Uttalande om EU-kommissionens beslut om adekvat skyddsnivå i USA
Idag utfärdade Europeiska kommissionen ett nytt beslut om adekvat skyddsnivå som ersätter beslutet om "Privacy Shield", som tidigare ogiltigförklarades av EU-domstolen (CJEU) avseende amerikansk övervakning. EU-domstolen krävde (1) att USA:s övervakning är proportionerlig i den mening som avses i artikel 52 i stadgan om de grundläggande rättigheterna (CFR) och (2) att det finns tillgång till rättslig prövning, i enlighet med artikel 47 i CFR. Den uppdaterade amerikanska lagen (Executive Order 14086) verkar inte uppfylla båda kraven, eftersom den inte förändrar situationen jämfört med den tidigare gällande PPD-28. Det finns en fortsatt "bulkövervakning" och en "domstol" som inte är en verklig domstol. Därför kommer ett "beslut om adekvat skyddsnivå" från EU som baseras på Executive Order 14086 sannolikt inte att tillfredsställa EU-domstolen.
Som framgick av noybs tidigare uttalande om den amerikanska exekutiva ordern 14086 verkar förändringarna i den amerikanska lagstiftningen vara ganska minimala. Vissa ändringar, t.ex. införandet av proportionalitetsprincipen eller inrättandet av en domstol, låter lovande - men vid närmare granskning blir det uppenbart att Executive Order överdriver och underpresterar när det gäller skyddet för personer som inte är medborgare i USA. Det förefaller uppenbart att EU:s eventuella "beslut om adekvat skyddsnivå" som baseras på Executive Order 14086 sannolikt inte kommer att tillfredsställa EU-domstolen. Detta skulle innebära att den tredje uppgörelsen mellan den amerikanska regeringen och EU-kommissionen kan misslyckas.
Max Schrems:"Vi kommer att analysera utkastet till beslut i detalj de närmaste dagarna. Eftersom utkastet till beslut baseras på den kända exekutiva ordern kan jag inte se hur detta skulle överleva en utmaning inför EU-domstolen. Det verkar som om Europeiska kommissionen bara utfärdar liknande beslut om och om igen - i flagrant strid med våra grundläggande rättigheter."
Utkastet till beslut kommer nu att granskas av Europeiska dataskyddsstyrelsen (EDPB) och EU:s medlemsstater. Även negativa uttalanden från EDPB och medlemsstaterna är dock inte bindande för kommissionen. När beslutet väl har offentliggjorts kan europeiska företag förlita sig på det när de skickar uppgifter till USA. Det slutliga beslutet väntas inte förrän våren 2023. Användare kan sedan överklaga beslutet via nationella och europeiska domstolar.
