Overføring til tredjeland som ikke er godkjent av Europakommisjonen kan skje på visse vilkår, se personopplysningsloven § 30 første og annet ledd. Dersom overføringen faller innenfor et av vilkårene i første ledd, trenger du ikke Datatilsynets tillatelse. Det er imidlertid en del forhold dere må tenke på:

• Alle som vurderer å overføre personopplysninger til tredjeland, må først vurdere om overføringen er i samsvar med grunnkravene i personopplysingsloven § 11 første ledd.
• Deretter må de behandlingsansvarlige (som regel virksomheten som vil overføre opplysningene) gjennomføre en risikovurdering. I den forbindelse kan det ha avgjørende betydning om personopplysningene som planlegges overført er sensitive eller ikke
• Hvis grunnkravene er oppfylt, og resultatet av risikovurderingen ikke er til hinder for det, kan en overføring av personopplysninger baseres på unntakene i § 30 første ledd.

Vi understreker imidlertid at unntaksbestemmelsene i § 30 første ledd ikke anses for å gi tilstrekkelig overføringsgrunnlag annet enn i meget begrensede tilfeller. Dette er i samsvar med anbefalingene som er gitt av Artikkel 29-gruppen i EU.

Vær oppmerksom på at overføringer i medhold av unntaksbestemmelsene skjer på avsenders risiko, og at personopplysninger som overføres i medhold av unntaksbestemmelsene ikke har noen annen rettslig beskyttelse enn det som måtte følge av mottakerlandets rettsregler. Datatilsynet fraråder i praksis overføring av personopplysninger på bakgrunn av den enkeltes samtykke i de aller fleste tilfeller.

Dersom behandlingen ikke faller innenfor et av vilkårene etter § 30 første ledd, må du som hovedregel søke Datatilsynet om tillatelse etter §30 annet ledd før du kan overføre opplysningene. For å få tillatelse må den behandlingsansvarlige kunne gi tilstrekkelige garantier for den registrertes rettigheter. Dette kan blant annet gjøres ved bruk av EUs standardkontrakter eller bindende konsernregler. Også andre typer av garantier kan gi grunnlag for at Datatilsynet godkjenner overføringen etter en skjønnsmessig vurdering.