Z punktu widzenia RODO, transfer danych do państw trzecich to przekazanie danych osobowych poza obszar Europejskiego Obszaru Gospodarczego (EOG). Może on polegać na przykład na udostępnieniu danych administratorowi znajdującemu się w państwie trzecim czy też na powierzeniu przetwarzania danych podmiotowi przetwarzającemu działającemu poza EOG.
Transfer danych poza EOG jest co do zasady dopuszczalny tylko wtedy, gdy zapewniony zostanie odpowiedni poziom ochrony danych osobowych (art. 44 RODO). Celem tych regulacji jest zagwarantowanie, aby dane osób fizycznych były chronione w podobnym stopniu, co w EOG, niezależnie od tego, gdzie są one przetwarzane.
Transfer danych do państw trzecich może występować w wielu codziennych sytuacjach – np. gdy organizacja korzysta z usług dostawcy chmurowego, systemu marketingowego lub innego narzędzia informatycznego, którego serwery znajdują się poza EOG. Przed rozpoczęciem takiego transferu administrator powinien ustalić, czy jest on w ogóle dopuszczalny, a jeżeli tak, na jakiej podstawie.
Kiedy dopuszczalny jest transfer danych poza EOG?
Pierwszym krokiem przed rozpoczęciem transferu danych do państwa trzeciego jest sprawdzenie, czy wobec danego kraju Komisja Europejska wydała decyzję stwierdzającą odpowiedni poziom ochrony danych. Jeżeli taka decyzja istnieje, przekazanie danych do tego państwa może odbywać się zasadniczo na takich samych zasadach jak w obrębie EOG (art. 45 RODO).
Jeżeli jednak dla danego państwa nie wydano takiej decyzji, transfer danych będzie możliwy wyłącznie wtedy, gdy znajdą zastosowanie inne mechanizmy transferu przewidziane w RODO (art. 46 RODO). Do najważniejszych z nich należą:
- standardowe klauzule umowne przyjęte przez Komisję Europejską,
- wiążące reguły korporacyjne stosowane w ramach grup przedsiębiorstw,
- zatwierdzone mechanizmy certyfikacji,
- zatwierdzone kodeksy postępowania.
RODO przewiduje również szczególne wyjątki, które mogą umożliwiać transfer danych w konkretnych sytuacjach, np. gdy osoba, której dane dotyczą, wyraziła na to wyraźną zgodę, będąc poinformowaną o ryzyku, albo gdy przekazanie danych jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń (art. 49 RODO).
Jak prawidłowo zorganizować transfer danych do państw trzecich?
Prawidłowe przeprowadzenie transferu danych do państwa trzeciego wymaga przede wszystkim ustalenia, który z przewidzianych w RODO mechanizmów może mieć zastosowanie w danym przypadku. Do najczęściej wykorzystywanych instrumentów zapewniających bezpieczeństwo transferowanych danych, należą standardowe klauzule umowne przyjęte przez Komisję Europejską.
Administrator powinien również ustalić okoliczności transferu – w szczególności charakter danych, cel ich przekazania oraz zakres przetwarzania. Istotne jest także zapewnienie odpowiednich gwarancji ochrony praw osób, których dane dotyczą, takich jak możliwość dochodzenia roszczeń czy stosowanie odpowiednich środków bezpieczeństwa.
Ważnym elementem transferu danych jest również tzw. TIA (Transfer Impact Assessment), czyli ocena ryzyka związanego z przekazywaniem danych osobowych poza EOG. Narzędzie to zostało wypracowane w drodze orzecznictwa TSUE i ma ono na celu weryfikację, czy w kraju odbiorcy zapewniony jest odpowiedni poziom ochrony danych. TIA uwzględnia m.in. lokalne przepisy prawa, potencjalny dostęp władz do danych oraz zastosowane zabezpieczenia techniczne i organizacyjne.
Wdrożenie właściwych mechanizmów transferu danych jest jednym z kluczowych elementów zgodności z RODO w środowisku cyfrowym. Coraz więcej organizacji korzysta z usług globalnych dostawców technologii, co powoduje, że kwestie transferów danych stają się stałym elementem zarządzania ochroną danych osobowych w organizacji.