Datum Diarienr 1 (4)
Datum Diarienr 1 (4)
2020-08-17 DI-2018-13235
Mannheimer Swartling Advokatbyrå AB, som ombud för Aktiebolaget Tetra Pak
Beslut om godkännande av bindande företagsbestämmelser
Datainspektionens beslut
Datainspektionen finner att Tetra Pak-koncernens (Tetra Pak) bindande företagsbestämmelser för personuppgiftsansvariga (bindande företags- bestämmelser) tillhandahåller lämpliga garantier för överföringar av personuppgifter i enlighet med artiklarna 46.1, 46.2 b, 47.1 and 47.2 i EU:s dataskyddsförordning (2016/679) och godkänner härmed Tetra Paks bindande företagsbestämmelser.
De godkända bindande företagsbestämmelserna kräver inte något särskilt tillstånd från berörda dataskyddsmyndigheter inom EU/EES.
Datainspektionen förutsätter att Tetra Pak anmäler ändringar av de bindande företagsbestämmelserna till Datainspektionen, som i sin tur ska vidarebefordra informationen till samtliga berörda dataskyddsmyndigheter inom EU/EES.
Beslutet kan komma att återkallas om Tetra Pak behandlar personuppgifter på ett sätt som strider mot de bindande företagsbestämmelserna eller övriga bestämmelser i EU:s dataskyddsförordning.
I enlighet med artikel 58.2 j i EU:s dataskyddsförordning har varje berörd dataskyddsmyndighet inom EU/EES befogenhet att förelägga om att flödet av personuppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas, om de lämpliga garantier som föreskrivs i Tetra Paks bindande företagsbestämmelser inte iakttas.
Postadress: Box 8114, 104 20 Stockholm E-post: xxxxxxxxxxxxxxxx@xxxxxxxxxxxxxxxx.xx
Webbplats: xxx.xxxxxxxxxxxxxxxx.xx Telefon: 00-000 00 00
Ansökan
Tetra Pak har ansökt om att Datainspektionen ska godkänna Tetra Paks bindande företagsbestämmelser för överföring av personuppgifter till tredje land inom Tetra Pak-koncernen.
Datainspektionen har i egenskap av ansvarig dataskyddsmyndighet granskat Tetra Paks bindande företagsbestämmelser i enlighet med samarbets- förfarandet som anges i riktlinjen WP263 rev.01. Den italienska dataskydds- myndigheten, Garante per la protezione dei dati personali, samt den franska dataskyddsmyndigheten, Commission Nationale de l’Informatique et des Libertés, har varit medgranskande dataskyddsmyndigheter.
Datainspektionen har även berett samtliga dataskyddsmyndigheter inom EU/EES tillfälle att granska ansökan och inkomma med synpunkter.
Tetra Pak har gjort ändringar i sina bindande företagsbestämmelser under samarbetsförfarandet. De övriga dataskyddsmyndigheterna inom EU/EES har därefter överlåtit åt Datainspektionen att bedöma och besluta om Tetra Paks bindande företagsbestämmelser kan anses tillhandahålla lämpliga garantier för överföringar av personuppgifter i enlighet med artikel 47 i EU:s dataskyddsförordning.
Skäl för beslutet
Enligt artikel 47 i EU:s dataskyddsförordning ska Datainspektionen godkänna bindande företagsbestämmelser under förutsättning att de uppfyller kraven som följer av den nämnda artikeln.
Granskningen som har gjorts i enlighet med det samarbetsförfarande som anges i riktlinjen WP263 rev.01 har visat att Tetra Paks bindande företags- bestämmelser uppfyller kraven i artikel 47 i EU:s dataskyddsförordning och riktlinjen WP256 rev.01.
Den europeiska dataskyddsstyrelsen (EDPB), har lämnat ett yttrande, nummer 25/2020, i enlighet med artikel 64.1 f i EU:s dataskyddsförordning avseende Tetra Paks bindande företagsbestämmelser, vilket Datainspektionen har beaktat.
Datainspektionen finner att Tetra Paks bindande företagsbestämmelser tillhandahåller lämpliga garantier för överföringar av personuppgifter i enlighet med artiklarna 46.1, 46.2 b, 47.1 and 47.2 i EU:s dataskyddsförordning och godkänner därför Tetra Paks bindande företagsbestämmelser.
De godkända bindande företagsbestämmelserna kräver inte något särskilt tillstånd från berörda dataskyddsmyndigheter inom EU/EES.
Datainspektionen förutsätter att Tetra Pak anmäler ändringar av de bindande företagsbestämmelserna till Datainspektionen, som i sin tur ska vidarebefordra informationen till samtliga berörda dataskyddsmyndigheter inom EU/EES.
Beslutet kan komma att återkallas om Tetra Pak behandlar personuppgifter på ett sätt som strider mot de bindande företagsbestämmelserna eller övriga bestämmelser i EU:s dataskyddsförordning.
I enlighet med artikel 58.2 j i EU:s dataskyddsförordning har varje berörd dataskyddsmyndighet befogenhet att förelägga om att flödet av person- uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas, om de lämpliga garantier som föreskrivs i Tetra Paks bindande företagsbestämmelser inte iakttas.
Detta beslut har fattats av generaldirektören Xxxx Xxxxxxxx Xxxxxxx efter föredragning av juristen Xxxxx Xxxxxx-Xxxxx. Vid den slutliga hand- läggningen har även enhetschefen Xxxxxxxxx Xxxxxxxxx medverkat.
Xxxx Xxxxxxxx Xxxxxxx, 2020-08-17 (Det här är en elektronisk signatur)
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Inspektionen måste ha fått ert överklagande inom tre veckor från den dag ni fick del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt.
Förutsatt att överklagandet inte innehåller några integritetskänsliga personuppgifter eller uppgift som kan omfattas av sekretess, kan ni e-posta överklagandet till xxxxxxxxxxxxxxxx@xxxxxxxxxxxxxxxx.xx.
Bilagor till beslutet
Bilaga 1: BCR-C, inklusive Appendix B – Data Subjects Rights Protocol och Appendix C − Complaints Handling Procedure