Varje EU-domstol kan nu beordra din leverantör direkt

Vad som förändrades den 18 augusti

Förordning (EU) 2023/1543 är direkt tillämplig i hela Europeiska unionen sedan den 18 augusti 2026 och inför ett rättsligt instrument som kallas det europeiska utlämnandebeslutet. En rättslig myndighet i en medlemsstat kan nu tvinga en tjänsteleverantör som är etablerad i en annan medlemsstat att lämna ut abonnent-, trafik- eller innehållsdata, utan att först behöva skicka begäran via leverantörens hemland.

Just den sista punkten är den strukturella förändringen. Enligt det system för ömsesidig rättslig hjälp som denna förordning ersätter, var en fransk åklagare som ville ha data från ett bolag registrerat i Irland tvungen att be de irländska myndigheterna agera å hans vägnar, en process som kunde ta månader. Med det europeiska utlämnandebeslutet kan den franska myndigheten skicka beslutet direkt till den irländska leverantören, som är rättsligt skyldig att svara direkt. Det åtföljande direktivet, 2023/1544, skulle vara infört i nationell rätt i varje medlemsstat senast den 18 februari 2026, sex månader innan förordningen själv trädde i kraft, så att nationella domstolar och leverantörer skulle ha en fungerande mekanism den dag förordningen började tillämpas.

8-timmarsfristen förklarad

Två frister gäller, och avståndet mellan dem utgör hela den operativa utmaningen. I standardförfarandet har en tjänsteleverantör som tar emot ett europeiskt utlämnandebeslut 10 dagar på sig att efterleva det. I det brådskande förfarandet, förbehållet fall med omedelbar fara för liv, fysisk säkerhet eller kritisk infrastruktur, krymper detta fönster till 8 timmar.

En frist på 8 timmar ger ingen tid att kalla in extern juridisk rådgivning, låta ärendet eskalera genom en flerskiktad juridisk avdelning eller vänta på att en compliance-ansvarig kommer tillbaka från en helg. En leverantör behöver en utsedd juridisk representant och en färdigbyggd eskaleringsväg innan beslutet anländer, eftersom det att bygga den vägen först efter att klockan har börjat gå förbrukar klockan själv. Sanktionsavgiften på upp till 2 procent av den globala omsättningen gäller leverantören oavsett storlek, så exponeringen växer med omsättningen, inte med mognaden i leverantörens juridiska funktion.

Varför största delen av EU inte är redo

Bara fyra medlemsstater, Kroatien, Italien, Litauen och Slovakien, hade vid förordningens tillämpningsdatum antagit den nationella genomförandelagstiftning som krävs för att faktiskt utfärda eller ta emot europeiska utlämnandebeslut. De övriga 23 delas in i två grupper: Danmark, som står helt utanför denna ram på grund av sitt stående undantag från EU:s åtgärder inom området med frihet, säkerhet och rättvisa, och de resterande medlemsstaterna, som helt enkelt inte hade hunnit genomföra direktiv 2023/1544 före fristen den 18 februari 2026.

EU-kommissionen inledde överträdelseförfaranden mot 22 medlemsstater den 27 mars 2026 för att inte ha genomfört direktivet i tid. Det är ingen teknisk detalj begravd i ett ärende; det betyder att domstolarna och de brottsbekämpande myndigheterna i dessa 22 länder saknar ett tydligt nationellt förfarande för att utfärda ett europeiskt utlämnandebeslut till en leverantör någon annanstans i EU, och att leverantörer etablerade i dessa länder saknar ett tydligt nationellt förfarande för att ta emot och besvara ett sådant. Förordningen själv är direkt tillämplig och väntar inte på nationellt genomförande för att få rättsverkan, så skyldigheten finns redan i lag medan de flesta medlemsstater fortfarande bygger upp den administrativa apparat som krävs för att verkställa den.

Vad detta betyder för en relation med en EU-baserad leverantör

Ett antagande som är värt att överge är att det att lagra data inom EU, eller att bara anlita EU-baserade leverantörer, tar bort exponeringen för gränsöverskridande rättsliga begäranden. Under denna ram sker precis motsatsen. Eftersom varje EU-domstol nu kan rikta ett europeiskt utlämnandebeslut mot vilken EU-baserad leverantör som helst, har ett företag vars SaaS-plattform, molnvärd, löneleverantör eller kommunikationsverktyg är registrerat i en annan medlemsstat än det egna fått en ny kategori av rättslig begäransyta, en som i brådskande fall kommer med en 8-timmarsklocka och en sanktionsavgift på 2 procent av omsättningen för den leverantör som missar fristen.

Det praktiska svaret är att i förväg veta var varje leverantör är rättsligt etablerad, om den leverantören har en utsedd kontaktpunkt för europeiska utlämnandebeslut, och hur dess egen 8-timmars eskaleringsplan ser ut, eftersom en kund som är beroende av en leverantörs data har ett direkt intresse av hur snabbt och noggrant den leverantören kan svara. Eftersom 22 av 27 medlemsstater fortfarande befinner sig mitt i överträdelseförfaranden om sitt eget genomförande, gör det att ställa dessa frågor till en leverantör redan nu, i stället för efter att ett beslut har anlänt, skillnaden mellan en dokumenterad incidentresponsplan och en improviserad.

Läs vidare: Apples spårningsprompt får en fyramånadersfrist  |  En algoritm avskedade förare. Uber betalar 825 miljoner.