Prenos osobných údajov do USA po Schrems II: čo musí firma preveriť

Právna veta

Rozhodnutie o primeranosti ochrany „Privacy Shield" je neplatné. Štandardné zmluvné doložky zostávajú platné, no vývozca aj dovozca údajov musia overiť, či právo tretej krajiny zabezpečuje v podstate rovnocennú úroveň ochrany; ak nie, musia prijať dodatočné záruky, alebo prenos zastaviť.

Podstata veci

Maximilian Schrems namietal prenos svojich údajov spoločnosťou Facebook Ireland do materskej spoločnosti v USA. Po tom, čo Súdny dvor v roku 2015 zrušil rozhodnutie „Safe Harbour" (Schrems I, C-362/14), sa spor sústredil na platnosť štandardných zmluvných doložiek (SCC) a rozhodnutia o primeranosti Privacy Shield.

Rozhodnutie (C-311/18), 16. júla 2020

1. Privacy Shield je neplatný. Prístup amerických spravodajských služieb k údajom prenášaným z EÚ a chýbajúca účinná súdna ochrana pre dotknuté osoby z EÚ nezodpovedali úrovni ochrany v podstate rovnocennej tej v EÚ.
2. Štandardné zmluvné doložky ostávajú platné, no samy osebe nestačia. Vývozca a dovozca údajov musia overiť, či právo cieľovej krajiny neznemožňuje dodržanie doložiek. Ak áno, musia prijať dodatočné záruky, alebo prenos zastaviť.

Praktické dôsledky – posúdenie vplyvu prenosu (TIA)

Pred prenosom (alebo pri jeho pokračovaní) do tretej krajiny bez rozhodnutia o primeranosti treba:

• zmapovať prenos — aké údaje, komu, na aký účel, cez akých ďalších sprostredkovateľov,
• vybrať nástroj prenosu podľa čl. 46 GDPR (spravidla SCC v znení z roku 2021),
• posúdiť právny poriadok cieľovej krajiny — najmä možnosti prístupu orgánov a dostupnosť opravných prostriedkov pre dotknuté osoby,
• ak ochrana nie je rovnocenná, prijať dodatočné opatrenia (silné šifrovanie s kľúčmi mimo dosahu dovozcu, pseudonymizácia, zmluvné a organizačné záruky, transparentnosť voči dotknutým osobám),
• ak ani tie nezabezpečia rovnocennú ochranu, prenos neuskutočniť.

Rámec pre USA po roku 2023

Európska komisia prijala nové rozhodnutie o primeranosti pre EÚ – USA Data Privacy Framework. Prenos k organizáciám, ktoré sú do tohto rámca zapojené, je opäť možný bez ďalšieho nástroja; pre ostatné prenosy do USA (a do iných tretích krajín) však povinnosť posúdenia vplyvu prenosu a prípadných dodatočných záruk trvá. Rozhodnutie o primeranosti navyše môže byť predmetom ďalšieho súdneho preskúmania.

Odporúčanie pre firmy

• Urobte si register prenosov a priraďte ku každému právny nástroj.
• Pri kľúčových dodávateľoch si vyžiadajte informáciu o zapojení do Data Privacy Framework, resp. o použitých SCC a dodatočných zárukách.
• Dokumentáciu (TIA) uchovávajte — pri kontrole dozorného úradu je dôkazom náležitej starostlivosti.