Schrems II: hvað þessi úrskurður þýðir fyrir fyrirtæki og hvers vegna hann er enn viðeigandi árið 2026

16. júlí 2020 lýsti Dómstóll Evrópusambandsins (CJEU) ESB–Bandaríkjanna 'Privacy Shield' ógildum. Dómurinn í máli C-311/18, sem kallast "Schrems II", er ein af mikilvægustu ákvörðunum síðustu ára á sviði persónuverndar.

Fyrir fyrirtæki sem flytja persónuupplýsingar til Bandaríkjanna, eða sem nota bandarískar þjónustur til slíkra flutninga, hefur þessi úrskurður breytt lagarammanum.

Þessi grein dregur saman úrskurð Dómstóls ESB, afleiðingar hans og ástæðurnar fyrir því að hann er enn viðeigandi í ljósi núverandi umræðu um málið "Schrems III".

Athugið: Þessi grein er eingöngu til upplýsinga og telst ekki lögfræðiráðgjöf. Vinsamlegast leitið til lögfræðings fyrir lögfræðilega matsgerð í hverju tilviki fyrir sig.

Hvað gerðist fyrir dómsmálið Schrems II? Bakgrunnur

Safe Harbour (2000–2015)

Frá árinu 2000 gátu fyrirtæki innan ESB flutt persónuupplýsingar til Bandaríkjanna samkvæmt "Safe Harbour"-samkomulaginu. Þetta samkomulag byggðist á ákvörðun framkvæmdastjórnar Evrópusambandsins um að Bandaríkin tryggðu viðunandi verndarstig persónuupplýsinga.

6. október 2015 lýsti Dómstóll Evrópusambandsins (CJEU) þessu samkomulagi ógildu í dómi sínum C-362/14, sem er þekktur sem "Schrems I". Málið á rætur að rekja til málshöfðunar sem austurríski lögmaðurinn Max Schrems höfðaði gegn Facebook Ireland. Hann hélt því fram að eftirlitslögin sem eru í gildi í Bandaríkjunum — einkum 702. grein FISA-laga og forsetatilskipun nr. 12333 — veittu ekki vernd persónuupplýsinga sem jafngilti þeirri sem kveðið er á um í lögum Evrópusambandsins.

Réttur dómstóllinn í Lúxemburg fylgdi þessari röksemdafærslu.

Privacy Shield (2016–2020)

EES–Bandaríkja Privacy Shield tók gildi í ágúst 2016 til að koma í stað fyrri fyrirkomulags. Það innihélt, einkum, tryggingar frá bandaríska ríkisstjórninni um að aðgangur leyniþjónustna að evrópskum gögnum yrði takmarkaður við það sem væri "nauðsynlegt og hlutdrægt". Auk þess var kvartanastjóri skipaður innan utanríkisráðuneytis Bandaríkjanna, sem borgarar ESB gátu leitað til til að leggja fram kvartanir.

Meira en 5.300 bandarísk fyrirtæki hafa hlotið vottun samkvæmt Privacy Shield.

Hver var niðurstaða ESB-dómstólsins í 'Schrems II'-málinu?

16. júlí 2020 kvað Dómstóll Evrópusambandsins upp dóm sinn í máli C-311/18 (Persónuverndarfulltrúi gegn Facebook Ireland Ltd og Maximilian Schrems). Helstu atriði dómsins eru eftirfarandi:

1. 'Privacy Shield' dæmt ógilt

EFTdH komst að þeirri niðurstöðu að aðgangur bandarískra leyniþjónustna að persónuupplýsingum EES-borgara væri ekki takmarkaður við það sem er "stranglega nauðsynlegt", eins og krafist er í Mannréttindayfirlýsingu Evrópusambandsins (mgr. 178–185 í dóminum).

Samkvæmt dómnum uppfyllti umboðsmaður utanríkisráðuneytis Bandaríkjanna ekki skilyrðin sem krafist er til að teljast árangursrík úrbót, þar sem hann var hvorki sjálfstæður né heimilaður til að kveða upp bindandi ákvarðanir gegn leyniþjónustunum (mgr. 195 til 197).

2. Staðlaðar samningsákvæði (SCCs) gilda áfram í meginatriðum

EFD hefur úrskurðað að staðlaðar samningsákvæði (SCCs) sem Evrópu­kommissjónin samþykkti gildi enn í meginatriðum. Hins vegar er gildi þeirra háð verulegri takmörkun:

gagnasendendur verða að meta í hverju tilviki fyrir sig hvort löggjöf viðtökulandsins tryggir í reynd þann verndarstig sem SCC veita (málsgrein 134 í dóminum).

Ef svo er ekki, þarf að grípa til "viðbótarráðstafana" til að tryggja verndarstig sem er jafngilt því sem kveðið er á um í lögum ESB.

3. Skyldur persónuverndaryfirvalda

EFD hefur einnig skýrt að þjóðlegar persónuverndaryfirvöld skuli stöðva eða banna flutning persónuupplýsinga til þriðju landa ef þau komast að þeirri niðurstöðu að fullnægjandi vernd sé ekki tryggð, jafnvel þótt staðlaðar samningsákvæði séu notuð (mgr. 121).

Hverjar voru afleiðingar þessarar ákvörðunar?

EDSA-mælikvarðar

Í nóvember 2020 birti Evrópska persónuverndarráðið (EDPB) tillögu 01/2020 um viðbótarráðstafanir sem gilda um flutninga til þriðju landa. Í þessu skjali lagði EDPB fram sex þrepa matsferli:

1. Auðkenna gagnaflutninga – Hvaða gögn eru flutt og hvert eru þau flutt?
2. Metið flutningsramma – Hvert er lagalegt grundvöllur sem notaður er?
3. Metið lagalegt ástand í þriðja landinu – Eru einhver lög sem grafa undan persónuvernd?
4. Auðkenna viðbótarráðstafanir – tæknilegar, skipulagslegar, samningsbundnar
5. Innleiða ráðstafanirnar: dulkóðun, dulnefnasetning o.s.frv.
6. Framkvæma reglulegar endurskoðanir – Sífelld mat á lagalegu ástandi

Áhrifamat gagnaflutninga (DTIA)

Í framkvæmd þýddi þessi ákvörðun að stofnanir þurftu að framkvæma svokallaðar flutningsáhrifagreiningar (TIA) áður en þær gátu flutt persónuupplýsingar til Bandaríkjanna á grundvelli staðlaðra samningsákvæða. Tilgangur þessara TIA var að meta hvort lagarammi Bandaríkjanna raskaði, í reynd, vernd flutttra gagna.

Nýjar staðlaðar samningsákvæði (júní 2021)

4. júní 2021 birti framkvæmdastjórn Evrópusambandsins nýjar staðlaðar samningsákvæði sem tóku tillit til krafna úr dómi í máli Schrems II. Stofnunum var gert að skipta yfir í nýju staðlaðu samningsákvæðin fyrir 27. desember 2022.

Hver er tengingin milli Schrems II-dómsins og gagnaverndarrammans?

Í kjölfar þessa dóms úrskurðar gerðu ESB og Bandaríkin nýjan ramma um gagnaflutninga. 7. október 2022 undirritaði forseti Bandaríkjanna, Biden, framkvæmdarvaldsúrskurð nr. 14086, sem meðal annars:

• stefnir að því að takmarka aðgang bandarískra leyniþjónustustofnana að evrópskum gögnum við það sem er "nauðsynlegt og hlutdrægt"
• hefur komið á fót nýrri kæruaðferð: Dómstóll um endurskoðun persónuverndar (DPRC)

Á þessum grundvelli tók framkvæmdastjórn Evrópusambandsins þann 10. júlí 2023 upp ákvörðun um viðunandi verndarstig varðandi gagnaverndarrammann milli ESB og Bandaríkjanna (DPF).

DPF tekur við af "Privacy Shield", sem dómur í máli Schrems II úrskurðaði ógildan. Hann byggir á framkvæmdarvaldsúrskurði forseta Biden og eftirlitshlutverki bandarísku alríkisviðskiptastofnunarinnar (FTC).

Varðandi nýlegar þróanir: þann 29. júní 2026 kvað Hæstiréttur Bandaríkjanna upp dóm í málinu Trump gegn Slaughter um að sjálfstæði FTC væri stjórnarskrárandstætt. Við greinum afleiðingar þessa úrskurðar fyrir DPF í grein okkar um Schrems III-málið.

Tímalína: frá "öruggu höfn" til dagsins í dag

Hvað fyrirtæki geta dregið af dóminum í máli Schrems II

Dómur í máli Schrems II hefur sýnt að ákvörðun Evrópu­kom­missjónarinnar um nægjanleika megi ógilda af Dómstóli Evrópusambandsins ef lagaramminn í þriðja landi reynist ófullnægjandi. Tvær ákvörðun­ir um nægjanleika — Safe Harbour og Privacy Shield — hafa þegar verið dæmdar ógildar.

Samkvæmt mörgum persónuverndarsérfræðingum vekur þetta eftirfarandi íhugunarefni fyrir fyrirtæki sem vinna með persónuupplýsingar:

• Skjalið lagastofnuna: þarf að skrá lagastofnuna sem liggur til grundvallar flutningi persónuupplýsinga til þriðju landa.
• Metið notkun einstakra lagaramma: fyrirtæki sem treysta eingöngu á ákvörðun um viðunandi verndarráð eiga á hættu að hún verði ógilt, eins og gerðist með Safe Harbour og Privacy Shield.
• Metið evrópska valkosti: þar sem persónuupplýsingum er unnið er hægt að draga úr lagalegu álagi með því að velja þjónustuveitanda innan ESB sem vinnur einnig gögnin þar, þar sem þá fer ekki fram flutningur til þriðja lands.
• Fylgjast með þróun: lagaramminn fyrir transatlantískar gagnaflutninga hefur tekið nokkrum grundvallarbreytingum síðan 2015. Ráðlegt er að framkvæma reglulega endurskoðun.

Gagnsmeðferð í Evrópu sem valkostur

Þar sem engar gögn eru flutt til þriðja lands koma þær spurningar sem upp komu í Schrems II-dómnum ekki upp.

Passcreator Passcreator vinnur öll gögn eingöngu í Þýskalandi, í gagnaverum sem rekin eru af þýskum veitanda. Þar sem er ekki bandarískt fyrirtæki og er ekki háð bandarískri löggjöf, er engin réttlæting fyrir beitingu bandaríska Cloud Act-lögsins eða sambærilegra upplýsingaskyldna.

Fyrir fyrirtæki sem nota stafræn kort og farpassa í Apple Wallet eða Google Wallet — svo sem stafræntryggingarskjöl, aðildarkort eða aðgangsheimildir — þýðir þetta að persónuverndarspurningar sem tengjast flutningi gagna til þriðju landa eiga ekki við.

→ Fá nánari upplýsingar um Passcreator sem evrópskan stafrænan veskapall

Algengar spurningar (FAQ)

Hvað segir dómurinn í Schrems II?

16. júlí 2020 lýsti Dómstóll Evrópusambandsins (CJEU) Privacy Shield-samkomulagið milli ESB og Bandaríkjanna ógilt (mál C-311/18). Dómstóllinn komst að þeirri niðurstöðu að eftirlitslög Bandaríkjanna veittu ekki vernd persónuupplýsinga sem jafngilti þeirri sem lög ESB veita, og að þær öryggisráðstafanir sem kveðið er á um í 'Privacy Shield' uppfyllti ekki kröfur Mannréttindasáttmála Evrópusambandsins.

Eru staðlaðar samningsákvæði (SCCs) enn gild í ljósi Schrems II-dómsins?

Réttur dómstóll ESB hefur almennt lýst staðlaðri samningsákvæðum (SCCs) gildum, en tilgreint að gagnaútflytjendur verði að meta í hverju tilviki fyrir sig hvort löggjöf viðtökulandsins tryggir raunhæfa vernd. Ef svo er ekki, þarf að grípa til viðbótarráðstafana.

Hver er munurinn á dómi í máli Schrems I og dómi í máli Schrems II?

Dómurinn í máli Schrems I (2015) sneri að samkomulaginu um 'Safe Harbour' og leiddi til ógildingar þess. Dómurinn í máli Schrems II (2020) snerist um eftirmann þess, "Privacy Shield", og leiddi einnig til ógildingar hans. Í báðum málum komst ESB-dómstóllinn að þeirri niðurstöðu að lagarammi Bandaríkjanna tryggði ekki nægilega vernd persónuupplýsinga sem bera uppruna sinn í ESB.

Hvað er Data Privacy Framework (DPF)?

DPF er eftirmaður 'Privacy Shield', sem tók gildi í júlí 2023. Hann byggir á forsetaframkvæmdarvaldsúrskurði nr. 14086 sem bandaríski forsetinn Biden gaf út. Í júní 2026 efast Hæstiréttur Bandaríkjanna um sjálfstæði FTC, sem gegnir miðlægu eftirlitshlutverki innan DPF. Áhrif þessa úrskurðar á gildi DPF eru nú til umræðu.

Hvernig er hægt að forðast flutning persónuupplýsinga til Bandaríkjanna?

Með því að fela vinnslu persónuupplýsinga þjónustuveitum sem eru búsettar í ESB og framkvæma alla vinnslu persónuupplýsinga innan ESB. Í þessu tilviki fer engin flutningur til þriðja lands fram og kröfur dómsins í máli Schrems II eiga ekki við.

Heimildir

• EFD, dómur 16. júlí 2020, C-311/18 – EUR-Lex
• EFD, dómur 6. október 2015, C-362/14 – EUR-Lex
• Evrópu­kom­issi­óni, Ákvörðun um viðunandi verndarstig staðlaðra samningsákvæða um persónuvernd, 10. júlí 2023 – EUR-Lex
• Evrópu­kommissi­oninn, Nýjar staðlaðar samningsákvæði, 4. júní 2021 – EUR-Lex
• EDSA, Mælikvarðar 01/2020 – EDPB
• BfDI, Afleiðingar dómnum í máli Schrems II – bfdi.bund.de

Þessi grein er birt eingöngu til upplýsinga og endurspeglar sjónarmið Passcreator Hún telst ekki lögfræðiráðgjöf. Leita ber til lögfræðings fyrir lögfræðilega matsgerð í hverju tilviki fyrir sig.