{"id":20792,"date":"2026-06-06T16:14:31","date_gmt":"2026-06-06T16:14:31","guid":{"rendered":"https:\/\/nordialaw.com\/?page_id=20792"},"modified":"2026-06-09T16:06:37","modified_gmt":"2026-06-09T16:06:37","slug":"overforing-til-tredjeland","status":"publish","type":"page","link":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/","title":{"rendered":"Overf\u00f8ring til tredjeland"},"content":{"rendered":"<div class=\"title-excerpt\">\n\t        <h1 class=\"title-excerpt__title\">Overf\u00f8ring til tredjeland<\/h1>\n\t\n\t<\/div>\n\n<div class=\"grid-container small-block-spacing\" >\n    <div class=\"text-area-block grid-x grid-margin-x\">\n        <div class=\"cell large-12 medium-12\">\n\t\t\t\t\n            <p><em>Sist oppdatert 6. juni 2026<\/em><\/p>\n<table style=\"width: 100%;border-collapse: collapse;margin: 0 0 22px\" role=\"presentation\" width=\"100%\" cellspacing=\"0\" cellpadding=\"0\">\n<tbody>\n<tr>\n<td style=\"background-color: #edd3c7;padding: 18px 22px\" bgcolor=\"#EDD3C7\">\n<p style=\"font-family: Georgia,'Times New Roman',serif;color: #00224c;font-weight: bold;font-size: 17px;margin: 0 0 8px\">Kort fortalt<\/p>\n<ul>\n<li>Overf\u00f8ring til tredjeland skjer hver gang personopplysninger gj\u00f8res tilgjengelig for en virksomhet utenfor E\u00d8S \u2013 ogs\u00e5 ved ren fjerntilgang, for eksempel n\u00e5r en support- eller driftsleverand\u00f8r i India logger seg p\u00e5 systemene dine.<\/li>\n<li>Hovedregelen i GDPR kapittel V er at beskyttelsesniv\u00e5et skal f\u00f8lge med opplysningene. Overf\u00f8ring krever derfor et gyldig overf\u00f8ringsgrunnlag.<\/li>\n<li>Det enkleste grunnlaget er en adekvansbeslutning. Per 2026 omfatter listen blant annet Storbritannia, Sveits, Japan, S\u00f8r-Korea og \u2013 nytt fra januar 2026 \u2013 Brasil. USA dekkes bare gjennom Data Privacy Framework, og bare for sertifiserte mottakere.<\/li>\n<li>Finnes ingen adekvansbeslutning, er standard personvernbestemmelser (SCC) det vanligste verkt\u00f8yet. SCC krever en konkret overf\u00f8ringsvurdering etter Schrems II. Sertifisering ble et reelt alternativ i 2026, men er enn\u00e5 ikke ferdig operasjonalisert.<\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Hva er overf\u00f8ring til tredjeland \u2013 og n\u00e5r skjer det?<\/h2>\n<p>Et tredjeland er ethvert land utenfor E\u00d8S. E\u00d8S best\u00e5r av de 27 EU-statene pluss Norge, Island og Liechtenstein. En overf\u00f8ring til tredjeland skjer n\u00e5r personopplysninger flyttes ut av \u2013 eller gj\u00f8res tilgjengelig for en akt\u00f8r utenfor \u2013 dette omr\u00e5det.<\/p>\n<p>Hovedprinsippet f\u00f8lger av GDPR artikkel 44: vernet etter forordningen skal ikke undergraves n\u00e5r opplysninger behandles utenfor E\u00d8S. Beskyttelsesniv\u00e5et skal med andre ord f\u00f8lge med dataene. Derfor kan overf\u00f8ring bare skje n\u00e5r virksomheten har et gyldig overf\u00f8ringsgrunnlag etter kapittel V.<\/p>\n<p>I praksis skjer overf\u00f8ring oftere enn mange virksomheter er klar over. Typiske situasjoner er:<\/p>\n<ul>\n<li>Bruk av sky- og programvaretjenester (SaaS) der leverand\u00f8ren, eller leverand\u00f8rens underleverand\u00f8rer, driftes utenfor E\u00d8S.<\/li>\n<li>Konserninterne overf\u00f8ringer til mor-, datter- eller s\u00f8sterselskap i et tredjeland.<\/li>\n<li>Bruk av databehandlere og deres underdatabehandlere utenfor E\u00d8S \u2013 for eksempel for lagring, analyse eller kundeservice.<\/li>\n<li>Kundest\u00f8tte, drift, vedlikehold og utvikling som er satt ut til leverand\u00f8rer i for eksempel USA, India eller Filippinene.<\/li>\n<\/ul>\n<p>Det avgj\u00f8rende er ikke at dataene \u00absendes\u00bb til et bestemt sted. Det er nok at de gj\u00f8res tilgjengelig for noen utenfor E\u00d8S. Det er nettopp dette som gj\u00f8r fjerntilgang til et praktisk viktig sp\u00f8rsm\u00e5l.<\/p>\n<h2>Er fjerntilgang fra utlandet (for eksempel India) en overf\u00f8ring?<\/h2>\n<p>Ja. Fjerntilgang fra et tredjeland regnes som en overf\u00f8ring, selv om dataene fysisk blir liggende p\u00e5 servere i E\u00d8S. Dette overser mange virksomheter, fordi det ikke f\u00f8les som at noe \u00abforlater\u00bb landet.<\/p>\n<p>Det europeiske personvernr\u00e5det (EDPB) har avklart sp\u00f8rsm\u00e5let i <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2023-02\/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf\">Guidelines 05\/2021<\/a> (versjon 2, vedtatt 14. februar 2023). Tre kumulative vilk\u00e5r m\u00e5 v\u00e6re oppfylt for at en behandling skal regnes som en overf\u00f8ring til tredjeland:<\/p>\n<ol>\n<li>En behandlingsansvarlig eller databehandler (\u00abeksport\u00f8ren\u00bb) er omfattet av GDPR for den aktuelle behandlingen.<\/li>\n<li>Eksport\u00f8ren utleverer ved overf\u00f8ring, eller gj\u00f8r p\u00e5 annen m\u00e5te opplysningene tilgjengelig, til en annen behandlingsansvarlig, felles behandlingsansvarlig eller databehandler (\u00abimport\u00f8ren\u00bb).<\/li>\n<li>Import\u00f8ren befinner seg i et tredjeland \u2013 uavhengig av om import\u00f8ren selv er omfattet av GDPR.<\/li>\n<\/ol>\n<p>EDPB sier uttrykkelig at det er nok \u00e5 oppfylle vilk\u00e5r to at opplysningene gj\u00f8res tilgjengelig gjennom fjerntilgang fra et tredjeland, eller lagres i en sky utenfor E\u00d8S. Konsekvensen for outsourcing er konkret: en helpdesk, et driftsteam eller utviklere i India som logger seg p\u00e5 de norske systemene dine, utgj\u00f8r en overf\u00f8ring til tredjeland og krever et overf\u00f8ringsgrunnlag \u2013 selv om dataene aldri kopieres ut av Norge.<\/p>\n<p>Grensen g\u00e5r ved utlevering til en annen akt\u00f8r. Er behandlingen rent intern hos den samme behandlingsansvarlige, slik at opplysningene ikke gj\u00f8res tilgjengelig for en annen behandlingsansvarlig eller databehandler, foreligger det ingen overf\u00f8ring i kapittel V-forstand. Det praktiske skj\u00e6ringspunktet er derfor om en ekstern part \u2013 typisk en leverand\u00f8r \u2013 f\u00e5r tilgang fra utlandet.<\/p>\n<h2>Hvilke overf\u00f8ringsmekanismer finnes?<\/h2>\n<p>GDPR kapittel V gir en verkt\u00f8ykasse av alternative grunnlag, med en innebygd rangering: adekvansbeslutning er det enkleste, deretter kommer de n\u00f8dvendige garantiene i artikkel 46, og unntakene i artikkel 49 er ment som siste utvei. Oversikten under viser hovedalternativene:<\/p>\n<table style=\"width: 100%;border-collapse: collapse;margin: 0 0 16px;font-size: 14px\" width=\"100%\" cellspacing=\"0\" cellpadding=\"0\">\n<thead>\n<tr>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Mekanisme<\/th>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Hjemmel<\/th>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Overf\u00f8ringsvurdering?<\/th>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Kort om<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Adekvansbeslutning<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Art. 45<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Nei<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Kommisjonen har fastsl\u00e5tt at tredjelandet gir tilstrekkelig beskyttelse \u2013 fri flyt, som innad i E\u00d8S<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Standard personvernbestemmelser (SCC)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Art. 46(2)(c)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Ja<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Det vanligste verkt\u00f8yet; krever konkret vurdering og eventuelle tilleggstiltak<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Bindende virksomhetsregler (BCR)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Art. 46(2)(b)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Ja<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Konserninterne overf\u00f8ringer; krever forh\u00e5ndsgodkjenning fra tilsynsmyndighet<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Sertifisering<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Art. 46(2)(f)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Ja<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Nytt: Europrivacy godkjent av EDPB i 2026, men enn\u00e5 ikke ferdig operasjonalisert<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Unntak<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Art. 49<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">\u2013<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Snevre, situasjonsbestemte grunnlag (f.eks. uttrykkelig samtykke eller n\u00f8dvendig for kontrakt)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Adekvansbeslutning \u2013 hvilke land gjelder per 2026?<\/h2>\n<p>En adekvansbeslutning er det enkleste overf\u00f8ringsgrunnlaget. N\u00e5r Europakommisjonen har fastsl\u00e5tt at et tredjeland gir et beskyttelsesniv\u00e5 som er \u00abi hovedsak likeverdig\u00bb med E\u00d8S, kan personopplysninger overf\u00f8res dit uten ytterligere tiltak \u2013 p\u00e5 samme m\u00e5te som innad i E\u00d8S.<\/p>\n<p>Per 2026 omfatter listen i hovedsak disse landene, omr\u00e5dene og organisasjonene:<\/p>\n<table style=\"width: 100%;border-collapse: collapse;margin: 0 0 16px;font-size: 14px\" width=\"100%\" cellspacing=\"0\" cellpadding=\"0\">\n<thead>\n<tr>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Land \/ omr\u00e5de<\/th>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Vedtatt \/ sist oppdatert<\/th>\n<th style=\"background-color: #00224c;color: #ffffff;font-family: Georgia,'Times New Roman',serif;font-weight: bold;text-align: left;padding: 9px 12px;border: 1px solid #00224C\" align=\"left\" bgcolor=\"#00224C\">Merknad<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Andorra, Argentina, F\u00e6r\u00f8yene, Guernsey, Isle of Man, Israel, Jersey, New Zealand, Sveits, Uruguay<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">F\u00f8r GDPR (bekreftet 2024)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Bekreftet i Kommisjonens gjennomgang av de eldre beslutningene<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Canada<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">F\u00f8r GDPR (bekreftet 2024)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Bare kommersiell sektor (PIPEDA)<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Japan<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">2019<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">\u2014<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">S\u00f8r-Korea<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">2021<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">\u2014<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Storbritannia<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">2021, fornyet des. 2025<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Tidsbegrenset; jevnlig revisjon<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">USA (Data Privacy Framework)<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">2023<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Bare sertifiserte virksomheter<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">Den europeiske patentorganisasjon<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">2025<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #ffffff\" bgcolor=\"#FFFFFF\">F\u00f8rste internasjonale organisasjon<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Brasil<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">2026<\/td>\n<td style=\"padding: 8px 12px;border: 1px solid #D9D5D1;background-color: #f6f4f2\" bgcolor=\"#F6F4F2\">Nyeste; dekker b\u00e5de offentlig og privat sektor<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Listen endres over tid. Den til enhver tid gjeldende oversikten finnes p\u00e5 <a href=\"https:\/\/commission.europa.eu\/law\/law-topic\/data-protection\/international-dimension-data-protection\/adequacy-decisions_en\">Europakommisjonens side om adekvansbeslutninger<\/a>. To forhold er verdt \u00e5 merke seg: Storbritannia-beslutningen er tidsbegrenset og m\u00e5 fornyes jevnlig, og Canada-beslutningen dekker bare kommersiell sektor. Som behandlingsansvarlig b\u00f8r du derfor kontrollere at den konkrete overf\u00f8ringen faktisk omfattes av beslutningen.<\/p>\n<h2>EU\u2013US Data Privacy Framework (DPF)<\/h2>\n<p>USA har ingen generell adekvansbeslutning. Overf\u00f8ring til USA er bare \u00abfri\u00bb n\u00e5r mottakeren er sertifisert under EU\u2013US Data Privacy Framework. Er mottakeren ikke sertifisert, m\u00e5 overf\u00f8ringen bygge p\u00e5 et annet grunnlag, typisk SCC.<\/p>\n<p>Rundt 5 300 amerikanske virksomheter er sertifisert under ordningen. F\u00f8r du legger DPF til grunn, m\u00e5 du verifisere at den konkrete mottakeren faktisk st\u00e5r p\u00e5 DPF-listen, og at sertifiseringen dekker den aktuelle datatypen \u2013 HR-opplysninger krever for eksempel egen dekning.<\/p>\n<p>Det er knyttet en reell restrisiko til DPF. EU-domstolens underrett opprettholdt rammeverket 3. september 2025 (sak T-553\/23, Latombe), men dommen ble anket til EU-domstolen 31. oktober 2025, og anken er enn\u00e5 ikke avgjort. DPF gjelder inntil videre. Men gitt at b\u00e5de Safe Harbor (Schrems I) og Privacy Shield (Schrems II) tidligere ble kjent ugyldige, b\u00f8r virksomheter som er tungt avhengig av overf\u00f8ringer til USA ha en reservel\u00f8sning \u2013 SCC med overf\u00f8ringsvurdering \u2013 klar.<\/p>\n<h2>Standard personvernbestemmelser (SCC) \u2013 det vanligste verkt\u00f8yet<\/h2>\n<p>N\u00e5r det ikke finnes en adekvansbeslutning, er standard personvernbestemmelser (SCC) det vanligste overf\u00f8ringsgrunnlaget. Dette er ferdige kontraktsklausuler vedtatt av Kommisjonen, som partene inntar i avtalen seg imellom.<\/p>\n<p>Gjeldende SCC er fastsatt i Kommisjonens gjennomf\u00f8ringsbeslutning (EU) 2021\/914 av 4. juni 2021, med fire moduler som dekker ulike partskonstellasjoner (ansvarlig-til-ansvarlig, ansvarlig-til-databehandler, databehandler-til-databehandler og databehandler-til-ansvarlig). De gamle klausulene er opphevet, og overgangsperioden utl\u00f8p 27. desember 2022.<\/p>\n<p>SCC alene er ikke nok. Etter Schrems II-dommen (sak C-311\/18, 16. juli 2020) m\u00e5 eksport\u00f8ren gj\u00f8re en konkret overf\u00f8ringsvurdering: en vurdering av om retten i mottakerlandet \u2013 s\u00e6rlig myndighetenes tilgang til data \u2013 undergraver vernet klausulene skal gi. Avdekker vurderingen et gap, m\u00e5 eksport\u00f8ren iverksette tilleggstiltak, for eksempel sterk kryptering der eksport\u00f8ren beholder n\u00f8klene. EDPB Recommendations 01\/2020 gir en seks-trinns metodikk for dette. Vurderingen er eksport\u00f8rens eget ansvar og m\u00e5 kunne dokumenteres.<\/p>\n<h2>Sertifisering som overf\u00f8ringsgrunnlag<\/h2>\n<p>Sertifisering etter artikkel 46(2)(f) ble et reelt alternativ i 2026. Muligheten har st\u00e5tt i GDPR-teksten siden 2018, men forble teoretisk inntil EDPB for f\u00f8rste gang godkjente en konkret ordning.<\/p>\n<p>I Opinion 15\/2026 (vedtatt 15. april 2026) godkjente EDPB sertifiseringsordningen Europrivacy som grunnlag en dataimport\u00f8r utenfor E\u00d8S kan bruke etter artikkel 46(2)(f). Overf\u00f8ring kan f\u00f8rst skje n\u00e5r import\u00f8ren er sertifisert og har avgitt bindende og h\u00e5ndhevbare forpliktelser overfor eksport\u00f8ren.<\/p>\n<p>To forbehold er viktige. Sertifisering fjerner ikke Schrems II-vurderingen: eksport\u00f8ren m\u00e5 fortsatt vurdere tredjelandets rett og kontrollere at sertifikatet dekker den konkrete overf\u00f8ringen. Og ordningen er enn\u00e5 ikke ferdig operasjonalisert \u2013 akkreditering av sertifiseringsorganer gjenst\u00e5r \u2013 slik at sertifikater i praksis ikke er umiddelbart tilgjengelige. Vi g\u00e5r grundigere inn p\u00e5 dette i artikkelen <a href=\"https:\/\/nordialaw.com\/no\/sertifisering-som-overforingsgrunnlag\/\">\u00abSertifisering som overf\u00f8ringsgrunnlag\u00bb<\/a>.<\/p>\n<h2>Bindende virksomhetsregler og unntakene i artikkel 49<\/h2>\n<p>For konsern kan bindende virksomhetsregler (BCR) etter artikkel 46(2)(b) v\u00e6re et alternativ. BCR er interne, bindende regler for hele konsernet og krever forh\u00e5ndsgodkjenning fra ledende tilsynsmyndighet. Prosessen er ressurskrevende, men gir et varig grunnlag for konserninterne overf\u00f8ringer.<\/p>\n<p>Unntakene i artikkel 49 \u2013 blant annet uttrykkelig samtykke, n\u00f8dvendighet for \u00e5 oppfylle en kontrakt og fastsettelse eller forsvar av rettskrav \u2013 skal tolkes restriktivt. De er ment for enkeltst\u00e5ende situasjoner og egner seg ikke som grunnlag for systematiske eller gjentatte overf\u00f8ringer.<\/p>\n<h2>Hva b\u00f8r virksomheten gj\u00f8re?<\/h2>\n<ol>\n<li>Kartlegg overf\u00f8ringene: hvilke personopplysninger forlater E\u00d8S, eller gj\u00f8res tilgjengelig for akt\u00f8rer utenfor E\u00d8S \u2013 inkludert fjerntilgang og underdatabehandlere lenger ned i kjeden.<\/li>\n<li>Identifiser overf\u00f8ringsgrunnlaget for hver overf\u00f8ring: adekvansbeslutning, SCC, BCR eller sertifisering \u2013 og bruk unntakene i artikkel 49 bare unntaksvis.<\/li>\n<li>Gjennomf\u00f8r en overf\u00f8ringsvurdering der grunnlaget krever det (SCC, BCR og sertifisering), og dokumenter b\u00e5de vurderingen og eventuelle tilleggstiltak.<\/li>\n<li>Sikre at kravene f\u00f8lger med nedover i leverand\u00f8rkjeden: databehandleravtaler m\u00e5 forplikte underleverand\u00f8rer til samme beskyttelsesniv\u00e5.<\/li>\n<li>Etabler overv\u00e5king: adekvansbeslutninger kan endres, DPF er anket, og Storbritannia-beslutningen er tidsbegrenset \u2013 ha en reservel\u00f8sning klar for de kritiske overf\u00f8ringene.<\/li>\n<\/ol>\n<table style=\"width: 100%;border-collapse: collapse;margin: 26px 0 10px\" role=\"presentation\" width=\"100%\" cellspacing=\"0\" cellpadding=\"0\">\n<tbody>\n<tr>\n<td style=\"background-color: #f6f4f2;border-top: 3px solid #00224C;padding: 18px 22px\" bgcolor=\"#F6F4F2\">\n<p style=\"font-family: Georgia,'Times New Roman',serif;color: #00224c;font-weight: bold;font-size: 18px;margin: 0 0 8px\">Slik kan Nordia bist\u00e5<\/p>\n<p style=\"margin: 0 0 10px;font-size: 15px\">Nordia bist\u00e5r virksomheter i hele Norden med tredjelandsoverf\u00f8ringer \u2013 fra kartlegging og valg av overf\u00f8ringsgrunnlag til overf\u00f8ringsvurderinger etter Schrems II, utforming og gjennomgang av standardkontrakter (SCC) og databehandleravtaler, verifisering av DPF-sertifisering og personvernkonsekvensvurdering (DPIA) der behandlingen krever det. Vurderingen inng\u00e5r ogs\u00e5 i v\u00e5rt strukturerte AI-klar-rammeverk for virksomheter som tar i bruk sky- og AI-tjenester.<\/p>\n<p style=\"margin: 0;font-size: 15px\"><a href=\"https:\/\/nordialaw.com\/no\/people\/kjell-steffner\/\">Ta kontakt med v\u00e5rt personvernteam<\/a> \u00a0\u00b7\u00a0 <a href=\"https:\/\/nordialaw.com\/no\/personvern\/\">Se hele personverntilbudet v\u00e5rt<\/a><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Kilder:<\/strong> GDPR kapittel V (art. 44\u201349); <a href=\"https:\/\/commission.europa.eu\/law\/law-topic\/data-protection\/international-dimension-data-protection\/adequacy-decisions_en\">Europakommisjonens oversikt over adekvansbeslutninger<\/a>; <a href=\"https:\/\/www.edpb.europa.eu\/system\/files\/2023-02\/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf\">EDPB Guidelines 05\/2021<\/a>; EDPB Recommendations 01\/2020; EU-domstolen sak C-311\/18 (Schrems II); EU-domstolen sak T-553\/23 (Latombe); Kommisjonens gjennomf\u00f8ringsbeslutning (EU) 2021\/914 (SCC); EDPB Opinion 15\/2026 (Europrivacy).<\/p>\n\n        <\/div>\n    <\/div>\n<\/div>\n\n<div class=\"title-excerpt\">\n\t\n\t<\/div>","protected":false},"excerpt":{"rendered":"","protected":false},"author":12,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"class_list":["post-20792","page","type-page","status-publish","hentry"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v27.8 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Overf\u00f8ring til tredjeland: regler og grunnlag (2026)<\/title>\n<meta name=\"description\" content=\"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/\" \/>\n<meta property=\"og:locale\" content=\"nb_NO\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Overf\u00f8ring til tredjeland: regler og grunnlag (2026)\" \/>\n<meta property=\"og:description\" content=\"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/\" \/>\n<meta property=\"og:site_name\" content=\"Nordia Law\" \/>\n<meta property=\"article:modified_time\" content=\"2026-06-09T16:06:37+00:00\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Ansl. lesetid\" \/>\n\t<meta name=\"twitter:data1\" content=\"7 minutter\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/nordialaw.com\\\/no\\\/overforing-til-tredjeland\\\/\",\"url\":\"https:\\\/\\\/nordialaw.com\\\/no\\\/overforing-til-tredjeland\\\/\",\"name\":\"Overf\u00f8ring til tredjeland: regler og grunnlag (2026)\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#website\"},\"datePublished\":\"2026-06-06T16:14:31+00:00\",\"dateModified\":\"2026-06-09T16:06:37+00:00\",\"description\":\"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/nordialaw.com\\\/no\\\/overforing-til-tredjeland\\\/#breadcrumb\"},\"inLanguage\":\"nb-NO\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/nordialaw.com\\\/no\\\/overforing-til-tredjeland\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/nordialaw.com\\\/no\\\/overforing-til-tredjeland\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/nordialaw.com\\\/no\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Overf\u00f8ring til tredjeland\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#website\",\"url\":\"https:\\\/\\\/nordialaw.com\\\/\",\"name\":\"Nordia Law\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/nordialaw.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"nb-NO\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#organization\",\"name\":\"Nordia Law\",\"url\":\"https:\\\/\\\/nordialaw.com\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"nb-NO\",\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/nordialaw.com\\\/wp-content\\\/uploads\\\/2021\\\/09\\\/Layer-1.svg\",\"contentUrl\":\"https:\\\/\\\/nordialaw.com\\\/wp-content\\\/uploads\\\/2021\\\/09\\\/Layer-1.svg\",\"width\":197,\"height\":45,\"caption\":\"Nordia Law\"},\"image\":{\"@id\":\"https:\\\/\\\/nordialaw.com\\\/#\\\/schema\\\/logo\\\/image\\\/\"}}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Overf\u00f8ring til tredjeland: regler og grunnlag (2026)","description":"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/","og_locale":"nb_NO","og_type":"article","og_title":"Overf\u00f8ring til tredjeland: regler og grunnlag (2026)","og_description":"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.","og_url":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/","og_site_name":"Nordia Law","article_modified_time":"2026-06-09T16:06:37+00:00","twitter_card":"summary_large_image","twitter_misc":{"Ansl. lesetid":"7 minutter"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/","url":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/","name":"Overf\u00f8ring til tredjeland: regler og grunnlag (2026)","isPartOf":{"@id":"https:\/\/nordialaw.com\/#website"},"datePublished":"2026-06-06T16:14:31+00:00","dateModified":"2026-06-09T16:06:37+00:00","description":"Overf\u00f8ring til tredjeland krever et gyldig grunnlag etter GDPR. Oversikt over adekvansbeslutning, SCC, DPF og sertifisering \u2013 og hva som gjelder i 2026.","breadcrumb":{"@id":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/#breadcrumb"},"inLanguage":"nb-NO","potentialAction":[{"@type":"ReadAction","target":["https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/nordialaw.com\/no\/overforing-til-tredjeland\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/nordialaw.com\/no\/"},{"@type":"ListItem","position":2,"name":"Overf\u00f8ring til tredjeland"}]},{"@type":"WebSite","@id":"https:\/\/nordialaw.com\/#website","url":"https:\/\/nordialaw.com\/","name":"Nordia Law","description":"","publisher":{"@id":"https:\/\/nordialaw.com\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/nordialaw.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"nb-NO"},{"@type":"Organization","@id":"https:\/\/nordialaw.com\/#organization","name":"Nordia Law","url":"https:\/\/nordialaw.com\/","logo":{"@type":"ImageObject","inLanguage":"nb-NO","@id":"https:\/\/nordialaw.com\/#\/schema\/logo\/image\/","url":"https:\/\/nordialaw.com\/wp-content\/uploads\/2021\/09\/Layer-1.svg","contentUrl":"https:\/\/nordialaw.com\/wp-content\/uploads\/2021\/09\/Layer-1.svg","width":197,"height":45,"caption":"Nordia Law"},"image":{"@id":"https:\/\/nordialaw.com\/#\/schema\/logo\/image\/"}}]}},"_links":{"self":[{"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/pages\/20792","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/comments?post=20792"}],"version-history":[{"count":4,"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/pages\/20792\/revisions"}],"predecessor-version":[{"id":20835,"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/pages\/20792\/revisions\/20835"}],"wp:attachment":[{"href":"https:\/\/nordialaw.com\/no\/wp-json\/wp\/v2\/media?parent=20792"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}