Att använda en amerikansk formulärleverantör enligt GDPR

Artiklarna 44 till 49 i GDPR reglerar överföringar av personuppgifter till länder utanför EU och EES. En överföring kräver ett av tre: ett beslut om adekvat skyddsnivå för mottagarlandet (artikel 45), lämpliga skyddsåtgärder såsom standardavtalsklausuler (artikel 46), eller, i enstaka fall, något av undantagen i artikel 49.

För ett formulär är leverantören som tar emot och lagrar inskicken det självklara stället att titta på. Den är inte den enda. E-postnotisen kan hamna i en brevlåda hos en utländsk leverantör, och ett webhook-anrop eller ett automatiseringsverktyg kan skicka vidare samma data. Varje sådant led är en egen fråga.

Den 16 juli 2020 avgjorde EU-domstolen Data Protection Commissioner v Facebook Ireland and Schrems (C-311/18). Domstolen ogiltigförklarade EU-US Privacy Shield och konstaterade att USA:s övervakningslagar och de rättsmedel som stod européer till buds inte uppfyllde EU:s krav.

Domstolen höll fast vid att standardavtalsklausuler fortfarande gäller, men med ett villkor: exportören måste från fall till fall kontrollera om lagstiftningen i mottagarlandet gör det möjligt för importören att hålla sina åtaganden, och lägga till kompletterande skyddsåtgärder där den inte gör det. Europeiska dataskyddsstyrelsen beskrev hur man gör detta i Rekommendationer 01/2020 om kompletterande åtgärder, som antogs i slutlig form den 18 juni 2021.

Den 10 juli 2023 antog kommissionen genomförandebeslut (EU) 2023/1795, där man konstaterar att USA säkerställer en adekvat skyddsnivå för uppgifter som skickas till företag som certifierats enligt EU-US Data Privacy Framework. Det bygger på den amerikanska presidentförordningen 14086, som införde begränsningar för signalunderrättelseverksamhet och en klagomålsväg via en Data Protection Review Court.

För dig som äger ett formulär innebär det här: om leverantören i USA är certifierad, och certifieringen omfattar den typ av data du skickar, behövs inget ytterligare verktyg för överföringen. Du kan kontrollera ett företag i den officiella listan över Data Privacy Framework. En leverantör som inte finns på listan behöver en annan grund, oftast standardavtalsklausuler.

Ramverket har utmanats. Tribunalen (General Court) avslog talan i Latombe v Commission (T-553/23) den 3 september 2025, och sökanden överklagade till EU-domstolen som mål C-703/25 P. Två tidigare överenskommelser, Safe Harbor och Privacy Shield, ogiltigförklarades av domstolen, så många organisationer behåller en reservlösning i sina avtal om ramverket skulle falla också.

De nuvarande klausulerna antogs i genomförandebeslut (EU) 2021/914 från kommissionen den 4 juni 2021. De finns i olika moduler för olika relationer. För en formulärtjänst som agerar för din räkning är den vanliga modulen personuppgiftsansvarig till personuppgiftsbiträde. Att använda dem innebär att man gör en konsekvensbedömning av överföringen och dokumenterar resultatet, vilket är ett rejält arbete för en liten webbplats. Det är en av anledningarna till att Data Privacy Framework är populärt bland amerikanska leverantörer som certifierat sig.

Frågorna fungerar lika för amerikanska och europeiska leverantörer, och en bra leverantör svarar på dem i offentliga dokument:

1. Var lagras inskick, filuppladdningar och säkerhetskopior?
2. Vilka underbiträden hanterar inskicksdata, och i vilka länder?
3. För varje överföring utanför EU, vilket verktyg gäller: adekvans, DPF-certifiering eller standardavtalsklausuler (SCC)?
4. Är DPA:n publicerad eller tillgänglig innan du registrerar dig, och anger den underbiträdena?
5. Kan personal utanför EU komma åt data för support, och under vilka kontroller?
6. Innehåller e-postnotisen hela inskicket, och kan du stänga av det?
7. Hur hanterar leverantören en begäran om data från en utländsk myndighet?

Våra jämförelsesidor samlar vad flera leverantörer säger offentligt om var data lagras. Kontrollera även deras aktuella dokument, eftersom villkor ändras.

Formward drivs av ett svenskt företag. Appen, databasen och filuppladdningarna hostas i Sverige. E-postnotiser skickas av en leverantör inom EU, och de valfria AI-funktionerna på Professional och Business körs på Mistral i EU. Fakturering sker via Stripe Payments Europe, Limited, i Irland, och gäller endast den betalande kundens egna faktureringsuppgifter.

Den enda kontakten med USA är Cloudflare Turnstile, en kontroll mot bottar som är avstängd tills du slår på den för ett formulär. När den är på får Cloudflare utmaningsdata från besökarens webbläsare, inte formulärsvaren. Mottagare du lägger till själv, till exempel en webhook, en Slack-kanal eller en brevlåda hos någon annan, går dit du pekar dem.