Transfer danych poza EOG — mechanizm i dokumentacja
Pomagamy zidentyfikować przekazywanie danych osobowych poza Europejski Obszar Gospodarczy i dobrać właściwy mechanizm prawny. Sprawdzamy dostawców, podwykonawców oraz zdalny dostęp do danych. Przygotowujemy uzgodnione dokumenty, ocenę warunków transferu i plan uzupełnienia zabezpieczeń, jeżeli są potrzebne dla konkretnego przepływu.
W jakiej sytuacji możemy pomóc?
Dla firm korzystających z zagranicznych usług chmurowych, CRM i wsparcia technicznego oraz grup przedsiębiorstw przekazujących dane między podmiotami.
Zagraniczny dostawca
Firma wdraża CRM, chmurę lub wsparcie i chce ocenić przepływy przed przekazaniem danych.
Niejasne podwykonawstwo
Umowa wskazuje wiele podmiotów i państw bez czytelnego powiązania z konkretnymi operacjami.
Przegląd istniejących transferów
Administrator potrzebuje sprawdzić aktualność mechanizmów i uzupełnić dokumentację oraz zabezpieczenia.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Mapa przekazywania
Porządkujemy odbiorców, role, kraje i rodzaje dostępu. Wskazujemy przepływy wymagające odrębnego mechanizmu.
Zestawienie transferów do oceny.
Dobór i dokumenty
Sprawdzamy warunki adekwatności lub odpowiednie zabezpieczenia. Przygotowujemy uzgodnione klauzule i załączniki.
Pakiet dla konkretnej relacji.
Ocena warunków
Analizujemy ryzyka i potrzebne środki dodatkowe. Wskazujemy brakujące informacje oraz zasady przeglądu zmian.
Plan ograniczenia ryzyka transferu.
Przekazanie dokumentów i ustaleń
Omawiamy przygotowany materiał oraz uwagi klienta. Wskazujemy osoby odpowiedzialne za podpisy i dalsze czynności, dokumenty pozostające do uzupełnienia oraz działania wymagające osobnego zlecenia.
Materiały z kolejnością dalszych działań.
Granice zlecenia
Nie wydajemy ogólnej gwarancji bezpieczeństwa dostawcy. Szczegółowe opinie o prawie państwa trzeciego i audyt techniczny ustalamy osobno.
Od przepływu do zabezpieczenia
Dokumenty muszą odpowiadać rzeczywistym rolom stron.
| Sytuacja | Co sprawdzamy | Znaczenie dla sprawy |
|---|---|---|
| Odbiorca | Podmiot, państwo i sposób dostępu | Ustalenie charakteru transferu. |
| Mechanizm | Adekwatność lub właściwe zabezpieczenie | Podstawa dalszego przekazania. |
| Warunki | Prawo, ryzyko i środki dodatkowe | Ocena skuteczności ochrony. |
Co warto ustalić przed zleceniem?
Lokalizacja serwera nie wyjaśnia wszystkich przepływów
Ustalamy strony przetwarzania, państwa odbiorców, cele dostępu i dalszych podwykonawców. Dane przechowywane w EOG mogą być udostępniane odrębnemu podmiotowi z państwa trzeciego, na przykład podczas wsparcia. Nie uznajemy jednak każdej podróży pracownika za automatycznie taki sam transfer: liczy się rzeczywisty układ podmiotów i czynności. Sprawdzamy umowę powierzenia, regulaminy usług i listy podprocesorów. Mapa powinna obejmować kopie zapasowe, raporty i administrację, jeżeli dotyczą danych osobowych. Dzięki temu wybór mechanizmu odnosi się do konkretnych odbiorców, a nie tylko kraju wpisanego w reklamie dostawcy.
Mechanizm transferu wymaga sprawdzenia warunków zastosowania
Weryfikujemy aktualną decyzję o odpowiednim stopniu ochrony i jej zakres albo inne właściwe zabezpieczenia. Przy standardowych klauzulach umownych dobieramy moduł do ról stron, uzupełniamy załączniki i oceniamy warunki transferu, w tym potrzebę dodatkowych środków. Sama obecność skrótu SCC w umowie nie zamyka analizy. Jeżeli mechanizm dotyczy określonych organizacji, sprawdzamy kwalifikację konkretnego odbiorcy zamiast zakładać ochronę wszystkich firm w kraju. Wyjątków dla szczególnych sytuacji nie przedstawiamy jako uniwersalnej podstawy stałych przepływów. Dokumentujemy również przegląd zmian dostawców i prawa, bo ustalenia mogą wymagać ponownej oceny.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Cel i aktualny etap
Omawiamy oczekiwany rezultat, uczestników sprawy i najbliższe terminy. Potwierdzamy możliwość przyjęcia zlecenia oraz osobę odpowiedzialną za jego wykonanie.
Materiały i zakres
Ustalamy dokumenty potrzebne do analizy, sposób ich przekazania i ewentualne braki. Oferta określa konkretne opracowania oraz granice odpowiedzialności.
Analiza i opracowanie
Przygotowujemy uzgodniony materiał, wyjaśniamy istotne ryzyka i wskazujemy decyzje, których nie można podjąć bez informacji od klienta lub specjalisty.
Omówienie i dalsze kroki
Przekazujemy wynik wraz z wyjaśnieniami. Ustalamy, które czynności wykona klient, a które wymagają odrębnego zlecenia, zgody albo działania właściwego organu.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Wynagrodzenie ustalamy po określeniu zakresu i ocenie materiałów. W ofercie wskazujemy dokumenty lub działania objęte ceną, liczbę uzgodnień i sposób rozliczania dodatkowych prac. Opłaty urzędowe, sądowe, notarialne oraz koszty zewnętrznych specjalistów omawiamy osobno, jeżeli dotyczą sprawy. Termin naszej pracy potwierdzamy po otrzymaniu potrzebnych informacji; nie jest on gwarancją terminu decyzji urzędu, sądu lub kontrahenta.
Co wpływa na koszt?
- Liczba odbiorców, państw i przepływów.
- Dostępność dokumentacji oraz mechanizmów.
- Zakres oceny warunków i środków dodatkowych.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Umowy usług i powierzenia danych
- Lista odbiorców, podwykonawców i państw
- Opis danych, celów oraz zdalnego dostępu
- SCC, dotychczasowe oceny i informacje o zabezpieczeniach
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy serwer w UE zawsze wyklucza transfer?
Nie. Trzeba sprawdzić również dostęp odrębnych podmiotów i dalsze przekazania.
Czy SCC wystarczą w każdej sytuacji?
Nie automatycznie; wymagają odpowiedniego doboru i oceny warunków transferu.
Czy decyzja adekwatności obejmuje każdego odbiorcę w kraju?
Nie zawsze. Istotny jest dokładny zakres decyzji i status konkretnej organizacji.
Czy zgoda klienta rozwiązuje wszystkie transfery?
Nie. Wyjątki mają określone przesłanki i nie są uniwersalnym mechanizmem stałej współpracy.
Czy sprawdzicie zagraniczne wsparcie techniczne?
Tak, jeżeli może ono uzyskać dostęp do danych osobowych.
Czy dokumentację trzeba aktualizować?
Istotne zmiany odbiorców, prawa lub warunków przetwarzania mogą wymagać ponownej oceny.
Zapytaj o zakres i wycenę.
Opisz usługę, odbiorców i państwa dostępu; wskaż, czy masz umowę powierzenia i listę podwykonawców. Na początek wystarczy opis bez danych wrażliwych. Sposób przekazania dokumentów ustalimy po kontakcie.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Opisz usługę, odbiorców i państwa dostępu; wskaż, czy masz umowę powierzenia i listę podwykonawców. Na początek wystarczy opis bez danych wrażliwych. Sposób przekazania dokumentów ustalimy po kontakcie.
Oficjalne informacje związane z tematem
- RODO — rozporządzenie (UE) 2016/679
- Komisja Europejska — zasady międzynarodowego przekazywania danych
- Komisja Europejska — standardowe klauzule umowne