Kalkulator TIA
Transfer Impact Assessment

Transfer Impact Assessment (TIA), czyli ocena wpływu transferu danych na prawa i wolności osób fizycznych, to proces, który organizacje muszą przeprowadzić, aby ocenić ryzyko związane z przekazywaniem danych osobowych do krajów trzecich, tj. poza Europejski Obszar Gospodarczy (EOG) na podstawie standardowych klauzul umownych (SKU, ang. SCC) i innych środków zabezpieczających na gruncie art. 46 RODO. Wymóg ten wynika z orzeczenia Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w sprawie Schrems II.

Ocenę transferu danych (Transfer Impact Assessment, TIA) należy przeprowadzić przed planowanym transferem danych osobowych do państwa trzeciego, tj. poza Europejski Obszar Gospodarczy (EOG), gdy transfer ten opiera się na standardowych klauzulach umownych.

Zalecane jest także przeprowadzenie TIA w następujących przypadkach:

Przy zmianie przepisów w państwa trzeciego: W takim przypadku należy ocenić, czy te zmiany mają wpływ na poziom ochrony danych osobowych. Przy zmianie kontekstu transferu danych: W przypadku, gdy kontekst transferu danych się zmienia, np. jeśli zmianie ulega rodzaj danych, transferowany, lub zmienia się sposób ich przetwarzania, powinieneś przeprowadzić nową TIA.

Zalecane są także cykliczne sprawdzanie TIA. Celem tego działania jest weryfikacja czy organizacja jest w stanie zapewnić bezpieczeństwo przekazywanych danych i że transfer jest zgodny z wymogami RODO.

TIA należy przeprowadzić w sposób usystematyzowany i szczegółowy, biorąc pod uwagę konkretne okoliczności transferu danych, w tym charakter, zakres, kontekst i cele przetwarzania.

Podstawowe kroki, które należy rozważyć przy przeprowadzaniu TIA obejmują:

• Kontekst transferu: Pierwszym krokiem jest dokładne opisanie planowanego transferu. Powinno to obejmować informacje o rodzajach danych, które mają być przekazywane, celu transferu, stronach biorących udział w transferze, a także o tym, jak dane będą przetwarzane i chronione zarówno podczas transferu, jak i po przekazaniu ich do państwa trzeciego.
• Ocena prawa i praktyki ochrony danych w państwie trzecim: Należy ocenić lokalne przepisy o ochronie danych w państwie trzecim, włącznie z prawem do prywatności, prawami osób, których dane dotyczą, oraz praktyką lokalnych organów nadzorczych (jeśli istnieją). Ocena niniejsza powinna uwzględniać również to, czy w państwie trzecim istnieją skuteczne środki prawne, które osoby, których dane dotyczą, mogą zastosować w razie naruszenia ich praw.
• Ocena ryzyka transferu: Należy przeprowadzić analizę ryzyka, oceniając potencjalny wpływ planowanego transferu na prawa i wolności osób, których dane dotyczą. Ocena powinna uwzględniać zarówno prawdopodobieństwo, jak i potencjalną szkodliwość naruszenia.
• Podjęcie decyzji: Na podstawie powyższych ocen, należy podjąć decyzję, czy przeprowadzić transfer danych. Jeśli transfer może być przeprowadzony bez narażania na nieproporcjonalne ryzyko praw i wolności osób, których dane dotyczą, możliwe jest przejście do następnego kroku. W przeciwnym razie, należy rozważyć zmianę planu transferu lub zastosowanie dodatkowych technicznych i organizacyjnych środków zabezpieczających.
• Dokumentowanie TIA: Wszystkie informacje i decyzje związane z TIA powinny być odpowiednio udokumentowane. Dokumentacja TIA może okazać się potrzebna w przypadku kontroli przez organ nadzorczy, jako dowód spełnienia wymogów RODO.
• Monitorowanie i aktualizacja TIA: TIA powinna być monitorowana i aktualizowana cyklicznie, zwłaszcza gdy nastąpią jakiekolwiek zmiany w kontekście transferu danych lub prawie państwa trzeciego.

W ramach TIA organizacja musi ocenić różne aspekty transferu danych, w tym:

• Jakie dane osobowe są przekazywane? Jak są wrażliwe? Ile z nich jest dostępnych publicznie?
• Skąd pochodzą te dane osobowe?
• Jakie środki techniczne są używane do ochrony tych danych? Na przykład, jeżeli używane są klucze szyfrowania zarządzane przez klienta, możliwość dostępu do danych przez władze państwa trzeciego jest ograniczona.
• Jakie przepisy obowiązują w państwie trzecim w tym obszarze? Jak są one stosowane w praktyce? Jak prawdopodobne jest ich zastosowanie w odniesieniu do konkretnego transferu danych osobowych?

TIA musi uwzględniać zarówno prawo jak i praktykę ochrony danych w państwie trzecim, a także istnienie niezależnego organu nadzorczego oraz jakiekolwiek zobowiązania międzynarodowe podjęte przez kraj trzeci. TIA powinna być monitorowana i aktualizowana na bieżąco w świetle ewentualnych zmian w prawie państwa trzeciego.

W ten sposób TIA umożliwia organizacjom bardziej kompleksową i elastyczną ocenę ryzyka, zamiast skupiać się wyłącznie na prawach obowiązujących w państwie trzecim. Obejmuje to również ocenę potencjalnego wpływu transferu danych na prawa i wolności osób, których dane dotyczą.

Nieprzeprowadzenie wymaganej oceny wpływu transferu danych (TIA) może prowadzić do różnych konsekwencji, które mogą mieć poważny wpływ na działalność organizacji. Oto niektóre z nich:

• Naruszenia ochrony danych: Jeśli dane osobowe są przesyłane do państwa trzeciego bez odpowiedniej TIA, może to prowadzić do naruszeń ochrony danych, które mogą skutkować karami finansowymi oraz innymi konsekwencjami.
• Kary finansowe: RODO przewiduje znaczne kary finansowe za naruszenia, w tym niewłaściwe przeprowadzenie TIA. Kary mogą wynosić do 20 mln euro lub 4% globalnego obrotu rocznego organizacji, w zależności od tego, która kwota jest wyższa.
• Strata reputacji: Organizacje, które nie przestrzegają przepisów RODO, mogą doświadczyć poważnej szkody dla swojej reputacji, co może wpływać na utratę zaufania klientów i partnerów biznesowych.
• Zawieszenie transferu danych: Organ nadzorczy może nakazać zawieszenie transferu danych do kraju trzeciego, jeśli stwierdzi, że nie została przeprowadzona odpowiednia TIA. Taki nakaz może działalność organizacji, zwłaszcza jeśli transfer danych jest kluczowy dla jej operacji.

W przypadku transferów opartych na decyzji wykonawczej z 10 lipca 2023 r. wydanej na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stwierdzającą odpowiedni stopień ochrony danych osobowych zapewniony w ramach ochrony danych UE–USA, jeżeli dane są przekazywane podmiotom certyfikowanym w ramach programu DPF, wykonanie TIA nie będzie konieczne.

Jeżeli jednak DPF nie ma zastosowania, to zgodnie z orzeczeniem TSUE w sprawie Schrems II, organizacje mają obowiązek przeprowadzenia oceny wpływu na transfer danych (Transfer Impact Assessment, TIA), jeżeli dane są przesyłane poza Europejski Obszar Gospodarczy (EOG) na podstawie tzw. standardowych klauzul umownych (SCC).

Nie ma ustalonego standardu, jak często powinno się przeprowadzać TIA. Decyzja o częstotliwości przeprowadzania oceny wpływu na transfer danych (Transfer Impact Assessment, TIA) powinna być podyktowana kilkoma czynnikami, w tym:

• Zmiennością prawa i praktyki w kraju, do którego dane są transferowane.
• Zmianami w charakterze i zakresie przesyłanych danych.
• Zmianami w zastosowanych środkach ochrony danych.
• Częstością i skalą transferów danych, które przeprowadza organizacja.

W praktyce oznacza to, że TIA powinna być przeprowadzana przy każdej znaczącej zmianie w jednym z powyższych czynników. Ponadto, TIA powinna być przeprowadzana cyklicznie, nawet jeśli nie wystąpiły żadne znaczące zmiany, aby upewnić się, że dokonana ocena jest nadal aktualna. Celem tego działania jest weryfikacja, czy organizacja jest w stanie zapewnić bezpieczeństwo przekazywanych danych i że transfer jest zgodny z wymogami RODO.

Ocena wpływu na transfer danych (Transfer Impact Assessment, TIA) oraz ocena skutków dla ochrony danych (Data Protection Impact Assessment, DPIA) to dwa odrębne procesy wymagane przez RODO, które służą różnym celom, mają inny zakres i inne kryteria.

• Cel: DPIA ma na celu identyfikację i zminimalizowanie ryzyka związanego z przetwarzaniem danych osobowych, szczególnie w przypadku nowych projektów lub technologii, które mogą mieć duży wpływ na prawa osób, których dane dotyczą. Z kolei TIA służy do oceny ryzyka związanego z transferem danych osobowych do państwa trzeciego, szczególnie w kontekście ochrony tych danych przed dostępem przez władze tego państwa.
• Zakres: DPIA obejmuje całość przetwarzania danych osobowych w ramach danej operacji lub systemu, natomiast TIA koncentruje na aspekcie transferu danych poza EOG.
• Kryteria: DPIA bada różne aspekty przetwarzania danych, w tym cel przetwarzania, kategorie danych, które są przetwarzane, zasady bezpieczeństwa danych, itp. TIA koncentruje się natomiast na ocenie prawa i praktyki w państwie trzecim, technicznych i organizacyjnych środkach zabezpieczeniach podczas transferu, a także na rodzaju i wrażliwości danych, które są przesyłane.
• Z czego wynika konieczność przeprowadzania: DPIA jest wymagane przez art. 35 RODO w przypadkach, gdy przetwarzanie danych jest prawdopodobnie niesie ze sobą wysokie ryzyko dla praw i wolności osób fizycznych. Z kolei wymóg przeprowadzenia TIA wynika m.in. z art. 46 ust. 1 RODO i orzeczenia ws. Schrems II.
Niezależnie od powyższego, nic nie stoi na przeszkodzie, aby TIA lub wnioski z TIA stanowiły część DPIA.

Nie ma ustalonych standardów dotyczących dokumentowania TIA. Dokumentacja TIA powinna być przechowywana w sposób bezpieczny, a także być dostępna na żądanie organu nadzorczego. W zależności od rozmiaru i złożoności organizacji oraz charakteru danych, dokumentacja może przybrać formę formalnego raportu lub być częścią szerszego dokumentu dotyczącego zarządzania danymi i ryzykiem.

Przykładowym narzędziem, które może pomóc w przeprowadzeniu oceny wpływu transferu (TIA) jest Kalkulator TIA przygotowany przez ODO 24.

Ważne jest, aby pamiętać, że choć narzędzia i szablony mogą ułatwić proces przeprowadzania TIA, nie zastąpią one kompleksowej oceny prawniczej i technicznej, która jest wymagana dla prawidłowego przeprowadzenia TIA. Przeprowadzenie TIA to złożony proces, który zależy od konkretnego kontekstu organizacji i danych, które są transferowane. Dlatego organizacje powinny skonsultować się z ekspertami w dziedzinie ochrony danych, aby upewnić się, że przeprowadzają TIA w sposób zgodny z wymogami prawa.