I dagens globaliserte og digitaliserte verden er dataflyt en uunngåelig del av nesten all virksomhet. Men når personopplysninger skal flyttes fra Den europeiske union (EU) eller Det europeiske økonomiske samarbeidsområdet (EØS) til et såkalt tredjeland, må strenge regler følges. Feil håndtering kan føre til alvorlige konsekvenser, inkludert høye bøter og tapt kundetillit.
Dette innlegget gir deg en fordypning i hva en tredjelandsoverføring innebærer, hvilke lover som regulerer den og hvordan du sikrer at dataene dine behandles på en trygg og lovlig måte. Vi går gjennom alt fra grunnleggende begreper til hvordan overføring skjer i praksis.
Med et tredjeland menes land som ikke inngår i Det europeiske økonomiske samarbeidsområdet (EØS) – for eksempel USA, India, Australia, Russland, Mexico og Kina. Det er tillatt å overføre personopplysninger til land utenfor EU/EØS som EU-kommisjonen har godkjent og der det finnes et vedtak om tilstrekkelig beskyttelsesnivå, et såkalt adekvansbeslutning.
Et eksempel på et land hvor EU ved flere anledninger har truffet vedtak om tilstrekkelig beskyttelsesnivå, er USA. EU har sammen med USA inngått en avtale om hvordan personopplysninger skal overføres, behandles, lagres og beskyttes i USA. Den nåværende avtalen kalles EU-U.S Data Privacy Framework (DPF).
For at EU-kommisjonen skal kunne avgjøre om et land har et tilstrekkelig adekvat beskyttelsesnivå for personopplysninger, må det sikres at personopplysningene får samme beskyttelse i tredjelandet som under GDPR.
Det er viktig å merke seg at en overføring ikke bare handler om å fysisk flytte data. Det kan også være å gjøre personopplysninger tilgjengelige for noen i et tredjeland, selv om selve dataen lagres på en server innenfor EU. I bunn og grunn handler det om at GDPRs høye beskyttelsesnivå må opprettholdes, uavhengig av hvor informasjonen behandles eller av hvem.
Adekvat beskyttelsesnivå er et begrep i GDPR som avgjør om personopplysninger fra EU kan overføres til et land utenfor EU. Dersom EU-kommisjonen mener at et land har et adekvat beskyttelsesnivå, betyr det at landets lovgivning gir en beskyttelse som er likeverdig med den som finnes i EU/EØS.
Dette vedtaket er svært viktig for internasjonal handel og dataoverføringer. Dersom et land anses å opprettholde et adekvat beskyttelsesnivå, kan selskaper og organisasjoner i EU sende personopplysninger dit uten å måtte iverksette ytterligere tiltak, som for eksempel å etablere standardavtaleklausuler (SCC-er) eller bindende konsernregler (BCR-er). Overføringen anses som lovlig basert på adekvansbeslutningen.
Det er ikke alltid lett å vite hva som regnes som en tredjelandsoverføring. For eksempel er det ikke en tredjelandsoverføring å publisere noe på internett når nettsiden lagres hos en leverandør etablert innen EU/EØS.
En tredjelandsoverføring skjer hver gang personopplysninger forlater EU/EØS og overføres til et land utenfor dette området. Dette inkluderer:
En tredjelandsoverføring skjer når personopplysninger sendes fra en behandlingsansvarlig eller en databehandler i EU/EØS til en mottaker i et tredjeland (utenfor EU/EØS) eller til en internasjonal organisasjon.
En behandlingsansvarlig eller databehandler som følger personvernforordningen skal være den som behandler dataen. Denne parten gir data til en behandlingsansvarlig i et tredjeland eller en internasjonal organisasjon. Når det skjer en overføring til tredjeland, innebærer det også at handlingen må ha hjemmel i personvernforordningens kapittel V for å være lovlig.
Overføring av personopplysninger til land utenfor EU og EØS reguleres strengt av GDPR.
Nylig kom en avgjørelse fra EU-domstolen om dataoverføring til USA. Vedtaket bekrefter at det såkalte adekvansbeslutningen (DPF), som gjør det mulig for selskaper å overføre personopplysninger til USA, fortsatt skal gjelde. Det bekrefter at USA fremdeles oppfyller kravene til beskyttelse av personopplysninger i samsvar med EU-kommisjonens beslutning.
Dette innebærer at det fremdeles er lovlig å overføre personopplysninger til USA med støtte i adekvansbeslutningen, så lenge mottakeren er tilknyttet Data Privacy Framework-avtalen.
PCLOB (Privacy and Civil Liberties Oversight Board) overvåker for eksempel etterretningstjenesten og sørger for at individers rettigheter ikke krenkes når personopplysninger samles inn. PCLOB er en viktig del av EU-kommisjonens beslutning om adekvat beskyttelsesnivå i USA.
Her er en oversikt over hvordan du kan overføre personopplysninger på en trygg og lovlig måte:
Når dere allerede har oversikt over hvilke personopplysninger som behandles i virksomheten, er neste steg å analysere risikoene. Med vår løsning håndterer du hele prosessen – fra behovsvurdering til dokumentert risikovurdering – i ett og samme verktøy:
Med én og samme plattform får du kontroll over både oversikt og risiko – strukturert, dokumentert og klart for eventuell revisjon.
Å håndtere tredjelandsoverføringer på riktig måte krever et proaktivt og systematisk arbeid:
Vi tilbyr spesialiserte tjenester for å hjelpe virksomheter med å navigere i GDPRs kompleksitet. Med en tydelig prosjektplan og kontinuerlig oppfølging kan dere implementere personvernforordningen på en god måte og få struktur på personvernarbeidet deres.
Book en demo i dag og se hvordan Privacy as a Service kan hjelpe dere å jobbe effektivt, langsiktig og lovlig.