Aktualizované instrumenty pro předávání osobních údajů do zemí mimo EU – standardní smluvní doložky verze 2021: rok a čtvrt na přesmluvnění

Dnes už snad ani nezáleží, zda se pohybujete v digitálním prostředí a zpracování dat je vaším denním chlebem, zajišťujete strojírenskou výrobu a globální management, pracujete s daty zákazníků i zaměstnanců mimo EU anebo v čistě lokálním byznysu využíváte podpory softwarových nástrojů pocházejících ze Silicon Valley. Otázku předávání osobních dat po třech letech zodpověděla Evropská komise, když připravila změnu dosavadního souboru jedenáct a dvacet let starých smluvních vzorů známých pod pojmem standardní smluvní doložky („SSD“).

Co jsou nové standardní smluvní doložky

Jedná se o rozhodnutí Evropské komise přijaté 4. června 2021, s účinností od 27. června 2021. Nové SSD připravila Komise v souladu s Obecným nařízením o ochraně osobních údajů („GDPR“) s cílem zohlednit rozhodnutí Soudního dvora EU ve věci Schrems II a následné doporučení EDPB týkající se tohoto rozhodnutí.

SSD představují ve smyslu čl. 46 GDPR nástroj pro vytvoření vhodných záruk ochrany osobních údajů pro přenos osobních údajů do třetích zemí, jejichž právní řád nezaručuje dostatečnou úroveň ochrany osobních údajů. Konkrétně se jedná o vzorový text smlouvy mezi správcem či zpracovatelem osobních údajů, který hodlá předat osobní údaje do třetí země mimo Evropskou unii, resp. mimo EHP (tzv. vývozce údajů), a příjemcem osobních údajů v této třetí zemi (tzv. dovozce údajů).

Proč tu máme nové SSD?

Přijaté SSD reagují na technologický a společenský pokrok a na potřebu zajistit dostatečnou míru ochrany osobních údajů. Stávající SSD byly přijaty v roce 2001, resp. 2010, a to ještě před účinností Obecného nařízení o ochraně osobních údajů („GDPR“), přičemž v praxi je bylo nutné často adaptovat, aby odpovídaly obchodní realitě spolupráce (např. i v rámci holdingových struktur globálních společností). To s sebou ale přinášelo riziko, že po takové adaptaci už nebudou považovány za SSD.

Nové SSD tak připravila Komise v souladu s GDPR a s cílem zohlednit známé rozhodnutí Soudního dvora EU ve věci Schrems II a následné doporučení Evropského sboru pro ochranu osobních údajů týkající se tohoto rozhodnutí.

Typicky nejčastější druhy používaných adaptací tak byly vlastně povýšeny na vzor a modulárním přístupem (viz též dále) byla umožněna vyšší míra povolených zásahů do textu SSD. Pochopitelně v SSD přibyly povinnosti, které se objevily v GDPR oproti předchozí úpravě a současně je zřetelně deklarováno, že SSD ve vztahu mezi správcem a zpracovatelem plní současně roli zpracovatelské smlouvy podle čl. 28 GDPR.

Od kdy?

Nová standardní smluvní ustanovení lze použít od vstupu rozhodnutí v účinnost, tedy od 27. června 2021.

Evropská komise ale zavedla dvě přechodná období.

• Díky prvnímu je možné, aby správci a zpracovatelé i nadále uzavírali stávající SSD (tedy podle vzorů z let 2001 a 2010), a to až do 26. září 2021 včetně, čímž byla poskytnuta ochranná doba především pro již rozjednané kontrakty a na přípravu kontraktů nových.
• Druhé přechodné období umožňuje správcům a zpracovatelům spoléhat se na staré SSD (tedy uzavřené před 27. zářím 2021), a to až do 27. prosince 2022, ale s výhradou, že operace zpracování, které jsou předmětem dosavadních SSD, zůstávají beze změny a že spoléhání se na tyto doložky zajistí, že se na předávání osobních údajů budou vztahovat dostatečné záruky.