Nyhetsbrev om nasjonal DPIA for Google Workspace for Education og Microsoft 365

Webinar: Vi leser Latombe-dommen fra EU-domstolen om hvorfor det fortsatt er ok å overføre personopplysninger til USA 

Hei !

Grunnet den geopolitiske situasjonen i verden, får vi mange spørsmål om det fortsatt er ok å overføre personopplysninger til USA. Dette handler om overføringsgrunnlaget, eller adekvansvurderingen til EU-kommisjonen, er gyldig. 

Adekvansvurderingen er som kjent den vurderingen der EU-kommisjonen konkluderte med at når amerikanske virksomheter forplikter seg til å følge «Data Privacy Framework», vil det være trygt å overføre personopplysninger til USA. 

Eller sagt på en mer jussete måte: da vil et tilsvarende beskyttelsesnivå som i EU/EØS etter GDPR være oppnådd.

Det franske parlamentsmedlemmet Philippe Latombe utfordret dette i oktober 2023, og reiste en sak for EU-domstolen. Han hevdet at adekvansvurderingen måtte ugyldiggjøres av flere grunner: 

• De tilsynsmekanismene som var opprettet, oppfylte ikke kravene til en uavhengig og upartisk domstol i EU-charteret
• USA sikret ikke et tilstrekkelig beskyttelsesnivå ved overføring av personopplysninger på grunn av etterretningstjenestenes masseinnsamling av personopplysninger
• Det amerikanske rettsvesenet kan ikke garantere mot automatiserte avgjørelser slik som GDPR artikkel 22 krever
• Data Privacy Framework inneholder for svake sikkerhetsforpliktelser

Du har kanskje lagt merke til at Datatilsynet har referert til dommen og sier at den betyr at norske virksomheter fortsatt kan bruke rammeverket og adekvansbeslutningen som grunnlag for overføring til USA? 

Samtidig understreker også tilsynet at dommen baserer seg på forholdene slik de var i 2023. Det betyr at den ikke vurderer utviklingen de siste årene, noes om betyr at siste ord i saken nok ikke er sagt. 

Og det betyr at Datatilsynets anbefaling om å tenke beredskap og å ha en strategi for alternative løsninger fortsatt gjelder.

Dette er en dom vi tror det er viktig å forstå for deg som driver med personvern.

Derfor inviterer vi til webinar for å lese dommen torsdag 16. oktober kl. 12.00-13.00. 

Meld deg på her! 

Det blir opptak, slik at du som ikke kan delta live kan se på opptaket i etterkant! 
 

Jeg ønsker deg en riktig god, personvernvennlig helg!

Vennlig hilsen 

Ida Thorsrud

prosjektleder nasjonal DPIA

Ps. Hvis du vil lese dommen på forhånd, finner du den her. Men vær oppmerksom på at per dette nyhetsbrevet, er den ikke oversatt til engelsk enda. Det vil komme! 

KS er kommunesektorens organisasjon og representerer alle
norske kommuner og fylkeskommuner.

Jeg ønsker ikke å motta flere nyhetsbrev 

Har du gått glipp av noen nyhetsbrev? Se en fullstendig oversikt her!

Newsletter: Progress on the National DPIA for Google Workspace for Education and Microsoft 365

Reading the Latombe Judgment from the Court of Justice of the European Union – Why it's still OK to transfer personal data to the US

Hi !

Due to the current geopolitical situation, we’re receiving many questions about whether it is still legal to transfer personal data to the US. This concerns whether the legal basis for such transfers—namely, the European Commission’s adequacy decision—is still valid.

As you may know, the adequacy decision is the assessment in which the European Commission concluded that when US companies commit to following the "Data Privacy Framework," it is safe to transfer personal data to the United States.

Or, in more legal terms: this would ensure an equivalent level of privacy protection to that in the EU/EEA under the GDPR.

This decision was challenged by French Member of Parliament Philippe Latombe in October 2023, who brought a case before the Court of Justice of the European Union. He argued that the adequacy decision should be invalidated for several reasons:

• The oversight mechanisms established do not meet the requirements for an independent and impartial court under the EU Charter.
• The United States does not ensure a sufficient level of protection for personal data transfers due to the intelligence services' bulk collection of data.
• The US legal system cannot guarantee protection against automated decisions as required by Article 22 of the GDPR.
• The Data Privacy Framework contains security obligations that are too weak.

You may have noticed that the Norwegian Data Protection Authority has referred to the judgment and stated that it confirms that Norwegian controllers may continue to rely on the framework and the adequacy decision as a basis for data transfers to the US? 

However, the Data Protection Authority also emphasizes that the ruling is based on the situation as it was in 2023. This means that it does not take into account developments in recent years—so the last word on the matter has probably not been said.

In other words, the Authority’s recommendation still stands: you should have contingency plans and a strategy for alternative solutions.

This is a ruling we believe is important for anyone working with privacy and data protection to understand.

That’s why we’re inviting you to a webinar where we will walk through the judgment together: Thursday, October 16th, 12:00–13:00 CEST

Register here!

I wish you a wonderful, privacy-friendly week-end!

Best regards,

Ida Thorsrud

Project manager national DPIA

This newsletter was translated from Norwegian to English with assistance from ChatGPT by OpenAI. While it guided our translation, we made independent editorial choices. Any discrepancies result from this combined approach.

P.S. If you'd like to read the judgment in advance, you can find it here. Please note: that as of this newsletter, the judgment is not yet translated into English, but it will be!

KS is The Norwegian Assosiation of Local and Regional Authorities

Jeg ønsker ikke å motta flere nyhetsbrev 

Have you missed any newsletter? You can read them here!