Komisja Europejska przedstawiła projekt porozumienia z USA, które ma przywrócić ułatwienia w transferze danych przez Atlantyk.
W październiku 2015 r. Trybunał Sprawiedliwości Unii Europejskiej uznał bowiem za nieważną decyzję Komisji Europejskiej dotyczącą programu „Safe Harbour”, który umożliwiał transfer do USA danych osobowych Europejczyków (sprawa nr C-362/14). Wyrok ten był konsekwencją sprawy zainicjowanej przez austriackiego studenta prawa Maximilliana Schremsa: zażądał on od Facebooka, by przestał transferować jego dane do USA. Po ujawnionej przez Edwarda Snowdena aferze PRISM doszedł bowiem do wniosku, że skoro amerykańskie służby mają praktycznie nieograniczony dostęp do jego danych, to nie powinny być one tam transferowane. Od ogłoszenia wyroku program „bezpiecznej przystani” nie może już stanowić podstawy do przesyłania danych.
Komisja Europejska ogłosiła właśnie, że wynegocjowała warunki nowego porozumienia z USA nazwanego „Privacy Shield” (tarcza prywatności). Jednocześnie przedstawiła projekt nowej decyzji w sprawie odpowiedniej ochrony danych osobowych oraz teksty wdrażające zasady bezpiecznego transferu danych między UE a USA. Obejmują one zasady bezpiecznego transferu danych, których muszą przestrzegać przedsiębiorstwa, a także pisemne zobowiązania rządu Stanów Zjednoczonych.
Według KE standard ochrony danych osobowych za oceanem będzie taki sam jak w UE, co pozwoli na ich swobodny transfer firmom, które przystąpią do nowego programu. Mają to zapewnić cztery elementy. Pierwszy to rygorystyczne przestrzeganie zasad przez firmy, które mają być kontrolowane, i w razie łamania zasad – wyłączone z programu. Drugi to zobowiązanie administracji amerykańskiej, zgodnie z którym dostęp organów publicznych do danych osobowych związany z kwestiami bezpieczeństwa narodowego będzie podlegać wyraźnym ograniczeniom, zabezpieczeniom i mechanizmom nadzoru, w tym kontroli rzecznika praw obywatelskich. Kolejnym elementem ma być system dochodzenia roszczeń obywateli UE. Firmy transferujące ich dane będą miały 45 dni na rozpoznanie skargi, a obywatele UE będą mogli korzystać z pomocy krajowych organów ochrony danych osobowych. I wreszcie funkcjonowanie całego systemu ma być co rok kontrolowane. Przegląd taki przeprowadzać będą Komisja Europejska i Departament Handlu USA.
– Widoczny jest wpływ wyroku TSUE: projekt decyzji KE przewiduje stałe monitorowanie funkcjonowania nowego porozumienia, a na brak takiego rozwiązania zwracał uwagę trybunał – zauważa dr Paweł Litwiński, ekspert z Instytutu Allerhanda.
– Po drugie, KE musiała przyjąć do wiadomości prawo krajowych organów ochrony danych osobowych do kwestionowania legalności transferów opartych na tego rodzaju decyzjach, co również wynika z wyroku w sprawie Schrems – dodaje.
W pierwszych komentarzach, jakie pojawiły się po publikacji dokumentów, można jednak zauważyć wątpliwości dotyczące dostępu amerykańskich służb do danych.
– Po pierwsze, przedstawione gwarancje w tym zakresie nie mają charakteru umowy międzynarodowej, a wynikają wyłącznie z jednostronnych zapewnień rządu federalnego USA. Po drugie, nawet te zapewnienia nie mają generalnego charakteru: wyraźnie dopuszcza się dostęp do danych przez służby w sześciu przypadkach. A to stoi ewidentnie w sprzeczności ze stanowiskiem trybunału – ocenia Paweł Litwiński.
Dużo ostrzejszy w komentarzach jest sam Maximillian Schrems, który nazwał propozycje KE próbami nakładania dziesięciu warstw szminki na świnię. Dlaczego? Bo nowe porozumienie zapewnia amerykańskim służbom w zasadzie nieograniczony dostęp do danych, jeśli celem tych działań jest ochrona przez terroryzmem czy wykrywanie innych zagrożeń.
Propozycje KE będą teraz konsultowane z przedstawicielami wszystkich państw członkowskich. Zaopiniuje je również unijny organ ochrony danych, czyli Grupa Robocza Art. 29. W tym czasie USA mają przygotować nowe ramy prawne oraz powołać odrębnego rzecznika praw obywatelskich, który będzie zajmował się skargami dotyczącymi danych osobowych. Dopiero jeśli Parlament Europejski wyrazi na to zgodę, porozumienie w sprawie „tarczy prywatności” zostanie zawarte.