INFORMATIONSSIKKERHED
Særlige situationer og lejlighedsvise overførsler
I visse typer af specifikke situationer og lejlighedsvise overførsler af personoplysninger til tredjelande kan det være tilladt at foretage overførslen.
Særlige situationer og lejlighedsvise overførsler til tredjelande
Dette gælder, selv om det pågældende tredjeland ikke har et tilstrækkeligt beskyttelsesniveau, og uden at virksomheden træffer yderligere sikkerhedsforanstaltninger. Undtagelserne for sådanne specifikke situationer og lejlighedsvise overførsler af personoplysninger til tredjelande er fastsat i databeskyttelsesforordningens artikel 49.
Er overførslen nødvendig?
Selskabet bør som en prioritet forsøge at træffe passende sikkerhedsforanstaltninger. Alternativt kan personoplysninger overføres til et land, der har et tilstrækkeligt beskyttelsesniveau som besluttet af Europa-Kommissionen. Desuden bør selskabet analysere, om videregivelsen af personoplysningerne er nødvendig. Undtagelserne i artikel 49 i GDPR bør kun anvendes af virksomheder, når virksomheden ikke kan træffe de fornødne garantier.
Videregivelse af personoplysninger til et tredjeland er bl.a. tilladt i disse specifikke situationer:
Udtrykkeligt samtykke
Hvis virksomheden indhenter den registreredes udtrykkelige samtykke I disse tilfælde skal den registrerede være blevet underrettet om de risici, der er forbundet med overførslen, da det pågældende tredjeland ikke har en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, og virksomheden ikke har givet de fornødne garantier.
Opfyldelse af en kontrakt med den registrerede
Hvis videregivelsen af personoplysninger f.eks. er nødvendig af hensyn til opfyldelsen af en kontrakt mellem den registrerede og den dataansvarlige Dette kan også være tilfældet, hvis det er nødvendigt for gennemførelsen af operationer i henhold til en sådan kontrakt, forudsat at den registrerede anmoder herom.
Udførelse af kontrakter med en anden part
Hvis videregivelsen af personoplysninger er nødvendig af hensyn til indgåelse eller opfyldelse af en kontrakt med en anden part end den registrerede Dette skal dog være i den registreredes interesse.
Fælles interesse
Hvis en offentlig interesse er anerkendt i national ret, og det er nødvendigt at overføre personoplysningerne for at opnå dette. Dette kan også afspejles i EU-retten.
Retskrav
Om virksomheden har brug for at overføre personoplysningerne for at forsvare et retskrav. Det samme gælder fastlæggelse eller fuldbyrdelse af retskrav.
Beskyttelse af grundlæggende interesser
Hvis den registrerede af juridiske eller fysiske årsager ikke er i stand til at give sit samtykke, og videregivelsen er nødvendig for at beskytte den registreredes grundlæggende interesser Videregivelsen kan desuden finde sted, hvis det er nødvendigt for at beskytte andre end den registreredes vitale interesser.
Ud over at tillade overførsel af personoplysninger i ovennævnte specifikke situationer er det muligt, hvis overførslen opfylder alle følgende kriterier:
Ikke regelmæssig
Der bør ikke være tale om en regelmæssig overførsel.
Begrænset antal registrerede
Antallet af registrerede, der er omfattet af overførslen, er begrænset.
Legitim interesse
Virksomheden skal have en legitim interesse i overførslen. I sådanne tilfælde skal virksomheden foretage og dokumentere en interesseafvejning for at påvise dette.
Fornødne garantier
Virksomheden skal gennemføre passende sikkerhedsforanstaltninger for at beskytte personoplysningerne på grundlag af de omstændigheder, der fremgår af vurderingen.
Dette afsnit indeholder vejledning fra Det Europæiske Databeskyttelsesråd om specifikke situationer og lejlighedsvise overførsler af personoplysninger til tredjelande.
Afvejning af interesser i forbindelse med overførsel af personoplysninger til tredjelande
Virksomheder kan foretage behandling af personoplysninger, hvis de har en legitim interesse, hvilket udgør et (1) af de seks (6) retsgrundlag i GDPR. En afvejning af interesser indebærer en afvejning af virksomhedens interesser over for den registreredes interesser, rettigheder og frihedsrettigheder. Desuden skal virksomheden analysere alle omstændighederne i forbindelse med overførslen og gennemføre de fornødne garantier med hensyn til beskyttelse af personoplysninger. Det er også vigtigt at huske på, at virksomheder kan antage, at de har en legitim interesse, men ikke har den i overensstemmelse med loven.
Bemærk, at virksomhederne skal underrette den nationale databeskyttelsesmyndighed, hvis de mener, at de har en legitim interesse i en overførsel fra et tredjeland. Desuden skal de underrette de registrerede herom. Den skal bl.a. angive, hvad den legitime interesse er, som virksomheden søger at opnå med behandlingen.
LÆS MERE OM INFORMATIONSSIKKERHED
Standardkontraktbestemmelser
En anden yderligere sikkerhedsforanstaltning, som virksomheder kan træffe i tilfælde af overførsler til tredjelande, er anvendelsen af de standardkontraktbestemmelser, som Europa-Kommissionen har vedtaget. På den anden side kan virksomheden være nødt til at træffe flere sikkerhedsforanstaltninger i visse tilfælde, selv om anvendelsen af standardkontraktbestemmelser normalt er tilstrækkelig. Det er vigtigt at overveje at anvende de rette klausuler alt efter situationen. F.eks. hvis der er tale om en overførsel til en databehandler i et tredjeland foretaget af en EU-dataansvarlig, eller hvis der er tale om en overførsel mellem to databehandlere.