Dataoverførsel til USA (Data Privacy Framework)
Valget af AI-leverandør bestemmer hvor jeres persondata behandles.
Indhold
Dataoverførsel til USA betyder, at personoplysninger flyttes fra EU til systemer, som drives af amerikanske virksomheder eller lagres i USA. For at det er lovligt efter GDPR, skal der være et overførselsgrundlag: enten EU-Kommissionens beslutning om tilstrækkelighed for det såkaldte EU‑US Data Privacy Framework (DPF) for certificerede firmaer, eller standardkontraktbestemmelser (SCC) kombineret med en konkret vurdering af beskyttelsesniveauet.
Valget af AI-leverandør bestemmer hvor jeres data bor
Når I vælger en AI-tjeneste, vælger I også fysisk og juridisk hvor data ligger og hvem der har adgang. En leverandør kan være certificeret under DPF, men certificeringen dækker kun virksomheder, der faktisk er tilmeldt og godkendt. Hvis leverandøren ikke er certificeret, eller hvis overførslen handler om særligt følsomme oplysninger, vil I i praksis skulle bruge SCC og lave en Transfer Impact Assessment, som vurderer risikoen for amerikansk myndighedsadgang.
Sådan virker Dataoverførsel til USA i praksis
Tænk på det som at sende en kundemappe til en kollega i et andet land. Hvis modtageren har en særlig tilladelse, kan pakken sendes uden ekstra papirgang. Hvis ikke, skal I lave kontrakt og skrive en vurdering af, om pakken kan åbnes undervejs. DPF er den "særlige tilladelse": et rammeværk som EU-Kommissionen vurderede tilstrækkeligt i juli 2023, så virksomheder, der er certificerede, kan modtage visse persondata. SCC er kontrakten: standardtekst fra EU, som parterne bruger, og som kræver, at afsenderen dokumenterer ekstra tekniske eller organisatoriske foranstaltninger, når amerikansk lovgivning svækker beskyttelsen.
Eksempel: den databeskyttelsesansvarlige i en mindre rådgivningsvirksomhed
En databeskyttelsesansvarlig åbnede mandag morgen en sag, to dage før en vigtig kundeleverance. Virksomheden ville bruge en amerikansk AI-tjeneste til at udkaste et 12-siders tilbud baseret på 10 kundedokumenter og en scannet kontrakt. Leverandøren sagde, at de var "DPF-kompatible", men det fremgik ikke, om de var certificerede. Den databeskyttelsesansvarlige bad om dokumentation og fik i stedet et udkast til SCC. Der fulgte en pause: tre arbejdsdage med juridisk gennemgang, en mailrække på otte beskeder, og et krav om at holde data i en EU-zone, indtil en TIA var udført. Det kostede tid og skabte stress hos salgsteamet, fordi leverancen skulle revurderes og flyttes til en anden model, der kunne garantere EU-lagring.
Hvad du skal være opmærksom på
Reglerne kan ændre sig, og DPF er under politisk og retlig bevågenhed, så tjek den aktuelle status hos Datatilsynet. Spørg altid leverandøren om tre ting: er virksomheden certificeret under DPF, hvor ligger data fysisk, og kan I få SCC på plads plus en dokumenteret Transfer Impact Assessment? Overvej også tekniske tiltag: kryptering, pseudonymisering og at begrænse, hvilke felter der sendes til tjenesten. EU-datacentre er et konkret alternativ, når I vil undgå overførsler til tredjelande. Endelig: dokumentér jeres beslutning, så den kan indgå i jeres databehandleraftale og i jeres risikostyring.
Vil I have et bud på, om Dataoverførsel til USA overhovedet er jeres næste skridt, så er det dét, AI-rådgivning er til for. Skal flere end én i huset kunne noget med Dataoverførsel til USA, så se, hvordan en AI-workshop er skruet sammen.
Ofte stillede spørgsmål om Dataoverførsel til USA
Er Data Privacy Framework (DPF) det samme som standardkontraktbestemmelser (SCC)?
Nej. DPF er en EU-Kommissions vurdering, der siger, at certificerede amerikanske virksomheder giver et tilstrækkeligt beskyttelsesniveau. SCC er standardkontrakter, I kan bruge, når der ikke er en tilstrækkelighedsafgørelse. Ofte kræves en TIA ved brug af SCC.
Kan vi bare vælge en amerikansk AI-tjeneste til kundeoplysninger?
Ikke uden videre. I skal have et overførselsgrundlag: DPF-certificering eller SCC med dokumenteret vurdering. Overvej også at minimere data, kryptere og spørge om EU-lagring som alternativ.
Koster det noget at bruge SCC eller DPF?
Selve SCC-dokumenterne er gratis, men den nødvendige juridiske vurdering, eventuelle tekniske tiltag og tid til implementering kan medføre omkostninger. DPF-certificering håndteres af leverandøren; jeres omkostning er at kontrollere dokumentation og sikkerhed.
Hvor tjekker jeg den aktuelle regelstatus?
Se rådgivning og opdateringer hos Datatilsynet før beslutninger om overførsel af persondata til USA, fordi afgørelser og politik kan ændre sig.
AI-rådgiver og underviser, grundlægger af AI Hero i Herning. Har bygget digitalt i over 20 år og hjælper danske virksomheder med at få AI i drift. Læs mere om Brian.