Deling af personoplysninger med tredjeparter: de 7 GDPR-risici, der skal håndteres

Du må kun dele personoplysninger i henhold til GDPR, hvis du har et retsgrundlag i henhold til artikel 6, skriftligt har aftalt, om modtageren er databehandler eller dataansvarlig, og har underrettet de berørte personer om delingen. De vigtigste undtagelser er overførsler uden for Det Europæiske Økonomiske Samarbejdsområde (EØS) og højrisikobehandling, som medfører ekstra krav i henhold til kapitel V og artikel 35 i GDPR.

I Holland håndhæver den hollandske databeskyttelsesmyndighed ( Autoriteit Persoonsgegevens , AP) GDPR sammen med den hollandske implementeringslov ( Uitvoeringswet AVG , UAVG). Enhver datastrøm til en cloududbyder, et lønbureau, en inkassovirksomhed eller et koncernselskab i udlandet er en separat behandlingsoperation, der kræver sin egen begrundelse. Nedenfor beskriver vi syv risici, der opstår igen i praksis, de bagvedliggende bestemmelser, og hvad du kan gøre ved hver enkelt.

Risiko 1: Deler du data uden et gyldigt juridisk grundlag?

Enhver videregivelse af personoplysninger kræver et af de seks retsgrundlag i artikel 6(1) i GDPR. En kommerciel grund er ikke et af dem.

De seks grundlag er udtømmende: samtykke, opfyldelse af en kontrakt, en retlig forpligtelse, vitale interesser, en offentlig opgave og legitime interesser. Artikel 5(1)(a) tilføjer, at behandling skal være lovlig, retfærdig og gennemsigtig, så et grundlag, der aldrig er blevet forklaret for nogen, efterlader stadig et hul.

Hvorfor er legitim interesse en fælde?

Legitim interesse er det oftest anvendte grundlag for deling med partnere, og det bruges oftest forkert. Det kræver en tretrins test:

• interessen skal være legitim;
• delingen skal være nødvendig for at tjene den;
• Interessen må ikke tilsidesættes af de berørte personers rettigheder og friheder.

Du skal udføre og registrere denne test, før delingen starter, da artikel 5(2) i GDPR lægger bevisbyrden på den dataansvarlige (ansvarlighed). En vurdering, der er skrevet efter en klage, er meget lidt værd.

Hvad med samtykke og formålsbegrænsning?

Samtykke fra medarbejdere er sjældent gyldigt, fordi magtforskellen betyder, at det ikke gives frivilligt (artikel 7(4) og betragtning 43 i GDPR). Formålsbegrænsning i henhold til artikel 5(1)(b) gælder også for deling: data indsamlet for at levere en tjenesteydelse kan ikke blot videregives til en partner med henblik på markedsføring. Hvis det nye formål ikke er foreneligt med det oprindelige, har du brug for et nyt grundlag.

Hvad du skal gøre: Identificér grundlaget, før data forlader din organisation, skriv det ned, og kontroller, at din privatlivsmeddelelse allerede beskriver delingen. Samtykke skal gives frit, være specifikt, informeret, utvetydigt og lige så let at trække tilbage som at give (artikel 4(11) og 7(3) i GDPR).

Risiko 2: Har du fået de forkerte controller- og processorroller?

En dataansvarlig bestemmer formålene og midlerne til behandling; en databehandler handler kun på baggrund af den dataansvarliges dokumenterede instruktioner (artikel 4(7) og (8) i GDPR). Det, der tæller, er, hvem der rent faktisk bestemmer, ikke hvad kontrakten kalder parterne.

Den almindelige fejl er at betegne enhver leverandør som en forarbejdningsvirksomhed. Alligevel handler ingen af ​​følgende udelukkende efter instruktioner:

• en SaaS-udbyder, der bruger kundedata til at forbedre sit eget produkt;
• en revisor, der er bundet af professionelle regler;
• en bank, der udfører en betaling;
• en reklameplatform, der opbygger sine egne målgruppeprofiler.

Hver især er dataansvarlig for i det mindste en del af behandlingen. Hvor to organisationer i fællesskab fastlægger formål og midler, er de fælles dataansvarlige i henhold til artikel 26 i GDPR. De skal fastlægge deres ansvar i en aftale og gøre dens essens tilgængelig for de berørte personer.

Hvor bredt definerer EU-Domstolen fælles kontrol?

Bredt set. I Fashion ID (C-40/17) fastslog Domstolen, at en hjemmesideoperatør, der integrerer et socialt plugin fra tredjepart, var en fælles dataansvarlig for indsamling og transmission af besøgendes data, selvom vedkommende ikke havde adgang til dataene efterfølgende. Delvis indflydelse på formålene er tilstrækkeligt, og resultatet er et fælles ansvar for et brud, som du ikke selv forårsagede.

Hvad skal man gøre: Kortlæg datastrømmene og registrer for hver strøm, hvem der bestemmer, hvorfor og hvordan dataene behandles. Brug en databehandleraftale i henhold til artikel 28 for databehandlere og en fælles dataansvarligordning i henhold til artikel 26, hvor begge parter træffer beslutninger.

Risiko 3: Mangler eller er din databehandleraftale mangelfuld?

Hvis en databehandler behandler personoplysninger for dig, kræver artikel 28(3) i GDPR en skriftlig kontrakt. Uden en sådan kontrakt misligholder du databeskyttelsen fra det øjeblik, behandlingen begynder, selvom der aldrig lækker data.

Indholdet er foreskrevet ved lov. En kompatibel databehandleraftale angiver behandlingens genstand, varighed, art og formål, typerne af personoplysninger og kategorier af personer samt den dataansvarliges rettigheder og forpligtelser. Den skal også forpligte databehandleren til at:

• behandles kun i henhold til dokumenterede instruktioner;
• pålægge sine medarbejdere fortrolighed;
• træffe de sikkerhedsforanstaltninger, der kræves i artikel 32;
• hjælp med anmodninger fra registrerede og underretning om brud på datasikkerheden;
• slette eller returnere dataene ved afslutningen af ​​​​engagementet;
• give de nødvendige oplysninger for at påvise overholdelse og tillade revisioner.

Hvorfor fejler underdatabehandlerklausuler så ofte?

I henhold til artikel 28(2) og (4) skal databehandleren have din forudgående specifikke eller generelle skriftlige tilladelse til enhver underdatabehandler. Med en generel tilladelse skal databehandleren informere dig om påtænkte ændringer og give dig mulighed for at gøre indsigelse; en klausul, der giver databehandleren mulighed for at engagere enhver, den ønsker, opfylder ikke denne standard.

Hvad skal man gøre: Arbejd ud fra en skabelon, der følger artikel 28(3) klausul for klausul, og gennemgå eksisterende aftaler i stedet for at stole på leverandørens egne vilkår. Langvarige relationer er mest sandsynligt udokumenterede.

Risiko 4: Overfører du data uden for EØS uden sikkerhedsforanstaltninger?

En overførsel uden for EØS er kun tilladt på grundlag af en tilstrækkelighedsafgørelse (artikel 45 i GDPR) eller passende sikkerhedsforanstaltninger (artikel 46), normalt Kommissionens standardkontraktbestemmelser eller bindende virksomhedsregler. Undtagelserne i artikel 49, såsom udtrykkeligt samtykke, gælder for lejlighedsvise overførsler og kan ikke understøtte en strukturel datastrøm.

En overførsel finder sted, når data bliver tilgængelige fra lande uden for EØS, ikke kun når de kopieres dertil. Fjernadministration af et moderselskab i udlandet er en overførsel, selvom serverne forbliver i Frankfurt.

Hvad betyder Schrems II og databeskyttelsesrammen for dig?

I Schrems II (C-311/18) ugyldiggjorde Domstolen EU-US Privacy Shield og fastslog, at standardkontraktbestemmelser ikke er tilstrækkelige i sig selv. Eksportøren skal vurdere, om bestemmelseslandets lovgivning undergraver klausulerne, og tilføje supplerende foranstaltninger, hvor det er tilfældet; at en konsekvensanalyse af overførsler (TIA) stadig er påkrævet for enhver overførsel i henhold til artikel 46.

Kommissionen vedtog en tilstrækkelighedsafgørelse for EU-US Data Privacy Framework (DPF) i juli 2023, og den 3. september 2025 afviste Retten en sag om annullation heraf ( Latombe , T-553/23). Overførsler til en amerikansk organisation, der er certificeret i henhold til rammen, kan for de data, dens certificering dækker, påberåbe sig tilstrækkelighed; overførsler til andre amerikanske modtagere kan ikke. En appel til Domstolen er mulig, så tjek certificeringen, og hav et alternativ på plads.

Hvad skal du gøre: Opret en liste over tredjelandsoverførsler i din forsyningskæde, herunder underdatabehandlere og supportaftaler. Hvor tilstrækkeligheden ikke finder anvendelse, skal du bruge de nuværende standardkontraktsklausuler (SCC'er), dokumentere en TIA (Tilfredsstillende vurdering) og registrere supplerende foranstaltninger såsom kryptering med nøgler, der opbevares i EØS. AP kan beordre suspendering af en overførsel i henhold til artikel 58(2)(j) i GDPR.

Risiko 5: Springer du en konsekvensanalyse af databeskyttelse over?

Artikel 35 i GDPR kræver en konsekvensanalyse af databeskyttelse (DPIA), hvor behandling sandsynligvis vil medføre en høj risiko for enkeltpersoner. Deling af data overskrider ofte denne tærskel hurtigere end organisationer forventer.

Artikel 35(3) nævner tre tilfælde: systematisk og omfattende automatiseret evaluering med juridiske eller lignende betydelige virkninger, storstilet behandling af særlige kategorier af eller strafferetlige data og storstilet systematisk overvågning af et offentligt område. AP offentliggør også en liste over operationer, hvor en DPIA altid er påkrævet. Kombination af datasæt, deling af sundhedsdata med en analyseudbyder eller overvågning af medarbejdere vil ofte overskride tærsklen i sig selv.

Hvad skal en DPIA indeholde?

I henhold til artikel 35(7) beskriver en konsekvensanalyse af databeskyttelse behandlingen og dens formål, vurderer nødvendighed og proportionalitet, identificerer risiciene for de berørte personer og fastsætter de foranstaltninger, der skal imødegå dem. Hvor der fortsat er en høj restrisiko, kræver artikel 36 forudgående høring af den ansvarlige person, før behandlingen påbegyndes.

Hvad du skal gøre: screen alle nye datadelingsaftaler i forhold til artikel 35(3) og AP-listen, og involver din databeskyttelsesansvarlige, hvis du har en. Gennemgå DPIA'en igen, når behandlingen ændres; undladelse af at udføre en påkrævet DPIA er en overtrædelse i sig selv.

Risiko 6: Fortæller du folk for lidt om delingen?

Gennemsigtighed er en separat forpligtelse, som du kan bryde, selv hvor selve delingen er lovlig. Artikel 13 og 14 i GDPR kræver, at du angiver formålene, retsgrundlaget og modtagerne eller kategorierne af modtagere.

En sætning, der siger, at data "kan deles med betroede partnere", identificerer ingenting. Nævn kategorierne konkret, såsom hostingudbydere, lønadministratorer eller kreditvurderingsbureauer. For overførsler uden for EØS kræver artikel 13(1)(f) og 14(1)(f), at meddelelsen angiver dette og identificerer den påberåbte sikkerhedsforanstaltning.

Hvad ekstra gælder, når du ikke selv har indsamlet dataene?

I henhold til artikel 14 skal meddelelsen også angive datakategorierne og deres kilde. Du skal give den inden for en rimelig frist og senest inden for en måned, eller ved den første kommunikation med personen, hvis denne sker tidligere. Vores side om en privatlivspolitik i Holland indeholder det fulde indhold.

Hvad skal man gøre: Opdater meddelelsen, inden en ny modtager modtager data, ikke ved den næste årlige gennemgang. Artikel 12(1) kræver, at meddelelser skal være præcise, forståelige og affattet på et klart og enkelt sprog.

Risiko 7: Behandler I pseudonymiserede data som anonyme?

For den organisation, der har nøglen, forbliver pseudonymiserede data personoplysninger. Kun ægte anonymisering bringer data uden for GDPR.

Artikel 4(5) i GDPR definerer pseudonymisering som behandling af data, så de ikke længere kan forbindes med en person uden yderligere oplysninger, der opbevares separat. Betragtning 26 bekræfter, at sådanne data forbliver omfattet af GDPR for alle, der kan genidentificere dem. Erstatning af navne med kundenumre fjerner derfor ikke behovet for et retsgrundlag, en databehandleraftale eller en privatlivsmeddelelse fra din side.

Kan pseudonymiserede data være ikke-personlige for modtageren?

Muligvis. I sagen EDPS mod SRB (C-413/23 P, 4. september 2025) fastslog Domstolen, at pseudonymiserede data ikke behøver at være personoplysninger for en modtager, der ikke med rimelighed kan genidentificere de berørte personer. Domstolen fastslog også, at den videregivende dataansvarlige stadig skal informere disse personer om modtageren på indsamlingstidspunktet.

Hvad skal man gøre: vurder de midler, der med rimelighed kan forventes at blive brugt af modtageren, herunder andre datasæt, som den opbevarer; et postnummer, en fødselsdato og en transaktionshistorik muliggør ofte genidentifikation. Dokumenter, hvordan nøglen opbevares adskilt. Artikel 32 nævner pseudonymisering som en sikkerhedsforanstaltning, der tæller til din fordel, hvis der vurderes et brud.

Hvordan ser håndhævelsen ud i Holland?

I henhold til artikel 58 i GDPR kan AP advare, irettesætte, pålægge overholdelse af data, forbyde behandling og suspendere overførsler, og artikel 83 tillader bøder. For en virksomhed, der er afhængig af en bestemt datastrøm, er et forbud ofte mere skadeligt end bøden.

Artikel 83 har to niveauer, hver med et fast maksimum eller en procentdel af den globale årlige omsætning i det foregående regnskabsår, alt efter hvad der er højest:

• Lavere niveau: op til 10 millioner EUR eller 2 %, for eksempel for en manglende databehandleraftale eller DPIA (artikel 25-39).
• Højere niveau: op til 20 millioner EUR eller 4 % for brud på principperne, retsgrundlaget, den registreredes rettigheder og overførselsreglerne.

Artikel 82 i GDPR giver enhver, der lider materiel eller immateriel skade, ret til erstatning fra den dataansvarlige eller databehandleren. I Holland fremsætter fonde i stigende grad sådanne krav kollektivt i henhold til loven om afgørelse af masseskader i kollektive søgsmål ( Wet afwikkeling massaschade in collectieve actie , WAMCA, artikel 3:305a BW).

Hvis ulovlig deling fører til et databrud, kræver artikel 33, at AP underrettes uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer, medmindre bruddet sandsynligvis ikke vil resultere i en risiko. I henhold til artikel 34 skal du også informere de berørte personer, hvis risikoen for dem er høj. Dokumenter alle brud internt, inklusive dem, du ikke underretter.

Hvad skal du som organisation, der deler dataene, kontrollere?

Som dataansvarlig har du hovedansvaret og skal kunne bevise overholdelse af artikel 5(2) i GDPR. Tjek disse punkter, før data forlader din organisation:

• Retsgrundlaget i henhold til artikel 6 er identificeret, og afvejningstesten for legitime interesser er registreret.
• Modtagerens rolle er registreret i din fortegnelse over behandlingsaktiviteter i henhold til artikel 30.
• En databehandleraftale i henhold til artikel 28 eller en aftale i henhold til artikel 26 underskrives.
• Enhver overførsel uden for EØS afhænger af tilstrækkeligheden eller standardkontraktsklausuler (SCC'er) plus en TIA.
• En DPIA-screening er blevet udført og dokumenteret.
• Din privatlivsmeddelelse navngiver modtageren eller dennes kategori.

Hvad skal du som modtager af dataene kontrollere?

Som databehandler eller modtagende dataansvarlig har du dine egne forpligtelser og kan blive pålagt en bøde direkte i henhold til artikel 83 i GDPR. Tjek disse punkter, før du accepterer dataene:

• Om du udelukkende handler efter instruktioner (databehandler) eller også bruger dataene til dine egne formål (dataansvarlig).
• Om instruktionerne i databehandleraftalen stemmer overens med, hvad du rent faktisk gør med dataene.
• Om dine underdatabehandlere er skriftligt bemyndiget i henhold til artikel 28(2).
• Om dine sikkerhedsforanstaltninger opfylder artikel 32, og om du kan anmelde brud til den dataansvarlige uden unødig forsinkelse (artikel 33(2)).
• Om du fører din egen fortegnelse over behandling i henhold til artikel 30(2).

Hvad kan vi gøre for dig med GDPR-datadeling?

Vores IT-juridiske team håndterer databeskyttelsessiden af ​​leverandør-, gruppe- og partneraftaler. Konkret:

• Vi kortlægger dine datastrømme og afgør for hver modtager, om det er en databehandler, en fælles dataansvarlig eller en uafhængig dataansvarlig.
• Vi udarbejder eller gennemgår databehandleraftaler i henhold til artikel 28 og fælles dataansvarligeaftaler i henhold til artikel 26.
• Vi vurderer overførsler uden for EØS, kontrollerer DPF-certificeringer og udarbejder konsekvensanalysen for overførsler.
• Vi udfører eller gennemgår DPIA-screeningen og selve DPIA'en.
• Vi opdaterer din privatlivspolitik, så modtagere og overførsler er navngivet korrekt.
• Vi hjælper dig med en AP-undersøgelse eller med en anmeldelse af et brud inden for 72-timers fristen.

Resumé

• Enhver deling af personoplysninger kræver et retsgrundlag i henhold til artikel 6 i GDPR; en kommerciel årsag er ikke tilstrækkelig.
• Fastlæg for hver modtager, om det er en databehandler, en fælles dataansvarlig eller en uafhængig dataansvarlig, og dokumenter det.
• En databehandleraftale i henhold til artikel 28 er obligatorisk for databehandlere; uden en sådan misligholder du aftalen fra dag ét.
• Overførsler uden for EØS kræver tilstrækkelighed (såsom en DPF-certificering) eller sikkerhedsforanstaltninger samt en konsekvensanalyse af overførslen.
• Pseudonymiserede data forbliver personoplysninger for den person, der har nøglen, og din privatlivspolitik skal specifikt navngive modtagerne.

Ofte stillede spørgsmål