Ryzyka w transferze danych osobowych poza Unię Europejską i do USA

Zasygnalizowane już wyżej szczególne regulacje RODO dotyczą przekazywania danych osobowych do przetwarzania w tak zwanych państwach trzecich lub organizacjach międzynarodowych. Państwa trzecie to państwa spoza EOG. Chodzi zatem o kraje inne niż państwa członkowskie Unii Europejskiej, Islandia, Norwegia i Liechtenstein. Problem ten dotyczy zatem choćby przekazywania danych do Wielkiej Brytanii, Indii, Chin czy USA. Przyczyną, dla której wprowadzono w RODO szczególne regulacje dotyczące transferów danych poza EOG, jest konieczność zapewnienia jednolitego poziomu ochrony danych osobowych Europejczyków również poza EOG.

Przekazywanie danych do państw trzecich

Właściwe ukształtowanie systemu transferów danych poza EOG powinno zostać poprzedzone swoistą inwentaryzacją procesów przetwarzania danych. Aby działać zgodnie z RODO, przedsiębiorca powinien wiedzieć, czy w jego organizacji dochodzi do takich transferów danych osobowych. Konieczność przekazania danych poza EOG może wynikać choćby z korzystania ze wspólnych systemów w ramach grupy kapitałowej. Będzie tak, gdy członkami tej grupy będą również spółki spoza EOG. Inne przykłady to korzystanie z narzędzi Google, instalacja wtyczek Facebook’a czy korzystanie z usług podwykonawców, których serwery są zlokalizowane w państwach trzecich.

Kiedy transfer danych jest legalny

Transfer danych jest legalny, gdy spełniony jest jeden z trzech warunków określonych przez RODO:

1. przekazywanie na podstawie decyzji Komisji Europejskiej (KE) stwierdzającej odpowiedni poziom ochrony (decyzja o adekwatności),

2. przekazywanie z zastrzeżeniem odpowiednich zabezpieczeń (gdy brak decyzji KE),

3. przekazywanie w szczególnych sytuacjach wskazanych w RODO (gry brak decyzji KE i wspomnianych wyżej zabezpieczeń).

Czytaj więcej:

Biznes

Wykorzystywanie danych osobowych z rejestrów publicznych – ograniczenia

Osobom fizycznym, prowadzącym działalność gospodarczą, przysługuje takie samo prawo do ochrony ich danych osobowych jak innym osobom fizycznym. Brak poinformowania ich o pozyskaniu danych i sposobie ich przetwarzania będzie naruszeniem ochrony ich danych osobowych.

Pro

Decyzje Komisji Europejskiej

Komisja Europejska może stwierdzić, że dane państwo zapewnia odpowiedni stopień ochrony danych osobowych. Do tej pory Komisja Europejska wydała 15 takich decyzji, obejmujących między innymi Szwajcarię, Kanadę, Japonię, Wielką Brytanię i – w 2023 roku – USA.

Odpowiednie zabezpieczenie transferu danych

W braku decyzji o adekwatności, przedsiębiorca musi dokonać udokumentowanej oceny bezpieczeństwa transferu oraz zapewnić inne narzędzie legalizujące ten transfer. RODO przewiduje katalog narzędzi umożliwiających transfer. Najczęściej stosowane są tak zwane standardowe klauzule umowne. Są to wzorce umowne, które należy dostosować do konkretnego przypadku wymiany danych. Innym rozwiązaniem jest wykorzystanie wiążących reguł korporacyjnych. Z tego narzędzia mogą skorzystać grupy kapitałowe. Jest to swego rodzaju regulamin wiążący przystępujące do niego spółki z grupy. Dokument ten wymaga zatwierdzenia przez właściwy organ ochrony danych.

RODO przewiduje także możliwość wykorzystania zatwierdzonych (przez organ nadzorczy) kodeksów postępowania lub mechanizmów certyfikacji. Są to jednak mniej popularne narzędzia. W Polsce zatwierdzono do tej pory jedynie dwa kodeksy postępowania. Oba są kierowane do branży medycznej.

Wyjątki umożliwiające transfer danych

Finalnie możliwe jest oparcie transferu na wyjątkach wskazanych w RODO. Te wyjątki dotyczą między innymi sytuacji, gdy osoba, której dane dotyczą, wyraziła zgodę na przekazanie lub jest ono niezbędne dla wykonania umowy, której ta osoba jest stroną. Niemniej wyjątki te nie powinny być traktowane jako remedium na systemowe rozwiązanie problemu przekazywania danych poza EOG.