Datatilsynet har forenklet ansøgningsproceduren for overførsler af persondata til tredjelande.
Virksomheder, der overfører personoplysninger til lande uden for EU/EØS til hosting hos en it-leverandør, skal forinden overførslen indhente Datatilsynets tilladelse.
It-leverandører er databehandlere, og derfor skal der indgås en databehandlingsaftale mellem den danske dataansvarlige og it-leverandøren i tredjelandet.
Hvis leverandøren er etableret i et såkaldt usikkert tredjeland, kan Datatilsynet give tilladelsen baseret på virksomhedens egne bindende virksomhedsregler, eller ved at sådanne garantier fremgår af en mellem parterne indgået kontrakt. Kommissionen har til dette formål udarbejdet en standardkontrakt for databehandlere, og ved anvendelse heraf vil kravet om de fornødne garantier altid være opfyldt.
Kravet om tilladelse gælder dog ikke ved overførsel af almindelige, ikke-følsomme oplysninger til såkaldt sikre tredjelande (herunder virksomheder tilmeldt Safe-Harbour i USA). Det gælder heller ikke, hvis de registrerede har givet samtykke til overførslen. Et samtykke kan dog til enhver tid tilbagekaldes og kan derfor ikke altid anbefales til opfyldelse af formålet.
For at lette proceduren ved overførsel af personoplysninger til tredjelande baseret på Kommissionens standardkontrakter, har Datatilsynet iværksat en ny, forenklet procedure. Tidligere var det et krav, at kontrakten blev indsendt til Datatilsynet. Fremover skal ansøgningen indsendes til Datatilsynet ved brug af en af Datatilsynet udarbejdet blanket. Datatilsynet forventer at kunne behandle de forenklede ansøgninger inden for 4 uger.
Såfremt der er foretaget ændringer i standardkontrakten, skal den indsendes til Datatilsynet, og betydelig længere sagsbehandlingstid må da påregnes.
Derudover skal virksomheder være opmærksomme på, at overførsel af personoplysninger til tredjelande altid skal ske inden for rammerne af persondataloven. Det indebærer blandt andet, at der skal være hjemmel til at behandle de pågældende personoplysninger, og at grundlæggende tilladelser fra Datatilsynet skal være på plads, fx til personaleadministration.
Den nye, forenklede procedure gælder også ved overførsler mellem en dataansvarlig etableret i Danmark og en dataansvarlig etableret i et tredjeland. Behandlingsreglerne er dog i så fald anderledes, end hvad der fremgår ovenfor.
(Læs mere på datatilsynet.dk)