GDPR – Tredje Länder

Med tanke på internationell handel och samarbete är det idag väsentligt att kunna överföra data till tredjeländer. Prövningen av lagligheten av en sådan överföring sker i två steg.

För det första måste själva dataöverföringen vara laglig. All behandling av personuppgifter är förbjuden men kan vara föremål för möjlighet till godkännande. Utöver samtycke anger artikel 6 i den allmänna dataskyddsförordningen (GDPR) ytterligare godkännandeskäl, såsom att uppfylla ett avtal eller skydda vitala intressen. För särskilda personuppgifter som kräver högre skyddsnivåer, anger artikel 9 i GDPR separata rättsliga krav.

Om den planerade dataöverföringen uppfyller de allmänna kraven, måste man i ett andra steg kontrollera om överföring till det tredje landet är tillåten. Man måste skilja mellan säkra och osäkra tredjeländer. Säkra tredjeländer är de för vilka Europeiska kommissionen har bekräftat en lämplig nivå av dataskydd på grundval av ett adekvansbeslut. I dessa länder tillhandahåller nationella lagar en skyddsnivå för personuppgifter som är jämförbar med EU-lagstiftningen. De tredjeländer som säkerställer en adekvat skyddsnivå är: Andorra, Argentina, Kanada (endast kommersiella organisationer), Färöarna, Guernsey, Israel, Isle of Man, Jersey, Nya Zeeland, Schweiz, Uruguay, Japan, Förenade kungariket och Sydkorea. Dataöverföring till dessa länder är uttryckligen tillåten.

Sedan den 10 juli 2023 finns ett adekvatbeslut för den så kallade EU-US Data Privacy Framework. Detta möjliggör överföring av personuppgifter från EU till amerikanska företag och organisationer som har anslutit sig till Data Privacy Framework genom certifiering. De företag och organisationer som redan har certifierats finns i denna lista. Dataöverföringar till icke-certifierade amerikanska företag och organisationer kan inte längre baseras på kommissionens genomförandebeslut (EU) 2016/1250 av den 12 juli 2016 enligt direktiv 95/46/EG från Europaparlamentet och rådet om adekvat skyddsnivå för EU-US dataskyddssköld (Privacy Shield). Eftersom EG-domstolen i domen ”Schrems II” av den 16 juli 2020 ( i ärende C-311/18), förklarade att detta genomförandebeslut var ogiltigt med omedelbar verkan. Dataöverföringar till icke-certifierade amerikanska företag och organisationer kräver andra garantier enligt art. 44 ff. GDPR, för att skapa en adekvat skyddsnivå för personuppgifter.

Om det inte finns något adekvansbeslut för ett land, utesluter detta inte nödvändigtvis någon dataöverföring till detta land. Istället måste personuppgiftsansvarig på annat sätt säkerställa att mottagaren skyddar personuppgifterna tillräckligt. Detta kan säkerställas med hjälp av standardavtalsklausuler, för dataöverföringar inom en koncern genom så kallade ”bindande företagsregler,” genom åtagande att följa uppförandekoder som Europeiska kommissionen har förklarat som allmänt tillämpbara, eller genom certifiering av databehandlingsförfarandet.

Vidare finns det flera undantag, som legitimerar överföring av data till ett tredjeland, även om skyddet av personuppgifter inte kan säkerställas tillräckligt. Vanligast är att den registrerades samtycke är relevant här. Samtidigt måste man särskilt beakta kraven för att ett sådant samtycke ska ges frivilligt. Ytterligare undantag, såsom överföring för att uppfylla avtal, viktiga skäl av allmänt intresse och hävdande av juridiska rättigheter, är vanligtvis mindre relevanta i praktiken.