Meu fornecedor pode processar dados fora da UE?

Os dados fora da UE são permitidos, desde que exista uma base legal válida

Um fornecedor pode processar dados pessoais fora da UE na maioria dos casos, mas não pode fazê-lo arbitrariamente. O RGPD faz uma distinção entre duas questões que frequentemente se confundem: se este fornecedor pode processar dados em seu nome (a questão do sub-responsável pelo tratamento), e se o processamento pode ocorrer fora do Espaço Económico Europeu (a questão da transferência). Ambas as questões têm uma resposta separada, e ambas devem ser respondidas com "sim" antes que os dados possam sair do edifício.

Para o sub-responsável pelo tratamento, um fornecedor só pode envolver outra parte com aprovação prévia, e as obrigações do contrato de tratamento de dados devem então ser transmitidas a esse sub-responsável. Para a transferência para um país fora da UE, existe uma camada separada: isso é permitido com base numa decisão de adequação da Comissão Europeia para esse país, ou na sua ausência com base em garantias adequadas, como contratos-tipo que a Comissão estabeleceu. Sem uma destas bases, falta o fundamento para a transferência, mesmo que o sub-responsável tenha sido envolvido corretamente.

A base: artigo 28.º e artigo 44.º do RGPD

O envolvimento de um sub-responsável pelo tratamento é regulado no artigo 28.º do RGPD, que estabelece as condições de aprovação e obrigações transmitidas; a transferência para um país terceiro é regulada no artigo 44.º do RGPD, que constitui o ponto de partida para o capítulo sobre transferências fora da UE. O EDPB publicou orientações sobre este tema que desenvolvem melhor quando uma garantia é considerada "adequada" e como uma organização pode avaliar isso.