Iznos osebnih podatkov v ZDA – Je pravno nedodelani dogovor o 'Ščitu zasebnosti' res pot k rešitvi?
+ -Ljubljana, 4. 2. 2016 – Jeseni 2015 je Sodišče Evropske unije (SEU) razveljavilo dogovor Varni pristan, ki je omogočal enostaven prenos osebnih podatkov iz EU certificiranim organizacijam iz ZDA. Delovna skupina iz člena 29 Direktive o varstvu osebnih podatkov je ob svojem včerajšnjem zasedanju na to temo sicer pozdravila zaključek pogajanj med EU in ZDA o vzpostavitvi t.i. 'Ščita zasebnosti EU-ZDA', vendar je hkrati opozorila, da bo šele po njegovi temeljiti analizi jasno, ali je ta pravno zavezujoč in res zagotovlja ustrezno varstvo osebnih podatkov, ki se iz EU iznašajo v ZDA.Z vidika evropske pravne prakse varstva zasebnosti morajo biti (tudi) pri varnostno obveščevalnih aktivnostih za vse posameznike, katerih osebni podatki se iznašajo v ZDA, po oceni Delovne skupine iz člena 29, izpolnjena ključna štiri zagotovila:· obdelava osebnih podatkov mora temeljiti na jasnih, natančnih in dostopnih pravilih: to pomeni, da lahko vsak povprečno obveščeni posameznik vnaprej predvidi, kaj bi se lahko dogajalo z njegovimi/njenimi osebnimi podatki po iznosu;· izkazana mora biti nujnost in sorazmernost obdelave glede na legitimne namene: najti je treba ravnotežje med namenom zbiranja in obdelave osebnih podatkov (na splošno nacionalna varnost) in pravicami posameznika/posameznice;· obstajati mora neodvisen nadzorni mehanizem, ki je učinkovit in nepristranski: lahko gre za sodnika ali drugo neodvisno telo, pod pogojem, da ima zadostno zmožnost izvajanja potrebnega nadzora;· posameznikom morajo biti na voljo učinkovita pravna sredstva: vsakdo mora imeti pravico varovanja svojih pravic pred neodvisnim organom.Delovna skupina pri tem v okviru priprave analize obstoječega sistema varstva osebnih podatkov v ZDA za 'ne-državljane' ZDA, ugotavlja, da kljub nekaterim izboljšavam ostajajo skrbi ali obstoječi pravni sistem ZDA zagotavlja te standarde tudi 'ne-državljanom' ZDA. Navedeni standardi pa veljajo za vsak iznos osebnih podatkov iz EU v tretje države in šele po temeljiti analizi bo mogoče oceniti, ali te standarde zagotavlja nov sistem, ki naj bi se vzpostavil med EU in ZDA.Številni upravljavci osebnih podatkov uporabljajo storitve pogodbenih partnerjev iz ZDA, to pa lahko pomeni obdelavo osebnih podatkov npr. njihovih strank, zaposlenih, uporabnikov in prenos teh osebnih podatkov v ZDA. Dokler nov dogovor ne bo analiziran in tudi formalno-pravno dokončen pa upravljavcem iz EU (torej tudi upravljavcem iz Slovenije), ki osebne podatke iznašajo podjetjem v ZDA, na voljo ostajajo drugi mehanizmi za zakonit iznos osebnih podatkov.Upravljavci so namreč tisti, ki morajo zagotoviti, da za iznos osebnih podatkov v tretjo državo obstaja primerna pravna podlaga, kot so npr. mehanizmi t.i. standardnih pogodbenih klavzul oziroma druga pogodbena določila. Pri takem iznosu osebnih podatkov je potrebno pridobiti tudi dovoljenje Informacijskega pooblaščenca (IP). Evropska podjetja, ki iznašajo osebne podatke, se morajo zavedati, da sama nosijo odgovornost za oceno zakonitosti iznosa in nadaljnje obdelave ter da morajo poskrbeti, da so pri vsakokratnem iznosu osebnih podatkov zajeta in spoštovana vsa načela evropskega varstva osebnih podatkov, kot jih opredeljuje Listina EU o temeljnih pravicah, pogodbe in Direktiva 95/46.IP se zaveda, da je nastala pravna situacija zelo zahtevna tako za nadzorne organe, kot tudi za upravljavce, ki ob odsotnosti ustrezne pravne podlage za množičen iznos podatkov organizacijam v ZDA v smislu dogovora nosijo celotno breme odgovornosti za zagotavljanje zakonitosti iznosa. Rešitev nastale situacije je iskati predvsem na politični ravni, zato se nadzorni organi predvsem zavzemamo za koordiniran pristop k izvajanju nadzornih aktivnosti na ravni vseh nadzornih organov v EU. IP bo tako pri izvajanju postopkov inšpekcijskega nadzora v primerih povezanih s prenosom osebnih podatkov v ZDA, ravnal skladno s slovenskim pravom in dogovorjenimi praksami na ravni vseh nadzornih organov EU.Več informacij:Informacijski pooblaščenec je na temo iznosa osebnih podatkov izdal smernice, ki so dostopne na tej povezavi:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_glede_iznosa_podatkov_v_tretje_drzave_2016_web.pdfSporočilo za javnost Delovne skupine iz člena 29 Direktive o varstvu osebnih podatkov pa je dostopno na tej povezavi:http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2016/20160203_statement_consequences_schrems_judgement_en.pdfInformacijski pooblaščenec