Zasady przekazywania danych osobowych do państw trzecich

I.       Wprowadzenie

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych[1], zawiera szczególne wymogi dotyczące przekazywania danych osobowych do państw trzecich. Zastały one określone w rozdziale 7 Uodo (art. 47 i 48) zatytułowanym „Przekazywanie danych osobowych do państwa trzeciego”. Podkreślenia wymaga, że powyższe przepisy implementują odpowiednie postanowienia Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych[2].

II.    Zasady przekazywania danych osobowych do państw należących do EOG

Uodo nie zawiera szczególnych przepisów regulujących odrębnie przekazywanie danych osobowych do państw należących do Europejskiego Obszaru Gospodarczego (EOG). Należy bowiem podkreślić, że zgodnie z definicją legalną określoną w art. 7 pkt 7 Uodo, przez państwo trzecie rozumie się państwo nienależące do EOG. Oznacza to, że przepływ danych w obrębie EOG jest traktowany tak samo, jak transfer danych na terytorium Polski. Zasada ta dotyczy wszystkich państw członkowskich Unii Europejskiej oraz tych państw członkowskich EOG, które nie są członkami UE (obecnie to: Norwegia, Islandia i Lichtenstein).

Swobodny przepływ danych w ramach Unii Europejskiej oraz szerzej w ramach EOG jest koniecznym wymogiem członkostwa Polski w strukturach UE. W konsekwencji przyjętego przez ustawodawcę rozwiązania przekazywanie danych osobowych do państw należących do EOG podlega ogólnym zasadom przetwarzania danych osobowych ustalonych przez Uodo, z wyłączeniem rozdziału 7. Taki administrator danych, tak samo jak administrator danych przetwarzający dane tylko na terytorium Polski, jest zobowiązany m.in. do spełnienia jednej z przesłanek legalności przetwarzania danych osobowych, zasady celowości i jakości danych osobowych, jak również jest zobowiązany do zabezpieczenia danych.

III. Zasady przekazywania danych osobowych do państw trzecich

Na podstawie art. 47 ust. 1 Uodo, przekazanie danych osobowych do państwa trzeciego może nastąpić, jeżeli państwo docelowe daje gwarancje ochrony danych osobowych na swoim terytorium przynajmniej takie, jakie obowiązują na terytorium Rzeczypospolitej Polskiej.

Należy zaznaczyć, że w/w przepis jest odzwierciedleniem treści art. 25 ust. 1 dyrektywy 95/46/WE, zgodnie z którym państwa członkowskie zapewnią, że przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu może nastąpić tylko wówczas, gdy – niezależnie od zgodności z krajowymi przepisami przyjętymi na podstawie innych postanowień niniejszej dyrektywy – dane państwo trzecie zapewni odpowiedni stopień ochrony.

W świetle postanowień Uodo oraz prawa wspólnotowego przekazywanie danych osobowych do państwa trzeciego jest możliwe tylko wtedy, gdy państwo to zapewnia odpowiedni stopień ochrony danych osobowych, co na gruncie Uodo jest wyrażone jako zapewnienie gwarancji ochrony danych osobowych przynajmniej takich, jakie obowiązują na terytorium Polski.

Uodo nie daje wprost wskazówek, jakie przesłanki decydują o ocenie czy dane państwo trzecie zapewnia odpowiednią ochronę danych osobowych. Natomiast Komisja Europejska na mocy art. 25 ust. 6 dyrektywy 95/46/WE jest uprawniona do stwierdzenia w drodze decyzji, że dane państwo trzecie zapewnia odpowiedni stopień ochrony, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to przyjęło, szczególnie po zakończeniu negocjacji z Komisją Europejską, w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych. Uznanie przez Komisję Europejską danego państwa za zapewniające odpowiednią ochronę (tzw. kraj bezpieczny) jest równoznaczne z tym, iż zapewnia ono takie same gwarancje ochrony jakie są na terytorium Rzeczypospolitej Polskiej.