{"id":12077,"date":"2021-06-13T18:13:05","date_gmt":"2021-06-13T18:13:05","guid":{"rendered":"https:\/\/dataethics.eu\/?p=12077"},"modified":"2021-06-13T18:13:07","modified_gmt":"2021-06-13T18:13:07","slug":"cloud-regulering-i-eu-og-usa-i-konflikt","status":"publish","type":"post","link":"https:\/\/dataethics.eu\/da\/cloud-regulering-i-eu-og-usa-i-konflikt\/","title":{"rendered":"Cloud regulering i EU og USA i konflikt"},"content":{"rendered":"\n

Af Johnny L\u00fcchau og Birgitte Kofod Olsen<\/em><\/p>\n\n\n\n

Baggrund. I 2013 l\u00e6kkede en whistlebloweren Edvard Snowden interne dokumenter fra en amerikansk efterretningstjeneste. Af dokumenterne fremgik det, at efterretningstjenesten systematisk tapper data fra de store amerikanske virksomheder, uanset hvor i verden de befinder sig.<\/p>\n\n\n\n

Det fremgik ogs\u00e5, at de st\u00f8rste amerikanske tech-virksomheder (Microsoft, Google, Apple, Amazon m.fl.) deltog frivilligt i at give adgang til data.  Kun Apple protesterede imod den amerikanske efterretningstjenestes p\u00e5stand om frivillig deltagelse.<\/p>\n\n\n\n

Amerikansk lovgivning har siden 1981 indeholdt adgang for den amerikanske regering og efterretningstjenester til persondata, der behandles af amerikanske virksomheder. Det g\u00e6lder uanset om oplysningerne vedr\u00f8rer amerikanere eller udl\u00e6ndinge. Det har bl.a. f\u00f8rt til introduktion af overv\u00e5gningsprogrammer som PRISM. Den vide adgang til at overv\u00e5ge personer og f\u00e5 adgang til personoplysninger er is\u00e6r reguleret i US Foreign Intelligence Act (FISA 702) og i en pr\u00e6sidentiel ordre, Executive Order 12333 (EO 12333).<\/p>\n\n\n\n

Amerikansk lovgivning<\/strong><\/p>\n\n\n\n

FISA 702<\/em><\/p>\n\n\n\n

Paragraf 702 i FISA-loven fra 2008 giver den amerikanske regering adgang til at foretage m\u00e5lrettet overv\u00e5gning af udenlandske personer uden for USA. Elektroniske tjenesteudbydere kan tvinges til at yde bistand til at erhverve s\u00e5danne udenlandske efterretningsoplysninger.<\/p>\n\n\n\n

Det betyder, at amerikanske nationale sikkerhedsmyndigheder kan anmode moderselskaber om udlevere persondata, som deres europ\u00e6iske datterselskaber behandler. Adgangen kr\u00e6ver, at en domstol har godkendt indgrebet i en retskendelse.<\/p>\n\n\n\n

EO 12333<\/em><\/p>\n\n\n\n

EO 12333 er udstedt af pr\u00e6sident Reagan i 1981. Den p\u00e5l\u00e6gger NSA at yde administrativ og teknisk st\u00f8tte og indsatser i og uden for USA som er n\u00f8dvendige for at udf\u00f8re funktioner i tilknytning til udvikling og gennemf\u00f8relse af udenrigs-, forsvars-og \u00f8konomiske politikker, og til beskyttelse af USA’s nationale interesser fra udenlandske sikkerhedstrusler. <\/p>\n\n\n\n

Alle myndigheder har pligt til for at forberede og levere efterretninger p\u00e5 en m\u00e5de, der muligg\u00f8r fuld og fri udveksling af oplysninger<\/p>\n\n\n\n

Den pr\u00e6sidentielle ordre betyder, at enhver overf\u00f8rsel af personoplysninger fra Europa til USA er omfattet.<\/p>\n\n\n\n

EU-retten<\/strong><\/p>\n\n\n\n

I EU skal al overv\u00e5gning fra statens side opfylde en r\u00e6kke grundl\u00e6ggende krav til databeskyttelse og retssikkerhed. EU Traktatens Charter om grundl\u00e6ggende rettigheder indeholder tre bestemmelser, der er relevante i forhold til overv\u00e5gning: Retten til respekt for privatliv, retten til beskyttelse af personoplysninger samt en r\u00e6kke krav, der skal v\u00e6re opfyldt, n\u00e5r der foretages indgreb i disse rettigheder.<\/p>\n\n\n\n

EU Charter for grundl\u00e6ggende rettigheder<\/em><\/em><\/p>\n\n\n\n

Artikel 7<\/strong> Respekt for privatliv og familieliv. Enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin kommunikation.<\/p>\n\n\n\n

Artikel 8<\/strong> Beskyttelse af personoplysninger
1. Enhver har ret til beskyttelse af personoplysninger, der vedr\u00f8rer ham\/hende.
2. Disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne form\u00e5l og p\u00e5 grundlag af de ber\u00f8rte personers samtykke eller p\u00e5 et andet berettiget ved lov fastsat grundlag. Enhver har ret til adgang til indsamlede oplysninger, der vedr\u00f8rer ham\/hende, og til berigtigelse heraf.
3. Overholdelsen af disse regler er underlagt en uafh\u00e6ngig myndigheds kontrol.<\/p>\n\n\n\n

Artikel 52, stk. 1<\/strong>: krav om lovhjemmel, proportionalitet og lovligt form\u00e5l<\/p>\n\n\n\n

1. Enhver begr\u00e6nsning i ud\u00f8velsen af de rettigheder og friheder, der anerkendes ved dette charter, skal v\u00e6re fastlagt i lovgivningen og skal respektere disse rettigheders og friheders v\u00e6sentligste indhold. Under iagttagelse af proportionalitetsprincippet kan der kun indf\u00f8res begr\u00e6nsninger, s\u00e5fremt disse er n\u00f8dvendige og faktisk svarer til m\u00e5l af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.<\/p>\n\n\n\n

Persondataforordningen, GDPR<\/em><\/p>\n\n\n\n

Retten til persondatabeskyttelse i Charteret er operationaliseret med EU\u2019s persondataforordning, GDPR, som opstiller specifikke regler til behandling og overf\u00f8rsel af persondata til tredjelande, det vil sige lande udenfor EU.<\/p>\n\n\n\n

EU-dommens praktiske betydning<\/strong><\/p>\n\n\n\n

EU-domstolen har i to sager haft lejlighed til at vurdere, om Charterets grundrettigheder og GDPRs krav til overf\u00f8rsel af persondata til USA er opfyldt. <\/p>\n\n\n\n

Den 17. juli 2020 traf EU Domstolen s\u00e5ledes afg\u00f8relse i en sag anlagt af \u00d8strigske Maximilian Schrems mod Facebook. Schrems II-sagen angik lovligheden af Privacy Shield som grundlag for overf\u00f8rsel af persondata mellem EU og USA. Den fulgte op p\u00e5 en sag, anlagt af Schrems i 2015 om den tidligere Safe Harbour-aftale mellem USA og EU om sikre dataoverf\u00f8rsler. Den aftale erkl\u00e6rede Domstolen for ugyldig.<\/p>\n\n\n\n

Domstolen slog ogs\u00e5 i 2020 fast, at overf\u00f8rsel af persondata til amerikanske virksomheder p\u00e5 baggrund af Privacy Shield-aftalen var i strid med EU Charter for Grundl\u00e6ggende Rettigheder og GDPR. Begrundelsen var, at amerikansk lovgivning ikke kan tilbyde den databeskyttelse, som de essentielle europ\u00e6iske garantier for databeskyttelse kr\u00e6ver.<\/p>\n\n\n\n

Med afg\u00f8relsen fra 2020 slog EU Domstolen ogs\u00e5 fast, at man som dataansvarlig er forpligtet til at sikre, at databeskyttelsen i det tredjeland, man overf\u00f8rer til er \u201dessentially equivalent to EU\u201d, alts\u00e5 at data i det v\u00e6sentligste er beskyttet i samme omfang som i EU.<\/p>\n\n\n\n

Den praktiske betydning af dommen er, at man som dataeksport\u00f8r:<\/p>\n\n\n\n