Forlængelse af UK-tilstrækkelighed og praktiske konsekvenser
EU-Kommissionen har forlænget Storbritanniens tilstrækkelighedsafgørelser, så overførsler af personoplysninger kan fortsætte uden brug af standardkontraktbestemmelser eller bindende virksomhedsregler i den resterende periode. For virksomheder gør det dataflows til britiske leverandører mere smidige, men det ændrer ikke på de øvrige krav i GDPR.
Den dataansvarlige skal fortsat kunne dokumentere lovligt behandlingsgrundlag, proportionalitet og passende sikkerhed. Især ved brug af britiske databehandlere bør der gennemføres og journalføres en risikobaseret vurdering af den konkrete behandling samt kontrolleres, at tekniske og organisatoriske foranstaltninger er tilstrækkelige i praksis.
Retligt grundlag for overførsler
En tilstrækkelighedsafgørelse er Kommissionens vurdering af, at et tredjeland samlet set tilbyder et beskyttelsesniveau, der svarer til GDPR. Den fungerer som overførselsgrundlag og gør supplerende mekanismer overflødige for de omfattet flowtyper.
Afgørelsen fritager dog ikke fra forpligtelser efter blandt andet artikel 5, 28 og 32. Databehandleraftaler skal fortsat være gyldige og opdaterede, underdatabehandlere skal være godkendt, og sikkerhedsforanstaltninger såsom kryptering, adgangsstyring og logning skal stå mål med risikoen.
Sådan styrker du efterlevelsen
For at reducere retslig og operationel risiko bør organisationer indarbejde faste kontroller og forberede et alternativt overførselsgrundlag. Overvej særligt følgende tiltag:
- Opdater behandlingsfortegnelser og oversigter over tredjelandsoverførsler, herunder til britiske modtagere.
- Gennemfør og dokumentér en transfer-risikovurdering for hver konkret overførsel.
- Revider databehandleraftaler efter artikel 28, inkl. krav til underdatabehandlere og auditrettigheder.
- Valider tekniske og organisatoriske foranstaltninger i drift, fx kryptering, adgangsstyring og logning.
- Forbered fallback med SCC’er, hvis tilstrækkeligheden ændres eller udløber, og planlæg implementering i god tid.
Løbende overvågning af britisk ret og relevante myndighedsudmeldinger er nødvendig for at opdage ændringer, der kan påvirke beskyttelsesniveauet. Etabler interne governance-processer, så kontrakter, risikovurderinger og sikkerhedsforanstaltninger kan ajourføres hurtigt, hvis forudsætningerne ændrer sig.
