Överföring till tredjeland – ny riktlinje

Den Europeiska dataskyddsstyrelsen, EDPB, har antagit en ny riktlinje som klargör vad som utgör överföring av personuppgifter till tredje land. Arbetet med riktlinjen har letts av Integritetsskyddsmyndigheten, IMY.

På ett plenarmöte har EDPB nu antagit riktlinjen ”Guidelines on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR”. Riktlinjen klargör vad som utgör en överföring av personuppgifter till tredjeland.

Petra Lennhede, jurist på IMY, som lett arbetet med att ta fram riktlinjen, uppger:
– Det är en efterlängtad riktlinje. Om ett dataflöde klassas som en överföring till tredjeland så måste reglerna i Kapitel V i dataskyddsförordningen tillämpas, vilket betyder att överföringen bara får ske under vissa förutsättningar. Det har länge funnits oklarheter kring vad som egentligen räknas som en överföring till tredjeland, som nu blir tydligare, säger Petra Lennhede.

Anställd på tjänsteresa
Ett exempel som tas upp i riktlinjen är om en anställd åker på tjänsteresa till ett land utanför EU med sin bärbara dator och får tillgång till och arbetar med personuppgifter som finns i arbetsgivarens databas. Det exemplet räknas inte som en överföring till tredjeland, eftersom den anställde inte är en egen personuppgiftsansvarig eller personuppgiftsbiträde, utan endast utgör en del av sin arbetsgivare i EU. 

– Det innebär dock inte per automatik att behandlingen är tillåten. Den personuppgiftsansvariga måste följa GDPR och göra en bedömning av eventuella risker och kan då trots allt komma fram till att den aktuella behandlingen inte är tillåten på grund av för höga risker, klargör Petra Lennhede.

Publik konsultation
Riktlinjen har tagits fram av International Transfers Expert Subgroup som är en undergrupp i EDPB. Svenska IMY har med stöd av finska dataskyddsmyndigheten lett arbetet med riktlinjen som nu är ute på publik konsultation till och med den 31 januari 2022.

Lämna ett svar

Din e-postadress kommer inte publiceras.