Överföring av personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet
Överföring av personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet förutsätter iakttagande av de övriga kraven i dataskyddslagstiftningen och en grund för överföringen. På den här sidan redogör vi för förutsättningarna för överföring i situationer där dataskyddsförordningen tillämpas på behandlingen av personuppgifter.
EU:s allmänna dataskyddsförordning tillämpas i Europeiska ekonomiska samarbetsområdets, som utöver EU-länderna omfattar Island, Liechtenstein och Norge. Ett centralt mål för den gemensamma dataskyddslagstiftningen är att garantera det fria flödet av personuppgifter inom EES. Därför får personuppgifter överföras till ett land som hör till Europeiska ekonomiska samarbetsområdet på samma grunder som inom Finland.
När personuppgifter överförs till länder utanför Europeiska unionen och Europeiska ekonomiska samarbetsområdet motsvarar nivån av skyddet för personuppgifter inte alltid nivån enligt EU:s allmänna dataskyddsförordning.. Det medför risker för de registrerade, dvs. för dem vars personuppgifter överförs. Därför fastställs i dataskyddsförordningen förutsättningar för de grunder på vilka personuppgifter kan överföras till tredjeländer eller internationella organisationer utanför EES.
Mer information om behandling av personuppgifter som omfattas av dataskyddsförordningen
Förutsättningar för överföring av personuppgifter till länder utanför EES
1. Behandlingen av personuppgifter ska vara tillåten i den aktuella situationen.Henkilötietojen käsittelyn on oltava sallittua kyseisessä tilanteessa.
2. Överföringen av personuppgifter ska dessutom ha en grund för överföring enligt kapitel V i dataskyddsförordningen. Effektiviteten hos grunden för överföring och behovet av kompletterande skyddsåtgärder bedöms från fall till fall.
Båda förutsättningarna ska uppfyllas för att personuppgifter ska kunna överföras.
Grunderna för överföring av personuppgifter
Grunderna för överföring av personuppgifter fastställs i kapitel V i den allmänna dataskyddsförordningen. Grunderna för överföring är alternativa; det räcker således med att förutsättningarna för en av grunderna uppfylls. Om inte förutsättningarna i någon grund uppfylls kan personuppgifter inte överföras utanför EES. Varje överföringsgrund är förknippad med mer ingående kriterier. Överföringsgrunderna tillämpas både på den personuppgiftsansvariga och på personuppgiftsbiträdet.
- Kommissionens beslut om adekvat skyddsnivå (art. 45)
- Standardiserade dataskyddsbestämmelser godkända av kommissionen (art. 46:2c och art. 46:2(d))
- Bindande företagsbestämmelser (art. 47)
- En godkänd uppförandekod (art. 40, art. 46:2(e)) eller en godkänd certifieringsmekanism (art. 42, art. 46:2(f)) tillsammans med rättsligt bindande och verkställbara åtaganden
- Ett rättsligt bindande och verkställbart instrument mellan offentliga myndigheter eller organ (art. 46:2(a))
- Avtalsklausuler med dataskyddsmyndighetens tillstånd (art. 46:3a)*
- Bestämmelser som ska införas i administrativa överenskommelser mellan offentliga myndigheter eller organ (art. 46:3(b))*
- Undantag i särskilda situationer (art. 49)
*Dataskyddsmyndighetens separata tillstånd för tillämpning av en överföringsgrund förutsätts om det handlar om
- avtalsklausuler mellan den personuppgiftsansvarige eller personuppgiftsbiträdet och den personuppgiftsansvarige, personuppgiftsbiträdet eller mottagaren av personuppgifterna i tredjelandet eller den internationella organisationen, eller
- bestämmelser som ska införas i administrativa överenskommelser mellan offentliga myndigheter eller organ vilka inbegriper verkställbara och faktiska rättigheter för registrerade.
