EU-domstolen: Privacy Shield ogiltigt

Bakgrund

Enligt den allmänna dataskyddsförordningen (GDPR) får personuppgifter i princip endast överföras till ett tredjeland om detta land garanterar en adekvat skyddsnivå för uppgifterna. GDPR ger dock kommissionen möjlighet att fastställa att ett tredjeland, på grundval av sin nationella lagstiftning eller sina internationella åtaganden, garanterar en adekvat skyddsnivå. EU–USA:s integritetsskydd (Privacy Shield) är en överenskommelse mellan EU och USA, på grundval av vilken kommissionen slutligen har fastställt att skyddsnivån är adekvat.

Om det inte föreligger något sådant beslut om adekvat skyddsnivå får en överföring endast ske om den EU-baserade dataexportören tillhandahåller lämpliga garantier, som bland annat kan härröra från standardavtalsklausuler som utarbetats av kommissionen, och om de berörda personerna har verkställbara rättigheter och effektiva rättsmedel.

Bakgrund 

Domen har sin bakgrund i ett klagomål om dataskydd från en österrikisk Facebook-användare. Liksom för alla användare som är bosatta inom unionens territorium överfördes hans personuppgifter helt eller delvis från Facebook Ireland till Facebook Inc.:s servrar i USA och behandlades där. Han hävdade att USA inte garanterade ett tillräckligt skydd för de uppgifter som överfördes dit och begärde att den överföring av hans personuppgifter från EU till USA som Facebook Ireland genomfört på grundval av standardavtalsklausulerna i beslut 2010/877 skulle upphävas eller förbjudas i framtiden. Enligt den irländska tillsynsmyndigheten var handläggningen av klagomålet i hög grad beroende av giltigheten av beslut 2010/87 om standardavtalsklausuler. Därför inledde den ett förfarande vid den irländska High Court för att denna skulle hänskjuta ärendet till EU-domstolen för en förhandsavgörande. Efter det att detta förfarande hade inletts antog kommissionen beslut 2016/1250 om adekvat skyddsnivå inom ramen för EU–USA-dataskyddsavtalet (”Privacy Shield”).

I sin begäran om förhandsavgörande frågade den irländska High Court EU-domstolen bland annat om giltigheten av såväl beslut 2010/87 om standardavtalsklausuler som Privacy Shield-beslutet 2016/1250.

EU-domstolens avgörande

EU-domstolen fastställde i sin dom av den 16 juli 2020, C-311/18, att beslut 2010/87 om standardavtalsklausuler inte strider mot EU:s stadga om de grundläggande rättigheterna och därför är giltigt. Däremot förklarade den beslutet 2016/1250 om Privacy Shield ogiltigt.

Beslut 2010/87 innehåller mekanismer som i praktiken kan säkerställa att den skyddsnivå som krävs enligt unionsrätten upprätthålls och att överföringar av personuppgifter som grundar sig på sådana klausuler avbryts eller förbjuds vid överträdelser eller om det är omöjligt att uppfylla kraven. Enligt detta beslut måste den som exporterar uppgifter och mottagaren av överföringen i förväg pröva om den erforderliga skyddsnivån i det berörda tredjelandet uppfylls, och mottagaren måste vid behov meddela den som exporterar uppgifter att han inte kan följa standardavtalsklausulerna. Därefter måste den som exporterar uppgifter avbryta överföringen och/eller säga upp avtalet med mottagaren. Beslut 2010/87 är därför giltigt.

Beslut 2016/1250 är ogiltigt, eftersom de begränsningar av skyddet av personuppgifter som föreskrivs däri – i form av en rätt för amerikanska myndigheter att enligt amerikansk rätt få tillgång till och använda sådana uppgifter som överförs från EU till detta tredjeland – inte är likvärdiga med kraven i unionsrätten, vilka måste överensstämma med proportionalitetsprincipen. Övervakningsprogrammen, som grundar sig på amerikansk lagstiftning, är inte begränsade till vad som är absolut nödvändigt och uppvisar inte på något sätt några begränsningar för deras genomförande. Det framgår inte heller att det finns några garantier för de personer som potentiellt omfattas av dessa program och som inte är amerikanska medborgare. Dessa bestämmelser föreskriver visserligen krav som de amerikanska myndigheterna måste uppfylla vid genomförandet av de berörda övervakningsprogrammen, men de ger inte de berörda personerna några rättigheter som kan göras gällande inför domstol gentemot de amerikanska myndigheterna.

Inte heller den ombudsmanmekanism som nämns i Privacy Shield-beslutet 2016/1250 ger de berörda personerna någon rättsväg till ett organ som skulle erbjuda garantier som i sak vore likvärdiga med de garantier som krävs enligt unionsrätten. Varken oberoendet för den ombudsman som föreskrivs genom denna mekanism är garanterat, eller förekomsten av normer som bemyndigar ombudsmannen att fatta bindande beslut gentemot de amerikanska underrättelsetjänsterna.