Transgraniczne przekazywanie danych osobowych

W przypadku przekazania danych do innego państwa członkowskiego UE nie ma żadnych ograniczeń. Państwa z tzw. Europejskiego Obszaru Gospodarczego (a oprócz UE jest to także Norwegia, Islandia i Lichtenstein) chronią dane osobowe w co najmniej takim samym stopniu jak Polska więc ustawa zezwala na ich przekazywanie do tych krajów bez żadnych dodatkowych obostrzeń.

Gorzej sprawa wygląda, gdy przetwarzanie danych ma się odbywać poza EOG czyli do tzw. państwa trzeciego.Przekazanie danych osobowych do tych krajów może bowiem nastąpić tylko wówczas, gdy ustanowiły one gwarancje ochrony danych osobowych na swoim terytorium co najmniej takie, jakie są w Polsce. Oznacza to, że tak naprawdę przed przekazaniem danych do państwa trzeciego należy dokonać szerokiej analizy i porównać systemy ochrony prawnej w obu państwach. Na dodatek ustawa nie wskazuje jakimi kryteriami należy się kierować oceniając czy dane państwo trzecie daje takie same gwarancje jak Polska.

Na szczęście art. 25 ust. 6 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 roku w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych uprawnia Komisję Europejską do wydania decyzji stwierdzającej, że dane państwo trzecie zapewnia odpowiedni stopień ochrony. Dzięki temu firma IT nie musi samodzielnie stwierdzać za każdym razem czy dane państwo (w którym na przykład znajduje się centrum bazodanowe) zapewnia takie gwarancje ochrony jak Polska. Decyzje te znajdują się na stronie GIODO: http://www.giodo.gov.pl/163/id_art/1519/j/pl/.

Gdyby jednak dane państwo nie zapewniało odpowiedniej ochrony, przekazanie danych byłoby możliwe tylko jeśli przesłanie danych osobowych wynika z obowiązku nałożonego na administratora danych przepisami prawa lub postanowieniami ratyfikowanej umowy międzynarodowej, gwarantującymi odpowiedni poziom ochrony tych danych. Taka sytuacja w IT zdarza się rzadko, na szczęście jest też druga grupa wyjątków:

• osoba, której dane dotyczą, udzieliła na to zgody na piśmie;

• przekazanie jest niezbędne do wykonania umowy pomiędzy administratorem danych a osobą, której dane dotyczą, lub jest podejmowane na jej życzenie;

• przekazanie jest niezbędne do wykonania umowy zawartej w interesie osoby, której dane dotyczą, pomiędzy administratorem danych a innym podmiotem;

• przekazanie jest niezbędne ze względu na dobro publiczne lub do wykazania zasadności roszczeń prawnych;

• przekazanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą;

• dane są ogólnie dostępne.