En overførsel sker, når en virksomhed, der er omfattet af GDPR, stiller personoplysninger til rådighed for en anden dataansvarlig eller databehandler i et land uden for EU/EØS. Adgang tæller også, så oplysningerne behøver ikke flytte sig fysisk. Forordningens kapitel V stiller krav om, at der er et grundlag for overførslen, og det grundlag findes i en bestemt rækkefølge: tilstrækkelighedsafgørelse fra Kommissionen, derefter fornødne garantier som standardkontrakter eller bindende virksomhedsregler og til sidst snævre undtagelser. Kravet er ikke afhængigt af risikoen. Datatilsynet skrev den 23. januar 2026, at det afgørende er behandlingens scenarie og ikke sandsynligheden for, at overførslen sker.
De tre kriterier
Forordningen definerer ikke ordet overførsel. Datatilsynets vejledning om overførsel til tredjelande fra april 2024 gengiver i stedet tre kriterier fra Det Europæiske Databeskyttelsesråd (EDPB). Alle tre skal være opfyldt.
- En dataansvarlig eller databehandler er omfattet af forordningen for behandlingen.
- Virksomheden videregiver oplysningerne eller stiller dem på anden måde til rådighed for en anden dataansvarlig, fælles dataansvarlig eller databehandler.
- Modtageren befinder sig i et tredjeland, altså uden for EU/EØS, eller er en international organisation.
Det andet kriterium afgør de fleste tvivlstilfælde. Oplysningerne skal gå til en anden. Modtageren skal være en selvstændig part.
Hvad der er en overførsel, og hvad der ikke er
Vejledningens eksempler trækker linjen. Cloud med datacenter i Tyrkiet er en overførsel. IT-support fra Indien via fjernadgang er også en overførsel, selv om oplysningerne bliver i EU, se support fra tredjeland. Et datterselskab i Singapore, der henter oplysninger fra serveren i Danmark, er en overførsel, for de to selskaber er forskellige enheder, selv om de tilhører samme koncern.
To medarbejdere på forretningsrejse, der læser mail på deres egen arbejdscomputer, er derimod ingen overførsel, for de er en del af virksomheden. Det samme gælder et kontor uden for EU/EØS, der ikke er selvstændigt, og en medarbejder med fast hjemmearbejdsplads i et tredjeland. Forordningen gælder dog stadig, og vejledningen siger, at behandlingen ikke kan finde sted, hvis virksomheden ikke kan overholde reglerne med organisatoriske eller tekniske foranstaltninger.
Færøerne og Grønland er tredjelande i databeskyttelsesretlig forstand. I vejledningen fra april 2024 stod Færøerne som sikkert tredjeland, Grønland som usikkert. Tjek altid Kommissionens aktuelle liste.
Trappen i kapitel V
Tænk på kapitel V som en trappe, hvor I tager det øverste trin, der passer.
Art. 45, tilstrækkelighed. Kommissionen har afgjort, at beskyttelsen i landet i det væsentlige svarer til EU’s. Vejledningen kalder det sikre tredjelande. Overførslen kan som udgangspunkt ske uden videre, men en afgørelse kan være begrænset til et område eller en sektor og kan ændres. For USA gælder afgørelsen kun certificerede virksomheder, se Data Privacy Framework.
Art. 46 og 47, fornødne garantier. Er der ingen tilstrækkelighedsafgørelse, skal I selv give garantier. Standardkontrakter er det mest anvendte redskab, og bindende virksomhedsregler kan bruges i en koncern. Det kræver en vurdering af forholdene i modtagerlandet, se standardkontrakter og TIA.
Art. 49, undtagelser. Undtagelserne gælder særlige situationer, som fx udtrykkeligt samtykke eller visse kontraktforhold. Vejledningen siger, at de skal fortolkes restriktivt og generelt ikke kan bruges til masseoverførsler eller systematiske overførsler. En løbende overførsel til en leverandør kan derfor sjældent bygge på dem.
Hvilke lande er sikre tredjelande?
Sikre tredjelande er de lande, som Kommissionen har truffet en tilstrækkelighedsafgørelse om efter art. 45. Udtrykket er daglig tale og står i Datatilsynets vejledning. Forordningen bruger det ikke. Landene på Kommissionens liste var 6. november 2026 Andorra, Argentina, Brasilien, Canada (kommercielle organisationer), Færøerne, Guernsey, Isle of Man, Israel, Japan, Jersey, New Zealand, Schweiz, Storbritannien, Sydkorea, USA (certificerede organisationer) og Uruguay.
Listen ændrer sig, og Datatilsynet råder til altid at slå op i Kommissionens liste. Læs også, hvad afgørelsen dækker, for den kan være begrænset til et område eller en sektor. Lande uden en afgørelse kalder vejledningen usikre tredjelande.
Det uklare vilkår i databehandleraftalen
Mange aftaler siger, at oplysningerne behandles i EU/EØS, men at leverandøren i særlige tilfælde kan overføre dem. Datatilsynet behandlede netop det i svaret af 23. januar 2026 til de kommunale databehandleres fælles sekretariat. Svaret er relevant for private, fordi reglerne er de samme.
Tre pointer er værd at tage med.
- Følger en overførsel af en klar instruks i aftalegrundlaget, regnes den for tilsigtet, uanset hvor sjældent den sker. Kapitel V skal så overholdes.
- Et bredt forbehold tæller efter EDPB’s udtalelse 22/2024 ikke som dokumenteret instruks. Datatilsynet beskriver et område mellem tilsigtet og utilsigtet, og ansvaret bliver hos den dataansvarlige, der har accepteret teksten.
- Art. 44 giver ingen plads til at vurdere sig ud af kravet ud fra risiko. Lægger behandlingen op til en overførsel, skal der være et grundlag.
Rådet fra Datatilsynet er at finde de åbne formuleringer, spørge databehandleren, om de skal forstås som instruks, og hvis ikke, enten slå fast, at de aldrig må føre til overførsel, eller få dem slettet.
Sådan finder I jeres overførsler
Start i fortegnelsen. Art. 30, stk. 1, litra e, kræver, at overførsler står dér. Læs derefter databehandleraftalerne og listerne over underdatabehandlere, for overførslen ligger ofte et led længere nede. Spørg til support og drift, for fjernadgang optræder sjældent med ordet overførsel. Skriv for hver overførsel modtager, land, type af oplysninger og grundlag.
Når I har listen, skal den bruges tre steder. Fortegnelsen opdateres, teksten om oplysningspligten efter art. 13 og 14 rettes, så grundlaget fremgår, og aftalerne bringes i orden. Datatilsynet kan efter vejledningen bl.a. udtale kritik eller give påbud om at suspendere overførslen.
Det skal I lade være med
- At lede efter datacentret alene · fjernadgang og underdatabehandlere tæller med.
- At acceptere “i særlige tilfælde” uden at spørge · uklare forbehold bliver hos jer.
- At bygge fast drift på art. 49 · undtagelserne er snævre.
- At afvise spørgsmålet, fordi overførslen er usandsynlig · scenariet afgør det.
Det skal I kræve af den eksterne
- ☐ En gennemgang af fortegnelse, aftaler og lister over underdatabehandlere.
- ☐ Rådgivning om grundlaget for hver overførsel.
- ☐ Læsning af vilkår om overførsel med henblik på uklare forbehold.
- ☐ Kontrol af, at oplysningen til de registrerede passer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 13, 14, 30 og 44 til 49.
- Datatilsynet: Vejledning om overførsel til tredjelande, april 2024: afsnit 2, 3, 5.4 og 6.
- Europa-Kommissionen: Adequacy decisions: læst 6. november 2026.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler, 23. januar 2026: læst 5. november 2026.
- EDPB: Udtalelse 22/2024 om databehandlere og underdatabehandlere: omtalt i Datatilsynets svar.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Fortegnelse over behandlingsaktiviteter · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
