3.2. Mida pidada silmas, kui isikuandmeid edastatakse ühest riigist teise?

Riikidevahelisel andmete liikumisel kehtib üldine põhimõte, et sihtriigis peab olema tagatud piisav andmekaitse tase. Teatud riikide puhul peetakse kaitset piisavaks, teiste puhul on Tartu Ülikoolil kui vastutaval töötlejal kohustus võtta lisameetmeid. Seepärast tuleks näiteks kolmandatesse riikidesse isikuandmete edastamise soovi korral pidada alati nõu ülikooli andmekaitse peaspetsialistiga.

3.2.1.    Euroopa Liidu liikmesriigid, Island, Liechtenstein ja Norra

Kui isikuandmeid edastatakse Euroopa majanduspiirkonna riikidesse, on piisav kaitse tagatud üldmäärusega ja sellisel juhul ei teki ühtki lisapiirangut ega -nõuet. Järgida tuleb üldpõhimõtteid: töötlemine peab olema seaduslik, õiglane, läbipaistev, turvaline, eesmärgipärane ja minimaalne. Samuti peab andmete edastamiseks olema sõlmitud leping.

Siiski on teadustööd ja teaduseetikat puudutav eri EL-i liikmesriikide seadustes mõnevõrra erinevalt reguleeritud. Seetõttu on soovitatav partneritega arutada, millised isikuandmetega seotud nõuded teises riigis kehtivad.

3.2.2.    Piisava andmekaitse tasemega kolmandad riigid

Kui andmeid saadetakse Euroopa majanduspiirkonna välisesse ehk kolmandasse riiki, tuleb hinnata sealse andmekaitse taset. Euroopa Komisjon on leidnud, et andmekaitse on piisav Andorras, Argentinas, Kanadas, Fääri saartel, Iisraelis, Jaapanis, Korea Vabariigis, Šveitsis, Uruguays, Uus-Meremaal, Ühendkuningriigis ja Briti krooni sõltkondades Guernsey, Mani ja Jersey saarel. Seal ei ole lisakaitsemeetmed vajalikud ja kehtivad samad nõuded mis EL-i liikmesriikide puhul.

3.2.3.    Muud kolmandad riigid

2016. aastal hindas Euroopa Komisjon EL-i–USA andmekaitseraamistiku Privacy Shield kaitsetaseme poolest piisavaks, kuid Euroopa Kohtu 2020. aasta otsusega see hinnang tühistati – seega ei ole Ameerika Ühendriikide andmekaitse tase praegu piisav. Eesti ja USA vaheline isikuandmete vahetus vajab seepärast lisakaitsemeetmeid. Selleks sobib näiteks USA-s asuva asutusega sõlmitav andmete edastamise leping või mõni muu üldmääruse artiklis 46 nimetatud meede. Lisaks tuleb isikuandmete saatmisel USA-sse teha andmekaitsealane mõjuhinnang (vt p 2.14.3).

Ka kõigi muude kolmandate riikide puhul, mille andmekaitse taset ei ole Euroopa Komisjon piisavaks tunnistanud, tuleb vastutaval töötlejal rakendada lisakaitsemeetmeid, mis tähendab enamasti kolmandas riigis asuva koostööpartneriga eraldi lepingu sõlmimist.