Az én szállítóm feldolgozhat adatokat az EU-n kívül?

Az EU-n kívüli adatkezelés megengedett, amennyiben van érvényes jogalap

Egy szállító a legtöbb esetben engedélyezheti a személyes adatok feldolgozását az EU-n kívül, de ez nem történhet tetszőlegesen. A GDPR különbséget tesz két olyan kérdés között, amelyeket gyakran összemosnak: lehet-e az adott szállítónak egyáltalán adatokat feldolgoznia az Ön nevében (az aldolgozó kérdése), és történhet-e a feldolgozás az Európai Gazdasági Térségen kívül (az átadás kérdése). Mindkét kérdésre saját válasz van, és mindkettőre "igen" válasznak kell lennie ahhoz, hogy az adatok elhagyhassák az épületet.

Az aldolgozóra vonatkozóan a szállító csak előzetes hozzájárulással vonhat be egy másik felet, és az feldolgozási szerződésből eredő kötelezettségeket át kell adnia az aldolgozónak. Az EU-n kívüli ország felé történő adatátadásra külön szabály vonatkozik: ez megengedett az Európai Bizottság megfelelőségi határozata alapján az adott országra, vagy annak hiányában megfelelő garanciák alapján, például a Bizottság által megállapított modellszerződések. E két jogalap egyike nélkül hiányzik az adatátadás alapja, még akkor is, ha az aldolgozót magát megfelelően vontak be.

A jogalap: a GDPR 28. és 44. cikke

Az aldolgozó bevonása a GDPR 28. cikkében van szabályozva, amely feltételeket szab a hozzájárulásnak és az átadandó kötelezettségeknek; a harmadik országba történő adatátadás a GDPR 44. cikkében van szabályozva, amely kiindulópontja az EU-n kívüli adatátadásról szóló fejezetnek. Az EDPB iránymutatásokat közzétett, amelyek részletezik, hogy mikor tekinthető egy garancia "megfelelőnek" és hogyan értékelheti ezt egy szervezet.