Moduł 6 z 8 · Około 15 minut
Przekazywanie danych do państw trzecich
Jak dane osobowe mogą zgodnie z prawem opuścić Europejski Obszar Gospodarczy.
Zasada
Rozdział V RODO dopuszcza przekazywanie danych poza Europejski Obszar Gospodarczy tylko wtedy, gdy nie obniża to stopnia ochrony. Przekazaniem jest także zdalny dostęp z państwa trzeciego, a nie tylko kopiowanie plików za granicę. IOD powinien wiedzieć, dokąd trafiają dane, również za pośrednictwem dostawców chmury i AI oraz ich dalszych podmiotów przetwarzających.
Mechanizmy przekazywania
- Decyzje stwierdzające odpowiedni stopień ochrony (art. 45): Komisja uznała, że państwo lub ramy zapewniają odpowiednią ochronę – np. Ramy ochrony danych UE–USA dla certyfikowanych organizacji amerykańskich (2023).
- Odpowiednie zabezpieczenia (art. 46): najczęściej standardowe klauzule umowne Komisji (2021) wraz z oceną skutków przekazania dla prawa i praktyki państwa docelowego oraz, w razie potrzeby, środkami uzupełniającymi.
- Wiążące reguły korporacyjne (art. 47) dla przekazywania w ramach grupy, zatwierdzane przez organ nadzorczy.
- Wyjątki (art. 49), takie jak wyraźna zgoda lub niezbędność do wykonania umowy, dla szczególnych sytuacji – nie dla regularnego przekazywania na dużą skalę.
W praktyce
Przekazania należy ująć w rejestrze czynności, sprawdzić wykaz dalszych podmiotów przetwarzających i lokalizacje hostingu każdego dostawcy, udokumentować zastosowany mechanizm i weryfikować go przy zmianie przepisów lub dostawców. Zapewnienia o lokalizacji danych trzeba skonfrontować z dostępem wsparcia technicznego i telemetrią, które często również oznaczają przekazanie.
Najważniejsze wnioski
- Zdalny dostęp spoza EOG jest przekazaniem.
- Najpierw decyzja o odpowiednim stopniu ochrony; w przeciwnym razie standardowe klauzule z oceną skutków lub BCR w grupie.
- Wyjątki z art. 49 dotyczą okazjonalnych, szczególnych sytuacji.
- Trzeba wiedzieć, gdzie każdy dostawca i dalszy podmiot przetwarza dane.
Sprawdź się
Pracownik wsparcia w USA może przeglądać Państwa dane klientów przechowywane w UE. Czy to przekazanie?
Pokaż odpowiedź: Tak. Zdalny dostęp z państwa trzeciego jest przekazaniem i wymaga mechanizmu przekazywania.
Czy można oprzeć codzienne przekazywanie danych płacowych do państwa bez decyzji o odpowiedniej ochronie na wyraźnej zgodzie z art. 49?
Pokaż odpowiedź: Nie. Wyjątki dotyczą szczególnych sytuacji, a nie regularnego przekazywania na dużą skalę.