En dom fra USA’s højesteret truer nu selve fundamentet under den aftale, der holder databeskyttelsen i gang for over 2.800 amerikanske virksomheder, der behandler europæiske brugeres data. Afgørelsen i sagen Trump v. Slaughter fjerner den lovbestemte uafhængighed for medlemmerne af den amerikanske forbrugerbeskyttelsesmyndighed FTC, og det er præcis den uafhængighed, som EU-Kommissionen i 2023 brugte som begrundelse for at godkende Data Privacy Framework (DPF), aftalen der lader amerikanske techselskaber modtage persondata fra EU uden ekstra sikkerhedsforanstaltninger. Det danske Datatilsynet har allerede bedt virksomheder om at genvurdere deres overførselsvurderinger, og EU’s databeskyttelsesråd EDPB har sendt et officielt brev til EU-Kommissionen med krav om svar.
Sagen rammer et område, hvor Europa allerede har set to tidligere aftaler falde ved EU-Domstolen. Spørgsmålet lige nu er, om historien gentager sig for tredje gang, og hvad det i givet fald betyder for de danske og nordiske virksomheder, der dagligt sender data til amerikanske cloud- og softwareleverandører.
Hvad skete der: Højesteret fjerner FTC’s uafhængighed
Den 29. juni 2026 afgjorde USA’s højesteret sagen Trump v. Slaughter (sag nr. 25-332) med stemmerne 6-3. Dommen fjerner den beskyttelse mod vilkårlig afskedigelse, som medlemmer af Federal Trade Commission (FTC) har haft siden 1935. Retten underkendte dermed den 91 år gamle præcedens fra Humphrey’s Executor v. United States, som fastslog, at uafhængige tilsynsmyndigheder kun kunne afskediges for konkret forsømmelse eller embedsmisbrug.
Med den nye afgørelse kan præsidenten nu afskedige FTC’s kommissærer efter forgodtbefindende, uden at skulle angive nogen grund. Højesteret begrundede dommen med, at FTC’s kommissærer udøver udøvende magt, og at de derfor skal kunne afsættes frit af præsidenten i overensstemmelse med magtens tredeling. Juridiske analyser offentliggjort i starten af juli 2026 peger på, at afgørelsen ikke kun rammer FTC, men potentielt også andre uafhængige myndigheder med lignende beskyttelse, heriblandt NLRB og FCC.
For en dansk læser lyder det som ren amerikansk forfatningsret. Problemet er, at FTC ikke bare er en hvilken som helst myndighed. Det er den myndighed, som EU-Kommissionen udpegede som den centrale garant for, at europæiske borgeres data er beskyttet, når de havner hos amerikanske virksomheder under Data Privacy Framework.
Data Privacy Framework: aftalen der holder dataoverførslerne kørende
Data Privacy Framework blev vedtaget af EU-Kommissionen i juli 2023 som den tredje udgave af en transatlantisk dataaftale. Aftalen lader amerikanske virksomheder certificere sig til at modtage persondata fra EU uden at skulle indgå separate kontraktvilkår for hver enkelt overførsel. I praksis betyder det, at en dansk virksomhed, der bruger en amerikansk cloud-tjeneste, kan overføre data uden en tung juridisk vurdering for hver transaktion, så længe modtageren er DPF-certificeret.
Ifølge tal fra EU-Kommissionens egen periodiske gennemgang og fra EDPB var mere end 2.800 amerikanske organisationer aktive deltagere i DPF ved den første revision i 2024-2025. En analyse fra september 2025 hævede tallet til over 3.400 selvcertificerede organisationer, mens en juridisk gennemgang fra juli 2026 opgør det samlede antal selvcertificeringer, inklusive inaktive og udmeldte virksomheder, til over 5.300. De certificerede virksomheder findes primært inden for teknologi, cloud computing, software, annoncering og forretningsservices, altså præcis de kategorier af leverandører, som danske og nordiske virksomheder bruger dagligt.
Aftalen holder ikke bare enkeltvirksomheder kørende. Ifølge rapporten Transatlantic Economy 2025 understøtter datastrømmene mellem EU og USA et økonomisk forhold, der samlet vurderes til mellem 8.300 milliarder euro og 9.500 milliarder dollar i handel og investering, afhængigt af hvilken kilde og valuta man bruger. Over 90 procent af EU-baserede virksomheder overfører data til og fra USA, og omkring halvdelen af al datatrafik i både USA og Europa går netop over Atlanten.
FTC’s uafhængighed var en udtrykkelig forudsætning i EU’s afgørelse
Det centrale juridiske problem ligger i selve teksten bag EU-Kommissionens adequacy-afgørelse fra 2023. Her beskrives FTC eksplicit som en uafhængig tilsynsmyndighed, hvis fem kommissærer kun kunne afskediges for konkrete grunde som forsømmelse eller embedsmisbrug, aldrig af politiske årsager. Den beskrivelse er nu forkert.
GDPR’s artikel 45, stk. 2, litra b kræver, at EU-Kommissionen ved vurdering af et tredjelands beskyttelsesniveau lægger vægt på, om der findes en eller flere uafhængige tilsynsmyndigheder med effektiv funktion. Det er netop denne forudsætning, som dommen i Trump v. Slaughter rammer direkte. Hvis FTC ikke længere kan betegnes som uafhængig, mister et centralt element i adequacy-vurderingen sit grundlag. En juridisk gennemgang offentliggjort den 31. august 2026 peger direkte på, at dommen rammer en udtrykkeligt angivet forudsætning i Kommissionens afgørelse, hvilket understreger, hvor tæt sammenkædet de to spørgsmål er juridisk set.
EDPB kræver svar fra EU-Kommissionen
Den 31. juli 2026 sendte EDPB’s formand, Anu Talus, et brev til EU-kommissær for retlige anliggender, Michael McGrath. Brevet beder Kommissionen om nøje at vurdere, hvordan Trump v. Slaughter påvirker Data Privacy Framework’s fortsatte gyldighed, og om at dele resultatet af vurderingen rettidigt. Brevet knytter eksplicit spørgsmålet til GDPR’s artikel 45 og til DPF’s afhængighed af FTC’s uafhængighed som en del af tilsyns- og retsmiddelstrukturen.
I starten af august 2026 bekræftede EDPB offentligt brevet og gentog, at uafhængige tilsynsmyndigheder er en central faktor i enhver adequacy-vurdering. Det signalerer, at EU’s databeskyttelsesråd ser en reel risiko for, at DPF kan kræve ændring eller genovervejelse. EU-Kommissionen havde ved redaktionens slutning i midten af september 2026 endnu ikke offentliggjort et formelt svar på EDPB’s henvendelse.
Datatilsynet: danske virksomheder skal opdatere deres overførselsvurderinger
Det danske Datatilsynet har i slutningen af august og starten af september 2026 opfordret dataansvarlige til at gennemgå deres Transfer Impact Assessments (TIA) i lyset af Trump v. Slaughter. Datatilsynet peger på, at dommen ikke kun kan påvirke overførsler under DPF, men også overførsler baseret på Standard Contractual Clauses (SCC) og andre retlige grundlag, i det omfang virksomhederne har lagt vægt på FTC’s uafhængighed som en del af deres risikovurdering.
Rådet fra Datatilsynet er konkret: virksomheder skal dokumentere og genvurdere deres antagelser om amerikansk tilsyn og retsmidler, særligt hvor FTC’s uafhængighed indgik som en afbødende faktor. Ingen dansk eller nordisk tilsynsmyndighed har som af den 19. september 2026 pålagt virksomheder at stoppe brugen af DPF. Der er tale om en opfordring til øget dokumentation og beredskab, ikke et forbud.
Historisk kontekst: tredje forsøg på en transatlantisk dataaftale
Data Privacy Framework er ikke den første aftale af sin art, og det er værd at kende historien for at forstå, hvorfor jurister nu taler om en reel risiko for fremtidig underkendelse.
Safe Harbor: den første aftale, der faldt
Den første transatlantiske aftale, Safe Harbor, blev underkendt af EU-Domstolen den 6. oktober 2015 i den såkaldte Schrems I-dom. Dommen kom efter en klage fra den østrigske jurist Max Schrems, hvis organisation noyb siden har spillet en central rolle i sager om amerikansk overvågning og europæisk databeskyttelse. Der gik omkring ni måneder, fra Safe Harbor faldt i oktober 2015, til efterfølgeren Privacy Shield blev formelt vedtaget i juli 2016. I den periode måtte virksomheder klare sig med alternative overførselsgrundlag som SCC’er.
Privacy Shield: endnu et nederlag i 2020
Privacy Shield led samme skæbne. Den 16. juli 2020 underkendte EU-Domstolen aftalen i Schrems II-dommen, primært på grund af bekymringer om amerikansk masseovervågning og manglende effektive retsmidler for EU-borgere. Ifølge en sammenlignende gennemgang havde omkring 2.400 amerikanske virksomheder på det tidspunkt tilmeldt sig Privacy Shield, og de måtte alle skifte til andre overførselsgrundlag, primært SCC’er og Binding Corporate Rules (BCR), indtil DPF blev vedtaget tre år senere i 2023.
Mønsteret gentager sig: en aftale bliver forhandlet, EU-Domstolen finder et strukturelt problem med amerikansk tilsyn eller retsmidler, aftalen falder, og virksomheder må i en periode klare sig med tungere juridiske værktøjer. Spørgsmålet nu er, om Trump v. Slaughter bliver den udløsende faktor for endnu en runde af samme cyklus, denne gang uden at det først skal gennem en retssag ved EU-Domstolen, fordi problemet allerede er synligt i selve grundlaget for afgørelsen.
| Aftale | Vedtaget | Underkendt | Årsag | Virksomheder ramt |
|---|---|---|---|---|
| Safe Harbor | 2000 | 6. oktober 2015 (Schrems I) | Utilstrækkelig beskyttelse mod amerikansk overvågning | Ikke specifikt opgjort i tilgængelige kilder |
| Privacy Shield | Juli 2016 | 16. juli 2020 (Schrems II) | Manglende proportionalitet og effektive retsmidler | Cirka 2.400 certificerede virksomheder |
| Data Privacy Framework | Juli 2023 | Endnu ikke underkendt (under vurdering pr. september 2026) | FTC’s uafhængighed fjernet af Trump v. Slaughter | Over 2.800 aktive, op til 5.300 selvcertificerede i alt |
Tidslinje: fra Højesteretsdom til dansk advarsel
Udviklingen er gået forholdsvis hurtigt, siden dommen faldt i slutningen af juni. Tabellen nedenfor samler de vigtigste datoer i forløbet, som det ser ud medio september 2026.
| Dato | Begivenhed |
|---|---|
| 29. juni 2026 | USA’s højesteret afsiger dom i Trump v. Slaughter (6-3), FTC’s uafhængighed fjernes |
| 2.-8. juli 2026 | Juridiske analyser peger på konsekvenser for andre uafhængige amerikanske myndigheder |
| 31. juli 2026 | EDPB-formand Anu Talus sender brev til kommissær Michael McGrath og beder om vurdering af DPF’s gyldighed |
| 5.-7. august 2026 | EDPB bekræfter offentligt brevet og understreger vægten af uafhængigt tilsyn |
| Slut august / start september 2026 | Datatilsynet opfordrer danske virksomheder til at opdatere deres Transfer Impact Assessments |
| 9. september 2026 | Advokatfirmaet Gibson Dunn omtaler sagen i sit europæiske databeskyttelsesnyhedsbrev |
| 17. september 2026 | Juridisk analyse betegner risikoen for fremtidig underkendelse af DPF som reel |
| 19. september 2026 | Ingen DPA har suspenderet brugen af DPF, men flere myndigheder overvåger sagen aktivt |
Markedseffekt: mellem 2.800 og 5.300 virksomheder i søgelyset
Den umiddelbare markedseffekt er endnu begrænset, fordi ingen myndighed har grebet ind med et forbud. Men usikkerheden i sig selv har en pris. Virksomheder, der planlægger langsigtede databehandlingsaftaler med amerikanske leverandører, står nu med en juridisk risikofaktor, som ikke var der for tre måneder siden. Compliance-afdelinger i store nordiske virksomheder bruger allerede ressourcer på at dokumentere alternative overførselsgrundlag, selv om DPF fortsat er gyldigt.
Det er især relevant, fordi mellem 90 og 100 procent af EU-baserede virksomheder overfører data til og fra USA i en eller anden form, og fordi transatlantiske datastrømme ifølge Transatlantic Economy 2025 udgør mere end halvdelen af al europæisk datatrafik. En eventuel fremtidig underkendelse af DPF, i stil med Schrems II i 2020, ville ikke ramme et nichemarked. Den ville ramme kernen af den digitale infrastruktur, som danske virksomheder bygger deres it-drift på, fra cloud-lagring til CRM-systemer og marketingplatforme.
Hvilke sektorer og brancher er mest udsatte
De DPF-certificerede virksomheder koncentrerer sig ifølge både EU-Kommissionens og EDPB’s egne gennemgange især inden for teknologi, cloud computing, software, annoncering og forretningsservices. Det er samtidig de brancher, hvor danske og nordiske virksomheder har den tætteste afhængighed af amerikanske leverandører, uanset om det drejer sig om et lille SaaS-firma i Aarhus, der bruger en amerikansk kundeserviceplatform, eller en større finansiel virksomhed, der lagrer data hos en amerikansk cloud-udbyder.
Virksomheder inden for HR-tech og rekruttering, som ofte behandler følsomme persondata om ansøgere og medarbejdere, er særligt udsatte, fordi den type data typisk kræver en mere grundig overførselsvurdering end almindelige forretningsdata. Det samme gælder sundhedsteknologi og finansielle tjenester, hvor tilsynsmyndighederne allerede stiller skærpede krav til dokumentation af databehandlingsgrundlag, blandt andet set i sager, hvor GDPR-bøder har ramt hundredvis af millioner euro for utilstrækkelig dokumentation af databehandling.
International sammenligning: hvordan andre lande sikrer dataoverførsler
Data Privacy Framework er ikke den eneste model for lovlig dataoverførsel til USA, og det er nyttigt at sammenligne, hvor robust hver mekanisme reelt er over for en situation som den nuværende.
| Mekanisme | Dækker | Retligt grundlag | Sårbarhed over for Trump v. Slaughter |
|---|---|---|---|
| EU-USA Data Privacy Framework | EU til USA | EU-Kommissionens adequacy-afgørelse fra 2023 | Høj, da FTC’s uafhængighed er en udtrykkelig forudsætning |
| UK-USA Data Bridge | Storbritannien til USA | Britisk adequacy-forlængelse af DPF-strukturen | Høj, bygger på samme FTC-baserede ramme som DPF |
| Schweiz-USA Data Privacy Framework | Schweiz til USA | Schweizisk adequacy-afgørelse parallelt med EU’s | Høj, samme strukturelle afhængighed af FTC |
| Standard Contractual Clauses (SCC) | Enhver overførsel uden for EØS | Kontraktvilkår godkendt af EU-Kommissionen | Lavere, men kræver egen Transfer Impact Assessment pr. overførsel |
| Binding Corporate Rules (BCR) | Interne koncernoverførsler | Godkendt af den enkelte tilsynsmyndighed | Lav, men tung administrativ proces at etablere |
Både den britiske dataoverførselsmodel og den schweiziske udgave af DPF hviler på samme grundlæggende antagelse om FTC’s uafhængighed som den europæiske aftale. Det betyder, at en svækkelse af DPF’s juridiske grundlag potentielt rammer bredere end kun EU, og at Storbritannien og Schweiz sandsynligvis vil følge udviklingen i EU tæt, snarere end at handle enegang.
Sådan adskiller sagen sig fra almindelig GDPR-håndhævelse
De fleste GDPR-sager, danske virksomheder normalt følger med i, handler om konkrete bøder til enkeltvirksomheder, som da Holland offentliggjorde navnet på en virksomhed, der blev pålagt en bøde på 645.000 euro for overtrædelser af databeskyttelsesreglerne. Den sag her er af en anden karakter. Det handler ikke om, at en enkelt virksomhed har overtrådt reglerne, men om, at selve det retlige fundament under tusindvis af virksomheders databehandling kan være svækket på et strukturelt plan.
Det gør sagen mere sammenlignelig med diskussionen om, hvordan Danmark og resten af Europa reducerer sin afhængighed af amerikansk teknologi, hvor en stigende andel af virksomheder og myndigheder allerede overvejer europæiske alternativer til amerikanske cloud- og softwareløsninger, uafhængigt af hvad der sker med DPF.
Hvad skal virksomheder gøre nu
Baseret på Datatilsynets vejledning og de juridiske analyser, der er offentliggjort i løbet af sommeren og efteråret 2026, peger anbefalingerne i samme retning for virksomheder, der overfører data til USA.
Opdater dokumentationen, før myndighederne beder om det
- Gennemgå og opdater Transfer Impact Assessments for alle overførsler til USA, med eksplicit stillingtagen til Trump v. Slaughter
- Dokumentér, om overførslen hviler på DPF, SCC, BCR eller en undtagelse, og hvordan tabet af FTC’s lovbestemte uafhængighed påvirker risikovurderingen
- Beskriv hvilke tekniske og organisatoriske tillægsforanstaltninger, som kryptering, dataminimering og adgangskontrol, der bruges til at mindske risikoen
Undgå at sætte alt på ét kort
Flere juridiske kommentarer fra august og september 2026 anbefaler, at virksomheder ikke udelukkende baserer deres overførsler på DPF alene, givet den nu erkendte risiko for en fremtidig underkendelse. I stedet foreslås det, at virksomheder holder parallelle SCC’er klar for centrale overførsler, og at de for særligt følsomme data overvejer europæisk eller anden adequacy-godkendt databehandling som et sikkerhedsnet.
Endelig anbefales det at følge udviklingen i EU-Kommissionens svar på EDPB’s brev tæt og indarbejde overvågningen i virksomhedens almindelige compliance-processer, i stedet for at behandle det som en enkeltstående nyhed, der kan glemmes igen.
Reaktioner fra jura- og compliance-miljøet
Advokatfirmaet Gibson Dunn omtalte sagen i sit europæiske databeskyttelsesnyhedsbrev, dateret 9. september 2026, hvor det fremgår, at Datatilsynet følger udviklingen efter Trump v. Slaughter og opfordrer dataansvarlige til at genoverveje deres vurderinger af overførsler til USA. Flere juridiske analyser fra august og september 2026 beskriver situationen som en svækkelse af en central søjle i DPF’s godkendelsesgrundlag, uden at nogen af dem konkluderer, at aftalen allerede er ugyldig.
Det gennemgående billede i kommentarerne er, at sagen ligger et sted mellem en administrativ detalje og en gentagelse af Schrems II. Ingen af kilderne fra medio september 2026 forudser en øjeblikkelig kollaps af DPF, men flere peger på, at risikoen for en fremtidig retssag ved EU-Domstolen er blevet mere reel, hvis Kommissionen ikke selv griber ind med en tilpasning af aftalen.
Fremtidsudsigter: fem scenarier for resten af 2026
Ingen kender udfaldet med sikkerhed, men baseret på mønsteret fra Safe Harbor og Privacy Shield samt de reaktioner, der allerede er set fra EDPB og Datatilsynet, tegner der sig nogle sandsynlige retninger for den kommende periode.
- EU-Kommissionen offentliggør en formel vurdering af Trump v. Slaughters betydning for DPF, sandsynligvis i løbet af efteråret 2026, som svar på EDPB’s brev fra juli
- Flere nationale tilsynsmyndigheder, ud over Danmark, udsender lignende opfordringer om at opdatere Transfer Impact Assessments i de kommende måneder
- Interesseorganisationer som noyb forbereder muligvis en formel klage eller retssag med henblik på at teste DPF’s gyldighed ved EU-Domstolen, hvis Kommissionen ikke selv handler
- DPF forbliver formelt i kraft resten af 2026, men flere virksomheder begynder i praksis at bruge parallelle SCC’er som ekstra sikkerhed, uafhængigt af om det kræves juridisk
- Presset på DPF bliver endnu et argument i den bredere europæiske diskussion om digital suverænitet og reduceret afhængighed af amerikansk infrastruktur
Ofte stillede spørgsmål om Data Privacy Framework og Trump v. Slaughter
Er Data Privacy Framework blevet ugyldigt?
Nej. Pr. 19. september 2026 er DPF fortsat gyldigt, og ingen EU-myndighed har pålagt virksomheder at stoppe brug af aftalen. EDPB har bedt EU-Kommissionen om en vurdering, men den er endnu ikke offentliggjort.
Hvad er Trump v. Slaughter helt konkret?
Det er en amerikansk højesteretssag afgjort 29. juni 2026 med stemmerne 6-3, som fjerner den lovbestemte beskyttelse mod vilkårlig afskedigelse for FTC’s kommissærer og dermed gør dem afsættelige efter præsidentens ønske.
Hvorfor betyder FTC’s uafhængighed noget for danske virksomheder?
Fordi EU-Kommissionens godkendelse af DPF i 2023 udtrykkeligt byggede på, at FTC var en uafhængig tilsynsmyndighed. Den forudsætning er nu svækket, hvilket rejser tvivl om et centralt element i aftalens retlige grundlag.
Skal min virksomhed stoppe med at bruge amerikanske cloud-tjenester nu?
Nej, der er ikke tale om et forbud. Datatilsynet anbefaler i stedet, at virksomheder opdaterer deres Transfer Impact Assessments og overvejer parallelle overførselsgrundlag som ekstra sikkerhed.
Hvad er en Transfer Impact Assessment (TIA)?
Det er en dokumenteret risikovurdering, som dataansvarlige skal udarbejde, når de overfører persondata til et land uden for EØS, og som beskriver de retlige og tekniske forhold, der begrunder overførslen.
Hvad skete der med de tidligere aftaler Safe Harbor og Privacy Shield?
Begge blev underkendt af EU-Domstolen, Safe Harbor i oktober 2015 og Privacy Shield i juli 2020, i begge tilfælde fordi domstolen fandt, at amerikansk tilsyn og retsmidler ikke levede op til EU’s krav.
Hvor mange virksomheder er certificeret under DPF?
Ifølge EU-Kommissionens og EDPB’s egne gennemgange var over 2.800 organisationer aktive deltagere ved den seneste periodiske revision, mens det samlede antal selvcertificeringer gennem tiden er opgjort til over 5.300.
Hvor kan jeg følge udviklingen i sagen?
Datatilsynet og EDPB opdaterer løbende deres hjemmesider med vejledning, og EU-Domstolens praksis i lignende sager kan følges via curia.europa.eu.
