Dane do USA: stan po trzech podejściach
Dwukrotnie Trybunał uchylił porozumienie, od 2023 roku obowiązuje trzecie. Co to znaczy dla osadzonych usług, jaka ocena mimo to pozostaje konieczna – i dlaczego sprawy nie załatwia jeden ptaszek.
RODO dopuszcza przekazywanie poza UE tylko pod warunkami. Najprostsza droga to decyzja o adekwatności: Komisja stwierdza, że dane państwo zapewnia porównywalny poziom ochrony, i przekazanie tam traktuje się jak przekazanie wewnątrz UE. W przypadku USA ta droga ma burzliwą historię.
Trzy porozumienia w dziesięć lat
- 2000Wchodzi w życie Safe Harbor – samocertyfikacja amerykańskich firm.
- 2015Trybunał je uchyla (Schrems I). Powód: nieproporcjonalny dostęp organów.
- 2016Wchodzi w życie następca – Privacy Shield.
- 2020To również upada (Schrems II) – z tego samego powodu. Standardowe klauzule umowne zostają, ale wymagają dodatkowej oceny.
- 2023Wchodzi w życie Data Privacy Framework, oparty na rozporządzeniu prezydenta USA i nowym sądzie odwoławczym.
Co obowiązuje dziś konkretnie
Przekazanie amerykańskiej firmie jest dopuszczalne, gdy firma ta ma certyfikat w ramach Data Privacy Framework. Certyfikat jest jawny i wymaga corocznego odnowienia – nie jest więc stanem trwałym, lecz statusem, który może wygasnąć.
Znaczenie ma też zakres: certyfikat bywa ograniczony do określonych rodzajów danych. Firma certyfikowana wyłącznie dla danych kadrowych nie obejmuje tym samym danych ze strony internetowej.
Gdy certyfikatu brak
Pozostałe drogi, w kolejności przydatności praktycznej
- Standardowe klauzule umowne plus ocenaZwykła droga. Same klauzule od czasu Schrems II nie wystarczą – dochodzi udokumentowana ocena stanu prawnego w kraju docelowym.
- Dodatkowe środki ochronneSzyfrowanie z kluczem pozostającym w UE albo przetwarzanie wyłącznie w postaci pseudonimizowanej.
- Zgoda w konkretnym przypadkuPomyślana wyłącznie dla przekazań okazjonalnych i z pouczeniem o ryzyku. Do bieżącej pracy strony nieprzydatna.
- Zmiana dostawcyDroga, która rozwiązuje pytanie zamiast nim zarządzać. Dla większości rodzajów usług istnieją dostawcy przetwarzający w UE.
Dla praktyki wynika z tego prosta wskazówka inwentaryzacyjna: każdą osadzoną usługę sprawdza się pod kątem miejsca przetwarzania i ważnego certyfikatu. Wynik należy do polityki prywatności – a certyfikaty do terminarza, bo wygasają co roku.
Dwa uchylone porozumienia w piętnaście lat to wzorzec, nie wyjątek. Kto chce pozbyć się pytania na trwałe, przenosi przetwarzanie – kto nim zarządza, planuje kolejną weryfikację.