Tilbakeføring av personopplysninger fra databehandler til behandlingsansvarlig – Schrems II og forbeholdet i den nye standardavtalen for overføring av personopplysninger til tredjeland

Abstract

Masteroppgaven handler om tilbakeføring av personopplysninger til tredjeland. Problemstillingen er om det gjelder et krav om ytterligere sikkerhetstiltak, et krav som ble introdusert av EU-domstolen i Schrems II-saken, når en databehandler skal overføre personopplysninger tilbake til den behandlingsansvarlige. I forlengelsen av Schrems II, vedtok EU-kommisjonen en ny standardavtale for overføring av personopplysninger til tredjeland. I denne standardavtalen har Kommisjonen tatt et forbehold som innebærer at databehandler er unntatt tilleggskravet i Schrems II når den skal tilbakeføre personopplysninger til behandlingsansvarlig. Ut fra Kommisjonens forståelse av Schrems II, er svaret på oppgavens problemstilling at databehandleren ikke er underlagt kravet om ytterligere sikkerhetstiltak. Når jeg i denne oppgaven velger å oppstille en problemstilling som synes å være avklart av Kommisjonen, er det for å problematisere om Kommisjonen hadde rettslig grunnlag for å ta et slikt forbehold. Jeg tar stilling til om forbeholdet er forenlig med GDPR og Schrems II, med sikte på å avklare om databehandleren er underlagt kravet om ytterligere sikkerhetstiltak.