GDPR – Harmadik országok

Az nemzetközi kereskedelem és együttműködés szempontjából napjainkban elengedhetetlen, hogy képesek legyünk adatokat továbbítani harmadik országokba is. Az ilyen adatátvitel jogszerűségének vizsgálata két szakaszban történik.

Először is, az adattovábbításnak magának kell jogszerűnek lennie. A személyes adatok bármilyen feldolgozása tilos, de engedélyezési lehetőség alá tartozik. A hozzájáruláson túl az általános adatvédelmi rendelet (GDPR) 6. cikke további engedélyezési okokat határoz meg, mint például a szerződés teljesítése vagy létfontosságú érdekek védelme. Az olyan speciális személyes adatok esetében, amelyek magasabb szintű védelmet igényelnek, a GDPR 9. cikke külön jogi követelményeket ír elő.

Ha a tervezett adattovábbítás megfelel az általános követelményeknek, a második lépésben ellenőrizni kell, hogy harmadik országba történő továbbítás megengedett-e. Meg kell különböztetni a biztonságos és a nem biztonságos harmadik országokat. A biztonságos harmadik országok azok, amelyek esetében az Európai Bizottság megfelelőségi határozat alapján megfelelő adatvédelmi szintet erősített meg. Ezekben az országokban a nemzeti jogszabályok hasonló szintű védelmet biztosítanak a személyes adatok számára, mint az uniós jog. A megfelelő védelmi szintet biztosító harmadik országok a következők: Andorra, Argentína, Kanada (csak kereskedelmi szervezetek), Feröer-szigetek, Guernsey, Izrael, Man-sziget, Jersey, Új-Zéland, Svájc, Uruguay, Japán, Egyesült Királyság és Dél-Korea. Az adatok ezekbe az országokba történő továbbítása kifejezetten megengedett.

2023. július 10. óta létezik megfelelőségi határozat az úgynevezett EU-USA Adatvédelmi Keretrendszerről. Ez lehetővé teszi a személyes adatok átvitelét az EU-ból olyan amerikai cégekhez és szervezetekhez, amelyek a tanúsítás révén csatlakoztak az Adatvédelmi Keretrendszerhez. A már tanúsított cégek és szervezetek megtalálhatók ebben a listában. A nem tanúsított amerikai cégekhez és szervezetekhez történő adattovábbítás már nem alapulhat az Európai Parlament és Tanács irányelvének 95/46/EK szerinti, 2016. július 12-i bizottsági végrehajtási határozaton (EU) 2016/1250 az EU-USA adatvédelmi pajzs (Privacy Shield) megfelelőségéről. Mivel a 2020. július 16-i „Schrems II” ítéletben (C-311/18 ügy) az Európai Bíróság ezt a végrehajtási határozatot azonnali hatállyal semmisnek nyilvánította. A nem tanúsított amerikai cégekhez és szervezetekhez történő adattovábbításhoz más garanciák szükségesek a GDPR 44. cikk és azt követő cikkei szerint, hogy megfelelő szintű adatvédelmet biztosítsanak.

Ha egy országra nincs megfelelőségi határozat, ez nem feltétlenül zárja ki az adatátvitelt ebbe az országba. Az adatkezelőnek más módon kell biztosítania, hogy a személyes adatok a címzett részéről megfelelő védelemben részesüljenek. Ez biztosítható szabványos szerződési feltételek alkalmazásával, adatátvitel esetén egy csoporton belül az úgynevezett „kötelező érvényű vállalati szabályok” révén, az általánosan alkalmazhatónak nyilvánított magatartási kódexek betartásának elköteleződésével, vagy az adatfeldolgozási eljárás tanúsításával.

Ezenkívül számos kivétel van, amelyek legitimizálják az adatátvitelt egy harmadik országba, még akkor is, ha a személyes adatok védelme nem biztosítható megfelelően. Leggyakrabban az érintett személy hozzájárulása releváns itt. Ugyanakkor különösen figyelembe kell venni azokat a követelményeket, amelyek szerint egy ilyen hozzájárulást önkéntesen kell megadni. További kivételek, mint például a szerződések teljesítéséhez szükséges adatátvitel, fontos közérdekű okok és a jogi jogok érvényesítése általában kevésbé relevánsak a gyakorlatban.