Nach der EU-Grundrechtecharta waren alle Mitgliedstaaten verpflichtet, eine Datenschutzbehörde zu schaffen. Diese Agenturen haben die Aufgabe, die Rechte der Daten von EU-Bürgern in den Mitgliedstaaten zu schützen. Die französische Datenschutzbehörde in Frankreich ist die französische Datenschutzbehörde CNIL.
In diesem Artikel werden wir erörtern, was die CNIL ist, welche Aufgaben sie hat und welche allgemeinen Auswirkungen sie auf die Wirtschaft hat.
Was ist die CNIL?
Im Gegensatz zu neueren Datenschutzbehörden, wie der spanischen AEPD, wurde 1978 die Commission Nationale de l’informatique et des Libertés (CNIL) gegründet, die 1980 ihre Haupttätigkeit aufnahm. Die Organisation wurde als Reaktion auf das SAFARI-Programm formalisiert – ein Versuch der französischen Regierung, eine zentrale Datenbank aller französischen Bürger zu schaffen. Heute ist sie die französische Verwaltungs- und Regulierungsbehörde, die für den Erlass des Datenschutzgesetzes verantwortlich ist. Sie stellt sicher, dass die Erhebung, Speicherung und Verwendung personenbezogener Daten französischer Staatsbürger sowohl dem französischen Recht als auch der DSGVO entspricht.
Die CNIL setzt sich aus siebzehn Mitgliedern mehrerer Regierungsstellen zusammen, von denen vier Mitglieder des französischen Parlaments sein müssen. Die anderen zwölf Mitglieder werden von ihren Vertretungsorganisationen gewählt.
Was sind die Aufgaben der französischen Datenschutzbehörde?
Die Zuständigkeiten der französischen Datenschutzbehörde CNIL wurden ursprünglich im französischen Datenschutzgesetz (1978) beschrieben. Die Aufgabe der französischen Datenschutzbehörde CNIL besteht darin:
- Informieren Sie französische Bürger über die Datenschutzrechte
- Schutz der Datenschutzrechte französischer Bürger
- Regulierung und Beratung der französischen Regierung
- Schlagen Sie Zertifizierungen und Unternehmensregeln vor und setzen Sie sie um, die Konformität schaffen
- Verbindung zum Europäischen Datenschutzausschuss (EDSA) und Mitarbeit im Europäischen Datenschutzausschuss (EDSA).
- Überprüfen Sie die Datenerfassung und verwalten Sie Strafen
- Bewertung neuer Technologien, die die Datenschutzrechte französischer Bürger beeinträchtigen können
In welcher Beziehung steht die CNIL zur EU?
Mit der EU-Grundrechtecharta wurde erstmals das Recht der EU-Bürger auf Schutz ihrer personenbezogenen Daten formalisiert. Im Rahmen der ursprünglichen europäischen Datenschutzrichtlinie wurde den Datenschutzbehörden in jedem Mitgliedstaat eine Reihe von Standards an die Hand gegeben, an denen sie sich bei der Ausarbeitung von Rechtsvorschriften orientieren können.
In jüngster Zeit wurden diese gemeinsamen Standards jedoch durch den übergeordneten Rahmen der DSGVO ersetzt. Die DSGVO wird vom EDSA verwaltet, der sich aus Vertretern der nationalen Datenschutzbehörden der EU-Mitgliedstaaten, einschließlich der französischen Datenschutzbehörde, zusammensetzt.
Während die Gesetzgebung auf europäischer Ebene verabschiedet wird, werden die Durchsetzung und Beratung in Frankreich von der französischen Datenschutzbehörde CNIL durchgeführt.
So ist die CNIL für die Durchsetzung von drei Gesetzen verantwortlich:
- Französisches Datenschutzgesetz
- Die DSGVO
- Datenschutzrichtlinie für elektronische Kommunikation
Letzteres Gesetz wurde 2002 erlassen, um die Vertraulichkeit der Kommunikation und die Regeln für die Verfolgung und Überwachung gesetzlich zu regeln.
Bei Verstößen gegen die oben genannten Gesetze ist die CNIL befugt, Geldstrafen zu verhängen. Im Falle von Verstößen gegen die DSGVO können Unternehmen mit einer Geldstrafe von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes belegt werden – je nachdem, welcher Betrag höher ist.
Wer unterliegt der französischen Datenschutzbehörde CNIL?
Jeder, der mit der DSGVO vertraut ist, weiß, dass jede Organisation, die ihre Waren und Dienstleistungen (kostenpflichtig oder kostenlos) an EU-Bürger anbietet oder die Online-Aktivitäten von EU-Bürgern überwacht, der Verordnung unterliegt. Das bedeutet, dass jede Organisation, die Daten von EU-Bürgern sammelt, verwendet oder offenlegt, dies gemäß der DSGVO tun sollte.
Dazu gehören keine Websites, die sich nicht an EU-Bürger richten, aber für EU-Bürger zugänglich sind, z. B. ein lokales Restaurant in London.
Frankreich verfügt aber auch über zahlreiche Überseegebiete, die als integraler Bestandteil des französischen Staates gelten. Daher ist jedes Unternehmen, das in die folgenden zwei Kategorien fällt, verpflichtet, die CNIL einzuhalten:
- Unternehmen mit Sitz in Frankreich oder den französischen Überseegebieten
- Unternehmen, die personenbezogene Daten französischer Staatsbürger erheben oder verarbeiten (in der Metropole oder in den Überseegebieten)
Was sind die Folgen der Nichteinhaltung der französischen Datenschutzbehörde?
Die offensichtlichste Folge der Nichteinhaltung ist eine Geldstrafe. Die französische Datenschutzbehörde CNIL verhängte 2016 eine Geldbuße gegen Google (siehe unten).
In der Regel verhängt die CNIL eine Geldstrafe, entweder:
- Nach einer Beschwerde oder Meldung eines Verstoßes
- Nach einer von der französischen Datenschutzbehörde CNIL geleiteten Untersuchung
In jedem Fall kann der Vorsitzende der CNIL einen Berichterstatter aus dem Kreis der Kommissare der CNIL ernennen. Die beschuldigte Organisation wird informiert und mit den entsprechenden Unterlagen versorgt. Dann prüft der geschlossene Ausschuss – bestehend aus fünf CNIL-Kommissaren und einem Vorsitzenden – den Fall.
Wenn das Unternehmen für schuldig befunden wird, ist es gezwungen, eine Geldstrafe zu zahlen, wie in der DSGVO beschrieben.
Bemerkenswerte Fälle der CNIL
Wie die spanische AEPD betraf auch der bemerkenswerteste Fall der französischen Datenschutzbehörde CNIL Google und das Konzept des „Rechts auf Vergessenwerden“. Die CNIL argumentierte, dass Google die weltweiten französischen Urteile zum Recht auf Vergessenwerden respektieren sollte. Google argumentierte jedoch, dass dies zu Missbräuchen in „weniger offenen und demokratischen“ Staaten führen könnte.
Bisher konnten die Suchergebnisse französischer Staatsbürger zwar in der europäischen Version von Google löschen lassen, aber sie wurden weiterhin weltweit angezeigt. Die CNIL hat Google angewiesen, für alle globalen Ergebnisse die gleiche Richtlinie zu erlassen. Der Tech-Riese wurde wegen Nichteinhaltung zu einer Geldstrafe von 100.000 Euro verurteilt.
Google legte jedoch Berufung gegen die Entscheidung ein und erklärte:
„Wenn französisches Recht weltweit gilt, wie lange wird es dann dauern, bis andere Länder – vielleicht weniger offen und demokratisch – anfangen, zu fordern, dass ihre Gesetze zur Regulierung von Informationen ebenfalls eine globale Reichweite haben?“
In der Tat wurde ähnliche Kritik an den „extraterritorialen Auswirkungen“ der EU-DSGVO geäußert.
Schlussfolgerung
Da die DSGVO nach wie vor die strengste Datenschutzgesetzgebung der Welt ist, ist es wichtig, die Durchsetzungsmaßnahmen der EU-Mitgliedstaaten zu verstehen. In den letzten vierzig Jahren war die CNIL für die Verteidigung der Datenschutzrechte der französischen Bürger weltweit verantwortlich.
Weitere Informationen zu ihren Zuständigkeiten und Aktivitäten finden Sie auf der Website der französischen Datenschutzbehörde CNIL.
Quellen:
https://www.cnil.fr/en/home
https://en.wikipedia.org/wiki/Commission_nationale_de_l%27informatique_et_des_libert%C3%A9s
https://www.bbc.co.uk/news/technology-36332150
https://edps.europa.eu/data-protection/our-work/subjects/eprivacy-directive_en