Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 09.04.2018
Naslov: Prenos osebnih podatkov na podlagi standardnih pogodbenih klavzul po Splošni uredbi o varstvu podatkov
Številka: 0712-3/2018/142
Vsebina: Iznos osebnih podatkov v tretje države
Pravni akt: Mnenje

na Informacijskega pooblaščenca (v nadaljevanju IP) ste poslali zgoraj navedeni dopis, v katerem navajate, da bi v okviru priprav na GDPR potrebovali nekaj pojasnil glede zakonskih podlag za iznos podatkov v tretje države. Zanima vas:

1.       Ali lahko računate, da bodo obstoječe standardne pogodbene klavzule za nove pogodbe, sklenjene po 25. 5., ostale veljavne po uveljavitvi GDPR po členu 46, točka 2.c, in ne bo potrebna potrditev nadzornega organa?

2.       Ali pa jih bo potrebno potrjevati po členu 46, točka 3?

a.       V tem primeru: ali je kaj znano, kdaj bodo objavljene ustrezne klavzule za člen 46.2.c.

 

Imate še nekaj odprtih vprašanj ter vas zanima, ali bi bilo možno v naslednjem tednu (npr. torek dopoldan) priti na konzultacije k IP?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

 

***

 

Uvodoma pojasnjujemo, da se Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu osebnih podatkov, v nadaljevanju Splošna uredba) prične uporabljati 25. 5. 2018, s čimer stopijo v veljavo tudi pristojnosti IP glede izdajanja nezavezujočih mnenj na podlagi določb te uredbe. IP vam zato v tem trenutku še ne more podati uradnega mnenja glede razlage konkretnih določb te uredbe, poleg tega pa IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

 

Splošna uredba prenos osebnih podatkov v tretje države ureja v poglavju V, načini zagotavljanja prenosov v tretjo državo ali mednarodno organizacijo v primerih, če je upravljavec ali obdelovalec predvidel ustrezne zaščitne ukrepe ter pogoji, pod katerimi je takšen prenos dopusten, pa so določeni v členu 46 Splošne uredbe.

 

Splošna uredba v 2. odstavku člena 46 določa tiste ustrezne zaščitne ukrepe iz odstavka 1 tega člena, za katere ni potrebno pridobiti posebnega predhodnega nadzornega organa, v 3. odstavku pa določa tiste ustrezne zaščitne ukrepe, za katere bo takšno predhodno dovoljenje nadzornega organa še vedno potrebno.

Po določbi točke c 2. odstavka člena 46 Splošne uredbe se med ustrezne zaščitne ukrepe iz odstavka 1 tega člena, za katere ni potrebno pridobiti posebnega predhodnega nadzornega organa, med drugim štejejo tudi standardna določila o varstvu osebnih podatkov, ki jih sprejme Komisija v skladu s postopkom iz člena 93 (2. odstavek).

 

V 5. odstavku člena 46 Splošne uredbe je v zvezi z že izdanimi dovoljenji nadzornih organov določeno, da dovoljenja države članice ali nadzornega organa na podlagi člena 26(2) Direktive 95/46/ES ostanejo veljavna, dokler jih zadevni nadzorni organ ne spremeni, nadomesti ali razveljavi, če je to potrebno. V zvezi s standardnimi določili o varstvu osebnih podatkov, ki jih sprejme Komisija pa je določeno, da odločitve, ki jih je Komisija sprejela na podlagi člena 26(4) Direktive 95/46/ES, ostanejo veljavne, dokler jih Komisija ne spremeni, nadomesti ali razveljavi, če je to potrebno, z odločitvijo, sprejeto v skladu z odstavkom 2 tega člena.

 

Iz zgoraj citiranih določb 5. odstavka člena 46. Splošne uredbe izhaja, da dovoljenja, ki jih je IP izdajal na podlagi člena 26(2) Direktive 95/46/ES oziroma 2. odstavka 70. člena ZVOP-1 (večina teh dovoljenj je bilo izdano na podlagi uporabljenih standardnih pogodbenih klavzul, ki jih je sprejela Komisija ES), ostanejo v veljavi, dokler jih IP ne spremeni, nadomesti ali razveljavi. Enako velja tudi za standardne pogodbene klavzule za prenos osebnih podatkov v tretje države, ki jih je Komisija ES sprejemala na podlagi člena 26(4) Direktive 95/46/ES, saj tudi te ostanejo v veljavi vse dotlej, dokler jih Komisija ne spremeni, nadomesti ali razveljavi, če je to potrebno, z odločitvijo, sprejeto v skladu z odstavkom 2 tega člena.

 

V zvezi z vašim 1. vprašanjem vam tako pojasnjujemo, da bodo obstoječe standardne pogodbene klavzule do njihove spremembe, nadomestitve ali razveljavitve ostale veljavne tudi za nove pogodbe, ki se bodo sklepale po 25. 5. 2018 ter da upravljavcu ali obdelovalcu, ki bo osebne podatke prenašal na podlagi takšnih standardnih pogodbenih določil, po 25. 5. 2018 ne bo več potrebno pridobiti posebnega dovoljenja IP.

 

V zvezi z vašim 2. vprašanjem vam pojasnjujemo, da bo IP po 25. 5. 2018 na podlagi 3. odstavka člena 46 Splošne uredbe posebna predhodna dovoljenja z uporabo mehanizma za skladnost iz člena 63 Splošne uredbe izdajal le še v tistih primerih, ko upravljavec ali obdelovalec ustreznih zaščitnih ukrepov ne bosta zagotovila na način iz 2. odstavka tega člena, pač pa na način, kot to določata točka a in b 3. odstavka člena 46. To v primeru sklepanja pogodbe med upravljavcem ali obdelovalcem v Republiki Slovenije ter upravljavcem, obdelovalcem ali uporabnikom osebnih podatkov v tretji državi ali mednarodni organizaciji pomeni, da če se bodo pri sklepanju teh pogodb uporabila standardna pogodbena določila, ki jih je sprejela Komisija (točka c 2. odstavka) ali nadzorni organ (točka d 2. odstavka), predhodno dovoljenje nadzornega organa ne bo potrebo, če pa se bodo uporabila kakšna druga pogodbena določila, pa bo takšno predhodno dovoljenje še vedno potrebno.

 

V zvezi z vašim vprašanjem o tem, ali je kaj znano, kdaj bodo objavljene ustrezne klavzule za člen 46 2. c vam pojasnjujemo, da se do spremembe, nadomestitve ali razveljavitve kot standardna določila o varstvu osebnih podatkov po točki c 2. odstavka člena 46 Splošne uredbe uporabljajo standardne pogodbene klavzule, ki jih je Komisija sprejela na podlagi člena 26(4) Direktive 95/46/ES in so objavljene na spletni strani: https://ec.europa.eu/info/law/law-topic/data-protection/data-transfers-outside-eu/model-contracts-transfer-personal-data-third-countries_en 

 

IP še ni znano, kdaj se bodo zgoraj navedene standardne pogodbene klavzule spremenile, nadomestile ali razveljavile, zaradi česar vam lahko svetujemo zgolj to, da spremljate objave na zgoraj navedeni spletni strani ter objave na spletni strani IP.

 

Kar zadeva vaše navedbe o tem, da imate še nekaj odprtih vprašanj ter vas zanima, ali bi bilo možno v naslednjem tednu (npr. torek dopoldan) priti na konzultacije k IP, vam pojasnjujemo, da IP splošnih posvetovanj glede uporabe Splošne uredbe ne more nuditi, saj je tovrstnih zahtev preveč, hkrati pa lahko dokončne odločitve o zakonitosti konkretnih obdelav osebnih podatkov poda le v okviru inšpekcijskega postopka. Zaradi tega vam predlagamo, da redno spremljate spletne strani IP, v kolikor pa boste imeli še kakšna konkretna vprašanja, pa nam jih vedno lahko naknadno posredujete ali nas v času uradnih ur pokličete po telefonu.

 

Lep pozdrav,

                                                                                              Jože Bogataj,

                                                                            namestnik informacijske pooblaščenke