EU's nye overførselssystem efter Schrems II: Kan vi stadig bruge AWS?

Denne klumme er et debatindlæg og er alene udtryk for skribenternes synspunkter.

EU har offentliggjort nye standardbestemmelser om overførsel af personoplysninger udenfor EU - de såkaldte standard contractual clauses (SCC’erne). De foreligger på nuværende tidspunkt dog kun i udkast og afventer godkendelse af EU-Kommissionen.

EU er samtidig kommet med vejledninger i at vurdere tredjelandes overvågningslovgivning samt hvordan man eventuelt reparerer på en stats for vidtgående adgang til borgernes personoplysninger ved at fastsætte supplerende foranstaltninger.

Har man input til, om de supplerende foranstaltninger er tilstrækkelige eller for lidt, kan man sende dem til EU senest 30. november 2020, hvor høringen slutter.

Schrems II
Kort fortalt sagde Schrems II-dommen, at de amerikanske myndigheder generelt har for vid adgang til at overvåge borgerne gennem eksempelvis de private, amerikanske it-leverandører, der ligger inde med personoplysninger på EU-borgere.

De registreredes rettigheder var således ikke godt nok beskyttet i USA.

EU-U.S. Privacy Shield-ordningen, hvor amerikanske virksomheder kunne melde sig til og følge nogle retningslinjer, for så at kunne modtage EU-persondata, blev herefter forkastet af EU-domstolen, for det var ikke realistisk, at ordningen gav reel beskyttelse.

Men de gamle SCC’er var fortsat i orden at bruge, hvis man blot fastsatte supplerende foranstaltninger, der i et eller andet omfang sikrede, at adgangen til overvågning blev begrænset.

Men hvad skal der forstås ved supplerende foranstaltninger?

Det er det, vi nu har fået svar på sammen med en opdatering af SCC’erne, som de supplerende foranstaltninger skal aftales ind i.