Varför internationella dataöverföringar berör nästan alla företag
De flesta företag tror att de håller sina data inom EU. I praktiken gör de sällan det. Så fort ni använder en molntjänst, ett supportverktyg, en analysplattform eller ett CRM-system med rötter utanför EU finns en god chans att personuppgifter passerar en gräns – ibland utan att någon i organisationen är medveten om det. Det är detta GDPR kallar en överföring till tredjeland, och reglerna kring sådana överföringar hör till de mest missförstådda i hela dataskyddsregelverket.
Frågan är inte teoretisk. GDPR:s kapitel V ställer konkreta krav på hur personuppgifter får lämna EU och EES, och tillsynsmyndigheterna har de senaste åren visat att de tar reglerna på allvar. Samtidigt är det rättsliga landskapet i rörelse: domstolsavgöranden, nya beslut från EU-kommissionen och uppdaterade avtalsmallar har förändrat förutsättningarna flera gånger sedan GDPR trädde i kraft.
Den här artikeln går igenom när en överföring faktiskt sker, vilka överföringsmekanismer som finns, vad en transfer impact assessment innebär, vilka misstag som är vanligast och vilka risker ni utsätter er för om reglerna inte följs.
Vad en internationell dataöverföring är – och när den sker
En internationell dataöverföring i GDPR:s mening är när personuppgifter görs tillgängliga för en mottagare i ett land utanför EU och EES, ett så kallat tredjeland. GDPR:s kapitel V reglerar dessa överföringar och bygger på en enkel princip: skyddsnivån för uppgifterna får inte urholkas bara för att de lämnar unionen.
Överföringen sker oftare än ni tror
Ett vanligt missförstånd är att en överföring bara sker när data fysiskt kopieras till en server i ett annat land. Så är det inte. En överföring kan lika gärna ske genom fjärråtkomst – att en supporttekniker i ett tredjeland loggar in och tittar på uppgifter som ligger lagrade i EU räknas som en överföring. Detsamma gäller när en underleverantör i ett tredjeland kan komma åt uppgifterna för att utföra drift, felsökning eller underhåll.
Det betyder att frågan inte är var datacentret står, utan vem som kan komma åt uppgifterna och varifrån. Ett företag som anlitar en europeisk molnleverantör med EU-baserade servrar kan fortfarande göra överföringar till tredjeland om leverantörens moderbolag eller supportorganisation sitter utanför EU.
Överföringsmekanismerna i kapitel V
GDPR tillåter överföringar till tredjeland på tre huvudsakliga grunder. Den första är ett beslut om adekvat skyddsnivå (adequacy decision) från EU-kommissionen. Om kommissionen har slagit fast att ett visst land erbjuder en skyddsnivå som i huvudsak motsvarar EU:s, kan uppgifter överföras dit på ungefär samma villkor som inom unionen.
Den andra grunden är lämpliga skyddsåtgärder. Den vanligaste är standardavtalsklausuler (Standard Contractual Clauses, SCC) – färdiga avtalsmallar som EU-kommissionen tagit fram och som parterna ingår mellan sig. Kommissionen antog moderniserade standardavtalsklausuler i juni 2021, vilka ersatte de äldre versionerna. Ett alternativ för koncerner är bindande företagsbestämmelser (Binding Corporate Rules, BCR), interna regelverk som godkänns av tillsynsmyndighet och tillåter överföringar inom en företagsgrupp.
Den tredje grunden är undantag för särskilda situationer. Hit hör exempelvis uttryckligt samtycke från den registrerade eller överföringar som är nödvändiga för att fullgöra ett avtal. Dessa undantag är tänkta att användas restriktivt och i enstaka fall, inte som rutinmässig grund för löpande överföringar.
EU-US Data Privacy Framework
För överföringar till USA finns en särskild ordning. EU-kommissionen antog i juli 2023 ett beslut om adekvat skyddsnivå för USA inom ramen för EU-US Data Privacy Framework (DPF). Det innebär att personuppgifter kan överföras till amerikanska företag som har certifierat sig enligt ramverket, ungefär som till ett land med adekvat skyddsnivå.
Det viktiga är att adekvansen är knuten till certifieringen. Överföringar till en amerikansk mottagare som inte är DPF-certifierad omfattas inte, utan kräver standardavtalsklausuler eller någon annan mekanism. Innan ni förlitar er på ramverket behöver ni alltså kontrollera att den specifika mottagaren faktiskt är certifierad och att certifieringen täcker den aktuella typen av uppgifter.
Här är det också på sin plats med en brasklapp. Det rättsliga läget kring överföringar till USA har varit föränderligt. I avgörandet som brukar kallas Schrems II ogiltigförklarade EU-domstolen 2020 det tidigare ramverket Privacy Shield. Det nuvarande DPF beskriver vi som det rättsläge som gäller under 2025, men det kan komma att prövas och förändras. Bygg därför gärna en lösning som tål förändring, exempelvis genom att ha standardavtalsklausuler som reserv.
Transfer impact assessment – bedömningen som ofta glöms bort
Schrems II-domen förändrade inte bara synen på USA. Domstolen slog fast att den som använder standardavtalsklausuler inte kan nöja sig med att underteckna avtalet och betrakta saken som löst. Ni måste också bedöma om lagstiftningen i mottagarlandet faktiskt tillåter att skyddet i klausulerna upprätthålls i praktiken.
Den här bedömningen kallas transfer impact assessment. I korthet innebär den att ni kartlägger vilken skyddsnivå mottagarlandets rättsordning erbjuder, särskilt när det gäller myndigheters möjligheter att få tillgång till uppgifter. Om bedömningen visar att skyddet inte är tillräckligt behöver ni vidta kompletterande åtgärder – exempelvis kryptering där ni själva kontrollerar nycklarna, pseudonymisering eller avtalsmässiga begränsningar – för att höja skyddet till en godtagbar nivå.
Poängen är att en mekanism aldrig är en garanti i sig. Standardavtalsklausuler fungerar bara om de kombineras med en realistisk bedömning av förhållandena på plats och, vid behov, med konkreta tekniska och organisatoriska åtgärder.
Personuppgiftsbiträdets roll i kedjan
De flesta överföringar sker inte direkt mellan er och en mottagare i tredjeland, utan genom en kedja av leverantörer. Ni anlitar ett personuppgiftsbiträde – till exempel en molnleverantör – som i sin tur anlitar underbiträden för delar av tjänsten. Det är i denna kedja som överföringar ofta uppstår, och det är också här de lättast glöms bort.
Som personuppgiftsansvarig är ni skyldiga att ha kontroll över hela kedjan. Det räcker inte att ert biträdesavtal med huvudleverantören innehåller rätt klausuler om en underleverantör längre ner i kedjan exporterar uppgifter till ett tredjeland utan tillräckligt skydd. Ni behöver därför veta vilka underbiträden som anlitas, var de sitter och på vilken grund eventuella överföringar sker. Ett genomtänkt biträdesavtal reglerar dessutom hur nya underbiträden får tillkomma och hur ni informeras om förändringar.
Praktiskt exempel: SaaS-verktyget som ingen granskade
Tänk er ett medelstort svenskt bolag som inför ett nytt verktyg för kundsupport. Verktyget är populärt, prisvärt och leverantören uppger att data lagras i ett EU-datacenter. Inköpet godkänns snabbt och verktyget rullas ut.
Det ingen granskade var att leverantören är ett amerikanskt bolag vars supportorganisation sitter i USA och Indien, och som anlitar ett par underleverantörer för drift och analys. När en supportärende eskaleras kan personal utanför EU logga in och se kunduppgifter – en fjärråtkomst som i GDPR:s mening är en överföring till tredjeland. Leverantören är inte DPF-certifierad, och inget biträdesavtal med korrekta standardavtalsklausuler har ingåtts för hela kedjan.
Bolaget har därmed löpande överföringar till tredjeland utan giltig mekanism, utan transfer impact assessment och utan överblick över sina underbiträden. Problemet uppstod inte av illvilja utan av att ingen ställde frågan var data faktiskt kan nås ifrån. Med en kartläggning före inköpet, ett korrekt biträdesavtal och en bedömning av mottagarländerna hade situationen varit hanterbar redan från start.
Vanliga misstag företag gör
Det första misstaget är att anta att ett EU-datacenter löser frågan. Var uppgifterna lagras säger inget om vem som kan komma åt dem. Fjärråtkomst från ett tredjeland är en överföring även om servern står i Stockholm.
Det andra misstaget är att aldrig kartlägga sina underbiträden. Många företag känner till sina direkta leverantörer men har ingen bild av leverantörernas leverantörer. Det är ofta längre ner i kedjan som överföringarna sker, och utan kartläggning är de omöjliga att hantera.
Det tredje misstaget är att förlita sig på föråldrade mekanismer. Företag som skrev avtal med äldre standardavtalsklausuler, eller som fortfarande hänvisar till sedan länge ogiltigförklarade ramverk, har formellt sett inget giltigt stöd för sina överföringar. Mekanismer behöver uppdateras i takt med att rättsläget förändras.
Ett fjärde misstag är att luta sig mot undantagen, som uttryckligt samtycke, för löpande och storskaliga överföringar. Undantagen är avsedda för enstaka situationer och håller sällan som permanent grund för ett affärskritiskt informationsflöde.
Juridiska risker
Internationella dataöverföringar regleras av samma sanktionssystem som resten av GDPR. Överträdelser kan leda till administrativa sanktionsavgifter på upp till 20 miljoner euro eller fyra procent av koncernens globala årsomsättning, beroende på vilket belopp som är högst. Just överföringskraven i kapitel V hör till den allvarligare kategorin av överträdelser.
Utöver de ekonomiska sanktionerna finns andra konsekvenser. En tillsynsmyndighet kan förelägga er att upphöra med en överföring, vilket i praktiken kan tvinga er att byta ut ett affärskritiskt verktyg på kort tid. Registrerade personer kan begära skadestånd, och en uppmärksammad incident kan skada förtroendet hos kunder och partner. För bolag som säljer till offentlig sektor eller större företag är dokumenterad efterlevnad dessutom ofta ett krav i upphandlingar och avtal.
Rekommenderade åtgärder
Börja med att kartlägga era informationsflöden. Gå igenom vilka tjänster och leverantörer ni använder, vilka personuppgifter som behandlas och var de faktiskt kan nås ifrån – inklusive fjärråtkomst och underbiträden. Utan denna karta är det omöjligt att veta vilka överföringar ni gör.
För varje överföring till tredjeland, fastställ en giltig mekanism. Kontrollera om mottagarlandet omfattas av ett beslut om adekvat skyddsnivå, om en amerikansk mottagare är DPF-certifierad, eller om ni behöver standardavtalsklausuler eller bindande företagsbestämmelser. Genomför en transfer impact assessment där mekanismen kräver det och inför kompletterande åtgärder när skyddet behöver höjas.
Se över era biträdesavtal så att de speglar verkligheten och hela kedjan av underbiträden. Bygg lösningar som tål förändring, exempelvis genom att ha standardavtalsklausuler som reserv även när ni förlitar er på DPF. Dokumentera era bedömningar – förmågan att visa hur ni resonerat är central både vid tillsyn och i affärsrelationer. Gör slutligen översynen återkommande, eftersom både leverantörskedjor och rättsläge förändras över tid.
Vanliga frågor om internationella dataöverföringar
Räcker det att leverantören har sina servrar inom EU?
Nej. Var uppgifterna lagras är bara en del av bilden. Om personal eller underleverantörer i ett tredjeland kan komma åt uppgifterna, exempelvis genom fjärråtkomst för support, sker en överföring även om servern står inom EU. Det avgörande är vem som kan nå uppgifterna och varifrån.
Kan vi alltid förlita oss på EU-US Data Privacy Framework för amerikanska leverantörer?
Bara om den specifika mottagaren är certifierad enligt ramverket och certifieringen täcker den aktuella behandlingen. Överföringar till icke-certifierade amerikanska mottagare kräver standardavtalsklausuler eller en annan mekanism. Eftersom rättsläget kring USA har varit föränderligt är det klokt att ha standardavtalsklausuler som reserv.
Vad är en transfer impact assessment?
Det är en bedömning av om mottagarlandets lagstiftning faktiskt tillåter att skyddet i exempelvis standardavtalsklausuler upprätthålls i praktiken. Visar bedömningen att skyddet är otillräckligt behöver ni vidta kompletterande åtgärder, som kryptering eller pseudonymisering, innan överföringen får ske.
Måste vi ha koll på leverantörens underleverantörer?
Ja. Som personuppgiftsansvarig ansvarar ni för hela behandlingskedjan. Överföringar sker ofta hos underbiträden längre ner i kedjan, och utan kunskap om vilka de är och var de sitter kan ni varken bedöma eller dokumentera era överföringar korrekt.
Kan vi använda samtycke som grund för våra dataöverföringar?
Uttryckligt samtycke är ett av undantagen i GDPR och kan användas i särskilda situationer. Det är dock inte avsett som rutinmässig grund för löpande, storskaliga överföringar och håller sällan för ett affärskritiskt informationsflöde. För sådana flöden är en stabil mekanism som standardavtalsklausuler normalt lämpligare.
Hur ofta behöver vi se över våra överföringar?
Det finns ingen fast tidsgräns, men översynen bör vara återkommande och alltid göras vid förändringar – nya leverantörer, nya underbiträden, nya verktyg eller ändrat rättsläge. Eftersom både leverantörskedjor och regelverk förändras blir en engångsgranskning snabbt inaktuell.
Slutsats
Internationella dataöverföringar är inte ett nischproblem för stora koncerner, utan en fråga som berör i stort sett varje företag som använder moderna molntjänster. Utmaningen ligger sällan i att ha onda avsikter och oftast i att ingen har ställt de grundläggande frågorna: vilka uppgifter behandlas, vem kan nå dem och på vilken grund lämnar de EU. Den som kartlägger sina flöden, väljer rätt mekanism och dokumenterar sina bedömningar har kommit långt – och slipper de obehagliga överraskningarna när en leverantör, en kund eller en tillsynsmyndighet börjar ställa frågor.
Lawgent hjälper företag att kartlägga sina dataflöden, välja rätt överföringsmekanism och bygga en dataskyddsstruktur som håller även när rättsläget förändras. Vi kombinerar erfaren affärsjuridisk rådgivning med AI-driven effektivitet, så att ni får trygg och dokumenterad efterlevnad – snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta var era personuppgifter faktiskt tar vägen och om ni följer GDPR? Kontakta Lawgent för en genomgång av era internationella dataöverföringar.
