1. Uvod

Varstvo osebnih podatkov je del skupne evropske ustavne strukture in je vključeno v člen 8 Listine EU o temeljnih pravicah. V zakonodaji EU je osrednjega pomena že več kot 20 let, od direktive o varstvu podatkov iz leta 1995 (v nadaljnjem besedilu: direktiva iz leta 1995) pa vse do sprejetja Splošne uredbe o varstvu podatkov in policijske direktive leta 2016.

Predsednik J.-C. Juncker je v govoru o stanju v Evropski uniji 14. septembra 2016 poudaril, da „[b]iti Evropejec pomeni pravico, da so tvoji osebni podatki zavarovani z močnimi evropskimi zakoni. […] V Evropi je namreč zasebnost pomembna. V igri je človekovo dostojanstvo.“

Vendar zahteva po varstvu osebnih podatkov ni omejena zgolj na Evropo. Potrošniki povsod po svetu vse bolj skrbijo za svojo zasebnost in jo cenijo. Gospodarske družbe po drugi strani spoznavajo, da jim močno varstvo zasebnosti zagotavlja konkurenčno prednost, saj se tako poveča zaupanje v njihove storitve. Mnoge izmed njih, še zlasti pa tiste, ki poslujejo globalno, svojo politiko glede zasebnosti usklajujejo s Splošno uredbo o varstvu podatkov, in sicer ker želijo poslovati v EU in ker so v tej uredbi prepoznale model, ki mu je vredno slediti.

Podobno številne države in regionalne organizacije zunaj EU, od našega neposrednega sosedstva pa vse do Azije, Latinske Amerike in Afrike, sprejemajo nove zakonodaje o varstvu podatkov ali posodabljajo že obstoječe, da bi tako izkoristile priložnosti, ki jih ponuja svetovno digitalno gospodarstvo, in se odzvale na vse večje povpraševanje po močnejši varnosti podatkov in varstvu zasebnosti. Čeprav se države, kar zadeva njihov pristop in raven zakonodajnega razvoja, med seboj razlikujejo, se kažejo znamenja zbliževanja na osnovi višjih standardov v smeri pomembnih načel glede varstva podatkov, še zlasti v nekaterih svetovnih regijah. Večja združljivost med različnimi sistemi varstva podatkov bi poenostavila mednarodni pretok osebnih podatkov, in sicer tako v poslovne namene kot tudi za sodelovanje med javnimi organi (npr. kazenski pregon). EU bi morala to priložnost izkoristiti za spodbujanje svojih vrednot na področju varstva podatkov in poenostavitev pretoka podatkov s spodbujanjem zbliževanja pravnih sistemov. Kot je Komisija napovedala v svojem delovnem programu, so torej v tem sporočilu predstavljeni njen strateški okvir za „sklepe o ustreznosti“ ter druga orodja za prenose podatkov in mednarodni instrumenti za varstvo podatkov.

2. Sveženj ukrepov za reformo varstva podatkov v EU – sodoben zakonodajni okvir, ki podpira mednarodni pretok podatkov z visoko ravnjo varstva

Z reformo zakonodaje s področja varstva podatkov v EU, sprejeto aprila 2016, je bil vzpostavljen sistem, ki zagotavlja visoko raven varstva in je hkrati odprt za priložnosti globalne informacijske družbe. Ker je posameznikom zagotovljen večji nadzor nad njihovimi osebnimi podatki, reforma krepi zaupanje potrošnikov v digitalno gospodarstvo. Zaradi uskladitve in poenostavitve pravnega okolja je tako domačim kot tujim družbam olajšano poslovanje v EU, in sicer tudi prek mednarodnih izmenjav podatkov. EU tako zdaj odprtost za mednarodni pretok podatkov združuje z najvišjo ravnjo varstva posameznikov. Zato bi lahko postala vozlišče podatkovnih storitev, ki zahtevajo tako prosti pretok kot zaupanje.

2.1 Celovit, poenoten in poenostavljen okvir EU za varstvo podatkov

Z reformo je v EU vzpostavljen celovit okvir, ki ureja obdelavo osebnih podatkov v zasebnem in javnem sektorju ter na poslovnem področju in v sektorju kazenskega pregona (Splošna uredba o varstvu podatkov oziroma policijska direktiva).

Maja 2018 bo na podlagi Splošne uredbe o varstvu podatkov 28 nacionalnih zakonodaj, ki veljajo danes, nadomestil en sam vseevropski nabor pravil. Na novo izoblikovani mehanizem po načelu „vse na enem mestu“ bo zagotavljal, da bo en sam organ za varstvo podatkov odgovoren za nadzor nad čezmejnimi postopki obdelave podatkov, ki jih bo izvedla družba v EU. Zagotovljena bo doslednost pri razlagi novih pravil. Zlasti bo v čezmejnih primerih, v katerih sodeluje več nacionalnih organov za varstvo podatkov, sprejet en sam sklep, da se tako zagotovi, da bodo za skupne težave sprejete skupne rešitve. Poleg tega Splošna uredba o varstvu podatkov ustvarja enake pogoje za družbe iz EU in tuje družbe, saj bodo morale družbe s sedežem zunaj EU, če ponujajo svoje blago in storitve ali spremljajo vedenje posameznikov v EU, upoštevati enaka pravila kot evropske družbe. Višja raven zaupanja potrošnikov bo koristila tako EU kot zunanjim gospodarskim subjektom.

Policijska direktiva zagotavlja skupna pravila za obdelavo osebnih podatkov posameznikov, vpletenih v kazenske postopke, pa naj bodo to osumljenci, žrtve ali priče, pri čemer se upošteva posebna narava policijskega in kazenskopravnega področja. Uskladitev pravil o varstvu podatkov v sektorju kazenskega pregona, vključno s pravili o mednarodnih prenosih, bo poenostavila čezmejno sodelovanje med policijskimi in pravosodnimi organi tako znotraj EU kot tudi z mednarodnimi partnerji, s čimer bodo vzpostavljeni pogoji za učinkovitejši boj proti kriminalu. To je pomemben prispevek k evropski agendi za varnost.

2.2 Prenovljen in raznovrstnejši nabor orodij za mednarodne prenose

Zakonodaja EU s področja varstva podatkov je že od samih začetkov zagotavljala več mehanizmov, ki so omogočali mednarodne prenose podatkov. Temeljni namen teh pravil je zagotoviti, da v primerih, ko se osebni podatki Evropejcev prenesejo v tujino, skupaj s podatki potuje tudi njihovo varstvo. Z leti so se ta pravila v številnih jurisdikcijah uveljavila kot standard za mednarodni pretok podatkov. Čeprav ostaja zgradba v osnovi enaka kot na podlagi direktive iz leta 1995, je z reformo pravil o mednarodnih prenosih pojasnjena in poenostavljena uporaba teh pravil, uvedena pa so tudi nova orodja za prenos.

Na podlagi zakonodaje EU lahko prenos osebnih podatkov v tujino temelji na „sklepu o ustreznosti“, s katerim Komisija ugotovi, da država nečlanica EU zagotavlja raven varstva podatkov, ki je „v osnovi enakovredna“ ravni varstva v EU. Tak sklep učinkuje tako, da omogoči prosti pretok osebnih podatkov v tako tretjo državo, ne da bi moral izvoznik podatkov zagotoviti nadaljnje zaščitne ukrepe ali pridobiti kakršno koli dovoljenje. Za zainteresirane države ali mednarodne organizacije je na voljo natančen in podroben seznam elementov, ki jih mora Komisija upoštevati pri oceni ustreznosti varstva v tujem sistemu. Komisija lahko zdaj sprejema sklepe o ustreznosti tudi za sektor kazenskega pregona. Poleg tega reforma, ki temelji na praksi, izoblikovani z direktivo iz leta 1995, izrecno dovoljuje, da se ustreznost opredeli za določeno ozemlje tretje države ali poseben sektor ali panogo v tretji državi (t. i. „delna“ ustreznost).

Če sklep o ustreznosti ni bil sprejet, je mogoče mednarodne prenose izvesti z uporabo nekaj alternativnih orodij za prenos, ki zagotavljajo ustrezne zaščitne ukrepe, kar zadeva varstvo podatkov. Z reformo so formalizirane in razširjene možnosti uporabe obstoječih instrumentov, kot so standardna pogodbena določila in zavezujoča poslovna pravila. Standardna pogodbena določila je na primer zdaj mogoče vključiti v pogodbo med obdelovalci s sedežem v EU in obdelovalci iz države nečlanice EU (t. i. vzorčne klavzule med obdelovalci). Kar zadeva zavezujoča poslovna pravila, ki so se doslej uporabljala zgolj za dogovore med subjekti znotraj iste korporacije, jih zdaj lahko uporabi skupina podjetij, ki opravljajo skupno gospodarsko dejavnost, pri čemer ni nujno, da so del iste korporacije. Z reformo se je zmanjšala tudi birokracija, saj so ukinjene splošne zahteve po predhodni priglasitvi pri organih za varstvo podatkov in njihovem dovoljenju za prenose v tretjo državo na podlagi standardnih pogodbenih določil ali zavezujočih poslovnih pravil. To je pomembna poenostavitev sistema EU za mednarodne prenose podatkov, saj se take zahteve, ki se trenutno med posameznimi državami članicami razlikujejo, pogosto dojemajo kot pomembna ovira za pretok podatkov, sploh v primeru manjših podjetij.

Poleg tega so z reformo uvedeni novi instrumenti za mednarodne prenose. Upravljavci in obdelovalci bodo lahko pod nekaterimi pogoji uporabljali odobrene kodekse ravnanja ali mehanizme potrjevanja (kot so pečati ali označbe zasebnosti) za vzpostavitev „ustreznih zaščitnih ukrepov“. To bi moralo omogočiti razvoj bolj prilagojenih rešitev za mednarodne prenose, ki bodo na primer odražale posebne značilnosti in potrebe nekega sektorja ali panoge oziroma posameznega pretoka podatkov. Hkrati se tako ponuja možnost za določitev ustreznih zaščitnih ukrepov za prenose podatkov med javnimi organi ali telesi na podlagi mednarodnih sporazumov in upravnih dogovorov. Nazadnje Splošna uredba o varstvu podatkov pojasnjuje še uporabo t. i. „odstopanj“ (npr. privolitev, izvajanje pogodbe ali pomembni razlogi javnega interesa), s katerimi lahko subjekti v posebnih okoliščinah utemeljijo svoje prenose podatkov, tudi če ni bil sprejet sklep o ustreznosti in ne glede na uporabo katerega od zgoraj navedenih instrumentov. Ta uredba zlasti vključuje novo – čeprav omejeno – odstopanje v zvezi s prenosi, ki jih je mogoče opraviti zaradi zakonitih interesov družbe.

Nazadnje je z reformo Komisija pooblaščena za oblikovanje mehanizmov mednarodnega sodelovanja za spodbujanje izvrševanja pravil o varstvu podatkov, tudi z dogovori o medsebojni pomoči.. S tem se priznava prispevek, ki bi ga lahko imele tesnejše oblike sodelovanja med nadzornimi organi na mednarodni ravni pri zagotavljanju učinkovitejšega varstva pravic posameznikov in večje pravne varnosti za podjetja.

3. Mednarodni prenosi podatkov v poslovnem sektorju: poenostavitev trgovine z varstvom zasebnosti

Spoštovanje zasebnosti je pogoj za stabilne, varne in konkurenčne svetovne poslovne tokove. Zasebnost ni blago, s katerim bi se dalo trgovati. Internet ter digitalizacija blaga in storitev sta spremenila svetovno gospodarstvo, prenos podatkov, tudi osebnih, čez meje pa je postal del vsakodnevnih postopkov evropskih družb vseh velikosti in v vseh sektorjih. Ker poslovne izmenjave vse bolj temeljijo na pretoku osebnih podatkov, sta zasebnost in varnost takih podatkov postala osrednji dejavnik zaupanja potrošnikov. Dve tretjini Evropejcev sta denimo zaskrbljeni nad tem, da nimata nobenega nadzora nad podatki, zagotovljenimi prek spleta, polovico anketirancev pa skrbi, da bi lahko postali žrtve goljufije. Hkrati se evropske družbe, ki poslujejo v nekaterih tretjih državah, vse pogosteje srečujejo s protekcionističnimi omejitvami, ki jih ni mogoče utemeljiti z legitimnimi pomisleki glede zasebnosti.