Guide til etterlevelse

GDPR og outsourcing til Kosovo

Kosovo har en moderne personvernlov som er tett modellert etter GDPR, men har ikke noe tilstrekkelighetsvedtak fra EU. Det betyr at overføringer fra EU, Storbritannia eller Sveits er lovlige med de riktige avtalene og sikkerhetstiltakene på plass. Denne guiden forklarer hva de er.

Spør om personvernoppsettet vårt Se trinnene

Hvorfor Kosovo Risiko ved outsourcing Faktaark om Kosovo Ordliste

Kan EU-selskaper outsource til Kosovo under GDPR?

Ja. Kosovos lov nr. 06/L-082 er tett modellert etter GDPR, men Kosovo har ikke noe tilstrekkelighetsvedtak fra EU, så overføringer krever et overføringsgrunnlag. EU-selskaper signerer vanligvis en databehandleravtale og Europakommisjonens standardkontraktsbestemmelser, dokumenterer en vurdering av overføringsrisiko og holder dataene i sine egne systemer med streng tilgangskontroll.

Kosovos lov: Lov nr. 06/L-082 om beskyttelse av personopplysninger (2019)
Tilsynsmyndighet: Informasjons- og personvernbyrået (AIP)
EU-tilstrekkelighet: Ingen; bruk standardkontraktsbestemmelser
Kreves også: Databehandleravtale, vurdering av overføringsrisiko

Slik setter dere opp en lovlig overføring, trinn for trinn

Dette er generell informasjon, ikke juridisk rådgivning. Personvernombudet eller juristen deres bør bekrefte oppsettet for deres situasjon.

Kartlegg dataene
Før kontrakten
List hvilke personopplysninger teamet vil se, hvem de tilhører, hvorfor de trengs og i hvilke systemer de blir værende. Mindre tilgang gir mindre risiko og enklere dokumentasjon.
Undertegn en databehandleravtale
Sammen med kontrakten
Artikkel 28 i GDPR krever en avtale som fastsetter behandlingen, instruksene, taushetsplikten, sikkerheten, underleverandørene og bistand ved forespørsler fra registrerte.
Legg til et overføringsgrunnlag
Sammen med kontrakten
Fordi Kosovo ikke har noe tilstrekkelighetsvedtak, bruker overføringer fra EU vanligvis EU-kommisjonens standard personvernbestemmelser (SCC). Overføringer fra Storbritannia bruker det britiske tillegget eller Storbritannias egen overføringsavtale.
Vurder overføringen
Før oppstart
Dokumenter en risikovurdering av overføringen som ser på Kosovos lovgivning og praksis og på sikkerhetstiltakene som er på plass, som tilgangskontroll og kryptering.
Innfør tekniske kontroller
Før oppstart
Personlige kontoer med flerfaktorautentisering, tilgang med minst mulig rettigheter, administrerte enheter, logging og data som holdes i egne systemer så langt det er mulig.
Gå gjennom jevnlig
Hvert år
Kontroller tilgangsrettigheter, underleverandører, hendelser og eventuelle lovendringer på nytt, og oppdater behandlingsprotokollene og vurderingen.

Hva behandlingsansvarlige bør sjekke

Kontrakter gjør en overføring lovlig, mens daglige kontroller gjør den trygg. Begge deler er viktig.

Hva dekker Kosovos personvernlov?

Lov nr. 06/L-082 fastsetter prinsipper, behandlingsgrunnlag, rettigheter for registrerte, sikkerhetsplikter og håndtering av brudd på linje med GDPR, og gir Informasjons- og personvernbyrået myndighet til tilsyn og håndheving. En leverandør i Kosovo er bundet av den for sin egen behandling, i tillegg til kontrakten med dere.

Hva bør databehandleravtalen dekke?

Behandlingens gjenstand, varighet, art og formål
Typer personopplysninger og kategorier av registrerte
Behandling bare etter deres dokumenterte instrukser
Taushetsplikt for alle med tilgang
Sikkerhetstiltak, beskrevet konkret
Regler for underdatabehandlere og retten deres til å protestere
Hjelp med forespørsler fra registrerte, avvik og vurderinger
Retur eller sletting av data ved avslutning, og revisjonsrettigheter

Hvilke tekniske kontroller bør dere forvente?

Personlige kontoer, single sign-on og flerfaktorautentisering
Tilgang begrenset til de køene og feltene hver rolle trenger
Administrerte, krypterte enheter og begrensninger på lokale nedlastinger
Logging av tilgang og jevnlige gjennomganger av tilgang
Tydelige rutiner for dem som slutter og for rapportering av hendelser innen avtalte frister

Les videre

Hva med særlige kategorier av data?

Helseopplysninger, finansielle eller andre sensitive data krever en nærmere vurdering: en personvernkonsekvensvurdering, strengere tilgang og noen ganger pseudonymisering eller maskering i verktøyene teamet bruker. Noe regulert arbeid må kanskje bli internt eller i eget land. Avgjør dette før dere definerer omfanget av teamet.

Personvern og Kosovo: vanlige spørsmål

Er Kosovo i samsvar med GDPR?

Kosovo er ikke med i EU, så GDPR gjelder ikke direkte der. Kosovos egen lov nr. 06/L-082 om vern av personopplysninger, som har vært i kraft siden 2019, er tett modellert etter GDPR og håndheves av Informasjons- og personvernbyrået. Selskaper i EU kan overføre data til Kosovo på lovlig vis med de riktige sikkerhetstiltakene.

Har Kosovo et tilstrekkelighetsvedtak fra EU?

Nei. EU-kommisjonen har ikke vedtatt et tilstrekkelighetsvedtak for Kosovo. Overføringer fra EU trenger derfor et annet overføringsgrunnlag, vanligvis standard personvernbestemmelser (SCC), sammen med en risikovurdering av overføringen og egnede tekniske og organisatoriske tiltak.

Hvilke standard personvernbestemmelser gjelder ved outsourcing til Kosovo?

Når et selskap i EU er behandlingsansvarlig og leverandøren i Kosovo behandler data på vegne av det, er modulen fra behandlingsansvarlig til databehandler i EU-kommisjonens SCC fra 2021 det vanlige valget. Juristen deres bør bekrefte modulen og fylle ut vedleggene for behandlingen deres.

Kan selskaper i Storbritannia og Sveits outsource til Kosovo?

Ja. Britiske selskaper bruker vanligvis Storbritannias internasjonale avtale om dataoverføring (IDTA) eller det britiske tillegget til EU-bestemmelsene. Sveitsiske selskaper kan bruke EU-bestemmelsene (SCC) med de tilpasningene som kreves etter den sveitsiske loven om personvern. Begge trenger også en databehandleravtale.

Må dataene forlate systemene deres?

Vanligvis ikke. I de fleste outsourcingoppsett logger agentene seg inn i kundens egen helpdesk, CRM eller ERP, slik at dataene blir i kundens systemer og bare vises eller redigeres eksternt. Fjerntilgang fra Kosovo er likevel en overføring etter GDPR, men den holder eksponeringen lav.

Kilder

Juridiske henvisninger på denne siden lenker til de offisielle kildene. Lover og veiledninger endres, så kontroller de gjeldende versjonene.

Informasjons- og personvernbyrået (lov nr. 06/L-082), Republikken Kosovo
Tilstrekkelighetsvedtak, Europakommisjonen
Standard personvernbestemmelser for internasjonale overføringer, Europakommisjonen
Anbefalinger 01/2020 om supplerende tiltak for overføringer, Det europeiske personvernrådet
Veiledning om internasjonale overføringer, inkludert IDTA og tillegget, Information Commissioner's Office, Storbritannia

Trenger du personverndokumentene våre?

Be om databehandleravtalen og sikkerhetsoversikten vår. Personvernombudet deres kan gå gjennom dem før dere forplikter dere til noe.

Be om dokumentene Hvorfor Kosovo