Räcker ramverket för dataskydd mellan EU och USA?

Ramverket för dataskydd mellan EU och USA är i dag den enklaste vägen för att föra över personuppgifter till USA. Det vilar på de begränsningar av underrättelseinhämtningen som beskrivs i FISA 702 och vad underrättelselagar betyder för molnet, och det är en central del av frågan om amerikanska lagar och data som lagras i Europa.

Vad ramverket gör

Sedan den 10 juli 2023 finns ett beslut från EU-kommissionen om att USA har en adekvat skyddsnivå för personuppgifter som förs över till organisationer som har anslutit sig till ramverket för dataskydd mellan EU och USA. En tredjelandsöverföring till en sådan organisation kräver då inga ytterligare skyddsåtgärder. Det har förenklat arbetet för många verksamheter, och bakom ramverket ligger ett långt arbete på båda sidor.

Ramverket vilar på presidentordern Executive Order 14086 från 2022. Den kräver att amerikansk underrättelseinhämtning ska vara nödvändig och proportionerlig och har inrättat en domstol för klagomål, Data Protection Review Court, dit människor i EU kan vända sig.

Vad som prövas

Ramverket är det tredje i sitt slag. EU-domstolen underkände de två tidigare, det senaste i domen Schrems II 2020, och det nya ramverket byggdes för att möta domstolens invändningar.

Den 3 september 2025 ogillade tribunalen vid EU-domstolen en talan om att ogiltigförklara ramverket, i mål T-553/23. Tribunalen fann att USA hade en adekvat skyddsnivå när beslutet fattades. Domen överklagades den 31 oktober 2025, och målet pågår nu vid EU-domstolen som mål C-703/25 P. Något datum för ett avgörande finns inte.

Frågor har också ställts om tillsynen i USA. I januari 2025 avsattes ledamöter i den amerikanska nämnd som granskar integritetsskyddet i underrättelsearbetet. EU-kommissionen svarade Europaparlamentet att presidentordern fortfarande gäller och att kommissionen följer utvecklingen.

Ramverkets gränser

Ramverket gäller personuppgifter som förs över till anslutna organisationer. Sekretess i allmänhet omfattas inte, och inte heller uppgifter utan personuppgifter, som affärshemligheter. Ramverket reglerar hur amerikansk inhämtning ska begränsas och prövas, men myndigheterna kan fortfarande begära ut uppgifter enligt CLOUD Act eller 702.

För överföringar utanför ramverket finns standardavtalsklausuler. Efter Schrems II behöver de ofta kompletteras med en bedömning av mottagarlandets lagar och vid behov med extra åtgärder. Europeiska dataskyddsstyrelsen har gett rekommendationer för det arbetet.

En plan för båda utfallen

Ett ramverk som gäller är en god grund att stå på. Men eftersom det prövas bör ni veta vad ni gör om det faller. Kartlägg vilka tjänster som för över personuppgifter till USA och vilken grund varje överföring vilar på. Fråga leverantören om den har anslutit sig till ramverket och hur den agerar om beslutet ogiltigförklaras. Bestäm vilka uppgifter som i så fall behöver flyttas, och vart.

Ett avtal som gör det lätt att ta med sig data underlättar ett sådant byte, se vad som händer med er data när avtalet tar slut. En plan B kan också vara en lösning där uppgifterna aldrig förs över, till exempel AI som körs i Sverige eller i en egen installation. De svenska reglerna för myndigheter beskrivs i nästa del, molntjänster och sekretess i offentlig sektor.

Så fungerar det i iSearch

iSearch kan köras hos er, med hela kedjan i er egen miljö och utan publika AI-tjänster. Hos oss sker driften i Sverige, av ett svenskt bolag utan amerikanska ägare och utan amerikanskägda underleverantörer för driften, i en egen, avskild miljö för varje kund.

Både hos er och hos oss kan iSearch köras helt utan publika AI-tjänster, med språkmodellen i Sverige eller i er egen miljö. Då förs inga uppgifter över till USA, och frågan om ramverket uppstår inte för dem.

Väljer ni att använda publika AI-tjänster vilar överföringen av de uppgifter som skickas dit på ramverket eller på standardavtalsklausuler. Om de förutsättningarna ändras påverkas just den delen, och ni kan då fortsätta utan publika AI-tjänster. Läs mer om GDPR och AI eller boka en genomgång.