Når en supportmedarbejder i et land uden for EU/EØS kan se personoplysninger hos jer eller hos jeres leverandør, er det efter Datatilsynets vejledning en overførsel til et tredjeland. Det er ligegyldigt, at oplysningerne fysisk bliver i EU, og at medarbejderen hverken kan gemme eller printe dem. Derfor kan en aftale, der lover “data i EU”, godt dække over en overførsel. Kapitel V gælder, og der skal være et grundlag. For mange virksomheder ligger overførslen et led nede hos en leverandør. Arbejdet består i at finde den i aftalerne, spørge til hvem der reelt har adgang og vælge, om adgangen skal have et grundlag, begrænses eller lukkes.
Datatilsynets eksempel
Vejledningen om overførsel til tredjelande fra april 2024 bruger netop denne situation som eksempel. Et dansk teleselskab vil bruge en virksomhed i Indien til IT-support. Medarbejderne kan ikke lagre eller printe oplysningerne, men kan se dem via fjernadgang, når de yder support. Oplysningerne forlader altså ikke EU/EØS.
Datatilsynet konkluderer, at der alligevel er tale om en overførsel, fordi oplysningerne gøres tilgængelige for medarbejderne hos den indiske virksomhed. Vejledningen tilføjer, at det ikke gør nogen forskel, om medarbejderne forstår dansk, eller om de er instrueret i ikke at søge i oplysningerne.
EDPB’s anbefalinger 01/2020 peger samme vej. Fjernadgang fra et tredjeland, fx i forbindelse med support, betragtes også som en overførsel, og det gælder også for lagring i en cloud uden for EØS.
Grænsen: hvem er det, der har adgang?
Afgørende er, om den, der ser oplysningerne, er en selvstændig part. Vejledningen viser det med tre eksempler.
- Leverandør i tredjeland. En virksomhed, der yder support for jer, er en anden part. Det er en overførsel.
- Koncernselskab. Et selskab i samme koncern, fx i Singapore, er en anden enhed. Det er også en overførsel.
- Eget kontor eller egen medarbejder. Et kontor uden for EU, som ikke er selvstændigt, eller en ansat på rejse eller med fast hjemmearbejdsplads dér, er ingen overførsel. Reglerne om sikkerhed gælder stadig, og kan I ikke overholde dem, kan behandlingen ikke ske dér.
Har jeres leverandør et søsterselskab, der tager vagten om natten, gælder reglen for koncernselskaber, også selv om begge selskaber bærer samme navn. Hvordan fjernsupport i øvrigt skal aftales, står i fjernsupport og databehandleraftale.
Sådan finder I det i aftalerne
Sjældent står ordet overførsel i tilbuddet. Det er i de tekniske bilag og i listerne, I skal lede.
- Listen over underdatabehandlere. Se efter selskaber uden for EU/EØS og efter ord som support, drift, vedligehold, 24/7 og follow the sun. Det sidste betyder, at vagten følger døgnet rundt om jorden. Datatilsynet skrev den 23. januar 2026, at listen skal være retvisende og ajourført, og at databehandleraftalen skal rumme oplysninger om, hvor behandlingen sker. En virksomhedsadresse er ikke altid nok.
- Vilkår om lokation. Står der, at data “lagres” i EU, siger det intet om adgang. Spørg til behandling og adgang.
- Forbehold. Formuleringer om “særlige tilfælde” er åbne for fortolkning. Datatilsynet opfordrer til, at I afklarer dem med leverandøren, som beskrevet i overførsel til tredjelande.
- Egen fortegnelse. Art. 30, stk. 1, litra e, kræver overførsler angivet. Står der “ingen”, skal svaret kunne tåle spørgsmålene ovenfor.
Spørg derefter leverandøren direkte og bed om svar på skrift: Hvem kan fra hvilke lande se oplysninger i klar tekst, i hvilke situationer, og hvilket grundlag gælder? Et tænkt eksempel: En virksomhed har sit HR-system hos en leverandør med datacenter i Irland. På et spørgsmål svarer leverandøren, at tredjelinjesupport ligger i et land uden tilstrækkelighedsafgørelse og kun aktiveres ved fejl. Så har virksomheden en overførsel, selv om den sker sjældent. Datatilsynets svar fra 2026 siger, at scenariet tæller og ikke sandsynligheden.
Det, I kan gøre
Når overførslen er fundet, har I grundlæggende tre veje, og valget hører hjemme hos ledelsen med DPO’ens råd.
Find et grundlag. Har landet en tilstrækkelighedsafgørelse, er det enkelt, se Data Privacy Framework for USA. Ellers skal der være standardkontrakter og en vurdering af landet, se standardkontrakter og TIA. Her gælder en pointe, der rammer support særligt. EDPB nævner teknisk support blandt de opgaver, hvor modtageren skal bruge ukrypterede oplysninger. Rammer lovgivningen i landet overførslen på en problematisk måde, ser EDPB ingen teknisk foranstaltning, der virker. Vurderingen af landet bliver derfor afgørende.
Begræns adgangen. Mange supportsager kan løses uden personoplysninger. Vores råd er at spørge, om leverandøren kan bruge testdata, skjule felter eller nøjes med at se logs uden navne. Adgang kan åbnes pr. sag af jer selv, tidsbegrænses og logges. Det er tiltag, der følger af art. 25 og 32. Det ændrer ikke, at adgang er overførsel, men det kan gøre mængden lille, og I kan bedre dokumentere det, der sker.
Luk adgangen. I kan kræve support fra EU/EØS, hvis leverandøren tilbyder det. Få det skrevet ind som instruks i databehandleraftalen, og kontrollér det ved tilsynet.
Jeres tekst om oplysningspligten efter art. 13 og 14 skal også passe. Står der, at oplysninger aldrig forlader EU, skal den sætning rettes, hvis support ligger uden for.
Det skal I lade være med
- At læse “data i EU” som et svar · adgang tæller.
- At behandle koncernens supportcenter som intern afdeling · selskaber er forskellige parter.
- At henvise til, at det sker sjældent · scenariet afgør det.
- At regne en instruks om ikke at søge for en løsning · Datatilsynets eksempel afviser det.
Det skal I kræve af den eksterne
- ☐ Gennemlæsning af underdatabehandlere, lokationer og forbehold.
- ☐ Konkrete spørgsmål til leverandøren om adgang i klar tekst.
- ☐ Rådgivning om grundlag, begrænsning eller lukning.
- ☐ Kontrol af, at instruksen også holder i praksis.
Kilder
- Datatilsynet: Vejledning om overførsel til tredjelande, april 2024: eksempel 2, 7, 8 og 9.
- EDPB: Henstilling 01/2020, version 2.0, dansk tekst: punkt 13 og brugstilfælde 6.
- Datatilsynet: Vilkår i databehandleraftalen om overførsler, 23. januar 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 13, 14, 25, 30 og 32.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Overførsel til tredjelande · Underdatabehandlere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
