¿Puede mi proveedor procesar datos fuera de la UE?

Los datos fuera de la UE están permitidos, siempre que exista una base legal válida

Un proveedor puede hacer que un procesador de datos externo procese datos personales fuera de la UE en la mayoría de los casos, pero no de cualquier manera. El RGPD distingue entre dos preguntas que a menudo se confunden: ¿puede este proveedor procesar datos en su nombre en absoluto (la cuestión del subencargado del tratamiento), y ¿puede ese tratamiento tener lugar fuera del Espacio Económico Europeo (la cuestión de la transferencia)? Ambas preguntas tienen su propia respuesta, y ambas deben poder responderse con "sí" antes de que los datos puedan salir del edificio.

Para el subencargado del tratamiento, un proveedor solo puede contratar a otra parte con consentimiento previo, y las obligaciones del contrato de tratamiento de datos deben transmitirse a ese subencargado del tratamiento. Para la transferencia a un país fuera de la UE existe una capa separada: esto está permitido sobre la base de una decisión de adecuación de la Comisión Europea para ese país, o en su defecto sobre la base de garantías apropiadas, como los contratos tipo que la Comisión ha adoptado. Sin una de estas dos bases, falta la fundamentación para la transferencia, incluso si el subencargado del tratamiento ha sido contratado correctamente.

La base: artículo 28 y artículo 44 RGPD

La contratación de un subencargado del tratamiento se regula en el artículo 28 del RGPD, que establece las condiciones para el consentimiento y la transmisión de obligaciones; la transferencia a un tercer país se regula en el artículo 44 del RGPD, que forma el punto de partida del capítulo sobre transferencias fuera de la UE. El EDPB ha publicado directrices sobre esto que desarrollan más cuando una garantía se considera "apropiada" y cómo una organización puede evaluarlo.