Předávání osobních údajů do USA - Jak na to?
Od 10. července 2023 je účinné nové rozhodnutí Evropské komise o odpovídající ochraně osobních údajů při předávání údajů z EU do USA. Co nového přináší? A jak postupovat, pokud chcete pro vaši činnost využívat dodavatele z USA, kterým svěřujete osobní údaje svých zákazníků nebo zaměstnanců?
„DATA PRIVACY FRAMEWORK“ jako záruka bezpečného předávání osobních údajů do USA
Nově přijaté rozhodnutí Evropské komise o odpovídající ochraně osobních údajů zavádí tzv. Data Privacy Framework, česky Rámec ochrany soukromí. Do tohoto samocertifikačního systému se mohou zapsat soukromé společnosti z USA, kterým obchodní partneři z EU předávají osobní údaje například svých zákazníků.
Americké společnosti se zápisem do systému zavazují chránit osobní údaje jednotlivců z EU stejně, jako je musí chránit evropské společnosti. V souladu s GDPR musí např. údaje adekvátně zabezpečit, poskytnout jednotlivcům informace o tom, co s jejich údaji dělají, nebo je na žádost upravit či smazat.
Rozhodnutí Komise představuje velký převrat oproti posledním třem rokům, protože díky němu můžete zpřístupňovat osobní údaje vašich zákazníků nebo zaměstnanců americkým společnostem snadněji. Proces bude stejný, jako kdybyste osobní údaje zpřístupňovali dodavateli v EU. Stačit vám bude standardní smlouva o zpracování osobních údajů, která dodavatele z USA zaváže údaje dostatečně zabezpečit a spolupracovat s vámi, kdyby např. došlo k bezpečnostnímu incidentu.
Nové rozhodnutí dopadá nejen na podnikatele nebo organizace. Komise cílí i na jednotlivce. Pokud mají jednotlivci obavy, že jsou v USA jejich osobní údaje zneužívány, včetně zneužívání ze strany amerických tajných služeb, mohou podat stížnost rovnou americké společnosti, případně svému dozorovému úřadu (v ČR jde o Úřad pro ochranu osobních údajů). Dozorový úřad postoupí stížnost úřadům do USA, které mohou přimět porušující společnost/orgán, aby s údaji pracovala v souladu s americkými zákony. Pokud to stačit nebude, může se jednotlivec (prostř. svého dozorového úřadu) obrátit na speciální soud k přezkumu ochrany osobních údajů. Ten může porušujícímu subjektu nařídit např. osobní údaje smazat.
Jak můžete s americkými společnostmi spolupracovat?
Zjistili jste, že spolupracujete s dodavateli, kteří sídlí v USA? Pokud ano, nejprve si zkontrolujte, jestli je váš dodavatel uveden v seznamu Rámce ochrany soukromí.
Dodavatel je v seznamu Rámce ochrany soukromí uveden
Našli jste dodavatele v seznamu? Pak je potřeba pouze zkontrolovat, jestli s ním máte uzavřenu smlouvu o zpracování osobních údajů s náležitostmi dle GDPR. S velkou pravděpodobností takovou „smlouvu“ najdete jako přílohu obchodních podmínek, které jste přijali v rámci objednávky služby. Pokud takovou smlouvu máte a neřešíte zrovna nějaký problém při zpracování osobních údajů (např. únik dat), nemusíte nic dalšího zajišťovat.
Pokud jste takovou smlouvu nenašli, doporučujeme kontaktovat dodavatele a smlouvu po něm poptat nebo mu ideálně poslat svůj návrh smlouvy k odsouhlasení.
Dodavatel není v seznamu Rámce ochrany soukromí uveden
Může se stát, že dodavatele v seznamu nenajdete. V tomto případě vám pro předávání osobních údajů do USA nebude stačit klasická smlouva o zpracování osobních údajů dle GDPR, ale potřebujete zajistit ještě další záruky ochrany osobních údajů. Typicky bude potřeba ke smlouvě o zpracování osobních údajů přidat standardní smluvní doložky pro předávání osobních údajů schválené Evropskou komisí, nebo v rámci koncernu přijmout závazná podniková pravidla, a případně zavázat dodavatele ještě dalšími povinnostmi k zajištění ochrany osobních údajů.
Závěrem
Předávání osobních údajů dodavatelům v USA je zase o něco jednodušší. Stále ale musíte vy i američtí dodavatelé dodržet povinnosti, které pro zpracování osobních údajů vyplývají z GDPR.
Další články
Jedna káva, čtyři hodiny u stolu: Právní hranice pobytu hosta v kavárně
Host si objedná espresso, otevře notebook a začne studovat. Po dvou hodinách jej obsluha požádá o další objednávku, jinak má uvolnit stůl. O časovém omezení předtím nepadlo slovo. Host poukazuje na zaplacenou kávu, provozovatel na obsazené místo. Právní řešení závisí především na tom, jaké plnění si strany sjednaly a zda je další pobyt ještě jeho součástí.
Je třeba v kupní smlouvě o převodu nemovitosti určit kupní cenu?
NS potvrdil, že stanovení výše kupní ceny není podstatnou náležitostí kupní smlouvy. I při koupi nemovitosti mohou strany projevit vůli uzavřít kupní smlouvu bez určení kupní ceny.
Google dostal pokutu 403 milionů eur za zpracování lokalizačních údajů
Pokuta 403 milionů eur pro Google ukazuje význam transparentnosti, zákonnosti a odpovědnosti při zpracování lokalizačních údajů podle GDPR.
Automatická prolongace nájmu bytu a spolubydlící bez souhlasu pronajímatele: dvě rizika, která se snadno sejdou
Nájemní smlouva na dobu určitou dává pronajímateli zdánlivě jednoduchou jistotu: zná datum, ke kterému má nájem skončit, a před jeho uplynutím se může rozhodnout, zda chce ve vztahu s nájemcem pokračovat. V praxi ale tuto kontrolu snadno oslabí dvě věci.
Od objednávky k odstoupení: tlačítková novela jako další krok k reálné ochraně spotřebitele
Od 1. ledna 2027 čeká tuzemské internetové obchodování další významná změna. Spotřebitel, který uzavřel smlouvu prostřednictvím online rozhraní a má právo od ní odstoupit, musí mít nově možnost učinit tak rovněž prostřednictvím snadno dostupného a jednoznačně označeného tlačítka či obdobného ovládacího prvku.
