Ingeniørens redaktør for ComplienceTech Louise Olifent opsummerer sagen efter det Europæiske Databeskyttelsesråd for nylig offentliggjorde sine endelige anbefalinger til supplerende foranstaltninger. Spørgsmålene er mange.

Efter EDPBs vejledning om Supplerende foranstaltninger og Datatilsynets vejledning om overførsler til 3. lande, gives der på den baggrund en kort gennemgang af disse, kort sagt en gennemgang af hvad man kan og ikke kan i forhold til overførsler til 3. lande.

In July 2020, the Court of Justice of the European Union (CJEU) ruled on the Schrems II case, invalidating the EU-US Privacy Shield and changing the way organizations manage personal data transfers overnight. Since then, the European Data Protection Board (EDPB) adopted guidelines on “supplementary measures” to ensure compliance with the EU’s level of personal data protection when transferring personal data from the EU to a third country.​ The Schrems II decision has had a big impact on organizations of all shapes and sizes. In this session you’ll learn how both data exporters and importers can operationalize the EDPB’s newly adopted recommendations and safely transfer data by:​

• Identifying data transfers and the mechanisms relied upon ​
• Assessing vendors relying on SCCs ​
• Streamlining the fulfillment and collection of vendor assessments

Med de endelige udgaver af SCC’er og EDPB vejledning - efter Schrems II-sagen - er der ingen undskyldning for ikke at gå i gang med EDPB’s seks faser og at bruge de nye SCC’er i vores kontrakter.

Når vi går i gang med EDPB’s seks faser, vil vi dog i mange tilfælde nå til den konklusion, at det kan være vanskeligt at finde frem til 100 pct. lovlige løsninger i forhold til at bruge US-cloud udbydere, men der er dog heldigvis en flere mulige løsninger i horisonten, herunder et bud på et nyt ”transfer tool” i form af et adfærdskodeks fra cloudbranchen selv, som pt. er under behandling hos EDPB.