Även om det råder ett principiellt förbud för europeiska organisationer att outsourca hanteringen av uppgifter om människor till länder utanför EU- och EES-området – där GDPR inte gäller, behöver koncerner med bolag i många länder kunna behandla sådana personuppgifter. Detta har lösts genom införandet av så kallade bindande företagsbestämmelser. Vad innebär detta i praktiken för företagen, vilka åtgärder behöver vidtas och hur fungerar tillståndsprocessen? Karl-Fredrik Björklund redogör för regelverket.