Záväzné vnútropodnikové pravidlá

Čo to znamená

Záväzné vnútropodnikové pravidlá sú pravidlá ochrany osobných údajov, ktoré schváli dozorný orgán a ktoré umožňujú nadnárodnej skupine prenášať osobné údaje medzi svojimi spoločnosťami, aj mimo EÚ. Sú jedným z nástrojov, ktoré GDPR pripúšťa pre prenos údajov do tretích krajín.

Pravidlá musia byť právne záväzné pre všetky spoločnosti v skupine a pre ich zamestnancov a musia zaručiť úroveň ochrany porovnateľnú s GDPR. Obsahujú zásady spracúvania, práva dotknutých osôb, mechanizmy zodpovednosti, školenia, audity a postup pri sťažnostiach.

Sú alternatívou k iným nástrojom prenosu, ako sú štandardné zmluvné doložky, ktoré sa podpisujú pre jednotlivé prenosy, alebo prenosy na základe rozhodnutia o primeranosti, keď Európska komisia uzná ochranu v cieľovej krajine za dostatočnú.

Ako to funguje v praxi

Schválenie záväzných vnútropodnikových pravidiel je náročné a trvá dlho, často viac než rok. Skupina musí pripraviť rozsiahlu dokumentáciu a prejsť konaním pred vedúcim dozorným orgánom, ktorý spolupracuje s ďalšími orgánmi v EÚ. Preto ich využívajú najmä veľké nadnárodné skupiny.

Pre menšie firmy a skupiny je zvyčajne praktickejšie použiť štandardné zmluvné doložky alebo pri prenose do USA EU-US Data Privacy Framework, ak je príjemca certifikovaný. Tieto nástroje sa dajú zaviesť rýchlejšie a s nižšími nákladmi.

Ak slovenská firma patrí do skupiny so schválenými pravidlami, musí ich dodržiavať, zapracovať do svojich interných postupov a školiť zamestnancov. Pri kontrole zo strany Úradu na ochranu osobných údajov by mala vedieť preukázať, ako pravidlá v praxi uplatňuje.

Na čo si dať pozor

Schválené pravidlá pokrývajú len prenosy v rámci skupiny. Pri prenose údajov externým dodávateľom mimo EÚ, napríklad poskytovateľom cloudu, treba použiť iný nástroj, najčastejšie štandardné zmluvné doložky, a posúdiť riziká v krajine príjemcu.

Aj pri schválených pravidlách treba posudzovať, či právo cieľovej krajiny neohrozuje ochranu údajov, napríklad prístupom štátnych orgánov. Judikatúra Súdneho dvora EÚ zdôraznila potrebu takéhoto posúdenia a prípadných doplnkových opatrení.