EU-kommissionen reagerar sent på Brexit

I fredags, den 19 februari, inledde EU-kommissionen arbetet med att fatta beslut i frågan om adekvat skyddsnivå för personuppgifter för Storbritannien. Det sker alltså över ett år efter att Storbritannien lämnade EU den 31 januari 2020.

Enligt art. 44 EU:s dataskyddsförordning får personuppgifter inte överföras till tredjeland eller internationella organisationer, om inte något av undantagen i art. 45, 46 eller 49 är tillämpligt. Med tredjeland menas varje land utanför EU eller EES. Orsaken är att dataskyddsförordningen ger ett mycket gott skydd för personuppgifter, vilket bara få länder utanför EU och EES gör.

Enligt art. 45 får EU-kommissionen fatta beslut om att ett visst land eller en internationell organisation har adekvat skyddsnivå för personuppgifter. Besluten grundar sig på landets lagar och de institutioner i landet som ser till att lagarna följs. Med ett beslut om adekvat skyddsnivå för ett visst land, behöver inga andra undantag för överföring av personuppgifter till det landet åberopas. Gällande beslut om adekvat skyddsnivå finns för Andorra, Argentina, Färöarna, Guernsey, Israel, Japan, Jersey, Kanada (begränsat till kommersiella organisationer), Nya Zeeland, Schweiz och Uruguay. EU-kommissionen förhandlar för närvarande med Sydkorea om adekvat skyddsnivå. 

Överföring av personuppgifter är viktigt och underlättar fri rörlighet för människor, gods och inte minst information mellan länder. Ett starkt skydd för personuppgifter är lika viktigt. Storbritannien har infört en nationell lagstiftning som motsvarar EU:s dataskyddsförordning och det bör inte vara svårt att konstatera att den är tillräcklig. 

I avtalet mellan EU och Storbritannien om Storbritanniens utträde ur EU fanns en övergångsbestämmelse om att Storbritannien skulle ses som ett EU-land fram till den 31 december 2020 när det gällde dataskyddsbestämmelser. Den 24 december 2020 slöt EU och Storbritannien ett frihandelsavtal, enligt en av reglerna i det avtalet räknas Storbritannien som ett land som har adekvat skyddsnivå i fyra månader, vilket kan förlängas med ytterligare två månader, och vilket upphör att gälla om EU-kommissionen fattar beslut om adekvat skyddsnivå för Storbritannien.

Det märkliga är att EU-kommissionen inleder arbetet med att ta fram ett beslut om adekvat skyddsnivå för Storbritannien över ett år efter att Storbritannien lämnade EU. Varför har EU-kommissionen inte inlett detta arbete tidigare? Jag hade tänkt mig att EU-kommissionen skulle genomföra arbetet under 2020 och fatta ett beslut innan årsskiftet. I så fall hade det inte behövts någon övergångsbestämmelse om överföring av personuppgifter i frihandelsavtalet. 

Tyvärr har jag inte hittat någon förklaring till att EU-kommissionen påbörjar arbetet först nu. Arbetet måste vara försenat. Det måste finnas orsaker till förseningen. Kanske vill EU-kommissionen inte offentliggöra dessa orsaker. 

Förhoppningsvis kommer det ett beslut om adekvat skyddsnivå avseende Storbritannien innan den tillfälliga bestämmelsen enligt frihandelsavtalet slutar att gälla. Om det inte hinner komma, kan jag inte se annat än att orsaken är att EU-kommissionen reagerar sent på Brexit. Det är tråkigt.