Articolul 44 GDPR stabilește principiul general care guvernează orice transfer de date personale în afara Spațiului Economic European (SEE): un asemenea transfer poate avea loc doar dacă respectă condițiile din Capitolul V al GDPR. E articolul „poartă" prin care trec toate mecanismele specifice de transfer internațional — fără el, nu contează cât de bun e contractul, transferul rămâne interzis.
Ce prevede articolul 44?
Orice transfer de date personale, aflate în curs de prelucrare sau destinate prelucrării după transfer, către o țară terță sau o organizație internațională, are loc numai dacă operatorul și împuternicitul respectă condițiile Capitolului V — inclusiv pentru transferurile ulterioare, dintr-o țară terță către alta. Scopul e ca nivelul de protecție garantat de GDPR să nu fie subminat prin exportul datelor.
Ce mecanisme fac un transfer legal?
- Decizia de adecvare (Art. 45) — Comisia Europeană a stabilit că țara respectivă oferă un nivel de protecție adecvat (ex. Regatul Unit, Japonia, sau, pentru companii certificate, SUA — prin cadrul „EU-US Data Privacy Framework").
- Garanții adecvate (Art. 46) — în absența unei decizii de adecvare: clauze contractuale standard (SCC), reguli corporatiste obligatorii (BCR), coduri de conduită sau certificare aprobate.
- Derogări pentru situații specifice (Art. 49) — consimțământ explicit, necesitatea pentru executarea unui contract, motive importante de interes public etc. Se folosesc doar excepțional, ca ultimă soluție, interpretate restrictiv.
Ce înseamnă în practică pentru o firmă?
Multe firme românești fac transferuri internaționale fără să realizeze — de exemplu, folosind un instrument de e-mail marketing, un CRM sau un serviciu de analytics găzduit în SUA. Trebuie să mapezi în registrul de evidență unde „circulă" datele, să verifici dacă furnizorul e acoperit de o decizie de adecvare sau de clauze contractuale standard, și să incluzi informația în notele de informare.
Exemplu concret
O firmă folosește o platformă americană de e-mail marketing. Dacă furnizorul nu e certificat în cadrul „EU-US Data Privacy Framework", firma are nevoie de clauze contractuale standard semnate cu furnizorul, plus o evaluare a riscurilor transferului (inclusiv legislația țării de destinație), documentată.
Greșeli frecvente
- Presupunerea că „e în cloud, deci nu contează unde": locul de găzduire contează foarte mult.
- Nesolicitarea de informații despre subîmputerniciții furnizorului (unde stochează ei efectiv datele).
- Bazarea pe mecanisme invalidate (ex. vechiul „Privacy Shield", invalidat de CJUE în 2020, hotărârea Schrems II).
- Lipsa oricărei documentații privind garanțiile folosite pentru transfer.
Transferurile ulterioare (onward transfers)
Regula se aplică și „în cascadă": dacă furnizorul tău dintr-o țară terță transmite, la rândul lui, datele mai departe către un alt furnizor sau altă țară, acel transfer ulterior trebuie să respecte tot condițiile Capitolului V. Nu poți presupune că, o dată ce datele au „ieșit" din UE, ele rămân protejate automat — verifică explicit, în contract, ce se întâmplă cu datele după ce ajung la primul destinatar, și cere să fii informat înainte de orice transfer suplimentar către o altă jurisdicție.
Ce trebuie să verifici la un furnizor extern?
Înainte de a semna cu un furnizor din afara SEE, verifică: unde e găzduită efectiv infrastructura (nu doar unde are sediul social compania), dacă are certificare în cadrul mecanismelor de adecvare recunoscute, ce clauze contractuale standard oferă și dacă subîmputerniciții lui sunt și ei localizați în zone acoperite de garanții. Cere aceste informații explicit — un furnizor serios le are documentate și le poate pune la dispoziție rapid.
Vezi și securitatea prelucrării și ghidul GDPR. Folosești furnizori din afara UE? Verificăm conformitatea transferurilor tale.
Întrebări frecvente
Folosirea unui furnizor american (ex. cloud, e-mail marketing) e automat interzisă?
Nu, dar trebuie să te asiguri că transferul e acoperit de un mecanism valid — o decizie de adecvare (ex. certificare Data Privacy Framework) sau clauze contractuale standard.
Ce e o decizie de adecvare?
E o decizie a Comisiei Europene prin care se recunoaște că o țară terță oferă un nivel de protecție a datelor echivalent cu cel din UE — transferurile către acea țară nu mai necesită garanții suplimentare.