przekazywanie danych osobowych do USA
Transfer danych do USA możliwy na mocy decyzji Komisji Europejskiej
Transfer danych osobowych do USA od momentu wydania przez TSUE wyroku w sprawie Schrems II był niezwykle problematyczny. Po wygaśnięciu Tarczy Prywatności administratorzy chcący skorzystać z usług chmurowych, poczty elektronicznej czy serwerów amerykańskich firm musieli szukać dodatkowych rozwiązań legalizujących przekazywanie danych do państwa trzeciego, co nie zawsze było bezpiecznym rozwiązaniem. Na szczęście Komisja Europejska wydala decyzję stwierdzający odpowiedni stopień ochrony danych osobowych przez niektóre organizacje w Stanach Zjednoczonych. Sprawdź, jak po tej decyzji wygląda transfer danych do USA.
Decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w USA - nowa Tarcza Prywatności
10 lipca 2023 r. Komisja Europejska wydała decyzję stwierdzającą zapewnienie odpowiedniego stopnia ochrony danych osobowych przez niektóre organizacje w USA. Decyzją tą stwierdzono, że odpowiedni poziom ochrony danych osobowych zapewniono poprzez m.in.:
- wprowadzenie odpowiedniego ustawodawstwa w zakresie ochrony danych osobowych, ustanowienie niezależnego organu nadzorczego do spraw ochrony danych osobowych,
- zobowiązanie się przez to państwo do przestrzegania zasad ochrony danych osobowych na poziomie odpowiadającym wymogom RODO (art. 45 ust. 2 RODO).
Wymogi te zostały zrealizowane dzięki przyjęciu "Ram ochrony danych UE-USA” (EU-US Data Privacy Framework), do których przystąpiły wspomniane organizacje. Potocznie są one nazywane nową Tarczą Prywatności.
Transfer danych pomiędzy UE i USA po decyzji Komisji Europejskiej
Wspomniana decyzja Komisji Europejskiej stanowi samodzielną przesłankę legalizującą transfer danych z UE do USA. Przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej wymaga bowiem zastosowania tylko jednego z narzędzi wskazanych w art. 45 -49 RODO. Dzięki wydanie tej decyzji administratorzy chcący przekazywać dane do USA co do zasady nie muszą:
- stosować dodatkowych rozwiązań takich jak standardowe klauzule umowne (art. 46 RODO) czy wiążące reguły korporacyjne (art. 47 RODO),
- stosować dodatkowych wymogów przewidzianych w art. 48 RODO,
- uzyskiwać odrębnego zezwolenia od jakiegokolwiek organu krajowego, bądź unijnego.
Co daje decyzja Komisji Europejskiej według RODO
Na mocy decyzji Komisji Europejskiej można:
- przetwarzać danych osobowych na obszarze tego państwa trzeciego,
- przekazywanie dane osobowe z i do tego państwa trzeciego,
- korzystać z oprogramowania i urządzeń zlokalizowanych w tym państwie trzecim,
- przetwarzać danych osobowych przez podmioty podległe prawu tego państwa trzeciego (np. korzystając z jego infrastruktury).
Przyjmuje się wówczas założenie, jakby podmiot zlokalizowany w państwie trzecim znajdował się na terenie UE.
Z artykułu dowiesz się m.in.:
-
jak upewnić się, czy dana organizacja z USA przystąpiła do Ram ochrony danych UE-USA
-
jak sprawdzić, czy organizacji tej można przekazywać dane osobowe w oparciu o decyzję Komisji Europejskiej
-
jak postąpić, gdy dana organizacja nie spełnia wymogów przewidzianych w decyzji.
-
jakie są inne środki legalizujące transfer danych do USA.
