Sommeren 2020 ble «Schrems II» utstedt, en EU-dom som ugyldiggjør personvernavtalen mellom EU og USA, kjent som Privacy Shield-avtalen. Dommen utgjør store utfordringer for de mange svenske selskapene og myndighetene som i dag er avhengige av amerikanske skytjenesteleverandører for å sikre all data som er underlagt GDPR.
Med amerikanske tjenester risikerer du å bryte europeisk lovgivning
Mange svenske og europeiske selskaper og myndigheter bruker i dag skytjenester og andre IT-tjenester fra amerikanske leverandører. Selv om disse leverandørene ofte har sine datasentre innenfor EU, er deres tjenester ofte avhengige av overføring av personopplysninger til USA, for eksempel for å kunne tilby supporttjenester. I henhold til GDPR-reglene har alle EU-borgere en fastsatt rett til beskyttelse av sitt privatliv og sine personopplysninger. Den 16. juli 2020 avgjorde EU-domstolen at Privacy Shield-avtalen mellom EU og USA ikke gir tilstrekkelig beskyttelse av personopplysninger når disse overføres til USA.
Privacy Shield var en avtale mellom EU-kommisjonen og den amerikanske regjeringen om en løsning for transatlantisk overføring av personopplysninger. Mottakere i USA kunne velge å sertifisere seg i henhold til et sett med regler. Enkelt sagt kunne selskaper og andre organisasjoner frivillig love å opprettholde en standard som tilsvarte den i EU. Ugyldiggjøringen av Privacy Shield betyr at det ikke lenger er tillatt for databehandlere i EU å overføre personopplysninger til mottakere i USA på grunnlag av Privacy Shield.
Dette utgjør store utfordringer for svenske selskaper og organisasjoner, som nå må vurdere sin bruk av tjenester der de risikerer å bryte europeisk lovgivning ved å overføre data til USA. Hver databehandler må nå foreta sin egen vurdering, basert på sine egne overføringer og egne formål.
Det finnes ingen generelt gjennomførbare alternativer til Privacy Shield.
Flere amerikanske operatører har svart at de nå går over til standardkontraktsklausuler, et kontraktbasert alternativ til Privacy Shield som signeres mellom overføreren og mottakeren av personopplysninger. Her fastslår EU-domstolen at hvis standardkontraktsklausuler skal brukes til å legitimere overføringer, må overføreren først vurdere den juridiske situasjonen i mottakerlandet og om den er tilstrekkelig god til å sikre at de overførte personopplysningene blir beskyttet. Det foreligger fortsatt ingen veiledning om standardkontraktsklausuler er tilstrekkelige for å beskytte personopplysninger som overføres til USA i henhold til GDPR.
Standardkontraktsklausulene forblir derfor gyldige, men det bør foretas en konkret vurdering av reglene i det landet hvor mottakeren er etablert. I lys av EU-domstolens uttalelser i sin dom om nivået på personvern i USA, er det mye som tyder på at en overføring til USA basert på modellklausulene også kan anses som ulovlig.
Velg IT-infrastruktur som er bærekraftig for din digitalisering på lang sikt
Skyinfrastruktur er selve grunnlaget for digital transformasjon. Mange svenske bedrifter og organisasjoner må nå evaluere og finne langsiktige, bærekraftige tillegg og alternativer til amerikansk IT-støtte som overholder og beskytter europeiske lover og verdier. På lang sikt vil kjennelsen mot Privacy Shield derfor ha positive effekter, da den vil føre til økt lokal konkurranse innen skytjenester og IT-drift, et høyere nivå av digital innovasjon i Sverige og flere valgmuligheter for svenske skykjøpere.
Det finnes allerede sterke svenske alternativer på markedet i dag. Hos Binero hjelper vi bedrifter og organisasjoner med sky- og infrastrukturtjenester fra vårt eget datasenter nord for Stockholm.
Kontakt oss, så forteller vi deg mer!
