Spændingen var til at tage og føle på forud for den udtalelse, der tirsdag aften landede fra det Europæiske Databeskyttelsesråd, EDPB, om EU-kommissionens udkast til en ny dataaftale med USA – en aftale der vil gøre det muligt for europæiske virksomheder og myndigheder at bruge amerikansk cloud-teknologi i praksis.
Ville EDPB’s udtalelse om aftalen, der formelt går under navnet EU-US Data Privacy Framework, være kritisk? Måske endda så kritisk, at den reelt set ville tvinge kommissionen tilbage til forhandlingsbordet? Muligheden var der, som man også tidligere har kunnet læse i Version2. Men det var ikke det, der skete. I hvert fald ikke, hvis man spørger advokaterne Jesper Langemark og Birgitte Toxværd, som begge beskæftiger sig med GDPR og databeskyttelse.
– Overordnet set peger de på en hel del forbedringer i forhold til den tidligere aftale, for eksempel indførelsen af principperne om nødvendighed og proportionalitet i forhold til indsamling af data, og så forbedret og yderligere retslig kontrol med overvågningen, så det er langt fra, at de skyder aftalen ned,« forklarer Jesper Langemark, som er partner hos Bird & Bird.
– Samtidig anlægger EDPB en kritisk linje og kommer med en række forslag og råd til ændringer i tilstrækkelighedsvurderingen, men det er ikke noget, der for mig at se, vil betyde, at man skal starte forfra eller tilbage til forhandlingsbordet, hvilket er det vigtigste punkt, tilføjer han.
Birgitte Toxværd, der er partner i advokatselskabet Horten, bider mærke i det særdeles diplomatiske sprogbrug i udtalelsen. Især efter at EU-parlamentets borgerrettighedsgruppe, LIBE, i forrige uge kom med en udtalelse, der var markant skarpere i forhold til mangler i dataaftalen.
Kigger man ned over udtalelsen fra det Europæiske databeskyttelsesråd fremgår vendingen ’EDPB vil byde det velkommen, at…’ da også langt flere gange end ’EDPB anbefaler…’
– Jeg tror, at Kommissionen vil se den her udtalelse som EDPBs ønskeliste i stedet for en kravsliste, og jeg tror ikke, at der kommer flere forhandlinger med USA. Det ved EDPB godt, og derfor er de heller ikke altid lige tydelige i forhold til, om deres forslag skyldes, at Kommissionens forslag foruden vil falde under barren for en tilstrækkelighedsvurdering, og om det bare er et forbedringsforslag. Der kunne EDPB godt have spidset pennen en anelse mere, siger hun.
Ingen klar konklusion
Den forrige dataaftale, også kendt som Data Privacy Shield, blev fældet af den såkaldte Schrems II-dom. Så frem mod EDPB’s udtalelse har der været meget fokus på, om rådet ville mene, at EU-kommissionens nye forsøg på at løse problematikken tog højde for kritikpunkterne i dommen.
Birgitte Toxværd, mener, at det store fokus på Schrems-II faktisk ikke står på mål med, hvad der ellers burde have fokus i EDPB’s udtalelse.
– Efter min mening er det mest interessante i den her udtalelse, at EDPB faktisk ikke kommer med en klar konklusion på, hvorvidt de mener, at Data Privacy Framework, DPF, lever op til tredjelandsreglerne eller ej. EDPB vurderer DPF op mod Schrems-II-dommen og EU-domstolens andre afgørelser, men det er for mig at se ikke tilstrækkeligt i forhold til at få et klart svar på, om EDPB vurderer, at USA kan blive et sikkert tredjeland baseret på den her ordning, siger Birgitte Toxværd.
Det mener hun netop er årsag til, at man hos LIBE så en markant stærkere kritik. Hos Borgerretsudvalget har man nemlig taget udgangspunkt i, hvorvidt USA ved at implementere data-frameworket opfylder betingelserne for sikre tredjelande efter artikel 45 i GDPR, mens EDPB netop har kigget isoleret på, om aftalen mellem USA og EU-kommissionen leverer forbedringer i forhold til domstolspraksis.
– Det er to ret forskellige opgaver, som de hver især har løst, og derfor bliver konklusionerne også forskellige, siger hun.
Birgitte Toxværd anfægter dog ikke, at det er grundigt stykke arbejde, EDPB har lavet, blot at den opgave, som der er mest brug for – vurderingen ift. de grundlæggende principper – ikke er blevet løst, understreger hun.
Tonefaldet vil være skrappere
Den analyse er Jesper Langemark dog ikke enig i. Med sine 54 sider er udtalelsen for gennemarbejdet til, at EDPB kunne have overset så vigtig en pointe.
– Det er en meget grundig og gennemarbejdet udtalelse, EDPB har lavet. Jeg vil derfor mene, at hvis de havde observeret, at der er var noget fundamentalt galt i forhold til de grundlæggende regler for tredjelande, så ville de have påtalt det i stedet for, at de forholder sig til, om der er lavet forbedringer i forhold til Schrems-II. I så fald giver de jo en falsk form for tryghed, siger han.
Når det så er sagt, er både han og Birgitte Toxværd enige i, at EDPB holder en særdeles diplomatisk tone.
– Når man ser på, hvor kritiske og restriktive EDPB kan være i andre sammenhænge, så er det langt fra en sønderlemmende kritik. Men de er jo også diplomatiske, så de kan ikke bare svinge deres gummistempel over den her aftale. De udpeger nogle ting, som bør ændres, så de kan have ryggen fri, hvis det ender med, at der kommer en Schrems-III afgørelse på det her. Havde det været en alvorlig kritik, så havde tonefaldet været væsentligt skrappere i denne tekst, vurderer Jesper Langemark.
Vil ikke følge centralt forslag
Et af de mest markante punkter i EDPBs udtalelse angår, hvornår en eventuel vedtagelse af data privacy-frameworket bør træde i kraft. Hos EDPB vil man nemlig byde det velkommen, hvis aftalen først træder i kraft, når USA har haft tid til at implementere de processer, som blev annonceret i det præsidentielle dekret, der er årsagen til, at EU og USA har kunnet indgå en ny dataaftale.
Det er blandt andet her, at de føromtalte principper som proportionalitet og nødvendighed i forhold til indsamling af data til efterretningsarbejdet kommer fra.
Ifølge tidsplanen har USA et år, efter dekretet er blevet vedtaget, til at sørge for, at samtlige amerikanske efterretningsmyndigheder har implementeret de forskellige nye processer og principper i deres praksis.
Det vil sige oktober måned.
– Djævlen kommer uden tvivl til at ligge i detaljen i forhold til det amerikanske dekret, så jeg forstår godt, at EDPB foreslår, at man først vedtager frameworket, når det ligger fast, hvordan de forskellige procedurer bliver implementeret i USA’s efterretningsagenturer, siger Birgitte Toxværd og tilføjer:
– Kigger du på den her special advocate, som skal være med til at håndtere klagesager ved Data Protection Review Court, så ser det efter min mening ud til, at der allerede er kommet et lille twist på rollen i forhold til, hvordan den ser ud i dekretet versus de underliggende ordrer, man har implementeret.
Selvom det er et af de mere opsigtsvækkende konkrete forslag i udtalelsen, er det ikke desto mindre også et af dem, som Jesper Langemark ser mindst sandsynlighed for vil blive fulgt. Igen er der heller ikke tale om en decideret anbefaling, og noget som EDPB insisterer på, men mere i genren ’nice to have’
– Jeg tror ikke, at kommissionen kommer til at afvente, at der bliver opdateret forskellige politikker og praksisser i USA, men de kommer selvfølgelig til at skulle rapportere til EDPB om, hvordan det så er gået med de processer, altså hvordan er de blevet brugt i praksis og giver det anledning til, at der er noget vi skal ind og ændre? Så der vil komme en opfølgning på det område, siger han.
Mindre ændringer kan godt være på bordet
Selvom Jesper Langemark ikke regner med, at kommissionen kommer til at følge opfordringen til at vente på implementeringen i USA, så er det ikke ensbetydende med, at der slet ikke vil komme nogle ændringer i aftalen.
I og med at udtalelsen er så gennemarbejdet, vil det vil være svært for kommissionen at retfærdiggøre helt at affeje alle forslagene. Så nogle af dem vil nok blive tilføjet frem mod sommermånederne. Det kan muligvis betyde, at der kommer nogle mindre forsinkelser i processen, vurderer Jesper Langemark.
– For mig er det en mild kritik, hvor der er både ris og ros. Der er ikke noget i den her udtalelse, som betyder, at kommissionen ikke kan vedtage deres tilstrækkelighedsvurdering. Det kommer nok til at tage lidt længere tid, for der er nogle ting, kommissionen skal ind og rette lidt på, for de kan vise, at de har lyttet til EDPB. Det vil være mit bud, siger han.
Birgitte Toxværd vurderer, at det politiske pres er så stort på grund af de mange uafklarede cloud-kunder blandt europæiske virksomheder og organisationer, at det også vil betyde, at kommissionen har interesse i at haste aftalen igennem – et pres hun udmærket forstår, da Horten, hvor hun arbejder, også har adskillige klienter, der sidder og venter med at rulle cloud-projekter ud, før der er afklaring omkring aftalen.
– Jeg er sikker på, at forslaget til tilstrækkelighedsafgørelsen bliver vedtaget af EU-kommissionen, og så må Max Schrems eller andre jo tage slaget ved EU-domstolen igen. Jeg synes, det er ærgerligt for kontinuiteten og forudsigeligheden for virksomheder og myndigheder. Men så længe det er vedtaget, kan virksomheder og myndigheder selvfølgelig sende oplysninger til USA, siger hun og tilføjer, at hun ikke mener, at Kommissionen gør nogen en tjeneste ved at presse aftalen igennem, mens der er en stor risiko for, at EU-domstolen i en tredje dom om 2 – 3 år vipper den af brættet:
– Jeg ved godt, at forhandlingerne med USA har været langvarige og svære, men for mig at se, ville det være bedre at bruge det halve år ekstra og så stille med noget, der helt sikkert er langtidsholdbart. Der er ingen, der er tjent med det her, heller ikke de amerikanske cloud-udbydere.
