Bilene suser over trikkeskinnene, forbi gule og oransje hus og trær som nettopp har begynt å bli grønne. De fleste kaféstolene er opptatt i den lille gaten i det vestlige Wien, der solen står høyt på en blå himmel.
Inne i en av bygningene, bak en dør med et lilla skilt der det står «noyb» med hvit skrift, er en advokat i gang med få seg litt lunsj i en fart, slik at han kan komme fram til det neste punktet på dagsordenen.
Som en av verdens mest framtredende personvernaktivister og mannen bak de to sakene ved EU-domstolen som har fått erklært USA usikkert for persondata for europeere, har Max Schrems nemlig et stramt program. Og de siste par ukenes aktivitet i EU-kommisjonen har ikke hjulpet.
I slutten av mars erklærte Ursula von der Leyen, leder for Kommisjonen, at det kommer en ny dataavtale med USA som skal erstatte det tidligere overføringsgrunnlaget, Privacy Shield.
Det grunnlaget ble avvist av EU-domstolen sommeren 2020 – den såkalte Schrems II-avgjørelsen – og innebar at europeiske bedrifter har hatt store problemer med for eksempel å bruke amerikanske sky-tjenester.
Det krever nemlig et gyldig overføringsgrunnlag å sende persondata om EU-borgere til USA, og med Privacy Shield ute av bildet har mange ventet i spenning på en ny avtale med USA.
Men selv om von der Leyen har blitt enig med Joe Biden, gjør organisasjonen til Max Schrems, «None of Your Business» (Noyb), seg klar til å kjempe imot. Det er nemlig usannsynlig at den nye avtalen vil stemme overens med europeiske lovgivning, mener personvernaktivisten.
Mulighet for Schrems III
Det har tatt nesten to år å komme fram til den nye avtalen. USA har fortløpende framsatt «forbedrede løsningsforslag» som EU-kommisjonen har skutt ned. Schrems mener avtalen er utelukkende politisk:
– Dette kommer fra von der Leyen. Vi har fått høre at det ikke er så stor støtte i resten av Kommisjonen og at det er veldig politisk. I forbindelse med Ukraina-situasjonen ville de gjøre noe. Det er litt uheldig, for det er akkurat det samme som skjedde forrige gang. Politikerne bestemte seg for å inngå en avtale uten noe skikkelig grunnlag. Det er litt som hvis politikere bestemmer seg for å bygge en bro, men mangler fundamentet.
Det er imidlertid for tidlig å vite noe sikkert, understreker han. Men USA er fortsatt ikke villig til å endre sin problematiske lovgivning, og derfor kan ikke Max Schrems se hvordan det juridisk er mulig å inngå en solid avtale.
Men han vil være den første til å feire det hvis Kommisjonen kan trylle fram et lovlig overføringsgrunnlag:
– I ti år har folk prøvd å finne en løsning, og man har fortsatt ikke klart det. Det kan være det finnes en skuff ett eller annet sted med en magisk løsning, men jeg tror egentlig ikke det. Med mindre det skjer en endring i amerikansk lovgivning, forteller han. – Hvis det finnes en løsning på problemet, er jeg den første til å rope hurra, for da må amerikansk lovgivning endrer seg slik at overvåkningen begrenses. Jeg ser det ikke som en seier å ta livet av en ny overføringsavtale. Jeg ser som en seier at det skjer en endring i USA. Men det virker ikke som om det er noen vilje der.
Max Schrems: Skyleverandørenes nye tiltak er «bullshit»
Nye amerikanske tiltak
Selv om det ikke er noe som tyder på at USA vil endre lovgivningen sin, kan det komme nye tiltak.
Det hvite hus har sendt ut en pressemelding med et par nye løfter – blant annet at man vil nedsette en uavhengig «domstol» som skal fungere som bindeledd mellom EU-borgere og myndighetene i USA.
Men ifølge Max Schrems er materialet foreløpig ganske tynt.
– Det er ikke mange detaljer, og det er problemet. Det kunne teoretisk sett være en selvstendig domstol med muligheter for å etterforske. Men det er ingen indikasjon på at det er det man legger opp til. Det kunne jo skje et mirakel, men det er foreløpig ikke så lovende, forteller aktivisten.
Selv om det fortsatt er for tidlig å si nøyaktig hvordan USA vil sikre en ny avtale, forteller pressemeldingen også at Det hvite hus vil sørge for at myndighetenes databehandling står i forhold til EU-borgeres menneskerettigheter.
Det er det nemlig et krav om i GDPR, slik EUs datatilsyn (EDPS) beskriver på hjemmesiden sin:
– Når man mener behandlingen av persondata, krever proporsjonalitetsprinsippet at man bare samler den inn persondata som er tilsvarende og nødvendig til databehandlingens formål.
Presidentordre løser ikke problemet
USA vil stadfeste det nye løftet om proporsjonal databehandling med en såkalt «presidentordre», som betyr at selv om den amerikanske lovgivningen gir etterretningstjenestene tillatelse til å behandle data, skal de begrense databehandlingen til å være «nødvendig og proporsjonal for å oppnå nasjonale sikkerhetsmålsettinger».
Men det vil ikke hjelpe EU-borgerne, mener Max Schrems. Selv om presidenten gir for eksempel NSA beskjed om å begrense databehandlingen, har ikke EU-borgere noen klagemuligheter hvis det ikke skjer.
Hvis USA har en annen definisjon av hva som er proporsjonalt, kan det kompromittere EU-kommisjonens tilstrekkelighetsvurdering:
– Hvis de i USA vil bruke den samme definisjonen av proporsjonalitet som vi bruker i EU, må de stenge ned overvåkningssystemene sine, for EU-domstolen har allerede sagt at overvåkningssystemene ikke lever opp til kravene om å være proporsjonale, sier han.
Schrems understreker imidlertid at det fortsatt er for tidlig å avgjøre om partene har funnet en juridisk holdbar løsning.
Først må USA gjennomføre sine «presidentordre», så må EU-kommisjonen utarbeide et utkast til en tilstrekkelighetsvurdering som må behandles av Det europeiske datatilsynet, Europaparlamentet og Det europeiske råd. De må være med på å inngå den endelige data-avtalen.
– Realistisk sett vil det ikke skje før mot slutten av året. Når vi har det første utkastet, kan vi begynne å se på om det holder vann. Akkurat nå kan vi bare gjette.
Gjør seg klar kamp
Mens EU jobber for å få skrevet den nye avtalen, forbereder Noyb seg allerede på å måtte utfordre den.
– Vi følger med på hva som skjer, og hvis de finner en fantastisk løsning, blir jeg glad. Jeg har bokstavelig talt bedre ting å ta meg til i livet. Men hvis ikke, så tar vi det til en domstol, sier Schrems.
– Det er jo et spørsmål om lovens makt. Når EU-domstolen har sagt at man ikke kan gjøre det på den måten, og de likevel gjør det igjen og igjen, er det også et spørsmål om domstolen blir tatt på alvor, om de fundamentale rettighetene blir tatt på alvor eller om EU-kommisjonen bare overkjører alt.
Hver gang det kommer en ny avtale som ikke holder vann, utsetter det rettspraksis på området – og så fortsetter usikkerheten hos bedriftene.
Derfor jobber Noyb for å gjøre prosessen raskere denne gangen hvis det blir nødvendig:
– Forrige gang var problemet at saken ble behandlet av det irske datatilsynet, og det var veldig komplisert. Så det tok fem år å få stanset avtalen. Akkurat nå jobber vi for å få avtalen inn for EU-domstolen så snart den er vedtatt, sier han.
Det er to veier de kan gå. Enten kommer Noyb til å gå til sak mot en av de første bedriftene eller myndighetene som bestemmer seg for å basere en overføring til USA på det nye grunnlaget. Eller så tar organisasjonen avtalen til EU-domstolen for å få den annullert – kanskje blir det begge deler.
Ingenting er imidlertid sikkert før Noyb får tak i utkastet til den nye avtalen. Men det går nok noen måneder, så i mellomtiden løper Max Schrems videre til sitt neste møte. Han har også blitt ferdig med lunsjen.
Denne artikkelen ble først publisert på Version 2
X' nye API-grep skapte problemer under jordskjelvet i Japan
