Det formella antagandet av reformpaketet av Europaparlamentet och rådet väntas ske under första halvåret 2016. Förordningen kommer att gälla två år efter antagandet, medan polisdirektivet föreskriver en tvåårig genomförandeperiod. Alla berörda aktörer både inom och utanför EU bör utnyttja den tvååriga övergångsperioden för att förbereda sig för de nya reglerna. Kommissionen kommer att spela en tydlig roll i detta. Under övergångsperioden kommer kommissionen att samarbeta nära med medlemsstaterna, dataskyddsmyndigheter och andra berörda parter för att se till att reglerna tillämpas enhetligt och att alla parter är införstådda med det nya regelverket.

Den 2 februari 2016, efter två års intensiva diskussioner, nådde EU och USA en politisk överenskommelse om det nya regelverket; skölden för skydd av privatlivet i EU och USA. Denna nya överenskommelse består av viktiga nya skyddsåtgärder och säkrar ett högt skydd för EU-medborgares grundläggande rättigheter. Överenskommelsen ger företag på båda sidor av Atlanten som vill göra affärer tillsammans den rättssäkerhet som krävs. Den kommer även att ingjuta ny kraft i det transatlantiska partnerskapet.

När förhandlingarna med USA avslutats kommer kommissionen att överlämna den nya överenskommelsen till artikel 29-arbetsgruppen (som omfattar EU:s dataskyddsmyndigheter) för ett yttrande om den skyddsnivå som fastställts. Dessutom kommer beslutet om adekvat skydd att genomgå ett kommittéförfarande innan det kan antas. Även Europeiska datatillsynsmannen kommer att rådfrågas.

3.2 Vad har förändrats?

Skölden för skydd av privatlivet i EU och USA ger ett robust och effektivt svar på kommissionens 13 rekommendationer och Schrems-domen. Den innehåller ett antal viktiga förbättringar jämfört med den tidigare ramen när det gäller de åtaganden som amerikanska företag måste uppfylla. Den innehåller också viktiga nya åtaganden och detaljerade förklaringar av tillämpliga amerikanska lagar och myndighetspraxis. Till skillnad från sin föregångare omfattar skölden för skydd av privatlivet inte bara kommersiella aktörers åtaganden utan även, vilket är väsentligt och helt nytt i förbindelserna mellan EU och USA, offentliga myndigheters tillgång till personuppgifter också när det gäller nationell säkerhet. Detta är centralt och nödvändigt mot bakgrund av domstolens rättspraxis för att återställa förtroendet för de transatlantiska förbindelserna efter övervakningsavslöjandena.

De viktigaste resultaten av denna nya ordning kan delas in i fyra huvudkategorier:

För det första, tydliga skyldigheter för företag och robust verkställighet: Den nya ordningen kommer att vara mer transparent och innehålla effektivare tillsynsmekanismer för att säkerställa att företag följer de regler som de juridiskt förbundit sig till. Amerikanska företag som vill importera personuppgifter från Europa enligt skölden för skydd av privatlivet måste följa robusta regler för hur personuppgifter ska behandlas och individuella rättigheter garanteras. Detta inkluderar skärpta villkor och strängare ansvarsbestämmelser för företag anslutna till skölden för skydd av privatlivet som överför EU-uppgifter, för exempelvis bearbetning av underentreprenörer, till tredje parter utanför ramen, i USA eller andra tredjeländer (”vidareöverföring”). När det gäller tillsynen har USA:s handelsdepartement förbundit sig att regelbundet och noggrant övervaka hur företagen uppfyller sina åtaganden och sålla bort de företag som falskeligen hävdar att de efterlever reglerna. Företagens åtaganden är juridiskt bindande och verkställbara enligt amerikansk lag av Federal Trade Commission. De företag som inte följer reglerna kommer att ställas inför stränga påföljder.

För det andra, tydliga gränser och skyddsåtgärder avseende den amerikanska regeringens tillgång: För första gången har USA:s regering genom sitt justitiedepartement och den nationella underrättelsetjänsten (Office of the Director of National Intelligence), det högsta organet inom den amerikanska underrättelseverksamheten, gett EU skriftliga utfästelser och garantier för att offentliga myndigheters tillgång i ärenden som rör brottsbekämpning, nationell säkerhet och allmänintresse kommer att omgärdas av tydliga begränsningar, skyddsåtgärder och tillsynsmekanismer. USA kommer också att upprätta en ny tvistlösningsmekanism för ärenden som rör EU-uppgifter och nationell säkerhet genom en ombudsman som kommer att vara oberoende gentemot de nationella säkerhetsmyndigheterna. Ombudsmannen kommer att få i uppdrag att följa upp EU-medborgares klagomål och förfrågningar rörande nationell säkerhet och bekräfta för dem att relevanta lagar har uppfyllts eller att eventuella överträdelser har avhjälpts. Detta är en betydelsefull utveckling som inte bara gäller överföringar som omfattas av skölden för skydd av privatlivet utan gäller alla överföringar av personuppgifter till USA för kommersiella ändamål, oavsett på vilken grund dessa uppgifter överförs.

För det tredje, effektivt skydd av EU-medborgares personliga integritet med flera möjligheter till prövning: Alla som befinner sig i Europa och anser att deras personuppgifter missbrukats i enlighet med den nya ordningen kommer att ha flera ekonomiskt överkomliga och lättillgängliga möjligheter att få sitt ärende prövat i bland annat kostnadsfria alternativa tvistlösningsorgan. Företagen åtar sig att besvara klagomålen inom en fast tidsfrist. Dessutom måste alla företag som hanterar personaluppgifter från Europa intyga att de kommer att efterleva de beslut som fattats av behöriga dataskyddsmyndigheter i EU, vilket andra företag har möjlighet att göra frivilligt. Enskilda personer kan också ta sina klagomål till den ”egna” dataskyddsmyndigheten som genom ett formaliserat förfarande kan hänvisa klagomålen till handelsdepartementet och konkurrensmyndigheten i USA för att underlätta utredningen och lösa ärendet inom en rimlig tidsram. Om detta inte är tillräckligt för att lösa ett ärende kommer man också, som en sista utväg, att kunna vända sig till panelen för skölden för skydd av privatlivet Privacy Shield Panel, en tvistlösningsmekanism med befogenhet att fatta bindande och verkställbara beslut mot amerikanska företag anslutna till skölden för skydd av privatlivet. EU:s dataskyddsmyndigheter kommer dessutom att kunna hjälpa enskilda personer att förbereda sina ärenden. När det gäller klagomål på nationella underrättelsemyndigheters eventuella tillgång kommer, som redan nämnts, en ny ombudsman att inrättas vilket innebär ytterligare en instans att vända sig till för att få upprättelse.

För det fjärde och sista, en årlig gemensam översynsmekanism: Kommissionen kommer genom denna att regelbundet övervaka tillämpningen av skölden för skydd av privatlivet ur alla aspekter, inklusive begränsningar och skyddsåtgärder för tillgång till data i ärenden som rör nationell säkerhet. Kommissionen och USA:s handelsdepartement kommer att utföra granskningen och involvera EU:s dataskyddsmyndigheter och amerikanska nationella säkerhetsmyndigheterna samt ombudsmannen. På detta sätt kommer USA att hållas ansvarigt för sina åtaganden. Men kommissionen kommer inte att nöja sig med det, utan kommer dessutom att ta hjälp av alla andra tillgängliga informationskällor, däribland företagens egna frivilliga insynsrapporter om statlig åtkomstbegäran. Med den årliga översynen går man längre än den nya förordningen som bara föreskriver granskningar minst vart fjärde år, vilket visar på såväl EU:s som USA:s beslutsamhet att försäkra sig om att de nya reglerna verkligen efterlevs.

Denna översyn kommer inte att vara en byråkratisk formalitet utan konsekvenser. Om amerikanska företag eller offentliga myndigheter inte efterlever sina åtaganden kommer kommissionen att aktivera processen för att upphäva skölden. Ett beslut om adekvat skydd får inte förbli tomma ord, vilket domstolen också betonat i Schrems-domen. Amerikanska företag och myndigheter måste snarare blåsa liv i ramen och kontinuerligt se till att den upprätthålls genom att leva upp till sina åtaganden. I de fall där de inte gör det är de dataöverföringsförmåner som följer av ett beslut om adekvat skyddsnivå inte längre motiverade och kommer att tas bort.

3.3 Det fortsatta arbetet

De åtagandena som godkänts av USA enligt skölden för skydd av privatlivet kommer att ligga till grund för, och återspeglas i, ett nytt kommissionsbeslut om adekvat skyddsnivå. Företag uppmuntras att redan nu börja förbereda sig så att den nya ramen kan införlivas så snart som möjligt efter det att den antagits genom kommissionsbeslut. Den amerikanska regeringen kommer å sin sida att publicera sina synpunkter i det federala registret (U.S. Federal Register), och därmed offentligt redogöra för sina åtaganden.

Skölden för skydd av privatlivet i EU och USA kräver insatser från många aktörer:

De amerikanska företag som anslutit sig måste uppfylla sina skyldigheter enligt ramen i full vetskap om att den kommer att tillämpas strikt och att de kommer att straffas om de bryter mot den. För att öka förtroendet hos sina kunder uppmuntras företagen också att välja EU:s dataskyddsmyndigheter för att lösa klagomål inom ramen för skölden för skydd av privatlivet, eftersom det är till dessa myndigheter EU:s medborgare mest sannolikt kommer att vända sig. Den utsträckning i vilken företag är beredda att utnyttja sina möjligheter att enligt amerikansk lagstiftning publicera insynsrapporter när åtkomst begärs av EU-uppgifter för ändamål som rör nationell säkerhet och brottsbekämpning kommer också att bidra till att upprätthålla förtroendet för att detta begränsas till vad som är nödvändigt och proportionerligt.

De amerikanska myndigheter som ansvarar för tillsynen av ramen och att samtidigt respektera begränsningar och skyddsåtgärder när det gäller tillgången till uppgifter för ändamål som rör brottsbekämpning och nationell säkerhet, och de som anförtrotts uppgiften att effektivt och inom rimlig tid bemöta klagomål från EU-medborgare om eventuella missbruk av deras personuppgifter.

EU:s dataskyddsmyndigheter som spelar en viktig roll i att säkra enskilda individers möjligheter att effektivt utnyttja sina rättigheter enligt skölden för skydd av privatlivet, bland annat genom att föra deras klagomål vidare till behöriga myndigheter i USA och samarbeta med dessa, och utlösa ombudsmannamekanismen för att hjälpa de klagande att ta sina ärenden till panelen för skölden för skydd av privatlivet (Privacy Shield Panel) samt övervaka överföringarna av personaluppgifter.

Kommissionen är ansvarig för att fatta beslut om adekvat skyddsnivå och regelbundet granska ramen. Denna regelbundna översyn är en betydlig förbättring jämfört med den tidigare statiska situationen genom att den adekvata skyddsnivån enligt skölden för skydd av privatlivet omvandlas till en noga övervakad, föränderlig ram.