Předávání údajů do třetích zemí (international data transfer)

Příklady z praxe

1. 01

   Cloudový region jako první rozhodnutí projektu

   Tým nasazuje aplikaci do AWS a defaultně sáhne po regionu us-east-1, protože je nejlevnější. Tím vzniká předání do USA u všech zákaznických údajů včetně záloh. Volba evropského regionu při zakládání infrastruktury je levnější než pozdější migrace databáze i přepis dokumentace GDPR.

   provider "aws" {
     region = "eu-central-1" # Frankfurt, data zustavaji v EHP
   }
   
   resource "aws_s3_bucket" "uploads" {
     bucket = "eshop-uploads-eu"
   }

2. 02

   Skript třetí strany odešle IP dřív než souhlas

   E-shop načítá marketingový pixel přímo v hlavičce stránky. Prohlížeč se spojí se serverem mimo EHP a odešle IP adresu a User-Agent ještě předtím, než návštěvník cokoli odklikne v cookie liště. Řešením je načítat takové skripty až po souhlasu a ve smluvní dokumentaci evidovat, který nástroj kam předává.

   // nacteni az po ziskani souhlasu
   if (consent.marketing) {
     const s = document.createElement('script');
     s.src = 'https://analytics.example.com/px.js';
     s.async = true;
     document.head.appendChild(s);
   }

Časté omyly

MýtusKdyž má dodavatel datacentrum v Evropě, žádné předání do třetí země neřeším.

Ve skutečnostiUmístění serveru je jen jeden faktor. Pokud má mateřská společnost nebo support ve třetí zemi vzdálený přístup k datům, jde o předání a je potřeba právní titul. Rozhoduje reálná dostupnost údajů, ne adresa serveru.

MýtusStačí podepsat standardní smluvní doložky a mám hotovo.

Ve skutečnostiStandardní smluvní doložky jsou nutné, ale samy o sobě nestačí. Vývozce musí doložit posouzení dopadu předání a případně doplnit technická opatření, například šifrování s klíči mimo dosah příjemce.

MýtusSouhlas uživatele vyřeší jakékoli předání dat mimo EU.

Ve skutečnostiVýslovný souhlas podle článku 49 je výjimka určená pro příležitostná a nesystematická předání. Pro trvalý provoz nástroje, kterým protékají data všech zákazníků, dozorové úřady souhlas jako základ neuznávají.

Časté dotazy

Je Spojené království po brexitu třetí zemí?

Spojené království je po brexitu z pohledu GDPR třetí zemí, ale Evropská komise pro něj vydala rozhodnutí o odpovídající ochraně. Předávat osobní údaje do Británie proto lze bez standardních smluvních doložek, dokud rozhodnutí platí. Tato rozhodnutí mají omezenou dobu platnosti a podléhají pravidelnému přezkumu, takže je rozumné sledovat jejich prodloužení. Kdyby rozhodnutí padlo, museli by se britští dodavatelé pokrýt jiným nástrojem, typicky standardními smluvními doložkami s posouzením dopadu předání.

Co má obsahovat posouzení dopadu předání?

Posouzení dopadu předání popisuje konkrétní předání: jaké kategorie údajů se posílají, komu, do které země, jakou cestou a jak dlouho se uchovávají. Následuje rozbor právního řádu cílové země, zejména pravomocí orgánů veřejné moci požadovat přístup k datům a možností nápravy pro subjekty údajů. Poslední část hodnotí doplňková opatření, tedy šifrování, pseudonymizaci, správu klíčů v EHP a smluvní závazky dodavatele oznamovat žádosti úřadů. Dokument je vhodné datovat a přezkoumávat při každé změně dodavatele.

Musím předávání do třetích zemí uvádět v zásadách zpracování osobních údajů?

Informační povinnost podle článků 13 a 14 GDPR zahrnuje i údaj o tom, že správce předává osobní údaje do třetí země nebo mezinárodní organizaci. Uvádí se cílová země, existence či neexistence rozhodnutí o odpovídající ochraně a odkaz na použité záruky, včetně informace, kde je možné jejich kopii získat. Obecná formulace o partnerech po celém světě nestačí. V praxi se seznam příjemců a zemí udržuje jako příloha zásad, aby šel aktualizovat bez přepisu celého dokumentu.

Platí pravidla i pro data zaměstnanců a testovací databáze?

Pravidla kapitoly V GDPR se vztahují na jakékoli osobní údaje bez ohledu na jejich původ, tedy i na personální agendu, docházku nebo mzdové systémy provozované mateřskou společností mimo EHP. Testovací a vývojová prostředí jsou riziková právě proto, že do nich týmy často kopírují produkční data. Nasazení anonymizace nebo generovaných dat pro nižší prostředí celý problém odstraní: pokud v datech nejsou identifikovatelné osoby, GDPR se na ně nevztahuje.

Zdroje

1. Nařízení (EU) 2016/679 (GDPR)(otevře se v novém okně)EUR-Lex, Úřad pro publikace EU, 2016
2. Úřad pro ochranu osobních údajů(otevře se v novém okně)ÚOOÚ
3. General Data Protection Regulation(otevře se v novém okně)Wikipedia
4. Zákon č. 110/2019 Sb., o zpracování osobních údajů(otevře se v novém okně)Zákony pro lidi, 2019

Související pojmy

• GDPRGDPR je evropské nařízení pro ochranu osobních údajů, které stanovuje, kdy a jak mohou organizace údaje lidí shromažďovat, používat, sdílet a mazat. Pro vývojáře znamená požadavky na minimalizaci dat, právní důvod zpracování, bezpečnost, auditovatelnost a podporu práv uživatelů, například přístupu k údajům nebo jejich výmazu.
• Zpracovatelská smlouvaZpracovatelská smlouva je právní ujednání mezi správcem osobních údajů a zpracovatelem, které podle GDPR vymezuje, jak zpracovatel smí s údaji nakládat. Určuje účel, dobu, typy údajů, bezpečnostní povinnosti, zapojení dalších zpracovatelů i postup po skončení služby. V praxi brání tomu, aby externí dodavatel používal data volně nebo mimo pokyny správce.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.
• API GatewayAPI Gateway je vstupní vrstva mezi klientem a sadou backendových služeb, která přijímá požadavky, směruje je na správné API, vynucuje bezpečnostní pravidla a často řeší limity, logování nebo transformace odpovědí. Pomáhá skrýt vnitřní strukturu systému a sjednotit chování pro web, mobilní aplikaci i partnery.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.
• Automatické škálováníAutomatické škálování je řízení výpočetní kapacity služby podle aktuální nebo očekávané zátěže bez ručního zásahu operátora. Systém přidává či odebírá instance, kontejnery, vlákna nebo jiné prostředky podle metrik a pravidel, aby aplikace zvládla špičky, neplatila zbytečnou rezervu a zůstala stabilní.