transfer danych poza EOG

Transfer danych poza EOG wymaga podstawy prawnej zapewniającej odpowiedni poziom ich ochrony.

Transfer danych poza EOG – czym jest i dlaczego ma znaczenie

Transfer danych poza EOG oznacza przekazanie, udostępnienie, zdalny dostęp albo inne umożliwienie korzystania z danych osobowych przez podmiot znajdujący się poza Europejskim Obszarem Gospodarczym lub przez organizację, która przetwarza informacje w takim miejscu. Nie musi dochodzić do fizycznego przesłania pliku na nośniku. Wystarczające może być uzyskanie dostępu do danych przez zagranicznego dostawcę usługi, zapis kopii zapasowej w centrum przetwarzania położonym poza EOG albo korzystanie z narzędzia, którego administracja i obsługa odbywa się w państwie trzecim.

Europejski Obszar Gospodarczy obejmuje państwa Unii Europejskiej oraz Islandię, Liechtenstein i Norwegię. Przekazanie informacji do kraju należącego do tej przestrzeni jest traktowane inaczej niż transfer do państwa trzeciego, ponieważ obowiązuje tam wspólny system ochrony danych wynikający z europejskich regulacji. W przypadku transferu poza EOG trzeba natomiast ustalić, czy zapewniono odpowiedni poziom zabezpieczenia praw osób, których dane dotyczą.

Znaczenie ma nie tylko rodzaj danych, lecz także możliwość powiązania informacji z konkretną osobą. Imię i nazwisko, adres poczty elektronicznej, numer telefonu, identyfikator urządzenia, dane konta, nagranie głosu czy adres IP mogą stanowić dane osobowe, jeżeli pozwalają na bezpośrednie lub pośrednie rozpoznanie osoby. Analiza powinna obejmować cały proces przetwarzania, a nie wyłącznie miejsce, w którym znajduje się główna siedziba usługodawcy.

Transfer danych poza EOG a podstawa prawna i ocena ochrony

Przekazanie danych poza EOG wymaga wskazania mechanizmu, który pozwala uznać transfer za zgodny z przepisami. Jedną z możliwości jest decyzja Komisji Europejskiej stwierdzająca odpowiedni poziom ochrony w określonym państwie lub w odniesieniu do określonego programu. Jeżeli taka decyzja ma zastosowanie, należy sprawdzić jej zakres, warunki oraz to, czy obejmuje konkretny rodzaj odbiorcy i planowaną operację.

W innych sytuacjach stosuje się odpowiednie zabezpieczenia, w szczególności standardowe klauzule umowne przyjęte przez Komisję Europejską. Samo podpisanie klauzul nie zawsze wystarcza. Konieczne może być ustalenie, jakie przepisy obowiązują w kraju odbiorcy, czy organy publiczne mogą uzyskać dostęp do danych oraz czy odbiorca potrafi zapewnić środki ochrony odpowiadające ryzyku. W zależności od okoliczności potrzebne mogą być dodatkowe zabezpieczenia techniczne, organizacyjne lub kontraktowe.

Do takich zabezpieczeń zalicza się między innymi szyfrowanie danych, kontrolę kluczy szyfrujących, ograniczenie zakresu udostępnianych informacji, pseudonimizację, separację środowisk, wielopoziomowe uwierzytelnianie, rejestrowanie dostępu oraz procedury reagowania na żądania organów publicznych. Znaczenie ma także możliwość skutecznego dochodzenia praw przez osobę, której dane dotyczą. Jeżeli ocena wykaże, że zastosowany mechanizm nie daje wystarczających gwarancji, transfer powinien zostać zmieniony, ograniczony albo wstrzymany.

Transfer danych poza EOG w porównaniu z lokalnym przetwarzaniem

Przetwarzanie danych wyłącznie w EOG zwykle upraszcza ocenę prawną, lecz nie oznacza automatycznie pełnego bezpieczeństwa. Dostawca działający w Europie może korzystać z podwykonawców lub narzędzi zarządzanych z innych państw. Z tego powodu analizuje się nie tylko lokalizację głównej infrastruktury, ale również dostęp administracyjny, przepływ kopii zapasowych, obsługę zgłoszeń, zdalne utrzymanie oraz miejsca przechowywania dzienników systemowych.

Transfer poza EOG nie musi oznaczać braku ochrony. Może być dopuszczalny, jeżeli zastosowano właściwy mechanizm, oceniono ryzyko i utrzymano kontrolę nad zakresem przetwarzania. Problem pojawia się wtedy, gdy informacja o lokalizacji danych jest niepełna, warunki usług są niejasne, a dostęp zagranicznych podmiotów nie został ograniczony. W praktyce istotne jest odróżnienie miejsca przechowywania od miejsca, z którego można uzyskać dostęp do danych.

Przydatne jest sporządzenie mapy przepływu informacji. Powinno się wskazać, jakie dane są przekazywane, komu, w jakim celu, na jak długo, z jakiego państwa i do jakiego państwa, a także czy wykorzystywany jest podwykonawca. Takie zestawienie ułatwia ocenę, czy konkretny proces obejmuje transfer poza EOG oraz jakie zabezpieczenia powinny zostać wdrożone.

Transfer danych poza EOG – typowe problemy i błędne założenia

Częstym błędem jest przyjęcie, że ogólna zgoda na regulamin usługi rozwiązuje wszystkie kwestie związane z przekazaniem danych. Zgoda osoby może mieć zastosowanie tylko w określonych warunkach i powinna być świadoma, konkretna oraz możliwa do wycofania. Nie powinna być traktowana jako wygodny zamiennik stałego mechanizmu transferowego, jeżeli przekazywanie danych jest regularnym elementem działalności.

Innym problemem jest brak rozróżnienia między rolą administratora i podmiotu przetwarzającego. Umowa powinna określać zakres zadań, instrukcje, zasady korzystania z dalszych podmiotów, obowiązki związane z bezpieczeństwem oraz sposób zakończenia współpracy. Należy także ustalić, czy dane są usuwane po zakończeniu usługi, czy pozostają w kopiach zapasowych, oraz kiedy możliwe jest ich odzyskanie albo trwałe usunięcie.

Ryzyko może wzrosnąć, gdy transfer obejmuje dane szczególnych kategorii, informacje finansowe, dane dzieci, dokumentację zdrowotną lub obszerny zbiór danych o zachowaniach użytkowników. Wtedy większe znaczenie mają minimalizacja, ograniczenie dostępu, szyfrowanie i udokumentowanie decyzji. Nie powinno się przekazywać pełnego zestawu danych, jeżeli do realizacji zadania wystarcza niewielki, zanonimizowany albo pseudonimizowany fragment.

Warto pamiętać, że zmiana dostawcy, aktualizacja regulaminu, przejęcie usługodawcy, uruchomienie nowej funkcji lub przeniesienie infrastruktury może zmienić sposób przepływu danych. Ocena transferu nie powinna być wykonana tylko raz. Potrzebny jest okresowy przegląd umów, ustawień, podwykonawców i informacji publikowanych przez dostawcę.

Kiedy sprawdzić transfer danych poza EOG i jak przygotować zgłoszenie

Analiza jest wskazana przed wdrożeniem zagranicznego narzędzia, przeniesieniem poczty elektronicznej, uruchomieniem systemu kopii zapasowych, korzystaniem z platformy obsługi klienta albo przekazaniem danych do podmiotu wykonującego zdalne prace techniczne. Warto sprawdzić także istniejące usługi, ponieważ faktyczny transfer może wynikać z ustawień domyślnych, automatycznej synchronizacji lub dostępu pomocniczego, o którym nie wspomniano w materiałach sprzedażowych.

Przy zgłoszeniu problemu przydatne jest przygotowanie nazwy usługi, rodzaju danych, informacji o użytkownikach, opisania celu przekazania oraz wskazania państw, z których może następować dostęp. Pomocne będą również umowa, regulamin, polityka prywatności, wykaz podwykonawców, opis zabezpieczeń i ustawienia lokalizacji danych. Na tej podstawie można ustalić, czy występuje transfer poza EOG, jaki mechanizm prawny ma zastosowanie i czy potrzebne są dodatkowe środki ochrony.

W sprawach dotyczących konfiguracji sprzętu, bezpiecznego przechowywania kopii lub ograniczenia dostępu technicznego można skorzystać z pomocy firmy Warszawskie Pogotowie Komputerowe 24/7. Przed przekazaniem urządzenia lub danych powinno się jednak usunąć zbędne informacje, wykonać kopię kontrolowaną oraz jasno określić zakres czynności. Sama pomoc techniczna nie zastępuje oceny prawnej, dlatego przy rozbudowanych procesach przetwarzania warto połączyć analizę techniczną z konsultacją osoby odpowiedzialnej za ochronę danych.