Särskilda situationer och enstaka överföringar
I undantagsfall kan det vara tillåtet att föra över personuppgifter till ett land utanför EU/EES även om landet saknar ett beslut om adekvat skyddsnivå och trots att inte lämpliga skyddsåtgärder har vidtagits. Fundera dock alltid först på om ni verkligen behöver göra överföringen. Finns det andra lösningar? Kraven på er som vill överföra personuppgifterna är höga, och ni måste noga analysera riskerna för de registrerade.
Personuppgifter får överföras till ett land utanför EU/EES om
- den registrerade uttryckligen har samtyckt till det, efter att ha fått information om riskerna med överföringar som sker när det saknas beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder
- det är nödvändigt för att fullgöra ett avtal med den registrerade eller för att, på den registrerades begäran, genomföra åtgärder inför ett sådant avtal
- det är nödvändigt för att ingå eller fullgöra ett avtal med någon annan än den registrerade, om det ligger i den registrerades intresse
det är nödvändigt av viktiga skäl som rör allmänintresset, vilket ska vara erkänt i nationell rätt eller EU-rätten - det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk
- det är nödvändigt för att skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är förhindrad (fysiskt eller rättsligt) att lämna samtycke, eller
- överföringen, under vissa förutsättningar, görs från ett register som enligt nationell rätt eller EU-rätten är för allmänhetens information.
I sista hand är överföring av personuppgifter till ett land utanför EU/EES tillåten om den
- endast sker vid ett enstaka tillfälle,
- gäller ett begränsat antal registrerade, och
- sker efter en intresseavvägning.
När ni gör en sådan intresseavvägning måste överföringen vara nödvändig för ändamål som rör era tvingande och berättigade intressen, och ni ska väga dessa mot den registrerades intressen, friheter och rättigheter. Om den registrerades intressen väger tyngre får ni inte föra över personuppgifterna. Ni måste också göra en bedömning av samtliga omständigheter kring överföringen, och därefter vidta lämpliga åtgärder för att skydda personuppgifterna. Ni ska informera både IMY och de registrerade om överföringen och om de tvingande berättigade intressen som ni vill uppnå.
Europeiska dataskyddsstyrelsen (EDPB) har antagit riktlinjer om överföring av personuppgifter i särskilda situationer och enstaka fall.