1. Hvilke regler gjelder for overføring av personopplysninger til USA, og hva er en adekvansbeslutning?

I utgangspunktet er det ikke tillatt å sende personopplysninger ut av EØS, men det finnes en rekke unntak. For eksempel kan du overføre personopplysninger til land, områder og sektorer som EU-kommisjonen har «godkjent» gjennom en såkalt adekvansbeslutning.

Det finnes en adekvansbeslutning for USA som sier at du kan overføre personopplysninger til amerikanske virksomheter som er oppført på denne listen: Data Privacy Framework List (dataprivacyframework.gov).

Du kan lese mer om adekvansbeslutningen i en tidligere artikkel på nettsidene våre. Den forklarer også hva reglene sier om overføring av personopplysninger til amerikanske virksomheter som ikke står på listen. 

Selv om overføringsreglene ikke setter særskilte grenser, må du selvsagt alltid følge de øvrige reglene i personvernforordningen (GDPR).

2. Flere medlemmer av Privacy and Civil Liberties Oversight Board (PCLOB) har blitt avsatt. Hva er PCLOB, og hva betyr denne utviklingen for adekvansbeslutningen for USA?

Når EU-kommisjonen vedtar en adekvansbeslutning, ser de på mange ulike forhold for å sikre at personopplysninger vil behandles tilsvarende i det aktuelle landet som i EØS.

I adekvansbeslutningen for USA trekker EU-kommisjonen frem PCLOB (pclob.gov). PCLOB fører kontroll med amerikanske etterretningsmyndigheter for å påse at enkeltpersoners rettigheter ikke blir krenket. Dette er et viktig element for å sikre at personopplysninger som overføres til USA behandles på en tilfredsstillende måte.

Den amerikanske presidenten har nylig avsatt flere av styremedlemmene i PCLOB, og som et resultat gjenstår det kun ett styremedlem på tidspunktet denne artikkelen ble publisert. Det betyr at akkurat nå er ikke PCLOB beslutningsdyktig.

Datatilsynet forstår det slik at intensjonen er å utpeke nye styremedlemmer i PCLOB. Videre forstår vi det også slik at PCLOB kan utføre enkelte av oppgavene sine i mellomtiden selv om organet ikke er fulltallig. Derfor trenger ikke nødvendigvis en utskiftning av styremedlemmer å være et problem. Dette blir først en utfordring dersom det trekker ut i veldig lang tid å få på plass nye styremedlemmer.

Adekvansbeslutningen for USA gjelder fortsatt.

For øvrig gjelder fremdeles de amerikanske lovene som skal sikre personopplysningene våre i USA.

3. Hva hvis det kommer andre endringer i USA?

Det er EU-kommisjonen som bestemmer om et land skal få en adekvansbeslutning. EU-kommisjonen følger også med når det kommer endringer i lover eller praksiser i land som allerede har en adekvansbeslutning og vurderer om endringene gjør at personopplysningene våre ikke lenger er godt nok beskyttet. Dersom beskyttelsesnivået for personopplysninger ikke lenger er tilstrekkelig godt, kan EU-kommisjonen trekke tilbake adekvansbeslutninger.

En adekvansbeslutning fortsetter å gjelde frem til den eventuelt blir opphevet av EU-kommisjonen eller EU-domstolen.

Dette betyr at eventuelle endringer i USA ikke automatisk fører til at adekvansbeslutningen faller bort. EU-kommisjonen vil imidlertid følge med på slike endringer og vurdere dem grundig.

En adekvansbeslutning binder også datatilsynsmyndighetene. Datatilsynet kan ikke oppheve en adekvansbeslutning eller forby overføringer som skjer i henhold til en adekvansbeslutning.

4. Hva bør virksomheten din tenke på?

Selv om vi i dag har regler som gjør det enkelt å overføre personopplysninger til USA, regner vi med at disse reglene før eller siden vil utfordres i EU-domstolen. Situasjonen i USA har også bidratt til usikkerhet. Det er viktig å ha et bevisst forhold til dette når du gjør anskaffelser av amerikanske tjenester.

Det viktigste rådet til virksomheten din er å ha en exit-strategi for hva dere skal gjøre dersom du ikke lenger kan overføre personopplysninger til USA på samme måte som i dag. Merk også at bruk av amerikanske skytjenester på europeisk jord kan påvirkes negativt dersom adekvansbeslutningen oppheves. Les veiledningen vår om dette. 

Dersom en adekvansbeslutning oppheves, vil det mest sannsynlig ikke være en overgangsperiode. Vi kommer i så fall med mer informasjon.