Prenos podatkov v ZDA - IPRS

(2)Splošne uredbe), hkrati pa dejstvo, da uvoznika podatkov Splošna uredba zavezuje ne vpliva na to, ali gre pri dani obdelavi podatkov za prenos v tretjo državo ali ne. V zvezi s prenosi -podatkov v tretje države vas napotujemo na smernice št. 5/2021 (te so relevantne predvsem z vidika, da upravljavcem in obdelovalcem nudijo pomoč pri ugotavljanju, ali določena obdelava podatkov predstavlja prenos v tretjo državo ali ne): https://www.ip-rs.si/novice/ali-gre-pri-obdelavi-podatkov-za-prenos-ali-ne-nove-smernice-edpb. Tipičen primer prenosa podatkov iz EU je hramba osebnih podatkov na strežnikih v ZDA, hkrati pa gre lahko za prenos podatkov tudi v primeru, ko so podatki hranjeni na strežnikih ameriškega podjetje, ki se nahaja na ozemlju EU, vendar imajo do njih dostop upravljavci ali obdelovalci iz tretjih držav (npr. obveščevalni organi). Kakor sami ugotavljate, je Sodišče EU v zadevi Schrems II razglasilo za neveljavno odločbo Evropske komisije 2016/1250 o ustrezni ravni varstva osebnih podatkov v okviru EU-ZDA dogovora o zasebnostnem ščitu. To predvsem pomeni, da je za prenose v ZDA potrebno zagotoviti drugo orodje za prenose iz V. poglavja Splošne uredbe, saj sklep o ustreznosti iz člena 45 ni več v veljavi. Glede na to, da gre v danem primeru najverjetneje za prenos večjih količin osebnih podatkov, bi po mnenju IP ustrezno orodje za prenos lahko predstavljal kateri izmed ustreznih zaščitnih ukrepov iz člena 46 Splošne uredbe. Najpogosteje se v zasebnem sektorju sklepajo standardne pogodbene klavzule, ki jih je pripravila Evropska komisija. Za več informacij o prenosih in o ustreznih zaščitnih ukrepih vas napotujemo na smernice IP na to temo: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-prenosa-osebnih-podatkov-v-tretje-dr%C5%BEave-in-mednarodne-organizacije-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov. Glede zavezujočih poslovnih pravil IP pojasnjuje, da so namenjena prenosom znotraj skupine povezanih podjetij. V zvezi z odobrenimi mehanizmi potrjevanja IP pojasnjuje, da za zdaj ni bil potrjen še noben certifikacijski mehanizem. Glede kodeksov ravnanja kot orodja za prenos vas napotujemo na smernice Evropskega odbora o varstvu podatkov na to temo: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042021-codes-conduct-tools-transfers_en. Vas pa opozarjamo, da lahko kodekse ravnanja pripravijo le združenja in druga telesa, ki predstavljajo vrste upravljavcev ali obdelovalcev, in šele, ko so kodeksi ustrezno odobreni, se lahko k njim zavežejo upravljavci in obdelovalci. V primeru prenašanja podatkov v tretjo državo na podlagi člena 46 Splošne uredbe je izvoznik podatkov pred prenosom podatkov dolžan (pisno) oceniti, ali je karkoli v pravu ali v praksi organov tretje države, kar bi onemogočalo, da bi podatkom bila zagotovljeno v bistvu enakovredna raven varstva tej v EU. V zvezi s tem velja poudariti, da je Sodišče EU v zadevi Schrems II ugotovilo, da ZDA kot tretja država ne zagotavljajo v bistvu enakovredne ravni varstva podatkov kot je zagotovljena v EU. Sodišče je tudi ugotovilo, da člen 702 Zakona o nadzoru tujih obveščevalnih podatkov (t.i. FISA), ki zavezuje številna ameriška podjetja, ki zagotavljajo digitalne komunikacijske storitve (ang. Electronic Communiction Service Providers), ni v skladu z zakonodajo EU. V takšnem primeru je potrebno, v kolikor se podatki prenašajo oziroma se bodo prenašali na podlagi člena 46, ugotoviti, ali je mogoče poleg ustreznih zaščitnih ukrepov iz člena 46 sprejeti dopolnilne zaščitne ukrepe (npr. tehnične, organizacija, pogodbene), s katerimi bi lahko izvoznik podatkov (v sodelovanju z uvoznikom podatkov) zagotovil, da je na ta način zagotovoljena v bistvu enakovredna raven varstva prensenih podatkov v tretjo državo, kakor je zagotovljena v EU. V kolikor to ni mogoče, torej v kolikor ni mogoče prejeti dopolnilnih zaščitnih ukrepov, s katerimi bi bilo mogoče zagotoviti v bistvu enakovredno raven varstva podatkov tej v EU, tretja država pa takšne ravni varstva ne zagotvalja, takšen prenos podatkov v tretjo državo ni skladen s Splošno uredbo. Evropski odbor za varstvo podatkov je v pomoč izvoznikom pripravil priporočila o ukrepih, ki dopolnjujejo orodja za prenose, da se zagotovi skladnost s Splošno uredbo: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en. V priporočilih so predstavljeni tudi konkretni primeri glede implementacije različnih dopolnilnih zaščitnih ukrepov. V zvezi z vašim vprašanjem, ali je lahko informirana privolitev podlaga za prenos, IP primarno iz previdnosti pojasnjuje, da mora izvoznik podatkov za vsako obdelavo osebnih podatkov zagotoviti ustrezno pravno podlago, kakor mu to nalaga člena 6

(1)Splošne uredbe. Ena izmed pravnih podlag je tudi privolitev posameznika. Pravne podlage iz člena 6

(1)Splošne uredbe, ki predstavljajo temelj za zakonito obdelavo podatkov, je potrebno ločiti od poglavja V Splošne uredbe, ki ureja orodja za prenos podatkov. V skladu s členom 49, ki ureja odstopanja v posebnih primerih, je mogoče podatke (izjemoma) prenašati na podlagi izrecne privolitve posameznika (točk (a) člena 49

(1)). Pri tem opozarjamo, da lahko posameznik kadarkoli privolitev prekliče, zato po mnenju IP ta pravna podlaga ni najbolj ustrezna dolgoročna rešitev za prenose v tretje države. Glede pogojev, ki morajo biti izpolnjeni, da se lahko podatki prenašajo na podlagi izrecne privolitve v okviru člena 49, vas napotujemo na smernice na to temo: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22018-derogations-article-49-under-regulation_sl. V zvezi z vašimi navedbami glede pogodbe po členu 28 Splošne uredbe, IP pojasnjuje, da gre pri navedeni pogodbi za ureditev razmerja med upravljavcem in obdelovalcem. Namreč upravljavec in obdelovalec morata svoje razmerje pogodbeno urediti (ali z drugim pravnim aktom) ne glede na to, ali prenašata podatke ali ne, gre namreč za ločeno obveznost iz Splošne uredbe. Bi pa na tem mestu omenili, da standardne pogodbene klavzule iz modula upravljavec-obdelovalec, ki jih je lani sprejela Evropska komisija, vključujejo tudi klavzule iz člena 28

(3)Splošne uredbe. To pomeni, da lahko izvoznik in uvoznik, ki sta upravljavec in obdelovalec, z eno pogodbo uredita razmerje po členu 28 in po členu 46 Splošne uredbe. Kakor smo že uvodoma pojasnili, se IP v okviru neobvezujočega ne more opredelit glede zakonitosti konkretnih prenosov oziroma svetovati glede ustreznosti orodij za prenose v danem primeru, temveč lahko to stori šele v postopku inšpekcijskega nadzora. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026