Euroopa Liidu andmekaitse üldmäärus (General Data Protection Regulation – GDPR) on kehtestanud ranged reeglid andmete edastamisel kolmandatesse riikidesse ja rahvusvahelistesse organisatsioonidesse.
Millised on kolmandad riigid?
Kolmandateks riikideks GDPR kontekstis on riigid väljaspool Euroopa Liitu, Euroopa Majanduspiirkonda, ja USA-d (mis on omakorda piiratud Privacy Shield raamistikuga). Samuti ei loeta kolmandateks riikideks järgmisi riike: Andorra, Argentina, Kanada (kaubandusorganisatsioonid), Fääri saared, Guernesey, Iisrael, Mani saar, Jersey, Uus-Meremaa, Šveits ja Uruguay. Jaapani ja Lõuna-Koreaga läbirääkimised käivad.
Kolmandatesse riikidesse isikuandmete edastamise tingimused
Kui ettevõtted edastavad isikuandmeid kolmandatesse riikidesse, peavad olema täidetud järgmised tingimused:
GDPR artikkel 46 lg 2 lubab ettevõtetel edastada isikuandmeid kolmandatele riikidele, kui ettevõtted on rakendanud asjakohaseid kaitsemeetmeid, näiteks siduvad kontsernisisesed eeskirjad, standardsed andmekaitseklauslid, heakskiidetud toimimisjuhendid ja sertifitseerimismehhanismid. Ettevõtetele sobiv kaitsemeede on Euroopa Komisjoni poolt vastu võetud standardsete andmekaitseklauslitega tüüplepingud. Vastavad lepingud reguleerivad andmeedastust vastutava töötleja ja volitatud töötleja vahel. Näiteks, kui ettevõte soovib kasutada väljaspool Euroopa Liitu asuvaid pilvteenuseid, saab isikuandmete edastamist ja töötlemist reguleerida standardseid andmekaitseklausleid sisaldava lepinguga (Data Processing Agreement – DPA).
Isikuandmete kolmandatesse riikidesse edastamise vajadus
GDPR artikkel 49 lg 1 sätestab, et kaitse piisavuse otsuse või asjakohaste kaitsemeetmete puudumisel võib kolmandale riigile või rahvusvahelisele organisatsioonile isikuandmete ühekordne või korduv edastamine olla lubatud ainult teatud tingimustel:
- andmesubjekti selgesõnaline nõusolek, sealjuures peab ettevõte teatama andmesubjektile kõikidest riskidest, mis võivad tekkida andmete edastamisel;
- andmete edastamine on vajalik lepingu täitmiseks;
- õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.
GDPR artikkel 49 alusel on isikuandmete edastamine lubatud üksnes juhul, kui see on juhuslik ja vajalik. See tähendab, et ettevõte peab hindama, kui tihti isikuandmeid edastatakse ja kas isikuandmete kolmandasse riiki saatmine on möödapäästmatu vajadus või on võimalik saavutada sama tulemus Euroopa Liidus sees. Lepingu täitmist saab kasutada õigusliku alusena näiteks reisifirmade puhul, kes edastavad klientide isikuandmeid hotellidele või teistele teenusepakkujatele, kes korraldavad klientide välismaal viibimist.
Ettevõtted on kohustatud dokumenteerima andmete edastamist kolmandatesse riikidesse või rahvusvahelistele organisatsioonidele vastavalt artiklile 30 (isikuandmete töötlemisülevaated).
