Az osztrák aktivista, Maximillian Schrems által elindított ügy egy évvel ezelőtti végeredményeként az Európai Unió Bírósága (EUB) érvénytelennek nyilvánította az ún. Adatvédelmi Pajzsot, így az EGT területéről már nem lehetett ezen határozatra hivatkozva személyes adatot továbbítani az USA-ba.
Ugyanebben az ügyben az EUB azt is kimondta, hogy a korábban elfogadott és széleskörben alkalmazott ún. általános adatvédelmi kikötések bár továbbra is érvényesek, önmagukban nem nyújtanak megfelelő védelmet, mivel a szerződéses kikötéseken alapuló adattovábbításokat minden esetben egyedi mérlegelésnek kell megelőznie.
„Amennyiben az adatvédelmi garanciák nem érvényesülnek maradéktalanul, az adattovábbítás sem minősül jogszerűnek, így az adatexportőr a GDPR igen magas bírságtételeit kockáztatja, amely akár húszmillió euró, vagy a vállalkozás előző pénzügyi évben elér világpiaci forgalmának 4 százaléka is lehet” – mutatott rá Dr. Simon Emese Júlia, A BDO Legal adatvédelmi csoportjának vezetője. Mivel az ítéletet nem követte konkrét megoldási javaslat, érthető volt a kétségbeesés és bizonytalanság az érintett piaci szereplők körében. A Bizottság idővel új, korszerűbb általános adatvédelmi kikötések kidolgozására tett ígéretet, a szakmabeliek pedig rendkívül izgatottan várták a végeredményt.
Harmadik országba történő adattovábbítás
A Bizottság végül 2021. június 7-én tette közzé az EGT tagállamain kívülre történő adattovábbításokat megkönnyítő új, általános adatvédelmi kikötéseket. A GDPR V. fejezete alapján a személyes adatok harmadik országba történő továbbítása csak abban az esetben minősülhet jogszerűnek, ha ezen adatok védelme az Európai Unióban érvényesülő védelmi intenzitást elérő szinten biztosított. Az adattovábbítások jogszerűségét főszabály szerint a Bizottság által kiadott egyedi megfelelőségi határozatok biztosítják (erre példa a Kanada, Svájc és Japán kapcsán kiadott megfelelőségi határozat és ide tartozott a már fentebb említett Adatvédelmi Pajzs is).
Hatályban lévő megfelelőségi határozat hiányában az egyes adattovábbítások során minden esetben garantálni kell, hogy a GDPR-ban lefektetett adatvédelmi követelmények – így az érintettek számára érvényesíthető jogok és hatékony jogorvoslati lehetőségek - a fogadó félnél is érvényesülnek, és a fogadó fél megfelelő garanciákat nyújt a személyes adatok kezelésével kapcsolatban. További garanciális eszköznek számít a fent említett, Bizottság által elfogadott általános adatvédelmi kikötések, azaz SCC-k alkalmazása a küldő és a fogadó fél közötti szerződés formájában.
