Schrems II, Data Privacy Framework och osäkerheten

Modul 1: Varför ett europeiskt moln? · Lästid: 12 minuter

Lärandemål: Efter den här lektionen kan du återge historien bakom avtalen om dataöverföring från EU till USA, förklara vad Schrems II innebar, vad EU-US Data Privacy Framework är och varför det nuvarande ramverket förblir osäkert.

Nyckelbegrepp: överföring, adekvansbeslut, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardavtalsklausuler (SCC), transfer impact assessment (TIA), kompletterande åtgärder, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, självcertifiering, Latombe, PCLOB

Överföring: regeln och undantaget

I lektion 1.2 såg du att data bara får lämna Europeiska ekonomiska samarbetsområdet (EES) om mottagarlandet erbjuder en adekvat skyddsnivå, eller om det finns extra skyddsåtgärder (GDPR kapitel V). Det är detta som kallas överföring. En överföring handlar inte bara om att skicka en fil till USA: även när en amerikansk supportmedarbetare på distans tittar in i din europeiska miljö, eller när dina data lagras hos en amerikansk tjänst, kan det röra sig om en överföring.

Den enklaste vägen är ett adekvansbeslut (art. 45): EU-kommissionen beslutar att ett land har en skyddsnivå som är "väsentligen likvärdig" med EU:s. Sådana beslut finns bland annat för Schweiz, Storbritannien, Japan och Kanada (för kommersiella organisationer). För USA är historien mer komplicerad: där har kommissionen blivit nedslagen två gånger av EU-domstolen.

Det här är en förklaring, inte juridisk rådgivning. Läget i den här lektionen gäller november 2026.

Bro 1: Safe Harbor och Schrems I

År 2000 slöt EU och USA avtalet Safe Harbor. Amerikanska företag kunde anmäla sig och lova att de skulle skydda europeiska data väl. Kommissionen gav ett adekvansbeslut för detta.

År 2013 avslöjade Edward Snowden hur amerikanska underrättelsetjänster samlade in data från internetföretag i stor skala. Den österrikiske juristen Max Schrems lämnade in ett klagomål mot Facebook i Irland: hans data gick till USA och var inte skyddade där. Fallet kom upp inför EU-domstolen. Den 6 oktober 2015 förklarade domstolen Safe Harbor-beslutet ogiltigt (mål C-362/14, "Schrems I"). Kärnan: kommissionen hade inte undersökt om den amerikanska staten höll sig inom gränserna, och européer hade inget verkligt rättsligt skydd.

Bro 2: Privacy Shield och Schrems II

Redan 2016 kom en efterföljare: EU-US Privacy Shield, med strängare regler och en ombudsman hos det amerikanska utrikesdepartementet. Schrems processade på nytt.

Den 16 juli 2020 dömde domstolen i mål C-311/18, "Schrems II". Domstolen förklarade Privacy Shield ogiltigt. Skälen:

• Amerikanska övervakningsprogram, särskilt under FISA Section 702 och Executive Order 12333 (lektion 1.3), var inte begränsade till det som var "strikt nödvändigt".
• Européer hade ingen effektiv tillgång till en oberoende domstol; ombudsmannen var inte oberoende nog och kunde inte fatta bindande beslut.

Domstolen sa också något viktigt om alternativet, standardavtalsklausulerna (SCC, på engelska standard contractual clauses). Det är standardavtal från kommissionen som avsändaren och mottagaren undertecknar. De förblev giltiga, men: den part som överför data måste från fall till fall bedöma om mottagarlandets lagstiftning undergräver dessa åtaganden. Om så är fallet krävs kompletterande åtgärder, till exempel kryptering där mottagaren inte har nyckeln. Går det inte, måste överföringen upphöra.

Den bedömningen kallas en transfer impact assessment (TIA). De europeiska dataskyddsmyndigheterna (EDPB) skrev rekommendationer för detta 2021. Samma år kom också nya standardavtalsklausuler (genomförandebeslut (EU) 2021/914).

För en liten organisation var detta svårt: hur ska du som bageri bedöma amerikansk underrättelselagstiftning? I praktiken förlitade sig många på avtal och dokumentation från de stora leverantörerna.

Bro 3: EU-US Data Privacy Framework

USA och EU förhandlade på nytt. President Biden undertecknade den 7 oktober 2022 Executive Order 14086. Den fastställer bland annat att underrättelsearbete ska vara "nödvändigt och proportionerligt" och inrättar ett klagomålsförfarande med en Data Protection Review Court (DPRC) inom det amerikanska justitiedepartementet som sista steg.

Den 10 juli 2023 antog kommissionen adekvansbeslutet för EU-US Data Privacy Framework (DPF). Så fungerar det:

• Det gäller endast för amerikanska organisationer som har anslutit sig (självcertifiering hos det amerikanska handelsdepartementet). På webbplatsen dataprivacyframework.gov finns listan. Står ett företag inte på listan gäller DPF inte för det företaget.
• Efterlevnaden kontrolleras i USA bland annat av Federal Trade Commission (FTC).
• Det finns en återkommande utvärdering från kommissionen.

För användare innebär DPF att överföring till ett anslutet amerikanskt företag åter är tillåten utan TIA. Därför säger många leverantörer: "Vi följer GDPR."

Varför ramverket förblir osäkert

DPF finns, men står på skakig grund:

• Executive Order är ingen lag. En kommande president kan ändra eller upphäva den, utan kongressen.
• Tribunalen och överklagandet. Den franske parlamentarikern Philippe Latombe bad EU:s tribunal att ogiltigförklara DPF-beslutet. Den 3 september 2025 avslog tribunalen detta (mål T-553/23): DPRC ansågs enligt tribunalen vara tillräckligt oberoende. Latombe överklagade till EU-domstolen (mål C-703/25 P). I november 2026 finns ännu ingen dom. Domstolen har i Schrems I och II varit strängare än tribunalen är nu.
• Tillsynen i USA under press. I januari 2025 avskedades de ledamöter av Privacy and Civil Liberties Oversight Board (PCLOB) som hade utsetts av demokraterna; sedan dess saknar den tillsynsmyndigheten kvorum och kan bara i begränsad omfattning utföra sitt arbete, inklusive kontroll av klagomålsförfarandet. Den 29 juni 2026 beslutade USA:s högsta domstol i Trump v. Slaughter att presidenten får avskeda ledamöter av FTC utan skäl. Jurister påpekar att detta skärper frågan om oberoende tillsyn, som DPF vilar på.
• Nya förfaranden. Integritetsorganisationen noyb har meddelat att den överväger ett eget rättsligt förfarande. Ett sådant mål tar år att avgöra.

Faller DPF kommer samma sak att hända som 2015 och 2020: organisationer måste från en dag till en annan falla tillbaka på standardavtalsklausuler med en TIA, eller sluta med överföringen. Ingen övergångsperiod har avtalats för det fallet.

Vad betyder det här för dig?

För Bageri De Korrel är frågan inte "är det tillåtet nu?", för med DPF är det tillåtet just nu. Frågan är: "vill jag vara beroende av ett ramverk som redan fallit två gånger och nu ligger hos domstolen för tredje gången?" En tjänst som är etablerad inom EES och behåller data inom EES är inte beroende av DPF. Det är inget juridiskt krav, men det är en lugnare utgångspunkt.

I praktiken: så här ser det ut hos en leverantör

Titta i integritetspolicyn eller personuppgiftsbiträdesavtalet hos din nuvarande leverantör för att se på vilken grund denne överför data till USA: DPF, standardavtalsklausuler, eller båda. Stora leverantörer nämner ofta båda, just för att hantera att DPF skulle kunna falla. En europeisk leverantör utan överföring utanför EES behöver inte reglera detta; dennes lista över underbiträden visar om det stämmer (lektion 9.2). Hos WebOké anges i personuppgiftsbiträdesavtalet att överföring utanför EU endast får ske med förhandsgodkänt skriftligt samtycke; hos andra leverantörer hittar du oftast en liknande bestämmelse i en artikel om "överföring" eller "internationell överföring".

Sammanfattning

• Överföring utanför EES är bara tillåten med ett adekvansbeslut eller med skyddsåtgärder som standardavtalsklausuler.
• Domstolen förklarade Safe Harbor (2015, Schrems I) och Privacy Shield (2020, Schrems II) ogiltiga, framför allt på grund av amerikansk övervakning och brist på rättsligt skydd.
• Sedan den 10 juli 2023 gäller EU-US Data Privacy Framework, bara för amerikanska företag som har anslutit sig.
• DPF vilar på ett presidentbeslut och är omtvistat: Latombes överklagande (C-703/25 P) pågår, och den amerikanska tillsynen står under press.
• En tjänst som behåller data inom EES är inte beroende av DPF.

Quiz

Uppgift

Uppgift E1.4: På vilken grund skickas dina uppgifter till USA? Leta i integritetspolicyn eller personuppgiftsbiträdesavtalet för din nuvarande molntjänst efter om data behandlas utanför EES, och på vilken grund (DPF, SCC, adekvansbeslut för ett annat land). Kontrollera på dataprivacyframework.gov om företaget står på listan. Beskriv vad som händer för dig om DPF skulle upphävas.

Läs mer

Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• EU-domstolen, dom C-362/14 (Schrems I, 6 oktober 2015) och C-311/18 (Schrems II, 16 juli 2020), på curia.europa.eu
• Genomförandebeslut (EU) 2023/1795 (adekvansbeslut EU-US Data Privacy Framework, 10 juli 2023), på EUR-Lex
• Genomförandebeslut (EU) 2021/914 (standardavtalsklausuler), på EUR-Lex
• EU:s tribunal, mål T-553/23 (Latombe, 3 september 2025); överklagande C-703/25 P
• Data Privacy Framework-listan: https://www.dataprivacyframework.gov