Dómurinn "Schrems III" virðist sífellt líklegri: hvers vegna tólin þín sem eru staðsett í Bandaríkjunum gætu ógnað persónuvernd

Bæði ESB-Bandaríkja samkomulög um persónuvernd hafa verið dæmd ógild af Dómsstóli Evrópusambandsins. Í dag efast Hæstiréttur Bandaríkjanna um sjálfstæði helsta bandaríska persónuverndaryfirvaldsins, og noyb er að undirbúa næstu kæru sína. Ný ítarleg endurskoðun á gagnaverndarrammanum milli ESB og Bandaríkjanna fyrir Dómstól Evrópusambandsins er nú mun líklegra. Ekki er enn ljóst hvenær þetta mun eiga sér stað né hver niðurstaðan verður.

29. júní 2026 kvað Hæstiréttur Bandaríkjanna upp dóm í málinu Trump gegn Slaughter um að forseti Bandaríkjanna gæti vikið meðlimum alríkisviðskiptastofnunarinnar (FTC) frá embætti hvenær sem er og án ástæðu. Tveimur dögum síðar hvatti noyb — samtökin sem Max Schrems stýrir — Evrópu­komissionina til að draga til baka ESB-Bandaríkjanna gagnaverndarrammann.

Gagnaverndarramminn er enn í gildi. Flutningur persónuupplýsinga til Bandaríkjanna varð ekki ólöglegur yfir nótt. En þeir voru heldur ekki ólöglegir fyrir Schrems I-dóminn né fyrir Schrems II-dóminn. Í hvert sinn var boðið upp á sömu skilaboð: "Allt er í lagi; samkomulagið er enn í gildi." Þangað til það hrundi. Þess vegna verður þú að grípa til aðgerða núna.

Þessi grein útskýrir hvað hefur gerst, hvernig það hefur áhrif á gögn viðskiptavina þinna og hvað þú þarft að gera sem fyrst.

Athugið: Þessi grein er eingöngu til upplýsinga og telst ekki lögfræðiráðgjöf. Þú ættir að leita til lögfræðings til að fá lögfræðilega matsgerð á þinni tilteknu stöðu.

Hvað gerðist 29. júní 2026?

Hæstiréttur Bandaríkjanna kvað upp úrskurð, með 6 atkvæðum gegn 3, að verndin sem síðan 1935 hafði varið nefndarmenn FTC frá því að vera reknir án ástæðu af forseta væri stjórnarskrárstríðandi.

Í einföldu máli:

• FTC er leidd af nokkrum nefndarmönnum
• Þeir nutu lagalegs verndar gegn uppsögn án réttmætra ástæðna
• Hæstiréttur hefur afnumið þessa vernd eftir 91 ár
• Forseti Bandaríkjanna getur nú skipað nýja FTC-fulltrúa hvenær sem er og án nokkurrar réttlætingar

Hæstaréttardómari Roberts skrifaði: "FTC beitir óumdeilanlega framkvæmdarvaldi og verður því að lúta stjórn yfirmanns framkvæmdarvaldsins."

Dómari Sotomayor varaði í andstæðri skoðun sinni: "Í dag hafnar dómstóllinn [þessu] lýðræðislega kerfi til hagsbóta fyrir annað sem afmyndar stjórnarskrárlega uppbyggingu stjórnvalda."

Fyrir evrópsk fyrirtæki þýðir þetta að lögvernd FTC gegn pólitískum áhrifum hefur rýrnað verulega. Afleiðingar þessa dóms fyrir lögmæta mat á gagnaverndarrammanum eru umdeildar og munu líklega verða efni ágreinings fyrir dómstólum Evrópu í framtíðinni.

Af hverju gagnaverndarramma ESB-Bandaríkjanna er nú ógnað

FTC: hornsteinn DPF

Dagskrárgrunnur ESB–Bandaríkjanna um persónuvernd (DPF) er þriðja tilraunin til að koma á lagalegum grundvelli fyrir flutning persónuupplýsinga milli ESB og Bandaríkjanna. Meira en 3.400 bandarísk fyrirtæki eru vottað, þar á meðal helstu skýja- og SaaS-þjónustuveitendur sem næstum öll evrópsk fyrirtæki treysta á.

FTC er stofnunin sem ber ábyrgð á eftirliti með og framfylgd þessa kerfis. Noyb hefur talið: í ákvörðun sinni um viðunandi verndarstig vísar Evrópu­komissionin til FTC og sjálfstæði þess 259 sinnum. Þetta sjálfstæði verður ekki lengur löglega tryggt frá 29. júní 2026.

Svar Noyb var óskorað: "Dómur Hæstaréttar styrkir rök fyrir því að fella DPF úr gildi."

PCLOB: annar bilunarstaður

FTC er ekki eina vandamálið. Í Schrems II-málinu staðfesti Dómstóll Evrópusambandsins skýrt að kjarni málsins liggur í umfangsmikilli njósnaskönnun sem bandarískar leyniþjónustur stunda. Nefnd um eftirlit með persónuvernd og borgaralegum frelsi (PCLOB) — stofnun sem ber ábyrgð á að hafa eftirlit með aðgangi leyniþjónustna að gögnum — var falið að veita vernd gegn þessari starfsháttum.

Trump rak einnig demókrata­með­limi þess. Áfrýjunardómstóll hafði stöðvað þessar uppsagnir þar til niðurstaða fékkst í málinu Trump gegn Slaughter. Nú er líklegt að hin nýju meginreglur muni einnig gilda um PCLOB.

Þetta ógni bæði stoðum eftirlits með DPF. Andmæli: er FTC virkilega hindrunin?

Þessi greining er lagalega vafasöm. Prófessor Alexander Golland heldur því fram í beck-aktuell (6. júlí 2026) að sjálfstæði FTC í sjálfu sér teljist ekki til meiri brots. EFD ógilti ekki Privacy Shield vegna skorts á eftirliti FTC, heldur vegna valdheimilda bandarískra leyniþjónustna. Hin raunverulega ógn liggur hjá PCLOB, og einmitt þar er næsta lagalega barátta að mótast.

"Schrems-málið": sama senaríó, þrisvar í röð

Það er alltaf sama sagan:

1. 1. Evrópu­kom­issi­oninn gerir gagnasendingarsam­ning við Bandaríkin.
2. 2. Schrems / noyb höfðar mál
3. 3. Dómstóll Evrópusambandsins ógildir samkomulagið á grundvelli þess að eftirlit Bandaríkjanna brýtur gegn grundvallarmannréttindum Evrópu
4. 4. Nýjar samningaviðræður. Nýr samningur. Aftur í skref 2.

Þetta atburðarás hefur gerst tvisvar. Tvisvar hefur samkomulagið brugðist.
Og að þessu sinni hefur ástandið versnað, ekki batnað.

Hvað hefur versnað síðan DPF var samþykkt?

Árið 2023 samþykkti framkvæmdastjórn Evrópusambandsins samkomulag sem byggðist á sjálfstæði bandarískra eftirlitsstofnana. Þremur árum síðar var þetta sjálfstæði dregið í efa með dómi stjórnlagadómstóls. Helstu forsendur sem mat Evrópu­komissionarinnar árið 2023 byggðist á hafa síðan breyst. Lögfræðileg áhrif þessara breytinga hafa enn ekki verið endanlega skýrð.

Er þetta þegar 'Schrems III'?

Ekki ennþá, í skilningi dómsúrskurðar Dómstóls Evrópusambandsins. En ferlið hefur hafist:

• 30. júní 2026 lagði Noyb fram skriflega beiðni til Evrópu­komissionarinnar um að hún afturkallaði DPF og tilkynnti að hún myndi höfða mál
• Áfrýjun Latombe (C-703/25 P) er til meðferðar hjá Dómstóli ESB — dómstóllinn mun kveða upp úrskurð um DPF
• Evrópu­komissionin hefur enn ekki svarað opinberlega

Þann 14. júlí 2026, samkvæmt opinberum upplýsingum, hefur lögsókn Noyb enn ekki verið formlega höfðað. En Noyb hefur sýnt fram á í Schrems I og II málunum að þegar það tilkynnir lögsókn fylgir það henni til enda.

Hver er tengingin við Latombe-málið?

Franski þingmaðurinn í Evrópuþinginu, Philippe Latombe, höfðaði mál til að kæra ákvörðun ESB og Bandaríkjanna um viðunandi verndarstig. Almenn dómstóll Evrópusambandsins vísaði þessari málsókn frá í september 2025 og staðfesti gildi ákvörðunarinnar um viðunandi verndarstig, þó sérstaklega eingöngu á grundvelli staðreynda og lagaástands eins og það var þegar ákvörðunin var tekin árið 2023.

Dómstóllinn sagði: "Ef lagaramminn í Bandaríkjunum breytist gæti framkvæmdastjórnin ákveðið að fella úr gildi, breyta eða afturkalla ákvörðunina."

Herra Latombe lagði fram áfrýjun 31. október 2025. Málið er til meðferðar hjá Dómstóli Evrópusambandsins undir málsnúmerinu C-703/25 P.

Þetta tengist umræðunni um Schrems III-málið af tveimur ástæðum:

1. 1. Dómstóll Evrópusambandsins (CJEU) þarf að kveða upp úrskurð um DPF, óháð því hvort noyb höfðar eigin mál.
2. 2. Ef CJEU staðfestir rétt einstaklinga til að höfða mál, mun það opna leið fyrir frekari einstaklingsmál, þar á meðal mál sem noyb höfðar.

Er gagnaverndarramminn enn í gildi?

Já. Að svo stöddu. Ákvörðun um viðunandi vernd gildir áfram þar til Evrópu­komissionin breytir henni, setur hana á bið eða dregur hana til baka, eða þar til dómstóll ESB ógildir hana.

En "enn í gildi" þýðir ekki "öruggt". Kerfið "Safe Harbour" var einnig gilt alla leið fram að þeim degi sem dómurinn var kveðinn upp. Sama gildir um "Privacy Shield". Fyrirtæki sem höfðu treyst á þessa mekanisma stóðu þá frammi fyrir vandamáli sem þau gátu ekki leyst á skemmri tíma en 48 klukkustundum.

Sá sem hefur ekki endurskoðað gagnaflutninga sína til Bandaríkjanna áður en úrskurður er kveðinn upp mun ekki hafa tíma til þess eftir á.

Eru Google, Microsoft, AWS og aðrar bandarískar þjónustur nú ólöglegar?

Nei. Ekki er hægt að gera slíka alhliða yfirlýsingu. Hvort hægt sé að nota tiltekna bandaríska þjónustu í samræmi við persónuverndarreglugerðir fer eftir nokkrum þáttum:

• Er raunverulega flutningur persónuupplýsinga til Bandaríkjanna? Sumar þjónustur er hægt að stilla þannig að gögn verði áfram innan ESB; hins vegar tryggir það eitt og sér að gagnamiðstöð sé staðsett innan ESB ekki að engin flutningur til þriðja lands fari fram — til dæmis ef bandarískir starfsmenn veitanda hafa aðgang að gögnunum.
• Er bandaríski þjónustuveitandinn eða fyrirtækið í hlutverki DPF-vottað? Ekki allar vörur sem bandarískt fyrirtæki býður upp á falla sjálfkrafa undir DPF.
• Hver er lagalegur grundvöllur flutningsins sem tilgreindur er í samningi um vinnslu persónuupplýsinga? DPF-vottun, staðlaðar samningsákvæði (SCC) eða bæði?
• Hvaða tegundir gagna eru unnar? Anónýmuðu greiningargögnin þarf að meta öðruvísi en heilsufarsgögn eða starfsmannagögn.
• Hvaða tæknilegar öryggisráðstafanir hafa verið innleiddar? Dulkóðun er aðeins áhrifarík ef bandaríski þjónustuveitandinn hefur ekki aðgang að lykla.

Hverri þjónustu þarf að meta fyrir sig.

Eru staðlaðar samningsákvæði lausnin?

Mörg fyrirtæki hugsa: "Ef DPF-ið mistakast, munum við einfaldlega nota SCC-in." Því miður er það ekki svo einfalt.

Dómstóll Evrópusambandsins skýrði í dómnum í máli Schrems II að staðlaðar samningsákvæðiein og sér dugi ekki ef viðtakendalandið býður ekki upp á nægilegt verndarstig. Fyrirtæki verða að:

1. Gera flutningsáhrifamat (TIA) — sérstaklega fyrir hvern þjónustuveitanda
2. Innleiða viðbótaröryggisráðstafanir: dulkóðun, dulnefningu, aðgangs takmarkanir
3. Staðfesta hvort þessar ráðstafanir séu raunverulega árangursríkar: dulkóðun veitir aðeins vernd ef bandaríski þjónustuveitandinn hefur ekki aðgang að lykla

Fyrir mörg algeng skýjaþjónustu er það þriðja atriðið sem veldur vandamálum: þjónustuveitandinn þarf að geta nálgast gögnin í óskreyttu formi til að þjónustan virki. Í slíkum tilvikum duga staðlaðar samningsákvæði (SCCs) ein og sér ekki.

SCC-klásúlurnar eru neyðarhemlun, ekki fallhlífa.

Hvað þú þarft að gera AKKARAT:

1. Gerið yfirlit yfir gögn (þessa viku)

Sjáið til þess að gerð verði listi. Strax. Hann þarf ekki að vera fullkominn, en hann verður að vera sem minnst tæmandi:

2. Athuga lagalegan grundvöll gagnaflutninga (þennan mánuð)

Fyrir hvern þjónustuveitanda á listanum þínum:

• Er bandaríska fyrirtækið umrætt DPF-vottað?
• Eru staðlaðar samningsákvæði (SCCs) einnig samþykkt?
• Er áhrifamat vegna gagnaflutnings aðgengilegt?
• Mun mat á áhrifum gagnaflutningsins enn vera gilt eftir 29. júní 2026?

3. Forgangsraðið mikilvægustu gögnum

Byrjaðu á viðkvæmustu gögnunum:

• Heilbrigðisgögn (tryggingakort, sjúklingagögn)
• Starfsmannagögn (HR-kerfi bandarískra birgja)
• Viðskiptavinagagnagrunnar (CRM, fréttabréf, tryggðaráætlanir)
• Fjármálagögn (greiðslur, reikningar)

4. Búðu til áætlun B áður en þú þarft hana

• Leitaðu að öðrum kostum innan ESB/EES fyrir mikilvæg kerfi
• Prófun gagnaútflutnings og flutnings (ekki bara skipuleggja þau)
• Skjalið samningsákvæði og uppsagnarfresti
• Innleiðið sérstaklega viðkvæmar ferla á svæðisbundnu stigi strax

5. Settu upp eftirlitskerfi

Af hverju er þessi tiltekna gagnagerð svo mikilvæg?

Þegar metnar eru skýjamiðlunarþjónustur er ekki nóg að einblína eingöngu á staðsetningu gagnamiðstöðvarinnar. Það sem skiptir mestu máli er að vita hvaða stofnanir taka þátt í vinnslunni, hvar persónuupplýsingar eru unnar og hvort aðgangur eða flutningar frá þriðju löndum séu mögulegir.

Ef persónuupplýsingar eru unnar eingöngu innan EES og ekki er hægt að fá aðgang frá þriðju löndum, eru hvorki ESB–Bandaríkjanna umgjörð um persónuvernd né staðlaðar samningsákvæði almennt nauðsynleg fyrir slíka vinnslu. Þar sem bandarísk fyrirtæki, vinnsluaðilar í þriðju ríkjum eða samsvarandi aðgangsákvæði koma við sögu, þarf að skoða sérstök flutningsákvæði sérstaklega.

Hýsing í ESB án bandarísks móðurfélags: af hverju skiptir rekstraraðili gagnamiðstöðvarinnar máli?

Að gagnamiðstöð sé staðsett í Frankfurt gerir skýjaþjónustu ekki sjálfkrafa að einungis evrópskri lausn. Það er einnig mikilvægt að vita hvaða fyrirtæki rekur gagnamiðstöðina og hvaða lögsögu það fyrirtæki sæti.

Passcreator notar gagnaver sem staðsett eru í Þýskalandi, rekin af evrópskum fyrirtækjum og tilheyra ekki bandarískum hópi. Hugtakið "hýsing í eigu Evrópu" er stundum notað um þessa stöðu: netþjónarnir eru staðsettir í Evrópu og rekstraraðilinn er einnig evrópskt fyrirtæki.

Fyrir fyrirtæki þýðir þetta að stjórnun og útgáfa á "wallet passes" þeirra fer fram í gegnum evrópskan vettvang sem hýstur er í Þýskalandi af evrópskum gagnaverarekstraraðilum. Þetta dregur verulega úr beinni háð við ESB-Bandaríkjanna gagnaverndarrammann fyrir miðlæga kerfið.

Þetta býður upp á meiri skipulagslega vissu og aukið stafrænt fullveldi, einkum fyrir viðskiptakort, tryggðarkort, miða og stafræna auðkenni sem notuð eru til lengri tíma.

Af hverju er þetta viðeigandi núna?

Stafræn tryggðarkort innihalda persónuupplýsingar. Fer eftir því hvað þau eru ætluð til, geta þær falið í sér:

• Stafræn tryggðarkort: nöfn, viðskiptanúmer, tengiliðaupplýsingar, tryggðarpunktar
• Rafræn trykkjukort: tryggingarnúmer, upplýsingar um vátryggingarsamninga og í sumum tilvikum heilsutengdar upplýsingar
• Meðlimakort: persónuauðkennanúmer, aðgangsstig, aðild að samtökum
• Aðgangsheimildir: hverjum er heimilt aðgangur að hvaða stað og á hvaða tíma, þar með talið staðsetningargögn
• Viðburðarmiðar og afsláttarmiðar: kauphegðun, notkunarmynstur, staðsetningargögn

Hjá bandarískum veitanda á stafrænu veski eru þessar upplýsingar geymdar á bandarískri innviðum eða geta að minnsta kosti orðið háðar beiðni bandarískra yfirvalda. Þetta á ekki við um Passcreator. Engar millifærslur til þriðju landa, engin Cloud Act, nánast engin áhætta tengd Schrems-dómnum.

Hvort sem um er að ræða félagsskírteini, tryggðarkort, tryggingaskírteini, aðgangsheimildir eða tryggðarkerfi: Hýsingarinnviðir Passcreator, sem eru reknir af evrópskum fyrirtækjum, eru áfram til staðar — óháð því hvort ESB-Bandaríkja gagnaverndarramminn er viðhaldinn eða ekki.

Skoðaðu núna hvaða grundvelli helstu bandarísku verkfærin þín vinna úr gögnum. Eða veldu strax lausn þar sem þessi spurning kemur ekki einu sinni upp.

Passcreator Prófaðu þetta: hýsingu í Þýskalandi hjá evrópskum gagnaveraveitum.

Evrópskir veitendur fremur en að vera háðir Bandaríkjunum: hvað er nú mögulegt

Umræðan um Schrems III-dóminn er ekki einangrað mál varðandi persónuvernd; hún er hluti af mun víðtækari umræðu: í hvaða mæli viljum við vera háð bandarískri tækni?

Samkvæmt fulltrúakönnun sem Bitkom framkvæmdi í apríl 2026 telja 93 prósent Þjóðverja að landið sé háð öðrum ríkjum þegar kemur að stafrænum tæknilausnum. 99 prósent telja mikilvægt að verða sjálfstæðari. Og þriðjungur þeirra hefur þegar tekið meðvitaða ákvörðun um að skipta yfir til evrópsks þjónustuveitanda.

Á sama tíma bendir rannsóknin á vanda: 55 prósent svarenda telja að það sé of mikið vesen að skipta yfir í evrópska veitendur.

Þetta er skiljanlegt þegar um alhliða CRM-kerfi eða skrifstofuhugbúnaðarsvítur er að ræða. En það eru svið þar sem skipti á evrópsku lausn eru ekki stórkostlegt verkefni: það er hægt að gera á nokkrum klukkustundum eða dögum.

Eitt slíkt dæmi er að skipta yfir í evrópskan veitanda stafræns veski sem ekki á bandarískt móðurfélag.

Óflókið skiptiferli

• Engu flutningsverkefni þörf: búaðu einfaldlega til Wallet Passes þín á Passcreator í stað þess að fara í gegnum fyrri birgja þinn
• Sömu tækin: passana birtast í Apple Wallet og Google Wallet; viðskiptavinir þínir munu ekki taka eftir neinum mun
• API-samþætting: Passcreator býður upp á REST-API sem hægt er að samþætta í núverandi kerfi þín
• Byrjaðu strax: engin þreytandi samþættingarferli, engar samþykkisferðir sem dragast á mánuði

Með Passcreator er skiptingin yfir í "gerð í Evrópu" mjög einföld.
Við lofum! Endilega ekki hika við að hafa samband.

Milli paníks og bið-og-sjá-aðferðar

Það er engin ástæða til að draga sig óvænt og samstundis úr öllum bandarískum þjónustum. DPF-ið er gilt, kæran hefur enn ekki verið lögð fram og það mun taka mörg ár áður en Dómstóll Evrópusambandsins kveður upp dóm.

Hins vegar væri jafn óskynsamlegt að hunsa málið. Reynsla Noyb sýnir að þessar lögfræðilegu aðgerðir hafa raunverulegar afleiðingar. Safe Harbour var afnumið. Privacy Shield var afnumið. Í báðum tilfellum var "allt gilt" í mörg ár — þar til svo var ekki lengur.

Skynsamlegasta nálgunin er að endurskoða lagastoðina, forgangsraða mikilvægustu gagnastraumana og undirbúa raunhæfa valkosti.

Ályktun: þrjár spurningar, þrjú hreinskilin svör

Hefur úrskurður þegar verið kveðinn upp í Schrems III-málinu? Nei. Ekki hefur enn verið kveðinn upp dómur frá ESB-dómstólnum, og NOYB hefur enn ekki formlega lagt fram áfrýjun. Hins vegar hefur slík áfrýjun verið tilkynnt og Latombe-málið er þegar til meðferðar hjá ESB-dómstólnum.

Er gagnaverndarramminn ógildur núna? Nei. Ákvörðun um viðunandi vernd er enn í gildi. Hins vegar mun grundvöllur hennar — sjálfstæði bandarískra gagnaverndaryfirvalda — ekki lengur vera löglega tryggður frá og með 29. júní 2026.

Hefur áhættan aukist? Já, verulega. Hin tvö fyrri samkomulög mistókst fyrir CJEU. Upphafspunkturinn fyrir hið þriðja er óhagstæðari en fyrir hin tvö fyrri.

Fyrirtæki sem vinna með gögn viðskiptavina sinna í bandarískum skýjaþjónustum þurfa nú varaplan. Reglugerð um gagnavernd (DPF) mun ekki hrynja á morgun né í næstu viku, en það mun gerast — og þá verður of seint fyrir fyrirtækið þitt.

Algengar spurningar

Hvað er Schrems III?

Schrems III er þriðja stóra lagalega áskorunin sem búist er við fyrir Dómstól Evrópusambandsins varðandi lögmæti gagnaflutninga milli ESB og Bandaríkjanna. Þessi málsókn byggir á Schrems I (2015, ógildingu Safe Harbour) og Schrems II (2020, ógildingu Privacy Shield). Schrems III er enn ekki lokið sem mál, heldur er þetta atburðarás sem fyrirtæki þurfa að undirbúa sig fyrir.

Hefur dómur þegar verið kveðinn upp í Schrems III-málinu?

Nei (frá og með júlí 2026). Málið í Bandaríkjunum, Trump gegn Slaughter, fellur undir stjórnarskrárbundinn rétt Bandaríkjanna og ekki undir evrópskan persónuverndarlög. Noyb hefur tilkynnt um fyrirætlanir sínar um að höfða mál fyrir Dómstól Evrópusambandsins, en hefur enn ekki formlega lagt það fram. Á sama tíma er kæra í Latombe-málinu (C-703/25 P) til meðferðar hjá ESB-dómstólnum.

Er gagnaverndarramminn ESB–Bandaríkjanna enn í gildi?

Já. Ákvörðun um viðunandi verndarstig (ESB 2023/1795) gildir áfram þar til Evrópu­komissionin breytir henni, setur hana á bið eða afturkallar hana — eða þar til lögmætur dómstóll ESB ógildir hana. Þetta hefur enn ekki gerst.

Eru gagnaflutningar til Bandaríkjanna nú bannaðir?

Nei. Lögmætið ræðst af sérstökum grundvelli flutningsins: DPF-vottun, staðlaðar samningsákvæði (SCC), bindandi fyrirtækisreglur (BCR) eða samþykki. Hverjum flutningi verður að meta í hverju tilviki fyrir sig.

Hvað þýðir þetta fyrir Google Analytics, Microsoft 365, AWS eða HubSpot?

Hverri þjónustu þarf að meta fyrir sig: hvaða gögn eru flutt og hvert? Hvert bandarískt fyrirtæki er samningsaðilinn? Hver er lagalegur grundvöllur flutningsins? Hvaða tæknilegar öryggisráðstafanir eru til staðar? Ákvarðandi þátturinn er hvort persónuupplýsingar séu fluttar til Bandaríkjanna eða hvort bandarískir starfsmenn hafi aðgang að þeim.

Mynda staðlaðar samningsbundnar klauslur (SCCs) nægjanlegan valkost?

Ekki endilega. SCC krefjast flutningsáhrifagreiningar (TIA) og, þar sem þörf krefur, aukatæknilegra og skipulagslegra ráðstafana. Ef bandaríski þjónustuveitandinn þarf aðgang að ó dulkóðuðum gögnum til að þjónustan virki, veitir dulkóðun enga vernd — og SCC ein og sér duga ekki.

Hver er munurinn á hýsingu innan ESB og hýsingu sem evrópsk fyrirtæki stjórna?

'Hýsing innan ESB' merkir aðallega að gögnum sé unnið á netþjónum sem staðsettir eru innan ESB. Rekstraraðilinn getur hins vegar verið bandarískt fyrirtæki. Í tilviki hýsingar sem er í eigu evrópskra fyrirtækja eru gagnaverin staðsett í Evrópu og rekin af evrópskum fyrirtækjum sem ekki eru í eigu bandarísks fyrirtækis.

Gildir frá 15. júlí 2026. Þessi grein verður uppfærð eftir því sem ný þróun verður.

Þessi grein endurspeglar greininguPasscreator og er ekki ætluð sem staðgengill fyrir einstaklingsbundna lögfræðiráðgjöf. Fyrir sértækar spurningar um flutning persónuupplýsinga, vinsamlegast hafið samband við persónuverndarfulltrúa ykkar eða sérfræðilögmannsstofu.

Heimildir: Hæstiréttur Bandaríkjanna, Trump gegn Slaughter (mál nr. 25-332); EUR-Lex, framkvæmdarákvörðun (ESB) 2023/1795; CJEU, C-703/25 P; noyb.eu; beck-aktuell (Prof. Dr Alexander Golland, 6. júlí 2026); IAPP; SCOTUSblog; CNBC.