Europski dan zaštite osobnih podataka

GDPR se mijenja, a međunarodni prijenosi ostaju pod povećalom. Povodom Europskog dana zaštite osobnih podataka (28. siječnja), donosimo pregled ključnih regulatornih pitanja koja će oblikovati zaštitu podataka u 2026. godini.

I. Digitalni omnibus - što se mijenja i zašto je važno?

Europska komisija objavila je tzv. Digitalni omnibus paket, čiji je cilj pojednostaviti i uskladiti digitalnu regulativu Europske unije. U kontekstu GDPR - a, razmatraju se izmjene koje bi mogle uključivati:

• promjenu definicije „osobnih podataka“ na način da se suzi opseg pojma osobni podatak,
• produljenje roka za prijavu povrede osobnih podataka sa 72 na 96 sati,
• uvođenje standardiziranog obrasca Procjene učinka na zaštitu podataka („DPIA“),
• izmjene prava ispitanika, uključujući pravo na pristup osobnim podacima, itd.

Iako se zasad radi o prijedlozima koji su u ranoj fazi zakonodavnog postupka, jasno je da EU nastavlja razvijati regulatorni okvir kako bi GDPR pratio trendove ubrzanog tehnološkog razvoja.

II. Prijenos osobnih podataka u SAD - aktualni okvir

Prijenos osobnih podataka iz EU u treće zemlje dopušten je samo ako je razina zaštite u bitnome jednaka onoj u EU, u skladu s GDPR - om.

GDPR predviđa dva glavna mehanizma za zakonit prijenos podataka:

• odluke o primjerenosti Europske komisije, te
• odgovarajuće zaštitne mjere, uključujući standardne ugovorne klauzule (SCC), obvezujuća korporativna pravila (BCR), kodekse ponašanja i certifikacijske mehanizme.

U srpnju 2023. Europska komisija donijela je odluku o primjerenosti za EU - US Data Privacy Framework, koja omogućuje prijenos podataka američkim društvima certificiranima prema tom okviru.

Za američka društva koja nisu certificirana, organizacije se u praksi najčešće oslanjaju na standardne ugovorne klauzule (SCC). Međutim, nakon presude Schrems II, primjena SCC-a najčešće zahtijeva provođenje Transfer Impact Assessmenta (TIA) kako bi se procijenilo osiguravaju li zakonodavstvo i praksa treće zemlje doista jednaku razinu zaštite.

Što to znači za društva u RH?

Kako bi se osigurala usklađenost i smanjili regulatorni rizici, preporučujemo:

• provjeru prenosite li osobne podatke u SAD, i da li je društvo u SAD - u certificirano prema EU–US Data Privacy Frameworku,
• ažuriranje standardnih ugovornih klauzula i Transfer Impact Assessmenta gdje je primjenjivo,
• implementaciju odgovarajućih tehničkih i organizacijskih mjera zaštite,
• praćenje razvoja Digitalnog omnibusa i potencijalnih izmjena GDPR-a.

Ako Vam je potrebna dodatna podrška ili savjet u vezi ovih obveza, uvijek nam se možete obratiti - rado ćemo pomoći u razumijevanju i provedbi potrebnih koraka.