natgillin/translations-raw huggingface dataset:
In its judgment of 6 October 2015 in Case C-362/14, Maximillian Schrems v Data Protection Commissioner [10], the Court of Justice of the European Union declared Decision 2000/520/EC invalid.
I sin dom av den 6 oktober 2015 i mål C-362/14, Maximillian Schrems mot Data Protection Commissioner, ogiltigförklarade EU-domstolens beslut 2000/520/EC [10].
Without examining the content of the Safe Harbour Privacy Principles, the Court considered that the Commission had not stated in that decision that the United States in fact ‘ensured’ an adequate level of protection by reason of its domestic law or its international commitments [11].
Utan att undersöka innehållet i principerna om integritetsskydd ansåg domstolen att kommissionen i beslutet inte hade angett att Förenta staterna de facto ”säkerställer” en adekvat skyddsnivå genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet [11].
The Court of Justice criticised the lack of sufficient findings in Decision 2000/520/EC regarding the existence, in the United States, of rules adopted by the State intended to limit any interference with the fundamental rights of the persons whose data is transferred from the Union to the United States, interference which the State entities of that country would be authorised to engage in when they pursue legitimate objectives, such as national security, and the existence of effective legal protection against interference of that kind [13].
Dessa förhandlingar intensifierades efter EU-domstolens dom i Schrems-målet med sikte på ett eventuellt nytt beslut om adekvat skyddsnivå som uppfyller kraven i artikel 25 i direktiv 95/46/EG enligt domstolens tolkning.
In 2014 the Commission had entered into talks with the U.S. authorities in order to discuss the strengthening of the Safe Harbour scheme in line with the 13 recommendations contained in Communication COM(2013) 847 final.
De dokument som bifogas detta beslut och som även kommer att offentliggöras i Förenta staternas federala register är resultatet av dessa diskussioner.
After the judgment of the Court of Justice of the European Union in the Schrems case, these talks were intensified, with a view to a possible new adequacy decision which would meet the requirements of Article 25 of Directive 95/46/EC as interpreted by the Court of Justice.
Principerna (bilaga II), tillsammans med de officiella utfästelserna och åtagandena från flera myndigheter Förenta staterna i dokumenten i bilagorna I och III–VII, utgör ”skölden för skydd av privatlivet i EU och Förenta staterna”.
The documents which are annexed to this decision and will also be published in the U.S. Federal Register are the result of these discussions.
Kommissionen har noggrant analyserat Förenta staternas lagstiftning och praxis, inbegripet dessa officiella utfästelser och åtaganden.
The privacy principles (Annex II), together with the official representations and commitments by various U.S. authorities contained in the documents in Annexes I, III to VII, constitute the ‘EU-U.S. Privacy Shield’.
På grundval av de konstateranden som görs i skälen 136–140 drar kommissionen slutsatsen att Förenta staterna säkerställer en adekvat skyddsnivå för skydd av personuppgifter som överförs enligt skölden för skydd av privatlivet i EU och Förenta staterna från unionen till självcertifierade organisationer i Förenta staterna.
The Commission has carefully analysed U.S. law and practice, including these official representations and commitments.
SKÖLDEN FÖR SKYDD AV PRIVATLIVET I EU OCH FÖRENTA STATERNA
Based on the findings developed in recitals 136-140, the Commission concludes that the United States ensures an adequate level of protection for personal data transferred under the EU-U.S. Privacy Shield from the Union to self-certified organisations in the United States.
Skölden för skydd av privatlivet i EU och Förenta staterna bygger på ett system för självcertifiering genom vilket organisationer i Förenta staterna förbinder sig att följa en uppsättning principer om integritetsskydd – principerna om integritetsskydd för skölden för skydd av privatlivet i EU och UA, inklusive kompletterande principer (nedan tillsammans kallade principerna) – som utfärdats av Förenta staternas handelsministerium och ingår i bilaga II till detta beslut.
THE ‘EU-U.S. PRIVACY SHIELD’
Den gäller för både registeransvariga och registerförare (förmedlare), med det särskilda villkoret att registerförare måste vara bundna av ett avtal att agera endast enligt instruktioner från den EU-registeransvariga och att hjälpa den sistnämnda att tillmötesgå enskilda som utövar sina rättigheter enligt principerna [14].
The EU-U.S. Privacy Shield is based on a system of self-certification by which U.S. organisations commit to a set of privacy principles — the EU-U.S. Privacy Shield Framework Principles, including the Supplemental Principles (hereinafter together: ‘the Principles’) — issued by the U.S. Department of Commerce and contained in Annex II to this decision.
Utan att det påverkar de nationella bestämmelser som antagits i enlighet med direktiv 95/46/EG har detta beslut effekten att överföringar från en registeransvarig eller registerförare i unionen till organisationer i Förenta staterna som har självcertifierat sin anslutning till principerna hos handelsministeriet och har åtagit sig att följa dem tillåts.
It applies to both controllers and processors (agents), with the specificity that processors must be contractually bound to act only on instructions from the EU controller and assist the latter in responding to individuals exercising their rights under the Principles [14].
Principerna gäller endast för behandlingen av personuppgifter som utförs av organisationen i Förenta staterna i den mån som behandling som utförs av sådana organisationer inte omfattas av tillämpningsområdet för unionslagstiftning [15].
Without prejudice to compliance with the national provisions adopted pursuant to Directive 95/46/EC, the present decision has the effect that transfers from a controller or processor in the Union to organisations in the U.S. that have self-certified their adherence to the Principles with the Department of Commerce and have committed to comply with them are allowed.
Skölden för skydd av privatlivet påverkar inte tillämpningen av unionslagstiftning som reglerar behandlingen av personuppgifter i medlemsstaterna [16].
The Principles apply solely to the processing of personal data by the U.S. organisation in as far as processing by such organisations does not fall within the scope of Union legislation.
Det skydd för personuppgifter som skölden för skydd av privatlivet ger gäller för alla registrerade i EU [17] vars personuppgifter har överförts från unionen till organisationer i Förenta staterna som har självcertifierat sin anslutning till principerna hos handelsministeriet.
The Privacy Shield does not affect the application of Union legislation governing the processing of personal data in the Member States [16].
Principerna blir omedelbart tillämpliga vid certifiering.
The protection afforded to personal data by the Privacy Shield applies to any EU data subject [17] whose personal data have been transferred from the Union to organisations in the U.S. that have self-certified their adherence to the Principles with the Department of Commerce.
Ett undantag rör principen om ansvar för vidare överföring i fall där en organisation som självcertifierar sin anslutning till skölden för privatlivet redan har has preexisterande kommersiella förbindelser med tredjeparter.
The Principles apply immediately upon certification.
Med tanke på att det kan ta tid att bringa dessa kommersiella förbindelser i överensstämmelse med de regler som är tillämpliga enligt principen om ansvar för vidare överföring, kommer organisationen att bli tvungen att göra detta så snart som möjligt, och i alla händelser senast nio månader efter självcertifiering (förutsatt att detta äger rum under de första två månaderna efter den dag då skölden för privatlivet träder i kraft).
One exception relates to the Accountability for Onward Transfer Principle in a case where an organisation self-certifying to the Privacy Shield already has pre-existing commercial relationships with third parties.
Under denna mellanliggande period ska organisationen tillämpa principerna om meddelande och valmöjlighet (och sålunda ge den registrerade i EU möjlighet inte omfattas) och, om personuppgifter överförs till en tredje part som agerar som förmedlare, säkerställa att den sistnämnda tillhandahåller åtminstone samma skyddsnivå som den som krävs enligt principerna [18].
Given that it may take some time to bring those commercial relationships into conformity with the rules applicable under the Accountability for Onward Transfer Principle, the organisation will be obliged to do so as soon as possible, and in any event no later than nine months from self-certification (provided that this takes places in the first two months following the day when the Privacy Shield becomes effective).
Denna övergångsperiod ger en rimlig och lämplig balans mellan respekten för den grundläggande rätten till dataskydd och de legitima behoven hos företag att ha tillräckligt med tid till förfogande för att anpassa sig till den nya ramen där detta också är beroende av deras kommersiella förbindelser med tredjeparter.
During this interim period, the organisation must apply the Notice and Choice Principle (thus allowing the EU data subject an opt-out) and, where personal data is transferred to a third party acting as an agent, must ensure that the latter provides at least the same level of protection as is required by the Principles [18].
Systemet kommer att förvaltas och övervakas av handelsministeriet på grundval av dess åtaganden som anges i utfästelserna från Förenta staternas handelsminister (bilaga I till detta beslut).
This transitional period provides a reasonable and appropriate balance between the respect for the fundamental right to data protection and the legitimate needs of businesses to have sufficient time to adapt to the new framework where this also depends on their commercial relationships with third parties.
När det gäller verkställandet av principerna har den federala konkurrensmyndigheten (Federal Trade Commission, FTC) och transportministeriet gjort utfästelser som ingår i bilagorna IV och V till detta beslut.
The system will be administered and monitored by the Department of Commerce based on its commitments set out in the representations from the U.S. Secretary of Commerce (Annex I to this decision).
Principerna
With regard to the enforcement of the Principles, the Federal Trade Commission (FTC) and the Department of Transportation have made representations that are contained in Annex IV and Annex V to this decision.
Som en del av sin självcertifiering enligt skölden för skydd av privatlivet i EU och Förenta staterna måste organisationer förbinda sig att följa principerna [19].
Privacy Principles
Enligt principen om meddelande är organisationerna skyldiga att lämna information till registrerade om en rad viktiga aspekter i behandlingen av deras personuppgifter (t.ex. typ av insamlade uppgifter, ändamålet med behandlingen, rätt till åtkomst och valmöjlighet, villkor för vidare överföring samt ansvarsskyldighet).
As part of their self-certification under the EU-U.S. Privacy Shield, organisations have to commit to comply with the Principles [19].
Ytterligare garantier gäller, särskilt kravet att organisationerna ska offentliggöra sina integritetsskyddspolicyer (som ska avspegla principerna) och ange länkar till handelsministeriets webbplats (med närmare upplysningar om självcertifiering, registrerades rättigheter samt tillgängliga instanser för handläggning av klagomål), den förteckning över organisationer som anslutit sig till skölden (som avses i skäl 30) samt en adress till ett lämpligt alternativt tvistlösningsorgans webbplats.
Under the Notice Principle, organisations are obliged to provide information to data subjects on a number of key elements relating to the processing of their personal data (e.g. type of data collected, purpose of processing, right of access and choice, conditions for onward transfers and liability).
Enligt principen om dataintegritet och ändamålsbegränsning måste personuppgifter begränsas till de uppgifter som är relevanta för ändamålet med behandlingen, vara tillförlitliga för det avsedda ändamålet samt riktiga, fullständiga och aktuella.
Further safeguards apply, in particular the requirement for organisations to make public their privacy policies (reflecting the Principles) and to provide links to the Department of Commerce's website (with further details on self-certification, the rights of data subjects and available recourse mechanisms), the Privacy Shield List (referred to in recital 30) and the website of an appropriate alternative dispute settlement provider.
En organisation får inte behandla personuppgifter på ett sätt som är oförenligt med det ändamål för vilket de ursprungligen samlades in om inte den registrerade i efterhand har gett sitt tillstånd.
Under the Data Integrity and Purpose Limitation Principle, personal data must be limited to what is relevant for the purpose of the processing, reliable for its intended use, accurate, complete and current.
Organisationer måste säkerställa att personuppgifter är tillförlitliga för det avsedda ändamålet samt riktiga, fullständiga och aktuella.
An organisation may not process personal data in a way that is incompatible with the purpose for which it was originally collected or subsequently authorised by the data subject.
Om ett nytt (ändrat) ändamål i sak skiljer sig från men fortfarande är förenligt med det ursprungliga ändamålet, ger principen om valmöjlighet registrerade rätten att invända (opt-out).
Organisations must ensure that personal data is reliable for its intended use, accurate, complete and current.
Principen om valmöjlighet har inte företräde framför det uttryckliga förbudet mot oförenlig behandling [20].
Where a new (changed) purpose is materially different but still compatible with the original purpose, the Choice Principle gives data subjects the right to object (opt out).
Fortfarande gäller att enligt principen om dataintegritet och ändamålsbegränsning får personlig information lagras i en form som identifierar en fysisk person eller gör en fysisk person identifierbar (och således i form av personuppgifter) endast så länge det tjänar de syften för vilka den ursprungligen insamlades eller tillstånd gavs i efterhand.
The Choice Principle does not supersede the express prohibition on incompatible processing [20].
Denna skyldighet hindrar inte organisationer som är anslutna till skölden för skydd av privatlivet från att behandla personuppgifter under längre perioder, men endast för den tid och i den omfattning sådan behandling skäligen tjänar ett av följande särskilda ändamål: arkivering i allmänhetens intresse, journalistik, litteratur och konst, vetenskaplig eller historisk forskning och statistisk analys.
Still under the Data Integrity and Purpose Limitation Principle, personal information may be retained in a form identifying or rendering an individual identifiable (and thus in the form of personal data) only for as long as it serves the purpose(s) for which it was initially collected or subsequently authorised.
Denna rätt kan endast begränsas i undantagsfall.
This obligation does not prevent Privacy Shield organisations to continue processing personal information for longer periods, but only for the time and to the extent such processing reasonably serves one of the following specific purposes: archiving in the public interest, journalism, literature and art, scientific and historical research and statistical analysis.
Om rätten till tillgång förnekas eller begränsas måste det vara nödvändigt och vederbörligen motiverat.
Longer retention of personal data for one of these purposes will be subject to the safeguards provided by the Principles.
Det är organisationen som ska visa att dessa krav är uppfyllda.
Under the Access Principle [22], data subjects have the right, without need for justification and only against a non-excessive fee, to obtain from an organisation confirmation of whether such organisation is processing personal data related to them and have the data communicated within reasonable time.
Typiska inslag i sådana akter är att enskilda har rätt att informeras om de särskilda skäl som ligger till grund för beslutet (t.ex. avslag på ansökan om kredit), att protestera mot ofullständig eller oriktig information (liksom åberopande av illegitima faktorer), och att söka upprättelse.
This right may only be restricted in exceptional circumstances; any denial of, or limitation to the right of access has to be necessary and duly justified, with the organisation bearing the burden of demonstrating that these requirements are fulfilled.
Dessa regler ger skydd i det sannolikt tämligen begränsade antalet fall där automatiserade beslut kommer att fattas av den organisation som är ansluten till skölden [24].
Data subjects must be able to correct, amend or delete personal information where it is inaccurate or has been processed in violation of the Principles.
Med tanke på den ökande användningen av automatiserad behandling (inbegripet profilering) som en grund för beslutsfattande som påverkar enskilda i den moderna digitala ekonomin, är detta ändå ett område som måste övervakas noga.
In areas where companies most likely resort to the automated processing of personal data to take decisions affecting the individual (e.g. credit lending, mortgage offers, employment), U.S. law offers specific protections against adverse decisions [23].
För att underlätta denna övervakning har det överenskommits med Förenta staternas myndigheter att en dialog om automatiserat beslutsfattande, däribland ett utbyte av information om likheterna och skillnaderna mellan EU:s och Förenta staternas tillvägagångssätt i detta avseende, kommer att vara en del av den första årliga översynen samt efterföljande översyner i förekommande fall.
These acts typically provide that individuals have the right to be informed of the specific reasons underlying the decision (e.g. the rejection of a credit), to dispute incomplete or inaccurate information (as well as reliance on unlawful factors), and to seek redress.
Enligt principen om rättsmedel, genomförande och ansvar [25] måste deltagande organisationer tillhandahålla robusta mekanismer för att säkerställa efterlevnad av de andra principerna och tillhandahålla rättsmedel för registrerade i EU vars personuppgifter har behandlats på ett sätt som strider mot bestämmelserna, inklusive effektiva medel för gottgörelse.
These rules offer protections in the likely rather limited number of cases where automated decisions would be taken by the Privacy Shield organisation itself [24].
När en organisation frivilligt har beslutat att självcertifiera [26] sig enligt skölden för skydd av privatlivet i EU och Förenta staterna är den skyldig att följa principerna.
Nevertheless, given the increasing use of automated processing (including profiling) as a basis for taking decisions affecting individuals in the modern digital economy, this is an area that needs to be closely monitored.
Organisationerna måste årligen återcertifiera sitt deltagande i skölden för att få fortsätta motta pers onuppgifter från unionen via skölden.
In order to facilitate this monitoring, it has been agreed with the U.S. authorities that a dialogue on automated decision-making, including an exchange on the similarities and differences in the EU and U.S. approach in this regard, will be part of the first annual review as well as subsequent reviews as appropriate.
Organisationerna måste också vidta åtgärder för att kontrollera [27] att deras offentliggjorda integritetsskyddspolicy överensstämmer med principerna och att de faktiskt följs.
Under the Recourse, Enforcement and Liability Principle [25], participating organisations must provide robust mechanisms to ensure compliance with the other Principles and recourse for EU data subjects whose personal data have been processed in a non-compliant manner, including effective remedies.
Detta kan antingen göras med hjälp av ett självbedömningssystem, som måste omfatta interna förfaranden för att se till att personalen utbildas i genomförandet av organisationens integritetsskyddspolicy och att efterlevnaden regelbundet granskas på ett objektivt sätt, eller genom externa efterlevnadskontroller, som kan omfatta revisioner eller slumpvisa kontroller.
Once an organisation has voluntarily decided to self-certify [26] under the EU-U.S. Privacy Shield, its effective compliance with the Principles is compulsory.
Dessutom måste organisationen inrätta en effektiv prövningsmekanism för att hantera eventuella klagomål (se i detta hänseende även skäl 43) samt omfattas av de utrednings- och verkställighetsbefogenheter som tilldelats transportministeriet eller ett annat behörigt lagstadgat organ i Förenta staterna som kommer att säkerställa efterlevnad av principerna.
To be allowed to continue to rely on the Privacy Shield to receive personal data from the Union, such organisation must annually re-certify its participation in the framework.
Inom ramen för principen om ansvar för vidare överföring [28] kan all vidare överföring ske endast i) för begränsade och specificerade ändamål, ii) på grundval av ett avtal (eller ett jämförbart arrangemang inom en företagskoncern [29]) och iii) om ett sådant avtal ger samma skyddsnivå som den skyddsnivå som garanteras av principerna, vilket inkluderar kravet på att tillämpningen av principerna får begränsas endast i den mån det är nödvändigt för att uppfylla krav i fråga om nationell säkerhet, rättsefterlevnad och andra ändamål som rör allmänintresset [30].
Organisations must also take measures to verify [27] that their published privacy policies conform to the Principles and are in fact complied with.
Skyldigheten att tillhandahålla samma skyddsnivå som den skyddsnivå som krävs enligt principerna gäller för alla tredjeparter som är involverade i behandlingen av de uppgifter som överförs på detta sätt oberoende av var de finns (i Förenta staterna eller i ett annat tredjeland) samt när den ursprungliga tredjepartsmottagaren själv överför dessa uppgifter till en annan tredjepartsmottagare, exempelvis för behandling som utförs av underentreprenörer.
This can be done either through a system of self-assessment, which must include internal procedures ensuring that employees receive training on the implementation of the organisation's privacy policies and that compliance is periodically reviewed in an objective manner, or outside compliance reviews, the methods of which may include auditing or random checks.
I samtliga fall måste avtalet med tredjepartsmottagaren ange att den sistnämnda ska meddela organisationen som är ansluten till skölden om den fastställer att den inte längre kan fullgöra denna skyldighet.
In addition, the organisation must put in place an effective redress mechanism to deal with any complaints (see in this respect also recitals 43) and be subject to the investigatory and enforcement powers of the FTC, the Department of Transportation or another U.S. authorised statutory body that will effectively ensure compliance with the Principles.
När ett sådant fastställande har gjorts ska tredjepartens behandling upphöra; i annat fall måste andra rimliga och lämpliga åtgärder vidtas för att rätta till situationen [32].
Under the Accountability for Onward Transfer Principle [28], any onward transfer can only take place (i) for limited and specified purposes, (ii) on the basis of a contract (or comparable arrangement within a corporate group [29]) and (iii) only if that contract provides the same level of protection as the one guaranteed by the Principles, which includes the requirement that the application of the Principles may only be limited to the extent necessary to meet national security, law enforcement and other public interest purposes [30].
Insyn i och förvaltning av skölden för skydd av privatlivet i EU och Förenta staterna