Datainspektionen godkänner Tetra Paks bindande företagsbestämmelser för koncernintern överföring av personuppgifter till tredje land

Som bekant måste den som vill överföra personuppgifter till ett land utanför det Europeiska ekonomiska samarbetsområdet (EES) med svagare skydd för personuppgifter vidta särskilda åtgärder för att överföringen ska vara tillåten enligt dataskyddsförordningen (GDPR). För överföringar inom en och samma företagskoncern kan ett led i detta arbete vara att anta s.k. bindande företagsbestämmelser, eller Binding Corporate Rules (BCR). BCR är ett alternativ till att t.ex. avtala om av EU-kommissionen godkända standardavtalsklausuler mellan mottagande organisation utanför EES (dataimportören) och exporterande organisation (dataexportören).

Nu har Datainspektionen för första gången beslutat att godkänna ett företags BCR efter att ha bedömt att de tillhandahåller lämpliga garantier för överföringar av personuppgifter i enlighet med artikel 46.1, 46.2 b, 47.1 och 47.2 i GDPR. Beslutet är särskilt intressant med tanke på att det fattats efter EU-domstolens ogiltigförklarande av Privacy Shield för överföringar av personuppgifter till USA i det s.k. Schrems II-målet (vilket går att läsa mer om här).

Det är viktigt att känna till att ett beslut om att godkänna BCR inte tar sikte på överföringar till ett eller flera specifikt angivna länder. Dataexportören måste fortfarande göra en egen bedömning i det enskilda fallet om användningen av BCR medför ett skydd för personuppgifterna i mottagarlandet som lever upp till GDPR:s krav. Detta framgår särskilt tydligt av Europeiska dataskyddsstyrelsens (EDPB) yttrande inför Datainspektionens beslut där EDPB hänvisar till EU-domstolens dom i Schrems II-målet. Vi konstaterar därför att det ännu är osäkert om och till vilka länder BCR gör det möjligt att överföra personuppgifter  – en osäkerhet som i synnerhet gäller USA.

Datainspektionens beslut att godkänna Tetra Paks bindande företagsbestämmelser går att läsa här.

EDPB:s yttrande inför Datainspektionens beslut går att läsa här.