Må man bruge leverandører uden for EU til håndtering af persondata? 

Svaret er 'ja': Vi må gerne bruge leverandører uden for EU.

Det grundlæggende problem ved anvendelse af databehandlere i et usikkert tredjeland er, at tredjelandets lovgivning muligvis ikke har det samme beskyttelsesniveau af de registreredes personoplysninger som det, vi har i EU. 

Derfor er det et krav, at virksomheden sikrer et tilstrækkeligt beskyttelsesniveau overfor de registrerede ved brug af en leverandør i et usikkert tredjeland.

Så hvad skal der til?

For at anvende databehandlere i usikre tredjelande er der forskellige ting, som skal være på plads, før det er lovligt at bruge databehandlere. I det følgende tager jeg dig igennem tre step, der skal afklares:

STEP 1: Valg af overførselsgrundlag 

Inden virksomheden må overføre personoplysninger til en leverandør i et usikkert tredjeland, skal I sikre et lovligt overførselsgrundlag. 

Der findes forskellige overførselsgrundlag som for eksempel bindende virksomhedsregler, standardkontraktsbestemmelser med videre.

I denne artikel har vi fokus på EU-Kommissionens standardkontraktsbestemmelserne, der er bedre kendt under betegnelsen SCC, da vi erfaringsmæssigt oplever, at dette overførelsesgrundlag kan anvendes til de fleste overførelsessituationer. 

STEP 2: Indgåelse af en SCC 

EU-Kommissionen har for nyligt udarbejdet nye SCC’er. De nye SCC’er skal bruges på alle kontrakter indgået efter den 27. september 2021. Det betyder, at hvis din virksomhed ønsker at anvende en SCC som overførselsgrundlag, skal de nye SCC’er anvendes for fremtiden. 

SCC’erne er opbygget i fire moduler. Ved udarbejdelsen af en SCC skal I derfor tage stilling til, hvilket modul der er korrekt at vælge i forhold til den faktiske tredjelandsoverførsel. Modulerne er følgende: 

• M1: Dataansvarlig til dataansvarlig
• M2: Dataansvarlig til databehandler
• M3: Databehandler til databehandler
• M4: Databehandler til dataansvarlig  

For at vælge det rigtige modul skal I tage stilling til: 

1. Hvem er dataeksportør? 
2. Hvem er dataimportør? 
3. Hvor sker tredjelandsoverførslen – altså mellem hvilke parter i databehandlerkæden overføres personoplysningerne til tredjelandet?  

Ligeledes skal din virksomhed være opmærksom på, at kontrakter, der er indgået på baggrund af de tidligere gældende SCC’er fra før den 27. september 2021, kan anvendes i overgangsperioden indtil den 27. december 2022, dog forudsat at databehandlingen forbliver uændret. Det anbefales, at din virksomhed hurtigst muligt påbegynder arbejdet med at komme over på de nye SCC’er, da det kan være en tidskrævende opgave. 

STEP 3: Udarbejdelse af en Transfer Impact Assessment (TIA) 

SCC’erne kan - desværre - ikke stå alene. I virksomheden skal I derfor også foretage en vurdering af alle forhold, der gør sig gældende for den pågældende tredjelandsoverførsel, herunder især en vurdering af hvorvidt myndigheder i modtagerlandet har mulighed for at tilgå de omfattede personoplysninger. Denne risikovurdering kaldes for en Transfer Impact Assessment (TIA), og det kan også være en tidskrævende og omfattende opgave. 

Reelt set er der tale om to vurderinger, hvor det først og fremmest skal undersøges, om modtagerlandet er en demokratisk retsstat med samme beskyttelsesniveau som i EU. Hvis landets beskyttelsesniveau ikke kan leve op til det europæiske, skal det undersøges, hvordan din virksomhed i praksis kan nedbringe risikoen for misbrug. Denne risiko kan nedbringes ved brug af supplerende sikkerhedsforanstaltninger. 

Spørgsmål som eksempelvis ”hvor opbevares data?” og ”kan data opbevares indenfor EU?” er særlige relevante i forhold til TIA’en og vurderingen af supplerende sikkerhedsforanstaltninger. Hvis for eksempel en dansk virksomhed anvender en cloud-løsning, hvor personoplysningerne bliver lageret i et datacenter indenfor EU, men hvor udbyderen foretager fejlretning og vedligehold via sit kontor udenfor EU, sker der fortsat en overførsel af personoplysninger til et usikkert tredjeland. Hertil vil det for eksempel ikke være et acceptabelt beskyttelsesniveau, såfremt modtageren udenfor EU selv kan hente data. Men hvis modtageren udenfor EU kun har en ”se adgang” og ikke selv kan hente data, må dette anses som en formildende omstændighed. Her ville beskyttelsesniveauet kunne suppleres med eksempelvis krypteringsnøgler indenfor EU for at opnå et acceptabelt beskyttelsesniveau. 

Disse supplerende sikkerhedsforanstaltninger kan opdeles i tekniske, kontraktuelle og organisatoriske sikkerhedsforanstaltninger. Det er vores vurdering, at det nok særligt er de tekniske sikkerhedsforanstaltninger, som bør være i fokus i forbindelse med udarbejdelsen af TIA’en.

Har du spørgsmål, er du altid velkommen til at kontakte en af vores specialister med indgående viden om persondata og GDPR.