I sommer avsa EU-domstolen sin avgjørelse i den såkalte Schrems II-saken som berører virksomheter som benytter seg av amerikanske skytjenester. Domstolen konkluderte med at Privacy Shield-avtalen er kjent ugyldig, og at det må gjøres en konkret vurdering hver gang behandlingsansvarlig vurderer å sende personopplysninger utenfor EU/EØS.
Kjernen i saken er forholdet mellom europeisk personvern og amerikanske overvåkningslover når personopplysninger blir overført fra Europa til USA. Spørsmålet som ble behandlet i EU-domstolen handlet om Privacy Shield og eventuelle andre avtaleverk gav tilstrekkelig beskyttelse av personopplysninger ved slik overføring til land utenfor EU/EØS, spesifikt til USA.
Datatilsynet har lagt ut mer informasjon om grunnlaget for at avtalen ble kjent ugyldig. I tillegg er det gjort en vurdering som gjør at også lagring av personopplysninger i EU/EØS, men på datasenter eid av store USA-baserte skyleverandører kan være problematisk.
Digitaliseringsdirektoratet er i gang med vurderinger av hvilke konsekvenser dette kan innebære og vi har en tid jobbet med problemstillingen sammen med våre leverandører. Veiledere fra det europeiske personvernrådet (EDPB) og dialog med leverandørene er blant det vi tar med oss i våre vurderinger, samt at vi vil trekke nytte av Datatilsynets faglige vurderinger.
Digitaliseringsdirektoratet har ikke fattet beslutninger som gjør at vi kommer til å «flytte hjem» løsninger som er i sky på nåværende tidspunkt. Digitaliseringsdirektoratet jobber videre med problemstillingene og vil i det videre arbeidet dele mer informasjon om saken.