Prenos osobných údajov do tretích krajín

Čo to znamená

Prenos osobných údajov do tretích krajín znamená, že osobné údaje opustia Európsky hospodársky priestor, teda sú poskytnuté alebo sprístupnené príjemcovi mimo EÚ, Islandu, Lichtenštajnska a Nórska. Za prenos sa považuje aj to, keď k údajom uloženým v EÚ má vzdialený prístup napríklad technická podpora z inej krajiny. Pravidlá upravuje kapitola V nariadenia GDPR.

Prenos je dovolený, len ak je splnený jeden z právnych mechanizmov. Najjednoduchší je rozhodnutie Európskej komisie o primeranosti, ktoré konštatuje, že krajina poskytuje porovnateľnú ochranu. Ak rozhodnutie chýba, používajú sa vhodné záruky, najčastejšie štandardné zmluvné doložky, záväzné vnútropodnikové pravidlá alebo schválené kódexy správania.

Pre USA platí rámec ochrany údajov EÚ a USA, ktorý sa vzťahuje len na americké firmy certifikované v tomto rámci. Pri necertifikovaných príjemcoch treba použiť iný mechanizmus. Výnimky podľa článku 49 GDPR, napríklad výslovný súhlas či plnenie zmluvy, sú určené len pre príležitostné prenosy, nie pre bežnú prevádzku.

Ako to funguje v praxi

Firmy prenášajú údaje často nevedome, cez cloudové služby, e-mailové nástroje, CRM, analytiku, zákaznícku podporu alebo zdieľanie súborov. Prvým krokom je preto zmapovať, kde sú dodávatelia a ich subdodávatelia a kde sa údaje fyzicky ukladajú a odkiaľ k nim pristupujú. Výsledok patrí do záznamu o spracovateľských činnostiach.

Pri použití štandardných doložiek treba urobiť posúdenie prenosu, ktoré zhodnotí právo cieľovej krajiny, najmä prístup štátnych orgánov k údajom, a v prípade potreby doplniť technické opatrenia, napríklad šifrovanie s kľúčmi v EÚ. Doložky sa zvyčajne stávajú súčasťou sprostredkovateľskej zmluvy s dodávateľom.

Veľkí poskytovatelia majú dokumentáciu k prenosom pripravenú a často ponúkajú aj možnosť ukladať údaje v EÚ. Pri menších dodávateľoch, napríklad programátoroch alebo call centrách mimo EÚ, treba doložky pripraviť a podpísať individuálne. Informácia o prenose musí byť aj v podmienkach ochrany osobných údajov pre dotknuté osoby.

Na čo si dať pozor

Najčastejšou chybou je spoliehanie sa na to, že dodávateľ je európsky. Ak jeho servery alebo podpora sú mimo EHP, prenos nastáva aj tak. Rovnako riskantné je používať bezplatné nástroje bez zmluvy, pri ktorých firma nevie, kde sa údaje spracúvajú. Úrad na ochranu osobných údajov môže za nezákonný prenos uložiť pokutu.

Právny rámec sa mení. Rozhodnutia o primeranosti môže Súdny dvor EÚ zrušiť, ako sa to stalo pri predchádzajúcich rámcoch pre USA. Firma by preto mala mať prehľad o svojich prenosoch a plán B, napríklad záložné štandardné doložky, aby pri zmene nemusela narýchlo meniť dodávateľov.