Organy ochrony danych coraz dokładniej analizują, w jaki sposób przedsiębiorcy przekazują dane osobowe poza Europejski Obszar Gospodarczy. Szczególne znaczenie może mieć obecnie kwestia transferów do Turcji, która nie posiada decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony danych.
W związku z rozpoczęciem postępowań sprawdzających w tym obszarze administratorzy i podmioty przetwarzające powinni zweryfikować, czy korzystanie z dostawców technologicznych, usług chmurowych lub narzędzi marketingowych nie wiąże się z przekazywaniem danych do Turcji.
Co może podlegać sprawdzeniu?
Postępowanie sprawdzające może obejmować między innymi:
- podstawę prawną transferu danych do Turcji;
- zawarte standardowe klauzule umowne;
- przeprowadzoną ocenę skutków transferu, czyli TIA;
- listę podmiotów przetwarzających i subprocesorów;
- lokalizację serwerów oraz kopii zapasowych;
- dostęp zdalny pracowników lub podwykonawców z Turcji;
- zakres przekazywanych danych;
- stosowane zabezpieczenia techniczne i organizacyjne;
- informacje przekazywane osobom, których dane dotyczą.
Brak decyzji o adekwatności oznacza, że transfer danych do Turcji jest transferem do państwa trzeciego. Jego legalność wymaga zastosowania jednego z mechanizmów przewidzianych w rozdziale V RODO, najczęściej standardowych klauzul umownych wraz z dodatkowymi zabezpieczeniami.
Nie tylko dokumenty, ale także praktyka
W toku postępowań sprawdzających organ może oceniać nie tylko formalną dokumentację, lecz także rzeczywisty sposób działania organizacji. Weryfikacji może podlegać to, czy:
- dane są faktycznie dostępne z Turcji;
- dostawca korzysta z tureckich podwykonawców;
- administrator zna wszystkich odbiorców danych;
- zawarte umowy odpowiadają rzeczywistemu modelowi przetwarzania;
- wdrożone zabezpieczenia ograniczają dostęp do danych;
- zakres przekazywanych danych jest niezbędny do realizacji usługi.
Dotyczy to również narzędzi analitycznych i marketingowych.
Jak przygotować się do postępowania?
Organizacja powinna w pierwszej kolejności przeprowadzić audyt przepływów danych. Należy ustalić, jakie dane są przekazywane, komu, w jakim celu i z jakiego państwa uzyskiwany jest do nich dostęp.
Następnie warto zweryfikować:
- umowy powierzenia i standardowe klauzule umowne;
- listę subprocesorów;
- konfigurację uprawnień i dostępów zdalnych;
- ocenę skutków transferu;
- politykę prywatności i obowiązki informacyjne;
- mechanizmy zgód użytkowników;
- stosowane szyfrowanie, pseudonimizację i kontrolę dostępu.
Nasza kancelaria wspiera przedsiębiorców w identyfikacji transferów do państw trzecich, analizie umów i podwykonawców, przygotowaniu TIA oraz dostosowaniu dokumentacji i zabezpieczeń do wymogów RODO.