Zasebnostni ščit

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje glede razveljavitve zasebnostnega ščita za prenos podatkov v ZDA. Sprašujete glede vzorcev pogodb o obdelavi osebnih podatkov za podjetja iz EU, ki jih nekatera podjetja ponujajo v podpis in v katerih se sklicujejo na usklajenost z GDPR oz. relevantno zakonodajo. Pogodbe vključujejo tudi dodatek, ki se nanaša na standardne pogodbene klavzule in bi tako določal spoštovanje pogodbenih obveznosti strank v skladu s posebnimi določbami, ki se sklicujejo tudi na zasebnostni ščit.

Zanima vas, ali je ustrezno, da takšno pogodbo podpišete oz. jo sprejmete že ob sami uporabi neke storitve (pogodbena določila za uporabo storitve) ter ali je potem takšen iznos podatkov v tretje države ustrezen, ali pa je potrebno urediti še kaj glede iznosa podatkov v tretje države (npr. pridobiti dovoljenje IP).

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

V povezavi z vašim vprašanjem o razveljavitvi Zasebnostnega ščita za prenos podatkov v ZDA (Privacy Shield) je IP objavil podrobnejše informacije in pojasnila na: https://www.ip-rs.si/novice/sodisce-evropske-unije-razveljavilo-zasebnostni-scit-za-prenos-podatkov-v-zda-privacy-shi-1196/.

Evropski odbor na varstvo podatkov (EDPB) je objavil pojasnila v obliki odgovorov na najpogostejša vprašanja glede sodbe Schrems II, ki so dosegljiva na: https://edpb.europa.eu/news/news/2020/european-data-protection-board-publishes-faq-document-cjeu-judgment-c-31118-schrems_en.

Kot smo poudarili v zgornji novici IP, so iznosi podatkov v ZDA, ne glede na razveljavitev Zasebnostnega ščita, še vedno mogoči, s tem, da mora upravljavec zagotoviti ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. Kot smo pojasnili, morajo podjetja, če želijo nadaljevati s prenosom podatkov, zakonitost prenosov utemeljiti na drugi podlagi, kot so npr. standardne pogodbene klavzule, zavezujoča poslovna pravila ali izjeme (oz. odstopanja v posebnih primerih, ki so določena v 49. členu Splošne uredbe). Če pogodbe, ki so jih predložili vaši poslovni partnerji, vsebujejo standardne pogodbene klavzule (skladno s Sklepom Evropske komisije št. 2010/87/ES), potem je tak prenos načeloma dovoljen in predhodno dovoljenje IP ni potrebno. Kljub temu pa, kot opozarja EDPB, morata izvoznik in uvoznik podatkov upoštevati dejanske okoliščine prenosov in za vsak primer posebej presoditi, ali zakonodaja ZDA posega v ustrezno raven zaščite, ki jo zagotavljata s standardnimi pogodbenimi klavzulami, in po potrebi sprejeti dodatne ukrepe za varovanje osebnih podatkov. Podrobnejša pojasnila s strani EDPB glede dodatnih ukrepov, ki so primerni v primeru iznosa podatkov v ZDA, je mogoče pričakovati v kratkem.

V zvezi s konkretnimi posledicami sodbe se IP usklajuje na ravni EDPB, zato vam predlagamo, da spremljate objave na naši spletni strani, kjer bomo tekoče objavljali nadaljnje usmeritve.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                              

Barbara Pirš, univ.dipl.prav.,

Svetovalka Pooblaščenca za preventivo