Som led i at gennemføre tilsyn med databehandlere for kommunerne, oplever Det fælleskommunale Databehandlersekretariat en tilbagevendende problemstilling om, hvornår vilkår i databehandleraftaler om at overføre oplysninger til tredjelande skal anses som instrukser i databeskyttelsesretlig forstand, og hvorvidt der skal iagttages et overførselsgrundlag i forordningens kapitel V.
Selvom Datatilsynet har forholdt sig til dele af problematikken i forbindelse med tilsynets udtalelse til KOMBIT om tilsigtede og utilsigtede overførsler til tredjelande, er der, ifølge sekretariatet, stadig en vis usikkerhed forbundet med de vilkår, der fremgår af databehandleraftaler ved brugen af cloudleverandører.
Set i forhold til Datatilsynets oprindelige brug af begrebet ”tilsigtet” eller ”utilsigtet”, der var tiltænkt at dække hele udfaldsrummet af mulige behandlinger, har Det Europæiske Databeskyttelsesråd (EDPB) i sin udtalelse 22/2024 om brugen af (under)databehandlere skabt et afgrænset område, der er hverken eller.
I praksis betyder det, at der ikke vil være tale om utilsigtede overførsler, medmindre man som dataansvarlig aktivt har instrueret databehandleren udtømmende i, hvilke overførsler der er accepteret eller ved at instruere om ikke at overføre oplysninger til tredjelande på baggrund af en uafgrænset og/eller uspecifik formulering.
- Datatilsynet har tidligere udtalt, at der ville være tale om en tilsigtet overførsel, allerede hvis det fremgik af databehandleraftalen, at databehandleren forbeholdt sig retten til at overføre oplysninger til tredjelande i særlige tilfælde, fortæller Kasper Folmar, specialkonsulent i Datatilsynet, og fortsætter:
- Det Europæiske Databeskyttelsesråd har siden nuanceret spørgsmålet om sådanne vilkår i databehandleraftalen. Med denne besvarelse har vi forsøgt at skabe klarhed over retstilstanden i lyset af EDPB’s udtalelse.
Vil du vide mere?
Læs hele besvarelsen af Det fælleskommunale Databehandlersekretariats forespørgsel her.
Læs Datatilsynets besvarelse af KOMBITs forespørgsel her.
Læs EDPB’s udtalelse 22/2024 her.
Læs Datatilsynets vejledning om cloud.