Planen skal kunne svare på tre ting, hvis grundlaget for overførsler til USA falder: hvilke tjenester der rammes, hvor hurtigt I skal reagere, og hvilken mellemløsning I har. Pr. 6. november 2026 står grundlaget ved magt. Scenariet handler derfor om at være forberedt på en afgørelse, ingen kan datere.
Status skrevet ned: Kommissionens afgørelse (EU) 2023/1795 af 10. juli 2023 om EU-U.S. Data Privacy Framework gælder, og Datatilsynets side om overførsler til USA beskriver den stadig som grundlag. Den kan kun bruges til organisationer, der er certificeret hos det amerikanske handelsministerium. Kommissionen vandt sagen T-553/23 ved Retten 3. september 2025. Der blev indgivet appel 31. oktober 2025 som C-703/25 P, og appellen er verserende ifølge de seneste oplysninger. Domstolens egen sagsside kunne vi ikke læse den dag, artiklen blev skrevet, så tjek status, før I bruger datoen.
Lovligheden af jeres overførsler vurderes ikke her. Baggrunden står hos Schrems II og scenariet for USA, og de juridiske veje til overførsel til tredjelande er beskrevet særskilt. Denne artikel ser på driften.
Hvad Datatilsynet siger om exit
Mange søger på “exitstrategi” og Datatilsynet eller GDPR. Svaret er kort. Ordene exit, exitstrategi og plan B forekommer ikke i Datatilsynets vejledning om cloud fra marts 2022 eller på tilsynets side om cloud. Vejledningen handler om persondata og er ingen vejledning i leverandørskift. Dens nærmeste krog er et spørgsmål på s. 13: om cloudleverandøren kan slette eller tilbagelevere oplysningerne, når behandlingen ophører. Tilsynet skriver også, at der kan være tjenester, I må fravælge. På tilsynets side står stadig, at en opdatering kommer på grund af tilstrækkelighedsafgørelsen for USA, uden en dato. Vi kender derfor ikke tilsynets kommende ord, og det, der står her, er sitets egen vurdering.
Hvilke tjenester rammes?
Scenariet rammer kun overførsler af personoplysninger, så begynd med en liste over de tjenester, hvor I har personoplysninger, og hvor en amerikansk modtager indgår. Skriv tre oplysninger ud for hver:
- Hvad overførslen hviler på. Er det Data Privacy Framework, eller findes der også standardkontrakter i aftalen? Spørg leverandøren, hvis det ikke fremgår.
- Hvor vigtig tjenesten er. Kan forretningen køre videre uden den i en uge?
- Hvilke oplysninger der ligger der. Medarbejdere, kunder, følsomme oplysninger, eller kun få kontaktdata?
Tag også de tjenester med, der ikke ser amerikanske ud. En europæisk leverandør kan bruge en amerikansk underleverandør, og et lille tilkøbt værktøj kan sende data af sted. Datatilsynet skriver, at en dataansvarlig skal have overblik over hele leverandørkæden.
Hvor hurtigt skal I reagere?
Ingen kan vide, hvordan en afgørelse vil blive formuleret, eller om der kommer en overgangstid. Vi anbefaler, at planen regner med, at der ikke kommer nogen. Det er en forsigtig antagelse til brug i planen og ingen forudsigelse.
I praksis er der næppe nogen dag, hvor tjenesterne går i stå. Teknikken virker videre, og spørgsmålet bliver juridisk. Derfor er tidspressets kilde, at ledelsen på få dage skal kunne sige, hvad I gør, og at svaret på en kundes spørgsmål skal hænge sammen med jeres faktiske handlinger. Scenariet ligner derfor et ledelsesforløb mere end et nedbrud.
Mellemløsningen
Skriv rækkefølgen ned, inden noget sker. For hver tjeneste på listen er der som regel fire muligheder, og de hører sammen i en trappe:
- Et andet overførselsgrundlag. Standardkontrakter efter afgørelse (EU) 2021/914 kan være en vej. Efter Schrems II-dommen fra 16. juli 2020 kan de kræve supplerende foranstaltninger. Vurderingen ligger hos jeres databeskyttelsesansvarlige eller jurist.
- Mindre data. Kan I slå en funktion fra eller fjerne en kategori af oplysninger, så tjenesten kan bruges videre i mindre omfang?
- Midlertidigt stop af den enkelte funktion. Hvilke opgaver kan klares manuelt eller i et andet system et stykke tid?
- Skift. Her træder planen for det enkelte system i kraft, og den skal rumme jeres egen exit-tid.
Hvilket trin der er rigtigt for hvilken tjeneste, er en konkret vurdering og et spørgsmål til advokat eller jeres DPO. Planens opgave er, at trinnene er tænkt igennem, så de ikke opfindes under pres.
Sådan prøver I scenariet
Lav en bordøvelse. Læg listen på bordet, og lad ledelse, IT og den ansvarlige for persondata gennemgå de første fem arbejdsdage for de to vigtigste tjenester. Hvem finder ud af, hvad overførslen hviler på? Hvem skriver til leverandøren? Hvad står der i svaret til en kunde? Noter, hvad I ikke kunne svare på, og sæt en dato på hvert hul.
Hvad det kræver, og hvad det koster at lade være
Listen tager en til to dage at lave, hvis I allerede har en fortegnelse over behandlinger, og længere tid, hvis den skal bygges. Bordøvelsen er en halv dag for tre eller fire personer. Anfør mindste og største bud i arbejdstimer, og datér begge.
Uden forberedelse bliver prisen betalt i hast: advokattimer på samme tid som alle andre, beslutninger uden overblik, og usikre svar til kunder. Sammenhold det forarbejde, I kan gøre nu, med forretningens tab pr. dag for de vigtigste tjenester, hvis de må begrænses. Læg dertil, hvad listen giver i forvejen: et bedre svar til kunder, der spørger, hvor deres data ligger, og et overblik, der også kan bruges i det almindelige arbejde med persondata.
Det skal I lade være med
- At vurdere lovligheden i exit-planen · planen beskriver handlinger, og vurderingen hører hjemme hos jurist eller DPO.
- At antage, at datacenter i EU løser spørgsmålet · om der er tale om en overførsel, afhænger af konkrete forhold.
- At forudsige dommen · planen skal holde, uanset hvordan sagen ender.
Det skal planen kunne vise
- ☐ En liste over tjenester med personoplysninger og amerikansk modtager, med overførselsgrundlag.
- ☐ Mellemløsningen for hver tjeneste, i prioriteret rækkefølge.
- ☐ Hvem der følger sagen, og hvem der beslutter.
- ☐ Dato for seneste bordøvelse og de huller, den viste.
Kilder
- Gennemførelsesafgørelse (EU) 2023/1795 af 10. juli 2023.
- Datatilsynet: Overførsler til USA, læst 6. november 2026.
- Rettens dom i T-553/23 af 3. september 2025 og appellen C-703/25 P.
- Schrems II, C-311/18 og afgørelse (EU) 2021/914.
- Datatilsynet: Vejledning om cloud, marts 2022 og siden om cloud.
Senest gennemgået: november 2026.
Næste skridt
Bed den, der har overblikket over persondata, om listen over tjenester med amerikansk modtager, og sæt en halv dag af til bordøvelsen.
Læs også: Datatilsynet og exitstrategien · Persondata på vej ud
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
