KOMISJA EUROPEJSKA Bruksela, dnia 29.5.2019 COM(2019) 250 final KOMUNIKAT KOMISJI DO PARLAMENTU EUROPEJSKIEGO I RADY EMPTY Wytyczne dotyczące rozporządzenia w sprawie ram swobodnego przepływu danych nieosobowych w Unii Europejskiej



Spis treści 1 Wprowadzenie Cel niniejszych wytycznych 2 Wzajemne powiązania między rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych a ogólnym rozporządzeniem o ochronie danych – mieszane zbiory danych 2.1 Pojęcie danych nieosobowych w rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych Dane osobowe Dane nieosobowe 2.2 Mieszane zbiory danych 3 Swobodny przepływ danych oraz usunięcie wymogów dotyczących lokalizacji danych 3.1 Swobodny przepływ danych nieosobowych 3.2 Swobodny przepływ danych osobowych 3.3 Zakres rozporządzenia w sprawie swobodnego przepływu danych nieosobowych 3.4 Działania związane z wewnętrzną organizacją państw członkowskich 4 Podejścia samoregulacyjne wspierające swobodny przepływ danych 4.1 Przenoszenie danych i zmiana dostawcy usług w chmurze Pojęcie przenoszenia i powiązanie z ogólnym rozporządzeniem o ochronie danych 4.2 Kodeksy postępowania i systemy certyfikacji w zakresie ochrony danych osobowych 4.3 Zwiększenie zaufania do transgranicznego przetwarzania danych – certyfikacja bezpieczeństwa Uwagi końcowe

Niniejszy dokument został przygotowany przez Komisję Europejską wyłącznie do celów informacyjnych. Nie zawiera on żadnej oficjalnej interpretacji rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1807 z dnia 14 listopada 2018 r. w sprawie ram swobodnego przepływu danych nieosobowych w Unii Europejskiej ani nie stanowi decyzji lub stanowiska Komisji Europejskiej. Pozostaje on bez uszczerbku dla wszelkich tego typu decyzji lub stanowisk Komisji Europejskiej i uprawnień Trybunału Sprawiedliwości Unii Europejskiej do interpretowania rozporządzenia zgodnie z traktatami UE.



1 Wprowadzenie W gospodarce, która jest w coraz większym stopniu oparta na danych, przepływy danych znajdują się w centrum procesów biznesowych w przedsiębiorstwach różnej wielkości i we wszystkich branżach. Nowe technologie cyfrowe otwierają nowe możliwości dla ogółu społeczeństwa, przedsiębiorstw i organów administracji publicznej w Unii Europejskiej („UE”). W celu dalszego zwiększania transgranicznej wymiany danych i pobudzenia gospodarki opartej na danych w listopadzie 2018 r. Parlament Europejski i Rada przyjęły rozporządzenie (UE) 2018/1807 w sprawie ram swobodnego przepływu danych nieosobowych w Unii Europejskiej („rozporządzenie w sprawie swobodnego przepływu danych nieosobowych”) na podstawie wniosku Komisji Europejskiej („Komisja”). Rozporządzenie stosuje się od dnia 28 maja 2019 r. Zasadę swobodnego przepływu danych osobowych określono w rozporządzeniu (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE („ogólne rozporządzenie o ochronie danych”). W związku z tym istnieją obecnie kompleksowe ramy wspólnej europejskiej przestrzeni danych i swobodnego przepływu wszystkich danych w Unii Europejskiej. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych daje przedsiębiorstwom pewność prawa w kwestii przetwarzania ich danych w dowolnym miejscu w UE, zwiększa zaufanie do usług w zakresie przetwarzania danych i przeciwdziała uzależnieniu od jednego dostawcy. Zwiększy to możliwości wyboru dla klientów, poprawi wydajność i zachęci do stosowania technologii chmury, co przyniesie przedsiębiorstwom w UE znaczne oszczędności. Jedno z badań pokazuje, że przedsiębiorstwa w UE mogą zaoszczędzić 20‑50 % kosztów IT, przenosząc dane do chmury. Dzięki tym dwóm rozporządzeniom dane mogą swobodnie przepływać między państwami członkowskimi, co umożliwia użytkownikom usług przetwarzania danych korzystanie z danych zgromadzonych na różnych rynkach UE w celu zwiększenia ich wydajności i konkurencyjności. Użytkownicy mogą w związku z tym w pełni skorzystać z korzyści skali zapewnianych przez duży rynek UE, poprawiając swoją konkurencyjność w skali światowej oraz zwiększając wzajemne powiązania w ramach europejskiej gospodarki opartej na danych. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych ma trzy istotne cechy: ·Co do zasady państwom członkowskim zakazuje się w nim wprowadzania wymogów dotyczących lokalizacji danych. Wyjątki od tej zasady mogą być uzasadnione jedynie względami bezpieczeństwa publicznego zgodnie z zasadą proporcjonalności. ·Ustanawia się w nim mechanizm współpracy mający zapewnić, aby właściwe organy w dalszym ciągu miały możliwość korzystania z wszelkich praw, jakie posiadają, w celu uzyskania dostępu do danych przetwarzanych w innym państwie członkowskim. ·Zapewnia ono dla stosownego sektora zachęty do opracowania – przy wsparciu Komisji – samoregulacyjnych kodeksów postępowania dotyczących zmiany usługodawców i przenoszenia danych. Cel niniejszych wytycznych Niniejsze wytyczne stanowią spełnienie wymogu określonego w art. 8 ust. 3 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych, w którym zobowiązuje się Komisję do opublikowania wskazówek na temat wzajemnych powiązań między tym rozporządzeniem a ogólnym rozporządzeniem o ochronie danych, „w szczególności w odniesieniu do zbiorów danych obejmujących zarówno dane osobowe, jak i nieosobowe”. Niniejsze wytyczne mają stanowić pomoc dla użytkowników – zwłaszcza małych i średnich przedsiębiorstw – w zrozumieniu wzajemnych powiązań między rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych a ogólnym rozporządzeniem o ochronie danych. Dlatego też w wytycznych odniesiono się w szczególności do: (i) pojęć danych nieosobowych i danych osobowych; (ii) zasad swobodnego przepływu danych oraz zakazu stosowania wymogów dotyczących lokalizacji danych na mocy obu rozporządzeń; oraz (iii) pojęcia przenoszenia danych w rozumieniu rozporządzenia w sprawie swobodnego przepływu danych nieosobowych. Wytyczne obejmują również wymogi w zakresie samoregulacji określone w obu rozporządzeniach. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych obejmuje jedynie „dane inne niż dane osobowe”, przy czym te ostatnie są zdefiniowane w ogólnym rozporządzeniu o ochronie danych. Ogólne rozporządzenie o ochronie danych reguluje przetwarzanie danych osobowych, które stanowi zasadniczy element unijnych ram ochrony danych. Weszło ono w życie w państwach członkowskich w dniu 25 maja 2018 r. W rozporządzeniu tym ustanawia się zharmonizowane przepisy mające na celu ochronę osób w UE/EOG w związku z przetwarzaniem ich danych osobowych oraz w sprawie swobodnego przepływu takich danych. Ogólne rozporządzenie o ochronie danych: (i) określa, jakie informacje stanowią dane osobowe; (ii) ustanawia podstawę prawną ich przetwarzania; oraz (iii) określa m.in. prawa i obowiązki, których należy przestrzegać podczas przetwarzania tych danych. W odniesieniu do zasady swobodnego przepływu danych osobowych art. 1 ust. 3 ogólnego rozporządzenia o ochronie danych stanowi, że „nie ogranicza się ani nie zakazuje swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych”. W większości rzeczywistych sytuacji zbiór danych najprawdopodobniej będzie składał się zarówno z danych osobowych, jak i danych nieosobowych. Zbiór taki często nazywa się „mieszanym zbiorem danych”. W sekcji 2.2 poniżej wyjaśniono bardziej szczegółowo wzajemne powiązania między rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych a ogólnym rozporządzeniem o ochronie danych w odniesieniu do mieszanych zbiorów danych. Aby zapewnić przejrzystość, w rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych i w ogólnym rozporządzeniu o ochronie danych nie ma sprzecznych obowiązków. 2 Wzajemne powiązania między rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych a ogólnym rozporządzeniem o ochronie danych – mieszane zbiory danych 2.1 Pojęcie danych nieosobowych w rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych

Celem rozporządzenia w sprawie swobodnego przepływu danych nieosobowych jest zapewnienie swobodnego przepływu danych innych niż dane osobowe. W treści całego rozporządzenia używa się pojęcia „dane”, które to pojęcie należy rozumieć jako „dane inne niż dane osobowe zdefiniowane w art. 4 pkt 1 rozporządzenia (UE) 2016/679 [ogólne rozporządzenie o ochronie danych]”. Tego rodzaju dane, w niniejszym dokumencie nazywane również „danymi nieosobowymi”, definiuje się przez przeciwstawienie ich (a contrario) danym osobowym zdefiniowanym w ogólnym rozporządzeniu o ochronie danych. Dane osobowe Ogólne rozporządzenie o ochronie danych stanowi, że: „»dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”. Szeroka definicja danych osobowych jest zamierzona i pozostała zasadniczo niezmieniona w ogólnym rozporządzeniu o ochronie danych w porównaniu z wcześniejszymi przepisami. Różne aspekty definicji danych osobowych, takie jak „wszelkie informacje”, „o”, „zidentyfikowanej lub możliwej do zidentyfikowania”, zostały już rozważone przez Grupę Roboczą Art. 29 w Opinii 4/2007 w sprawie pojęcia danych osobowych z dnia 20 czerwca 2007 r., WP 136. Powszechną praktyką w obszarach takich jak badania naukowe jest pseudonimizacja danych osobowych w celu ukrycia tożsamości danej osoby. Pseudonimizacja to przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie bez użycia dodatkowych informacji. Te dodatkowe informacje są przechowywane osobno i są zabezpieczone za pomocą środków organizacyjnych lub technicznych (np. szyfrowanie),. Dane opatrzone pseudonimem wciąż jednak uznaje się za informacje o osobie możliwej do zidentyfikowania, jeżeli można je przypisać tej osobie przy użyciu dodatkowych informacji. Zgodnie z ogólnym rozporządzeniem o ochronie danych dane takie stanowią dane osobowe. Dane nieosobowe Dane niebędące „danymi osobowymi” w rozumieniu definicji zawartej w ogólnym rozporządzeniu o ochronie danych są danymi nieosobowymi. Dane nieosobowe można podzielić na kategorie według pochodzenia na: ·po pierwsze, dane, które pierwotnie nie odnosiły się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, takie jak dane dotyczące warunków pogodowych wygenerowane przez czujniki zamontowane na turbinach wiatrowych lub dane dotyczące potrzeb w zakresie konserwacji maszyn przemysłowych; ·po drugie, dane, które pierwotnie były danymi osobowymi, ale poddano je następnie anonimizacji. „Anonimizacja” danych osobowych różni się od pseudonimizacji (zob. wyżej), gdyż prawidłowo zanonimizowanych danych nie można przypisać konkretnej osobie nawet przy użyciu dodatkowych danych, a zatem są to dane nieosobowe. Ocena, czy dane zanonimizowano prawidłowo, zależy od konkretnych i niepowtarzalnych okoliczności każdego pojedynczego przypadku. Na podstawie kilku przykładów ponownej identyfikacji zbiorów danych, które miały zostać zanonimizowane, wykazano, że dokonanie takiej oceny może być trudne. Aby ustalić, czy osoba fizyczna jest możliwa do zidentyfikowania, należy przyjrzeć się wszystkim środkom, co do których istnieje uzasadnione prawdopodobieństwo, że mogą zostać wykorzystane przez administratora lub inną osobę w celu identyfikacji osoby fizycznej w sposób bezpośredni lub pośredni. Przykłady danych nieosobowych ·Dane, które zagregowano do tego stopnia, że poszczególne wydarzenia (takie jak indywidualne podróże osoby za granicę lub jej typowe trasy podróży, które stanowią dane osobowe) nie są już możliwe do zidentyfikowania, można zakwalifikować jako dane anonimowe. Anonimowe dane wykorzystuje się na przykład w statystykach lub w sprawozdaniach ze sprzedaży (na przykład w celu dokonania oceny popularności produktu lub jego cech). ·Dane dotyczące transakcji wysokich częstotliwości w sektorze finansowym lub dane dotyczące rolnictwa precyzyjnego, które pomagają w monitorowaniu i optymalizacji użycia pestycydów, składników odżywczych i wody. Jeżeli jednak dane nieosobowe mogą w jakikolwiek sposób zostać powiązane z osobą fizyczną, powodując możliwość zidentyfikowania takiej osoby w sposób bezpośredni albo pośredni, dane należy uznać za dane osobowe. Na przykład jeżeli sprawozdanie z kontroli jakości na linii produkcyjnej umożliwia powiązanie danych z poszczególnymi pracownikami fabryki (np. z tymi, którzy ustawiają parametry produkcji), dane będą kwalifikować się jako dane osobowe i będzie miało zastosowanie ogólne rozporządzenie o ochronie danych. Te same zasady mają zastosowanie, gdy rozwój technologii i analityki danych umożliwia przekształcenie danych zanonimizowanych w dane osobowe. Ponieważ definicja danych osobowych odnosi się do „osób fizycznych”, zbiory danych zawierające nazwy i dane kontaktowe osób prawnych są co do zasady danymi nieosobowymi. W niektórych sytuacjach mogą one jednak stanowić dane osobowe. Będzie tak na przykład, gdy nazwa osoby prawnej jest taka sama jak imię i nazwisko osoby fizycznej, do której osoba prawna należy, lub gdy informacje dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. 2.2 Mieszane zbiory danych W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych oraz w ogólnym rozporządzeniu o ochronie danych zastosowano dwa różne podejścia do swobodnego przepływu danych w UE.

W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych ustanowiono ogólny zakaz nakładania wymogów dotyczących lokalizacji danych nieosobowych. W art. 4 ust. 1 tego rozporządzenia zakazuje się nakładania wymogów dotyczących lokalizacji danych, chyba że są one uzasadnione względami bezpieczeństwa publicznego zgodnie z zasadą proporcjonalności. Poza wysokim poziomem ochrony danych osobowych ogólne rozporządzenie o ochronie danych zapewnia swobodny przepływ danych osobowych. Zgodnie z art. 1 ust. 3 tego rozporządzenia „nie ogranicza się ani nie zakazuje swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych”. Łącznie w obu rozporządzeniach przewidziano swobodny przepływ „wszystkich” danych w obrębie UE. Przepisy szczegółowe omówiono szerzej w sekcjach 3.1 i 3.2. Mieszany zbiór danych składa się zarówno z danych osobowych, jak i z danych nieosobowych. Mieszane zbiory danych reprezentują większość zbiorów danych wykorzystywanych w gospodarce opartej na danych i są powszechne ze względu na rozwój technologiczny, np. internet rzeczy (tj. łączność cyfrowa między przedmiotami), sztuczna inteligencja i technologie umożliwiające analizowanie dużych zbiorów danych. Przykłady mieszanych zbiorów danych: ·wpis przedsiębiorstwa w rejestrze podatkowym zawierający imię i nazwisko oraz numer telefonu dyrektora zarządzającego przedsiębiorstwa; ·zbiory danych w banku, zwłaszcza te zawierające informacje o klientach oraz szczegółowe informacje dotyczące transakcji, np. usług płatniczych (karty kredytowe i debetowe), aplikacje do zarządzania relacjami z partnerami (ang. partner relationship management, PRM) i umowy kredytowe, dokumenty zawierające zarówno dane dotyczące osób fizycznych, jak i osób prawnych; ·zanonimizowane dane statystyczne instytucji badawczej oraz wstępnie zebrane surowe dane, takie jak odpowiedzi poszczególnych respondentów na pytania w badaniu statystycznym; ·bazy wiedzy przedsiębiorstwa na temat problemów informatycznych oraz ich rozwiązań opartych na sprawozdaniach z poszczególnych incydentów informatycznych; ·dane dotyczące internetu rzeczy, w przypadku których niektóre dane pozwalają na przyjęcie założeń na temat możliwych do zidentyfikowania osób (np. obecność pod danym adresem i schematy użytkowania); oraz ·analiza operacyjnych danych dziennika pracy sprzętu produkcyjnego w przemyśle wytwórczym. Przykład: usługi zarządzania relacjami z klientami (ang. customer relationship management, CRM) Niektóre banki korzystają z usług zarządzania relacjami z klientami (CRM) dostarczanych przez osoby trzecie, które wymagają udostępnienia danych klienta w środowisku zarządzania relacjami z klientami. Dane przechowywane w ramach usługi CRM będą obejmowały wszelkie informacje niezbędne do skutecznego zarządzania interakcjami z klientem, takie jak kod pocztowy i adres e-mail, numer telefonu, zakupione produkty i usługi oraz sprawozdania ze sprzedaży, w tym zagregowane dane. Dane takie mogą zatem obejmować zarówno dane osobowe klientów, jak i ich dane nieosobowe. Jeżeli chodzi o mieszane zbiory danych, rozporządzenie w sprawie swobodnego przepływu danych nieosobowych stanowi, że: „W przypadku zbiorów danych obejmujących zarówno dane osobowe, jak i nieosobowe niniejsze rozporządzenie ma zastosowanie do części zbioru złożonej z danych nieosobowych. W przypadku gdy w zbiorze danych dane osobowe i nieosobowe są nierozerwalnie związane, niniejsze rozporządzenie pozostaje bez uszczerbku dla stosowania rozporządzenia (UE) 2016/679”. Oznacza to, że w przypadku zbioru danych złożonego zarówno z danych osobowych, jak i nieosobowych: ·do części zbioru danych obejmującej dane nieosobowe zastosowanie ma rozporządzenie w sprawie swobodnego przepływu danych nieosobowych; ·do części zbioru danych obejmującej dane osobowe zastosowanie ma przepis ogólnego rozporządzenia o ochronie danych dotyczący swobodnego przepływu; oraz ·jeżeli część obejmująca dane nieosobowe i część obejmująca dane osobowe są ze sobą „nierozerwalnie związane”, prawa i obowiązki dotyczące ochrony danych wynikające z ogólnego rozporządzenia o ochronie danych mają w pełni zastosowanie do całego mieszanego zbioru danych również wtedy, gdy dane osobowe stanowią jedynie niewielką część zbioru danych. Interpretacja ta jest zgodna z prawem do ochrony danych osobowych zagwarantowanym w Karcie praw podstawowych Unii Europejskiej oraz z motywem 8 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych. Motyw 8 tego rozporządzenia stanowi, że nie ma ono wpływu na „ramy prawne w zakresie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (...), w szczególności na [ogólne rozporządzenie o ochronie danych] (...) oraz dyrektywy (...) (UE) 2016/680 oraz 2002/58/WE”.

Praktyczny przykład: Przedsiębiorstwo działające w UE oferuje swoje usługi za pośrednictwem platformy. Przedsiębiorstwa przesyłają na tę platformę swoje dokumenty zawierające mieszane zbiory danych. Jako „administrator” przedsiębiorstwo przesyłające dokumenty musi upewnić się, że przetwarzanie jest zgodne z ogólnym rozporządzeniem o ochronie danych. Przetwarzając zbiór danych w imieniu administratora, przedsiębiorstwo oferujące usługi („podmiot przetwarzający”) musi przechowywać i przetwarzać dane zgodnie z ogólnym rozporządzeniem o ochronie danych, np. aby zapewnić, że gwarantowany jest odpowiedni poziom bezpieczeństwa danych, między innymi za pomocą szyfrowania. Pojęcie „nierozerwalnie związane” nie zostało zdefiniowane w żadnym ze wspomnianych dwóch rozporządzeń. Ze względów praktycznych może ono odnosić się do sytuacji, w której zbiór danych zawiera zarówno dane osobowe, jak i dane nieosobowe, których rozdzielenie jest albo niemożliwe, albo administrator stwierdził, że byłoby nieefektywne pod względem ekonomicznym bądź niemożliwe z technicznego punktu widzenia. Na przykład przy zakupie systemów do zarządzania relacjami z klientami (CRM) i raportowania sprzedaży przedsiębiorstwo musiałoby podwoić koszty oprogramowania komputerowego, kupując osobne oprogramowanie do zarządzania relacjami z klientami (dane osobowe) oraz systemy do raportowania sprzedaży (dane zagregowane / dane nieosobowe) w oparciu o dane dotyczące CRM. Podzielenie zbioru danych prawdopodobnie znacząco zmniejszy również wartość zbioru danych. Ponadto zmieniający się charakter danych (zob. sekcja 2.1) utrudnia wyraźne rozróżnienie, a tym samym oddzielenie poszczególnych kategorii danych. Co ważne, w żadnym z omawianych dwóch rozporządzeń nie zobowiązuje się przedsiębiorstw do podziału zbiorów danych, w odniesieniu do których są one administratorami lub podmiotami przetwarzającymi. W konsekwencji mieszany zbiór danych będzie zasadniczo podlegać obowiązkom dotyczącym administratorów danych oraz podmiotów przetwarzających i będzie funkcjonował z poszanowaniem praw osób, których dane dotyczą, ustanowionych w ogólnym rozporządzeniu o ochronie danych. Przetwarzanie danych dotyczących zdrowia Dane dotyczące zdrowia mogą stanowić część mieszanego zbioru danych. Przykłady obejmują elektroniczną dokumentację medyczną, badania kliniczne i zbiory danych zebranych za pomocą różnych mobilnych aplikacji dotyczących zdrowia i dobrostanu (takich jak aplikacje służące do pomiaru stanu zdrowia, przypominające o braniu leków lub służące do śledzenia postępów w aktywnościach sportowych). Wraz z postępem technologicznym wyraźny podział na dane osobowe i nieosobowe w tych zbiorach danych coraz bardziej się zaciera. W konsekwencji przetwarzanie tych danych musi być zgodne z ogólnym rozporządzeniem o ochronie danych, zwłaszcza (biorąc pod uwagę, że dane dotyczące zdrowia to zgodnie z rozporządzeniem szczególna kategoria danych) z art. 9, w którym określono ogólny zakaz dotyczący przetwarzania szczególnych kategorii danych i wyjątki od tego zakazu. Dane zawarte w mieszanych zbiorach danych obejmujących dane dotyczące zdrowia mogą być wartościowym źródłem informacji, np. do celów dalszych badań medycznych, do celów pomiaru skutków ubocznych przepisanych leków, do celów statystyki dotyczącej chorób lub do celów rozwijania nowych usług w zakresie opieki zdrowotnej lub leczenia. Przepisy ogólnego rozporządzenia o ochronie danych muszą być jednak przestrzegane przy wykonywaniu wstępnych operacji przetwarzania oraz przy przeprowadzaniu dalszych operacji przetwarzania danych. Każde takie przetwarzanie danych dotyczących zdrowia musi mieć zatem ważną podstawę prawną i odpowiednie uzasadnienie, musi być bezpieczne i zapewniać wystarczające zabezpieczenia. Ponadto niezwykle istotne jest, aby osoby fizyczne i przedsiębiorstwa miały pewność prawa i zaufanie do przetwarzania danych. Ma to również zasadnicze znaczenie dla gospodarki opartej na danych. Oba rozporządzenia zapewniają realizację tego założenia i oba służą osiągnięciu celu, jakim jest nienaruszanie zasady swobodnego przepływu danych. 3 Swobodny przepływ danych oraz usunięcie wymogów dotyczących lokalizacji danych W niniejszej sekcji wyjaśniono bardziej szczegółowo pojęcie wymogów dotyczących lokalizacji danych na podstawie rozporządzenia w sprawie swobodnego przepływu danych nieosobowych oraz pojęcie zasady swobodnego przepływu określone w ogólnym rozporządzeniu o ochronie danych. Chociaż adresatami tych przepisów są państwa członkowskie, precyzyjniejszy obraz tego, w jaki sposób oba rozporządzenia przyczyniają się do swobodnego przepływu wszystkich danych w obrębie UE, może okazać się przydatny dla przedsiębiorstw. 3.1 Swobodny przepływ danych nieosobowych W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych „zakazuje się nakładania wymogów dotyczących lokalizacji danych, chyba że są one uzasadnione względami bezpieczeństwa publicznego zgodnie z zasadą proporcjonalności”. Wymogi dotyczące lokalizacji danych definiuje się jako „każdy obowiązek, zakaz, warunek, ograniczenie lub innego rodzaju wymóg określony w przepisach ustawowych, wykonawczych lub administracyjnych państwa członkowskiego lub wynikający z powszechnych i spójnych praktyk administracyjnych w państwie członkowskim i w podmiotach prawa publicznego, w tym w dziedzinie zamówień publicznych, bez uszczerbku dla dyrektywy 2014/24/UE, który narzuca wymóg przetwarzania danych na terytorium danego państwa członkowskiego lub utrudnia przetwarzanie danych w jakimkolwiek innym państwie członkowskim”.’ Zgodnie z tą definicją środki ograniczające swobodny przepływ danych w UE mogą przybierać różne formy. Mogą one być określone w przepisach ustawowych, wykonawczych i administracyjnych lub wręcz wynikać z powszechnych i spójnych praktyk administracyjnych. Ponadto zakaz nakładania wymogów dotyczących lokalizacji danych obejmuje zarówno bezpośrednie, jak i pośrednie środki, które ograniczałyby swobodny przepływ danych nieosobowych. Bezpośrednie wymogi dotyczące lokalizacji danych mogą obejmować np. obowiązek przechowywania danych w konkretnej lokalizacji geograficznej (np. serwery muszą znajdować się w konkretnym państwie członkowskim) lub obowiązek spełnienia szczególnych krajowych wymogów technicznych (np. dane muszą być przygotowane w określonych krajowych formatach). Pośrednie wymogi dotyczące lokalizacji danych, które utrudniałyby przetwarzanie danych nieosobowych w jakimkolwiek innym państwie członkowskim, mogą przybierać różne formy. Mogą one obejmować wymogi stosowania rozwiązań technologicznych, które zostały certyfikowane lub zatwierdzone w danym państwie członkowskim, lub inne wymogi skutkujące utrudnianiem przetwarzania danych poza określonym obszarem geograficznym lub określonym terytorium w Unii Europejskiej,. W ocenie, czy dany środek stanowi pośredni wymóg dotyczący lokalizacji danych, należy uwzględnić specyficzne okoliczności każdego konkretnego przypadku. W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych odniesiono się do pojęcia bezpieczeństwa publicznego zgodnie z orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej. Bezpieczeństwo publiczne „obejmuje zarówno bezpieczeństwo wewnętrzne, jak i zewnętrzne danego państwa członkowskiego, a także kwestie ochrony publicznej, w szczególności w celu ułatwienia prowadzenia postępowań przygotowawczych, wykrywania i ścigania przestępstw. Zakłada ono istnienie rzeczywistego i wystarczająco poważnego zagrożenia dla jednego z podstawowych interesów społecznych, takiego jak zagrożenie dla funkcjonowania instytucji i podstawowych usług publicznych oraz życia ludności, a także ryzyko poważnego zakłócenia stosunków zagranicznych lub pokojowego współistnienia narodów, lub zagrożenie dla interesów wojskowych”.

Ponadto każdy wymóg dotyczący lokalizacji danych uzasadniony ze względów bezpieczeństwa publicznego musi być proporcjonalny. Zgodnie z orzecznictwem Trybunału Sprawiedliwości Unii Europejskiej zasada proporcjonalności wymaga, aby zastosowane środki były właściwe do zapewnienia osiągnięcia wyznaczonego celu i aby nie wykraczały poza zakres niezbędny do osiągnięcia tego celu. Aby zapewnić przejrzystość, zakaz nakładania wymogów dotyczących lokalizacji danych pozostaje bez uszczerbku dla już istniejących ograniczeń określonych w prawie Unii. Ponadto w rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych nie nakłada się żadnych obowiązków na przedsiębiorstwa ani nie ogranicza się ich swobody zawierania umów określających lokalizację przetwarzania ich danych. Od państw członkowskich wymaga się, by publicznie udostępniały – za pośrednictwem krajowego centralnego internetowego punktu informacyjnego (krajowe strony internetowe) – informacje o wszelkich mających zastosowanie na ich terytorium wymogach dotyczących lokalizacji danych. Muszą one je aktualizować lub przekazywać aktualne informacje na temat takich wymogów centralnemu punktowi informacyjnemu ustanowionemu na mocy innego aktu Unii. Dla wygody przedsiębiorstw oraz w celu zapewnienia im łatwego dostępu do stosownych informacji w całej UE Komisja zamierza opublikować linki do tych punktów informacyjnych w portalu Twoja Europa. 3.2 Swobodny przepływ danych osobowych Ogólne rozporządzenie o ochronie danych stanowi, że „nie ogranicza się ani nie zakazuje swobodnego przepływu danych osobowych w Unii z powodów odnoszących się do ochrony osób fizycznych w związku z przetwarzaniem danych osobowych”. Jeżeli państwo członkowskie nakłada wymogi dotyczące lokalizacji danych osobowych z powodów innych niż ochrona danych osobowych, konieczna będzie ocena tych wymogów w kontekście przepisów dotyczących podstawowych wolności oraz dozwolonych podstaw odstąpienia od tych wolności określonych w Traktacie o funkcjonowaniu Unii Europejskiej,, a także w kontekście stosownych przepisów UE, takich jak dyrektywa usługowa i dyrektywa w sprawie handlu elektronicznego. Przykład: W prawie krajowym wymaga się, by lista płac była zlokalizowana w danym państwie członkowskim ze względów związanych z kontrolą regulacyjną, np. przez krajowy organ podatkowy. Taki przepis krajowy wykracza poza zakres art. 1 ust. 3 ogólnego rozporządzenia o ochronie danych, gdyż powody są inne niż ochrona danych osobowych. Konieczna będzie natomiast ocena tego wymogu w kontekście przepisów dotyczących podstawowych wolności oraz dozwolonych podstaw odstąpienia od tych wolności określonych w Traktacie o funkcjonowaniu Unii Europejskiej. W ogólnym rozporządzeniu o ochronie danych uznaje się, że państwa członkowskie mogą wprowadzić warunki, w tym ograniczenia, w odniesieniu do przetwarzania danych genetycznych, danych biometrycznych lub danych dotyczących zdrowia. Jak określono w motywie 53, tego rodzaju ograniczenia krajowe nie powinny jednak utrudniać swobodnego przepływu danych osobowych w Unii, jeżeli warunki te odnoszą się do transgranicznego przetwarzania takich danych. Jest to zgodne z art. 16 Traktatu o funkcjonowaniu Unii Europejskiej, w którym określono podstawę prawną przyjmowania przepisów dotyczących prawa do ochrony danych osobowych oraz zasady dotyczące swobodnego przepływu takich danych. 3.3 Zakres rozporządzenia w sprawie swobodnego przepływu danych nieosobowych Jak już wspomniano, celem rozporządzenia w sprawie swobodnego przepływu danych nieosobowych jest zapewnienie swobodnego przepływu danych nieosobowych „na terytorium Unii”. Nie ma ono zatem zastosowania w przypadku operacji przetwarzania, które mają miejsce poza UE, oraz w przypadku wymogów dotyczących lokalizacji danych związanych z takim przetwarzaniem,. Zgodnie z art. 2 ust. 1 zakres rozporządzenia ogranicza się zatem do przetwarzania elektronicznych danych nieosobowych w UE, które jest: (a)świadczone jako usługa na rzecz użytkowników mających miejsce zamieszkania lub siedzibę w UE, niezależnie od tego, czy dostawca usługi ma swoją siedzibę w Unii czy poza nią; lub (b)prowadzone na potrzeby własne przez osobę fizyczną mającą miejsce zamieszkania w UE lub osobę prawną mającą siedzibę w UE. Przykłady: Art. 2 ust. 1 lit. a) rozporządzenia w sprawie swobodnego przepływu danych nieosobowych: ·Dostawca usług w chmurze mający siedzibę w USA świadczy usługi przetwarzania na rzecz klientów mających miejsce zamieszkania lub siedzibę w UE. Dostawca usług w chmurze zarządza swoją działalnością za pomocą serwerów zlokalizowanych na terytorium UE, gdzie są przechowywane lub w inny sposób przetwarzane dane jego europejskich klientów. Dostawca usług w chmurze nie musi być właścicielem infrastruktury znajdującej się w UE, ale może również na przykład wynajmować przestrzeń serwerową w UE. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych ma zastosowanie do takiego przetwarzania danych. ·Dostawca usług w chmurze mający siedzibę w Japonii oferuje swoje usługi europejskim klientom. Jego zdolności operacyjne w zakresie przetwarzania są zlokalizowane w Japonii i tam odbywają się wszystkie czynności przetwarzania. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych nie ma w tym przypadku zastosowania, jeżeli wszystkie czynności przetwarzania odbywają się poza UE.

Art. 2 ust. 1 lit. b) rozporządzenia w sprawie swobodnego przepływu danych nieosobowych: ·Małe europejskie przedsiębiorstwo typu start-up z państwa członkowskiego A postanawia zwiększyć skalę działania przez otwarcie zakładu w państwie członkowskim B. Aby zminimalizować koszty, przedsiębiorstwo decyduje się na centralizację gromadzenia i przetwarzania danych przez nowy zakład na swoim serwerze, który znajduje się w państwie członkowskim A. Państwa członkowskie nie mogą zakazać takich działań w zakresie centralizacji zaplecza informatycznego, chyba że jest to uzasadnione względami bezpieczeństwa publicznego zgodnie z zasadą proporcjonalności. Rozporządzenie w sprawie swobodnego przepływu danych nieosobowych nie ma wprawdzie zastosowania, jeśli wszystkie czynności przetwarzania danych nieosobowych są prowadzone poza UE, ale należy przestrzegać ogólnego rozporządzenia o ochronie danych, w przypadku gdy częścią zbioru danych są dane osobowe. W każdym przypadku należy przestrzegać zasad dotyczących przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych na podstawie ogólnego rozporządzenia o ochronie danych. 3.4 Działania związane z wewnętrzną organizacją państw członkowskich W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych nie zobowiązuje się państw członkowskich do zlecania na zewnątrz świadczenia usług w zakresie danych nieosobowych, które chcą one świadczyć we własnym zakresie lub organizować w sposób inny niż w drodze zamówień publicznych. Art. 2 ust. 3 akapit drugi rozporządzenia w sprawie swobodnego przepływu danych nieosobowych stanowi, że: „niniejsze rozporządzenie pozostaje bez uszczerbku dla przepisów ustawowych, wykonawczych i administracyjnych dotyczących wewnętrznej organizacji państw członkowskich, przyznających organom publicznym i podmiotom prawa publicznego zdefiniowanym w art. 2 ust. 1 pkt 4 dyrektywy 2014/24/UE uprawnienia i obowiązki w zakresie przetwarzania danych bez wynikającego ze stosunku umownego wynagrodzenia na rzecz podmiotów prywatnych, jak również dla przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich, które przewidują zasady wykonywania tych uprawnień i obowiązków”. Mogą istnieć uzasadnione interesy, które uzasadniałyby wybór tego rodzaju świadczenia usług przetwarzania danych „we własnym zakresie”, w tym „insourcingu”, lub wzajemnych uzgodnień między organami administracji publicznej. Typowe przykłady obejmują wykorzystanie „chmury rządowej” lub zlecanie przez rząd świadczenia usług przetwarzania danych na rzecz instytucji i organów publicznych scentralizowanej agencji informatycznej. W rozporządzeniu w sprawie swobodnego przepływu danych nieosobowych zachęca się jednak państwa członkowskie do rozważenia korzyści ekonomicznych i innych korzyści wynikających ze zlecenia świadczenia usług zewnętrznym dostawcom,. Gdy tylko organy krajowe zaczną zlecać przetwarzanie danych w ramach „outsourcingu” podmiotom prywatnym za wynagrodzeniem wynikającym ze stosunku umownego, a przetwarzanie danych odbywa się w UE, takie przetwarzanie jest objęte rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych, co oznacza, że zasada swobodnego przepływu danych nieosobowych ma zastosowanie do ogólnych i administracyjnych praktyk organów krajowych. Muszą one zwłaszcza powstrzymać się od wprowadzania ograniczeń w zakresie lokalizacji danych, np. w ramach procedur udzielania zamówień publicznych. 4 Podejścia samoregulacyjne wspierające swobodny przepływ danych Samoregulacja przyczynia się do innowacji i zaufania wśród uczestników rynku i może pomóc w lepszym reagowaniu na zmiany na rynku. W niniejszej sekcji przedstawiono przegląd inicjatyw samoregulacyjnych w zakresie przetwarzania danych osobowych i nieosobowych. 4.1 Przenoszenie danych i zmiana dostawcy usług w chmurze Jednym z celów rozporządzenia w sprawie przepływu danych nieosobowych jest uniknięcie uzależnienia od jednego dostawcy. Praktyki te występują wtedy, gdy użytkownicy nie mogą zmienić dostawcy usług, ponieważ ich dane są „zablokowane” w systemie dostawcy, na przykład ze względu na szczególny format danych lub ustalenia umowne, i nie mogą być przenoszone poza system informatyczny dostawcy. Przenoszenie danych bez przeszkód jest ważnym czynnikiem umożliwiającym użytkownikom swobodne dokonywanie wyboru dostawcy usług przetwarzania danych, a tym samym zapewniającym rozwój skutecznej konkurencji na rynku. Przenoszenie danych między przedsiębiorstwami staje się coraz ważniejsze w wielu sektorach cyfrowych, w tym w sektorze usług w chmurze. Zgodnie z art. 6 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych, aby przyczynić się do rozwoju konkurencyjnej gospodarki opartej na danych, Komisja wspiera i ułatwia opracowywanie samoregulacyjnych kodeksów postępowania na poziomie Unii („kodeksy postępowania”). Stanowi on podstawę dla sektora do opracowywania samoregulacyjnych kodeksów postępowania dotyczących zmiany dostawcy usług i przenoszenia danych między różnymi systemami informatycznymi. Przy opracowywaniu takich kodeksów postępowania dotyczących przenoszenia danych należy uwzględnić szereg aspektów, w szczególności: ·najlepsze praktyki w zakresie ułatwiania zmiany dostawcy usług i przenoszenia danych z wykorzystaniem formatów ustrukturyzowanych, powszechnie używanych i nadających się do odczytu maszynowego; ·minimalne wymogi informacyjne mające na celu zapewnienie użytkownikom profesjonalnym, przed zawarciem umowy, wystarczająco dokładnych i jasnych informacji na temat następujących kwestii: procesów, wymogów technicznych, ram czasowych i opłat, które mają zastosowanie w przypadku, gdy użytkownik profesjonalny chce zmienić dostawcę usług lub przenieść dane z powrotem do własnych systemów informatycznych; ·podejścia w zakresie systemów certyfikacji ułatwiających porównywanie usług w chmurze; oraz ·plany działania w zakresie komunikacji w celu upowszechniania wiedzy o kodeksach postępowania.

Na rynku usług w chmurze Komisja zaczęła ułatwiać pracę grup roboczych zajmujących się usługami w chmurze na jednolitym rynku cyfrowym, skupiających ekspertów w dziedzinie usług w chmurze i użytkowników profesjonalnych, w tym małe i średnie przedsiębiorstwa. Na obecnym etapie jedna podgrupa opracowuje samoregulacyjne kodeksy postępowania dotyczące przenoszenia danych i zmiany dostawcy usług w chmurze (grupa robocza SWIPO), zaś inna podgrupa pracuje nad rozwojem certyfikacji bezpieczeństwa usług w chmurze (grupa robocza CSPCERT). Grupa robocza SWIPO opracowuje kodeksy postępowania obejmujące całe spektrum usług w chmurze: infrastruktura jako usługa (Infrastructure as a Service, IaaS), platforma jako usługa (Platform as a Service, PaaS) i oprogramowanie jako usługa (Software as a Service, SaaS). Komisja oczekuje, że poszczególne kodeksy postępowania zostaną uzupełnione wzorcowymi klauzulami umownymi. Umożliwi to dostateczną precyzję techniczną i prawną w zakresie praktycznego wdrażania i stosowania kodeksów postępowania, co będzie miało szczególne znaczenie dla małych i średnich przedsiębiorstw. Planuje się, że projekty wzorcowych klauzul umownych zostaną przygotowane po opracowaniu kodeksów postępowania (co powinno nastąpić do dnia 29 listopada 2019 r.). Zgodnie z art. 8 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych Komisja do dnia 29 listopada 2022 r. oceni wykonanie tego rozporządzenia. Umożliwi to dokonanie oceny: (i) wpływu na swobodny przepływ danych w Europie; (ii) stosowania rozporządzenia, zwłaszcza w odniesieniu do mieszanych zbiorów danych; (iii) zakresu, w jakim państwa członkowskie skutecznie zniosły istniejące nieuzasadnione ograniczenia dotyczące lokalizacji danych; oraz (iv) efektywności rynkowej kodeksów postępowania w dziedzinie przenoszenia danych i zmiany dostawcy usług w chmurze. Pojęcie przenoszenia i powiązanie z ogólnym rozporządzeniem o ochronie danych Oba rozporządzenia odnoszą się do przenoszenia danych i celu, jakim jest ułatwienie przenoszenia danych z jednego środowiska informatycznego do drugiego, tj. do systemów innego dostawcy albo do systemów własnych. Zapobiega to uzależnieniu od jednego dostawcy i sprzyja konkurencji między dostawcami usług. Rozporządzenia różnią się jednak pod względem podejścia do przenoszenia, jeżeli chodzi o relację między docelowymi grupami interesów oraz charakter prawny przepisów. Prawo do przenoszenia danych osobowych na podstawie art. 20 ogólnego rozporządzenia o ochronie danych skupia się na relacji między osobą, której dane dotyczą, a administratorem. Dotyczy ono prawa osoby, której dane dotyczą, do otrzymania w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego danych osobowych, które dostarczyła administratorowi, oraz do przesłania tych danych innemu administratorowi lub do własnych magazynów danych bez przeszkód ze strony administratora, któremu dostarczono te dane osobowe. Zazwyczaj osoby, których dane dotyczą, są w tej relacji konsumentami różnych usług online, którzy chcą zmienić dostawcę tych usług. Art. 6 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych nie przewiduje prawa użytkowników profesjonalnych do przenoszenia danych, ale obejmuje podejście oparte na samoregulacji i uwzględniające dobrowolne kodeksy postępowania dla tego sektora. Jednocześnie odnosi się on do sytuacji, w której użytkownik profesjonalny zlecił w ramach outsourcingu przetwarzanie swoich danych osobie trzeciej oferującej usługi przetwarzania danych.Zgodnie z art. 3 pkt 8 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych pojęcie „użytkownik profesjonalny” może obejmować zarówno osoby fizyczne, jak i prawne, w tym organy publiczne lub podmioty prawa publicznego, korzystające lub ubiegające się o skorzystanie z usługi przetwarzania danych do celów związanych z ich działalnością handlową, gospodarczą, rzemieślniczą, zawodową lub wykonywanym zadaniem. W praktyce przenoszenie danych zgodnie z art. 6 rozporządzenia w sprawie swobodnego przepływu danych nieosobowych dotyczy interakcji B2B między użytkownikiem profesjonalnym (którego w przypadkach obejmujących przetwarzanie danych osobowych można zakwalifikować jako „administratora” zgodnie z ogólnym rozporządzeniem o ochronie danych) a dostawcą usług (którego należy analogicznie zakwalifikować w niektórych przypadkach jako „podmiot przetwarzający’). Mimo różnic mogą pojawić się sytuacje, w których przenoszenie danych byłoby objęte zarówno rozporządzeniem w sprawie swobodnego przepływu danych nieosobowych, jak i ogólnym rozporządzeniem o ochronie danych w odniesieniu do mieszanych zbiorów danych. Przykład: Przedsiębiorstwo korzystające z usług w chmurze postanawia zmienić dostawcę tego rodzaju usług i przenieść wszystkie dane do nowego dostawcy. Zmianę dostawcy usług i przenoszenie danych uwzględniono w umowie zawartej między klientem a dostawcą usług w chmurze. Jeżeli dotychczasowy dostawca usług w chmurze przestrzega kodeksów postępowania opracowanych na podstawie rozporządzenia w sprawie swobodnego przepływu danych nieosobowych, przenoszenie danych musi odbywać się zgodnie z wymogami określonymi w tych kodeksach. Jeżeli częścią przenoszonych zbiorów danych są również dane osobowe, przenoszenie musi być zgodne ze wszystkimi odpowiednimi przepisami ogólnego rozporządzenia o ochronie danych, przy zapewnieniu w szczególności, aby nowy dostawca usług w chmurze przestrzegał mających zastosowanie wymogów, takich jak wymogi w zakresie bezpieczeństwa. Przykład: W przypadku gdy bank podejmuje decyzję o zmianie dostawcy usług w zakresie zarządzania relacjami z klientami (CRM), możliwe jest, że niektóre dane (osobowe i nieosobowe) będą musiały zostać przeniesione od dotychczasowego dostawcy do nowego. Dane te będą następnie podlegać różnym wymogom regulacyjnym – niektóre wymogom wynikającym z ogólnego rozporządzenia o ochronie danych, zaś inne wymogom wynikającym z rozporządzenia w sprawie swobodnego przepływu danych nieosobowych. 4.2 Kodeksy postępowania i systemy certyfikacji w zakresie ochrony danych osobowych Kodeksy postępowania i systemy certyfikacji można wykorzystać do wykazania spełnienia obowiązków wynikających z ogólnego rozporządzenia o ochronie danych (zob. art. 24 ust. 3 i art. 28 ust. 5). Zgodnie z art. 40 ust. 1 i art. 42 ust. 1 ogólnego rozporządzenia o ochronie danych państwa członkowskie, organy nadzorcze, Europejska Rada Ochrony Danych i Komisja powinny zachęcać sektor do opracowywania kodeksów postępowania oraz do ustanowienia mechanizmów certyfikacji w zakresie ochrony danych. Stowarzyszenia lub inne podmioty reprezentujące szczególną kategorię administratorów lub podmiotów przetwarzających mogą opracować kodeks postępowania dla danego sektora. Projekt kodeksu musi zostać przedłożony odpowiedniemu właściwemu organowi nadzorczemu do zatwierdzenia. Jeżeli projekt kodeksu postępowania dotyczy czynności przetwarzania w kilku państwach członkowskich, organ nadzorczy musi go przedłożyć przed zatwierdzeniem Europejskiej Radzie Ochrony Danych. Rada wyda następnie swoją opinię na temat tego, czy projekt kodeksu jest zgodny z ogólnym rozporządzeniem o ochronie danych.