Poate furnizorul meu prelucra date în afara UE?

Datele în afara UE sunt permise, cu condiția să existe o bază juridică valabilă

Un furnizor poate permite prelucrarea datelor cu caracter personal în afara UE în majoritatea cazurilor, dar nu în mod arbitrar. GDPR face o distincție între două întrebări care sunt adesea confundate: are acest furnizor voie să prelucreze date în numele dvs. (întrebarea privind subdelegatul), și poate prelucrarea să aibă loc în afara Spațiului Economic European (întrebarea privind transferul)? Ambele întrebări au propriul răspuns, și ambele trebuie să primească răspuns "da" înainte ca datele să poată ieși din clădire.

Pentru subdelegar se aplică faptul că un furnizor poate implica o altă parte doar cu acordul prealabil, iar obligațiile din acordul de prelucrare trebuie transmise subdelegatului respectiv. Pentru transferul către o țară din afara UE se aplică un strat separat: aceasta este permisă pe baza unei decizii de adecvare a Comisiei Europene pentru acea țară, sau în lipsa acesteia pe baza unor garanții corespunzătoare, cum ar fi contractele-tip pe care Comisia le-a adoptat. Fără una dintre aceste baze lipsește fundamentul transferului, chiar dacă subdelegatul în sine a fost angajat în mod corespunzător.

Fundamentul: articolul 28 și articolul 44 GDPR

Implicarea unui subdelegar este reglementată în articolul 28 din GDPR, care stabilește condițiile pentru acord și obligații transmise; transferul către o țară terță este reglementat în articolul 44 din GDPR, care constituie punctul de plecare pentru capitolul privind transferurile în afara UE. EDPB a publicat linii directoare despre aceasta care detaliază în continuare când o garanție este considerată "corespunzătoare" și cum o organizație poate evalua aceasta.