Nya rekommendationer från EDPB om överföring av personuppgifter till tredje land

I kölvattnet av EU-domstolens dom i Schrems II-målet har nu äntligen den Europeiska Dataskyddsstyrelsen (”EDPB”) antagit nya rekommendationer om åtgärder som behöver vidtas i anledning av överföring av personuppgifter till länder utanför det Europeiska ekonomiska samarbetsområdet (”tredje land”).

Rekommendationerna innehåller bland annat en beskrivning av vilka steg som behöver vidtas och en exemplifiering av vissa ytterligare skyddsåtgärder som kan behöva användas för att säkerställa att en överföring av personuppgifter till tredje land är förenlig med kraven i GDPR. Rekommendationerna är publicerade för samråd. Eventuella synpunkter ska lämnas senast den 30 november 2020. Därefter kommer EDPB att anta och publicera en slutversion av vägledningen.

Domen i Schrems II-målet utgör en tydlig påminnelse om att skyddet för personuppgifter inte får försämras vid en överföring av personuppgifter till tredje land. Syftet med de nya rekommendationerna är att hjälpa företag och personer som planerar att överföra personuppgifter till tredje land att utvärdera lagstiftningen i landet samt identifiera vilka lämpliga skyddsåtgärder som kan komma att behöva implementeras. Av de nya rekommendationerna framgår vilka steg som bör vidtas innan personuppgifter överförs till tredje land. Dessa steg är:

1. identifiera vilka överföringar av personuppgifter som sker till tredje land,
2. identifiera vilken överföringsmekanism i GDPR kapitel V som används,
3. utred huruvida lagstiftning eller praxis i det tredje landet inskränker överföringsmekanismens effektivitet,
4. identifiera och tillämpa ytterligare skyddsåtgärder om nödvändigt,
5. vidta nödvändiga processuella åtgärder som krävs för tillämpning av de ytterligare skyddsåtgärderna,
6. utvärdera med lämpliga intervaller skyddsnivån för personuppgifter som överförts till det tredje landet samt bevaka om det skett eller kommer att ske ändringar som kan komma att påverka skyddsnivån.

Vi kommer naturligtvis att rapportera mera på bloggen om rekommendationerna och överföring av personuppgifter till tredje land.