Transfery danych poza EOG: RODO 2026

W jednym zdaniu. Transfer danych osobowych poza EOG wymaga jednego z mechanizmów art. 44-49 RODO, a po wyroku Schrems II (C-311/18) każdy transfer wymaga dodatkowo oceny TIA (Transfer Impact Assessment) weryfikującej skuteczność zabezpieczeń w państwie odbiorcy.

Najważniejsze punkty

• Mechanizmy: decyzja adekwatności, SCC, BCR, kodeksy postępowania, certyfikacje, wyjątki.
• DPF (Data Privacy Framework UE-USA) obowiązuje od 10 lipca 2023 r.
• SCC 2021/914 — najczęściej stosowane.
• TIA (Transfer Impact Assessment) — obowiązkowa dla SCC.
• BCR — dla grup kapitałowych, zatwierdzane przez organ wiodący.
• Wyjątki z art. 49 — sporadyczne i niepowtarzalne, nie legalizują stałego hostingu.
• Sankcje: do 20 mln EUR lub 4% obrotu globalnego (Meta Ireland — 1,2 mld EUR, DPC, 22 maja 2023 r.).

1. Pojęcie transferu i EOG

EOG = 27 państw UE + Islandia + Liechtenstein + Norwegia. Transfer = przekazanie danych poza EOG (przesłanie, udostępnienie, umożliwienie dostępu). Hostowanie na serwerach amerykańskich, korzystanie z SaaS USA, wsparcie techniczne z Indii — wszystko jest transferem. Problem dotyka zwłaszcza startupów i firm SaaS opartych na amerykańskiej infrastrukturze chmurowej. Wewnątrz EOG (np. Warszawa-Berlin) nie jest transferem międzynarodowym.

Kryterium rozstrzygającym nie jest jednak lokalizacja dysku, lecz to, kto może dane odczytać. Transferem jest również sam zdalny dostęp: administrator systemu logujący się z Indii do bazy stojącej w polskiej serwerowni, zespół wsparcia z USA przeglądający zgłoszenia w narzędziu helpdesk, konsultant z Ukrainy z uprawnieniami do środowiska produkcyjnego. Dane nie ruszają się z miejsca, a mechanizm z rozdziału V jest wymagany.

Odwrotnie — nie jest transferem sytuacja, w której osoba sama przesyła swoje dane podmiotowi spoza EOG (rezerwacja bezpośrednio u zagranicznego przewoźnika), ani przetwarzanie przez podmiot spoza EOG podlegający RODO bezpośrednio na podstawie art. 3 ust. 2, choć w tym drugim wypadku trzeba i tak zweryfikować, czy dane nie wędrują dalej. Rozstrzygnięcie należy zapisać: art. 30 ust. 1 lit. e wymaga wskazania w rejestrze czynności przetwarzania państwa trzeciego i zastosowanych zabezpieczeń. Osobną kwestią pozostaje podstawa przetwarzania — instrument z rozdziału V nie zastępuje przesłanki z art. 6 RODO, potrzebne są oba.

2. Hierarchia mechanizmów (art. 44-49)

1. Decyzja adekwatności (art. 45) — KE potwierdza, że państwo trzecie zapewnia poziom ochrony równoważny z UE.
2. SCC (art. 46) — standardowe klauzule umowne.
3. BCR (art. 47) — wiążące reguły korporacyjne dla grup.
4. Kodeksy postępowania / certyfikacje (art. 46 ust. 2 lit. e-f).
5. Wyjątki (art. 49) — sporadyczne, ograniczone.

3. Państwa z decyzją adekwatności

Państwo	Data	Status
Andora	2010	aktywna
Argentyna	2003	aktywna
Faroe	2010	aktywna
Guernsey	2003	aktywna
Isle of Man	2004	aktywna
Izrael	2011	aktywna
Japonia	2019	aktywna
Jersey	2008	aktywna
Korea Płd.	2021	aktywna
Nowa Zelandia	2012	aktywna
Szwajcaria	2000	aktywna
UK	2021	aktywna
Urugwaj	2012	aktywna
USA (DPF)	2023	aktywna częściowa

4. Data Privacy Framework (USA)

DPF zastąpił Privacy Shield (unieważniony Schrems II w 2020 r.). Obowiązuje od 10 lipca 2023 r. Mechanizm: amerykańska firma certyfikuje się na dataprivacyframework.gov, zobowiązuje się do zasad ochrony, podlega EOB (Executive Order 14086) ograniczającemu inwigilację. Polski administrator może transferować dane do certyfikowanej firmy USA bez SCC.

5. Schrems II — wyrok przełomowy

Wyrok TSUE C-311/18 z 16 lipca 2020 r. unieważnił Privacy Shield i podtrzymał ważność SCC pod warunkiem oceny faktycznej skuteczności w państwie odbiorcy. Konsekwencje:

• Każdy transfer SCC wymaga TIA.
• Niezbędne uzupełniające środki (encryption at rest with sole control, pseudonimizacja, ograniczenie dostępu).
• Możliwość zawieszenia transferu w razie niezgodnego prawa państwa odbiorcy.

6. SCC 2021/914 — moduły

Decyzja KE 2021/914 wprowadziła nowe SCC z 4 modułami:

• Moduł 1 — administrator do administratora.
• Moduł 2 — administrator do procesora.
• Moduł 3 — procesor do procesora.
• Moduł 4 — procesor do administratora.

Stare SCC (2001, 2004, 2010) — nieważne od 27 grudnia 2022 r. Wymagane przejście na nowe; umowa odsyłająca nadal do decyzji 2010/87/UE nie stanowi dziś ważnej podstawy przekazania.

Wybór modułu jest decyzją materialną, nie formalną — zastosowanie modułu 2 tam, gdzie strony są w rzeczywistości dwoma administratorami, unieważnia całą konstrukcję, dlatego role trzeba ustalić wcześniej (zob. wzór umowy powierzenia). Obowiązkowe są też trzy załączniki: I (strony i opis przekazania), II (środki techniczne i organizacyjne) oraz III (podwykonawcy). Ogólnikowy załącznik II — „środki zgodne ze stanem wiedzy technicznej" — to najczęstsza usterka wykrywana w audytach. W modułach 2 i 3 klauzule pełnią jednocześnie funkcję umowy z art. 28 ust. 3, co pozwala nie dublować dokumentów.

7. TIA — Transfer Impact Assessment

TIA jest obowiązkowa dla wszystkich transferów na podstawie SCC (wymagana również dla BCR). Zawiera:

• Opis transferu (dane, kategorie, częstotliwość, państwo).
• Ocena praw państwa odbiorcy (inwigilacja, dostęp władz, gwarancje sądowe).
• Ocena ryzyka dla osób.
• Uzupełniające środki (techniczne, umowne, organizacyjne).
• Wnioski i monitoring.

Wytyczne EROD 01/2020 oraz 05/2021 stanowią ramowy szablon.

8. BCR — Binding Corporate Rules

BCR są wewnętrznym kodeksem dla grup kapitałowych. Zatwierdzane przez wiodący organ nadzorczy (jeden z 27 DPA) po konsultacji z EROD. Procedura trwa 18-36 miesięcy, koszt 50-300 tys. EUR. Przykłady: BMW, Schlumberger, eBay, Cisco. Polskie korporacje rzadko stosują (np. CD PROJEKT, ING Bank Śląski w grupie holenderskiej).

9. Wyjątki z art. 49

Wyjątki dla transferów bez SCC/DPF/BCR:

• Wyraźna zgoda osoby (po informacji o ryzyku).
• Konieczność wykonania umowy z osobą.
• Konieczność dla umowy w interesie osoby.
• Ważne względy interesu publicznego.
• Ustalenie/obrona roszczeń.
• Ochrona żywotnych interesów.
• Rejestr publiczny (ograniczenia).

Ostatni akapit art. 49 ust. 1 dodaje wąską przesłankę nadrzędnego prawnie uzasadnionego interesu, obwarowaną trzema warunkami łącznie: przekazanie nie może być powtarzalne, ma dotyczyć ograniczonej liczby osób i wymaga poinformowania organu nadzorczego.

To nie jest lista pól do odhaczenia. Wytyczne EROD 2/2018 czytają art. 49 restrykcyjnie: wyjątki mają być sporadyczne i niepowtarzalne, a przed sięgnięciem po nie trzeba wykazać, że decyzja adekwatności ani zabezpieczenia z art. 46 nie są dostępne. Rezerwacja hotelu w Tajlandii mieści się w lit. b. Stałe hostowanie bazy klientów u dostawcy spoza EOG — nie, niezależnie od tego, jak zgrabnie sformułowano zapis w regulaminie. Zgoda z lit. a wymaga ponadto poinformowania o konkretnym ryzyku wynikającym z braku decyzji adekwatności i odpowiednich zabezpieczeń, co oznacza osobny akapit w klauzuli informacyjnej, a nie wzmiankę o „partnerach zagranicznych". Zgoda jest przy tym odwoływalna, więc nie nadaje się do zabezpieczenia infrastruktury, na której opiera się usługa.

10. Typowe transfery polskich firm

Dostawca	Państwo	Mechanizm
Google Workspace	USA	DPF
Microsoft 365	UE + USA	DPF
AWS	global	DPF + SCC
Salesforce	USA	DPF
Mailchimp	USA	DPF
Slack	USA	DPF
Zoom	USA	DPF
HubSpot	USA	DPF
TikTok	Chiny/Irlandia	SCC + TIA
Alibaba Cloud	Chiny	SCC + TIA (trudne)

11. Transfery do Chin, Rosji, Indii

Brak decyzji adekwatności dla Chin i Indii. Rosja — brak decyzji, dodatkowo sankcje UE 2022. Transfer wymaga SCC + szczegółowej TIA. Chiny — wytyczne EROD wskazują trudność osiągnięcia adekwatności ze względu na PIPL i prawo bezpieczeństwa narodowego. W praktyce: większość polskich firm unika transferów do Chin lub stosuje data residency w UE.

12. Praktyka — mapa transferów

Każda firma powinna prowadzić mapę transferów:

• Inwentaryzacja dostawców (SaaS, infrastruktura, wsparcie).
• Państwa przechowywania i przetwarzania.
• Mechanizm transferu (DPF, SCC, BCR).
• TIA dla SCC.
• Sub-procesorzy i ich lokalizacje.
• Plan reakcji na zmiany (np. unieważnienie DPF II).

Mapa transferów = osobny dokument lub załącznik do RCP.

Kolejność zamykania tematu w dokumentacji jest zawsze ta sama: inwentaryzacja przekazań (dostawcy, podwykonawcy, dostępy zdalne), przypisanie instrumentu do każdego przekazania, TIA dla wszystkiego, co opiera się na art. 46, aktualizacja rejestru i klauzul informacyjnych, wreszcie ustalenie cyklu przeglądu — kwartalnego dla dostawców krytycznych, rocznego dla reszty. Dwa artefakty muszą być zawsze spójne: wpis w RCP i treść klauzuli. Rozjazd między nimi kontroler wychwytuje w pierwszej godzinie czynności. Arkusz kalkulacyjny wystarcza do kilkunastu dostawców; powyżej tego progu program do prowadzenia rejestru czynności przetwarzania wiąże dostawcę, moduł SCC, TIA i datę przeglądu w jednym rekordzie, dzięki czemu zmiana podwykonawcy nie umyka.

13. Wytyczne UODO dotyczące transferów

UODO opublikował kompleksowe wytyczne dotyczące transferów w 2021 r. (po Schrems II) i aktualizacje w 2023 r. (po DPF) oraz 2024 r. Kluczowe rekomendacje: każdy administrator musi prowadzić mapę transferów aktualizowaną przy każdej zmianie dostawcy, TIA dla każdego mechanizmu SCC z uwzględnieniem prawa lokalnego (PIPL Chiny, FISA 702 USA, Russia Federal Law on Personal Data), uzupełniające środki techniczne (szyfrowanie BYOK lub HYOK z kluczem w UE, pseudonimizacja przed transferem, split-key encryption), środki umowne (rozszerzone SCC z dodatkowymi gwarancjami, prawo do audytu, klauzule zawieszenia), środki organizacyjne (polityka odpowiedzi na żądania władz państw trzecich, dokumentacja prób dostępu). UODO weryfikuje TIA w każdym postępowaniu kontrolnym dla podmiotów korzystających z dostawców USA. Specyfika polska: KSC i przyszły system NIS2 mogą ograniczać transfery danych krytycznych sektorów (energetyka, finanse, zdrowie). Patrz Kary UODO 2025, UODO przewodnik.

14. Enforcement europejski — dwie sprawy, które wyznaczają stawkę

Meta Platforms Ireland — 1,2 mld EUR. Irlandzka Data Protection Commission wydała decyzję 22 maja 2023 r., nakładając najwyższą dotąd karę w historii RODO za przekazywanie danych użytkowników Facebooka do USA na podstawie standardowych klauzul umownych mimo ustaleń wyroku Schrems II. Zarzut nie dotyczył braku klauzul — te były podpisane — lecz tego, że nie neutralizowały ryzyka dostępu amerykańskich służb. Decyzja nakazała również zaprzestanie przekazań i dostosowanie przetwarzania.

Uber — 290 mln EUR. Niderlandzki organ nadzorczy (Autoriteit Persoonsgegevens) ogłosił karę 26 sierpnia 2024 r. za przekazywanie do USA danych europejskich kierowców — w tym danych o lokalizacji, dokumentów tożsamości, a w części przypadków danych o stanie zdrowia i zapisów z rejestrów karnych — po zaprzestaniu stosowania standardowych klauzul umownych i bez innego ważnego instrumentu z rozdziału V.

Wniosek wspólny: organy nie karzą za brak podpisu pod klauzulami, lecz za brak skuteczności zabezpieczeń, a nawet przejściowa luka w łańcuchu instrumentów jest samodzielnym naruszeniem. Podstawą wymiaru jest art. 83 ust. 5 lit. c RODO — do 20 mln EUR lub 4% rocznego światowego obrotu; mechanikę ustalania kwoty opisuję w przewodniku po karach administracyjnych.

15. Polskie sprawy enforcement transferów i orzecznictwo TSUE

Sprawy enforcement: kara dla Cyfrowy Polsat (1,1 mln zł, 2023) obejmowała m.in. transfery do USA bez TIA; ID Finance Poland (1,07 mln zł) — wyciek z infrastruktury w USA bez adekwatnych zabezpieczeń transferowych; Główny Inspektor Sanitarny — upomnienie za nieprawidłowe transfery danych pracowników do dostawcy chmury USA. Kluczowe orzecznictwo TSUE: C-311/18 Schrems II (16.7.2020) — fundamentalna zasada TIA + uzupełniające środki; C-119/22 La Quadrature du Net (5.6.2023) — ograniczenia w zachowaniu danych z transferów; C-46/21 European Public Prosecutor’s Office (24.10.2023) — dostęp władz państw trzecich. Sprawa zawisła Schrems III (dotycząca DPF) — wyrok spodziewany w drugiej połowie 2026 r. W razie unieważnienia DPF polskie firmy muszą natychmiast powrócić do SCC + TIA dla każdego transferu USA. Plan B obowiązkowy w 2026 r.: dokumentacja alternatywnych dostawców UE, gotowość do migracji w 90 dni, szyfrowanie BYOK dla danych szczególnych kategorii. Patrz RODO Art. 5 zasady, RODO Art. 32 bezpieczeństwo, umowa powierzenia wzór.

16. Źródła urzędowe

• Rozdział V RODO — transfery do państw trzecich (art. 44-49, EUR-Lex)
• Decyzja KE 2021/914 — standardowe klauzule umowne (SCC)
• EROD — wytyczne i rekomendacje dotyczące transferów
• UODO — przekazywanie danych do państw trzecich

FAQ

Czy korzystanie z Google Analytics to transfer do USA?

Tak, w standardowej konfiguracji. Google jest certyfikowany w DPF, więc transfer jest dopuszczalny. Wymagana zgoda użytkownika (cookies analityczne) + Consent Mode v2.

Co jeśli DPF zostanie unieważniony (Schrems III)?

Schrems III jest spodziewany — sprawa zawisła przed TSUE. W razie unieważnienia: powrót do SCC + TIA. Plan B: szyfrowanie w spoczynku z kluczem w EU, pseudonimizacja, ograniczenie zakresu danych.

Czy hostowanie w UE eliminuje transfery?

Nie automatycznie. Dostawca może mieć siedzibę w USA i podlegać CLOUD Act (dostęp władz USA do danych w UE). Wymagana ocena prawa właściwego dla dostawcy. AWS, Google, Microsoft — wszyscy podlegają CLOUD Act mimo regionów EU.

Czy mogę używać darmowych narzędzi USA bez SCC?

Nie. Każde przetwarzanie danych osobowych poza EOG wymaga mechanizmu transferu, niezależnie od ceny narzędzia. Darmowy ChatGPT, Canva, Notion — wszyscy wymagają oceny transferu.

Czy istnieje “europejski Google”?

Częściowo — istnieją alternatywy europejskie (OVHcloud, Hetzner, Scaleway, GovCloud Polska). Dla niektórych funkcji (LLM, search) brak pełnowartościowych europejskich substytutów, ale rynek dynamicznie się rozwija (Mistral, Aleph Alpha).

Jak praktycznie wykonać TIA dla dostawcy SaaS USA?

TIA powinna zawierać 8 sekcji: (1) opis transferu (kategorie danych, częstotliwość, wolumen, cel), (2) identyfikacja mechanizmu transferowego (SCC moduł, DPF status), (3) ocena prawa USA (FISA 702, EO 12333, CLOUD Act, EO 14086 ograniczenia), (4) ocena ryzyka dostępu władz (czy dane mogą być przedmiotem żądania NSA/FBI), (5) uzupełniające środki techniczne (szyfrowanie BYOK/HYOK, pseudonimizacja, fragmentacja danych), (6) uzupełniające środki umowne (rozszerzone SCC, klauzule zawieszenia, prawo audytu, notyfikacja żądań władz), (7) uzupełniające środki organizacyjne (polityka odpowiedzi, dokumentacja), (8) wnioski i plan monitorowania. Czas przygotowania: 20-60 godzin. Aktualizacja: przy każdej zmianie dostawcy, prawa USA lub statusu DPF.

Czy potrzebuję TIA dla transferów do UK po Brexit?

Tak, ale uproszczone. Wielka Brytania ma decyzję adekwatności UE (2021, ważna do czerwca 2025 z możliwością odnowienia). Transfery do UK na podstawie decyzji adekwatności nie wymagają SCC ani TIA, ale UODO zaleca monitoring statusu (sprawa Schrems-style przeciwko UK adequacy zawisła). Po zakończeniu okresu adekwatności (jeśli nie odnowiona) — powrót do SCC + TIA. Dodatkowo: brytyjskie firmy podlegają UK GDPR (Data Protection Act 2018), oddzielnemu regulatorowi ICO, własnym SCC (International Data Transfer Agreement).

Czy mogę używać OpenAI/Claude/Gemini z danymi osobowymi klientów?

Tylko z odpowiednim mechanizmem transferowym i ograniczeniami. OpenAI (USA — DPF dla niektórych produktów), Anthropic (USA — SCC), Google (USA — DPF). Wszystkie wymagają: umowy DPA (Data Processing Agreement), wyłączenia danych z trenowania kolejnych modeli (Enterprise/Business plan zwykle), pseudonimizacji przed wprowadzeniem (zastąpienie imion, nazwisk, identyfikatorów), zakazu wprowadzania danych szczególnych kategorii art. 9 bez wyraźnej zgody, DPIA + FRIA dla systemu produkcyjnego. Włoski Garante nałożył 15 mln EUR na OpenAI w grudniu 2024 r. za naruszenia w pre-launch okresie. UODO prowadzi postępowanie wobec OpenAI od 2024 r. Strategia bezpieczna: użyj polskich/UE dostawców (Aleph Alpha, Mistral, własna instancja Llama), lub Microsoft Azure OpenAI Service w regionie EU z dodatkowym DPA.