Författare: Kave Noori

Den 13 december 2022 inledde EU-kommissionen processen för att implementera ramverket för dataskydd mellan EU och USA (EU-U.S. Data Privacy Framework). Ramverket är alltså ett avtal som EU och USA har signerat. Tanken med ramverket är att det ska säkerställa ett adekvat skydd av personuppgifter (när de överförs till USA) och lösa regelkonflikterna mellan europeisk och amerikansk rätt som EU-domstolen identifierade i Schrems II-domen. 

EU-kommissionens antagande av utkastet utgör ett första steg för att göra överenskommelsen till en del av EU:s rättssystem. I beslutet om adekvat skyddsnivå drar EU-kommissionen slutsatsen att USA säkerställer en adekvat skyddsnivå för överföringar av uppgifter från EU. Detta sker baserat på en bedömning av begränsningarna och skyddsåtgärderna som finns i överenskommelsen mellan EU och USA.

I EU-kommissionens FAQ (svar på frågor) kan man läsa att beslutet kommer efter att USA:s president Joe Biden undertecknade ett presidentdekret i oktober 2022. Dekretet införlivar överenskommelsen mellan EU och USA i amerikansk rätt. EU-kommissionen och USA:s regering tillkännagav redan i mars 2022 att båda parter var överens om innehållet i överenskommelsen, vilket Forum för Dataskydd rapporterade om här. Genom presidentdekretet införs nya skyddsåtgärder som begränsar amerikanska underrättelsetjänsters tillgång till överförda uppgifter och en mekanism där amerikanska myndigheter hanterar klagomål från européer.

EU-kommissionen har nu skickat utkastet till European Data Protection Board för kommentarer. Därefter står EU:s medlemskommitté och Europaparlamentet på tur för att granska beslutet. Efter dessa instansers godkännande kan EU-kommissionen anta det slutliga beslutet om adekvat skyddsnivå. Det är först då som personuppgifter kommer kunna flöda fritt från företag i EU till företag i USA som är certifierade av USA:s handelsdepartement. 

I EU-kommissionens pressmeddelande står det att ramverket för dataskydd mellan EU och USA innehåller dataskyddskrav för amerikanska företag, t.ex. radering av uppgifter som inte längre behövs, samt flera möjligheter för EU-medborgare att vidta rättsliga åtgärder om deras uppgifter hanteras på ett felaktigt sätt. Det finns också skyddsbestämmelser i det amerikanska regelverket som begränsar amerikanska myndigheters tillgång till uppgifterna enligt EU-kommissionen.

Läs mer

EU-kommissionens FAQ (13 dec 2022) om utkastet till beslut om adekvat skyddsnivå

EU-kommissionens pressmeddelande (13 dec 2022) om utkastet till beslut om adekvat skyddsnivå

Forum för Dataskydds artikel den 14 april 2022 ”Nytt datadelningsavtal med USA välkomnas av näringslivet men föreningar är skeptiska”

Uttalande från NoyB 13 dec 2022,” Statement on US Adequacy Decision by the European Commission”