Det Europæiske Databeskyttelsesråd (EDPB) har vedtaget en udtalelse om EU-Kommissionens udkast til en tilstrækkelighedsafgørelse vedrørende beskyttelsesniveauet for personoplysninger overført fra EU til USA under det nye EU-US Data Privacy Framework. (DPF)
I udtalelsen anfører EDPB, at rådet hilser en række forbedringer velkommen set i forhold til den tidligere Privacy Shield-ordning, men der udestår fortsat en række bekymringer.
Forbedringerne indebærer bl.a. indførelsen af principperne om nødvendighed og proportionalitet for amerikanske efterretningstjenesters behandling af personoplysninger i forbindelse med signalindhentning. Derudover er det EDPB’s opfattelse, at klageadgangen for registrerede i EU er blevet forbedret betydeligt med Data Protection Review Court set i forhold til den tidligere ombudspersoninstitution etableret under Privacy Shield-ordningen.
Til trods for forbedringerne har EDPB flere bekymringer. I den kommercielle del relaterer bekymringerne sig bl.a. til de registreredes rettigheder, videreoverførsel af personoplysninger fra den oprindelige modtager og anvendelsesområdet for undtagelserne til DPF. I den del af udtalelsen, der vedrører amerikanske myndigheders adgang til og brug af oplysninger overført til USA, relaterer bekymringerne sig bl.a. til midlertidig masseindsamling af oplysninger og til hvordan Data Protection Review Court kommer til at fungere i praksis.
Endvidere ser EDPB gerne, at ikke kun ikrafttrædelsen men også vedtagelsen af tilstrækkelighedsafgørelsen er betinget af, at alle amerikanske efterretningstjenester implementerer de opdaterede politikker og procedurer til gennemførelsen af det præsidentielle dekret, som USA’s Præsident Joe Biden udstedte i oktober 2022 (executive order 14086)..
EDBP opfordrer endvidere EU-Kommissionen til at foretage revision af tilstrækkelighedsafgørelsen hvert tredje år.
"Et højt databeskyttelsesniveau er afgørende for at beskytte EU-borgernes rettigheder og friheder. Selv om vi i EDPB anerkender, at de forbedringer, der er sket inden for USA's retlige rammer, er betydelige, anbefaler vi, at man tager fat på de bekymringer, der er givet udtryk for i udtalelsen,” udtaler Datatilsynets direktør Cristina Angela Gulisano.
Den videre proces
EDPB’s udtalelse er alene rådgivende, og EU-Kommissionen skal derfor nu vurdere, hvilke tiltag udtalelsen giver anledning til. EU-Parlamentet skal ligeledes komme med en ikke bindende udtalelse.
Herefter skal EU-Kommissionen forelægge sit udkast til tilstrækkelighedsafgørelse for det såkaldte Artikel 93-udvalg, der består af repræsentanter for medlemsstaternes regeringer (i Danmark er det Justitsministeriet), inden EU-Kommissionen endeligt kan vedtage afgørelsen.
Læs mere
Læs EDPB’s pressemeddelelse om udtalelsen til EU- Kommissionens udkast til tilstrækkelighedsafgørelsen her
Find EDPB’s udtalelse til EU-Kommissionens udkast til tilstrækkelighedsafgørelsen her