EU pravo i GDPR

Prekogranični prijenos podataka: Snalaženje u GDPR-u, PIPA-i i lokalnim ograničenjima

7. srpnja 2026. · 17 min čitanje

Kratak odgovor: Prekogranični prijenos podataka uključuje premještanje osobnih podataka preko nacionalnih granica, a reguliran je nizom preklapajućih zakona uključujući GDPR EU-a, PIPA-u Južne Koreje, PIPL Kine i razne sektorske režime. Organizacije moraju identificirati koji se okviri primjenjuju na njihove tokove podataka, a zatim implementirati odobrene mehanizme prijenosa kao što su Standardne ugovorne klauzule ili odluke o primjerenosti prije nego što se prijenos dogodi. Nepoštivanje propisa može dovesti do kazni koje dosežu desetke milijuna eura, regulatornih istraga i narušavanja ugleda.

Ključne spoznaje

GDPR ograničava izlazak osobnih podataka iz EGP-a osim ako su na snazi odluka o primjerenosti, SCC-ovi ili Obvezujuća korporativna pravila.
PIPA Južne Koreje zahtijeva izričit pristanak ili zakonitu osnovu za prekogranične prijenose i razlikuje se od GDPR-a u nekoliko proceduralnih aspekata.
Kineski PIPL i Zakon o kibernetičkoj sigurnosti nameću neka od najstrožih svjetskih zahtjeva za lokalizaciju podataka, uključujući obvezne sigurnosne procjene za određene odlazne prijenose.
Standardne ugovorne klauzule (SCCs), ažurirane u lipnju 2021., ostaju najčešće korišteni mehanizam prijenosa za organizacije koje šalju podatke izvan EGP-a.
Studija iz 2021. koja je analizirala 10.080 mobilnih aplikacija otkrila je da je 56% potencijalno bilo neusklađeno sa zahtjevima GDPR-a za prekogranični prijenos. [7]
EU-US Data Privacy Framework zamijenio je poništeni Privacy Shield, ali organizacije bi trebale nastaviti pratiti njegov pravni status.
Lokalizacija podataka i ograničenja prijenosa podataka su povezani, ali različiti koncepti: lokalizacija nalaže gdje se podaci pohranjuju, dok ograničenja prijenosa reguliraju kada i kako se podaci mogu premještati.
Podaci o zaposlenicima nisu izuzeti od pravila o prekograničnom prijenosu; često su potrebni zasebni sporazumi o prijenosu podataka ili odstupanja.
Troškovi usklađenosti uvelike variraju ovisno o veličini tvrtke, količini podataka i broju uključenih jurisdikcija.
Platforme za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) mogu podržati organizacije u dokumentiranju zakonitih osnova i evidencija pristanka relevantnih za prekogranične tokove podataka.

Što je prekogranični prijenos podataka i zašto je važan

Prekogranični prijenos podataka događa se kad god se osobni podaci premještaju iz jedne zemlje u drugu, bilo putem pohrane u oblaku, SaaS platformi, e-pošte ili API integracija. To je važno jer se nacionalni zakoni o privatnosti odnose na same podatke, a ne samo na zemlju u kojoj je organizacija registrirana.

Za poduzeća koja posluju globalno, jedna HR platforma hostirana u Sjedinjenim Državama koja obrađuje evidenciju zaposlenika iz ureda u EU već predstavlja prekogranični prijenos podložan GDPR-u. Isto vrijedi i za marketinške agencije koje šalju popise e-pošte kupaca alatu za automatizaciju sa sjedištem u SAD-u, ili programere koji koriste usluge analitike trećih strana usmjerene putem poslužitelja u zemljama izvan EGP-a.

Ulozi su visoki. Regulatorna provedba pojačana je u više jurisdikcija od 2021., a nedostatak međunarodne harmonizacije u zakonima o zaštiti podataka stvara preklapanje pravila i suparničke standarde koji kompliciraju usklađenost za organizacije koje posluju preko granica. [8]

Kako GDPR utječe na slanje podataka izvan EU

GDPR zabranjuje prijenos osobnih podataka iz Europskog gospodarskog prostora (EGP) u treće zemlje osim ako nije na snazi jedan od nekoliko odobrenih mehanizama. Tri primarna mehanizma su odluke o primjerenosti, Standardne ugovorne klauzule i Obvezujuća korporativna pravila. [1]

Odluke o primjerenosti izdaje Europska komisija kada utvrdi da treća zemlja nudi razinu zaštite podataka bitno ekvivalentnu onoj u EGP-u. Od 2026. godine, odluke o primjerenosti pokrivaju jurisdikcije uključujući Ujedinjeno Kraljevstvo, Japan, Južnu Koreju i nekoliko drugih. [1] Podaci mogu slobodno teći u te zemlje bez dodatnih zaštitnih mjera.

Standardne ugovorne klauzule (SCCs) su unaprijed odobreni predlošci ugovora koje izdaje Europska komisija. Modernizirani SCC-ovi, objavljeni 4. lipnja 2021., pokrivaju četiri scenarija prijenosa: kontrolor-kontroloru, kontrolor-obrađivaču, obrađivač-kontroloru i obrađivač-obrađivaču. [2]

Obvezujuća korporativna pravila (BCRs) su interne politike koje usvajaju multinacionalne korporativne grupe za reguliranje prijenosa unutar grupe. BCR-ovi zahtijevaju odobrenje vodećeg nadzornog tijela i moraju uključivati odredbe o pravnoj osnovi, pravima ispitanika i postupcima za pritužbe. [1]

"Organizacije moraju mapirati svoje tokove podataka kako bi identificirale sve prijenose i primijenile odgovarajuće zaštitne mjere prije nego što bilo koji osobni podaci napuste EGP." [1]

Što je PIPA i na koje se zemlje primjenjuje

Zakon o zaštiti osobnih podataka (PIPA) Južne Koreje primarni je zakon o privatnosti podataka u zemlji, koji regulira prikupljanje, korištenje i prekogranični prijenos osobnih podataka od strane javnog i privatnog sektora. PIPA se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika Južne Koreje, bez obzira na to gdje se organizacija nalazi.

PIPA zahtijeva da ispitanici budu obaviješteni i općenito pristanu na prijenos svojih osobnih podataka u inozemstvo. Specifične objave moraju uključivati identitet primatelja, svrhu prijenosa, prenesene podatke, razdoblje zadržavanja i kako ispitanici mogu povući pristanak.

Koja je razlika između GDPR-a i PIPA-e za prijenos podataka

I GDPR i PIPA reguliraju prekogranični prijenos podataka, ali se razlikuju u nekoliko proceduralnih i suštinskih točaka. [6]

Dimenzija	GDPR (EU/EGP)	PIPA (Južna Koreja)
Mehanizam prijenosa	Odluka o primjerenosti, SCC-ovi, BCR-ovi, odstupanja	Pristanak, ugovorna nužnost, aranžmani ekvivalentni primjerenosti
Prijenosi u okviru pravosudne suradnje	Dopušteni prema međunarodnim sporazumima	Nije izričito navedeno
Obavijest ispitanika	Obavezna za SCC-ove i BCR-ove	Obavezna u trenutku prikupljanja ili prijenosa
Nadzorno tijelo	Nacionalna tijela za zaštitu podataka / EDPB	Komisija za zaštitu osobnih podataka (PIPC)
Kazne	Do 4% globalnog godišnjeg prometa	Do 300 milijuna KRW (približno 220.000 USD) po prekršaju

Ključna praktična razlika: GDPR pruža veću fleksibilnost kroz više mehanizama prijenosa, dok se PIPA-in zadani zahtjev više oslanja na izričit pristanak, čineći infrastrukturu za upravljanje pristankom posebno važnom za organizacije koje posluju u Južnoj Koreji. [6]

Što su Standardne ugovorne klauzule i trebate li ih

Standardne ugovorne klauzule su unaprijed odobrene ugovorne odredbe koje izdaje Europska komisija i koje pravno obvezuju izvoznika i uvoznika podataka da štite osobne podatke tijekom prekograničnih prijenosa. Svaka organizacija koja šalje osobne podatke iz EGP-a u zemlju bez odluke o primjerenosti gotovo sigurno treba SCC-ove. [2]

SCC-ovi iz 2021. zamijenili su starije verzije iz 2001. i 2010. te uveli modularnu strukturu koja pokriva sve odnose prijenosa podataka. Organizacije koje su koristile stare SCC-ove imale su prijelazni rok do 27. prosinca 2022. za prelazak na nove verzije.

Kada trebate SCC-ove:

Slanje podataka o klijentima CRM-u ili marketinškoj platformi sa sjedištem u SAD-u
Korištenje pružatelja usluga u oblaku s poslužiteljima izvan EGP-a
Dijeljenje podataka o zaposlenicima s matičnom tvrtkom izvan EGP-a
Angažiranje obrađivača izvan EGP-a za analitiku, podršku ili razvoj

Kada možda ne trebate SCC-ove:

Prijenos podataka u zemlju s odlukom o primjerenosti
Oslanjanje na BCR-ove za prijenose unutar grupe
Primjena specifičnog odstupanja (npr. izričit pristanak za povremene prijenose)

Koje zemlje imaju najstroža ograničenja prijenosa podataka

Kina i Rusija nameću najrestriktivnije režime prekograničnog prijenosa podataka globalno. Kineski PIPL (na snazi od 1. studenog 2021.) zahtijeva izričit pristanak, sigurnosne procjene koje provodi Cyberspace Administration of China (CAC) za određene prijenose i standardne ugovore za druge. [3] Kineski Zakon o kibernetičkoj sigurnosti dodatno ograničava prekogranične prijenose osobnih podataka i "važnih podataka" prikupljenih putem operacija unutar Kine. [5]

Rusija nalaže da se osobni podaci ruskih građana pohranjuju na poslužiteljima koji se nalaze unutar Rusije prije nego što se dogodi bilo kakav prekogranični prijenos.

Ostale jurisdikcije s značajnim ograničenjima uključuju:

Indija: Zakon o zaštiti digitalnih osobnih podataka (DPDPA) ograničava prijenose u određene "crne liste" zemalja.
Indonezija: Vladina uredba 71 zahtijeva lokalizaciju podataka za određene operatere elektroničkih sustava.
Vijetnam: Zakon o kibernetičkoj sigurnosti nalaže lokalnu pohranu za određene kategorije podataka.

Mogu li prenositi osobne podatke u SAD prema GDPR-u

Da, ali samo putem odobrenog mehanizma. EU-US Data Privacy Framework (DPF), usvojen u srpnju 2023., omogućuje prijenose certificiranim američkim organizacijama bez SCC-ova. [9] Međutim, DPF se suočio s pravnim izazovima, a organizacije bi trebale zadržati SCC-ove kao rezervnu zaštitu s obzirom na povijest poništenja Privacy Shielda 2020. godine.

Za američke organizacije koje nisu certificirane prema DPF-u, SCC-ovi ostaju primarni mehanizam. Sektorski američki zakoni kao što je HIPAA također nameću obveze stranim subjektima koji obrađuju zaštićene zdravstvene informacije u ime američkih obuhvaćenih subjekata. [4]

Koja je razlika između lokalizacije podataka i ograničenja prijenosa podataka

Zakoni o lokalizaciji podataka zahtijevaju da se određeni podaci pohranjuju na poslužiteljima fizički smještenim unutar granica zemlje. Ograničenja prijenosa podataka reguliraju uvjete pod kojima se podaci mogu slati u inozemstvo, bez obzira na to gdje su pohranjeni.

Tvrtka se može pridržavati ograničenja prijenosa podataka dok i dalje pohranjuje podatke izvan granica zemlje (ako je mehanizam prijenosa valjan). Suprotno tome, zemlja sa zahtjevima za lokalizaciju podataka i dalje može dopustiti prekogranične prijenose sve dok se zadržava lokalna kopija. Kineski režim kombinira oboje: nalaže lokalnu pohranu za određene kategorije podataka i zasebno ograničava odlazne prijenose. [5]

Koliko košta uspostava usklađenih prekograničnih prijenosa podataka

Troškovi usklađenosti ovise o veličini organizacije, složenosti podataka i broju uključenih jurisdikcija. Ne postoji jedinstvena referentna vrijednost, ali sljedeće kategorije troškova primjenjuju se na većinu organizacija:

Pravni pregled i izvršenje SCC-ova: Kreće se od nekoliko tisuća dolara za male organizacije do šesteroznamenkastih iznosa za poduzeća sa stotinama odnosa s dobavljačima.
Mapiranje podataka i revizije tokova: Vrijeme internog osoblja ili naknade vanjskih konzultanata; tvrtke srednje veličine obično troše 20.000-100.000 USD za sveobuhvatnu reviziju.
Odobrenje BCR-a: Višegodišnji proces koji uključuje regulatorni angažman; obično rezerviran za velike multinacionalne tvrtke s obzirom na ulaganje resursa.
Kontinuirano praćenje usklađenosti: Godišnji pregled odluka o primjerenosti, ažuriranja SCC-ova i novih zahtjeva jurisdikcija.

Ulaganje u platformu za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) može smanjiti tekuće troškove usklađenosti centraliziranjem evidencija pristanka i podržavanjem dokumentacije zakonitih osnova prijenosa.

Što se događa ako tvrtka prekrši pravila o prekograničnom prijenosu podataka

Kršenja GDPR-a povezana s prekograničnim prijenosima spadaju u višu razinu kazni: do 20 milijuna eura ili 4% globalnog godišnjeg prometa, ovisno o tome što je veće. Nadzorna tijela izrekla su značajne kazne posebno za nezakonite prijenose, uključujući slučajeve koji uključuju podatke poslane u SAD bez odgovarajućih zaštitnih mjera.

Osim kazni, posljedice uključuju:

Obustava operacija prijenosa podataka od strane nadzornih tijela
Obvezne revizije i planovi korektivnih mjera
Građanske tužbe ispitanika
Narušavanje ugleda i gubitak povjerenja kupaca

Prema kineskom PIPL-u, kršenja mogu rezultirati kaznama do 50 milijuna RMB ili 5% godišnjeg prihoda iz prethodne godine, plus potencijalna obustava poslovanja. [3]

Trebam li sporazume o prijenosu podataka za podatke o zaposlenicima

Da. Osobni podaci zaposlenika podliježu istim pravilima o prekograničnom prijenosu kao i podaci o klijentima prema GDPR-u i većini drugih okvira privatnosti. Mnoge organizacije pogrešno pretpostavljaju da su ugovori o radu ili interne HR politike dovoljni; oni ne zamjenjuju potrebu za valjanim mehanizmom prijenosa.

Za multinacionalne grupe, BCR-ovi su često najpraktičnije rješenje za podatke o zaposlenicima jer pokrivaju sve prijenose unutar grupe pod jednim odobrenim okvirom. Alternativno, SCC-ovi se mogu izvršiti između poslodavca i primatelja unutar grupe.

Koje su uobičajene pogreške koje tvrtke čine kod međunarodnih prijenosa podataka

Najčešći propusti u usklađenosti kod prekograničnih prijenosa podataka uključuju:

Propust u mapiranju tokova podataka: Organizacije ne mogu primijeniti ispravan mehanizam ako ne znaju kamo podaci idu. Studija iz 2021. otkrila je da je 56% analiziranih mobilnih aplikacija potencijalno bilo neusklađeno sa zahtjevima GDPR-a za prijenos, uglavnom zbog neobjavljenih tokova podataka trećih strana. [7]
Korištenje zastarjelih SCC-ova: Organizacije koje nisu prešle sa starih SCC-ova na verzije iz 2021. do roka 27. prosinca 2022. posluju s nevažećim ugovorima.
Pretpostavka da pružatelji usluga u oblaku rješavaju usklađenost: Pružatelji usluga u oblaku dostavljaju sporazume o obradi podataka, ali kontrolor podataka ostaje odgovoran za osiguravanje postojanja valjanog mehanizma prijenosa.
Ignoriranje lanaca podobrađivača: Kada obrađivač angažira podobrađivača u trećoj zemlji, izvorni kontrolor mora osigurati da se SCC-ovi ili ekvivalentne zaštitne mjere protežu niz lanac.
Previđanje podataka o zaposlenicima: HR sustavi, platforme za plaće i alati za suradnju često prenose podatke o zaposlenicima preko granica bez odgovarajućih sporazuma.

Kako znati treba li se moje poslovanje brinuti o prekograničnim ograničenjima

Svaka organizacija koja prikuplja osobne podatke od stanovnika regulirane jurisdikcije i koristi alate, dobavljače ili infrastrukturu smještenu izvan te jurisdikcije mora se pozabaviti zahtjevima za prekogranični prijenos. To se odnosi čak i na mala poduzeća koja koriste platforme za e-mail marketing ili alate za analitiku hostirane u SAD-u.

Koristite ovo pravilo odluke:

Ako prikupljate podatke od stanovnika EU/EGP-a i koristite bilo kojeg dobavljača izvan EGP-a, primjenjuju se pravila GDPR-a o prijenosu.
Ako obrađujete podatke stanovnika Južne Koreje i dijelite ih s inozemnim subjektima, primjenjuje se PIPA.
Ako poslujete u Kini i prenosite osobne podatke ili "važne podatke" izvan Kine, primjenjuju se PIPL i Zakon o kibernetičkoj sigurnosti.
Ako ste američki subjekt koji prima osobne podatke iz EU, potrebna vam je DPF certifikacija ili SCC-ovi od vaših EU partnera.

Sustav APEC Cross-Border Privacy Rules (CBPR) nudi put certifikacije za organizacije koje posluju u gospodarstvima članicama Azijsko-pacifičke regije, pružajući priznati okvir usklađenosti za prijenose unutar APEC-a. [9]

Često postavljana pitanja

Koji je najjednostavniji pravni način prijenosa podataka između zemalja? Prijenos podataka u zemlju s odlukom o primjerenosti EU-a najjednostavniji je put prema GDPR-u, jer nisu potrebni dodatni ugovori ili zaštitne mjere. Za druga odredišta, izvršenje Standardnih ugovornih klauzula s primateljem podataka najjednostavnija je opcija.

Jesu li SCC-ovi potrebni za svaki međunarodni prijenos? Ne. SCC-ovi su potrebni prilikom prijenosa podataka iz EGP-a u zemlju bez odluke o primjerenosti i kada se ne primjenjuje nijedan drugi valjani mehanizam (BCR-ovi, obvezujuća odstupanja). Prijenosi u zemlje odobrene za primjerenost ne zahtijevaju SCC-ove.

Primjenjuje li se GDPR na tvrtke izvan EU-a? Da. GDPR se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika EGP-a, bez obzira na to gdje je organizacija osnovana, ako nudi robu ili usluge stanovnicima EGP-a ili prati njihovo ponašanje.

Što je EU-US Data Privacy Framework? EU-US Data Privacy Framework je mehanizam primjerenosti usvojen u srpnju 2023. koji omogućuje certificiranim američkim organizacijama primanje osobnih podataka iz EGP-a bez SCC-ova. Organizacije se moraju samocertificirati pri Ministarstvu trgovine SAD-a i obvezati se na specifična načela zaštite podataka.

Može li pristanak sam opravdati prekogranični prijenos prema GDPR-u? Izričit pristanak može poslužiti kao odstupanje za povremene prijenose, ali nije održiv mehanizam za sustavne ili velike prijenose. Nadzorna tijela upozorila su na oslanjanje na pristanak kao primarni mehanizam prijenosa za rutinske poslovne operacije.

Što je procjena utjecaja prijenosa (TIA)? TIA je analiza koju organizacije moraju provesti prije oslanjanja na SCC-ove kako bi procijenile potkopava li pravni okvir odredišne zemlje zaštite u SCC-ovima. Postao je obvezan korak nakon presude Schrems II 2020. godine.

Pokriva li PIPA B2B podatke? PIPA pokriva osobne podatke fizičkih osoba. Poslovni kontakt podaci (ime, poslovna e-pošta, poslovni telefon) mogu spadati u opseg PIPA-e ovisno o tome kako se obrađuju, pa organizacije ne bi trebale pretpostavljati da su B2B podaci automatski izuzeti.

Koliko dugo traje odobrenje BCR-a? Odobrenje BCR-a obično traje dvije do tri godine, ovisno o složenosti korporativne grupe i odzivu vodećeg nadzornog tijela. To je proces koji zahtijeva mnogo resursa i najprikladniji je za velike multinacionalne tvrtke.

Koju ulogu ima platforma za upravljanje pristankom u prekograničnoj usklađenosti? Platforma za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) pomaže organizacijama u prikupljanju, pohranjivanju i dokazivanju zakonitih evidencija pristanka, koje su relevantne kada se pristanak koristi kao pravna osnova za obradu ili prijenos. Također podržava obveze transparentnosti otkrivanjem primatelja podataka trećih strana korisnicima.

Postoje li kazne za korištenje zastarjelih SCC-ova? Da. Korištenje SCC-ova prije 2021. nakon roka za prijelaz 27. prosinca 2022. čini mehanizam prijenosa nevažećim, izlažući organizaciju istim kaznama kao da uopće nema mehanizma.

Zaključak

Prekogranični prijenos podataka nalazi se na raskrižju poslovnih operacija i regulatornih obveza, a krajolik usklađenosti znatno je složeniji od 2021. godine. GDPR, PIPA, kineski PIPL i sve veći broj nacionalnih okvira nameću različite zahtjeve, a organizacije koje usklađenost tretiraju kao jednokratnu vježbu, a ne kao kontinuirani program, suočavaju se sa stvarnim rizikom provedbe.

Sljedeći koraci za 2026. godinu:

Provedite reviziju toka podataka kako biste identificirali svaki prekogranični prijenos koji vaša organizacija obavlja, uključujući one putem dobavljača trećih strana i podobrađivača.
Provjerite jesu li vaši mehanizmi prijenosa ažurni: potvrdite da su SCC-ovi verzije iz 2021., provjerite pokrivaju li odluke o primjerenosti vaše odredišne zemlje i ažurirajte sve istekle ili nedostajuće sporazume.
Procijenite izloženost Kini i APAC-u zasebno, jer PIPL i lokalni zakoni o lokalizaciji podataka zahtijevaju posebne korake usklađenosti izvan mjera usklađenih s GDPR-om.
Dokumentirajte procjene utjecaja prijenosa (TIA) za sve prijenose temeljene na SCC-ovima u zemlje koje nisu primjerene, posebno u Sjedinjene Države.
Implementirajte rješenje za upravljanje pristankom kao što je Biscotti CMP (www.biscotti-cmp.com) za održavanje revizibilnih evidencija pristanka i podršku objavama transparentnosti ispitanicima.
Pratite regulatorna kretanja uključujući pravni status EU-US Data Privacy Frameworka i sve nove odluke o primjerenosti koje je izdala Europska komisija.

Organizacije koje usklađenost prekograničnog prijenosa podataka ugrade u svoje operativne procese, umjesto da je tretiraju kao pravnu formalnost, bolje su pozicionirane za globalno širenje bez regulatornih poremećaja.