Prenos podatkov v tretjo državo

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede prenosa osebnih podatkov v ZDA. Pojasnjujete, da ste globalno podjetje in da ste prejeli poziv s strani organov pregona ZDA, da morate, pod grožnjo sankcije, posredovati osebne podatke, ki se nahajajo v zbirki osebnih podatkov, ki so v vašem upravljanju, za imetnika enega od vaših produktov. Zanima vas ali šteje zahteva organov pregona iz ZDA za “izpolnitev pravne obligacije” in kot dopusten pravni temelj za posredovanje osebnih podatkov? Ali lahko temeljite prenos na členu 49.1. (e) v povezavi s točko 111 uvoda k Splošni uredbi? 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Evropski odbor za varstvo podatkov je sprejel smernice glede člena 49 Splošne uredbe, kjer so natančno pojasnjene omejitve izjem, na podlagi katerih je mogoč prenos osebnih podatkov od upravljavca osebnih podatkov v EU v tretje države, tudi glede izjeme po členu 49.1 (e).

V primeru, ki ga izpostavljate, je ključno tudi upoštevanje člena 48 Splošne uredbe, ki določa, da se sodba sodišča in odločba upravnega organa tretje države, ki od upravljavca ali obdelovalca zahteva prenos ali razkritje osebnih podatkov, lahko prizna ali izvrši le, če temelji na mednarodnem sporazumu, kot je pogodba o medsebojni pravni pomoči, sklenjenem med tretjo državo prosilko in Unijo ali državo članico. To pomeni, da odločbe organov tretjih držav in sodbe njihovih sodišč same po sebi niso zakoniti razlogi za prenose podatkov v tretje države. Zato je prenos kot posledica odločbe organov tretje države v vsakem primeru zakonit le, če je skladen s pogoji iz poglavja V.

O b r a z l o ž i t e v:

Informacijski pooblaščenec opozarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven inšpekcijskih postopkov presojati konkretnih dejanj obdelave osebnih podatkov oz. se v vašem primeru na ravni mnenja opredeliti do zakonitosti konkretnega prenosa, ki ga izpostavljate. To bi bilo mogoče le v okviru inšpekcijskega postopka. Zato vam v nadaljevanju podajamo splošna pojasnila po Splošni uredbi.

Evropski odbor za varstvo podatkov je sprejel smernice glede interpretacij člena 49 Splošne uredbe, kjer lahko najdete podrobna pojasnila v zvezi vsako od izjem, ki jih za prenose osebnih podatkov od izvoznika podatkov  v EU k uvozniku podatkov v tretji državi predvideva člen 49.

Smernice so na voljo na povezavi:

https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_2_2018_derogations_sl.pdf.

Kot pojasnjeno v smernicah, se v skladu s členom 49(1)(e) se lahko prenosi izvedejo, kadar je „prenos potreben za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov“. To vključuje vrsto dejavnosti, na primer v okviru kazenske ali upravne preiskave v tretji državi (npr. protimonopolno pravo, korupcija, trgovanje z notranjimi informacijami ali podobne situacije), ko se odstopanje lahko uporabi pri prenosu podatkov za namen lastne obrambe ali za doseganja znižanja  ali oprostitve zakonsko predpisane kazni, npr. v protimonopolnih preiskavah. V okvir tega odstopanja lahko spadajo tudi prenosi podatkov za namen formalnih predhodnih preiskav v okviru pravdnega postopka. Vključuje lahko tudi ukrepe izvoznika podatkov za začetek postopkov v tretji državi, na primer sprožitev pravdnega postopka ali zaprositev za odobritev združitve. Odstopanja ni mogoče uporabiti za utemeljitev prenosa osebnih podatkov zaradi tega, ker obstaja samo možnost začetka sodnih postopkov ali formalnih postopkov v prihodnosti.

Ob tem opozarjamo na določbo člena 48 Splošne uredbe, ki določa, da se sodba sodišča in odločba upravnega organa tretje države, ki od upravljavca ali obdelovalca zahteva prenos ali razkritje osebnih podatkov, lahko prizna ali izvrši na kateri koli način le, če temelji na mednarodnem sporazumu, kot je pogodba o medsebojni pravni pomoči, sklenjenem med tretjo državo prosilko in Unijo ali državo članico, brez poseganja v druge razloge za prenos na podlagi tega poglavja.

Razlaga določbe 48 Splošne uredbe iz smernic Evropskega odbora pravi, da člen 48 in ustrezna uvodna izjava 115 določata, da odločbe organov tretjih držav in sodbe njihovih sodišč same po sebi niso zakoniti razlogi za prenose podatkov v tretje države. Zato je prenos kot posledica odločbe organov tretje države v vsakem primeru zakonit le, če je skladen s pogoji iz poglavja V. V primerih, ko obstaja mednarodni sporazum, kot je pogodba o medsebojni pravni pomoči, bi podjetja v EU načeloma morala zavrniti neposredne zahteve in organ tretje države prosilke napotiti k obstoječi pogodbi o medsebojni pravni pomoči ali sporazumu. Ta razlaga skrbno sledi tudi členu 44, ki določa prevladujoče načelo, veljavno za vse določbe poglavja V, da se zagotovi, da raven varstva posameznikov, ki jo zagotavlja SUVP, ni ogrožena.

Lepo vas pozdravljamo,

Pripravil/a:

Jelena Burnik

vodja mednarodnega sodelovanja in nadzora

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka