IZVEDBENI SKLEP KOMISIJE (EU) 2021/915

z dne 4. junija 2021

o standardnih pogodbenih določilih med upravljavci in obdelovalci v skladu s členom 28(7) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta ter členom 29(7) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta

(Besedilo velja za EGP)

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (1) in zlasti člena 28(7) Uredbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2) ter zlasti člena 29(7) Uredbe,

ob upoštevanju naslednjega:

(1) Pojma upravljavec in obdelovalec sta bistvena za uporabo Uredbe (EU) 2016/679 in Uredbe (EU) 2018/1725. Upravljavec je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov. V Uredbi (EU) 2018/1725 upravljavec pomeni institucijo ali organ Unije ali generalni direktorat ali kateri koli drug organizacijski subjekt, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov. Kadar namene in sredstva obdelave določa posebni akt Unije, lahko upravljavca ali posebna merila za njegovo imenovanje določi Unija. Obdelovalec je fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

(2) Za razmerje med upravljavci podatkov in obdelovalci podatkov, za katere velja Uredba (EU) 2016/679 in tudi kadar zanje velja Uredba (EU) 2018/1725, bi se moral uporabljati isti sklop standardnih pogodbenih določil. To pa zato, ker so bila zaradi usklajenega pristopa k varstvu osebnih podatkov po vsej Uniji in prostega pretoka osebnih podatkov v Uniji pravila o varstvu podatkov iz Uredbe (EU) 2016/679, ki se uporabljajo za javni sektor v državah članicah, in pravila o varstvu podatkov iz Uredbe (EU) 2018/1725, ki se uporabljajo za institucije, organe, urade in agencije Unije, med seboj kar najbolj usklajena.

(3) Za zagotovitev skladnosti z zahtevami iz uredb (EU) 2016/679 in (EU) 2018/1725 bi smel upravljavec dejavnosti obdelave zaupati le tistim obdelovalcem, ki zagotavljajo zadostna jamstva, zlasti v smislu strokovnega znanja, zanesljivosti in virov za izvajanje tehničnih in organizacijskih ukrepov, ki bodo izpolnili zahteve iz Uredbe (EU) 2016/679 in Uredbe (EU) 2018/1725, vključno za varnost obdelave.

(4) Obdelava, ki jo opravlja obdelovalec, mora biti urejena s pogodbo ali drugim pravnim aktom v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca in v katerem so določeni elementi iz člena 28(3) in (4) Uredbe (EU) 2016/679 oziroma člena 29(3) in (4) Uredbe (EU) 2018/1725. Takšna pogodba ali akt je v pisni obliki, tudi v elektronski obliki.

(5) V skladu s členom 28(6) Uredbe (EU) 2016/679 in členom 29(6) Uredbe (EU) 2018/1725 se lahko upravljavec in obdelovalec odločita za pogajanje o individualni pogodbi, ki vsebuje obvezne elemente iz člena 28(3) in (4) Uredbe (EU) 2016/679 oziroma člena 29(3) in (4) Uredbe (EU) 2018/1725, ali za polno ali delno uporabo standardnih pogodbenih določil, ki jih je Komisija sprejela v skladu s členom 28(7) Uredbe (EU) 2016/679 oziroma členom 29(7) Uredbe (EU) 2018/1725.

(6) Upravljavec in obdelovalec bi morala imeti možnost, da standardna pogodbena določila iz tega sklepa vključita v širšo pogodbo in dodata druga določila ali dodatne zaščitne ukrepe, če neposredno ali posredno ne nasprotujejo standardnim pogodbenim določilom ali posegajo v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki. Uporaba standardnih pogodbenih določil ne posega v pogodbene obveznosti upravljavca in/ali obdelovalca, da zagotovi spoštovanje veljavnih privilegijev in imunitet.

(7) Standardna pogodbena določila bi morala zajemati tako pravila materialnega prava kot postopkovna pravila. V skladu s členom 28(3) Uredbe (EU) 2016/679 in členom 29(3) Uredbe (EU) 2018/1725 bi bilo treba v standardna pogodbena določila vključiti tudi obveznost za upravljavce in obdelovalce, da določijo vsebino in trajanje obdelave, njeno naravo in namen, vrsto zadevnih osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca.

(8) V skladu s členom 28(3) Uredbe (EU) 2016/679 in členom 29(3) Uredbe (EU) 2018/1725 mora obdelovalec nemudoma obvestiti upravljavca, če po njegovem mnenju navodilo upravljavca krši Uredbo (EU) 2016/679 oziroma Uredbo (EU) 2018/1725 ali pa druge določbe Unije ali predpise držav članic o varstvu podatkov.

(9) Če obdelovalec za izvajanje specifičnih dejavnosti najame drugega obdelovalca, bi se morale uporabljati posebne zahteve iz člena 28(2) in (4) Uredbe (EU) 2016/679 oziroma člena 29(2) in (4) Uredbe (EU) 2018/1725. Zlasti se zahteva posebno ali splošno predhodno pisno dovoljenje. Ne glede na to, ali je predhodno dovoljenje posebno ali splošno, bi moral prvi obdelovalec redno posodabljati seznam drugih obdelovalcev.

(10) Komisija je za izpolnitev zahtev iz člena 46(1) Uredbe (EU) 2016/679 sprejela standardna pogodbena določila v skladu s členom 46(2)(c) Uredbe (EU) 2016/679. Navedena določila izpolnjujejo tudi zahteve iz člena 28(3) in (4) Uredbe (EU) 2016/679 za prenose podatkov od upravljavcev, za katere se uporablja Uredba (EU) 2016/679, obdelovalcem zunaj ozemeljske veljavnosti navedene uredbe ali od obdelovalcev, za katere se uporablja Uredba (EU) 2016/679, podobdelovalcem zunaj ozemeljske veljavnosti navedene uredbe. Teh standardnih pogodbenih določil ni mogoče uporabiti kot standardna pogodbena določila za namene poglavja V Uredbe (EU) 2016/679.

(11) Tretje osebe bi se morale imeti možnost pridružiti standardnim pogodbenim določilom kadar koli v trajanju veljavnosti pogodbe.

(12) Uporabo standardnih pogodbenih določil bi bilo treba ovrednotiti podredno rednemu vrednotenju Uredbe (EU) 2016/679 iz člena 97 navedene uredbe.

(13) Opravljeno je bilo posvetovanje z Evropskim nadzornikom za varstvo podatkov in Evropskim odborom za varstvo podatkov v skladu s členom 42(1) in (2) Uredbe (EU) 2018/1725, ki sta 14. januarja 2021 izdala skupno mnenje (3), ki je bilo upoštevano pri pripravi tega sklepa.

(14) Ukrepi iz tega sklepa so skladni z mnenjem odbora, ustanovljenega na podlagi člena 93 Uredbe (EU) 2016/679 in člena 96(2) Uredbe (EU) 2018/1725 –

SPREJELA NASLEDNJI SKLEP:

Člen 1 Standardna pogodbena določila iz Priloge izpolnjujejo zahteve za pogodbe med upravljavci in obdelovalci iz člena 28(3) in (4) Uredbe (EU) 2016/679 ter člena 29(3) in (4) Uredbe (EU) 2018/1725.

Člen 2 Standardna pogodbena določila iz Priloge se lahko uporabljajo v pogodbah med upravljavcem in obdelovalcem, ki obdeluje osebne podatke v imenu upravljavca.

Člen 3 Komisija ovrednoti praktično uporabo standardnih pogodbenih določil iz Priloge na podlagi vseh razpoložljivih informacij v okviru rednega vrednotenja iz člena 97 Uredbe (EU) 2016/679.

Člen 4 Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

V Bruslju, 4. junija 2021 Za Komisijo predsednica Ursula VON DER LEYEN

(1) UL L 119, 4.5.2016, str. 1.

(2) UL L 295, 21.11.2018, str. 39.

(3) Skupno mnenje Evropskega nadzornika za varstvo podatkov in Evropskega odbora za varstvo podatkov št. 1/2021 glede Izvedbenega sklepa Evropske komisije o standardnih pogodbenih določilih med upravljavci in obdelovalci za zadeve iz člena 28(7) Uredbe (EU) 2016/679 in člena 29(7) Uredbe (EU) 2018/1725.