Den osäkra bron över Atlanten – Del 3: Data Privacy Framework – den tredje som rasade

2023 försökte EU och USA igen.

Det nya avtalet hette EU-US Data Privacy Framework. Det skulle äntligen lösa problemen en gång för alla. Fler certifierade företag. Fortsatt smidig dataöverföring till amerikanska molntjänster. GitHub, stora molnplattformar, vanliga SaaS-verktyg – allt skulle kunna användas “lagligt”.

Det var många som andades ut.

Mindre än tre år senare var frågan åter öppen.

Vad byggde det tredje avtalet på?

Det stora löftet var att USA nu hade “stärkt” skyddet. Särskilt två saker nämndes ofta:

• Federal Trade Commission (FTC) skulle agera som oberoende tillsynsmyndighet.
• Det fanns en särskild “Data Protection Review Court” och andra mekanismer för att hantera klagomål.

I EU-kommissionens beslut som godkände avtalet refereras FTC:s oberoende över 250 gånger. Det var en central pelare.

Om den pelaren ger vika – vad händer då med hela huset?

Juni 2026: Pelaren rasar

Den 29 juni 2026 fattade USA:s högsta domstol ett beslut i målet Trump v. Slaughter.

Domstolen slog fast att presidenten har rätt att avsätta FTC-kommissionärer när han vill. Det gamla skyddet som gjorde FTC “oberoende” från den politiska makten ansågs grundlagsstridigt.

Plötsligt var den myndighet som hela DPF vilade på inte längre oberoende på det sätt EU kräver.

EU-rätten (stadgan om de grundläggande rättigheterna) kräver att tillsyn över dataskydd ska skötas av en oberoende myndighet. Inte en myndighet som kan styras direkt av presidenten.

Samma dag började Max Schrems och organisationen noyb kräva att EU-kommissionen drar tillbaka godkännandet av avtalet.

Det var inte bara FTC

Redan tidigare hade andra delar av “skyddet” försvagats:

• PCLOB (Privacy and Civil Liberties Oversight Board) hade tappat sin beslutsförhet.
• Den särskilda domstolen för dataskyddsklagomål var skapad genom en presidentorder – något som kan ändras när som helst.
• Vissa övervakningslagar hade löpt ut eller ifrågasatts.

Tillsammans målade det en bild: Det tredje avtalet vilade på en juridisk konstruktion som var känslig för politiska vindar i USA.

Vad betyder det för er som använder amerikanska tjänster?

Ingenting blir olagligt över en natt så länge avtalet formellt gäller.

Men:

• Osäkerheten är tillbaka. Varje bedömning (TIA) ni gör för Standard Contractual Clauses eller Binding Corporate Rules blir svårare att motivera.
• I offentliga upphandlingar och revisioner kommer frågan “hur hanterar ni den här risken?” att ställas oftare och skarpare.
• För organisationer som hanterar särskilt skyddsvärda uppgifter (hälsa, barn, medborgardata, forskning, försvar) blir det ännu mer kännbart.

Frågan har gått från “Är det här tillåtet idag?” till “Hur länge kan vi räkna med att det är tillåtet?”

Tre kollapser på elva år

• Safe Harbour: ~15 år
• Privacy Shield: ~4 år
• Data Privacy Framework: ~3 år

Det är inte otur. Det är ett mönster.

Varje gång har man försökt laga symptomen utan att ändra de grundläggande skillnaderna i hur de två sidorna ser på integritet och statlig makt.

Var står vi nu?

Formellt gäller fortfarande det tredje avtalet. EU-kommissionen har inte dragit tillbaka det. Domstolarna har inte ogiltigförklarat det.

Men grunden har försvagats på ett sätt som är svårt att ignorera.

Många europeiska organisationer – särskilt de som tar digital suveränitet på allvar – har redan valt en annan väg: De bygger så mycket som möjligt utan att behöva förlita sig på transatlantiska dataöverföringar för kärnverksamheten.

I den sista delen tittar vi på just den vägen. Vad innebär det egentligen att välja lösningar inom er egen jurisdiktion – och varför det ger mer än bara “compliance”?

Vill ni veta hur ni kan minska ert beroende av avtal som kan ändras när som helst?

Openers hjälper kommuner, myndigheter, företag och ideella organisationer att välja och införa lösningar där data och kontroll stannar inom svensk eller europeisk jurisdiktion.

Boka ett möte eller utforska våra erbjudanden inom infrastruktur och compliance.