EU-domstolen (Tribunalen) har den 3 september 2025 meddelat ett viktigt avgörande som bekräftar giltigheten av det nya ramverket för överföring av personuppgifter mellan EU och USA. Domen, som avgjordes i målet T-553/23 Latombe mot Kommissionen, avvisar en talan om att ogiltigförklara EU-kommissionens beslut från juli 2023 som etablerade det så kallade EU-US Data Privacy Framework.
Bakgrunden till målet är den komplicerade historien kring transatlantiska dataöverföringar. Tidigare ramverk för sådana överföringar – först Safe Harbour och sedan Privacy Shield – hade ogiltigförklarats av EU-domstolen i de uppmärksammade Schrems I-domen och Schrems II-domen. Dessa domar slog fast att USA inte erbjöd en skyddsnivå för personuppgifter som var väsentligen likvärdig med den som garanteras inom EU.
Som svar på kritiken antog USA år 2022 en presidentorder som stärkte integritetsskyddet för aktiviteter som utförs av amerikanska underrättelsetjänster. Denna order kompletterades med nya regleringar som etablerade en Data Protection Review Court (DPRC), en specialdomstol för att granska klagomål om databehandling av underrättelsetjänsterna. Efter att ha granskat dessa regeländringar antog EU-kommissionen sitt beslut om ett nytt ramverk för dataöverföring.
Philippe Latombe, en fransk medborgare som använder olika it-plattformar som samlar in och överför hans personuppgifter till USA, väckte talan för att få EU-kommissionens beslut ogiltigförklarat. Hans huvudargument var att DPRC inte är tillräckligt oberoende utan snarare beroende av den verkställande makten, samt att amerikanska underrättelsetjänsters massinsamling av personuppgifter från EU inte är tillräckligt reglerad och kontrollerad.
EU-domstolen avvisade båda argumenten. EU-domstolen konstaterade att DPRC har tillräckliga garantier för oberoende, domare kan endast entledigas av justitieministern av saklig anledning och får inte påverkas otillbörligt. Beträffande massinsamlingen av personuppgifter fastslog EU-domstolen att Schrems II-domen inte kräver förhandsgodkännande utan att efterhandsgranskning av DPRC är tillräckligt.
EU-domstolen betonade också att EU-kommissionen enligt det omtvistade beslutet är skyldig att kontinuerligt övervaka tillämpningen av det rättsliga ramverk som beslutet baseras på. Om det rättsliga ramverket i USA skulle förändras kan EU-kommissionen vid behov besluta att återkalla, ändra eller upphäva beslutet eller begränsa dess räckvidd.
Beslutet kan överklagas till EU-domstolen inom två månader och tio dagar från domen.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: EU-domstol (Tribunalen).
