GDPR – Tredjelande

Med henblik på international handel og samarbejde er det i dag afgørende at kunne overføre data til tredjelande. Undersøgelsen af lovligheden af en sådan overførsel sker i to faser.

For det første skal selve dataoverførslen være lovlig. Enhver behandling af personoplysninger er forbudt, men med forbehold for muligheden for godkendelse. Udover samtykke opstiller Art. 6 i den generelle forordning om databeskyttelse (GDPR) yderligere godkendelsesgrunde, såsom opfyldelse af en kontrakt eller beskyttelse af vitale interesser. For særlige personoplysninger, som kræver et højere beskyttelsesniveau, fastsætter Art. 9 i GDPR særskilte juridiske krav.

Hvis den påtænkte dataoverførsel opfylder de generelle krav, skal man i et andet trin kontrollere, om overførsel til tredjelandet er tilladt. Man skal skelne mellem sikre og usikre tredjelande. Sikre tredjelande er de, for hvilke Europa-Kommissionen har bekræftet et passende niveau af databeskyttelse på grundlag af en tilstrækkelighedsafgørelse. I disse lande giver nationale love et beskyttelsesniveau for personoplysninger, der kan sammenlignes med EU-retten. De tredjelande, der sikrer et tilstrækkeligt beskyttelsesniveau, er: Andorra, Argentina, Canada (kun kommercielle organisationer), Færøerne, Guernsey, Israel, Isle of Man, Jersey, New Zealand, Schweiz, Uruguay, Japan, Det Forenede Kongerige og Sydkorea. Dataoverførsel til disse lande er udtrykkeligt tilladt.

Siden den 10. juli 2023 har der været en tilstrækkelighedsbeslutning for det såkaldte EU-US Data Privacy Framework. Dette tillader overførsel af personoplysninger fra EU til amerikanske virksomheder og organisationer, der har tilsluttet sig Data Privacy Framework ved hjælp af certificering. De virksomheder og organisationer, der allerede er certificerede, kan findes på denne liste. Dataoverførsler til ikke-certificerede amerikanske virksomheder og organisationer kan ikke længere baseres på Kommissionens gennemførelsesafgørelse (EU) 2016/1250 af 12. juli 2016 i overensstemmelse med direktiv 95/46/EF fra Europa-Parlamentet og Rådet om tilstrækkeligheden af EU-US databeskyttelsesskjoldet (Privacy Shield). For med dommen “Schrems II” af 16. juli 2020 (i sag C-311/18) erklærede EU-Domstolen denne gennemførelsesafgørelse ugyldig med øjeblikkelig virkning. Dataoverførsler til ikke-certificerede amerikanske virksomheder og organisationer kræver andre garantier, i henhold til art. 44 ff

Hvis der ikke er truffet en tilstrækkelighedsafgørelse for et land, udelukker dette ikke nødvendigvis enhver dataoverførsel til dette land. Snarere skal den dataansvarlige på anden måde sikre, at de personlige data bliver tilstrækkeligt beskyttet af modtageren. Dette kan sikres ved brug af standardkontraktbestemmelser, til dataoverførsler inden for en koncern gennem såkaldte “bindende virksomhedsregler,” gennem forpligtelse til at overholde adfærdskodekser, som er blevet erklæret generelt anvendelige af Europa-Kommissionen, eller ved certificering af databehandlingsproceduren.

Derudover er der flere undtagelser, som legitimerer overførsel af data til et tredjeland, selvom beskyttelsen af personoplysninger ikke kan sikres tilstrækkeligt. Oftest er samtykket fra den registrerede relevant her. Samtidig skal man særligt bemærke kravene til, at et sådant samtykke gives frit. Yderligere undtagelser, såsom overførsel for at opfylde kontrakter, vigtige grunde af offentlig interesse og håndhævelse af juridiske rettigheder er normalt mindre relevante i praksis.