Vad är en tredjelandsöverföring?
En tredjelandsöverföring är när personuppgifter förs över till ett land utanför EU och EES, vilket bara är tillåtet under vissa villkor.
Dataskyddsförordningen ska skydda uppgifterna även när de lämnar EU. En överföring kräver därför ett beslut från EU-kommissionen om att landet har en adekvat skyddsnivå, eller andra lämpliga skyddsåtgärder.
En vanlig skyddsåtgärd är standardavtalsklausuler. De behöver ofta kompletteras med en bedömning av landets lagar och vilka myndigheter som kan begära ut uppgifterna.
Även åtkomst räknas. Om en leverantörs support utanför EU kan läsa uppgifterna kan det vara en överföring, även när servrarna står i Sverige.
Så fungerar det
Bedömningen görs i flera steg. Först kartläggs vart uppgifterna går, inklusive underbiträden och support. Sedan väljs en grund för överföringen. Saknas ett beslut om adekvat skyddsnivå bedöms om mottagarlandets lagar gör att skyddet i praktiken kan hållas, och vilka kompletterande åtgärder som behövs.
Därför spelar det roll
Frågan avgör ofta vilka AI-tjänster som går att använda. Många tjänster drivs av företag med säte utanför EU. Lagar i vissa länder kan ge myndigheter rätt att begära ut uppgifter från företag med säte där, oavsett var servrarna står. Det gör frågan om leverantörens hemvist lika viktig som frågan om var datan lagras.
Att tänka på
Grunden för en överföring kan ändras. EU-domstolen har tidigare ogiltigförklarat ramverk för överföringar till USA, och det kan hända igen. Ha en plan för vad ni gör då.
Kryptering kan vara en kompletterande åtgärd, men bara om nycklarna inte finns hos mottagaren.
Vad det betyder för er
Fråga var uppgifterna lagras, var de behandlas och var de som har åtkomst befinner sig.
Vanliga frågor
Är det en överföring om leverantören har servrar i EU?
Det kan det vara. Om personal eller underbiträden utanför EU och EES kan komma åt uppgifterna kan det räknas som en överföring.
Får vi använda en AI-tjänst från USA?
Det kan vara tillåtet, till exempel om leverantören är ansluten till ramverket för dataskydd mellan EU och USA eller om lämpliga skyddsåtgärder används. Bedöm varje tjänst för sig.
Hur undviker vi överföringar helt?
Genom att uppgifterna behandlas inom EU och EES av leverantörer som inte ger åtkomst utanför, eller i er egen miljö.
Källor: Dataskyddsförordningen, kapitel V, på EUR-LexÖverföring av personuppgifter till tredjeland hos IMY
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad