Czy potrzebna jest zgoda GIODO na przekazanie danych osobowych do państwa trzeciego (Stanów Zjednoczonych Ameryki), jeśli odbiorca danych przystąpił do programu „Safe Harbour”?

Odpowiedź

Nie, gdyż przystąpienie podmiotu do programu „Safe Harbour” oznacza, że podmiot ten – odbiorca danych – zobowiązuje się do zapewnienia odpowiedniego poziomu bezpieczeństwa danych osobowych, wystarczającego do przekazania danych do państwa trzeciego.

Uzasadnienie

Zgodnie z ustawą o ochronie danych osobowych przekazywanie danych do państwa trzeciego może nastąpić tylko w sytuacjach wyraźnie w niej określonych, np. gdy państwo to daje gwarancje ochrony danych osobowych na swoim terytorium przynajmniej takie, jakie obowiązuje na terytorium Rzeczypospolitej Polskiej, bądź gdy zachodzi co najmniej jedna z przesłanek wskazanych w art. 47 ust. 2 i 3 ustawy o ochronie danych osobowych; np. gdy osoba, której dane dotyczą, wyraziła na to zgodę na piśmie lub przekazanie jest niezbędne dla wykonania umowy zawartej pomiędzy administratorem danych a osobą, której dane dotyczą. Zgoda Generalnego Inspektora Ochrony Danych Osobowych na przekazanie danych do państwa trzeciego jest konieczna, jeśli państwo to nie daje gwarancji ochrony danych osobowych przynajmniej takich, jakie obowiązują na terytorium Rzeczypospolitej Polskiej.

Stany Zjednoczone Ameryki zalicza się do jednego z państw trzecich nie dających gwarancji odpowiedniego zabezpieczenia danych osobowych. Z uwagi na to, że taka sytuacja w znacznym stopniu hamuje wymianę gospodarczą pomiędzy Unią Europejską a Stanami Zjednoczonymi Departament Handlu Stanów Zjednoczonych wypracował w porozumieniu z Komisją Europejską program "Safe Harbour". Każdy podmiot, który przystępuje do programu „Safe Harbour”, poprzez uzyskanie jego certyfikatu, ma gwarantować odpowiedni poziom ochrony danych osobowych, przynajmniej taki jaki obowiązuje w państwach należących do Europejskiego Obszaru Gospodarczego, podlegającym przepisom Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych.

W związku z powyższym, skoro podmiot, do którego dane osobowe mają być przekazane, przystąpił do programu „Safe Harbour”, co oznacza, że gwarantuje on odpowiedni poziom bezpieczeństwa tym danym, to zgoda Generalnego Inspektora Ochrony Danych Osobowych na przekazanie danych jest w tym przypadku zbędna.