1. Indledning

Beskyttelsen af personoplysninger indgår i Europas fælles konstitutionelle opbygning og er forankret i artikel 8 i EU's charter om grundlæggende rettigheder. Denne beskyttelse har været et centralt aspekt i EU-retten i over 20 år lige fra databeskyttelsesdirektivet i 1995 ("1995-direktivet") til vedtagelsen af den generelle forordning om databeskyttelse (GDPR) og politidirektivet i 2016.

Som kommissionsformand Jean-Claude Juncker understregede i sin tale om Unionens tilstand den 14. september 2016: "At være europæer betyder, at du har ret til at få dine personoplysninger beskyttet af stærk europæisk lovgivning. […] For privatlivets fred betyder noget i Europa. Det er et spørgsmål om menneskelig værdighed."

Behovet for beskyttelse af personoplysninger er imidlertid ikke begrænset til Europa. Forbrugere i hele verden sætter i stigende grad pris på deres privatliv. Virksomhederne anerkender i denne forbindelse, at en stærk beskyttelse af privatlivets fred giver dem en konkurrencefordel, da tilliden til deres tjenester styrkes. Mange virksomheder, navnlig globalt orienterede virksomheder, tilpasser deres privatlivspolitikker til GDPR, både fordi de ønsker at gøre forretninger i EU, og fordi de betragter forordningen som en model, der bør følges.

En række lande og regionale organisationer uden for EU i vores umiddelbare nabolande til Asien, Latinamerika og Afrika vedtager ligeledes nye eller ajourfører eksisterende databeskyttelsesregler for at udnytte de muligheder, der knytter sig til den globale digitale økonomi, og imødegår den voksende efterspørgsel efter en stærkere beskyttelse af data og privatlivets fred. Selv om der forskelle mellem landene med hensyn til deres tilgang og lovgivningsmæssige udvikling, er der tegn på større konvergens i retning af vigtige databeskyttelsesprincipper, navnlig i visse regioner i verden. Større forenelighed mellem forskellige databeskyttelsessystemer vil fremme internationale strømme af personoplysninger, både i kommercielt øjemed eller med henblik på samarbejde mellem offentlige myndigheder (f.eks. om retshåndhævelse). EU bør gribe denne mulighed for at fremme sine databeskyttelsesværdier og fremme datastrømme ved at tilskynde til konvergens mellem retssystemer. Som bebudet i Kommissionens arbejdsprogram redegøres der i nærværende meddelelse for Kommissionens strategiske ramme for "afgørelser om tilstrækkeligheden af beskyttelsesniveauet" samt for andre redskaber til videregivelse af oplysninger og internationale instrumenter på databeskyttelsesområdet.

2. EU's databeskyttelsesreformpakke – en moderne lovgivningsramme til fremme af internationale datastrømme med et højt beskyttelsesniveau

Med reformen af databeskyttelseslovgivningen, der blev vedtaget i april 2016, indføres et system, der både sikrer et højt beskyttelsesniveau og er åbent for mulighederne i det globale informationssamfund. Reformen sikrer enkeltpersoner større kontrol over deres personoplysninger og styrker således forbrugernes tillid til den digitale økonomi. En harmonisering og forenkling af lovgivningen gør det nemmere og mindre byrdefuldt for både indenlandske og udenlandske virksomheder at udøve deres virksomhed i EU, herunder gennem international udveksling af oplysninger. I dag kombinerer EU åbenhed over for internationale datastrømme med det højeste beskyttelsesniveau for fysiske personer. EU har potentiale til at blive et center for datatjenester, hvilket både forudsætter frie strømme og tillid.

2.1 En omfattende og forenklet fælles EU-ramme for databeskyttelse

I EU-reformen fastlægges en omfattende ramme for beskyttelse af personoplysninger i både den private og offentlige sektor og inden for både handel og retshåndhævelse (henholdsvis GDPR og politidirektivet).

I henhold til GDPR vil der fra maj 2018 være ét enkelt paneuropæisk regelsæt i stedet for de nuværende 28 nationale lovgivninger. Den nyligt etablerede one-stop-shop-mekanisme vil sikre, at en enkelt databeskyttelsesmyndighed vil være ansvarlig for overvågningen af en EU-virksomheds grænseoverskridende databehandlingsaktiviteter. Det sikres således, at de ny regler fortolkes ensartet. I grænseoverskridende sager med inddragelse af flere nationale databeskyttelsesmyndigheder, vil der navnlig blive truffet en enkelt afgørelse for at sikre fælles løsninger på fælles problemer. GDPR sikrer desuden lige konkurrencevilkår mellem EU-virksomheder og udenlandske virksomheder, da virksomheder, som er baseret uden for EU, skal anvende de samme regler som europæiske virksomheder, hvis de udbyder varer og tjenesteydelser eller overvåger enkeltpersoners adfærd i EU. En større forbrugertillid vil både være til gavn for EU og eksterne kommercielle operatører.

Politidirektivet indeholder fælles regler om behandling af personoplysninger om enkeltpersoner, der er involveret i straffesager som mistænkte, ofre eller vidner, under hensyntagen til den særlige karakter af politisamarbejdet og det retlige samarbejde i straffesager. En harmonisering af databeskyttelsesreglerne inden for retshåndhævelse, herunder reglerne om internationale overførsler, vil fremme det grænseoverskridende politisamarbejde og retlige samarbejde mellem myndighederne, både i EU og med internationale partnere, og således skabe de rette betingelser for en mere effektiv bekæmpelse af kriminalitet. Dette er et vigtigt bidrag til den europæiske dagsorden om sikkerhed.

2.2 En ny og diversificeret værktøjskasse til internationale overførsler

EU-databeskyttelsesreglerne har lige fra starten omfattet en række mekanismer til brug for international videregivelse af oplysninger. Det primære formål med disse regler er at sikre beskyttelsen af europæiske borgeres personoplysninger ved videregivelse til andre lande. Disse regler har gennem årene sat standarden for internationale datastrømme i mange jurisdiktioner. Selv om arkitekturen i bund og grund er den samme som i 1995-direktivet, præciserer og forenkler reformen af reglerne om internationale overførsler deres anvendelse, og der indføres nye redskaber til videregivelse.

I henhold til EU-retten kan personoplysninger bl.a. overføres til andre lande på grundlag af Kommissionens afgørelse om "tilstrækkeligheden af beskyttelsesniveauet", hvori det fastslås, at et tredjeland skal sikre et databeskyttelsesniveau, "som i det væsentlige svarer" til det, der sikres i EU. Formålet med denne afgørelse er at sikre fri udveksling af personoplysninger med det pågældende tredjeland, uden at dataeksportøren skal stille yderligere garantier eller opnå godkendelse. Et nøjagtigt og detaljeret katalog over elementer, der skal tages i betragtning ved vurderingen af tilstrækkeligheden af beskyttelsesniveauet i et udenlandsk system, er tilgængeligt for interesserede lande eller internationale organisationer. Kommissionen kan nu også vedtage afgørelser om tilstrækkeligheden af beskyttelsesniveauet på håndhævelsesområdet. Med udgangspunkt i praksis i henhold til 1995-direktivet giver reformen desuden mulighed for at vurdere tilstrækkeligheden af beskyttelsesniveauet i et specifikt område i et tredjeland eller en specifik sektor eller industri i et tredjeland (såkaldt "delvis" tilstrækkelighed).

Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, kan internationale overførsler foretages ved brug af en række alternative redskaber til videregivelse, som sikrer de fornødne databeskyttelsesgarantier. Reformen formaliserer og øger mulighederne for at anvende eksisterende instrumenter såsom standardkontraktbestemmelser og bindende virksomhedsregler. Nu kan standardkontraktbestemmelser f.eks. inkluderes i en kontrakt mellem EU-baserede databehandlere og databehandlere i et tredjeland (såkaldte "databehandler-til-databehandler"-standardbestemmelser). Med hensyn til bindende virksomhedsregler, der indtil videre har været begrænset til enheder i samme koncern, kan de nu anvendes af en gruppe af foretagender, der udøver en fælles økonomisk aktivitet, men ikke nødvendigvis indgår i samme koncern. Reformen mindsker ligeledes bureaukratiet ved at fjerne generelle krav om forudgående anmeldelse til og godkendelse fra databeskyttelsesmyndighederne af videregivelse af oplysninger til et tredjeland baseret på standardkontraktbestemmelser og bindende virksomhedsregler. Dette er en vigtig forenkling af EU-systemet for international videregivelse af oplysninger, da disse krav, der i øjeblikket er forskellige i medlemsstaterne, ofte betragtes som en væsentlig hindring for datastrømme, navnlig for mindre virksomheder.

Derudover indfører reformen nye instrumenter vedrørende internationale overførsler. Dataansvarlige og databehandlere vil på visse betingelser få mulighed for at anvende godkendte adfærdskodekser eller certificeringsmekanismer (f.eks. privatlivsmærkninger eller -mærker) for at sikre "fornødne garantier". Dette burde gøre det muligt at udvikle mere skræddersyede løsninger vedrørende internationale overførsler, der f.eks. afspejler en specifik sektors eller industris eller specifikke datastrømmes særlige karakter. Det gør det ligeledes muligt at sikre de fornødne garantier for overførsel af oplysninger mellem offentlige myndigheder eller organer på grundlag af internationale aftaler eller administrative ordninger. Endelig præciserer GDPR anvendelsen af de såkaldte "undtagelser" (samtykke, opfyldelse af en kontrakt eller vigtige samfundsinteresser), som enheder i specifikke situationer kan basere deres dataoverførsler på, hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, og uanset om et af ovennævnte instrumenter anvendes. Forordningen indeholder navnlig en ny, om end begrænset undtagelse om overførsler, der kan foretages i forbindelse med en virksomheds forfølgelse af legitime interesser.

Endelig tillægger reformen Kommissionen beføjelser til at udvikle mekanismer for internationalt samarbejde for at lette håndhævelsen af databeskyttelsesreglerne, herunder gennem ordninger for gensidig bistand. Dette er en anerkendelse af, at et tættere samarbejde mellem myndighederne på internationalt plan både kan sikre en mere effektiv beskyttelse af den enkeltes rettigheder og større retssikkerhed for virksomhederne.

3. International videregivelse af oplysninger inden for handel: fremme af handel gennem beskyttelse af privatlivets fred

Beskyttelse af privatlivets fred er en forudsætning for stabile, sikre og konkurrencedygtige globale handelsstrømme. Privatlivets fred er ikke en handelsvare. Internettet og digitalisering af varer og tjenesteydelser har ændret den globale økonomi, og grænseoverskridende overførsel af oplysninger, herunder personoplysninger, er et led i europæiske virksomheders daglige drift, uanset størrelse og sektor. Da samhandel i stigende grad afhænger af udveksling af personoplysninger, er beskyttelsen af privatlivets fred og datasikkerheden i denne forbindelse blevet en central faktor for forbrugertilliden. To tredjedele af europæerne anfører f.eks., at de er bekymret over, at de ikke har kontrol over de oplysninger, de giver online, og halvdelen af respondenterne er bange for at blive ofre for svig. Europæiske virksomheder, der opererer i visse tredjelande, pålægges samtidig i stigende grad protektionistiske restriktioner, der ikke kan begrundes i legitime hensyn til privatlivets fred.