EVROPSKÁ KOMISE

V Bruselu dne 15.1.2024

COM(2024) 7 final

ZPRÁVA KOMISE EVROPSKÉMU PARLAMENTU A RADĚ

o prvním přezkumu fungování rozhodnutí o odpovídající ochraně přijatých podle čl. 25 odst. 6 směrnice 95/46/ES

{SWD(2024) 3 final}

1.PRVNÍ PŘEZKUM – VÝCHODISKA A SOUVISLOSTI

Tato zpráva obsahuje zjištění Komise týkající se prvního přezkumu rozhodnutí o odpovídající úrovni ochrany, která byla přijata podle čl. 25 odst. 6 směrnice 95/46/ES 1 (směrnice o ochraně údajů).

Komise v těchto rozhodnutích určila, že jedenáct zemí nebo území zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie (EU) 2 : Andorra 3 , Argentina 4 , Kanada (pro komerční subjekty) 5 , Faerské ostrovy 6 , Guernsey 7 , Ostrov Man 8 , Izrael 9 , Jersey 10 , Nový Zéland 11 , Švýcarsko 12 a Uruguay 13 . Předávání údajů z EU těmto zemím nebo územím tak může probíhat bez dalších požadavků.

Se vstupem nařízení (EU) 2016/679 14 (obecné nařízení o ochraně osobních údajů) v platnost dne 25. května 2018 rozhodnutí o odpovídající ochraně přijatá podle směrnice o ochraně osobních údajů zůstala v platnosti 15 . Obecné nařízení o ochraně osobních údajů zároveň objasnilo, že zjištění ohledně odpovídající ochrany jsou „živými nástroji“, a stanovilo, že Komise musí průběžně sledovat vývoj ve třetích zemích, jenž by mohl ovlivnit fungování existujících rozhodnutí o odpovídající ochraně 16 . Článek 97 obecného nařízení o ochraně osobních údajů kromě toho vyžaduje, aby Komise tato rozhodnutí pravidelně každé čtyři roky přezkoumávala s cílem určit, zda země a území, které obdržely zjištění o odpovídající úrovni ochrany, nadále poskytují odpovídající úroveň ochrany osobních údajů.

Tento první přezkum rozhodnutí o odpovídající ochraně přijatých podle dřívějšího rámce EU pro ochranu údajů byl zahájen v rámci širšího hodnocení uplatňování a fungování obecného nařízení o ochraně osobních údajů, k němuž Komise předložila svá zjištění ve sdělení „Ochrana osobních údajů jakožto pilíř posílení postavení občanů a přístup EU k digitální transformaci – dva roky uplatňování obecného nařízení o ochraně údajů“ 17 . Uzavření tohoto aspektu přezkumu však bylo odloženo, aby mohl být zohledněn rozsudek Soudního dvora ve věci Schrems II 18 , v němž Soudní dvůr poskytl důležitá objasnění klíčových prvků standardu odpovídající ochrany, jakož i další související vývoj. To následně vedlo k podrobné výměně informací s dotčenými zeměmi a územími o příslušných aspektech jejich právního rámce, dozorových mechanismů a systému prosazování práva 19 . Tato zpráva plně zohledňuje veškerý tento vývoj jak v EU, tak v dotčených třetích zemích a územích.

Důležité je, že tento první přezkum se uskutečňuje na pozadí exponenciálního rozvoje digitálních technologií. V posledních desetiletích význam rozhodnutí o odpovídající ochraně výrazně vzrostl, protože datové toky se staly nedílnou součástí digitální transformace společnosti a globalizace hospodářství. Předávání údajů přes hranice se stalo součástí každodenní činnosti evropských společností všech velikostí a ve všech odvětvích. Respektování soukromí je více než kdy dříve podmínkou stabilních, bezpečných a konkurenceschopných obchodních toků. V této souvislosti hrají rozhodnutí o odpovídající ochraně v mnoha ohledech stále významnější roli. Tím, že zabezpečují, aby při předávání údajů byla současně zajištěna i ochrana těchto údajů, umožňují bezpečné datové toky, které respektují práva fyzických osob v souladu s přístupem EU k digitální transformaci zaměřeným na člověka. Tím, že uznávají, že rámec ochrany soukromí třetích zemí poskytuje úroveň ochrany, která je v podstatě rovnocenná s rámcem EU, podporují sbližování systémů ochrany soukromí založených na vysokých standardech ochrany. Navíc, jak se vysvětluje v této zprávě, rozhodnutí o odpovídající ochraně nejsou „konečným cílem“, nýbrž položila základ pro užší spolupráci a další sbližování právních předpisů mezi EU a podobně smýšlejícími partnery. Tím, že tato rozhodnutí umožňují volný tok osobních údajů, otevřela hospodářským subjektům v EU obchodní cesty, mimo jiné doplněním a posílením výhod vyplývajících z obchodních dohod, a usnadnila spolupráci se zahraničními partnery v široké škále regulačních oblastí. Tím, že představují jednoduché a komplexní řešení pro předávání údajů, aniž by vývozce údajů musel poskytnout další záruky či získat povolení, usnadňují zejména malým a středním podnikům splnění požadavků obecného nařízení o ochraně osobních údajů na mezinárodní předávání údajů. A konečně, díky svému „síťovému efektu“ mají rozhodnutí o odpovídající ochraně přijatá Evropskou komisí stále větší význam také mimo EU, neboť umožňují volný tok dat nejen s 30 ekonomikami EU, ale i s mnoha dalšími jurisdikcemi po celém světě 20 , které uznávají země, pro něž existuje rozhodnutí EU o odpovídající ochraně, jako „bezpečné místo“ podle jejich vlastních pravidel ochrany údajů.

Ze všech těchto důvodů, jak potvrzuje i intenzivní a plodný dialog s dotčenými třetími zeměmi a územími, z něhož tento přezkum vychází, se rozhodnutí o odpovídající ochraně stala strategickou složkou celkových vztahů EU s těmito zahraničními partnery a jsou považována za významný faktor umožňující prohlubování spolupráce v širokém spektru oblastí. Je proto obzvláště důležité, aby tato rozhodnutí obstála ve zkoušce času a řešila nový vývoj a nové výzvy.

2.PŘEDMĚT A METODIKA PŘEZKUMU

Rozhodnutí o odpovídající ochraně, která jsou předmětem tohoto přezkumu, byla přijata podle rámce EU pro ochranu údajů, který předcházel obecnému nařízení o ochraně údajů. Zatímco nejnovější rozhodnutí jsou stará přibližně deset let (např. rozhodnutí týkající se Nového Zélandu a Uruguaye, obě přijatá v roce 2012), jiná jsou v platnosti již více než dvacet let (např. rozhodnutí týkající se Kanady přijaté v roce 2001 a rozhodnutí týkající se Švýcarska přijaté v roce 2000). Od té doby se rámce ochrany údajů ve všech jedenácti zemích a územích vyvíjely, například prostřednictvím legislativních nebo regulačních reforem, vývoje praxe v oblasti prosazování práva ze strany orgánů pro ochranu údajů nebo vývoje judikatury.

Ve svém hodnocení se proto Komise zaměřila na vývoj rámců ochrany údajů v příslušných zemích a územích, k němuž došlo od přijetí rozhodnutí o odpovídající ochraně. Posoudila, jak tento vývoj dále utvářel prostředí ochrany údajů v příslušné zemi nebo na příslušném území a zda s ohledem na tento vývoj různé režimy i nadále zajišťují odpovídající úroveň ochrany.

Za tímto účelem byl plně zohledněn vývoj vlastního režimu ochrany údajů v EU, zejména v souvislosti se vstupem obecného nařízení o ochraně osobních údajů v platnost. Od přijetí těchto rozhodnutí o odpovídající ochraně byly zejména prostřednictvím judikatury Soudního dvora a pokynů přijatých pracovní skupinou zřízenou podle článku 29 a jejím nástupcem, Evropským sborem pro ochranu osobních údajů (EDPB) 21 dále vyjasněny právní normy použitelné pro tato rozhodnutí, jakož i prvky důležité pro posouzení, zda zahraniční systém zajišťuje odpovídající úroveň ochrany.

Soudní dvůr v rozsudku ze dne 6. října 2015 ve věci Schrems I zejména stanovil, že nelze vyžadovat, aby třetí země zajišťovala stejnou úroveň ochrany, jako je úroveň zajištěná v EU, avšak kritérium odpovídající ochrany musí být chápáno v tom smyslu, že vyžaduje takovou úroveň ochrany, jaká je „v zásadě rovnocenná“ úrovni ochrany zaručené v EU 22 . Soudní dvůr zejména objasnil, že prostředky, které dotyčná třetí země využívá k ochraně osobních údajů, se mohou lišit od prostředků zavedených v Unii, pokud se v praxi ukážou jako účinné k zajištění odpovídající úrovně ochrany 23 . Kritérium odpovídající ochrany proto vyžaduje komplexní posouzení systému třetí země jako celku, včetně podstaty ochrany soukromí, jejího účinného uplatňování a prosazování.

Soudní dvůr dále objasnil, že posouzení Komise by se nemělo omezovat na obecný rámec ochrany údajů ve třetí zemi, ale mělo by rovněž zahrnovat pravidla upravující přístup orgánů veřejné moci k osobním údajům, zejména pro účely prosazování práva a národní bezpečnosti 24 . Na základě Listiny základních práv a svobod Soudní dvůr určil několik požadavků, které by tato pravidla měla splňovat, aby byla dodržena úroveň „v zásadě rovnocenné“ ochrany. Právní předpisy v této oblasti by například měly stanovit jasná a přesná pravidla pro rozsah a použití dotčeného opatření, která stanoví minimální požadavky, tak aby osoby, o jejichž osobní údaje se jedná, měly dostatečné záruky umožňující účinně chránit své údaje proti riziku zneužití a proti jakémukoli neoprávněnému přístupu k těmto údajům a jejich protiprávnímu využívání 25 . Měly by rovněž stanovit fyzickým osobám možnost využít právních prostředků s cílem získat přístup k osobním údajům, které se jich týkají, nebo dosáhnout opravy či výmazu těchto údajů 26 .

Obecné nařízení o ochraně osobních údajů navázalo na objasnění Soudního dvora a stanovilo podrobný katalog prvků, které musí Komise při posuzování odpovídající ochrany zohlednit 27 . V rozsudku ve věci Schrems II ze dne 16. července 2020 navíc Soudní dvůr dále rozvedl úroveň „v zásadě rovnocenné“ ochrany, zejména pokud jde o pravidla přístupu orgánů veřejné moci k osobním údajům pro účely prosazování práva a národní bezpečnosti. Objasnil zejména, že úroveň „v zásadě rovnocenné“ ochrany vyžaduje, aby příslušné právní rámce, které jsou pro orgány veřejné moci v dotčených třetích zemích a územích závazné, zahrnovaly minimální požadavky zajišťující, že tyto orgány nebudou mít přístup k údajům nad rámec toho, co je nezbytně nutné a přiměřené k dosažení legitimních cílů, a že subjekty údajů budou mít vůči těmto orgánům účinná a vymahatelná práva 28 .

Vývoj standardu odpovídající ochrany se odráží také v pokynech, které původně přijala pracovní skupina zřízená podle článku 29 a poté byly schváleny Evropským sborem pro ochranu osobních údajů 29 . Tyto pokyny, a zejména takzvaný „referenční rámec pro odpovídající ochranu“, dále objasňují prvky, které musí Komise zohlednit při provádění posouzení odpovídající ochrany, a stanoví mimo jiné přehled „základních záruk“ pro přístup orgánů veřejné moci k osobním údajům. Tento referenční rámec vychází zejména z judikatury Evropského soudu pro lidská práva a Evropský sbor pro ochranu osobních údajů jej aktualizoval s ohledem na objasnění poskytnutá Soudním dvorem v rozsudku Schrems II 30 . Důležité je, že referenční rámec rovněž uznává, že úroveň „v zásadě rovnocenné“ ochrany neznamená opakování pravidel EU slovo od slova („fotokopii“), vzhledem k tomu, že prostředky pro zajištění srovnatelné úrovně ochrany se mohou v různých systémech ochrany soukromí lišit, což často odráží různé právní tradice.

Při určování, zda jedenáct rozhodnutí o odpovídající ochraně přijatých podle dřívějších pravidel i nadále splňuje standard stanovený v obecném nařízení o ochraně osobních údajů, proto Komise zohlednila nejen vývoj rámců ochrany údajů v dotčených zemích a územích, ale i vývoj výkladu samotného standardu odpovídající ochrany podle práva EU. To zahrnuje také posouzení právního rámce upravujícího přístup orgánů veřejné moci k osobním údajům předávaným z EU a jejich použití těmito orgány zemí nebo území, u nichž bylo zjištěno, že poskytují odpovídající úroveň ochrany na základě čl. 25 odst. 6 směrnice o ochraně údajů.

3.PŘEZKUMNÝ PROCES

Jak je popsáno výše, u každé z dotčených zemí nebo území byl v rámci hodnocení stávajících rozhodnutí o odpovídající ochraně posouzen rámec ochrany údajů a vývoj tohoto právního rámce od doby, kdy byl přijat závěr ohledně odpovídající úrovně ochrany, jakož i předpisy upravující přístup vlády k údajům – zejména pro účely prosazování práva a národní bezpečnosti. V minulých letech útvary Komise podnikly několik kroků k provedení tohoto posouzení v úzké spolupráci s každou z příslušných zemí nebo území.

S cílem pomoci Komisi při plnění jejích monitorovacích povinností poskytla každá z jedenácti zemí nebo území Komisi komplexní informace o vývoji svého režimu ochrany údajů od přijetí rozhodnutí o odpovídající ochraně. Kromě toho si Komise od každé z jedenácti zemí nebo území vyžádala podrobné informace o pravidlech týkajících se přístupu vlády k osobním údajům, zejména pro účely prosazování práva a národní bezpečnosti, která se uplatňují v dané zemi nebo území. Komise si rovněž vyžádala informace z veřejných zdrojů, od dozorových úřadů a donucovacích orgánů a od místních odborníků o fungování rozhodnutí a o příslušném vývoji práva a praxe ve všech dotčených zemích a územích, a to jak pokud jde o pravidla ochrany údajů platná pro soukromé subjekty, tak i pokud jde o přístup vlády k těmto údajům. V relevantních případech byly zohledněny mezinárodní závazky, které tyto země nebo území přijaly v rámci regionálních nebo univerzálních nástrojů.

Na tomto základě Komise zahájila intenzivní dialog s každou z dotčených zemí a území. V souvislosti s tímto dialogem řada uvedených zemí a území modernizovala a posílila své právní předpisy o ochraně soukromí prostřednictvím komplexních nebo dílčích reforem (např. Andorra, Kanada, Faerské ostrovy, Švýcarsko, Nový Zéland), což bylo mimo jiné vyvoláno potřebou zajistit kontinuitu rozhodnutí o odpovídající ochraně. Některé z těchto zemí přijaly nařízení a/nebo pokyny prostřednictvím svých orgánů pro ochranu údajů, jež zavádějí nové požadavky na ochranu údajů (např. Izrael, Uruguay) nebo objasňují některá pravidla ochrany osobních údajů (např. Argentina, Kanada, Guernsey, Jersey, Ostrov Man, Izrael, Nový Zéland), přičemž vycházejí z praxe v oblasti prosazování práva nebo z judikatury. Kromě toho byly v zájmu řešení příslušných rozdílů v úrovni ochrany s některými dotčenými zeměmi a územími vyjednány a dohodnuty dodatečné záruky pro osobní údaje předávané z Evropy, pokud to bylo nutné k zajištění kontinuity rozhodnutí o odpovídající ochraně. Kanadská vláda například rozšířila práva na přístup k osobním údajům zpracovávaným veřejným sektorem a na jejich opravu na všechny fyzické osoby bez ohledu na jejich státní příslušnost nebo místo pobytu (zatímco v minulosti měli tato práva pouze kanadští občané, osoby s trvalým pobytem nebo fyzické osoby, které se v Kanadě zdržují) 31 . Jako další příklad lze uvést, že izraelská vláda zavedla zvláštní ochranná opatření k posílení ochrany osobních údajů předávaných z Evropského hospodářského prostoru, která zejména vytvářejí nové povinnosti v oblasti přesnosti údajů a uchovávání údajů, posilují právo na informace a na výmaz a zavádějí další kategorie citlivých údajů 32 .

Souběžně s tím útvary Komise shromažďovaly názory a o průběhu hodnocení pravidelně informovaly Evropský parlament (Výbor pro občanské svobody, spravedlnost a vnitřní věci) 33 , Radu (prostřednictvím pracovní skupiny pro ochranu údajů) 34 , Evropský sbor na ochranu osobních údajů 35 a mnohostrannou expertní skupinu pro obecné nařízení o ochraně osobních údajů 36 (která zahrnuje zástupce občanské společnosti, průmyslu, akademické obce a právníky).

Tato zpráva a přiložený pracovní dokument útvarů Komise jsou proto výsledkem úzké spolupráce s každou z dotčených zemí a území, jakož i konzultací s příslušnými orgány a institucemi EU a zpětné vazby od nich. Vycházejí z různých zdrojů, včetně právních předpisů, regulačních aktů, judikatury, rozhodnutí a pokynů orgánů pro ochranu údajů, zpráv (nezávislých) dozorových subjektů a informací od zúčastněných stran. Před přijetím této zprávy byla všem uvedeným zemím a územím poskytnuta možnost ověřit věcnou správnost informací o jejich systému, které jsou uvedeny v pracovním dokumentu útvarů Komise.

4.HLAVNÍ ZJIŠTĚNÍ A ZÁVĚRY

První přezkum ukázal, že od přijetí rozhodnutí o odpovídající ochraně se rámce ochrany údajů zavedené v každé z jedenácti zemí nebo území dále sbližovaly s rámcem EU. V oblasti přístupu vlády k osobním údajům první přezkum dále ukázal, že právo těchto zemí nebo území ukládá v této oblasti vhodné záruky a omezení a stanoví dozorové a ochranné mechanismy.

Podrobná zjištění týkající se každé z jedenácti zemí nebo území jsou uvedena v pracovním dokumentu útvarů Komise SWD, který je přiložen k této zprávě. Na základě těchto zjištění dospěla Komise k závěru, že každá z jedenácti zemí a území nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie ve smyslu obecného nařízení o ochraně osobních údajů, jak je vykládá Soudní dvůr. Níže jsou shrnuta zjištění týkající se jednotlivých zemí a území s odpovídající ochranou.

4.1Andorra

Komise vítá vývoj andorrského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn a činnosti dozorových orgánů. Ke zvýšení úrovně ochrany údajů přispělo zejména přijetí zákona č. 29/2021 o ochraně osobních údajů, který vstoupil v platnost v květnu 2022, neboť zákon je svou strukturou a hlavními prvky úzce sladěn s obecným nařízením o ochraně osobních údajů.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Andoře jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z andorrské ústavy, Evropské úmluvy o lidských právech a Úmluvy Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat (úmluva č. 108 a pozměňující protokol, jež tvoří modernizovanou úmluvu č. 108+), jakož i ze zvláštních pravidel ochrany údajů vztahujících se na zpracování osobních údajů v souvislosti s prosazováním práva, která v podstatě kopírují základní prvky směrnice (EU) 2016/680 37 . Andorrské právo navíc ukládá řadu zvláštních podmínek a omezení přístupu orgánů veřejné moci k osobním údajům a jejich použití těmito orgány a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Andorra nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

Pokud jde o zvláštní pravidla ochrany údajů, která se v současnosti vztahují na zpracování údajů donucovacími orgány, Komise vítá záměr andorrského zákonodárce nahradit tato pravidla komplexnějším režimem, který bude ještě více sladěn s pravidly platnými v EU. Komise bude budoucí vývoj v této oblasti podrobně sledovat.

4.2Argentina

Komise vítá vývoj argentinského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Zejména nezávislost argentinského dozorového orgánů pro ochranu údajů byla výrazně posílena prostřednictvím vyhlášky č. 746/17, která pověřila Agencia de Acceso a la Información Pública (AAIP) dozorem nad dodržováním zákona o ochraně údajů. Kromě toho vydala AAIP řadu závazných nařízení a stanovisek, která objasňují, jak má být rámec ochrany údajů vykládán a uplatňován v praxi, čímž přispívá k aktuálnosti právních předpisů o ochraně údajů. Argentina rovněž posílila své mezinárodní závazky v oblasti ochrany údajů tím, že se v roce 2019 připojila k Úmluvě Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat a jejímu dodatkovému protokolu a v roce 2023 ratifikovala pozměňující protokol, který vytváří modernizovanou úmluvu č. 108+.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Argentině jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z argentinské ústavy, Americké úmluvy o lidských právech, úmluvy č. 108 a úmluvy č. 108+, jakož i z argentinských předpisů o ochraně údajů (zákon č. 25.326 o ochraně osobních údajů ze dne 4. října 2000), které se vztahují i na zpracování osobních údajů argentinskými orgány veřejné moci, a to i pro účely prosazování práva a národní bezpečnosti. Argentinské právo navíc ukládá řadu zvláštních podmínek a omezení přístupu k osobním údajům a jejich použití pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Argentina nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

Komise zároveň doporučuje zakotvit ochranu, která byla vytvořena na podzákonné úrovni, do právních předpisů, aby se zvýšila právní jistota a tyto požadavky byly konsolidovány. Návrh zákona o ochraně údajů, který byl nedávno předložen argentinskému Kongresu, by mohl být příležitostí ke kodifikaci tohoto vývoje, a tím k dalšímu posílení argentinského rámce ochrany soukromí. Komise bude budoucí vývoj v této oblasti podrobně sledovat.

4.3Kanada

Komise vítá vývoj kanadského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně několika legislativních změn, judikatury a činnosti dozorových úřadů, které přispěly ke zvýšení úrovně ochrany údajů. Zejména zákon o ochraně osobních informací a elektronických dokumentech (PIPEDA) byl dále posílen prostřednictvím různých změn (např. týkajících se podmínek pro platný souhlas a oznámení porušení zabezpečení údajů) a klíčové požadavky na ochranu údajů (např. týkající se zpracování citlivých údajů) byly dále vyjasněny prostřednictvím judikatury i pokynů vydaných kanadským Federálním úřadem pro ochranu údajů, Úřadem komisaře pro ochranu soukromí. Komise zároveň doporučuje zakotvit některé z ochranných opatření, která byla vytvořena na podzákonné úrovni, do právních předpisů, aby se zvýšila právní jistota a tyto požadavky byly konsolidovány. Probíhající legislativní reforma zákona o ochraně osobních informací a elektronických dokumentech by mohla být příležitostí ke kodifikaci tohoto vývoje, a tím k dalšímu posílení kanadského rámce ochrany soukromí. Komise bude budoucí vývoj v této oblasti podrobně sledovat.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Kanadě jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného ústavního rámce (kanadská Listina práv a svobod), judikatury, zvláštních právních předpisů upravujících přístup k údajům, jakož i z pravidel ochrany údajů (tj. zákona o ochraně soukromí a obdobných zákonů na úrovni provincií), která se vztahují i na zpracování osobních údajů kanadskými orgány veřejné moci, včetně zpracování pro účely prosazování práva a národní bezpečnosti. Kanadský právní systém navíc stanoví účinné dozorové a ochranné mechanismy v této oblasti, a to i díky nedávnému rozšíření práv subjektů údajů a možností nápravy pro občany nebo rezidenty jiných zemí než Kanady.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Kanada nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU příjemcům, na něž se vztahuje zákon o ochraně osobních informací a elektronických dokumentech. Jak bylo uvedeno výše, tento zákon je v současné době předmětem legislativní reformy, která by mohla dále posílit ochranu soukromí, a to i v oblastech, které jsou relevantní pro zjištění o odpovídající úrovni ochrany.

4.4Faerské ostrovy

Komise vítá vývoj právního rámce Faerských ostrovů od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Faerské ostrovy zejména významně modernizovaly svůj rámec ochrany údajů přijetím zákona o ochraně údajů, který vstoupil v platnost v roce 2021 a úzce sladil faerský režim s obecným nařízením o ochraně osobních údajů.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci na Faerských ostrovech jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z ústavního rámce a Evropské úmluvy o lidských právech, jakož i ze zvláštních zákonů upravujících přístup vlády k údajům a pravidla ochrany údajů, která se vztahují na zpracování osobních údajů pro účely prosazování trestního práva (zákon o zpracování osobních údajů donucovacími orgány, který na Faerských ostrovech vstoupil v platnost v roce 2022 a provádí právní předpisy, které přijalo Dánsko k provedení směrnice (EU) 2016/680, na Faerských ostrovech) a pro účely národní bezpečnosti (obsažené v zákoně o bezpečnostní a zpravodajské službě). V této oblasti jsou navíc k dispozici účinné dozorové a ochranné mechanismy.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Faerské ostrovy nadále zajišťují odpovídající úroveň ochrany osobních údajů předávaných z EU.

4.5Guernsey

Komise vítá vývoj právního rámce Guernsey od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Guernsey zejména významně modernizovalo svůj rámec ochrany údajů přijetím zákona o ochraně údajů (správní oblast Guernsey) z roku 2017, který platí od roku 2019 a který úzce sbližuje režim Guernsey s obecným nařízením o ochraně osobních údajů.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Guernsey jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z Evropské úmluvy o lidských právech a úmluvy č. 108, jakož i z pravidel ochrany údajů na Guernsey, včetně zvláštních ustanovení týkajících se zpracování osobních údajů v souvislosti s prosazováním práva stanovených ve vyhlášce o ochraně údajů (prosazování práva a související záležitosti) (správní oblast Guernsey) z roku 2018. Právo Guernsey navíc ukládá řadu zvláštních podmínek a omezení přístupu k osobním údajům a jejich použití pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Guernsey nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

4.6Ostrov Man

Komise vítá vývoj manského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Ostrov Man zejména přijal v roce 2018 nové právní předpisy (zákon o ochraně údajů z roku 2018, doplněný nařízením o ochraně údajů (uplatňování obecného nařízení o ochraně osobních údajů) z roku 2018), které do právního řádu ostrova Man začleňují většinu ustanovení rámce EU pro ochranu údajů, přičemž v určitých aspektech provedly pouze drobné úpravy, zejména s cílem přizpůsobit rámec místním podmínkám.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci na ostrově Man jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z Evropské úmluvy o lidských právech a úmluvy č. 108, jakož i z manských pravidel ochrany údajů, včetně zvláštních ustanovení o zpracování osobních údajů v souvislosti s prosazováním práva, která jsou stanovena v nařízení o ochraně údajů (uplatňování směrnice o prosazování práva) z roku 2018 a v prováděcích nařízeních k směrnici o prosazování práva z roku 2018. Manské právo navíc ukládá řadu zvláštních omezení přístupu k osobním údajům a jejich použití pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Ostrov Man nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

4.7Izrael

Komise vítá vývoj izraelského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Izrael zejména zavedl zvláštní záruky k posílení ochrany osobních údajů předávaných z Evropského hospodářského prostoru přijetím nařízení o ochraně soukromí (pokyny k údajům, jež byly do Izraele předány z Evropského hospodářského prostoru), č. 5783-2023. Izrael rovněž posílil požadavky na bezpečnost údajů přijetím nařízení o ochraně soukromí (zabezpečení údajů), č. 5777-2017, a v závazném usnesení vlády upevnil nezávislost dozorového úřadu pro ochranu údajů.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Izraeli jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce, zejména z izraelského základního zákona, jakož i ze zákona o ochraně soukromí, č. 5741-1981, a z nařízení přijatých na jeho základě, která se vztahují na zpracování osobních údajů izraelskými orgány veřejné moci, včetně zpracování pro účely prosazování práva a národní bezpečnosti. Izraelské právo navíc ukládá řadu zvláštních omezení přístupu k osobním údajům a jejich používání pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Izrael nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

Komise zároveň doporučuje zakotvit v právních předpisech ochranu, která byla vytvořena na podzákonné úrovni a v judikatuře, aby se zvýšila právní jistota a upevnily tyto požadavky. Návrh zákona o ochraně soukromí (novela č. 14), 5722-2022, který byl nedávno předložen izraelskému parlamentu, nabízí významnou příležitost ke konsolidaci a kodifikaci tohoto vývoje, a tím k dalšímu posílení izraelského rámce ochrany soukromí. Komise bude budoucí vývoj v této oblasti podrobně sledovat.

4.8Jersey

Komise vítá vývoj právního rámce Jersey od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Jersey zejména významně modernizovalo svůj rámec ochrany údajů přijetím zákona o ochraně údajů (Jersey) z roku 2018 a zákona o Úřadu pro ochranu údajů (Jersey) z roku 2018, které vstoupily v platnost v roce 2018 a úzce sladily režim v Jersey s obecným nařízením o ochraně osobních údajů.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Jersey jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z Evropské úmluvy o lidských právech a úmluvy č. 108, jakož i z pravidel ochrany údajů v Jersey, včetně zvláštních ustanovení pro zpracování osobních údajů v souvislosti s prosazováním práva stanovených v zákoně o ochraně údajů (Jersey) z roku 2018, ve znění přílohy 1 uvedeného zákona. Právo Jersey rovněž ukládá řadu zvláštních omezení přístupu k osobním údajům a jejich použití pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Jersey nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

4.9Nový Zéland

Komise vítá vývoj novozélandského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Režim ochrany údajů prošel komplexní reformou zejména přijetím zákona o ochraně soukromí z roku 2020, který dále zvýšil sbližování s rámcem EU pro ochranu údajů, zejména pokud jde o pravidla pro mezinárodní předávání osobních údajů a pravomoci orgánu pro ochranu údajů (Úřad komisaře pro ochranu soukromí).

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci na Novém Zélandu jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného ústavního rámce (např. ze zákona o Listině práv) a judikatury, jakož i ze zvláštních zákonů upravujících přístup státních orgánů k údajům a z ustanovení zákona o ochraně soukromí, která se vztahují i na zpracování osobních údajů orgány činnými v trestním řízení a orgány národní bezpečnosti. Novozélandský právní systém navíc stanoví různé dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Nový Zéland nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU. Komise rovněž vítá, že novozélandská vláda nedávno předložila parlamentu návrh zákona, kterým se mění zákon o ochraně soukromí z roku 2020 s cílem dále posílit stávající požadavky týkající se transparentnosti. Komise bude budoucí vývoj v této oblasti podrobně sledovat.

4.10Švýcarsko

Komise vítá vývoj švýcarského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Zejména modernizovaný federální zákon o ochraně údajů, který dále zvýšil sbližování s rámcem EU pro ochranu údajů, zejména pokud jde o ochranu citlivých údajů a pravidla mezinárodního předávání údajů. Švýcarsko rovněž posílilo své mezinárodní závazky v oblasti ochrany údajů tím, že v září 2023 ratifikovalo úmluvu 108+.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci ve Švýcarsku jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména ze švýcarské federální ústavy, Evropské úmluvy o lidských právech a úmluvy 108+, jakož i ze švýcarských předpisů o ochraně údajů, včetně federálního zákona o ochraně údajů a zvláštních předpisů o ochraně údajů, které se vztahují na orgány činné v trestním řízení (např. trestní řád) a orgány národní bezpečnosti (např. zákon o zpravodajských službách). Švýcarské právo navíc ukládá řadu zvláštních omezení přístupu k osobním údajům a jejich používání pro účely prosazování trestního práva a národní bezpečnosti a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění uvedených v pracovním dokumentu útvarů Komise došla Komise k závěru, že Švýcarsko nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

4.11Uruguay

Komise vítá vývoj uruguayského právního rámce od přijetí rozhodnutí o odpovídající ochraně, včetně několika legislativních změn, judikatury a činnosti dozorových orgánů, které přispěly ke zvýšení úrovně ochrany údajů. Uruguay zejména modernizovala a posílila svůj zákon č. 18.331 o ochraně osobních údajů a opravném prostředku „Habeas Data“ z roku 2008 prostřednictvím legislativních změn v letech 2018 a 2020, které rozšířily územní působnost právních předpisů o ochraně údajů, vytvořily nové požadavky týkající se odpovědnosti (například posouzení vlivu na ochranu údajů, záměrná a standardní ochrana údajů, oznámení porušení zabezpečení údajů a jmenování pověřenců pro ochranu údajů) a zavedly dodatečnou ochranu biometrických údajů. Uruguay rovněž posílila své mezinárodní závazky v oblasti ochrany údajů tím, že se v roce 2019 připojila k úmluvě č. 108 a v roce 2021 ratifikovala úmluvu č. 108+.

V oblasti přístupu vlády k osobním údajům podléhají orgány veřejné moci v Uruguayi jasným, přesným a dostupným pravidlům, podle nichž mohou tyto orgány přistupovat k údajům předávaným z EU a následně je používat pro účely veřejného zájmu, zejména pro účely prosazování trestního práva a národní bezpečnosti. Tato omezení a záruky vyplývají z nadřazeného právního rámce a mezinárodních závazků, zejména z uruguayské ústavy, Americké úmluvy o lidských právech, úmluvy č. 108 a úmluvy č. 108+, jakož i z pravidel ochrany údajů v zákoně č. 18 331 o ochraně osobních údajů a opravném prostředku „Habeas Data“, která se vztahují na zpracování osobních údajů orgány veřejné moci v Uruguayi, zejména pro účely prosazování práva a národní bezpečnosti. Uruguayské právo navíc ukládá řadu zvláštních podmínek a omezení přístupu orgánů veřejné moci k osobním údajům a jejich používání těmito orgány a stanoví dozorové a ochranné mechanismy v této oblasti.

Na základě celkových zjištění učiněných v rámci tohoto prvního přezkumu došla Komise k závěru, že Uruguay nadále zajišťuje odpovídající úroveň ochrany osobních údajů předávaných z EU.

5.BUDOUCÍ MONITOROVÁNÍ A SPOLUPRÁCE

Komise uznává a vysoce oceňuje vynikající spolupráci s příslušnými orgány ve všech dotčených zemích a územích při provádění tohoto přezkumu. Komise bude i nadále pečlivě sledovat vývoj ochranných rámců a skutečné praxe v dotčených zemích a územích. V případě vývoje v zemi nebo území s odpovídající ochranou, který by negativně ovlivnil úroveň ochrany údajů, jež byla shledána jako odpovídající, využije Komise v případě potřeby své pravomoci podle čl. 45 odst. 5 obecného nařízení o ochraně osobních údajů a rozhodnutí o odpovídající ochraně pozastaví, změní nebo zruší.

Tento přezkum potvrzuje, že přijetí rozhodnutí o odpovídající ochraně není „konečným cílem“, ale příležitostí k dalšímu zintenzivnění dialogu a spolupráce s podobně smýšlejícími mezinárodními partnery v oblasti toku údajů a digitálních záležitostí obecně. V tomto ohledu Komise se zájmem očekává budoucí výměny s příslušnými orgány s cílem dále posílit spolupráci na mezinárodní úrovni zaměřenou na podporu bezpečného a volného pohybu údajů, a to i prostřednictvím posílené spolupráce při prosazování práva. V zájmu zintenzivnění tohoto dialogu a podpory výměny informací a zkušeností hodlá Komise v roce 2024 uspořádat setkání na vysoké úrovni, na němž se sejdou zástupci EU a všech zemí, které využívají rozhodnutí o odpovídající ochraně.

(1)

Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, 23.11.1995, s. 31).

(2)

Obecné nařízení o ochraně osobních údajů se po svém začlenění do Dohody o Evropském hospodářském prostoru (EHP) vztahuje rovněž na Norsko, Island a Lichtenštejnsko. Odkazy na EU v této zprávě je třeba chápat jako odkazy zahrnující i státy EHP.

(3)

Rozhodnutí Komise 2010/625/EU ze dne 19. října 2010 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví (Úř. věst. L 277, 21.10.2010, s. 27).

(4)

Rozhodnutí Komise 2003/490/ES ze dne 30. června 2003 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Argentině (Úř. věst. L 168, 5.7.2003, s. 19).

(5)

Rozhodnutí Komise 2002/2/ES ze dne 20. prosince 2001 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů, kterou poskytuje kanadský zákon o ochraně osobních informací a elektronických dokumentech (Personal Information Protection and Electronic Documents Act) (Úř. věst. L 2, 4.1.2002, s. 13).

(6)

Rozhodnutí Komise 2010/146/EU ze dne 5. března 2010 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně poskytované faerským zákonem o zpracovávání osobních údajů (Úř. věst. L 58, 9.3.2010, s. 17).

(7)

Rozhodnutí Komise 2003/821/ES ze dne 21. listopadu 2003 o odpovídající ochraně osobních údajů v Guernsey (Úř. věst. L 308, 25.11.2003, s. 27).

(8)

Rozhodnutí Komise 2004/411/ES ze dne 28. dubna 2004 o odpovídající ochraně osobních údajů na ostrově Man (Úř. věst. L 151, 30.4.2004, s. 48).

(9)

Rozhodnutí Komise 2011/61/EU ze dne 31. ledna 2011 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Státem Izrael v souvislosti s automatizovaným zpracováváním osobních údajů (Úř. věst. L 27, 1.2.2011, s. 39).

(10)

Rozhodnutí Komise 2008/393/ES ze dne 8. května 2008 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Jersey (Úř. věst. L 138, 28.5.2008, s. 21).

(11)

Prováděcí rozhodnutí Komise 2013/65/EU ze dne 19. prosince 2012 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů na Novém Zélandu (Úř. věst. L 28, 30.1.2013, s. 12).

(12)

Rozhodnutí Komise 2000/518/ES ze dne 26. července 2000 na základě směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů ve Švýcarsku (Úř. věst. L 215, 25.8.2000, s. 1).

(13)

Prováděcí rozhodnutí Komise 2012/484/EU ze dne 21. srpna 2012 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů Uruguayskou východní republikou v souvislosti s automatizovaným zpracováváním osobních údajů (Úř. věst. L 227, 23.8.2012, s. 11).

(14)

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

(15)

Viz čl. 45 odst. 9 obecného nařízení o ochraně osobních, údajů, který stanoví, že rozhodnutí přijatá Komisí na základě čl. 25 odst. 6 směrnice 95/46/ES zůstávají platná až do chvíle, kdy je Komise změní, nahradí nebo zruší rozhodnutím přijatým podle čl. 45 odst. 3 nebo 5.

(16)

Ustanovení čl. 45 odst. 4 obecného nařízení o ochraně osobních údajů. Viz také rozsudek Soudního dvora EU ze dne 6. října 2015 ve věci C-362/14, Maximillian Schrems proti Data Protection Commissioner (Schrems I), ECLI:EU:C:2015:650, bod 76.

(17)

Sdělení bylo zveřejněno v červnu 2020 a je k dispozici na této adrese: https://ec.europa.eu/info/law/law-topic/data-protection/communication-two-years-application-general-data-protection-regulation_cs .

(18)

Viz rovněž rozsudek Soudního dvora ze dne 16. července 2020 ve věci C-311/18, Data Protection Commissioner proti Facebook Ireland Ltd a Maximillianu Schremsovi (Schrems II), ECLI:EU:C:2020:559.

(19)

Rozhodnutí o odpovídající ochraně týkající se Japonska bylo přijato na základě obecného nařízení o ochraně osobních údajů a stanoví samostatný pravidelný přezkum. První přezkum byl ukončen v dubnu 2023 zprávou Komise Evropskému parlamentu a Radě o prvním přezkumu fungování rozhodnutí o odpovídající ochraně týkající se Japonska, COM(2023) 275 final, která je k dispozici na této adrese: https://eur-lex.europa.eu/legal-content/CS/TXT/PDF/?uri=COM:2023:275:FIN .

(20)

Jako např. Argentina, Kolumbie, Izrael, Maroko, Švýcarsko a Uruguay.

(21)

Evropský sbor pro ochranu osobních údajů sdružuje dozorové úřady pro ochranu osobních údajů v členských státech a evropského inspektora ochrany údajů.

(22)

Rozsudek ve věci Schrems I, body 73, 74 a 96. Viz také 104. bod odůvodnění nařízení (EU) 2016/679, který odkazuje na úroveň v zásadě rovnocenné ochrany.

(23)

Rozsudek ve věci Schrems I, bod 74.

(24)

Rozsudek ve věci Schrems I, bod 90.

(25)

Rozsudek ve věci Schrems I, bod 91.

(26)

Rozsudek ve věci Schrems I, bod 95.

(27)

Ustanovení čl. 45 odst. 2 obecného nařízení o ochraně osobních údajů.

(28)

Viz rozsudek ve věci Schrems II, body 180 až 182.

(29)

Adequacy Referential (Referenční rámec pro odpovídající ochranu), WP 254 rev. 01, 6. února 2018 (k dispozici na této adrese: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108 ).

(30)

Doporučení 02/2020 týkající se evropských základních záruk pro sledovací opatření (k dispozici na této adrese: https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-022020-european-essential-guarantees_cs ).

(31)

Článek 12 zákona o ochraně osobních údajů, nařízení o rozšíření zákona o ochraně osobních údajů č. 1 a nařízení o rozšíření zákona o ochraně osobních údajů č. 2.

(32)

Nařízení o ochraně soukromí (pokyny pro údaje, které byly do Izraele předány z Evropského hospodářského prostoru), 5783-2023, zveřejněné v izraelském úředním věstníku(Reshumut) dne 7. května 2023.

(33)

Viz např. usnesení Evropského parlamentu ze dne 25. března 2021 o hodnotící zprávě Komise o provádění obecného nařízení o ochraně osobních údajů dva roky od začátku jeho uplatňování (2020/2717(RSP)), které je k dispozici na této adrese: https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_CS.html .

(34)

Viz např. postoj Rady a zjištění ohledně uplatňování obecného nařízení o ochraně osobních údajů, přijatý dne 19. prosince 2019, který je k dispozici na této adrese: https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-1/cs/pdf .

(35)

Viz např. příspěvek Evropského sboru na ochranu osobních údajů k hodnocení obecného nařízení o ochraně osobních údajů podle článku 97, přijatý dne 18. února 2020, který je k dispozici na této adrese: https://edpb.europa.eu/sites/default/files/files/file1/edpb_contributiongdprevaluation_20200218.pdf . 

(36)

Viz např. zpráva mnohostranné expertní skupiny o hodnocení obecného nařízení o ochraně osobních údajů, která je k dispozici na této adrese: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&do=groupDetail.groupMeeting&meetingId=21356.

(37)

Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV.