Data Privacy Framework består efter annullationssag
EU-Domstolen har afvist et annullationssøgsmål mod EU-Kommissionens tilstrækkelighedsafgørelse for EU-US Data Privacy Framework. Afgørelsen betyder, at ordningen fortsat kan anvendes som lovligt overførselsgrundlag efter GDPR art. 45, når modtageren i USA er korrekt certificeret.
For dataansvarlige og databehandlere, der anvender amerikanske cloud- og SaaS-leverandører, reducerer dommen den akutte usikkerhed om tredjelandsoverførsler. Organisationer kan således fortsætte eksisterende dataflows under DPF, forudsat at selvcertificering og omfanget af certificeringen løbende kontrolleres og dokumenteres.
Retsgrundlag og begrundelse
Domstolen vurderede beskyttelsesniveauet på tidspunktet for Kommissionens afgørelse den 10. juli 2023. Efterfølgende ændringer i amerikansk ret eller praksis indgik ikke i prøvelsen. Retten fandt, at det samlede beskyttelsesniveau svarede til EU’s krav, set i lyset af GDPR og chartrets rettigheder.
Kritikken fokuserede især på adgang til en uafhængig prøvelsesmekanisme og risikoen for bred efterretningstilgang. Domstolen lagde vægt på, at etablerede kontrol- og klagemekanismer – herunder den særlige klageinstans for tilsynsaktiviteter – samlet set leverer et tilstrækkeligt niveau af beskyttelse og retsmidler.
Praktiske konsekvenser og anbefalinger
Medmindre der kommer en vellykket appel, kan organisationer i EU fortsat støtte sig på DPF som primært grundlag for overførsler til certificerede modtagere i USA. Samtidig består en regulatorisk risiko, da Kommissionen foretager løbende evalueringer, og yderligere retssager kan påvirke ordningens holdbarhed.
Det anbefales at fastholde et robust compliance-setup og en operativ fallback ved et eventuelt grundlagsskifte. Overvej følgende tiltag for at styrke beredskabet:
- Verificér og dokumentér leverandørers DPF-selvcertificering, dækningsomfang og løbetid.
- Vedligehold TIA, databehandleraftaler og kontraktuelle reservemekanismer (fx SCC) som plan B.
- Overvåg EDPB-vejledninger, tilsynspraksis og retspraksis, og opdater exit-strategien tilsvarende.
