Ostatni moment na aktualizację umów dotyczących transferu danych osobowych poza EOG

Standardowe klauzule umowne stanowią jeden z instrumentów legalizujących przekazywanie danych osobowych poza Europejski Obszar Gospodarczy w sytuacji, kiedy w odniesieniu do danego państwa trzeciego nie została wydana decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony.  Klauzule umowne wprowadzone w/w decyzją mają zastosowanie do przekazywania danych:

• pomiędzy administratorami danych (controller to controller),
• przez administratorów danych podmiotom przetwarzającym dane na zlecenie (controller to procesor),
• pomiędzy podmiotami przetwarzającymi (processor to processor) oraz
• przez podmioty przetwarzające administratorom w państwie trzecim (procesor to controller).

Administratorzy i podmioty przetwarzające dane na zlecenie powinni wybrać odpowiedni moduł mający zastosowanie do ich sytuacji.

Co do zasady, umowy zawarte w oparciu o poprzednie standardowe klauzule umowne (wprowadzone decyzjami Komisji Europejskiej nr 2001/497/WE, 2004/915/WE oraz 2010/87/UE) uznawane są za zapewniające odpowiednie zabezpieczenie w rozumieniu art. 46 ust. 1 RODO przez okres 18 miesięcy od dnia wejścia w życie nowych klauzul. Termin ten mija 27 grudnia 2022 r.

Podmioty – zarówno administratorzy danych, jak i jednostki przetwarzające dane osobowe na zlecenie – które nadal przekazują dane poza EOG w oparciu o standardowe klauzule umowne obowiązujące przed 27 czerwca 2021 r., zobowiązane są więc do aktualizacji zawartych umów i uwzględnienia w nich nowych klauzul. Jak wynika z wyjaśnień Komisji Europejskiej, wprowadzony decyzją tekst klauzul nie może być zmieniany, z wyjątkiem wyboru modułów lub opcji oferowanych w tekście, uzupełnienia danych i wypełnienia załączników oraz dodania informacji o dodatkowych zabezpieczeniach. Możliwe jest także włączenie klauzul do szerszej umowy handlowej, o ile postanowienia umowne nie pozostają w sprzeczności z klauzulami i nie naruszają praw osób, których dane dotyczą.

Przypominamy również, że implementacja nowych standardowych klauzul umownych nie wyłącza obowiązku oceny planowanego transferu z punktu widzenia zgodności z wyrokiem TSUE w sprawie Schrems II (C-311/18) oraz ewentualnego wdrożenia środków uzupełniających.