Mon fournisseur peut-il traiter des données en dehors de l'UE ?

Les données en dehors de l'UE sont autorisées à condition qu'il existe une base juridique valide

Un fournisseur peut faire traiter les données personnelles en dehors de l'UE dans la plupart des cas, mais ce n'est pas sans conditions. Le RGPD établit une distinction entre deux questions qui sont souvent confondues : ce fournisseur est-il autorisé à traiter les données en votre nom (la question du sous-traitant), et ce traitement peut-il avoir lieu en dehors de l'Espace économique européen (la question du transfert). Ces deux questions ont chacune leur propre réponse, et les deux doivent recevoir une réponse affirmative avant que les données ne quittent le bâtiment.

Pour le sous-traitant, un fournisseur ne peut engager une autre partie que moyennant un consentement préalable, et les obligations découlant du contrat de traitement doivent alors être transmises à ce sous-traitant. Pour les transferts vers un pays en dehors de l'UE, une couche supplémentaire s'applique : cela est autorisé sur la base d'une décision d'adéquation de la Commission européenne pour ce pays, ou à défaut sur la base de garanties appropriées, comme les contrats types établis par la Commission. Sans l'une de ces deux bases, le fondement du transfert fait défaut, même si le sous-traitant lui-même a été correctement engagé.

La base : article 28 et article 44 du RGPD

L'engagement d'un sous-traitant est régi par l'article 28 du RGPD, qui pose les conditions du consentement et des obligations transmises ; les transferts vers un pays tiers sont régis par l'article 44 du RGPD, qui constitue le point de départ du chapitre sur les transferts en dehors de l'UE. Le CEPD a publié des lignes directrices à ce sujet qui précisent davantage quand une garantie peut être considérée comme « appropriée » et comment une organisation peut l'évaluer.