GDPR – Třetí země

Vzhledem k mezinárodnímu obchodu a spolupráci je v současnosti nezbytné, aby bylo možné také přenášet data do třetích zemí. Zkoumání zákonnosti takového přenosu probíhá ve dvou fázích.

Nejprve musí být samotný přenos údajů legální. Jakékoliv zpracování osobních údajů je zakázáno, ale podléhá možnosti povolení. Kromě souhlasu stanoví čl. 6 Obecného nařízení o ochraně osobních údajů (GDPR) další důvody autorizace, jako je plnění smlouvy nebo ochranu životně důležitých zájmů. Pro zvláštní osobní údaje, které vyžadují vyšší stupeň ochrany, poskytuje čl. 9 GDPR samostatné právní požadavky.

Pokud plánovaný přenos dat splňuje obecné požadavky, je třeba ve druhém kroku ověřit, zda je přenos do třetí země povolen. Musí se rozlišovat mezi bezpečnými a nebezpečnými třetími zeměmi. Bezpečné třetí země jsou ty, pro které Evropská komise na základě rozhodnutí o odpovídající ochraně potvrdila odpovídající úroveň ochrany dat. V těchto zemích poskytují národní zákony úroveň ochrany osobních údajů srovnatelnou s právem EU. Třetími zeměmi, které zajišťují odpovídající úroveň ochrany, jsou: Andorra, Argentina, Kanada (pouze komerční organizace), Faerské ostrovy, Guernsey, Izrael, Ostrov Man, Jersey, Nový Zéland, Švýcarsko, Uruguay, Japonsko, Spojené království a Jižní Korea. Přenos dat do těchto zemí je výslovně povolen.

Od 10. července 2023 existuje rozhodnutí o přiměřenosti pro takzvaný Rámec EU-USA pro soukromí dat. Toto rozhodnutí umožňuje přenos osobních údajů z EU do společností a organizací v USA, které se k Rámci pro soukromí dat připojily prostřednictvím certifikace. Společnosti a organizace, které již byly certifikovány, lze nalézt v tomto seznamu. Přenosy dat do necertifikovaných amerických společností a organizací již nelze opírat o Prováděcí rozhodnutí Komise (EU) 2016/1250 z 12. července 2016 v souladu se směrnicí 95/46/ES Evropského parlamentu a Rady o přiměřenosti ochrany osobních údajů mezi EU a USA (Privacy Shield). Protože rozsudkem „Schrems II“ z 16. července 2020 (ve věci C-311/18) SDEU tohoto prováděcího rozhodnutí okamžitě zrušil platnost. Přenos dat do necertifikovaných amerických společností a organizací vyžaduje jiné záruky podle čl. 44 a násl. GDPR k vytvoření odpovídající úrovně ochrany dat.

Pokud pro zemi neexistuje rozhodnutí o přiměřenosti, neznamená to nutně, že je přenos dat do této země vyloučen. Správce musí naopak zajistit jiným způsobem, že osobní údaje budou příjemcem dostatečně chráněny. To lze zajistit pomocí standardních smluvních ustanovení, při přenosech dat v rámci skupiny pomocí takzvaných „závazných podnikových pravidel“, závazkem dodržovat kodexy chování, které byly Evropskou komisí prohlášeny za obecně použitelné, nebo certifikací postupu zpracování dat.

Dále existuje několik výjimek, které legalizují přenos údajů do třetí země, i když nelze dostatečně zajistit ochranu osobních údajů. Nejčastěji je v této souvislosti relevantní souhlas subjektu údajů. Zároveň je nutné zvláště zaznamenat požadavky na to, aby byl takový souhlas poskytnut svobodně. Další výjimky, jako je přenos k plnění smluv, důležité důvody veřejného zájmu a uplatnění právních nároků, jsou v praxi obvykle méně relevantní.