Den 10. juli 2023 indførte Europa-Kommissionen en ny beslutning om tilstrækkelighed inden for rammerne af EU-US Data Privacy Framework. Denne beslutning er et svar på udfordringerne fra Schrems II-dommen fra 2020, som ugyldiggjorde Privacy Shield-rammen. Dommen gjorde det vanskeligt at overføre data fra EU til USA inden for rammerne af GDPR.
Amerikanske tiltag
Som svar på denne udfordring vedtog USA i oktober 2022 en executive order, der indførte stærkere sikkerhedsforanstaltninger for europæiske borgeres data. Det er dog vigtigt at bemærke, at en executive order ikke er en permanent løsning og kan ændres af fremtidige administrationer.
Efter en gennemgang anså Europa-Kommissionen disse ændringer i amerikansk lovgivning for at være tilstrækkelige, hvilket førte til den nye beslutning om tilstrækkelighed.
Ny beslutning fra Europa-Kommissionen
På trods af Europa-Kommissionens nye beslutning om tilstrækkelighed består usikkerheden, især fordi amerikanske myndigheder stadig har ret til at anmode om personoplysninger fra amerikanske cloud-tjenesteudbydere inden for EU. Eksperter og kritikere, såsom Max Schrems fra organisationen NOYB, påpeger, at de grundlæggende problemer med amerikanske overvågningslove består.
“Vi havde nu 'Harbors', 'Umbrellas', 'Shields' og 'Frameworks' — men ingen væsentlig ændring i amerikansk overvågningslov.” - Max Schrems
Tre vigtige punkter vedrørende beslutningen om tilstrækkelighed
Begrænsninger i dataoverførsler til USA
Modtagere af dataoverførsler i USA skal certificere sig i henhold til beslutningen om tilstrækkelighed. Beslutningen tillader derfor ikke overførsler til USA generelt.
Den igangværende konflikt med GDPR
Amerikanske love giver deres myndigheder ret til at anmode om personoplysninger fra amerikanske cloud-tjenester i EU, hvilket ifølge NYOB er en fortsat konflikt med GDPR.
Beskyttelsesniveauet i EU
Organisationer inden for EU skal sikre det beskyttelsesniveau, som GDPR kræver. Beslutningen blev mødt med kritik om, at effektiv beskyttelse ikke kan garanteres, når tredjelandslovgivning kan tillade indgreb i de europæiske individers rettigheder.
Vil du gerne uddybe din viden om, hvordan beslutningen om tilstrækkelighed påvirker din virksomhed? Download vores guide til cloud compliance for mere information.
