Schrems II, Data Privacy Framework og usikkerheten

Modul 1: Hvorfor en europeisk sky? · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen kan du gjenfortelle historien om avtalene om overføring av data fra EU til USA, forklare hva Schrems II avgjorde, hva EU-US Data Privacy Framework er, og hvorfor dagens rammeverk fortsatt er usikkert.

Nøkkelbegreper: overføring, adekvansbeslutning, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standard kontraktsvilkår (SCC), transfer impact assessment (TIA), supplerende tiltak, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, selvsertifisering, Latombe, PCLOB

Overføring: regelen og unntaket

I leksjon 1.2 så du at data bare kan forlate Det europeiske økonomiske samarbeidsområdet (EØS) hvis mottakerlandet har et tilstrekkelig beskyttelsesnivå, eller hvis det finnes ekstra garantier (GDPR kapittel V). Det å forlate EØS kalles overføring. En overføring er ikke bare å sende en fil til USA: også når en amerikansk supportmedarbeider ser inn i det europeiske miljøet ditt på avstand, eller når dataene dine ligger hos en amerikansk tjeneste, kan det være snakk om overføring.

Den enkleste veien er en adekvansbeslutning (art. 45): EU-kommisjonen bestemmer at et land har et beskyttelsesnivå som er "i det vesentlige tilsvarende" nivået i EU. Slike beslutninger finnes blant annet for Sveits, Storbritannia, Japan og Kanada (for kommersielle organisasjoner). For USA er historien mer komplisert: der har Kommisjonen blitt satt på plass to ganger av EU-domstolen.

Dette er en forklaring, ikke juridisk rådgivning. Status i denne leksjonen er fra november 2026.

Bro 1: Safe Harbor og Schrems I

I 2000 inngikk EU og USA avtalen Safe Harbor. Amerikanske selskaper kunne melde seg på og love at de ville beskytte europeiske data godt. Kommisjonen ga en adekvansbeslutning for dette.

I 2013 avslørte Edward Snowden hvordan amerikanske etterretningstjenester samlet inn data fra internettselskaper i stor skala. Den østerrikske juristen Max Schrems klaget på Facebook i Irland: dataene hans gikk til USA og var ikke beskyttet der. Saken havnet hos EU-domstolen. Den 6. oktober 2015 erklærte domstolen Safe Harbor-beslutningen ugyldig (sak C-362/14, "Schrems I"). Kjernen: Kommisjonen hadde ikke undersøkt om den amerikanske staten holdt seg innenfor grenser, og europeere hadde ingen reell rettslig beskyttelse.

Bro 2: Privacy Shield og Schrems II

Allerede i 2016 kom det en etterfølger: EU-US Privacy Shield, med strengere regler og en ombudsmann hos det amerikanske utenriksdepartementet. Schrems gikk til sak igjen.

Den 16. juli 2020 avsa domstolen dom i sak C-311/18, "Schrems II". Domstolen erklærte Privacy Shield ugyldig. Grunnene:

• Amerikanske overvåkingsprogrammer, særlig under FISA Section 702 og Executive Order 12333 (leksjon 1.3), var ikke begrenset til det som er "strengt nødvendig".
• Europeere hadde ikke effektiv tilgang til en uavhengig domstol; ombudsmannen var ikke uavhengig nok og kunne ikke ta bindende beslutninger.

Domstolen sa også noe viktig om alternativet, standard kontraktsvilkår (SCC, på engelsk standard contractual clauses). Dette er modellkontrakter fra Kommisjonen som avsender og mottaker signerer. Disse forble gyldige, men: parten som overfører dataene, må i hvert enkelt tilfelle vurdere om retten i mottakerlandet undergraver disse avtalene. Hvis det er tilfelle, trengs supplerende tiltak, for eksempel kryptering der mottakeren ikke har nøkkelen. Lykkes ikke dette, må overføringen stanses.

Denne vurderingen kalles en transfer impact assessment (TIA). De europeiske personvernmyndighetene (EDPB) skrev anbefalinger for dette i 2021. I 2021 kom det også nye standard kontraktsvilkår (gjennomføringsbeslutning (EU) 2021/914).

For en liten organisasjon var dette vanskelig: hvordan skal du som bakeri vurdere amerikansk etterretningsrett? I praksis lente mange seg på kontraktene og dokumentasjonen til de store leverandørene.

Bro 3: EU-US Data Privacy Framework

USA og EU forhandlet på nytt. President Biden signerte Executive Order 14086 den 7. oktober 2022. Den fastsetter blant annet at etterretningsarbeid skal være "nødvendig og forholdsmessig", og innfører en klageprosedyre med en Data Protection Review Court (DPRC) i det amerikanske justisdepartementet som siste steg.

Den 10. juli 2023 vedtok Kommisjonen adekvansbeslutningen for EU-US Data Privacy Framework (DPF). Slik fungerer det:

• Det gjelder bare for amerikanske organisasjoner som har sluttet seg til ordningen (selvsertifisering hos det amerikanske handelsdepartementet). På nettsiden dataprivacyframework.gov finner du listen. Står ikke et selskap på listen, gjelder DPF ikke for det selskapet.
• Etterlevelsen kontrolleres i USA blant annet av Federal Trade Commission (FTC).
• Kommisjonen gjennomfører en periodisk evaluering.

For brukere betyr DPF: overføring til et tilsluttet amerikansk selskap er igjen tillatt uten TIA. Derfor sier mange leverandører: "Vi overholder GDPR."

Hvorfor rammeverket fortsatt er usikkert

DPF står, men på vaklende grunn:

• Executive Order er ikke en lov. En kommende president kan endre eller trekke den tilbake, uten Kongressen.
• Underretten og anken. Den franske parlamentarikeren Philippe Latombe ba EU-underretten (Retten) om å oppheve DPF-beslutningen. Den 3. september 2025 avviste Retten dette (sak T-553/23): DPRC var ifølge Retten uavhengig nok. Latombe gikk til anke hos EU-domstolen (sak C-703/25 P). I november 2026 foreligger det ennå ingen avgjørelse der. EU-domstolen har i Schrems I og II vært strengere enn Retten er nå.
• Tilsynet i USA under press. I januar 2025 ble medlemmene av Privacy and Civil Liberties Oversight Board (PCLOB) som var nominert av demokratene avsatt; siden den gang har dette tilsynsorganet ikke hatt beslutningsdyktig antall medlemmer og kan bare delvis utføre arbeidet sitt, inkludert kontroll av klageprosedyren. Den 29. juni 2026 avgjorde den amerikanske høyesterett i Trump mot Slaughter at presidenten kan avsette medlemmer av FTC uten grunn. Jurister peker på at dette gjør spørsmålet om uavhengig tilsyn, som DPF bygger på, enda mer aktuelt.
• Nye prosedyrer. Personvernorganisasjonen noyb har varslet at de vurderer en egen sak. En slik sak tar flere år.

Faller DPF, skjer det som skjedde i 2015 og 2020: organisasjoner må fra den ene dagen til den andre falle tilbake på standard kontraktsvilkår med en TIA, eller stanse overføringen. Det er ikke avtalt noen overgangsperiode for dette.

Hva betyr dette for deg?

For Bakkerij De Korrel er spørsmålet ikke "er det lov nå?", for med DPF er det lov i dag. Spørsmålet er: "vil jeg være avhengig av et rammeverk som allerede har falt to ganger og nå ligger til behandling hos EU-domstolen for tredje gang?" En tjeneste som er etablert innenfor EØS og holder dataene innenfor EØS, er ikke avhengig av DPF. Det er ikke et juridisk krav, men det gir et roligere utgangspunkt.

I praksis: slik ser det ut hos en leverandør

Se i personvernerklæringen eller databehandleravtalen til din nåværende leverandør hvilket grunnlag de bruker for å overføre data til USA: DPF, standard kontraktsvilkår, eller begge deler. Store leverandører nevner ofte begge, nettopp for å ha en løsning klar hvis DPF faller. En europeisk leverandør uten overføring utenfor EØS trenger ikke regulere dette; listen over underleverandører viser om det stemmer (leksjon 9.2). Hos WebOké står det i databehandleravtalen at overføring utenfor EU bare er tillatt med forhåndsgitt skriftlig samtykke; hos andre leverandører finner du som regel en lignende bestemmelse i en artikkel om "overføring" eller "internasjonal overføring".

Oppsummering

• Overføring utenfor EØS er bare tillatt med en adekvansbeslutning eller med garantier som standard kontraktsvilkår.
• EU-domstolen erklærte Safe Harbor (2015, Schrems I) og Privacy Shield (2020, Schrems II) ugyldig, først og fremst på grunn av amerikansk overvåking og mangel på rettslig beskyttelse.
• Siden 10. juli 2023 gjelder EU-US Data Privacy Framework, bare for amerikanske selskaper som har sluttet seg til ordningen.
• DPF hviler på en presidentbeslutning og er omstridt: Latombes anke (C-703/25 P) pågår, og det amerikanske tilsynet er under press.
• En tjeneste som holder dataene innenfor EØS, er ikke avhengig av DPF.

Quiz

Oppgave

Oppgave E1.4: På hvilket grunnlag overføres dine data til USA? Finn ut i personvernerklæringen eller databehandleravtalen til din nåværende skytjeneste om data behandles utenfor EØS, og på hvilket grunnlag (DPF, SCC, adekvansbeslutning for et annet land). Kontroller på dataprivacyframework.gov om selskapet står på listen. Beskriv hva som skjer for deg hvis DPF blir kjent ugyldig.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
• EU-domstolen, dom C-362/14 (Schrems I, 6. oktober 2015) og C-311/18 (Schrems II, 16. juli 2020), på curia.europa.eu
• Gjennomføringsbeslutning (EU) 2023/1795 (adekvansbeslutning EU-US Data Privacy Framework, 10. juli 2023), på EUR-Lex
• Gjennomføringsbeslutning (EU) 2021/914 (standard kontraktsvilkår), på EUR-Lex
• EU-underretten (Retten), sak T-553/23 (Latombe, 3. september 2025); anke C-703/25 P
• Data Privacy Framework-liste: https://www.dataprivacyframework.gov