Liste over øvrige overførselsgrundlag

Vedtagelse af EU-Kommissionens standardbestemmelser (standardkontrakter eller SCC – forkortelse for standard contractual clauses), som er en skabelon, der skal udfyldes og underskrives af dataeksportøren og dataimportøren. SCC bruges oftest som overførselsgrundlag. Indgåelse af ad hoc-kontrakter, som udformes af dataeksportøren og/eller dataimportøren selv. Disse kontrakter skal godkendes af Datatilsynet og Det Europæiske Databeskyttelsesråd (EDPB) og bruges derfor sjældent.Brug af bindende virksomhedsregler (BCR), som kan anvendes til interne overførsler mellem koncernens medlemmer. Disse regler skal godkendes af Datatilsynet og EDPB.Brug af retligt bindende instrumenter mellem offentlige myndigheder eller offentlige organer, f.eks. en international traktat eller konvention.Brug af bestemmelser i administrative ordninger mellem offentlige myndigheder, f.eks. et aftalememorandum.Brug af adfærdskodekser eller certificeringsmekanismer. NB: der er endnu ingen godkendte.

Tredjelandsoverførsler – hvad skal du være opmærksom på?

Indsigt

18.11.2024

Tredjelandsoverførsler er et af de emner, der fylder meget på det databeskyttelsesretlige område. Bliv klogere på tredjelandsoverførsler her, og hvad du skal være opmærksom på.

Tredjelandsoverførsler – hvad dækker det begreb over?

Virksomheder og myndigheder kan have behov for at overføre personoplysninger til et land uden for EU eller EØS – altså et tredjeland.

Dette kan f.eks. være aktuelt, når:

En virksomhed har en samarbejdspartner i et tredjeland og har behov for at dele personoplysninger
En virksomhed køber et it-system fra en udbyder beliggende i et tredjeland. Dette gælder for eksempel for de virksomheder og myndigheder, der anvender Microsofts mailløsninger eller officepakken

Forskellen på landes databeskyttelsesstandarder

Årsagen til, at man skelner mellem EU/EØS-lande og tredjelande er, at EU stiller en række databeskyttelsesmæssige krav i GDPR, som ikke nødvendigvis gælder i andre lande uden for EU/EØS.

Formålet med reglerne om tredjelandsoverførsler er at sikre, at den beskyttelse, som borgere og kunder i EU/EØS nyder, ikke forsvinder, når deres personoplysninger overføres til et tredjeland uden samme regler.

Hvornår er der tale om en overførsel til et tredjeland?

Der er tale om en overførsel, når din organisation videregiver eller på anden måde stiller personoplysninger til rådighed for en anden dataansvarlig, fælles dataansvarlig eller databehandler beliggende i et tredjeland.

Hvis din organisation overfører personoplysninger til et tredjeland, kan overførslen kun finde sted på visse betingelser i medfør af GDPR.

Der er forskel på tredjelande

Et tredjeland kan være kategoriseret som enten ”sikkert” eller ”usikkert,” hvilket har betydning for dine muligheder for at overføre personoplysninger.

Hvis et tredjeland har en såkaldt ”tilstrækkelighedsafgørelse” fra Europa-Kommissionen, betyder det, at din organisation lovligt kan overføre personoplysninger til landet.

Tilstrækkelighedsafgørelser

En tilstrækkelighedsafgørelse betyder, at EU-Kommissionen har vurderet, at det pågældende land har et beskyttelsesniveau, der svarer til beskyttelsesniveauet i EU/EØS.

EU-Kommissionen analyserer dermed landets lovgivning vedrørende behandling af personoplysninger, herunder om reglerne sikrer de registreredes rettigheder.

Hvis din organisation ønsker at overføre personoplysninger til et tredjeland, bør du som det første tjekke, om der er truffet en tilstrækkelighedsafgørelse for landet.

Datatilsynet fører løbende en liste som du kan finde her. Bl.a. er Schweiz, Storbritannien og Israel sikre tredjelande.

Læs HjulmandKaptains nyhed om EU-Kommissionens tilstrækkelighedsafgørelse i juli 2023 om overførsel af personoplysninger til USA

Øvrige mulige overførselsgrundlag og muligheder

Hvis et tredjeland ikke har en tilstrækkelighedsafgørelse og dermed er kategoriseret som et ”usikkert” tredjeland, skal du sikre dig et andet overførselsgrundlag for at kunne overføre personoplysninger.

De øvrige overførselsgrundlag i databeskyttelsesforordningens artikel 46 kan afhænge af flere faktorer, f.eks.:

om din organisation er stor eller lille.
om virksomheden er en del af en koncern.
om virksomheden er en offentlig myndighed.

- Vedtagelse af EU-Kommissionens standardbestemmelser (standardkontrakter eller SCC – forkortelse for standard contractual clauses), som er en skabelon, der skal udfyldes og underskrives af dataeksportøren og dataimportøren. SCC bruges oftest som overførselsgrundlag.
- Indgåelse af ad hoc-kontrakter, som udformes af dataeksportøren og/eller dataimportøren selv. Disse kontrakter skal godkendes af Datatilsynet og Det Europæiske Databeskyttelsesråd (EDPB) og bruges derfor sjældent.
- Brug af bindende virksomhedsregler (BCR), som kan anvendes til interne overførsler mellem koncernens medlemmer. Disse regler skal godkendes af Datatilsynet og EDPB.
- Brug af retligt bindende instrumenter mellem offentlige myndigheder eller offentlige organer, f.eks. en international traktat eller konvention.
- Brug af bestemmelser i administrative ordninger mellem offentlige myndigheder, f.eks. et aftalememorandum.
- Brug af adfærdskodekser eller certificeringsmekanismer. NB: der er endnu ingen godkendte.

Transfer Impact Assessment – vurdering af overførslen

Når du har sikret dig et overførselsgrundlag, skal du vurdere, om det er nødvendigt at indføre yderligere supplerende foranstaltninger. EU-Domstolen fastslog i den såkaldte Schrems II-sag, at et overførselsgrundlag ikke altid er nok i sig selv.

Du skal derfor gennemføre en Transfer Impact Assessment (TIA). HjulmandKaptains team af databeskyttelsesspecialister guider dig mere til TIA her.

Du kan læse mere om Schrems II-sagen her.