Direktivom o policiji pružaju se zajednička pravila za obradu osobnih podataka pojedinaca u kaznenim postupcima, neovisno o tome jesu li osumnjičeni, žrtve ili svjedoci, uzimajući u obzir posebnu prirodu područja policije i kaznenog pravosuđa. Usklađivanjem pravila o zaštiti podataka u sektoru izvršavanja zakonodavstva, uključujući pravila o međunarodnim prijenosima, olakšat će se prekogranična suradnja policijskih i pravosudnih tijela unutar EU-a i s međunarodnim partnerima te će se tako stvoriti uvjeti za djelotvorniju borbu protiv kriminala. To je važan doprinos Europskom programu sigurnosti.

Slično tomu, neke zemlje i regionalne organizacije izvan EU-a, od najbližeg susjedstva do Azije, Latinske Amerike i Afrike, donose novo ili ažuriraju postojeće zakonodavstvo o zaštiti podataka kako bi iskoristile prilike koje pruža svjetsko digitalno gospodarstvo i odgovorile na rastuću potražnju za čvršćom zaštitom podataka i privatnosti. Iako u tim zemljama postoje razlike u pristupu i stupnju zakonodavnog razvoja, vide se znakovi uzlazne konvergencije važnih načela zaštite podataka, posebno u određenim regijama svijeta. Većom kompatibilnošću različitih sustava za zaštitu podataka olakšali bi se međunarodni tokovi osobnih podataka u komercijalne svrhe ili u svrhu suradnje javnih tijela (npr. pri izvršavanju zakonodavstva). EU bi trebao iskoristiti ovu priliku za promicanje svojih vrijednosti u pogledu zaštite podataka i olakšavanje tokova podataka poticanjem konvergencije pravnih sustava. Kako je najavljeno u programu rada Komisije, ovom se Komunikacijom stoga utvrđuje strateški okvir Komisije za odluke o primjerenosti i druge alate za prijenos podataka te međunarodne instrumente za zaštitu podataka.

Kako je predsjednik Juncker istaknuo u govoru o stanju Europske unije 14. rujna 2016.: „[b]iti Europljanin znači imati pravo na zaštitu svojih osobnih podataka u okviru čvrstih europskih zakona. Jer Europa cijeni privatnost. To je pitanje ljudskog dostojanstva.”

Zaštita osobnih podataka dio je europske zajedničke ustavne strukture i ugrađena je u članak 8. Povelje EU-a o temeljnim pravima. Središnji je dio prava EU-a već više od 20 godina, od Direktive o zaštiti osobnih podataka iz 1995. (dalje u tekstu „Direktiva iz 1995.”) do donošenja Opće uredbe o zaštiti podataka i Direktive o policiji 2016.

U digitalnom dobu promicanje visokih standarda zaštite podataka i olakšavanje međunarodne trgovine moraju stoga biti povezani. Dok u trgovinskim sporazumima zaštita osobnih podataka nije predmet rasprave, režimom EU-a o međunarodnim prijenosima podataka, kako je prethodno opisano, pružen je širok i raznolik skup alata radi omogućenja protoka podataka u različitim situacijama uz istodobno osiguranje visoke razine zaštite.

3.1. Odluke o primjerenosti

Posljednjih je godina sve više zemalja diljem svijeta donijelo novo zakonodavstvo u području zaštite podataka i privatnosti ili je u postupku njegova donošenja. Broj zemalja koje su donijele zakone o zaštiti podataka 2015. iznosio je 109, što je znatan porast u odnosu na 76 sredinom 2011. Uz to, 35 zemalja trenutačno izrađuje nacrte zakona o zaštiti podataka. Ti se novi ili modernizirani zakoni uglavnom temelje na osnovnom skupu zajedničkih načela, uključujući, među ostalim, priznavanje zaštite podataka kao temeljnog prava, donošenje sveobuhvatnog zakonodavstva u tom području, postojanje izvršivih prava pojedinaca na privatnost te osnivanje neovisnog nadzornog tijela. To otvara nove mogućnosti, posebice zaključcima o primjerenosti, za daljnje olakšavanje protoka podataka uz istodobno osiguranje trajno visoke razine zaštite osobnih podataka.

Na temelju prava EU-a za zaključak o primjerenosti potrebna su utvrđena pravila o zaštiti podataka usporediva s onima u EU-u. To se odnosi na materijalnu zaštitu primjenjivu na osobne podatke te relevantne mehanizme nadzora i pravne zaštite dostupne u trećoj zemlji.

Unutar okvira za zaključke o primjerenosti Komisija smatra da bi se sljedeći kriteriji trebali uzeti u obzir pri procjeni s kojim trećim zemljama treba nastaviti dijalog o primjerenosti:

(i) opseg (stvarnih ili potencijalnih) trgovinskih odnosa EU-a s određenom trećom zemljom, uključujući postojanje sporazuma o slobodnoj trgovini ili tekućih pregovora;

(ii) opseg tokova osobnih podataka iz EU-a u kojima se odražavaju geografske i/ili kulturne veze;

(iii) pionirska uloga treće zemlje u području privatnosti i zaštite podataka koja bi mogla poslužiti kao primjer drugim zemljama u regiji i

(iv) cjelokupan politički odnos s dotičnom trećom zemljom, posebice s obzirom na promicanje zajedničkih vrijednosti i ciljeva na međunarodnoj razini.

Na temelju tih razmatranja Komisija će aktivno surađivati s ključnim trgovinskim partnerima u istočnoj i jugoistočnoj Aziji, najprije s Japanom i Korejom 2017., te, ovisno o njezinu napretku u modernizaciji zakona o zaštiti podataka, s Indijom, ali i sa zemljama Latinske Amerike, posebice zemljama Mercosura, te zemljama iz europskog susjedstva koje su izrazile interes za dobivanje zaključka o primjerenosti. Osim toga, Komisija poziva ostale treće zemlje voljne surađivati u tom području da izraze interes. Rasprave o mogućem zaključku o primjerenosti dvostrani su dijalog koji uključuje pružanje nužnih objašnjenja pravila EU-a o zaštiti podataka te otkrivanje načina za povećanje konvergencije zakona i praksi trećih zemalja.

U određenim situacijama umjesto pristupa na razini cijele zemlje moglo bi biti prikladnije iskoristiti druge opcije poput djelomične ili sektorske primjerenosti (npr. za sektor financijskih usluga ili sektor IT-a) koja se može odnositi na geografska područja ili industrije koji su važan dio gospodarstva određene treće zemlje. To će se morati razmotriti s obzirom na elemente kao što su priroda i stanje razvoja režima za zaštitu privatnosti (zaseban zakon, višestruki ili sektorski zakoni itd.), ustavna struktura treće zemlje ili posebna izloženost određenih sektora gospodarstva tokovima podataka iz EU-a.

Donošenje odluke o primjerenosti uključuje pokretanje posebnog dijaloga i blisku suradnju s dotičnom trećom zemljom. Odluke o primjerenosti „živi” su dokumenti koje Komisija treba pomno nadzirati i prilagođavati u slučaju razvoja događaja koji bi utjecao na razinu zaštite koju osigurava dotična treća zemlja. U tu će se svrhu provoditi periodično preispitivanje barem svake četiri godine kako bi se riješila novonastala pitanja i razmjenjivale najbolje prakse među bliskim partnerima. Taj dinamični pristup primjenjuje se i na postojeće odluke o primjerenosti, donesene na temelju Direktive iz 1995., koje će trebati preispitati u slučaju da više ne ispunjavaju primjenjivi standard. Dotične se treće zemlje stoga pozivaju da obavijeste Komisiju o svim relevantnim promjenama zakona i prakse koje su se dogodile od donošenja odluke o primjerenosti koja se na njih odnosi. To je važno kako bi se osigurao kontinuitet tih odluka prema novim pravilima reforme.

Pravila EU-a o zaštiti podataka ne mogu biti predmet pregovora u sporazumu o slobodnoj trgovini. Dok se dijalozi o zaštiti podataka i trgovinski pregovori s trećim zemljama moraju voditi zasebno, odluka o primjerenosti, među ostalim i odluka o djelomičnoj ili sektorskoj primjerenosti, najbolje je sredstvo izgradnje uzajamnog povjerenja kojim se jamči neometani protok osobnih podataka te tako olakšavaju trgovinske razmjene koje uključuju prijenose osobnih podataka u dotičnu treću zemlju. Takve odluke stoga mogu olakšati trgovinske pregovore ili upotpuniti postojeće trgovinske sporazume te tako omogućiti stvaranje njihove bolje iskoristivosti. Istodobno, poticanjem konvergencije u razini zaštite u EU-u i u trećoj zemlji putem zaključka o primjerenosti smanjit će se rizik od pozivanja te zemlje na zaštitu osobnih podataka kao temelja za nametanje neopravdanih zahtjeva u pogledu lokalizacije ili pohrane podataka. Osim toga, kako je navedeno u Komunikaciji „Trgovina za sve”, Komisija će nastojati upotrijebiti trgovinske sporazume EU-a za uspostavu pravila za e-trgovinu i prekogranične tokove podataka te poraditi na novim oblicima digitalnog protekcionizma potpuno u skladu s pravilima EU-a o zaštiti podataka i ne dovodeći ta pravila u pitanje.

Komisija će učiniti sljedeće: dati prioritet raspravama o mogućim odlukama o primjerenosti s ključnim trgovinskim partnerima u istočnoj i jugoistočnoj Aziji, najprije s Japanom i Korejom 2017., ali uzimajući u obzir i druge strateške partnere poput Indije, te sa zemljama Latinske Amerike, posebice zemljama Mercosura, i zemljama iz europskog susjedstva, pomno pratiti funkcioniranje postojećih odluka o primjerenosti. To konkretno uključuje provedbu europsko-američkog sustava zaštite privatnosti, posebice putem mehanizma godišnjeg zajedničkog preispitivanja, surađivati sa zemljama koje žele donijeti čvršće zakone o zaštiti podataka, pomagati im i podupirati njihovu konvergenciju s načelima zaštite podataka u EU-u.

3.2. Alternativni mehanizmi za prijenos podataka

Pravilima EU-a o zaštiti podataka uvijek se priznavalo da nema jedinstvenog pristupa kad je riječ o međunarodnim prijenosima podataka. To se posebno odnosi na pravila koja proizlaze iz reforme. Zaključci o primjerenosti bit će dostupni samo onim trećim zemljama koje ispune relevantne kriterije, a Općom uredbom o zaštiti podataka predviđa se raznovrstan skup mehanizama koji su dovoljno fleksibilni da se prilagode nizu različitih situacija prijenosa. Mogu se razvijati instrumenti kojima bi se uzeli u obzir posebne potrebe ili uvjeti pojedinih industrija, poslovnih modela i/ili subjekata. Mogli bi primjerice biti u obliku standardnih ugovornih odredaba usmjerenih na zahtjeve određenog sektora, npr. posebne zaštitne mjere pri obradi osjetljivih podataka u zdravstvenom sektoru, ili na zahtjeve određene vrste aktivnosti obrade koja se najčešće primjenjuje u određenim trećim zemljama, npr. usluge eksternalizacije koje se izvršavaju za europska poduzeća. To bi se moglo postići donošenjem novog skupa standardnih odredaba ili dopunom postojećih dodatnim zaštitnim mjerama koje bi mogle biti od tehničkih preko organizacijskih rješenja do rješenja koja se odnose na poslovni model. Posebne sektorske potrebe mogu se ispuniti obvezujućim korporativnim pravilima koja bi se primjenjivala na grupe poduzeća koja obavljaju zajedničku gospodarsku djelatnost, primjerice u turizmu. Međunarodnim prijenosima između izvršitelja obrade mogao bi pridonijeti razvoj standardnih ugovornih odredaba za izvršitelje i/ili obvezujućih korporativnih pravila za izvršitelje. Naposljetku, novim mehanizmima za prijenos poput odobrenih kodeksa ponašanja i potvrda akreditiranih trećih strana industriji se omogućuje uvođenje prilagođenih rješenja za međunarodne prijenose uz istodobno ostvarenje koristi od konkurentske prednosti koja je primjerice povezana s pečatom ili oznakom povjerljivosti. Neki od tih instrumenata mogu se razviti kao mehanizmi za pojedine prijenose ili kao dio općenitijih alata kojima se dokazuje poštovanje svih odredaba Opće uredbe o zaštiti podataka, kao u slučaju odobrenog kodeksa ponašanja.

Komisija će surađivati s industrijom, civilnim društvom i tijelima za zaštitu podataka kako bi iskoristili puni potencijal skupa alata za međunarodne prijenose iz Opće uredbe o zaštiti podataka. Otvoreni dijalog s dionicima u kontekstu provedbe reformi pomoći će pri utvrđivanju prioritetnih područja djelovanja u tom pogledu. To može uključivati dovršetak rada koji je već započeo, kao što je sastavljanje standardnih ugovornih odredaba za izvršitelje u suradnji s Radnom skupinom iz članka 29. (koja će 2018. biti zamijenjena Europskim odborom za zaštitu podataka). Može uključivati i razvoj novih sastavnica infrastrukture EU-a za poštovanje odredaba, primjerice tako da Komisija odredi zahtjeve i tehničke standarde za uspostavu i funkcioniranje mehanizama certificiranja, među ostalim i za aspekte povezane s međunarodnim prijenosima. Neke od tih mjera mogu se dopuniti radom na međunarodnoj razini, posebice s organizacijama koje su razvile slične mehanizme za prijenos. Primjerice, mogle bi se istražiti metode za promicanje konvergencije između obvezujućih korporativnih pravila na temelju prava EU-a i prekograničnih pravila o privatnosti koja su razvile države Azijsko-pacifičke gospodarske suradnje (APEC) u pogledu primjenjivih standarda i postupka primjene u svakom od sustava. Time bi se trebalo pridonijeti promicanju visokih standarda zaštite podataka na svjetskoj razini uz istodobno premošćivanje razlika u pristupima zaštiti privatnosti i podataka te pomoći komercijalnim subjektima pri prelasku s jednog na drugi sustav i osmišljavanje politika koje su s njima u skladu.