Aleksandra Ćalić Bošković i Marijana Biševac • sep 30, 2020
Odluka Evropskog suda pravde o neadekvatnosti zaštite uspostavljene putem EU-US Privacy Sheild-a i uticaj na prenos podataka o ličnosti u SAD
Opštom uredbom o zaštiti podataka o ličnosti EU 2016/679 (GDPR) regulisani su osnovi prenosa podataka o ličnosti od strane subjekata koji podležu primeni GDPR-a u države van EU. Jedan od osnova prenosa koji je s aspekta prenosioca najjednostavniji je prenos na osnovu odluke o primerenosti zaštite. Navedeni prenos podrazumeva prenos u države, delove teritorija ili sektore za koje je odlukom Evropske komisije utvrđeno da obezbeđuje primereni nivo zaštite i takav prenos ne podleže posebnom odobrenju, niti obavezama učesnika prenosa.
Kada je reč o prenosu u SAD, Evropska komisija donela je dana 12. jula 2016. godine Odluku br. 2016/1250 o primerenosti zaštite uspostavljene u okviru EU-US Privacy Shield-a kojom je bilo utvrđeno da je u pogledu prenosa podataka o ličnosti organizacijama u SAD koje su putem samosertifikacije postale deo Privacy Shield Framework-a obezbeđen primereni nivo zaštite. Navedeno je omogućilo prenos podataka o ličnosti pod najpovoljnijim uslovima organizacijama u SAD koje su deo Privacy Shield Framework-a, dok se u pogledu prenosa subjektima van Privacy Shield Framework-a mogu koristiti ostali dopušteni osnovi prenosa.
Odlukom Evropskog suda pravde C-311/18 od 16. jula 2020. godine Odluka Evropske komisije o primerenosti zaštite uspostavljene u okviru EU-US Privacy Shield-a proglašena je nevažećom, usled čega se navedeni osnov prenosa više ne može koristiti.
S obzirom da je saglasno odredbama Zakona o zaštiti podataka o ličnosti RS Odlukom Vlade RS Sl gl. RS 55/19 od 02.08.2019. godine prenos podataka organizacijama u SAD u okvirima Privacy Shield Framework-a utvrđen kao prenos uz obezbeđivanje primerenog nivoa zaštite s aspekta domaćeg zakona, a upravo na osnovu Odluke Evropske komisije o primerenosti zaštite uspostavljene u okviru EU-US Privacy Shield-a, Privacy Shield Framework usled nevažnosti ove odluke više ne obezbeđuje primereni nivo zaštite ni s aspekta Zakona o zaštiti podataka o ličnosti RS. Sledstveno, rukovaoci podataka koji podatke prenose u SAD, a koji su prenos podataka do sada ostvarivali po ovom osnovu će morati pronaći drugi osnov prenosa ustanovljen domaćim zakonom.
Navedeno tumačenje potvrđeno je i od strane Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti Republike Srbije, koji je uputio dopis Vladi RS u pravcu usaglašavanja Odluke Sl gl. RS 55/19 od 02.08.2019. godine sa posledicama koje je proizvela Odluka Evropskog suda pravde koja se odnosi na Privacy Shield, a na koji se prema dostupnim podacima još očekuje odgovor.
Da zaključimo, za prenose podataka o ličnosti u SAD više se ni ograničeno (na organizacije u okviru Privacy Shield Framework-a) ne primenjuje najpovoljniji osnov prenosa (primerenost zaštite), već će subjekti koji podležu primeni kako GDPR-a, tako i domaćeg zakona morati da za prenos u ovu državu koriste drugi osnov prenosa ustanovljen GDPR-om, odnosno domaćim zakonom.