Міжнародна передача – це надання персональних даних одержувачу за межами Європейської економічної зони. Це дозволено, але лише за умови, що рівень захисту, передбачений GDPR, на практиці не порушується.
Правова основа
Розділ V GDPR регулює передачу даних. Стаття 45 дозволяє передачу даних до країн, на які поширюється дія рішення Європейської Комісії щодо адекватності; для Сполучених Штатів з 10 липня 2023 року застосовується Рамкова угода про конфіденційність даних між ЄС та США, і лише для сертифікованих організацій. У статті 46 перелічено відповідні гарантії, серед яких найчастіше використовуються стандартні договірні положення 2021 року, поряд із обов’язковими корпоративними правилами. Стаття 49 передбачає відступи для окремих випадків. Після рішення у справі Шремса II від 16 липня 2020 року одного лише інструменту недостатньо: потрібна оцінка законодавства країни-одержувача, оцінка впливу передачі, а також додаткові заходи, де це необхідно, такі як шифрування з використанням ключа, що зберігається в Європі.
Як це працює на практиці
Перший крок — встановити, де фактично зберігаються дані та хто має до них доступ, включаючи підтримку з-за меж Європи. Останній пункт часто ігнорується: віддалений доступ команди підтримки також є передачею. Далі йде вибір інструменту та оцінка, які мають бути зафіксовані в письмовій формі. Контракти повинні зобов’язувати постачальника повідомляти про зміни місцезнаходження або субпідрядників.
Де щось пішло не так
Організації покладаються на сертифікацію свого постачальника, не перевіряючи, чи вона дійсно охоплює відповідну послугу. Другою помилкою є підписання стандартних договірних положень без заповнення додатків, через що відсутній опис обробки. По-третє, оцінка не документується, хоча принцип підзвітності вимагає саме цього.
Пов'язані терміни
Передачі пов’язані з угодою про обробку даних , оцінкою впливу на захист даних та угодою SaaS.
Чи знаєте ви, де зберігаються ваші дані? Наші фахівці з ІТ-права планують передачу даних та заходи безпеки.
