Ali lahko moj dobavitelj obdeluje podatke zunaj EU?

Podatki zunaj EU so dovoljeni, če obstaja veljaven pravni temelj

Dobavitelj lahko v večini primerov osebne podatke obdeluje zunaj EU, vendar to ni dovoljeno le tako. GDPR-ja pravi razlika med dvema vprašanjema, ki se pogosto pojavljata skupaj: ali sploh sme ta dobavitelj osebne podatke obdelati v vaše ime (vprašanje o podpoddeljenih obdelovalcih) in ali je obdelava lahko potekala zunaj Evropskega gospodarskega prostora (vprašanje o prenosu). Obe vprašanji imata svoj odgovor, in oba morata biti odgovoren z »da«, preden podatki zapustijo stavbo.

Za podpoddeljene obdelovalce velja, da dobavitelj drugo stranko sme vključiti le s predhodnim soglasjem in da mora obveznosti iz pogodbe obdelovalca preneseti na tega podpoddeljnega obdelovalca. Pri prenosu podatkov v države zunaj EU obstaja posebna plast: to je dovoljeno na podlagi odločitve Evropske komisije o ustreznosti za to državo ali, če te ni, na podlagi ustreznih zaščitnih mehanizmov, kot so standardni pogodbeni klavzuli, ki jih je sprejela Komisija. Brez enega od obeh temeljev manjka pravni temelj za prenos, tudi če je podpoddeljeni obdelovalec sam pravilno vključen.

Pravni temelj: člen 28 in člen 44 GDPR

Vključitev podpoddeljnega obdelovalca je urejena v členu 28 GDPR-ja, ki postavlja pogoje za soglasje in prenesene obveznosti; prenos podatkov v tretjo državo je urejen v členu 44 GDPR-ja, ki je izhodišče za poglavje o prenosu podatkov zunaj EU. EDPB je o tem objavil smernice, ki podrobneje razvijajo, kdaj je zaščitni mehanizem »ustrezen« in kako lahko organizacija to oceni.