Pojem prenosnosť a vzájomné pôsobenie so všeobecným nariadením o ochrane údajov

Nariadenie o voľnom toku iných ako osobných údajov sa vzťahuje len na „iné ako osobné údaje“, ako sa vymedzujú vo všeobecnom nariadení o ochrane údajov. Všeobecným nariadením o ochrane údajov sa upravuje spracúvanie osobných údajov, ktoré je základnou súčasťou rámca EÚ na ochranu údajov. V členských štátoch nadobudlo účinnosť 25. mája 2018. V nariadení sa stanovujú harmonizované pravidlá na ochranu osôb v EÚ/EHP v súvislosti so spracúvaním ich osobných údajov a s voľným pohybom týchto údajov. Vo všeobecnom nariadení o ochrane údajov: i) sa spresňuje, aké informácie predstavujú osobné údaje; ii) sa stanovujú právne dôvody ich spracúvania a iii) okrem iných ustanovení sa tu vymedzujú práva a povinnosti, ktoré sa majú dodržiavať pri spracúvaní týchto údajov. Pokiaľ ide o zásadu voľného pohybu osobných údajov, v článku 1 ods. 3 všeobecného nariadenia o ochrane údajov sa stanovuje, že „voľný pohyb osobných údajov v rámci Únie sa nesmie obmedziť ani zakázať z dôvodov súvisiacich s ochranou fyzických osôb pri spracúvaní osobných údajov“.

·Ako pravidlo sa v ňom členským štátom zakazuje ukladať požiadavky týkajúce sa toho, kde majú byť údaje lokalizované. Výnimky z tohto pravidla môžu byť odôvodnené len verejnou bezpečnosťou v súlade so zásadou proporcionality.

Nariadením o voľnom toku iných ako osobných údajov sa vytvára právna istota pre podniky, vďaka ktorej môžu spracúvať svoje údaje kdekoľvek v EÚ, zvyšuje sa dôvera v služby spracúvania údajov a bojuje sa proti praktikám odkázanosti na určitého dodávateľa. Tým sa zväčší výber pre zákazníkov, zlepší sa efektívnosť a podporí sa zavádzanie cloudových technológií, čo povedie k významným úsporám pre podniky v EÚ. Z jednej štúdie vyplýva, že prechodom na cloud môžu podniky v EÚ ušetriť 20 – 50 % svojich nákladov na IT.

Európska komisia sprístupňuje tento dokument len na informačné účely. Neobsahuje žiadny striktný výklad nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1807 zo 14. novembra 2018 o rámci pre voľný tok iných ako osobných údajov v Európskej únii a nepredstavuje rozhodnutie ani stanovisko Európskej komisie. Nie sú ním dotknuté žiadne rozhodnutia ani stanoviská Európskej komisie a ani žiadne právomoci Súdneho dvora Európskej únie na výklad príslušného nariadenia v súlade so zmluvami EÚ.

Napríklad, ak je vďaka správe o kontrole kvality na výrobnej linke možné spojiť údaje s konkrétnymi pracovníkmi v závode (napr. s tými, ktorí nastavujú výrobné parametre), údaje by sa mohli kvalifikovať ako osobné údaje a v tom prípade sa musí uplatniť všeobecné nariadenie o ochrane údajov. Rovnaké pravidlá platia vtedy, keď vývoj v oblasti technológií a analýza údajov umožňujú konvertovať anonymizované údaje na osobné údaje.

·Údaje, ktoré sú agregované tak, že jednotlivé udalosti (napríklad individuálne cesty danej osoby alebo jej cestovné návyky, ktoré by mohli predstavovať osobné údaje) už nie sú identifikovateľné, možno kvalifikovať ako anonymné údaje Anonymné údaje sa používajú napríklad v štatistikách alebo v správach o predaji (napríklad na posúdenie obľúbenosti produktu a jeho vlastností).

Posúdenie, či sú údaje riadne anonymizované, závisí od konkrétnych a jedinečných okolností každého jednotlivého prípadu. Na základe viacerých príkladov opätovnej identifikácie súborov údajov, ktoré boli údajne anonymizované, sa ukázalo, že takéto zhodnotenie môže byť náročné. Na stanovenie toho, či je jednotlivec identifikovateľný, sa treba pozerať na všetky prostriedky, pri ktorých existuje primeraná pravdepodobnosť, že ich prevádzkovateľ alebo iná osoba použije na identifikáciu jednotlivca, a to buď priamo alebo nepriamo.

·Po druhé, údaje, ktoré boli pôvodne osobnými údajmi, ale neskôr sa stali anonymnými. „Anonymizácia“ osobných údajov sa líši od pseudonymizácie (pozri vyššie), keďže náležite anonymizované údaje nemožno priradiť ku konkrétnej osobe, a to ani s použitím dodatočných údajov, a preto ide o iné ako osobné údaje.

V oblastiach, ako je výskum, je bežnou praxou pseudonymizovať osobné údaje s cieľom zamaskovať totožnosť jednotlivca. Pseudonymizácia je spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť ku konkrétnej osobe bez použitia dodatočných informácií. Tieto dodatočné informácie sa uchovávajú oddelene a sú zabezpečené organizačnými alebo technickými opatreniami (napr. šifrovaním),. Údaje, ktoré boli pseudonymizované, sa však stále považujú za informácie o identifikovateľnej osobe, ak ich možno priradiť k tejto osobe pomocou dodatočných informácií. Takéto údaje predstavujú osobné údaje v súlade so všeobecným nariadením o ochrane údajov.

Cieľom nariadenia o voľnom toku iných ako osobných údajov je zabezpečiť voľný tok iných ako osobných údajov. V celom texte nariadenia sa používa pojem „údaje“, ktorý by sa mal chápať ako „iné údaje ako osobné údaje vymedzené v článku 4 bode 1 nariadenia (EÚ) 2016/679 [všeobecné nariadenie o ochrane údajov]“ . Takéto údaje, ktoré sa v tomto dokumente označujú ako „iné ako osobné údaje“, sa vymedzujú v protiklade (a contrario) k osobným údajom, ako sa stanovujú vo všeobecnom nariadení o ochrane údajov.

·ak sú časť, ktorú tvoria iné ako osobné údaje, a časť, ktorú tvoria osobné údaje, „neoddeliteľne prepojené“, práva a povinnosti týkajúce sa ochrany údajov vyplývajúce zo všeobecného nariadenia o ochrane údajov sa plne uplatňujú na celý zmiešaný súbor údajov, a to aj v prípade, že osobné údaje predstavujú len malú časť tohto súboru údajov.

To znamená, že v prípade súboru údajov pozostávajúceho z osobných údajov aj iných ako osobných údajov:

·znalostná databáza spoločnosti zahŕňajúca IT problémy a ich riešenia založená na individuálnych hláseniach incidentov v oblasti IT;

V nariadení o voľnom toku iných ako osobných údajov sa stanovuje všeobecný zákaz požiadaviek na lokalizáciu údajov v prípade iných ako osobných údajov. Podľa článku 4 ods. 1 nariadenia sa zakazujú požiadavky na lokalizáciu údajov, pokiaľ nie sú odôvodnené verejnou bezpečnosťou v súlade so zásadou proporcionality.

Nepriame požiadavky na lokalizáciu údajov, ktoré by mohli brániť spracovaniu iných ako osobných údajov v ktoromkoľvek inom členskom štáte, môžu mať rôzne formy. Môžu zahŕňať požiadavky na používanie technologických zariadení, ktoré sú certifikované alebo schválené v konkrétnom členskom štáte, alebo iné požiadavky, ktoré majú za následok zložitejšie spracúvanie údajov mimo konkrétnej geografickej oblasti alebo územia v rámci Európskej únie,.

Vymedzenie ilustruje, že opatrenia obmedzujúce voľný pohyb údajov v rámci EÚ môžu mať rôzne formy. Môžu byť zakotvené v právnych predpisoch, správnych predpisoch a ustanoveniach alebo dokonca môžu vyplývať zo všeobecných a konzistentných administratívnych postupov. Navyše zákaz požiadaviek na lokalizáciu údajov zahŕňa priame aj nepriame opatrenia, ktoré by obmedzovali voľný pohyb iných ako osobných údajov.

Požiadavky na lokalizáciu údajov sa vymedzujú ako „akákoľvek povinnosť, zákaz, podmienka, obmedzenie alebo iná požiadavka stanovená v zákonoch, iných právnych predpisoch alebo správnych opatreniach členského štátu alebo vyplývajúca zo všeobecných a konzistentných administratívnych postupov v členskom štáte a verejnoprávnych inštitúciách, a to aj v oblasti verejného obstarávania bez toho, aby bola dotknutá smernica 2014/24/EÚ, ktorá ukladá spracúvanie údajov na území konkrétneho členského štátu alebo obmedzuje spracúvanie údajov v ktoromkoľvek inom členskom štáte“.

V nariadení o voľnom toku iných ako osobných údajov sa stanovuje, že „požiadavky na lokalizáciu údajov sú zakázané okrem prípadov, keď sú odôvodnené dôvodmi verejnej bezpečnosti v súlade so zásadou proporcionality“.

Je teda nevyhnutné, aby jednotlivci a spoločnosti mali právnu istotu a dôveru v spracúvanie údajov. Toto je zásadné aj pre dátové hospodárstvo. Tento cieľ zabezpečujú obe nariadenia a obe sa zameriavajú na to, aby nedošlo k narušeniu voľného pohybu údajov.

Údaje týkajúce sa zdravia môžu byť súčasťou zmiešaného súboru údajov. Medzi príklady patria elektronické zdravotné záznamy, klinické skúšanie alebo súbory údajov získané rôznymi mobilnými aplikáciami v oblasti zdravia a duševnej pohody (napríklad aplikácie na meranie nášho zdravotného stavu, na pripomenutie užitia liekov alebo na sledovanie pokroku našej kondície). S technologickým vývojom je presné rozdelenie na osobné a iné ako osobné údaje v týchto súboroch údajov čoraz nejasnejšie. Ich spracúvanie preto musí byť v súlade so všeobecným nariadením o ochrane údajov, najmä (vzhľadom na to, že údaje týkajúce sa zdravia sú podľa tohto nariadenia osobitnou kategóriou údajov) s článkom 9, v ktorom sa stanovuje všeobecný zákaz spracúvania osobitných kategórií údajov a výnimky z tohto zákazu.

Pojem „neoddeliteľne prepojené“ sa ani v jednom z uvedených dvoch nariadení nevymedzuje. Z praktických dôvodov sa môže vzťahovať na situáciu, keď súbor údajov obsahuje osobné údaje, ako aj iné ako osobné údaje, pričom oddelenie týchto dvoch typov údajov by bolo buď nemožné, alebo by ho prevádzkovateľ považoval za ekonomicky neefektívne či technicky nerealizovateľné. Napríklad pri nákupe systému správy vzťahov s klientmi a systému vykazovania predaja by spoločnosť musela zdvojnásobiť svoje náklady na softvér kúpou samostatného softvéru pre systém správy vzťahov s klientmi (osobné údaje) a pre systém vykazovania predaja (agregované/iné ako osobné údaje) na základe údajov zo systému správy vzťahov s klientmi.

Spoločnosť pôsobiaca v rámci EÚ ponúka svoje služby prostredníctvom platformy. Podniky (klienti) nahrávajú na platformu svoje dokumenty, ktoré obsahujú zmiešané súbory údajov. Ako „prevádzkovateľ“ musí podnik nahrávajúci dokumenty zabezpečiť, aby bolo spracúvanie v súlade so všeobecným nariadením o ochrane údajov. Spracovaním súboru údajov v mene prevádzkovateľa musí spoločnosť, ktorá ponúka služby (ďalej len „spracovateľ“), uchovávať a spracúvať údaje v súlade so všeobecným nariadením o ochrane údajov, aby sa napríklad zabezpečilo, že je zaručená primeraná úroveň bezpečnosti údajov, a to aj pomocou šifrovania.

·Poskytovateľ cloudových služieb so sídlom v Japonsku ponúka svoje služby európskym zákazníkom. Spracovateľské kapacity poskytovateľa sa nachádzajú v Japonsku, kde sa uskutočňujú aj všetky spracovateľské činnosti. Ak sa všetky činnosti spracúvania vykonávajú mimo EÚ, nariadenie o voľnom toku iných ako osobných údajov sa v takom prípade neuplatňuje.

·Poskytovateľ cloudových služieb so sídlom v Spojených štátoch amerických poskytuje svoje služby spracúvania zákazníkom s pobytom v EÚ alebo usadeným v EÚ. Poskytovateľ cloudových služieb spravuje svoje činnosti prostredníctvom serverov nachádzajúcich sa na území EÚ, kde sa uchovávajú alebo inak spracúvajú údaje jeho európskych zákazníkov. Poskytovateľ cloudových služieb nemusí vlastniť infraštruktúru nachádzajúcu sa v EÚ, ale môže si napríklad prenajímať serverový priestor v EÚ. Na spracúvanie takýchto údajov sa vzťahuje nariadenie o voľnom toku iných ako osobných údajov.

a)sa poskytuje ako služba používateľom s pobytom alebo miestom usadenia v EÚ bez ohľadu na to, či poskytovateľ služieb je alebo nie je usadený v EÚ, alebo

Vo všeobecnom nariadení o ochrane údajov sa uznáva, že členské štáty môžu stanoviť podmienky vrátane obmedzení, pokiaľ ide o spracovanie genetických údajov, biometrických údajov alebo údajov týkajúcich sa zdravia. Ako sa však uvádza v odôvodnení 53, takéto vnútroštátne obmedzenia by nemali brániť voľnému toku osobných údajov v rámci EÚ, ak sa tieto podmienky vzťahujú na cezhraničné spracúvanie takýchto údajov. Takýto postup je v súlade s článkom 16 Zmluvy o fungovaní Európskej únie, v ktorom sa stanovuje právny základ pre prijatie pravidiel týkajúcich sa práva na ochranu osobných údajov a pravidiel týkajúcich sa voľného pohybu takýchto údajov.

Podľa vnútroštátneho práva sa vyžaduje, aby sa mzdové účty nachádzali v konkrétnom členskom štáte z dôvodov súvisiacich s regulačnou kontrolou, ktorú vykonáva napríklad vnútroštátny daňový orgán. Takéto vnútroštátne ustanovenie by nepatrilo do pôsobnosti článku 1 ods. 3 všeobecného nariadenia o ochrane údajov, pretože príslušné dôvody sú iné ako ochrana osobných údajov. Namiesto toho by sa táto požiadavka musela posudzovať na základe ustanovení o základných slobodách a povolených dôvodoch na odchýlenie sa od týchto slobôd uvedených v Zmluve o fungovaní Európskej únie.

·minimálne požiadavky na informácie s cieľom zabezpečiť, aby profesionálnym používateľom boli poskytované pred uzatvorením zmluvy dostatočne podrobné a jasné informácie, pokiaľ ide o procesy, technické požiadavky, časové rámce a poplatky, ktoré sa uplatňujú, ak sa profesionálny používateľ rozhodne pre iného poskytovateľa služieb alebo chce preniesť údaje späť do svojich vlastných IT systémov;

Pri tvorbe takýchto kódexov správania pri prenose údajov by sa malo zohľadniť viacero aspektov, a to najmä:

Podľa článku 6 nariadenia o voľnom toku iných ako osobných údajov Komisia s cieľom prispieť ku konkurencieschopnému dátovému hospodárstvu podporuje a uľahčuje tvorbu samoregulačných kódexov správania na úrovni EÚ (ďalej len „kódexy správania“). Poskytuje sa v ňom základ pre odvetvie na vytvorenie samoregulačných kódexov správania pri zmene poskytovateľa služieb a prenose údajov medzi rôznymi IT systémami.

Jedným z cieľov nariadenia o voľnom toku iných ako osobných údajov je vyhnúť sa praktikám odkázanosti na určitého dodávateľa. Tieto praktiky sa vyskytujú vtedy, keď používatelia nemôžu zmeniť poskytovateľa služieb, pretože ich údaje sú „uzamknuté“ v systéme poskytovateľa, napríklad z dôvodu špecifického formátu údajov alebo zmluvných podmienok, a nemôžu sa preniesť mimo IT systému predajcu. Prenos údajov bez prekážok je dôležitý pre to, aby používatelia mali možnosť slobodne si vybrať medzi poskytovateľmi služieb spracúvania údajov, čím sa zabezpečí účinná hospodárska súťaž na trhu.

V nariadení o voľnom toku iných ako osobných údajov sa však členské štáty nabádajú k tomu, aby zvážili hospodársku efektívnosť a iné výhody využívania externých poskytovateľov služieb,. Len čo vnútroštátne orgány začnú s „outsourcingom“ spracúvania údajov so zmluvnou odmenou pre súkromné subjekty a začne prebiehať spracúvanie v EÚ, na takéto spracúvanie údajov sa bude vzťahovať nariadenie o voľnom toku iných ako osobných údajov, čo znamená, že na všeobecné a administratívne postupy vnútroštátnych orgánov sa bude vzťahovať zásada voľného toku iných ako osobných údajov. Musia sa zdržať najmä zavádzania obmedzení lokalizácie údajov, napr. pri tendroch v rámci verejného obstarávania

Môžu existovať oprávnené záujmy, na základe ktorých by bolo možné zvoliť si tento druh „vlastného poskytovania“ služieb spracúvania údajov, ako je napríklad tzv. insourcing (využitie svojich vlastných zdrojov) alebo vzájomné dohody medzi orgánmi verejnej správy. Medzi typické príklady patrí používanie „vládneho cloudu“ alebo vláda, ktorá využíva centralizovanú IT agentúru na poskytovanie služieb spracúvania údajov pre verejné inštitúcie a orgány.

„Týmto nariadením nie sú dotknuté zákony, iné právne predpisy a správne opatrenia, ktoré sa týkajú vnútornej organizácie členských štátov a ktorými sa rozdeľujú medzi verejnými orgánmi a verejnoprávnymi inštitúciami vymedzenými v článku 2 ods. 1 bode 4 smernice 2014/24/EÚ, právomoci a povinnosti súvisiace so spracovaním údajov bez zmluvnej odmeny súkromných subjektov, ako aj zákony, iné právne predpisy a správne opatrenia členských štátov, ktorými sa zabezpečuje vykonávanie uvedených právomocí a povinností.“

Hoci sa nariadenie o voľnom toku iných ako osobných údajov neuplatňuje v prípade, že sa všetky činnosti spracúvania iných ako osobných údajov vykonávajú mimo EÚ, všeobecné nariadenie o ochrane údajov sa musí dodržiavať, ak sú súčasťou súboru údajov osobné údaje. V každom prípade sa musia dodržiavať najmä pravidlá prenosu osobných údajov do tretích krajín alebo do medzinárodných organizácií v súlade so všeobecným nariadením o ochrane údajov.

·Malý európsky startup z členského štátu A sa rozhodne rozšíriť svoje podnikanie otvorením prevádzkarne v členskom štáte B. S cieľom minimalizovať náklady sa tento startup rozhodne centralizovať ukladanie a spracúvanie údajov novej prevádzkarne na svojom serveri, ktorý sa nachádza v členskom štáte A. Členské štáty nesmú zakázať takéto snahy o centralizáciu IT, pokiaľ to nie je odôvodnené verejnou bezpečnosťou v súlade so zásadou proporcionality.

Na trhu s cloudovými službami začala Komisia uľahčovať prácu pracovných skupín zainteresovaných strán v oblasti cloud computingu na digitálnom jednotnom trhu, ktoré združujú odborníkov z oblasti cloud computingu a profesionálnych používateľov vrátane malých a stredných podnikov. V tejto fáze jedna podskupina vytvára samoregulačné kódexy správania pri prenose údajov a zmene poskytovateľa cloudových služieb (pracovná skupina SWIPO) a ďalšia podskupina pracuje na vývoji certifikácie bezpečnosti cloudových služieb (pracovná skupina CSPCERT)

Pracovná skupina SWIPO vytvára kódexy správania vzťahujúce sa na celé spektrum cloudových služieb: infraštruktúra ako služba (Infrastructure as a Service – IaaS), platforma ako služba (Platform as a Service – PaaS) a softvér ako služba (Software as a Service – SaaS).

Komisia očakáva, že rôzne kódexy správania budú doplnené vzorovými zmluvnými doložkami. Tie umožnia dostatočnú technickú a právnu špecifickosť pri praktickom vykonávaní a uplatňovaní kódexov správania, ktoré budú mať osobitný význam pre malé a stredné podniky. Vypracovanie vzorových zmluvných doložiek je naplánované po vypracovaní kódexov správania (ktoré by mali byť hotové do 29. novembra 2019).

V súlade s článkom 8 nariadenia o voľnom toku iných ako osobných údajov Komisia zhodnotí vykonávanie nariadenia do 29. novembra 2022. To umožní posúdiť: i) vplyv na voľný tok údajov v Európe; ii) uplatňovanie nariadenia, najmä na zmiešané súbory údajov; iii) mieru, do akej členské štáty účinne zrušili existujúce neodôvodnené obmedzenia lokalizácie údajov; a iv) trhovú účinnosť kódexov správania v oblasti prenosu údajov a zmeny poskytovateľa cloudových služieb.

Pojem prenosnosť a vzájomné pôsobenie so všeobecným nariadením o ochrane údajov

Obe nariadenia sa týkajú prenosnosti údajov a ich cieľom je uľahčiť prenos údajov z jedného IT prostredia do druhého, t. j. buď do systémov iného poskytovateľa, alebo do systémov na určenom mieste. Tým sa zabraňuje odkázanosti na určitého dodávateľa a posilňuje sa hospodárska súťaž medzi poskytovateľmi služieb. Nariadenia sa však líšia svojím prístupom k prenosnosti, pokiaľ ide o vzťah medzi cieľovými záujmovými skupinami a právnou povahou ustanovení.

Právo na prenosnosť osobných údajov podľa článku 20 všeobecného nariadenia o ochrane údajov sa zameriava na vzťah medzi dotknutou osobou a prevádzkovateľom. Týka sa práva dotknutej osoby získať osobné údaje, ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte, a bez prekážok ich preniesť inému prevádzkovateľovi alebo do vlastných skladovacích kapacít od prevádzkovateľa, ktorému boli osobné údaje poskytnuté. Dotknuté osoby sú v tomto vzťahu zvyčajne spotrebiteľmi rôznych online služieb, ktoré si želajú zmeniť poskytovateľa služieb.

V článku 6 nariadenia o voľnom toku iných ako osobných údajov sa nestanovuje právo profesionálnych používateľov na prenos údajov, ale uvádza sa v ňom samoregulačný prístup s dobrovoľnými kódexmi správania pre odvetvie. Zároveň sa zameriava na situáciu, keď profesionálny používateľ zabezpečí externé spracovanie svojich údajov treťou stranou, ktorá ponúka službu spracúvania údajov.súlade s článkom 3 ods. 8 nariadenia o voľnom toku iných ako osobných údajov „profesionálny používateľ“ môže byť „fyzická alebo právnická osoba vrátane verejného orgánu a verejnoprávnej inštitúcie, ktorá využíva služby spracúvania údajov alebo o ne žiada na účely súvisiace so svojou obchodnou, podnikateľskou, remeselnou alebo profesijnou činnosťou alebo so svojou úlohou“.

V praxi sa prenosnosť podľa článku 6 nariadenia o voľnom toku iných ako osobných údajov týka interakcií medzi podnikmi medzi profesionálnym používateľom (ktorý sa môže v prípadoch, ktoré zahŕňajú spracúvanie osobných údajov, kvalifikovať ako „prevádzkovateľ“ v súlade so všeobecným nariadením o ochrane údajov) a poskytovateľom služieb (ktorý sa podobne v niektorých prípadoch môže kvalifikovať ako „spracovateľ“).

Napriek rozdielom sa môžu vyskytnúť situácie, keď by sa na prenos údajov vzťahovalo nariadenie o voľnom toku iných ako osobných údajov aj všeobecné nariadenie o ochrane údajov, a to v súvislosti so zmiešanými súbormi údajov.

Príklad: Podnik využívajúci cloudové služby sa rozhodne zmeniť svojho poskytovateľa cloudových služieb a preniesť všetky údaje novému poskytovateľovi. Zmena poskytovateľa služieb a prenos údajov sú zahrnuté v zmluve medzi zákazníkom a poskytovateľom cloudových služieb. Ak starý poskytovateľ cloudových služieb dodržiava kódex správania vypracovaný podľa nariadenia o voľnom toku iných ako osobných údajov, prenos údajov sa musí uskutočniť v súlade s požiadavkami, ktoré sú v ňom stanovené. Ak sú súčasťou prenášaných súborov údajov aj osobné údaje, prenos musí byť v súlade so všetkými príslušnými ustanoveniami všeobecného nariadenia o ochrane údajov, pričom sa musí zabezpečiť najmä to, aby nový poskytovateľ cloudových služieb spĺňal platné požiadavky, napríklad bezpečnosť. Príklad: V prípade, že sa banka rozhodne zmeniť svojho poskytovateľa správy vzťahov s klientmi, je možné, že niektoré (osobné a iné ako osobné) údaje musia prejsť od starého poskytovateľa novému. Tieto údaje budú následne podliehať rôznym regulačným požiadavkám, pričom niektoré z nich budú vyplývať zo všeobecného nariadenia o ochrane údajov a iné zase z nariadenia o voľnom toku iných ako osobných údajov.

4.2 Kódexy správania a systémy certifikácie týkajúce sa ochrany osobných údajov

Kódexy správania a systémy certifikácie sa môžu použiť na dokázanie plnenia povinností vyplývajúcich zo všeobecného nariadenia o ochrane údajov (pozri článok 24 ods. 3 a článok 28 ods. 5).

V súlade s článkom 40 ods. 1 a článkom 42 ods. 1 všeobecného nariadenia o ochrane údajov by členské štáty, orgány dohľadu, Európsky výbor pre ochranu údajov a Komisia mali nabádať odvetvie, aby vytvorilo kódexy správania a zaviedlo certifikačné mechanizmy na ochranu údajov.

Združenia alebo iné orgány zastupujúce konkrétnu kategóriu prevádzkovateľov alebo spracovateľov môžu vypracovať kódex správania pre konkrétny sektor. Návrh kódexu je potrebné predložiť na schválenie príslušnému orgánu dohľadu. Ak sa návrh kódexu správania týka činností spracúvania vo viacerých členských štátoch, orgán dohľadu ho musí pred schválením predložiť Európskemu výboru pre ochranu údajov. Výbor potom vydá svoje stanovisko k tomu, či je návrh kódexu v súlade so všeobecným nariadením o ochrane údajov.