Compliance-guide

GDPR og outsourcing til Kosovo

Kosovo har en moderne databeskyttelseslov, der tæt følger GDPR, men ingen tilstrækkelighedsafgørelse fra EU. Det betyder, at overførsler fra EU, Storbritannien eller Schweiz er lovlige, når de rette kontrakter og sikkerhedsforanstaltninger er på plads. Denne guide forklarer, hvad det kræver.

Spørg til vores databeskyttelsesopsætning Se trinene

Hvorfor Kosovo Risici ved outsourcing Faktaark om Kosovo Ordliste

Kan EU-virksomheder outsource til Kosovo under GDPR?

Ja. Kosovos lov nr. 06/L-082 er tæt modelleret efter GDPR, men Kosovo har ingen EU-tilstrækkelighedsafgørelse, så overførsler kræver et overførselsgrundlag. EU-virksomheder underskriver typisk en databehandleraftale og Europa-Kommissionens standardkontraktbestemmelser, dokumenterer en vurdering af overførselsrisici og holder data i deres egne systemer med strenge adgangskontroller.

Kosovos lov: Lov nr. 06/L-082 om beskyttelse af personoplysninger (2019)
Tilsynsmyndighed: Informations- og Privatlivsagenturet (AIP)
EU-tilstrækkelighed: Ingen; brug standardkontraktbestemmelser
Kræves også: Databehandleraftale, vurdering af overførselsrisici

Sådan opsætter I en lovlig overførsel, trin for trin

Dette er generel information og ikke juridisk rådgivning. Jeres databeskyttelsesrådgiver eller advokat bør bekræfte opsætningen for jeres situation.

Kortlæg data
Før kontrakten
Beskriv, hvilke personoplysninger teamet får adgang til, hvem de tilhører, hvorfor de er nødvendige, og i hvilke systemer de forbliver. Mindre adgang giver lavere risiko og enklere dokumentation.
Underskriv en databehandleraftale
Sammen med kontrakten
Artikel 28 i GDPR kræver en kontrakt, der fastlægger behandlingen, instrukserne, fortrolighed, sikkerhed, underdatabehandlere og bistand ved anmodninger fra registrerede.
Tilføj et overførselsgrundlag
Sammen med kontrakten
Fordi Kosovo ikke har en tilstrækkelighedsafgørelse, bruger overførsler fra EU som regel Europa-Kommissionens standardkontraktbestemmelser. Overførsler fra Storbritannien bruger det britiske tillæg eller Storbritanniens egen overførselsaftale.
Vurder overførslen
Før opstart
Udarbejd en dokumenteret risikovurdering af overførslen, der ser på Kosovos lovgivning og praksis og på de indførte sikkerhedsforanstaltninger, f.eks. adgangskontrol og kryptering.
Indfør tekniske kontroller
Før opstart
Personlige konti med multifaktorgodkendelse, mindst mulige rettigheder, administrerede enheder, logning og data, der så vidt muligt bliver i jeres egne systemer.
Gennemgå løbende
Hvert år
Kontrollér igen adgangsrettigheder, underdatabehandlere, hændelser og ændringer i lovgivningen, og opdater fortegnelsen over behandlingsaktiviteter og vurderingen.

Hvad dataansvarlige bør tjekke

Kontrakter gør en overførsel lovlig; daglige kontroller gør den sikker. Begge dele har betydning.

Hvad dækker Kosovos databeskyttelseslov?

Lov nr. 06/L-082 fastsætter principper, behandlingsgrundlag, de registreredes rettigheder, sikkerhedsforpligtelser og håndtering af brud på samme måde som GDPR og giver Informations- og Privatlivsagenturet beføjelser til tilsyn og håndhævelse. En leverandør i Kosovo er bundet af den for sin egen behandling, ud over kontrakten med jer.

Hvad bør databehandleraftalen dække?

Genstand, varighed, karakter og formål med behandlingen
Typer af personoplysninger og kategorier af registrerede
Behandling kun efter jeres dokumenterede instruks
Fortrolighed for alle med adgang
Sikkerhedsforanstaltninger, beskrevet konkret
Regler for underdatabehandlere og jeres ret til at gøre indsigelse
Bistand ved anmodninger fra registrerede, brud og vurderinger
Tilbagelevering eller sletning af data ved ophør samt revisionsret

Hvilke tekniske kontroller bør I forvente?

Personlige konti, single sign-on og multifaktorgodkendelse
Adgang begrænset til de køer og felter, hver rolle har brug for
Administrerede, krypterede enheder og begrænsninger på lokale downloads
Logning af adgang og regelmæssig gennemgang af adgangsrettigheder
Klare procedurer for fratrædende medarbejdere og for rapportering af hændelser inden for aftalte frister

Læs videre

Hvad med særlige kategorier af data?

Sundhedsdata, finansielle data eller andre følsomme data kræver et nærmere kig: en konsekvensanalyse for databeskyttelse, strengere adgang og i nogle tilfælde pseudonymisering eller maskering i de værktøjer, teamet bruger. Visse regulerede opgaver skal muligvis blive internt eller i hjemlandet; afgør det, før teamet afgrænses.

Databeskyttelse og Kosovo: ofte stillede spørgsmål

Er Kosovo i overensstemmelse med GDPR?

Kosovo er ikke medlem af EU, så GDPR gælder ikke direkte der. Kosovos egen lov nr. 06/L-082 om beskyttelse af personoplysninger, der har været i kraft siden 2019, følger tæt GDPR og håndhæves af Informations- og Privatlivsagenturet. EU-virksomheder kan lovligt overføre data til Kosovo med de rette sikkerhedsforanstaltninger.

Har Kosovo en tilstrækkelighedsafgørelse fra EU?

Nej. Europa-Kommissionen har ikke vedtaget en tilstrækkelighedsafgørelse for Kosovo. Overførsler fra EU kræver derfor et andet overførselsgrundlag, som regel standardkontraktbestemmelserne, sammen med en risikovurdering af overførslen og passende tekniske og organisatoriske foranstaltninger.

Hvilke standardkontraktbestemmelser gælder ved outsourcing til Kosovo?

Når en EU-virksomhed er dataansvarlig, og leverandøren i Kosovo behandler data på dens vegne, er modulet fra dataansvarlig til databehandler i Europa-Kommissionens standardkontraktbestemmelser fra 2021 det sædvanlige valg. Jeres rådgiver bør bekræfte modulet og udfylde bilagene for jeres behandling.

Kan britiske og schweiziske virksomheder outsource til Kosovo?

Ja. Britiske virksomheder bruger typisk Storbritanniens International Data Transfer Agreement eller det britiske tillæg til EU-bestemmelserne. Schweiziske virksomheder kan støtte sig til EU's standardkontraktbestemmelser med de tilpasninger, som den schweiziske databeskyttelseslov kræver. Begge har også brug for en databehandleraftale.

Skal data forlade jeres systemer?

Som regel ikke. I de fleste outsourcingopsætninger logger medarbejderne ind i kundens egen helpdesk, CRM eller ERP, så data bliver i kundens systemer og kun ses eller redigeres på afstand. Fjernadgang fra Kosovo er stadig en overførsel efter GDPR, men den holder eksponeringen lav.

Kilder

Juridiske henvisninger på denne side linker til de officielle kilder. Love og vejledninger ændrer sig, så tjek de gældende versioner.

Informations- og Privatlivsagenturet (lov nr. 06/L-082), Republikken Kosovo
Tilstrækkelighedsafgørelser, Europa-Kommissionen
Standardkontraktbestemmelser for internationale overførsler, Europa-Kommissionen
Anbefalinger 01/2020 om supplerende foranstaltninger ved overførsler, Det Europæiske Databeskyttelsesråd
Vejledning om internationale overførsler, herunder IDTA og tillæg, Information Commissioner's Office, Storbritannien

Har I brug for vores databeskyttelsesdokumenter?

Bed om vores databehandleraftale og sikkerhedsoversigt. Jeres databeskyttelsesrådgiver kan gennemgå dem, før I forpligter jer.

Anmod om dokumenter Hvorfor Kosovo