EU mora čimprej najti rešitve za varen iznos osebnih podatkov v ZDA
+ -Evropski nadzorni organi za varstvo osebnih podatkov so se v četrtek (15. 10. 2015) sestali v okviru Delovne skupine iz člena 29 (WP 29) s ciljem analize prvih posledic sodbe Sodišča Evropske unije (SEU) v primeru Maximilian Schrems proti (Irskemu) Pooblaščencu za varstvo osebnih podatkov, s katero je SEU 6. oktobra 2015 Odločbo Evropske komisije 2000/250 – t.i. Odločba Varni pristan (Safe Harbour) razglasilo za neveljavno. Evropski pooblaščenci opozarjamo, da mora biti odziv na ravni EU odločen in enoten ter pozivamo države članice EU in evropske institucije naj čimprej začnejo pogovore z ameriškimi oblastmi, s ciljem oblikovanja političnih rešitev, ki bodo omogočile iznose osebnih podatkov na ozemlje ZDA ob spoštovanju temeljnih človekovih pravic. Informacijski pooblaščenec (IP) bo v skladu s tem na podlagi sodbe SEU in Zakona o varstvu osebnih podatkov začel obnovo postopka ugotavljanja ali Združene države Amerike zagotavljajo ustrezno raven varstva osebnih podatkov v delu, ko gre za iznos osebnih podatkov organizacijam, ki delujejo po načelih Varnega pristana. Spremljali pa bomo tudi odločitev irskega sodišča, ki odloča v primeru Maximiliana Schremsa, katerega pobuda je pripeljala do sodbe SEU.Ob iskanju rešitev je treba po mnenju vseh evropskih pooblaščencev upoštevati osrednje sporočilo sodbe SEU, to je vprašanje nedopustnosti množičnega in neselektivnega nadzora. Kot smo evropski pooblaščenci že večkrat opozorili, držav, v katerih pooblastila državnih organov glede dostopa do osebnih podatkov presegajo nujno potrebna tovrstna pooblastila v demokratični družbi, ni mogoče šteti kot varnih destinacij za iznose osebnih podatkov. Odgovor na vprašanje, na kakšen način se bo osebne podatke varno in upoštevajoč temeljene pravice posameznikov iznašalo v bodoče, zato ni tehnične ampak predvsem politične narave. Pogajanja glede novega Varnega pristana pa bi lahko pod pogojem, da upoštevajo vse ugotovitve sodbe SEU, bila ena od poti do rešitve.Pooblaščenci bomo v okviru poglobljene analize posledic sodbe SEU proučili tudi, kaj sodba pomeni za druge možne načine iznosa podatkov v ZDA. Z vidika sodbe je jasno, da iznosi v ZDA ne morejo več temeljiti na razveljavljeni odločbi Evropske komisije. Iz sodbe namreč izhaja, da so iznosi, ki temeljijo zgolj na tej podlagi, brez dodatnih varovalk, nezakoniti. Iznosi osebnih podatkov pa so kljub navedenemu še vedno mogoči pod pogojem, da upravljavec osebnih podatkov sam zagotovi ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. Evropska podjetja, ki iznašajo osebne podatke, se morajo zavedati, da sama nosijo odgovornost za oceno zakonitosti iznosa in nadaljnje obdelave ter da morajo poskrbeti, da so pri vsakokratnem iznosu osebnih podatkov zajeta in spoštovana vsa načela evropskega varstva osebnih podatkov, kot jih opredeljuje Listina EU o temeljnih pravicah, pogodbe in Direktiva 95/46. Evropski pooblaščenci v zvezi s tem ugotavljamo, da do sprejema političnega dogovora glede podlage za iznos osebnih podatkov v ZDA ostajajo upravljavcem na voljo tudi mehanizmi t.i. Standardnih pogodbenih klavzul ter Zavezujoča poslovna pravila[1]. Samo posamični iznosi (torej ne množični in ne ponavljajoči, pač pa enkratni) pa lahko temeljijo tudi na kateri od izjem iz 70. člena ZVOP-1. Delovna skupina iz člena 29 še opozarja, da je skrb za oblikovanje trajnih rešitev za uveljavitev sodbe SEU skupna odgovornost nadzornih organov za varstvo osebnih podatkov, evropskih institucij, držav članic in podjetij. V luči sodbe morajo tako podjetja oceniti tveganja, ki se jim izpostavijo z iznosom osebnih podatkov ter poskrbeti za izvajanje pravnih in tehničnih rešitev za omejitev teh tveganj. Mojca Prelesnik, univ. dipl. pravinformacijska pooblaščenka
[1] Več o tem na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/iznos-osebnih-podatkov-v-tretje-drzave/