Schrems III: vad händer om DPF faller?
Data Privacy Framework gjorde GA4 tekniskt lagligt igen 2023. Nu prövas ramverket rättsligt, och två gånger tidigare har samma resa slutat med ogiltigförklaring. Här är vad som står på spel och hur du tar bort risken ur din webbanalys.
Det korta svaret
Schrems III är den pågående rättsliga prövningen av EU-US Data Privacy Framework, adekvansbeslutet som idag är den lagliga grunden för att föra personuppgifter från EU till USA. Argumentet är detsamma som fällde Privacy Shield 2020: amerikansk övervakningslagstiftning har inte ändrats i sak, alltså har det nya ramverket samma juridiska brist som det gamla. Faller DPF hamnar alla svenska sajter som skickar data till USA, till exempel via Google Analytics, tillbaka i 2022 års rättsläge över en natt.
Tredje gången samma resa
Namnet kommer från Max Schrems, juristen bakom organisationen noyb. Hans två tidigare mål mot EU-kommissionens adekvansbeslut för USA vann båda i EU-domstolen. Mönstret är värt att se i sin helhet:
- 2015Schrems I fäller Safe Harbor
EU-domstolen ogiltigförklarar det första ramverket för EU-USA-överföringar.
- Jul 2020Schrems II fäller Privacy Shield
Efterträdaren går samma öde till mötes. USA blir tredje land utan adekvat skyddsnivå.
- Jul 2023IMY fäller fyra svenska företag
CDON, Coop, Dagens Industri och Tele2 fälls för GA4-överföringar till USA. Sanktionsavgifter upp till 12 mkr.
- Jul 2023Data Privacy Framework antas
EU-kommissionen antar det tredje ramverket. GA4 blir tekniskt lagligt igen, under villkor.
- PågåendeSchrems III
Ny rättslig prövning av DPF. Realistisk tidshorisont för ett avgörande: några år.
Vad prövningen gäller
Kärnfrågan är om USA:s underrättelselagstiftning ger EU-medborgare ett skydd som är väsentligen likvärdigt med GDPR. Schrems II-domen sa nej, eftersom amerikanska myndigheter kan begära ut data från amerikanska bolag utan den rättsliga prövning och de rättsmedel som EU-rätten kräver. DPF försöker lösa det med ett nytt prövningsorgan, men kritiken är att grundlagstiftningen är densamma. Det är den frågan domstolen nu ska svara på igen.
Vad händer om DPF ogiltigförklaras?
- GA4:s lagliga grund försvinner. Svenska GA4-installationer står då där IMY:s 2023-beslut lämnade dem: överföringen strider mot GDPR.
- Bedömningen kan bli retroaktiv. Data som överförts under DPF-perioden kan komma att betraktas som olovligen behandlad.
- Omställningen sker under tidspress. Efter Schrems II fick företag ingen övergångsperiod. Den som redan har en exit-plan, eller inget beroende alls, slipper göra jobbet i panik.
Två sätt att förbereda sig
Väg 1: stanna på GA4 med öppna ögon. Dokumentera konfigurationen (Consent Mode v2, retention, DPA), följ IMY:s vägledning och ha en färdig plan för vilket verktyg ni byter till om DPF faller. Vi har skrivit en hel genomgång i Är Google Analytics lagligt i Sverige 2026?
Väg 2: ta bort risken helt. Ett analysverktyg utan tredjelandsöverföring påverkas inte av utfallet, oavsett vilket det blir. Ingen data lämnar EU, alltså finns inget adekvansbeslut att luta sig mot och inget som kan falla. Det är så Spårlös är byggt: EU-hostat, cookie-fritt, utan US-subprocessorer. Hur en migration går till steg för steg finns i Byt från Google Analytics 2026.
Vanliga frågor
Vad är Schrems III?
Den pågående rättsliga prövningen av EU-US Data Privacy Framework (DPF), adekvansbeslutet som idag gör överföringar av personuppgifter till USA lagliga. Namnet kommer från juristen Max Schrems, vars två tidigare mål fällde Safe Harbor (Schrems I, 2015) och Privacy Shield (Schrems II, 2020).
När kommer avgörandet?
Det finns inget fastslaget datum. En realistisk tidshorisont utifrån hur Schrems I och II löpte är några år från att prövningen lämnades in, ofta uppskattat till omkring 2 till 4 år. Följ IMY och noyb för läget.
Påverkar det mig som använder Google Analytics?
Ja, direkt. GA4:s lagliga grund för US-överföringen vilar på DPF. Faller DPF hamnar svenska GA4-användare i samma läge som 2022, då IMY:s beslut mot CDON, Coop, Dagens Industri och Tele2 följde. Bedömningen kan dessutom bli retroaktiv.
Vad bör jag göra redan nu?
Antingen dokumentera din GA4-konfiguration ordentligt och ha en färdig exit-plan, eller ta bort risken helt genom att byta till ett verktyg utan tredjelandsöverföring. Bytet är enklare än det låter, en standardsajt migrerar på under en timme.
Berörs Spårlös av Schrems III?
Nej. Spårlös gör ingen tredjelandsöverföring alls: ingen data lämnar EU, inga US-subprocessorer finns i datavägen och inga cookies sätts. Utfallet i Schrems III ändrar ingenting för våra kunder.
Vidare läsning: Schrems II i praktiken · Hur GA4-data flyter till USA · Spårlös vs Google Analytics · IMY-läget samlat.