Standardkontrakter, også kaldet SCC, er Kommissionens faste kontrakttekst til overførsel af personoplysninger til et land uden tilstrækkelighedsafgørelse. Underskriften er kun første halvdel. Efter Schrems II-dommen skal I også vurdere, om kontrakten holder i praksis i modtagerlandet. Den vurdering hedder en transfer impact assessment, TIA, og den skal laves før overførslen. Viser den, at kontrakten ikke kan holdes, skal I finde supplerende foranstaltninger eller lade være med at overføre. For den mindre virksomhed er opgaven til at overskue, hvis den holdes til de konkrete overførsler og dokumenteres. Det er virksomheden, der vurderer. Datatilsynet stiller som udgangspunkt ingen metodekrav, men vurderingen skal kunne fremlægges.
Hvornår standardkontrakterne er grundlaget
Standardkontrakter hører til art. 46 og bruges, når der ingen tilstrækkelighedsafgørelse er, eller når en amerikansk modtager ikke er certificeret. Rækkefølgen er forklaret i overførsel til tredjelande.
De gældende standardkontrakter er vedtaget med afgørelse (EU) 2021/914 af 4. juni 2021. Ifølge Datatilsynets vejledning fra april 2024 består de af fire moduler, der vælges efter parternes roller.
- Dataansvarlig til dataansvarlig.
- Dataansvarlig til databehandler.
- Databehandler til underdatabehandler.
- Databehandler til dataansvarlig.
Fire praktiske regler følger af vejledningen. I skal ikke have godkendelse fra Datatilsynet. I må indsætte kontrakterne i en større aftale og tilføje garantier, hvis de ikke strider mod teksten. Ved modul 2 og 3 er kravene i art. 28 indarbejdet, så I behøver ingen særskilt databehandleraftale ved siden af. Ændrer I teksten i strid med indholdet, bliver den en ad hoc-kontrakt, som kræver Datatilsynets godkendelse.
I skal stadig udfylde bilagene og læse, hvordan leverandøren har gjort det. Mange leverandører har sat standardkontrakterne ind i deres vilkår. Det er jeres pligt at kontrollere, at det rigtige modul er brugt, og at beskrivelsen af overførslen passer.
Hvad TIA’en skal svare på
EDPB’s anbefalinger 01/2020, version 2.0 af 18. juni 2021, beskriver en køreplan i seks trin. Den er stilet til både virksomheder og myndigheder, og I kan bruge den som skelet.
Trin 1: Kend jeres overførsler. Kortlæg modtagere, lande, kategorier af oplysninger og videreoverførsler. EDPB minder om, at fjernadgang og cloud uden for EØS også er overførsler, og at I skal tjekke, at I kun sender det nødvendige.
Trin 2: Fastlæg værktøjet. Tjek, om en tilstrækkelighedsafgørelse dækker overførslen. Så slipper I for resten. Ellers noter I art. 46-grundlaget.
Trin 3: Vurder landet. Her ligger selve TIA’en. Spørgsmålet er, om lovgivning og praksis i landet forhindrer modtageren i at holde kontrakten, navnlig når offentlige myndigheder kan få adgang. Vurderingen skal først og fremmest bygge på offentligt tilgængelig lovgivning, og den er begrænset til det, der er relevant for netop denne overførsel. Datatilsynet nævner, at det er naturligt at inddrage modtageren, der kender forholdene. Bilag 3 i EDPB’s anbefalinger lister mulige kilder.
Trin 4: Vælg supplerende foranstaltninger. Er værktøjet ikke effektivt alene, skal I overveje kontraktlige, tekniske og organisatoriske tiltag.
Trin 5: Gennemfør de nødvendige skridt. Tilføjelser til standardkontrakterne kræver ikke tilladelse, så længe de ikke strider mod teksten.
Trin 6: Gentag. Ansvarlighed er en løbende pligt. I skal følge med i landet og kunne stoppe overførslen, hvis modtageren ikke kan holde sine løfter.
De tekniske foranstaltninger er det afgørende
EDPB siger, at kontraktlige og organisatoriske foranstaltninger alene generelt ikke kan overvinde myndigheders adgang på grundlag af problematisk lovgivning. Der er situationer, hvor kun tekniske foranstaltninger virker. Det er derfor, at en jurist og en IT-kyndig har brug for hinanden her.
Bilag 2 i anbefalingerne giver eksempler, som kan læses som en prøve på jeres egen overførsel.
- Backup til et tredjeland. Virker, når oplysningerne er stærkt krypteret før overførslen, og nøglerne forbliver hos eksportøren eller en part, eksportøren har tillid til, i EØS eller et land med tilsvarende beskyttelse.
- Pseudonymiserede oplysninger. Virker, når de yderligere oplysninger bliver hos eksportøren, og oplysningerne ikke kan henføres, heller ikke ved krydsning med det, myndighederne må forventes at have.
- Transport. Kryptering kan beskytte oplysningerne undervejs mellem eksportør og modtager.
Modsat står to tilfælde. Skal en cloududbyder eller anden databehandler bruge ukrypterede oplysninger for at udføre opgaven, og gælder problematisk lovgivning i praksis for overførslen, kan EDPB ikke forestille sig en effektiv teknisk foranstaltning. Det samme gælder fjernadgang til oplysninger til fælles forretningsformål. Kryptering i transport og i hvile hjælper ikke, når modtageren har nøglerne. EDPB tager forbehold for senere teknisk udvikling.
Det er den vigtigste enkeltsætning i anbefalingerne for en virksomhed, der bruger software som en tjeneste. Spørg derfor altid, hvem der har nøglerne, og om leverandøren kan se oplysningerne i klar tekst.
Når svaret er, at det ikke holder
Hvis TIA’en viser, at beskyttelsen ikke kan sikres, har I få muligheder. I kan ændre løsningen, fx så oplysningerne pseudonymiseres, eller holde supporten i EU. I kan vælge en anden leverandør. Eller I kan undlade overførslen. Datatilsynet kan efter vejledningen bl.a. give påbud om at suspendere en overførsel. Ledelsen beslutter, og beslutningen skal stå i notatet. Uenighed med DPO’en dokumenteres som beskrevet under når ledelsen ikke følger DPO’ens råd.
Sådan laver I en brugbar TIA
Hold den kort og konkret. Vi foreslår et skema på få sider pr. overførsel: hvad der overføres, til hvem, hvilket modul, hvad landets regler betyder for overførslen, hvilke foranstaltninger der er taget, konklusion og dato. Tag de vigtigste leverandører først. Mange kan bruge samme vurdering af landet, så I skal kun skrive den ene gang. EDPB siger også, at I ikke behøver gentage vurderingen hver gang, samme type oplysninger overføres til samme land.
Det skal I lade være med
- At stoppe ved underskriften · kontrakten er kun den ene del.
- At kopiere en leverandørs TIA ukritisk · den må bruges som input, og vurderingen er jeres.
- At regne kryptering for løsningen, når leverandøren har nøglerne · EDPB afviser det.
- At ændre i standardteksten · det kan gøre den til en ad hoc-kontrakt.
Det skal I kræve af den eksterne
- ☐ Kontrol af, at det rigtige modul er brugt.
- ☐ Rådgivning om TIA’ens opbygning, mens I selv ejer vurderingen.
- ☐ Teknisk læsning af nøgler, klar tekst og fjernadgang.
- ☐ Opfølgning, når lande eller leverandører ændrer sig.
Kilder
- Kommissionens afgørelse (EU) 2021/914 af 4. juni 2021.
- EDPB: Henstilling 01/2020, version 2.0, dansk tekst: læst 5. november 2026.
- Datatilsynet: Vejledning om overførsel til tredjelande, april 2024: afsnit 4.1 og 5.1.
- EU-Domstolen, C-311/18 (Schrems II), 16. juli 2020.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Data Privacy Framework · Kryptering og GDPR
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
