Przekazywanie danych osobowych do państw trzecich

Przekazywane danych osobowych do państw trzecich lub organizacji międzynarodowych możliwe jest w przypadku zaistnienia co najmniej jednej ze wskazanych niżej sytuacji, gdy następuje ono:

1. na podstawie decyzji stwierdzającej odpowiedni stopień ochrony wydanej przez Komisję Europejską – organ ten uprawniony jest do stwierdzenia, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub dana organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. Komisja Europejska uprawniona jest także do zawierania z państwami trzecimi porozumień w przedmiocie zapewnienia odpowiedniego poziomu ochrony danych osobowych objętych RODO na terytorium danego państwa trzeciego,

2. z zastrzeżeniem stosowania odpowiednich zabezpieczeń, do których zalicza się m.in. następujące:

stosowanie przez podmioty wiążących reguł korporacyjnych,
wprowadzenie do umowy z podmiotem z państwa trzeciego klauzul umownych zatwierdzonych przez Komisję Europejską,
stosowanie przez podmiot z państwa trzeciego zatwierdzonego kodeksu postępowania,
uzyskanie przez podmiot z państwa trzeciego certyfikatu,

3. w szczególnych sytuacjach wskazanych przez RODO, do których rozporządzenie zalicza przypadki, gdy:

osoba, której dane dotyczą, poinformowana o ewentualnym ryzyku, wyraźnie wyraziła na nie zgodę;
przekazanie jest niezbędne do wykonania umowy między osobą, której dane dotyczą, a administratorem lub do wprowadzenia w życie środków przedumownych podejmowanych na żądanie osoby, której dane dotyczą;
przekazanie jest niezbędne do zawarcia lub wykonania umowy zawartej w interesie osoby, których dane dotyczą, między administratorem a inną osobą fizyczną lub prawną;
przekazanie jest niezbędne ze względu na ważne względy interesu publicznego;
przekazanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń;
przekazanie jest niezbędne do ochrony żywotnych interesów osoby, których dane dotyczą, lub innych osób, jeżeli osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; lub
przekazanie następuje z rejestru, który zgodnie z prawem Unii lub prawem państwa członkowskiego ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes.

4. Jeżeli nie występuje żaden ze wskazanych szczególnych przypadków, przekazanie danych osobowych jest możliwe, gdy łącznie spełnione są następujące warunki:

przekazanie nie jest powtarzalne,
dotyczy tylko ograniczonej liczby osób, których dane dotyczą,
jest niezbędne ze względu na ważne prawnie uzasadnione interesy realizowane przez administratora,
administrator ocenił wszystkie okoliczności przekazania danych i na podstawie tej oceny zapewnił odpowiednie zabezpieczenia w zakresie ochrony danych osobowych. Ocena ta wymaga udokumentowania,
administrator poinformuje organ nadzorczy o przekazaniu.

Michał Koralewski