transfer danych osobowych do USA

Decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w USA - nowa Tarcza Prywatności

10 lipca 2023 r. Komisja Europejska wydała decyzję stwierdzającą zapewnienie odpowiedniego stopnia ochrony danych osobowych przez niektóre organizacje w USA. Decyzją tą stwierdzono, że odpowiedni poziom ochrony danych osobowych zapewniono poprzez m.in.:

• wprowadzenie odpowiedniego ustawodawstwa w zakresie ochrony danych osobowych, ustanowienie niezależnego organu nadzorczego do spraw ochrony danych osobowych,

• zobowiązanie się przez to państwo do przestrzegania zasad ochrony danych osobowych na poziomie odpowiadającym wymogom RODO (art. 45 ust. 2 RODO).

Wymogi te zostały zrealizowane dzięki przyjęciu "Ram ochrony danych UE-USA” (EU-US Data Privacy Framework), do których przystąpiły wspomniane organizacje. Potocznie są one nazywane nową Tarczą Prywatności.

Transfer danych pomiędzy UE i USA po decyzji Komisji Europejskiej

Wspomniana decyzja Komisji Europejskiej stanowi samodzielną przesłankę legalizującą transfer danych z UE do USA. Przekazywanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej wymaga bowiem zastosowania tylko jednego z narzędzi wskazanych w art. 45 -49 RODO. Dzięki wydanie tej decyzji administratorzy chcący przekazywać dane do USA co do zasady nie muszą:

• stosować dodatkowych rozwiązań takich jak standardowe klauzule umowne (art. 46 RODO) czy wiążące reguły korporacyjne (art. 47 RODO),

• stosować dodatkowych wymogów przewidzianych w art. 48 RODO,

• uzyskiwać odrębnego zezwolenia od jakiegokolwiek organu krajowego, bądź unijnego.

Co daje decyzja Komisji Europejskiej według RODO

Na mocy decyzji Komisji Europejskiej można:

• przetwarzać danych osobowych na obszarze tego państwa trzeciego,

• przekazywanie dane osobowe z i do tego państwa trzeciego,

• korzystać z oprogramowania i urządzeń zlokalizowanych w tym państwie trzecim,

• przetwarzać danych osobowych przez podmioty podległe prawu tego państwa trzeciego (np. korzystając z jego infrastruktury).

Przyjmuje się wówczas założenie, jakby podmiot zlokalizowany w państwie trzecim znajdował się na terenie UE.