Wiele danych osobowych przekazywanych jest nie tylko na terenie kraju, ale także poza nim. Przepisy, które zawiera rozporządzenie o ochronie danych osobowych potocznie zwane RODO, mają bardzo szeroki zasięg terytorialny. Obowiązują one bez względu na to, jakie jest miejsce docelowe przesyłanych danych. Mają więc zastosowanie także wtedy, gdy dane osobowe przekazywane są do kraju, który nie jest członkiem Unii Europejskiej.

Kiedy transfer danych do państw trzecich jest możliwy?

Mianem państwa trzeciego określa się państwo spoza Europejskiego Obszaru Gospodarczego. W przypadku tych państw transfer danych jest możliwy tylko wtedy, gdy stopień ochrony osób fizycznych, które zagwarantowane zostało przepisami RODO nie zostanie naruszony. Przed dokonaniem transferu niezbędne jest potwierdzenie, że w państwie stosowany jest odpowiedni poziom zabezpieczeń danych. Przekazanie danych do państw spoza Europejskiego Obszaru Gospodarczego możliwe jest także wtedy, gdy prawa osób, których dane te dotyczą będą możliwe do egzekwowania, a środki ochrony prawnej są skuteczne. Warunki te muszą być spełnione razem. Ochronę danych podczas transferu do państw trzecich można zapewnić w bardzo różny sposób. Możliwe jest wprowadzenie do umowy przyjętych przez Komisję Europejską bądź UODO klauzul ochrony danych. Inna możliwość to zastosowanie tak zwanych reguł korporacyjnych. Trzecia możliwość to przejście procesu certyfikacji i uzyskanie certyfikatu, który potwierdzi, że operacje, których dokonuje administrator danych są zgodne z przepisami rozporządzenie o ochronie danych osobowych.

Jakie kraje są spoza Europejskiego Obszaru Gospodarczego?

Na terytorium krajów, które należą do Europejskiego Obszaru Gospodarczego obowiązuje swobodny przepływ danych. Do Europejskiego Obszaru Gospodarczego należą wszystkie kraje członkowskie Unii Europejskiej oraz Norwegia, Liechtenstein i Islandia. Pozostałe kraje, w tym także Wielka Brytania traktowane są jako państwa trzecie. Administrator danych, który ma zamiar dokonać transferu danych do państw trzecich musi uzyskać zezwolenie na ich transfer. Od tej reguły są jednak wyjątki. Komisja Europejska publikuje wykaz krajów trzecich, do których możliwe jest przekazanie danych bez konieczności uzyskania pozwolenia. Wśród państw, do których transfer danych nie wymaga otrzymania pozwolenia znajdują się między innymi: Izrael, Kanada, Nowa Zelandia. Obowiązkiem administratora jest jednak poinformowanie o planowanym przekazaniu danych do państwa trzeciego osoby, której dane te dotyczą.

Monika Zygmunt - Jakuć (inspektor ochrony danych)