Slå koldt vand i blodet: Den nye Safe Harbor-aftale har lang vej igen

Klumme: EU og USA er blevet enige om et udkast til en ny Safe Harbor-aftale. Kritikere kalder den en lappeløsning, mens EU er tilfreds. Foreløbig er der dog lang vej hjem.

I oktober 2015 blev Safe Harbor-ordningen kendt ugyldig af EU-Domstolen.

Dette har efterladt et tomrum i muligheden for at foretage lovlige overførsler af persondata til USA. Nu ser det dog ud som om, at EU Kommissionen og U.S. snart kan byde på en ny Safe Harbor-aftale - den såkaldte "EU-U.S. Privacy Shield".

Det er dog vigtigt at pointere, at der stadig kun er tale om et aftaleudkast.

Større krav til amerikanske virksomheder
Der er stadig ikke fremlagt nogen endelig tekst vedrørende den nye aftale, men ifølge EU-Kommissionen skal den nye EU-U.S. Privacy Shield sikre, at der stilles større krav til og forpligtelser overfor virksomheder etableret i USA.

Vicepræsident Ansip fra EU Kommissionen har om den nye kommende aftale udtalt, at "vores virksomheder, specielt små virksomheder, har den juridiske sikkerhed de behøver, når de udvikler deres aktiviteter på tværs af Atlanten".

Tilsynskontrol med amerikanske myndigheder
Det fremgår desuden af EU-Kommissionens pressemeddelelses, at aftalen vil medføre en skærpet overvågning og håndhævelse fra det amerikanske handelsministerium.

Kravene til samarbejdet mellem de amerikanske og europæiske myndigheder forøges på baggrund af en skriftlig garanti fra USA om, at amerikanske myndigheders adgang til persondata skal underlægges klare begrænsninger i form af sikkerheds- og beskyttelsesforanstaltninger samt tilsynskontrol.

I den forbindelse har EU-Kommissionær Jourová udtalt, at "USA har garanteret, at der ikke vil foretages vilkårlig overvågning eller masseovervågning af europæere".

Klageadgang til ombudsmand
Den effektive beskyttelse af europæiske statsborgere kommer især til udtryk ved, at aftalen ifølge EU-Kommissionen giver enhver statsborger, som mener, at deres data er blevet misbrugt, flere klagemuligheder fremover.

Virksomhederne i USA forpligtes nu til at svare på klager fra borgere, der føler, at deres rettigheder er krænket.

En ny institution i form af en ombudsmand, som er underlagt de amerikanske myndigheder, vil skulle følge op på klager henvist fra europæiske databeskyttelsesmyndigheder angående nationale efterretningstjenesters adgang til europæiske statsborgeres persondata.

Bekymring over aftalen
Den såkaldte Artikel 29-gruppe (WP29) har i en pressemeddelelse udtrykt bekymring om, hvorvidt de nødvendige garantier for den europæiske persondatas beskyttelse kan imødegås af de nuværende retlige rammer i USA.

Aftalen er derudover også blevet kritiseret af blandt andre Maximilian Schrems (manden, der anlagde Safe Harbor-sagen) for at være en lappeløsning, hvor EU-borgeres retsstilling ikke er væsentlig forbedret i forhold til tidligere, og Europaparlamentsmedlemmet Jan Philipp Albrecht, som har været særdeles aktiv i arbejdet med Persondataforordningen, kalder aftalen for en genopvarmning af Safe Harbor.

Næste skridt
Som nævnt er EU-U.S. Privacy Shield stadig på tegnebrættet, og den endelige tekst er endnu ikke offentliggjort.

Næste skridt vil være, at EU-Kommissionen vil udforme et udkast til en såkaldt "adeqaucy decision" det vil sige en afgørelse om, at EU-U.S.

Privacy Shield-aftalen anses for at yde et tilstrækkeligt beskyttelsesniveau for data, der overføres fra EU til U.S.

EU-Kommissionen har udtalt, at denne afgørelse vil blive udarbejdet over de kommende uger.

Herefter vil den blive overleveret til WP29 og repræsentanter fra EU-medlemslandene, som vil gennemgå afgørelsen og komme med deres kommentarer.

Først herefter vil den blive fremlagt for EU-Kommissionen, som på baggrund af disse kommentarer skal beslutte, om EU-U.S. Privacy Shield kan endeligt vedtages.

SCC's og BCR's
Baseret på den fremlagte tidsplan, er det vigtigt at slå koldt vand i blodet.

Der er stadig temmelig lange udsigter til, at der foreligger en endelig og gyldig aftale. Indtil da har WP29 tydeligt udtalt, at virksomheder, der overfører data til tredjelande baseret på enten SCC's (standard contractual clauses) eller BCR's (binding corporate rules), lovligt kan blive ved med det.

(Tak til mine Bird & Bird kollegaer, advokatfuldmægtig Amalie Langebæk og advokat Kamilla Pierdola Mondrup for hjælp med indlægget)



Premium
TDC trak sig fra fiberudrulning og smækkede med døren i Slagelse Kommune: Nu graver TDC igen i kommunen
Efter flere måneders stridigheder mellem TDC og Slagelse Kommune valgte teleselskabet af afblæse fiberudrulningen i byen. Nu viser det sig, at Danmarks største teleselskab igen graver fibernet ned i kommunen.
Computerworld
YouSee lancerer ny streamingtjeneste i Danmark
Efter sommerferien går YouSee i luften med et nyt streamingtilbud til danskerne, der beskrives som et af verdens mest streamende folkefærd.
CIO
Torben Fabrin og Arla måtte på få dage omstille hele deres produktion da coronaen ramte
Da coronaen ramte verden måtte mejerigiganten Arla på få dage omstille sin produktion. Samtidig voksede salget massivt til supermarkeder mens institutioner og restauranter gik næsten i stå. Hør hvordan Arla kom gennem krisen ved blandt andet være klar med realtime analytics.
Job & Karriere
På jagt efter et it-job i Jylland? Her er 10 stillinger fra Aabenraa til Aalborg, der ledige netop nu
Vi har fundet en række spændende stillinger til dig, der jagter et it-job. Her kan du vælge og vrage mellem ledige stillinger lige fra Aabenraa til Aalborg.
White paper
Sådan: Giv medarbejderne frit valg og øg arbejdsglæden
Mange virksomheder udleverer stadig samme smartphone, laptop eller tablet til alle medarbejderne. Det kan koste dyrt på produktivitet, effektivitet, arbejdsglæde – og reelt også medføre ressourcespild, massivt øget administration og øgede sikkerhedsrisici. Men det behøver slet ikke at koste ekstra, hvis du giver medarbejderne indflydelse på, hvilke enheder de skal arbejde på. Tværtimod kan du med en gennemtænkt choose-your-own-device-aftale stille præcis det udvalg af enheder og tilbehør til rådighed, som både lever op til medarbejdernes forventninger og virksomhedens sikkerhedskrav.