Tilstrækkelighedsafgørelse genåbner lovlige EU‑USA-overførsler
EU-Kommissionen har vedtaget en tilstrækkelighedsafgørelse for EU‑U.S. Data Privacy Framework. Dermed kan personoplysninger igen overføres lovligt fra EU/EØS til amerikanske virksomheder, som er certificeret under ordningen, uden et særskilt overførselsgrundlag efter GDPR art. 46.
Afgørelsen bygger på nye amerikanske garantier, herunder begrænsning af efterretningstjenesters adgang efter nødvendigheds- og proportionalitetsprincipperne samt en uafhængig klagemekanisme i anden instans for EU-borgere. Certificerede aktører fremgår af den officielle liste Data Privacy Framework List hos det amerikanske handelsministerium.
Flere store udbydere, herunder globale cloud- og analysetjenester, er allerede certificeret, hvilket letter brugen af amerikansk-ejede løsninger i EU. Listen opdateres løbende og kan søges her: Data Privacy Framework List.
Overførsler til ikke-certificerede modtagere
Tilstrækkelighedsafgørelsen gælder alene for modtagere, der er certificeret under ordningen. Ved overførsel til ikke-certificerede organisationer i USA skal eksportøren fortsat basere sig på art. 46, typisk EU-Kommissionens standardkontraktbestemmelser, samt gennemføre en Transfer Impact Assessment.
Hvis en certificeret databehandler anvender underdatabehandlere, der ikke er certificerede, er disse videreoverførsler ikke omfattet af afgørelsen. Der skal da etableres et særskilt overførselsgrundlag og vurderes behov for supplerende foranstaltninger for at sikre et EU-ækvivalent beskyttelsesniveau.
Ved planlægning af overførsler til ikke-certificerede modtagere bør virksomheder som minimum sikre følgende:
- Indgåelse af relevante standardkontraktbestemmelser.
- Gennemførelse og dokumentation af en TIA med vurdering af amerikansk ret i konteksten.
- Etablering af effektive supplerende tekniske og organisatoriske foranstaltninger, hvis nødvendigt.
De amerikanske garantier, der er indført i forbindelse med ordningen, gælder generelt for EU‑USA-overførsler uanset valgt overførselsgrundlag. Eksportører kan derfor inddrage Kommissionens analyse af amerikansk lovgivning i deres TIA.
Mulig retlig prøvelse og beredskab
Kritikere, herunder NOYB, har varslet søgsmål ved EU-Domstolen med henblik på prøvelse af ordningens lovlighed. Udfaldet er usikkert, men indtil videre udgør ordningen et gyldigt overførselsgrundlag for certificerede modtagere.
Historisk er Safe Harbor og Privacy Shield blevet underkendt med øjeblikkelig virkning. Organisationer bør derfor have et beredskab, der muliggør hurtig etablering af alternative overførselsgrundlag, samt kontraktuelle exit‑mekanismer, hvis brugen af en leverandør bliver ulovlig på grund af overførsler til USA.
