Evropský soudní dvůr znepříjemnil léto každému, kdo při podnikání pracuje s osobními údaji a předává je do USA. Ve čtvrtek 16. července totiž rozhodl, že současný nejpohodlnější nástroj zvaný PrivacyShield pro takové předávání už není použitelný.
Dosud stačilo, aby se příjemce osobních údajů přihlásil k pravidlům programu PrivacyShield a nechal se zapsat na seznam vedený americkými úřady. Pak už se z pohledu GDPR jednalo o bezpečného příjemce a předání dat bylo legální (při dodržení ostatních pravidel, hlavně pokud měl správce údajů dostatečný právní základ pro zpracování). Podle rozhodnutí evropského soudu ale tento postup neposkytuje dostatečnou ochranu.
Firmy, které doposud spoléhaly na PrivacyShield, tak musí hledat jiné možnosti.Nejpraktičtější je použít smlouvu o předávání údajů, takzvané standardní smluvní doložky, které musí uzavřít ten kdo data z EU “vyváží” a jejich příjemce. Významní američtí příjemci dat jako jsou Google a Amazon už mají tyto doložky ve svých podmínkách, takže tam je předávání v pořádku.
Evropský soud v rozhodnutí řešil i přípustnost standardních smluvních doložek a naznačuje, že dozorové orgány mohou začít přezkoumávat, zda standardní doložky pro konkrétní státy vůbec fungují. Konkrétně zmiňuje americké předpisy, které za určitých okolností vynucují předání osobních údajů státním agenturám. Pokud by padla i tato varianta, možnosti předávání dat by se významně zhoršily. Vývozce dat může například tvrdit, že předání bylo nezbytné pro splnění smlouvy mezi správcem a subjektem údajů nebo smlouvy uzavřené v zájmu subjektu údajů. Nebo se vývozce dat může spolehnout na poučený souhlas, kdy by dotčenou osobu upozornil na to, že se chystá předat její údaje do rizikové země a počkat si na výslovný souhlas. To je ale v praxi těžko představitelné řešení a lze doufat, že EU a USA přijdou s náhradním režimem dříve, než k případnému přezkumu standardních doložek dojde.
Komentář Jakuba Císaře z advokátní kanceláře Novalia, která se specializuje na právo ochrany osobních údajů k tématu: Evropský soudní dvůr zrušil platnost dohody PrivacyShield, který řeší předávání osobních údajů mezi Evropou a Amerikou.
