SCC

GDPR kræver en konkret TIA før overførsel af personoplysninger til tredjelande. Standardkontraktbestemmelser er ikke nok; beskyttelsen skal være i det væsentlige tilsvarende. Virksomheder bør involvere dataimportøren og kombinere tekniske, kontraktuelle og organisatoriske tiltag – ellers må overførslen standses.

EU-Domstolen har stadfæstet EU-Kommissionens tilstrækkelighedsafgørelse for Data Privacy Framework. Overførsler af personoplysninger til certificerede modtagere i USA kan fortsætte, men organisationer bør bevare TIA, SCC-fallback og en klar exit-strategi ved ændringer.

Overførsler af personoplysninger til tredjelande kræver et gyldigt grundlag efter GDPR kapitel V. Vurder om landet er omfattet af en tilstrækkelighedsafgørelse, eller brug SCC, BCR m.v. Gennemfør en TIA og etabler supplerende foranstaltninger. Husk skærpet oplysningspligt.

Data Act pålægger cloududbydere at muliggøre skifte med højst to måneders varsel. Det udfordrer faste SaaS-abonnementer: forudbetalte beløb kan blive refusionspligtige, og bod ved førtidigt ophør skal være proportional og afspejle nettotab. Udbydere bør tilpasse vilkår nu.