EU-US Data Privacy Framework

Що це означає

EU-US Data Privacy Framework - це рамка, за якою персональні дані можна передавати з ЄС американським компаніям, сертифікованим у ній. Європейська комісія у 2023 році вирішила, що такі компанії забезпечують належний рівень захисту, тож передача не потребує додаткових гарантій.

Рамка замінила Privacy Shield, який Суд ЄС скасував через недостатній захист від доступу американських спецслужб. Нова рамка запровадила обмеження такого доступу й механізм захисту прав для громадян ЄС, а Загальний суд ЄС у 2025 році відхилив позов проти неї.

Це один з інструментів передачі персональних даних до третіх країн за GDPR. Якщо одержувач не сертифікований, потрібен інший інструмент, зазвичай стандартні договірні положення й оцінка ризиків передачі.

Як це працює на практиці

Перед передачею треба перевірити, чи є конкретний американський одержувач у списку сертифікованих організацій і чи охоплює сертифікація цей тип даних, наприклад кадрові дані працівників. Сертифікація добровільна, і компанія має щороку її продовжувати.

Більшість фірм передають дані до США опосередковано, через хмарні сервіси, поштові інструменти, CRM чи аналітику. У реєстрі обробки й в інформації для суб'єктів даних треба зазначити, що передача відбувається і на якій підставі.

За ризикованішої обробки, наприклад чутливих даних у великому обсязі, варто провести й оцінку впливу на захист даних. Багато постачальників поєднують сертифікацію зі стандартними договірними положеннями, щоб мати запасну підставу на випадок зміни рамки.

На що звернути увагу

Майбутнє рамки не гарантоване. Дві попередні рамки суд скасував, і нове оскарження не виключене. Фірмам варто мати план, наприклад договірні положення чи можливість перенести дані до ЄС, якщо рамка впаде.

Сертифікація поширюється лише на організацію, яка її отримала, а не на її субпідрядників. Щодо постачальників із розгалуженою мережею обробників треба перевірити весь ланцюг і закріпити в договорі обов'язок повідомляти про зміну субпідрядників.