Får min leverantör behandla uppgifter utanför EU?

Data utanför EU är tillåten, förutsatt att det finns en giltig rättslig grund

En leverantör får i de flesta fall låta personuppgifter behandlas utanför EU, men det får inte göras utan vidare. GDPR gör skillnad mellan två frågor som ofta blandas ihop: får denna leverantör överhuvudtaget behandla uppgifter på vegna av er (underbehandlarfrågan), och får behandlingen ske utanför Europeiska ekonomiska området (överföringsfrågan). Båda frågorna har sitt eget svar, och båda måste kunna besvaras med "ja" innan uppgifterna får lämna byggnaden.

För underbehandlaren gäller att en leverantör får anlita en annan part först med föregående medgivande, och att skyldigheterna från behandlingsavtalet då måste överföras till denna underbehandlare. För överföring till ett land utanför EU gäller ett separat lager: det är tillåtet på basis av ett adequacybeslut från Europeiska kommissionen för det landet, eller i brist därav på basis av lämpliga skyddsåtgärder, såsom modellkontrakt som kommissionen har antagit. Utan någon av dessa grunder saknas grunden för överföring, även om underbehandlaren själv är korrekt anlitad.

Grunden: artikel 28 och artikel 44 GDPR

Anlitandet av en underbehandlare är reglerat i artikel 28 i GDPR, som fastställer villkoren för medgivande och överförda skyldigheter; överföring till ett tredje land är reglerat i artikel 44 i GDPR, som utgör utgångspunkten för kapitlet om överföringar utanför EU. EDPB har publicerat riktlinjer om detta som utvecklar närmare när en skyddsåtgärd anses "lämplig" och hur en organisation kan bedöma det.