EROD o skutkach ram ochrony danych UE-USA

Europejska Rada Ochrony Danych (EROD), podczas 82. posiedzenia plenarnego, przyjęła notę informacyjną dla osób fizycznych i podmiotów przekazujących dane do USA oraz Oświadczenie w sprawie pierwszego przeglądu decyzji stwierdzającej odpowiedni stopień ochrony danych w Japonii.

Przyjęta Nota informacyjna dot. przekazywania danych do USA ma na celu dostarczenie zwięzłych i obiektywnych informacji dotyczących wpływu decyzji stwierdzającej odpowiedni stopień ochrony na przekazywanie danych do USA, mechanizmów dochodzenia roszczeń, dostępnych na podstawie ram ochrony danych (DPF), i nowego mechanizmu dochodzenia roszczeń w obszarze bezpieczeństwa narodowego.

Przewodnicząca EROD, Anu Talus, powiedziała: „Przyjęcie DPF przez Komisję Europejską w następstwie opinii EROD z lutego 2023 r. jest ważną decyzją uznającą, że obecnie może mieć miejsce przepływ danych osobowych z Europejskiego Obszaru Gospodarczego do Stanów Zjednoczonych bez żadnych dalszych warunków. Istotne jest, aby osoby fizyczne były świadome swoich praw, a organizacje znały swoje obowiązki, co EROD wyjaśnia w nocie informacyjnej. EROD będzie nadal zwracać szczególną uwagę na prawidłowe wdrożenie tego nowego instrumentu i z niecierpliwością czeka na wniesienie wkładu w pierwszy przegląd DPF w przyszłym roku”.

W nocie informacyjnej wyjaśniono, że przekazywanie danych oparte na decyzjach stwierdzających odpowiedni stopień ochrony nie musi być uzupełniane środkami uzupełniającymi. Przekazywanie danych do USA, które nie zostało uwzględnione w „Wykazie ram ochrony danych”, wymaga odpowiednich zabezpieczeń, takich jak standardowe klauzule ochrony danych lub wiążące reguły korporacyjne. W tym względzie EROD podkreśla, że wszystkie zabezpieczenia wprowadzone przez rząd USA w obszarze bezpieczeństwa narodowego (w tym mechanizm dochodzenia roszczeń) mają zastosowanie do wszystkich danych przekazywanych do USA, niezależnie od wykorzystywanego narzędzia przekazywania danych.

Ponadto w dokumencie podkreślono, że w obszarze bezpieczeństwa narodowego osoby fizyczne z UE mogą złożyć skargę do swojego krajowego organu ochrony danych, aby skorzystać z nowego mechanizmu dochodzenia roszczeń, niezależnie od narzędzia przekazywania danych wykorzystywanego do przekazywania danych osobowych do USA.

Podczas posiedzenia plenarnego przedstawiciele Komisji Europejskiej przedstawili również prezentację na temat ram ochrony danych UE-USA i zmian wynikających z opinii EROD.

Oświadczenie w sprawie pierwszego przeglądu decyzji stwierdzającej odpowiedni stopień ochrony danych w Japonii

Podczas tego samego posiedzenia plenarnego EROD przyjęła także „Oświadczenie w sprawie pierwszego przeglądu decyzji stwierdzającej odpowiedni stopień ochrony danych w Japonii”. Oświadczenie koncentruje się głównie na ocenie aspektów handlowych decyzji stwierdzającej odpowiedni stopień ochrony danych w Japonii, ponieważ w japońskich ramach prawnych wprowadzono pewne zmiany w tym obszarze od czasu wydania decyzji stwierdzającej odpowiedni stopień ochrony, które prowadzą do dalszej konwergencji z RODO. Obejmują one rozszerzenie prawa do zgłoszenia sprzeciwu wobec przetwarzania danych, wzmocnienie obowiązku zgłaszania naruszeń ochrony danych do japońskiego organu ochrony danych i zawiadamiania o naruszeniach ochrony danych osób fizycznych oraz rozszerzenie zakresu japońskiej ustawy o ochronie danych osobowych, tak aby nie wykluczała ona już danych osobowych, które „mają zostać usunięte” w ciągu sześciu miesięcy.

Jednocześnie EROD uważa, że istnieją pewne obszary, które wymagają ściślejszego monitorowania przez Komisję Europejską, zwłaszcza w odniesieniu do nowej kategorii „spseudonimizowanych” danych osobowych w japońskim prawie i wykorzystania zgody w sytuacjach braku równowagi sił. W związku z tym EROD z zadowoleniem przyjmuje zobowiązanie Komisji Europejskiej do ścisłego monitorowania tej kwestii.

Agenda 82. posiedzenia plenarnego EROD

W załączeniu do komunikatu tłumaczenie robocze Noty informacyjnej dotyczącej przekazywania danych na podstawie RODO do Stanów Zjednoczonych po przyjęciu decyzji stwierdzającej odpowiedni stopień ochrony 10 lipca 2023 r.

Decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzającej odpowiedni stopień ochrony danych osobowych zapewniony w ramach ochrony danych UE–USA.