Spørgsmål nr. 916 (Alm. del) fra Folketingets Retsudvalg:

”Med henvisning til svar på REU alm. del spørgsmål 792, be-des ministeren oplyse, om ministeren betragter USA som ettredjeland, der yder tilstrækkelig beskyttelse jf. persondatalo-vens § 27 i lyset af de nye oplysninger om NSAs adgang tilservere hos en række store internetvirksomheder.”

Svar:

Justitsministeriet har til brug for besvarelse af spørgsmålet indhentet enudtalelse fra Datatilsynet, der har oplyst følgende:”Persondataloven gælder som udgangspunkt kun for behand-ling af personoplysninger, der foretages af eller for danskemyndigheder og virksomheder, der er etableret som dataan-svarlige i Danmark. Dette følger af persondatalovens § 4, stk.1.Den omtalte lovbestemmelse i persondatalovens § 27 vedrørervirksomheder og myndigheders muligheder for at overførepersonoplysninger til lande uden for EU.Tilsvarende bestemmelser findes i de andre EU-landes databe-skyttelseslovgivninger. Der er således tale om regler, der byg-ger på EU’s databeskyttelsesdirektiv.En europæisk dataansvarlig må som udgangspunkt kun overfø-re oplysninger til et tredjeland, når dette land sikrer et tilstræk-keligt beskyttelsesniveau.EU-kommissionen har i forhold til databeskyttelsesdirektivetfastslået, at en række tredjelande sikrer et tilstrækkeligt beskyt-telsesniveau – såkaldt sikre tredjelande.USA er ikke et af de lande, der anses for et sikkert tredjeland.”Justitsministeriet kan supplerende oplyse, at der i relation til USA dog erindført en særlig ordning – den såkaldte Safe Harbor-ordning – som inde-bærer, at virksomheder i USA, der har tilsluttet sig denne ordning, betrag-tes som virksomheder i sikre tredjelande. En liste over de virksomheder,der har tilsluttet sig ordningen, er bl.a. tilgængelig på det amerikanskehandelsministeriums hjemmeside.Virksomheder, som tilslutter sig Safe Harbor-ordningen, forpligter sig iforbindelse hermed til at overholde de såkaldte Safe Harbor-principper.Disse principper indebærer bl.a. en række begrænsninger i forhold til ad-2

gangen til at videregive oplysninger til tredjemand og anvende oplysningertil formål, der er uforenelige med dem, hvortil oplysningerne oprindeligtblev indsamlet.Virksomheder, som har tilsluttet sig Safe Harbor-ordningen, anses på denbaggrund for at sikre et tilstrækkeligt beskyttelsesniveau, jf. persondatalo-vens § 27, stk. 1.Det bemærkes, at private i visse tilfælde – f.eks. hvis der er tale om be-handling af følsomme personoplysninger (dvs. de typer af oplysninger,som er nævnt i persondatalovens § 7, stk. 1, og § 8, stk. 4) – skal indhenteDatatilsynets tilladelse til overførsel af oplysninger til tredjelande i medføraf § 27, stk. 1.