W dniu 27 czerwca 2021 r. weszła w życie decyzja Komisji Europejskiej 2021/914 w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich (spoza Europejskiego Obszaru Gospodarczego) oznacza to, że zawarte dotychczas umowy zawierające klauzule umowne określone w decyzjach 2001/497/WE i 2010/87/UE z podmiotami mającymi swoją siedzibę w państwie trzecim będą wymagały aneksowania.
Zgodnie z RODO (ogólne rozporządzenie o ochronie danych osobowych) transfer danych osobowych poza Europejski Obszar Gospodarczy czyli tzw. transfer danych do państw trzecich to przekazanie danych osobowych poza bezpieczny obszar w rozumieniu przepisów ogólnego rozporządzenia. Transferem może być zarówno udostępnienie danych osobowych administratorowi mającemu siedzibę poza EOG jak i powierzenie danych osobowych podmiotowi przetwarzającemu mającemu siedzibę poza EOG.
Jedynym z najbezpieczniejszych wariantów transferu danych osobowych poza EOG są decyzje Komisji Europejskiej stwierdzające odpowiedni stopień i standardy ochrony danych osobowych w państwie, które nie należy do Europejskiego Obszaru Gospodarczego. Wykaz państw, co do których KE podjęła ww. decyzje dostępny jest na stronie Komisji Europejskiej tutaj.
Jeśli KE nie wydała decyzji w sprawie państwa trzeciego stwierdzającej odpowiedni stopień ochrony danych w tym państwie to transfer danych będzie możliwy przy wykorzystaniu standardowych klauzul umownych.
Stosowanie standardowych klauzul umownych jest rekomendowaną podstawą transferu danych osobowych do pozostałych państw, takich jak np.: Stany Zjednoczone, Chiny, itp.
Zgodnie z decyzją KE stosowane do tej pory standardowe klauzule umowne tracą moc
w dniu 27 września 2021 r. W związku z powyższym umowy zawierane po tej dacie powinny być opatrzone wyłącznie nowymi klauzulami. W odniesieniu do umów zawartych przed 27 września 2021 r. KE stosuje okres przejściowy. Jeżeli nie ulegną zmianie postanowienia co do przetwarzania danych osobowych aneksowanie umów może odbyć się najpóźniej do dnia 27 grudnia 2022 r.
Decyzja Komisji Europejskiej jest dostępna tutaj. Komunikaty Urzędu Ochrony Danych Osobowych dotyczące transferu danych są dostępne tutaj i tutaj
Biorąc pod uwagę powyższe, działaniem rekomendowanym przez Inspektora Ochrony Danych w UJ jest dokonanie przeglądu umów zawartych z podmiotami z państw trzecich i weryfikacja czy realizacja umów nie wiąże się z przekazywaniem danych osobowych administrowanych przez UJ do państw trzecich. Jeżeli w umowach zostanie stwierdzone stosowanie dotychczasowych standardowych klauzul umownych, należy jak najszybciej aneksować umowy w celu zastosowania nowych wzorów.
Zawierając nowe umowy z podmiotami mającymi siedzibę w państwach trzecich należy stosować wyłącznie nowe standardowe klauzule umowne.