Korzystanie z narzędzi analitycznych, marketingowych i personalizacyjnych coraz częściej wiąże się z przekazywaniem danych osobowych poza Europejski Obszar Gospodarczy. Jednym z kluczowych elementów oceny takiego transferu jest sprawdzenie, czy państwo odbiorcy posiada decyzję Komisji Europejskiej stwierdzającą odpowiedni, czyli adekwatny, poziom ochrony danych.

Turcja obecnie nie znajduje się na liście państw objętych unijną decyzją o adekwatności. Oznacza to, że przekazywanie danych z Polski do Turcji należy traktować jako transfer do państwa trzeciego i odpowiednio zabezpieczyć na podstawie przepisów RODO.

Czym jest decyzja o adekwatności?

Decyzja o adekwatności jest formalnym uznaniem Komisji Europejskiej, że dane państwo, terytorium, sektor lub organizacja międzynarodowa zapewniają poziom ochrony danych zasadniczo równoważny ochronie obowiązującej w Unii Europejskiej.

Jeżeli transfer mieści się w zakresie takiej decyzji, dane mogą być przekazywane bez konieczności stosowania dodatkowych instrumentów, takich jak standardowe klauzule umowne. Nie oznacza to jednak zwolnienia z pozostałych obowiązków wynikających z RODO, między innymi dotyczących podstawy prawnej przetwarzania, przejrzystości, realizacji praw osób, których dane dotyczą, czy bezpieczeństwa informacji.

Przykładem jest Wielka Brytania, dla której Komisja Europejska odnowiła decyzję o adekwatności w grudniu 2025 r. Decyzja obowiązuje obecnie do 27 grudnia 2031 r.

Podobnie należy postrzegać transfery do organizacji w Stanach Zjednoczonych uczestniczących w EU–US Data Privacy Framework. Nie każdy transfer do USA jest automatycznie objęty tym mechanizmem — znaczenie ma między innymi to, czy konkretny odbiorca znajduje się na liście certyfikowanych organizacji.

Turcja jako państwo trzecie

Brak decyzji o adekwatności dla Turcji oznacza, że samo przekazanie danych do tureckiej spółki, zespołu technicznego lub infrastruktury znajdującej się w Turcji wymaga zastosowania dodatkowego mechanizmu legalizującego transfer.

Najczęściej może nim być:

• zastosowanie standardowych klauzul umownych Komisji Europejskiej;
• przeprowadzenie analizy transferu danych, w tym oceny prawa i praktyki państwa odbiorcy;
• wdrożenie dodatkowych środków technicznych i organizacyjnych;
• ograniczenie zakresu przekazywanych danych;
• pseudonimizacja lub szyfrowanie danych, przy czym klucze szyfrujące powinny pozostawać pod kontrolą podmiotu z Europejskiego Obszaru Gospodarczego;
• odpowiednie uregulowanie udziału dalszych podmiotów przetwarzających.

Standardowe klauzule umowne same w sobie nie zawsze wystarczą. Po wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie „Schrems II” należy ocenić, czy w praktyce dane będą chronione na poziomie zasadniczo równoważnym ochronie zapewnianej w UE.

Zgoda użytkownika nie przechodzi automatycznie między narzędziami

W praktyce często pojawia się pytanie, czy zgody zebrane na potrzeby jednego narzędzia, na przykład Google Analytics, można wykorzystać przy uruchomieniu innego rozwiązania — takiego jak Segmentify lub Insider.

Odpowiedź brzmi: nie należy zakładać, że taka zgoda jest automatycznie skuteczna wobec nowego dostawcy.

Decyzja o adekwatności i zgoda użytkownika dotyczą dwóch różnych kwestii:

• decyzja o adekwatności odnosi się do warunków przekazywania danych do określonego państwa lub organizacji;
• zgoda użytkownika jest podstawą prawną określonego przetwarzania, na przykład zapisywania plików cookie, prowadzenia profilowania lub personalizowania reklam.

Oczywiste jest również, że zgoda udzielona na potrzeby Google Analytics nie musi obejmować:

• innego administratora lub procesora;
• innego celu przetwarzania;
• profilowania użytkownika;
• budowania segmentów odbiorców;
• przekazywania danych do Turcji;
• dodatkowych kategorii danych;
• dłuższego okresu przechowywania;
• nowych odbiorców lub podwykonawców.

Dlatego zmiana dostawcy technologii może wymagać aktualizacji mechanizmu zgód, treści klauzuli informacyjnej, polityki prywatności oraz konfiguracji platformy zarządzania zgodami. Nie można uznać, że zgoda zebrana dla jednego narzędzia automatycznie legalizuje korzystanie z innego.

Liczy się nie tylko umowa, lecz także rzeczywistość

Organy ochrony danych coraz większą wagę przywiązują do faktycznego sposobu działania organizacji. Samo wskazanie w umowie lub polityce prywatności, że administratorem albo procesorem jest spółka z Polski lub innego państwa UE, może być niewystarczające.

Istotne jest między innymi:

• kto podejmuje decyzje dotyczące celów i sposobów przetwarzania;
• kto ustala działanie algorytmów;
• kto decyduje o zakresie profilowania;
• kto ma dostęp do danych;
• gdzie znajdują się zespoły techniczne;
• z jakiego państwa wykonywane jest wsparcie administracyjne;
• kto może pobrać, skopiować lub zmodyfikować dane;
• gdzie znajdują się kopie zapasowe i logi;
• kto zarządza kluczami szyfrującymi;
• jakie podmioty uczestniczą w przetwarzaniu.

W tym kontekście obowiązuje zasada określana jako substance over form — pierwszeństwo rzeczywistości nad formalnym opisem struktury. Jeżeli centrum decyzyjne, dostęp do danych i faktyczna kontrola nad procesem znajdują się w Turcji, samo wpisanie europejskiej spółki jako strony umowy nie usuwa ryzyka transferu do państwa trzeciego.

Zdalny dostęp z Turcji również jest transferem

Szczególne znaczenie ma zdalny dostęp do danych. Transfer nie musi oznaczać fizycznego skopiowania bazy danych na serwer znajdujący się w Turcji.

Jeżeli pracownik lub podwykonawca z Turcji uzyskuje dostęp do danych zapisanych na serwerze we Frankfurcie, może dojść do transferu danych do Turcji. Z perspektywy ochrony danych znaczenie ma bowiem nie tylko lokalizacja serwera, ale także państwo, z którego dane są dostępne i w którym odbiorca może się z nimi zapoznać.

Przykład:

Spółka z Polski korzysta z platformy należącej do podmiotu z Wielkiej Brytanii. Dane są przechowywane w centrum danych we Frankfurcie, ale wsparcie techniczne zapewniają inżynierowie zatrudnieni przez turecką spółkę z grupy. Inżynierowie mogą przeglądać dane użytkowników w ramach obsługi zgłoszeń.

W takim przypadku:

1. transfer z Polski do Wielkiej Brytanii może korzystać z decyzji o adekwatności;
2. zdalny dostęp inżynierów z Turcji może jednak stanowić dalszy transfer do Turcji;
3. turecka spółka powinna zostać odpowiednio zidentyfikowana w dokumentacji;
4. należy ocenić jej rolę oraz podstawę prawną dalszego transferu;
5. konieczne może być zastosowanie standardowych klauzul umownych i dodatkowych zabezpieczeń.

Turecka spółka jako procesor lub faktyczny administrator

Kolejnym istotnym elementem jest prawidłowe ustalenie ról podmiotów uczestniczących w przetwarzaniu.

Turecka spółka może występować jako:

• podmiot przetwarzający;
• dalszy podmiot przetwarzający, czyli sub-processor;
• niezależny administrator;
• współadministrator;
• podmiot zapewniający wyłącznie wsparcie techniczne, ale posiadający faktyczny dostęp do danych.

O kwalifikacji nie decyduje sama nazwa użyta w umowie. Jeżeli turecki podmiot faktycznie decyduje o tym, jak działają algorytmy, jakie dane są wykorzystywane do profilowania lub jakie cele realizuje platforma, jego rola może wykraczać poza zwykłego usługodawcę technicznego.

Taka sytuacja powinna zostać odzwierciedlona w umowach, rejestrach czynności przetwarzania, polityce prywatności i dokumentacji dotyczącej transferów. Pominięcie faktycznego odbiorcy danych może prowadzić do niepełnej realizacji obowiązku informacyjnego i błędnej oceny ryzyka.

Mam oprogramowanie z Turcji – co robić?

Brak decyzji o adekwatności dla Turcji nie oznacza automatycznego zakazu korzystania z tureckich dostawców technologii. Oznacza jednak, że transfer danych wymaga dodatkowej analizy i odpowiednich zabezpieczeń.

Największym błędem jest ograniczenie się do sprawdzenia lokalizacji serwerów albo formalnej nazwy dostawcy. Równie ważne są zdalny dostęp, faktyczna kontrola nad danymi, lokalizacja zespołów technicznych oraz wpływ podmiotu na algorytmy i profilowanie.

W konsekwencji zgody, ustawienia i uprawnienia skonfigurowane dla jednego narzędzia — na przykład Google Analytics — nie powinny być automatycznie przenoszone na Segmentify, Insider lub inną platformę. Każdy nowy dostawca wymaga odrębnej oceny celów, zakresu przetwarzania, roli podmiotów oraz ewentualnego transferu danych do państwa trzeciego.