Schlagwort: Changes in EU Data Protection Laws

EU-Datenschutzgrundverordnung aktuell (1): Die Verordnung nimmt Formen an

16. Juni 2015

Nach dreieinhalb Jahren (oder 40 Monaten) Verhandlungen haben sich die EU-Mitgliedsstaaten auf einen ersten Entwurf einer europaweiten Datenschutzverordnung geeinigt. Vorausgegangen war eine der größten Lobbyschlachten der letzten Jahre. Der Grünen-Europa-Abgeordnete Jan-Philipp Albrecht (stellvertretender Vorsitzender des Justiz- und Innenausschusses des Europäischen Parlaments) lobt in einem Interview mit der Deutsche Welle dennoch den gefundenen Kompromiss als gelungenen Ausgleich zwischen den Interessen der Wirtschaft und den Freiheitsrechten der Bürger.

Experten sehen dies deutlich skeptischer. Heise.de bemängelt vor Allem die faktische Aufhebung der Zweckbindung (also das Prinzip, dass Daten nur für den Zweck ihrer Erhebung verwendet werden dürfen) sowie des insbesondere in Deutschland geltenden Grundsatzes der Datensparsamkeit (das Prinzip so wenig wie möglich personebezogene Daten zu erheben, zu nutzen bzw. zu verarbeiten).

Auch das sich mittlerweile etablierte Prinzip des Opt-In (etwa zur Anmeldung zu Newslettern und Werbemails) könnte zukünftig nicht mehr gelten. So ist eine Formulierung geplant, dass zukünftig die „unzweideutige Einwilligung“ ausreichen soll. Ob damit gemeint ist, dass künftig auch ein mehr oder wenig leicht zu erkennender Hinweis in einem langen Text von Einwilligungen genügen soll, um entsprechende Mailings vorzunehmen, scheint nicht ausgeschlossen.

Die Nutzung der Daten für Direktmarketing soll zukünftig bereits dann möglich sein, wenn das Interesse eines Drittunternehmens (also nicht nur des Unternehmens, welches die Daten erhoben hat) bei einer Abwägung größer als das des Betroffenen eingeschätzt wird.

Ob und wie das viel diskutierte Recht auf Vergessenwerden tasächlich in der finalen Verordnung Einzug finden wird, bleibt abzuwarten.

Auch die Konsequenzen von Datenschutzverstößen für Unternehmen, die sich nicht einmal an die geplanten Rahmenbedingungen halten möchten, sollen deutlich sanfter ausfallen als bisher geplant. War in der Vergangenheit von Bußgeldern i.H.v. 100 Millionen Euro oder 5 Prozent des Jahresumsatzes die Rede wurden diese Zahlen nun deutlich reduziert. Ob sich große internationale Unternehmen, die mit den personenbezogenen Daten ihrer Nutzer viel Geld verdienen, von einem Bußgeld i.H.v. maximal 250.000 € von Verstößen abschrecken lassen werden, wird die Zukunft zeigen.

Wie die Verordnung am Ende tatsächlich aussieht hängt von den Verhandlungen zwischen EU-Kommission, Parlament und Ministerrat ab. Diese sollen bis Ende des Jahres abgeschlossen sein.

The effects of the upcoming changes in EU Data Protection Laws on Safe Harbor

21. März 2014

On 12th March 2014, the European Parliament adopted the Draft of a Proposal for a New Data Protection Regulation from 25th January 2012 that published the European Commission. This Proposal aims at adapting the existing EU Data Protection Directive 95/46/EC to the new threats and risks, as well as to establish stronger measures and higher fines in case of data breaches.

The most important consequence for Non-European companies is that they will also be subject to the same rules as these in force in the EU when operating in EU markets. In some cases, it may be also mandatory to appoint a representative in the EU for the companies that are located outside the EU but offer services in the EU.

The Committee on Civil Liberties, Justice and Home Affairs, a standing committee from the European Parliament, published a report on 21st February 2014, in which it recognizes the necessity to find new mechanisms to protect the private sphere of individuals, as U.S. Data Protection legal Framework and U.S. Safe Harbor are considered not to provide an adequate level of protection.

Additionally, the European Commission already stated in the “Communication from 27th November 2013 on the Functioning of the Safe Harbor from the Perspective of EU Citizens and Companies established in the EU”, that it is an essential aspect to restore trust in data transfers between the U.S.A. and the EU/EEA. To achieve this, U.S. companies will have to act according to European legislation, as well as provide adequate safeguards regarding Data Processing.

All these aspects will have an impact on the EU-U.S. Safe Harbor Framework. For example, U.S.-based companies will have to search for alternative means to carry out international data transfers, if the Commission Decision 520/2000, which declared the adequacy of the Safe Harbor Privacy Principles, is suspended.

Moreover, the Proposal for a Directive concerning measures to ensure a high common level of network and information security across the Union, also called “NIS – Network and Information Security”, for which the European Parliament voted on 13th March 2014, will enforce issues regarding Data Security. This implies, for example, that the EU Member States’ companies will have to improve their infrastructures and that more requirements will be demanded by the national authorities respectively Data Processing and especially network and information security.