Turcja – brak decyzji o adekwatności a transfer danych

Ponieważ Turcja nie znajduje się na liście państw, dla których Komisja Europejska wydała decyzję o adekwatności*, przekazywanie danych osobowych do Turcji jest traktowane jako transfer do państwa trzeciego. Wymaga uzyskania odrębnych zgód od użytkowników oraz zastosowania dodatkowych zabezpieczeń zgodnych z RODO. Czy warto?

W praktyce może to oznaczać konieczność zastosowania standardowych klauzul umownych, przeprowadzenia analizy transferu danych oraz wdrożenia dodatkowych środków technicznych i organizacyjnych, takich jak szyfrowanie, pseudonimizacja czy ograniczenie dostępu.

Nie liczy się tylko lokalizacja serwerów

Sama informacja, że dane są przechowywane na serwerach w Unii Europejskiej, nie zawsze oznacza brak transferu do Turcji. Jeżeli pracownicy lub podwykonawcy znajdujący się w Turcji mają zdalny dostęp do danych zapisanych na przykład we Frankfurcie, taki dostęp jest uznawany za transfer danych do Turcji.

Identyczna sytuacja występuje wtedy, kiedy turecki podmiot zakłada oddział, czy spółkę na terenie Polski lub innego państwa UE. Znaczenie ma to, kto faktycznie decyduje o sposobie przetwarzania danych, działaniu algorytmów i profilowaniu użytkowników. Samo wskazanie w umowie polskiej lub unijnej spółki jako dostawcy nie wystarczy, jeżeli rzeczywista kontrola nad danymi znajduje się poza UE.

Nie można automatycznie przenosić zgód

Oczywiście zgody zebrane na potrzeby jednego narzędzia, takiego jak Google Analytics, nie powinny być automatycznie wykorzystywane przy wdrażaniu Segmentify, Insidera lub innej platformy pochodzącej z Turcji.

Każdy dostawca może przetwarzać dane w innym celu, korzystać z innych podwykonawców lub przekazywać dane do innych państw. Dlatego zmiana narzędzia może wymagać aktualizacji: mechanizmu zgód, polityki prywatności, umów powierzenia, listy podwykonawców, dokumentacji dotyczącej transferu danych. W przypadku narzędzi marketingowych wymaga to odrębnych, czytelnych zgód użytkowników na stronie internetowej.

Ważne – zgody nie mogą być ukryte pod inne grupy narzędzi z państw UE lub państw, dla których wydano decyzję o adekwatności. Czyli np. nie można ukryć takiego narzędzia pod „Cookiesy statystyczne” – gdyż decyzja użytkownika o zgodzie na transfer danych do kraju trzeciego musi być świadoma.

Tureckie narzędzia marketingowe – co należy zweryfikować?

Przed rozpoczęciem współpracy z dostawcą korzystającym z infrastruktury lub zespołów w Turcji warto sprawdzić: gdzie faktycznie znajdują się dane i kopie zapasowe i kto ma do nich dostęp. Z jakich państw prowadzony jest zdalny dostęp i kto decyduje o profilowaniu i działaniu algorytmów. Jaka role pełni podmiot turecki – czy jest procesorem, subprocesorem czy administratorem i jakie zabezpieczenia prawne i techniczne zastosowano. W przypadku tureckich narzędzi SaaS sprawa jest jednak bezdyskusyjna – zdalny dostęp i decyzje o działaniu algorytmów + dostęp do danych zawsze mają osoby z Turcji.

Brak decyzji o adekwatności dla Turcji nie wyklucza współpracy z tureckim dostawcą, ale wymaga uzyskania odrębnych, świadomych zgód użytkowników, dokładnej analizy transferu i odpowiedniego udokumentowania całego procesu. Najważniejsze jest nie tylko to, co zapisano w umowie, lecz także to, jak dane są faktycznie przetwarzane.

Jeśli myślisz o skorzystaniu z marketingowego rozwiązania tureckiego – wybierz lepiej polski 🇵🇱 Quarticon. Quarticon to znacznie bardziej zaawansowany silnik rekomendacji i lepsza wyszukiwarka AI. Quarticon to narzędzia bez zbędnych informacji o cookiesach, odrębnych zgód, bez transferu danych do państwa trzeciego i działające na każdym urządzeniu, w każdej przeglądarce, a nie tylko na około 40% z nich!

Na ten temat w mediach: transfer danych do Turcji (Marketing w Praktyce), transfer danych do państw trzecich (Inspektorzy ODO), kraje objęte decyzją o adekwatności (UODO)