Tredjelandsöverföring enligt GDPR (2026)

Tredjelandsöverföring enligt GDPR är en av de frågor som skapar mest osäkerhet hos svenska verksamheter. Det handlar om situationer där personuppgifter skickas till, eller görs tillgängliga i, ett land utanför EU/EES. Varje gång ni använder en tjänsteleverantör med servrar utanför EU, ger fjärrsupport till en kollega i ett tredjeland eller delar filer med en samarbetspartner utanför EES uppstår en potentiell tredjelandsöverföring.

Sedan EU-domstolens Schrems II-dom har kraven skärpts. Integritetsskyddsmyndigheten (IMY) granskar aktivt hur verksamheter hanterar dessa överföringar, och IMY arbetar med en ny vägledning om användning av externa tjänster i offentlig sektor.

I den här artikeln går vi igenom vad tredjelandsöverföring innebär, vilka skyddsåtgärder som krävs och hur ni bygger en hållbar process för att göra rätt.

Key Takeaways: Tredjelandsöverföring enligt GDPR

• Tredjelandsöverföring uppstår när personuppgifter skickas till eller görs tillgängliga i länder utanför EU/EES.
• Standardavtalsklausuler (SCC) är den vanligaste skyddsåtgärden, men kräver alltid en kompletterande överföringsanalys (TIA).
• Draftit ger er struktur och verktyg för att dokumentera, utvärdera och följa upp tredjelandsöverföringar systematiskt.
• Kryptering, pseudonymisering och kontroll över nycklar är tekniska åtgärder som kan stärka skyddet vid överföring.
• Löpande uppföljning av leverantörer och rättsläget i mottagarlandet är avgörande för att överföringen ska förbli tillåten.

Vad är tredjelandsöverföring enligt GDPR?

En tredjelandsöverföring sker när personuppgifter skickas eller görs tillgängliga för en mottagare utanför EU/EES-området. Det behöver inte vara en medveten handling. Redan det faktum att en leverantör ger support från ett kontor utanför EU kan räknas som en överföring.

Europeiska dataskyddsstyrelsen (EDPB) har i sina riktlinjer 05/2021 angett tre kriterier för att något ska klassas som en tredjelandsöverföring. Det ska finnas en personuppgiftsansvarig eller ett biträde vars behandling omfattas av GDPR. Denna aktör ska göra uppgifterna tillgängliga för en mottagare i ett tredjeland. Mottagaren ska vara en separat organisation eller del av samma koncern i det landet.

Vanliga situationer där tredjelandsöverföring uppstår är lagring i externa tjänster utanför EU, fjärråtkomst från tredjeland och delning av dokument med internationella partners.

Vilka regler styr tredjelandsöverföring?

Kapitel V i GDPR (artiklarna 44–49) reglerar när och hur personuppgifter får föras ut ur EU/EES. Utgångspunkten är att skyddsnivån inte får undermineras bara för att uppgifterna lämnar unionen. Det finns tre huvudvägar för att genomföra en laglig överföring.

Den första vägen är ett adekvansbeslut från EU-kommissionen. Länder som bedömts ha tillräckligt skydd inkluderar bland annat Schweiz, Japan, Sydkorea och, under EU-US Data Privacy Framework, organisationer i USA som anslutit sig till ramverket.

Den andra vägen är lämpliga skyddsåtgärder som standardavtalsklausuler (SCC), bindande företagsbestämmelser (BCR) eller godkända uppförandekoder. Den tredje vägen är undantag för specifika situationer enligt artikel 49 GDPR, som uttryckligt samtycke eller nödvändighet för att fullgöra avtal.

Varför räcker inte standardavtalsklausuler ensamt?

Många verksamheter utgår från att SCC löser frågan om tredjelandsöverföring automatiskt. EU-domstolens Schrems II-dom visade att så inte är fallet. Domstolen slog fast att den personuppgiftsansvarige måste bedöma om lagstiftningen i mottagarlandet i praktiken kan upprätthålla det skydd som klausulerna utlovar.

Det innebär att ni behöver genomföra en Transfer Impact Assessment (TIA) innan SCC kan användas. En TIA kartlägger rättsläget i mottagarlandet, bedömer om myndigheterna där har tillgång till uppgifterna och avgör om ytterligare tekniska eller organisatoriska åtgärder krävs.

Om analysen visar att lagstiftningen i mottagarlandet underminerar skyddet, och inga kompletterande åtgärder kan kompensera, måste överföringen avbrytas. EDPB:s rekommendationer 01/2020 ger vägledning om vilka kompletterande åtgärder som kan vara relevanta.

Hur genomför ni en Transfer Impact Assessment?

En TIA bedömer om era överföringar till tredjeland, tillsammans med SCC och kompletterande åtgärder, ger ett skydd som i praktiken motsvarar EU-nivån. Processen kan brytas ned i fem steg.

1. Kartlägg dataflödena. Identifiera vilka personuppgifter som faktiskt lämnar EU/EES. Fjärrsupport, logganalys och telemetridata är vanliga överföringar som förbises.
2. Bedöm rättsläget i mottagarlandet. Undersök om myndigheterna där har befogenheter att begära ut uppgifterna och om det finns ett oberoende rättsmedel för de registrerade.
3. Utvärdera om SCC-skyddet håller. Om mottagarlandets lagstiftning gör det omöjligt för mottagaren att efterleva avtalsåtagandena räcker inte SCC ensamt.
4. Identifiera kompletterande åtgärder. Välj tekniska åtgärder som kryptering med egen nyckelkontroll och pseudonymisering.
5. Dokumentera och följ upp. Samla allt i en bevislåda som ni kan visa vid tillsyn. Omvärdera minst årligen.

Vilka tekniska skyddsåtgärder stärker tredjelandsöverföringen?

Tekniska åtgärder är ofta avgörande för att en överföring ska kunna genomföras lagligt. IMY har i sin vägledning lyft fram kryptering som ett centralt verktyg, men betonar att det är kontrollen över nycklarna som avgör om skyddet verkligen fungerar.

End-to-end-kryptering innebär att uppgifterna är skyddade hela vägen från avsändare till mottagare. Om ni lagrar personuppgifter hos en leverantör i tredjeland bör krypteringsnyckeln enbart vara tillgänglig för er, inte för leverantören. Detta kallas ibland BYOK (Bring Your Own Key).

Pseudonymisering är en annan åtgärd som kan minska risken vid informationssäkerhetsarbetet. Genom att separera identifierande uppgifter från övrig data, och förvara kopplingen inom EU, blir de uppgifter som eventuellt lämnar unionen svårare att koppla till en enskild person.

Hur påverkar rättsläget i USA tredjelandsöverföring?

USA är det vanligaste mottagarlandet för svenska verksamheter. Sedan EU-kommissionen antog EU-US Data Privacy Framework i juli 2023 kan personuppgifter föras över till amerikanska organisationer som deltar i ramverket utan ytterligare skyddsåtgärder som SCC.

Ramverket innebär dock inte att alla överföringar till USA automatiskt är tillåtna. Det gäller enbart organisationer som aktivt har certifierat sig under ramverket. Kontrollera alltid att er mottagare finns med i Data Privacy Framework-listan innan ni förlitar er på adekvansbeslutet.

Det geopolitiska läget förändras. IMY flaggar för att det rättsliga landskapet i USA kan skifta, och att verksamheter bör bevaka utvecklingen löpande. En omprövning av adekvansbeslutet kan påverka alla överföringar till USA.

Hur kan ni strukturera tredjelandsöverföringsarbetet i praktiken?

Det svåra med tredjelandsöverföring är sällan att förstå reglerna i teorin. Utmaningen ligger i att bygga rutiner som håller över tid, i en organisation där leverantörer, system och dataflöden ständigt förändras.

Börja med att skapa en central förteckning över alla tredjelandsöverföringar i verksamheten. Koppla den till er registerförteckning så att varje behandling som involverar tredjeland syns direkt.

Integrera leverantörsutvärderingen i processen. Varje gång ni tecknar eller förnyar avtal med ett personuppgiftsbiträde utanför EU behöver TIA:n uppdateras. Automatiska påminnelser inför avtalsförnyelser gör att frågan inte faller mellan stolarna.

Draftit samlar registerförteckning, konsekvensbedömningar och leverantörsuppföljning i en gemensam plattform. Det ger er spårbarhet och överblick, så att dokumentationen finns tillgänglig den dag tillsynen kommer.

Vilken roll spelar leverantörskedjan för tredjelandsöverföring?

Er verksamhet är inte starkare än den svagaste länken i leverantörskedjan. Ett personuppgiftsbiträde som anlitar underleverantörer i tredjeland innebär att era personuppgifter kan hamna utanför EU även om ni själva bara har avtal med en leverantör inom EES.

GDPR kräver att ni har kontroll över hela kedjan. Det innebär att biträdesavtalet ska reglera användningen av underbiträden, att ni har rätt att invända mot nya underbiträden och att varje led i kedjan har tillräckliga skyddsåtgärder. Cybersäkerhetslagen (2025:1506) förstärker detta krav ytterligare för verksamheter i de 18 sektorer som omfattas av NIS2.

Regelbunden uppföljning av era leverantörer, inte bara vid avtalstecknande utan löpande, är den enda metoden som på riktigt säkerställer att kedjan håller. Visma Draftit stödjer denna process genom leverantörsutvärdering med automatiska påminnelser och spårbar dokumentation.

Slutsats: Bygg ett hållbart arbetssätt för tredjelandsöverföring

Tredjelandsöverföring enligt GDPR kräver mer än ett signerat avtal. Det kräver kartläggning, analys, tekniska åtgärder och löpande uppföljning. Det positiva är att det går att bygga ett strukturerat arbetssätt som gör processen hanterbar.

Börja med att kartlägga era faktiska dataflöden. Genomför en TIA för varje överföring som inte baseras på ett adekvansbeslut. Dokumentera allt, från rättslig analys till tekniska åtgärder, på ett sätt som håller vid tillsyn. Med rätt struktur blir tredjelandsöverföring en kontrollerad process i stället för en källa till osäkerhet.

Vanliga frågor om tredjelandsöverföring enligt GDPR

Vad räknas som tredjelandsöverföring?

Tredjelandsöverföring sker när personuppgifter skickas till eller görs tillgängliga för en mottagare utanför EU/EES. Vanliga exempel är lagring hos tjänsteleverantörer utanför EU, fjärrsupport från tredjeland och delning av filer med internationella partners.

Måste vi alltid ha standardavtalsklausuler vid överföring till tredjeland?

Inte alltid. Om mottagarlandet har ett adekvansbeslut från EU-kommissionen behövs inga ytterligare skyddsåtgärder. Saknas ett sådant beslut är SCC den vanligaste metoden, men ni måste komplettera med en Transfer Impact Assessment.

Hur hjälper Draftit vid tredjelandsöverföring?

Draftit ger er en plattform där registerförteckning, konsekvensbedömning och leverantörsuppföljning hänger ihop. Ni kan dokumentera varje tredjelandsöverföring, koppla den till rätt behandling och få påminnelser när avtal behöver förnyas.

Räcker det att kontrollera sin direkta leverantör?

Nej. GDPR kräver att ni har kontroll över hela kedjan av underbiträden. Ett personuppgiftsbiträde som anlitar underleverantörer i tredjeland innebär att era uppgifter kan hamna utanför EU utan att ni vet om det. Biträdesavtalet bör reglera detta.

Vad händer om adekvansbeslutet för USA dras tillbaka?

Om EU-kommissionen upphäver adekvansbeslutet för EU-US Data Privacy Framework behöver alla överföringar till USA baseras på alternativa skyddsåtgärder som SCC kombinerat med en TIA. Det är därför viktigt att bevaka rättsutvecklingen löpande.