I lys av de siste politiske endringene i USA, står europeiske selskaper overfor en usikker fremtid når det gjelder overføring av personopplysninger til USA. Trump-administrasjonens nylige avsettelse av tre demokratiske medlemmer av Privacy and Civil Liberties Oversight Board (PCLOB) har skapt bekymring for gyldigheten av adekvansbeslutningen som tillater slike overføringer.
PCLOB, et uavhengig føderalt organ, spiller en kritisk rolle i å sikre at amerikanske etterretningsmyndigheter ikke krenker enkeltpersoners rettigheter. Med kun ett medlem igjen stiller mange spørsmål ved hvorvidt det i realiteten vil være noen uavhengig kontroll av etterretningsaktivitet i USA. Dette kan igjen påvirke EU-kommisjonens adekvansbeslutning for USA og sette «EU-US Data Privacy Framework» i spill, ettersom overføringsavtalen er basert på at USA gir tilstrekkelig beskyttelse av personopplysninger.
Det norske Datatilsynet har pekt på at selv om PCLOB for tiden ikke er fulltallig, er intensjonen å utnevne nye medlemmer. De understreker at adekvansbeslutningen fortsatt gjelder, men at situasjonen kan endre seg dersom det tar lang tid å fylle de ledige posisjonene.
I tillegg har Trump-administrasjonen innført presidentordren «Ensuring Accountability for All Agencies», som kan påvirke uavhengigheten til føderale organer som Federal Trade Commission (FTC), som har en sentral rolle i å håndheve personvernprinsippene i EU-US Data Privacy Framework. Dette kan ytterligere påvirke EU-kommisjonens adekvansbeslutning for USA i negativ retning.
Til tross for disse endringene er overføringer til USA fortsatt lovlige. For norske og europeiske selskaper som overfører data til USA er det likevel avgjørende å følge med på utviklingen og være klare til å tilpasse seg mulige endringer og nye reguleringer. Datatilsynet anbefaler:
- Ha en exit-strategi klar i tilfelle adekvansbeslutningen blir opphevet. Dette inkluderer å vurdere alternative løsninger som Standard Contractual Clauses (SCC) for å sikre fortsatt lovlig dataoverføring.
- Ha en klar strategi med fokus på datalagring innenfor EU/EØS
- Sørge for grundig dokumentasjon av personvernkonsekvensvurderinger som tar høyde for eventuelle regelverksendringer