Може ли мой доставчик да обработва данни извън ЕС?

Данните вън от ЕС са допустими, при условие че има валидна правна основа

Доставчик може да позволи обработката на лични данни извън ЕС в повечето случаи, но това не може просто да се направи. GDPR прави разлика между два въпроса, които често се бъркат: дали този доставчик изобщо може да обработва данни от ваше име (вторичният обработвател — въпрос), и дали обработката може да се извърши извън Европейското икономическо пространство (въпросът за трансфера). И двата въпроса имат свой отговор, и и двата трябва да получат "да" като отговор преди данните да напуснат сградата.

За вторичния обработвател важи, че доставчик може да ангажира друга страна само с предварително одобрение, и че задълженията от споразумението за обработка трябва да бъдат предадени на този вторичен обработвател. За трансфера в страна вън от ЕС важи отделен слой: това е допустимо на базата на решение за адекватност на Европейската комисия за тази страна, или при липса на такова — на базата на подходящи гарантии, като типови договори, които Комисията е установила. Без една от двете основи липсва основата за трансфера, дори ако самият вторичен обработвател е правилно ангажиран.

Основата: членове 28 и 44 GDPR

Ангажирането на вторичен обработвател е регламентирано в член 28 на GDPR, който поставя условия за одобрението и предаването на задълженията; трансферът в трета държава е регламентиран в член 44 на GDPR, който служи като начална точка за главата за трансфер вън от ЕС. EDPB е публикувал насоки относно това, които допълнително разясняват кога гарантия се счита за "подходяща" и как организация може да преценява това.