Personvernforordningen: gjennomføringsbestemmelser om datautveksling med Storbritannia
Kommisjonens gjennomføringsbeslutning (EU) 2021/1772 av 28. juni 2021 om tilstrekkelig beskyttelsesnivå for personopplysninger i Det forente kongerike i henhold til europaparlaments- og rådsforordning (EU) 2016/679
Commission Implementing Decision (EU) 2021/1772 of 28 June 2021 pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate protection of personal data by the United Kingdom
EØS-komitebeslutning 29.4.2022 om innlemmelse i EØS-avtalen
Nærmere omtale
BAKGRUNN (fra departementets EØS-notat, sist oppdatert 6.4.2022)
Sammendrag av innhold
Rettsakten er en kommisjonsbeslutning etter forordning (EU) 2016/679 (personvernforordningen) artikkel 45(3). Denne artikkelen gir kommisjonen fullmakt til å beslutte at et tredjeland har tilstrekkelig/adekvat beskyttelse av personopplysninger (adekvansbeslutning). Beslutningen fastslår at Storbritannia har tilstrekkelig beskyttelsesnivå for personopplysninger. Dette innebærer at personopplysninger kan overføres til Storbritannia uten at den behandlingsansvarlige må gå veien om et av de mer omfattende kravene til overføring i personvernforordningen kapittel V. Rettsakten innebærer dermed en forenkling for både private og offentlige virksomheter.
For å fastslå at Storbritannia har et tilfredsstillende beskyttelsesnivå for personopplysninger, er det (jf. fortalepunkt 104) tilstrekkelig å undersøke om de har et beskyttelsesnivå som er "i hovedtrekk tilsvarer" beskyttelsesnivået i EU, slik det fremgår av personvernforordningen. Det er dermed ikke et krav til identisk beskyttelse. I rettsakten viser Kommisjonen til regelverk, tilsyns- og klagemuligheter i Storbritannia og konkluderer med at dette er tilfredsstillende.
Besutningen omfatter ikke personopplysninger som faller inn under "immigrasjonunntaket" i britisk lov. Denne avgrensningen skyldes en dom fra "England and Wales Court of Appeal" vedrørende tolkning av enkelte begrensninger i de registrertes personvernrettigheter på immigrasjonsområdet, der domstolen fant at immigrasjonsunntaket ikke var i tråd med personvernforordningen. Personopplysninger som faller inn under immigrasjonsunntaket vil dermed ikke kunne overføres etter denne kommisjonsbeslutningen. Avgrensningen vil bli revurdert av kommisjonen når rettstilstanden i Storbritannia er avklart.
Beslutningen er gyldig frem til 27. juni 2025, med mindre den forlenges i tråd med prosedyren i personvernforordningen artikkel 93(2). Det legges opp til at beslutningen vil revideres.
Merknader
Rettslige konsekvenser
Beslutningen krever ingen endringer i norsk regelverk.
Økonomiske og administrative konsekvenser
Rettsakten legger til rette for enklere flyt av personopplysninger fra Norge til Storbritannia. Norske selskaper og organisasjoner antas å få nytte av beslutningen, på linje med EU-landene, ved at overføring av personopplysninger til Storbritannia kan skje uten å gå veien om mer omfattende krav i personvernforordningen kapittel V. Dette vil gi økonomiske og administrative besparelser for både næringslivet og offentlige organer.
Sakkyndige instansers merknader
Beslutningen har vært forelagt JD og UD. Den har ikke vært behandlet i Spesialutvalget for kommunikasjoner.
Den har ikke vært på høring.
Vurdering
Rettsakten er EØS-relevant og akseptabel.
Status
Rettsakten ble vedtatt i EU 28. juni 2021.
Sammendrag av innhold
Rettsakten er en kommisjonsbeslutning etter forordning (EU) 2016/679 (personvernforordningen) artikkel 45(3). Denne artikkelen gir kommisjonen fullmakt til å beslutte at et tredjeland har tilstrekkelig/adekvat beskyttelse av personopplysninger (adekvansbeslutning). Beslutningen fastslår at Storbritannia har tilstrekkelig beskyttelsesnivå for personopplysninger. Dette innebærer at personopplysninger kan overføres til Storbritannia uten at den behandlingsansvarlige må gå veien om et av de mer omfattende kravene til overføring i personvernforordningen kapittel V. Rettsakten innebærer dermed en forenkling for både private og offentlige virksomheter.
For å fastslå at Storbritannia har et tilfredsstillende beskyttelsesnivå for personopplysninger, er det (jf. fortalepunkt 104) tilstrekkelig å undersøke om de har et beskyttelsesnivå som er "i hovedtrekk tilsvarer" beskyttelsesnivået i EU, slik det fremgår av personvernforordningen. Det er dermed ikke et krav til identisk beskyttelse. I rettsakten viser Kommisjonen til regelverk, tilsyns- og klagemuligheter i Storbritannia og konkluderer med at dette er tilfredsstillende.
Besutningen omfatter ikke personopplysninger som faller inn under "immigrasjonunntaket" i britisk lov. Denne avgrensningen skyldes en dom fra "England and Wales Court of Appeal" vedrørende tolkning av enkelte begrensninger i de registrertes personvernrettigheter på immigrasjonsområdet, der domstolen fant at immigrasjonsunntaket ikke var i tråd med personvernforordningen. Personopplysninger som faller inn under immigrasjonsunntaket vil dermed ikke kunne overføres etter denne kommisjonsbeslutningen. Avgrensningen vil bli revurdert av kommisjonen når rettstilstanden i Storbritannia er avklart.
Beslutningen er gyldig frem til 27. juni 2025, med mindre den forlenges i tråd med prosedyren i personvernforordningen artikkel 93(2). Det legges opp til at beslutningen vil revideres.
Merknader
Rettslige konsekvenser
Beslutningen krever ingen endringer i norsk regelverk.
Økonomiske og administrative konsekvenser
Rettsakten legger til rette for enklere flyt av personopplysninger fra Norge til Storbritannia. Norske selskaper og organisasjoner antas å få nytte av beslutningen, på linje med EU-landene, ved at overføring av personopplysninger til Storbritannia kan skje uten å gå veien om mer omfattende krav i personvernforordningen kapittel V. Dette vil gi økonomiske og administrative besparelser for både næringslivet og offentlige organer.
Sakkyndige instansers merknader
Beslutningen har vært forelagt JD og UD. Den har ikke vært behandlet i Spesialutvalget for kommunikasjoner.
Den har ikke vært på høring.
Vurdering
Rettsakten er EØS-relevant og akseptabel.
Status
Rettsakten ble vedtatt i EU 28. juni 2021.