Prenos osebnih podatkov v ZDA in Združeno kraljestvo

Datum

22.03.2023

Številka

07121-1/2023/387

Kategorije

Prenos osebnih podatkov v tretje države ali mednarodne organizacije

Pri Informacijskem pooblaščencu (IP) smo dne 16. 3. 2023 prejeli vaše zaprosilo za mnenje glede prenosa osebnih podatkov v ZDA in Združeno kraljestvo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. V skladu z načelom odgovornosti je upravljavec tisti, ki je dolžan zagotoviti skladnost obdelave osebnih podatkov s Splošno uredbo, vključno z zagotavljanjem zakonitosti prenosov osebnih podatkov v tretje države.

2. Raven varstva osebnih podatkov se zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba.

3. Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna: s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašimi vprašanji.

IP izpostavlja, da je v skladu z načelom odgovornosti upravljavec tisti, ki je dolžan zagotoviti skladnost obdelave osebnih podatkov s Splošno uredbo, vključno z zagotavljanjem zakonitosti prenosov osebnih podatkov v tretje države.

Prenose osebnih podatkov v tretje države in mednarodne organizacije ureja Poglavje V Splošne uredbe, ki temelji na predpostavki, da se raven varstva osebnih podatkov zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba. Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna: s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih.

Če Komisija odloči, da tretja država ali njen del zagotavlja ustrezno raven varstva podatkov, upravljavec za prenos osebnih podatkov v to državo ne potrebuje posebnega dovoljenja. Seznam držav, za katere je izdan sklep o ustreznosti (adequacy decision), je dostopen na spletni strani Komisije (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en), med drugim ustrezno raven zaščite zagotavljajo Združeno kraljestvo, Švica, Andora, Japonska, Nova Zelandija, Argentina in Izrael.

Prenos v ZDA na podlagi sklepa o ustreznosti trenutno ni mogoč, ker ga je Sodišče Evropske unije julija 2020 razveljavilo. Komisija je decembra 2022 začela postopek za sklenitev novega sklepa o ustreznosti (EU-US Data Privacy Framework), ki bo (ponovno) omogočil prenose v ZDA brez dodatnih zaščitnih ukrepov, vendar ta trenutno še ni sprejet.

Kadar sklep o ustreznosti ni sprejet ali je bil razveljavljen, lahko upravljavec ali obdelovalec (v tem primeru izvoznik) na podlagi člena 46 Splošne uredbe podatke prenese v tretjo državo pod pogojem, da je predvidel ustrezne zaščitne ukrepe (za določene zaščitne ukrepe se zahteva tudi predhodno dovoljenje IP) ter da imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva. Izvoznik in uvoznik morata pred prenosom osebnih podatkov na podlagi ustreznih zaščitnih ukrepov oceniti, ali ti tudi dejansko zagotavljajo jamstva, ki ustrezajo ravni varstva v EU in v nasprotnem primeru sprejeti dopolnilne zaščitne ukrepe (glede dopolnilnih zaščitnih ukrepov so relevantna predvsem priporočila Evropskega odbora za varstva podatkov, dostopna na: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en).

Če tudi sklep o ustreznosti za določeno državo ni sprejet in če ni mogoče sprejeti ustreznih zaščitnih ukrepov, se lahko prenos izvede le v nekaterih posebnih primerih, ki so določeni v členu 49 Splošne uredbe. Prenos se lahko na podlagi pogojev iz tega člena izvede zgolj izjemoma, če prenos v tretjo državo z uporabo drugih mehanizmov varstva na podlagi člena 45 ali člena 46 resnično ni možen (oziroma dokler ni možen).

Splošna uredba določa tudi odstopanje od zgoraj navedenih pravil (tim. odstopanje od odstopanj), v skladu s katerim je izjemoma dovoljen tudi prenos osebnih podatkov v tretjo državo, če niso izpolnjeni pogoji za uporabo nobenega izmed opisanih mehanizmov. Tovrstni prenosi podatkov so dopustni le izjemoma ob upoštevanju strogo določenih pogojev, predvsem se ne smejo ponavljati in lahko zadevajo le omejeno število posameznikov, o njih pa mora izvoznik podatkov obvestiti IP.

Več o prenosih osebnih podatkov si lahko preberete v Smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov in ZVOP-2, ki so dostopne na spletni strani Informacijskega pooblaščenca (https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.5.pdf). Smernice vsebujejo tudi več uporabnih povezav do dodatnega gradiva o prenosih podatkov v tretje države, na primer do priporočil Evropskega odbora za varstvo podatkov in izvedbenih aktov Komisije, ki so vam lahko v pomoč pri vzpostavljanju ustreznih mehanizmov za prenos podatkov v tretje države.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka