EURÓPSKA KOMISIA V Bruseli24. 6. 2020 SWD(2020) 115 final PRACOVNÝ DOKUMENT ÚTVAROV KOMISIE […] Sprievodný dokument OZNÁMENIE KOMISIE EURÓPSKEMU PARLAMENTU A RADE Ochrana údajov ako pilier posilnenia postavenia občanov a prístupu EÚ k digitálnej transformácii – dva roky uplatňovania všeobecného nariadenia o ochrane údajov













{COM(2020) 264 final}



Obsah 1 Súvislosti 2 Presadzovanie všeobecného nariadenia o ochrane údajov a fungovanie mechanizmov spolupráce a konzistentnosti 2.1 Využívanie posilnených právomocí orgánmi pre ochranu osobných údajov Osobitné otázky pre verejný sektor Spolupráca s inými regulačnými orgánmi 2.2 Mechanizmy spolupráce a konzistentnosti Jednotné kontaktné miesto Vzájomná pomoc Mechanizmus konzistentnosti Výzvy, ktoré by sa mali riešiť 2.3 Rady a usmernenia Zvyšovanie informovanosti a poradenstvo zabezpečované orgánmi pre ochranu osobných údajov Usmernenia Európskeho výboru pre ochranu údajov 2.4 Zdroje orgánov pre ochranu osobných údajov 3 Harmonizované pravidlá, no do istej miery pretrvávajúca fragmentácia a rozdielne prístupy 3.1 Vykonávanie všeobecného nariadenia o ochrane údajov členskými štátmi Hlavné otázky týkajúce sa vykonávania na vnútroštátnej úrovni

Zosúladenie práva na ochranu osobných údajov so slobodou prejavu a s právom na informácie. 3.2 Doložky pre voliteľné špecifikácie a ich obmedzenia Fragmentácia spojená s používaním doložiek pre voliteľnú špecifikáciu 4 Posilnenie postavenia jednotlivcov pri kontrole ich údajov 5 Príležitosti a výzvy pre organizácie, najmä pre malé a stredné podniky Súbor nástrojov pre podniky 6 Uplatňovanie všeobecného nariadenia o ochrane údajov na nové technológie 7 Medzinárodné prenosy a globálna spolupráca 7.1 Súkromie: globálna otázka 7.2 Nástroje všeobecného nariadenia o ochrane údajov týkajúce sa prenosu Rozhodnutia o primeranosti Primerané záruky Výnimky Rozhodnutia zahraničných súdov alebo orgánov: nie sú základom pre prenosy 7.3 Medzinárodná spolupráca v oblasti ochrany údajov Dvojstranný rozmer Mnohostranný rozmer Príloha I: Doložky pre voliteľné špecifikácie podľa vnútroštátnych právnych predpisov Príloha II: Prehľad zdrojov orgánov pre ochranu osobných údajov





1Súvislosti Všeobecné nariadenie o ochrane údajov (GDPR) je výsledkom ôsmich rokov príprav, návrhov a medziinštitucionálnych rokovaní a začalo sa uplatňovať 25. mája 2018 po dvojročnom prechodnom období (máj 2016 – máj 2018). V článku 97 všeobecného nariadenia o ochrane údajov sa Komisii ukladá povinnosť predkladať správu o hodnotení a preskúmaní tohto nariadenia, s prvou správou po dvoch rokoch uplatňovania a potom každé ďalšie štyri roky. Hodnotenie je zároveň súčasťou mnohostranného prístupu, ktorý Komisia uplatňovala už pred tým, ako sa všeobecné nariadenie o ochrane údajov začalo uplatňovať, a odvtedy v ňom aktívne pokračuje. V rámci tohto prístupu sa Komisia zapojila do prebiehajúcich dvojstranných dialógov s členskými štátmi o súlade vnútroštátnych právnych predpisov so všeobecným nariadením o ochrane údajov a aktívne prispievala svojimi skúsenosťami a odbornými znalosťami k práci Európskeho výboru pre ochranu údajov (ďalej len „výbor“), podporovala orgány pre ochranu osobných údajov a v súvislosti s praktickým uplatňovaním nariadenia udržiavala úzke kontakty so širokou škálou zainteresovaných strán. Hodnotenie vychádza z prieskumu, ktorý Komisia vykonala v prvom roku uplatňovania všeobecného nariadenia o ochrane údajov, zhrnutého v oznámení z júla 2019. Ďalej nadväzuje na oznámenie o uplatňovaní všeobecného nariadenia o ochrane údajov vydané v januári 2018. Komisia takisto prijala Usmernenie Komisie o uplatňovaní práva Únie v oblasti ochrany údajov v kontexte volieb, ktoré zverejnila v septembri 2018, a Usmernenie týkajúce sa aplikácií podporujúcich boj proti pandémii COVID-19 v súvislosti s ochranou údajov vydané v apríli 2020. Hoci sa toto hodnotenie zameriava na dve otázky zdôraznené v článku 97 ods. 2 všeobecného nariadenia o ochrane údajov, konkrétne na medzinárodné prenosy a mechanizmy spolupráce a konzistentnosti, má širší prístup s cieľom riešiť otázky, na ktoré poukázali rôzni aktéri počas posledných dvoch rokov. Pri príprave hodnotenia Komisia zohľadnila príspevky: ·Rady, ·Európskeho parlamentu (Výboru pre občianske slobody, spravodlivosť a vnútorné veci), ·výboru a jednotlivých orgánov pre ochranu osobných údajov na základe dotazníka zaslaného Komisiou, ·členov expertnej skupiny viacerých zainteresovaných strán na podporu uplatňovania všeobecného nariadenia o ochrane údajov, ktorí poskytli spätnú väzbu takisto na základe dotazníka zaslaného Komisiou, ·zainteresovaných strán, ktoré poskytli ad hoc príspevky. 2Presadzovanie všeobecného nariadenia o ochrane údajov a fungovanie mechanizmov spolupráce a konzistentnosti Vo všeobecnom nariadení o ochrane údajov sa vytvoril inovatívny systém riadenia a základ skutočnej európskej kultúry ochrany údajov s cieľom poskytnúť nielen harmonizovaný výklad, ale aj harmonizované uplatňovanie a presadzovanie pravidiel ochrany údajov. Jej piliermi sú nezávislé vnútroštátne orgány pre ochranu osobných údajov a novovytvorený výbor. Keďže orgány pre ochranu osobných údajov sú kľúčové pre fungovanie celého systému ochrany údajov v EÚ, Komisia pozorne monitoruje ich skutočnú nezávislosť vrátane primeranosti finančných, ľudských a technických zdrojov. Vzhľadom na obmedzené skúsenosti je ešte priskoro na úplné posúdenie fungovania mechanizmov spolupráce a konzistentnosti. Orgány pre ochranu osobných údajov navyše ešte nevyužili celý súbor nástrojov na ďalšie posilnenie svojej spolupráce stanovených vo všeobecnom nariadení o ochrane údajov. 2.1Využívanie posilnených právomocí orgánmi pre ochranu osobných údajov Všeobecným nariadením o ochrane údajov sa zriadili nezávislé orgány pre ochranu osobných údajov a poskytli sa im harmonizované a posilnené právomoci presadzovania. Odkedy sa uplatňuje všeobecné nariadenie o ochrane údajov, tieto orgány využívajú širokú škálu nápravných právomocí stanovených v nariadení, ako sú správne pokuty (22 orgánov EÚ/EHP), varovania a napomenutia (23), príkazy na vyhovenie žiadostiam dotknutej osoby (26), príkazy na uvedenie spracovateľských operácií do súladu so všeobecným nariadením o ochrane osobných údajov (27) a príkazy na opravu, vymazanie alebo obmedzenie spracovania (17). Približne polovica orgánov pre ochranu osobných údajov (13) uložila dočasné alebo konečné obmedzenia spracovania vrátane zákazov. To dokazuje vedomé používanie všetkých nápravných opatrení stanovených vo všeobecnom nariadení o ochrane údajov; orgány pre ochranu osobných údajov sa nevyhýbali uloženiu správnych pokút popri iných nápravných opatreniach alebo namiesto nich, v závislosti od okolností jednotlivých prípadov. Správne pokuty: Od 25. mája 2018 do 30. novembra 2019 uložilo 22 orgánov pre ochranu osobných údajov v EÚ/EHP približne 785 pokút. Len niekoľko orgánov zatiaľ neuložilo žiadne správne pokuty, hoci práve prebiehajúce konania by k takýmto pokutám mohli viesť. Väčšina pokút sa týkala porušení pravidiel: zásady zákonnosti; platného súhlasu; ochrany citlivých údajov; povinnosti transparentnosti, práv dotknutých osôb a porušení ochrany osobných údajov

Príklady pokút uložených orgánmi pre ochranu osobných údajov: – 200 000 EUR za porušenie pravidiel týkajúcich sa práva namietať proti priamemu marketingu v Grécku, – 220 000 EUR pre spoločnosť obchodujúcu s údajmi v Poľsku za neinformovanie jednotlivcov o tom, že sa ich údaje spracúvajú, – 250 000 EUR uložených španielskej futbalovej lige LaLiga z dôvodu nedostatočnej transparentnosti návrhu jej aplikácie pre smartfóny, – 14,5 milióna EUR za porušenie zásad ochrany údajov nemeckou realitnou spoločnosťou, najmä za nezákonné uchovávanie údajov, – 18 miliónov EUR za nezákonné spracúvanie osobitných kategórií údajov vo veľkom rozsahu rakúskymi poštovými službami, – 50 miliónov EUR pre spoločnosť Google vo Francúzsku za podmienky získavania súhlasu od používateľov. Úspešnosť všeobecného nariadenia o ochrane údajov by sa nemala merať počtom udelených pokút, pretože nariadenie obsahuje širšiu paletu nápravných právomocí. V závislosti od okolností môže mať oveľa silnejší odstrašujúci účinok napríklad zákaz spracovania alebo pozastavenie tokov údajov. Osobitné otázky pre verejný sektor Vo všeobecnom nariadení o ochrane údajov sa členským štátom umožňuje určiť, či a do akej miery môžu byť správne pokuty uložené orgánom verejnej moci alebo verejnoprávnym subjektom. Ak členské štáty túto možnosť využijú, orgány pre ochranu osobných údajov môžu vo vzťahu k orgánom verejnej moci a verejnoprávnym subjektom naďalej využívať aj všetky ostatné nápravné právomoci. Ďalšou osobitnou otázkou je dohľad nad súdmi: hoci sa všeobecné nariadenie o ochrane údajov vzťahuje aj na činnosť súdov, súdy sú vyňaté z dohľadu orgánov pre ochranu osobných údajov pri výkone svojej súdnej právomoci. V charte a ZFEÚ sa však členské štáty zaväzujú, aby vo svojich súdnych systémoch zverili dohľad nad takýmito spracovateľskými operáciami nezávislým orgánom. Spolupráca s inými regulačnými orgánmi Ako sa uvádza v oznámení z júla 2019, Komisia podporuje interakciu s inými regulačnými orgánmi pri úplnom rešpektovaní príslušných právomocí. Medzi sľubné oblasti spolupráce patrí ochrana spotrebiteľa a hospodárska súťaž. Výbor naznačil svoju ochotu spolupracovať s inými regulačnými orgánmi, najmä v súvislosti s koncentráciou na digitálnych trhoch. Komisia uznala dôležitosť ochrany súkromia a údajov ako kvalitatívneho parametra hospodárskej súťaže. Členovia výboru sa zúčastnili na spoločných seminároch so sieťou pre spoluprácu v oblasti ochrany spotrebiteľa o spolupráci zameranej na lepšie presadzovanie právnych predpisov EÚ v oblasti ochrany spotrebiteľa a údajov. Takýto prístup sa bude presadzovať, aby sa vytvorilo spoločné chápanie konkrétnych problémov, s ktorými sa spotrebitelia stretávajú najmä v digitálnom hospodárstve, a vyvinuli praktické spôsoby ich riešenia. S cieľom zabezpečiť jednotný prístup k ochrane súkromia a údajov a do prijatia nariadenia o súkromí a elektronických komunikáciách je nevyhnutná úzka spolupráca s orgánmi príslušnými pre presadzovanie smernice o súkromí a elektronických komunikáciách, lex specialis v oblasti elektronických komunikácií. Užšia spolupráca s orgánmi príslušnými podľa smernice NIS a so skupinou pre spoluprácu podľa NIS by bola v prospech týchto orgánov, ako aj orgánov pre ochranu osobných údajov. 2.2Mechanizmy spolupráce a konzistentnosti Vo všeobecnom nariadení o ochrane údajov sa vytvoril mechanizmus spolupráce (systém jedného kontaktného miesta pre hospodárske subjekty, spoločné operácie a vzájomnú pomoc medzi orgánmi pre ochranu osobných údajov) a mechanizmus konzistentnosti s cieľom podporiť jednotné uplatňovanie pravidiel ochrany údajov prostredníctvom dôsledného výkladu a riešenia prípadných nezhôd medzi orgánmi vo výbore. Výbor, ktorý združuje všetky orgány pre ochranu osobných údajov, bol zriadený ako orgán EÚ s právnou subjektivitou, je plne funkčný a podporuje ho sekretariát. Je rozhodujúci pre fungovanie uvedených dvoch mechanizmov. Ku koncu roka 2019 výbor prijal 67 dokumentov vrátane 10 nových usmernení a 43 stanovísk. Dôležitá úloha výboru sa prejavila v situáciách, keď bolo potrebné rýchlo zabezpečiť jednotný výklad všeobecného nariadenia o ochrane údajov a nájsť okamžite uplatniteľné riešenia na úrovni EÚ. Napríklad v súvislosti s pandémiou COVID-19 výbor v marci 2020 prijal vyhlásenie o spracúvaní osobných údajov, ktoré sa okrem iného týka zákonnosti spracúvania a využívania mobilných lokalizačných údajov v tomto kontexte a v apríli 2020 prijal usmernenia k spracúvaniu údajov týkajúcich sa zdravia na účely vedeckého výskumu v kontexte vypuknutia nákazy COVID-19 a usmernenia týkajúce sa lokalizačných údajov a iných nástrojov na sledovanie kontaktov v kontexte vypuknutia nákazy COVID-19. Výbor takisto významne prispel k návrhu prístupu EÚ k aplikáciám na sledovanie kontaktov zo strany Komisie a členských štátov. Každodenná spolupráca medzi orgánmi pre ochranu osobných údajov, či už konajú samostatne alebo ako členovia výboru, je založená na výmene informácií a oznamovaní prípadov, na ktorých orgány začali pracovať. Komisia významne podporila komunikáciu medzi orgánmi tým, že im poskytla systém výmeny informácií. Väčšina orgánov ho považuje za prispôsobený potrebám mechanizmov spolupráce a konzistentnosti, hoci by sa mohol ďalej doladiť, napríklad by mohol byť používateľsky ústretovejší.

Hoci ešte uplynulo málo času, možno identifikovať niekoľko úspechov a výziev, ktoré sú uvedené ďalej. Ukazujú, že orgány pre ochranu osobných údajov zatiaľ účinne využívajú nástroje spolupráce a uprednostňujú flexibilnejšie riešenia. Jednotné kontaktné miesto V cezhraničných prípadoch sa vo všeobecnosti konkrétny orgán pre ochranu osobných údajov členského štátu môže zapojiť buď: i) ako vedúci orgán, ak sa hlavná prevádzkareň subjektu nachádza v tomto členskom štáte; alebo ii) ako dotknutý orgán, keď má subjekt prevádzkareň na území tohto členského štátu, ak sú jednotlivci v tomto členskom štáte podstatným spôsobom dotknutí alebo ak orgán prijal sťažnosť. Takáto úzka spolupráca sa stala každodennou praxou: od začiatku uplatňovania všeobecného nariadenia o ochrane osobných údajov boli orgány pre ochranu osobných údajov vo všetkých členských štátoch v cezhraničných prípadoch v určitom okamihu identifikované ako vedúce orgány alebo ako dotknuté orgány, aj keď v rôznom rozsahu. V období od mája 2018 do konca roku 2019 pôsobil ako vedúci orgán v najvyššom počte cezhraničných prípadov írsky orgán pre ochranu osobných údajov (127), za ním nasledovalo Nemecko (92), Luxembursko (87), Francúzsko (64) a Holandsko (45). Toto poradie odráža najmä osobitnú situáciu Írska a Luxemburska, kde sídli niekoľko veľkých nadnárodných technologických spoločností. Pokiaľ ide o zapojenie orgánov pre ochranu osobných údajov ako dotknutých orgánov, poradie je odlišné, pričom do najvyššieho počtu prípadov (435) boli zapojené orgány Nemecka. Za nimi nasledovalo Španielsko (337), Dánsko (327), Francúzsko (332) a Taliansko (306). Od 25. mája 2018 do 31. decembra 2019 bolo prostredníctvom mechanizmu jednotného kontaktného miesta predložených 141 návrhov rozhodnutí, z ktorých 79 vyústilo do konečných rozhodnutí. Ku dňu uverejnenia tejto správy sa čaká na niekoľko dôležitých rozhodnutí s cezhraničným rozmerom, ktoré podliehajú mechanizmu jednotného kontaktného miesta. Niektoré z týchto rozhodnutí zahŕňajú veľké nadnárodné technologické spoločnosti. Očakáva sa, že poskytnú objasnenie a prispejú k zvýšenej harmonizácii pri výklade všeobecného nariadenia o ochrane údajov. Vzájomná pomoc Orgány pre ochranu osobných údajov vo významnej miere využívajú nástroj vzájomnej pomoci. Do konca roku 2019 sa vykonalo 115 postupov vzájomnej pomoci, najmä pri vykonávaní vyšetrovaní, pričom väčšinu z nich vykonali orgány pre ochranu osobných údajov v Španielsku (26), Nemecku (20), Dánsku (13), Poľsku (12) a v Českej republike (10). Naopak, najviac žiadostí dostalo Írsko (19), Francúzsko (11), Rakúsko (10), Nemecko (10) a Luxembursko (9). Prevažná väčšina orgánov považuje vzájomnú pomoc za veľmi užitočný nástroj spolupráce a nestretla sa so žiadnou konkrétnou prekážkou uplatňovania postupu vzájomnej pomoci. Častejšie, v 2 427 postupoch, sa využila dobrovoľná výmena informácií v rámci vzájomnej pomoci, pri ktorej neexistuje zákonná lehota ani prísna povinnosť odpovedať. Írsky orgán pre ochranu osobných údajov poslal a prijal najvyšší počet žiadostí o vzájomnú pomoc (527 odoslaných a 359 prijatých), po ňom nasledovali nemecké orgány (260 odoslaných/356 prijatých). Na druhej strane sa zatiaľ nevykonali spoločné operácie, ktoré by umožnili zapojenie orgánov pre ochranu osobných údajov z niekoľkých členských štátov už na úrovni vyšetrovania cezhraničných prípadov. Vo výbore prebieha reflexia o praktickom vykonávaní tohto nástroja a o spôsobe, ako podporiť jeho používanie. Mechanizmus konzistentnosti Doposiaľ sa využila iba prvá časť mechanizmu konzistentnosti, a to prijatie stanovísk výboru. Na druhej strane sa ešte nezačal žiadny postup riešenia sporov na úrovni výboru ani postup pre naliehavé prípady. V období od 25. mája 2018 do 31. decembra 2019 výbor vydal 36 stanovísk v súvislosti s prijatím opatrení jedným z jeho členov. Väčšina z nich (31) sa týkala prijatia vnútroštátnych zoznamov spracovateľských operácií, ktoré si vyžadujú posúdenie vplyvu na ochranu údajov. Dve stanoviská sa týkali záväzných vnútropodnikových pravidiel, ďalšie dve návrhu akreditačných požiadaviek pre orgán zodpovedný za monitorovanie kódexu správania a jedno sa týkalo štandardných zmluvných doložiek. Okrem toho výbor prijal šesť stanovísk na požiadanie. Tri z týchto stanovísk sa týkali vnútroštátnych zoznamov, v ktorých sa identifikuje spracovanie, pri ktorom sa nevyžaduje posúdenie vplyvu na ochranu údajov. Ostatné sa týkali administratívneho dojednania o prenose osobných údajov medzi orgánmi pre finančný dohľad v EHP a orgánmi pre finančný dohľad mimo EHP, súhry medzi smernicou o súkromí a elektronických komunikáciách a všeobecným nariadením o ochrane údajov a právomoci dozorného orgánu v prípade zmeny okolností týkajúcich sa hlavnej alebo jedinej prevádzkarne. Výzvy, ktoré by sa mali riešiť Aj keď orgány pre ochranu osobných údajov vo výbore veľmi aktívne spolupracujú a už intenzívne využívajú nástroj vzájomnej pomoci, budovanie spoločnej kultúry ochrany údajov ešte nie je dokončené. Najmä riešenie cezhraničných prípadov si vyžaduje efektívnejší a harmonizovanejší prístup a účinné využívanie všetkých nástrojov spolupráce stanovených vo všeobecnom nariadení o ochrane údajov. V tejto otázke existuje veľmi široký konsenzus, pretože ju rôznymi spôsobmi otvorili Európsky parlament, Rada, európsky dozorný úradník pre ochranu údajov, zainteresované strany (v rámci skupiny viacerých zainteresovaných strán a mimo nej) a orgány pre ochranu osobných údajov. Hlavné problémy, ktoré v tejto súvislosti treba riešiť, sú rozdiely týkajúce sa:

·vnútroštátnych správnych postupov vo vzťahu k: postupom vybavovania sťažností, kritériám prípustnosti sťažností, trvaniu konaní z dôvodu odlišných časových lehôt alebo toho, že neexistujú žiadne lehoty, okamihu v konaní, keď sa priznáva právo byť vypočutý, informáciám a účasti sťažovateľov na konaní, ·výkladu pojmov týkajúcich sa mechanizmu spolupráce, ako je pojem relevantné informácie, pojmy „bezodkladne“, „sťažnosť“, dokument, ktorý je vymedzený ako „návrh rozhodnutia“ vedúceho orgánu pre ochranu osobných údajov, urovnanie sporu formou zmieru (najmä postup vedúci k zmieru a právna forma zmieru), a ·prístupu k tomu, kedy začať postup spolupráce, zapojiť dotknuté orgány pre ochranu osobných údajov a oznámiť im informácie. Sťažovatelia navyše nemajú jasnú predstavu o tom, ako sa riešia ich prípady v cezhraničných situáciách, čo zdôraznili viacerí členovia skupiny viacerých zainteresovaných strán. Podniky navyše uvádzajú, že v niektorých prípadoch vnútroštátne orgány pre ochranu osobných údajov nepostúpili prípady vedúcemu orgánu pre ochranu osobných údajov, ale riešili ich ako miestne prípady. Komisia víta oznámenie výboru, že začal uvažovať o tom, ako riešiť tieto otázky. Výbor najmä uviedol, že objasní procesné kroky spojené so spoluprácou medzi vedúcim orgánom pre ochranu osobných údajov a dotknutými orgánmi, bude analyzovať vnútroštátne zákony o správnych konaniach, bude pracovať na spoločnom výklade kľúčových pojmov a posilní komunikáciu a spoluprácu (vrátane spoločných operácií). Úvahy výboru a jeho analýza by mali viesť k navrhnutiu účinnejších pracovných dojednaní v cezhraničných prípadoch, a to aj prostredníctvom využitia odborných znalostí členov výboru a posilnenia zapojenia jeho sekretariátu. Navyše treba poznamenať, že zodpovednosť výboru za zabezpečenie konzistentného výkladu všeobecného nariadenia o ochrane údajov nemožno plniť jednoducho nájdením najnižšieho spoločného menovateľa. Napokon, ako orgán EÚ musí výbor uplatňovať aj správne právo EÚ a zabezpečiť transparentnosť rozhodovacieho procesu. 2.3Rady a usmernenia Zvyšovanie informovanosti a poradenstvo zabezpečované orgánmi pre ochranu osobných údajov Niekoľko orgánov pre ochranu osobných údajov vytvorilo nové nástroje, napríklad linky pomoci pre jednotlivcov a podniky, a súbory nástrojov pre podniky. Mnohé hospodárske subjekty vítajú pragmatický prístup, ktorý tieto orgány preukázali pri pomoci s uplatňovaním všeobecného nariadenia o ochrane údajov. Najmä niektoré z nich aktívne a úzko spolupracujú a komunikujú so zodpovednými osobami, a to aj prostredníctvom združení zodpovedných osôb. Mnoho orgánov vydalo aj usmernenia týkajúce sa úlohy a povinností zodpovedných osôb v rámci ich každodenných činností a usporiadalo osobitné semináre pre zodpovedné osoby. Netýka sa to však všetkých orgánoch pre ochranu osobných údajov. Vo svojej spätnej väzbe zainteresované strany poukázali aj na niekoľko otázok týkajúcich sa poskytovania rád a usmernení: ·nejednotný prístup a chýbajúce usmernenia medzi vnútroštátnymi orgánmi pre ochranu osobných údajov v určitých otázkach (napr. o súboroch cookie, uplatňovaní oprávneného záujmu, o oznamovaní porušení ochrany osobných údajov alebo o posúdeniach vplyvu na ochranu údajov) alebo dokonca medzi orgánmi na ochranu osobných údajov v tom istom členskom štáte (napr. v Nemecku o pojmoch prevádzkovateľ a sprostredkovateľ), ·nesúlad usmernení prijatých na vnútroštátnej úrovni s usmerneniami prijatými výborom, ·chýbajúce verejné konzultácie o určitých usmerneniach prijatých na vnútroštátnej úrovni, ·odlišné úrovne spolupráce so zainteresovanými stranami medzi orgánmi na ochranu osobných údajov, ·oneskorenia pri získavaní odpovedí na žiadosti o informácie, ·ťažkosti pri získavaní praktických a cenných rád od orgánov pre ochranu osobných údajov, ·potreba zvýšiť úroveň sektorových odborných znalostí niektorých orgánov pre ochranu osobných údajov (napr. v zdravotníctve a vo farmaceutickom priemysle). Niektoré z týchto otázok súvisia aj s nedostatkom zdrojov v niekoľkých orgánoch pre ochranu osobných údajov (pozri ďalej). Rozdielne postupy, pokiaľ ide o oznamovanie porušení ochrany osobných údajov Hoci Rada poukazuje na bremeno spôsobené takýmito oznámeniami, medzi členskými štátmi existujú značné nezrovnalosti, pokiaľ ide o tieto oznámenia: kým od mája 2018 do konca novembra 2019 bol celkový počet oznámení o porušení ochrany osobných údajov vo väčšine členských štátov nižší ako 2 000 a v 7 členských štátoch dosiahol 2 000 až 10 000, holandské orgány pre ochranu osobných údajov hlásili 37 400 a nemecké 45 600 oznámení. To môže poukazovať na nekonzistentný výklad a vykonávanie napriek existencii usmernení na úrovni EÚ týkajúcich sa oznámení o porušení ochrany osobných údajov.

Usmernenia Európskeho výboru pre ochranu údajov Výbor doteraz prijal viac ako 20 usmernení týkajúcich sa kľúčových aspektov všeobecného nariadenia o ochrane údajov. Usmernenia sú nevyhnutným nástrojom konzistentného uplatňovania všeobecného nariadenia o ochrane údajov, a preto ich zainteresované strany vo veľkej miere privítali. Zainteresované strany ocenili systematické verejné konzultácie (v trvaní 6 až 8 týždňov). Žiadajú však o väčší dialóg s výborom. V tejto súvislosti by sa malo pokračovať v postupe organizovania seminárov o konkrétnych témach pred vypracovaním usmernení tak, aby sa zabezpečila transparentnosť, inkluzívnosť a relevantnosť práce výboru. Zainteresované strany takisto žiadajú, aby sa výklad najspornejších otázok riešil v usmerneniach, pretože podliehajú verejnej konzultácii, a nie v stanoviskách podľa článku 64 ods. 2 všeobecného nariadenia o ochrane údajov. Niektoré zainteresované strany požadujú aj praktickejšie usmernenia, v ktorých sa podrobne vysvetlí uplatňovanie pojmov a ustanovení všeobecného nariadenia o ochrane údajov. Členovia skupiny viacerých zainteresovaných strán zdôrazňujú potrebu konkrétnejších príkladov, aby sa čo najviac zmenšil priestor na rozdielne výklady medzi orgánmi pre ochranu osobných údajov. Žiadosti o objasnenie spôsobu uplatňovania všeobecného nariadenia o ochrane údajov a poskytnutie právnej istoty by zároveň nemali viesť k dodatočným požiadavkám ani k zmenšovaniu výhod prístupu založeného na rizikách a zásade zodpovednosti. Zainteresované strany si okrem iného želajú dodatočné usmernenia na tieto témy: rozsah práv dotknutých osôb (aj v súvislosti so zamestnaním); aktualizácie stanoviska k spracovaniu na základe oprávneného záujmu; pojmy „prevádzkovateľ“, „spoločný prevádzkovateľ“ a „sprostredkovateľ“ a potrebné dojednania medzi stranami; uplatňovanie všeobecného nariadenia o ochrane údajov vo vzťahu k novým technológiám (napríklad blockchain a umelá inteligencia); spracovanie v kontexte vedeckého výskumu (aj v súvislosti s medzinárodnou spoluprácou); spracovanie údajov o deťoch; pseudonymizácia a anonymizácia a spracovanie údajov týkajúcich sa zdravia. Výbor už uviedol, že vydá usmernenia na mnohé z týchto tém a začal prácu na niekoľkých z nich (napr. o uplatňovaní oprávneného záujmu ako právneho základu pre spracovanie). Zainteresované strany žiadajú výbor, aby podľa potreby aktualizoval a revidoval existujúce usmernenia so zohľadnením skúseností získaných od ich uverejnenia a v prípade potreby využil možnosť poskytnúť podrobnejšie informácie 2.4Zdroje orgánov pre ochranu osobných údajov Poskytnutie potrebných ľudských, technických a finančných zdrojov, priestorov a infraštruktúry všetkým orgánom pre ochranu osobných údajov je nevyhnutným predpokladom účinného vykonávania ich úloh a právomocí, a preto je nevyhnutnou podmienkou ich nezávislosti. Od nadobudnutia účinnosti všeobecného nariadenia o ochrane údajov v roku 2016 väčšina orgánov pre ochranu osobných údajov ťažila zo zvýšenia počtu zamestnancov a zdrojov. Mnohé z nich však stále uvádzajú, že nemajú dostatočné zdroje. Počet zamestnancov pracujúcich pre vnútroštátne orgány pre ochranu osobných údajov Celkový počet zamestnancov pracujúcich v orgánoch pre ochranu osobných údajov v EHP spolu sa v rokoch 2016 až 2019 zvýšil o 42 % (o 62 %, ak sa vezme do úvahy prognóza na rok 2020). Vo väčšine orgánov sa počet zamestnancov počas tohto obdobia zvýšil, pričom najväčší nárast (v percentách) bol zaznamenaný v orgánoch v Írsku (+169 %), v Holandsku (+145 %), na Islande (+143 %), v Luxembursku (+126 %) a vo Fínsku (+114 %). Na druhej strane v niekoľkých orgánoch na ochranu údajov sa počet zamestnancov znížil, pričom najvyšší pokles sa zaznamenal v Grécku (–15 %), Bulharsku (–14 %), Estónsku (–11 %), Lotyšsku (–10 %) a v Litve (–8 %). V niektorých orgánoch je pokles počtu zamestnancov spôsobený aj odchodom odborníkov na ochranu údajov do súkromného sektora, ktorý ponúka atraktívnejšie podmienky. V prognóze na rok 2020 sa vo všeobecnosti počíta so zvýšením počtu zamestnancov v porovnaní s rokom 2019, s výnimkou orgánov v Rakúsku, Bulharsku, Taliansku, vo Švédsku a na Islande (kde sa očakáva, že počet zamestnancov zostane stabilný), na Cypre a v Dánsku (kde sa očakáva zníženie ich počtu). Najvyšší počet zamestnancov (888 v roku 2019/1002 v prognóze na rok 2020) majú nemecké orgány pre ochranu osobných údajov; za nimi nasledujú orgány pre ochranu osobných údajov v Poľsku (238/260), Francúzsku (215/225), Španielsku (170/220), Holandsku (179/188), Taliansku (170/170) a Írsku (140/176). Najnižší počet zamestnancov majú orgány pre ochranu osobných údajov na Cypre (24/22), v Lotyšsku (19/31), na Islande (17/17), v Estónsku (16/18) a na Malte (13/15). Rozpočet vnútroštátnych orgánov pre ochranu osobných údajov Celkový rozpočet orgánov pre ochranu osobných údajov v EHP spolu sa v rokoch 2016 až 2019 zvýšil o 49 % (ak sa vezme do úvahy prognóza na rok 2020, o 64 %). Rozpočet väčšiny orgánov sa počas tohto obdobia zvýšil, pričom najvyšší nárast (v percentách) sa zaznamenal pri orgánoch v Írsku (+223 %), na Islande (+167 %), v Luxembursku (+165 %), v Holandsku (+130 %) a na Cypre (+114 %). Na druhej strane niektoré orgány zaznamenali iba malé zvýšenie rozpočtu a najmenšie zvýšenia zaznamenali orgány pre ochranu osobných údajov v Estónsku (7 %), v Lotyšsku (4 %), v Rumunsku (3 %) a v Belgicku (1 %), zatiaľ čo orgán vo Francúzsku zaznamenal pokles (–2 %). V prognóze na rok 2020 sa vo všeobecnosti predpokladá zvýšenie rozpočtu v porovnaní s rokom 2019, s výnimkou orgánov v Rakúsku, Bulharsku, Estónsku a v Holandsku (ktorých rozpočet by mal zostať stabilný). Najvyšší rozpočet majú orgány pre ochranu osobných údajov Nemecka (76,6 milióna EUR v roku 2019/85,8 milióna EUR v prognóze na rok 2020), Talianska (29,1/30,1), Holandska (18,6/18,6), Francúzska (18,5/20,1) a Írska (15,2/16,9)

Najnižší rozpočet majú orgány Chorvátska (1,2 milióna EUR v roku 2019/1,4 milióna EUR v prognóze na rok 2020), Rumunska (1,1/1,3), Lotyšska (0,6/1,2), Cypru (0,5/0,5) a Malty (0,5/0,6). V tabuľke v prílohe II sa poskytuje prehľad ľudských a rozpočtových zdrojov vnútroštátnych orgánov pre ochranu osobných údajov. Okrem toho, že nedostatok zdrojov ovplyvňuje schopnosť orgánov pre ochranu osobných údajov presadzovať pravidlá na vnútroštátnej úrovni, obmedzuje aj ich schopnosť zúčastňovať sa na mechanizmoch spolupráce a konzistentnosti a na práci vykonávanej vo výbore a prispievať k nim. Ako výbor zdôraznil, úspech mechanizmu jednotného kontaktného miesta závisí od času a úsilia, ktoré môžu orgány pre ochranu osobných údajov venovať riešeniu jednotlivých cezhraničných prípadov a spolupráci na nich. Význam zdrojov sa znásobuje zvýšenou úlohou orgánov pri dohľade nad rozsiahlymi IT systémami, ktoré sa v súčasnosti vyvíjajú. Orgány pre ochranu osobných údajov v Írsku a Luxembursku majú navyše osobitné potreby v oblasti zdrojov, keďže plnia úlohu vedúcich orgánov pri presadzovaní všeobecného nariadenia o ochrane údajov vo vzťahu k veľkým technologickým spoločnostiam, ktoré sa väčšinou nachádzajú v týchto členských štátoch. Hoci Rada poukazuje na vplyv mechanizmu spolupráce a jeho lehôt na prácu orgánov pre ochranu osobných údajov, vo všeobecnom nariadení o ochrane údajov sa členské štáty zaväzujú, aby svojim vnútroštátnym orgánom pre ochranu osobných údajov poskytli primerané ľudské, finančné a technické zdroje. Sekretariát výboru, ktorý poskytuje európsky dozorný úradník pre ochranu údajov, v súčasnosti tvorí 20 ľudí vrátane odborníkov v oblasti práva, informačných technológií a komunikácie. Treba posúdiť, či bude v budúcnosti potrebné meniť uvedený počet s ohľadom na účinné plnenie funkcie sekretariátu, ktorou je analytická, administratívna a logistická podpora výboru a jeho podskupín, a to aj prostredníctvom riadenia systému výmeny informácií. 3Harmonizované pravidlá, no do istej miery pretrvávajúca fragmentácia a rozdielne prístupy Vo všeobecnom nariadení o ochrane údajov sa stanovuje jednotný prístup k pravidlám ochrany údajov v celej EÚ, ktorý nahrádza rôzne vnútroštátne režimy, ktoré existovali podľa smernice o ochrane údajov z roku 1995. 3.1Vykonávanie všeobecného nariadenia o ochrane údajov členskými štátmi Všeobecné nariadenie o ochrane údajov sa od 25. mája 2018 priamo uplatňuje vo všetkých členských štátoch. Členské štáty majú na základe nariadenia povinnosť prijať príslušné zákony, najmä zriadiť vnútroštátne orgány pre ochranu osobných údajov a vytvoriť všeobecné podmienky pre ich členov s cieľom zabezpečiť, aby každý orgán pri plnení svojich úloh a vykonávaní svojich právomocí konal v súlade so všeobecným nariadením o ochrane údajov úplne nezávisle. Právne povinnosti a verejné úlohy môžu predstavovať právny základ pre spracovanie osobných údajov iba v prípade, že sú stanovené vo vnútroštátnom práve (alebo v práve Únie). Členské štáty musia navyše stanoviť pravidlá týkajúce sa sankcií najmä za porušenia, na ktoré sa nevzťahujú správne pokuty, a musia zosúladiť právo na ochranu osobných údajov s právom na slobodu prejavu a na informácie. Vo vnútroštátnom práve sa takisto môže stanoviť právny základ pre výnimku zo všeobecného zákazu spracovania osobitných kategórií osobných údajov, napríklad z dôvodu významného verejného záujmu v oblasti verejného zdravia vrátane ochrany pred závažnými cezhraničnými ohrozeniami zdravia. Členské štáty musia navyše zabezpečiť akreditáciu certifikačných subjektov. Komisia monitoruje implementáciu všeobecného nariadenia o ochrane údajov vo vnútroštátnych právnych predpisoch. V čase písania tejto správy všetky členské štáty okrem Slovinska prijali nové právne predpisy o ochrane údajov alebo upravili svoje právne predpisy v tejto oblasti. Komisia preto požiadala Slovinsko, aby objasnilo dosiahnutý pokrok, a vyzvala ho, aby tento proces dokončilo. Súlad vnútroštátnych právnych predpisov s pravidlami ochrany údajov, pokiaľ ide o schengenské acquis, sa hodnotí aj v kontexte mechanizmu schengenského hodnotenia, ktorý koordinuje Komisia. Komisia a členské štáty spoločne hodnotia, ako krajiny vykonávajú a uplatňujú schengenské acquis v mnohých oblastiach; v oblasti ochrany údajov sa to týka rozsiahlych informačných systémov, ako je Schengenský informačný systém a informačný systém Via, a zahŕňa úlohu orgánov pre ochranu osobných údajov pri dohľade nad spracovaním osobných údajov v týchto systémoch. Na vnútroštátnej úrovni sa naďalej pracuje na úprave odvetvových právnych predpisov. Po začlenení všeobecného nariadenia o ochrane údajov do Dohody o Európskom hospodárskom priestore sa jeho uplatňovanie rozšírilo na Nórsko, Island a Lichtenštajnsko. Tieto krajiny takisto prijali svoje vnútroštátne právne predpisy o ochrane údajov. Komisia bude využívať všetky nástroje, ktoré má k dispozícii, vrátane postupov v prípade nesplnenia povinnosti s cieľom zabezpečiť, aby členské štáty dodržiavali všeobecné nariadenie o ochrane údajov, Hlavné otázky týkajúce sa vykonávania na vnútroštátnej úrovni Medzi hlavné problémy, ktoré sa doposiaľ identifikovali v rámci prebiehajúceho posúdenia vnútroštátnych právnych predpisov a dvojstranných výmen s členskými štátmi, patria: ·obmedzenia uplatňovania všeobecného nariadenia o ochrane údajov: niektoré členské štáty napríklad úplne vylučujú činnosti národného parlamentu, ·rozdiely v uplatniteľnosti vnútroštátnych špecifikačných zákonov. Niektoré členské štáty spájajú uplatniteľnosť svojich vnútroštátnych právnych predpisov s miestom, kde sa ponúka tovar alebo služby, iné s miestom prevádzkarne prevádzkovateľa alebo sprostredkovateľa. To je v rozpore s cieľom harmonizácie, ktorý sa sleduje vo všeobecnom nariadení o ochrane údajov, ·vnútroštátne zákony, ktoré vyvolávajú otázky týkajúce sa primeranosti zásahu do práva na ochranu údajov. Komisia napríklad začala konanie o porušení povinnosti proti členskému štátu, ktorý prijal právne predpisy, podľa ktorých sa od sudcov vyžaduje, aby zverejňovali konkrétne informácie o svojich mimopracovných činnostiach, čo je nezlučiteľné s právom na rešpektovanie súkromného života a právom na ochranu osobných údajov, ·neexistencia nezávislého orgánu pre dohľad nad spracovaním údajov súdmi pri výkone ich súdnej právomoci,

·právne predpisy v oblastiach plne regulovaných všeobecným nariadením o ochrane údajov nad rámec priestoru pre špecifikácie alebo obmedzenia. Ide najmä o prípad, keď sa vo vnútroštátnych právnych predpisoch určujú podmienky spracovania na základe oprávneného záujmu tým, že sa stanovuje vyváženie príslušných záujmov prevádzkovateľa a dotknutých osôb, zatiaľ čo vo všeobecnom nariadení o ochrane údajov sa každý prevádzkovateľ zaväzuje vykonať takéto vyváženie individuálne a s využitím tohto právneho základu, ·špecifikácie a ďalšie požiadavky nad rámec spracovania na splnenie zákonnej povinnosti alebo splnenie verejnej úlohy (napr. pre monitorovanie kamerovým systémom v súkromnom sektore alebo pre priamy marketing) a pre pojmy používané vo všeobecnom nariadení o ochrane údajov (napr. „vo veľkom rozsahu“ alebo „vymazanie“). Niektoré z týchto otázok môže Súdny dvor objasniť vo veciach, ktoré ešte stále nie sú uzavreté. Zosúladenie práva na ochranu osobných údajov so slobodou prejavu a s právom na informácie. Osobitný problém sa týka vykonávania povinnosti členských štátov zákonom zosúladiť právo na ochranu osobných údajov so slobodou prejavu a s právom na informácie. Táto otázka je veľmi zložitá, pretože pri posudzovaní rovnováhy medzi týmito základnými právami sa musia zohľadniť aj ustanovenia a záruky v tlačových a mediálnych zákonoch. Z posúdenia právnych predpisov členských štátov vyplývajú odlišné prístupy k zosúladeniu práva na ochranu osobných údajov so slobodou prejavu a s právom na informácie: ·Niektoré členské štáty stanovujú zásadu prednosti slobody prejavu alebo v zásade poskytujú výnimky z uplatňovania celých kapitol uvedených v článku 85 ods. 2 všeobecného nariadenia o ochrane údajov, ak ide o spracovanie na novinárske účely a na akademické, umelecké a literárne vyjadrenie. V mediálnych zákonoch sa do istej miery stanovujú určité záruky, pokiaľ ide o práva dotknutých osôb. ·Niektoré členské štáty stanovujú prednosť ochrany osobných údajov a výnimky z uplatňovania pravidiel ochrany údajov poskytujú len v osobitných situáciách, napríklad v prípade osoby s verejným postavením. ·Iné členské štáty stanovili určité vyvažovanie zákonodarcom a/alebo posúdenie jednotlivých prípadov, pokiaľ ide o výnimky z určitých ustanovení všeobecného nariadenia o ochrane údajov. Komisia bude pokračovať v posudzovaní vnútroštátnych právnych predpisov na základe požiadaviek charty. Zosúladenie musí byť stanovené zákonom, musí sa pri ňom rešpektovať podstata uvedených základných práv a musí byť primerané a nevyhnutné (článok 52 ods. 1 charty). Pravidlá ochrany údajov by nemali mať vplyv na výkon slobody prejavu a práva na informácie, najmä vytváraním odstrašujúceho účinku alebo takého výkladom, ktorý by vyvíjal tlak na novinárov, aby odhalili svoje zdroje.

3.2Doložky pre voliteľné špecifikácie a ich obmedzenia Všeobecné nariadenie o ochrane údajov poskytuje členským štátom možnosť bližšie špecifikovať jeho uplatňovanie v obmedzenom počte oblastí. Treba rozlišovať medzi týmto priestorom na manévrovanie vo vnútroštátnych právnych predpisoch a povinnosťou vykonať niektoré ďalšie uvedené ustanovenia všeobecného nariadenia o ochrane údajov. Doložky pre voliteľné špecifikácie sa uvádzajú v prílohe I. Uvedený priestor pre právo členských štátov podlieha podmienkam a obmedzeniam stanoveným vo všeobecnom nariadení o ochrane údajov a neumožňuje paralelný vnútroštátny režim ochrany údajov. Členské štáty sú povinné zmeniť alebo zrušiť vnútroštátne právne predpisy o ochrane údajov vrátane odvetvových právnych predpisov obsahujúcich aspekty ochrany údajov. Súvisiace právne predpisy členských štátov navyše nesmú obsahovať ustanovenia, ktoré by mohli spôsobiť zmätok, pokiaľ ide o priame uplatňovanie všeobecného nariadenia o ochrane údajov. Preto, ak sa vo všeobecnom nariadení o ochrane údajov stanovuje, že právo členského štátu má spresniť alebo obmedziť jeho pravidlá, členské štáty môžu, pokiaľ je to nevyhnutné pre súdržnosť a dosiahnutie lepšej zrozumiteľnosti vnútroštátnych predpisov pre osoby, na ktoré sa vzťahujú, začleniť prvky tohto nariadenia do svojho vnútroštátneho práva. Zainteresované strany sa domnievajú, že členské štáty by mali obmedziť alebo zastaviť používanie doložiek pre voliteľné špecifikácie, pretože neprispievajú k harmonizácii. Rozdiely na vnútroštátnej úrovni pri implementácii zákonov a pri ich výklade orgánmi pre ochranu osobných údajov výrazne zvyšujú náklady na dodržiavanie právnych predpisov v celej EÚ. Fragmentácia spojená s používaním doložiek pre voliteľnú špecifikáciu ·Veková hranica pre súhlas detí so službami informačnej spoločnosti Niekoľko členských štátov využilo možnosť zaviesť súhlas vo vzťahu k službám informačnej spoločnosti pre deti mladšie ako 16 rokov (článok 8 ods. 1 všeobecného nariadenia o ochrane údajov). Zatiaľ čo deväť členských štátov uplatňuje vekovú hranicu 16 rokov, osem členských štátov sa rozhodlo pre 13 rokov, šesť pre 14 rokov a tri pre 15 rokov. V dôsledku toho musí spoločnosť poskytujúca služby informačnej spoločnosti pri maloletých osobách v celej EÚ rozlišovať vek potenciálnych používateľov v závislosti od toho, v ktorom členskom štáte majú bydlisko. To je v rozpore s kľúčovým cieľom všeobecného nariadenia o ochrane údajov, ktorým je zabezpečenie rovnakej úrovne ochrany jednotlivcov a obchodných príležitostí vo všetkých členských štátoch.

Takéto rozdiely vedú k situáciám, keď členský štát, v ktorom je prevádzkovateľ usadený, stanovuje inú vekovú hranicu ako členské štáty, v ktorých majú dotknuté osoby bydlisko.



·Zdravie a výskum Pri vykonávaní výnimiek zo všeobecného zákazu spracovania osobitných kategórií osobných údajov sa v právnych predpisoch členských štátov uplatňujú rôzne prístupy, pokiaľ ide o úroveň špecifikácie a záruk, a to aj na účely zdravia a výskumu. Väčšina členských štátov zaviedla alebo zachovala ďalšie podmienky pre spracúvanie genetických údajov, biometrických údajov alebo údajov týkajúcich sa zdravia. Platí to aj pre výnimky týkajúce sa práv dotknutých osôb na účely výskumu, a to pokiaľ ide o rozsah výnimiek aj súvisiace záruky. K harmonizovanému prístupu v tejto oblasti prispejú aj budúce usmernenia výboru o používaní osobných údajov v oblasti vedeckého výskumu. Komisia poskytne výboru informácie, najmä pokiaľ ide o výskum v oblasti zdravotníctva, a to aj vo forme konkrétnych otázok a analýz konkrétnych scenárov, ktoré získala od výskumnej obce. Bolo by užitočné, keby sa tieto usmernenia mohli prijať pred začatím rámcového programu Horizont Európa s cieľom harmonizovať postupy ochrany údajov a uľahčiť výmenu údajov v záujme pokroku vo výskume. Užitočné by mohli byť aj usmernenia výboru týkajúce sa spracovania osobných údajov v oblasti zdravia. Všeobecné nariadenie o ochrane údajov poskytuje pevný rámec pre vnútroštátne právne predpisy v oblasti verejného zdravia a výslovne zahŕňa cezhraničné ohrozenia zdravia a monitorovanie epidémií a ich šírenia, čo bolo relevantné v súvislosti s bojom proti pandémii COVID-19. Na úrovni EÚ Komisia 8. apríla 2020 prijala odporúčanie týkajúce sa súboru nástrojov na využívanie technológií a údajov v tejto súvislosti vrátane mobilných aplikácií a používania anonymizovaných údajov o mobilite a 16. apríla 2020 usmernenie o aplikáciách podporujúcich boj proti pandémii v súvislosti s ochranou údajov. Výbor 19. marca 2020 vydal vyhlásenie o spracúvaní údajov v tejto súvislosti, po ktorom 21. apríla 2020 nasledovali usmernenia týkajúce sa lokalizačných údajov a iných nástrojov na sledovanie kontaktov v tomto kontexte. V týchto odporúčaniach a usmerneniach sa objasňuje, ako sa uplatňujú zásady a pravidlá ochrany osobných údajov v súvislosti s bojom proti pandémii. ·Rozsiahle obmedzenia práv dotknutých osôb Vo väčšine vnútroštátnych právnych predpisov o ochrane údajov, v ktorých sa obmedzujú práva dotknutej osoby, sa nešpecifikujú ciele všeobecného verejného záujmu zaručené týmito obmedzeniami a/alebo dostatočne nespĺňajú podmienky a záruky požadované v článku 23 ods. 2 všeobecného nariadenia o ochrane údajov. Niekoľko členských štátov neponecháva žiadny priestor na test primeranosti ani rozširuje obmedzenia dokonca nad rámec článku 23 ods. 1 všeobecného nariadenia o ochrane údajov. Napríklad v niektorých vnútroštátnych právnych predpisoch sa odopiera právo na prístup z dôvodu neprimeraného úsilia na strane prevádzkovateľa, pokiaľ ide o osobné údaje, ktoré sa uchovávajú na základe povinnosti uchovávať údaje alebo sa týkajú plnenia verejných úloh bez obmedzenia tejto reštrikcie na ciele všeobecného verejného záujmu. ·Ďalšie požiadavky na spoločnosti Aj keď sa požiadavka povinne mať zodpovednú osobu zakladá na prístupe založenom na rizikách, jeden členský štát ju rozšíril na kvantitatívne kritérium a zaviazal spoločnosti, v ktorých je 20 a viac zamestnancov trvalo zapojených do automatizovaného spracovania osobných údajov, aby stanovili zodpovednú osobu bez ohľadu na riziká spojené so spracovateľskými činnosťami. To viedlo k dodatočnému zaťaženiu. 4Posilnenie postavenia jednotlivcov pri kontrole ich údajov Všeobecným nariadením o ochrane údajov sa zefektívňujú základné práva, najmä právo na ochranu osobných údajov, ale aj ďalšie základné práva uznané v charte vrátane rešpektovania súkromného a rodinného života, slobody prejavu a práva na informácie, nediskriminácie, slobody myslenia, svedomia a náboženského vyznania, slobody podnikania a práva na účinný prostriedok nápravy. Tieto práva musia byť navzájom vyvážené v súlade so zásadou proporcionality. Všeobecné nariadenie o ochrane údajov poskytuje jednotlivcom vykonateľné práva, napríklad právo na prístup, opravu, vymazanie, námietku, prenosnosť a zvýšenú transparentnosť. Jednotlivcom takisto dáva právo podať sťažnosť orgánu pre ochranu osobných údajov, a to aj prostredníctvom žalôb v zastúpení, a právo na súdny prostriedok nápravy. Ako vyplýva z výsledkov Eurobarometra z júla 2019 a z prieskumu uskutočneného Agentúrou pre základné práva, jednotlivci si čoraz viac uvedomujú svoje práva. Podľa prieskumu základných práv, ktorý uskutočnila Agentúra pre základné práva: ·69 % obyvateľstva vo veku 16 a viac rokov v EÚ počulo o všeobecnom nariadení o ochrane údajov; ·71 % respondentov v EÚ počulo o svojom vnútroštátnom orgáne pre ochranu osobných údajov; toto číslo sa pohybuje od 90 % v Českej republike do 44 % v Belgicku; ·60 % respondentov v EÚ pozná zákon, ktorý im umožňuje prístup k ich osobným údajom, ktoré má v držbe orgán verejnej moci; toto percento sa však v prípade súkromných spoločností znižuje na 51 %; ·viac ako jeden z piatich respondentov (23 %) v EÚ nechce poskytovať osobné údaje (napríklad svoju adresu, občianstvo alebo dátum narodenia) verejnej správe a 41 % nechce poskytovať tieto údaje súkromným spoločnostiam.

Jednotlivci čoraz viac využívajú svoje právo podávať sťažnosti orgánom pre ochranu osobných údajov, a to buď individuálne, alebo prostredníctvom žaloby v zastúpení. Iba niekoľko členských štátov povolilo mimovládnym organizáciám podať žaloby bez poverenia v súlade s možnosťou, ktorá sa poskytuje vo všeobecnom nariadení o ochrane údajov. Očakáva sa, že navrhovaná smernica o žalobách v zastúpení na ochranu kolektívnych záujmov spotrebiteľov po prijatí posilní rámec pre žaloby v zastúpení aj v oblasti ochrany údajov. Sťažnosti Ako uviedol výbor, od mája 2018 do konca novembra 2019 bol celkový počet sťažností približne 275 000. Tento údaj by sa však mal posudzovať s veľkou obozretnosťou, keďže orgány nevymedzujú sťažnosti rovnakým spôsobom. Absolútny počet sťažností prijatých orgánmi pre ochranu osobných údajov sa medzi členskými štátmi veľmi líši. Najvyšší počet sťažností bol zaznamenaný v Nemecku (67 000), Holandsku (37 000), Španielsku a vo Francúzsku (každá krajina 18 000), v Taliansku (14 000), Poľsku a Írsku (každá krajina 12 000). Dve tretiny orgánov uviedli počet sťažností v rozmedzí od 8 000 do 600. Najnižší počet sťažností bol zaznamenaný v Estónsku a Belgicku (približne 500), na Malte a na Islande (menej ako 200). Počet sťažností nemusí nevyhnutne korelovať s počtom obyvateľov alebo s HDP, v Nemecku bol napríklad zaznamenaný takmer dvojnásobný počet sťažností v porovnaní s Holandskom a štvornásobný počet sťažností v porovnaní so Španielskom a s Francúzskom Spätná väzba od skupiny viacerých zainteresovaných strán ukazuje, že organizácie zaviedli rozličné opatrenia na uľahčenie výkonu práv dotknutých osôb vrátane vykonávacích postupov, ktoré zabezpečujú individuálne preskúmanie žiadostí a odpoveď od prevádzkovateľa, využívania niekoľkých kanálov (pošta, vyhradená e-mailová adresa, webové sídlo atď.), aktualizovaných interných postupov a politík týkajúcich sa včasného interného vybavovania žiadostí a odbornej prípravy zamestnancov. Niektoré spoločnosti zaviedli digitálne portály prístupné prostredníctvom webových sídiel spoločnosti (alebo firemného intranetu pre zamestnancov) s cieľom uľahčiť výkon práv dotknutými osobami. Ďalší pokrok je však potrebný v týchto bodoch: ·nie všetci prevádzkovatelia plnia svoju povinnosť uľahčovať výkon práv dotknutých osôb. Musia zabezpečiť, aby dotknuté osoby mali účinný kontaktný bod, ktorému môžu vysvetliť svoje problémy. Môže to byť zodpovedná osoba, pričom jej kontaktné údaje sa musia dotknutej osobe poskytnúť proaktívne. Možnosti kontaktu sa nesmú obmedzovať iba na e-maily, ale dotknutej osobe musia umožňovať osloviť prevádzkovateľa aj inými prostriedkami. ·Jednotlivci stále čelia problémom, keď požadujú prístup k svojim údajom, napríklad od platforiem, obchodníkov s údajmi a reklamno-technologických spoločností. ·Právo na prenosnosť údajov sa nevyužíva v plnej miere. V európskej dátovej stratégii (ďalej len „dátová stratégia“) prijatej Komisiou 19. februára 2020 sa zdôraznila potreba uľahčiť všetky možné použitia tohto práva (napr. zavedením povinných technických rozhraní a strojovo čitateľných formátov umožňujúcich prenosnosť údajov v reálnom alebo približne v reálnom čase). Hospodárske subjekty berú na vedomie, že niekedy sa vyskytujú problémy s poskytovaním údajov v štruktúrovanom, bežne používanom strojom čitateľnom formáte (z dôvodu chýbajúceho štandardu). Iba organizácie v konkrétnych odvetviach, ako je bankovníctvo, telekomunikácie, vodomery a merače tepla, hlásia, že implementovali potrebné rozhrania. Boli vyvinuté nové technologické nástroje, ktoré jednotlivcom uľahčujú výkon ich práv vyplývajúcich zo všeobecného nariadenia o ochrane údajov, ktoré sa neobmedzujú iba na prenosnosť údajov (napr. osobné dátové priestory a služby správy osobných informácií). ·Práva detí: Niekoľko členov skupiny viacerých zainteresovaných strán zdôrazňuje potrebu poskytovať deťom informácie a skutočnosť, že mnoho organizácií ignoruje, že ich spracúvanie údajov sa môže týkať detí. Rada zdôraznila, že pri vypracúvaní kódexov správania by sa mohla venovať osobitná pozornosť ochrane detí. Orgány pre ochranu osobných údajov sa takisto zameriavajú na ochranu detí. ·Právo na informácie: niektoré spoločnosti majú veľmi právne formalistický prístup: oznámenia o ochrane údajov považujú za právne úkony, a tak sú poskytnuté informácie pomerne zložité, ťažko zrozumiteľné alebo neúplné, zatiaľ čo vo všeobecnom nariadení o ochrane údajov sa vyžaduje, aby všetky informácie boli stručné a formulované jasne a jednoducho. Zdá sa, že niektoré spoločnosti sa neriadia odporúčaniami výboru, napríklad pokiaľ ide o uvádzanie názvov subjektov, s ktorými si vymieňajú údaje. ·Niekoľko členských štátov vo vnútroštátnom práve značne obmedzilo práva dotknutých osôb a niektoré dokonca aj nad rámec článku 23 všeobecného nariadenia o ochrane údajov. ·Výkonu práv jednotlivcov niekedy bránia praktiky niekoľkých veľkých digitálnych aktérov, ktorí jednotlivcom sťažujú výber nastavení, ktoré najviac chránia ich súkromie (v rozpore s požiadavkou špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov). Zainteresované strany netrpezlivo očakávajú usmernenia výboru týkajúce sa práv dotknutých osôb. 5Príležitosti a výzvy pre organizácie, najmä pre malé a stredné podniky Príležitosti pre organizácie Všeobecné nariadenie o ochrane údajov posilňuje hospodársku súťaž a inovácie. Spolu s nariadením o rámci pre voľný tok iných ako osobných údajov v Európskej únii zabezpečuje voľný tok údajov v rámci EÚ a vytvára rovnaké podmienky ako pre spoločnosti usadené mimo EÚ. Vytvorením harmonizovaného rámca pre ochranu osobných údajov všeobecné nariadenie o ochrane údajov zabezpečuje, že všetci aktéri na vnútornom trhu sú viazaní rovnakými pravidlami a využívajú rovnaké príležitosti bez ohľadu na to, kde majú prevádzkareň a kde prebieha spracovanie Technologická neutralita všeobecného nariadenia o ochrane údajov poskytuje rámec ochrany údajov pre nový technologický vývoj. Zásady špecificky navrhnutej a štandardnej ochrany údajov podnecujú inovačné riešenia, ktoré zahŕňajú aspekty ochrany údajov od samého začiatku a môžu znížiť náklady na dodržiavanie pravidiel ochrany údajov. Súkromie sa navyše stáva dôležitým konkurenčným parametrom, ktorý jednotlivci čoraz viac zohľadňujú pri výbere svojich služieb. Tí, ktorí sú informovanejší a citlivejší k otázkam ochrany údajov, hľadajú produkty a služby, ktoré zabezpečujú účinnú ochranu osobných údajov. Uplatňovanie práva na prenosnosť údajov má potenciál znížiť prekážky vstupu na trh pre podniky ponúkajúce inovačné služby zohľadňujúce ochranu údajov. Treba monitorovať účinky potenciálne širšieho využívania tohto práva na trhu v rôznych odvetviach. Dodržiavanie pravidiel ochrany údajov a ich transparentné uplatňovanie vytvorí u ľudí dôveru vo využívanie osobných údajov, a teda nové príležitosti pre podniky. Rovnako ako všetky predpisy aj pravidlá ochrany údajov vytvárajú pre spoločnosti náklady na dodržiavanie predpisov. Nad týmito nákladmi prevažujú príležitosti a výhody posilnenej dôvery v digitálne inovácie a spoločenské výhody vyplývajúce z dodržiavania základného práva. Zabezpečením rovnakých podmienok a vybavením orgánov pre ochranu osobných údajov potrebnými prostriedkami na účinné presadzovanie pravidiel všeobecné nariadenie o ochrane osobných údajov bráni spoločnostiam, ktoré nedodržiavajú pravidlá, zneužívať dôveru vybudovanú tými, ktorí pravidlá dodržiavajú. Osobitné potreby malých a stredných podnikov (ďalej len „MSP“).

Zainteresované strany, ale aj Európsky parlament, Rada a orgány pre ochranu osobných údajov vo všeobecnosti vnímajú, že uplatňovanie všeobecného nariadenia o ochrane údajov je obzvlášť náročné pre mikropodniky, malé a stredné podniky a malé dobrovoľnícke a charitatívne organizácie. V zmysle prístupu založeného na riziku by nebolo vhodné stanoviť výnimky na základe veľkosti hospodárskeho subjektu pretože veľkosť nie je sama osebe ukazovateľom rizík, ktoré pre jednotlivcov vyplývajú zo spracúvania osobných údajov daným prevádzkovateľom. Prístup založený na riziku spája flexibilitu s účinnou ochranou. Zohľadňujú sa v ňom potreby malých a stredných podnikov, ktoré nespracúvajú údaje ako svoj hlavný predmet podnikania, a nastavujú sa ich povinnosti najmä na základe pravdepodobnosti a závažnosti rizík spojených s konkrétnym spracovaním, ktoré vykonávajú. K malému a nízkorizikovému spracovaniu by sa nemalo pristupovať rovnako ako k vysokorizikovému a častému spracovaniu – bez ohľadu na veľkosť spoločnosti, ktorá ho vykonáva. V súlade s konštatovaním výboru by sa preto „v každom prípade mal zachovať prístup založený na riziku presadzovaný zákonodarcom v texte, keďže riziká pre dotknuté osoby nezávisia od veľkosti prevádzkovateľov“. Orgány pre ochranu osobných údajov by mali pri presadzovaní všeobecného nariadenia o ochrane údajov túto zásadu v plnej miere zohľadniť, pokiaľ možno v rámci spoločného európskeho prístupu, aby nevytvárali prekážky pre jednotný trh. Orgány pre ochranu osobných údajov vytvorili niekoľko nástrojov a zdôraznili svoj úmysel ďalej ich zlepšovať. Niektoré orgány spustili informačné kampane a dokonca usporiadajú bezplatné „kurzy o všeobecnom nariadení o ochrane údajov“ pre MSP. Príklady usmernení a nástrojov poskytnutých orgánmi pre ochranu osobných údajov konkrétne pre MSP ·uverejňovanie informácií určených pre MSP, ·semináre pre zodpovedné osoby a podujatia pre MSP, ktoré nie sú povinné určiť zodpovedné osoby, ·interaktívne príručky na pomoc MSP, ·linky pomoci určené na poskytovanie konzultácií, ·šablóny spracovateľských zmlúv a záznamov o spracovateľských činnostiach. Opis činností vykonávaných orgánmi pre ochranu osobných údajov sa uvádza v príspevku výboru. Niektoré z týchto opatrení zamerané osobitne na podporu MSP získali financovanie EÚ. Komisia poskytla finančnú podporu v troch vlnách grantov v celkovej výške 5 miliónov EUR, pričom posledné dve vlny boli osobitne zamerané na podporu vnútroštátnych orgánov pre ochranu osobných údajov v ich úsilí o spoluprácu s jednotlivcami a MSP: v dôsledku toho boli v roku 2018 pridelené 2 milióny EUR pre deväť orgánov pre ochranu osobných údajov na činnosti v rokoch 2018 – 2019 (Belgicko, Bulharsko, Dánsko, Maďarsko, Litva, Lotyšsko, Lotyšsko, Holandsko, Slovinsko a Island) a v roku 2019 1 milión EUR pre štyri orgány pre ochranu osobných údajov (Belgicko, Malta, Slovinsko a Chorvátsko v spolupráci s Írskom) na činnosti v roku 2020 . V roku 2020 sa pridelí ďalší 1 milión EUR. Napriek týmto iniciatívam MSP a startupy často uvádzajú, že zápasia s uplatňovaním zásady zodpovednosti stanovenej v rámci všeobecného nariadenia o ochrane údajov. Konkrétne uvádzajú, že od vnútroštátnych orgánov pre ochranu osobných údajov nedostávajú vždy dostatok usmernení a praktických rád alebo že čas potrebný na získanie usmernení a rád je príliš dlhý. Vyskytli sa aj prípady, keď sa orgány nechceli venovať právnym otázkam. Keď sa MSP stretnú s takýmito situáciami, často sa obracajú na externých poradcov a právnikov, ktorí sa zaoberajú vykonávaním zásady zodpovednosti a prístupu založeného na rizikách (vrátane požiadaviek na transparentnosť, záznamov o spracovaní a oznámení o porušení ochrany osobných údajov). Z toho im môžu vyplynúť ďalšie náklady. Jedným z konkrétnych problémov je zaznamenávanie spracovateľských činností, ktoré MSP a malé združenia považujú za veľkú administratívnu záťaž. Výnimka z tejto povinnosti podľa článku 30 ods. 5 všeobecného nariadenia o ochrane údajov je skutočne veľmi úzka. Úsiliu súvisiacemu so splnením tejto povinnosti by sa však nemal prikladať nadmerný význam. Ak hlavná činnosť MSP nezahŕňa spracovanie osobných údajov, takéto záznamy môžu byť jednoduché a nezaťažujúce. To isté platí pre dobrovoľnícke a iné združenia. Takéto zjednodušené záznamy by uľahčili šablóny záznamov, ktoré už niektoré orgány pre ochranu osobných údajov zaviedli. V každom prípade skoro každý, kto spracúva osobné údaje, by mal mať prehľad o svojom spracovaní, čo je základnou požiadavkou zásady zodpovednosti. Vývojom praktických nástrojov na úrovni EÚ, napríklad harmonizovaných formulárov pre porušenia ochrany osobných údajov a zjednodušených záznamov o spracovateľských činnostiach, môže výbor pomôcť MSP a malým združeniam, ktorých hlavné činnosti nie sú zamerané na spracovanie osobných údajov, splniť ich povinnosti. Rôzne priemyselné združenia vyvinuli úsilie na zvýšenie informovanosti a informovanie svojich členov, napríklad prostredníctvom konferencií a seminárov, poskytovaním informácií o dostupných usmerneniach podnikom alebo vývojom asistenčných služieb pre členov v oblasti ochrany súkromia. Uvádzajú aj informácie o rastúcom počte seminárov, stretnutí a podujatí organizovaných think tankami a združeniami MSP o záležitostiach týkajúcich sa všeobecného nariadenia o ochrane údajov S cieľom zlepšiť voľný pohyb všetkých údajov v rámci EÚ a zaviesť jednotné uplatňovanie všeobecného nariadenia o ochrane údajov a nariadenia o voľnom toku iných ako osobných údajov Komisia vydala aj praktické usmernenie týkajúce sa pravidiel upravujúcich spracúvanie zmiešaných súborov údajov zložených z osobných aj iných ako osobných údajov, a to osobitne so zameraním na MSP. Súbor nástrojov pre podniky Vo všeobecnom nariadení o ochrane údajov sa poskytuje súbor nástrojov, ktorý pomáha preukázať dodržiavanie predpisov, napríklad kódexy správania, certifikačné mechanizmy a štandardné zmluvné doložky.

·Kódexy správania Výbor vydal usmernenia na podporu „vlastníkov kódexov“ s cieľom zjednodušiť vypracovanie, zmeny alebo rozšírenia kódexov a poskytovať praktické rady a pomoc pri výklade. V týchto usmerneniach sa objasňujú aj postupy predkladania, schvaľovania a uverejňovania kódexov na vnútroštátnej úrovni aj na úrovni EÚ stanovením minimálnych požadovaných kritérií. Zainteresované strany považujú kódexy správania za veľmi užitočné nástroje. Hoci na vnútroštátnej úrovni sa uplatňuje veľa kódexov, v súčasnosti sa pripravuje niekoľko kódexov správania na úrovni celej EÚ (napríklad pre mobilné aplikácie v oblasti zdravia, medicínsky výskum v oblasti genomiky, cloud computing, priamy marketing, poistenie, spracovanie v rámci prevenčných a poradenských služieb pre deti). Subjekty sa domnievajú, že kódexy správania na úrovni EÚ by sa mali výraznejšie propagovať, pretože podporujú dôsledné uplatňovanie všeobecného nariadenia o ochrane údajov vo všetkých členských štátoch. Kódexy správania si však od hospodárskych subjektov vyžadujú aj čas a investície, tak na ich vývoj, ako aj na vytvorenie požadovaných nezávislých monitorovacích orgánov. Zástupcovia MSP zdôrazňujú najmä význam a užitočnosť kódexov správania, ktoré sú prispôsobené ich situácii a nepredstavujú neprimerané náklady. Podnikateľské združenia v niektorých odvetviach preto zaviedli ďalšie druhy samoregulačných nástrojov, ako sú kódexy osvedčených postupov alebo usmernenia. Aj keď tieto nástroje môžu poskytnúť užitočné informácie, nie sú schvaľované orgánmi pre ochranu osobných údajov a nemôžu slúžiť ako nástroj na preukázanie dodržiavania všeobecného nariadenia o ochrane údajov. Rada zdôrazňuje, že v kódexoch správania sa musí venovať osobitná pozornosť spracovaniu údajov o deťoch a údajov týkajúcich sa zdravia. Komisia podporuje kódex/-y správania, ktorými by sa harmonizoval prístup v oblasti zdravia a výskumu a uľahčilo by sa cezhraničné spracovanie osobných údajov. Rada v súčasnosti schvaľuje návrh akreditačných požiadaviek pre subjekty monitorujúce kódexy správania, ktoré predložilo niekoľko orgánov pre ochranu osobných údajov. Keď budú nadnárodné kódexy správania alebo kódexy správania na úrovni EÚ pripravené na predloženie orgánom pre ochranu osobných údajov na schválenie, prebehnú konzultácie s výborom. Rýchle zavedenie nadnárodných kódexov správania je obzvlášť dôležité pre oblasti, ktoré zahŕňajú spracovanie významného množstva údajov (napr. cloud computing) alebo citlivých údajov (napr. týkajúcich sa zdravia/výskumu). ·Certifikácia Certifikácia môže byť užitočným nástrojom na preukázanie dodržiavania osobitných požiadaviek všeobecného nariadenia o ochrane údajov. Možno pomocou nej zvyšovať právnu istotu podnikov a propagovať všeobecné nariadenie o ochrane údajov na globálnej úrovni. Ako sa uvádza v štúdii o certifikácii uverejnenej v apríli 2019, cieľom by malo byť uľahčenie zavádzania príslušných systémov. Výbor podporí vývoj systémov certifikácie v EÚ usmerneniami o kritériách certifikácie a o akreditácii certifikačných subjektov. Bezpečnosť a špecificky navrhnutá ochrana údajov sú kľúčovými prvkami, ktoré sa majú zvážiť podľa všeobecného nariadenia o ochrane údajov a pri ktorých by sa zišiel spoločný a ambiciózny prístup v rámci celej EÚ. Komisia bude ďalej podporovať súčasné kontakty medzi Agentúrou Európskej únie pre kybernetickú bezpečnosť (ENISA), orgánmi pre ochranu osobných údajov a výborom. Pokiaľ ide o kybernetickú bezpečnosť, Komisia po prijatí aktu o kybernetickej bezpečnosti požiadala, aby agentúra ENISA pripravila dva certifikačné systémy vrátane jedného systému pre cloudové služby. Zvažujú sa ďalšie systémy zamerané na kybernetickú bezpečnosť služieb a výrobkov pre spotrebiteľov. Hoci sa tieto certifikačné systémy zavedené podľa zákona o kybernetickej bezpečnosti výslovne nezaoberajú ochranou údajov a súkromím, prispievajú k zvyšovaniu dôvery spotrebiteľov v digitálne služby a výrobky. Takéto systémy môžu poskytnúť dôkaz o dodržiavaní zásad štandardnej bezpečnosti, ako aj o vykonávaní príslušných technických a organizačných opatrení týkajúcich sa bezpečnosti spracovania osobných údajov. ·Štandardné zmluvné doložky: Komisia pracuje na štandardných zmluvných doložkách medzi prevádzkovateľmi a sprostredkovateľmi, a to aj s ohľadom na modernizáciu štandardných zmluvných doložiek pre medzinárodné prenosy (pozri oddiel 7.2). Akt Únie prijatý Komisiou bude mať záväzný účinok v celej EÚ, čím sa zabezpečí úplná harmonizácia a právna istota. 6Uplatňovanie všeobecného nariadenia o ochrane údajov na nové technológie Technologicky neutrálny rámec pre nové technológie Všeobecné nariadenie o ochrane údajov je technologicky neutrálne, podporuje dôveru a je založené na zásadách. Tieto zásady vrátane zákonného a transparentného spracovania, obmedzenia účelu a minimalizácie údajov poskytujú pevný základ pre ochranu osobných údajov bez ohľadu na použité operácie a techniky spracovania. Členovia skupiny viacerých zainteresovaných strán uvádzajú, že všeobecné nariadenie o ochrane osobných údajov má celkovo pozitívny vplyv na vývoj nových technológií a poskytuje dobrý základ pre inovácie. Všeobecné nariadenie o ochrane údajov sa považuje za základný a flexibilný nástroj, ktorý zabezpečí, aby vývoj nových technológií bol v súlade so základnými právami. Vykonávanie jeho základných zásad je mimoriadne dôležité pre spracovanie údajov vo veľkom rozsahu. Technologicky neutrálny prístup všeobecného nariadenia o ochrane údajov založený na riziku zabezpečuje úroveň ochrany údajov, ktorá je primeraná na riešenie rizika spracovania, a to aj pri nových technológiách. Zainteresované strany uvádzajú najmä, že zásady všeobecného nariadenia o ochrane údajov týkajúce sa obmedzenia účelu a ďalšieho kompatibilného spracovania, minimalizácie údajov, obmedzenia uchovávania, transparentnosti, zodpovednosti a podmienok, za ktorých môžu byť legálne vo veľkom rozsahu nasadené automatizované rozhodovacie procesy, vo veľkej miere riešia obavy súvisiace s používaním umelej inteligencie. Prístup všeobecného nariadenia o ochrane údajov odolný voči budúcim zmenám a založený na riziku sa bude uplatňovať aj v možnom budúcom rámci pre umelú inteligenciu a pri vykonávaní dátovej stratégie. Cieľom dátovej stratégie je podporovať dostupnosť údajov a vytvárať spoločné európske dátové priestory podporované federatívnymi službami cloudovej infraštruktúry. Pokiaľ ide o osobné údaje, všeobecné nariadenie o ochrane údajov poskytuje hlavný právny rámec, v rámci ktorého je možné navrhnúť účinné riešenia pre jednotlivé prípady v závislosti od povahy a obsahu každého dátového priestoru. Všeobecné nariadenie o ochrane údajov zvýšilo informovanosť o ochrane osobných údajov v EÚ aj mimo nej a spoločnosti sa v ňom vyzvali, aby prispôsobili svoje postupy tak, aby pri inováciách zohľadňovali zásady ochrany údajov. Organizácie občianskej spoločnosti však poznamenávajú, že hoci vplyv všeobecného nariadenia o ochrane údajov na vývoj nových technológií sa javí ako pozitívny, postupy hlavných digitálnych aktérov sa zatiaľ zásadne nezmenili smerom k spracovaniu, pri ktorom sa viac zohľadňuje súkromie. Pevné a účinné presadzovanie všeobecného nariadenia o ochrane údajov vo vzťahu k veľkým digitálnym platformám a integrovaným spoločnostiam, a to aj v oblastiach, ako sú online reklama a mikrozacielenie, je zásadným prvkom ochrany jednotlivcov.

Komisia analyzuje širšie problémy týkajúce sa správania veľkých digitálnych aktérov na trhu v kontexte balíka predpisov o digitálnych službách. Pokiaľ ide o výskum v oblasti sociálnych médií, Komisia pripomína, že platformy sociálnych médií nemôžu využívať všeobecné nariadenie o ochrane údajov ako zámienku na obmedzenie prístupu výskumných pracovníkov a overovateľov faktov k iným ako osobným údajom, ako sú štatistiky o tom, ktorým kategóriám ľudí boli zaslané konkrétne cielené reklamy, kritériá navrhovania tohto zacielenia, informácie o falošných účtoch atď. Počas pandémie COVID-19 bol technologicky neutrálny a nadčasový prístup všeobecného nariadenia o ochrane údajov podrobený skúške a vyšiel z nej úspešne. Jeho pravidlá založené na zásadách podporovali vývoj nástrojov na boj proti šíreniu vírusu a na jeho monitorovanie. Výzvy, ktoré by sa mali riešiť Vývoj a uplatňovanie nových technológií tieto zásady nespochybňujú. Výzvou je objasniť, akým spôsobom uplatňovať osvedčené zásady vo vzťahu ku špecifickým technológiám, ako je umelá inteligencia, blockchain, internet vecí, rozpoznávanie tváre alebo kvantový computing. V tejto súvislosti Európsky parlament a Rada zdôraznili potrebu nepretržitého monitorovania s cieľom objasniť, ako sa všeobecné nariadenie o ochrane údajov uplatňuje na nové technológie a veľké technologické spoločnosti. Zainteresované strany takisto upozorňujú, že posúdenie toho, či je všeobecné nariadenie o ochrane údajov naďalej účelné, si vyžaduje aj neustále monitorovanie. Zainteresované strany v odvetví zdôrazňujú, že inovácia si vyžaduje, aby sa všeobecné nariadenie o ochrane údajov uplatňovalo na základe založenom na zásadách, v súlade s jeho návrhom, a nie na striktnom a formalistickom základe. Zastávajú názor, že usmernenia výboru týkajúce sa uplatňovania zásad, pojmov a pravidiel všeobecného nariadenia o ochrane údajov na nové technológie, ako je umelá inteligencia, blockchain alebo internet vecí, by pri zohľadnení prístupu založeného na rizikách mohli poskytnúť vysvetlenia a väčšiu právnu istotu. Takéto právne nezáväzné nástroje sú vhodné na podporu uplatňovania všeobecného nariadenia o ochrane údajov vo vzťahu k novým technológiám, pretože poskytujú väčšiu právnu istotu a môžu sa revidovať v súlade s technologickým vývojom. Niektoré zainteresované strany takisto naznačujú, že by mohlo byť užitočné odvetvové usmernenie o tom, ako uplatňovať všeobecné nariadenie o ochrane údajov na nové technológie. Výbor uviedol, že bude naďalej posudzovať vplyv nových technológií na ochranu osobných údajov. Zainteresované strany takisto zdôrazňujú, že je dôležité, aby regulačné orgány dôkladne porozumeli tomu, ako sa technológia používa, a aby sa zapojili do dialógu s odvetvím o vývoji nových technológií. Domnievajú sa, že prístup „experimentálnych regulačných prostredí“ – ako prostriedok na získanie usmernení k uplatňovaniu pravidiel – by mohol byť zaujímavou možnosťou na testovanie nových technológií a pomohol by podnikom uplatňovať zásady špecificky navrhnutej a štandardnej ochrany údajov vo vzťahu k novým technológiám. Pokiaľ ide o ďalšie politické kroky, zainteresované strany odporúčajú, aby sa všetky budúce politické návrhy týkajúce sa umelej inteligencie opierali o existujúce právne rámce a boli zosúladené so všeobecným nariadením o ochrane údajov. Pred navrhnutím nových normatívnych pravidiel by sa mali starostlivo posúdiť potenciálne konkrétne problémy na základe relevantných dôkazov. V bielej knihe Komisie o umelej inteligencii sa uvádza niekoľko politických možností, ku ktorým sa do 14. júna 2020 zbierali názory zainteresovaných strán. Pokiaľ ide o rozpoznávanie tváre, čo je technológia, ktorá môže mať výrazný vplyv na práva jednotlivcov, v bielej knihe sa pripomenul súčasný legislatívny rámec a otvorila sa verejná diskusia o konkrétnych okolnostiach (ak také sú), za ktorých môže byť odôvodnené použitie umelej inteligencie na rozpoznávanie tváre a ďalšie spôsoby vzdialenej biometrickej identifikácie na verejných miestach, a o spoločných zárukách. 7Medzinárodné prenosy a globálna spolupráca 7.1Súkromie: globálna otázka Dopyt po ochrane osobných údajov nepozná hranice, pretože jednotlivci na celom svete si čoraz viac cenia a chránia svoje súkromie a bezpečnosť svojich údajov. Toky údajov sú zároveň v našom vzájomne prepojenom svete veľmi dôležité pre jednotlivcov, vlády, podniky a všeobecnejšie pre spoločnosť ako celok. Predstavujú neoddeliteľnú súčasť obchodu, spolupráce medzi orgánmi verejnej moci a sociálnych interakcií. V tejto súvislosti súčasná pandémia COVID-19 takisto ukazuje, aké zásadné sú prenosy a výmeny osobných údajov pri mnohých základných činnostiach vrátane zabezpečenia kontinuity vládnych a obchodných operácií – keďže umožňujú teleprácu a iné riešenia, ktoré sa vo veľkej miere opierajú o informačné a komunikačné technológie – rozvoja spolupráce vo vedeckom výskume v oblasti diagnostiky, liečby a očkovacích látok a boja proti novým formám počítačovej kriminality, ako sú napríklad online podvody, v rámci ktorých sa ponúkajú falšované lieky s tvrdením, že sú určené na prevenciu a liečbu ochorenia COVID-19. V tomto kontexte a viac ako kedykoľvek predtým musia ísť ochrana súkromia a uľahčenie tokov údajov ruka v ruke. EÚ a jej režim ochrany údajov spájajúci otvorenosť voči medzinárodným prenosom s vysokou úrovňou ochrany jednotlivcov má veľmi dobré predpoklady na podporu bezpečných a dôveryhodných tokov údajov. Zo všeobecného nariadenia o ochrane údajov sa už stal referenčný bod na medzinárodnej úrovni a pre mnohé krajiny sveta pôsobí ako katalyzátor, aby zvážili zavedenie moderných pravidiel ochrany súkromia. Ide o skutočne celosvetový trend zaznamenaný v mnohých krajinách: od Čile po Južnú Kóreu, od Brazílie po Japonsko, od Kene po Indiu, od Tuniska po Indonéziu a od Kalifornie po Taiwan (ktoré predstavujú len niekoľko vybraných príkladov). Tento vývoj je pozoruhodný nielen z kvantitatívneho, ale aj kvalitatívneho hľadiska: mnohé z nedávno prijatých právnych predpisov o ochrane súkromia alebo predpisov, ktoré sú v procese prijímania, sú založené na základnom súbore spoločných záruk, práv a mechanizmov presadzovania, ktoré sa uplatňujú v EÚ. Vo svete, ktorý je príliš často charakterizovaný rozdielnymi, ba dokonca protichodnými regulačnými prístupmi, je tento trend globálnej konvergencie veľmi pozitívnym vývojom, ktorý prináša nové príležitosti na zvýšenie ochrany jednotlivcov v Európe a zároveň uľahčuje tok údajov a znižuje transakčné náklady pre podnikateľov. Ako sa vysvetľuje ďalej, Komisia s cieľom využiť tieto príležitosti a implementovať stratégiu stanovenú v oznámení z roku 2017 o výmene a ochrane osobných údajov v globalizovanom svete výrazne zintenzívnila prácu na medzinárodnom rozmere súkromia, pričom v plnom rozsahu využila dostupný súbor nástrojov na prenos. Táto práca zahŕňala aktívnu spoluprácu s kľúčovými partnermi s cieľom dosiahnuť „záver o primeranosti“ a priniesť dôležité výsledky, napríklad vytvoriť medzi EÚ a Japonskom najväčšiu zónu voľného a bezpečného toku údajov na svete. Okrem svojej práce v oblasti primeranosti Komisia v rámci výboru úzko spolupracovala s orgánmi pre ochranu osobných údajov, ako aj s ostatnými zainteresovanými stranami, aby plne využila potenciál flexibilných pravidiel všeobecného nariadenia o ochrane údajov pre medzinárodné prenosy. Týka sa to modernizácie nástrojov, ako sú štandardné zmluvné doložky, vývoja certifikačných systémov, kódexov správania alebo administratívnych dojednaní na výmenu údajov medzi orgánmi verejnej moci, ako aj objasnenia kľúčových pojmov týkajúcich sa napríklad územnej pôsobnosti pravidiel EÚ v oblasti ochrany údajov alebo používania tzv. „výnimiek“ na prenos osobných údajov. Napokon Komisia posilnila dialóg na viacerých dvojstranných, regionálnych a viacstranných fórach s cieľom podporiť globálnu kultúru rešpektovania súkromia a rozvíjať prvky konvergencie medzi rôznymi systémami ochrany osobných údajov. Vo svojom úsilí sa Komisia mohla spoľahnúť na aktívnu podporu Európskej služby pre vonkajšiu činnosť, siete delegácií EÚ v tretích krajinách a misií v medzinárodných organizáciách. Zabezpečilo to aj súdržnosť a väčšiu komplementárnosť medzi rôznymi aspektmi vonkajšieho rozmeru politík EÚ, od obchodu až po nové partnerstvo EÚ – Afrika.

7.2Nástroje všeobecného nariadenia o ochrane údajov týkajúce sa prenosu Keďže čoraz viac súkromných a verejných hospodárskych subjektov sa v rámci svojich bežných činností opiera o medzinárodné toky údajov, existuje čoraz väčšia potreba flexibilných nástrojov, ktoré možno prispôsobiť rôznym odvetviam, obchodným modelom a situáciám v oblasti prenosu. S ohľadom na tieto potreby všeobecné nariadenie o ochrane údajov ponúka modernizovaný súbor nástrojov, ktorým sa uľahčuje prenos osobných údajov z EÚ do tretej krajiny alebo medzinárodnej organizácii, pričom sa zabezpečuje, aby sa na tieto údaje naďalej vzťahovala vysoká úroveň ochrany. Táto kontinuita ochrany je dôležitá, pretože v dnešnom svete sa údaje ľahko pohybujú cez hranice a ochrana zaručená všeobecným nariadením o ochrane údajov by bola neúplná, keby sa obmedzila na spracovanie v rámci EÚ. V kapitole V všeobecného nariadenia o ochrane údajov zákonodarca potvrdil štruktúru pravidiel prenosu, ktoré už existovali podľa smernice 95/46/EHS: prenos údajov sa môže uskutočniť, ak Komisia vo vzťahu k tretej krajine alebo medzinárodnej organizácii dospela k záveru o primeranosti alebo v prípade, že k tomu nedošlo, ak prevádzkovateľ alebo sprostredkovateľ v EÚ („vývozca údajov“) poskytol primerané záruky, napríklad prostredníctvom zmluvy s príjemcom („dovozca údajov“). Pre osobitné situácie navyše zostávajú k dispozícii zákonné dôvody na prenosy (tzv. výnimky), pri ktorých zákonodarca rozhodol, že rovnováha záujmov umožňuje prenos údajov za určitých podmienok. Reformou sa zároveň objasnili a zjednodušili existujúce pravidlá, napríklad podrobným stanovením podmienok pre záver o primeranosti alebo záväzných podnikových pravidiel, obmedzením požiadaviek na povolenie na veľmi málo konkrétnych prípadov a úplným zrušením požiadaviek na oznamovanie. Okrem toho sa zaviedli nové nástroje prenosu, ako sú kódexy správania alebo systémy certifikácie, a rozšírili sa možnosti použitia existujúcich nástrojov (napr. štandardných zmluvných doložiek). Dnešné digitálne hospodárstvo umožňuje zahraničným hospodárskym subjektom (vzdialene, ale) priamo sa zúčastňovať na vnútornom trhu EÚ a súťažiť o európskych zákazníkov a ich osobné údaje. Ak sa zameriavajú konkrétne na Európanov prostredníctvom ponuky tovaru alebo služieb alebo monitorovaním ich správania, mali by dodržiavať právne predpisy EÚ rovnako ako subjekty v EÚ. Odráža sa to v článku 3 všeobecného nariadenia o ochrane údajov, ktorým sa rozširuje priama uplatniteľnosť pravidiel EÚ v oblasti ochrany údajov na určité spracovateľské operácie prevádzkovateľov a sprostredkovateľov mimo EÚ. Zaručuje to potrebné záruky a navyše rovnaké podmienky pre všetky spoločnosti pôsobiace na trhu EÚ. Jeho široký dosah je jedným z dôvodov, prečo sa účinky všeobecného nariadenia o ochrane údajov prejavili aj v iných častiach sveta. Podrobné usmernenie výboru o územnej pôsobnosti všeobecného nariadenia o ochrane údajov po komplexnej verejnej konzultácii je preto dôležitým nástrojom, ktorý zahraničným subjektom pomáha určiť, či a ktoré spracovateľské činnosti priamo podliehajú jeho zárukám, a to aj poskytnutím konkrétnych príkladov. Rozšírenie rozsahu pôsobnosti právnych predpisov EÚ o ochrane údajov však samo o sebe nestačí na zaručenie ich dodržiavania v praxi. Ako zdôraznila aj Rada, je nevyhnutné zabezpečiť dodržiavanie predpisov zahraničnými subjektmi a účinné presadzovanie vo vzťahu k nim. Vymenovanie zástupcu v EÚ (článok 27 ods. 1 a ods. 2 všeobecného nariadenia o ochrane údajov), na ktorého sa môžu obrátiť jednotlivci a orgány dohľadu popri zodpovednej spoločnosti konajúcej zo zahraničia alebo namiesto nej, by v tejto súvislosti by malo zohrávať kľúčovú úlohu. Takýto prístup, ktorý sa čoraz viac využíva aj v iných kontextoch, by sa mal uplatňovať energickejšie, aby sa vyslal jasný signál, že skutočnosť, že si nezriadili prevádzkareň v EÚ, neoslobodzuje zahraničné subjekty od povinností podľa všeobecného nariadenia o ochrane údajov. Ak tieto hospodárske subjekty nesplnia svoju povinnosť vymenovať zástupcu, orgány dohľadu by mali využiť úplný súbor nástrojov presadzovania podľa článku 58 všeobecného nariadenia o ochrane údajov (napr. verejné varovania, dočasné alebo konečné zákazy spracovania v EÚ, presadzovanie voči spoločným prevádzkovateľom usadeným v EÚ). Napokon je veľmi dôležité, aby výbor dokončil prácu na ďalšom objasňovaní vzťahu medzi článkom 3 o priamom uplatňovaní všeobecného nariadenia o ochrane údajov a pravidlami pre medzinárodné prenosy v kapitole V. Rozhodnutia o primeranosti Príspevok od zainteresovaných strán potvrdzuje, že rozhodnutia o primeranosti sú pre subjekty EÚ naďalej základným nástrojom na bezpečný prenos osobných údajov do tretích krajín. Takéto rozhodnutia poskytujú najkomplexnejšie, najpriamejšie a nákladovo najefektívnejšie riešenie pre prenos údajov, pretože sa asimilujú s prenosmi v rámci EÚ, čím sa zabezpečuje bezpečný a voľný tok osobných údajov bez ďalších podmienok alebo potreby povolenia. Rozhodnutiami o primeranosti sa preto otvárajú obchodné kanály pre hospodárske subjekty EÚ, uľahčuje sa spolupráca medzi verejnými orgánmi a zároveň sa poskytuje privilegovaný prístup na jednotný trh EÚ. Na základe praxe podľa smernice z roku 1995 sa vo všeobecnom nariadení o ochrane údajov výslovne umožňuje, aby sa určenie primeranosti uskutočnilo so zreteľom na konkrétne územie tretej krajiny alebo na osobitný sektor alebo odvetvie v rámci tretej krajiny (takzvaná „čiastočná“ primeranosť). Všeobecné nariadenie o ochrane údajov stavia na skúsenostiach z minulých rokov a na vysvetleniach, ktoré poskytol Súdny dvor, tým, že uvádza podrobný katalóg prvkov, ktoré musí Komisia zohľadniť pri svojom hodnotení. V štandarde primeranosti sa vyžaduje úroveň ochrany, ktorá je porovnateľná (alebo „v podstate rovnocenná“) s úrovňou zabezpečenou v EÚ. Zahŕňa komplexné hodnotenie systému tretej krajiny ako celku vrátane podstaty ochrany súkromia, jej účinného vykonávania a presadzovania, ako aj pravidiel prístupu orgánov verejnej moci k osobným údajom, najmä na účely presadzovania práva a národnej bezpečnosti. Odráža sa to aj v usmernení prijatom bývalou pracovnou skupinou zriadenou podľa článku 29 (a schválenom výborom), najmä pokiaľ ide o tzv. referenčné kritérium primeranosti. V ňom sa spresňujú prvky, ktoré musí Komisia zohľadniť pri vykonávaní posúdenia primeranosti, ako je napríklad poskytnutie prehľadu „základných záruk“ pre prístup orgánov verejnej moci k osobným údajom. Vychádza sa najmä z judikatúry Európskeho súdu pre ľudské práva. Štandard „základnej rovnocennosti“ nezahŕňa presnú replikáciu („fotokópiu“) pravidiel EÚ, keďže prostriedky na zabezpečenie porovnateľnej úrovne ochrany sa môžu medzi rôznymi systémami ochrany súkromia líšiť, čo často odráža odlišné právne tradície, napriek tomu sa však vyžaduje silná úroveň ochrany. Tento štandard je odôvodnený skutočnosťou, že rozhodnutím o primeranosti sa v zásade rozširujú výhody jednotného trhu z hľadiska voľného toku údajov na tretiu krajinu. Znamená však aj, že niekedy sa vyskytnú významné rozdiely medzi úrovňou ochrany zabezpečenou v príslušnej tretej krajine v porovnaní so všeobecným nariadením o ochrane údajov, ktoré je potrebné prekonať, napríklad prostredníctvom rokovania o dodatočných zárukách. Takéto záruky by sa mali vnímať pozitívne, pretože ďalej posilňujú ochranu dostupnú pre jednotlivcov v EÚ. Komisia zároveň súhlasí s výborom, že je dôležité nepretržite monitorovať ich uplatňovanie v praxi vrátane účinného presadzovania orgánom tretej krajiny pre ochranu osobných údajov. Vo všeobecnom nariadení o ochrane údajov sa vysvetľuje, že rozhodnutia o primeranosti sú „živé nástroje“, ktoré by sa mali neustále monitorovať a pravidelne preskúmavať. V súlade s týmito požiadavkami Komisia uskutočňuje pravidelné výmeny s príslušnými orgánmi s cieľom proaktívne sledovať nový vývoj. Napríklad od prijatia rozhodnutia o štíte na ochranu osobných údajov medzi EÚ a USA v roku 2016 Komisia spolu so zástupcami výboru vykonala tri ročné preskúmania s cieľom vyhodnotiť všetky aspekty fungovania rámca. Tieto preskúmania sa opierali o informácie získané prostredníctvom komunikácie s orgánmi USA, ako aj o informácie od iných zainteresovaných strán, ako sú orgány EÚ pre ochranu osobných údajov, občianska spoločnosť a obchodné združenia. Umožnili zlepšiť praktické fungovanie rôznych prvkov rámca. Zo širšej perspektívy ročné preskúmania prispeli k nadviazaniu širšieho dialógu s vládou USA o ochrane súkromia vo všeobecnosti a o obmedzeniach a zárukách, najmä pokiaľ ide o národnú bezpečnosť. V rámci prvého hodnotenia všeobecného nariadenia o ochrane údajov sa od Komisie takisto vyžaduje, aby preskúmala rozhodnutia o primeranosti prijaté podľa smernice z roku 1995. Útvary Komisie nadviazali intenzívny dialóg so všetkými 11 dotknutými krajinami a územiami s cieľom posúdiť, ako sa vyvinuli ich systémy ochrany osobných údajov od prijatia rozhodnutia o primeranosti a či spĺňajú štandard stanovený vo všeobecnom nariadení o ochrane údajov. Potreba zabezpečiť kontinuitu takýchto rozhodnutí ako kľúčového nástroja pre obchod a medzinárodnú spoluprácu je jedným z faktorov, ktoré viedli viaceré z týchto krajín a území k modernizácii a posilneniu ich predpisov o ochrane súkromia. Toto je určite vítaný vývoj. S niektorými z týchto krajín a území sa rokuje o dodatočných zárukách, ktoré majú riešiť príslušné rozdiely v ochrane. Vzhľadom na to, že rozsudok, ktorý má Súdny dvor vydať 16. júla, môže poskytnúť objasnenia, ktoré by mohli byť relevantné pre určité prvky štandardu primeranosti, Komisia predloží samostatnú správu týkajúcu sa hodnotenia 11 spomínaných rozhodnutí o primeranosti po tom, ako Súdny dvor vynesie rozsudok v danej veci. Pri vykonávaní stratégie stanovenej v oznámení z roku 2017 o výmene a ochrane osobných údajov v globalizovanom svete sa Komisia zapojila aj do nových dialógov o primeranosti. Táto práca už priniesla významné výsledky so zapojením kľúčových partnerov EÚ. V januári 2019 Komisia prijala rozhodnutie o primeranosti pre Japonsko, ktoré je založené na vysokom stupni konvergencie, a to aj prostredníctvom osobitných záruk, napríklad v oblasti následných prenosov, a prostredníctvom vytvorenia mechanizmu na vyšetrovanie a riešenie sťažností jednotlivcov týkajúcich sa prístupu vlády k osobným údajom na účely presadzovania práva a národnej bezpečnosti. Ako prvý záver o primeranosti prijatý v rámci všeobecného nariadenia o ochrane údajov poskytuje rámec dohodnutý s Japonskom užitočný precedens pre budúce rozhodnutia. To zahŕňa aj skutočnosť, že na japonskej strane bolo recipročne prijaté rozhodnutie o „primeranosti“ pre EÚ. Tieto závery o vzájomnej primeranosti spoločne vytvárajú najväčšiu zónu bezpečného a voľného toku osobných údajov na svete, čím dopĺňajú dohodu o hospodárskom partnerstve medzi EÚ a Japonskom. Táto dohoda každoročne podporí obchod s tovarom v hodnote približne 124 miliárd EUR a obchod so službami v hodnote 42,5 miliárd EUR. V pokročilom štádiu je aj proces primeranosti s Južnou Kóreou. Jedným z dôležitých výsledkov je nedávna legislatívna reforma v Južnej Kórei, ktorá viedla k vytvoreniu nezávislého orgánu pre ochranu osobných údajov, ktorý disponuje silnými právomocami v oblasti presadzovania. Tento vývoj je príkladom, ako môže dialóg o primeranosti prispieť k zvýšeniu konvergencie medzi pravidlami EÚ v oblasti ochrany údajov a pravidlami zahraničnej krajiny. Komisia plne súhlasí s výzvou zainteresovaných strán na zintenzívnenie dialógu s vybranými tretími krajinami vzhľadom na možné nové závery o primeranosti. Túto možnosť aktívne skúma spolu s ďalšími dôležitými partnermi v Ázii, Latinskej Amerike a v krajinách susedstva, pričom vychádza zo súčasného trendu smerom k zvyšovaniu globálnej konvergencie v oblasti štandardov ochrany údajov. Komplexné právne predpisy o súkromí boli prijaté alebo sú v pokročilom štádiu legislatívneho procesu napríklad v Latinskej Amerike (Brazília, Čile), sľubný vývoj sa dosahuje v Ázii (napr. India, Indonézia, Malajzia, Srí Lanka, Taiwan a Thajsko), v Afrike (napr. Etiópia, Keňa), ako aj v európskom východnom a južnom susedstve (napr. Gruzínsko, Tunisko). Komisia sa bude podľa možnosti usilovať o dosiahnutie komplexných rozhodnutí o primeranosti zahŕňajúcich súkromný aj verejný sektor. Vo všeobecnom nariadení o ochrane údajov sa okrem toho zaviedla možnosť, aby Komisia prijala závery o primeranosti pre medzinárodné organizácie. V čase, keď niektoré medzinárodné organizácie modernizujú svoje režimy ochrany údajov zavedením komplexných pravidiel, ako aj mechanizmov, ktoré poskytujú nezávislý dohľad a nápravu, by sa táto cesta mohla prvýkrát preskúmať.

Primeranosť zohráva dôležitú úlohu aj v súvislosti so vzťahom so Spojeným kráľovstvom po jeho vystúpení z Únie za predpokladu, že budú splnené príslušné podmienky. Predstavuje kľúčový faktor pre obchod vrátane digitálneho obchodu a základný predpoklad úzkej a ambicióznej spolupráce v oblasti presadzovania práva a bezpečnosti. Navyše, vzhľadom na význam tokov údajov medzi Spojeným kráľovstvom a EÚ a jeho blízkosť k trhu EÚ je vysoký stupeň konvergencie medzi pravidlami ochrany údajov na obidvoch stranách Lamanšského prielivu dôležitým prvkom na zabezpečenie rovnakých podmienok. V súlade s politickým vyhlásením o budúcom vzťahu medzi EÚ a Spojeným kráľovstvom Komisia v súčasnosti vykonáva posúdenie primeranosti podľa všeobecného nariadenia o ochrane údajov, ako aj podľa smernice o presadzovaní práva. Vzhľadom na autonómny a jednostranný charakter posúdenia primeranosti sú tieto rozhovory oddelené od rokovaní o dohode o budúcom vzťahu medzi EÚ a Spojeným kráľovstvom. Komisia napokon víta skutočnosť, že ostatné krajiny zavádzajú mechanizmy prenosu údajov podobné záveru o primeranosti. Pritom často uznávajú EÚ a krajiny, pre ktoré Komisia prijala rozhodnutie o primeranosti, za bezpečné destinácie pre prenosy. Na jednej strane rastúci počet krajín, ktoré využívajú rozhodnutia EÚ o primeranosti, a uvedená forma uznania inými krajinami na strane druhej majú potenciál vytvoriť sieť krajín, v ktorých môže prebiehať voľný a bezpečný tok údajov. Komisia to považuje za vítaný vývoj, ktorý ďalej zvýši prínosy rozhodnutia o primeranosti pre tretie krajiny a prispeje ku globálnej konvergencii. Tento druh synergického účinku môže takisto užitočne prispieť k vývoju rámcov pre bezpečný a voľný tok údajov, napríklad v kontexte iniciatívy „voľný tok údajov s dôverou“ (pozri ďalej). Primerané záruky Všeobecné nariadenie o ochrane údajov poskytuje celý súbor ďalších nástrojov prenosu nad rámec komplexného riešenia prostredníctvom záveru o primeranosti. Flexibilita tohto „súboru nástrojov“ sa preukazuje v článku 46 všeobecného nariadenia o ochrane údajov, v ktorom sa upravuje prenos údajov na základe „primeraných záruk“ vrátane vymožiteľných práv dotknutých osôb a účinných právnych prostriedkov nápravy. Na zabezpečenie primeraných záruk sú k dispozícii rôzne nástroje, ktoré zodpovedajú potrebám komerčných hospodárskych subjektov a orgánov verejnej moci vo vzťahu k prenosom údajov. ·Štandardné zmluvné doložky: Prvou skupinou týchto nástrojov sú zmluvné nástroje, ktoré môžu byť buď prispôsobené doložky ad hoc o ochrane údajov dohodnuté medzi vývozcom údajov z EÚ a dovozcom mimo EÚ povolené príslušným orgánom pre ochranu osobných údajov [článok 46 ods. 3 písm. a) všeobecného nariadenia o ochrane údajov], alebo vzorové doložky vopred schválené Komisiou [článok 46 ods. 2 písm. c), d) všeobecného nariadenia o ochrane údajov]. Najdôležitejšie z týchto nástrojov sú tzv. štandardné zmluvné doložky, t. j. vzorové doložky o ochrane údajov, ktoré môžu vývozca údajov a dovozca údajov začleniť do svojich zmluvných dojednaní (napr. do zmluvy o službách, v ktorej sa vyžaduje prenos osobných údajov) na dobrovoľnom základe a v ktorých sa stanovujú požiadavky týkajúce sa vhodných záruk. Štandardné zmluvné doložky predstavujú zďaleka najbežnejšie používaný mechanizmus prenosu údajov. Štandardné zmluvné doložky využívajú tisíce spoločností v EÚ s cieľom poskytovať svojim klientom, dodávateľom, partnerom a zamestnancom širokú škálu služieb vrátane služieb nevyhnutných pre fungovanie hospodárstva. Ich široké využitie naznačuje, že sú pre podniky veľmi užitočné pri ich úsilí o dodržiavanie predpisov a sú obzvlášť prospešné pre spoločnosti, ktoré nemajú zdroje na rokovanie o jednotlivých zmluvách s každým zo svojich obchodných partnerov. Vďaka štandardizácii a predbežnému schváleniu štandardné zmluvné doložky poskytujú spoločnostiam ľahko vykonateľný nástroj na splnenie požiadaviek ochrany údajov v kontexte prenosu. Existujúce súbory štandardných zmluvných doložiek boli prijaté a schválené na základe smernice z roku 1995. Tieto štandardné zmluvné doložky zostávajú v platnosti dovtedy, kým nebudú podľa potreby zmenené, nahradené alebo zrušené rozhodnutím Komisie (článok 46 ods. 5 všeobecného nariadenia o ochrane údajov). Vo všeobecnom nariadení o ochrane údajov sa rozširujú možnosti použitia štandardných zmluvných doložiek v rámci EÚ aj na medzinárodné prenosy. Komisia spolupracuje so zainteresovanými stranami na využívaní týchto možností a na aktualizácii existujúcich doložiek. S cieľom zabezpečiť, aby bol budúci návrh štandardných zmluvných doložiek vhodný na svoj účel, Komisia zhromažďuje spätnú väzbu o skúsenostiach zainteresovaných strán prostredníctvom skupiny viacerých zainteresovaných strán pre všeobecné nariadenie o ochrane údajov a špecializovaného seminára, ktorý sa konal v septembri 2019, ale aj prostredníctvom viacerých kontaktov so spoločnosťami, ktoré využívajú štandardné zmluvné doložky, ako aj s organizáciami občianskej spoločnosti. Výbor takisto pracuje na aktualizácii niekoľkých usmernení, ktoré by mohli byť relevantné pre preskúmanie štandardných zmluvných doložiek, napríklad pokiaľ ide o pojmy prevádzkovateľ a sprostredkovateľ. Na základe prijatej spätnej väzby útvary Komisie v súčasnosti pracujú na revízii štandardných zmluvných doložiek. V tejto súvislosti identifikovali niekoľko oblastí na zlepšenie, najmä pokiaľ ide o tieto aspekty: 1.aktualizácia štandardných zmluvných doložiek na základe nových požiadaviek zavedených všeobecným nariadením o ochrane údajov, ako sú požiadavky týkajúce sa vzťahu medzi prevádzkovateľom a sprostredkovateľom podľa článku 28 všeobecného nariadenia o ochrane údajov (najmä povinnosti sprostredkovateľa), povinnosti dovozcu údajov týkajúce sa transparentnosti (pokiaľ ide o potrebné informácie, ktoré sa majú poskytovať dotknutej osobe) atď.; 2.riešenie niekoľkých scenárov prenosu, na ktoré sa súčasné štandardné zmluvné doložky nevzťahujú, ako je napríklad prenos údajov od sprostredkovateľa z EÚ sprostredkovateľovi/subdodávateľovi mimo EÚ, ale napríklad aj situácie, keď sa prevádzkovateľ nachádza mimo EÚ; 3.lepšie zohľadnenie okolností spracovateľských operácií v modernej digitálnej ekonomike, kde takéto operácie často zahŕňajú viac dovozcov a vývozcov údajov, dlhé a často zložité sprostredkovateľské reťazce, rozvíjajúce sa obchodné vzťahy atď. S cieľom riešiť takéto situácie skúmané riešenia zahŕňajú napríklad možnosť umožniť podpísanie štandardných zmluvných doložiek s viacerými stranami alebo pristúpenie nových strán počas trvania zmluvy. Pri riešení týchto bodov Komisia zvažuje aj spôsoby, ako zvýšiť používateľskú ústretovosť súčasnej „architektúry“ štandardných zmluvných doložiek, napríklad nahradením viacerých súborov štandardných zmluvných doložiek jediným komplexným dokumentom. Úlohou je nájsť primeranú rovnováhu medzi potrebou jasnosti a určitým stupňom štandardizácie na jednej strane a potrebnou flexibilitou, ktorá umožní, aby doložky mohli využívať viaceré subjekty s rôznymi požiadavkami v rôznych kontextoch pre rôzne druhy prenosov, na strane druhej. Ďalším dôležitým aspektom, ktorý je potrebné zvážiť, je možnosť, že vzhľadom na súčasné súdne spory pred Súdnym dvorom bude potrebné ďalej objasniť záruky, pokiaľ ide o prístup zahraničných orgánov verejnej moci k údajom prenášaným na základe štandardných zmluvných doložiek, najmä na účely národnej bezpečnosti. To môže zahŕňať požiadavku, aby dovozca alebo vývozca údajov alebo obidvaja podnikli kroky a objasnili v tejto súvislosti úlohu orgánov pre ochranu osobných údajov. Napriek tomu, že revízia štandardných zmluvných doložiek je v pokročilom štádiu, bude potrebné počkať, či sa v rozsudku Súdneho dvora neobjaví prípadná dodatočná požiadavka na revíziu doložiek. Až potom bude možné predložiť výboru návrh rozhodnutia o novom súbore štandardných zmluvných doložiek, aby k nemu prijal stanovisko, a potom ho predložiť na schválenie prostredníctvom „komitologického postupu“. Komisia je súčasne v kontakte s medzinárodnými partnermi, ktorí vyvíjajú podobné nástroje. Tento dialóg, ktorý umožňuje výmenu skúseností a najlepších postupov, by mohol významne prispieť k ďalšiemu rozvoju konvergencie „priamo na mieste“, čím by sa uľahčilo dodržiavanie pravidiel cezhraničného prenosu pre spoločnosti pôsobiace v rôznych regiónoch sveta. ·Záväzné vnútropodnikové pravidlá Ďalším dôležitým nástrojom sú takzvané záväzné vnútropodnikové pravidlá. Ide o právne záväzné politiky a dojednania, ktoré sa vzťahujú na členov podnikovej skupiny vrátane ich zamestnancov [články 46 ods. 2 písm. b) a článok 47 všeobecného nariadenia o ochrane údajov]. Používanie záväzných vnútropodnikových pravidiel umožňuje voľný pohyb osobných údajov medzi rôznymi členmi skupiny po celom svete – bez potreby zmluvných dojednaní medzi každou právnickou osobou – a zároveň zabezpečuje, aby sa v celej skupine dodržiavala rovnako vysoká úroveň ochrany osobných údajov. Poskytujú mimoriadne vhodné riešenie pre zložité a veľké podnikové skupiny a pre úzku spoluprácu podnikov, ktoré si vymieňajú údaje v rámci viacerých jurisdikcií. Na rozdiel od smernice z roku 1995 môžu byť záväzné vnútropodnikové pravidlá podľa všeobecného nariadenia o ochrane údajov používané skupinou podnikov zapojených do spoločnej hospodárskej činnosti, ktoré však netvoria súčasť tej istej podnikovej skupiny. Z procesného hľadiska musia byť záväzné vnútropodnikové pravidlá schválené príslušnými orgánmi pre ochranu osobných ochranu údajov na základe nezáväzného stanoviska výboru. Na usmernenie tohto procesu výbor preskúmal „referenčné kritériá“ pre záväzné vnútropodnikové pravidlá (ktorými sa stanovujú vecné normy) pre prevádzkovateľov a sprostredkovateľov vzhľadom na všeobecné nariadenie o ochrane údajov a pokračuje v aktualizácii týchto dokumentov na základe praktických skúseností získaných orgánmi dohľadu. Prijal aj rôzne usmerňovacie dokumenty, ktoré majú žiadateľom pomôcť a zefektívniť proces podávania žiadostí a schvaľovania záväzných vnútropodnikových pravidiel. Podľa výboru je v súčasnosti v štádiu schvaľovania viac ako 40 záväzných vnútropodnikových pravidiel, pričom schválenie polovice z nich sa očakáva do konca roku 2020. Je dôležité, aby orgány pre ochranu osobných údajov pokračovali v práci na ďalšom zefektívňovaní schvaľovacieho procesu, pretože zainteresované strany často uvádzajú dĺžku takýchto postupov ako praktickú prekážku širšieho využívania záväzných vnútropodnikových pravidiel.

Napokon, pokiaľ ide o konkrétne záväzné vnútropodnikové pravidlá schválené orgánom Spojeného kráľovstva pre ochranu osobných údajov – Úradom komisára pre informácie – spoločnosti ich budú môcť používať ako platný mechanizmus prenosu na základe všeobecného nariadenia o ochrane údajov aj po skončení prechodného obdobia podľa dohody o vystúpení Spojeného kráľovstva z EÚ. Podmienkou však je, aby boli zmenené tak, že akékoľvek spojenie s právnym poriadkom Spojeného kráľovstva sa nahradí príslušnými odkazmi na právnické osoby a príslušné orgány v EÚ. O schválenie akýchkoľvek nových záväzných vnútropodnikových pravidiel je potrebné požiadať jeden z dozorných orgánov v EÚ. ·Certifikačné mechanizmy a kódexy správania Okrem modernizácie a rozšírenia uplatňovania už existujúcich nástrojov prenosu sa na základe všeobecného nariadenia o ochrane údajov zaviedli aj nové nástroje, čím sa rozšírili možnosti pre medzinárodné prenosy. Zahŕňa to, za určitých podmienok, použitie schválených kódexov správania a mechanizmov certifikácie (ako sú osvedčenia o zachovaní dôvernosti informácií alebo označenia v oblasti ochrany súkromia), ktorými sa zabezpečia vhodné záruky. Ide o nástroje zdola nahor, ktoré umožňujú riešenia šité na mieru – ako všeobecný mechanizmus zodpovednosti (pozri články 40 až 42 všeobecného nariadenia o ochrane údajov) a osobitne pre medzinárodné prenosy údajov –, ktoré odrážajú napríklad špecifické vlastnosti a potreby daného odvetvia alebo priemyslu alebo konkrétnych tokov údajov. Nastavením povinností so zreteľom na riziko sa kódexy správania môžu osvedčiť aj ako veľmi užitočný a nákladovo efektívny spôsob plnenia povinností podľa všeobecného nariadenia o ochrane údajov zo strany malých a stredných podnikov. Pokiaľ ide o certifikačné mechanizmy, napriek tomu, že výbor prijal usmernenia na podporu ich používania v rámci EÚ, jeho práca na vývoji kritérií na schvaľovanie certifikačných mechanizmov ako nástrojov medzinárodného prenosu stále pokračuje. To isté platí pre kódexy správania, v súvi