TIA ved tredjelandsoverførsler
Efter EU-Domstolens Schrems II skal GDPR’s beskyttelse følge personoplysninger ved overførsel til tredjelande. Standardkontraktbestemmelser kan ikke stå alene; den dataansvarlige skal dokumentere, at beskyttelsesniveauet i det væsentlige er tilsvarende. Det kræver en transfer impact assessment, der vurderer modtagerlandets lovgivning, praksis og effekten på garantierne.
Viser vurderingen, at garantierne ikke kan opretholdes, må overførslen ikke ske, før supplerende tekniske, kontraktuelle og organisatoriske foranstaltninger er implementeret. Hvis disse ikke reducerer risikoen til et acceptabelt niveau, skal overførslen undgås, suspenderes eller ophøre.
Praktisk tilgang og foranstaltninger
Involver dataimportøren aktivt i analysen. Importøren kan bidrage med retskilder, praksis og erfaring, som kvalificerer vurderingen af lokale myndighedsadgange og håndhævelse. Dokumentér metode og beslutninger, og genbesøg TIA’en løbende.
Kombinér foranstaltninger: Kryptering med nøglekontrol hos eksportøren, effektiv pseudonymisering eller delt behandling kan styrke beskyttelsen; supplér med klare kontraktvilkår og interne processer om gennemsigtighed og håndtering af myndighedsanmodninger.
En systematisk TIA kan struktureres i følgende trin:
- Kortlæg overførslen.
- Fastlæg overførselsmekanismen.
- Vurder modtagerlandets love og praksis.
- Identificér og implementér supplerende foranstaltninger.
