Hva er Schrems II?
Schrems II er en EU-domstolsavgjørelse fra 2020 som ugyldiggjorde Privacy Shield og stiller strenge krav til overføring av persondata til USA og andre tredjeland.
Sist oppdatert: 2026-09-28
Hva er Schrems II?
Schrems II er en avgjørelse fra EU-domstolen (juli 2020) som ugyldiggjorde Privacy Shield-avtalen mellom EU og USA. Dommen slår fast at overføring av persondata til USA krever ekstra beskyttelsestiltak fordi amerikanske overvåkningslover (som FISA 702) ikke gir tilstrekkelig beskyttelse for EU/EØS-borgere.
Hvorfor er Schrems II viktig?
For norske nettbutikker som bruker amerikanske tjenester — Google Analytics, Facebook, Mailchimp, Shopify, AWS — har Schrems II store konsekvenser. Overføring av kundedata til USA krever at Standard Contractual Clauses (SCCs) er på plass, supplert med tilleggstiltak som kryptering.
EU-US Data Privacy Framework (DPF) fra 2023 gir et nytt overføringsgrunnlag for bedrifter som er DPF-sertifiserte, men rammeverket er fortsatt omdiskutert. Norske bedrifter bør verifisere at amerikanske leverandører er DPF-sertifisert og ha en plan B med europeiske alternativer.
Datatilsynet i Norge følger EUs linje og har publisert veiledning om tredjelandsoverføringer. For norske nettbutikker er bruk av europeiske alternativer (Matomo i stedet for Google Analytics, europeisk hosting) den sikreste løsningen.
Schrems II i praksis
En norsk nettbutikk erstatter Google Analytics med Matomo (hostet i EU), bruker europeisk e-posttjeneste og verifiserer at Shopify og Stripe har gyldig DPF-sertifisering og oppdaterte SCCs.
Les mer
Relaterte begreper
Databehandleravtale
En databehandleravtale er en juridisk bindende avtale mellom en bedrift og en leverandør som behandler personopplysninger på vegne av bedriften, påkrevd av GDPR.
GDPR & PersonvernDatatilsynet
Datatilsynet er Norges uavhengige tilsynsmyndighet for personvern som fører tilsyn med at bedrifter og organisasjoner etterlever GDPR og personopplysningsloven.
GDPR & PersonvernGDPR
GDPR (General Data Protection Regulation) er EUs personvernforordning som regulerer hvordan bedrifter samler inn, lagrer og behandler personopplysninger.
GDPR & PersonvernPersonopplysninger
Personopplysninger er enhver informasjon som kan knyttes til en identifiserbar person, inkludert navn, e-post, IP-adresse, kjøpshistorikk og lokasjonsdata.