Prijenos osobnih podataka u zemlje izvan EU-a: standardne ugovorne klauzule

SAŽETAK DOKUMENTA:

Odluka 2010/87/EU o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama u skladu s Direktivom 95/46/EZ

ČEMU SLUŽI OVA ODLUKA?

Odlukom se utvrđuju standardne ugovorne klauzule koje mogu koristiti nadzornici podataka* (izvoznici) unutar EU-a koji obavljaju prijenos osobnih podataka* obrađivačima podataka* (uvoznici) s poslovnim nastanom izvan Europske unije ili EGP-a da bi se osigurale odgovarajuće zaštitne mjere zaštite podataka i time ispoštovali EU zakoni o zaštiti podataka (opća uredba o zaštiti podataka – Uredba (EU) 2016/679 – vidi sažetak).

KLJUČNE TOČKE

Standardne ugovorne klauzule utvrđene su u prilogu ove odluke kako slijedi. Standardne ugovorne klauzule odnose se samo na zaštitu podataka i stranke ih mogu uključiti u širi ugovor ili ih nadopuniti drugim klauzulama ili dodatnim zaštitnim mjerama, pod uvjetom da nisu u izravnoj ili neizravnoj suprotnosti sa standardnim ugovornim klauzulama donesenima ovom odlukom.

Klauzula 1.: Definicije

Utvrđuju se definicije ključnih pojmova koji se koriste u standardnim ugovornim klauzulama.

Klauzula 2.: Pojedinosti prijenosa

Stranke trebaju navesti, u prilogu ugovornih klauzula, pojedinosti o prijenosu, uključujući relevantne aktivnosti uvoznika i izvoznika podataka, kategorije prenesenih osobnih podataka i postupke obrade kojima će osobni podaci biti podvrgnuti nakon što budu preneseni.

Klauzula 3.: Klauzula u korist treće strane

Ovom klauzulom omogućuje se subjektima podataka da upotrijebe nekoliko klauzula protiv izvoznika podataka, uvoznika podataka ili podobrađivača u korist treće stranke. Nadalje, ugovorne stranke neće braniti da subjekta podataka zastupa udruženje ili drugo tijelo ako je to dopušteno nacionalnim pravom.

Klauzula 4.: Obveze izvoznika podataka

Ovom klauzulom utvrđuju se ugovorne obveze izvoznika podataka koji je suglasan i jamči:

da obradu osobnih podataka obavlja u skladu sa zakonom o zaštiti podataka;
da će davati upute uvozniku podataka da obrađuje osobne podatke jedino u korist izvoznika podataka i u skladu sa zakonom o zaštiti podataka i ovim klauzulama;
da će osigurati dostatna jamstva (i pridržavati ih se) u pogledu tehničkih i organizacijskih sigurnosnih mjera za zaštitu osobnih podataka od slučajnog ili nezakonitog uništavanja, gubitka, promjene, neovlaštenog otkrivanja ili pristupa, posebno kada se obrada obavlja putem mreže;
da će obavijestiti subjekta podataka u slučaju prijenosa posebnih kategorija podataka u zemlju koja nije članica EU-a bez odgovarajuće zaštite podataka;
da će proslijediti nadležnom nadzornom tijelu svaku obavijest zaprimljenu od uvoznika podataka o tome da uvoznik ne može postupati sukladno ovim klauzulama, ako izvoznik podataka odluči nastaviti s prijenosom;
da će na zahtjev subjekata podataka staviti na raspolaganje primjerak klauzula sa sažetim opisom sigurnosnih mjera;
da će u slučaju podobrade, podobrađivač osigurati barem istu razinu zaštite osobnih podataka kao i uvoznik podataka.

Klauzula 5.: Obveze uvoznika podataka

Ovom klauzulom utvrđuju se ugovorne obveze uvoznika podataka koji je suglasan i jamči:

da će obrađivati osobne podatke samo u ime izvoznika podataka i u skladu s njegovim uputama i ovim klauzulama;
da nema razloga smatrati da ga zakoni koji se na njega primjenjuju sprečavaju u ispunjavanju uputa dobivenih od izvoznika podataka i njegovih obveza iz ugovora;
da će odmah obavijesti o svim promjenama zakona koje bi mogle imati znatan štetan učinak na jamstva i obveze predviđene ovim klauzulama, u tom slučaju izvoznik podataka ima pravo obustaviti prijenos podataka i/ili raskinuti ugovor;
da će provesti određene tehničke i organizacijske zaštitne mjere prije obrade prenesenih osobnih podataka;
da će odmah obavijestiti izvoznika podataka o zahtjevima tijela kaznenog progona za otkrivanje osobnih podataka, o svakom slučajnom ili neovlaštenom pristupu i o svakom zahtjevu primljenom izravno od subjekata podataka bez odgovaranja na taj zahtjev, osim ako za to nije ovlašten;
da će odmah pozabaviti sa svim upitima izvoznika podataka i pridržavati se savjeta nadzornih tijela;
da će na zahtjev izvoznika podataka, predati svoju opremu za obradu podataka radi revizije aktivnosti obrade obuhvaćene ovim klauzulama;
da će subjektu podataka, na zahtjev, osigurati primjerak ovih klauzula, s kratkim opisom zaštitnih mjera;
da će angažirati podobrađivača samo uz prethodno pribavljeno odobrenje od izvoznika podatka;

Klauzula 6.: Odgovornost

Klauzule predviđaju da se stranke trebaju složiti da svaki subjekt podataka koji je pretrpio štetu kao rezultat bilo kakvog kršenja obveza ima pravo od izvoznika podataka dobiti naknadu za pretrpljenu štetu.

Klauzula 7.: Medijacija i nadležnost

Uvoznik podataka suglasan je da u slučaju kada subjekt podataka protiv njega upotrijebi prava u korist treće stranke i/ili traži naknadu štete, prihvaća odluku subjekta podataka da se spor uputi na nezavisnu medijaciju, ili na sudove u zemljama EU-a u kojima izvoznik podataka ima poslovni nastan (s pravom da traži rješenja u skladu s ostalim odredbama nacionalnog ili međunarodnog prava).

Klauzula 8.: Suradnja s nadležnim tijelima

Ovom klauzulom uređuje se suradnja s nadležnim nadzornim tijelom tako što se osigurava sljedeće:

da nadležna tijela imaju pravo izvršiti reviziju uvoznika podataka i bilo kojeg podobrađivača;
da je uvoznik podataka suglasan da odmah obavijesti izvoznika podataka o postojanju zakona koji onemogućavaju provođenje revizije uvoznika podataka. U tom slučaju izvoznik podataka ovlašten je obustaviti prijenos podataka ili raskinuti ugovor.

Klauzula 9.: Mjerodavno pravo

Klauzule se ravnaju prema zakonima zemlje EU-a u kojoj izvoznik podataka ima poslovni nastan.

Klauzula 10.: Izmjene u ugovoru

Stranke ne mogu mijenjati, obavljati preinaku ili postupati u suprotnosti s klauzulama.

Klauzula 11.: Podobrada

Odredbe koje se odnose na podobradu trebaju se ravnati prema zakonu zemlje EU-a u kojoj izvoznik podataka ima nastan.

Klauzula 12.: Obveze nakon prestanka obavljanja djelatnosti obrade osobnih podataka

Ovom klauzulom reguliraju se obveze stranaka nakon završetka obrade podataka. Posebice, stranke su suglasne da uvoznik podataka i podobrađivač nakon prestanka obavljanja djelatnosti obrade osobnih podataka vrate sve prenesene osobne podatke (ili ih unište, na zahtjev) osim ako ih zakon u tome sprečava.

OTKADA SE OVA ODLUKA PRIMJENJUJE?

Ova odluka primjenjuje se od 15. svibnja 2010.

POZADINA

Napomena: ova je odluka bila predmet zahtjeva za odlukom o prethodnom pitanju koja je dovela do presude Suda Europske unije (predmet C-311/18) od 16. srpnja 2020., kojom je Sud potvrdio valjanost ove odluke.
Europska komisija također je izdala 2 seta standardnih ugovornih klauzula za prijenos podataka s kontrolora podataka unutar EU-a na nadzornika podataka koji imaju poslovni nastan izvan EU-a ili EGP-a.
Vidjeti također:
- Zaštita podataka (Europska komisija).

KLJUČNI POJMOVI

Nadzornik podataka: fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje utvrđuje svrhu i načine obrade osobnih podataka.

Osobni podaci: bilo koji podaci koji se odnose na osobu (subjekt podataka) čiji je identitet moguće utvrditi, izravno ili neizravno, na temelju imena, identifikacijskog broja, podataka o lokaciji, internetskog identifikatora ili činitelja značajnih za njegov fizički, fiziološki, genetski, mentalni, gospodarski, kulturni ili socijalni identitet.

Obrađivač podataka: fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje obrađuje osobne podatke u ime nadzornika;

GLAVNI DOKUMENT

Odluka Komisije 2010/87/EU od 5. veljače 2010. o standardnim ugovornim klauzulama za prijenos osobnih podataka obrađivačima u trećim zemljama u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (SL L 39, 12.2.2010., str. 5.–18.)

Naknadne izmjene i dopune Odluke 2010/87/EU uključene su u izvorni tekst. Ovaj pročišćeni tekst namijenjen je isključivo dokumentiranju.

VEZANI DOKUMENTI

Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.–88.)

Vidjeti pročišćeni tekst.

Odluka Komisije 2004/915/EZ od 27. prosinca 2004. o izmjeni Odluke 2001/497/EZ u pogledu uvođenja alternativnog skupa standardnih ugovornih klauzula za prijenos osobnih podataka u treće zemlje (SL L 385, 29.12.2004., str. 74.–84.)

Odluka Komisije 2001/497/EZ od 15. lipnja 2001. o standardnim ugovornim klauzulama za prijenos osobnih podataka u treće zemlje, u skladu s Direktivom 95/46/EZ (SL L 181, 4.7.2001., str. 19.–31.)

Vidjeti pročišćeni tekst.

Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, 23.11.1995., str. 31.–50.)

Vidjeti pročišćeni tekst.

Posljednje ažuriranje 07.10.2020