Utkast til adekvansbeslutning for USA
En ny mekanisme for å overføre personopplysninger til USA er på trappene. EU-kommisjonen la frem et utkast til godkjenning av mekanismen i dag.
Du kan laste ned utkastet nederst i artikkelen.
Det gjenstår imidlertid noen steg før en godkjenning kan gis, sannsynligvis våren 2023.
Tidligere kunne man fritt sende personopplysninger til USA gjennom Privacy Shield-rammeverket, men dette rammeverket ble opphevet av EU-domstolen i Schrems II-dommen. Domstolen sa at amerikansk etterretning gikk lenger enn det som var nødvendig og forholdsmessig og at personer i EØS savnet effektive rettsmidler under Privacy Shield.
- Datatilsynene i EØS har fulgt opp Schems II-dommen nøye. Sammen med virksomhetene i Europa har vi lagt press på USA til å gjøre meningsfulle endringer i lovgivningen sin, sier seksjonssjef Tobias Judin.
Etter forhandlinger med EU-kommisjonen signerte USAs president Joe Biden i høst en ny lov for å imøtegå konklusjonene til EU-domstolen (whitehouse.gov).
Dermed ligger det til rette for en ny mekanisme for å overføre personopplysninger til USA, det såkalte EU-U.S. Data Privacy Framework. EU-kommisjonen la i dag frem utkast til godkjenning av dette rammeverket.
Adekvansbeslutninger
EU-kommisjonen kan beslutte at et område utenfor EØS har regler som ivaretar personvernet på en tilsvarende måte som land i EØS. Disse beslutningene kalles også adekvansbeslutninger.
Hvis EU-kommisjonen har fattet en slik beslutning, kan man overføre personopplysninger til området. Overføringsgrunnlag eller godkjenning fra Datatilsynet er da ikke nødvendig. Overføringen vil være sammenlignbar med overføringer mellom land innenfor EØS.
Veien videre
Neste steg i prosessen er at EU-kommisjonen legger saken frem for Det europeiske personvernrådet, der også det norske Datatilsynet er medlem.
- Personvernrådet vil komme med en uttalelse om hvorvidt personvernet er godt nok ivaretatt i den nye mekanismen, sier Judin.
EU-parlamentet vil også få mulighet til å uttale seg. Deretter må EU-kommisjonen få godkjenning av alle EU-landene.
Når dette er på plass, vil EU-kommisjonen formelt godkjenne den nye mekanismen, sannsynligvis i første halvdel av 2023. Mekanismen vil tre i kraft når USA fullt ut har implementert de nye lovendringene.
Noen begrensninger
Det kan være verdt å merke seg at den nye mekanismen ikke vil gjelde alle overføringer til USA. I stedet vil den gjelde overføring til private, amerikanske virksomheter som har valgt å delta i ordningen.
Samtidig vil trolig endringene i amerikansk lovgivning gjøre at det blir lettere å overføre personopplysninger til USA generelt, også dersom man bruker et overføringsgrunnlag som EU-kommisjonens standard personvernbestemmelser. Årsaken er de nye begrensningene for amerikanske etterretningsorganer.
Les Personvernrådets oppdaterte veileder for overføring av personopplysninger til tredjeland (edpb.europa.eu).
Last ned
Draft adequacy decision on EU-US Data Privacy Framework (pdf).