Galiausiai reformos nuostatomis Komisijai suteikiami įgaliojimai parengti tarptautinio bendradarbiavimo mechanizmus, kuriais būtų pagerintos galimybės užtikrinti duomenų apsaugos taisyklių laikymąsi, be kita ko, taikant įvairią tarpusavio pagalbos tvarką. Taip pripažįstama, kad priežiūros institucijoms artimiau bendradarbiaujant tarptautiniu lygmeniu būtų galima geriau užtikrinti veiksmingesnę asmenų teisių apsaugą ir didesnį teisinį tikrumą verslo subjektams.

Be to, pagal minėtąją reformą pradedama taikyti naujus tarptautinio duomenų perdavimo dokumentus. Duomenų valdytojai ir tvarkytojai tam tikromis sąlygomis galės taikyti patvirtintus elgesio kodeksus arba sertifikavimo mechanizmus (pvz., privatumo apsaugos ženklus arba žymenis), kad būtų nustatytos „tinkamos apsaugos priemonės“. Tai turėtų sudaryti sąlygas parengti labiau pritaikytus tarptautinio duomenų perdavimo sprendimus, kuriais būtų atsižvelgiama, pavyzdžiui, į konkrečius tam tikro sektoriaus ar pramonės šakos arba konkrečių duomenų srautų ypatumus ir poreikius. Taip pat suteikiama galimybė numatyti papildomas apsaugos priemones, taikytinas duomenų perdavimui tarp valdžios institucijų arba įstaigų pagal tarptautinius susitarimus arba administracines procedūras. Galiausiai Bendrajame duomenų apsaugos reglamente aiškiau išdėstomas vadinamųjų nukrypti leidžiančių nuostatų (pvz., sutikimo, sutarties vykdymo arba svarbių viešojo intereso priežasčių) taikymas, kuriuo subjektai konkrečiais atvejais gali pagrįsti vykdomą duomenų perdavimą, kai nepriimta sprendimo dėl tinkamumo, neatsižvelgiant į tai, ar taikoma kuri nors iš minėtųjų priemonių. Beje, reglamente įtvirtinta nauja, nors ir ribota, nukrypti leidžianti nuostata dėl duomenų perdavimo, galimo siekiant teisėtų įmonės interesų.

Pagal ES teisę vienas iš asmens duomenų perdavimo į užsienį būdų grindžiamas Komisijos „sprendimu dėl tinkamumo“, kuriuo nustatoma, kad ES nepriklausanti šalis suteikia tokio lygio apsaugą, kuri yra „iš esmės lygiavertė“ ES teikiamai apsaugai. Tokio sprendimo poveikis – sudaryti sąlygas laisvam asmens duomenų srautui į tą trečiąją šalį, kad duomenų eksportuotojui nereikėtų imtis papildomų apsaugos priemonių ar gauti leidimo. Suinteresuotosios šalys arba tarptautinės organizacijos gali gauti tikslų ir išsamų aspektų, į kuriuos Komisija turi atsižvelgti vertindama užsienio sistemos apsaugos tinkamumą, sąrašą. Dabar Komisija gali priimti ir teisėsaugos sektoriui taikomus sprendimus dėl tinkamumo. Be to, remiantis taikant 1995 m. direktyvą įgyta patirtimi, šia reforma aiškiai numatyta galimybė nustatyti apsaugos konkrečioje trečiosios šalies teritorijoje arba konkrečiame trečiosios šalies sektoriuje arba pramonės šakoje tinkamumą (vadinamasis „dalinis“ tinkamumas).

Vietoj šiandien taikomų 28 nacionalinių įstatymų pagal Bendrąjį duomenų apsaugos reglamentą nuo 2018 m. gegužės mėn. bus taikomas vienas bendras visos Europos taisyklių rinkinys. Pagal vieno langelio principą sukurtu nauju mechanizmu bus užtikrinta, kad duomenų apsaugos institucija būtų atsakinga už tarpvalstybinių duomenų tvarkymo operacijų, kurias įmonė atlieka Europos Sąjungoje, priežiūrą. Bus užtikrintas naujų taisyklių aiškinimo nuoseklumas. Visų pirma tarpvalstybiniais atvejais, susijusiais su keliomis nacionalinėmis duomenų apsaugos institucijomis, bus priimtas vienodas bendras sprendimas ir taip bus užtikrinta, kad bendroms problemoms būtų taikomi bendri sprendimai. Be to, Bendruoju duomenų apsaugos reglamentu ES ir užsienio įmonėms sukuriamos vienodos sąlygos, t. y. už ES ribų įsisteigusios įmonės turės taikyti tas pačias taisykles kaip ir Europos įmonės, jeigu jos tieks prekes ir teiks paslaugas arba stebės asmenų elgseną Europos Sąjungoje. Didesnis vartotojų pasitikėjimas bus naudingas ir ES, ir išorės komercinės veiklos vykdytojams.

2016 m. balandžio mėn. patvirtinus ES duomenų apsaugos teisės aktų reformą įdiegiama sistema, kuria užtikrinama griežta apsauga ir kuri sudaro sąlygas naudotis pasaulinės informacinės visuomenės galimybėmis. Suteikiant asmenims daugiau galimybių valdyti savo asmens duomenis, šia reforma stiprinamas vartotojų pasitikėjimas skaitmenine ekonomika. Suderinus ir supaprastinus teisinę aplinką, šalių vidaus ir užsienio įmonės gali lengviau ir laisviau Europos Sąjungoje vykdyti verslą, be kita ko, susijusį su tarptautiniu keitimusi duomenimis. Šiandien atvirumą tarptautiniams duomenų srautams Europos Sąjunga derina su aukščiausiu asmens duomenų apsaugos lygiu. Ji turi galimybių tapti duomenų paslaugų, kurioms reikalingi ir laisvi srautai, ir pasitikėjimas, centru.

Kaip Pirmininkas J. C. Junckeris pabrėžė savo 2016 m. rugsėjo 14 d. kalboje apie Europos Sąjungos padėtį, būti europiečiu taip pat reiškia, kad tvirti Europos įstatymai saugo jūsų asmens duomenų privatumą. [...] Europoje privatumas yra svarbus, tai žmogaus orumo klausimas.

Taigi skaitmeniniame amžiuje turi būti skatinami aukšti duomenų apsaugos standartai, kartu supaprastinant tarptautinę prekybą. Dėl asmens duomenų apsaugos įtraukimo į prekybos susitarimus nesiderama, o pagal ES tarptautinio duomenų perdavimo tvarką, kaip išdėstyta pirmiau, teikiamas įvairių plataus pobūdžio priemonių rinkinys, kuriuo sudaromos sąlygos duomenų srautams įvairiais atvejais, kartu užtikrinant aukšto lygio apsaugą.

3.1 Sprendimai dėl tinkamumo

Per pastaruosius keletą metų vis daugiau viso pasaulio šalių priėmė arba rengiasi priimti naujus teisės aktus duomenų apsaugos ir privatumo srityje. 2015 m. duomenų privatumo įstatymus buvo priėmusios 109 šalys – tai gerokai daugiau negu 2011 m. viduryje buvusios 76 šalys. Be to, šiuo metu duomenų apsaugos įstatymus rengia maždaug 35 šalys. Šie nauji arba modernizuoti įstatymai dažniausiai grindžiami tam tikrais pagrindiniais bendrais principais, įskaitant, inter alia, duomenų apsaugos pripažinimą viena iš pagrindinių teisių, viršenybę turinčių teisės aktų priėmimą šioje srityje, asmens teisių į privatumą, kurių laikymąsi būtų galima užtikrinti, buvimą ir nepriklausomos priežiūros institucijos įsteigimą. Tai teikia naujų galimybių, ypač darant tinkamumo išvadas, dar labiau pagerinti sąlygas duomenų srautams, kartu ir toliau užtikrinant asmens duomenų aukšto lygio apsaugą.

Pagal ES teisę, tam, kad būtų nustatytas tinkamumas, reikia, kad galiotų duomenų apsaugos taisyklės, panašios į taikomas ES. Tai susiję ir su materialiosiomis asmens duomenų apsaugos nuostatomis, ir su atitinkamais trečiojoje šalyje prieinamais priežiūros ir teisių gynimo mechanizmais.

Pagal savo taikomą tinkamumo išvadų sistemą Komisija mano, kad vertinant, su kuriomis trečiosiomis šalimis reikėtų siekti dialogo tinkamumo klausimais, reikėtų atsižvelgti į šiuos kriterijus:

i) ES (faktinių arba galimų) komercinių ryšių su konkrečia trečiąja šalimi mastą, įskaitant laisvosios prekybos susitarimo buvimą arba vykstančias derybas;

ii) asmens duomenų srautų iš ES mastą, atspindintį geografinius ir (arba) kultūrinius ryšius;

iii) pirmaujantį trečiosios šalies vaidmenį privatumo ir duomenų apsaugos srityje, kuris galėtų būti pavyzdžiu kitoms jos regiono šalims ir

iv) bendrus politinius santykius su atitinkama trečiąja šalimi, ypač dėl bendrų vertybių ir tikslų populiarinimo tarptautiniu lygmeniu.

Vadovaudamasi tuo, kas išdėstyta pirmiau, Komisija aktyviai bendradarbiaus su svarbiausiais prekybos partneriais Rytų ir Pietryčių Azijoje, visų pirma 2017 m.Japonijoje ir Korėjoje, ir, atsižvelgdama į pažangą modernizuojant duomenų apsaugos įstatymus, Indijoje, taip pat Lotynų Amerikos, ypač MERCOSUR šalyse, ir Europos kaimyninėse šalyse, kurios pranešė norinčios gauti „tinkamumo išvadą“. Be to, Komisija teigiamai vertina kitų trečiųjų šalių, pageidaujančių įsitraukti į dialogą šiais klausimais, reiškiamą susidomėjimą. Diskusijos dėl galimos tinkamumo išvados yra abipusis dialogas, kuriam vykstant pateikiami reikiami paaiškinimai apie ES duomenų apsaugos taisykles ir išsiaiškinama, kaip didinti trečiųjų šalių įstatymų ir praktikos konvergenciją.

Tam tikrais atvejais, užuot vadovavusis šalies masto požiūriu, tinkamiau gali būti naudotis kitomis galimybėmis, pavyzdžiui, pripažinti dalinį tinkamumą arba konkretaus sektoriaus (pvz., finansinių paslaugų arba IT sektorių) tinkamumą, kuris gali būti susijęs su geografinėmis vietovėmis arba pramonės šakomis, sudarančiomis svarbią konkrečios trečiosios šalies ekonomikos dalį. Tai turės būti apsvarstyta atsižvelgiant į tokius aspektus kaip antai privatumo režimo pobūdis ir rengimo etapas (atskiras įstatymas, keli arba konkretiems sektoriams skirti įstatymai ir kt.), trečiosios šalies konstitucinė struktūra arba atsakymas į klausimą, ar tam tikri ekonomikos sektoriai gauna itin didelius duomenų srautus iš ES.

Siekiant priimti sprendimą dėl tinkamumo bus būtina pradėti specialų dialogą ir vykdyti glaudų bendradarbiavimą su atitinkama trečiąja šalimi. Sprendimai dėl tinkamumo yra kintami dokumentai, kurių vykdymą Komisija turi atidžiai stebėti ir juos pritaikyti, jeigu pakinta atitinkamos trečiosios šalies užtikrinamos apsaugos lygis. Tuo tikslu bent kas ketverius metus bus atliekamos periodinės peržiūros, siekiant spręsti kylančius klausimus ir keistis geriausia patirtimi tarp artimų partnerių. Šis dinamiškas metodas jau taikomas ir pagal 1995 m. direktyvą priimtiems, galiojantiems sprendimams dėl tinkamumo, kuriuos reikės peržiūrėti, jeigu jie nebeatitiks taikomo standarto. Todėl atitinkamos trečiosios šalys raginamos informuoti Komisiją apie aktualius įstatymų ir praktikos pokyčius, įvykusius nuo sprendimo dėl tinkamumo priėmimo jų atžvilgiu dienos. Tai būtina siekiant užtikrinti tolesnį šių sprendimų galiojimą pagal naujas reformos taisykles.

Derybose dėl laisvosios prekybos susitarimo negali būti deramasi dėl ES duomenų apsaugos taisyklių. Nors dialogai dėl duomenų apsaugos ir prekybos derybos su trečiosiomis šalimis turi vykti atskirai, sprendimas dėl tinkamumo, įskaitant sprendimą dėl dalinio arba konkretaus sektoriaus tinkamumo, yra geriausias būdas kurti tarpusavio pasitikėjimą, garantuojant sklandų asmens duomenų srautą, ir taip sudaryti geresnes sąlygas komerciniams mainams, apimantiems asmens duomenų perdavimą į atitinkamą trečiąją šalį. Taigi tokiais sprendimais gali būti palengvintos prekybos derybos arba jie gali papildyti galiojančius prekybos susitarimus, taip sudarant sąlygas padidinti jų teikiamą naudą. Kartu, skatinant ES ir trečiojoje šalyje taikomos apsaugos lygio konvergenciją, tinkamumo išvada mažina riziką, kad ta šalis, motyvuodama asmens duomenų apsauga, nustatys nepagrįstus duomenų lokalizavimo arba laikymo reikalavimus. Be to, kaip nurodyta komunikate „Prekyba visiems“, Komisija sieks, pasinaudodama ES prekybos susitarimais, nustatyti e. prekybos ir tarpvalstybinių duomenų srautų taisykles ir kovoti su naujomis skaitmeninio protekcionizmo formomis, visapusiškai laikydamasi ES duomenų apsaugos taisyklių ir nedarydama joms poveikio.

Komisija: prioriteto tvarka tarsis dėl tinkamumo sprendimų su svarbiausiais prekybos partneriais Rytų ir Pietryčių Azijoje, visų pirma su Japonija ir Korėja 2017 m., tačiau taip pat apsvarstys kitus galimus strateginius partnerius, kaip antai Indija, taip pat su Lotynų Amerikos, ypač MERCOSUR šalimis, ir Europos kaimyninėmis šalimis; atidžiai stebės, kaip veikia galiojantys sprendimai dėl tinkamumo. Tai visų pirma apima ES ir JAV „privatumo skydo“ sistemos įgyvendinimą, ypač taikant metinį bendrą peržiūros mechanizmą; bendradarbiaus su šalimis, suinteresuotomis priimti griežtus duomenų apsaugos įstatymus, padės joms užtikrinti konvergenciją su ES duomenų apsaugos principais.

3.2 Alternatyvūs duomenų perdavimo mechanizmai

ES duomenų apsaugos taisyklėmis visada buvo pripažįstama, kad nėra visiems vienodai tinkamo požiūrio į tarptautinį duomenų perdavimą. Tai dar labiau pasakytina apie reformos pagrindu nustatytas taisykles. Tinkamumo išvados bus skiriamos tik aktualius kriterijus atitinkančioms trečiosioms šalims, tačiau Bendrajame duomenų apsaugos reglamente numatyti įvairūs mechanizmai, kuriais galima pakankamai lanksčiai prisitaikyti prie įvairiausių skirtingų duomenų perdavimo atvejų. Priemones galima parengti atsižvelgiant į individualius konkrečių sektorių, verslo modelių ir (arba) veiklos vykdytojų poreikius ar sąlygas. Tai, pavyzdžiui, galėtų būti daroma nustatant standartines sutarčių sąlygas, orientuotas į konkretaus sektoriaus reikalavimus, pvz., specialias apsaugos nuostatas, taikytinas, kai tvarkomi neskelbtini sveikatos sektoriaus duomenys, arba į specialių tam tikrose trečiosiose šalyse vyraujančių duomenų tvarkymo operacijų, pvz., Europos įmonėms atliekamų užsakomųjų paslaugų, reikalavimus. Tai būtų galima padaryti priimant naujus standartinių sąlygų derinius arba galiojančius derinius papildant naujomis apsaugos nuostatomis, pradedant nuo techninių sprendimų ir baigiant organizaciniais arba konkrečiam verslo modeliui būdingais sprendimais. Kai kuriuos konkrečius sektorių poreikius galima patenkinti įmonėms privalomomis taisyklėmis, kurios būtų taikomos bendrą ekonomine veiklą vykdančių įmonių, pvz., kelionių pramonės įmonių, grupėms. Tarptautiniam duomenų perdavimui iš vieno duomenų tvarkytojo kitam būtų galima parengti standartines duomenų tvarkytojų tarpusavio sutarčių sąlygas arba (ir) duomenų tvarkytojų įmonėms privalomas taisykles. Galiausiai naujais duomenų perdavimo mechanizmais, pvz., patvirtintais elgesio kodeksais ir akredituotų trečiųjų šalių sertifikavimu, pramonei suteikiama galimybė pradėti taikyti specializuotus tarptautinio duomenų perdavimo sprendimus, kartu naudojantis atitinkamais konkurenciniais pranašumais, pavyzdžiui, privatumo antspaudu arba ženklu. Kai kurias iš šių priemonių galima parengti kaip konkretaus tipo duomenų perdavimui pritaikytus mechanizmus arba jas integruoti į bendresnes priemones, kuriomis būtų galima įrodyti, kad laikomasi visų Bendrojo duomenų apsaugos reglamento nuostatų, kaip antai patvirtinto elgesio kodekso atveju.

Komisija, bendradarbiaudama su pramonės atstovais, pilietine visuomene ir duomenų apsaugos institucijomis, sieks visapusiškai naudotis Bendrojo duomenų apsaugos reglamento numatytu tarptautinio duomenų perdavimo priemonių rinkiniu. Šiuo atžvilgiu su suinteresuotaisiais subjektais vykdomas dialogas reformos įgyvendinimo klausimais padės nustatyti prioritetines veiksmų sritis. Taip galbūt bus užbaigtas jau pradėtas darbas, pavyzdžiui, bendradarbiaujant su 29 straipsnio darbo grupe (kurią 2018 m. pakeis Europos duomenų apsaugos valdyba) bus parengtos standartinės duomenų tvarkytojų tarpusavio sutarčių sąlygos. Tai reiškia, kad gali tekti parengti naujus ES atitikties infrastruktūros elementus, pavyzdžiui, Komisijai gali tekti apibrėžti sertifikavimo mechanizmų sukūrimo ir veikimo reikalavimus ir techninius standartus, taikytinus ir tarptautinio duomenų perdavimo aspektams. Gali būti imamasi papildomos tarptautinio lygmens veiklos, susijusios su šiais veiksmais, ypač organizacijų, parengusių panašius duomenų perdavimo mechanizmus, atveju. Pavyzdžiui, būtų galima išsiaiškinti būdus, kaip skatinti pagal ES teisę įmonėms privalomų taisyklių ir Azijos ir Ramiojo vandenyno šalių ekonominio bendradarbiavimo forumo (APEC) parengtų tarpvalstybinių privatumo taisyklių konvergenciją, t. y. ir pagal kiekvieną sistemą taikytinų standartų, ir jų taikymo proceso konvergenciją. Tai turėtų padėti visame pasaulyje diegti aukštus duomenų apsaugos standartus, kartu mažinant požiūrio į privatumo ir duomenų apsaugą skirtumus, padedant komercinės veiklos vykdytojams orientuotis įvairiose sistemose ir parengiant šias sistemas atitinkančias politikos priemones.