Personuppgifter till USA: Plan B utan respit

2025 har det blivit svårare att syna hur USA använder personuppgifter från EU. För den som överför data till USA kan det bli värdefullt med en exitstrategi om EU står utan kontinuitetsplan.

EU-kommissionen har tigit om att tillsynsmyndigheten Privacy and Civil Liberties Oversight Board (PCLOB) inte längre är beslutsför, sedan Vita huset i januari mejlat flera ledamöter att avgå eller sparkas. PCLOB inrättades för oberoende och maktdelning, principer ägnade att tygla massövervakningen efter terrorattackerna i USA 2001.

Europaparlamentariker frågade i februari och mars om kommissionen vill ompröva avtalet EU-U.S. Data Privacy Framework (DPF) och om det ens kan vara giltigt utan PCLOB. Kommissionen avsåg i oktober att ”nära följa utvecklingen av vakanser och nomineringar” till PCLOB men har inte svarat parlamentet.

I USA har justitiedepartementet, själva föremål för förändringar, inte kommenterat att en domare utsedd av PCLOB i domstolen Data Protection Review Court (DPRC) lämnat, också det efter påtryckningar. DPRC inrättades som en förutsättning för avtalet med EU. Domstolen ska pröva klagomål från EU-medborgare om hur deras personuppgifter behandlas.

Varje yttrande kan händelseförloppet inom och mellan USA och EU. Men tystnad och passivitet får också konsekvenser.

Överföring av personuppgifter till USA är lagligt till anslutna leverantörer, sedan EU-kommissionen 2023 beslutat att skyddsnivån är adekvat, ett så kallat adekvansbeslut. Kommissionen och EU-domstolen kan upphäva beslutet – såvida inte USA redan hävt avtalet, till exempel genom att ogiltigförklara en tidigare presidentorder.

I det läget behöver företag som överför personuppgifter från EU till USA andra grunder, enligt dataskyddsförordningens kapitel fem. Standardavtalsklausuler, standard contractual clauses (SCCs) enligt artikel 46, har tidigare inte hållit i EU-domstolen. Bindande företagsbestämmelser, binding corporate rules (BCRs) enligt artikel 47, är främst relevant inom stora företag. Undantag enligt artikel 49 har svagare rättsliga grunder: samtycke, avtal, allmänintresse och rättsliga anspråk, samt exempelvis vid akutvård utomlands. Den som inte hittar en hållbar grund behöver fråga sig hur det kan bli möjligt att låta bli att överföra personuppgifter till USA.

Microsoft och Google Cloud har 2025 gått live med projektet ”EU Data Boundary” respektive co-location genom regionen ”Stockholm (europe-north2)”. Utöver geografiska möjligheter finns tekniska som Bring Your Own Key (BYOK) där molnleverantören kan tvingas dekryptera om de har tillgång till nyckeln via key management system (KMS) som AWS KMS, Microsoft Azure Key Vault eller Google Cloud KMS. Eller Hold Your Own Key (HYOK) där molnleverantören inte har krypteringsnyckeln, vilket kan hämma sökfunktioner.

Allt förutsatt att molnleverantörer styrda av USA förblir tillgängliga och kommersiellt försvarbara i EU, oavsett var och hur data krypteras, lagras och behandlas, i händelse av nya presidentordrar. Myndigheter i Sverige, Danmark, Norge och Nederländerna uppmanar berörda att nu tänka igenom hur de vill göra. Betänketiden upphör om DPF upphör.

• EU-U.S. Data Privacy Framework (DPF) (2023–) EU-kommissionen fattade ett adekvansbeslut 2023.
• Privacy Shield (2016–2020) EU-domstolen ogiltigförklarade avtalet 2020 i Schrems II-målet, med hänvisning till fortsatt oro över amerikanska övervakningsprogram.
• Safe Harbor (2000–2015) EU-domstolen ogiltigförklarade avtalet 2015 i Schrems I-målet, med motiveringen att det inte gav tillräckligt skydd mot amerikansk massövervakning.

 

Läs mer: NYT 22 januari, Euractiv 3 mars, TT 9 mars