EROD z kolejnymi wytycznymi dotyczącymi mechanizmu certyfikacji

Art. 46 ust. 2 lit. f RODO przewiduje, że transfer danych osobowych do państw trzecich jest legalny na podstawie zatwierdzonych mechanizmów certyfikacji w połączeniu z wiążącymi i egzekwowalnymi zobowiązaniami administratora lub podmiotu przetwarzającego w państwie trzecim do stosowania odpowiednich zabezpieczeń, w tym w odniesieniu do praw podmiotów danych. Takie narzędzie może być stosowane w razie braku stwierdzenia odpowiedniego stopnia ochrony w danym państwie.

Właśnie tego mechanizmu dotyczą najnowsze wytyczne, które po przyjęciu zostaną poddane konsultacji do września br. W wytycznych szczegółowo wyjaśniono, jak korzystać z mechanizmów certyfikacji. Wskazano w nich:

• wytyczne wykonawcze dotyczące wymogów akredytacyjnych dla podmiotów certyfikujących;
• szczegółowe kryteria certyfikacji w celu wykazania istnienia odpowiednich zabezpieczeń przy przekazywaniu danych;
• oraz wiążące i egzekwowalne zobowiązania, które należy wdrożyć.

Na tym samym posiedzeniu plenarnym EROD przyjęła wiążącą decyzję w sprawie rozstrzygnięcia sporu na mocy art. 65 RODO. Spór dotyczy projektu decyzji francuskiego organu nadzorczego (CNIL), względem którego sprzeciwy złożyły inne organy nadzorcze. Projekt decyzji przedstawiono zaś w związku ze sprawą spółki Accor SA działającej w branży hotelarskiej (jej jednostka organizacyjna została zlokalizowana we Francji).

Sama decyzja dotyczyła zaś nieuwzględnienia sprzeciwu w związku z otrzymywaniem wiadomości marketingowych drogą pocztową a także utrudnień w realizacji prawa dostępu do danych. Spółka została ukarana administracyjną karą pieniężną, co do której wysokości sprzeciw złożył jeden z organów nadzorczych. W konsekwencji sprawa trafiła do EROD, która wydała wiążącą decyzję.