Ravnatelj Agencije za zaštitu osobnih podataka, g. Zdravko Vukić, sudjelovao je na 34. plenarnoj sjednici Europskog odbora za zaštitu podataka održanoj 17. srpnja 2020. godine. Glavna tema rasprave bila je presuda Suda Europske unije u predmetu C-311/18 Data Protection Commissioner/ Maximillian Schrems i Facebook Ireland, kojom je poništena Odluka 2016/1250 o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti. Nasuprot tomu, Sud je presudio da je Odluka Komisije 2010/87 o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama valjana.
Dnevni red 34. plenarne sjednice Europskog odbora za zaštitu podataka
https://edpb.europa.eu/sites/edpb/files/files/file1/20200717plen1.2_agenda_public.pdf
Priopćenje Suda Europske unije https://curia.europa.eu/jcms/upload/docs/application/pdf/2020-07/cp200091hr.pdf
Cjeloviti tekst presude
http://curia.europa.eu/juris/document/document.jsf?text=&docid=228677&pageIndex=0&doclang=HR&mode=req&dir=&occ=first&part=1&cid=10300380
Na predmetnoj sjednici članovi Europskog odbora za zaštitu podataka usvojili su sljedeću izjavu:
Europski odbor za zaštitu podataka pozdravlja presudu Suda Europske unije u kojoj se ističe temeljno pravo na privatnost u kontekstu prijenosa osobnih podataka trećim zemljama. Odluka Suda Europske unije od velikog je značaja. Europski odbor za zaštitu podataka primio je na znanje činjenicu da Sud Europske unije poništio Odluku 2016/1250 o primjerenosti zaštite koju pruža sustav zaštite privatnosti između EU-a i SAD-a Štit Privatnosti, te činjenicu da Odluku Komisije 2010/87 o standardnim ugovornim klauzulama smatra valjanom za prijenos obrađivačima osobnih podataka s poslovnim nastanom u trećim zemljama.
U pogledu Štita privatnosti, Europski odbor za zaštitu podataka ističe da bi, u skladu s presudom, EU i SAD trebali donijeti potpun i učinkovit okvir kojim se jamči da je razina zaštite osobnih podataka u SAD-u jednaka onoj zajamčenoj u Europskoj uniji.
Europski odbor za zaštitu podataka prethodno je identificirao neke od glavnih nedostataka Štita Privatnosti na kojima Sud Europske unije temelji svoju presudu o poništenju Odluke 2016/1250, te je u svojim izvješćima o godišnjim zajedničkim revizijama Šita privatnosti doveo u pitanje usklađenost prava SAD-a s načelima nužnosti i proporcionalnosti.
Europski odbor za zaštitu podataka ima namjeru konstruktivno doprinijeti sigurnosti transatlantskog prijenosa podataka koji će koristiti građanima Europskog gospodarskog prostora kao i organizacijama, te je spreman pružiti pomoć Europskoj komisiji i SAD-u pri izgradnji novog okvira koji će biti u potpunosti usklađen s odredbama Opće uredbe.
U presudi Suda Europske unije naglašeno je da standardne ugovorne klauzule služe tome da osiguraju razinu zaštite koja je u bitnome jednaka onoj zajamčenoj Općom uredbom o zaštiti podataka, a u svjetlu Povelje Europske unije o temeljnim pravima. Procjena pruža li zemlja u koju se prenose podaci odgovarajuću razinu zaštitu prije svega je odgovornost izvoznika i uvoznika podataka. Pri provedbi takve prethodne procjene izvoznik (ako je potrebno uz pomoć uvoznika), uzima u obzir sadržaj standardnih ugovornih klauzula, posebne okolnosti prijenosa, kao i pravni režim koji se primjenjuje u zemlji uvoznika. Ispitivanje potonjeg provodi se s obzirom na neiscrpne čimbenike utvrđene u članku 45. stavku 2. Opće uredbe o zaštiti podataka.
Ako je rezultat te procjene da zemlja uvoznika ne pruža ekvivalentnu razinu zaštite, izvoznik će možda morati razmotriti uvođenje dodatnih mjera u odnosu na one uključene u standardne ugovorne klauzule.
Europski odbor za zaštitu podataka dodatno razmatra od čega bi se te dodatne mjere mogle sastojati.
U presudi Suda Europske unije istaknuta je i važnost da izvoznik i uvoznik poštuju svoje obveze uključene u standardne ugovorne klauzule, a posebno obveze informiranja u vezi s promjenom zakonodavstva u zemlji uvoznika. Ako te ugovorne obveze nisu ispunjene ili ih se ne može ispuniti, standardne ugovorne klauzule obvezuju izvoznika da obustavi prijenos ili raskine standardne ugovorne klauzule ili da obavijesti nadležno nadzorno tijelo u svojoj zemlji ako namjerava nastaviti s prijenosom podataka.
Europski odbor za zaštitu podataka prima na znanje obvezu nadležnih nadzornih tijela da obustave ili zabrane prijenos podataka u treću zemlju u skladu sa standardnim ugovornim klauzulama, u slučaju kad nadležno nadzorno tijelo, uzimajući u obzir sve okolnosti tog prijenosa, utvrdi da se standardne ugovorne klauzule ne poštuju ili se ne mogu poštovati u toj trećoj zemlji, a zaštita prenesenih podataka se ne može osigurati drugim sredstvima, posebno ako voditelj obrade ili izvršitelj obrade već nije sam obustavio ili prekinuo prijenos.
Podsjećamo da je Europski odbor za zaštitu podataka izdao smjernice o odstupanjima iz članka 49. Opće uredbe o zaštiti podataka https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_2_2018_derogations_hr.pdf te da se ta odstupanja mogu primjenjivati ovisno o pojedinačnom slučaju.
Europski odbor za zaštitu podataka detaljnije će razmotriti presudu te dati dodatna pojašnjenja dionicima i smjernice o uporabi instrumenata za prijenos osobnih podataka trećim zemljama u skladu s predmetnom presudom.
