Hur överför du personuppgifter till USA och andra länder utanför EU/EES 2025?

Detta inlägg ger dig en förståelse för vad tredjelandsöverföring innebär och hur du säkerställer att dina data hanteras på ett säkert och lagligt sätt. Vi går igenom allt från grundläggande begrepp till överföring i praktiken. 

I dagens globaliserade och digitaliserade värld är dataflöden en oundviklig del i nästan alla verksamheter. När personuppgifter ska flyttas från Europeiska unionen (EU) eller Europeiska ekonomiska samarbetsområdet (EES) till ett så kallat tredjeland, måste strikta regler följas. En felaktig hantering kan leda till allvarliga konsekvenser, inklusive böter och förlorat kundförtroende.

Vad är tredjelandsöverföring? 

Med ett tredjeland menas länder som inte ingår i Europeiska ekonomiska samarbetsområdet (EES), exempelvis USA, Indien, Australien, Ryssland, Mexiko och Kina. Det är okej att föra över personuppgifter till länder utanför EU/EES som EU-kommissionen har godkänt och det finns ett beslut om adekvat skyddsnivå för, ett så kallat adekvansbeslut. Ett exempel på land där EU vid flertal tillfällen har fattat beslutet om adekvat skyddsnivå är USA. EU har tillsammans med USA gjort en överenskommelse om hur personuppgifter ska överföras, behandlas, lagras och skyddas i USA. Det nuvarande avtalet kallas EU-U.S Data Privacy Framework (DPF). För att EU-kommenssionen ska kunna belsuta om ett land har en tillräcklig adekvat skyddsnivå gällande personuppgifter, måste det säkerställas att personuppgifterna får samma skydd i tredjelandet som under GDPR.

Det är viktigt att notera att en överföring inte enbart handlar om att fysiskt flytta data. Det kan även vara att göra personuppgifter tillgängliga för någon i ett tredjeland, även om själva datan lagras på en server inom EU. I grunden handlar det om att GDPR:s höga skyddsnivå måste upprätthållas, oavsett var informationen behandlas eller av vem.

Vad är adekvat skyddsnivå?

Adekvat skyddsnivå är ett begrepp inom GDPR som avgör om personuppgifter från EU kan överföras till ett land utanför EU. Om EU-kommissionen anser att ett land har en adekvat skyddsnivå innebär det att landets lagstiftning ger ett skydd som är likvärdigt med det som finns inom EU/EES. Detta beslut är mycket viktigt för internationell handel och dataöverföringar. Om ett land anses upprätthålla en adekvat skyddsnivå kan företag och organisationer inom EU skicka personuppgifter dit utan att behöva vidta ytterligare åtgärder, som exempelvis att upprätta standardavtalsklausuler (SCC:er) eller binding corporate rules (BCR:er). Överföringen anses vara laglig baserat på adekvansbeslutet.

Exempel på överföring till tredjeland: 

Det är inte alltid lätt att veta vad som räknas som en tredjelandsöverföring. Att exempelvis publicera något på internet är inte en tredjelandsöverföring när hemsidan lagras hos en leverantör som är etablerad inom EU/EES. En tredjelandsöverföring sker varje gång personuppgifter lämnar EU/EES och överförs till ett land utanför detta område. Detta inkluderar:

• Lagring i molntjänster: Om en molntjänstleverantör har sina servrar i ett land utanför EU/EES, och personuppgifterna lagras där, räknas det som en tredjelandsöverföring. Det gäller även om molntjänstleverantören är baserad inom EU men lagrar data utanför.
• E-post till mottagare utanför EU/EES: Att skicka ett e-postmeddelande som innehåller personuppgifter till någon i ett tredjeland är en överföring, eftersom uppgifterna då lagras på en server utanför EU/EES.
• Personuppgiftsbiträde utanför EU/EES: Om du anlitar ett personuppgiftsbiträde (en leverantör som behandlar personuppgifter för din räkning) som är baserad i ett tredjeland, räknas det som en överföring.
• Tillgängliggörande av data: Om du gör personuppgifter tillgängliga för personer som befinner sig i ett land utanför EU/EES, till exempel genom att ge dem åtkomst till en databas, räknas det också som en överföring.

Vad betraktas som tredjelandsöverföring:

En tredjelandsöverföring sker när personuppgifter skickas från en personuppgiftsansvarig eller ett personuppgiftsbiträde inom EU/EES till en mottagare i ett tredjeland (utanför EU/EES) eller till en internationell organisation. En personuppgiftsansvarig eller ett personuppgiftsbiträde som följer dataskyddsförordningen ska vara den som behandlar datan. Denna person tillhandahåller data till en personuppgiftsansvarig i ett tredjeland eller en internationell organisation. När det sker en överföring till tredjeland innebär det också att handlingen måste ha stöd från dataskyddsförordningens kapitel V för att vara tillåten. 

Hur bör du överföra personuppgifter till USA och andra länder utanför EU/EES-området?

Överföring av personuppgifter till länder utanför EU och EES, regleras strikt av GDPR. I veckan kom ett besked från EU-domstolen gällande dataöverföring till USA. Beslutet bekräftar att det så kallade adekvansbeslutet (DPF), som gör det möjligt för företag att överföra personuppgifter till USA, ska fortsätta att gälla. Det bekräftar att USA fortsatt lever  upp till kraven för skydd av personuppgifter i enlighet med  EU-kommissionens beslut. Detta innebär att det fortfarande är lagligt att överföra personuppgifter till USA med stöd av adekvansbeslutet, så länge mottagaren är ansluten till Data Privacy Framework-avtalet.

PCLOB (Privacy and Civil Liberties Oversight Board) övervakar exempelvis underrättelsetjänsten och säkerställer att individers rättigheter inte kränks när personuppgifter samlas in. PCLOB är en viktig del i EU-kommissionens beslut om adekvat skyddsnivå i USA.

För att överföra personuppgifter säkert och lagligt, tänk på följande:

• Beslut om adekvat skyddsnivå
  Detta är det enklaste sättet att överföra personuppgifter. Om EU-kommissionen har fattat ett beslut om att ett land har en adekvat skyddsnivå, anses det landets lagstiftning ge ett skydd som är likvärdigt med GDPR. Du kan överföra personuppgifter till mottagare i dessa länder utan att behöva vidta ytterligare åtgärder eller skriva speciella avtal.
  
  
• Lämpliga skyddsåtgärder 
  Om det inte finns ett beslut om adekvat skyddsnivå för landet, måste du använda dig av lämpliga skyddsåtgärder. Det är den vanligaste metoden för internationella dataöverföringar.
  Du måste säkerställa att mottagaren av uppgifterna har vidtagit åtgärder för att skydda dem. De mest använda metoderna är:
  
  Standardavtalsklausuler (SCC): Dessa är standardiserade avtalsmallar som godkänns av EU-kommissionen. Både avsändaren och mottagaren av personuppgifterna måste skriva under dem och följa dess villkor.
  Bindande företagsinterna regler (BCR): Stora internationella koncerner kan använda dessa interna regler för att överföra data mellan sina olika dotterbolag, förutsatt att de har godkänts av en tillsynsmyndighet (som till exempel Integritetsskyddsmyndigheten, IMY, i Sverige).
  
  
• Undantag för specifika situationer 
  Undantag kan användas i sällsynta fall när ingen av de ovan nämnda metoderna är tillämpliga. De får endast användas under strikt angivna omständigheter och är inte en generell lösning för regelbundna överföringar. Undantag kan gälla om den registrerade uttryckligen har samtyckt till överföringen, om det är nödvändigt för att uppfylla ett avtal med den registrerade, eller om överföringen är nödvändig av viktiga allmänna intressen. IMY (Integritetsskyddmyndigheten) avråder från att använda dessa undantag för systematiska eller regelbundna överföringar. Du måste alltid ha en giltig juridisk grund för att överföra personuppgifter utanför EU/EES-området. Vilken grund som är lämplig beror på mottagarlandets status och överföringens syfte.  
  
  När ni har koll på vilka personuppgifter som behandlas i verksamheten är nästa steg att analysera riskerna. Med vår lösning hanterar du hela processen – från behovsbedömning till dokumenterad riskanalys – i ett och samma verktyg.
  
  Allt samlat: Registerförteckning och DPIA i ett – inga separata system eller dubbelarbete. Med en och samma plattform får du kontroll – strukturerat, dokumenterat och klart för eventuell granskning. Boka en demo och se hur Privacy as a Service kan hjälpa er att arbeta effektivt, långsiktigt och lagligt.
  

Vikten av att arbeta proaktivt med dataskydd och hantering av tredjelandsöverföringar

Att hantera tredjelandsöverföringar på ett korrekt sätt kräver en proaktivt systematiskt arbete:

1. Kartlägg dina dataflöden: Ha fullständig koll på var dina personuppgifter finns och vart de skickas. Vilka av dina leverantörer och samarbetspartners är baserade utanför EU/EES?
2. Genomför överföringsbedömningar: Se till att du har genomfört en noggrann bedömning av riskerna i mottagarlandet och dokumenterat dina slutsatser och eventuella ytterligare åtgärder.
3. Välj leverantörer med omsorg: Föredra leverantörer som kan erbjuda servrar och lagring inom EU/EES, om det är möjligt. Om du måste använda en tredjelandsleverantör, kontrollera deras certifieringar och avtal.
4. Håll dig uppdaterad: Lagar och regler kring internationella dataöverföringar är i ständig förändring. Följ utvecklingen och rekommendationerna från IMY och EU-kommissionen.
5. Dokumentera allt: Allt ditt arbete med tredjelandsöverföringar måste dokumenteras noggrant. Detta inkluderar laglig grund, överföringsbedömningar och avtal.

Behöver du hjälp med att få struktur på ditt dataskyddsarbete och se till att alla dina dataflöden är säkra och lagliga? Vi erbjuder specialiserade tjänster för att hjälpa företag att navigera i GDPR:s komplexitet. Med en tydlig projektplan och kontinuerlig uppföljning kan ni tillämpa dataskyddsförordningen på ett lämpligt sätt och får struktur på ert dataskyddsarbetet.

Säkra ert dataskydd - med verktyg, metodik och experthjälp

Med Privacy as a Service får ni ett helhetsgrepp om dataskyddsarbetet – inte bara på avtalsnivå, men i praktiken.

Tjänsten kombinerar:

• Användarvänliga verktyg.
  
  
• En beprövad metodik (Systematiskt dataskyddsarbete – SDA).
  
  
• Löpande stöd från jurister och certifierade dataskyddsombud.

Ni får hjälp att:

• Kartlägga alla biträden och behandlingar.
  
  
• Identifiera riskområden och brister i uppföljning.
  
  
• Konkreta åtgärdsförslag anpassade till just er organisation.
  
  
• Rutiner för dokumentation och löpande kontroll.
  
  Boka en demo här!