EDPS yn cosbi Senedd Ewrop am drosglwyddo data anghyfreithlon i'r Unol Daleithiau

Yn dilyn cwyn gan chwe ASE, gan gynnwys Patrick Breyer o Blaid y Môr-ladron, mae’r Goruchwyliwr Diogelu Data Ewropeaidd (EDPS) wedi cadarnhau bod gwefan prawf COVID Senedd Ewrop wedi torri rheolau diogelu data.[1] Mae'r EDPS yn tynnu sylw at y ffaith bod defnyddio Google Analytics a'r darparwr taliadau Stripe (y ddau gwmni o'r Unol Daleithiau) wedi torri dyfarniad "Schrems II" Llys Cyfiawnder Ewrop (CJEU) ar drosglwyddo data rhwng yr UE a'r Unol Daleithiau.

Mae'r dyfarniad yn un o'r penderfyniadau cyntaf i weithredu "Schrems II" yn ymarferol a gallai fod yn torri tir newydd ar gyfer llawer o achosion eraill sy'n cael eu hystyried ar hyn o bryd gan reoleiddwyr. Ar ran chwe ASE, fe wnaeth y sefydliad diogelu data noyb ffeilio cwyn diogelu data yn erbyn Senedd Ewrop ym mis Ionawr 2021.[2]

Y prif faterion a godwyd yw baneri cwcis twyllodrus gwefan profion corona mewnol, yr hysbysiad diogelu data annelwig ac aneglur, a throsglwyddo data yn anghyfreithlon i'r Unol Daleithiau. Ymchwiliodd yr EDPS i’r mater a chyhoeddodd gerydd i’r Senedd am dorri’r “GDPR ar gyfer sefydliadau’r UE” (Rheoliad (UE) 2018/1725 sy’n berthnasol i sefydliadau’r UE yn unig).

Trosglwyddiadau data anghyfreithlon i'r Unol Daleithiau Yn yr achos "Schrems II" fel y'i gelwir, pwysleisiodd y CJEU fod trosglwyddo data personol o'r UE i'r Unol Daleithiau yn ddarostyngedig i amodau llym iawn. Rhaid i wefannau ymatal rhag trosglwyddo data personol i'r Unol Daleithiau lle na ellir sicrhau lefel ddigonol o amddiffyniad ar gyfer y data personol.

Cadarnhaodd yr EDPS fod y wefan mewn gwirionedd yn trosglwyddo data i’r Unol Daleithiau heb sicrhau lefel ddigonol o amddiffyniad ar gyfer y data ac amlygodd: “Ni ddarparodd y Senedd unrhyw ddogfennaeth, tystiolaeth na gwybodaeth arall ynghylch y mesurau cytundebol, technegol na sefydliadol sydd ar waith i sicrhau yn y bôn. lefel gyfatebol o amddiffyniad i'r data personol a drosglwyddwyd i'r Unol Daleithiau yng nghyd-destun y defnydd o gwcis ar y wefan."

Meddai cyd-achwynydd ac ASE Patrick Breyer (Plaid y Môr-ladron): "Roedd dyfarniad Schrems II yn fuddugoliaeth wych ar gyfer diogelu ein preifatrwydd a chyfrinachedd ein cyfathrebu a'n defnydd o'r rhyngrwyd. Yn anffodus, mae'r achos hwn yn dangos bod ein data yn dal i fod yn anghyfreithlon trosglwyddo i'r Unol Daleithiau mewn niferoedd mawr Gyda'i benderfyniad, mae'r EDPS yn ei gwneud yn glir bod yn rhaid i hyn ddod i ben Rhaid peidio â datgelu ein data personol yn fwy diangen i'r Unol Daleithiau heb ein caniatâd, dim hyd yn oed ar sail yr hyn a elwir cymalau cytundebol safonol, nad ydynt yn ein hamddiffyn rhag cynlluniau gwyliadwriaeth dorfol yr NSA."

Dim dirwy, ond cerydd a gorchymyn cydymffurfio Cyhoeddodd yr EDPS gerydd i'r Senedd am y gwahanol achosion o dorri'r rheoliad diogelu data sy'n berthnasol i sefydliadau'r UE. Yn wahanol i awdurdodau diogelu data cenedlaethol o dan y GDPR, dim ond mewn rhai amgylchiadau penodol y gall yr EDPS osod dirwy, na chyflawnwyd yn yr achos hwn. Yn ogystal, rhoddodd y EDPS fis i’r Senedd ddiweddaru ei hysbysiad diogelu data a datrys y materion tryloywder a oedd yn weddill.

hysbyseb

[1]
[2]
[3]

Rhannwch yr erthygl hon: