Рішення про адекватність

Що це означає

Рішення про адекватність - рішення Європейської комісії про те, що країна поза ЄС забезпечує адекватний рівень захисту персональних даних. До такої країни дані можна передавати без додаткових гарантій, ніби в межах ЄС. Це найпростіша правова підстава для передачі даних до третіх країн.

Під час оцінки Комісія вивчає правову систему країни, наявність незалежного наглядового органу, права суб'єктів даних і доступ державних органів до даних. Рішення існують, наприклад, для Великої Британії, Швейцарії, Японії, Республіки Корея та низки інших країн.

Для США діє особливий режим EU-US Data Privacy Framework, що поширюється лише на американські компанії, сертифіковані в його межах. Для несертифікованих отримувачів у США потрібні інші інструменти, наприклад стандартні договірні положення.

Як це працює на практиці

Перед використанням закордонного хмарного сервісу, маркетингового інструмента чи бухгалтерської програми варто з'ясувати, де обробляються дані. Якщо це країна з рішенням про адекватність, передача проста; інакше потрібні договірні гарантії та оцінка ризиків.

Інформація про передачу до третьої країни та її правову підставу входить до реєстру операцій обробки й до інформації для суб'єктів даних. Під час перевірки компанія має вміти показати, куди йдуть дані й на якій підставі.

Багато постачальників використовують субпідрядників у різних країнах. Договір про обробку має містити список субпідрядників і їхніх місць розташування та обов'язок повідомляти про зміни, щоб компанія могла відреагувати, якщо дані почнуть передаватися до країни без адекватного захисту.

На що звернути увагу

Рішення про адекватність можуть змінитися чи бути скасовані. Суд ЄС у минулому скасував дві попередні схеми передачі даних до США, що заскочило тисячі компаній. Треба стежити за розвитком і мати запасну правову підставу.

Рішення про адекватність розв'язує лише питання законності передачі, а не інші обов'язки. Компанія й далі має дотримуватися всіх принципів GDPR, мати правову підставу обробки та договір з обробником незалежно від країни.