EVROPSKA KOMISIJA Bruselj, 13.6.2019 COM(2019) 250 final/3 CORRIGENDUM

This document corrects document COM(2019) 250 final of 29.5.2019.

Concerns the Slovenian language version.

Reference error in the last sentence of the third paragraph in the introduction.

The text shall read as follows: SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU Smernice k uredbi o okviru za prosti pretok neosebnih podatkov v Evropski uniji



















Kazalo 1 Uvod Namen teh smernic 2 Medsebojni vpliv med uredbo o prostem pretoku neosebnih podatkov in splošno uredbo o varstvu podatkov – mešani podatkovni nizi 2.1 Pojem neosebnih podatkov v uredbi o prostem pretoku neosebnih podatkov Osebni podatki Neosebni podatki 2.2 Mešani podatkovni nizi 3 Prosti pretok podatkov in odprava zahtev glede lokalizacije podatkov 3.1 Prosti pretok neosebnih podatkov 3.2 Prosti pretok osebnih podatkov 3.3 Področje uporabe uredbe o prostem pretoku neosebnih podatkov 3.4 Dejavnosti v zvezi z notranjo organizacijo držav članic 4 Samoregulativni pristopi, ki podpirajo prosti pretok podatkov 4.1 Prenos podatkov in zamenjava ponudnikov storitev v oblaku Pojem prenosljivosti in medsebojno vplivanje s splošno uredbo o varstvu podatkov 4.2 Kodeksi ravnanja in certifikacijske sheme v zvezi z varstvom osebnih podatkov 4.3 Spodbujanje zaupanja v čezmejno obdelavo podatkov – certificiranje varnosti Končne pripombe

Evropska komisija je ta dokument pripravila zgolj za informativne namene. Dokument ne vsebuje verodostojne razlage Uredbe (EU) 2018/1807 Evropskega parlamenta in Sveta z dne 14. novembra 2018 o okviru za prosti pretok neosebnih podatkov v Evropski uniji in ne pomeni sklepa ali stališča Evropske komisije. Ne posega v noben tovrsten sklep ali stališče Evropske komisije niti v pooblastila Sodišča EU za razlaganje navedene uredbe v skladu s Pogodbama EU.



1 Uvod V gospodarstvu, ki je vse bolj podatkovno vodeno, so tokovi podatkov v središču poslovnih procesov v podjetjih vseh velikosti in v vseh sektorjih. Nove digitalne tehnologije prinašajo nove priložnosti za splošno javnost, podjetja in javne uprave v Evropski uniji (v nadaljnjem besedilu: EU). Evropski parlament in Svet sta za nadaljnje povečanje čezmejne izmenjave podatkov in spodbuditev podatkovnega gospodarstva novembra 2018 na podlagi predloga Evropske komisije (v nadaljnjem besedilu: Komisija) sprejela Uredbo (EU) 2018/1807 o okviru za prosti pretok neosebnih podatkov v Evropski uniji (v nadaljnjem besedilu: uredba o prostem pretoku neosebnih podatkov). Uredba se uporablja od 28. maja 2019. Načelo prostega pretoka osebnih podatkov je že določeno v Uredbi (EU) 2016/679 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljnjem besedilu: splošna uredba o varstvu podatkov). Zato je zdaj vzpostavljen celovit okvir za skupni evropski podatkovni prostor in prosti pretok vseh podatkov v Evropski uniji. Uredba o prostem pretoku neosebnih podatkov podjetjem zagotavlja pravno varnost, da lahko svoje podatke v EU obdelujejo, kjer koli želijo, povečuje zaupanje v storitve obdelave podatkov in preprečuje prakse, ki povzročajo vezanost na ponudnika. S tem se bo povečala možnost izbire za potrošnike, izboljšala učinkovitost in spodbudilo uvajanje tehnologij v oblaku, kar bo podjetjem v EU omogočilo velike prihranke. Študija kaže, da lahko podjetja v EU s prehodom na računalništvo v oblaku prihranijo 20–50 % stroškov za informacijsko tehnologijo. Zaradi obeh uredb se lahko podatki prosto pretakajo med državami članicami, kar uporabnikom storitev obdelave podatkov omogoča, da podatke, zbrane na različnih trgih EU, uporabljajo za izboljšanje svoje produktivnosti in konkurenčnosti. Tako lahko uporabniki v celoti izkoristijo ekonomije obsega, ki jih zagotavlja velik trg EU, s čimer izboljšajo svojo globalno konkurenčnost, poveča pa se tudi medsebojna povezanost evropskega podatkovnega gospodarstva. Uredba o prostem pretoku neosebnih podatkov ima tri pomembne značilnosti: ·državam članicam praviloma prepoveduje uvedbo zahtev glede lokalizacije podatkov. Izjeme od tega pravila so lahko utemeljene le na podlagi javne varnosti ob upoštevanju načela sorazmernosti; ·vzpostavlja mehanizem sodelovanja za zagotovitev, da bodo lahko pristojni organi še naprej uveljavljali vse pravice do dostopa do podatkov, ki se obdelujejo v drugi državi članici; ·industriji daje spodbude, da ob podpori Komisije oblikuje samoregulativne kodekse ravnanja glede zamenjave ponudnikov storitev in prenosa podatkov. Namen teh smernic Te smernice izpolnjujejo zahtevo iz člena 8(3) uredbe o prostem pretoku neosebnih podatkov, v skladu s katerim mora Komisija objaviti smernice o medsebojnem vplivu med to uredbo in splošno uredbo o varstvu podatkov, „zlasti kar zadeva podatkovne nize, ki vsebujejo osebne in neosebne podatke“. Namen teh smernic je uporabnikom – zlasti malim in srednjim podjetjem – pomagati razumeti medsebojni vpliv med uredbo o prostem pretoku neosebnih podatkov in splošno uredbo o varstvu podatkov. Zato smernice obravnavajo zlasti: (i) pojma neosebnih in osebnih podatkov; (ii) načeli prostega pretoka podatkov in prepovedi zahtev glede lokalizacije podatkov v skladu z obema uredbama ter (iii) pojem prenosljivosti podatkov v skladu z uredbo o prostem pretoku neosebnih podatkov. Zajemajo tudi samoregulativne zahteve iz obeh uredb. Uredba o prostem pretoku neosebnih podatkov zajema samo „podatke, ki niso osebni podatki“, kot so opredeljeni v splošni uredbi o varstvu podatkov. Splošna uredba o varstvu podatkov ureja obdelavo osebnih podatkov in je bistveni del okvira EU za varstvo podatkov. V državah članicah je začela veljati 25. maja 2018. Uredba določa usklajena pravila o varstvu ljudi v EU/EGP pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov. Splošna uredba o varstvu podatkov: (i) med drugim določa, katere informacije so osebni podatki; (ii) vzpostavlja pravno podlago za njihovo obdelavo ter (iii) opredeljuje pravice in obveznosti, ki jih je treba upoštevati pri obdelavi teh podatkov. Kar zadeva načelo prostega pretoka osebnih podatkov, člen 1(3) splošne uredbe o varstvu podatkov določa, da „[p]rosti pretok osebnih podatkov v Uniji ne sme biti omejen ali prepovedan iz razlogov, povezanih z varstvom posameznikov pri obdelavi osebnih podatkov.“ V večini primerov iz resničnega življenja je podatkovni niz zelo verjetno sestavljen iz osebnih in neosebnih podatkov. To se pogosto imenuje „mešani podatkovni niz“. Medsebojni vpliv med uredbo o prostem pretoku neosebnih podatkov in splošno uredbo o varstvu podatkov je podrobneje pojasnjen v oddelku 2.2. Splošna uredba o varstvu podatkov in uredba o prostem pretoku neosebnih podatkov zaradi jasnosti ne vsebujeta nasprotujočih si obveznosti. 2 Medsebojni vpliv med uredbo o prostem pretoku neosebnih podatkov in splošno uredbo o varstvu podatkov – mešani podatkovni nizi 2.1 Pojem neosebnih podatkov v uredbi o prostem pretoku neosebnih podatkov

Cilj uredbe o prostem pretoku neosebnih podatkov je zagotoviti prosti pretok podatkov, ki niso osebni podatki. V celotnem besedilu Uredbe se uporablja pojem „podatki“, ki bi ga bilo treba razumeti kot „podatke, ki niso osebni podatki, kakor so opredeljeni v točki (1) člena 4 Uredbe (EU) 2016/679 [splošna uredba o varstvu podatkov]“. Taki podatki, ki se v tem dokumentu imenujejo tudi „neosebni podatki“, so opredeljeni kot nasprotje (a contrario) osebnih podatkov, kakor so opredeljeni v splošni uredbi o varstvu podatkov. Osebni podatki V splošni uredbi o varstvu podatkov je navedeno: „osebni podatki “ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika;“. Široka opredelitev osebnih podatkov je namerna in je v splošni uredbi o varstvu podatkov v primerjavi s prejšnjo zakonodajo ostala v bistvu nespremenjena. Različne vidike opredelitve osebnih podatkov, kot so „katera koli informacija“, „v zvezi z“, „določen ali določljiv“, je obravnavala že delovna skupina iz člena 29 v svojem mnenju 4/2007 o pojmu neosebnih podatkov z dne 20. junija 2007, WP 136. Na področjih, kot so raziskave, se osebni podatki običajno psevdonimizirajo, da se prikrije identiteta posameznika. Psevdonimizacija je obdelava osebnih podatkov na tak način, da jih brez dodatnih informacij ni več mogoče pripisati specifični osebi. Te dodatne informacije se hranijo ločeno in so zavarovane z organizacijskimi ali tehničnimi ukrepi (npr. šifriranjem),. Vendar pa se podatki, ki so bili psevdonimizirani, še vedno štejejo za informacije o določljivi osebi, če jih je mogoče z uporabo dodatnih informacij pripisati tej osebi. Taki podatki so osebni podatki v skladu s splošno uredbo o varstvu podatkov. Neosebni podatki Kadar podatki niso „osebni podatki“, kakor so opredeljeni v splošni uredbi o varstvu podatkov, so neosebni. Neosebne podatke je mogoče glede na poreklo razvrstiti kot: ·prvič: podatke, ki se sprva niso nanašali na določeno ali določljivo fizično osebo, kot so podatki o vremenskih razmerah, ki jih ustvarijo senzorji, nameščeni na vetrnih turbinah, ali podatki o potrebah po vzdrževanju za industrijske stroje; ·drugič: podatke, ki so bili sprva osebni podatki, pozneje pa so bili anonimizirani. „Anonimizacija“ osebnih podatkov se razlikuje od psevdonimizacije (glej zgoraj), saj ustrezno anonimiziranih podatkov ni mogoče pripisati določeni osebi, niti z uporabo dodatnih podatkov, zato so to neosebni podatki. Ocena, ali so podatki ustrezno anonimizirani, je odvisna od posebnih in edinstvenih okoliščin vsakega posameznega primera. Več primerov ponovne identifikacije podatkovnih nizov, ki naj bi bili anonimizirani, je pokazalo, da je ta ocena lahko zahtevna. Za ugotovitev, ali je posameznik določljiv, je treba upoštevati vsa sredstva, za katera se razumno pričakuje, da jih bosta upravljavec ali druga oseba uporabila za neposredno ali posredno določitev posameznika. Primeri neosebnih podatkov ·Podatki, ki se združijo tako, da ni več mogoče določiti posameznih dogodkov (kot so posamezna potovanja osebe v tujino ali potovalni vzorci, ki bi lahko pomenili osebne podatke), se lahko štejejo za anonimne podatke Anonimni podatki se uporabljajo na primer v statistiki ali poročilih o prodaji (na primer za oceno priljubljenosti izdelka in njegovih značilnosti). ·Podatki o visokofrekvenčnem trgovanju v finančnem sektorju ali podatki o preciznem kmetovanju, ki pomagajo spremljati in optimizirati uporabo pesticidov, hranil in vode. Če pa je mogoče neosebne podatke kakor koli povezati s posameznikom, zaradi česar je ta posameznik neposredno ali posredno določljiv, jih je treba šteti za osebne podatke. Če na primer poročilo o nadzoru kakovosti na proizvodni liniji omogoča, da se podatki povežejo z določenimi tovarniškimi delavci (npr. tistimi, ki nastavljajo proizvodne parametre), bi se ti podatki šteli za osebne podatke, zato je treba uporabljati splošno uredbo o varstvu podatkov. Enaka pravila veljajo, če razvoj tehnologije in podatkovne analitike omogoča pretvorbo anonimiziranih podatkov v osebne podatke. Ker se opredelitev osebnih podatkov nanaša na „posameznike“, so podatkovni nizi, ki vsebujejo imena in kontaktne podatke pravnih oseb, načeloma neosebni podatki. Vendar so to lahko v nekaterih primerih osebni podatki. To velja, če je na primer ime pravne osebe enako imenu fizične osebe, ki je njena lastnica, ali če se informacija nanaša na določeno ali določljivo fizično osebo. 2.2 Mešani podatkovni nizi Uredba o prostem pretoku neosebnih podatkov in splošna uredba o varstvu podatkov vsebujeta različna pristopa k prostemu pretoku podatkov v EU.

Uredba o prostem pretoku neosebnih podatkov določa splošno prepoved zahtev glede lokalizacije podatkov za neosebne podatke. S členom 4(1) Uredbe so prepovedane zahteve glede lokalizacije podatkov, razen če so utemeljene na podlagi javne varnosti ob upoštevanju načela sorazmernosti. Splošna uredba o varstvu podatkov poleg visoke ravni varstva osebnih podatkov zagotavlja tudi prosti pretok osebnih podatkov. V skladu s členom 1(3) Uredbe prosti pretok osebnih podatkov „ne sme biti omejen ali prepovedan iz razlogov, povezanih z varstvom posameznikov pri obdelavi osebnih podatkov“. Uredbi skupaj zagotavljata prosti pretok „vseh“ podatkov znotraj EU. Posebne določbe so podrobneje obravnavane v oddelkih 3.1 in 3.2. Mešani podatkovni niz je sestavljen iz osebnih in neosebnih podatkov. Mešani podatkovni nizi predstavljajo večino podatkovnih nizov, ki se uporabljajo v podatkovnem gospodarstvu, in so pogosti zaradi tehnoloških dosežkov, kot so internet stvari (tj. digitalno povezovanje objektov), umetna inteligenca in tehnologije, ki omogočajo analizo velepodatkov. Primeri mešanih podatkovnih nizov: ·davčna evidenca podjetja, v kateri sta navedena ime in telefonska številka izvršnega direktorja podjetja; ·podatkovni nizi v banki, zlasti tisti, ki vsebujejo podatke o strankah in podrobnosti o transakcijah, kot so plačilne storitve (kreditne in debetne kartice), aplikacije za upravljanje odnosov s partnerji (partner relationship management – PRM) in posojilne pogodbe, dokumenti, v katerih so združeni podatki o fizičnih in pravnih osebah; ·anonimizirani statistični podatki raziskovalne ustanove in prvotno zbrani surovi podatki, kot so odgovori posameznih udeležencev na vprašanja v okviru statističnih raziskav; ·zbirka znanja podjetja o težavah z informacijsko tehnologijo (IT) in rešitvah zanje na podlagi posameznih poročil o incidentih v zvezi z IT; ·podatki, povezani z internetom stvari, če nekateri med njimi omogočajo oblikovanje predpostavk o določljivih posameznikih (npr. prisotnost na določenem naslovu in vzorci uporabe), ter ·analiza podatkov iz operativnih dnevnikov za proizvodno opremo v predelovalni industriji. Primer: storitve upravljanja odnosov s strankami Nekatere banke uporabljajo storitve upravljanja odnosov s strankami (customer relationship management – CRM), ki jih zagotavljajo tretje osebe in pri katerih morajo biti podatki stranke na voljo v okolju CRM. Podatki, hranjeni v storitvi CRM, bodo vključevali vse informacije, potrebne za učinkovito upravljanje interakcij s stranko, kot so poštni in e-poštni naslov, telefonska številka, izdelki in storitve, ki jih kupijo, ter poročila o prodaji, vključno z zbirnimi podatki. Zato lahko ti podatki vključujejo osebne in neosebne podatke o strankah. Uredba o prostem pretoku neosebnih podatkov v zvezi z mešanimi podatkovnimi nizi določa: „V primeru podatkovnega niza, ki vsebuje osebne in neosebne podatke, se ta uredba uporablja za del podatkovnega niza, ki obsega neosebne podatke. Kadar so osebni in neosebni podatki v podatkovnem nizu neločljivo povezani, ta uredba ne posega v uporabo Uredbe (EU) 2016/679.“ To pomeni, da v primeru podatkovnega niza, ki vsebuje osebne in neosebne podatke, velja naslednje: ·uredba o prostem pretoku neosebnih podatkov se uporablja za del podatkovnega niza, ki obsega neosebne podatke; ·določba o prostem pretoku iz splošne uredbe o varstvu podatkov se uporablja za del podatkovnega niza, ki obsega osebne podatke, ter ·če sta del, ki obsega neosebne podatke, in del, ki obsega osebne podatke, „neločljivo povezana“, se pravice in obveznosti v zvezi z varstvom podatkov, ki izhajajo iz splošne uredbe o varstvu podatkov, v celoti uporabljajo za celotni mešani podatkovni niz, tudi če osebni podatki predstavljajo samo majhen del podatkovnega niza. Ta razlaga je v skladu s pravico do varstva osebnih podatkov, ki jo zagotavlja Listina Evropske unije o temeljnih pravicah, in z uvodno izjavo 8 uredbe o prostem pretoku neosebnih podatkov. Uvodna izjava 8 Uredbe določa, da „[t]a uredba ne vpliva na pravni okvir o varstvu fizičnih oseb glede obdelave osebnih podatkov [...] ter zlasti na [splošno uredbo o varstvu podatkov] in direktivi (EU) 2016/680 in 2002/58/ES [...]“.

Praktični primer: družba, ki deluje v EU, svoje storitve ponuja prek platforme. Podjetja naložijo svoje dokumente, ki vsebujejo mešane podatkovne nize, da lahko uporabljajo njene storitve. Podjetje, ki naloži dokumente, mora kot „upravljavec“ zagotoviti, da je obdelava v skladu s splošno uredbo o varstvu podatkov. Družba, ki ponuja storitve („obdelovalec“), mora z obdelavo podatkovnega niza v imenu upravljavca podatke shraniti in obdelati v skladu s splošno uredbo o varstvu podatkov, da bi na primer zagotovila, da je zajamčena ustrezna raven varnosti v zvezi s podatki, vključno s šifriranjem. Pojem „neločljivo povezan“ ni opredeljen v nobeni od navedenih uredb. Iz praktičnih razlogov se lahko nanaša na položaj, v katerem podatkovni niz vsebuje osebne in neosebne podatke, pri čemer bi bilo ločevanje teh dveh vrst podatkov nemogoče ali pa bi bilo ločevanje po mnenju upravljavca ekonomsko neučinkovito ali tehnično neizvedljivo. Pri nakupu sistemov za upravljanje odnosov s strankami (CRM) in poročanje o prodaji bi morala družba na primer podvojiti svoje stroške za programsko opremo, saj bi morala kupiti ločeno programsko opremo za CRM (osebni podatki) in sisteme za poročanje o prodaji (zbirni/neosebni podatki) na podlagi podatkov CRM. Ločevanje podatkovnega niza bi verjetno tudi bistveno zmanjšalo njegovo vrednost. Poleg tega je zaradi spreminjajoče se narave podatkov (glej oddelek 2.1) težje jasno razlikovati med različnimi kategorijami podatkov in jih tako ločiti. Pomembno je, da nobena od uredb podjetij ne zavezuje k ločevanju podatkovnih nizov, ki jih upravljajo ali obdelujejo. Zato bodo za mešani podatkovni niz na splošno veljale obveznosti upravljavcev in obdelovalcev podatkov ter zahteve glede spoštovanja pravic posameznikov, na katere se nanašajo osebni podatki, iz splošne uredbe o varstvu podatkov. Obdelava podatkov o zdravstvenem stanju Podatki o zdravstvenem stanju so lahko del mešanega podatkovnega niza. Med primeri so elektronski zdravstveni zapisi, klinični preskusi ali nizi podatkov, zbrani z različnimi mobilnimi aplikacijami za zdravje in dobro počutje (kot so aplikacije za merjenje zdravstvenega stanja, za opominjanje, kdaj moramo vzeti zdravila, ali za spremljanje našega napredka glede telesne pripravljenosti). Zaradi tehnološkega razvoja natančna ločnica med osebnimi in neosebnimi podatki v teh podatkovnih nizih postaja vse bolj nejasna. Zato mora biti njihova obdelava v skladu s splošno uredbo o varstvu podatkov, zlasti (glede na to, da so podatki o zdravstvenem stanju v skladu z Uredbo posebna vrsta podatkov) s členom 9, ki določa splošno prepoved obdelave posebnih vrst podatkov in izjeme od nje. Podatki v mešanih podatkovnih nizih, ki vsebujejo podatke o zdravstvenem stanju, so lahko dragocen vir informacij, na primer za nadaljnje medicinske raziskave, merjenje stranskih učinkov predpisanega zdravila, statistične namene v zvezi z boleznimi ali razvoj novih zdravstvenih storitev ali zdravljenja. Vendar pa je treba pri izvajanju začetnih dejanj obdelave in nadaljnjih dejanj obdelave podatkov upoštevati splošno uredbo o varstvu podatkov. Zato mora imeti vsaka taka obdelava podatkov o zdravstvenem stanju veljavno pravno podlago, biti mora ustrezno utemeljena in varna ter zagotavljati zadostne zaščitne ukrepe. Nazadnje je bistveno, da imajo posamezniki in podjetja pravno varnost ter zaupajo v obdelavo podatkov. To je ključno tudi za podatkovno gospodarstvo. Uredbi to zagotavljata, pri čemer se z njima ne poskuša spremeniti prosti pretok podatkov. 3 Prosti pretok podatkov in odprava zahtev glede lokalizacije podatkov V tem oddelku so podrobneje pojasnjeni pojmi zahtev glede lokalizacije podatkov iz uredbe o prostem pretoku neosebnih podatkov in načela prostega pretoka iz splošne uredbe o varstvu podatkov. Čeprav so te določbe namenjene državam članicam, so lahko informativne za podjetja, da imajo natančnejšo predstavo o tem, kako ti dve uredbi prispevata k prostemu pretoku vseh podatkov v EU. 3.1 Prosti pretok neosebnih podatkov Uredba o prostem pretoku neosebnih podatkov določa: „[z]ahteve glede lokalizacije podatkov so prepovedane, razen če so utemeljene na podlagi javne varnosti ob upoštevanju načela sorazmernosti.“ Zahteve glede lokalizacije podatkov so opredeljene kot „kakršn[a] koli obveznost, prepoved, pogoj, omejitev ali drug[a] zahtev[a], ki je določena v zakonih ali drugih predpisih države članice ali izhaja iz splošne in dosledne administrativne prakse v državi članici in osebah javnega prava, vključno s tistimi, povezanimi z javnim naročanjem, brez poseganja v Direktivo 2014/24/EU, in ki določa, da mora obdelava podatkov potekati na ozemlju določene države članice ali omejuje obdelavo podatkov v drugi državi članici.“ Iz opredelitve je razvidno, da imajo lahko ukrepi, ki omejujejo prosti pretok podatkov v EU, različne oblike. Določeni so lahko z zakoni, upravnimi predpisi in določbami ali celo izhajajo iz splošnih in doslednih upravnih praks. Poleg tega prepoved zahtev glede lokalizacije podatkov zajema neposredne in posredne ukrepe, ki bi omejili prosti pretok neosebnih podatkov. Neposredne zahteve glede lokalizacije podatkov lahko obsegajo na primer obveznost shranjevanja podatkov na določeni geografski lokaciji (npr. strežniki morajo biti v določeni državi članici) ali obveznost izpolnjevanja enotnih nacionalnih tehničnih zahtev (npr. podatki morajo biti v posebnih nacionalnih formatih). Posredne zahteve glede lokalizacije podatkov, ki bi v vseh drugih državah članicah ovirale obdelavo neosebnih podatkov, so lahko v različnih oblikah. Vključujejo lahko zahteve za uporabo tehnoloških naprav, certificiranih ali odobrenih v določeni državi članici, ali druge zahteve, katerih učinek je, da otežujejo obdelavo podatkov zunaj določenega geografskega območja ali ozemlja v Evropski uniji,. Pri oceni, ali določen ukrep predstavlja posredno zahtevo glede lokalizacije podatkov, je treba upoštevati posebne okoliščine posameznega primera. V uredbi o prostem pretoku neosebnih podatkov je naveden pojem javna varnost, kot je opisan v sodni praksi Sodišča Evropske unije. Javna varnost „zajema tako notranjo kot zunanjo varnost države članice ter vprašanja varnosti ljudi, zlasti za olajšanje preiskovanja, odkrivanja in pregona kaznivih dejanj. Predpostavlja obstoj dejanske in dovolj resne grožnje, ki vpliva na enega od temeljnih interesov družbe, kot je ogrožanje delovanja institucij in temeljnih javnih služb ter preživetja prebivalstva, pa tudi tveganje resnih motenj v zunanjih odnosih ali v mirnem sobivanju narodov oziroma grožnjo vojaškim interesom.“

Poleg tega morajo biti vse zahteve glede lokalizacije podatkov, upravičene iz razlogov javne varnosti, sorazmerne. V skladu s sodno prakso Sodišča Evropske unije načelo sorazmernosti nalaga, da so sprejeti ukrepi primerni za uresničitev zastavljenega cilja in ne presegajo tistega, kar je potrebno za navedeni namen. Zaradi jasnosti prepoved zahtev glede lokalizacije podatkov ne posega v že obstoječe omejitve, ki jih določa pravo EU. Poleg tega uredba o prostem pretoku neosebnih podatkov podjetjem ne nalaga nobenih obveznosti in ne omejuje njihove pogodbene svobode pri odločanju, kje bodo obdelani njihovi podatki. Države članice morajo podrobnosti o vseh zahtevah glede lokalizacije podatkov, ki se uporabljajo na njihovem ozemlju, objaviti na nacionalni enotni spletni informacijski točki (nacionalna spletišča). Te informacije morajo posodabljati ali posodobljene informacije posredovati centralni informacijski točki, ki jo vzpostavlja drug akt EU. Zaradi praktičnosti za podjetja in za olajšanje njihovega dostopa do ustreznih informacij po vsej EU bo Komisija na portalu Tvoja Evropa objavila povezave do teh informacijskih točk. 3.2 Prosti pretok osebnih podatkov Splošna uredba o varstvu podatkov določa, da „[p]rosti pretok osebnih podatkov v Uniji ne sme biti omejen ali prepovedan iz razlogov, povezanih z varstvom posameznikov pri obdelavi osebnih podatkov.“ Če država članica iz razlogov, ki niso varstvo osebnih podatkov, uvede zahteve glede lokalizacije osebnih podatkov, bodo morale biti te zahteve ocenjene glede na določbe o temeljnih svoboščinah in dovoljenih razlogih za odstopanje od teh svoboščin v Pogodbi o delovanju Evropske unije, ter ustrezni zakonodaji EU, kot sta direktiva o storitvah in direktiva o e-poslovanju. Primer: nacionalni zakon iz razlogov, povezanih z regulativnim nadzorom, na primer s strani nacionalnega davčnega organa, zahteva, da so računi za izplačevanje plač odprti v določeni državi članici. Taka nacionalna določba ne bi spadala v področje uporabe člena 1(3) splošne uredbe o varstvu podatkov, ker razlogi zanjo niso varstvo osebnih podatkov. Namesto tega bi bilo treba to zahtevo oceniti glede na določbe o temeljnih svoboščinah in dovoljenih razlogih za odstopanje od teh svoboščin v Pogodbi o delovanju Evropske unije. V Splošni uredbi o varstvu podatkov je priznano, da lahko države članice uvedejo pogoje, tudi omejitve, glede obdelave genetskih podatkov, biometričnih podatkov ali podatkov o zdravstvenem stanju. Kot je navedeno v uvodni izjavi 53, pa takšne nacionalne omejitve ne bi smele ovirati prostega pretoka osebnih podatkov v EU, kadar ti pogoji veljajo za čezmejno obdelavo takih podatkov. To je v skladu s členom 16 Pogodbe o delovanju Evropske unije, ki zagotavlja pravno podlago za sprejetje pravil o pravici do varstva osebnih podatkov in prostem pretoku takih podatkov. 3.3 Področje uporabe uredbe o prostem pretoku neosebnih podatkov Kot je bilo že navedeno, je cilj uredbe o prostem pretoku neosebnih podatkov zagotoviti prosti pretok neosebnih podatkov „v Uniji“. Zato se Uredba ne uporablja za dejanja obdelave, ki potekajo zunaj EU, in za zahteve glede lokalizacije podatkov, ki zadevajo to obdelavo,. Zato je področje uporabe Uredbe v skladu s členom 2(1) omejeno na obdelavo elektronskih neosebnih podatkov v EU, ki: (a)se opravlja kot storitev za uporabnike, ki prebivajo ali imajo sedež v EU, ne glede na to, ali ima ponudnik storitev sedež v EU ali ne, ali (b)jo za lastne potrebe izvaja fizična ali pravna oseba, ki prebiva ali ima sedež v EU. Primeri: člen 2(1)(a) uredbe o prostem pretoku neosebnih podatkov: ·ponudnik storitev v oblaku s sedežem v ZDA zagotavlja storitve obdelave strankam, ki prebivajo ali imajo sedež v EU. Svoje dejavnosti upravlja prek strežnikov na ozemlju EU, kjer so shranjeni ali drugače obdelani podatki njegovih evropskih strank. Ponudniku storitev v oblaku ni treba biti lastnik infrastrukture v EU, saj lahko na primer najame strežniški prostor v EU. Uredba o prostem pretoku neosebnih podatkov se uporablja za tako obdelavo podatkov. ·Ponudnik storitev v oblaku s sedežem na Japonskem ponuja svoje storitve evropskim strankam. Sistemi ponudnika za obdelavo podatkov se nahajajo na Japonskem, kjer potekajo vse dejavnosti obdelave. Uredba o prostem pretoku neosebnih podatkov se v tem primeru ne uporablja, če vse dejavnosti obdelave potekajo zunaj EU.

Člen 2(1)(b) uredbe o prostem pretoku neosebnih podatkov: ·majhno evropsko zagonsko podjetje iz države članice A se odloči, da bo z odprtjem poslovne enote v državi članici B povečalo obseg svojega poslovanja. Da bi čim bolj znižalo stroške, se odloči centralizirati shranjevanje in obdelavo podatkov nove poslovne enote na svojem strežniku, ki je v državi članici A. Države članice ne smejo prepovedati takih prizadevanj za centralizacijo informacijske tehnologije, razen če je to utemeljeno na podlagi javne varnosti ob upoštevanju načela sorazmernosti. Čeprav se uredba o prostem pretoku neosebnih podatkov ne uporablja, če se vse dejavnosti obdelave neosebnih podatkov izvajajo zunaj EU, je treba upoštevati splošno uredbo o varstvu podatkov, kadar podatkovni niz vsebuje osebne podatke. Zlasti je treba vsekakor upoštevati pravila za prenos osebnih podatkov v tretje države ali mednarodne organizacije v skladu s splošno uredbo o varstvu podatkov. 3.4 Dejavnosti v zvezi z notranjo organizacijo držav članic Uredba o prostem pretoku neosebnih podatkov držav članic ne obvezuje, da na zunanje izvajalce prenesejo opravljanje storitev v zvezi z neosebnimi podatki, ki jih želijo opravljati sami ali jih organizirati na drug način kot pa z javnimi naročili. V drugem pododstavku člena 2(3) uredbe o prostem pretoku neosebnih podatkov je navedeno: „Ta uredba ne posega v zakone in druge predpise v zvezi z notranjo organizacijo držav članic, ki določajo prenos pristojnosti in pooblastil za obdelavo podatkov brez pogodbenih plačil zasebnih strank na javne organe in osebe javnega prava, kakor so opredeljene v točki (4) člena 2(1) Direktive 2014/24/EU, kot tudi ne v zakone in druge predpise držav članic, ki določajo izvajanje teh pooblastil in pristojnosti.“ Obstajajo lahko legitimni interesi, ki bi upravičili izbiro tovrstnega „samozagotavljanja“ storitev obdelave podatkov, kot so „notranje izvajanje“ ali medsebojni dogovori med javnimi upravami. Značilni primeri vključujejo uporabo „vladnega oblaka“ ali vlado, ki za zagotavljanje storitev obdelave podatkov za javne institucije in organe najame centralizirano agencijo za informacijsko tehnologijo. Vendar pa uredba o prostem pretoku neosebnih podatkov države članice spodbuja, naj preučijo gospodarsko učinkovitost in druge prednosti uporabe zunanjih ponudnikov storitev,. Takoj ko začnejo nacionalni organi obdelavo podatkov oddajati v „zunanje izvajanje“ s pogodbenim plačilom zasebnim subjektom in se obdelava izvaja v EU, zanjo velja uredba o prostem pretoku neosebnih podatkov, kar pomeni, da se načelo prostega pretoka neosebnih podatkov uporablja za splošne in administrativne prakse nacionalnih organov. Zlasti se morajo vzdržati določanja omejitev za lokalizacijo podatkov, na primer v javnih razpisih 4 Samoregulativni pristopi, ki podpirajo prosti pretok podatkov Samoregulacija prispeva k inovacijam in zaupanju med subjekti na trgu ter se lahko bolje odziva na spremembe na trgu. Ta oddelek vsebuje pregled samoregulativnih pobud za obdelavo osebnih in neosebnih podatkov. 4.1 Prenos podatkov in zamenjava ponudnikov storitev v oblaku Eden od namenov uredbe o prostem pretoku neosebnih podatkov je preprečevanje praks, ki povzročajo vezanost na ponudnika. Te prakse se pojavijo, kadar uporabniki ne morejo zamenjati ponudnika storitev, ker so njihovi podatki „zaklenjeni“ v sistemu ponudnika, na primer zaradi posebnega formata podatkov ali pogodbenih dogovorov, in jih ni mogoče prenesti iz informacijskega sistema ponudnika. Neoviran prenos podatkov je pomemben, da lahko uporabniki svobodno izbirajo med ponudniki storitev obdelave podatkov in da se tako zagotovi učinkovita konkurenca na trgu. Prenosljivost podatkov med podjetji postaja vse pomembnejša v številnih digitalnih panogah, vključno s storitvami v oblaku. V skladu s členom 6 uredbe o prostem pretoku neosebnih podatkov Komisija spodbuja in olajšuje pripravo samoregulativnih kodeksov ravnanja na ravni EU (v nadaljnjem besedilu: kodeksi ravnanja), da se prispeva h konkurenčnemu podatkovnemu gospodarstvu. Industriji zagotavlja podlago za pripravo samoregulativnih kodeksov ravnanja o zamenjavi ponudnikov storitev in prenosu podatkov med različnimi informacijskimi sistemi. Pri pripravi takih kodeksov ravnanja o prenosu podatkov je treba upoštevati več vidikov, zlasti: ·dobre prakse za lažjo zamenjavo ponudnika storitev in lažji prenos podatkov v strukturirani, splošno uporabljani in strojno berljivi obliki; ·zahteve za minimalne informacije, da se poklicnim uporabnikom pred sklenitvijo pogodbe zagotovijo dovolj podrobne in jasne informacije v zvezi s postopki, tehničnimi zahtevami, roki in stroški, ki se uporabljajo v primeru, da poklicni uporabnik želi zamenjati ponudnika storitev ali prenesti podatke nazaj v lastne informacijske sisteme; ·pristope k certifikacijskim shemam za boljšo primerljivost storitev v oblaku ter ·komunikacijske načrte za ozaveščanje o kodeksih ravnanja.

Komisija je na trgu storitev v oblaku začela spodbujati delo delovnih skupin deležnikov na področju storitev v oblaku na digitalnem enotnem trgu, ki združujejo strokovnjake na področju storitev v oblaku in poklicne uporabnike, vključno z malimi in srednjimi podjetji. V tej fazi ena podskupina pripravlja samoregulativne kodekse ravnanja o prenosu podatkov in zamenjavi ponudnikov storitev v oblaku (delovna skupina SWIPO), druga podskupina pa se ukvarja z razvojem certificiranja varnosti storitev v oblaku (delovna skupina CSPCERT) Delovna skupina SWIPO pripravlja kodekse ravnanja, ki zajemajo celotni spekter storitev v oblaku; infrastrukturo kot storitev (Infrastructure as a Service – IaaS), platformo kot storitev (Platform as a service – PaaS) in programsko opremo kot storitev (Software as a service – SaaS). Komisija pričakuje, da bodo različni kodeksi ravnanja dopolnjeni z vzorčnimi pogodbenimi klavzulami. Te bodo omogočile zadostno tehnično in pravno specifičnost pri praktičnem izvajanju in uporabi kodeksov ravnanja, kar bo posebej pomembno za mala in srednja podjetja. Načrtuje se, da bodo vzorčne pogodbene klavzule oblikovane po pripravi kodeksov ravnanja (ki naj bi bili pripravljeni do 29. novembra 2019). Komisija bo v skladu s členom 8 uredbe o prostem pretoku neosebnih podatkov do 29. novembra 2022 ocenila izvajanje Uredbe. Tako bo mogoče oceniti: (i) vpliv na prosti pretok podatkov v Evropi; (ii) uporabo Uredbe, zlasti za mešane podatkovne nize; (iii) koliko so države članice dejansko odpravile obstoječe neupravičene omejitve za lokalizacijo podatkov ter (iv) tržno učinkovitost kodeksov ravnanja na področju prenosa podatkov in zamenjave ponudnikov storitev v oblaku. Pojem prenosljivosti in medsebojno vplivanje s splošno uredbo o varstvu podatkov Obe uredbi se nanašata na prenosljivost podatkov in cilj olajšati prenos podatkov iz enega informacijskega okolja v drugega, tj. v sisteme drugega ponudnika ali sisteme na kraju samem. To preprečuje vezanost na ponudnika in spodbuja konkurenco med ponudniki storitev. Vendar pa se uredbi razlikujeta po pristopu k prenosljivosti, kadar gre za odnos med ciljnimi interesnimi skupinami in pravno naravo določb. Pravica do prenosljivosti podatkov iz člena 20 splošne uredbe o varstvu podatkov zadeva zlasti odnos med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem. To je pravica posameznika, na katerega se nanašajo osebni podatki, da prejme osebne podatke, ki jih je posedoval upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki, ter da te podatke posreduje drugemu upravljavcu ali jih prenese v lastni sistem za hrambo podatkov, ne da bi ga upravljavec, ki so mu bili osebni podatki zagotovljeni, pri tem oviral. V tem odnosu so posamezniki, na katere se nanašajo osebni podatki, običajno potrošniki različnih spletnih storitev, ki želijo zamenjati te ponudnike storitev. Člen 6 uredbe o prostem pretoku neosebnih podatkov ne določa pravice poklicnih uporabnikov do prenosa podatkov, ampak vsebuje samoregulativni pristop s prostovoljnimi kodeksi ravnanja za industrijo. Hkrati je usmerjen v položaj, v katerem je poklicni uporabnik obdelavo podatkov oddal v zunanje izvajanje tretji osebi, ki ponuja storitev obdelave podatkov.V skladu s členom 3(8) uredbe o prostem pretoku neosebnih podatkov lahko pojem „poklicni uporabnik“ zajema „fizično ali pravno osebo, vključno z javnim organom ali osebo javnega prava, ki uporablja ali naroči storitev obdelave podatkov za namene v zvezi s svojo trgovsko, poslovno, obrtno ali poklicno dejavnostjo oziroma izpolnjevanjem nalog“. V praksi prenosljivost v skladu s členom 6 uredbe o prostem pretoku neosebnih podatkov zadeva interakcije med podjetji, in sicer med poklicnim uporabnikom (ki se lahko v primerih, ki vključujejo obdelavo osebnih podatkov, v skladu s splošno uredbo o varstvu podatkov šteje za „upravljavca“) in ponudnikom storitev (ki ga je treba v nekaterih primerih podobno šteti za „obdelovalca“). Kljub razlikam se lahko pojavijo primeri, v katerih bi za prenos podatkov v zvezi z mešanimi podatkovnimi nizi veljala tako uredba o prostem pretoku neosebnih podatkov kot tudi splošna uredba o varstvu podatkov. Primer: podjetje, ki uporablja storitev v oblaku, se odloči za zamenjavo ponudnika storitev v oblaku in prenos vseh podatkov na novega ponudnika. Zamenjava ponudnika storitev in prenos podatkov sta zajeta v pogodbi med stranko in ponudnikom storitev v oblaku. Če stari ponudnik storitev v oblaku upošteva kodekse ravnanja, pripravljene v skladu z uredbo o prostem pretoku neosebnih podatkov, je treba podatke prenesti v skladu z zahtevami, določenimi v navedenih kodeksih. Če preneseni podatkovni nizi vsebujejo tudi osebne podatke, mora biti prenos v skladu z vsemi ustreznimi določbami splošne uredbe o varstvu podatkov, pri čemer je treba zlasti zagotoviti, da novi ponudnik storitev v oblaku izpolnjuje veljavne zahteve, na primer glede varnosti. Primer: če se banka odloči za zamenjavo svojega ponudnika storitev upravljanja odnosov s strankami, je možno, da je treba nekatere (osebne in neosebne) podatke prenesti s starega ponudnika na novega. Za te podatke bodo nato veljale različne regulativne zahteve, pri čemer nekatere izhajajo iz splošne uredbe o varstvu podatkov, druge pa iz uredbe o prostem pretoku neosebnih podatkov. 4.2 Kodeksi ravnanja in certifikacijske sheme v zvezi z varstvom osebnih podatkov Izpolnjevanje obveznosti iz Splošne uredbe o varstvu podatkov se lahko dokaže s kodeksi ravnanja in certifikacijskimi shemami (glej člen 24(3) in člen 28(5)). V skladu s členom 40(1) in členom 42(1) Splošne uredbe o varstvu podatkov bi morali države članice, nadzorni organi, Evropski odbor za varstvo podatkov in Komisija industrijo spodbujati, naj pripravi kodekse ravnanja in vzpostavi mehanizme certificiranja za varstvo podatkov. Združenja ali drugi organi, ki predstavljajo posebno kategorijo upravljavcev ali obdelovalcev, lahko pripravijo kodeks ravnanja za določen sektor. Osnutek kodeksa je treba predložiti v odobritev zadevnemu pristojnemu nadzornemu organu. Če se osnutek kodeksa ravnanja nanaša na dejavnosti obdelave v več državah članicah, ga mora nadzorni organ pred odobritvijo predložiti Evropskemu odboru za varstvo podatkov. Odbor bo nato predložil mnenje, ali je osnutek kodeksa skladen s Splošno uredbo o varstvu podatkov.