Transfer danych osobowych do Chin a RODO – jak przygotować organizację?
Współpraca z chińskim kontrahentem może oznaczać transfer danych poza Europejski Obszar Gospodarczy (EOG). Choć RODO nie zakazuje takiego procesu, to wymaga on zachowania szczególnej ostrożności oraz dbałości o ochronę informacji. Wyjaśniamy, w jakich sytuacjach dochodzi do transferu danych poza EOG i jak w 5 krokach przygotować na to firmę.
Kiedy dochodzi do transferu danych do Chin?
Polskie firmy coraz częściej współpracują z kontrahentami z Chin. Również chińskie przedsiębiorstwa otwierają oddziały i spółki w Polsce. Przy takiej współpracy łatwo o sytuację, w której dane osobowe stają się dostępne dla podmiotu w Chinach.
Do transferu może dojść na przykład, gdy:
- dane są wysyłane do chińskiej spółki e-mailem;
- chiński kontrahent otrzymuje dostęp do systemu zawierającego dane osobowe;
- dane są przechowywane na serwerach znajdujących się w Chinach;
- pracownicy lub podwykonawcy z Chin uzyskują zdalny dostęp do danych przechowywanych w EOG.
Nie ma przy tym decydującego znaczenia, czy plik zostanie fizycznie skopiowany na serwer w Chinach. Zdalny dostęp z Chin również może być transferem danych do państwa trzeciego.
Dlaczego transfer danych do Chin wymaga dodatkowej analizy?
Chiny znajdują się poza EOG, a Komisja Europejska nie wydała wobec tego kraju decyzji stwierdzającej odpowiedni stopień ochrony danych. Dlatego firma przekazująca dane nie może potraktować takiego transferu tak samo, jak przekazania danych do podmiotu w Polsce lub innym państwie EOG.
Chiny mają rozbudowane przepisy o ochronie danych osobowych, w tym Personal Information Protection Law (PIPL). Jednocześnie chińskie regulacje dotyczące bezpieczeństwa państwa, cyberbezpieczeństwa i działalności służb umożliwiają władzom dostęp do danych.
Z perspektywy RODO istotne jest więc nie tylko to, jakie obowiązki w zakresie bezpieczeństwa danych kontrahent musi realizować zgodnie z chińskim prawem, lecz także to, czy po transferze dane pozostaną objęte ochroną równoważną ochronie w Unii Europejskiej.
RODO nie zakazuje transferu danych do Chin
Transfer danych osobowych do Chin jest możliwy, ale trzeba go odpowiednio zorganizować i udokumentować. Brak właściwej podstawy przekazania informacji poza EOG oraz oceny ryzyka może prowadzić do interwencji organu nadzorczego i kary pieniężnej.
Przykładem może posłużyć tu decyzja irlandzkiego organu nadzorczego z 2025 r. dotycząca platformy TikTok. Organ nałożył łącznie 530 mln euro kar za naruszenia związane z transferami danych użytkowników z EOG do Chin oraz obowiązkami przejrzystości. Sprawa dotyczyła między innymi zdalnego dostępu do danych przez personel znajdujący się w Chinach[1].
Jak przygotować transfer danych osobowych do Chin?
Aby ograniczyć ryzyko interwencji organów czy kar, należy odpowiednio zadbać o bezpieczeństwo danych przekazywanych poza EOG. W tym procesie kluczowe jest 5 kroków:
1. Ustalenie ról stron transferu danych
Najpierw trzeba ustalić, kto decyduje o celach i sposobach wykorzystania danych. Relacja może zachodzić między:
- dwoma niezależnymi administratorami;
- administratorem a podmiotem przetwarzającym dane;
- podmiotem przetwarzającym a dalszym podmiotem przetwarzającym.
Od tej kwalifikacji zależy treść umowy, zakres odpowiedzialności stron i wybór właściwego modułu standardowych klauzul umownych.
2. Wybór podstawy transferu
W typowej relacji biznesowej podstawą transferu danych do Chin są standardowe klauzule umowne Komisji Europejskiej, czyli SCC. Trzeba wybrać moduł odpowiadający rolom stron i uzupełnić załączniki, w szczególności opis transferu oraz stosowanych zabezpieczeń.
Samo podpisanie SCC nie zamyka jednak analizy. Strony powinny sprawdzić, czy chiński odbiorca może w praktyce wykonywać obowiązki wynikające z klauzul – na przykład przekazując odbiorcy do wypełnienia szczegółowy kwestionariusz TIA, o którym więcej poniżej.
3. Ocena skutków transferu danych poza EOG
Firma powinna też przeprowadzić ocenę skutków transferu (Transfer Impact Assessment - TIA). W takiej ocenie należy uwzględnić konkretny model współpracy, a nie tylko ogólny opis chińskiego prawa.
W praktyce warto sprawdzić:
- Jakie dane będą przekazywane i jakich osób dotyczą?
- Czy informacje obejmują dane szczególnych kategorii lub inne dane o podwyższonym ryzyku (np. finansowe)?
- W jakim celu i jak często dane będą przekazywane?
- Kto w Chinach uzyska dostęp do danych?
- Czy chińskie przepisy mogą zobowiązać odbiorcę do ujawnienia danych władzom?
- Czy osoby, których dane dotyczą, mają dostęp do skutecznych środków ochrony prawnej?
- Jakie zabezpieczenia techniczne i organizacyjne stosuje odbiorca w Chinach?
4. Dobór dodatkowego zabezpieczenia
Jeżeli analiza TIA wykaże ryzyko, trzeba rozważyć dodatkowe zabezpieczenia. Mogą to być m.in.:
- szyfrowanie danych podczas przesyłania i przechowywania;
- pozostawienie kluczy szyfrujących wyłącznie pod kontrolą podmiotu w EOG;
- pseudonimizacja danych przed transferem;
- ograniczenie zakresu danych do niezbędnego minimum;
- ograniczenie dostępu zgodnie z zasadą need-to-know;
- rejestrowanie i regularna kontrola dostępu;
- obowiązek informowania o żądaniach władz publicznych, o ile prawo na to pozwala.
Nie wszystkie zabezpieczenia będą skuteczne w każdym przypadku. Na przykład szyfrowanie nie rozwiąże problemu, jeżeli chiński odbiorca musi otrzymać klucz i korzystać z danych w postaci jawnej. Dlatego rodzaj zabezpieczeń należy każdorazowo przemyśleć i dopasować do sposobu współpracy, zakresu przekazywanych danych oraz możliwości dostępu do nich.
5. Uporządkowanie dokumentacji i poinformowanie osób, których dane dotyczą
Na końcu trzeba sprawdzić dokumentację RODO. Transfer powinien zostać udokumentowany między innymi w rejestrze czynności przetwarzania, umowach z kontrahentem i klauzulach informacyjnych. Natomiast osoby, których dane dotyczą, powinny otrzymać informacje wymagane przez RODO, w tym o transferze ich danych do Chin.
Jeśli planują Państwo współpracę z chińskim podmiotem lub chcą sprawdzić obecny model transferu danych, zachęcamy do kontaktu. Wspieramy firmy w przygotowaniu SCC, oceny TIA oraz dodatkowych zabezpieczeń dla transferów danych do Chin i innych państw spoza EOG.
[1] https://www.dataprotection.ie/en/news-media/latest-news/irish-data-protection-commission-fines-tiktok-eu530-million-and-orders-corrective-measures-following
