Retsgrundlag og status
EU-US Data Privacy Framework (DPF) fastholder aktuelt et lovligt grundlag for overførsel af personoplysninger til certificerede modtagere i USA. Ordningen bygger på EU-Kommissionens tilstrækkelighedsafgørelse efter GDPR kapitel V og gør det muligt at behandle data, som om behandlingen skete inden for EU, forudsat at modtageren er tilmeldt DPF.
Det amerikanske retsgrundlag blev etableret ved præsidentielt dekret med indførelse af bindende sikkerhedsforanstaltninger, proportional begrænsning af efterretningstjenesternes adgang, en uafhængig klagemekanisme og mulighed for domstolskontrol for EU-borgere. Kommissionen bekræftede i 2023 og igen i 2024, at beskyttelsesniveauet er tilstrækkeligt.
Politisk usikkerhed i USA
Ordningen er sårbar, fordi den hviler på præsidentielt dekret og institutioner, hvis uafhængighed skal være reel. Udskiftninger i Privacy and Civil Liberties Oversight Board (PCLOB) har rejst tvivl om den fremadrettede uafhængighed. Hvis dekretet svækkes eller klagesystemet udhules, udfordres tilstrækkelighedsafgørelsens præmisser.
Et bortfald kan ske ved, at EU-Kommissionen tilbagekalder afgørelsen, eller at EU-Domstolen underkender den i en prøvesag, som vi så i Schrems I og II. Den næste planlagte Kommissionsrevision er i 2027, men et hurtigt politisk omslag i USA kan udløse en tidligere reaktion. Indtil videre er DPF dog gældende, og overførsler kan fortsætte inden for ordningens rammer.
Praktiske skridt for dataansvarlige
Mange europæiske organisationer er afhængige af cloudtjenester med USA-tilknytning. Et pludseligt bortfald af DPF vil derfor få vidtrækkende konsekvenser. Standardkontraktbestemmelser eller BCR kan i praksis være utilstrækkelige, hvis myndighedsadgang i modtagerlandet ikke kan afbødes med effektive tekniske foranstaltninger.
Datatilsynet forventer proaktiv planlægning. En opdateret exit-plan reducerer både drifts- og compliance-risiko og dokumenterer ansvarlighed, hvis tilsynet spørger. Følgende tiltag bør overvejes og dokumenteres:
- Kortlægning af dataflow, modtagere og overførselsgrundlag.
- Alternative leverandører, datalokalisering og segmentering.
- Stærk kryptering, nøglekontrol og zero trust-arkitektur.
- Opdatering af TIA, SCC/BCR og beredskabsplan for hurtig overgang.
Hold samtidig øje med EDPB-vejledninger, nationale tilsynssignaler og eventuelle retlige udfordringer ved EU-Domstolen. Indbyg governance for løbende review, så kontrakter, risikovurderinger og tekniske foranstaltninger kan justeres uden varsel.
