Udvalget for Digitalisering og It 2022-23 (2. samling)
DIU Alm.del
Offentligt
2692418_0001.png
Folketinget
Udvalget for Digitalisering og It
Christiansborg
1240 København K
DK Danmark
Dato:
18. april 2023
Kontor:
Databeskyttelseskontoret
Sagsbeh: Anna Rosdahl Christian-
sen
Sagsnr.: 2023-0032/51-0005
Dok.:
2787458
Besvarelse af spørgsmål nr. 30 (Alm. del) fra Folketingets Udvalg for
Digitalisering og It
Hermed sendes besvarelse af spørgsmål nr. 30 (Alm. del), som Folketingets
Udvalg for Digitalisering og It har stillet til justitsministeren den 21. marts
2023. Spørgsmålet er stillet efter ønske fra Lisbeth Bech-Nielsen (SF).
Peter Hummelgaard
/
Louise Black Mogensen
Slotsholmsgade 10
1216 København K.
T +45 7226 8400
www.justitsministeriet.dk
[email protected]
Side 1/3
 DIU, Alm.del - 2022-23 (2. samling) - Endeligt svar på spørgsmål 30: Spm. om konsekvenserne efter Schrems II-dommen om overførelse af persondata til USA og andre tredjelande
Spørgsmål nr. 30 (Alm. del) fra Folketingets Udvalg for Digitalisering
og It:
”Hvad
er konsekvenserne for virksomheder og organisationer i
Danmark efter Schrems II-dommen om overførelse af person-
data til USA og andre tredjelande?”
Svar
:
EU-Domstolen afsagde den 16. juli 2020 dom i Schrems II-sagen, som ved-
rørte spørgsmålet om overførsel af personoplysninger til tredjelande (lande
uden for EU/EØS) i henhold til databeskyttelsesforordningens (GDPR) reg-
ler om tredjelandsoverførsler. Databeskyttelsesreglerne stiller krav om et
overførselsgrundlag, der er det ”instrument”, som skal være på plads, inden
en overførsel kan finde sted. Formålet med dette krav er at tilvejebringe en
tilstrækkelig beskyttelse af personoplysninger, der forlader EU, så EU’s be-
skyttelsesniveau ikke undermineres ved overførslen.
GDPR indeholder forskellige mulige overførselsgrundlag. Schrems II angik
gyldigheden af to konkrete overførselsgrundlag. Det ene var Privacy Shield-
ordningen, og det andet var EU-Kommissionens standardkontraktbestem-
melser.
Privacy Shield-ordningen var baseret på en tilstrækkelighedsafgørelse fra
Europa-Kommissionen, der gjorde det muligt at overføre personoplysninger
til USA, når dataimportøren havde tilsluttet sig ordningen. EU-Domstolen
erklærede i Schrems II-sagen Privacy Shield-ordningen ugyldig, eftersom
ordningen ikke fandtes at leve op til kravene i databeskyttelsesforordningen
og EU-Charteret, bl.a. fordi amerikansk lovgivning ikke satte tilstrækkelige
rammer for de amerikanske myndigheders adgang til personoplysninger,
som blev overført til USA under ordningen.
EU-Domstolen fandt endvidere, at EU-Kommissionens standardkontrakter,
der bl.a. sikrer (beskyttelses)garantier for oplysningerne, som kan mulig-
gøre løbende overførsler til tredjelande, herunder USA, stadig som udgangs-
punkt kunne anvendes som overførselsgrundlag. Domstolen stillede dog en
række yderligere krav til dataeksportører, der anvender standardkontrakter
som overførselsgrundlag. Det medførte, at man som dataeksportør blev for-
pligtet til at sikre sig, at beskyttelsesniveauet i tredjelandet i det væsentligste
svarer til det i EU. Dataeksportøren skal derfor foretage en vurdering af
Side 2/3
 DIU, Alm.del - 2022-23 (2. samling) - Endeligt svar på spørgsmål 30: Spm. om konsekvenserne efter Schrems II-dommen om overførelse af persondata til USA og andre tredjelande
forholdene i det tredjeland, som der ønskes overført personoplysninger til. I
vurderingen skal indgå bl.a. lovgivningen i tredjelandet, herunder myndig-
hedernes (f.eks. efterretningstjenesternes) muligheder for at få adgang til
personoplysninger, kontrollen hermed og de registreredes klagemuligheder.
Hvis vurderingen falder sådan ud, at der er indikationer på risici for beskyt-
telsen, vil dataeksportøren ifølge Schrems II-dommen selv skulle forestå så-
kaldte
”supplerende foranstaltninger”
for lovligt at gennemføre overførslen.
Siden domsafsigelsen har der i EU-regi pågået et opfølgningsarbejde for at
imødekomme usikkerheder om overførselsgrundlaget. Den 13. december
2022 offentliggjorde Kommissionen et udkast til en tilstrækkelighedsafgø-
relse, som har til formål at skabe et nyt grundlag for overførsel af personop-
lysninger fra EU til USA, samt imødegå de mangler, som EU-Domstolen
konstaterede i Schrems II-sagen.
Det Europæiske Databeskyttelsesråd (EDBP) vedtog den 28. februar 2023
en udtalelse vedrørende beskyttelsesniveauet for personoplysninger under
EU-Kommissionens udkast til en tilstrækkelighedsafgørelse. Denne udta-
lelse er alene rådgivende, og EU-Kommissionen skal derfor nu vurdere,
hvilke tiltag udtalelsen giver anledning til.
Herefter skal EU-Kommissionen forelægge sit udkast for det såkaldte Arti-
kel 93-udvalg, der består af repræsentanter for medlemsstaternes regeringer,
inden EU-Kommissionen endeligt kan vedtage afgørelsen. Justitsministeriet
deltager i Artikel 93-udvalget.
Side 3/3