Turcja nie znajduje się obecnie na liście państw, dla których Komisja Europejska wydała decyzję o adekwatności. Oznacza to, że przekazywanie danych osobowych do Turcji jest traktowane jako transfer do państwa trzeciego i wymaga zastosowania dodatkowych zabezpieczeń zgodnych z RODO.
W praktyce może to oznaczać konieczność zastosowania standardowych klauzul umownych, przeprowadzenia analizy transferu danych oraz wdrożenia dodatkowych środków technicznych i organizacyjnych, takich jak szyfrowanie, pseudonimizacja czy ograniczenie dostępu.
Nie liczy się tylko lokalizacja serwerów
Sama informacja, że dane są przechowywane na serwerach w Unii Europejskiej, nie zawsze oznacza brak transferu do Turcji. Jeżeli pracownicy lub podwykonawcy znajdujący się w Turcji mają zdalny dostęp do danych zapisanych na przykład we Frankfurcie, taki dostęp może być uznany za transfer danych do Turcji.
Znaczenie ma również to, kto faktycznie decyduje o sposobie przetwarzania danych, działaniu algorytmów i profilowaniu użytkowników. Samo wskazanie w umowie polskiej lub unijnej spółki jako dostawcy nie wystarczy, jeżeli rzeczywista kontrola nad danymi znajduje się poza UE.
Nie można automatycznie przenosić zgód
Zgody zebrane na potrzeby jednego narzędzia, takiego jak Google Analytics, nie powinny być automatycznie wykorzystywane przy wdrażaniu Segmentify, Insidera lub innej platformy.
Każdy dostawca może przetwarzać dane w innym celu, korzystać z innych podwykonawców lub przekazywać dane do innych państw. Dlatego zmiana narzędzia może wymagać aktualizacji:
- mechanizmu zgód;
- polityki prywatności;
- umów powierzenia;
- listy podwykonawców;
- dokumentacji dotyczącej transferu danych.
Co należy zweryfikować?
Przed rozpoczęciem współpracy z dostawcą korzystającym z infrastruktury lub zespołów w Turcji warto sprawdzić:
- gdzie faktycznie znajdują się dane i kopie zapasowe;
- kto ma do nich dostęp;
- z jakich państw prowadzony jest zdalny dostęp;
- kto decyduje o profilowaniu i działaniu algorytmów;
- czy turecki podmiot jest procesorem, subprocesorem czy administratorem;
- jakie zabezpieczenia prawne i techniczne zastosowano.
Brak decyzji o adekwatności dla Turcji nie wyklucza współpracy z tureckim dostawcą, ale wymaga dokładnej analizy transferu i odpowiedniego udokumentowania całego procesu. Najważniejsze jest nie tylko to, co zapisano w umowie, lecz także to, jak dane są faktycznie przetwarzane.
Jeśli myślisz o skorzystaniu z marketingowego rozwiązania tureckiego – wybierz lepiej polski 🇵🇱 Quarticon. Quarticon to znacznie bardziej zaawansowany silnik rekomendacji i lepsza wyszukiwarka AI. Quarticon to narzędzia bez zbędnych informacji o cookiesach, odrębnych zgód, bez transferu danych do państwa trzeciego i działające na każdym urządzeniu, w każdej przeglądarce, a nie tylko na około 40% z nich!
