X'regoli japplikaw jekk l-organizzazzjoni tiegħi tittrasferixxi d-data barra mill-UE?

Tweġiba

Fid-dinja globalizzata tal-lum, hemm ammonti kbar ta' trasferimenti transkonfinali ta' data personali, li kultant ikunu maħżuna fuq servers f'pajjiżi differenti. Il-protezzjoni li r-Regolament Ġenerali dwar il-Protezzjoni tad-Data (GDPR) joffri, tivvjaġġa mad-data, li jfisser li r-regoli li jipproteġu d-data personali jkomplu japplikaw irrispettivament minn fejn tasal id-data. Dan japplika wkoll meta d-data tiġi ttrasferita f'pajjiż li mhux membru tal-UE (imsejjaħ 'pajjiż terz').

Il-GDPR jipprovdi għodod differenti għat-tfassil ta' trasferimenti ta' data mill-UE għal pajjiż terz:

• kultant, pajjiż jista' jiġi ddikjarat li qed joffri livell adegwat ta' protezzjoni permezz ta' deċiżjoni tal-Kummissjoni Ewropea (“Deċiżjoni ta' Adegwatezza”), li jfisser li d-data tista' tiġi trasferita lil kumpanija oħra f'dak il-pajjiż terz mingħajr ma l-esportatur tad-data jkun meħtieġ jipprovdi aktar salvagwardji jew ikun soġġett għal kundizzjonijiet addizzjonali. Fi kliem ieħor, it-trasferimenti lejn pajjiż terz “adegwat” huwa paragunabbli ma' trasferiment ta' -data fl-UE.

• fin-nuqqas ta' Deċiżjoni ta' Adegwatezza, it-trasferiment jista' jsir permezz tal-provvista ta' salvagwardji xierqa u bil-kundizzjoni li d-drittijiet infurzabbli u r-rimedji legali effettivi jkunu disponibbli għall-individwi. Dawn is-salvagwardji xierqa jinkludu:

• fil-każ ta' grupp ta' impriżi, jew gruppi ta' kumpaniji involuti f'attività ekonomika konġunta, il-kumpaniji jistgħu jittrasferixxu d-data personali abbażi ta' dawk li huma hekk imsejħa regoli korporattivi vinkolanti;
• arranġamenti kuntrattwali mar-riċevitur tad-data personali, bl-użu, pereżempju, tal-klawżoli kuntrattwali standard approvati mill-Kummissjoni Ewropea;
• il-konformità ma' kodiċi ta' kondotta jew mekkaniżmu ta' ċertifikazzjoni flimkien mal-kisba ta' impenji vinkolanti u infurzabbli mingħand ir-riċevitur li japplika s-salvagwardji xierqa biex jipproteġi d-data trasferita.

• finalment, jekk ikun previst li jsir trasferiment ta' data personali lejn pajjiż terz li mhuwiex soġġett ta' Deċiżjoni ta' Adegwatezza u jekk is-salvagwardji xierqa huma nieqsa, it-trasferiment jista' jsir abbażi ta' għadd ta' derogi għal sitwazzjonijiet speċifiċi pereżempju, fejn l-individwu jkun ta l-kunsens b'mod espliċitu għat-trasferiment propost wara li jkun ġie pprovdut bl-informazzjoni meħtieġa kollha dwar ir-riskji assoċjati mat-trasferiment.

Eżempju

Inti kumpanija Franċiża li għandek l-intenzjoni li tespandi s-servizzi tiegħek fl-Amerika t'Isfel, notevolment fl-Arġentina, fl-Urugwaj u fil-Brażil. L-ewwel pass ikun li tivverifika jekk dawk il-pajjiżi terzi humiex soġġetti għal Deċiżjoni ta' Adegwatezza. F'dan il-każ, kemm l-Arġentina kif ukoll l-Urugwaj ġew iddikjarati adegwati. Inti tkun tista' tittrasferixxi d-data personali lejn dawk iż-żewġ pajjiżi terzi  mingħajr l-ebda salvagwardji addizzjonali filwaqt li għat-trasferimenti lejn il-Brażil li mhux suġġett ta' Deċiżjoni ta' Adegwatezza, inti jkollok tfassal it-trasferimenti tiegħek billi tipprovdi salvagwardji xierqa.

Referenzi

• Kapitolu V (Artikoli 44-50); Premessi 101-116
• Artikolu 29 L-aħħar Dokumenti ta' Ħidma tal-Grupp ta' Ħidma dwar it-Trasferimenti internazzjonali
  • Dokument ta' Ħidma dwar ir-Referenza għall-Adegwatezza (aġġornament tal-Kapitolu Wieħed ta' WP 12), WP 254
  • Dokument ta' Ħidma li jistabbilixxi tabella bl-elementi u l-prinċipji li jinsabu fir-Regoli Korporattivi Vinkolanti, WP 256
  • Dokument ta' Ħidma li jistabbilixxi tabella bl-elementi u l-prinċipji li jinsabu fir-Regoli Korporattivi Vinkolanti tal-Proċessur, WP 257
• Ara wkoll bħala referenza l-Komunikazzjoni mill-Kummissjoni Ewropea dwar L-Iskambju u l-Protezzjoni tad-Data Personali f'Dinja Globalizzata1, 10 ta' Jannar 2017

1 KUM(2017)7 finali

Example

You're a French company intending to expand its services to South America, notably Argentina, Uruguay and Brazil. The first step would be to check whether those third countries are subject to an Adequacy Decision. In this case, both Argentina and Uruguay have been declared adequate. You’d be able to transfer personal data to those two third countries without any additional safeguards while for transfers to Brazil which is not the subject of Adequacy Decision, you’ll have to frame your transfers by providing appropriate safeguards.