Beslut i USA:s högsta domstol hotar EU:s dataöverföringar

USA:s högsta domstol slog den 29 juni 2026 fast i målet Trump v. Slaughter att presidenten när som helst kan avsätta ledamöterna i Federal Trade Commission, vilket avslutar myndighetens oberoende. Integritetsorganisationen noyb menar att domen slår undan grunden för dataskyddsramen mellan EU och USA (EU-US Data Privacy Framework) och har formellt uppmanat EU-kommissionen att dra tillbaka adekvansbeslutet, som låter personuppgifter flöda från EU till certifierade amerikanska företag. För europeiska företag med flera platser blir frågan plötsligt högst praktisk: vilka verktyg i marknadsföringsstacken som för över personuppgifter till USA, och på vilken rättslig grund?

Vad som hände

Med domen i Trump v. Slaughter förklarade Högsta domstolen de lagstadgade skydd mot avsättning som gjort FTC till en oberoende myndighet för grundlagsstridiga. Det väger tungt i Bryssel, eftersom FTC är den centrala tillsynsmyndigheten bakom dataskyddsramen mellan EU och USA, överenskommelsen från 2023 som gör det möjligt att föra över personuppgifter till certifierade företag i USA. Enligt noyb hänvisar EU-kommissionens adekvansbeslut till FTC som oberoende tillsynsmyndighet 259 gånger.

noyb, organisationen som grundades av Max Schrems, har i en formell skrivelse uppmanat kommissionen att avveckla överenskommelsen under ordnade former och uppger att man inom de kommande veckorna lämnar in en stämning med målet att EU-domstolen ska ogiltigförklara beslutet. Enligt noyb når domen dessutom längre än själva ramen: standardavtalsklausuler och bindande företagsbestämmelser (binding corporate rules) vilar på konsekvensbedömningar av överföringar, och de hänvisar i sin tur till tidigare oberoende amerikanska organ som PCLOB och Data Protection Review Court.

Dataskyddsramen har dock inte fällts. Ingen domstol har ogiltigförklarat adekvansbeslutet, certifierade amerikanska företag kan fortfarande lagligt ta emot personuppgifter från EU, och en talesperson för EU-kommissionen uppgav att kommissionen fortsätter att bevaka att en hög skyddsnivå upprätthålls och håller nära kontakt med den amerikanska administrationen.

Varför det spelar roll

EU-domstolen har redan ogiltigförklarat två tidigare överenskommelser, Safe Harbor 2015 och Privacy Shield 2020, båda gångerna efter rättsprocesser byggda på amerikansk övervakningslagstiftning och svag tillsyn. Båda gångerna tvingades tusentals företag bygga om sina överföringsmekanismer i praktiken över en natt. En tredje ogiltigförklaring skulle träffa en betydligt större stack: plattformar för recensioner, analys, CRM, annonsering och platsdata behandlar alla personuppgifter, och många av dem gör det på amerikansk infrastruktur inom ramen för dagens överenskommelse.

“Eftersom det inte längre finns några oberoende myndigheter i USA uppmanar vi EU-kommissionen att på ett ordnat sätt dra tillbaka adekvansbeslutet för USA.”

Max Schrems, noyb

Vad det betyder för företag med flera platser

Ett företag med hundratals platser kan inte reda ut sina dataflöden på en vecka, så arbetet börjar innan någon domstol dömer. Centrala marknads- och digitalteam bör kartlägga vilka leverantörer i deras stack för lokal marknadsföring som behandlar personuppgifter från EU, var uppgifterna lagras och vilken överföringsmekanism var och en stödjer sig på. Recensionshanteringen är en bra startpunkt, eftersom kundrecensioner och svar innehåller personuppgifter i stor skala: en plattform för att hantera recensioner för varje plats ska kunna svara direkt på frågan om var datan finns. Detsamma gäller hanteringen av platsdata och företagsuppgifter, där samtyckesloggar och användarinteraktioner ligger sida vid sida med företagsdatan.

Var datan faktiskt lagras håller också på att bli ett upphandlingskrav snarare än en juridisk fotnot. Europeiska företag med flera platser frågar allt oftare var en leverantörs kunddata fysiskt finns innan avtalet skrivs på, och den här domen kommer att skärpa de frågorna. PinMeTo lagrar all kunddata inom EU, så ett eventuellt ogiltigförklarat adekvansbeslut ändrar inte den rättsliga grunden för datan på vår plattform.

Slutsatsen

Dataskyddsramen mellan EU och USA står fortfarande, men pelaren som EU-kommissionen lutat sig tyngst mot har just spruckit, och noyb:s stämning till EU-domstolen väntas inom några veckor. Företag med flera platser som exakt vet var deras marknadsföringsstack behandlar personuppgifter kommer att läsa nästa dom som en nyhet; alla andra läser den som en projektplan.