Supplerende foranstaltninger

GDPR kræver en konkret TIA før overførsel af personoplysninger til tredjelande. Standardkontraktbestemmelser er ikke nok; beskyttelsen skal være i det væsentlige tilsvarende. Virksomheder bør involvere dataimportøren og kombinere tekniske, kontraktuelle og organisatoriske tiltag – ellers må overførslen standses.

Overførsler af personoplysninger til tredjelande kræver et gyldigt grundlag efter GDPR kapitel V. Vurder om landet er omfattet af en tilstrækkelighedsafgørelse, eller brug SCC, BCR m.v. Gennemfør en TIA og etabler supplerende foranstaltninger. Husk skærpet oplysningspligt.

EU’s tilstrækkelighedsafgørelse for EU‑U.S. Data Privacy Framework muliggør overførsler til certificerede amerikanske virksomheder uden art. 46-grundlag. Ikke-certificerede kræver fortsat SCC og TIA. Varslet prøvelse ved EU-Domstolen gør et robust beredskab nødvendigt.

EDPB præciserer, at overførsler til amerikanske organisationer på Data Privacy Framework List kan ske uden art. 46-værktøjer. Videreoverførsler til ikke-certificerede underdatabehandlere kræver dog nye garantier. Klage kan indgives via Datatilsynet, og ordningen evalueres efter et år.

EU-Kommissionens tilstrækkelighedsafgørelse for EU US Data Privacy Framework åbner for lovlige dataoverførsler til certificerede amerikanske modtagere. Ordningen gælder kun USA, kan blive prøvet ved EU-Domstolen, og kræver fortsat TIA og exit-strategi ved usikkerhed.

Det irske datatilsyn har udstedt en rekordstor GDPR-bøde til Meta Irland for ulovlige EU–USA dataoverførsler baseret på SCC. EDPB krævede bøden og et påbud om at bringe behandlingen i overensstemmelse inden seks måneder. Afgørelsen skærper fokus på TIAs og underdatabehandlere.

Meta Irland får rekordbøde for ulovlige dataoverførsler til USA. Det irske datatilsyn pålægger 1,2 mia. euro i bøde og kræver GDPR-compliance inden seks måneder efter en bindende EDPB-afgørelse. Sagen tydeliggør krav til tredjelandsoverførsler og EU’s tvistbilæggelsesmekanisme.

EDPB træffer bindende afgørelse efter GDPR artikel 65 om det irske tilsyns udkast vedrørende Metas overførsel af Facebook-data til USA. Samtidig oprettes en fælles europæisk taskforce om ChatGPT for at koordinere tilsynstiltag, hvor Datatilsynet deltager.

EDPB udstikker 13 anbefalinger til offentlige myndigheders brug af cloud: gennemskuelig rollefordeling, risikovurdering og DPIA, stærk kontrol med underdatabehandlere samt kortlægning af tredjelandsoverførsler. Rapporten giver dog ingen nye løsninger på transfer-udfordringer.

EU-Kommissionen har fremlagt et udkast til tilstrækkelighedsafgørelse for USA under GDPR art. 45. Udkastet bygger på nye amerikanske garantier, men er endnu ikke vedtaget og kan blive prøvet ved EU-Domstolen. Indtil da kræves SCC og supplerende foranstaltninger ved dataoverførsler.