GDPR – Kraje trzecie

Mając na uwadze międzynarodowy handel i współpracę, w dzisiejszych czasach istotne jest także móc przekazywać dane do krajów trzecich. Badanie legalności takiego transferu odbywa się w dwóch etapach.

Po pierwsze, sam transfer danych musi być legalny. Każde przetwarzanie danych osobowych jest zabronione, ale podlega możliwości uzyskania zezwolenia. Oprócz zgody, art. 6 Ogólnego rozporządzenia o ochronie danych (RODO) określa dalsze powody zezwolenia, takie jak wykonanie umowy lub ochrona żywotnych interesów. Dla szczególnych danych osobowych wymagających wyższego poziomu ochrony, art. 9 RODO przewiduje odrębne wymagania prawne.

Jeśli planowany transfer danych spełnia ogólne wymagania, w kolejnym kroku należy sprawdzić, czy transfer do państwa trzeciego jest dozwolony. Należy rozróżnić między bezpiecznymi a niebezpiecznymi państwami trzecimi. Bezpieczne państwa trzecie to te, dla których Komisja Europejska potwierdziła odpowiedni poziom ochrony danych na podstawie decyzji stwierdzającej odpowiedni stopień ochrony. W tych krajach prawo krajowe zapewnia poziom ochrony danych osobowych porównywalny z prawem UE. Państwa trzecie zapewniające odpowiedni poziom ochrony to: Andora, Argentyna, Kanada (tylko organizacje handlowe), Wyspy Owcze, Guernsey, Izrael, Wyspa Man, Jersey, Nowa Zelandia, Szwajcaria, Urugwaj, Japonia, Zjednoczone Królestwo i Korea Południowa. Transfer danych do tych krajów jest wyraźnie dozwolony.

Od 10 lipca 2023 roku obowiązuje decyzja stwierdzająca odpowiedni stopień ochrony w ramach tzw. ram ochrony prywatności danych UE-USA. Umożliwia to przekazywanie danych osobowych z UE do firm i organizacji z USA, które przystąpiły do ram ochrony prywatności danych poprzez certyfikację. Firmy i organizacje, które już zostały certyfikowane, można znaleźć na tej liście. Przekazywanie danych do niecertyfikowanych firm i organizacji z USA nie może dłużej opierać się na decyzji wykonawczej Komisji (UE) 2016/1250 z dnia 12 lipca 2016 r. zgodnie z dyrektywą 95/46/WE Parlamentu Europejskiego i Rady o adekwatności ochrony danych w ramach tarczy ochronnej UE-USA (Privacy Shield). Ponieważ wyrokiem „Schrems II” z dnia 16 lipca 2020 r. (w sprawie C-311/18) TSUE uznał tę decyzję wykonawczą za nieważną ze skutkiem natychmiastowym. Przekazywanie danych do niecertyfikowanych firm i organizacji z USA wymaga innych gwarancji, zgodnie z art. 44 i nast. RODO, w celu zapewnienia odpowiedniego poziomu ochrony danych.

Jeżeli dla danego kraju nie ma decyzji stwierdzającej odpowiedni stopień ochrony, nie oznacza to koniecznie, że wszelkie transfery danych do tego kraju są wykluczone. Administrator musi w inny sposób zapewnić, że dane osobowe będą wystarczająco chronione przez odbiorcę. Można to zapewnić poprzez stosowanie standardowych klauzul umownych, w przypadku transferów danych w ramach Grupy poprzez tzw. „wiązace reguły korporacyjne,” poprzez zobowiązanie do przestrzegania kodeksów postępowania, które zostały uznane przez Komisję Europejską za powszechnie obowiązujące, lub poprzez certyfikację procedury przetwarzania danych.

Ponadto istnieje kilka wyjątków, które uzasadniają transfer danych do państwa trzeciego, nawet jeśli ochrona danych osobowych nie może być dostatecznie zapewniona. Najczęściej istotna jest tutaj zgoda osoby, której dane dotyczą. Jednocześnie należy szczególnie uwzględnić wymagania dotyczące swobodnego wyrażenia takiej zgody. Dalsze wyjątki, jak przekazywanie w celu realizacji umów, istotne względy interesu publicznego oraz dochodzenie praw są zazwyczaj mniej istotne w praktyce.