text: Hänvisningar till ”EU” och ”medlemsstater” i detta dokument bör förstås som hänvisningar till ”EES” och ”medlemsstater i EES”. ”Överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till tredjeland eller en internationell organisation får bara ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i denna förordning, uppfyller villkoren i detta kapitel, inklusive för vidare överföring av personuppgifter från tredjeland eller den internationella organisationen till ett annat tredjeland eller en annan internationell organisation.” Internationell organisation: en organisation och dess underställda organ som lyder under folkrätten, eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera länder. Förutom i skäl 101 betonas detta särskilt i

text: artikel 44

text: andra meningen, som lyder: ”Alla bestämmelser i detta kapitel ska tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom denna förordning inte undergrävs.”

text: Om det fortsatta skyddet inte kan säkerställas genom det överföringsinstrument som används, till exempel om ett beslut om adekvat skyddsnivå enligt

text: artikel 45

text: återkallas, om en certifieringsmekanism enligt

text: artikel 46.2 f

text: inte längre är giltig eller om vidtagna kompletterande åtgärder inte är effektiva eller har upphört att vara det, måste åtgärder vidtas för att undvika att skyddsnivån undergrävs och för att säkerställa att behandlingen i fråga är laglig, t.ex. införande av ett annat överföringsverktyg och/eller effektiva kompletterande åtgärder. Se EDPB:s

text: rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter, EDPB:s

text: rekommendationer 02/2020

text: om europeiska nödvändiga garantier för övervakningsåtgärder och Europeiska unionens domstols dom av den 16 juli 2020, Data Protection Commissioner/Facebook Ireland Ltd, Maximillian Schrems,

text: , EU:C:2020:559.

text: Artikel 44

text: första meningen. Till exempel Europeiska unionens domstols dom av den 6 november 2003, Bodil Lindqvist,

text: , EU:C:2003:596 enligt vilken en överföring är en behandling och det inte sker någon överföring till tredjeland i

text: enlighet med det tidigare direktivet 95/46 när uppgifter offentliggörs på en webbsida som är lagrad hos en webbhotelleverantör som är etablerad i EU. Se sidan 5 och avsnitten 1–3 i EDPB:s

text: riktlinjer 3/2018

text: om den allmänna dataskyddsförordningens territoriella tillämpningsområde (

text: artikel 3

text: ). Idem sidan 23.

text: Idem sidan 22. Se sidan 9 i EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR. Se EDPB:s

text: rekommendation 01/2020

text: om åtgärder som komplement till överföringsverktyg för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter, sidan 11, punkt 13 och fotnot 28. Detta återspeglas också i utformningen av

text: artikel 46 i dataskyddsförordningen

text: , vilken avser avtalsmässiga/bilaterala överföringsinstrument som ingåtts mellan olika organisationer som agerar som personuppgiftsansvariga eller personuppgiftsbiträden.

text: Den registrerade kan inte betraktas som personuppgiftsansvarig eller personuppgiftsbiträde. Detta följer av

text: artikel 4.10 i dataskyddsförordningen

text: som skiljer mellan personuppgiftsansvariga/personuppgiftsbiträden och registrerade. En registrerad som lämnar ut sina egna personuppgifter kan därför inte betraktas som uppgiftsutförare. Detta påverkar inte det faktum att en fysisk person kan vara personuppgiftsansvarig/personuppgiftsbiträde i enlighet med artikel

text: och

text: i dataskyddsförordningen (t.ex. som egenföretagare). Detta begränsar dock inte det skydd som fysiska personer, som agerar som personuppgiftsansvariga/personuppgiftsbiträden, åtnjuter när det gäller deras egna personuppgifter. Dessutom är det viktigt att komma ihåg att om behandlingen av personuppgifter är något som ”en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll” kommer sådan behandling i enlighet med

text: artikel 2.2 c

text: inte att omfattas av dataskyddsförordningens materiella tillämpningsområde. Slutligen bör noteras att personuppgifter som lämnas ut via kakor inte anses vara utlämnade direkt av den registrerade, utan snarare ett översändande av den som driver den webbplats som den registrerade besöker. Se i det avseendet skäl 23 om vilka faktorer som ska bedömas för att avgöra om kriteriet i

text: artikel 3.2 a i dataskyddsförordningen

text: är uppfyllt. Observera att när den behandling som utförs av personuppgiftsbiträdet är kopplad till den personuppgiftsansvariges riktade verksamhet omfattas personuppgiftsbiträdet också av

text: artikel 3.2

text: i

text: dataskyddsförordningen, se sidan 20–22 i EDPB:s

text: riktlinjer 3/2018

text: artikel 3

text: ). I

text: artikel 28.3 a i dataskyddsförordningen

text: hänvisas till dokumenterade instruktioner från den personuppgiftsansvarige ”inbegripet när det gäller överföringar av personuppgifter till tredjeland eller en internationell organisation”. Se även klausul 8.1 i modul 3 i bilagan till kommissionens genomförandebeslut

text: (EU) 2021/914

text: av den 4 juni 2021 om standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med förordning

text: (EU) 2016/679

text: Se punkt 78 i EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR.

text: När det gäller behandling av personuppgifter inom en företagsgrupp måste särskild uppmärksamhet ägnas frågan om huruvida ett verksamhetsställe kan agera som personuppgiftsansvarig eller personuppgiftsbiträde, t.ex. när uppgifter behandlas för moderbolagets räkning, se punkt 17 i EDPB:s

text: riktlinjer 07/2020

text: angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR. I EDPB:s

text: riktlinjer 3/2018

text: artikel 3

text: ) har det vidareutvecklats huruvida behandlingen i fråga uppfyller kraven i

text: artikel 3 i dataskyddsförordningen

text: , dvs. att uppgiftsinföraren omfattas av dataskyddsförordningen för den berörda behandlingen.

text: Se punkterna 119–120 i EDPB:s

text: riktlinjer 07/2020

text: Se även EDPB:s

text: rekommendationer 01/2020

text: om åtgärder som komplement till överföringsverktygen för att säkerställa överensstämmelsen med EU-nivån för skydd av personuppgifter.

text: Se EDPB:s

text: riktlinjer 2/2018

text: för undantagen i

text: artikel 49

text: enligt förordning 2016/679. EDPB har antagit

text: riktlinjer 04/2021

text: om uppförandekoder som överföringsverktyg. EDPB har antagit

text: riktlinjer 07/2022

text: om certifiering som ett överföringsverktyg. EDPB har antagit

text: riktlinjer 2/2020

text: om

text: artikel 46.2 a

text: och artikel 46.3 b i förordning 2016/679 för överföringar av personuppgifter mellan offentliga myndigheter och organ i EES-länder och länder utanför EES. Se t.ex. de olika skyddsåtgärderna i modulerna 1 och 3 i bilagan till kommissionens genomförandebeslut

text: (EU) 2021/914

text: av den 4 juni 2021 om standardavtalsklausuler för överföring av personuppgifter till tredjeländer i enlighet med

text: Europaparlamentets och rådets förordning (EU) 2016/679

text: (”genomförandebeslut”). De standardavtalsklausuler som antogs av Europeiska kommissionen den 4 juni 2021, i enlighet med artikel 1 i genomförandebeslutet, innehåller lämpliga skyddsåtgärder för överföringar från uppgiftsutförare som omfattas av dataskyddsförordningen till uppgiftsinförare vars behandling inte omfattas av dataskyddsförordningen. Observera att detta gäller tillämpningsområdet för standardavtalsklausuler och inte är en tolkning av begreppet överföring enligt kapitel V i dataskyddsförordningen. Observera att uppförandekoder enligt

text: artikel 40.3

text: kan följas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen för att tillhandahålla lämpliga skyddsåtgärder enligt

text: artikel 46.2 e

text: . Likaså får enligt

text: artikel 42.2 cer

text: tifieringsmekanismer, sigill eller märkningar inrättas för att visa att det finns lämpliga skyddsåtgärder enligt

text: artikel 46.2 f

text: som tillhandahålls av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av dataskyddsförordningen. Därför har EDPB för närvarande identifierat standardavtalsklausuler och ad hoc-klausuler som de tillgängliga och mest relevanta överföringsverktygen för uppgiftsflöden till uppgiftsinförare som omfattas av dataskyddsförordningen. Trots detta spelar uppförandekoder och certifieringar en viktig roll som verktyg för personuppgiftsansvariga och personuppgiftsbiträden att säkerställa och påvisa efterlevnad av dataskyddsförordningen när det gäller behandlingar som omfattas av dataskyddsförordningen enligt

text: artikel 3

text: . Anslutningen till dessa båda typer av instrument kan därför beaktas när personuppgifter överförs till en personuppgiftsansvarig eller ett personuppgiftsbiträde i tredjeland som omfattas av dataskyddsförordningen.

text: Se domstolens dom av den 16 juli 2020, Data Protection Commissioner/Facebook Ireland Ltd, Maximillian Schrems,

text: , EU:C:2020:559, punkt 135. Det kan noteras att ett visst tredjelands adekvansstatus också skulle vara relevant vid en sådan bedömning. Se skälen

text: och

text: i

text: dataskyddsförordningen

text: och artikel 29-arbetsgruppens riktlinjer om öppenhet enligt förordning 2016/679 (wp260rev.01), punkt 10.

identifier: Riktlinjer 05/2021

publisher: Europeiska dataskyddsstyrelsen

sprak: sv

title: Riktlinjer 05/2021 om samspelet mellan tillämpningen av artikel 3 och bestämmelserna om internationella överföringar enligt kapitel V i dataskyddsförordningen

version: Final version

serie: riktlinjer

text: SAMMANFATTNING

type: rubrik

text: Dataskyddsförordningen innehåller ingen rättslig definition av begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation”. Därför tillhandahåller Europeiska dataskyddsstyrelsen (EDPB) dessa riktlinjer i syfte att klargöra under vilka förutsättningar EDPB anser att kraven i kapitel V bör tillämpas. För det ändamålet har EDPB fastställt tre kumulativa kriterier för att en behandling ska räknas som en överföring: 1) En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga. 2) Uppgiftsutföraren lämnar ut personuppgifter som omfattas av behandlingen genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare). 3) Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med artikel 3, eller är en internationell organisation.

type: stycke

text: Om dessa tre kriterier som fastställts av EDPB är uppfyllda sker en överföring och kapitel V i dataskyddsförordningen är tillämpligt. Detta innebär att överföringen endast kan ske på vissa villkor, till exempel inom ramen för ett beslut om adekvat skyddsnivå från Europeiska kommissionen (artikel 45) eller genom att vidta lämpliga skyddsåtgärder (artikel 46). Bestämmelserna i kapitel V syftar till att säkerställa ett fortsatt skydd av personuppgifter efter att de har överförts till tredjeland eller till en internationell organisation.

text: Om däremot de tre kriterierna inte är uppfyllda sker ingen överföring och kapitel V i dataskyddsförordningen är inte tillämpligt. I detta sammanhang är det viktigt att komma ihåg att den personuppgiftsansvarige fortfarande måste följa övriga bestämmelser i dataskyddsförordningen och är fullt ansvarig för sin behandling av personuppgifter, oavsett var den sker. Även om ett visst översändande av uppgifter inte skulle räknas som en överföring enligt kapitel V, kan behandlingen ändå vara förknippad med ökade risker eftersom den äger rum utanför EU, till exempel på grund av motstridiga nationella lagar eller oproportionerlig statlig åtkomst i tredjeland. Dessa risker måste beaktas när åtgärder vidtas enligt bland annat artikel 5 (”Principer för behandling av personuppgifter”), artikel 24 (”Den personuppgiftsansvariges ansvar”) och artikel 32 (”Säkerhet i samband med behandlingen”) – för att en sådan behandling ska vara laglig enligt dataskyddsförordningen.

text: Dessa riktlinjer innehåller olika exempel på uppgiftsflöden till tredjeländer, vilka även illustreras i en bilaga för att ge ytterligare praktisk vägledning.

text: Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

text: med beaktande av

text: artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

text: med beaktande av artiklarna 12 och 22 i arbetsordningen.

text: HÄRIGENOM FÖRESKRIVS FÖLJANDE.

text: 1 INLEDNING

text: 1. Enligt

text: artikel 44 i dataskyddsförordningen

text: ska de villkor som fastställs i kapitel V gälla för ”överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till tredjeland eller en internationell organisation ”. Det övergripande syftet med kapitel V är att säkerställa att den skyddsnivå som garanteras genom dataskyddsförordningen inte undergrävs när personuppgifter överförs ”till tredjeländer eller till internationella organisationer” .

text: 2. Bestämmelserna i kapitel V syftar därför till att säkerställa ett fortsatt skydd av personuppgifter efter att de har överförts till tredjeland eller till en internationell organisation. När personuppgifter behandlas i EU skyddas de inte bara av reglerna i dataskyddsförordningen utan även av andra regler, både på EU-nivå och på medlemsstatsnivå, som måste överensstämma med dataskyddsförordningen (inklusive eventuella undantag) och ytterst med EU-stadgan om de grundläggande rättigheterna. När personuppgifter översänds till eller görs tillgängliga för enheter utanför EU:s territorium eller för internationella organisationer är det sannolikt att skyddsnivån för enskilda personers rättigheter och friheter inte är väsentligen likvärdig med vad som erbjuds genom den övergripande rättsliga ram som finns inom unionen.

text: 3. Att skyddet upprätthålls kan säkerställas på olika sätt, till exempel genom den rättsliga ramen i det tredjeland eller den internationella organisation som omfattas av ett beslut om adekvat skyddsnivå från Europeiska kommissionen (

text: artikel 45

text: ) eller genom ett instrument mellan uppgiftsutföraren och uppgiftsinföraren som omfattar lämpliga skyddsåtgärder (

text: artikel 46

text: ) . När något av de överföringsinstrument som förtecknas i

text: artikel 46 i dataskyddsförordningen

text: används måste det bedömas om instrumentet säkerställer en skyddsnivå för de överförda uppgifterna som är väsentligen likvärdig med vad som garanteras inom EU, eller om det krävs kompletterande åtgärder .

text: 4. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde överför uppgifter till en uppgiftsinförare i tredjeland vars behandling omfattas av

text: artikel 3.2 i dataskyddsförordningen

text: kan det skydd som föreskrivs i förordningen på samma sätt undergrävas av den rättsliga ram som gäller för uppgiftsinföraren. Det kan till exempel vara fallet om tredjelandet har regler om statlig åtkomst till personuppgifter som sträcker sig utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle (för att skydda ett av de viktiga mål som också erkänns i unionens eller medlemsstaternas lagstiftning, till exempel de mål som förtecknas i

text: artikel 23.1 i dataskyddsförordningen

text: ). Bestämmelserna i kapitel V är till för att kompensera för denna risk och komplettera det territoriella tillämpningsområdet för dataskyddsförordningen enligt definitionen i

text: artikel 3

text: 5. Följande avsnitt syftar till att klargöra samspelet mellan

text: artikel 3

text: och bestämmelserna om internationella överföringar i kapitel V i dataskyddsförordningen. Syftet är att hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fastställa om en viss behandling utgör en överföring till tredjeland eller till en internationell organisation och, till följd av detta, huruvida de måste följa bestämmelserna i kapitel V i dataskyddsförordningen. Ett sådant klargörande är också viktigt för en enhetlig tolkning och tillämpning av dataskyddsförordningen bland tillsynsmyndigheterna.

text: 6. Som också förklaras närmare i avsnitt 4 är det under alla omständigheter viktigt att tänka på att även om ett visst uppgiftsflöde som omfattas av

text: artikel 3

text: inte alltid utgör en överföring enligt kapitel V, kan uppgiftsbehandlingen utanför EU vara förknippad med ökade risker för vilka skyddsåtgärder måste vidtas. Oavsett om behandlingen sker i EU eller inte måste personuppgiftsansvariga och personuppgiftsbiträden som omfattas av dataskyddsförordningen för en viss behandling alltid följa relevanta bestämmelser i dataskyddsförordningen, till exempel skyldigheten enligt

text: artikel 32

text: att vidta lämpliga tekniska och organisatoriska åtgärder, bland annat med beaktande av riskerna med behandlingen.

text: 2 KRITERIER FÖR ATT EN BEHANDLING SKA RÄKNAS SOM ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJELAND ELLER TILL EN INTERNATIONELL ORGANISATION

text: 7. Dataskyddsförordningen innehåller ingen rättslig definition av begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation” och relevant rättspraxis är begränsad . Avsaknaden av en definition av begreppet överföring i dataskyddsförordningen leder till rättslig osäkerhet om den exakta omfattningen av skyldigheterna enligt kapitel V och samspelet mellan

text: artikel 3

text: och kapitel V. Det är därför viktigt att klargöra detta begrepp.

text: 8. Med tanke på att EDPB, i enlighet med

text: artikel 70.1 b i dataskyddsförordningen

text: , har till uppgift att ge Europeiska kommissionen råd i alla frågor som rör skyddet av personuppgifter i unionen, däribland aspekter av förordningen som EDPB anser behöver förtydligas, uppmanar EDPB kommissionen att särskilt uppmärksamma denna fråga i samband med rapporten om tillämpningen och översynen av förordningen enligt

text: artikel 97

text: 9. Med tanke på att det i

text: artikel 70.1 e i dataskyddsförordningen

text: fastställs att EDPB ska utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av denna förordning, tillhandahåller EDPB denna vägledning för att klargöra i vilka situationer den anser att kraven i kapitel V bör tillämpas. För detta ändamål har den fastställt följande tre kumulativa kriterier för att en behandling ska räknas som en överföring: 1) En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga. 2) Uppgiftsutföraren lämnar ut personuppgifter som omfattas av behandlingen genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare). 3) Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med

text: artikel 3

text: , eller är en internationell organisation.

text: 10. I det avseendet är det viktigt att komma ihåg att bedömningen av om dataskyddsförordningen är tillämplig enligt

text: artikel 3

text: alltid ska göras i förhållande till en viss behandling, snarare än med avseende på en viss organisation (till exempel ett företag) .

text: 11. EDPB påminner också om att tillämpningen av dataskyddsförordningen inte påverkar bestämmelserna i internationell rätt, till exempel bestämmelser som styr privilegier och immunitet för diplomatiska representationer och konsulat utanför EU samt internationella organisationer (oavsett var de är belägna) .

text: 2.1 En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga

text: 12. Första kriteriet är att den aktuella behandlingen uppfyller kraven i

text: artikel 3 i dataskyddsförordningen

text: , dvs. att en personuppgiftsansvarig eller ett personuppgiftsbiträde omfattas av dataskyddsförordningen för behandlingen i fråga. Detta har vidareutvecklats i EDPB:s

text: riktlinjer 3/2018

text: artikel 3

text: 13. Det är värt att understryka att personuppgiftsansvariga och personuppgiftsbiträden, som inte är etablerade i EU, kan omfattas av dataskyddsförordningens

text: artikel 3.2

text: för en viss behandling och därför ska följa kapitel V när de överför personuppgifter till en personuppgiftsansvarig eller ett personuppgiftsbiträde i samma eller ett annat tredjeland eller till en internationell organisation, med beaktande av att skyldigheterna enligt dataskyddsförordningen inte skiljer sig åt för personuppgiftsansvariga/personuppgiftsbiträden som är etablerade i EU respektive personuppgiftsansvariga /personuppgiftsbiträden utanför EU vars behandling omfattas av

text: artikel 3.2

text: 14. Det kan också noteras att dataskyddsförordningen, inklusive kapitel V, är tillämplig på behandling av personuppgifter som utförs av EU-medlemsstaternas ambassader och konsulat utanför EU eftersom sådan behandling omfattas av dataskyddsförordningen med stöd av

text: artikel 3.3

text: 2.2 Uppgiftsutföraren lämnar ut personuppgifter som omfattas av denna behandling genom översändande eller genom att på annat sätt göra dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare).

text: 15. Det andra kriteriet är att uppgiftsutföraren lämnar ut uppgifter genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde. Begreppen personuppgiftsansvarig och personuppgiftsbiträde har förtydligats ytterligare i EDPB:s

text: riktlinjer 07/2020

text: . Det bör hållas i åtanke att begreppen personuppgiftsansvarig, gemensamt personuppgiftsansvarig och personuppgiftsbiträde är funktionella begrepp så till vida att de syftar till att fördela ansvaret med hänsyn till parternas faktiska roller. De är självständiga begrepp i den bemärkelsen att de huvudsakligen bör tolkas i enlighet med EU:s dataskyddslagstiftning. En analys är nödvändig från fall till fall av den aktuella behandlingen och de berörda aktörernas roller .

text: 16. Exempel på hur personuppgifter kan ”göras tillgängliga” är genom att skapa ett konto, bevilja åtkomsträttigheter till ett befintligt konto, ”bekräfta”/”godta” en effektiv begäran om fjärråtkomst, bygga in en hårddisk eller skicka lösenord till en fil. Det bör hållas i åtanke att fjärråtkomst från tredjeland (även om den endast sker genom att personuppgifter visas på en skärm, till exempel i supportsituationer, felsökning eller för administrativa ändamål) och/eller lagring i ett moln utanför EES som erbjuds av en tjänsteleverantör, också anses vara en överföring, förutsatt att de tre kriterier som anges i punkt 9 är uppfyllda .

text: 17. Omvänt gäller kapitel V inte ”intern behandling”, dvs. när uppgifter inte lämnas ut genom översändande eller på annat sätt görs tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde, även när sådan behandling äger rum utanför EU . I det fallet är den personuppgiftsansvarige eller personuppgiftsbiträdet fortsatt ansvarig för behandlingen, däribland att säkerställa efterlevnaden av alla relevanta bestämmelser och skyddsåtgärder i dataskyddsförordningen som är direkt tillämpliga (se även avsnitt 4 nedan). EES-tillsynsmyndigheterna kan exempelvis vidta åtgärder enligt dataskyddsförordningen mot dessa organisationer och de registrerade kan få gottgörelse om deras rättigheter kränks.

text: 18. Vidare kan detta andra kriterium inte anses vara uppfyllt när det inte finns någon personuppgiftsansvarig eller personuppgiftsbiträde som skickar uppgifterna till eller gör dem tillgängliga (dvs. ingen uppgiftsutförare) för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde, till exempel när uppgifterna lämnas ut direkt av den registrerade till mottagaren. Exempel 1: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt

text: artikel 3.2 i dataskyddsförordningen

text: ) Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland. Det utgör inte en överföring av personuppgifter eftersom uppgifterna inte överlämnas av en uppgiftsutförare (personuppgiftsansvarig eller personuppgiftsbiträde), utan samlas in direkt från den registrerade av den personuppgiftsansvarige i enlighet med

text: artikel 3.2 i dataskyddsförordningen

text: . Kapitel V är därför inte tillämpligt i det fallet. Företaget i tredjeland är dock skyldigt att tillämpa dataskyddsförordningen eftersom företagets behandling omfattas av

text: artikel 3.2

text: . Exempel 2: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt

text: artikel 3.2 i dataskyddsförordningen

text: ) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. Företaget i tredjeland anlitar ett personuppgiftsbiträde utanför EES för att behandla de beställningar som görs via webbplatsen. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland, och detta utgör inte en överföring av personuppgifter eftersom uppgifterna samlas in direkt av den personuppgiftsansvarige enligt

text: artikel 3.2 i dataskyddsförordningen

text: . Den personuppgiftsansvarige måste därför tillämpa dataskyddsförordningen på behandlingen av dessa personuppgifter. I den mån den personuppgiftsansvarige anlitar ett personuppgiftsbiträde utanför EES innebär ett sådant utlämnande från företaget i tredjeland till personuppgiftsbiträdet utanför EES en överföring, och då krävs det att skyldigheterna enligt

text: artikel 28

text: och kapitel V iakttas för att säkerställa att den skyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs när personuppgiftsbiträdet utanför EES behandlar personuppgifter för företagets räkning . Exempel 3: En personuppgiftsansvarig i tredjeland tar emot uppgifter direkt från en registrerad i EU (men inte enligt

text: artikel 3.2 i dataskyddsförordningen

text: ) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling Maria, som bor i Italien, bestämmer sig för att boka rum på ett hotell i New York via ett formulär på hotellets webbplats. Personuppgifter samlas in direkt av hotellet som inte riktar sig till eller övervakar personer inom EES. I det fallet sker ingen överföring eftersom uppgifterna lämnas direkt av den registrerade och samlas in direkt av den personuppgiftsansvarige. Eftersom hotellet inte riktar sig till eller övervakar enskilda personer i EES är dataskyddsförordningen inte heller tillämplig, vilket även gäller den behandling som utförs av personuppgiftsbiträden utanför EES för hotellets räkning. Exempel 4: Uppgifter samlas in via en plattform i EES och vidarebefordras till en personuppgiftsansvarig i tredjeland Maria, som bor i Italien, bokar rum på ett hotell i New York via en webbaserad resebyrå i EES. Marias personuppgifter, som krävs för hotellbokningen, samlas in av resebyrån i EES som personuppgiftsansvarig och skickas till hotellet som tar emot uppgifterna som en separat personuppgiftsansvarig. I samband med att personuppgifterna förmedlas till hotellet i tredjeland gör resebyrån i EES en överföring av personuppgifter och kapitel V i dataskyddsförordningen är tillämpligt. Exempel 5: En personuppgiftsansvarig i EU skickar uppgifter till ett personuppgiftsbiträde i tredjeland Företaget X som är etablerat i Österrike tillhandahåller, i egenskap av personuppgiftsansvarig, personuppgifter om sina anställda eller kunder till företaget Z i tredjeland, som behandlar dessa uppgifter som personuppgiftsbiträde på uppdrag av företaget X. I det fallet tillhandahålls uppgifter från en personuppgiftsansvarig, som omfattas av dataskyddsförordningen för den aktuella behandlingen, till ett personuppgiftsbiträde i tredjeland. Tillhandahållandet av uppgifter betraktas därför som en överföring av personuppgifter till tredjeland och då är kapitel V i dataskyddsförordningen tillämpligt.

text: 19. Det är också viktigt att notera att det i

text: artikel 44 i dataskyddsförordningen

text: tydligt anges att en överföring kan utföras av både personuppgiftsansvariga och personuppgiftsbiträden. Det kommer därför att uppstå en överföringssituation när ett personuppgiftsbiträde (antingen enligt

text: artikel 3.1

text: eller

text: artikel 3.2

text: för en viss behandling, såsom förklaras ovan) skickar uppgifter till ett annat personuppgiftsbiträde eller till och med en annan personuppgiftsansvarig i tredjeland, enligt instruktioner från sin personuppgiftsansvarige . I dessa fall agerar personuppgiftsbiträdet som uppgiftsutförare för den personuppgiftsansvariges räkning och måste säkerställa att bestämmelserna i kapitel V efterlevs för den aktuella överföringen enligt den personuppgiftsansvariges instruktioner, vilket inbegriper användning av ett lämpligt överföringsverktyg. Eftersom överföringen är en behandling som utförs för den personuppgiftsansvariges räkning kan den personuppgiftsansvarige dessutom hållas ansvarig enligt kapitel V och måste även säkerställa att personuppgiftsbiträdet ger tillräckliga garantier enligt

text: artikel 28

text: . Exempel 6: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland XYZ Inc., en personuppgiftsansvarig som inte är etablerad i EU, skickar personuppgifter om sina anställda/kunder, samtliga registrerade som inte befinner sig i EU, till personuppgiftsbiträdet ABC Ltd. för behandling i EU för XYZ:s räkning. ABC skickar uppgifterna tillbaka till XYZ. Den behandling som utförs av ABC, personuppgiftsbiträdet, omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt

text: artikel 3.1

text: , eftersom ABC är etablerat i EU. Eftersom XYZ är en personuppgiftsansvarig i tredjeland betraktas utlämnandet av uppgifter från ABC till XYZ som en överföring av personuppgifter och därför är kapitel V tillämpligt. Exempel 7: Ett personuppgiftsbiträde i EU skickar uppgifter till ett underbiträde i tredjeland Företaget A, som är etablerat i Tyskland, har i egenskap av personuppgiftsansvarig anlitat B, ett franskt företag, som personuppgiftsbiträde. B vill i sin tur delegera en del av den behandling som utförs för A:s räkning till underbiträde C, ett företag i tredjeland, och därmed skicka uppgifterna för det ändamålet till C. Den behandling som utförs av både A och dess personuppgiftsbiträde B sker inom ramen för deras verksamhetsställen i EU och omfattas därför av dataskyddsförordningen i enlighet med

text: artikel 3.1

text: , medan C utför sin behandling i tredjeland. Överföringen av uppgifter från personuppgiftsbiträde B till underbiträde C är därför en överföring till tredjeland, och kapitel V i dataskyddsförordningen gäller.

text: 20. Som framgår av punkt 17 ovan innebär det andra kriteriet att begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation” endast gäller utlämnande av personuppgifter om två olika (separata) parter (var och en av dem personuppgiftsansvarig, gemensamt personuppgiftsansvarig eller personuppgiftsbiträde) är involverade. För att räknas som överföring måste det finnas en personuppgiftsansvarig eller ett personuppgiftsbiträde som lämnar ut uppgifterna (uppgiftsutförare) och en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde som tar emot eller får tillgång till uppgifterna (uppgiftsinförare). Exempel 8: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa George som är anställd vid A, ett företag med säte i Polen, reser till tredjeland för ett möte och har med sig sin bärbara dator. Under vistelsen utomlands sätter George på datorn och får fjärråtkomst till personuppgifter på företagets databaser för att slutföra ett PM. Att George har med sig en bärbar dator och får fjärråtkomst till personuppgifter från tredjeland utgör inte en överföring av personuppgifter, eftersom George inte är personuppgiftsansvarig utan anställd och därmed en integrerad del av den personuppgiftsansvarige (A) . Därmed sker översändandet inom samma personuppgiftsansvarige (A). Behandlingen, inklusive fjärråtkomsten och den behandling som George utför efter åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen och som omfattas av

text: artikel 3.1 i dataskyddsförordningen

text: . Det kan dock noteras att om George i egenskap av anställd vid A skulle skicka eller göra uppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde i tredjeland, skulle uppgiftsflödet i fråga utgöra en överföring enligt kapitel V, från uppgiftsutföraren (A) i EU till den uppgiftsinföraren i tredjeland.

text: 21. Erinras bör också att enheter som ingår i samma koncern kan betraktas som separata personuppgiftsansvariga eller personuppgiftsbiträden. Följaktligen kan utlämnande av uppgifter mellan enheter som tillhör samma koncern (koncerninterna utlämnanden) utgöra överföring av personuppgifter . Exempel 9: Ett dotterbolag (personuppgiftsansvarig) i EU delar uppgifter med sitt moderbolag (personuppgiftsbiträde) i tredjeland Det irländska företaget X, som är ett dotterbolag till moderbolaget Y i tredjeland, lämnar ut personuppgifter om sina anställda till Y som ska lagras i en centraliserad HR-databas av moderbolaget i tredjeland. I detta fall behandlar (och utlämnar) det irländska företaget X uppgifterna i egenskap av arbetsgivare och därmed personuppgiftsansvarig, medan moderbolaget är personuppgiftsbiträde. Företaget X omfattas av dataskyddsförordningen i enlighet med

text: artikel 3.1

text: för denna behandling och företaget Y är i tredjeland. Utlämnandet av uppgifter räknas därför som en överföring till tredjeland i den mening som avses i kapitel V i dataskyddsförordningen.

text: 2.3 Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med

text: artikel 3

text: , eller är en internationell organisation

text: 22. Det tredje kriteriet är att uppgiftsinföraren geografiskt är belägen i tredjeland, oavsett om behandlingen i fråga omfattas av dataskyddsförordningen, eller är en internationell organisation.

text: 23. EDPB betonar att detta kriterium syftar till att säkerställa att den skyddsnivå för fysiska personer som garanteras genom dataskyddsförordningen inte undergrävs då personuppgifter inte längre behandlas inom EES rättsliga ram (se i detta avseende

text: artikel 44

text: , sista meningen och

text: skäl 101

text: i

text: dataskyddsförordningen

text: ). Detta kan ske antingen på grund av att dataskyddsförordningen inte är tillämplig på uppgiftsinföraren för den berörda behandlingen eller för att personuppgifterna, även om behandlingen omfattas av dataskyddsförordningen, behandlas av en uppgiftsinförare som är belägen utanför EES och därför kan omfattas av andra (motstridiga) rättsliga ramar, till exempel när det gäller eventuell oproportionerlig statlig åtkomst till personuppgifter. Relevanta överväganden i det sammanhanget är också eventuella svårigheter att genomdriva efterlevnaden av dataskyddsförordningen och få prövning mot organisationer utanför EES. Exempel 10: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland Företaget A, en personuppgiftsansvarig som inte är etablerad i EU, erbjuder varor och tjänster till EUmarknaden. Det franska företaget B behandlar personuppgifter på uppdrag av företaget A, och skickar tillbaka uppgifterna till A. Den behandling som utförs av personuppgiftsbiträdet B omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt

text: artikel 3.1

text: , eftersom behandlingen sker inom ramen för dess verksamhetsställe i EU. Den behandling som utförs av A omfattas också av dataskyddsförordningen, eftersom

text: artikel 3.2

text: är tillämplig på A. Då A är i tredjeland betraktas dock utlämnandet av uppgifter från B till A som en överföring till tredjeland och därför är kapitel V tillämpligt. Exempel 11: Ett personuppgiftsbiträde i tredjeland agerar på uppdrag av personuppgiftsansvariga i EU och får fjärråtkomst till uppgifter i EU Ett företag i tredjeland (företag Z), som inte är etablerat i EU, erbjuder tjänster som personuppgiftsbiträde till företag i EU. Företaget Z, som agerar personuppgiftsbiträde för de personuppgiftsansvariga i EU, har fjärråtkomst till uppgifter som lagras i EU för till exempel supportändamål. Eftersom företaget Z är i tredjeland leder sådan fjärråtkomst till överföring av uppgifter från de personuppgiftsansvariga i EU till deras personuppgiftsbiträde (företaget Z) i tredjeland enligt kapitel V.

text: 24. En annan situation som är värd att nämna i detta sammanhang är när en personuppgiftsansvarig i EU använder sig av ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning, och det finns en möjlighet att personuppgiftsbiträdet får en begäran om statlig åtkomst och därmed att en överföring av personuppgifter sker om personuppgiftsbiträdet åtlyder denna begäran. I en sådan situation bör man komma ihåg att personuppgiftsansvariga enligt

text: artikel 28.1

text: och

text: skäl 81

text: i

text: dataskyddsförordningen

text: endast får använda personuppgiftsbiträden som ger tillräckliga garantier för att tekniska och organisatoriska åtgärder kommer att vidtas som uppfyller kraven i dataskyddsförordningen. I detta sammanhang hänvisar dataskyddsförordningen inte bara till sakkunskap och resurser utan även till tillförlitlighet, som kan vara tvivelaktig om personuppgiftsbiträdet omfattas av lagstiftning i tredjeland som kan hindra det från att fullgöra sina skyldigheter som personuppgiftsbiträde. Frågan om huruvida personuppgiftsbiträdet ger tillräckliga garantier gäller också behandlingens laglighet och respekten för principen om integritet och konfidentialitet för vilken den personuppgiftsansvarige har en ansvarsskyldighet enligt

text: artikel 5.2 i dataskyddsförordningen

text: . Exempel 12: En personuppgiftsansvarig i EU använder ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning Det danska företaget X, som agerar som personuppgiftsansvarig, anlitar företaget Y som är etablerat i EU som personuppgiftsbiträde. Företaget Y är dotterbolag till moderbolaget Z som är beläget i tredjeland. Företaget Y behandlar uppgifter från företaget X uteslutande i EU och ingen utanför EU, inklusive moderbolaget Z, har tillgång till uppgifterna. Dessutom följer det av avtalet mellan företaget X och företaget Y att företaget Y endast ska behandla personuppgifterna på dokumenterade instruktioner från företaget X, såvida detta inte krävs enligt unionsrätten eller en medlemsstats nationella lagstiftning som företaget Y omfattas av. Företaget Y omfattas dock av lagstiftning i tredjeland med extraterritoriell verkan, vilket i detta fall innebär att företaget Y kan få begäranden om åtkomst från myndigheter i tredjeland. Eftersom företaget Y inte är beläget i tredjeland (utan är ett företag i EU som omfattas av

text: artikel 3.1 i dataskyddsförordningen

text: ) innebär inte utlämnandet av uppgifter från företaget X som personuppgiftsansvarig till företaget Y som personuppgiftsbiträde en överföring och kapitel V i dataskyddsförordningen är inte tillämpligt. Som nämnts finns dock en möjlighet att företaget Y får en begäran om åtkomst från myndigheter i tredjeland, och om företaget Y efterlever denna begäran skulle ett sådant utlämnande av uppgifter betraktas som en överföring enligt kapitel V. Om företaget Y efterlever en begäran i strid med den personuppgiftsansvariges instruktioner och därmed

text: artikel 28 i dataskyddsförordningen

text: , ska företaget anses vara en självständig personuppgiftsansvarig för behandlingen i fråga enligt

text: artikel 28.10 i dataskyddsförordningen

text: . I den situationen bör det personuppgiftsansvariga företaget X, innan det anlitar personuppgiftsbiträdet, bedöma dessa omständigheter för att säkerställa att det, i enlighet med

text: artikel 28 i dataskyddsförordningen

text: , endast använder personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen blir förenlig med dataskyddsförordningen, inbegripet kapitel V, samt för att säkerställa att det finns ett avtal eller en rättsakt som styr personuppgiftsbiträdets behandling.

text: 3 KONSEKVENSER VID ÖVERFÖRING AV PERSONUPPGIFTER

text: 25. Om alla kriterier som fastställts av EDPB är uppfyllda sker en ”överföring till tredjeland eller till en internationell organisation”. En överföring innebär således att en personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare), som när det gäller den berörda behandlingen omfattas av dataskyddsförordningen i enlighet med

text: artikel 3

text: , översänder till eller gör personuppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (uppgiftsinförare) i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen med avseende på den berörda behandlingen, eller för en internationell organisation.

text: 26. Följaktligen måste uppgiftsutföraren uppfylla villkoren i kapitel V och använda ett överföringsinstrument som syftar till att skydda personuppgifterna efter att de har överförts till tredjeland eller en internationell organisation.

text: 27. Sådana instrument omfattar ett beslut om adekvat skyddsnivå som antagits av Europeiska kommissionen och som erkänner att det finns en adekvat skyddsnivå i det tredjeland eller den internationella organisation till vilken uppgifterna överförs (

text: artikel 45

text: ) eller, i avsaknad av en sådan adekvat skyddsnivå, att uppgiftsutföraren (personuppgiftsansvarig eller personuppgiftsbiträde) vidtar lämpliga skyddsåtgärder enligt

text: artikel 46

text: . Enligt

text: artikel 49

text: kan personuppgifter dessutom överföras till tredjeland eller en internationell organisation utan att det finns en adekvat skyddsnivå eller lämpliga skyddsåtgärder tillämpas, i särskilda situationer och på vissa villkor .

text: 28. De huvudsakliga typerna av överföringsinstrument som förtecknas i

text: artikel 46

text: är: • Standardavtalsklausuler • Bindande företagsbestämmelser • Uppförandekoder • Certifieringsmekanismer • Ad hoc-avtalsklausuler • Internationella avtal/administrativa överenskommelser .

text: 29. Innehållet i de skyddsåtgärder som föreskrivs i överföringsinstrumenten måste anpassas till situationen. Som exempel är de garantier som ska ges för en överföring av personuppgifter från ett personuppgiftsbiträde inte desamma som de garantier som ska ges för en överföring från en personuppgiftsansvarig . Likaså bör det noteras, vid en överföring av personuppgifter till en personuppgiftsansvarig eller ett personuppgiftsbiträde i tredjeland som redan omfattas av dataskyddsförordningen för en viss behandling, att dataskyddsförordningen redan gäller i sin helhet. För ett sådant scenario, när relevanta överföringsinstrument tas fram enligt

text: artikel 46

text: , dvs. standardavtalsklausuler eller ad hoc-avtalsklausuler , bör därmed situationen i

text: artikel 3

text: beaktas för att inte skyldigheterna i dataskyddsförordningen ska dupliceras utan att man snarare tar itu med de faktorer som specifikt rör de risker som är förknippade med att uppgiftsinföraren är belägen i tredjeland, till exempel eventuella motstridiga nationella lagar och myndigheternas tillgång i tredjeland, samt svårigheten att vidta åtgärder mot och erhålla gottgörelse från en organisation utanför EU. Sådana instrument bör till exempel omfatta de åtgärder som ska vidtas vid en lagkonflikt mellan tredjelandslagstiftning och dataskyddsförordningen och vid begäranden från tredjeland om utlämnande av uppgifter. EDPB uppmuntrar och står redo att samarbeta i fråga om utvecklingen av ett överföringsinstrument, till exempel en ny uppsättning standardavtalsklausuler enligt

text: artikel 46.2 c

text: , i de fall där uppgiftsinföraren omfattas av dataskyddsförordningen för den berörda behandlingen. EDPB noterar att Europeiska kommissionen har uppgett att den håller på att utarbeta ytterligare standardavtalsklausuler för detta scenario som kommer att beakta de krav som redan gäller direkt för dessa personuppgiftsansvariga och personuppgiftsbiträden enligt dataskyddsförordningen .

text: 30. Om de kriterier som fastställs av EDPB inte är uppfyllda sker däremot ingen överföring och kapitel V i dataskyddsförordningen är inte tillämpligt.

text: 4 SKYDDSÅTGÄRDER SOM SKA VIDTAS OM PERSONUPPGIFTER BEHANDLAS UTANFÖR EES MEN INGEN ÖVERFÖRING SKER

text: 31. Om samma personuppgiftsansvarige eller personuppgiftsbiträde behandlar uppgifter utanför EU utan att lämna ut dem till en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (till exempel om en anställd hos en personuppgiftsansvarig i EU reser utomlands och har tillgång till den personuppgiftsansvariges uppgifter medan han eller hon befinner sig i tredjeland, eller vid direkt insamling från enskilda personer i EU enligt

text: artikel 3.2

text: ), ska behandlingen inte betraktas som en överföring enligt kapitel V i dataskyddsförordningen utifrån de kriterier som fastställs ovan. I detta sammanhang är det ändå viktigt att komma ihåg att den personuppgiftsansvarige måste följa dataskyddsförordningen och fortsatt är fullt ansvarig för sina behandlingar, oavsett var de sker. Detta innebär också att den personuppgiftsansvarige eller personuppgiftsbiträdet bör ägna särskild uppmärksamhet åt de rättsliga ramar i tredjeland som kan påverka deras förmåga att respektera dataskyddsförordningen. Även om ett viss översändande av uppgifter inte skulle räknas som en överföring till tredjeland enligt kapitel V i dataskyddsförordningen, däribland det scenario som beskrivs i exempel 8, kan behandlingen fortfarande vara förknippad med ökade risker eftersom den äger rum utanför EU, till exempel på grund av motstridiga nationella lagar eller oproportionerlig statlig åtkomst i tredjeland. Dessa risker måste beaktas när åtgärder vidtas för att säkra efterlevnaden av dataskyddsförordningen, däribland enligt

text: artikel 5

text: (”Principer för behandling av personuppgifter”),

text: artikel 24

text: (”Den personuppgiftsansvariges ansvar”), 32 (”Säkerhet i samband med behandlingen”), 33 (”Anmälan av en personuppgiftsincident till tillsynsmyndigheten”), 35 (”Konsekvensbedömning avseende dataskydd”), 48 (”Överföringar och utlämnanden som inte är tillåtna enligt unionsrätten”) osv.

text: 32. En personuppgiftsansvarig kan, i enlighet med sin skyldighet att ansvara för och kunna visa att dataskyddsprinciperna (

text: artikel 5

text: ) följs och genomföra tekniska och organisatoriska åtgärder med beaktande av bland annat riskerna med behandlingen enligt

text: artikel 32 i dataskyddsförordningen

text: , mycket väl dra slutsatsen att omfattande säkerhetsåtgärder behövs för att utföra eller gå vidare med en viss behandling i tredjeland – eller till och med att det inte skulle vara lagligt – trots att det inte föreligger en överföringssituation. När en väsentligen likvärdig skyddsnivå inte kan garanteras i en överföringssituation kräver Europeiska unionens domstol ytterst att överföringen ska avbrytas eller stoppas . I detta avseende fokuserar domstolen på de risker som en viss behandling för med sig på grund av dess gränsöverskridande dimension. Dessa krav är också relevanta vid bedömningen av situationer som innebär liknande risker (även om de inte betraktas som överföringar) , till exempel vid oproportionerlig åtkomst för myndigheter i tredjeländer. En personuppgiftsansvarig kan till exempel dra slutsatsen att anställda inte kan ta med sig sina bärbara datorer osv. till vissa tredjeländer. I detta sammanhang bör det åter understrykas att så snart uppgifterna lämnas ut genom översändande eller på annat sätt görs tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (som även kan vara en myndighet) i tredjeland (till exempel av en anställd under en tjänsteresa), utgör det aktuella uppgiftsflödet en överföring enligt kapitel V.

text: 33. När en personuppgiftsansvarig avser att behandla personuppgifter utanför EU (även om ingen överföring sker) bör sådan information i regel ges till enskilda personer som en del av den personuppgiftsansvariges transparensskyldigheter, till exempel för att säkra efterlevnad av principen om öppenhet och rättvisa, vilket också kräver att personuppgiftsansvariga informerar enskilda personer om riskerna i samband med behandlingen .

text: 34. Sammanfattningsvis är personuppgiftsansvariga och personuppgiftsbiträden vilkas behandling omfattas av dataskyddsförordningen ansvariga för all sin behandling, oavsett var den äger rum, och uppgiftsbehandling i tredjeländer kan innebära ökade risker, bland annat vad gäller oproportionerlig statlig åtkomst, som måste fastställas och hanteras uppmärksamt för att sådan behandling ska vara laglig enligt dataskyddsförordningen. EDPB kommer att utvärdera om det finns behov av ytterligare vägledning om skyddsåtgärder i detta avseende.

text: BILAGA: ILLUSTRATIONER AV EXEMPLEN 1-12

text: Exempel 1: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel

text: 3.2 i dataskyddsförordningen)

text: Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland. Det utgör inte en överföring av personuppgifter eftersom uppgifterna inte överlämnas av en uppgiftsutförare (personuppgiftsansvarig eller personuppgiftsbiträde), utan samlas in direkt från den registrerade av den personuppgiftsansvarige enligt

text: artikel 3.2 i dataskyddsförordningen

text: artikel 3.2

text: Exempel 2: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel

text: 3.2 i dataskyddsförordningen) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling

text: artikel 3.2 i dataskyddsförordningen

text: artikel 28

text: och kapitel V

text: iakttas för att säkerställa att den skyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs när personuppgiftsbiträdet utanför EES behandlar personuppgifter för företagets räkning.

text: Exempel 3: En personuppgiftsansvarig i tredjeland tar emot uppgifter direkt från en registrerad i EU (men inte enligt

text: artikel 3.2 i dataskyddsförordningen

text: ) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling

text: Exempel 4: Uppgifter som samlats in via en plattform i EES och därefter vidarebefordrats till en personuppgiftsansvarig i tredjeland

text: Maria, som bor i Italien, bokar rum på ett hotell i New York via en webbaserad resebyrå i EES. Marias personuppgifter, som krävs för hotellbokningen, samlas in av resebyrån i EES som personuppgiftsansvarig och skickas till hotellet som

text: tar emot uppgifterna som en separat personuppgiftsansvarig. I samband med att personuppgifterna förmedlas till hotellet i tredjeland gör resebyrån i EES en överföring av personuppgifter och kapitel V i dataskyddsförordningen är tillämpligt.

text: Exempel 5: En personuppgiftsansvarig i EU skickar uppgifter till ett personuppgiftsbiträde i tredjeland

text: Exempel 6: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland

text: artikel 3.1

text: , eftersom ABC är etablerat i EU. Eftersom XYZ är en personuppgiftsansvarig i tredjeland betraktas utlämnandet av uppgifter från ABC till XYZ som en överföring av personuppgifter och därför är kapitel V tillämpligt.

text: Exempel 7: Ett personuppgiftsbiträde i EU skickar uppgifter till ett underbiträde i tredjeland

text: artikel 3.1

text: Exempel 8.1: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa

text: åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen, och som omfattas av

text: artikel 3.1 i dataskyddsförordningen

text: Exempel 8.2: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa

text: George som är anställd vid A, ett företag med säte i Polen, reser till tredjeland för ett möte och har med sig sin bärbara dator. Under vistelsen utomlands sätter George på datorn och får fjärråtkomst till personuppgifter på företagets databaser för att slutföra ett PM. Att George har med sig en bärbar dator och får fjärråtkomst till personuppgifter från tredjeland utgör inte en överföring av personuppgifter, eftersom George inte är personuppgiftsansvarig utan anställd och därmed en integrerad del av den personuppgiftsansvarige (A). Därmed sker översändandet inom samma personuppgiftsansvarige (A). Behandlingen, inklusive fjärråtkomsten och den behandling som George utför efter åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen, och som omfattas av

text: artikel 3.1 i dataskyddsförordningen

text: . Det kan dock noteras att om George i egenskap av anställd vid A skulle skicka eller göra uppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde i tredjeland skulle uppgiftsflödet i fråga utgöra en överföring enligt kapitel V, från uppgiftsutföraren (A) i EU till en uppgiftsinförare i tredjeland.

text: Exempel 9: Ett dotterbolag (personuppgiftsansvarig) i EU delar uppgifter med sitt moderbolag (personuppgiftsbiträde) i tredjeland

text: moderbolaget är personuppgiftsbiträde. Företaget X omfattas av dataskyddsförordningen i enlighet med

text: artikel 3.1

text: Exempel 10: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland

text: Företaget A, en personuppgiftsansvarig som inte är etablerat i EU, erbjuder varor och tjänster till EU-marknaden. Det franska företaget B behandlar personuppgifter på uppdrag av företaget A, och skickar tillbaka uppgifterna till A. Den behandling som utförs av personuppgiftsbiträdet B omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt

text: artikel 3.1

text: artikel 3.2

text: är tillämplig på A. Då A är i tredjeland betraktas dock utlämnandet av uppgifter från B till A som en överföring till tredjeland och därför är kapitel V tillämpligt.

text: Exempel 11: Ett personuppgiftsbiträde i tredjeland agerar på uppdrag av personuppgiftsansvariga i EU och får fjärråtkomst till uppgifter i EU

text: Ett företag i tredjeland (företag Z), som inte är etablerat i EU, erbjuder tjänster som personuppgiftsbiträde till företag i EU. Företaget Z, som agerar personuppgiftsbiträde för de personuppgiftsansvariga i EU, har fjärråtkomst till uppgifter

text: som lagras i EU för till exempel supportändamål. Eftersom företaget Z är i tredjeland leder sådan fjärråtkomst till överföring av uppgifter från de personuppgiftsansvariga i EU till deras personuppgiftsbiträde (företaget Z) i tredjeland enligt kapitel V.

text: Exempel 12: En personuppgiftsansvarig i EU använder ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning

text: Det danska företaget X, som agerar som personuppgiftsansvarig, anlitar företaget Y som är etablerat i EU som personuppgiftsbiträde. Företaget Y är dotterbolag till moderbolaget Z som är beläget i tredjeland. Företaget Y behandlar uppgifter från företaget X uteslutande i EU och ingen utanför EU, inklusive moderbolaget Z, har tillgång till uppgifterna. Dessutom följer det av avtalet mellan företaget X och företaget Y att företaget Y endast ska behandla personuppgifterna på dokumenterade instruktioner från företaget X, såvida detta inte krävs enligt unionsrätten eller en medlemsstats nationella lagstiftning som företaget Y omfattas av. Företaget Y omfattas dock av lagstiftning i tredjeland med extraterritoriell verkan, vilket i detta fall innebär att företaget Y kan få begäranden om åtkomst från myndigheter i tredjeland. Eftersom företaget Y inte är i tredjeland (utan är ett företag i EU som omfattas av

text: artikel 3.1 i dataskyddsförordningen

text: artikel 28 i dataskyddsförordningen

text: artikel 28.10 i dataskyddsförordningen

text: artikel 28 i dataskyddsförordningen

text: , endast använder personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen blir förenlig med dataskyddsförordningen, däribland kapitel V, samt för att säkerställa att det finns ett avtal eller en rättsakt som styr personuppgiftsbiträdets behandling.

type: vagledning

utgivare: edpb