Předávání založené na vhodných zárukách garantovaných správcem/vývozcem údajů
Třetí země mimo Evropskou unii, resp. mimo Evropský hospodářský prostor (nebo mezinárodní organizace), které Komise neprohlásila svým rozhodnutím o odpovídající úrovni ochrany osobních údajů za bezpečné, jsou považovány za třetí země s nedostatečnou úrovní ochrany osobních údajů.
Do třetích zemí s nedostatečnou úrovní ochrany osobních údajů je předání osobních údajů obecně možné jen na základě vytvoření vhodných záruk podle čl. 46 obecného nařízení, jinak je možné jen ve specifických situacích podle čl. 49 obecného nařízení.
Obecně platí, že k předání osobních údajů do třetích zemí s nedostatečnou úrovní ochrany osobních údajů již není nutné předchozí povolení Úřadu.
Standardní nástroje podle čl. 46 (2) obecného nařízení
Správce osobních údajů tedy může předání realizovat bez předchozího povolení Úřadu, pokud využije některý ze standardních nástrojů pro vytvoření vhodných záruk:
a) právně závazný a vymahatelný nástroj mezi orgány veřejné moci nebo veřejnými subjekty, tzn. zpravidla mezinárodní smlouva;
b) závazná podniková pravidla;
c) a d) standardní smluvní doložky podle rozhodnutí Komise (ať již přijaté Komisí přímo nebo schválené Komisí po předložení dozorovým úřadem)
e) schválený kodex chování v kombinaci se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky;
f) schválená certifikace v kombinaci se závaznými a vymahatelnými závazky správce nebo zpracovatele ve třetí zemi uplatňovat vhodné záruky.
Nestandardní nástroje podle čl. 46 (3) obecného nařízení
Povolení Úřadu je nutné pouze v případech, kdy správce osobních údajů hodlá předání realizovat na základě nestandardních nástrojů pro vytvoření vhodných záruk:
- nestandardní smluvní doložky;
- správní ujednání mezi orgány veřejné moci nebo veřejnými subjekty, která zahrnují vymahatelná a účinná práva subjektů údajů.
I v těchto případech se spíše než o povolení předání jedná o schválení nestandardního nástroje pro předávání osobních údajů, které vyžaduje plné uplatnění mechanismu jednotnosti včetně vydání kladného stanoviska Evropským sborem pro ochranu osobních údajů.
Tzv. nestandardní smluvní doložky jsou takové, které nejsou předem schválené Komisí nebo dozorovým úřadem, ale jsou vytvořené ad hoc správcem/vývozcem údajů. Vývozce a dovozce údajů se mohou domluvit, že osobní údaje budou předávány na základě dohodnutých pravidel, vtělených do smluvních doložek, které budou poskytovat předávaným údajům určitou míru ochrany. Předávání osobních údajů na základě nestandardních smluvních doložek vyžadují předchozí schválení Úřadu.
