Tredje gången gillt? Varför era molntjänster hänger på ett amerikanskt domstolsbeslut

Europeiska dataskyddsstyrelsen (EDPB) har skickat ett brev till EU-kommissionen och bett den ompröva EU-US Data Privacy Framework. Bakgrunden är en dom i USA:s högsta domstol som rör den amerikanska tillsynsmyndigheten FTC:s oberoende, vilket enligt EDPB kan påverka de garantier som avtalet vilar på. Hunton och IAPP har sammanfattat läget, och svenska IMY har informerat om att domen kan påverka överföringar till USA.

Viktigt: adekvansbeslutet från juli 2023 gäller fortfarande. EDPB har skrivit en förfrågan, inte ett domslut.

Data Privacy Framework är den rättsliga grund som gör det enkelt att använda amerikanska tjänster. Microsoft 365, Google Workspace, de flesta CRM- och supportverktyg, och numera nästan alla AI-tjänster. Om ni har anställdas eller kunders personuppgifter i något av dem, vilket ni har, så vilar det i praktiken på det här avtalet.

Det här är dessutom tredje gången samma sak händer. Safe Harbour föll 2015. Privacy Shield föll 2020. Varje gång stod tusentals europeiska företag och undrade vad de skulle göra. Mönstret är tydligt nog för att det ska löna sig att förbereda sig en gång, ordentligt.

Här vill vi vara raka, för det finns gott om skrämselrubriker i den här frågan. Ett brev från EDPB betyder inte att era molntjänster blir olagliga i morgon. IAPP har publicerat en välargumenterad motanalys som menar att den prövningsmekanism avtalet bygger på överlever domen.

Att panikflytta hela verksamheten till en europeisk molntjänst för att en tillsynsmyndighet skrivit ett brev är dyrt, störande och sannolikt onödigt. Att inte veta vilka leverantörer ni har och på vilken grund ni skickar data till dem är däremot ett problem oavsett hur den här frågan slutar.

• Gör en leverantörslista. Vilka tjänster behandlar personuppgifter åt er, var ligger de, och på vilken rättslig grund? Det tar en eftermiddag och är gratis.
• Notera vilka som är amerikanska. Det är de som berörs om avtalet ändras. Ni behöver veta vilka de är innan ni behöver veta det.
• Fråga era viktigaste leverantörer vad deras plan B är. De stora har redan svar, till exempel om datalagring inom EU. Det kostar er ett mejl.
• Flytta ingenting i panik. Fatta beslut när det finns ett beslut att förhålla sig till, inte när det finns en rubrik.

Den här sortens kartläggning ingår i vår IT-konsultation: dokumenterat, i klarspråk och leverantörsneutralt. Vill ni veta var era personuppgifter faktiskt tar vägen i dag? Boka en kostnadsfri konsultation.