wymogi RODO<\/strong><\/a>.<\/p>\n\u015arodki uzupe\u0142niaj\u0105ce mog\u0105 mie\u0107 charakter umowny, techniczny lub organizacyjny. Nie zawsze rozwi\u0105\u017c\u0105 problem dost\u0119pu organ\u00f3w pa\u0144stwa trzeciego do danych, ale mog\u0105 ten dost\u0119p utrudni\u0107 lub uniemo\u017cliwi\u0107.<\/p>\n
Przyk\u0142adowe \u015brodki uzupe\u0142niaj\u0105ce:<\/strong><\/p>\n\n- Silne szyfrowanie danych<\/strong> \u2013 uniemo\u017cliwiaj\u0105ce odczytanie przez organy nadzoru w pa\u0144stwie trzecim. Mo\u017cesz to osi\u0105gn\u0105\u0107 stosuj\u0105c szyfrowanie oferowane przez odpowiednie oprogramowanie.<\/li>\n
- Kontrola kluczy kryptograficznych<\/strong> \u2013 przechowywanie kluczy pod wy\u0142\u0105czn\u0105 kontrol\u0105 podmiotu przekazuj\u0105cego lub zaufanych podmiot\u00f3w z terytorium EOG (przy przechowywaniu danych w kraju trzecim bez konieczno\u015bci dost\u0119pu do nich).<\/li>\n
- Pseudonimizacja<\/strong> \u2013 zastosowanie zabezpiecze\u0144 techniczno-organizacyjnych uniemo\u017cliwiaj\u0105cych powi\u0105zanie przekazywanych danych ze zidentyfikowan\u0105 osob\u0105 fizyczn\u0105. Mo\u017cliwe do wdro\u017cenia przy odpowiednim oprogramowaniu.<\/li>\n
- Podzia\u0142 danych na cz\u0119\u015bci<\/strong> \u2013 ka\u017cda cz\u0119\u015b\u0107 przekazywana innemu podmiotowi w innej jurysdykcji, tak aby \u017cadna z cz\u0119\u015bci nie pozwala\u0142a zidentyfikowa\u0107 konkretnej osoby bez dodatkowych informacji. Warunek: organy nadzoru w tych krajach nie mog\u0105 wsp\u00f3\u0142pracowa\u0107 w celu uzyskania dost\u0119pu do wszystkich cz\u0119\u015bci.<\/li>\n
- Tranzyt zaszyfrowanych danych<\/strong> \u2013 dane przep\u0142ywaj\u0105 przez pa\u0144stwo trzecie wy\u0142\u0105cznie w celu tranzytu do kraju zapewniaj\u0105cego odpowiedni\u0105 ochron\u0119. Wymagany wysoki poziom szyfrowania i brak mo\u017cliwo\u015bci odszyfrowania w pa\u0144stwie tranzytowym.<\/li>\n<\/ol>\n
Krok 5. Podejmij wymagane dzia\u0142ania proceduralne<\/h3>\n
Dzia\u0142ania proceduralne b\u0119d\u0105 r\u00f3\u017cne w zale\u017cno\u015bci od wybranego narz\u0119dzia z art. 46 RODO. Zalecenia 01\/2020 szczeg\u00f3\u0142owo opisuj\u0105 te kroki dla:<\/p>\n
\n- Standardowych klauzul ochronnych (SCCs)<\/strong> \u2013 art. 46 ust. 2 lit. c i d RODO<\/li>\n
- Wi\u0105\u017c\u0105cych regu\u0142 korporacyjnych (BCRs)<\/strong> \u2013 art. 46 ust. 2 lit. b RODO<\/li>\n
- Klauzul umownych<\/strong> mi\u0119dzy administratorem lub podmiotem przetwarzaj\u0105cym a odbiorc\u0105 danych w pa\u0144stwie trzecim \u2013 art. 46 ust. 3 lit. a RODO<\/li>\n<\/ol>\n
Sprawd\u017a tre\u015b\u0107 Zalece\u0144, \u017ceby dobra\u0107 procedur\u0119 do swojego scenariusza.<\/p>\n
Krok 6. Monitoruj i oceniaj ochron\u0119 danych na bie\u017c\u0105co<\/h3>\n
Twoja firma musi stale monitorowa\u0107 stan prawny w pa\u0144stwie, do kt\u00f3rego przekazuje dane. Przekazuj\u0105c dane do USA:<\/p>\n
\n- \u015aled\u017a zmiany w miejscowym prawie<\/strong> dotycz\u0105cym ochrony danych i nadzoru<\/li>\n
- Oceniaj, czy te zmiany nie obni\u017caj\u0105 poziomu ochrony<\/strong> danych osobowych<\/li>\n
- Przygotuj mechanizm szybkiego zawieszenia lub zako\u0144czenia transferu<\/strong>, je\u015bli sytuacja w danym kraju zacznie zagra\u017ca\u0107 ochronie danych<\/li>\n<\/ul>\n
Podsumowanie \u2013 co musisz wiedzie\u0107<\/h2>\n
Zgodnie z Zaleceniami EROD 01\/2020 to Ty jako podmiot przekazuj\u0105cy<\/strong> odpowiadasz za:<\/p>\n\n- analiz\u0119 i ocen\u0119 transferu danych,<\/li>\n
- zbadanie prawa pa\u0144stw spoza EOG,<\/li>\n
- dob\u00f3r w\u0142a\u015bciwych narz\u0119dzi przekazywania danych,<\/li>\n
- wdro\u017cenie \u015brodk\u00f3w uzupe\u0142niaj\u0105cych.<\/li>\n<\/ul>\n
Obowi\u0105zki, o kt\u00f3rych nie mo\u017cesz zapomnie\u0107:<\/strong><\/p>\n\n- Zachowaj nale\u017cyt\u0105 staranno\u015b\u0107 przy ka\u017cdym przekazaniu danych<\/li>\n
- Sporz\u0105d\u017a szczeg\u00f3\u0142ow\u0105 dokumentacj\u0119 dotycz\u0105c\u0105 przetwarzanych danych<\/li>\n
- Pami\u0119taj, \u017ce nie w ka\u017cdym przypadku uda si\u0119 wdro\u017cy\u0107 wystarczaj\u0105ce \u015brodki uzupe\u0142niaj\u0105ce<\/li>\n
- Przygotuj si\u0119 na sta\u0142e monitorowanie przepis\u00f3w prawa pa\u0144stwa trzeciego \u2013 w praktyce cz\u0119sto wymaga to wsparcia profesjonalnego dzia\u0142u prawnego lub miejscowej kancelarii<\/li>\n<\/ul>\n
Najcz\u0119\u015bciej zadawane pytania<\/h2>\n
Jak po wyroku Schrems II legalnie przekazywa\u0107 dane osobowe do USA zgodnie z RODO?<\/strong> Zgodnie z Zaleceniami EROD 01\/2020 musisz przej\u015b\u0107 6 krok\u00f3w: zidentyfikowa\u0107 wszystkie transfery danych w organizacji, zweryfikowa\u0107 podstaw\u0119 prawn\u0105 przekazywania (np. standardowe klauzule umowne lub wi\u0105\u017c\u0105ce regu\u0142y korporacyjne), oceni\u0107 prawo i praktyk\u0119 pa\u0144stwa trzeciego, wdro\u017cy\u0107 \u015brodki uzupe\u0142niaj\u0105ce (techniczne, organizacyjne, umowne), dope\u0142ni\u0107 wymaganych dzia\u0142a\u0144 proceduralnych, a na koniec uruchomi\u0107 sta\u0142y monitoring zmian prawnych w kraju odbiorcy. To Ty jako podmiot przekazuj\u0105cy odpowiadasz za ca\u0142\u0105 analiz\u0119, dob\u00f3r narz\u0119dzi i wdro\u017cenie zabezpiecze\u0144.<\/p>\n
\nCzy same standardowe klauzule umowne wystarcz\u0105, \u017ceby zgodnie z RODO przekazywa\u0107 dane do USA?<\/strong> Nie. Zastosowanie standardowych klauzul umownych (decyzja KE nr 2021\/914) nie zwalnia Ci\u0119 z oceny transferu pod k\u0105tem wyroku Schrems II ani z wdro\u017cenia dodatkowych \u015brodk\u00f3w uzupe\u0142niaj\u0105cych. Musisz zbada\u0107, czy prawo i praktyka pa\u0144stwa trzeciego pozwalaj\u0105 na skuteczne egzekwowanie ochrony wynikaj\u0105cej z tych klauzul, a je\u015bli nie \u2013 ustali\u0107 z odbiorc\u0105 danych konkretne zabezpieczenia wyr\u00f3wnuj\u0105ce poziom ochrony do standardu RODO.<\/p>\n
\nCo trzeba sprawdzi\u0107 przy ocenie prawa i praktyki pa\u0144stwa trzeciego przed transferem danych?<\/strong> Oce\u0144 siedem element\u00f3w: cel transferu (np. marketing, HR, IT), rodzaj podmiot\u00f3w zaanga\u017cowanych w przetwarzanie, sektor przekazania danych, kategorie danych osobowych (np. dane dzieci), spos\u00f3b przechowywania (lokalnie w kraju trzecim czy zdalny dost\u0119p), format danych (zwyk\u0142y tekst, pseudonimizowane, zaszyfrowane) oraz to, czy dane mog\u0105 trafi\u0107 dalej do kolejnego pa\u0144stwa trzeciego. Ocena powinna obejmowa\u0107 wszystkie podmioty uczestnicz\u0105ce w przekazywaniu, w tym podpowierzaj\u0105cych.<\/p>\n
\nJakie \u015brodki uzupe\u0142niaj\u0105ce mo\u017cna wdro\u017cy\u0107 przy przekazywaniu danych do USA po Schrems II?<\/strong> \u015arodki uzupe\u0142niaj\u0105ce mog\u0105 mie\u0107 charakter techniczny, umowny lub organizacyjny. W praktyce obejmuj\u0105 m.in. silne szyfrowanie danych uniemo\u017cliwiaj\u0105ce odczytanie przez organy pa\u0144stwa trzeciego, przechowywanie kluczy kryptograficznych wy\u0142\u0105cznie pod kontrol\u0105 podmiotu z EOG, pseudonimizacj\u0119 uniemo\u017cliwiaj\u0105c\u0105 powi\u0105zanie danych ze zidentyfikowan\u0105 osob\u0105, podzia\u0142 danych na cz\u0119\u015bci przekazywane do r\u00f3\u017cnych jurysdykcji oraz tranzyt danych wy\u0142\u0105cznie w formie zaszyfrowanej bez mo\u017cliwo\u015bci odszyfrowania w kraju tranzytowym.<\/p>\n
\nCzy zdalny dost\u0119p do danych z USA albo chmura poza EOG te\u017c s\u0105 traktowane jako transfer danych osobowych?<\/strong> Tak. Zdalny dost\u0119p z pa\u0144stwa trzeciego oraz przechowywanie danych w chmurze znajduj\u0105cej si\u0119 poza EOG to wed\u0142ug Zalece\u0144 EROD r\u00f3wnie\u017c przekazywanie danych osobowych. Oznacza to, \u017ce je\u015bli Tw\u00f3j zesp\u00f3\u0142 w USA loguje si\u0119 do system\u00f3w z danymi osobowymi albo korzystasz z chmury zlokalizowanej poza EOG, musisz przej\u015b\u0107 pe\u0142n\u0105 procedur\u0119 oceny transferu i wdro\u017cy\u0107 odpowiednie zabezpieczenia.<\/p>","protected":false},"excerpt":{"rendered":"W sierpniu informowali\u015bmy o wyroku TSUE (sprawa Schrems II), kt\u00f3ry uniewa\u017cni\u0142 decyzj\u0119 Komisji Europejskiej dotycz\u0105c\u0105 Tarczy Prywatno\u015bci UE-USA. Z powodu tego orzeczenia Tarcza przesta\u0142a obowi\u0105zywa\u0107, a tym samym znikn\u0119\u0142y podstawy do przekazywania danych do USA (zapraszam do zapoznania si\u0119 z ca\u0142ym wpisem na ten temat\u00a0tutaj). Trybuna\u0142 uzna\u0142, \u017ce postanowienia Tarczy nie dawa\u0142y gwarancji ochrony danych […]<\/p>","protected":false},"author":4,"featured_media":586,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[47],"tags":[196,229,230,231],"language":[],"ppma_author":[72],"class_list":["post-585","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-rodo","tag-rodo","tag-transfer-danych","tag-transfer-danych-osobowych","tag-transfer-poza-ue"],"acf":[],"jetpack_featured_media_url":"https:\/\/sawaryn.com\/wp-content\/uploads\/2022\/11\/transfer-danych-osobowych-poza-ue-scaled.jpg","authors":[{"term_id":72,"user_id":4,"is_guest":0,"slug":"mateuszs","display_name":"Mateusz Sawaryn","avatar_url":{"url":"https:\/\/sawaryn.com\/wp-content\/uploads\/2022\/08\/Mateusz-Sawaryn-foto-4.png","url2x":"https:\/\/sawaryn.com\/wp-content\/uploads\/2022\/08\/Mateusz-Sawaryn-foto-4.png"},"user_url":"https:\/\/www.linkedin.com\/in\/mateuszsawaryn\/","last_name":"Sawaryn","first_name":"Mateusz","description":""}],"_links":{"self":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/585","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/comments?post=585"}],"version-history":[{"count":7,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/585\/revisions"}],"predecessor-version":[{"id":4569,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/posts\/585\/revisions\/4569"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/media\/586"}],"wp:attachment":[{"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/media?parent=585"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/categories?post=585"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/tags?post=585"},{"taxonomy":"language","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/language?post=585"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/sawaryn.com\/en\/wp-json\/wp\/v2\/ppma_author?post=585"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}