Dane osobowe można przekazywać bez ograniczeń do państw Unii Europejskiej

Dlatego ustawa zezwala na ich przekazywanie do tych krajów bez żadnych dodatkowych obostrzeń. Inaczej sprawa wygląda, gdy przetwarzanie danych ma się odbywać poza EOG, czyli w tzw. państwie trzecim. Przekazanie danych osobowych do takiego państwa może bowiem nastąpić tylko, jeśli ustanowiło ono gwarancje ochrony danych osobowych na swoim terytorium co najmniej takie, jakie obowiązują w Polsce. Oznacza to, że przed przekazaniem danych do państwa trzeciego należy dokonać szerokiej analizy i porównać systemy ochrony prawnej w obu państwach. Na dodatek ustawa nie wskazuje, jakimi kryteriami należy się kierować, oceniając, czy dane państwo trzecie daje takie same gwarancje jak Polska.

Dyrektywa Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych uprawnia Komisję Europejską do wydania decyzji stwierdzającej, że dane państwo trzecie zapewnia odpowiedni stopień ochrony. Dzięki temu firma IT nie musi samodzielnie stwierdzać za każdym razem, czy dane państwo (w którym na przykład znajduje się centrum danych) zapewnia takie gwarancje ochrony jak Polska. Decyzje te znajdują się na stronie GIODO www.giodo.gov.pl/163/id_art/1519/j/pl/.

Gdyby jednak dane państwo nie zapewniało odpowiedniej ochrony, przekazanie danych jest możliwe w pewnych okolicznościach. Dotyczy to sytuacji, gdy ich przesłanie wynika z obowiązku nałożonego na administratora danych przepisami prawa lub postanowieniami ratyfikowanej umowy międzynarodowej, gwarantującymi odpowiedni poziom ochrony tych danych. Taka sytuacja w IT zdarza się rzadko. Poza tym można przesyłać dane do państw trzecich, jeżeli:

• osoba, której dane dotyczą, udzieliła na to zgody na piśmie;
• przekazanie jest niezbędne do wykonania umowy pomiędzy administratorem danych a osobą, której dane dotyczą, lub jest podejmowane na jej życzenie;
• przekazanie jest niezbędne do wykonania umowy zawartej w interesie osoby, której dane dotyczą, pomiędzy administratorem danych a innym podmiotem;
• przekazanie jest niezbędne ze względu na dobro publiczne lub do wykazania zasadności roszczeń prawnych;
• przekazanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą;
• dane są ogólnie dostępne.