Seiten
Meine Kommentare
Dr. Axel Spies kommentiert am Permanenter Link
Die Rolle der neuen DPF-Richter als Administrative Judges wird die europäischen Gerichte und nach Vorlage den EuGH 2024/2025 als Thema beschäftigen, aber es fällt schon ins Auge, dass der Ombudsmann nach dem Privacy Shield in fünf Jahren meiner Kenntnis nach kein einziges Verfahren zu betreuen hatte. Weisungsunabhängige Administrative Judges gibt es in den USA in einigen Rechtsbereichen.
Dr. Axel Spies kommentiert am Permanenter Link
Die neue Webseite zum Data Privacy Framework des Department of Commerce (ITA) ist jetzt online:
https://www.dataprivacyframework.gov/s/program-overview
Von besonderer Relevanz für europäische Datenexporteure sind die detaillierten neuen FAQs, die – wie ich höre- weiter ergänzt werden:
FAQs – EU-U.S. Data Privacy Framework (EU-U.S. DPF)
FAQs – UK Extension to the EU-U.S. Data Privacy Framework (UK Extension to the EU-U.S. DPF)
FAQs – Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF)
Zum Beispiel heißt es zum Notice Prinzip, dass der Datenimporteur die Betroffenen zumindest über folgendes informieren muss.
„i. seine Teilnahme am EU-U.S. DPF und, falls zutreffend, an der UK Erweiterung zum EU-U.S. DPF, und/oder am Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF) und Angabe eines Links oder der Webadresse für die Data Privacy Framework List,
ii. die Kategorien der erhobenen personenbezogenen Daten und die US-Gesellschaften und ggf. US-Tochtergesellschaften der Organisation, die sich ebenfalls an die DPF-Grundsätze halten,
iii. ihre Verpflichtung, alle personenbezogenen Daten, die sie aus der EU und gegebenenfalls aus dem UK (und Gibraltar) und/oder der Schweiz unter Berufung auf den/die relevanten Teil(e) des DPR-Programms erhält, den DPR-Grundsätzen zu unterwerfen
iv. die Zwecke, für die sie personenbezogene Daten über sie sammelt und verwendet,
v. wie man sich mit Anfragen oder Beschwerden an die Organisation wenden kann, einschließlich aller relevanten Niederlassungen in der Europäischen Union und gegebenenfalls im Vereinigten Königreich und/oder in der Schweiz, die auf solche Anfragen oder Beschwerden reagieren können,
vi. die Art oder Identität der Dritten, an die sie personenbezogene Daten weitergibt, und die Zwecke, für die sie dies tut,
vii. das Recht des Einzelnen auf Zugang zu seinen personenbezogenen Daten,
viii. die Möglichkeiten und Mittel, die die Organisation Einzelpersonen bietet, um die Verwendung und Weitergabe ihrer personenbezogenen Daten einzuschränken,
ix. die unabhängige Stelle zur Beilegung von Streitigkeiten, die für die Bearbeitung von Beschwerden und die Bereitstellung angemessener, für die betroffene Person kostenloser Rechtsbehelfe zuständig ist, und ob es sich dabei um (1) das von den Datenschutzbehörden der EU und gegebenenfalls dem britischen Information Commissioner's Office (ICO) (und der Regulierungsbehörde von Gibraltar (GRA)) und/oder dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eingerichtete Gremium, (2) einen alternativen Streitbeilegungsanbieter mit Sitz in der Europäischen Union und gegebenenfalls dem UK und/oder der Schweiz oder (3) einen alternativen Streitbeilegungsanbieter mit Sitz in den USA handelt,
x. die Unterwerfung unter die Ermittlungs- und Durchsetzungsbefugnisse der Federal Trade Commission (FTC), des U.S.- Department of Transport oder anderer in den USA zugelassener gesetzlicher Organe,
xi. die Möglichkeit für den Einzelnen, unter bestimmten Bedingungen ein verbindliches Schiedsverfahren in Anspruch zu nehmen,
xii. das Erfordernis, personenbezogene Daten auf rechtmäßige Anfragen von Behörden hin offenzulegen, auch um Anforderungen der nationalen Sicherheit oder der Strafverfolgung zu erfüllen, und
xiii. seine Haftung im Falle der Weitergabe an Dritte.
Zu den verschiedenen Voraussetzungen des DPF, die der Datenimporteur in der Privacy Policy erklären muss, gibt es z.T. in den FAQ detaillierte neue Formulierungshilfen.
FAZIT: wie schon gesagt, bloße kosmetische Änderungen der bestehenden unter dem Privacy Shield geposteten Privacy Policy der Datenimporteure reichen vermutlich nicht aus. Die betroffenen Datenexporteure in Europa werden sich überlegen müssen, wie sie auf den DPF in ihren Datenschutzerklärungen verweisen und welche Compliance Massnahmen hinsichtlich des konkreten Datenimporteurs erforderlich sind.
Mehr Details zum Privacy Shield findet man in den Buchkapiteln hier: https://beck-online.beck.de/Dokument?vpath=bibdata%2Fkomm%2Fforgohelfric... und https://beck-online.beck.de/?vpath=bibdata%2Fkomm%2FBusscheVoigtHdbKonzD...
Dr. Axel Spies kommentiert am Permanenter Link
Danke. Siehe im Blog auch hier: https://community.beck.de/2023/07/10/eu-us-datentransfer-adaequanzentsch...
Dr. Axel Spies kommentiert am Permanenter Link
Ich interpretiere diese DoC- Veröffentlichung derzeit so: Ein ordnungsgemäß nach dem Privacy Shield zertifiziertes US- Unternehmen muss zumindest seine geposteten Datenschutzhinweise ab dem 17. Juli bis zum 10. Oktober 2023 aktualisieren, aber es muss keine gesonderte Selbstzertifizierung vornehmen, um sich sofort auf die Angemessenheitsentscheidung des DPF stützen zu können. Ob noch mehr zu tun ist (z.b. zum Thema Dispute Resolution), werden die neuen DOC Regeln zum DPF nächste Woche zeigen.
ABER: Die Unternehmen sollten die jüngsten Durchsetzungsmaßnahmen der Federal Trade Commission (FTC) in den USA mit der Zusage der FTC, die DPF ernsthaft durchzusetzen (siehe Erw. 63 des Angemessenheitsbeschlusses) und die diesbezüglichen Aufforderung der EU Kommission sehr ernst nehmen, selbst wenn sie nach dem Privacy Shield seit Jahren problemlos zertifiziert sind: Praktisch heißt das: sie müssen die Einhaltung der Grundsätze des DPF sorgfältig überprüfen. Eine bloße kosmetische Änderung der schon geposteten Datenschutzhinweise (Ersetzen der Worte "Privacy Shield" durch "DPF") reicht da nicht. Umfangreichere Änderungen können z.B. bei den Passagen zur Datenminimierung, Zweckbindung, Verhältnismäßigkeit erforderlich werden, denn die FTC (im Zusammenarbeit mit dem DoC) wird wahrscheinlich proaktiver als bisher einschreiten, wenn sie die Erklärung als irreführend, unvollständig oder unfair einstuft.
Dr. Axel Spies kommentiert am Permanenter Link
Gerade von der US Behörde NTIA veröffentlicht:
News From the
International Trade Administration
Important Privacy Shield Program UpdateOn behalf of the U.S. Department of Commerce, the International Trade Administration’s Privacy Shield Team would like to make you aware of important developments regarding the Privacy Shield program.
Advisory:
On July 10, 2023, the European Commission’s adequacy decision for the EU-U.S. Data Privacy Framework (EU-U.S. DPF) entered into force. The EU-U.S. DPF Principles entered into effect as of the same date. U.S. based organizations that self-certified their commitment to comply with the EU-U.S. Privacy Shield Framework Principles must comply with the EU-U.S. DPF Principles, including by updating their privacy policies by October 10, 2023. Those organizations do not need to make a separate, initial self-certification submission to participate in the EU-U.S. DPF and may begin relying immediately on the EU-U.S. DPF adequacy decision to receive personal data transfers from the European Union / European Economic Area. The updating and renaming of the privacy principles under the EU-U.S. DPF does not change such an organization’s re-certification due date. Organizations that self-certified their commitment to comply with the EU-U.S. Privacy Shield Framework Principles, but do not wish to participate in the EU-U.S. DPF must complete in accordance with International Trade Administration (ITA) procedures the withdrawal process referred to in section (f) of the Supplemental Principle on Self-Certification.
Effective July 17, 2023, eligible organizations in the United States that wish to self-certify their compliance pursuant to the UK Extension to the EU-U.S. DPF may do so; however, they may not begin relying on the UK Extension to the EU-U.S. DPF to receive personal data transfers from the United Kingdom (and Gibraltar) before the date that the United Kingdom’s anticipated adequacy regulations implementing the data bridge for the UK Extension to the EU-U.S. DPF enter into force. Organizations that wish to participate in the UK Extension to the EU-U.S. DPF must also participate in the EU-U.S. DPF.
On July 17, 2023, the Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF) Principles will enter into effect. Organizations that self-certified their commitment to comply with the Swiss-U.S. Privacy Shield Framework Principles must comply with the Swiss-U.S. DPF Principles, including by updating their privacy policies by October 17, 2023. Those organizations do not need to make a separate, initial self-certification submission to participate in the Swiss-U.S. DPF; however, they may not begin relying on the Swiss-U.S. DPF to receive personal data transfers from Switzerland until the date of entry into force of the Swiss Federal Administration’s anticipated recognition of adequacy for the Swiss-U.S. DPF. The updating and renaming of the privacy principles under the Swiss-U.S. DPF would not change such an organization’s re-certification due date. Organizations that self-certified their commitment to comply with the Swiss-U.S. Privacy Shield Framework Principles, but do not wish to participate in the Swiss-U.S. DPF, must complete in accordance with ITA procedures the withdrawal process referred to in section (f) of the Supplemental Principle on Self-Certification.
On July 17, 2023, the ITA will launch the Data Privacy Framework (DPF) program website (www.dataprivacyframework.gov) to enable U.S.-based organizations to make initial self-certification submissions to participate in the EU-U.S. DPF and, as applicable, the UK Extension to the EU-U.S. DPF, and/or the Swiss-U.S. DPF and to enable participating organizations to make their annual re-certification submissions for the EU-U.S. DPF and, as applicable, the UK Extension to the EU-U.S. DPF, and/or the Swiss-U.S. DPF. The DPF program website will also provide a variety of guidance materials and related resources, including the text of the DPF Principles and the accompanying letters from the ITA regarding its administration and supervision of the DPF program. In addition, the ITA will continue to provide timely updates on the status of the UK Extension to the EU-U.S. DPF as a basis for transfers of UK personal data to the United States, as well as the status of the Swiss-U.S. DPF as a basis for transfers of Swiss personal data to the United States.
Please also be aware that the Privacy Shield program website (www.privacyshield.gov) is scheduled to be taken offline on July 14, 2023 at 9:00 pm EST to prepare for the launch of the DPF program website. The DPF program website is scheduled to be brought online by July 17, 2023 at 5:00 am EST. Individuals with active accounts that were used with regard to the Privacy Shield program website will be able to use their existing login credentials for those accounts on the DPF program website. In addition, effective July 17, 2023, e-mail messages to the ITA’s DPF Team should be sent to dpf.program@trade.gov (i.e., the privacyshield@trade.gov e-mail address will no longer be used).
Dr. Axel Spies kommentiert am Permanenter Link
Vielen Dank. Ich bin gespannt, was die DSBs zu diesem Thema ausführen werden. Jedenfalls dürften die TIAs sehr viel kürzer werden. Die Norwegische Datenschutzbehörde schreibt z.B.:
"Kann ich jetzt personenbezogene Daten ungehindert an eine beliebige US-Organisation übermitteln?
Nein, das können Sie nicht.
Es ist wichtig zu wissen, dass der Angemessenheitsbeschluss nur für die selbstzertifizierten Organisationen auf dieser Liste gilt (dataprivacyframework.gov). Wie wir weiter unten erklären, ist es jedoch einfacher geworden, personenbezogene Daten auch an andere US-Organisationen zu übermitteln."
Quelle: https://www.datatilsynet.no/regelverk-og-verktoy/sporsmal-svar/overforin...
Ich schließe aus den bisherigen Stellungnahmen: Wenn ein Datenexporteur sich nicht (ausschließlich) auf das neue DPF verlassen will oder kann, muss er weiterhin eine Folgenabschätzung (TIA) für die Übermittlung durchführen, wie sie im Schrems-II-Urteil des EuGH gefordert wird. Es dürfte jedoch nunmehr einfacher sein, eine positive TIA zu rechtfertigen, da selbst die EU-Kommission der Ansicht ist, dass die EO 14086, wie sie in US-Recht umgesetzt wurde, die vom EuGH geäußerten Bedenken ausreichend berücksichtigt.
Dr. Axel Spies kommentiert am Permanenter Link
“A Manhattan judge on Thursday imposed a $5,000 fine on two lawyers who gave him a legal brief full of made-up cases and citations, all generated by the artificial intelligence program ChatGPT. The judge, P. Kevin Castel of Federal District Court, criticized the lawyers harshly and ordered them to send a copy of his opinion to each of the real-life judges whose names appeared in the fictitious filing.”
https://www.nytimes.com/2023/06/22/nyregion/lawyers-chatgpt-schwartz-lod...
Dr. Axel Spies kommentiert am Permanenter Link
Hilfreich auch das neue Q&A der Kommission :
Questions and answers on the 11th package of restrictive measures against Russiadazu:https://ec.europa.eu/commission/presscorner/detail/en/QANDA_23_3449
Dr. Axel Spies kommentiert am Permanenter Link
EUR-Lex - L:2023:159I:TOC - DE - EUR-Lex (europa.eu)
https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L:2023:159I:TOC
Verordnung (EU) 2023/1214 des Rates vom 23. Juni 2023 zur Änderung der Verordnung (EU) Nr. 833/2014 des Rates über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren
Verordnung (EU) 2023/1215 des Rates vom 23. Juni 2023 zur Änderung der Verordnung (EU) Nr. 269/2014 über restriktive Maßnahmen angesichts von Handlungen, die die territoriale Unversehrtheit, Souveränität und Unabhängigkeit der Ukraine untergraben oder bedrohen
Durchführungsverordnung (EU) 2023/1216 des Rates vom 23. Juni 2023 zur Durchführung der Verordnung (EU) Nr. 269/2014 über restriktive Maßnahmen angesichts von Handlungen, die die territoriale Unversehrtheit, Souveränität und Unabhängigkeit der Ukraine untergraben oder bedrohen
Beschluss (GASP) 2023/1217 des Rates vom 23. Juni 2023 zur Änderung des Beschlusses 2014/512/GASP über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren
Beschluss (GASP) 2023/1218 des Rates vom 23. Juni 2023 zur Änderung des Beschlusses 2014/145/GASP über restriktive Maßnahmen angesichts von Handlungen, die die territoriale Unversehrtheit, Souveränität und Unabhängigkeit der Ukraine untergraben oder bedrohen
Dr. Axel Spies kommentiert am Permanenter Link
Vielleicht hilfreich zum weiteren Verständnis:
https://www.bundestag.de/resource/blob/573372/f8409bfbd414f6a9d4218cb97a...
Zitat: "Von einer Unvereinbarkeit des Abkommens mit den Vorgaben der Richtlinie 95/46/EG wurde und wird jedoch vonseiten der Bundesdatenschutzbeauftragten offenbar nicht ausgegangen."
