EDPS sanktionerer Europa-Parlamentet for ulovlig dataoverførsel til USA

Efter en klage fra seks MEP'er, herunder Patrick Breyer fra Piratpartiet, har den europæiske tilsynsførende for databeskyttelse (EDPS) bekræftet, at Europa-Parlamentets COVID-testwebsted overtrådte databeskyttelsesreglerne.[1] EDPS fremhæver, at brugen af ​​Google Analytics og betalingsudbyderen Stripe (begge amerikanske virksomheder) overtrådte EU-Domstolens (CJEU) "Schrems II"-kendelse om dataoverførsler mellem EU og USA.

Kendelsen er en af ​​de første beslutninger om at implementere "Schrems II" i praksis og kan være banebrydende for mange andre sager, der i øjeblikket behandles af tilsynsmyndigheder. På vegne af seks MEP'er indgav databeskyttelsesorganisationen noyb en databeskyttelsesklage mod Europa-Parlamentet i januar 2021.[2]

De vigtigste spørgsmål, der rejses, er de vildledende cookies-bannere på et internt coronatestwebsted, den vage og uklare databeskyttelsesmeddelelse og den ulovlige overførsel af data til USA. EDPS undersøgte sagen og udstedte en irettesættelse til Parlamentet for overtrædelse af "GDPR for EU-institutioner" (forordning (EU) 2018/1725, der kun gælder for EU-institutioner).

Ulovlige dataoverførsler til USA I den såkaldte "Schrems II"-sag understregede EU-domstolen, at overførslen af ​​personoplysninger fra EU til USA er underlagt meget strenge betingelser. Hjemmesider skal afholde sig fra at overføre personoplysninger til USA, hvor der ikke kan sikres et tilstrækkeligt beskyttelsesniveau for personoplysningerne.

EDPS bekræftede, at webstedet rent faktisk overførte data til USA uden at sikre et tilstrækkeligt beskyttelsesniveau for dataene og fremhævede: "Parlamentet fremlagde ingen dokumentation, beviser eller andre oplysninger vedrørende de kontraktlige, tekniske eller organisatoriske foranstaltninger, der er på plads for at sikre en væsentlig tilsvarende beskyttelsesniveau til de personlige data, der overføres til USA i forbindelse med brugen af ​​cookies på webstedet."

Medklager og MEP Patrick Breyer (Piratpartiet) kommenterer: "Schrems II-dommen var en stor sejr for beskyttelsen af ​​vores privatliv og fortroligheden af ​​vores kommunikation og internetbrug. Desværre viser denne sag, at vores data stadig bliver ulovligt overføres til USA i stort tal EDPS gør det med sin beslutning klart, at dette skal ophøre. Der må ikke ske mere unødvendig videregivelse af vores persondata til USA uden vores samtykke, heller ikke på baggrund af den såkaldte standard kontraktklausuler, som ikke beskytter os mod NSA's masseovervågningsordninger."

Ingen bøde, men en irettesættelse og en overholdelsesordre EDPS udstedte en irettesættelse til Parlamentet for de forskellige brud på databeskyttelsesforordningen, der gælder for EU-institutionerne. I modsætning til nationale databeskyttelsesmyndigheder i henhold til GDPR kan EDPS kun pålægge en bøde under visse omstændigheder, som ikke blev opfyldt i denne sag. Derudover gav EDPS Parlamentet en måned til at opdatere sin databeskyttelsesmeddelelse og løse de resterende gennemsigtighedsproblemer.

reklame

[1]
[2]
[3]

Del denne artikel: