EU-US Data Privacy Framework

Čo to znamená

EU-US Data Privacy Framework je rámec, podľa ktorého možno prenášať osobné údaje z EÚ do amerických firiem, ktoré sú v ňom certifikované. Európska komisia v roku 2023 rozhodla, že takéto firmy poskytujú primeranú úroveň ochrany, takže prenos nevyžaduje ďalšie záruky.

Rámec nahradil Privacy Shield, ktorý Súdny dvor EÚ zrušil pre nedostatočnú ochranu pred prístupom amerických tajných služieb. Nový rámec priniesol obmedzenia takého prístupu a mechanizmus nápravy pre občanov EÚ, a Všeobecný súd EÚ v roku 2025 žalobu proti nemu zamietol.

Ide o jeden z nástrojov pre prenos osobných údajov do tretích krajín podľa GDPR. Ak príjemca certifikovaný nie je, treba použiť iný nástroj, typicky štandardné zmluvné doložky a posúdenie rizík prenosu.

Ako to funguje v praxi

Pred prenosom treba overiť, či je konkrétny americký príjemca na zozname certifikovaných organizácií a či certifikácia pokrýva daný typ údajov, napríklad personálne údaje zamestnancov. Certifikácia je dobrovoľná a firma ju musí každoročne obnovovať.

Väčšina firiem prenáša údaje do USA nepriamo, cez cloudové služby, e-mailové nástroje, CRM či analytiku. V záznamoch o spracovateľských činnostiach a informáciách pre dotknuté osoby treba uviesť, že k prenosu dochádza a na akom základe.

Pri rizikovejšom spracúvaní, napríklad citlivých údajov vo veľkom rozsahu, sa oplatí vykonať aj posúdenie vplyvu na ochranu údajov. Mnohí poskytovatelia kombinujú certifikáciu so štandardnými zmluvnými doložkami, aby mali záložný základ pre prípad zmeny rámca.

Na čo si dať pozor

Budúcnosť rámca nie je istá. Predchádzajúce dva rámce súd zrušil a ďalšie spochybnenie nie je vylúčené. Firmy by mali mať pripravený plán, napríklad zmluvné doložky alebo možnosť presunúť údaje do EÚ, ak by rámec padol.

Certifikácia sa vzťahuje len na organizáciu, ktorá ju získala, nie na jej subdodávateľov. Pri dodávateľoch s rozvetvenou sieťou spracovateľov treba preveriť celý reťazec a mať v zmluve povinnosť informovať o zmenách subdodávateľov.