Czy w przypadku korzystania z Modułu 4, konieczne jest przestrzeganie postanowień Sekcji III SCC?

ODPOWIEDŹ

Sekcja III SCC zawiera szczególny wyjątek, w którym moduł 4 jest wykorzystywany przez podmiot przetwarzający działający w EOG, który dokonuje zwrotu danych do administratora działającego poza EOG, tj. danych które otrzymał od tego administratora. W tym przypadku dane osobowe, były pierwotnie przetwarzane poza EOG, a więc podlegały  już prawu państwa trzeciego. Nie ma zatem potrzeby, aby strony przeprowadzały "ocenę skutków przeniesienia" (klauzula 14) lub wypełniały obowiązki dotyczące dostępu organów publicznych do danych (klauzula 15).

Przykład:
firma marokańska korzysta z usług w chmurze oferowanych przez firmę luksemburską, w celu przechowywania danych zawierających bazę swoich klientów. SCC (Moduł 4) może być wykorzystany w celu przekazywania danych z Luksemburga (przez podmiot przekazujący dane) z powrotem do Maroka. Ponieważ podmiot przekazujący dane odsyła jedynie dane, które wcześniej otrzymał z Maroka, nie musi stosować się do postanowień Sekcji III.

A contrario, wyjątek ten nie ma zastosowania (a więc strony muszą przestrzegać postanowień Sekcji III), jeżeli dane, które przetwarza podmiot przetwarzający (podmiot przekazujący dane), a następnie przekazuje poza EOG administratorowi (podmiotowi odbierającemu dane), obejmują dane osobowe pochodzące z Europy.

Przykład:
chilijska firma zleca hiszpańskiemu podmiotowi przetwarzającemu, przeprowadzenie badań rynkowych i opracowanie materiałów marketingowych, z wykorzystaniem danych klientów otrzymanych od firmy chilijskiej - oraz danych klientów, które firma hiszpańska zgromadziła w Hiszpanii. Moduł 4 SCC może zostać wykorzystany przez hiszpański podmiot przetwarzający, w celu przekazania do Chile zagregowanych danych, dotyczących tych dwóch zestawów danych. Ponieważ podmiot przekazujący dane przekazuje do podmiotu odbierającego, również dane zebrane w Europie (a nie tylko dane otrzymane z Chile), zobowiązany jest spełnić wymogi sekcji III. Dotyczy to całego zbioru danych przekazywanych do Chile (tj. zarówno danych otrzymanych z Chile, jak i danych zgromadzonych w Hiszpanii).