Na základe reformy je Komisia takisto oprávnená rozvíjať mechanizmy medzinárodnej spolupráce na zjednodušenie presadzovania pravidiel ochrany údajov, a to aj prostredníctvom opatrení vzájomnej pomoci. Tým sa uznáva príspevok, ktorý by mohli priniesť užšie formy spolupráce medzi dozornými orgánmi na medzinárodnej úrovni k zaisteniu účinnejšej ochrany práv fyzických osôb, ako aj väčšej právnej istoty pre podniky.

Bez rozhodnutia o primeranosti sa môžu medzinárodné prenosy uskutočňovať na základe niekoľkých alternatívnych nástrojov prenosu, ktoré poskytujú primerané záruky ochrany údajov. Reformou sa formalizujú a rozširujú možnosti použitia existujúcich nástrojov, ako napríklad štandardných zmluvných doložiek a záväzných vnútropodnikových pravidiel . Napríklad štandardné zmluvné doložky môžu byť teraz zahrnuté do zmluvy medzi sprostredkovateľmi so sídlom v EÚ a sprostredkovateľmi v krajine mimo EÚ (takzvané vzorové doložky medzi sprostredkovateľmi). Pokiaľ ide o záväzné vnútropodnikové pravidlá, ktoré boli dosiaľ obmedzené na dohody medzi subjektmi z rovnakej skupiny podnikov, teraz ich môže používať viacero podnikov vykonávajúcich spoločnú hospodársku činnosť, ktoré však nemusia nevyhnutne byť súčasťou rovnakej skupiny podnikov. Reformou sa takisto znižuje byrokracia, a to zrušením všeobecných požiadaviek na predchádzajúce oznámenie a povoľovaním prenosov do tretej krajiny na základe štandardných zmluvných doložiek alebo záväzných vnútropodnikových pravidiel orgánmi pre ochranu osobných údajov. Ide o dôležité zjednodušenie systému EÚ týkajúceho sa medzinárodných prenosov údajov, keďže existencia týchto požiadaviek, ktoré sa v súčasnosti v jednotlivých členských štátoch líšia, je často vnímaná ako závažná prekážka tokov údajov, najmä pre menšie podniky.

Podľa práva EÚ je jedným spôsobom prenosu osobných údajov do zahraničia prenos na základe rozhodnutia Komisie o primeranosti, v ktorom sa stanovuje, že krajina mimo EÚ zabezpečuje úroveň ochrany údajov, ktorá je „v zásade rovnocenná“ úrovni v EÚ. Účinkom takéhoto rozhodnutia je umožniť voľný tok osobných údajov do danej tretej krajiny bez potreby toho, aby vývozca údajov musel poskytnúť ďalšie záruky alebo získať akékoľvek povolenie. Zainteresované krajiny alebo medzinárodné organizácie majú k dispozícii presný a podrobný zoznam prvkov, ktoré musí Komisia zohľadniť pri posudzovaní primeranosti ochrany zahraničného systému. Komisia môže teraz prijímať rozhodnutia o primeranosti aj pre oblasť presadzovania práva. Okrem toho, na základe praxe podľa smernice z roku 1995 sa reformou výslovne umožňuje, aby sa určenie primeranosti uskutočnilo so zreteľom na konkrétne územie tretej krajiny alebo na osobitný sektor alebo odvetvie v rámci tretej krajiny (takzvaná čiastočná primeranosť).

Podobne niekoľko krajín a regionálnych organizácií mimo EÚ, od našich bezprostredných susedov až po Áziu, Latinskú Ameriku a Afriku, prijíma nové alebo aktualizuje existujúce právne predpisy o ochrane údajov s cieľom využiť príležitosti, ktoré ponúka svetová digitálna ekonomika, a reagovať na rastúci dopyt po silnejšej bezpečnosti údajov a ochrane súkromia. Aj keď medzi krajinami existujú rozdiely v prístupe a úrovni legislatívneho vývoja, existujú náznaky, že dochádza k zbližovaniu smerom k vyššej úrovni, teda smerom k dôležitým zásadám ochrany údajov, a to najmä v určitých regiónoch sveta. Väčšia kompatibilita medzi rôznymi systémami ochrany údajov by zjednodušila medzinárodné toky osobných údajov, či už na komerčné účely alebo na účely spolupráce medzi orgánmi verejnej moci (napr. presadzovanie práva). EÚ by sa mala chopiť tejto príležitosti podporiť svoje hodnoty v oblasti ochrany údajov a zjednodušiť toky údajov podnecovaním zbližovania právnych systémov. Ako bolo oznámené v pracovnom programe Komisie, v tomto oznámení sa preto stanovuje strategický rámec Komisie pre tzv. rozhodnutia o primeranosti, ako aj iné nástroje na prenosy údajov a medzinárodné nástroje ochrany údajov.

V digitálnom veku sa preto podporovanie vysokých štandardov ochrany údajov musí nevyhnutne spájať so zjednodušovaním medzinárodného obchodu. Zatiaľ čo o ochrane osobných údajov sa v obchodných dohodách nedá vyjednávať, režim EÚ pre medzinárodné prenosy údajov, ako už bol opísaný, poskytuje široký a rozmanitý súbor nástrojov na umožnenie tokov údajov v rôznych situáciách, pri zabezpečení vysokej úrovne ochrany.

3.1 Rozhodnutia o primeranosti

V posledných rokoch čoraz viac krajín po celom svete prijalo nové právne predpisy v oblasti ochrany údajov a súkromia alebo sú v procese ich prijímania. V roku 2015 bolo krajín, ktoré prijali právne predpisy o ochrane údajov, 109, pričom ich počet od polovice roka 2011, keď ich bolo 76, významne vzrástol. Okrem toho približne 35 krajín v súčasnosti pripravuje zákony o ochrane údajov. Tieto nové alebo modernizované zákony sú zvyčajne založené na základnom súbore spoločných zásad, ktoré okrem iného zahŕňajú uznanie ochrany údajov za základné právo, prijímanie zastrešujúcich právnych predpisov v tejto oblasti, existenciu vymožiteľných individuálnych práv na súkromie a zriadenie nezávislého dozorného orgánu. Vznikajú tak nové príležitosti, najmä prostredníctvom záverov o primeranosti, na ďalšie zjednodušenie tokov údajov pri súčasnom garantovaní naďalej vysokej úrovne ochrany osobných údajov.

Podľa práva EÚ je pre záver o primeranosti potrebné, aby existovali pravidlá ochrany údajov, ktoré sú porovnateľné s pravidlami v EÚ. Týka sa to vecnej ochrany vzťahujúcej sa na osobné údaje, ako aj príslušných mechanizmov dohľadu a prostriedkov nápravy, ktoré sú v tretej krajine dostupné.

Na základe svojho rámca pre závery o primeranosti sa Komisia domnieva, že pri posudzovaní toho, s ktorými tretími krajinami by sa mal rozvíjať dialóg o primeranosti, by sa mali zohľadniť nasledujúce kritériá:

i) rozsah (skutočných alebo potenciálnych) obchodných vzťahov EÚ s danou treťou krajinou vrátane existencie dohody o voľnom obchode alebo existujúcich rokovaní;

ii) rozsah tokov osobných údajov z EÚ so zohľadnením geografických a/alebo kultúrnych väzieb;

iii) priekopnícka úloha, ktorú tretia krajina plní v oblasti ochrany súkromia a údajov, ktorá by mohla slúžiť ako vzor pre iné krajiny v jej regióne a

iv) celkový politický vzťah s danou treťou krajinou, najmä so zreteľom na propagovanie spoločných hodnôt a spoločných cieľov na medzinárodnej úrovni.

Na základe týchto úvah bude Komisia aktívne nadväzovať vzťahy s kľúčovými obchodnými partnermi vo východnej a juhovýchodnej Ázii, počnúc Japonskom a Kóreou v roku 2017 a, v závislosti od pokroku pri modernizácii jej zákonov na ochranu údajov, Indiou, ale aj s krajinami v Latinskej Amerike, najmä Mercosurom, a európskym susedstvom, ktoré vyjadrilo záujem získať záver o primeranosti. Okrem toho Komisia víta vyjadrenia záujmu iných tretích krajín, ktoré sú ochotné zapojiť sa do týchto záležitostí. Diskusie o možnom závere o primeranosti sú obojstranným dialógom, ktorý zahŕňa poskytnutie akýchkoľvek objasnení pravidiel ochrany údajov EÚ, ktoré sú potrebné, a skúmanie spôsobov na väčšie priblíženie zákonov a praxe tretích krajín.

V určitých situáciách môže byť namiesto prijatia prístupu pre celú krajinu vhodnejšie využiť iné možnosti, napríklad čiastočnú alebo odvetvovú primeranosť (napríklad pre finančné služby alebo sektory IT), ktoré sa môžu týkať geografických oblastí alebo odvetví, ktoré tvoria dôležitú súčasť hospodárstva konkrétnej tretej krajiny. Bude to treba zvážiť vzhľadom na prvky, ako je napríklad povaha a stav rozvoja režimu ochrany súkromia (samostatný zákon, niekoľko zákonov alebo odvetvové zákony atď.), ústavná štruktúra tretej krajiny alebo to, či sú určité sektory hospodárstva osobitne vystavené toku údajov z EÚ.

Prijatie rozhodnutí o primeranosti zahŕňa vytvorenie osobitného dialógu a úzke formy spolupráce s príslušnou treťou krajinou. Rozhodnutia o primeranosti sú tzv. živé dokumenty, ktoré Komisia musí podrobne monitorovať a v prípade vývoja, ktorý ovplyvní úroveň ochrany zabezpečovanú príslušnou treťou krajinou, prispôsobiť. Na tento účely sa aspoň každé štyri roky budú konať pravidelné preskúmania s cieľom riešiť vznikajúce problémy a vymieňať si najlepšie postupy medzi blízkymi partnermi. Tento dynamický prístup sa vzťahuje aj na už existujúce rozhodnutia o primeranosti prijaté podľa smernice z roku 1995, ktoré bude potrebné preskúmať pre prípad, že už nespĺňajú platné normy. Príslušné tretie krajiny sa preto vyzývajú, aby informovali Komisiu o každej relevantnej zmene v práve a praxi, ku ktorej došlo od prijatia rozhodnutia o primeranosti, ktoré sa ich týka. Je to veľmi dôležité pre zaistenie kontinuity týchto rozhodnutí podľa nových pravidiel reformy.

Pravidlá EÚ týkajúce sa ochrany údajov nemôžu byť predmetom rokovaní o dohode o voľnom obchode. Aj sa keď dialógy o ochrane údajov a rokovania o obchode s tretími krajinami musia viesť po samostatných líniách, rozhodnutie o primeranosti vrátane čiastočného alebo odvetvového rozhodnutia, je najlepším spôsobom na budovanie vzájomnej dôvery, pretože zaručuje nerušený tok osobných údajov a zjednodušuje tak obchodné výmeny zahŕňajúce prenosy osobných údajov do príslušnej tretej krajiny. Tieto rozhodnutia môžu preto uľahčiť obchodné rokovania alebo môžu dopĺňať existujúce obchodné dohody, vďaka čomu sa zväčší ich prínos. Záver o primeranosti napomáha zbližovaniu úrovne ochrany v EÚ a tretej krajine, a tým zároveň znižuje riziko toho, že daná krajina použije dôvody ochrany osobných údajov na uloženie neodôvodnených požiadaviek na lokalizáciu alebo uchovávanie údajov. Okrem toho, ako bolo uvedené v oznámení Obchod pre všetkých, Komisia sa bude snažiť používať obchodné dohody EÚ na určenie pravidiel pre elektronický obchod a cezhraničné toky údajov a bojovať proti novým formám digitálneho protekcionizmu, a to v úplnom súlade s pravidlami EÚ týkajúcimi sa ochrany údajov a bez toho, aby boli tieto pravidlá dotknuté.

Komisia: stanoví prioritu diskusií o možných rozhodnutiach o primeranosti s kľúčovými obchodnými partnermi vo východnej a juhovýchodnej Ázii počnúc Japonskom a Kóreou v roku 2017, ale zváži aj iných strategických partnerov, ako je India, a krajiny v Latinskej Amerike, najmä Mercosur, a v európskom susedstve. bude dôsledne monitorovať fungovanie existujúcich rozhodnutí o primeranosti. Pôjde najmä o monitorovanie vykonávania rámca pre štít na ochranu osobných údajov medzi EÚ a USA, predovšetkým prostredníctvom mechanizmu každoročného spoločného preskúmania. bude pracovať s krajinami, ktoré sa zaujímajú o prijatie silných zákonov na ochranu údajov, pomáhať im a podporovať ich zbližovanie so zásadami EÚ týkajúcimi sa ochrany údajov.

3.2 Alternatívne mechanizmy prenosu údajov

V pravidlách EÚ týkajúcich sa ochrany údajov sa vždy uznávalo, že neexistuje jeden univerzálny prístup k medzinárodným prenosom údajov. Ešte viac to platí v prípade pravidiel vyplývajúcich z reformy. Zatiaľ čo závery o primeranosti budú k dispozícii len pre tretie krajiny, ktoré spĺňajú príslušné kritériá, vo všeobecnom nariadení o ochrane údajov sa stanovuje rozmanitý súbor mechanizmov, ktoré sú dostatočne flexibilné na to, aby sa mohli prispôsobiť celej škále rôznych situácií prenosu. Môžu byť vyvinuté nástroje na zohľadnenie osobitných potrieb alebo osobitných podmienok konkrétnych odvetví, obchodných modelov a/alebo prevádzkovateľov. Tie by mohli mať napríklad formu štandardných zmluvných doložiek zameraných na požiadavky konkrétneho sektora, ako sú napríklad osobitné záruky pri spracúvaní citlivých údajov v sektore zdravotníctva, alebo osobitného druhu spracovateľských činností prevládajúceho v určitých tretích krajinách, ako sú napríklad outsourcingové služby, ktoré sa vykonávajú pre európske spoločnosti. Mohlo by sa to uskutočniť buď prijatím nových súborov štandardných doložiek, alebo doplnením existujúcich doložiek dodatočnými zárukami, ktoré môžu siahať od technických riešení po organizačné riešenia súvisiace s obchodným modelom. Niektoré osobitné odvetvové potreby sa dajú uspokojiť aj prostredníctvom záväzných vnútropodnikových pravidiel vzťahujúcich sa na skupiny spoločností spoločne vykonávajúce hospodársku činnosť, napríklad v odvetví cestovného ruchu. Pre medzinárodné prenosy medzi sprostredkovateľmi by mohol byť prínosom rozvoj štandardných zmluvných doložiek medzi sprostredkovateľmi a/alebo záväzné vnútropodnikové pravidlá pre sprostredkovateľov. Na záver možno uviesť, že nové mechanizmy prenosu, ako sú napríklad schválené kódexy správania a certifikácie akreditovanou treťou stranou poskytujú odvetviu možnosť zaviesť pre medzinárodné prenosy prispôsobené riešenia a zároveň využívať konkurenčné výhody spojené napríklad s osvedčením alebo značkou o zachovaní dôverného charakteru informácií. Niektoré z týchto nástrojov môžu byť vyvinuté ako mechanizmy osobitne určené pre prenosy alebo ako súčasť všeobecnejších nástrojov na preukázanie dodržania všetkých ustanovení všeobecného nariadenia o ochrane údajov, ako napríklad v prípade schváleného kódexu správania.

Komisia bude spolupracovať s priemyslom, občianskou spoločnosťou a orgánmi pre ochranu osobných údajov s cieľom naplno využiť potenciál súboru nástrojov pre medzinárodné prenosy podľa všeobecného nariadenia o ochrane údajov. Dialóg so zainteresovanými stranami prebiehajúci v kontexte vykonávania reformy pomôže určiť prioritné oblasti činnosti v tomto smere. Môže to zahŕňať dokončenie práce, ktorá sa už začala, napríklad na vypracovaní štandardných zmluvných doložiek medzi sprostredkovateľmi v spolupráci s pracovnou skupinou zriadenou podľa článku 29 (ktorú v roku 2018 nahradí Európsky výbor pre ochranu údajov). Môže to zahŕňať aj vypracovanie nových prvkov infraštruktúry EÚ na zaistenie dodržiavania predpisov, napríklad prostredníctvom vymedzovania požiadaviek a technických noriem Komisiou na účely zriadenia a fungovania certifikačných mechanizmov vrátane aspektov týkajúcich sa medzinárodných prenosov. Niektoré z týchto opatrení môžu byť doplnené činnosťou na medzinárodnej úrovni, a to najmä s organizáciami, ktoré vyvinuli podobné mechanizmy prenosu. Mohli by sa napríklad preskúmať spôsoby presadzovania zbližovania medzi záväznými vnútropodnikovými pravidlami podľa práva EÚ a pravidlami cezhraničnej ochrany osobných údajov vyvinutými Ázijsko-tichomorskou hospodárskou spoluprácou (APEC), pokiaľ ide o platné normy, ako aj postup uplatňovania podľa oboch systémov. To by malo prispieť k presadzovaniu vysokých štandardov ochrany údajov v celosvetovom meradle a zároveň odstrániť rozdiely v prístupoch k ochrane súkromia a údajov, čo by hospodárskym subjektom pomohlo pohybovať sa medzi rôznymi systémami a navrhovať zásady, ktoré sú s nimi v súlade.