Nyhet Safe Harbour-avtalet ogiltigförklaras

23 oktober 2015

Den 6 oktober upphävde EU-domstolen det 15-år gamla så kallade Safe Harbour-beslutet. Beslutet innebar att det var tillåtet att överföra personuppgifter till organisationer i USA som anslutit sig till de s.k. Safe Harbour-principerna.

Flera stora amerikanska företag har anslutit sig till Safe Harbour-principerna och det finns många svenska företag som har fört över personuppgifter till sådana i företag i USA med stöd av det numera upphävda beslutet. Vi rekommenderar företag som misstänker att de kan beröras av domen att utvärdera sin situation och om nödvändigt vidta åtgärder.

Domen
EU-domstolen har upphävt Safe Harbour-beslutet mot bakgrund av att beslutet inte medgav en tillräcklig skyddsnivå för EU-medborgares personuppgifter. Att beslutet nu ogiltigförklaras har direkta och potentiellt även långtgående konsekvenser för många företag. Utgångspunkten är att överföring av personuppgifter till ett land som inte anses ha en så kallad adekvat skyddsnivå är otillåten. EU-kommissionen har aldrig beslutat att USA har en adekvat skyddsnivå. Däremot har överföring kunnat ske till USA med stöd av Safe Harbour-beslutet.

Konsekvenser
När en överföring av personuppgifter sker till ett land som inte anses ha en adekvat skyddsnivå är överföringen som huvudregel otillåten och i strid med personuppgiftslagen. Över en natt har EU-domstolen alltså väsentligen ändrat förutsättningarna för när en överföring av personuppgifter till USA är tillåten i enlighet med personuppgiftslagen.
 
För att inte riskera att bryta mot personuppgiftslagen kan företag som behandlar personuppgifter behöva utvärdera om några personuppgifter i dagsläget förs över till företag i USA och om det i så fall sker med stöd av Safe Harbour-beslutet. Det kan exempelvis vara fallet för olika typer av IT-tjänster, där personuppgifter överförs till amerikansk leverantör eller till dess koncernbolag/underleverantörer som är företag i USA som har anslutit sig till Safe Harbour-principerna. Ofta framgår det av avtalet med en sådan leverantör att personuppgifter överförs till USA med stöd av Safe Harbour-principerna.

Risker
Hantering av personuppgifter i strid med personuppgiftslagen kan vara straffbart. Straffet är böter eller fängelse. Datainspektionen har, i egenskap av dataskyddsmyndighet, möjlighet att utfärda vitesförelägganden gentemot företag som enligt myndigheten bryter mot personuppgiftslagen. Slutligen kan den som hanterat personuppgifter i strid med personuppgiftslagen vara skadeståndsskyldig gentemot den vars uppgifter har hanterats i strid med lagen och det kan medföra stor badwill för företaget.

Med tanke på att det finns många företag som hittills har förlitat sig på Safe Harbour-undantaget och att EU-domstolen i ett slag har undanröjt ett vanligt förekommande tillvägagångssätt att föra över personuppgifter till USA, så är antagligen risken för allvarliga sanktioner i dagsläget inte överhängande. Allteftersom tiden går kan risken för sanktioner dock komma att öka.

Berörs ditt företag?
Vi rekommenderar företag som misstänker att de kan beröras av domen att utvärdera sin situation och om nödvändigt vidta åtgärder. 

Möjliga åtgärder
Om ett företag konstaterar att det sker en överföring av personuppgifter till USA och att denna ursprungligen har skett med stöd av Safe Harbour-beslutet finns åtgärder som kan vidtas för att förhindra en otillåten överföring av personuppgifter enligt personuppgiftslagen.

  • Utvärdera och implementera andra möjliga lagliga överföringsmetoder som t.ex. användandet av EU-kommissionens modellklausuler eller genom användning av binding corporate rules.
  • Redan ingångna avtal som tillåter överföring av personuppgifter till USA kan justeras till att enbart tillåta överföring till annan EU-medlemsstat eller till tredje land som har en adekvat skyddsnivå.

Vad händer nu?
Domen påverkar samtliga EU-medlemsstater och flera nationella dataskyddsmyndigheter utvärderar domen. Sannolikt kommer flera dataskyddsmyndigheter att få tillfälle att hantera domen och dess konsekvenser inom ramen för deras tillsyn. Den s.k. Artikel 29-gruppen som inkluderar bland annat samtliga EU-medlemsstaters dataskyddsmyndigheter har också gjort ett principuttalande. I uttalandet konstateras att överföringar till USA på basis av Safe Harbour-beslutet är olagliga men att för tillfället kan överföringar på basis av modellklausuler eller binding corporate rules anses utgöra tillåtna överföringar. En bedömning kommer dock att göras i det enskilda fallet för det fall att dataskyddsmyndigheterna tar emot klagomål.

Det finns god anledning att följa utvecklingen till exempel genom att regelbundet besöka Datainspektionens och EU-kommissionens hemsidor.

Vad kan Vinge hjälpa till med?
Hör gärna av dig till oss om du har frågor om de nya reglerna eller om/hur din verksamhet påverkas av det nu ogiltigförklarade Safe Harbour-avtalet.

Kontaktpersoner
Nicklas Thorgerzon, Stockholm  
Jonas Lindblad, Göteborg
Joel Zetterström, Göteborg
Henrik Borna, Malmö & Helsingborg

Regeringen aviserar om kommande lagändringar för effektivisering av detaljplaneprocessen

Regeringen har i budgetpropositionen för 2021 uttalat en avsikt om att utöka möjligheterna till en privat initiativrätt för enskilda planintressenter att bidra i kommunernas arbete med att ta fram detaljplaner, samt tillskjuta medel för att möjliggöra lagändringarna. I ett tillhörande pressmeddelande anges att syftet är att förenkla och förkorta planprocessen och därigenom möjliggöra snabbare och billigare byggande.
26 oktober 2020

Arbetsrättspodden # 27 – Sant eller falskt – arbetsrättsliga myter

”Det är omöjligt att säga upp en anställd i Sverige.” ”Three strikes and you’re out!” ”En provanställning kan aldrig förlängas.” Det florerar många förutfattade meningar kring anställningsregler och arbetsrättslig lagstiftning. Välkommen till Arbetsrättspodden, podden för dig som arbetar med HR och personalrelaterade frågor eller är nyfiken på arbetsrätt.
21 oktober 2020

Möt Jesper Ekman, ekonomstudenten som tog klivet in i Vinges EU- och konkurrensrättsgrupp

Sommaren 2019 var Jesper Ekman Vinges förste Competition Analyst i vår EU och konkurrensrättsgrupp. Idag har Jesper tagit klivet till en tjänst som Junior Economist i gruppen efter att han avslutat sin master i nationalekonomi. Vi tog tempen på Jesper för att höra mer om hans uppdrag.
20 oktober 2020