Przekazywanie danych osobowych do krajów trzecich – nowe regulacje

Kraje trzecie to państwa, które nie należą do Europejskiego Obszaru Gospodarczego. Obejmuje to np. Stany Zjednoczone, Indie, Chiny, Rosję czy wiele innych krajów poza Unią Europejską. Przekazywanie danych do krajów trzecich wymaga spełnienia określonych wymogów prawnych, które mają na celu ochronę danych osobowych.

Aby przekazywanie danych osobowych kontrahentów do krajów trzecich było zgodne z prawem, muszą być spełnione pewne warunki:

1. Decyzja Komisji Europejskiej o odpowiednim poziomie ochrony danych – komisja może uznać, że dane państwo zapewnia odpowiedni poziom ochrony danych osobowych.

2. Standardowe klauzule umowne (SCC) – w przypadku braku decyzji o odpowiednim poziomie ochrony, firmy mogą stosować tzw. standardowe klauzule umowne, które są zatwierdzone przez Komisję Europejską.

3. Wiążące reguły korporacyjne (BCR) – korporacje mogą opracować własne reguły dotyczące ochrony danych, które muszą być zatwierdzone przez organ ochrony danych.

4. Ocena ryzyka – administrator danych ma obowiązek przeprowadzenia oceny ryzyka związanego z transferem danych do krajów trzecich, zwłaszcza w przypadku braku odpowiednich zabezpieczeń.

Decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony danych w danym kraju ma istotne znaczenie dla administratorów danych. Po pierwsze, znacznie ułatwia proces przekazywania danych, eliminując konieczność każdorazowego uzyskiwania zgody od krajowych organów ochrony danych, takich jak Urząd Ochrony Danych Osobowych (UODO).

Zgodnie z nowymi regulacjami, administratorzy danych mają też dodatkowe obowiązki. Przekazując dane osobowe poza EOG, muszą przede wszystkim ocenić, czy kraj docelowy zapewnia odpowiedni poziom ochrony danych osobowych. Ich zadaniem jest także wdrożyć odpowiednie środki ochrony, takie jak szyfrowanie czy anonimizacja danych. Muszą oni także informować osoby, których dane dotyczą o szczegółach transferu, w tym o państwach, do których dane są przekazywane. Wszystko po to, aby uniknąć incydentów związanych z RODO i konsekwencji za naruszenie przepisów.

Nowe regulacje dotyczące przekazywania danych osobowych wynikają przede wszystkim z aktualizacji i zmian związanych z Ogólnym Rozporządzeniem o Ochronie Danych Osobowych (RODO), które zaczęło obowiązywać w Unii Europejskiej od 25 maja 2018 roku. Choć RODO samo w sobie nie jest już nowością, to przepisy dotyczące przekazywania danych osobowych do krajów trzecich są stale aktualizowane.

Na wstępie należy wspomnieć o Wyroku TSUE w sprawie Schrems II. Najważniejszą zmianą w ostatnich latach była decyzja Trybunału Sprawiedliwości Unii Europejskiej (TSUE), która w 2020 roku unieważniła mechanizm zwany Tarczą Prywatności (Privacy Shield), który regulował przekazywanie danych osobowych między UE a Stanami Zjednoczonymi. TSUE stwierdził, że amerykańskie przepisy nie zapewniają wystarczającej ochrony danych osobowych, zwłaszcza w kontekście nadmiernej inwigilacji przez organy rządowe USA. W efekcie przedsiębiorcy muszą teraz polegać na innych mechanizmach, takich jak standardowe klauzule umowne (SCC), co wywołało konieczność dodatkowych zabezpieczeń oraz dokładniejszej analizy prawnej przy transferach danych do USA i innych krajów trzecich.

Aktualizacje standardowych klauzul umownych (SCC)

W związku z wyrokiem Schrems II, Komisja Europejska w czerwcu 2021 roku przyjęła nowe wersje standardowych klauzul umownych. Nowe SCC są bardziej elastyczne i dostosowane do współczesnych realiów, obejmując różne scenariusze transferu danych, takie jak między administratorem a procesorem danych, czy między samymi administratorami. Administratorzy danych, korzystający ze standardowych klauzul umownych, muszą jednak teraz przeprowadzać analizę prawną ryzyka, które może wynikać z przekazania danych do kraju trzeciego, aby upewnić się, że dane będą tam odpowiednio chronione.

Nowe regulacje kładą duży nacisk na ocenę ryzyka związanego z przekazywaniem danych osobowych do krajów trzecich. Administratorzy danych mają obowiązek oceniać, czy państwo trzecie, do którego chcą przekazać dane, zapewnia odpowiedni poziom ochrony zgodny z RODO. Oznacza to, że przedsiębiorcy muszą dokładniej analizować sytuację prawną w danym kraju i identyfikować potencjalne zagrożenia dla prywatności danych.

W ostatnim czasie obserwuje się także nasilenie nacisków na kraje trzecie. Komisja Europejska intensyfikuje także działania mające na celu dostosowanie krajów trzecich do wymogów RODO. Coraz więcej państw, takich jak Japonia czy Korea Południowa, wprowadza nowe przepisy prawne w zakresie ochrony danych osobowych, które są bliższe standardom europejskim. Komisja Europejska stale monitoruje te zmiany, a kolejne kraje mogą zostać objęte decyzjami stwierdzającymi odpowiedni stopień ochrony danych, co ułatwia przekazywanie danych.

Mimo że decyzje Komisji Europejskiej znacznie ułatwiają przekazywanie danych do krajów trzecich, istnieją sytuacje, w których takie przekazywanie jest możliwe nawet w braku decyzji o adekwatności. Przepisy RODO przewidują szereg odstępstw, które pozwalają na transfer danych w wyjątkowych okolicznościach, na przykład:

• zgoda osoby, której dane dotyczą – jeśli osoba wyraźnie wyrazi zgodę na przekazanie swoich danych do kraju trzeciego, można to zrobić bez dodatkowych zezwoleń;

• niezbędność do wykonania umowy – jeśli przekazanie danych jest konieczne do realizacji umowy między osobą a administratorem, transfer może zostać dokonany;

• ważne interesy publiczne – w niektórych sytuacjach, gdy transfer danych służy ważnym interesom publicznym, na przykład w zakresie zdrowia publicznego, możliwe jest jego dokonanie.