Overføring til tredjeland: SCC, BCR og tilstrekkelighet

Enhver overføring av personopplysninger ut av EØS krever et selvstendig overføringsgrunnlag etter personvernforordningens kapittel V (artikkel 44–49). Rekkefølgen er fast: finnes det en tilstrekkelighetsbeslutning fra EU-kommisjonen etter artikkel 45, er overføringen fri. Gjør det ikke, må du bruke en egnet garanti etter artikkel 46 — vanligvis standard personvernbestemmelser (beslutning (EU) 2021/914) eller bindende virksomhetsregler — kombinert med en overføringsvurdering. Unntakene i artikkel 49 er siste utvei og kan ikke bære systematiske, gjentatte overføringer. For norske virksomheter er det avgjørende å merke seg at «tredjeland» betyr utenfor EØS, ikke utenfor EU: overføring mellom Norge og et EU-land er ikke en tredjelandsoverføring, mens overføring fra Norge til USA er det.

Denne guiden er skrevet for den som skal dokumentere en konkret dataflyt: en norsk virksomhet med Microsoft 365, support i India, et amerikansk morselskap eller en analyseleverandør utenfor EØS. Du får EØS-avklaringen først, deretter de fire SCC-modulene, innholdet i en overføringsvurdering og gebyrene som faktisk er ilagt.

Hovedpunkter

• Kapittel V kommer i tillegg til artikkel 6. Et gyldig behandlingsgrunnlag — avtale, samtykke eller berettiget interesse — legitimerer ikke i seg selv en overføring ut av EØS.
• Norge er EØS-stat, ikke EU-stat, men GDPR gjelder fullt ut. Overføringer innenfor EØS er ikke tredjelandsoverføringer.
• Fjerntilgang teller. Gir du en supportmedarbeider i et tredjeland tilgang til data som ligger på en europeisk server, er det en overføring.
• Overføringsvurderingen er obligatorisk ved artikkel 46-grunnlag. Den følger av klausul 14 i SCC-ene og av Schrems II.
• Gebyrrammen er den høye: inntil 20 millioner euro eller 4 % av samlet global årsomsetning, jf. artikkel 83 nr. 5 bokstav c.

Hva betyr EØS-tilknytningen for norske virksomheter?

Norge er ikke medlem av EU, men GDPR ble innlemmet i EØS-avtalen i 2018 og gjelder som norsk lov gjennom personopplysningsloven. Konsekvensene for kapittel V er tre, og de forveksles ofte:

Overføring til Norge er ikke en tredjelandsoverføring. Et tysk eller fransk selskap som setter ut behandling til en norsk leverandør, trenger ikke overføringsgrunnlag etter kapittel V. Får du som norsk leverandør krav om å signere standard personvernbestemmelser for data som blir liggende i Norge, er kravet feil — det som trengs, er en databehandleravtale etter artikkel 28, ikke overføringsklausuler.

Overføring fra Norge til et land utenfor EØS er en tredjelandsoverføring. Reglene er nøyaktig de samme som for en virksomhet i EU. En norsk virksomhet som bruker en amerikansk skytjeneste, må ha et overføringsgrunnlag på linje med et dansk eller tysk selskap. EØS-medlemskapet gir ingen lempeligere behandling.

EU-kommisjonens beslutninger gjelder også her. Både tilstrekkelighetsbeslutningene etter artikkel 45 og standardklausulene i beslutning (EU) 2021/914 er innlemmet i EØS-avtalen, med de tilpasningene innlemmelsen krever — blant annet at henvisninger til medlemsstatenes rett også omfatter EØS-rett, og at Datatilsynet er kompetent tilsynsmyndighet i vedlegg I når eksportøren er norsk.

Når foreligger det en overføring?

Forordningen definerer ikke «overføring». Personvernrådet har i retningslinjene om samspillet mellom artikkel 3 og kapittel V stilt opp tre kumulative kriterier: eksportøren er omfattet av GDPR for den aktuelle behandlingen; opplysningene utleveres eller gjøres tilgjengelig for en annen behandlingsansvarlig eller databehandler; og mottakeren befinner seg i et tredjeland eller er en internasjonal organisasjon.

Tre praktiske følger. Fjerntilgang er en overføring — det spiller ingen rolle at serveren står i Frankfurt, hvis en administrator i Manila kan logge seg på. Lagring i en europeisk region er ikke nok alene, dersom leverandøren har support, sikkerhetskopier eller telemetri utenfor EØS. Og en registrert som selv legger inn opplysninger i en tredjelandstjeneste, foretar ikke en overføring i kapittel V-forstand.

Kartleggingen hører hjemme i behandlingsprotokollen: artikkel 30 nr. 1 bokstav e krever uttrykkelig at overføringer til tredjeland og de tilhørende garantiene framgår. Kilden er som regel underleverandørlisten i databehandleravtalen — be alltid om den oppdaterte versjonen med lokasjon for hver underdatabehandler, slik det er lagt opp i vår mal for databehandleravtale.

Tilstrekkelighetsbeslutninger etter artikkel 45

Har EU-kommisjonen fastslått at et tredjeland sikrer et tilstrekkelig beskyttelsesnivå, kreves ingen særskilt tillatelse og ingen supplerende garantier. Kommisjonen har blant annet truffet slike beslutninger for Andorra, Argentina, Canada (kommersielle virksomheter), Færøyene, Guernsey, Isle of Man, Israel, Japan, Jersey, New Zealand, Storbritannia, Sveits, Sør-Korea og Uruguay.

For USA gjelder en delvis beslutning. Kommisjonen vedtok 10. juli 2023 en tilstrekkelighetsbeslutning for EU-US Data Privacy Framework (DPF). Den dekker bare amerikanske virksomheter som har selvsertifisert seg i ordningen hos det amerikanske handelsdepartementet — ikke USA som land. Rammeverket bygger på presidentordre 14086 og opprettelsen av Data Protection Review Court. EU-retten avviste i 2025 et søksmål om ugyldiggjøring av beslutningen (sak T-553/23, Latombe mot Kommisjonen), men beslutningen er fortsatt gjenstand for periodiske gjennomganger.

To ting må derfor kontrolleres hver gang du støtter deg på DPF: at leverandøren faktisk står oppført på DPF-listen, og at sertifiseringen dekker den aktuelle datatypen (HR-opplysninger krever eget tilvalg). En leverandør som «følger Privacy Shield», er ikke sertifisert — Privacy Shield ble kjent ugyldig i 2020. Fordi DPF-grunnlaget kan falle bort, bør du ha en SCC-plan B klar. Enkelte velger i stedet leverandører med data innenfor EØS for å fjerne spørsmålet helt; det er en av forskjellene som er satt opp i Legiscope vs OneTrust for Norge.

Standard personvernbestemmelser og de fire modulene

Kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021 er det mest brukte artikkel 46-grunnlaget. De gamle klausulene fra 2001, 2004 og 2010 kunne ikke lenger brukes etter 27. desember 2022. Klausulene skal inngås uendret; du fyller bare ut vedleggene og velger modul.

Modul	Eksportør	Importør	Typisk situasjon
1	Behandlingsansvarlig	Behandlingsansvarlig	Utlevering til amerikansk morselskap med eget formål
2	Behandlingsansvarlig	Databehandler	SaaS-leverandør utenfor EØS
3	Databehandler	Databehandler	Din europeiske databehandlers underleverandør i tredjeland
4	Databehandler	Behandlingsansvarlig	Europeisk databehandler returnerer data til en behandlingsansvarlig i tredjeland

Vedleggene bærer den reelle dokumentasjonsverdien. Vedlegg I angir partene, en presis beskrivelse av overføringen (kategorier av registrerte og opplysninger, formål, hyppighet, lagringstid) og kompetent tilsynsmyndighet. Vedlegg II beskriver de tekniske og organisatoriske tiltakene — her holder ikke generelle formuleringer som «bransjestandard sikkerhet». Vedlegg III lister godkjente underdatabehandlere. Klausul 7 (dokkingklausulen) gjør det mulig å ta inn nye parter senere, og klausul 16 pålegger eksportøren å stanse overføringen dersom importøren ikke kan overholde klausulene. Merk at 2021/914 gjelder tredjelandsoverføringer, mens 2021/915 er standardbestemmelser for artikkel 28-forholdet — to ulike sett som ofte kombineres i samme kontraktspakke.

Overføringsvurderingen etter Schrems II

EU-domstolen slo i Schrems II (C-311/18, dom 16. juli 2020) fast at standardklausulene er gyldige, men at eksportøren har en selvstendig plikt til å vurdere om mottakerlandets lovgivning og praksis faktisk lar importøren overholde klausulene. Plikten er nå kodifisert i klausul 14 i 2021/914. Resultatet er en overføringsvurdering i seks trinn, i tråd med Personvernrådets anbefalinger om supplerende tiltak:

1. Kartlegg overføringen — hvilke data, til hvem, hvor, hvor ofte, via hvilke underleverandører.
2. Identifiser overføringsgrunnlaget etter artikkel 45, 46 eller 49.
3. Vurder mottakerlandets rett og praksis, herunder myndighetenes tilgang til data.
4. Fastsett supplerende tiltak dersom vurderingen avdekker en svakhet.
5. Gjennomfør de prosessuelle skrittene tiltakene krever.
6. Vurder på nytt ved endringer og med jevne mellomrom.

Supplerende tiltak kan være tekniske (sterk kryptering der nøklene blir i EØS, pseudonymisering før overføring), kontraktsmessige (varslingsplikt ved myndighetsforespørsler, revisjonsrett) eller organisatoriske (interne rutiner for utleveringskrav). De to siste kan sjelden stå alene når problemet er en utenlandsk overvåkingslov — de binder bare importøren, ikke myndigheten som krever utlevering. Konklusjonen kan derfor lovlig bli at overføringen ikke kan gjennomføres. Vurderingen inngår naturlig i en personvernkonsekvensvurdering etter artikkel 35 der behandlingen krever en slik.

Bindende virksomhetsregler og unntakene i artikkel 49

Bindende virksomhetsregler (BCR, artikkel 47) er interne, rettslig bindende konsernregler, godkjent av kompetent tilsynsmyndighet etter konsistensmekanismen i artikkel 63. Artikkel 47 nr. 2 lister det obligatoriske innholdet: konsernstruktur, hvilke overføringer som omfattes, rettslig bindende virkning internt og eksternt, de registrertes rettigheter som tredjepart, ansvarsfordeling, klageordninger og revisjon. Løsningen passer for konserninterne strømmer i mange land, men godkjenningen tar gjerne år.

Artikkel 49 inneholder unntak til bruk når verken artikkel 45 eller 46 er tilgjengelig: uttrykkelig samtykke etter informasjon om risikoen (bokstav a), nødvendighet for en avtale med den registrerte (bokstav b), avtale i den registrertes interesse (bokstav c), viktige allmenne interesser (bokstav d), rettskrav (bokstav e), vitale interesser (bokstav f) og uttrekk fra offentlige registre (bokstav g). Personvernrådet tolker unntakene snevert: de er forbeholdt leilighetsvise og ikke-gjentatte overføringer. Å bruke artikkel 49 som permanent grunnlag for et skysystem er en feil, ikke en strategi.

Hva koster det å ta feil?

Brudd på kapittel V ligger i den høye gebyrrammen i artikkel 83 nr. 5 bokstav c. To avgjørelser viser nivået:

Sak	Myndighet	Dato	Reaksjon
Meta Platforms Ireland	Det irske datatilsynet (DPC)	22. mai 2023	1,2 milliarder euro + pålegg om å stanse overføringene
Uber	Det nederlandske datatilsynet (AP)	26. august 2024	290 millioner euro

Meta-saken gjaldt overføring av europeiske Facebook-brukeres opplysninger til USA på grunnlag av standardklausuler, der DPC kom til at klausulene ikke bøtet på risikoen Schrems II hadde påvist. Uber-saken gjaldt overføring av europeiske sjåførers opplysninger — også særlige kategorier — til det amerikanske hovedkontoret uten tilstrekkelige garantier etter at Privacy Shield falt bort. Felles for begge: problemet var ikke manglende kontrakt, men manglende reell beskyttelse. Norske virksomheter rammes sjeldnere av slike beløp, men Datatilsynet har etter artikkel 58 nr. 2 myndighet til å stanse overføringer — et pålegg om å slutte å bruke et sentralt system er i praksis dyrere enn et gebyr. Overføringsgrunnlaget skal dessuten opplyses til de registrerte etter artikkel 13 nr. 1 bokstav f, noe som betyr et konkret avsnitt i personvernerklæringen.

Ofte stilte spørsmål

Må en norsk virksomhet signere standard personvernbestemmelser med sin EU-kunde?

Nei, ikke for selve forholdet Norge–EU. Norge er EØS-stat, og overføringer innenfor EØS er ikke tredjelandsoverføringer. Det som kreves, er en databehandleravtale etter artikkel 28. Standardklausuler blir først aktuelle hvis den norske parten selv sender opplysningene videre ut av EØS.

Er Storbritannia et tredjeland for norske virksomheter?

Ja, etter brexit er Storbritannia et tredjeland. Landet er imidlertid dekket av en tilstrekkelighetsbeslutning fra EU-kommisjonen, innlemmet i EØS-avtalen. Beslutningen er tidsbegrenset, så status bør kontrolleres mot Kommisjonens oversikt før du støtter deg på den.

Kan samtykke brukes som grunnlag for overføring til USA?

Bare unntaksvis. Artikkel 49 nr. 1 bokstav a krever uttrykkelig samtykke etter at den registrerte er informert om den konkrete risikoen ved at det mangler tilstrekkelighetsbeslutning og egnede garantier. Det passer for enkeltstående overføringer, ikke for løpende drift av et system.

Må jeg lage en ny overføringsvurdering for hver leverandør?

Vurderingen gjøres per overføring, men kan gjenbrukes på tvers av leverandører i samme land med samme datatype og risikoprofil. Det som må være individuelt, er beskrivelsen av dataene, de faktiske tilgangsveiene og de supplerende tiltakene. Har du mange leverandører, er kartleggingen den delen som best lar seg automatisere — se sammenligningen av GDPR-programvare.

Konklusjon

Start med EØS-avklaringen: bare det som forlater EØS, er en tredjelandsoverføring. Kartlegg deretter hver dataflyt ut, inkludert fjerntilgang og sikkerhetskopier. Velg grunnlag i riktig rekkefølge — tilstrekkelighet, så artikkel 46, og bare unntaksvis artikkel 49. Bruk riktig SCC-modul, fyll vedleggene med reelt innhold, og skriv overføringsvurderingen ned. Regelverket finnes i personopplysningsloven med personvernforordningen og i beslutning (EU) 2021/914; Kommisjonens oversikt over tilstrekkelighetsbeslutninger bør kontrolleres før du støtter deg på en. Dommen i C-311/18 er fortsatt utgangspunktet, og de norske rammene er samlet i vår guide til personvern i Norge.