Riktlinjer 05/2021 om samspelet mellan tillämpningen av artikel 3 och bestämmelserna om internationella överföringar enligt kapitel V i dataskyddsförordningen

SAMMANFATTNING

Dataskyddsförordningen innehåller ingen rättslig definition av begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation”. Därför tillhandahåller Europeiska dataskyddsstyrelsen (EDPB) dessa riktlinjer i syfte att klargöra under vilka förutsättningar EDPB anser att kraven i kapitel V bör tillämpas. För det ändamålet har EDPB fastställt tre kumulativa kriterier för att en behandling ska räknas som en överföring: 1) En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga. 2) Uppgiftsutföraren lämnar ut personuppgifter som omfattas av behandlingen genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare). 3) Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med artikel 3, eller är en internationell organisation.

Om dessa tre kriterier som fastställts av EDPB är uppfyllda sker en överföring och kapitel V i dataskyddsförordningen är tillämpligt. Detta innebär att överföringen endast kan ske på vissa villkor, till exempel inom ramen för ett beslut om adekvat skyddsnivå från Europeiska kommissionen (artikel 45) eller genom att vidta lämpliga skyddsåtgärder (artikel 46). Bestämmelserna i kapitel V syftar till att säkerställa ett fortsatt skydd av personuppgifter efter att de har överförts till tredjeland eller till en internationell organisation.

Om däremot de tre kriterierna inte är uppfyllda sker ingen överföring och kapitel V i dataskyddsförordningen är inte tillämpligt. I detta sammanhang är det viktigt att komma ihåg att den personuppgiftsansvarige fortfarande måste följa övriga bestämmelser i dataskyddsförordningen och är fullt ansvarig för sin behandling av personuppgifter, oavsett var den sker. Även om ett visst översändande av uppgifter inte skulle räknas som en överföring enligt kapitel V, kan behandlingen ändå vara förknippad med ökade risker eftersom den äger rum utanför EU, till exempel på grund av motstridiga nationella lagar eller oproportionerlig statlig åtkomst i tredjeland. Dessa risker måste beaktas när åtgärder vidtas enligt bland annat artikel 5 (”Principer för behandling av personuppgifter”), artikel 24 (”Den personuppgiftsansvariges ansvar”) och artikel 32 (”Säkerhet i samband med behandlingen”) – för att en sådan behandling ska vara laglig enligt dataskyddsförordningen.

Dessa riktlinjer innehåller olika exempel på uppgiftsflöden till tredjeländer, vilka även illustreras i en bilaga för att ge ytterligare praktisk vägledning.

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen), med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 , och

med beaktande av artiklarna 12 och 22 i arbetsordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 INLEDNING

1. Enligt artikel 44 i dataskyddsförordningen ska de villkor som fastställs i kapitel V gälla för ”överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till tredjeland eller en internationell organisation ”. Det övergripande syftet med kapitel V är att säkerställa att den skyddsnivå som garanteras genom dataskyddsförordningen inte undergrävs när personuppgifter överförs ”till tredjeländer eller till internationella organisationer” .

2. Bestämmelserna i kapitel V syftar därför till att säkerställa ett fortsatt skydd av personuppgifter efter att de har överförts till tredjeland eller till en internationell organisation. När personuppgifter behandlas i EU skyddas de inte bara av reglerna i dataskyddsförordningen utan även av andra regler, både på EU-nivå och på medlemsstatsnivå, som måste överensstämma med dataskyddsförordningen (inklusive eventuella undantag) och ytterst med EU-stadgan om de grundläggande rättigheterna. När personuppgifter översänds till eller görs tillgängliga för enheter utanför EU:s territorium eller för internationella organisationer är det sannolikt att skyddsnivån för enskilda personers rättigheter och friheter inte är väsentligen likvärdig med vad som erbjuds genom den övergripande rättsliga ram som finns inom unionen.

3. Att skyddet upprätthålls kan säkerställas på olika sätt, till exempel genom den rättsliga ramen i det tredjeland eller den internationella organisation som omfattas av ett beslut om adekvat skyddsnivå från Europeiska kommissionen (artikel 45) eller genom ett instrument mellan uppgiftsutföraren och uppgiftsinföraren som omfattar lämpliga skyddsåtgärder (artikel 46) . När något av de överföringsinstrument som förtecknas i artikel 46 i dataskyddsförordningen används måste det bedömas om instrumentet säkerställer en skyddsnivå för de överförda uppgifterna som är väsentligen likvärdig med vad som garanteras inom EU, eller om det krävs kompletterande åtgärder .

4. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde överför uppgifter till en uppgiftsinförare i tredjeland vars behandling omfattas av artikel 3.2 i dataskyddsförordningen kan det skydd som föreskrivs i förordningen på samma sätt undergrävas av den rättsliga ram som gäller för uppgiftsinföraren. Det kan till exempel vara fallet om tredjelandet har regler om statlig åtkomst till personuppgifter som sträcker sig utöver vad som är nödvändigt och proportionerligt i ett demokratiskt samhälle (för att skydda ett av de viktiga mål som också erkänns i unionens eller medlemsstaternas lagstiftning, till exempel de mål som förtecknas i artikel 23.1 i dataskyddsförordningen). Bestämmelserna i kapitel V är till för att kompensera för denna risk och komplettera det territoriella tillämpningsområdet för dataskyddsförordningen enligt definitionen i artikel 3.

5. Följande avsnitt syftar till att klargöra samspelet mellan artikel 3 och bestämmelserna om internationella överföringar i kapitel V i dataskyddsförordningen. Syftet är att hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fastställa om en viss behandling utgör en överföring till tredjeland eller till en internationell organisation och, till följd av detta, huruvida de måste följa bestämmelserna i kapitel V i dataskyddsförordningen. Ett sådant klargörande är också viktigt för en enhetlig tolkning och tillämpning av dataskyddsförordningen bland tillsynsmyndigheterna.

6. Som också förklaras närmare i avsnitt 4 är det under alla omständigheter viktigt att tänka på att även om ett visst uppgiftsflöde som omfattas av artikel 3 inte alltid utgör en överföring enligt kapitel V, kan uppgiftsbehandlingen utanför EU vara förknippad med ökade risker för vilka skyddsåtgärder måste vidtas. Oavsett om behandlingen sker i EU eller inte måste personuppgiftsansvariga och personuppgiftsbiträden som omfattas av dataskyddsförordningen för en viss behandling alltid följa relevanta bestämmelser i dataskyddsförordningen, till exempel skyldigheten enligt artikel 32 att vidta lämpliga tekniska och organisatoriska åtgärder, bland annat med beaktande av riskerna med behandlingen.

2 KRITERIER FÖR ATT EN BEHANDLING SKA RÄKNAS SOM ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJELAND ELLER TILL EN INTERNATIONELL ORGANISATION

7. Dataskyddsförordningen innehåller ingen rättslig definition av begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation” och relevant rättspraxis är begränsad . Avsaknaden av en definition av begreppet överföring i dataskyddsförordningen leder till rättslig osäkerhet om den exakta omfattningen av skyldigheterna enligt kapitel V och samspelet mellan artikel 3 och kapitel V. Det är därför viktigt att klargöra detta begrepp.

8. Med tanke på att EDPB, i enlighet med artikel 70.1 b i dataskyddsförordningen, har till uppgift att ge Europeiska kommissionen råd i alla frågor som rör skyddet av personuppgifter i unionen, däribland aspekter av förordningen som EDPB anser behöver förtydligas, uppmanar EDPB kommissionen att särskilt uppmärksamma denna fråga i samband med rapporten om tillämpningen och översynen av förordningen enligt artikel 97.

9. Med tanke på att det i artikel 70.1 e i dataskyddsförordningen fastställs att EDPB ska utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av denna förordning, tillhandahåller EDPB denna vägledning för att klargöra i vilka situationer den anser att kraven i kapitel V bör tillämpas. För detta ändamål har den fastställt följande tre kumulativa kriterier för att en behandling ska räknas som en överföring: 1) En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga. 2) Uppgiftsutföraren lämnar ut personuppgifter som omfattas av behandlingen genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare). 3) Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med artikel 3, eller är en internationell organisation.

10. I det avseendet är det viktigt att komma ihåg att bedömningen av om dataskyddsförordningen är tillämplig enligt artikel 3 alltid ska göras i förhållande till en viss behandling, snarare än med avseende på en viss organisation (till exempel ett företag) .

11. EDPB påminner också om att tillämpningen av dataskyddsförordningen inte påverkar bestämmelserna i internationell rätt, till exempel bestämmelser som styr privilegier och immunitet för diplomatiska representationer och konsulat utanför EU samt internationella organisationer (oavsett var de är belägna) .

2.1 En personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare) omfattas av dataskyddsförordningen för behandlingen i fråga

12. Första kriteriet är att den aktuella behandlingen uppfyller kraven i artikel 3 i dataskyddsförordningen, dvs. att en personuppgiftsansvarig eller ett personuppgiftsbiträde omfattas av dataskyddsförordningen för behandlingen i fråga. Detta har vidareutvecklats i EDPB:s riktlinjer 3/2018 om den allmänna dataskyddsförordningens territoriella tillämpningsområde (artikel 3).

13. Det är värt att understryka att personuppgiftsansvariga och personuppgiftsbiträden, som inte är etablerade i EU, kan omfattas av dataskyddsförordningens artikel 3.2 för en viss behandling och därför ska följa kapitel V när de överför personuppgifter till en personuppgiftsansvarig eller ett personuppgiftsbiträde i samma eller ett annat tredjeland eller till en internationell organisation, med beaktande av att skyldigheterna enligt dataskyddsförordningen inte skiljer sig åt för personuppgiftsansvariga/personuppgiftsbiträden som är etablerade i EU respektive personuppgiftsansvariga /personuppgiftsbiträden utanför EU vars behandling omfattas av artikel 3.2.

14. Det kan också noteras att dataskyddsförordningen, inklusive kapitel V, är tillämplig på behandling av personuppgifter som utförs av EU-medlemsstaternas ambassader och konsulat utanför EU eftersom sådan behandling omfattas av dataskyddsförordningen med stöd av artikel 3.3 .

2.2 Uppgiftsutföraren lämnar ut personuppgifter som omfattas av denna behandling genom översändande eller genom att på annat sätt göra dem tillgängliga för en annan personuppgiftsansvarig, en gemensamt personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsinförare).

15. Det andra kriteriet är att uppgiftsutföraren lämnar ut uppgifter genom översändande eller på annat sätt gör dem tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde. Begreppen personuppgiftsansvarig och personuppgiftsbiträde har förtydligats ytterligare i EDPB:s riktlinjer 07/2020. Det bör hållas i åtanke att begreppen personuppgiftsansvarig, gemensamt personuppgiftsansvarig och personuppgiftsbiträde är funktionella begrepp så till vida att de syftar till att fördela ansvaret med hänsyn till parternas faktiska roller. De är självständiga begrepp i den bemärkelsen att de huvudsakligen bör tolkas i enlighet med EU:s dataskyddslagstiftning. En analys är nödvändig från fall till fall av den aktuella behandlingen och de berörda aktörernas roller .

16. Exempel på hur personuppgifter kan ”göras tillgängliga” är genom att skapa ett konto, bevilja åtkomsträttigheter till ett befintligt konto, ”bekräfta”/”godta” en effektiv begäran om fjärråtkomst, bygga in en hårddisk eller skicka lösenord till en fil. Det bör hållas i åtanke att fjärråtkomst från tredjeland (även om den endast sker genom att personuppgifter visas på en skärm, till exempel i supportsituationer, felsökning eller för administrativa ändamål) och/eller lagring i ett moln utanför EES som erbjuds av en tjänsteleverantör, också anses vara en överföring, förutsatt att de tre kriterier som anges i punkt 9 är uppfyllda .

17. Omvänt gäller kapitel V inte ”intern behandling”, dvs. när uppgifter inte lämnas ut genom översändande eller på annat sätt görs tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde, även när sådan behandling äger rum utanför EU . I det fallet är den personuppgiftsansvarige eller personuppgiftsbiträdet fortsatt ansvarig för behandlingen, däribland att säkerställa efterlevnaden av alla relevanta bestämmelser och skyddsåtgärder i dataskyddsförordningen som är direkt tillämpliga (se även avsnitt 4 nedan). EES-tillsynsmyndigheterna kan exempelvis vidta åtgärder enligt dataskyddsförordningen mot dessa organisationer och de registrerade kan få gottgörelse om deras rättigheter kränks.

18. Vidare kan detta andra kriterium inte anses vara uppfyllt när det inte finns någon personuppgiftsansvarig eller personuppgiftsbiträde som skickar uppgifterna till eller gör dem tillgängliga (dvs. ingen uppgiftsutförare) för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde, till exempel när uppgifterna lämnas ut direkt av den registrerade till mottagaren. Exempel 1: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel 3.2 i dataskyddsförordningen) Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland. Det utgör inte en överföring av personuppgifter eftersom uppgifterna inte överlämnas av en uppgiftsutförare (personuppgiftsansvarig eller personuppgiftsbiträde), utan samlas in direkt från den registrerade av den personuppgiftsansvarige i enlighet med artikel 3.2 i dataskyddsförordningen. Kapitel V är därför inte tillämpligt i det fallet. Företaget i tredjeland är dock skyldigt att tillämpa dataskyddsförordningen eftersom företagets behandling omfattas av artikel 3.2 . Exempel 2: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel 3.2 i dataskyddsförordningen) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. Företaget i tredjeland anlitar ett personuppgiftsbiträde utanför EES för att behandla de beställningar som görs via webbplatsen. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland, och detta utgör inte en överföring av personuppgifter eftersom uppgifterna samlas in direkt av den personuppgiftsansvarige enligt artikel 3.2 i dataskyddsförordningen. Den personuppgiftsansvarige måste därför tillämpa dataskyddsförordningen på behandlingen av dessa personuppgifter. I den mån den personuppgiftsansvarige anlitar ett personuppgiftsbiträde utanför EES innebär ett sådant utlämnande från företaget i tredjeland till personuppgiftsbiträdet utanför EES en överföring, och då krävs det att skyldigheterna enligt artikel 28 och kapitel V iakttas för att säkerställa att den skyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs när personuppgiftsbiträdet utanför EES behandlar personuppgifter för företagets räkning . Exempel 3: En personuppgiftsansvarig i tredjeland tar emot uppgifter direkt från en registrerad i EU (men inte enligt artikel 3.2 i dataskyddsförordningen) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling Maria, som bor i Italien, bestämmer sig för att boka rum på ett hotell i New York via ett formulär på hotellets webbplats. Personuppgifter samlas in direkt av hotellet som inte riktar sig till eller övervakar personer inom EES. I det fallet sker ingen överföring eftersom uppgifterna lämnas direkt av den registrerade och samlas in direkt av den personuppgiftsansvarige. Eftersom hotellet inte riktar sig till eller övervakar enskilda personer i EES är dataskyddsförordningen inte heller tillämplig, vilket även gäller den behandling som utförs av personuppgiftsbiträden utanför EES för hotellets räkning. Exempel 4: Uppgifter samlas in via en plattform i EES och vidarebefordras till en personuppgiftsansvarig i tredjeland Maria, som bor i Italien, bokar rum på ett hotell i New York via en webbaserad resebyrå i EES. Marias personuppgifter, som krävs för hotellbokningen, samlas in av resebyrån i EES som personuppgiftsansvarig och skickas till hotellet som tar emot uppgifterna som en separat personuppgiftsansvarig. I samband med att personuppgifterna förmedlas till hotellet i tredjeland gör resebyrån i EES en överföring av personuppgifter och kapitel V i dataskyddsförordningen är tillämpligt. Exempel 5: En personuppgiftsansvarig i EU skickar uppgifter till ett personuppgiftsbiträde i tredjeland Företaget X som är etablerat i Österrike tillhandahåller, i egenskap av personuppgiftsansvarig, personuppgifter om sina anställda eller kunder till företaget Z i tredjeland, som behandlar dessa uppgifter som personuppgiftsbiträde på uppdrag av företaget X. I det fallet tillhandahålls uppgifter från en personuppgiftsansvarig, som omfattas av dataskyddsförordningen för den aktuella behandlingen, till ett personuppgiftsbiträde i tredjeland. Tillhandahållandet av uppgifter betraktas därför som en överföring av personuppgifter till tredjeland och då är kapitel V i dataskyddsförordningen tillämpligt.

19. Det är också viktigt att notera att det i artikel 44 i dataskyddsförordningen tydligt anges att en överföring kan utföras av både personuppgiftsansvariga och personuppgiftsbiträden. Det kommer därför att uppstå en överföringssituation när ett personuppgiftsbiträde (antingen enligt artikel 3.1 eller artikel 3.2 för en viss behandling, såsom förklaras ovan) skickar uppgifter till ett annat personuppgiftsbiträde eller till och med en annan personuppgiftsansvarig i tredjeland, enligt instruktioner från sin personuppgiftsansvarige . I dessa fall agerar personuppgiftsbiträdet som uppgiftsutförare för den personuppgiftsansvariges räkning och måste säkerställa att bestämmelserna i kapitel V efterlevs för den aktuella överföringen enligt den personuppgiftsansvariges instruktioner, vilket inbegriper användning av ett lämpligt överföringsverktyg. Eftersom överföringen är en behandling som utförs för den personuppgiftsansvariges räkning kan den personuppgiftsansvarige dessutom hållas ansvarig enligt kapitel V och måste även säkerställa att personuppgiftsbiträdet ger tillräckliga garantier enligt artikel 28. Exempel 6: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland XYZ Inc., en personuppgiftsansvarig som inte är etablerad i EU, skickar personuppgifter om sina anställda/kunder, samtliga registrerade som inte befinner sig i EU, till personuppgiftsbiträdet ABC Ltd. för behandling i EU för XYZ:s räkning. ABC skickar uppgifterna tillbaka till XYZ. Den behandling som utförs av ABC, personuppgiftsbiträdet, omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt artikel 3.1, eftersom ABC är etablerat i EU. Eftersom XYZ är en personuppgiftsansvarig i tredjeland betraktas utlämnandet av uppgifter från ABC till XYZ som en överföring av personuppgifter och därför är kapitel V tillämpligt. Exempel 7: Ett personuppgiftsbiträde i EU skickar uppgifter till ett underbiträde i tredjeland Företaget A, som är etablerat i Tyskland, har i egenskap av personuppgiftsansvarig anlitat B, ett franskt företag, som personuppgiftsbiträde. B vill i sin tur delegera en del av den behandling som utförs för A:s räkning till underbiträde C, ett företag i tredjeland, och därmed skicka uppgifterna för det ändamålet till C. Den behandling som utförs av både A och dess personuppgiftsbiträde B sker inom ramen för deras verksamhetsställen i EU och omfattas därför av dataskyddsförordningen i enlighet med artikel 3.1, medan C utför sin behandling i tredjeland. Överföringen av uppgifter från personuppgiftsbiträde B till underbiträde C är därför en överföring till tredjeland, och kapitel V i dataskyddsförordningen gäller.

20. Som framgår av punkt 17 ovan innebär det andra kriteriet att begreppet ”överföring av personuppgifter till tredjeland eller till en internationell organisation” endast gäller utlämnande av personuppgifter om två olika (separata) parter (var och en av dem personuppgiftsansvarig, gemensamt personuppgiftsansvarig eller personuppgiftsbiträde) är involverade. För att räknas som överföring måste det finnas en personuppgiftsansvarig eller ett personuppgiftsbiträde som lämnar ut uppgifterna (uppgiftsutförare) och en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde som tar emot eller får tillgång till uppgifterna (uppgiftsinförare). Exempel 8: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa George som är anställd vid A, ett företag med säte i Polen, reser till tredjeland för ett möte och har med sig sin bärbara dator. Under vistelsen utomlands sätter George på datorn och får fjärråtkomst till personuppgifter på företagets databaser för att slutföra ett PM. Att George har med sig en bärbar dator och får fjärråtkomst till personuppgifter från tredjeland utgör inte en överföring av personuppgifter, eftersom George inte är personuppgiftsansvarig utan anställd och därmed en integrerad del av den personuppgiftsansvarige (A) . Därmed sker översändandet inom samma personuppgiftsansvarige (A). Behandlingen, inklusive fjärråtkomsten och den behandling som George utför efter åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen och som omfattas av artikel 3.1 i dataskyddsförordningen. Det kan dock noteras att om George i egenskap av anställd vid A skulle skicka eller göra uppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde i tredjeland, skulle uppgiftsflödet i fråga utgöra en överföring enligt kapitel V, från uppgiftsutföraren (A) i EU till den uppgiftsinföraren i tredjeland.

21. Erinras bör också att enheter som ingår i samma koncern kan betraktas som separata personuppgiftsansvariga eller personuppgiftsbiträden. Följaktligen kan utlämnande av uppgifter mellan enheter som tillhör samma koncern (koncerninterna utlämnanden) utgöra överföring av personuppgifter . Exempel 9: Ett dotterbolag (personuppgiftsansvarig) i EU delar uppgifter med sitt moderbolag (personuppgiftsbiträde) i tredjeland Det irländska företaget X, som är ett dotterbolag till moderbolaget Y i tredjeland, lämnar ut personuppgifter om sina anställda till Y som ska lagras i en centraliserad HR-databas av moderbolaget i tredjeland. I detta fall behandlar (och utlämnar) det irländska företaget X uppgifterna i egenskap av arbetsgivare och därmed personuppgiftsansvarig, medan moderbolaget är personuppgiftsbiträde. Företaget X omfattas av dataskyddsförordningen i enlighet med artikel 3.1 för denna behandling och företaget Y är i tredjeland. Utlämnandet av uppgifter räknas därför som en överföring till tredjeland i den mening som avses i kapitel V i dataskyddsförordningen.

2.3 Uppgiftsinföraren är i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen för behandlingen i fråga i enlighet med artikel 3, eller är en internationell organisation

22. Det tredje kriteriet är att uppgiftsinföraren geografiskt är belägen i tredjeland, oavsett om behandlingen i fråga omfattas av dataskyddsförordningen, eller är en internationell organisation.

23. EDPB betonar att detta kriterium syftar till att säkerställa att den skyddsnivå för fysiska personer som garanteras genom dataskyddsförordningen inte undergrävs då personuppgifter inte längre behandlas inom EES rättsliga ram (se i detta avseende artikel 44, sista meningen och skäl 101 i dataskyddsförordningen). Detta kan ske antingen på grund av att dataskyddsförordningen inte är tillämplig på uppgiftsinföraren för den berörda behandlingen eller för att personuppgifterna, även om behandlingen omfattas av dataskyddsförordningen, behandlas av en uppgiftsinförare som är belägen utanför EES och därför kan omfattas av andra (motstridiga) rättsliga ramar, till exempel när det gäller eventuell oproportionerlig statlig åtkomst till personuppgifter. Relevanta överväganden i det sammanhanget är också eventuella svårigheter att genomdriva efterlevnaden av dataskyddsförordningen och få prövning mot organisationer utanför EES. Exempel 10: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland Företaget A, en personuppgiftsansvarig som inte är etablerad i EU, erbjuder varor och tjänster till EUmarknaden. Det franska företaget B behandlar personuppgifter på uppdrag av företaget A, och skickar tillbaka uppgifterna till A. Den behandling som utförs av personuppgiftsbiträdet B omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt artikel 3.1, eftersom behandlingen sker inom ramen för dess verksamhetsställe i EU. Den behandling som utförs av A omfattas också av dataskyddsförordningen, eftersom artikel 3.2 är tillämplig på A. Då A är i tredjeland betraktas dock utlämnandet av uppgifter från B till A som en överföring till tredjeland och därför är kapitel V tillämpligt. Exempel 11: Ett personuppgiftsbiträde i tredjeland agerar på uppdrag av personuppgiftsansvariga i EU och får fjärråtkomst till uppgifter i EU Ett företag i tredjeland (företag Z), som inte är etablerat i EU, erbjuder tjänster som personuppgiftsbiträde till företag i EU. Företaget Z, som agerar personuppgiftsbiträde för de personuppgiftsansvariga i EU, har fjärråtkomst till uppgifter som lagras i EU för till exempel supportändamål. Eftersom företaget Z är i tredjeland leder sådan fjärråtkomst till överföring av uppgifter från de personuppgiftsansvariga i EU till deras personuppgiftsbiträde (företaget Z) i tredjeland enligt kapitel V.

24. En annan situation som är värd att nämna i detta sammanhang är när en personuppgiftsansvarig i EU använder sig av ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning, och det finns en möjlighet att personuppgiftsbiträdet får en begäran om statlig åtkomst och därmed att en överföring av personuppgifter sker om personuppgiftsbiträdet åtlyder denna begäran. I en sådan situation bör man komma ihåg att personuppgiftsansvariga enligt artikel 28.1 och skäl 81 i dataskyddsförordningen endast får använda personuppgiftsbiträden som ger tillräckliga garantier för att tekniska och organisatoriska åtgärder kommer att vidtas som uppfyller kraven i dataskyddsförordningen. I detta sammanhang hänvisar dataskyddsförordningen inte bara till sakkunskap och resurser utan även till tillförlitlighet, som kan vara tvivelaktig om personuppgiftsbiträdet omfattas av lagstiftning i tredjeland som kan hindra det från att fullgöra sina skyldigheter som personuppgiftsbiträde. Frågan om huruvida personuppgiftsbiträdet ger tillräckliga garantier gäller också behandlingens laglighet och respekten för principen om integritet och konfidentialitet för vilken den personuppgiftsansvarige har en ansvarsskyldighet enligt artikel 5.2 i dataskyddsförordningen . Exempel 12: En personuppgiftsansvarig i EU använder ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning Det danska företaget X, som agerar som personuppgiftsansvarig, anlitar företaget Y som är etablerat i EU som personuppgiftsbiträde. Företaget Y är dotterbolag till moderbolaget Z som är beläget i tredjeland. Företaget Y behandlar uppgifter från företaget X uteslutande i EU och ingen utanför EU, inklusive moderbolaget Z, har tillgång till uppgifterna. Dessutom följer det av avtalet mellan företaget X och företaget Y att företaget Y endast ska behandla personuppgifterna på dokumenterade instruktioner från företaget X, såvida detta inte krävs enligt unionsrätten eller en medlemsstats nationella lagstiftning som företaget Y omfattas av. Företaget Y omfattas dock av lagstiftning i tredjeland med extraterritoriell verkan, vilket i detta fall innebär att företaget Y kan få begäranden om åtkomst från myndigheter i tredjeland. Eftersom företaget Y inte är beläget i tredjeland (utan är ett företag i EU som omfattas av artikel 3.1 i dataskyddsförordningen) innebär inte utlämnandet av uppgifter från företaget X som personuppgiftsansvarig till företaget Y som personuppgiftsbiträde en överföring och kapitel V i dataskyddsförordningen är inte tillämpligt. Som nämnts finns dock en möjlighet att företaget Y får en begäran om åtkomst från myndigheter i tredjeland, och om företaget Y efterlever denna begäran skulle ett sådant utlämnande av uppgifter betraktas som en överföring enligt kapitel V. Om företaget Y efterlever en begäran i strid med den personuppgiftsansvariges instruktioner och därmed artikel 28 i dataskyddsförordningen, ska företaget anses vara en självständig personuppgiftsansvarig för behandlingen i fråga enligt artikel 28.10 i dataskyddsförordningen. I den situationen bör det personuppgiftsansvariga företaget X, innan det anlitar personuppgiftsbiträdet, bedöma dessa omständigheter för att säkerställa att det, i enlighet med artikel 28 i dataskyddsförordningen, endast använder personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen blir förenlig med dataskyddsförordningen, inbegripet kapitel V, samt för att säkerställa att det finns ett avtal eller en rättsakt som styr personuppgiftsbiträdets behandling.

3 KONSEKVENSER VID ÖVERFÖRING AV PERSONUPPGIFTER

25. Om alla kriterier som fastställts av EDPB är uppfyllda sker en ”överföring till tredjeland eller till en internationell organisation”. En överföring innebär således att en personuppgiftsansvarig eller ett personuppgiftsbiträde (uppgiftsutförare), som när det gäller den berörda behandlingen omfattas av dataskyddsförordningen i enlighet med artikel 3, översänder till eller gör personuppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (uppgiftsinförare) i tredjeland, oavsett om uppgiftsinföraren omfattas av dataskyddsförordningen med avseende på den berörda behandlingen, eller för en internationell organisation.

26. Följaktligen måste uppgiftsutföraren uppfylla villkoren i kapitel V och använda ett överföringsinstrument som syftar till att skydda personuppgifterna efter att de har överförts till tredjeland eller en internationell organisation.

27. Sådana instrument omfattar ett beslut om adekvat skyddsnivå som antagits av Europeiska kommissionen och som erkänner att det finns en adekvat skyddsnivå i det tredjeland eller den internationella organisation till vilken uppgifterna överförs (artikel 45) eller, i avsaknad av en sådan adekvat skyddsnivå, att uppgiftsutföraren (personuppgiftsansvarig eller personuppgiftsbiträde) vidtar lämpliga skyddsåtgärder enligt artikel 46 . Enligt artikel 49 kan personuppgifter dessutom överföras till tredjeland eller en internationell organisation utan att det finns en adekvat skyddsnivå eller lämpliga skyddsåtgärder tillämpas, i särskilda situationer och på vissa villkor .

28. De huvudsakliga typerna av överföringsinstrument som förtecknas i artikel 46 är: • Standardavtalsklausuler • Bindande företagsbestämmelser • Uppförandekoder • Certifieringsmekanismer • Ad hoc-avtalsklausuler • Internationella avtal/administrativa överenskommelser .

29. Innehållet i de skyddsåtgärder som föreskrivs i överföringsinstrumenten måste anpassas till situationen. Som exempel är de garantier som ska ges för en överföring av personuppgifter från ett personuppgiftsbiträde inte desamma som de garantier som ska ges för en överföring från en personuppgiftsansvarig . Likaså bör det noteras, vid en överföring av personuppgifter till en personuppgiftsansvarig eller ett personuppgiftsbiträde i tredjeland som redan omfattas av dataskyddsförordningen för en viss behandling, att dataskyddsförordningen redan gäller i sin helhet. För ett sådant scenario, när relevanta överföringsinstrument tas fram enligt artikel 46, dvs. standardavtalsklausuler eller ad hoc-avtalsklausuler , bör därmed situationen i artikel 3 beaktas för att inte skyldigheterna i dataskyddsförordningen ska dupliceras utan att man snarare tar itu med de faktorer som specifikt rör de risker som är förknippade med att uppgiftsinföraren är belägen i tredjeland, till exempel eventuella motstridiga nationella lagar och myndigheternas tillgång i tredjeland, samt svårigheten att vidta åtgärder mot och erhålla gottgörelse från en organisation utanför EU. Sådana instrument bör till exempel omfatta de åtgärder som ska vidtas vid en lagkonflikt mellan tredjelandslagstiftning och dataskyddsförordningen och vid begäranden från tredjeland om utlämnande av uppgifter. EDPB uppmuntrar och står redo att samarbeta i fråga om utvecklingen av ett överföringsinstrument, till exempel en ny uppsättning standardavtalsklausuler enligt artikel 46.2 c, i de fall där uppgiftsinföraren omfattas av dataskyddsförordningen för den berörda behandlingen. EDPB noterar att Europeiska kommissionen har uppgett att den håller på att utarbeta ytterligare standardavtalsklausuler för detta scenario som kommer att beakta de krav som redan gäller direkt för dessa personuppgiftsansvariga och personuppgiftsbiträden enligt dataskyddsförordningen .

30. Om de kriterier som fastställs av EDPB inte är uppfyllda sker däremot ingen överföring och kapitel V i dataskyddsförordningen är inte tillämpligt.

4 SKYDDSÅTGÄRDER SOM SKA VIDTAS OM PERSONUPPGIFTER BEHANDLAS UTANFÖR EES MEN INGEN ÖVERFÖRING SKER

31. Om samma personuppgiftsansvarige eller personuppgiftsbiträde behandlar uppgifter utanför EU utan att lämna ut dem till en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (till exempel om en anställd hos en personuppgiftsansvarig i EU reser utomlands och har tillgång till den personuppgiftsansvariges uppgifter medan han eller hon befinner sig i tredjeland, eller vid direkt insamling från enskilda personer i EU enligt artikel 3.2), ska behandlingen inte betraktas som en överföring enligt kapitel V i dataskyddsförordningen utifrån de kriterier som fastställs ovan. I detta sammanhang är det ändå viktigt att komma ihåg att den personuppgiftsansvarige måste följa dataskyddsförordningen och fortsatt är fullt ansvarig för sina behandlingar, oavsett var de sker. Detta innebär också att den personuppgiftsansvarige eller personuppgiftsbiträdet bör ägna särskild uppmärksamhet åt de rättsliga ramar i tredjeland som kan påverka deras förmåga att respektera dataskyddsförordningen. Även om ett viss översändande av uppgifter inte skulle räknas som en överföring till tredjeland enligt kapitel V i dataskyddsförordningen, däribland det scenario som beskrivs i exempel 8, kan behandlingen fortfarande vara förknippad med ökade risker eftersom den äger rum utanför EU, till exempel på grund av motstridiga nationella lagar eller oproportionerlig statlig åtkomst i tredjeland. Dessa risker måste beaktas när åtgärder vidtas för att säkra efterlevnaden av dataskyddsförordningen, däribland enligt artikel 5 (”Principer för behandling av personuppgifter”), artikel 24 (”Den personuppgiftsansvariges ansvar”), 32 (”Säkerhet i samband med behandlingen”), 33 (”Anmälan av en personuppgiftsincident till tillsynsmyndigheten”), 35 (”Konsekvensbedömning avseende dataskydd”), 48 (”Överföringar och utlämnanden som inte är tillåtna enligt unionsrätten”) osv.

32. En personuppgiftsansvarig kan, i enlighet med sin skyldighet att ansvara för och kunna visa att dataskyddsprinciperna (artikel 5) följs och genomföra tekniska och organisatoriska åtgärder med beaktande av bland annat riskerna med behandlingen enligt artikel 32 i dataskyddsförordningen, mycket väl dra slutsatsen att omfattande säkerhetsåtgärder behövs för att utföra eller gå vidare med en viss behandling i tredjeland – eller till och med att det inte skulle vara lagligt – trots att det inte föreligger en överföringssituation. När en väsentligen likvärdig skyddsnivå inte kan garanteras i en överföringssituation kräver Europeiska unionens domstol ytterst att överföringen ska avbrytas eller stoppas . I detta avseende fokuserar domstolen på de risker som en viss behandling för med sig på grund av dess gränsöverskridande dimension. Dessa krav är också relevanta vid bedömningen av situationer som innebär liknande risker (även om de inte betraktas som överföringar) , till exempel vid oproportionerlig åtkomst för myndigheter i tredjeländer. En personuppgiftsansvarig kan till exempel dra slutsatsen att anställda inte kan ta med sig sina bärbara datorer osv. till vissa tredjeländer. I detta sammanhang bör det åter understrykas att så snart uppgifterna lämnas ut genom översändande eller på annat sätt görs tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde (som även kan vara en myndighet) i tredjeland (till exempel av en anställd under en tjänsteresa), utgör det aktuella uppgiftsflödet en överföring enligt kapitel V.

33. När en personuppgiftsansvarig avser att behandla personuppgifter utanför EU (även om ingen överföring sker) bör sådan information i regel ges till enskilda personer som en del av den personuppgiftsansvariges transparensskyldigheter, till exempel för att säkra efterlevnad av principen om öppenhet och rättvisa, vilket också kräver att personuppgiftsansvariga informerar enskilda personer om riskerna i samband med behandlingen .

34. Sammanfattningsvis är personuppgiftsansvariga och personuppgiftsbiträden vilkas behandling omfattas av dataskyddsförordningen ansvariga för all sin behandling, oavsett var den äger rum, och uppgiftsbehandling i tredjeländer kan innebära ökade risker, bland annat vad gäller oproportionerlig statlig åtkomst, som måste fastställas och hanteras uppmärksamt för att sådan behandling ska vara laglig enligt dataskyddsförordningen. EDPB kommer att utvärdera om det finns behov av ytterligare vägledning om skyddsåtgärder i detta avseende.

BILAGA: ILLUSTRATIONER AV EXEMPLEN 1-12

Exempel 1: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel

3.2 i dataskyddsförordningen)

Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland. Det utgör inte en överföring av personuppgifter eftersom uppgifterna inte överlämnas av en uppgiftsutförare (personuppgiftsansvarig eller personuppgiftsbiträde), utan samlas in direkt från den registrerade av den personuppgiftsansvarige enligt artikel 3.2 i dataskyddsförordningen. Kapitel V är därför inte tillämpligt i det fallet. Företaget i tredjeland är dock skyldigt att tillämpa dataskyddsförordningen eftersom företagets behandling omfattas av artikel 3.2.

Exempel 2: En personuppgiftsansvarig i tredjeland samlar in uppgifter direkt från en registrerad i EU (enligt artikel

3.2 i dataskyddsförordningen) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling

Maria, som bor i Italien, fyller i förnamn, efternamn och postadress i ett formulär på en klädbutiks webbplats för att beställa en klänning hem till sin bostad i Rom. Webbplatsen drivs av ett företag i tredjeland som inte är etablerat i EU men inriktar sig specifikt på EU-marknaden. Företaget i tredjeland anlitar ett personuppgiftsbiträde utanför EES för att behandla de beställningar som görs via webbplatsen. I detta fall lämnar den registrerade (Maria) sina personuppgifter till företaget i tredjeland, och detta utgör inte en överföring av personuppgifter eftersom uppgifterna samlas in direkt av den personuppgiftsansvarige enligt artikel 3.2 i dataskyddsförordningen. Den personuppgiftsansvarige måste därför tillämpa dataskyddsförordningen på behandlingen av dessa personuppgifter. I den mån den personuppgiftsansvarige anlitar ett personuppgiftsbiträde utanför EES innebär ett sådant utlämnande från företaget i tredjeland till personuppgiftsbiträdet utanför EES en överföring, och då krävs det att skyldigheterna enligt artikel 28 och kapitel V

iakttas för att säkerställa att den skyddsnivå som föreskrivs i dataskyddsförordningen inte undergrävs när personuppgiftsbiträdet utanför EES behandlar personuppgifter för företagets räkning.

Exempel 3: En personuppgiftsansvarig i tredjeland tar emot uppgifter direkt från en registrerad i EU (men inte enligt artikel 3.2 i dataskyddsförordningen) och använder sig av ett personuppgiftsbiträde utanför EU för viss behandling

Maria, som bor i Italien, bestämmer sig för att boka rum på ett hotell i New York via ett formulär på hotellets webbplats. Personuppgifter samlas in direkt av hotellet som inte riktar sig till eller övervakar personer inom EES. I det fallet sker ingen överföring eftersom uppgifterna lämnas direkt av den registrerade och samlas in direkt av den personuppgiftsansvarige. Eftersom hotellet inte riktar sig till eller övervakar enskilda personer i EES är dataskyddsförordningen inte heller tillämplig, vilket även gäller den behandling som utförs av personuppgiftsbiträden utanför EES för hotellets räkning.

Exempel 4: Uppgifter som samlats in via en plattform i EES och därefter vidarebefordrats till en personuppgiftsansvarig i tredjeland

Maria, som bor i Italien, bokar rum på ett hotell i New York via en webbaserad resebyrå i EES. Marias personuppgifter, som krävs för hotellbokningen, samlas in av resebyrån i EES som personuppgiftsansvarig och skickas till hotellet som

tar emot uppgifterna som en separat personuppgiftsansvarig. I samband med att personuppgifterna förmedlas till hotellet i tredjeland gör resebyrån i EES en överföring av personuppgifter och kapitel V i dataskyddsförordningen är tillämpligt.

Exempel 5: En personuppgiftsansvarig i EU skickar uppgifter till ett personuppgiftsbiträde i tredjeland

Företaget X som är etablerat i Österrike tillhandahåller, i egenskap av personuppgiftsansvarig, personuppgifter om sina anställda eller kunder till företaget Z i tredjeland, som behandlar dessa uppgifter som personuppgiftsbiträde på uppdrag av företaget X. I det fallet tillhandahålls uppgifter från en personuppgiftsansvarig, som omfattas av dataskyddsförordningen för den aktuella behandlingen, till ett personuppgiftsbiträde i tredjeland. Tillhandahållandet av uppgifter betraktas därför som en överföring av personuppgifter till tredjeland och då är kapitel V i dataskyddsförordningen tillämpligt.

Exempel 6: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland

XYZ Inc., en personuppgiftsansvarig som inte är etablerad i EU, skickar personuppgifter om sina anställda/kunder, samtliga registrerade som inte befinner sig i EU, till personuppgiftsbiträdet ABC Ltd. för behandling i EU för XYZ:s räkning. ABC skickar uppgifterna tillbaka till XYZ. Den behandling som utförs av ABC, personuppgiftsbiträdet, omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt artikel 3.1, eftersom ABC är etablerat i EU. Eftersom XYZ är en personuppgiftsansvarig i tredjeland betraktas utlämnandet av uppgifter från ABC till XYZ som en överföring av personuppgifter och därför är kapitel V tillämpligt.

Exempel 7: Ett personuppgiftsbiträde i EU skickar uppgifter till ett underbiträde i tredjeland

Företaget A, som är etablerat i Tyskland, har i egenskap av personuppgiftsansvarig anlitat B, ett franskt företag, som personuppgiftsbiträde. B vill i sin tur delegera en del av den behandling som utförs för A:s räkning till underbiträde C, ett företag i tredjeland, och därmed skicka uppgifterna för det ändamålet till C. Den behandling som utförs av både A och dess personuppgiftsbiträde B sker inom ramen för deras verksamhetsställen i EU och omfattas därför av dataskyddsförordningen i enlighet med artikel 3.1, medan C utför sin behandling i tredjeland. Överföringen av uppgifter från personuppgiftsbiträde B till underbiträde C är därför en överföring till tredjeland, och kapitel V i dataskyddsförordningen gäller.

Exempel 8.1: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa

George som är anställd vid A, ett företag med säte i Polen, reser till tredjeland för ett möte och har med sig sin bärbara dator. Under vistelsen utomlands sätter George på datorn och får fjärråtkomst till personuppgifter på företagets databaser för att slutföra ett PM. Att George har med sig en bärbar dator och får fjärråtkomst till personuppgifter från tredjeland utgör inte en överföring av personuppgifter, eftersom George inte är personuppgiftsansvarig utan anställd och därmed en integrerad del av den personuppgiftsansvarige (A). Därmed sker översändandet inom samma personuppgiftsansvarige (A). Behandlingen, inklusive fjärråtkomsten och den behandling som George utför efter

åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen, och som omfattas av artikel 3.1 i dataskyddsförordningen.

Exempel 8.2: En anställd hos en personuppgiftsansvarig i EU reser till tredjeland på tjänsteresa

George som är anställd vid A, ett företag med säte i Polen, reser till tredjeland för ett möte och har med sig sin bärbara dator. Under vistelsen utomlands sätter George på datorn och får fjärråtkomst till personuppgifter på företagets databaser för att slutföra ett PM. Att George har med sig en bärbar dator och får fjärråtkomst till personuppgifter från tredjeland utgör inte en överföring av personuppgifter, eftersom George inte är personuppgiftsansvarig utan anställd och därmed en integrerad del av den personuppgiftsansvarige (A). Därmed sker översändandet inom samma personuppgiftsansvarige (A). Behandlingen, inklusive fjärråtkomsten och den behandling som George utför efter åtkomsten, genomförs av det polska företaget, dvs. en personuppgiftsansvarig som är etablerad i unionen, och som omfattas av artikel 3.1 i dataskyddsförordningen. Det kan dock noteras att om George i egenskap av anställd vid A skulle skicka eller göra uppgifter tillgängliga för en annan personuppgiftsansvarig eller ett annat personuppgiftsbiträde i tredjeland skulle uppgiftsflödet i fråga utgöra en överföring enligt kapitel V, från uppgiftsutföraren (A) i EU till en uppgiftsinförare i tredjeland.

Exempel 9: Ett dotterbolag (personuppgiftsansvarig) i EU delar uppgifter med sitt moderbolag (personuppgiftsbiträde) i tredjeland

Det irländska företaget X, som är ett dotterbolag till moderbolaget Y i tredjeland, lämnar ut personuppgifter om sina anställda till Y som ska lagras i en centraliserad HR-databas av moderbolaget i tredjeland. I detta fall behandlar (och utlämnar) det irländska företaget X uppgifterna i egenskap av arbetsgivare och därmed personuppgiftsansvarig, medan

moderbolaget är personuppgiftsbiträde. Företaget X omfattas av dataskyddsförordningen i enlighet med artikel 3.1 för denna behandling och företaget Y är i tredjeland. Utlämnandet av uppgifter räknas därför som en överföring till tredjeland i den mening som avses i kapitel V i dataskyddsförordningen.

Exempel 10: Ett personuppgiftsbiträde i EU skickar tillbaka uppgifter till den personuppgiftsansvarige i tredjeland

Företaget A, en personuppgiftsansvarig som inte är etablerat i EU, erbjuder varor och tjänster till EU-marknaden. Det franska företaget B behandlar personuppgifter på uppdrag av företaget A, och skickar tillbaka uppgifterna till A. Den behandling som utförs av personuppgiftsbiträdet B omfattas av dataskyddsförordningens specifika skyldigheter för personuppgiftsbiträden enligt artikel 3.1, eftersom behandlingen sker inom ramen för dess verksamhetsställe i EU. Den behandling som utförs av A omfattas också av dataskyddsförordningen, eftersom artikel 3.2 är tillämplig på A. Då A är i tredjeland betraktas dock utlämnandet av uppgifter från B till A som en överföring till tredjeland och därför är kapitel V tillämpligt.

Exempel 11: Ett personuppgiftsbiträde i tredjeland agerar på uppdrag av personuppgiftsansvariga i EU och får fjärråtkomst till uppgifter i EU

Ett företag i tredjeland (företag Z), som inte är etablerat i EU, erbjuder tjänster som personuppgiftsbiträde till företag i EU. Företaget Z, som agerar personuppgiftsbiträde för de personuppgiftsansvariga i EU, har fjärråtkomst till uppgifter

som lagras i EU för till exempel supportändamål. Eftersom företaget Z är i tredjeland leder sådan fjärråtkomst till överföring av uppgifter från de personuppgiftsansvariga i EU till deras personuppgiftsbiträde (företaget Z) i tredjeland enligt kapitel V.

Exempel 12: En personuppgiftsansvarig i EU använder ett personuppgiftsbiträde i EU som omfattas av tredjelandslagstiftning

Det danska företaget X, som agerar som personuppgiftsansvarig, anlitar företaget Y som är etablerat i EU som personuppgiftsbiträde. Företaget Y är dotterbolag till moderbolaget Z som är beläget i tredjeland. Företaget Y behandlar uppgifter från företaget X uteslutande i EU och ingen utanför EU, inklusive moderbolaget Z, har tillgång till uppgifterna. Dessutom följer det av avtalet mellan företaget X och företaget Y att företaget Y endast ska behandla personuppgifterna på dokumenterade instruktioner från företaget X, såvida detta inte krävs enligt unionsrätten eller en medlemsstats nationella lagstiftning som företaget Y omfattas av. Företaget Y omfattas dock av lagstiftning i tredjeland med extraterritoriell verkan, vilket i detta fall innebär att företaget Y kan få begäranden om åtkomst från myndigheter i tredjeland. Eftersom företaget Y inte är i tredjeland (utan är ett företag i EU som omfattas av artikel 3.1 i dataskyddsförordningen) innebär inte utlämnandet av uppgifter från företaget X som personuppgiftsansvarig till företaget Y som personuppgiftsbiträde en överföring och kapitel V i dataskyddsförordningen är inte tillämpligt. Som nämnts finns dock en möjlighet att företaget Y får en begäran om åtkomst från myndigheter i tredjeland, och om företaget Y efterlever denna begäran skulle ett sådant utlämnande av uppgifter betraktas som en överföring enligt kapitel V. Om företaget Y efterlever en begäran i strid med den personuppgiftsansvariges instruktioner och därmed artikel 28 i dataskyddsförordningen, ska företaget anses vara en självständig personuppgiftsansvarig för behandlingen i fråga enligt artikel 28.10 i dataskyddsförordningen. I den situationen bör det personuppgiftsansvariga företaget X, innan det anlitar personuppgiftsbiträdet, bedöma dessa omständigheter för att säkerställa att det, i enlighet med artikel 28 i dataskyddsförordningen, endast använder personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder så att behandlingen blir förenlig med dataskyddsförordningen, däribland kapitel V, samt för att säkerställa att det finns ett avtal eller en rättsakt som styr personuppgiftsbiträdets behandling.