TIA-krav: när GDPR kräver en överföringsbedömning

En TIA (Transfer Impact Assessment, på svenska överföringsbedömning) krävs när din organisation överför personuppgifter till ett land utanför EU/EES och överföringen vilar på ett överföringsverktyg som standardavtalsklausuler (SCC) eller bindande företagsbestämmelser (BCR), inte enbart på ett adekvansbeslut. Kravet följer av GDPR kapitel V och av EU-domstolens Schrems II-dom: exportören ska själv bedöma om mottagarlandets lag och praxis undergräver skyddet, vidta kompletterande åtgärder vid behov och kunna visa hur slutsatsen nåddes. Den här guiden går igenom vad kraven innebär i praktiken, vad en godtagbar TIA ska innehålla och var organisationer oftast brister. (Söker du information om transitorisk ischemisk attack, den medicinska betydelsen av TIA, hänvisar vi till vården. Den här artikeln handlar om dataskydd.)

TL;DR

• En TIA krävs normalt när personuppgifter överförs eller görs åtkomliga utanför EU/EES med stöd av SCC, BCR eller andra lämpliga skyddsåtgärder enligt artikel 46, inte när ett giltigt adekvansbeslut ensamt bär överföringen.
• EDPB:s rekommendationer anger sex steg: kartlägg, identifiera överföringsverktyg, bedöm mottagarlandets lag och praxis, vidta kompletterande åtgärder, genomför formella steg och ompröva regelbundet.
• En signerad SCC är inte ett avslutat ärende. Exportören ansvarar för den konkreta bedömningen och måste kunna visa den för tillsynsmyndigheten.
• Utfallet kan bli att överföringen fortsätter, fortsätter efter kompletterande åtgärder, eller pausas och avslutas.
• TIA och DPIA är olika bedömningar med olika rättslig grund, men de bör kopplas ihop med leverantörsbedömning och avtalsstyrning.

Innehållsförteckning

• Den rättsliga grunden för TIA-kraven
• När krävs en TIA?
• Vad en TIA ska innehålla: EDPB:s sex steg
• Kompletterande åtgärder: vad som håller och vad som inte gör det
• Tre möjliga utfall av en TIA
• TIA, DPIA och leverantörsbedömning
• Vanliga brister i TIA-arbetet
• Så ser vi på TIA-kraven
• Strukturera TIA-arbetet i Trustview
• Vanliga frågor om TIA
• Källor

Den rättsliga grunden för TIA-kraven

Ordet “TIA” förekommer inte i dataskyddsförordningen. Kravet växer fram ur kombinationen av lagtext, rättspraxis och vägledning från tillsynsmyndigheterna.

GDPR kapitel V

Artikel 44 i GDPR slår fast den allmänna principen: personuppgifter får överföras till tredjeland endast om villkoren i kapitel V är uppfyllda, och skyddsnivån får inte undergrävas. Enligt IMY:s vägledning om överföring till tredjeland finns i huvudsak tre vägar:

1. Adekvansbeslut (artikel 45): EU-kommissionen har beslutat att landet, eller en viss del av det, har en adekvat skyddsnivå.
2. Lämpliga skyddsåtgärder (artikel 46): exempelvis standardavtalsklausuler eller bindande företagsbestämmelser.
3. Undantag för särskilda situationer (artikel 49): exempelvis uttryckligt samtycke, som endast kan användas i begränsade fall.

IMY påpekar också att en överföring inte bara är när uppgifter skickas. Även när någon utanför EU/EES har tillgång till personuppgifter, till exempel en supportleverantör med fjärråtkomst, räknas det som en överföring.

Schrems II och exportörens ansvar

Det är EU-domstolens dom i Schrems II som gör TIA:n till ett faktiskt krav. Enligt EDPB:s pressmeddelande om rekommendationerna innebär domen att den som förlitar sig på SCC måste kontrollera från fall till fall om mottagarlandets lagstiftning ger ett skydd som i huvudsak motsvarar det inom EU, och vid behov tillsammans med importören vidta kompletterande åtgärder.

Budskapet för ledning och juridik är tydligt: standardavtalsklausuler fungerar inte i ett vakuum. Avtalet binder parterna, men inte myndigheterna i mottagarlandet. Om en lokal lag ger myndigheter oproportionerlig åtkomst till uppgifterna kan klausulerna i praktiken bli verkningslösa, och det är exportören som bär ansvaret för att ha bedömt detta.

De moderna standardavtalsklausulerna

EU-kommissionens nuvarande SCC publicerades den 4 juni 2021. Enligt IMY:s sida om lämpliga skyddsåtgärder skulle de äldre klausulerna vara helt ersatta senast den 27 december 2022. Klausulerna får inte ändras, bortsett från val av modul och ifyllnad av information, och tillägg som strider mot dem kan göra hela upplägget bristfälligt. De fyra modulerna är:

• personuppgiftsansvarig till personuppgiftsansvarig,
• personuppgiftsansvarig till personuppgiftsbiträde,
• biträde till biträde,
• biträde till personuppgiftsansvarig.

Klausulerna i kommissionens genomförandebeslut 2021/914 innehåller dessutom en uttrycklig skyldighet för parterna att garantera att de inte har skäl att tro att lagstiftningen i mottagarlandet hindrar importören från att fullgöra klausulerna. Det är den garantin som TIA:n dokumenterar underlaget för. Om du är osäker på vilken roll din organisation har i en viss kedja, och därmed vilken modul som gäller, är det rollfördelningen du behöver reda ut först. Vi går igenom den i guiden om registeransvarig och biträde.

När krävs en TIA?

Frågan att ställa är inte “är landet säkert?”, utan “vilket stöd i kapitel V vilar just den här överföringen på?”. Tabellen visar typiska situationer för svenska organisationer.

I praktiken är det leverantörskedjan som oftast utlöser kravet. En svensk organisation kan ha datan lagrad i en svensk eller europeisk region, men ett underbiträde i ett tredjeland som sköter felsökning. Det är en överföring, och den kräver ett stöd i kapitel V. För en fördjupning om hur sådana flöden kartläggs, se vår guide om tredjelandsöverföringar enligt GDPR.

Vad en TIA ska innehålla: EDPB:s sex steg

EDPB:s rekommendationer 01/2020 är det dokument som i praktiken definierar vad en godtagbar TIA ska omfatta. Strukturen är sex steg.

1. Känn dina överföringar. Kartlägg alla överföringar: vilka personuppgifter, vilka kategorier av registrerade, vilket syfte, vilken mottagare, vilket land, vilket format och om det sker vidareöverföringar. Fjärråtkomst ska räknas med. Här gäller också dataminimering: uppgifter som inte behöver överföras ska inte överföras.
2. Identifiera överföringsverktyget. Fastställ vilken mekanism i kapitel V som används: adekvansbeslut, SCC, BCR eller annat verktyg enligt artikel 46, eller ett undantag enligt artikel 49.
3. Bedöm mottagarlandets lag och praxis. Analysera om lagstiftning eller myndighetspraxis i mottagarlandet kan påverka verktygets effektivitet, särskilt regler om myndigheters åtkomst för brottsbekämpning och nationell säkerhet. Bedömningen ska gälla den konkreta överföringen, inte landet i allmänhet.
4. Identifiera och genomför kompletterande åtgärder. Om steg 3 visar brister: välj tekniska, avtalsmässiga eller organisatoriska åtgärder som tillsammans ger ett skydd som i huvudsak motsvarar EU-nivån.
5. Vidta formella steg. Beroende på verktyg kan det krävas formella åtgärder, till exempel samråd med tillsynsmyndigheten om klausulerna måste ändras på ett sätt som går utöver vad SCC tillåter.
6. Ompröva med lämpliga intervall. Bedömningen ska följas upp. Ny lagstiftning, nya underbiträden, ändrad databehandling eller nya uppgifter om myndighetsåtkomst kan ändra slutsatsen.

EDPB betonar att exportören ansvarar för bedömningen och måste kunna visa hur slutsatsen nåddes, med tillräcklig due diligence för att kunna redovisa den för en tillsynsmyndighet eller domstol. En arbetsgång anpassad för jurister och dataskyddsombud finns i vår guide TIA-bedömning i praktiken.

Vad som räknas som bevisning i steg 3

IMY:s sida om Schrems II-domen beskriver ett riskbaserat arbetssätt där fokus ligger på just den överförda datan, importören och det relevanta rättsliga scenariot. Mottagarens egna erfarenheter av myndighetsförfrågningar kan vara relevant underlag, men de får inte vara den enda grunden. Att en leverantör “aldrig har fått en begäran” räcker alltså inte som slutsats. Analysen behöver väga samman:

• tillämplig lagstiftning i mottagarlandet,
• faktisk myndighetspraxis, så långt den går att belägga,
• typen av personuppgifter och hur känsliga de är,
• importörens verksamhet och om den omfattas av relevanta åtkomstregler,
• hur överföringen faktiskt sker: lagring, åtkomst, i klartext eller krypterat.

Kompletterande åtgärder: vad som håller och vad som inte gör det

Kompletterande åtgärder delas i EDPB:s rekommendationer in i tekniska, avtalsmässiga och organisatoriska. Den viktiga insikten är att avtal och organisatoriska rutiner sällan räcker ensamma, eftersom de inte binder myndigheter i mottagarlandet.

Tekniska åtgärder är ofta avgörande. Kryptering eller pseudonymisering är dock inte automatiskt tillräckligt. Åtgärden måste i den konkreta situationen hindra eller begränsa åtkomst på ett sätt som fortfarande ger ett skydd i huvudsak motsvarande EU-nivån. En tumregel ur rekommendationerna: om importören har tillgång till nycklarna, eller behöver uppgifterna i klartext för att utföra tjänsten, ger krypteringen ett begränsat skydd mot myndighetsåtkomst hos importören.

Avtalsmässiga åtgärder kan till exempel vara åtaganden om transparens kring myndighetsförfrågningar, skyldighet att bestrida förfrågningar och att underrätta exportören.

Organisatoriska åtgärder kan vara interna policyer för hantering av myndighetsförfrågningar, åtkomstbegränsning och dokumentation.

Om ingen kombination av åtgärder räcker säger EDPB tydligt att överföringen måste undvikas, pausas eller avslutas.

Tre möjliga utfall av en TIA

En TIA kan sluta på tre sätt enligt EDPB:

1. Överföringen kan fortsätta utan ytterligare åtgärder, eftersom mottagarlandets lag och praxis inte bedöms påverka verktygets effektivitet för den aktuella överföringen.
2. Överföringen kan fortsätta efter kompletterande åtgärder, som dokumenteras och följs upp.
3. Överföringen måste pausas eller avslutas, eftersom en likvärdig skyddsnivå inte kan säkerställas.

Inget överföringsverktyg garanterar att en överföring är möjlig i varje enskilt fall. Det är därför utfall 3 måste vara ett verkligt alternativ i bedömningen, inte en teoretisk möjlighet. En TIA som alltid landar i “godkänt” väcker frågor hos en granskare.

Exempel: HR-system med support från tredjeland

Ett svenskt företag med 400 anställda inför ett molnbaserat HR-system. Datan lagras i en EU-region, men leverantörens andra supportlinje finns i ett land utan adekvansbeslut och har åtkomst i klartext vid felsökning. Uppgifterna omfattar löner, frånvaro och i vissa fall sjukfrånvaro.

• Steg 1: Överföringen sker genom fjärråtkomst. Uppgifterna inkluderar hälsouppgifter, alltså känsliga personuppgifter.
• Steg 2: Avtalet bygger på SCC, modul 2 (ansvarig till biträde) mellan företaget och leverantören, och modul 3 i leverantörens kedja.
• Steg 3: Analysen visar att supportbolaget kan omfattas av lagstiftning som ger myndigheter åtkomst.
• Steg 4: Företaget kräver att åtkomst sker just-in-time efter godkännande, loggas och begränsas till pseudonymiserade vyer där det är möjligt, samt avtalar om transparens kring myndighetsförfrågningar.
• Steg 6: Bedömningen omprövas årligen och vid byte av underbiträde.

Slutsatsen kan bli utfall 2. Om leverantören inte kan begränsa åtkomsten till klartext kan slutsatsen i stället bli att supportflödet behöver ändras.

Exemplet visar varför TIA:n inte kan skrivas av juristen ensam. Steg 4 kräver att informationssäkerhet bekräftar vad som tekniskt är möjligt, och inköp behöver föra in kraven i avtalet.

TIA, DPIA och leverantörsbedömning

TIA och DPIA förväxlas ofta eftersom båda är riskbedömningar. De har dock olika rättslig grund och olika fråga. En DPIA ska enligt artikel 35 genomföras före en behandling som sannolikt leder till hög risk för de registrerades rättigheter och friheter. IMY:s förteckning över när konsekvensbedömning krävs anger bland annat storskalig behandling, systematisk övervakning, känsliga uppgifter, sårbara registrerade och ny teknik som kriterier.

Samma behandling kan kräva båda. I HR-exemplet ovan kan hälsouppgifterna i kombination med ny teknik innebära att en DPIA också behövs. Vill du avgöra det, se vår guide när krävs DPIA.

Leverantörsbedömningen är den tredje pusselbiten. Kartläggningen i steg 1 bygger på att du vet vilka leverantörer och underbiträden som behandlar uppgifterna. Utan en aktuell leverantörsförteckning blir TIA:n en bedömning av en ofullständig bild.

Vanliga brister i TIA-arbetet

I granskningar av överföringsdokumentation återkommer samma mönster:

• Landbedömning i stället för överföringsbedömning. En generell rapport om ett land används för alla leverantörer, utan koppling till vilka uppgifter som överförs och till vem.
• Fjärråtkomst saknas i kartläggningen. Data som lagras i EU men nås från tredjeland glöms bort.
• Underbiträden utelämnas. Bedömningen stannar vid avtalsparten.
• Kryptering som generellt svar. Det framgår inte vem som har nycklarna eller om uppgifterna behandlas i klartext.
• Ingen omprövning. TIA:n gjordes vid upphandlingen och har inte öppnats sedan, trots nya underbiträden.
• Ändrade SCC. Bilagor eller tilläggsavtal som motsäger klausulerna.
• Ingen ägare. Det är oklart om ansvaret ligger hos legal, dataskyddsombudet, informationssäkerhet eller inköp.

Varje punkt är en svag länk som en tillsynsmyndighet kan peka på. Den sista är ofta orsaken till de övriga.

Så ser vi på TIA-kraven

Vi som bygger Trustview är jurister, och vi ser TIA-kravet som ett styrningsproblem lika mycket som ett juridiskt problem. Den rättsliga analysen i steg 3 är krävande, men det är sällan där organisationer fallerar. De fallerar i steg 1 och steg 6: de vet inte vilka överföringar som faktiskt sker, och de vet inte när bedömningen senast omprövades.

Därför menar vi att TIA:n hör hemma i samma struktur som registerförteckningen, leverantörsbedömningen och DPIA:n. När en ny leverantör läggs till i registret ska frågan om tredjelandsöverföring ställas automatiskt. När ett underbiträde byts ska rätt TIA flaggas för omprövning. När informationssäkerhet beslutar om en teknisk åtgärd ska den kopplas till bedömningen den stödjer.

Vår erfarenhet är också att ledningen behöver se TIA-arbetet som något mer än en mall. En signerad SCC och ett ifyllt formulär ger en falsk trygghet om ingen äger uppföljningen. Det enklaste sättet att undvika det är att ge varje överföring en ansvarig, ett omprövningsdatum och en tydlig slutsats.

— Jesper

Strukturera TIA-arbetet i Trustview

I Trustview gör du TIA, DPIA, leverantörsbedömningar och registerförteckningar enligt GDPR i samma plattform. Du kan delegera ansvar, följa upp åtgärder och få en översikt över compliance-status i realtid, med färdiga mallar och guider som stöd. Plattformen är utvecklad i Sverige av jurister och stödjer bland annat GDPR, NIS2, ISO 27000 och AI-förordningen. Prenumerationen kostar från 2 500 kr per månad, och vid behov kan du komplettera med juridisk rådgivning för de bedömningar som kräver en extra granskning.

Vanliga frågor om TIA

Är TIA ett uttryckligt krav i GDPR?

Nej, begreppet finns inte i förordningens text. Kravet följer av artikel 44 och kapitel V tolkat i ljuset av Schrems II-domen och EDPB:s rekommendationer 01/2020. I praktiken måste du kunna visa att du har bedömt skyddsnivån när du använder SCC eller BCR.

Behövs en TIA om leverantören lagrar datan inom EU?

Det beror på om någon utanför EU/EES har åtkomst. Support, drift eller underbiträden i tredjeland som kan nå uppgifterna innebär en överföring enligt IMY. Då krävs ett stöd i kapitel V och normalt en TIA om stödet är SCC.

Hur ofta ska en TIA omprövas?

EDPB anger att bedömningen ska omprövas med lämpliga intervall, utan att ange en fast frekvens. Ett vanligt arbetssätt är årlig omprövning samt omedelbar omprövning vid nytt underbiträde, ändrad behandling eller förändrad lagstiftning i mottagarlandet.

Vem ansvarar för att TIA:n görs?

Ansvaret ligger hos exportören, alltså den personuppgiftsansvarige eller det biträde som överför uppgifterna. Importören behöver bidra med information om lag, praxis och tekniska åtgärder. Internt bör legal, dataskyddsombud och informationssäkerhet arbeta tillsammans, med en utpekad ägare.

Vad är skillnaden mellan TIA och DPIA?

En TIA bedömer om mottagarlandets lag och praxis undergräver skyddet vid en tredjelandsöverföring. En DPIA bedömer riskerna för de registrerade vid en behandling som sannolikt medför hög risk. Samma behandling kan kräva båda. Läs mer i vår översikt vad en TIA är och när den krävs.

Källor

• GDPR artikel 44, EUR-Lex
• Överföring av personuppgifter till tredjeland, IMY
• Lämpliga skyddsåtgärder vid tredjelandsöverföring, IMY
• Vilka standardavtalsklausuler har EU-kommissionen beslutat om?, IMY
• Schrems II-domen och ytterligare skyddsåtgärder, IMY
• EDPB Recommendations 01/2020, version 2.0
• EDPB 41st plenary session: recommendations on supplementary measures
• Kommissionens genomförandebeslut (EU) 2021/914, EUR-Lex
• IMY:s förteckning över när konsekvensbedömning krävs

Rekommendationer

• Överföringsbedömning tredjeland: TIA i praktiken för jurister
• TIA bedömning: praktisk arbetsgång för jurister och DPO:er
• TIA-bedömning: vad det är och när den krävs vid dataöverföring
• Tredjelandsöverföringar enligt GDPR: Säker efterlevnad