TIA och SCC enligt GDPR – så gör du vid internationella dataöverföringar

Av Mallbutiken · Sakuppgifter kontrollerade 6 oktober 2026 · GDPR kapitel V, SCC och Schrems II

Kort svar: En överföring av personuppgifter utanför EU/EES kräver att organisationen först identifierar om en tredjelandsöverföring faktiskt sker och därefter väljer en giltig överföringsmekanism. Finns inget adekvansbeslut används ofta EU-kommissionens standardavtalsklausuler (SCC). Vid SCC-baserade överföringar behöver parterna bedöma om skyddet fungerar i praktiken – ofta dokumenterat i en Transfer Impact Assessment (TIA) – och vid behov införa kompletterande skyddsåtgärder.

När sker en tredjelandsöverföring?

En överföring kan uppstå när personuppgifter görs tillgängliga för en mottagare utanför EU/EES. Det kan exempelvis ske genom molntjänster, supportåtkomst, internationella koncernsystem, underbiträden eller fjärradministration. Företag bör därför kartlägga faktisk åtkomst och dataflöden – inte bara var huvudleverantören har sitt säte.

Vilka överföringsgrunder finns?

Vad är en Transfer Impact Assessment (TIA)?

En TIA är en dokumenterad bedömning av om överföringsverktyget, exempelvis SCC, kan ge ett i praktiken effektivt skydd i den specifika överföringen. EU-kommissionens SCC-frågor och svar beskriver hur klausul 14 kräver en bedömning av överföringens omständigheter och relevanta lagar och praxis i mottagarlandet.

En TIA bör därför inte vara en allmän landsrapport som återanvänds oförändrad. Den behöver kopplas till den konkreta datan, mottagaren, behandlingen, överföringskedjan, myndighetsåtkomst och de skyddsåtgärder som faktiskt används.

Vad bör en TIA minst kartlägga?

• dataexportör, dataimportör och eventuella vidare mottagare,
• kategorier av personuppgifter och registrerade,
• ändamål, lagringstid, format och känslighet,
• mottagarlandets relevanta lagar och praxis,
• möjlig myndighetsåtkomst,
• tekniska och organisatoriska skydd, exempelvis stark kryptering,
• om SCC kan följas i praktiken,
• slutsats, åtgärder och datum för nästa översyn.

Hur används standardavtalsklausuler (SCC)?

EU-kommissionens moderniserade SCC från 2021 innehåller fyra moduler för olika rollkombinationer: controller-to-controller, controller-to-processor, processor-to-processor och processor-to-controller. Rätt modul måste väljas och bilagorna fyllas i konkret.

EU–U.S. Data Privacy Framework

För överföring till USA kan adekvansbeslutet för EU–U.S. Data Privacy Framework användas när den mottagande organisationen faktiskt omfattas av ramverket. IMY anger att en sådan överföring inte behöver kompletteras med SCC eller Schrems II-åtgärder på samma sätt som en artikel 46-överföring.

Om mottagaren i USA inte omfattas av DPF behöver företaget bedöma annan överföringsgrund, exempelvis SCC, och då återkommer frågan om effektivt skydd och eventuella kompletterande åtgärder.

Tredjelandsöverföring steg för steg

1. Kartlägg överföringar. System, länder, mottagare, supportåtkomst och underbiträden.
2. Bestäm GDPR-roller. Controller, processor, joint controller eller annan relevant relation.
3. Kontrollera adekvans. Finns adekvansbeslut och omfattas just mottagaren?
4. Välj överföringsverktyg. SCC, BCR eller annan giltig mekanism.
5. Gör TIA vid behov. Bedöm om skyddet fungerar i praktiken.
6. Inför kompletterande skydd. Dokumentera tekniska, organisatoriska och avtalsmässiga åtgärder.
7. Kontrollera transparens och RoPA. Uppdatera integritetsinformation, register och leverantörsdokumentation.
8. Övervaka förändringar. Länder, leverantörer, underbiträden och rättsläge kan förändras.

Vanliga misstag

Vanliga frågor om TIA och SCC

Måste alla tredjelandsöverföringar ha en TIA?

Nej. Behovet beror på överföringsgrunden. Vid adekvansbeslut gör EU-kommissionen skyddsnivåbedömningen. TIA är framför allt central när artikel 46-verktyg som SCC används och effektiviteten behöver bedömas.

Kan SCC användas med amerikanska leverantörer?

Ja, i rätt situation. Om mottagaren inte omfattas av DPF kan SCC vara relevant, men då behöver överföringen bedömas enligt SCC och Schrems II-principerna.

Behöver vi ett separat personuppgiftsbiträdesavtal med SCC modul 2?

Kommissionens SCC integrerar artikel 28-kraven i relevanta processor-moduler. Kontrollera dock hela behandlingsrelationen, lokala avtalskrav och eventuella andra behandlingar.

Relaterade guider

• Personuppgiftsansvarig eller personuppgiftsbiträde – vad är skillnaden?
• Personuppgiftsbiträdesavtal – när behövs det och vad ska ingå?
• Registerförteckning enligt GDPR artikel 30 – så bygger du ett RoPA

Källor

• IMY – överföring av personuppgifter till tredjeland
• IMY – lämpliga skyddsåtgärder
• EU-kommissionen – Standard Contractual Clauses
• EDPB Recommendations 01/2020 – supplementary measures