Prijenos podataka u Sjevernoj Makedoniji

Prijenosi podataka iz Sjeverne Makedonije u treće zemlje mogu se temeljiti na različitim razlozima koji proizlaze iz lokalnog okvira ili odluka Europske komisije o primjerenosti.

Prema Zakonu o zaštiti osobnih podataka iz 2020. ("Zakon o zaštiti podataka"), prijenosi osobnih podataka u zemlje izvan EU/EEA uvelike su ograničeni. Agencija za zaštitu osobnih podataka ('DZLP') ima ovlasti utvrditi nude li određene zemlje, teritoriji ili međunarodne organizacije odgovarajuću razinu zaštite za prijenos podataka, kao i izdati pojedinačna ovlaštenja za prijenos osobnih podataka u zemlje koje nisu članice EU/EEA. Pri određivanju primjerenosti, DZLP mora posebno razmotriti nudi li treća zemlja razine zaštite koje su suštinski jednake onima koje se pružaju u Sjevernoj Makedoniji i pruža li subjektima podataka učinkovita i provediva prava i pravne lijekove. DZLP također ima ovlasti poništiti, izmijeniti ili obustaviti bilo koju odluku o prikladnosti.

Odluka DZLP-a o primjerenosti nije potrebna za prijenose osobnih podataka u zemlje EU/EEA ili zemlje koje se nalaze na „bijeloj listi“ Europske komisije, tj. za koje je ocijenjeno da pružaju odgovarajuću razinu zaštite osobnih podataka. Zemlje na popisu dopuštenih uključuju Andoru, Argentinu, Kanadu (gdje se primjenjuje Zakon o zaštiti osobnih podataka i elektroničkih dokumenata iz 2000.), Farske otoke, Guernsey, Otok Man, Izrael, Jersey, Novi Zeland, Švicarsku, Urugvaj i SAD (samo za tvrtke koje posluju u okviru EU-US Privacy Shield). Međutim, voditelji obrade podataka i izvršitelji obrade moraju obavijestiti DZLP o prijenosima osobnih podataka u zemlje EU/EEA i zemlje na "bijeloj listi" najmanje 15 dana prije početka takvih prijenosa. Obavijest je potrebno dostaviti e-mailom ili putem elektroničkog sustava DZLP.

U nedostatku odluke o primjerenosti, Zakon o zaštiti podataka dopušta prijenos ako je voditelj obrade ili izvršitelj obrade osigurao 'odgovarajuće zaštitne mjere'. O ovim različitim zaštitnim mjerama raspravlja se u nastavku.

Standardne ugovorne klauzule ('SCC')

SCC su modeli klauzula o zaštiti podataka koje je usvojio DZLP ili odobrila Europska komisija. Klauzule sadrže ugovorne obveze izvoznika i uvoznika podataka i prava ispitanika čiji se osobni podaci prenose. Ispitanici mogu ostvariti ta prava izravno protiv uvoznika i izvoznika podataka.

Obvezujuća poslovna pravila ("BCR")

BCR-ovi čine pravno obvezujući interni kodeks ponašanja koji djeluje unutar multinacionalne grupe koji se koristi za prijenos osobnih podataka od subjekata grupe u EU/EEA do subjekata grupe izvan EU/EEA. BCR su pravno obvezujuća pravila o zaštiti podataka s provedivim individualnim pravima koja se odnose na osobne podatke odobrena od strane DZLP-a.

Odobreni kodeksi prakse

Kodeksi ponašanja su dobrovoljni i postavljaju posebna pravila o zaštiti podataka za kategorije voditelja i izvršitelja obrade. Oni mogu biti koristan i učinkovit alat za odgovornost jer daju detaljan opis onoga što je prikladno, zakonito i etičko ponašanje unutar sektora. Kodeksi ponašanja koji se odnose na aktivnosti obrade osobnih podataka od strane voditelja obrade i izvršitelja obrade u više od jedne države članice EU-a i za koje je Europska komisija donijela provedbeni akt, zajedno s obvezujućim i provedivim obvezama voditelja obrade ili izvršitelja obrade u trećoj zemlji, mogli bi se koristiti kao alat za prijenos u budućnosti.

Odobreni mehanizmi certifikacije

Zakon o zaštiti osobnih podataka definira certifikaciju kao "pružanje pisanog jamstva (certifikata) neovisnog tijela da dotični proizvod, usluga ili sustav ispunjava specifične zahtjeve." Stoga se mogu razviti mehanizmi certificiranja kako bi se pokazalo postojanje odgovarajućih zaštitnih mjera koje pružaju voditelji obrade i izvršitelji obrade u trećim zemljama. Ti kontrolori i izvršitelji obrade također bi preuzeli obvezujuće i provedive obveze primjene zaštitnih mjera, uključujući odredbe o pravima ispitanika.

Pravno obvezujući i provedivi instrumenti između javnih tijela

Organizacija može izvršiti ograničeni prijenos ako je javno tijelo ili tijelo i prenosi se na drugo javno tijelo ili organizaciju, pri čemu su oba javna tijela potpisala ugovor ili drugi instrument koji je pravno obvezujući i provediv. Ovaj ugovor ili instrument mora uključivati provediva prava i učinkovite pravne lijekove za subjekte čiji se osobni podaci prenose. Ovo nije odgovarajuća zaštita ako je organizacija koja prenosi ili primatelj privatno tijelo ili pojedinac. Ako javno tijelo ili organizacija nema ovlasti za sklapanje pravno obvezujućih i provedivih sporazuma, može razmotriti upravni ugovor koji umjesto toga uključuje provediva i učinkovita pojedinačna prava.

Administratori ili izvršitelji obrade moraju se prijaviti u DZLP, ili putem e-maila.

Gjorgij Georgievski, Partner