obowiązki administratora przy eksporcie danych

Przy eksporcie danych poza EOG administrator musi zapewnić podstawę transferu, np. standardowe klauzule umowne.

Zakres pojęcia eksportu danych poza EOG

Obowiązki administratora przy eksporcie danych dotyczą sytuacji, w której dane osobowe są przekazywane do państwa spoza Europejskiego Obszaru Gospodarczego albo udostępniane odbiorcy, który znajduje się poza EOG. EOG obejmuje państwa Unii Europejskiej oraz Islandię, Liechtenstein i Norwegię. W praktyce eksport może nastąpić podczas korzystania z zagranicznej usługi chmurowej, przekazania kopii bazy danych dostawcy zewnętrznemu, zdalnego dostępu do systemu albo utrzymywania kopii zapasowej w centrum danych położonym w państwie trzecim.

Samo fizyczne skopiowanie pliku nie jest jedynym przypadkiem transferu. Znaczenie może mieć także możliwość dostępu do danych przez podmiot spoza EOG, nawet gdy serwer znajduje się w Europie. Dlatego przed eksportem trzeba ustalić, jakie dane są przekazywane, kto będzie ich odbiorcą, gdzie będzie następowało przetwarzanie oraz czy mogą wystąpić dalsze transfery do kolejnych państw. Komisja Europejska wskazuje, że transfer do państwa trzeciego wymaga zastosowania odpowiedniego mechanizmu i zabezpieczeń, aby ochrona danych towarzyszyła im także po opuszczeniu EOG.

Wybór podstawy prawnej transferu

Administrator powinien najpierw sprawdzić, czy Komisja Europejska wydała decyzję stwierdzającą odpowiedni stopień ochrony dla państwa odbiorcy. Jeżeli taki mechanizm ma zastosowanie do konkretnego transferu, decyzja adekwatności może stanowić podstawę przekazania danych bez zawierania standardowych klauzul umownych. Jeżeli decyzja nie obejmuje danego państwa lub rodzaju transferu, trzeba zastosować inny instrument przewidziany dla przekazywania danych do państw trzecich.

Jednym z najczęściej stosowanych instrumentów są standardowe klauzule umowne Komisji Europejskiej, znane jako SCC. Nowoczesne klauzule zostały przyjęte w 2021 roku i obejmują różne relacje między administratorem, podmiotem przetwarzającym oraz innym administratorem. Nie wystarczy jednak dołączyć dowolnego wzoru do umowy. Należy wybrać właściwy moduł, prawidłowo opisać strony, zakres danych, cele, kategorie osób, okres przetwarzania i środki bezpieczeństwa. Oficjalne materiały oraz tekst klauzul są publikowane przez Komisję Europejską.

Ocena ryzyka i zabezpieczenia techniczne

Przed użyciem SCC administrator powinien ocenić, czy prawo i praktyka państwa odbiorcy pozwalają na skuteczne przestrzeganie zobowiązań zapisanych w klauzulach. W ocenie uwzględnia się między innymi zakres przekazywanych danych, cel transferu, typ odbiorcy, możliwość dostępu organów publicznych, sposób przechowywania informacji oraz ryzyko dalszego ujawnienia. Wynik analizy powinien być udokumentowany i powiązany z konkretnym transferem, a nie ograniczać się do ogólnego stwierdzenia, że dostawca jest znaną firmą.

Jeżeli sama podstawa transferu nie zapewnia wystarczającego poziomu ochrony, administrator powinien zastosować dodatkowe środki. W środowisku informatycznym mogą to być między innymi szyfrowanie danych przed eksportem, prawidłowe zarządzanie kluczami szyfrującymi, pseudonimizacja, ograniczenie zakresu danych, kontrola dostępu, uwierzytelnianie wieloskładnikowe, rejestrowanie operacji oraz ustalenie procedury reagowania na żądania organów publicznych. Trzeba sprawdzić, czy odbiorca nie otrzymuje kluczy deszyfrujących i czy administrator zachowuje realną kontrolę nad systemem. Europejska Rada Ochrony Danych opisuje ocenę transferu i dodatkowe zabezpieczenia w swoich zaleceniach dotyczących przekazywania danych poza EOG.

Dokumentacja, kontrola dostawcy i obsługa eksportu

Administrator powinien utrzymywać dokumentację pokazującą, dlaczego dany mechanizm transferu został wybrany i jakie zabezpieczenia zastosowano. Dokumentacja może obejmować mapę przepływu danych, umowę z odbiorcą, podpisane klauzule, ocenę państwa docelowego, opis konfiguracji szyfrowania, listę uprawnień oraz wyniki okresowych przeglądów. Warto również określić, kiedy transfer ma zostać zatrzymany, na przykład po zmianie lokalizacji centrum danych, zmianie podwykonawcy albo pojawieniu się nowych obowiązków wynikających z prawa państwa odbiorcy.

W praktyce technicznej kontrola eksportu powinna być połączona z procesem zatwierdzania zmian. Przed wygenerowaniem kopii bazy lub archiwum należy ograniczyć dane do niezbędnego zakresu, zweryfikować adresata, zaszyfrować plik, bezpiecznie przekazać klucz innym kanałem i odnotować operację w dzienniku. Po zakończeniu transferu trzeba sprawdzić, czy kopie tymczasowe zostały usunięte zgodnie z przyjętą procedurą. Przy złożonych przepływach danych administrator powinien skonsultować dokumentację z osobą odpowiedzialną za zgodność prawną oraz bezpieczeństwo informacji, ponieważ prawidłowa konfiguracja techniczna sama w sobie nie zastępuje wymaganej podstawy transferu.