Schrems II, Data Privacy Framework og usikkerheden

Modul 1: Hvorfor en europæisk cloud? · Læsetid: 12 minutter

Læringsmål: Efter denne lektion kan du genfortælle historien bag aftalerne om overførsel af data fra EU til USA, forklare hvad Schrems II afgjorde, hvad EU-US Data Privacy Framework er, og hvorfor den nuværende ramme stadig er usikker.

Kernebegreber: overførsel, afgørelse om tilstrækkeligheden af beskyttelsesniveauet, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardkontraktbestemmelser (SCC), transfer impact assessment (TIA), supplerende foranstaltninger, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, selvcertificering, Latombe, PCLOB

Overførsel: reglen og undtagelsen

I lektion 1.2 så du, at data kun må forlade Det Europæiske Økonomiske Samarbejdsområde (EØS), hvis bestemmelseslandet har et tilstrækkeligt beskyttelsesniveau, eller hvis der findes ekstra garantier (GDPR kapitel V). At forlade EØS kaldes en overførsel. En overførsel er ikke kun det at sende en fil til USA: Også når en amerikansk supportmedarbejder fjerntilgår din europæiske miljø, eller når dine data ligger hos en amerikansk tjeneste, kan der være tale om en overførsel.

Den nemmeste vej er en afgørelse om tilstrækkeligheden af beskyttelsesniveauet (art. 45): EU-Kommissionen afgør, at et land har et beskyttelsesniveau, der er "væsentligt tilsvarende" EU's niveau. Sådanne afgørelser findes blandt andet for Schweiz, Storbritannien, Japan og Canada (for kommercielle organisationer). For USA er historien mere kompliceret: her er Kommissionen blevet underkendt to gange af EU-Domstolen.

Dette er forklaring, ikke juridisk rådgivning. Status i denne lektion er fra november 2026.

Bro 1: Safe Harbor og Schrems I

I 2000 indgik EU og USA aftalen Safe Harbor. Amerikanske virksomheder kunne tilmelde sig og love, at de ville beskytte europæiske data ordentligt. Kommissionen gav en afgørelse om tilstrækkeligt beskyttelsesniveau for ordningen.

I 2013 afslørede Edward Snowden, hvordan amerikanske efterretningstjenester i stor stil indsamlede data hos internetvirksomheder. Den østrigske jurist Max Schrems indgav en klage mod Facebook i Irland: hans data blev sendt til USA og var ikke beskyttet dér. Sagen kom for EU-Domstolen. Den 6. oktober 2015 erklærede Domstolen Safe Harbor-afgørelsen ugyldig (sag C-362/14, "Schrems I"). Kernen: Kommissionen havde ikke undersøgt, om de amerikanske myndigheder overholdt nogen grænser, og europæere havde ingen reel retsbeskyttelse.

Bro 2: Privacy Shield og Schrems II

Allerede i 2016 kom der en efterfølger: EU-US Privacy Shield, med strengere regler og en ombudsmand hos det amerikanske udenrigsministerium. Schrems førte sag igen.

Den 16. juli 2020 afsagde Domstolen dom i sag C-311/18, "Schrems II". Domstolen erklærede Privacy Shield ugyldigt. Begrundelserne:

• Amerikanske overvågningsprogrammer, især under FISA Section 702 og Executive Order 12333 (lektion 1.3), var ikke begrænset til, hvad der var "strengt nødvendigt".
• Europæere havde ikke effektiv adgang til en uafhængig domstol; ombudsmanden var ikke uafhængig nok og kunne ikke træffe bindende afgørelser.

Domstolen sagde også noget vigtigt om alternativet, standardkontraktbestemmelserne (SCC, på engelsk standard contractual clauses). Det er modelkontrakter fra Kommissionen, som afsender og modtager underskriver. De forblev gyldige, men: den part, der overfører data, skal fra sag til sag undersøge, om modtagerlandets lovgivning ikke underminerer disse aftaler. Er det tilfældet, kræves supplerende foranstaltninger, for eksempel kryptering hvor modtageren ikke har nøglen. Lykkes det ikke, skal overførslen stoppe.

Denne vurdering kaldes en transfer impact assessment (TIA). De europæiske databeskyttelsesmyndigheder (EDPB) udarbejdede i 2021 anbefalinger til dette. I 2021 kom der også nye standardkontraktbestemmelser (Gennemførelsesafgørelse (EU) 2021/914).

For en lille organisation var det besværligt: hvordan skal du som bager vurdere amerikansk efterretningsret? I praksis læner mange sig op ad de store udbyderes kontrakter og dokumentation.

Bro 3: EU-US Data Privacy Framework

USA og EU forhandlede igen. Præsident Biden underskrev den 7. oktober 2022 Executive Order 14086. Den fastsætter blandt andet, at efterretningsarbejde skal være "nødvendigt og forholdsmæssigt", og indfører en klageprocedure med en Data Protection Review Court (DPRC) som sidste trin, placeret under det amerikanske justitsministerium.

Den 10. juli 2023 vedtog Kommissionen afgørelsen om tilstrækkeligt beskyttelsesniveau for EU-US Data Privacy Framework (DPF). Sådan fungerer det:

• Det gælder kun for amerikanske organisationer, der har tilmeldt sig (selvcertificering hos det amerikanske handelsministerium). Listen findes på hjemmesiden dataprivacyframework.gov. Står en virksomhed ikke på listen, gælder DPF ikke for den virksomhed.
• Overholdelsen kontrolleres i USA blandt andet af Federal Trade Commission (FTC).
• Der er en periodisk evaluering fra Kommissionens side.

For brugere betyder DPF: overførsel til en tilmeldt amerikansk virksomhed er igen tilladt uden en TIA. Derfor siger mange udbydere: "Vi overholder GDPR."

Hvorfor rammen forbliver usikker

DPF står, men på et vakkelvornt grundlag:

• Executive Order er ikke en lov. En kommende præsident kan ændre eller tilbagekalde den, uden Kongressens medvirken.
• Retten og appelsagen. Den franske parlamentariker Philippe Latombe bad EU-Retten om at annullere DPF-afgørelsen. Den 3. september 2025 afviste Retten dette (sag T-553/23): DPRC var efter Rettens opfattelse uafhængig nok. Latombe ankede til EU-Domstolen (sag C-703/25 P). I november 2026 foreligger der endnu ingen afgørelse. Domstolen har i Schrems I og II været strengere end Retten er nu.
• Tilsyn i USA under pres. I januar 2025 blev de medlemmer af Privacy and Civil Liberties Oversight Board (PCLOB), der var udpeget af demokraterne, afskediget; siden da har tilsynet ikke haft beslutningsdygtighed (quorum) og kan kun i begrænset omfang udføre sit arbejde, herunder kontrol med klageproceduren. Den 29. juni 2026 afgjorde den amerikanske højesteret i sagen Trump v. Slaughter, at præsidenten kan afskedige medlemmer af FTC uden grund. Jurister påpeger, at dette skærper spørgsmålet om den uafhængige kontrol, som DPF bygger på.
• Nye sager. Privatlivsorganisationen noyb har meddelt, at den overvejer en egen sag. En sådan sag kan tage år.

Falder DPF, sker der det samme som i 2015 og 2020: organisationer skal fra den ene dag til den anden falde tilbage på standardkontraktbestemmelser med en TIA, eller stoppe overførslen. Der er ikke aftalt nogen overgangsperiode.

Hvad betyder det for dig?

For Bageriet Korn er spørgsmålet ikke "må det nu?", for med DPF er det tilladt lige nu. Spørgsmålet er: "vil jeg være afhængig af en ramme, der allerede er faldet to gange og nu for tredje gang ligger hos Domstolen?" En tjeneste, der er etableret inden for EØS og holder data inden for EØS, afhænger ikke af DPF. Det er ikke et juridisk krav, men det er et roligere udgangspunkt.

I praksis: sådan ser det ud hos en udbyder

Kig i privatlivspolitikken eller databehandleraftalen hos din nuværende udbyder for at se, med hvilket grundlag udbyderen overfører data til USA: DPF, standardkontraktbestemmelser, eller begge dele. Store udbydere nævner ofte begge dele, netop for at kunne klare et fald af DPF. En europæisk udbyder uden overførsel uden for EØS behøver ikke dette; udbyderens liste over underdatabehandlere viser, om det stemmer (lektion 9.2). Hos WebOké fremgår det af databehandleraftalen, at overførsel uden for EU kun må ske med forudgående skriftligt samtykke; hos andre udbydere finder du som regel en tilsvarende bestemmelse i en artikel om "overførsel" eller "international overførsel".

Opsummering

• Overførsel uden for EØS må kun ske med en afgørelse om tilstrækkeligt beskyttelsesniveau eller med garantier som standardkontraktbestemmelser.
• Domstolen erklærede Safe Harbor (2015, Schrems I) og Privacy Shield (2020, Schrems II) ugyldige, især på grund af amerikansk overvågning og manglende retsbeskyttelse.
• Siden den 10. juli 2023 gælder EU-US Data Privacy Framework, men kun for amerikanske virksomheder, der har tilmeldt sig.
• DPF hviler på en præsidentiel afgørelse og er omstridt: Latombes appel (C-703/25 P) verserer, og det amerikanske tilsyn er under pres.
• En tjeneste, der holder data inden for EØS, afhænger ikke af DPF.

Quiz

Opgave

Opgave E1.4: Med hvilket grundlag sendes dine data til USA? Find i privatlivspolitikken eller databehandleraftalen hos din nuværende cloud-tjeneste, om data behandles uden for EØS, og med hvilket grundlag (DPF, SCC, afgørelse om tilstrækkeligt beskyttelsesniveau for et andet land). Kontrollér på dataprivacyframework.gov, om virksomheden står på listen. Beskriv, hvad det betyder for dig, hvis DPF bliver annulleret.

Læs mere

Trinnene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på tilsvarende måde.

• Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
• EU-Domstolen, dom C-362/14 (Schrems I, 6. oktober 2015) og C-311/18 (Schrems II, 16. juli 2020), på curia.europa.eu
• Gennemførelsesafgørelse (EU) 2023/1795 (afgørelse om tilstrækkeligt beskyttelsesniveau for EU-US Data Privacy Framework, 10. juli 2023), på EUR-Lex
• Gennemførelsesafgørelse (EU) 2021/914 (standardkontraktbestemmelser), på EUR-Lex
• EU-Retten, sag T-553/23 (Latombe, 3. september 2025); appel C-703/25 P
• Data Privacy Framework-liste: https://www.dataprivacyframework.gov