Môže môj dodávateľ spracovávať údaje mimo EÚ?

Údaje mimo EÚ sú povolené, pokiaľ existuje platný právny základ

Dodávateľ môže v drvivej väčšine prípadov nechať spracovávať osobné údaje mimo EÚ, ale nie bez podmienok. GDPR rozlišuje medzi dvoma otázkami, ktoré sa často miešajú: či dodávateľ vôbec môže spracovávať údaje v jej mene (otázka subdodávateľa) a či sa spracovanie môže uskutočniť mimo Európskeho hospodárskeho priestoru (otázka prenosu). Obe otázky majú svoju vlastnú odpoveď a obe musia byť zodpovedané kladne predtým, ako údaje opustia vaše priestory.

Pri subdodávateľovi platí, že dodávateľ smie zapojiť tretiu stranu len s predchádzajúcim súhlasom a že povinnosti z zmluvy o spracovaní údajov musia byť následne prenesené na tohto subdodávateľa. Pri prenose do krajiny mimo EÚ platí samostatná vrstva: to je povolené na základe rozhodnutia Európskej komisie o primeranosti pre danú krajinu, alebo v jeho neprítomnosti na základe vhodných záruk, ako sú vzorové zmluvy, ktoré Komisia prijala. Bez jednej z týchto základní chýba základ pre prenos, dokonca aj vtedy, ak bol subdodávateľ sám zapojený riadne.

Právny základ: čl. 28 a čl. 44 GDPR

Zapojenie subdodávateľa je upravené v článku 28 GDPR, ktorý stanovuje podmienky súhlasu a prenesených povinností; prenos do tretej krajiny je upravený v článku 44 GDPR, ktorý tvorí východisko kapitoly o prenose mimo EÚ. EDPB o tom vydala usmernenia, ktoré ďalej rozpracovávajú, kedy sa záruka považuje za "vhodné" a ako si ju môže organizácia overiť.