Outsourcing przetwarzania danych osobowych pod lepszą kontrolą

Administratorzy danych osobowych z Unii Europejskiej przekazujący dane podmiotom przetwarzającym dane, prowadzącym działalność gospodarczą poza Unią, będą stosować zmienione standardowe klauzule umowne. Celem zmian jest lepszy nadzór nad tym, do jakich krajów i firm europejskie dane trafiają do dalszej obróbki..

Przedsiębiorstwa i organy ochrony danych osobowych stosowały dotychczas, na mocy dyrektywy nr 95/46 (Dz. U. UE. L. 95.2 81.31), standardowe klauzule umowne dotyczące przekazywania danych podmiotom przetwarzającym z siedzibą w krajach trzecich. Klauzule zawarte zostały w decyzji nr 2002/16/WE (Dz. U. UE. L. 02. 6.52). Obecnie coraz więcej firm nie tylko przekazuje swoje dane podmiotom przetwarzającym dane, lecz również podmiotom wtórnie przetwarzającym dane, a czasami przekazuje nawet dalszym podmiotom dokonującym jeszcze dalszego ich przetworzenia. Bardzo często usługi te mają ponadnarodowy wymiar. Takie przetwarzanie danych osobowych stanowi poważne wyzwanie w zakresie ich ochrony. Kraje trzecie często nie zapewniają odpowiednich gwarancji bezpieczeństwa, a przetwarzane dane mogą być przedmiotem procedur wynikających z przepisów lokalnych.

Międzynarodowe podzlecanie usług związanych z przetwarzaniem danych osobowych wymogło potrzebę dostosowania dotychczas obowiązujących standardowych klauzul. Obecnie powinny one przewidywać techniczne i organizacyjne środki bezpieczeństwa, które powinien stosować podmiot przetwarzający dane mający siedzibę w państwie trzecim. Poziom ochrony powinien być odpowiedni do ryzyka, jakie stanowi przetwarzanie i do charakteru danych podlegających ochronie.

Decyzja Komisji Europejskiej nr 2010/87/UE w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady (Dz. U. UE. L. 10.39.5) aktualizuje przepisy w zakresie standardowych klauzul umownych. Zapewnia odpowiednie gwarancje ochrony prywatności oraz podstawowych praw i wolności osób fizycznych oraz wykonywanie odpowiednich praw zgodnie wymogami art. 26 ust. 2 dyrektywy 95/46/WE. Decyzja ma zastosowanie do przekazywania danych osobowych przez administratorów danych prowadzących działalność gospodarczą w Unii Europejskiej do podmiotów przetwarzających dane prowadzących działalność gospodarczą poza Unią.

Decyzję nr 2010/87/UE stosuje się od 15 maja 2010 r. Równocześnie 15 maja 2010 r. traci moc decyzja 2002/16/WE.

Artykuł pochodzi z programu System Informacji Prawnej LEX on-line