Må min leverandør behandle data uden for EU?

Data uden for EU er tilladt, forudsat at der foreligger et gyldigt retligt grundlag

En leverandør må behandle personoplysninger uden for EU i de fleste tilfælde, men det er ikke uden betingelser. GDPR skelner mellem to spørgsmål, som ofte blandes sammen: må denne leverandør overhovedet behandle oplysninger på dine vegne (underbetjent-spørgsmålet), og må behandlingen foregå uden for Det Europæiske Økonomiske Samarbejdsområde (overførelsesspørgsmålet). Begge spørgsmål har sit eget svar, og begge skal kunne besvares med "ja", før oplysningerne må forlade bygningen.

For underbetjenten gælder det, at en leverandør kun må indlede samarbejde med en anden part med forudgående samtykke, og at forpligtelserne fra databeskyttelsesaftalen skal videregives til denne underbetjent. For overførelsen til et land uden for EU gælder et særskilt lag: det er tilladt på grundlag af en tilstrækkeligheds-kendelse fra Europa-Kommissionen for det pågældende land, eller i mangel heraf på grundlag af passende garantier, såsom standardkontrakter, som Kommissionen har fastsat. Uden et af disse grundlag mangler der hjemmel til overføringen, selv hvis underbetjenten selv er behørigt indleid.

Grundlaget: artikel 28 og artikel 44 i GDPR

Indleielsen af en underbetjent er fastsat i artikel 28 i GDPR, som stiller betingelser for samtykke og videregiven forpligtelser; overføringen til et tredjeland er fastsat i artikel 44 i GDPR, som udgør udgangspunktet for kapitlet om overføring uden for EU. EDPB har offentliggjort retningslinjer herom, som præciserer nærmere, hvornår en garanti anses som "passende", og hvordan en organisation kan vurdere det.