Európsky výbor pre ochranu údajov – 37. plenárna schôdza: usmernenia k vzťahu prevádzkovateľ – spracovateľ, usmernenia k zacieleniu na používateľov sociálnych médií, pracovná skupina pre sťažnosti podané v nadväznosti na rozsudok SDEÚ vo veci Schrems II,

4 September 2020

V Bruseli 3. septembra – Výbor prijal usmernenia týkajúce sa pojmov prevádzkovateľ a spracovateľ vo všeobecnom nariadení o ochrane údajov a usmernenia k zacieleniu na používateľov sociálnych médií. EDPB okrem toho zriadil pracovnú skupinu pre sťažnosti podané v nadväznosti na rozsudok SDEÚ vo veci Schrems II a pracovnú skupinu pre dodatočné opatrenia, ktorých prijatie sa môže vyžadovať od vývozcov a dovozcov údajov na zabezpečenie primeranej ochrany pri prenose údajov na základe rozsudku SDEÚ vo veci Schrems II.

Výbor prijal usmernenia týkajúce sa pojmov prevádzkovateľ a sprostredkovateľ vo všeobecnom nariadení o ochrane údajov. Od nadobudnutia účinnosti všeobecného nariadenia o ochrane údajov sa objavujú otázky týkajúce sa rozsahu, v akom toto nariadenie zmenilo tieto pojmy, najmä pokiaľ ide o pojem spoločného prevádzkovateľa (ako sa uvádza v článku 26 všeobecného nariadenia o ochrane údajov a v nadväznosti na niekoľko rozsudkov SDEÚ), ako aj povinnosti sprostredkovateľov (predovšetkým článok 28 všeobecného nariadenia o ochrane údajov) stanovené v kapitole IV nariadenia.

V marci 2019 EDPB spoločne so sekretariátom zorganizovali podujatie pre zainteresované strany, na ktorom sa jasne ukázalo, že sú nevyhnutné ďalšie praktické usmernenia, a ktoré pomohlo výboru lepšie pochopiť potreby a obavy v tejto oblasti. Nové usmernenia majú dve hlavné časti: v prvej sa vysvetľujú rôzne pojmy, druhá obsahuje podrobné usmernenia týkajúce sa hlavných dôsledkov týchto pojmov pre prevádzkovateľov, sprostredkovateľov a spoločných prevádzkovateľov. Súčasťou usmernení je aj vývojový diagram s ďalšími praktickými usmerneniami. Usmernenia budú predmetom verejnej konzultácie.

EDPB prijal usmernenia k zacieleniu na používateľov sociálnych médií. Cieľom týchto usmernení je poskytnúť praktické usmernenia pre zainteresované strany. Zároveň obsahujú príklady rôznych situácií, ktoré pomôžu zainteresovaným stranám rýchlo identifikovať tzv. scenár, ktorý najviac vyhovuje postupom zacielenia, ktoré chcú uplatniť. Hlavným cieľom usmernení je objasniť úlohy a povinnosti poskytovateľa sociálnych médií a cieľovej osoby. V usmerneniach sa preto okrem iného identifikujú potenciálne riziká týkajúce sa slobôd jednotlivca, hlavné subjekty a ich úlohy, uplatňovanie kľúčových požiadaviek na ochranu údajov, ako je zákonnosť a transparentnosť a posúdenie vplyvu na ochranu údajov, ako aj hlavné prvky dohôd medzi poskytovateľmi sociálnych médií a cieľovými osobami. Usmernenia sú okrem toho zamerané na rôzne mechanizmy zacieľovania, spracovanie osobitných kategórií údajov a povinnosť spoločného prevádzkovateľa uzatvoriť primeranú dohodu v súlade s článkom 26 všeobecného nariadenia o ochrane údajov. Plénum predloží usmernenia na verejnú konzultáciu.

Výbor zriadil pracovnú skupinu na preskúmanie sťažností podaných v súvislosti s rozsudkom SDEÚ vo veci Schrems II. Celkovo bolo na úradoch pre ochranu osobných údajov EHP podaných 101 rovnakých sťažností proti niekoľkým prevádzkovateľom v členských štátoch EHP týkajúcich sa používania služieb Google/Facebook, ktoré sa týkajú prenosu osobných údajov. Konkrétne sťažovatelia, ktorých zastupuje mimovládna organizácia NOYB, tvrdia, že spoločnosti Google/Facebook poskytujú osobné údaje Spojeným štátom, pričom sa opierajú o štít na ochranu osobných údajov medzi EÚ a USA alebo štandardné zmluvné doložky, a že podľa nedávneho rozsudku SDEÚ v prípade C-311/18 prevádzkovateľ nebol schopný zabezpečiť primeranú ochranu osobných údajov sťažovateľov. Pracovná skupina bude analyzovať túto záležitosť a zabezpečí úzku spoluprácu medzi členmi výboru.

V nadväznosti na rozsudok SDEÚ vo veci Schrems II a okrem častých otázok prijatých 23. júla, výbor zriadil pracovnú skupinu. Táto pracovná skupina vypracuje odporúčania, ktoré majú pomôcť prevádzkovateľom a sprostredkovateľom pri povinnosti identifikovať a zaviesť primerané dodatočné opatrenia na zabezpečenie primeranej ochrany pri prenose údajov do tretích krajín.

Andrea Jelinek, predsedníčka EDPB: „EDPD so dobre uvedomuje, že rozsudkom vo veci Schrems II vzniká pre prevádzkovateľov dôležitá zodpovednosť. Okrem vyhlásenia a častých otázok, ktoré sme uverejnili krátko po rozsudku, vypracujeme odporúčania na podporu prevádzkovateľov a sprostredkovateľov v rámci ich povinnosti identifikovať a uplatňovať primerané dodatočné opatrenia právnej, technickej a organizačnej povahy, aby pri prenose osobných údajov do tretích krajín spĺňali štandard, ktorým je „v podstate rovnocennosť“. Dôsledky tohto rozsudku sú však rozsiahle a kontext prenosu údajov do tretích krajín veľmi rozmanitý. Nie je preto možné prísť s univerzálnym a rýchlym riešením. Každá organizácia musí vyhodnotiť vlastné operácie spracovania a prenosu údajov a prijať primerané opatrenia.“

Poznámky pre redaktorov:
Pripomíname, že všetky dokumenty schválené počas plenárnej schôdze výboru EDPB sú podrobené potrebným právnym a jazykovým kontrolám, ako aj kontrole v oblasti formátovania a po ich ukončení budú sprístupnené na webovom sídle výboru EDPB.

EDPB_Press Release_2020_14