Øyvind Eidissen
Anna Eide
Oskar Engman
Paal-André Storesund
Tilstrækkelighedsafgørelse efter GDPR art. 45 og betydning for EU‑USA-overførsler
EU-Kommissionen har fremlagt udkast til tilstrækkelighedsafgørelse for overførsel af personoplysninger til USA. Udkastet bygger på en samlet vurdering af amerikansk ret og praksis, herunder Executive Order 14086, den nye Data Protection Review Court og EU‑U.S. Data Privacy Framework. Hvis afgørelsen vedtages, kan data eksporteres til USA uden yderligere overførselsgarantier som SCC eller BCR.
En tilstrækkelighedsafgørelse efter GDPR art. 45 forudsætter, at tredjelandet tilbyder et reelt beskyttelsesniveau, der i det væsentlige svarer til EU. Vurderingen omfatter bl.a. adgang for myndigheder, retsmidler for registrerede og effektivt tilsyn.
Procedure og kontrol: EDPB-udtalelse, komitéprocedure og politisk efterprøvelse
Udkastet sendes først til EDPB for en ikke-bindende udtalelse og behandles derefter i en komité med medlemsstaterne. Når disse trin er gennemført, kan Kommissionen vedtage den endelige afgørelse.
Europa-Parlamentet og Rådet kan til enhver tid anmode Kommissionen om at ændre eller trække afgørelsen tilbage, hvis den går ud over hjemlen i GDPR. Ordningen er underlagt løbende overvågning og kan suspenderes, hvis forudsætningerne ændres.
Kontroverser og midlertidige compliance-tiltag for dataeksportører
Udkastet er omstridt. Kritiske stemmer betvivler, om de amerikanske indgrebsbeføjelser og afhjælpningsmekanismer lever op til EU‑standarder, og om en afgørelse kan modstå prøvelse ved EU‑Domstolen. Andre tilsynsmyndigheder har vurderet de nye amerikanske tiltag mere positivt.
Indtil der foreligger en endelig afgørelse, bør dataeksportører fastholde eksisterende overførselsgrundlag, gennemføre overførselsvurderinger og dokumentere tekniske og organisatoriske foranstaltninger. Også efter en eventuel vedtagelse anbefales løbende compliance‑overvågning.
