EVROPSKÁ KOMISE V Bruselu dne 6.11.2015 COM(2015) 566 final SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU A RADĚ o předávání osobních údajů z EU do Spojených států amerických podle směrnice 95/46/ES po rozsudku Soudního dvora ve věci C-362/14 (Schrems)



SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU A RADĚ o předávání osobních údajů z EU do Spojených států amerických podle směrnice 95/46/ES po rozsudku Soudního dvora ve věci C-362/14 (Schrems) 1. Úvod: Zrušení rozhodnutí o bezpečném přístavu Soudní dvůr Evropské unie (dále jen: „soudní dvůr“ nebo „soud“) v rozhodnutí ze dne 6. října 2015 ve věci C-362/14 (Schrems) opětovně potvrdil důležitost základního práva na ochranu osobních údajů, jak je zakotveno v Listině základních práv EU, a to rovněž i v případech, kdy jsou takové údaje předávány mimo EU. Předávání osobních údajů představuje základní prvek transatlantického vztahu. EU a Spojené státy jsou pro sebe navzájem nejdůležitější obchodní partneři a předávání údajů tvoří v narůstající míře nedílnou součást jejich obchodní výměny. Za účelem usnadnění toku těchto údajů, při současném zajištění vysoké úrovně ochrany osobních údajů, přijala Komise rozhodnutí 2000/520/ES ze dne 20. července 2000 (dále jen: „rozhodnutí o bezpečném přístavu“), kterým uznala, že rámec bezpečného přístavu poskytuje odpovídající ochranu údajů. V tomto rozhodnutí založeném na čl. 25 odst. 6 směrnice 95/46/ES Komise uznala, že zásady bezpečného přístavu a doprovodné často kladené otázky (Frequently Asked Questions / FAQs) vydané ministerstvem obchodu Spojených států poskytují odpovídající ochranu pro účely předávání osobních údajů z EU. V důsledku toho bylo možné volně předávat osobní údaje z členských států EU společnostem ve Spojených státech, které přistoupily k zásadám, navzdory tomu, že ve Spojených státech chybí obecné právo o ochraně osobních údajů. Fungování ujednání o bezpečném přístavu se spoléhalo na závazky a autocertifikaci společností, jež k němu přistoupily. Zatímco přistoupení k zásadám ochrany soukromí bezpečného přístavu a FAQs je dobrovolné, pro ty subjekty, které k nim přistoupily, jsou tato pravidla podle práva Spojených států závazná a vynutitelná Federální obchodní komisí USA. Soud rozsudkem ze dne 6. října 2015 prohlásil rozhodnutí o bezpečném přístavu za neplatné. V tomto kontextu je cílem předkládaného sdělení poskytnout přehled alternativních nástrojů pro transatlantické předávání údajů podle směrnice 95/46/ES při absenci rozhodnutí o odpovídající úrovni ochrany. Sdělení rovněž stručně popisuje důsledky rozsudku pro další rozhodnutí Komise o odpovídající úrovni ochrany. Soud v rozsudku objasnil, že rozhodnutí o odpovídající úrovni ochrany podle čl. 25 odst. 6 směrnice 95/46/ES je podmíněno zjištěním Komise, že v dotčené třetí zemi existuje úroveň ochrany osobních údajů, která přestože není nezbytně nutně stejná, je „v zásadě rovnocenná“ té, která je zaručena v EU na základě směrnice vykládané ve světle Listiny základních práv. Co se týče konkrétně rozhodnutí o bezpečném přístavu, soud rozhodl, že neobsahuje dostatečná zjištění ze strany Komise ohledně omezení, pokud jde o přístup veřejných orgánů USA k předávaným údajům podle daného rozhodnutí, a ohledně existence účinné právní ochrany proti takovým zásahům. Soud konkrétně objasnil, že právní předpisy umožňující, aby veřejné orgány měly přístup na obecném základě k obsahu elektronické komunikace, je nutné považovat za narušující podstatu základního práva na respektování soukromého života. Soud navíc potvrdil, že i když existuje rozhodnutí o odpovídající úrovni ochrany podle čl. 25 odst. 6 směrnice 95/46/ES, mají orgány pro ochranu údajů členských států i nadále pravomoc a povinnost zcela nezávisle přezkoumávat, zda je předávání údajů do třetí země v souladu s požadavky stanovenými směrnicí 95/46/ES vykládanými ve světle článků 7, 8 a 47 Listiny základních práv. Soud však rovněž potvrdil, že pouze Soudní dvůr může prohlásit akt EU, jako je rozhodnutí Komise o odpovídající úrovni ochrany, za neplatný. Rozsudek soudu čerpá ze sdělení Komise Evropskému Parlamentu a Radě o fungování „bezpečného přístavu“ z pohledu občanů EU a společností usazených v EU z roku 2013, ve kterém Komise identifikovala řadu nedostatků a předložila 13 doporučení. Na základě těchto doporučení vedla Komise s orgány USA od ledna 2014 rozhovory s cílem vytvořit nové a důkladnější ujednání pro transatlantické předávání údajů. Komise je po rozsudku i nadále odhodlána dostát svému cíli, kterým je vytvoření nového a řádného rámce pro transatlantické předávání osobních údajů. Komise v tomto ohledu ihned obnovila a zintenzivnila rozhovory s vládou Spojených států za účelem zajištění, že jakékoliv nové ujednání pro transatlantické předávání osobních údajů plně vyhovuje normám stanoveným soudem. Každý takový rámec musí proto obsahovat dostatečná omezení, ochranná opatření a mechanismus soudní kontroly, aby byla zajištěna trvalá ochrana osobních údajů občanů EU, včetně vůči možnému přístupu veřejných orgánů za účelem prosazování práva a národní bezpečnosti. V mezidobí podniky vyjádřily obavy ohledně možností, jak pokračovat v předávání údajů. Je tudíž nutné vyjasnit, za jakých podmínek může toto předávání údajů pokračovat. To přimělo pracovní skupinu zřízenou podle článku 29 – nezávislý poradní subjekt, který sdružuje zástupce všech orgánů pro ochranu údajů členských států a evropského inspektora ochrany údajů – k tomu, aby dne 16. října 2015 vydala prohlášení o prvních závěrech vyvozených z rozsudku. Toto prohlášení obsahovalo kromě jiného následující pokyny k předávání údajů: předávání údajů již nelze zakládat na neplatném rozhodnutí Komise o bezpečném přístavu; standardní smluvní doložky (dále také: („SSD“) a závazná podniková pravidla (dále také: („ZPP“) lze v mezidobí používat jako základ pro předávání údajů, i když pracovní skupina zřízená podle článku 29 rovněž uvedla, že bude dále analyzovat dopad rozhodnutí na tyto alternativní nástroje. Prohlášení dále vyzvalo členské státy a orgány EU, aby zahájily diskusi s orgány USA s cílem nalézt právní a technická řešení pro předávání údajů; podle pracovní skupiny zřízené podle článku 29 mohou být součástí tohoto řešení jednání o novém bezpečném přístavu.

Pracovní skupina zřízená podle článku 29 oznámila, že pokud do konce ledna 2016 nebude s orgány Spojených států nalezeno odpovídající řešení, a v závislosti na výsledku posouzení alternativních nástrojů pro předávání údajů, podniknou orgány pro ochranu údajů veškeré nezbytné kroky a přijmou vhodná opatření, včetně koordinovaného donucovacího opatření. Nakonec pracovní skupina zřízená podle článku 29 zdůraznila, že nalezení udržitelných řešení, jak provést rozsudek soudu, je sdílenou odpovědností orgánů pro ochranu údajů, orgánů EU, členských států a podniků. Pracovní skupina zejména naléhavě vyzvala podniky, aby zvážily zavedení všech právních a technických řešení na snížení možných rizik, jimiž při předávání údajů čelí. Předkládaným sdělením nejsou dotčeny pravomoci a povinnosti orgánů pro ochranu údajů zcela nezávisle přezkoumávat zákonnost takových předávání údajů. Sdělení nestanoví žádná závazná pravidla a zcela respektuje pravomoc národních soudů vykládat platné právo a v případně nutnosti požádat Soudní dvůr o rozhodnutí o předběžné otázce. Toto sdělení není ani žádným základem pro jakýkoliv individuální nebo kolektivní nárok či žalobu. 2. Alternativní základy pro předávání osobních údajů do USA Pravidla pro mezinárodní předávání údajů stanovená ve směrnici 95/46/ES vycházejí z jasného rozlišování mezi předáváním do třetích zemí zajišťujících odpovídající úroveň ochrany na straně jedné (článek 25 směrnice) a předáváním do třetích zemí, u kterých bylo zjištěno, že nezajišťují odpovídající úroveň ochrany na straně druhé (článek 26 směrnice). Rozsudek Schrems řeší podmínky, za kterých může Komise určit, že třetí země zajišťuje odpovídající úroveň ochrany podle čl. 25 odst. 6 směrnice 95/46/ES. V případě, že třetí země, do které se mají vyvážet osobní údaje z EU, nezajišťuje odpovídající úroveň ochrany údajů, stanoví článek 26 směrnice 95/45/ES řadu alternativních základů, na kterých lze nicméně údaje předávat. Předávat údaje lze zejména, jestliže subjekt odpovědný za určení důvodů a prostředků zpracovávání osobních údajů („správce“): poskytne dostatečná ochranná opatření ve smyslu čl. 26. odst. 2 směrnice 95/46/ES pro ochranu soukromí a základních práv a svobod osob, jakož i pro výkon odpovídajících práv. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek zavazujících vývozce a dovozce údajů (viz oddíly 2.1 a 2.2 níže). Zahrnují SSD vydaná Komisí a s ohledem na předávání mezi různými subjekty nadnárodní podnikové skupiny ZPP schválená orgánem pro ochranu údajů, nebo využívá jednu z výjimek výslovně uvedených pod písmeny a) až f) v čl. 26 odst. 1 směrnice 95/46/ES (viz oddíl 2.3 níže). Ve srovnání s rozhodnutími o odpovídající úrovni ochrany, která jsou výsledkem celkového posouzení systému dané třetí země a mohou se v zásadě vztahovat na všechna předávání do daného systému, tyto alternativní základy pro předávání mají jak omezenější rozsah působnosti (neboť se vztahují pouze na zvláštní toky údajů), tak i širší pokrytí (neboť se nutně neomezují na konkrétní zemi). Vztahují se na toky údajů prováděné konkrétními subjekty, které se rozhodly využívat jedné z možností nabízených článkem 26 směrnice 95/46/ES. Navíc jestliže vývozci a dovozci údajů zakládají svá předávání údajů na těchto základech, nesou odpovědnost za to zajistit, že předávání probíhá v souladu s požadavky směrnice, neboť se nemohou spolehnout na odpovídající úroveň ochrany ve třetí zemi zjištěnou rozhodnutím Komise. 2.1. Smluvní řešení Jak zdůraznila pracovní skupina zřízená podle článku 29, za účelem nabídnutí dostatečných ochranných opatření pro účely čl. 26 odst. 2 směrnice 95/46/ES „musí smluvní doložky dostatečně kompenzovat neexistující obecnou úroveň odpovídající ochrany tím, že zahrnou základní prvky ochrany, které chybí v každé dané konkrétní situaci“. S cílem usnadnit používání takových nástrojů pro mezinárodní předávání údajů Komise schválila v souladu s čl. 26 odst. 4 směrnice čtyři soubory SSD považované za splňující požadavky článku 26 odst. 2 směrnice. Dva soubory vzorových doložek se týkají předávání mezi správci, přičemž další dva soubory vzorových doložek se týkají předávání mezi správci a zpracovateli jednajícími podle jejich pokynů. Každý z těchto souborů vzorových doložek stanoví příslušné povinnosti pro vývozce a dovozce údajů. Patří mezi ně povinnosti týkající se mimo jiné bezpečnostních opatření, informací pro subjekt údajů v případě předávání citlivých údajů, oznámení vývozci údajů o žádostech donucovacích orgánů třetích zemí o přístup nebo veškeré případy získání náhodného nebo neoprávněného přístupu a práva subjektu údajů na přístup ke svým osobním údajům, jejich opravu a vymazání, jakož pravidla pro odškodnění subjektu údajů v případě škody vzniklé porušením SSD některou stranou. Vzorové doložky rovněž vyžadují, aby subjekt údajů z EU měl možnost domáhat se u orgánu pro ochranu údajů anebo soudu členského státu, ve kterém je vývozce údajů usazen, práv pro něj vyplývajících ze smluvních doložek jakožto oprávněné třetí strany. Tato práva a povinnosti jsou ve smluvních doložkách nezbytná, protože na rozdíl od situace, kde Komise zjistila odpovídající úroveň ochrany, nelze předpokládat, že dovozce údajů v třetí zemi podléhá odpovídajícímu systému dohledu a prosazování pravidel ochrany údajů. Jelikož jsou rozhodnutí Komise v členských státech závazná v celém svém rozsahu, začleňování SSD do smluv znamená, že vnitrostátní orgány mají v zásadě povinnost přijmout tyto doložky. V důsledku toho nesmí odmítnout předávání údajů do třetí země pouze na základě toho, že tyto SSD nenabízejí dostatečná ochranná opatření. Tím není dotčena jejich pravomoc přezkoumávat tyto doložky s ohledem na požadavky stanovené soudem v rozsudku Schrems. V případě pochybností by se měly obrátit na vnitrostátní soud, který následně může podat žádost o rozhodnutí o předběžné otázce k Soudnímu dvoru. Přestože ve většině právních předpisů členských států, kterým se provádí směrnice 95/45/ES, neexistuje povinnost předchozí vnitrostátní autorizace k realizaci předávání údajů při použití SSD, ponechaly si některé členské státy systém oznamování anebo předběžné autorizace. Je-li tomu tak, musí vnitrostátní orgán pro ochranu údajů porovnat doložky skutečně obsažené v dané smlouvě se SSD a ověřit, že nebyla provedena žádná změna. Pokud byly doložky použity beze změny, je v zásadě autorizace automaticky udělena. Jak je dále vysvětleno níže (viz oddíl 2.4), nejsou tím dotčena další opatření, jež bude možná muset vývozce údaje přijmout, zejména ohledně dalších informací získaných od dovozce údajů o změnách v právním systému třetí země, které mohou zabránit dovozci údajů splnit povinnosti podle smlouvy. Při používání SSD se jak vývozci údajů, tak i dovozci údajů tím, že se smluvně zaváží, podřizují dozoru orgánu pro ochranu údajů. Přijetí SSD společnostem nebrání v tom, aby využívaly jiné nástroje, např. smluvní ujednání ad hoc k prokázání, že při jejich předávání údajů existují dostatečná ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES. Podle čl. 26 odst. 2 směrnice musí tato ujednání schvalovat národní orgány případ od případu. Některé orgány pro ochranu údajů vytvořily v této oblasti pokyny, včetně standardních smluv nebo podrobných pravidel, jež se mají používat při tvorbě doložek o předávání údajů. Většina smluv, které v současnosti společnosti používají k mezinárodnímu předávání údajů, však vychází ze SSD schválených Komisí. 2.2. Předávání údajů uvnitř skupiny

Pro předávání osobních údajů z EU přidruženým společnostem usídleným mimo EU, které vyhovuje požadavkům stanoveným v čl. 26 odst. 2 směrnice 95/46/ES, může nadnárodní společnost přijmout ZPP. Tento druh kodexu zásad poskytuje základ pouze pro předávání v rámci podnikové skupiny. Používání ZPP tudíž umožňuje, aby se osobní údaje pohybovaly volně po celém světě mezi různými subjekty podnikové skupiny – aniž by bylo nutné mít smluvní vztahy mezi každým jednotlivým subjektem podnikové skupiny – při současném zajištění, že stejná vysoká úroveň ochrany osobních údajů je dodržována v rámci celé podnikové skupiny prostřednictvím jediného souboru závazných a vynutitelných pravidel. Existence jednoho souboru pravidel vytváří jednodušší a efektivnější systém, který je snazší pro zaměstnance uplatňovat a pro subjekty údajů pochopit. S cílem pomoci společnostem se zněním ZPP vyslovila pracovní skupina zřízená podle článku 29 věcné (např. účelové omezení, bezpečnost zpracovávání, transparentní informace pro subjekty údajů, omezení dalšího předávání mimo skupinu, práva jednotlivců na přístup, opravu a napadnutí) a procesní (např. audity, monitorování souladu, projednávání stížností, spolupráce s orgány pro ochranu údajů, odpovědnost a příslušnost) požadavky na ZPP na základě norem EU v oblasti ochrany údajů. Tato pravidla nezavazují pouze členy podnikové skupiny, ale jsou podobně jako SSD vynutitelná v EU: jednotlivci, jejichž údaje jsou zpracovávány subjektem skupiny, mají nárok jakožto oprávněné třetí strany se pomocí stížnosti k orgánu pro ochranu údajů a žaloby k soudu členského státu domáhat dodržování ZPP. ZPP navíc musí určit subjekt v EU, který přijímá odpovědnost za porušení pravidel jakýmkoliv členem skupiny mimo EU, jenž je vázán těmito pravidly. Ve většině právních předpisů členských států, kterými se provádí směrnice, musí být předávání údajů na základě ZPP autorizováno orgánem pro ochranu údajů v každém členském státě, z něhož nadnárodní společnost hodlá údaje předávat. Za účelem usnadnění a urychlení procesu, jakož i snížení zátěže žadatelů vytvořila pracovní skupina zřízená podle článku 29 standardizovaný formulář žádosti a specifický postup spolupráce mezi dotčenými orgány pro ochranu údajů zahrnující určení jednoho „vedoucího orgánu“ odpovědného za schvalovací řízení. 2.3. Výjimky Při neexistenci rozhodnutí o odpovídající úrovni ochrany podle čl. 25 odst. 6 směrnice 95/46/ES a bez ohledu na používání SSD anebo ZPP lze stále předávat osobní údaje subjektům se sídlem v třetí zemi, pokud platí jedna z alternativních výjimek uvedených v čl. 26 odst. 1 směrnice 95/46/ES: subjekt údajů nepochybně udělil svůj souhlas s předpokládaným předáním; předání je nezbytné pro splnění smlouvy mezi subjektem údajů a správcem nebo pro splnění opatření přijatých před uzavřením smlouvy na žádost subjektu údajů; předání je nezbytné pro uzavření nebo plnění smlouvy, která byla uzavřena nebo která má být uzavřena v zájmu subjektu údajů mezi správcem a třetí osobou; předání je nezbytné nebo se stává právně závazným z důvodů důležitého veřejného zájmu nebo pro zjištění, výkon nebo obranu právních nároků před soudem; předání je nezbytné pro ochranu životně důležitých zájmů subjektu údajů; k předání dochází z veřejného rejstříku, který je na základě právních předpisů určen pro informování veřejnosti a je přístupný veřejnosti nebo jakékoli osobě, která osvědčí svůj právní zájem, pokud jsou v daném případě splněny právní podmínky tohoto přístupu.

Tyto důvody stanoví výjimky z obecného zákazu předávání osobních údajů subjektům usazeným v třetí zemi bez odpovídající úrovně ochrany. Vývozce údajů ve skutečnosti nemusí zajistit, že dovozce údajů bude poskytovat odpovídající úroveň ochrany a obyčejně nebude muset získat předchozí autorizace pro předávání údajů od příslušných vnitrostátních orgánům. Vzhledem k jejich výjimečnému charakteru však má pracovní skupina zřízená podle článku 29 za to, že tyto výjimky je třeba vykládat striktně. Pracovní skupina zřízená podle článku 29 vydala několik nezávazných dokumentů s pokyny k uplatňování čl. 26 odst. 1 směrnice 95/46/ES. Patří mezi ně „osvědčené postupy“, které mají být pro orgány pro ochranu údajů vodítkem při vymáhání práva. Pracovní skupina konkrétně doporučuje, aby předávání osobních údajů, které lze charakterizovat jako opakované, hromadné nebo strukturované, bylo prováděno s dostatečnými ochrannými opatřeními a případně ve zvláštním právním rámci, jako je SSD nebo ZPP. V současném sdělení se Komise bude zabývat pouze těmi výjimkami, které se pro předávání údajů v obchodním kontextu jeví po zrušení platnosti rozhodnutí o bezpečném přístavu za zvláště relevantní. 2.3.1. Předání nezbytná pro splnění smlouvy mezi subjektem údajů a správcem nebo pro splnění opatření přijatých před uzavřením smlouvy na žádost subjektu údajů (čl. 26 odst. 1 písm. b)) Tato výjimka může být použitelná například v kontextu hotelové rezervace nebo když je do třetí země předávána platební informace k provedení platebního převodu. V každém z těchto případů však pracovní skupina zřízená podle článku 29 má za to, že musí existovat „těsné a silné propojení“, „přímá a objektivní vazba“ mezi subjektem údajů a účelem smlouvy nebo opatření přijatého před uzavřením smlouvy (test nezbytnosti). Výjimku rovněž nelze použít na předávání dalších informací, které nejsou nezbytné pro účely předávání, nebo předávání pro účely jiné než plnění smlouvy (například následný marketing). Pokud jde o opatření přijatá před uzavřením smlouvy, pracovní skupina zřízená podle článku 29 zastávala stanovisko, že se vztahuje pouze na kontakty iniciované subjektem údajů (například žádost o informace o konkrétní službě), avšak nikoliv na ty vyplývající z marketingových přístupů učiněných správcem údajů. 2.3.2. Předání nezbytná pro uzavření nebo plnění smlouvy, která byla uzavřena nebo která má být uzavřena v zájmu subjektu údajů mezi správcem nebo třetí osobou (čl. 26 odst. 1 písm. c)) Tato výjimka může být použitelná například v případě, když je subjekt údajů příjemce u mezinárodního bankovního převodu, nebo když cestovní agentura zasílá podrobné informace pro rezervaci letu leteckému dopravci. Znovu platí test nezbytnosti a v tomto případě je nutná těsná a silná vazba mezi zájmem subjektu údajů a účelem sledovaným smlouvou. 2.3.3. Předání nezbytná nebo právně závazná pro zjištění, výkon nebo obranu právních nároků (čl. 26 odst. 1 písm. d)) Tato výjimka může být použitelná například v případě, že společnost potřebuje předávat údaje, aby se bránila proti právnímu nároku, nebo aby uplatnila takový nárok u soudu nebo veřejného orgánu. Shodně jako u předchozích dvou výjimek platí pro ni test nezbytnosti: měla by existovat těsná spojitost se soudním sporem nebo soudním (případně správním) řízením. Podle pracovní skupiny zřízené podle článku 29 lze výjimku použít, pouze pokud je předávání v souladu s mezinárodními pravidly spolupráce v trestních nebo občanských řízeních upravujících daný druh předávání, zejména pakliže vycházejí z ustanovení Haagské úmluvy ze dne 18. března 1970 (Úmluva „o provádění důkazů“). 2.3.4. Nepochybné předchozí udělení souhlasu s předpokládaným předáním subjektem údajů (čl. 26 odst. 1 písm. a)) I když lze souhlas použít jako základ pro předávání údajů, je třeba zohlednit řadu věcí. Jelikož souhlas musí být udělen „navrhovanému“ předání údajů, vyžaduje to předchozí souhlas ke konkrétnímu předání (nebo konkrétní kategorii předávání). V případě, že souhlas je žádán online, doporučila pracovní skupina zřízená podle článku 29 používat spíše políčka, jež se mají zaškrtnout (nežli již předem zaškrtnutá políčka). Protože souhlas musí být jednoznačný, jakékoliv pochyby o jeho udělení by zneplatnily použití výjimky. To bude pravděpodobně znamenat, že v mnoha situacích, kdy souhlas je v nejlepším případě implikovaný (například protože jednotlivec si byl předávání údajů vědom a nenapadl ho), se nekvalifikuje. Obráceně výjimku lze použít, když předávající subjekt je v přímém kontaktu se subjektem údajů, nezbytné informace lze snadno poskytnout a jednoznačný souhlas získat. Podle čl. 2 písm. h) směrnice 95/46/ES navíc musí být souhlas svobodný, výslovný a vědomý. Podle pracovní skupiny zřízené podle článku 29 znamená první požadavek, že jakýkoliv „tlak“ činí souhlas neplatným. Toto zejména platí v oblasti zaměstnávání, kde vztahy podřízenosti a inherentní závislosti zaměstnanců obvykle zpochybní platnost souhlasu. Obecněji souhlas udělený subjektem údajů, který neměl možnost učinit skutečnou volbu nebo byl postaven před hotovou věc, nelze považovat za platný. Velice důležité je, aby byl subjekt údajů řádně informován předem, že údaje mohou být předávány mimo EU, do které třetí země a za jakých podmínek (účel, totožnost a podrobné informace o příjemci (příjemcích) atd.). Tyto informace by se měly zabývat zvláštním rizikem, že údaje subjektu údajů budou předávány třetí zemi, která nemá odpovídající úroveň ochrany. Navíc jak zdůraznila pracovní skupina zřízená podle článku 29, zpětvzetí souhlasu subjektem údajů, by mělo v zásadě zabránit dalšímu zpracování osobních údajů, nikoliv avšak retroaktivně. S ohledem na tato omezení zastává pracovní skupina zřízená podle článku 29 názor, že není pravděpodobné, že by souhlas poskytoval správcům údajů odpovídající dlouhodobý rámec pro strukturální předávání.