”Sagan om överföring av personuppgifter till USA fortsätter – lösning i sikte?”
Medtech Magazine har flera gånger tidigare skrivit om svårigheterna att föra över personuppgifter till så kallade tredjeländer (länder utanför EU/EES) och därvid inte minst till USA. I mars i år presenterade EU-kommissionens ordförande Ursula von der Leyen, och USA:s president Joe Biden vid en gemensam presskonferens i Bryssel en principöverenskommelse mellan EU-kommissionen och USA om en ny ”Trans-Atlantic Data Privacy Framework”.
Överenskommelsen var ett resultat av de intensiva förhandlingar som pågått mellan EU-kommissionen och Biden-administrationen. Förhandlingarna gick vidare och den 7 oktober togs ett nytt steg när president Biden utfärdade en så kallad Executive Order.
EU-kommissionen granskar nu “Executive Order on Enhancing Safeguards for United States Signals Intelligence Activities”, för att komma fram till om denna kan ligga till grund för ett adekvansbeslut, det vill säga om USA genom Executive Order har tillräcklig skyddsnivå för överföring. Ett sådant beslut från EU-kommissionen skulle lösa många av de problem som för närvarande föreligger vid överföring av personuppgifter till USA.
För att sätta frågeställningen i perspektiv, är det av intresse att göra en tillbakablick. Detta är en saga som pågått i över 20 år!
I juli år 2000 antog EU-kommissionen ett adekvansbeslut för överföring till USA, benämnt ”Safe Harbour”. Safe Harbour-upplägget bestod av dataskyddsprinciper vilka amerikanska företag frivilligt kunde ansluta sig till. Det var alltså fråga om ett system med “självutvärdering” och “självcertifiering” av de företag som anslöt sig.
Denna lösning fungerade i drygt femton år och utgjorde under den tiden grunden för överföring av personuppgifter från EU till USA.
Hela upplägget med Safe Harbour ifrågasattes emellertid av den österrikiske doktoranden och dataskyddsaktivisten Max Schrems. Han angrep Facebooks överföring av personuppgifter från Facebook Irland till Facebook Inc. i Kalifornien.
Detta ledde till att EU-domstolen den 6 oktober 2015 underkände Safe Harbour, i den så kallade Schrems I-domen. Därmed fanns det inte längre något adekvansbeslut för överföring till USA.
EU-kommissionen och USA:s administration inledde omgående förhandlingar. Dessa ledde till att den 12 juli 2016 antogs en ny ordning för överföring av personuppgifter, benämnd EU-US Privacy Shield (”Privacy Shield”).
Samme man – Max Schrems (nu med sin organisation noyb) – ifrågasatte även denna lösning. Detta ledde till att EU-domstolen den 16 juli 2020 underkände även Privacy Shield som grund för överföring av personuppgifter från EU till USA.
Domen från EU-domstolen skapade stor förvirring och ledde till svårigheter för många företag och organisationer.
Behovet av att få en ny lösning på plats är stort. President Joe Bidens Executive Order är ett stort steg i rätt riktning. Innan EU-kommissionen kan fatta något adekvansbeslut om inrättandet av ett ”Privacy Shield II”, ska dock innebörden av Executive Order analyseras, och EDPB (Europeiska Dataskyddsstyrelsen) och medlemsländerna ska säga sitt.
Om innehållet i Executive Order adresserar och hanterar EU-domstolens invändningar på ett tillräckligt sätt, och om beslutsprocessen flyter på, kan en ny ordning med Privacy Shield II beslutas under våren 2023. Därmed har sagan om överföring av personuppgifter från EU till USA fått ett slut. I alla fall tillfälligt. Det är ju inte osannolikt att även Privacy Shield II kan komma att ifrågasättas av Max Schrems.
Medtech-branschen berörs av otaliga juridiska frågeställningar inom skiftande rättsområden. Maila gärna pernilla.norman@lexitlaw.se med förslag på ämnen som du vill att hon diskuterar i krönikorna.
Artikeln är en del av vårt tema om Krönika.