Nyt kapitel i saga om dataoverførsler: EU afviser søgsmål
Virksomheder kan fortsætte med at bruge amerikanske cloud-tjenester, efter at EU-Retten har afvist søgsmål i Latombe-sag. Men juridisk usikkerhed lurer stadig. "Vi mangler stadig enhver retlig sikkerhed for brugere og virksomheder," udtaler persondataaktivist Max Schrems.
Det betyder afgørelsen
Afgørelsen betyder ifølge Kasper Bjerre Hendrup Andersen, at dataansvarlige og databehandlere trygt kan fortsætte med at overføre personoplysninger efter EU-U.S. Data Privacy Framework.
"EU har fortsat en gyldig tilstrækkelighedsafgørelse for overførsler af personoplysninger til USA," konstaterer han.
Men meget tyder på, at den måske mest udfordrede ordning i EU's databeskyttelseshistorie fortsat vil blive forsøgt udfordret.
Nyt sagsanlæg på vej?
Da det ikke er den øverste instans i EU-retssystemet, der har talt, er forventningen, at sagen vil blive anket til EU-Domstolen, hvor tidligere versioner af overførselsaftalen blev annulleret i Schrems I og II.
Derudover anlagde Latombe-søgsmålet en målrettet og snæver tilgang til at anfægte dataaftalen. En anden sag med et bredere sæt af argumenter kunne få medhold.
Sådan lyder reaktionen i hvert fald Max Schrems, den østrigske jurist og persondataaktivist via NOYB - European Center for Digital Rights.
"Vi er overbeviste om, at en bredere gennemgang af amerikansk lovgivning – især brugen af præsidentielle bekendtgørelser under Trump-administrationen – vil give et andet resultat," udtaler han i en udsendt meddelelse.
"Vi overvejer vores muligheder for at anlægge en sådan sag. Mens Kommissionen måske har vundet endnu et år, mangler vi stadig enhver retlig sikkerhed for brugere og virksomheder."
Hvad er EU-US Data Privacy Framework?
- Aftale om overførsel af persondata mellem EU og USA.
- Erstatter Privacy Shield, som blev underkendt i Schrems II.
- Bygger på en certificeringsordning for amerikanske virksomheder.
- Kritiseres for at ligne tidligere aftaler, der blev dømt ulovlige.
Sagens kerne
Latombe-sagen kritiserede bl.a., at amerikanske efterretningstjenester fortsat har adgang til store mængder data om EU-borgere, og at den klageinstans og domstol, der skal beskytte borgernes rettigheder, mangler uafhængighed.
Ifølge Max Schrems er det, set i lyset af den amerikanske præsident Donald Trumps brug af præsidentielle bekendtgørelser, overraskende, at EU-Domstolen har fundet klageinstansen tilstrækkelig.
"Sammenligner man med sager inden for EU, fx om Polen eller Ungarn, kræver det stor mental fleksibilitet at acceptere dette som en uafhængig domstol,” lyder hans kritik.
Compliance-ansvarlige bør forberede sig på, at overførselsgrundlaget igen kan blive udfordret. Den nuværende overførselsaftale er i hvert ifølge Max Schrems næsten en 1:1 kopi af de tidligere aftaler, som blev dømt ulovlige af EU-Domstolen.
"Det er tydeligt, at den lavere instans her afviger markant fra EU-Domstolens retspraksis. Vi er meget overraskede over dette udfald. Det kan være, at Retten ikke havde tilstrækkeligt bevismateriale – eller at den ønsker at markere en afstand til EU-Domstolen. Vi må analysere afgørelsen nærmere i de kommende dage."