Bir şirketin, çalışanlarının kişisel verilerini merkezileştirilmiş bir insan kaynakları veritabanında tutulması için ABD'deki ana şirketine göndermesi, GVKT açısından nasıl bir hukuki durum yaratır?

EDPB'nin 05/2021 sayılı Rehberi'ndeki örneğe göre, AB'deki bağlı şirket (örneğin İrlanda'da) çalışanlarının verileri açısından 'veri sorumlusu'dur. Verileri gönderdiği ABD'deki ana şirket ise bu verileri onun adına işleyeceği için 'veri işleyen' konumundadır. AB'deki şirket GVKT'ye tabidir ve verileri üçüncü bir ülkede (ABD) bulunan bir veri işleyene gönderdiği için bu durum, Tüzüğün 5. Bölümü kapsamında bir 'üçüncü ülkeye veri aktarımı' teşkil eder. Bu aktarımın, standart sözleşme maddeleri (SCC) gibi uygun bir güvence mekanizmasına dayanması gerekir.