Mere om dataoverførsler til USA
Som vi har skrevet om tidligere blandt andet i forbindelse med brug af Google Analytics, pågår der for tiden forhandlinger mellem EU og USA om at få udarbejdet en ny ordning, således at der igen på sikker vis kan overføres data mellem EU og USA.
Det Europæiske Databeskyttelsesråd (EDPB) har nu vedtaget en udtalelse om EU-Kommissionens udkast til en såkaldt tilstrækkelighedsafgørelse vedrørende beskyttelsesniveauet for personoplysninger overført fra EU til USA under det nye EU-US Data Privacy Framework. (DPF)
EDPB udtaler blandt andet, at der i forhold til den tidligere Privacy Shield-ordning er kommet en række forbedringer, men at der desværre også stadig udestår nogle bekymringer.
Forbedringerne handler for eksempel om indførelsen af principperne om nødvendighed og proportionalitet for amerikanske efterretningstjenesters behandling af personoplysninger i forbindelse med signalindhentning.
Derudover er det EDPB’s opfattelse, at klageadgangen for registrerede i EU er blevet forbedret betydeligt med Data Protection Review Court set i forhold til den tidligere ombudspersoninstitution etableret under Privacy Shield-ordningen.
Til trods for forbedringerne har EDPB flere bekymringer. I den kommercielle del relaterer bekymringerne sig bl.a. til de registreredes rettigheder, videreoverførsel af personoplysninger fra den oprindelige modtager og anvendelsesområdet for undtagelserne til DPF.
I den del af udtalelsen, der vedrører amerikanske myndigheders adgang til og brug af oplysninger overført til USA, relaterer bekymringerne sig bl.a. til midlertidig masseindsamling af oplysninger, og til hvordan Data Protection Review Court kommer til at fungere i praksis.
Endvidere ser EDPB gerne, at ikke kun ikrafttrædelsen men også vedtagelsen af tilstrækkelighedsafgørelsen er betinget af, at alle amerikanske efterretningstjenester implementerer de opdaterede politikker og procedurer til gennemførelsen af det præsidentielle dekret, som USA’s Præsident Joe Biden udstedte i oktober 2022.
Den videre proces
EDPB’s udtalelse er alene rådgivende, og EU-Kommissionen skal derfor nu vurdere, hvilke tiltag udtalelsen giver anledning til. EU-Parlamentet skal ligeledes komme med en ikke bindende udtalelse.
Herefter skal EU-Kommissionen forelægge sit udkast til tilstrækkelighedsafgørelse for det såkaldte Artikel 93-udvalg, der består af repræsentanter for medlemsstaternes regeringer (i Danmark er det Justitsministeriet), inden EU-Kommissionen endeligt kan vedtage afgørelsen.
Der er dermed endnu ikke kommet noget nyt regelsæt, der gør, at man sikkert kan overføre data til USA, men det går heldigvis i den rigtige retning.
Læs mere om tilstrækkelighedsafgørelser og tredjelande i Datatilsynets vejledning om overførsel af personoplysninger til tredjelande her.
Danmarks Rejsebureau Forening
Vodroffsvej 32
DK-1900 Frederiksberg C.
CVR. Nr.: 20 77 03 17
E-mail: drf@travelassoc.dk
www.travelassoc.dk