GDPR – Pajjiżi Terzi

Fid-dawl tal-kummerċ u l-kooperazzjoni internazzjonali, huwa essenzjali f’dawn il-jiem li jkun possibbli wkoll li jiġu ttrasmessi d-data lil pajjiżi terzi. L-eżaminazzjoni tal-leġittimità ta’ tali trasferiment isseħħ fi stadji.

L-ewwelnett, it-trasferiment tad-dejta nnifsu għandu jkun legali. Kull proċessar ta’ dejta personali huwa pprojbit iżda soġġett għall-possibbiltà ta’ awtorizzazzjoni. Minbarra l-kunsens, l-Art. 6 tar-Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR) jipprovdi raġunijiet oħra ta’ awtorizzazzjoni, bħal twettiq ta’ kuntratt jew protezzjoni ta’ interessi vitali. Għal dejta personali speċjali li teħtieġ livell ogħla ta’ protezzjoni, l-Art. 9 tal-GDPR jipprovdi rekwiżiti legali separati.

Jekk it-trasferiment tad-data maħsub jissodisfa r-rekwiżiti ġenerali, wieħed irid jivverifika fit-tieni pass jekk it-trasferiment lejn it-tielet pajjiż huwiex permess. Wieħed irid jiddistingwi bejn pajjiżi terzi sikuri u mhux sikuri. Pajjiżi terzi sikuri huma dawk li għalihom il-Kummissjoni Ewropea kkonfermat livell xieraq ta’ protezzjoni tad-data fuq il-bażi ta’ deċiżjoni dwar l-adegwatezza. F’dawk il-pajjiżi, il-liġijiet nazzjonali jipprovdu livell ta’ protezzjoni għad-data personali li huwa komparabbli ma’ dawk tal-liġi tal-UE. It-tielet pajjiżi li jiżguraw livell adegwat ta’ protezzjoni huma: Andorra, l-Arġentina, il-Kanada (biss organizzazzjonijiet kummerċjali), il-Gżejjer Faroe, Guernsey, Iżrael, il-Gżira ta’ Man, Jersey, New Zealand, l-Iżvizzera, l-Urugwaj, il-Ġappun, ir-Renju Unit u l-Korea t’Isfel. It-trasferiment tad-data lejn dawn il-pajjiżi huwa espressament permess.

Mill-10 ta’ Lulju 2023, hemm deċiżjoni ta’ adegwatezza għas-sejħa qafas tal-privatezza tad-dejta UE-Istati Uniti. Dan jippermetti t-trasferiment ta’ dejta personali mill-UE lill-kumpaniji Amerikani u l-organizzazzjonijiet Amerikani li ssieħbu fil-Qafas tal-Privatezza tad-Dejta permezz ta’ ċertifikazzjoni. Il-kumpaniji u l-organizzazzjonijiet li diġà ġew iċċertifikati jistgħu jinstabu f’din il-lista. It-trasferimenti tad-dejta lejn kumpaniji u organizzazzjonijiet Amerikani mhux iċċertifikati ma jistgħux jibqgħu jkunu bbażati fuq id-Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2016/1250 tat-12 ta’ Lulju 2016 skont id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill fuq l-adegwezza tal-tarka ta’ protezzjoni tad-dejta UE-Istati Uniti (Privacy Shield). Għax bil-verdett “Schrems II” tas-16 ta’ Lulju 2020 (fil-każ C-311/18), il-Qorti Ewropea tad-Drittijiet tal-Bniedem iddikjarat din id-Deċiżjoni ta’ Implimentazzjoni invalida b’effett immedjat. It-trasferimenti tad-dejta lejn kumpaniji u organizzazzjonijiet Amerikani mhux iċċertifikati jeħtieġu garanziji oħra, skont l-Art. 44 et seq. GDPR, biex jinħoloq livell adegwat ta’ protezzjoni tad-dejta.

Jekk ma jkunx hemm deċiżjoni ta’ adegwatezza għal pajjiż, dan ma jfissirx neċessarjament li l-ebda trasferiment ta’ data ma jista’ jsir lil dan il-pajjiż. Pjuttost, il-kontrollur irid jiżgura b’mod ieħor li d-data personali tiġi protetta b’mod suffiċjenti mir-riċevitur. Dan jista’ jiġi assigurat bl-użu ta’ klawżoli kuntrattwali standard, għal trasferimenti ta’ data fi ħdan Grupp permezz ta’ hekk imsejħa “regoli korporattivi vinkolanti,” permezz ta’ impenn li jiġu rispettati kodiċijiet ta’ kondotta, li ġew iddikjarati mill-Kummissjoni Ewropea bħala applikabbli ġeneralment, jew permezz ta’ ċertifikazzjoni tal-proċedura ta’ pproċessar tad-data.

Barra minn hekk, hemm diversi eċċezzjonijiet, li jiġġustifikaw it-trasferiment tad-data lejn pajjiż terz, anke jekk il-protezzjoni tad-data personali ma tistax tiġi żgurata biżżejjed. L-iktar importanti ħafna drabi, huwa l-kunsens tas-suġġett tad-data. Fl-istess ħin, wieħed għandu jħares partikolarment lejn ir-rekwiżiti biex tali kunsens jingħata liberament. Eċċezzjonijiet oħra, bħal trasmissjoni biex jintlaħqu kuntratti, raġunijiet importanti tal-interess pubbliku u l-infurzar tad-drittijiet legali huma normalment inqas rilevanti fil-prattika.