De fleste norske virksomheter bruker minst én tjeneste som overfører persondata til USA — Microsoft 365, Google Workspace, Salesforce eller lignende. Den juridiske basisen for disse overføringene heter EU-US Data Privacy Framework (DPF). Men i mars 2026 er det grunn til å følge med.
Trump-administrasjonen avskjediget demokratiske medlemmer fra det organet som er ansvarlig for å håndheve DPF fra amerikansk side. Uten nok medlemmer kan organet ikke fatte beslutninger. Europeiske personvernorganisasjoner og jurister stiller nå spørsmål ved om DPF kan opprettholdes som gyldig overføringsmekanisme.
Dette er ikke første gang. Safe Harbor kollapset i 2015. Privacy Shield kollapset i 2020. Begge ganger stod virksomheter som ikke hadde backup-mekanismer, uten gyldig grunnlag over natten.
Virksomheter med Standard Contractual Clauses (SCC) i databehandleravtalene sine, stod langt bedre begge gangene.
Praktisk poeng: Sjekk databehandleravtalene dine med amerikanske skyleverandører. Inneholder de Standard Contractual Clauses (SCC) som backup? Hvis ikke — ta kontakt med leverandøren og be om en oppdatert avtale nå, ikke etter at en eventuell kjennelse faller.
Inspirert av: IAPP