Amerikansk dom kan påverka överföringar till USA

För USA finns, sedan år 2023, ett beslut från EU-kommissionen om adekvat skyddsnivå. Avgörande för EU-kommissionens beslut var att USA gjorde nya åtaganden i fråga om skydd för personuppgifter vid överföring – EU-U.S. Data Privacy Framework (DPF). EU-kommissionen bedömde i sitt beslut att personuppgifter ges ett tillräckligt skydd om de överförs till mottagare i USA som har anslutit sig till DPF.

I samband med att Donald Trump tillträdde som president förra året skiljdes ett antal demokratiska ledamöter från sina uppdrag vid vissa oberoende tillsynsorgan – Federal Trade Commission (FTC) och Privacy and Civil Liberties Oversight Board (PCLOB) – som är viktiga för att DPF ska fungera. Rörande en del av ledamöterna har det pågått processer som handlar om ifall det var lagligt att skilja dem från uppdragen. Nu har USA:s högsta domstol gett ett jakande svar gällande FTC. Domstolens beslut sätter fokus på frågan om dessa tillsynsorgan fortfarande kan anses vara oberoende och om detta kommer att påverka adekvansbeslutets giltighet framöver. 

Det är EU-kommissionen som ansvarar för att löpande utvärdera hur ett adekvansbeslut fungerar. Om USA inte längre bedöms säkerställa adekvat skyddsnivå kan EU-kommissionen återkalla, ändra eller upphäva sitt beslut. Även EU-domstolen kan ogiltigförklara ett adekvansbeslut, vilket har skett vid två tidigare tillfällen när det gäller adekvansbeslut för USA (de s.k. Schrems-domarna). 

IMY följer utvecklingen och kommer, inom ramen för den Europeiska dataskyddsstyrelsen (EDPB), att analysera domens eventuella konsekvenser för överföringar till USA. EDPB har tidigare betonat vikten av oberoende tillsynsmekanismer för att ett i huvudsak likvärdigt dataskydd ska kunna säkerställas vid överföring till tredjeland. EDPB har även löpande kontakt med EU-kommissionen i frågan. 

– Det finns fortfarande ett gällande adekvansbeslut för USA. I detta läge är det dock viktigt för organisationer att hålla sig informerade och ha beredskap för hur man gör om adekvansbeslutet skulle upphävas i framtiden. Generellt bör organisationer alltid ha beredskap för ändrade förhållanden och att man till exempel kan behöva ta tillbaka sin data från leverantörer, säger Eric Leijonram, generaldirektör för IMY.