Standard szerződéses záradékok
A standard szerződéses záradékok (SCC-k) az Európai Bizottság által kibocsátott, előzetesen jóváhagyott jogi sablonok, amelyek lehetővé teszik a szervezetek számára a személyes adatok továbbítását az EU-ból olyan, az EU-n kívüli országokba, amelyek nem rendelkeznek megfelelő adatvédelmi jogszabályokkal. Szerződéses garanciát jelentenek arra vonatkozóan, hogy az adatokat EU-szabványok szerint védik, még akkor is, ha elhagyják az Uniót.
Jogi alap
A standard szerződéses záradékokat a GDPR határozza meg a jogszerű nemzetközi adattovábbítás mechanizmusaként:
„A Bizottság [...] szabványos adatvédelmi záradékokat fogadhat el a (2) bekezdés c) és d) pontjában említett ügyekben."
— 46. cikk (2) bekezdés c) és d) pont, (EU) 2016/679 rendelet (GDPR)
Miért fontos
A standard szerződéses záradékok minden olyan, politikai hirdetéssel foglalkozó szervezet számára nélkülözhetetlenek, amely határokon átnyúlóan kezel személyes adatokat. Amikor a politikai hirdetési szolgáltatások olyan célzási technikákat vagy hirdetéskézbesítési technikákat alkalmaznak, amelyek személyes adatokra támaszkodnak, és ezeket az adatokat az EU-n/EGT-n kívüli országokba továbbítják, az SCC-k biztosítják ezen továbbítások jogi alapját.
A kiadók, a politikai hirdetési szolgáltatások nyújtói és a nemzetközi partnerekkel dolgozó szponzorok számára – például az Egyesült Államokban működő felhőszolgáltatók, elemzési platformok vagy globális hirdetési hálózatok esetében – az SCC-k gyakran a legpraktikusabb eszköz a GDPR-megfelelőség biztosítására. Megfelelő továbbítási mechanizmusok, például SCC-k nélkül a személyes adatok EU-n kívülre történő továbbítása jogellenes, és az adatvédelmi hatóságok jelentős szankciókat szabhatnak ki.
Az Európai Unió Bírósága egyértelművé tette, hogy az SCC-k önmagukban nem mindig elegendőek. A szervezeteknek értékelniük kell azt is, hogy a célország jogszabályai alááshatják-e a záradékok által garantált védelmet, és szükség esetén további biztosítékokat kell bevezetniük.
Kulcspontok
- Előzetesen jóváhagyott sablonok: Az SCC-ket az Európai Bizottság készíti, és lényegi rendelkezéseik nem módosíthatók, biztosítva ezzel az egységes védelmi standardokat
- Kötelező érvényű kötelezettségek: Mind az adatexportőr (az EU-ban), mind az adatimportőr (az EU-n kívül) szerződéses kötelezettséget vállal az adatok EU-jogszabályok szerinti védelmére
- Továbbítási hatásvizsgálat szükséges: A szervezeteknek értékelniük kell, hogy a célország jogszabályai zavarhatják-e az SCC-k által biztosított garanciákat
- Több verzió érhető el: Különböző SCC-készletek léteznek a különböző továbbítási forgatókönyvekhez (adatkezelő–adatkezelő, adatkezelő–adatfeldolgozó, adatfeldolgozó–adatfeldolgozó)
- Alternatíva a megfelelőségi határozatokhoz: Az SCC-ket akkor használják, amikor olyan országokba továbbítanak adatokat, amelyek nem rendelkeznek EU-megfelelőségi határozattal (például az Egyesült Államok a Privacy Shield után)
- Felügyelet és megfelelőség: Mindkét félnek biztosítania kell a folyamatos megfelelőséget, és szükség esetén fel kell függesztenie vagy meg kell szüntetnie a továbbításokat, ha a védelem nem garantálható
Standard szerződéses záradékok vs. megfelelőségi határozat
A standard szerződéses záradékok és a megfelelőségi határozatok egyaránt jogi mechanizmusok a személyes adatok EU-n kívülre történő továbbítására, de eltérően működnek.
A megfelelőségi határozat az Európai Bizottság formális megállapítása arról, hogy egy adott ország lényegében egyenértékű szintű adatvédelmet biztosít az EU-val. Ha megfelelőségi határozat létezik (például az EU–USA adatvédelmi keretrendszer, az Egyesült Királyság vagy Kanada esetében), az adatok szabadon áramolhatnak az adott országba további biztosítékok nélkül.
A standard szerződéses záradékok ezzel szemben akkor kerülnek alkalmazásra, ha nincs megfelelőségi határozat. Olyan szerződéses megállapodások, amelyek megkövetelik mindkét féltől, hogy konkrét adatvédelmi kötelezettségeket vállaljon. Míg az SCC-k rugalmasságot biztosítanak és bármely harmadik országban használhatók, aktívabb végrehajtást, folyamatos felügyeletet és továbbítási hatásvizsgálatokat igényelnek – míg a megfelelőségi határozatok egyszerűsítik a megfelelőséget azzal, hogy kiküszöbölik ezeket a további lépéseket.
| Szempont | Standard szerződéses záradékok | Megfelelőségi határozat |
|---|---|---|
| Hatály | Konkrét továbbítások felek között | Minden továbbítás egy országba |
| Jóváhagyás | Szerződéses megállapodás | EU Bizottsági határozat |
| Értékelés | Továbbítási hatásvizsgálat szükséges | Nincs szükség további értékelésre |
| Rugalmasság | Magas (bárhol használható) | Korlátozott (csak kijelölt országok) |