American Chamber of Commerce in Italy und US-Vertretung Rom, 21. Juni Giovanni BUTTARELLI Stellvertretender Europäischer Datenschutzbeauftragter

Transkript

1 Rechtsvorschriften im Bereich Datenschutz und Privatsphäre Auswirkungen auf Unternehmen und Verbraucher Podiumsdiskussion 1 Wie sich der Ansatz in Bezug auf die Privatsphäre entwickelt: die Visionen der USA, der EU und Italiens American Chamber of Commerce in Italy und US-Vertretung Rom, 21. Juni 2012 Giovanni BUTTARELLI Stellvertretender Europäischer Datenschutzbeauftragter Sprechzettel In meinem heutigen Vortrag möchte ich mich auf drei Kernpunkte konzentrieren: Zuerst stelle ich kurz die europäische Haltung gegenüber dem Konzept der Privatsphäre vor. Dann erläutere ich die Gründe, aus denen die EU derzeit ihren Rechtsrahmen für den Datenschutz überarbeitet. Abschließend gehe ich auf einige der wichtigsten Elemente des überarbeiteten EU-Datenschutzrahmens ein, den die Europäische Kommission am 25. Januar dieses Jahres vorlegte. Der europäische Ansatz in Bezug auf die Privatsphäre Lassen Sie mich zu Beginn erklären, wie sich der europäische Ansatz in Bezug auf die Privatsphäre entwickelt hat. Dieser Ansatz baute auf der schrittweisen Erkenntnis auf, dass das Recht auf Privatsphäre zwar bestimmte Elemente des Datenschutzes umfasst, sich jedoch vom Recht auf den Schutz personenbezogener Daten unterscheidet. Seit den 50er Jahren wird die Privatsphäre als Grundrecht in Artikel 8 der Europäischen Konvention zum Schutz der Menschenrechte anerkannt. In den 80er Jahren kristallisierte sich jedoch infolge der Entwicklung der Computertechnologie 1

2 die Notwendigkeit eines gesonderten Rechtes heraus, das die neuen Herausforderungen berücksichtigt, die diese Technologien in Bezug auf die Freiheiten Einzelner mit sich bringen. Darum wurde das Übereinkommen des Europarates 108 unterzeichnet, das erstmalig das Recht auf Datenschutz als solches anerkennt und dessen wichtigste Bestandteile festlegt. 14 Jahre später verabschiedete die Europäische Union ihren eigenen Rechtsrahmen zum Datenschutz die Richtlinie 95/46/EG, die alle Mitgliedstaaten in nationales Recht umgesetzt haben. In diesem Zusammenhang ist anzumerken, dass das Recht auf Privatsphäre (oder die Achtung des Privat- und Familienlebens) und das Recht auf den Schutz personenbezogener Daten eindeutig als zwei eigenständige Rechte in Artikel 7 bzw. Artikel 8 der Charta der Grundrechte der Europäischen Union anerkannt wurden. Aufgrund dieses europäischen Ansatzes werden das Recht auf Privatsphäre und das Recht auf Datenschutz als zwei gesonderte und eigenständige Rechte mit unterschiedlichen Geltungsbereichen betrachtet. Einerseits wird das Recht auf Privatsphäre in der Regel als Recht ausgelegt, keinen Eingriffen durch einen Staat ausgesetzt zu werden, insbesondere im Hinblick auf das Privat- und Familienleben; andererseits ist das Recht auf Datenschutz ein Recht, das positive Verpflichtungen seitens des Staates erfordert, um den Schutz personenbezogener Daten wirksam gewährleisten zu können. Gründe für die Überarbeitung des EU-Rechtsrahmens für den Datenschutz Damit komme ich zum zweiten Teil meines Vortrags über die Gründe, aus denen die EU derzeit ihren Rechtsrahmen für den Datenschutz überarbeitet. Hierfür gibt es drei Hauptgründe. Erstens muss der aktuelle Rahmen also die Richtlinie 95/46/EG aktualisiert werden, um die neuen Herausforderungen zu integrieren, die das Internet und seine Interkonnektivität mit anderen mobilen Technologien mit sich bringen. Zweitens wurde der aktuelle Rahmen in das nationale Recht von 27 Ländern umgesetzt, was zu wachsender Verschiedenheit und Komplexität geführt hat. Dies wiederum hatte gewisse Kosten für Organisationen, die personenbezogene Daten verarbeiten, zur Folge, aber auch sinkende Effektivität. Der Rechtsrahmen musste also effektiver und konsistenter gemacht werden. 2

3 Drittens hat sich der institutionelle Rahmen der EU geändert. Der am 1. Dezember 2009 in Kraft getretene Vertrag von Lissabon stärkte die Grundrechte enorm. Er sah insbesondere spezielle Bestimmungen zum Schutz personenbezogener Daten sowie eine neue horizontale Rechtsgrundlage für einen umfassenden Schutz in allen Bereichen der EU-Politik vor. Auf dieser Grundlage legte die Kommission im Januar 2012 ein Paket mit zwei wichtigen Vorschlägen vor: einer Richtlinie für den Strafverfolgungsbereich und einer unmittelbar anwendbaren Verordnung zur Ersetzung von Richtlinie 95/46/EG, die sowohl für den privaten Sektor als auch für den öffentlichen Sektor (mit Ausnahme der Strafverfolgung) gilt. Der EDSB gab seine Stellungnahme zum Reformpaket am 7. März ab. Insgesamt wurde die Reform als wichtiger Schritt zur Stärkung des Rechtes auf Datenschutz in Europa begrüßt. Wichtige Elemente des Entwurfs für die Datenschutzverordnung Ich möchte nun auf den Vorschlag für eine Verordnung näher eingehen und ihnen sechs grundlegende Elemente der Reform vorstellen. Eine besser berechenbare Rechtsumgebung: Die Art des gewählten Instruments eine Verordnung führt dazu, dass es in Europa nur noch eine einzige Rechtsvorschrift für den Datenschutz gibt. Insgesamt ist dies positiv, auch wenn in einigen Fällen das nationale Recht bestehen bleibt, was zu Komplexität führt. Mehr Transparenz und Kontrolle der personenbezogenen Daten für Benutzer: Wir begrüßen die Verschärfung der Anforderungen in Bezug auf die Transparenz und die Ausweitung der Rechte von Einzelpersonen. Für die Verarbeitung Verantwortliche werden Mechanismen einführen müssen, um die Transparenz der Verarbeitung und die effektive Ausübung von Rechten sicherzustellen. Die verwendete Sprache muss je nach Zielgruppe (z. B. Kinder) einfach und verständlich sein. Es wurden spezielle Rechte für die digitale Umgebung vorgeschlagen, z. B. das Recht auf Vergessenwerden und das Recht auf Datenübertragbarkeit. Diese Bestimmungen müssen möglicherweise noch etwas optimiert werden, doch wir sind der Ansicht, dass 3

4 sie als Mittel zur Gewährleistung der effektiven Ausübung von Rechten online besonders begrüßt werden. Senkung des Verwaltungsaufwands: Es ist ein positiver Wandel von einem Meldungssystem zu einem Ansatz der Rechenschaftspflicht vorgesehen, der den Aufwand und die Kosten für für die Verarbeitung Verantwortliche und Datenverarbeiter senken sollte. Für die Verarbeitung Verantwortliche, und in einem gewissen Ausmaß auch Auftragsverarbeiter, müssen alle notwendigen Maßnahmen ergreifen, um die Einhaltung der Vorschriften zu gewährleisten, und müssen dokumentieren, dass diese Maßnahmen weiterhin effektiv sind. Die Einzelheiten darüber, wie das Modell der Rechenschaftspflicht in der Praxis aussehen soll, müssen noch definiert werden, und wir empfehlen dringend, dabei Elemente wie die Skalierbarkeit und die Auswirkungen der Verarbeitung zu berücksichtigen. Die Sicherheit der Verarbeitung wird verbessert, was zu mehr Vertrauen in das Internet führen wird. Sowohl für die Verarbeitung Verantwortliche als auch Auftragsverarbeiter unterlägen strengen Datensicherheitsverpflichtungen und müssten den unbefugten Zugriff auf Daten sowohl an die Datenschutzbehörden als auch an die betroffenen Personen melden. Zentrale Anlaufstelle: Es wird ein Mechanismus zur Wahrung der Konsistenz eingeführt, damit eine federführende Behörde für Unternehmen mit mehreren Niederlassungen in der EU zuständig ist. Dieser Mechanismus ermöglicht außerdem die konsistente Klärung grenzüberschreitender Angelegenheiten durch nationale Datenschutzbehörden im Rahmen eines koordinierten Verfahrens. Daher handelt es sich hier nicht nur um eine zentrale Anlaufstelle, sondern um ein Netz nationaler Behörden, die hinter dieser Anlaufstelle stehen. So werden die Rechtssicherheit für Unternehmen, die in mehreren Mitgliedstaaten tätig sind, und das Vertrauen der Verbraucher gestärkt. Abschließend möchte ich auf die internationale Dimension der Verordnung eingehen: Der Geltungsbereich der Verordnung wurde auf die Verarbeitung durch Unternehmen außerhalb der EU erweitert, die Waren oder Dienstleistungen anbieten oder das Verhalten von Einzelpersonen aus der EU 4

5 überwachen. Darüber hinaus führen einige Bestimmungen vereinfachte Mechanismen für die internationale Datenübermittlung ein, wie verbindliche unternehmensinterne Datenschutzvorschriften. All dies ist erforderlich, da das Internet naturgemäß keine Grenzen hat. Auch auf internationaler Ebene sind also verstärkt Synergien nötig, um Rechtsrahmen mit einer höheren Interoperabilität zu erarbeiten. 5