Hvad er der sket?

Siden afgørelsen i den såkaldte Schrems II sag kom i 2020, har behandling af personoplysninger om EU-borgere i USA været strandet i et problematisk ”ingenmandsland”. Politisk har dette været uholdbart, hvorfor både EU og USA har arbejdet på en løsning siden.

Første del af løsningen kom, da USA udstedte dekretet ”Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities” den 7. oktober 2022. Herved blev den del af løsningen, der vedrørte USA, skabt.

EU-delen af løsningen består i, at EU-Kommissionen udsteder en såkaldt ”Adequacy decision for the EU-US Data Privacy Framework”. Udkastet hertil blev offentliggjort den 13. december 2022. Det var EU-Kommissionens vurdering, at der med dekretet var skabt tilstrækkelig sikkerhed.

EU-Kommissionen tog dermed et stort skridt i retning af lovliggørelse af behandling af persondata i USA. Herefter startede en længere høringsproces.

Første stop var det europæiske databeskyttelsesråd (EDPB), der den 28. februar 2023 kom med deres vurdering af udkastet i ”opinion on the draft adequacy decision regarding the EU-U.S. Data Privacy Framework”. EDPB fremsatte ønsker om afklaring og forbedring af en række punkter til udkastet. EDPB stillede sig dog positive over for udkastet. Det skrev vi dengang om i artiklen: Nyt om overførsler af personoplysninger til USA.

Næste stop var Europa-Parlamentet. Modsat EDPB har Europa-Parlamentets borgerrettighedsudvalg (LIBE) udtalt sig kritisk om løsningen.

LIBE vedtog den 13. april 2023 en resolution, hvor det tilkendegives, at den kommende aftale om datatoverførsel mellem EU og USA ikke bør vedtages i sin nuværende form. LIBE mener ikke, at aftalen beskytter borgernes personlige data i tilstrækkelig grad. Og dermed heller ikke, at aftalen vil overleve EU-Domstolens behandling.

Udvalgsmedlemmerne mener blandt andet, at aftalen i visse tilfælde stadig giver mulighed for masseindsamling af personoplysninger, at den ikke gør indsamling af massedata betinget af forudgående samtykke, samt at den ikke indeholder klare regler om datalagring.

Hvad er konsekvenserne af udmeldingen?

LIBE er blandt de parlamentsudvalg, som behandler mest lovgivning. Udvalget er ikke forpligtet til at lade sig indblande i den kommende aftale mellem EU og USA. Udvalget ser imidlertid så alvorlige problemer i aftalen, at det har set sig nødsaget til det.

Udtalelsen opfordrer til, at ”Kommissionen skal forsætte med at arbejde på at imødegå de bekymringer, som Det Europæiske Databeskyttelsesråd og borgerrettighedsudvalget har rejst, selv hvis det betyder, at forhandlingerne med USA genåbnes.”

Der er dog ingen bindende konsekvenser af LIBE’s udtalelse; udvalget kan hverken godkende eller afvise EU-Kommissionens vurdering men alene udtale sig. Udtalelsen forventes dog, på samme måde som EDPB’s udtalelse, at have indflydelse på medlemsstaternes endelige beslutning.

Næste skridt i beslutningsprocessen

Det er tvivlsomt, at EU-Kommissionen helt vil overse udtalelserne fra EDPB og LIBE.

Det var oprindeligt forventet, at EU-Kommissionens behandling af vurderingen ville være afsluttet i april-maj 2023. Tilkendegivelsen fra LIBE forventes dog at blive taget i betragtning. Dermed forventes EU-Kommissionens endelige vurdering først at være klar omkring juni 2023.

Næste skridt er, at EU-Kommissionen forelægger sit udkast til tilstrækkelighedsafgørelse for det såkaldte Artikel 93-udvalg, der består af repræsentanter for medlemsstaternes regeringer (i Danmark er det Justitsministeriet), inden EU-Kommissionen endeligt kan vedtage afgørelsen.

Det er dog stadig forventningen, at EU-Kommissionens oprindelige vurdering fastholdes. Det forventes dermed også, at aftalen om dataoverførsel mellem EU og USA ultimativt vedtages.

Efter den endelige vedtagelse, vil data kunne flyde frit og sikkert mellem virksomheder i EU og USA. Det er dog en forudsætning, at virksomhederne er certificeret af USA’s handelsministerium under den nye aftale.

Dette betyder, at amerikanske virksomheder vil være i stand til at tilslutte sig den nye aftale ved at forpligte sig til at overholde et detaljeret sæt af privatlivsforpligtelser.

Tiden vil dog vise, om aftalen står den endelige prøve, når EU-Domstolen efterprøver det egentlige indhold over for GDPR, som det skete i Schrems II.

Kontakt DAHL

Har du spørgsmål til din virksomheds overførsel af personoplysninger til USA eller til persondata generelt, er du altid velkommen til at kontakte DAHLs specialister. Vi yder professionel rådgivning på området.