Комисията за защита на личните данни публикува разяснителен материал
В последния брой на бюлетина си Комисията за защита на личните данни (КЗЛД) публикува разяснителен материал относно Предаване на данни към трети държави:
Предаване на данни към трети държави
Потоците от лични данни към и от страни извън Европейския съюз (ЕС) и международни организации са необходими за разширяването на международната търговия и сътрудничество. Нарастването на тези потоци поражда предизвикателства във връзка със защитата на личните данни. Когато обаче лични данни се предават от Съюза на получатели в трети държави или на международни организации, нивото на защита на физическите лица, гарантирано в Съюза с Общия регламент относно защитата на данните (ОРЗД, Регламент (ЕС) № 2016/679), не следва да бъде излагано на риск, включително в случаите на последващо предаване на лични данни от третата държава или международната организация на администратори или обработващи лични данни в същата или друга трета държава или международна организация. Във всеки случай предаването на данни на трети държави и международни организации може да се извършва единствено в пълно съответствие с ОРЗД.
Решение за адекватно ниво на защита на данните
Европейската комисия може да реши, с действие по отношение на целия Съюз, че определени трети държави или територия, конкретен сектор в трета държава или дадена международна организация предоставя адекватно ниво на защита на данните, като по този начин осигури правна сигурност и еднообразно прилагане навсякъде в Съюза по отношение на третата държава или международна организация, за които се смята, че предоставят такова ниво на защита. При приемането на решение относно адекватното ниво на защита за територия или конкретен сектор в трета държава, следва да се вземат предвид ясни и обективни критерии, като например специфични дейности по обработване и обхватът на приложимите правни стандарти и на действащото законодателство в третата държава.
Третата държава следва да предостави гаранции, които осигуряват адекватно ниво на защита, което по същество е равностойно на нивото, гарантирано в рамките на ЕС, по-специално когато личните данни се обработват в един или няколко конкретни сектора. Третата държава следва да осигури ефективен независим надзор в областта на защитата на данните и да предвиди механизми за сътрудничество с органи по защита на данните на държавите членки, а на субектите на данните следва да бъдат предоставени действителни и приложими права и ефективни средства за административна и съдебна защита. В решенията си относно адекватното ниво на защита Комисията следва да предвиди механизъм за периодичен преглед на тяхното изпълнение.
Подходящи гаранции за защита на субектите на данни
При липсата на решение относно адекватното ниво на защита администраторът или обработващият лични данни следва да предприеме мерки, за да компенсира липсата на защита на данни в дадена трета държава чрез подходящи гаранции за субекта на данните.
Такива подходящи гаранции може да се състоят в:
- използването на задължителни фирмени правила
- стандартни клаузи за защита на данните, приети от Комисията
- стандартни клаузи за защита на данните, приети от надзорен орган, или
- договорни клаузи, разрешени от надзорен орган.
Тези гаранции следва да осигуряват спазването на изискванията относно защитата на данните и на правата на субектите на данни, подходящи при обработване в рамките на Съюза, включително наличието на приложими права на субектите на данни и на ефективни средства за правна защита.
Международни споразумения като способ за предаване на данни
Държавите членки могат да сключват международни споразумения, които включват предаването на лични данни на трети държави или международни организации, доколкото тези споразумения не засягат ОРЗД или други разпоредби на правото на Съюза и доколкото включват подходящо ниво на защита на основните права на субектите на данни.
Особени случаи при предаване на данни на трети държави и международни организации
При липса на решение относно адекватното ниво на защита или на подходящи гаранции, предаване на лични данни на трета държава или международна организация се извършва само при едно от следните условия:
- субектът на данните изрично е дал съгласието си за предлаганото предаване на данни, след като е бил информиран за свързаните с предаването възможни рискове за субекта на данните поради липсата на решение относно адекватното ниво на защита и на подходящи гаранции;
- предаването е необходимо за изпълнението на договор между субекта на данните и администратора или за изпълнението на преддоговорни мерки, взети по искане на субекта на данните;
- предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на субекта на данните между администратора и друго физическо или юридическо лице;
- предаването е необходимо поради важни причини от обществен интерес;
- предаването е необходимо за установяването, упражняването или защитата на правни претенции;
- предаването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на други лица, когато субектът на данните е физически или юридически неспособен да даде своето съгласие;
- предаването се извършва от регистър, който съгласно правото на Съюза или правото на държавите членки е предназначен да предоставя информация на обществеността и е достъпен за справка от обществеността по принцип или от всяко лице, което може да докаже, че има законен интерес за това, но само доколкото условията за справка, установени в правото на Съюза или правото на държавите членки, са изпълнени в конкретния случай.
Когато предаването не може да се основава на гореизброените основания, предаването на данни на трета държава или международна организация може да се извършва само ако предаването не е повторяемо, засяга само ограничен брой субекти на данни, необходимо е за целите на неоспоримите законни интереси, преследвани от администратора, над които не стоят интересите или правата и свободите на субекта на данни и администраторът е оценил всички обстоятелства, свързани с предаването на данните, и въз основа на тази оценка е предоставил подходящи гаранции във връзка със защитата на личните данни. Администраторът има задължението да уведоми надзорния орган и субекта на данни за предаването и за преследваните законни интереси.
Предаване на лични данни в съответствие с разпоредбите на Конвенция 108 на Съвета на Европа
Конвенция 108 на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни е приета на 28 януари 1981 г. като целта ѝ е да гарантира зачитане на основните права и свободи (по-конкретно правото на личен живот по отношение на автоматизираната обработка на лични данни) за всяко физическо лице на територията на всяка страна, независимо от неговата националност и местопребиваване.
По отношение на трансграничния обмен на данни, Конвенцията гарантира свободното движение на лични данни между договарящите се страни и налага някои ограничения върху потоците от данни към държави, в които правната уредба не предоставя равностойна защита. Следва да се отбележи, че Конвенция № 108 е задължителна за държавите, които са я ратифицирали. Тя не подлежи на съдебен надзор от ЕСПЧ, но съгласно член 8 от ЕКПЧ се взема под внимание в съдебната практика на ЕСПЧ. През годините Съдът постановява, че защитата на личните данни е важна част от правото на зачитане на личния живот (член 8) и се ръководи от принципите на Конвенция № 108, когато определя дали е налице намеса в това основно право.
През 2001 г. е приет Допълнителен протокол към Конвенция № 108. С него са въведени разпоредби относно трансграничните потоци от данни към държави, които не са страни по Конвенцията, така наречените трети държави, както и относно задължителното създаване на национални надзорни органи за защита на данните.
С изготвянето и приемането на модернизираната версия на Конвенция 108 (т.нар. „Конвенция 108+”) се цели постигане на по-голямо съответствие между правото за защита на данните, приложимо в рамките на Европейския съюз и правната уредба в рамките на Съвета на Европа, където членуват държави от цял свят. Въпреки, че изискването за влизане в сила на Конвенция 108+ е наличието на 38 присъединили се страни членки и факта, че на настоящия етап този документ е преминал процедурата за подпис и ратификация само в 17 държави, България прилага нейните разпоредби. Предаването на данни в трети страни е регламентирано в член 14 от Конвенция 108+. Целта на тази разпоредба е да улесни, където е възможно, свободното движение на информацията, независимо от границите, като същевременно да осигури подходяща защита на физическите лица по отношение на обработването на лични данни.
Подробна информация за сключените международни споразумения, решенията за адекватно ниво на защита на данните на ЕС и останалите способи за предаване на данни на трети държави и международни организации е налична на интернет страницата на Комисията за защита на лични данни – ТУК.