EU pravo i GDPR

Prekogranični prijenosi podataka: Navigacija kroz GDPR, PIPA i lokalna ograničenja

7. juli 2026. · 17 min čitanja

Brzi odgovor: Prekogranični prijenosi podataka uključuju premještanje osobnih podataka preko nacionalnih granica, a regulirani su nizom preklapajućih zakona, uključujući GDPR EU-a, PIPA-u Južne Koreje, PIPL Kine i razne sektorske režime. Organizacije moraju identificirati koji se okviri primjenjuju na njihove tokove podataka, a zatim implementirati odobrene mehanizme prijenosa kao što su Standardne ugovorne klauzule ili odluke o adekvatnosti prije bilo kakvog prijenosa. Nepoštivanje može dovesti do kazni koje dosežu desetke miliona eura, regulatornih istraga i narušavanja ugleda.

Ključne spoznaje

GDPR ograničava izlazak osobnih podataka iz EEA-a osim ako su na snazi odluka o adekvatnosti, SCC-ovi ili Obvezujuća korporativna pravila.
PIPA Južne Koreje zahtijeva izričitu saglasnost ili zakonitu osnovu za prekogranične prijenose i razlikuje se od GDPR-a u nekoliko proceduralnih aspekata.
Kineski PIPL i Zakon o kibernetičkoj sigurnosti nameću neke od najstrožih zahtjeva za lokalizaciju podataka na svijetu, uključujući obavezne sigurnosne procjene za određene odlazne prijenose.
Standardne ugovorne klauzule (SCCs), ažurirane u junu 2021., ostaju najčešće korišteni mehanizam prijenosa za organizacije koje šalju podatke izvan EEA-a.
Studija iz 2021. godine koja je analizirala 10.080 mobilnih aplikacija otkrila je da je 56% potencijalno bilo neusklađeno sa zahtjevima GDPR-a za prekogranični prijenos. [7]
EU-US Data Privacy Framework zamijenio je poništeni Privacy Shield, ali organizacije bi trebale nastaviti pratiti njegov pravni status.
Lokalizacija podataka i ograničenja prijenosa podataka su povezani, ali različiti koncepti: lokalizacija nalaže gdje se podaci pohranjuju, dok ograničenja prijenosa reguliraju kada i kako se podaci mogu premještati.
Podaci o zaposlenicima nisu izuzeti od pravila prekograničnog prijenosa; često su potrebni zasebni sporazumi o prijenosu podataka ili odstupanja.
Troškovi usklađenosti uvelike variraju ovisno o veličini kompanije, količini podataka i broju uključenih jurisdikcija.
Platforme za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) mogu podržati organizacije u dokumentiranju zakonitih osnova i evidencija saglasnosti relevantnih za prekogranične tokove podataka.

Šta je prekogranični prijenos podataka i zašto je važan

Prekogranični prijenos podataka događa se kad god se osobni podaci premještaju iz jedne zemlje u drugu, bilo putem pohrane u oblaku, SaaS platformi, e-pošte ili API integracija. Ovo je važno jer se nacionalni zakoni o privatnosti odnose na same podatke, a ne samo na zemlju u kojoj je organizacija registrirana.

Za poduzeća koja posluju globalno, jedna HR platforma hostirana u Sjedinjenim Državama koja obrađuje evidencije zaposlenika iz ureda EU-a već predstavlja prekogranični prijenos podložan GDPR-u. Isto vrijedi i za marketinške agencije koje šalju popise e-pošte kupaca alatu za automatizaciju sa sjedištem u SAD-u, ili programere koji koriste analitičke usluge trećih strana usmjerene putem servera u zemljama izvan EEA-a.

Ulozi su visoki. Regulatorna provedba pojačana je u više jurisdikcija od 2021. godine, a nedostatak međunarodne harmonizacije u zakonima o zaštiti podataka stvara preklapanje pravila i suparničke standarde koji kompliciraju usklađenost za organizacije koje posluju preko granica. [8]

Kako GDPR utječe na slanje podataka izvan EU-a

GDPR zabranjuje prijenos osobnih podataka iz Europskog ekonomskog prostora (EEA) u treće zemlje osim ako je na snazi jedan od nekoliko odobrenih mehanizama. Tri primarna mehanizma su odluke o adekvatnosti, Standardne ugovorne klauzule i Obvezujuća korporativna pravila. [1]

Odluke o adekvatnosti donosi Europska komisija kada utvrdi da treća zemlja nudi razinu zaštite podataka u biti ekvivalentnu onoj u EEA-u. Od 2026. godine, odluke o adekvatnosti pokrivaju jurisdikcije uključujući Ujedinjeno Kraljevstvo, Japan, Južnu Koreju i nekoliko drugih. [1] Podaci mogu slobodno teći u te zemlje bez dodatnih zaštitnih mjera.

Standardne ugovorne klauzule (SCCs) su unaprijed odobreni predlošci ugovora koje izdaje Europska komisija. Modernizirani SCC-ovi, objavljeni 4. juna 2021., pokrivaju četiri scenarija prijenosa: kontrolor-kontroloru, kontrolor-obrađivaču, obrađivač-kontroloru i obrađivač-obrađivaču. [2]

Obvezujuća korporativna pravila (BCRs) su interne politike koje usvajaju multinacionalne korporativne grupe za reguliranje prijenosa unutar grupe. BCR-ovi zahtijevaju odobrenje vodećeg nadzornog tijela i moraju uključivati odredbe o pravnoj osnovi, pravima ispitanika i postupcima za pritužbe. [1]

"Organizacije moraju mapirati svoje tokove podataka kako bi identificirale sve prijenose i primijenile odgovarajuće zaštitne mjere prije nego što bilo koji osobni podaci napuste EEA." [1]

Šta je PIPA i na koje se zemlje primjenjuje

Zakon o zaštiti osobnih podataka (PIPA) Južne Koreje primarni je zakon o privatnosti podataka u zemlji, koji regulira prikupljanje, korištenje i prekogranični prijenos osobnih podataka od strane subjekata javnog i privatnog sektora. PIPA se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika Južne Koreje, bez obzira na to gdje je organizacija smještena.

PIPA zahtijeva da ispitanici budu obaviješteni o, i općenito pristanu na, prijenos svojih osobnih podataka u inozemstvo. Specifična otkrivanja moraju uključivati identitet primatelja, svrhu prijenosa, prenesene podatke, razdoblje zadržavanja i kako ispitanici mogu povući saglasnost.

Koja je razlika između GDPR-a i PIPA-e za prijenos podataka

I GDPR i PIPA reguliraju prekogranične prijenose podataka, ali se razlikuju u nekoliko proceduralnih i suštinskih tačaka. [6]

Dimenzija	GDPR (EU/EEA)	PIPA (Južna Koreja)
Mehanizam prijenosa	Odluka o adekvatnosti, SCC-ovi, BCR-ovi, odstupanja	Saglasnost, ugovorna nužnost, aranžmani ekvivalentni adekvatnosti
Prijenosi za sudsku saradnju	Dopušteni prema međunarodnim sporazumima	Nije izričito navedeno
Obavijest ispitanika	Obavezna za SCC-ove i BCR-ove	Obavezna u trenutku prikupljanja ili prijenosa
Nadzorno tijelo	Nacionalni DPA / EDPB	Komisija za zaštitu osobnih podataka (PIPC)
Kazne	Do 4% globalnog godišnjeg prometa	Do 300 miliona KRW (približno 220.000 USD) po prekršaju

Ključna praktična razlika: GDPR pruža veću fleksibilnost kroz više mehanizama prijenosa, dok se PIPA-in zadani zahtjev više oslanja na izričitu saglasnost, što infrastrukturu za upravljanje saglasnošću čini posebno važnom za organizacije koje posluju u Južnoj Koreji. [6]

Šta su Standardne ugovorne klauzule i da li su vam potrebne

Standardne ugovorne klauzule su unaprijed odobrene ugovorne odredbe koje izdaje Europska komisija, a koje pravno obvezuju izvoznika i uvoznika podataka da štite osobne podatke tokom prekograničnih prijenosa. Svaka organizacija koja šalje osobne podatke iz EEA-a u zemlju bez odluke o adekvatnosti gotovo sigurno treba SCC-ove. [2]

SCC-ovi iz 2021. zamijenili su starije verzije iz 2001. i 2010. godine i uveli modularnu strukturu koja pokriva sve odnose prijenosa podataka. Organizacije koje su koristile naslijeđene SCC-ove imale su rok za prijelaz do 27. decembra 2022. godine za migraciju na nove verzije.

Kada su vam potrebni SCC-ovi:

Slanje podataka o kupcima CRM-u ili marketinškoj platformi sa sjedištem u SAD-u
Korištenje pružatelja usluga u oblaku sa serverima izvan EEA-a
Dijeljenje podataka o zaposlenicima s matičnom kompanijom izvan EEA-a
Angažiranje obrađivača izvan EEA-a za analitiku, podršku ili razvoj

Kada vam možda neće trebati SCC-ovi:

Prijenos podataka u zemlju s odlukom o adekvatnosti
Oslanjanje na BCR-ove za prijenose unutar grupe
Primjena specifičnog odstupanja (npr. izričita saglasnost za povremene prijenose)

Koje zemlje imaju najstroža ograničenja prijenosa podataka

Kina i Rusija nameću najrestriktivnije režime prekograničnog prijenosa podataka globalno. Kineski PIPL (na snazi od 1. novembra 2021.) zahtijeva izričitu saglasnost, sigurnosne procjene koje provodi Kineska uprava za kibernetički prostor (CAC) za određene prijenose i standardne ugovore za druge. [3] Kineski Zakon o kibernetičkoj sigurnosti dodatno ograničava prekogranične prijenose osobnih podataka i "važnih podataka" prikupljenih putem operacija unutar Kine. [5]

Rusija nalaže da se osobni podaci ruskih građana pohranjuju na serverima smještenim unutar Rusije prije bilo kakvog prekograničnog prijenosa.

Ostale jurisdikcije s značajnim ograničenjima uključuju:

Indija: Zakon o zaštiti digitalnih osobnih podataka (DPDPA) ograničava prijenose u određene "crne liste" zemalja.
Indonezija: Vladina uredba 71 zahtijeva lokalizaciju podataka za određene operatere elektroničkih sistema.
Vijetnam: Zakon o kibernetičkoj sigurnosti nalaže lokalnu pohranu za određene kategorije podataka.

Mogu li prenijeti osobne podatke u SAD prema GDPR-u

Da, ali samo putem odobrenog mehanizma. EU-US Data Privacy Framework (DPF), usvojen u julu 2023., omogućava prijenose certificiranim američkim organizacijama bez SCC-ova. [9] Međutim, DPF se suočio s pravnim izazovima, a organizacije bi trebale zadržati SCC-ove kao rezervnu zaštitu s obzirom na historiju poništenja Privacy Shielda 2020. godine.

Za američke organizacije koje nisu certificirane prema DPF-u, SCC-ovi ostaju primarni mehanizam. Američki zakoni specifični za sektor, kao što je HIPAA, također nameću obaveze stranim subjektima koji obrađuju zaštićene zdravstvene informacije u ime američkih obuhvaćenih subjekata. [4]

Koja je razlika između lokalizacije podataka i ograničenja prijenosa podataka

Zakoni o lokalizaciji podataka zahtijevaju da se određeni podaci pohranjuju na serverima fizički smještenim unutar granica zemlje. Ograničenja prijenosa podataka reguliraju uvjete pod kojima se podaci mogu slati u inozemstvo, bez obzira na to gdje su pohranjeni.

Kompanija može biti usklađena s ograničenjima prijenosa podataka dok i dalje pohranjuje podatke izvan granica zemlje (ako je mehanizam prijenosa valjan). Suprotno tome, zemlja s zahtjevima za lokalizaciju podataka i dalje može dopustiti prekogranične prijenose sve dok se zadržava lokalna kopija. Kineski režim kombinira oboje: nalaže lokalnu pohranu za određene kategorije podataka i zasebno ograničava odlazne prijenose. [5]

Koliko košta uspostavljanje usklađenih prekograničnih prijenosa podataka

Troškovi usklađenosti ovise o veličini organizacije, složenosti podataka i broju uključenih jurisdikcija. Ne postoji jedinstvena referentna vrijednost, ali sljedeće kategorije troškova primjenjuju se na većinu organizacija:

Pravni pregled i izvršenje SCC-a: Kreće se od nekoliko hiljada dolara za male organizacije do šestocifrenih iznosa za poduzeća sa stotinama odnosa s dobavljačima.
Mapiranje podataka i revizije tokova: Vrijeme internog osoblja ili naknade vanjskih konsultanata; kompanije srednje veličine obično troše 20.000-100.000 USD za sveobuhvatnu reviziju.
Odobrenje BCR-a: Višegodišnji proces koji uključuje regulatorni angažman; obično rezerviran za velike multinacionalne kompanije s obzirom na ulaganje resursa.
Kontinuirano praćenje usklađenosti: Godišnji pregled odluka o adekvatnosti, ažuriranja SCC-a i novih zahtjeva jurisdikcija.

Ulaganje u platformu za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) može smanjiti tekuće troškove usklađenosti centraliziranjem evidencija saglasnosti i podržavanjem dokumentacije zakonitih osnova prijenosa.

Šta se događa ako kompanija prekrši pravila prekograničnog prijenosa podataka

Kršenja GDPR-a vezana za prekogranične prijenose spadaju u viši nivo kazni: do 20 miliona eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće. Nadzorna tijela izrekla su značajne kazne posebno za nezakonite prijenose, uključujući slučajeve koji uključuju podatke poslane u SAD bez odgovarajućih zaštitnih mjera.

Osim kazni, posljedice uključuju:

Obustava operacija prijenosa podataka od strane nadzornih tijela
Obavezne revizije i planovi korektivnih mjera
Građanske tužbe od strane ispitanika
Narušavanje ugleda i gubitak povjerenja kupaca

Prema kineskom PIPL-u, kršenja mogu rezultirati kaznama do 50 miliona RMB ili 5% godišnjeg prihoda iz prethodne godine, plus potencijalna obustava poslovnih operacija. [3]

Da li su mi potrebni sporazumi o prijenosu podataka za podatke o zaposlenicima

Da. Osobni podaci zaposlenika podliježu istim pravilima prekograničnog prijenosa kao i podaci o kupcima prema GDPR-u i većini drugih okvira privatnosti. Mnoge organizacije pogrešno pretpostavljaju da su ugovori o radu ili interne HR politike dovoljni; oni ne zamjenjuju potrebu za valjanim mehanizmom prijenosa.

Za multinacionalne grupe, BCR-ovi su često najpraktičnije rješenje za podatke o zaposlenicima jer pokrivaju sve prijenose unutar grupe pod jednim odobrenim okvirom. Alternativno, SCC-ovi se mogu izvršiti između subjekta koji zapošljava i subjekta koji prima unutar grupe.

Koje su uobičajene greške koje kompanije čine s međunarodnim prijenosima podataka

Najčešći propusti u usklađenosti u prekograničnim prijenosima podataka uključuju:

Propust u mapiranju tokova podataka: Organizacije ne mogu primijeniti ispravan mehanizam ako ne znaju gdje podaci idu. Studija iz 2021. otkrila je da je 56% analiziranih mobilnih aplikacija potencijalno bilo neusklađeno sa zahtjevima GDPR-a za prijenos, uglavnom zbog neobjavljenih tokova podataka trećih strana. [7]
Korištenje zastarjelih SCC-ova: Organizacije koje nisu migrirale s naslijeđenih SCC-ova na verzije iz 2021. do roka 27. decembra 2022. posluju s nevažećim ugovorima.
Pretpostavka da pružatelji usluga u oblaku rješavaju usklađenost: Pružatelji usluga u oblaku pružaju sporazume o obradi podataka, ali kontrolor podataka ostaje odgovoran za osiguravanje postojanja valjanog mehanizma prijenosa.
Ignoriranje lanaca podobrađivača: Kada obrađivač angažira podobrađivača u trećoj zemlji, izvorni kontrolor mora osigurati da se SCC-ovi ili ekvivalentne zaštitne mjere protežu niz lanac.
Previđanje podataka o zaposlenicima: HR sistemi, platne liste i alati za saradnju često prenose podatke o zaposlenicima preko granica bez odgovarajućih sporazuma.

Kako znati da li se moje poslovanje treba brinuti o prekograničnim ograničenjima

Svaka organizacija koja prikuplja osobne podatke od stanovnika regulirane jurisdikcije i koristi alate, dobavljače ili infrastrukturu smještenu izvan te jurisdikcije mora se pozabaviti zahtjevima za prekogranični prijenos. To se odnosi čak i na mala poduzeća koja koriste platforme za marketing e-pošte ili analitičke alate hostirane u SAD-u.

Koristite ovo pravilo odluke:

Ako prikupljate podatke od stanovnika EU/EEA i koristite bilo kojeg dobavljača izvan EEA-a, primjenjuju se pravila prijenosa GDPR-a.
Ako obrađujete podatke stanovnika Južne Koreje i dijelite ih s inozemnim subjektima, primjenjuje se PIPA.
Ako poslujete u Kini i prenosite osobne podatke ili "važne podatke" izvan Kine, primjenjuju se PIPL i Zakon o kibernetičkoj sigurnosti.
Ako ste američki subjekt koji prima osobne podatke iz EU-a, potrebna vam je ili DPF certifikacija ili SCC-ovi od vaših EU partnera.

APEC Cross-Border Privacy Rules (CBPR) sistem nudi put certifikacije za organizacije koje posluju u ekonomijama članicama Azijsko-pacifičke regije, pružajući priznati okvir usklađenosti za prijenose unutar APEC-a. [9]

Česta pitanja

Koji je najjednostavniji pravni način prijenosa podataka između zemalja? Prijenos podataka u zemlju s odlukom o adekvatnosti EU-a najjednostavniji je put prema GDPR-u, jer nisu potrebni dodatni ugovori ili zaštitne mjere. Za druge destinacije, izvršenje Standardnih ugovornih klauzula s primateljem podataka najjednostavnija je opcija.

Jesu li SCC-ovi potrebni za svaki međunarodni prijenos? Ne. SCC-ovi su potrebni prilikom prijenosa podataka iz EEA-a u zemlju bez odluke o adekvatnosti i kada se ne primjenjuje nijedan drugi valjani mehanizam (BCR-ovi, obvezujuća odstupanja). Prijenosi u zemlje odobrene adekvatnošću ne zahtijevaju SCC-ove.

Primjenjuje li se GDPR na kompanije izvan EU-a? Da. GDPR se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika EEA-a, bez obzira na to gdje je organizacija osnovana, ako nudi robu ili usluge stanovnicima EEA-a ili prati njihovo ponašanje.

Šta je EU-US Data Privacy Framework? EU-US Data Privacy Framework je mehanizam adekvatnosti usvojen u julu 2023. koji omogućava certificiranim američkim organizacijama da primaju osobne podatke iz EEA-a bez SCC-ova. Organizacije se moraju samocertificirati pri Ministarstvu trgovine SAD-a i obvezati se na specifične principe zaštite podataka.

Može li samo saglasnost opravdati prekogranični prijenos prema GDPR-u? Izričita saglasnost može poslužiti kao odstupanje za povremene prijenose, ali nije održiv mehanizam za sistematske ili velike prijenose. Nadzorna tijela upozorila su na oslanjanje na saglasnost kao primarni mehanizam prijenosa za rutinske poslovne operacije.

Šta je procjena utjecaja prijenosa (TIA)? TIA je analiza koju organizacije moraju provesti prije oslanjanja na SCC-ove kako bi procijenile da li pravni okvir zemlje odredišta potkopava zaštite u SCC-ovima. Postao je obavezan korak nakon presude Schrems II 2020. godine.

Pokriva li PIPA B2B podatke? PIPA pokriva osobne podatke fizičkih osoba. Poslovne kontakt informacije (ime, poslovna e-pošta, poslovni telefon) mogu spadati u opseg PIPA-e ovisno o tome kako se obrađuju, tako da organizacije ne bi trebale pretpostavljati da su B2B podaci automatski izuzeti.

Koliko dugo traje odobrenje BCR-a? Odobrenje BCR-a obično traje dvije do tri godine, ovisno o složenosti korporativne grupe i odzivu vodećeg nadzornog tijela. To je proces koji zahtijeva mnogo resursa i najbolje odgovara velikim multinacionalnim kompanijama.

Koju ulogu ima platforma za upravljanje saglasnošću u prekograničnoj usklađenosti? Platforma za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) pomaže organizacijama da prikupe, pohrane i demonstriraju evidencije zakonite saglasnosti, koje su relevantne kada se saglasnost koristi kao pravna osnova za obradu ili prijenos. Također podržava obaveze transparentnosti otkrivanjem primatelja podataka trećih strana korisnicima.

Postoje li kazne za korištenje zastarjelih SCC-ova? Da. Korištenje SCC-ova prije 2021. nakon roka za prijelaz 27. decembra 2022. čini mehanizam prijenosa nevažećim, izlažući organizaciju istim kaznama kao da uopće nema mehanizma.

Zaključak

Prekogranični prijenosi podataka nalaze se na raskrižju poslovnih operacija i regulatornih obaveza, a krajolik usklađenosti značajno je postao složeniji od 2021. godine. GDPR, PIPA, kineski PIPL i sve veći broj nacionalnih okvira nameću različite zahtjeve, a organizacije koje usklađenost tretiraju kao jednokratnu vježbu, a ne kao kontinuirani program, suočavaju se s stvarnim rizikom provedbe.

Akcijski koraci za 2026. godinu:

Provedite reviziju toka podataka kako biste identificirali svaki prekogranični prijenos koji vaša organizacija vrši, uključujući one putem dobavljača trećih strana i podobrađivača.
Provjerite jesu li vaši mehanizmi prijenosa ažurni: potvrdite da su SCC-ovi verzije iz 2021., provjerite pokrivaju li odluke o adekvatnosti vaše odredišne zemlje i ažurirajte sve istekle ili nedostajuće sporazume.
Procijenite izloženost Kini i APAC-u zasebno, jer PIPL i lokalni zakoni o lokalizaciji podataka zahtijevaju posebne korake usklađenosti izvan mjera usklađenih s GDPR-om.
Dokumentirajte procjene utjecaja prijenosa za sve prijenose temeljene na SCC-u u zemlje koje nisu adekvatne, posebno Sjedinjene Države.
Implementirajte rješenje za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) za održavanje revizibilnih evidencija saglasnosti i podršku otkrivanju transparentnosti ispitanicima.
Pratite regulatorne promjene uključujući pravni status EU-US Data Privacy Frameworka i sve nove odluke o adekvatnosti koje je izdala Europska komisija.

Organizacije koje usklađenost prekograničnog prijenosa podataka ugrade u svoje operativne procese, umjesto da je tretiraju kao pravnu formalnost, bolje su pozicionirane za globalno širenje bez regulatornih poremećaja.