Jon Lauritzen
EU-Kommissionen har vedtaget en tilstrækkelighedsafgørelse for USA og etableret EU-U.S. Data Privacy Framework (DPF). Dermed kan dataansvarlige og databehandlere i EU overføre personoplysninger til amerikanske modtagere, der er certificeret under DPF, uden yderligere overførselsværn og uden Transfer Impact Assessments for disse specifikke overførsler.
EU-U.S. Data Privacy Framework
DPF er en certificeringsordning administreret af U.S. Department of Commerce, mens FTC fører tilsyn med overholdelsen. Ordningen bygger på bindende principper for modtagere, der modtager personoplysninger fra EU, og indebærer bl.a. oplysningspligter, ansvarskæde for underleverandører og krav om offentliggørelse af aktiv certificering via den officielle deltagerliste på Participant Search på dataprivacyframework.gov.
Ordningen suppleres af en toleddet klagemekanisme: Klage kan indgives til Civil Liberties Protection Officer med mulighed for efterfølgende prøvelse ved Data Protection Review Court. DPRC består af uafhængige medlemmer uden for regeringen og kan bl.a. pålægge afhjælpning og sletning, hvis behandling er i strid med amerikansk efterretningsret, herunder Executive Order 14086, FISA og Executive Order 12333. DPF erstatter den ugyldiggjorte Privacy Shield-ordning.
Praktiske skridt og risici
Organisationer bør straks verificere, at nuværende og fremtidige amerikanske modtagere er certificeret under DPF, og tilpasse kontrakter og intern dokumentation. Overførsler til ikke-certificerede modtagere eller til modtagere uden for USA kræver fortsat et andet overførselsgrundlag, typisk standardkontraktbestemmelser med tilhørende risikovurdering og eventuelle supplerende foranstaltninger.
Datatilsynet forventes at opdatere sine vejledninger om cloud og tredjelandsoverførsler, og EDPB offentliggør et informativt notat om ordningen. Interesseorganisationen NOYB har varslet retlig prøvelse, og en dom fra EU-Domstolen kan ændre retsstillingen. Indtil da er DPF gældende som tilstrækkelighedsafgørelse.
Følgende tiltag er relevante at gennemføre nu:
- Opdater fortegnelser og privatlivspolitikker, når overførsler baseres på DPF frem for SCC.
- Kontrollér modtageres certificering og tilsvarende krav for amerikanske underdatabehandlere.
- Indgå og vedligehold databehandleraftaler samt før løbende risikobaseret tilsyn.
- Anvend alternative overførselsgrundlag, hvor DPF ikke kan bruges, og gennemfør TIA ved SCC.
- Overvåg vejledning fra Datatilsynet og EDPB samt den retlige udvikling.
TIAs og fortsat compliance
Overførsler til certificerede DPF-modtagere kan ske uden TIA, fordi afgørelsen hviler på GDPR art. 45. For andre overførselsmekanismer, herunder SCC og BCR, består kravet om TIA og passende tekniske og organisatoriske foranstaltninger.
DPF ændrer ikke de generelle pligter efter GDPR. Organisationer skal fortsat dokumentere behandlingsaktiviteter, sikre passende informationssikkerhed og føre effektiv leverandørstyring. Se Kommissionens Q&A for detaljerede svar på praktiske spørgsmål på europa.eu, og find certificerede modtagere via Participant Search på dataprivacyframework.gov.
