Μπορεί ο προμηθευτής μου να επεξεργάζεται δεδομένα έξω από την ΕΕ;

Τα δεδομένα έξω από την ΕΕ επιτρέπονται, υπό την προϋπόθεση ότι υπάρχει έγκυρη νομική βάση

Ένας προμηθευτής μπορεί να επιτρέψει την επεξεργασία προσωπικών δεδομένων έξω από την ΕΕ στις περισσότερες περιπτώσεις, αλλά όχι χωρίς όρους. Ο GDPR κάνει διάκριση μεταξύ δύο ερωτημάτων που συχνά συγχέονται: επιτρέπεται σε αυτόν τον προμηθευτή να επεξεργάζεται δεδομένα εκ μέρους σας (το ζήτημα της επεξεργασίας από τρίτο φορέα), και επιτρέπεται η επεξεργασία να πραγματοποιηθεί έξω από τον Ευρωπαϊκό Οικονομικό Χώρο (το ζήτημα της μεταφοράς). Κάθε ερώτημα έχει τη δική του απάντηση, και και τα δύο πρέπει να απαντηθούν καταφατικά πριν τα δεδομένα εγκαταλείψουν την οργάνωσή σας.

Για την επεξεργασία από τρίτο φορέα, ένας προμηθευτής μπορεί να προσλάβει έναν άλλο φορέα μόνο με προηγούμενη έγκριση, και υπολογίζεται ότι οι υποχρεώσεις από τη σύμβαση επεξεργασίας δεδομένων πρέπει να μεταβιβαστούν σε αυτόν τον τρίτο φορέα. Για τη μεταφορά σε χώρα έξω από την ΕΕ ισχύει ένα ξεχωριστό καθεστώς: επιτρέπεται με βάση απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής για τη χώρα εκείνη, ή ελλείψει αυτής, με βάση κατάλληλες διασφαλίσεις, όπως τυποποιημένες συμβάσεις που έχει θεσπίσει η Επιτροπή. Χωρίς μία από τις δύο αυτές βάσεις, δεν υπάρχει νομική βάση για τη μεταφορά, ακόμα και αν ο τρίτος φορέας έχει προσληφθεί σωστά.

Η βάση: άρθρο 28 και άρθρο 44 GDPR

Η πρόσληψη ενός τρίτου φορέα διέπεται από το άρθρο 28 του GDPR, το οποίο θέτει όρους για την έγκριση και τη μεταβίβαση των υποχρεώσεων· η μεταφορά σε τρίτη χώρα διέπεται από το άρθρο 44 του GDPR, το οποίο αποτελεί το σημείο εκκίνησης για το κεφάλαιο σχετικά με τις μεταφορές έξω από την ΕΕ. Το EDPB έχει δημοσιεύσει κατευθυντήριες γραμμές σχετικά με το πότε μια διασφάλιση θεωρείται «κατάλληλη» και πώς μια οργάνωση μπορεί να το αξιολογήσει.