Nyhet

Safe Harbour-avtalet ogiltigförklaras

23 oktober 2015

Den 6 oktober upphävde EU-domstolen det 15-år gamla så kallade Safe Harbour-beslutet. Beslutet innebar att det var tillåtet att överföra personuppgifter till organisationer i USA som anslutit sig till de s.k. Safe Harbour-principerna.

Flera stora amerikanska företag har anslutit sig till Safe Harbour-principerna och det finns många svenska företag som har fört över personuppgifter till sådana i företag i USA med stöd av det numera upphävda beslutet. Vi rekommenderar företag som misstänker att de kan beröras av domen att utvärdera sin situation och om nödvändigt vidta åtgärder.

Domen
EU-domstolen har upphävt Safe Harbour-beslutet mot bakgrund av att beslutet inte medgav en tillräcklig skyddsnivå för EU-medborgares personuppgifter. Att beslutet nu ogiltigförklaras har direkta och potentiellt även långtgående konsekvenser för många företag. Utgångspunkten är att överföring av personuppgifter till ett land som inte anses ha en så kallad adekvat skyddsnivå är otillåten. EU-kommissionen har aldrig beslutat att USA har en adekvat skyddsnivå. Däremot har överföring kunnat ske till USA med stöd av Safe Harbour-beslutet.

Konsekvenser
När en överföring av personuppgifter sker till ett land som inte anses ha en adekvat skyddsnivå är överföringen som huvudregel otillåten och i strid med personuppgiftslagen. Över en natt har EU-domstolen alltså väsentligen ändrat förutsättningarna för när en överföring av personuppgifter till USA är tillåten i enlighet med personuppgiftslagen.
 
För att inte riskera att bryta mot personuppgiftslagen kan företag som behandlar personuppgifter behöva utvärdera om några personuppgifter i dagsläget förs över till företag i USA och om det i så fall sker med stöd av Safe Harbour-beslutet. Det kan exempelvis vara fallet för olika typer av IT-tjänster, där personuppgifter överförs till amerikansk leverantör eller till dess koncernbolag/underleverantörer som är företag i USA som har anslutit sig till Safe Harbour-principerna. Ofta framgår det av avtalet med en sådan leverantör att personuppgifter överförs till USA med stöd av Safe Harbour-principerna.

Risker
Hantering av personuppgifter i strid med personuppgiftslagen kan vara straffbart. Straffet är böter eller fängelse. Datainspektionen har, i egenskap av dataskyddsmyndighet, möjlighet att utfärda vitesförelägganden gentemot företag som enligt myndigheten bryter mot personuppgiftslagen. Slutligen kan den som hanterat personuppgifter i strid med personuppgiftslagen vara skadeståndsskyldig gentemot den vars uppgifter har hanterats i strid med lagen och det kan medföra stor badwill för företaget.

Med tanke på att det finns många företag som hittills har förlitat sig på Safe Harbour-undantaget och att EU-domstolen i ett slag har undanröjt ett vanligt förekommande tillvägagångssätt att föra över personuppgifter till USA, så är antagligen risken för allvarliga sanktioner i dagsläget inte överhängande. Allteftersom tiden går kan risken för sanktioner dock komma att öka.

Berörs ditt företag?
Vi rekommenderar företag som misstänker att de kan beröras av domen att utvärdera sin situation och om nödvändigt vidta åtgärder. 

Möjliga åtgärder
Om ett företag konstaterar att det sker en överföring av personuppgifter till USA och att denna ursprungligen har skett med stöd av Safe Harbour-beslutet finns åtgärder som kan vidtas för att förhindra en otillåten överföring av personuppgifter enligt personuppgiftslagen.

  • Utvärdera och implementera andra möjliga lagliga överföringsmetoder som t.ex. användandet av EU-kommissionens modellklausuler eller genom användning av binding corporate rules.
  • Redan ingångna avtal som tillåter överföring av personuppgifter till USA kan justeras till att enbart tillåta överföring till annan EU-medlemsstat eller till tredje land som har en adekvat skyddsnivå.

Vad händer nu?
Domen påverkar samtliga EU-medlemsstater och flera nationella dataskyddsmyndigheter utvärderar domen. Sannolikt kommer flera dataskyddsmyndigheter att få tillfälle att hantera domen och dess konsekvenser inom ramen för deras tillsyn. Den s.k. Artikel 29-gruppen som inkluderar bland annat samtliga EU-medlemsstaters dataskyddsmyndigheter har också gjort ett principuttalande. I uttalandet konstateras att överföringar till USA på basis av Safe Harbour-beslutet är olagliga men att för tillfället kan överföringar på basis av modellklausuler eller binding corporate rules anses utgöra tillåtna överföringar. En bedömning kommer dock att göras i det enskilda fallet för det fall att dataskyddsmyndigheterna tar emot klagomål.

Det finns god anledning att följa utvecklingen till exempel genom att regelbundet besöka Datainspektionens och EU-kommissionens hemsidor.

Vad kan Vinge hjälpa till med?
Hör gärna av dig till oss om du har frågor om de nya reglerna eller om/hur din verksamhet påverkas av det nu ogiltigförklarade Safe Harbour-avtalet.

Kontaktpersoner
Nicklas Thorgerzon, Stockholm  
Jonas Lindblad, Göteborg
Joel Zetterström, Göteborg
Henrik Borna, Malmö & Helsingborg

Wibeke Sorling utnämnd till ny delägare

Med start 1 januari 2022 tillträder Wibeke Sorling som delägare på Vinges Göteborgskontor.
27 oktober 2021

Arbitration proceedings between a Member State and an investor from another Member State further curtailed – the judgment of the EU Court of Justice in PL Holdings

Following the much debated judgment by the CJEU in Achmea, arbitration clauses in bilateral investment treaties between Member States under which an investor in one of those Member States may bring proceedings against the other Member State are considered incompatible with EU law. However, the judgment in Achmea seemed to leave it open whether an arbitration agreement between a Member State and an investor from another Member State not based on such a clause would be considered acceptable by the CJEU. Yesterday’s ruling by the Court in the Swedish case PL Holdings (Case C-109/20) dealt with one aspect of this question, resulting in further limits to investment arbitration in the EU.
27 oktober 2021

Vinge slår upp portarna till IP@Vinge

Den 6 december bjuder vi in till IP@Vinge, en förmiddag i immaterialrättens tecken som samlar några av Sveriges främsta experter på IP-området. Tillsammans med inbjudna gäster diskuterar vi ett antal högaktuella IP-frågor under ledning av jur. dr Ulrika Wennersten.
22 oktober 2021