Jista' l-fornitur tiegħi jipproċessa d-dejta barra l-UE?

Id-data barra mill-EU hija permessa, sakemm ikun hemm bażi valida

Fornitore jista' jħalli d-dejta personali tiġi pproċessata barra mill-EU fil-biċċa l-kbira tal-każijiet, imma dan ma jistax jiġri sempliċement. Ir-RGPD jagħmel distinzjoni bejn żewġ mistoqsija li spiss jitħalltu: jekk dan il-fornitore jistax biss jipproċessa d-dejta f'ismek (il-mistoqsija tal-processor sussidjarju), u jekk il-pproċessar jista' jseħħ barra mill-Ispazju Ekonomiku Ewropew (il-mistoqsija ta' trasferiment). Kull mistoqsija għandha risposta tagħha stess, u t-tnejn għandhom jiġu risposti b'"iva" qabel ma l-dejta tista' tħalli l-binaja.

Dwar il-processor sussidjarju, fornitore jista' jħetta partita oħra biss b'permess minn qabel, u l-obbligi mill-kuntratt tal-pproċessar għandhom jitpassaw lil dak il-processor sussidjarju. Għat-trasferiment lejn pajjiż barra mill-EU hemm saff ieħor: dan jista' jseħħ abbażi ta' deċiżjoni ta' adekwatezza mill-Kumissjoni Ewropea għal dak il-pajjiż, jew, meta ma jkunx hemm, abbażi ta' salvagwardji adatti, bħall-kuntratti ta' mudell li l-Kumissjoni iffissanat. Mingħajr waħda minn dawn l-erbgħa saffi, in-nies ma jkunux hemm bażi għat-trasferiment, ankar jekk il-processor sussidjarju stess kien organizzat tajjeb.

Il-bażi: Artikolu 28 u Artikolu 44 RGPD

Il-użu ta' processor sussidjarju huwa rregolat fl-Artikolu 28 tal-RGPD, li jistabbilixxi l-kundizzjonijiet għall-permess u l-obbligi li jitpassaw; it-trasferiment lejn pajjiż terz huwa rregolat fl-Artikolu 44 tal-RGPD, li jiffurmaw il-punt ta' startp għaċ-ċapitlu dwar it-trasferimenti barra mill-EU. L-EDPB ippubblika linja gwida dwar dan li tfassal aktar ħin meta salvagwardja tista' titqies "adatta" u kif organizzazzjoni tista' tivaluta dan.