GDPR – Tretie krajiny

Vzhľadom na medzinárodný obchod a spoluprácu je v súčasnosti nevyhnutné byť schopný prenášať údaje aj do tretích krajín. Posúdenie legitímnosti takéhoto prenosu sa vykonáva v dvoch etapách.

Po prvé, samotný prenos údajov musí byť legálny. Akékoľvek spracúvanie osobných údajov je zakázané, ale podlieha možnosti autorizácie. Okrem súhlasu, čl. 6 Všeobecného nariadenia o ochrane údajov (GDPR) stanovuje ďalšie dôvody autorizácie, ako je plnenie zmluvy alebo ochrana životne dôležitých záujmov. Pre špeciálne osobné údaje, ktoré vyžadujú vyššiu úroveň ochrany, čl. 9 GDPR poskytuje samostatné právne požiadavky.

Ak zamýšľaný prenos údajov spĺňa všeobecné požiadavky, v druhom kroku je potrebné skontrolovať, či je povolený prenos do tretieho štátu. Je potrebné rozlíšiť medzi bezpečnými a nebezpečnými tretími štátmi. Bezpečné tretie štáty sú tie, pre ktoré Európska komisia na základe rozhodnutia o primeranosti potvrdila vhodnú úroveň ochrany údajov. V týchto krajinách poskytujú národné zákony úroveň ochrany osobných údajov, ktorá je porovnateľná s právom EÚ. Tretie štáty, ktoré zabezpečujú primeranú úroveň ochrany, sú: Andorra, Argentína, Kanada (iba obchodné organizácie), Faerské ostrovy, Guernsey, Izrael, Ostrov Man, Jersey, Nový Zéland, Švajčiarsko, Uruguaj, Japonsko, Spojené kráľovstvo a Južná Kórea. Prenos údajov do týchto krajín je výslovne povolený.

Od 10. júla 2023 existuje rozhodnutie o primeranosti pre takzvaný rámec ochrany osobných údajov medzi EÚ a USA. Toto umožňuje prenos osobných údajov z EÚ do amerických spoločností a organizácií, ktoré sa prihlásili k rámcu ochrany osobných údajov prostredníctvom certifikácie. Spoločnosti a organizácie, ktoré už boli certifikované, možno nájsť v tomto zozname. Prenosy údajov na americké spoločnosti a organizácie, ktoré nie sú certifikované, sa už nemôžu zakladať na Vykonávacom rozhodnutí Komisie (EÚ) 2016/1250 z 12. júla 2016 v súlade so smernicou 95/46/ES Európskeho parlamentu a Rady o primeranosti štítu na ochranu údajov medzi EÚ a USA (Privacy Shield). Pretože rozsudkom „Schrems II“ zo 16. júla 2020 (v prípade C-311/18) Súdny dvor EÚ toto vykonávacie rozhodnutie s okamžitou platnosťou vyhlásil za neplatné. Prenosy údajov na americké spoločnosti a organizácie, ktoré nie sú certifikované, vyžadujú iné záruky podľa článku 44 a nasl. GDPR, aby sa vytvorila primeraná úroveň ochrany údajov.

Ak pre krajinu neexistuje rozhodnutie o primeranosti, neznamená to nevyhnutne, že je akýkoľvek prenos údajov do tejto krajiny vylúčený. Správca musí zabezpečiť iným spôsobom, že osobné údaje budú dostatočne chránené príjemcom. To možno zabezpečiť použitím štandardných zmluvných doložiek, pre prenosy údajov v rámci skupiny prostredníctvom tzv. „záväzných podnikových pravidiel“, záväzkom dodržiavať kódexy správania, ktoré boli vyhlásené Európskou komisiou za všeobecne platné, alebo certifikáciou postupu spracovania údajov.

Okrem toho existuje niekoľko výnimiek, ktoré legitimizujú prenos údajov do tretej krajiny, aj keď ochranu osobných údajov nemožno dostatočne zabezpečiť. Najčastejšie je v tejto súvislosti relevantný súhlas dotknutej osoby. Zároveň je potrebné obzvlášť dbať na to, aby súhlas bol poskytnutý slobodne. Ďalšie výnimky, ako napríklad prenos za účelom splnenia zmlúv, dôležité dôvody verejného záujmu a uplatnenie právnych nárokov sú zvyčajne v praxi menej relevantné.