Nå bør adekvansbeslutningen falle

Dette for at du som skoleeier skal forstå og ta stilling til om den fortsatt bør være gyldig og om vi bør fortsette å overføre personopplysninger til USA. 

Den geopolitiske situasjonen i verden har endret seg mye og raskere enn det vi er vant med siden 2025:

• USA, en nær alliert, har truet nabolandet vårt med Danmark med militærmakt, om de ikke får ta over Grønland.
• Spørsmålet om Microsoft egentlig stengte e-postkontoen til en advokat hos den internasjonale straffedomstolen i Haag fordi han ble sanksjonert av USA, har satt digital suverenitet på dagordenen i Europa.
• NSM har i sin trusselvurdering for 2026 fremhevet «omfattende bruk av et fåtall utenlandske skytjenester» som en sikkerhetsrisiko.
• Mens amerikanske myndigheter har flere ganger kritisert EUs personvernregelverk for å være for strengt og unødvendig.

Overføringer av personopplysninger ut av EU/EØS har alltid vært et vanskelig spørsmål.

Veldig kort: For å kunne overføre personopplysninger ut av EU/EØS, trenger du et overføringsgrunnlag. Det finnes flere overføringsgrunnlag, og et av dem er en adekvansbeslutning. Altså en beslutning av EU-kommisjonen om at et land utenfor EU/EØS kan garantere et «tilsvarende vern» av våre personopplysninger som det vi nyter etter GDPR.

Som nevnt har det alltid vært vanskelige med overføringer.

Nå virker det enda mer usikkert, selv om skoleeiere fortsatt har et gyldig overføringsgrunnlag i adekvansbeslutningen til EU-kommisjonen.

Vi i det nasjonale DPIA-prosjektet for bruk av M365 i skolen har vært usikre på hvordan vi skal gripe an denne usikkerheten.

På den ene siden gjelder adekvansbeslutningen som gyldig overføringsgrunnlag. Den er gyldig helt til EU-kommisjonen trekker den tilbake, eller EU-domstolen bestemmer at den er ugyldig.

På den andre siden skjer det en del endringer i USA akkurat nå som gjør at den kanskje burde bli kjent ugyldig.

Vi i det nasjonale DPIA-prosjektet har skrevet en veileder for deg som ønsker å forstå hva adekvansvurderingen bygger på. Hva EU-kommisjonen har vurdert og lagt vekt på når den har kommet til at personopplysninger som overføres til USA nyter en tilsvarende personvernbeskyttelse som etter GDPR.

Hvis de forhold som adekvansbeslutningen hviler på endres eller faller bort, vil dette skje i tid før EU-kommisjonen trekker den tilbake eller EU-domstolen kjenner den ugyldig.

Vi ønsket å gjøre oss opp en mening om når forholdene i USA har endret seg så mye at adekvansbeslutningen burde falle. I sommer kom en amerikansk høyesterettsdom som gjorde at forutsetningene for adekvansbeslutningen har endret seg så mye at den burde falle.

Vi har oppdatert veilederen om forutsetningene for adekvansbeslutningen (pdf - åpner i eget vindu)

Har du spørsmål eller innspill til veilederen? Ta kontakt med prosjektleder ida.thorsrud@ks.no

Webinar

I forbindelse med oppdatering av veilederen, hadde vi et webinar hvor vi forklarer de endrede forutsetningene muntlig. Se opptaket fra det her:

Hva nå?

Etter at denne amerikanske høyesterettsdommen kom sommeren 2026, har Max Schrems sendt et brev til EU-kommisjonen hvor han oppfordrer dem til å trekke tilbake adekvansbeslutningen siden en viktig forutsetning den hviler på nå er borte. I brevet har han også varslet rettslige skritt.  

Det betyr at vi må belage oss på Schrems III. Sagt på en annen måte, det er ganske sannsynlig at adekvansbeslutningen vil falle. Men hvis EU-kommisjonen ikke trekker den tilbake, vil det ta tid. Schrems anslår at det vil ta 2-3 år.  

Hva kan du som skoleeier gjøre?

Så hva kan du gjøre sånn helt konkret? Den kjedelige sannhet er at det ikke finnet et godt eller tilfredsstillende svar på det. Men anbefalingen vår fra den første versjonen av denne veiledningen står seg fortsatt om enn noe justert:

Anbefaling

Ta et bevisst valg om hvordan du som skoleeier vil forholde deg til at grunnlaget som adekvansvurderingen bygger på har endret seg så mye at den bør bli satt til side.

Vi mener at det ikke lenger er lurt å vente til adekvansbeslutningen faktisk faller, selv om det er et alternativ siden den fortsatt er et gyldig overføringsgrunnlag på papiret. Det er nemlig flere ting du kan gjøre allerede nå for at jobben ikke skal bli så overveldende når den først faller:

1. Få oversikt over hvilke overføringer til USA som faktisk skjer og om de bygger på adekvansbeslutningen som overføringsgrunnlag

Da vet du hva som blir et problem du må jobbe med når adekvansbeslutningen faller.

2. Børst støv av den gamle tredjelandsvurderingen til USA for den må oppdateres

Har du ikke en? Begynn å tenke på hvordan du skal gjøre en. Ta gjerne inspirasjon fra den vi har gjort for Taiwan I Google-prosjektet.

3. Snakk med leverandørene dine om hvordan de har tenkt å løse dette

Det er ikke sikkert at de har noe godt svar, men ved å begynne samtalen allerede nå, gjør du det enklere for deg selv når adekvansbeslutningen faller.

Du kan velge å se på alternativer til store amerikanske skyleverandører

Den amerikanske høyesterettsdommen Trump v. Slaughter er et brudd med en nesten 100 år gammel lov, og nesten like mange år med rettspraksis som har bekreftet at ansatte i FTC både har et stillingsvern, og at organet er et selvstendig tilsynsorgan. Det at amerikansk høyesterett har gått bort fra dette, er alvorlig. Det betyr at rettsikkerheten ikke er det vi trodde den var i USA. Det igjen kan gjøre at det er tid for å begynne å se seg om etter alternativer til amerikanske skyleverandører, slik som myndighetene andre steder i Europa allerede har startet med. Det er dette som har blitt kalt en «Exit-strategi», «digital suverenitet», «digital handlefrihet» eller til og med «leverandøruavhengighet».

Vi tror det arbeidet starter med å i alle fall begynne å tenke på hva det betyr å ha leverandører som ikke overfører personopplysninger til USA. Få oversikt over hvilken digitale infrastruktur dere bruker nå og hvem som leverer den.

Det kan være at både digital suverenitet eller handlefrihet, økonomi (økte lisenskostnader) og personvern (usikkerheten knyttet til overføringsgrunnlaget) nå trekker i retning av at tiden er inne for å i alle fall starte å utforske alternativer.

Vi har tre konkrete anbefalinger hvis du ønsker å bli mer leverandøruavhengig:

1. Få en avgjørelse fra ledelsen, hvordan? Tenk langsiktig kostnad

Det å bli mer leverandøruavhengige må være forankret i ledelsen, typisk som en del av en egen sak eller mer langsiktig strategi. For de kommunene som har startet denne prosessen, har den viktigste motivasjonen vært å redusere kostnader over tid (f.eks. økning i lisenskostnader).

2. Bygg intern kompetanse

Det å bli mer leverandøruavhengige, krever en investering i intern kompetanse. Lag en plan og begynn p investere i de folka som dere allerede har.

3. Beskriv leverandøruavhengige løsninger i nye kravspesifikasjoner

En veldig kokret ting som kan gjøres, er å beskrive at de løsningene som skal anskaffes må være kontorstøtteverktøy-uavhengige. Dette betyr å lage kravspesifikasjoner som ikke tillater knytninger. Larvik kommune har brukt denne strategien. 

En annen veldig konkret ting du kan gjøre, er å bli en del av DPIA-prosjektet. Vi jobber helt konkret med å få oversikt over de overføringene som skjer i M365. Ta kontakt med KS ved ida.thorsrud@ks.no hvis dette er noe du har tid og lyst til.

En exit-strategi vil ta tid. Poenget er å starte å planlegge for det selv om du ender opp med å ikke ta den i bruk.