Przekazanie danych osobowych za granicę nie jest proste

Magdalena Kogut-Czarkowska, prawnik w kancelarii Baker & McKenzie

– Ustawa o ochronie danych osobowych rozróżnia przekazywanie danych osobowych do państw Europejskiego Obszaru Gospodarczego (państwa UE oraz Norwegia, Islandia i Liechtenstein) od przekazywania ich do innych państw (tzw. państw trzecich). W przypadku członków EOG taki przekaz traktuje się tak samo, jakby odbywał się wewnątrz Polski. Jeśli chodzi o drugą grupę państw, to przekazujący dane z Polski musi ocenić, czy państwo odbiorcy zapewnia gwarancje ich ochrony przynajmniej na takim poziomie jak w Polsce. Na przykład Szwajcaria i Kanada zostały uznane przez Komisję Europejską za kraje zapewniające odpowiedni poziom bezpieczeństwa. Jeśli chodzi o USA, to KE uznała, że jeśli odbiorca danych jest na liście programu Safe Harbor prowadzonej przez Departament Handlu, to transfer danych do niego nie wymaga spełnienia dodatkowych wymogów.

– Administrator musi wykazać wówczas podstawę prawną ich transferu – ustawa wskazuje kilka takich przesłanek. W praktyce przekaz najczęściej oparty jest na przesłance wykonania umowy między administratorem a osobą, której dane dotyczą. Na przykład biuro podróży przekazuje hotelowi nazwiska gości albo firma handlowa przesyła zagranicznemu producentowi adres, na który ma wysłać paczkę. Ustawa dopuszcza przesyłanie danych publicznie dostępnych. Administrator może też poprosić osoby, których dane dotyczą, o pisemną zgodę na ich przekazanie.

– Przedsiębiorca może zawsze zwrócić się do generalnego inspektora ochrony danych osobowych z wnioskiem o zezwolenie na transfer danych. Musi wówczas wykazać, że dane będą dobrze zabezpieczone w kraju odbiorcy. Jednym ze sposobów na zapewnienie właściwego poziomu ochrony jest podpisanie z odbiorcą danych wzorcowych klauzul umownych opracowanych przez KE zawierających zapewnienie odbiorcy o zachowaniu bezpieczeństwa danych.