Overføring ut av EØS

Innenfor EØS gjelder de samme personvernreglene overalt. Utenfor EØS gjør de ikke det, og derfor har forordningen et eget kapittel om overføring til «tredjestater». Kapitlet er for deg som vil forstå hvorfor det ikke er nok at en amerikansk leverandør lover å passe godt på opplysningene, og hvilke grunnlag loven godtar. Kapitlet forklarer også hvorfor grunnlaget må vurderes for de faktiske mottakerne og behandlingene.

Hva loven krever

Hovedregelen

Artikkel 44 slår fast at enhver overføring til en tredjestat eller en internasjonal organisasjon «skal finne sted bare dersom den behandlingsansvarlige og databehandleren, med forbehold for de andre bestemmelsene i denne forordning, oppfyller vilkårene i dette kapittel»¹. Formålet er å sikre at beskyttelsesnivået i forordningen «ikke undergraves»¹. Reglene om overføring kommer altså i tillegg til de vanlige kravene, blant annet kravet om et behandlingsgrunnlag.

Forordningen gir tre veier, i fast rekkefølge.

1. Beslutning om tilstrekkelig beskyttelsesnivå (artikkel 45)

«Personopplysninger kan overføres til en tredjestat eller en internasjonal organisasjon når Kommisjonen har fastslått at tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller den aktuelle internasjonale organisasjonen sikrer et tilstrekkelig beskyttelsesnivå. En slik overføring skal ikke kreve en særlig godkjenning.»² En slik beslutning kalles ofte en adekvansbeslutning.

2. Nødvendige garantier (artikkel 46)

Finnes det ingen slik beslutning, kan overføring bare skje dersom den behandlingsansvarlige eller databehandleren «har gitt nødvendige garantier, og under forutsetning av at de registrerte har håndhevbare rettigheter og effektive rettsmidler»³. Garantiene kan uten særlig godkjenning fra tilsynsmyndigheten blant annet sikres ved «bindende virksomhetsregler i samsvar med artikkel 47»⁴ eller ved «standard personvernbestemmelser vedtatt av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2»⁴. Det siste, bokstav c, er det som i dagligtale kalles standardavtaler eller standard contractual clauses.

3. Unntak for særlige situasjoner (artikkel 49)

Først når verken en adekvansbeslutning eller nødvendige garantier foreligger, kan en overføring bare finne sted på et av vilkårene i artikkel 49 nr. 1 ⁵. To av dem er:

• at den registrerte «uttrykkelig har samtykket til den foreslåtte overføringen etter å ha blitt informert om de mulige risikoene»⁶ (bokstav a), og
• at overføringen «er nødvendig for å oppfylle en avtale mellom den registrerte og den behandlingsansvarlige eller for å gjennomføre tiltak som treffes før avtaleinngåelse på den registrertes anmodning»⁶ (bokstav b).

Den siste reserveløsningen i samme nummer gjelder bare overføringer som «ikke er gjentakende, bare gjelder et begrenset antall registrerte»⁶.

Vår vurdering: Artikkel 49 er bygget for enkelttilfeller. Den egner seg ikke som grunnlag for at hvert besøk på et nettsted sendes til en leverandør i et tredjeland.

Norsk rett og EØS

Personopplysningsloven § 13 gir en forskriftshjemmel: «Kongen kan gi forskrift om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner.»⁷ Forarbeidene fra 2018 beskriver ordningen slik den var tenkt: Etter tilpasningsteksten til det tidligere direktivet skulle Kommisjonens beslutninger om tilstrekkelig beskyttelsesnivå gjelde i Norge i påvente av at de blir innlemmet i EØS-avtalen, med mindre Norge i det enkelte tilfellet reserverer seg. Det foreløpige forslaget til EØS-komiteens beslutning videreførte ordningen, også for standard personvernbestemmelser, og departementet foreslo at dette skulle reguleres i forskrift ⁸.

Schrems II (C-311/18)

I sak C-311/18 tok EU-domstolen stilling til både standard personvernbestemmelser og den tidligere adekvansbeslutningen for USA. Om standardbestemmelsene sa domstolen at garantiene, rettighetene og rettsmidlene som artikkel 46 krever, må sikre at de registrerte får «a level of protection essentially equivalent to that guaranteed within the European Union by that regulation, read in the light of the Charter of Fundamental Rights of the European Union»⁹. Vurderingen skal ta hensyn både til avtalevilkårene og, når det gjelder myndigheters tilgang, til «the relevant aspects of the legal system of that third country»⁹.

Om Kommisjonens beslutning 2010/87/EU om standardbestemmelser konkluderte domstolen at prøvingen «has disclosed nothing to affect the validity of that decision.»¹⁰, mens beslutningen om Privacy Shield falt: «Commission Implementing Decision (EU) 2016/1250 of 12 July 2016 […] on the adequacy of the protection provided by the EU-US Privacy Shield is invalid.»¹¹

EU–US Data Privacy Framework (beslutning (EU) 2023/1795)

Kommisjonen vedtok i 2023 en ny adekvansbeslutning for USA. Artikkel 1 lyder: «Article 1 For the purpose of Article 45 of Regulation (EU) 2016/679, the United States ensures an adequate level of protection for personal data transferred from the Union to organisations in the United States that are included in the ‘Data Privacy Framework List’, maintained and made publicly available by the U.S. Department of Commerce, in accordance with Section I.3 of Annex I.»¹²

Beslutningen gjelder altså ikke USA generelt, men bare overføringer til organisasjoner som står på listen. Vedlegg I sier hva som skjer med den som tas av listen: «An organization’s removal from the Data Privacy Framework List means it is no longer entitled to benefit from the Commission’s adequacy decision to receive personal information from the EU.»¹³

Hva Datatilsynet sier

Datatilsynet åpner veiledningen med at «All overføring av personopplysninger ut av EØS krever et særskilt grunnlag for å være lovlig.»¹⁴ Virksomheten må ha identifisert grunnlaget før overføringen, og ellers er overføringen ulovlig ¹⁵. Tilsynet legger til at det samme gjelder «hvis overføringsgrunnlaget ikke vil fungere i praksis»¹⁶.

Om adekvansbeslutninger skriver tilsynet at overføringer til slike land og områder kan skje «uten et særskilt overføringsgrunnlag, eller ytterligere vurderinger om beskyttelsesniv廹⁷. For de andre grunnlagene gjelder Schrems II-kravet: «Hvis overføringsgrunnlaget ikke sikrer god nok beskyttelse for personopplysningene i seg selv, må man i tillegg iverksette andre tiltak.»¹⁸

Tilsynet minner om at «Både den behandlingsansvarlige og databehandleren har plikt til å oppfylle reglene i personvernforordningen kapittel V.»¹⁹ Den som bruker en databehandler som overfører ut av EØS, «må denne forsikre seg om at databehandleren oppfyller sine plikter»²⁰. Overføringer skal også stå i protokollen: virksomheten «må føre protokoll over hvilke typer personopplysninger som overføres og til hvem»²¹.

Ordet «overføring» er ikke definert i forordningen. Datatilsynet gjengir Personvernrådets tre vilkår: en virksomhet underlagt forordningen gjør opplysninger tilgjengelig for eller sender dem til en annen behandlingsansvarlig eller databehandler, og mottakeren er i et land utenfor EØS. Fjerntilgang fra et datterselskap utenfor EØS regnes også som overføring ¹⁵. Personvernrådets egne retningslinjer er ikke i kildelisten; vi bygger her bare på tilsynets gjengivelse.

Om USA er tilsynet klart: «USA har en adekvansbeslutning som innebærer at hvis en amerikansk virksomhet står på lista over godkjente virksomheter (dataprivacyframework.gov) , kan det overføres personopplysninger til den som om det var en europeisk virksomhet.»²² I en sak fra 2025 om endringer i amerikanske tilsynsorganer skriver tilsynet at «Adekvansbeslutningen for USA gjelder imidlertid fortsatt.»²³ og at «En adekvansbeslutning fortsetter å gjelde frem til den eventuelt blir opphevet av EU-kommisjonen eller EU-domstolen.»²⁴ Tilsynet minner samtidig om at «Selv om overføringsreglene ikke setter særskilte grenser, må du selvsagt alltid følge de øvrige reglene i personvernforordningen (GDPR).»²⁵

I rådene om analyseverktøy er tilsynet konkret: «Dersom landet det er snakk om er USA, sjekk om virksomheten står på lista over godkjente virksomheter.»²⁶

Overføringer i praksis

Hvor hovedtjeneren står, avgjør ikke alene hvor personopplysninger behandles. Leverandørtilgang, underleverandører, mellomlagring og andre dataflyter kan gjøre det nødvendig å vurdere reglene om overføring ut av EØS. Vurderingen må gjelde de faktiske mottakerne og behandlingene. ²⁷

En beslutning om tilstrekkelig beskyttelsesnivå gjelder bare innenfor sitt virkeområde. Ved bruk av EU–US Data Privacy Framework må blant annet den aktuelle amerikanske mottakeren være omfattet av ordningen. En oppføring på deltakerlisten dokumenterer ikke alene alle vilkår for enhver behandling eller leverandørtjeneste. ²⁸

Overføringsgrunnlaget erstatter heller ikke kravene til behandlingsgrunnlag, informasjon, sikkerhet eller databehandleravtale der det er nødvendig. ²⁹

Informasjon om Byggsikts mottakere og overføringer finnes i personvernerklæringen. Der skal det fremgå hvilke overføringer informasjonen gjelder og hvilket grunnlag som brukes.

Kilder

• Personopplysningsloven med personvernforordningen (norsk EØS-tekst) ³⁰
• EU-domstolen, C-311/18 Facebook Ireland og Schrems (16. juli 2020) ³¹
• Kommisjonens gjennomføringsbeslutning (EU) 2023/1795 om EU–US Data Privacy Framework ³²
• Datatilsynet — Overføring av personopplysninger ut av EØS ¹⁵
• Datatilsynet — Råd for analyse og sporing på nettsted ³³
• Prop. 56 LS (2017–2018) om personopplysningsloven ³⁴
• Data Privacy Framework List: Cloudflare, Inc. ³⁵ og Google LLC ³⁶
• Datatilsynet — Områder med tilstrekkelig beskyttelsesnivå ³⁷
• Datatilsynet — Informasjon om overføringer til USA (2025) ³⁸