Spojené arabské emiráty schválili nový zákon o ochrane osobných údajov, ktorý vstúpil do účinnosti začiatkom roka 2022. V Dubaji sa preto premieta „ošiaľ“, ktorý sme v Európskej únii zažili v rokoch 2016 až 2018, z množstva nových povinností vzniknutých v dôsledku účinnosti pre nás vtedy nového nariadenia GDPR.
Nový dubajský zákon je účinný od začiatku roka 2022 a dopadá aj na prevádzkovateľov z tretích krajín — vrátane slovenských firiem, ktoré spracúvajú údaje osôb zo Spojených arabských emirátov.
Koho by mala novinka v Dubaji zaujímať a prečo?
Pre nás azda najpodstatnejšou informáciou je, či sa na nás nový zákon o ochrane osobných údajov vzťahuje. Odpoveď na túto otázku sa môže líšiť v dôsledku toho, či máte zriadenú obchodnú spoločnosť priamo v Dubaji, resp. či na dubajský trh mierite s ponukou tovarov a služieb zo Slovenska, alebo ste európskym podnikateľom, ktorého tovary si síce občan Spojených arabských emirátov vie objednať, avšak vaša ponuka je mierená na európsky trh, prípadne primárne na Slovensko.
Dubajský zákon o ochrane osobných údajov sa vzťahuje na spracúvanie osobných údajov — automatizované aj neautomatizované — v troch okruhoch subjektov:
- Dotknuté osoby zo SAE — osoby, ktoré majú domicil alebo miesto podnikania v Spojených arabských emirátoch.
- Prevádzkovatelia v Emirátoch — všetci prevádzkovatelia zriadení na území SAE.
- Prevádzkovatelia z tretích krajín — ak spracúvajú osobné údaje dotknutých osôb zo Spojených arabských emirátov.
Uvedené znamená, že pravidlá vyplývajúce z nového zákona ste si povinný osvojiť jednak, ak máte zriadenú obchodnú spoločnosť v Spojených arabských emirátoch, ako aj v prípade, ak spracúvate osobné údaje osôb, ktoré majú bydlisko v tejto krajine, prostredníctvom vašej slovenskej obchodnej spoločnosti.
Vo všeobecnosti možno konštatovať, že by pre väčšinu európskych spoločností nemalo byť zosúladenie postupov s novou reguláciou v Emirátoch náročné za predpokladu, že majú dokumentáciu aj interné postupy v súlade s nariadením GDPR. Nový zákon o ochrane osobných údajov totiž vo veľkej miere zrkadlí ustanovenia nášho GDPR a až na niekoľko výnimiek možno povedať, že ide o skoro totožnú úpravu. Spomínané výnimky je však podstatné neprehliadnuť – v praxi by mohli predstavovať dôvod na uloženie sankcie.
Kľúčové
Dubajský zákon vo veľkej miere zrkadlí GDPR — kto má dokumentáciu a interné postupy nastavené podľa GDPR, zosúladenie zvládne pomerne ľahko. Rozhodujúce je neprehliadnuť niekoľko výnimiek, ktoré sa od GDPR líšia.
Európskych podnikateľov môže prekvapiť napríklad nemožnosť aplikácie tzv. oprávneného záujmu ako právneho základu pre zákonné spracúvanie osobných údajov. Na Slovensku sa tento právny základ využíva v praxi najčastejšie napríklad pri monitorovaní priestorov prevádzok kamerovým systémom, pri niektorých formách priameho marketingu, či evidencií zoznamu osôb, ktoré vstúpili do budovy.
Na druhú stranu nová legislatíva pridáva niekoľko právnych základov, ktoré GDPR explicitne nevymenúva – patrí medzi ne napríklad oprávnenie spracúvať osobné údaje bez súhlasu dotknutej osoby v prípade, ak ich sama uverejnila. Nový zákon promptne reaguje aj na stále aktuálnu covid problematiku, obsiahnutím právneho základu pre spracúvanie osobných údajov na účely ochrany verejného zdravia.
Dubaj pridáva navyše
- Údaje uverejnené dotknutou osobouMožno ich spracúvať aj bez jej súhlasu.
- Ochrana verejného zdraviaNový právny základ reagujúci na covid problematiku.
- Užšia dokumentáciaInformačná povinnosť je obmedzená na zákonom definované minimum.
Oproti GDPR odlišné
- Oprávnený záujem chýbaNie je právnym základom — na Slovensku pritom bežný pri kamerách, marketingu či evidencii vstupov.
- Výnimky treba ustrážiťPrehliadnutie odlišností od GDPR môže byť v praxi dôvodom na sankciu.
Rozsiahla dokumentácia, na ktorú sme na Slovensku pri plnení informačnej povinnosti zvyknutí, sa v Dubaji výrazne obmedzuje na nevyhnutné minimum, ktoré je v zákone definované. Stále však zostava zachované právo dotknutých osôb na získanie doplňujúcich informácií, vykonávané podaním žiadosti. Prenos osobných údajov zo Spojených arabských emirátov mimo tohto územia dostal svoje pravidlá tiež. K zákonnému prenosu bude dochádzať v prípade prenosu do krajín, ktoré zabezpečujú v zmysle rozhodnutia dozorného orgánu adekvátnu mieru ochrany.
Okrem formálnych povinností, akými sú vypracovanie dokumentácie a plnenie informačnej povinnosti nesmieme ako v EÚ, tak aj na území Spojených arabských emirátov, zabúdať na praktickú implementáciu pravidiel na procesy spoločností. Ochrana osobných údajov totiž musí byť zabezpečená aj po technickej, resp. materiálnej stránke. Kde údaje ukladáte, kto k nim má prístup, po akú dobu sú uložené, aj ako spracúvanie ukončíte – toto je len zlomok z celkového množstva praktických otázok, ktoré je potrebné pre zákonné spracúvanie osobných údajov vyriešiť. Povinností je o to viac, ak spracúvate veľké množstvo rôznych druhov údajov, medzi ktoré môžu patriť údaje s osobitnou úpravou, akými sú citlivé údaje či údaje maloletých.
V úvode spomínaná krypto-sféra so sebou pri implementácii európskych AML pravidiel (pravidlá prijaté proti praniu špinavých peňazí) prináša aj povinnosť zbierať a overovať väčšie množstvo údajov. V týchto prípadoch je pre fungujúci biznis potrebné prijať správne know-how, ktoré zabezpečí jednak postupy v súlade s legislatívou, avšak formou, ktorá čo najmenej zaťaží zákazníka či biznis partnera, ale aj vás.
Pozor
Ochrana osobných údajov nie je len o dokumentácii — musí byť zabezpečená aj technicky: kde údaje ukladáte, kto k nim má prístup, ako dlho sú uložené a ako spracúvanie ukončíte. Pri krypto-biznise navyše AML pravidlá vyžadujú zbierať a overovať väčšie množstvo údajov.
Časté otázky
Vzťahuje sa dubajský zákon o ochrane údajov aj na slovenské firmy?
Áno, ak slovenská spoločnosť spracúva osobné údaje osôb s bydliskom alebo miestom podnikania v Spojených arabských emirátoch. Zákon dopadá aj na prevádzkovateľov z tretích krajín.
Od kedy je nový dubajský zákon účinný?
Zákon vstúpil do účinnosti začiatkom roka 2022.
Líši sa dubajský zákon od GDPR?
Vo veľkej miere GDPR zrkadlí, takže ide o takmer totožnú úpravu. Má však niekoľko výnimiek — napríklad nepozná oprávnený záujem ako právny základ, pridáva právne základy pre údaje uverejnené osobou a pre ochranu verejného zdravia a dokumentáciu obmedzuje na minimum.
Prečo môže Európanov prekvapiť chýbajúci oprávnený záujem?
Na Slovensku sa oprávnený záujem bežne využíva napríklad pri monitorovaní priestorov kamerami, niektorých formách priameho marketingu či evidencii osôb vstupujúcich do budovy. V Dubaji tento právny základ nie je k dispozícii.
Stačí mať na splnenie dubajského zákona vypracovanú dokumentáciu?
Nie. Ochrana údajov musí byť zabezpečená aj technicky — kde sa údaje ukladajú, kto k nim má prístup, ako dlho sú uchovávané a ako sa spracúvanie ukončí. Pri krypto-biznise navyše AML pravidlá vyžadujú zbierať a overovať viac údajov.