Personvernrettigheter, internasjonal dataoverføring og Schrems II har blitt sentrale temaer i diskusjonen om digitale rettigheter. I denne artikkelen har jeg prøvd å oppsummere historien om dataoverføringsrammeverkene mellom EU og USA.

Beskyttelse av privatliv og personopplysninger er grunnleggende rettigheter i europeisk rett. EU har et sterkt regelverk, GDPR, som regulerer behandling av personopplysninger og inneholder særskilte regler for overføring av personopplysninger fra EU/EØS til tredjeland.

I USA er tilnærmingen til personvern noe annerledes. USA har historisk ikke hatt én samlet, tverrsektoriell føderal personvernlov tilsvarende GDPR. Det amerikanske personvernregimet bygger i større grad på en kombinasjon av føderale sektorlover, delstatslovgivning, regulering og håndheving fra blant annet Federal Trade Commission. Denne forskjellen i tilnærmingen til personvern har lenge skapt utfordringer hva gjelder overføring av personopplysninger mellom EU og USA.

Safe Harbour (år 2000)

I 2000 vedtok EU-kommisjonen en adekvansbeslutning for det såkalte U.S.-EU Safe Harbor-rammeverket. Ordningen gjorde det mulig å overføre personopplysninger til amerikanske virksomheter som hadde sertifisert seg under Safe Harbor-prinsippene.

Avtalens mål var å sikre en trygg datautveksling mellom EU og USA. Personverndirektivet regulerte allerede overføringer til tredjeland, men Safe Harbor etablerte en særskilt ordning som gjorde det enklere å overføre personopplysninger til deltakende amerikanske virksomheter. For å løse dette ble Safe Harbor-rammeverket skapt, som innførte en ordning hvor amerikanske firmaer kunne forplikte seg til personvernprinsipper.

1. Dataoverføring og beskyttelse
   Safe Harbour ble etablert for å muliggjøre lovlig overføring av persondata mellom EU og USA, basert på at amerikanske selskaper forpliktet seg til å ivareta et tilstrekkelig nivå av personvern.

2. Selvsertifisering
   Amerikanske selskaper kunne sertifisere seg selv under Safe Harbour ved å følge spesifikke retningslinjer og overholde databeskyttelsesstandarder som ble ansett som tilstrekkelige av EU.

3. Begrenset kontroll og tilsyn
   Ordningen bygget på selvsertifisering, men hadde også kontroll- og håndhevingsmekanismer, blant annet gjennom Federal Trade Commission og private tvisteløsningsmekanismer. Selvsertifisering var ikke i seg selv i strid med EU-retten, men systemet var avhengig av effektive mekanismer for kontroll og håndheving. Senere oppsto det særlig bekymringer rundt beskyttelsen mot amerikanske myndigheters tilgang til personopplysninger.

Max Schrems kommer på banen (år 2015)

I 2015 kom Max Schrems, en østerriksk personvernaktivist, frem i lyset med sin sentrale rolle i å utfordre gyldigheten av Safe Harbor. Schrems hadde klaget til den irske personvernmyndigheten over Facebook Irelands overføring av hans personopplysninger til USA. Etter at klagen ble avvist, gikk saken til irsk domstol, som forela spørsmål for EU-domstolen. EU-domstolen erklærte det året Safe Harbor-beslutningen for ugyldig.

Schrems' handlinger avdekket alvorlige mangler i Safe Harbor, spesielt knyttet til europeiske borgeres beskyttelse mot amerikansk overvåking og inngripen i persondata. Safe Harbor-prinsippene bandt ikke amerikanske offentlige myndigheter, og krav knyttet til blant annet nasjonal sikkerhet og rettshåndhevelse kunne gå foran prinsippene. Domstolen fant også mangler når det gjaldt begrensninger på myndighetenes inngrep og muligheten for effektiv rettslig prøving. Denne domstolsavgjørelsen banet vei for etableringen av en ny ordning, Privacy Shield, og initierte en kritisk juridisk diskusjon. Max Schrems hadde dermed en betydelig innflytelse på endringer i personvernet for europeere ved internasjonale dataoverføringer.

Privacy Shield (år 2016)

Formålet med Privacy Shield var å sikre at personopplysninger som ble overført til deltakende amerikanske selskaper, ble behandlet med tilstrekkelig beskyttelse og i samsvar med europeiske personvernstandarder.

1. Styrket tilsyn og håndheving
   Privacy Shield innførte sterkere kontroll fra amerikanske myndigheter for å sikre at selskaper overholdt reglene.
   Forbedring fra Safe Harbour: Privacy Shield beholdt modellen med selvsertifisering, men styrket myndighetenes kontroll med sertifisering, resertifisering og etterlevelse. Ordningen inneholdt også en årlig felles evaluering mellom EU og USA.

2. Krav til datasikkerhet og ansvarlighet
   Amerikanske selskaper måtte oppfylle strengere krav om datasikkerhet, inkludert tiltak for dataintegritet og spesifikke krav til å informere brukere om deres rettigheter.
   Forbedring fra Safe Harbour: Privacy Shield hadde mer konkrete og detaljerte krav til databehandling, mens Safe Harbour var mer generell og etterlot selskapene frihet i hvordan de fulgte retningslinjene.

3. Innføring av en ombudsperson for EU-borgere: Privacy Shield etablerte en ny ombudspersonmekanisme i det amerikanske utenriksdepartementet for klager knyttet til amerikansk signaletterretning. EU-kommisjonen mente ved vedtakelsen at mekanismen ga uavhengig kontroll, men EU-domstolen konkluderte senere i Schrems II med at ordningen ikke ga et effektivt rettsmiddel med garantier som var vesentlig tilsvarende dem EU-retten krever.
   Forbedring fra Safe Harbour: Safe Harbour manglet et tilsvarende kontrollledd for denne typen klager.

4. Forsterket klagerett og rettighetsvern for enkeltpersoner: Privacy Shield ga EU-borgere tydeligere klagemekanismer, med flere muligheter til å utfordre datahåndteringen gjennom selskaper, tvisteløsningsorganer og relevante myndigheter.
   Forbedring fra Safe Harbour: Safe Harbour hadde færre tilgjengelige klageveier for enkeltpersoner.

5. Årlig revisjon mellom EU og USA
   Privacy Shield krevde en årlig revisjon av ordningen, der EU og USA sammen skulle evaluere hvordan ordningen ble implementert og foreslå forbedringer.
   Forbedring fra Safe Harbour: Safe Harbour manglet en slik regelmessig felles gjennomgang.

6. Økt transparens om myndighetstilgang
   Privacy Shield inneholdt mer omfattende amerikanske redegjørelser og forpliktelser om hvilke regler, begrensninger, kontrollordninger og klagemuligheter som gjaldt ved myndighetenes tilgang til data. Dette ga større institusjonell transparens enn under Safe Harbor, men innebar ikke en generell rett for den enkelte til å få vite om amerikanske etterretningsmyndigheter hadde fått tilgang til vedkommendes data.
   Forbedring fra Safe Harbour: Safe Harbour inneholdt ikke tilsvarende omfattende redegjørelser om reglene og kontrollordningene rundt myndighetenes tilgang.

Schrems II: Privacy Shield erklæres ugyldig (2020)

Privacy Shield-beslutningen ble erklært ugyldig av Den europeiske unions domstol (EU-domstolen) 16. juli 2020. Denne avgjørelsen kom som et resultat av Schrems II-saken, anlagt av Max Schrems.

I Schrems II-saken argumenterte Max Schrems for at personvernet til europeiske borgere fortsatt ikke ble tilstrekkelig beskyttet når personopplysninger ble overført til USA. Han hevdet at amerikansk lov tillot myndighetene å få tilgang til og behandle personopplysninger på en måte som var uforenlig med europeiske personvernstandarder.

EU-domstolen delte Schrems' bekymringer og erklærte Privacy Shield-beslutningen ugyldig. Avgjørelsen var basert på to sentrale problemer. For det første fant domstolen at begrensningene på amerikanske etterretningsmyndigheters tilgang til personopplysninger ikke ga en beskyttelse som var vesentlig tilsvarende den som kreves etter EU-retten, blant annet sett i lys av kravene til nødvendighet og proporsjonalitet. For det andre fant domstolen at de registrerte ikke hadde tilstrekkelig effektive og håndhevbare rettsmidler mot amerikanske myndigheter. Privacy Shield-ombudspersonen kunne ikke avhjelpe disse manglene.

Denne avgjørelsen førte til at Privacy Shield-ordningen ikke lenger kunne brukes som en gyldig mekanisme for overføring av personopplysninger mellom EU og USA. Den skapte betydelig usikkerhet rundt internasjonal dataoverføring, men andre overføringsmekanismer etter GDPR var fortsatt tilgjengelige.

Etter Schrems II i 2020 kunne Privacy Shield ikke lenger brukes som overføringsgrunnlag. Virksomheter måtte derfor basere overføringer til USA på andre mekanismer etter GDPR, blant annet standardkontraktsklausuler eller bindende virksomhetsregler der vilkårene var oppfylt. Schrems II-saken var dermed en viktig påminnelse om behovet for å ivareta personvernrettighetene ved internasjonal dataoverføring og legge til rette for en mer robust og sikker praksis på dette området.

Schrems II-dommen

Schrems II-saken utfordret overføringen av personopplysninger fra EU til USA og hadde som mål å vurdere gyldigheten av standardkontraktsklausuler, som er en vanlig mekanisme for slike overføringer. EU-domstolen avgjorde saken i 2020 og bekreftet at standardkontraktsklausuler fortsatt kunne brukes for å overføre personopplysninger til tredjeland.

Imidlertid påpekte domstolen at virksomheter som baserte overføringer på standardkontraktsklausuler, måtte vurdere om lovgivningen og praksisen i mottakerlandet kunne svekke den beskyttelsen klausulene skulle gi. Dersom standardkontraktsklausulene ikke alene sikret et beskyttelsesnivå som var vesentlig tilsvarende det europeiske, måtte virksomheten vurdere effektive supplerende tiltak. Dersom tilstrekkelig beskyttelse ikke kunne oppnås, måtte overføringen stanses.

Schrems II-saken hadde dermed stor innvirkning på internasjonal dataoverføring og understreket behovet for en grundig vurdering av personvernrisikoer ved overføring av personopplysninger til tredjeland, med spesiell oppmerksomhet rettet mot tredjelandets rettsregler og praksis, offentlig myndighetstilgang, rettsmidler og muligheten for å opprettholde garantiene i overføringsmekanismen.

I 2021 vedtok EU-kommisjonen et nytt sett standardkontraktsklausuler for overføring av personopplysninger til tredjeland. De nye klausulene var tilpasset GDPR og rettstilstanden som blant annet fulgte av Schrems II.

Nye amerikanske garantier (2022)

Etter Schrems II innførte USA nye garantier for amerikansk signaletterretning gjennom Executive Order 14086. Blant annet ble det innført nye krav knyttet til nødvendighet og proporsjonalitet og et nytt totrinnssystem for behandling av klager.

Det nye systemet omfatter Civil Liberties Protection Officer hos Director of National Intelligence og deretter Data Protection Review Court (DPRC). Systemet var blant tiltakene som skulle møte kritikken fra Schrems II, særlig knyttet til hvilke rettsmidler personer har mot amerikanske myndigheters tilgang til personopplysninger.

EU-kommisjonen vurderte disse endringene som sentrale da den senere vurderte om USA igjen kunne tilby et tilstrekkelig beskyttelsesnivå for bestemte dataoverføringer.

EU-U.S. Data Privacy Framework (2023)

Den 10. juli 2023 vedtok EU-kommisjonen en ny adekvansbeslutning for EU-U.S. Data Privacy Framework (DPF).

Ordningen innebærer at personopplysninger kan overføres fra EU/EØS til amerikanske kommersielle organisasjoner som deltar i DPF, uten at standardkontraktsklausuler eller andre garantier etter GDPR artikkel 46 må brukes som selve overføringsgrunnlaget.

USA har dermed ikke fått en generell adekvansbeslutning som omfatter alle amerikanske virksomheter. DPF er basert på at kvalifiserte amerikanske organisasjoner sertifiserer at de følger DPF-prinsippene. Department of Commerce fører en offentlig liste over deltakende virksomheter, som må resertifisere seg årlig.

For amerikanske mottakere som ikke er omfattet av DPF, må det fortsatt finnes et annet gyldig grunnlag for overføringen etter GDPR kapittel V.

DPF er fortsatt i kraft. Ordningen er imidlertid under løpende kontroll. Den første gjennomgangen av rammeverket ble gjennomført i 2024, og europeiske personvernmyndigheter har blant annet anbefalt fortsatt overvåking av utviklingen i amerikansk etterretningslovgivning. I september 2025 forkastet EUs General Court et søksmål mot DPF-beslutningen.

Historien om dataoverføring mellom EU og USA har dermed ikke stoppet med Schrems II. Etter at Safe Harbor og Privacy Shield ble erklært ugyldige, har USA og EU forsøkt å etablere et tredje rammeverk som svarer på kritikken fra EU-domstolen. EU-kommisjonen har konkludert med at de nye amerikanske garantiene oppfyller kravene til et tilstrekkelig beskyttelsesnivå for virksomheter som omfattes av DPF. Om dette rammeverket vil vise seg mer robust enn sine forgjengere, gjenstår å se.