Två rättsliga händelser förklarar varför ”var finns min data” blev en allvarlig fråga för vanliga WordPress-ägare: Schrems II-domen och den amerikanska CLOUD Act. Ingen av dem är så krånglig som förkortningarna antyder. Tillsammans säger de något rakt: om ett amerikanskt-kontrollerat företag håller din data kan den datan vara åtkomlig enligt amerikansk lag, och att flytta personuppgifter till USA kräver nu en verklig motivering snarare än en ikryssad ruta. Här är vad var och en faktiskt slog fast, och vad det betyder för en webbplats som kör WordPress inom EU.
Vad Schrems II faktiskt slog fast
Schrems II är det vanliga namnet på en dom från EU-domstolen, meddelad den 16 juli 2020 i mål C-311/18. Domstolen skulle avgöra om de rättsliga mekanismer som användes för att skicka personuppgifter från EU till USA gav européer tillräckligt skydd. Den kom fram till två slutsatser som fortfarande formar landskapet.
För det första ogiltigförklarade den Privacy Shield mellan EU och USA, det ramverk som tusentals företag hade lutat sig mot för att legitimera överföringar till USA. Över en natt slutade ”vi är Privacy Shield-certifierade” att vara en giltig grund. För det andra höll den standardavtalsklausulerna vid liv men fäste ett villkor: ett företag som lutar sig mot dem kan inte bara skriva under och gå vidare. Det måste bedöma om mottagarlandet verkligen erbjuder ett skydd som i allt väsentligt motsvarar EU:s, och lägga till kompletterande åtgärder där så inte är fallet. Domstolens oro kring USA gällde särskilt landets övervakningsbefogenheter, som ett privat avtal mellan två företag inte kan stänga av.
Den praktiska slutsatsen är att överföringar till USA inte längre är automatiska. De är tillåtna där en giltig mekanism och en verklig bedömning stödjer dem, och de är ett problem där en mekanism åberopas men det underliggande skyddet egentligen inte finns där.
Vad CLOUD Act ändrar
Den amerikanska CLOUD Act, antagen 2018, tar upp den andra sidan av samma mynt. Den bekräftar att amerikanska myndigheter kan förelägga amerikanska leverantörer att lämna ut data i deras besittning eller kontroll, oavsett var i världen datan fysiskt lagras. Med andra ord: ett amerikanskt företag som driver ett datacenter i Sverige kan ändå föreläggas, enligt amerikansk lag, att lämna ut data som ligger på den svenska hårdvaran.
Det är den punkt som överraskar folk. Du kan lagra data inom EU och ändå inte vara fri från utländsk räckvidd, för räckvidden följer bolagskontrollen, inte bara diskens plats. Därför har suveränitetsfrågan två delar: var datan ligger, och vem som kontrollerar företaget som håller den. Att kontrollera den andra delen i praktiken innebär att granska din leverantörs underbiträden och ägarkedja. CLOUD Act är skälet till att den andra delen inte kan viftas bort.
Schrems II skärpte hur data får lämna EU. CLOUD Act visar hur en utländsk lag ändå kan nå data som aldrig lämnade. Tillsammans gör de bolagskontrollen till det du ska granska.
Var Data Privacy Framework passar in
Efter att Privacy Shield fallit förhandlade EU och USA fram en ersättare. År 2023 antog EU-kommissionen ett beslut om adekvat skyddsnivå för Data Privacy Framework mellan EU och USA, som återigen tillåter personuppgifter att flöda till amerikanska företag som certifierar sig under det. Om du använder en amerikansk tjänst i dag och den lutar sig mot en laglig grund är det ofta den här mekanismen den pekar på, vid sidan av standardavtalsklausuler.
Det är värt att vara ärlig om ramverkets status. Det är den nuvarande, giltiga mekanismen, och det är rimligt att luta sig mot det. Det är också det tredje försöket till en sådan här överenskommelse mellan EU och USA, och de två föregående revs upp av samma domstol. Integritetsförespråkare, däribland Max Schrems, har signalerat att även det här kan komma att prövas. Det gör det inte osäkert att använda nu. Men det betyder att bygga sin grund på antagandet att amerikanska överföringar alltid ska vara friktionsfria är att satsa på en mekanism med en historia av att bli upphävd.
Kapitel V, utan jargongen
Allt detta ligger inom kapitel V i GDPR, den del som styr överföringar av personuppgifter utanför EU. Du behöver inte lära dig artikelnummer utantill för att förstå formen. Kapitel V säger att en överföring till ett land utanför EU behöver en laglig väg, och det räknar upp de viktigaste:
- Ett beslut om adekvat skyddsnivå, där kommissionen bedömt ett lands skydd som tillräckligt. Data Privacy Framework fungerar så för certifierade amerikanska företag.
- Lämpliga skyddsåtgärder, oftast standardavtalsklausuler, numera parade med Schrems II-bedömningen.
- Särskilda, snäva undantag för enskilda situationer, som inte är tänkta att vara en löpande grund för fortlöpande överföringar.
Det renaste sättet att hålla sig bekvämt inom kapitel V är att ha mindre att överföra från början. Om personuppgifterna din webbplats samlar in behandlas och lagras inom EU, av företag som kontrolleras inom EU, gäller det mesta av kapitel V helt enkelt inte din drift. Du hanterar ingen överföring, för det finns ingen överföring. Det är den tysta fördelen med att hålla driftvägen europeisk: den gör en efterlevnadsfråga till en icke-fråga.
Vad det betyder för din WordPress-webbplats
Du behöver inte ta bort varje amerikansk tjänst ur ditt liv för att svara vettigt på Schrems II och CLOUD Act. Det proportionerliga draget är att titta på var dina besökares personuppgifter samlas, vilket är driftvägen, och se till att den vägen står under EU-kontroll. Hantera sedan frontend- och kringverktygen med samma logik: välj EU-baserade eller egenhostade alternativ för allt som rör besökardata, och håll god dokumentation över resten. Det är en hållbar hållning, och en du kan förklara för en kund eller en tillsynsmyndighet utan svepande gester.
Det är resonemanget Celestio är byggt på. Genom att hålla driftvägen på svensk infrastruktur utan amerikanskt moln tar vi bort den svåraste överföringsfrågan för den data som betyder mest. Vår sida om suveränitet förklarar hur det är uppsatt, och vår juridik- och GDPR-sida rymmer de faktiska policyerna och behandlingsvillkoren om du vill läsa det finstilta.
Det här är praktisk vägledning, inte juridisk rådgivning. Schrems II och överföringsrätten är nyanserade, så rådgör med ditt dataskyddsombud eller juridiskt ombud för din specifika situation.