Prenos osobných údajov do tretích krajín: USA, cloud a doložky

Vaša firma používa cloudovú službu, nástroj na analytiku návštevnosti webu alebo e-mailovú platformu amerického poskytovateľa. S veľkou pravdepodobnosťou pritom prenášate osobné údaje svojich zamestnancov a zákazníkov do tretej krajiny, pričom o tom neviete. Nemuseli ste nič „posielať do zahraničia“, stačilo, že k údajom niekto pristupuje spoza hraníc Európy.

Túto tému firmy podceňujú najviac, lebo je neviditeľná. Prenos do tretej krajiny sa nedeje poslaním e-mailu, deje sa v pozadí zakaždým, keď sa údaje sprístupnia niekomu mimo Európskeho hospodárskeho priestoru. A GDPR takýto prenos podmieňuje, lebo mimo Európy nemusí platiť porovnateľná ochrana.

Čo je prenos do tretej krajiny a kedy k nemu dochádza?

Treťou krajinou je z pohľadu GDPR každá krajina mimo Európskeho hospodárskeho priestoru, teda mimo Európskej únie plus Nórsko, Island a Lichtenštajnsko. Prenos do Nórska teda prenosom do tretej krajiny nie je.

Rozhodujúce kritérium je jednoduché a firmy si ho zvyčajne stanovia zle. Prenos nastáva vtedy, keď sa osobné údaje sprístupnia príjemcovi nachádzajúcemu sa mimo Európskeho hospodárskeho priestoru. Nezáleží na tom, či ste niečo odoslali, ani kde má dodávateľ sídlo. Záleží na tom, odkiaľ k údajom niekto reálne pristupuje.

Z toho vyplývajú dva závery, ktoré idú proti bežnej predstave. K prenosu dochádza aj vtedy, keď údaje ležia na serveroch v Európe, ale pristupuje k nim podpora, vývoj alebo materská spoločnosť z tretej krajiny. A naopak, ak americký poskytovateľ spracúva vaše údaje výlučne v európskych dátových centrách a nikto mimo Európskeho hospodárskeho priestoru k nim nemá prístup, prenos nenastáva.

To neznamená, že cudzia jurisdikcia je bezvýznamná. Skutočnosť, že na dodávateľa dopadá právo tretej krajiny, je riziko, ktoré patrí do posúdenia a do výberu dodávateľa. Nie je to však samo osebe prenos.

Kedy je prenos dovolený?

GDPR prenosy nezakazuje, len ich podmieňuje. Možnosti sú tri.

Prvou je rozhodnutie o primeranosti (čl. 45). Európska komisia môže rozhodnúť, že určitá krajina zabezpečuje primeranú úroveň ochrany, a do takej krajiny sa potom prenáša bez ďalších záruk. Takéto rozhodnutie majú napríklad Spojené kráľovstvo, Švajčiarsko či Japonsko a osobitným prípadom sú USA.

Rozhodnutie o primeranosti pritom nie je trvalý stav, ale niečo, čo Komisia priebežne monitoruje a pravidelne preskúmava, a čo môže zmeniť alebo zrušiť. Napríklad primeranosť pre Spojené kráľovstvo Komisia 19. decembra 2025 obnovila s platnosťou do 27. decembra 2031, pričom spoločné preskúmanie s Európskym výborom pre ochranu údajov je naplánované po štyroch rokoch. Práve preskúmateľnosť je dôvod, prečo primeranosť nie je niečo nemenné.

Druhou možnosťou sú primerané záruky (čl. 46), keď rozhodnutie o primeranosti chýba. Najčastejšou zárukou sú štandardné zmluvné doložky, teda vzorové zmluvné ustanovenia schválené Komisiou, prípadne záväzné vnútropodnikové pravidlá vo veľkých skupinách. Článok 46 pozná aj schválený kódex správania a schválený certifikačný mechanizmus, tie sa však ako nástroje prenosu v praxi len začínajú používať.

Treťou sú výnimky pre osobitné situácie (čl. 49), napríklad výslovný súhlas alebo nevyhnutnosť na plnenie zmluvy. Sú úzke a nedajú sa použiť ako trvalé riešenie pre bežné prevádzkové prenosy.

Ako je to s USA a Data Privacy Framework?

USA sú osobitný prípad. Je aplikované rozhodnutie o primeranosti prijaté 10. júla 2023, známe ako EU-US Data Privacy Framework. Neplatí však plošne, ale len pre americké spoločnosti, ktoré sa doň samy certifikovali. Ak váš americký dodávateľ certifikovaný je, prenos k nemu je krytý rozhodnutím o primeranosti. Ak certifikovaný nie je, potrebujete inú záruku, typicky štandardné zmluvné doložky.

Stav k 19. júlu 2026. Data Privacy Framework zostáva v platnosti, pretože ho Komisia formálne nezrušila, jeho udržateľnosť však ohrozujú dva súbežné faktory.

Prvou je súdne konanie v Európskej únii. Všeobecný súd 3. septembra 2025 žalobu proti rozhodnutiu zamietol (vec T-553/23), posudzoval však stav k dátumu prijatia rozhodnutia a k neskoršiemu vývoju sa výslovne nevyjadroval. Proti rozsudku bolo 31. októbra 2025 podané odvolanie na Súdny dvor (vec C-703/25 P), ktoré je stále nerozhodnuté.

Druhou je vývoj v Spojených štátoch. Najvyšší súd USA 29. júna 2026 v rozhodnutí Trump proti Slaughter uzavrel, že prezident môže odvolávať členov Federálnej obchodnej komisie bez udania dôvodu, čím zanikla zákonná nezávislosť tohto orgánu. Rozhodnutie o primeranosti sa pritom o nezávislosť Federálnej obchodnej komisie opiera ako o podstatný prvok dozoru nad plnením záväzkov certifikovaných spoločností. Organizácia noyb (European Center for Digital Rights) 30. júna 2026 vyzvala Komisiu listom na riadené ukončenie primeranosti a ohlásila novú žalobu.

Nakoľko to rozhodnutie o primeranosti ohrozuje, je predmetom odborného sporu. Časť odborníkov tvrdí, že spochybnená je aj tá časť rámca, ktorá sa týka prístupu spravodajských služieb a nápravy pre ľudí z Európy. Iní namietajú, že mechanizmus nápravy stojí na inom právnom základe a záver amerického súdu sa naň neprenáša. Ako to dopadne, dnes nikto nevie a tento článok to nepredpovedá.

Prakticky z toho vyplývajú tri veci. Certifikovaný dodávateľ je zatiaľ krytý a nič nemusíte meniť. Ak robíte posúdenie vplyvu prenosu pri štandardných zmluvných doložkách, prehodnoťte v ňom predpoklady o nezávislosti amerických dozorných orgánov, lebo posúdenia napísané pred júnom 2026 z nich zvyčajne vychádzajú. A ak staviate novú architektúru alebo meníte dodávateľa, oplatí sa mať pripravený náhradný scenár pre prípad, že primeranosť padne, tak ako padli oba predchádzajúce rámce.

Čo sú štandardné zmluvné doložky a čo Schrems II?

Štandardné zmluvné doložky sú najuniverzálnejšia záruka pre prenosy tam, kde niet rozhodnutia o primeranosti. Sú to vzorové ustanovenia, ktoré si strany zapracujú do zmluvy a ktorými sa príjemca zaviaže chrániť údaje na úrovni porovnateľnej s GDPR.

Ich použitie ale nie je automatické. Súdny dvor v rozhodnutí Schrems II potvrdil, že doložky platia, no zároveň uložil povinnosť posúdiť, či v cieľovej krajine reálne existuje porovnateľná ochrana, a ak nie, prijať doplnkové opatrenia, napríklad silné šifrovanie. Tomuto posúdeniu sa hovorí posúdenie vplyvu prenosu. Podpísať doložky teda nestačí, treba vedieť, kam a za akých podmienok údaje putujú.

Základom takého posúdenia býva otázka, či sa k údajom môžu dostať orgány cieľovej krajiny. Oba predchádzajúce rámce pre USA, Safe Harbour aj Privacy Shield, Súdny dvor zrušil práve pre prístup amerických orgánov k údajom a pre chýbajúcu účinnú nápravu pre ľudí z Európy. GDPR k tomu v čl. 48 dodáva, že rozhodnutie orgánu tretej krajiny, ktorým sa žiada poskytnutie údajov, samo osebe nie je dostatočným právnym dôvodom na ich poskytnutie, ak nestojí na medzinárodnej zmluve.

Ako sa prenosu vyhnúť?

Najjednoduchšie riešenie je nemať prenos vôbec. Ak si vyberiete dodávateľa, ktorý údaje spracúva a hostuje v Európskom hospodárskom priestore, otázka tretích krajín sa vás netýka a ušetríte si celý rad doložiek, posudzovania a právnej neistoty.

Platí to ale len vtedy, keď je európsky celý reťazec. Sprostredkovateľ typicky zapája vlastných subsprostredkovateľov, jeho podpora môže sídliť mimo Európy a vývoj či prevádzku môže zabezpečovať iná spoločnosť tej istej skupiny. Európsky hosting sám osebe prenos nevylučuje, robí ho len menej pravdepodobným. Preto si popri mieste hostingu overte aj zoznam subsprostredkovateľov a to, odkiaľ k údajom pristupuje podpora. Súvisí to priamo s výberom sprostredkovateľov, o ktorom sme písali: dodávateľ s európskym reťazcom znamená menej vecí na preukazovanie.

Ako to podchytiť

Nezačínajte štúdiom doložiek, ale zoznamom nástrojov, ktoré používate. Prejdite si dodávateľov a služby a pri každom zistite dve veci: kde údaje reálne spracúva a hostuje a odkiaľ k nim môže niekto pristupovať. Tento prehľad z veľkej časti získate zo svojho záznamu o spracovateľských činnostiach, kde sa prenosy do tretích krajín aj tak uvádzajú. Pri každom prenose potom overte, na akom mechanizme stojí, teda či je krytý rozhodnutím o primeranosti, doložkami, alebo či prenos vôbec netreba, lebo je celý reťazec európsky.

Na to nadväzuje povinnosť, na ktorú sa zabúda. O zámere preniesť údaje do tretej krajiny a o použitom mechanizme treba podľa čl. 13 ods. 1 písm. f) a čl. 14 ods. 1 písm. f) informovať aj dotknuté osoby. Premietne sa to do zásad ochrany osobných údajov, ktoré máte zverejnené, takže zoznam prenosov nie je len interný podklad.

Typická obranná reakcia je presvedčenie, že k žiadnemu cezhraničnému prenosu nedochádza. Lenže ak používate kancelársky balík, analytiku alebo e-mailovú platformu, ku ktorej pristupuje podpora mimo Európy, prenos sa deje bez ohľadu na to, či ste niečo vedome odoslali.

Ak si chcete spraviť prehľad o prenosoch a zvoliť riešenie, ktoré obstojí, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.