Zdieľanie osobných údajov s tretími stranami: riziká 7. GDPR, ktoré treba riadiť

Osobné údaje môžete podľa GDPR zdieľať iba vtedy, ak máte právny základ podľa článku 6, písomne ​​ste sa dohodli, či je príjemca spracovateľom alebo prevádzkovateľom, a informovali ste dotknuté osoby o zdieľaní. Hlavnými výnimkami sú prenosy mimo Európskeho hospodárskeho priestoru (EHP) a vysokorizikové spracovanie, ktoré prinášajú dodatočné požiadavky podľa kapitoly V a článku 35 GDPR.

V Holandsku presadzuje GDPR holandský úrad na ochranu údajov ( Autoriteit Persoonsgegevens , AP) spolu s holandským vykonávacím aktom ( Uitvoeringswet AVG , UAVG). Každý tok údajov k poskytovateľovi cloudových služieb, mzdovej účtovnej zábezpeke, inkasnej spoločnosti alebo spoločnosti v skupine v zahraničí je samostatná operácia spracovania, ktorá si vyžaduje vlastné odôvodnenie. Nižšie uvádzame sedem rizík, ktoré sa v praxi opakujú, ustanovenia, ktoré sa za nimi skrývajú, a čo môžete v prípade každého z nich urobiť.

Riziko 1: Zdieľate údaje bez platného právneho základu?

Každé zverejnenie osobných údajov vyžaduje jeden zo šiestich právnych základov uvedených v článku 6(1) GDPR. Obchodný dôvod medzi ne nepatrí.

Šesť základov je vyčerpávajúcich: súhlas, plnenie zmluvy, zákonná povinnosť, životne dôležité záujmy, verejná úloha a oprávnené záujmy. Článok 5(1)(a) dodáva, že spracovanie musí byť zákonné, spravodlivé a transparentné, takže základ, ktorý nebol nikdy nikomu vysvetlený, stále ponecháva medzeru.

Prečo je oprávnený záujem pascou?

Oprávnené záujmy sú najčastejšie používaným základom pre zdieľanie s partnermi a najčastejšie sa používajú nesprávne. Vyžaduje si trojkrokový test:

• záujem musí byť oprávnený;
• zdieľanie musí byť nevyhnutné na jeho splnenie;
• Záujem nesmie byť prevážený právami a slobodami dotknutých osôb.

Tento test musíte vykonať a zaznamenať pred začatím zdieľania, pretože článok 5(2) GDPR kladie dôkazné bremeno na prevádzkovateľa (zodpovednosť). Posúdenie napísané po prijatí sťažnosti má veľmi malú hodnotu.

A čo súhlas a obmedzenie účelu?

Súhlas zamestnancov je zriedkakedy platný, pretože nerovnováha síl znamená, že nie je udelený slobodne (článok 7(4) a odôvodnenie 43 GDPR). Obmedzenie účelu podľa článku 5(1)(b) sa vzťahuje aj na zdieľanie: údaje zhromaždené na poskytovanie služby nemôžu byť jednoducho poskytnuté partnerovi na marketingové účely. Ak nový účel nie je kompatibilný s pôvodným, potrebujete nový základ.

Čo robiť: predtým, ako údaje opustia vašu organizáciu, identifikujte dôvod, zapíšte si ho a skontrolujte, či vaše oznámenie o ochrane osobných údajov už opisuje zdieľanie. Súhlas musí byť slobodne udelený, konkrétny, informovaný, jednoznačný a musí sa dať rovnako ľahko odvolať ako udeliť (články 4(11) a 7(3) GDPR).

Riziko 2: pomýlili ste sa v úlohách prevádzkovateľa a spracovateľa?

Prevádzkovateľ rozhoduje o účeloch a prostriedkoch spracovania; spracovateľ koná iba na základe zdokumentovaných pokynov prevádzkovateľa (článok 4(7) a (8) GDPR). Dôležité je, kto v skutočnosti rozhoduje, nie ako sú zmluvné strany označené.

Častou chybou je označovať každého dodávateľa za spracovateľa. Žiaden z nasledujúcich však nekoná čisto na základe pokynov:

• poskytovateľ SaaS, ktorý využíva údaje zákazníkov na zlepšenie vlastného produktu;
• účtovník viazaný profesionálnymi pravidlami;
• banka vykonávajúca platbu;
• reklamná platforma, ktorá si vytvára vlastné profily publika.

Každý z nich je prevádzkovateľom aspoň pre časť spracovania. Ak dve organizácie spoločne určia účely a prostriedky, sú spoločnými prevádzkovateľmi podľa článku 26 GDPR. Svoje zodpovednosti musia stanoviť v dohode a jej podstatu sprístupniť dotknutým osobám.

Ako široko Súdny dvor EÚ definuje spoločnú kontrolu?

Všeobecne. V prípade Fashion ID (C-40/17) Súdny dvor rozhodol, že prevádzkovateľ webovej stránky, ktorý vkladá sociálny plugin tretej strany, je spoločným prevádzkovateľom zhromažďovania a prenosu údajov návštevníkov, aj keď k týmto údajom následne nemal prístup. Stačí čiastočný vplyv na účely a výsledkom je spoločná zodpovednosť za porušenie, ktoré ste nespôsobili.

Čo robiť: zmapovať toky údajov a pre každý tok zaznamenať, kto rozhoduje o tom, prečo a ako sa údaje spracúvajú. Pre spracovateľov použiť dohodu o spracovaní podľa článku 28 a dohodu o spoločnom prevádzkovateľovi podľa článku 26, ak o tom rozhodujú obe strany.

Riziko 3: Chýba vám zmluva o spracovaní údajov alebo je chybná?

Ak pre vás spracúva osobné údaje spracovateľ, článok 28(3) GDPR vyžaduje písomnú zmluvu. Bez nej porušujete zmluvu od okamihu začiatku spracúvania, a to aj v prípade, že nedošlo k úniku žiadnych údajov.

Obsah je predpísaný zákonom. Zmluva o spracovaní údajov, ktorá je v súlade s predpismi, uvádza predmet spracovania, trvanie, povahu a účel spracovania, typy osobných údajov a kategórie osôb a práva a povinnosti prevádzkovateľa. Musí tiež zaväzovať spracovateľa k:

• postupujte iba na základe zdokumentovaných pokynov;
• zaviesť mlčanlivosť voči svojim zamestnancom;
• prijať bezpečnostné opatrenia požadované v článku 32;
• pomoc so žiadosťami dotknutých osôb a oznámením o porušení;
• vymazať alebo vrátiť údaje na konci zapojenia;
• poskytnúť informácie potrebné na preukázanie súladu a umožniť audity.

Prečo klauzuly o subdodávateľoch tak často zlyhávajú?

Podľa článku 28(2) a (4) potrebuje spracovateľ váš predchádzajúci osobitný alebo všeobecný písomný súhlas pre každého subdodávateľa. V prípade všeobecného súhlasu vás musí informovať o zamýšľaných zmenách a dať vám možnosť namietať; klauzula, ktorá mu umožňuje zapojiť kohokoľvek, koho si želá, tento štandard nespĺňa.

Čo robiť: pracovať so šablónou, ktorá sa riadi článkom 28(3) klauzula po klauzule a preskúmať existujúce dohody, namiesto toho, aby ste sa spoliehali na vlastné podmienky dodávateľa. Dlhodobé vzťahy s najväčšou pravdepodobnosťou nie sú zdokumentované.

Riziko 4: Prenášate údaje mimo EHP bez záruk?

Prenos mimo EHP je povolený len na základe rozhodnutia o primeranosti (článok 45 GDPR) alebo vhodných záruk (článok 46), zvyčajne štandardných zmluvných doložiek Komisie alebo záväzných podnikových pravidiel. Výnimky v článku 49, ako napríklad výslovný súhlas, sa vzťahujú na príležitostné prenosy a nemôžu podporovať štrukturálny tok údajov.

K prenosu dôjde vždy, keď sú údaje dostupné mimo EHP, nielen keď sa tam skopírujú. Vzdialená správa materskou spoločnosťou v zahraničí je prenosom, aj keď servery zostávajú vo Frankfurte.

Čo pre vás znamená Schrems II a rámec ochrany osobných údajov?

V prípade Schrems II (C-311/18) Súdny dvor zrušil štít na ochranu osobných údajov medzi EÚ a USA a rozhodol, že štandardné zmluvné doložky samy osebe nestačia. Vývozca musí posúdiť, či právo cieľovej krajiny tieto doložky ohrozuje, a v prípade áno, pridať doplňujúce opatrenia; posúdenie vplyvu prevodu (TIA) sa stále vyžaduje pre každý prevod podľa článku 46.

Komisia prijala v júli 2023 rozhodnutie o primeranosti pre rámec ochrany osobných údajov medzi EÚ a USA (DPF) a 3. septembra 2025 Všeobecný súd zamietol žalobu o jeho neplatnosť ( Latombe , T-553/23). Prenosy organizácii v USA certifikovanej podľa rámca, na ktoré sa vzťahuje jeho certifikácia, sa môžu spoliehať na primeranosť; prenosy iným príjemcom v USA nie. Je možné sa odvolať na Súdny dvor, preto si overte certifikáciu a ponechajte si záložnú možnosť.

Čo robiť: uveďte prenosy do tretích krajín vo vašom dodávateľskom reťazci vrátane subdodávateľov a podporných dohôd. Ak sa neuplatňuje primeranosť, použite súčasné štandardné zmluvné doložky, zdokumentujte doplnenie informácií o prenose údajov a zaznamenajte doplnkové opatrenia, ako je šifrovanie s kľúčmi uchovávanými v EHP. AP môže nariadiť pozastavenie prenosu podľa článku 58(2)(j) GDPR.

Riziko 5: Vynechávate posúdenie vplyvu na ochranu údajov?

Článok 35 GDPR vyžaduje posúdenie vplyvu na ochranu údajov (DPIA) v prípade, že spracovanie pravdepodobne povedie k vysokému riziku pre jednotlivcov. Zdieľanie údajov často prekročí túto hranicu skôr, ako organizácie očakávajú.

Článok 35(3) uvádza tri prípady: systematické a rozsiahle automatizované hodnotenie s právnymi alebo podobne významnými dôsledkami, rozsiahle spracovanie osobitných kategórií alebo údajov o trestnej činnosti a rozsiahle systematické monitorovanie verejného priestoru. AP tiež zverejňuje zoznam operácií, pre ktoré sa vždy vyžaduje posúdenie vplyvu na ochranu údajov. Kombinovanie súborov údajov, zdieľanie zdravotných údajov s poskytovateľom analytických služieb alebo monitorovanie zamestnancov často samo o sebe prekročí prahovú hodnotu.

Čo musí DPIA obsahovať?

Podľa článku 35(7) DPIA opisuje spracovanie a jeho účely, posudzuje nevyhnutnosť a primeranosť, identifikuje riziká pre dotknuté osoby a stanovuje opatrenia na ich riešenie. Ak pretrváva vysoké reziduálne riziko, článok 36 vyžaduje predchádzajúcu konzultáciu s AP pred začiatkom spracovania.

Čo robiť: preverte každú novú dohodu o zdieľaní údajov podľa článku 35(3) a zoznamu AP a zapojte svoju zodpovednú osobu, ak ju máte. Prehodnoťte DPIA, keď sa zmení spracovanie; nevykonanie požadovaného DPIA je samo o sebe porušením.

Riziko 6: Nehovoríte ľuďom o zdieľaní príliš málo?

Transparentnosť je samostatná povinnosť, ktorú môžete porušiť, aj keď je samotné zdieľanie zákonné. Články 13 a 14 GDPR vyžadujú, aby ste uviedli účely, právny základ a príjemcov alebo kategórie príjemcov.

Veta, ktorá hovorí, že údaje „môžu byť zdieľané s dôveryhodnými partnermi“, nič neurčuje. Konkrétne vymenujte kategórie, ako napríklad poskytovatelia hostingu, správcovia miezd alebo úverové referenčné agentúry. V prípade prenosov mimo EHP články 13(1)(f) a 14(1)(f) vyžadujú, aby oznámenie túto skutočnosť uvádzalo a aby sa identifikovala záruka, na ktorú sa odvoláva.

Čo navyše platí, ak ste údaje nezhromaždili sami?

Podľa článku 14 musí oznámenie uvádzať aj kategórie údajov a ich zdroj. Musíte ich poskytnúť v primeranej lehote a najneskôr do jedného mesiaca alebo pri prvej komunikácii s danou osobou, ak k tomu dôjde skôr. Úplný obsah nájdete na našej stránke o zásadách ochrany osobných údajov v Holandsku .

Čo robiť: aktualizovať oznámenie predtým, ako nový príjemca dostane údaje, nie pri ďalšom ročnom preskúmaní. Článok 12(1) vyžaduje, aby oznámenia boli stručné, zrozumiteľné a napísané jasne a jednoducho.

Riziko 7: Zaobchádzate s pseudonymizovanými údajmi ako s anonymnými?

Pre organizáciu, ktorá má kľúč, zostávajú pseudonymizované údaje osobnými údajmi. Iba skutočná anonymizácia vyraďuje údaje mimo GDPR.

Článok 4(5) GDPR definuje pseudonymizáciu ako spracovanie údajov tak, aby ich už nebolo možné prepojiť s osobou bez dodatočných informácií, ktoré sa uchovávajú oddelene. Odôvodnenie 26 potvrdzuje, že takéto údaje zostávajú v GDPR pre každého, kto ich môže opätovne identifikovať. Nahradenie mien číslami zákazníkov preto neodstraňuje potrebu právneho základu, zmluvy o spracovaní alebo oznámenia o ochrane osobných údajov z vašej strany.

Môžu byť pseudonymizované údaje pre príjemcu neosobné?

Možno. V prípade EDPS/SRB (C-413/23 P, 4. septembra 2025) Súdny dvor rozhodol, že pseudonymizované údaje nemusia byť osobnými údajmi pre príjemcu, ktorý nemôže rozumne opätovne identifikovať dotknuté osoby. Súd tiež rozhodol, že prevádzkovateľ, ktorý údaje zverejňuje, musí tieto osoby v čase zhromažďovania stále informovať o príjemcovi.

Čo robiť: posúďte prostriedky, ktoré príjemca s primeranou pravdepodobnosťou použije, vrátane iných súborov údajov, ktoré má k dispozícii; PSČ, dátum narodenia a história transakcií často umožňujú opätovnú identifikáciu. Zdokumentujte, ako je kľúč uchovávaný oddelene. Článok 32 označuje pseudonymizáciu za bezpečnostné opatrenie, ktoré sa započítava vo váš prospech, ak sa posúdi porušenie.

Ako vyzerá presadzovanie práva v Holandsku?

Podľa článku 58 GDPR môže AP udeliť varovanie, pokarhanie, nariadiť dodržiavanie predpisov, zakázať spracovanie a pozastaviť prenosy a článok 83 umožňuje pokuty. Pre podnik, ktorý je závislý od konkrétneho toku údajov, je zákaz často škodlivejší ako pokuta.

Článok 83 má dve úrovne, pričom každá má pevne stanovené maximum alebo percento z celosvetového ročného obratu v predchádzajúcom finančnom roku, podľa toho, ktorá hodnota je vyššia:

• Nižšia úroveň: až do výšky 10 miliónov EUR alebo 2 %, napríklad za chýbajúcu dohodu o spracovaní alebo posúdenie vplyvu na ochranu údajov (články 25 až 39).
• Vyššia úroveň: až do výšky 20 miliónov EUR alebo 4 % za porušenie zásad, právnych základov, práv dotknutých osôb a pravidiel prenosu.

Článok 82 GDPR dáva každému, kto utrpel majetkovú alebo nemajetkovú ujmu, právo na náhradu škody od prevádzkovateľa alebo sprostredkovateľa. V Holandsku nadácie čoraz častejšie podávajú takéto žaloby kolektívne podľa zákona o urovnávaní hromadných škôd v kolektívnych žalobách ( Wet afwikkeling massaschade in collectieve actie , WAMCA, článok 3:305a BW).

Ak nezákonné zdieľanie vedie k porušeniu ochrany údajov, článok 33 vyžaduje oznámenie AP bez zbytočného odkladu a, ak je to možné, do 72 hodín, pokiaľ je nepravdepodobné, že porušenie povedie k riziku. Podľa článku 34 musíte tiež informovať dotknuté osoby, ak je riziko pre ne vysoké. Interne zdokumentujte každé porušenie vrátane tých, ktorým ste porušenie neoznámili.

Čo by ste mali skontrolovať ako organizácia zdieľajúca údaje?

Ako prevádzkovateľ nesiete hlavnú zodpovednosť a musíte byť schopní preukázať súlad s článkom 5(2) GDPR. Predtým, ako údaje opustia vašu organizáciu, skontrolujte tieto body:

• Právny základ podľa článku 6 je identifikovaný a v prípade oprávnených záujmov je v spise vykonaný test vyváženosti.
• Úloha príjemcu je zaznamenaná vo vašom zázname o činnostiach spracovania podľa článku 30.
• Podpíše sa dohoda o spracovaní podľa článku 28 alebo dohoda podľa článku 26.
• Akýkoľvek prevod mimo EHP sa podlieha primeranosti alebo štandardným zmluvným doložkám a dohode o investíciách do dát.
• Bolo vykonané a zdokumentované posúdenie vplyvu na ochranu údajov.
• Vo vašom oznámení o ochrane osobných údajov je uvedený príjemca alebo jeho kategória.

Čo by ste si mali ako príjemca údajov overiť?

Ako spracovateľ alebo prijímajúci prevádzkovateľ máte svoje vlastné povinnosti a môžete byť pokutovaní priamo podľa článku 83 GDPR. Pred prijatím údajov si overte tieto body:

• Či konáte iba na základe pokynov (spracovateľ), alebo údaje používate aj na vlastné účely (prevádzkovateľ).
• Či pokyny v zmluve o spracovaní zodpovedajú tomu, čo s údajmi skutočne robíte.
• Či sú vaši subdodávatelia písomne ​​​​splnomocnení podľa článku 28(2).
• Či vaše bezpečnostné opatrenia spĺňajú článok 32 a či môžete prevádzkovateľovi bez zbytočného odkladu oznámiť porušenia (článok 33(2)).
• Či si uchovávate vlastné záznamy o spracovaní podľa článku 30(2).

Čo pre vás môžeme urobiť so zdieľaním údajov GDPR?

Náš tím pre IT právo sa zaoberá ochranou údajov v rámci dohôd s dodávateľmi, skupinami a partnermi. Konkrétne:

• Zmapujeme vaše toky údajov a pre každého príjemcu určíme, či ide o spracovateľa, spoločného prevádzkovateľa alebo nezávislého prevádzkovateľa.
• Vypracúvame alebo kontrolujeme zmluvy o spracovaní údajov podľa článku 28 a dohody o spoločnom prevádzkovateľovi podľa článku 26.
• Posudzujeme prevody mimo EHP, kontrolujeme certifikácie DPF a vypracúvame posúdenie vplyvu prevodu.
• Vykonávame alebo kontrolujeme DPIA a samotné DPIA.
• Aktualizujeme vaše oznámenie o ochrane osobných údajov, aby boli príjemcovia a prevody správne menovaní.
• Pomôžeme vám s vyšetrovaním AP alebo s oznámením o narušení bezpečnosti v 72-hodinovej lehote.

zhrnutie

• Každé zdieľanie osobných údajov si vyžaduje právny základ podľa článku 6 GDPR; obchodný dôvod nestačí.
• Pre každého príjemcu určte, či ide o spracovateľa, spoločného prevádzkovateľa alebo nezávislého prevádzkovateľa, a zdokumentujte to.
• Zmluva o spracovaní podľa článku 28 je pre spracovateľov povinná; bez nej porušujete zmluvu od prvého dňa.
• Prenosy mimo EHP vyžadujú primeranosť (napríklad certifikáciu DPF) alebo záruky a posúdenie vplyvu prenosu.
• Pseudonymizované údaje zostávajú osobnými údajmi pre toho, kto má kľúč, a vaše oznámenie o ochrane osobných údajov musí konkrétne menovať príjemcov.

Často kladené otázky