Overførsel af personoplysninger til lande uden for EU/EØS udløser særlige krav efter GDPR kapitel V. Først skal det afklares, om der overhovedet sker en overførsel, og hvilket land eller hvilken aktør der modtager oplysningerne. Dernæst skal der vælges et gyldigt overførselsgrundlag og gennemføres en risikovurdering af modtagerlandets retlige og faktiske forhold. Endelig skal den øgede oplysningspligt over for de registrerede efterleves med klare og tilgængelige oplysninger.
Overførsel og tredjelande
En overførsel foreligger, når en dataansvarlig eller databehandler i EU/EØS videregiver eller stiller personoplysninger til rådighed for en modtager i et tredjeland. Det gælder også ved fjernadgang, hvor data rent fysisk forbliver i EU, men kan ses af en modtager uden for EU, fx ved outsourcing af IT-support. Den kvalifikation følger Datatilsynets praksis og vejledning.
Er modtagerlandet omfattet af en tilstrækkelighedsafgørelse fra EU-Kommissionen, kan overførslen ske uden yderligere garantier, men kun inden for afgørelsens materielle og sektorielle rammer. Listen over lande, der anses for at yde et tilstrækkeligt beskyttelsesniveau, findes hos Datatilsynet. Se listen over sikre tredjelande hos Datatilsynet her.
Overførselsgrundlag til usikre tredjelande
Mangler der tilstrækkelighed, kræves et gyldigt overførselsgrundlag i GDPR kapitel V. De mest anvendte er EU-Kommissionens standardkontraktbestemmelser, som er forholdsvis hurtige at implementere, men ofte skal suppleres med tekniske og organisatoriske foranstaltninger. Bindende virksomhedsregler kan være velegnede i koncerner med mange interne overførsler, men kræver en omfattende godkendelsesproces.
Andre muligheder omfatter ad hoc-kontrakter og visse administrative ordninger, som forudsætter Datatilsynets forhåndsgodkendelse, samt retligt bindende instrumenter mellem offentlige myndigheder. Adfærdskodekser og certificeringsmekanismer kan på sigt blive praktiske, men kræver godkendte ordninger. Se Datatilsynets vejledning om overførsel til tredjelande her.
Supplerende krav og oplysningspligt
Et gyldigt overførselsgrundlag er ikke altid tilstrækkeligt i praksis. Den dataansvarlige skal vurdere, om modtagerlandets lovgivning og myndighedsadgang i realiteten kan undergrave beskyttelsesniveauet. Hvor der er risiko, skal der implementeres supplerende foranstaltninger, fx effektiv kryptering med nøglekontrol i EU, robust pseudonymisering, stram adgangsstyring, logging og kontraktlige forbud mod udlevering uden retslig prøvelse.
En struktureret tilgang kan med fordel følge disse trin:
- Gennemfør en Transfer Impact Assessment, der dækker retsgrundlag, myndighedsadgang og håndhævelsesmuligheder i modtagerlandet.
- Involver dataimportøren og relevante kilder, herunder branchevejledning og sikkerhedsanbefalinger, for at identificere effektive foranstaltninger.
- Dokumentér valg og implementering, og genbesøg vurderingen løbende, hvis forholdene ændrer sig.
Der gælder skærpede oplysningskrav. Ved overførsel til et sikkert land skal den registrerede informeres om, at overførslen sker på grundlag af en tilstrækkelighedsafgørelse. Ved usikre lande skal overførselsgrundlaget beskrives, fx SCC, og hvordan der kan opnås indsigt i væsentligt indhold. Undtagelserne i artikel 49 er forbeholdt særlige, enkeltstående situationer og kan ikke bære gentagne eller omfattende overførsler.
Praktisk anbefales en fastlagt proces: afklar om der sker overførsel, identificér land og rollefordeling, vælg og implementér overførselsgrundlag, udfør TIA med passende supplerende foranstaltninger, og opfyld oplysningspligten. Løbende overvågning og dokumentation er afgørende for at kunne påvise overholdelse.
