Supplerende foranstaltninger

GDPR kræver en konkret TIA før overførsel af personoplysninger til tredjelande. Standardkontraktbestemmelser er ikke nok; beskyttelsen skal være i det væsentlige tilsvarende. Virksomheder bør involvere dataimportøren og kombinere tekniske, kontraktuelle og organisatoriske tiltag – ellers må overførslen standses.

Overførsler af personoplysninger til tredjelande kræver et gyldigt grundlag efter GDPR kapitel V. Vurder om landet er omfattet af en tilstrækkelighedsafgørelse, eller brug SCC, BCR m.v. Gennemfør en TIA og etabler supplerende foranstaltninger. Husk skærpet oplysningspligt.

EU’s tilstrækkelighedsafgørelse for EU‑U.S. Data Privacy Framework muliggør overførsler til certificerede amerikanske virksomheder uden art. 46-grundlag. Ikke-certificerede kræver fortsat SCC og TIA. Varslet prøvelse ved EU-Domstolen gør et robust beredskab nødvendigt.

EDPB præciserer, at overførsler til amerikanske organisationer på Data Privacy Framework List kan ske uden art. 46-værktøjer. Videreoverførsler til ikke-certificerede underdatabehandlere kræver dog nye garantier. Klage kan indgives via Datatilsynet, og ordningen evalueres efter et år.