GDPR – Țări Terțe

Având în vedere comerțul internațional și cooperarea, este esențial în zilele noastre să putem transmite date și către țări terțe. Examinarea legitimității unui astfel de transfer se face în două etape.

În primul rând, transferul de date în sine trebuie să fie legal. Orice prelucrare a datelor cu caracter personal este interzisă, dar supusă posibilității de autorizare. În afară de consimțământ, Art. 6 din Regulamentul General privind Protecția Datelor (GDPR) stabilește motive suplimentare de autorizare, cum ar fi îndeplinirea unui contract sau protejarea intereselor vitale. Pentru datele personale speciale care necesită un nivel mai înalt de protecție, Art. 9 din GDPR oferă cerințe legale separate.

Dacă transferul de date intenționat îndeplinește cerințele generale, trebuie verificat într-un al doilea pas dacă transferul către țara terță este permis. Trebuie diferențiat între țările terțe sigure și nesigure. Țările terțe sigure sunt cele pentru care Comisia Europeană a confirmat un nivel corespunzător de protecție a datelor pe baza unei decizii de adecvare. În aceste țări, legile naționale asigură un nivel de protecție pentru datele personale comparabil cu cele ale legislației UE. Țările terțe care asigură un nivel adecvat de protecție sunt: Andorra, Argentina, Canada (doar organizații comerciale), Insulele Feroe, Guernsey, Israel, Insula Man, Jersey, Noua Zeelandă, Elveția, Uruguay, Japonia, Regatul Unit și Coreea de Sud. Transferul de date către aceste țări este permis în mod expres.

Începând cu 10 iulie 2023, există o decizie de adecvare pentru așa-numitul Cadru de Confidențialitate a Datelor UE-SUA. Aceasta permite transferul datelor personale din UE către companiile și organizațiile din SUA care s-au înscris în cadrul Cadru de Confidențialitate a Datelor prin certificare. Companiile și organizațiile care au fost deja certificate pot fi găsite în această listă. Transferurile de date către companiile și organizațiile din SUA care nu sunt certificate nu mai pot fi bazate pe Decizia de Punere în Aplicare a Comisiei (UE) 2016/1250 din 12 iulie 2016 în conformitate cu Directiva 95/46/EC a Parlamentului European și a Consiliului privind caracterul adecvat al scutului de confidențialitate UE-SUA (Privacy Shield). Deoarece, prin hotărârea „Schrems II” din 16 iulie 2020 (în cazul C-311/18), CEJ a declarat această Decizie de Punere în Aplicare invalidă cu efect imediat. Transferurile de date către companiile și organizațiile din SUA care nu sunt certificate necesită alte garanții, conform Art. 44 și urm. GDPR, pentru a crea un nivel adecvat de protecție a datelor.

Dacă nu există o decizie de adecvare pentru o țară, acest lucru nu exclude neapărat orice transfer de date către această țară. Mai degrabă, operatorul trebuie să asigure într-un alt mod că datele personale vor fi suficient protejate de destinatar. Acest lucru poate fi asigurat utilizând clauze contractuale standard, pentru transferuri de date în cadrul unui Grup prin așa-numitele „reguli corporative obligatorii,” prin angajamentul de a respecta coduri de conduită, care au fost declarate de către Comisia Europeană ca fiind aplicabile în general, sau prin certificarea procedurii de prelucrare a datelor.

Mai mult, există mai multe excepții care legitimează transferul de date către o țară terță, chiar dacă protecția datelor personale nu poate fi asigurată suficient. Cel mai frecvent, consimțământul persoanei vizate este relevant aici. În același timp, trebuie remarcat în mod special cerințele pentru ca un astfel de consimțământ să fie acordat liber. Alte excepții, cum ar fi transmiterea pentru îndeplinirea contractelor, motive importante de interes public și afirmarea drepturilor legale sunt de obicei mai puțin relevante în practică.