irlandia, klauzule umowne, ochrona danych osobowych, rodo, schrems ii, transfery danych, wielka brytania
W czerwcu Komisja Europejska wydała trzy istotne decyzje:
- w sprawie standardowych klauzul umownych dotyczących powierzenia przetwarzania danych osobowych pomiędzy administratorem a podmiotem przetwarzającym,
- w sprawie standardowych klauzul umownych dla międzynarodowych transferów danych osobowych,
- o adekwatności ochrony danych osobowych przez Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej.
Standardowe klauzule umowne pomiędzy administratorami i podmiotami przetwarzającymi
Standardowe klauzule umowne pomiędzy administratorami i podmiotami przetwarzającymi to zaakceptowany przez Komisję Europejską wzór umowy zawierający modelowe postanowienia regulujące współpracę tych podmiotów w związku z powierzeniem przetwarzania danych osobowych.
Zadaniem standardowych klauzul umownych jest ułatwienie w ustalaniu pomiędzy stronami treści umowy powierzenia przetwarzania danych, aby była ona zgodna z wymogami nałożonymi przez art. 28 RODO. Stosowanie klauzul umownych będzie zawsze wymagało uzupełnienia ich o szczegółowy opis przedmiotu, celu i charakteru przetwarzania, kategorie danych osobowych i podmiotów danych, a także o środki bezpieczeństwa, które będą stosowane w ramach przetwarzania.
Warunkiem skuteczności standardowych klauzul umownych jest przyjęcie ich zgodnie z ustalonym przez KE wzorem, bez możliwości takiego ich uzupełnienia, które może spowodować, że wprowadzone zmiany będą sprzeczne z proponowanym wzorcem.
Standardowe klauzule umowne mogą być stosowane od 27 czerwca 2021 r.
Standardowe klauzule umowne dla międzynarodowych transferów danych osobowych
Zgodnie z RODO, przekazywanie danych osobowych do państw trzecich wymaga ustalenia odpowiedniej podstawy do takiego transferu. Jednym z narzędzi zapewniających odpowiedni stopień zabezpieczenia są standardowe klauzule umowne, o których mowa w art. 46 RODO. Komisja Europejska zdecydowała się przyjąć nowe standardowe klauzule umowne dla międzynarodowego transferu danych osobowych, które zastępują dotychczas obowiązujące trzy zestawy klauzul umownych wydanych na postawie uchylonej już dyrektywy 95/46.
Nowe klauzule umowne dla międzynarodowego transferu danych osobowych dotyczą następujących kwestii:
- dostosowują mechanizm legalizacyjny przekazywania danych osobowych do wymogów ogólnego rozporządzenia o ochronie danych (RODO);
- eliminują znane niedociągnięcia w dotychczasowych standardowych klauzulach umownych, przede wszystkim w odniesieniu do przekazywania danych osobowych z udziałem wielu stron, w tym od podmiotów przetwarzających dane do ich podwykonawców, a także od podmiotów przetwarzających dane osobowe w UE do administratorów spoza UE; oraz
- stanowią odpowiedź na orzeczenie Trybunału Sprawiedliwości w sprawie Schrems II.
Nowe standardowe klauzule umowne zostały zaprojektowane w ten sposób, aby umożliwić realizację czterech modeli współpracy:
- administrator – administrator,
- administrator – procesor,
- procesor – procesor,
- procesor – administrator.
Standardowe klauzule umowne mogą być stosowane od 27 czerwca 2021 r.
Komisja dopuściła, aby w okresie przejściowym, tj. nie później niż do 26 września 2021 r., były jeszcze zawierane dotychczasowe standardowe klauzule umowne wydane na podstawie dyrektywy 95/46. Po tym czasie będzie można zawrzeć tylko nowe standardowe klauzule umowne.
Jeśli zaś strony zawarły już standardowe klauzule umowne wydane na podstawie dotychczasowych przepisów, przewidziano 18-miesięczny okres przejściowy (do 27 grudnia 2022 r.), pod warunkiem, że operacje przetwarzania stanowiące przedmiot umowy pozostaną niezmienione oraz że stosowanie tych klauzul zapewnia, aby przekazywanie danych osobowych odbywało się z zastrzeżeniem odpowiednich zabezpieczeń.
Decyzja o adekwatności ochrony danych osobowych w Wielkiej Brytanii
W dniu 28 czerwca 2021 r. Komisja Europejska przyjęła decyzję stwierdzającą zapewnienie przez Zjednoczone Królestwo Wielkiej Brytanii i Irlandii Północnej odpowiedniego stopnia ochrony danych osobowych.
Wydanie decyzji o adekwatności jest pokłosiem wystąpienia Wielkiej Brytanii z Unii Europejskiej. Przyjęcie przez Komisję Europejską decyzji powoduje, że dane osobowe mogą obecnie swobodnie przepływać z Unii Europejskiej do Zjednoczonego Królestwa, gdzie korzystają z poziomu ochrony zasadniczo równoważnego z poziomem gwarantowanym na mocy prawa UE.
Po raz pierwszy decyzja dotyczące odpowiedniego poziomu ochrony danych osobowych zawiera tzw. „klauzulę wygaśnięcia", która ściśle ogranicza czas jej obowiązywania. Decyzja o adekwatności automatycznie wygaśnie cztery lata po jej wejściu w życie, tj. w dniu 27 czerwca 2025 r. Po tym okresie ustalenia dotyczące odpowiedniego poziomu ochrony mogą zostać przedłużone, jednak tylko wtedy, gdy Zjednoczone Królestwo nadal będzie zapewniać odpowiedni poziom ochrony danych osobowych.
Post Views:
1 192
