Зобов'язувальні корпоративні правила

Що це означає

Зобов'язувальні корпоративні правила - це правила захисту персональних даних, затверджені наглядовим органом, які дають змогу транснаціональній групі передавати персональні дані між своїми компаніями, зокрема за межі ЄС. Це один з інструментів, які GDPR дозволяє для передачі даних до третіх країн.

Правила мають бути юридично обов'язковими для всіх компаній групи та їхніх працівників і гарантувати рівень захисту, порівнянний з GDPR. Вони містять принципи обробки, права суб'єктів даних, механізми відповідальності, навчання, аудити і порядок розгляду скарг.

Вони є альтернативою іншим інструментам передачі, як-от стандартні договірні положення, які підписують для окремих передач, чи передачі на підставі рішення про адекватність, коли Європейська комісія визнає захист у країні призначення достатнім.

Як це працює на практиці

Затвердження зобов'язувальних корпоративних правил складне і довге, часто понад рік. Група має підготувати велику документацію і пройти процедуру в провідному наглядовому органі, який співпрацює з іншими органами ЄС. Тому їх використовують переважно великі транснаціональні групи.

Для невеликих компаній і груп зазвичай практичніше використовувати стандартні договірні положення або під час передачі до США EU-US Data Privacy Framework, якщо одержувач сертифікований. Ці інструменти запроваджують швидше і дешевше.

Якщо словацька компанія входить до групи із затвердженими правилами, вона має їх дотримуватися, включити до внутрішніх процедур і навчати працівників. Під час перевірки з боку Управління із захисту персональних даних вона має вміти показати, як застосовує правила на практиці.

На що звернути увагу

Затверджені правила охоплюють лише передачі всередині групи. Передаючи дані зовнішнім постачальникам за межі ЄС, наприклад хмарним провайдерам, треба використовувати інший інструмент, найчастіше стандартні договірні положення, і оцінити ризики в країні одержувача.

І за затверджених правил треба оцінювати, чи не загрожує право країни призначення захистові даних, наприклад доступом державних органів. Практика Суду ЄС підкреслила потребу такої оцінки і можливих додаткових заходів.