Hva er en overføring til tredjeland?
En overføring av personopplysninger betyr at opplysninger gjøres tilgjengelige for noen i et annet land utenfor EU/EØS.
Selv om dataene ikke “flyttes” eller "sendes", er det fortsatt en overføring hvis noen i et tredjeland kan få tilgang til dem.
En overføring kan skje når personopplysninger:
- sendes til en mottaker i et tredjeland
- lagres på en server i et tredjeland
- blir tilgjengelige for noen som befinner seg i et tredjeland
En rekke skytjenester og lokale tjenester som tilbys i Norge lagrer data i USA når vi bruker dem. I slike tilfeller skjer det en overføring av data.
Eksempler:
- Du deler forskningsdata som inneholder personopplysninger til en person ved et annet forskningsinstitusjon i USA
- Du bruker en skytjeneste med servere i India
- En leverandør i et tredjeland har tilgang til systemet ditt, gjennom for eksempel supporttjenester
Hva er et tredjeland?
Et tredjeland er et land utenfor EU/EØS. Når du sender personopplysninger dit, gjelder egne regler.
Hva med hvis opplysningene blir tilgjengeliggjort for en UiO-ansatt i tredjelandet?
Fjernaksess fra egne ansatte regnes normalt ikke som overføring, fordi den ansatte ikke er en selvstendig mottaker/importør – de handler på vegne av UiO. Overføringsreglene i GDPR kapittel V gjelder derfor ikke.
Selv om det ikke er en overføring, må UiO fortsatt sikre at tilgangen er trygg. Dette inkluderer å bruke kryptert tilkobling, sterke passord og tilgangskontroller, samt å vurdere risikoen for at myndigheter i tredjeland kan få tilgang til opplysningene.
Hva må man gjøre for å overføre personopplysninger til tredjeland lovlig?
For at det skal være lov å overføre data til et land utenfor EU/EØS, må man benytte et såkalt lovlig overføringsgrunnlag. Dette er en mekanisme som skal sikre at personopplysninger får like god beskyttelse i mottakerlandet, som i Norge og EU.
Noen ganger må man også iverksette noen supplerende sikkerhetstiltak for å sikre at beskyttelsen er reell.
1. Sjekk om landet har godkjent beskyttelsesnivå - adekvansbeslutning
Noen land har fått vedtak om at de har et tilstrekkelig beskyttelsesnivå fra EU-kommisjonen - en såkalt adekvansbeslutning.
Noen land får en adekvansbeslutning, med visse begrensinger for hva beslutningen om tilstrekkelig beskyttelse gjelder.
Hvis landet er godkjent du kan overføre personopplysninger til tredjelandet uten ekstra sikkerhetstiltak, fordi personvernet anses å være like godt som i EU/EØS.
Se Datatilsynets oversikt over hvilke land som har en adekvansbeslutning (åpne lenke).
2. Overføringsgrunnlag
Hvis landet ikke har en adekvansbeslutning om at landet har tilstrekkelig beskyttelsesnivå, må du bruke et annet overføringsgrunnlag. Typiske grunnlag er:
- EUs standard personvernbestemmelser (SCC) – avtaler som sikrer personvern mellom eksportør og importør
- Bindende virksomhetsregler (BCR) – interne regler for multinasjonale selskaper
- Unntak etter GDPR artikkel 49 – for eksempel eksplisitt samtykke fra de registrerte, eller at overføringen er nødvendig for kontrakt
Overføringsgrunnlaget er som regel inntatt som del av tjeneste-, ramme- eller databehandleravtalen man har med aktøren som skal overføre personopplysninger ut av EU/EØS. Det vanligste overføringsgrunnlaget er EUs Standard kontaktsvilkår (SCC).
EUs standard personvernbestemmelser (SCC)
EUs standard personvernbestemmelser (SCC) er ferdig utformede kontraktsmaler godkjent av EU-kommisjonen som sikrer at mottaker følger GDPR.
SCC-avtaler setter krav til behandling, sikkerhet, og rettigheter for de registrerte. De kan også fungere som en databehandleravtale.
Bindende virksomhetsregler (BCR)
Bindende virksomhetsregler (BCR) brukes ofte i multinasjonale selskaper for interne overføringer mellom ulike enheter i konsernet. BCR sikrer at personopplysninger behandles lovlig og trygt på tvers av land. Reglene må godkjennes av en europeisk datatilsynsmyndighet og omfatter sikkerhet, rettigheter for de registrerte og prosedyrer ved databrudd.
Et eksempel kan være et globalt konsern med kontorer i Norge, India og USA som bruker BCR for å overføre data mellom kontorene.
Særlige unntak etter GDPR artikkel 49
Særlige unntak er situasjoner der overføringen kan gjøres uten SCC eller BCR, men bare dersom strenge kriterier er oppfylt. Dette kan være når den registrerte har gitt eksplisitt samtykke og er informert om risikoen overføringen kan medføre, når overføringen er nødvendig for å oppfylle en kontrakt, for å oppfylle en rettslig forpliktelse, eller av viktige grunner av allmenn interesse.
Unntakene brukes svært sjelden og må dokumenteres nøye.
3. Vurder behov for og iverksett ekstra sikkerhetsstiltak
Når du overfører personopplysninger til tredjeland, er det ikke nødvendigvis nok bare å ha et lovlig grunnlag (SCC, BCR eller unntak).
Du må også vurdere om ekstra sikkerhetstiltak er nødvendig for å beskytte dataene, særlig hvis det er høy risiko for tilgang fra uvedkommende eller myndigheter i tredjelandet.
For spørsmål om overføringsgrunnlag kontakt behandlingsansvarlig@uio.no
Hvordan finner man ut hvilket overføringsgrunnlag som benyttes?
Overføringsgrunnlaget er som regel inntatt som del av tjeneste-, ramme- eller databehandleravtalen man har med aktøren som skal overføre personopplysninger ut av EU/EØS.
For spørsmål om overføringsgrunnlag kontakt behandlingsansvarlig@uio.no
Retningslinjer om ekstra sikringstiltak for overføringer
I kjølevannet av Schrems-II (C-311/18) dommen har Det europeiske personvernrådet (EDPB), kommet med retningslinjer for hvilke tiltak en virksomhet må gjøre for å sikre at en overføring ut av EU/EØS er lovlig. Retningslinjene har vært på en høringsrunde, og er nå endelig vedtatt. Retningslinjene er tilgjengelig her (ekstern lenke).