Kommisjonsbeslutning om tilstrekkelig beskyttelsesnivå for personopplysninger i USA gjennom personvernrammeavtalen

Status

Rettsakten ble vedtatt i EU 10. juli 2023. I henhold til personopplysningsforskriften § 2 gjelder beslutningen fra samme tidspunkt også i Norge. Rettsakten har dermed allerede virkning for Norge. 

Sammendrag av innhold

Personvernrammeavtalen sikrer at personopplysninger får tilsvarende beskyttelsesnivå som i EØS når de overføres til USA. Beslutningen fastsetter at USA, etter vilkår fastsatt i rammeavtalen, vurderes å ha et tilfredsstillende beskyttelsesnivå for personopplysninger, jf. personvernforordningen artikkel 45, ofte omtalt som en adekvansbeslutning. Det innebærer at personopplysninger etter rammeavtalen kan flyte fritt og sikkert mellom Norge og USA forutsatt at de vilkår avtalen stiller er oppfylt. Avtalen erstatter den tidligere Privacy Shield avtalen, som ble kjent ugyldig av EU-domstolen (Schrems-2 dommen).

Avtalen er basert på et sertifiseringssystem der amerikanske virksomheter må sertifisere seg gjennom en prosess som bekrefter at de overholder kravene i personvernrammeavtalen, et detaljert sett av forpliktelser. Dette sikrer at europeiske borgere har de samme personvernrettighetene, f.eks. rett til innsyn, rettig og sletting av personopplysninger, som de har når opplysninger om dem behandles i EØS-landene. Beskyttelsen må også sikres ved all videre overføring av personopplysningene.

Videre omfattes klagemuligheter, blant annet en voldgiftsordning. Det skal også etableres en uavhengig tilsynsmyndighet i USA for å føre tilsyn med de sertifiserte virksomhetene og håndheve avtalen. Avtalen inneholder også en «executive order» fra president Biden. Denne gir sikkerhetstiltak som begrenser amerikanske etterretningsmyndigheters tilgang til europeiske borgeres personopplysninger.

Merknader
Rettslige konsekvenser

Beslutningen krever ingen endringer i norsk regelverk. Beslutningen fastsetter i fotnote 14 til fortalepunkt 7 at når avtalen omtaler EU eller EU-landene skal det forstås slik at det også omfatter EØS-landene. Norge er dermed omfattet av de rettigheter avtalen gir. 

Økonomiske og administrative konsekvenser

Rettsakten legger til rette for enklere flyt av personopplysninger fra Norge til USA.Norske selskaper antas å få stor nytte av beslutningen, på linje med EU-landene, ved at overføring av personopplysinger kan skje i samsvar med bestemmelsene i beslutningen, uten å gå veien om mer omfattende krav i personvernforordningen kapittel V. Dette vil gi økonomiske og administrative besparelser for både næringslivet og offentlige organer. 

Sakkyndige instansers merknader

Rettsakten følger hurtigprosedyren og har ikke vært behandlet i spesialutvalget. 

Vurdering

Kommisjonsbeslutningen anses EØS-relevant og akseptabel og anbefales innlemmet i EØS-avtalen vedlegg XI.

Andre opplysninger

Nøkkelinformasjon

Institusjon:	Kommisjonen
Type rettsakt:	Vedtak/beslutning
KOM-nr.:	KOM(2023)4745
Rettsaktnr.:	(EU)2023/1795
Basis rettsaktnr.:	(EU)2016/679
Celexnr.:	32023D1795

EFTA-prosessen

Dato mottatt standardskjema:	22.09.2023
Frist returnering standardskjema:	06.10.2023
Dato returnert standardskjema:
EØS-relevant:	Ja
Akseptabelt:	Ja
Tekniske tilpasningstekster:	Nei
Materielle tilpasningstekster:	Nei
Art. 103-forbehold:	Nei

Norsk regelverk

Endring av norsk regelverk:	Nei
Høringsstart:
Høringsfrist:
Frist for gjennomføring:

Lenker

• Kommisjonens forslag
• EU-tidende