Jako firma występuję w umowie powierzenia jako podmiot przetwarzający. Mam pracowników, którzy swoją pracę będą wykonywać na terenie Ukrainy i tam będą mieć dostęp do powierzonych danych. Umowa zakłada zakaz przekazywania (transferowania) danych do państw

ODPOWIEDŹ

W pierwszej kolejności należy wskazać, że co do zasady transfer danych poza EOG oznacza , że przetwarzaniem danych będzie każda operacja, w wyniku której dane osobowe zostają fizycznie przekazane do państwa trzeciego, tj. przekraczają jego granice. W opisanym przypadku dane osobowe nie będą przekazywane innemu niezależnemu podmiotowi (tj. innemu administratorowi danych czy podmiotowi przetwarzającemu) ale będą one przetwarzane przez pracowników procesora przebywających na stałe na terytorium Ukrainy czyli poza EOG. Przekazanie tych danych pracownikom będzie zatem mieściło się w ramach "przekazania danych poza granice EOG" a zatem będziemy mieć do czynienia z przetwarzaniem danych poza EOG.

Paweł Fajgielski w swoim komentarzu do art. 44 wskazuje, iż „W piśmiennictwie przedmiotu wskazuje się, że należy przyjąć szerokie rozumienie pojęcia przekazywania danych osobowych do państwa trzeciego, które obejmować powinno wszelkie działania nakierowane na fizyczne przekazanie danych osobowych do państwa trzeciego („przeniesienie” danych przez granice państw, wysłanie, transmisja danych itp.) bez względu na postać danych i sposób takiego przekazania (np. za pośrednictwem sieci telekomunikacyjnych, przekazanie na nośniku danych, przekazanie dokumentu papierowego)” (P. Fajgielski, w: Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Lex/el. 2022, art. 44, teza 4).

Jeśli administrator danych wykluczył w umowie powierzenia możliwość transferu danych poza EOG to pracownicy procesora nie mogą legalnie przetwarzać danych osobowych na terenie Ukrainy. W takim wypadku niezbędna będzie zmiana umowy powierzenia np. poprzez jej aneksowanie.