{"id":10162,"date":"2023-08-16T13:13:47","date_gmt":"2023-08-16T13:13:47","guid":{"rendered":"http:\/\/zxx.27a.myftpupload.com\/?p=10162"},"modified":"2023-08-17T08:07:10","modified_gmt":"2023-08-17T08:07:10","slug":"sommarens-stora-handelser-inom-cookies-och-overforingar-av-data-till-usa","status":"publish","type":"post","link":"https:\/\/lwadvisory.se\/en\/sommarens-stora-handelser-inom-cookies-och-overforingar-av-data-till-usa\/","title":{"rendered":"Sommarens stora h\u00e4ndelser inom cookies och \u00f6verf\u00f6ringar av data till USA."},"content":{"rendered":"

I b\u00f6rjan av juli kom tv\u00e5 stora nyheter i veckorna efter varandra \u2013 f\u00f6rst publicerade IMY den 3 juli fyra beslut med kontentan att man uppmanade svenska bolag att sluta anv\u00e4nda sig av Google Analytics d\u00e5 det kan ske en olovlig \u00f6verf\u00f6ring till USA av personuppgifter, f\u00f6r att veckan efter f\u00f6ljas den 10 juli av det l\u00e4nge v\u00e4ntade beslutet kallat EU US Data Privacy Framework (DPF) vilket m\u00f6jligg\u00f6r \u00f6verf\u00f6ringen av personuppgifter till f\u00f6retag i USA om de anluter sig till DPF, n\u00e5got som Google har gjort. Detta inneb\u00e4r att svenska f\u00f6retag, f\u00f6r tillf\u00e4llet, kan anv\u00e4nda sig av Google Analytics och andra tj\u00e4nster fr\u00e5n f\u00f6retag baserade i USA.<\/strong><\/p>\n\n\n\n

DPF bygger p\u00e5 den f\u00f6reg\u00e5ende \u00f6verf\u00f6ringsmekanismen som fanns mellan EU och USA, Privacy Shield, med n\u00e5gra till\u00e4gg varav den viktigaste \u00e4r en m\u00f6jlighet f\u00f6r EU medborgare att f\u00e5 en ev. bearbetning av dennes personuppgifter av myndigheter och s\u00e4kerhetstj\u00e4nster kopplade till USA pr\u00f6vad i en domstolsliknande process. Det sista svarar upp mot ett av de viktigaste kraven som EU domstolen st\u00e4llde f\u00f6r framtida \u00f6verf\u00f6ringar till USA i den s.k. Schrems II domen den 16 juli 2020. En dom som tog bort m\u00f6jligheten att anv\u00e4nda sig av Privacy Shield som \u00f6verf\u00f6ringsmekanism till USA.<\/p>\n\n\n\n

Maximilian Schrems har redan sagt, via hans organisation NOYB (None of Your Business), att han kommer att f\u00f6rs\u00f6ka f\u00e5 DPF pr\u00f6vad i EU domstolen, men det \u00e4r en process som kommer ta ett par \u00e5r. Fram till dess s\u00e5 kan svenska f\u00f6retag anv\u00e4nda sig av f\u00f6retag i USA s\u00e5 l\u00e4nge de har anslutit sig till DPF.<\/p>\n\n\n\n

Men, d\u00e5 vi inte vet s\u00e4kert om DPF kommer att \u00f6verleva en granskning av EU domstolen kan det vara bra att titta p\u00e5 besluten som IMY publicerade den 3 juli och vad man kom fram till. De fyra ber\u00f6rde f\u00f6retagen var Coop, Dagens Industri (DI), Tele2 och CDON.<\/p>\n\n\n\n

IMY inledde sina tillsyns\u00e4renden i samband med att fyra anm\u00e4lningar hade inkommit genom att NOYB samtidigt anm\u00e4lde 101 webbplatser inom EU till samtliga EUs dataskyddsmyndigheter under h\u00f6sten 2020 f\u00f6r webbplatsernas fortsatta anv\u00e4ndning av Google Analytics, med dess \u00f6verf\u00f6ring av ev. personuppgifter till USA, efter det att Schrems II domen vunnit laga kraft. Aktionen fick till f\u00f6ljd att samtliga EU dataskyddsmyndigheter b\u00f6rjade gemensamt unders\u00f6ka fr\u00e5gan, vilket ledde till att man inom EDPB (Europas dataskyddsmyndigheter) kom fram till ett gemensamt grundbeslut i fr\u00e5gan.<\/p>\n\n\n\n

Det gemensamma grundbeslutet inneb\u00e4r att man fr\u00e5n dataskyddmyndigheternas synvinkel ans\u00e5g att det inte var i enlighet att GDPR att anv\u00e4nda sig av Google Analytics med de EUs standardavtalsklausuler (EU SCC) som grund f\u00f6r \u00f6verf\u00f6ringen till USA som g\u00e4llde vid tidpunkten som ligger till grund f\u00f6r anm\u00e4lan, dvs. den 14 augusti 2020. Detta trots att man fr\u00e5n Googles sida anonymiserade de IP-adresser som \u00f6verf\u00f6rdes till USA direkt vid ankomst. Fr\u00e5n EDPBs sida pekade man p\u00e5 att det de facto skett en \u00f6verf\u00f6ring av personuppgifter till USA och att de extra s\u00e4kerhets\u00e5tg\u00e4rder som Google hade gjort vid tillf\u00e4llet f\u00f6r anm\u00e4lan inte var tillr\u00e4ckliga f\u00f6r att hindra att s\u00e4kerhetstj\u00e4nsterna i USA inte skulle kunna komma \u00e5t uppgifterna.<\/p>\n\n\n\n

Det gemensamma beslutet har ledde till att tre europeiska dataskyddsmyndigheter \u2013 \u00d6sterrike, Frankrike och Italien \u2013 publicerade sinatolkningar av beslutet d\u00e4r de uppmanade de inblandade f\u00f6retagen att sluta anv\u00e4nda sig av Google Analyticsverktyget man anv\u00e4nde sig av.<\/p>\n\n\n\n

Det som skiljer IMYs fr\u00e5n de som de tre l\u00e4nderna har publicerat \u00e4r att man i Sverige \u00e4r f\u00f6rst med att l\u00e4gga till en sanktionsavgift i tv\u00e5 av besluten (Tele2 \u2013 13 000 000 SEK och CDON 300 000 Sek respektive). Sk\u00e4let till att Dagens Industri (DI) och Coop sluppit sanktionsavgifter \u00e4r f\u00f6ljande:<\/p>\n\n\n\n