Schrems II decision invalidates EU-U.S. Privacy Shield and ushers in enhanced scrutiny of data transfers globally
Authors
Molly Reynolds
Ronak Shah
Recently, the Court of Justice of the European Union (CJEU) released the long-anticipated Schrems II decision, which effective immediately invalidated the EU-U.S. Privacy Shield mechanism that over 5000 U.S. businesses, from major tech companies to large financial institutions, have relied on for purposes of transferring and processing data from the EU to the U.S. The decision is a companion to the 2015 Schrems I decision where the CJEU invalidated the adequacy decision underlying the EU-U.S. Safe Harbour framework, which led to the development of the Privacy Shield mechanism.
What you need to know
- Organizations should immediately review vendor agreements to determine whether any EU-U.S. personal information transfers are based on Privacy Shield.
- Privacy Shield certification is no longer a legitimate basis to transfer personal data from the EU to the U.S. The CJEU did not put in place a grace period.
- Data transfer agreements may need to be amended immediately to provide for alternative transfer mechanisms before any further transfers can occur.
- These vendor transfer reviews should include all vendor sub-processors who may receive EU data in the U.S.
- More due diligence on government access to data will be required to rely on Standard Contractual Clauses for transfers to any country that does not have an adequacy ruling from the EU Commission.
- The CJEU upheld the validity of the EU Standard Contractual Clauses (SCCs) as a mechanism of GDPR-compliant transfers to third countries. However, data exporters and importers that rely on SCCs must verify, prior to any transfer whether the level of protection required by EU law is respected in the third country and whether local conditions make it impossible to comply with the SCCs.
- Canada is still subject to an adequacy ruling in respect of PIPEDA, but this is currently being reviewed.
- Data maps should be reviewed and updated to ensure all transfers of EU personal information to third countries are listed, and the legal basis for the transfer is documented.
Background
EU international data transfers
Under GDPR, there are several permissible mechanisms under which EU resident personal information may be transferred and processed outside of the EU. First, a third country can receive an adequacy decision from the Commission with respect to the level of protection it offers (GDPR 45). For example, Canada’s federal privacy law, PIPEDA1, has been deemed adequate since December 20022. In the absence of an adequacy decision in the processor’s country, a processor may generally remain compliant by either: a) incorporating the Commission’s (Decision 2010/87) Standard Contract Clauses into its data transfer agreements; or b) subscribing to binding corporate rules (Article 46). For one-off data transfers, organizations may be able to rely on the derogations outlined in Article 49.
The Schrems saga
The Schrems I3 and II4 decisions originate from complaints brought forward by Maximillian Schrems, an Austrian resident, about Facebook Inc.’s requirement that EU users permit Facebook Ireland to transfer EU personal data to Facebook Inc.’s U.S. servers.
The Schrems II decision continues where the 2015 Schrems I decision left off (please review our prior bulletin for an analysis of Schrems I). After the Schrems I decision invalidated the “safe harbor” data transfer mechanism, and before Privacy Shield was adopted, Mr. Schrems filed a complaint with the Irish Data Protection Commission (DPC) requesting the DPC to use its broad powers to suspend EU-U.S. data transfers on the basis that Facebook’s use of Standard Contractual Clauses to transfer personal data to the U.S. was not justified. The Irish DPC raised its own concerns with respect to the use of SCCs, which lead to the broader questions of significance that were eventually referred to the CJEU in Schrems II.
CJEU’s decision in Schrems II
In Schrems II, the CJEU was asked to address 11 questions that related directly to the validity of SCCs and indirectly to the validity of the Privacy Shield.
Privacy Shield review
CJEU’s rationale for invalidating Privacy Shield did not focus on Facebook’s internal data use or processing practices, rather it focused on the requirements of U.S. domestic law. Of particular concern was U.S. surveillance and national security policy that permits interception of and, in some cases, requires mandatory disclosure by companies such as Facebook of, information contained in EU to U.S. data transfers5. The decision expressed concern with the U.S. Foreign Intelligence Surveillance Act (and the programs in authorizes, like PRISM and UPSTREAM), which did not “indicate any limitations on the power it confers to implement surveillance programmes for the purposes of foreign intelligence or the existence of guarantees for non-U.S. persons potentially targeted by those programmes”. As such, the CJEU determined that U.S. surveillance programs are not circumscribed in a way equivalent to the requirements under EU law because they are not limited to data collection or use that is strictly necessary6. The court also noted that individual remedies under the Foreign Intelligence Surveillance Act are limited, especially for non-U.S. citizens, so there are inadequate avenues of recourse for breaches of the privacy rights of EU citizens7. Further, the court raised issues with deficiencies relating the Privacy Shield Ombudsman mechanism8.
In light of the lack of necessary limitations and safeguards on the power of the authorities under U.S. law and the lack of effective remedies for EU data subject in the U.S., the CJEU held that the Privacy Shield was an inadequate means of protecting data of individuals in the EU when it is transferred to the U.S. The EU Commission has confirmed that it is working on alternate mechanisms for EU to U.S. transfers9.
SCCs review
The CJEU upheld the Commission’s prior decision supporting the validity of SCCs as a mechanism of GDPR-compliant transfers to third countries (Decision 2010/87). Despite finding the SCCs to be a valid third-country data transfer tool, the CJEU in Schrems II imposed additional due diligence and accountability requirements on data exporters who rely on SCCs. The CJEU highlighted that it is the responsibility of the data exporter (in collaboration with the data recipient) to assess whether the level of protection required by EU law is respected in the third country concerned in order to determine if the guarantees provided by the SCCs. can be complied with in practice—in effect requiring organizations to do mini-adequacy reviews. This is consistent with recent efforts by the Office of the Privacy Commissioner of Canada to place more accountability on organizations that transfer Canadian personal information to other countries.
Where the third country law is not essentially equivalent, organizations will need to implement supplementary measures to ensure an essentially equivalent level of protection over data transferred as in the EU. This will not be a viable option where the third country’s law will prevent such measures from being effective, because parties cannot contract out of the application of domestic laws. As a result, where government access to personal information is the concern, there will be little contracting parties can do to prevent such incursions.
Implications for business
The is no doubt that Schrems II broadly impacts data transfers between EU and third countries such as the U.S. The requirement to do a case-by-case review of third countries and organizations receiving personal data will apply to virtually all transfer mechanisms unless the country has an EU Commission adequacy decision10. As a result, organizations that transfer personal information between the EU and third countries should:
- create or update data maps to track all EU personal data being processed or transferred outside the EU, including through affiliates, vendors and sub-processors;
- review the basis for transferring data outside the EU in all instances, and identify alternate data transfer mechanisms if the organization relied on Privacy Shield;
- document the due diligence used to assess recipient organizations and third party countries, such as by outlining relevant laws that would allow government access to the information, mapping the type of personal data at issue, analyzing whether the data or recipient have historically been subject to government intelligence requests, and recording the measures put in place by the recipient to shield EU data from such requests;
- consider processing options that do not require data to leave the EU, such as local cloud instances, regional vendor outposts and read-only remote access to databases;
- proactively monitor guidance from EU regulators with respect to which countries do not provide adequate protection even when SCCs or BCRs are employed, and consider contractual provisions that allow the organization to suspend or modify its data transfers on short notice; and
- review audit and reporting obligations in vendor agreements to ensure:
- recipient organizations are required to notify the organization of legal or political changes that would prevent them from complying with their obligations to safeguard EU data, and Contractually require data recipients to immediately inform EU data exporters of any inability to comply with the terms of the alternate data transfer mechanism or the supplementary measure that are put in place; and
- the transferring organization can test the recipient’s ability to meet its contractual commitments.
Canadian companies should expect similar issues to be raised by European counterparties going forward, as many organizations will choose to implement this level of diligence globally, regardless of whether the recipient country has an adequacy decision from the EU Commission.
_________________________
1 Personal Information Protection and Electronic Documents Act, S.C. 2000, c. 5.
2 In December 2001, the European Commission issued Decision 2002/2/EC, pursuant to Article 25(6) of Directive 95/46/EC. The Decision states that Canada is considered as providing an adequate level of protection of personal data transferred from the EU to recipients subject to PIPEDA. The adequacy decision was reaffirmed in 2006 but is currently up for review.
3 Data Protection Commissioner v. Facebook Ireland Limited, Maximillian Schrems (Case C-362/14) (Schrems I).
4 Data Protection Commissioner v. Facebook Ireland Limited, Maximillian Schrems (Case C-311/18) (Schrems II).
5 The CJEU also examined the validity of the Privacy Shield Decision (Decision 2016/1250 on the adequacy of the protection provided by the EU-U.S. Privacy Shield), as the transfers at stake in the context of the national dispute leading to the request for preliminary ruling took place between the EU and US.
6 Schrems II, paras. 164-185.
7 Schrems II, paras. 191-192.
8 Schrems II, paras. 193-197.
9 European Parliament, Parliamentary questions (May 19, 2020), E-001120/2020. In a response to the EU Parliamentary question about international data transfers the Commission noted that: “The Commission is a party in the two cases pending before the Court of Justice of the European Union that are relevant to the Privacy Shield (T-738-16, La Quadrature du Net and C-311/18, Schrems II). While the Commission cannot predict the outcome of this litigation, it is looking into possible scenarios. In doing so, the Commission is in contact with stakeholders, including the United States authorities. In parallel, the Commission continues to work on alternative instruments for international transfers of personal data, including by reviewing the existing Standard Contractual Clauses”.
10 European Data Protection Board FAQ document on CJEU judgment C-311/18 (Schrems II), response to Question 9.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.