Standardowe klauzule umowne (SCC)
Ostatnia aktualizacja:
Standardowe klauzule umowne to zatwierdzone przez Komisję Europejską postanowienia umowne, które umożliwiają bezpieczne pod względem prawnym przekazywanie danych osobowych do państw trzecich niezapewniających odpowiedniego stopnia ochrony danych. Zobowiązują eksporterów i importerów danych do stosowania konkretnych środków ochrony i tworzą w ten sposób umowną podstawę dla transatlantyckich przepływów danych. W różnych wersjach istnieją już od dawna, na długo przed wyrokiem Schrems II. Wyrok nie sprawił dopiero, że stały się potrzebne, lecz uzupełnił je o obowiązek indywidualnej oceny każdego przypadku i w razie potrzeby zastosowania dodatkowych środków ochrony.
SCC zasadniczo różnią się od innych mechanizmów zapewniania zgodności, takich jak ramy ochrony prywatności danych UE-USA czy wiążące reguły korporacyjne (BCR). Ramy ochrony prywatności opierają się na uznaniu na poziomie państwowym, a BCR to zbiory zasad obowiązujące w całej grupie kapitałowej, natomiast SCC są dwustronnymi umowami między dwiema konkretnymi stronami. Nie możesz ich po prostu podpisać i odhaczyć. Każdy transfer oparty na SCC wymaga indywidualnej oceny skutków transferu (TIA), która sprawdza, czy przepisy państwa docelowego w praktyce nie pozbawiają gwarancji umownych ich znaczenia. To sprawia, że SCC są najbardziej pracochłonnym, ale też najbardziej elastycznym instrumentem w arsenale narzędzi do transferu danych.
W codziennym marketingu B2B SCC dotyczą praktycznie każdej usługi chmurowej spoza UE. Twój CRM w USA, Twoja automatyzacja marketingu z serwerami w Singapurze, Twój dostawca chatbota z dalszymi podmiotami przetwarzającymi na całym świecie: wszystkie potrzebują podstawy prawnej transferu. W przypadku dostawców z USA z ważną certyfikacją DPF wystarcza decyzja stwierdzająca odpowiedni stopień ochrony, dla wszystkich pozostałych standardem są SCC. Większość dostawców SaaS udostępnia Ci wstępnie wypełnione SCC w umowie powierzenia przetwarzania danych (DPA). Problem polega na tym, że jako eksporter danych nadal odpowiadasz za sprawdzenie, czy klauzule wystarczają w konkretnym przypadku. Jeśli Twój amerykański dostawca podlega ustawie CLOUD Act, a Ty przekazujesz wrażliwe dane o zdrowiu, standardowe SCC nie wystarczą. Potrzebujesz dodatkowych środków technicznych, takich jak szyfrowanie z zarządzaniem kluczami po stronie UE.
Największą pułapką jest iluzja pewności prawnej. SCC nie są czekiem in blanco, lecz minimalnym wymogiem. Organy ochrony danych już kilkakrotnie jasno stwierdziły, że same SCC nie wystarczą, jeśli państwo docelowe prowadzi masową inwigilację. Musisz udokumentować, dlaczego uważasz, że Twoje dane pozostają chronione mimo FISA 702 lub porównywalnych przepisów. Taka dokumentacja wymaga czasu i wiedzy prawniczej. Wiele firm nie docenia nakładu pracy i budzi się dopiero przy pierwszym zapytaniu od organu. Dostosowanie się do przepisów po fakcie i pod presją czasu kosztuje znacznie więcej niż kontrola prewencyjna.
Wybierając narzędzia marketingowe, traktuj SCC jako kryterium wykluczające, a nie miły dodatek. Sprawdź, czy dostawca stosuje aktualne SCC z 2021 roku, bo starsze wersje są nieważne. Zapytaj o listę dalszych podmiotów przetwarzających i ich lokalizacje. Wymagaj przejrzystości w zakresie logów dostępu i standardów szyfrowania. Jeśli narzędzie wysyła dane do USA bez wiarygodnych technicznych środków ochrony, ryzyko jest realne. RODO przewiduje kary do 20 milionów euro lub do czterech procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. SCC chronią Cię tylko wtedy, gdy traktujesz je poważnie i odrabiasz lekcje.
Otwiera czat z przygotowanym promptem.
Tak ta technologia działa w praktyce.
Zobacz, jak wykorzystujemy takie technologie w firmach, albo porozmawiaj z nami bezpośrednio.