ikke-EU-lande og internationale organisationer sikres gennem afgørelser om tilstrækkeligt beskyttelsesniveau Kommissionen er med inddragelse af medlemsstaterne og Europa-Parlamentet kompetent til at beslutte, hvorvidt det databeskyttelsesniveau, der tilbydes af et ikke-EU-land eller en international organisation, er tilstrækkeligt. I tilfælde, hvor der ikke er truffet nogen sådan afgørelse, kan overførslen af personoplysninger kun ske, hvis de fornødne garantier (standardbestemmelser om databeskyttelse, bindende virksomhedsregler, kontraktbestemmelser) er på plads.

• Generel forordning om databeskyttelse - generel indstilling
• Databeskyttelsesreform