Prenos osebnih podatkov v države zunaj EU: standardne pogodbene klavzule

 

POVZETEK:

Odločba Komisije 2010/87/EU o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo 95/46/ES

KAJ JE NAMEN TE ODLOČBE?

Določa standardne pogodbene klavzule, ki jih lahko uporabljajo upravljavci podatkov* (izvozniki podatkov) v EU, ki prenašajo osebne podatke* obdelovalcem podatkov* (uvozniki podatkov) s sedežem zunaj EU ali EGP, da zagotovijo ustrezne zaščitne ukrepe za varstvo podatkov in s tem izpolnijo zahteve zakonodaje EU o varstvu podatkov (splošna uredba o varstvu podatkov – Uredba (EU) 2016/679 – glej povzetek).

KLJUČNE TOČKE

Standardne pogodbene klavzule so določene v prilogi k odločbi, kot sledi. Standardne pogodbene klavzule se nanašajo le na varstvo podatkov in jih pogodbenica lahko vključita v širšo pogodbo ali pa jih dopolnita z drugimi klavzulami ali dodatnimi zaščitnimi ukrepi, če niso neposredno ali posredno v nasprotju s standardnimi pogodbenimi klavzulami, sprejetimi s to odločbo.

Klavzula 1: Opredelitve pojmov

Določene so opredelitve ključnih pojmov, ki se uporabljajo v standardnih pogodbenih klavzulah.

Klavzula 2: Podrobnosti o prenosu

Pogodbenici bi morali v prilogi k pogodbenim klavzulam navesti podrobnosti o prenosih, vključno z ustreznimi dejavnostmi uvoznika in izvoznika podatkov, kategorijami prenesenih osebnih podatkov in postopki obdelave, ki bodo predmet osebnih podatkov, ko bodo preneseni.

Klavzula 3: Klavzula v korist tretjega

Klavzula posameznikom, na katere se nanašajo osebni podatki, kot tretji upravičeni stranki omogoča uveljavitev več klavzul proti izvozniku, uvozniku ali podobdelovalcu podatkov. Poleg tega določa, da pogodbenici ne nasprotujeta temu, da posameznika, na katerega se nanašajo osebni podatki, zastopa združenje ali drug organ, če to dovoljuje nacionalna zakonodaja.

Klavzula 4: Obveznosti izvoznika podatkov

Ta klavzula določa pogodbene obveznosti izvoznika podatkov, ki se mora strinjati in jamčiti, da:

• obdeluje osebne podatke v skladu z zakonodajo o varstvu podatkov;
• naroči uvozniku podatkov, naj podatke obdeluje samo v imenu izvoznika podatkov in v skladu z zakonodajo o varstvu podatkov in klavzulami;
• zagotavlja (in upošteva) zadostna jamstva v zvezi s tehničnimi in organizacijskimi varnostnimi ukrepi za zaščito osebnih podatkov pred slučajnim ali nezakonitim uničenjem, izgubo, predelavo, nepooblaščenim posredovanjem ali dostopom, zlasti kadar obdelava poteka prek omrežja;
• obvešča posameznika, na katerega se nanašajo osebni podatki, če bi se lahko posebne kategorije podatkov posredovale v državo zunaj EU, z neustreznim varstvom podatkov;
• obvestilo, ki ga je prejel od uvoznika podatkov o njegovi nezmožnosti, da upošteva klavzule, posreduje pristojnemu nadzornemu organu, če se odloči, da bo nadaljeval prenos;
• posameznikom, na katere se nanašajo osebni podatki, na zahtevo da na voljo kopijo klavzul s povzetkom opisa varnostnih ukrepov;
• v primeru nadaljnje obdelave mora podobdelovalec zagotoviti vsaj enako raven varstva osebnih podatkov kot uvoznik podatkov.

Klavzula 5: Obveznosti uvoznika podatkov

Ta klavzula določa pogodbene obveznosti uvoznika podatkov, ki se mora strinjati z naslednjim in jamčiti:

• obdelavo osebnih podatkov samo v imenu izvoznika podatkov in v skladu z njegovimi navodili in klavzulami;
• da nima nobenega razloga verjeti, da zanj veljavna zakonodaja preprečuje izpolnjevanje navodil izvoznika podatkov in njegovih obveznosti iz pogodbe;
• takojšnje obveščanje o vsaki spremembi te zakonodaje, ki bi lahko znatno škodovala jamstvom in obveznostim, določenim v klavzulah, v tem primeru je izvoznik podatkov upravičen, da začasno ustavi prenos podatkov in/ali prekine pogodbo;
• izvajanje določenih tehničnih in organizacijskih varnostnih ukrepov pred obdelavo prenesenih osebnih podatkov;
• takojšnje obveščanje izvoznika podatkov o zahtevah organa pregona za razkritje osebnih podatkov, vsakem slučajnem ali nepooblaščenem dostopu in vsaki zahtevi, ki jo prejme neposredno od posameznikov, na katere se nanašajo osebni podatki, ne da bi se nanjo odzval, če ni drugače dovoljeno;
• takojšnjo obravnavo vseh poizvedb izvoznika podatkov in upošteva nasvet nadzornega organa;
• na zahtevo izvoznika podatkov, da svoje zmogljivosti za obdelavo podatkov predloži za revizijo dejavnosti obdelave, ki jih zajemajo klavzule;
• da posameznikom, na katere se nanašajo osebni podatki, na zahtevo da na voljo kopijo klavzul s povzetkom opisa varnostnih ukrepov;
• najem podobdelovalca le s predhodnim pisnim soglasjem izvoznika podatkov.

Klavzula 6: Odgovornost

Klavzule zahtevajo, da se pogodbenici dogovorita, da je vsak posameznik, na katerega se nanašajo osebni podatki, ki je utrpel škodo zaradi kakršne koli kršitve obveznosti, upravičen prejeti odškodnino od izvoznika podatkov.

Klavzula 7: Mediacija in pristojnost

Uvoznik podatkov se mora strinjati, da bo, če bo posameznik, na katerega se nanašajo osebni podatki, zoper njega uveljavljal pravice tretjih oseb in/ali za škodo zahteval odškodnino, sprejel odločitev posameznika, na katerega se nanašajo osebni podatki, da bo spor napotil na neodvisno mediacijo ali na sodišča v državi EU, v kateri ima izvoznik podatkov sedež (s pravico, da poišče pravna sredstva v skladu z drugimi nacionalnimi ali mednarodnimi zakoni).

Klavzula 8: Sodelovanje z nadzornimi organi

Ta klavzula ureja sodelovanje s pristojnim nadzornim organom, in sicer tako, da:

• ima nadzorni organ pravico opraviti revizijo uvoznika podatkov in katerega koli podobdelovalca;
• se uvoznik podatkov strinja, da bo izvoznika podatkov obvestil o kakršni koli zakonodaji, ki preprečuje revizijo uvoznika podatkov. V takem primeru ima izvoznik podatkov pravico začasno ustaviti prenos podatkov ali prekiniti pogodbo.

Klavzula 9: Veljavno pravo

Klavzule bi moralo urejati nacionalno pravo države EU, v kateri ima izvoznik podatkov svoj sedež.

Klavzula 10: Sprememba pogodbe

Pogodbenici ne smeta spreminjati, preoblikovati ali nasprotovati klavzulam.

Klavzula 11: Nadaljnja obdelava

Določbe o nadaljnji obdelavi bi moralo urejati pravo države EU, v kateri ima izvoznik podatkov svoj sedež.

Klavzula 12: Obveznost po prenehanju storitev obdelave osebnih podatkov

Ta klavzula ureja obveznosti pogodbenic po prenehanju obdelave podatkov. Pogodbenici bi se morali zlasti dogovoriti, da morata uvoznik podatkov in podobdelovalec na koncu storitev obdelave podatkov vrniti (ali na zahtevo uničiti) vse prenesene osebne podatke, razen če to ne preprečuje zakonodaja.

OD KDAJ SE TA ODLOČBA UPORABLJA?

Uporablja se od 15. maja 2010.

OZADJE

• Opomba: ta odločba je bila predmet predloga za sprejetje predhodne odločbe, ki je privedlo do sodbe Sodišča EU (zadeva C-311/18) z dne 16. julija 2020, v kateri je Sodišče potrdilo veljavnost odločbe.
• Evropska komisija je izdala tudi dva (2) sklopa standardnih pogodbenih klavzul za prenose podatkov od upravljavcev podatkov v EU do upravljavcev podatkov s sedežem zunaj EU ali EGP.
• Več informacij je na voljo tudi na strani:
  • Varstvo podatkov (Evropska komisija).

KLJUČNI POJMI

GLAVNI DOKUMENT

Odločba Komisije 2010/87/EU z dne 5. februarja 2010 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovancem s sedežem v tretjih državah v skladu z Direktivo Evropskega parlamenta in Sveta 95/46/ES (UL L 39, 12.2.2010, str. 5–18).

Nadaljnje spremembe Odločbe 2010/87/EU so vključene v izvirno besedilo. Ta prečiščena različica ima zgolj dokumentarno vrednost.

POVEZANI DOKUMENTI

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119 4.5.2016, str. 1–88).

Glej prečiščeno različico.

Odločba Komisije 2004/915/ES z dne 27. decembra 2004 o spremembi Odločbe 2001/497/ES glede uvedbe alternativnega sklopa standardnih pogodbenih klavzul za prenos osebnih podatkov v tretje države (UL L 385, 29.12.2004, st. 74–84).

Odločba Komisije 2001/497/ES z dne 15. junija 2001 o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države v skladu z Direktivo 95/46/ES (UL L 181, 4.7.2001, str. 19–31).

Glej prečiščeno različico.

Direktiva 95/46/ES Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL L 281, 23.11.1995, str. 31–50).

Glej prečiščeno različico.

Zadnja posodobitev 07.10.2020