Ett steg nærmere lovlig dataoverføring til USA

Tirsdag la EU-kommisjonen frem et utkast til godkjenning av en ny avtale for dataflyt mellom EU og USA.

− Utkastet konkluderer med at USA forsikrer et adekvat nivå av beskyttelse for persondata overført fra EU til amerikanske selskaper, skriver EU-kommisjonen i en pressemelding.

− Dermed ligger det til rette for en ny mekanisme for å overføre personopplysninger til USA, skriver det norske datatilsynet på egne hjemmesider.

Etterlengtet avtale

Et oppdatert rammeverk har vært etterlengtet etter at Schrems II-dommen i juli 2020 slo fast at avtalen Privacy Shield var ugyldig.

Det skapte usikkerhet om bruk av amerikanske skytjenester. Også i Norge har det så sent som i høst vært forvirring etter sterk uenighet mellom statlige aktører om hvordan overføring av persondata til USA skal håndteres.

Kjernen i problemet er at amerikanske lover gir den amerikanske etterretningen ganske vide fullmakter til å søke innsyn i data amerikanske selskaper sitter på. Det er lite forenlig med personvernforordningen (GDPR) som har som formål å beskytte europeernes data.

I mars gikk USAs president Joe Biden og EU-kommisjonens president Ursula von der Leyen ut med en såkalt prinsipiell avtale.

I starten av oktober signerte Joe Biden en såkalt presidentordre. Den var designet for å imøtekomme europeiske bekymringer om amerikansk overvåkning. Det er dette dokumentet som ligger til grunn for EU-kommisjonens utkast til godkjenning.

Skal begrense etterretningens fullmakter

Utkastet til godkjenning er på 134 sider og inneholder detaljerte beskrivelser av hva USA forplikter seg til.

For eksempel må amerikanske selskaper slette persondata når de ikke lenger er nødvendige for å løse oppgaven de først ble samlet til. De må også sikre at dataene har samme beskyttelse dersom de deles med tredjepart.

Rammeverket skal også legge inn en del begrensinger for når amerikanske myndigheter kan søke innsyn i europeeres persondata, til når det er «nødvendig og proporsjonalt».

Europeerne skal ha mulighet til å klage gratis ved brudd på reglene.

Fortsatt arbeid igjen

Nå skal utkastet legges fremfor det europeiske personvernrådet (EDPB). Der sitter også det norske datatilsynet.

− Personvernrådet vil komme med en uttalelse om hvorvidt personvernet er godt nok ivaretatt i den nye mekanismen, sier Tobias Judin, seksjonssjef i Datatilsynet i en nyhetsmelding på Datatilsynets hjemmesider.

Så skal også en komité med representanter fra EU-landene og EU-parlamentet få uttale seg før alle EU-landene godkjenner avtalen. Det kan fort ta et halvt år.

Først når USA har iverksatt de lovendringene som skal til, trer avtalen i kraft.

Varsler rettssak

Personvernorganisasjonen NOYB tror at også denne avtalen ganske snart vil bli utfordret i rettssystemet.

− Beslutningen bygger på den ferske president-ordren som ikke begrenser masse-overvåkning i USA og som ikke tillater reell juridisk klagemulighet slik europeisk lov krever, skriver de i en pressemelding.

Allerede i mai gikk Max Schrems og NOYB ut og sa at de var forberedt på å utfordre enhver endelig avgjørelse som ikke gir tilstrekkelig juridisk sikkerhet.

Det standpunktet ser ikke ut til å ha endret seg.