Brzi odgovor: Prenosi podataka preko granica uključuju premještanje ličnih podataka preko nacionalnih granica, a njima upravlja skup preklapajućih zakona uključujući EU GDPR, PIPA Južne Koreje, PIPL Kine i razne sektorske režime. Organizacije moraju identifikovati koji okviri se primenjuju na njihove tokove podataka, a zatim implementirati odobrene mehanizme prenosa kao što su Standardne ugovorne klauzule ili odluke o adekvatnosti pre nego što dođe do bilo kakvog prenosa. Nepoštovanje može izazvati kazne koje dostižu desetine miliona evra, regulatorne istrage i reputacione štete.
Ključne tačke
- GDPR ograničava lične podatke koji napuštaju EEA osim ako nisu na snazi odluke o adekvatnosti, SCC ili obavezujuća korporativna pravila.
- PIPA Južne Koreje zahteva eksplicitnu saglasnost ili zakonitu osnovu za prekogranične transfere i razlikuje se od GDPR-a u nekoliko proceduralnih aspekata.
- Kineski PIPL i Zakon o sajber bezbednosti nameću neke od najstrožih zahteva za lokalizaciju podataka na svetu, uključujući obavezne procene bezbednosti za određene izlazne transfere.
- Standardne ugovorne klauzule (SCC), ažurirane u junu 2021, ostaju najčešće korišćeni mehanizam prenosa za organizacije koje šalju podatke van EEA.
- Studija iz 2021. godine koja je analizirala 10.080 mobilnih aplikacija pokazala je da je 56% potencijalno neusklađeno sa zahtevima GDPR-a za prekogranične transfere. [7]
- Okvir za zaštitu podataka između EU i SAD-a zamenio je nevažeći Privacy Shield, ali organizacije bi trebale nastaviti da prate njegov pravni status.
- Lokalizacija podataka i restrikcije prenosa podataka su povezani, ali različiti koncepti: lokalizacija nalaže gde se podaci čuvaju, dok restrikcije prenosa uređuju kada i kako podaci mogu da se kreću.
- Podaci o zaposlenima nisu izuzeti od pravila o prekograničnom prenosu; često su potrebni posebni ugovori o prenosu podataka ili derogacije.
- Troškovi usklađivanja se značajno razlikuju u zavisnosti od veličine kompanije, obima podataka i broja jurisdikcija uključenih.
- Platforme za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) mogu podržati organizacije u dokumentovanju zakonitih osnova i evidencija saglasnosti relevantnih za prekogranične tokove podataka.
Šta je prekogranični prenos podataka i zašto je važan
Prekogranični prenos podataka se dešava kada god lični podaci prelaze iz jedne zemlje u drugu, bilo putem cloud skladišta, SaaS platformi, e-pošte ili API integracija. Ovo je važno jer se nacionalni zakoni o privatnosti vezuju za same podatke, a ne samo za zemlju u kojoj je organizacija registrovana.
Za preduzeća koja vode globalne operacije, jedna HR platforma smeštena u Sjedinjenim Američkim Državama koja obrađuje evidencije zaposlenih iz kancelarija u EU već predstavlja prekogranični prenos podložan GDPR-u. Isto važi i za marketinške agencije koje šalju liste e-pošte kupaca alatu za automatizaciju smeštenom u SAD-u, ili programere koji koriste usluge analitike trećih strana koje prolaze kroz servere u zemljama koje nisu u EEA.
Ulog je visok. Regulatorna kontrola se pojačala u više jurisdikcija od 2021. godine, a nedostatak međunarodne harmonizacije u zakonima o zaštiti podataka stvara preklapanje pravila i rivalstvo standarda koji komplikuju usklađivanje za organizacije koje posluju preko granica. [8]
Kako GDPR utiče na slanje podataka van EU
GDPR zabranjuje prenos ličnih podataka iz Evropskog ekonomskog prostora (EEA) u treće zemlje osim ako nije na snazi jedan od nekoliko odobrenih mehanizama. Tri osnovna mehanizma su odluke o adekvatnosti, Standardne ugovorne klauzule i Obavezujuća korporativna pravila. [1]
Odluke o adekvatnosti izdaje Evropska komisija kada utvrdi da treća zemlja nudi nivo zaštite podataka koji je suštinski ekvivalentan onom u EEA. Od 2026. godine, odluke o adekvatnosti obuhvataju jurisdikcije uključujući Ujedinjeno Kraljevstvo, Japan, Južnu Koreju i nekoliko drugih. [1] Podaci mogu slobodno teći u ove zemlje bez dodatnih zaštita.
Standardne ugovorne klauzule (SCC) su unapred odobreni ugovorni obrasci koje izdaje Evropska komisija. Modernizovane SCC, objavljene 4. juna 2021, pokrivaju četiri scenarija prenosa: kontroler-kontroler, kontroler-obradilac, obradilac-kontroler i obradilac-obradilac. [2]
Obavezujuća korporativna pravila (BCR) su interne politike koje usvajaju multinacionalne korporativne grupe kako bi regulisale unutargrupne transfere. BCR zahtevaju odobrenje od vodeće nadzorne vlasti i moraju uključivati odredbe o pravnoj osnovi, pravima subjekata podataka i procedurama za žalbe. [1]
"Organizacije moraju mapirati svoje tokove podataka kako bi identifikovale sve transfere i primenile odgovarajuće zaštite pre nego što bilo koji lični podatak napusti EEA." [1]
Šta je PIPA i na koje zemlje se odnosi
Zakon o zaštiti ličnih informacija Južne Koreje (PIPA) je primarni zakon o privatnosti podataka u zemlji, koji reguliše prikupljanje, korišćenje i prekogranični prenos ličnih informacija od strane javnih i privatnih sektora. PIPA se odnosi na svaku organizaciju koja obrađuje lične podatke građana Južne Koreje, bez obzira na to gde je organizacija smeštena.
PIPA zahteva da subjekti podataka budu obavešteni o, i generalno daju saglasnost za, prenos svojih ličnih podataka u inostranstvo. Specifična obaveštenja moraju uključivati identitet primaoca, svrhu prenosa, stavke podataka koje se prenose, period čuvanja i način na koji subjekti podataka mogu povući saglasnost.
Koja je razlika između GDPR-a i PIPA-e za transfere podataka
I GDPR i PIPA regulišu prekogranične transfere podataka, ali se razlikuju u nekoliko proceduralnih i suštinskih tačaka. [6]
| Dimenzija | GDPR (EU/EEA) | PIPA (Južna Koreja) |
|---|---|---|
| Mehanizam prenosa | Odluka o adekvatnosti, SCC, BCR, derogacije | Saglasnost, ugovorna nužnost, aranžmani ekvivalentni adekvatnosti |
| Sudska saradnja u transferima | Dozvoljeno prema međunarodnim sporazumima | Nije eksplicitno navedeno |
| Obaveštenje subjekta podataka | Obavezno za SCC i BCR | Obavezno u trenutku prikupljanja ili prenosa |
| Nadzorna vlast | Nacionalne DPA / EDPB | Komisija za zaštitu ličnih informacija (PIPC) |
| Kazne | Do 4% globalnog godišnjeg prometa | Do KRW 300 miliona (približno USD 220,000) po prekršaju |
Ključna praktična razlika: GDPR pruža veću fleksibilnost kroz više mehanizama prenosa, dok PIPA-ina osnovna obaveza više naginje na eksplicitnu saglasnost, čineći infrastrukturu za upravljanje saglasnošću posebno važnom za organizacije koje posluju u Južnoj Koreji. [6]
Šta su Standardne ugovorne klauzule i da li su vam potrebne
Standardne ugovorne klauzule su unapred odobrene ugovorne odredbe koje je izdala Evropska komisija i koje pravno obavezuju izvozniku i uvozniku podataka da štite lične podatke tokom prekograničnih prenosa. Svaka organizacija koja šalje lične podatke iz EEA u zemlju bez odluke o adekvatnosti gotovo sigurno treba SCC. [2]
SCC iz 2021. zamenile su starije verzije iz 2001. i 2010. godine i uvele modularnu strukturu koja pokriva sve odnose prenosa podataka. Organizacije koje su koristile starije SCC imale su rok za prelazak na nove verzije do 27. decembra 2022.
Kada su vam potrebne SCC:
- Slanje podataka kupaca na CRM ili marketinšku platformu smeštenu u SAD-u
- Korišćenje cloud provajdera sa serverima van EEA
- Deljenje podataka o zaposlenima sa matičnom kompanijom van EEA
- Angažovanje obradilaca van EEA za analitiku, podršku ili razvoj
Kada možda ne trebate SCC:
- Prenos podataka u zemlju sa odlukom o adekvatnosti
- Oslanjanje na BCR za unutargrupne transfere
- Primena specifične derogacije (npr. eksplicitna saglasnost za povremene transfere)
Koje zemlje imaju najstrože restrikcije prenosa podataka
Kina i Rusija nameću najstrože režime prekograničnog prenosa podataka na svetu. Kineski PIPL (na snazi od 1. novembra 2021) zahteva eksplicitnu saglasnost, procene bezbednosti koje sprovodi Kancelarija za sajber prostor Kine (CAC) za određene transfere, i standardne ugovore za druge. [3] Kineski Zakon o sajber bezbednosti dodatno ograničava prekogranične transfere ličnih informacija i "važnih podataka" prikupljenih kroz operacije unutar Kine. [5]
Rusija zahteva da se lični podaci ruskih građana čuvaju na serverima smeštenim unutar Rusije pre nego što dođe do bilo kakvog prekograničnog prenosa.
Druge jurisdikcije sa značajnim restrikcijama uključuju:
- Indija: Zakon o zaštiti digitalnih ličnih podataka (DPDPA) ograničava transfere u određene "crne liste" zemlje.
- Indonezija: Vladina regulativa 71 zahteva lokalizaciju podataka za određene operatore elektronskih sistema.
- Vijetnam: Zakon o sajber bezbednosti zahteva lokalno čuvanje za određene kategorije podataka.
Mogu li preneti lične podatke u SAD pod GDPR-om
Da, ali samo kroz odobreni mehanizam. Okvir za zaštitu podataka između EU i SAD-a (DPF), usvojen u julu 2023, omogućava transfere ka sertifikovanim američkim organizacijama bez SCC. [9] Međutim, DPF se suočava sa pravnim izazovima, a organizacije bi trebale zadržati SCC kao rezervnu zaštitu s obzirom na istoriju poništavanja Privacy Shield-a 2020. godine.
Za američke organizacije koje nisu sertifikovane pod DPF, SCC ostaju primarni mehanizam. Sektorski zakoni u SAD-u kao što je HIPAA takođe nameću obaveze stranim entitetima koji obrađuju zaštićene zdravstvene informacije u ime američkih pokrivenih entiteta. [4]
Koja je razlika između lokalizacije podataka i restrikcija prenosa podataka
Zakoni o lokalizaciji podataka zahtevaju da se određeni podaci čuvaju na serverima fizički smeštenim unutar granica zemlje. Restrikcije prenosa podataka uređuju uslove pod kojima se podaci mogu slati u inostranstvo, bez obzira na to gde se čuvaju.
Kompanija može biti u skladu sa restrikcijama prenosa podataka dok i dalje čuva podatke van granica zemlje (ako je mehanizam prenosa validan). S druge strane, zemlja sa zahtevima za lokalizaciju podataka može i dalje dozvoliti prekogranične transfere sve dok se zadrži lokalna kopija. Kineski režim kombinuje oboje: zahteva lokalno čuvanje za određene kategorije podataka i posebno ograničava izlazne transfere. [5]
Koliko košta uspostavljanje usklađenih prekograničnih prenosa podataka
Troškovi usklađivanja zavise od veličine organizacije, složenosti podataka i broja uključenih jurisdikcija. Ne postoji jedinstvena referentna tačka, ali sledeće kategorije troškova se primenjuju na većinu organizacija:
- Pravna revizija i izvršenje SCC: Raspone se kreću od nekoliko hiljada dolara za male organizacije do šestocifrenih iznosa za preduzeća sa stotinama odnosa sa dobavljačima.
- Mapiranje podataka i revizije tokova: Vreme unutrašnjeg osoblja ili naknade spoljnog konsultanta; srednje tržišne kompanije obično troše između 20.000 i 100.000 USD na sveobuhvatnu reviziju.
- Odobrenje BCR: Proces koji traje više godina i uključuje angažovanje regulatora; obično je rezervisan za velike multinacionalne kompanije s obzirom na ulaganje resursa.
- Kontinuirano praćenje usklađenosti: Godišnja revizija odluka o adekvatnosti, ažuriranja SCC i novih zahteva jurisdikcija.
Ulaganje u platformu za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) može smanjiti tekuće troškove usklađivanja centralizovanjem evidencija saglasnosti i podržavanjem dokumentacije zakonitih osnova prenosa.
Šta se dešava ako kompanija prekrši pravila o prekograničnom prenosu podataka
Prekršaji GDPR-a vezani za prekogranične transfere spadaju u viši nivo kazni: do 20 miliona evra ili 4% globalnog godišnjeg prometa, u zavisnosti od toga šta je veće. Nadzorne vlasti su izrekle značajne kazne posebno za nezakonite transfere, uključujući slučajeve koji uključuju podatke poslati u SAD bez adekvatnih zaštita.
Pored kazni, posledice uključuju:
- Obustavu operacija prenosa podataka od strane nadzornih vlasti
- Obavezne revizije i planove korektivnih akcija
- Građanske tužbe od strane subjekata podataka
- Reputacione štete i gubitak poverenja kupaca
Prema kineskom PIPL-u, prekršaji mogu rezultirati kaznama do 50 miliona RMB ili 5% godišnjeg prihoda iz prethodne godine, plus potencijalna obustava poslovanja. [3]
Da li su mi potrebni ugovori o prenosu podataka za podatke o zaposlenima
Da. Lični podaci zaposlenih podložni su istim pravilima o prekograničnom prenosu kao i podaci o kupcima prema GDPR-u i većini drugih okvira privatnosti. Mnoge organizacije pogrešno pretpostavljaju da ugovori o radu ili interne HR politike sufficiraju; one ne zamenjuju potrebu za validnim mehanizmom prenosa.
Za multinacionalne grupe, BCR su često najpraktičnije rešenje za podatke o zaposlenima jer pokrivaju sve unutargrupne transfere pod jednim odobrenim okvirom. Alternativno, SCC se mogu izvršiti između zapošljavajuće entiteta i primaoca unutar grupe.
Koje su uobičajene greške koje kompanije prave sa međunarodnim prenosima podataka
Najčešći propusti u usklađivanju u prekograničnim transferima podataka uključuju:
- Nepostojanje mapiranja tokova podataka: Organizacije ne mogu primeniti ispravan mehanizam ako ne znaju gde podaci idu. Studija iz 2021. godine pokazala je da je 56% analiziranih mobilnih aplikacija potencijalno neusklađeno sa zahtevima za transfere GDPR-a, uglavnom zbog neotkrivenih tokova podataka trećih strana. [7]
- Korišćenje zastarelih SCC: Organizacije koje nisu prešle sa starih SCC na verzije iz 2021. do roka u decembru 2022. rade na nevažećim ugovorima.
- Pretpostavljanje da cloud provajderi rešavaju usklađenost: Cloud provajderi obezbeđuju ugovore o obradi podataka, ali kontroler podataka ostaje odgovoran za osiguranje postojanja validnog mehanizma prenosa.
- Ignorisanje lanaca podobradilaca: Kada obradilac angažuje podobradilaca u trećoj zemlji, originalni kontroler mora osigurati da se SCC ili ekvivalentne zaštite protežu niz lanac.
- Zanemarivanje podataka o zaposlenima: HR sistemi, platforme za obračun plata i alati za saradnju često prenose podatke o zaposlenima preko granica bez odgovarajućih ugovora.
Kako da znam da li moja kompanija treba da se brine o prekograničnim restrikcijama
Svaka organizacija koja prikuplja lične podatke od građana regulisane jurisdikcije i koristi alate, dobavljače ili infrastrukturu smeštenu van te jurisdikcije treba da se pozabavi zahtevima za prekogranični prenos. Ovo se odnosi čak i na mala preduzeća koja koriste platforme za email marketing ili analitiku smeštene u SAD-u.
Koristite ovo pravilo odlučivanja:
- Ako prikupljate podatke od građana EU/EEA i koristite bilo kojeg dobavljača van EEA, pravila o prenosu GDPR-a se primenjuju.
- Ako obrađujete podatke građana Južne Koreje i delite ih sa inostranim entitetima, primenjuje se PIPA.
- Ako poslujete u Kini i prenosite lične informacije ili "važne podatke" van Kine, primenjuju se PIPL i Zakon o sajber bezbednosti.
- Ako ste američki entitet koji prima lične podatke iz EU, potrebna vam je ili DPF sertifikacija ili SCC od vaših EU partnera.
APEC sistem pravila o prekograničnoj privatnosti (CBPR) nudi put sertifikacije za organizacije koje posluju u zemljama članicama Azijsko-pacifičkog regiona, pružajući prepoznat okvir usklađenosti za unutar-APEC transfere. [9]
Često postavljana pitanja
Koji je najjednostavniji pravni način za prenos podataka između zemalja?
Prenos podataka u zemlju sa odlukom o adekvatnosti EU je najjednostavniji put pod GDPR-om, jer nisu potrebni dodatni ugovori ili zaštite. Za druge destinacije, izvršenje Standardnih ugovornih klauzula sa primaocem podataka je najjednostavnija opcija.
Da li su SCC potrebne za svaki međunarodni prenos?
Ne. SCC su potrebne kada se podaci prenose iz EEA u zemlju bez odluke o adekvatnosti i kada ne važi nijedan drugi validan mehanizam (BCR, obavezujuće derogacije). Prenosi u zemlje sa odobrenim adekvatnostima ne zahtevaju SCC.
Da li se GDPR primenjuje na kompanije van EU?
Da. GDPR se primenjuje na svaku organizaciju koja obrađuje lične podatke građana EEA, bez obzira na to gde je organizacija osnovana, ako nudi robu ili usluge građanima EEA ili prati njihovo ponašanje.
Šta je Okvir za zaštitu podataka između EU i SAD-a?
Okvir za zaštitu podataka između EU i SAD-a je mehanizam adekvatnosti usvojen u julu 2023. koji omogućava sertifikovanim američkim organizacijama da primaju lične podatke iz EEA bez SCC. Organizacije moraju samoproceniti sa američkim Ministarstvom trgovine i obavezati se na specifične principe zaštite podataka.
Može li saglasnost sama po sebi opravdati prekogranični prenos pod GDPR-u?
Eksplicitna saglasnost može poslužiti kao derogacija za povremene transfere, ali nije održiv mehanizam za sistematske ili velike transfere. Nadzorne vlasti su upozorile na oslanjanje na saglasnost kao primarni mehanizam prenosa za rutinske poslovne operacije.
Šta je Procena uticaja prenosa (TIA)?
TIA je analiza koju organizacije moraju sprovesti pre nego što se oslanjaju na SCC kako bi procenile da li pravni okvir zemlje odredišta potkopava zaštitu u SCC. Postala je obavezni korak nakon presude Schrems II 2020. godine.
Da li PIPA pokriva B2B podatke?
PIPA pokriva lične informacije fizičkih lica. Informacije o poslovnim kontaktima (ime, radna e-pošta, radni telefon) mogu spadati pod PIPA-u u zavisnosti od načina obrade, tako da organizacije ne bi trebale pretpostavljati da su B2B podaci automatski izuzeti.
Koliko traje odobrenje BCR?
Odobrenje BCR obično traje od dve do tri godine, u zavisnosti od složenosti korporativne grupe i brzine odgovora vodeće nadzorne vlasti. To je proces koji zahteva resurse i najbolje je prilagođen velikim multinacionalnim kompanijama.
Koju ulogu igra platforma za upravljanje saglasnošću u prekograničnoj usklađenosti?
Platforma za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) pomaže organizacijama da prikupljaju, čuvaju i dokumentuju zakonite evidencije saglasnosti, koje su relevantne kada se saglasnost koristi kao pravna osnova za obradu ili prenos. Takođe podržava obaveze transparentnosti otkrivanjem trećih strana primaoca podataka korisnicima.
Da li postoje kazne za korišćenje zastarelih SCC?
Da. Korišćenje SCC pre 2021. godine nakon roka za prelazak 27. decembra 2022. čini mehanizam prenosa nevažećim, izlažući organizaciju istim kaznama kao da nema mehanizam uopšte.
Zaključak
Prekogranični prenosi podataka nalaze se na raskrsnici poslovnih operacija i regulatornih obaveza, a pejzaž usklađivanja je postao znatno složeniji od 2021. godine. GDPR, PIPA, kineski PIPL i sve veći broj nacionalnih okvira nameću različite zahteve, a organizacije koje tretiraju usklađivanje kao jednokratnu vežbu umesto kao kontinuirani program suočavaju se sa stvarnim rizikom od sprovođenja.
Akcioni koraci za 2026:
- Sprovedite reviziju tokova podataka kako biste identifikovali svaki prekogranični prenos koji vaša organizacija vrši, uključujući one kroz dobavljače i podobradilace.
- Proverite da li su vaši mehanizmi prenosa aktuelni: potvrdite da su SCC verzije iz 2021, proverite da li odluke o adekvatnosti pokrivaju vaše zemlje odredišta i ažurirajte sve istekao ili nedostajuće ugovore.
- Procijenite izloženost Kini i APAC-u odvojeno, jer PIPL i lokalni zakoni o lokalizaciji podataka zahtevaju posebne korake usklađivanja pored mera usklađivanja sa GDPR-om.
- Dokumentujte Procene uticaja prenosa za sve transfere zasnovane na SCC ka zemljama bez adekvatnosti, posebno Sjedinjenim Američkim Državama.
- Implementirajte rešenje za upravljanje saglasnošću kao što je Biscotti CMP (www.biscotti-cmp.com) kako biste održali auditable evidencije saglasnosti i podržali obaveze transparentnosti prema subjektima podataka.
- Pratite regulatorne razvojne događaje uključujući pravni status Okvira za zaštitu podataka između EU i SAD-a i sve nove odluke o adekvatnosti koje izda Evropska komisija.
Organizacije koje integrišu usklađenost sa prekograničnim prenosima podataka u svoje operativne procese, umesto da to tretiraju kao pravnu formalnost, bolje su pozicionirane za globalno širenje bez regulatornih prekida.
Reference
[1] Cross Border Transfers - https://provahq.io/frameworks/gdpr/cross-border-transfers/?utm_source=openai
[2] Standard Contractual Clauses Scc Sv - https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_sv?prefLang=sv&utm_source=openai
[3] Cross Borders Data Transfers PIPL - https://securiti.ai/blog/cross-borders-data-transfers-pipl/?utm_source=openai
[4] Cross Border Data Transfers Regulations And Compliance - https://legalclarity.org/cross-border-data-transfers-regulations-and-compliance/?utm_source=openai
[5] Summary Of The PRC Cybersecurity Law - https://www.crowell.com/en/insights/client-alerts/summary-of-the-prc-cybersecurity-law?utm_source=openai
[6] GDPR V PIPA May 2023 Update - https://www.dataguidance.com/sites/default/files/gdpr_v_pipa_may_2023_update.pdf?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2103.07297?utm_source=openai
[8] Iss3 - https://digitalcommons.law.uw.edu/wilj/vol29/iss3/7/?utm_source=openai
[9] Cross Border Data Transfers Compliance - https://auditdss.com/blog/cross-border-data-transfers-compliance/?utm_source=openai