En international overførsel er at stille personoplysninger til rådighed for en modtager uden for Det Europæiske Økonomiske Samarbejdsområde. Det er tilladt, men kun hvor beskyttelsesniveauet i henhold til GDPR ikke undergraves i praksis.
Lovgrundlag
Kapitel V i GDPR regulerer overførsler. Artikel 45 tillader overførsler til lande, der er omfattet af en tilstrækkelighedsafgørelse fra Europa-Kommissionen; for USA har EU-US Data Privacy Framework været gældende siden 10. juli 2023 og kun for certificerede organisationer. Artikel 46 opregner passende sikkerhedsforanstaltninger, hvoraf standardkontraktbestemmelserne fra 2021 er de mest anvendte, sammen med bindende virksomhedsregler. Artikel 49 indeholder undtagelser for lejlighedsvise tilfælde. Efter Schrems II-dommen af 16. juli 2020 er et instrument alene ikke tilstrækkeligt: en vurdering af lovgivningen i modtagerlandet er påkrævet, en konsekvensanalyse af overførslen, med supplerende foranstaltninger, hvor det er nødvendigt, såsom kryptering med den nøgle, der opbevares i Europa.
Sådan fungerer det i praksis
Det første skridt er at fastslå, hvor dataene rent faktisk befinder sig, og hvem der har adgang, herunder support uden for Europa. Det sidste punkt overses ofte: fjernadgang fra et supportteam er også en overførsel. Valget af instrument og vurderingen følger derefter og skal registreres skriftligt. Kontrakter bør forpligte leverandøren til at underrette ændringer af placering eller af underdatabehandlere.
Hvor det går galt
Organisationer stoler på deres leverandørs certificering uden at kontrollere, at den rent faktisk dækker den pågældende tjenesteydelse. En anden fejl er at underskrive standardkontraktbestemmelser uden at udfylde bilagene, således at beskrivelsen af behandlingen mangler. For det tredje er vurderingen ikke dokumenteret, selvom ansvarlighedsprincippet netop kræver det.
Relaterede termer
Overførsler knytter sig til databehandleraftalen , konsekvensanalysen vedrørende databeskyttelse og SaaS-aftalen.
Ved du, hvor dine data befinder sig? Vores IT-retsspecialister kortlægger overførslerne og sikkerhedsforanstaltningerne.
