Po vydaní rozsudku Komisia naďalej podporuje cieľ obnoveného a stabilného rámca pre transatlantické prenosy osobných údajov. V tejto súvislosti okamžite obnovila a zintenzívnila svoje rokovania s vládou USA s cieľom zabezpečiť, aby bol akýkoľvek nový režim transatlantických prenosov osobných údajov v súlade s normami, ktoré stanovil Súdny dvor. Každý takýto systém preto musí mať dostatočné obmedzenia, záruky a mechanizmy súdneho preskúmania, aby sa zabezpečila nepretržitá ochrana osobných údajov občanov EÚ, a to aj pokiaľ ide o možný prístup orgánov verejnej moci na účely presadzovania práva a národnej bezpečnosti. Zástupcovia priemyslu medzičasom vyjadrili obavy, pokiaľ ide o možnosti pokračovania v prenosoch údajov. Je preto potrebné objasniť, za akých podmienok môžu takéto prenosy pokračovať. To podnietilo pracovnú skupinu zriadenú podľa článku 29 – nezávislý poradný orgán, ktorého členmi sú zástupcovia všetkých orgánov členských štátov pre ochranu osobných údajov, ako aj európsky dozorný úradník pre ochranu údajov, – k tomu, aby 16. októbra vydala vyhlásenie týkajúce sa prvých záverov, ktoré treba vyvodiť z uvedeného rozsudku. Toto vyhlásenie obsahovalo okrem iných bodov tieto usmernenia k prenosom údajov:

Súd vo svojom rozsudku zo 6. októbra 2015 vyhlásil rozhodnutie o bezpečnom prístave za neplatné. Práve preto je cieľom tohto oznámenia poskytnúť prehľad alternatívnych nástrojov na transatlantické prenosy údajov podľa smernice 95/46/ES v situácii, keď neexistuje rozhodnutie o primeranosti. V tomto oznámení sa tiež stručne opisujú dôsledky rozsudku pre ďalšie rozhodnutia Komisie o primeranosti. Súd vo svojom rozsudku objasnil, že rozhodnutie o primeranosti podľa článku 25 ods. 6 smernice 95/46/ES je podmienené zistením Komisie, že v príslušnej tretej krajine existuje úroveň ochrany osobných údajov, aj keď nie nevyhnutne rovnaká, je „v podstate rovnocenná“ úrovni ochrany zaručenej v rámci EÚ podľa smernice 95/46 v spojení s Chartou základných práv EÚ. Pokiaľ ide konkrétne rozhodnutie o bezpečnom prístave, Súd rozhodol, že rozhodnutie neobsahovalo dostatočné zistenia Komisie týkajúce sa obmedzení, pokiaľ ide o prístup verejných orgánov USA k údajom prenášanými podľa tohto rozhodnutia, a existencie účinnej právnej ochrany pred zásahmi tohto druhu. Súd konkrétne spresnil, že právnu úpravu umožňujúcu orgánom verejnej moci všeobecný prístup k obsahu elektronických komunikácií treba považovať za právnu úpravu, ktorá zasahuje do podstaty obsahu základného práva na rešpektovanie súkromného života. Navyše Súdny dvor potvrdil, že aj keď existuje rozhodnutie o primeranosti podľa článku 25 ods. 6 smernice 95/46/ES, orgány členských štátov pre ochranu osobných údajov (DPA) sú naďalej oprávnené a povinné úplne nezávisle skúmať, či sú prenosy údajov do tretej krajiny v súlade s požiadavkami stanovenými v smernici 95/46/ES v spojení s článkami 7, 8 a 47 Charty základných práv Európskej únie. Súd dvor však zároveň potvrdil, že iba on môže vyhlásiť akt EÚ, akým je rozhodnutie Komisie o primeranosti, za neplatný.

S cieľom uľahčiť tieto toky údajov a zároveň zabezpečiť vysokú úroveň ochrany osobných údajov Komisia uznala primeranosť systému bezpečného prístavu prijatím rozhodnutia Komisie 2000/520/ES z 20. júla 2000 (ďalej len „rozhodnutie o bezpečnom prístave“). Komisia v tomto rozhodnutí na základe článku 25 ods. 6 smernice 95/46/ES uznala, že zásady bezpečného prístavu a sprievodné často kladené otázky, ktoré vydalo Ministerstvo obchodu Spojených štátov, poskytujú primeranú ochranu na účely prenosov osobných údajov z EÚ. Osobné údaje sa preto mohli neobmedzene prenášať z členských štátov EÚ do spoločností v Spojených štátoch, ktoré sa zaviazali tieto zásady dodržiavať, a to aj napriek tomu, že v Spojených štátoch neexistuje všeobecný zákon o ochrane osobných údajov. Fungovanie režimu bezpečného prístavu vychádzalo zo záväzkov a samocertifikácie spoločností, ktoré sa ním riadili. Hoci je dodržiavanie zásad bezpečného prístavu a často kladených otázok dobrovoľné, tieto pravidlá sú podľa práva USA záväzné pre tie subjekty, ktoré sa ich zaviazali dodržiavať, a sú vymožiteľné Federálnou obchodnou komisiou.

Keďže rozhodnutia Komisie sú v členských štátoch záväzné v celom svojom rozsahu, zahrnutie štandardných zmluvných doložiek do zmluvy znamená, že vnútroštátne orgány sú v zásade povinné prijať tieto doložky. Z toho vyplýva, že nemôžu odmietnuť prenos údajov do tretej krajiny len na základe toho, že tieto štandardné zmluvné doložky neposkytujú dostatočné záruky. Nie je však dotknutá ich právomoc preskúmať tieto doložky s ohľadom na požiadavky, ktoré stanovil Súd vo svojom rozhodnutí vo veci Schrems. V prípade pochybností by mali vec predložiť vnútroštátnemu súdu, ktorý následne môže podať návrh na začatie prejudiciálneho konania na Súdnom dvore. Hoci v právnych predpisoch väčšiny členských štátov, ktorými sa transponuje smernica 95/45/ES, neexistuje požiadavka týkajúca sa predchádzajúceho vnútroštátneho povolenia pred vykonaním prenosu, niektoré členské štáty majú systém oznamovania a/alebo udeľovania predbežného povolenia na použitie štandardných zmluvných doložiek. Keď to urobia, vnútroštátny orgán pre ochranu osobných údajov musí porovnať doložky, ktoré sú skutočne uvedené v príslušnej zmluve, so štandardnými zmluvnými doložkami a overiť, že nedošlo ku žiadnej zmene. Ak boli doložky použité bez zmeny, povolenie sa v zásade udeľuje automaticky. Ako je vysvetlené ďalej v texte (pozri oddiel 2.4), týmto nie sú dotknuté dodatočné opatrenia, ktoré možno vývozca údajov bude musieť prijať, najmä v nadväznosti na informácie prijaté od dovozcu údajov o zmenách právneho systému tretej krajiny, ktoré môžu dovozcovi údajov zabrániť v plnení jeho povinností vyplývajúcich zo zmluvy. Pri uplatňovaní štandardných zmluvných doložiek vývozcovia aj zmluvou viazaní dovozcovia údajov podliehajú dohľadu orgánov pre ochranu osobných údajov.

Pravidlá medzinárodných prenosov údajov stanovené v smernici 95/46/ES sa zakladajú na jasnom rozlišovaní medzi prenosmi do tretích krajín zabezpečujúcich primeranú úroveň ochrany (článok 25 smernice) na jednej strane a prenosmi do tretích krajín, pri ktorých nebola zistená schopnosť zabezpečiť primeranú úroveň ochrany (článok 26 smernice), na druhej strane.

Na prenos osobných údajov z EÚ do pobočiek so sídlom mimo EÚ v súlade s požiadavkami stanovenými v článku 26 ods. 2 smernice 95/46/ES môže nadnárodná spoločnosť prijať záväzné firemné pravidlá. Tento typ kódexu postupov poskytuje základ len pre presuny, ktoré sa uskutočňujú v rámci jednej skupiny podnikov.

Tieto dôvody predstavujú výnimku zo všeobecného zákazu prenosu osobných údajov subjektom so sídlom v tretej krajine bez primeranej úrovne ochrany. Vývozca údajov v skutočnosti nemusí zabezpečiť, aby dovozca údajov poskytol primeranú ochranu, a zvyčajne nebude musieť získať predchádzajúce povolenie na prenos od príslušných vnútroštátnych orgánov. Pracovná skupina zriadená podľa článku 29 sa však vzhľadom na výnimočný charakter týchto výnimiek domnieva, že sa musia vykladať úzko.

Pracovná skupina zriadená podľa článku 29 vydala viacero nezáväzných usmerňovacích dokumentov týkajúcich sa uplatňovania článku 26 ods. 1 smernice 95/46/ES. Patrí medzi ne niekoľko pravidiel týkajúcich sa „najlepších postupov“, ktoré boli navrhnuté s cieľom usmerniť presadzovanie týchto ustanovení zo strany orgánov pre ochranu osobných údajov. Pracovná skupina predovšetkým odporúča, aby sa prenosy osobných údajov, ktoré by sa mohli kvalifikovať ako opakované, hromadné alebo štrukturálne, vykonávali s dostatočnými zárukami a podľa možnosti v osobitnom právnom rámci, aký poskytujú napríklad štandardné zmluvné doložky alebo záväzné firemné pravidlá.

Komisia sa v tomto oznámení bude zaoberať len tými výnimkami, ktoré sa po zrušení rozhodnutia o bezpečnom prístave javia ako zvlášť dôležité pre prenosy v obchodnom kontexte.

2.3.1. Prenosy nevyhnutné na plnenie zmluvy alebo na vykonanie predbežných zmluvných (predzmluvných) opatrení prijatých v reakcii na žiadosť dotknutej osoby(článok 26 ods. 1 písm. b))

Táto výnimka by sa mohla uplatňovať napríklad v prípade hotelovej rezervácie, alebo keď sa informácie o platbe prenášajú do tretej krajiny s cieľom zrealizovať bankový prevod. Pracovná skupina zriadená podľa článku 29 sa však domnieva, že v každom z týchto prípadov musí existovať „úzke a skutočné spojenie“, resp. „priame a objektívne prepojenie“ medzi dotknutou osobou a účelmi zmluvy alebo predbežným zmluvným (predzmluvným) opatrením (test nevyhnutnosti). Výnimka sa pritom nedá uplatniť na prenosy doplňujúcich informácií, ktoré nie sú nevyhnutné na účely prenosu, alebo na prenosy na iný účel, než je plnenie zmluvy (napríklad následný marketing). Pokiaľ ide o predbežné zmluvné (predzmluvné) opatrenia, pracovná skupina zriadená podľa článku 29 dospela k názoru, že sa budú vzťahovať len na kontakty, ktoré iniciovala dotknutá osoba (napríklad žiadosť o informácie o konkrétnej službe), ale nie na tie kontakty, ktoré vyplývajú z marketingových prístupov uplatňovaných prevádzkovateľom údajov.

2.3.2. Prenosy nevyhnutné pre uzatvorenie alebo plnenie zmluvy uzatvorenej v záujme dotknutej osoby medzi prevádzkovateľom a treťou stranou (článok 26 ods. 1 písm. c))

Táto výnimka by sa mohla uplatňovať napríklad vtedy, keď je dotknutá osoba príjemcom medzinárodného bankového prevodu alebo keď cestovná kancelária postupuje údaje o rezervácii letu leteckej spoločnosti. Opäť sa uplatňuje test nevyhnutnosti, pričom v tomto prípade si vyžaduje úzke a skutočné prepojenie medzi záujmom dotknutej osoby a účelom zmluvy.

3.3.2. Prenosy nevyhnutné alebo právne požadované na stanovenie, výkon alebo obranu právnych nárokov (článok 26 ods. 1 písm. d))

Táto výnimka by sa mohla uplatňovať napríklad vtedy, keď spoločnosť potrebuje preniesť údaje na to, aby sa bránila proti právnemu nároku, alebo aby si takýto nárok uplatnila na súde alebo pred verejným orgánom. Tak ako predchádzajúce dve výnimky aj táto podlieha testu nevyhnutnosti: malo by existovať úzke prepojenie so sporom alebo súdnym konaním (vrátane správneho konania).

Podľa pracovnej skupiny zriadenej podľa článku 29 výnimku možno uplatniť len vtedy, ak sú dodržané všetky medzinárodné pravidlá o spolupráci v trestných alebo občianskoprávnych konaniach, ktorými sa riadi príslušný druh prenosu, a to najmä ako vyplývajú z ustanovení Haagskeho dohovoru z 18. marca 1970 (dohovor o „vykonávaní dôkazov“).

4.3.2. Jednoznačný predchádzajúci súhlas dotknutej osoby s navrhnutým prenosom (článok 26 ods. 1 písm. a))

Hoci súhlas možno použiť ako základ pre prenosy údajov, malo by sa vziať do úvahy niekoľko aspektov. Keďže je nutné udeliť súhlas s „navrhnutým“ prenosom, konkrétny prenos (alebo konkrétna kategória prenosov) si vyžaduje predchádzajúci súhlas. Ak je požadovaný online, pracovná skupina zriadená podľa článku 29 odporúča použiť políčka, ktoré treba zaškrtnúť (namiesto vopred zaškrtnutých políčok). Vzhľadom na to, že súhlas musí byť jednoznačný, akékoľvek pochybnosti o jeho skutočnom udelení by spôsobili, že výnimka by nebola uplatniteľná. To by znamenalo, že uvedená výnimka by sa nemohla uplatniť v mnohých situáciách, keď je súhlas vyjadrený nanajvýš nepriamo (napríklad keď bol jednotlivec na prenos upozornený a nenamietal). Naopak, výnimka by sa mohla použiť v prípadoch, keď je prenášajúci subjekt v priamom kontakte s dotknutou osobou, a tak možno ľahko poskytnúť potrebné informácie a získať jednoznačný súhlas.

Okrem toho podľa článku 2 písm. h) smernice 95/46/ES súhlas musí byť poskytnutý slobodne, musí byť konkrétny a informovaný. Podľa pracovnej skupiny zriadenej podľa článku 29 prvá požiadavka znamená, že akýkoľvek „nátlak“ môže mať za následok neplatnosť súhlasu. Je to mimoriadne dôležité v oblasti zamestnávania, keďže vzťah podriadenosti a prirodzenej závislosti zamestnancov bude za normálnych okolností spochybňovať spoliehanie sa na súhlas. Všeobecnejšie povedané, súhlas udelený dotknutou osobou, ktorá nemala možnosť skutočne si vybrať alebo bola postavená pred hotovú vec, nemožno považovať za platný.

Je veľmi dôležité, aby boli dotknuté osoby vopred riadne informované o tom, že tieto údaje môžu byť prenesené mimo EÚ, do ktorej tretej krajiny a za akých podmienok (účel prenosu, totožnosť príjemcu/príjemcov a podrobnosti o príjemcovi/príjemcoch atď.). Tieto informácie by sa mali zameriavať na konkrétne riziko, že ich údaje budú prenesené do tretej krajiny, v ktorej chýba primeraná ochrana. Navyše, ako uviedla pracovná skupina zriadená podľa článku 29, hoci odvolanie súhlasu dotknutej osoby nemá spätnú účinnosť, malo by v zásade zabrániť akémukoľvek ďalšiemu spracúvaniu osobných údajov. Vzhľadom na tieto obmedzenia sa pracovná skupina zriadená podľa článku 29 domnieva, že v prípadoch štrukturálnych prenosov je nepravdepodobné, aby súhlas poskytoval prevádzkovateľom údajov primeraný dlhodobý rámec.