C-311/18

GDPR kræver en konkret TIA før overførsel af personoplysninger til tredjelande. Standardkontraktbestemmelser er ikke nok; beskyttelsen skal være i det væsentlige tilsvarende. Virksomheder bør involvere dataimportøren og kombinere tekniske, kontraktuelle og organisatoriske tiltag – ellers må overførslen standses.

EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework giver et nyt, lovligt grundlag for overførsel af personoplysninger til USA, hvis modtageren er certificeret. Virksomheder skal dog fortsat vurdere behandlingshjemmel, formål og risici og opdatere dokumentationen.

Det irske datatilsyn har udstedt en rekordstor GDPR-bøde til Meta Irland for ulovlige EU–USA dataoverførsler baseret på SCC. EDPB krævede bøden og et påbud om at bringe behandlingen i overensstemmelse inden seks måneder. Afgørelsen skærper fokus på TIAs og underdatabehandlere.

Datatilsynet anser Google Analytics som ulovlig i standardopsætning. Virksomheder skal enten indføre effektive supplerende foranstaltninger, fx reverse proxy og stærk anonymisering, eller skifte til EU-baserede alternativer. Passivitet øger compliance-risikoen.