Jurainfo logo
LUK
Juridiske nyheder Kurser Find juridisk specialist Jobbørs Domme
Om Jurainfo Podcasts Juridiske links Privatlivspolitik Kontakt
Ansøg om en profil Bliv kursusudbyder Bliv jobannoncør
Artikel

Tilstrækkelighedsafgørelse for overførsel af personoplysninger til USA er på vej

Bird & Bird
11/01/2023
Tilstrækkelighedsafgørelse for overførsel af personoplysninger til USA er på vej
Bird & Bird logo
EU-Domstolen afsagde den 16. juli 2020 dom i Schrems II-sagen, som vedrørte brugen af EU-Kommissionens standardkontrakter og den tidligere aftale med USA (EU-U.S. Privacy Shield) som overførselsgrundlag til at overføre personoplysninger til USA. EU-Domstolen erklærede Privacy-afgørelsen ugyldig. Dette medførte, at der ikke længere kunne ske overførsel af personoplysninger til USA ved brug af EU-U.S. Privacy Shield. EU-Domstolen fastslog endvidere, at EU-Kommissionens standardkontrakter fortsat var gyldige, men der skulle træffes supplerende foranstaltninger, førend disse kunne anvendes som et gyldigt overførselsgrundlag.

Schrems II efterlod mange dataansvarlige og databehandlere i en svær situation, særligt i forhold til anvendelse af cloud-leverandører, som typisk er beliggende i USA.


Den 7. oktober 2022 udstedte præsident Joe Biden et dekret om udveksling af personoplysninger mellem EU og USA på baggrund af forhandlinger mellem EU-Kommissionen og den amerikanske regering.


Den 13. december 2022 offentliggjorde Kommissionen et udkast til en tilstrækkelighedsafgørelse, som skal danne grundlag som overførselsgrundlag efter databeskyttelsesforordningens artikel 45 og dermed lovliggøre udveksling af personoplysninger mellem EU og USA.


Hvad siger Kommissionens udkast til tilstrækkelighedsafgørelsen af 13. december 2022

Udkastet til tilstrækkelighedsafgørelsen, bygger på EU-Kommissionens vurdering af den amerikanske lovgivning, præsident Bidens dekret af 7. oktober 2022, samt en opdatering af den eksisterende lovramme ”the EU-U.S. Data Privacy Framework”. EU-Kommissionen har med sit udkast konkluderet, at der er sikret et tilstrækkeligt beskyttelsesniveau for overførsel af personoplysninger fra EU til amerikanske virksomheder.


Udkastets hovedelementer er:

1) Amerikanske organisationer kan tilslutte sig EU-U.S. Data Privacy Framework ved at forpligte sig til at overholde en række privatlivsforpligtelser. Disse forpligtelser findes i udkastets bilag 1 og stiller bl.a. krav til oplysningspligten over for de registrerede, de registreredes ret til indsigt, formålsbegrænsning, krav om databehandleraftaler, krav til sikkerheden mv. Derudover skal EU-borgere have mulighed for at klage, hvis deres personoplysninger behandles i strid med databeskyttelsesforordningen.


2) Udkastet indeholder desuden et afsnit vedrørende amerikanske myndigheders adgang og brug af personoplysninger vedrørende EU-borgere, som var en af hovedproblematikkerne i Schrems II-afgørelsen. Den amerikanske lovramme giver nu en række begrænsninger og garantier, så amerikanske myndigheders og efterretningstjenesters adgang til personoplysninger om EU-borgere vil være begrænset til, hvad der er nødvendigt og forholdsmæssigt. Dette indebærer, at indsamling af personoplysninger skal have hjemmel i et retsgrundlag.


3) Derudover skal EU-borgere have mulighed for at klage til en nyoprettet databeskyttelsesdomstol, såfremt de mener, at amerikanske myndigheder i strid med lovgivningen, har indsamlet deres personoplysninger.


Hvad sker der nu?

Kommissionens udkast er nu sendt i høring til Det Europæiske Databeskyttelsesråd (EDPB), Europa-Parlamentet og de europæiske medlemsstater, med henblik på disses bemærkninger. Herudover, skal de amerikanske virksomheder, som ønsker at underlægge sig det nye overførselsgrundlag, selvcertificere sig. Dette indebærer, at de overholder de forpligtelser, som fremgår af afgørelsen. Dette omfatter udarbejdelse af procedurer, politikker, foranstaltninger mv. for at leve op til de krav, som fremgår af tiltrækkelighedsafgørelsen.


Det er således vigtigt at understrege, at Kommissionens udkast til tilstrækkelighedsafgørelsen ikke allerede nu lovligt kan benyttes som overførselsgrundlag til USA. Først når afgørelsen er vedtaget, vil der foreligge et overførselsgrundlag i form af en tilstrækkelighedsafgørelse.


Dette indebærer, at USA som udgangspunkt stadig anses for at være et usikkert tredjeland med deraf følgende krav om etablering af supplerende beskyttelsesforanstaltninger, der giver de overførte personoplysninger samme beskyttelsesniveau som i EU.


Bird & Birds kommentarer

Organisationen ”NOYB”, der bl.a. har Max Schrems som medstifter, har allerede vurderet, at det nye grundlag ikke indeholder en forbedring af de krav, der blev stillet i Schrems II-afgørelsen. Organisationen mener bl.a. ikke 1) at amerikanske myndigheders adgang til EU-borgeres personoplysninger er proportionel og 2) at der skal være klageadgang for de registrerede.


NOYB anser endvidere ikke den oprettede databeskyttelsesdomstol for at være en egentlig domstol, men derimod et organ under den amerikanske regering.


Max Schrems udtaler følgende: "We will analyze the draft decision in detail the next days. As the draft decision is based on the known Executive Order, I can't see how this would survive a challenge before the Court of Justice. It seems that the European Commission just issues similar decisions over and over again - in flagrant breach of our fundamental rights”.


Det må således forventes, at NOYB og Max Schrems vil udfordre det nye grundlag i en ny sag, og det kan ikke afvises, at Domstolen også denne gang vil give Max Schrems medhold.


Alligevel er vi i Bird & Bird optimistiske i og med at ordningen vil – når den vedtages i løbet af 2023 – utvivlsomt udgøre et lovligt overførselsgrundlag til de amerikanske organisationer som har tilsluttet sig EU-U.S. Data Privacy Framework, indtil den eventuelt måtte blive kendt ugyldig af EU-Domstolen.


Hvis du har spørgsmål eller behov for sparring om overførsel af personoplysninger til tredjelande eller EU-Kommissionens udkast til tilstrækkelighedsafgørelsen er du velkommen til at kontakte en af vores specialister i vores persondatateam.

Gå ikke glip af vigtig juridisk viden - Tilmeld dig vores gratis nyhedsservice her →
Har du spørgsmål til dette indlæg, er du mere end velkommen til at kontakte mig.
Bird & Bird logo
København
Sundkrogsgade 21
2100 København Ø
72 24 12 12
72 24 12 13
denmark@twobirds.com
Gratis Nyhedsservice
Gå ikke glip af vigtig juridisk viden
Vær den første til at modtage relevante juridiske nyheder inden for dine interesseområder
Tilmeld dig nu
Faglige videoer, der kunne være relevante for dig
Hvornår må du udsende nyhedsbreve og tilbud til dine kunder?
Det kræver et markedsføringssamtykke fra dine kunder, hvis du ønsker at udsende nyhedsmail, sms'er eller på anden måde kontakte dem med gode tilbud. Advokat, Torsten Hylleberg, kommer her nærmere ind på hvad du skal være opmærksom på i forbindelse med indhentelse af markedsføringssamtykker.
Force majeure - hvornår kan begrebet anvendes?
Mange virksomheder er ikke opmærksomme på at udvide force majeure-begrebet i deres kontrakter og flere anvender begrebet helt forkert. Bliv klogere på hvornår noget er en force majeure-begivenhed og hvornår du kan benytte en force majeure-klausul ved manglende leveringer.
Kurser, der kunne være relevante for dig
Jurainfo logo

Jurainfo.dk er landets største juridiske nyhedsside. Her finder du juridiske nyheder, kurser samt ledige juridiske stillinger. Vi hjælper dagligt danske virksomheder med at tilegne sig juridisk viden samt at sætte virksomheder i forbindelse med den rigtige juridiske rådgiver, når de har brug for råd og vejledning.

Jurainfo.dk ApS
CVR-nr. 38375563
Vandtårnsvej 62B, DK-2860 Søborg
(+45) 71 99 01 11
kontakt@jurainfo.dk
Ønsker du hjælp til at finde en specialist?
2023 © Jurainfo.dk - Juridiske nyheder og arrangementer samlet ét sted