Overførsel til tredjelande: SCC, BCR og tilstrækkelighed

Enhver overførsel af personoplysninger til et land uden for EU/EØS kræver et selvstændigt overførselsgrundlag efter databeskyttelsesforordningens kapitel V (art. 44-49). Rækkefølgen er fast: findes der en tilstrækkelighedsafgørelse fra Kommissionen efter artikel 45, er overførslen fri. Gør der ikke, skal du bruge en fornøden garanti efter artikel 46 — typisk EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914) eller bindende virksomhedsregler — kombineret med en overførselsanalyse. Undtagelserne i artikel 49 er sidste udvej og kan ikke bruges til systematiske, gentagne overførsler. Overførselsgrundlaget kommer oveni artikel 6-grundlaget; det erstatter det ikke.

Denne guide er skrevet til den, der skal dokumentere en konkret datastrøm: en dansk virksomhed med Microsoft 365, en supportfunktion i Indien, en amerikansk moderkoncern eller en analyseleverandør uden for EØS. Du får kriterierne for, hvornår noget overhovedet er en overførsel, de fire SCC-moduler, indholdet af en overførselsanalyse og de sanktioner, der faktisk er faldet.

Nøglepunkter

• Kapitel V gælder oveni artikel 6. Et gyldigt behandlingsgrundlag — kontrakt, samtykke eller legitim interesse — legitimerer ikke i sig selv en overførsel ud af EØS.
• Fjernadgang tæller. Giver du en supportmedarbejder i et tredjeland adgang til data, der ligger på en EU-server, er det en overførsel.
• SCC’erne fra 2021/914 har fire moduler. Vælg det rigtige — forkert modul er en klassisk fejl i leverandøraftaler.
• Overførselsanalysen er obligatorisk ved artikel 46-grundlag. Den følger af klausul 14 i SCC’erne og af Schrems II.
• Sanktionsrammen er den høje: op til 20 mio. EUR eller 4 % af den samlede globale årsomsætning, jf. artikel 83, stk. 5, litra c.

Hvornår er der tale om en overførsel?

Forordningen definerer ikke “overførsel”. Det Europæiske Databeskyttelsesråd har i sine retningslinjer om samspillet mellem artikel 3 og kapitel V opstillet tre kumulative kriterier: den dataansvarlige eller databehandler er omfattet af GDPR for den pågældende behandling; oplysningerne videregives ved transmission eller stilles til rådighed for en anden dataansvarlig, fælles dataansvarlig eller databehandler; og modtageren befinder sig i et tredjeland eller er en international organisation.

Tre praktiske konsekvenser følger. Fjernadgang er en overførsel — det er ligegyldigt, om serveren står i Frankfurt, hvis en administrator i Manila kan logge ind. Datalagring i en EU-region er ikke nok i sig selv, hvis leverandøren har support, backup eller telemetri uden for EØS. Og en registreret, der selv indtaster data på en tredjelandstjeneste, foretager ikke en overførsel i kapitel V’s forstand.

Kortlægningen hører hjemme i din fortegnelse over behandlingsaktiviteter: artikel 30, stk. 1, litra e, kræver udtrykkeligt, at overførsler til tredjelande og de tilhørende garantier fremgår. Kilden til oplysningerne er som regel underdatabehandlerlisten i din databehandleraftale — bed altid om den aktuelle version med lokation for hver underleverandør.

Tilstrækkelighedsafgørelser efter artikel 45

Har Kommissionen truffet afgørelse om, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, kræver overførslen ingen særlig tilladelse og ingen supplerende garantier. Kommissionen har blandt andet truffet afgørelse om Andorra, Argentina, Canada (kommercielle organisationer), Færøerne, Guernsey, Isle of Man, Israel, Japan, Jersey, New Zealand, Schweiz, Sydkorea, Storbritannien og Uruguay.

For USA gælder en delvis afgørelse. Kommissionen vedtog den 10. juli 2023 en tilstrækkelighedsafgørelse for EU-US Data Privacy Framework (DPF). Den dækker udelukkende amerikanske virksomheder, der har selvcertificeret sig under ordningen hos det amerikanske handelsministerium — ikke USA som land. Rammen bygger på præsidentielt dekret 14086 og oprettelsen af Data Protection Review Court. EU’s Ret afviste i 2025 et annullationssøgsmål mod afgørelsen (sag T-553/23, Latombe mod Kommissionen), men afgørelsen er fortsat genstand for periodiske revisioner og politisk usikkerhed.

To ting skal derfor tjekkes, hver gang du læner dig op ad DPF: at leverandøren rent faktisk står på DPF-listen, og at certificeringen dækker den relevante datatype (HR-data kræver særskilt tilvalg). En leverandør, der “overholder Privacy Shield”, er ikke certificeret — Privacy Shield blev ugyldiggjort i 2020. Fordi DPF-grundlaget kan bortfalde, er det klogt at have en SCC-plan B i skuffen. Nogle organisationer vælger simpelthen EU-hostede leverandører for at fjerne spørgsmålet helt; det er en af de reelle forskelle, der er stillet op i Legiscope vs OneTrust.

Standardkontraktbestemmelser og de fire moduler

Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021 er det mest brugte artikel 46-grundlag. De gamle klausuler fra 2001, 2004 og 2010 ophørte med at kunne bruges den 27. december 2022. Klausulerne skal indgås uændret; du udfylder kun bilagene og vælger modul.

Modul	Eksportør	Importør	Typisk situation
1	Dataansvarlig	Dataansvarlig	Videregivelse til amerikansk moderselskab med eget formål
2	Dataansvarlig	Databehandler	SaaS-leverandør uden for EØS
3	Databehandler	Databehandler	Din EU-databehandlers underdatabehandler i tredjeland
4	Databehandler	Dataansvarlig	EU-databehandler returnerer data til tredjelands-dataansvarlig

Bilagene bærer den reelle dokumentationsværdi. Bilag I angiver parterne, en præcis beskrivelse af overførslen (kategorier af registrerede og oplysninger, formål, hyppighed, opbevaringsperiode) og den kompetente tilsynsmyndighed. Bilag II beskriver de tekniske og organisatoriske foranstaltninger — og her afvises generiske formuleringer som “branchestandard-sikkerhed”. Bilag III lister godkendte underdatabehandlere. Klausul 7 (docking-klausulen) gør det muligt at tilføje nye parter senere, og klausul 16 forpligter eksportøren til at suspendere overførslen, hvis importøren ikke kan overholde klausulerne.

Bemærk forskellen på de to sæt fra 2021: 2021/914 dækker tredjelandsoverførsler, mens 2021/915 er standardbestemmelser til artikel 28-forholdet mellem dataansvarlig og databehandler. De to sæt løser hver sit problem og kombineres ofte i samme kontraktpakke — se vores skabelon til databehandleraftale for, hvordan de hænger sammen.

Overførselsanalysen efter Schrems II

EU-Domstolen fastslog i Schrems II (C-311/18, dom af 16. juli 2020), at standardkontraktbestemmelser er gyldige, men at eksportøren har en selvstændig pligt til at vurdere, om modtagerlandets lovgivning og praksis reelt tillader importøren at overholde klausulerne. Pligten er nu kodificeret i klausul 14 i 2021/914. Resultatet er en overførselsanalyse (transfer impact assessment) med seks trin, som følger Databeskyttelsesrådets anbefalinger om supplerende foranstaltninger:

1. Kortlæg overførslen — hvilke data, til hvem, hvor, hvor ofte, via hvilke underleverandører.
2. Identificér overførselsgrundlaget efter artikel 45, 46 eller 49.
3. Vurdér modtagerlandets ret og praksis, herunder myndighedernes adgang til data og de registreredes retsmidler.
4. Fastlæg supplerende foranstaltninger, hvis vurderingen viser en mangel.
5. Gennemfør de proceduremæssige skridt, foranstaltningerne kræver.
6. Revurdér med passende mellemrum og ved ændringer.

Supplerende foranstaltninger kan være tekniske (stærk kryptering med nøgler, der bliver i EØS, pseudonymisering før overførsel, split processing), kontraktuelle (varslingspligt ved myndighedsanmodninger, transparensrapporter, revisionsret) eller organisatoriske (interne politikker for udleveringsbegæringer). De to sidste kan sjældent stå alene, når problemet er en udenlandsk overvågningslov — de forpligter kun importøren, ikke den myndighed, der kræver data udleveret. Konklusionen kan derfor lovligt være, at overførslen ikke kan gennemføres. Analysen indgår naturligt i en konsekvensanalyse efter artikel 35, hvor behandlingen kræver en sådan.

Bindende virksomhedsregler og undtagelserne i artikel 49

Bindende virksomhedsregler (BCR, art. 47) er interne, juridisk bindende regler for en koncern, godkendt af den kompetente tilsynsmyndighed efter sammenhængsmekanismen i artikel 63. Artikel 47, stk. 2, opregner det obligatoriske indhold: koncernstruktur, de omfattede overførsler, retligt bindende karakter både internt og eksternt, de registreredes rettigheder som tredjemand, ansvarsfordeling, klageprocedurer, uddannelse og revision. Der findes BCR for både dataansvarlige og databehandlere. Det er den rette løsning for koncerninterne strømme i mange lande, men godkendelsesprocessen tager typisk år — ikke en løsning på et akut problem.

Artikel 49 indeholder undtagelser til brug, når hverken artikel 45 eller 46 er tilgængelige: udtrykkeligt samtykke efter information om risiciene (litra a), nødvendighed for en kontrakt med den registrerede (litra b), kontrakt i den registreredes interesse (litra c), vigtige samfundsinteresser (litra d), retskrav (litra e), vitale interesser (litra f) og udtræk fra offentlige registre (litra g). Databeskyttelsesrådet fortolker dem snævert: de er forbeholdt lejlighedsvise og ikke-gentagne overførsler. Den sidste udvej i artikel 49, stk. 1, andet afsnit — tvingende legitime interesser — kræver desuden et begrænset antal registrerede, en afvejning og underretning af tilsynsmyndigheden. At bruge artikel 49 som permanent grundlag for et cloudsystem er en fejl, ikke en strategi.

Hvad koster det at tage fejl?

Overtrædelser af kapitel V hører under den høje bødeskala i artikel 83, stk. 5, litra c. To afgørelser viser niveauet:

Sag	Myndighed	Dato	Sanktion
Meta Platforms Ireland	Det irske datatilsyn (DPC)	22. maj 2023	1,2 mia. EUR + påbud om at standse overførsler
Uber	Det nederlandske datatilsyn (AP)	26. august 2024	290 mio. EUR

Meta-sagen angik overførsel af europæiske Facebook-brugeres data til USA på grundlag af standardkontraktbestemmelser, hvor DPC fandt, at klausulerne ikke afhjalp de risici, Schrems II havde påvist. Uber-sagen angik overførsel af europæiske chaufførers oplysninger — herunder følsomme kategorier — til det amerikanske hovedkontor uden tilstrækkelige garantier i perioden efter Privacy Shields ugyldiggørelse. Fælles for begge er, at problemet ikke var manglende kontrakt, men manglende reel beskyttelse.

Danske virksomheder rammes sjældnere af beløb i den størrelsesorden, men Datatilsynet har efter artikel 58, stk. 2, kompetence til at suspendere overførsler — og et påbud om at standse brugen af et centralt system er i praksis dyrere end en bøde. Overførselsgrundlaget skal desuden oplyses til de registrerede efter artikel 13, stk. 1, litra f, hvilket i praksis betyder et konkret afsnit i din privatlivspolitik — ikke en henvisning til “gældende lovgivning”.

Ofte stillede spørgsmål

Er en overførsel til Norge, Island eller Liechtenstein en tredjelandsoverførsel?

Nej. De tre EFTA-lande er med i EØS, og GDPR gælder der. Overførsler inden for EØS er ikke omfattet af kapitel V. Storbritannien er derimod et tredjeland efter brexit, men er dækket af en tilstrækkelighedsafgørelse — tjek dens aktuelle status på Kommissionens oversigt, da afgørelsen er tidsbegrænset.

Kan jeg bruge samtykke som grundlag for at overføre til USA?

Kun undtagelsesvis. Artikel 49, stk. 1, litra a, kræver udtrykkeligt samtykke efter at den registrerede er informeret om de konkrete risici ved fraværet af en tilstrækkelighedsafgørelse og fornødne garantier. Det egner sig til enkeltstående overførsler, ikke til den løbende drift af et system.

Skal jeg lave en ny overførselsanalyse for hver leverandør?

Analysen laves pr. overførsel, men kan genbruges på tværs af leverandører i samme land med samme datatype og samme risikoprofil. Det, der skal være individuelt, er beskrivelsen af data, de faktiske adgangsveje og de supplerende foranstaltninger. Skal du holde styr på mange leverandører, er kortlægningen den del, der bedst egner sig til at blive automatiseret i en compliance-platform — se sammenligningen af GDPR-software.

Konklusion

Kapitel V er ikke svært, men det er ubarmhjertigt over for uklarhed. Kortlæg hver datastrøm ud af EØS, inklusive fjernadgang og backup. Vælg grundlag i den rigtige rækkefølge: tilstrækkelighed, dernæst artikel 46, og kun undtagelsesvis artikel 49. Brug det rigtige SCC-modul, udfyld bilagene med reelt indhold, og gennemfør overførselsanalysen skriftligt. Retsgrundlaget findes i databeskyttelsesforordningen og i gennemførelsesafgørelse (EU) 2021/914; Kommissionens opdaterede liste over tilstrækkelighedsafgørelser bør tjekkes, før du læner dig på en. Domstolens dom i C-311/18 er stadig udgangspunktet for analysen, og de danske rammer er samlet i vores guide til databeskyttelse i Danmark.