Czy mój dostawca może przetwarzać dane poza UE?

Dane poza UE są dozwolone, pod warunkiem że istnieje ważna podstawa prawna

Dostawca może w większości przypadków przetwarzać dane osobowe poza UE, ale nie może to robić w dowolny sposób. RODO rozróżnia między dwiema kwestiami, które często się ze sobą mieszają: czy dany dostawca w ogóle może przetwarzać dane w Pani imieniu (kwestia podprzetwarzającego), oraz czy przetwarzanie może mieć miejsce poza Europejskim Obszarem Gospodarczym (kwestia przekazania). Obie kwestie mają własną odpowiedź, a obie muszą zostać rozstrzygnięte twierdząco, zanim dane będą mogły opuścić budynek.

W przypadku podprzetwarzającego dostawca może zaangażować inną stronę tylko za wcześniejszą zgodą, a zobowiązania wynikające z umowy przetwarzania muszą być wtedy przekazane temu podprzetwarzającemu. W przypadku przekazania do kraju poza UE obowiązuje osobna warstwa: jest to dozwolone na podstawie decyzji o adekwatności wydanej przez Komisję Europejską dla danego kraju, a w jej braku na podstawie odpowiednich gwarancji, takich jak umowy modelowe ustalone przez Komisję. Bez jednej z tych podstaw brakuje podstawy do przekazania, nawet jeśli sam podprzetwarzający został prawidłowo zaangażowany.

Podstawa: artykuł 28 i artykuł 44 RODO

Zaangażowanie podprzetwarzającego jest regulowane w artykule 28 RODO, który określa warunki zgody i przekazane zobowiązania; przekazanie do kraju trzeciego jest regulowane w artykule 44 RODO, który stanowi punkt wyjścia dla rozdziału poświęconego przekazaniu poza UE. EDPB opublikował w tej sprawie wytyczne, które szczegółowo wyjaśniają, kiedy gwarancja może być uznana za "odpowiednią" i jak organizacja może to ocenić.