66. posiedzenie plenarne Europejskiej Rady Ochrony Danych, 14‒15.06.2022 r.

Bruksela, 16 czerwca ‒ EROD przyjmuje wytyczne w sprawie certyfikacji jako narzędzia do przekazywania danych i wiążącą decyzję na podstawie art. 65 w sprawie sporu dotyczącego sprawy Accor.

Art. 46 ust. 2 lit. f) RODO wprowadza zatwierdzone mechanizmy certyfikacji jako nowe narzędzie przekazywania danych osobowych do państw trzecich w przypadku braku stwierdzenia odpowiedniego stopnia ochrony.

Głównym celem niniejszych wytycznych jest zapewnienie bardziej szczegółowego objaśnienia praktycznego wykorzystania tego narzędzia przekazywania danych.

Wiceprzewodniczący EROD Ventsislav Karadjov powiedział:

„Wytyczne te są przełomowe, ponieważ stanowią pierwsze praktyczne wskazówki dotyczące certyfikacji jako narzędzia do przekazywania danych ‒ nowego narzędzia do przekazywania danych wprowadzonego przez RODO. Wytyczne zawierają wskazówki, jak można stosować to narzędzie w praktyce i jak może ono pomóc w utrzymaniu wysokiego stopnia ochrony danych przy przekazywaniu danych osobowych z Europejskiego Obszaru Gospodarczego do państw trzecich”.

Wytyczne składają się z czterech części, z których każda koncentruje się na konkretnych aspektach dotyczących certyfikacji jako narzędzia służącego do przekazywania danych, takich jak cel, zakres i różnorodność zaangażowanych podmiotów; wytyczne wykonawcze dotyczące wymogów akredytacyjnych dla podmiotów certyfikujących; szczegółowe kryteria certyfikacji w celu wykazania istnienia odpowiednich zabezpieczeń przy przekazywaniu danych; oraz wiążące i egzekwowalne zobowiązania, które należy wdrożyć. Przedmiotowe wytyczne stanowią uzupełnienie wytycznych 1/2018 w sprawie certyfikacji, które zawierają bardziej ogólne zalecenia dotyczące certyfikacji. Wytyczne będą przedmiotem konsultacji publicznych do końca września.

EROD przyjęła wiążącą decyzję w sprawie rozstrzygnięcia sporu na podstawie art. 65 RODO. Wiążąca decyzja ma na celu rozwiązanie problemu braku porozumienia, co do pewnych aspektów projektu decyzji przedłożonej przez francuski organ nadzorczy, będący wiodącym organem nadzorczym w sprawie Accor SA, spółki specjalizującej się w sektorze hotelarskim, której główna jednostka organizacyjna znajduje się we Francji, oraz późniejszych sprzeciwów zgłoszonych przez jeden z organów nadzorczych, którego sprawa dotyczy.

Wiodący organ nadzorczy przedłożył projekt decyzji, po przeprowadzeniu postępowania skargowego w sprawie Accor SA, dotyczącego nieuwzględnienia prawa do sprzeciwu wobec otrzymywania wiadomości marketingowych drogą pocztową i/lub trudności napotkanych podczas wykonywania prawa dostępu. 30 kwietnia 2021 r. wiodący organ nadzorczy udostępnił swój projekt decyzji innym organom nadzorczym, których sprawa dotyczy zgodnie z art. 60 ust. 3 RODO. Jeden z organów nadzorczych, którego sprawa dotyczy, zgłosił sprzeciwy, zgodnie z art. 60 ust. 4 RODO, dotyczące m.in. wysokości administracyjnej kary pieniężnej.

Organy nadzorcze nie były w stanie osiągnąć porozumienia w sprawie jednego ze sprzeciwów, który następnie przekazany został przez wiodący organ nadzorczy do EROD w celu jego rozpatrzenia zgodnie z art. 65 ust. 1 lit. a) RODO, co zainicjowało procedurę rozstrzygania sporów.

EROD przyjęła wiążącą decyzję. Decyzja ta odnosi się do meritum tej części sprzeciwu, którą uznano za mającą znaczenie dla sprawy i uzasadnioną, zgodnie z wymogami art. 4 pkt 24 RODO.

Decyzja zostanie przetłumaczona w trybie pilnym, zgodnie z art. 11 ust. 6 regulaminu wewnętrznego EROD. Następnie formalnie notyfikowane zostaną organy nadzorcze, których sprawa dotyczy. Wiodący organ nadzorczy przyjmie swoją ostateczną decyzję skierowaną do administratora, na podstawie decyzji EROD, bez zbędnej zwłoki i najpóźniej miesiąc po notyfikowaniu decyzji przez EROD. EROD opublikuje swoją decyzję na swojej stronie internetowej bez zbędnej zwłoki, po tym jak wiodący organ nadzorczy powiadomi administratora o swojej decyzji krajowej.