Standard personvernbestemmelser, ofte kalt SCC, kan gi et overføringsgrunnlag for personopplysninger til et tredjeland når vilkårene er oppfylt. Det praktiske arbeidet består i å velge riktige bestemmelser og moduler, fylle vedleggene med faktiske opplysninger og kontrollere at partene kan etterleve forpliktelsene. En signert fil med blanke vedlegg viser ikke hvilken overføring avtalen regulerer.
Denne veiledningen gjelder overføringsbestemmelsene i Kommisjonens gjennomføringsbeslutning 2021/914. Datatilsynets veiledning om standard personvernbestemmelser beskriver bruken for norske virksomheter. Overføringsgrunnlaget kommer i tillegg til de øvrige kravene til behandlingen, som formål, behandlingsgrunnlag, informasjon og sikkerhet.
Avklar hvilken overføring dere faktisk trenger å regulere
Begynn med eksportør, importør, land, opplysninger og formål. Undersøk hvem som får opplysningene tilgjengeliggjort, også gjennom support og fjernaksess. En lagringsregion sier ikke alene hvor alle mottakere befinner seg eller hvilke juridiske enheter som behandler dataene.
Kontroller deretter om en relevant adekvansbeslutning dekker den aktuelle mottakeren og behandlingen, eller om dere trenger et annet gyldig overføringsgrunnlag. SCC er ett mulig grunnlag, ikke den eneste lovlige ordningen. En beslutning kan ha avgrensninger som gjør at virksomheten må kontrollere både mottakeren og datatypene før den legger beslutningen til grunn.
Beskriv dataflyten i systemkartleggingen. Hvis samme leverandør opptrer som databehandler for kundedata og som selvstendig behandlingsansvarlig for andre opplysninger, må disse aktivitetene vurderes hver for seg. Et generelt konsernnavn er ikke tilstrekkelig som identifikasjon av den juridiske importøren.
Bruk riktig sett med standardbestemmelser
Kommisjonen vedtok i 2021 både bestemmelser om tredjelandsoverføringer og et eget sett for forholdet mellom behandlingsansvarlig og databehandler. De har ulike funksjoner. Beslutning 2021/914 gjelder overføringer; en standard databehandleravtale alene løser ikke automatisk kravene i kapittel V.
Kommisjonens spørsmål og svar om SCC forklarer blant annet modulvalg og virkeområde. Bestemmelsene i 2021/914 er utformet for overføring til en importør hvis aktuelle behandling ikke allerede er omfattet av GDPR på grunnlag av artikkel 3. Undersøk derfor virkeområdet før dere antar at de passer enhver importør utenfor EØS.
At en importør kan omfattes av GDPR, fjerner ikke automatisk behovet for å vurdere overføringsreglene. Dersom forholdet faller utenfor det valgte klausulsettets virkeområde, må dere undersøke hvilket overføringsgrunnlag og hvilke gjeldende bestemmelser som faktisk kan brukes. Ikke endre definisjoner på egen hånd for å få en uegnet mal til å se passende ut.
Velg modul ut fra partenes faktiske roller
Overføringsbestemmelsene har fire moduler. Valget følger rollene i den konkrete behandlingen, ikke leverandørens markedsføringskategori eller hvem som betaler fakturaen.
| Modul | Eksportør | Importør | Illustrerende situasjon |
|---|---|---|---|
| 1 | Behandlingsansvarlig | Behandlingsansvarlig | Opplysninger deles til en selvstendig ansvarlig mottaker |
| 2 | Behandlingsansvarlig | Databehandler | Virksomheten bruker en relevant tredjelandsleverandør på instruks |
| 3 | Databehandler | Databehandler | En databehandler bruker en underdatabehandler i tredjeland |
| 4 | Databehandler | Behandlingsansvarlig | En databehandler som omfattes av GDPR, overfører til sin relevante behandlingsansvarlige i tredjeland |
Eksemplene forutsetter at øvrige vilkår og klausulenes virkeområde er oppfylt. Modul 4 er ikke en standardbetegnelse for enhver retur av data til en kunde; se nøye på hvem som er eksportør og hvor importøren befinner seg. Flere moduler kan være relevante for forskjellige aktiviteter i samme avtaleforhold, men anvendelsen må være tydelig.
Bruk rolleavklaringen mellom behandlingsansvarlig og databehandler før modulvalget. En avtaleetikett kan ikke gjøre en mottaker til databehandler dersom mottakeren faktisk bestemmer egne formål for den aktuelle bruken.
Fyll vedlegg I med en presis beskrivelse
Vedlegg I skal gjøre det mulig å forstå partene og overføringen. Registrer korrekte juridiske navn, adresser, kontaktpunkter, relevante roller og de øvrige opplysningene skjemaet krever. Sørg for at den som signerer, kan binde riktig enhet. Ikke la et merkenavn stå alene når flere selskaper bruker samme navn.
Beskriv kategorier av registrerte og personopplysninger, hyppighet, behandlingens art og formål, lagring eller kriterier for lagringen. Ved relevante særlige opplysninger skal begrensninger og tiltak beskrives. For underdatabehandling må den aktuelle behandlingen og varigheten gjøres forståelig. Velg kompetent tilsynsmyndighet etter klausul 13 og de faktiske etablerings- og virkeområdeforholdene.
Et tenkt norsk kundesenter kan for en avgrenset supporttjeneste skrive følgende arbeidsutkast til overføringsbeskrivelsen:
| Felt | Utfylt eksempel til videre kontroll |
|---|---|
| Registrerte | Kontaktpersoner hos kunder som har en aktiv supportsak |
| Opplysninger | Navn, jobbkontakt, saksreferanse og avgrenset teknisk problembeskrivelse |
| Formål | Teknisk feilsøking etter eksportørens dokumenterte instruks |
| Hyppighet | Tilgang når en godkjent supportsak tildeles importøren |
| Begrensning | Ingen generell tilgang til hele kunderegisteret; unødvendige vedlegg fjernes |
| Lagring | Saksdata følger avtalt saksavslutning og dokumenterte sletteregler; eventuelle kopier omfattes uttrykkelig |
Dette er et eksempel på innholdsnivå, ikke en ferdig godkjenning av en bestemt overføring. Før signering må generelle formuleringer om lagring erstattes med de faktiske fristene eller presise kriteriene partene skal følge. Hvis importøren likevel får kontinuerlig tilgang til hele systemet, må beskrivelsen og vurderingen endres.
Beskriv faktiske tiltak i vedlegg II
Vedlegg II skal gjøre sikkerhetstiltakene forståelige i sammenheng med overføringen. «Bransjestandard sikkerhet» forklarer ikke hvem som får tilgang, hvordan data beskyttes eller hvordan kontrollen dokumenteres. Bruk konkrete tiltak som partene faktisk kan gjennomføre, og angi hva de gjelder.
I supporteksemplet kan relevante spørsmål være hvordan en sak tildeles, hvordan tilgang tidsbegrenses, om lokale kopier tillates og hvem som kontrollerer avslutning. Beskriv autentisering, logging, hendelseshåndtering og relevante lagrings- og gjenopprettingstiltak. Henvisninger til andre dokumenter må være entydige og tilgjengelige, med kontroll på versjon og endringer.
Bruk tiltaksmatrisen etter artikkel 32 som arbeidsgrunnlag. Skill mellom tiltak som allerede virker, tiltak som er kontraktsfestet men ennå ikke innført, og forslag som krever beslutning. Vedlegget bør ikke beskrive planlagt funksjonalitet som om den er dokumentert i drift.
Kontroller underdatabehandlere og valgt godkjenning
For modul 2 og 3 regulerer klausul 9 bruk av underdatabehandlere med de valgene klausulen åpner for. Avklar om partene bruker spesifikk forhåndsgodkjenning eller generell skriftlig godkjenning med den aktuelle varslings- og innsigelsesordningen. Fyll de nødvendige valgene og fristene som avtalen legger opp til.
Vedlegg III skal fylles ut i de tilfellene som gjelder spesifikk godkjenning i modul 2 og 3, slik vedlegget angir. Det er derfor upresist å si at vedlegg III alltid må være en fullstendig liste ved enhver SCC-avtale. Også ved generell godkjenning trenger virksomheten en fungerende oversikt og varsling som følger den valgte ordningen.
Kontroller at underdatabehandlerkjeden samsvarer med den reelle leveransen. Et nytt supportsenter eller en ny lagringsleverandør kan påvirke både overføringsbeskrivelsen og vurderingen av beskyttelsen. Avtal hvem som mottar varsler og hvem som har ansvar for å undersøke dem før endringen får betydning for behandlingen.
Koble avtalen til vurderingen av tredjelandet
En signatur på SCC viser ikke alene at beskyttelsen er tilstrekkelig i praksis. Der den relevante vurderingen etter klausul 14 gjelder, må partene undersøke om lover og praksis i mottakerlandet hindrer importøren i å oppfylle forpliktelsene. Vurderingen må bygge på den konkrete overføringen og dokumenteres i nødvendig form.
Bruk arbeidsmetoden for overføringsvurdering, TIA, til å beskrive data, mottaker, relevante regler og eventuelle supplerende tiltak. Undersøk klausulens modulspesifikke anvendelse; ikke kopier samme konklusjon til alle overføringer bare fordi landet er det samme. Endret tilgang eller behandling kan gi andre spørsmål selv hos samme leverandør.
Tekniske tiltak må fungere mot den identifiserte risikoen. Kryptering kan beskytte data når uvedkommende ikke har tilgang til nøklene, men løser ikke alle situasjoner der importøren trenger klartekst for å utføre tjenesten. Pseudonymisering må tilsvarende vurderes sammen med tilgjengelig tilleggsinformasjon. Unngå å love at en analyseleverandør bare ser uleselige data hvis den samtidig skal analysere hele innholdet.
Bevar standardbestemmelsene og samordne kontraktene
Partene kan gjøre de valgene klausulene åpner for, fylle vedleggene og legge til bestemmelser som ikke direkte eller indirekte motsier SCC eller svekker de registrertes grunnleggende rettigheter og friheter. Andre avtaledokumenter må derfor gjennomgås for motstrid, særlig ved begrensninger i bistand, ansvar, innsyn eller viderebruk.
Modul 2 og 3 inneholder også relevante forpliktelser for databehandlerforhold. Kontroller hvordan disse henger sammen med hovedavtalen og eventuelle separate databehandlerbestemmelser. To dokumenter med ulike beskrivelser av sletting eller underleverandører kan skape uklarhet om hva leverandøren faktisk skal gjøre.
Gjør en praktisk kontroll med leverandøren
I supporteksemplet kan eksportøren be leverandøren demonstrere hvordan en konkret sak åpnes, hvem som kan lese vedlegget, og hvordan tilgangen opphører når saken lukkes. Bruk oppdiktede opplysninger i demonstrasjonen. Noter hvilke roller og innstillinger som ble vist, og om andre supportgrupper kunne få samme tilgang. Resultatet skal sammenholdes med beskrivelsen i vedleggene.
Hvis leverandøren svarer at lokale nedlastinger ikke kan begrenses som beskrevet, må avtalen og tiltakene gjennomgås før godkjenning. Det kan være mulig å endre arbeidsmåten eller innføre andre egnede tiltak, men en motstrid skal ikke bli stående som en usynlig forutsetning. Utpek også hvem som kontrollerer mottatte endringsvarsler; en ubetjent felles postkasse er ikke en fungerende oppfølgingsordning.
Godkjenn med et kontrollspor og en plan for endringer
Før overføringen starter, bør ansvarlig kunne vise riktig klausulsett, modulvalg, utfylte vedlegg, nødvendige vurderinger og faktisk innførte tiltak. Kontroller at alle relevante parter er bundet og at kontaktpunkter for rettigheter, hendelser og varsler fungerer. En signert standardtekst som ingen operativ eier kjenner, er vanskelig å etterleve.
Avtal hvilke endringer som utløser ny vurdering: nye mottakere, datatyper, formål, tilgangsmåter eller relevante rettslige forhold. Det finnes ikke en generell SCC-regel om at en årlig signatur alene løser dette vedlikeholdet. Arbeidet må følge endringene som påvirker beskyttelsen.
Hvis forpliktelsene ikke kan oppfylles, må virksomheten håndtere det etter klausulene og gjeldende regler, herunder nødvendig stans eller avslutning av overføringen. Dokumenter beslutningen og hva som skjer med opplysningene. Sluttdokumentasjonen bør vise hvilken overføring som er godkjent, på hvilke forutsetninger og hvem som følger dem opp videre.