EURÓPSKA KOMISIA

V Bruseli25. 7. 2024

COM(2024) 357 final

OZNÁMENIE KOMISIE EURÓPSKEMU PARLAMENTU A RADE

Druhá správa o uplatňovaní všeobecného nariadenia o ochrane údajov

1Úvod

Toto je druhá správa Komisie o uplatňovaní všeobecného nariadenia o ochrane údajov, prijatá v súlade s článkom 97 všeobecného nariadenia o ochrane údajov. Prvá správa bola prijatá 24. júna 2020 (ďalej len „správa z roku 2020“) ( 1 )).

Všeobecné nariadenie o ochrane údajov je jedným z pilierov prístupu EÚ k digitálnej transformácii. Jeho základné zásady – spravodlivé, bezpečné a transparentné spracúvanie osobných údajov a zabezpečenie kontroly jednotlivcov – sú základom všetkých politík EÚ týkajúcich sa spracúvania osobných údajov.

Od správy z roku 2020 prijala EÚ celý rad iniciatív, ktorých cieľom je postaviť jednotlivcov do centra digitálnej transformácie. Každou iniciatívou sa sleduje konkrétny cieľ, napríklad vytvorenie bezpečnejšieho prostredia online, spravodlivejšieho a konkurencieschopnejšieho digitálneho hospodárstva, uľahčenie prelomového výskumu, zabezpečenie vývoja bezpečnej a dôveryhodnej umelej inteligencie a vytvorenie skutočného jednotného trhu s údajmi. Vždy, keď ide o osobné údaje, takéto iniciatívy vychádzajú z GDPR. Všeobecné nariadenie o ochrane údajov je základom aj pre odvetvové iniciatívy, ktoré majú vplyv na spracúvanie osobných údajov, napr. v oblasti finančných služieb, zdravia, zamestnanosti, mobility a presadzovania práva.

Zainteresované strany, orgány pre ochranu osobných údajov a členské štáty sa zhodujú v tom, že napriek niektorým problémom všeobecné nariadenie o ochrane údajov prináša jednotlivcom a podnikom významné výsledky. Technologicky neutrálny prístup založený na riziku poskytuje silnú ochranu dotknutým osobám a primerané povinnosti prevádzkovateľom a sprostredkovateľom údajov. Zároveň by sa mal dosiahnuť ďalší pokrok vo viacerých oblastiach. V nadchádzajúcich rokoch by sa mal klásť dôraz najmä na podporu úsilia zainteresovaných strán o dodržiavanie predpisov, najmä malých a stredných podnikov (MSP), malých hospodárskych subjektov, výskumníkov a výskumných organizácií, na poskytovanie jasnejších a účinnejších usmernení zo strany orgánov pre ochranu osobných údajov a na dosiahnutie jednotnejšieho výkladu a presadzovania všeobecného nariadenia o ochrane údajov v celej EÚ.

Podľa článku 97 všeobecného nariadenia o ochrane údajov by Komisia mala preskúmať najmä uplatňovanie a fungovanie medzinárodného prenosu osobných údajov do tretích krajín (t. j. krajín mimo EÚ/EHP) (kapitola V, všeobecné nariadenie o ochrane údajov) a mechanizmy spolupráce a konzistentnosti medzi vnútroštátnymi orgánmi pre ochranu osobných údajov (kapitola VII, všeobecné nariadenie o ochrane údajov). Obdobne ako v správe z roku 2020 sa však aj v tejto správe poskytuje všeobecné posúdenie uplatňovania všeobecného nariadenia o ochrane údajov nad rámec týchto dvoch prvkov – identifikuje sa v nej zoznam opatrení potrebných na podporu účinného uplatňovania tohto nariadenia v kľúčových prioritných oblastiach.

V tejto správe sú zohľadnené tieto zdroje: i) stanovisko a zistenia Rady prijaté v decembri 2023 ( 2 ); ii) príspevky získané od zainteresovaných strán, najmä od skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov ( 3 ) a na základe verejnej výzvy na predloženie dôkazov ( 4 ) a iii) príspevky orgánov pre ochranu osobných údajov [v podobe príspevku Európskeho výboru pre ochranu údajov ( 5 ) (ďalej len „výbor“) a správa vypracovaná Agentúrou pre základné práva (FRA) na základe rozhovorov s jednotlivými orgánmi pre ochranu osobných údajov ( 6 ) (ďalej len „správa FRA“)]. Správa vychádza aj z priebežného monitorovania uplatňovania všeobecného nariadenia o ochrane údajov zo strany Komisie vrátane dvojstranných dialógov s členskými štátmi o súlade vnútroštátnych právnych predpisov, aktívneho prispievania k práci výboru a úzkych kontaktov so širokou škálou zainteresovaných strán v súvislosti s praktickým uplatňovaním nariadenia.

2Presadzovanie všeobecného nariadenia o ochrane údajov a fungovanie mechanizmov spolupráce a konzistentnosti

Cieľom systému presadzovania všeobecného nariadenia o ochrane údajov v štýle jednotného kontaktného miesta je zabezpečiť harmonizovaný výklad a presadzovanie zo strany nezávislých orgánov pre ochranu osobných údajov. V rámci toho systému sa vyžaduje spolupráca medzi orgánmi pre ochranu osobných údajov v prípadoch cezhraničného spracúvania, keď sú významne zasiahnuté dotknuté osoby vo viacerých členských štátoch. Spory medzi orgánmi rieši výbor v rámci mechanizmu konzistentnosti podľa všeobecného nariadenia o ochrane údajov.

2.1Zefektívnenie vybavovania cezhraničných prípadov: návrh procesných pravidiel

V správe z roku 2020 sa uvádza potreba účinnejšieho a harmonizovanejšieho riešenia cezhraničných prípadov v celej EÚ, najmä vzhľadom na veľké rozdiely vo vnútroštátnych administratívnych postupoch a výkladoch pojmov v mechanizme spolupráce podľa všeobecného nariadenia o ochrane údajov. Komisia preto v júli 2023 prijala návrh nariadenia o procesných pravidlách ( 7 ), pričom vychádzala aj zo zoznamu problémov, ktoré výbor predložil Komisii v októbri 2022 ( 8 ), a z príspevkov zainteresovaných strán ( 9 ) a členských štátov ( 10 ). Návrh dopĺňa všeobecné nariadenie o ochrane údajov stanovením podrobných pravidiel týkajúcich sa cezhraničných sťažností, účasti sťažovateľa, procesných práv vyšetrovaných strán (prevádzkovateľov a sprostredkovateľov) a spolupráce medzi orgánmi pre ochranu osobných údajov. Harmonizáciou týchto procesných aspektov by sa podporilo včasné dokončenie vyšetrovaní a poskytnutie rýchleho opravného prostriedku pre jednotlivcov. O tomto návrhu sa v súčasnosti rokuje v Európskom parlamente a Rade.

2.2Zintenzívnenie spolupráce medzi orgánmi pre ochranu osobných údajov a využívanie mechanizmu konzistentnosti

Počet cezhraničných prípadov sa v posledných rokoch výrazne zvýšil. Orgány pre ochranu osobných údajov preukázali zvýšenú ochotu využívať nástroje spolupráce, ktoré poskytuje všeobecné nariadenie o ochrane údajov. Všetky orgány pre ochranu osobných údajov využili nástroj vzájomnej pomoci ( 11 ), ako aj „neformálne“ žiadosti o vzájomnú pomoc na dobrovoľnom základe. Orgány pre ochranu osobných údajov uprednostňujú neformálne žiadosti, v ktorých nestanovujú lehotu na vybavenie ani prísnu povinnosť odpovedať. Hoci výbor prijal usmernenia o spoločných operáciách v roku 2021 ( 12 ), orgány tento nástroj stále významne nevyužívajú ( 13 ) a ako hlavné dôvody jeho obmedzeného využívania uvádzajú rozdiely vo vnútroštátnych postupoch a nejasnosť postupu.

Vo všeobecnom nariadení o ochrane údajov sa poskytuje dotknutým orgánom pre ochranu osobných údajov možnosť vzniesť relevantnú a odôvodnenú námietku, ak nesúhlasia s návrhom rozhodnutia vedúceho orgánu pre ochranu osobných údajov v cezhraničnom prípade. Ak sa orgány pre ochranu osobných údajov nedokážu dohodnúť na relevantnej a odôvodnenej námietke, vo všeobecnom nariadení o ochrane údajov sa stanovuje riešenie sporov výborom ( 14 ). Najčastejšie uvádzané témy v relevantných a odôvodnených námietkach boli: i) právny základ spracúvania; ii) informačné povinnosti a transparentnosť; iii) oznamovanie prípadov porušenia ochrany údajov; iv) práva dotknutých osôb; v) výnimky pre medzinárodné prevody; vi) využívanie nápravných opatrení a vii) výška správnej pokuty.

Systém presadzovania všeobecného nariadenia o ochrane údajov je založený na predpoklade úprimnej a účinnej spolupráce medzi orgánmi pre ochranu osobných údajov. Hoci postup riešenia sporov zohráva v tejto architektúre presadzovania dôležitú úlohu, mal by sa používať v duchu, v akom bol navrhnutý, a to s náležitým ohľadom na rozdelenie právomocí medzi orgánmi pre ochranu osobných údajov, potrebu dodržiavať práva na riadny súdny proces a záujem dosiahnuť včasné vyriešenie prípadu pre dotknuté osoby. Každý postup riešenia sporov si vyžaduje značné zdroje od vedúceho orgánu, dotknutých orgánov a sekretariátu výboru a odďaľuje sa ním poskytnutie nápravy dotknutým osobám.

Lepšie využívanie nástrojov spolupráce zo strany orgánov pre ochranu osobných údajov ·V systéme výmeny informácií výboru bolo zaregistrovaných takmer 2 400 záznamov o prípadoch ( 15 ). ·Hlavné orgány pre ochranu osobných údajov vydali približne 1 500 návrhov rozhodnutí ( 16 ), z ktorých 990 vyústilo do konečných rozhodnutí, v ktorých sa konštatuje porušenie všeobecného nariadenia o ochrane údajov ( 17 ). ·Orgány pre ochranu osobných údajov podali takmer 1 000 „formálnych“ žiadostí o vzájomnú pomoc ( 18 ) a približne 12 300 „neformálnych“ žiadostí ( 19 ). ·Začalo sa päť spoločných operácií, na ktorých sa zúčastnili orgány pre ochranu osobných údajov zo siedmich členských štátov. ·Orgány pre ochranu osobných údajov z 18 členských štátov vzniesli relevantné a odôvodnené námietky ( 20 ).

Orgány pre ochranu osobných údajov čoraz častejšie využívajú mechanizmus konzistentnosti podľa všeobecného nariadenia o ochrane údajov. Pozostáva z troch zložiek: i) stanoviská výboru; ii) riešenie sporov výborom a iii) postup pre naliehavé prípady ( 21 ).

Výbor sa vo svojich stanoviskách čoraz častejšie zaoberá dôležitými problémami všeobecnej platnosti ( 22 ). Výbor by mal pred prijatím týchto stanovísk zabezpečiť včasné a zmysluplné konzultácie. V prípadoch predložených na riešenie sporov sa riešili otázky, ako je napríklad právny základ pre spracúvanie údajov na účely behaviorálnej reklamy v sociálnych médiách a spracúvanie údajov detí online. Väčšina následných záväzných rozhodnutí bola napadnutá na Všeobecnom súde.

Transparentnosť rozhodovacieho procesu výboru je kľúčom k zabezpečeniu dodržiavania práva na dobrú správu vecí verejných podľa Charty základných práv EÚ. Postup pre naliehavé prípady podľa všeobecného nariadenia o ochrane údajov umožňuje orgánom pre ochranu osobných údajov odchýliť sa od mechanizmu spolupráce a konzistentnosti s cieľom prijať naliehavé opatrenia, ak je to potrebné na ochranu práv a slobôd dotknutých osôb. Ako výnimka z bežného postupu spolupráce podľa všeobecného nariadenia o ochrane údajov sú nástroje, ako je postup pre naliehavé prípady, určené na použitie len za mimoriadnych okolností a v prípadoch, keď bežný postup spolupráce nemôže chrániť práva a slobody dotknutých osôb.

Mechanizmus konzistentnosti ·Výbor prijal 190 stanovísk o konzistentnosti. ·V rámci riešenia sporov bolo prijatých deväť záväzných rozhodnutí ( 23 ). Vo všetkých z nich sa nariadilo vedúcemu orgánu pre ochranu osobných údajov, aby zmenil svoj návrh rozhodnutia, a niekoľko z nich viedlo k uloženiu značných pokút. ·Päť orgánov pre ochranu osobných údajov prijalo predbežné opatrenia v rámci postupu pre naliehavé prípady (Nemecko, Fínsko, Taliansko, Nórsko a Španielsko). ·Dva orgány pre ochranu osobných údajov požiadali výbor o naliehavé záväzné rozhodnutie ( 24 ) a výbor v jednom prípade nariadil naliehavé konečné opatrenia.

2.3Dôraznejšie presadzovanie

V posledných rokoch došlo k výraznému nárastu činnosti orgánov pre ochranu osobných údajov v oblasti presadzovania práva vrátane uloženia značných pokút v prelomových prípadoch proti „veľkým technologickým“ nadnárodným spoločnostiam. Pokuty boli uložené napríklad za: i) porušenie zákonnosti a bezpečnosti spracovania; ii) porušenie spracúvania osobitných kategórií osobných údajov a iii) nedodržanie práv jednotlivcov ( 25 ). To viedlo súkromné spoločnosti k tomu, aby „brali ochranu osobných údajov vážne“ ( 26 ) a pomohlo to zaviesť kultúru dodržiavania predpisov v organizáciách. Orgány pre ochranu osobných údajov prijímajú rozhodnutia, v ktorých konštatujú porušenie všeobecného nariadenia o ochrane údajov v prípadoch vychádzajúcich zo sťažností a vedených z vlastnej iniciatívy. Mnohé orgány pre ochranu osobných údajov účinne využívajú postupy „urovnania sporu formou zmieru“ na rýchle vyriešenie prípadov založených na sťažnostiach k spokojnosti sťažovateľa, hoci tieto postupy nie sú k dispozícii vo všetkých členských štátoch. V návrhu procesných pravidiel sa uznáva možnosť riešiť sťažnosti urovnaním sporu formou zmieru ( 27 ).

Orgány pre ochranu osobných údajov vo veľkej miere využívajú svoje nápravné právomoci, hoci počet uložených nápravných opatrení sa medzi jednotlivými orgánmi značne líši. Okrem pokút boli najčastejšie používanými nápravnými opatreniami upozornenia, pokarhania a príkazy na dodržiavanie všeobecného nariadenia o ochrane údajov. Prevádzkovatelia a sprostredkovatelia často napadajú rozhodnutia o porušení všeobecného nariadenia o ochrane údajov na vnútroštátnych súdoch, najčastejšie z procesných dôvodov ( 28 ).

Dôraznejšie presadzovanie ·Orgány pre ochranu osobných údajov začali viac ako 20 000 vyšetrovaní z vlastnej iniciatívy ( 29 ). ·Spoločne dostávajú viac ako 100 000 sťažností ročne ( 30 ). ·Medián času, ktorý orgány pre ochranu osobných údajov potrebujú na vybavenie sťažností (od prijatia do uzavretia prípadu), sa pohybuje od 1 do 12 mesiacov a v piatich členských štátoch sú to 3 mesiace alebo menej [Dánsko (1 mesiac), Španielsko (1,5 mesiaca), Estónsko (3 mesiace), Grécko (3 mesiace) a Írsko (3 mesiace)]. ·Vyše 20 000 sťažností bolo vyriešených urovnaním sporu formou zmieru. Najčastejšie sa využíva v Rakúsku, Maďarsku, Luxembursku a Írsku. ·V roku 2022 prijali orgány pre ochranu osobných údajov v Nemecku najvyšší počet rozhodnutí o uložení nápravného opatrenia (3 261), za nimi nasledovali orgány v Španielsku (774), Litve (308) a Estónsku (332). Najmenší počet nápravných opatrení bol uložený v Lichtenštajnsku (8), Česku (8), na Islande (10), v Holandsku (17) a Luxembursku (22). ·Orgány pre ochranu osobných údajov uložili viac ako 6 680 pokút vo výške približne 4,2 miliardy EUR ( 31 ). Najvyššiu celkovú sumu pokút uložil orgán v Írsku (2,8 miliardy EUR), za ktorým nasleduje Luxembursko (746 miliónov EUR), Taliansko (197 miliónov EUR) a Francúzsko (131 miliónov EUR). Najnižšie pokuty uložili Lichtenštajnsko (9 600 EUR), Estónsko (201 000 EUR) a Litva (435 000 EUR).

Hoci väčšina orgánov pre ochranu osobných údajov považuje svoje vyšetrovacie nástroje za primerané, niektoré požadujú ďalšie nástroje na vnútroštátnej úrovni, napríklad primerané sankcie v prípade, že prevádzkovatelia nespolupracujú alebo neposkytujú potrebné informácie ( 32 ). Orgány pre ochranu osobných údajov považujú za hlavný faktor, ktorý ovplyvňuje ich schopnosť presadzovať nariadenie, nedostatočné zdroje a nedostatky v technických a právnych znalostiach ( 33 ).

2.4Výbor

Výbor sa skladá z vedúceho jedného orgánu pre ochranu osobných údajov z každého členského štátu a európskeho dozorného úradníka pre ochranu údajov, pričom Komisia sa na ňom zúčastňuje bez hlasovacích práv. Úlohou výboru, ktorý v jeho práci podporuje sekretariát, je zabezpečiť dôsledné uplatňovanie všeobecného nariadenia o ochrane údajov ( 34 ). Väčšina orgánov pre ochranu osobných údajov sa domnieva, že výbor zohral pozitívnu úlohu pri posilňovaní ich vzájomnej spolupráce ( 35 ). Mnohé orgány pre ochranu osobných údajov vyčleňujú na činnosť výboru značné zdroje, hoci menšie orgány uvádzajú, že ich veľkosť im bráni v plnom zapojení ( 36 ). Niektoré orgány sa domnievajú, že by sa mala zvýšiť efektívnosť procesov výboru, najmä znížením počtu zasadnutí a venovaním menšej pozornosti menej dôležitým problémom ( 37 ). V závislosti od výsledku rokovaní o návrhu procesných pravidiel k všeobecnému nariadeniu o ochrane údajov, ktorého cieľom je znížiť počet prípadov predložených výboru na riešenie sporov, môže byť potrebné zvážiť, či výbor potrebuje dodatočné zdroje.

K novembru 2023 výbor prijal 35 usmernení. Hoci ich zainteresované strany a orgány pre ochranu osobných údajov považujú za užitočné, obe strany sa domnievajú, že usmernenia by sa mali poskytovať rýchlejšie a že by sa mala zlepšiť ich kvalita ( 38 ). Zainteresované strany poznamenávajú, že sú často príliš teoretické, príliš dlhé a neodráža sa v nich prístup všeobecného nariadenia o ochrane údajov založený na rizikách ( 39 ). Orgány pre ochranu osobných údajov a výbor by mali poskytnúť stručné a praktické usmernenia, v ktorých sa poskytujú odpovede na konkrétne problémy a odráža sa v nich rovnováha medzi ochranou údajov a inými základnými právami. Usmernenia by mali byť zrozumiteľné aj pre osoby bez právneho vzdelania, napríklad v MSP a dobrovoľníckych organizáciách ( 40 ). Jedným zo spôsobov, ako to dosiahnuť, je sprehľadniť prípravu usmernení a konzultovať ich v počiatočnom štádiu, aby bolo možné lepšie pochopiť dynamiku trhu, obchodné postupy a spôsob uplatňovania usmernení v praxi ( 41 ). Je vítané, že výbor v rámci svojej stratégie na roky 2024 – 2027 zdôraznil svoj cieľ poskytovať praktické usmernenia, ktoré sú prístupné príslušnému publiku ( 42 ).

Zainteresované strany zdôrazňujú potrebu ďalších usmernení, najmä pokiaľ ide o anonymizáciu a pseudonymizáciu ( 43 ), oprávnený záujem a vedecký výskum ( 44 ). Komisia v správe z roku 2020 vyzvala výbor, aby prijal usmernenia o vedeckom výskume, ktoré však zatiaľ neboli prijaté. Vzhľadom na význam vedeckého výskumu v spoločnosti, najmä na monitorovanie chorôb a vývoj liečby, ako aj na podporu inovácií, je nevyhnutné, aby orgány pre ochranu osobných údajov bezodkladne konali s cieľom objasniť tieto otázky ( 45 ). Verejným orgánom by takisto prospelo usmernenie zamerané na konkrétne výzvy, ktorým čelia ( 46 ).

2.5Orgány pre ochranu osobných údajov

2.5.1Nezávislosť a zdroje

Nezávislosť orgánov pre ochranu osobných údajov je zakotvená v Charte základných práv EÚ a v Zmluve o fungovaní EÚ. Vo všeobecnom nariadení o ochrane údajov sa stanovujú požiadavky na zabezpečenie „úplnej nezávislosti“ orgánov pre ochranu osobných údajov ( 47 ). V správe agentúry FRA sa konštatovalo, že väčšina orgánov pre ochranu osobných údajov funguje nezávisle od vlády, parlamentu alebo iných verejných orgánov ( 48 ).

Orgány pre ochranu osobných údajov potrebujú primerané ľudské, technické a finančné zdroje, aby mohli účinne a nezávisle vykonávať svoje úlohy podľa všeobecného nariadenia o ochrane údajov. V správe z roku 2020 Komisia konštatovala, že zdroje orgánov pre ochranu osobných údajov stále nie sú uspokojivé, a členské štáty na tento problém dôsledne upozorňovala. Situácia sa odvtedy zlepšila.

Viac zdrojov pre orgány pre ochranu osobných údajov ( 49 ) ·V rokoch 2020 až 2024 sa počet zamestnancov zvýšil vo všetkých orgánoch pre ochranu osobných údajov okrem dvoch a v 14 členských štátoch tento nárast presiahol 25 %. ·Najvyšší nárast počtu zamestnancov zaznamenal orgán pre ochranu osobných údajov v Írsku (79 %), za ktorým nasledovali Estónsko, Švédsko (oba 57 %) a Bulharsko (56 %). ·V Česku došlo k miernemu poklesu počtu zamestnancov orgánu (-1 %), zatiaľ čo v Lichtenštajnsku sa počet zamestnancov nezvýšil a na Cypre (4 %) a v Maďarsku (8 %) došlo k miernemu nárastu. ·V rokoch 2020 až 2024 sa rozpočet všetkých orgánov pre ochranu osobných údajov okrem jedného zvýšil a v 13 členských štátoch presiahol 50 %. ·Najväčší nárast rozpočtu zaznamenal orgán pre ochranu osobných údajov na Cypre (130 %), za ktorým nasledovalo Rakúsko (107 %), Bulharsko (100 %) a Estónsko (97 %). ·Rozpočet gréckeho orgánu pre ochranu osobných údajov sa znížil o 15 %, zatiaľ čo rozpočet lichtenštajnského (1 %), slovenského (6 %) a českého (8 %) orgánu sa mierne zvýšil.

Hoci tieto štatistiky ukazujú všeobecný trend zvyšovania zdrojov orgánov pre ochranu osobných údajov, samotné orgány sa domnievajú, že im stále chýbajú dostatočné ľudské zdroje ( 50 ). Zdôrazňujú potrebu veľmi špecializovaných technických vedomostí, najmä v oblasti nových a vznikajúcich technológií ( 51 ), ktorých nedostatok ovplyvňuje množstvo a kvalitu ich práce, a ťažkosti v súťaži o ľudské zdroje so súkromným sektorom. Orgány pre ochranu osobných údajov uvádzajú ako faktory ovplyvňujúce ich činnosť nedostatočné právne vedomosti a nedostatočné jazykové zručnosti. Ako kľúčové faktory, ktoré ovplyvňujú schopnosť orgánov prijímať a udržať si zamestnancov, sa uvádzajú nízke odmeny, neschopnosť samostatne vyberať zamestnancov a veľké pracovné zaťaženie ( 52 ). Orgány pre ochranu osobných údajov takisto zdôrazňujú, že potrebujú finančné zdroje na modernizáciu a digitalizáciu svojich procesov a na obstaranie technického vybavenia ( 53 ). Všetky orgány pre ochranu osobných údajov plnia úlohy nad rámec tých, ktoré im boli zverené vo všeobecnom nariadení o ochrane údajov ( 54 ), napr. ako dozorné orgány pre smernicu o presadzovaní práva v oblasti ochrany údajov a smernicu o súkromí a elektronických komunikáciách, pričom mnohé z nich vyjadrujú obavy z ďalších povinností vyplývajúcich z nových digitálnych právnych predpisov ( 55 ).

2.5.2Ťažkosti pri vybavovaní veľkého počtu sťažností

Viaceré orgány pre ochranu osobných údajov uvádzajú, že príliš veľa svojich zdrojov využívajú na vybavovanie veľkého počtu sťažností, z ktorých väčšina je podľa nich triviálna a neopodstatnená, keďže vybavenie každej sťažnosti je podľa všeobecného nariadenia o ochrane údajov povinnosťou, ktorá podlieha súdnemu preskúmaniu ( 56 ). To znamená, že orgány pre ochranu osobných údajov nemôžu vyčleniť dostatočné zdroje na iné činnosti, ako sú vyšetrovania z vlastnej iniciatívy, kampane na zvyšovanie informovanosti verejnosti a spolupráca s prevádzkovateľmi ( 57 ). Orgány pre ochranu osobných údajov ako orgány verejnej moci majú právomoc prideľovať svoje zdroje podľa vlastného uváženia s cieľom plniť každú zo svojich úloh (uvedených v článku 57 ods. 1 všeobecného nariadenia o ochrane údajov) vo verejnom záujme. Mnohé orgány pre ochranu osobných údajov prijali stratégie na zvýšenie účinnosti vybavovania sťažností, ako je automatizácia ( 58 ), používanie postupov urovnania sporu formou zmieru ( 59 ) a „zoskupovanie“ sťažností, ktoré sa týkajú podobných problémov ( 60 ).

2.5.3Výklad všeobecného nariadenia o ochrane údajov vnútroštátnymi orgánmi pre ochranu osobných údajov

Hlavným cieľom všeobecného nariadenia o ochrane údajov bolo odstrániť fragmentovaný prístup k ochrane údajov, ktorý existoval podľa predchádzajúcej smernice o ochrane údajov (smernica 95/46/ES) ( 61 ). Orgány pre ochranu osobných údajov však naďalej prijímajú odlišné výklady kľúčových pojmov ochrany údajov ( 62 ). Zainteresované strany to považujú za hlavnú prekážku dôsledného uplatňovania všeobecného nariadenia o ochrane údajov v EÚ. Pretrvávajúce rozdielne výklady vytvárajú právnu neistotu a zvyšujú náklady pre podniky (napr. tým, že sa vyžaduje odlišná dokumentácia v niekoľkých členských štátoch), narúšajú voľný pohyb osobných údajov v EÚ, bránia cezhraničnému podnikaniu a brzdia výskum a inovácie v oblasti naliehavých spoločenských výziev.

Medzi konkrétne problémy, na ktoré upozornili zainteresované strany, patria: i) skutočnosť, že orgány pre ochranu osobných údajov v troch členských štátoch majú každý iný názor na vhodný právny základ pre spracúvanie osobných údajov pri vykonávaní klinického skúšania; ii) názory na to, či je subjekt prevádzkovateľom alebo sprostredkovateľom, sa často rozchádzajú a iii) v niektorých prípadoch sa orgány pre ochranu osobných údajov neriadia usmerneniami výboru alebo uverejňujú usmernenia na vnútroštátnej úrovni, ktoré sú v rozpore s usmerneniami výboru ( 63 ). Tieto problémy sa ešte zhoršujú, keď viaceré orgány pre ochranu osobných údajov v rámci jedného členského štátu prijímajú protichodné výklady.

Niektoré zainteresované strany sa takisto domnievajú, že niektoré orgány pre ochranu osobných údajov a výbor prijímajú výklady, ktoré sa odchyľujú od prístupu vo všeobecnom nariadení o ochrane údajov založeného na riziku, čo predstavuje výzvu pre rozvoj digitálneho hospodárstva ( 64 ) a slobodu a pluralitu médií. Ako problematické oblasti uvádzajú: i) výklad anonymizácie; ii) právny základ oprávneného záujmu a súhlasu ( 65 ) a iii) výnimky zo zákazu automatizovaného individuálneho rozhodovania ( 66 ). Treba pripomenúť, že úlohou orgánov pre ochranu osobných údajov a výboru je zabezpečiť ochranu fyzických osôb v súvislosti so spracúvaním ich osobných údajov, ako aj voľný pohyb osobných údajov v rámci EÚ. Ako sa uznáva vo všeobecnom nariadení o ochrane údajov ( 67 ), právo na ochranu osobných údajov sa musí posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality.

2.5.4Spolupráca s prevádzkovateľmi a sprostredkovateľmi

Zainteresované strany zdôrazňujú prínos možnosti viesť konštruktívny dialóg s orgánmi pre ochranu osobných údajov s cieľom zabezpečiť, aby od začiatku dodržiavali všeobecné nariadenie o ochrane údajov, najmä v súvislosti s novými technológiami. Zainteresované strany poznamenávajú, že niektoré orgány pre ochranu osobných údajov aktívne spolupracujú s prevádzkovateľmi, zatiaľ čo iné reagujú pomaly, poskytujú nejasné odpovede alebo nereagujú vôbec ( 68 ).

3Vykonávanie všeobecného nariadenia o ochrane údajov členskými štátmi

3.1Fragmentácia vo vnútroštátnom uplatňovaní

Hoci je všeobecné nariadenie o ochrane údajov ako nariadenie priamo uplatniteľné, od členských štátov sa v ňom vyžaduje, aby prijali právne predpisy v určitých oblastiach, a poskytuje sa im možnosť bližšie špecifikovať jeho uplatňovanie v obmedzenom počte oblastí ( 69 ). Členské štáty musia pri prijímaní právnych predpisov na vnútroštátnej úrovni dodržiavať podmienky a obmedzenia stanovené vo všeobecnom nariadení o ochrane údajov. Rovnako ako v roku 2020 zainteresované strany uvádzajú, že sa stretávajú s ťažkosťami vyplývajúcimi z fragmentácie vnútroštátnych predpisov, v ktorých majú členské štáty možnosť spresniť všeobecné nariadenie o ochrane údajov, najmä pokiaľ ide o:

·minimálny vek pre súhlas dieťaťa v súvislosti s ponukou služieb informačnej spoločnosti tomuto dieťaťu ( 70 );

·zavedenie ďalších podmienok týkajúcich sa spracovania genetických údajov, biometrických údajov alebo údajov o zdravotnom stave zo strany členských štátov ( 71 );

·spracúvanie osobných údajov týkajúcich sa rozsudkov v trestných veciach a trestných činov ( 72 ), čo spôsobuje ťažkosti v niektorých regulovaných odvetviach.

Zároveň je dôležité, že mnohé zainteresované strany uvádzajú, že problémy fragmentácie vyplývajú najmä z rozdielnych výkladov všeobecného nariadenia o ochrane údajov zo strany orgánov pre ochranu osobných údajov, a nie z používania fakultatívnych doložiek o špecifikácii zo strany členských štátov.

Členské štáty sa domnievajú, že obmedzená miera fragmentácie je potenciálne akceptovateľná a doložky o špecifikácii stanovené vo všeobecnom nariadení o ochrane údajov sú naďalej prospešné, najmä v prípade spracúvania údajov orgánmi verejnej moci ( 73 ). Vo všeobecnom nariadení o ochrane údajov sa vyžaduje, aby členské štáty pri príprave právnych predpisov týkajúcich sa spracúvania osobných údajov konzultovali predpisy so svojím vnútroštátnym orgánom pre ochranu osobných údajov ( 74 ). V správe agentúry FRA sa zistilo, že niektoré vlády stanovujú pre tieto orgány veľmi krátke lehoty a v niektorých prípadoch s nimi predpisy vôbec nekonzultujú ( 75 ).

3.2Monitorovanie Komisiou

Komisia priebežne monitoruje vykonávanie všeobecného nariadenia o ochrane údajov. Komisia začala proti členským štátom postupy v prípade nesplnenia povinnosti týkajúce sa problémov, ako je nezávislosť orgánov pre ochranu osobných údajov (vrátane nezávislosti od vonkajšieho vplyvu a dostupnosti súdneho prostriedku nápravy v prípade odvolania) ( 76 ) a právo na účinný súdny prostriedok nápravy pre dotknuté osoby, ak orgán pre ochranu osobných údajov nevyhovie sťažnosti ( 77 ). V rámci monitorovania Komisia takisto žiada, aby orgány pre ochranu osobných údajov pravidelne poskytovali prísne dôverné informácie ( 78 ) o prebiehajúcich rozsiahlych cezhraničných prípadoch, najmä tých, ktoré sa týkajú veľkých technologických nadnárodných spoločností.

Komisia pravidelne komunikuje s členskými štátmi o vykonávaní všeobecného nariadenia o ochrane údajov. Ako sa uvádza v správe z roku 2020, Komisia naďalej využívala expertnú skupinu členských štátov zaoberajúcu sa všeobecným nariadením o ochrane údajov ( 79 ) na uľahčenie diskusií a výmeny skúseností v oblasti účinného vykonávania nariadenia. Expertná skupina viedla konkrétne diskusie o: i) dohľade nad súdmi konajúcimi v rámci svojej súdnej právomoci (článok 55 všeobecného nariadenia o ochrane údajov; článok 8 charty); ii) zosúladení práva na ochranu údajov s právom na slobodu prejavu (článok 85 všeobecného nariadenia o ochrane údajov) a iii) práve na účinný súdny prostriedok nápravy voči dozornému orgánu (článok 78 všeobecného nariadenia o ochrane údajov). Po týchto diskusiách Komisia zostavila prehľad prístupov k vykonávaniu týchto ustanovení v členských štátoch ( 80 ). Komisia využila túto skupinu aj na výmenu názorov s členskými štátmi pri príprave návrhu procesných pravidiel.

V rámci schengenských hodnotení, ktoré spoločne vykonávajú členské štáty a Komisia, sa posudzuje aj súlad vnútroštátnych právnych predpisov a postupov s pravidlami ochrany údajov stanovenými v súbore právnych predpisov EÚ týkajúcich sa schengenského priestoru. Ročne sa vykoná najmenej päť hodnotení ochrany údajov na mieste, ktoré sa v súčasnosti zameriavajú na rozsiahle informačné systémy a Schengenský informačný systém, vízový informačný systém, ako aj na dozornú úlohu vnútroštátnych orgánov pre ochranu osobných údajov nad týmito systémami.

Komisia aktívne prispieva k veľkému počtu prípadov na Súdnom dvore (v posledných rokoch približne 30 prejudiciálnych rozhodnutí ročne), ktoré zohrávajú ústrednú úlohu pri jednotnom výklade kľúčových pojmov všeobecného nariadenia o ochrane údajov. Rozrastajúca sa judikatúra Súdneho dvora priniesla niekoľko objasnení, napríklad pokiaľ ide o vymedzenie osobných údajov ( 81 ), osobitné kategórie osobných údajov ( 82 ), prevádzkovateľa ( 83 ), súhlas ( 84 ), oprávnený záujem ( 85 ), právo na prístup ( 86 ), právo na vymazanie ( 87 ), právo na náhradu škody ( 88 ), automatizované individuálne rozhodovanie ( 89 ), správne pokuty ( 90 ), úradníkov pre ochranu údajov ( 91 ), zverejňovanie osobných údajov v registroch ( 92 ) a uplatňovanie všeobecného nariadenia o ochrane údajov na činnosť parlamentov ( 93 ).

4Práva dotknutých osôb

Fyzické osoby sú čoraz viac oboznámené so svojimi právami podľa všeobecného nariadenia o ochrane údajov a aktívne ich uplatňujú ( 94 ). Orgány pre ochranu osobných údajov vyčleňujú značné zdroje na podporu informovanosti širokej verejnosti o právach a povinnostiach v oblasti ochrany údajov, napríklad vo forme kampaní v sociálnych médiách a televízii, liniek pomoci, bulletinov a prezentácií vo vzdelávacích inštitúciách ( 95 ). Mnohé z týchto iniciatív boli financované z prostriedkov EÚ ( 96 ). Agentúra pre základné práva konštatuje, že hoci sa povedomie širokej verejnosti o ochrane údajov zvýšilo, chápanie ochrany údajov je stále nedostatočné, o čom svedčí veľký počet banálnych alebo neopodstatnených sťažností ( 97 ). Bolo vyvinutých niekoľko používateľsky ústretových digitálnych nástrojov, ktoré dotknutým osobám uľahčujú výkon ich práv ( 98 ). Legislatívne akty, najmä akt o správe údajov ( 99 ), by mali v budúcnosti viesť k vytvoreniu ďalších spôsobov uplatňovania práv dotknutých osôb. Podniky konštatujú, že právo na vymazanie sa využíva čoraz častejšie, zatiaľ čo v prípade práva na opravu a práva na námietku je to zriedkavé.

4.1Právo na prístup

Prevádzkovatelia uvádzajú, že právo na prístup (článok 15 všeobecného nariadenia o ochrane údajov) je najčastejšie uplatňovaným právom zo strany dotknutých osôb. Hoci výbor prijal usmernenia k tomuto právu v roku 2022, prevádzkovatelia naďalej hlásia problémy, napríklad pri výklade pojmu „neopodstatnené alebo neprimerané žiadosti“ ( 100 ), pri odpovedaní na veľký počet žiadostí a pri vybavovaní žiadostí, ktoré sa podávajú na účely nesúvisiace s ochranou údajov, napríklad na zhromažďovanie dôkazov pre súdne konanie ( 101 ). Organizácie občianskej spoločnosti upozorňujú, že odpovede na žiadosti o prístup sú často oneskorené alebo neúplné, pričom získané údaje nie sú vždy v čitateľnom formáte ( 102 ). Orgány verejnej moci uvádzajú ťažkosti pri interakcii medzi právom na prístup a pravidlami o prístupe verejnosti k dokumentom ( 103 ). Preto je vítané, že výbor vo februári 2024 spustil koordinovaný rámec presadzovania práva na prístup ( 104 ).

4.2Právo na prenosnosť

V správe z roku 2020 sa Komisia zaviazala preskúmať praktické prostriedky na uľahčenie zvýšeného využívania práva na prenosnosť (článok 20 všeobecného nariadenia o ochrane údajov) jednotlivcami v súlade so stratégiou v oblasti údajov. Komisia odvtedy prijala niekoľko iniciatív, ktoré toto právo dopĺňajú. Tieto iniciatívy uľahčujú jednoduchý prechod medzi službami, čím vytvárajú väčší výber pre jednotlivcov, podporujú hospodársku súťaž a inovácie a umožňujú jednotlivcom využívať výhody vyplývajúce z používania ich údajov. Akt o údajoch poskytuje používateľom inteligentných zariadení rozšírené právo na prenosnosť údajov vytvorených takýmito zariadeniam a nariaďuje sa v ňom, aby konštrukcia výrobku alebo backendového servera výrobcu alebo držiteľa údajov takúto prenosnosť technicky umožňovala. V akte o digitálnych trhoch sa vyžaduje, aby poskytovatelia základných platformových služieb označovaní ako „strážcovia prístupu“ zabezpečili účinnú prenosnosť údajov používateľov vrátane nepretržitého prístupu k týmto údajom v reálnom čase. V niekoľkých ďalších iniciatívach Komisie, o ktorých sa v súčasnosti rokuje alebo v súvislosti s ktorými bola dosiahnutá politická dohoda, sa stanovujú rozšírené práva na prenosnosť v konkrétnych oblastiach, ako je napríklad smernica o práci na platforme ( 105 ), európsky priestor pre zdravotné údaje ( 106 ) a rámec pre prístup k finančným údajom ( 107 ).

4.3Právo podať sťažnosť

Ako dokazuje veľký počet sťažností, existuje široké povedomie o práve podať sťažnosť orgánu pre ochranu osobných údajov. Organizácie občianskej spoločnosti upozorňujú na neopodstatnené rozdiely vo vnútroštátnych postupoch pri vybavovaní sťažností, čo je problém, ktorý sa rieši v návrhu Komisie o procesných pravidlách. Len málo členských štátov využilo možnosť podľa všeobecného nariadenia o ochrane údajov poskytnúť neziskovému subjektu právo prijímať opatrenia nezávisle od mandátu dotknutej osoby (článok 80 ods. 2). Smernica o reprezentatívnych žalobách ( 108 ) prijatá v roku 2020 však povedie k väčšej harmonizácii v tomto ohľade tým, že uľahčí podávanie kolektívnych žalôb jednotlivcami v prípade porušenia všeobecného nariadenia o ochrane údajov. Vnútroštátne opatrenia na vykonávanie smernice sa začali uplatňovať v júni 2023.

4.4Ochrana osobných údajov detí

Pri spracúvaní osobných údajov detí sa vyžaduje osobitná ochrana ( 109 ). Všeobecné nariadenie o ochrane údajov je súčasťou komplexného právneho rámca, ktorým sa zabezpečuje ochrana detí v režime offline aj online ( 110 ). Vzhľadom na zvýšenú prítomnosť detí na internete sa v posledných rokoch prijalo niekoľko opatrení na úrovni EÚ a na vnútroštátnej úrovni na podporu ochrany detí na internete. Orgány pre ochranu osobných údajov uložili spoločnostiam sociálnych médií vysoké pokuty za porušenie všeobecného nariadenia o ochrane údajov pri spracúvaní údajov detí. Spolupracujú aj s inými orgánmi s cieľom požadovať väčšiu ochranu detí v oblasti reklamy. Komisia v správe z roku 2020 vyzvala výbor, aby prijal usmernenia o spracúvaní údajov o deťoch a na ich vypracovaní sa v súčasnosti pracuje ( 111 ). Akt o digitálnych službách obsahuje osobitné ustanovenia na zabezpečenie vysokej úrovne súkromia, bezpečnosti a ochrany detí, ktoré používajú online platformy.

Niektoré zainteresované strany uvádzajú problémy s uplatňovaním práv dotknutých osôb, ak sú nimi deti. Uvádzajú najmä, že deti plne nerozumejú svojim právam, nemajú dostatočné digitálne zručnosti a môžu byť vystavené neprípustnému ovplyvňovaniu ( 112 ). Komisia financovala niekoľko iniciatív na vnútroštátnej úrovni zameraných na ochranu údajov detí a na podporu informovanosti detí o ochrane údajov ( 113 ). Komisia v rámci stratégie Lepší internet pre deti (BIK+) poskytuje deťom zdroje na zvyšovanie informovanosti a odbornú prípravu o ich digitálnych právach vrátane ochrany údajov (napr. digitálny súhlas) ( 114 ). Čoraz väčší dôraz sa kladie na potrebu účinných nástrojov na overovanie veku, ktoré sú šetrné k súkromiu. Komisia začiatkom roka 2024 spolu s členskými štátmi, výborom a Skupinou európskych regulačných orgánov pre audiovizuálne mediálne služby zriadila pracovnú skupinu pre overovanie veku s cieľom prediskutovať a podporiť vývoj celoeurópskeho rámca a prístupu k overovaniu veku. Táto spolupráca bude teraz pokračovať pod vedením Európskeho výboru pre digitálne služby v rámci pracovnej skupiny pre ochranu maloletých. V kontexte nariadenia EÚ o digitálnej identite ( 115 ), ktoré nadobudlo účinnosť v máji 2024, Komisia pracuje na zabezpečení toho, aby bola v roku 2026 európska peňaženka digitálnej identity k dispozícii pre všetkých občanov EÚ a osoby s pobytom na jej území, a to aj na účely overovania veku. Kým sa ekosystém peňaženky digitálnej identity stane plne funkčným, vypracuje sa krátkodobé riešenie určené na overovanie veku, ktoré bude k dispozícii v celej EÚ.

5Príležitosti a výzvy pre organizácie, najmä MSP

Všeobecným nariadením o ochrane údajov sa vytvorili rovnaké podmienky pre podniky pôsobiace na vnútornom trhu a technologicky neutrálny prístup priaznivý pre inovácie v ňom umožňuje podnikom znížiť byrokraciu a ťažiť z väčšej dôvery spotrebiteľov ( 116 ). Mnohé podniky si vytvorili internú kultúru ochrany údajov a považujú ochranu súkromia a údajov za kľúčové parametre hospodárskej súťaže. Podniky oceňujú prístup vo všeobecnom nariadení o ochrane údajov založený na riziku ako hlavnú zásadu, ktorá umožňuje flexibilitu a škálovateľnosť ich povinností ( 117 ).

5.1Súbor nástrojov pre podniky

Vo všeobecnom nariadení o ochrane údajov sa poskytuje súbor nástrojov, ktoré organizáciám umožňujú flexibilne riadiť a preukazovať súlad, vrátane kódexov správania, certifikačných mechanizmov a štandardných zmluvných doložiek. Ako bolo oznámené v správe z roku 2020, Komisia v roku 2021 prijala štandardné zmluvné doložky o vzťahu medzi prevádzkovateľom a sprostredkovateľom ( 118 ). Tieto štandardné zmluvné doložky predstavujú pohotový a ľahko implementovateľný dobrovoľný nástroj na dodržiavanie predpisov, ktorý je obzvlášť užitočný pre malé a stredné podniky alebo organizácie, ktoré nemusia mať zdroje na vyjednávanie individuálnych zmlúv so svojimi obchodnými partnermi. Podniky uvádzajú zmiešané názory na používanie štandardných zmluvných doložiek v tom zmysle, že niektoré spoločnosti (najmä MSP) ich používajú úplne alebo čiastočne, zatiaľ čo iné (najmä väčšie spoločnosti) ich skôr nepoužívajú, pretože uprednostňujú používanie vlastných doložiek.

Podniky zdôrazňujú, že kódexy správania majú veľký potenciál ako odvetvovo špecifický a nákladovo efektívny nástroj na dodržiavanie predpisov ( 119 ). Vypracovávanie kódexov správania bolo však obmedzené ( 120 ). Podľa doteraz dostupných informácií boli schválené len dva celoeurópske kódexy (oba v odvetví cloud computingu), zatiaľ čo na vnútroštátnej úrovni bolo schválených šesť kódexov ( 121 ). Zainteresované strany uvádzajú ako hlavné faktory, ktoré obmedzujú zavádzanie kódexov správania, náročné požiadavky (vrátane potreby zriadiť akreditovaný monitorovací orgán), nedostatočné zapojenie orgánov pre ochranu osobných údajov a zdĺhavý schvaľovací proces ( 122 ).

Je potrebná väčšia transparentnosť procesu a jasný časový harmonogram schvaľovania. Orgány pre ochranu osobných údajov a v prípade celoeurópskych kódexov výbor by mali aktívnejšie podporovať vypracúvanie kódexov správania spoluprácou so združeniami, ktoré tieto kódexy vypracúvajú. Pomôže to vyriešiť rozdiely vo výklade a urýchliť proces schvaľovania. Zainteresované strany vyjadrujú poľutovanie nad dlhými oneskoreniami pri prijímaní kódexov správania, ktoré boli spôsobené problémami, o ktorých sa paralelne diskutovalo v rámci práce na usmerneniach. Podniky podobne uvádzajú, že certifikácia sa vo veľkej miere nevyužíva, pretože proces vývoja je pomalý a zložitý. Podobne ako v prípade kódexov správania by orgány pre ochranu osobných údajov mali stanoviť jasnejšie lehoty na preskúmanie a schválenie osvedčení.

Výbor sa vo svojej stratégii na roky 2024 – 2027 zaviazal naďalej podporovať opatrenia na zabezpečenie súladu, ako je certifikácia a kódexy správania, a to aj spoluprácou s kľúčovými skupinami zainteresovaných strán s cieľom vysvetliť, ako sa tieto nástroje môžu používať ( 123 ).

5.2Osobitné výzvy pre MSP a malé hospodárske subjekty

Komisia v správe z roku 2020 vyzvala na zintenzívnenie úsilia na podporu dodržiavania všeobecného nariadenia o ochrane údajov zo strany MSP. V posledných rokoch orgány pre ochranu osobných údajov a výbor pokračovali vo vývoji nástrojov na zabezpečenie súladu pre malé a stredné podniky, čiastočne s finančnou podporou zo strany Komisie ( 124 ). Výbor vydal v apríli 2023 príručku o ochrane údajov pre malé podniky ( 125 ), v ktorej sa poskytujú praktické informácie pre MSP v prístupnej a ľahko zrozumiteľnej forme.

MSP v mnohých členských štátoch zdôrazňujú výhody prispôsobenej podpory zo strany miestnych orgánov pre ochranu osobných údajov. Rozdielny prístup k zvyšovaniu informovanosti a usmerňovaniu zo strany orgánov pre ochranu osobných údajov však znamená, že MSP v niektorých členských štátoch vnímajú dodržiavanie predpisov ako zložité a obávajú sa presadzovania ( 126 ). Orgány pre ochranu osobných údajov by mali zdvojnásobiť svoje úsilie pri riešení týchto problémov, a to aj aktívnou spoluprácou s MSP s cieľom rozptýliť akékoľvek neopodstatnené obavy z dodržiavania predpisov. Orgány pre ochranu osobných údajov by sa mali zamerať na poskytovanie podpory šitej na mieru a praktických nástrojov, ako sú vzory (napr. na vykonanie posúdenia vplyvu na ochranu údajov), linky pomoci, názorné príklady, kontrolné zoznamy a usmernenia týkajúce sa konkrétnych spracovateľských operácií (napr. fakturácie alebo zasielania správ) a technických a organizačných opatrení. Keďže väčšina MSP nemá interné odborné znalosti v oblasti ochrany údajov, všetky usmernenia určené MSP by mali byť ľahko zrozumiteľné aj pre osoby bez právneho vzdelania ( 127 ).

V súlade s prístupom vo všeobecnom nariadení o ochrane údajov založeným na riziku MSP, ktoré vykonávajú nízkorizikové spracovateľské činnosti, nenesú značné bremeno spojené s dodržiavaním predpisov. Zatiaľ čo výnimka týkajúca sa vedenia záznamov o spracovateľských činnostiach ( 128 ) sa uplatňuje za obmedzených okolností ( 129 ), MSP vykonávajúce spracúvanie s nízkym rizikom ju môžu dodržiavať vedením zjednodušených záznamov na základe vzorov poskytnutých orgánmi pre ochranu osobných údajov. Takéto záznamy by sa navyše mali považovať za užitočný nástroj pre MSP na inventarizáciu ich spracovateľských činností.

5.3Zodpovedné osoby

Zodpovedné osoby zohrávajú dôležitú úlohu pri zabezpečovaní súladu so všeobecným nariadením o ochrane údajov v organizáciách, v ktorých pracujú. Zodpovedné osoby pôsobiace v EÚ majú vo všeobecnosti potrebné vedomosti a zručnosti na vykonávanie svojich úloh podľa všeobecného nariadenia o ochrane údajov a ich nezávislosť sa rešpektuje ( 130 ). Pretrváva však niekoľko výziev vrátane: i) ťažkostí pri vymenovaní zodpovedných osôb s požadovanými odbornými znalosťami; ii) chýbajúcich celoeurópskych noriem pre vzdelávanie a odbornú prípravu; iii) nedostatočného začlenenia zodpovedných osôb do organizačných procesov; iv) nedostatku zdrojov; v) ďalších úloh mimo ochrany údajov a vi) nedostatočného počtu odpracovaných rokov ( 131 ). Výbor konštatoval, že je potrebné, aby orgány pre ochranu osobných údajov zintenzívnili činnosti zamerané na zvyšovanie informovanosti, ako aj svoje informačné a presadzovacie činnosti s cieľom zabezpečiť, aby zodpovedné osoby mohli plniť svoju úlohu podľa všeobecného nariadenia o ochrane údajov ( 132 ).

6Všeobecné nariadenie o ochrane údajov ako pilier politiky EÚ v digitálnej oblasti

6.1Digitálna politika založená na všeobecnom nariadení o ochrane údajov

V správe z roku 2020 sa Komisia zaviazala podporovať dôsledné uplatňovanie rámca ochrany údajov vo vzťahu k novým technológiám s cieľom podporiť inovácie a technologický rozvoj. EÚ odvtedy prijala celý rad iniciatív, z ktorých niektoré dopĺňajú všeobecné nariadenie o ochrane údajov alebo spresňujú, ako by sa malo uplatňovať v konkrétnych oblastiach, aby sa dosiahli konkrétne ciele, ako sa uvádza ďalej v texte.

·V akte o digitálnych službách ( 133 ), ktorého cieľom je zabezpečiť bezpečné online prostredie pre jednotlivcov a podniky, sa online platformám zakazuje zobrazovať reklamy založené na profilovaní s použitím „osobitných kategórií osobných údajov“, ako sú vymedzené vo všeobecnom nariadení o ochrane údajov.

·Aby sa digitálne trhy stali spravodlivejšími a súťažeschopnejšími, v akte o digitálnych trhoch ( 134 ) sa prevádzkovateľom označeným ako „strážcovia prístupu“ zakazuje „kombinovať“ a „krížovo používať“ osobné údaje medzi ich hlavnými platformovými službami a inými službami, pokiaľ používateľ neposkytol svoj súhlas, ako je vymedzené vo všeobecnom nariadení o ochrane údajov.

·V akte o umelej inteligencii ( 135 ) sa stanovujú pravidlá EÚ o ochrane údajov v konkrétnych oblastiach, v ktorých sa používa umelá inteligencia, napríklad v systémoch diaľkovej biometrickej identifikácie, spracúvaní osobitných kategórií údajov na zisťovanie zaujatosti a ďalšom spracúvaní osobných údajov v regulačných sandboxoch.

·Smernica o práci na platformách ( 136 ) dopĺňa všeobecné nariadenie o ochrane údajov v oblasti zamestnanosti stanovením pravidiel týkajúcich sa automatizovaných systémov monitorovania a rozhodovania, ktoré používajú digitálne pracovné platformy, a najmä obmedzení spracúvania osobných údajov, transparentnosti ľudského dohľadu a preskúmania a prenosnosti.

·V nariadení o politickej reklame ( 137 ) sa zakazuje používanie osobitných kategórií osobných údajov v politickej reklame a vyžaduje sa väčšia transparentnosť v súvislosti s používanými technikami cielenia a zosilňovania.

·Európske nariadenie o digitálnej identite umožňuje vytvorenie univerzálnej, dôveryhodnej a bezpečnej európskej peňaženky digitálnej identity. Jednotlivci vďaka nej budú môcť preukázať osobné informácie, medzi ktoré patria vek, vodičské preukazy, diplomy a bankové účty, a to s plnou kontrolou nad svojimi osobnými údajmi a bez zbytočnej výmeny údajov.

O návrhu nariadenia o súkromí a elektronických komunikáciách ( 138 ), ktoré má nahradiť súčasnú smernicu o súkromí a elektronických komunikáciách ( 139 ) a doplniť legislatívny rámec ochrany súkromia a údajov, sa rokuje už niekoľko rokov. Treba sa zamyslieť nad ďalšími krokmi týkajúcimi sa tejto iniciatívy vrátane jej vzťahu k všeobecnému nariadeniu o ochrane údajov.

Cieľom aktu o interoperabilnej Európe ( 140 ) je zabezpečiť interoperabilitu digitálnych verejných služieb v celej EÚ. Podporuje sa ním spolupráca medzi orgánmi pre ochranu osobných údajov, najmä regulačnými sandboxami interoperability.

Niekoľko iniciatív EÚ poskytuje právny základ pre spracúvanie osobných údajov súkromnými subjektmi na účely prevencie, vyšetrovania, odhaľovania alebo stíhania trestných činov. Všetky takéto právne predpisy musia byť starostlivo zamerané na minimalizáciu zásahov do práva na ochranu osobných údajov a musia byť primerané sledovanému cieľu ( 141 ). Rámec, na základe ktorého by sa tieto iniciatívy mali posudzovať, poskytujú charta, všeobecné nariadenie o ochrane údajov a judikatúra Súdneho dvora. Navrhovaný balík opatrení proti praniu špinavých peňazí ( 142 ) obsahuje významné záruky ochrany osobných údajov bez toho, aby bol ohrozený cieľ zmierniť riziká prania špinavých peňazí a financovania terorizmu a účinne odhaľovať pokusy zločincov o zneužitie finančného systému EÚ.

Rada v tejto súvislosti zdôraznila, že všetky nové právne predpisy EÚ obsahujúce ustanovenia o spracúvaní osobných údajov by mali byť v súlade so všeobecným nariadením o ochrane údajov a judikatúrou Súdneho dvora.

6.2Právny rámec na zlepšenie výmeny údajov

Cieľom stratégie v oblasti údajov je vytvoriť jednotný trh s údajmi, na ktorom budú údaje voľne prúdiť v rámci EÚ a medzi jednotlivými odvetviami v prospech podnikov, výskumníkov a verejnej správy. Kľúčovým cieľom stratégie v oblasti údajov je vytvorenie spoločných európskych dátových priestorov, ktoré uľahčujú zhromažďovanie, sprístupňovanie a výmenu údajov. Pokiaľ ide o osobné údaje, vo všeobecnom nariadení o ochrane údajov sa poskytuje rámec pre všetky iniciatívy, ktorých cieľom je zlepšiť voľný tok údajov v EÚ, čo je aj cieľom všeobecného nariadenia o ochrane údajov. Pokiaľ ide o osobné údaje, ochrana podľa všeobecného nariadenia o ochrane údajov nie je dotknutá.

Piliermi stratégie v oblasti údajov sú akt o správe údajov ( 143 ) a akt o údajoch ( 144 ). V akte o správe údajov sa stanovujú konkrétne pravidlá v súvislosti s opakovaným použitím údajov verejného sektora obsahujúcich osobné údaje, stanovuje sa legislatívny rámec pre služby sprostredkovania údajov vrátane služieb správy osobných informácií (PIMS) alebo cloudových systémov s osobnými údajmi, ktoré sa ponúkajú s cieľom posilniť postavenie dotknutých osôb pri uplatňovaní ich práv podľa všeobecného nariadenia o ochrane údajov. Stanovujú sa v ňom aj podmienky používania údajov na altruistické účely. Akt o údajoch posilňuje kontrolu dotknutých osôb nad údajmi, ktoré vytvárajú používaním inteligentných zariadení, ktoré vlastnia, prenajímajú alebo majú na lízing, tým, že sa v ňom stanovujú technické požiadavky na prístup k údajom a ich prenosnosť.

V európskom priestore pre zdravotné údaje (EHDS) ( 145 ) sú reflektované špecifické potreby identifikované v odvetví zdravotných údajov a zároveň sa v ňom vychádza zo všeobecného nariadenia o ochrane údajov. Umožňuje jednotlivcom jednoduchý prístup k ich zdravotným údajom v elektronickej podobe a ich zdieľanie so zdravotníckymi pracovníkmi, a to aj v iných členských štátoch, čím sa zlepšuje poskytovanie zdravotnej starostlivosti a zvyšuje sa kontrola pacientov nad ich údajmi. Zavádza sa ním aj spoločný právny rámec pre opakované použitie zdravotných údajov na účely, ako je výskum, inovácie a verejné zdravie, na základe povolenia vydaného orgánom pre prístup k zdravotným údajom. S cieľom zabezpečiť ochranu osobných údajov bude EHDS poskytovať dôveryhodné prostredie na bezpečný prístup k zdravotným údajom a ich spracovanie. Komisia naďalej podporuje prácu na rozvoji spoločných európskych dátových priestorov v 14 odvetviach vykonávaním nového legislatívneho rámca a financovaním iniciatív pre jednotlivé odvetvia.

6.3Riadenie nových digitálnych pravidiel

Vypracúvanie digitálnych predpisov vyvoláva potrebu úzkej spolupráce medzi regulačnými oblasťami ( 146 ). Takáto spolupráca je o to potrebnejšia, že problémy spojené s ochranou údajov sa čoraz viac prelínajú napríklad s otázkami práva hospodárskej súťaže, spotrebiteľského práva, pravidiel digitálnych trhov, regulácie elektronických komunikácií či kybernetickej bezpečnosti. Tak je to napríklad pri posudzovaní zlučiteľnosti modelov „pay or OK“ s právom EÚ.

V niektorých prípadoch sú orgány pre ochranu osobných údajov poverené presadzovaním konkrétnych ustanovení nových digitálnych právnych predpisov EÚ ( 147 ). Nové digitálne predpisy vytvárajú aj osobitné štruktúry, v rámci ktorých sa združujú príslušné regulačné orgány s cieľom zabezpečiť jednotné presadzovanie, ako je napríklad skupina na vysokej úrovni pre akt o digitálnych trhoch, Európsky dátový inovačný výbor (zriadený na základe aktu o správe údajov) a Európsky výbor pre digitálne služby (zriadený na základe aktu o digitálnych službách). V smernici NIS 2 ( 148 ) sa stanovujú podrobnejšie pravidlá spolupráce medzi regulačnými orgánmi a orgánmi pre ochranu osobných údajov pri riešení bezpečnostných incidentov, ktoré predstavujú porušenie ochrany osobných údajov.

Mimo týchto formálnych štruktúr prijímajú orgány pre ochranu osobných údajov opatrenia na zabezpečenie toho, aby sa ich opatrenia dopĺňali a boli v súlade s inými regulačnými oblasťami. V júli 2020 zriadili orgány pre ochranu spotrebiteľov a osobných údajov „skupinu dobrovoľníkov“ s cieľom určiť najlepšie postupy a vymieňať si skúsenosti s presadzovaním práva. Orgány pre ochranu osobných údajov sa naďalej zúčastňujú na spoločných seminároch so sieťou spolupráce v oblasti ochrany spotrebiteľa. Výbor zriadil v roku 2023 pracovnú skupinu pre vzájomné pôsobenie ochrany údajov, hospodárskej súťaže a ochrany spotrebiteľa.

Hoci je tento vývoj pozitívny, sú potrebné štruktúrovanejšie a účinnejšie prostriedky spolupráce, najmä na riešenie situácií, ktoré sa týkajú veľkého počtu osôb v EÚ a zahŕňajú niekoľko regulačných orgánov ( 149 ). Všetky takéto štruktúry by mali zabezpečiť, aby orgány zostali vždy zodpovedné za všetky otázky týkajúce sa dodržiavania pravidiel v rámci svojich právomocí. Členské štáty by sa mali usilovať aj o zabezpečenie primeranej spolupráce na vnútroštátnej úrovni ( 150 ).

7Medzinárodné prenosy a globálna spolupráca

7.1Nástroje všeobecného nariadenia o ochrane údajov týkajúce sa prenosu

Dátové toky sa stali neoddeliteľnou súčasťou digitálnej transformácie spoločnosti a globalizácie hospodárstva. Viac než kedykoľvek predtým je rešpektovanie súkromia podmienkou stabilných, bezpečných a konkurencieschopných obchodných tokov, ako aj predpokladom mnohých foriem medzinárodnej spolupráce. Nástroje všeobecného nariadenia o ochrane údajov týkajúce sa prenosu, ktoré sú uvedené v kapitole V nariadenia, ponúkajú rôzne nástroje na riešenie rôznych scenárov prenosu a zároveň zabezpečujú, aby sa na údaje vzťahovala vysoká úroveň ochrany aj po opustení EÚ.

Od správy z roku 2020 sa požiadavky na prenosy údajov stanovené v právnych predpisoch EÚ o ochrane údajov ďalej objasnili a súbor nástrojov na prenos sa ďalej vyvíjal. Dôležité objasnenie sa týka pojmu „medzinárodný prenos“, ktorý výbor vymedzil ( 151 ) ako pojem zahŕňajúci akékoľvek poskytnutie osobných údajov prevádzkovateľom alebo sprostredkovateľom, ktorých spracúvanie podlieha všeobecnému nariadeniu o ochrane údajov, inému prevádzkovateľovi alebo sprostredkovateľovi v tretej krajine bez ohľadu na to, či sa na spracúvanie zo strany sprostredkovateľa vzťahuje všeobecné nariadenie o ochrane údajov ( 152 ). Toto usmernenie výboru bolo obzvlášť dôležité na zabezpečenie právnej istoty pre európskych prevádzkovateľov a sprostredkovateľov, pokiaľ ide o scenáre, v ktorých je potrebný nástroj týkajúci sa prenosu podľa kapitoly V všeobecného nariadenia o ochrane údajov.

Ďalšie objasnenia poskytol aj Súdny dvor vo svojom rozsudku vo veci Schrems II ( 153 ) o ochrane, ktorú musia poskytovať rôzne nástroje týkajúce sa prenosu, aby sa zabezpečilo, že nebude narušená úroveň ochrany zaručená všeobecným nariadením o ochrane údajov ( 154 ). Týmito nástrojmi sa musí najmä zabezpečiť, aby sa jednotlivcom, ktorých údaje sa prenášajú mimo EÚ, poskytla úroveň ochrany v zásade rovnocenná s úrovňou ochrany zaručenou v rámci EÚ ( 155 ). Vývozca údajov z EÚ je zodpovedný za posúdenie, či ide o tento prípad, s prihliadnutím na konkrétne okolnosti jeho prenosov ( 156 ).

Na posúdenie úrovne ochrany musia vývozcovia údajov zvážiť záruky ochrany údajov stanovené v nástroji týkajúcom sa prenosu údajov uzavretom s dovozcom údajov z krajiny mimo EÚ (napr. zmluva), ako aj príslušné aspekty právneho systému krajiny, v ktorej sa dovozca údajov nachádza, najmä pokiaľ ide o možný prístup orgánov verejnej moci v tejto krajine k údajom ( 157 ). Tieto skutočnosti sa musia posúdiť na základe kritérií posúdenia primeranosti stanovených v článku 45 všeobecného nariadenia o ochrane údajov. Súdny dvor tieto kritériá ďalej rozpracoval, najmä pokiaľ ide o pravidlá prístupu orgánov verejnej moci k osobným údajom na účely presadzovania práva a národnej bezpečnosti.

Tento výklad sa odzrkadlil aj v usmerneniach výboru, ktorý aktualizoval svoje „referenčné kritérium primeranosti“ ( 158 ) (ktorým sa poskytovali usmernenia o prvkoch, ktoré musí Komisia zohľadniť pri vykonávaní posúdenia primeranosti). Výbor prijal aj nové usmernenie, ktorým sa poskytujú ďalšie objasnenia týkajúce sa: i) prvkov, ktoré majú jednotliví vývozcovia údajov zohľadniť pri posudzovaní úrovne ochrany; ii) prehľadu potenciálnych zdrojov, ktoré možno použiť a iii) príkladov možných doplnkových opatrení (napr. zmluvných a technických záruk) ( 159 ). V usmernení sa osobitne zdôrazňuje, že každé posúdenie, ktoré vykonávajú vývozcovia údajov, je jedinečné, a preto musia zohľadniť špecifické črty každého prenosu, ktoré sa môžu líšiť v závislosti od účelu prenosu údajov, typov zúčastnených subjektov, odvetvia, v ktorom sa prenos uskutočňuje, kategórií prenášaných osobných údajov atď. ( 160 ).

Vzhľadom na tieto rôzne objasnenia požiadaviek na medzinárodné prenosy údajov sa v uplynulých rokoch podnikli významné kroky na ďalší rozvoj a vykonávanie nástrojov všeobecného nariadenia o ochrane údajov týkajúcich sa prenosu.

7.1.1Rozhodnutia o primeranosti

Ako sa odráža aj v spätnej väzbe získanej od zainteresovaných strán, kľúčovú úlohu v nástrojoch všeobecného nariadenia o ochrane údajov týkajúcich sa prenosu naďalej zohrávajú rozhodnutia o primeranosti ( 161 ), pretože poskytujú jednoduché a komplexné riešenie pre prenosy údajov bez toho, aby vývozca údajov musel poskytovať ďalšie záruky alebo získavať akékoľvek povolenie. Zabezpečením voľného toku osobných údajov sa týmito rozhodnutiami otvorili obchodné kanály pre prevádzkovateľov z EÚ, a to aj doplnením a rozšírením výhod obchodných dohôd, a uľahčila sa spolupráca so zahraničnými partnermi v širokej škále oblastí, od regulačnej spolupráce až po výskum.

Od vydania správy z roku 2020 sa počet krajín, ktoré zaviedli moderné zákony o ochrane údajov, v ktorých sa okrem iného stanovujú kľúčové zásady ochrany údajov, individuálne práva a účinné presadzovanie zo strany nezávislých regulačných orgánov, naďalej zvyšuje. Tento trend ( 162 ) takisto umožnil Komisii zintenzívniť svoju prácu v oblasti primeranosti. Patrí sem aj prijatie rozhodnutia o primeranosti týkajúce sa Spojeného kráľovstva ( 163 ), ktoré je kľúčové pre zabezpečenie riadneho fungovania rôznych dohôd uzavretých so Spojeným kráľovstvom po brexite. S cieľom zabezpečiť, aby bolo rozhodnutie o primeranosti odolné aj v budúcnosti, obsahuje „doložku o zániku“, ktorej platnosť sa skončí v roku 2025 a môže sa následne obnoviť, ak bude úroveň ochrany naďalej primeraná. Komisia prijala aj rozhodnutie o primeranosti týkajúce sa Kórejskej republiky ( 164 ), ktoré dopĺňa dohodu o voľnom obchode medzi EÚ a Kóreou o toku osobných údajov a uľahčuje regulačnú spoluprácu. Prvé preskúmanie rozhodnutia o primeranosti sa plánuje na koniec roka 2024.

Okrem toho po zrušení rozhodnutia o primeranosti štítu na ochranu súkromia medzi EÚ a USA Komisia začala rokovania s vládou Spojených štátov (USA) s cieľom vypracovať následnú dohodu v súlade s požiadavkami, ako ich objasnil Súdny dvor ( 165 ). Prezident USA prijal nový výkonný príkaz „Zlepšenie záruk pre činnosti spravodajských služieb Spojených štátov v oblasti signálov“, ktorým sa zaviedli nové záväzné a vynútiteľné záruky s cieľom zabezpečiť, aby sa k údajom mohlo pristupovať na účely národnej bezpečnosti len v nevyhnutnom a primeranom rozsahu a aby Európania mali k dispozícii účinné opravné prostriedky. Na základe toho Komisia prijala rozhodnutie o primeranosti rámca EÚ – USA na ochranu osobných údajov (DPF) ( 166 ), ktoré umožňuje voľný tok osobných údajov z EÚ do amerických spoločností, ktoré sa k DPF pripojili. Keďže záruky zavedené vládou USA v oblasti národnej bezpečnosti sa vzťahujú na všetky prenosy údajov do spoločností v USA bez ohľadu na použitý mechanizmus prenosu podľa všeobecného nariadenia o ochrane údajov, výrazne sa uľahčilo používanie iných nástrojov, ako sú štandardné zmluvné doložky a záväzné vnútropodnikové pravidlá. Prvé preskúmanie fungovania DPF sa uskutoční v lete 2024 s cieľom overiť, či boli všetky relevantné prvky v plnej miere zahrnuté do právneho rámca USA a či účinne fungujú v praxi.

V súčasnosti prebiehajú rokovania o primeranosti s Brazíliou a Keňou, ako aj po prvýkrát s niekoľkými medzinárodnými organizáciami (rokovania o primeranosti sú napríklad v pokročilom štádiu s Európskou patentovou organizáciou) ( 167 ). Okrem iného aj v súlade s výzvami rôznych zainteresovaných strán ( 168 ) sa Komisia aktívne zapojila do prieskumných rokovaní s krajinami v rôznych regiónoch sveta.

Komisia takisto neustále monitoruje vývoj v krajinách, ktoré už využívajú zistenia o primeranosti, a pravidelne prehodnocuje existujúce rozhodnutia v súlade so svojimi príslušnými povinnosťami podľa všeobecného nariadenia o ochrane údajov ( 169 ). V apríli 2023 Komisia prijala správu o prvom pravidelnom preskúmaní rozhodnutia o primeranosti týkajúceho sa Japonska ( 170 ), v ktorej dospela k záveru, že Japonsko naďalej zabezpečuje primeranú úroveň ochrany ( 171 ). V rámci preskúmania sa ukázalo, že rámce EÚ a Japonska pre ochranu údajov sa od prijatia rozhodnutí o vzájomnej primeranosti ďalej zbližovali.

Okrem toho sa v súlade s článkom 97 všeobecného nariadenia o ochrane údajov začalo prvé preskúmanie 11 rozhodnutí o primeranosti ( 172 ) prijatých podľa predchádzajúceho rámca EÚ pre ochranu údajov (smernica o ochrane údajov) v rámci hodnotenia uplatňovania a fungovania všeobecného nariadenia o ochrane údajov v roku 2020. Ukončenie tohto aspektu preskúmania bolo odložené, najmä s cieľom zohľadniť rozsudok Súdneho dvora vo veci Schrems II a následný výklad výboru. Uvedené objasnenia Súdneho dvora týkajúce sa kľúčových prvkov normy primeranosti viedli k podrobnej výmene informácií s dotknutými krajinami a územiami o príslušných aspektoch ich právneho rámca, ako aj o mechanizmoch dohľadu a presadzovania.

Komisia 15. januára 2024 uverejnila svoju správu o týchto 11 rozhodnutiach spolu s podrobnými správami o jednotlivých krajinách, v ktorých opisuje vývoj v každej z týchto krajín a území od prijatia rozhodnutí o primeranosti, ako aj pravidlá, ktoré sa uplatňujú na prístup verejných orgánov k údajom, najmä na účely presadzovania práva a národnej bezpečnosti ( 173 ). V správe sa konštatuje, že všetkých 11 krajín a území naďalej poskytuje primeranú úroveň ochrany osobných údajov prenášaných z EÚ. Reflektuje sa v nej skutočnosť, že všetky dotknuté krajiny a územia rôznym spôsobom modernizovali a posilnili svoj právny rámec ochrany súkromia. Okrem toho sa v záujme riešenia príslušných rozdielov v úrovni ochrany s niektorými krajinami a územiami rokovalo o dodatočných zárukách v prípade osobných údajov prenášaných z Európy, ak to bolo potrebné na zabezpečenie kontinuity rozhodnutia o primeranosti, a na týchto dodatočných zárukách sa dohodlo.

Tieto preskúmania takisto ukazujú, že rozhodnutia o primeranosti nie sú „koncovým bodom“, ale položili základ pre užšiu spoluprácu a ďalšie zbližovanie právnych predpisov medzi EÚ a týmito podobne zmýšľajúcimi partnermi. Napríklad v správe o prvom preskúmaní rozhodnutia o primeranosti týkajúceho sa Japonska sa uznáva, že ďalšie posilnenie japonského rámca ochrany údajov môže pripraviť pôdu na rozšírenie rozhodnutia o primeranosti nad rámec obchodných výmen, aby sa vzťahovalo na prenosy, ktoré sú v súčasnosti vylúčené z jeho rozsahu pôsobnosti, napríklad v oblasti regulačnej spolupráce a výskumu. Rozhovory o možnom rozšírení prebiehajú. Rozhodnutia o primeranosti sa vo všeobecnosti stali strategickou súčasťou celkových vzťahov EÚ s týmito zahraničnými partnermi a sú považované za hlavný faktor prehlbovania spolupráce v mnohých oblastiach.

Rastúca sieť krajín a území, v súvislosti s ktorými EÚ prijala rozhodnutie o primeranosti, predstavuje nielen silný základ pre intenzívnejšiu dvojstrannú spoluprácu, ale aj nové príležitosti na maximalizáciu výhod bezpečných a voľných tokov údajov a na užšiu spoluprácu medzi podobne zmýšľajúcimi partnermi pri presadzovaní pravidiel ochrany údajov. Komisia preto v marci 2024 zorganizovala vôbec prvé stretnutie na vysokej úrovni o bezpečných tokoch údajov, na ktorom sa zišli zodpovední ministri a vedúci orgánov pre ochranu osobných údajov z 15 krajín a území, v súvislosti s ktorými EÚ prijala rozhodnutie o primeranosti, ako aj predseda Európskeho výboru pre ochranu údajov ( 174 ). Na stretnutí bolo stanovených niekoľko konkrétnych akčných bodov, na ktorých sa v rámci tejto skupiny pracuje.

Všeobecnejšie povedané, vďaka svojmu „sieťovému účinku“ sú rozhodnutia o primeranosti prijaté Európskou komisiou čoraz relevantnejšie aj mimo EÚ, keďže umožňujú nielen voľný tok údajov s 30 hospodárstvami EHP, ale aj s mnohými ďalšími jurisdikciami na celom svete uznávajúcimi krajiny, ktoré sú v existujúcich rozhodnutiach o primeranosti EÚ označené ako „bezpečné destinácie“ podľa ich vlastných pravidiel ochrany údajov ( 175 ).

7.1.2Nástroje zabezpečujúce primerané záruky

Od správy z roku 2020 boli vyvinuté ďalšie nástroje, ktoré poskytujú vhodné záruky, a boli vydané praktické usmernenia na uľahčenie ich používania.

Ako bolo oznámené v správe z roku 2020, Komisia prijala modernizované štandardné zmluvné doložky ( 176 ), ktoré boli vypracované na základe rozsiahlej spätnej väzby od rôznych zainteresovaných strán ( 177 ). Nové štandardné zmluvné doložky nahradili tri súbory štandardných zmluvných doložiek, ktoré boli prijaté na základe smernice o ochrane údajov. Medzi hlavné inovácie patria: i) aktualizované ochranné opatrenia v súlade so všeobecným nariadením o ochrane údajov; ii) modulárny prístup, ktorý ponúka jediný vstupný bod pokrývajúci širokú škálu scenárov prenosu; iii) väčšia flexibilita pri používaní štandardných zmluvných doložiek viacerými stranami a iv) praktický súbor nástrojov na dodržanie súladu s rozsudkom vo veci Schrems II.

Zainteresované strany modernizované štandardné zmluvné doložky privítali a získaná spätná väzba potvrdzuje, že štandardné zmluvné doložky zostávajú zďaleka najpoužívanejším nástrojom na prenosy údajov zo strany vývozcov údajov z EÚ ( 178 ). S cieľom pomôcť vývozcom údajov pri ich úsilí o dosiahnutie súladu Komisia vypracovala otázky a odpovede, ktoré poskytujú ďalšie usmernenia k používaniu doložiek ( 179 ) a ktoré budú ďalej aktualizované, ak sa objavia nové otázky, a to aj na základe ďalšej spätnej väzby získanej v rámci tohto hodnotenia.

Mnohí vývozcovia údajov uvádzajú, že majú ťažkosti s vykonávaním „posúdení vplyvu prenosu“, ktoré sa vyžadujú v rozsudku vo veci Schrems II, pričom poukazujú najmä na ich zložitosť, ako aj na náklady a čas potrebný na ich vykonanie ( 180 ). Vítajú usmernenie výboru a štandardné zmluvné doložky, požadujú však ďalšie usmernenia (napr. o zodpovednosti zúčastnených strán a úrovni podrobnosti požadovanej pri posudzovaní vplyvu prevodu) a ďalšie nástroje na pomoc pri vykonávaní takýchto posúdení (napr. šablóny, všeobecné posúdenia krajín, katalógy rizík). Hoci zainteresované strany poskytli takúto spätnú väzbu najmä k štandardným zmluvným doložkám, rovnaké posúdenia sa vyžadujú aj v prípade iných nástrojov týkajúcich sa prenosu (ako sú záväzné vnútropodnikové pravidlá). Preto je dôležité, aby výbor na základe skúseností s uplatňovaním požiadaviek uvedených v rozsudku vo veci Schrems II v uplynulých rokoch, a to aj v rámci činností vnútroštátnych orgánov pre ochranu osobných údajov v oblasti presadzovania práva, zvážil preskúmanie spôsobov/nástrojov, ako ďalej pomáhať vývozcom údajov v ich úsilí o dodržiavanie predpisov v tejto súvislosti.

Ako doplnok k existujúcim štandardným zmluvným doložkám Komisia pripravuje ďalšie súbory doložiek, aby vývozcom údajov z EÚ poskytla komplexný a ucelený balík. To bude zahŕňať štandardné zmluvné doložky podľa nariadenia (EÚ) 2018/1725 pre prenosy údajov inštitúciami a orgánmi EÚ komerčným prevádzkovateľom v tretích krajinách ( 181 ) a štandardné zmluvné doložky pre prenosy údajov dovozcom údajov z tretích krajín, ktorých spracovateľské operácie priamo podliehajú všeobecnému nariadeniu o ochrane údajov. Týmito doložkami sa reaguje na výzvu zainteresovaných strán, aby sa osobitne vzťahovali na scenáre, keď dovozca údajov spadá do územnej pôsobnosti všeobecného nariadenia o ochrane údajov (napríklad preto, že príslušné spracúvanie je zamerané na trh EÚ v súlade s článkom 3 ods. 2 všeobecného nariadenia o ochrane údajov) ( 182 ). Ako objasnil výbor, nástroj týkajúci sa prenosu podľa kapitoly V všeobecného nariadenia o ochrane údajov sa vyžaduje aj v tomto prípade, a to z dôvodu zvýšených rizík v prípade osobných údajov spracúvaných mimo EÚ, napríklad z dôvodu možných konfliktných vnútroštátnych právnych predpisov alebo neprimeraného prístupu vlády v tretej krajine ( 183 ). Nové štandardné zmluvné doložky, ktoré pripravuje Komisia, budú osobitne venované týmto scenárom a plne sa v nich zohľadnia požiadavky, ktoré sa už priamo vzťahujú na týchto prevádzkovateľov a sprostredkovateľov podľa všeobecného nariadenia o ochrane údajov ( 184 ).

Ako uznávajú aj rôzne typy zainteresovaných strán ( 185 ), vzorové doložky zohrávajú čoraz dôležitejšiu úlohu pri uľahčovaní tokov údajov na celom svete. Niekoľko jurisdikcií schválilo štandardné zmluvné doložky EÚ ako mechanizmus prenosu v rámci svojich vlastných právnych predpisov o ochrane údajov s obmedzenými formálnymi úpravami svojho vnútroštátneho právneho poriadku ( 186 ). Viaceré ďalšie krajiny prijali vlastné vzorové doložky, ktoré majú dôležité spoločné črty so štandardnými zmluvnými doložkami EÚ ( 187 ). Obzvlášť dôležitým príkladom je vytvorenie vzorových doložiek inými medzinárodnými/regionálnymi organizáciami alebo sieťami, ako sú Konzultačný výbor Rady Európy pre Dohovor č. 108, Iberoamerická sieť na ochranu údajov a Združenie národov juhovýchodnej Ázie (ASEAN) ( 188 ). Otvárajú sa tak nové možnosti na uľahčenie tokov údajov medzi rôznymi regiónmi sveta na základe vzorových doložiek. Konkrétnym príkladom je príručka EÚ – ASEAN o vzorových doložkách EÚ a ASEAN, ktorá na základe podnetov od spoločností pomáha pri ich úsilí o dosiahnutie súladu s oboma súbormi doložiek ( 189 ).

Okrem štandardných zmluvných doložiek sa na toky údajov medzi členmi skupín podnikov alebo medzi podnikmi vykonávajúcimi spoločnú hospodársku činnosť naďalej široko používajú záväzné vnútropodnikové pravidlá. Odkedy sa uplatňuje všeobecné nariadenie o ochrane údajov, výbor prijal 80 kladných stanovísk k vnútroštátnym rozhodnutiam o schválení záväzných vnútropodnikových pravidiel ( 190 ). Výbor vydal aj usmernenie k prvkom, ktoré majú byť zahrnuté do záväzných vnútropodnikových pravidiel pre prevádzkovateľov (a k informáciám, ktoré sa majú poskytnúť ako súčasť žiadosti o záväzné vnútropodnikové pravidlo), ktoré bolo aktualizované tak, aby sa v ňom zohľadňovali požiadavky všeobecného nariadenia o ochrane údajov a rozsudok vo veci Schrems II ( 191 ). Pripravuje sa aj aktualizované usmernenie k záväzným vnútropodnikovým pravidlám pre sprostredkovateľov ( 192 ). Keďže cieľom záväzných vnútropodnikových pravidiel je zaviesť v spoločnostiach záväzné politiky/programy ochrany údajov, mnohé zainteresované strany ich považujú za mimoriadne užitočný nástroj dodržiavania predpisov a dôveryhodný nástroj týkajúci sa prenosu ( 193 ). Zainteresované strany zároveň naďalej uvádzajú, že širšiemu využívaniu záväzných vnútropodnikových pravidiel bráni dĺžka a zložitosť schvaľovacieho procesu zo strany vnútroštátnych orgánov pre ochranu osobných údajov. Preto je dôležité, aby orgány naďalej pracovali na zefektívnení a skrátení schvaľovacieho procesu.

Od správy z roku 2020 boli takisto prijaté opatrenia na uľahčenie používania certifikácie a kódexov správania ako nástrojov týkajúcich sa prevodov, napr. prijatím osobitných usmernení o oboch nástrojoch výborom ( 194 ). Zainteresované strany zároveň uvádzajú rovnaké problémy týkajúce sa časového harmonogramu a zložitosti schvaľovacieho procesu ako tie, ktoré už boli uvedené v súvislosti s certifikáciou a kódexmi správania ako nástrojmi zodpovednosti.

Napokon sa vo všeobecnom nariadení o ochrane údajov stanovujú aj osobitné nástroje – medzinárodné dohody a administratívne opatrenia schválené orgánmi pre ochranu osobných údajov – ktoré môžu orgány verejnej moci využívať na prenos osobných údajov svojim partnerom v tretích krajinách alebo medzinárodným organizáciám. Výbor prijal usmernenia o zárukách, ktoré by mali byť zahrnuté do takýchto nástrojov ( 195 ), ktorými sa môžu podporiť rokovania o takýchto dohodách a opatreniach.

7.1.3Zabezpečenie komplementarity s ostatnými politikami

Keďže toky údajov sa stali nevyhnutnými pre mnohé činnosti, je kľúčové zabezpečiť, aby sa politiky ochrany údajov a ostatné politiky navzájom dopĺňali. Zahrnutie záruk ochrany údajov do medzinárodných nástrojov je často nielen predpokladom pre toky údajov, ale aj dôležitým faktorom pre stabilnú a dôveryhodnú spoluprácu.

Napríklad medzinárodné dohody, ktorými sa poskytujú potrebné záruky ochrany údajov vrátane zabezpečenia kontinuity ochrany na strane žiadajúceho orgánu, sú nevyhnutné na zabezpečenie súladu a uľahčenie cezhraničného prístupu orgánov presadzovania práva k elektronickým dôkazom v držbe spoločností, a tým aj účinnejšieho boja proti trestnej činnosti. Tento prístup sa premieta v druhom Dodatkovom protokole k Dohovoru o počítačovej kriminalite ( 196 ), ktorým sa posilňujú existujúce pravidlá na získanie cezhraničného prístupu k elektronickým dôkazom pri vyšetrovaní trestných činov a zároveň sa zabezpečujú primerané záruky ochrany údajov. Protokol medzitým podpísalo niekoľko členských štátov EÚ. Podobne pokračujú dvojstranné rokovania medzi EÚ a USA o dohode o cezhraničnom prístupe k elektronickým dôkazom na účely spolupráce v trestných veciach ( 197 ).

Ďalšou oblasťou bezpečnostnej politiky EÚ, ktorá profituje z rozvoja silných záruk ochrany údajov, je výmena údajov zo záznamov o cestujúcich (PNR). EÚ a Kanada ukončili v roku 2023 rokovania o novej dohode o PNR v súlade s požiadavkami stanovenými Súdnym dvorom v jeho stanovisku 1/15 ( 198 ). Podobné záruky boli zavedené v kapitole o PNR v Dohode o obchode a spolupráci medzi EÚ a Spojeným kráľovstvom. Zahrnutie posilnenej ochrany súkromia do týchto dohôd, ktoré môžu slúžiť ako vzor pre budúce dohody s inými partnermi, prináša leteckým dopravcom právnu istotu a zároveň zabezpečuje stabilitu dôležitej výmeny informácií na účely boja proti terorizmu a iným závažným medzinárodným trestným činom.

Komisia je aj zástancom prísnych ustanovení na ochranu súkromia a podporu digitálneho obchodu vo Svetovej obchodnej organizácii v rámci prebiehajúcich rokovaní o iniciatíve spoločného vyhlásenia o elektronickom obchode. Podobné ustanovenia o boji proti neodôvodneným prekážkam digitálneho obchodu a zároveň o ochrane potrebného politického priestoru zmluvných strán v oblasti ochrany údajov boli dôsledne zahrnuté do dohôd o voľnom obchode, ktoré EÚ uzavrela po nadobudnutí účinnosti všeobecného nariadenia o ochrane údajov, najmä do Dohody o obchode a spolupráci medzi EÚ a Spojeným kráľovstvom a do dohôd s Čile, Japonskom a Novým Zélandom. O ustanoveniach týkajúcich sa ochrany súkromia a tokov údajov sa diskutuje aj v rámci prebiehajúcich rokovaní o digitálnom obchode so Singapurom a Južnou Kóreou.

7.2Medzinárodná spolupráca v oblasti ochrany údajov

7.2.1Dvojstranný rozmer

Komisia pokračovala v dialógu s krajinami a medzinárodnými organizáciami o vývoji, reforme a vykonávaní pravidiel ochrany súkromia, a to aj predkladaním návrhov na verejné konzultácie o návrhoch právnych predpisov alebo regulačných opatrení v oblasti ochrany súkromia ( 199 ), svedectiev pred príslušnými parlamentnými orgánmi ( 200 ) a účasti na osobitných stretnutiach so zástupcami vlád, parlamentnými delegáciami a regulačnými orgánmi z mnohých regiónov sveta ( 201 ). Viaceré z týchto činností sa uskutočnili v rámci projektu „Zvýšená ochrana údajov a toky údajov“ financovaného EÚ, ktorým sa podporujú krajiny, ktoré chcú vytvoriť moderné rámce ochrany údajov alebo posilniť kapacity svojich regulačných orgánov prostredníctvom odbornej prípravy, výmeny vedomostí, budovania kapacít a výmeny najlepších postupov. Komisia prispela aj k ďalším iniciatívam, ako je Digitálna aliancia EÚ – CELAC.

Ochrana údajov bude aj naďalej zohrávať kľúčovú úlohu v práci Komisie súvisiacej s rozšírením. Právne predpisy EÚ o ochrane údajov sú dôležitou súčasťou celkového úsilia krajín zapojených do procesu rozširovania zosúladiť svoje právne rámce s právnymi rámcami EÚ (najmä preto, že spracúvanie a výmena osobných údajov sú základom mnohých politík). Nezávislosť a riadne fungovanie orgánu pre ochranu osobných údajov je navyše kľúčovým prvkom celkovej kontroly a rovnováhy a právneho štátu a bude čoraz dôležitejšia, keďže EÚ postupne integruje krajiny zapojené do procesu rozširovania do jednotného trhu (ako sa predpokladá v iniciatívach, ako je plán rastu pre západný Balkán).

Čoraz dôležitejším aspektom dialógu EÚ s tretími krajinami sú výmeny medzi regulačnými orgánmi. Ako bolo oznámené v správe z roku 2020, Komisia vytvorila „Akadémiu ochrany údajov“ s cieľom podporiť výmeny medzi orgánmi EÚ a tretích krajín v oblasti ochrany údajov, a tým prispieť k budovaniu kapacít a zlepšiť spoluprácu „v praxi“. Akadémia ponúka odbornú prípravu šitú na mieru na žiadosť orgánov tretích krajín a spája odborné znalosti zástupcov orgánov presadzovania práva, akademickej obce, súkromného sektora a európskych inštitúcií. Pridaná hodnota odbornej prípravy spočíva v prispôsobení jednotlivých zložiek záujmom a potrebám žiadajúceho orgánu. Táto odborná príprava navyše umožňuje orgánom pre ochranu osobných údajov v EÚ a tretích krajinách nadviazať kontakty, vymieňať si vedomosti, skúsenosti a najlepšie postupy a identifikovať potenciálne oblasti spolupráce. Akadémia doteraz poskytla odbornú prípravu orgánom pre ochranu osobných údajov v Brazílii, Indonézii, Keni, Nigérii a Rwande a v súčasnosti pripravuje odbornú prípravu pre niekoľko ďalších krajín.

Okrem dôležitosti udržiavania dialógu medzi regulačnými orgánmi je čoraz viac potrebné, ako sa uznáva aj v spätnej väzbe získanej od Rady a výboru ( 202 ), vypracovať vhodné právne nástroje pre užšie formy spolupráce a vzájomnej pomoci vrátane umožnenia potrebnej výmeny informácií v súvislosti s vyšetrovaniami. Keďže porušenia ochrany súkromia majú čoraz častejšie cezhraničné účinky, často ich možno účinne vyšetriť a riešiť len v rámci spolupráce medzi regulačnými orgánmi EÚ a mimo nej. Komisia preto požiada o povolenie začať rokovania o uzavretí dohôd o spolupráci pri presadzovaní práva s príslušnými tretími krajinami (ako sa stanovuje aj v článku 50 všeobecného nariadenia o ochrane údajov). Komisia v tejto súvislosti berie na vedomie požiadavku výboru, aby sa ako potenciálne partnerské krajiny osobitne zvážili krajiny, na ktoré sa priamo vzťahuje všeobecné nariadenie o ochrane údajov, najmä krajiny G7 a/alebo krajiny, ktoré využívajú rozhodnutia o primeranosti ( 203 ).

Zavedenie takýchto dohôd o spolupráci a vzájomnej pomoci pri presadzovaní práva by takisto pomohlo zabezpečiť dodržiavanie a účinné presadzovanie práva voči zahraničným prevádzkovateľom, na ktorých sa vzťahuje všeobecné nariadenie o ochrane údajov, napríklad preto, že sa ponukou tovaru alebo služieb zameriavajú konkrétne na trh EÚ. Rada poukazuje na dôležitosť presadzovania dodržiavania všeobecného nariadenia o ochrane údajov v takýchto prípadoch a vyjadruje obavy o rovnaké podmienky pre subjekty v EÚ, ako aj o účinnú ochranu práv jednotlivcov ( 204 ). Komisia súhlasí s výzvou Rady, aby preskúmala rôzne spôsoby, ako uľahčiť presadzovanie v tomto scenári. Hoci dôležitú úlohu by určite mohli zohrávať formálnejšie podoby spolupráce s regulačnými orgánmi tretích krajín, mali by sa intenzívnejšie využívať aj iné, už existujúce možnosti. To zahŕňa plné využitie súboru nástrojov na presadzovanie práva podľa článku 58 všeobecného nariadenia o ochrane údajov a zapojenie zástupcov zahraničných spoločností v EÚ (vymenovaných v súlade s článkom 27 všeobecného nariadenia o ochrane údajov).

7.2.2Mnohostranný rozmer

Komisia sa aj naďalej aktívne zúčastňuje na mnohých medzinárodných fórach na podporu spoločných hodnôt a budovanie konvergencie na regionálnej a globálnej úrovni.

Patrí sem napríklad aktívne prispievanie k práci Konzultačného výboru pre Dohovor o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (Dohovor 108), ktorý je jediným právne záväzným multilaterálnym nástrojom v oblasti ochrany osobných údajov. Pozmeňovací protokol na modernizáciu Dohovoru 108 ( 205 ) doteraz ratifikovalo 31 štátov vrátane mnohých členských štátov EÚ, ako aj niektorých štátov, ktoré nie sú členmi Rady Európy (Argentína, Maurícius a Uruguaj). Spomedzi členských štátov EÚ ešte stále nie je pod dohovor podpísaný len jeden členský štát ( 206 ), zatiaľ čo osem členských štátov ( 207 ) modernizovaný dohovor podpísalo, ale neratifikovalo. Komisia nalieha na jeden zostávajúci členský štát, aby podpísal modernizovaný dohovor, a ostatné členské štáty, aby urýchlene pristúpili k ratifikácii s cieľom umožniť nadobudnutie platnosti v blízkej budúcnosti. Okrem toho naďalej aktívne podporuje pristúpenie tretích krajín.

Na úrovni G20 a G7 sa diskusie o ochrane súkromia a tokoch údajov zameriavajú na operacionalizáciu koncepcie „dôveryhodného voľného toku údajov“, ktorú pôvodne navrhlo Japonsko a v ktorej sa uznáva, že ochrana a bezpečnosť údajov môže prispieť k dôvere v digitálne hospodárstvo a uľahčiť toky údajov ( 208 ). Obzvlášť dôležitú úlohu v tejto súvislosti zohráva OECD, a to tým, že poskytuje fórum pre odbornú komunitu zaoberajúcu sa dôveryhodným voľným tokom údajov, v rámci ktorej sa združuje široká škála zainteresovaných strán (vlády, regulačné orgány, priemysel, občianska spoločnosť, akademická obec), aby poskytli informácie o konkrétnych projektoch a otázkach týkajúcich sa dôveryhodného voľného toku údajov. Významným výsledkom iniciatívy týkajúcej sa dôveryhodného voľného toku údajov, ku ktorej Komisia významne prispela, je navyše prijatie Deklarácie OECD o vládnom prístupe k osobným údajom v držbe subjektov súkromného sektora, ktorá je prvým medzinárodným nástrojom v tejto oblasti. Obsahuje súbor spoločných požiadaviek na ochranu súkromia pri prístupe k osobným údajom na účely národnej bezpečnosti a presadzovania práva. V súvislosti s rastúcim celosvetovým uznaním, že dôveru v prenosy údajov negatívne ovplyvňuje neprimeraný prístup vlád, je toto vyhlásenie dôležitým príspevkom k uľahčeniu dôveryhodných tokov údajov. Komisia bude naďalej vyzývať krajiny, aby sa pripojili k vyhláseniu, ktoré je otvorené aj pre nečlenské krajiny OECD.

Komisia spolupracuje aj s rôznymi regionálnymi organizáciami a sieťami, ktoré vytvárajú spoločné záruky ochrany údajov. Týka sa to napríklad združenia ASEAN, Africkej únie, fóra ázijsko-tichomorských orgánov na ochranu osobných údajov, iberoamerickej siete na ochranu údajov a siete afrických orgánov na ochranu údajov (NADPA – RADPD). Konkrétnym príkladom takejto plodnej spolupráce je vypracovanie uvedenej príručky EÚ – ASEAN o vzorových doložkách.

Komisia napokon vedie dialóg s rôznymi medzinárodnými organizáciami, a to aj s cieľom preskúmať spôsoby ďalšieho uľahčenia tokov údajov medzi EÚ a týmito organizáciami. Keďže mnohé organizácie v posledných rokoch modernizovali alebo modernizujú svoje rámce ochrany údajov, vznikajú aj nové príležitosti na výmenu skúseností a najlepších postupov. V tejto súvislosti sa ako mimoriadne užitočné fóra na výmenu a preskúmanie konkrétnych nástrojov spolupráce vrátane výmeny osobných údajov ukázali každoročné semináre s medzinárodnými organizáciami a špecializovaná pracovná skupina pre medzinárodné prenosy údajov, ktoré organizuje európsky dozorný úradník pre ochranu údajov ( 209 ).

8Záver

Za šesť rokov uplatňovania všeobecného nariadenia o ochrane údajov sa ním posilnilo postavenie ľudí, keďže vďaka nemu majú skutočnú kontrolu nad svojimi údajmi. Takisto pomohlo vytvoriť rovnaké podmienky pre podniky a poskytlo pilier pre celý rad iniciatív, ktoré sú hnacou silou digitálnej transformácie v EÚ.

Úplné dosiahnutie dvojitého cieľa všeobecného nariadenia o ochrane údajov, a to konkrétne silnej ochrany jednotlivcov popri zabezpečení voľného toku osobných údajov v rámci EÚ a bezpečných tokov údajov mimo EÚ, si vyžaduje zameranie na:

·dôsledné presadzovanie všeobecného nariadenia o ochrane údajov, počnúc rýchlym prijatím návrhu Komisie o procesných pravidlách v záujme zabezpečenia rýchlej nápravy a právnej istoty v prípadoch týkajúcich sa jednotlivcov v celej EÚ,

·proaktívnu podporu zo strany orgánov pre ochranu osobných údajov zainteresovaným stranám v ich úsilí o dodržiavanie predpisov, najmä MSP a malým hospodárskym subjektom,

·jednotný výklad a uplatňovanie všeobecného nariadenia o ochrane údajov v celej EÚ,

·účinnú spoluprácu medzi regulačnými orgánmi na vnútroštátnej úrovni aj na úrovni EÚ s cieľom zaručiť konzistentné a súdržné uplatňovanie rastúceho súboru digitálnych pravidiel EÚ,

·ďalší pokrok v medzinárodnej stratégii Komisie v oblasti ochrany údajov.

Na podporu účinného uplatňovania všeobecného nariadenia o ochrane údajov a v záujme získavania podnetov pre ďalšie úvahy o ochrane údajov treba uskutočniť viacero opatrení identifikovaných v tejto správe. Komisia bude podporovať a monitorovať ich vykonávanie aj vzhľadom na ďalšiu správu v roku 2028.

Rozvoj účinných štruktúr spolupráce

Európsky parlament a Rada sa vyzývajú, aby urýchlene prijali návrh procesných pravidiel v súvislosti so všeobecným nariadením o ochrane údajov.

Výbor a orgány pre ochranu osobných údajov sa vyzývajú, aby:

-nadviazali pravidelnú spoluprácu s ostatnými odvetvovými regulačnými orgánmi v súvislosti s problémami, ktoré majú vplyv na ochranu údajov, najmä s tými, ktoré boli zriadené na základe nových digitálnych právnych predpisov EÚ, a aktívne sa zúčastňovali na štruktúrach na úrovni EÚ, ktorých cieľom je uľahčiť spoluprácu medzi regulačnými orgánmi,

-vo väčšej miere využívali nástroje spolupráce stanovené vo všeobecnom nariadení o ochrane údajov s cieľom zabezpečiť využívanie urovnávania sporov len ako krajnej možnosti;

-zaviedli účinnejšie a cielenejšie pracovné opatrenia pre usmernenia, stanoviská a rozhodnutia a stanovili priority pre kľúčové problémy s cieľom znížiť zaťaženie orgánov pre ochranu osobných údajov a rýchlejšie reagovať na vývoj na trhu.

Členské štáty musia:

-zabezpečiť účinnú a úplnú nezávislosť vnútroštátnych orgánov pre ochranu osobných údajov,

-prideliť orgánom pre ochranu osobných údajov dostatočné zdroje, aby mohli plniť svoje úlohy, najmä tým, že im poskytnú technické zdroje a odborné znalosti potrebné na zaobchádzanie s novými technológiami a plnenie nových povinností podľa digitálnych právnych predpisov,

-vybaviť orgány pre ochranu osobných údajov vyšetrovacími nástrojmi potrebnými na účinné využívanie právomocí na presadzovanie práva, ktoré sú poskytnuté vo všeobecnom nariadení o ochrane údajov,

-podporovať dialóg medzi orgánmi pre ochranu osobných údajov a ostatnými vnútroštátnymi regulačnými orgánmi, najmä tými, ktoré boli zriadené na základe nových digitálnych právnych predpisov.

Komisia bude:

-aktívne podporovať rýchle prijatie návrhu procesných pravidiel súvisiacich so všeobecným nariadením o ochrane údajov spoluzákonodarcami,

-naďalej pozorne monitorovať účinnú a úplnú nezávislosť vnútroštátnych orgánov pre ochranu osobných údajov,

-na základe skúseností vytvárať synergie a súlad medzi všeobecným nariadením o ochrane údajov a všetkými právnymi predpismi, ktoré sa týkajú spracúvania osobných údajov, a v prípade potreby prijme vhodné opatrenia na zabezpečenie právnej istoty,

-zvažovať, ako lepšie riešiť potrebu štruktúrovanej a účinnej spolupráce medzi regulačnými orgánmi s cieľom zaručiť účinné, konzistentné a súdržné uplatňovanie digitálnych pravidiel EÚ, pričom bude rešpektovať právomoci orgánov pre ochranu osobných údajov vo všetkých otázkach týkajúcich sa spracovania osobných údajov.

Vykonávanie a dopĺňanie právneho rámca

Členské štáty musia:

-zabezpečiť včasné konzultácie s orgánmi pre ochranu osobných údajov pred prijatím právnych predpisov o spracúvaní osobných údajov.

Komisia bude:

-naďalej využívať všetky nástroje, ktoré má k dispozícii, vrátane postupov v prípade nesplnenia povinnosti, s cieľom zabezpečiť, aby členské štáty dodržiavali všeobecné nariadenie o ochrane údajov,

-naďalej podporovať výmenu názorov a vnútroštátnych postupov medzi členskými štátmi, a to aj prostredníctvom expertnej skupiny členských štátov zaoberajúcej sa všeobecným nariadením o ochrane údajov,

-presadzovať opatrenia na zabezpečenie ochrany, posilnenia postavenia a rešpektovania detí na internete,

-zvažovať možné ďalšie kroky týkajúce sa návrhu nariadenia o súkromí a elektronických komunikáciách vrátane jeho vzťahu k všeobecnému nariadeniu o ochrane údajov.

Podpora zainteresovaných strán

Výbor a orgány pre ochranu osobných údajov sa vyzývajú, aby:

-viedli konštruktívny dialóg s prevádzkovateľmi a sprostredkovateľmi o dodržiavaní všeobecného nariadenia o ochrane údajov,

-ďalej zintenzívnili úsilie na podporu dodržiavania predpisov zo strany MSP poskytovaním usmernení a nástrojov šitých na mieru, rozptýlením akýchkoľvek neopodstatnených obáv MSP, ktorých hlavnou činnosťou nie je spracúvanie osobných údajov, a sprevádzali ich v ich úsilí o dodržiavanie predpisov,

-podporovali zavádzanie účinných opatrení na zabezpečenie súladu zo strany podnikov, ako je certifikácia a kódexy správania (vrátane nástrojov týkajúcich sa prenosov), a to zapojením zainteresovaných strán počas schvaľovacieho procesu, poskytovaním jasných harmonogramov pre schvaľovanie a, ako sa zaviazali v stratégii výboru na roky 2024 – 2027, vysvetľovaním kľúčovým skupinám zainteresovaných strán, ako možno tieto nástroje používať,

-zabezpečili súlad vnútroštátnych usmernení a uplatňovania všeobecného nariadenia o ochrane údajov na vnútroštátnej úrovni s usmerneniami výboru a judikatúrou Súdneho dvora,

-riešili rozdielne výklady všeobecného nariadenia o ochrane údajov medzi orgánmi pre ochranu osobných údajov, a to aj medzi orgánmi v tom istom členskom štáte,

-poskytli usmernenia, ktoré sú stručné, praktické a prístupné príslušnému publiku, ako sa zaviazali v stratégii výboru na roky 2024 – 2027,

-zabezpečili skoršie a zmysluplnejšie konzultácie o usmerneniach a stanoviskách s cieľom lepšie pochopiť dynamiku trhu a obchodné postupy, primerane zohľadnili získanú spätnú väzbu a zohľadnili konkrétne uplatňovanie prijatých výkladov,

-prioritne dokončili prebiehajúcu prácu na usmerneniach o údajoch detí, vedeckom výskume, anonymizácii, pseudonymizácii a oprávnenom záujme,

-zintenzívnili činnosti zamerané na zvyšovanie povedomia, informovanie a presadzovanie práva s cieľom zabezpečiť, aby zodpovedné osoby mohli plniť svoju úlohu podľa všeobecného nariadenia o ochrane údajov.

Komisia bude:

-naďalej finančne podporovať činnosti orgánov pre ochranu osobných údajov, ktoré uľahčujú MSP plnenie povinností vyplývajúcich zo všeobecného nariadenia o ochrane údajov,

-využívať všetky dostupné prostriedky na poskytovanie účelných objasnení v otázkach dôležitých pre zainteresované strany vrátane MSP, najmä žiadosťami o stanoviská výboru.

Ďalší rozvoj nástrojov týkajúcich sa prenosov údajov a medzinárodnej spolupráce

Výbor a orgány pre ochranu osobných údajov sa vyzývajú, aby:

-dokončili prácu na zefektívnení a skrátení procesu schvaľovania záväzných vnútropodnikových pravidiel, ako aj na aktualizácii usmernenia k prvkom, ktoré sa majú nachádzať v záväzných vnútropodnikových pravidlách sprostredkovateľa,

-preskúmali spôsoby/nástroje na ďalšiu pomoc vývozcom údajov v ich úsilí o dosiahnutie súladu s požiadavkami v rozsudku vo veci Schrems II,

-preskúmali ďalšie spôsoby zabezpečenia účinného presadzovania práva voči prevádzkovateľom usadeným v tretích krajinách, ktoré patria do územnej pôsobnosti všeobecného nariadenia o ochrane údajov.

Členské štáty musia:

-čo najskôr zabezpečiť podpísanie a ratifikáciu modernizovaného Dohovoru Rady Európy č. 108+, aby mohol nadobudnúť platnosť.

Komisia bude:

-dosahovať ďalší pokrok v prebiehajúcich rozhovoroch o primeranosti, skúmať ďalší vývoj existujúcich zistení o primeranosti a viesť nové dialógy o primeranosti so zainteresovanými partnermi,

-podporovať lepšiu spoluprácu medzi sieťou krajín, ktoré využívajú rozhodnutia o primeranosti,

-pracovať na dokončení činností týkajúcich sa dodatočných štandardných zmluvných doložiek, najmä pre prenosy údajov dovozcom údajov, ktorých spracúvanie priamo podlieha všeobecnému nariadeniu o ochrane údajov, a prenosy podľa nariadenia (EÚ) 2018/1725 týkajúce sa prenosov údajov inštitúciami a orgánmi EÚ,

-spolupracovať s medzinárodnými partnermi na uľahčení toku údajov na základe vzorových zmluvných doložiek,

-podporovať prebiehajúce procesy reforiem v tretích krajinách týkajúce sa nových alebo modernizovaných pravidiel ochrany údajov, a to výmenou skúseností a najlepších postupov,

-spolupracovať s medzinárodnými a regionálnymi organizáciami, ako sú OECD a G7, s cieľom podporiť spoľahlivé toky údajov založené na vysokých štandardoch ochrany údajov, a to aj v súvislosti s iniciatívou spoľahlivého voľného toku údajov,

-uľahčovať a podporovať výmeny medzi európskymi a medzinárodnými regulačnými orgánmi, a to aj prostredníctvom svojej Akadémie ochrany údajov,

-prispievať k uľahčovaniu medzinárodnej spolupráce dozorných orgánov v oblasti presadzovania práva, a to aj formou rokovaní o dohodách o spolupráci a vzájomnej pomoci.

(1) ()    Ochrana údajov ako pilier posilnenia postavenia občanov a prístupu EÚ k digitálnej transformácii – dva roky uplatňovania všeobecného nariadenia o ochrane údajov, 24.6.2020, COM(2020) 264 final.

(2) ()     https://data.consilium.europa.eu/doc/document/ST-15507-2023-INIT/sk/pdf .

(3) ()    Zhrnutie príspevkov expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov je k dispozícii tu: Report from Multistakeholder Expert group on GDPR application - June 2024.pdf . Príspevky získané v reakcii na verejnú výzvu na predloženie dôkazov a na dvojstranných stretnutiach so zainteresovanými stranami sa vo veľkej miere zhodujú s názormi, ktoré vyjadrili členovia expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(4) ()     https://ec.europa.eu/info/law/better-regulation/have-your-say_sk .

(5) ()     Príspevok EDPB k hodnoteniu všeobecného nariadenia o ochrane údajov podľa článku 97 | Európsky výbor pre ochranu údajov (europa.eu) .

(6) ()     Všeobecné nariadenie o ochrane údajov v praxi – skúsenosti orgánov pre ochranu osobných údajov | Agentúra Európskej únie pre základné práva (europa.eu) .

(7) ()    Návrh nariadenia Európskeho parlamentu a Rady, ktorým sa stanovujú ďalšie procesné pravidlá na presadzovanie nariadenia (EÚ) 2016/679 [COM(2023) 348 final].

(8) ()     https://edpb.europa.eu/our-work-tools/our-documents/letters/edpb-letter-eu-commission-procedural-aspects-could-be_en .

(9) ()    Od expertnej skupiny viacerých zainteresovaných strán a na základe výzvy na predloženie dôkazov, ktorá bola vyhlásená vo februári 2023.

(10) ()    Najmä od expertnej skupiny členských štátov všeobecného nariadenia o ochrane údajov: https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=sk&do=groupDetail.groupDetail&groupID=3461 . 

(11) ()    Článok 61 všeobecného nariadenia o ochrane údajov.

(12) ()     internal_edpb_document_1_2021_on_art_62_joint_operations_en.pdf (europa.eu)

(13) ()    Článok 62 všeobecného nariadenia o ochrane údajov.

(14) ()    Článok 65 všeobecného nariadenia o ochrane údajov.

(15) ()    Od 3. novembra 2023 (príspevok výboru).

(16) ()    Podľa článku 60 ods. 3 všeobecného nariadenia o ochrane údajov.

(17) ()    Od 3. novembra 2023.

(18) ()    Najviac formálnych žiadostí podal írsky orgán (246), zatiaľ čo nemecké orgány dostali najviac žiadostí (516).

(19) ()    Najviac neformálnych žiadostí podal írsky orgán (4 245), za ktorým nasledovali nemecké orgány (2 036).

(20) ()    Z 289 relevantných a odôvodnených námietok oznámených orgánmi vzniesli 101 (35 %) nemecké orgány. Úspešnosť dosiahnutia konsenzu o relevantných a odôvodnených námietkach sa pohybuje od 15 % (námietky vznesené nemeckými orgánmi) do 100 % (námietky vznesené poľským orgánom).

(21)

()    Články 64, 65 a 66 všeobecného nariadenia o ochrane údajov v tomto poradí.

(22) ()    Stanoviská podľa článku 64 ods. 2 všeobecného nariadenia o ochrane údajov.

(23)

()    Podľa článku 65 ods. 1 písm. a) všeobecného nariadenia o ochrane údajov.

(24) ()    V súlade s článkom 66 ods. 2 GDPR.

(25) ()    Pozri oddiel 5.3.4 príspevok výboru.

(26) ()    Správa FRA, s. 36.

(27) ()    Návrh procesných pravidiel, článok 5.

(28) ()    V Rumunsku bolo na súde napadnutých všetkých 26 rozhodnutí o porušení všeobecného nariadenia, zatiaľ čo v Holandsku bola miera napadnutia 23 %. Miera úspešnosti napadnutí bola najvyššia v Belgicku (39 %).

(29) ()    Najvyšší počet vyšetrovaní z vlastnej iniciatívy začali orgány pre ochranu osobných údajov v Nemecku (7 647), za ktorým nasledovalo Maďarsko (3 332), Rakúsko (1 681) a Francúzsko (1 571).

(30) ()    V roku 2022 dostalo deväť orgánov pre ochranu osobných údajov viac ako 2 000 sťažností. Najviac sťažností bolo zaregistrovaných v Nemecku (32 300), Taliansku (30 880), Španielsku (15 128), Holandsku (13 133) a Francúzsku (12 193), najmenej v Lichtenštajnsku (40), na Islande (140) a v Chorvátsku (271).

(31) ()    Všetky orgány uložili správne pokuty s výnimkou Dánska, ktoré správne pokuty neukladá. Najvyšší počet pokút bol uložený v Nemecku (2 106) a Španielsku (1 596). Najmenej pokút bolo uložených v Lichtenštajnsku (3), na Islande (15) a vo Fínsku (20).

(32) ()    Správa FRA, s. 38.

(33) ()    Správa FRA s. 20 a 23. Pozri aj stanovisko a zistenia Rady, bod 17.

(34) ()    Článok 70 ods. 1 všeobecného nariadenia o ochrane údajov.

(35) ()    Správa FRA, s. 64.

(36) ()    Správa FRA, s. 67. V roku 2023 venovali nemecké orgány pre ochranu osobných údajov najviac zdrojov na činnosti výboru (26 ekvivalentov plného pracovného času), po nich nasledovali úrady v Írsku (16) a vo Francúzsku (12) (príspevok výboru).

(37) ()    Správa FRA, s. 67.

(38) ()    Správa FRA, s. 67; zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(39) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(40) ()    Pozri aj stanovisko a zistenia Rady, bod 45.

(41) ()    Pozri aj stanovisko a zistenia Rady, bod 34.

(42) ()     https://www.edpb.europa.eu/system/files/2024-04/edpb_strategy_2024-2027_en.pdf .

(43) ()    Pozri aj stanovisko a zistenia Rady, bod 31 písm. d).

(44) ()    Vyžadujú si najmä objasnenie významu pojmu „vedecký výskum“, úlohy súhlasu so spracovaním osobných údajov na účely výskumu, príslušného právneho základu a úloh a zodpovednosti zúčastnených aktérov.

(45) ()    Pozri aj stanovisko a zistenia Rady, bod 31 písm. b).

(46) ()    Stanovisko a zistenia Rady, body 27 – 28.

(47) ()    Článok 52 všeobecného nariadenia o ochrane údajov.

(48) ()    Správa FRA, s. 31.

(49) ()    Pozri oddiel 4.4.1 príspevok výboru, aj pokiaľ ide o absolútne čísla.

(50) ()    Len päť orgánov pre ochranu osobných údajov sa domnieva, že majú primerané ľudské zdroje (príspevok výboru, strana 33).

(51) ()    Správa FRA, s. 20. Niektoré orgány pre ochranu osobných údajov zadávajú určité úlohy externým dodávateľom, napríklad vybavovanie sťažností, právnu analýzu a forenznú analýzu.

(52) ()    Správa FRA, s. 24.

(53) ()    Správa FRA, s. 22.

(54) ()    Pozri oddiel 4.4.5 príspevok výboru.

(55) ()    Príspevok výboru, s. 32.

(56) ()    Správa FRA, s. 48.

(57) ()    Správa FRA, s. 45. Orgány pre ochranu osobných údajov považujú vyšetrovania ex officio za mimoriadne dôležité, pretože sťažovatelia nemusia vedieť o mnohých porušeniach všeobecného nariadenia o ochrane údajov.

(58) ()    Správa FRA, s. 8.

(59) ()    Správa FRA, s. 39.

(60) ()    Správa FRA, s. 41.

(61) ()    Odôvodnenie 9 všeobecného nariadenia o ochrane údajov.

(62) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(63) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(64) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(65) ()    Článok 6 ods. 1 písm. f) a článok 6 ods. 1 písm. a) všeobecného nariadenia o ochrane údajov.

(66) ()    Článok 22 ods. 2 všeobecného nariadenia o ochrane údajov.

(67) ()    Odôvodnenie 4.

(68) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(69) ()    Napríklad minimálny vek pre súhlas dieťaťa v súvislosti so službami informačnej spoločnosti (článok 8 ods. 1 všeobecného nariadenia o ochrane údajov).

(70) ()    Článok 8 ods. 1 všeobecného nariadenia o ochrane údajov.

(71) ()    Možnosť stanovená v článku 9 ods. 4 všeobecného nariadenia o ochrane údajov.

(72) ()    Článok 10 všeobecného nariadenia o ochrane údajov.

(73) ()    Pozri stanovisko a zistenia Rady, bod 30.

(74) ()    Článok 36 všeobecného nariadenia o ochrane údajov.

(75) ()    Správa FRA, s. 11.

(76) ()    Belgicko (2021/4045) a Belgicko (2022/2160).

(77) ()    Fínsko (2022/4010) a Švédsko (2022/2022).

(78) ()    S informáciami o referenčnom čísle prípadu, type vyšetrovania (z vlastnej iniciatívy alebo na základe sťažnosti), zhrnutí rozsahu vyšetrovania, príslušných orgánoch pre ochranu osobných údajov, kľúčových prijatých procesných krokoch a dátumoch, prijatých vyšetrovacích alebo akýchkoľvek iných opatreniach a dátumoch.

(79) ()     https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=sk&do=groupDetail.groupDetail&groupID=3461 .

(80) ()     https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=sk&meetingId=31754&fromExpertGroups=3461.

(81) ()    Vec C-319/22, ECLI:EU:C:2023:837.

(82) ()    Veci C-184/20, ECLI:EU:C:2022:601; C-252/21, ECLI:EU:C:2023:537.

(83) ()    Veci C-683/21, ECLI:EU:C:2023:949; C-604/22, ECLI:EU:C:2024:214; C-231/22, ECLI:EU:C:2024:7.

(84) ()    Vec C-61/19, ECLI:EU:C:2020:901.

(85) ()    Veci C-597/19, ECLI:EU:C:2021:492; C-252/21, ECLI:EU:C:2023:537.

(86) ()    Veci C-307/22, ECLI:EU:C:2023:811; C-154/21, ECLI:EU:C:2023:3.

(87) ()    Vec C-460/20, ECLI:EU:C:2022:962.

(88) ()    Vec C-300/21, ECLI:EU:C:2023:370; vec C-687/21, ECLI:EU:C:2024:72; vec C-667/21, ECLI:EU:C:2023:1022.

(89) ()    Spojené veci C‑26/22 a C‑64/22, ECLI:EU:C:2023:958.

(90) ()    Veci C-807/21, ECLI:EU:C:2023:950; Vec C-683/21, ECLI:EU:C:2023:949.

(91) ()    Vec C-453/21, ECLI:EU:C:2023:79.

(92) ()    Veci C-439/19, ECLI:EU:C:2021:504; C-184/20, ECLI:EU:C:2022:601.

(93) ()    Veci C-33/22, ECLI:EU:C:2024:46; Vec C‑272/19, ECLI:EU:C:2020:535.

(94) ()    Pozri stanovisko a zistenia Rady, bod 13.

(95) ()    Príspevok výboru, oddiel 6.

(96) ()     https://commission.europa.eu/law/law-topic/data-protection/eu-funding-supporting-implementation-general-data-protection-regulation-gdpr_en?prefLang=sk .

(97) ()    Správa FRA, s. 9 a 48.

(98) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(99) ()    Článok 10, nariadenie (EÚ) 2022/868 o nových potravinách (Ú. v. EÚ L 152, 3.6.2022, s. 1 – 44).

(100) ()    Článok 12 ods. 5 všeobecného nariadenia o ochrane údajov.

(101) ()    Súdny dvor však objasnil, že dotknutá osoba nie je povinná uviesť dôvody žiadosti o prístup k osobným údajom: vec C-307/22, ECLI:EU:C:2023:811, bod 38.

(102) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(103) ()    Stanovisko a zistenia Rady, body 27 – 28.

(104) ()     https://www.edpb.europa.eu/news/news/2024/cef-2024-launch-coordinated-enforcement-right-access_en .

(105) ()     Pracovníci platforiem: Rada potvrdila dohodu o nových pravidlách na zlepšenie ich pracovných podmienok – Consilium (europa.eu) .

(106) ()    Návrh nariadenia o európskom priestore pre zdravotné údaje [COM(2022) 197 final].

(107) ()    Návrh nariadenia o rámci pre prístup k finančným údajom a o zmene nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010, (EÚ) č. 1095/2010 a (EÚ) 2022/2554 [COM(2023) 360 final].

(108) ()    Smernica (EÚ) 2020/1828 z 25. novembra 2020 o žalobách v zastúpení na ochranu kolektívnych záujmov spotrebiteľov a o zrušení smernice 2009/22/ES (Ú. v. EÚ L 409, 4.12.2020, s. 1 – 27).

(109) ()    Odôvodnenie 38 všeobecného nariadenia o ochrane údajov.

(110) ()    Odporúčanie o rozvoji a posilňovaní integrovaných systémov ochrany detí v najlepšom záujme dieťaťa: https://commission.europa.eu/strategy-and-policy/policies/justice-and-fundamental-rights/rights-child/combating-violence-against-children-and-ensuring-child-protection_sk .

(111) ()    Pozri aj stanovisko a zistenia Rady, bod 31 písm. a).

(112) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(113) ()     https://commission.europa.eu/law/law-topic/data-protection/eu-funding-supporting-implementation-general-data-protection-regulation-gdpr_en?prefLang=sk .

(114) ()     https://digital-strategy.ec.europa.eu/sk/policies/strategy-better-internet-kids .

(115) ()    Nariadenie (EÚ) 2024/1183, ktorým sa mení nariadenie (EÚ) 910/2014, pokiaľ ide o zriadenie európskeho rámca digitálnej identity (Ú. v. EÚ L, 2024/1183, 30.4.2024).

(116) ()    Ako sa uvádza v správe platformy Fit for future, expertnej skupiny na vysokej úrovni, ktorá bola vytvorená s cieľom pomôcť Komisii v jej úsilí o zjednodušenie právnych predpisov EÚ a zníženie súvisiacich zbytočných nákladov: https://commission.europa.eu/law/law-making-process/evaluating-and-improving-existing-laws/refit-making-eu-law-simpler-less-costly-and-future-proof/fit-future-platform-f4f_sk . Pozri aj zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov a stanovisko a zistenia Rady, bod 12.

(117) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(118) ()    Vykonávacie rozhodnutie Komisie (EÚ) 2021/915 zo 4. júna 2021 o štandardných zmluvných doložkách medzi prevádzkovateľmi a sprostredkovateľmi podľa článku 28 ods. 7 všeobecného nariadenia o ochrane údajov a článku 29 ods. 7 všeobecného nariadenia o ochrane údajov, C(2021) 3701 (Ú. v. EÚ L 199, 7.6.2021, s. 18 – 30).

(119) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(120) ()    Pozri stanovisko a zistenia Rady, bod 25.

(121) ()     https://www.edpb.europa.eu/our-work-tools/accountability-tools/register-codes-conduct-amendments-and-extensions-art-4011_en?f%5B0 %5D=coc_scope%3Anational .

(122) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(123) ()     https://www.edpb.europa.eu/system/files/2024-04/edpb_strategy_2024-2027_en.pdf .

(124) ()     https://commission.europa.eu/law/law-topic/data-protection/eu-funding-supporting-implementation-general-data-protection-regulation-gdpr_en?prefLang=sk .

(125) ()     https://edpb.europa.eu/sme-data-protection-guide/home_en .

(126) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(127) ()    Pozri stanovisko a zistenia Rady, bod 24; zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(128) ()    Článok 30 ods. 5 všeobecného nariadenia o ochrane údajov.

(129) ()    Ak organizácia zamestnáva menej ako 250 osôb, pokiaľ nie je pravdepodobné, že spracúvanie, ktoré vykonáva, povedie k riziku pre práva a slobody dotknutej osoby, pokiaľ je toto spracúvanie príležitostné alebo nezahŕňa osobitné kategórie údajov podľa článku 9 ods. 1 všeobecného nariadenia o ochrane údajov alebo osobných údajov týkajúcich sa uznaní viny za trestné činy a priestupky podľa článku 10 všeobecného nariadenia o ochrane údajov.

(130) ()    Pozri stanovisko a zistenia Rady, bod 26; EDPB 2023 Koordinované presadzovacie opatrenia Určenie a postavenie zodpovedných osôb: https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf .

(131) ()    Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(132) ()    Pozri odporúčania v Koordinovanej činnosti EDPB v oblasti presadzovania práva.

(133) ()    Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2065 z 19. októbra 2022 o jednotnom trhu s digitálnymi službami a o zmene smernice 2000/31/ES (akt o digitálnych službách) (Ú. v. EÚ L 277, 27.10.2022, s. 1 – 102).

(134) ()    Nariadenie (EÚ) 2022/1925 (akt o digitálnych trhoch) (Ú. v. EÚ L 265, 12.10.2022, s. 1 – 66).

(135) ()    Nariadenie (EÚ) 2024/1689 (akt o umelej inteligencii) (Ú. v. EÚ L, 2024/1689, 12.7.2024).

(136) ()     Pracovníci platforiem: Rada potvrdila dohodu o nových pravidlách na zlepšenie ich pracovných podmienok – Consilium (europa.eu) .

(137) ()    Nariadenie (EÚ) 2024/900 o transparentnosti a cielení politickej reklamy (Ú. v. EÚ L, 2024/900, 20.3.2024).

(138) ()    Návrh nariadenia o ochrane súkromia a elektronických komunikáciách [COM(2017) 010 final].

(139) ()    Smernica 2002/58/ES (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37 – 47).

(140)

()    Nariadenie (EÚ) 2024/903 (akt o interoperabilnej Európe) (Ú. v. EÚ L, 2024/903, 22.3.2024).

(141) ()    Pozri stanovisko a zistenia Rady, bod 31 písm. f).

(142) ()     https://finance.ec.europa.eu/publications/anti-money-laundering-and-countering-financing-terrorism-legislative-package_en?prefLang=sk .

(143) ()    Nariadenie (EÚ) 2022/868 (akt o správe údajov) (Ú. v. EÚ L 152, 3.6.2022, s. 1 – 44).

(144) ()    Nariadenie (EÚ) 2023/2854 (akt o údajoch) (Ú. v. EÚ L, 2023/2854, 22.12.2023).

(145)

()     https://www.europarl.europa.eu/doceo/document/TA-9-2024-0331_SK.html .

(146) ()    Pozri stanovisko a zistenia Rady, body 40 – 41; Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(147) ()    Pozri napríklad článok 37 ods. 3 aktu o údajoch.

(148) ()    Smernica (EÚ) 2022/2555 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022, s. 80 – 152).

(149) ()    Pozri stanovisko a zistenia Rady, body 18, 40 – 41 a zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(150) ()     Nemecko zriadilo „digitálny klaster“, ktorý zahŕňa regulačné orgány z rôznych oblastí s cieľom rozšíriť ich spoluprácu vo všetkých aspektoch digitalizácie a výmeny vedomostí a najlepších postupov: https://www.dataguidance.com/news/germany-bsi-announces-formation-digital-cluster-bonn .

(151) ()     Usmernenia EDPB 05/2021.

(152) ()     Oddiel 2 usmernení EDPB 05/2021.

(153) ()     Vec C-311/18, ECLI:EU:C:2020:559 (Schrems II).

(154) ()     Schrems II, bod 93.

(155) ()     Schrems II, body 96 a 105.

(156) ()     Schrems II, bod 131.

(157) ()     Schrems II, bod 105.

(158) ()     Odporúčania EDPB 02/2020 a referenčné kritérium primeranosti, WP 254 rev. 01.

(159) ()     Odporúčania EDPB 01/2020 doplnené odporúčaniami 02/2020.

(160) ()     Pozri napr. ods. 8 – 13, 32 – 33 odporúčaní EDPB 01/2020.

(161) ()     Pozri napr. príspevok výboru, strany 7 – 8; stanovisko a zistenia Rady, bod 36; Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(162) ()    Vykonávanie oznámenia Komisie o výmene a ochrane osobných údajov v globalizovanom svete, 10.1.2017 [COM(2017) 7 final].

(163) ()     Vykonávacie rozhodnutie Komisie (EÚ) 2021/1772 (Ú. v. EÚ L 360, 11.10.2021, s. 1 – 68).

(164) ()    Vykonávacie rozhodnutie Komisie (EÚ) 2022/254 (Ú. v. EÚ L 44, 24.2.2022, s. 1 – 90).

(165) ()     https://commission.europa.eu/news/joint-press-statement-european-commissioner-justice-didier-reynders-and-us-secretary-commerce-wilbur-2020-08-10_en?prefLang=sk .

(166) ()    Vykonávacie rozhodnutie Komisie (EÚ) 2023/1795 (Ú. v. EÚ L 231, 20.9.2023, s. 118 – 229).

(167) ()     Európska patentová organizácia je medzivládna organizácia zriadená na základe Európskeho patentového dohovoru. Jej hlavnou úlohou je udeľovanie európskych patentov. V tejto súvislosti úzko spolupracuje so spoločnosťami a verejnými orgánmi v členských štátoch EÚ, ako aj s rôznymi inštitúciami a orgánmi EÚ.

(168) ()     Príspevok výboru, s. 7 – 8.

(169) ()    Článok 45 ods. 4 a 5 všeobecného nariadenia o ochrane údajov. Pozri aj vec Schrems I, bod 76.

(170) ()     Vykonávacie rozhodnutie Komisie (EÚ) 2019/419 (Ú. v. EÚ L 76, 19.3.2019, s. 1 – 58). Pozri aj https://ec.europa.eu/commission/presscorner/detail/sk/IP_19_421 . Toto rozhodnutie predstavovalo prvé rozhodnutie o primeranosti prijaté podľa všeobecného nariadenia o ochrane údajov a prvú recipročnú dohodu o primeranosti.

(171) ()     Správa Komisie o prvom preskúmaní fungovania rozhodnutia o primeranosti týkajúceho sa Japonska, 3.4.2023, COM(2023) 275 final [a SWD(2023) 75 final].

(172) ()     Andorra, Argentína, Kanada (pre obchodných prevádzkovateľov), Faerské ostrovy, Guernsey, Ostrov Man, Izrael, Jersey, Nový Zéland, Švajčiarsko a Uruguaj.

(173) ()     Správa Komisie o prvom preskúmaní fungovania rozhodnutí o primeranosti prijatých podľa článku 25 ods. 6 smernice 95/46/ES, 15.1.2024, COM(2024) 7 final [a SWD(2024) 3 final].

(174) ()     https://ec.europa.eu/commission/presscorner/detail/en/mex_24_1307#11 .

(175) ()     Patria sem Argentína, Izrael, Kolumbia, Maroko, Švajčiarsko a Uruguaj.

(176) ()     Vykonávacie rozhodnutie Komisie (EÚ) 2021/914 (Ú. v. EÚ L 199, 7.6.2021, s. 31 – 61).

(177) ()     To zahŕňalo napríklad spoločné stanovisko EDPB a EDPS č. 2/2021 ako súčasť postupu prijímania štandardných zmluvných doložiek.

(178) ()     Stanovisko a zistenia Rady, bod 37, príspevok výboru, s. 9, zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(179) ()     https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/new-standard-contractual-clauses-questions-and-answers-overview_en .

(180) ()     Pozri napr. zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(181) ()     Na základe článku 48 ods. 2 písm. b) nariadenia (EÚ) 2018/1725.

(182) ()     Stanovisko a zistenia Rady, bod 37, príspevok výboru, s. 9, zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(183) () Usmernenia EDPB 05/2021, bod 3.

(184) ()     Ako sa uvádza aj v usmerneniach EDPB 05/2021, oddiel 4.

(185) ()     Príspevok výboru, s. 9, zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(186) ()     Napr. Spojené kráľovstvo ( https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf ) a Švajčiarsko ( https://www.edoeb.admin.ch/edoeb/en/home/datenschutz/arbeit_wirtschaft/datenuebermittlung_ausland.html ).

(187) ()     Napríklad Nový Zéland ( https://privacy.org.nz/responsibilities/your-obligations/disclosing-personal-information-outside-new-zealand/ ) a Argentína ( https://servicios.infoleg.gob.ar/infolegInternet/anexos/265000-269999/267922/norma.htm ).

(188) ()     Pozri https://rm.coe.int/t-pd-2022-1rev10-en-final/1680abc6b4 ; https://www.redipd.org/sites/default/files/2023-02/anexo-modelos-clausulas-contractuales-en.pdf a  https://asean.org/wp-content/uploads/3-ASEAN-Model-Contractual-Clauses-for-Cross-Border-Data-Flows_Final.pdf .

(189) ()     https://commission.europa.eu/document/download/df5cd5a0-7387-4a2a-8058-8d2ccfec3062_en?filename=%28Final%29 %20Joint_Guide_to_ASEAN_MCC_and_EU_SCC.pdf .

(190) ()     Príspevok výboru, s. 9.

(191) ()     Odporúčania EDPB 1/2022.

(192) ()     Príspevok výboru, s. 9.

(193) ()     Zhrnutie spätnej väzby expertnej skupiny viacerých zainteresovaných strán zaoberajúcej sa všeobecným nariadením o ochrane údajov.

(194) ()    Usmernenia EDPB 07/2022 a usmernenia 04/2021.

(195) ()     Usmernenia EDPB 2/2020.

(196) ()     Druhý Dodatkový protokol k Dohovoru o počítačovej kriminalite o posilnenej spolupráci a sprístupňovaní elektronických dôkazov (CETS č. 224).

(197) ()     https://commission.europa.eu/news/eu-us-announcement-resumption-negotiations-eu-us-agreement-facilitate-access-electronic-evidence-2023-03-02_en?prefLang=sk .

(198) ()     Návrh Komisie na rozhodnutie Rady o podpise, v mene Európskej únie, Dohody medzi Kanadou a Európskou úniou o prenose a spracúvaní údajov zo záznamov o cestujúcich (PNR), COM(2024) 94 final.

(199) ()     Išlo o konzultácie, ktoré zorganizovali napríklad Argentína, Austrália, Brazília, Čína, Etiópia, Indonézia, Malajzia, Peru, Rwanda a Thajsko.

(200) ()     Napríklad pred parlamentnými orgánmi Čile, Ekvádoru a Paraguaja.

(201) () To zahŕňalo aj organizovanie seminárov a študijných návštev, napríklad v Indonézii, Keni a Singapure.

(202) ()     Príspevok výboru, s. 8; stanovisko a zistenia Rady, bod 38.

(203) ()     Príspevok výboru, s. 8.

(204) ()     Pozri stanovisko a zistenia Rady, bod 39.

(205) ()     Protokol, ktorým sa mení Dohovor o ochrane jednotlivcov pri automatizovanom spracovaní osobných údajov (CETS č. 223).

(206) ()    Dánsko.

(207) ()    Belgicko, Česko, Grécko, Írsko, Lotyšsko, Luxembursko, Holandsko a Švédsko.

(208) ()     Pozri napr. https://www.g7germany.de/resource/blob/974430/2062292/fbdb2c7e996205aee402386aae057c5e/2022-07-14-leaders-communique-data.pdf?download=1 .

(209) ()     https://www.edps.europa.eu/data-protection/our-work/edps-worldwide/data-protection-and-international-organisations_en .