TSUE, w dniu 16 lipca 2020 r., stwierdził nieważność decyzji wykonawczej Komisji Europejskiej (UE) 2016/1250 w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA (dot. sprawy C-311/18 – Data Protection Commissioner przeciwko Facebook Ireland i Maximillian Schremstj). Próg ustalony przez Trybunał dla przekazywania danych do USA ma zastosowanie do każdego państwa trzeciego.

Do czasu wypracowania nowego porozumienia, transfer danych do państw trzecich – w szczególności do Stanów Zjednoczonych, nie może odbywać się na tej podstawie.

Brak okresu przejściowego zmusza dostawców i odbiorców danych do natychmiastowego zastosowania innej przesłanki legalizującej przepływ danych. TSUE, potwierdził jednocześnie ważność standardowych klauzul umownych, pod warunkiem, że zapewniają skuteczne mechanizmy umożliwiające w praktyce zapewnienie zgodności z RODO. Tym samym, podmiot przekazujący dane i podmiot odbierający dane ma obowiązek sprawdzenia, przed jakimkolwiek przekazaniem danych, oraz biorąc pod uwagę okoliczności towarzyszące temu przekazywaniu, czy taki stopień ochrony jest zagwarantowany w danym państwie trzecim np. poprzez zweryfikowanie ustawodawstwa w państwie trzecim. Jeżeli wynik przeprowadzonej analizy wskazuje, że dane przekazane na podstawie standardowych klauzul umownych lub wiążących reguł korporacyjnych nie są objęte stopniem ochrony zasadniczo równoważnym ze stopniem ochrony gwarantowanym w EOG, należy natychmiast zawiesić przekazywanie – jeśli nie jest to możliwe, należy zawiadomić organ nadzorczy. Można również pojąć próbę wynegocjowania zmiany umowy lub przygotowania klauzuli uzupełniającej do umowy, w celu zakazania przekazywania danych poza EOG i stosowania rozwiązań oferowanych na terytorium EOG.

Przed Administratorami danych jak również Podmiotami przetwarzającymi, rodzi się obowiązek weryfikacji czynności przetwarzania i oceny czy w procesach zachodzących w danej organizacji nie dochodzi do przekazywania danych poza EOG. Należy zweryfikować zarówno naszych partnerów biznesowych jak również podstawy prawne przesyłania danych.

Szczególnej weryfikacji należy poddać m.in. stosowane rozwiązania informatyczne, mogące wiązać się z przekazywaniem danych osobowych do państw trzecich (np. w celu przechowywania lub konserwacji) jak również narzędzia wykorzystywane w różnego rodzajach działaniach marketingowych. Jeżeli nie można znaleźć odpowiedniej podstawy prawnej do przekazania danych do państwa trzeciego (art. 44-49 RODO), dane osobowe nie powinny być przekazywane poza terytorium EOG.

Sprawdź, czy wśród firm, które przystąpiły do porozumienia w sprawie Tarczy Prywatności UE-USA nie ma Twoich partnerów biznesowych: https://www.privacyshield.gov/list.