Kort sagt:<\/strong><\/p>\n L\u00e4s mer om Evertrust<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n Standardavtalsklausuler \u00e4r f\u00f6rhandsgodk\u00e4nda avtalstexter som Europeiska kommissionen tagit fram f\u00f6r att reglera \u00f6verf\u00f6ring av personuppgifter till tredjeland. De h\u00f6r hemma i dataskyddsf\u00f6rordningens kapitel V, artiklarna 44 till 49, som handlar om internationella data\u00f6verf\u00f6ringar. Det nya beslutet fr\u00e5n kommissionen, genomf\u00f6randebeslut 2021\/914<\/a>, antogs den 4 juni 2021 och innebar att de gamla klausulerna fr\u00e5n 2001 och 2010 fasades ut. Sedan den 27 december 2022 g\u00e4ller enbart de moderniserade klausulerna f\u00f6r nya och existerande avtal.<\/p>\n SCC \u00e4r inte samma sak som ett adekvansbeslut enligt artikel 45, d\u00e4r kommissionen bed\u00f6mt att ett helt land har en skyddsniv\u00e5 som motsvarar EU:s. SCC \u00e4r ist\u00e4llet ett avtalsbaserat skydd du sj\u00e4lv ansvarar f\u00f6r att det fungerar i praktiken. Andra verktyg finns ocks\u00e5:<\/p>\n SCC r\u00e4cker inte ensamt om mottagarlandets lagstiftning ger myndigheter oproportionerlig \u00e5tkomst till uppgifterna. D\u00e5 kr\u00e4vs kompletterande \u00e5tg\u00e4rder, vilket \u00e4r sj\u00e4lva k\u00e4rnan i resten av den h\u00e4r guiden.<\/p>\n De moderniserade klausulerna \u00e4r byggda som ett modulsystem. Du v\u00e4ljer den modul som matchar rollerna i ditt datafl\u00f6de, och det \u00e4r ett val som avg\u00f6r vilka skyldigheter som g\u00e4ller.<\/p>\n Sj\u00e4lva klausultexten \u00e4r l\u00e5st, men bilagorna \u00e4r d\u00e4r det faktiska skyddet avg\u00f6rs. Bilaga I ska beskriva parterna, \u00e4ndam\u00e5len, kategorierna av personuppgifter och lagringstider konkret, inte som generiska formuleringar kopierade fr\u00e5n en mall. Bilaga II ska lista de tekniska och organisatoriska s\u00e4kerhets\u00e5tg\u00e4rderna, och den m\u00e5ste h\u00e5lla ihop med det du faktiskt gjort i infrastrukturen. Flow-down-kraven inneb\u00e4r att underbitr\u00e4den binds av samma skyldigheter, vilket kr\u00e4ver att du faktiskt kontrollerar avtalskedjan bak\u00e5t.<\/p>\n Proffstips:<\/strong> Skriv aldrig \u201cl\u00e4mplig kryptering\u201d i bilaga II. Ange algoritm, var nycklarna f\u00f6rvaras och vem som har administrativ \u00e5tkomst. En tillsynsmyndighet som l\u00e4ser en vag formulering tolkar den som att inget konkret finns p\u00e5 plats.<\/em><\/p>\n En TIA \u00e4r den dokumenterade bed\u00f6mningen av om SCC faktiskt ger ett skydd som motsvarar EU:s niv\u00e5 i det specifika mottagarlandet. Kravet f\u00f6ljer direkt av EU-domstolens dom i Schrems II (C-311\/18), som slog fast att avtalsklausuler inte automatiskt v\u00e4ger upp brister i ett lands lagstiftning om statlig \u00f6vervakning.<\/p>\n En fungerande TIA g\u00e5r igenom flera steg:<\/p>\n EDPB:s riktlinjer 05\/2021 betonar att bed\u00f6mningen ska vara dokumenterad och konkret kopplad till den faktiska situationen, inte en generell branschanalys. En robust TIA v\u00e4ger b\u00e5de juridiken i mottagarlandet och den tekniska verkligheten, och slutsatsen ska f\u00f6ljas av en tidsplan f\u00f6r n\u00e4r den ska ompr\u00f6vas.<\/p>\n IMY:s v\u00e4gledning om tredjelands\u00f6verf\u00f6ring<\/a> \u00e4r tydlig p\u00e5 en punkt: SCC kan fungera som l\u00e4mpliga skydds\u00e5tg\u00e4rder enligt artikel 46, men om skyddsniv\u00e5n i mottagarlandet inte r\u00e4cker m\u00e5ste du l\u00e4gga till ytterligare \u00e5tg\u00e4rder. Det g\u00e4ller oavsett hur v\u00e4l utformade klausulerna i sig \u00e4r.<\/p>\n EDPB:s rekommendation 01\/2020 listar konkreta kompletterande \u00e5tg\u00e4rder, och de flesta svenska verksamheter landar i en kombination av f\u00f6ljande:<\/p>\n I praktisk granskning r\u00e4cker generell kryptering s\u00e4llan som bevis. Analyser av svenska moln- och SaaS-scenarier<\/a> visar att tillsynen vill se att nycklarna faktiskt kontrolleras inom EU, och att underleverant\u00f6ren tekniskt inte kan dekryptera data utan en process du styr.<\/p>\n Proffstips:<\/strong> Testa dina tekniska \u00e5tg\u00e4rder som om du sj\u00e4lv var tillsynsmyndigheten. Be din IT-avdelning visa, inte bara beskriva, att en anst\u00e4lld hos leverant\u00f6ren utanf\u00f6r EU inte kan l\u00e4sa klartext utan din uttryckliga medverkan.<\/em><\/p>\n Ibland r\u00e4cker inte tekniken. Om mottagarlandets lagstiftning ger myndigheter r\u00e4tt att kr\u00e4va nycklar direkt av leverant\u00f6ren, oavsett tekniska hinder, kvarst\u00e5r risken. D\u00e5 \u00e4r slutsatsen ofta att \u00f6verf\u00f6ringen b\u00f6r begr\u00e4nsas eller avbrytas helt.<\/p>\n En praktisk genomg\u00e5ng av tredjelands\u00f6verf\u00f6ring<\/a> och TIA-processen kan fungera som st\u00f6d n\u00e4r du tar fram mallar f\u00f6r punkterna ovan.<\/p>\n Det vanligaste misstaget vi ser \u00e4r juridisk \u201ccheck-the-box\u201d: klausulerna \u00e4r underskrivna, men ingen har kopplat dem till hur infrastrukturen faktiskt fungerar. Bilaga II beskriver \u00e5tg\u00e4rder som IT-avdelningen aldrig implementerat, eller som implementerades f\u00f6r ett annat system.<\/p>\n Det som \u00f6vertygar en tillsynsmyndighet \u00e4r inte avtalstexten i sig, utan konfigurationsutdrag fr\u00e5n nyckelhanteringssystemet, loggar som visar begr\u00e4nsad \u00e5tkomst, och en TIA med en tydlig slutsats och en daterad \u00e5tg\u00e4rdsplan. Ett SCC-paket utan den dokumentationen \u00e4r juridiskt korrekt p\u00e5 papper men sv\u00e5rt att f\u00f6rsvara i praktiken.<\/p>\n<\/blockquote>\n Det som fungerar b\u00e4st \u00e4r n\u00e4r juridik, IT och leverant\u00f6rskontroll arbetar tillsammans fr\u00e5n start, inte i separata sp\u00e5r som m\u00f6ts f\u00f6rst n\u00e4r en revision redan \u00e4r bokad.<\/p>\n Jag rekommenderar extern r\u00e5dgivning n\u00e4r datafl\u00f6det g\u00e5r genom flera underleverant\u00f6rer, eller n\u00e4r data \u00e4r k\u00e4nslig nog att en felaktig TIA-slutsats blir kostsam. De flesta interna teamen klarar enkla tv\u00e5partsfl\u00f6den sj\u00e4lva. Sv\u00e5righeten uppst\u00e5r i leverant\u00f6rskedjor med tre eller fler led, d\u00e4r ansvaret f\u00f6r flow-down och teknisk verifiering l\u00e4tt hamnar mellan stolarna. Arbetsf\u00f6rdelningen b\u00f6r vara tydlig: juridik \u00e4ger klausultext och bilagor, IT \u00e4ger de tekniska bevisen, och n\u00e5gon m\u00e5ste \u00e4ga helheten.<\/p>\n \u2014 Jesper<\/em><\/p>\n<\/blockquote>\n Evertrust \u00e4r alternativet till att bygga upp SCC-arbetet helt internt, utan juridisk eller teknisk motpart att st\u00e4mma av med. Vi kombinerar juridisk spetskompetens inom dataskydd med praktisk teknisk f\u00f6rst\u00e5else, vilket betyder att du f\u00e5r en TIA som faktiskt h\u00e5ller ihop med din infrastruktur, inte bara med avtalstexten.<\/p>\n V\u00e5rt arbete med tredjelands\u00f6verf\u00f6ringar f\u00f6ljer normalt samma process oavsett bransch: vi kartl\u00e4gger dina fl\u00f6den, genomf\u00f6r en dokumenterad TIA, tar fram en \u00e5tg\u00e4rdsplan f\u00f6r tekniska och organisatoriska brister, och hj\u00e4lper dig fylla bilagorna med konkreta uppgifter i st\u00e4llet f\u00f6r mallformuleringar. Vid mer komplexa leverant\u00f6rskedjor kan en risk- och konsekvensbed\u00f6mning<\/a> identifiera var flow-down-kraven faller, och v\u00e5r plattform Trustview<\/a> ger dig l\u00f6pande \u00f6versikt \u00f6ver vilka \u00f6verf\u00f6ringar som beh\u00f6ver ompr\u00f6vas.<\/p>\n Beh\u00f6ver ni extern hj\u00e4lp med SCC-bilagor, TIA eller teknisk implementation? Boka ett samtal via v\u00e5ra r\u00e5dgivningstj\u00e4nster<\/a> och f\u00e5 en konkret bed\u00f6mning av var era \u00f6verf\u00f6ringar st\u00e5r idag.<\/p>\n L\u00e4s kommissionens fr\u00e5gor och svar om SCC f\u00f6r tolkningsst\u00f6d, EDPB:s rekommendation 01\/2020 f\u00f6r kompletterande \u00e5tg\u00e4rder, och IMY:s v\u00e4gledning f\u00f6r svensk tillsynspraxis.<\/p>\n This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.<\/p>\n Den registrerade har r\u00e4tt att f\u00e5 sina personuppgifter raderade under vissa f\u00f6ruts\u00e4ttningar, till exempel n\u00e4r uppgifterna inte l\u00e4ngre \u00e4r n\u00f6dv\u00e4ndiga f\u00f6r det ursprungliga \u00e4ndam\u00e5let. R\u00e4tten g\u00e4ller inte fullt ut om det finns en r\u00e4ttslig skyldighet att spara uppgifterna, vilket ofta \u00e4r relevant vid dokumentation av \u00f6verf\u00f6ringsbeslut.<\/p>\n Den registrerade har r\u00e4tt att f\u00e5 bekr\u00e4ftat om deras uppgifter behandlas, och i s\u00e5 fall f\u00e5 tillg\u00e5ng till uppgifterna samt information om \u00e4ndam\u00e5l, mottagare och lagringstid. Vid tredjelands\u00f6verf\u00f6ring omfattar detta \u00e4ven r\u00e4tt till information om vilka skydds\u00e5tg\u00e4rder, som SCC, som till\u00e4mpas.<\/p>\n De centrala principerna \u00e4r laglighet och korrekthet, \u00e4ndam\u00e5lsbegr\u00e4nsning, uppgiftsminimering, korrekthet och lagringsminimering, samt integritet och konfidentialitet. Vid internationella \u00f6verf\u00f6ringar blir uppgiftsminimering och konfidentialitet s\u00e4rskilt viktiga, eftersom de direkt p\u00e5verkar hur stor risk en \u00f6verf\u00f6ring inneb\u00e4r.<\/p>\n Ja, GDPR \u00e4r den engelska f\u00f6rkortningen f\u00f6r den EU-f\u00f6rordning som p\u00e5 svenska kallas dataskyddsf\u00f6rordningen. Det \u00e4r samma r\u00e4ttsakt, och standardavtalsklausulerna \u00e4r ett verktyg som f\u00f6ljer direkt av dess kapitel V.<\/p>\n Efter Schrems II f\u00f6rv\u00e4ntas du normalt g\u00f6ra en dokumenterad \u00f6verf\u00f6ringsbed\u00f6mning f\u00f6r att visa att SCC ger ett faktiskt skydd i det specifika mottagarlandet, enligt EDPB:s riktlinjer. Att hoppa \u00f6ver steget l\u00e4mnar dig utan underlag om en tillsynsmyndighet ifr\u00e5gas\u00e4tter \u00f6verf\u00f6ringen.<\/p>\n Priset beror p\u00e5 hur m\u00e5nga \u00f6verf\u00f6ringsrelationer och leverant\u00f6rsled som ska kartl\u00e4ggas, s\u00e5 aktuella priser finns via Evertrusts r\u00e5dgivningstj\u00e4nster. D\u00e4r kan du ocks\u00e5 boka en inledande genomg\u00e5ng av era befintliga SCC-avtal.<\/p>\n Se vad EU:s standardavtalsklausuler enligt GDPR kr\u00e4ver 2026: kartl\u00e4gg \u00f6verf\u00f6ringar, g\u00f6r \u00f6verf\u00f6ringsbed\u00f6mning och s\u00e4kra data.<\/p>","protected":false},"author":2,"featured_media":8438,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8437","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8437","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8437"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8437\/revisions"}],"predecessor-version":[{"id":8440,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8437\/revisions\/8440"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8438"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8437"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8437"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8437"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\nInneh\u00e5llsf\u00f6rteckning<\/h2>\n
\n
Vad \u00e4r standardavtalsklausuler (SCC) och vilken r\u00e4ttslig grund har de?<\/h2>\n
\n
Moduler, bilagor och praktiska krav i ett SCC-paket<\/h2>\n
\n
Transfer Impact Assessment: inneh\u00e5ll, bed\u00f6mningskriterier och koppling till Schrems II<\/h2>\n
\n
Tekniska och organisatoriska \u00e5tg\u00e4rder som faktiskt minskar risk<\/h2>\n
\n
Checklista: s\u00e5 genomf\u00f6r du SCC-arbetet steg f\u00f6r steg<\/h2>\n
\n
Evertrusts erfarenheter: vanliga misstag och vad tillsynen vill se<\/h2>\n
\n
Mitt perspektiv: n\u00e4r \u00e4r extern hj\u00e4lp motiverad?<\/h2>\n
\n
S\u00e5 kan Evertrust hj\u00e4lpa dig med SCC och TIA<\/h2>\n
![\"Evertrust\"](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\")
<\/p>\n![\"S\u00e5](\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/09\/1789722428884_Sa-kan-Evertrust-hjalpa-dig-med-SCC-och-TIA-overview-diagram.jpeg\")
<\/p>\nViktigaste myndighetsk\u00e4llorna<\/h2>\n
K\u00e4llor<\/h2>\n
\n
Vanliga fr\u00e5gor<\/h2>\n
Vad s\u00e4ger artikel 17 i dataskyddsf\u00f6rordningen?<\/h3>\n
Vad s\u00e4ger artikel 15 i dataskyddsf\u00f6rordningen (GDPR)?<\/h3>\n
Vilka \u00e4r de fem viktigaste principerna f\u00f6r dataskydd?<\/h3>\n
\u00c4r dataskyddsf\u00f6rordningen och GDPR samma sak?<\/h3>\n
M\u00e5ste vi alltid g\u00f6ra en TIA om vi anv\u00e4nder SCC?<\/h3>\n
Vad kostar det att anlita Evertrust f\u00f6r SCC-arbete?<\/h3>\n
Rekommendationer<\/h2>\n
\n