For å overføre personopplysninger til et tredjeland, altså land utenfor EØS, trenger man normalt et overføringsgrunnlag. Dessuten må man følge tilleggsvilkårene fra Schrems II-dommen. Dette kan innebære tidkrevende og komplekse vurderinger.

Les Personvernrådets veiledning om Schrems II-dommen

Les mer om overføring av personopplysninger til land utenfor EØS

Avventer mulig adekvansbeslutning

Man trenger imidlertid ikke å foreta disse stegene dersom EU-kommisjonen har gitt det aktuelle landet en såkalt adekvansbeslutning. Kommisjonen kan gi en adekvansbeslutning dersom den har kommet frem til at beskyttelsesnivået i landet er tilsvarende som i EØS. I slike tilfeller kan man overføre personopplysninger fritt til landet.

EU-kommisjonen holder på å vurdere om den skal gi Storbritannia en adekvansbeslutning. Det er per nå usikkert om dette arbeidet vil komme i mål før 1. januar.

• Dersom EU-kommisjonen gir Storbritannia en adekvansbeslutning før nyttår, trenger ikke virksomheter foreta seg noe med tanke på overføring av personopplysninger.
• Dersom EU-kommisjonen ikke gir Storbritannia en adekvansbeslutning før nyttår, må virksomheter som overfører personopplysninger til Storbritannia, sikre et overføringsgrunnlag og følge tilleggsvilkårene fra Schrems II-dommen dersom de skal fortsette å overføre personopplysninger etter 31. desember.

Både sending av data og fjerntilgang regnes som overføring av personopplysninger.