Forordningens kapitel V er den del, en softwarevirksomhed møder den dag, den tilmelder sig en hostingregion, en supportfunktion eller et analyseværktøj, der drives fra uden for Det Europæiske Økonomiske Samarbejdsområde. Artikel 44 sætter princippet: en overførsel af personoplysninger til et tredjeland eller en international organisation finder kun sted, hvis den dataansvarlige og databehandleren overholder kapitlets betingelser, også ved videreoverførsler, og alle dets bestemmelser anvendes, så det beskyttelsesniveau, forordningen garanterer, ikke undermineres. Denne artikel læser kapitlet mod det katalog, StandardOS fører over forordningen, og mod Kommissionens egen liste over afgørelser om tilstrækkelighed, med den gratis side, der vælger mekanismen ud fra destinationen og de to roller.
Første spørgsmål: er det overhovedet en overførsel
En modtager i en af de 27 medlemsstater eller i Island, Liechtenstein eller Norge er ikke i et tredjeland: forordningen gælder der direkte, gennem traktaterne og EØS-aftalen, og kapitel V er ikke i spil. Fortegnelsen over behandlingsaktiviteter nævner stadig modtageren (artikel 30, stk. 1, litra d)), men ingen mekanisme er nødvendig. Alt uden for disse 30 stater er et tredjeland, uanset om modtageren er en kendt virksomhed eller ej, om oplysningerne er krypteret undervejs eller ej, og om modtageren kalder sig GDPR-kompatibel eller ej. Spørgsmålet afgøres af landet for den etablering, der behandler oplysningerne, ikke af flaget på importørens hjemmeside.
Andet spørgsmål: er der en afgørelse om tilstrækkelighed
Artikel 45, stk. 1, lader en overførsel til et land, som Kommissionen har afgjort sikrer et tilstrækkeligt beskyttelsesniveau, finde sted uden specifik godkendelse. Kommissionens side om tilstrækkelighed for lande uden for EU, læst den 12. september 2026, siger, at den indtil nu har anerkendt 17: Andorra, Argentina, Brasilien, Canada, Færøerne, Guernsey, Israel, Isle of Man, Japan, Jersey, New Zealand, Republikken Korea, Schweiz, Det Forenede Kongerige, USA, Uruguay og Den Europæiske Patentorganisation. Elleve af dem blev vedtaget efter direktiv 95/46/EF og gennemgået i Kommissionens rapport af 15. januar 2024; resten efter artikel 45, og de nyeste retsakter, siden opfører, er afgørelsen om Brasilien af 26. januar 2026, fornyelsen af afgørelsen om Det Forenede Kongerige den 19. december 2025, afgørelsen om Den Europæiske Patentorganisation af 15. juli 2025 og den første gennemgang af afgørelsen om Republikken Korea den 23. juli 2026. To afgørelser har et anvendelsesområde, en softwarevirksomhed skal kontrollere: Canadas dækker kommercielle organisationer, og USA's dækker kun kommercielle organisationer, der deltager i EU-USA-databeskyttelsesrammen, så en amerikansk importør er tilstrækkelig, hvis den er certificeret, og en tredjelandsimportør som enhver anden, hvis den ikke er. Siden holder den liste som data, med den dato, den blev læst, og overførselsværktøjet stiller spørgsmålet om anvendelsesområde, hvor en afgørelse har et.
Tredje spørgsmål: hvilken garanti, og hvilket modul
Uden en afgørelse kræver artikel 46, stk. 1, fornødne garantier, der giver de registrerede rettigheder, som kan håndhæves, og effektive retsmidler, og artikel 46, stk. 2, opregner seks, der ikke kræver specifik godkendelse: et retligt bindende instrument mellem offentlige myndigheder, bindende virksomhedsregler, standardbestemmelser om databeskyttelse vedtaget af Kommissionen, bestemmelser vedtaget af en tilsynsmyndighed og godkendt af Kommissionen, en godkendt adfærdskodeks og en godkendt certificering. For en softwarevirksomhed er svaret det tredje: standardkontraktbestemmelserne i Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021, hvis bilag har fire moduler efter parternes roller. Modul et er dataansvarlig til dataansvarlig, virksomheden, der sender sine egne kundeoplysninger til en partner, der beslutter, hvad der skal ske med dem; modul to er dataansvarlig til databehandler, virksomheden, der sender sine egne oplysninger til et CRM, en lønservice eller en e-mailudbyder; modul tre er databehandler til databehandler, virksomheden, der sender sine kunders oplysninger til sin hosting-, support- eller AI-underdatabehandler; modul fire er databehandler til dataansvarlig, det sjældne tilfælde, hvor en databehandler returnerer oplysninger til en dataansvarlig uden for EU. At underskrive modulet er ikke hele garantien: bestemmelse 14 kræver, at parterne før overførslen har vurderet, om lovene og praksis i importørens land forhindrer den i at overholde bestemmelserne, hvilket er den vurdering, Domstolen krævede i Schrems II, og bestemmelse 15 fastsætter importørens pligter, når en offentlig myndighed beder om oplysningerne. Vurderingen dokumenteres og opbevares til tilsynsmyndigheden. Bindende virksomhedsregler efter artikel 47 er til en koncern og kræver en myndigheds godkendelse; en kodeks eller en certificering hjælper kun, hvor en findes for importøren.
Fjerde spørgsmål: er dette en særlig situation
Artikel 49, stk. 1, tillader en overførsel uden tilstrækkelighed eller garantier på en af syv betingelser: udtrykkeligt samtykke efter oplysning om risiciene, opfyldelse af en kontrakt med den registrerede, en kontrakt i den registreredes interesse, vigtige samfundsinteresser, retskrav, vitale interesser eller et offentligt register. Dets andet afsnit tilføjer den overførsel, der er nødvendig af hensyn til vægtige legitime interesser, som ikke må gentages, kun må vedrøre et begrænset antal registrerede, skal vurderes og dokumenteres og skal meddeles tilsynsmyndigheden. Intet af det beskriver et produkt i brug: en hostingudbyder behandler hver kundes oplysninger hver dag, og et samtykke, der skulle indhentes fra hver slutbruger hos hver af virksomhedens kunder, er ikke en mekanisme. Undtagelserne er til den enkeltstående lejlighed, den ene fil, der sendes én gang, og en virksomhed, der bygger sin arkitektur på dem, har ingen mekanisme.
Hvad man skal gøre med det
Tag fortegnelsen over behandlingsaktiviteter og dens kolonne med modtagere, og giv hver modtager uden for EØS et land og en mekanisme: den afgørelse om tilstrækkelighed, der bærer den, med anvendelsesområdet kontrolleret for en amerikansk eller canadisk importør, eller SCC-modulet underskrevet med sine bilag og vurderingen efter bestemmelse 14 dateret. Bed en amerikansk importør om dens certificering under Data Privacy Framework og kontrollér den på Department of Commerces liste; bed en britisk eller japansk importør om intet mere end kontrakten; bed en indisk, australsk eller singaporeansk importør om de underskrevne bestemmelser og dens egen liste over underdatabehandlere, da videreoverførsler forbliver under kapitel V. Sæt mekanismen ind i de databehandlervilkår, en kunde sender, fordi artikel 28, stk. 4, pålægger en underdatabehandler de samme forpligtelser som databehandleren, og i fortegnelsen, fordi artikel 30, stk. 1, litra e), spørger om overførslerne og deres garantier. Overførselssiden træffer bestemmelsen ud fra destinationen og de to roller og skriver den; bestemmelsen af forpligtelserne siger, om overførsler overhovedet er blandt virksomhedens forpligtelser.