Czy podmiot mający siedzibę w Polsce, który przeprowadza rekrutację pracowników on – line na obszarze państw należących do Europejskiego Obszaru Gospodarczego (Polska, Niemcy, Czechy) musi, prócz wypełnienia wymogów nałożonych polską ustawą o ochronie danych osobowych, spełnić również„lokalne” prawo każdego z tych krajów?

Odpowiedź:

Nie, bowiem przetwarzanie danych osobowych na obszarze państw należących do państw Europejskiego Obszaru Gospodarczego oznacza, że przepływ danych – jako jedna z form przetwarzania - w obrębie EOG jest traktowany tak samo jakby odbywało się  na terytorium Polski.

Uzasadnienie:

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie zawiera odrębnych przepisów regulujących przekazywanie danych osobowych w ramach państw Europejskiego Obszaru Gospodarczego. Oznacza to, że przetwarzanie/przepływ danych w obrębie EOG jest traktowany tak samo jak przetwarzanie/transfer danych na terytorium Polski. Zasada ta obejmuje wszystkie państwa członkowskie Unii Europejskiej oraz te państwa EOG, które nie są członkami UE (tj. Norwegię, Islandię i Lichtenstein). Swobodny przepływ danych na terytorium Unii Europejskiej jest koniecznym wymogiem uczestnictwa w strukturach unijnych, zapisanym w przepisach dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz. Urz. L 281 z 1995 r.).

W konsekwencji przyjętego (w Polsce) rozwiązania przekazywanie danych osobowych do państw Europejskiego Obszaru Gospodarczego podlega ogólnym zasadom przetwarzania danych osobowych wynikających z przepisów polskiej ustawy o ochronie danych, z wyłączeniem przepisów rozdziału 7 ustawy regulujących kwestie przekazywania danych do państwa trzeciego (tj. do państw nie zapewniających odpowiedniego stopnia ochrony danych osobowych). Administrator danych, tak samo jak administrator danych przetwarzający dane na terytorium Polski, powinien spełnić odpowiednie obowiązki określone przepisami ustawy.

Reasumując, wystarczającym jest, aby podmiot mający siedzibę w Polsce, który przeprowadza rekrutację pracowników on-line na obszarze państw EOG spełnił wymogi wynikające z polskiej ustawy o ochronie danych osobowych.