Nařízení (EU) 2016/679 (GDPR) · Kapitola V · Předávání do třetích zemí
Čl. 46 · Předávání založené na vhodných zárukách
Znění
-
Jestliže neexistuje rozhodnutí podle čl. 45 odst. 3, správce nebo zpracovatel mohou předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud správce nebo zpracovatel poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.
-
Vhodné záruky uvedené v odstavci 1 mohou být stanoveny, aniž je zapotřebí jakékoli zvláštní povolení dozorového úřadu, pomocí:
a) právně závazného a vymahatelného nástroje mezi orgány veřejné moci nebo veřejnými subjekty;
b) závazných podnikových pravidel v souladu s článkem 47;
c) standardních doložek o ochraně osobních údajů přijatých Komisí přezkumným postupem podle čl. 93 odst. 2;
d) standardních doložek o ochraně údajů přijatých dozorovým úřadem a schválených Komisí přezkumným postupem podle čl. 93 odst. 2;
e) schváleného kodexu chování podle článku 40 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů; nebo
f) schváleného mechanismu pro vydání osvědčení podle článku 42 spolu se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky, a to i ohledně práv subjektů údajů.
- S výhradou povolení od příslušného dozorového úřadu mohou být vhodné záruky uvedené v odstavci 1 rovněž stanoveny zejména pomocí:
a) smluvních doložek mezi správcem nebo zpracovatelem a správcem, zpracovatelem nebo příjemcem osobních údajů ve třetí zemi nebo v mezinárodní organizaci; nebo
b) ustanovení určených k vložení do správních ujednání mezi orgány veřejné moci nebo veřejnými subjekty, která zahrnují vymahatelná a účinná práva subjektu údajů.
-
Dozorový úřad použije mechanismus jednotnosti uvedený v čl. 63 v případech uvedených v odstavci 3 tohoto článku.
-
Povolení členského státu nebo dozorového úřadu na základě čl. 26 odst. 2 směrnice 95/46/ES zůstávají platná až do chvíle, kdy je dozorový úřad v případě potřeby změní, nahradí nebo zruší. Rozhodnutí přijatá Komisí na základě čl. 26 odst. 4 směrnice 95/46/ES zůstávají platná až do chvíle, kdy je Komise podle potřeby změní, nahradí nebo zruší rozhodnutím přijatým podle odstavce 2 tohoto článku.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Bez rozhodnutí o odpovídající ochraně nastupují vhodné záruky, nejčastěji standardní smluvní doložky Komise, dále závazná podniková pravidla, schválené kodexy či certifikace.
Související ustanovení: čl. 44; čl. 45; čl. 47; čl. 49; čl. 93
Judikatura: C-311/18 Schrems II
Obsah výkladu
I.Katalog záruk1 II.Posouzení dopadu předání4I. Katalog záruk
1 Bez rozhodnutí o odpovídající ochraně lze předávat, poskytne-li správce nebo zpracovatel vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva a účinná právní ochrana subjektů údajů. Druhá část podmínky se často přehlíží.
2 Odstavec 2 jmenuje záruky bez zvláštního povolení: právně závazný nástroj mezi orgány veřejné moci, závazná podniková pravidla podle čl. 47, standardní doložky přijaté Komisí, standardní doložky přijaté dozorovým úřadem a schválené Komisí, schválený kodex chování a schválený mechanismus vydávání osvědčení, v obou posledních případech s právně vymahatelnými závazky příjemce.
3 Odstavec 3 přidává záruky, které povolení dozorového úřadu vyžadují: smluvní doložky sjednané ad hoc a ujednání mezi orgány veřejné moci.
II. Posouzení dopadu předání
4 Ze Schrems II plyne, že samotné podepsání standardních doložek nestačí. Vývozce musí posoudit, zda právo země určení nebrání příjemci doložky plnit, zejména kvůli pravomocem tamních bezpečnostních orgánů, a případně přijmout doplňující opatření technické, smluvní nebo organizační povahy.
5 Doplňujícím opatřením s reálným účinkem je zpravidla jen šifrování s klíči držených výhradně v Evropě nebo takové rozdělení dat, které příjemci znemožní jednotlivce identifikovat. Smluvní sliby samy o sobě proti pravomocem cizího státu nepomohou.
6 Nelze-li dostatečné záruky zajistit, je namístě předání nezahájit nebo pozastavit. Tuhle povinnost má ve svém textu prováděcí rozhodnutí (EU) 2021/914 (standardní smluvní doložky pro předávání do třetích zemí, čtyři moduly podle rolí stran), a to v doložkách 14 a 16.
7 Prováděcí rozhodnutí (EU) 2021/915 je něco jiného a plete se to často: jsou to standardní doložky mezi správcem a zpracovatelem podle čl. 28 odst. 7, nikoli nástroj předávání. Doložka 1 písm. f) výslovně říká, že samy o sobě soulad s kapitolou V nezajišťují. Předání do třetí země tedy nekryjí a nelze je k tomu použít.
8 Starší doložky (rozhodnutí 2001/497/ES a 2010/87/EU) byly zrušeny s účinkem od 27. září 2021 a jako vhodná záruka dobíhaly do 27. prosince 2022. Kdo je používá dnes, nemá pro předání vhodnou záruku podle čl. 46; neplatnost samotné smlouvy z toho neplyne, ta se posuzuje podle vnitrostátního soukromého práva.