Vad är standardavtalsklausuler (SCC)?

När ett svenskt företag skickar personuppgifter till en leverantör utanför EU/EES kräver GDPR en giltig överföringsmekanism. För de flesta AI-avtal är den mekanismen standardavtalsklausuler – på engelska Standard Contractual Clauses, SCC. Det är värt att förstå vad de gör, för de dyker upp i nästan varje leverantörsgranskning.

Vad SCC är – och vad de löser

Standardavtalsklausuler är avtalsmallar som EU-kommissionen har beslutat. När mottagarlandet saknar ett adekvansbeslut – alltså ett EU-beslut om att landets skyddsnivå är likvärdig – kan parterna i stället skriva in kommissionens klausuler i avtalet. Klausulerna binder mottagaren till skyldigheter som speglar GDPR: ändamålsbegränsning, säkerhetsåtgärder, bistånd vid registrerades förfrågningar och ansvar vid överträdelser.

Poängen är att skyddet följer med data via avtalet, när det inte garanteras av mottagarlandets lagstiftning. Klausulerna får inte ändras i sak – däremot fylls bilagorna i per avtal: vilka datakategorier som överförs, vilka säkerhetsåtgärder som gäller och vilka underbiträden som ingår.

Den nuvarande versionen från 2021 är modulär. Det finns fyra moduler beroende på rollerna: ansvarig till ansvarig, ansvarig till biträde, biträde till underbiträde och biträde till ansvarig. Fel modul ger fel skyldigheter – en klassisk miss i granskningar.

Var SCC dyker upp i AI-avtal

I praktiken förhandlar du sällan SCC separat. De ingår som bilaga i leverantörens personuppgiftsbiträdesavtal (DPA) och aktiveras automatiskt när en överföring till tredjeland sker. Hos AI-leverantörer som Anthropic och GitHub ingår klausulerna på det sättet i biträdesavtalen – du accepterar dem tillsammans med övriga villkor.

Det betyder också att SCC kan gälla även när du köpt “EU-lagring”. Lagring i EU hindrar inte att support, drift eller missbruksdetektering innebär åtkomst från USA – och varje sådan åtkomst är en överföring som behöver sin mekanism. Ett konkret scenario: ett bolag väljer EU-region för sin AI-tjänst och antar att tredjelandsfrågan är löst. Vid granskningen visar det sig att leverantörens amerikanska supportorganisation kan nå loggarna. Då är det SCC-bilagan i DPA:t som bär den åtkomsten – inte EU-regionen.

Begränsningen efter Schrems II

EU-domstolens Schrems II-dom från 2020 slog fast två saker. Dels att SCC fortfarande är giltiga som mekanism, dels att de inte automatiskt räcker. Ett avtal binder nämligen bara parterna – det binder inte mottagarlandets myndigheter. Om lagstiftningen i mottagarlandet ger myndigheter åtkomst som går utöver vad EU-rätten tillåter, måste exportören bedöma om skyddet håller i praktiken.

Därför kräver en SCC-baserad överföring i regel två saker till:

• En TIA (Transfer Impact Assessment): en dokumenterad analys av mottagarlandets lagstiftning och den faktiska risken för myndighetsåtkomst, till exempel enligt amerikanska FISA 702 och CLOUD Act.
• Tilläggsåtgärder: tekniska och organisatoriska skydd som kryptering med kundkontrollerade nycklar, minimering av vilka data som skickas, korta lagringstider eller EU-baserad inferens.

SCC är alltså golvet, inte hela lösningen. Den som stannar vid att “klausulerna är signerade” har gjort halva jobbet.

Beställarens kontrollpunkter

När du granskar ett AI-avtal med SCC finns fyra saker att bocka av:

1. Rätt modul för er roll. Är ni personuppgiftsansvarig och leverantören biträde ska modul två gälla. Kedjor med underbiträden ska täckas av modul tre i respektive led.
2. UK-addendum vid brittisk data. Hanterar ni personuppgifter under brittisk rätt behövs det särskilda tillägget till EU-klausulerna.
3. Klausulerna följer kedjan. När leverantören byter underbiträde ska motsvarande skydd finnas i det nya ledet – kontrollera att DPA:t ger er notis och invändningsrätt.
4. Bilagorna är ifyllda. Tomma bilagor om datakategorier och säkerhetsåtgärder är en varningsflagga; det är där avtalet blir konkret.

Vill du se hur SCC-frågan hänger ihop med residensval, retention och myndighetsåtkomst i ett helt AI-projekt hittar du mer på vår AI-sida. Och behöver du hjälp att gå igenom ett konkret leverantörsavtal innan ni signerar – hör av dig, det är en genomgång som oftast är gjord på några timmar.