Digital suverænitet

70 13 63 23

Schrems II og scenariet, hvor overførselsgrundlaget til USA falder

Schrems II og scenariet, hvor overførselsgrundlaget til USA falder

Overførsler af personoplysninger til amerikanske tjenester hviler i dag for mange organisationer på én afgørelse fra Europa-Kommissionen. Den afgørelse er anket til EU-Domstolen, og exit-planen bør derfor kunne håndtere, at den en dag ikke længere gælder.

Artiklen forklarer, hvad Schrems II-dommen fastslog, hvad den nuværende databeskyttelsesramme bygger på, og hvor Latombe-sagen står. Den slutter med, hvad en exit-plan skal kunne, hvis grundlaget falder. Den vurderer ingen konkrete overførsler.

Hvad Schrems II-dommen fastslog

EU-Domstolen afsagde 16. juli 2020 dom i sag C-311/18, kendt som Schrems II. Domstolen erklærede Kommissionens afgørelse om værnet om privatlivets fred, Privacy Shield, for ugyldig. Kommissionens standardkontraktbestemmelser blev derimod ikke underkendt.

Dommen lagde ansvaret for at vurdere modtagerlandet på den, der overfører data. Efter præmis 134 skal den dataansvarlige i hvert enkelt tilfælde undersøge, om lovgivningen i modtagerlandet sikrer den fornødne beskyttelse. Kan beskyttelsen ikke sikres, skal tilsynsmyndigheden suspendere eller forbyde overførslen, hvis den dataansvarlige ikke selv har stoppet den.

Domstolen opretholdt ikke virkningerne af den ugyldige afgørelse i en overgangsperiode. Efter præmis 202 opstår der intet retligt tomrum, fordi databeskyttelsesforordningens artikel 49 angiver, hvornår overførsler kan ske uden andet grundlag.

Databeskyttelsesrammen afløste Privacy Shield

Kommissionen vedtog 10. juli 2023 gennemførelsesafgørelse (EU) 2023/1795 om EU-USA-databeskyttelsesrammen, Data Privacy Framework (DPF). Afgørelsen bygger blandt andet på præsidentielt dekret 14086 og en ny klageinstans, Data Protection Review Court. Samspillet med den amerikanske overvågningshjemmel er beskrevet i → FISA 702.

Afgørelsens artikel 1 dækker kun overførsler til organisationer, der står på handelsministeriets liste over deltagende organisationer. Efter betragtning 48 skal organisationerne recertificere sig hvert år. En leverandør, der falder af listen, er altså ikke længere omfattet, selv om afgørelsen består. Datatilsynet gentager begrænsningen på sin side om overførsler til USA.

Kommissionen kan selv suspendere afgørelsen

Efter artikel 3 overvåger Kommissionen løbende, om USA fortsat sikrer et tilstrækkeligt beskyttelsesniveau. Er der tegn på det modsatte, kan Kommissionen suspendere, ændre eller ophæve afgørelsen eller begrænse dens anvendelsesområde (stk. 5).

Kommissionens første revisionsrapport, COM(2024) 451, kom 9. oktober 2024. Kommissionen konkluderede, at de amerikanske myndigheder havde indført de strukturer og procedurer, der skal til, for at rammen fungerer. Den næste revision skal efter rapporten ske efter tre år. Grundlaget kan altså også ændres uden en dom. Rapporten noterede også, at EU’s tilsynsmyndigheder endnu ikke havde modtaget klager, så den nye klageordning var ikke afprøvet på revisionstidspunktet.

Fire veje til et bortfald

Grundlaget kan forsvinde på flere måder, og de kræver forskellig forberedelse.

  • En dom. EU-Domstolen kan annullere afgørelsen i appelsagen, som beskrevet nedenfor.
  • Kommissionens egen beslutning. Kommissionen kan suspendere eller begrænse afgørelsen efter artikel 3, stk. 5, fx efter en revision.
  • Ændrede amerikanske regler. Ændres dekret 14086 eller overvågningshjemlerne, kan forudsætningerne for afgørelsen bortfalde.
  • Leverandøren forlader listen. Afgørelsen kan bestå, mens den enkelte leverandør ikke længere er certificeret.

Den sidste vej rammer én leverandør ad gangen og kan opdages ved et opslag. De tre første rammer alle overførsler på rammen samtidig.

Latombe-sagen ved Retten

Philippe Latombe fra Nantes anlagde sag ved Retten med påstand om annullation af afgørelsen. Retten frifandt Kommissionen 3. september 2025 i sag T-553/23 på alle anbringender.

Retten fandt blandt andet, at reglerne om udnævnelse og afsættelse af dommerne ved Data Protection Review Court ikke rejser tvivl om domstolens uafhængighed. Retten lagde også til grund, at masseindsamling efter Schrems II som minimum skal kunne prøves af en domstol bagefter, og at den efterfølgende prøvelse i USA opfylder det.

Retten fremhævede samtidig Kommissionens pligt til at følge udviklingen. Ændres de amerikanske regler, som afgørelsen bygger på, skal Kommissionen om nødvendigt suspendere, ændre eller ophæve afgørelsen (præmis 58).

Appellen til EU-Domstolen

Latombe ankede 31. oktober 2025. Appellen er registreret som sag C-703/25 P og blev offentliggjort i EU-Tidende 22. december 2025. Kommissionen, Irland og USA er parter i appelsagen. Ifølge Domstolens kendelse af 4. juni 2026 deltager også Tyskland, som var intervenient ved Retten.

Appellen har fire anbringender. To angår Data Protection Review Court, dels uafhængigheden, dels om klageinstansen er oprettet ved lov. Det tredje angår masseindsamling uden forudgående godkendelse fra en uafhængig myndighed. Det fjerde angår præsidentens adgang til at ajourføre formålene med masseindsamlingen. Latombe beder Domstolen om at ophæve dommen og selv annullere afgørelsen, subsidiært om at hjemvise sagen til Retten.

Domstolens præsident tillod 4. juni 2026 Microsoft Corporation at intervenere i appelsagen til støtte for Kommissionen. Microsoft anførte i sin begæring, at mange af selskabets overførsler fra EU til USA, både egne og kundernes, hviler på afgørelsen. Et fald ville ifølge Microsoft kunne tvinge selskabet til at bruge et andet overførselsgrundlag. Kendelsen er en procesafgørelse og tager ikke stilling til sagens indhold.

Status pr. 31. oktober 2026 er, at Domstolens sagsoversigt på curia.europa.eu kun indeholder meddelelsen om appellen og kendelsen om Microsofts intervention. Der er hverken afsagt dom eller fremsat forslag til afgørelse fra generaladvokaten, og der er ingen offentliggjort dato for en afgørelse. Status bør kontrolleres igen ved hver gennemgang af exit-planen, jf. → trin 10.

Hvis afgørelsen bliver annulleret

Annullerer Domstolen afgørelsen, kan den efter TEUF artikel 264 angive, hvilke virkninger der skal bestå. Om der i givet fald gives en overgangsperiode, kan ingen vide på forhånd. I Schrems II blev der ikke givet nogen.

Overførsler, der alene hviler på rammen, skal da have et andet grundlag efter forordningens kapitel V eller stoppe. Standardkontraktbestemmelser kræver efter Schrems II en vurdering af modtagerlandet og eventuelt supplerende foranstaltninger. Undtagelserne i artikel 49 er ingen erstatning. Datatilsynets vejledning om overførsel til tredjelande fra april 2024 skriver, at de skal fortolkes restriktivt og generelt ikke kan bruges til systematiske overførsler. Det Europæiske Databeskyttelsesråd beskriver fremgangsmåden i anbefaling 01/2020.

Datatilsynet skriver på sin side om cloud, at det er meget vanskeligt at overføre data i klartekst til en modtager, der er omfattet af blandt andet FISA 702. Tilsynets vejledning er gennemgået i → Datatilsynet om cloud og plan B. Tekniske foranstaltninger som egne nøgler er beskrevet i → egne nøgler og nøglekontrol.

Hvad et fald ikke ændrer

Rammen handler om overførsler af personoplysninger. Den ændrer ikke, hvilke love en amerikansk udbyder skal følge. Pligten efter → Cloud Act gælder, uanset om data ligger i USA eller i EU, og uanset om rammen består.

Et fald rammer også andet end data, der sendes til USA. Support fra et tredjeland og fjernadgang kan også være overførsler, som Datatilsynet skriver på sin side om cloud. Undtagelserne i udbydernes EU-løfter er gennemgået i → EU-lagring med undtagelser.

Hvad exit-planen skal kunne

Scenariet er velegnet som test af exit-planen, fordi det kan indtræffe på én dag og ramme mange systemer på én gang. Listen nedenfor kan gennemføres uden ekstern hjælp, og resultatet kan genbruges i den almindelige risikovurdering.

  1. Find overførslerne · Notér for hvert system, om personoplysninger overføres til USA, også ved support, fjernadgang og underleverandører. Brug kortlægningen fra → trin 1 og → trin 3.
  2. Notér grundlaget · Skriv ud for hver overførsel, om den hviler på rammen, på standardkontraktbestemmelser eller på andet.
  3. Kontrollér listen · Slå leverandøren og eventuelle amerikanske underleverandører op på DPF-listen, og notér datoen.
  4. Vurder det andet ben · Tag stilling til, om standardkontrakter og supplerende foranstaltninger kan bære overførslen, hvis rammen falder.
  5. Peg på alternativet · Beskriv for de vigtigste systemer, hvilken løsning der kan overtage uden overførsel til USA, jf. → trin 7.
  6. Prioritér · Sæt systemer med følsomme data og ingen alternativ forrest i → trin 6.
  7. Afklar allerede overførte data · Ifølge Kommissionens revisionsrapport kræver det amerikanske handelsministerium, at en organisation, der forlader rammen, bekræfter, om den returnerer, sletter eller beholder data. Notér, hvad I vil kræve af leverandøren i samme situation.
  8. Øv scenariet · Gennemspil en dag, hvor grundlaget er væk, og notér, hvilke beslutninger der mangler en ejer, jf. → trin 9.

Hvad scenariet kan og ikke kan vise

Scenariet viser, hvor afhængig organisationen er af ét juridisk grundlag, og hvor hurtigt den kan reagere. Det giver også en konkret prioritering, fordi de systemer, der hverken har andet grundlag eller et alternativ, bliver synlige.

Det kan ikke forudsige udfaldet af appelsagen eller tidspunktet for en afgørelse. Selv hvis appellen ikke får medhold, består de andre veje til et bortfald, og den næste revision venter efter Kommissionens egen tidsplan i 2027. Det siger heller ikke noget om, hvorvidt en konkret overførsel er lovlig i dag. Den vurdering hører til jurister og tilsynsmyndigheden.

Betydningen for exit-planen

Rammen har været gyldig siden juli 2023 og blev opretholdt af Retten i september 2025. Den hviler stadig på amerikanske regler, som kan ændres, og på en appelsag, der ikke er afgjort. Exit-planen bør derfor rumme et scenarie, hvor grundlaget forsvinder uden varsel, og en plan for de systemer, der rammes hårdest.

Begynd med de systemer, der behandler flest personoplysninger hos amerikanske leverandører, og notér grundlaget for hver overførsel. Finanssektorens krav til exitstrategier giver en model for arbejdet, jf. → DORA og exitstrategien. En uvildig jurisdiktions- og afhængighedsvurdering kan bruges, når mange systemer hviler på samme grundlag.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026