FTC-domen skakar dataavtalet med USA. Så berörs din webbplats.

USA:s högsta domstol avgjorde den 29 juni 2026 målet Trump v. Slaughter med röstsiffrorna 6-3. Domstolen slog fast att den amerikanska konstitutionen inte tillåter kongressen att begränsa presidentens rätt att avsätta ledamöter i konkurrens- och konsumentmyndigheten Federal Trade Commission (FTC), och upphävde därmed prejudikatet Humphrey's Executor från 1935. Formellt handlar domen om amerikansk maktdelning. I praktiken rör den vid en av de bärande förutsättningarna för att europeiska personuppgifter alls får skickas till USA.

Fyra dagar senare, den 3 juli, gick Sveriges Integritetsskyddsmyndighet (IMY) ut med ett dubbelt besked. Adekvansbeslutet för USA gäller fortfarande, men organisationer bör ändå ha beredskap för att det kan ändras. IMY ska analysera domens konsekvenser tillsammans med de övriga tillsynsmyndigheterna inom Europeiska dataskyddsstyrelsen (EDPB).

Bakgrunden till varför serverplacering och datahemvist spelar roll har vi gått igenom separat i artikeln om serverns placering, svensk hosting och GDPR. Den här texten handlar om nyheten och vad den betyder för dig som driver en webbplats. Och där finns en poäng som nästan helt saknas i den internationella rapporteringen. Ditt USA-beroende sitter sällan i webbhotellet.

Vad domen har med dataskydd att göra

Adekvansbeslut (på engelska adequacy decision) är EU-kommissionens formella konstaterande att ett land utanför EU skyddar personuppgifter på en nivå som i huvudsak motsvarar EU:s egen. Finns ett sådant beslut kan uppgifter flöda dit utan extra rättsliga arrangemang. För USA heter beslutet genomförandebeslut (EU) 2023/1795 och antogs den 10 juli 2023. Det bygger på ramverket EU-U.S. Data Privacy Framework (DPF).

Hela konstruktionen vilar på att amerikanska tillsynsorgan är oberoende av den politiska makten. IMY pekar särskilt ut två av dem, FTC och tillsynsorganet Privacy and Civil Liberties Oversight Board (PCLOB), och skriver att de "är viktiga för att DPF ska fungera". Myndigheten konstaterar att domen "sätter fokus på frågan om dessa tillsynsorgan fortfarande kan anses vara oberoende och om detta kommer att påverka adekvansbeslutets giltighet framöver".

Hur central FTC är i konstruktionen går att mäta. Enligt noyb:s egen genomgång av beslutstexten lutar sig kommissionen mot ett oberoende FTC 259 gånger. Max Schrems organisation publicerade samma dag som domen föll en text med rubriken "US Supreme Court just blew up EU-US Data Transfers". Där skriver Schrems, i vår översättning, att eftersom det inte längre finns några oberoende myndigheter i USA bör EU-kommissionen under ordnade former dra tillbaka adekvansbeslutet. Samtidigt är noyb en part i frågan, inte en neutral bedömare. Det var Schrems egna klagomål som låg bakom de två domar som fällde de tidigare avtalen. Organisationen har aviserat att den förbereder en ny prövning, men något mål är inte inlämnat till EU-domstolen.

Primärkällorna ligger öppet. Domen i sin helhet finns hos Supreme Court, IMY:s besked på myndighetens nyhetssida och noyb:s analys på deras.

Vad IMY faktiskt säger till svenska organisationer

Beskedet är kort och ovanligt konkret. IMY:s generaldirektör Eric Leijonram formulerar det så här.

"Det finns fortfarande ett gällande adekvansbeslut för USA. I detta läge är det dock viktigt för organisationer att hålla sig informerade och ha beredskap för hur man gör om adekvansbeslutet skulle upphävas i framtiden. Generellt bör organisationer alltid ha beredskap för ändrade förhållanden och att man till exempel kan behöva ta tillbaka sin data från leverantörer."

Märk vem som bestämmer. Det är EU-kommissionen som löpande utvärderar adekvansbeslutet och som kan återkalla, ändra eller upphäva det. EU-domstolen kan i sin tur ogiltigförklara det, vilket har hänt två gånger tidigare just för USA. IMY och de andra nationella myndigheterna analyserar och kan agera i enskilda tillsynsärenden, men de river inte beslutet.

Beroendet sitter i lagret ovanpå webbhotellet

Här skiljer sig den svenska verkligheten från de internationella texterna. De skrivs för koncerner med molnkontrakt, konsekvensbedömningar för överföringar och färdiga avvecklingsplaner. Du som driver en sajt på ett vanligt webbhotell har samma rättsliga exponering men inget av den apparaten.

Ligger sajten redan hos ett webbhotell med servrar i Sverige är serverhallen sannolikt den minsta frågan i sammanhanget. Filerna och databasen står i EU. Det som faktiskt skickar uppgifter över Atlanten är nästan alltid sådant du eller din webbyrå har lagt ovanpå, ofta för flera år sedan och ofta utan att det syns i något avtal du minns att du skrivit under.

Inventeringen du kan göra på en eftermiddag

Öppna startsidan i en webbläsare med utvecklarverktygens nätverksflik påslagen och titta på vilka externa domäner sidan ringer upp. Gör om det på en undersida med formulär och på kassan om du har e-handel. Skriv sedan ner fynden gruppvis. Räkna med att listan blir längre än du gissat.

• Besöksstatistik och analys. Statistikskript, värmekartor, A/B-testverktyg och sessionsinspelning.
• Resurser som hämtas från extern server. Webbtypsnitt, ikonbibliotek och JavaScript-bibliotek som laddas från ett innehållsleveransnätverk (CDN) i stället för från din egen server. Besökarens IP-adress följer med varje sådan förfrågan.
• Inbäddat innehåll. Kartor, videoklipp, kalendrar, recensionswidgetar och sociala flöden i iframe.
• Formulär och spamskydd. Captcha-tjänster, formulärverktyg och bokningslösningar.
• Marknadsföring. Spårningspixlar, annonstaggar, chattbubblor och verktyg för nyhetsbrev och utskick.
• Betalflöden. Kassalösningar, betalväxlar och bedrägerikontroller.
• E-posten. Ligger domänens e-post hos webbhotellet eller i en amerikansk kontorssvit? Det här är den post som oftast glöms bort och samtidigt den som innehåller mest personuppgifter.
• Drift runt omkring. Säkerhetskopiering till extern lagring, felrapportering, uppetidsövervakning och supportsystem.

För varje rad noterar du fyra saker. Vilken tjänst det är, vilka uppgifter som lämnar sajten, var mottagaren är etablerad, och vad leverantören själv anger som rättslig grund för överföringen. Sista kolumnen hittar du normalt i leverantörens personuppgiftstillägg eller underleverantörsförteckning.

Det här är kartläggning, inte en dom över någon. En amerikansk leverantör är inte automatiskt olaglig i dag, och den som säger något annat går före både kommissionen och EU-domstolen. Poängen med listan är att den är billig att göra nu och dyr att göra under tidspress. Skulle adekvansbeslutet falla är det den här listan du kommer att sitta med, inte serverhallens adress.

Två gånger tidigare har avtalet fallit

Safe Harbour ogiltigförklarades 2015 i det första Schrems-målet. Privacy Shield föll den 16 juli 2020 i det andra. Ingen av gångerna handlade det om en avstängningsknapp.

Vad som följde var i stället långa perioder av oklarhet. Tolkningsbesked kom successivt från dataskyddsmyndigheterna, organisationer föll tillbaka på standardavtalsklausuler kombinerat med egna bedömningar av mottagarlandet, och det dröjde tre år från Schrems II till att DPF antogs sommaren 2023. Jämför man den tidslinjen med tonläget i rubrikerna blir kontrasten tydlig. Tre år är gott om tid att göra en genomtänkt förändring, och gott om tid att hinna ångra en förhastad.

Samtidigt är tillsyn ingen teori. Den 3 juli 2023 beslutade IMY om sanktionsavgifter för olaglig överföring av personuppgifter till USA via ett statistikverktyg. Tele2 fick 12 miljoner kronor, CDON 300 000 kronor, och ärendena hade startat med klagomål från noyb. Vi går igenom de besluten närmare i artikeln om serverplacering och GDPR. Slutsatsen därifrån håller fortfarande. Konsekvenserna träffar den som inte har koll, inte den som valt fel land på en karta.

Det rimliga att göra den närmaste tiden

Gör inventeringen ovan och spara den som ett levande dokument. Passa samtidigt på att stämma av den mot vår GDPR-checklista för webbplatsägare, eftersom flera av posterna ändå ska finnas i din registerförteckning. Fråga därefter dina viktigaste leverantörer om de erbjuder datalagring inom EU och vad ett byte skulle innebära rent praktiskt. Svaret på den frågan är värt att ha i handen innan man behöver det.

Sedan väntar du. Nästa besked av betydelse kommer från EU-kommissionen eller EDPB, och den typen av processer har historiskt tagit år snarare än veckor.

Den här texten är journalistik, inte juridisk rådgivning. Driver du en verksamhet som behandlar känsliga personuppgifter, exempelvis inom vård, skola eller HR, bör du stämma av läget med en dataskyddsjurist i stället för att förlita dig på en artikel.