Korzystanie z amerykańskiego dostawcy formularzy na gruncie RODO

Artykuły od 44 do 49 RODO regulują przekazywanie danych osobowych do państw spoza UE i EOG. Przekazanie wymaga jednego z trzech: decyzji stwierdzającej odpowiedni stopień ochrony w państwie docelowym (art. 45), odpowiednich zabezpieczeń, takich jak standardowe klauzule umowne (art. 46), lub, w sytuacjach okazjonalnych, jednego z odstępstw z art. 49.

W przypadku formularza najbardziej oczywistym miejscem do sprawdzenia jest dostawca, który odbiera i przechowuje zgłoszenia. Nie jest to jedyne miejsce. Powiadomienie e-mail może trafić do skrzynki hostowanej za granicą, a webhook lub narzędzie automatyzacji może przekazać te same dane dalej. Każde z nich to osobne pytanie.

16 lipca 2020 r. Trybunał Sprawiedliwości wydał wyrok w sprawie Data Protection Commissioner przeciwko Facebook Ireland i Schrems (C-311/18). Unieważnił on tarczę prywatności UE-USA (Privacy Shield), uznając, że amerykańskie przepisy o inwigilacji oraz środki ochrony dostępne Europejczykom nie spełniają standardu UE.

Trybunał uznał, że standardowe klauzule umowne pozostają ważne, z zastrzeżeniem: eksporter musi sprawdzać w każdym przypadku osobno, czy prawo państwa docelowego pozwala importerowi dotrzymywać zobowiązań, i stosować dodatkowe środki uzupełniające, jeśli nie pozwala. Europejska Rada Ochrony Danych opisała, jak to zrobić, w Zaleceniach 01/2020 dotyczących środków uzupełniających, przyjętych w wersji ostatecznej 18 czerwca 2021 r.

10 lipca 2023 r. Komisja przyjęła decyzję wykonawczą (UE) 2023/1795, stwierdzając, że Stany Zjednoczone zapewniają odpowiedni poziom ochrony danych przesyłanych do firm certyfikowanych w ramach Data Privacy Framework UE-USA. Opiera się ona na amerykańskim rozporządzeniu wykonawczym 14086, które wprowadziło ograniczenia dla wywiadu sygnałowego oraz ścieżkę odwoławczą przed Sądem ds. Ochrony Danych (Data Protection Review Court).

Dla właściciela formularza oznacza to: jeśli amerykański dostawca jest certyfikowany, a jego certyfikat obejmuje rodzaj danych, które wysyłasz, transfer nie wymaga dodatkowego narzędzia. Firmę możesz sprawdzić na oficjalnej liście Data Privacy Framework. Dostawca, którego nie ma na tej liście, potrzebuje innej podstawy, zwykle standardowych klauzul umownych.

Framework został zakwestionowany. Sąd Unii Europejskiej oddalił skargę w sprawie Latombe przeciwko Komisji (T-553/23) 3 września 2025 r., a skarżący wniósł odwołanie do Trybunału Sprawiedliwości jako sprawa C-703/25 P. Dwa wcześniejsze porozumienia, Safe Harbor i Privacy Shield, zostały unieważnione przez Trybunał, dlatego wiele organizacji zachowuje w umowach rozwiązanie zapasowe na wypadek upadku nowych ram.

Obecne klauzule przyjęto w decyzji wykonawczej Komisji (UE) 2021/914 z 4 czerwca 2021 r. Mają one moduły dla różnych relacji; w przypadku usługi formularzy działającej w Twoim imieniu zwykle stosuje się moduł administrator-podmiot przetwarzający. Ich zastosowanie oznacza przeprowadzenie oceny skutków transferu i zapisanie wyniku, co dla małej strony jest realną pracą. Jest to jeden z powodów, dla których Data Privacy Framework jest popularny wśród amerykańskich dostawców, którzy się certyfikowali.

Te pytania sprawdzają się równie dobrze w przypadku dostawców z USA i z Europy, a dobry dostawca odpowiada na nie w publicznie dostępnych dokumentach:

1. Gdzie są przechowywane zgłoszenia, przesyłane pliki i kopie zapasowe?
2. Którzy podprocesorzy mają dostęp do danych zgłoszeń i w jakich krajach się znajdują?
3. W przypadku każdego transferu poza UE, jakie narzędzie ma zastosowanie: decyzja o adekwatności, certyfikacja DPF czy SCC?
4. Czy umowa powierzenia przetwarzania danych (DPA) jest opublikowana lub dostępna przed rejestracją i czy wymienia podprocesorów?
5. Czy pracownicy spoza UE mogą mieć dostęp do danych w ramach wsparcia i z jakimi zabezpieczeniami?
6. Czy e-mail z powiadomieniem zawiera pełne zgłoszenie i czy można to wyłączyć?
7. Jak dostawca postępuje w przypadku żądania udostępnienia danych przez zagraniczny organ?

Nasze strony porównawcze zbierają to, co kilku dostawców publicznie mówi o lokalizacji danych. Sprawdź także ich aktualne dokumenty, ponieważ polityki się zmieniają.

Formward jest prowadzony przez szwedzką firmę. Aplikacja, baza danych i przesyłane pliki są hostowane w Szwecji. E-maile z powiadomieniami wysyła dostawca z UE, a opcjonalne funkcje AI w planach Professional i Business działają na modelu Mistral w UE. Płatności obsługuje Stripe Payments Europe, Limited, z siedzibą w Irlandii, i dotyczą wyłącznie danych rozliczeniowych płacącego klienta.

Jedynym punktem styku z USA jest Cloudflare Turnstile, czyli zabezpieczenie przed botami, które jest wyłączone, dopóki nie włączysz go dla formularza. Gdy jest włączone, Cloudflare widzi dane wyzwania z przeglądarki odwiedzającego, a nie odpowiedzi z formularza. Miejsca docelowe, które dodajesz samodzielnie, np. webhook, kanał Slack czy skrzynka pocztowa hostowana gdzie indziej, trafiają tam, gdzie je wskażesz.