Saako toimittajani käsitellä tietoja EU:n ulkopuolella?

EU:n ulkopuolella olevia tietoja saa käsitellä, kunhan siihen on kelvollinen oikeusperusta

Toimittaja saa useimmissa tapauksissa antaa henkilötietoja käsiteltäväksi EU:n ulkopuolella, mutta se ei ole sallittua vain niin. Yleisen tietosuoja-asetuksen mukainen säännöstely tekee eron kahden usein sekaannukseen johtavan kysymyksen välillä: saako tämä toimittaja ylipäätään käsitellä tietoja puolestansa (alakäsittelijäkysymys), ja saako käsittely tapahtua Euroopan talousalueen ulkopuolella (siirtokysymys). Molemmilla kysymyksillä on oma vastaus, ja molempia on voitava vastata "kyllä" ennen kuin tiedot saavat lähteä rakennuksesta.

Alakäsittelijän osalta toimittaja saa ottaa käyttöön toisen osapuolen vain ennakkohyväksynnällä, ja käsittelysopimuksesta johtuvat velvoitteet on siirrettävä alakäsittelijälle. Siirtoon EU:n ulkopuolella olevaan maahan sovelletaan erillistä tasoa: se on sallittua Euroopan komission tekemän kyseisen maan riittävyyspäätöksen perusteella tai sen puuttuessa asianmukaisten takuiden, kuten komission hyväksymien mallisopimusten, perusteella. Ilman jompaa kumpaa näistä perusteista siirtoon ei ole oikeusperustaa, vaikka alakäsittelijä olisi muutoin otettu käyttöön asianmukaisesti.

Oikeusperusta: Yleisen tietosuoja-asetuksen 28 ja 44 artikla

Alakäsittelijän ottaminen käyttöön on säännelty yleisen tietosuoja-asetuksen 28 artiklassa, joka asettaa hyväksynnän edellytykset ja siirrettävät velvoitteet; siirto kolmannen maan ulkopuolelle on säännelty yleisen tietosuoja-asetuksen 44 artiklassa, joka muodostaa lähtökohdan EU:n ulkopuolisista siirroista. EDPB on julkaissut siitä ohjeita, jotka kehittävät edelleen sitä, milloin takuu katsotaan "asianmukaiseksi" ja miten organisaatio sen voi arvioida.