Štandardné zmluvné doložky

Čo to znamená

Štandardné zmluvné doložky, anglicky standard contractual clauses alebo SCC, sú vzorové zmluvné ustanovenia prijaté Európskou komisiou. Slúžia ako vhodná záruka pre prenos osobných údajov do tretích krajín, pre ktoré neexistuje rozhodnutie o primeranosti. Podpisom sa príjemca mimo EÚ zaviaže chrániť údaje podľa pravidiel porovnateľných s GDPR.

Aktuálna verzia doložiek je modulárna. Obsahuje moduly pre rôzne situácie: prenos od prevádzkovateľa k prevádzkovateľovi, od prevádzkovateľa k sprostredkovateľovi, od sprostredkovateľa k sprostredkovateľovi a od sprostredkovateľa späť k prevádzkovateľovi. Strany vyberú modul podľa svojej úlohy a vyplnia prílohy s opisom prenosu a bezpečnostných opatrení.

Text doložiek sa nesmie meniť. Strany môžu pridať ďalšie ustanovenia, ale tie nesmú doložkám odporovať ani znižovať úroveň ochrany. Doložky možno začleniť do inej zmluvy, napríklad do sprostredkovateľskej zmluvy, alebo podpísať ako samostatný dokument.

Ako to funguje v praxi

Pred použitím doložiek treba vypracovať posúdenie vplyvu prenosu. Hodnotí sa, či právo a prax krajiny príjemcu, najmä prístup štátnych orgánov k údajom, neumožňujú obchádzať záväzky z doložiek. Ak áno, treba doplniť ďalšie opatrenia, napríklad šifrovanie, pseudonymizáciu či minimalizáciu údajov, alebo od prenosu upustiť.

Pri veľkých cloudových poskytovateľoch sú doložky zvyčajne súčasťou ich zmluvných podmienok a firma ich prijíma spolu so službou. Pri menších dodávateľoch mimo EÚ ich treba pripraviť a podpísať individuálne. Doložky patria do dokumentácie ochrany údajov a pri kontrole ich Úrad na ochranu osobných údajov môže vyžiadať.

Súčasťou práce s doložkami je aj sledovanie subdodávateľov príjemcu. Ak sprostredkovateľ mimo EÚ využíva ďalších sprostredkovateľov, musí ich zaviazať rovnakými pravidlami. Zmeny v reťazci musia byť prevádzkovateľovi oznámené. Pri rozsiahlom či rizikovom spracúvaní môže byť potrebná aj DPIA.

Na čo si dať pozor

Najčastejšou chybou je podpis doložiek bez posúdenia prenosu a bez vyplnenia príloh. Formálne podpísaný dokument bez reálneho obsahu nechráni firmu pri kontrole. Prílohy musia presne opisovať, aké údaje sa prenášajú, na aký účel, komu a s akými opatreniami.

Staršie verzie doložiek už neplatia a zmluvy postavené na nich bolo potrebné nahradiť novými. Firma, ktorá dlhšie nekontrolovala svoje zmluvy s dodávateľmi mimo EÚ, by mala overiť, na akej verzii doložiek stoja, a prípadne ich aktualizovať.