Nizozemský dozorový úřad uložil taxi aplikaci pokutu 100 milionů eur za přenos dat do Ruska bez odpovídajících záruk
Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) uložil provozovateli taxi aplikace pokutu sto milionů eur za to, že přenášel osobní údaje subjektů z Finska a Norska příjemcům v Ruské federaci, aniž by prokázal zavedení odpovídajících záruk podle kapitoly V obecného nařízení o ochraně osobních údajů. Rozhodnutí publikoval GDPRhub ve čtvrtek 14. května v týdenním přehledu dozorových úřadů.
Pokuta patří mezi nejvyšší, jaké některý z evropských dozorových úřadů v posledních letech uložil, a věcně zapadá do série rozhodnutí, kterými dozorové úřady utahují praxi přenosů osobních údajů do třetích zemí. Jádrem právního problému je rozhraní článků 44–49 GDPR: každý přenos osobních údajů mimo Evropský hospodářský prostor musí mít právní základ buď v rozhodnutí Komise o odpovídající úrovni ochrany (článek 45 GDPR), nebo v odpovídajících zárukách podle článku 46 – typicky standardních smluvních doložkách, doplněných o doplňková opatření po rozsudku Schrems II – případně ve výjimkách podle článku 49. Pro Ruskou federaci žádné rozhodnutí o odpovídající úrovni ochrany neexistuje a vzhledem k tamnímu právnímu prostředí, které umožňuje rozsáhlý přístup orgánů státu k datům uchovávaným v Rusku, je doložení odpovídajících záruk extrémně náročné.
V odůvodnění rozhodnutí, jak ho referuje GDPRhub a jeho zveřejněný záznam, nizozemský úřad zdůraznil, že provozovatel taxi aplikace zavedení takových záruk neprokázal. Standardní smluvní doložky bez doplňkových opatření, technických či organizačních, nestačí, pokud právní řád příjemce neumožňuje exportujícímu správci dodržet úroveň ochrany rovnocennou té unijní. Tento přístup vychází ze závěrů Soudního dvora EU ve věci Schrems II (C-311/18) a z následných doporučení EDPB, které pro přenosy do států bez rozhodnutí o odpovídající úrovni vyžadují konkrétní case-by-case posouzení a doplňková opatření.
Pro evropské podniky, které využívají externí dodavatele nebo subdodavatele se sídlem v Ruské federaci – stále ne výjimečný scénář v oblasti vývoje softwaru, kontaktních center nebo některých výzkumných služeb – je nizozemský případ signálem, že riziko sankce za přenosy do Ruska je v praxi mnohem konkrétnější, než si mnoho správců uvědomuje. Rozhodnutí je možné napadnout soudně a konečné slovo ještě nepadlo, výše uložené pokuty však už nyní představuje precedens, ke kterému budou ostatní dozorové úřady přihlížet při hodnocení obdobných případů.
Rozhodnutí také ukazuje, že nizozemský dozorový úřad neváhá sankcionovat přenosy dotýkající se subjektů údajů ze sousedních zemí (v tomto případě Finska a Norska). Pro správce to znamená, že vedoucí postavení (lead authority) podle článku 56 GDPR neznamená imunitu vůči akci dozorového úřadu země, kterou se přenos rovněž týká – zejména pokud má nadnárodní rozměr a koordinace dozorových úřadů přes mechanismus jednotného kontaktního místa proběhne ve prospěch toho, který má nejlépe podloženou věcnou stránku případu.
Praktický závěr pro správce v Česku: pokud cokoli z osobních údajů zákazníků, zaměstnanců nebo dodavatelů končí v cloudových nebo on-premises systémech provozovaných v Ruské federaci nebo přístupných z tohoto území, je třeba okamžitě prověřit doložku transferu, doplňková opatření a celkový právní titul. Pokud opora chybí nebo není dohledatelná, je riziko sankce reálné a v případě dozorové kontroly se obtížně zpochybňuje.
Zdroj
Další články
Místopředseda ÚOOÚ k rozpoznávání obličejů na stadionech: pro využití kamer se musí změnit zákon
Nizozemský dozorový úřad uložil taxi aplikaci pokutu 100 milionů eur za přenos dat do Ruska bez odpovídajících záruk
