Ved overføring til tredjeland som faller utenfor disse avtalene finnes det likevel andre muligheter, slik som EUs standardkontrakt eller samtykke fra den registrerte. Reglene om overføring av personopplysninger til utlandet finner du også i personopplysningsloven, kapittel IV, §§ 29 og 30.
Hva defineres som en overføring av personopplysninger til utlandet?
Bestemmelsen om overføring til utlandet gjelder bare overføring av personopplysninger til en målrettet adresse i et tredjeland. Opplysninger som blir lagt ut på Internett, og i prinsippet kan leses av alle, vil som hovedregel ikke rammes av de strenge vilkårene for overføring til tredjeland. Denne offentliggjøringen vil komme inn under andre bestemmelser.
Om man sender e-post til en adressat i utlandet, regner man selvsagt dette som overføring til utlandet. Sender man derimot en e-post til en adressat i Norge, vil det ikke regnes som overføring selv om den på vegen er innom en server som ligger i utlandet.
Hvilke land kan virksomheten overføre personopplysninger til?
EU og EØS-området: Personopplysninger kan fritt overføres mellom alle land i EU (25 land) og EØS-området (i tillegg til Norge, gjelder dette Island og Lichtenstein). Alle disse landene anses å ha et forsvarlig regelverk når det gjelder behandlingen av slike opplysninger.
Land EU har godkjent: En virksomhet kan også overføre personopplysninger til andre land dersom Europakommisjonen har funnet at landet det er snakk om har et tilstrekkelig beskyttelsesnivå. Da dette ble skrevet (desember -06) hadde fem land fått en slik godkjenning, men listen oppdateres jevnlig. De som har fått godkjenning til nå er; Argentina, Sveits, Guernsey, Canada (noe begrenset) og Isle of Man. USA er dessuten godkjent når det gjelder overføring av personopplysninger om flypassasjerer, i tillegg til Safe Harbor-avtalen som omtales lenger nede.
Les mer om dette på Europakommisjonen sine nettsider (engelsk).
Hvordan kan man overføre til andre land enn de EU har godkjent?
EUs standardkontrakter
Den enkleste måten å overføre personopplysninger til andre land på, er å bruke standardkontraktene EU har laget. Ved signering av kontrakten(e) forplikter den som mottar opplysningene seg til å behandle dem i samsvar med de krav som gjelder innenfor EU og EØS-området.
(NB: filene krever at du har Adobe Acrobat Reader installert på din datamaskin.)
Overføring til virksomheter
For overføring til virksomhet i tredjeland som selv opptrer som behandlingsansvarlig virksomhet er det utformet to alternative standardkontrakter:
Standardkontrakt I
- Dansk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
- Engelsk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
Standardkontrakt II:
- Dansk versjon (Pdf, nytt vindu, kontraktsteksten starter på side 4)
- Engelsk versjon (Pdf, nytt vindu, kontraktsteksten starter på side 4)
Overføring til databehandler
Det er også utformet en standardkontrakt for overføring av personopplysninger til databehandler i tredjeland. Det vil si til en virksomhet i tredjeland som kun behandler opplysninger på vegne av den behandlingsansvarlige virksomheten i Norge eller et annet EU/EØS-land:
- Dansk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
- Engelsk versjon (Pdf, nytt vindu – kontraktsteksten starter på side 6).
Safe Harbor
En virksomhet kan overføre personopplysninger til enkelte bedrifter i USA. Bedriftene må da være tilsluttet en avtale som er utarbeidet i samarbeid mellom US Department of Commerce og Europakommisjonen. Dette kalles Safe Harbor-avtalen. Avtalen sikrer blant annet bedriftene veiledning i hvordan de kan ivareta tilstrekkelig beskyttelse av personopplysningene.
Les mer om Safe Harbor (engelsk).
Oppdatert oversikt over alle virksomhetene som er med på avtalen (engelsk).
Skjønnsmessig vurdering
Virksomheten kan også foreta en skjønnsmessig vurdering av overføringen av personopplysningene. Man må da vurdere personvernulempene opp mot nivået på personvernbeskyttelsen i mottakerlandet. Dersom beskyttelsen av personvernet i mottakerlandet er tilfredsstillende, kan opplysningene overføres.
I vurderingen må virksomheten se på:
- Opplysningens art: Jo mer sensitiv karakter opplysningene har, jo mer kreves det av reguleringen i mottakerlandet.
- Behandlingens formål: Når behandlingen ikke medfører noen konsekvenser for den opplysningene gjelder, kan man godta et dårligere vern enn når behandlingen kan medføre konsekvenser.
- Tidsperspektiv: Jo lenger tid behandlingen går over, jo bedre vern av personopplysningene kreves.
- Regler som oppveier personvernulempene: Har mottakerlandet gjennomført Europarådets personvernkonvensjon? Finnes det innenfor bransjen adferdsnormer, sikkerhetstiltak eller liknende som kan ivareta personvernet?
Samtykke fra den registrerte
Dersom virksomheten etter avveiningen kommer til at landet ikke har tilstrekkelig beskyttelsesnivå for opplysningene, kan overføringen likevel gjennomføres om man har samtykke fra den registrerte. Det finnes også enkelte andre unntak i personopplysningsloven § 30.
Tillatelse fra Datatilsynet
En siste utveg er å søke Datatilsynet om tillatelse til å utlevere opplysningene til utlandet. Tilsynet kan sette vilkår for overføringen som kan avhjelpe personvernulempene. Dette er ment å være en sikkerhetsventil, så virksomhetene må regne med at tilsynet vil være streng i utøvelsen av skjønn på dette området.
Er det meldeplikt ved overføring av personopplysninger til utlandet?
Overføring av personopplysninger til utlandet utløser ikke automatisk en selvstendig meldeplikt. Dersom formålet for behandlingen allerede er meldt til Datatilsynet, og dekker utleveringen, trenger ikke virksomheten melde på nytt. Dersom overføringen derimot ikke er forenlig med formålet for behandlingen, må det sendes en endringsmelding eller en ny melding til Datatilsynet.
Les personopplysningslovens bestemmelser om overføring av personopplysninger til utlandet.