Adekvansbeslutet för dataöverföringar mellan EU och USA utmanas

Överföring av personuppgifter från EU till USA har länge varit omdiskuterat ur ett dataskyddsrättsligt perspektiv. Sedan 2023 gäller EU-US Data Privacy Framework, som tillhandahåller mekanismer för överföring av personuppgifter från EU till amerikanska organisationer, samt EU-kommissionens adekvansbeslut, genom vilket kommissionen har fastställt att USA erbjuder en tillräcklig skyddsnivå för sådana överföringar.

Efter att den amerikanska högsta domstolen, i målet Trump v. Slaughter från den 29 juni i år, gett presidenten en rätt att avsätta ledamöter i Federal Trade Commission ifrågasätts nu huruvida det oberoende som krävs för adekvansbeslutets giltighet kan säkerställas. Då Federal Trade Commissions verksamhet agerar som en viktig garanti för säker överföring av data mellan EU och USA riskerar den aktuella domen att omkullkasta Data Privacy Framework, vilket har uppmärksammats på flera håll inom EU.

Nedan ger vi en kort sammanfattning av det senaste rörande överföringar av personuppgifter från EU till USA.

Kort bakgrund till Data Privacy Framework

Överföringar av personuppgifter till tredjeland, det vill säga länder utanför EU/EES, får enligt GDPR endast ske under vissa förutsättningar. En möjlighet är att EU-kommissionen beslutar att det aktuella landet säkerställer en tillräckligt hög, eller adekvat, nivå av dataskydd. Om ett sådant adekvansbeslut har antagits får personuppgifter överföras utan att ytterligare skyddsåtgärder behöver vidtas för själva överföringen. EU-kommissionen ansvarar för att löpande utvärdera antagna adekvansbeslut och kan återkalla, ändra eller upphäva ett beslut om ett land inte längre anses säkerställa en adekvat skyddsnivå.

Precis som tidigare upphävda adekvansbeslut för överföringar från EU till USA, har även det nuvarande sedan antagandet 2023 ifrågasatts vid upprepade tillfällen. Bland annat har det utmanats i det uppmärksammade målet Latombe v. Commission (T-553-23), som vi skrivit om här. I sitt avgörande kom EU-domstolen fram till att en adekvat skyddsnivå säkerställdes vid tidpunkten för EU-kommissionens antagande av adekvansbeslutet. EU-domstolens avgörande har överklagats, vilket du kan läsa mer om här.

Ny dom i USA utmanar adekvansbeslutets giltighet

En central förutsättning för det adekvansbeslut som ligger till grund för Data Privacy Framework är att ramverkets skyddsregler omfattas av effektiv och oberoende tillsyn och kan verkställas i praktiken. Bland annat har amerikanska Federal Trade Commission en viktig roll genom att övervaka att certifierade amerikanska företag följer ramverkets principer och ingripa vid överträdelser.

Under 2025 avsatte Donald Trump ett antal demokratiska ledamöter i oberoende tillsynsorgan, bland annat Federal Trade Commission, från sina uppdrag. Trumps åtgärder utmanades i rätten och den amerikanska högsta domstolen meddelade den 29 juni 2026 sin dom i målet Trump v. Slaughter, som gällde huruvida presidenten har rätt att, utan särskild grund, avsätta en ledamot från sitt uppdrag. Domstolen kom fram till att presidenten har rätt att kontrollera samtliga federala verkställande organ och att lagar som gör myndigheter oberoende av presidenten är att betrakta som grundlagsstridiga. Detta innebär i förlängningen att presidenten är i sin fulla rätt att avsätta ledamöter.

Domslutet har skapat tvivel kring huruvida Federal Trade Commission kan betraktas som tillräckligt oberoende för att EU-kommissionens adekvansbeslut fortsatt ska stå sig. Bland annat skickade den österrikiska integritetsaktivisten Max Schrems organisation, None of Your Business, noyb, ett öppet brev till kommissionen i vilket de pekar på hur utfallet i Trump v. Slaughter innebär en konstitutionell lagkrock med EU-rättens krav på oberoende tillsynsmyndigheter. Noyb uppmanade också kommissionen att återkalla Data Privacy Framework och meddelade att de planerar att utmana adekvansbeslutet på rättslig väg. Noybs brev kan läsas här.

Därefter har European Data Protection Board (EDPB), som är ett oberoende EU-organ med uppgift att säkerställa att GDPR tillämpas enhetligt inom EU/EES, uttryckt oro till kommissionen för vad Trump v. Slaughter kan och bör innebära för Data Privacy Framework. EDPB framhävde bland annat hur kommissionen i adekvansbeslutet uttryckligen refererar till amerikanska myndigheters, däribland Federal Trade Commissions, oberoende, och uppmanar kommissionen att bedöma hur domslutet påverkar adekvansbeslutet. EDPB:s brev till EU-kommissionen kan läsas här.

Vad händer nu?

Det återstår att se vilken prövning EU-kommissionen gör med anledning av det amerikanska avgörandet och EDPB:s uppmaning. Även det pågående överklagandet i Latombe-målet kan komma att få betydelse för adekvansbeslutets fortsatta giltighet.

Tills vidare gäller dock adekvansbeslutet och personuppgifter kan fortsatt överföras med stöd av beslutet till amerikanska organisationer som är anslutna till Data Privacy Framework. Samtidigt uppmanar Integritetsskyddsmyndigheten organisationer att hålla sig informerade och säkerställa beredskap för hur man gör om adekvansbeslutet skulle upphävas.

Välkommen att höra av er till oss på Cederquist om ni har några frågor rörande rättsläget vid överföring av personuppgifter till USA eller några andra dataskyddsrättsliga frågor.