EU-Domstolen afsagde den 16. juli 2020 dom i Schrems II-sagen, som vedrørte brugen af EU-Kommissionens standardkontrakter og den tidligere aftale med USA (EU-U.S. Privacy Shield) som overførselsgrundlag til at overføre personoplysninger til USA. EU-Domstolen erklærede Privacy-afgørelsen ugyldig. Dette medførte, at der ikke længere kunne ske overførsel af personoplysninger til USA ved brug af EU-U.S. Privacy Shield. EU-Domstolen fastslog endvidere, at EU-Kommissionens standardkontrakter fortsat var gyldige, men der skulle træffes supplerende foranstaltninger, førend disse kunne anvendes som et gyldigt overførselsgrundlag.
Schrems II efterlod mange dataansvarlige og databehandlere i en svær situation, særligt i forhold til anvendelse af cloud-leverandører, som typisk er beliggende i USA.
Den 7. oktober 2022 udstedte præsident Joe Biden et dekret om udveksling af personoplysninger mellem EU og USA på baggrund af forhandlinger mellem EU-Kommissionen og den amerikanske regering.
Den 13. december 2022 offentliggjorde Kommissionen et udkast til en tilstrækkelighedsafgørelse, som skal danne grundlag som overførselsgrundlag efter databeskyttelsesforordningens artikel 45 og dermed lovliggøre udveksling af personoplysninger mellem EU og USA.
Hvad siger Kommissionens udkast til tilstrækkelighedsafgørelsen af 13. december 2022
Udkastet til tilstrækkelighedsafgørelsen, bygger på EU-Kommissionens vurdering af den amerikanske lovgivning, præsident Bidens dekret af 7. oktober 2022, samt en opdatering af den eksisterende lovramme ”the EU-U.S. Data Privacy Framework”. EU-Kommissionen har med sit udkast konkluderet, at der er sikret et tilstrækkeligt beskyttelsesniveau for overførsel af personoplysninger fra EU til amerikanske virksomheder.
Udkastets hovedelementer er:
1) Amerikanske organisationer kan tilslutte sig EU-U.S. Data Privacy Framework ved at forpligte sig til at overholde en række privatlivsforpligtelser. Disse forpligtelser findes i udkastets bilag 1 og stiller bl.a. krav til oplysningspligten over for de registrerede, de registreredes ret til indsigt, formålsbegrænsning, krav om databehandleraftaler, krav til sikkerheden mv. Derudover skal EU-borgere have mulighed for at klage, hvis deres personoplysninger behandles i strid med databeskyttelsesforordningen.
2) Udkastet indeholder desuden et afsnit vedrørende amerikanske myndigheders adgang og brug af personoplysninger vedrørende EU-borgere, som var en af hovedproblematikkerne i Schrems II-afgørelsen. Den amerikanske lovramme giver nu en række begrænsninger og garantier, så amerikanske myndigheders og efterretningstjenesters adgang til personoplysninger om EU-borgere vil være begrænset til, hvad der er nødvendigt og forholdsmæssigt. Dette indebærer, at indsamling af personoplysninger skal have hjemmel i et retsgrundlag.
3) Derudover skal EU-borgere have mulighed for at klage til en nyoprettet databeskyttelsesdomstol, såfremt de mener, at amerikanske myndigheder i strid med lovgivningen, har indsamlet deres personoplysninger.
Hvad sker der nu?
Kommissionens udkast er nu sendt i høring til Det Europæiske Databeskyttelsesråd (EDPB), Europa-Parlamentet og de europæiske medlemsstater, med henblik på disses bemærkninger. Herudover, skal de amerikanske virksomheder, som ønsker at underlægge sig det nye overførselsgrundlag, selvcertificere sig. Dette indebærer, at de overholder de forpligtelser, som fremgår af afgørelsen. Dette omfatter udarbejdelse af procedurer, politikker, foranstaltninger mv. for at leve op til de krav, som fremgår af tiltrækkelighedsafgørelsen.
Det er således vigtigt at understrege, at Kommissionens udkast til tilstrækkelighedsafgørelsen ikke allerede nu lovligt kan benyttes som overførselsgrundlag til USA. Først når afgørelsen er vedtaget, vil der foreligge et overførselsgrundlag i form af en tilstrækkelighedsafgørelse.
Dette indebærer, at USA som udgangspunkt stadig anses for at være et usikkert tredjeland med deraf følgende krav om etablering af supplerende beskyttelsesforanstaltninger, der giver de overførte personoplysninger samme beskyttelsesniveau som i EU.
Bird & Birds kommentarer
Organisationen ”NOYB”, der bl.a. har Max Schrems som medstifter, har allerede vurderet, at det nye grundlag ikke indeholder en forbedring af de krav, der blev stillet i Schrems II-afgørelsen. Organisationen mener bl.a. ikke 1) at amerikanske myndigheders adgang til EU-borgeres personoplysninger er proportionel og 2) at der skal være klageadgang for de registrerede.
NOYB anser endvidere ikke den oprettede databeskyttelsesdomstol for at være en egentlig domstol, men derimod et organ under den amerikanske regering.
Max Schrems udtaler følgende: "We will analyze the draft decision in detail the next days. As the draft decision is based on the known Executive Order, I can't see how this would survive a challenge before the Court of Justice. It seems that the European Commission just issues similar decisions over and over again - in flagrant breach of our fundamental rights”.
Det må således forventes, at NOYB og Max Schrems vil udfordre det nye grundlag i en ny sag, og det kan ikke afvises, at Domstolen også denne gang vil give Max Schrems medhold.
Alligevel er vi i Bird & Bird optimistiske i og med at ordningen vil – når den vedtages i løbet af 2023 – utvivlsomt udgøre et lovligt overførselsgrundlag til de amerikanske organisationer som har tilsluttet sig EU-U.S. Data Privacy Framework, indtil den eventuelt måtte blive kendt ugyldig af EU-Domstolen.
Hvis du har spørgsmål eller behov for sparring om overførsel af personoplysninger til tredjelande eller EU-Kommissionens udkast til tilstrækkelighedsafgørelsen er du velkommen til at kontakte en af vores specialister i vores persondatateam.
Skal din artikel også udgives via Jurainfo og udsendes direkte, via e-mail, til personer og virksomheder som specifikt efterspørger viden og kompetencer inden for dit område? Ansøg om en profil her.
