Решение об адекватности

Что это значит

Решение об адекватности - решение Европейской комиссии о том, что страна за пределами ЕС обеспечивает адекватный уровень защиты персональных данных. В такую страну данные можно передавать без дополнительных гарантий, как будто внутри ЕС. Это самое простое правовое основание для передачи данных в третьи страны.

При оценке Комиссия изучает правовую систему страны, наличие независимого надзорного органа, права субъектов данных и доступ государственных органов к данным. Решения существуют, например, для Великобритании, Швейцарии, Японии, Республики Корея и ряда других стран.

Для США действует особый режим EU-US Data Privacy Framework, распространяющийся только на американские компании, сертифицированные в его рамках. Для несертифицированных получателей в США нужны другие инструменты, например стандартные договорные положения.

Как это работает на практике

Перед использованием зарубежного облачного сервиса, маркетингового инструмента или бухгалтерской программы стоит выяснить, где обрабатываются данные. Если это страна с решением об адекватности, передача проста; иначе нужны договорные гарантии и оценка рисков.

Информация о передаче в третью страну и её правовом основании входит в реестр операций обработки и в информацию для субъектов данных. При проверке компания должна уметь показать, куда идут данные и на каком основании.

Многие поставщики используют субподрядчиков в разных странах. Договор об обработке должен содержать список субподрядчиков и их местоположений и обязанность сообщать об изменениях, чтобы компания могла отреагировать, если данные начнут передаваться в страну без адекватной защиты.

На что обратить внимание

Решения об адекватности могут измениться или быть отменены. Суд ЕС в прошлом отменил две предыдущие схемы передачи данных в США, что застало врасплох тысячи компаний. Нужно следить за развитием и иметь запасное правовое основание.

Решение об адекватности решает только вопрос законности передачи, а не другие обязанности. Компания по-прежнему должна соблюдать все принципы GDPR, иметь правовое основание обработки и договор с обработчиком независимо от страны.