Uudet EU/ETA-alueen ulkopuolelle kohdistuvissa tiedonsiirroissa sovellettavat vakiosopimuslausekkeet tulevat käyttöön 27. syyskuuta

• Finland

• Other

07-10-2021

Komissio on julkaissut uudet vakiosopimuslausekkeet käytettäväksi EU-/ETA-alueen ulkopuolelle kohdistuvissa tiedonsiirroissa:
Uudet vakiolausekkeet ovat modulaarisia, ja niitä voidaan käyttää käytännössä minkälaisissa sopimuksissa tahansa, myös alihankkijatasolla sekä konserniyhtiöissä, jotka käyttävät samaa palveluntarjoajaa siirtäessään henkilötietoja EU-/ETA-alueen ulkopuolelle.

Vakiolausekkeet jakautuvat 4 moduuliin, jotka kattavat erilaiset tiedonsiirtotilanteet:
•    rekisterinpitäjältä rekisterinpitäjälle
•    rekisterinpitäjältä henkilötietojen käsittelijälle
•    henkilötietojen käsittelijältä henkilötietojen käsittelijälle
•    henkilötietojen käsittelijältä rekisterinpitäjälle

Myös kolmannet osapuolet voivat liittyä vakiolausekkeiden osapuoleksi myöhemmässä vaiheessa milloin tahansa sopimuksen ollessa voimassa. 27.9.2021 alkaen vakiolausekkeisin sitoutuvien yritysten on käytettävä uusia vakiolausekkeita. Lisäksi ennen 27.9.2021 tehdyt sopimukset, jotka sisältävät vanhoja vakiolausekkeita EU:n ulkopuolelle suuntautuvien siirtojen suojaamiseksi, tulee päivittää ennen 27.9.2022.

Täydentävät suojatoimet
Vakiolausekkeiden lisäksi tietoja EU-/ETA-alueen ulkopuolelle siirtävien yritysten tulee toteuttaa asianmukaiset täydentävät suojatoimet nostaakseen henkilötietojen suojan tasolle, joka olennaisilta osin vastaa GDPR:n takaamaa tasoa. Täydentäviä suojatoimia tarvitaan, kun henkilötietojen siirtäjä katsoo vastaanottavan kolmannen maan lain tai käytännön olevan yksinään riittämätön tuottamaan vaaditun tietosuojan tason (esim. Yhdysvallat).
Euroopan tietosuojaneuvosto on suosittanut yrityksiä soveltamaan seuraavaa kuusiportaista käytännön toimintamallia sen selvittämiseksi, noudattaako siirto Schrems II:ta:
1. Kartoitetaan kolmansiin maihin suuntautuvat tiedonsiirrot, myös edelleen siirrot ja alikäsittelijät.
2. Varmistetaan, että tiedonsiirron vaatimustenmukaisuuden takaava siirtoväline on yleisen tietosuoja-asetuksen V luvun mukainen.
3. Tehdään tapauskohtainen arviointi siitä, voivatko jotkin kohdemaan laeista, ehdoista tai käytännöistä käytännössä vaikuttaa pysymiseen GDPR:n mukaisten suojatoimien tasossa, joka vakiolausekkeilla pyritään saavuttamaan.
4. Määritetään ja otetaan käyttöön tarvittavat täydentävät suojatoimet, joilla saavutetaan tiedonsiirron EU-standardeja vastaava tietosuojan taso.  
5. Täydentävät suojatoimet toteutetaan käytännön toimenpiteillä.
6. Siirrettyjen tietojen tietosuojan tasoa ja siihen mahdollisesti vaikuttavia muutoksia tarkastellaan säännöllisesti.

Siirtääkö yrityksesi henkilötietoja EU-/ETA-alueen ulkopuolelle vanhojen vakiosopimuslausekkeiden nojalla? Ota yhteyttä tietosuojatiimiimme, jos tarvitset apua tietosuoja-asioissa.