Nyt overførselsgrundlag til USA
EU-Kommissionen har vedtaget en tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework (DPF). Afgørelsen etablerer et generelt og forenklet grundlag for at overføre personoplysninger fra EU til USA, når modtageren er omfattet af DPF. Dermed kan virksomheder igen gennemføre visse dataoverførsler uden at støtte sig på standardkontraktbestemmelser eller bindende virksomhedsregler for de specifikke modtagere, der er certificeret.
Afgørelsen kommer i kølvandet på EU-Domstolens Schrems II-dom, som underkendte Privacy Shield. DPF skal adressere de tidligere kritikpunkter, bl.a. ved at begrænse amerikanske myndigheders adgang til overførte oplysninger til, hvad der er nødvendigt og proportionalt, samt ved at etablere en uafhængig klageadgang for registrerede i EU.
Certificering og rækkevidde
DPF kan kun anvendes, hvis den amerikanske modtager er certificeret hos det amerikanske handelsministerium. Certificeringen indebærer forpligtelser til en række databeskyttelsesstandarder og er gyldig for de konkrete behandlingsaktiviteter, der er omfattet. Listen over certificerede virksomheder kan søges på den officielle deltagerliste her.
Afgørelsen giver ikke et generelt fripas til brug af alle amerikanske tjenester. EU-virksomheder skal fortsat sikre lovligt behandlingsgrundlag, klart formål, oplysningspligt og øvrig GDPR-efterlevelse. DPF ændrer ikke på kravet om at dokumentere overførsler, vurdere risici og sikre passende garantier, hvor DPF ikke kan anvendes.
Praktiske implikationer og anbefalinger
Organisationer bør kortlægge deres dataflows til USA og identificere, hvilke modtagere der er DPF-certificerede. Hvor modtageren ikke er certificeret, må overførslen fortsat baseres på standardkontraktbestemmelser eller bindende virksomhedsregler suppleret af en transfer impact assessment. Den nye klageadgang og rammerne for myndigheders adgang kan påvirke risikovurderinger og kontraktkrav.
Løbende monitoring er afgørende, da både tilsynsmyndigheder og domstole kan påvirke DPF’s anvendelse. Virksomheder bør opdatere interne politikker, fortegnelser og privatlivspolitikker, så overførselsgrundlag og modtagere fremgår tydeligt, og etablere procedurer for håndtering af eventuelle myndighedsanmodninger.
Følgende skridt kan styrke efterlevelsen:
- Kontrollér og dokumentér DPF-certificering for relevante amerikanske modtagere på den officielle liste.
- Opdater fortegnelser og oplysninger til registrerede med overførselsgrundlag og modtagere.
- Revider eksisterende SCC-baserede overførsler og vurder, om DPF kan anvendes i stedet.
- Etabler beredskab for klageadgang og anmodninger fra amerikanske myndigheder i tråd med proportionalitetskravene.
