Ny usikkerhed om EU-US dataaftale efter amerikansk højesteretsdom

EU’s nuværende aftale om overførsel af persondata til USA er kommet under pres, efter en nylig afgørelse fra den amerikanske højesteret rejser tvivl om et af de centrale fundamenter: tilsynets uafhængighed. Samtidig varsler privatlivsorganisationen Noyb en ny juridisk udfordring mod aftalen.

Det fremgår bl.a. af en nyhed som Computerworld har bragt.

Højesteretsdom udfordrer grundlaget

Data Privacy Framework (DPF), der trådte i kraft i 2023, er designet til at sikre et tilstrækkeligt beskyttelsesniveau for europæiske persondata, når de overføres til USA. En central forudsætning er, at tilsynet med databeskyttelse føres af en uafhængig myndighed.

Her har USA hidtil fremhævet Federal Trade Commission (FTC) som netop en sådan uafhængig instans.

Den forudsætning er nu blevet udfordret. I sagen “Trump vs. Slaughter” har den amerikanske højesteret fastslået, at præsidenten har ret til at afskedige medlemmer af FTC. Afgørelsen markerer et brud med tidligere praksis og læner sig op ad den såkaldte Unitary Executive Theory, hvor præsidenten har fuld kontrol over den udøvende magt.

Konsekvensen er, at FTC i praksis kan betragtes som politisk underlagt – og dermed ikke uafhængig i den forstand, som EU-retten forudsætter.

Centralt element i aftalen under pres

Uafhængigt tilsyn er et bærende element i EU’s vurdering af, om tredjelande tilbyder et beskyttelsesniveau, der svarer til EU’s. Netop dette kriterium har været afgørende i tidligere afgørelser fra EU-Domstolen, hvor forgængerne til DPF – Safe Harbor og Privacy Shield – blev annulleret.

Den aktuelle situation gentager et velkendt mønster: En ny transatlantisk dataaftale etableres, hvorefter dens retlige grundlag hurtigt bliver genstand for prøvelse.

Udfordringen stopper ikke ved selve DPF. Dommen kan også få betydning for andre overførselsmekanismer som:

• Standard Contractual Clauses (SCC)
• Binding Corporate Rules (BCR)

Disse bygger på konsekvensanalyser, der netop har forudsat et uafhængigt amerikansk tilsyn.

Noyb forbereder ny sag

Som reaktion på udviklingen har Max Schrems og organisationen Noyb (None of your business) sendt et formelt brev til Europa-Kommissionen med en opfordring til at ophæve Data Privacy Framework.

Samtidig forbereder organisationen et nyt søgsmål med henblik på at få aftalen prøvet ved EU-Domstolen. En sådan sag – ofte omtalt som en potentiel “Schrems III” – forventes at kunne tage flere år, før der foreligger en afgørelse.

Schrems har tidligere haft afgørende indflydelse på området. Hans to tidligere sager førte til, at EU-Domstolen underkendte henholdsvis Safe Harbor i 2015 og Privacy Shield i 2020, begge med henvisning til utilstrækkelig beskyttelse af europæiske borgeres data i USA.

Politisk påvirkning i centrum

Den konkrete højesteretssag udspringer af en fyring af en FTC-kommissær i 2025, som efterfølgende blev prøvet ved domstolene. Højesterettens afgørelse bekræfter, at sådanne indgreb er lovlige.

Dermed styrkes opfattelsen af, at amerikanske tilsynsmyndigheder kan påvirkes af den siddende administrations politiske prioriteringer. Dette er netop en af de bekymringer, som europæiske databeskyttelseseksperter længe har haft i relation til overførsel af persondata.

Data Privacy Framework er allerede genstand for en verserende sag ved EU-Domstolen – den såkaldte Latombe-sag. Indtil nu har det været usikkert, om yderligere sager ville blive anlagt parallelt.

Den nye udvikling i USA kan imidlertid ændre dette billede og åbne for en bredere juridisk prøvelse af hele aftalekomplekset.

Mulige konsekvenser

Hvis EU-Domstolen igen underkender en transatlantisk dataaftale, vil det have vidtrækkende konsekvenser. Et stort antal europæiske organisationer er i dag afhængige af DPF til lovlig overførsel af persondata til amerikanske tjenesteudbydere.

Et sammenbrud af aftalen vil skabe et juridisk tomrum og øge presset på alternative mekanismer, som allerede opererer under skærpet juridisk scrutiny.

Samtidig ses der tegn på en bredere udvikling, hvor EU-lande i stigende grad fokuserer på digital suverænitet og amerikanske leverandører forsøger at etablere databehandling isoleret i EU.

Udviklingen peger på, at usikkerheden omkring transatlantiske dataoverførsler langt fra er afklaret – og at endnu et opgør kan være under opsejling.