EU-domstolens Schrems II-dom och EDPB:s anvisningar om data- överföring i offentlig sektor

För det första slog domstolen fast att EU:s allmänna dataskyddsförordning ska tillämpas när kommersiella aktörer överför personuppgifter till ett tredjeland, oberoende av att myndigheterna i det tredjelandet under eller efter överföringen kan behandla dessa uppgifter för ändamål som avser allmän säkerhet, försvar eller statens säkerhet. Med andra ord står fallet inte utanför dataskyddsförordningens tillämpningsområde med stöd av artikel 2.2 i dataskyddsförordningen.

För det andra slog EU-domstolen fast att artikel 46 i dataskyddsförordningen ska tolkas så att de personer vilkas personuppgifter överförs till ett tredjeland med stöd av de standardklausuler om dataskydd som EU-kommissionen har godkänt i huvudsak ska åtnjuta ett likvärdigt skydd som dataskyddsförordningen ger, jämfört med EU:s stadga om de grundläggande rättigheterna.

För det tredje fastställde domstolen de nationella tillsynsmyndigheternas rätt och skyldighet att avbryta eller förbjuda en överföring av personuppgifter till ett tredjeland med stöd av standardklausuler om myndigheten anser att det inte med andra medel går att säkerställa att nivån på dataskyddet motsvarar EU:s nivå.

Till sist tog domstolen ställning till giltigheten i Privacy Shield-beslutet. Utan att desto mer gå in på detaljer förklarades Privacy Shield-beslutet ogiltigt på två grunder:

• De underrättelseprogram som möjliggörs av USA:s underrättelselagstiftning uppfyllde inte EU-rättens proportionalitetsprincip eftersom de inte tillräckligt tydligt och exakt avgränsar underrättelseverksamhetens omfattning. Således kunde man inte säga att underrättelseprogrammen skulle ha begränsats till endast det absolut nödvändiga enligt skäl 140 i ingressen i Privacy Shield.
• Privacy Shield garanterade inga effektiva rättsmedel för registrerade som blivit föremål för underrättelseprogram. I Privacy Shield-beslutet konstaterades att USA här tillämpar en ombudsmannamekanism. Eftersom ombudsmannen dock inte hade rätt att fatta beslut som var bindande för underrättelsemyndigheterna kunde detta inte jämföras med att lägga fram ärendet för behandling av en självständig och oberoende domstol.

Således är problemet att dataskyddsnivån i USA inte motsvarar nivån i EU på det sätt som nämns tidigare. Reglering på EU-nivå av de verkställbara rättigheter och effektiva rättsmedel som är tillgängliga för de registrerade är ett krav för överföring av personuppgifter till ett tredjeland, såsom USA, även när standardklausuler används.

Schrems II-domen har konsekvenser beträffande alla serviceleverantörer utanför EU-/EES-området, som amerikanska och asiatiska serviceleverantörer, när personuppgiftsansvariga, t.ex. en kommun eller samkommun, funderar på riskhanteringen inom dataskyddet. Hur bör man förhålla sig till den nya situationen – hur upprätthålla en verksamhet som kräver behandling av personuppgifter och ibland även anlitandet av stora, internationella system, och samtidigt hantera den juridiska risken i den nya tolkningssituationen? För det första finns det anledning att skilja mellan om man granskar nya avtal och datasystemsanskaffningar eller befintliga datasystem och gällande avtal.

Det är viktigt att beakta att behandling av personuppgifter utanför EU-/EES-området avser dels en situation där uppgifterna har lagrats utanför EU-/EES-området, dels en situation där det finns åtkomst till information som lagrats inom EU-/EES-området via en fjärrförbindelseutanför EU-/EES-området. Med andra ord avser överföringen av personuppgifter till länder utanför EU-/EES-området även situationer där de datacentraler där uppgifterna lagras befinner sig inom EU-/EES-området, men där man kan ansluta till dem utifrån.

I samband med ett nytt avtal eller anskaffning av nytt datasystem förutsätts i princip att helheten uppfyller kraven i den gällande lagstiftningen. Enklast är det om man säkerställer att personuppgifterna under inga omständigheter behandlas utanför EU eller EES, dvs. en naturlig utgångspunkt vid nya avtal och anskaffningar av nya system är att förbjuda all överföring och behandling av personuppgifter utanför dessa områden.

Därtill har kommissionen godkänt en lista över länder, utöver EU-/EES-området, där personuppgifter får behandlas. De är Andorra, Argentina, Färöarna, Guernsey, Israel, Isle of Man, Japan, Jersey, Kanada (för kommersiella organisationer), Nya Zeeland, Schweiz och Uruguay. Listan uppdateras, se länken till kommissionens sidor.

Om detta är omöjligt, måste man ta till den relativt tunga processen enligt dataskyddsförordningen och Schrems II-domen där man i ett avtal via särskilda utredningar och försäkranden säkerställer en adekvat dataskyddsnivå genom hela behandlingen.

Om det är nödvändigt att behandla personuppgifter utanför EU-/EES-området och i de länder som kommissionen har godkänt, ska adekvata skyddsåtgärder, som t.ex. standardklausuler om dataskydd, iakttas enligt artikel 46 i dataskyddsförordningen (https://tietosuoja.fi/sv/standardiserade-dataskyddsbestammelser-godkanda-av-kommissionen ) och länk till kommissionens webbplats . Ett tilläggsvillkor utöver standardklausulerna är att de registrerade även ska ha tillgång till verkställbara rättigheter och effektiva rättsmedel i mållandet dit överföringarna görs och att den personuppgiftsansvarige därför från fall till fall ska utreda huruvida dessa rättigheter och rättsmedel finns i mållandet och deras överenstämmelse med EU:s dataskyddsbestämmelser.

Eventuella brister som upptäcks i dataskyddet vid utredningarna kan korrigeras genom tilläggsåtgärder så att de motsvarar den nivå som förutsätts i EU-lagstiftningen. Europeiska dataskyddsstyrelsen meddelade den 10 november 2020 sin rekommendation om kompletterande skyddsåtgärder länk som ska beaktas när uppgifter överförs till länder utanför EU-/EES-området. I bilaga 2 till rekommendationerna finns en exempelförteckning över kompletterande åtgärder vilkas tillräcklighet ska bedömas från fall till fall. Dessa är bl.a. kryptering och pseudonymisering. Målet med de tekniska åtgärderna är att utesluta myndigheters eventuellt kränkande åtkomst till uppgifterna.