Transfer danych osobowych do państw trzecich

Szanowni Państwo,

uprzejmie informuję, że w dniu 27 czerwca 2021 r. wejdzie w życie decyzja Komisji Europejskiej 2021/914 w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich (spoza Europejskiego Obszaru Gospodarczego) oznacza to, że zawarte dotychczas umowy zawierające klauzule umowne określone w decyzjach 2001/497/WE i 2010/87/UE z podmiotami mającymi swoją siedzibę w państwie trzecim będą wymagały aneksowania.

Zgodnie z decyzją KE stosowane dotychczas standardowe klauzule umowne utracą moc 27 września 2021 r. – umowy zawierane po tej dacie powinny zawierać wyłącznie nowe klauzule. Natomiast w odniesieniu do umów zawartych przed 27 września 2021 r. KE stosuje warunkowo okres przejściowy. Jeżeli nie ulegną zmianie postanowienia co do przetwarzania danych osobowych aneksowanie umów może odbyć się najpóźniej do dnia 27 grudnia 2022 r.

Decyzja Komisji Europejskiej jest dostępna tutaj. Komunikaty Urzędu Ochrony Danych Osobowych w tym zakresie są dostępne tutaj i tutaj.

W związku z powyższym, działaniem rekomendowanym przez Inspektora Ochrony Danych jest dokonanie przeglądu zawartych umów z podmiotami z państw trzecich (spoza EOG) i weryfikacja czy realizacja umów nie wiąże się z przekazywaniem danych osobowych administrowanych przez UW do państw trzecich. Jeżeli w umowach stwierdzą Państwo stosowanie dotychczasowych standardowych klauzul umownych, należy jak najszybciej aneksować umowy w celu zastosowania nowych wzorów.

Zawierając nowe umowy z podmiotami mającymi siedzibę w państwach trzecich należy w miarę możliwości stosować wyłącznie nowe standardowe klauzule umowne.

Co to jest transfer danych do państw trzecich?

Transferem danych do państw trzecich jest przekazanie danych osobowych poza bezpieczny w rozumieniu przepisów RODO Europejski Obszar Gospodarczy (EOG). Operacją transferową jest w szczególności przekazanie (udostępnienie) danych osobowych administratorowi z państwa trzeciego jak i powierzenie przetwarzania danych osobowych podmiotowi przetwarzającemu spoza UE/EOG.

Najbezpieczniejszą z punktu widzenia UW podstawą transferu danych osobowych poza EOG jest decyzja KE stwierdzająca, że dane państwo posiada adekwatne standardy prawne ochrony danych osobowych. Lista tych państw dostępna jest tutaj.

Stosowanie standardowych klauzul umownych jest rekomendowaną podstawą transferu danych osobowych do pozostałych państw, takich jak np.: Stany Zjednoczone, Wielka Brytania, Chiny, itp.