В българския превод на регламента е използван изразът „предаване на лични данни“, когато се говори за международен трансфер
Чрез изясняване на взаимодействието между териториалния обхват на GDPR (член 3) и разпоредбите относно международните трансфери в глава V, насоките имат за цел да помогнат на администраторите и обработващите лични данни в ЕС да идентифицират дали дадена операция по обработване представлява международно предаване и да осигуряват общо разбиране на концепцията за международни трансфери, съобщи в сайта си Европейският комитет за защита на данните EDPB.
Насоките определят три кумулативни критерия, които квалифицират обработката като предаване:
(1) износителят на данни (администратор или обработващ) се подчинява на правилата на GDPR за дадената обработка;
(2) износителят на данни предава или предоставя личните данни на вносителя на данни (друг администратор, съвместен администратор или обработващ лични данни);
(3) вносителят на данни е в трета държава или е международна организация.
Обработката ще се счита за предаване, независимо дали вносителят, установен в трета страна, вече е обект на GDPR по чл. 3 GDPR. Въпреки това EDPB счита, че събирането на данни директно от субектите на данни в ЕС по тяхна собствена инициатива не представлява предаване.
Председателят на EDPB Андреа Йелинек е цитирана да казва, че тези насоки предоставят последователно тълкуване на понятието „международни трансфери/прехвърляния/предавания“ и изясняват, че когато вносител на данни подлежи на GDPR, задълженията по глава V на GDPR се прилагат както за прехвърлянето от ЕС към вносителя, така и за всяко следващо прехвърляне, което вносителят предприема.
Обсъждането на Насоки 05/2021 за взаимодействието между прилагането на член 3 и разпоредбите относно международните предавания съгласно глава V от GDPR е до 31.01.2022 г.
В насоките има интересни примери като този: Администратор в трета държава събира данни директно от субект на данни в ЕС
Мария, живееща в Италия, въвежда личните си данни, като онлайн попълва формуляр в уебсайт за дрехи за да завърши поръчката си и да получи роклята, която е купила онлайн, в дома си в Рим. Уебсайтът за дрехи се управлява от компания, установена в Сингапур, без присъствие в ЕС. В този случай, субектът на данните (Мария) предоставя личните си данни на сингапурската компания, но това не го прави предаване на лични данни, тъй като данните не се предават от износител (администратор или обработващ), тъй като те се прехвърлят директно и по нейна собствена инициатива, от самия субект на данните. По този начин, Глава V не се прилага за този случай. Въпреки това сингапурската компания ще трябва да провери дали операциите й по обработване са предмет на GDPR съгласно член 3, параграф 2.
И още един пример: Администраторът в ЕС изпраща данни на обработващ в трета държава
Фирма X, установена в Австрия, действаща като администратор, предоставя лични данни на своите служители или клиенти на компания Z, установена в Чили, която обработва тези данни като обработващ от името на X. В този случай данните се предоставят от администратор, който по отношение на въпросната обработка е подчинен на GDPR, на обработващ в трета държава. Следователно предоставянето на данни ще се счита за предаване на лични данни към трета държава и следователно се прилага глава V от GDPR.
Член 3
Териториален обхват
- Настоящият регламент се прилага за обработването на лични данни в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Съюза, независимо дали обработването се извършва в Съюза или не.
- Настоящият регламент се прилага за обработването на лични данни на субекти на данни, които се намират в Съюза, от администратор или обработващ лични данни, който не е установен в Съюза, когато дейностите по обработване на данни са свързани със:
a) предлагането на стоки или услуги на такива субекти на данни в Съюза, независимо дали от субекта на данни се изисква плащане; или
б)наблюдението на тяхното поведение, доколкото това поведение се проявява в рамките на Съюза.
- Настоящият регламент се прилага за обработването на лични данни от администратор, който не е установен в Съюза, но е установен на място, където се прилага правото на държава членка по силата на международното право.
ГЛАВА V
Предаване на лични данни на трети държави или международни организации
Член 44
Общ принцип на предаването на данни
Предаване на лични данни, които се обработват или са предназначени за обработване след предаването на трета държава или на международна организация, се осъществява само при условие че са спазени другите разпоредби на настоящия регламент, само ако администраторът и обработващият лични данни спазват условията по настоящата глава, включително във връзка с последващи предавания на лични данни от третата държава или от международната организация на друга трета държава или на друга международна организация. Всички разпоредби на настоящата глава се прилагат, за да се направи необходимото нивото на защита на физическите лица, осигурено от настоящия регламент, да не се излага на риск. …