Österrikes Datenschutzbehörde (DSB) är den ledande tillsynsmyndigheten för fall som lämnats in av NOYB — None of Your Business — den integritetsfrämjande organisationen grundad av Max Schrems. NOYB har lämnat in över 1 000 strategiska GDPR-klagomål sedan 2018, och DSB har hanterat 422 av dem under 2022-2024. Att förstå DSB:s verkställighet innebär att förstå den strategiska rättsliga process som har omformat EU:s datatransferlag två gånger.
NOYB och DSB: Ett strategiskt verkställighetsmönster
Schrems I (2015): Max Schrems klagomål om Facebooks datatransfereringar mellan EU och USA ogiltigförklarade slutligen Safe Harbor-ramverket som användes av över 4 000 företag.
Schrems II (2020): Schrems efterföljande utmaning ogiltigförklarade EU-US Privacy Shield, vilket påverkade över 5 000 företag och utlöste en nödupphandling som resulterade i den nuvarande EU-US Data Privacy Framework (2023).
Förväntad Schrems III (2025-2026): NOYB har lämnat in utmaningar mot DPF:s tillräcklighetsbeslut och hävdar att FISA avsnitt 702 förblir oförenlig med GDPR. En CJEU-referens förväntas.
78% av DSB:s verkställighetsfall involverar datatransfereringar eller tredjepartsintegrationer — detta transfereringscentrerade fokus är den definierande egenskapen för österrikisk verkställighet.
DSB:s Google Analytics-beslut
DSB:s beslut om Google Analytics i januari 2022 etablerade mönstret för all efterföljande verkställighet av transfereringar:
- IP-adresser är personuppgifter. Även avkortade IP-adresser kombinerat med sessionsdata möjliggör återidentifiering i Googles databas.
- Tillgång för amerikanska leverantörer = transferering. När amerikanska ingenjörer kan få tillgång till EU-användardata (för support, underhåll eller rättslig tvång), utgör den tillgången en datatransferering enligt GDPR.
- SCC utan adekvat TIA = överträdelse. Standardavtalsklausuler utan en Transfer Impact Assessment som visar att amerikansk övervakningslag inte ogiltigförklarar dem är otillräckliga.
DSB fann att den österrikiska webbplatsoperatören — inte Google — var den personuppgiftsansvarige som var ansvarig för den olagliga transfereringen. Denna princip påverkar varje EU-företag som integrerar tredjepartsprogram.
Kompletterande tekniska åtgärder: Vad fungerar faktiskt
Efter Schrems II utfärdade EDPB vägledning om kompletterande tekniska åtgärder som krävs när SCC ensamma är otillräckliga. DSB verkställer denna vägledning:
Kryptering med EU-hållna nycklar: Om EU-personuppgifter krypteras innan de överförs till USA, och dekrypteringsnycklar hålls exklusivt av EU-baserade nyckelinnehavare, är uppgifterna effektivt anonyma för GDPR-överföringsändamål — amerikanska myndigheter kan inte tvinga fram tillgång till data de inte kan läsa.
Pseudonymisering före överföring: Om överförda data endast innehåller pseudonyma identifierare (återidentifieringsnyckel hålls i EU), är de överförda uppgifterna inte "personuppgifter" för överföringen.
Lokal bearbetning: Data som aldrig lämnar EU-värd infrastruktur undviker helt transfereringskrav. Endast aggregerad, verkligt anonymiserad statistik överförs.
DSB har funnit att organisationer som använder amerikanska SaaS-leverantörer för bearbetning av EU-personuppgifter antingen måste implementera dessa åtgärder eller visa att uppgifterna är verkligt anonymiserade.
Schrems III-risk för organisationer som använder amerikanska leverantörer
Organisationer som enbart förlitar sig på EU-US Data Privacy Framework (DPF) för datatransfereringar till USA står inför en specifik risk: om NOYB:s CJEU-utmaning lyckas — som hände med Safe Harbor (2015) och Privacy Shield (2020) — måste organisationer omedelbart leta efter alternativa överföringsmekanismer.
Organisationer som använder kompletterande tekniska åtgärder (kryptering med EU-hållna nycklar, verklig anonymisering före överföring) är skyddade från risken för DPF- ogiltigförklaring. Överföringen sker tekniskt inte om uppgifterna är verkligt anonymiserade eller krypterade med nycklar som den amerikanska leverantören inte kan få tillgång till.
För österrikiska verksamheter specifikt: webbplatsanalys som använder amerikanska verktyg (Google Analytics, Mixpanel, Amplitude), CRM-system med amerikanska moderbolag (Salesforce, HubSpot), och molninfrastruktur med amerikanskt tillgänglig administrativ åtkomst skapar alla DSB-verkställighetsrisk. Åtgärden är att säkerställa att personuppgifter i dessa system antingen är verkligt anonymiserade innan de når leverantörens system, eller krypterade med nycklar som hålls exklusivt av den EU-baserade ansvariga.
Källor: