Max Schrems: Nye Privacy Shield henger i en tynn tråd etter USAs dekret

7. oktober offentliggjorde Joe Biden, USAs president, det etterlengtede dekretet som skal danne grunnlag for den planlagte data-avtalen mellom EU og USA.

Det er imidlertid ikke nødvendigvis gode nyheter for bedrifter som venter på en løsning på sky-hodepinen. Ved første øyekast ser det nemlig ut til at dekretet ikke lever opp til EU-lovgivningen, skriver personvern-organisasjonen Noyb i en pressemelding:

«EU-domstolen krever (1) at amerikansk overvåking er proporsjonal på en måte som stemmer overens med artikkel 52 i EUs charter for grunnleggende rettigheter (CFR) og (2) at det er adgang til å få prøvd en rettssak ved en domstol som CFRs artikkel 47 krever. Det ser ut til at Bidens nye dekret slår feil på begge krav.»

Andre er mer positive, blant andre Carsten Rose Lundberg, fagsjef for Digital Handel hos Dansk Erhverv (DE). Mange medlemmer av organisasjonen er opprørt over at Google Analytics nå i praksis er ulovlig å bruke i Danmark – et problem som kanskje kan løses av en ny avtale.

«Så er den nye Privacy Shield-avtalen godkjent i USA ? ? ? Data Privacy Framework eller DPF heter den, og den kommer du til å høre mer om framover», skriver han på LinkedIn.

«Avtalen må selvfølgelig godkjennes av EU, men vi har aldri vært nærmere å komme ut av det vakuumet som Schrems II-dommen skapte for europeiske bedrifter.»

EU-kommisjonen har også kommentert saken:

«Kommisjonens formål med forhandlingene har vært å gjøre noe med innsigelsene EU-domstolen har kommet med i forbindelse med Schrems II-dommen og sørge for et holdbart og pålitelig juridisk grunnlag for transatlantiske dataoverføringer. Dette er reflektert i sikkerhetstiltak beskrevet i det nye dekretet, inkludert amerikanske etterretningstjenesters begrensede adgang til data (nødvendig og proporsjonalt) og etableringen av en ny klagemekanisme», skriver kommisjonen.

Nå som dekretet er signert, kan kommisjonen begynne å vurdere om USA kan erklæres for et trygt tredjeland.

Etterlengtet og på mange ønskelister

Bedrifter i EUs medlemsland har siden 2020 ventet i spenning på at de to partene skulle komme til enighet om en erstatning for den gamle Privacy Shield-avtalen som EU-domstolen avviste med Schrems II-dommen.

Mange håper at nye Privacy Shield kan løse utfordringene ved å bruke skytjenester fra amerikanske bedrifter som Microsoft, Google og AWS. Københavns Kommune måtte for eksempel sette et stort sky-prosjekt på hold fordi det ikke var mulig gå migrere over til Microsofts skytjeneste uten en data-avtale mellom EU og USA.

Det vil koste kommunen flere titalls millioner, og det er bare en av flere tusen organisasjoner som strever med å få GDPR- og sky-ambisjoner til å fungere.

Derfor er det så viktig at USA og EU får den nye data-avtalen på plass, mener Kommunernes Landsforening (KL), som i vår utviste stor begeistring da Ursula von der Leyen, leder for EU-kommisjonen, og Joe Biden ble enige om å forhandle fram en ny Privacy Shield.

Likevel er det en voksende skepsis rundt partenes ambisjoner. Den hadde sin rot hos Noyb, som er drevet av personvern-aktivisten Max Schrems, som også står bak Schrems-dommene.

Like etter Ursula von der Leyen og Joe Biden hadde tatt hverandre i hånden, meldte aktivisten at de allerede var i gang med å forberede en Schrems III, som skal utfordre den kommende data-avtalen ved EU-domstolen. Det er en gjentakelse av omstendighetene rundt Schrems I og II, og Max Schrems mener utfallet blir det samme.

– Fasaden sprekker

For å leve opp til europeiske krav har USA gitt sine etterretningstjenester beskjed om å begrense overvåkingen av EU-borgere. Overvåkingen skal være «nødvendig og proporsjonal».

Men ifølge Noyb har EU og USA en ulik forståelse av dette. Amerikansk overvåkingspraksis vil neppe endres:

– USA gjorde det klart at til tross en ny formulering blir det ingen endringer av masseovervåkingen. Såkalt «bulk surveillance» fortsetter, og data som sendes til amerikanske leverandører, vil fortsatt ende i programmer som PRISM og Upstream, selv om EU-domstolen har erklært at dette er ikke-proporsjonalt, heter det i pressemeldingen.

Derfor kan vi ende med enda et ugyldiggjort overføringsgrunnlag, mener Schrems:

– Til syvende og sist er det EU-Domstolens definisjon som gjelder – sannsynligvis ved å drepe en EU-avgjørelsen igjen. EU-kommisjonen lukker øynene for lovgivningen i USA, som fortsatt legger til rette å spionere på europeere, uttaler han.

Han mener USAs forsøk på å etablere en klagemekanisme heller ikke stemmer overens med EU-krav. Ifølge dekretet vil man nedsette en «Data Protection Review Court», men det er ikke en domstol i amerikansk forstand, understreker personver-aktivisten – i hvert fall ikke hvis man tar utgangspunkt i den amerikanske grunnlovens artikkel 47.

– Vi må undersøke detaljene i forslaget, men ved første øyekast ser det ut til at «domstolen» i bunn og grunn ikke er en domstol. Charteret har klare krav for å få prøvd sin sak ved en domstol – at man bare endrer navnet på et klageorgan til en «domstol» gjør det ikke til en virkelig domstol, sier Schrems i pressemeldingen.

Teksten utdyper at Noyb vil undersøke dekretet nærmere i de kommende ukene, men spår fortsatt en Schrems III-sak. Man peker imidlertid på at kongressen i USA skal ta en de problematiske amerikanske overvåkingslovene, FISA 702, opp til vurdering til neste år, og derfor kan man håpe på at politikerne vil benytte anledningen til å implementere endringer som styrker EU-borgeres personvern.

Artikkelen ble først publisert på Version 2.