Smije li moj dobavljač obraditi podatke izvan EU-a?

Podaci izvan EU mogu, pod uvjetom da postoji valjana pravna osnova

Dobavljač smije obraditi osobne podatke izvan EU u većini slučajeva, ali ne tako samo. GDPR pravi razliku između dva pitanja koja se često miješaju: smije li ovaj dobavljač uopće obraditi podatke u vaše ime (pitanje podgovornika), i smije li se obrada odvijati izvan Europskog gospodarskog prostora (pitanje proslijeđivanja). Oba pitanja imaju own odgovor, i oba moraju biti odgovorena s "da" prije nego što podaci mogu napustiti zgradu.

Za podgovornika vrijedi da dobavljač smije angažirati drugu stranu samo s prethodnom suglasnosti, i da se obveze iz ugovora o obradi podataka moraju proslijediti tom podgovornika. Za proslijeđivanje u zemlju izvan EU vrijedi odvojena razina: to je dozvoljeno na temelju odluke Europske komisije o primjerenosti za tu zemlju, ili u nedostatku toga na temelju odgovarajućih jamstava, kao što su modelni ugovori koje je Komisija uspostavila. Bez jedne od ta dva osnova nedostaje temelj za proslijeđivanje, čak i ako je sam podgovornik pravilno angažiran.

Osnova: članak 28 i članak 44 GDPR

Angažiranje podgovornika regulirano je člankom 28 GDPR-a, koji postavlja uvjete za suglasnost i proslijeđene obveze; proslijeđivanje u treću zemlju regulirano je člankom 44 GDPR-a, koji čini polazišnu točku za poglavlje o proslijeđivanju izvan EU. EDPB je objavio smjernice o tome koje dodatno razrađuju kada je jamstvo "primjereno" i kako organisacija to može procijeniti.