Schrems II-dommen endret reglene for overføring av personopplysninger fra EØS til USA. Men rettstilstanden i dag er ikke den samme som rett etter dommen i 2020. EU vedtok et nytt rammeverk for dataoverføringer til USA i 2023. Det gjør enkelte overføringer enklere, men bare når mottakeren omfattes av rammeverket. For andre overføringer gjelder fortsatt kravene som fulgte av Schrems II.
Denne artikkelen forklarer hva dommen faktisk innebar, hva som er endret, og hva norske virksomheter bør kontrollere før de velger en skytjeneste. Fremstillingen er generell informasjon, ikke juridisk rådgivning i en konkret sak.
Kort forklart: Hva var Schrems II?
Schrems II er navnet som vanligvis brukes om EU-domstolens avgjørelse i sak C-311/18 fra 16. juli 2020. Saken gjaldt overføring av personopplysninger fra Facebooks europeiske virksomhet til USA.
EU-domstolen satte Privacy Shield-avtalen til side. Avtalen hadde frem til da vært et rettslig grunnlag for overføringer til sertifiserte amerikanske virksomheter. Domstolen mente at beskyttelsen mot amerikanske myndigheters tilgang og mulighetene for rettslig prøving ikke ga et beskyttelsesnivå som i tilstrekkelig grad tilsvarte nivået i EU.
Samtidig slo domstolen fast at EUs standard personvernbestemmelser, ofte kalt Standard Contractual Clauses eller SCC, fortsatt kunne brukes. En signert standardavtale var likevel ikke nok i seg selv. Virksomheten måtte vurdere om lovgivningen og praksisen i mottakerlandet gjorde at avtalen faktisk kunne etterleves. Dersom beskyttelsen ikke var tilstrekkelig, måtte virksomheten innføre supplerende tiltak eller stanse overføringen.
Hva endret seg i 2023?
Den 10. juli 2023 vedtok EU-kommisjonen en ny beslutning om tilstrekkelig beskyttelsesnivå for USA: EU-US Data Privacy Framework, ofte forkortet DPF. Beslutningen bygger blant annet på amerikanske regelendringer og nye klagemekanismer.
Konsekvensen er viktig: Personopplysninger kan overføres fra EØS til en amerikansk virksomhet som står på den offisielle DPF-listen, uten at avsenderen må etablere et eget overføringsgrunnlag etter personvernforordningen artikkel 46. Overføringen bygger da på EU-kommisjonens beslutning etter artikkel 45.
Dette gjelder ikke automatisk for alle amerikanske selskaper. Den konkrete juridiske mottakeren må være sertifisert, og sertifiseringen må dekke de aktuelle personopplysningene. Det er derfor nødvendig å kontrollere både leverandørens kontraktspart, tjenesten som brukes, og statusen i den offisielle Data Privacy Framework-listen.
EU-kommisjonen oppgir fortsatt USA, for deltakende kommersielle virksomheter, blant områdene med tilstrekkelig beskyttelsesnivå. Kommisjonens første periodiske gjennomgang av rammeverket ble publisert i oktober 2024.
Gjelder Schrems II fortsatt?
Ja. DPF har ikke gjort vurderingene fra Schrems II irrelevante. Rammeverket har opprettet en ny vei for overføring til sertifiserte amerikanske mottakere. Når mottakeren ikke står på DPF-listen, må virksomheten bruke et annet gyldig overføringsgrunnlag, for eksempel SCC eller bindende virksomhetsregler.
Da gjelder fortsatt plikten til å vurdere om overføringsverktøyet virker i praksis. Det europeiske personvernrådet beskriver fremgangsmåten i sine anbefalinger om supplerende tiltak. Vurderingen omtales ofte som en Transfer Impact Assessment, eller TIA.
Det europeiske personvernrådet presiserer også i sin oppdaterte veiledning om DPF at overføring til en virksomhet på DPF-listen kan bygge på beslutningen om tilstrekkelig beskyttelsesnivå. Overføring til en mottaker som ikke er omfattet, krever et annet overføringsgrunnlag.
Er rammeverket rettslig avklart?
Rammeverket er i kraft, men det er fortsatt gjenstand for rettslig prøving. EUs underrett avviste i september 2025 et søksmål som krevde at beslutningen skulle annulleres. Retten kom til at USA på tidspunktet for beslutningen sikret et tilstrekkelig beskyttelsesnivå.
Dommen er anket. Ankesaken C-703/25 P var fortsatt registrert som pågående hos EU-domstolen da denne artikkelen ble oppdatert 16. september 2026. Det betyr at DPF-beslutningen fortsatt gjelder nå, men virksomheter bør følge med på rettsutviklingen. En pågående anke er ikke det samme som at rammeverket er satt til side.
Er det nok at data lagres i Europa?
Nei. Et europeisk datasenter kan redusere risiko og være et viktig kontraktskrav, men serverens plassering gir ikke hele svaret. En overføring kan også skje når personopplysninger gjøres tilgjengelige for en mottaker i et tredjeland, for eksempel gjennom fjernsupport, administratortilgang, overvåking eller bruk av underleverandører.
Samtidig er det for kategorisk å si at en amerikansk leverandør alltid innebærer en ulovlig overføring. Virksomheten må undersøke den faktiske behandlingskjeden:
- Hvilken juridisk enhet inngår avtalen?
- Hvor lagres og behandles personopplysningene?
- Hvem kan få tilgang til dem, og fra hvilke land?
- Hvilke underleverandører brukes?
- Er mottakeren sertifisert under DPF, eller brukes et annet overføringsgrunnlag?
- Hvilke tekniske og organisatoriske tiltak begrenser tilgang?
Problemstillingen henger sammen med datasuverenitet: kontroll handler både om hvor data befinner seg, hvem som kan behandle dem, og hvilke lover og avtaler som gjelder.
En praktisk kontroll før valg av skytjeneste
1. Kartlegg data og roller
Start med å avklare hvilke personopplysninger tjenesten skal behandle. Vanlige kontaktopplysninger, helseopplysninger og store mengder adferdsdata gir ikke samme risiko. Avklar også hvem som er behandlingsansvarlig, databehandler og eventuell underdatabehandler.
2. Finn alle relevante overføringer
Ikke begrens kartleggingen til hovedserveren. Undersøk sikkerhetskopier, feilsøking, kundestøtte, telemetri, e-postvarsler og andre integrasjoner. Be leverandøren om en oppdatert liste over underleverandører og behandlingssteder.
3. Kontroller overføringsgrunnlaget
Dersom leverandøren viser til DPF, bør virksomheten kontrollere oppføringen i den offisielle listen. Navnet i listen må svare til den juridiske mottakeren, og sertifiseringen må være aktiv og relevant for opplysningene. En generell formulering på leverandørens nettside er ikke like god dokumentasjon.
Hvis mottakeren ikke er omfattet av DPF, må et annet overføringsgrunnlag være på plass. Ved bruk av SCC må virksomheten vurdere om mottakeren kan overholde klausulene i praksis.
4. Vurder supplerende tiltak
Aktuelle tiltak kan være kryptering, kundestyrte nøkler, pseudonymisering, streng tilgangsstyring og begrensning av supporttilgang. Tiltaket må virke mot den konkrete risikoen. Kryptering hjelper lite mot en aktør som både har tilgang til dataene og nøkkelen når behandlingen skjer.
5. Dokumenter og følg opp
Vurderingen bør kunne etterprøves. Dokumenter hvilke databevegelser som er kartlagt, hvilket overføringsgrunnlag som brukes, og hvorfor tiltakene anses tilstrekkelige. Gjennomgå vurderingen når leverandøren endrer underleverandører, tjenesteoppsett eller avtalevilkår, eller når rettstilstanden endres.
Tre vanlige misforståelser
«Alle amerikanske skytjenester er ulovlige»
Nei. Lovligheten avhenger av den konkrete behandlingen, mottakeren og overføringsgrunnlaget. DPF gir et gyldig grunnlag for overføring til sertifiserte deltakere så lenge beslutningen står ved lag.
«Et datasenter i EU løser alt»
Nei. Europeisk lagring kan være viktig, men virksomheten må også undersøke fjernaksess, support, underleverandører og andre former for tilgjengeliggjøring.
«En europeisk leverandør er automatisk i samsvar med GDPR»
Nei. Leverandørens hjemland erstatter ikke krav til behandlingsgrunnlag, databehandleravtale, informasjonssikkerhet, dataminimering og kontroll med underleverandører. Europeisk eierskap kan forenkle enkelte tredjelandsvurderinger, men er ingen fullstendig garanti.
Hva betyr Schrems II for norske virksomheter i dag?
Schrems II betyr først og fremst at virksomheten må kjenne den reelle dataflyten og kunne forklare hvorfor en overføring er lovlig. Det holder ikke å vise til en standardavtale uten å forstå hvem som kan få tilgang til opplysningene.
DPF har gjort overføring til sertifiserte amerikanske virksomheter enklere enn i perioden mellom 2020 og 2023. Men sertifisering må kontrolleres, og andre personvernkrav gjelder fortsatt. For mottakere utenfor rammeverket består behovet for et annet overføringsgrunnlag, en konkret vurdering og eventuelle supplerende tiltak.
For virksomheter som vil forstå hvorfor amerikansk jurisdiksjon fortsatt diskuteres, gir artikkelen CLOUD Act forklart mer bakgrunn. CLOUD Act og GDPR regulerer ulike spørsmål, og den ene loven avgjør ikke alene om en konkret skytjeneste kan brukes.
Kilder og videre lesning
Artikkelen ble vesentlig oppdatert 16. september 2026. Oppdateringen tar inn EU-US Data Privacy Framework, dommen fra EUs underrett i 2025 og den pågående ankesaken.
