Vai mans piegāds var apstrādāt datus ārpus ES?

Dati ārpus ES ir atļauti, ja ir pamatots likumiskais pamatojums

Piegādātājs lielākajā daļā gadījumu drīkst apstrādāt personas datus ārpus ES, taču tas nav pieļaujams tik vienkārši. GDPR izveido atšķirību starp diviem jautājumiem, kas bieži tiek jaukti kopā: vai šis piegādātājs vispār drīkst apstrādāt datus jūsu vārdā (apakšapstrādātāja jautājums), un vai apstrāde drīkst notikt ārpus Eiropas Ekonomikas zonas (datu pārsūtīšanas jautājums). Abiem jautājumiem ir savs atbildes variants, un abi jābezmaksā ar "jā" pirms dati var atstāt ēku.

Apakšapstrādātāja gadījumā piegādātājs citu pusi drīkst iesaistīt tikai ar iepriekšēju piekrišanu, un apstrādes ugodum noteiktās saistības jāizsūta šim apakšapstrādātājam. Datu pārsūtīšanai uz valsti ārpus ES ir atseviškš slānis: tas ir atļauts, pamatojoties uz Eiropas Komisijas atbilstības lēmumu attiecīgajai valstij, vai ja tāda nav, pamatojoties uz atbilstošiem aizsargjoslos, piemēram, modeļkontraktiem, ko Komisija ir pieņēmusi. Bez viena no abiem pamatojumiem pārsūtīšanas pamats trūkst, arī ja apakšapstrādātājs ir pareizi iesaistīts.

Pamatojums: GDPR 28. un 44. pants

Apakšapstrādātāja iesaistīšana ir regulēta GDPR 28. pantā, kas izvirza nosacījumus piekrišanai un izsūtītajām saistībām; datu pārsūtīšana trešajā valstī ir regulēta GDPR 44. pantā, kas ir sākumpunkts nodaļai par datu pārsūtīšanu ārpus ES. EDPB ir publicējis pamatnostādes, kas tālāk izstrādā, kad aizsargjosls tiek uzskatīts par "atbilstošu" un kā organizācija to var novērtēt.