International data transfers

Co do zasady przetwarzamy dane osobowe w granicach Europejskiego Obszaru Gospodarczego, a usługi świadczone z Polski utrzymujemy w jego obrębie. Dla organizacji objętej regulacją Unii oznacza to brak mechanizmu transferu do negocjowania, brak konieczności monitorowania adekwatności oraz brak standardowych klauzul umownych do utrzymywania w odniesieniu do tej pracy.

Transfer poza EOG może wystąpić wyjątkowo, jeżeli konkretna usługa lub narzędzie wymaga przetwarzania przez podmiot lub w infrastrukturze poza EOG. W takim przypadku transfer następuje wyłącznie przy zastosowaniu odpowiedniego mechanizmu przewidzianego w rozdziale V RODO, o czym informujemy osoby, których dane dotyczą.

Jako podstawę transferu stosujemy, w kolejności właściwej dla danego przypadku: decyzję Komisji Europejskiej o adekwatności ochrony w państwie docelowym, standardowe klauzule umowne przyjęte przez Komisję albo wiążące reguły korporacyjne. W braku tych podstaw transfer może opierać się wyłącznie na wyjątkach przewidzianych w art. 49 RODO, stosowanych w sposób ścisły i w ograniczonym zakresie.

Przed transferem opartym na standardowych klauzulach umownych oceniamy, czy prawo i praktyka państwa docelowego nie podważają skuteczności zabezpieczeń, w szczególności w zakresie dostępu organów publicznych do danych. Jeżeli ocena wskazuje na ryzyko, wdrażamy dodatkowe środki uzupełniające o charakterze technicznym, organizacyjnym lub umownym albo rezygnujemy z transferu.

Za transfer uznajemy również sytuację, w której podmiot przetwarzający lub jego podprocesor uzyskuje dostęp do danych spoza EOG, w tym w ramach wsparcia lub administracji zdalnej. Dlatego weryfikujemy lokalizację podprocesorów oraz miejsce, z którego następuje dostęp do systemów, i uwzględniamy to w ocenie transferu.

O istnieniu transferu poza EOG, jego podstawie oraz sposobie uzyskania informacji o zastosowanych zabezpieczeniach informujemy w Polityce prywatności oraz na żądanie. W zakresie danych objętych transferem przysługują Ci prawa opisane w Polityce prywatności, w tym prawo skargi do Prezesa Urzędu Ochrony Danych Osobowych.