GDPR – Tretje države

Glede na mednarodno trgovino in sodelovanje je v današnjem času bistveno, da lahko prenašamo podatke tudi v tretje države. Pregled zakonitosti takšnega prenosa se izvaja v dveh fazah.

Najprej mora biti prenos podatkov sam po sebi zakonit. Vsaka obdelava osebnih podatkov je prepovedana, vendar omogočena s pridobitvijo dovoljenja. Poleg privolitve člen 6 Splošne uredbe o varstvu podatkov (GDPR) določa dodatne razloge za dovoljenje, kot so izpolnitev pogodbe ali varovanje življenjskih interesov. Za posebne osebne podatke, ki zahtevajo višjo raven zaščite, člen 9 GDPR določa ločene pravne zahteve.

Če predvideni prenos podatkov izpolnjuje splošne zahteve, je treba v drugem koraku preveriti, ali je prenos v tretjo državo dovoljen. Pri tem je treba razlikovati med varnimi in nevarnimi tretjimi državami. Varne tretje države so tiste, za katere je Evropska komisija potrdila ustrezno raven varstva podatkov na podlagi odločitve o ustreznosti. V teh državah nacionalne zakonodaje zagotavljajo raven varstva osebnih podatkov, ki je primerljiva z zakonodajo EU. Tretje države, ki zagotavljajo ustrezno raven varstva, so: Andora, Argentina, Kanada (samo komercialne organizacije), Ferski otoki, Guernsey, Izrael, Otok Man, Jersey, Nova Zelandija, Švica, Urugvaj, Japonska, Združeno kraljestvo in Južna Koreja. Prenos podatkov v te države je izrecno dovoljen.

Od 10. julija 2023 obstaja sklep o ustreznosti za tako imenovani Okvir za zasebnost podatkov med EU in ZDA. To omogoča prenos osebnih podatkov iz EU k ameriškim podjetjem in organizacijam, ki so se s certifikacijo prijavile na Okvir za zasebnost podatkov. Podjetja in organizacije, ki so že certificirane, lahko najdete na tem seznamu. Prenosi podatkov k necertificiranim ameriškim podjetjem in organizacijam se ne morejo več utemeljevati na Izvedbenem sklepu Komisije (EU) 2016/1250 z dne 12. julija 2016 v skladu z Direktivo 95/46/ES Evropskega parlamenta in Sveta o ustreznosti ščita za varstvo podatkov med EU in ZDA (Privacy Shield). Ker je s sodbo “Schrems II” z dne 16. julija 2020 (v zadevi C-311/18) SEU takšen Izvedbeni sklep razglasil za neveljavnega z neposrednim učinkom. Prenosi podatkov k necertificiranim ameriškim podjetjem in organizacijam zahtevajo druge garancije, v skladu s členom 44 in naslednjimi GDPR, da se zagotovi ustrezna raven varstva podatkov.

Če za državo ni ustrezne odločitve, to ne pomeni nujno, da je prenos podatkov v to državo onemogočen. Upravljavec mora na drug način zagotoviti, da bo prejemnik osebne podatke zadostno zaščitil. To se lahko zagotovi z uporabo standardnih pogodbenih klavzul, za prenose podatkov znotraj skupine s tako imenovanimi “zavezujočimi poslovnimi pravili”, z zavezo k spoštovanju kodeksov ravnanja, ki jih je Evropska komisija razglasila za splošno veljavne, ali s certifikacijo postopka obdelave podatkov.

Poleg tega obstaja več izjem, ki legitimirajo prenos podatkov v tretjo državo, tudi če zaščita osebnih podatkov ne more biti zadostno zagotovljena. Najpogosteje je relevantno soglasje posameznika, na katerega se nanašajo osebni podatki. Hkrati je treba posebej poudariti zahteve, da mora biti tako soglasje dano prostovoljno. Druge izjeme, kot so prenos za izpolnjevanje pogodb, pomembni razlogi javnega interesa in uveljavljanje pravnih pravic, so v praksi običajno manj relevantne.