EUs personvernforordning GDPR er vanskelig nok i seg selv. Schrems II-dommen gjør regelverket enda mer komplisert, særlig i relasjon til USA, ifølge ekspert Eva Jarbekk.
Partneren i Schjødt er en av de fremste ekspertene på personvern i Norge og samarbeider med Karnov Group Norway om lovkommentarene til personvernloven og GDPR.
– Schrems II-dommen er høyst problematisk, innleder Jarbekk.
Avgjørelsen etablerer tilleggskrav for hvordan overføring av personvernopplysninger fra EU til land utenfor unionen, deriblant USA, skal være lovlig. Målet er at europeeres personvern skal bli like godt ivaretatt selv om opplysningene forflyttes ut av EØS-området.
– Dommen er utfordrende fordi USA neppe kommer til å forholde seg til de nye personvernkravene fra EU. De største skytjenestene er amerikanske, og tjenestene de fleste bedrifter benytter seg av har servere i USA. Det får store konsekvenser for bedriftene. Dommen endrer jussen, mens teknologien ikke er endret.
Ifølge eksperten er det ikke bare serverens plassering som har betydning, men hvor personalet som har tilgang til den lagrede informasjonen oppholder seg. Det kan bety kroken på døren for døgnåpen IKT-service for brukerne.
Konsekvensen er at bedrifter må se over avtalene sine. Det er mulig å finne en løsning ved å lage tilleggsvilkår i avtalene, for eksempel om kryptering av data.
Schrems II kommer i kjølvannet av GDPR, som har vært gjeldene rett i EU og Norge siden 2018.
Jarbekk forklarer at det har vært mye forvirring og ulik tolkning av regelverket.
– GDPR er komplisert. Sentrale begreper som "overføring" forklares ikke i lovteksten og du finner ikke nødvendigvis svaret på ulike spørsmål i selve lovteksten. Det kommer stadig nye veiledere fra EU og det begynner å bli svært mange rettskilder. Eksisterende veiledere fra EU utgjør sikkert over en hyllemeter allerede. Det er mye å ha oversikt over.
Jarbekk mener det er et stort behov for gode lovkommentarer på dette feltet. Faren er ellers at jurister og advokater kan gi feil råd.
– Jeg vil derfor gi Karnov en blomst for satsingen på personvern. De sentrale rettskildene er på engelsk og kommer fra EU. Jeg mener derfor at Karnov-løsningen er veldig bra for området.
– Personvern henger sammen med demokratiske prinsipper. Du skal kunne tenke, diskutere og prøve ut ideer uten å frykte å bli overvåket. Dette er det som gjør fagfeltet så spennende: det handler selvfølgelig om bedrifters kommersielle handlingsrom og om verdsettelse av bedrifter, men også om grunnleggende menneskerettighetsprinsipper, avslutter hun.
