Il mio fornitore può trattare dati al di fuori dell'UE?

I dati al di fuori dell'UE sono consentiti, a condizione che esista una base legale valida

Un fornitore può far elaborare i dati personali nella maggior parte dei casi al di fuori dell'UE, ma non arbitrariamente. Il RGPD distingue tra due domande che spesso vengono confuse: se questo fornitore può elaborare dati per vostro conto (la questione del sub-responsabile del trattamento), e se l'elaborazione può avvenire al di fuori dello Spazio economico europeo (la questione del trasferimento). Entrambe le domande hanno una risposta propria, e devono poter essere entrambe risposte con "sì" prima che i dati possano lasciare l'edificio.

Per il sub-responsabile del trattamento, un fornitore può coinvolgere un'altra parte solo con il consenso preventivo, e gli obblighi del contratto di elaborazione devono quindi essere trasmessi a tale sub-responsabile. Per il trasferimento verso un paese al di fuori dell'UE si applica un livello separato: è consentito sulla base di una decisione di adeguatezza della Commissione europea per quel paese, oppure, in mancanza di essa, sulla base di garanzie appropriate, come i contratti tipo che la Commissione ha adottato. Senza una di queste due basi, manca il fondamento per il trasferimento, anche se il sub-responsabile del trattamento stesso è stato coinvolto correttamente.

La base: articolo 28 e articolo 44 RGPD

Il coinvolgimento di un sub-responsabile del trattamento è disciplinato dall'articolo 28 del RGPD, che stabilisce le condizioni per il consenso e gli obblighi trasmessi; il trasferimento verso un paese terzo è disciplinato dall'articolo 44 del RGPD, che costituisce il punto di partenza per il capitolo sui trasferimenti al di fuori dell'UE. L'EDPB ha pubblicato linee guida al riguardo che sviluppano ulteriormente quando una garanzia è considerata "appropriata" e come un'organizzazione può valutarlo.