Overførsel uden for EU
Data kan forlade EU, selv om de ligger på en server i Europa. Kan en supportmedarbejder i et andet land se jeres oplysninger, gælder kapitel V i forordningen. Datatilsynets vejledning fra april 2024 bruger netop fjernadgang som eksempel. Derfor rammer reglerne også virksomheder, der aldrig har tænkt på sig selv som nogen, der sender data ud af EU. Siden her samler artiklerne om, hvornår der er tale om en overførsel, og hvad den kræver.
Trappen i kapitel V
Reglerne kan læses som en trappe, som I tager fra toppen.
- Tilstrækkelighed (art. 45). Kommissionen har truffet afgørelse om, at landet eller ordningen beskytter tilstrækkeligt. Så kræves der ingen særskilt tilladelse.
- Fornødne garantier (art. 46 og 47). Findes der ingen afgørelse, skal I bruge fx standardkontrakter eller bindende virksomhedsregler.
- Undtagelser (art. 49). De gælder særlige situationer og kommer først, når de to første trin ikke kan bruges.
Overførslen skal også have et grundlag og leve op til de øvrige regler. Afklar først, hvem der overfører, og til hvem, for koncernforbundne selskaber regnes som forskellige enheder.
Hvornår er det en overførsel?
- Overførsel til tredjelande: hvornår sker den, og hvad kræver den? Kriterierne fra EDPB, og hvilket trin på trappen I står på.
- Support fra Indien: fjernadgang er også en overførsel Sådan finder I det i aftalerne, og hvad I kan gøre, når I har fundet det.
Grundlaget
- Data Privacy Framework: sådan tjekker I en amerikansk leverandør Listen hos det amerikanske handelsministerium, og hvad I gør, hvis rammen falder.
- Standardkontrakter og TIA: hvad en virksomhed reelt skal gøre Hvornår de er grundlaget, og hvad en vurdering af modtagerlandet kræver.
Afgørelse (EU) 2023/1795 gælder i dag og kan bruges til organisationer, der er certificeret. Retten frifandt Kommissionen 3. september 2025 i sag T-553/23. Appellen i C-703/25 P er verserende ifølge de seneste oplysninger, og status skal slås op, før I bygger en langvarig løsning på rammen. Privacy Shield blev erklæret ugyldig i 2020 med Schrems II, så det er værd at vide, hvad planen er, hvis rammen falder. Dommen siger også, at standardkontrakter kan kræve supplerende foranstaltninger.
Når ejeren er amerikansk
- Data ligger i EU, men leverandøren er amerikansk: hvad siger GDPR? Art. 28, art. 48 og kapitel V, og hvad I skal spørge om i aftalen.
Om det alene er en overførsel, at leverandøren har et amerikansk moderselskab, afhænger af de konkrete forhold. Artiklen holder sig til GDPR. Det amerikanske regelsæt, som spørgsmålet ofte handler om, er beskrevet under Cloud Act.
Hvor oplysningerne står
Overførsler skal kunne findes i jeres dokumenter. Art. 13 og 14 kræver, at personerne får at vide, at oplysninger overføres, og fortegnelsen efter art. 30 skal nævne overførsler. Lokation og overførsel bør desuden fremgå af databehandleraftalen. Datatilsynets afgørelse af 23. januar 2026 handler netop om vilkår om overførsel i databehandleraftaler, og den er gennemgået i Leverandørens standardaftale.
Arbejdet begynder med et blik på leverandørlisten. Hvem er placeret uden for EU, hvem bruger underdatabehandlere dér, og hvor kommer supporten fra? Svaret ligger tit i bilagene og listen over underdatabehandlere. Se også Underdatabehandlere: listen, ingen læser.
Beslutningen om overførslen er jeres. Hvad en DPO kan rådgive om undervejs, står under Det får I.
Det skal I lade være med
- At se på serverens placering alene · adgang fra et andet land tæller også.
- At bygge på rammen uden at tjekke listen · certificeringen skal dække leverandøren og den relevante behandling.
- At gå direkte til art. 49 · undtagelserne kommer sidst på trappen.
Det skal I kræve af den eksterne
- ☐ Et overblik over overførsler, bygget på aftaler, bilag og underdatabehandlere.
- ☐ En vurdering af, hvilket trin på trappen hver overførsel står på.
- ☐ Spørgsmål til leverandøren om support og fjernadgang, med svar på skrift.
- ☐ Besked, når status for rammen ændrer sig.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 13, 14, 30 og 44 til 49.
- Datatilsynet: Vejledning om overførsel til tredjelande, april 2024.
- Datatilsynet: Overførsler til USA.
- Afgørelse (EU) 2023/1795.
- Retten, T-553/23, 3/9 2025 og appellen C-703/25 P.
- EU-Domstolen, C-311/18, 16/7 2020.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Data Privacy Framework · Databehandlere og leverandører
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
Mangler I en DPO?
Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.
