Tredjelandsöverföring är överföring av personuppgifter till ett land utanför EU och EES och omfattas av särskilda dataskyddsregler.
När ett företag arbetar med personuppgifter kan tredjelandsöverföring vara en viktig del av bedömningen enligt GDPR. Reglerna gäller inte bara stora register. Även namn, e-postadresser, kundhistorik, bilder och annan information kan vara personuppgifter om de går att koppla till en person.
Anta att ett företag inför ett nytt kundsystem eller en ny digital tjänst. Då bör det kontrollera om tredjelandsöverföring påverkar hur uppgifterna får samlas in, användas, delas och sparas. Bedömningen bör göras innan behandlingen byggs in i den dagliga verksamheten.
Företaget behöver kunna visa att dataskyddsreglerna följs, inte bara anta att behandlingen är tillåten. Tydliga register, interna rutiner och avtal med leverantörer kan därför vara viktiga. Om behandlingen förändras behöver även den tidigare bedömningen kunna omprövas.
Företaget bör också kontrollera att tekniska system och praktiska rutiner faktiskt motsvarar den juridiska bedömningen. En korrekt policy hjälper inte om uppgifter i verkligheten sparas längre eller delas bredare än vad som är tänkt.