En Transfer Impact Assessment (TIA) är en dokumenterad, ärendespecifik bedömning som exportören måste göra när personuppgifter överförs till ett tredjeland med stöd av ett Article 46-verktyg, till exempel standardavtalsklausuler. Syftet är att avgöra om mottagarlandets lagstiftning och praxis ger ett skydd som i praktiken är väsentligt likvärdigt med EU-nivån. Kravet gäller inte vid adekvansbeslut eller vid tillfälliga Article 49-undantag. Exportören bär huvudansvaret, men importören måste bidra med underlag om lokal rätt och myndighetstillgång.
Kort sagt:
- En TIA krävs när personuppgifter överförs till ett tredjeland med stöd av Article 46-verktyget, men inte vid adekvansbeslut eller tillfälliga undantag.
- Bedömningen omfattar kartläggning av dataflöden, lagstiftning, praxis och hotbilden för att identifiera eventuella säkerhetsbrister.
- Riskfulla faktorer inkluderar statlig myndighetsåtkomst, vidareöverföring till underleverantörer och otillräckliga tekniska skydd som kryptering.
- Löpande uppföljning, avtalstillsyn och dokumentation är nyckeln för att hantera och minska riskerna i praktiska risker.
- Digitala verktyg som samlar TIA-arbetet kan effektivisera processerna och underlätta regelbunden kontroll av leverantörer och åtgärder.
Innehållsförteckning
- Vad är en TIA och vilka steg ingår i bedömningen
- När är en TIA obligatorisk och när kan ni avstå
- Steg för steg: så genomför ni en TIA i praktiken
- Praktiska risker och åtgärder som faktiskt fungerar
- TIA, standardavtalsklausuler och löpande leverantörskontroll
- Så organiserar ni TIA-arbetet internt
- Perspektiv: vanliga fallgropar i TIA-arbetet
- Så kan Trustview underlätta TIA-processen
- Källor
Vad är en TIA och vilka steg ingår i bedömningen
En TIA är inte ett enda dokument utan en process i flera steg, byggd på metodiken från CNIL och EDPB. Varje steg har sin egen juridiska funktion, och hoppar man över ett steg blir hela bedömningen svår att försvara vid en tillsyn.
- Kartläggning av överföringen. Ni identifierar vilka uppgifter som flyttas, till vem, i vilket syfte och om mottagaren för dem vidare till någon annan part.
- Val av transferverktyg. Ni fastställer vilket Article 46-instrument som används, oftast standardavtalsklausuler (SCC) eller bindande företagsbestämmelser (BCR), och dokumenterar valet.
- Bedömning av mottagarlandets lagstiftning och praxis. Ni granskar både lagtext och hur myndigheter faktiskt agerar i praktiken, inte bara vad lagen säger på pappret.
- Identifiering av kompletterande åtgärder. Om bedömningen visar brister, avgör ni vilka tekniska, kontraktuella eller organisatoriska åtgärder som kan täppa till gapet.
- Formalisering och beslut. Ni dokumenterar slutsatsen: överföringen godkänns, godkänns med villkor, eller stoppas.
- Övervakning och omprövning. Ni sätter en tidpunkt för nästa granskning och bevakar triggers som lagändringar eller nya avtal.
Resultatet knyts naturligt till registret över behandlingar och till leverantörsbedömningen, eftersom samma mottagare ofta dyker upp i flera sammanhang.
När är en TIA obligatorisk och när kan ni avstå
Skyldigheten att göra en TIA hänger på vilken rättslig grund överföringen vilar på. Bygger den på Article 46, alltså SCC eller BCR, krävs en bedömning. Bygger den istället på ett adekvansbeslut behövs ingen TIA, eftersom EU-kommissionen redan har fastställt att landets skyddsnivå är tillräcklig. Vid tillfälliga Article 49-undantag, till exempel ett enskilt samtycke eller en nödvändig avtalsöverföring, gäller andra regler och ingen TIA krävs i normalfallet.
Flera faktorer avgör hur djup bedömningen behöver bli:
- Hur känsliga uppgifterna är, exempelvis hälsodata jämfört med kontaktuppgifter.
- Mottagarens roll: agerar de som personuppgiftsbiträde eller som självständig mottagare.
- Om mottagaren för uppgifterna vidare till underleverantörer i samma land eller till ett tredje land.
- Hur ofta och i vilken volym överföringen sker.
Även när ingen TIA krävs bör ni skriva ner varför. Ett kort beslutsdokument som anger rättslig grund och slutsats räcker långt om frågan kommer upp senare i en revision eller tillsyn.
Steg för steg: så genomför ni en TIA i praktiken
Kartläggningen är fundamentet. Ni listar varje system, varje mottagare och varje dataflöde som rör personuppgifter utanför EES, och markerar särskilt de flöden där mottagaren kan lämna uppgifterna vidare till en underleverantör. Onward transfers är ofta den svagaste länken, eftersom exportören sällan har full insyn i vad som händer bortom den första mottagaren.
Nästa steg är att ställa rätt frågor till importören. Generiska landsrapporter räcker inte, enligt CNILs praktiska guide krävs importörsspecifika svar om teknisk arkitektur och faktisk myndighetspraxis. Ställ dessa frågor skriftligt och begär konkreta svar:
- Vilken lagstiftning i mottagarlandet ger myndigheter rätt att begära ut uppgifter, och under vilka villkor?
- Har importören mottagit sådana förfrågningar tidigare, och hur besvarades de?
- Var lagras uppgifterna fysiskt, och vem har administrativ åtkomst till servrarna?
- Vem innehar krypteringsnycklarna, exportören eller importören?
- Finns åtkomstloggar som visar vem som läst eller exporterat data, och kan ni få ta del av dem?
- För importören uppgifterna vidare till underleverantörer, och vilka avtal binder dessa?
Svaren avgör om kompletterande åtgärder kan fylla gapet mellan lag och praktik. Håller importören krypteringsnycklarna själv, är kryptering ofta verkningslös som skydd mot myndighetsåtkomst. Ligger nycklarna hos exportören i EU, förändras bilden helt.
Proffstips: Be alltid om en teknisk beskrivning av datalagringen innan ni skickar frågorna om lagstiftning. Ett svar som “vi följer lokal lag” utan tekniska detaljer om nycklar och loggar är i praktiken ett ofullständigt underlag för TIA.
Praktiska risker och åtgärder som faktiskt fungerar
De vanligaste riskerna i en TIA handlar sällan om lagtexten i sig, utan om vad som händer i praktiken. Statlig åtkomst utan domstolsprövning, bristande avtalsbindning för underleverantörer och tekniska sårbarheter i importörens system är de tre problem som återkommer oftast.
Kompletterande åtgärder delas in i tre kategorier:
- Tekniska åtgärder: stark kryptering där nyckeln stannar hos exportören i EU, pseudonymisering innan data lämnar EES, samt separata driftsmiljöer för EU-data.
- Organisatoriska åtgärder: interna policyer för hur importören hanterar myndighetsförfrågningar, transparensrapportering och begränsad åtkomst för anställda hos importören.
- Kontraktuella åtgärder: skyldighet för importören att meddela exportören om en myndighetsförfrågan innan data lämnas ut, samt rätt till revision.
EDPB betonar att effektiviteten hos en åtgärd varierar beroende på land och sammanhang. En åtgärd som fungerar utmärkt i ett land kan vara helt verkningslös i ett annat, vilket gör att varje bedömning måste göras land för land, inte som en mall som återanvänds rakt av. Fysisk säkerhet kring lagringsmiljöer, till exempel skyddade videoflöden vid datacenter, är ett konkret exempel på tekniska skyddsåtgärder som kan ingå i en bredare säkerhetsbedömning.
Räcker ingen kombination av åtgärder till för att täcka gapet, är slutsatsen tydlig: överföringen måste avbrytas, pausas eller undvikas, och beslutet ska dokumenteras med skälen bakom.
TIA, standardavtalsklausuler och löpande leverantörskontroll
You are currently viewing a placeholder content from Default. To access the actual content, click the button below. Please note that doing so will share data with third-party providers.
SCC och BCR är kontraktuella verktyg. De skapar en rättslig grund för överföringen, men de garanterar inte i sig att skyddsnivån håller i praktiken. En TIA är det verktyg som testar om kontraktet faktiskt fungerar mot verkligheten i mottagarlandet.
Kopplingen mellan de två blir tydlig i tre praktiska krav:
- Resultatet av TIA:n bör spegla sig i avtalstillägg som binder importören till konkreta åtgärder, inte bara generella formuleringar.
- Ansvarsfördelningen mellan exportör och importör ska framgå av avtalet, särskilt vem som ansvarar för att rapportera myndighetsförfrågningar.
- Importörens faktiska efterlevnad av åtagandena måste följas upp löpande, inte bara vid avtalstecknandet.
Uppföljningen bör ske enligt en bestämd frekvens, till exempel årligen för högriskleverantörer, och alltid triggas om lagstiftningen i mottagarlandet ändras, om importören byter underleverantör, eller om en dataincident inträffar. Bevis på efterlevnad, till exempel loggar eller revisionsrapporter, bör samlas in och sparas tillsammans med TIA-beslutet.
Så organiserar ni TIA-arbetet internt
Ansvaret för TIA-processen bör fördelas tydligt mellan flera roller: exportören (ofta representerad av juridik eller compliance) äger det slutliga beslutet, dataskyddsombudet granskar metodiken, IT-avdelningen bidrar med teknisk kunskap om system och kryptering, och leverantörssamordnaren håller kontakten med importören.
En fungerande mallstruktur brukar innehålla:
- En transferbeskrivning som visar vilka uppgifter, system och mottagare som ingår.
- En riskmatris som poängsätter varje överföring efter känslighet och mottagarland.
- En logg över föreslagna och implementerade supplementary measures.
- Ett beslutsdokument med datum för nästa omprövning.
| Dokument | Ägare | Uppdateras |
|---|---|---|
| Transferbeskrivning | Leverantörssamordnare | Vid nytt avtal |
| Riskmatris | DPO | Årligen |
| Åtgärdslogg | IT/Juridik | Vid ändring |
| Beslutsdokument | Juridik | Vid omprövning |
Ett verktyg som samlar dessa mallar på ett ställe gör att ni slipper leta i separata Word-filer och e-posttrådar när en tillsynsmyndighet ber om underlag.
Perspektiv: vanliga fallgropar i TIA-arbetet
Den vanligaste fällan är att kopiera en generisk landsrapport istället för att fråga importören om faktiska tekniska detaljer. Involvera IT tidigt, inte i slutskedet. Prioritera de överföringar som rör känslig data eller högriskländer, och sätt konkreta triggers för när en bedömning måste göras om.
— Jesper
Så kan Trustview underlätta TIA-processen
Att hålla ordning på transferbeskrivningar, riskmatriser och åtgärdsloggar i separata dokument blir snabbt ohanterligt när antalet leverantörer växer. Det finns digitala plattformar som kan underlätta TIA-arbetsflödet genom att samla processens olika delar på ett ställe, från kartläggning av överföringar till dokumentation av kompletterande åtgärder och påminnelser om när en bedömning behöver omprövas.
En sådan tjänst kan koppla TIA-underlaget till register som redan används för behandlingar och leverantörsbedömningar, vilket kan spara tid när samma mottagare återkommer i flera sammanhang. Vanligtvis erbjuds även mallar för riskmatriser och beslutsdokument, vilket kan underlätta arbetet med nya leverantörer. En strukturerad konsekvensbedömning enligt GDPR kan fungera som ett naturligt steg innan man sätter upp en egen TIA-process.
Källor
- Transfer Impact Assessment (TIA): the CNIL publishes the final version of its guide | CNIL
- International data transfers | Data protection guide for small business | European Data Protection Board
