Kas mu tarnija võib isikuandmeid väljaspool ELi töödelda?

Andmete edastamine väljaspool ELi on lubatud, kui on kehtiv õiguslik alus

Tarnija võib enamikul juhtudel isikuandmeid väljaspool ELi töödelda, kuid mitte niisama. GDPR teeb vahet kahe sageli omavahel segunevate küsimuse vahel: kas see tarnija võib üldse andmeid teie nimel töödelda (alamtöötleja küsimus) ja kas see töötlemine võib toimuda väljaspool Euroopa Majanduspiirkonda (edastamise küsimus). Kummalgi küsimusel on oma vastus ja mõlemad peavad saama jaatava vastuse enne, kui andmed ruumist välja saavad.

Alamtöötleja puhul kehtib, et tarnija võib teise poole kaasamisse asuda ainult eelnevalt saadud nõusolekuga ja andmekaitsealane leping peab siis edastatud olema alamtöötlejale. Edastamine riiki väljaspool ELi on eraldi tasand: see on lubatud Euroopa Komisjoni adekvaatsuse otsuse alusel selle riigi jaoks või selle puudumisel asjakohasete kaitsemeetmete alusel, näiteks mudelivahelistena, mille Komisjon on kehtestanud. Ilma ühe või teise aluseta puudub edastamise alus, isegi kui alamtöötleja ise on nõuetekohaselt kaasatud.

Alus: GDPR artikkel 28 ja artikkel 44

Alamtöötleja kaasamine on reguleeritud GDPR artiklis 28, mis sätestab nõusoleku ja edastatud kohustuste tingimused; edastamine kolmanda riigi jaoks on reguleeritud GDPR artiklis 44, mis moodustab lähtepunkti ELi välisele edastamisele pühendatud peatüki jaoks. EDPB on selle kohta avaldanud juhiseid, mis täpsustab edasi, millal on kaitsemeetmed "asjakohased" ja kuidas organisatsioon seda hinnata saab.