Przekazywanie danych osobowych do podmiotów z państw trzecich

Od 01 stycznia 2015r. obowiązują istotne zmiany przepisów ustawy o ochronie danych osobowych z 29 sierpnia 1997r. (dalej: uodo) dotyczące przekazywania danych osobowych do podmiotów z państw trzecich. Zmiany te zostały wprowadzone ustawą z dnia 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej. Są one ukierunkowane na stworzenie dla administratorów danych, w tym przedsiębiorców, ułatwień w tym zakresie. Dotyczy to przede wszystkim ograniczenia przypadków w których wymagane jest uzyskanie zgody Generalnego Inspektora Ochrony Danych Osobowych (dalej; GIODO) na przekazanie danych osobowych do podmiotów z państw trzecich.

Przez „państwo trzecie” w rozumieniu przepisów uodo rozumie się państwo nienależące do Europejskiego Obszaru Gospodarczego, tj. obejmującego państwa Unii Europejskiej i EFTA  (Islandia, Lichtenstein i Norwegia), z wyjątkiem Szwajcarii. Zasadą jest, iż przekazanie danych osobowych do państwa trzeciego może nastąpić, jeżeli państwo docelowe zapewnia na swoim terytorium odpowiedni poziom ochrony danych osobowych. Ten „odpowiedni poziom ochrony danych osobowych” jest oceniany z uwzględnieniem wszystkich okoliczności dotyczących operacji przekazania danych, w szczególności biorąc pod uwagę charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia danych oraz przepisy prawa obowiązujące w danym państwie trzecim oraz stosowane w tym państwie środki bezpieczeństwa i zasady zawodowe (art. 47 ust. 1-1a uodo). Poza wyjątkami wskazanymi w przepisach uodo (art. 47 ust. 2-3 uodo) przekazanie danych osobowych do państwa trzeciego, które nie zapewnia na swoim terytorium odpowiedniego poziomu ochrony danych osobowych, może nastąpić po uzyskaniu zgody GIODO, wydanej w drodze decyzji administracyjnej, pod warunkiem że administrator danych zapewni odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą.

Wskutek ww. zmian zgoda GIODO nie jest wymagana, jeżeli administrator danych zapewni odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą, przez: 1) standardowe klauzule umowne ochrony danych osobowych, zatwierdzone przez Komisję Europejską w drodze wydanych decyzji w tym zakresie zgodnie z powołanymi w przepisach uodo przepisami dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych lub 2) prawnie wiążące reguły lub polityki ochrony danych osobowych (zwane: „wiążącymi regułami korporacyjnymi”), po ich zatwierdzeniu przez GIODO w drodze decyzji administracyjnej. Te „wiążące reguły korporacyjne” dotyczyć mają przedsiębiorców  należących do tej samej grupy kapitałowej  do celów przekazania danych osobowych w ramach instytucji powierzenia przetwarzania danych osobowych (art. 31 uodo).

Należy mieć na względzie, że kwalifikacja danej sytuacji jako niewymagającej zgody GIODO nie wyłącza obowiązku dopełnienia przez administratora danych pozostałych wymogów wynikających z przepisów uodo, w tym w zakresie wykazania legalności przetwarzania tych danych, obowiązku informacyjnego, czy rejestracji zbiorów danych.