Může můj dodavatel zpracovávat údaje mimo EU?

Data mimo EU je povolena, pokud existuje platný právní základ

Dodavatel může zpracovávat osobní údaje mimo EU ve větší části případů, ale ne tak jednoduše. GDPR rozlišuje mezi dvěma otázkami, které se často mísí: smí tento dodavatel vůbec údaje vaším jménem zpracovávat (otázka zpracovatele), a smí se zpracování uskutečňovat mimo Evropský hospodářský prostor (otázka převodu). Obě otázky mají svou vlastní odpověď a obě musí být zodpovězeny kladně, než mohou údaje z budovy vyjít.

Pro zpracovatele platí, že dodavatel smí zaangažovat jinou stranu pouze s předchozím souhlasem a že povinnosti vyplývající ze smlouvy zpracovatele musí být pak převedeny na tohoto zpracovatele. Pro převod do země mimo EU platí samostatná vrstva: je možný na základě rozhodnutí Evropské komise o přiměřenosti pro danou zemi, nebo v případě jeho absence na základě vhodných záruk, jako jsou standardní smluvní doložky, které Komise schválila. Bez jednoho z obou důvodů chybí právní základ pro převod, i když je sám zpracovatel řádně zapojen.

Základ: článek 28 a článek 44 GDPR

Zapojení zpracovatele je upraveno v článku 28 GDPR, který stanoví podmínky pro souhlas a převedené povinnosti; převod do třetí země je upraven v článku 44 GDPR, který tvoří výchozí bod kapitoly o převodu mimo EU. EDPB na toto téma publikoval pokyny, které dále rozpracovávají, kdy je záruka považována za "vhodnou" a jak si ji organizace může vyhodnotit.