Art. 28 Obligations contractuelles en matière de transparence concernant l'accès et le transfert internationaux | Data act regulation | Data act

This article establishes a transparency obligation on providers of data processing services, requiring them to publicly disclose specific information about their infrastructure and data protection practices.

It sits alongside Article 32, which deals more substantively with the actual measures to prevent unlawful third-country governmental access to non-personal data — Article 28 is essentially the public-facing disclosure counterpart to those obligations.

Important points:

Providers of data processing services must publish on their websites the jurisdiction governing their ICT infrastructure and a description of measures taken to prevent unlawful international governmental access to non-personal data held in the Union.
This published information must be kept up to date.
Providers of data processing services must reference these websites in all contracts they conclude for their data processing services.

1. Les fournisseurs de services de traitement de données mettent à disposition et tiennent à jour sur leur site internet les informations suivantes:
  1. les juridictions dont dépend l'infrastructure TIC déployée pour le traitement des données de leurs différents services;
  2. une description générale des mesures techniques, organisationnelles et contractuelles adoptées par le fournisseur de services de traitement de données afin d'empêcher l'accès international des autorités publiques aux données à caractère non personnel détenues dans l'Union ou le transfert international de ces données lorsque cet accès ou ce transfert risque d'être en conflit avec le droit de l'Union ou le droit de l'État membre concerné.
1. Les sites internet visés au paragraphe 1 sont énumérés dans les contrats concernant tous les services de traitement de données proposés par les fournisseurs de services de traitement de données.