EU-USA dataaftale truet: Max Schrems sætter stød til efter Trump-afgørelse

Endnu en gang hænger den transatlantiske datastrøm i en tynd tråd. Max Schrems – manden der tidligere har fældet både Safe Harbor og Privacy Shield – varsler nu sagsanlæg mod den nuværende EU-USA Data Privacy Framework (DPF), og timingen er ikke tilfældig.

Baggrunden er en afgørelse fra USA's Højesteret, der udvider præsident Trumps executive beføjelser og svækker den uafhængige kontrol med de amerikanske efterretningstjenester. Det er netop denne uafhængige kontrol, som EU-Domstolen i sin tid krævede som betingelse for at godkende DPF.

Tredje gang er ulykke?

Det er ikke første gang, vi er her. I 2015 fældede EU-Domstolen Safe Harbor-aftalen efter Snowden-afsløringerne, og i 2020 faldt Privacy Shield i Schrems II-dommen. Begge gange var grundlaget det samme: USA's masseovervågning og manglen på reel retsbeskyttelse for europæiske borgere.

DPF fra 2023 forsøgte at løse problemerne ved at oprette en særlig ret – Data Protection Review Court (DPRC) – der skulle behandle europæiske klager over NSA og FBI's dataadgang. Men nu er præsidentens kontrol over netop den slags uafhængige organer øget markant. Det underminerer ifølge Schrems selve fundamentet for DPF.

Hvad betyder det i praksis?

Hvis DPF igen erklæres ugyldig af EU-Domstolen, opstår et juridisk vakuum, der rammer stort set alle danske virksomheder og forbrugere.

Google – Søgemaskinen, Gmail, Google Docs og Google Analytics kører delvist på amerikanske servere og overfører data til USA. Uden en gyldig overførselsmekanisme er dette i princippet ulovligt i EU.

Meta – Facebook, Instagram og WhatsApp overfører løbende europæiske brugerdata til USA. Meta har tidligere fået bøder på milliarder for netop dette.

Apple – iCloud-backup, Find Min iPhone og andre tjenester kan rammes, selvom Apple i højere grad end konkurrenterne har investeret i europæisk datainfrastruktur.

Microsoft – Azure, Office 365 og Teams bruges af en enorm andel af danske virksomheder og myndigheder. Microsoft har EU Data Boundary-programmet som delvis løsning, men det dækker ikke alle scenarier.

Alternativerne er besværlige

Virksomheder har to tekniske alternativer til DPF: Standard Contractual Clauses (SCC'er) og Binding Corporate Rules (BCR). Begge kan stadig bruges, men kræver at man dokumenterer, at det konkrete dataflow reelt er beskyttet – og en ny domstolsafgørelse mod DPF vil sandsynligvis stille spørgsmålstegn ved disse mekanismer i de tilfælde, hvor amerikanske efterretningstjenester har adgang.

Den reelle konsekvens for de fleste virksomheder: juridisk usikkerhed, potentielle bøder og i yderste konsekvens krav om at flytte data til europæiske servere.

Hvornår sker der noget?

Schrems' organisation noyb.eu har varslet sagsanlæg, men EU-Domstolen arbejder langsomt. Schrems II-sagen tog fire år fra klage til dom. Vi er sandsynligvis ikke fremme ved en afgørelse før 2027-2028.

Det giver tid til at forberede sig – men det kræver, at virksomheder faktisk gør det i stedet for at vente og se. Datatilsynet i Danmark har hidtil ikke håndhævet aggressivt over for DPF-overførsler, men det kan ændre sig hurtigt, hvis aftalen falder.

For den teknisk bevidste forbruger er budskabet enkelt: dine data er aldrig helt dine, og det transatlantiske pres på databeskyttelse er ikke et forbigående fænomen – det er strukturelt.