genomföra en konsekvensbedömning av dataöverföringar

Ett ”tredjeland” är enligt GDPR ett land utanför EU/EES som inte är omfattat av GDPR och som EU kommissionen inte anser har en adekvat skyddsnivå.

Vid överföring av personuppgifter till ett tredjeland, kan företaget använda sig av exempelvis de standardavtalsklausuler (SCC) som EU-kommissionen har tagit fram. De senaste versionerna blev publicerade i juni år 2021. 

Innan personuppgifter blir överförda till ett tredjeland, måste företaget granska lagarna i det tredjelandet. Exempelvis är det viktigt att lagarna i det landet inte omfattar eventuella krav på att lämna ut personuppgifter till offentliga myndigheter där.

En konsekvensbedömning av dataöverföringar ska bli utförda innan personuppgifterna blir överförda till tredjeland. Bedömningen ska vara skriftligen dokumenterad och motiverad. Dessutom ska en sådan bedömning enbart bli utförd för ett land och en mottagare åt gången.

Nedan följer exempel på vad en konsekvensbedömning av dataöverföring ska innehålla:

– bedömning av det tredjelandets lagar,

– information om huruvida det finns en oberoende tillsynsmyndighet i det landet,

– bedömning av de internationella åtaganden som det landet har vidtagit.

En konsekvensbedömning av detta slag kan bli genomförd genom exempelvis en intern juridisk analys, extern juridisk rådgivning, offentlig dokumentation, stöd av uppgiftsmottagaren m.m.

Dessutom är det viktigt att företaget löpande ser till att övervaka den genomförda bedömningen. Det är viktigt att hålla sig uppdaterad om eventuella förändringar i det tredjelandet som kan påverka resultatet av den genomförda bedömningen. Om eventuella ändringar sker i lagarna i det tredjelandet, kan det vara nödvändigt att ompröva bedömningen.