Доручення обробки за межами ЄЕП вимагає механізму передавання та постійного моніторингу. Обробка всередині Союзу усуває цю категорію ризику повністю.
Коли ви доручаєте процес із персональними даними постачальнику за межами Європейського економічного простору, ви берете на себе обов'язок передавання, який ніколи повністю не закривається: вам потрібен механізм передавання, оцінка права країни призначення, додаткові заходи та постійний моніторинг. Коли постачальник усередині Союзу, ніщо з цього не застосовується. Це загальна інформація, а не юридична порада.
Чотири речі зникають, а не стають простішими. Зникає механізм передавання, бо немає транскордонного передавання, яке треба легалізувати. Зникає оцінка впливу передавання. Зникає аналіз додаткових заходів. А обов'язок моніторингу скорочується, бо рішення про адекватність можна оскаржити, а право третіх країн змінюється.
Однак надання послуг у Союзі не є звільненням від відповідності. Вам усе ще потрібен договір доручення обробки, гарантії технічних та організаційних заходів, контроль над субдорученням, а також видалення чи повернення даних наприкінці. І вам усе ще потрібно перевірити, де розташовані субобробники постачальника: постачальник у Союзі, який маршрутизує звернення через платформу, розміщену деінде, впустив питання передавання через задні двері.
Цей аргумент сьогодні важить більше, ніж п'ять років тому, бо навколишнє регулювання ущільнилося. Захист даних більше не єдиний режим із виміром локації: акт Союзу про AI, DORA, NIS2 та акт про доступність застосовуються по-різному залежно від того, де розташований постачальник. Для європейського покупця питання полягає в тому, чи партнер перебуває в тому самому регуляторному периметрі, що й він.
Najczęstsze pytania
- Чи дозволяє GDPR аутсорсинг за межі Європейського Союзу?
- Так, за умов. Передавання за межі ЄЕП вимагають механізму передавання, такого як рішення про адекватність чи стандартні договірні положення, оцінки того, чи право країни призначення підриває ці гарантії, а також додаткових заходів, що моніторяться на постійній основі.
- Що змінюється, коли постачальник усередині Союзу?
- Механізм передавання, оцінка впливу передавання та аналіз додаткових заходів перестають застосовуватися, бо немає транскордонного передавання. Договір доручення обробки, безпекова перевірка та контроль субобробників залишаються без змін.
- Чи може постачальник із ЄС усе ж створити проблему передавання?
- Так, через субобробників і віддалений доступ. Постачальник зі штаб-квартирою в Союзі, який хостить дані за його межами, використовує субобробників поза ЄС чи допускає адміністративний доступ з-поза ЄЕП, впустив передавання. Завжди просіть повний перелік субобробників із локаціями.