Novi modeli ugovornih klauzula – SCC i DPA

U skladu s ranijim neslužbenim najavama Europska komisija objavila je nacrt novih standardnih ugovornih klauzula za prijenos osobnih podataka i ispunila obećanje da će proces modernizacije klauzula završiti do kraja 2020. godine. Iako Komisija već duže vrijeme radi na novom modelu klauzula, presuda Suda EU u slučaju Schrems II zasigurno je utjecala na tijek ovog dugotrajnog procesa.

Prijedlog novog modela otvoren je za javnu raspravu do 10. prosinca ove godine, a predviđen je rok od 12 mjeseci za prilagodbu, do kada bi svi voditelji i izvršitelji obrade trebali svoje odnose i prijenose podataka urediti prema novom modelu klauzula.

Posebno ističemo dvije novosti.

Novi prijedlog je modularnog karaktera te ugovorne strane, ovisno o svojem odnosu i ulogama u obradi, „biraju“ klauzule i anekse koji su primjenjivi na njihov specifičan odnos.

Druga značajna izmjena odnosi se na proširenje odnosa koje je moguće urediti standardnim ugovornim klauzulama. Naime trenutno su u primjeni SCC koje uređuju odnose:

  • Voditelj (izvoznik) i voditelj (uvoznik)
  • Voditelj (izvoznik) i izvršitelj (uvoznik),

a novi prijedlog novog modela obuhvaća i odnose:

  • Izvršitelj (izvoznik) i izvršitelj (uvoznik)
  • Izvršitelj (izvoznik) i voditelj (uvoznik).

Prijedlogom su obuhvaćene i neke od nedavno objavljenih preporuka EDPB-a te se vodilo računa o zaključcima iz Schrems II presude, stoga možemo zaključiti da je ovakav pristup definitivno korak naprijed i da će SCC i dalje ostati najčešće korištena mjera zaštite podataka prilikom prijenosa u treće zemlje.

Napominjemo da novi model SCC-a ne rješava na jedinstveni način i prijenose podataka u SAD. Kao i u trenutno važećem modelu i dalje postoji jasna obveza ugovornih strana koja se odnosi na ocjenu nacionalnih zakona koji bi mogli negativno utjecati na temeljna prava i slobode ispitanika. Ova obveza detaljno je definirana novom Klauzulom 2. (Local laws affecting compliance with the Clauses).

Osim prijedloga novih SCC za prijenos podataka u treće zemlje, Komisija je objavila i nacrt standardnog ugovora o obradi osobnih podataka (DPA) koji obuhvaća zahtjeve definirane člankom 28. GDPR-a. Prijedlog DPA nije obvezan za primjenu što znači da voditelji i izvršitelji ne moraju mijenjati postojeće ugovore o obradi podataka pod uvjetom da su sklopljeni u skladu s člankom 28. i primjenjivi u praksi.