Právo EÚ a GDPR

Prenosy údajov cez hranice: Navigácia GDPR, PIPA a miestnych obmedzení

7. júla 2026 · 17 min čítania

Rýchla odpoveď: Prenosy údajov cez hranice zahŕňajú presun osobných údajov cez národné hranice a sú regulované spleťou prekrývajúcich sa zákonov, vrátane GDPR EÚ, PIPA Južnej Kórey, PIPL Číny a rôznych sektorovo špecifických režimov. Organizácie musia identifikovať, ktoré rámce sa vzťahujú na ich prenosy údajov, a potom implementovať schválené mechanizmy prenosu, ako sú štandardné zmluvné doložky alebo rozhodnutia o primeranosti pred akýmkoľvek prenosom. Nedodržanie môže vyvolať pokuty dosahujúce desiatky miliónov eur, regulačné vyšetrovania a poškodenie reputácie.

Kľúčové poznatky

GDPR obmedzuje odchod osobných údajov z EHP, pokiaľ nie je v platnosti rozhodnutie o primeranosti, SCC alebo záväzné firemné pravidlá.
PIPA Južnej Kórey vyžaduje explicitný súhlas alebo zákonný základ pre cezhraničné prenosy a v niekoľkých procedurálnych aspektoch sa líši od GDPR.
PIPL a Zákon o kybernetickej bezpečnosti v Číne uplatňujú niektoré z najprísnejších požiadaviek na lokalizáciu údajov na svete, vrátane povinných bezpečnostných hodnotení pre určité výstupné prenosy.
Štandardné zmluvné doložky (SCC), aktualizované v júni 2021, zostávajú najpoužívanejším mechanizmom prenosu pre organizácie posielajúce údaje mimo EHP.
Štúdia z roku 2021 analyzujúca 10 080 mobilných aplikácií zistila, že 56 % z nich potenciálne nespĺňalo požiadavky GDPR na cezhraničné prenosy. [7]
Rámec ochrany údajov medzi EÚ a USA nahradil neplatný Privacy Shield, ale organizácie by mali naďalej sledovať jeho právny status.
Lokalizácia údajov a obmedzenia prenosu údajov sú súvisiace, ale odlišné pojmy: lokalizácia určuje, kde sa údaje ukladajú, zatiaľ čo obmedzenia prenosu upravujú, kedy a ako môžu údaje migrovať.
Údaje zamestnancov nie sú oslobodené od pravidiel cezhraničného prenosu; často sú potrebné samostatné dohody o prenose údajov alebo výnimky.
Náklady na súlad sa veľmi líšia v závislosti od veľkosti spoločnosti, objemu údajov a počtu zúčastnených jurisdikcií.
Platformy na správu súhlasu, ako je Biscotti CMP (www.biscotti-cmp.com), môžu podporiť organizácie pri dokumentovaní zákonných základov a záznamov o súhlase relevantných pre cezhraničné prenosy údajov.

Čo je cezhraničný prenos údajov a prečo je to dôležité

Cezhraničný prenos údajov nastáva, keď sa osobné údaje presúvajú z jednej krajiny do druhej, či už prostredníctvom cloudového úložiska, platforiem SaaS, e-mailu alebo integrácií API. Je to dôležité, pretože národné zákony o ochrane súkromia sa viažu na samotné údaje, nie len na krajinu, v ktorej je organizácia založená.

Pre podniky prevádzkujúce globálne operácie už jediná platforma HR hostená v Spojených štátoch, ktorá spracováva záznamy zamestnancov z kancelárií EÚ, predstavuje cezhraničný prenos podliehajúci GDPR. To isté platí pre marketingové agentúry, ktoré posielajú zoznamy e-mailov zákazníkov do automatizačného nástroja sídliaceho v USA, alebo pre vývojárov používajúcich analytické služby tretích strán smerované cez servery v krajinách mimo EHP.

Stávky sú vysoké. Regulačné presadzovanie sa od roku 2021 zosilnilo v mnohých jurisdikciách a nedostatok medzinárodnej harmonizácie v zákonoch o ochrane údajov vytvára prekrývanie pravidiel a konkurenčné normy, ktoré komplikujú súlad pre organizácie pôsobiace cez hranice. [8]

Ako ovplyvňuje GDPR odosielanie údajov mimo EÚ

GDPR zakazuje prenos osobných údajov z Európskeho hospodárskeho priestoru (EHP) do tretích krajín, pokiaľ nie je v platnosti jeden z niekoľkých schválených mechanizmov. Tri hlavné mechanizmy sú rozhodnutia o primeranosti, štandardné zmluvné doložky a záväzné firemné pravidlá. [1]

Rozhodnutia o primeranosti vydáva Európska komisia, keď zistí, že tretia krajina ponúka úroveň ochrany údajov, ktorá je v podstate ekvivalentná EHP. K roku 2026 sa rozhodnutia o primeranosti vzťahujú na jurisdikcie vrátane Spojeného kráľovstva, Japonska, Južnej Kórey a niekoľkých ďalších. [1] Údaje môžu voľne prúdiť do týchto krajín bez dodatočných ochranných opatrení.

Štandardné zmluvné doložky (SCC) sú predschválené zmluvné šablóny vydané Európskou komisiou. Modernizované SCC, zverejnené 4. júna 2021, pokrývajú štyri scenáre prenosu: správca-správcovi, správca-spracovateľovi, spracovateľ-správcovi a spracovateľ-spracovateľovi. [2]

Záväzné firemné pravidlá (BCR) sú interné politiky prijaté nadnárodnými korporátnymi skupinami na reguláciu prenosov v rámci skupiny. BCR vyžadujú schválenie od vedúceho dozorného orgánu a musia obsahovať ustanovenia o právnom základe, právach subjektov údajov a postupoch sťažností. [1]

"Organizácie musia mapovať svoje prenosy údajov, aby identifikovali všetky prenosy a aplikovali vhodné ochranné opatrenia predtým, ako akékoľvek osobné údaje opustia EHP." [1]

Čo je PIPA a na ktoré krajiny sa vzťahuje

Zákon o ochrane osobných údajov Južnej Kórey (PIPA) je hlavným zákonom krajiny o ochrane údajov, ktorý upravuje zber, používanie a cezhraničný prenos osobných údajov verejnými aj súkromnými subjektmi. PIPA sa vzťahuje na akúkoľvek organizáciu spracovávajúcu osobné údaje obyvateľov Južnej Kórey, bez ohľadu na to, kde je organizácia založená.

PIPA vyžaduje, aby boli subjekty údajov informované o prenosoch svojich osobných údajov do zahraničia a vo všeobecnosti súhlasili s nimi. Špecifické oznámenia musia obsahovať identitu príjemcu, účel prenosu, prenášané údaje, dobu uchovávania a spôsob, akým môžu subjekty údajov odvolať súhlas.

Aký je rozdiel medzi GDPR a PIPA pri prenosoch údajov

GDPR a PIPA regulujú cezhraničné prenosy údajov, ale líšia sa v niekoľkých procedurálnych a obsahových aspektoch. [6]

Rozmer	GDPR (EÚ/EHP)	PIPA (Južná Kórea)
Mechanizmus prenosu	Rozhodnutie o primeranosti, SCC, BCR, výnimky	Súhlas, zmluvná nevyhnutnosť, usporiadania ekvivalentné primeranosti
Prenosy v rámci súdnej spolupráce	Povolené na základe medzinárodných dohôd	Nie je explicitne špecifikované
Oznámenie subjektu údajov	Povinné pre SCC a BCR	Povinné pri zbere alebo prenose
Dozorný orgán	Národné DPA / EDPB	Komisia na ochranu osobných údajov (PIPC)
Pokuty	Až 4 % z globálneho ročného obratu	Až 300 miliónov KRW (približne 220 000 USD) za porušenie

Kľúčový praktický rozdiel: GDPR poskytuje väčšiu flexibilitu prostredníctvom viacerých mechanizmov prenosu, zatiaľ čo PIPA sa vo svojej základnej požiadavke viac spolieha na explicitný súhlas, čo robí infraštruktúru správy súhlasu obzvlášť dôležitou pre organizácie pôsobiace v Južnej Kórei. [6]

Čo sú štandardné zmluvné doložky a potrebujete ich

Štandardné zmluvné doložky sú predschválené zmluvné ustanovenia vydané Európskou komisiou, ktoré právne viažu exportéra a importéra údajov na ochranu osobných údajov počas cezhraničných prenosov. Akákoľvek organizácia posielajúca osobné údaje z EHP do krajiny bez rozhodnutia o primeranosti takmer určite potrebuje SCC. [2]

SCC z roku 2021 nahradili staršie verzie z rokov 2001 a 2010 a zaviedli modulárnu štruktúru pokrývajúcu všetky vzťahy prenosu údajov. Organizácie, ktoré používali staré SCC, mali termín na prechod do nových verzií do 27. decembra 2022.

Kedy potrebujete SCC:

Posielanie údajov zákazníkov do CRM alebo marketingovej platformy sídliacej v USA
Používanie cloudového poskytovateľa so servermi mimo EHP
Zdieľanie údajov zamestnancov s materskou spoločnosťou mimo EHP
Zapojenie spracovateľa mimo EHP na analytiku, podporu alebo vývoj

Kedy možno SCC nepotrebujete:

Prenos údajov do krajiny s rozhodnutím o primeranosti
Spoliehanie sa na BCR pre prenosy v rámci skupiny
Uplatnenie špecifickej výnimky (napr. explicitný súhlas pre občasné prenosy)

Ktoré krajiny majú najprísnejšie obmedzenia na prenos údajov

Čína a Rusko uplatňujú najprísnejšie režimy cezhraničného prenosu údajov na svete. Čínsky PIPL (účinný od 1. novembra 2021) vyžaduje explicitný súhlas, bezpečnostné hodnotenia vykonávané Správou kybernetického priestoru Číny (CAC) pre určité prenosy a štandardné zmluvy pre iné. [3] Zákon o kybernetickej bezpečnosti v Číne ďalej obmedzuje cezhraničné prenosy osobných údajov a "dôležitých údajov" zhromaždených prostredníctvom operácií v Číne. [5]

Rusko požaduje, aby osobné údaje ruských občanov boli uložené na serveroch nachádzajúcich sa v Rusku pred akýmkoľvek cezhraničným prenosom.

Ďalšie jurisdikcie s pozoruhodnými obmedzeniami zahŕňajú:

India: Zákon o ochrane digitálnych osobných údajov (DPDPA) obmedzuje prenosy do určitých "čiernych" krajín.
Indonézia: Vládna regulácia 71 vyžaduje lokalizáciu údajov pre určité elektronické systémové operátory.
Vietnam: Zákon o kybernetickej bezpečnosti vyžaduje miestne ukladanie pre určité kategórie údajov.

Môžem prenášať osobné údaje do USA podľa GDPR

Áno, ale iba prostredníctvom schváleného mechanizmu. Rámec ochrany údajov medzi EÚ a USA (DPF), prijatý v júli 2023, umožňuje prenosy do certifikovaných amerických organizácií bez SCC. [9] Avšak DPF čelil právnym výzvam a organizácie by mali udržiavať SCC ako záložné ochranné opatrenie vzhľadom na históriu neplatnosti Privacy Shield v roku 2020.

Pre americké organizácie, ktoré nie sú certifikované podľa DPF, zostávajú SCC primárnym mechanizmom. Sektorovo špecifické americké zákony, ako je HIPAA, tiež ukladajú povinnosti zahraničným subjektom spracovávajúcim chránené zdravotné informácie v mene amerických pokrytých subjektov. [4]

Aký je rozdiel medzi lokalizáciou údajov a obmedzeniami prenosu údajov

Zákony o lokalizácii údajov vyžadujú, aby určité údaje boli uložené na serveroch fyzicky umiestnených v rámci hraníc krajiny. Obmedzenia prenosu údajov upravujú podmienky, za ktorých môžu byť údaje zasielané do zahraničia, bez ohľadu na to, kde sú uložené.

Spoločnosť môže dodržiavať obmedzenia prenosu údajov, zatiaľ čo stále uchováva údaje mimo hraníc krajiny (ak je mechanizmus prenosu platný). Naopak, krajina s požiadavkami na lokalizáciu údajov môže stále povoliť cezhraničné prenosy, pokiaľ je zachovaná miestna kópia. Čínsky režim kombinuje oboje: vyžaduje miestne ukladanie pre určité kategórie údajov a osobitne obmedzuje výstupné prenosy. [5]

Koľko stojí nastavenie súladu s cezhraničnými prenosmi údajov

Náklady na súlad závisia od veľkosti organizácie, zložitosti údajov a počtu zúčastnených jurisdikcií. Neexistuje žiadny jednotný benchmark, ale nasledujúce kategórie nákladov sa vzťahujú na väčšinu organizácií:

Právne preskúmanie a vykonanie SCC: Ranges from a few thousand dollars for small organizations to six figures for enterprises with hundreds of vendor relationships.
Mapovanie údajov a audity prenosov: Interný čas zamestnancov alebo poplatky externých konzultantov; stredne veľké spoločnosti zvyčajne utrácajú 20 000-100 000 USD za komplexný audit.
Schválenie BCR: Viacročný proces zahŕňajúci regulačné zapojenie; zvyčajne vyhradené pre veľké nadnárodné spoločnosti vzhľadom na investície do zdrojov.
Priebežné monitorovanie súladu: Ročné preskúmanie rozhodnutí o primeranosti, aktualizácie SCC a nové požiadavky jurisdikcií.

Investovanie do platformy na správu súhlasu, ako je Biscotti CMP (www.biscotti-cmp.com), môže znížiť priebežné náklady na súlad centralizovaním záznamov o súhlase a podporou dokumentácie zákonných základov prenosu.

Čo sa stane, ak spoločnosť poruší pravidlá cezhraničného prenosu údajov

Porušenia GDPR týkajúce sa cezhraničných prenosov spadajú pod vyšší stupeň pokút: až 20 miliónov EUR alebo 4 % z globálneho ročného obratu, podľa toho, čo je vyššie. Dozorové orgány uložili významné pokuty konkrétne za nezákonné prenosy, vrátane prípadov, keď boli údaje zaslané do USA bez primeraných ochranných opatrení.

Okrem pokút zahŕňajú následky:

Pozastavenie operácií prenosu údajov dozorovými orgánmi
Povinné audity a plány nápravy
Občianske nároky od subjektov údajov
Poškodenie reputácie a strata dôvery zákazníkov

Podľa čínskeho PIPL môžu porušenia viesť k pokutám až do výšky 50 miliónov RMB alebo 5 % z ročného obratu predchádzajúceho roka, plus potenciálne pozastavenie obchodných operácií. [3]

Potrebujem dohody o prenose údajov pre údaje zamestnancov

Áno. Osobné údaje zamestnancov podliehajú rovnakým pravidlám cezhraničného prenosu ako údaje zákazníkov podľa GDPR a väčšiny iných rámcov ochrany súkromia. Mnohé organizácie nesprávne predpokladajú, že pracovné zmluvy alebo interné politiky HR sú dostatočné; nenahrádzajú potrebu platného mechanizmu prenosu.

Pre nadnárodné skupiny sú BCR často najpraktickým riešením pre údaje zamestnancov, pretože pokrývajú všetky prenosy v rámci skupiny pod jedným schváleným rámcom. Alternatívne môžu byť SCC vykonané medzi zamestnávateľom a prijímajúcou entitou v rámci skupiny.

Aké sú bežné chyby, ktoré spoločnosti robia pri medzinárodných prenosoch údajov

Najčastejšie porušenia súladu pri cezhraničných prenosoch údajov zahŕňajú:

Nedostatočné mapovanie prenosov údajov: Organizácie nemôžu aplikovať správny mechanizmus, ak nevedia, kam údaje idú. Štúdia z roku 2021 zistila, že 56 % analyzovaných mobilných aplikácií potenciálne nespĺňalo požiadavky GDPR na prenosy, najmä kvôli nezverejneným prenosom údajov tretích strán. [7]
Používanie zastaraných SCC: Organizácie, ktoré sa do decembra 2022 neprešli z legacy SCC na verzie z roku 2021, fungujú na neplatných zmluvách.
Predpokladanie, že cloudoví poskytovatelia zabezpečujú súlad: Cloudoví poskytovatelia dodávajú zmluvy o spracovaní údajov, ale správca údajov zostáva zodpovedný za zabezpečenie platného mechanizmu prenosu.
Ignorovanie reťazcov sub-spracovateľov: Keď spracovateľ zapojí sub-spracovateľa v tretej krajine, pôvodný správca musí zabezpečiť, aby sa SCC alebo ekvivalentné ochranné opatrenia rozšírili po reťazci.
Prehliadanie údajov zamestnancov: Systémy HR, platformy na spracovanie miezd a nástroje na spoluprácu často prenášajú údaje zamestnancov cez hranice bez vhodných dohôd.

Ako zistím, či sa moja firma musí zaoberať cezhraničnými obmedzeniami

Akákoľvek organizácia, ktorá zhromažďuje osobné údaje od obyvateľov regulovanej jurisdikcie a používa nástroje, dodávateľov alebo infraštruktúru nachádzajúcu sa mimo tejto jurisdikcie, musí riešiť požiadavky na cezhraničný prenos. To platí aj pre malé podniky používajúce e-mailové marketingové platformy alebo analytické nástroje hostené v USA.

Použite toto rozhodovacie pravidlo:

Ak zhromažďujete údaje od obyvateľov EÚ/EHP a používate akéhokoľvek dodávateľa mimo EHP, platia pravidlá prenosu GDPR.
Ak spracovávate údaje obyvateľov Južnej Kórey a zdieľate ich so zahraničnými subjektmi, platí PIPA.
Ak pôsobíte v Číne a prenášate osobné údaje alebo "dôležité údaje" mimo Čínu, platí PIPL a Zákon o kybernetickej bezpečnosti.
Ak ste americký subjekt prijímajúci osobné údaje EÚ, potrebujete buď certifikáciu DPF, alebo SCC od svojich partnerov v EÚ.

Systém pravidiel ochrany súkromia APEC (CBPR) ponúka certifikačnú cestu pre organizácie pôsobiace v členských ekonomikách Ázie a Tichomoria, poskytujúc uznávaný rámec súladu pre prenosy v rámci APEC. [9]

Často kladené otázky

Aký je najjednoduchší právny spôsob prenosu údajov medzi krajinami?
Prenos údajov do krajiny s rozhodnutím o primeranosti EÚ je najjednoduchšou cestou podľa GDPR, pretože nie sú potrebné žiadne dodatočné zmluvy alebo ochranné opatrenia. Pre iné destinácie je najjednoduchšou možnosťou vykonanie štandardných zmluvných doložiek s príjemcom údajov.

Sú SCC potrebné pre každý medzinárodný prenos?
Nie. SCC sú potrebné pri prenose údajov z EHP do krajiny bez rozhodnutia o primeranosti a keď neplatí žiadny iný platný mechanizmus (BCR, záväzné výnimky). Prenosy do krajín s rozhodnutím o primeranosti nevyžadujú SCC.

Platí GDPR pre neeurópske spoločnosti?
Áno. GDPR sa vzťahuje na akúkoľvek organizáciu, ktorá spracováva osobné údaje obyvateľov EHP, bez ohľadu na to, kde je organizácia založená, ak ponúka tovary alebo služby obyvateľom EHP alebo monitoruje ich správanie.

Čo je rámec ochrany údajov medzi EÚ a USA?
Rámec ochrany údajov medzi EÚ a USA je mechanizmus primeranosti prijatý v júli 2023, ktorý umožňuje certifikovaným americkým organizáciám prijímať osobné údaje z EHP bez SCC. Organizácie sa musia samocertifikovať u amerického ministerstva obchodu a zaviazať sa k určitým princípom ochrany údajov.

Môže súhlas sám o sebe ospravedlniť cezhraničný prenos podľa GDPR?
Explicitný súhlas môže slúžiť ako výnimka pre občasné prenosy, ale nie je to udržateľný mechanizmus pre systematické alebo rozsiahle prenosy. Dozorové orgány varovali pred spoliehaním sa na súhlas ako primárny mechanizmus prenosu pre bežné obchodné operácie.

Čo je hodnotenie dopadu prenosu (TIA)?
TIA je analýza, ktorú musia organizácie vykonať pred spoliehaním sa na SCC, aby posúdili, či právny rámec krajiny určenia oslabuje ochranu v SCC. Stalo sa to povinným krokom po rozhodnutí Schrems II v roku 2020.

Pokryje PIPA B2B údaje?
PIPA pokrýva osobné údaje fyzických osôb. Informácie o obchodných kontaktoch (meno, pracovný e-mail, pracovný telefón) môžu spadať do pôsobnosti PIPA v závislosti od toho, ako sú spracovávané, takže organizácie by nemali predpokladať, že údaje B2B sú automaticky oslobodené.

Ako dlho trvá schválenie BCR?
Schválenie BCR zvyčajne trvá dva až tri roky, v závislosti od zložitosti korporátnej skupiny a reakčnosti vedúceho dozorného orgánu. Je to proces náročný na zdroje, ktorý je najvhodnejší pre veľké nadnárodné spoločnosti.

Akú úlohu zohráva platforma na správu súhlasu v súlade s cezhraničnými prenosmi?
Platforma na správu súhlasu, ako je Biscotti CMP (www.biscotti-cmp.com), pomáha organizáciám zachytávať, uchovávať a preukazovať záznamy o zákonných súhlasoch, ktoré sú relevantné, keď sa súhlas používa ako právny základ pre spracovanie alebo prenos. Taktiež podporuje povinnosti transparentnosti tým, že zverejňuje príjemcov údajov tretích strán používateľom.

Existujú pokuty za používanie zastaraných SCC?
Áno. Používanie SCC pred rokom 2021 po termíne prechodu 27. decembra 2022 robí mechanizmus prenosu neplatným, čo vystavuje organizáciu rovnakým pokutám, ako keby nemala žiadny mechanizmus.

Záver

Cezhraničné prenosy údajov sa nachádzajú na rozhraní obchodných operácií a regulačných povinností a krajina súladu sa od roku 2021 výrazne skomplikovala. GDPR, PIPA, čínsky PIPL a rastúci počet národných rámcov ukladajú každé osobitné požiadavky a organizácie, ktoré považujú súlad za jednorazový proces namiesto prebiehajúceho programu, čelí reálnemu riziku presadzovania.

Akčné kroky na rok 2026:

Vykonajte audit prenosu údajov, aby ste identifikovali každý cezhraničný prenos, ktorý vaša organizácia vykonáva, vrátane tých prostredníctvom dodávateľov tretích strán a sub-spracovateľov.
Overte, či sú vaše mechanizmy prenosu aktuálne: potvrďte, že SCC sú verziami z roku 2021, skontrolujte, či rozhodnutia o primeranosti pokrývajú vaše cieľové krajiny a aktualizujte akékoľvek vypršané alebo chýbajúce dohody.
Samostatne posúďte expozíciu Číne a APAC, pretože PIPL a miestne zákony o lokalizácii údajov vyžadujú osobitné kroky súladu nad rámec opatrení zladených s GDPR.
Dokumentujte hodnotenia dopadu prenosu pre všetky prenosy založené na SCC do krajín bez primeranosti, najmä do Spojených štátov.
Implementujte riešenie na správu súhlasu, ako je Biscotti CMP (www.biscotti-cmp.com), aby ste udržali audítorské záznamy o súhlase a podporili povinnosti transparentnosti voči subjektom údajov.
Sledujte regulačné vývojové trendy, vrátane právneho statusu rámca ochrany údajov medzi EÚ a USA a akýchkoľvek nových rozhodnutí o primeranosti vydaných Európskou komisiou.

Organizácie, ktoré začlenia súlad s cezhraničnými prenosmi údajov do svojich operačných procesov, namiesto toho, aby to považovali za právnu formalitu, sú lepšie pripravené na globálne rozšírenie bez regulačných narušení.