Fra Safe Harbor til EU-US Privacy Shield

Den 6. oktober 2015 afsagde EU-domstolen dom i Schrems-sagen (C-362/14) om Safe Harbor-beslutningen fra EU-Kommissionen. Med dommen annullerede EU-Domstolen den formelle beslutning fra EU-Kommissionen om, at amerikanske virksomheder, som havde tilsluttet sig Safe Harbor-ordningen, blev anset for at befinde sig i et sikkert tredjeland, sådan at europæiske dataansvarlige havde et juridisk grundlag for at overføre persondata til de pågældende amerikanske virksomheder.

Begrundelsen for domstolens annullering var ikke - som det ellers anføres mange steder - at EU-Domstolen havde fundet konkrete problemer ved forholdene i USA, men blot, at EU-kommissionen i sin formelle Safe Harbor-beslutning ikke havde forholdt sig tilstrækkeligt til, bl.a. hvilken adgang amerikanske myndigheder havde til persondata, som blev behandlet hos amerikanske virksomheder omfattet af Safe Harbor-ordningen. Denne misforståelse var så fremherskende i offentligheden, at præsidenten for EU-Domstolen, Koen Lenaerts, i et interview med Wall Street Journal fandt anledning til at slå fast om dommen, at

"We are not judging the U.S. system here; we are judging the requirements of EU law in terms of the conditions to transfer data to third countries, whatever they may be."

Læs artiklen fra Wall Street Journal
(kræver login)

EU-kommissionen havde imidlertid allerede i 2013 meldt offentligt ud, at man havde identificeret en lang række mangler ved Safe Harbor-ordningen, og man ville indlede forhandlinger med de amerikanske myndigheder om ændringer af Safe Harbor-ordningen.

Se vores tidligere nyheder om forhandlingerne:

EU-kommissionen anbefaler ændringer til Safe Harbor-ordningen

EU og USA påbegynder revision af Safe Harbour

Forhandlingerne om en revision af Safe Harbor-ordningen var ganske langt i oktober 2015, om end de udestående punkter ikke overraskende også var de mest vanskelige at finde en løsning på.

Efter dommen den 6. oktober 2015 havde de europæiske datatilsyn i Artikel 29-gruppen givet EU-Kommissionen en frist frem til den 31. januar 2016 til at få en tilfredsstillende ny Safe Harbor-ordning på plads med de amerikanske myndigheder.

Denne frist blev ikke overholdt, og netop som alle holdt vejret og afventede reaktionen fra datatilsynene, meldte EU-Kommissionen den 2. februar 2016 ret uventet ud, at man nu havde nået en politisk aftale med USA om de ændringer af amerikanske forhold, som EU-Kommissionen havde vurderet var nødvendige for, at EU-kommissionen senere kan udstede en ny Safe Harbor-beslutning.

Ændringerne er blandt andet, at europæiske statsborgere får styrket deres rettigheder over for de amerikanske myndigheder. Hvis man vil vide mere om den nye ordning - se EU-Kommissionens pressemeddelelse.

Ordningen skifter samtidig navn til EU-US Privacy Shield.

Det er vigtigt at understrege, at ændringerne alle finder sted i USA, og at ændringerne som sådan ikke er relevante for de europæiske dataansvarlige, som måtte vælge at bruge en fremtidig Safe Harbor-beslutning som grundlag for overførsel af persondata til USA. Ændringerne tjener alene til, at EU-Kommissionen har det nødvendige grundlag for at kunne udstede en ny EU-US Privacy Shield-beslutning i overensstemmelse med de krav, som følger af persondata-direktivet og EU-Domstolens dom.

EU-Kommissionen forventes at udsende et udkast til en ny beslutning om nogen uger, og når processen med behandling af udkastet er gennemført om ca. 3 måneder, vil der blive udstedt en EU-US Privacy Shield-beslutning, som kan danne grundlag for overførsel af persondata til amerikanske virksomheder, som har tilsluttet sig EU-US Privacy Shield-ordningen.

Til den tid vil Plesner på et webinar give en grundig indførsel i beslutningen og om, hvordan man som dansk dataansvarlig bruger den.