GDPR – Trečiosios šalys

Atsižvelgiant į tarptautinę prekybą ir bendradarbiavimą, šiais laikais yra būtina perduoti duomenis trečiosioms šalims. Tokio perdavimo teisėtumo nagrinėjimas vyksta dviem etapais.

Pirma, pats duomenų perdavimas turi būti teisėtas. Bet koks asmens duomenų tvarkymas yra draudžiamas, tačiau gali būti leidžiamas gavus leidimą. Be sutikimo, Bendrojo duomenų apsaugos reglamento (BDAR) 6 straipsnis nustato tolesnes leidimo priežastis, tokias kaip sutarties vykdymas ar gyvybiškai svarbių interesų apsauga. Specialiems asmens duomenims, kuriems reikia aukštesnio apsaugos lygio, BDAR 9 straipsnis suteikia atskiras teisines reikalavimus.

Jei numatytas duomenų perdavimas atitinka bendruosius reikalavimus, reikia atlikti antrą žingsnį norint patikrinti, ar perdavimas į trečiąją šalį yra leistinas. Reikia atskirti saugias ir nesaugias trečiąsias šalis. Saugios trečiosios šalys yra tos, kurioms Europos Komisija patvirtino tinkamą duomenų apsaugos lygį, remiantis tinkamumo sprendimu. Šiose šalyse nacionaliniai įstatymai užtikrina asmens duomenų apsaugos lygį, kuris yra panašus į ES teisės aktų reikalavimus. Trečiosios šalys, kurios užtikrina tinkamą apsaugos lygį, yra: Andora, Argentina, Kanada (tik komercinės organizacijos), Farerų salos, Gernsis, Izraelis, Meno sala, Džersis, Naujoji Zelandija, Šveicarija, Urugvajus, Japonija, Jungtinė Karalystė ir Pietų Korėja. Duomenų perdavimas į šias šalis yra aiškiai leidžiamas.

Nuo 2023 m. liepos 10 d. yra priimtas sprendimas dėl vadinamo EU-JAV duomenų privatumo sistemos tinkamumo. Tai leidžia perduoti asmens duomenis iš ES JAV įmonėms ir organizacijoms, kurios pasirašė duomenų privatumo sistemą pagal sertifikaciją. Jau sertifikuotas įmones ir organizacijas galima rasti šiame sąraše. Duomenų perdavimai nesertifikuotoms JAV įmonėms ir organizacijoms nebegali būti grindžiami Komisijos įgyvendinimo sprendimu (ES) 2016/1250, priimtu 2016 m. liepos 12 d. remiantis Europos Parlamento ir Tarybos direktyva 95/46/EB dėl EU-JAV duomenų apsaugos skydo tinkamumo (Privatumo skydas). Kadangi pagal 2020 m. liepos 16 d. sprendimą „Schrems II“ byloje C-311/18, ESTT atšaukė šį įgyvendinimo sprendimą su neatidėliotinu poveikiu. Duomenų perdavimai nesertifikuotoms JAV įmonėms ir organizacijoms reikalauja kitų garantijų pagal bendrojo duomenų apsaugos reglamento 44 ir tolesnius straipsnius, siekiant užtikrinti tinkamą duomenų apsaugos lygį.

.

Jei šaliai nėra suteiktas tinkamumo sprendimas, tai nebūtinai reiškia, kad duomenų perdavimas šiai šaliai yra uždraustas. Priešingai, duomenų valdytojas turi užtikrinti kitu būdu, kad gavėjas pakankamai apsaugos asmens duomenis. Tai galima užtikrinti naudojant standartines sutarčių sąlygas, duomenų perdavimams grupės viduje per vadinamąsias „privalomasis korporatyvines taisykles“, įsipareigojant laikytis elgesio kodeksų, kurie Europos Komisijos buvo paskelbti kaip bendro taikymo, arba duomenų tvarkymo procedūros sertifikavimu.

Be to, yra keli išimtys, kurios legitimizuoja duomenų perdavimą į trečiąją šalį, net jei asmens duomenų apsauga negali būti pakankamai užtikrinta. Dažniausiai čia yra aktualus duomenų subjekto sutikimas. Tuo pačiu reikia ypač atkreipti dėmesį į reikalavimus, kad toks sutikimas būtų duotas laisvai. Kitos išimtys, tokios kaip perdavimas sutarčių vykdymui, svarbios viešo intereso priežastys ir teisinių teisių įgyvendinimas, praktikoje dažniausiai yra mažiau aktualios.