Articolul 45 GDPR permite transferul liber de date personale către o țară din afara UE, fără garanții suplimentare, dacă Comisia Europeană a decis oficial că acea țară oferă un nivel de protecție „adecvat" — echivalent, practic, cu cel din UE.
Ce prevede articolul?
- Comisia Europeană evaluează periodic cadrul legal, autoritățile de supraveghere și garanțiile din țara terță și emite o decizie de adecvare.
- Odată emisă decizia, transferurile către acea țară se pot face ca și cum ar fi transferuri interne în UE — fără clauze contractuale standard sau alte garanții suplimentare.
- Comisia reevaluează periodic aceste decizii (cel puțin o dată la 4 ani) și le poate revoca dacă nivelul de protecție scade.
- Exemple de jurisdicții cu decizie de adecvare (parțială sau totală): Regatul Unit, Elveția, Japonia, Coreea de Sud, Canada (parțial), și cadrul „EU-U.S. Data Privacy Framework" pentru companiile certificate din SUA.
Ce înseamnă în practică pentru o firmă?
Înainte să folosești un furnizor din afara UE (cloud, CRM, e-mailing), verifică dacă țara respectivă are decizie de adecvare. Dacă da, transferul e simplu din punct de vedere legal — dar tot trebuie documentat în registrul de evidență. Dacă nu, ai nevoie de alte garanții, prevăzute la Articolul 46 (clauze contractuale standard) sau de o excepție de la Articolul 49.
Exemplu concret
O firmă românească folosește un furnizor de servicii cloud din Regatul Unit. Deoarece UK beneficiază de o decizie de adecvare, transferul se poate face fără clauze contractuale suplimentare. Dacă același furnizor mută datele pe servere din India, unde nu există decizie de adecvare, firma trebuie să găsească un alt mecanism legal de transfer.
Greșeli frecvente
- Presupunerea că orice țară „dezvoltată" are automat decizie de adecvare — nu e cazul (ex. SUA are un mecanism specific, nu o adecvare generală).
- Neverificarea periodică a statutului deciziilor de adecvare, care se pot revoca sau modifica.
- Ignorarea completă a documentării transferului doar pentru că se bazează pe o decizie de adecvare.
Se leagă direct de principiul general al transferurilor internaționale și de garanțiile alternative de transfer. Vezi și ghidul GDPR. Folosești furnizori din afara UE? Verificăm mecanismul corect de transfer.
Întrebări frecvente
SUA are decizie de adecvare?
Parțial — prin cadrul „EU-U.S. Data Privacy Framework", aplicabil doar companiilor americane certificate în acest program, nu tuturor firmelor din SUA.
Ce fac dacă țara furnizorului meu nu are decizie de adecvare?
Ai nevoie de alte garanții, cel mai frecvent clauze contractuale standard conform Articolului 46, sau de o excepție specifică din Articolul 49.