EU-U.S. Data Privacy Framework gør det muligt at overføre personoplysninger til en amerikansk virksomhed uden standardkontrakter, når virksomheden er selvcertificeret og står som aktiv på listen hos det amerikanske handelsministerium. Tjekket består derfor af tre spørgsmål: Er det netop jeres modtager, der står på listen? Er certificeringen aktiv? Dækker den de oplysninger, I sender? Rammen gælder i dag. Retten frifandt Kommissionen den 3. september 2025, og efter de seneste oplysninger, vi har set pr. november 2026, verserer der en appel ved EU-Domstolen. I bør derfor kende jeres plan, hvis rammen falder, for det skete for forgængeren.
Hvad rammen er
Kommissionen vedtog den 10. juli 2023 afgørelse (EU) 2023/1795, en tilstrækkelighedsafgørelse efter art. 45. Datatilsynet forklarer, at afgørelsen alene kan bruges, når I overfører til organisationer, der har certificeret sig hos handelsministeriet. Virksomheden forpligter sig selv på en række principper for databeskyttelse. Afgørelsen dækker altså ikke USA som land.
Det betyder, at en overførsel til en virksomhed uden aktiv certificering skal have et andet grundlag. EDPB’s vejledning til europæiske virksomheder, version 2.0 af 15. januar 2026, nævner bindende virksomhedsregler og standardkontrakter som mulighederne. Hvad I så skal gøre, står i standardkontrakter og TIA.
Ikke alle kan certificeres. EDPB skriver, at virksomheden skal høre under de amerikanske myndigheder FTC eller Department of Transportation. Det udelukker fx nonprofitorganisationer, banker, forsikringsselskaber og teleselskaber for deres teletjenester.
Sådan tjekker I listen
EDPB beskriver, hvad den, der sender oplysningerne, skal kontrollere før overførslen.
- Find den rigtige juridiske enhed. Slå det selskab op, der modtager oplysningerne. Læs aftalen og listen over underdatabehandlere for at finde navnet. En europæisk kontraktpart er ikke altid modtageren i USA.
- Kontrollér, at certificeringen er aktiv. Certificeringer skal fornyes årligt. Listen rummer også virksomheder, der er fjernet, og for dem kan I ikke bruge rammen.
- Kontrollér dækningen. Certificeringen skal dække de oplysninger, I sender.
- Tjek datterselskaber. Er modtageren et datterselskab af en certificeret virksomhed, skal I undersøge, om moderens certificering også omfatter datterselskabet.
- Gem tjekket. Skriv dato, selskab og resultat ned, så I kan vise, hvad I så. Det er vores råd, og det følger af ansvarligheden i art. 5, stk. 2.
Gentag tjekket fast, fx ved den årlige gennemgang af leverandører. Listen opdateres løbende, og Datatilsynet henviser selv til den.
Medarbejderoplysninger kræver særlig opmærksomhed
Rammen kan omfatte alle typer personoplysninger, også sundhedsoplysninger og HR-data fra et ansættelsesforhold, så længe modtageren er certificeret til dem. EDPB gør opmærksom på, at ikke alle certificeringer dækker HR-data.
Sender I oplysninger om medarbejdere til fx et amerikansk HR-system, skal modtageren efter EDPB enten have en aktiv certificering, der dækker dem som HR-data, eller have en certificering, der dækker dem som anden type oplysninger, og i sin privatlivspolitik have forpligtet sig til at samarbejde med og følge EU’s tilsynsmyndigheder. I skal også fortælle modtageren, at overførslen omfatter HR-data.
Certificeringen løser kun overførslen
Rammen opfylder kapitel V. Alle andre krav gælder stadig.
- Er modtageren databehandler, skal I have en databehandleraftale efter art. 28, uanset certificeringen. EDPB siger det udtrykkeligt.
- Er modtageren dataansvarlig, skal I have et behandlingsgrundlag efter art. 6.
- Oplysningspligten gælder. I skal oplyse de registrerede om, at overførslen sker på grundlag af tilstrækkelighedsafgørelsen.
- Underdatabehandlere skal tjekkes for sig. Bruger leverandøren andre leverandører i USA eller andre lande, skal der være grundlag for det led også.
Hvad der gælder for data, der ligger i EU hos en amerikansk leverandør, er et andet spørgsmål, se amerikanskejet leverandør i EU.
Status for sagen ved EU-Domstolen
Retten frifandt Kommissionen i sag T-553/23 den 3. september 2025, så søgsmålet om annullation førte ikke til noget. Der blev indgivet appel den 31. oktober 2025 som sag C-703/25 P, offentliggjort i EUT den 22. december 2025. Appellanten kræver dommen ophævet og afgørelsen annulleret.
Efter de seneste oplysninger, vi har set pr. november 2026, er appellen verserende. Vi har ikke set en retsmødedato eller et forslag til afgørelse. Slå status op hos EU-Domstolen, før I træffer en større beslutning. Afgørelsen er gældende, indtil andet er fastslået.
Hvis rammen falder
I 2020 erklærede EU-Domstolen forgængeren Privacy Shield ugyldig i Schrems II-dommen. Domstolen lagde vægt på, at beskyttelsen skal svare i det væsentlige til EU’s niveau. EDPB’s anbefalinger 01/2020 siger, at den, der bruger en tilstrækkelighedsafgørelse, skal holde øje med, om den bliver trukket tilbage eller kendt ugyldig.
Det kan I forberede nu uden at gøre noget stort ud af det.
- Hav en liste over de overførsler, der alene bygger på rammen.
- Undersøg, om aftalen med leverandøren allerede rummer standardkontrakter som reserve.
- Noter, hvilke overførsler der er sværest at flytte, og hvad de betyder for driften. Selve leverandørafhængigheden ligger uden for GDPR og hører til exit-planen.
Hvor hurtigt I skal reagere, afhænger af dommen, og spørgsmålet er til den tid et spørgsmål til advokat.
Det skal I lade være med
- At stole på leverandørens tekst om certificering · tjek listen selv.
- At tjekke koncernens navn og ikke selskabets · modtageren skal være dækket.
- At droppe databehandleraftalen, fordi leverandøren er certificeret · art. 28 gælder stadig.
- At antage, at HR-data er med · det er ikke alle certificeringer, der dækker dem.
Det skal I kræve af den eksterne
- ☐ Kontrol af de amerikanske modtagere mod listen med dato.
- ☐ Vurdering af, om certificeringen dækker jeres oplysninger.
- ☐ Rådgivning om reservegrundlag, hvis rammen falder.
- ☐ Besked til ledelsen, når der sker noget i sagen ved EU-Domstolen.
Kilder
- Kommissionens afgørelse (EU) 2023/1795 af 10. juli 2023.
- Datatilsynet: Overførsler til USA: læst 5. november 2026.
- EDPB: EU-U.S. Data Privacy Framework F.A.Q. for European businesses, version 2.0: 15. januar 2026.
- Data Privacy Framework List: listen hos det amerikanske handelsministerium.
- Retten, T-553/23, 3. september 2025.
- Appel C-703/25 P, EUT C/2025/6610.
- EU-Domstolen, C-311/18 (Schrems II), 16. juli 2020.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Standardkontrakter og TIA · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
