Om leverantören som du ingår ett databehandlingsavtal med ligger utanför Europeiska unionen eller Europeiska ekonomiska samarbetsområdet ändras inte själva databehandlingsavtalet väsentligt. Samma delar som GDPR föreskriver — behandlingens omfattning och varaktighet, karaktär och syfte, typ av data, kategorier av registrerade och dina skyldigheter och rättigheter som personuppgiftsansvarig — måste fortfarande ingå, oavsett var leverantören är etablerad.
Vad som däremot tillkommer är ett separat regelverk: GDPR ställer extra villkor för överföring av personuppgifter till ett land utanför EU eller EES. Detta regelverk tvingar dig att kontrollera om det specifika landet kräver ett skydd utöver de vanliga avtalsbestämmelserna i databehandlingsavtalet, och i så fall vilket.
Vad som förblir detsamma
Kärnan i ett databehandlingsavtal handlar om förhållandet mellan dig och den part som behandlar data på dina vägnar: vem gör vad, för vilket syfte, hur länge, och vad händer vid en dataskada eller när samarbetet avslutas. Dessa avtal gäller för varje behandlare, oavsett om den är baserad i Rotterdam, Dublin eller San Francisco. En leverantör utanför EU befriar dig alltså inte från den vanliga kontrollen av ett databehandlingsavtal; denna kontroll förblir nödvändig, bara tillkommer något därutöver.
Överföringsreglerna: det extra regelverket
GDPR reglerar separat under vilka villkor personuppgifter får lämna EU eller EES territorium. Utgångspunkten är att dataskyddsnivån inte får försämras genom att data överförs till ett annat land. För ett antal länder har Europeiska kommissionen fastställt att skyddsnivån där är tillräcklig; detta kallas ett adequathetsbeslut, och det gäller inte automatiskt för ett helt land utan ibland endast för en viss sektor eller förordning. Om det inte finns något adequathetsbeslut är en vanligt använd mekanism standardkontraktsklausulerna som Europeiska kommissionen publicerar: en fastställd mall som används som tillägg vid sidan av eller som bilaga till databehandlingsavtalet. Vilken variant som är tillämplig och om den är aktuell kan förändras; platsen för de aktuella listorna och mallarna finns hos Europeiska kommissionen och Datainspektionen, inte i en fast text som du kan memorera.
Molnet gör det svårare än det verkar
För många SaaS-verktyg verkar frågan "finns min leverantör inom EU" enklare än vad den är. En leverantör kan ha ett europeiskt huvudkontor och ändå använda underbehandlare, datacenter för säkerhetskopiering eller supportpersonal utanför EU. Även det räknas som överföring, även om huvudkontoret ligger i Nederländerna eller Tyskland. Frågan är därför inte bara var leverantören är etablerad, utan var data faktiskt hamnar, inklusive länkarna bakom det.
Vad du praktiskt kan fråga
En leverantör som har sina angelägenheter i ordning kan vanligtvis ange var data behandlas och lagras, om underbehandlare utanför EU används och vilket överföringsmekanism som tillämpas för det. Den här typen av frågor hör hemma i samma bedömning som resten av databehandlingsavtalet: inte som en separat övning senare, utan som en del av att läsa själva avtalet. Den som söker struktur här finner i kunskapsbanken förklarad per ämne hur olika situationer förhåller sig till varandra.
Varför källhänvisningen är extra viktig här
Eftersom listor med adekvat skyddsbeslut och mallar för standardavtalsklausuler förändras över tiden är risken för föråldrad antaganden här större än vid de flesta andra GDPR-ämnen. En text som är korrekt idag behöver inte vara det om ett år. Därför arbetar vi alltid med dessa typer av ämnen med en direkt referens till källan istället för med en sammanfattning som måste vara självständig; hur det ser ut exakt läser du på sidan om var vår information kommer ifrån.
Vad detta betyder för ditt register och dina avtal
Om du håller koll på vilka leverantörer du använder och var de är etablerade ser du på ett ögonblick vilka databehandlaravtal där överföring av data spelar en roll och vilka som inte gör det. Det är precis därför etableringsland är en fast del av hur vi registrerar en leverantör i systemet. Vanliga frågor om detta ämne är samlade på vanliga frågor om leverantörer och data utanför Sverige.
Huruvida ytterligare skydd faktiskt är nödvändigt för din situation, och vilket, är i slutändan upp till dig eller din jurist att bedöma; vi tillhandahåller vägledning och struktur, inte juridisk rådgivning. Om du är osäker på tillämpningen i ett specifikt fall kan du också kontakta Datainspektionen.
Vill du på ett överskådligt sätt få veta vilka av dina leverantörer som är baserade inom och vilka som är utanför EU, och om det finns ett databehandlaravtal med rätt skydd? Gör den kostnadsfria kontrollen av ett databehandlaravtal eller öppna ett affärskonto för att hålla reda på det i ditt register.