מועצת רשויות הגנת המידע של מדינות האיחוד האירופי (European Data Protection Board – EDPB) פרסמה לפני ימים אחדים את ההנחיה הסופית בנושא דרישה להעברת מידע אישי לפי צו שנתן בית משפט במדינה חוץ-אירופית.
מטרת ההנחיה, המפרשת את סעיף 48 ל-GDPR, היא להדגיש את הריבונות המשפטית של האיחוד האירופי לגבי מידע אישי אירופי, ולהגן עליו מפני חוקים חוץ-אירופאים. לפי ההנחיה, פסק דין או החלטה של מדינה חוץ-אירופאית הדורשים העברת מידע אישי יוכרו תחת ה-GDPR רק אם הם מבוססים על אמנה בינלאומית כמו הסכם סיוע משפטי הדדי (MLAT). אם הגורם שאליו מופנית הדרישה למסירת מידע אישי הוא ארגון שכפוף ל-GDPR, מדובר גם בסוג של עיבוד מידע אישי המחייב הן בסיס משפטי לעיבוד המידע למטרת העברה, והן בסיס משפטי לעצם ההעברה הבין-מדינתית של המידע האישי.
לפי ההנחיה, בהעדר הסכם בינלאומי המתיר בקשות משפטיות להעברת מידע, גורמים הכפופים ל-GDPR צריכים בדרך כלל לסרב לבקשות משפטיות למסירת מידע. עליהם להפנות את הגורם המבקש לרשות הלאומית במדינתו, על מנת שזו תפעל דרך מסגרות בינלאומיות לשיתוף פעולה משפטי.