Ostatni moment na aktualizację umów dotyczących transferu danych osobowych poza EOG

15.12.2022 / Prawo

  • W czerwcu 2021 r. Komisja Europejska przyjęła nowe standardowe klauzule umowne dla transferu danych do państw trzecich (Decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679).

Standardowe klauzule umowne stanowią jeden z instrumentów legalizujących przekazywanie danych osobowych poza Europejski Obszar Gospodarczy w sytuacji, kiedy w odniesieniu do danego państwa trzeciego nie została wydana decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony.  Klauzule umowne wprowadzone w/w decyzją mają zastosowanie do przekazywania danych:

 

  • pomiędzy administratorami danych (controller to controller),
  • przez administratorów danych podmiotom przetwarzającym dane na zlecenie (controller to procesor),
  • pomiędzy podmiotami przetwarzającymi (processor to processor) oraz
  • przez podmioty przetwarzające administratorom w państwie trzecim (procesor to controller).

 

Administratorzy i podmioty przetwarzające dane na zlecenie powinni wybrać odpowiedni moduł mający zastosowanie do ich sytuacji.

 

Co do zasady, umowy zawarte w oparciu o poprzednie standardowe klauzule umowne (wprowadzone decyzjami Komisji Europejskiej nr 2001/497/WE, 2004/915/WE oraz 2010/87/UE) uznawane są za zapewniające odpowiednie zabezpieczenie w rozumieniu art. 46 ust. 1 RODO przez okres 18 miesięcy od dnia wejścia w życie nowych klauzul. Termin ten mija 27 grudnia 2022 r.

 

Podmioty – zarówno administratorzy danych, jak i jednostki przetwarzające dane osobowe na zlecenie – które nadal przekazują dane poza EOG w oparciu o standardowe klauzule umowne obowiązujące przed 27 czerwca 2021 r., zobowiązane są więc do aktualizacji zawartych umów i uwzględnienia w nich nowych klauzul. Jak wynika z wyjaśnień Komisji Europejskiej, wprowadzony decyzją tekst klauzul nie może być zmieniany, z wyjątkiem wyboru modułów lub opcji oferowanych w tekście, uzupełnienia danych i wypełnienia załączników oraz dodania informacji o dodatkowych zabezpieczeniach. Możliwe jest także włączenie klauzul do szerszej umowy handlowej, o ile postanowienia umowne nie pozostają w sprzeczności z klauzulami i nie naruszają praw osób, których dane dotyczą.

 

Przypominamy również, że implementacja nowych standardowych klauzul umownych nie wyłącza obowiązku oceny planowanego transferu z punktu widzenia zgodności z wyrokiem TSUE w sprawie Schrems II (C-311/18) oraz ewentualnego wdrożenia środków uzupełniających.

Na ewentualne pytania w tym zakresie chętnie odpowiedzą autorzy artykułu:
Aleksandra Dyrek-Orlando
Partnerka
Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.
Joanna Toruniewska
Radca Prawny
Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.