Tredjelandsöverföring – är redan inhämtade samtycken giltiga?

Den så kallade Schrems II-domen (C 311/18) som EU-domstolen meddelade i juli 2020 fortsätter att väcka frågor om hur tillämpningen ska ske i praktiken. EU-domstolen slog fast att Privacy Shield-avtalet, som använts av många företag och organisationer för att överföra personuppgifter mellan EU och USA, inte uppfyller skyddskraven som uppställs i dataskyddsförordningen (”GDPR”). Med anledning av detta har företag och organisationer börjat undersöka om det är möjligt att stödja överföringen till tredje land, så som USA, på artikel 49 i GDPR som är ett undantag när beslut om adekvat skyddsnivå saknas. En vanlig fråga som uppkommer i samband med detta är om överföringen kan stödjas på ett samtycke som redan har inhämtats från en registrerad?

Av artikel 49(1)(a) i GDPR framgår att personuppgifter får överföras under förutsättning att den registrerade uttryckligen har samtyckt till överföringen. Förutom att samtycket måste uppfylla vissa krav, till exempel att det ska vara specifikt och informerat, krävs att samtycket lämnas efter att den registrerade har blivit informerad om de eventuella riskerna som finns med sådana överföringar när det saknas beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. Denna särskilda information bör bland annat innefatta uppgifter om att det inte finns några databehandlingsprinciper och/eller rättigheter i tredje landet för den registrerade.

Svaret på frågan blir således att en överföring inte kan stödjas på ett samtycke som redan har inhämtats, eftersom samtycket måste lämnas först efter att den registrerade har tagit emot den särskilda informationen. Innan ett nytt samtycke inhämtas behöver dock organisationen genomföra en konsekvensbedömning, där man tydligt dokumenterar personuppgiftsbehandlingen, hur skyddet i det mottagande landet ser ut, vilka överväganden som gjorts, vilka rättsliga grunder som organisationen stödjer behandlingen på, om informationen till den registrerade är tillräckligt tydlig och liknande. Om konsekvensbedömningen leder till slutsatsen att överföring till tredje land är möjligt, kan processen med att inhämta nya samtycken påbörjas.

För mer information om hur Schrems II-målet påverkar företag och organisationer, läs Katarina Ladenfors och Jonas Holms artikel här.

Katarina Ladenfors, partner & advokat – Advokatfirman MarLaw