Nytt inom överföringar av personuppgifter från EU till USA

Artikel 45 Dataskyddsförordningen

Enligt Dataskyddsförordningen får överföringar av personuppgifter överföras till tredje land enbart om vissa förutsättningar är uppnådda. En av dessa förutsättningar stadgas i Artikel 45 i Dataskyddsförordningen. EU-kommissionen måste ha fattat ett beslut om adekvat skyddsnivå för tredje landet i fråga för att personuppgifter lagligen kan överföras utan att behöva vidta ytterligare skyddsåtgärder såsom användande av standardavtalsklausuler (SCC) i enlighet med Artikel 46 i Dataskyddsförordningen. En adekvat skyddsnivå innebär att tredje landet i fråga har en tillräckligt hög skyddsnivå, likvärdig den för medborgare inom Europeiska unionen.

Det har tidigare funnits ramverk som har tillåtit överföring av personuppgifter mellan EU och USA – Safe Harbour-avtalet och Privacy Shield-avtalet – men de båda har ogiltigförklarats av EU-domstolen genom Schrems I- och Schrems II-domen. Ramverken ansågs inte medföra tillräckligt skydd vid överföring av personuppgifter till USA på grund av den amerikanska underrättelselagstiftningen.

EU-kommissionens nya adekvansbeslut för USA

Den 10 juli i år antog EU-kommissionen ett nytt adekvansbeslut för USA som möjliggör överföring av personuppgifter från EU till USA. Trots detta adekvansbeslut krävs det dock att mottagaren av personuppgifter i USA, exempelvis företaget eller organisationen, även måste certifiera sig under adekvansbeslutet, anmäla detta till det amerikanska handelsdepartementet och ha tagits upp på deras särskilda lista för att omfattas av ramverket EU-US Data Privacy Framework. Företaget i fråga måste därmed följa kraven på exempelvis att radera personuppgifter när de inte längre är nödvändiga för det syfte för vilket de samlades in för och kunna erbjuda de registrerade rätten till tillgång av insamlade personuppgifter. I praktiken innebär ovan sagda att det kan komma att dröja innan beslutet helt kommer att börja tillämpas.

För att förtydliga så möjliggör inte adekvansbeslutet överföringar till USA generellt. Överföringar till företag i USA som inte omfattas av ramverket EU-US Data Privacy Framework kommer inte kunna stödja sig på beslutet om adekvat skyddsnivå och det kommer således krävas att dessa företag fortsättningsvis vidtar ytterligare skyddsåtgärder för att kunna få överföra personuppgifter till USA.

Adekvansbeslutet kommer framöver att vara föremål för regelbundna översyner för att kontrollera om alla delar har genomförts fullt ut och är effektiva i praktiken. Dessa översyner kommer genomföras av EU-kommissionen tillsammans med EU:s medlemsstater samt företrädare för EDPB (den europeiska dataskyddsstyrelsen). Den första översynen kommer att äga rum inom ett år efter det att beslutet om adekvat skyddsnivå trädde i kraft.

Överklagande av adekvansbeslutet

Som förutspåtts har organisationen noyb (none of your business) med ordföranden Max Schrems redan meddelat att de kommer att utmana EU-kommissionens beslut och har anfört att det nya ramverket EU-US Data Privacy Framework är en kopia av Privacy Shield-avtalet och att det inte skett någon väsentlig förändring av USA:s övervakningslagstiftning, vilket måste ändras på för att få ramverket att fungera. Enligt noyb skulle ett överklagande kunna tas upp av EU-domstolen i början av 2024. EU-domstolen har då en möjlighet att ogiltigförklara ramverket EU-US Data Privacy Framework så som de gjort tidigare med Safe Harbour-avtalet och Privacy Shield-avtalet, men detta återstår att se.

Författat av

Zandra Larsen, jurist och dataskyddsamordnare på Freja Partner