Schrems II og nettstedet ditt
Schrems II-dommen endret hvordan europeiske organisasjoner håndterer tredjeparts webtjenester. Finn ut hvilke leverandører på nettstedet ditt som påvirkes, og hva du kan gjøre videre.
Hva er Schrems II?
I juli 2020 kjente EU-domstolen (CJEU) EU-US Privacy Shield ugyldig i en sak reist av den østerrikske personvernaktivisten Max Schrems. Dommen (formelt Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems, sak C-311/18) slo fast at amerikansk overvåkningslovgivning ikke gir europeere tilstrekkelig beskyttelse.
Dommen forbød ikke overføringer til USA, men gjorde dem mer komplekse. Organisasjoner som baserte seg på Privacy Shield måtte raskt finne nytt grunnlag, og de som brukte Standard Contractual Clauses (SCCs) måtte vurdere om amerikansk rett undergraver beskyttelsen.
I juli 2023 vedtok EU EU-US Data Privacy Framework (DPF) som ny adekvansbeslutning for sertifiserte amerikanske organisasjoner. Dette gir et enklere rettslig grunnlag for overføringer til DPF-sertifiserte leverandører. Samtidig er DPF fortsatt omstridt, og ikke-sertifiserte leverandører omfattes fortsatt av full Schrems II-vurdering.
EU-domstolen opphever EU-US Privacy Shield. Tusenvis av organisasjoner mister overføringsgrunnlaget over natten.
Datatilsyn i Europa begynner å fatte vedtak mot Google Analytics, Facebook og andre. Bøter følger.
Data Privacy Framework gir en ny adekvansbeslutning. Overføringer til DPF-sertifiserte amerikanske organisasjoner er nå dekket. Rammeverket kan fortsatt utfordres rettslig.
Hva regnes som en tredjelandsoverføring på et nettsted?
Ethvert skript eller ressurs som får besøkendes nettleser til å sende data til en server utenfor EØS, kan være en tredjelandsoverføring. Dette inkluderer IP-adresser, som er personopplysninger.
Analyseskript
Google Analytics, Mixpanel, Amplitude
Disse setter ofte cookies og sender atferdsdata til servere i USA. GA4 er blant de vanligste Schrems II-utfordringene for europeiske nettsteder.
Tag managers
Google Tag Manager, Segment
Tag managers er ofte USA-eide og laster flere andre USA-leverandører. Selve tag manageren kan være det juridiske problemet, ikke bare taggene som trigges.
Fonter og CDN-er
Google Fonts, jsDelivr, cdnjs
Laster du fonter fra Google Fonts, sendes besøkendes IP-adresse til Google. Tyske domstoler har gitt bøter i slike saker. Selvhosting av fonter fjerner dette punktet.
Kundestøtte
Intercom, Zendesk, HubSpot chat
Chat-widgets laster skript som kan overføre data til amerikanske databehandlere. Mange leverandører tilbyr EU-datalagring som tillegg eller i høyere abonnement.
Annonsepiksler
Meta Pixel, LinkedIn Insight Tag, TikTok Pixel
Annonsepiksler er blant de mest juridisk komplekse leverandørene. De kan gjøre USA-eide tredjeparter til felles behandlingsansvarlige, ikke bare databehandlere.
Session replay
Hotjar, FullStory, Microsoft Clarity
Session replay-verktøy registrerer brukerinteraksjoner. Dataene inneholder ofte personopplysninger etter definisjon, og kan behandles på infrastruktur utenfor EØS.
En praktisk prosess i 6 steg
StackPatrol dekker steg 1. Steg 2 til 6 krever teamet ditt, DPO og i noen tilfeller juridisk rådgiver.
Kartlegg hva nettstedet faktisk laster
Før du kan vurdere risiko må du ha en faktisk oversikt. Mange team blir overrasket over hvor mange tredjepartsdomener som kontaktes ved én enkelt sideinnlasting.
Identifiser USA-eide leverandører
Schrems II gjelder overføringer til USA og andre tredjeland uten adekvansbeslutning. Filtrer oversikten til USA-eide tjenester. Eierstruktur i konsern er viktigere enn hvor serveren fysisk står.
Kontroller behandlingsgrunnlag per overføring
For hver USA-leverandør må du avklare om de er DPF-sertifisert, om SCCs er på plass, og om supplerende tiltak trengs. Dette er den juridiske delen som krever DPO eller juridisk rådgiver.
Bytt ut der det er mulig
For analyse, tag managers, fonter og lignende finnes det ofte europeiske alternativer som fjerner overføringsspørsmålet helt. Leverandørbytte går ofte raskere enn en full TIA-prosess.
Dokumenter det som blir igjen
For USA-leverandører du beholder, dokumenter rettslig grunnlag, SCCs og eventuelle supplerende tiltak i behandlingsprotokollen (ROPA). Oppdater personvernerklæring og cookiebanner så de matcher faktisk leverandørliste.
Overvåk endringer
Leverandørstacken endres over tid. En tag manager-oppdatering, nytt markedsføringsverktøy eller skriptoppdatering kan legge til USA-leverandører uten synlig endring. Sett opp ukentlig overvåking for varsling ved endringer.
StackPatrol gjør kartleggingssteget
Før du kan vurdere risiko, må du vite hvilke tredjeparter som faktisk lastes, en leverandøroversikt bygget fra ekte sideinnlastinger, ikke antakelser eller tag manager-konfigurasjon.
StackPatrol laster sidene dine i headless Chromium, registrerer hvert tredjepartsdomene, klassifiserer leverandører etter eierregion (USA, EU, EØS, UK), og foreslår europeiske alternativer der de finnes.
- Oppdager USA-eide leverandører automatisk
- Viser konserneierskap, ikke bare serverlokasjon
- Dekker skript, fonter, CDN-er, piksler og embeds
- Gir en delbar rapport til DPO eller juridisk team
- Gratis, ingen registrering, resultater på under 30 sekunder
Vanlige spørsmål
Er Schrems II fortsatt relevant?
Hvilke USA-leverandører på nettstedet mitt dekkes av DPF?
Trenger jeg en Transfer Impact Assessment (TIA) for hver USA-leverandør?
Sertifiserer StackPatrol GDPR-etterlevelse?
Hva er forskjellen mellom databehandler og behandlingsansvarlig?
Nettstedet vårt bruker Cloudflare. Er det et Schrems II-problem?
Dette er ikke juridisk rådgivning
StackPatrol er en teknisk skanner. Tjenesten sertifiserer ikke GDPR-etterlevelse og kan ikke avgjøre om din konkrete bruk av en leverandør er lovlig. Informasjonen på denne siden er kun generell veiledning.
For råd tilpasset din organisasjon, kontakt en kvalifisert personvernadvokat eller sertifisert DPO.
Start med kartleggingen
Lim inn URL-en din under. StackPatrol skanner nettstedet på under 30 sekunder og viser alle tredjepartsleverandører, hvor de hører hjemme, og om europeiske alternativer finnes.
Gratis, ingen konto nødvendig. Et nyttig første punkt i enhver Schrems II-sjekkliste.