Datakorthuset mellom USA og EU kan rase
Etter innføring av GDPR har dataoverføring mellom USA og EU vært et tema som konstant har vært i diskusjon. Kan amerikanske selskaper behandle persondata fra europeiske borgere? I utgangspunktet ikke, men en rekke avtaler mellom USA og EU har gjort dette mulig.
I 2023 ga EU grønt lys for at europeiske persondata kunne flyte fritt til USA under rammeverket Data Privacy Framework. Dette rammeverket regulerer i dag overføringen av data og sikrer at europeiske selskaper kan bruke tjenester fra Amazon, OpenAI, Microsoft eller Google. Data Privacy Framework var i praksis en kopi av to tidligere avtaler EU-domstoler allerede hadde annulert, men med en stor endring - amerikanske myndigheter skulle føre uavhengig tilsyn med hvordan data fra EU ble behandlet.
Rollen som uavhengig tilsyn ga USA til det amerikanske handelstilsynet FTC og denne uavhengigheten nevnes hele 259 ganger i Data Privacy Framework som regulerer all overførsel av persondata fra EU til USA.
På mandag avgjorde USAs høyesterett at FTC ikke lenger får være uavhengig. Presidenten (altså Trump) skal ha makt over hele den utøvende staten. Også de organene som var ment å holde ham litt på avstand. Hvorfor er en dom i amerikansk høyesterett relevant for oss tenker du kanskje?
Jo, siden all bruk av amerikanske tjenester i Europa bygger krever et lovlig grunnlag til å overføre data, er det veldig relevant at dette lovlige grunnlaget nå ser ut til å være i spill. Dommen i amerikansk høyesterett sørger nemlig for at det ikke lenger føres uavhengig tilsyn og dermed forsvant forutsetningen Data Privacy Framework er bygget på.
Det betyr ikke at det skjer noe i morgen. Formelt gjelder avtalen helt til EU selv opphever den eller en domstol feller den. Det siste tar gjerne to-tre år, men det juridiske grunnlaget er borte allerede nå. De første kravene om at EU må trekke seg ut av avtalen på en ordnet måte er allerede stilt av personvernsaktivisten Max Schrems og organisasjonen NOYB.
At dette kom til å skje var ganske forutsigbart. EU og USA har vært på kollisjonskurs lenge og to ganger har europeiske domstoler sagt at amerikansk overvåkningslovgivning ikke er forenlig med europeisk personvern. To ganger har EU lappet sammen en ny avtale under press fra en bransje som ikke virker å være villige til å flytte dataene sine hjem. Hver gang har avtalene blitt utfordret og falt sammen i domstolene.
Vi har bygget mye av europeisk digital infrastruktur på en antakelse om at amerikansk sky er trygt nok, juridisk sett. Den antakelsen har aldri vært spesielt solid og nå er den på sviktende grunn samtidig som de geopolitiske gnisningene mellom USA og EU er store og avhengigheten av amerikansk AI-teknologi aldri har vært større.