EU-rätt & GDPR

Gränsöverskridande datatransfer: Navigera GDPR, PIPA och lokala begränsningar

7 juli 2026 · 17 min läsning

Snabbt svar: Gränsöverskridande datatransfer innebär att personuppgifter flyttas över nationella gränser och regleras av ett lapptäcke av överlappande lagar, inklusive EU:s GDPR, Sydkoreas PIPA, Kinas PIPL och olika sektorsspecifika regelverk. Organisationer måste identifiera vilka ramverk som gäller för deras datatrafik och sedan implementera godkända överföringsmekanismer som Standard Contractual Clauses eller adekvansbeslut innan någon överföring sker. Underlåtenhet att följa reglerna kan leda till böter på upp till tiotals miljoner euro, regulatoriska utredningar och skada på anseendet.

Viktiga punkter

GDPR begränsar personuppgifter som lämnar EES om inte ett adekvansbeslut, SCC eller Binding Corporate Rules är på plats.
Sydkoreas PIPA kräver uttryckligt samtycke eller en laglig grund för gränsöverskridande överföringar och skiljer sig från GDPR på flera procedurmässiga sätt.
Kinas PIPL och cybersäkerhetslagar inför strikta krav på datalokalisation, inklusive obligatoriska säkerhetsbedömningar för vissa utgående överföringar.
Standard Contractual Clauses (SCC), uppdaterade i juni 2021, förblir den mest använda överföringsmekanismen för organisationer som skickar data utanför EES.
En studie från 2021 som analyserade 10 080 mobilappar fann att 56% potentiellt var icke-kompatibla med GDPR:s krav på gränsöverskridande överföringar. [7]
EU-US Data Privacy Framework ersatte det ogiltigförklarade Privacy Shield, men organisationer bör fortsätta att övervaka dess juridiska status.
Datalokalisation och begränsningar för datatransfer är relaterade men distinkta begrepp: lokalisation föreskriver var data ska lagras, medan överföringsbegränsningar reglerar när och hur data kan flyttas.
Anställdas data är inte undantagna från reglerna för gränsöverskridande överföringar; separata dataöverföringsavtal eller undantag krävs ofta.
Kostnader för efterlevnad varierar kraftigt beroende på företagets storlek, datavolym och antalet jurisdiktioner som är involverade.
Consent Management Platforms som Biscotti CMP (www.biscotti-cmp.com) kan stödja organisationer i att dokumentera lagliga grunder och samtyckesregister som är relevanta för gränsöverskridande datatrafik.

Vad är gränsöverskridande datatransfer och varför är det viktigt

En gränsöverskridande datatransfer sker när personuppgifter flyttas från ett land till ett annat, oavsett om det sker genom molnlagring, SaaS-plattformar, e-post eller API-integrationer. Detta är viktigt eftersom nationella integritetslagar är kopplade till själva datan, inte bara till det land där organisationen är registrerad.

För företag som bedriver globala verksamheter utgör en enda HR-plattform som är värd i USA och som behandlar anställdas register från EU-kontor redan en gränsöverskridande överföring som omfattas av GDPR. Detsamma gäller för marknadsföringsbyråer som skickar kunders e-postlistor till ett automatiseringsverktyg baserat i USA, eller utvecklare som använder tredjepartsanalystjänster som dirigeras genom servrar i länder utanför EES.

Insatserna är höga. Regulatorisk tillsyn har intensifierats över flera jurisdiktioner sedan 2021, och bristen på internationell harmonisering av dataskyddslagar skapar överlappande regler och konkurrerande standarder som komplicerar efterlevnaden för organisationer som verkar över gränser. [8]

Hur påverkar GDPR överföring av data utanför EU

GDPR förbjuder överföring av personuppgifter från det Europeiska ekonomiska området (EEA) till tredjeländer om inte någon av flera godkända mekanismer är på plats. De tre primära mekanismerna är adekvansbeslut, Standard Contractual Clauses och Binding Corporate Rules. [1]

Adekvatbeslut utfärdas av Europeiska kommissionen när den fastställer att ett tredjeland erbjuder en nivå av dataskydd som i huvudsak är likvärdig med EEA:s. Från och med 2026 omfattar adekvansbeslut jurisdiktioner inklusive Storbritannien, Japan, Sydkorea och flera andra. [1] Data kan flöda fritt till dessa länder utan ytterligare skyddsåtgärder.

Standard Contractual Clauses (SCC) är förhandsgodkända kontraktsmallar som utfärdas av Europeiska kommissionen. De moderniserade SCC, publicerade den 4 juni 2021, omfattar fyra överföringsscenarier: controller-till-controller, controller-till-processor, processor-till-controller och processor-till-processor. [2]

Binding Corporate Rules (BCR) är interna policys som antas av multinationella företagsgrupper för att styra intra-gruppöverföringar. BCR kräver godkännande från en ledande tillsynsmyndighet och måste inkludera bestämmelser om laglig grund, rättigheter för registrerade och klagomålsprocedurer. [1]

"Organisationer måste kartlägga sina datatrafik för att identifiera alla överföringar och tillämpa lämpliga skyddsåtgärder innan någon personuppgift lämnar EEA." [1]

Vad är PIPA och vilka länder gäller det för

Sydkoreas lag om skydd av personlig information (PIPA) är landets primära dataskyddslag som reglerar insamling, användning och gränsöverskridande överföring av personlig information av både offentliga och privata sektorer. PIPA gäller för alla organisationer som behandlar personuppgifter om sydkoreanska medborgare, oavsett var organisationen är baserad.

PIPA kräver att registrerade informeras om och i allmänhet samtycker till överföringen av sina personuppgifter utomlands. Specifika upplysningar måste inkludera mottagarens identitet, syftet med överföringen, de överförda datapunkterna, lagringsperioden och hur registrerade kan återkalla sitt samtycke.

Vad är skillnaden mellan GDPR och PIPA för datatransfer

Både GDPR och PIPA reglerar gränsöverskridande datatransfer, men de skiljer sig åt på flera procedurmässiga och substantiella punkter. [6]

Dimension	GDPR (EU/EEA)	PIPA (Sydkorea)
Överföringsmekanism	Adekvatbeslut, SCC, BCR, undantag	Samtycke, kontraktsmässig nödvändighet, adekvans-likvärdiga arrangemang
Rättsligt samarbete vid överföringar	Tillåtet under internationella avtal	Inte uttryckligen specificerat
Meddelande till registrerade	Krävs för SCC och BCR	Krävs vid insamling eller överföring
Tillsynsmyndighet	Nationella DPA / EDPB	Kommissionen för skydd av personlig information (PIPC)
Böter	Upp till 4% av global årlig omsättning	Upp till KRW 300 miljoner (ca USD 220 000) per överträdelse

En viktig praktisk skillnad: GDPR erbjuder mer flexibilitet genom flera överföringsmekanismer, medan PIPAs standardkrav lutar mer mot uttryckligt samtycke, vilket gör att samtyckeshanteringsinfrastruktur är särskilt viktig för organisationer som verkar i Sydkorea. [6]

Vad är Standard Contractual Clauses och behöver du dem

Standard Contractual Clauses är förhandsgodkända kontraktsbestämmelser som utfärdas av Europeiska kommissionen och som juridiskt binder dataexportören och importören att skydda personuppgifter under gränsöverskridande överföringar. Alla organisationer som skickar personuppgifter från EEA till ett land utan ett adekvansbeslut behöver nästan säkert SCC. [2]

De 2021 SCC ersatte de äldre versionerna från 2001 och 2010 och introducerade en modulär struktur som täcker alla datatransferrelationer. Organisationer som använde äldre SCC hade en övergångsfrist fram till den 27 december 2022 för att migrera till de nya versionerna.

När du behöver SCC:

Skicka kunddata till en USA-baserad CRM eller marknadsföringsplattform
Använda en molnleverantör med servrar utanför EEA
Dela anställdas data med ett icke-EEA moderbolag
Engagera en icke-EEA processor för analys, support eller utveckling

När du kanske inte behöver SCC:

Överföra data till ett land med ett adekvansbeslut
Förlita sig på BCR för intra-gruppöverföringar
Tillämpa ett specifikt undantag (t.ex. uttryckligt samtycke för tillfälliga överföringar)

Vilka länder har de striktaste begränsningarna för datatransfer

Kina och Ryssland inför de mest restriktiva gränsöverskridande datatransferregimerna globalt. Kinas PIPL (gäller från den 1 november 2021) kräver uttryckligt samtycke, säkerhetsbedömningar som genomförs av Cyberspace Administration of China (CAC) för vissa överföringar och standardkontrakt för andra. [3] Kinas cybersäkerhetslagar begränsar ytterligare gränsöverskridande överföringar av personlig information och "viktig data" som samlats in genom verksamhet inom Kina. [5]

Ryssland kräver att personuppgifter om ryska medborgare lagras på servrar som är belägna inom Ryssland innan någon gränsöverskridande överföring sker.

Andra jurisdiktioner med anmärkningsvärda begränsningar inkluderar:

Indien: Digital Personal Data Protection Act (DPDPA) begränsar överföringar till vissa "svartlistade" länder.
Indonesien: Regeringsförordning 71 kräver datalokalisation för vissa elektroniska systemoperatörer.
Vietnam: Cybersäkerhetslagen kräver lokal lagring för vissa datakategorier.

Kan jag överföra personuppgifter till USA under GDPR

Ja, men endast genom en godkänd mekanism. EU-US Data Privacy Framework (DPF), antaget i juli 2023, tillåter överföringar till certifierade amerikanska organisationer utan SCC. [9] Emellertid har DPF mött juridiska utmaningar, och organisationer bör behålla SCC som en backup-skydd med tanke på historiken av ogiltigförklaringen av Privacy Shield 2020.

För amerikanska organisationer som inte är certifierade under DPF, förblir SCC den primära mekanismen. Sektorsspecifika amerikanska lagar som HIPAA ålägger också skyldigheter på utländska enheter som behandlar skyddad hälsodata på uppdrag av amerikanska täckta enheter. [4]

Vad är skillnaden mellan datalokalisation och begränsningar för datatransfer

Datalokaliseringslagar kräver att viss data lagras på servrar som fysiskt ligger inom ett lands gränser. Begränsningar för datatransfer reglerar de villkor under vilka data kan skickas utomlands, oavsett var den lagras.

Ett företag kan följa begränsningar för datatransfer samtidigt som det lagrar data utanför ett lands gränser (om överföringsmekanismen är giltig). Omvänt kan ett land med krav på datalokalisation fortfarande tillåta gränsöverskridande överföringar så länge en lokal kopia behålls. Kinas regim kombinerar båda: den kräver lokal lagring för vissa datakategorier och begränsar separat utgående överföringar. [5]

Hur mycket kostar det att sätta upp efterlevnad för gränsöverskridande datatransfer

Kostnader för efterlevnad beror på organisationens storlek, datakomplexitet och antalet involverade jurisdiktioner. Det finns ingen enskild riktlinje, men följande kostnadskategorier gäller för de flesta organisationer:

Juridisk granskning och SCC-exekvering: Varierar från några tusen dollar för små organisationer till sexsiffriga belopp för företag med hundratals leverantörsrelationer.
Datakartläggning och flödesrevisioner: Intern personalens tid eller externa konsultavgifter; medelstora företag spenderar vanligtvis USD 20 000-100 000 för en omfattande revision.
BCR-godkännande: En flerårig process som involverar regulatorisk kontakt; vanligtvis reserverad för stora multinationella företag med tanke på resursinvesteringen.
Löpande efterlevnad övervakning: Årlig granskning av adekvansbeslut, SCC-uppdateringar och nya jurisdiktionskrav.

Att investera i en samtyckeshanteringsplattform som Biscotti CMP (www.biscotti-cmp.com) kan minska de löpande kostnaderna för efterlevnad genom att centralisera samtyckesregister och stödja dokumentation av lagliga överföringsgrunder.

Vad händer om ett företag bryter mot reglerna för gränsöverskridande datatransfer

Överträdelser av GDPR relaterade till gränsöverskridande överföringar faller under den högre nivån av böter: upp till EUR 20 miljoner eller 4% av global årlig omsättning, beroende på vilket som är högst. Tillsynsmyndigheter har utfärdat betydande böter specifikt för olagliga överföringar, inklusive fall där data skickats till USA utan adekvata skyddsåtgärder.

Utöver böter inkluderar konsekvenser:

Avstängning av datatransferverksamhet av tillsynsmyndigheter
Obligatoriska revisioner och korrigerande handlingsplaner
Civila krav från registrerade
Skada på anseendet och förlust av kundförtroende

Under Kinas PIPL kan överträdelser leda till böter på upp till RMB 50 miljoner eller 5% av föregående års årliga intäkter, plus potentiell avstängning av affärsverksamhet. [3]

Behöver jag datatransferavtal för anställdas data

Ja. Anställdas personuppgifter omfattas av samma regler för gränsöverskridande överföringar som kunddata under GDPR och de flesta andra integritetsramverk. Många organisationer antar felaktigt att anställningsavtal eller interna HR-policys är tillräckliga; de ersätter inte behovet av en giltig överföringsmekanism.

För multinationella grupper är BCR ofta den mest praktiska lösningen för anställdas data eftersom de täcker alla intra-gruppöverföringar under ett enda godkänt ramverk. Alternativt kan SCC utföras mellan den anställande enheten och den mottagande enheten inom gruppen.

Vilka är vanliga misstag företag gör med internationella datatransfer

De vanligaste bristerna i efterlevnad vid gränsöverskridande datatransfer inkluderar:

Underlåtenhet att kartlägga datatrafik: Organisationer kan inte tillämpa rätt mekanism om de inte vet vart data går. En studie från 2021 visade att 56% av de analyserade mobilapparna potentiellt var icke-kompatibla med GDPR:s krav på överföringar, främst på grund av odeklarerade tredjepartsdatatrafik. [7]
Använda föråldrade SCC: Organisationer som inte migrerade från äldre SCC till 2021-versionerna före deadline den 27 december 2022 verkar på ogiltiga kontrakt.
Anta att molnleverantörer hanterar efterlevnad: Molnleverantörer tillhandahåller databehandlingsavtal, men datakontrollanten förblir ansvarig för att säkerställa att en giltig överföringsmekanism finns.
Ignorera underleverantörskedjor: När en processor engagerar en underleverantör i ett tredjeland måste den ursprungliga kontrollanten säkerställa att SCC eller motsvarande skyddsåtgärder sträcker sig ner i kedjan.
Överse anställdas data: HR-system, löneplattformar och samarbetsverktyg överför ofta anställdas data över gränser utan lämpliga avtal.

Hur vet jag om mitt företag behöver oroa sig för gränsöverskridande begränsningar

Alla organisationer som samlar in personuppgifter från invånare i en reglerad jurisdiktion och använder verktyg, leverantörer eller infrastruktur som ligger utanför den jurisdiktionen behöver ta itu med kraven för gränsöverskridande överföringar. Detta gäller även för små företag som använder USA-baserade e-postmarknadsföringsplattformar eller analystjänster.

Använd denna beslutsregel:

Om du samlar in data från EU/EEA-invånare och använder någon icke-EEA-leverantör, gäller GDPR:s överföringsregler.
Om du behandlar data om sydkoreanska invånare och delar den med utländska enheter, gäller PIPA.
Om du verkar i Kina och överför personlig information eller "viktig data" utanför Kina, gäller PIPL och cybersäkerhetslagen.
Om du är en amerikansk enhet som tar emot EU-personuppgifter, behöver du antingen DPF-certifiering eller SCC från dina EU-partners.

APEC:s Cross-Border Privacy Rules (CBPR) system erbjuder en certifieringsväg för organisationer som verkar över Asien-Stillahavets medlemsländer, vilket ger en erkänd efterlevnadsram för intra-APEC överföringar. [9]

FAQ

Vad är det enklaste lagliga sättet att överföra data mellan länder?
Att överföra data till ett land med ett EU-adekvansbeslut är den enklaste vägen under GDPR, eftersom inga ytterligare kontrakt eller skyddsåtgärder krävs. För andra destinationer är det mest okomplicerade alternativet att utföra Standard Contractual Clauses med datamottagaren.

Krävs SCC för varje internationell överföring?
Nej. SCC krävs vid överföring av data från EEA till ett land utan ett adekvansbeslut och när ingen annan giltig mekanism (BCR, bindande undantag) gäller. Överföringar till adekvans-godkända länder kräver inte SCC.

Gäller GDPR för icke-EU-företag?
Ja. GDPR gäller för alla organisationer som behandlar personuppgifter om EEA-invånare, oavsett var organisationen är etablerad, om den erbjuder varor eller tjänster till EEA-invånare eller övervakar deras beteende.

Vad är EU-US Data Privacy Framework?
EU-US Data Privacy Framework är en adekvansmekanism som antogs i juli 2023 och som tillåter certifierade amerikanska organisationer att ta emot personuppgifter från EEA utan SCC. Organisationer måste självcertifiera sig hos det amerikanska handelsdepartementet och åta sig specifika dataskyddsprinciper.

Kan samtycke ensamt rättfärdiga en gränsöverskridande överföring under GDPR?
Uttryckligt samtycke kan fungera som ett undantag för tillfälliga överföringar, men det är inte en hållbar mekanism för systematiska eller storskaliga överföringar. Tillsynsmyndigheter har varnat mot att förlita sig på samtycke som den primära överföringsmekanismen för rutinmässiga affärsverksamheter.

Vad är en Transfer Impact Assessment (TIA)?
En TIA är en analys som organisationer måste genomföra innan de förlitar sig på SCC för att bedöma om det juridiska ramverket i destinationslandet underminerar skydden i SCC. Det blev ett obligatoriskt steg efter Schrems II-domen 2020.

Omfattar PIPA B2B-data?
PIPA omfattar personlig information om fysiska personer. Affärskontaktinformation (namn, arbets-e-post, arbets-telefon) kan falla inom PIPAs tillämpningsområde beroende på hur den behandlas, så organisationer bör inte anta att B2B-data automatiskt är undantagna.

Hur lång tid tar BCR-godkännande?
BCR-godkännande tar vanligtvis två till tre år, beroende på komplexiteten i företagsgruppen och hur snabbt den ledande tillsynsmyndigheten svarar. Det är en resurskrävande process som bäst lämpar sig för stora multinationella företag.

Vilken roll spelar en samtyckeshanteringsplattform i gränsöverskridande efterlevnad?
En samtyckeshanteringsplattform som Biscotti CMP (www.biscotti-cmp.com) hjälper organisationer att fånga, lagra och visa lagliga samtyckesregister, vilket är relevant när samtycke används som den lagliga grunden för behandling eller överföring. Den stöder också transparensskyldigheter genom att avslöja tredjeparts datamottagare för användare.

Finns det påföljder för att använda föråldrade SCC?
Ja. Att använda de före 2021 SCC efter övergångsfristen den 27 december 2022 gör överföringsmekanismen ogiltig, vilket utsätter organisationen för samma påföljder som att inte ha någon mekanism alls.

Slutsats

Gränsöverskridande datatransfer ligger i skärningspunkten mellan affärsverksamhet och regulatoriska skyldigheter, och efterlevnadslandskapet har blivit betydligt mer komplext sedan 2021. GDPR, PIPA, Kinas PIPL och ett växande antal nationella ramverk ålägger var och en distinkta krav, och organisationer som behandlar efterlevnad som en engångsinsats snarare än ett pågående program står inför verkliga risker för efterlevnad.

Handlingsbara nästa steg för 2026:

Genomför en datatrafikrevision för att identifiera varje gränsöverskridande överföring din organisation gör, inklusive de som sker genom tredjepartsleverantörer och underleverantörer.
Verifiera att dina överföringsmekanismer är aktuella: bekräfta att SCC är de 2021-versionerna, kontrollera om adekvansbeslut täcker dina destinationsländer och uppdatera eventuella utgångna eller saknade avtal.
Bedöm Kina och APAC-exponering separat, eftersom PIPL och lokala datalokaliseringslagar kräver distinkta efterlevnadssteg utöver GDPR-anpassade åtgärder.
Dokumentera Transfer Impact Assessments för alla SCC-baserade överföringar till icke-adekvata länder, särskilt USA.
Implementera en samtyckeshanteringslösning som Biscotti CMP (www.biscotti-cmp.com) för att upprätthålla reviderbara samtyckesregister och stödja transparensavslöjanden till registrerade.
Övervaka regulatoriska utvecklingar inklusive den juridiska statusen för EU-US Data Privacy Framework och eventuella nya adekvansbeslut utfärdade av Europeiska kommissionen.

Organisationer som integrerar efterlevnad för gränsöverskridande datatransfer i sina operativa processer, snarare än att behandla det som en juridisk formalitet, är bättre positionerade att växa globalt utan regulatoriska störningar.