EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Europaudvalget 2018-19 (1. samling)
EUU Alm.del Bilag 287
Offentligt

Dato:

9. januar 2019

Kontor:

Databeskyttelseskontoret

Sagsbeh: Cathrine Engsig Søren-

sen

Sagsnr.: 2018-793-0009

Dok.:

968753

NOTAT TIL FOLKETINGETS EUROPAUDVALG

om Kommissionens forslag til gennemførelsesretsakt om tilstrækkelig-

heden af beskyttelsesniveauet angående Japan

Resumé

Kommissionen præsenterede den 5. september 2018 sit første udkast til gen-

nemførelsesretsakt om tilstrækkeligheden af beskyttelsesniveauet angående

Japan (komitésag). Gennemførelsesretsakten er fremsat med hjemmel i Eu-

ropa-Parlamentet og Rådets forordning (EU) 2016/679 af 27. april 2016

om beskyttelse af fysiske personer i forbindelse med behandling af person-

oplysninger og om fri udveksling af sådanne oplysninger (databeskyttelses-

forordningen). Forslaget vil indebære, at personoplysninger uden specifik

godkendelse kan overføres fra EU til japanske virksomheder. Sagen har væ-

ret behandlet i den såkaldte Artikel 93-Komité, hvor repræsentanter fra

medlemsstaternes regeringer deltager. Forslaget drøftes og sættes eventuelt

til afstemning på mødet i Artikel 93-Komitéen den 15. januar 2019. Kom-

missionens endelige vedtagelse af afgørelsen kan forventes truffet senest ved

udgangen af 1. kvartal 2019. En vedtagelse af forslaget skønnes at have en

positiv indvirkning for erhvervslivet og registrerede personer, idet beskyt-

telsesniveauet, som sikres, når personoplysninger overføres til japanske

virksomheder, vurderes i det væsentlige at svare til beskyttelsesniveauet i

EU. Regeringen agter derfor at stemme for Kommissionens forslag. Det til-

stræbes normalt, at notatet til Folketingets Europaudvalg fremsendes senest

8 dage, inden afgørelsen træffes, men da oplysningen om en mulig afstem-

ning den 15. januar 2019 er kommet op med kort varsel, har det ikke været

muligt at orientere Europaudvalget inden for denne frist. Folketingets Eu-

ropaudvalg er blevet orienteret hurtigst muligt.

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Baggrund

Kommissionen har den 5. september 2018 præsenteret sit første udkast til

gennemførelsesretsakt om tilstrækkeligheden af beskyttelsesniveauet angå-

ende Japan (komitésag).

Det fremgår af databeskyttelsesforordningens artikel 45, stk. 1, at overførsel

af personoplysninger til et tredjeland kan finde sted, hvis Kommissionen har

fastslået, at tredjelandet har et tilstrækkeligt beskyttelsesniveau. Konse-

kvensen af en afgørelse om et tilstrækkeligt beskyttelsesniveau i Japan er

således, at personoplysninger uden specifik godkendelse kan overføres til

virksomheder i Japan, såfremt de behandles lovligt i EU.

Afgiver Komitéen en positiv udtalelse med kvalificeret flertal, vedtager

Kommissionen forslaget. Afgiver Komitéen en negativ udtalelse med kva-

lificeret flertal, vedtager Kommissionen ikke forslaget, idet Kommissionen

kan forelægge Komitéen et ændret forslag eller kan forelægge forslaget for

appeludvalget, som består af repræsentanter fra EU-landene og har Kom-

missionen som formand. Afgives der ikke nogen udtalelse med kvalificeret

flertal, kan Kommissionen enten vedtage forslaget eller forelægge et ændret

forslag for Komitéen eller forelægge sagen for appeludvalget.

Afgiver appeludvalget med kvalificeret flertal en negativ udtalelse om for-

slaget, kan Kommissionen ikke vedtage forslaget. Afgiver appeludvalget

med kvalificeret flertal en positiv udtalelse, vedtager Kommissionen forsla-

get. Afgiver appeludvalget ikke nogen udtalelse med kvalificeret flertal, kan

Kommissionen vedtage forslaget.

Forslaget forventes drøftet og eventuelt sat til afstemning på mødet i Artikel

93-Komitéen den 15. januar 2018. Det er således ikke sikkert, at der vil finde

en afstemning sted på dette møde. Det tilstræbes normalt, at notatet til Fol-

ketingets Europaudvalg fremsendes senest 8 dage, inden afgørelsen træffes,

men da oplysningen om en mulig afstemning den 15. januar 2019 er kommet

op med kort varsel, har det ikke være muligt at orientere Europaudvalget

inden for denne frist. Folketingets Europaudvalg er blevet orienteret hurtigst

muligt.

Hvis forslaget ikke sættes til afstemning på dette møde, er det regeringens

forventning, at forslaget bliver sat til afstemning på et af de næste møder i

Komitéen.

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Forslaget kan forventes endelig vedtaget af Kommissionen ved udgangen af

1. kvartal 2019.

Formål og indhold

Kommissionens forslag til tilstrækkelighedsafgørelse vil, når den er vedta-

get, indebære, at personoplysninger uden specifik godkendelse kan overfø-

res fra EU til japanske virksomheder.

Tilstrækkelighedsafgørelsen er baseret på en grundig analyse af japansk lov

og praksis. På baggrund af analyserne konkluderer Kommissionen, at Japan

sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der over-

føres til (private) organisationer, der falder ind under den japanske lov om

beskyttelse af personoplysninger (The Act on the Protection of Personal In-

formation (APPI)). Kommissionen opsætter i sin beslutning desuden en

række supplerende sikkerhedsforanstaltninger, som skal overholdes af ja-

panske virksomheder.

De supplerende sikkerhedsforanstaltninger indebærer bl.a. yderligere garan-

tier, som bl.a. vil styrke beskyttelsen af følsomme personoplysninger,

skærpe betingelserne for, hvornår EU-data kan overføres videre fra Japan til

et andet tredjeland samt styrke udøvelsen af den registreredes rettigheder i

forhold til adgang og berigtigelse af personoplysninger.

Den japanske regering forsikrer desuden Kommissionen om foranstaltnin-

ger vedrørende de japanske myndigheders adgang til personoplysninger

med henblik på strafferetlig håndhævelse og nationale sikkerhedsmål. Det

sikres herved, at enhver sådan brug af personoplysninger begrænses til det

nødvendige og forholdsmæssige og er underlagt et uafhængigt tilsyn.

Endelig indebærer de supplerende sikkerhedsforanstaltninger en klagehånd-

teringsmekanisme, der vil undersøge og behandle klager fra europæere om

japanske myndigheders adgang til deres personoplysninger. Denne nye me-

kanisme vil blive administreret og overvåget af et uafhængigt tilsyn.

Europa-Parlamentets udtalelser

Europa-Parlamentet vedtog den 13. december 2018 en beslutning om for-

slaget, hvor man generelt noterer sig Kommissionens detaljerede analyse i

sit forslag til afgørelse vedrørende beskyttelsesforanstaltningerne. Europa-

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Parlamentet opfordrer dog Kommissionen til at fremlægge yderligere bevi-

ser og forklaringer, herunder inden for de emner, som Det Europæiske Da-

tabeskyttelsesråd har udpeget i sin udtalelse af 5. december 2018 (se afsnit

8 nedenfor).

Herudover bemærker Europa-Parlamentet, at Kommissionens tilstrække-

lighedsafgørelse vil sende et stærkt signal til lande rundt i verden om, at

tilvejebringelse af et beskyttelsesniveau, der i det væsentligste svarer til

EU’s, giver meget konkrete resultater. Tilstrækkelighedsafgørelsen vil des-

uden danne præcedens for fremtidige partnerskaber med andre lande, der

vedtager moderne databeskyttelseslovgivning.

Kommissionen har den 17. december 2018 udarbejdet et revideret forslag

til tilstrækkelighedsafgørelse, der indeholder en række uddybninger og præ-

ciseringer med henblik på bl.a. at imødekomme spørgsmål, som Europa-

Parlamentet har rejst i sin beslutning.

Nærhedsprincippet

Der er tale om en gennemførelsesforanstaltning til en allerede vedtaget rets-

akt. Det er derfor regeringens vurdering, at det følger heraf, at forslagene er

i overensstemmelse med nærhedsprincippet.

Gældende dansk ret

Det fremgår af artikel 45, stk. 1, i databeskyttelsesforordningen, at overfør-

sel af personoplysninger til et tredjeland kan finde sted, hvis Kommissionen

har fastslået, at tredjelandet har et tilstrækkeligt beskyttelsesniveau. Kom-

missionen skal ved vurderingen af beskyttelsesniveauets tilstrækkelighed

tage elementerne i artikel 45, stk. 2, litra a

–

litra c, i betragtning.

Efter en vurdering af beskyttelsesniveauets tilstrækkelighed kan Kommissi-

onen ved hjælp af en gennemførelsesretsakt fastslå, at et tredjeland sikrer et

tilstrækkeligt beskyttelsesniveau. Gennemførelsesretsakten vedtages efter

undersøgelsesproceduren i databeskyttelsesforordningens artikel 93, stk. 2,

hvilket bl.a. vil sige, at beslutningen skal træffes på grundlag af en udtalelse,

som afgives af en Komité, der er nedsat i henhold til forordningens artikel

93, stk. 1, og som består af repræsentanter for medlemsstaternes regeringer.

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Konsekvenser

Lovgivningsmæssige konsekvenser

Forslaget indebærer ikke ændringer i dansk ret.

Økonomiske konsekvenser

Forslaget vurderes ikke at have statsfinansielle konsekvenser.

Forslaget vurderes at kunne have en positiv erhvervsøkonomisk indvirkning

for erhvervslivet, som vil kunne overføre personoplysninger til virksomhe-

der i Japan uden specifik godkendelse.

Andre konsekvenser og beskyttelsesniveauet

En vedtagelse af forslaget skønnes at have en positiv indvirkning for er-

hvervslivet og registrerede personer, idet beskyttelsesniveauet, som sikres,

når personoplysninger overføres til virksomheder i Japan, vurderes i det væ-

sentlige at svare til beskyttelsesniveauet i EU.

Høring

Forslaget er blevet forelagt Det Europæiske Databeskyttelsesråd, som består

af repræsentanter fra medlemsstaternes datatilsyn og af Den Europæiske

Tilsynsførende for Databeskyttelse.

Det Europæiske Databeskyttelsesråd har en uafhængig og rådgivende rolle

på databeskyttelsesområdet, og afgiver bl.a. udtalelser til Kommissionen

med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et

tredjeland. Det Europæiske Databeskyttelsesråd fremkom den 5. december

2018 med sin udtalelse om Kommissionens udkast.

Det Europæiske Databeskyttelsesråd bifalder først og fremmest indsatsen

fra Kommissionen og den japanske kommission for persondatabeskyttelse,

der har til formål at øge konvergensen mellem den japanske lovramme og

den europæiske. Rådet fremhæver i den forbindelse særligt, at de forbedrin-

ger, der indføres som supplerende sikkerhedsforanstaltninger for at ned-

bringe forskellene mellem de to regelsæt, er meget vigtige.

Efter en grundig analyse af Kommissionens udkast til tilstrækkelighedsbe-

slutning bemærker Det Europæiske Databeskyttelsesråd imidlertid, at der

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

fortsat er en række bekymringer. Det Europæiske Databeskyttelsesråd an-

befaler på baggrund af disse bekymringer, at Kommissionen fremlægger

yderligere beviser og forklaringer omkring de rejste spørgsmål.

Det Europæiske Databeskyttelsesråd bemærker desuden i sin udtalelse, at

beslutningen om tilstrækkelighed af beskyttelsesniveauet mellem EU og Ja-

pan er af afgørende betydning og henviser i den forbindelse bl.a. til, at til-

strækkelighedsbeslutningen er den første siden indførelsen af databeskyttel-

sesforordningen.

Kommissionen har den 17. december 2018 udarbejdet et revideret forslag

til tilstrækkelighedsafgørelse, der indeholder en række uddybninger og præ-

ciseringer med henblik på bl.a. at imødekomme de spørgsmål, som Det Eu-

ropæiske Databeskyttelsesråd har rejst i sin udtalelse.

Generelle forventninger til andre landes holdninger

Det er Justitsministeriets forventning, at andre EU-lande generelt vil være

positivt stemt over for en tilstrækkelighedsafgørelse om Japan.

10. Regeringens foreløbige generelle holdning

Regeringen mener, at det er vigtigt, at der skabes et velfunderet og gennem-

analyseret grundlag, der giver juridisk sikkerhed for de virksomheder, der

er involveret i overførsel af data mellem EU og Japan. Det bemærkes i den

forbindelse, at personoplysninger, der overføres på baggrund af en tilstræk-

kelighedsafgørelse, stadig skal behandles i overensstemmelse med databe-

skyttelsesforordningen øvrige regler om behandling af personoplysninger.

En tilstrækkelighedsafgørelse vil således alene give mulighed for, at person-

oplysninger kan overføres til tredjelandet uden yderligere specifik godken-

delse.

Betydningen af dataoverførsel er stigende i samhandelen på tværs af græn-

ser og en forudsætning for, at mange europæiske virksomheder kan konkur-

rere på det globale marked. Kommissionens forslag vil derfor kunne give en

enklere, mindre byrdefuld og dermed mere omkostningseffektiv mekanisme

for de europæiske virksomheders dataudveksling. Dette finder regeringen

fornuftigt, og regeringen arbejder på den baggrund for at begrænse digitale

handelshindringer på globalt plan med henblik på, at danske virksomheder

kan udnytte potentialet for vækst og indtjening i den digitale økonomi.

EUU, Alm.del - 2018-19 (1. samling) - Bilag 287: Notat om komitésag om tilstrækkeligheden af beskyttelsesniveauet angående Japan

Henset til ovennævnte fordele ved forslaget agter regeringen at støtte Kom-

missionens forslag.

11. Tidligere forelæggelse for Folketingets Europaudvalg

Sagen har ikke tidligere været forelagt Folketingets Europaudvalg.