Prenos osebnih podatkov v Ukrajino + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.09.2022 Številka: 07120-1/2022/1054 Kategorije: --> Kategorije: Prenos osebnih podatkov v tretje države ali mednarodne organizacije Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede iznosa osebnih podatkov v Ukrajino, ki je trenutno v vojnem stanju in kjer vlada vojaško pravo. Za zagotovitev prenosa osebnih podatkov v Ukrajino je predvidena sklenitev pogodbe z uporabo tipskih klavzul, v smislu dopolnilnih zaščitnih ukrepov pa bi se s tehničnimi ukrepi IT služb v Ukrajini in Slovenji zagotavljal stalen nadzor konkretne situacije v Ukrajini, ki bi omogočal takojšen odgovor na potencialne grožnje in oceno učinkovitosti vseh orodij za prenos podatkov. Sprašujete, ali ima dejstvo, da je država v vojnem stanju kakršenkoli vpliv na zaključno oceno tveganja; ali je moč kljub obstoječemu vojnemu stanju utemeljeno in objektivno zaključiti o pozitivni oceni zagotavljanja enakovredne ravni varstva podatkov; ali so bila morebiti že sprejeta kakšna stališča oz. smernice v zvezi z možnostmi in načinom zagotavljanja dopolnilnih zaščitnih ukrepov, s pomočjo katerih bi prenos podatkov v Ukrajino izpolnjeval standard enakovrednega varstva, kot se zahteva s pravom EU. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem, pri čemer pojasnjujemo, da IP izven konkretnega inšpekcijskega postopka posameznim poslovnim subjektom ne more in ne sme svetovati, kako organizirati konkretne poslovne procese in v tem okviru obdelovati osebne podatke, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s Splošno uredbo o varstvu podatkov. Izven konkretnega inšpekcijskega postopka IP posameznim poslovnim subjektom ne more in ne sme svetovati, kako organizirati konkretne poslovne procese in v tem okviru obdelovati osebne podatke, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s Splošno uredbo o varstvu podatkov. Upravljavec (skupaj z uvoznikom) je na podlagi vseh okoliščin zadevnega prenosa dolžan sam oceniti, ali bodo posameznikom tudi po prenosu njihovih podatkov v tretjo državo zagotovljene izvršljive pravice in učinkovita pravna sredstva in ali je v pravu ali praksi tretje države karkoli, kar bi vplivalo na dejansko učinkovitost ustreznih zaščitnih ukrepov. V primeru, da je temu tako, podatkov v tako tretjo državo ne sme prenesti oz. je dolžan prenos (začasno) ustaviti. O b r a z l o ž i t e v: V primeru prenosa osebnih podatkov v tretjo državo na podlagi standardnih pogodbenih klavzul iz člena 46
(2)(c) Splošne uredbe o varstvu podatkov, mora biti zagotovljeno, da imajo posamezniki na voljo izvršljive pravice in učinkovita pravna sredstva. V nasprotnem primeru prenos na podlagi člena 46
(2)(
- c)ne bi bil zakonit. Izvoznik podatkov je tako dolžan po potrebi zagotoviti dopolnilne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih človekovih pravic na enaki ravni, kot je to zagotovljeno v okviru EU. Izvoznik podatkov (s pomočjo uvoznika) je torej dolžan v skladu s priporočili Evropskega odbora za varstvo podatkov (EDPB)[1] oceniti, ali so v okviru zadevnega prenosa ustrezni zaščitni ukrepi delujoči tudi v praksi, torej ali je karkoli v pravu ali praksi tretje države (zlasti v zvezi z dostopom do osebnih podatkov s strani javnih organov v tretji državi, npr. za namene kazenskega pregona in nacionalne varnosti), kar posega v učinkovitost ustreznih zaščitnih ukrepov iz člena 46, na katere se izvoznik opira. Če je odgovor pritrdilen, mora izvoznik določiti in sprejeti dodatne ukrepe, ki so potrebni za zagotovitev, da se posameznikom, na katere se nanašajo osebni podatki, zagotovi raven zaščite, ki je v bistvu enakovredna tisti, ki je zagotovljena v EGP. Kadar taka ocena vodi do zaključka, da skladnost ni (ali ni več) zagotovljena in da ni bilo mogoče določiti dodatnih ukrepov, morajo izvozniki podatkov (začasno) ustaviti prenos podatkov. Pri prenosih osebnih podatkov v Ukrajino je trenutno nujno upoštevanje stanja v državi, ki vsekakor vpliva tudi na pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Je pa dolžnost pripraviti oceno stanja v tretji državi in pri tem ustrezno upoštevanje vseh relevantnih dejavnikov ter identifikacija možnih ustreznih dodatnih ukrepov, na strani izvoznika podatkov (v sodelovanju z uvoznikom). IP izven konkretnega inšpekcijskega postopka te ocene ne more opraviti za oz. namesto upravljavca, saj izven konkretnega postopka ne razpolaga z vsemi ustreznimi informacijami in okoliščinami zadevnega prenosa. Skladno s členom 5 Splošne uredbe o varstvu podatkov je namreč za skladnost obdelave osebnih podatkov s Splošno uredbo o varstvu podatkov odgovoren upravljavec, ki mora biti to skladnost zmožen tudi dokazati. EDPB, katerega član je tudi IP, glede prenosov osebnih podatkov v Ukrajino sicer ni izdal nobenih smernic, je pa julija objavil stališče v zvezi s prenosi osebnih podatkov v Rusijo, v katerem poudarja pomen upoštevanja stanja v državi, ki vpliva na pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Izvaja je dostopna tu: https://edpb.europa.eu/system/files/2022-07/edpb_statement_20220712_transferstorussia_en.pdf. S spoštovanjem. Pripravila: mag. Eva Kalan Logar, vodja državnih nadzornikov Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Priporočila 01/2020 o ukrepih, ki dopolnjujejo orodja za prenos, za zagotovitev skladnosti z ravnjo varstva osebnih podatkov na ravni EU: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026