16 lipca 2020 r. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie Schrems II, w którym stwierdził nieważność Tarczy Prywatności (Privacy Shield) umożliwiającej do tej pory transfer danych osobowych z UE do USA.
Schrems II a stosowanie standardowych klauzul umownych (SCC)
TSUE w tym samym wyroku odniósł się również do stosowania standardowych klauzul umownych (SCC).
Stwierdził, że ich stosowanie nadal jest możliwe, aczkolwiek do administratora danych lub podmiotu przetwarzającego należy sprawdzenie czy prawo państwa trzeciego zapewnia właściwą ochronę danych osobowych, a jeżeli tak nie jest, to podmioty te powinny wprowadzić dodatkowe zabezpieczenia lub w braku takiej możliwości zawiesić lub w ogóle zakończyć transfer danych do tego państwa. Głównie chodzi w tym przypadku o USA.
Przekazywanie danych do USA ryzykowne
Na co dzień większość z nas stara się chronić własną prywatność i prywatność swoich klientów.
Bulwersują Cię pewnie takie wiadomości jak ta, że ZUS podczas kontroli zwolnień lekarskich scrolluje fejsa w poszukiwaniu zdjęć z wakacji w okresie objętym L4. W USA natomiast legalne jest przekazywanie przez serwisy społecznościowe danych osobowych użytkowników sieci nie będących obywatelami amerykańskimi takim podmiotom jak NSA, FBI czy CIA.
Przechodząc do tzw. ad remu należałoby obecnie zastanowić się, czy ten wyrok TSUE ma wpływ na Twoją pracę.
Jak przypuszczam, większość z Was przetwarza dane osobowe swoich klientów na podstawie udzielonej przez nich zgody. I to nadal jest OK, z tym że obecnie (moim zdaniem) na Tobie jako administratorze danych osobowych spoczywa dodatkowy obowiązek poinformowania klienta o ryzyku, z jakim wiąże się ta zgoda.
To znaczy – Twój klient powinien zostać poinformowany, że jego dane osobowe zostaną przekazane do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony danych.
Ten obowiązek wynika (i wynikał) z art. 49 RODO, natomiast teraz wydaje mi się, że w obliczu wyroku w sprawie Schrems II przekazywanie danych do USA stało się ryzykowne, bowiem wprost stwierdzono, że państwo to nie zapewnia takich standardów ochrony danych osobowych jak unijne.
Zgoda nadal powinna być wyraźna, szczegółowa oraz świadoma – to się nie zmieniło.
Jednak Twój klient powinien mieć świadomość ryzyka, jakie niesie za sobą udzielenie tej zgody.
Co teraz?
Poza tym, część z Was korzysta zapewne z takich serwisów jak Smart Albums czy Smart Slides (oba są własnością Pixellu), PicTime, Shootproof, Fundy, AlbumWorks czy Pixieset, których serwery znajdują się w USA.
Do momentu opublikowania oficjalnego stanowiska EROD w sprawie wytycznych dotyczących stosowania SCC rozsądnym byłoby rozważenie skorzystania z serwisów rodzimych, jak np. Zalamo.
Zdaję sobie sprawę, że część z Was w głębokim poważaniu ma kwestie związane z ochroną danych osobowych… Tę część serdecznie pozdrawiam i upraszam o powstrzymanie się od wypowiedzi typu „a dajcie już spokój z tym RODO”. 🙂
Daleko jestem również od zajmowania jednoznacznego stanowiska w sprawie dotychczas stosowanych przez Was narzędzi pracy.
Jako prawnik zalecam ostrożność i wskazuję na ryzyko w związku z omawianym wyrokiem TSUE.
Co każdy z Was zrobi z tą informacją, to już zależy tylko i wyłącznie od Was 🙂
Dla bardziej dociekliwych polecam lekturę dokumentu opublikowanego przez EROD, gdzie znajdziecie odpowiedzi na najczęściej zadawane pytania.
Pozdrawiam z podlaskiej filii kancelarii na boso i szlafroku 🙂
Karolina Nowalska
adwokat
Photo by Shahadat Rahman on Unsplash
***
Pakiet light „RODO dla fotografa”
Obserwując wysyp literatury, szkoleń, pakietów i innych usług związanych z RODO myślałam, że to szaleństwo.
Wiedziałam, że prędzej czy później muszę zająć się tą tematyką ze względu nie tylko na to, że dotyczy mnie jako przedsiębiorcy, który przetwarza dane osobowe, ale również dotyczy Ciebie.
Kiedy kurz z RODO burzy nieco opadł, zaczęłam zgłębiać tę tematykę.
I tak powstał pakiet light „RODO dla fotografa” [Czytaj dalej…]
{ 0 komentarze… dodaj teraz swój }