Standardowe klauzule umowne stanowią jeden z instrumentów legalizujących przekazywanie danych osobowych poza Europejski Obszar Gospodarczy w sytuacji, kiedy w odniesieniu do danego państwa trzeciego nie została wydana decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony. Klauzule umowne wprowadzone w/w decyzją mają zastosowanie do przekazywania danych:
- pomiędzy administratorami danych (controller to controller),
- przez administratorów danych podmiotom przetwarzającym dane na zlecenie (controller to procesor),
- pomiędzy podmiotami przetwarzającymi (processor to processor) oraz
- przez podmioty przetwarzające administratorom w państwie trzecim (procesor to controller).
Administratorzy i podmioty przetwarzające dane na zlecenie powinni wybrać odpowiedni moduł mający zastosowanie do ich sytuacji.
Co do zasady, umowy zawarte w oparciu o poprzednie standardowe klauzule umowne (wprowadzone decyzjami Komisji Europejskiej nr 2001/497/WE, 2004/915/WE oraz 2010/87/UE) uznawane są za zapewniające odpowiednie zabezpieczenie w rozumieniu art. 46 ust. 1 RODO przez okres 18 miesięcy od dnia wejścia w życie nowych klauzul. Termin ten mija 27 grudnia 2022 r.
Podmioty – zarówno administratorzy danych, jak i jednostki przetwarzające dane osobowe na zlecenie – które nadal przekazują dane poza EOG w oparciu o standardowe klauzule umowne obowiązujące przed 27 czerwca 2021 r., zobowiązane są więc do aktualizacji zawartych umów i uwzględnienia w nich nowych klauzul. Jak wynika z wyjaśnień Komisji Europejskiej, wprowadzony decyzją tekst klauzul nie może być zmieniany, z wyjątkiem wyboru modułów lub opcji oferowanych w tekście, uzupełnienia danych i wypełnienia załączników oraz dodania informacji o dodatkowych zabezpieczeniach. Możliwe jest także włączenie klauzul do szerszej umowy handlowej, o ile postanowienia umowne nie pozostają w sprzeczności z klauzulami i nie naruszają praw osób, których dane dotyczą.
Przypominamy również, że implementacja nowych standardowych klauzul umownych nie wyłącza obowiązku oceny planowanego transferu z punktu widzenia zgodności z wyrokiem TSUE w sprawie Schrems II (C-311/18) oraz ewentualnego wdrożenia środków uzupełniających.
