Pravo EU in GDPR

Prenosi podatkov čez meje: Navigacija po GDPR, PIPA in lokalnih omejitvah

7. julij 2026 · 17 min branje

Hiter odgovor: Prenosi podatkov čez meje vključujejo premikanje osebnih podatkov čez nacionalne meje in jih ureja mozaik prekrivajočih se zakonov, vključno z EU GDPR, južnokorejsko PIPA, kitajsko PIPL in različnimi sektorji specifičnimi režimi. Organizacije morajo identificirati, kateri okviri se nanašajo na njihove tokove podatkov, nato pa implementirati odobrene mehanizme prenosa, kot so standardne pogodbene klavzule ali odločitve o ustreznosti, preden pride do prenosa. Neupoštevanje lahko sproži globe, ki dosežejo desetine milijonov evrov, regulativne preiskave in škodo na ugledu.

Ključne točke

GDPR omejuje osebne podatke, ki zapustijo EEA, razen če so na voljo odločitev o ustreznosti, SCC ali zavezujoča korporativna pravila.
Južna Koreja zahteva od PIPA izrecno soglasje ali pravno podlago za prenose čez meje in se v več postopkovnih vidikih razlikuje od GDPR.
Kitajska PIPL in zakon o kibernetski varnosti nalagata nekatere najstrožje zahteve po lokalizaciji podatkov na svetu, vključno z obveznimi varnostnimi ocenami za določene odhodne prenose.
Standardne pogodbene klavzule (SCC), posodobljene junija 2021, ostajajo najpogosteje uporabljeni mehanizem prenosa za organizacije, ki pošiljajo podatke zunaj EEA.
Študija iz leta 2021, ki je analizirala 10.080 mobilnih aplikacij, je pokazala, da je 56 % potencialno nezdružljivih z zahtevami GDPR za prenose čez meje. [7]
Okvir za zaščito podatkov med EU in ZDA je nadomestil razveljavljen Privacy Shield, vendar bi morale organizacije še naprej spremljati njegov pravni status.
Lokalizacija podatkov in omejitve prenosa podatkov sta povezana, a različna koncepta: lokalizacija nalaga, kje se podatki shranjujejo, medtem ko omejitve prenosa urejajo, kdaj in kako lahko podatki prehajajo.
Podatki zaposlenih niso izvzeti iz pravil o prenosu čez meje; pogosto so potrebni ločeni dogovori o prenosu podatkov ali odstopanja.
Stroški skladnosti se zelo razlikujejo glede na velikost podjetja, količino podatkov in število vključenih jurisdikcij.
Platforme za upravljanje soglasij, kot je Biscotti CMP (www.biscotti-cmp.com), lahko podpirajo organizacije pri dokumentiranju pravnih podlag in evidenc soglasij, povezanih s prenosi podatkov čez meje.

Kaj je prenos podatkov čez meje in zakaj je pomemben

Prenos podatkov čez meje se zgodi, kadar osebni podatki prehajajo iz ene države v drugo, bodisi prek oblačnega shranjevanja, SaaS platform, e-pošte ali API integracij. To je pomembno, ker se nacionalni zakoni o zasebnosti navezujejo na same podatke, ne le na državo, v kateri je organizacija ustanovljena.

Za podjetja, ki delujejo globalno, en sam HR sistem, gostovan v Združenih državah, ki obdeluje evidence zaposlenih iz pisarn EU, že predstavlja prenos čez meje, ki je predmet GDPR. Enako velja za marketinške agencije, ki pošiljajo sezname e-poštnih naslovov strank orodju za avtomatizacijo, ki je sedež v ZDA, ali razvijalce, ki uporabljajo storitve analitike tretjih oseb, usmerjene prek strežnikov v državah, ki niso EEA.

Stave so visoke. Uveljavitev predpisov se je od leta 2021 okrepila v več jurisdikcijah, pomanjkanje mednarodne usklajenosti v zakonih o varstvu podatkov pa ustvarja prekrivanje pravil in rivalstvo standardov, kar zapleta skladnost za organizacije, ki delujejo čez meje. [8]

Kako GDPR vpliva na pošiljanje podatkov zunaj EU

GDPR prepoveduje prenos osebnih podatkov iz Evropskega gospodarskega prostora (EEA) v tretje države, razen če je na voljo eden od več odobrenih mehanizmov. Tri glavne mehanizme so odločitve o ustreznosti, standardne pogodbene klavzule in zavezujoča korporativna pravila. [1]

Odločitve o ustreznosti izda Evropska komisija, ko ugotovi, da tretja država ponuja raven zaščite podatkov, ki je esencialno enaka tisti v EEA. Od leta 2026 odločitve o ustreznosti pokrivajo jurisdikcije, vključno z Združenim kraljestvom, Japonsko, Južno Korejo in še nekatere druge. [1] Podatki se lahko prosto prenašajo v te države brez dodatnih zaščit.

Standardne pogodbene klavzule (SCC) so predhodno odobreni pogodbeni predlogi, ki jih izda Evropska komisija. Modernizirane SCC, objavljene 4. junija 2021, pokrivajo štiri scenarije prenosa: od upravljavca do upravljavca, od upravljavca do obdelovalca, od obdelovalca do upravljavca in od obdelovalca do obdelovalca. [2]

Zavezujoča korporativna pravila (BCR) so notranje politike, ki jih sprejmejo multinacionalne korporacije za urejanje intra-skupinskih prenosov. BCR zahtevajo odobritev vodilne nadzorne oblasti in morajo vključevati določbe o pravni podlagi, pravicah posameznikov in postopkih za pritožbe. [1]

"Organizacije morajo kartirati svoje tokove podatkov, da identificirajo vse prenose in uporabijo ustrezne zaščite, preden kateri koli osebni podatek zapusti EEA." [1]

Kaj je PIPA in na katere države se nanaša

Zakon o varstvu osebnih podatkov Južne Koreje (PIPA) je glavni zakon o zasebnosti podatkov v državi, ki ureja zbiranje, uporabo in prenose osebnih informacij čez meje tako za javne kot zasebne sektorje. PIPA se nanaša na vsako organizacijo, ki obdeluje osebne podatke prebivalcev Južne Koreje, ne glede na to, kje je organizacija ustanovljena.

PIPA zahteva, da so posamezniki obveščeni o prenosu svojih osebnih podatkov v tujino in da na splošno soglašajo s tem. Specifična razkritja morajo vključevati identiteto prejemnika, namen prenosa, prenesene podatkovne elemente, obdobje hrambe in kako lahko posamezniki umaknejo soglasje.

Kakšna je razlika med GDPR in PIPA pri prenosih podatkov

T tako GDPR kot PIPA urejata prenose podatkov čez meje, vendar se razlikujeta v več postopkovnih in vsebinskih točkah. [6]

Dimenzija	GDPR (EU/EEA)	PIPA (Južna Koreja)
Mehanizem prenosa	Odločitev o ustreznosti, SCC, BCR, odstopanja	Soglasje, pogodbeno nujnost, ureditve enakovredne ustreznosti
Prenosi sodne sodelovanja	Dovoljeno na podlagi mednarodnih sporazumov	Ni izrecno določeno
Obveščanje posameznikov	Zahtevano za SCC in BCR	Zahtevano ob zbiranju ali prenosu
Nadzorna oblast	Nacionalni DPA / EDPB	Komisija za varstvo osebnih podatkov (PIPC)
Globe	Do 4 % globalnega letnega prometa	Do 300 milijonov KRW (približno 220.000 USD) na kršitev

Ključna praktična razlika: GDPR nudi večjo fleksibilnost skozi več mehanizmov prenosa, medtem ko PIPA v osnovi zahteva izrecno soglasje, kar pomeni, da je infrastruktura za upravljanje soglasij še posebej pomembna za organizacije, ki delujejo v Južni Koreji. [6]

Kaj so standardne pogodbene klavzule in ali jih potrebujete

Standardne pogodbene klavzule so predhodno odobrene pogodbe, ki jih izda Evropska komisija in pravno zavezujejo izvoznikov in uvoznikov podatkov, da zaščitijo osebne podatke med prenosi čez meje. Vsaka organizacija, ki pošilja osebne podatke iz EEA v državo brez odločitve o ustreznosti, skoraj zagotovo potrebuje SCC. [2]

SCC iz leta 2021 so nadomestile starejše različice iz let 2001 in 2010 ter uvedle modularno strukturo, ki pokriva vse odnose prenosa podatkov. Organizacije, ki so uporabljale stare SCC, so imele rok za prehod do 27. decembra 2022, da preidejo na nove različice.

Kdaj potrebujete SCC:

Pošiljanje podatkov strankam na CRM ali marketinško platformo, ki je sedež v ZDA
Uporaba ponudnika oblačnih storitev s strežniki zunaj EEA
Deljenje podatkov zaposlenih z matičnim podjetjem, ki ni v EEA
Zaposlovanje obdelovalca, ki ni v EEA, za analitiko, podporo ali razvoj

Kdaj morda ne potrebujete SCC:

Prenos podatkov v državo z odločitvijo o ustreznosti
Zanašanje na BCR za intra-skupinske prenose
Uporaba specifičnega odstopanja (npr. izrecno soglasje za občasne prenose)

Katerih držav so najstrožje omejitve prenosa podatkov

Kitajska in Rusija uvajata najbolj restriktivne režime prenosa podatkov čez meje na svetu. Kitajska PIPL (v veljavi od 1. novembra 2021) zahteva izrecno soglasje, varnostne ocene, ki jih izvaja Kibernetska uprava Kitajske (CAC) za določene prenose, in standardne pogodbe za druge. [3] Kitajski zakon o kibernetski varnosti dodatno omejuje prenose osebnih informacij in "pomembnih podatkov", zbranih v okviru delovanja znotraj Kitajske. [5]

Rusija zahteva, da se osebni podatki ruskih državljanov shranjujejo na strežnikih, ki se nahajajo znotraj Rusije, preden pride do katerega koli prenosa čez meje.

Druge jurisdikcije z opaznimi omejitvami vključujejo:

Indija: Zakon o digitalni zaščiti osebnih podatkov (DPDPA) omejuje prenose v določene "črne" države.
Indonezija: Vladna uredba 71 zahteva lokalizacijo podatkov za določene operaterje elektronskih sistemov.
Vietnam: Zakon o kibernetski varnosti zahteva lokalno shranjevanje za določene kategorije podatkov.

Ali lahko prenesem osebne podatke v ZDA pod GDPR

Da, vendar le preko odobrenega mehanizma. Okvir za zaščito podatkov med EU in ZDA (DPF), sprejet julija 2023, omogoča prenose do certificiranih ameriških organizacij brez SCC. [9] Vendar se DPF sooča s pravnimi izzivi, organizacije pa bi morale ohraniti SCC kot rezervno zaščito, glede na zgodovino razveljavitve Privacy Shield leta 2020.

Za ameriške organizacije, ki niso certificirane pod DPF, SCC ostajajo glavni mehanizem. Sektorski zakoni v ZDA, kot je HIPAA, prav tako nalagajo obveznosti tujim entitetam, ki obdelujejo zaščitene zdravstvene informacije v imenu ameriških pokritih entitet. [4]

Kakšna je razlika med lokalizacijo podatkov in omejitvami prenosa podatkov

Zakonodaja o lokalizaciji podatkov zahteva, da se določeni podatki shranjujejo na strežnikih, ki se fizično nahajajo znotraj meja države. Omejitve prenosa podatkov urejajo pogoje, pod katerimi se podatki lahko pošiljajo v tujino, ne glede na to, kje so shranjeni.

Podjetje lahko izpolnjuje omejitve prenosa podatkov, medtem ko še vedno shranjuje podatke zunaj meja države (če je mehanizem prenosa veljaven). Nasprotno pa lahko država z zahtevami po lokalizaciji podatkov še vedno dovoljuje prenose čez meje, dokler se ohrani lokalna kopija. Kitajski režim združuje oboje: zahteva lokalno shranjevanje za določene kategorije podatkov in posebej omejuje odhodne prenose. [5]

Koliko stane vzpostavitev skladnih prenosov podatkov čez meje

Stroški skladnosti so odvisni od velikosti organizacije, kompleksnosti podatkov in števila vključenih jurisdikcij. Ne obstaja enotna referenčna točka, vendar se naslednje kategorije stroškov nanašajo na večino organizacij:

Pravna pregled in izvrševanje SCC: Se giblje od nekaj tisoč dolarjev za majhne organizacije do šestih številk za podjetja s stotinami odnosov z dobavitelji.
Zemljevid podatkov in revizije tokov: Čas notranjega osebja ali stroški zunanjih svetovalcev; podjetja srednjega trga običajno porabijo 20.000-100.000 USD za celovito revizijo.
Odobritev BCR: Večletni postopek, ki vključuje regulativno sodelovanje; običajno rezervirano za velike multinacionalke, glede na vložek virov.
Neprestano spremljanje skladnosti: Letni pregled odločitev o ustreznosti, posodobitev SCC in novih zahtev jurisdikcij.

Investiranje v platformo za upravljanje soglasij, kot je Biscotti CMP (www.biscotti-cmp.com), lahko zmanjša stalne stroške skladnosti z osredotočanjem evidenc soglasij in podporo dokumentaciji pravnih podlag prenosa.

Kaj se zgodi, če podjetje krši pravila o prenosu podatkov čez meje

Kršitve GDPR, povezane s prenosi čez meje, spadajo v višji razred glob: do 20 milijonov EUR ali 4 % globalnega letnega prometa, kar je višje. Nadzorne oblasti so izdale pomembne globe posebej za nezakonite prenose, vključno s primeri, ki vključujejo podatke, poslane v ZDA brez ustreznih zaščit.

Poleg glob vključujejo posledice:

Prekinitev operacij prenosa podatkov s strani nadzornih organov
Obvezne revizije in načrti korektivnih ukrepov
Civilne tožbe posameznikov
Škoda na ugledu in izguba zaupanja strank

Pod kitajsko PIPL lahko kršitve privedejo do glob do 50 milijonov RMB ali 5 % letnega prihodka prejšnjega leta, poleg morebitne prekinitve poslovanja. [3]

Ali potrebujem dogovore o prenosu podatkov za podatke zaposlenih

Da. Osebni podatki zaposlenih so predmet istih pravil o prenosu čez meje kot podatki strank pod GDPR in večino drugih okvirjev zasebnosti. Mnoge organizacije napačno domnevajo, da pogodbe o zaposlitvi ali notranje HR politike zadostujejo; ne nadomeščajo potrebe po veljavnem mehanizmu prenosa.

Za multinacionalne skupine so BCR pogosto najbolj praktična rešitev za podatke zaposlenih, saj pokrivajo vse intra-skupinske prenose pod enim odobrenim okvirom. Alternativno lahko SCC sklenemo med zaposlitveno entiteto in prejemno entiteto znotraj skupine.

Katere so pogoste napake, ki jih podjetja delajo pri mednarodnih prenosih podatkov

Najpogostejše napake pri skladnosti pri prenosih podatkov čez meje vključujejo:

Neuspeh pri kartiranju tokov podatkov: Organizacije ne morejo uporabiti pravilnega mehanizma, če ne vedo, kam podatki gredo. Študija iz leta 2021 je pokazala, da je 56 % analiziranih mobilnih aplikacij potencialno nezdružljivih z zahtevami GDPR za prenose, predvsem zaradi ne razkritih tokov podatkov tretjih oseb. [7]
Uporaba zastarelih SCC: Organizacije, ki se niso preselile iz starih SCC na različice iz leta 2021 do roka decembra 2022, delujejo na neveljavnih pogodbah.
Domneva, da ponudniki oblačnih storitev obravnavajo skladnost: Ponudniki oblačnih storitev zagotavljajo pogodbe o obdelavi podatkov, vendar ostaja odgovornost za zagotavljanje veljavnega mehanizma prenosa pri upravljavcu podatkov.
Ignoriranje verig podobdelovalcev: Ko obdelovalec angažira podobdelovalca v tretji državi, mora prvotni upravljavec zagotoviti, da se SCC ali enakovredne zaščite razširijo po verigi.
Spregled podatkov zaposlenih: Sistemi HR, plačilne platforme in orodja za sodelovanje pogosto prenašajo podatke zaposlenih čez meje brez ustreznih dogovorov.

Kako naj vem, ali se mora moje podjetje ukvarjati z omejitvami prenosa čez meje

Vsaka organizacija, ki zbira osebne podatke od prebivalcev regulirane jurisdikcije in uporablja orodja, dobavitelje ali infrastrukturo, ki se nahajajo zunaj te jurisdikcije, se mora ukvarjati z zahtevami prenosa čez meje. To velja tudi za majhna podjetja, ki uporabljajo platforme za e-poštni marketing ali analitiko, ki so gostovane v ZDA.

Uporabite to odločitev:

Če zbirate podatke od prebivalcev EU/EEA in uporabljate katerega koli dobavitelja, ki ni v EEA, se uporabljajo pravila o prenosu GDPR.
Če obdelujete podatke prebivalcev Južne Koreje in jih delite z zunanjimi entitetami, se uporablja PIPA.
Če delujete na Kitajskem in prenašate osebne informacije ali "pomembne podatke" zunaj Kitajske, se uporabljata PIPL in zakon o kibernetski varnosti.
Če ste ameriška entiteta, ki prejema osebne podatke EU, potrebujete bodisi certifikacijo DPF bodisi SCC od svojih partnerjev v EU.

Sistem APEC Cross-Border Privacy Rules (CBPR) ponuja pot certifikacije za organizacije, ki delujejo v državah članicah Azijsko-pacifiške regije, in zagotavlja priznani okvir skladnosti za intra-APEC prenose. [9]

Pogosta vprašanja

Kakšna je najpreprostejša pravna pot za prenos podatkov med državami? Prenos podatkov v državo z odločitvijo o ustreznosti EU je najpreprostejša pot pod GDPR, saj niso potrebne dodatne pogodbe ali zaščite. Za druge destinacije je izvrševanje standardnih pogodbenih klavzul z prejemnikom podatkov najbolj neposredna možnost.

Ali so SCC potrebne za vsak mednarodni prenos? Ne. SCC so potrebne pri prenosu podatkov iz EEA v državo brez odločitve o ustreznosti in kadar ne veljajo drugi veljavni mehanizmi (BCR, zavezujoča odstopanja). Prenosi v države, ki so odobrene za ustreznost, ne zahtevajo SCC.

Ali se GDPR uporablja za podjetja, ki niso v EU? Da. GDPR se uporablja za vsako organizacijo, ki obdeluje osebne podatke prebivalcev EEA, ne glede na to, kje je organizacija ustanovljena, če ponuja blago ali storitve prebivalcem EEA ali spremlja njihovo vedenje.

Kaj je okvir za zaščito podatkov med EU in ZDA? Okvir za zaščito podatkov med EU in ZDA je mehanizem ustreznosti, sprejet julija 2023, ki omogoča certificiranim ameriškim organizacijam prejemanje osebnih podatkov iz EEA brez SCC. Organizacije se morajo samo-certificirati pri ameriškem ministrstvu za trgovino in se zavezati k določenim načelom varstva podatkov.

Ali lahko soglasje samo upraviči prenos čez meje pod GDPR? Izrecno soglasje lahko služi kot odstopanje za občasne prenose, vendar ni trajen mehanizem za sistematične ali obsežne prenose. Nadzorne oblasti so opozorile, da se ne smemo zanašati na soglasje kot glavni mehanizem prenosa za rutinsko poslovanje.

Kaj je ocena vpliva prenosa (TIA)? TIA je analiza, ki jo morajo organizacije izvesti, preden se zanašajo na SCC, da ocenijo, ali pravni okvir države prejemnice ogroža zaščitne ukrepe v SCC. Postala je obvezen korak po odločitvi Schrems II leta 2020.

Ali PIPA pokriva B2B podatke? PIPA pokriva osebne informacije fizičnih oseb. Informacije o poslovnih stikih (ime, delovni e-poštni naslov, delovna telefonska številka) lahko spadajo pod PIPA, odvisno od načina obdelave, zato organizacije ne bi smele domnevati, da so B2B podatki samodejno izvzeti.

Kako dolgo traja odobritev BCR? Odobritev BCR običajno traja od dve do tri leta, odvisno od kompleksnosti korporacijske skupine in odzivnosti vodilne nadzorne oblasti. Gre za proces, ki zahteva veliko virov in je najbolje primeren za velike multinacionalke.

Kakšno vlogo ima platforma za upravljanje soglasij pri skladnosti pri prenosih čez meje? Platforma za upravljanje soglasij, kot je Biscotti CMP (www.biscotti-cmp.com), pomaga organizacijam zajemati, shranjevati in dokazovati zakonite evidence soglasij, ki so pomembne, kadar se soglasje uporablja kot pravna podlaga za obdelavo ali prenos. Prav tako podpira obveznosti preglednosti z razkrivanjem prejemnikov podatkov tretjim osebam uporabnikom.

Ali so kazni za uporabo zastarelih SCC? Da. Uporaba SCC pred letom 2021 po prehodnem roku 27. decembra 2022 povzroči neveljavnost mehanizma prenosa, kar izpostavi organizacijo enakim kaznim, kot če ne bi imela mehanizma.

Zaključek

Prenosi podatkov čez meje se nahajajo na stičišču poslovnih operacij in regulativnih obveznosti, skladnost pa je postala precej bolj kompleksna od leta 2021. GDPR, PIPA, kitajska PIPL in naraščajoče število nacionalnih okvirov nalagajo različne zahteve, organizacije, ki obravnavajo skladnost kot enkratno nalogo namesto kot kontinuiran program, se soočajo z resničnim tveganjem uveljavitve.

Izvedljivi naslednji koraki za leto 2026:

Izvedite revizijo tokov podatkov, da identificirate vsak prenos čez meje, ki ga vaše podjetje izvaja, vključno s tistimi preko tretjih dobaviteljev in podobdelovalcev.
Preverite, ali so vaši mehanizmi prenosa aktualni: potrdite, da so SCC različice iz leta 2021, preverite, ali odločitve o ustreznosti pokrivajo vaše ciljne države, in posodobite morebitne potekle ali manjkajoče dogovore.
Ločeno ocenite izpostavljenost Kitajski in APAC, saj PIPL in lokalni zakoni o lokalizaciji podatkov zahtevajo posebne korake skladnosti, ki presegajo ukrepe, usklajene z GDPR.
Dokumentirajte ocene vpliva prenosa za vse prenose na podlagi SCC v države brez ustreznosti, zlasti v Združene države.
Implementirajte rešitev za upravljanje soglasij, kot je Biscotti CMP (www.biscotti-cmp.com), da ohranite revizijske evidence soglasij in podprete razkritja preglednosti posameznikom.
Spremljajte regulativne dogodke, vključno s pravnim statusom Okvira za zaščito podatkov med EU in ZDA ter morebitnimi novimi odločitvami o ustreznosti, ki jih izda Evropska komisija.

Organizacije, ki v svoje operativne procese vključijo skladnost pri prenosu podatkov čez meje, namesto da bi to obravnavale kot pravno formalnost, so bolje pripravljene na globalno širitev brez regulativnih motenj.