10 lipca 2023 r. Komisja Europejska wydała decyzję o adekwatności Data Privacy Framework (DPF), czyli instrumentu prawnego, który miał za zadanie umożliwić transferowanie danych osobowych do USA. Dzięki tym zdarzeniom transfer danych, za który karane były takie podmioty jak Meta czy Google, będzie znów legalny (choć nie można zapomnieć o funkcjonujących klauzulach umownych, czyli SCC). Nie dotyczy to jednak całego kraju, a jedynie podmiotów, które spełnią wymogi DPF.
Co trzeba zrobić, aby transfer danych do USA był legalny?
Na wstępie przypomnę, że wcześniej funkcjonowały już podobne instrumenty prawne. Mam na myśli Safe Harbour oraz Privacy Shield. Oba zostały już uchylone w wyniku działań stojącego na czele organizacji NOYB, Maximiliana Schremsa.
Podmioty, które były objęte wcześniejszą decyzją, czyli Privacy Shield, nie zostały objęte nowymi zasadami z automatu. Co muszą zrobić, aby transferować dane zgodnie z nowymi regulacjami?
Przede wszystkim muszą przejść proces certyfikacji na nowych zasadach określonych w DPF i złożyć wniosek o wpis na listę prowadzoną przez Departament Handlu USA. Z drugiej strony, wciąż konieczne jest przeprowadzenie przez administratora oceny ryzyka transferu danych. W przypadku podmiotów, które dostały się na listę wystarczające będzie przejście dwóch kroków oceny ryzyka. Dla pozostałych konieczne będzie przeprowadzenie oceny całościowej. A składa się ona z sześciu etapów, w ramach których powinieneś:
- ustalić w jakich procesach dochodzi do transferu danych;
- sprawdzić podstawy prawne transferu;
- ocenić system prawny kraju, do którego zamierzasz transferować dane (w tym przypadku będą to USA);
- określić i wprowadzić dodatkowe środki techniczne – jeżeli taka konieczność zaistnieje po przeprowadzenie punktu poprzedniego;
- określić dodatkowe proceduralne środki zabezpieczające;
- monitorować zmiany w przepisach prawa państwa, do którego kierujesz transfer i przeprowadzić kolejną ocenę w przypadku istotnych dla transferu zmian.
Na ile stabilne są nowe zasady transferu danych do USA
Pomimo ogólnego oddechu w kwestii transferowania danych do USA, dalsze losy nowych zasad nie są jeszcze trwale przesądzone. Pomimo zmian w odniesieniu do poprzednich dokumentów, obecne regulacje nie są wolne od elementów, które mogą być (i najprawdopodobniej będą) zaskarżone. Wszak w grę wchodzą sprzeczne interesy Unii Europejskiej i USA, z których żadna strona nie będzie chętnie ustępować.
Takie postępowanie wymaga jednak czasu, dlatego z praktycznego punktu widzenia pozostaje działać na podstawie obecnych zasad i po ich dopełnieniu legalnie transferować dane do USA. Kto wie, może dzięki wydarzeniom z 10 lipca Threads – nowy wynalazek Mety, będący konkurencją dla Twittera – pojawi się także w granicach Unii Europejskiej bez konieczności obchodzenia nałożonych na aplikację ograniczeń.