transferencias internacionales de datos personales

En international overførsel er overførsel af personoplysninger fra EU/EØS til et land uden for disse områder (et tredjeland).

En 'international overførsel' defineres generelt som overførsel af personoplysninger fra EU/EØS til et land uden for disse områder, der betragtes som et "tredjeland". Denne overførsel kan ske mellem enhver form for dataansvarlige eller databehandlere. Betydningen af disse overførsler ligger i, at GDPR har specifikke regler for at sikre, at personoplysninger, der forlader EU/EØS, fortsat er beskyttet på et niveau, der svarer til beskyttelsen inden for EU/EØS.

Overtrædelser af reglerne om internationale overførsler kan medføre betydelige bøder i henhold til GDPR (Artikel 83). Derfor er det afgørende for virksomheder at forstå og overholde disse regler.

Denne guide vil give en dybdegående analyse af reglerne for internationale overførsler, de tilgængelige overførselsgrundlag (såsom standardkontraktbestemmelser og bindende virksomhedsregler), og de udfordringer og praktiske overvejelser, der er forbundet med disse overførsler. Formålet er at give læseren den nødvendige viden til at navigere sikkert og lovligt i komplekse scenarier, der involverer internationale overførsler af personoplysninger.

## Introduktion til Internationale Overførsler af Personoplysninger

I en stadig mere globaliseret verden, hvor virksomheder opererer på tværs af landegrænser og data hurtigt flyder rundt om jorden, er internationale overførsler af personoplysninger blevet et centralt aspekt af databeskyttelseslovgivningen. Dette afsnit introducerer begrebet 'internationale overførsler' og forklarer dets betydning i henhold til databeskyttelsesforordningen (GDPR).

En 'international overførsel' defineres generelt som overførsel af personoplysninger fra EU/EØS til et land uden for disse områder, der betragtes som et "tredjeland". Denne overførsel kan ske mellem enhver form for dataansvarlige eller databehandlere. Betydningen af disse overførsler ligger i, at GDPR har specifikke regler for at sikre, at personoplysninger, der forlader EU/EØS, fortsat er beskyttet på et niveau, der svarer til beskyttelsen inden for EU/EØS.

Overtrædelser af reglerne om internationale overførsler kan medføre betydelige bøder i henhold til GDPR (Artikel 83). Derfor er det afgørende for virksomheder at forstå og overholde disse regler.

Denne guide vil give en dybdegående analyse af reglerne for internationale overførsler, de tilgængelige overførselsgrundlag (såsom standardkontraktbestemmelser og bindende virksomhedsregler), og de udfordringer og praktiske overvejelser, der er forbundet med disse overførsler. Formålet er at give læseren den nødvendige viden til at navigere sikkert og lovligt i komplekse scenarier, der involverer internationale overførsler af personoplysninger.

## GDPR's Bestemmelser om Internationale Overførsler

GDPR fastlægger strenge regler for overførsel af personoplysninger til lande uden for EU/EØS (tredjelande) for at sikre et tilsvarende beskyttelsesniveau. Disse regler er primært beskrevet i Artikel 44-50. Hovedprincippet er, at overførsler kun må finde sted, hvis der er passende garantier for databeskyttelsen.

Artikel 45 omhandler princippet om tilstrækkelighed. EU-Kommissionen kan afgøre, at et tredjeland har et tilstrækkeligt beskyttelsesniveau, hvorefter dataoverførsler kan finde sted uden yderligere godkendelse. Uden en sådan afgørelse kræves der et overførselsgrundlag.

Artikel 46 tillader overførsler baseret på passende garantier, som inkluderer:

• Standardkontraktbestemmelser (SCC'er): Forudgodkendte kontraktbestemmelser udstedt af EU-Kommissionen, der fastsætter databeskyttelsesforpligtelser for både dataeksportør og -importør. Det er afgørende at foretage en risikovurdering (TIA) ved brug af SCC'er.
• Bindende Virksomhedsregler (BCR'er): Interne databeskyttelsespolitikker for multinationale koncerner, som er godkendt af en databeskyttelsestilsynsmyndighed.

Artikel 49 indeholder undtagelser for specifikke situationer, fx hvis den registrerede har givet udtrykkeligt samtykke, overførslen er nødvendig for at opfylde en kontrakt med den registrerede, eller hvis overførslen sker af vigtige hensyn til almen interesse. Disse undtagelser skal fortolkes restriktivt.

## Tilstrækkelighedsvurderinger: Hvilke lande anses for sikre?

En tilstrækkelighedsvurdering, som defineret i Artikel 45 i GDPR, betyder, at Europa-Kommissionen har vurderet, at et land uden for EU/EØS (en "tredjeland") sikrer et databeskyttelsesniveau, der er "væsentligt tilsvarende" det niveau, der garanteres inden for EU. Dette er en vigtig mekanisme, da det tillader fri dataoverførsel til disse lande uden behov for yderligere beskyttelsesforanstaltninger som standardbestemmelser om databeskyttelse eller bindende virksomhedsregler.

På nuværende tidspunkt har Europa-Kommissionen vedtaget tilstrækkelighedsafgørelser for følgende lande: Andorra, Argentina, Canada (kun for kommercielle organisationer), Færøerne, Guernsey, Israel, Isle of Man, Japan, Jersey, New Zealand, Schweiz, Sydkorea, Det Forenede Kongerige (UK) i henhold til GDPR og databeskyttelsesdirektivet for retshåndhævelse, Uruguay og USA (under Data Privacy Framework).

Processen for at opnå og opretholde en tilstrækkelighedsafgørelse er omfattende og inkluderer en grundig vurdering af det pågældende lands lovgivning, retspraksis og administrative praksis vedrørende databeskyttelse. Kommissionen tager blandt andet højde for eksistensen af en uafhængig tilsynsmyndighed og effektive retsmidler for enkeltpersoner. Afgørelsen revideres periodisk for at sikre, at beskyttelsesniveauet forbliver tilstrækkeligt.

For virksomheder betyder en tilstrækkelighedsafgørelse, at dataoverførsler til det pågældende land kan foretages relativt nemt og uden behov for at implementere yderligere kontrakter eller mekanismer. Dette forenkler databehandlingen og letter international handel.

## Standardkontraktbestemmelser (SCC'er): En Praktisk Guide

Standardkontraktbestemmelser (SCC'er) er den hyppigst anvendte mekanisme for lovlig dataoverførsel fra EU/EØS til lande uden for EU/EØS, der ikke er dækket af en tilstrækkelighedsafgørelse i henhold til GDPR Artikel 45. SCC'er er foruddefinerede kontraktklausuler, som dataeksportøren (virksomheden i EU/EØS) og dataimportøren (virksomheden uden for EU/EØS) indgår. Disse klausuler forpligter dataimportøren til at beskytte de personoplysninger, der overføres, i overensstemmelse med EU's databeskyttelsesstandarder, som angivet i GDPR.

SCC'er i sig selv er ikke altid tilstrækkelige, især efter Schrems II-dommen. Denne dom fremhævede vigtigheden af at vurdere beskyttelsesniveauet i modtagerlandet. Derfor skal virksomheder foretage en transfer impact assessment (TIA). TIA'en skal identificere eventuelle risici for den registrerede i det pågældende land, herunder adgang til data fra offentlige myndigheder.

Hvis TIA'en afslører, at beskyttelsesniveauet ikke er tilstrækkeligt, skal virksomheden implementere supplerende foranstaltninger. Disse kan omfatte kryptering, pseudonymisering eller yderligere kontraktuelle forpligtelser. Det er afgørende, at disse foranstaltninger reelt afhjælper de identificerede risici og sikrer, at de registreredes rettigheder beskyttes i henhold til GDPR Artikel 46.

Det er vigtigt at benytte de seneste SCC'er, som er udstedt af Europa-Kommissionen, og at dokumentere hele processen, herunder TIA'en og de implementerede supplerende foranstaltninger.

## Bindende Virksomhedsregler (BCR'er): Fordele og Ulemper

Bindende Virksomhedsregler (BCR'er) er en anden mekanisme til at lovliggøre overførsler af personoplysninger uden for EU/EØS, særligt relevante for multinationale koncerner. I modsætning til standardkontraktbestemmelser (SCC'er) er BCR'er interne regler, som en koncern fastlægger for at sikre et ensartet databeskyttelsesniveau ved overførsel af data mellem koncernens enheder globalt. BCR'er er godkendt af en databeskyttelsesmyndighed (DPA) i EU og binder alle koncernens enheder.

Processen for at få godkendt BCR'er er omfattende og kræver en detaljeret beskrivelse af virksomhedens databeskyttelsespolitikker og -procedurer, samt mekanismer for tilsyn og håndhævelse, jf. GDPR Artikel 47. Dette inkluderer beskrivelse af de registreredes rettigheder, som skal kunne håndhæves direkte over for virksomheden.

Fordele ved BCR'er:

• Konsistens: Sikrer ensartet databeskyttelse på tværs af hele koncernen.
• Kontrol: Giver virksomheden større kontrol over dataoverførsler og databeskyttelsesstandarder.
• Langtidsholdbar løsning: Mindre modtagelig for ændringer i lovgivningen sammenlignet med ad hoc SCC'er.

Ulemper ved BCR'er:

• Kompleksitet: Kræver betydelige ressourcer og juridisk ekspertise at udarbejde og implementere.
• Omkostninger: Kan være dyrt at opnå godkendelse og vedligeholde BCR'er.
• Langs godkendelsesproces: Godkendelsesprocessen hos databeskyttelsesmyndighederne kan være tidskrævende.

## Undtagelser til Overførselsforbuddet i Artikel 49

Artikel 49 i GDPR fastsætter et overførselsforbud for personoplysninger til tredjelande, der ikke sikrer et tilstrækkeligt beskyttelsesniveau. Dette forbud er dog ikke absolut, og Artikel 49 indeholder en række specifikke undtagelser, der tillader overførsel af personoplysninger under visse omstændigheder.

Disse undtagelser omfatter primært tilfælde, hvor:

• Den registrerede har givet udtrykkeligt samtykke til den foreslåede overførsel efter at være blevet informeret om de risici, der er forbundet med overførslen, som følge af manglende passende sikkerhedsforanstaltninger (Artikel 49, stk. 1, litra a).
• Overførslen er nødvendig for at opfylde en kontrakt mellem den registrerede og den dataansvarlige eller for at gennemføre foranstaltninger, der træffes på anmodning fra den registrerede forud for indgåelsen af en kontrakt (Artikel 49, stk. 1, litra b).
• Overførslen er nødvendig af hensyn til vigtige almene interesser, fastsat i EU-retten eller medlemsstaternes nationale ret (Artikel 49, stk. 1, litra d).

Det er vigtigt at understrege, at disse undtagelser skal fortolkes restriktivt og kun bør anvendes i specifikke og begrænsede situationer. Virksomheder skal grundigt vurdere, om en undtagelse finder anvendelse, og dokumentere deres begrundelse. Manglende overholdelse af Artikel 49 kan medføre betydelige sanktioner fra databeskyttelsesmyndighederne i henhold til GDPR.

## Lokal Lovgivningsmæssig Ramme: Danmark

Danmark følger generelt GDPR's bestemmelser om internationale overførsler, men Datatilsynet har udstedt visse fortolkninger og vejledninger, som virksomheder bør være opmærksomme på. Særligt fokus er der på kravene til passende garantier i henhold til Artikel 46 i GDPR og nødvendigheden af en grundig risikovurdering (transfer impact assessment – TIA) før overførslen.

Datatilsynet lægger vægt på, at standardkontraktbestemmelser (SCC'er) og bindende virksomhedsregler (BCR'er) kun er tilstrækkelige, hvis de reelt sikrer et beskyttelsesniveau, der er i det væsentlige svarende til det i EU. Dette indebærer, at virksomheder skal foretage en konkret vurdering af lovgivningen og praksis i modtagerlandet for at afgøre, om der er risiko for, at myndigheder får adgang til data på en måde, der er uforenelig med EU-retten.

Danske domstole har endnu ikke afsagt mange domme specifikt om internationale overførsler, men de generelle principper om proportionalitet og nødvendighed vil sandsynligvis finde anvendelse. Virksomheder skal derfor kunne dokumentere, at den internationale overførsel er nødvendig for at opfylde et legitimt formål, og at der ikke findes mindre indgribende alternativer.

Praktisk vejledning:

• Gennemfør en grundig TIA før enhver international overførsel.
• Vurder om SCC'er eller BCR'er er tilstrækkelige i det konkrete tilfælde.
• Overvej yderligere supplerende foranstaltninger, hvis nødvendigt.
• Dokumentér alle vurderinger og beslutninger.

## Mini Case Study / Praktisk Indsigt

Lad os betragte et hypotetisk eksempel: Den danske virksomhed "DataDansk" ønsker at outsource deres kundesupport til en leverandør i Indien. DataDansk behandler personoplysninger om sine kunder, herunder navn, adresse, e-mail og købshistorik. Denne data skal deles med den indiske leverandør for at udføre supportopgaverne. DataDansk skal derfor sikre overholdelse af GDPR (Databeskyttelsesforordningen, Artikel 44 ff.) og Databeskyttelsesloven.

Først skal DataDansk foretage en Transfer Impact Assessment (TIA). Denne vurdering skal identificere risici for de registrerede, der er forbundet med overførslen til Indien, herunder den indiske databeskyttelseslovgivning og adgangen til data for indiske myndigheder. DataDansk skal undersøge, om Standard Contractual Clauses (SCC'er) er tilstrækkelige til at beskytte dataene. I dette tilfælde, grundet bekymringer omkring overvågning, kan DataDansk vurdere supplerende foranstaltninger, såsom kryptering af data under transport og opbevaring, samt begrænsning af adgangen til data til kun de medarbejdere, der har et legitimt behov.

DataDansk skal dokumentere hele processen, fra TIA til implementering af supplerende foranstaltninger. Dette inkluderer en detaljeret beskrivelse af de vurderede risici, de trufne valg og begrundelsen herfor. Ligeledes skal DataDansk sikre løbende overvågning af leverandørens overholdelse af aftalen og GDPR.

## Fremtidsudsigter 2026-2030

Perioden 2026-2030 vil sandsynligvis byde på betydelige ændringer inden for internationale overførsler af personoplysninger. Fremkomsten af mere sofistikerede AI-systemer og udbredt brug af cloud computing vil øge kompleksiteten og mængden af data, der overføres globalt. Dette øger potentielle risici for brud og misbrug, hvilket kræver skærpede sikkerhedsforanstaltninger.

Geopolitiske spændinger og udviklingen i forskellige landes databeskyttelseslovgivning vil spille en afgørende rolle. Det er sandsynligt, at vi vil se yderligere fragmentering af det globale databeskyttelseslandskab, med stigende krav om datalokalisering i visse jurisdiktioner. Virksomheder skal være forberedte på at navigere i disse forskelligartede regler, potentielt gennem udarbejdelse af skræddersyede overførselsmekanismer for hver region.

For at forberede sig på fremtidige udfordringer bør DataDansk:

• Styrke risikovurderinger: Indarbejd nye teknologiske og geopolitiske risici i deres TIA’er (Transfer Impact Assessments), som foreskrevet i Databeskyttelsesforordningen (GDPR) artikel 46 ff.
• Implementere avancerede sikkerhedsforanstaltninger: Udover kryptering bør man overveje anvendelse af anonymiseringsteknikker og differential privacy.
• Udvikle fleksible overførselsstrategier: Vær klar til at tilpasse sig nye standardkontraktbestemmelser (SCC'er) og potentielt nye certificeringsordninger godkendt af tilsynsmyndighederne, jf. GDPR artikel 42.

Løbende overvågning og tilpasning er nøglen til at sikre overholdelse og minimere risici i denne dynamiske periode.

## Konklusion og Anbefalinger

Denne guide har gennemgået kompleksiteten ved internationale overførsler af personoplysninger, herunder kravene i GDPR (artikel 44-50) og de seneste afgørelser fra EU-Domstolen. Det er afgørende for virksomheder at forstå disse forpligtelser for at undgå potentielle bøder og skade på deres omdømme.

Vi anbefaler på det kraftigste, at virksomheder implementerer følgende:

• Robust Databeskyttelsespolitik: En skriftlig politik, der klart definerer, hvordan virksomheden håndterer internationale overførsler, inklusiv beskrivelse af anvendte overførselsmekanismer, jf. GDPR artikel 30.
• Regelmæssige Risikovurderinger: Identificer og vurder risici forbundet med overførslen af data til specifikke tredjelande, særligt hvor tilsynsmyndigheder har udtrykt betænkeligheder.
• Kontinuerlig Overvågning og Opdatering: Hold dig ajour med udviklingen inden for databeskyttelseslovgivningen, herunder nye SCC'er, vejledninger fra Datatilsynet, og eventuelle ændringer i GDPR. Overvej at abonnere på relevante nyhedsbreve og deltage i branchearrangementer.
• Søg Juridisk Rådgivning: Indhent rådgivning fra specialister inden for databeskyttelsesret for at sikre overholdelse af specifikke overførselsscenarier og for at navigere i komplekse juridiske spørgsmål.

En proaktiv og ansvarlig tilgang til internationale overførsler af personoplysninger er ikke kun et lovkrav, men også et spørgsmål om at beskytte den registreredes rettigheder og opbygge tillid. Implementer en solid databeskyttelsesstrategi for at sikre overholdelse og undgå juridiske konsekvenser.