10.01.2013
TRANSFERUL DE DATE PERSONALE ÎN STRĂINĂTATE
Transferul de date cu caracter personal către un alt stat poate avea loc numai în condiţiile în care nu se încalcă legea română, iar statul către care se intenţionează transferul asigură un nivel de protecţie adecvat.
Transferul de date personale apare cel mai adesea atunci când datele personale colectate în cadrul anumitor proiecte (campanii promoționale, utilizarea de aplicații IT de colectare a datelor personale de pe portaluri de socializare, proiecte de recrutare, proiecte de evidență a forței de muncă etc) sunt stocate pe servere gazduite în alt stat decât România.
Cum apreciază ANSPDCP nivelul de protecție al datelor personale transferate?
Pentru fiecare transfer în parte, ANSPDCP apreciază nivelul de protecţie al datelor personale transferate, ţinând seama de:
- natura datelor transmise
- scopul prelucrării în cadrul căreia au fost preluate datele personale transferate
- durata propusă pentru prelucrare
- statul de origine (în cazul nostru România)
- statul de destinaţie finală (respectiv statul unde sunt transferate/stocate datele personale)
- legislaţia statului solicitant (legislația română).
În cazul în care autoritatea de supraveghere constată că nivelul de protecţie oferit de statul de destinaţie (statul catre care se efectueaza trasnferul) este nesatisfăcător (adică nu este similar cu cel oferit/impus de legislația UE și legislația română) poate dispune interzicerea transferului de date.
În toate situaţiile transferul de date cu caracter personal cătreun alt stat va face obiectul unei notificări prealabile a autorităţii de supraveghere.
Cum se poate face transferul de date personale?
Transferul de date personale se poate face:
- către un stat din Uniunea Europeana (de exemplu atunci când datele personale sunt gazduite pe servere aflate în Uniunea Europeană);
- către un stat din afara Uniunii Europene a cărui legislație nu prevede un nivel de protecție adecvat, respectiv similar cu cel oferit de legislația română și europeană;
- către un stat din afara Uniunii Europene a cărui legislație prevede un nivel de protecție adecvat, recunoscut printr-un certificat Safe Harbour(certificatul Safe Harbour confirmă că respectiva companie ce îl deține asigură un nivel de protecție a datelor personale adecvat, similar cu cel stabilit de legislația europeană)
- către un stat din afara Uniunii Europene căruia i s-a recunoscut prin decizie la nivel de Uniune Europeană un nivel de protecție adecvat.
a.Dacă transferul operează către un stat din UniuneaEuropeană:
- este obligatorie notificarea autorității de supraveghere cu privire la acest transfer;
- este recomandabil (dar nu obligatoriu) a se comunica autorității la momentul notificarii un înscris de unde rezultă că serverele pe care se face găzduirea datelor personale se găsesc într-un stat al UniuniiEuropene.
b.Dacă transferul operează către un stat din afara Uniunii Europene a cărui legislație nu prevede un nivel de protecție adecvat:
- este obligatorie notificarea autorității de supraveghere cu privire la acest transfer;
- este obligatorie încheierea unui contract cu clauză standard (conform modelului impus prin DECIZIA COMISIEI din 5 februarie 2010 privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe în temeiul Directivei 95/46/CE a Parlamentului transpusă în România prin DECIZIA nr.167/2006 privind stabilirea clauzelor contractuale standard în cazul transferurilor de date cu caracter personal către un împuternicit stabilit într-un stat a cărui legislaţie nu prevede un nivel de protecţie cel puţin egal cu cel oferit de legea română)
c.Dacă transferul operează către un stat din afara Uniunii Europene a cărui legislație prevede un nivel de protecție adecvat, recunoscut printr-un certificat Safe Harbour:
- este obligatorie notificarea autorității de supraveghere cu privire la acest transfer;
- este obligatorie comunicarea către autoritate a unei copii de pe certificatul de Safe Harbour deținut de către compania către care se face transferul.
d.Dacă transferul operează către un stat din afara Uniunii Europene căruia i s-a recunoscut prin decizie la nivel de Uniune Europeană un nivel de protecție adecvat:
- este obligatorie notificarea autorității de supraveghere cu privire la acest transfer;
- este obligatorie incheierea unui contract între părți în cadrul căruia să se specifice ca transferul și prelucrarea se va face în baza și cu respectarea deciziei ANSPDCP și UE prin care s-a recunoscut către autoritate un nivel de protecție adecvat.
FORMALITĂȚILE MAI SUS MENȚIONATE NU SE APLICĂ atunci când prelucrarea datelor se face exclusiv în scopuri jurnalistice, literare sau artistice, dacă datele au fost făcute publice în mod manifest de către persoana vizată sau sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată.
