EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

Europaudvalget 2020-21
EUU Alm.del Bilag 592
Offentligt

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

7. juni 2021

Databeskyttelseskontoret

Sani Sogliano

2021-793-0110

1989410

NOTAT TIL FOLKETINGETS EUROPAUDVALG

om Kommissionens udkast til gennemførelsesretsakter om tilstræk-

keligheden af beskyttelsesniveauet angående Storbritannien

1. Resumé

Kommissionen præsenterede den 19. februar 2021 to udkast til gennemfø-

relsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående

Storbritannien (komitésag). Udkastene er fremsat med hjemmel i henholds-

vis databeskyttelsesforordningen

og retshåndhævelsesdirektivet

. En ved-

tagelse af de fremsatte udkast vil indebære, at personoplysninger i forhold

til de databeskyttelsesretlige regler om tredjelandsoverførsler uden specifik

godkendelse kan overføres fra EU til Storbritannien. Begge udkast skal be-

handles i den såkaldte Artikel 93-Komité, hvor repræsentanter fra medlems-

staternes regeringer deltager. Udkastene drøftes og forventes sat til afstem-

ning i medio juni 2021. Endvidere forventes Kommissionen at bestræbe sig

på en endelig vedtagelse af de foreslåede gennemførelsesretsakter inden ud-

gangen af juni 2021, hvor overgangsperioden for overførsel af personop-

lysninger til Storbritannien ophører. En vedtagelse af gennemførelsesrets-

akterne skønnes at have en positiv indvirkning for aktører, som på en simpel

måde ønsker at overføre personoplysninger til Storbritannien. Regeringen

agter derfor som udgangspunkt at stemme for gennemførelsesretsakterne.

Europa-Parlamentet og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse

af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling

af sådanne oplysninger (databeskyttelsesforordningen)

Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse

af fysiske personer i forbindelse med kompetente myndigheders behandling af personop-

lysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare hand-

linger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger

og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (retshåndhævelsesdirektivet)

Side 1/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

2. Baggrund

Når personoplysninger ønskes overført til et tredjeland (lande uden for

EU/EØS) skal dataeksportøren (den der fører personoplysningerne ud af

EU/EØS) iagttage de databeskyttelsesretlige regler om tredjelandsoverførs-

ler. Efter disse regler skal en overførsel være baseret på et såkaldt overfør-

selsgrundlag, der er det ”instrument”, som skal være på plads, inden oplys-

ninger kan videregives til modtagere i et tredjeland.

Det fremgår af databeskyttelsesforordningens artikel 45, stk. 1, og retshån-

dhævelsesdirektivets artikel 36, stk. 1, at overførsel af personoplysninger til

et tredjeland kan finde sted, hvis Kommissionen har fastslået, at tredjelandet

har et tilstrækkeligt beskyttelsesniveau. Konsekvensen af en afgørelse om

et tilstrækkeligt beskyttelsesniveau efter de nævnte retsakter er således, at

personoplysninger uden specifik godkendelse kan overføres til Storbritan-

nien, hvis de behandles lovligt i EU.

Kommissionen har den 19. februar 2021 præsenteret to udkast til gennem-

førelsesretsakter efter henholdsvis databeskyttelsesforordningen og retshån-

dhævelsesdirektivet om tilstrækkeligheden af beskyttelsesniveauet angå-

ende Storbritannien (komitésag).

Udkastene skal behandles af komitéen, der er nedsat i henhold til databe-

skyttelsesforordningens artikel 93, stk. 1, og som består af repræsentanter

for medlemsstaternes regeringer (Artikel 93-komitéen). Begge udkast skal

behandles efter undersøgelsesproceduren for komitésager, og det forventes,

at de vil blive behandlet parallelt under hele proceduren.

For undersøgelsesproceduren gælder det, at hvis Komitéen afgiver en posi-

tiv udtalelse med kvalificeret flertal, vedtager Kommissionen udkastet. Af-

giver Komitéen en negativ udtalelse med kvalificeret flertal, vedtager Kom-

missionen ikke udkastet, idet Kommissionen kan forelægge Komitéen et

ændret udkast eller kan forelægge udkastet for appeludvalget, som består af

repræsentanter fra EU-landene og har Kommissionen som formand. Afgives

der ikke nogen udtalelse med kvalificeret flertal, kan Kommissionen enten

vedtage udkastet, forelægge et ændret udkast for Komitéen eller forelægge

sagen for appeludvalget.

I det omfang sagen forelægges for appeludvalget, og der i den forbindelse

med kvalificeret flertal afgives en negativ udtalelse om udkastet, kan Kom-

missionen ikke vedtage udkastet. Afgiver appeludvalget med kvalificeret

Side 2/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

flertal en positiv udtalelse, vedtager Kommissionen udkastet. Afgiver ap-

peludvalget ikke nogen udtalelse med kvalificeret flertal, kan Kommissio-

nen vedtage udkastet.

Begge udkast forventes sat til afstemning i medio juni 2021.

I tilfælde af en udtalelse, der ikke taler imod Kommissionens udkast, for-

ventes Kommissionen at bestræbe sig på en endelig vedtagelse heraf inden

udgangen af juni 2021, hvor overgangsperioden for overførsel af personop-

lysninger til Storbritannien ophører (se afsnit 3 nedenfor).

3. Formål og indhold

Storbritannien forlod formelt EU den 31. januar 2020. I perioden herefter

gjaldt der frem til den 31. december 2020 en overgangsperiode, hvor Stor-

britannien i henhold til udtrædelsesaftalen fortsat var bundet af en række

EU-regler, herunder databeskyttelsesforordningen og retshåndhævelsesdi-

rektivet. I denne periode kunne personoplysninger videregives fra andre

medlemsstater i EU til Storbritannien uden iagttagelse af de databeskyttel-

sesretlige regler om tredjelandsoverførsler.

Efter udgangen af overgangsperioden blev Storbritannien fra den 1. januar

2021 anset for at være et ”tredjeland”. I forhold til databeskyttelsesreglerne

betyder dette, at overførsler fra EU til Storbritannien fra den 1. januar 2021

skulle være sket i henhold til reglerne om tredjelandsoverførsler.

Som led i undertegnelsen af handels- og samarbejdsaftalen mellem EU og

Storbritannien den 30. december 2020 blev der imidlertid på visse betingel-

ser indført en overgangsperiode fra den 1. januar 2021 til senest den 30. juni

2021, hvor overførsler fra EU til Storbritannien ikke betragtes som tredje-

landsoverførsler. Hvis betingelserne for overgangsperioden overholdes, vil

de databeskyttelsesretlige regler om tredjelandsoverførsler således først

skulle iagttages fra den 1. juli 2021.

Kommissionens fremsatte udkast til gennemførelsesretsakter (tilstrække-

lighedsafgørelser) vil, hvis de vedtages, indebære, at personoplysninger

uden specifik godkendelse kan overføres fra EU til Storbritannien, hvis de

behandles lovligt i EU.

En tilstrækkelighedsafgørelse efter databeskyttelsesforordningens artikel 45

og retshåndhævelsesdirektivets artikel 36 er udtryk for, at tredjelandet yder

Side 3/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

et beskyttelsesniveau, der i det væsentligste svarer til det i EU. Ved vurde-

ringen af beskyttelsesniveauet skal Kommissionen efter forordningens arti-

kel 45, stk. 2, og direktivets artikel 36, stk. 2, tage en række forskellige ele-

menter i betragtning, som f.eks. tredjelandets overholdelse af retsstatsprin-

cippet og menneskerettighederne, tredjelandsmyndighedernes adgang til at

kræve personoplysninger udleveret, tilstedeværelsen af en velfungerende,

uafhængig tilsynsmyndighed og tredjelandets internationale forpligtelser.

Kommissionens to udkast er baseret på en analyse af britisk lov og praksis

samt Storbritanniens internationale forpligtelser, herunder i henhold til Den

Europæiske Menneskerettighedskonvention

. Dette afspejler sig i udkaste-

nes respektive præambler, som i henholdsvis 285 og 181 betragtninger gen-

giver Kommissionens overvejelser, vurdering og konklusion om Storbritan-

niens opfyldelse af betingelserne for en tilstrækkelighedsafgørelse efter da-

tabeskyttelsesforordningen og retshåndhævelsesdirektivet.

På baggrund af analyserne konkluderer Kommissionen i begge udkast, at

Storbritannien gennem den britiske databeskyttelseslovgivning (the United

Kingdom General Data Protection Regulation (UK GDPR) og the Data Pro-

tection Act 2018 (DPA 2018)

) sikrer et beskyttelsesniveau, der i det væ-

sentligste svarer til det i EU, som følger af databeskyttelsesforordningen og

retshåndhævelsesdirektivet

Det konkluderes endvidere i begge udkast, at tilsynsmekanismerne og kla-

geadgangene i britisk lovgivning som helhed muliggør, at overtrædelser af

reglerne kan identificeres og straffes, ligesom lovgivningen også indeholder

garantier for de berørte borgere i forhold til at opnå indsigt i deres oplysnin-

ger og eventuelt berigtigelse eller sletning heraf

Jf. betragtning nr. 5 og 270 i Kommissionens udkast til gennemførelsesretsakt i henhold

til databeskyttelsesforordningen vedrørende Storbritanniens tilstrækkelige beskyttelse af

personoplysninger (udkastet til afgørelsen efter databeskyttelsesforordningen) samt be-

tragtning nr. 5 og 160 i Kommissionens udkast til gennemførelsesretsakt i henhold til rets-

håndhævelsesdirektivet vedrørende Storbritanniens tilstrækkelige beskyttelse af personop-

lysninger (udkastet til afgørelsen efter retshåndhævelsesdirektivet)

Jf. betragtning nr. 14 i udkastet til afgørelsen efter databeskyttelsesforordningen og be-

tragtning nr. 14 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Jf. betragtning nr. 266 i udkastet til afgørelsen efter databeskyttelsesforordningen og be-

tragtning nr. 156 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Jf. betragtning nr. 267 i udkastet til afgørelsen efter databeskyttelsesforordningen og be-

tragtning nr. 157 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Side 4/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

Endelig vurderer Kommissionen på baggrund af tilgængelige oplysninger

om det britiske retssystem, at de britiske myndigheders indgreb i de grund-

læggende rettigheder tilhørende borgere, hvis personoplysninger er blevet

overført til Storbritannien, af hensyn til formål i offentlighedens interesse,

herunder den nationale sikkerhed, vil være begrænset til det strengt nødven-

dige i forhold til at opnå det forfulgte formål. I tillæg hertil vurderes der at

være en effektiv beskyttelse mod sådanne indgreb

Samlet set finder Kommissionen således, at Storbritannien opfylder betin-

gelserne for en tilstrækkelighedsafgørelse efter databeskyttelsesforordnin-

gens artikel 45 og retshåndhævelsesdirektivets artikel 36 fortolket i lyset af

Den Europæiske Unions charter om grundlæggende rettigheder

Ifølge udkastenes artikel 3, stk. 1, skal Kommissionen løbende føre tilsyn

med, om Storbritannien opfylder betingelserne for den vedtagne tilstrække-

lighedsafgørelse. Som følge af, at Storbritannien har fuld autonomi over sine

databeskyttelsesregler efter at have forladt EU og dermed på sigt kan ændre

disse, har Kommissionen desuden valgt at indsætte en solnedgangsklausul i

afgørelsernes artikel 4, hvorefter de bortfalder 4 år efter ikrafttrædelsestids-

punktet

. I tilfælde af et ønske om forlængelse skal Kommissionen efter ud-

kastenes artikel 4 fremsætte nye udkast til tilstrækkelighedsafgørelser.

4. Europa-Parlamentets udtalelser

Europa-Parlamentet vedtog den 21. maj 2021 en resolution om Kommissi-

onens udkast til tilstrækkelighedsafgørelser efter databeskyttelsesforordnin-

gen og retshåndhævelsesdirektivet

. Det bemærkes, at Europa-Parlamentet

ikke har en formel rolle i EU-komitologiproceduren, og at resolutionen ikke

er bindende for Kommissionen.

Samlet set opfordres Kommissionen for så vidt angår begge udkast bl.a. til

at tage højde for anbefalingerne fra Det Europæiske Databeskyttelsesråd

samt sikre tilstrækkelighedsafgørelsernes forenelighed med EU-retten og

Jf. betragtning nr. 268 i udkastet til afgørelsen efter databeskyttelsesforordningen og be-

tragtning nr. 158 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Jf. betragtning nr. 269 i udkastet til afgørelsen efter databeskyttelsesforordningen og be-

tragtning nr. 159 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Jf. betragtning nr. 281-282 i udkastet til afgørelsen efter databeskyttelsesforordningen og

betragtning nr. 171 og 172 i udkastet til afgørelsen efter retshåndhævelsesdirektivet

Europa-Parlamentets resolution af 21. maj 2021 vedrørende Storbritanniens tilstrække-

lige beskyttelse af personoplysninger (2021/2594(RSP)) (P9_TA(2021)0262) (Europa-Par-

lamentets resolution)

Jf. pkt. 33 i Europa-Parlamentets resolution

Side 5/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

retspraksis fra EU-Domstolen

. Det understreges samtidigt, at Europa-Par-

lamentet vil anse Kommissionen for at have overskredet sin kompetence til

at vedtage gennemførelsesretsakter efter EU-databeskyttelsesreglerne, og at

Europa-Parlamentet vil modsætte sig de foreslåede tilstrækkelighedsafgø-

relser, hvis de ikke er på linje med EU-retten og ikke adresserer de rejste

bekymringer i Parlamentets resolution

. I tilfælde af, at Kommissionen

vedtager afgørelserne, uden Storbritannien har løst de rejste udfordringer i

resolutionen, anmodes EU-datatilsynene om at suspendere dataoverførsler

til Storbritannien, hvis de kan blive genstand for vilkårlig adgang til person-

oplysninger fra de britiske efterretningsmyndigheder

I relation til

udkastet til afgørelsen efter databeskyttelsesforordningen

be-

mærker Europa-Parlamentet med henvisning til Det Europæiske Databe-

skyttelsesråds udtalelse af 13. april 2021 om Kommissionens udkast

–

hvor

Kommissionen opfordres til at foretage yderligere undersøgelser (se afsnit

8 nedenfor)

–

at analysen, der lå til grund for det indledende udkast, er ufuld-

stændigt og uoverensstemmende med EU-Domstolens krav hertil

Europa-Parlamentet rejser herefter en række forskellige bekymringer i for-

hold til udkastet til afgørelsen efter databeskyttelsesforordningen. Bekym-

ringerne angår tilstrækkeligheden af det britiske datatilsyns håndhævelse af

databeskyttelsesreglerne i Storbritannien

. Endvidere angår det en undta-

gelse til visse af databeskyttelsesreglerne på det britiske immigrationsom-

råde, hvor Europa-Parlamentet har alvorlige bekymringer og finder, at und-

tagelsen skal ændres eller fjernes, inden der kan vedtages en gyldig tilstræk-

kelighedsafgørelse

. Desuden angår det ”masseovervågning”, hvor Europa-

Parlamentet generelt synes at være bekymrede for, hvilken indvirkning bri-

tisk overvågningslovgivning og -praksis har på beskyttelsesniveauet for per-

sonoplysninger fra EU

. Endelig rejses der en bekymring angående beskyt-

telsesniveauet for personoplysninger fra EU set i lyset af adgangen under

britisk lovgivning til at videreoverføre de omtalte oplysninger til andre tred-

jelande

Jf. pkt. 36 i Europa-Parlamentets resolution

Jf. pkt. 35 i Europa-Parlamentets resolution

Jf. pkt. 37 i Europa-Parlamentets resolution

Jf. pkt. 5 i Europa-Parlamentets resolution

Jf. pkt. 6ff i Europa-Parlamentets resolution

Jf. pkt. 9ff i Europa-Parlamentets resolution

Jf. pkt. 12ff i Europa-Parlamentets resolution

Jf. pkt. 18ff i Europa-Parlamentets resolution

Side 6/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

I forhold til

udkastet til afgørelsen efter retshåndhævelsesdirektivet

udtryk-

ker Europa-Parlamentet bekymringer for, om samarbejdsaftalen mellem

Storbritannien og USA på retshåndhævelsesområdet vil kunne medføre

uretmæssig adgang for amerikanske myndigheder til EU-borgeres person-

oplysninger

. Endvidere rejses der en bekymring i forhold til de britiske

myndigheders muligheder for at opbevare store mængder af kommunikati-

onsdata af hensyn til beskyttelsen af den nationale sikkerhed

, og i relation

til dette emne opfordres Kommissionen bl.a. til at foretage yderligere un-

dersøgelser af, hvilke typer af de nævnte data som de britiske myndigheder

kan forlange udleveret i henhold til britisk ret

. Desuden rejses en bekym-

ring angående en konkret episode fra januar 2021, hvor 400.000 strafferegi-

stre ved en fejl blev slettet fra UK Police National Computer, hvilket ifølge

Parlamentet svækker tilliden til Storbritanniens bestræbelser på at beskytte

personoplysninger, der behandles til retshåndhævelsesformål

Det bemærkes, at Kommissionen i anledning af Det Europæiske Databe-

skyttelsesråds udtalelser (se afsnit 8) har revideret sine udkast til tilstrække-

lighedsafgørelser, der indeholder en række uddybninger og præciseringer.

Justitsministeriet er i gang med at gennemgå de reviderede udkast nærmere.

5. Nærhedsprincippet

Der er i forhold til begge udkast tale om en gennemførelsesforanstaltning til

en allerede vedtaget retsakt. Det er derfor regeringens vurdering, at det føl-

ger heraf, at Kommissionens udkast er i overensstemmelse med nærheds-

princippet.

6. Gældende dansk ret

Når personoplysninger ønskes overført til et tredjeland (lande uden for

EU/EØS), skal dataeksportøren (den der fører personoplysningerne ud af

EU/EØS) iagttage de databeskyttelsesretlige regler om tredjelandsoverførs-

ler.

Formålet med reglerne om tredjelandsoverførsler er at sikre en tilstrækkelig

beskyttelse af personoplysninger, som forlader EU. Reglerne stiller i den

forbindelse krav om, at videregivelse af personoplysninger til en modtager

Jf. pkt. 25 i Europa-Parlamentets resolution

Jf. pkt. 26-27 i Europa-Parlamentets resolution

Jf. pkt. 31 i Europa-Parlamentets resolution

Jf. pkt. 30 i Europa-Parlamentets resolution

Side 7/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

i et tredjeland skal være baseret på et overførselsgrundlag, der er det ”in-

strument”, som skal være på plads, inden personoplysninger kan

overføres

til et tredjeland. Hensigten er, at overførselsgrundlaget skal yde de fornødne

garantier for beskyttelsen af de overførte oplysninger.

Databeskyttelsesforordningen

Databeskyttelsesforordningens regler om tredjelandsoverførsler fremgår af

forordningens kapitel V om overførsler af personoplysninger til tredjelande

eller internationale organisationer.

For så vidt angår de tilgængelige overførselsgrundlag opererer databeskyt-

telsesforordningen med tre muligheder.

For det første fremgår det af databeskyttelsesforordningens artikel 45, stk.

1, at overførsel af personoplysninger til et tredjeland kan finde sted, hvis

Kommissionen har fastslået, at tredjelandet har et tilstrækkeligt beskyttel-

sesniveau. Kommissionen skal ved vurderingen af beskyttelsesniveauets til-

strækkelighed bl.a. tage elementerne i artikel 45, stk. 2, litra a

–

litra c, i

betragtning.

Efter en vurdering af beskyttelsesniveauets tilstrækkelighed kan Kommissi-

onen ved hjælp af en gennemførelsesretsakt fastslå, at et tredjeland sikrer et

tilstrækkeligt beskyttelsesniveau. Gennemførelsesretsakten vedtages efter

undersøgelsesproceduren i databeskyttelsesforordningens artikel 93, stk. 2,

hvilket bl.a. vil sige, at beslutningen skal træffes på grundlag af en udtalelse,

som afgives af en Komité, der er nedsat i henhold til forordningens artikel

93, stk. 1, og som består af repræsentanter for medlemsstaternes regeringer.

I fraværet af en tilstrækkelighedsafgørelse kan overførslen baseres på et af

de opregnede instrumenter i forordningens artikel 46 om fornødne garantier,

herunder kontraktbestemmelser, som skal sikre passende databeskyttelses-

garantier, herunder rettigheder, der kan håndhæves i forhold til de berørte

borgeres personoplysninger.

Endelig indeholder databeskyttelsesforordningens artikel 49 en undtagelses-

bestemmelse, som i visse nærmere angivne situationer giver mulighed for

enkeltstående og ikke-systematiske overførsler til tredjelande.

Side 8/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

Retshåndhævelsesloven

Retshåndhævelsesdirektivet er gennemført i dansk ret med retshåndhævel-

sesloven

, der gælder for retshåndhævende myndigheders, herunder politi-

ets, behandling af personoplysninger til retshåndhævelsesformål.

Retshåndhævelseslovens VII. afsnit (§§ 32-36) regulerer nærmere, hvornår

retshåndhævende myndigheder må gennemføre tredjelandsoverførsler.

Efter lovens § 32 må overførsler til et tredjeland bl.a. kun finde sted med

henblik på fuldbyrdelse af strafferetlige sanktioner, og hvis oplysningerne

overføres til en retshåndhævende myndighed i det pågældende tredjeland.

Desuden skal der være et overførselsgrundlag i henhold til lovens §§ 33-36.

Efter lovens § 33 kan overførsel ske, hvis Kommissionen har truffet afgø-

relse om, at tredjelandet har et tilstrækkeligt beskyttelsesniveau. Kommissi-

onen skal ved vurderingen af beskyttelsesniveauets tilstrækkelighed bl.a.

tage elementerne i retshåndhævelsesdirektivets artikel 36, stk. 2, litra a

–

litra c, i betragtning.

Ligesom tilfældet var ovenfor, træffes Kommissionens afgørelse om tredje-

landets beskyttelsesniveau gennem en gennemførelsesretsakt. Gennemfø-

relsesretsakten vedtages efter undersøgelsesproceduren i retshåndhævelses-

direktivets artikel 58, stk. 2, hvilket bl.a. vil sige, at beslutningen skal træffes

på grundlag af en udtalelse, som afgives af en Komité, der er nedsat i hen-

hold til direktivets artikel 58, stk. 1, og som består af repræsentanter for

medlemsstaternes regeringer.

Endvidere kan en tredjelandsoverførsel efter retshåndhævelseslovens § 34,

stk. 1, ske, hvis der i en international aftale er givet fornødne garantier, hvad

angår beskyttelsen af personoplysninger, jf. nr. 1, eller den dataansvarlige

har vurderet alle forhold i forbindelse med overførslen af personoplysninger

og konkluderet, at der findes de fornødne garantier for beskyttelsen af per-

sonoplysninger, jf. nr. 2.

Ved mangel af en tilstrækkelighedsafgørelse eller fornødne garantier til sik-

ring af beskyttelsen af personoplysninger, vil tredjelandsoverførsler efter

Lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af person-

oplysninger

Side 9/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

retshåndhævelseslovens § 35 undtagelsesvist kunne finde sted i konkrete til-

fælde, f.eks. for at afværge en umiddelbar og alvorlig trussel mod en med-

lemsstats eller et tredjelands offentlige sikkerhed.

7. Konsekvenser

Lovgivningsmæssige konsekvenser

Kommissionens udkast indebærer ikke ændringer i dansk ret.

Økonomiske konsekvenser

Kommissionens udkast vurderes ikke at have statsfinansielle konsekvenser.

Tilstrækkelighedsafgørelsen, der vedtages med hjemmel i databeskyttelses-

forordningen, vurderes at kunne have en positiv erhvervsøkonomisk ind-

virkning for erhvervslivet, som forsat vil kunne overføre personoplysninger

til f.eks. virksomheder i Storbritannien uden specifik godkendelse.

Hvis de foreslåede tilstrækkelighedsafgørelser ikke vedtages, vurderes det

omvendt, at dataeksportører kan opleve visse administrative omkostninger,

hvis personoplysninger ønskes overført til Storbritannien efter den 30. juni

2021. Det skyldes, at overførslen i så fald skal baseres på et andet overfør-

selsgrundlag (se afsnit 6 ovenfor), som kan indebære, at der f.eks. for hver

behandlingsaktivitet, hvor der løbende skal overføres personoplysninger,

skal udarbejdes kontrakter mellem de pågældende aktører i EU og Storbri-

tannien, eller lignende for at gennemføre overførslen. Sikring af et overfør-

selsgrundlag i tilfælde af løbende udveksling af personoplysninger mellem

de pågældende aktører kan vise sig at være en omfattende øvelse, da det

bl.a. indebærer, at den enkelte EU-aktør i forhold til den specifikke overfør-

sel skal foretage visse undersøgelser af, om der kan være forhold, herunder

i tredjelandets lovgivning, som svækker effektiviteten af de påkrævede be-

skyttelsesgarantier og rettigheder, som skal sikres gennem overførsels-

grundlaget.

Andre konsekvenser og beskyttelsesniveauet

En vedtagelse af de foreslåede tilstrækkelighedsafgørelser skønnes at have

en positiv indvirkning for aktører, som på en simpel måde ønsker at overføre

personoplysninger til Storbritannien.

En tilstrækkelighedsafgørelse forudsætter, at tredjelandet yder et beskyttel-

sesniveau, der i det væsentligste svarer til det i EU. Som nævnt har Kom-

Side 10/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

missionen vurderet, at Storbritannien sikrer et beskyttelsesniveau for per-

sonoplysninger, som i det væsentligste svarer til det i EU (se afsnit 3), hvor-

for en vedtagelse af tilstrækkelighedsafgørelserne ikke bør have konsekven-

ser for beskyttelsen af borgeres personoplysninger, som overføres til Stor-

britannien fra EU.

Det bemærkes, at de foreslåede tilstrækkelighedsafgørelser udgør et vigtigt

aspekt for implementeringen af handels- og samarbejdsaftalen mellem Stor-

britannien og EU. Det vurderes derfor, at en manglende vedtagelse af afgø-

relserne efter omstændighederne kan have konsekvenser for visse dele af

aftalen, herunder navnlig på området for retshåndhævelse og retsligt samar-

bejde i straffesager.

8. Høring

Udkast til de foreslåede tilstrækkelighedsafgørelser er blevet forelagt Det

Europæiske Databeskyttelsesråd, som består af repræsentanter fra medlems-

staternes datatilsyn og af Den Europæiske Tilsynsførende for Databeskyt-

telse.

Det Europæiske Databeskyttelsesråd har en uafhængig og rådgivende rolle

på databeskyttelsesområdet og afgiver bl.a. udtalelser til Kommissionen

med henblik på vurdering af tilstrækkeligheden af beskyttelsesniveauet i et

tredjeland. Det Europæiske Databeskyttelsesråd fremkom den 13. april 2021

med sine udtalelser om udkastene fra Kommissionen.

Udtalelsen om afgørelsen efter databeskyttelsesforordningen

I udtalelsen fremhæver Det Europæiske Databeskyttelsesråd først og frem-

mest sagens unikke karakter, idet det forelagte udkastet angår beskyttelses-

niveauet i en tidligere EU-medlemsstat, og eftersom der ikke findes fortil-

fælde for en tilstrækkelighedsafgørelse med en solnedgangsklausul

Som følge af Storbritanniens tidligere medlemskab af EU anerkender Det

Europæiske Databeskyttelsesråd, at der på mange områder er konvergens

mellem den britiske og europæiske databeskyttelseslovgivning. Efter bl.a.

en analyse af det udkast fra Kommissionen, der blev sendt i høring, bemær-

Det Europæiske Databeskyttelsesråd:

Opinion 14/2021 regarding the European Com-

mission Draft Implementing Decision pursuant to Regulation (EU) 2016/679 on the adequ-

ate protection of personal data in the United Kingdom

(vedtaget den 13. april 2021) (udta-

lelsen om afgørelsen efter databeskyttelsesforordningen).

Jf. pkt. 35 i udtalelsen om afgørelsen efter databeskyttelsesforordningen

Side 11/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

ker Databeskyttelsesrådet imidlertid, at der er en række forhold, der bør un-

dersøges nærmere

, som f.eks. en undtagelse til visse af databeskyttelses-

reglerne på det britiske immigrationsområde

, og om en tilstrækkeligheds-

afgørelse i praksis kan medføre en underminering af EU-databeskyttelses-

reglerne om tredjelandsoverførsler

På den baggrund anbefales Kommissionen at adressere de fremhævede ud-

fordringer i udtalelsen samt tæt at følge relevante udviklinger i Storbritan-

nien, som kan have en indvirkning på beskyttelsesniveauet for de overførte

personoplysninger, og i den forbindelse træffe hurtige og passende foran-

staltninger, hvis forholdene tilsiger det

Udtalelsen om afgørelsen efter retshåndhævelsesdirektivet

I udtalelsen noterer Det Europæiske Databeskyttelsesråd sig indledningsvis,

at der er en stærk overensstemmelse mellem britisk lovgivning og retshån-

dhævelsesdirektivet på databeskyttelsesområdet i forhold til visse centrale

bestemmelser, f.eks. om formålsbegrænsning og gennemsigtighed

Der er imidlertid en række forhold, som Det Europæiske Databeskyttelses-

råd opfordrer Kommissionen til at undersøge nærmere. Kommissionen an-

befales f.eks. at supplere sin analyse med oplysninger om tilstedeværelsen

af en mekanisme, der sikrer, at medlemsstaternes retshåndhævende myndig-

heder orienteres om de britiske myndigheders viderebehandling eller offent-

liggørelse af modtagne oplysninger

. Derudover anbefales Kommissionen

også at undersøge samspillet mellem den britiske databeskyttelseslovgiv-

ning og Storbritanniens internationale forpligtelser, navnlig for at sikre et

tilstrækkeligt beskyttelsesniveau, når modtagne oplysninger fra EU videre-

gives til andre tredjelande

Jf. pkt. 36 i udtalelsen om afgørelsen efter databeskyttelsesforordningen

Jf. pkt. 12 og 13 i udtalelsen om afgørelsen efter databeskyttelsesforordningen

Jf. pkt. 14ff i udtalelsen om afgørelsen efter databeskyttelsesforordningen

Jf. pkt. 37 i udtalelsen om afgørelsen efter databeskyttelsesforordningen

Det Europæiske Databeskyttelsesråd:

Opinion 15/2021 regarding the European Com-

mission Draft Implementing Decision pursuant to Directive (EU) 2016/680 on the adequate

protection of personal data in the United Kingdom

(vedtaget den 13. april 2021) (udtalelsen

om afgørelsen efter retshåndhævelsesdirektivet).

Jf. pkt. 5 i udtalelsen om afgørelsen efter retshåndhævelsesdirektivet

Jf. pkt. 6 i udtalelsen om afgørelsen efter retshåndhævelsesdirektivet

Jf. pkt. 7 i udtalelsen om afgørelsen efter retshåndhævelsesdirektivet

Side 12/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

Endelig opfordres Kommissionen

–

ligesom udkastet vedrørende databe-

skyttelsesforordningen

–

til tæt at følge relevante udviklinger i Storbritan-

nien og i den forbindelse træffe hurtige og passende foranstaltninger, hvis

forholdene tilsiger det

Kommissionen har sidenhen sendt reviderede udkast til medlemsstaterne,

der indeholder en række uddybninger og præciseringer i anledning af Det

Europæiske Databeskyttelsesråds udtalelser. Justitsministeriet er som nævnt

fortsat i gang med at gennemgå de reviderede udkast.

9. Generelle forventninger til andre landes holdninger

Justitsministeriet har ikke kendskab til andre EU-landes konkrete holdnin-

ger til Kommissionens udkast, men det forventes, at landene generelt vil

være positive over for en tilstrækkelighedsafgørelse om Storbritannien efter

databeskyttelsesforordningen og retshåndhævelsesdirektivet.

10. Regeringens foreløbige generelle holdning

Regeringen mener generelt, at det er vigtigt, at der skabes et velfunderet og

gennemanalyseret grundlag, der giver juridisk sikkerhed for de aktører, der

er involveret i overførsel af data mellem EU og Storbritannien. Det bemær-

kes i den forbindelse, at personoplysninger, der overføres på baggrund af en

tilstrækkelighedsafgørelse, stadig skal behandles i overensstemmelse med

databeskyttelsesforordningens øvrige regler om behandling af personoplys-

ninger. En tilstrækkelighedsafgørelse vil således alene give mulighed for, at

personoplysninger i forhold til de databeskyttelsesretlige regler om tredje-

landsoverførsler fremadrettet kan overføres til Storbritannien uden yderli-

gere specifik godkendelse.

Betydningen af dataoverførsel er stigende i samhandelen på tværs af græn-

ser og en forudsætning for, at mange europæiske virksomheder kan konkur-

rere på det globale marked. Gennemførelsesretsakten, der påtænkes vedta-

get efter databeskyttelsesforordningen, vil derfor bl.a. kunne give en enk-

lere, mindre byrdefuld og dermed mere omkostningseffektiv mekanisme for

europæiske virksomheder, som fremadrettet ønsker at fortsætte med at ud-

veksle data med f.eks. britiske virksomheder. Dette finder regeringen for-

nuftigt, og regeringen arbejder på den baggrund for at begrænse digitale

handelshindringer på globalt plan med henblik på, at danske virksomheder

kan udnytte potentialet for vækst og indtjening i den digitale økonomi.

Jf. pkt. 7-8 og 11 i udtalelsen om afgørelsen efter retshåndhævelsesdirektivet

Side 13/14

EUU, Alm.del - 2020-21 - Bilag 592: Notat om komitésag vedr. Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden af beskyttelsesniveauet angående Storbritannien

Overordnet set ser regeringen endvidere meget positivt på tiltag, som kan

bidrage til, at de retshåndhævende myndigheder fortsat kan varetage deres

opgaver på en effektiv og smidig måde. Gennemførelsesretsakten, der på-

tænkes vedtaget efter retshåndhævelsesdirektivet, vurderes i den forbindelse

at etablere rammer for dataoverførsler til Storbritannien, som vil bevare de

danske retshåndhævende myndigheders muligheder for bl.a. at indgå i et

effektivt samarbejde med lignende myndigheder i Storbritannien. Dette fin-

der regeringen fornuftigt.

Henset til ovennævnte fordele agter regeringen som udgangspunkt at støtte

en vedtagelse af de foreslåede gennemførelsesretsakter.

I sagens natur kan de rejste bekymringer og udfordringer i Det Europæiske

Databeskyttelsesråds udtalelser og Europa-Parlamentets resolution (se af-

snit 4 og 8 ovenfor) give anledning til visse overvejelser om, hvorvidt de

foreslåede gennemførelsesretsakter bør støttes. Regeringen imødeser derfor

forklaringer fra Kommissionen på kommende komitémøder om, hvordan de

reviderede udkast adresserer disse spørgsmål.

11. Tidligere forelæggelse for Folketingets Europaudvalg

Kommissionens udkast til gennemførelsesretsakter om tilstrækkeligheden

af beskyttelsesniveauet angående Storbritannien efter henholdsvis databe-

skyttelsesforordningen og retshåndhævelsesdirektivet har ikke tidligere væ-

ret forelagt Folketingets Europaudvalg.

Side 14/14