Mange norske små og mellomstore bedrifter (SMB-er) har de siste årene flyttet stadig flere forretningskritiske systemer til skyen. Microsoft 365, Google Workspace, Salesforce, HubSpot, Zoom og en rekke andre tjenester har blitt sentrale verktøy i den daglige driften. Få virksomheter tenker imidlertid over at mye av denne infrastrukturen er kontrollert av amerikanske selskaper, og at grunnlaget for lovlig overføring av personopplysninger mellom Europa og USA kan være mindre stabilt enn mange har trodd.

I artikkelen «Datakorthuset mellom USA og Europa vakler» beskriver Mats Staugaard hvordan en nylig avgjørelse i USAs høyesterett kan få konsekvenser langt utover amerikansk innenrikspolitikk. Dersom utviklingen fører til at EU–US Data Privacy Framework (DPF) utfordres eller faller bort, kan konsekvensene bli merkbare også for norske SMB-er.

Fundamentet for transatlantisk datadeling

Data Privacy Framework, som ble innført i 2023, er det juridiske rammeverket som gjør det mulig å overføre personopplysninger fra Europa til sertifiserte amerikanske virksomheter. Ordningen ble etablert etter at forgjengerne Safe Harbor og Privacy Shield tidligere ble kjent ugyldige av EU-domstolen.

En viktig del av DPF bygger på at amerikanske tilsynsmyndigheter skal være tilstrekkelig uavhengige til å føre kontroll med virksomheter som mottar europeiske personopplysninger. Etter en avgjørelse fra USAs høyesterett i saken Trump v. Slaughter har flere jurister og personvernorganisasjoner stilt spørsmål ved om denne forutsetningen fortsatt er oppfylt. Dommen åpner for at presidenten får betydelig større kontroll over myndigheter som tidligere ble ansett som uavhengige, blant annet Federal Trade Commission (FTC), som spiller en sentral rolle i håndhevelsen av DPF.

Dette betyr ikke at DPF er ugyldig i dag. Rammeverket gjelder fortsatt fullt ut. Men det har skapt ny usikkerhet rundt hvor robust ordningen faktisk er på lengre sikt.

Hvorfor bør norske SMB-er bry seg?

For de fleste SMB-er handler dette ikke om internasjonal politikk eller juridiske teorier, men om helt vanlige IT-tjenester.

En moderne virksomhet benytter ofte:

• E-post og samhandling i Microsoft 365
• Dokumentlagring i OneDrive eller Google Drive
• CRM-systemer som Salesforce eller HubSpot
• Videomøter via Teams eller Zoom
• Skytjenester levert av Microsoft Azure eller Amazon Web Services

Hvis grunnlaget for dataoverføring mellom Europa og USA endres, kan virksomhetene bli møtt med nye krav til dokumentasjon, risikovurderinger og personvernprosedyrer.

For store konsern med egne juridiske avdelinger er slike prosesser håndterbare. For en SMB med begrensede ressurser kan de innebære betydelige administrative og økonomiske belastninger.

Data i Europa er ikke nødvendigvis europeiske data

Mange ledere tror at problemet er løst så lenge dataene lagres i et europeisk datasenter. Virkeligheten er imidlertid mer komplisert.

En norsk bedrift kan for eksempel lagre alle sine Microsoft 365-data i Irland eller Nederland. Fysisk befinner dataene seg dermed innenfor Europa. Likevel er Microsoft et amerikansk selskap som er underlagt amerikansk lovgivning. Det samme gjelder mange andre ledende skyleverandører.

Fra et GDPR-perspektiv er spørsmålet derfor ikke bare hvor serveren står, men også hvem som har kontroll over dataene og hvilke juridiske rettigheter ulike myndigheter kan ha til å kreve innsyn eller tilgang.

Europeisk lagring reduserer mange risikoer og er ofte et viktig tiltak for å styrke personvernet. Men det eliminerer ikke nødvendigvis alle juridiske utfordringer knyttet til amerikansk eierskap eller jurisdiksjon.

Kan vi få en ny «Schrems-sak»?

Mange husker konsekvensene da Safe Harbor og senere Privacy Shield ble underkjent av EU-domstolen. Begge avgjørelsene førte til betydelig usikkerhet for virksomheter på begge sider av Atlanteren.

Personvernaktivisten Max Schrems og organisasjonen NOYB har allerede signalisert at de vurderer nye juridiske skritt mot DPF. Flere eksperter omtaler dette som en mulig «Schrems III»-sak. Dersom en ny rettsprosess lykkes, kan virksomheter igjen bli nødt til å basere seg på alternative mekanismer som Standard Contractual Clauses (SCC) og omfattende vurderinger av personvernrisiko.

For norske SMB-er kan dette innebære mer papirarbeid, flere juridiske vurderinger og økte kostnader knyttet til etterlevelse av GDPR.

Hva bør SMB-er gjøre nå?

Det er ingen grunn til panikk. DPF er fortsatt gyldig, og ingen norske virksomheter trenger å bytte ut sine skyleverandører som følge av dagens situasjon.

Likevel bør bedrifter bruke anledningen til å få bedre oversikt over egen databehandling.

Følgende tiltak kan være fornuftige:

• Kartlegg hvilke amerikanske skyløsninger virksomheten bruker.
• Undersøk hvor data faktisk lagres.
• Kontroller hvilke overføringsmekanismer leverandørene benytter.
• Følg utviklingen rundt DPF og eventuelle nye rettsprosesser.
• Sørg for at personverndokumentasjon og databehandleravtaler er oppdaterte.

Virksomheter som behandler store mengder personopplysninger, slik som regnskapsbyråer, advokatfirmaer, HR-selskaper og helsevirksomheter, bør være spesielt oppmerksomme på utviklingen.

En påminnelse om digital avhengighet

Diskusjonen rundt Data Privacy Framework viser hvor avhengige norske SMB-er har blitt av globale teknologiselskaper. Selv om dataene lagres i Europa, kan endringer i amerikansk lovgivning eller amerikanske domstoler få direkte konsekvenser for hvordan europeiske virksomheter håndterer personopplysninger.

For de fleste norske SMB-er er den største risikoen ikke at skyløsningene slutter å fungere over natten. Den største risikoen er økt regulatorisk usikkerhet og nye krav til dokumentasjon og etterlevelse dersom det juridiske grunnlaget for dagens dataoverføringer blir utfordret.

Kilde: Denne artikkelen er basert på artikkelen «Datakorthuset mellom USA og Europa vakler» av Mats Staugaard, publisert på matsbs.com, samt analyser av utviklingen rundt EU–US Data Privacy Framework og den amerikanske høyesterettsdommen Trump v. Slaughter.