brak wersji klauzul informacyjnych dla krajów trzecich

Brak wersji klauzul informacyjnych dla krajów trzecich to usterka zgodności pozostawiająca informacje prawne niedostosowane do odbiorców spoza UE.

Brak wersji klauzul informacyjnych dla krajów trzecich – czym jest ta niezgodność

Brak wersji klauzul informacyjnych dla krajów trzecich oznacza, że przygotowane informacje o przetwarzaniu danych nie zostały dostosowane do sytuacji, w której dane osobowe są przekazywane poza Europejski Obszar Gospodarczy albo mogą być dostępne przez odbiorcę znajdującego się w państwie spoza tego obszaru. Nie chodzi wyłącznie o brak tłumaczenia dokumentu. Problem może dotyczyć również niepełnego opisu podstawy przekazania, niewskazania państwa odbiorcy, pominięcia zastosowanych zabezpieczeń albo przedstawienia informacji w sposób niezrozumiały dla osoby, której dane dotyczą.

Klauzula informacyjna powinna pozwalać na świadome ustalenie, kto wykorzystuje dane, w jakim celu, na jakiej podstawie, przez jaki czas oraz komu mogą one zostać ujawnione. Jeżeli w procesie przetwarzania pojawia się odbiorca z kraju trzeciego, zakres informacji powinien uwzględniać ten element. W przeciwnym razie osoba otrzymuje opis niepełny, nawet gdy pozostałe części dokumentu są prawidłowe. Usterka może powstać przy korzystaniu z zagranicznego dostawcy poczty elektronicznej, systemu zgłoszeń, narzędzia analitycznego, platformy rekrutacyjnej, usługi hostingu lub aplikacji wykorzystywanej przez serwis.

W praktyce znaczenie ma nie tylko miejsce siedziby dostawcy. Należy również sprawdzić, gdzie odbywa się przechowywanie danych, skąd odbywa się dostęp administracyjny, jakie podmioty pomocnicze uczestniczą w obsłudze usługi i czy dane mogą być udostępniane na podstawie prawa państwa trzeciego. Samo wskazanie nazwy programu lub dostawcy zwykle nie wystarcza do spełnienia obowiązku informacyjnego.

Klauzule dla krajów trzecich w kontekście technicznym i prawnym

Ocena problemu wymaga połączenia analizy dokumentów z rozpoznaniem rzeczywistego przepływu danych. W warstwie prawnej trzeba ustalić, czy występuje przekazanie danych do państwa trzeciego lub udostępnienie danych podmiotowi, który może uzyskać do nich dostęp z takiego państwa. W warstwie technicznej należy prześledzić drogę danych od momentu ich zebrania, przez przesłanie i zapis, aż do usunięcia lub anonimizacji.

Możliwe jest wystąpienie kilku odmiennych sytuacji. Dane mogą być faktycznie przechowywane poza Europejskim Obszarem Gospodarczym. Mogą być przechowywane w Europie, ale obsługiwane przez personel dostawcy zlokalizowany w kraju trzecim. Dostawca może także korzystać z dalszych podwykonawców, których lokalizacja nie została uwzględniona w wewnętrznych rejestrach. Każdy z tych wariantów powinien zostać odrębnie opisany i zestawiony z odpowiednią podstawą prawną.

Nie należy utożsamiać klauzuli informacyjnej z umową powierzenia ani z samym mechanizmem legalizującym transfer. Umowa może regulować relację między stronami, a zastosowane zabezpieczenie może określać warunki przekazania. Klauzula ma natomiast funkcję informacyjną wobec osoby, której dane dotyczą. Powinna wskazywać, że transfer następuje, określać jego kierunek lub kategorię odbiorców oraz przedstawiać zastosowane zabezpieczenia i sposób uzyskania dalszych informacji, jeżeli wymagają tego okoliczności.

Ważne jest również odróżnienie państwa siedziby dostawcy od państw, w których działają jego podwykonawcy. Weryfikacja powinna obejmować politykę prywatności, wykaz podmiotów pomocniczych, warunki świadczenia usługi, informacje o lokalizacji centrów danych oraz procedury reagowania na żądania organów publicznych. W ten sposób ogranicza się ryzyko oparcia klauzuli na założeniu, które nie odpowiada faktycznej architekturze usługi.

Typowe problemy związane z brakiem wersji klauzul informacyjnych

Jednym z częstych błędów jest przygotowanie jednej ogólnej klauzuli, w której używa się określenia „partnerzy zagraniczni” bez podania, co to oznacza. Taki zwrot może być zbyt nieprecyzyjny, ponieważ nie wyjaśnia, czy chodzi o podmioty z Europejskiego Obszaru Gospodarczego, czy o odbiorców z państw trzecich. Trudność pojawia się także wtedy, gdy dokument wskazuje jedynie kategorię „dostawcy usług IT”, mimo że wykorzystywane są narzędzia należące do różnych podmiotów i działające w różnych jurysdykcjach.

Innym problemem jest nieuwzględnienie zmiany dostawcy. Klauzula mogła być poprawna w chwili jej opracowania, lecz po wdrożeniu nowego systemu stała się nieaktualna. Dotyczy to zwłaszcza formularzy kontaktowych, systemów obsługi zgłoszeń, narzędzi do wysyłki powiadomień, rejestracji rozmów lub przechowywania załączników. Brak aktualizacji może obejmować również wersje językowe. Dokument dostępny tylko w języku używanym wewnętrznie nie zawsze zapewnia przejrzystą informację osobom, do których kierowany jest proces.

Ryzyko powstaje także przy mechanicznym kopiowaniu klauzul z innych stron internetowych. Każda organizacja może korzystać z innego zestawu usług, przetwarzać inne kategorie danych i opierać transfer na innych rozwiązaniach. Skopiowany dokument może zawierać nieistniejących odbiorców, nieaktualne podstawy albo pomijać realnie wykorzystywane narzędzia. Nieprawidłowość może dotyczyć również miejsca udostępnienia dokumentu, gdy osoba otrzymuje starszą wersję za pośrednictwem formularza, wiadomości lub wydruku.

Do oceny należy włączyć dane przekazywane za pomocą urządzeń i oprogramowania serwisowego. W przypadku naprawy sprzętu mogą wystąpić pliki użytkownika, dane kontaktowe, kopie zapasowe, dane dostępowe lub informacje zapisane w aplikacjach. Jeżeli dane są przesyłane do zewnętrznego narzędzia diagnostycznego albo przechowywane przez dostawcę spoza Europejskiego Obszaru Gospodarczego, powinno zostać ustalone, czy istnieje odpowiednia informacja dla osoby, której dane dotyczą.

Praktyczne wskazówki dotyczące klauzul dla odbiorców spoza UE

Najpierw powinno się sporządzić mapę przepływu danych. Przy każdym procesie warto odnotować kategorię danych, cel, źródło, odbiorcę, lokalizację przetwarzania, rolę dostawcy oraz moment usunięcia. Następnie należy porównać te ustalenia z treścią obowiązujących klauzul. Szczególną uwagę należy zwrócić na procesy wykorzystujące usługi dostępne w chmurze, zdalny dostęp, automatyczne powiadomienia i narzędzia obsługiwane przez międzynarodowe grupy dostawców.

Wersja poprawiona powinna być zrozumiała dla odbiorcy i proporcjonalna do procesu. Nie wystarczy dodać pojedynczego zdania o możliwości przekazania danych za granicę, jeżeli nie wiadomo, do jakich kategorii odbiorców może dojść do ujawnienia danych ani jakie zabezpieczenia zastosowano. Należy opisać transfer w sposób konkretny, ale bez przeciążania dokumentu terminologią, która nie pomaga w podjęciu świadomej decyzji.

Warto ustanowić procedurę przeglądu klauzul po zmianie dostawcy, zakresu usługi, lokalizacji danych lub sposobu dostępu. Przydatne jest prowadzenie rejestru wersji z datą obowiązywania, wskazaniem zmienionych procesów i informacją o kanałach, w których opublikowano dokument. Należy sprawdzić formularze internetowe, wiadomości wysyłane automatycznie, dokumenty papierowe, załączniki do umów oraz materiały przekazywane osobom przy rozpoczęciu współpracy.

Jeżeli nie ma pewności, czy określony dostęp stanowi przekazanie do kraju trzeciego, powinno się zebrać informacje od dostawcy i przeanalizować faktyczny model usługi. Nie należy przyjmować, że brak widocznego eksportu plików oznacza brak transferu. Dostęp zdalny, wsparcie techniczne, kopie bezpieczeństwa i dalsze podwykonawstwo mogą mieć znaczenie dla oceny. Każde ustalenie powinno być możliwe do odtworzenia na podstawie umów, konfiguracji, rejestrów i aktualnych informacji od dostawców.

Kiedy zgłosić brak wersji klauzul informacyjnych do serwisu

Zgłoszenie warto rozważyć, gdy po zmianie sprzętu, konfiguracji lub oprogramowania pojawiła się wątpliwość, czy dane mogą być przesyłane do odbiorcy spoza Europejskiego Obszaru Gospodarczego, a istniejące dokumenty nie opisują takiej sytuacji. Pomocne może być wcześniejsze przygotowanie listy używanych usług, informacji o rodzaju danych oraz kopii aktualnych klauzul. Pozwala to szybciej ustalić, czy problem dotyczy samej treści dokumentu, konfiguracji urządzenia, sposobu wymiany plików czy dostępu zdalnego.

W Warszawskim Pogotowiu Komputerowym 24/7 można zgłosić problem dotyczący sprzętu lub konfiguracji, gdy brak wersji klauzul informacyjnych dla krajów trzecich jest powiązany z działaniem komputera, laptopa, nośnika danych albo używanego oprogramowania. Przed rozpoczęciem prac powinno się wskazać, jakie dane mogą znajdować się na urządzeniu i jakie ograniczenia dotyczą ich udostępniania. Dzięki temu zakres czynności może zostać dopasowany do rzeczywistego ryzyka, a ustalenia techniczne mogą zostać wykorzystane przy aktualizacji dokumentacji zgodności.

Jeżeli analiza wykaże, że problem wynika z nieprawidłowej podstawy prawnej, braku wymaganej oceny transferu albo błędnego sformułowania obowiązku informacyjnego, potrzebna może być konsultacja z osobą odpowiedzialną za ochronę danych lub prawnikiem. Serwis techniczny może pomóc w ustaleniu, co dzieje się z danymi w urządzeniu i aplikacji, natomiast ostateczna ocena prawna powinna uwzględniać cały proces, role stron oraz aktualne wymagania dotyczące przekazywania danych do krajów trzecich.