Persondata över gränser

Dataskyddsförordningen

art. 44 till 46

Överföring till tredjeland kräver beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder, i praktiken kommissionens standardavtalsklausuler.

Frist:

Innan överföringen påbörjas

Sanktion:

Upp till 20 miljoner euro eller fyra procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten och EDPB

Läst 2026-08-22

California Consumer Privacy Act, som ändrad genom CPRA

Cal. Civ. Code § 1798.100(d)

Federal rätt begränsar inte överföringen som sådan. Delstatlig rätt kräver avtal med mottagaren som binder ändamål och vidareöverföring.

Frist:

Innan överföringen påbörjas

Sanktion:

Civilrättslig sanktionsavgift per överträdelse

Tillsyn:

California Privacy Protection Agency och delstatens justitiekansler

Läst 2026-08-22

Personal Information Protection Law

art. 38 och 39

Utflöde kräver en av tre vägar: säkerhetsgranskning hos CAC, certifiering eller det kinesiska standardkontraktet, samt separat samtycke från den registrerade.

Frist:

Innan överföringen påbörjas

Sanktion:

Upp till 50 miljoner yuan eller fem procent av föregående års omsättning

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22

Dataskyddsförordningen

art. 35

Konsekvensbedömning krävs när behandlingen sannolikt leder till hög risk, och bedömningen ska vara gjord innan behandlingen inleds.

Frist:

Innan överföringen påbörjas

Sanktion:

Upp till 10 miljoner euro eller två procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten

Läst 2026-08-22

California Consumer Privacy Act, som ändrad genom CPRA

Cal. Civ. Code § 1798.185(a)(15)

Riskbedömning krävs för behandling som innebär betydande risk, och den lämnas till tillsynsmyndigheten enligt myndighetens föreskrift.

Frist:

Ingen frist angiven

Sanktion:

Civilrättslig sanktionsavgift per överträdelse

Tillsyn:

California Privacy Protection Agency

Läst 2026-08-22

Personal Information Protection Law

art. 55 och 56

Konsekvensbedömning krävs bland annat vid utflöde, vid känsliga uppgifter och vid automatiserat beslutsfattande, och handlingen sparas i tre år.

Frist:

Innan överföringen påbörjas

Sanktion:

Rättelseföreläggande, varning, avbruten tjänst och avgift

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22

Dataskyddsförordningen

art. 6, 13 och 14

Behandlingen kräver en rättslig grund, och informationen lämnas när uppgifterna samlas in. Samtycke är en av flera grunder, inte huvudregeln.

Frist:

Löpande, så länge behandlingen pågår

Sanktion:

Upp till 20 miljoner euro eller fyra procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten

Läst 2026-08-22

California Consumer Privacy Act, som ändrad genom CPRA

Cal. Civ. Code § 1798.100(a)

Information ska lämnas vid insamlingen, och läsaren ska kunna säga nej till försäljning och delning. Samtycke krävs för minderåriga.

Frist:

Löpande, så länge behandlingen pågår

Sanktion:

Civilrättslig sanktionsavgift per överträdelse

Tillsyn:

California Privacy Protection Agency

Läst 2026-08-22

Personal Information Protection Law

art. 14, 17 och 39

Samtycke är huvudregel, och separat samtycke krävs vid utflöde, känsliga uppgifter och delning med tredje part.

Frist:

Löpande, så länge behandlingen pågår

Sanktion:

Upp till 50 miljoner yuan eller fem procent av föregående års omsättning

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22

Dataskyddsförordningen

art. 15 till 22

Tillgång, rättelse, radering, begränsning, dataportabilitet och invändning, med svar utan onödigt dröjsmål.

Frist:

En månad, förlängning med två månader vid komplexitet

Sanktion:

Upp till 20 miljoner euro eller fyra procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten

Läst 2026-08-22

California Consumer Privacy Act, som ändrad genom CPRA

Cal. Civ. Code §§ 1798.100, 1798.105, 1798.106 och 1798.120

Rätt att få veta, radera, rätta och säga nej till försäljning och delning, samt att begränsa användningen av känsliga uppgifter.

Frist:

45 dagar, förlängning med ytterligare 45 dagar

Sanktion:

Civilrättslig sanktionsavgift per överträdelse

Tillsyn:

California Privacy Protection Agency

Läst 2026-08-22

Personal Information Protection Law

art. 44 till 50

Rätt att få veta, besluta, begränsa, få kopia, rätta, radera och få en förklaring av behandlingsreglerna.

Frist:

Utan dröjsmål, ingen fast frist i lagtexten

Sanktion:

Upp till 50 miljoner yuan eller fem procent av föregående års omsättning

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22

Dataskyddsförordningen

art. 33 och 34

Tillsynsmyndigheten underrättas vid risk för den enskilde, och den registrerade underrättas vid hög risk.

Frist:

72 timmar från att incidenten blev känd

Sanktion:

Upp till 10 miljoner euro eller två procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten

Läst 2026-08-22

California Civil Code, delstatlig anmälningsplikt

Cal. Civ. Code § 1798.82

Anmälan till de drabbade i den mest skyndsamma ordning som är möjlig. Federal generell anmälningsplikt saknas, sektorsregler gäller vid sidan.

Frist:

Utan oskäligt dröjsmål, ingen fast timgräns

Sanktion:

Civilrättslig sanktionsavgift per överträdelse

Tillsyn:

Delstatens justitiekansler

Läst 2026-08-22

Personal Information Protection Law

art. 57

Åtgärder vidtas omedelbart, och myndighet och enskilda underrättas. Underrättelsen till den enskilde kan utebli om åtgärderna hindrar skada.

Frist:

Omedelbart, med kompletterande frister i nätdataförordningen

Sanktion:

Rättelseföreläggande, varning, avbruten tjänst och avgift

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22

Dataskyddsförordningen

art. 83

Tillsynsmyndigheten i etableringslandet beslutar, med samarbete och tvistlösning i Europeiska dataskyddsstyrelsen.

Frist:

Ingen frist angiven

Sanktion:

Upp till 20 miljoner euro eller fyra procent av global omsättning

Tillsyn:

Integritetsskyddsmyndigheten och EDPB

Läst 2026-08-22

California Consumer Privacy Act och Federal Trade Commission Act

Cal. Civ. Code § 1798.155 och 15 U.S.C. § 45

Delstatlig tillsyn beslutar avgift per överträdelse, och federal tillsyn ingriper mot vilseledande och otillbörlig praxis.

Frist:

Ingen frist angiven

Sanktion:

Föreläggande och sanktionsavgift vid vilseledande eller otillbörlig praxis

Tillsyn:

California Privacy Protection Agency och Federal Trade Commission

Läst 2026-08-22

Personal Information Protection Law

art. 66

Myndigheten kan förelägga om rättelse, dra in tillstånd och besluta avgift, och ansvariga personer kan åläggas personligt ansvar.

Frist:

Ingen frist angiven

Sanktion:

Upp till 50 miljoner yuan eller fem procent av föregående års omsättning

Tillsyn:

Cyberspace Administration of China

Läst 2026-08-22