Tredjelandsöverföring

När en arbetsgivare överför uppgifter om anställda till ett land utanför EU/EES krävs det att arbetsgivaren har ett särskilt stöd för detta. Utöver de krav som gäller generellt vid personuppgiftsbehandling gäller särskilda begränsningar vid överföring av personuppgifter till länder utanför EU/EES.

Om överföringen görs till ett personuppgiftsbiträde krävs det i vanlig ordning ett avtal med biträdet. Om överföringen innebär att personuppgifter lämnas ut till en annan personuppgiftsansvarig krävs det att utlämnandet inte står i konflikt med till exempel finalitetsprincipen och har stöd i en rättslig grund. Arbetsgivaren behöver också ta hänsyn till informationskraven i dataskyddsförordningen.

Ibland är det tydligt att personuppgifter överförs till tredje land, till exempel om ett dokument som innehåller personuppgifter skickas till en affärspartner utanför EU/EES. I andra fall är det inte lika tydligt. En arbetsgivare behöver därför vara uppmärksam på om hanteringen av personuppgifter, till exempel användningen av ett visst system eller tjänst, innebär att uppgifter om anställda överförs till tredje land. Det är till exempel vanligt att användningen av molntjänster innebär en sådan överföring.

Inom större koncerner kan det förekomma att uppgifter om anställda av administrativa skäl behandlas i ett koncernbolag i ett tredje land. Även sådana överföringar kräver ett särskilt stöd utöver kravet på rättslig grund.