Usikkerhed om adgangen til at overføre data til USA

I kølvandet på EU-domstolens Safe Harbour-afgørelse den 6. oktober 2015 kom der for alvor fokus på sikkerheden ved dataoverførsler til USA. I kølvandet på afgørelsen fremkom artikel 29-gruppen den 16. oktober 2015 med en fælles udtalelse om adgangen til fortsat at kunne overføre data og satte samtidigt en frist for EU og USA til at finde en alternativ løsning.

Safe Harbour-dommen var skelsættende
Med EU-domstolens dom blev Safe Harbour-ordningen erklæret ugyldig. EU-domstolen fandt, at de grundlæggende persondataretlige regler blev krænket, idet amerikanske myndigheder generelt kunne få adgang til de overførte personoplysninger, og idet de registrerede personer ikke selv kunne få adgang til deres oplysninger og kræve dem slettet eller berigtiget.

Siden dommen har der været en lang række reaktioner og kommentarer i et forsøg på at vurdere konsekvenserne til fulde. Det tyske kommissionsmedlem og persondataretsansvarlig for Schleswig-Holstein, Marit Hansen, gik endda så vidt at udtale, at en varig mulighed for at overføre data til USA kun vil ske ved væsentlige ændringer i de amerikanske regler, og at alle dataoverførsler til USA skulle suspenderes.

Artikel 29-gruppen maner til besindighed
Artikel 29-gruppen, der bl.a. består af repræsentanter fra medlemslandenes datatilsynsmyndigheder, anlagde et mindre restriktivt synspunkt og udtalte, at de amerikanske myndigheders vidtrækkende adgang til data om EU-borgere er unødvendig og uproportionel - og dermed ikke sikkerhedsmæssig forsvarlig. Artikel 29-gruppen udtalte endvidere, at alle overførsler til USA med hjemmel i Safe Harbour-ordningen er ugyldige, og at enighed mellem EU og USA om behandlingen af data overført fra Europa til USA skal nås inden udgangen af januar 2016.

I mellemtiden vil Artikel 29- gruppen undersøge de reelle konsekvenser af dommen for så vidt angår overførsel af data på andet grundlagt. Artikel 29-gruppen har også udtrykkeligt udtalt, at brug af EU-kommissionens standardkontrakter og Binding Corporate Rules til overførsler af data til USA i denne periode vil være tilladt. Det vil naturligvis ikke begrænse de nationale databeskyttelsesmyndigheder i at tage konkrete sager op og vurdere, hvorvidt overførslen af data til USA rent faktisk sker med respekt for de rettigheder, EU-borgerne har.

Samtidig arbejdes der højtryk på en "Safe Harbour 2.0" løsning, som kan være vejen frem i forhold til fremtidige overførsler af data til USA.

Det skal derfor understreges, at EU-domstolen ikke i afgørelsen tager stilling til, hvorvidt andre grundlag for dataoverførsel mellem EU og USA er ugyldige. Det er alene Safe Harbor-ordningen der er ugyldig. Overførsel af data på andet grundlag er derfor endnu muligt.

Hvad er næste skridt?
EU og USA vil i de kommende måneder forhandle om en nyt hjemmelsgrundlag for at overføre data fra Europa til USA. Det har i den sammenhæng bl.a. været ønsket, at USA skal give samme retssikkerhed til EU-borgere som til landets egne borgere. Det vil formentligt løse en del af udfordringerne.

Indtil da er dataoverførsler via Safe Harbour-ordningen ugyldige. Derfor skal alle virksomheder straks fastlægge, hvilke af virksomhedernes dataoverførsler (både inden for og uden for koncernen) der bygger på Safe Harbour-ordningen og derefter straks finde en alternativ måde at overføre data på. Det kan først og fremmest kræve vedtagelse af EU-kommissionens standardkontrakter eller udarbejdelse af Binding Corporate Rules.

 

---