Právo EU a GDPR

Přeshraniční přenosy dat: Orientace v GDPR, PIPA a místních omezeních

7. července 2026 · 17 min čtení

Stručná odpověď: Přeshraniční přenosy dat zahrnují přesun osobních údajů přes národní hranice a řídí se souborem překrývajících se zákonů, včetně GDPR EU, jihokorejského PIPA, čínského PIPL a různých sektorově specifických režimů. Organizace musí identifikovat, které rámce se vztahují na jejich datové toky, a poté implementovat schválené mechanismy přenosu, jako jsou Standardní smluvní doložky nebo rozhodnutí o odpovídající ochraně, před jakýmkoli přenosem. Nedodržení může vést k pokutám dosahujícím desítek milionů eur, regulačním šetřením a poškození reputace.

Klíčové poznatky

GDPR omezuje opuštění osobních údajů z EHP, pokud není zavedeno rozhodnutí o odpovídající ochraně, SCC nebo Závazná podniková pravidla.
Jihokorejský PIPA vyžaduje výslovný souhlas nebo právní základ pro přeshraniční přenosy a v několika procedurálních ohledech se liší od GDPR.
Čínský PIPL a Zákon o kybernetické bezpečnosti ukládají jedny z nejpřísnějších požadavků na lokalizaci dat na světě, včetně povinných bezpečnostních posouzení pro určité odchozí přenosy.
Standardní smluvní doložky (SCC), aktualizované v červnu 2021, zůstávají nejpoužívanějším mechanismem přenosu pro organizace odesílající data mimo EHP.
Studie z roku 2021 analyzující 10 080 mobilních aplikací zjistila, že 56 % potenciálně nedodržovalo požadavky GDPR na přeshraniční přenosy. [7]
Rámec EU-USA pro ochranu soukromí dat nahradil zneplatněný Privacy Shield, ale organizace by měly nadále sledovat jeho právní status.
Lokalizace dat a omezení přenosu dat jsou související, ale odlišné koncepty: lokalizace nařizuje, kde jsou data uložena, zatímco omezení přenosu řídí, kdy a jak se data mohou pohybovat.
Údaje o zaměstnancích nejsou vyňaty z pravidel přeshraničního přenosu; často jsou vyžadovány samostatné dohody o přenosu dat nebo výjimky.
Náklady na dodržování se značně liší v závislosti na velikosti společnosti, objemu dat a počtu dotčených jurisdikcí.
Platformy pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), mohou podporovat organizace při dokumentování právních základů a záznamů souhlasu relevantních pro přeshraniční datové toky.

Co je přeshraniční přenos dat a proč je důležitý

K přeshraničnímu přenosu dat dochází vždy, když se osobní údaje přesunou z jedné země do druhé, ať už prostřednictvím cloudového úložiště, platforem SaaS, e-mailu nebo integrací API. To je důležité, protože národní zákony o ochraně soukromí se vztahují na samotná data, nikoli pouze na zemi, kde je organizace založena.

Pro podniky s globálními operacemi představuje jediná HR platforma hostovaná ve Spojených státech, která zpracovává záznamy zaměstnanců z kanceláří EU, již přeshraniční přenos podléhající GDPR. Totéž platí pro marketingové agentury, které posílají seznamy e-mailů zákazníků do automatizačního nástroje se sídlem v USA, nebo pro vývojáře, kteří používají analytické služby třetích stran směrované přes servery v zemích mimo EHP.

Sázky jsou vysoké. Regulační vymáhání se od roku 2021 zintenzivnilo v mnoha jurisdikcích a nedostatek mezinárodní harmonizace v zákonech o ochraně dat vytváří překrývání pravidel a konkurenční standardy, které komplikují dodržování pro organizace působící přes hranice. [8]

Jak GDPR ovlivňuje odesílání dat mimo EU

GDPR zakazuje přenos osobních údajů z Evropského hospodářského prostoru (EHP) do třetích zemí, pokud není zaveden jeden z několika schválených mechanismů. Tři primární mechanismy jsou rozhodnutí o odpovídající ochraně, Standardní smluvní doložky a Závazná podniková pravidla. [1]

Rozhodnutí o odpovídající ochraně vydává Evropská komise, když určí, že třetí země nabízí úroveň ochrany dat v podstatě rovnocennou s úrovní v EHP. K roku 2026 rozhodnutí o odpovídající ochraně pokrývají jurisdikce včetně Spojeného království, Japonska, Jižní Koreje a několika dalších. [1] Data mohou do těchto zemí volně proudit bez dalších záruk.

Standardní smluvní doložky (SCC) jsou předem schválené smluvní šablony vydané Evropskou komisí. Modernizované SCC, zveřejněné 4. června 2021, pokrývají čtyři scénáře přenosu: správce-správci, správce-zpracovateli, zpracovatel-správci a zpracovatel-zpracovateli. [2]

Závazná podniková pravidla (BCR) jsou interní zásady přijaté nadnárodními korporátními skupinami k řízení vnitroskupinových přenosů. BCR vyžadují schválení od vedoucího dozorového úřadu a musí obsahovat ustanovení o právním základu, právech subjektů údajů a postupech pro podávání stížností. [1]

"Organizace musí mapovat své datové toky, aby identifikovaly všechny přenosy a uplatnily vhodné záruky předtím, než jakékoli osobní údaje opustí EHP." [1]

Co je PIPA a na které země se vztahuje

Jihokorejský zákon o ochraně osobních údajů (PIPA) je primárním zákonem země o ochraně soukromí dat, který upravuje shromažďování, používání a přeshraniční přenos osobních údajů jak veřejnými, tak soukromými subjekty. PIPA se vztahuje na jakoukoli organizaci zpracovávající osobní údaje jihokorejských obyvatel, bez ohledu na to, kde je organizace sídlí.

PIPA vyžaduje, aby subjekty údajů byly informovány o přeshraničním přenosu svých osobních údajů a obecně s ním souhlasily. Specifická oznámení musí zahrnovat identitu příjemce, účel přenosu, přenášené datové položky, dobu uchovávání a způsob, jakým mohou subjekty údajů odvolat souhlas.

Jaký je rozdíl mezi GDPR a PIPA pro přenosy dat

GDPR i PIPA regulují přeshraniční přenosy dat, ale v několika procedurálních a věcných bodech se rozcházejí. [6]

Rozměr	GDPR (EU/EHP)	PIPA (Jižní Korea)
Mechanismus přenosu	Rozhodnutí o odpovídající ochraně, SCC, BCR, výjimky	Souhlas, smluvní nutnost, ujednání rovnocenná s odpovídající ochranou
Přenosy pro soudní spolupráci	Povoleny na základě mezinárodních dohod	Není výslovně uvedeno
Oznámení subjektu údajů	Vyžadováno pro SCC a BCR	Vyžadováno v době shromažďování nebo přenosu
Dozorový úřad	Národní DPA / EDPB	Komise pro ochranu osobních údajů (PIPC)
Pokuty	Až 4 % celkového ročního obratu	Až 300 milionů KRW (přibližně 220 000 USD) za porušení

Klíčový praktický rozdíl: GDPR poskytuje větší flexibilitu prostřednictvím více mechanismů přenosu, zatímco výchozí požadavek PIPA se více opírá o výslovný souhlas, což činí infrastrukturu pro správu souhlasu obzvláště důležitou pro organizace působící v Jižní Koreji. [6]

Co jsou Standardní smluvní doložky a potřebujete je

Standardní smluvní doložky jsou předem schválená smluvní ustanovení vydaná Evropskou komisí, která právně zavazují vývozce a dovozce dat k ochraně osobních údajů během přeshraničních přenosů. Jakákoli organizace odesílající osobní údaje z EHP do země bez rozhodnutí o odpovídající ochraně téměř jistě potřebuje SCC. [2]

SCC z roku 2021 nahradily starší verze z let 2001 a 2010 a zavedly modulární strukturu pokrývající všechny vztahy přenosu dat. Organizace, které používaly starší SCC, měly přechodnou lhůtu do 27. prosince 2022 na migraci na nové verze.

Kdy potřebujete SCC:

Odesílání zákaznických dat do CRM nebo marketingové platformy se sídlem v USA
Používání cloudového poskytovatele se servery mimo EHP
Sdílení dat zaměstnanců s mateřskou společností mimo EHP
Zapojení zpracovatele mimo EHP pro analýzy, podporu nebo vývoj

Kdy SCC možná nepotřebujete:

Přenos dat do země s rozhodnutím o odpovídající ochraně
Spoléhání se na BCR pro vnitroskupinové přenosy
Uplatnění specifické výjimky (např. výslovný souhlas pro příležitostné přenosy)

Které země mají nejpřísnější omezení přenosu dat

Čína a Rusko ukládají nejpřísnější režimy přeshraničního přenosu dat na světě. Čínský PIPL (účinný od 1. listopadu 2021) vyžaduje výslovný souhlas, bezpečnostní posouzení prováděná Správou kybernetického prostoru Číny (CAC) pro určité přenosy a standardní smlouvy pro ostatní. [3] Čínský zákon o kybernetické bezpečnosti dále omezuje přeshraniční přenosy osobních údajů a „důležitých dat“ shromážděných prostřednictvím operací v Číně. [5]

Rusko nařizuje, aby osobní údaje ruských občanů byly uloženy na serverech umístěných v Rusku před jakýmkoli přeshraničním přenosem.

Mezi další jurisdikce s významnými omezeními patří:

Indie: Zákon o ochraně digitálních osobních údajů (DPDPA) omezuje přenosy do určitých „černých listin“ zemí.
Indonésie: Vládní nařízení 71 vyžaduje lokalizaci dat pro určité provozovatele elektronických systémů.
Vietnam: Zákon o kybernetické bezpečnosti nařizuje místní ukládání pro určité kategorie dat.

Mohu přenášet osobní údaje do USA podle GDPR

Ano, ale pouze prostřednictvím schváleného mechanismu. Rámec EU-USA pro ochranu soukromí dat (DPF), přijatý v červenci 2023, umožňuje přenosy certifikovaným americkým organizacím bez SCC. [9] DPF však čelil právním výzvám a organizace by měly udržovat SCC jako záložní záruku vzhledem k historii zneplatnění Privacy Shield v roce 2020.

Pro americké organizace, které nejsou certifikovány podle DPF, zůstávají SCC primárním mechanismem. Sektorově specifické americké zákony, jako je HIPAA, také ukládají povinnosti zahraničním subjektům zpracovávajícím chráněné zdravotní informace jménem amerických krytých subjektů. [4]

Jaký je rozdíl mezi lokalizací dat a omezeními přenosu dat

Zákony o lokalizaci dat vyžadují, aby určitá data byla uložena na serverech fyzicky umístěných v hranicích země. Omezení přenosu dat upravují podmínky, za kterých mohou být data odesílána do zahraničí, bez ohledu na to, kde jsou uložena.

Společnost může dodržovat omezení přenosu dat a přitom stále ukládat data mimo hranice země (pokud je mechanismus přenosu platný). Naopak země s požadavky na lokalizaci dat může stále povolit přeshraniční přenosy, pokud je zachována místní kopie. Čínský režim kombinuje obojí: nařizuje místní ukládání pro určité kategorie dat a samostatně omezuje odchozí přenosy. [5]

Kolik stojí nastavení vyhovujících přeshraničních přenosů dat

Náklady na dodržování závisí na velikosti organizace, složitosti dat a počtu dotčených jurisdikcí. Neexistuje žádný jednotný benchmark, ale následující kategorie nákladů platí pro většinu organizací:

Právní posouzení a provedení SCC: Pohybuje se od několika tisíc dolarů pro malé organizace po šestimístné částky pro podniky se stovkami dodavatelských vztahů.
Mapování dat a audity toků: Čas interních zaměstnanců nebo poplatky externích konzultantů; společnosti střední velikosti obvykle utratí 20 000–100 000 USD za komplexní audit.
Schválení BCR: Víceletý proces zahrnující regulační zapojení; obvykle vyhrazeno pro velké nadnárodní společnosti vzhledem k investicím do zdrojů.
Průběžné monitorování dodržování: Roční přezkum rozhodnutí o odpovídající ochraně, aktualizací SCC a požadavků nových jurisdikcí.

Investice do platformy pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), může snížit průběžné náklady na dodržování centralizací záznamů souhlasu a podporou dokumentace právních základů přenosu.

Co se stane, když společnost poruší pravidla přeshraničního přenosu dat

Porušení GDPR související s přeshraničními přenosy spadají do vyšší kategorie pokut: až 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, co je vyšší. Dozorové úřady uložily značné pokuty konkrétně za nezákonné přenosy, včetně případů týkajících se dat odeslaných do USA bez odpovídajících záruk.

Kromě pokut patří mezi důsledky:

Pozastavení operací přenosu dat dozorovými úřady
Povinné audity a plány nápravných opatření
Občanskoprávní nároky od subjektů údajů
Poškození reputace a ztráta důvěry zákazníků

Podle čínského PIPL mohou porušení vést k pokutám až do výše 50 milionů RMB nebo 5 % ročních příjmů z předchozího roku, plus potenciální pozastavení obchodních operací. [3]

Potřebuji dohody o přenosu dat pro údaje o zaměstnancích

Ano. Osobní údaje zaměstnanců podléhají stejným pravidlům přeshraničního přenosu jako údaje zákazníků podle GDPR a většiny ostatních rámců ochrany soukromí. Mnoho organizací se mylně domnívá, že pracovní smlouvy nebo interní HR zásady postačují; nenahrazují potřebu platného mechanismu přenosu.

Pro nadnárodní skupiny jsou BCR často nejpraktičtějším řešením pro údaje o zaměstnancích, protože pokrývají všechny vnitroskupinové přenosy pod jediným schváleným rámcem. Alternativně mohou být SCC uzavřeny mezi zaměstnávajícím subjektem a přijímajícím subjektem v rámci skupiny.

Jaké jsou běžné chyby, kterých se společnosti dopouštějí při mezinárodních přenosech dat

Mezi nejčastější selhání v dodržování předpisů při přeshraničních přenosech dat patří:

Neschopnost mapovat datové toky: Organizace nemohou použít správný mechanismus, pokud nevědí, kam data jdou. Studie z roku 2021 zjistila, že 56 % analyzovaných mobilních aplikací potenciálně nedodržovalo požadavky GDPR na přenos, převážně kvůli nezveřejněným datovým tokům třetích stran. [7]
Používání zastaralých SCC: Organizace, které do termínu 27. prosince 2022 nepřešly ze starších SCC na verze z roku 2021, fungují na neplatných smlouvách.
Předpoklad, že cloudoví poskytovatelé řeší dodržování předpisů: Cloudoví poskytovatelé dodávají dohody o zpracování dat, ale správce dat zůstává odpovědný za zajištění existence platného mechanismu přenosu.
Ignorování řetězců subzpracovatelů: Když zpracovatel zapojí subzpracovatele ve třetí zemi, původní správce musí zajistit, aby se SCC nebo rovnocenné záruky rozšířily po celém řetězci.
Přehlížení dat zaměstnanců: HR systémy, mzdové platformy a nástroje pro spolupráci často přenášejí data zaměstnanců přes hranice bez vhodných dohod.

Jak zjistím, zda se moje firma musí obávat přeshraničních omezení

Jakákoli organizace, která shromažďuje osobní údaje od obyvatel regulované jurisdikce a používá nástroje, dodavatele nebo infrastrukturu umístěnou mimo tuto jurisdikci, musí řešit požadavky na přeshraniční přenos. To platí i pro malé podniky používající e-mailové marketingové platformy nebo analytické nástroje hostované v USA.

Použijte toto rozhodovací pravidlo:

Pokud shromažďujete data od obyvatel EU/EHP a používáte jakéhokoli dodavatele mimo EHP, platí pravidla přenosu GDPR.
Pokud zpracováváte data jihokorejských obyvatel a sdílíte je se zámořskými subjekty, platí PIPA.
Pokud působíte v Číně a přenášíte osobní údaje nebo „důležitá data“ mimo Čínu, platí PIPL a Zákon o kybernetické bezpečnosti.
Pokud jste americký subjekt přijímající osobní údaje z EU, potřebujete buď certifikaci DPF, nebo SCC od svých partnerů z EU.

Systém APEC Cross-Border Privacy Rules (CBPR) nabízí certifikační cestu pro organizace působící v členských ekonomikách Asie a Tichomoří, poskytující uznávaný rámec dodržování pro přenosy v rámci APEC. [9]

Často kladené otázky

Jaký je nejjednodušší legální způsob přenosu dat mezi zeměmi? Přenos dat do země s rozhodnutím EU o odpovídající ochraně je nejjednodušší cestou podle GDPR, protože nejsou vyžadovány žádné další smlouvy ani záruky. Pro jiné destinace je nejjednodušší možností uzavření Standardních smluvních doložek s příjemcem dat.

Jsou SCC vyžadovány pro každý mezinárodní přenos? Ne. SCC jsou vyžadovány při přenosu dat z EHP do země bez rozhodnutí o odpovídající ochraně a pokud se neuplatňuje žádný jiný platný mechanismus (BCR, závazné výjimky). Přenosy do zemí schválených pro odpovídající ochranu nevyžadují SCC.

Vztahuje se GDPR na společnosti mimo EU? Ano. GDPR se vztahuje na jakoukoli organizaci, která zpracovává osobní údaje obyvatel EHP, bez ohledu na to, kde je organizace založena, pokud nabízí zboží nebo služby obyvatelům EHP nebo monitoruje jejich chování.

Co je rámec EU-USA pro ochranu soukromí dat? Rámec EU-USA pro ochranu soukromí dat je mechanismus odpovídající ochrany přijatý v červenci 2023, který umožňuje certifikovaným americkým organizacím přijímat osobní údaje z EHP bez SCC. Organizace se musí samy certifikovat u Ministerstva obchodu USA a zavázat se k dodržování specifických zásad ochrany dat.

Může samotný souhlas odůvodnit přeshraniční přenos podle GDPR? Výslovný souhlas může sloužit jako výjimka pro příležitostné přenosy, ale není udržitelným mechanismem pro systematické nebo rozsáhlé přenosy. Dozorové úřady varovaly před spoléháním se na souhlas jako primární mechanismus přenosu pro běžné obchodní operace.

Co je posouzení dopadu přenosu (TIA)? TIA je analýza, kterou organizace musí provést před spoléháním se na SCC, aby posoudily, zda právní rámec cílové země podkopává ochranu v SCC. Stala se povinným krokem po rozhodnutí Schrems II v roce 2020.

Pokrývá PIPA B2B data? PIPA pokrývá osobní údaje fyzických osob. Obchodní kontaktní informace (jméno, pracovní e-mail, pracovní telefon) mohou spadat do rozsahu PIPA v závislosti na tom, jak jsou zpracovávány, takže organizace by neměly předpokládat, že B2B data jsou automaticky vyňata.

Jak dlouho trvá schválení BCR? Schválení BCR obvykle trvá dva až tři roky, v závislosti na složitosti korporátní skupiny a reakceschopnosti vedoucího dozorového úřadu. Jedná se o proces náročný na zdroje, nejvhodnější pro velké nadnárodní společnosti.

Jakou roli hraje platforma pro správu souhlasu při přeshraničním dodržování? Platforma pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), pomáhá organizacím zaznamenávat, ukládat a prokazovat záznamy o zákonném souhlasu, které jsou relevantní, když je souhlas použit jako právní základ pro zpracování nebo přenos. Podporuje také povinnosti transparentnosti tím, že uživatelům zveřejňuje příjemce dat třetích stran.

Existují sankce za používání zastaralých SCC? Ano. Používání SCC před rokem 2021 po termínu přechodu 27. prosince 2022 činí mechanismus přenosu neplatným, což vystavuje organizaci stejným sankcím, jako by neměla žádný mechanismus.

Závěr

Přeshraniční přenosy dat se nacházejí na průsečíku obchodních operací a regulačních povinností a prostředí dodržování předpisů se od roku 2021 značně zkomplikovalo. GDPR, PIPA, čínský PIPL a rostoucí počet národních rámců ukládají odlišné požadavky a organizace, které považují dodržování za jednorázovou záležitost spíše než za průběžný program, čelí skutečnému riziku vymáhání.

Akční kroky pro rok 2026:

Proveďte audit datových toků, abyste identifikovali každý přeshraniční přenos, který vaše organizace provádí, včetně těch prostřednictvím dodavatelů třetích stran a subzpracovatelů.
Ověřte aktuálnost vašich mechanismů přenosu: potvrďte, že SCC jsou verze z roku 2021, zkontrolujte, zda rozhodnutí o odpovídající ochraně pokrývají vaše cílové země, a aktualizujte veškeré vypršené nebo chybějící dohody.
Samostatně posuďte expozici v Číně a APAC, protože PIPL a místní zákony o lokalizaci dat vyžadují odlišné kroky dodržování nad rámec opatření sladěných s GDPR.
Dokumentujte posouzení dopadu přenosu (TIA) pro všechny přenosy založené na SCC do zemí bez odpovídající ochrany, zejména do Spojených států.
Implementujte řešení pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), pro udržování auditovatelných záznamů o souhlasu a podporu zveřejňování informací subjektům údajů.
Monitorujte regulační vývoj, včetně právního statusu rámce EU-USA pro ochranu soukromí dat a veškerých nových rozhodnutí o odpovídající ochraně vydaných Evropskou komisí.

Organizace, které začlení dodržování přeshraničních přenosů dat do svých provozních procesů, spíše než aby je považovaly za právní formalitu, jsou lépe připraveny na globální expanzi bez regulačních narušení.