Prenos osebnih podatkov na podlagi standardnih pogodbenih določil

Datum

07.07.2023

Številka

07121-1/2023/918

Kategorije

Prenos osebnih podatkov v tretje države ali mednarodne organizacije

Pri Informacijskem pooblaščencu (IP) smo dne 27. 6. 2023 prejeli vaše zaprosilo za mnenje glede prenosa osebnih podatkov na podlagi standardnih pogodbenih določil. Zanima vas, ali v skladu z določilom 13 Izvedbenega sklepa komisije 2021/914 Informacijski pooblaščenec pristojni nadzorni organ ali to vlogo opravlja kakšen drug organ.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.Izvoznik podatkov je fizična ali pravna oseba oziroma osebe, javni organ oziroma organi, agencija oziroma agencije ali drug organ oziroma organi, ki prenašajo osebne podatke.

2.Določilo 13 Izvedbenega sklepa Komisije 2021/914 določa, kateri izmed nacionalnih nadzornih organov za varstvo osebnih podatkov je pristojen za nadzor nad skladnostjo prenosa podatkov na podlagi standardnih pogodbenih določil z Uredbo (EU) 2016/679. Določitev pristojnega organa je odvisna od tega, ali je izvoznik podatkov v EU ustanovljen v državi članici EU ter ali mora na podlagi 27(2) člena Splošne uredbe imenovati predstavnika ali ne.

3.Če je izvoznik podatkov ustanovljen v državi članici EU, je pristojen nadzorni organ, ki je odgovoren za zagotavljanje skladnosti izvoznika podatkov z Uredbo (EU) 2016/679, kar zadeva prenos podatkov, kot je naveden v Prilogi I.C.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašimi vprašanji.

Določilo 13 Izvedbenega sklepa Komisije (EU) 2021/914 z dne 4. junija 2021 o standardnih pogodbenih določilih za prenos osebnih podatkov v tretje države v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta določa, kateri izmed nacionalnih nadzornih organov za varstvo osebnih podatkov je pristojen za nadzor nad skladnostjo prenosa podatkov na podlagi standardnih pogodbenih določil z Uredbo (EU) 2016/679. Določitev pristojnega organa je odvisna od tega, ali je izvoznik podatkov v EU ustanovljen v državi članici EU ter ali mora na podlagi 27(2) člena Splošne uredbe imenovati predstavnika ali ne.

V skladu z določilom 1(b)(i) Izvedbenega sklepa Komisije 2021/914 je izvoznik podatkov fizična ali pravna oseba oziroma osebe, javni organ oziroma organi, agencija oziroma agencije ali drug organ oziroma organi, ki prenašajo osebne podatke, kot so navedeni v Prilogi I.A.

Glede na navedene kriterije ločujemo tri situacije:

1.izvoznik podatkov je ustanovljen v državi članici EU: Pristojni nadzorni organ je nadzorni organ, ki je odgovoren za zagotavljanje skladnosti izvoznika podatkov z Uredbo (EU) 2016/679, kar zadeva prenos podatkov, kot je naveden v Prilogi I.C. Če je izvoznik podatkov ustanovljen v Sloveniji, bo za nadzor nad prenosom na podlagi standardnih pogodbenih določil pristojen Informacijski pooblaščenec.

2.izvoznik podatkov ni ustanovljen v državi članici EU, vendar spada v ozemeljsko področje uporabe Uredbe (EU) 2016/679 v skladu z njenim členom 3(2) in je imenoval predstavnika v skladu s členom 27(1) Uredbe (EU) 2016/679: Pristojni nadzorni organ je nadzorni organ države članice, v kateri ima ustanovitev predstavnik v smislu člena 27(1) Uredbe (EU) 2016/679, kot je naveden v Prilogi I.C.

3.izvoznik podatkov ni ustanovljen v državi članici EU, vendar spada v ozemeljsko področje uporabe Uredbe (EU) 2016/679 v skladu z njenim členom 3(2), pri čemer mu ni treba imenovati predstavnika v skladu s členom 27(2) Uredbe (EU) 2016/679: Pristojni nadzorni organ je nadzorni organ ene od držav članic, v kateri so posamezniki, na katere se nanašajo osebni podatki, ki se prenesejo na podlagi teh določil v zvezi s ponujanjem blaga ali storitev tem posameznikom, ali katerih ravnanje se spremlja, kot je navedeno v Prilogi I.C.

IP glede točk 2. in 3. dodatno pojasnjuje, da v primerih, v katerih se Splošna uredba uporablja za obdelavo osebnih podatkov posameznikov, na katere se nanašajo osebni podatki in ki so v Uniji, s strani upravljavca ali obdelovalca, ki nima sedeža v Uniji, mora upravljavec ali obdelovalec pisno določiti predstavnika v Uniji. Obveznost določitve predstavnika ne velja le v dveh primerih in sicer, če gre za obdelavo, ki je občasna in v velikem obsegu ne vključuje obdelave posebnih vrst podatkov iz člena 9(1) ali obdelave osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10 ter glede na njeno naravo, okoliščine, obseg in namene verjetno ne bo povzročila tveganja za pravice in svoboščine posameznikov, ali gre za obdelavo s strani javnega organa ali telesa.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka