GDPR – Treće zemlje

S obzirom na međunarodnu trgovinu i suradnju, ovih je dana bitno moći prenijeti podatke i u treće zemlje. Ispitivanje legitimnosti takvog prijenosa provodi se u dvije faze.

Prvo, prijenos podataka sam po sebi mora biti zakonit. Svaka obrada osobnih podataka zabranjena je ali podložna mogućnosti autorizacije. Osim pristanka, Članak 6. Opće uredbe o zaštiti podataka (GDPR) utvrđuje daljnje razloge za autorizaciju, kao što su ispunjavanje ugovora ili zaštita vitalnih interesa. Za posebne osobne podatke koji zahtijevaju višu razinu zaštite, Članak 9. GDPR-a pruža zasebne pravne zahtjeve.

Ako predviđeni prijenos podataka ispunjava opće zahtjeve, treba u drugom koraku provjeriti je li prijenos u treću zemlju dopušten. Treba razlikovati između sigurnih i nesigurnih trećih zemalja. Sigurne treće zemlje su one za koje je Europska komisija potvrdila odgovarajuću razinu zaštite podataka na temelju odluke o primjerenosti. U tim zemljama, nacionalni zakoni pružaju razinu zaštite osobnih podataka koja je usporediva s onima EU zakona. Treće zemlje koje osiguravaju odgovarajuću razinu zaštite su: Andora, Argentina, Kanada (samo komercijalne organizacije), Farski otoci, Guernsey, Izrael, Otok Man, Jersey, Novi Zeland, Švicarska, Urugvaj, Japan, Ujedinjeno Kraljevstvo i Južna Koreja. Prijenos podataka u te zemlje je izričito dopušten.

Od 10. srpnja 2023. postoji odluka o primjerenosti za takozvani EU-SAD okvir za privatnost podataka. To omogućuje prijenos osobnih podataka iz EU-a tvrtkama i organizacijama u SAD-u koje su se certificirale prema Okviru za privatnost podataka. Tvrtke i organizacije koje su već certificirane mogu se pronaći na ovom popisu. Prijenosi podataka prema necetrificiranim američkim tvrtkama i organizacijama više se ne mogu temeljiti na Provedbenoj odluci Komisije (EU) 2016/1250 od 12. srpnja 2016. u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća o primjerenosti zaštite podataka štita privatnosti EU-SAD. Jer je presudom “Schrems II” od 16. srpnja 2020. (u predmetu C-311/18), ECJ ovu Provedbenu odluku proglasio nevažećom s trenutnim učinkom. Prijenosi podataka prema necetrificiranim američkim tvrtkama i organizacijama zahtijevaju druga jamstva, sukladno čl. 44. i sl. GDPR-a, kako bi se stvorila odgovarajuća razina zaštite podataka.

Ako ne postoji odluka o primjerenosti za neku zemlju, to ne isključuje nužno svaki prijenos podataka u tu zemlju. Umjesto toga, voditelj obrade mora na drugi način osigurati da će primatelj primjereno zaštititi osobne podatke. To se može osigurati korištenjem standardnih ugovornih klauzula, za prijenose podataka unutar Grupe putem takozvanih „obvezujućih korporativnih pravila“, kroz obvezu pridržavanja kodeksa ponašanja koje je Europska komisija proglasila općenito primjenjivima ili certifikacijom postupka obrade podataka.

Nadalje, postoje nekoliko iznimaka koje legitimiraju prijenos podataka u treću zemlju, čak i ako zaštita osobnih podataka ne može biti dovoljno osigurana. Najčešće je ovdje relevantan pristanak ispitanika. Istovremeno, posebno se mora obratiti pozornost na zahtjeve da takav pristanak bude dan slobodno. Daljnje iznimke, poput prijenosa radi ispunjenja ugovora, važnih razloga od javnog interesa i ostvarivanja pravnih prava, obično su manje relevantne u praksi.