---
title: "Tyler Durden gjør tredjelandsvurdering"
canonical: "https://forvarelset.tazk.no/space/TO/blog/244088833/Tyler%20Durden%20gj%C3%B8r%20tredjelandsvurdering"
format: markdown
---
Ryktet om Tyler Durdens metamorfose fra [anarkist](https://www.instagram.com/tylers_speech/) til personvernets fortropp har eksplodert gjennom byråkratiets korridorer. Der grå dressmennesker ser regelverk, ser Tyler muligheter for digital frigjøring – paradoksalt nok innenfor lovens rammer.
Etter Fight Club-sagaen ble for het, forsvant Tyler til Norge. Han trengte nye slagmarker. Og penger. Med sitt skarpe instinkt for samfunnets svakheter identifiserte han raskt landets mest sofistikerte tyranni: ***Personvern***.
Tyler innså at den ultimate anarkistiske akten i vårt digitale fengsel ikke var å sprenge datasentre, men å hjelpe folk å ta tilbake kontrollen over sin egen informasjon. Uten å måtte knuse hver forbannede skjerm og rømme til villmarken.
Målet forble uendret: Frihet. Metoden var bare mer... strategisk.
> *Start en krig med systemet innenfra. Bevis at du eksisterer. Hvis du ikke krever din digitale menneskelighet, blir du bare en dataprikk i noen andres algoritme.*
Han infiltrerte personvernets undergrunnskretser. Dykket ned i obskure forumer der kun de mest radikale personvernteoretikerne opererte. Eksamen var barnemat, og snart hadde han dokumentasjonen han trengte for å infiltrere byråkratiet. Jeg avslører ikke hvor, men han landet i den delen av forvaltningen med de mest sjelløse prosessene og meningsløs papirmølle. Det tok ham eksakt fem minutter å hacke intervjupanelet: *Spesialrådgiver for personvern og teknologi*.
Hans første angrep? **Tredjelandsvurderinger**. Eller **TIA** (Transfer Impact Assessment) som teknokratene kaller det.
Resultatet: En "no bullshit" veiledning som river ned hele fasaden:
## TIA - Den forbaskede greia ingen skjønner, men alle må gjøre
---
*Dette dokumentet er ikke konfidensielt. Del det med alle som trenger det. Jo flere som forstår dette, jo bedre for alle.*
*Personvern er ikke prosjektets fiende - det er bare enda et krav som må oppfylles før vi kan gå videre. Som alt annet.*
*T.D. Mars 2025.*
---
Ord du bør vite om så du ikke virker dum. Juristene kommer til å pepre deg med disse.
**Adekvansbeslutning** = EUs stempel som sier "dette landet har bra nok personvernregler". Det betyr at EU-kommisjonen har gjort jobben for deg.
**EU/EDPB** = Byråkrater i EU som bestemmer reglene (EU-kommisjonen) og de som tolker reglene (European Data Protection Board). De er like autoritære på personvern som jeg var i Project Mayhem, bare med flere møter og færre eksplosjoner.
**TIA (Transfer Impact Assessment)** = Den vurderingen du må gjøre når du sender data til steder EU ikke har godkjent. I Norge kaller vi det tredjelandsvurdering. Kort fortalt: "Vil disse dataene være trygge der de sendes?" Det er dette hele dette dokumentet handler om, folkens.
**Tredjeland** = Alle land utenfor EU/EØS. Ja, USA er et tredjeland. Ja, India er et tredjeland. Nei, Sverige er ikke et tredjeland.
### Regel nr. 1
Du overfører ikke personopplysninger til tredjeland uten å gjøre en TIA først. Punktum. Fordi personopplysninger er som en tatovering - når de først har havnet i hendene på feil folk, er de umulige å fjerne, og du blir sittende med konsekvensene resten av livet.
### Sannheten
TIA = En mini-adekvansvurdering, ikke en vanlig risikovurdering. Vi sjekker om beskyttelsesnivået der ute er godt nok sammenlignet med EU/EØS. Punkt. Slutt.
### Hvorfor gjør vi dette?
Fordi loven krever det. Fordi vi ikke vil bli saksøkt. Og fordi vi faktisk bryr oss om personopplysningene vi er ansvarlige for.
### Hva du må finne ut av
#### Steg 1: Hva i all verden er det du sender og hvor?
- Hvilke data sender du?
- Hvor sender du dem?
- Hvem mottar dem?
- Hva gjør de med dataene?
#### Steg 2: Er landet godkjent av EU?
- Sjekk EUs liste over godkjente land (adekvansbeslutninger).
- Er landet der? Gratulerer, du kan hoppe til steg 6.
- Er landet ikke der? Da må du gjøre en mini-adekvansvurdering selv. Fortsett til steg 3.
#### Steg 3: Velg overføringsgrunnlag
- Standard personvernbestemmelser (SCC) er raskest.
- Bindende virksomhetsregler (BCR) er for de med tid og ressurser.
- Dette er grunnmuren, men husk: Hvis myndighetene i tredjelandet kan overkjøre disse, må du videre. til steg 4.
#### Steg 4: Virker overføringsgrunnlaget i praksis?
- Dette er den vanskelige delen. Du må faktisk forstå lovgivningen i tredjelandet.
- EDPB har gitt oss fire kontrollspørsmål, bruk dem:
- Kan myndighetene få tilgang til data utover det som er nødvendig?
- Er lovene presise eller vagt formulert?
- Finnes det uavhengig tilsyn som passer på?
- Har folk reelle klagemuligheter?
- Hør med mottakeren. De har sannsynligvis en ferdig vurdering.
- Vær skeptisk til alle som sier "alt er fint" uten bevis.
#### Steg 5: Fiks problemene
- Er det ikke trygt nok? Sett inn tiltak.
- Kryptering¹ fungerer hvis DU har nøkkelen og DE aldri får den.
- Pseudonymisering² fungerer hvis DU har koblingsnøkkelen.
- Noen ganger må du innse at det ikke går. Det er greit. Finn en annen løsning.
#### Steg 6: Dokumenter alt
- Skriv ned det du har vurdert.
- Vær konkret om hva du har funnet.
- Dokumenter tiltakene du har satt inn.
- Dette er ditt alibi hvis Datatilsynet banker på døra.
### Husk
Du er kvalifisert til å gjøre denne vurderingen. Du vet hvordan personvern fungerer i EU/EØS - det er standarden du måler mot. Du trenger ikke være jurist i alle verdens land.
## Den enkle sannheten
Ikke send personopplysninger til steder der de kan bli misbrukt.
## Fotnoter (Eller: De tekniske greiene du trenger å vite)
### ¹ Kryptering: Digital forsegling av data
**Hva det er:** Kryptering gjør data uleselig for alle som ikke har nøkkelen. Det er som å låse dataene i et digitalt pengeskap der kun du har kombinasjonen.
**Hva det løser:** Når dataene er kryptert, kan ikke tredjelandets myndigheter lese dem selv om de får tak i dem. Selv om de konfiskerer hele serveren.
**Hvordan det settes opp:**
- Bruk **ende-til-ende kryptering** - data krypteres hos deg og dekrypteres først hos mottakeren.
- Bruk **sterke nøkler** (minst 256-bit AES).
- **Viktigst av alt:** Nøkkelen må **ALDRI** forlate EU/EØS.
- Hvis du bruker skytjenester, bruk "Customer Managed Keys" (CMK) og hold nøklene utenfor skytjenesteleverandørens kontroll.
**Eksempel i praksis:** Leverandøren lagrer backup-dataene dine hos en underleverandør i en sky i Singapore. Før dataene sendes, krypterer systemet dem med en nøkkel som bare du har tilgang til i Norge. Så lenge myndighetene i Singapore ikke kan tvinge deg til å gi dem nøkkelen (som de ikke kan fordi du er i Norge), forblir dataene uleselige for dem.
**Hvorfor det virker:** Uten nøkkelen er moderne kryptering nesten umulig å knekke. Det ville ta superdatamaskiner tusenvis av år å gjette nøkkelen.
### ² Pseudonymisering: Digitalt navnebytte
**Hva det er:** Pseudonymisering erstatter identifiserende data (navn, fødselsnumre, etc.) med tilfeldige koder eller pseudonymer.
**Hva det løser:** Hvis tredjelandets myndigheter får tak i dataene, kan de ikke identifisere hvem dataene tilhører uten koblingsnøkkelen.
**Hvordan det settes opp:**
- Erstatt alle identifiserende elementer med tilfeldig genererte koder.
- Opprett en **koblingstabell** som knytter koder til identiteter.
- **Viktigst av alt:** Koblingstabellen må **ALDRI** forlate EU/EØS.
- Lagre koblingstabellen adskilt fra pseudonymiserte data, med strengere sikkerhetstiltak.
**Eksempel i praksis:** Din supportløsning i India trenger tilgang til feillogger. Istedenfor å sende "Lars Nilsen, 27016745678" sender du "Bruker_XJ42Z". Kun i systemet ditt i Norge finnes informasjonen om at "Bruker_XJ42Z" er Lars Nilsen.
**Hvorfor det virker:** Uten koblingsnøkkelen er det praktisk umulig å vite hvem de pseudonymiserte dataene tilhører. Det er én av få teknikker EDPB faktisk har sagt er effektiv mot problematisk overvåkingslovgivning.
**Bonus - Forskjellen på anonymisering og pseudonymisering:**
- **Anonymisering:** All kobling til identiteter er permanent fjernet. GDPR gjelder ikke lenger.
- **Pseudonymisering:** Kobling til identiteter er fortsatt mulig for den som har nøkkelen. GDPR gjelder fortsatt.
---
*Hvis dette fortsatt virker komplisert, husk: Du trenger ikke være ekspert på alt. Finn noen med teknisk kompetanse i organisasjonen din. Hovedpoenget er at DU må ha kontrollen over nøklene, og leverandøren/landet der ute må ALDRI få tilgang til dem.*
---
## Kilder
[https://lovdata.no/dokument/NL/lov/2018-06-15-38](https://lovdata.no/dokument/NL/lov/2018-06-15-38)
[https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/overforing-av-personopplysninger-ut-av-eos/](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/overforing-av-personopplysninger-ut-av-eos/)
[https://www.datatilsynet.dk/Media/638478180234447566/Vejledning%20om%20overf%C3%B8rsel%20til%20tredjelande.pdf](https://www.datatilsynet.dk/Media/638478180234447566/Vejledning%20om%20overf%C3%B8rsel%20til%20tredjelande.pdf)
[https://www.thorsrud.org/blogg/blog-post-title-four-fgk9l-5dbd5-hhzlf-xhlzn-3ecpr-2dtnc-hd3bh-dr9tt-p6x6a-ae6nb-wrl52-28947-yn57w-le86n-rz9d9](https://www.thorsrud.org/blogg/blog-post-title-four-fgk9l-5dbd5-hhzlf-xhlzn-3ecpr-2dtnc-hd3bh-dr9tt-p6x6a-ae6nb-wrl52-28947-yn57w-le86n-rz9d9)