Standardavtalsklausuler, SCC, blir användbara först när rätt parter har valt rätt modul och beskrivit den verkliga överföringen. En signerad text med tomma bilagor visar inte vilka uppgifter som lämnar EU/EES, vilka underleverantörer som får åtkomst eller hur skyddet fungerar.
Den här guiden hjälper er att färdigställa ett avtalspaket enligt kommissionens beslut 2021/914. Målet är en kontrollerbar koppling mellan avtal, dataflöde, säkerhetsbilaga och överföringsanalys. Börja med att fastställa om SCC är det överföringsstöd ni faktiskt ska använda; ett tillämpligt beslut om adekvat skyddsnivå eller ett annat stöd kan göra bedömningen annorlunda.
1. Kontrollera att ni använder rätt sorts standardklausuler
Kommissionens klausuler för tredjelandsöverföringar enligt beslut 2021/914 ska skiljas från klausulerna för förhållandet mellan personuppgiftsansvarig och biträde inom EU/EES enligt beslut 2021/915. Ett vanligt biträdesavtal är inte i sig ett stöd enligt kapitel V för att lämna uppgifter till ett tredjeland.
Klausulerna i beslut 2021/914 kan inte användas för en importörs behandling som redan omfattas av GDPR enligt artikel 3. Kommissionens aktuella frågor och svar anger uttryckligen denna begränsning och beskriver arbetet med ett ytterligare klausulpaket för sådana situationer. Pröva därför den aktuella behandlingen, inte bara importörens adress; en etablering utanför EU räcker inte för att välja 2021/914. Kommissionens aktuella frågor och svar om SCC är utgångspunkt för modulval och räckvidd.
Äldre klausuler från 2001 eller 2010 ska inte återanvändas som om de vore det aktuella 2021-paketet. Kontrollera beslutsnummer och själva klausultexten. Leverantörens filnamn ”EU-standardavtal” räcker inte för att identifiera vad parterna faktiskt skriver under.
2. Välj modul för varje verkligt flöde
Utgå från parternas roller för behandlingen, inte från vem som betalar fakturan. Samma koncern kan innehålla ett självständigt ansvarigt bolag och ett annat bolag som bara behandlar uppgifter på instruktion.
| Modul | Exportör till importör | Exempel att pröva |
|---|---|---|
| 1 | Ansvarig till ansvarig | Två självständiga verksamheter delar ett avgränsat kundunderlag |
| 2 | Ansvarig till biträde | Svensk verksamhet anlitar en tredjelandsleverantör för support på instruktion |
| 3 | Biträde till biträde | Ett EU-biträde anlitar ett underbiträde i tredjeland |
| 4 | Biträde till ansvarig | Ett EU-biträde behandlar och återför uppgifter åt en ansvarig utanför EU/EES |
Modul 4 beskriver alltså inte normalt att en utländsk leverantör skickar tillbaka data till en svensk ansvarig. Riktningen och rollerna måste stämma. Om avtalet omfattar flera situationer ska det tydligt framgå vilken modul och vilka bilageuppgifter som gäller för respektive flöde.
I ett supportflöde kan den svenska kunden vara ansvarig, en europeisk tjänsteleverantör biträde och ett separat supportbolag i tredjeland underbiträde. Då måste kedjan beskrivas utifrån de faktiska juridiska personerna. Den svenska kunden ska inte skriva in sig som direkt exportör i varje kontrakt utan att kontrollera hur överföringen görs och vem som åtar sig skyldigheterna.
3. Bilaga I A: identifiera parter och kontaktvägar
Skriv fullständiga juridiska namn, adresser, relevanta kontaktpersoner och roller. Kontrollera att importören är den enhet som faktiskt får uppgifterna eller åtkomsten. Ett marknadsnamn kan användas av flera bolag med olika roller och länder.
Ett praktiskt arbetsblad kan innehålla avtalsnamn, organisationsidentifiering, signeringsbehörig och kontakt för dataskyddsärenden. Ange också vilken verksamhet som berörs av överföringen. Kontakta leverantören om avtalet anger moderbolaget men supportinstruktionen nämner en annan juridisk person.
Se till att kontaktvägarna går att använda efter personalbyte. En personlig kontakt kan kompletteras med en bevakad funktionsadress. Administrativa ändringar får inte innebära att begäranden om rättigheter eller uppgifter om myndighetsåtkomst hamnar i en avslutad brevlåda.
4. Bilaga I B: fyll överföringen med verkligt innehåll
Följande exempel gäller en fiktiv supportöverföring under modul 2. Det är ett arbetsunderlag som illustrerar detaljnivån, inte ett färdigt godkännande av ett visst land eller en verklig leverantör.
| Uppgift | Ifyllt exempel |
|---|---|
| Registrerade | Kunders namngivna kontaktpersoner som öppnar supportärenden |
| Personuppgifter | Namn, arbetsadress för e-post, ärendenummer och teknisk problembeskrivning |
| Känsliga uppgifter | Ingår inte i avsedd tjänst; oavsiktligt innehåll avskiljs och eskaleras enligt instruktion |
| Frekvens | Åtkomst när ett ärende tilldelas den aktuella supportgruppen |
| Behandling | Läsa tilldelat ärende, felsöka och lämna svar på exportörens instruktion |
| Ändamål | Avhjälpa problemet i det aktuella supportärendet |
| Lagring | Åtkomst under handläggningen; lokal export är inte tillåten; eventuell teknisk kopia omfattas av dokumenterad borttagning |
| Plats och omfattning | Avtalad supportplats och godkända roller, uttryckligen angivna i det slutliga underlaget |
I det slutliga avtalet måste plats, lagringsperiod eller begripliga kriterier och behandlingens varaktighet vara tillräckligt bestämda. Hänvisa inte bara till ”vår policy som kan ändras”. Om tillfälliga kopior faktiskt finns ska deras hantering beskrivas, även om huvuddatabasen ligger inom EU.
Skriv inte att känsliga uppgifter saknas om fritext och bilagor regelmässigt innehåller sådant material. Begränsa tjänsten tekniskt och organisatoriskt eller gör en bedömning som omfattar de verkliga uppgifterna. Uppgiftsminimeringens fältmatris kan användas för att bestämma vilka uppgifter supporten alls behöver.
5. Bilaga I C: välj myndighet enligt klausul 13
För modulerna 1–3 identifieras behörig tillsynsmyndighet enligt klausul 13. IMY kan vara relevant för en svensk exportör, men myndigheten ska inte väljas enbart därför att avtalet är skrivet på svenska. Exportörens etablering och den aktuella överföringen behöver beaktas; klausulen har särskilda alternativ för exportörer utan etablering i EU.
Dokumentera vilken situation som är tillämplig. Om flera exportörer använder samma avtalsram kan kopplingen mellan exportör och tillsynsmyndighet behöva specificeras. Lämna inte fältet tomt och anta att leverantörens huvudkontor alltid bestämmer svaret. Den bindande strukturen finns i beslut 2021/914 med klausuler och bilagor.
6. Bilaga II: beskriv bevisbara säkerhetsåtgärder
En säkerhetsbilaga ska visa vilka åtgärder som gäller för det aktuella flödet. Formuleringar som ”branschstandard” eller ”fullt GDPR-säker” hjälper inte exportören att förstå eller kontrollera skyddet. Separera införda åtgärder från valbara funktioner och planerade förbättringar.
För supportexemplet kan ett avgränsat åtgärdsblad se ut så här:
| Åtgärd | Vad underlaget behöver visa |
|---|---|
| Behörighet | Supporten ser endast tilldelade ärenden; avveckling sker när rollen upphör |
| Autentisering | Personliga konton och beskriven stark autentisering för supportåtkomst |
| Loggning | Åtkomst till ärenden och administrativa förändringar loggas; ansvar för granskning anges |
| Kopior | Lokal nedladdning begränsas och kvarvarande cache eller export hanteras uttryckligt |
| Incidentstöd | Kontaktväg, informationsinnehåll och förfarande för att hjälpa exportören |
| Återställning | Vilken information som kan återställas och hur förfarandet har kontrollerats |
Beskriv sedan kontrollunderlaget: datum för rollgranskning, avgränsad demonstrationsmiljö eller en relevant rapport med tydlig omfattning. Begär inte en fullständig säkerhetsrapport för en annan produkt som enda bevis. Använd mallen för tekniska och organisatoriska åtgärder för att hålla löften och verifieringar åtskilda.
Kryptering under transport hindrar inte importören från att läsa uppgifterna när tjänsten kräver klartext. Om överföringsanalysen bygger på att importören saknar åtkomst till identifierbart innehåll måste tjänstens funktion faktiskt medge det. Guiden om kryptering och separation av kodnycklar hjälper till att formulera den tekniska frågan utan att överdriva skyddet.
7. Bilaga III och underbiträden: kontrollera det valda alternativet
Bilaga III används i modulerna 2 och 3 vid särskilt förhandstillstånd enligt klausul 9 a alternativ 1. Den är inte ett universellt obligatoriskt listformat för varje SCC-avtal. Vid allmänt skriftligt tillstånd gäller det alternativets krav på överenskommen lista, information om förändringar och möjlighet att invända.
I båda fallen behöver ni förstå den faktiska kedjan. Om ett nytt supportbolag läggs till ska ansvarig kunna identifiera plats, uppgifter, funktion och aktuellt avtalsstöd före den ändring som kräver godkännande eller föregående information. En generell leverantörslista med hundratals namn visar inte vilka som behandlar era uppgifter.
Prova förändringsrutinen med ett exempel: importören vill flytta nattjouren till ett annat bolag i ett annat land. Vem tar emot beskedet, vem prövar konsekvensen och hur hindras den nya åtkomsten om förutsättningarna inte är uppfyllda? Spara beslutet tillsammans med rätt version av bilagorna.
8. Koppla avtalet till överföringsanalysen
Klausulerna ersätter inte bedömningen av om skyddet kan upprätthållas i den konkreta överföringen. Gå igenom mottagarlandets relevanta lagar och praxis, behandlingen och eventuella kompletterande åtgärder. IMY beskriver detta i vägledningen om lämpliga skyddsåtgärder vid tredjelandsöverföring.
För modul 4 gäller ett särskilt undantag från avsnitt III: när EU/EES-biträdet endast återför uppgifter som det fått från den ansvariga i tredjeland krävs inte klausul 14-bedömningen eller klausul 15-åtgärderna enligt detta avsnitt. Om biträdet kombinerar dessa uppgifter med personuppgifter som samlats in i EU och för över det sammansatta materialet gäller däremot avsnitt III för hela den överförda datamängden. Dokumentera vilket fall ni har innan en generell TIA-rutin tillämpas.
Använd arbetsgången för TIA och kontrollera att analysen avser samma importör, uppgifter och åtkomst som bilagorna. Om analysen förutsätter att ingen ser klartext medan supportavtalet tillåter läsning av hela ärendet finns en olöst motsägelse.
Om lämpligt skydd inte kan säkerställas får överföringen inte fortsätta på ett pappersunderlag som säger motsatsen. Ansvarig behöver kunna stoppa flödet och hantera uppgifter som redan överförts enligt tillämpliga skyldigheter. En betalad licens eller ett viktigt driftsberoende ändrar inte den bedömningen.
9. Slutkontroll och ändringsansvar
Läs det färdiga paketet som en helhet. Stämmer juridiska personer, modulval, länder, uppgifter, underbiträden och säkerhetsåtgärder med systemkartan? Har valbara klausuler och tidsfrister fyllts på ett sammanhängande sätt? Finns en ägare för att upptäcka ändringar efter signering?
Fyll även lagval och domstol enligt klausulerna 17 och 18. För modulerna 1–3 gäller EU-medlemsstatens lag enligt det tillämpliga alternativet och domstolar i en EU-medlemsstat; lagvalet måste medge rättigheter för tredje man. Modul 4 har ett annat upplägg med ett lands lag som medger sådana rättigheter och avtalat domstolsland. Kopiera därför inte huvudavtalets lagvalsrad utan att kontrollera modulens villkor.
Förvalta bilagorna med datum och versionskoppling till avtalet. En ny behandlingsfunktion, annan åtkomstplats eller ändrad rättslig situation kan kräva omprövning innan nästa ordinarie leverantörsmöte. Ett årligt kalenderdatum är inte en universell regel som gör övrig uppföljning onödig.
Kontrollera även hur övriga avtalsvillkor samspelar med klausulerna. En bilaga till huvudavtalet får inte i praktiken neutralisera en skyldighet genom en motsägande begränsning eller instruktion. Markera därför korshänvisningar som påverkar utlämnande, granskning, uppsägning och återlämning av uppgifter. Låt ansvarig reda ut motsägelser före signering i stället för att hoppas att den mest skyddande texten automatiskt kommer att följas av supportorganisationen.
Gör slutligen en enkel kontaktövning med påhittat ärendenummer: skicka genom den avtalade kanalen och kontrollera att rätt funktion kan identifiera avtalet, exportören och berörd tjänst. Spara resultatet som ett begränsat förvaltningsunderlag. En obesvarad kontaktväg behöver rättas innan den används för tidskritiska skyldigheter.
Om det finns flera möjliga överföringsstöd, använd jämförelsen mellan BCR, SCC och DPF. Spara vilket stöd ni faktiskt använder för varje flöde, så att ett alternativt reservavtal inte förväxlas med en genomförd bedömning av den pågående överföringen.