EU-udvalg opfordrer EU-Kommissionen til ikke at træffe tilstrækkelighedsafgørelse om USA

Baggrund

Den 13. december 2022 offentliggjorde EU-Kommissionen sit udkast til en tilstrækkelighedsafgørelse, som skal lovliggøre, at overførsel af personoplysninger til USA kan ske uden etablering af supplerende beskyttelsesforanstaltninger.

Baggrunden herfor er rammeaftalen mellem EU og USA om overførsler til USA, der blev indgået i marts 2022 (Trans-Atlantic Data Privacy Framework – eller blot ”DPF”) og Joe Bidens præsidentielle dekret af 8. oktober 2022, der udmønter rammeaftalens overordnede principper i konkrete ændringer i amerikansk lovgivning.

Du kan læse mere om dekretet i vores tidligere artikel, som du kan finde her.

I udkastet til den nye tilstrækkelighedsafgørelse konkluderer EU-Kommissionen, at USA har sikret et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres i henhold til DPF.

Det er dette udkast til tilstrækkelighedsafgørelse, som LIBE netop har afgivet en særdeles kritisk udtalelse om.

Udvalg siger nej

LIBE rejser i udtalelsen flere bekymringer om den nye rammeaftale for dataoverførsler og Joe Bidens dekret til implementering heraf, herunder særligt:

• at der er forskel på fortolkningen af principperne om proportionalitet og nødvendighed i amerikansk ret og EU-retten
• at det dekretet til enhver tid kan ændres af den siddende amerikanske præsident
• at USA ikke har en generel databeskyttelseslov, ulig andre lande, hvor EU-Kommissionen har vedtaget tilstrækkelighedsafgørelser
• at den nye amerikanske ”Data Protection Review Court”, hvor borgere blandt andet kan klage over behandlingen af sine data, er en del af den udøvende magt i stedet for den dømmende, og at organet ikke vil være uafhængigt.

Udvalget konkluderer derfor, at dekretet ikke sikrer et passende beskyttelsesniveau for personoplysninger, der overføres til USA.

Det anbefaler på den baggrund, at Kommissionen ikke vedtager en tilstrækkelighedsafgørelse, men i stedet fortsætter forhandlingerne med den amerikanske regering.

Bird & Birds kommentar

Den kritiske linje fra LIBE er ikke overraskende, da udvalget tidligere har været ude med kritik af rammeaftalen med USA om dataoverførsler.

Den ligger endvidere på linje med Max Schrems og hans organisation NOYB, der bl.a. har været ude med følgende udtalelse om Kommissionens udkast til tilstrækkelighedsafgørelse:

"We will analyze the draft decision in detail the next days. As the draft decision is based on the known Executive Order, I can't see how this would survive a challenge before the Court of Justice. It seems that the European Commission just issues similar decisions over and over again - in flagrant breach of our fundamental rights”.

LIBE’s udtalelse er ikke på nogen måde bindende for Kommissionen, og den er næppe noget, der i sig selv vil få Kommissionen til at ryste på hånden.

Derimod kan den måske være med til at præge medlemmerne af Det Europæiske Databeskyttelsesråd (EDPB), som inden for nogle uger forventes at komme med sin udtalelse om udkastet til tilstrækkelighedsafgørelsen. Og selvom EDPB’s udtalelse heller ikke vil være bindende for Kommissionen, vil det dog være en anden og mere alvorlig sag for Kommissionen, hvis EDPB også vender tommelfingeren nedad.

I så fald står Kommissionen over for et vanskeligt dilemma. Enten skal den ”gå linen ud” og vedtage tilstrækkelighedsafgørelsen med risiko for, at den efterfølgende bliver underkendt af EU-Domstolen - på samme måde som det er sket for de tidligere Safe-Harbour og Privacy Shield ordninger – eller Kommissionen skal starte forfra på forhandlingerne med USA.

Det har været en særdeles tung, kompliceret og langvarig forhandling med USA at nå til enighed om DPF. Kommissionen har endvidere selv udtalt sig rimelig skråsikkert om holdbarheden af den nye aftale. Hertil kommer at USA næppe vil have stor forståelse for et ønske om at ville genforhandle aftalen på grund af nogle kritiske udtalelser i høringsfasen - endsige nogen form for vilje til at ændre yderligere i sin lovgivning for at imødekomme denne kritik.  

Det derfor vores bud, at Kommissionen kommer til at udstede en endelig tilstrækkelighedsafgørelse også selvom EDPB måtte fremkomme med kritik.

I givet fald er der næppe tvivl om, at NOYB og Max Schrems vil udfordre det nye grundlag i en ny sag ved EU-Domstolen.

Hvis det går som vi spår, vil der fra Kommissionens endelige tilstrækkelighedsafgørelse foreligge et lovligt grundlag for overførsel af personoplysninger til USA til virksomheder og organisationer, der har tilsluttet sig DPF – også selvom dette måtte blive udfordret ved en ny sag, men jo dog kun indtil EU-Domstolen også måtte underkende denne ordning.

Det bliver under alle omstændigheder spændende at se EDPB’s udtalelse og følge processen frem mod Kommissionens forventede udstedelse af sin endelige tilstrækkelighedsafgørelse.

Bird & Bird vil følge udviklingen tæt og informerer om udviklingen på vores hjemmeside og i nyhedsbreve.

Hvis du har behov for rådgivning om din virksomhed eller organisations håndtering af dataoverførsler til USA eller andre internationale dataoverførsler, er du velkommen til at kontakte én af vores persondataretsspecialister.