Публикуваха насоките за трансфери на данни от правоприлагащите органи
Европейският комитет по защита на данните (ЕКЗД/EDPB) публикува окончателния вариант на насоките относно прилагането на член 37 от Директива за защита на личните данни в полицейската и наказателната дейност (Директива (ЕС) 2016/680, (LED)).
Юристите да кажат дали съм права, но от прочетеното оставам с впечатлението, че EDPB омаловажава значението на Конвенция 108 и допълнителните протоколи като смята, че не са правно обвързващ инструмент.
Още по време на обсъждането на проекта на насоки Шведската полиция направи анализ, в който се казва, че може да е лошо управление на ресурсите за всяка държава членка на ЕС да договаря двустранни споразумения със 100+ трети държави. Националните компетентни органи на оперативно ниво днес са принудени да отделят много време и ресурси, за да се опитат да оценят законодателството за защита на данните на трети държави и т.н. Нивото на контрол и изискванията, наложени на националните компетентни органи, както е описано в раздел 4.2 от насоките, са в този контекст едновременно неразумни и нереалистични, пише в становището.
В окончателния вариант не виждам принципни промени в позицията на EDPB:
Правно обвързващ инструмент по смисъла на член 37, параграф 1, буква а) трябва да бъде сключен от субекта, упълномощен да поема задължения по отношение на гаранциите, предвидени в инструмента. Следователно международното споразумение следва да има силата на закон. Такъв правно обвързващ инструмент може да бъде наложен от страните и от субектите на данни, чиято обработка на лични данни се урежда от споразумението. Правно обвързващият инструмент следва да съдържа всички съответни правила, позволяващи преодоляване на всички недостатъци или ограничения на законодателството на третата държава или международната организация по отношение на защитата на данните чрез определяне на рамка от подходящи гаранции, които осигуряват по същество еквивалентно ниво на защита на данните, пише в насоките.
В увода се казва, че член 37 от Директива (EU) 2016/680 (LED) изисква по същество еквивалентно ниво на защита на данните в третата държава получател или международната организация. Това изискване обаче се отнася до конкретния трансфер на данни или категория трансфери. Съгласно член 37 следва да се осигури съществена еквивалентност на защитата, гарантирана по силата на LED, за конкретния случай, а не непременно по отношение на цялото съществуващо законодателство в третата държава или международната организация. В този контекст ЕКЗД припомня своята декларация относно международните споразумения, включително трансферите, приета на 13 април 2021 г., с която приканва държавите членки да оценят и, когато е необходимо, да преразгледат своите международни споразумения, които включват международни трансфери на лични данни.
ЕКЗД подчертава, че следва да се обърне внимание на целта за привеждане на тези споразумения в съответствие с изискванията на LED за трансфер на данни, когато това все още не е така, за да се гарантира, че нивото на защита на физическите лица, гарантирано от LED, не е подкопано когато личните данни се прехвърлят извън ЕС.