6. Överför personuppgifter utanför EU endast om förutsättningarna uppfylls

När personuppgifter överförs till länder utanför Europeiska unionen och Europeiska ekonomiska samarbetsområdet motsvarar nivån av skyddet för personuppgifter inte alltid dataskyddskraven enligt EU:s allmänna dataskyddsförordning. Därför finns det vissa förutsättningar som ska uppfyllas om man ämnar överföra uppgifter utanför EES.

Anordnare av hobbyverksamhet ska ta reda på huruvida uppgifter överförs till tredjeländer inom verksamheten. Personuppgifter kan bli överförda till exempel via olika system och digitala tjänster.

Europeiska ekonomiska samarbetsområdet omfattar EU-länderna samt Island, Liechtenstein och Norge. Personuppgifter får överföras till dessa länder på samma grunder som inom Finland. När personuppgifter överförs utanför dessa länder kan det medföra risker för dem vars personuppgifter överförs.

För att personuppgifter ska kunna överföras ska båda förutsättningarna nedan uppfyllas:

1. Behandlingen av personuppgifter ska vara tillåten i den aktuella situationen.
2. Överföringen av personuppgifter ska ha en grund som anges i den allmänna dataskyddsförordningen. Dessutom ska man bedöma i varje enskilt fall huruvida kompletterande skyddsåtgärder behövs för att säkerställa en tillräckligt hög dataskyddsnivå.

Varje grund för överföring förknippas med vissa förutsättningar. Anordnare av hobbyverksamhet ska bestämma vilken av grunderna som är lämplig. Om förutsättningarna för någon av grunderna inte uppfylls kan personuppgifter inte överföras utanför EES.

Läs mer: Överföring av personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet | Dataombudsmannens byrå

Vad ska anordnare av hobbyverksamhet ta hänsyn till vid överföringar av personuppgifter utanför EES?

1. Anordnaren av hobbyverksamhet ska först ta reda på om personuppgifter överförs utanför EES av anordnaren själv, av personuppgiftsbiträdet eller av ett underbiträde.

2. Om personuppgifter överförs utanför EES ska anordnaren försäkra sig om att behandling av personuppgifter är tillåten i den aktuella situationer och att man har fastställt en viss grund för överföringen.

3. Därefter ska man kontrollera huruvida lagstiftningen och/eller praxisen i tredjelandet garanterar sådan skyddsnivå för personuppgifter som motsvarar EU:s krav.

4. Om den överföringsgrund som används inte ensam kan garantera en tillräckligt hög dataskyddsnivå kan den i vissa situationer kompletteras med olika skyddsåtgärder. Anordnaren av hobbyverksamhet ska ta reda på huruvida dylika skyddsåtgärder kan vidtas.

5. Bedömningen av internationella överföringar av personuppgifter bör dokumenteras.

Kom ihåg följande

Försäkra dig om att överföringar av personuppgifter utanför EES uppfyller de krav som ställs på dem.