Mateusz Jakubik, oficer bezpieczeństwa informacji w iSecure Sp. z o.o.
W skład państw EOG, poza państwami członkowskimi Unii Europejskiej, wchodzą również Islandia, Norwegia oraz Liechtenstein. Nowa decyzja KE nr 2021/914 z dnia 27 czerwca 2021 r. wprowadza nowy zaktualizowany zestaw Standardowych Klauzul Umownych (SKU). Zaktualizowane klauzule legalizują transfer danych poza EOG - w przypadku dodania ich do umowy. Zapisy te mają na celu zapewnienie standardów ochrony danych osobowych w państwach poza EOG.
Nowe Standardowe Klauzule Umowne zawierają znaczące zmiany przewidujące pewne scenariusze transferu, które wcześniej nie były uwzględnione. Dla praktyków najważniejsze jest to, że nowe transgraniczne SKU mogą być stosowane do wszystkich modeli przekazywania danych, niezależnie od prawnej „roli” eksportera i importera danych. Mowa tutaj o następujących modułach: administrator – administrator (moduł I), administrator – podmiot przetwarzający (moduł II), podmiot przetwarzający – podprocesor (moduł III) oraz podmiot przetwarzający – administrator (moduł IV).
Nie można zapominać o obowiązku weryfikacji przez administratorów czy podmioty przetwarzające tego, które moduły powinny zostać zastosowane do transferu mającego miejsce w danym przypadku. Aktualnie wykorzystywane klauzule powinny zostać dostosowane do dnia 27 grudnia 2022 r. Podczas dokonywania nowych transferów danych osobowych do państw trzecich należy wykorzystywać już wyłącznie nowe wzory SKU. Jak można przeczytać na stronie Urzędu Ochrony Danych Osobowych, zastosowanie nowych standardowych klauzul umownych nie wyłącza konieczności oceny planowanego transferu pod kątem zapewnienia zgodności z wyrokiem TSUE w sprawie Schrems II i ewentualnego wdrożenia środków uzupełniających standardowe klauzule umowne.