16 lipca 2020 roku Trybunał Sprawiedliwości Unii Europejskiej wydał bardzo istotny wyrok, który wymusza zmianę dotychczasowych zasad transferu danych osobowych poza Europejski Obszar Gospodarczy, a w szczególności do Stanów Zjednoczonych.

Wyrok ma istotne znaczenie dla szerokiego grona administratorów danych osobowych, w szczególności dla podmiotów korzystających z narzędzi takich jak Google Analytics, Pixel Facebooka, czy też z usług świadczonych drogą elektroniczną opartych o przetwarzanie danych w chmurze, których dostawca przekazuje dane osobowe poza Europejski Obszar Gospodarczy (m.in. Apple iCloud, Dysk Google, Microsoft OneDrive).

TSUE stwierdził, że prawo amerykańskie (tj. art. 702 FISA i rozporządzenie wykonawcze 12333) nie zapewnia merytorycznie równoważnego stopnia ochrony danych osobowych z prawem obowiązującym na terenie Europejskiego Obszaru Gospodarczego.

Oznacza to, że transfer danych osobowych do Stanów Zjednoczonych zwykle wymagać będzie wprowadzenia tzw. „środków uzupełniających” w celu zapewnienia, że prawo Stanów Zjednoczonych nie będzie mieć negatywnego wpływu na ochronę przekazanych danych osobowych.

CO WYNIKA Z WYROKU TSUE?

Privacy Shield (Tarcza Prywatności) została uznana za nieważną i nie może dłużej stanowić podstawy prawnej transferu danych osobowych do Stanów Zjednoczonych.

Standardowe Klauzule Umowne (SCC) są ważną podstawą prawną transferu danych osobowych poza Europejski Obszar Gospodarczy, o ile istnieją skuteczne mechanizmy umożliwiające zapewnienie zgodności ze stopniem ochrony danych osobowych merytorycznie równoważnym temu gwarantowanemu w Unii Europejskiej przez RODO.

Prawo amerykańskie (tj. art. 702 FISA i rozporządzenie wykonawcze 12333) nie zapewnia merytorycznie równoważnego stopnia ochrony danych osobowych z prawem obowiązującym na terenie Europejskiego Obszaru Gospodarczego.

CO PAŃSTWA ORGANIZACJA POWINNA ZROBIĆ?

• zweryfikować czy w ramach Państwa organizacji dochodzi do transferu danych osobowych poza Europejski Obszar Gospodarczy;
• zweryfikować czy transfer jest niezbędny;
• zweryfikować podstawę prawną transferu;
• znaleźć inną podstawę prawną transferu jeżeli podstawą prawną transferu była Tarcza Prywatności (Privacy Shield);
• jeżeli podstawą prawną transferu są Standardowe Klauzule Umowne (SCC) lub Wiążące Reguły Korporacyjne (BRC) – ocenić czy w państwie trzecim przestrzegany jest stopień ochrony danych osobowych wymagany przez RODO;
• jeżeli z oceny wynika, że państwo trzecie nie zapewnia stopnia ochrony danych osobowych wymaganego przez RODO – ocenić możliwość wprowadzenia środków uzupełniających w celu zapewnienia merytorycznie równoważnego stopnia ochrony danych osobowych;
• w innych przypadkach należy rozważyć zastosowanie wyjątków z art. 49 RODO lub zaprzestać transferu.

Daniel Trędkiewicz

Aplikant radcowski

daniel.tredkiewicz@forystek.pl