I 1858, da ingeniører la den første kommunikasjonskabelen mellom Storbritannia og USA, var den store utfordringen å presse landenes telegrafsignaler ned en enkelt ledning. Siden den gang har offentlig og privat sektor kjørt tusenvis av mil med fiberoptisk kabel under Atlanterhavet som overfører terabit data per sekund. I disse dager er hindringene for transatlantisk datautveksling ikke teknologiske – de er lovlige.
EU etablerte to ganger personvernregler for utveksling av data om sine borgere med USA, som også styrte Storbritannia som EU-medlem. Etter at begge disse ble dømt ulovlige, flyttet blokken for å opprette en tredje. Tre år etter at de forlot Europa, har Storbritannia forhandlet frem sin egen tilstrekkelighetsavtale med USA. Hvordan går det?
Hvordan kom vi hit?
EU og USA etablerte sin Privacy Shield-avtale om datatilstrekkelighet i 2016 etter en vellykket juridisk utfordring til den opprinnelige Safe Harbor-avtalen. Privacy Shield tillot amerikanske selskaper å selvsertifisere med det amerikanske handelsdepartementet for å motta data fra europeiske selskaper.
Etter å ha utfordret Safe Harbour, utfordret den østerrikske advokaten Max Schrems Privacy Shield igjen i retten, og EU-domstolen (CJEU) ugyldiggjorde den i juli 2020. Siden den gang har britiske bedrifter som ønsker å utveksle data med USA, måttet stole på standard kontraktsklausuler (SCC-er). Disse avtalene mellom selskaper tillater datautveksling, men de krever mer arbeid å implementere. Storbritannia har erstattet SCC-er med sin internasjonale dataoverføringsavtale (ITDA), selv om den fortsatt tillater folk å bruke EUs SCC-er ved å anvende et spesielt britisk tillegg.
SCC-er og ITDA-er kan støtte ad hoc bilateral datautveksling mellom organisasjoner, men en standard mellomstatlig paraplyavtale vil gjøre ting enklere for bedrifter. Så, løpet har gått for å etablere et alternativ til Privacy Shield.
Klekker ut en avtale mellom Storbritannia og USA
Storbritannia har jobbet med sin egen datatilstrekkelighetsavtale med USA parallelt med EU. I august i fjor utstedte Storbritannia en felles uttalelse om denne planen med USA, som kombinerer grenseoverskridende datastrømmer med en rekke teknologiinitiativer som spenner fra telekommangfold til kvantedatabehandling.
UK Department for Digital, Culture, Media & Sport (DCMS) går gjennom fire stadier i sine datatilstrekkelighetsvurderinger med andre land: portvakt, vurdering, anbefaling og prosedyre. Portvakt er når departementet bestemmer om det i det hele tatt skal starte en tilstrekkelighetsvurdering av en nasjon. Under en vurdering samler og tolker den data om det aktuelle landet basert på en standardmal før den gir en anbefaling til statssekretæren. Sekretæren rådfører seg deretter med Information Commissioner's Office (ICO) om hvorvidt det skal fastslås tilstrekkelighet. Når dette stadiet er over, produserer departementet lovgivning i Stortinget.
DCMS tilbyr ikke en spesifikk dato for fullføring av denne prosessen for tilstrekkelighetsavtalen mellom Storbritannia og USA, men den har kommet langt. I oktober i fjor tok både EUs og Storbritannias tilstrekkelighetsforhandlinger med USA et skritt fremover da Det hvite hus utstedte en Executive Order on Enhancing Safeguards for United States Signals Intelligence. Den lovte å etablere en databeskyttelsesdomstol som ville gi enkeltpersoner i Storbritannia og EU en måte å bestride all bruk av dataene deres av amerikanske myndigheter.
Dette gledet DCMS, som utstedte en uttalelse der de roste det amerikanske tiltaket og lovet å utarbeide tilstrekkelighetsforskrifter for parlamentet tidlig i år. I januar startet den britiske utenriksministeren for DCMS, Michelle Donelan, og amerikanske tjenestemenn det første møtet i den omfattende dialogen mellom USA og Storbritannia om teknologi og data. De to landene ble enige om å ferdigstille og implementere en databro for dataflyt mellom USA og Storbritannia «i 2023».
Hva skjer nå?
Den amerikanske tilstrekkelighetsavtalen er ikke Storbritannias eneste initiativ. Internasjonale dataflyter er en del av den nasjonale datastrategien. Regjeringen forfølger også tilstrekkelighetsavtaler med Australia, Republikken Korea, Singapore, Dubai International Financial Centre og Colombia. Avtaler med India, Brasil, Kenya og Indonesia er på oppgavelisten.
Politico rapporterte at EU ville ta rundt seks måneder å implementere det transatlantiske personvernrammeverket mellom EU og USA, som ble avtalt i oktober. Det betyr at vi forventer det en gang rundt neste måned. Storbritannia kan være i ferd med å innrette sine juridiske prinsipper før de dropper amerikansk tilstrekkelighetslovgivning i Parlamentet. Likevel vil det forhåpentligvis ikke ta mye lenger tid før det kan innrette seg etter EUs kunngjøring.
Inntil de ser disse detaljene, ser advokater på presidentordren for veiledning. Noyb.eu, den ideelle personverngruppen som Schrems grunnla, har allerede uttrykt bekymring for manglende personvernbeskyttelse for EU-borgere i det dokumentet. Organisasjonen har kritisert den for å være svakere enn GDPR og gi rom for at amerikanske etterretningstjenester kan fortsette masseovervåking. Denne kritikken antyder at juridiske problemer knyttet til avtalen kan være i vente før den i det hele tatt er vedtatt.
Den britiske regjeringen, som allerede planlegger å avvike fra GDPR med svakere regler for databeskyttelse, er kanskje ikke like bekymret for disse problemene, men motstanderne kan være det. Mens data bare tar millisekunder å reise over havet, tar juridiske og politiske intriger litt lengre tid.
