Internationella leverantörer och biträdesavtal – vad behöver anpassas? 

När personuppgifter behandlas av leverantörer utanför EU/EES krävs det särskilda åtgärder enligt GDPR. För många svenska organisationer innebär det att granska, uppdatera och ibland omförhandla sina personuppgiftsbiträdesavtal – särskilt när behandling sker i så kallade tredjeländer.

En rättslig grund för överföringar till tredjeland kan vara Standard Contractual Clauses (SCC), som då behöver kompletteras med en bedömning av skyddsnivån i mottagarlandet. Denna bedömning, kallad Transfer Impact Assessment (TIA), måste vara dokumenterad och uppdaterad. SCC är dock bara en av flera möjliga rättsliga mekanismer enligt kapitel V i GDPR. Övriga rättsliga grunder för överföring till tredjeland inkluderar:

• Adekvansbeslut från EU-kommissionen, där mottagarlandet anses ha en skyddsnivå som motsvarar GDPR. Detta gör överföringar möjliga utan ytterligare skyddsåtgärder.
• Bindande företagsbestämmelser (Binding Corporate Rules, BCRs), som gäller inom koncerner och måste godkännas av tillsynsmyndigheter.
• Avtalsklausuler som godkänts av en tillsynsmyndighet och EU-kommissionen, utöver SCC.
• Rättsligt bindande och verkställbara instrument mellan myndigheter, i specifika offentliga sammanhang.
• Undantag i särskilda situationer, exempelvis när den registrerade uttryckligen samtyckt till överföringen, eller när överföringen är nödvändig för att uppfylla ett avtal, rättslig skyldighet eller viktiga allmänintressen. Dessa undantag är dock restriktiva och bör inte användas för rutinmässiga överföringar.

För samtliga grunder, utom vid adekvansbeslut, krävs att den personuppgiftsansvarige gör en noggrann bedömning av om skyddsnivån i mottagarlandet är tillräcklig, samt vidtar kompletterande skyddsåtgärder om det behövs.

Så håller du kontrollen över gränserna

Internationell databehandling innebär även att tillsyn och uppföljning kan bli mer komplex. Personuppgiftsansvariga behöver ha rutiner för att kontinuerligt följa upp sina leverantörer när de agerar som personuppgiftsbiträden, även om dessa är baserade i jurisdiktioner utanför EU/EES.

Att tänka på vid användning av internationella biträden:

• Säkerställ att SCC används och att TIA har genomförts och dokumenterats.
• Ställ krav på underbiträden och transparens i leverantörskedjan.
• Utvärdera om tekniska åtgärder (som kryptering) kan minska riskerna.
• Följ upp hur biträdet bistår i hanteringen av rättigheter för registrerade, särskilt vid begäran om registerutdrag eller radering.

På Morling Consulting hjälper våra dataskyddsjurister företag att analysera, förhandla och följa upp sina biträdesavtal – både inom och utanför EU.