Tilstrækkelighedsafgørelsen for EU-U.S. Data Privacy Framework er evalueret for første gang

Dato: 09-10-2024

Den tilstrækkelighedsafgørelse, der muliggør overførsel af personoplysninger mellem EU og USA, er blevet evalueret – og EU-Kommissionen har konkluderet, at de nødvendige strukturer og procedurer er på plads for at sikre, at EU-U.S. Data Privacy Framework fungerer efter hensigten. Tilstrækkelighedsafgørelsen kan dermed opretholdes. En af Datatilsynets medarbejdere var med, da en europæisk delegation var i Washington DC for at evaluere afgørelsen.

Foto af Anna Carolina Jensen

Sidste sommer vedtog EU-Kommissionen en tilstrækkelighedsafgørelse for det såkaldte EU-U.S. Data Privacy Framework (DPF), der kan bruges som grundlag for overførsel af personoplysninger fra EU til til USA. Afgørelsen har stor betydning for samarbejdet mellem europæiske og amerikanske virksomheder. I forbindelse med at afgørelsen blev truffet, blev det også fastlagt, at den skulle evalueres første gang efter ét år og herefter på regelmæssig basis.

På baggrund af evalueringen har EU-Kommissionen nu udarbejdet en afsluttende rapport til EU-Parlamentet og Rådet, som konkluderer, at de fornødne procedurer er på plads for at sikre, at DPF-ordningen fungerer efter hensigten. Dermed kan personoplysninger fortsat overføres til DPF-certificerede virksomheder i USA uden yderligere foranstaltninger. I forlængelse af Kommissionens rapport vil Det Europæiske Databeskyttelsesråd (EDPB) følge op med sin egen rapport og eventuelle anbefalinger.

Sådan foregik evalueringen

For at kunne gennemføre evalueringen af tilstrækkelighedsafgørelsen med de rette forudsætninger var en delegation fra EU i Washington i juli 2024. Delegationen bestod af repræsentanter for EU-Kommissionen og fem repræsentanter for EDPB. Anna Carolina Jensen var med i Washington som den danske repræsentant. Målet med rejsen var, at delegationen skulle samle tilstrækkeligt materiale til at vurdere, om DPF'en og underliggende amerikansk lovgivning fungerer efter hensigten, og om tilstrækkelighedsafgørelsen dermed kunne opretholdes.

"Overførsler mellem EU og USA er et område, der er genstand for nogle meget markante domme inden for databeskyttelse, nemlig Schrems og Schrems II, hvor EU-Domstolen underkendte de to tidligere tilstrækkelighedsafgørelser for USA. Rejsen var en mulighed for at komme helt ind i maskinrummet  og se, hvordan det fungerer i praksis med de her transatlantiske overførsler efter de to domme og årelange forhandlinger mellem EU og USA. Jeg bed særligt mærke i, at parterne på begge sider af bordet i høj grad var på bølgelængde, og at man arbejder mod det samme mål på trods af alle forskellene," fortæller Anna Carolina Jensen.

Fra amerikansk side deltog alle de involverede myndigheder samt repræsentanter for private klageorganer og DPF-certificerede virksomheder. Inden rejsen til Washington havde delegationen desuden udsendt spørgeskemaer til amerikanske erhvervsorganisationer og NGO’er og holdt et onlinemøde med en række amerikanske NGO'er inden for digitale rettigheder og privatlivsbeskyttelse.

"Det var et stort privilegium at sidde sammen med disse ekstremt kvalificerede folk, hvoraf flere havde været med til forhandlingerne forud for tilstrækkelighedsafgørelsen. Det var enormt spændende og lærerigt at være med på dette niveau," fortæller Anna Carolina Jensen.

Vil du vide mere?

Læs selve rapporten fra EU-Kommissionen.