Transfer danych osobowych pracowników za granicę

Ustawa przewiduje możliwość przekazywania danych pracowników za granicę. Pracodawca (ADO) zobowiązany jest jednak do zapewnienia kontroli nad tym, jakim podmiotom zostały one udostępnione. Określenie obowiązków, które powinni dopełnić pracodawcy, zależy od kraju, do którego dane są przekazywane. W tym zakresie należy rozróżnić transfer danych osobowych do:

1. państw EOG (tj. państwa Unii Europejskiej oraz Norwegii, Islandii i Lichtensteinu);
2. państw trzecich (tj. niezapewniających odpowiednich gwarancji ochrony danych osobowych na swoim terytorium.

Przepływ danych w obrębie EOG, a więc również pomiędzy Polską a innym państwem członkowskim EOG, traktowany jest tak samo jak transfer danych na terytorium RP. W konsekwencji przekazywanie danych do państw EOG podlega ogólnym zasadom przetwarzania danych, a więc nie wymaga spełnienia dodatkowych wymogów wynikających z rozdziału 7 uodo. Ten transfer jest łatwiejszy z punktu widzenia pracodawcy, bowiem jest on zobowiązany do dochowania tych samych obowiązków związanych z przetwarzaniem danych, bez znaczenia czy przekazuje je podmiotowi działającemu w Polsce, czy też w innym kraju EOG.

Przekazywanie danych osobowych do państw trzecich, de facto poza EOG, wymaga zapewnienia odpowiedniego stopnia ochrony tych danych. Przekazywanie danych osobowych do państw trzecich, które nie zapewniają na swoim terytorium przynajmniej takich gwarancji ochrony danych osobowych, jakie obowiązują na terytorium Polski, wiąże się z dużym ryzykiem naruszenia praw i wolności osób, których dane dotyczą.

W celu zminimalizowania tego ryzyka, przed dokonaniem transferu danych osobowych do takiego państwa, powinniśmy ustalić jaki poziom zabezpieczenia danych osobowych jest zapewniony w danym kraju. W takim przypadku z pomocą przychodzi nam Komisja Europejska, która na podstawie art. 25 ust. 6 Dyrektyw 95/46/WE może wydać decyzję, że dane państwo zapewnia adekwatny poziom ochrony danych.

Jeżeli pracodawca zidentyfikuje, że państwo do którego zamierza przesłać dane, jest jednym z tych państw, które daje takie same gwarancje ochrony danych osobowych jak na terytorium Polski – wtedy dane osobowe pracowników mogą być przesłane i transfer taki można potraktować jak transfer w ramach EOG. Dlatego też, przed dokonaniem transferu, konieczne jest sprawdzenie zakresu decyzji Komisji Europejskiej.

Kolejną możliwością legalnego transferu danych osobowych do państwa trzeciego jest zawarcie z podmiotem, do którego przekazujemy dane osobowe, umowy o przekazaniu danych osobowych. Umowa taka może być zawarta w oparciu o wzorcowe klauzule umowne, które zostały wydane przez Komisję Europejską.

W takim wypadku, jeżeli strony zawarły umowę w oparciu o niezmienione wzorcowe klauzule umowne (tzn. w takim samym brzmieniu jak w decyzji Komisji Europejskiej), zgoda Generalnego Inspektora Danych Osobowych nie jest wymagana. Zgoda GIODO nie będzie również wymagana w przypadku, gdy uprzednio zatwierdził on w drodze decyzji administracyjnej wiążące reguły korporacyjne (tzw. BCR). W pozostałych przypadkach, oczywiście poza uzyskaniem zgody podmiotu danych osobowych, konieczne będzie uzyskanie uprzedniej zgody GIODO na zawarcie umowy o przekazaniu danych osobowych zgodnie z rozdziałem 7 uodo.