Przekazywanie danych osobowych poza UE: co powinna sprawdzić firma IT

Międzynarodowe przekazywanie danych osobowych ma miejsce nie tylko wtedy, gdy baza danych znajduje się na zagranicznym serwerze. Dostęp zagranicznego działu wsparcia, korzystanie z infrastruktury chmurowej lub przechowywanie kopii zapasowych w innym regionie również mogą podlegać przepisom rozdziału V GDPR.

Takie operacje nie są zabronione, jednak firma musi zapewnić utrzymanie europejskiego poziomu ochrony po przekazaniu informacji do państwa trzeciego. W tym celu należy zidentyfikować wszystkich odbiorców, wybrać odpowiedni mechanizm prawny i ocenić, czy może on skutecznie funkcjonować z uwzględnieniem lokalnego prawa.

Co uznaje się za przekazywanie danych poza UE

W praktyce przepisy dotyczące międzynarodowego przekazywania danych mają zastosowanie do przekazywania danych poza Europejski Obszar Gospodarczy. Oprócz państw UE należą do niego Norwegia, Islandia i Liechtenstein.

Do przekazania dochodzi, jeżeli organizacja podlegająca GDPR przesyła lub udostępnia dane osobowe innej organizacji w państwie trzecim.

Informacje nie muszą być fizycznie przenoszone na zagraniczny serwer. Zdalny dostęp również może być uznany za przekazanie. Na przykład, jeśli baza danych jest przechowywana we Frankfurcie, ale specjaliści ds. wsparcia z innego kraju mogą przeglądać konta użytkowników, taki dostęp należy przeanalizować oddzielnie.

Międzynarodowe przepływy danych często powstają przy korzystaniu z:

• hostingu w chmurze;
• systemów CRM i usług e-mail;
• platform analitycznych i reklamowych;
• systemów wsparcia technicznego;
• narzędzi do tworzenia oprogramowania i monitorowania;
• kopii zapasowych;
• podwykonawców z innych krajów.

Dlatego kontrola powinna obejmować nie tylko głównego dostawcę, ale również cały techniczny łańcuch produktu.

Dlaczego europejski serwer nie wystarczy

Ustawienie Data Residency w UE nie zawsze oznacza, że dane nigdy nie opuszczają Europejskiego Obszaru Gospodarczego.

Główna baza danych może być przechowywana w europejskim centrum danych, podczas gdy logi diagnostyczne, kopie zapasowe lub zgłoszenia do działu wsparcia mogą być przetwarzane w innych regionach. Zagraniczny zespół dostawcy może również posiadać dostęp administracyjny do infrastruktury.

Przy wyborze usługi należy sprawdzić:

• gdzie znajdują się główna baza danych i kopie zapasowe;
• z jakich krajów możliwy jest dostęp techniczny;
• dokąd przekazywane są logi zdarzeń;
• jacy podwykonawcy uczestniczą w świadczeniu wsparcia;
• czy możliwe jest ograniczenie dostępu według regionów;
• jakie ustawienia zależą od wybranego planu.

Informacje na stronie marketingowej dostawcy mogą różnić się od warunków umowy i rzeczywistej architektury. Dlatego wnioski należy wyciągać na podstawie DPA, listy subprocesorów, opisu zabezpieczeń oraz ustawień konkretnego konta.

Na jakiej podstawie można przekazywać dane

Decyzja stwierdzająca odpowiedni stopień ochrony

Komisja Europejska może uznać, że określone państwo zapewnia odpowiedni poziom ochrony danych osobowych. Przekazywanie danych do takiej jurysdykcji nie wymaga dodatkowych zabezpieczeń przewidzianych w art. 46 GDPR.

Decyzja może obejmować całe państwo, określony sektor lub wyłącznie organizacje posiadające określony status. Na przykład przy przekazywaniu danych do Stanów Zjednoczonych należy sprawdzić nie tylko istnienie odpowiedniej decyzji, ale również uczestnictwo konkretnego odbiorcy w ustanowionym programie.

Listę jurysdykcji objętych decyzją stwierdzającą odpowiedni stopień ochrony oraz status odbiorcy należy sprawdzić bezpośrednio przed rozpoczęciem przekazywania danych. Decyzje mogą być poddawane przeglądowi, a certyfikacja firmy — wygasnąć lub zostać cofnięta.

Standard Contractual Clauses

Jeżeli nie ma decyzji stwierdzającej odpowiedni stopień ochrony, najczęściej stosuje się Standard Contractual Clauses, czyli SCC. Są to zatwierdzone przez Komisję Europejską standardowe klauzule umowne zawierane między eksporterem a importerem danych.

SCC przewidują różne moduły w zależności od ról stron. Dlatego przed ich zawarciem należy określić, kto jest administratorem, a kto podmiotem przetwarzającym.

W załącznikach do SCC opisuje się:

• cele i częstotliwość przekazywania;
• kategorie danych osobowych;
• grupy osób, których dane dotyczą;
• okresy przechowywania;
• odbiorców i subprocesorów;
• techniczne i organizacyjne środki ochrony.

Samo formalne podpisanie standardowego wzoru nie wystarczy. Załączniki powinny odzwierciedlać rzeczywiste przekazywanie danych, a strony muszą w praktyce wykonywać przyjęte zobowiązania.

Wiążące reguły korporacyjne

Duże międzynarodowe grupy mogą korzystać z Binding Corporate Rules. Regulują one przekazywanie danych osobowych między powiązanymi spółkami i wymagają zatwierdzenia przez europejski organ nadzorczy.

Dla pojedynczej firmy IT mechanizm ten jest zazwyczaj bardziej skomplikowany niż SCC, ale może być wygodny dla grupy posiadającej dużą liczbę regularnych przepływów danych między różnymi państwami.

Wyjątki przewidziane w art. 49

W określonych sytuacjach przekazywanie danych może opierać się na wyraźnej zgodzie osoby, konieczności wykonania umowy lub innym wyjątku przewidzianym w art. 49 GDPR.

Podstawy te nie są przeznaczone do stałych operacji. Na przykład regularnego korzystania z zagranicznej usługi chmurowej nie należy uzasadniać wyłącznie zgodą użytkowników. Systematyczny przepływ danych wymaga trwałego mechanizmu przekazywania.

Czym jest Transfer Impact Assessment

Jeżeli przekazywanie danych opiera się na SCC lub innym mechanizmie przewidzianym w art. 46, firma powinna ocenić, czy odbiorca będzie w stanie faktycznie przestrzegać przyjętych zabezpieczeń. Taka analiza jest zazwyczaj dokumentowana jako Transfer Impact Assessment, czyli TIA.

W ramach oceny analizuje się nie tylko treść umowy, ale również prawo państwa odbiorcy. Szczególne znaczenie ma możliwość uzyskania dostępu do danych przez organy publiczne oraz istnienie skutecznych środków ochrony praw użytkowników.

TIA powinna uwzględniać konkretny transfer:

Jakie dane są przekazywane. Ryzyko będzie różne w przypadku zwykłych danych kontaktowych, informacji finansowych, geolokalizacji i danych dotyczących zdrowia.

Kto jest odbiorcą. Ocenia się jego działalność, rolę techniczną, doświadczenie związane z żądaniami organów publicznych oraz możliwość ujawnienia informacji.

Czy odbiorca może odczytać dane. Jeżeli informacje są skutecznie zaszyfrowane, a klucze pozostają w EOG, ryzyko może być niższe. Szyfrowanie nie pomaga, jeżeli zagraniczna usługa potrzebuje danych w postaci niezaszyfrowanej.

Jak zorganizowane jest przekazywanie. Znaczenie mają regularność, zakres, liczba użytkowników oraz dalszy przepływ informacji.

Jakie zabezpieczenia już obowiązują. Weryfikowane są zobowiązania umowne, procedury wewnętrzne, certyfikacja oraz środki techniczne.

Ocena powinna prowadzić do praktycznego wniosku: czy wybrana struktura zapewnia poziom ochrony zasadniczo równoważny poziomowi europejskiemu. Jeżeli nie, sposób przekazywania danych należy zmienić, uzupełnić o dodatkowe środki ochrony lub zakończyć transfer.

Jakie dodatkowe środki mogą być wymagane

Dodatkowe środki dobiera się z uwzględnieniem wyników TIA. Mogą mieć charakter techniczny, umowny i organizacyjny.

Do środków technicznych należą szyfrowanie, pseudonimizacja, minimalizacja przekazywanych informacji, rozdzielenie baz danych oraz ograniczenie dostępu administracyjnego. Ważne jest uwzględnienie nie tylko stosowanego algorytmu, ale również tego, kto posiada klucze.

Środki organizacyjne obejmują rozgraniczenie uprawnień pracowników, rejestrowanie działań, regularny przegląd uprawnień dostępu oraz procedury postępowania z żądaniami organów publicznych.

W umowie można określić obowiązek odbiorcy weryfikowania zgodności żądań z prawem, kwestionowania ich, gdy istnieją ku temu podstawy, oraz powiadamiania eksportera. Zobowiązania umowne nie zastępują jednak zabezpieczeń technicznych, jeżeli lokalne prawo faktycznie zobowiązuje odbiorcę do ujawnienia danych, do których ma dostęp.

Jak sprawdzić dalsze przekazywanie danych

Nawet jeżeli główny dostawca znajduje się w UE, może angażować firmy z państw trzecich. Dlatego należy sprawdzić nie tylko pierwszy transfer, ale również dalszy przepływ informacji.

Dla każdego zagranicznego odbiorcy należy ustalić:

1. Gdzie się znajduje i skąd uzyskuje dostęp do danych.
2. Jakie kategorie informacji przetwarza.
3. Na jakim mechanizmie opiera się przekazywanie.
4. Jakie środki bezpieczeństwa są stosowane.
5. Komu może dalej przekazywać dane.
6. W jaki sposób firma będzie informowana o zmianach w łańcuchu.

Szczególnie ważne jest monitorowanie aktualizacji listy subprocesorów. Nowy podwykonawca może zmienić geografię przetwarzania i spowodować konieczność ponownego przeprowadzenia TIA oraz przeglądu zabezpieczeń umownych.

Jak przeprowadzić audyt międzynarodowego przekazywania danych

Sporządzić mapę przepływu danych

Należy ustalić, z jakich systemów korzysta firma, jakie informacje do nich trafiają oraz gdzie znajdują się dostawcy. Uwzględnia się środowisko produkcyjne, kopie zapasowe, analitykę, wsparcie i narzędzia wewnętrzne.

Zidentyfikować zagraniczne dostępy

Sprawdza się nie tylko miejsce przechowywania danych, ale również możliwość zdalnego dostępu. Mapa powinna uwzględniać pracowników grupy, zewnętrznych programistów, działy wsparcia i podwykonawców technicznych.

Określić mechanizm przekazywania

Dla każdego odbiorcy ustala się, czy istnieje decyzja stwierdzająca odpowiedni stopień ochrony, SCC, BCR lub mający zastosowanie wyjątek. Podstawa musi odpowiadać charakterowi i regularności operacji.

Przeprowadzić TIA

Jeżeli stosowane są SCC lub inny mechanizm z art. 46, należy ocenić prawo danego państwa, sytuację odbiorcy oraz rzeczywiste ryzyko dostępu do danych.

Zaktualizować dokumentację

Wyniki należy uwzględnić w SCC, rejestrze czynności przetwarzania, opisie środków bezpieczeństwa oraz wewnętrznej dokumentacji firmy. Użytkownikom należy przekazywać rzetelne informacje o międzynarodowym przekazywaniu danych i stosowanych zabezpieczeniach.

Najczęstsze błędy firm IT

Sprawdzanie wyłącznie lokalizacji centrum danych. Dostęp zagranicznego działu wsparcia również może stanowić przekazywanie danych.

Podpisywanie SCC bez przeprowadzenia oceny. Standardowe klauzule nie eliminują konieczności przeanalizowania państwa odbiorcy i konkretnego przepływu danych.

Wykorzystywanie zgody do regularnego przetwarzania. Wyjątki nie powinny stanowić podstawy stałej infrastruktury.

Ignorowanie dalszego przekazywania danych. Główny dostawca może angażować zagraniczne firmy i zmieniać łańcuch przetwarzania.

Brak aktualizacji TIA. Architektura, podwykonawcy i przepisy prawa zmieniają się, dlatego ocenę należy okresowo aktualizować.