Ciąg dalszy sprawy Schrems II – co ze Standardowymi Klauzulami Umownymi

Stany Zjednoczone Ameryki Północnej są tzw. państwem trzecim w rozumieniu przepisów o ochronie danych osobowych. Z tego powodu najpierw musimy nieco nakreślić historyczne tło gdyż nie pozostaje ono bez wpływu na dzisiejsze rozwiązanie prawne w tym zakresie.

Zgodnie z art. 25 ust. 1 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych państwa członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas gdy, niezależnie od zgodności z krajowymi przepisami przyjętymi na podstawie innych przepisów niniejszej dyrektywy, dane państwo trzecie zapewni odpowiedni stopień ochrony. Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie jest oceniany w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbioru takich operacji.

Na mocy art. 25 ust. 6 dyrektywy 95/46/WE Komisja może stwierdzić, że państwo trzecie zapewnia prawidłowy stopień ochrony w znaczeniu art. 25 ust. 2 dyrektywy 95/46/WE. Wydanie takiej decyzji oznacza, że prawo krajowe lub międzynarodowe zobowiązania przyjęte przez to państwo zapewniają prawidłowy stopień ochrony w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych.

W dniu 12 lipca 2016 roku został przyjęty tzw. Program Tarcza Prywatności UE-USA, który miał zapewnić odpowiednią ochronę danych osobowych obywateli w UE, przekazywanych do Stanów Zjednoczonych. Zastąpiła ona poprzednie rozwiązanie funkcjonujące pod nazwą Bezpiecznej Przystani (safe harbour), które zostało unieważnione orzeczeniem Trybunału Sprawiedliwości Unii Europejskiej z dnia 6 października 2015 roku w sprawie Schrems (C-362/14). To nazwisko warto zapamiętać bo na tej sprawie przygoda z Panem Schrems się nie kończy.

Na mocy Tarczy przedsiębiorstwa amerykańskie mają przestrzegać określonych zasad w odniesieniu do przekazywanych im danych osobowych obywateli UE a pilnować przestrzegania tych zasad i ich ewentualnej aktualizacji lub przeglądów będzie dokonywał Departament Handlu Stanów Zjednoczonych. Dane te mają być na przykład wykluczone z masowej i bezkrytycznej inwigilacji, zostały wprowadzone mechanizmy rozstrzygania sporów (np. obywatel UE będzie mógł wnieść skargę do swojego krajowego organu ochrony danych a ten będzie się kontaktował z amerykańską Federalną Komisją Handlu).

Tarcza jest więc przykładem tzw. mechanizmu samocertyfikowania. Od momentu gdy rozpoczęła one swoje obowiązywanie najważniejsze było to aby przed przekazaniem danych osobowych do Stanów Zjednoczonych sprawdzić czy dane przedsiębiorstwo z siedzibą w Stanach Zjednoczonych posiada certyfikat. Wykaz podmiotów uczestniczących w Programie Tarcza Prywatności UE-USA dostępny jest pod adresem www.privacyshield.gov. Tym samym, dopóki dane przedsiębiorstwo (np. Zoom Video Communications lub Microsoft Corporation) uczestniczy w tym programie dopóty przetwarzanie danych osobowych w usługach Google nie różniło się niczym od przetwarzania tych danych na obszarze Europejskiego Obszaru Gospodarczego.

Tak było jeszcze do końca pierwszej połowy tego roku. Wyrok Trybunału Sprawiedliwości z dnia 16 lipca 2020 roku zapadły w sprawie Data Protection Commissioner przeciwko Facebook Ireland Limited i Maximillianowi Schrems  (oznaczany obecnie skrótowo jako „Schrems II”) wzbudził nową falę wątpliwości co do sposobu w jaki tarcza funkcjonuje.

Nie wdając się w szczegóły tej sprawy przypatrzmy się tylko temu co z niej dla nas wynika w kontekście przekazywania danych do Stanów Zjednoczonych. Trybunał Sprawiedliwości orzekł, że porozumienie w sprawie Tarczy Prywatności – które samo w sobie zastąpiło swojego poprzednika czyli program Safe Harbor – nie przyznaje podmiotom danych skutecznych środków prawnych, których mogłyby one dochodzić przed sądami przeciwko organom amerykańskim. Krótko mówiąc - obywatel UE nie może kwestionować naruszenia porozumienia przez firmę w USA przed europejskim sądem.

Przede wszystkim należy zauważyć, że orzeczenie Trybunału nie neguje innych mechanizmów pozwalających na przekazywanie danych poza EOG. Można więc przekazywać takie dane z wykorzystaniem standardowych klauzul umownych czy też reguł korporacyjnych. Trudno jednak uznać, że są to instrumenty mogące znaleźć w praktyce zastosowanie w przykładowym korzystaniu z aplikacji Zoom

Sytuacja po wyroku jest zupełnym novum i na pewno będzie się jeszcze dynamicznie zmieniać.

W Europie z kolei 2 września 2020 roku mieliśmy 37. posiedzenie plenarne Europejskiej Rady Ochrony Danych, na którym utworzono grupę roboczą ds. skarg wniesionych w następstwie wyroku TSUE w sprawie Schrems II. Chodzi o 101 identycznych skarg wniesionych do organów ochrony danych państw EOG przeciwko kilku administratorom w państwach członkowskich EOG w związku z korzystaniem przez nich z usług Google oraz Facebook, które obejmują przekazywanie danych osobowych.

Więcej na ten temat tutaj>>

Co jest jednak najważniejsze to to, że EROD utworzyła grupę roboczą mającą przygotować zalecenia w celu wsparcia administratorów i podmiotów przetwarzających w ich obowiązkach związanych z identyfikacją i wdrożeniem odpowiednich środków uzupełniających dla zapewnienia odpowiedniego stopnia ochrony przy przekazywaniu danych do państw trzecich.

Administratorzy mają się z tych zaleceń dowiedzieć, jakie powinni podjąć środki uzupełniające o charakterze prawnym, technicznym i organizacyjnym aby w odniesieniu do ich operacji przekazywania danych do państw trzecich spełniony został podstawowy standard równoważności.

O wytycznych EROD przeczytasz tutaj>>

Jednym z rozwiązań jest skorzystanie z opcji zmiany regionu przechowywania danych na zlokalizowany w Europejskim Obszarze Gospodarczym. Taką możliwość zapewnia m.in. Microsoft i Google.

O regionie przechowywania danych w kontekście aplikacji chmurowych przeczytasz tutaj>>

A czy zamiast tego można powołać się na Standardowe Klauzule Umowne (SCC) w przypadku przekazywania danych osobowych do USA?  Teoretycznie tak, ale wymaga to spełnienia dość istotnego wymogu. Otóż administrator musi ocenić możliwość ewentualnego dostępu organów władzy publicznej państwa trzeciego do przekazanych w ten sposób danych osobowych, jak również istotne elementy składające się na jego system prawny. Innymi słowy – administrator musi ocenić, czy realizacja standardowych klauzul umownych w danym państwie jest możliwa.

Co zatem powinien zrobić administrator, który dotychczas przekazywał dane osobowe do podmiotów zlokalizowanych w USA? Najlepiej skorzystać z poniższych wskazówek.

Michał Nosowski, Marcin Sarna