Komisja Europejska pracuje nad przyjęciem decyzji o stopniu ochrony danych osobowych wobec Japonii. Będzie to pierwsza decyzja tego typu wydana na gruncie przepisów RODO. Projekt decyzji został w grudniu bieżącego roku zaopiniowany przez Europejską Radę Ochrony Danych. Rozmowy nad rozpoczęciem procedury podjęcia decyzji o adekwatności prowadzi również Korea Południowa.
Plany przyjęcia decyzji o adekwatności wobec Japonii to dobra wiadomość dla przedsiębiorców z UE przekazujących do tego kraju dane osobowe np. w ramach grupy kapitałowej czy outsourcingu usług, ponieważ umożliwi transfer danych osobowych bez konieczności ustanawiania dodatkowych zabezpieczeń np. w postaci wiążących reguł korporacyjnych. Po przyjęciu decyzji dane będą mogły być przekazywane do Japonii na takich samych zasadach jak do krajów wewnątrz UE.
Kraje zapewniające odpowiedni poziom ochrony danych
Komisja Europejska wydawała decyzje o adekwatności także przed obowiązywaniem RODO, na gruncie jego poprzednika – Dyrektywy 95/46/WE. Decyzje te pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia. Dzięki nim dane osobowe mogą być przekazywane do:
- Andory
- Argentyny
- Australii (w ograniczonym zakresie)
- Guernsey
- Izraela
- Kanady
- Nowej Zelandii
- Stanów Zjednoczonych (w ograniczonym zakresie – w przypadku podmiotów będących członkami programu Tarcza Prywatności)
- Szwajcarii
- Urugwaju
- Wyspy Man
- Wysp Owczych
Kraje nie uznane za zapewniające odpowiedni poziom ochrony danych
Jeżeli dane przekazywane są do kraju spoza UE i EOG nie ujętego na powyższej liście takich jak Rosja, Ukraina czy Turcja albo np. przekazywane są do podmiotów w USA nie będącymi uczestnikami programu Tarcza Prywatności, konieczne będzie podjęcie dodatkowych kroków zapewniających bezpieczeństwo danych np. w postaci:
- wiążących reguł korporacyjnych,
- standardowych klauzul umownych,
- mechanizmu certyfikacji.
Warunkowy transfer danych
Jeżeli żadne z powyższych zabezpieczeń nie zostało przyjęte, transfer danych do państwa trzeciego może nastąpić jedynie wyjątkowo, pod warunkiem spełnienia jednej z przesłanek wskazanych w art. 49 ust. 1 RODO. Przesłankami tymi są między innymi:
- wyraźna zgoda na transfer danych wyrażona przez osobę, której dane dotyczą, po poinformowaniu jej o braku odpowiednich zabezpieczeń, w tym braku decyzji KE i związanym z tym ryzykiem,
- niezbędność transferu do wykonania umowy między osobą, którą dane dotyczą a administratorem danych,
- niezbędność transferu do zawarcia lub wykonania umowy zawartej w interesie osoby, której dane dotyczą,
- niezbędność transferu ze względu na waży interes publiczny lub do ustalenia, dochodzenia lub ochrony roszczeń,
- niezbędność transferu do ochrony żywotnych interesów osoby, której dane dotyczą lub innych osób, jeżeli osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody.
Transfer danych na podstawie opisanych powyżej warunków stanowi sytuację wyjątkową i nie powinien być nadużywany. Zgodnie z wytycznymi Europejskiej Rady Ochrony Danych, nie może być on podstawą legalnego przekazywania danych osobowych do państw trzecich w ramach grupy kapitałowej, w której następuje outsourcing usług.
Mimo, że na pierwszy rzut oka legalizacja transferu poprzez uzyskanie zgody podmiotu, którego dane dotyczą może wydawać się rozwiązaniem najłatwiejszym dla przedsiębiorców, powinno być ono stosowane jedynie wyjątkowo. Zgoda ta musi spełniać bardziej rygorystyczne przesłanki niż standardowa zgoda na przetwarzanie danych. Musi być ona wyraźna, konkretna (nie blankietowa) oraz świadoma – a więc poprzedzona rzetelną informacją o braku zabezpieczeń danych osobowych i związanym z tym ryzykiem. Dodatkowo zgoda może zostać cofnięta w każdej chwili.
