Cezhraničný prenos osobných údajov mimo Európsku úniu

Prenos osobných údajov do tretej krajiny mimo Európskeho hospodárskeho priestoru, akou sú aj Spojené štáty americké, upravuje kapitola V nariadenia GDPR (nariadenie EÚ 2016/679), podľa ktorej je takýto prenos možný predovšetkým vtedy, ak Európska komisia vydala rozhodnutie o primeranosti ochrany údajov pre danú krajinu alebo konkrétny mechanizmus certifikácie, čo v prípade USA aktuálne predstavuje rámec Data Privacy Framework, na základe ktorého môžu certifikovaní americkí poskytovatelia prijímať osobné údaje z EÚ bez potreby ďalších dodatočných záruk, avšak je potrebné overiť, či váš konkrétny poskytovateľ cloudového úložiska je do tohto rámca skutočne zapojený a certifikácia je platná. Ak poskytovateľ nie je súčasťou rámca primeranosti alebo ak by ste chceli mať dodatočnú istotu, je potrebné zabezpečiť prenos prostredníctvom vhodných záruk, medzi ktoré patria najmä štandardné zmluvné doložky schválené Európskou komisiou, ktoré je potrebné uzavrieť priamo s poskytovateľom cloudového úložiska a doplniť ich, ak si to vyžaduje konkrétna situácia, o dodatočné technické a organizačné opatrenia na základe posúdenia vplyvu prenosu, takzvaného transfer impact assessment, zohľadňujúceho aj riziko prístupu k údajom zo strany orgánov verejnej moci v cieľovej krajine. Nedodržanie požiadaviek na cezhraničný prenos osobných údajov patrí medzi najprísnejšie sankcionované porušenia GDPR s možnosťou vysokých pokút, preto odporúčam pred uzatvorením zmluvy s akýmkoľvek zahraničným poskytovateľom cloudových služieb nechať si celú situáciu posúdiť odborníkom na ochranu osobných údajov, ktorý overí platný právny základ prenosu a navrhne potrebné zmluvné a technické zabezpečenie.