Pro rozvoj mezinárodní spolupráce a mezinárodního obchodu jsou toky osobních údajů nezbytným aspektem. Každý přenos osobních údajů se však musí uskutečňovat výhradně v plném souladu s nařízením GDPR. Privacy Shield – dohoda mezi EU a USA o transatlantickém předávání osobních údajů z Evropské unie do Spojených států amerických pro komerční účely – ještě donedávna umožňovala subjektům zabývajícím se hospodářskou činností předávat osobní údaje občanů EU do USA, aniž by bylo nutné splnit další podrobnější podmínky. Tento přenos údajů však byl zastaven.
Zkomplikování situace na základě podané stížnosti
Zlom nastal na základě stížnosti rakouského internetového aktivisty Maximiliana Schremsa, který tvrdil, že irská dceřiná společnost globální sociální platformy – Facebook Ireland Ltd – předává osobní údaje svých uživatelů do Spojených států amerických, kde jsou dále zpracovávány nepřiměřeným způsobem. Evropská komise na to reagovala přijetím rozhodnutí, v němž konstatovala, že posoudila opatření ze strany USA, konkrétně zavedení instituce ombudsmana, a uvedla, že záruky práv dotčených osob jsou v tomto případě dostatečné. Stížnost M. Schremsa takzůstala zamítnuta.
Facebook nakonec vydal vysvětlení, že osobní údaje jsou předávány na základě standardních smluvních doložek, nikoli na základě rozhodnutí Komise o přiměřené ochraně. M. Schrems byl vyzván, aby přeformuloval svou stížnost, v níž tentokrát argumentoval nedostatečnými zárukami v rámci slabé ochrany osobních údajů při předávání osobních údajů z EU do USA. Výsledkem několik let trvajícího sporu tak bylo rozhodnutí Soudního dvora o zrušení Privacy Shield. Nebylo však zrušeno rozhodnutí týkající se standardních smluvních doložek.
Standardní smluvní doložky
Standardní smluvní doložky se považují za doložky, které poskytují přiměřené záruky s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, pokud jde o uplatňování příslušných práv. Tyto ustanovení lze začlenit do širší smlouvy mezi zpracovatelem a dalším zpracovatelem nebo k nim přidat dodatečné záruky, které nejsou v rozporu s ustanoveními přijatými Evropskou komisí či dozorovým orgánem a které žádným způsobem nezasahují do základních práv dotčených osob.
Úroveň ochrany v třetí zemi by měla být rovnocenná s nařízením GDPR. Pokud třetí země nezaručuje přiměřenou ochranu osobních údajů a dozorový orgán se domnívá, že doložky nejsou nebo nemohou být dodrženy, přenos osobních údajů do takové třetí země je dozorový orgán povinen pozastavit nebo zcela zakázat.
Stanoviska některých společností k této problematice
Google prostřednictvím oficiálního e-mailu informoval, že od data 12. 8. 2020 upraví své podmínky používání týkající se analytických služeb a služby Google Ads tak, že předávání osobních údajů do třetích zemí, které bylo dosud zajištěno prostřednictvím dohody mezi EU a USA o transatlantickém předávání osobních údajů, bude zajištěn na základě standardních smluvních doložek.
Rozhodnutí soudu neovlivnilo ani možnost předávání osobních údajů mezi EU a USA prostřednictvím cloudu společnosti Microsoft. Ta uvedla, že již řadu let poskytuje zákazníkům nadstandardní ochranu v rámci zmíněných standardních smluvních doložek.
I samotný Facebook se zabývá důsledky rozhodnutí evropského soudu. Eva Nagle, právní zástupkyně společnosti Facebook, uvedla, že pečlivě zvažují důsledky rozhodnutí Soudního dvora a v této souvislosti se těší na případné regulační pokyny. Zároveň dodává, že Facebook zajistí, aby data na něm zveřejněná zůstala v bezpečí.
Výsledek a doporučení
Přenos osobních údajů tedy není zcela zakázán. V tomto případě se však veškerá odpovědnost přesouvá na správce. Do smluv se zprostředkovateli je vhodné doplnit nezbytné doložky, případně zvážit změnu zpracovatele. Nad rámec těchto doložek se považuje i doplnění bezpečnostních záruk, například přenos dat z USA zpět na území EU. Dalším minimálním řešením je poučit dotčené osoby, jejichž osobní údaje jsou zpracovávány, o rizicích spojených s předáváním jejich osobních údajů do třetí země. Do posouzení by provozovatelé měli zahrnout také metody šifrování a pseudonymizace.
Sankce
Společnosti, které ještě donedávna využívaly předávání osobních údajů na základě Privacy Shield, musí neprodleně posoudit, zda jsou schopny zajistit předávání na základě jiného právního mechanismu, než tomu bylo dosud. V opačném případě se vystavují riziku uložení pokuty až do výše 20 000 000 EUR nebo do výše odpovídající 4 % svého celosvětového obratu, přičemž se uplatní vyšší z těchto částek.
Zdroje:
- https://blogs.microsoft.com/eupolicy/2020/07/16/assuring-customers-about-cross-border-data-flows/
- https://curia.europa.eu
- https://dataprotection.gov.sk/uoou/sk/content/stanovisko-k-privacy-shield
- https://www.reuters.com/article/us-facebook-privacy-eu-statement/facebook-studying-eu-court-ruling-on-data-transfer-idUSKCN24H1UN
- Nařízení GDPR
