Kan vi fortsette å bruke amerikanske skytjenester?

– Det er en usikkerhet rundt dette nå, sier sjef for internasjonal seksjon i Datatilsynet, Tobias Judin.

Tilsynet har i det siste fått flere spørsmål om overføringer av personopplysninger til USA. Ulike virksomheter har tatt kontakt, men interessen ser ut til å være størst fra media og på sosiale medier, forteller Judin.

Det er politiske grep i USA som skaper usikkerhet om avtaleverket som gjør det mulig for skygigantene å utøve dagens praksis med overføring av europeiske persondata til landet.

I utgangspunktet er det ulovlig å sende personopplysninger ut av EØS, men EU-kommisjonen godkjente overføring av persondata til USA fra Europa i 2023 gjennom en såkalt adekvansbeslutning.

Men avtaleverket kan falle hvis USA svekker beskyttelsen av europeiske persondata. Personvernaktivisten og juristen Max Schrems uttalte i januar at han tror president Trump er i ferd med å punktere avtalen, og viste til Trumps beordring av en full gjennomgang og mulig reversering av alle president Bidens sikkerhetspolitiske avgjørelser.

De amerikanske skytjenestenes overføring av europeiske personopplysninger til USA er dessuten omstridt fra før, og har vært gjenstand for flere søksmål både før og etter adekvansbeslutningen i EU kom på plass i 2023.

Viktig garanti satt ut av spill

Donald Trump avsatte nylig tre av fire sittende medlemmer (de Demokratene har utnevnt) i det uavhengige amerikanske tilsynsorganet Privacy and Civil Liberties Oversight Board (PCLOB).

Organet er en viktig garanti blant flere som EU lener seg på for å sikre at overførte data får tilsvarende personvern som i Europa. De fører kontroll med amerikanske etterretningsmyndigheter for å påse at enkeltpersoners rettigheter ikke blir krenket.

PCLOB må ha tre aktive medlemmer for å fungere, og er dermed nå ikke beslutningsdyktig.

Slik Datatilsynet forstår det, er intensjonen å utpeke nye styremedlemmer i PCLOB, og organet kan utføre enkelte av oppgavene sine i mellomtiden selv om organet ikke er fulltallig. Derfor trenger ikke nødvendigvis en utskiftning av styremedlemmer å være et problem. Dette blir først en utfordring dersom det trekker ut i veldig lang tid å få på plass nye styremedlemmer.

Avtalen kan falle

Adekvansbeslutningen gjelder fortsatt, men dersom EU-kommisjonen vurderer at beskyttelsesnivået for personopplysninger ikke lenger er godt nok, kan de trekke den tilbake.

Dersom adekvansbeslutningen faller, kan det bli langt mer problematisk å bruke amerikanske skytjenester. Vilkårene vil bli veldig strenge og det blir langt vanskeligere, og i noen tilfeller umulig.

EU-kommisjonen skal gjennomgå adekvansbeslutningen med USA jevnlig, med noen års mellomrom.

– Dersom den trekkes ved en planlagt gjennomgang, vil man forutse prosessen og ha tid til å forberede seg. Men hvis det kommer plutselig endringer i USA som endrer hvordan personopplysningene våre beskyttes i USA, kan de gjøre en hasteprosedyre der det kan skje på veldig kort tid, sier Judin.

Det har nylig vært en gjennomgang som ble konkludert i fjor. Neste gjennomgang er planlagt om to år.

– Vil EU-kommisjonen kunne trekke adekvansbeslutningen for USA uavhengig av hvor godt rustet europeiske myndigheter er til å ta i bruk alternativer?

– Vurderingstema er ikke om vi har gode alternativer eller om vi klarer å områ oss. Vurderingstema er om personopplysningene blir godt nok beskyttet i USA, fastslår Judin.

Problematisk også for skytjenester på europeisk jord

Bruk av amerikanske skytjenester på europeisk jord kan også påvirkes negativt dersom adekvansbeslutningen oppheves. For selv om data er lagret i Europa, kan avtalene med tjenesteleverandørene ha regler for overføring til USA i visse situasjoner.

– Det kan være særlig aktuelt for supportpersonell for tjenester som skal fungere kontinuerlig gjennom døgnet. At en ingeniør i USA går inn for å løse et problem og gjennom det får tilgang til personopplysninger, er i praksis en overføring til USA.

Tjenesteavtalene kan også inneholde at det kan utleveres data til USA dersom loven krever det, inkludert amerikansk lov, sier Judin.

Kan true med å legge ned virksomheten i Europa

Konsekvensene for ulovlig overføring av personopplysninger fra Europa til USA er forbud, irettesettelse eller bøter. Dersom de ikke får lov til å overføre data til USA, kan de store amerikanske teknologiselskapene i verste fall true med å legge ned virksomheten i Europa.

– Det er en trussel virksomheter noen ganger kommer med, men det europeiske markedet er større enn det amerikanske. Og hvis Europa begynner å erstatte amerikanske sosiale medier med andre alternativer, kan det føre til at de andre alternativene blir mer populære også utenfor Europa – sosiale medier brukes jo til å kommunisere på tvers av landegrenser. Dermed kan de amerikanske sosiale mediene risikere å miste markedsmakt, sier Judin.

Meta har gjentatte ganger sagt at de vil møte hardt med hardt og stenge Facebook i Europa om de ikke lenger kan overføre data om europeiske brukere til USA.

Selskapet fikk en bot på 1,2 milliarder euro før rammeverket som tillater selskapets dataoverføring kom på plass.

– Vil koste politisk og økonomisk

Det er viktig for USA å kunne overføre data fra Europa lovlig, ifølge Judin.

– USA endret etterretningslovene sine for at vilkårene for adekvansbeslutningen skulle være oppfylt, forteller han. Fullmaktene til etterretningsorganene ble snevret inn, og det ble opprettet en særskilt klagemekanisme i USA for EU.

Det vil koste politisk og økonomisk for USA hvis de gjør noe som gjør at adekvansbeslutningen faller, understreker Judin, som samtidig understreker usikkerheten.

– Presidenten står ganske fritt til å endre amerikanske etterretningslover, og hvis han velger å gjøre dette, er det ikke sikkert han vil legge så mye vekt på hva EU måtte mene.

– Hvis USA gir etterretningsorganene videre fullmakter eller fjerner rettssikkerhetsgarantier, kan det rokke ved adekvansbeslutningen, ifølge Judin.

Dette er det mest aktuelle scenarioet som kan gjøre at EU trekker adekvansbeslutningen, ifølge han.

Anbefaler exit-strategi

Datatilsynet regner med at reglene som i dag gjør det enkelt å overføre personopplysninger til USA, før eller siden vil utfordres i EU-domstolen. Den pågående situasjonen i USA har også skapt usikkerhet.

Derfor råder Datatilsynet virksomheter til å ha et bevisst forhold til dette når de anskaffer amerikanske tjenester. Det viktigste rådet fra tilsynet til virksomhetene er å ha en exit-strategi for hva de skal gjøre dersom de ikke lenger kan overføre personopplysninger til USA på samme måte som i dag.