Det föreligger ett principiellt förbud mot överföring till tredjeland enligt GDPR om den inte är tillåten enligt vissa förutsättningar. Överföring till tredjeland får endast ske:

• Om EU-kommissionen har fattat beslut om att det aktuella landet har adekvat skyddsnivå.
• Om det har vidtagits lämpliga skyddsåtgärder, och att det finns lagstadgade rättigheter och möjlighet för enskilda att klaga på personuppgiftsbehandlingen och få den prövad i domstol i landet där personuppgifterna överförts.

Exempel på lämpliga skyddsåtgärder:

• EU-kommissionens standardavtalsklausuler
• Bindande företagsbestämmelser
• Godkända uppförandekoder eller certifieringsmekanismer
• Rättsligt bindande instrument mellan myndigheter
• Särskilt tillstånd från Integritetsskyddsmyndigheten, efter yttrande från europeiska dataskyddsstyrelsen

I vissa särskilda fall och enstaka överföringar – endast undantagsfall. 

Samma förutsättningar gäller även för vidareöverföring från tredjelandet till ett annat tredjeland eller en annan internationell organisation.

Bestämmelserna för tredjelandsöverföring finns i Avdelning V i GDPR. 

Integritetsskyddsmyndighetens information om överföring till tredjeländer