Domstol kan trække tæppet væk under Facebook

En østrigsk aktivist anklager Facebook for ulovligt at have overført hans personlige data til USA. Hans kamp har tidligere medført store ændringer. Nu afgør EU-Domstolen, om stikket skal trækkes.

De har mødtes før hos EU-Domstolen, Facebook og den østrigske aktivist Max Schrems, nemlig i 2015, da domstolen grundskød EUs aftale med USA om, at europæiske data lovligt kan overføres til USA. Her ses Max Schrems i retssalen, mens han afventer dommernes afgørelse. Nu mødes de igen, og der står lige så meget på spil. Fold sammen
Læs mere
Foto: Julien Warnand/EPA/Ritzau Scanpix

Nu står de ansigt til ansigt i en skelsættende sag – det amerikanske, børsnoterede selskab Facebook og den østrigske aktivist og jurist Max Schrems, hvis kamp mod at få sine personlige data overført til USA igen kan rive tæppet væk under såvel Facebook som amerikanske og europæiske virksomheder, der lagrer data i USA.

9. juli starter sagen ved EUs højeste juridiske myndighed, EU-Domstolen. Kernen er den aftale, som EU og USA forhandlede på plads på overtid, efter at samme domstol i oktober 2015 kom med den banebrydende afgørelse, at en dengang 15 år gammel aftale om dataoverførsler fra Europa til USA var ulovlig. USA regnes nemlig ikke som et datasikkert land, bl.a. efter Edward Snowdens afsløringer af, hvordan efterretningstjenesten har snablen indenfor hos alle teknologigiganterne.

Højesteret sendte sag til EU

Den gamle aftale, »Safe Harbour« (Sikker havn), var, at EU alligevel accepterer de amerikanske databeskyttelsesregler som tilstrækkelige, hvis de amerikanske virksomheder, som arbejder i Europa, ligesom europæiske virksomheder, der ønsker at lagre data i USA, til gengæld registrerer sig selv hos det amerikanske handelsministerium og erklærer, at de vil overholde EUs langt skrappere dataregler. Det havde 4.410 virksomheder gjort, da aftalen blev kendt ulovlig.

EU og USA indgik efter svære forhandlinger i begyndelsen af februar 2018 en ny aftale, »Privacy Shield« (Privatlivsskjold). Den fik straks kritik fra de europæiske datatilsyn, og Max Schrems anlagde sag mod Facebook ved en irsk domstol. Facebooks europæiske hovedsæde ligger nemlig i Irland, hvorfor sagen skal for dér.

Den irske domstol mente, at spørgsmålet var så stort, at det måtte for EU-Domstolen. Det forsøgte Facebook at få forhindret, men Irlands højesteret besluttede i maj at overhøre Facebooks protester. Derfor kommer sagen nu for EUs højeste retsinstans.

Afgørelse kan ramme hårdt

EU-Domstolen skal tage stilling til, om Facebooks metoder til at overføre brugernes personlige data fra Europa til USA – herunder de juridiske standardklausulkontrakter og hele databeskyttelsesaftalen – er lovlige. Det bliver den første retslige vurdering af den europæisk-amerikanske aftale.

Max Schrems mener ikke, at standardklausulkontrakterne sikrer tilstrækkeligt god databeskyttelse.

Hvis domstolen også underkender den nye aftale, som flere hundrede tusinde virksomheder i både USA og Europa bruger, vil Facebook og de øvrige virksomheder komme i svære problemer.

»Hele dataoverførselssystemet vil blive ramt, og det kan ramme den globale økonomi,« siger Tanguy van Overstraeten, som er global chef for databeskyttelse i advokatfirmaet Linklaters, til nyhedsbureauet Reuters.

Endnu en sejr i Østrig

Alternativet til standardkontrakterne bliver nemlig, at hver eneste bruger på et oplyst grundlag skal godkende, at personlige data må lagres på computerservere, der fysisk står i USA. Det skal ske efter EUs opstrammede databeskyttelsesregler (Persondataforordningen – af mange kendt under den engelske forkortelse GDPR), som blev indført 25. maj 2018. I praksis vil det være nærmest uoverskueligt at håndtere.

Facebook havde ved udgangen af marts, hvor de seneste tal blev offentliggjort, 1,56 milliarder daglige brugere, heraf 286 millioner i Europa.

Den østrigske højesteret afviste i juni Facebooks forsøg på at blokere for den sag, som Max Schrems i Østrig har anlagt mod selskabet for overtrædelse af Persondataforordningen. Han beskylder Facebook for ikke at have en ordentlig privatlivspolitik, for ikke at have skaffet sig oplyst tilsagn fra brugerne og for ulovligt at indsamle og blotlægge data.

»Selv hvis vi vinder en del af sagen, bliver Facebook nødt til at ændre sin forretningsmodel betydeligt,« sagde Max Schrems til østrigske medier efter højesteretsafgørelsen, der samtidig slår fast, at nationale fortolkninger af Persondataforordningen ikke er mulige.