Enhver overføring av personopplysninger ut av EØS krever et selvstendig overføringsgrunnlag etter personvernforordningens kapittel V (artikkel 44–49). Rekkefølgen er fast: finnes det en tilstrekkelighetsbeslutning fra EU-kommisjonen etter artikkel 45, er overføringen fri. Gjør det ikke, må du bruke en egnet garanti etter artikkel 46 — vanligvis standard personvernbestemmelser (beslutning (EU) 2021/914) eller bindende virksomhetsregler — kombinert med en overføringsvurdering. Unntakene i artikkel 49 skal tolkes snevert og vurderes etter vilkårene for det enkelte unntaket; de er ingen generell løsning for løpende skydrift. For norske virksomheter er det avgjørende å merke seg at «tredjeland» betyr utenfor EØS, ikke utenfor EU: overføring mellom Norge og et EU-land er ikke en tredjelandsoverføring, mens overføring fra Norge til USA er det.
Denne guiden er skrevet for den som skal dokumentere en konkret dataflyt: en norsk virksomhet med Microsoft 365, support i India, et amerikansk morselskap eller en analyseleverandør utenfor EØS. Du får EØS-avklaringen først, deretter de fire SCC-modulene, innholdet i en overføringsvurdering og gebyrene som faktisk er ilagt.
Hovedpunkter
- Kapittel V kommer i tillegg til artikkel 6. Et gyldig behandlingsgrunnlag — avtale, samtykke eller berettiget interesse — legitimerer ikke i seg selv en overføring ut av EØS.
- Norge er EØS-stat, ikke EU-stat, men GDPR gjelder fullt ut. Overføringer innenfor EØS er ikke tredjelandsoverføringer.
- Fjerntilgang kan være en overføring. Det gjelder når opplysninger gjøres tilgjengelige for en annen behandlingsansvarlig eller databehandler i et tredjeland, også gjennom vedkommendes supportmedarbeidere.
- Overføringsvurderingen er obligatorisk ved artikkel 46-grunnlag. Den følger av klausul 14 i SCC-ene og av Schrems II.
- Gebyrrammen er den høye: inntil 20 millioner euro eller 4 % av samlet global årsomsetning, jf. artikkel 83 nr. 5 bokstav c.
Hva betyr EØS-tilknytningen for norske virksomheter?
Norge er ikke medlem av EU, men GDPR ble innlemmet i EØS-avtalen i 2018 og gjelder som norsk lov gjennom personopplysningsloven. Konsekvensene for kapittel V er tre, og de forveksles ofte:
Overføring til Norge er ikke en tredjelandsoverføring. Et tysk eller fransk selskap som setter ut behandling til en norsk leverandør, trenger ikke overføringsgrunnlag etter kapittel V. Får du som norsk leverandør krav om å signere standard personvernbestemmelser for data som blir liggende i Norge, er kravet feil — det som trengs, er en databehandleravtale etter artikkel 28, ikke overføringsklausuler.
Overføring fra Norge til et land utenfor EØS er en tredjelandsoverføring. Reglene er nøyaktig de samme som for en virksomhet i EU. En norsk virksomhet som bruker en amerikansk skytjeneste, må ha et overføringsgrunnlag på linje med et dansk eller tysk selskap. EØS-medlemskapet gir ingen lempeligere behandling.
EU-kommisjonens beslutninger gjelder også her. Både tilstrekkelighetsbeslutningene etter artikkel 45 og standardklausulene i beslutning (EU) 2021/914 er innlemmet i EØS-avtalen, med de tilpasningene innlemmelsen krever — blant annet at henvisninger til medlemsstatenes rett også omfatter EØS-rett, og at Datatilsynet er kompetent tilsynsmyndighet i vedlegg I når eksportøren er norsk.
Når foreligger det en overføring?
Forordningen definerer ikke «overføring». Personvernrådet har i retningslinjene om samspillet mellom artikkel 3 og kapittel V stilt opp tre kumulative kriterier: eksportøren er omfattet av GDPR for den aktuelle behandlingen; opplysningene utleveres eller gjøres tilgjengelig for en annen behandlingsansvarlig eller databehandler; og mottakeren befinner seg i et tredjeland eller er en internasjonal organisasjon.
Tre praktiske følger. Fjerntilgang hos en separat mottaker kan være en overføring — europeisk serverplassering endrer ikke dette. En egen ansatt på tjenestereise er derimot normalt del av samme virksomhet, ikke en annen mottaker. Sikkerhetspliktene gjelder likevel. Dette skillet følger av EDPBs retningslinjer 05/2021, punkt 20 og eksempel 8. Lagring i en europeisk region er ikke nok alene, dersom leverandøren har support, sikkerhetskopier eller telemetri utenfor EØS. Og en registrert som selv legger inn opplysninger i en tredjelandstjeneste, foretar ikke en overføring i kapittel V-forstand.
Kartleggingen hører hjemme i behandlingsprotokollen: artikkel 30 nr. 1 bokstav e krever uttrykkelig at overføringer til tredjeland og de tilhørende garantiene framgår. Kilden er som regel underleverandørlisten i databehandleravtalen — be alltid om den oppdaterte versjonen med lokasjon for hver underdatabehandler, slik det er lagt opp i vår mal for databehandleravtale.
Tilstrekkelighetsbeslutninger etter artikkel 45
Har EU-kommisjonen fastslått at et tredjeland sikrer et tilstrekkelig beskyttelsesnivå, kreves ingen særskilt tillatelse og ingen supplerende garantier. Kommisjonen har blant annet truffet slike beslutninger for Andorra, Argentina, Canada (kommersielle virksomheter), Færøyene, Guernsey, Isle of Man, Israel, Japan, Jersey, New Zealand, Storbritannia, Sveits, Sør-Korea og Uruguay.
For USA gjelder en delvis beslutning. Kommisjonen vedtok 10. juli 2023 en tilstrekkelighetsbeslutning for EU-US Data Privacy Framework (DPF). Den dekker bare amerikanske virksomheter som har selvsertifisert seg i ordningen hos det amerikanske handelsdepartementet — ikke USA som land. Rammeverket bygger på presidentordre 14086 og opprettelsen av Data Protection Review Court. EU-retten avviste i 2025 et søksmål om ugyldiggjøring av beslutningen (sak T-553/23, Latombe mot Kommisjonen), men beslutningen er fortsatt gjenstand for periodiske gjennomganger.
Standard personvernbestemmelser og de fire modulene
Kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021 er det mest brukte artikkel 46-grunnlaget. De gamle klausulene fra 2001, 2004 og 2010 kunne ikke lenger brukes etter 27. desember 2022. Klausulene skal inngås uendret; du fyller bare ut vedleggene og velger modul.
| Modul | Eksportør | Importør | Typisk situasjon |
|---|---|---|---|
| 1 | Behandlingsansvarlig | Behandlingsansvarlig | Utlevering til amerikansk morselskap med eget formål |
| 2 | Behandlingsansvarlig | Databehandler | SaaS-leverandør utenfor EØS |
| 3 | Databehandler | Databehandler | Din europeiske databehandlers underleverandør i tredjeland |
| 4 | Databehandler | Behandlingsansvarlig | Europeisk databehandler returnerer data til en behandlingsansvarlig i tredjeland |
Vedleggene bærer den reelle dokumentasjonsverdien. Vedlegg I angir partene, en presis beskrivelse av overføringen (kategorier av registrerte og opplysninger, formål, hyppighet, lagringstid) og kompetent tilsynsmyndighet. Vedlegg II beskriver de tekniske og organisatoriske tiltakene — her holder ikke generelle formuleringer som «bransjestandard sikkerhet». Vedlegg III lister godkjente underdatabehandlere. Klausul 7 (dokkingklausulen) gjør det mulig å ta inn nye parter senere, og klausul 16 pålegger eksportøren å stanse overføringen dersom importøren ikke kan overholde klausulene. Merk at 2021/914 gjelder tredjelandsoverføringer, mens 2021/915 er standardbestemmelser for artikkel 28-forholdet — to ulike sett som ofte kombineres i samme kontraktspakke.
Overføringsvurderingen etter Schrems II
EU-domstolen slo i Schrems II (C-311/18, dom 16. juli 2020) fast at standardklausulene er gyldige, men at eksportøren har en selvstendig plikt til å vurdere om mottakerlandets lovgivning og praksis faktisk lar importøren overholde klausulene. Plikten er nå kodifisert i klausul 14 i 2021/914. Resultatet er en overføringsvurdering i seks trinn, i tråd med Personvernrådets anbefalinger om supplerende tiltak:
- Kartlegg overføringen — hvilke data, til hvem, hvor, hvor ofte, via hvilke underleverandører.
- Identifiser overføringsgrunnlaget etter artikkel 45, 46 eller 49.
- Vurder mottakerlandets rett og praksis, herunder myndighetenes tilgang til data.
- Fastsett supplerende tiltak dersom vurderingen avdekker en svakhet.
- Gjennomfør de prosessuelle skrittene tiltakene krever.
- Vurder på nytt ved endringer og med jevne mellomrom.
Supplerende tiltak kan være tekniske (sterk kryptering der nøklene blir i EØS, pseudonymisering før overføring), kontraktsmessige (varslingsplikt ved myndighetsforespørsler, revisjonsrett) eller organisatoriske (interne rutiner for utleveringskrav). De to siste kan sjelden stå alene når problemet er en utenlandsk overvåkingslov — de binder bare importøren, ikke myndigheten som krever utlevering. Konklusjonen kan derfor lovlig bli at overføringen ikke kan gjennomføres. Vurderingen inngår naturlig i en personvernkonsekvensvurdering etter artikkel 35 der behandlingen krever en slik.
Bindende virksomhetsregler og unntakene i artikkel 49
Bindende virksomhetsregler (BCR, artikkel 47) er interne, rettslig bindende konsernregler, godkjent av kompetent tilsynsmyndighet etter konsistensmekanismen i artikkel 63. Artikkel 47 nr. 2 lister det obligatoriske innholdet: konsernstruktur, hvilke overføringer som omfattes, rettslig bindende virkning internt og eksternt, de registrertes rettigheter som tredjepart, ansvarsfordeling, klageordninger og revisjon. Løsningen passer for konserninterne strømmer i mange land, men godkjenningen tar gjerne år.
Artikkel 49 inneholder unntak til bruk når verken artikkel 45 eller 46 er tilgjengelig: uttrykkelig samtykke etter informasjon om risikoen (bokstav a), nødvendighet for en avtale med den registrerte (bokstav b), avtale i den registrertes interesse (bokstav c), viktige allmenne interesser (bokstav d), rettskrav (bokstav e), vitale interesser (bokstav f) og uttrekk fra offentlige registre (bokstav g). Personvernrådets retningslinjer 2/2018 skiller mellom vilkårene: avtale- og rettskravsunntakene i bokstav b, c og e gjelder leilighetsvise overføringer. Kravet om ikke-gjentatte overføringer gjelder det snevre restunntaket for tvingende berettigede interesser i nr. 1 annet ledd. Bokstav a, d, f og g har ikke samme uttrykkelige begrensning, men skal fortsatt tolkes som unntak og oppfylle sine egne strenge vilkår. Artikkel 49 gir derfor ingen generell tillatelse til permanent skydrift.
Hva koster det å ta feil?
Brudd på kapittel V ligger i den høye gebyrrammen i artikkel 83 nr. 5 bokstav c. To avgjørelser viser nivået:
| Sak | Myndighet | Dato | Reaksjon |
|---|---|---|---|
| Meta Platforms Ireland | Det irske datatilsynet (DPC) | 22. mai 2023 | 1,2 milliarder euro + pålegg om å stanse overføringene |
| Uber | Det nederlandske datatilsynet (AP) | 26. august 2024 | 290 millioner euro |
Meta-saken gjaldt overføring av europeiske Facebook-brukeres opplysninger til USA på grunnlag av standardklausuler, der DPC kom til at klausulene ikke bøtet på risikoen Schrems II hadde påvist. Uber-saken gjaldt overføring av europeiske sjåførers opplysninger — også særlige kategorier — til det amerikanske hovedkontoret uten tilstrekkelige garantier etter at Privacy Shield falt bort. Felles for begge: problemet var ikke manglende kontrakt, men manglende reell beskyttelse. Norske virksomheter rammes sjeldnere av slike beløp, men Datatilsynet har etter artikkel 58 nr. 2 myndighet til å stanse overføringer — et pålegg om å slutte å bruke et sentralt system er i praksis dyrere enn et gebyr. Overføringsgrunnlaget skal dessuten opplyses til de registrerte etter artikkel 13 nr. 1 bokstav f, noe som betyr et konkret avsnitt i personvernerklæringen.
Ofte stilte spørsmål
Må en norsk virksomhet signere standard personvernbestemmelser med sin EU-kunde?
Nei, ikke for selve forholdet Norge–EU. Norge er EØS-stat, og overføringer innenfor EØS er ikke tredjelandsoverføringer. Det som kreves, er en databehandleravtale etter artikkel 28. Standardklausuler blir først aktuelle hvis den norske parten selv sender opplysningene videre ut av EØS.
Er Storbritannia et tredjeland for norske virksomheter?
Ja, etter brexit er Storbritannia et tredjeland. Landet er imidlertid dekket av en tilstrekkelighetsbeslutning fra EU-kommisjonen, innlemmet i EØS-avtalen. Beslutningen er tidsbegrenset, så status bør kontrolleres mot Kommisjonens oversikt før du støtter deg på den.
Kan samtykke brukes som grunnlag for overføring til USA?
Bare unntaksvis. Artikkel 49 nr. 1 bokstav a krever uttrykkelig samtykke etter at den registrerte er informert om den konkrete risikoen ved at det mangler tilstrekkelighetsbeslutning og egnede garantier. Dette er ikke et generelt krav om at samtykke bare kan dekke én overføring, men unntaket skal brukes snevert og er ingen robust standardløsning for løpende skydrift.
Må jeg lage en ny overføringsvurdering for hver leverandør?
Vurderingen gjøres per overføring, men kan gjenbrukes på tvers av leverandører i samme land med samme datatype og risikoprofil. Det som må være individuelt, er beskrivelsen av dataene, de faktiske tilgangsveiene og de supplerende tiltakene. Har du mange leverandører, er kartleggingen den delen som best lar seg automatisere — se sammenligningen av GDPR-programvare.
Konklusjon
Start med EØS-avklaringen: bare det som forlater EØS, er en tredjelandsoverføring. Kartlegg deretter hver dataflyt ut, inkludert fjerntilgang og sikkerhetskopier. Velg grunnlag i riktig rekkefølge — tilstrekkelighet, så artikkel 46, og bare unntaksvis artikkel 49. Bruk riktig SCC-modul, fyll vedleggene med reelt innhold, og skriv overføringsvurderingen ned. Regelverket finnes i personopplysningsloven med personvernforordningen og i beslutning (EU) 2021/914; Kommisjonens oversikt over tilstrekkelighetsbeslutninger bør kontrolleres før du støtter deg på en. Dommen i C-311/18 er fortsatt utgangspunktet, og de norske rammene er samlet i vår guide til personvern i Norge.