Schweiz, Storbritannien og Norge ligger i Europa uden at være medlem af EU, og de står hver sit sted, når det gælder persondata. Om de tæller som europæiske i jeres valg, afhænger af, hvad I mener med europæisk, og af, hvad jeres kunder kræver.
Er Schweiz i EU? Nej. Er Storbritannien? Ikke længere. Norge er med i EØS. Det er tre forskellige retsstillinger, og forskellen får betydning, når en leverandør med hjemsted i et af landene skal behandle jeres data, eller når en kunde har skrevet EU ind i sine krav.
Afsnittene nedenfor gengiver retsstillingen for overførsel af persondata, som den stod 7. november 2026. Det er en forenkling og ingen juridisk rådgivning. Status kan ændre sig, så slå den op igen, før I træffer beslutningen.
Storbritannien
EU-Kommissionen har truffet en afgørelse om, at Storbritannien har et tilstrækkeligt beskyttelsesniveau for persondata. Afgørelsen blev fornyet i december 2025 og udløber efter sin ordlyd 27. december 2031, medmindre den forlænges. Storbritannien er det eneste af de tre lande, hvor afgørelsen har en fastsat slutdato.
For jer betyder det, at persondata kan overføres til en britisk leverandør på grundlag af afgørelsen, så længe den gælder. Datoen hører med i jeres vurdering, hvis aftalen løber i mange år.
Schweiz
Schweiz har haft en tilsvarende afgørelse siden 2000. Den blev vedtaget under de regler, der gjaldt før databeskyttelsesforordningen, og forordningen bestemmer, at sådanne afgørelser fortsat gælder, indtil de ændres eller ophæves. Kommissionen gennemgik afgørelserne i januar 2024 og konkluderede, at Schweiz fortsat sikrer et tilstrækkeligt beskyttelsesniveau. Afgørelsen har ingen udløbsdato.
Norge
Norge har ingen afgørelse om tilstrækkeligt beskyttelsesniveau, og det skyldes, at databeskyttelsesforordningen gælder i Norge gennem EØS-aftalen. Den trådte i kraft i Norge, Island og Liechtenstein 20. juli 2018. Vores læsning er, at overførsel til Norge derfor behandles, som om den skete inden for EU. Hverken Kommissionen eller EFTA siger det med de ord, så tag det som en tolkning.
Hvad det betyder for valget
Når I vælger leverandør, giver de tre retsstillinger tre spørgsmål.
Hvad betyder europæisk for jer? Beslut, om kravet er EU, EU og EØS eller Europa. Skrives det ikke ned, bliver en schweizisk eller britisk leverandør et diskussionspunkt midt i valget. Der er intet rigtigt svar. Det afhænger af, hvorfor I vil skifte.
Hvad siger jeres kunders krav? Læs kravet ordret. Står der, at data skal behandles i EU, er en leverandør i Schweiz eller Storbritannien med servere i landet ikke inden for kravet, uanset afgørelserne. Står der EU eller EØS, er Norge med. Står der, at overførsel skal ske lovligt, kan afgørelserne være nok. I tvivl spørger I kunden, før I vælger, for det er kunden, der skal godkende.
Hvor står serverne, og hvem ejer dem? En leverandør med hjemsted i Schweiz kan have servere i Tyskland, og en norsk leverandør kan bruge en cloud med en ejer uden for Europa. Landet i adressen er ét led af fem.
Tænkt eksempel
En tænkt ingeniørvirksomhed overvejer en mailtjeneste fra Schweiz og en fildeling fra Norge. En af dens største kunder har skrevet i sin leverandørpolitik, at data skal behandles i EU eller EØS. Virksomheden læser kravet ordret og ser, at fildelingen kan være inden for, hvis serverne står i Norge eller i EU, mens mailtjenesten kræver kundens accept, selv om Schweiz har en afgørelse. Virksomheden spørger kunden, før den kører en pilot. Eksemplet er tænkt og viser kun, hvorfor ordlyden afgør sagen.
Det, afgørelserne ikke dækker
Afgørelserne handler om persondata. De siger intet om, hvorvidt landets myndigheder kan forlange data fra en leverandør dér, eller om andre data end persondata. Det spørgsmål er et andet, og det er ikke belagt i vores kilder. Betyder jurisdiktionen over selskabet noget for jer, så tag det op med en advokat og med leverandøren.
Reglerne for overførsel af persondata generelt, også til lande uden afgørelse, gennemgår dpo-as-a-service.dk i artiklen om tredjelande.
Hvad det kræver, og hvad det koster at lade være
At afklare spørgsmålet for jer kræver en kort beslutning i ledelsen om, hvad europæisk betyder, og en gennemlæsning af de kundekrav, I har. Det er få timer. Derefter tager det et par minutter at sortere en kandidat.
Uden den beslutning risikerer I en leverandør, der passer til jeres egen forståelse af Europa og ikke til kundens. Så skal valget enten forklares over for kunden eller laves om, og begge dele koster tid, I kunne have sparet.
Det skal I lade være med
- At antage, at Europa og EU er det samme · tre af de lande, mange tænker på som europæiske leverandørlande, er uden for EU.
- At regne afgørelserne som evige · den britiske udløber, og alle kan tages op igen.
- At blande persondata og jurisdiktion sammen · afgørelserne svarer kun på det første.
Det skal valget kunne vise
- ☐ Jeres definition af europæisk: EU, EØS eller Europa.
- ☐ Leverandørens land, serverens land og ejerens land.
- ☐ Hvilke kundekrav der gælder, med ordlyden.
- ☐ Datoen, hvor retsstillingen sidst blev slået op.
Kilder
- Europa-Kommissionen, Adequacy decisions, læst 7. november 2026.
- Gennemførelsesafgørelse (EU) 2025/2574 om Storbritannien: art. 4.
- Beslutning 2000/518/EF om Schweiz
- Databeskyttelsesforordningen (EU) 2016/679: art. 45, stk. 9.
- COM(2024) 7, rapport om første revision
- EFTA, GDPR entered into force in the EEA, juli 2018
Senest gennemgået: november 2026.
Næste skridt
Skriv én sætning om, hvad europæisk betyder for jer, og sammenhold den med ordlyden i jeres vigtigste kundekrav.
Læs også: Hvad tæller som et europæisk alternativ? · Årsagen er compliance
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
