„Sve presude suda ili sve odluke upravnog tijela treće zemlje kojima se od voditelja obrade ili izvršitelja obrade zahtijeva prijenos ili otkrivanje osobnih podataka mogu biti priznate ili izvršive na bilo koji način samo ako se temelje na nekom međunarodnom sporazumu, poput ugovora o uzajamnoj pravnoj pomoći, koji je na snazi između treće zemlje koja je podnijela zahtjev i Unije ili države članice, ne dovodeći u pitanje druge razloge za prijenos u skladu s ovim poglavljem.“
Odredba je to kratkog članka 48. GDPR-a, koja razumno nije baš razumljiva niti daje egzaktne upute kako postupati ako organizacija u EU dobije zahtjev nadležnog tijela neke treće zemlje za dostavom osobnih podataka određenih osoba.
U tu svrhu je EDPB objavio Smjernice o članku 48. GDPR-a:
https://www.edpb.europa.eu/system/files/2025-06/edpb_guidelines_202402_article48_v2_en.pdf
iz kojih izdvajamo:
֍ Ove smjernice usmjerene su na zahtjeve koji imaju za cilj izravnu suradnju između tijela treće zemlje i privatnog subjekta u EU (za razliku od drugih scenarija u kojima se osobni podaci izravno razmjenjuju između javnih tijela u EU i trećim zemljama, npr. na temelju ugovora o međusobnoj pravnoj pomoći).
֍ Smjernice obuhvaćaju isključivo situacije u kojima su takvi zahtjevi upućeni voditeljima obrade ili izvršiteljima obrade u EU. Takvi zahtjevi mogu dolaziti od svih vrsta javnih tijela, uključujući ona koja nadziru privatni sektor poput regulatora za bankarstvo i poreznih tijela, kao i tijela nadležnih za provedbu zakona i nacionalnu sigurnost.
֍ Članak 48. GDPR-a ne razlikuje privatne i javne voditelje ili izvršitelje obrade koji primaju zahtjev za osobnim podacima od tijela treće zemlje. Međutim, za potrebe ovih smjernica, ova analiza usredotočena je na izravne zahtjeve privatnim subjektima u EU, s obzirom na to da se čini kako je ovo najčešći scenarij primjene članka 48. GDPR-a, dok se zahtjevi prema javnim tijelima obično rješavaju u okviru međunarodne suradnje utvrđene međunarodnim ugovorima.
֍ Glavni cilj odredbe članka 48. GDPR-a jest razjasniti da presude ili odluke tijela treće zemlje ne mogu automatski i izravno biti priznate ili izvršene u državi članici EU, čime se naglašava pravna suverenost u odnosu na pravo treće zemlje. Kao opće pravilo, priznanje i izvršivost stranih presuda i odluka osigurava se primjenjivim međunarodnim ugovorima.
֍ Neovisno o postojanju međunarodnog ugovora, ako voditelj ili izvršitelj obrade u EU primi i odgovori na zahtjev tijela treće zemlje za osobnim podacima, takav prijenos smatra se prijenosom prema GDPR-u i mora biti u skladu s člankom 6. i odredbama Poglavlja V. U nedostatku međunarodnog ugovora, ili ako ugovor ne predviđa pravnu osnovu iz članka 6. stavka 1. točke (c) ili (e), mogu se razmotriti i druge pravne osnove. Slično, ako ne postoji međunarodni ugovor ili ugovor ne predviđa odgovarajuće zaštitne mjere iz članka 46. stavka 2. točke (a), mogu se primijeniti i druge osnove za prijenos, uključujući iznimke iz članka 49. GDPR-a.
֍ EDPB podsjeća da se u svim slučajevima mora primijeniti „dvofazni test” kod svakog prijenosa osobnih podataka u treće zemlje:
- Prvo, mora postojati pravna osnova za obradu podataka iz članka 6. GDPR-a i
- Drugo, moraju biti ispunjene odredbe Poglavlja V.
֍ U slučajevima kada ne postoji pravna obveza koja proizlazi iz međunarodnog ugovora za voditelja obrade, moguće je koristiti druge pravne osnove iz članka 6. GDPR-a, pod uvjetom da su ispunjeni pravni zahtjevi iz Poglavlja V. GDPR-a. Međutim, primjenu tih drugih pravnih osnova treba pažljivo ispitati u svakom pojedinačnom slučaju.
֍ U načelu, privola prema članku 6. stavku 1. točki (a) može se smatrati pravnom osnovom za prijenos u treće zemlje. Ipak, upotreba privole kao pravne osnove obično neće biti primjerena u određenim područjima, osobito ako je obrada podataka povezana s izvršavanjem javnih ovlasti.
Image from Freepik
#gdpr #thirdcountries #judgement #datatransfer #noneucountries
