transfer danych poza EOG bez podstawy prawnej

Transfer danych poza EOG bez podstawy prawnej to naruszenie RODO zagrożone karą administracyjną.

Transfer danych poza EOG bez podstawy prawnej – czym jest to naruszenie

Transfer danych poza EOG bez podstawy prawnej oznacza przekazanie, udostępnienie, zdalny dostęp albo umożliwienie zapoznania się z danymi osobowymi podmiotowi znajdującemu się poza Europejskim Obszarem Gospodarczym, jeżeli nie zastosowano mechanizmu wymaganego przez ogólne rozporządzenie o ochronie danych. Nie chodzi wyłącznie o fizyczne przesłanie pliku na serwer w innym państwie. Takim transferem może być również korzystanie z usługi chmurowej, której dostawca lub podwykonawca przetwarza informacje poza EOG, dostęp administratora z zagranicy, przekazanie danych zagranicznemu partnerowi albo utrzymywanie kopii zapasowej w lokalizacji objętej innym reżimem prawnym.

Europejski Obszar Gospodarczy obejmuje państwa Unii Europejskiej oraz Islandię, Liechtenstein i Norwegię. Przekazanie danych do państwa spoza tego obszaru nie jest automatycznie zabronione, ale wymaga wcześniejszego ustalenia podstawy prawnej i oceny ryzyka. Samo powołanie się na umowę z dostawcą, zgodę użytkownika lub fakt, że firma korzysta z popularnego narzędzia internetowego, nie przesądza jeszcze o legalności operacji. Znaczenie ma rzeczywisty sposób przetwarzania danych, miejsce dostępu, zakres informacji oraz możliwość zastosowania prawa państwa trzeciego.

Transfer danych poza EOG bez podstawy prawnej a mechanizmy legalizacji

Przepisy przewidują kilka dróg zgodnego z prawem przekazywania danych poza EOG. Najbardziej rozbudowanym rozwiązaniem jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w danym państwie lub w odniesieniu do określonego programu. Jeżeli taka decyzja ma zastosowanie do konkretnego odbiorcy i zakresu danych, transfer może opierać się na jej treści, jednak nadal trzeba sprawdzić, czy faktyczny sposób przetwarzania odpowiada warunkom decyzji.

W praktyce często stosuje się standardowe klauzule umowne przyjęte przez Komisję Europejską. Nie są one jedynie formalnym załącznikiem do umowy. Konieczne jest ustalenie ról stron, kategorii danych, celu operacji, okresu przechowywania oraz obowiązków związanych z bezpieczeństwem. Po podpisaniu klauzul należy ocenić, czy prawo i praktyka państwa odbiorcy nie ograniczają skuteczności zapewnianych gwarancji. W zależności od sytuacji mogą być potrzebne dodatkowe środki, takie jak szyfrowanie, pseudonimizacja, ograniczenie dostępu, separacja kluczy albo przetwarzanie danych w formie, która uniemożliwia ich odczyt przez nieuprawniony podmiot.

Innym rozwiązaniem są wiążące reguły korporacyjne stosowane w określonych strukturach organizacyjnych, zatwierdzone zgodnie z wymaganiami ochrony danych. W wyjątkowych sytuacjach można korzystać z odstępstw, między innymi wtedy, gdy osoba wyraziła wyraźną zgodę po poinformowaniu o ryzyku albo gdy transfer jest niezbędny do wykonania konkretnej umowy. Odstępstwa powinny być interpretowane zawężająco i nie powinny zastępować stałego, powtarzalnego mechanizmu dla regularnej działalności.

Transfer danych poza EOG bez podstawy prawnej w praktyce technicznej

Ryzyko naruszenia często pojawia się podczas wyboru narzędzi do poczty elektronicznej, obsługi zgłoszeń, analityki, kopii zapasowych, wideokonferencji, rekrutacji lub przechowywania dokumentów. Panel usługi może wskazywać europejskie centrum danych, lecz nie zawsze oznacza to, że wszystkie operacje odbywają się wyłącznie na terenie EOG. Dostawca może korzystać z zagranicznych podwykonawców, prowadzić wsparcie techniczne z innego państwa albo podlegać przepisom umożliwiającym żądanie dostępu do danych.

Dlatego przy ocenie transferu należy rozdzielić kilka kwestii. Po pierwsze, trzeba ustalić, kto jest administratorem, procesorem i ewentualnym dalszym odbiorcą. Po drugie, warto sprawdzić, gdzie faktycznie są przechowywane dane, gdzie znajdują się kopie awaryjne oraz z jakich państw może być wykonywany dostęp zdalny. Po trzecie, należy ustalić, czy dane są przekazywane w całości, czy tylko w ograniczonym zakresie, na przykład w postaci identyfikatorów, adresów kontaktowych lub informacji statystycznych. Po czwarte, trzeba ocenić, czy szyfrowanie rzeczywiście chroni dane przed odbiorcą zagranicznym, czy też klucze pozostają pod jego kontrolą.

Ważna jest również dokumentacja. Powinno się zachować analizę dostawcy, ocenę transferu, zastosowane klauzule, opis dodatkowych zabezpieczeń, ustalenia dotyczące podwykonawców oraz okresowe sprawdzanie zmian w usłudze. Brak dokumentów może utrudnić wykazanie zgodności nawet wtedy, gdy przyjęto rozwiązanie, które początkowo wydawało się prawidłowe. W razie zmiany lokalizacji danych, regulaminu albo podmiotu przetwarzającego konieczne może być ponowne przeprowadzenie oceny.

Transfer danych poza EOG bez podstawy prawnej – typowe problemy i skutki

Jednym z częstych problemów jest przyjęcie, że zgoda osoby, której dane dotyczą, zawsze wystarcza do transferu. Zgoda może być odpowiednia tylko w szczególnych okolicznościach i musi być konkretna, świadoma oraz dobrowolna. Należy także przekazać informacje o możliwych zagrożeniach związanych z brakiem decyzji o odpowiednim stopniu ochrony. W relacjach pracowniczych dobrowolność zgody może być trudna do wykazania, dlatego potrzebna jest szczególna ostrożność.

Inny problem polega na podpisaniu standardowych klauzul bez sprawdzenia realnych warunków przetwarzania. Klauzule nie usuwają automatycznie ryzyka dostępu organów publicznych państwa trzeciego i nie zwalniają z analizy prawa lokalnego. Nieprawidłowe bywa także przekazywanie danych przez podmiot, który nie został ujęty w umowie, albo dopuszczenie dalszego podwykonawcy bez wymaganej weryfikacji i zgody.

Skutki naruszenia mogą obejmować nakaz zaprzestania transferu, nakaz usunięcia lub zwrotu danych, ograniczenie przetwarzania, konieczność poinformowania osób, których dane dotyczą, a także odpowiedzialność administracyjną. Dodatkowo mogą powstać roszczenia odszkodowawcze, koszty zmiany dostawcy, przestoje operacyjne oraz utrata zaufania. Ocena konsekwencji zależy między innymi od rodzaju danych, skali operacji, czasu trwania naruszenia, liczby osób, stopnia zawinienia i podjętych działań naprawczych.

Transfer danych poza EOG bez podstawy prawnej – praktyczne wskazówki

Przed uruchomieniem usługi warto sporządzić prostą mapę przepływu danych. Powinna wskazywać źródło informacji, cel przetwarzania, kategorię danych, odbiorców, lokalizacje, możliwy dostęp zdalny, podstawę prawną oraz okres przechowywania. Następnie należy porównać te ustalenia z umową powierzenia, polityką dostawcy i listą podwykonawców. Sama deklaracja dotycząca bezpieczeństwa nie zastępuje sprawdzenia warunków transferu.

Warto ograniczać zakres przekazywanych informacji do niezbędnego minimum, usuwać dane, które nie są już potrzebne, stosować pseudonimizację i wdrażać zasadę najmniejszych uprawnień. Dostęp administracyjny powinien być rejestrowany, okresowo przeglądany i zabezpieczony wieloskładnikowo. Przy danych o podwyższonym ryzyku należy rozważyć szyfrowanie, w którym klucze pozostają pod kontrolą podmiotu z EOG, o ile rozwiązanie to nie uniemożliwia realizacji celu przetwarzania.

W dokumentacji powinno się odnotować przyjętą podstawę transferu, datę oceny, osoby odpowiedzialne, zastosowane zabezpieczenia oraz sposób reagowania na zmianę prawa lub warunków usługi. Należy również ustalić procedurę na wypadek żądania danych przez zagraniczny organ, incydentu bezpieczeństwa albo ujawnienia nowego podwykonawcy. Regularny przegląd ogranicza ryzyko, że legalny w chwili zawarcia umowy transfer stanie się niezgodny po zmianie konfiguracji lub modelu świadczenia usługi.

Transfer danych poza EOG bez podstawy prawnej – kiedy zgłosić się do serwisu

Jeżeli problem dotyczy komputera używanego do obsługi dokumentów, poczty, systemów księgowych lub narzędzi przechowujących dane osobowe, zasadne jest zgłoszenie sprzętu do serwisu przed przekazaniem go osobie nieupoważnionej. Dotyczy to zwłaszcza sytuacji, w których planowane jest kopiowanie danych, wymiana nośnika, odzyskiwanie plików albo przekazanie urządzenia do dalszej diagnostyki. Przed rozpoczęciem prac powinno się ustalić, czy dane mogą zostać ujawnione, czy potrzebne jest ich zabezpieczenie oraz kto może wyrazić zgodę na dostęp.

Warszawskie Pogotowie Komputerowe 24/7 można wskazać jako miejsce uzyskania pomocy przy technicznym zabezpieczeniu komputera i przygotowaniu urządzenia do dalszego użytkowania; kontakt telefoniczny jest możliwy pod numerem +48 22 100 48 29. W sprawach związanych z legalnością transferu, wyborem podstawy prawnej i oceną zgodności z RODO potrzebna jest również konsultacja z osobą odpowiedzialną za ochronę danych lub prawnikiem. Serwisowa konfiguracja sprzętu może ograniczyć ryzyko przypadkowego ujawnienia informacji, lecz sama nie zastępuje analizy prawnej dotyczącej przekazywania danych poza EOG.