EUpdate #4: Datenschutz

Transkript

1 EUpdate #4: Datenschutz Neue Datenschutzreform für Europa: Was bringt sie? Wann tritt die Datenschutz- Verordnung in Kraft? Was macht das Europaparlament? Das EUpdate fasst einige wichtige Punkte rund um die EU- Datenschutzreform zusammen. Wir leben in einem Zeitalter in dem es selbstverständlich ist, dass Unmengen an persönlichen Daten von uns gesammelt, gespeichert, verarbeitet und getauscht werden. Laut der Universität von Hawaii existiert eine größere Datenansammlung als Sandkörner am Meer. Die Datenmengen verdoppeln sich auch noch alle zwei Jahre 1. Die Sammlung von Daten, die digitale Datenwirtschaft wird zu einem immer größer werdenden ökonomischen Faktor unzählige Sicherheitsfirmen, IT- Branchen, soziale Netzwerkanbieter, etc.. verdienen gut an unseren Daten. Die Sammlung und Speicherung und das Geschäft mit den Daten hat vor allem in den vergangenen zehn bis zwanzig Jahren, im sogenannten digitalen Zeitalter, im erheblichen Maße zugenommen, die bisherigen rechtlichen Regelungen betreffend dem Schutz der Daten stammen aber noch aus dem Jahr 1995 und galten schon bei ihrer Einführung als veraltet und den technologischen Entwicklungen als nicht angemessen. Das neue Datenschutz- Paket soll nun die bestehende Datenschutz- RL aus dem Jahr 1995 ersetzen und der EU- Gesetzgebung, 1 Verbraucherverhalten- Auswertung- Big- Data- Supermarkt, Bezug auf IDC Digital Universe Studie bezieht. wonach der Schutz von persönlichen Daten ein Grundrecht darstellt (Artikel 16 über die Arbeitsweise des Vertrages, Artikel 8 der Grundrechte- Charta) Rechnung tragen. Das Datenschutz- Paket baut dabei in wesentlichen Bereichen auf den bestehenden rechtlichen Grundlagen auf, verstärkt einige Bereiche und bringt auch ein paar Neuerungen. Da es sich um eine Verordnung handelt, ist sie für die Mitgliedsstaaten bindend. Derzeitige Situation Derzeit ist der Datenschutz in Europa durch die Datenschutz- Rahmenrichtlinie (Data Protection Framework Directive EC/95/46) 2 und weitere Regelungen wie die "E- Privacy- Directive" geregelt. Die Rahmenrichtlinie brachte aber keine Harmonisierung in den Mitgliedsstaaten, sondern eher eine Kakophonie der Gesetzeslage innerhalb der EU. Während der Berg an Datenansammlungen wächst, hinken die gesetzlichen Datenschutzbestimmungen hinterher. 2 Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist eine 1995 erlassene Richtlinie der Europäischen Gemeinschaft zum Schutz der Privatsphäre von natürlichen Personen bei Verarbeitung von personenbezogenen Daten.

2 Wer welche Daten für welche Zwecke und in welchem Umfang sammeln darf ist in allen 27 Mitgliedsstaaten unterschiedlich geregelt. Eine Folgewirkung ist, dass sich US- Großkonzerne, die Daten von europäischen Bürgerinnen und Bürger verarbeiten, ihren Niederlassungssitz ihrer Tochterfirma nach den schwächsten Regelungen aussuchen können. Die Datenschutzreform Am 25. Januar 2012 hat EU- Justizkommissarin Viviane Reding ein umfassendes gesetzliches Reformpaket zum Datenschutz auf europäischer Ebene vorgestellt, die bis Beginn des Jahres 2014 im Gesetzgebungsprozess abgeschlossen sein soll. Der Vorschlag besteht aus einer: (1) Datenschutz- Grundverordnung 3, die Regeln für die Datenverarbeitung vor allem durch Unternehmen vorgibt und europaweit vereinheitlicht und (2) einer Richtlinie 4 zur Verarbeitung von persönlichen Daten durch Polizei und Justiz. Obwohl die Gesetzesvorlage, die im Jänner 2012 von der Kommission präsentiert wurde, in einigen Bereichen abgeschwächt wurde (statewatch.org) und die Vorlage in einigen Bereichen Verbesserung bedarf, bringt das 3 Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz- Grundverordnung) 4 Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Aufdeckung, Untersuchung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr. sogenannte Datenschutz- Paket große Fortschritte bezüglich der Verarbeitung und dem Schutz von persönlichen Daten durch Unternehmen mit sich. Das Datenschutz- Paket bringt ein einheitliches EU- Datenschutzrecht in der gesamten EU, das für Unternehmen und nicht EU- Unternehmen, die mit den Daten von europäischen BürgerInnen arbeiten (also z.b. ein US- Unternehmen mit Tochterfirma in Europa, etc.) gilt. Die Verordnung bringt höhere Datenschutz- Standards und strengere Regelungen wie mit personenbezogenen Daten von EU- BürgerInnen in Europa und weltweit umgegangen werden darf. Für die Richtlinie sollen sofern es beim Paketansatz bleibt die gleichen Bestimmungen wie in der Verordnung gelten. Kernelemente der Reform Die Verordnung bringt höhere Datenschutzstandards - wie mit personenbezogenen Daten von EU- Bürgerinnen und Bürger in- und außerhalb der EU umgegangen werden darf. Die Datenschutzverordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personen- bezogener Daten und zum freien Verkehr solcher Daten 5 und wird nach Beschluss für Unternehmen in der gesamten EU gelten. Die Neuregelung umfasst als rechtlich definierten Anwendungs- bereich die Verarbeitung personen- bezogener Daten, soweit diese im Rahmen der Tätigkeiten einer Niederlassung eines für die Verarbeitung Verantwortlichen oder eines Auftragsverarbeiters in der 5 VO

3 Union erfolgt, 6 sowie von in der Union ansässigen betroffenen Personen durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen, wenn die Datenverarbeitung dazu dient, diesen Personen in der Union Waren oder Dienstleistungen anzubieten, oder der Beobachtung ihres Verhaltens dient und jede Verarbeitung personenbezogener Daten durch einen nicht in der Union niedergelassenen für die Verarbeitung Verantwortlichen an einem Ort, der nach internationalem Recht dem Recht eines Mitgliedstaats unterliegt. 7 Einheitlicher Datenschutz in Europa Wenn die Verordnung erlassen wird, wird es ein EU- Datenschutzrecht geben, das die Unternehmen erfüllen müssen. Die neuen Regeln werden in der gesamten EU gelten - also auch für Nicht- EU- Unternehmen, die mit den Daten von EU- Bürgerinnen und Bürger arbeiten (z.b. ein US- Unternehmen mit Tochterfirma in Europa). Die Verordnung bringt höhere Datenschutzstandards, wie mit den personenbezogenen Daten von EU- Bürgerinnen und Bürger in Europa und weltweit umgegangen werden darf. Für die Richtlinie sollen sofern es bei diesem Paketansatz bleibt die gleichen Bestimmungen wie in der Verordnung gelten. Explizite Zustimmung Datenverarbeitung nur bei Zustimmung. In der Verordnung heißt es: Der für die Verarbeitung Verantwortliche trägt die Beweislast dafür, dass die betroffene 6 VO 7 Artikel 2 der VO Person ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten für eindeutig festgelegte Zwecke erteilt hat, Artikel 7. Die Einwilligung zur Verarbeitung von personen- bezogenen Daten muss von einer betroffenen Person mittels klarer Aussage oder über eine affirmative Handlung (z.b. Durch eine explizite Zustimmung durch das Anklicken einer Zustimmungsbox auf einer Webseite). Die betroffene Person muss das Recht haben, ihre Zustimmung jederzeit widerrufen zu können. Recht auf Vergessen und Löschung Die betroffene Person hat das Recht, von dem für die Verarbeitung Verantwortlichen die Löschung von sie betreffenden personenbezogenen Daten und die Unterlassung jeglicher weiteren Verbreitung dieser Daten zu verlangen, Artikel 17. Personen haben das Recht, vergessen zu werden. Einzelpersonen haben das Recht auf die Löschung aller personenbezogenen Daten, die ein Unternehmen besitzt. Dazu gehören alle Fotos und Links zu Kopien von personenbezogenen Daten, die im Internet zum Beispiel in sozialen Netzwerken oder über Suchmaschinen gefunden werden können. Die Unternehmen müssen die Daten löschen. Privacy by Design and by Default Unternehmen müssen ihre Angebote datensparsam konzipieren und mit den datenschutzfreundlichsten Voreinstellungen anbieten. Ein starkes Prinzip der Zweckbindung bedeutet,

4 dass nur die Daten erhoben werden dürfen, die zur Erbringung des Dienstes benötigt werden. Außerdem muss es die Möglichkeit geben, Dienste anonym und unter Pseudonym zu nutzen. Webseiten- Anbieter sollen keine Nutzungsprofile erstellen dürfen, wenn NutzerInnen durch die Privatsphäre- Einstellungen ihres Internetbrowsers signalisieren, dass sie das nicht wollen. Recht auf Datenübertragbarkeit In der Verordnung heißt es: Werden personenbezogene Daten elektronisch in einem strukturierten gängigen elektronischen Format verarbeitet, hat die betroffene Person das Recht, von dem für die Verarbeitung Verantwortlichen eine Kopie der verarbeiteten Daten in einem von ihr weiter verwendbaren strukturierten gängigen elektronischen Format zu verlangen, Artikel 18. One Stop Shop als zentrale Behörde Die Verarbeitung von personenbezogen Daten durch Unternehmen, die in mehreren EU- Ländern ansässig sind, soll in Zukunft nur noch von einer zentralen Datenschutzbehörde überwacht werden. Derzeit sind aufgrund der vielen unterschiedlichen einzel- staatlichen Regelungen viele unterschiedliche Behörden zuständig. Diese unterschiedlichen Regelungen werden durch die Verordnung vereinheitlicht. Die zuständige Behörde für ein Unternehmen ist dann ausnahmslos die Datenschutzbehörde jenes Landes, in dem die Hauptniederlassung des Unternehmens liegt. Diese wird nach verschiedenen Kriterien bestimmt, wie zum Beispiel Ort der zentralen Verwaltung des Unternehmens, Ort an dem Management- Entscheidungen getroffen werden, etc. BürgerInnen können Beschwerden an die Datenschutzbehörde im eigenen Mitgliedstaat richten. Diese tritt dann in Kontakt mit der jeweiligen Datenschutzbehörde des Landes, indem sich der Hauptsitz des Unternehmens befindet. Wird diese Behörde nicht tätig, kann sie auch direkt an das ausländische Unternehmen herantreten. Sanktionen und Geldstrafen Ein Verstoß gegen die neuen Datenschutzvorschriften soll mit einer Geldstrafe von bis zu 1 Mio. oder 2 % des weltweiten Jahresumsatz von Unternehmen führen. Die Strafen sind in der Verordnung nach drei Kategorien - je nach Schwere des "Verstoßes" geregelt. Die drei Kategorien sind: o Kategorie 1: bis zu 250,000 oder im Falle eines Unternehmens 0.5% des jährlichen weltweiten Gesamtumsatzes, o Kategorie 2: 500,000 oder ein Prozent des jährlichen weltweiten Gesamtumsatzes und o Kategorie 3: 1 Million bis zu 2% des jährlichen weltweiten Gesamtumsatzes. Die Schwere des Verstoßes soll von der jeweiligen Datenschutzbehörde festgelegt wird. Derzeit sind die Strafen sehr gering: Die maximale Geldstrafe in Großbritannien für eine Verletzung des Datenschutzrechts Der Lebensmittelkonzern Lidl musste im Jahr 2008 wegen der Bespitzelung von MitarbeiterInnen nur 1,5 Millionen

5 Euro Strafe zahlen. Lidl hat einen Jahresumsatz von 30,85 Milliarden Euro. Bei Anwendung des Verordnungs- vorschlags müsste das Unternehmen nun 617 Millionen Euro zahlen. Was macht das EU- Parlament? Seit dem Vertrag von Lissabon ist das Parlament bei Verordnungen vollständiger Gesetzgeber. Neben dem Innenausschuss des Parlaments (LIBE) befassen sich noch vier weitere Ausschüsse Binnenmarkt, Industrie, der Beschäftigtenausschuss und der Rechtsausschuss mit dem Gesetzespaket und verfassen Stellungnahmen. Die Abgeordneten in den Ausschüssen bringen Abänderungs- anträge ein, über die in den Ausschüssen abgestimmt wird. Die stellung- nehmenden Ausschüssen haben bereits im Februar 2013 abgestimmt; die Abstimmung im Rechtsausschuss folgt im Mai. Der Innenausschuss wird voraussichtlich im Juni 2013 über seinen Bericht abstimmen, der dann auch dem Plenum des Europäischen Parlaments vorgelegt wird. Im EU- Parlament soll das Paket noch in diesem Jahr verabschiedet werden. Nach Beschluss dauert es zwei Jahre bis die neuen Regeln in die Praxis umgesetzt werden. Die neuen Datenschutz- Standards werden also ab 2015 Realität sein. Was fordern wir? Als Mitglied im federführenden LIBE Ausschuss hat Josef Weidenholzer eine Reihe von Abänderungsanträgen eingebracht. Die wichtigsten Vorschläge umfassen dabei die Ausnahmen, das Auskunftsrecht sowie die Strafen bei Datenschutzverletzungen. Auch wenn Daten für private und familiäre Zwecke verarbeitet werden, soll der Respekt vor der Privatsphäre von Dritten gewahrt sein. Beim Auskunftsrecht soll auch die Rechtsgrundlage der Datenverarbeitung umfassen wie es zum Beispiel im österreichischen und ungarischen Datenschutzgesetz schon der Fall ist. Die Strafen bei Datenschutzverletzungen sollen erhöht werden und dem ursprünglichen Kommissionsentwurf angepasst werden. Zudem ist gerade beim Austausch mit sensiblen Daten auf erhöhte Sicherheitsstandards zu achten. Alle Abänderungsanträge von Josef Weidenholzer zur Datenschutz - Verordnung und Richtlinie sind auf der Homepage veröffentlicht. Impressum& Kontakt: Büro MEP Josef Weidenholzer, 01. März Homepage: Mail: josef.weidenholzer@europarl.europa.eu, 15G265, Europäisches Parlament, Rue Wiertz 60, Brüssel