Što su SUK-ovi?
Sukladno Općoj uredbi o zaštiti podataka, prijenos osobnih podataka u treće zemlje (tj. zemlje izvan EU/EGP-a) moguć je ako je Europska komisija za određenu državu ili međunarodnu organizaciju prethodno procijenila da ista osigurava odgovarajuću razinu zaštite podataka. U protivnom, prijenos se može izvršiti samo ako je voditelj ili izvršitelj obrade osobnih podataka predvidio odgovarajuće zaštitne mjere te pod uvjetom da su pojedincima na koje se podaci odnose dostupna provediva prava i učinkovita pravna sredstva. Sukladno članku 46. Opće uredbe o zaštiti podataka, odgovarajućim zaštitnim mjerama smatra se i korištenje standardnih ugovornih klauzula.
Pri korištenju mehanizma standardnih ugovornih klauzula, izvoznik i uvoznik osobnih podataka sklapaju ugovor koji u cijelosti uključuje standardni tekst pripremljen od strane Europske komisije, odnosno standardne ugovorne klauzule. Ovaj postupak je vrlo brz i jednostavan jer ne zahtijeva prethodno dopuštenje nadležnog tijela kao što je slučaj s nekim drugim zaštitnim mjera iz članka 46. Opće uredbe o zaštiti podataka. Zbog svega navedenog, standardne ugovorne klauzule predstavljaju mehanizam koji se vrlo često koristi.
Novi SUK-ovi usvojeni su u lipnju 2021.
Prvi tekst standardnih ugovornih odredbi odnosno klauzula za prijenos podataka voditeljima obrade osobnih podataka u treću zemlju Europska komisija je usvojila i obradila 2001. godine. Godine 2010., Europska komisija je u tekst uključila i dodatne ugovorne klauzule za prijenos podataka izvršitelju obrade osobnih podataka u treću zemlju.
U svjetlu presude Suda Europske unije u predmetu Schrems II i naknadnih preporuka Europskog odbora za zaštitu podataka, “stare” standardne ugovorne klauzule pokazale su se neodgovarajućima, zbog čega je Europska komisija 4. lipnja 2021. usvojila nove, koje mogu poslužiti kao temelj za prijenos osobnih podataka u treće zemlje. Nove klauzule stupile su na snagu 27. lipnja 2021.
Novosti koje donose novi SUK-ovi
Modularni karakter
Nove standardne ugovorne klauzule imaju modularni karakter, što znači da omogućuju reguliranje više različitih ugovornih odnosa, pa i odnosa koji se ne odvijaju samo na relaciji voditelj – voditelj i voditelj – izvršitelj obrade podataka.
Nove standardne ugovorne klauzule tako uključuju različite scenarije obrade osobnih podataka odnosno module koje ugovorne strane biraju ovisno o konkretnim okolnostima prijenosa, odnosno ugovornim stranama. Ugovorne strane mogu birati između četiri različita modula:
– jedan voditelj prenosi podatke drugom voditelju obrade podataka,
– voditelj obrade prenosi podatke izvršitelju obrade,
– jedan izvršitelj obrade prenosi podatke drugom izvršitelju obrade,
– izvršitelj obrade prenosi podatke voditelju obrade.
Dodavanje ugovornih strana
Nove standardne ugovorne klauzule omogućuju dodavanje više od dvije ugovorne strane, kako tijekom tako i nakon sklapanja ugovora.
Stoga više nema potrebe za separatnim ugovorom o obradi osobnih podataka
Nove standardne ugovorne klauzule već uključuju sve zahtjeve iz članka 28. Opće uredbe o zaštiti podataka, zbog čega, u slučajevima kada je uvoznik izvršitelj ili podizvršitelj obrade osobnih podataka, ugovorne strane više neće morati sklapati zaseban ugovor o obradi osobnih podataka i standardnim ugovornim klauzulama jer će isto biti obuhvaćeno jednim ugovorom.
Prava pojedinaca
Usvojene standardne ugovorne klauzule jačaju prava pojedinaca i donose određene novine u sadržajnom smislu. Pojedincima omogućuju informiranost u vezi s obradom njihovih osobnih podataka, kontaktiranje stranih voditelja obrade podataka, dobivanje preslike sklopljenih klauzula, ostvarivanje naknade za štetu nastalu u vezi s njihovim osobnim podacima itd.
Također je vrlo važno da se prema novom zakonu pojedinac, kao treći korisnik, može izravno pozvati na SUK i svoja prava ostvariti kod nadležnih nadzornih tijela za zaštitu podataka na području EGP-a i pred europskim sudovima.
Jamstvo
Sklapanjem novih standardnih ugovornih klauzula izvoznik i uvoznik podataka jamče da “nemaju razloga vjerovati da zakoni i prakse u trećoj zemlji odredišta … sprječavaju uvoznika podataka u ispunjavanju obveza iz ovih odredbi”. Jamstvo se mora temeljiti na dokumentiranoj procjeni koju mogu provjeriti za to ovlaštena nacionalna nadzorna tijela za zaštitu osobnih podataka.
Kao mjerodavno pravo, ugovorne strane mogu odabrati i hrvatsko pravo
Još jedna novost koju donose nove standardne ugovorne klauzule jest da ugovorne strane mogu birati državu članicu EU čije će pravo biti mjerodavno. Uvjet je da to pravo omogućuje ugovorno utemeljenje prava u korist treće osobe. U Republici Hrvatskoj mjerodavan je Zakon o obveznim odnosima kojim se u posebnom poglavlju uređuju ugovori u korist trećih osoba. Članak 337. Zakona o obveznim odnosima omogućuje prava u korist treće osobe koja ista može ostvariti izravno i bez ograničenja. Iz toga proizlazi da, prema novim standardnim ugovornim klauzulama, ugovorne strane mogu kao mjerodavno pravo izabrati i hrvatsko pravo.
Valjanost
Dosadašnje standardne ugovorne klauzule mogu se uporabljati samo do 27. 9. 2021. Nakon tog datuma voditelji i izvršitelji obrade podataka mogu sklapati ugovore samo temeljem novih klauzula; budući da je određeno relativno dugo prijelazno razdoblje, prijenosi na temelju prijašnjih standardnih ugovornih klauzula moći će se zakonito vršiti do 27. 12. 2022. Nakon tog datuma svi ugovori moraju biti usklađeni s novim klauzulama.
Odluka Europske komisije o donošenju novih ugovornih klauzula, kao i sva četiri nova modula te odluke dostupni su na ovoj poveznici.