USA´s præsident Joe Biden har skrevet et “præsidentielt dekret”, der på flere planer kommer EU i møde efter at EU-domstolen den 16. juli 2020 afsagde Schrems II dommen, som afviste overførselsgrundlaget “privacy Shield” for dataoverførsler mellem EU og USA. EU-domstolen sagde, at overførselsgrundlaget ikke var sikkert nok og erklærede USA for et “usikkert tredjeland” – datamæssigt set.
EU og USA har nu i mere end to år forhandlet om, hvordan de skulle sikre et nyt “overførselsgrundlag”, der eksempelvis kan lovliggøre, at danske kommuner kan bruge amerikanske leverandørers cloudløsninger uden at være på kant med lovgivningen om “tredjelandsoverførsler”. I maj 2022 meldte EU-Kommissionens formand Ursula von der Leyen og USA´s præsident Joe Biden, at EU og USA i “princippet” var enige, og nu i midten af oktober er Joe Biden kommet med USA´s udspil.
Det forholder sig sådan, at hvis amerikansk lovgivning skaber problemer i forhold til omverdenen, kan USA´s præsident udforme et “præsidentielt dekret” som præciserer den amerikanske lovgiving uden, at det først skal vedtages i kongressen. Det er præcis, hvad Joe Biden har gjort.
Formand for Rådet for Digital Sikkerhed Henning Mortensen siger: “Det er gode nyheder. Det løser ikke alt, men jeg synes, USA viser stor imødekommenhed over for EU-domstolens afgørelse i juli 2020, og spørgsmålet er så, om EU-Kommissionen og det Europæiske Databeskyttelsesråd (EDPB), mener, at USA´s udspil er tilstrækkeligt. Det må vi vente at se”.
“Det er vigtigt at slå fast, at det er et skridt på vejen til et nyt overførselsgrundlag, men at dekretet fra Joe Biden ikke i sig selv er et nyt overførselsgrundlag. Det skal EU-Kommissionen først skrive nu, og EDPB skal høres. Vi er altså ikke i mål endnu,” siger Henning Mortensen.
Overførselsgrundlaget privacy shields, som EU-domstolen gjorde ugyldigt, faldt på, at det kunne udnyttes til masseovervågning. Det er “uproportionalt i et demokratisk samfund,” sagde EU- domstolen.
To begrænsninger
Det nye amerikanske dekret indeholder to begrænsninger inden for masseovervågning i forhold til Schrems II.
Dommen fra EU-Domstolen fastslog, at USA kunne masseovervåge europæiske borgere, virksomheder og organisationer, da de store amerikanske leverandører som Microsoft, Google, Amazon, Facebook og Apple skulle åbne “døre ind i deres IT-systemer”, og udlevere oplysninger, til amerikanske myndigheder og efterretningstjenester, når de bad om det. Videre tappede USA oplysninger direkte fra internetudbydernes kabelforbindelser. Dermed kunne europæere ikke føle sig sikre på, at deres personlige data var beskyttede.
Her har Joe Biden taget et vigtigt skridt i den rigtige retning med sit nye dekret, ifølge Henning Mortensen. Der opstilles “formålsbegrænsninger” for amerikansk masseovervågning, og der introduceres “proportionalitetsbetragtninger”. Henset til EU domstolens ret restriktive opfattelse af, hvad man kan bruge masseovervågning til, er spørgsmålet om de begrænsninger fra Joe Bidens side, er nok til at kunne siges at være proportionale i et demokratisk samfund.
Joe Bidens dekret afskaffer ikke masseovervågningen, men foreslår begrænsninger.
Det er det EU-Kommissionen nu skal afgøre, om det er tilstrækkeligt, og EDPB skal høres om, når et nyt overførselsgrundlag engang er formuleret.
For det andet introducerer Joe Bidens dekret “en to-trins-klagemodel”, hvor europæiske borgere kan klage til en europæisk myndighed, der så beder en “Civil Liberties Protection Officer” tage stilling til klagen og forelægge sit bud på en afgørelse for en ny domstol,
Henning Mortensen: “Denne Data Protection Review Court er dog ikke helt uafhængig, og klagere får ikke nødvendigvis at vide, om der er behandlet SIGINT (signalefterretning gennem aflytning red.) information om vedkommende. Spørgsmålet er, om den konstruktion er en domstol i europæisk forstand. Men det er en ny opfindelse, der viser, at den amerikanske præsident kommer EU og europæiske borgere og virksomheder i møde,” siger Henning Mortensen.
Det amerikanske dekret betyder ikke, at danske virksomheder og myndigheder allerede nu kan overføre personoplysninger til USA uden et overførselsgrundlag og opfyldelse af kravene, som følger af Schrems II-afgørelsen. Næste skridt er, at EU-Kommissionen efter en særlig procedure, der også indbefatter høring af Det Europæiske Databeskyttelsesråd, skal afgøre, om der kan laves en tilstrækkelighedsvurdering.
Henning Mortensen vurderer, at Joe Bidens dekret kan være vejen til et nyt overførselsgrundlag fra EU Kommissionen, men han kan ikke vurdere, om et nyt overførselsgrundlag bliver langtidsholdbart.