Etter europeisk rett kan personopplysninger ikke sendes ut av EØS-området med mindre området man sender til har fått en godkjenning av EU-kommisjonen, eller det foreligger et såkalt «overføringsgrunnlag». Ettersom svært mange tjenestetilbydere, ikke minst Google, har sine servere i USA, har dette betydning for enormt mange europeiske virksomheter.
USA var tidligere et godkjent område, i form av det såkalte Privacy Shield-rammeverket. Det medførte at personopplysninger kunne sendes til Privacy Shield-sertifiserte virksomheter i USA like fritt som innad i Norge og EØS. EU-domstolen kom imidlertid, i den såkalte Schrems II-dommen, til at Privacy Shield ikke sikret europeeres rett til personvern i tilstrekkelig grad.
Les: EU-domstolen underkjenner det amerikanske personvernregimet
Nesten umulig
Dermed ble mekanismen kjent ugyldig. De som ville fortsette å overføre data til USA ble da henvist til å etabler overføringsgrunnlag for hver enkelt virksomhet, noe som er en svært krevende prosess, forteller seksjonssjef for internasjonal seksjon i Datatilsynet, Tobias Judin.
– Samtidig hevet EU-domstolene kravene til overføringsgrunnlagene. Nå må man i tillegg til papirarbeid gjennomføre kompliserte landvurderinger, og ofte iverksette kompliserte tekniske tiltak, noe som ikke alltid lar seg gjøre. I praksis har det blitt utrolig krevende, og i noen tilfeller umulig, for virksomheter å overføre personopplysninger til land som ikke har godkjenning fra EU-kommisjonen, sier Judin.
Fredag kom imidlertid nyheten mange i bransjen har ventet på. I forbindelse med president Joe Bidens besøk i Brussel, kunngjorde han og EU-president Ursula von der Leyen at EU og USA har landet en ny avtale. I en felles uttalelse kunngjorde de at avtalen vil besvare EU-domstolens innvendinger mot den forrige avtalen, samtidig som USA skal styrke personvernreguleringene i egen telekombransje.
– Ekstremt mye lettere
– Det vil rett og slett gjøre livet ekstremt mye lettere, sier Tobias Judin.
– Hovedtrekkene i avtalen ser ut til å være landet, men det er fremdeles noen detaljer som må utarbeides. Når avtalen er klar, vil sannsynligvis USA få ny godkjenning fra EU-kommisjonen, som betyr at vi igjen kan sende personopplysninger til virksomheter i USA som deltar i den nye ordningen. Sannsynligvis vil alle de store amerikanske tjenesteleverandørene ta del i denne ordningen, slik at flertallet av norske virksomheter forhåpentligvis slipper å forholde seg til de kompliserte reglene om overføring av personopplysninger til ikke-godkjente tredjeland.
– Påvirker dette for eksempel den omfattende diskusjonen som har vært rundt bruken av Google Analytics?
– Ja, det gjør det absolutt. Google Analytics sender nemlig data til USA, og så er spørsmålet om det er personopplysninger blant dataene eller ikke. Hvis svaret er ja, vil det være enormt krevende å få til å bruke Google Analytics lovlig på grunn av Schrems II, hvis det i det hele tatt lar seg gjøre. Med en ny avtale forsvinner imidlertid hele denne problemstillingen, for da kan man enkelt overføre personopplysninger til USA igjen.
Varsler nytt søksmål
At det skal bli stille og rolig rundt IT-gigantene og personvernspørsmål, virker imidlertid lite sannsynlig. Den østerrikske advokaten og personvernaktivisten Max Schrems, som har gitt navn til de berømte Schrems-dommene fra EU-domstolen, var ga allerede på fredag uttrykk for betydelig skepsis, flankert med et bilde av en kraftig sminket gris, og løfter om en ny runde i EU-domstolen. Schrems skriver:
«The final text will need more time, once this arrives we will analyze it in depth, together with our US legal experts. If it is not in line with EU law, we or another group will likely challenge it. In the end, the Court of Justice will decide a third time. We expect this to be back at the Court within months from a final decision.»
– Amerikanerne gjør endringer på sin side, men mange mener endringene er for få og overfladiske. Med andre ord kan det være at også denne nye avtalen blir utfordret i EU-domstolen om noen år. Dersom EU-domstolen også underkjenner denne avtalen, blir vi i verste fall satt tilbake til start, sier Tobias Judin.
