Man kan overføre personopplysninger fritt innad i EØS, mens det som hovedregel er forbudt å overføre personopplysninger ut av EØS. Det finnes imidlertid noen unntak fra hovedregelen, og ett av dem er at EU-kommisjonen kan «godkjenne» enkeltland gjennom såkalte adekvansbeslutninger. I dag fikk USA en slik adekvansbeslutning som innebærer at hvis en amerikansk virksomhet står på lista over godkjente virksomheter (dataprivacyframework.gov), kan man overføre personopplysninger til den som om det var en europeisk virksomhet.

Man må fortsatt følge de andre reglene i personvernforordningen, for eksempel ha behandlingsgrunnlag eller databehandleravtale for å dele personopplysninger med andre.

– En vinn-vinn-situasjon

– En adekvansbeslutning gjør det enkelt for virksomheter å overføre personopplysninger til et bestemt land samtidig som det er på plass tiltak for å beskytte individenes rettigheter – i utgangspunktet en vinn-vinn-situasjon, sier sjef for internasjonal seksjon i Datatilsynet, Tobias Judin.

USA har hatt adekvansbeslutninger tidligere, men disse har blitt kjent ugyldige av EU-domstolen. I Schrems II-dommen fra sommeren 2020 sa EU-domstolen at det amerikanske beskyttelsesnivået for personopplysninger var for lavt, og konsekvensen var at det i utgangspunktet ble forbudt å overføre personopplysninger til USA. Dommen medførte store vanskeligheter for norske virksomheter som bruker amerikanske tjenester.

Styrket personvern

Etter Schrems II-dommen har EU-kommisjonen og USA vært i forhandlinger. Resultatet er at USA nå har endret sin etterretningslovgivning for å styrke personvernet, og de har innført bedre rettigheter for individer.

– Vi er glade for at personvernet i USA har blitt bedre og for at det nå blir mye lettere for norske virksomheter å forholde seg til personvernregelverket, sier Judin.