Międzynarodowe przekazywanie danych

Kiedy następuje przekazanie danych osobowych poza EOG?

RODO nie zawiera definicji takiego przekazywania danych. EROD określiła jednak następujące trzy łączne kryteria pozwalające zidentyfikować przekazanie danych poza EOG:

• administrator lub podmiot przetwarzający podlegają RODO w odniesieniu do danego przetwarzania;
• administrator lub podmiot przetwarzający ujawnia dane osobowe poprzez ich przekazanie lub w inny sposób udostępnia je innej organizacji (administratorowi danych lub podmiotowi przetwarzającemu);
• ta inna organizacja znajduje się w państwie spoza EOG lub jest organizacją międzynarodową.

Jak przekazywać dane osobowe poza EOG?

Krótko mówiąc, RODO nakłada ograniczenia na przekazywanie danych osobowych poza EOG, do państw spoza EOG lub organizacji międzynarodowych, aby zapewnić, że stopień ochrony osób fizycznych przyznany przez RODO pozostanie taki sam.

Dane osobowe mogą być przekazywane poza EOG wyłącznie zgodnie z warunkami takiego przekazywania określonymi w rozdziale V RODO.

Oprócz ogólnej zgodności z innymi przepisami RODO, należy przestrzegać warunków przekazywania danych. Warunki te ustanawiają na przykład dodatkowy wymóg w stosunku do podstawowych zasad przetwarzania, których należy przestrzegać również w kontekście międzynarodowego przekazywania danych. Przekazując dane osobowe, nadal musisz upewnić się, że posiadasz odpowiednią podstawę prawną do przetwarzania; że wdrożono niezbędne środki bezpieczeństwa; że przetwarzasz jedynie dane osobowe niezbędne do tej konkretnej czynności przetwarzania (zasada minimalizacji danych) itp. Jeżeli odbiorca danych osobowych pełni funkcję podmiotu przetwarzającego dane, nadal jesteś prawnie zobowiązany do zawarcia umowy – tak samo, jak w przypadku współpracy z podmiotem przetwarzającym w EOG. 

RODO ustanawia zasadniczo dwa główne sposoby przekazywania danych osobowych do państwa spoza EOG lub do organizacji międzynarodowej. Przekazanie może nastąpić na podstawie decyzji stwierdzającej odpowiedni stopień ochrony lub - w przypadku braku takiej decyzji - na podstawie odpowiednich zabezpieczeń, w tym egzekwowalnych praw i środków ochrony prawnej przysługujących osobom fizycznym. W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony lub odpowiednich zabezpieczeń, RODO dopuszcza w niektórych sytuacjach pewne wyjątki.

Więcej informacji na temat różnych opcji znajdziesz poniżej.

Przekazywanie danych na podstawie decyzji stwierdzającej odpowiedni stopień ochrony

Komisja Europejska ma możliwość przyjęcia decyzji stwierdzających odpowiedni stopień ochrony w celu formalnego potwierdzenia, ze skutkiem wiążącym dla państw EOG, że stopień ochrony danych w państwie spoza EOG lub organizacji międzynarodowej jest zasadniczo równoważny stopniowi ochrony w Europejskim Obszarze Gospodarczym.

Oceniając odpowiedniość stopnia ochrony, Komisja Europejska bierze pod uwagę takie elementy jak praworządność, poszanowanie praw człowieka i podstawowych wolności, a także to, czy prawa osób, których dane dotyczą, są skuteczne i egzekwowalne, istnienie oraz skuteczne funkcjonowanie niezależnego organu ochrony danych w państwie spoza EOG oraz międzynarodowe zobowiązania podjęte przez to państwo lub organizację międzynarodową.

Jeżeli Komisja Europejska uzna, że dane państwo zapewnia odpowiedni stopień ochrony i przyjmie decyzję stwierdzającą odpowiedni stopień ochrony, dane osobowe mogą zostać przekazane innemu przedsiębiorstwu lub organizacji w tym państwie spoza EOG, przy czym podmiot przekazujący dane nie jest zobowiązany do zapewnienia dalszych zabezpieczeń oraz nie podlega dodatkowym warunkom związanym z międzynarodowym przekazywaniem danych. Innymi słowy, przekazywanie danych do państwa spoza EOG zapewniającego odpowiedni stopień ochrony będzie porównywalne z przekazywaniem danych w obrębie EOG. Twoja organizacja będzie jednak nadal musiała przestrzegać innych podstawowych zasad RODO, jak wyjaśniono powyżej.

Decyzje stwierdzające odpowiedni stopień ochrony mogą obejmować cały kraj lub ograniczać się do jego części (tj. do regionu). Decyzje stwierdzające odpowiedni stopień ochrony mogą obejmować wszystkie przypadki przekazywania danych do danego kraju lub ograniczać się do niektórych rodzajów przekazywania danych (np. w jednym sektorze).

Do tej pory Komisja Europejska przyjęła decyzje stwierdzające odpowiedni stopień ochrony w odniesieniu do następujących krajów:

• Andora,
• Argentyna,
• Kanada (organizacje komercyjne),
• Wyspy Owcze,
• Guernsey,
• Izrael,
• Wyspa Man,
• Japonia,
• Jersey,
• Nowa Zelandia,
• Republika Korei,
• Szwajcaria,
• Zjednoczone Królestwo,
• Stany Zjednoczone (organizacje komercyjne uczestniczące w Ramach ochrony danych UE–USA),
• oraz Urugwaj.

Komisja Europejska publikuje wykaz decyzji stwierdzających odpowiedni stopień ochrony na swojej stronie internetowej.

Podmioty przekazujące dane są odpowiedzialne za monitorowanie, czy decyzje stwierdzające odpowiedni stopień ochrony dotyczące realizowanych przez nie czynności przekazywania nadal obowiązują oraz czy nie wszczęto procesu ich uchylania lub unieważniania.

Należy pamiętać, że decyzje stwierdzające odpowiedni stopień ochrony nie uniemożliwiają osobom fizycznym złożenia skargi. Nie uniemożliwiają one również organom ochrony danych wykonywania uprawnień przysługujących im na mocy RODO.

Przekazywanie danych na podstawie odpowiednich zabezpieczeń

W przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony, organizacje mogą również przekazywać dane osobowe, jeżeli można zapewnić odpowiednie zabezpieczenia wobec organizacji otrzymującej dane osobowe. Ponadto, osoby fizyczne muszą mieć możliwość korzystania ze swoich praw i dysponować skutecznymi środkami ochrony prawnej.

W art. 46 RODO wymieniono szereg narzędzi przekazywania danych zawierających „odpowiednie zabezpieczenia”, które można wykorzystać do przekazywania danych osobowych do państw spoza EOG w przypadku braku decyzji stwierdzających odpowiedni stopień ochrony. Do głównych narzędzi przekazywania danych, o których mowa w art. 46 RODO, istotnych dla organizacji prywatnych, należą:

• standardowe klauzule ochrony danych;
• wiążące reguły korporacyjne;
• kodeksy postępowania;
• mechanizmy certyfikacji;
• Klauzule umowne ad hoc.

Standardowe klauzule umowne

Standardowe klauzule umowne to zestaw standardowych umów umożliwiających podmiotom przekazującym dane zapewnienie odpowiednich zabezpieczeń. Są one narzędziem powszechnie wykorzystywanym przez wiele organizacji. Komisja Europejska jest uprawniona do przyjęcia standardowych klauzul umownych jako odpowiedniego zabezpieczenia w przypadku przekazywania danych osobowych do państw spoza EOG na podstawie art. 46 ust. 2 lit. c) RODO.

4 czerwca 2021 r. Komisja Europejska przyjęła decyzję wykonawczą w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw spoza EOG na podstawie RODO. Komisja Europejska udostępnia również zestaw standardowych klauzul umownych na swojej stronie internetowej. Dowiedz się więcej o standardowych klauzulach umownych.

Standardowe klauzule umowne dotyczą różnych sposobów przekazywania danych i uwzględniają złożoność współczesnych łańcuchów przetwarzania. Administratorzy danych i podmioty przetwarzające mogą skorzystać z kilku opcji, w zależności od konkretnych okoliczności przekazania danych. Należą do nich między innymi:

• przekazanie w relacji administrator-administrator (C2C);
• przekazanie w relacji administrator - podmiot przetwarzający (C2P);
• przekazanie w relacji podmiot przetwarzający – podmiot przetwarzający (P2P);
• przekazanie w relacji podmiot przetwarzający -  administrator (P2C), przy czym podmiot przetwarzający znajduje się w UE, a administrator w państwie trzecim.

Inne ważne aspekty standardowych klauzul umownych obejmują:

• możliwość przestrzegania klauzul przez więcej niż dwie strony;
• możliwość, z pewnymi wyjątkami, stosowania standardowych klauzul umownych przy przekazywaniu danych osobowych podwykonawcy przetwarzania w państwie spoza EOG;
• możliwość, z pewnymi wyjątkami, powoływania się na klauzule przez osoby fizyczne pełniące funkcje beneficjentów będących stroną trzecią;
• przepisy dotyczące odpowiedzialności między stronami w przypadku naruszenia praw osób fizycznych;
• prawo osób fizycznych do odszkodowania za szkodę poniesioną w przypadku naruszenia ich praw jako beneficjenta będącego stroną trzecią;
• wymóg przeprowadzenia „oceny skutków przekazania” dokumentującej szczególne okoliczności przekazania, przepisy w państwie przeznaczenia oraz dodatkowe zabezpieczenia wprowadzone w celu ochrony danych osobowych;
• obowiązki w przypadku dostępu organów publicznych do przekazywanych danych, np. obowiązek udzielania informacji podmiotom przekazującym dane i kwestionowania niezgodnych z prawem żądań.

Przekazywanie danych na podstawie wyjątków

Oprócz decyzji stwierdzających odpowiedni stopień ochrony i narzędzi do przekazywania danych, o których mowa w art. 46 RODO, RODO zawiera trzecią ścieżkę umożliwiającą przekazywanie danych osobowych w określonych sytuacjach. Pod pewnymi warunkami możesz nadal być w stanie przekazywać dane osobowe na podstawie wyjątku wymienionego w art. 49 RODO.

Art. 49 RODO posiada unikalny charakter. Wyjątki należy interpretować w sposób, który nie stoi w sprzeczności z samym charakterem odstępstw traktowanych jako wyjątki zasady, zgodnie z którą dane osobowe nie mogą być przekazywane do państwa nienależącego do EOG, chyba że państwo to oferuje odpowiedni stopień ochrony danych lub chyba że wprowadzono odpowiednie zabezpieczenia. Wyjątki nie mogą stać się „zasadą” w praktyce, ale muszą być ograniczone do konkretnych sytuacji.

Na podstawie art. 49 RODO, przekazanie lub zestaw takich przekazań mogą być realizowane, jeżeli przekazanie jest:

• wykonywane za wyraźną zgodą osoby fizycznej;
• niezbędne do wykonania umowy między osobą fizyczną a organizacją lub do wprowadzenia w życie środków przedumownych na wniosek osoby fizycznej;
• niezbędne do wykonania umowy zawartej w interesie osoby fizycznej między administratorem danych a inną osobą;
• niezbędne z ważnych względów interesu publicznego;
• niezbędne do ustalenia, dochodzenia lub ochrony roszczeń;
• niezbędne do ochrony żywotnych interesów danej osoby fizycznej lub innych osób, w przypadku gdy dana osoba jest fizycznie lub prawnie niezdolna do wyrażenia zgody; lub
• następuje z rejestru, który zgodnie z prawem krajowym państwa EOG lub prawem UE ma służyć za źródło informacji dla ogółu obywateli (i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes związany z wglądem w taki rejestr).

Aby ocenić konieczność przekazania, należy zastosować pewien „test konieczności”. Test ten wymaga oceny, czy przekazanie danych osobowych można uznać za niezbędne do osiągnięcia konkretnego celu danego wyjątku.

Jeżeli żaden z powyższych wyjątków nie ma zastosowania do konkretnej sytuacji, możliwe jest przekazanie danych w związku z ważnymi uzasadnionymi interesami administratora danych.

Takie przekazanie jest jednak dozwolone tylko wtedy, gdy:

• nie ma ono powtarzającego się charakteru (podobne przekazania nie są dokonywane regularnie);
• obejmuje ono dane dotyczące jedynie ograniczonej liczby osób fizycznych;
• jest ono niezbędne do celów związanych z ważnymi, prawnie uzasadnionymi interesami organizacji (pod warunkiem, że interesy osoby fizycznej nie mają charakteru nadrzędnego w stosunku do takich interesów);
• podlega ono odpowiednim zabezpieczeniom wprowadzonym przez organizację (w świetle oceny wszystkich okoliczności związanych z przekazaniem) w celu ochrony danych osobowych; oraz
• nie jest ono dokonywane przez organ publiczny w ramach wykonywania jego uprawnień publicznych.

W takich przypadkach organizacje są zobowiązane do poinformowania odpowiedniego organu ochrony danych o przekazaniu oraz do udostępnienia dodatkowych informacji osobom fizycznym.

Ogólnie rzecz biorąc, wyjątki powinny być stosowane wyłącznie w ostateczności, w celu określenia ram przekazywania danych – organizacje powinny najpierw ocenić, czy nie jest możliwe zastosowanie decyzji stwierdzającej odpowiedni stopień ochrony ani odpowiedniego zabezpieczenia.

Korzystając z wyjątków określonych w art. 49 RODO należy pamiętać, że organizacje przekazujące dane muszą również przestrzegać innych postanowień RODO (muszą posiadać podstawę prawną do przekazywania danych, wdrożyć środki bezpieczeństwa, minimalizować dane, podpisać umowę, jeśli odbiorca jest podmiotem przetwarzającym dane itp.).