Kaj so SPK?
Prenos osebnih podatkov v tretje države (to so države izven EU in EGP) je skladno s Splošno uredbo o varstvu podatkov mogoč, če je Evropska komisija za to državo oziroma mednarodno organizacijo odločila, da zagotavlja ustrezno raven varstva podatkov. Če take odločitve ni, se lahko prenos izvede le, če je upravljavec ali obdelovalec predvidel ustrezne zaščitne ukrepe ter pod pogojem, da imajo posamezniki, na katere se podatki nanašajo, na voljo izvršljive pravice in učinkovita pravna sredstva. Primer ustreznih zaščitnih ukrepov je skladno s 46. členom Splošne uredbe o varstvu podatkov tudi uporaba standardnih pogodbenih klavzul.
Pri uporabi mehanizma standardnih pogodbenih klavzul, izvoznik in uvoznik osebnih podatkov skleneta pogodbo, v katero v celoti vključita tipsko besedilo, ki ga je pripravila Evropska Komisija – standardna pogodbena določila. Ta postopek je precej hiter in enostaven, saj pri njem ni potrebno zagotoviti nobenega predhodnega dovoljenja pristojnega organa, kot pri nekaterih drugih zaščitnih ukrepih iz 46. člena Splošne uredbe o varstvu podatkov. Zaradi navedenega so standardne pogodbene klavzule zelo pogosto uporabljen mehanizem.
Junija 2021 so bile sprejete nove SPK
Prvo tipsko besedilo standardnih pogodbenih določil oz. standardne pogodbene klavzule za prenos podatkov upravljavcem v tretjo državo, je Evropska komisija sprejela in objavila v letu 2001. Leta 2010 je tem dodala še dodatne pogodbene klavzule za prenos podatkov k obdelovalcu v tretjo državo.
V luči sodbe Sodišča EU v zadevi Schrems II in priporočil Evropskega odbora za varstvo podatkov, ki so tem sledila so se »stare« standardne pogodbene klavzule izkazale za neustrezne, zaradi česar je Evropska komisija dne 4. junija 2021 sprejela nove, ki lahko služijo kot podlaga za prenos osebnih podatkov v tretje države. Veljati so začele s 27. junijem 2021.
Novosti, ki jih prinašajo nove SPK
Modularen značaj
Nove standardne pogodbene klavzule imajo modularen značaj, kar pomeni, da prinašajo možnost ureditve več različnih pogodbenih odnosov, tudi odnose, ki se ne dogajajo zgolj v kontekstu upravljavec – upravljavec in upravljavec – obdelovalec.
Nove standardne pogodbene klavzule tako vključujejo različne scenarije obdelave osebnih podatkov oziroma t. i. module, ki jih pogodbeni stranki izbereta glede na konkretne okoliščine prenosa oziroma glede na to, kdo sta stranki pogodbe. Izbirata lahko med štirimi različnimi moduli:
– upravljavec prenaša podatke upravljavcu,
– upravljavec prenaša podatke obdelovalcu,
– obdelovalec prenaša podatke obdelovalcu,
– obdelovalec prenaša podlage upravljavcu.
Dodajanje več strank
Nove standardne pogodbene klavzule omogočajo dodajanje več kot dveh strank v pogodbeno ureditev, tako med njenim sklepanjem kot tudi kasneje.
Ločena pogodba o obdelavi osebnih podatkov ni več potrebna
Nove standardne pogodbene klavzule že vključujejo vse zahteve po 28. členu Splošne uredbe o varstvu podatkov, zaradi česar v primerih, ko je uvoznik podatkov obdelovalec ali pod-obdelovalec, pogodbenim strankam ne bo več potrebno sklepati ločeno pogodbe o obdelavi osebnih podatkov in standardnih pogodbenih klavzul, temveč bo vse pokrivala enotna pogodba.
Pravice posameznikov
Sprejete standardne pogodbene klavzule krepijo pravice posameznikov in prinašajo na tem področju nekaj vsebinskih novosti. Posameznikom omogočajo, da so obveščeni o postopkih obdelave njihovih podatkov, da imajo možnost vzpostaviti stik s tujimi upravljavci, prejeti kopijo sklenjenih klavzul, da lahko zahtevajo odškodnino za škodo, povzročeno v zvezi z njihovimi osebnimi podatki itd.
Zelo pomembno je tudi, da se po novem posameznik kot tretja upravičena oseba glede svojih pravic lahko neposredno sklicuje na SPK in svoje pravice uveljavlja pri nadzornemu organu za varstvo podatkov v EGP in na evropskih sodiščih.
Jamčevanje
Izvoznik in uvoznik s sklenitvijo novih standardnih pogodbenih klavzul jamčita, da »nimata razloga za domnevo, da zakoni in prakse v namembni tretji državi … uvozniku podatkov preprečujejo izpolnjevanje obveznosti iz teh določil«. Jamstvo mora temeljiti na oceni, ki jo je treba dokumentirati, nacionalni nadzorni organi za varstvo osebnih podatkov pa ima pristojnost, da to oceno tudi preverja.
Pogodbenika lahko kot pravo, ki se zanju uporablja, izbereta tudi slovensko pravo
Še ena novost, ki jo nove standardne pogodbene klavzule prinašajo je tudi ta, da lahko pogodbenika izbereta pravo katere države članice EU se bo zanju uporabljalo. Pogoj je, da to pravo omogoča pogodbeno ustanovitev pravice v korist nekoga tretjega. V Republiki Sloveniji je relevanten Obligacijski zakonik (OZ), ki v posebnem poglavju ureja pogodbe v korist tretjega. 126. člen OZ omogoča pravice v korist tretjega, ki jih le-ta lahko uveljavlja neposredno in brez omejitev. Iz tega izhaja, da lahko pogodbenika po novih standardnih pogodbenih klavzulah kot pravo, ki se zanju uporablja, izbereta tudi slovensko pravo.
Veljavnost
Prejšnje standardne pogodbene klavzule se lahko sklepajo le še do 27. 9. 2021. Po tem datumu lahko upravljavci in obdelovalci sklepajo samo še pogodbe z uporabo novih klavzul, vendar pa je določeno precej dolgo prehodno obdobje, prenosi na podlagi prejšnjih standardnih pogodbenih klavzul se bodo namreč lahko zakonito izvajali še do 27. 12. 2022. Po tem datumu morajo biti vse pogodbe prilagojene novim klavzulam.
Sklep Evropske komisije o sprejetju novih pogodbenih klavzul, ter vsi štirje novi moduli le-teh so dostopni na tej povezavi.