Det är tillåtet att lagra personuppgifter i tredjeland utanför EU /EES-området. Däremot är reglerna strikta och bra att känna till om du eller ditt företag tänkt göra eller gör det.
GDPR gäller i hela EU och EES-länderna (såsom Norge). Alla medlemsstater har därmed likvärdigt skydd för personlig integritet och personuppgifter. Det innebär att personuppgifter kan bli överförda mellan dessa stater utan några begränsningar.
Lagra personuppgifter utanför EU
Ett exempel på ett vanligt sätt som personuppgifter kan bli överförda till ett så kallat tredjeland (ett land utanför EU/EES-området), är om någon skickar ett mejl som innehåller personuppgifter till någon i USA. I sådana fall blir meddelandet lagrat i servrar som inte befinner sin inom EU. Då måste den personuppgiftsansvarige och personuppgiftsbiträdet se till att lagringsplatsen behandlar personuppgifterna i enlighet med GDPR.
I GDPR finns det information om när och under vilka förutsättningar överföring och lagring av personuppgifter är tillåten utanför EU/EES-området. All överföring av personuppgifter som sker utanför EU/EES måste ske i enlighet med bestämmelserna i kapitel 5 GDPR (Artiklarna 44-50).
Den som behandlar personuppgifter måste vidta lämpliga åtgärder angående skyddet av personuppgifterna och säkerställa ett adekvat skyddsnivå. Detta kan ske genom exempelvis så kallade Standard Contractual Clauses (standardavtalsklausuler framtagna av EU-kommissionen, även kallade för SCC) samt Binding Corporate Clauses (bindande företagsbestämmelser). Mer om undantagen i särskilda situationer står i artikel 49 i GDPR.
Insamling och lagring av personuppgifter
Frågor som kan vara bra att hålla reda på angående insamling och lagring av personuppgifter:
- Lagrar ditt företag personuppgifter genom sin hemsida eller app?
- Vart ligger servrarna som behandlar och lagrar personuppgifterna?
- Använder ditt företag något kundregister, CRM-system eller annat system som behandlar personuppgifter servrar utanför EU/EES-länderna?
