Trump v. Slaughter: amerikanskt domstolsbeslut kan påverka personuppgiftsöverföringar till USA

USA:s högsta domstol har fattat ett beslut i det s.k. Trump v. Slaughter-målet. Domen kan komma att påverka överföringar av personuppgifter till USA och den europeiska dataskyddsstyrelsen (EDPB) har formellt bett EU-kommissionen att granska domens betydelse.

1. Viktiga insikter

• Personuppgifter ges tillräckligt med skydd enligt EU-kommissionen om de överförs till mottagare i USA som har anslutit sig till EU-U.S. Data Privacy Framework (DPF).
• USA:s högsta domstol har kommit fram till att en president har rätt att skilja en ledamot från sitt uppdrag i tillsynsorganet FTC utan särskild grund.
• Domstolens beslut väcker frågan om Federal Trade Commission (FTC) och Privacy and Civil Liberties Oversight Board (PCLOB) fortfarande kan anses vara oberoende och om detta i sin tur påverkar adekvansbeslutets giltighet framöver.
• EDPB har uppmanat EU-kommissionen att utreda om utvecklingen påverkar adekvansbeslutet. I dagsläget finns det fortfarande ett giltigt adekvansbeslut för överföringar till USA.

2. Vanliga frågor

2.1 Vilka mottagare i USA omfattas av det skydd som EU-kommissionen bedömer som tillräckligt enligt DPF?

Personuppgifter ges tillräckligt med skydd enligt EU-kommissionen om de överförs till mottagare i USA som har anslutit sig till DPF.

2.2 Vem ansvarar för att löpande utvärdera ett adekvansbeslut?

EU-kommissionen ansvarar för att löpande utvärdera ett adekvansbeslut. Bedömer EU-kommissionen att USA inte längre kan säkerställa adekvat skyddsnivå kan beslutet återkallas, ändras eller upphävas. Även EU-domstolen kan ogiltigförklara ett adekvansbeslut.

2.3 Finns det i dagsläget ett giltigt adekvansbeslut för överföringar till USA?

I dagsläget finns det fortfarande ett giltigt adekvansbeslut för överföringar till USA.

3. Huvudartikel

3.1 Bakgrund: EU-U.S. Data Privacy Framework

Sedan 2023 finns det ett beslut från EU-kommissionen om att USA uppnår adekvat skyddsnivå, efter att USA gjorde nya åtaganden om skydd för personuppgifter vid överföring – EU-U.S. Data Privacy Framework (DPF). Personuppgifter ges tillräckligt med skydd enligt EU-kommissionen om de överförs till mottagare i USA som har anslutit sig till DPF.

3.2 Domstolens beslut och tillsynsorganens oberoende

När Donald Trump tillträdde som president förra året skiljdes några demokratiska ledamöter från sina uppdrag vid vissa oberoende tillsynsorgan, FTC och PCLOB. En del av ledamöterna startade processer om huruvida det var lagligt att skilja dem från sina uppdrag.

Nu har USA:s högsta domstol kommit fram till att en president har rätt att skilja en ledamot från sitt uppdrag i tillsynsorganet FTC utan särskild grund.

FTC och PCLOB är, som oberoende tillsynsorgan, viktiga för att DPF ska fungera. Domstolens beslut riktar ljuset mot dessa tillsynsorgan och väcker frågan om de fortfarande kan anses vara oberoende och om detta i sin tur påverkar adekvansbeslutets giltighet framöver.

3.3 Utvärdering av adekvansbeslutet

EU-kommissionen ansvarar för att löpande utvärdera ett adekvansbeslut. Bedömer EU-kommissionen att USA inte längre kan säkerställa adekvat skyddsnivå kan beslutet återkallas, ändras eller upphävas.

Även EU-domstolen kan ogiltigförklara ett adekvansbeslut, vilket har hänt vid två tidigare tillfällen för USA (de s.k. Schrems-domarna).

3.4 EDPB:s analys och nuvarande rättsläge

Beslutet analyseras av EDPB där Integritetsskyddsmyndigheten (IMY) deltar. Vidare har EDPB med hänsyn till de potentiella konsekvenserna av domen uppmanat EU-kommissionen att utreda om utvecklingen påverkar adekvansbeslutet.

I dagsläget finns det fortfarande ett giltigt adekvansbeslut för överföringar till USA.

Vi på Delphi fortsätter att följa utvecklingen. Har ni frågor kring rättsläget eller övriga frågor på dataskyddsområdet? Hör av er till oss på Delphi!

Denna artikel är skriven av Vendela Selinder, Thesis Trainee, som arbetar i vårt team av experter inom Dataskydd & Integritet.