Överföring av personuppgifter från USA

Den 10 juli 2023 fattade EU-kommissionen beslut om adekvat skyddsnivå för överföring av personuppgifter till USA. Beslutet innebär att överföringar till organisationer som omfattas av Trans-Atlantic Data Privacy Framework (TADPF) kan göras kan göras utan att ytterligare skyddsåtgärder behöver vidtas.

Beslutet som EU-kommissionen tog betyder dock inte att personuppgifter fritt kan överföras till USA utan det krävs alltid ytterligare åtgärder såsom en ”transfer impact assessment” (konsekvensbedöming av dataöverföringen). Det måste också upprättas ett personuppgiftsbiträdesavtal med ett bolag i USA för de fall där bolaget ska agera personuppgiftsbiträde.

Den som vill överföra personuppgifter till USA behöver kontrollera att

• aktuellt bolag hänvisar till TADPF i sin ”privacy policy”
• policyn gäller aktuell överföring
• policyn omfattar den personuppgiftsbehandling som personuppgiftsansvarig vill att aktuellt bolag i USA ska utföra.

Genom TADPF anser EU-kommissionen att de säkerställt en adekvat skyddsnivå. Deras standardavtalsklausuler för tredjelandsöverföring behöver inte ingås med de bolag som finns upptagna på USAs handelsdepartementets lista. Vilka dessa bolag är framgår av USAs handelsdepartements webbplats.

Data privacy framework, USA:s handelsdepartementet

Observera att överenskommelsen endast gäller de amerikanska bolag (personuppgiftbiträden och underbiträden) som har anslutits sig till TADPF. Om lösningen genom TADPF blir långsiktig eller inte återstår att se.

Inlämnande av klagan till EU:s tribunal

Den 7 september 2023 rapporterades att en fransk europaparlamentariker, Latombe lämnat in en klagan på beslutet till EU:s tribunal. Där kräver han att domstolen med omedelbar verkan upphäver beslutet samt prövar lagligheten (T-553/23 R).

Redan den 12 oktober 2023 avvisade dock EU:s tribunalens president dock Latombes yrkande att interimistiskt pröva saken.

French lawmaker challenges transatlantic data deal before EU court, Politico

Det finns i stort sett två sätt för ett adekvansbeslut att ogiltigförklaras. Det ena sättet är genom att föra talan om ogiltigförklaring direkt vid EU-tribunalen. Det andra sättet är att föra talan vid en nationell domstol som då vänder sig till EU-domstolen för ett förhandsavgörande, det vill säga hjälp med att tolka EU-rätten.

De båda föregångarna till TADPF, ”Safe Harbour” och ”Privacy Shield”, har båda ogiltigförklarats genom att en nationell domstol bad om ett förhandsavgörande. Flera har tidigare likt Latombe dock försökt angripa dem genom direkt talan vid tribunalen utan att lyckas.

Latombes klagan kommer nu inte prövas vidare av tribunalen utan saken kommer behöva ta omvägen via en nationell domstol. Om överenskommelsen står sig eller om även den ogiltigförklaras återstår att se.