RODOaktualności #47 - Nagana za RODO-braki | Data Act | Transfer danych do USA | Dior vs. Chiny

Cześć! Dlaczego u RODO upomniał przedsiębiorcę, który pozycjonował strony internetowe i przetwarzał powierzone dane osobowe? Czyli o jakich RODO-obowiązkach lepiej nie zapominać? Czy akt w sprawie danych zastąpi RODO, czy raczej stanie się jego uzupełnieniem? Czyli najnowsze prawo regulujące przetwarzanie danych osobowych właśnie zaczęło obowiązywać? 3. Czy transfery danych osobowych z Unii Europejskiej do USA są zagrożone? Czyli mamy ważną decyzję Trybunału Sprawiedliwości Unii Europejskiej . No i 4. Francuski Dior vs. Chińskie RODO. Czyli czy to możliwe, żeby europejskie korporacje zostały ukarane poza Unią Europejską za brak stosowania odpowiednich standardów ochrony danych osobowych w tym kraju poza Unią Europejską?

Dzięki niej w prosty sposób ogarniesz RODO w swojej firmie bez chaosu i nerwów. Przechodzimy do newsa numer 2. Od 12 września 2025 roku obowiązuje we wszystkich krajach Unii Europejskiej akt w sprawie danych, czyli nowe rozporządzenie, które ma wprowadzić sprawiedliwy dostęp do danych nie tylko osobowych i ułatwić ich wykorzystywanie. To kolejny krok w realizacji europejskiej strategii danych po tzw. akcie w sprawie zarządzania danymi. Nowe przepisy regulują m.in. zasady dzielenia się danymi między firmami, administracją publiczną i konsumentami. Prawo ułatwia też zmianę dostawców usług chmurowych i określa standardy interoperacyjności.

Warto śledzić proces legislacyjny w Polsce. Rząd przygotowuje ustawę wdrażającą Data Act krajowo w Polsce, więc możliwe, że pojawią się nowe krajowe przepisy i obowiązki dla przedsiębiorców. Przechodzimy do newsa numer 3. Trybunał Sprawiedliwości Unii Europejskiej, TSUE, właśnie oddalił skargę francuskiego posła Philippa Latomba, który domagał się unieważnienia decyzji Komisji Europejskiej w sprawie tzw. DPF. Co to jest DPF? Pełna nazwa to EU-US Data Privacy Framework, czyli aktualnie funkcjonujący mechanizm ułatwiający przekazywanie danych osobowych do Stanów Zjednoczonych.

Pan Latomb twierdził, że Amerykański Sąd do Spraw Ochrony Danych , Nie jest niezależny i że amerykańskie służby specjalne nadal inwigilują Europejczyków i gromadzą masowo ich dane bez jakiejkolwiek kontroli. Unijny Trybunał uznał jednak, że USA na dzień przyjęcia decyzji zapewniają odpowiedni poziom ochrony danych, a nowe przepisy, w tym rozporządzenie prokuratora generalnego i rozkaz wykonawczy prezydenta Dają wystarczające gwarancje niezależności sądu i kontroli nad służbami. Sąd podkreślił też, że Komisja Europejska musi na bieżąco monitorować sytuację i może w każdej chwili zawiesić lub cofnąć decyzję,

Jeśli Amerykanie przestaną spełniać wymagania. Innymi słowy, tym razem most ułatwiający transfer danych między Unią a Stanami Zjednoczonymi został obroniony, ale trzymamy rękę na pulsie i monitorujemy aktywność pana Maxa Shremsa. Jeśli cokolwiek się zmieni w tym obszarze i program DPF zostanie zawieszony od razu poinformujemy Cię o tym w RODOaktualnościach. Będzie to skutkowało koniecznością podjęcia dodatkowych działań zabezpieczających transfer danych do Stanów Zjednoczonych. A jakie wnioski płyną z tego RODO Newsa dla Ciebie i Twojej organizacji? Po pierwsze, jeśli Twoja firma korzysta z amerykańskich dostawców usług takich jak Microsoft, Google, Amazon, Salesforce itd.

Możesz odetchnąć z ulgą. Dzięki Data Privacy Framework nadal przekazywanie danych do USA Ma solidne podstawy prawne. Można to robić w nieco uproszczony sposób. Po drugie, pamiętaj, że to nie jest immunitet dany na zawsze. Komisja Europejska ma obowiązek regularnie weryfikować, czy Stany Zjednoczone nadal spełniają standardy ochrony danych. Warto więc monitorować aktualne decyzje i rekomendacje EROD, żeby nie obudzić się znowu w świecie po SHEREMS 3. No i zdecydowanie warto mieć plan B. Po trzecie, jeśli korzystasz z usług firm amerykańskich, Twoim obowiązkiem jest sprawdzenie, czy konkretna organizacja faktycznie jest certyfikowana w ramach Data Privacy Framework.

Jeśli Twoja organizacja działa globalnie, również poza Unią Europejską, musisz pamiętać, żeby być zgodnym nie tylko z unijnymi przepisami o ochronie danych osobowych, czyli RODO. W swoim procesie mapowania ryzyk musisz uwzględnić też nowe potencjalne ryzyko i kolejny obszar, w którym powinieneś czy powinnaś być zgodny. Pamiętaj o tym, że na świecie jest coraz więcej państw, które wdrażają swoje GDPRy, że wymienię tylko niektóre amerykańskie Stany z Kalifornią na czele, Koreę Południową, Ukrainę, Indie, Brazylię, Japonię, Australię, Kanadę, Szwajcarię, Nową Zelandię, Rosję, Meksyk, Turcję, RPA, Argentynę czy właśnie Chiny. Dlatego jeśli transferujesz dane osobowe z tych państw do innych spółek z grupy, koniecznie przeanalizuj też lokalne prawodawstwo w obszarze ochrony danych.

Podsumowując, po pierwsze, nawet jeśli tylko przetwarzasz dane osobowe jako procesor i robisz to tak tylko przy okazji, masz obowiązek prowadzić rejestr RKCP i nadawać upoważnienia osobom, które mają dostęp do tych powierzonych danych. Brak tych działań może zostać wykryty zarówno przez UODO, jak i administratora powierzającego Ci dane. Po drugie, nowe przepisy o danych Data Act otwierają kolejny etap gospodarki opartej na informacji. Jeśli dostarczasz usługi chmurowe, produkujesz albo serwisujesz inteligentne urządzenie IoT, już teraz sprawdź jakie obowiązki i możliwości dają Ci nowe przepisy. Po trzecie, jeśli korzystasz z usług amerykańskich dostawców albo transferujesz dane osobowe do spółki matki ze Stanów Zjednoczonych, możesz jeszcze robić to bezpieczniej, czyli korzystając z nadal zatwierdzonego przez Komisję Europejską programu Data Privacy Framework.