2025-09-08
LAGAR & REGLER
Den i GDPR väl insatte vet att det sedan ett par år tillbaka varit juridiskt osäker mark när det kommer till tredjelandsöverföringar och då i synnerhet till USA. Genom de så kallade Schrems I och II-domarna har de tidigare möjliga överföringsåtgärderna ogiltigförklarats.
Sedan den 10 juli 2023 har det varit tillåtet att föra över personuppgifter till USA om mottagaren är ansluten till det så kallade Data Privacy Framework-avtalet (DPF). Detta benämns också som adekvansbeslutet. Sedan dess har dock många väntat på Schrems III. EU-domstolen har nu i en dom den 3 september 2025 ogillat talan om att DPF-avtalet ska ogiltigförklaras och bekräftat att USA vid tiden för EU-kommissionens beslut säkerställde en adekvat skyddsnivå. Detta beslut gäller således även fortsatt under förutsättning att mottagaren anslutit sig till DPF. Notera dock att domen fortfarande kan överklagas.
Om det finns information som visar att ett adekvat skydd inte längre kan säkerställas kan EU-kommissionen återkalla, ändra eller upphäva beslutet. Även EU-domstolen kan ogiltigförklara ett beslut om adekvat skyddsnivå. Det är därför bra att ha alternativa överföringsmekanismer redo eller en plan på hur informationen ska hanteras i händelse av en återkallelse av adekvansbeslutet.
GDPR-manual
Vill du veta mer om GDPR och om vad du ska tänka på vid exempelvis överföring av personuppgifter till tredjeland? Ta då gärna del av vår GDPR-manual eller kontakta våra jurister. Ni hittar också vägledning på IMY:s hemsida.