ES tiesības un GDPR

Pārirobežu datu pārsūtīšana: navigējot GDPR, PIPA un vietējās ierobežojumus

2026. gada 7. jūlijs · 17 min lasīšana

Ātrā atbilde: Pārirobežu datu pārsūtīšana ietver personīgo datu pārvietošanu pāri valstu robežām, un to regulē likumu kopums, tostarp ES GDPR, Dienvidkorejas PIPA, Ķīnas PIPL un dažādi nozares specifiski režīmi. Organizācijām jāidentificē, kuri regulējumi attiecas uz viņu datu plūsmām, un pēc tam jāīsteno apstiprināti pārsūtīšanas mehānismi, piemēram, Standarta līguma noteikumi vai atbilstības lēmumi, pirms notiek jebkāda pārsūtīšana. Nepakļaušanās var izraisīt sodus, kas sasniedz desmitiem miljonu eiro, regulatīvās izmeklēšanas un reputācijas bojājumus.

Galvenie secinājumi

GDPR ierobežo personīgo datu iznākšanu no EEA, ja vien nav pieņemts atbilstības lēmums, SCC vai saistoši korporatīvie noteikumi.
Dienvidkorejas PIPA prasa skaidru piekrišanu vai likumīgu pamatu pārirobežu pārsūtīšanai un atšķiras no GDPR vairākos procedurālos veidos.
Ķīnas PIPL un Kiberdrošības likums nosaka dažus no stingrākajiem datu lokalizācijas prasībām pasaulē, tostarp obligātas drošības novērtēšanas noteiktām ārējām pārsūtīšanām.
Standarta līguma noteikumi (SCC), kas tika atjaunoti 2021. gada jūnijā, joprojām ir visplašāk izmantotais pārsūtīšanas mehānisms organizācijām, kas sūta datus ārpus EEA.
1. gada pētījums, analizējot 10,080 mobilās lietotnes, atklāja, ka 56% no tām potenciāli nav atbilstošas GDPR pārirobežu pārsūtīšanas prasībām. [7]
ES-ASV Datu privātuma ietvars aizstāja atcelto Privātuma vairogu, taču organizācijām jāturpina uzraudzīt tā juridisko statusu.
Datu lokalizācija un datu pārsūtīšanas ierobežojumi ir saistīti, bet atšķirīgi jēdzieni: lokalizācija nosaka, kur dati tiek glabāti, savukārt pārsūtīšanas ierobežojumi regulē, kad un kā dati var pārvietoties.
Darbinieku dati nav atbrīvoti no pārirobežu pārsūtīšanas noteikumiem; bieži vien ir nepieciešami atsevišķi datu pārsūtīšanas līgumi vai atbrīvojumi.
Atbilstības izmaksas ļoti atšķiras atkarībā no uzņēmuma lieluma, datu apjoma un iesaistīto jurisdikciju skaita.
Piekrīšanas pārvaldības platformas, piemēram, Biscotti CMP (www.biscotti-cmp.com), var atbalstīt organizācijas, dokumentējot likumīgus pamatus un piekrišanas ierakstus, kas attiecas uz pārirobežu datu plūsmām.

Kas ir pārirobežu datu pārsūtīšana un kāpēc tā ir svarīga

Pārirobežu datu pārsūtīšana notiek, kad personīgie dati pārvietojas no vienas valsts uz citu, vai nu caur mākoņkrātuvi, SaaS platformām, e-pastu vai API integrācijām. Tas ir svarīgi, jo nacionālie privātuma likumi attiecas uz pašiem datiem, nevis tikai uz valsti, kurā organizācija ir reģistrēta.

Uzņēmumiem, kas veic globālas darbības, viena HR platforma, kas mitināta Amerikas Savienotajās Valstīs un apstrādā darbinieku ierakstus no ES birojiem, jau veido pārirobežu pārsūtīšanu, kas pakļauta GDPR. Tas pats attiecas uz mārketinga aģentūrām, kas sūta klientu e-pasta sarakstus uz ASV bāzētu automatizācijas rīku, vai izstrādātājiem, kas izmanto trešo pušu analītikas pakalpojumus, kas tiek novirzīti caur serveriem valstīs ārpus EEA.

Riski ir lieli. Regulējošā uzraudzība ir pastiprinājusies vairākās jurisdikcijās kopš 2021. gada, un starptautiskās harmonizācijas trūkums datu aizsardzības likumos rada noteikumu pārklāšanos un konkurējošus standartus, kas apgrūtina atbilstību organizācijām, kas darbojas pāri robežām. [8]

Kā GDPR ietekmē datu sūtīšanu ārpus ES

GDPR aizliedz pārsūtīt personīgos datus no Eiropas Ekonomikas zonas (EEA) uz trešām valstīm, ja vien nav pieņemts kāds no vairākiem apstiprinātiem mehānismiem. Trīs galvenie mehānismi ir atbilstības lēmumi, Standarta līguma noteikumi un saistošie korporatīvie noteikumi. [1]

Atbilstības lēmumi tiek izdoti no Eiropas Komisijas, kad tā nosaka, ka trešā valsts piedāvā datu aizsardzības līmeni, kas būtībā ir līdzvērtīgs EEA. No 2026. gada atbilstības lēmumi aptver jurisdikcijas, tostarp Apvienoto Karalisti, Japānu, Dienvidkoreju un vairākas citas. [1] Dati var brīvi plūst uz šīm valstīm bez papildu drošības pasākumiem.

Standarta līguma noteikumi (SCC) ir iepriekš apstiprināti līguma veidlapas, ko izdevusi Eiropas Komisija. Modernizētie SCC, kas publicēti 2021. gada 4. jūnijā, aptver četras pārsūtīšanas scenārijus: kontrolieris uz kontrolieri, kontrolieris uz apstrādātāju, apstrādātājs uz kontrolieri un apstrādātājs uz apstrādātāju. [2]

Saistošie korporatīvie noteikumi (BCR) ir iekšējās politikas, ko pieņem starptautiski korporatīvie grupējumi, lai regulētu iekšgrupas pārsūtīšanu. BCR prasa apstiprinājumu no vadošās uzraudzības iestādes un tiem jāietver noteikumi par juridisko pamatu, datu subjekta tiesībām un sūdzību procedūrām. [1]

"Organizācijām jāizveido datu plūsmu karte, lai identificētu visus pārsūtījumus un piemērotu atbilstošus drošības pasākumus pirms jebkuru personīgo datu iznākšanas no EEA." [1]

Kas ir PIPA un uz kurām valstīm tā attiecas

Dienvidkorejas Personisko datu aizsardzības akts (PIPA) ir valsts galvenais datu privātuma likums, kas regulē personisko datu vākšanu, izmantošanu un pārirobežu pārsūtīšanu gan publiskajā, gan privātajā sektorā. PIPA attiecas uz jebkuru organizāciju, kas apstrādā Dienvidkorejas iedzīvotāju personiskos datus, neatkarīgi no tā, kur organizācija atrodas.

PIPA prasa, lai datu subjekti tiktu informēti par, un vispārīgi piekristu, savu personisko datu pārsūtīšanai uz ārzemēm. Specifiskām atklāšanām jāietver saņēmēja identitāte, pārsūtīšanas mērķis, pārsūtītie datu vienumi, glabāšanas periods un kā datu subjekti var atsaukt piekrišanu.

Kāda ir atšķirība starp GDPR un PIPA datu pārsūtīšanai

Gan GDPR, gan PIPA regulē pārirobežu datu pārsūtīšanu, taču tās atšķiras vairākos procedurālos un saturiskos punktos. [6]

Dimensija	GDPR (ES/EEA)	PIPA (Dienvidkoreja)
Pārsūtīšanas mehānisms	Atbilstības lēmums, SCC, BCR, atbrīvojumi	Piekrišana, līguma nepieciešamība, atbilstības līdzvērtīgas vienošanās
Tiesiskā sadarbība pārsūtījumiem	Atļauta saskaņā ar starptautiskiem nolīgumiem	Nav skaidri noteikts
Datu subjekta paziņošana	Nepieciešama SCC un BCR gadījumā	Nepieciešama datu vākšanas vai pārsūtīšanas brīdī
Uzraudzības iestāde	Nacionālās DPA / EDPB	Personisko datu aizsardzības komisija (PIPC)
Sodi	Līdz 4% no globālajiem gada ieņēmumiem	Līdz KRW 300 miljoniem (aptuveni 220,000 USD) par katru pārkāpumu

Galvenā praktiskā atšķirība: GDPR nodrošina lielāku elastību, izmantojot vairākus pārsūtīšanas mehānismus, savukārt PIPA noklusējuma prasība vairāk paļaujas uz skaidru piekrišanu, padarot piekrišanas pārvaldības infrastruktūru īpaši svarīgu organizācijām, kas darbojas Dienvidkorejā. [6]

Kas ir Standarta līguma noteikumi un vai jums tie ir nepieciešami

Standarta līguma noteikumi ir iepriekš apstiprināti līguma noteikumi, ko izdevusi Eiropas Komisija, kas juridiski saista datu eksportētāju un importētāju, lai aizsargātu personīgos datus pārirobežu pārsūtīšanas laikā. Jebkurai organizācijai, kas sūta personīgos datus no EEA uz valsti bez atbilstības lēmuma, gandrīz noteikti ir nepieciešami SCC. [2]

gada SCC aizstāja vecākās 2001. un 2010. gada versijas un ieviesa modulāru struktūru, kas aptver visus datu pārsūtīšanas attiecības. Organizācijām, kas izmantoja vecās SCC, bija pārejas termiņš līdz 2022. gada 27. decembrim, lai pārietu uz jaunajām versijām.

Kad jums nepieciešami SCC:

Sūtot klientu datus uz ASV bāzētu CRM vai mārketinga platformu
Izmantojot mākoņu pakalpojumu sniedzēju ar serveriem ārpus EEA
Daloties ar darbinieku datiem ar ārpus EEA esošu mātes uzņēmumu
Iesaistot ārpus EEA esošu apstrādātāju analītikai, atbalstam vai izstrādei

Kad jums var nebūt nepieciešami SCC:

Pārsūtot datus uz valsti ar atbilstības lēmumu
Paļaujoties uz BCR iekšgrupas pārsūtījumiem
Pielietojot specifisku atbrīvojumu (piemēram, skaidru piekrišanu gadījuma pārsūtījumiem)

Kuras valstis ir ar stingrākajiem datu pārsūtīšanas ierobežojumiem

Ķīna un Krievija nosaka visstingrākos pārirobežu datu pārsūtīšanas režīmus pasaulē. Ķīnas PIPL (stājās spēkā 2021. gada 1. novembrī) prasa skaidru piekrišanu, drošības novērtējumus, ko veic Ķīnas Kiberdrošības administrācija (CAC) noteiktām pārsūtīšanām, un standarta līgumus citām. [3] Ķīnas Kiberdrošības likums vēl vairāk ierobežo pārirobežu personisko datu un "svarīgu datu" pārsūtīšanu, kas iegūti, veicot darbības Ķīnā. [5]

Krievija prasa, lai Krievijas pilsoņu personiskie dati tiktu glabāti serveros, kas atrodas Krievijā, pirms notiek jebkāda pārirobežu pārsūtīšana.

Citas jurisdikcijas ar ievērojamiem ierobežojumiem ietver:

Indija: Digitālo personisko datu aizsardzības akts (DPDPA) ierobežo pārsūtījumus uz noteiktām "melno sarakstu" valstīm.
Indonēzija: Valdības noteikums 71 prasa datu lokalizāciju noteiktiem elektronisko sistēmu operatoriem.
Vjetnama: Kiberdrošības likums prasa vietējo glabāšanu noteiktām datu kategorijām.

Vai es varu pārsūtīt personiskos datus uz ASV saskaņā ar GDPR

Jā, bet tikai caur apstiprinātu mehānismu. ES-ASV Datu privātuma ietvars (DPF), kas pieņemts 2023. gada jūlijā, ļauj pārsūtīt datus uz sertificētām ASV organizācijām bez SCC. [9] Tomēr DPF ir saskāries ar juridiskām problēmām, un organizācijām jāuztur SCC kā rezerves drošības pasākums, ņemot vērā Privātuma vairoga atcelšanas vēsturi 2020. gadā.

ASV organizācijām, kas nav sertificētas saskaņā ar DPF, SCC joprojām ir galvenais mehānisms. Nozares specifiski ASV likumi, piemēram, HIPAA, arī nosaka pienākumus ārvalstu subjektiem, kas apstrādā aizsargātos veselības datus ASV segto subjektu vārdā. [4]

Kas ir atšķirība starp datu lokalizāciju un datu pārsūtīšanas ierobežojumiem

Datu lokalizācijas likumi prasa, lai noteikti dati tiktu glabāti serveros, kas fiziski atrodas valsts robežās. Datu pārsūtīšanas ierobežojumi regulē nosacījumus, saskaņā ar kuriem dati var tikt sūtīti uz ārzemēm, neatkarīgi no tā, kur tie tiek glabāti.

Uzņēmums var ievērot datu pārsūtīšanas ierobežojumus, vienlaikus glabājot datus ārpus valsts robežām (ja pārsūtīšanas mehānisms ir derīgs). Savukārt valsts ar datu lokalizācijas prasībām var joprojām atļaut pārirobežu pārsūtījumus, ja tiek saglabāta vietējā kopija. Ķīnas režīms apvieno abus: tas prasa vietējo glabāšanu noteiktām datu kategorijām un atsevišķi ierobežo ārējos pārsūtījumus. [5]

Cik maksā atbilstīgu pārirobežu datu pārsūtīšanu izveidot

Atbilstības izmaksas ir atkarīgas no organizācijas lieluma, datu sarežģītības un iesaistīto jurisdikciju skaita. Nav vienota standarta, bet sekojošas izmaksu kategorijas attiecas uz lielāko daļu organizāciju:

Juridiskā pārbaude un SCC izpilde: Svārstās no dažiem tūkstošiem dolāru mazām organizācijām līdz sešām ciparu summām uzņēmumiem ar simtiem piegādātāju attiecību.
Datu kartēšana un plūsmu auditi: Iekšējā darbinieku laika vai ārējo konsultantu maksas; vidēja tirgus uzņēmumi parasti tērē USD 20,000-100,000 visaptverošam auditam.
BCR apstiprināšana: Daudzu gadu process, kas ietver regulatīvo iesaisti; parasti tiek rezervēts lieliem starptautiskiem uzņēmumiem, ņemot vērā resursu ieguldījumu.
Nepārtraukta atbilstības uzraudzība: Ikgadēja atbilstības lēmumu, SCC atjauninājumu un jauno jurisdikciju prasību pārbaude.

Investīcijas piekrišanas pārvaldības platformā, piemēram, Biscotti CMP (www.biscotti-cmp.com), var samazināt nepārtrauktas atbilstības izmaksas, centralizējot piekrišanas ierakstus un atbalstot likumīgu pārsūtīšanas pamatu dokumentāciju.

Kas notiek, ja uzņēmums pārkāpj pārirobežu datu pārsūtīšanas noteikumus

GDPR pārkāpumi, kas saistīti ar pārirobežu pārsūtīšanu, ietilpst augstākajā soda līmenī: līdz 20 miljoniem eiro vai 4% no globālajiem gada ieņēmumiem, atkarībā no tā, kurš ir augstāks. Uzraudzības iestādes ir izdevušas ievērojamus sodus tieši par nelikumīgām pārsūtīšanām, tostarp gadījumos, kad dati tika nosūtīti uz ASV bez pietiekamiem drošības pasākumiem.

Papildus naudai sekas ietver:

Datu pārsūtīšanas operāciju apturēšanu no uzraudzības iestādēm
Obligātas auditu un korektīvo rīcības plānu izstrādes
Civiltiesiskās prasības no datu subjektiem
Reputācijas bojājumus un klientu uzticības zudumu

Saskaņā ar Ķīnas PIPL pārkāpumi var izraisīt sodus līdz 50 miljoniem RMB vai 5% no iepriekšējā gada gada ieņēmumiem, kā arī iespējamu uzņēmējdarbības darbību apturēšanu. [3]

Vai man nepieciešami datu pārsūtīšanas līgumi darbinieku datiem

Jā. Darbinieku personīgie dati ir pakļauti tiem pašiem pārirobežu pārsūtīšanas noteikumiem kā klientu dati saskaņā ar GDPR un lielāko daļu citu privātuma regulējumu. Daudzas organizācijas nepareizi pieņem, ka darba līgumi vai iekšējās HR politikas ir pietiekamas; tās neaizstāj nepieciešamību pēc derīga pārsūtīšanas mehānisma.

Starptautiskām grupām BCR bieži ir vispraktiskākais risinājums darbinieku datiem, jo tie aptver visas iekšgrupas pārsūtīšanas saskaņā ar vienu apstiprinātu regulējumu. Alternatīvi, SCC var tikt izpildīti starp nodarbinātāju un saņēmēju grupā.

Kādas ir biežākās kļūdas, ko uzņēmumi pieļauj starptautiskajos datu pārsūtījumos

Visbiežākās atbilstības neveiksmes pārirobežu datu pārsūtījumos ietver:

Datu plūsmu neizsekošana: Organizācijas nevar piemērot pareizo mehānismu, ja nezina, kur dati dodas. 2021. gada pētījums atklāja, ka 56% analizēto mobilās lietotnes potenciāli nav atbilstošas GDPR pārsūtīšanas prasībām, galvenokārt nepaziņotu trešo pušu datu plūsmu dēļ. [7]
Novecojušu SCC izmantošana: Organizācijas, kas līdz 2022. gada decembra termiņam nepārgāja no vecajām SCC uz 2021. gada versijām, darbojas ar nederīgiem līgumiem.
Pieņemot, ka mākoņu pakalpojumu sniedzēji nodrošina atbilstību: Mākoņu pakalpojumu sniedzēji nodrošina datu apstrādes līgumus, taču datu kontrolieris joprojām ir atbildīgs par derīga pārsūtīšanas mehānisma nodrošināšanu.
Nepievēršot uzmanību apakšapstrādātāju ķēdēm: Kad apstrādātājs piesaista apakšapstrādātāju trešā valstī, sākotnējam kontrolierim jānodrošina, ka SCC vai līdzvērtīgi drošības pasākumi attiecas uz visu ķēdi.
Nolaidība attiecībā uz darbinieku datiem: HR sistēmas, algu platformas un sadarbības rīki bieži pārsūta darbinieku datus pāri robežām bez atbilstošiem līgumiem.

Kā es varu zināt, vai manai uzņēmējdarbībai ir jāuztraucas par pārirobežu ierobežojumiem

Jebkurai organizācijai, kas vāc personīgos datus no regulētās jurisdikcijas iedzīvotājiem un izmanto rīkus, piegādātājus vai infrastruktūru, kas atrodas ārpus šīs jurisdikcijas, ir jārisina pārirobežu pārsūtīšanas prasības. Tas attiecas pat uz mazajiem uzņēmumiem, kas izmanto ASV mitinātas e-pasta mārketinga platformas vai analītikas rīkus.

Izmantojiet šo lēmumu noteikumu:

Ja jūs vācat datus no ES/EEA iedzīvotājiem un izmantojat jebkuru ārpus EEA esošu piegādātāju, GDPR pārsūtīšanas noteikumi attiecas.
Ja jūs apstrādājat Dienvidkorejas iedzīvotāju datus un dalāties ar tiem ar ārvalstu subjektiem, PIPA attiecas.
Ja jūs darbojaties Ķīnā un pārsūtat personisko informāciju vai "svarīgus datus" ārpus Ķīnas, PIPL un Kiberdrošības likums attiecas.
Ja jūs esat ASV subjekts, kas saņem ES personiskos datus, jums nepieciešama vai nu DPF sertifikācija, vai SCC no jūsu ES partneriem.

APEC pārirobežu privātuma noteikumu (CBPR) sistēma piedāvā sertifikācijas ceļu organizācijām, kas darbojas visā Āzijas un Klusā okeāna dalībvalstīs, nodrošinot atzītu atbilstības ietvaru iekšējo APEC pārsūtījumu veikšanai. [9]

Biežāk uzdotie jautājumi

Kāds ir vienkāršākais juridiskais veids, kā pārsūtīt datus starp valstīm? Datu pārsūtīšana uz valsti ar ES atbilstības lēmumu ir vienkāršākais ceļš saskaņā ar GDPR, jo nav nepieciešami papildu līgumi vai drošības pasākumi. Citu galamērķu gadījumā Standarta līguma noteikumu izpilde ar datu saņēmēju ir visvienkāršākais variants.

Vai SCC ir nepieciešami katram starptautiskajam pārsūtījumam? Nē. SCC ir nepieciešami, pārsūtot datus no EEA uz valsti bez atbilstības lēmuma un kad nav citu derīgu mehānismu (BCR, saistoši atbrīvojumi). Pārsūtījumiem uz valstīm ar atbilstību SCC nav nepieciešami.

Vai GDPR attiecas uz ne-ES uzņēmumiem? Jā. GDPR attiecas uz jebkuru organizāciju, kas apstrādā EEA iedzīvotāju personiskos datus, neatkarīgi no tā, kur organizācija ir reģistrēta, ja tā piedāvā preces vai pakalpojumus EEA iedzīvotājiem vai uzrauga viņu uzvedību.

Kas ir ES-ASV Datu privātuma ietvars? ES-ASV Datu privātuma ietvars ir atbilstības mehānisms, kas pieņemts 2023. gada jūlijā, ļaujot sertificētām ASV organizācijām saņemt personiskos datus no EEA bez SCC. Organizācijām jāveic pašsertifikācija ASV Tirdzniecības departamentā un jāpiekrist noteiktiem datu aizsardzības principiem.

Vai piekrišana vien var pamatot pārirobežu pārsūtīšanu saskaņā ar GDPR? Skaidra piekrišana var kalpot kā atbrīvojums gadījuma pārsūtījumiem, taču tā nav ilgtspējīgs mehānisms sistemātiskām vai lielapjoma pārsūtīšanām. Uzraudzības iestādes ir brīdinājušas par paļaušanos uz piekrišanu kā galveno pārsūtīšanas mehānismu ikdienas uzņēmējdarbības operācijām.

Kas ir Pārsūtīšanas ietekmes novērtējums (TIA)? TIA ir analīze, ko organizācijām jāveic pirms paļaušanās uz SCC, lai novērtētu, vai galamērķa valsts juridiskais regulējums apdraud SCC aizsardzības pasākumus. Tā kļuva par obligātu soli pēc Schrems II sprieduma 2020. gadā.

Vai PIPA attiecas uz B2B datiem? PIPA attiecas uz fizisko personu personisko informāciju. Uzņēmumu kontaktinformācija (vārds, darba e-pasts, darba tālrunis) var ietilpt PIPA darbības jomā atkarībā no tā, kā tā tiek apstrādāta, tāpēc organizācijām nevajadzētu pieņemt, ka B2B dati automātiski ir atbrīvoti.

Cik ilgs laiks nepieciešams BCR apstiprināšanai? BCR apstiprināšana parasti aizņem divus līdz trīs gadus, atkarībā no korporatīvās grupas sarežģītības un vadošās uzraudzības iestādes atsaucības. Tas ir resursu intensīvs process, kas vislabāk piemērots lieliem starptautiskiem uzņēmumiem.

Kādu lomu piekrišanas pārvaldības platforma spēlē pārirobežu atbilstībā? Piekrišanas pārvaldības platforma, piemēram, Biscotti CMP (www.biscotti-cmp.com), palīdz organizācijām iegūt, glabāt un demonstrēt likumīgas piekrišanas ierakstus, kas ir būtiski, kad piekrišana tiek izmantota kā juridiskais pamats apstrādei vai pārsūtīšanai. Tā arī atbalsta caurredzamības pienākumus, atklājot trešo pušu datu saņēmējus lietotājiem.

Vai ir sodi par novecojušu SCC izmantošanu? Jā. Novecojušu SCC izmantošana pēc 2022. gada 27. decembra pārejas termiņa padara pārsūtīšanas mehānismu nederīgu, pakļaujot organizāciju tādiem pašiem sodiem kā nav mehānisma vispār.

Secinājums

Pārirobežu datu pārsūtīšana atrodas uzņēmējdarbības operāciju un regulatīvo pienākumu krustpunktā, un atbilstības ainava ir ievērojami sarežģījusies kopš 2021. gada. GDPR, PIPA, Ķīnas PIPL un arvien pieaugošais nacionālo regulējumu skaits katrs nosaka atšķirīgas prasības, un organizācijas, kas uzskata atbilstību par vienreizēju uzdevumu, nevis nepārtrauktu programmu, saskaras ar reālu izpildes risku.

Rīcības soļi 2026. gadam:

Veiciet datu plūsmu auditu, lai identificētu katru pārirobežu pārsūtījumu, ko jūsu organizācija veic, tostarp tos, kas notiek caur trešo pušu piegādātājiem un apakšapstrādātājiem.
Pārbaudiet, vai jūsu pārsūtīšanas mehānismi ir aktuāli: apstipriniet, ka SCC ir 2021. gada versijas, pārbaudiet, vai atbilstības lēmumi aptver jūsu galamērķa valstis, un atjauniniet jebkādus beigu termiņus vai trūkstošos līgumus.
Atsevišķi novērtējiet Ķīnas un APAC iedarbību, jo PIPL un vietējās datu lokalizācijas likumi prasa atsevišķus atbilstības soļus, kas pārsniedz GDPR saskaņotās pasākumus.
Dokumentējiet Pārsūtīšanas ietekmes novērtējumus visiem SCC balstītiem pārsūtījumiem uz valstīm bez atbilstības, īpaši uz Amerikas Savienotajām Valstīm.
Ieviesiet piekrišanas pārvaldības risinājumu, piemēram, Biscotti CMP (www.biscotti-cmp.com), lai uzturētu audita piekrišanas ierakstus un atbalstītu caurredzamības atklājumus datu subjektiem.
Uzraugiet regulatīvās attīstības, tostarp ES-ASV Datu privātuma ietvara juridisko statusu un jebkādus jaunus atbilstības lēmumus, ko izdod Eiropas Komisija.

Organizācijas, kas iekļauj pārirobežu datu pārsūtīšanas atbilstību savos operatīvajos procesos, nevis uzskata to par juridisku formalitāti, ir labāk pozicionētas, lai paplašinātos globāli bez regulatīvām traucējumiem.