ES teisė ir GDPR

Duomenų perdavimas tarp šalių: GDPR, PIPA ir vietiniai apribojimai

2026 m. liepos 7 d. · 17 min. skaitymas

Greitas atsakymas: Duomenų perdavimas tarp šalių apima asmens duomenų perkėlimą per nacionalines sienas, ir jį reguliuoja įvairių, tarpusavyje persidengiančių įstatymų rinkinys, įskaitant ES GDPR, Pietų Korėjos PIPA, Kinijos PIPL ir įvairius sektoriams specifinius režimus. Organizacijos turi nustatyti, kurie teisiniai rėmai taikomi jų duomenų srautams, o tada įgyvendinti patvirtintas perdavimo mechanizmus, tokius kaip Standartinės sutartinės sąlygos arba tinkamumo sprendimai, prieš vykdant bet kokį perdavimą. Nepaisymas gali sukelti baudas, siekiančias dešimtis milijonų eurų, reguliavimo tyrimus ir reputacijos nuostolius.

Pagrindiniai punktai

GDPR riboja asmens duomenų išvykimą iš EEE, nebent būtų taikomas tinkamumo sprendimas, SCC arba privalomos korporatyvinės taisyklės.
Pietų Korėjos PIPA reikalauja aiškaus sutikimo arba teisėto pagrindo duomenų perdavimui tarp šalių ir skiriasi nuo GDPR keliais procedūriniais aspektais.
Kinijos PIPL ir Kibernetinio saugumo įstatymas nustato vienus griežčiausių duomenų lokalizacijos reikalavimų pasaulyje, įskaitant privalomus saugumo vertinimus tam tikriems išvykstantiems perdavimams.
Standartinės sutartinės sąlygos (SCC), atnaujintos 2021 m. birželio mėn., išlieka plačiausiai naudojamu perdavimo mechanizmu organizacijoms, siunčiančioms duomenis už EEE ribų.
2021 m. tyrimas, analizuojantis 10,080 mobiliųjų programėlių, parodė, kad 56% jų galėjo būti nesuderinamos su GDPR reikalavimais dėl duomenų perdavimo tarp šalių. [7]
ES-JAV Duomenų privatumo sistema pakeitė negaliojantį Privatumo skydą, tačiau organizacijos turėtų toliau stebėti jos teisinę būklę.
Duomenų lokalizacija ir duomenų perdavimo apribojimai yra susiję, bet skirtingi konceptai: lokalizacija nustato, kur duomenys turi būti saugomi, o perdavimo apribojimai reguliuoja, kada ir kaip duomenys gali judėti.
Darbuotojų duomenys nėra atleisti nuo duomenų perdavimo taisyklių; dažnai reikalaujama atskirų duomenų perdavimo sutarčių arba nukrypimų.
Atitikties kaštai labai skiriasi priklausomai nuo įmonės dydžio, duomenų kiekio ir įtrauktų jurisdikcijų skaičiaus.
Sutikimų valdymo platformos, tokios kaip Biscotti CMP (www.biscotti-cmp.com), gali padėti organizacijoms dokumentuoti teisėtus pagrindus ir sutikimų įrašus, susijusius su duomenų srautais tarp šalių.

Kas yra duomenų perdavimas tarp šalių ir kodėl tai svarbu

Duomenų perdavimas tarp šalių įvyksta, kai asmens duomenys juda iš vienos šalies į kitą, nesvarbu, ar per debesų saugojimą, SaaS platformas, el. paštą ar API integracijas. Tai svarbu, nes nacionaliniai privatumo įstatymai yra susiję su pačiais duomenimis, o ne tik su šalimi, kurioje organizacija yra įsteigta.

Įmonėms, vykdančioms pasaulines operacijas, vienas HR platforma, talpinama JAV, kuri apdoroja darbuotojų įrašus iš ES biurų, jau sudaro duomenų perdavimą tarp šalių, kuris yra taikomas GDPR. Tas pats taikoma ir rinkodaros agentūroms, siunčiančioms klientų el. pašto sąrašus į JAV įsikūrusią automatizavimo priemonę, arba kūrėjams, naudojantiems trečiųjų šalių analizės paslaugas, nukreiptas per serverius ne EEE šalyse.

Pavojai yra dideli. Reguliavimo vykdymas sustiprėjo daugelyje jurisdikcijų nuo 2021 m., o tarptautinio harmonizavimo trūkumas duomenų apsaugos įstatymuose sukuria taisyklių persidengimą ir konkurencingus standartus, kurie komplikuoja atitiktį organizacijoms, veikiančioms per sienas. [8]

Kaip GDPR veikia duomenų siuntimą už ES ribų

GDPR draudžia perduoti asmens duomenis iš Europos ekonominės erdvės (EEE) į trečiąsias šalis, nebent būtų taikomas vienas iš kelių patvirtintų mechanizmų. Trys pagrindiniai mechanizmai yra tinkamumo sprendimai, Standartinės sutartinės sąlygos ir privalomos korporatyvinės taisyklės. [1]

Tinkamumo sprendimai išduodami Europos Komisijos, kai ji nustato, kad trečioji šalis siūlo duomenų apsaugos lygį, kuris iš esmės atitinka EEE. Nuo 2026 m. tinkamumo sprendimai apima jurisdikcijas, įskaitant Jungtinę Karalystę, Japoniją, Pietų Korėją ir kelias kitas. [1] Duomenys gali laisvai judėti į šias šalis be papildomų apsaugų.

Standartinės sutartinės sąlygos (SCC) yra išankstinio patvirtinimo sutartiniai šablonai, kuriuos išduoda Europos Komisija. Modernizuotos SCC, paskelbtos 2021 m. birželio 4 d., apima keturis perdavimo scenarijus: valdytojas-valdytojui, valdytojas-apdorotojui, apdorotojas-valdytojui ir apdorotojas-apdorotojui. [2]

Privalomos korporatyvinės taisyklės (BCR) yra vidaus politikos, kurias priima tarptautinės korporacijų grupės, siekiant reguliuoti vidinius grupės perdavimus. BCR reikalauja patvirtinimo iš pagrindinės priežiūros institucijos ir turi apimti nuostatas dėl teisėto pagrindo, duomenų subjekto teisių ir skundų procedūrų. [1]

"Organizacijos turi žemėlapiuoti savo duomenų srautus, kad nustatytų visus perdavimus ir taikytų tinkamas apsaugas prieš išvykstant bet kokiems asmens duomenims iš EEE." [1]

Kas yra PIPA ir kurioms šalims ji taikoma

Pietų Korėjos Asmens duomenų apsaugos įstatymas (PIPA) yra pagrindinis šalies duomenų privatumo įstatymas, reguliuojantis asmens informacijos rinkimą, naudojimą ir duomenų perdavimą tarp šalių tiek viešajame, tiek privačiame sektoriuje. PIPA taikoma bet kuriai organizacijai, apdorojančiai Pietų Korėjos gyventojų asmens duomenis, nepriklausomai nuo to, kur yra įsikūrusi organizacija.

PIPA reikalauja, kad duomenų subjektai būtų informuoti apie, ir paprastai sutiktų su, savo asmens duomenų perdavimu į užsienį. Konkretūs atskleidimai turi apimti gavėjo tapatybę, perdavimo tikslą, perduodamus duomenų elementus, saugojimo laikotarpį ir kaip duomenų subjektai gali atšaukti sutikimą.

Koks skirtumas tarp GDPR ir PIPA duomenų perdavimams

T tanto GDPR, tiek PIPA reguliuoja duomenų perdavimus tarp šalių, tačiau skiriasi keliais procedūriniais ir turiniais aspektais. [6]

Matmuo	GDPR (ES/EEE)	PIPA (Pietų Korėja)
Perdavimo mechanizmas	Tinkamumo sprendimas, SCC, BCR, nukrypimai	Sutikimas, sutartinė būtinybė, tinkamumo lygiaverčiai susitarimai
Teisinio bendradarbiavimo perdavimai	Leidžiami pagal tarptautinius susitarimus	Nenurodyta
Duomenų subjekto informavimas	Reikalingas SCC ir BCR	Reikalingas surinkimo arba perdavimo metu
Priežiūros institucija	Nacionalinės DPAs / EDPB	Asmens informacijos apsaugos komisija (PIPC)
Baudos	Iki 4% pasaulinio metinio apyvartos	Iki 300 milijonų KRW (apie 220,000 USD) už pažeidimą

Pagrindinis praktinis skirtumas: GDPR suteikia daugiau lankstumo per kelis perdavimo mechanizmus, tuo tarpu PIPA numato, kad sutikimas yra pagrindinis reikalavimas, todėl sutikimo valdymo infrastruktūra yra ypač svarbi organizacijoms, veikiančioms Pietų Korėjoje. [6]

Kas yra Standartinės sutartinės sąlygos ir ar jų reikia

Standartinės sutartinės sąlygos yra išankstinio patvirtinimo sutartinės nuostatos, kurias išduoda Europos Komisija, kurios teisiškai įpareigoja duomenų eksportuotoją ir importuotoją apsaugoti asmens duomenis per duomenų perdavimus tarp šalių. Bet kuri organizacija, siunčianti asmens duomenis iš EEE į šalį, kurioje nėra tinkamumo sprendimo, beveik tikrai turi naudoti SCC. [2]

2021 m. SCC pakeitė senesnes 2001 ir 2010 metų versijas ir pristatė modulinę struktūrą, apimančią visus duomenų perdavimo santykius. Organizacijos, kurios naudojo senas SCC, turėjo pereiti prie naujų versijų iki 2022 m. gruodžio 27 d.

Kai jums reikia SCC:

Siunčiant klientų duomenis į JAV įsikūrusią CRM arba rinkodaros platformą
Naudojant debesų paslaugų teikėją su serveriais už EEE ribų
Dalijantis darbuotojų duomenimis su ne EEE įsikūrusia motinine įmone
Įtraukiant ne EEE apdorotoją analizei, palaikymui ar plėtrai

Kai jums gali nereikėti SCC:

Perdavimo duomenis į šalį, kurioje yra tinkamumo sprendimas
Pasikliaujant BCR vidiniams grupės perdavimams
Taikant konkretų nukrypimą (pvz., aiškų sutikimą retkarčiais perdavimams)

Kurios šalys turi griežčiausius duomenų perdavimo apribojimus

Kinija ir Rusija nustato griežčiausius duomenų perdavimo tarp šalių režimus pasaulyje. Kinijos PIPL (įsigaliojo 2021 m. lapkričio 1 d.) reikalauja aiškaus sutikimo, saugumo vertinimų, kuriuos atlieka Kinijos kibernetinio saugumo administracija (CAC) tam tikriems perdavimams, ir standartinių sutarčių kitiems. [3] Kinijos Kibernetinio saugumo įstatymas toliau riboja asmens informacijos ir "svarbių duomenų" perdavimus tarp šalių, surinktų per operacijas Kinijoje. [5]

Rusija reikalauja, kad Rusijos piliečių asmens duomenys būtų saugomi serveriuose, esančiuose Rusijoje, prieš vykdant bet kokį duomenų perdavimą tarp šalių.

Kitos jurisdikcijos su pastebimais apribojimais apima:

Indija: Skaitmeninių asmens duomenų apsaugos įstatymas (DPDPA) riboja perdavimus į tam tikras "juodąsias" šalis.
Indonezija: Vyriausybes reglamentas 71 reikalauja duomenų lokalizacijos tam tikriems elektroninių sistemų operatoriams.
Vietnamas: Kibernetinio saugumo įstatymas reikalauja vietinio saugojimo tam tikroms duomenų kategorijoms.

Ar galiu perduoti asmens duomenis į JAV pagal GDPR

Taip, bet tik per patvirtintą mechanizmą. ES-JAV Duomenų privatumo sistema (DPF), priimta 2023 m. liepos mėn., leidžia perduoti duomenis sertifikuotoms JAV organizacijoms be SCC. [9] Tačiau DPF susidūrė su teisiniais iššūkiais, o organizacijos turėtų išlaikyti SCC kaip atsarginę apsaugą, atsižvelgiant į Privatumo skydų negaliojimą 2020 m.

JAV organizacijoms, kurios nėra sertifikuotos pagal DPF, SCC išlieka pagrindiniu mechanizmu. Sektoriui specifiniai JAV įstatymai, tokie kaip HIPAA, taip pat nustato įpareigojimus užsienio subjektams, apdorojantiems apsaugotą sveikatos informaciją JAV apdraustųjų vardu. [4]

Koks skirtumas tarp duomenų lokalizacijos ir duomenų perdavimo apribojimų

Duomenų lokalizacijos įstatymai reikalauja, kad tam tikri duomenys būtų saugomi serveriuose, fiziškai esančiuose šalies ribose. Duomenų perdavimo apribojimai reguliuoja sąlygas, kuriomis duomenys gali būti siunčiami į užsienį, nepriklausomai nuo to, kur jie yra saugomi.

Įmonė gali atitikti duomenų perdavimo apribojimus, tuo pačiu saugodama duomenis už šalies ribų (jei perdavimo mechanizmas yra galiojantis). Priešingai, šalis su duomenų lokalizacijos reikalavimais gali vis tiek leisti duomenų perdavimus tarp šalių, jei vietinė kopija yra išlaikoma. Kinijos režimas apima abu: jis reikalauja vietinio saugojimo tam tikroms duomenų kategorijoms ir atskirai riboja išvykstančius perdavimus. [5]

Kiek kainuoja įsteigti atitinkančius duomenų perdavimus tarp šalių

Atitikties kaštai priklauso nuo organizacijos dydžio, duomenų sudėtingumo ir įtrauktų jurisdikcijų skaičiaus. Nėra vieno standarto, tačiau šios kaštų kategorijos taikomos daugumai organizacijų:

Teisinis peržiūrėjimas ir SCC vykdymas: Kainos svyruoja nuo kelių tūkstančių dolerių mažoms organizacijoms iki šešių skaičių didelėms įmonėms, turinčioms šimtus tiekėjų santykių.
Duomenų žemėlapio ir srautų auditai: Vidinių darbuotojų laikas arba išorinių konsultantų mokesčiai; vidutinės rinkos įmonės paprastai išleidžia 20,000-100,000 USD už išsamų auditą.
BCR patvirtinimas: Daugiametis procesas, reikalaujantis reguliavimo įsitraukimo; paprastai skirtas didelėms tarptautinėms įmonėms, atsižvelgiant į išteklių investicijas.
Nuolatinis atitikties stebėjimas: Metinė tinkamumo sprendimų, SCC atnaujinimų ir naujų jurisdikcijų reikalavimų peržiūra.

Investavimas į sutikimų valdymo platformą, tokią kaip Biscotti CMP (www.biscotti-cmp.com), gali sumažinti nuolatines atitikties išlaidas, centralizuojant sutikimų įrašus ir palaikant teisėtus perdavimo pagrindus.

Ką daryti, jei įmonė pažeidžia duomenų perdavimo tarp šalių taisykles

GDPR pažeidimai, susiję su duomenų perdavimu tarp šalių, patenka į aukštesnį baudų lygį: iki 20 milijonų EUR arba 4% pasaulinio metinio apyvartos, priklausomai nuo to, kuris yra didesnis. Priežiūros institucijos išrašė reikšmingas baudas už neteisėtus perdavimus, įskaitant atvejus, kai duomenys buvo siunčiami į JAV be tinkamų apsaugų.

Be baudų, pasekmės apima:

Duomenų perdavimo operacijų sustabdymą priežiūros institucijų
Privalomus auditų ir korektyvių veiksmų planus
Civilinius ieškinius iš duomenų subjektų
Reputacijos nuostolius ir klientų pasitikėjimo praradimą

Pagal Kinijos PIPL, pažeidimai gali lemti baudas iki 50 milijonų RMB arba 5% praėjusių metų metinių pajamų, taip pat galimą verslo operacijų sustabdymą. [3]

Ar man reikia duomenų perdavimo sutarčių darbuotojų duomenims

Taip. Darbuotojų asmens duomenys yra taikomi toms pačioms duomenų perdavimo taisyklėms kaip ir klientų duomenys pagal GDPR ir daugumą kitų privatumo sistemų. Daugelis organizacijų neteisingai mano, kad darbo sutartys ar vidinės HR politikos yra pakankamos; jos nepakeičia galiojančio perdavimo mechanizmo poreikio.

Tarptautinėms grupėms BCR dažnai yra praktiškiausias sprendimas darbuotojų duomenims, nes jie apima visus vidinius grupės perdavimus pagal vieną patvirtintą rėmą. Alternatyviai, SCC gali būti vykdomos tarp darbdavio ir gavėjo subjekto grupėje.

Kokios yra dažniausiai pasitaikančios klaidos, kurias įmonės daro su tarptautiniais duomenų perdavimais

Dažniausios atitikties nesėkmės duomenų perdavimuose tarp šalių apima:

Nesugeba žemėlapiuoti duomenų srautų: Organizacijos negali taikyti tinkamo mechanizmo, jei nežino, kur duomenys juda. 2021 m. tyrimas parodė, kad 56% analizuotų mobiliųjų programėlių galėjo būti nesuderinamos su GDPR perdavimo reikalavimais, daugiausia dėl neatskleistų trečiųjų šalių duomenų srautų. [7]
Naudojant pasenusias SCC: Organizacijos, kurios neperėjo nuo senų SCC prie 2021 m. versijų iki 2022 m. gruodžio 27 d. termino, veikia pagal negaliojančias sutartis.
Manant, kad debesų paslaugų teikėjai rūpinasi atitiktimi: Debesų paslaugų teikėjai teikia duomenų apdorojimo sutartis, tačiau duomenų valdytojas lieka atsakingas už tai, kad būtų užtikrintas galiojantis perdavimo mechanizmas.
Ignoruojant sub-apdorotojų grandines: Kai apdorotojas įtraukia sub-apdorotoją trečioje šalyje, pirminis valdytojas turi užtikrinti, kad SCC arba lygiaverčios apsaugos būtų taikomos visoje grandinėje.
Nepaisant darbuotojų duomenų: HR sistemos, atlyginimų platformos ir bendradarbiavimo įrankiai dažnai perduoda darbuotojų duomenis per sienas be tinkamų sutarčių.

Kaip sužinoti, ar mano verslas turi rūpintis duomenų perdavimo apribojimais

Bet kuri organizacija, kuri renka asmens duomenis iš reguliuojamos jurisdikcijos gyventojų ir naudoja įrankius, tiekėjus ar infrastruktūrą, esančią už tos jurisdikcijos ribų, turi spręsti duomenų perdavimo reikalavimus. Tai taikoma net mažoms įmonėms, naudojančioms JAV talpinamus el. pašto rinkodaros platformas ar analizės įrankius.

Naudokite šią sprendimų taisyklę:

Jei renkate duomenis iš ES/EEE gyventojų ir naudojate bet kurį ne EEE tiekėją, taikomi GDPR perdavimo taisyklės.
Jei apdorojate Pietų Korėjos gyventojų duomenis ir dalijatės jais su užsienio subjektais, taikoma PIPA.
Jei veikiate Kinijoje ir perduodate asmens informaciją ar "svarbius duomenis" už Kinijos ribų, taikoma PIPL ir Kibernetinio saugumo įstatymas.
Jei esate JAV subjektas, gaunantis ES asmens duomenis, jums reikia arba DPF sertifikato, arba SCC iš savo ES partnerių.

APEC tarptautinių privatumo taisyklių (CBPR) sistema siūlo sertifikavimo kelią organizacijoms, veikiančioms Azijos ir Ramiojo vandenyno šalių narių ekonomikoje, teikdama pripažintą atitikties rėmą vidiniams APEC perdavimams. [9]

DUK

Koks yra paprasčiausias teisėtas būdas perduoti duomenis tarp šalių? Perduoti duomenis į šalį, kurioje yra ES tinkamumo sprendimas, yra paprasčiausias kelias pagal GDPR, nes nereikia papildomų sutarčių ar apsaugų. Kitoms kryptims, vykdant Standartines sutartines sąlygas su duomenų gavėju, yra paprasčiausias pasirinkimas.

Ar SCC reikia kiekvienam tarptautiniam perdavimui? Ne. SCC reikia, kai perduodami duomenys iš EEE į šalį, kurioje nėra tinkamumo sprendimo, ir kai netaikomas joks kitas galiojantis mechanizmas (BCR, privalomi nukrypimai). Perdavimai į tinkamumo patvirtintas šalis nereikalauja SCC.

Ar GDPR taikomas ne ES įmonėms? Taip. GDPR taikomas bet kuriai organizacijai, kuri apdoroja EEE gyventojų asmens duomenis, nepriklausomai nuo to, kur yra įsteigta organizacija, jei ji siūlo prekes ar paslaugas EEE gyventojams arba stebi jų elgesį.

Kas yra ES-JAV Duomenų privatumo sistema? ES-JAV Duomenų privatumo sistema yra tinkamumo mechanizmas, priimtas 2023 m. liepos mėn., leidžiantis sertifikuotoms JAV organizacijoms gauti asmens duomenis iš EEE be SCC. Organizacijos turi savarankiškai sertifikuotis JAV Prekybos departamente ir įsipareigoti laikytis konkrečių duomenų apsaugos principų.

Ar sutikimas vienas gali pateisinti duomenų perdavimą tarp šalių pagal GDPR? Aiškus sutikimas gali būti naudojamas kaip nukrypimas retkarčiais perdavimams, tačiau tai nėra tvarus mechanizmas sisteminiams ar didelio masto perdavimams. Priežiūros institucijos įspėjo, kad nereikėtų pasikliauti sutikimu kaip pagrindiniu perdavimo mechanizmu įprastoms verslo operacijoms.

Kas yra Duomenų perdavimo poveikio vertinimas (TIA)? TIA yra analizė, kurią organizacijos turi atlikti prieš pasikliaudamos SCC, kad įvertintų, ar paskirties šalies teisinė sistema nesumažina SCC apsaugos. Tai tapo privalomu žingsniu po Schrems II sprendimo 2020 m.

Ar PIPA apima B2B duomenis? PIPA apima fizinių asmenų asmens informaciją. Verslo kontaktinė informacija (vardas, darbo el. paštas, darbo telefonas) gali patekti į PIPA taikymo sritį, priklausomai nuo to, kaip ji apdorojama, todėl organizacijos neturėtų manyti, kad B2B duomenys automatiškai yra atleisti.

Kiek laiko trunka BCR patvirtinimas? BCR patvirtinimas paprastai trunka nuo dviejų iki trijų metų, priklausomai nuo korporatyvinės grupės sudėtingumo ir pagrindinės priežiūros institucijos reagavimo. Tai išteklių reikalaujantis procesas, geriausiai tinkantis didelėms tarptautinėms įmonėms.

Kokia yra sutikimų valdymo platformos rolė tarptautinėje atitikties srityje? Sutikimų valdymo platforma, tokia kaip Biscotti CMP (www.biscotti-cmp.com), padeda organizacijoms užfiksuoti, saugoti ir demonstruoti teisėtus sutikimų įrašus, kurie yra svarbūs, kai sutikimas naudojamas kaip teisėtas pagrindas apdorojimui ar perdavimui. Ji taip pat palaiko skaidrumo įsipareigojimus, atskleidžiant trečiųjų šalių duomenų gavėjus vartotojams.

Ar yra baudos už pasenusių SCC naudojimą? Taip. Naudojant prieš 2021 m. SCC po 2022 m. gruodžio 27 d. perėjimo termino, perdavimo mechanizmas tampa negaliojantis, o organizacija patiria tokias pačias baudas, kaip ir neturint mechanizmo.

Išvada

Duomenų perdavimas tarp šalių yra verslo operacijų ir reguliavimo įsipareigojimų sankirta, o atitikties kraštovaizdis nuo 2021 m. tapo žymiai sudėtingesnis. GDPR, PIPA, Kinijos PIPL ir vis didėjantis nacionalinių sistemų skaičius nustato skirtingus reikalavimus, o organizacijos, kurios laikosi atitikties kaip vienkartinio proceso, o ne nuolatinės programos, susiduria su realiu vykdymo rizika.

Veiksmingi žingsniai 2026 m.:

Atlikite duomenų srauto auditą, kad nustatytumėte kiekvieną duomenų perdavimą tarp šalių, kurį jūsų organizacija vykdo, įskaitant tuos, kurie vykdomi per trečiųjų šalių tiekėjus ir sub-apdorotojus.
Patikrinkite, ar jūsų perdavimo mechanizmai yra aktualūs: patvirtinkite, kad SCC yra 2021 m. versijos, patikrinkite, ar tinkamumo sprendimai apima jūsų paskirties šalis, ir atnaujinkite bet kokias pasibaigusias ar trūkstamas sutartis.
Atlikite Kinijos ir APAC poveikio vertinimą atskirai, nes PIPL ir vietiniai duomenų lokalizacijos įstatymai reikalauja atskirų atitikties žingsnių, be GDPR suderintų priemonių.
Dokumentuokite Duomenų perdavimo poveikio vertinimus visiems SCC pagrindu vykdomiems perdavimams į šalis, kuriose nėra tinkamumo sprendimų, ypač į JAV.
Įdiekite sutikimų valdymo sprendimą, tokį kaip Biscotti CMP (www.biscotti-cmp.com), kad išlaikytumėte audituojamus sutikimų įrašus ir palaikytumėte skaidrumo atskleidimus duomenų subjektams.
Stebėkite reguliavimo pokyčius, įskaitant ES-JAV Duomenų privatumo sistemos teisinę būklę ir bet kokius naujus tinkamumo sprendimus, kuriuos išduoda Europos Komisija.

Organizacijos, kurios integruoja duomenų perdavimo tarp šalių atitiktį į savo operacinius procesus, o ne traktuoja tai kaip teisinę formalumą, geriau pasiruošusios plėstis pasauliniu mastu be reguliavimo trikdžių.