Amerikanska säljverktyg och GDPR 2026

Det här är en redaktionell genomgång av ett rättsläge som rör sig, inte juridisk rådgivning, och det är skrivet i september 2026 med källor från IMY, EU-kommissionen och EU-domstolen; har något hänt sedan dess står det först på IMY:s nyhetssida. Två saker är stabila: definitionen av vad en överföring är, och de tre vägar som gör den laglig. Det som rör sig är grunden nästan alla amerikanska verktyg lutar sig mot i dag: EU-kommissionens adekvansbeslut om Data Privacy Framework från den 10 juli 2023, som EU:s tribunal fastställde den 3 september 2025 och som IMY den 3 juli 2026 bad organisationer att ha beredskap för att kunna klara sig utan.

Vad som gällde i september 2026

EU-kommissionen antog den 10 juli 2023 sitt adekvansbeslut om EU-US Data Privacy Framework. Med stöd av det får personuppgifter flöda fritt från EU till amerikanska bolag som deltar i ramverket, vilket bolagen gör genom att certifiera sig och listas på ramverkets webbplats. Ramverket prövades rättsligt av den franske ledamoten Philippe Latombe, och den 3 september 2025 avvisade EU:s tribunal hans talan om ogiltigförklaring; tribunalen bekräftade att USA vid tidpunkten för beslutet säkerställde en adekvat skyddsnivå. Domen överklagades enligt uppgift till EU-domstolen i oktober 2025, och när det här skrevs i september 2026 var överklagandet inte avgjort. Så länge adekvansbeslutet gäller kan en leverantör som finns på listan ta emot era kunddata utan ytterligare skyddsåtgärder; upphävs eller ändras beslutet gäller plan B nedan.

Varför frågan är öppen för tredje gången

EU-domstolen har ogiltigförklarat två tidigare adekvansbeslut för USA: Safe Harbor 2015 och Privacy Shield i Schrems II-domen den 16 juli 2020, som samtidigt slog fast att standardavtalsklausulerna fortfarande var giltiga. Det som väckte frågan en tredje gång är amerikansk inrikespolitik. IMY beskrev den 3 juli 2026 hur USA:s högsta domstol i fallet Trump v. Slaughter kommit fram till att en president har rätt att avsätta en ledamot i tillsynsorganet Federal Trade Commission utan särskild grund, och hur ledamöter tidigare avsatts från både FTC och Privacy and Civil Liberties Oversight Board, två organ som enligt IMY är viktiga för att ramverket ska fungera. Frågan är om de fortfarande kan anses oberoende, och om det påverkar adekvansbeslutets giltighet framöver. IMY:s generaldirektör Eric Leijonram sammanfattade: det finns fortfarande ett gällande adekvansbeslut, men organisationer bör hålla sig informerade och ha beredskap, och kan till exempel behöva ta tillbaka sin data från leverantörer. EU-kommissionen kan återkalla, ändra eller upphäva sitt beslut, och EDPB analyserar konsekvenserna tillsammans med IMY.

Tre vägar som gör överföringen laglig

IMY:s vägledning om överföring till tredjeland, uppdaterad i augusti 2025, är tydlig om vad som räknas: en överföring är när personuppgifter skickas eller på annat sätt görs tillgängliga för en mottagare utanför EU och EES, inklusive när ni anlitar ett biträde där eller ger någon utanför EU läsbehörighet. Att er amerikanska CRM-leverantörs support kan öppna er kunddatabas är alltså en överföring, även om servern står i Irland. Den första vägen är ett adekvansbeslut, som Data Privacy Framework. Den andra är lämpliga skyddsåtgärder, i praktiken EU-kommissionens standardavtalsklausuler från den 4 juni 2021 eller bindande företagsbestämmelser, kompletterade med den bedömning av mottagarlandets lagstiftning som EDPB beskriver i sina rekommendationer 01/2020. Den tredje är undantagen för särskilda situationer och enstaka överföringar, som sällan bär ett löpande säljverktyg.

Inventera säljstacken

Gör listan innan någon annan begär den. För varje verktyg som innehåller kunddata: var lagras uppgifterna, står leverantören på DPF-listan, finns standardavtalsklausuler i biträdesavtalet som reserv, vilka underbiträden finns i USA, och hur exporterar och raderar ni allt om ni måste byta.

• CRM-systemet: hela kunddatabasen, ofta med anteckningar från möten. Störst konsekvens om vägen stängs.
• Dialer och telefoni: samtalsloggar och ibland inspelningar, som är personuppgifter om både kund och säljare.
• Berikning och prospektlistor: uppgifter om personer ni ännu inte pratat med, med svagast rättslig grund.
• Mejl- och sekvensverktyg: adresser, öppningar, svar. Ofta kopplade till CRM-systemet i båda riktningarna.
• Mötesassistenter och transkribering: hela samtal i text; vi har en egen checklista för dem.
• AI-verktyg för övning och skrivhjälp: kontrollera om riktiga kunddata över huvud taget behöver matas in.

Plan B i fyra steg

Beredskap betyder inte att byta verktyg i förebyggande syfte. Det betyder att veta vilken grund varje överföring vilar på och vad ni gör den dag grunden ändras. Steg ett är att kontrollera DPF-listan för varje leverantör och notera det i er förteckning över behandlingar. Steg två är att se till att biträdesavtalet innehåller standardavtalsklausulerna som reservgrund, så att ett upphävt adekvansbeslut inte lämnar er utan laglig väg över natten; leverantörer som certifierat sig har ofta klausulerna med redan, men det ska stå i ert avtal. Steg tre är att testa export och radering i praktiken: hur lång tid tar det att få ut hela kunddatabasen i ett användbart format, och hur bekräftar leverantören att kopian är raderad. Steg fyra är att fråga om EU-hosting; flera stora leverantörer erbjuder lagring inom EU, men det avgörande är underbiträdena och supportens åtkomst, inte var servern står, så läs trust-sidan och avtalet i stället för att lita på en rubrik.

Vad ni inte behöver göra

Ni behöver inte lämna amerikanska leverantörer, och ni behöver inte teckna nya avtal den här veckan. I september 2026 gällde adekvansbeslutet och tribunalens dom stod fast, och IMY:s uppmaning var att hålla sig informerad och ha beredskap; kontrollera IMY:s nyhetssida innan ni agerar på den här artikeln. Det ni ska undvika är det som gjorde Schrems II så dyrt för många: att upptäcka i efterhand att ingen visste vilka verktyg som innehöll vad, eller hur datan skulle tas hem. En förteckning och ett testat exportflöde är hela skillnaden mellan en nyhet och en kris.

Övning behöver inga kunddata

Ett sätt att krympa listan är att inte mata in riktiga kunduppgifter i verktyg som inte behöver dem. I Salesprep möter du fiktiva AI-kunder och beskriver egna motparter utan personuppgifter; råljudet från övningssamtalen raderas direkt efter bedömningen, och transkript och betyg kan raderas när du vill. Cold call-modulen ingår i alla planer med tre gratis samtal, och alla sex moduler i Team Pro.