Schrems II og e-postlisten – hva overføring ut av EU faktisk krever

En e-postliste er et personregister, og verktøyet som sender den, er en databehandler. Overfører verktøyet listen ut av EU, må overføringen ha et grunnlag – og rundt nettopp det grunnlaget har det skjedd to ting som er verdt å vite før du velger verktøy.

Kort svar

Overføring ut av EU er ikke forbudt. Den krever et overføringsgrunnlag etter personvernforordningens kapittel V, og grunnlagene kommer i prioritert rekkefølge: først Kommisjonens beslutning om tilstrekkelig beskyttelsesnivå, i mangel av den for eksempel standardklausuler med tilhørende vurderinger.

Den enkleste løsningen er å la være å overføre. Fem av de sju e-postverktøyene vi sammenligner, lagrer listedataene i EU, og da faller hele dette kapittelet bort fra din egen dokumentasjon.

Hva Schrems II-dommen avgjorde

EU-domstolen avsa dom i sak C-311/18 16.7.2020. To ting ble avgjort på én gang, og de peker i hver sin retning.

• Privacy Shield ble opphevet. Domsslutningens femte punkt er entydig: «Commission Implementing Decision (EU) 2016/1250 … is invalid.»
• Standardklausulene ble stående. Ifølge fjerde punkt hadde gjennomgangen av beslutning 2010/87 «disclosed nothing to affect the validity of that decision».

Den praktiske endringen var likevel ikke at én beslutning ble byttet ut med en annen. Det var vilkåret domstolen satte for bruken av standardklausulene: den som overfører, må sikre at de registrerte i mottakerlandet får «a level of protection essentially equivalent to that guaranteed within the European Union», og vurderingen må også ta hensyn til myndighetenes tilgang til opplysningene i mottakerlandet. Ansvaret flyttet seg altså fra Kommisjonens beslutning til den som overfører. Samme domsslutning pålegger tilsynsmyndigheten å stanse eller forby overføringen hvis beskyttelsen ikke kan sikres.

Hva som erstattet Privacy Shield

Kommisjonen traff 10.7.2023 gjennomføringsbeslutning (EU) 2023/1795 om EU–US Data Privacy Framework. Én detalj avgjør hva beslutningen betyr for deg: den gjelder ikke USA som land.

Beslutningens artikkel 1 avgrenser beskyttelsesnivået til overføringer «to organisations in the United States that are included in the ’Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce». Tilstrekkeligheten gjelder altså per organisasjon. I praksis betyr det ett arbeidstrinn: når du vurderer en amerikansk tjeneste, sjekk om akkurat den organisasjonen står på listen – og søk på selskapets offisielle navn, fordi tjenesten kan stå der under morselskapets navn.

Beslutningen har også sin egen opphevingsklausul. Etter artikkel 3 nr. 5 kan Kommisjonen «suspend, amend or repeal this Decision, or limit its scope» hvis et tilstrekkelig beskyttelsesnivå ikke lenger er sikret.

Er den nye beslutningen varig

Her er det ærlige svaret: den er allerede utfordret, og én gang har en tilsvarende beslutning falt. Underretten avviste et søksmål om oppheving 3.9.2025 i sak T-553/23 (Latombe mot Kommisjonen). Ifølge domstolens pressemelding «confirms that, on the date of adoption of the contested decision, the United States of America ensured an adequate level of protection».

Avgjørelsen er anket til EU-domstolen (sak C-703/25 P, anke inngitt 31.10.2025). Vi har ikke sjekket sakens status etter det, og vi spår ikke utfallet.

For leseren følger det ett praktisk råd av dette, ikke en spådom: bygg ikke noe på beslutningen om tilstrekkelig beskyttelsesnivå som du ikke kan avvikle. For et e-postverktøy betyr det at muligheten til å flytte listen ut av tjenesten er en del av risikostyringen – og det er et godt krav uansett.

Hvis beslutningen ikke dekker tjenesten

Da trenger overføringen en nødvendig garanti etter personvernforordningens artikkel 46. Den vanligste er standardklausulene Kommisjonen har vedtatt, som står i artikkel 46 nr. 2 bokstav c. Artikkelens nr. 1 setter også et vilkår: i tillegg til garantiene må de registrerte ha «enforceable data subject rights and effective legal remedies».

Det er ikke nok bare å signere klausulene. Personvernrådets anbefalinger 01/2020 (versjon 2.0, vedtatt 18.6.2021) beskriver seks trinn. Fire av dem er reelt arbeid for den som overfører, og det femte er formelle prosedyrer et supplerende tiltak kan kreve:

1. Kjenn overføringene dine. Kartlegg hvilke personopplysninger som overføres hvor – anbefalingen kaller dette første trinn og påpeker at det ofte er en vanskelig øvelse.
2. Sjekk overføringsverktøyet. Hvis Kommisjonens beslutning dekker mottakeren, trengs ikke annet enn å følge med på at beslutningen fortsatt gjelder – og for USA betyr det organisasjonen, ikke landet.
3. Vurder mottakerlandets lovgivning og praksis. Dette er overføringsvurderingen: svekker rettstilstanden i mottakerlandet garantienes virkning i akkurat din overføring.
4. Innfør supplerende tiltak hvis vurderingen krever det, og vurder situasjonen på nytt med jevne mellomrom.

To punkter i anbefalingen bør leses ordrett. Dokumentasjon: «You should conduct this assessment with due diligence and document it thoroughly. Your competent supervisory and/or judicial authorities may request it and hold you accountable for any decision you take on that basis.» Og situasjonen der ingenting er nok: «In those cases where no supplementary measure is suitable, you must avoid, suspend or terminate the transfer.»

Hva dette betyr når du velger e-postverktøy

Her blir jussen til en kjøpsbeslutning, og resultatet er enklere enn teksten over gir inntrykk av.

Fem av de sju verktøyene vi sammenligner, lagrer listedataene i EU: Brevo, GetResponse, Systeme.io, MailerLite og EmailOctopus. For dem trengs ikke noe overføringsgrunnlag etter kapittel V i det hele tatt, fordi det ikke skjer noen overføring. De to gjenværende, Mailchimp og ActiveCampaign, overfører data ut av EU – lovlig, men med overføringsgrunnlag og oppføringer. Situasjonen per tjeneste: e-postmarkedsføring og GDPR; alle sju erklæringene side om side og datert: datalokasjon for e-postverktøy.

Det betyr ikke at et verktøy utenfor EU er feil valg. Det betyr at prisen inkluderer et arbeidstrinn som EU-aktørens pris ikke gjør – og i et enkeltpersonforetak er det trinnet dyrere enn noen euro i månedlig forskjell.

Fire ting en liten bedrift bør gjøre

1. Finn ut hvor listen din er. Svaret står i tjenestens egen personvernerklæring, ikke på markedsføringssiden. Spør om både avtalepart og datasenterets lokasjon – de kan være i ulike land.
2. Før opp databehandleren i din egen personvernerklæring. Skjer det overføring ut av EU, krever artikkel 13 nr. 1 bokstav f at du opplyser om overføringen og om det finnes en beslutning om tilstrekkelig beskyttelsesnivå eller ikke.
3. Inngå databehandleravtale. Det er noe annet enn overføringsgrunnlaget og trengs uansett, også med en EU-aktør. Hva avtalen må inneholde.
4. Overfører du med standardklausuler, dokumenter vurderingen. Personvernrådets anbefaling sier rett ut at myndigheten kan be om å få se den.

Forordningen selv sammenfatter det samme kort. Hovedregelen i artikkel 44, som gjelder som norsk lov gjennom EØS-avtalen: enhver overføring til en tredjestat «skal finne sted bare dersom den behandlingsansvarlige og databehandleren, med forbehold for de andre bestemmelsene i denne forordning, oppfyller vilkårene i dette kapittel». Lest 13.9.2026.

Hva denne siden ikke er

Dette er ikke juridisk rådgivning. Vi forteller hva som står i originalkildene, og hver av dem er lenket i teksten: domsteksten, Kommisjonens beslutning, forordningens artikler og Personvernrådets anbefaling. Å anvende det på din egen situasjon er din eller advokatens jobb.

Vi publiserer heller ikke Data Privacy Framework-status for enkelttjenester. Grunnen er metodisk: statusen kan endre seg uten varsel, og vår 90-dagers kontrollrunde ville ikke garantere at den er oppdatert. Listen er offentlig, og det går raskere å sjekke den enn å lese den hos oss. Metoden i sin helhet: slik sammenligner vi.