Gyors válasz: A határokon átnyúló adatátvitel magában foglalja a személyes adatok nemzeti határokon átívelő mozgatását, és azt átfedő jogszabályok mozaikja szabályozza, beleértve az EU GDPR-jét, Dél-Korea PIPA-ját, Kína PIPL-jét és különböző ágazatspecifikus rendszereket. A szervezeteknek azonosítaniuk kell, hogy mely keretrendszerek vonatkoznak az adatfolyamaikra, majd az átvitel előtt jóváhagyott átviteli mechanizmusokat kell alkalmazniuk, például a Standard Szerződéses Klauzulákat (SCC) vagy a megfelelőségi határozatokat. A szabályok be nem tartása több tízmillió eurós bírságot, szabályozói vizsgálatokat és hírnévromlást vonhat maga után.
Főbb tudnivalók
- A GDPR korlátozza a személyes adatok EGT-ből való kivitelét, kivéve, ha megfelelőségi határozat, SCC-k vagy Kötelező Vállalati Szabályok (BCR) vannak érvényben.
- Dél-Korea PIPA-ja kifejezett hozzájárulást vagy jogalapot ír elő a határokon átnyúló átvitelekhez, és számos eljárási szempontból eltér a GDPR-tól.
- Kína PIPL-je és Kiberbiztonsági Törvénye a világ legszigorúbb adattárolási követelményeit írja elő, beleértve a kötelező biztonsági értékeléseket bizonyos kimenő átvitelek esetén.
- A 2021 júniusában frissített Standard Szerződéses Klauzulák (SCC-k) továbbra is a legszélesebb körben használt átviteli mechanizmusok az EGT-n kívülre adatot küldő szervezetek számára.
- Egy 2021-es tanulmány, amely 10 080 mobilalkalmazást elemzett, megállapította, hogy 56%-uk potenciálisan nem felelt meg a GDPR határokon átnyúló adatátviteli követelményeinek. [7]
- Az EU-USA Adatvédelmi Keretrendszer felváltotta az érvénytelenített Privacy Shield-et, de a szervezeteknek továbbra is figyelemmel kell kísérniük annak jogi státuszát.
- Az adattárolás és az adatátviteli korlátozások kapcsolódó, de eltérő fogalmak: az adattárolás azt írja elő, hol tárolják az adatokat, míg az átviteli korlátozások azt szabályozzák, mikor és hogyan mozoghatnak az adatok.
- Az alkalmazotti adatokra nem vonatkoznak kivételek a határokon átnyúló átviteli szabályok alól; gyakran külön adatátviteli megállapodásokra vagy eltérésekre van szükség.
- A megfelelőségi költségek nagyban változnak a vállalat méretétől, az adatmennyiségtől és az érintett joghatóságok számától függően.
- Az olyan hozzájárulás-kezelő platformok, mint a Biscotti CMP (www.biscotti-cmp.com) támogathatják a szervezeteket a határokon átnyúló adatfolyamokhoz kapcsolódó jogalapok és hozzájárulási nyilvántartások dokumentálásában.
Mi az a határokon átnyúló adatátvitel és miért fontos?
Határokon átnyúló adatátvitel akkor történik, amikor személyes adatok egyik országból a másikba kerülnek, legyen szó felhőtárolásról, SaaS platformokról, e-mailről vagy API integrációkról. Ez azért fontos, mert a nemzeti adatvédelmi törvények magához az adathoz kapcsolódnak, nem csupán ahhoz az országhoz, ahol a szervezet bejegyzésre került.
A globális műveleteket folytató vállalatok számára egyetlen, az Egyesült Államokban üzemeltetett HR platform, amely az EU-s irodák alkalmazotti nyilvántartásait dolgozza fel, már a GDPR hatálya alá tartozó határokon átnyúló átvitelnek minősül. Ugyanez vonatkozik a marketingügynökségekre, amelyek ügyfél e-mail listákat küldenek egy amerikai alapú automatizálási eszköznek, vagy a fejlesztőkre, akik harmadik féltől származó analitikai szolgáltatásokat használnak, amelyek az EGT-n kívüli országok szerverein keresztül futnak.
Nagy a tét. A szabályozói végrehajtás 2021 óta több joghatóságban is felerősödött, és az adatvédelmi törvények nemzetközi harmonizációjának hiánya szabályátfedéseket és egymással versengő szabványokat hoz létre, amelyek bonyolítják a határokon átnyúlóan működő szervezetek megfelelőségét. [8]
Hogyan befolyásolja a GDPR az EU-n kívülre történő adatküldést?
A GDPR tiltja a személyes adatok átvitelét az Európai Gazdasági Térségből (EGT) harmadik országokba, kivéve, ha az egyik jóváhagyott mechanizmus érvényben van. A három elsődleges mechanizmus a megfelelőségi határozatok, a Standard Szerződéses Klauzulák és a Kötelező Vállalati Szabályok. [1]
A megfelelőségi határozatokat az Európai Bizottság adja ki, amikor megállapítja, hogy egy harmadik ország lényegében az EGT-ével egyenértékű adatvédelmi szintet kínál. 2026-tól a megfelelőségi határozatok olyan joghatóságokra terjednek ki, mint az Egyesült Királyság, Japán, Dél-Korea és számos más ország. [1] Az adatok szabadon áramolhatnak ezekbe az országokba további biztosítékok nélkül.
A Standard Szerződéses Klauzulák (SCC-k) az Európai Bizottság által előzetesen jóváhagyott szerződésminták. A 2021. június 4-én közzétett modernizált SCC-k négy átviteli forgatókönyvet fednek le: adatkezelő-adatkezelő, adatkezelő-adatfeldolgozó, adatfeldolgozó-adatkezelő és adatfeldolgozó-adatfeldolgozó. [2]
A Kötelező Vállalati Szabályok (BCR-ek) a multinacionális vállalatcsoportok által elfogadott belső szabályzatok a csoporton belüli átvitelek szabályozására. A BCR-ekhez vezető felügyeleti hatóság jóváhagyása szükséges, és rendelkezéseket kell tartalmazniuk a jogalapról, az érintettek jogairól és a panaszkezelési eljárásokról. [1]
"A szervezeteknek fel kell térképezniük adatfolyamaikat, hogy azonosítsák az összes átvitelt, és megfelelő biztosítékokat kell alkalmazniuk, mielőtt bármilyen személyes adat elhagyná az EGT-t." [1]
Mi az a PIPA és mely országokra vonatkozik?
Dél-Korea Személyes Adatvédelmi Törvénye (PIPA) az ország elsődleges adatvédelmi törvénye, amely a személyes adatok gyűjtését, felhasználását és határokon átnyúló átvitelét szabályozza mind a köz-, mind a magánszektorban működő szervezetek számára. A PIPA minden olyan szervezetre vonatkozik, amely dél-koreai lakosok személyes adatait kezeli, függetlenül attól, hogy a szervezet hol található.
A PIPA előírja, hogy az érintetteket tájékoztatni kell, és általában hozzá kell járulniuk személyes adataik külföldre történő átviteléhez. A konkrét tájékoztatásoknak tartalmazniuk kell a címzett azonosítóját, az átvitel célját, az átvitt adatok elemeit, a megőrzési időszakot, valamint azt, hogy az érintettek hogyan vonhatják vissza hozzájárulásukat.
Mi a különbség a GDPR és a PIPA között az adatátvitelek tekintetében?
Mind a GDPR, mind a PIPA szabályozza a határokon átnyúló adatátviteleket, de számos eljárási és tartalmi ponton eltérnek. [6]
| Dimenzió | GDPR (EU/EGT) | PIPA (Dél-Korea) |
|---|---|---|
| Átviteli mechanizmus | Megfelelőségi határozat, SCC-k, BCR-ek, eltérések | Hozzájárulás, szerződéses szükségesség, megfelelőségi-egyenértékű megállapodások |
| Igazságügyi együttműködési átvitelek | Nemzetközi megállapodások alapján engedélyezett | Nincs kifejezetten meghatározva |
| Érintett értesítése | SCC-k és BCR-ek esetén kötelező | Gyűjtés vagy átvitel időpontjában kötelező |
| Felügyeleti hatóság | Nemzeti adatvédelmi hatóságok / EDPB | Személyes Adatvédelmi Bizottság (PIPC) |
| Bírságok | A globális éves forgalom legfeljebb 4%-a | Legfeljebb 300 millió KRW (kb. 220 000 USD) jogsértésenként |
Egy kulcsfontosságú gyakorlati különbség: a GDPR nagyobb rugalmasságot biztosít több átviteli mechanizmuson keresztül, míg a PIPA alapértelmezett követelménye nagyobb mértékben támaszkodik a kifejezett hozzájárulásra, ami különösen fontossá teszi a hozzájárulás-kezelési infrastruktúrát a Dél-Koreában működő szervezetek számára. [6]
Mik azok a Standard Szerződéses Klauzulák és szüksége van-e rájuk?
A Standard Szerződéses Klauzulák az Európai Bizottság által előzetesen jóváhagyott szerződéses rendelkezések, amelyek jogilag kötelezik az adatexportőrt és az adatimportőrt a személyes adatok védelmére a határokon átnyúló átvitelek során. Bármely szervezet, amely személyes adatokat küld az EGT-ből egy olyan országba, amelyre nincs megfelelőségi határozat, szinte biztosan szüksége van SCC-kre. [2]
A 2021-es SCC-k felváltották a régebbi 2001-es és 2010-es verziókat, és moduláris struktúrát vezettek be, amely minden adatátviteli kapcsolatot lefed. Azoknak a szervezeteknek, amelyek korábbi SCC-ket használtak, 2022. december 27-ig volt átmeneti határidejük az új verziókra való áttérésre.
Mikor van szüksége SCC-kre:
- Ügyféladatok küldése egy amerikai alapú CRM vagy marketing platformra
- Felhőszolgáltató használata EGT-n kívüli szerverekkel
- Alkalmazotti adatok megosztása egy EGT-n kívüli anyavállalattal
- EGT-n kívüli adatfeldolgozó bevonása analitikához, támogatáshoz vagy fejlesztéshez
Mikor lehet, hogy nincs szüksége SCC-kre:
- Adatok átvitele egy megfelelőségi határozattal rendelkező országba
- BCR-ekre támaszkodás a csoporton belüli átvitelekhez
- Egyedi eltérés alkalmazása (pl. kifejezett hozzájárulás alkalmi átvitelekhez)
Mely országokban vannak a legszigorúbb adatátviteli korlátozások?
Kína és Oroszország vezeti a legszigorúbb határokon átnyúló adatátviteli rendszereket globálisan. Kína PIPL-je (2021. november 1-től hatályos) kifejezett hozzájárulást, a Kínai Kiberbiztonsági Hivatal (CAC) által végzett biztonsági értékeléseket ír elő bizonyos átvitelek esetén, és standard szerződéseket mások számára. [3] Kína Kiberbiztonsági Törvénye tovább korlátozza a Kínán belüli műveletek során gyűjtött személyes adatok és "fontos adatok" határokon átnyúló átvitelét. [5]
Oroszország előírja, hogy az orosz állampolgárok személyes adatait Oroszországon belüli szervereken kell tárolni, mielőtt bármilyen határokon átnyúló átvitelre sor kerülne.
Más joghatóságok figyelemre méltó korlátozásai közé tartozik:
- India: A Digitális Személyes Adatvédelmi Törvény (DPDPA) korlátozza az átviteleket bizonyos "feketelistára" került országokba.
- Indonézia: A 71. számú kormányrendelet adattárolást ír elő bizonyos elektronikus rendszerüzemeltetők számára.
- Vietnam: A Kiberbiztonsági Törvény helyi tárolást ír elő bizonyos adatkategóriákra.
Átvihetek személyes adatokat az Egyesült Államokba a GDPR alapján?
Igen, de csak jóváhagyott mechanizmuson keresztül. Az EU-USA Adatvédelmi Keretrendszer (DPF), amelyet 2023 júliusában fogadtak el, lehetővé teszi az átviteleket tanúsított amerikai szervezetekhez SCC-k nélkül. [9] Azonban a DPF jogi kihívásokkal nézett szembe, és a szervezeteknek továbbra is fenn kell tartaniuk az SCC-ket tartalék biztosítékként, tekintettel a Privacy Shield 2020-as érvénytelenítésének történetére.
Azoknak az amerikai szervezeteknek, amelyek nem rendelkeznek DPF tanúsítvánnyal, az SCC-k maradnak az elsődleges mechanizmus. Az olyan ágazatspecifikus amerikai törvények, mint a HIPAA, szintén kötelezettségeket írnak elő a védett egészségügyi információkat amerikai fedezett entitások nevében feldolgozó külföldi entitások számára. [4]
Mi a különbség az adattárolás és az adatátviteli korlátozások között?
Az adattárolási törvények előírják, hogy bizonyos adatokat fizikailag egy ország határain belül található szervereken kell tárolni. Az adatátviteli korlátozások azokat a feltételeket szabályozzák, amelyek mellett az adatok külföldre küldhetők, függetlenül attól, hogy hol tárolják őket.
Egy vállalat betarthatja az adatátviteli korlátozásokat, miközben továbbra is tárolhat adatokat egy ország határain kívül (ha az átviteli mechanizmus érvényes). Ezzel szemben egy adattárolási követelményekkel rendelkező ország továbbra is engedélyezheti a határokon átnyúló átviteleket, feltéve, hogy helyi másolatot őriznek meg. Kína rendszere mindkettőt ötvözi: helyi tárolást ír elő bizonyos adatkategóriákra, és külön korlátozza a kimenő átviteleket. [5]
Mennyibe kerül a megfelelő határokon átnyúló adatátvitel beállítása?
A megfelelőségi költségek a szervezet méretétől, az adatok komplexitásától és az érintett joghatóságok számától függenek. Nincs egységes referenciaérték, de a következő költségkategóriák a legtöbb szervezetre vonatkoznak:
- Jogi felülvizsgálat és SCC végrehajtás: Néhány ezer dollártól a kis szervezetek számára, hat számjegyű összegekig a több száz beszállítói kapcsolattal rendelkező vállalatok számára.
- Adatfeltérképezés és adatfolyam-auditok: Belső személyzet ideje vagy külső tanácsadói díjak; a közepes méretű vállalatok jellemzően 20 000-100 000 USD-t költenek egy átfogó auditra.
- BCR jóváhagyás: Többéves folyamat, amely szabályozói bevonást igényel; jellemzően nagy multinacionális vállalatok számára fenntartott, tekintettel az erőforrás-befektetésre.
- Folyamatos megfelelőségi monitoring: A megfelelőségi határozatok, az SCC frissítések és az új joghatósági követelmények éves felülvizsgálata.
Az olyan hozzájárulás-kezelő platformokba való befektetés, mint a Biscotti CMP (www.biscotti-cmp.com), csökkentheti a folyamatos megfelelőségi költségeket a hozzájárulási nyilvántartások központosításával és a jogszerű átviteli alapok dokumentálásának támogatásával.
Mi történik, ha egy vállalat megsérti a határokon átnyúló adatátviteli szabályokat?
A határokon átnyúló átvitelekkel kapcsolatos GDPR-sértések a magasabb bírságkategóriába tartoznak: legfeljebb 20 millió euró vagy a globális éves forgalom 4%-a, attól függően, hogy melyik a magasabb. A felügyeleti hatóságok jelentős bírságokat szabtak ki kifejezetten jogellenes átvitelekért, beleértve az Egyesült Államokba megfelelő biztosítékok nélkül küldött adatok eseteit is.
A bírságokon túl a következmények a következők:
- Adatátviteli műveletek felfüggesztése a felügyeleti hatóságok által
- Kötelező auditok és korrekciós intézkedési tervek
- Polgári jogi igények az érintettektől
- Hírnévromlás és az ügyfélbizalom elvesztése
Kína PIPL-je alapján a jogsértések akár 50 millió RMB vagy az előző évi éves bevétel 5%-ának megfelelő bírságot, valamint az üzleti tevékenység esetleges felfüggesztését vonhatják maguk után. [3]
Szükségem van adatátviteli megállapodásokra az alkalmazotti adatokhoz?
Igen. Az alkalmazotti személyes adatokra ugyanazok a határokon átnyúló átviteli szabályok vonatkoznak, mint az ügyféladatokra a GDPR és a legtöbb más adatvédelmi keretrendszer szerint. Sok szervezet tévesen feltételezi, hogy a munkaszerződések vagy a belső HR-szabályzatok elegendőek; ezek nem helyettesítik az érvényes átviteli mechanizmus szükségességét.
A multinacionális csoportok számára a BCR-ek gyakran a legpraktikusabb megoldás az alkalmazotti adatokra, mert egyetlen jóváhagyott keretrendszer alatt fedezik az összes csoporton belüli átvitelt. Alternatív megoldásként SCC-k köthetők a foglalkoztató entitás és a csoporton belüli fogadó entitás között.
Milyen gyakori hibákat követnek el a vállalatok a nemzetközi adatátvitelek során?
A határokon átnyúló adatátvitelek leggyakoribb megfelelőségi hibái a következők:
- Az adatfolyamok feltérképezésének elmulasztása: A szervezetek nem tudják alkalmazni a megfelelő mechanizmust, ha nem tudják, hová kerülnek az adatok. Egy 2021-es tanulmány megállapította, hogy az elemzett mobilalkalmazások 56%-a potenciálisan nem felelt meg a GDPR átviteli követelményeinek, nagyrészt a nyilvánosságra nem hozott harmadik féltől származó adatfolyamok miatt. [7]
- Elavult SCC-k használata: Azok a szervezetek, amelyek nem tértek át a korábbi SCC-kről a 2021-es verziókra a 2022. decemberi határidőig, érvénytelen szerződések alapján működnek.
- Feltételezés, hogy a felhőszolgáltatók kezelik a megfelelőséget: A felhőszolgáltatók adatfeldolgozási megállapodásokat biztosítanak, de az adatkezelő továbbra is felelős az érvényes átviteli mechanizmus meglétéért.
- Az alfeldolgozói láncok figyelmen kívül hagyása: Amikor egy adatfeldolgozó egy harmadik országban alfeldolgozót von be, az eredeti adatkezelőnek biztosítania kell, hogy az SCC-k vagy az azzal egyenértékű biztosítékok a lánc mentén is érvényesüljenek.
- Az alkalmazotti adatok figyelmen kívül hagyása: A HR-rendszerek, bérszámfejtési platformok és együttműködési eszközök gyakran továbbítanak alkalmazotti adatokat határokon át megfelelő megállapodások nélkül.
Honnan tudom, hogy a vállalkozásomnak aggódnia kell-e a határokon átnyúló korlátozások miatt?
Minden olyan szervezetnek, amely szabályozott joghatóság lakosaitól gyűjt személyes adatokat, és az adott joghatóságon kívül található eszközöket, beszállítókat vagy infrastruktúrát használ, foglalkoznia kell a határokon átnyúló átviteli követelményekkel. Ez még a kisvállalkozásokra is vonatkozik, amelyek amerikai alapú e-mail marketing platformokat vagy analitikai eszközöket használnak.
Használja ezt a döntési szabályt:
- Ha EU/EGT lakosoktól gyűjt adatokat, és bármilyen EGT-n kívüli beszállítót használ, a GDPR átviteli szabályai érvényesek.
- Ha dél-koreai lakosok adatait dolgozza fel, és megosztja azokat tengerentúli entitásokkal, a PIPA érvényes.
- Ha Kínában működik, és személyes adatokat vagy "fontos adatokat" továbbít Kínán kívülre, a PIPL és a Kiberbiztonsági Törvény érvényes.
- Ha Ön egy amerikai entitás, amely EU-s személyes adatokat kap, szüksége van DPF tanúsítványra vagy SCC-kre az EU-s partnereitől.
Az APEC Határokon Átnyúló Adatvédelmi Szabályok (CBPR) rendszere tanúsítási lehetőséget kínál az ázsiai-csendes-óceáni tagállamokban működő szervezetek számára, elismert megfelelőségi keretrendszert biztosítva az APEC-en belüli átvitelekhez. [9]
GYIK
Mi a legegyszerűbb jogi módja az adatok országok közötti átvitelének? Az adatok EU-s megfelelőségi határozattal rendelkező országba történő átvitele a legegyszerűbb út a GDPR alapján, mivel nincs szükség további szerződésekre vagy biztosítékokra. Más célállomások esetén a Standard Szerződéses Klauzulák megkötése az adatfogadóval a legegyszerűbb megoldás.
Szükségesek-e az SCC-k minden nemzetközi átvitelhez? Nem. Az SCC-k akkor szükségesek, ha adatokat továbbítanak az EGT-ből egy olyan országba, amelyre nincs megfelelőségi határozat, és amikor nincs más érvényes mechanizmus (BCR-ek, kötelező eltérések) érvényben. A megfelelőségi határozattal jóváhagyott országokba történő átvitelekhez nincs szükség SCC-kre.
A GDPR vonatkozik-e a nem EU-s vállalatokra? Igen. A GDPR minden olyan szervezetre vonatkozik, amely EGT-lakosok személyes adatait kezeli, függetlenül attól, hogy hol van bejegyezve a szervezet, ha árukat vagy szolgáltatásokat kínál EGT-lakosoknak, vagy figyeli a viselkedésüket.
Mi az EU-USA Adatvédelmi Keretrendszer? Az EU-USA Adatvédelmi Keretrendszer egy 2023 júliusában elfogadott megfelelőségi mechanizmus, amely lehetővé teszi a tanúsított amerikai szervezetek számára, hogy SCC-k nélkül fogadjanak személyes adatokat az EGT-ből. A szervezeteknek önkéntesen tanúsítaniuk kell magukat az Egyesült Államok Kereskedelmi Minisztériumánál, és el kell kötelezniük magukat a specifikus adatvédelmi elvek mellett.
A hozzájárulás önmagában igazolhatja-e a határokon átnyúló átvitelt a GDPR alapján? A kifejezett hozzájárulás eltérésként szolgálhat alkalmi átvitelek esetén, de nem fenntartható mechanizmus a szisztematikus vagy nagyszabású átvitelekhez. A felügyeleti hatóságok óva intettek attól, hogy a hozzájárulásra támaszkodjanak, mint elsődleges átviteli mechanizmusra a rutin üzleti műveletek során.
Mi az átviteli hatásvizsgálat (TIA)? A TIA egy olyan elemzés, amelyet a szervezeteknek el kell végezniük, mielőtt SCC-kre támaszkodnának, hogy felmérjék, vajon a célország jogi keretrendszere aláássa-e az SCC-kben foglalt védelmet. Ez kötelező lépéssé vált a 2020-as Schrems II ítéletet követően.
A PIPA kiterjed-e a B2B adatokra? A PIPA a természetes személyek személyes adataira terjed ki. Az üzleti kapcsolattartási adatok (név, munkahelyi e-mail, munkahelyi telefonszám) a PIPA hatálya alá tartozhatnak attól függően, hogy hogyan dolgozzák fel őket, ezért a szervezeteknek nem szabad feltételezniük, hogy a B2B adatok automatikusan mentesülnek.
Mennyi ideig tart a BCR jóváhagyása? A BCR jóváhagyása jellemzően két-három évet vesz igénybe, a vállalatcsoport komplexitásától és a vezető felügyeleti hatóság reagálóképességétől függően. Ez egy erőforrás-igényes folyamat, amely leginkább a nagy multinacionális vállalatok számára alkalmas.
Milyen szerepet játszik a hozzájárulás-kezelő platform a határokon átnyúló megfelelőségben? Egy hozzájárulás-kezelő platform, mint a Biscotti CMP (www.biscotti-cmp.com) segít a szervezeteknek a jogszerű hozzájárulási nyilvántartások rögzítésében, tárolásában és bemutatásában, ami releváns, ha a hozzájárulást használják a feldolgozás vagy átvitel jogalapjaként. Támogatja az átláthatósági kötelezettségeket is azáltal, hogy a harmadik féltől származó adatfogadókat nyilvánosságra hozza a felhasználók számára.
Vannak-e büntetések az elavult SCC-k használatáért? Igen. A 2021 előtti SCC-k használata a 2022. december 27-i átmeneti határidő után érvénytelenné teszi az átviteli mechanizmust, ugyanazoknak a büntetéseknek téve ki a szervezetet, mintha egyáltalán nem lenne mechanizmus.
Összefoglalás
A határokon átnyúló adatátvitelek az üzleti műveletek és a szabályozói kötelezettségek metszéspontjában helyezkednek el, és a megfelelőségi környezet 2021 óta jelentősen bonyolultabbá vált. A GDPR, a PIPA, Kína PIPL-je és egyre több nemzeti keretrendszer mindegyike eltérő követelményeket ír elő, és azok a szervezetek, amelyek a megfelelőséget egyszeri feladatként kezelik, nem pedig folyamatos programként, valós végrehajtási kockázattal néznek szembe.
Cselekvési lépések 2026-ra:
- Végezzen adatfolyam-auditot az összes határokon átnyúló átvitel azonosítására, beleértve a harmadik féltől származó beszállítókon és alfeldolgozókon keresztül történőket is.
- Ellenőrizze, hogy az átviteli mechanizmusai aktuálisak-e: győződjön meg arról, hogy az SCC-k a 2021-es verziók, ellenőrizze, hogy a megfelelőségi határozatok fedezik-e a célországait, és frissítse az elavult vagy hiányzó megállapodásokat.
- Értékelje Kína és az APAC kitettségét külön, mivel a PIPL és a helyi adattárolási törvények a GDPR-hoz igazodó intézkedéseken túl különálló megfelelőségi lépéseket igényelnek.
- Dokumentálja az átviteli hatásvizsgálatokat minden SCC-alapú átvitelhez nem megfelelő országokba, különösen az Egyesült Államokba.
- Implementáljon egy hozzájárulás-kezelő megoldást, mint például a Biscotti CMP (www.biscotti-cmp.com), hogy fenntartsa az ellenőrizhető hozzájárulási nyilvántartásokat és támogassa az érintettek felé történő átláthatósági közzétételeket.
- Figyelje a szabályozói fejleményeket, beleértve az EU-USA Adatvédelmi Keretrendszer jogi státuszát és az Európai Bizottság által kiadott új megfelelőségi határozatokat.
Azok a szervezetek, amelyek a határokon átnyúló adatátviteli megfelelőséget beépítik működési folyamataikba, ahelyett, hogy jogi formalitásként kezelnék, jobban felkészültek a globális terjeszkedésre szabályozói zavarok nélkül.
Hivatkozások
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai