Předávání osobních údajů do zemí mimo EU: Standardní smluvní doložky

PŘEHLED DOKUMENTŮ:

Rozhodnutí 2010/87/EU o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES

CO JE CÍLEM TOHOTO ROZHODNUTÍ?

Stanoví standardní smluvní doložky, které mohou využívat správci údajů* (vývozci) v EU, kteří předávají osobní údaje* zpracovatelům údajů* (dovozcům) usazeným mimo EU nebo EHS za účelem poskytnutí vhodných ochranných opatření pro údaje, a tím i dodržení souladu s požadavky právních předpisů EU na ochranu údajů (obecné nařízení o ochraně osobních údajů – nařízeni (EU) 2016/679 – viz shrnutí).

KLÍČOVÉ BODY

Standardní smluvní doložky jsou stanoveny v příloze tohoto rozhodnutí následovně. Standardní smluvní doložky se vztahují pouze na ochranu údajů a strany je mohou zahrnout do širšího znění smlouvy nebo je doplnit dalšími doložkami nebo ochrannými opatřeními za předpokladu, že nejsou, přímo či nepřímo, v rozporu se standardními smluvními doložkami přijatými tímto rozhodnutím.

Doložka 1: Definice

Stanovuje definice klíčových pojmů používaných ve standardních smluvních doložkách.

Doložka 2: Podrobnosti předávání

Strany by měly v příloze ke smluvním doložkám uvést podrobnosti předávání, včetně příslušných činností dovozce a vývozce údajů, kategorií předávaných osobních údajů a činností spojených se zpracováním, kterým budou osobní údaje po předání podléhat.

Doložka 3: Doložka ve prospěch třetí strany

Tato doložka umožňuje subjektům údajů vynutit si jako oprávněná třetí strana od vývozce údajů, dovozce údajů nebo dílčího zpracovatele plnění několika doložek. Také stanovuje, že strany nemají námitek proti tomu, aby byl subjekt údajů zastupován sdružením nebo jiným subjektem, povoluje-li to vnitrostátní právo.

Doložka 4: Povinnosti vývozců údajů

Tato doložka stanovuje smluvní povinnosti pro vývozce údajů, který musí souhlasit a zaručit se za:

zpracovávání osobních údajů v souladu s právními předpisy o ochraně údajů,
poučení dovozců údajů, aby zpracovávali údaje pouze jménem vývozce údajů a v souladu s právními předpisy o ochraně údajů a doložkami,
poskytování dostatečných záruk (a jednání v souladu s nimi) v souvislosti s technickými a organizačními bezpečnostními opatřeními k ochraně osobních údajů před náhodným či protiprávním zničením, ztrátou, úpravou, neoprávněným zveřejněním či přístupem v případech, kdy zpracování probíhá prostřednictvím sítě,
informování subjektů údajů, pokud by mohly být do země mimo EU s nevhodnou ochranou údajů předány zvláštní kategorie údajů,
předání oznámení, které vývozce údajů obdržel od dovozce údajů, že dovozce nemůže dodržet doložky, příslušným orgánům, pokud se vývozce rozhodne pokračovat s předáváním,
poskytnutí kopie doložek se souhrnným popisem bezpečnostních opatření na požádání subjektům údajům,
poskytnutí alespoň stejné úrovně ochrany osobních údajů dílčím zpracovatelem v případě dílčího zpracování, jako by poskytl dovozce údajů.

Doložka 5: Povinnosti dovozců údajů

Tato doložka stanovuje smluvní povinnosti dovozce údajů, který musí souhlasit a zaručit se za:

zpracovávání osobních údajů pouze jménem vývozce údajů a v souladu s jeho pokyny a doložkami,
to, že nemá důvod se domnívat, že mu právní předpisy, kterým podléhá, brání plnit pokyny vývozce údajů a jeho povinnosti vyplývající ze smlouvy,
rychlé oznámení vývozci údajů o jakékoliv změně v těchto právních předpisech, která pravděpodobně bude mít závažný nepříznivý dopad na záruky a povinnosti a kdy je vývozce údajů oprávněn pozastavit předávání údajů a/nebo odstoupit od smlouvy,
učinění konkrétních technických a organizačních bezpečnostních opatření před zpracováváním předávaných osobních údajů,
rychlé upozornění vývozce údajů na požadavky a zveřejnění osobních údajů ze strany donucovacího orgánu, veškeré případy získání náhodného nebo neoprávněného přístupu a veškeré žádosti obdržené přímo od subjektů údajů, aniž by na tyto žádosti reagoval, ledaže k tomu byl jinak oprávněn,
rychlé vyřízení veškerých dotazů vývozce údajů a řízení se názorem orgánu dozoru,
umožnění přezkoumání činností spojených se zpracováním údajů podle doložek ve svých zařízeních na zpracování údajů na žádost vývozce údajů,
poskytnutí kopie doložek subjektu údajů na požádání se souhrnným popisem bezpečnostních opatření,
najmutí dílčího zpracovatele pouze s předchozím písemným souhlasem vývozce údajů.

Doložka 6: Odpovědnost

Doložky vyžadují, aby strany souhlasili, že jakýkoliv subjekt údajů, který utrpěl v důsledku porušení povinností škodu je oprávněn obdržet od vývozce údajů za utrpěnou škodu náhradu.

Doložka 7: Mediace a soudní příslušnost

Dovozce údajů musí souhlasit, že uplatní-li proti němu subjekt údajů práva ve prospěch třetí strany a/nebo uplatní-li nárok na náhradu škody, přistoupí dovozce údajů na rozhodnutí subjektu údajů předat spor k nezávislé mediaci nebo předat spor soudům v zemi EU, ve které je vývozce údajů usazen (aniž jsou dotčena práva na náhrady v souladu s ostatními ustanoveními vnitrostátního nebo mezinárodního práva).

Doložka 8: Spolupráce s orgány dozoru

Touto doložkou se řídí spolupráce s příslušným orgánem dozoru stanovením, že:

orgán dozoru má právo provést přezkoumání u dovozce údajů a u jakéhokoli dílčího zpracovatele,
dovozce údajů souhlasí s informováním vývozce údajů o jakýchkoliv právních předpisech, které brání provedení přezkoumání dovozce údajů. V tom případě bude vývozce údajů oprávněn pozastavit předávání údajů nebo odstoupit od smlouvy.

Doložka 9: Rozhodné právo

Doložky se řídí právem té země EU, ve které je usazen vývozce údajů.

Doložka 10: Změna smlouvy

Strany nemohou doložky měnit, upravovat nebo smlouvu upravovat tak, že by byla s doložkami v rozporu.

Doložka 11: Dílčí zpracování

Ustanovení související s dílčím zpracováváním by se měla řídit právními předpisy země EU, ve které je usazen vývozce údajů.

Doložka 12: Povinnosti po ukončení poskytování služeb spojených se zpracováním osobních údajů

Tato doložka upravuje povinnosti stran po ukončení zpracovávání údajů. Konkrétně by se strany měly dohodnout, že při ukončení služeb zpracovávání osobních údajů musí dovozce údajů a dílčí zpracovatel vrátit (nebo na požádání zničit) všechny předané osobní údaje, pokud mu v tom nebrání právní předpisy.

ODKDY JE ROZHODNUTÍ PLATNÉ?

Platí ode dne 15. května 2010.

KONTEXT

Poznámka: toto rozhodnutí bylo předmětem žádosti o řízení o předběžné otázce, která vedla k rozsudku Soudního dvoru Evropského unie (Věc C-311/18) ze dne 16. července 2020, ve kterém soudní dvůr potvrdil platnost rozhodnutí.
Evropská komise také vydala 2 soubory standardních smluvních doložek pro předávání údajů od správců údajů v EU správcům údajů usazeným mimo EU nebo EHS.
Viz také:
- Ochrana údajů (Evropská komise).

KLÍČOVÉ POJMY

Správce údajů: jakákoliv fyzická nebo právnická osoba, orgán, instituce nebo jiný subjekt, který určuje účel a způsob zpracování osobních údajů.

Osobní údaje: jakékoli informace vztahující se k osobě (subjektu údajů), která je identifikovatelná, přímo či nepřímo, jménem, identifikačním číslem, lokačními údaji, online identifikátorem nebo na základě zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této osoby.

Zpracovatel údajů: fyzická nebo právnická osoba, orgán, instituce nebo jiný subjekt, který jménem správce zpracovává osobní údaje.

HLAVNÍ DOKUMENT

Rozhodnutí Komise 2010/87/EU ze dne 5. února 2010 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice Evropského parlamentu a Rady 95/46/ES (Úř. věst. L 39,12.2.2010, s. 5–18)

Následné změny rozhodnutí 2010/87/EU byly začleněny do původního textu. Toto konsolidované znění má pouze dokumentární hodnotu.

SOUVISEJÍCÍ DOKUMENTY

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s.1–88)

Viz konsolidované znění.

Rozhodnutí Komise 2004/915/ES ze dne 27. prosince 2004, kterým se mění rozhodnutí 2001/497/ES, pokud jde o zavedení alternativního souboru standardních smluvních doložek pro předávání osobních údajů do třetích zemí (Úř. věst. L 385, 29.12.2004, s. 74–84)

Rozhodnutí Komise 2001/497/ES ze dne 15. června 2001, o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (Úř. věst. L 181, 4.7.2001, s. 19–31)

Viz konsolidované znění.

Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, 23.11.1995, s. 31–50)

Viz konsolidované znění.

Poslední aktualizace 07.10.2020