Přijetí nových SSD je pravděpodobně nejvýznamnějším vývojem v evropských právních předpisech o ochraně údajů od vstupu obecného nařízení EU o ochraně údajů („GDPR“) v platnost. Evropská komise dnes přijala vzorové smluvní doložky, které jsou považovány za záruku ochrany osobních údajů předávaných mezi smluvními stranami do zemí mimo EU/EEA. Nové SSD odráží požadavky nařízení GDPR, zohledňují rozsudek Soudního dvora ve věci Schrems II, a také připomínky vzešlé ze široké veřejné konzultace a doporučení EDPB, o kterých jsme psali v článku zde.
Díky jejich standardizaci poskytují nové SSD společnostem snadno implementovatelnou šablonu a užitečný nástroj k zajištění souladu s požadavky EU, čímž přinese větší právní předvídatelnost a usnadní přenos osobních údajů do třetích zemí.
Hlavní změny, které přináší přijetí nových SSD:
- Sjednocení SSD – nahrazením více stávajících SSD jedním právním předpisem vzniká přehlednější systém pro transfer dat.
- Zavedení modulárního přístupu, který zvýší flexibilitu komplexních zpracovatelských řetězců. Strany si mohou zvolit jeden ze čtyř modulů, které odrážejí jednotlivé možné smluvní kombinace, včetně těch, které dosud nebyly možné (předávání dat zpracovatelem zpracovateli a zpracovatelem správci).
- Přizpůsobení obsahu dnešní době a začlenění požadavků v souladu s nařízením GDPR.
- Praktický soubor kroků a nástrojů, jejichž splněním si společnosti zajistí soulad s rozhodnutím Schrems II. Obsahuje podrobná pravidla pro situaci, kdy orgán veřejné moci (ve třetí zemi) požaduje předávání údajů.
- Zavádí hierarchizaci odpovědnosti.
- Nově možnost volby rozhodného práva v rámci EU, a příslušného soudu pro řešení případných sporů.
- Možnost třetí strany přistoupit ke smlouvě na základě tzv. dokovací doložky.
Jako vždy jsou u nového předpisu důležitá přechodná ustanovení, která oproti návrhu doznala mírného prodloužení: předně dosavadní SSD bude možné uzavírat již jen 3 měsíce od vstupu v platnost nových SSD a ty již uzavřené bude potřeba nahradit novými SSD nejpozději v dalších 15 měsících. Ale pozor, na uvedenou jeden a půlroční lhůtu k úpravám kontraktů mohou spoléhat jen ti, kdo mohou doložit, že staré SSD jsou i tak spolehlivou zárukou pro ochranu osobních údajů, takže je patrně jednodušší co nejdříve zahájit jejich přejednání. Už zbývá jen publikace v Úředním věstníku a hodiny začnou odtikávat.
Na závěr upozorňujeme na povinnost posouzení dopadu přenosu, které je potřeba provést ještě před používáním nových SSD, tj. ani tyto nové SSD nemohou popírat realitu, která může v některých třetích zemích panovat.
