W jakim zakresie podmiot odbierający dane ma obowiązek informować podmiot przekazujący dane, o żądaniach ujawnienia danych, które otrzymuje od organów publicznych (np. organów ścigania lub organów bezpieczeństwa narodowego)?

ODPOWIEDŹ

Po pierwsze, SCC zawierają wymóg, aby podmiot odbierający dane, informował o dostępie organów publicznych do danych, które zostały przekazane.

Zgodnie z klauzulą 15.1, odbierający dane powinien niezwłocznie powiadomić przekazującego dane, jeśli otrzyma od organu publicznego lub sądu w państwie trzecim, żądanie ujawnienia przekazanych danych osobowych. Podmiot odbierający dane powinien także poinformować podmiot przekazujący dane, jeśli dowie się o jakimkolwiek faktycznym dostępie organów publicznych do takich danych (np. przechwycenie). Treść SCC uwzględnia, iż prawo krajowe może zakazywać podmiotowi odbierającemu dane ujawnienia informacji podmiotowi przekazującemu dane, na temat działań organów publicznych. W takim przypadku podmiot odbierający dane powinien dołożyć wszelkich starań, aby uzyskać zwolnienie z niniejszego zakazu, w celu jak najszybszego poinformowania podmiotu przekazującego dane. Jeśli podmiot przekazujący dane sam jest podmiotem przetwarzającym, musi przekazać dalej informację do administratora.

Ponadto podmiot odbierający dane powinien w regularnych odstępach czasu udostępniać podmiotowi przekazującemu dane, zbiorcze informacje o otrzymanych żądaniach dostępu (klauzula 15.1(c)). Obowiązek ma zastosowanie tylko wtedy, gdy podmiot odbierający dane na mocy prawa krajowego jest upoważniony do przekazywania takich informacji. Jeżeli podmiot przekazujący dane jest jednocześnie podmiotem przetwarzającym, powinien przekazywać te informacje administratorowi.

Po drugie, SCC zawierają dodatkowe wymogi dotyczące obowiązku powiadamiania w przypadku, gdy podmiot odbierający dane podlega przepisom i/lub praktykom uniemożliwiającym mu przestrzeganie klauzul.

Zgodnie z klauzulą 14(e) podmiot odbierający dane zobowiązuje się do niezwłocznego powiadomienia podmiotu przekazującego dane, jeżeli po zawarciu klauzul, w okresie obowiązywania umowy, będzie miał powody przypuszczać, że podlega lub zaczął podlegać przepisom lub praktykom niezgodnym z wymaganiami klauzuli 14(a). Dotyczy to również sytuacji, gdy przepisy prawa państwa trzeciego ulegną zmianie już po dokonaniu wstępnej oceny lub gdy podmiot odbierający dane będzie podlegał środkom prawnym (np. żądaniu ujawnienia danych) w państwie trzecim, które wskazują na stosowanie w praktyce przepisów w sposób, który nie jest zgodny ze wstępną oceną. Jeśli podmiotem przekazującym dane jest podmiot przetwarzający działający w imieniu administratora, podmiot ten będzie zobowiązany przekazać stosowną informację administratorowi.

Treść SCC uwzględnia fakt, że podmiot odbierający dane może nie być upoważniony (na mocy prawa krajowego), do informowania o konkretnych żądaniach dostępu do danych, bądź faktycznego dostępu do danych przez organy publiczne. W szczególności klauzula 16 lit. a) zawiera ogólny wymóg powiadamiania, zgodnie z którym podmiot odbierający dane musi niezwłocznie poinformować podmiot przekazujący dane, jeżeli z jakiegokolwiek powodu nie jest w stanie spełnić wymogów klauzul. Opierając się na tej klauzuli, podmiot odbierający dane musi poinformować podmiot przekazujący dane, że nie jest w stanie dłużej przestrzegać postanowień SCC, bez konieczności wskazywania konkretnych informacji na temat dostępu organów rządowych do danych. Przekazujący dane będzie mógł wówczas podjąć niezbędne środki, w tym ewentualnie zawiesić przekazywanie danych lub wypowiedzieć SCC.