Transferurile internaționale de date personale sunt mișcări de date personale din Uniunea Europeană către țări terțe sau organizații internaționale. Conform GDPR, aceste transferuri sunt permise numai către țări cu nivel adecvat de protecție sau prin intermediul unor garanții legale cum sunt clauzele contractuale standard (SCC) și regulile corporatiste obligatorii (BCR).
Definiție
Transferurile internaționale de date personale sunt reglementate strict de Capitolul V al GDPR (articolele 44-50). Principiul fundamental, stabilit de Articolul 44, este că datele personale pot fi transferate în țări terțe numai dacă sunt respectate condiții specifice care să garanteze un nivel de protecție adecvat.
Mecanismele legale de transfer
Operatorii dispun de trei mecanisme principale pentru a transfera date în siguranță în țări terțe:
-
Deciziile de adecvare — Comisia Europeană determină că o țară are un nivel de protecție „adecvat și eficient". În acest caz, transferurile se pot face liber, fără alte garanții suplimentare.
-
Clauzele contractuale standard (SCC) — Sunt clauze contractuale pre-aprobate de Comisia UE care trebuie incluse între operator și destinatar din țara terță. Acestea sunt cea mai frecventă soluție pentru relații cu furnizori sau parteneri externi. Atunci când se utilizează SCC, operatorul trebuie să efectueze o Evaluare a impactului asupra protecției datelor (DPIA) pentru a verifica dacă legislația țării destinație permite o protecție suficientă.
-
Regulile corporatiste obligatorii (BCR) — Sunt politici interne aprobate de autoritățile de supraveghere, aplicabile doar grupurilor mari de companii multinaționale care efectuează transferuri sistematice între entitățile lor.
Obligații ale operatorilor
Operatorii care transferă date trebuie să informeze persoanele vizate conform Art. 13 și 14 GDPR, menționând destinația și garanțiile aplicate. Încălcarea regulilor de transfer poate duce la amenzi de până la 4% din cifra de afaceri globală.
Drepturi ale persoanelor vizate
Persoanele vizate au drepturi clare pentru a contesta transferuri ilegale. Conform GDPR, acestea pot depune plângeri la autorități (ANSPDCP) sau introduce acțiuni în instanță. Pentru informații detaliate, consultați ghidul complet privind transferurile internaționale, precum și termenul aferent în glosarul GDPR. Puteți consulta și drepturile persoanelor vizate sau evaluarea impactului asupra protecției datelor (DPIA) pentru a înțelege mai bine procedurile aferente.
Întrebări frecvente
1. Trebuie să informez persoanele vizate despre transferurile internaționale?
Da. Conform Art. 13 și 14 GDPR, nota de informare trebuie să menționeze faptul că datele sunt transferate în afara UE, destinația (țara terță sau organizația internațională) și garanțiile aplicate (decizie de adecvare, SCC, BCR).
2. Care este diferența între SCC și BCR?
SCC (clauze contractuale standard) reglementează relații bilaterale între un operator și un destinatar specific din țara terță. BCR (reguli corporatiste obligatorii) sunt politici interne aprobate de autoritățile de supraveghere, aplicabile grupurilor de companii multinaționale.
3. Ce fac dacă furnizorul refuză să semneze SCC?
Dacă furnizorul refuză și nu există decizie de adecvare pentru țara sa, nu poți transfera legal datele. Caută un furnizor alternativ sau migrează serviciul în UE/SEE.