I fredags offentliggjorde EU-Kommissionen og USA, at et nyt Trans-Atlantic Data Privacy Framework igen skal gøre det muligt at overføre personoplysninger mellem EU og USA efter den såkaldte Schrems II-afgørelse, som ophævede den kommissionsbeslutning, der tidligere gjorde disse overførsler mulige.
Datatilsynet hilser naturligvis EU-Kommissionens bestræbelser på at nå til enighed med USA om en ordning, der tillader udveksling af personoplysninger på tværs af Atlanten, velkommen, og mens ordningen med tiden kan få stor betydning, er principaftalen indtil videre alene en aftale om de overordnede linjer. Den er dermed endnu ikke så konkret, at den gør nogen forskel for organisationer, der overfører personoplysninger til USA. Det skyldes, at der endnu ikke er noget nyt overførselsgrundlag og tilstrækkelighedsvurdering.
Danske virksomheder, der allerede i dag ønsker at overføre personoplysninger til USA, skal derfor fortsat etablere et muligt overførselsgrundlag.
Datatilsynet forventer, at EU-Kommissionen – når de sidste detaljer er forhandlet på plads og aftalen er blevet udmøntet i juridiske dokumenter – vil anmode om en udtalelse fra Det Europæiske Databeskyttelsesråd (EDPB). I givet fald vil Datatilsynet naturligvis deltage i dette arbejde i regi af EDPB og være med til at vurdere, om aftalen lever op til de krav, der blev opstillet af EU-domstolen i forbindelse med Schrems II-dommen.
Særligt vil ordningen forventeligt få stor betydning for brugen af amerikanske cloudservices. Datatilsynet bemærker dog i den forbindelse, at overførsler af personoplysninger til USA for en række it-services udgør blot én blandt flere mulige tredjelandsoverførsler, og organisationer, der ønsker at bruge sådanne tjenester, bør fortsat konsultere Datatilsynets nyligt udgivne vejledning om cloud.
Vil du vide mere?
Læs EU-Kommissionens pressemeddelelse og faktaark om aftalen.
Læs mere om tredjelandsoverførsler.