EDPB wprowadza nowy proces zatwierdzania wiążących reguł korporacyjnych

Europejska Rada Ochrony Danych opublikowała nowy dokument szczegółowo opisujący proces zatwierdzania wiążących reguł korporacyjnych dla administratorów i podmiotów przetwarzających. Te zaktualizowane ramy mają na celu usprawnienie współpracy między organami nadzorczymi UE i wyjaśnienie kroków zatwierdzania dla firm korzystających z wiążących reguł korporacyjnych w celu ułatwienia międzynarodowych transferów danych.

BCR to wewnętrzne polityki ochrony danych, które międzynarodowe firmy wykorzystują do legalnego przekazywania danych osobowych poza UE/EOG przy jednoczesnym zachowaniu zgodności z wymogami GDPR.

BCR zapewniają długoterminowe, prawnie uznane rozwiązanie dla międzynarodowych przepływów danych, zapewniając spójny poziom ochrony w całej grupie korporacyjnej.

W przeciwieństwie do standardowych klauzul umownych, które wymagają oddzielnych umów dla każdego transferu, BCR oferują ujednolicone ramy zgodności.

BCR są zatwierdzane przez organy ochrony danych UE i wymagają ścisłych zobowiązań organizacyjnych, technicznych i prawnych.

Kluczowe aktualizacje w procesie zatwierdzania wiążących reguł korporacyjnych:

✔️ Nowe kryteria identyfikacji wiodącego organu nadzorczego BCR - Czynniki takie jak lokalizacja siedziby spółki w UE i podmiot odpowiedzialny za zgodność z przepisami o ochronie danych będą określać wiodący organ.

✔️ Proces zatwierdzania krok po kroku - Proces składa się teraz z kilku ustrukturyzowanych faz:

🔹 Faza przeglądu wiodącego organu nadzorczego - wyznaczony organ nadzorczy dokonuje przeglądu projektu wiążących reguł korporacyjnych.

🔹Faza współprzeglądu - dodatkowe organy nadzoru są proszone o przekazanie informacji zwrotnych.

🔹Etap współpracy - wiążące reguły korporacyjne są przekazywane wszystkim właściwym organom.

🔹Sesja BCR - organy omawiają wszelkie kontrowersyjne lub nierozwiązane kwestie.

🔹Faza opinii EDPB - EDPB wydaje niewiążącą opinię na temat zatwierdzenia.

Ostateczne zatwierdzenie przez organ wiodący BCR - organ wiodący oficjalnie zatwierdza BCR, które muszą zostać przetłumaczone na wszystkie odpowiednie języki UE.

Firmy poszukujące długoterminowej pewności prawnej dla globalnych transferów danych powinny rozważyć złożenie wniosku o BCR. Chociaż proces zatwierdzania jest wymagający, BCR oferują większą elastyczność i stabilność niż SCC.

Link

EDPB Releases New Approval Process for Binding Corporate Rules

The European Data Protection Board published a new document detailing Binding Corporate Rules's approval process for controllers and processors. This updated framework aims to streamline cooperation between EU Supervisory Authorities and clarify the approval steps for companies using BCRs to facilitate international data transfers.

BCRs are internal data protection policies that multinational companies use to legally transfer personal data outside the EU/EEA while complying with hasztag#GDPR requirements.

BCRs provide a long-term, legally recognized solution for international data flows, ensuring a consistent level of protection across a corporate group.

Unlike Standard Contractual Clauses, which require separate agreements for each transfer, BCRs offer a unified compliance framework.

BCRs are approved by EU Data Protection Authorities and require strict organizational, technical, and legal commitments.

Key Updates in the BCR Approval Process:

✔️ New Criteria for Identifying the BCR Lead Supervisory Authority – Factors like the location of the company’s EU headquarters and the entity responsible for data protection compliance will determine the lead authority.

✔️ Step-by-Step Approval Process – The process now consists of several structured phases:

🔹 BCR Lead Review Phase – The designated Supervisory Authority reviews the draft BCR.

🔹 Co-Review Phase – Additional SAs are invited to provide feedback.

🔹 Cooperation Phase – The BCR is circulated to all relevant authorities.

🔹 BCR Session – Authorities discuss any controversial or unresolved issues.

🔹 EDPB Opinion Phase – The EDPB provides a non-binding opinion on the approval.

🔹 Final Approval by the BCR Lead – The lead SA officially approves the BCR, and it must be translated into all relevant EU languages.

Companies seeking long-term legal certainty for global data transfers should consider applying for BCRs. While the approval process is demanding, BCRs offer greater flexibility and stability than SCCs.

Link

Autor: Sebastian Burgemejster