7 grudnia 2022 Data Privacy

27 grudnia 2022 r. – ostateczny termin wymiany standardowych klauzul umownych na nowe

4 czerwca 2021 r. Komisja Europejska wydała decyzję wykonawczą 2021/914 („Decyzja”), na mocy której przyjęto nowe standardowe klauzule umowne dla transferu danych osobowych do państw trzecich („SKU”). 

Decyzja zezwala na korzystanie ze starych klauzul do 27 grudnia 2022 r. Po tej dacie podmioty transferujące dane osobowe poza Europejski Obszar Gospodarczy („EOG”) muszą zastąpić stare SKU nowymi lub zastosować inne gwarancje ochrony danych wskazane w RODO (jednak nie zawsze ich implementacja będzie możliwa w ciągu kilku tygodni). 

Z uwagi na różnice występujące pomiędzy starymi a nowymi SKU, jak również niemożność automatycznego zastąpienia jednych drugimi, konieczna jest indywidualna analiza poszczególnych transferów danych oraz podmiotów w nich uczestniczących. Pozwoli ona na ustalenie, czy stosowanie nowych SKU jest w ogóle możliwe w przypadku Państwa organizacji (w odniesieniu do konkretnych transferów), a jeżeli nie, to jakie inne gwarancje ochrony danych wymagane przez RODO mogą okazać się dla Państwa najbardziej korzystne.

Przypominamy jednocześnie, że nowe SKU zastępują również postanowienia umowne wymagane dla umów powierzenia przetwarzania danych w przypadku, gdy transfer danych odbywa się na linii administrator-procesor lub procesor-procesor. W takich sytuacjach rekomendujemy rezygnację z osobnych umów powierzenia przetwarzania danych osobowych.

Ostateczny termin wymiany starych SKU na nowe SKU lub inne mechanizmy legalizujące transfery danych zbliża się nieuchronnie. Należy pamiętać, że termin 27 grudnia 2022 r. jest nieprzekraczalny, zaś opieranie się na starych SKU po tej dacie będzie stanowiło naruszenie RODO, a co za tym idzie, będzie mogło stać się przyczyną nałożenia przez organ nadzorczy administracyjnej kary pieniężnej.

Co należy zatem zrobić przed 27 grudnia?

  • przeanalizować wszystkie transfery danych osobowych poza EOG;
  • ocenić, czy podstawą poszczególnych transferów danych do państw trzecich mogą być nowe SKU;
  • zweryfikować, jakie moduły nowych SKU mają zastosowanie w odniesieniu do każdego z transferów;
  • przygotować, wynegocjować oraz podpisać umowy bazujące na nowych SKU lub przygotować i wdrożyć inne środki dla zapewnienia legalności transferów danych.

Jeśli mają Państwo jakiekolwiek pytania w odniesieniu do powyższego, serdecznie zapraszamy do kontaktu.