Adekvansbeslutet – vad innebär det?

EU–U.S. Data Privacy Framework gör överföringar till USA enklare – men inte automatiskt riskfria

Den 10 juli 2023 antog EU-kommissionen ett nytt adekvansbeslut för USA inom ramen för EU–U.S. Data Privacy Framework, ofta förkortat DPF. Beslutet innebär att personuppgifter kan överföras från EU och EES till amerikanska organisationer som är aktivt certifierade enligt ramverket utan att du behöver använda exempelvis EU-kommissionens standardavtalsklausuler som separat överföringsmekanism.

Det var en viktig förändring efter flera år av osäkerhet kring överföringar av personuppgifter till USA. Samtidigt betyder beslutet inte att alla överföringar till amerikanska leverantörer är fria eller att övriga krav i GDPR försvinner. Du behöver fortfarande veta vilka personuppgifter som överförs, varför de behandlas, vilken roll mottagaren har och om organisationen faktiskt omfattas av DPF.

Sedan beslutet antogs har ramverket också hunnit granskas av EU-kommissionen och prövas rättsligt. Adekvansbeslutet gäller fortfarande, men utvecklingen är värd att följa eftersom en pågående process i EU-domstolen kan få betydelse för framtiden.

Vad är ett adekvansbeslut?

GDPR ställer särskilda krav när personuppgifter överförs till ett land utanför EU och EES, ett så kallat tredjeland. Grundtanken är att skyddet för personuppgifter inte ska upphöra bara för att informationen lämnar EU.

En av de enklaste vägarna för en sådan överföring är ett adekvansbeslut enligt artikel 45 GDPR. Det innebär att EU-kommissionen har bedömt att ett land, ett territorium, en sektor eller en viss kategori mottagare erbjuder en skyddsnivå som i huvudsak motsvarar den som gäller inom EU.

När ett adekvansbeslut kan användas behövs normalt ingen ytterligare överföringsmekanism enligt kapitel V GDPR. Överföringen kan i den delen behandlas ungefär som en överföring inom EU eller EES.

För USA är situationen speciell. Adekvansbeslutet gäller inte hela landet och inte alla amerikanska organisationer. Det gäller endast de amerikanska organisationer som har självcertifierat sig enligt EU–U.S. Data Privacy Framework och som finns med som aktiva deltagare i den officiella DPF-listan.

Varför behövdes ett nytt ramverk för USA?

Överföringar mellan EU och USA har länge varit en central dataskyddsfråga. Amerikanska molntjänster, analysverktyg, kommunikationsplattformar och andra digitala tjänster används i stor omfattning av europeiska verksamheter, samtidigt som EU-domstolen vid flera tillfällen har ifrågasatt om amerikansk rätt ger ett tillräckligt skydd för personer inom EU.

Det tidigare ramverket Privacy Shield ogiltigförklarades av EU-domstolen i Schrems II-domen 2020. Domstolen pekade bland annat på problem kopplade till amerikanska myndigheters tillgång till personuppgifter och möjligheterna för personer inom EU att få en oberoende och effektiv prövning.

Efter Schrems II kunde överföringar till USA fortfarande göras, men organisationer som använde exempelvis standardavtalsklausuler behövde bedöma om skyddet i praktiken var tillräckligt och vid behov införa kompletterande skyddsåtgärder. För många företag innebar det omfattande arbete med överföringsbedömningar, avtal och tekniska eller organisatoriska skydd.

DPF togs fram för att möta flera av de problem som EU-domstolen identifierade. USA införde bland annat nya begränsningar och skyddsmekanismer kring signalspaning samt en ny prövningsmekanism för klagomål kopplade till amerikanska underrättelsemyndigheters behandling av personuppgifter.

Vad innebär EU–U.S. Data Privacy Framework i praktiken?

DPF bygger på att amerikanska organisationer frivilligt ansluter sig och självcertifierar att de följer ramverkets dataskyddsprinciper. Certifieringen administreras av det amerikanska handelsdepartementet och behöver förnyas regelbundet.

För dig som överför personuppgifter från EU eller EES är den praktiska konsekvensen att du först behöver kontrollera mottagaren. Det räcker inte att en leverantör skriver på sin webbplats att den följer DPF eller att ett moderbolag är certifierat.

Kontrollera att den juridiska person som faktiskt tar emot uppgifterna finns med som aktiv deltagare i den officiella Data Privacy Framework List och att certifieringen täcker den typ av personuppgifter som ska överföras. Om det handlar om personaluppgifter behöver du särskilt kontrollera att organisationens certifiering omfattar HR-data.

Om mottagaren är en amerikansk dotterorganisation till ett certifierat moderbolag behöver du också kontrollera att just dotterbolaget omfattas av certifieringen. En koncerntillhörighet är i sig inte tillräcklig.

DPF ersätter inte resten av GDPR

En vanlig missuppfattning är att en DPF-certifiering innebär att överföringen är ”GDPR-godkänd”. Så enkelt är det inte.

Adekvansbeslutet löser i första hand frågan om den internationella överföringsmekanismen enligt kapitel V GDPR. Alla andra relevanta krav fortsätter att gälla.

Du behöver fortfarande ha en rättslig grund för behandlingen. Du behöver följa principerna om ändamålsbegränsning och uppgiftsminimering. Den registrerade ska få relevant information om behandlingen och överföringen. Om mottagaren är ett personuppgiftsbiträde behöver ett korrekt personuppgiftsbiträdesavtal finnas på plats. Du behöver även bedöma säkerheten, lagringstiderna och hur registrerades rättigheter kan hanteras.

Det betyder också att DPF inte är ett argument för att skicka mer data än vad som behövs. Om en leverantör bara behöver vissa uppgifter för att leverera sin tjänst ska behandlingen fortfarande begränsas till dessa uppgifter.

Det är därför klokt att se DPF som en viktig komponent i ett större dataskyddsarbete, inte som en fristående kvalitetsstämpel som ersätter din egen kontroll.

Vad händer om leverantören inte är DPF-certifierad?

Om den amerikanska mottagaren inte deltar i DPF betyder det inte automatiskt att överföringen är förbjuden. Då behöver du istället använda någon annan giltig överföringsmekanism enligt kapitel V GDPR.

Det vanligaste alternativet är EU-kommissionens standardavtalsklausuler, SCC. För koncerner kan bindande företagsbestämmelser, BCR, i vissa fall vara ett alternativ. GDPR innehåller även vissa undantag för särskilda situationer, men dessa är normalt inte tänkta som en generell lösning för återkommande och strukturella överföringar.

När du använder standardavtalsklausuler behöver du fortfarande bedöma om mottagarlandets lagstiftning och de praktiska omständigheterna gör att klausulerna kan ge ett tillräckligt skydd. Det arbetet brukar beskrivas som en Transfer Impact Assessment, TIA. Beroende på resultatet kan kompletterande tekniska, avtalsmässiga eller organisatoriska skyddsåtgärder behövas.

DPF kan därför förenkla arbetet betydligt när mottagaren omfattas, men det är fortfarande viktigt att ha en process för leverantörer som inte gör det.

Vad har hänt sedan adekvansbeslutet 2023?

Adekvansbeslutet innehåller krav på att EU-kommissionen regelbundet ska granska hur ramverket fungerar i praktiken. Den första översynen genomfördes 2024.

Kommissionens slutsats var att de amerikanska myndigheterna hade infört de strukturer och processer som behövs för att DPF ska fungera effektivt. Granskningen omfattade bland annat företagens efterlevnad, tillsynen av ramverket och de skyddsmekanismer som gäller när amerikanska myndigheter får tillgång till personuppgifter av nationella säkerhetsskäl.

Samtidigt konstaterade kommissionen att ramverket fortfarande var relativt nytt och att den praktiska erfarenheten därför var begränsad. Fortsatt uppföljning är en viktig del av systemet.

Europeiska dataskyddsstyrelsen, EDPB, har också följt utvecklingen. Styrelsen har bland annat efterfrågat ytterligare vägledning kring hur DPF-certifierade amerikanska företag ska hantera vidareöverföringar av personuppgifter och hur vissa delar av ramverket ska tillämpas i praktiken.

Adekvansbeslutet har prövats i EU-domstolssystemet

Som väntat har det nya ramverket också mött rättsliga invändningar. Philippe Latombe väckte talan vid EU-tribunalen och begärde att adekvansbeslutet skulle ogiltigförklaras.

Den 3 september 2025 avslog tribunalen talan. Därmed stod kommissionens adekvansbeslut kvar. Domen innebar dock inte slutpunkten för processen. Tribunaldomen överklagades den 31 oktober 2025 till EU-domstolen och målet, C-703/25 P, är fortfarande pågående.

Det innebär att rättsläget i dag är tydligt i en viktig mening: adekvansbeslutet gäller fortfarande och kan användas som stöd för överföringar till amerikanska organisationer som omfattas av DPF. Samtidigt finns en pågående rättsprocess som organisationer med stora eller särskilt känsliga överföringar har anledning att följa.

Du behöver alltså inte sluta använda DPF på grund av överklagandet. Men det är klokt att undvika att bygga hela organisationens tredjelandsstrategi på antagandet att regelverket aldrig kan förändras.

Vad bör du kontrollera innan du överför personuppgifter till USA?

Ett praktiskt arbetssätt är att börja med att kartlägga dina överföringar. Många överföringar sker utan att organisationen aktivt tänker på dem som tredjelandsöverföringar. Det kan exempelvis handla om molntjänster, supportåtkomst, analysverktyg, CRM-system, rekryteringsplattformar eller underleverantörer som får åtkomst till information.

När du har identifierat en överföring till USA bör du kontrollera följande:

• Vilken juridisk person tar emot uppgifterna? Kontrollera det faktiska bolaget, inte bara produktnamnet eller koncernen.
• Är mottagaren aktivt DPF-certifierad? Kontrollera organisationen i den officiella DPF-listan.
• Omfattar certifieringen rätt typ av uppgifter? Kontrollera särskilt HR-data när personaluppgifter ska överföras.
• Vilken roll har mottagaren? Är företaget personuppgiftsansvarigt eller personuppgiftsbiträde?
• Finns rätt avtal på plats? DPF ersätter exempelvis inte kravet på personuppgiftsbiträdesavtal när artikel 28 GDPR är tillämplig.
• Har den registrerade fått korrekt information? Integritetsinformation och annan dokumentation behöver spegla den faktiska behandlingen.
• Är behandlingen nödvändig och proportionerlig? En tillåten överföring innebär inte att obegränsade mängder data bör delas.

Det är också bra att dokumentera när DPF-statusen kontrollerades och vilken överföringsmekanism du stödjer dig på. Certifieringar förnyas och organisationers status kan förändras, vilket gör att en kontroll från 2023 inte nödvändigtvis räcker flera år senare.

Glöm inte underleverantörerna

En vanlig komplikation är att den leverantör du har avtal med i sin tur använder andra företag. En europeisk leverantör kan exempelvis lagra information inom EU men använda amerikanska underleverantörer för support, analys eller andra funktioner.

Därför bör granskningen inte stanna vid den direkta avtalsparten. Försök förstå hela den relevanta behandlingskedjan och vilka organisationer som faktiskt kan få tillgång till personuppgifter.

Om en DPF-certifierad amerikansk mottagare för över uppgifter vidare gäller särskilda krav inom ramverket för sådana vidareöverföringar. Men från ditt perspektiv är det fortfarande viktigt att förstå vilka underbiträden som används och att säkerställa att kraven i GDPR på exempelvis transparens, avtal och säkerhet hanteras.

Behöver du fortfarande göra en TIA när DPF används?

När en överföring faktiskt omfattas av EU-kommissionens adekvansbeslut behöver du normalt inte genomföra samma typ av Transfer Impact Assessment som när du förlitar dig på standardavtalsklausuler. Själva poängen med ett adekvansbeslut är att kommissionen redan har bedömt skyddsnivån för den aktuella överföringskategorin.

Det betyder däremot inte att all riskbedömning upphör. Du behöver fortfarande bedöma behandlingen utifrån GDPR i stort. Om behandlingen sannolikt leder till hög risk för registrerades rättigheter och friheter kan exempelvis en konsekvensbedömning avseende dataskydd, DPIA, krävas. Den bedömningen har ett annat syfte än en TIA.

Det är därför viktigt att skilja mellan olika typer av analyser. DPF kan lösa frågan om överföringsmekanism, men inte automatiskt frågor om behandlingens nödvändighet, säkerhet eller risknivå.

Vad händer om ett amerikanskt företag lämnar DPF?

En DPF-certifiering är inte permanent. Amerikanska organisationer behöver förnya sin certifiering, och företag kan även tas bort från listan.

Om en mottagare inte längre är aktivt certifierad kan du inte fortsätta luta dig mot adekvansbeslutet för nya överföringar till den organisationen. Då behöver du bedöma vilken annan överföringsmekanism som kan användas.

Det amerikanska ramverket innehåller samtidigt krav på att organisationer som lämnar DPF fortsatt ska skydda personuppgifter som de tog emot medan certifieringen var aktiv, så länge de behåller uppgifterna. För dig som dataexportör är det ändå viktigt att fånga upp förändringen och säkerställa att framtida överföringar har rätt rättsligt stöd.

Det talar för att DPF-status bör följas upp som en del av den löpande leverantörskontrollen och inte bara kontrolleras när avtalet tecknas.

Kan du känna dig helt trygg med DPF?

Adekvansbeslutet har gjort transatlantiska dataöverföringar betydligt enklare och har skapat en tydligare rättslig grund än den situation som rådde efter Schrems II.

Men historiken visar också att reglerna för överföringar mellan EU och USA kan förändras. Safe Harbor ogiltigförklarades. Privacy Shield ogiltigförklarades. DPF gäller i dag, men är föremål för fortsatt granskning och rättslig prövning.

Det är därför klokt att arbeta på ett sätt som fungerar även om förutsättningarna förändras. Ha koll på vilka leverantörer som innebär tredjelandsöverföringar. Dokumentera vilka mekanismer du använder. Undvik onödiga dataflöden och bygg gärna in möjligheter att byta överföringsmekanism i avtal och processer.

För särskilt känsliga eller affärskritiska behandlingar kan det också vara relevant att se över tekniska skydd såsom kryptering, åtkomststyrning och minimering även när DPF används. Ett adekvansbeslut är ett juridiskt stöd för överföringen, inte ett skäl att sänka den tekniska säkerhetsnivån.

Vad betyder adekvansbeslutet för dig?

För många verksamheter har DPF minskat den administrativa bördan kring amerikanska leverantörer. Om mottagaren är korrekt certifierad kan du använda adekvansbeslutet istället för att exempelvis ingå standardavtalsklausuler enbart för tredjelandsöverföringen och genomföra motsvarande överföringsbedömning.

Men den viktigaste praktiska lärdomen är fortfarande densamma: du behöver ha kontroll över dina dataflöden.

Vet du vilka tjänster som innebär att personuppgifter lämnar EU eller EES? Vet du vilka juridiska personer och underleverantörer som får tillgång till uppgifterna? Har du dokumenterat vilken överföringsmekanism som används? Och finns en process för att agera om en leverantörs DPF-status eller det rättsliga läget förändras?

Om svaret är ja har du betydligt bättre förutsättningar att använda amerikanska tjänster på ett kontrollerat sätt. Om svaret är nej är det där arbetet bör börja.

DPF, SCC och BCR – vad är skillnaden?

Det kan vara lätt att blanda ihop de olika mekanismer som används vid tredjelandsöverföringar. DPF är kopplat till ett adekvansbeslut och kan användas när mottagaren i USA är aktivt certifierad. SCC, Standard Contractual Clauses, är istället standardiserade avtalsklausuler som EU-kommissionen har tagit fram för överföringar där det inte finns ett adekvansbeslut som kan användas. BCR, Binding Corporate Rules, är interna bindande regler som framför allt är relevanta för internationella koncerner med återkommande överföringar mellan bolag i olika länder.

Vilken mekanism som är lämplig beror alltså på mottagaren och hur överföringen ser ut. Om en amerikansk leverantör är DPF-certifierad är adekvansbeslutet ofta den enklaste vägen. Om leverantören inte omfattas av DPF kan SCC vara ett alternativ. För en större koncern med omfattande interna dataflöden kan BCR vara mer relevant.

Det är också möjligt att en organisation använder olika mekanismer för olika leverantörer. Du behöver därför inte välja en enda modell för alla tredjelandsöverföringar. Det viktiga är att varje överföring har ett giltigt stöd och att du kan visa vilket stöd du använder.

Vilka rättigheter får den registrerade?

DPF innehåller även mekanismer för personer vars personuppgifter överförs till certifierade amerikanska organisationer. Den registrerade kan bland annat ha möjlighet att få information om hur uppgifterna behandlas, begära rättelse eller radering i vissa situationer och använda olika klagomåls- och tvistlösningsmekanismer.

Ramverket innehåller också en särskild prövningsmekanism för klagomål som rör amerikanska underrättelsemyndigheters tillgång till personuppgifter. En viktig del av det nya systemet jämfört med Privacy Shield är Data Protection Review Court, som ingår i den rättsmedelsmekanism som infördes efter Schrems II.

För dig som personuppgiftsansvarig betyder detta inte att du kan hänvisa den registrerade direkt till den amerikanska mottagaren och betrakta frågan som avslutad. Du har fortfarande dina egna skyldigheter enligt GDPR och behöver kunna hantera registrerades rättigheter, information och frågor om hur personuppgifter delas med mottagare utanför EU och EES.

Sammanfattning

EU–U.S. Data Privacy Framework innebär att personuppgifter kan överföras från EU och EES till aktivt certifierade amerikanska organisationer med stöd av EU-kommissionens adekvansbeslut. Det förenklar överföringen eftersom en separat överföringsmekanism enligt kapitel V GDPR normalt inte behövs för de mottagare som omfattas.

Men DPF är inte ett generellt godkännande av alla överföringar till USA. Du behöver kontrollera mottagarens certifiering, säkerställa att rätt juridisk person och rätt typ av data omfattas och fortsätta följa övriga krav i GDPR.

EU-kommissionens första översyn 2024 kom fram till att ramverket hade de strukturer och processer som behövs för att fungera effektivt. EU-tribunalen avslog därefter en talan om att ogiltigförklara beslutet i september 2025. Domen är överklagad till EU-domstolen och målet pågår, men adekvansbeslutet gäller fortsatt.

Kort sagt: DPF gör det enklare att överföra personuppgifter till certifierade amerikanska organisationer, men det ersätter inte behovet av kontroll. Ha koll på mottagaren, dina dataflöden, dina avtal och hur rättsläget utvecklas.