Nařízení o volném toku neosobních údajů vytváří právní jistotu pro podniky, které tak mohou zpracovávat své údaje kdekoli v EU, zvyšuje důvěru ve služby zpracování údajů a potírá praxi obchodních proprietárních uzamčení (tzv. vendor lock-in). Tímto způsobem se pro zákazníky rozšíří možnost volby, zlepší účinnost a podpoří zavádění cloudových technologií, což povede k významným úsporám pro podniky v EU. Z jedné studie vyplývá, že přechodem na cloudové technologie by mohly podniky v EU ušetřit 20–50 % svých nákladů na IT.

·Údaje agregované do té míry, že už nelze identifikovat jednotlivé události (např. jednotlivé cesty do zahraničí nebo vzorce cestování, které by mohly představovat osobní údaje), lze považovat za anonymní údaje. Anonymní údaje se používají například pro účely statistik nebo v hlášeních o odbytu (například pro hodnocení oblíbenosti určitého výrobku a jeho vlastností).

·zadruhé: údaje, které původně byly osobními údaji, ale později byly anonymizovány. „Anonymizace“ osobních údajů se liší od pseudonymizace (viz výše), protože řádně anonymizované údaje nelze připsat konkrétní osobě, a to ani s použitím dodatečných údajů, a jedná se proto o údaje neosobní.

·podniková znalostní databáze problémů v oblasti IT a jejich řešení tvořená jednotlivými hlášeními o mimořádných událostech v oblasti IT,

Pojem „neoddělitelně propojeny“ není vymezen ani v jednom z obou nařízení. Pro praktické účely se může jednat o situaci, kdy soubor údajů obsahuje osobní i neosobní údaje, přičemž jejich oddělení by bylo buď nemožné, nebo je správce nepovažuje z hospodářského hlediska za efektivní či technicky proveditelné. Například při nákupu systémů pro řízení vztahů s klienty a hlášení o odbytu by společnost musela zdvojnásobit své náklady na software tím, že by nakoupila samostatný software pro systém řízení vztahů s klienty (osobní údaje) a systém hlášení o odbytu (souhrnné/neosobní údaje) vycházející z údajů o řízení vztahů s klienty.

Obecné nařízení o ochraně osobních údajů uznává, že členské státy mohou zavádět podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu. Tím by však, jak se uvádí v 53. bodě odůvodnění, neměl být omezen volný pohyb osobních údajů v rámci Unie, pokud se tyto podmínky uplatní na přeshraniční zpracování takových údajů. To je v souladu s článkem 16 Smlouvy o fungování Evropské unie, který poskytuje právní základ pro přijetí pravidel týkajících se práva na ochranu osobních údajů a pravidel týkajících se volného pohybu těchto údajů.

Určité vnitrostátní právo ukládá, aby byly mzdové účty umístěny v určitém členském státě z důvodů souvisejících s regulačním dohledem, např. ze strany vnitrostátního správce daně. Takové vnitrostátní ustanovení by do oblasti působnosti čl. 1 odst. 3 obecného nařízení o ochraně osobních údajů nespadalo, jelikož důvody by byly jiné než ochrana osobních údajů. Tento požadavek by musel být namísto toho posuzován s ohledem na ustanovení týkající se základních svobod a oprávněných důvodů pro odchylky od těchto svobod stanovených ve Smlouvě o fungování Evropské unie.

·minimální požadavky na informace, které zajistí, aby byly profesionálním uživatelům před uzavřením smlouvy poskytnuty dostatečně podrobné a jasné informace o postupech, technických požadavcích, časových rámcích a poplatcích, které se uplatní v případě, že si profesionální uživatel přeje změnit poskytovatele služeb nebo přenést údaje zpět do svých vlastních IT systémů,

Mohou existovat oprávněné zájmy, které by vyžadovaly, aby veřejné orgány služby zpracování údajů „zajišťovaly samy“, jako např. „interně“ nebo prostřednictvím vzájemných ujednání mezi orgány veřejné správy. Typické příklady zahrnují využívání „cloudu spravovaného vládními institucemi“ nebo situaci, kdy vládní instituce využívají centralizované IT agentury s cílem poskytovat služby zpracování údajů veřejným orgánům a veřejnoprávním subjektům.

V oblasti trhu s cloudovými službami začala Komise podporovat činnost pracovních skupin zúčastněných stran cloudových služeb v rámci jednotného digitálního trhu, které sdružují odborníky v oblasti cloudových služeb a jejich profesionální uživatele, včetně malých a středních podniků. V této fázi jde o jednu podskupinu, která připravuje samoregulační kodexy chování pro přenos údajů a změnu poskytovatele cloudových služeb (pracovní skupina SWIPO), a další podskupinu, která připravuje systém osvědčení zabezpečení cloudových služeb (pracovní skupina CSPCERT).

Pracovní skupina SWIPO vypracovává kodexy chování pokrývající celé spektrum cloudových služeb; infrastruktura jako služba (IaaS), platforma jako služba (PaaS) a software jako služba (SaaS).

Komise očekává, že jednotlivé kodexy chování doplní vzorové smluvní doložky. Ty umožní, aby provádění a uplatňování kodexů chování v praxi probíhalo s dostatečnou technickou a právní specifičností, což bude mít význam zejména pro malé a střední podniky. Vypracování návrhu vzorových smluvních doložek je plánováno po dokončení kodexů chování (které by měly být připraveny do 29. listopadu 2019).

V souladu s článkem 8 nařízení o volném toku neosobních údajů Komise vyhodnotí provádění nařízení, a to do 29. listopadu 2022. To umožní posoudit: i) dopad na volný tok údajů v Evropě; ii) uplatňování nařízení, zejména pokud jde o smíšené soubory údajů; iii) do jaké míry členské státy účinně zrušily stávající neodůvodněná omezení týkající se lokalizace údajů; a iv) účinnost, s níž se kodexy chování v oblasti přenosu údajů a změny poskytovatele cloudových služeb projeví na trhu.

Pojem přenositelnosti a vzájemné působení s obecným nařízením o ochraně osobních údajů

Pojem přenositelnosti údajů se vyskytuje v obou nařízeních a záměrem obou nařízení je usnadnit přenos údajů z jednoho IT prostředí do jiného, tj. buď do systémů jiných poskytovatelů, nebo vlastních systémů. Zabraňuje se tak praxi obchodních proprietárních uzamčení a posiluje se hospodářská soutěž mezi poskytovateli služeb. Nařízení se však liší svým přístupem k přenositelnosti, pokud jde o vztah mezi cílovými zájmovými skupinami a právní povahou ustanovení.

Právo na přenositelnost osobních údajů podle článku 20 obecného nařízení o ochraně osobních údajů se zaměřuje na vztah mezi subjektem údajů a správcem. Týká se práva subjektu údajů obdržet osobní údaje, které poskytl správci, ve strukturovaném, běžně používaném a strojově čitelném formátu a práva na jejich přenos k jinému správci nebo do vlastního úložiště, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil. Subjekty údajů v tomto vztahu jsou obvykle spotřebiteli různých online služeb, kteří si přejí provést změnu poskytovatele služeb.

Článek 6 nařízení o volném toku neosobních údajů nestanoví právo profesionálních uživatelů na přenesení údajů, ale podporuje odvětví v uplatňování samoregulačního přístupu prostřednictvím dobrovolných kodexů chování. Zároveň se zaměřuje na situaci, kdy profesionální uživatel zadá zpracování svých údajů třetí straně, která zajišťuje služby zpracování údajů.V souladu s čl. 3 bodem 8 nařízení o volném toku neosobních údajů může „profesionální uživatel“ zahrnovat „fyzickou nebo právnickou osobu, včetně veřejného orgánu nebo veřejnoprávního subjektu, která využívá nebo požaduje službu zpracování údajů pro účely související s její obchodní činností, podnikáním, řemeslem, profesí či úlohou“.

V praxi se přenositelnost podle článku 6 nařízení o volném toku neosobních údajů týká vzájemných kontaktů na úrovni podniků mezi profesionálním uživatelem (který může v případech zahrnujících zpracování osobních údajů představovat „správce“ ve smyslu obecného nařízení o ochraně osobních údajů) a poskytovatelem služeb (který bude v některých případech analogicky „zpracovatelem“).

Navzdory rozdílům se mohou vyskytnout situace, kdy by se na přenos údajů v souvislosti se smíšenými soubory údajů vztahovalo jak nařízení o volném toku neosobních údajů, tak obecné nařízení o ochraně osobních údajů.

Příklad: Podnik, který využívá určitou cloudovou službu, se rozhodne změnit poskytovatele cloudových služeb a přenést veškeré údaje k novému poskytovateli. Změna poskytovatele služeb a přenos údajů je předmětem smlouvy mezi zákazníkem a poskytovatelem cloudových služeb. Pokud se původní poskytovatel cloudových služeb řídí kodexem chování vypracovaným na základě nařízení o volném toku neosobních údajů, přenos údajů musí probíhat v souladu s požadavky v něm uvedenými. Pokud jsou součástí přenášených souborů údajů také osobní údaje, musí přenos probíhat v souladu se všemi příslušnými ustanoveními obecného nařízení o ochraně osobních údajů, a zejména musí zajišťovat, aby nový poskytovatel cloudových služeb splňoval příslušné požadavky, jako jsou např. požadavky na zabezpečení. Příklad: V případě, že se banka rozhodne změnit poskytovatele řízení vztahů s klienty, může se stát, že bude třeba přenést některé (osobní i neosobní) údaje od původního poskytovatele k novému. Na tyto údaje se pak budou vztahovat různé regulatorní požadavky, z nichž některé vyplývají z obecného nařízení o ochraně osobních údajů a další z nařízení o volném toku neosobních údajů.

4.2 Kodexy chování a systémy pro vydávání osvědčení o ochraně osobních údajů

K prokázání souladu s povinnostmi podle obecného nařízení o ochraně osobních údajů (viz čl. 24 odst. 3 a čl. 28 odst. 5) je možné použít kodexy chování a systémy pro vydávání osvědčení.

V souladu s čl. 40 odst. 1 a čl. 42 odst. 1 obecného nařízení o ochraně osobních údajů by členské státy, dozorové úřady, Evropský sbor pro ochranu osobních údajů a Komise měly odvětví povzbuzovat k vypracování kodexů chování a k zavedení mechanismů pro vydávání osvědčení o ochraně údajů.

Kodex chování pro konkrétní odvětví mohou připravit sdružení nebo jiné subjekty zastupující konkrétní kategorii správců nebo zpracovatelů. Návrh kodexu musí být předložen příslušnému dozorovému úřadu ke schválení. Pokud se návrh kodexu chování týká činností zpracování údajů v několika členských státech, dozorový úřad musí kodex před schválením předložit Evropskému sboru pro ochranu osobních údajů. Sbor následně vydá stanovisko, zda je návrh kodexu v souladu s obecným nařízením o ochraně osobních údajů.