Otázka: Sme prevádzkovateľ elektronického obchodu (e-shopu). Poskytovateľ internetového rozhrania elektronického obchodu sídli v Írsku, teda v EÚ. Využíva však aj ďalších subdodávateľov, ktorí sa už nemusia nachádzať v EÚ, a to napríklad z dôvodu zálohovania údajov, technickej podpory a pod. Máme uvažovať aj nad cezhraničným prenosom osobných údajov do tretích krajín? My ako prevádzkovateľ ich však priamo neposkytujeme mimo EÚ. Týka sa nás to?
Odpoveď: Cezhraničný prenos osobných údajov nie je v nariadení definovaný. Ide však o samostatnú spracovateľskú operáciu, ktorú je okrem iného potrebné podložiť aj právnym základom. Teda oprávnením podľa čl. 6 všeobecného nariadenia o ochrane údajov.
V prípade cezhraničných prenosov osobných údajov v rámci využívania rôznych aplikácii, či služieb, prevádzkovatelia často robia chybu, že len preveria či poskytovateľ služby sídli v EÚ. Ak zistia, že áno, o pravidlá cezhraničných prenosov mimo EÚ sa ďalej nezaujímajú. Nepreskúmajú, aké záruky poskytovať služieb prijal v súvislosti s vývozom údajov, a už vôbec neinformujú dotknuté osoby, že k cezhraničným prenosom ich osobných údajov dochádza. A to je chyba.
Aby sme o spracovateľskej operácii hovorili ako o cezhraničnom prenose do tretej krajiny, musia byť súčasne splnené tieto tri podmienky:
- “Vývozcom” osobných údajov je prevádzkovateľ alebo sprostredkovateľ, na ktorého sa vzťahuje GDPR. (Vývozcom preto nie je napríklad jednotlivec, ktorý sám o sebe poskytuje osobné údaje inému prevádzkovateľovi, ktorý sídli mimo EÚ).
- Tento “vývozca” poskytuje prenosom alebo inak sprístupňuje osobné údaje inému prevádzkovateľovi, spoločnému prevádzkovateľovi alebo sprostredkovateľovi. Týchto spoločne nazývame “dovozcovia” osobných údajov.
Môže ísť napríklad aj o vzdialený prístup k osobným údajom z tretej krajiny. O prenos preto nejde len v situáciách, keď dochádza k odovzdaniu osobných údajov inému príjemcovi. - “Dovozca” osobných údajov sa nachádza v tretej krajine.
Poďme si tieto podmienky preveriť vo vzťahu k vášmu spracúvaniu, aby sme zistili, či dochádza k cezhraničnému prenosu osobných údajov do tretích krajín: