De flesta företag för över personuppgifter utanför EU utan att någonsin ha beslutat det. Du registrerar dig för ett supportverktyg, kopplar in en analystjänst eller skickar e-post via en leverantör med servrar i ett annat land, och personuppgifter passerar en gräns. Ingen godkände det, och ingen skrev ner det. Sedan frågar en kunds säkerhetsgranskning vart deras uppgifter tar vägen, och du kan inte svara utan en veckas efterforskning.

Internationella dataöverföringar hör till de känsligaste delarna av GDPR, och de får mer uppmärksamhet, inte mindre. Kapitel V i förordningen ställer strikta krav på att flytta personuppgifter utanför EU och EES, och köpare behandlar numera de kraven som en grind. Den här guiden går igenom när en överföring sker, vilka skyddsåtgärder lagen erkänner och hur OptiTech dokumenterar var och en som levande bevis du kan visa på begäran.

När en överföring faktiskt sker

En tredjelandsöverföring sker så snart personuppgifter blir åtkomliga från platser utanför EU eller EES. Det är bredare än de flesta team tror. Att skicka en säkerhetskopia utomlands räknas, men det gör också att ge en supportmedarbetare i ett annat land en inloggning, eller att använda en leverantör vars personal kan se dina uppgifter utanför unionen. Fjärråtkomst är en överföring.

Det spelar roll eftersom kapitel V träder in i samma stund som en överföring sker. Du får inte flytta personuppgifter till ett tredjeland om du inte har både en rättslig grund för behandlingen och en giltig överföringsmekanism ovanpå den. Mekanismen är den extra skyddsåtgärd som skyddar uppgifterna när de lämnar EU:s rättsliga räckvidd. Har du rätt grund men hoppar över mekanismen är överföringen ändå olaglig.

Adekvansbeslut: den enkla vägen

Den enklaste skyddsåtgärden är en du slipper bygga själv. Europeiska kommissionen kan besluta att ett land utanför EU har en adekvat skyddsnivå, i praktiken likvärdig med vad GDPR kräver. När ett sådant adekvansbeslut finns kan du föra över personuppgifter dit lika fritt som inom EU, utan något extra avtal.

Listan är kort och den förändras. Länder som Schweiz, Storbritannien och Japan har adekvansbeslut, tillsammans med några till. Haken är att besluten omprövas och kan ifrågasättas eller dras tillbaka. Så "vi förlitar oss på adekvans" är inget svar du kan lägga i byrålådan. Du behöver veta vilket beslut som täcker varje överföring, och du behöver märka när ett hamnar under omprövning.

Standardavtalsklausuler

När det saknas adekvansbeslut är standardavtalsklausuler, eller SCC, den vanligaste skyddsåtgärden. Det är förhandsgodkända avtalsmallar som kommissionen publicerar, och båda parter i en överföring undertecknar dem. Klausulerna binder importören att skydda uppgifterna enligt EU-standard trots att den sitter utanför EU:s jurisdiktion.

SCC är inget du skriver under en gång och lägger undan. Sedan 2021 års moduler måste du välja rätt modul för relationen (ansvarig till ansvarig, ansvarig till biträde och så vidare), fylla i bilagorna som beskriver de faktiska uppgifterna och skyddsåtgärderna, och hålla dem aktuella när relationen förändras. En SCC med tomma bilagor eller fel modul skyddar ingen. I OptiTech ligger varje SCC kopplad till leverantören och överföringen den täcker, så att du alltid vet vilka klausuler som gäller var.

EU:s och USA:s Data Privacy Framework

USA är destinationen som ställer till det för flest företag, eftersom så många populära verktyg är amerikanska. I åratal levde överföringar till USA i rättslig osäkerhet efter att Schrems II-domen underkände det tidigare ramverket.

EU-US Data Privacy Framework, som antogs 2023, ger dig en renare väg. Om ett amerikanskt företag självcertifierar sig enligt ramverket och står med på den officiella listan täcks överföringar till det företaget av ett adekvansbeslut, så du behöver inga separata SCC för dem. Men ramverket täcker bara certifierade företag, och en certifiering kan upphöra. Så du måste fortfarande kontrollera att varje amerikansk leverantör faktiskt står på listan, och kontrollera igen, i stället för att anta att alla amerikanska leverantörer kvalificerar sig.

Konsekvensbedömning för överföringar

För överföringar som vilar på SCC förväntar sig lagen mer än ett undertecknat avtal. Efter Schrems II förväntas du göra en konsekvensbedömning för överföringen, en så kallad TIA: en dokumenterad kontroll av om destinationslandets lagar, särskilt myndigheters tillgång till uppgifter, skulle underminera det skydd som SCC lovar. Om de skulle det måste du lägga till kompletterande åtgärder som stark kryptering, eller ompröva överföringen.

En TIA är precis den sortens analys som är lätt att göra en gång och omöjlig att hitta senare. OptiTech håller varje bedömning kopplad till överföringen den motiverar, med datum, resonemang och åtgärderna du la till. När en revisor frågar varför en överföring är säker visar du bedömningen i stället för att rekonstruera den ur minnet.

Varför dataresidens är en köparfråga nu

Varje skyddsåtgärd ovan är ett sätt att göra en riskabel överföring försvarbar. Det andra alternativet är att undvika överföringen helt, och det är därför datalagringsort har blivit ett säljargument. Om dina uppgifter stannar i EU gäller större delen av kapitel V helt enkelt inte, och din kunds egen efterlevnad blir enklare.

OptiTech håller kunddata inom EU, i Stockholm och Frankfurt, utan överföring utanför unionen för kärntjänsten. För en köpare som gör sin egen säkerhetsgranskning är det svaret de vill höra, eftersom det tar bort en hel kategori av frågor. "Var finns våra uppgifter?" får ett svar på ett ord, och "vilka skyddsåtgärder täcker överföringar ut?" blir "det finns inga."

Dokumentera varje överföring som levande bevis

Du kan inte styra överföringar du inte ser. Felet är sällan en dålig skyddsåtgärd. Det är en överföring ingen kände till, som går via ett verktyg någon lade till förra kvartalet. Lösningen är ett enda register som behandlar varje överföring som bevis, inte en rad i ett kalkylark.

I OptiTech Console dokumenterar varje överföring tre saker: vart uppgifterna går, varför och vilken skyddsåtgärd som täcker dem. Destinationslandet, leverantören, mekanismen (adekvans, SCC eller Data Privacy Framework) och konsekvensbedömningen länkas ihop. När en skyddsåtgärd ändras, när ett adekvansbeslut hamnar under omprövning eller när en leverantör försvinner från ramverkets lista är överföringen som är beroende av den lätt att hitta och åtgärda.

Samma register matar ditt trust center. I stället för att svara på frågan "vart går våra uppgifter" via mejl varje gång publicerar du svaret. Köpare ser din datalagringsort och din överföringsställning utan att dra in ditt team i ett efterforskningsprojekt, och dina säkerhetsgranskningar börjar besvara sig själva.

Kom igång

Du behöver ingen perfekt karta dag ett. En realistisk första omgång ser ut så här:

1. Lista varje leverantör som kan komma åt personuppgifter, inklusive de vars personal arbetar utanför EU. Fjärråtkomst räknas.
2. Namnge skyddsåtgärden för varje överföring: adekvansbeslut, SCC eller Data Privacy Framework. Flagga varje överföring som saknar en.
3. Gör konsekvensbedömningar för överföring för de överföringar som vilar på SCC, och koppla resonemanget.
4. Publicera din datalagringsort och överföringsställning till ett trust center så att arbetet börjar besvara säkerhetsgranskningar åt dig.

Internationella överföringar belönar samma vana som resten av GDPR: dokumentera beslutet en gång, håll det aktuellt och visa det på begäran. Gör det, så blir en fråga som förr fick affärer att stanna av i stället en länk du kan skicka.

Redo att göra varje dataöverföring försvarbar? Boka en demo och se hur OptiTech dokumenterar varje överföring, dess destination och dess skyddsåtgärd som levande bevis.